Ustawa z 29 maja 2026 r. formalnie nowelizuje ustawę o zarządzaniu kryzysowym. W praktyce to jednak dużo szersza operacja. Ustawodawca musiał wpleść nowe przepisy o infrastrukturze krytycznej i podmiotach krytycznych w 26 innych aktów prawnych: od ustawy o Policji, przez Prawo wodne, po ustawę o rezerwach strategicznych. Część tych zmian to zwykła „naprawa” systemu, czyli zamiana starych odniesień na nowe. Kilka wprowadza jednak zupełnie nowe instytucje i kompetencje. Warto je znać, nawet jeśli nie jest się operatorem infrastruktury krytycznej.
NOWE KOMPETENCJE SŁUŻB WOBEC DRONÓW I OBIEKTÓW BEZZAŁOGOWYCH
Zacznijmy od tego, co nowe, a co nie. Przepisy pozwalające zniszczyć, unieruchomić lub przejąć kontrolę nad BSP istnieją w polskim prawie od 2025 r. (art. 156ze Prawa lotniczego, wprowadzony ustawą z 24 stycznia 2025 r.). Nowelizacja z 2026 r. rozciąga tę samą logikę na dwa nowe żywioły. Ustawa o ochronie żeglugi i portów morskich zyskała nowy rozdział 6a, a w nim art. 28a: pozwala zniszczyć, unieruchomić lub przejąć kontrolę nad dronem wodnym, jeśli zagraża życiu, zdrowiu, chronionym obiektom czy bezpieczeństwu statków, albo wbrew zakazowi wpłynął na polskie obszary morskie. Ustawa o środkach przymusu bezpośredniego zyskała analogiczny przepis dla dronów lądowych (nowy art. 11 pkt 17): zagrożenie życia lub zdrowia, zagrożenie dla chronionych obiektów, zakłócenie zgromadzenia lub podejrzenie ataku terrorystycznego. Do neutralizacji wszystkich trzech typów dronów uprawnione są te same służby: Policja, Straż Graniczna, Służba Ochrony Państwa i uzbrojona ochrona obiektów (SUFO), a na terenie wojskowym – Żandarmeria Wojskowa i Siły Zbrojne.
Metody neutralizacji też są teraz wspólne dla trzech żywiołów: własne drony przechwytujące, pociski niepenetracyjne, broń energii skierowanej (czyli urządzenia emitujące skumulowaną wiązkę energii lub fal elektromagnetycznych) oraz zakłócanie systemów pozycjonowania i komunikacji z operatorem drona. Przy zagrożeniach morskich dochodzi jeszcze jedna opcja: urządzenia zamontowane na dnie morskim.
BLOKOWANIE ŁĄCZNOŚCI W OBRONIE INFRASTRUKTURY KRYTYCZNEJ
Nowelizacja daje operatorowi infrastruktury krytycznej jeszcze jedno narzędzie do tych samych trzech scenariuszy: prawo zdecydować o użyciu jammera, czyli urządzenia blokującego łączność na terenie obiektu (nowy art. 6zj ustawy o zarządzaniu kryzysowym). Sam jammer włącza nie operator, lecz jego uzbrojona ochrona (SUFO) i tylko na czas, w którym faktycznie neutralizuje zagrożenie: drona nad lotniskiem, drona wodnego w porcie albo drona lądowego przy obiekcie. O samej możliwości użycia jammera operator musi wcześniej poinformować ministra właściwego ds. wewnętrznych, Prezesa UKE oraz właściwą jednostkę MON.
Nowelizacja dała takie same uprawnienia, w tych samych trzech sytuacjach, służbom: Policji (art. 18c ust. 1 ustawy o Policji), Straży Granicznej (art. 10e ust. 1 ustawy o Straży Granicznej) i Służbie Ochrony Państwa (art. 39 ust. 1 ustawy o SOP). Każda z tych służb ma też osobną, szerszą podstawę do stosowania jammerów, przy realizacji swoich własnych zadań ustawowych, niezwiązanych bezpośrednio z infrastrukturą krytyczną ani z dronami. Policja i Straż Graniczna dostały dodatkowo jeszcze jedną przesłankę, której nie ma SOP: możliwość zastosowania takich urządzeń po wprowadzeniu trzeciego lub czwartego stopnia alarmowego, czyli CHARLIE lub DELTA (art. 18c ust. 1 pkt 3 ustawy o Policji; art. 10e ust. 1 pkt 3 ustawy o Straży Granicznej).
NOWA INSTYTUCJA: CENTRUM BEZPIECZEŃSTWA MORSKIEGO
Ustawa o ochronie żeglugi i portów morskich zyskała zupełnie nową instytucję: Centrum Bezpieczeństwa Morskiego (CBM). Jego siedziba znajdzie się w wyznaczonym oddziale Straży Granicznej (art. 25a ust. 2). CBM ma monitorować zagrożenia dla infrastruktury morskiej, czyli portów, gazociągów, kabli podmorskich i morskich farm wiatrowych, a także statków i granicy państwowej na morzu (art. 25a ust. 1 i 4). Ma działać całodobowo, siedem dni w tygodniu (art. 25a ust. 5). W jego pracach mają współdziałać przedstawiciele MON, ABW, AW, SKW, SWW, Policji, PSP, KAS, Morskiej Służby Poszukiwania i Ratownictwa, urzędów morskich, wojewodów, operatorów infrastruktury krytycznej oraz kierowników jednostek podlegających obowiązkowej ochronie na podstawie ustawy o ochronie osób i mienia (art. 25b ust. 1). Zgodnie z przepisami przejściowymi CBM ma zostać zorganizowane i rozpocząć działanie w terminie 6 miesięcy od wejścia ustawy w życie (art. 40 ustawy nowelizującej), czyli do początku 2027 r. Pierwsze roczne sprawozdanie z jego działania trafi do ministra właściwego ds. wewnętrznych do 31 marca 2028 r. (art. 25e ustawy zmienianej w zw. z art. 42 ustawy nowelizującej).
NADZÓR NAD SPÓŁKAMI ENERGETYCZNYMI SKARBU PAŃSTWA
Ustawa o szczególnych uprawnieniach ministra właściwego do spraw aktywów państwowych dotyczy spółek z energetyki elektrycznej, ropy naftowej i paliw gazowych. Nowelizacja pozwoliła, by pełnomocnik do spraw ochrony infrastruktury krytycznej w takiej spółce mógł jednocześnie pełnić funkcję koordynatora ochrony infrastruktury krytycznej lub pełnomocnika bezpieczeństwa usługi kluczowej z nowej ustawy (art. 5 ust. 4 ustawy zmienianej). To rozwiązanie ma zapobiec mnożeniu stanowisk tam, gdzie funkcje się pokrywają. Pojawiły się też nowe kary dla zarządu spółki: do 50 tys. zł za brak powołania pełnomocnika, do 50 tys. zł za brak powiadomienia go o planowanym posiedzeniu zarządu w sprawach objętych szczególnym nadzorem, do 100 tys. zł za nieprzekazywanie dokumentów, a przy uporczywym naruszaniu tych obowiązków nawet do 1 mln zł (nowy art. 7a ustawy zmienianej).
REZERWY STRATEGICZNE
Ustawa o rezerwach strategicznych rozszerzyła katalog tego, co może być rezerwą państwową. Doszły elementy infrastruktury krytycznej oraz moc produkcyjna i usługowa (art. 4 ustawy zmienianej). Najważniejsza zmiana to jednak nowa kategoria: wirtualne środowisko informatyczne oraz fizyczne i wirtualne zasoby teleinformatyczne, w praktyce zapasowe zasoby chmurowe i infrastruktura IT (art. 2 pkt 5a oraz art. 4 ustawy zmienianej). Nowy art. 23a daje ministrowi właściwemu ds. wewnętrznych podstawę prawną do udostępniania takich cyfrowych rezerw. Ma z niej korzystać w razie zagrożenia cyberbezpieczeństwa państwa lub konieczności odtworzenia zasobów cyfrowych.
AKTUALIZACJA ODNIESIEŃ
Sporo z 26 nowelizowanych ustaw nie wprowadza nowych instytucji ani kompetencji. Chodzi m.in. o ustawy: o gospodarowaniu nieruchomościami rolnymi Skarbu Państwa (art. 39 ust. 2 pkt 2a), o kontroli niektórych inwestycji (art. 12d ust. 2 pkt 1), o odpadach (art. 25 ust. 6i pkt 2), o szczególnych rozwiązaniach służących ochronie odbiorców energii elektrycznej (art. 37 ust. 6 pkt 3), o przygotowaniu i realizacji inwestycji w zakresie Krajowego Centrum Przetwarzania Danych (art. 19 ust. 2 pkt 5) oraz o obronie Ojczyzny (art. 650). We wszystkich tych ustawach zamieniono jedynie odniesienia do starego, uchylonego już „jednolitego wykazu obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej”. Teraz odsyłają do nowego wykazu infrastruktury krytycznej (art. 6r ust. 1 ustawy o zarządzaniu kryzysowym). To czysto techniczna, ale konieczna zmiana. Bez niej te ustawy odsyłałyby donikąd.
Głębiej zintegrowano ustawę o krajowym systemie cyberbezpieczeństwa. Chodzi o System S46, czyli platformę teleinformatyczną, która już wcześniej służyła do zgłaszania i obsługi incydentów cyberbezpieczeństwa w ramach KSC. Nowelizacja nadaje mu drugą funkcję: to właśnie w S46 będzie prowadzony nowy wykaz podmiotów krytycznych, a organy, dyrektor RCB i same podmioty krytyczne będą się przez ten system wzajemnie informować i wymieniać danymi. W praktyce oznacza to, że podmiot krytyczny, zamiast korzystać z osobnego rejestru czy papierowej korespondencji z urzędem, będzie miał do czynienia z tym samym narzędziem cyfrowym, które zna już z obowiązków cyberbezpieczeństwa. Podobnie dostosowano ustawę o ochronie ludności i obronie cywilnej: wojewódzki plan ewakuacji ludności stał się teraz częścią wojewódzkiego planu reagowania kryzysowego, zamiast funkcjonować jako osobny dokument.
ZAKOŃCZENIE
Skala tej nowelizacji dobrze pokazuje, jak wiele elementów polskiego systemu prawnego trzeba było dostosować, żeby wdrożyć dyrektywę CER. Nie tylko tam, gdzie się tego spodziewano, czyli w ustawie o zarządzaniu kryzysowym czy o krajowym systemie cyberbezpieczeństwa. Także w miejscach z pozoru odległych od tematu infrastruktury krytycznej, jak ustawa o rezerwach strategicznych czy o ochronie żeglugi i portów morskich. Dla operatora infrastruktury krytycznej lektura samej ustawy o zarządzaniu kryzysowym może więc nie wystarczyć. Część istotnych dla niego uprawnień i obowiązków jest dziś rozproszona po całym systemie prawnym.
Źródło: Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. poz. 815). Ustawa weszła w życie 4 lipca 2026 r.