W grudniu 2022 r. Unia Europejska przyjęła dwie kluczowe dyrektywy dotyczące infrastruktury krytycznej i cyberbezpieczeństwa: dyrektywę CER (2022/2557) w sprawie odporności podmiotów krytycznych oraz dyrektywę NIS2 (2022/2555) w sprawie cyberbezpieczeństwa. Oba akty są systemowo powiązane: CER skupia się na odporności fizycznej i organizacyjnej, NIS2 na cyberbezpieczeństwie.
W Polsce dyrektywa NIS2 została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.
Dyrektywa CER została wdrożona ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 574), podpisaną przez Prezydenta 19 czerwca 2026 r. i obowiązującą od 4 lipca 2026.
Dyrektywa CER jest centralnym elementem unijnego systemu ochrony infrastruktury krytycznej, ale nie działa w próżni. Unijny prawodawca od lat
W nocy z 25 na 26 września 2022 r. pod wodami Bałtyku rozległy się dwie eksplozje. Uszkodzone zostały trzy z czterech
Przepisy dyrektywy CER zostały wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o zarządzaniu kryzysowym. Celem zmian jest dostosowanie krajowych regulacji do wymagań unijnych w zakresie odporności infrastruktury krytycznej oraz zapewnienie spójności działań na poziomie krajowym i europejskim.
Tutaj można znaleźć ustawę: https://dziennikustaw.gov.pl/D2026000081501.pdf
Przepisy dyrektywy NIS 2 zostały wdrożone do polskiego porządku prawnego poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, której celem jest podniesienie poziomu bezpieczeństwa sieci i systemów informatycznych w kluczowych sektorach gospodarki.
Ustawę można przeczytać tutaj: https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20260000252/T/D20260252L.pdf
W obliczu zmieniających się zagrożeń, coraz bardziej ścisłego powiazania między sektorami gospodarki, a także koniecznością zbudowania lepszej ochrony dla IK, nowa dyrektywa CER zastępuje dyrektywę w sprawie europejskiej infrastruktury krytycznej z 2008 r.
Nowe przepisy wzmocnią odporność infrastruktury krytycznej, biorąc pod uwagę szereg zagrożeń od naturalnych, po ataki terrorystyczne, zagrożenia wewnętrzne lub sabotaż. Nowe przepisy obejmą 11 sektorów: energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność.
Dyrektywa CER nakłada na państwa członkowskie szereg konkretnych obowiązków. Każde z nich musi przyjąć strategię odporności podmiotów krytycznych oraz przeprowadzić krajową ocenę ryzyka. Strategia określa cele i priorytety zwiększania odporności, ramy zarządzania, opis procesu identyfikacji podmiotów krytycznych i ich wspierania. Musi też zawierać ramy koordynacji między organami właściwymi na podstawie CER a organami właściwymi na podstawie NIS2 (art. 4 dyrektywy CER). Krajowa ocena ryzyka uwzględnia wszystkie istotne czynniki: naturalne i spowodowane przez człowieka, w tym zagrożenia hybrydowe, klęski żywiołowe, stany zagrożenia zdrowia publicznego i terroryzm (art. 5 dyrektywy CER). Na tej podstawie każde państwo identyfikuje podmioty krytyczne. Stosuje przy tym trzy kryteria łącznie: podmiot świadczy co najmniej jedną usługę kluczową, prowadzi działalność na terytorium danego państwa, a ewentualny incydent miałby istotny skutek zakłócający dla świadczenia tej usługi (art. 6 ust. 2 dyrektywy CER).
Żeby lepiej zrozumieć istotę zmian, jakie czekają operatorów IK, a także podmioty, które operatorami nie są, ale świadczą istotne usługi dla ludności, warto zacząć od podstawowych pojęć.
Podsumowując, wraz z dyrektywą CER następuje odejście od obiektowego podejścia do ochrony IK, kiedy to, konkretny obiekt był uznawany za infrastrukturę krytyczną, na rzecz podejścia procesowego. Konkretna usługa np. dostarczanie wody, zaopatrywanie w energie elektryczną etc. zostaje uznana za kluczową (dla funkcjonowania społeczeństwa i gospodarki). Następnie identyfikuje się podmioty świadczące usługi kluczowe oraz – finalnie – obiekty i instalacje, za pomocą których usługi kluczowe są świadczone.
19 czerwca 2026 r. Prezydent Karol Nawrocki podpisał ustawę z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw. To moment, który zamknął wielomiesięczny proces legislacyjny.
Kiedy ustawa wchodzi w życie?
Zgodnie z art. 73 ustawy, wchodzi ona w życie po upływie 14 dni od dnia ogłoszenia w Dzienniku Ustaw. Ustawa została ogłoszona 19 czerwca 2026 r. pod poz. 815, co oznacza, że weszła w życie 4 lipca 2026 r.
Siedem aktów wykonawczych: cztery procedowane, trzy przed nami
Pełne uruchomienie systemu wymaga łącznie siedmiu aktów wykonawczych. W tej chwili procedowane są cztery spośród nich.
Rozporządzenie w sprawie minimalnych wymagań bezpieczeństwa (podstawa: art. 6ze ust. 4 ustawy) określi minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej. Projekt obejmuje szczegółowe wymagania dla obiektów lądowych i morskich, systemów sterowania przemysłowego (OT), przetwarzania danych w chmurze obliczeniowej oraz ciągłości działania. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia (§ 4 projektu rozporządzenia).
Rozporządzenie w sprawie progów uznania incydentu za istotny (podstawa: art. 6zv ust. 4 ustawy) określi, jakie zdarzenie kwalifikuje się jako incydent istotny dla poszczególnych sektorów i podsektorów. Progi różnią się znacząco w zależności od sektora: w energetyce elektrycznej jest to np. równoczesne nieplanowane wyłączenie co najmniej dwóch modułów wytwarzania energii o sumarycznej mocy powyżej 400 MW w jednej elektrowni, trwające ponad 15 minut; w zaopatrzeniu w wodę – brak dostępności usługi dla co najmniej 100 000 użytkowników przez ponad 8 godzin. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Rozporządzenie w sprawie wykazu usług kluczowych i progów istotności (podstawa: art. 6zp ust. 3 ustawy) określi, jakie podmioty i na podstawie jakich kryteriów ilościowych mogą zostać uznane za podmioty krytyczne. To rozporządzenie jest kluczowe dla procesu identyfikacji podmiotów krytycznych. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Uchwała Rady Ministrów w sprawie kryteriów identyfikacji infrastruktury krytycznej (podstawa: art. 6r ust. 5 ustawy zmienianej) określi kryteria sektorowe oraz kryteria przekrojowe pozwalające wyodrębnić obiekty, instalacje, urządzenia i usługi wchodzące w skład infrastruktury krytycznej. Zgodnie z art. 6r ust. 6 ustawy zmienianej, uchwała jest dokumentem niejawnym. Projekt jest obecnie przedmiotem konsultacji.
Trzy kolejne akty wykonawcze zostaną wydane na dalszym etapie wdrożenia systemu: rozporządzenie w sprawie wykazu norm i wytycznych dla podmiotów krytycznych (art. 6zt ust. 5 ustawy zmienianej), rozporządzenie w sprawie wymogów dla audytorów podmiotów krytycznych (art. 6zza ust. 10 ustawy zmienianej) oraz rozporządzenie Prezesa Rady Ministrów w sprawie trybu powoływania i odwoływania pełnomocnika do spraw ochrony infrastruktury krytycznej (art. 6 ust. 8 ustawy zmienianej w art. 12 dotyczy wyłącznie spółek z sektorów energii elektrycznej, ropy naftowej i paliw gazowych, w których minister właściwy do spraw aktywów państwowych wykonuje szczególne uprawnienia).
Odporność infrastruktury krytycznej to nie tylko sprawa krajowa. Jak więc działa europejski system współpracy? Dyrektywa CER wyraźnie wychodzi z założenia,
Nie każda firma z sektora energetyki stanie się podmiotem krytycznym. Jak przebiega proces wyznaczania? Dyrektywa CER wprowadza
Rozporządzenie delegowane 2023/2450 przekłada dyrektywę CER na język konkretnych branż gospodarki i nie tylko. Dyrektywa CER definiuje 11
Projekt IK wspiera i bierze udział w tworzeniu inicjatyw naukowych, badawczych, szkoleniowych, eksperckich w obszarze #ochronaIK oraz budowania odporności infrastruktury krytycznej.
