Polska implementacja dyrektywy CER (2022/2557) w postaci nowelizacji ustawy o zarządzaniu kryzysowym, uchwalonej 29 maja 2026 roku (oczekującej w chwili pisania tego artykułu na podpis Prezydenta RP) wprowadza do polskiego prawa nową kategorię podmiotów: podmiot krytyczny. To nie jest nowa nazwa dla operatorów infrastruktury krytycznej. To odrębny status prawny, z odrębnym wykazem i znacznie rozbudowanym katalogiem obowiązków.
Kim będzie podmiot krytyczny?
Zgodnie z art. 3 pkt 1a projektu ustawy podmiot krytyczny to operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych. Definicja jest zwięzła, ale kryje w sobie istotną sekwencję: najpierw trzeba być operatorem IK (czyli właścicielem lub posiadaczem zasobów wpisanych do wykazu infrastruktury krytycznej), a dopiero potem, po spełnieniu dodatkowych warunków, można zostać wpisanym do osobnego wykazu podmiotów krytycznych.
Warunki wpisania do wykazu podmiotów krytycznych określa art. 6zp ust. 1. Operator IK zostanie wpisany, gdy łącznie: prowadzi działalność w sektorze lub podsektorze wskazanym w załączniku do ustawy, świadczy co najmniej jedną usługę kluczową, posiada infrastrukturę krytyczną na terytorium RP lub na polskich obszarach morskich, a potencjalny incydent miałby istotny skutek zakłócający dla świadczenia tej usługi kluczowej. Czwarty warunek będzie oceniany na podstawie progów określonych w projektowanym rozporządzeniu Rady Ministrów w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego dla świadczenia usług (delegacja z art. 6zp ust. 3 ustawy), aktualnie dostępnym jako projekt z 28 maja 2026 r. Rozporządzenie to określa sektorowo kto może zostać podmiotem krytycznym i przy jakich progach ilościowych lub jakościowych, szczegółowo omówiliśmy je w osobnym artykule na tej stronie. O wpisie do wykazu podmiotów krytycznych podmiot będzie informowany przez właściwy organ do spraw podmiotów krytycznych, niezwłocznie, nie później niż w terminie 30 dni od dokonania wpisu (art. 6zr ust. 3). Od tego momentu zaczną biec terminy realizacji poszczególnych obowiązków.
https://legislacja.rcl.gov.pl/projekt/12410803
Pierwszy obowiązek: pełnomocnik bezpieczeństwa usługi kluczowej
Zanim podmiot krytyczny zdąży wdrożyć cokolwiek, będzie musiał wyznaczyć pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcę w terminie 30 dni od otrzymania informacji o wpisie do wykazu (art. 6zzd ust. 2). To pierwsza i najpilniejsza czynność organizacyjna. Pełnomocnik nie może być przypadkową osobą. Ustawa określa jego wymagania precyzyjnie (art. 6zzd ust. 4): musi być pracownikiem podmiotu krytycznego (albo żołnierzem lub funkcjonariuszem w przypadku jednostek wojskowych i służb), korzystać z pełni praw publicznych, posiadać wiedzę i doświadczenie w zakresie zarządzania bezpieczeństwem, nie być skazanym prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe, oraz spełniać wymagania bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych o klauzuli „poufne”. Pełnomocnik będzie podlegał bezpośrednio organowi zarządzającemu podmiotu krytycznego (art. 6zzd ust. 5), a nie np. działowi bezpieczeństwa. Bezpośrednio najwyższemu kierownictwu. O wyznaczeniu pełnomocnika podmiot krytyczny będzie musiał niezwłocznie poinformować właściwy organ do spraw podmiotów krytycznych oraz Dyrektora RCB, przekazując imię i nazwisko, numer telefonu oraz adres poczty elektronicznej tej osoby.
Zintegrowany system zarządzania bezpieczeństwem
Centralnym obowiązkiem podmiotu krytycznego będzie wdrożenie zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (art. 6zt ust. 1). To nie jest jeden dokument ani jeden projekt, to ciągły, zintegrowany system obejmujący sześć obszarów.
Ocena ryzyka: przeprowadzana nie rzadziej niż raz na dwa lata, obejmująca zagrożenia wskazane w Krajowym Ocenie Ryzyka (KOR) oraz inne zagrożenia charakterystyczne dla danej usługi kluczowej, w tym zagrożenia antagonistyczne. Ocena będzie musiała uwzględniać stopień zależności innych sektorów od usługi kluczowej podmiotu oraz stopień zależności samego podmiotu od usług kluczowych innych podmiotów, w uzasadnionych przypadkach także w sąsiadujących państwach UE i państwach trzecich. Osobno będzie wymagana identyfikacja alternatywnych łańcuchów dostaw dla przywrócenia usługi. Pierwsze przeprowadzenie oceny ryzyka, w terminie 9 miesięcy od otrzymania informacji o wpisie do wykazu (art. 6zt ust. 3); dla podmiotów sektora bankowego termin będzie dłuższy: 10 miesięcy (art. 6zze).
Rozwiązania organizacyjno-techniczne: wdrażane w terminie 3 miesięcy od przeprowadzenia oceny ryzyka (art. 6zt ust. 4), proporcjonalne do jej wyników, w zakresie: polityk zarządzania ryzykiem, bezpieczeństwa fizycznego (ochrona fizyczna budynków i terenów lub zabezpieczenia techniczne z systemami kontroli dostępu), ochrony infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej, bezpieczeństwa osobowego pracowników i dostawców zewnętrznych, cyberbezpieczeństwa zgodnie z wymogami dla podmiotów kluczowych z ustawy o KSC, bezpieczeństwa prawnego świadczenia usługi, ciągłości działania i odtwarzania (w tym własne systemy rezerwowe podtrzymujące usługę do czasu pełnego odtworzenia), zdolności do ochrony informacji niejawnych, szkoleń i ćwiczeń personelu, a także realizacji okresowych audytów i certyfikacji.
Ponieważ podmiot krytyczny jest jednocześnie operatorem IK, obowiązuje go również projektowane rozporządzenie Rady Ministrów w sprawie minimalnych wymagań w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej (delegacja z art. 6ze ust. 4 ustawy). Rozporządzenie to, aktualnie na etapie projektu, określa szczegółowe wymagania funkcjonalne w sześciu obszarach wskazanych wprost w delegacji ustawowej: bezpieczeństwo fizyczne, techniczne, osobowe, cyberbezpieczeństwo, prawne oraz ciągłość działania. Wymagania te stanowią punkt wyjścia do wdrażania rozwiązań ochronnych dotyczących IK niezbędnej do świadczenia usługi kluczowej. Co istotne, ustawa wprost penalizuje podmiot krytyczny za niewdrożenie tych rozwiązań (art. 6ze ust. 1 pkt 2) oraz za nieopracowanie dokumentacji ochrony IK (art. 6zf ust. 1) -art. 6zzr ust. 1 pkt 10 i 11.
https://legislacja.rcl.gov.pl/projekt/12410804
Współpraca z organami, czyli bieżąca wymiana informacji o zagrożeniach i incydentach z właściwymi organami zarządzania kryzysowego oraz służbami, strażami i inspekcjami.
Gromadzenie informacji o zagrożeniach i incydentach zakłócających lub mogących zakłócić świadczenie usługi kluczowej.
Zarządzanie incydentami omówione osobno poniżej.
Stosowanie środków zapobiegających i ograniczających wpływ incydentów.
Dokumentacja: obowiązek i terminy
Podmiot krytyczny będzie zobowiązany do opracowania i aktualizowania dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem (art. 6zu). Dokumentacja obejmie: dokumentację systemu zarządzania bezpieczeństwem informacji, dokumentację systemu zarządzania ciągłością działania usługi kluczowej, dokumentację ochrony fizycznej i zabezpieczeń technicznych oraz bezpieczeństwa osobowego, dokumentację ochrony infrastruktury krytycznej, dokumentację cyberbezpieczeństwa opracowywaną zgodnie z wymogami dla podmiotów kluczowych z ustawy o KSC, a także wszelką inną dokumentację adekwatną do rodzaju świadczonej usługi. Termin sporządzenia dokumentacji: 15 miesięcy od dnia otrzymania informacji o wpisie do wykazu podmiotów krytycznych (art. 6zu ust. 4). Dokumentacja będzie przechowywana przez co najmniej 2 lata od jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej. Dostęp do niej będzie musiał być ograniczony wyłącznie do osób upoważnionych.
Zarządzanie incydentami: 24 godziny na zgłoszenie
Jednym z najbardziej wymagających obowiązków będzie zarządzanie incydentami (art. 6zv). Podmiot krytyczny będzie zobowiązany do obsługi każdego incydentu oraz klasyfikowania go jako istotnego na podstawie progów określonych w projektowanym rozporządzeniu Rady Ministrów w sprawie progów uznania incydentu za incydent istotny (delegacja z art. 6zv ust. 4 ustawy), aktualnie dostępnym jako projekt z 28 maja 2026 r. Rozporządzenie to określa progi sektorowo i podsektorowo, w zależności od czasu trwania zakłócenia, liczby dotkniętych użytkowników, obszaru geograficznego oraz innych czynników charakterystycznych dla danego sektora. W przypadku incydentu istotnego podmiot będzie zobowiązany do jego zgłoszenia niezwłocznie, nie później niż w terminie 24 godzin od momentu wystąpienia lub wykrycia. Zgłoszenie incydentu istotnego będzie kierowane jednocześnie do: właściwego organu do spraw podmiotów krytycznych oraz Dyrektora RCB, Szefa Agencji Bezpieczeństwa Wewnętrznego, a także podmiotu prowadzącego CSIRT poziomu krajowego (art. 6zv ust. 1 pkt 4). Zgłoszenie będzie dokonywane za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC. Samo zgłoszenie to dopiero początek. Ustawa precyzuje co będzie ono zawierać (art. 6zw): dane podmiotu, dane osoby zgłaszającej i osoby do wyjaśnień, opis wpływu incydentu na usługę kluczową (w tym liczba dotkniętych użytkowników, moment wystąpienia i wykrycia, czas trwania, obszar geograficzny, wpływ na inne podmioty krytyczne, przyczyna i przebieg), informacje o działaniach zapobiegawczych i naprawczych. Podmiot będzie przekazywał informacje znane mu w chwili zgłoszenia, uzupełniając je w trakcie obsługi incydentu. W terminie 30 dni od wystąpienia incydentu istotnego będzie musiał przekazać pełne sprawozdanie z wszystkich czynności (art. 6zv ust. 1 pkt 7). Podmiot krytyczny będzie miał też obowiązek informowania użytkowników świadczonej usługi kluczowej o zagrożeniach dla jej niezakłóconego świadczenia oraz o skutecznych sposobach zabezpieczenia się — w szczególności przez udostępnianie takich informacji na stronie internetowej (art. 6zy).
https://legislacja.rcl.gov.pl/projekt/12410800
Audyt: co najmniej raz na trzy lata
Podmiot krytyczny będzie przeprowadzał audyt zintegrowanego systemu zarządzania bezpieczeństwem co najmniej raz na trzy lata, na własny koszt (art. 6zz ust. 1). Audyt obejmie trzy obszary: zarządzanie bezpieczeństwem informacji, zarządzanie ciągłością działania usługi kluczowej oraz bezpieczeństwo fizyczne (ochrona fizyczna i zabezpieczenia techniczne z systemami kontroli dostępu). Audyt będzie mogła przeprowadzić jednostka certyfikująca właściwa w danym zakresie albo co najmniej dwóch audytorów (w tym jeden z ukończonym szkoleniem audytora wiodącego) spełniających wymagania bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych o klauzuli „poufne” (art. 6zza ust. 1). Audytor nie może być osobą realizującą w podmiocie audytowanym zadania objęte audytem, ani osobą która realizowała je w tym podmiocie w ciągu ostatnich 2 lat (art. 6zza ust. 4), zasada niezależności jest twarda. Kopię raportu z audytu lub certyfikatu podmiot krytyczny będzie przekazywał właściwemu organowi do spraw podmiotów krytycznych w terminie 7 dni roboczych od jego otrzymania (art. 6zza ust. 7). Jeżeli podmiot będzie posiadał certyfikaty w zakresach objętych audytem, audytu nie będzie się przeprowadzać (art. 6zza ust. 6). W przypadku wystąpienia incydentu istotnego organ do spraw podmiotów krytycznych będzie mógł nakazać podmiotowi przeprowadzenie zewnętrznego audytu w drodze decyzji, z określonym terminem i zakresem. Decyzja taka będzie podlegała natychmiastowemu wykonaniu (art. 6zz ust. 2).
Sprawdzenie przeszłości pracowników
Podmiot krytyczny będzie mógł prowadzić sprawdzenie przeszłości wybranych pracowników i kandydatów (art. 6zzc ust. 1). Dotyczyć to będzie osób pełniących newralgiczne role w strukturze organizacyjnej (w tym reprezentujących podmiot, pełniących funkcje kierownicze lub koordynacyjne), osób posiadających bezpośredni lub zdalny dostęp do budynków, informacji lub systemów kontroli związanych z bezpieczeństwem, a także osób realizujących audyt. Sprawdzeniu będą też podlegać osoby świadczące usługi na rzecz podmiotu, niebędące jego pracownikami, jeżeli posiadają dostęp do budynków lub systemów kontroli. Sprawdzenie obejmie potwierdzenie tożsamości oraz ocenę informacji z rejestrów karnych pod kątem przestępstw mogących mieć znaczenie dla danego stanowiska (art. 6zzc ust. 2). Będzie przeprowadzane co najmniej raz na trzy lata (art. 6zzc ust. 6). Nie będzie przeprowadzane wobec osób posiadających co najmniej poświadczenie bezpieczeństwa o klauzuli „poufne” (art. 6zzc ust. 8).
Ćwiczenia i testy ciągłości działania
Podmiot krytyczny będzie zobowiązany do zapewnienia udziału swoich struktur organizacyjnych lub pracowników w szkoleniach i ćwiczeniach obronnych, obrony cywilnej, ochrony ludności, z zakresu przeciwdziałania zagrożeniom terrorystycznym oraz zarządzania kryzysowego, a także w testach ciągłości działania (art. 6zzb ust. 1). Planowanie i organizację udziału w tych szkoleniach i ćwiczeniach podmiot krytyczny będzie prowadził we współpracy z właściwym organem do spraw podmiotów krytycznych lub Dyrektorem RCB (art. 6zzb ust. 4 i 6).
Kary za niewykonanie obowiązków
Niewykonanie obowiązków przez podmiot krytyczny nie pozostanie bez konsekwencji. Ustawa określa kary pieniężne za konkretne naruszenia (art. 6zzr ust. 1) wraz z ich wysokościami. Za nieprzeprowadzenie oceny ryzyka do 100 000 zł (minimum 15 000 zł). Za niewdrożenie rozwiązań organizacyjno-technicznych do 150 000 zł (minimum 15 000 zł). Za nieopracowanie lub nieaktualizowanie dokumentacji do 50 000 zł (minimum 5 000 zł). Za zaniechanie obsługi incydentu istotnego do 20 000 zł za każdy stwierdzony przypadek (minimum 2 000 zł). Za niezgłoszenie incydentu istotnego do 25 000 zł za każdy stwierdzony przypadek (minimum 2 000 zł). Za nieprzeprowadzenie audytu do 200 000 zł (minimum 15 000 zł). Za niewyznaczenie pełnomocnika bezpieczeństwa lub jego zastępcy do 15 000 zł (minimum 2 000 zł). Za uniemożliwianie lub utrudnianie kontroli do 50 000 zł (minimum 5 000 zł). Za niewykonanie w terminie zaleceń pokontrolnych do 200 000 zł (minimum 15 000 zł). Kary nakłada właściwy organ do spraw podmiotów krytycznych w drodze decyzji (art. 6zzs ust. 1). Wpływy z kar w 70% stanowią dochód budżetu państwa, a w 30% przychód Funduszu Cyberbezpieczeństwa (art. 6zzs ust. 3).
Harmonogram wdrożenia: co i kiedy
Dla organizacji, które zostaną wpisane do wykazu podmiotów krytycznych, projekt ustawy przewiduje następującą sekwencję działań:
W ciągu 30 dni od otrzymania informacji o wpisie: wyznaczenie pełnomocnika bezpieczeństwa usługi kluczowej i jego zastępcy.
W ciągu 9 miesięcy od otrzymania informacji o wpisie (10 miesięcy dla sektora bankowego): przeprowadzenie pierwszej oceny ryzyka.
W ciągu 3 miesięcy od przeprowadzenia oceny ryzyka: wdrożenie rozwiązań organizacyjno-technicznych.
W ciągu 15 miesięcy od otrzymania informacji o wpisie: sporządzenie pełnej dokumentacji zintegrowanego systemu.
Co najmniej raz na 2 lata: kolejne oceny ryzyka.
Co najmniej raz na 3 lata: audyt systemu zarządzania bezpieczeństwem oraz sprawdzenie przeszłości kluczowych pracowników.
Podsumowanie
Status podmiotu krytycznego będzie oznaczał wejście w rozbudowany system obowiązków, znacznie wykraczający poza to, czego ustawa wymaga od operatora IK. Centralnym elementem będzie zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej, łączący ocenę ryzyka, rozwiązania organizacyjno-techniczne, dokumentację, zarządzanie incydentami, audyt i weryfikację personelu. Kluczową osobą w tym systemie będzie pełnomocnik bezpieczeństwa usługi kluczowej, wyznaczany jako pierwszy, podlegający bezpośrednio najwyższemu kierownictwu.
Dla organizacji działających w sektorach objętych ustawą już teraz warto przeanalizować, czy spełniają progi z projektowanego rozporządzenia o wykazie usług kluczowych. Im wcześniej ta analiza zostanie przeprowadzona, tym więcej czasu pozostanie na przygotowanie się do nowych wymagań.
Artykuł opiera się na analizie projektu ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (tekst ustalony ostatecznie po rozpatrzeniu poprawek Senatu; w chwili publikacji ustawa oczekuje na podpis Prezydenta RP). Cytowane przepisy odnoszą się do treści projektu i mogą ulec zmianie.
Informacje zawarte na stronie to prywatne poglądy autorki i nie mogą być utożsamiane z instytucją, w której jest zatrudniona.