Nowelizacja ustawy o zarządzaniu kryzysowym uchwalona 29 maja 2026 roku przyniosła jeden z najważniejszych od lat przełomów w polskim systemie ochrony infrastruktury krytycznej. Wdraża ona unijną dyrektywę CER (2022/2557) i wprowadza do polskiego prawa nową kategorię podmiotów: podmiot krytyczny. W chwili publikacji tego artykułu ustawa oczekuje na podpis Prezydenta RP. Równolegle w obiegu legislacyjnym pozostają projekty rozporządzeń wykonawczych, w tym projekt rozporządzenia Rady Ministrów w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego dla świadczenia usług (projekt z 28 maja 2026 r.), który jest przedmiotem niniejszej analizy. Ostateczna treść rozporządzenia może ulec zmianie przed jego ogłoszeniem.
https://legislacja.rcl.gov.pl/projekt/12410803
Żeby zrozumieć mechanizm, który to rozporządzenie wprowadza, warto zacząć od dwóch definicji ustawowych. Infrastruktura krytyczna to (zgodnie z art. 3 pkt 2 ustawy) obiekt, urządzenie, instalacja, sieć, system lub usługa, lub połączone ze sobą funkcjonalnie obiekty, urządzenia, instalacje, sieci, systemy lub usługi niezbędne do realizacji ważnych interesów państwa (w tym zapewnienia funkcjonowania organów administracji publicznej), zapewnienia funkcjonowania przedsiębiorstw, zaspokajania potrzeb obywateli oraz zapewnienia świadczenia usług kluczowych. Podmiot krytyczny to z kolei (zgodnie z art. 3 pkt 1a ustawy) operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych. Dla wielu organizacji pojawia się teraz kluczowe pytanie: czy ja już nim jestem? Odpowiedź nie jest prosta, bo system działa na dwóch powiązanych ze sobą poziomach, a samo rozporządzenie wykonawcze skrywa mechanizm, który na pierwszy rzut oka wcale nie wygląda jak to, czym jest.
Dwa poziomy, nie jeden
Powszechnym błędem jest utożsamianie operatora infrastruktury krytycznej z podmiotem krytycznym. To dwa różne statusy prawne, wynikające z dwóch odrębnych wykazów prowadzonych przez Dyrektora Rządowego Centrum Bezpieczeństwa, z różnymi kryteriami wejścia i różnymi obowiązkami.
Operator IK to właściciel lub posiadacz obiektu, urządzenia, instalacji, sieci, systemu lub usługi wpisanych do wykazu infrastruktury krytycznej. Sam fakt wpisania zasobu do wykazu IK czyni jego właściciela lub posiadacza operatorem, z obowiązkami takimi jak opracowanie dokumentacji ochrony IK, wdrożenie minimalnych wymagań bezpieczeństwa czy raportowanie zdarzeń zakłócających. Podmiot krytyczny to pojęcie węższe i bardziej wymagające. Zgodnie z art. 3 pkt 1a ustawy jest to operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych, a więc wyłoniony spośród operatorów IK według dodatkowych kryteriów. Jego obowiązki są znacznie rozbudowane: wdrożenie zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej, ocena ryzyka nie rzadziej niż raz na dwa lata, audyt systemu co najmniej raz na trzy lata, zgłaszanie incydentów istotnych, udział w ćwiczeniach z zakresu zarządzania kryzysowego. Nad każdym podmiotem krytycznym czuwa wyznaczony organ sektorowy np. minister właściwy do spraw energii dla sektora energii, Komisja Nadzoru Finansowego dla bankowości, minister właściwy do spraw zdrowia dla ochrony zdrowia (art. 6zk ustawy).
Kluczowe pytanie brzmi więc: na jakiej podstawie operator IK staje się podmiotem krytycznym? Odpowiedź leży w czterech warunkach z art. 6zp ust. 1 ustawy oraz w zakresie czwartego z nich w analizowanym projekcie rozporządzenia.
Poziom pierwszy to wykaz infrastruktury krytycznej. Wpisuje się do niego konkretne obiekty, urządzenia, instalacje, sieci, systemy lub usługi, nie podmioty jako takie, lecz ich zasoby. Kryteria wejścia do tego wykazu są określone w uchwale Rady Ministrów, która jest dokumentem niejawnym (art. 6r ust. 6 ustawy). Sam wykaz również jest niejawny. Operator nie zostaje jednak pozostawiony w niepewności co do swojego statusu, Dyrektor Rządowego Centrum Bezpieczeństwa ma obowiązek poinformowania właściciela lub posiadacza infrastruktury o dokonaniu wpisu do wykazu oraz o wynikających z tego obowiązkach, w terminie 30 dni od dnia wpisu (art. 6w ust. 1 ustawy). Kryteria wejścia do wykazu IK mają dwa wymiary. Pierwszy to kryteria sektorowe: progi liczbowe charakteryzujące zdolność danego zasobu do zapewnienia funkcjonowania administracji, przedsiębiorstw lub świadczenia usług kluczowych. Drugi to kryteria przekrojowe, oceniające potencjalne skutki zakłócenia: ofiary w ludziach, konieczność ewakuacji, skutki ekonomiczne, skutki społeczne, wpływ na zobowiązania międzynarodowe oraz, co istotne, unikatowość, czyli brak możliwości zastąpienia lub odtworzenia zasobu w akceptowalnym czasie.
Poziom drugi to pytanie: czy operator IK staje się podmiotem krytycznym? Nie każdy operatorem IK jest podmiotem krytycznym. Żeby nim zostać, trzeba spełnić łącznie cztery warunki określone w art. 6zp ust. 1 ustawy:
- prowadzić działalność w sektorze lub podsektorze wskazanym w załączniku do ustawy,
- świadczyć co najmniej jedną usługę kluczową,
- posiadać infrastrukturę krytyczną na terytorium RP lub na polskich obszarach morskich,
- incydent zakłócający działalność tego podmiotu miałby istotny skutek dla świadczenia usługi kluczowej.
Warunek czwarty jest kluczowy i najtrudniej go ocenić bez znajomości rozporządzenia wykonawczego. To właśnie tu wchodzi rozporządzenie Rady Ministrów w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego.
Poziom trzeci to sam status podmiotu krytycznego, wpisanego do odrębnego wykazu podmiotów krytycznych, z rozbudowanym katalogiem obowiązków. Najważniejsze z nich to: wdrożenie zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej, ocena ryzyka przeprowadzana nie rzadziej niż raz na dwa lata (art. 6zt ust. 1 pkt 1), audyt systemu zarządzania bezpieczeństwem co najmniej raz na trzy lata w zakresie bezpieczeństwa informacji, ciągłości działania i ochrony fizycznej (art. 6zz ust. 1), zgłaszanie incydentów istotnych oraz udział struktur organizacyjnych w szkoleniach i ćwiczeniach z zakresu zarządzania kryzysowego i obrony cywilnej (art. 6zzb).
Rozporządzenie, które nie wygląda jak progi
Kiedy menedżer lub prawnik po raz pierwszy sięga po rozporządzenie o wykazie usług kluczowych i progach istotności, może się skonsternować. Tabela zawiera kolumny: sektor, podsektor, kategoria podmiotu, usługa kluczowa i ostatnia „próg istotności skutku zakłócającego dla świadczenia usługi kluczowej”. I właśnie ta ostatnia kolumna niemal we wszystkich wierszach zaczyna się od słów: „inne czynniki charakterystyczne dla danego sektora lub podsektora”.
Gdzie są progi? Są tam. Tylko schowane pod techniczną nazwą.
Żeby to zrozumieć, trzeba wrócić do ustawy. Art. 6zp ust. 3 to delegacja ustawowa, przepis nakazujący Radzie Ministrów ustalenie progów „w zależności od” siedmiu kryteriów:
- liczby użytkowników zależnych od usługi kluczowej,
- stopnia, w jakim inne sektory zależą od tej usługi,
- wpływu incydentu na działalność gospodarczą, środowisko, bezpieczeństwo publiczne lub zdrowie ludności,
- udziału podmiotu w rynku,
- obszaru geograficznego potencjalnego incydentu, w tym wpływu transgranicznego,
- znaczenia podmiotu w utrzymaniu usługi przy uwzględnieniu dostępności alternatyw,
- innych czynników charakterystycznych dla danego sektora lub podsektora, jeżeli występują.
Siódmy punkt jest klauzulą otwartą, ustawodawca zostawił tu furtkę, wiedząc, że punkty 1–6 to kryteria generyczne, które nie zawsze oddają istotę ryzyka w konkretnym sektorze. Rada Ministrów miała swobodę i z tej swobody skorzystała, stosując różne kryteria dla różnych sektorów.
Wolumetria jako dominujące narzędzie
Dla większości sektorów energetycznych i wydobywczych rozporządzenie stosuje próg wolumeniczny: ilość wydobytego lub wytworzonego surowca. Wydobycie gazu ziemnego: minimum 11 TWh rocznie lub 15% krajowego zużycia. Węgiel brunatny: 10 mln ton rocznie. Węgiel kamienny: 8 mln ton. Miedź: 50 tys. ton. Wytwarzanie energii elektrycznej: 120 MW mocy zainstalowanej lub 0,4% krajowej produkcji. Logika jest czytelna: jeśli produkujesz poniżej progu, twoja awaria nie zachwieje krajowym systemem. Zakłócenie działalności wydobywcy gazu produkującego 2 TWh rocznie nie spowoduje istotnego skutku dla krajowego bezpieczeństwa energetycznego. Natomiast podmiot z 15% udziałem w krajowym zużyciu, jego awaria to już zakłócenie o wymiarze systemowym. Jednak rozporządzenie nie ogranicza się do wolumenii. Dla innych sektorów sięga po inne kryteria z ustawowej listy.
Liczba użytkowników (kryterium pierwsze) pojawia się w dystrybucji energii elektrycznej (500 tys. odbiorców), w sektorze ciepłowniczym, gdzie rozporządzenie wymaga łącznego spełnienia trzech warunków: miejscowość z co najmniej 250 tys. mieszkańców, wpływ incydentu na co najmniej 50% odbiorców i ponad 50% udziału w rynku, w transporcie lotniczym pasażerskim (500 tys. pasażerów rocznie), w zaopatrzeniu w wodę (500 tys. podłączonych mieszkańców) czy w transporcie publicznym (40 mln pasażerów rocznie).
Udział w rynku (kryterium czwarte) dominuje w bankowości, bank staje się podmiotem krytycznym, jeśli jego udział w aktywach, depozytach lub funduszach własnych sektora bankowego wynosi co najmniej 2%, lub gdy Komisja Nadzoru Finansowego uznała go za bank istotny. W transporcie kolejowym pasażerskim próg to ponad 25% pracy przewozowej lub liczby pasażerów, w transporcie morskim towarowym: ponad 1 mln ton towarów rocznie.
Zastępowalność (kryterium szóste) pojawia się wprost w dwóch miejscach: przy zarządzaniu drogami krajowymi („nie istnieje alternatywa dla usługi w przypadku wystąpienia incydentu”) oraz przy instytucji zapewniającej służby żeglugi powietrznej („brak alternatywy dla świadczonej usługi i możliwości jej realizowania przez inną służbę”). To sektory, w których nie ma mowy o konkurencji, jest jeden zarządca infrastruktury i pytanie o wolumerię byłoby bez sensu.
Progi łączone i alternatywne
Rozporządzenie stosuje dwa podejścia do łączenia kryteriów.
Pierwsze to progi alternatywne: wystarczy spełnić jedno z kilku kryteriów. Wydobycie gazu: 11 TWh lub 15% krajowego zużycia. Dystrybucja energii elektrycznej: 500 tys. odbiorców lub 2,5% wszystkich odbiorców w kraju lub 500 km sieci dystrybucyjnej. Obrót paliwami gazowymi z zagranicą: 100 TWh przywozu lub 60% udziału w krajowym zużyciu lub 27 TWh sprzedaży do odbiorców końcowych. Dla podmiotu starającego się ocenić swój status wystarczy spełnienie jednego progu, ale też wystarczy przekroczenie jednego progu, żeby organ sektorowy wszczął procedurę identyfikacyjną. Drugie to progi łączone, gdzie warunki muszą być spełnione jednocześnie. Zarządzanie drogami krajowymi wymaga spełnienia łącznie czterech kryteriów: każdego negatywnego wpływu na bezpieczeństwo ruchu, zarządzania co najmniej 15% wszystkich dróg krajowych, braku alternatywy i obsługi co najmniej 500 tys. pojazdów rocznie. Transport kolejowy pasażerski wymaga ponad 25% udziału w rynku oraz świadczenia usługi na obszarze co najmniej 9 województw, rozporządzenie wymienia oba kryteria osobno, co oznacza że przy ich stosowaniu decydujące znaczenie będzie miała wykładnia organu sektorowego.
Sektor administracji publicznej: osobna logika
Warto zwrócić uwagę na szczególne rozwiązanie zastosowane w sektorze administracji publicznej. Dla większości usług kluczowych w tym sektorze kryterium brzmi po prostu: „podmiot świadczący tę usługę”. Innymi słowy, jeśli jesteś jedynym podmiotem świadczącym daną usługę (np. Polska Agencja Żeglugi Powietrznej, Urząd KNF, Polska Agencja Prasowa, Wody Polskie), to już samo to kwalifikuje cię jako potencjalny podmiot krytyczny. To logiczne, trudno mówić o progu wolumenicznym dla Centrum Informatyki Resortu Finansów albo dla podmiotu zarządzającego dostępem do Systemu Informacyjnego Schengen. Unikatowość funkcji zastępuje tu jakiekolwiek progi ilościowe.
Co to oznacza w praktyce?
Dla organizacji, która zastanawia się nad swoim statusem prawnym, schemat postępowania jest następujący.
Krok pierwszy: sprawdzić, czy organizacja posiada infrastrukturę wpisaną do wykazu IK. O dokonaniu wpisu do wykazu IK informuje Dyrektor RCB, w terminie 30 dni od dnia wpisu (art. 6w ust. 1). Wykaz jest niejawny, ale operator jest o wpisie aktywnie powiadamiany.
Krok drugi: jeśli tak, sprawdzić, czy spełnia wszystkie cztery warunki z art. 6zp ust. 1. Warunki 1–3 są relatywnie łatwe do zweryfikowania. Warunek 4 wymaga odniesienia się do rozporządzenia o wykazie usług kluczowych i sprawdzenia czy podmiot przekracza progi istotności dla swojego sektora i usługi kluczowej.
Krok trzeci: jeśli warunek 4 nie jest spełniony, to podmiot pozostaje operatorem IK, ale nie jest podmiotem krytycznym. Obowiązki operatora IK (plan ochrony, raportowanie, minimalne wymagania bezpieczeństwa z rozporządzenia RM do art. 6ze) nadal obowiązują.
Krok czwarty: niezależnie od własnego statusu: sprawdzić, czy dostawcy organizacji mogliby zostać zidentyfikowani jako dostawcy krytyczni przez inne podmioty krytyczne, dla których ta organizacja świadczy usługi.
Niejednorodność progów jako wyzwanie systemowe
Rozporządzenie o wykazie usług kluczowych jest dokumentem technicznie złożonym, a jego lektura wymaga cierpliwości. Progi dla różnych sektorów mierzą zupełnie różne rzeczy: dla gazu to wolumeria, dla banku udział w aktywach, dla lotniska liczba pasażerów, dla żeglugi powietrznej brak alternatywy. Wynika to ze świadomej decyzji ustawodawcy, który dał Radzie Ministrów siedem różnych kryteriów do zastosowania, zamiast narzucać jedną miarę dla wszystkich sektorów. Z perspektywy spójności systemu rodzi to pytanie o porównywalność. Czy podmiot z 15% udziałem w krajowym zużyciu gazu jest „tak samo krytyczny” jak bank z 2% udziałem w aktywach sektora? Czy producent węgla brunatnego z 10 mln ton rocznego wydobycia jest „tak samo istotny” jak zarządca lotniska obsługującego 500 tys. pasażerów? Rozporządzenie nie odpowiada na to pytanie i nie musi, bo poszczególne progi nie są ze sobą porównywalne. Są one kalibracją ryzyka dokonaną osobno dla każdego sektora, w oparciu o wiedzę ekspertów sektorowych, a nie wspólną miarą ogólnosystemową. Warto o tym pamiętać przy interpretacji rozporządzenia, kolumna „próg istotności” to nie jest jednolita skala krytyczności. To mozaika różnych miar, każda sensowna w swoim sektorze, razem tworząca kompleksowy obraz tego, komu grozi wpisanie do wykazu podmiotów krytycznych.
Podsumowanie
Nowy system identyfikacji podmiotów krytycznych oparty na nowelizacji ustawy o zarządzaniu kryzysowym z 2026 roku działa na dwóch poziomach. Pierwszy to wykaz infrastruktury krytycznej prowadzony przez Dyrektora RCB, niejawny, oparty na niejawnych kryteriach uchwały Rady Ministrów. Drugi to selekcja podmiotów krytycznych z grona operatorów IK, oparty na czterech jawnych warunkach z art. 6zp ust. 1, z których czwarty operacjonalizuje jawne rozporządzenie o wykazie usług kluczowych; o wpisie do wykazu podmiotów krytycznych informuje operatora organ do spraw podmiotów krytycznych (art. 6zr ust. 3). Rozporządzenie o wykazie usług kluczowych i progach istotności jest dokumentem, który operacjonalizuje czwarty warunek z art. 6zp ust. 1; określa, kiedy potencjalny incydent u danego operatora IK byłby „istotnie zakłócający” dla usługi kluczowej. Progi są różnorodne: wolumetryczne, udziałowe, geograficzne i funkcjonalne (brak alternatywy). Dobór kryterium zależy od charakteru sektora i logiki ryzyka, które w nim dominuje. Dla każdej organizacji działającej w sektorach objętych ustawą: energetyce, transporcie, wodzie, finansach, zdrowiu, administracji publicznej i kilku innych znajomość tego mechanizmu jest dziś koniecznością. Nie tylko po to, żeby ocenić własny status, ale żeby rozumieć, dlaczego system jest zbudowany tak, a nie inaczej, i gdzie leżą granice jego skuteczności.
Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (tekst ustalony ostatecznie po rozpatrzeniu poprawek Senatu; w chwili publikacji ustawa oczekuje na podpis Prezydenta RP) oraz projektu rozporządzenia Rady Ministrów w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego dla świadczenia usług (projekt z 28 maja 2026 r.). Ostateczna treść rozporządzenia może różnić się od analizowanego projektu.
Informacje zawarte na stronie to prywatne poglądy autorki i nie mogą być utożsamiane z instytucją, w której jest zatrudniona.