Nowelizacja ustawy o zarządzaniu kryzysowym uchwalona 29 maja 2026 roku, oczekująca na podpis Prezydenta RP, precyzyjnie reguluje kto i w jaki sposób będzie decydował o tym, że dany obiekt, urządzenie, instalacja, sieć, system lub usługa stają się infrastrukturą krytyczną, a ich właściciel lub posiadacz operatorem infrastruktury krytycznej. Proces ten nie jest ani automatyczny, ani jednostronny. To wieloetapowa procedura angażująca kilka organów publicznych, zakończona wpisem dokonanym przez Dyrektora Rządowego Centrum Bezpieczeństwa.
Wykaz infrastruktury krytycznej: kto go prowadzi?
Centralnym elementem systemu jest wykaz infrastruktury krytycznej prowadzony przez Dyrektora Rządowego Centrum Bezpieczeństwa (art. 6r ust. 1). Wykaz służy dwóm celom: identyfikacji zasobów jako infrastruktury krytycznej oraz realizacji zadań w zakresie jej ochrony. Wykaz zawiera: nazwę i lokalizację infrastruktury krytycznej (w tym wskazanie IK niezbędnej do świadczenia usług kluczowych), dane operatora (siedzibę, adres, NIP) oraz wskazanie organu identyfikującego daną infrastrukturę (art. 6r ust. 2). Wykaz jest dokumentem niejawnym (art. 6r ust. 3). Dyrektor RCB opracowuje wyciągi z wykazu dotyczące infrastruktury krytycznej na terenie poszczególnych województw i przekazuje je właściwym wojewodom (art. 6s ust. 3).
Cztery organy uprawnione do składania wniosków o wpis
Wpisu do wykazu infrastruktury krytycznej dokonuje Dyrektor RCB, ale wyłącznie na podstawie wniosku złożonego przez jeden z czterech organów (art. 6s ust. 1):
- ministra kierującego działem administracji rządowej,
- właściwego miejscowo wojewodę,
- Komisję Nadzoru Finansowego,
- Narodowy Bank Polski.
Każdy z tych organów ma nieco inną rolę i inne kryteria, którymi się posługuje przy identyfikacji.
Minister: identyfikacja sektorowa
Minister kierujący działem administracji rządowej identyfikuje obiekty, urządzenia, instalacje, sieci, systemy lub usługi mogące stanowić infrastrukturę krytyczną, we współpracy z Dyrektorem RCB (art. 6t ust. 1). Zasoby zidentyfikowane przez ministra mogą zostać wpisane do wykazu IK, jeżeli spełniają łącznie kryterium sektorowe oraz co najmniej jedno kryterium przekrojowe (art. 6t ust. 2). W toku identyfikacji minister będzie mógł wystąpić do właściciela lub posiadacza potencjalnej IK o udzielenie informacji umożliwiających ocenę, czy dany zasób spełnia kryteria (art. 6t ust. 3). W wystąpieniu minister wskaże termin udzielenia informacji, nie krótszy niż 14 dni od dnia jego otrzymania (art. 6t ust. 4). Wniosek ministra o wpis do wykazu IK zawiera nazwę i lokalizację zasobu oraz dane właściciela lub posiadacza (art. 6t ust. 5). Wniosek sporządza się i składa w postaci papierowej i jest dokumentem niejawnym (art. 6t ust. 6).
Wojewoda: identyfikacja terytorialna
Wojewoda identyfikuje obiekty, urządzenia, instalacje, sieci, systemy lub usługi mogące stanowić infrastrukturę krytyczną na terenie właściwego województwa, również we współpracy z Dyrektorem RCB (art. 6u ust. 1). Zasoby zidentyfikowane przez wojewodę mogą zostać wpisane do wykazu IK, jeżeli spełniają co najmniej jedno kryterium przekrojowe, bez wymogu spełnienia kryterium sektorowego (art. 6u ust. 2). Do procedury identyfikacji przez wojewodę stosuje się odpowiednio przepisy o identyfikacji przez ministra dotyczące żądania informacji, terminu i treści wniosku (art. 6u ust. 2 in fine).
Komisja Nadzoru Finansowego: identyfikacja sektorowa w finansach
KNF identyfikuje obiekty, urządzenia, instalacje, sieci, systemy lub usługi mogące stanowić infrastrukturę krytyczną w zakresie swojej właściwości, we współpracy z Dyrektorem RCB (art. 6v ust. 1). Zasoby zidentyfikowane przez KNF mogą zostać wpisane do wykazu IK, jeżeli spełniają łącznie kryterium sektorowe oraz co najmniej jedno kryterium przekrojowe (art. 6v ust. 2), taki sam standard jak dla ministra. Do procedury KNF stosuje się odpowiednio przepisy o identyfikacji przez ministra (art. 6v ust. 2 in fine).
Narodowy Bank Polski: szczególny tryb
NBP składa wniosek o wpis do wykazu IK wyłącznie w odniesieniu do zasobów, których jest właścicielem lub posiadaczem i które są niezbędne do wykonywania zadań NBP (art. 6s ust. 2). Zasoby te mogą zostać wpisane, jeżeli spełniają co najmniej jedno kryterium przekrojowe, bez wymogu spełnienia kryterium sektorowego. Do wniosku NBP stosuje się odpowiednio przepisy o treści wniosku ministra.
Kryteria identyfikacji: sektorowe i przekrojowe
Kryteria identyfikacji infrastruktury krytycznej określa Rada Ministrów w drodze uchwały (art. 6r ust. 5). Uchwała jest dokumentem niejawnym (art. 6r ust. 6).
Ustawa wskazuje dwa rodzaje kryteriów.
Kryteria sektorowe to progi, w tym progi liczbowe, charakteryzujące zdolność danego zasobu do zapewnienia funkcjonowania organów administracji publicznej, zapewnienia funkcjonowania przedsiębiorstw, zaspokajania potrzeb obywateli oraz zapewnienia świadczenia usług kluczowych (art. 6r ust. 5 pkt 1).
Kryteria przekrojowe odnoszą się do znaczenia zasobu i obejmują sześć wymiarów (art. 6r ust. 5 pkt 2):
- ofiary w ludziach: oceniane w odniesieniu do ewentualnej liczby ofiar śmiertelnych lub rannych,
- ewakuacja: oceniana w odniesieniu do liczby osób ewakuowanych lub czasu ewakuacji,
- skutki ekonomiczne: oceniane w odniesieniu do znaczenia strat ekonomicznych lub pogorszenia jakości świadczenia usług kluczowych,
- skutki społeczne: oceniane w odniesieniu do wpływu na zaufanie opinii publicznej lub zakłócenia codziennego życia obywateli, w tym utraty dostępu do usług kluczowych,
- wpływ międzynarodowy: oceniany w odniesieniu do pogorszenia wizerunku kraju na arenie międzynarodowej lub możliwości realizacji zobowiązań międzynarodowych,
- unikatowość: oceniana w odniesieniu do braku możliwości zastąpienia lub odtworzenia w akceptowalnym czasie,
Wpis do wykazu i informowanie operatora
Wpisu do wykazu IK dokonuje Dyrektor RCB na podstawie wniosku organu identyfikującego (art. 6s ust. 1). O dokonaniu wpisu Dyrektor RCB informuje właściciela lub posiadacza infrastruktury w terminie 30 dni od dnia wpisu, jednocześnie informując go o obowiązkach wynikających z przepisów rozdziału 7 ustawy (art. 6w ust. 1). Informację tę Dyrektor RCB przekazuje niezwłocznie również organowi, który złożył wniosek o wpis (art. 6w ust. 2). Od chwili otrzymania tej informacji zaczynają biec terminy realizacji obowiązków operatora IK m.in. 30 dni na wyznaczenie koordynatora ochrony IK, 6 miesięcy na przeprowadzenie analizy zagrożeń i 15 miesięcy na sporządzenie dokumentacji ochrony IK.
Podsumowanie: kto decyduje i na jakiej podstawie
Proces identyfikacji operatorów IK jest rozproszony między czterech wnioskodawców i scentralizowany w jednym organie rejestrującym. Minister identyfikuje IK w swoim sektorze przy użyciu obu rodzajów kryteriów. Wojewoda identyfikuje IK na swoim terenie, posługując się wyłącznie kryteriami przekrojowymi. KNF identyfikuje IK w sektorze finansowym przy użyciu obu rodzajów kryteriów. NBP składa wniosek wyłącznie co do własnych zasobów, posługując się kryteriami przekrojowymi. Dyrektor RCB dokonuje wpisu i informuje operatora.
Sama treść kryteriów, zarówno sektorowych jak i przekrojowych, pozostaje niejawna, co oznacza że właściciel lub posiadacz potencjalnej IK nie będzie miał z góry pewności, czy jego zasoby spełniają kryteria wpisania do wykazu. Dowie się o tym z informacji Dyrektora RCB po dokonaniu wpisu.
Artykuł opiera się na analizie projektu ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (tekst ustalony ostatecznie po rozpatrzeniu poprawek Senatu; w chwili publikacji ustawa oczekuje na podpis Prezydenta RP). Cytowane przepisy odnoszą się do treści projektu i mogą ulec zmianie.
Informacje zawarte na stronie to prywatne poglądy autorki i nie mogą być utożsamiane z instytucją, w której jest zatrudniona.