W grudniu 2022 r. Unia Europejska przyjęła dwie kluczowe dyrektywy dotyczące infrastruktury krytycznej i cyberbezpieczeństwa: dyrektywę CER (2022/2557) w sprawie odporności podmiotów krytycznych oraz dyrektywę NIS2 (2022/2555) w sprawie cyberbezpieczeństwa. Oba akty są systemowo powiązane: CER skupia się na odporności fizycznej i organizacyjnej, NIS2 na cyberbezpieczeństwie.
W Polsce dyrektywa NIS2 została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.
Dyrektywa CER została wdrożona ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 574), podpisaną przez Prezydenta 19 czerwca 2026 r. i obowiązującą od 4 lipca 2026.
Bycie podmiotem krytycznym to nie tylko status, to konkretne wymogi, terminy i odpowiedzialność. Uznanie za podmiot krytyczny uruchamia szereg obowiązków, które
Poniższy artykuł jest odpowiedzią na pytanie, co musi zrobić państwo, zanim wyznaczy pierwszy podmiot krytyczny? Najprostsza odpowiedź
11 września 2025 r. Komisja Europejska przyjęła Wytyczne dotyczące odporności podmiotów krytycznych (Commission Guidelines on the Resilience
Przepisy dyrektywy CER zostały wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o zarządzaniu kryzysowym. Celem zmian jest dostosowanie krajowych regulacji do wymagań unijnych w zakresie odporności infrastruktury krytycznej oraz zapewnienie spójności działań na poziomie krajowym i europejskim.
Tutaj można znaleźć ustawę: https://dziennikustaw.gov.pl/D2026000081501.pdf
Przepisy dyrektywy NIS 2 zostały wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, której celem jest podniesienie poziomu bezpieczeństwa sieci i systemów informatycznych w kluczowych sektorach gospodarki.
Ustawę można przeczytać tutaj: https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20260000252/T/D20260252L.pdf
W obliczu zmieniających się zagrożeń, coraz bardziej ścisłego powiazania między sektorami gospodarki, a także koniecznością zbudowania lepszej ochrony dla IK, nowa dyrektywa CER zastępuje dyrektywę w sprawie europejskiej infrastruktury krytycznej z 2008 r.
Nowe przepisy wzmocnią odporność infrastruktury krytycznej, biorąc pod uwagę szereg zagrożeń od naturalnych, po ataki terrorystyczne, zagrożenia wewnętrzne lub sabotaż. Nowe przepisy obejmą 11 sektorów: energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność.
Dyrektywa CER nakłada na państwa członkowskie szereg konkretnych obowiązków. Każde z nich musi przyjąć strategię odporności podmiotów krytycznych oraz przeprowadzić krajową ocenę ryzyka. Strategia określa cele i priorytety zwiększania odporności, ramy zarządzania, opis procesu identyfikacji podmiotów krytycznych i ich wspierania. Musi też zawierać ramy koordynacji między organami właściwymi na podstawie CER a organami właściwymi na podstawie NIS2 (art. 4 dyrektywy CER). Krajowa ocena ryzyka uwzględnia wszystkie istotne czynniki: naturalne i spowodowane przez człowieka, w tym zagrożenia hybrydowe, klęski żywiołowe, stany zagrożenia zdrowia publicznego i terroryzm (art. 5 dyrektywy CER). Na tej podstawie każde państwo identyfikuje podmioty krytyczne. Stosuje przy tym trzy kryteria łącznie: podmiot świadczy co najmniej jedną usługę kluczową, prowadzi działalność na terytorium danego państwa, a ewentualny incydent miałby istotny skutek zakłócający dla świadczenia tej usługi (art. 6 ust. 2 dyrektywy CER).
Żeby lepiej zrozumieć istotę zmian, jakie czekają operatorów IK, a także podmioty, które operatorami nie są, ale świadczą istotne usługi dla ludności, warto zacząć od podstawowych pojęć.
Podsumowując, wraz z dyrektywą CER następuje odejście od obiektowego podejścia do ochrony IK, kiedy to, konkretny obiekt był uznawany za infrastrukturę krytyczną, na rzecz podejścia procesowego. Konkretna usługa np. dostarczanie wody, zaopatrywanie w energie elektryczną etc. zostaje uznana za kluczową (dla funkcjonowania społeczeństwa i gospodarki). Następnie identyfikuje się podmioty świadczące usługi kluczowe oraz – finalnie – obiekty i instalacje, za pomocą których usługi kluczowe są świadczone.
19 czerwca 2026 r. Prezydent Karol Nawrocki podpisał ustawę z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw. To moment, który zamknął wielomiesięczny proces legislacyjny.
Kiedy ustawa wchodzi w życie?
Zgodnie z art. 73 ustawy, wchodzi ona w życie po upływie 14 dni od dnia ogłoszenia w Dzienniku Ustaw. Ustawa została ogłoszona 19 czerwca 2026 r. pod poz. 815, co oznacza, że weszła w życie 4 lipca 2026 r.
Siedem aktów wykonawczych: cztery procedowane, trzy przed nami
Pełne uruchomienie systemu wymaga łącznie siedmiu aktów wykonawczych. W tej chwili procedowane są cztery spośród nich.
Rozporządzenie w sprawie minimalnych wymagań bezpieczeństwa (podstawa: art. 6ze ust. 4 ustawy) określi minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej. Projekt obejmuje szczegółowe wymagania dla obiektów lądowych i morskich, systemów sterowania przemysłowego (OT), przetwarzania danych w chmurze obliczeniowej oraz ciągłości działania. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia (§ 4 projektu rozporządzenia).
Rozporządzenie w sprawie progów uznania incydentu za istotny (podstawa: art. 6zv ust. 4 ustawy) określi, jakie zdarzenie kwalifikuje się jako incydent istotny dla poszczególnych sektorów i podsektorów. Progi różnią się znacząco w zależności od sektora: w energetyce elektrycznej jest to np. równoczesne nieplanowane wyłączenie co najmniej dwóch modułów wytwarzania energii o sumarycznej mocy powyżej 400 MW w jednej elektrowni, trwające ponad 15 minut; w zaopatrzeniu w wodę – brak dostępności usługi dla co najmniej 100 000 użytkowników przez ponad 8 godzin. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Rozporządzenie w sprawie wykazu usług kluczowych i progów istotności (podstawa: art. 6zp ust. 3 ustawy) określi, jakie podmioty i na podstawie jakich kryteriów ilościowych mogą zostać uznane za podmioty krytyczne. To rozporządzenie jest kluczowe dla procesu identyfikacji podmiotów krytycznych. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Uchwała Rady Ministrów w sprawie kryteriów identyfikacji infrastruktury krytycznej (podstawa: art. 6r ust. 5 ustawy zmienianej) określi kryteria sektorowe oraz kryteria przekrojowe pozwalające wyodrębnić obiekty, instalacje, urządzenia i usługi wchodzące w skład infrastruktury krytycznej. Zgodnie z art. 6r ust. 6 ustawy zmienianej, uchwała jest dokumentem niejawnym. Projekt jest obecnie przedmiotem konsultacji.
Trzy kolejne akty wykonawcze zostaną wydane na dalszym etapie wdrożenia systemu: rozporządzenie w sprawie wykazu norm i wytycznych dla podmiotów krytycznych (art. 6zt ust. 5 ustawy zmienianej), rozporządzenie w sprawie wymogów dla audytorów podmiotów krytycznych (art. 6zza ust. 10 ustawy zmienianej) oraz rozporządzenie Prezesa Rady Ministrów w sprawie trybu powoływania i odwoływania pełnomocnika do spraw ochrony infrastruktury krytycznej (art. 6 ust. 8 ustawy zmienianej w art. 12 dotyczy wyłącznie spółek z sektorów energii elektrycznej, ropy naftowej i paliw gazowych, w których minister właściwy do spraw aktywów państwowych wykonuje szczególne uprawnienia).
Komisja Europejska opublikowała wczoraj (10.07.2026 r.) komunikat zawierający niewiążące wytyczne dotyczące stosowania art. 13 ust. 5
Załącznik do dyrektywy CER wymienia 11 sektorów i podsektorów, w których identyfikuje się podmioty krytyczne. Załącznik do polskiej ustawy z 29
Dyrektywa CER jest centralnym elementem unijnego systemu ochrony infrastruktury krytycznej, ale nie działa w próżni. Unijny prawodawca od lat
Projekt IK wspiera i bierze udział w tworzeniu inicjatyw naukowych, badawczych, szkoleniowych, eksperckich w obszarze #ochronaIK oraz budowania odporności infrastruktury krytycznej.
