Nowelizacja ustawy o zarządzaniu kryzysowym uchwalona 29 maja 2026 roku, wdrażająca unijną dyrektywę CER (2022/2557), oczekuje na podpis Prezydenta RP. Wraz z nią wejdą w życie nowe i zmienione obowiązki dla operatorów infrastruktury krytycznej.
Kim będzie operator infrastruktury krytycznej?
Zgodnie z art. 3 pkt 3a projektu ustawy operator infrastruktury krytycznej to właściciel lub posiadacz obiektu, urządzenia, instalacji, sieci, systemu lub usługi lub połączonych ze sobą funkcjonalnie obiektów, urządzeń, instalacji, sieci, systemów lub usług wpisanych do wykazu infrastruktury krytycznej.
Status operatora IK wynika zatem z faktu wpisania konkretnego zasobu do wykazu infrastruktury krytycznej prowadzonego przez Dyrektora Rządowego Centrum Bezpieczeństwa. Wykaz ten jest dokumentem niejawnym (art. 6r ust. 3), a kryteria wpisania do niego określa uchwała Rady Ministrów, również niejawna (art. 6r ust. 5–6). O dokonaniu wpisu Dyrektor RCB informuje właściciela lub posiadacza w terminie 30 dni od dnia wpisu (art. 6w ust. 1), jednocześnie informując go o obowiązkach wynikających z rozdziału 7 ustawy.
Warto podkreślić: operator IK to nie to samo co podmiot krytyczny. Podmiot krytyczny to operator IK wpisany dodatkowo do wykazu podmiotów krytycznych, po spełnieniu czterech warunków z art. 6zp ust. 1, w tym przekroczeniu progów z projektowanego rozporządzenia o wykazie usług kluczowych. Operator IK, który nie spełnia tych warunków, pozostaje operatorem IK z węższym katalogiem obowiązków, opisanym poniżej.
Centralny obowiązek: ochrona infrastruktury krytycznej
Podstawowym obowiązkiem operatora IK będzie zapewnienie ochrony infrastruktury krytycznej (art. 6ze ust. 1). Ustawa określa pięć elementów tego obowiązku.
Bieżąca analiza zagrożeń: operator będzie prowadził ciągłą analizę zagrożeń dla swojej infrastruktury krytycznej. Pierwszą analizę będzie musiał przeprowadzić w terminie 6 miesięcy od dnia otrzymania informacji o wpisie do wykazu IK (art. 6ze ust. 2).
Wdrożenie rozwiązań ochronnych: adekwatnych do wyników analizy zagrożeń, w sześciu obszarach: bezpieczeństwa fizycznego (ochrona fizyczna lub zabezpieczenia techniczne z systemami kontroli dostępu), bezpieczeństwa technicznego, bezpieczeństwa osobowego dotyczącego pracowników i dostawców zewnętrznych, cyberbezpieczeństwa, bezpieczeństwa prawnego oraz ciągłości działania i odtwarzania (w tym własne systemy rezerwowe podtrzymujące funkcjonalność IK do czasu jej pełnego odtworzenia). Rozwiązania te operator będzie wdrażał w terminie 6 miesięcy od dnia przeprowadzenia analizy zagrożeń (art. 6ze ust. 3). Standard tych rozwiązań będzie wyznaczało projektowane rozporządzenie Rady Ministrów w sprawie minimalnych wymagań w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej (delegacja z art. 6ze ust. 4), aktualnie na etapie projektu.
Bieżąca współpraca z organami: operator będzie sporządzał, przekazywał i odbierał informacje o zagrożeniach zakłócających lub mogących zakłócić funkcjonowanie IK oraz o spodziewanych przerwach lub zakłóceniach. Współpraca będzie prowadzona z organami zarządzania kryzysowego, służbami, strażami i inspekcjami oraz Dyrektorem RCB (art. 6ze ust. 1 pkt 3).
Przekazywanie informacji na żądanie: operator będzie sporządzał i przekazywał informacje w zakresie ochrony IK na żądanie właściwego ministra lub wojewody, Komisji Nadzoru Finansowego, Dyrektora RCB, a także Szefa ABW lub Szefa Agencji Wywiadu (art. 6ze ust. 1 pkt 4).
Zdolność do ochrony informacji niejawnych — operator będzie zobowiązany do spełnienia wymagań określonych w ustawie o ochronie informacji niejawnych (art. 6ze ust. 1 pkt 5).
Koordynator ochrony infrastruktury krytycznej
Podobnie jak podmiot krytyczny wyznacza pełnomocnika bezpieczeństwa, operator IK będzie wyznaczał koordynatora ochrony infrastruktury krytycznej oraz jego zastępcę, w terminie 30 dni od dnia otrzymania informacji o wpisie do wykazu IK (art. 6zi ust. 2). Koordynator będzie realizował zadania z art. 6ze ust. 1 (ochrona IK), art. 6zf ust. 1 (dokumentacja) oraz art. 6zg ust. 1 (raport roczny). Wymagania wobec kandydata są analogiczne jak wobec pełnomocnika bezpieczeństwa podmiotu krytycznego: pracownik operatora (lub żołnierz/funkcjonariusz), pełnia praw publicznych, wiedza i doświadczenie w zakresie zarządzania bezpieczeństwem, brak skazania za umyślne przestępstwo, 5. spełnienie wymagań bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych o klauzuli ustalonej indywidualnie w trybie określonym w art. 6ze ust. 7 ustawy (art. 6zi ust. 4 pkt 5), w odróżnieniu od pełnomocnika podmiotu krytycznego, dla którego ustawa wprost wskazuje klauzulę „poufne”. Koordynator będzie podlegał bezpośrednio organowi zarządzającemu operatora IK (art. 6zi ust. 5). O jego wyznaczeniu operator będzie informował właściwego ministra, właściwego miejscowo wojewodę, Komisję Nadzoru Finansowego oraz Dyrektora RCB (art. 6zi ust. 6).
Dokumentacja ochrony infrastruktury krytycznej
Operator IK będzie zobowiązany do opracowania i bieżącego aktualizowania dokumentacji ochrony infrastruktury krytycznej (art. 6zf ust. 1). Dokumentacja ta będzie zawierała: opis IK i analizę zagrożeń, opis wdrożonych rozwiązań ochronnych, opis zasobów podtrzymujących funkcjonowanie IK do czasu jej pełnego odtworzenia oraz zasad współpracy z organami kryzysowymi, a także procedury działania w sytuacji zagrożenia, zapewnienia ciągłości funkcjonowania IK i odtwarzania IK (art. 6zf ust. 2). Procedury działania w sytuacji zagrożenia będą uzgadniane z właściwymi organami zarządzania kryzysowego, służbami, strażami i inspekcjami (art. 6zf ust. 3). Dokumentacja ochrony IK jest dokumentem niejawnym (art. 6zf ust. 4). Operator będzie przekazywał ją na żądanie właściwego ministra, wojewody, KNF lub Dyrektora RCB (art. 6zf ust. 7). Termin sporządzenia dokumentacji: 15 miesięcy od dnia otrzymania informacji o wpisie do wykazu IK operator przedkłada w tym terminie oświadczenie o opracowaniu dokumentacji właściwemu ministrowi, wojewodzie lub KNF oraz Dyrektorowi RCB (art. 6zf ust. 5). Jeżeli operator nie jest w stanie wdrożyć wszystkich wymaganych rozwiązań, może do oświadczenia dołączyć informację o tym fakcie wraz z uzasadnieniem i uzgodnić z właściwym organem plan wdrożenia brakujących rozwiązań (art. 6zf ust. 6).
Raport roczny o stanie ochrony IK
Operator IK będzie sporządzał raport o stanie ochrony infrastruktury krytycznej za rok ubiegły — w terminie do 31 marca każdego roku (art. 6zg ust. 1). Raport będzie zawierał informacje o stanie ochrony IK w sześciu obszarach: bezpieczeństwo fizyczne, techniczne, osobowe, cyberbezpieczeństwo, bezpieczeństwo prawne oraz ciągłość działania i odtwarzanie (art. 6zg ust. 2). Raport będzie sporządzany z uwzględnieniem analizy zagrożeń, wdrożonych rozwiązań, zagrożeń które zakłóciły lub mogły zakłócić funkcjonowanie IK a nie były ujęte w analizie, wyników przeprowadzonych kontroli i audytów oraz opisu działań podjętych w przypadkach zagrożeń (art. 6zg ust. 3). Raport będzie przekazywany do 31 marca właściwemu ministrowi, właściwemu miejscowo wojewodzie lub KNF (art. 6zg ust. 4), a na żądanie: Dyrektorowi RCB, Szefowi ABW lub Szefowi Agencji Wywiadu (art. 6zg ust. 5). Raport jest dokumentem niejawnym (art. 6zg ust. 6).
Bezpieczeństwo osobowe pracowników
W zakresie bezpieczeństwa osobowego operator IK będzie miał dwa szczególne uprawnienia i obowiązki wobec pracowników zatrudnionych na stanowiskach umożliwiających dostęp do informacji o bezpieczeństwie infrastruktury krytycznej (art. 6zh ust. 1 i 2).
Po pierwsze, będzie żądał od takich pracowników i kandydatów na te stanowiska informacji o karalności, w tym o tym, czy ich dane są zgromadzone w Krajowym Rejestrze Karnym (art. 6zh ust. 1). Po drugie, będzie żądał od tych pracowników danych biometrycznych: odcisków linii papilarnych, głosu, obrazu rogówki, sieci żył palców lub biometrii twarzy, jeżeli są one odpowiednie do wdrożonych środków kontroli dostępu niezbędnych dla ochrony szczególnie ważnych informacji o bezpieczeństwie IK lub dostępu do stref, obiektów lub pomieszczeń wymagających szczególnej kontroli (art. 6zh ust. 2).
Harmonogram wdrożenia: co i kiedy
Dla organizacji, które zostaną wpisane do wykazu IK, projekt ustawy przewiduje następującą sekwencję:
W ciągu 30 dni od otrzymania informacji o wpisie: wyznaczenie koordynatora ochrony IK i jego zastępcy.
W ciągu 6 miesięcy od otrzymania informacji o wpisie: przeprowadzenie analizy zagrożeń.
W ciągu 6 miesięcy od przeprowadzenia analizy zagrożeń: wdrożenie rozwiązań ochronnych (łącznie do 12 miesięcy od wpisu).
W ciągu 15 miesięcy od otrzymania informacji o wpisie: złożenie oświadczenia o opracowaniu dokumentacji ochrony IK.
Do 31 marca każdego roku: raport o stanie ochrony IK za rok ubiegły.
Operator IK a podmiot krytyczny: co się zmienia po wpisie do wykazu podmiotów krytycznych
Operator IK, który spełni warunki z art. 6zp ust. 1 i zostanie wpisany do wykazu podmiotów krytycznych, zachowuje wszystkie obowiązki operatora IK i dostaje do nich znacznie rozbudowany katalog dodatkowych obowiązków podmiotu krytycznego. Obejmują one m.in. zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej, audyt co najmniej raz na trzy lata, zgłaszanie incydentów istotnych w terminie 24 godzin czy sprawdzenie przeszłości kluczowych pracowników. Status podmiotu krytycznego to zatem nadbudowa nad statusem operatora IK, a nie jego zastąpienie.
Podsumowanie
Status operatora infrastruktury krytycznej będzie wiązał się z konkretnym i wymagającym katalogiem obowiązków: ciągłą analizą zagrożeń, wdrożeniem rozwiązań ochronnych w sześciu obszarach, prowadzeniem i aktualizowaniem niejawnej dokumentacji ochrony, corocznym raportem o stanie ochrony oraz wyznaczeniem koordynatora ochrony IK podlegającego bezpośrednio najwyższemu kierownictwu. Kluczowym punktem orientacyjnym będzie informacja od Dyrektora RCB o wpisie do wykazu, od tego momentu zaczną biec terminy wszystkich obowiązków.
Artykuł opiera się na analizie projektu ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (tekst ustalony ostatecznie po rozpatrzeniu poprawek Senatu; w chwili publikacji ustawa oczekuje na podpis Prezydenta RP). Cytowane przepisy odnoszą się do treści projektu i mogą ulec zmianie.
https://www.sejm.gov.pl/Sejm10.nsf/PrzebiegProc.xsp?nr=2355
Informacje zawarte na stronie to prywatne poglądy autorki i nie mogą być utożsamiane z instytucją, w której jest zatrudniona.