29 maja 2026 r. Sejm uchwalił, uwzględniając poprawki Senatu, ustawę o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw. Ustawa została przekazana Prezydentowi i oczekuje na podpis. Po podpisaniu i ogłoszeniu w Dzienniku Ustaw wejdzie w życie po upływie 14 dni. Jej głównym celem jest wdrożenie do polskiego prawa dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych, czyli dyrektywy CER (Critical Entities Resilience), o której tu wielokrotnie pisałam. Ustawa przebudowuje dotychczasowe regulacje dotyczące infrastruktury krytycznej, wprowadzając przy tym szereg całkowicie nowych instytucji prawnych, obowiązków i mechanizmów nadzorczych. Tekst, który trafił pod podpis Prezydenta, liczy 153 strony i zmienia kilkanaście aktów prawnych. Ustawa, nowelizując ustawę o zarządzaniu kryzysowym z 2007 r., nie ogranicza się do kosmetycznych poprawek. Dodaje do niej rozdziały 2–16, w całości poświęcone nowym mechanizmom identyfikacji, ochrony i nadzoru nad infrastrukturą krytyczną oraz podmiotami krytycznymi. Dotychczasowe przepisy o ochronie infrastruktury krytycznej: art. 5–6d ustawy o zarządzaniu kryzysowym zostają uchylone.
Dwa poziomy: infrastruktura krytyczna i podmiot krytyczny
Kluczowe dla zrozumienia nowej architektury prawnej jest rozróżnienie między pojęciem infrastruktury krytycznej a pojęciem podmiotu krytycznego. Oba funkcjonują w ustawie równolegle i nie są tożsame.
Infrastruktura krytyczna zdefiniowana jest w ustawie jako obiekt, urządzenie, instalacja, sieć, system lub usługa, albo połączone ze sobą funkcjonalnie obiekty, urządzenia, instalacje, sieci, systemy lub usługi, niezbędne do: realizacji ważnych interesów państwa, w tym zapewnienia funkcjonowania organów administracji publicznej; zapewnienia funkcjonowania przedsiębiorstw; zaspokajania oraz utrzymywania potrzeb obywateli, w tym potrzeb o charakterze lokalnym; a także zapewnienia świadczenia usług kluczowych. Definicja ta jest szersza niż poprzednia, istotne jest w szczególności włączenie do niej wymiaru związanego ze świadczeniem usług kluczowych, co tworzy bezpośredni pomost z reżimem podmiotów krytycznych.
Obok infrastruktury krytycznej ustawa wprowadza nową kategorię: potencjalną infrastrukturę krytyczną, obejmującą obiekty, urządzenia, instalacje, sieci, systemy lub usługi będące na etapie projektowania lub budowy, które po ich zakończeniu mogą spełniać kryteria kwalifikacji jako infrastruktura krytyczna. Objęcie regulacją etapu inwestycyjnego jest nowością w polskim prawie.
Podmiot krytyczny to z kolei operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych. Wpis do tego wykazu następuje, gdy dany operator prowadzi działalność w jednym z sektorów wymienionych w załączniku do ustawy, świadczy co najmniej jedną usługę kluczową, posiada infrastrukturę krytyczną na terytorium RP lub na polskich obszarach morskich, oraz gdy incydent dotykający tej infrastruktury miałby istotny skutek zakłócający dla świadczenia usługi kluczowej. Na podmiotach krytycznych ciążą obowiązki znacznie szersze niż te spoczywające na operatorach infrastruktury krytycznej. Podmiot krytyczny to zatem operator infrastruktury krytycznej, który jednocześnie wpisuje się w logikę dyrektywy CER – świadczy usługę kluczową i spełnia progi istotności.
Sektory objęte regulacją
Ustawa w załączniku określa sektory, podsektory i kategorie podmiotów stanowiące punkt odniesienia zarówno dla identyfikacji infrastruktury krytycznej, jak i dla identyfikacji podmiotów krytycznych. Są to: energia (z podsektorami: wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, wodór, energetyka jądrowa), transport (transport lotniczy, kolejowy, wodny, publiczny, drogowy), bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja oraz zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, administracja publiczna (podmioty publiczne i finanse publiczne), przestrzeń kosmiczna, produkcja, przetwarzanie i dystrybucja żywności, zarządzanie usługami ICT, produkcja, wytwarzanie i dystrybucja chemikaliów, usługi pocztowe oraz gospodarowanie odpadami.
Nowe dokumenty strategiczne: KOR i KSOPK
Ustawa wprowadza dwa nowe dokumenty strategiczne przyjmowane przez Radę Ministrów w drodze uchwały.
Krajowa Ocena Ryzyka (KOR) zastępuje dotychczasowy raport o zagrożeniach bezpieczeństwa narodowego. KOR identyfikuje zagrożenia na poziomie krajowym: naturalne, hybrydowe, z zakresu cyberbezpieczeństwa, terrorystyczne, a także takie, które mogą spowodować niedostępność usług kluczowych. W odniesieniu do podmiotów krytycznych KOR uwzględnia dodatkowo zagrożenia antagonistyczne, wzajemne zależności między sektorami oraz wpływ zakłóceń u podmiotów z innych państw UE. Projekt KOR opracowuje dyrektor Rządowego Centrum Bezpieczeństwa (RCB). Ustawa stanowi, że KOR ma być aktualizowana nie rzadziej niż raz na trzy lata. Na jej podstawie dyrektor RCB przekazuje Komisji Europejskiej streszczenie istotnych elementów krajowej oceny ryzyka oraz informacje o rodzajach ryzyka i wynikach oceny ryzyka w odniesieniu do poszczególnych sektorów, w terminie 3 miesięcy od dnia przyjęcia KOR przez Radę Ministrów. Zagrożenie antagonistyczne zdefiniowane jest w ustawie jako rodzaj zagrożenia hybrydowego ukierunkowanego przeciwko usługom kluczowym i infrastrukturze krytycznej niezbędnej do ich świadczenia, realizowanego w sposób celowy i świadomy, bez względu na motywację. Definicja ta jest istotna, obejmuje zarówno działania o charakterze terrorystycznym, jak i sabotaż wywołany przez podmioty państwowe lub parapaństwowe.
Krajowa Strategia Odporności Podmiotów Krytycznych (KSOPK) to drugi nowy dokument strategiczny, przyjmowany co trzy lata. KSOPK określa cele strategiczne i priorytety w zakresie niezakłóconego funkcjonowania infrastruktury krytycznej, zakresy działań dla organów administracji rządowej, metody identyfikacji podmiotów krytycznych oraz koordynację między organami do spraw podmiotów krytycznych a organami odpowiedzialnymi za cyberbezpieczeństwo. KSOPK jest poddawana trzydziestodniowym konsultacjom publicznym, a następnie udostępniana Komisji Europejskiej.
Identyfikacja infrastruktury krytycznej: nowy wykaz i nowe kryteria
Centralnym rejestrem jest wykaz infrastruktury krytycznej prowadzony przez dyrektora RCB. Wykaz jest dokumentem niejawnym i zawiera: nazwę i lokalizację infrastruktury krytycznej ze wskazaniem, która jest niezbędna do świadczenia usług kluczowych, dane operatora oraz wskazanie organu identyfikującego. Kryteria kwalifikacji do wykazu infrastruktury krytycznej określa Rada Ministrów w drodze uchwały, która jest dokumentem niejawnym. Ustawa przesądza jednak strukturę tych kryteriów: obejmują kryteria sektorowe (progi charakteryzujące zdolność do zapewnienia funkcjonowania administracji, przedsiębiorstw i zaspokajania potrzeb obywateli) oraz kryteria przekrojowe (dotyczące ofiar w ludziach, konieczności ewakuacji, skutków ekonomicznych, skutków społecznych, wpływu międzynarodowego oraz unikatowości, czyli braku możliwości zastąpienia lub odtworzenia w akceptowalnym czasie). Organami uprawnionymi do identyfikacji i wnioskowania o wpis do wykazu są ministrowie kierujący działami administracji rządowej (wpis następuje przy spełnieniu kryterium sektorowego łącznie z co najmniej jednym kryterium przekrojowym), właściwy miejscowo wojewoda (wystarczy co najmniej jedno kryterium przekrojowe), Komisja Nadzoru Finansowego (kryterium sektorowe i co najmniej jedno przekrojowe) oraz Narodowy Bank Polski (co najmniej jedno kryterium przekrojowe dla własnych obiektów). Wnioski sporządza się i składa w postaci papierowej, jako dokumenty niejawne. Dyrektor RCB informuje właściciela lub posiadacza infrastruktury o dokonaniu wpisu i wynikających z niego obowiązkach w terminie 30 dni od dnia wpisu.
Nową instytucją jest wykaz potencjalnej infrastruktury krytycznej, obejmujący obiekty będące na etapie projektowania lub budowy. Organy uprawnione do wnioskowania o wpis do wykazu potencjalnej infrastruktury krytycznej tj. właściwy minister, właściwy miejscowo wojewoda, Komisja Nadzoru Finansowego i Narodowy Bank Polski przedstawiają inwestorowi, we współpracy z dyrektorem RCB, informacje i dokumenty pozwalające uwzględnić wymogi dotyczące infrastruktury krytycznej już w dokumentacji budowy. Do obowiązków inwestora stosuje się część przepisów dotyczących operatorów infrastruktury krytycznej, w szczególności w zakresie analizy zagrożeń, dokumentacji i zarządzania bezpieczeństwem fizycznym.
Obowiązki operatorów infrastruktury krytycznej
Ustawa szczegółowo reguluje obowiązki operatorów infrastruktury krytycznej w rozdziale 7. Operator zapewnia ochronę infrastruktury przez:
Analizę zagrożeń. Operator prowadzi bieżącą analizę zagrożeń dla infrastruktury krytycznej. Pierwszą analizę przeprowadza się w terminie 6 miesięcy od dnia otrzymania informacji o wpisie do wykazu.
Wdrożenie rozwiązań ochronnych. Na podstawie wyników analizy operator wdraża rozwiązania w zakresie: bezpieczeństwa fizycznego (ochrona fizyczna lub zabezpieczenia techniczne, w tym systemy kontroli dostępu), bezpieczeństwa technicznego, bezpieczeństwa osobowego dotyczącego pracowników i dostawców zewnętrznych, cyberbezpieczeństwa, bezpieczeństwa prawnego, a także ciągłości działania i odtwarzania, w tym utrzymywania własnych systemów rezerwowych zapewniających podtrzymanie funkcjonalności infrastruktury krytycznej do czasu jej pełnego odtworzenia. Rozwiązania wdraża się w terminie 6 miesięcy od przeprowadzenia analizy zagrożeń. Minimalne wymagania w każdym z tych zakresów ma określić Rada Ministrów w drodze rozporządzenia.
Bieżącą współpracę z organami. Operator sporządza, przekazuje i odbiera informacje o zagrożeniach zakłócających lub mogących zakłócić funkcjonowanie infrastruktury krytycznej, a także o spodziewanych przerwach lub zakłóceniach. Informacje te przekazywane są organom zarządzania kryzysowego, służbom, strażom, inspekcjom oraz dyrektorowi RCB.
Dokumentację ochrony infrastruktury krytycznej. Operator opracowuje i na bieżąco aktualizuje dokumentację ochrony infrastruktury krytycznej, która jest dokumentem niejawnym. Zawiera ona: opis infrastruktury krytycznej i analizę zagrożeń, opis wdrożonych rozwiązań ochronnych, opis zasobów rezerwowych, procedury działania w sytuacji zagrożenia, procedury ciągłości działania i odtwarzania, a także zasady współpracy z organami. Dokumentacja uzgadniana jest z organami zarządzania kryzysowego w zakresie procedur działania w sytuacji zagrożenia. Operator składa oświadczenie o opracowaniu dokumentacji w terminie 15 miesięcy od dnia otrzymania informacji o wpisie do wykazu. Ustawa przewiduje, że operator będący jednocześnie podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa uwzględnia w dokumentacji ochrony infrastruktury krytycznej dokumentację dotyczącą bezpieczeństwa systemu informacyjnego.
Raport o stanie ochrony. Operator sporządza raport o stanie ochrony infrastruktury krytycznej za rok ubiegły, po raz pierwszy za rok 2027. Raport przekazywany jest do 31 marca każdego roku ministrowi właściwemu, właściwemu wojewodzie lub KNF. Na żądanie raport przekazywany jest również dyrektorowi RCB, Szefowi ABW lub Szefowi AW. Jest dokumentem niejawnym.
Sprawdzanie pracowników. Operator, w przypadku pracownika zatrudnionego na stanowisku umożliwiającym dostęp do informacji o bezpieczeństwie infrastruktury krytycznej, żąda informacji dotyczących karalności, w tym danych z Krajowego Rejestru Karnego. Operator może też żądać danych biometrycznych: odcisków linii papilarnych, głosu, obrazu rogówki, sieci żył palców lub biometrii twarzy, jeżeli są one adekwatne do wdrożonych środków kontroli dostępu.
Koordynator ochrony infrastruktury krytycznej. Operator wyznacza koordynatora ochrony infrastruktury krytycznej oraz jego zastępcę w terminie 30 dni od dnia otrzymania informacji o wpisie do wykazu. Koordynator podlega bezpośrednio organowi zarządzającemu operatora i musi spełniać szereg wymogów: być pracownikiem operatora lub żołnierzem/funkcjonariuszem służącym w strukturach operatora, korzystać z pełni praw publicznych, posiadać wiedzę i doświadczenie w zakresie zarządzania bezpieczeństwem, nie być skazanym prawomocnym wyrokiem za przestępstwo umyślne, a także spełniać wymagania bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych o klauzuli ustalonej indywidualnie, czyli właściwy minister, wojewoda, KNF lub NBP we współpracy z dyrektorem RCB ustalają klauzulę tajności dla danego operatora zgodnie z art. 6ze ust. 7; ustawa nie przewiduje tu jednej stałej klauzuli, w odróżnieniu od pełnomocnika bezpieczeństwa usługi kluczowej, dla którego wprost wskazano poziom „poufne”. O wyznaczeniu koordynatora operator informuje właściwy organ, właściwego wojewodę, KNF oraz dyrektora RCB.
Zagłuszanie łączności. Ustawa przyznaje operatorom infrastruktury krytycznej prawo do stosowania urządzeń uniemożliwiających telekomunikację na określonym obszarze, w praktyce chodzi o jammery, czyli urządzenia do zagłuszania sygnału radiowego, służące przede wszystkim do neutralizacji wrogich bezzałogowych statków powietrznych (dronów). Przepis dotyczy ściśle określonych sytuacji: zagrożeń lotniczych w rozumieniu Prawa lotniczego, zagrożeń w portach morskich oraz przypadków stosowania środków przymusu bezpośredniego przez pracowników ochrony specjalistycznych uzbrojonych formacji ochronnych. Przed zastosowaniem jammera operator informuje ministra właściwego do spraw wewnętrznych, Prezesa UKE oraz właściwy organ wojskowy zarządzający częstotliwościami, a o samym zastosowaniu powiadamia je niezwłocznie. Ustawa wskazuje przy tym, że czas zagłuszania musi być ograniczony do niezbędnego minimum, z uwzględnieniem konieczności minimalizacji skutków braku dostępności usług telekomunikacyjnych. Zarówno minister właściwy do spraw wewnętrznych, jak i Minister Obrony Narodowej mogą nakazać operatorowi zaprzestanie zagłuszania lub zmianę sposobu jego wykorzystywania, odpowiednio, gdy wymaga tego bezpieczeństwo wewnętrzne lub obronność państwa.
Podmioty krytyczne: szerszy katalog obowiązków
Operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych podlega dodatkowo reżimowi rozdziału 11 ustawy, który wdraża wprost przepisy dyrektywy CER. Obowiązki te są znacznie bardziej rozbudowane.
Zintegrowany system zarządzania bezpieczeństwem. Podmiot krytyczny wdraża zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej, obejmujący: ocenę ryzyka przeprowadzaną nie rzadziej niż raz na dwa lata, wdrożenie odpowiednich i proporcjonalnych rozwiązań organizacyjno-technicznych, bieżącą współpracę z organami zarządzania kryzysowego, gromadzenie informacji o zagrożeniach i incydentach, zarządzanie incydentami oraz stosowanie środków zapobiegawczych i ograniczających skutki zakłóceń.
Ocena ryzyka uwzględnia zagrożenia z KOR oraz inne zagrożenia charakterystyczne dla świadczonej usługi kluczowej, w tym zagrożenia antagonistyczne. Analizuje się też stopień zależności innych sektorów od danej usługi kluczowej oraz zależność podmiotu od usług świadczonych przez podmioty w innych państwach UE i w państwach trzecich. Pierwszą ocenę ryzyka podmiot przeprowadza w terminie 9 miesięcy od dnia otrzymania informacji o wpisie do wykazu podmiotów krytycznych (podmioty z sektora bankowości i infrastruktury rynków finansowych mają na to 10 miesięcy).
Rozwiązania organizacyjno-techniczne obejmują: polityki zarządzania ryzykiem, bezpieczeństwo fizyczne budynków i terenów, ochronę infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej, bezpieczeństwo osobowe pracowników i dostawców zewnętrznych, cyberbezpieczeństwo zgodnie z wymogami dla podmiotów kluczowych z ustawy o KSC, bezpieczeństwo prawne, ciągłość działania i odtwarzanie (w tym własne systemy rezerwowe), zdolność do ochrony informacji niejawnych, szkolenia i ćwiczenia personelu, a także okresowe audyty i certyfikację.
Podmiot wdraża te rozwiązania w terminie 3 miesięcy od przeprowadzenia oceny ryzyka. Normy i wytyczne do ich stosowania – w zakresie zarządzania bezpieczeństwem informacji, zarządzania ciągłością działania i bezpieczeństwa fizycznego – ma wskazać Rada Ministrów w rozporządzeniu.
Dokumentacja. Podmiot krytyczny opracowuje dokumentację zintegrowanego systemu zarządzania bezpieczeństwem, na którą składają się: dokumentacja systemu zarządzania bezpieczeństwem informacji, dokumentacja systemu zarządzania ciągłością działania usługi kluczowej, dokumentacja ochrony fizycznej i zabezpieczeń technicznych oraz bezpieczeństwa osobowego, dokumentacja ochrony infrastruktury krytycznej i dokumentacja cyberbezpieczeństwa. Dokumentację sporządza się w terminie 15 miesięcy od dnia otrzymania informacji o wpisie do wykazu. Podmiot jest obowiązany przechowywać dokumentację co najmniej 2 lata od jej wycofania z użytkowania.
Zarządzanie incydentami. Podmiot krytyczny zgłasza incydent istotny niezwłocznie, nie później niż w terminie 24 godzin od momentu jego wystąpienia lub wykrycia, do właściwego organu do spraw podmiotów krytycznych i dyrektora RCB, Szefa ABW oraz właściwego CSIRT poziomu krajowego. Zgłoszenie zawiera m.in. dane podmiotu, opis wpływu na usługę kluczową, liczbę dotkniętych użytkowników, moment wystąpienia i czas trwania incydentu, obszar geograficzny, wpływ na inne podmioty krytyczne, przyczynę i przebieg zdarzenia. W terminie 30 dni od dnia incydentu podmiot przekazuje pełne sprawozdanie. Progi uznania incydentu za istotny ma określić Rada Ministrów w rozporządzeniu, w podziale na sektory i podsektory, biorąc pod uwagę liczbę dotkniętych użytkowników, czas trwania zakłócenia, obszar geograficzny i inne czynniki sektorowe.
Ustawa nakłada też obowiązek informowania użytkowników usługi kluczowej o zagrożeniach dla niezakłóconego jej świadczenia i sposobach zabezpieczenia się przed tymi zagrożeniami, w szczególności przez stronę internetową podmiotu.
Audyt. Podmiot krytyczny przeprowadza audyt zintegrowanego systemu zarządzania bezpieczeństwem co najmniej raz na 3 lata, na własny koszt, w zakresie: zarządzania bezpieczeństwem informacji, zarządzania ciągłością działania oraz bezpieczeństwa fizycznego. Audyt przeprowadza jednostka certyfikująca lub co najmniej dwóch audytorów (w tym jeden z ukończonym szkoleniem audytora wiodącego), spełniających wymogi bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych o klauzuli „poufne”. Audytorzy nie mogą być osobami realizującymi w podmiocie audytowanym zadania z zakresu systemu bezpieczeństwa lub osobami, które realizowały te zadania w ciągu ostatnich 2 lat. Kopię raportu z audytu podmiot przekazuje właściwemu organowi w terminie 7 dni roboczych od jego otrzymania. Audytu nie przeprowadza się, jeżeli podmiot posiada odpowiednie certyfikaty. W przypadku wystąpienia incydentu istotnego organ do spraw podmiotów krytycznych może nakazać podmiotowi przeprowadzenie zewnętrznego audytu, decyzja taka podlega natychmiastowemu wykonaniu.
Szkolenia, ćwiczenia i testy ciągłości działania. Podmiot krytyczny zapewnia udział struktury organizacyjnej lub pracowników niezbędnych do świadczenia usługi kluczowej w szkoleniach i ćwiczeniach obronnych, z zakresu obrony cywilnej, ochrony ludności, przeciwdziałania zagrożeniom terrorystycznym oraz zarządzania kryzysowego. Testy ciągłości działania polegają na praktycznym sprawdzeniu zdolności podmiotu do zapewnienia lub przywrócenia świadczenia usługi kluczowej w scenariuszach zagrożeń wskazanych w KOR.
Sprawdzanie przeszłości. Podmiot krytyczny może prowadzić sprawdzenie przeszłości pracowników lub kandydatów pełniących newralgiczne role w strukturze organizacyjnej (w tym reprezentujących podmiot, pełniących funkcje kierownicze lub realizujących audyt), posiadających dostęp do budynków, obiegu informacji lub systemów kontroli, a także osób świadczących na jego rzecz usługi zewnętrzne z podobnym dostępem.
Sprawdzenie obejmuje potwierdzenie tożsamości i ocenę informacji z rejestrów karnych. Zakres uprawnień podmiotu różni się jednak w zależności od kategorii sprawdzanej osoby. Wobec własnych pracowników i kandydatów podmiot sam występuje do organu gminy o dane z rejestru PESEL i Rejestru Dowodów Osobistych, pozyskuje informacje z Krajowego Rejestru Karnego, a w przypadku obywateli innych państw UE zwraca się do Biura Informacyjnego KRK z wnioskiem o zapytanie do organów centralnych państwa obywatelstwa. Wobec osób zewnętrznych świadczących usługi podmiot może jedynie zażądać od nich samodzielnego przedłożenia dokumentu tożsamości i informacji z KRK.
Pełnomocnik bezpieczeństwa usługi kluczowej. Podmiot krytyczny wyznacza pełnomocnika bezpieczeństwa usługi kluczowej i jego zastępcę w terminie 30 dni od dnia otrzymania informacji o wpisie do wykazu podmiotów krytycznych. Pełnomocnik podlega bezpośrednio organowi zarządzającemu podmiotu i musi spełniać wymogi analogiczne do koordynatora ochrony infrastruktury krytycznej, w tym posiadać dostęp do informacji niejawnych o klauzuli „poufne”.
Bezpieczeństwo łańcucha dostaw. Podmiot krytyczny identyfikuje dostawców krytycznych tj. podmioty dostarczające produkty, usługi lub technologie, których zakłócenie może spowodować incydent istotny, prowadzi ich rejestr i przeprowadza ocenę ryzyka co najmniej raz w roku. Obowiązany jest też do opracowania planów awaryjnych, zapewnienia możliwości zastąpienia dostawcy krytycznego i określenia minimalnych wymagań bezpieczeństwa wobec dostawców. Dostawca krytyczny zgłasza incydenty istotne i podlega audytowi za pośrednictwem podmiotu krytycznego.
Organy do spraw podmiotów krytycznych i nadzór
Ustawa wyznacza właściwe organy do spraw podmiotów krytycznych w podziale na sektory. Dla sektora energii (w zakresie energii elektrycznej i ciepła) organem jest minister właściwy do spraw energii, zaś w zakresie wydobywania kopalin, ropy i paliw, gazu, energetyki jądrowej i wodoru minister właściwy do spraw gospodarki surowcami energetycznymi. Dla transportu właściwe są odpowiednie ministerstwa zależnie od podsektora (transport, gospodarka morska). Sektor bankowości i infrastruktury rynków finansowych nadzoruje Komisja Nadzoru Finansowego. Sektory infrastruktury cyfrowej i zarządzania usługami ICT odpowiednio minister właściwy do spraw informatyzacji i Prezes UKE. Pozostałe sektory nadzorują właściwi ministrowie branżowi.
Organ do spraw podmiotów krytycznych prowadzi bieżącą analizę operatorów infrastruktury krytycznej pod kątem uznania ich za podmiot krytyczny, identyfikuje podmioty krytyczne i wpisuje je do wykazu, po raz pierwszy w terminie 9 miesięcy od dnia wejścia ustawy w życie. Prowadzi kontrole podmiotów krytycznych, nakłada kary pieniężne, uczestniczy w planowaniu ćwiczeń i prowadzi działania informacyjne. Organy do spraw podmiotów krytycznych współpracują z organami właściwymi do spraw cyberbezpieczeństwa oraz (za pośrednictwem Pojedynczego Punktu Kontaktowego) z odpowiednimi organami innych państw UE.
Pojedynczy Punkt Kontaktowy prowadzony jest przez dyrektora RCB. Jego zadania obejmują: odbieranie i przekazywanie zgłoszeń incydentów istotnych między państwami UE, przekazywanie Komisji Europejskiej i Grupie ds. Odporności Podmiotów Krytycznych (CERG) sprawozdań co dwa lata, reprezentację Polski w tej Grupie oraz koordynację współpracy z organami właściwymi do spraw cyberbezpieczeństwa.
Kontrole podmiotów krytycznych prowadzone są przez właściwe organy do spraw podmiotów krytycznych tj. ministrów branżowych i Komisję Nadzoru Finansowego, każdego w swoim sektorze: w siedzibach podmiotów, miejscach wykonywania działalności lub zdalnie. Osoba prowadząca kontrolę ma prawo do swobodnego wstępu na teren podmiotu, wglądu w dokumenty, sporządzania kopii, żądania ustnych i pisemnych wyjaśnień, a także przeprowadzania oględzin urządzeń, nośników i systemów informacyjnych. Podmiot kontrolowany zapewnia warunki niezbędne do sprawnego przeprowadzenia kontroli. Po zakończeniu kontroli sporządzany jest protokół, który podmiot może zakwestionować w terminie 7 dni. W przypadku stwierdzenia naruszeń organ przekazuje zalecenia pokontrolne z terminem ich wykonania.
Podmiot krytyczny o szczególnym znaczeniu europejskim
Ustawa implementuje przepisy dyrektywy CER dotyczące podmiotów o szczególnym znaczeniu europejskim. Podmiot krytyczny, który świadczy co najmniej jedną z usług kluczowych wskazanych w rozporządzeniu delegowanym Komisji (UE) 2023/2450 lub świadczy te same albo podobne usługi na rzecz co najmniej sześciu państw UE, informuje o tym właściwy organ do spraw podmiotów krytycznych. Organ ten za pośrednictwem Pojedynczego Punktu Kontaktowego powiadamia Komisję Europejską. Decyzję o uznaniu podmiotu za krytyczny o szczególnym znaczeniu europejskim podejmuje Komisja Europejska. Podmiot taki może być poddany unijnej misji doradczej. Organ do spraw podmiotów krytycznych organizuje i koordynuje realizację misji, a po jej zakończeniu przesyła Komisji informację o stopniu wdrożenia rekomendowanych rozwiązań lub propozycje działań zmierzających do zwiększenia odporności.
Wyłączenia i przepisy szczególne
Ustawa przewiduje dwa istotne wyłączenia spośród reżimu podmiotów krytycznych. Podmioty krytyczne z sektora bankowości i infrastruktury rynków finansowych nie stosują przepisów rozdziałów 11–15 (obowiązki podmiotów krytycznych, audyt, kary), z wyjątkiem wybranych przepisów dotyczących oceny ryzyka, bezpieczeństwa fizycznego, osobowego, prawnego i ciągłości działania, szkoleń, ćwiczeń i testów ciągłości działania oraz pełnomocnika bezpieczeństwa. Podmioty z sektora infrastruktury cyfrowej nie stosują przepisów rozdziałów 11–15 w ogóle, do tych podmiotów stosuje się przepisy ustawy o KSC. Przepisy ustawy o zarządzaniu kryzysowym w zakresie zadań i obowiązków operatorów infrastruktury krytycznej (rozdz. 7) oraz zadań i obowiązków podmiotów krytycznych (rozdz. 11–16) nie mają zastosowania do organów i jednostek organizacyjnych podległych lub nadzorowanych przez Ministra Obrony Narodowej.
Przepisy przejściowe
Dotychczasowy jednolity wykaz infrastruktury krytycznej pozostaje w mocy do czasu sporządzenia nowego wykazu. Plany ochrony infrastruktury krytycznej opracowane na podstawie dotychczasowych przepisów zachowują moc do czasu opracowania dokumentacji ochrony infrastruktury krytycznej przez operatorów. Właściciele i posiadacze obiektów ujętych w dotychczasowym wykazie realizują obowiązki ochrony infrastruktury krytycznej na podstawie przepisów dotychczasowych do czasu dokonania nowych wpisów.
Kryteria identyfikacji infrastruktury krytycznej Rada Ministrów ma przyjąć po raz pierwszy w terminie 3 miesięcy od dnia wejścia ustawy w życie. Organy do spraw podmiotów krytycznych identyfikują podmioty krytyczne i wpisują je do wykazu po raz pierwszy w terminie 9 miesięcy od dnia wejścia ustawy w życie. Raport o stanie ochrony infrastruktury krytycznej operator sporządza po raz pierwszy za rok 2027. Pojedynczy Punkt Kontaktowy przekazuje Komisji Europejskiej pierwsze sprawozdanie dotyczące incydentów istotnych do 17 lipca 2028 r.
Kontekst: ustawa a dyrektywa CER i NIS2
Ustawa z 29 maja 2026 r. implementuje dyrektywę CER. Dyrektywa ta jest systemowo powiązana z dyrektywą NIS2 (2022/2555), której polskie wdrożenie realizuje nowelizacja ustawy o KSC. Oba akty unijne dotyczą tych samych podmiotów: operatorów infrastruktury krytycznej świadczących usługi kluczowe i narzucają komplementarne, choć odrębne reżimy: CER skupia się na odporności fizycznej i organizacyjnej, NIS2 na cyberbezpieczeństwie. Polska ustawa wprost tę symetrię uwzględnia, nakładając na podmioty krytyczne będące jednocześnie podmiotami klucznymi w rozumieniu ustawy o KSC obowiązek integracji dokumentacji cyberbezpieczeństwa z dokumentacją ochrony infrastruktury krytycznej, a w przypadku naruszeń z zakresu cyberbezpieczeństwa, przyznając pierwszeństwo organom właściwym dla KSC.
Ustawa z 29 maja 2026 r. to regulacja o szerokim zakresie, niniejszy artykuł omawia jej strukturę i główne mechanizmy. W kolejnych tekstach na Projekt IK szczegółowo przyjrzymy się najważniejszym elementom nowych przepisów: procesom identyfikacji infrastruktury krytycznej i podmiotów krytycznych, katalogowi obowiązków operatorów i podmiotów krytycznych, systemowi zgłaszania incydentów istotnych, a także nadzorowi, kontrolom i karom pieniężnym.
Tu można prześledzić proces legislacyjny: https://www.sejm.gov.pl/sejm10.nsf/PrzebiegProc.xsp?id=17ACCB6E986C5A4AC1258DB9003471B6