Komisja Europejska opublikowała niewiążące wytyczne dotyczące stosowania art. 13 ust. 5 dyrektywy CER, oznaczone sygnaturą C/2026/3712. Dokument szczegółowo opisuje, jakie środki techniczne, środki bezpieczeństwa i środki organizacyjne podmioty krytyczne mogą wprowadzać w sześciu obszarach: zapobieganiu, fizycznej ochronie, reagowaniu na incydenty, odtworzeniu po incydentach, zarządzaniu bezpieczeństwem pracowników oraz zwiększaniu świadomości. Dla polskich operatorów infrastruktury krytycznej ten komunikat nie funkcjonuje jednak w próżni. Trzeba go czytać razem z tym, co dzieje się równolegle w krajowym prawodawstwie wykonawczym.
Dwa tory, jeden cel
Warto rozróżnić dwa poziomy regulacji, które dziś działają obok siebie. Pierwszy to poziom unijny: sam komunikat Komisji, niewiążący prawnie, o charakterze interpretacyjnym. Drugi to poziom krajowy: rozporządzenie Rady Ministrów w sprawie minimalnych wymagań bezpieczeństwa, wydawane na podstawie art. 6ze ust. 4 znowelizowanej ustawy o zarządzaniu kryzysowym. Ta ustawa weszła w życie 4 lipca 2026 r. i została opublikowana pod pozycją Dz.U. 2026 poz. 815. Samo rozporządzenie jest obecnie w trakcie procesu legislacyjnego. Jego projekt trafił do konsultacji publicznych i jest dostępny na stronie Rządowego Centrum Legislacji, gdzie zamieszczane są wszystkie projekty aktów wykonawczych do znowelizowanej ustawy o zarządzaniu kryzysowym, wraz z uzasadnieniem i oceną skutków regulacji.
To właśnie rozporządzenie w sprawie minimalnych wymagań, a nie unijny komunikat, będzie dla polskich podmiotów krytycznych (a przede wszystkim operatorów IK) bezpośrednio wiążącym punktem odniesienia. Jego zakres tematyczny pokrywa się niemal dokładnie z sześcioma kategoriami środków opisanymi w wytycznych Komisji. Ma on określić minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej. Projekt obejmuje szczegółowe wymagania dla obiektów lądowych i morskich, systemów sterowania przemysłowego oraz przetwarzania danych w chmurze obliczeniowej. Ta zbieżność tematyczna nie jest przypadkowa. Ustawa nowelizująca wprost służy transpozycji dyrektywy CER do polskiego porządku prawnego. Oznacza to, że treść unijnych wytycznych może realnie pomóc zrozumieć, w jakim kierunku pójdzie ostateczny kształt polskiego rozporządzenia, jeszcze zanim zostanie ono przyjęte.
Dlaczego warto sięgnąć po wytyczne już teraz
Polski operator infrastruktury krytycznej nie musi czekać na finalne brzmienie rozporządzenia, żeby zacząć pracę merytoryczną. Wytyczne Komisji dają konkretny, sprawdzony w konsultacjach z państwami członkowskimi katalog rozwiązań, które i tak trzeba będzie wdrożyć w ramach polskich przepisów. Warto je już teraz analizować w co najmniej czterech obszarach.
Pierwszy to bezpieczeństwo fizyczne. Wytyczne opisują konkretne rozwiązania: rodzaje ogrodzeń i barier antyprzejazdowych, zasady kontroli dostępu wielowarstwowego, standardy nadzoru wizyjnego i oświetlenia, sposób przechowywania informacji szczególnie chronionych. To dokładnie ten sam obszar, który obejmie polskie rozporządzenie w części dotyczącej bezpieczeństwa fizycznego i technicznego.
Drugi to zagrożenia hybrydowe i sabotaż. Wytyczne wprost wskazują, że podmioty państwowe mogą działać przez podatne lub możliwe do wykorzystania podmioty zastępcze, w tym pojedyncze osoby lub małe grupy. Polski operator, planując ocenę ryzyka, powinien uwzględnić ten scenariusz, a nie ograniczać się do klasycznych zagrożeń przestępczych czy terrorystycznych. Ma to szczególne znaczenie dla sektora energetycznego, wodociągowego i transportowego.
Trzeci to systemy bezzałogowe. Wytyczne zawierają rozbudowany fragment o wykrywaniu i neutralizowaniu dronów, powiązany z komunikatem Komisji o planie działania w zakresie bezpieczeństwa dronów z 11 lutego 2026 r. Operatorzy posiadający infrastrukturę odkrytą, na przykład podstacje energetyczne, ujęcia wody czy terminale przeładunkowe, powinni już teraz rozważyć wdrożenie środków wykrywania dronów, takich jak radary czy skanery częstotliwości radiowej, oraz nawiązać kontakt z lokalnymi jednostkami organów ścigania dysponującymi systemami antydronowymi.
Czwarty to możliwość wykorzystania dokumentacji już posiadanej na podstawie innych przepisów. Wytyczne przywołują motyw 30 dyrektywy CER, zgodnie z którym podmiot, który już wprowadził środki i sporządził dokumenty na podstawie innych aktów prawnych, może je wykorzystać do spełnienia wymogów CER, zamiast tworzyć wszystko od nowa. Dla polskiego operatora, który jest jednocześnie podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, oznacza to konkretną oszczędność pracy. Dokumentacja dotycząca zarządzania ryzykiem w cyberbezpieczeństwie, planów ciągłości działania czy szkoleń z cyberhigieny, przygotowana na podstawie KSC, w szczególności w zakresie odpowiadającym art. 21 ust. 2 lit. c), g) i i) dyrektywy NIS 2, może zostać wykorzystana wprost, bez powielania.
Co z tego wynika w praktyce?
Wejście w życie ustawy nowelizującej 4 lipca 2026 r. nie oznacza, że na operatorów infrastruktury krytycznej od razu spadają konkretne obowiązki. Indywidualne terminy, takie jak wyznaczenie koordynatora czy opracowanie dokumentacji ochrony, zaczynają biec dopiero od dnia otrzymania informacji o wpisie do właściwego wykazu. Zanim to nastąpi, Rada Ministrów musi przyjąć kryteria identyfikacji infrastruktury krytycznej, na co ustawa daje trzy miesiące od dnia wejścia w życie, a organy właściwe muszą przeprowadzić identyfikację podmiotów krytycznych i wpisać je do wykazu, na co ustawa daje dziewięć miesięcy.
Ten czas nie powinien być czasem straconym. Rozporządzenie w sprawie minimalnych wymagań jest już w formie publicznego projektu. Wytyczne Komisji dają dodatkowy, znacznie bardziej szczegółowy komentarz do tego, jak poszczególne wymagania mogą wyglądać w praktyce operacyjnej. Operator, który już teraz zestawi treść polskiego projektu z treścią unijnych wytycznych, zyskuje przewagę: może zacząć budować dokumentację ochrony infrastruktury krytycznej i plan zwiększania odporności, zanim upłyną ustawowe terminy, zamiast działać pod presją czasu po formalnym wpisie do wykazu.