Ustawa z 29 maja 2026 r. tworzy dwa główne rejestry: wykaz infrastruktury krytycznej i wykaz podmiotów krytycznych. Prowadzi je ten sam organ, dyrektor Rządowego Centrum Bezpieczeństwa, na podstawie tej samej ustawy, w ramach tego samego systemu ochrony państwa. Mimo to ich status prawny różni się diametralnie. Jeden jest dokumentem niejawnym. Drugi nie.
Wykaz infrastruktury krytycznej: niejawność jako zasada
Ustawa wprost stanowi, że wykaz infrastruktury krytycznej jest dokumentem niejawnym (art. 6r ust. 3). To samo dotyczy wykazu potencjalnej infrastruktury krytycznej (art. 6y ust. 3). Niejawność obejmuje zresztą nie tylko same wykazy, ale też mechanizm, który do nich prowadzi. Uchwała Rady Ministrów określająca kryteria identyfikacji infrastruktury krytycznej jest, a właściwie będzie, dokumentem niejawnym (art. 6r ust. 6). Wniosek organu o wpis konkretnego obiektu do wykazu też jest dokumentem niejawnym, i to sporządzanym wyłącznie w postaci papierowej (art. 6t ust. 6). Dokumentacja ochrony infrastruktury krytycznej, którą musi opracować operator, również jest niejawna (art. 6zf ust. 4). W tym reżimie niejawność jest więc zasadą, obecną na każdym etapie: od kryteriów, przez sam wpis, po dokumentację wdrożeniową.
Wykaz podmiotów krytycznych: inna logika
Ustawa nie mówi nigdzie, że wykaz podmiotów krytycznych jest dokumentem niejawnym. Zamiast tego przyjmuje inny mechanizm ochrony danych. Do informacji zawartych w wykazie nie stosuje się przepisów ustawy o dostępie do informacji publicznej ani ustawy o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (art. 6zo ust. 4). To coś innego niż klauzula niejawności. Dane po prostu nie są jawne w rozumieniu przepisów o dostępie do informacji publicznej, ale nie są też sklasyfikowane jak informacje niejawne w rozumieniu ustawy o ochronie informacji niejawnych.
Ta różnica ma konkretne konsekwencje. Dokumenty niejawne wymagają specjalnych warunków przechowywania, systemów teleinformatycznych z odpowiednią akredytacją i personelu z poświadczeniami bezpieczeństwa. Dane wyłączone tylko z jawności publicznej można przetwarzać w zwykłym systemie teleinformatycznym, pod warunkiem odpowiednich zabezpieczeń, ale bez całego aparatu ochrony informacji niejawnych. I rzeczywiście: wykaz podmiotów krytycznych jest prowadzony w Systemie S46, czyli na platformie teleinformatycznej Krajowego Systemu Cyberbezpieczeństwa (art. 6zo ust. 3), a nie w wydzielonym, niejawnym systemie.
Ten wzorzec w dużej mierze powtarza się przy dokumentacji, choć nie do końca konsekwentnie. Dokumentacja zintegrowanego systemu zarządzania bezpieczeństwem, którą musi opracować podmiot krytyczny, nie jest w ustawie nazwana dokumentem niejawnym jako całość. Zawiera jednak w swoim składzie dokumentację ochrony infrastruktury krytycznej znaną już z pierwszej części tego tekstu, a ta pozostaje niejawna niezależnie od tego, w czyich rękach się znajduje.
Kto mimo wszystko ma dostęp do danych?
Brak klauzuli niejawności nie oznacza pełnej jawności. Dane z wykazu podmiotów krytycznych organ udostępnia, na wniosek, długiej liście instytucji: ABW, AW, CBA, organom Krajowej Administracji Skarbowej, Policji, Pełnomocnikowi Rządu do spraw Cyberbezpieczeństwa, Prezesowi Urzędu Ochrony Danych Osobowych, Prokuratorii Generalnej, prokuraturze, sądom, Służbie Kontrwywiadu Wojskowego, Służbie Ochrony Państwa, Służbie Wywiadu Wojskowego, Straży Granicznej, Żandarmerii Wojskowej, wojewodom, CSIRT poziomu krajowego oraz organom właściwym do spraw cyberbezpieczeństwa (art. 6zo ust. 5). Każdy z tych podmiotów dostaje dane wyłącznie w zakresie niezbędnym do realizacji własnych zadań ustawowych. To model kontrolowanego dostępu, a nie tajemnicy państwowej.
Dlaczego ta różnica ma sens?
Wskazówka co do przyczyny tej asymetrii tkwi w samej formie prawnej, jaką ustawodawca wybrał dla poszczególnych progów i kryteriów. Kryteria identyfikacji infrastruktury krytycznej Rada Ministrów określa w drodze uchwały (art. 6r ust. 5), a ustawa wprost stanowi, że ta uchwała jest dokumentem niejawnym (art. 6r ust. 6). Progi istotności usług kluczowych, decydujące o tym, kto może zostać podmiotem krytycznym, Rada Ministrów określa już w drodze rozporządzenia (art. 6zp ust. 3). Podobnie progi uznania incydentu za istotny (art. 6zv ust. 4). To istotna różnica proceduralna: uchwała Rady Ministrów to akt wewnętrzny administracji, który nie musi być publikowany i może zostać wprost oznaczony jako niejawny, natomiast rozporządzenie to akt powszechnie obowiązującego prawa, który z zasady podlega ogłoszeniu w Dzienniku Ustaw. Ustawodawca miał więc wybór formy dla każdego z tych mechanizmów i świadomie wybrał uchwałę, możliwą do utajnienia, dla kryteriów IK, a rozporządzenie, jawne z definicji, dla progów usług kluczowych i progów incydentu istotnego.
Dlaczego akurat tak, tego uzasadnienie do projektu ustawy wprost nie tłumaczy, ale logika wynikająca z natury tych kryteriów jest dość czytelna. Kryteria IK zawierają konkretne progi liczbowe opisujące zdolność danego obiektu, na przykład moc, przepustowość czy zasięg. Gdyby były jawne, można by je zestawić z publicznie dostępnymi danymi technicznymi konkretnych instalacji i w praktyce odtworzyć niejawny wykaz IK metodą wykluczania, bez włamywania się do samego wykazu. Utajnienie progu chroni więc pośrednio całą listę obiektów, które go spełniają. Progi usług kluczowych i progi incydentu istotnego działają inaczej. Nie mówią wprost, że dany konkretny obiekt to infrastruktura krytyczna, tylko definiują ogólne warunki biznesowe, takie jak liczba klientów czy czas przerwy w usłudze, które nie pozwalają w prosty sposób wskazać konkretnej lokalizacji czy zdolności fizycznej instalacji.
Jest jeszcze jeden, bardziej praktyczny powód, dla którego nadanie wykazowi podmiotów krytycznych klauzuli niejawności byłoby kłopotliwe. Wykaz ten jest prowadzony w Systemie S46, czyli platformie teleinformatycznej Krajowego Systemu Cyberbezpieczeństwa, używanej już wcześniej do zgłaszania incydentów. Gdyby wykaz podmiotów krytycznych miał być niejawny, nie dałoby się go w tym systemie prowadzić. Dokumenty niejawne wymagają dedykowanych, akredytowanych systemów teleinformatycznych, spełniających odrębne wymogi ustawy o ochronie informacji niejawnych, a nic nie wskazuje na to, by S46 taką akredytację posiadał. Utrzymanie jawności wykazu, a ściślej: braku klauzuli niejawności, pozwoliło więc ustawodawcy oprzeć cały mechanizm zgłaszania, identyfikacji i komunikacji na już istniejącej infrastrukturze KSC, zamiast budować od zera osobny, niejawny system wyłącznie na potrzeby podmiotów krytycznych. To rozwiązanie tańsze i szybsze do wdrożenia, ale wymagające rezygnacji z pełnej niejawności.
Dla samego podmiotu krytycznego oznacza to konkretną, praktyczną korzyść: zamiast osobnych kanałów komunikacji z różnymi organami, większość obowiązków sprawozdawczych da się zrealizować w jednym miejscu. Wpis do wykazu podmiotów krytycznych następuje automatycznie w chwili złożenia wniosku w systemie, bez odrębnej decyzji administracyjnej (art. 6zr ust. 2). Zgłoszenie incydentu istotnego, obowiązkowe w ciągu 24 godzin od jego wystąpienia lub wykrycia, również odbywa się za pomocą tego systemu (art. 6zv ust. 2). Tam samo trafia kopia raportu z audytu zintegrowanego systemu zarządzania bezpieczeństwem (art. 6zza ust. 8). System zapewnia też dwustronną wymianę informacji między organem właściwym do spraw podmiotów krytycznych, dyrektorem RCB a samym podmiotem krytycznym (nowy art. 46 ust. 1b ustawy o KSC). W praktyce więc S46 staje się dla podmiotu krytycznego jednym punktem kontaktu z administracją, przez który przechodzi rejestracja, zgłoszenia incydentów i dokumentacja audytowa, zamiast rozproszonej korespondencji z kilkoma instytucjami osobno.
Zakończenie
Ta różnica w klasyfikacji dwóch rejestrów w tej samej ustawie pokazuje coś więcej niż tylko techniczny szczegół legislacyjny. Ustawodawca w praktyce różnicuje poziom ochrony informacji w zależności od tego, co dokładnie miałoby zostać ujawnione: konkretny obiekt fizyczny, który można zaatakować, czy tożsamość firmy, którą i tak łatwo zidentyfikować po samej działalności. To rozróżnienie warto znać, planując, jakie dane w dokumentacji wewnętrznej traktować jako szczególnie wrażliwe, a jakie jako standardowe dane biznesowe podlegające zwykłym zasadom ochrony.
Źródło: Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. poz. 815). Ustawa weszła w życie 4 lipca 2026 r.
https://dziennikustaw.gov.pl/D2026000081501.pdf