W styczniu 2023 r. weszły w życie dwie kluczowe dyrektywy w sprawie infrastruktury krytycznej i cyfrowej. Dwie dyrektywy, które wprowadzą liczne zmiany dla operatorów IK, to:
Przepisy dyrektywy CER zostaną wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o zarządzaniu kryzysowym. Celem zmian jest dostosowanie krajowych regulacji do wymagań unijnych w zakresie odporności infrastruktury krytycznej oraz zapewnienie spójności działań na poziomie krajowym i europejskim.
Tutaj można śledzić proces legislacyjny:
https://legislacja.rcl.gov.pl/projekt/12386961/katalog/13069035#13069035
Przepisy dyrektywy NIS 2 zostaną wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, której celem jest podniesienie poziomu bezpieczeństwa sieci i systemów informatycznych w kluczowych sektorach gospodarki.
Tutaj można śledzić proces legislacyjny:
https://legislacja.gov.pl/projekt/12384504
W obliczu zmieniających się zagrożeń, coraz bardziej ścisłego powiazania między sektorami gospodarki, a także koniecznością zbudowania lepszej ochrony dla IK, nowa dyrektywa CER zastępuje dyrektywę w sprawie europejskiej infrastruktury krytycznej z 2008 r.
Nowe przepisy wzmocnią odporność infrastruktury krytycznej, biorąc pod uwagę szereg zagrożeń od naturalnych, po ataki terrorystyczne, zagrożenia wewnętrzne lub sabotaż. Nowe przepisy obejmą 11 sektorów: energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność.
Państwa członkowskie EU będą musiały przyjąć krajową strategię oraz przeprowadzać regularne oceny ryzyka w celu zidentyfikowania podmiotów uznawanych za kluczowe lub niezbędne dla funkcjonowania społeczeństwa i gospodarki. Ponadto, w grudniu 2022 r. Rada przyjęła zalecenie w sprawie ogólnounijnego podejścia koordynacyjnego w celu wzmocnienia odporności infrastruktury krytycznej, w którym wzywa się państwa członkowskie do przyspieszenia prac przygotowawczych do transpozycji i stosowania NIS 2 oraz dyrektywy w sprawie odporności podmiotów krytycznych (CER). Państwa członkowskie mają 21 miesięcy na transpozycję obu dyrektyw do prawa krajowego. Tą graniczną datą jest 17 października 2024 r.
Żeby lepiej zrozumieć istotę zmian, jakie czekają operatorów IK, a także podmioty, które operatorami nie są, ale świadczą istotne usługi dla ludności, warto zacząć od podstawowych pojęć.
Podsumowując, wraz z dyrektywą CER następuje odejście od obiektowego podejścia do ochrony IK, kiedy to, konkretny obiekt był uznawany za infrastrukturę krytyczną, na rzecz podejścia procesowego. Konkretna usługa np. dostarczanie wody, zaopatrywanie w energie elektryczną etc. zostaje uznana za kluczową (dla funkcjonowania społeczeństwa i gospodarki). Następnie identyfikuje się podmioty świadczące usługi kluczowe oraz – finalnie – obiekty i instalacje, za pomocą których usługi kluczowe są świadczone.
Co ważne, choć Dyrektywa CER została formalnie przyjęta, nie ma jeszcze przełożenia na polskie prawo. Tzw. transpozycja do polskiego prawa przepisów zawartych w Dyrektywie powinna nastąpić do października 2024. Proces legislacyjny jest już na ukończeniu, ale wciąż nie mamy nowej ustawy, ani aktów wykonawczych. Nie przeszkadza to jednak wielu firmom przeprowadzać szkoleń z Dyrektywy CER, czy oferować audyty zgodności procedur i planów z Dyrektywą (zarówno CER, jak i NIS 2). Uczestnictwo w nich może być oczywiście rozwijające, ale omawiane tam założenia Dyrektyw, póki co nie funkcjonują w polskim prawie.
Warto przypomnieć, że art. 3 dyrektywy CER mówi o tzw. minimalnej harmonizacji: „Niniejsza dyrektywa nie uniemożliwia państwom członkowskim przyjmowania lub utrzymywania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności podmiotów krytycznych, pod warunkiem, że takie przepisy są zgodne z obowiązkami państw członkowskich ustanowionymi w prawie Unii”. Oznacza to w praktyce, że ostatecznie przyjęte w Polsce przepisy mogą różnić się od założeń z Dyrektywy. To powoduje, że warto zastanowić się, czy uczestniczyć w szkoleniu (bądź zlecać audyt zgodności z dyrektywą) w sytuacji, gdy tych przepisów jeszcze nie ma.
11 września 2025 r. Komisja Europejska przyjęła Wytyczne dotyczące odporności podmiotów krytycznych (Commission Guidelines on the Resilience
Ewolucja podejścia UE – linia czasu budowania odporności infrastruktury krytycznej 2006 – Europejski Program Ochrony
Rekomendacja Rady Unii Europejskiej z dnia 8 grudnia 2022 r. dotycząca unijnego, skoordynowanego podejścia do wzmacniania odporności infrastruktury
Projekt IK wspiera i bierze udział w tworzeniu inicjatyw naukowych, badawczych, szkoleniowych, eksperckich w obszarze #ochronaIK oraz budowania odporności infrastruktury krytycznej.
