Nowelizacja ustawy o zarządzaniu kryzysowym z dnia 29 maja 2026 r. (Dz. U. poz. 815), która wejdzie w życie 3 lipca 2026 r., wprowadza do polskiego prawa zupełnie nowe pojęcie: potencjalną infrastrukturę krytyczną. To kategoria, która do tej pory nie istniała w polskim systemie ochrony IK. Jej adresatem nie są operatorzy istniejącej infrastruktury, lecz inwestorzy, podmioty realizujące prace projektowe lub budowlane, których efektem może być nowa infrastruktura krytyczna.
Definicja: co to jest potencjalna IK?
Zgodnie z art. 3 pkt 2b ustawy potencjalna infrastruktura krytyczna to obiekt, urządzenie, instalacja, sieć, system lub usługa lub połączone ze sobą funkcjonalnie obiekty, urządzenia, instalacje, sieci, systemy lub usługi będące na etapie projektowania lub budowy, które po ich zakończeniu mogą być niezbędne do:
- realizacji ważnych interesów państwa, w tym zapewnienia funkcjonowania organów administracji publicznej,
- zapewnienia funkcjonowania przedsiębiorstw,
- zaspokajania oraz utrzymywania potrzeb obywateli, w tym potrzeb o charakterze lokalnym,
- zapewnienia świadczenia usług kluczowych.
Kluczowe jest to, że potencjalna IK to zasób jeszcze nieistniejący, będący dopiero w fazie projektowania lub budowy. Nie jest to więc infrastruktura krytyczna w rozumieniu art. 3 pkt 2 ustawy, lecz zasób, który po ukończeniu może taką infrastrukturą się stać. Ustawa dostrzega zatem, że ochronę IK warto planować już na etapie powstawania infrastruktury, nie dopiero po jej oddaniu do użytku.
Kiedy przepisy zaczną działać w praktyce?
Choć ustawa wejdzie w życie 3 lipca 2026 r., wykaz potencjalnej infrastruktury krytycznej nie zostanie uruchomiony z dnia na dzień. Warunkiem koniecznym do dokonania pierwszych wpisów jest przyjęcie przez Radę Ministrów kryteriów identyfikacji infrastruktury krytycznej, niejawnej uchwały, na której wydanie ustawa daje 3 miesiące od dnia wejścia w życie. Dopiero po przyjęciu tych kryteriów organy będą mogły oceniać, czy dany zasób w budowie kwalifikuje się do wykazu potencjalnej IK i składać wnioski o wpis. Inwestorzy nie muszą zatem działać natychmiast, ale powinni już teraz zapoznać się z mechanizmem i monitorować postęp prac nad kryteriami.
Wykaz potencjalnej IK to wykaz odrębny od wykazu IK
Podobnie jak infrastruktura krytyczna ma swój własny wykaz, tak i potencjalna infrastruktura krytyczna jest ujmowana w odrębnym wykazie potencjalnej infrastruktury krytycznej prowadzonym przez Dyrektora RCB (art. 6y ust. 1). To dwa oddzielne dokumenty, wpis do wykazu potencjalnej IK nie oznacza automatycznego wpisu do wykazu IK po zakończeniu budowy.
Wykaz potencjalnej IK zawiera: nazwę i lokalizację potencjalnej IK, dane inwestora (siedzibę, adres, NIP) oraz wskazanie organu identyfikującego (art. 6y ust. 2). Wykaz jest dokumentem niejawnym (art. 6y ust. 3). Dyrektor RCB opracowuje wyciągi z wykazu dotyczące poszczególnych województw i przekazuje je właściwym wojewodom (art. 6z ust. 3).
Kryterium wpisu: dokumentacja budowy
Zasób będący na etapie projektowania lub budowy może zostać wpisany do wykazu potencjalnej IK, jeżeli z dokumentacji budowy (w rozumieniu art. 3 pkt 13 ustawy Prawo budowlane) wynika, że po ukończeniu spełni kryteria infrastruktury krytycznej określone w uchwale Rady Ministrów (art. 6y ust. 4). Nie jest zatem wystarczające samo przekonanie inwestora ani organu, musi to wynikać wprost z dokumentacji.
Kto identyfikuje potencjalną IK?
Procedura identyfikacji potencjalnej IK opiera się na tych samych organach i tym samym trybie wnioskowym co procedura identyfikacji infrastruktury krytycznej, różni się natomiast kryterium wpisu. Zamiast rzeczywistego spełnienia kryteriów wystarczy, że z dokumentacji budowy wynika, iż zasób spełni je po ukończeniu. Wpisu do wykazu dokonuje Dyrektor RCB na podstawie wniosku złożonego przez jedną z czterech instytucji (art. 6z ust. 1): ministra kierującego działem administracji rządowej, właściwego miejscowo wojewodę, Komisję Nadzoru Finansowego lub Narodowy Bank Polski. Każdy z tych organów identyfikuje potencjalną IK we współpracy z Dyrektorem RCB, stosując odpowiednio przepisy o identyfikacji zwykłej IK (art. 6za ust. 1–3). Oznacza to w szczególności, że organy mogą żądać od inwestora informacji i dokumentów niezbędnych do oceny, czy dany zasób po ukończeniu spełni kryteria IK, z terminem odpowiedzi nie krótszym niż 14 dni. W przypadku NBP wpis do wykazu potencjalnej IK może dotyczyć wyłącznie zasobów, których NBP jest inwestorem i które zgodnie z dokumentacją budowy po ukończeniu spełnią co najmniej jedno kryterium przekrojowe (art. 6z ust. 2).
Informowanie inwestora
O dokonaniu wpisu do wykazu potencjalnej IK Dyrektor RCB informuje inwestora w terminie 30 dni od dnia wpisu, jednocześnie wskazując mu obowiązki wynikające z art. 6zc ust. 2 (art. 6zb ust. 1). Informację tę Dyrektor RCB przekazuje niezwłocznie również organowi, który złożył wniosek o wpis (art. 6zb ust. 2). Warto podkreślić: adresatem informacji jest inwestor, nie właściciel, nie posiadacz, nie przyszły operator. To pojęcie zaczerpnięte wprost z ustawy Prawo budowlane – podmiot realizujący prace projektowe lub budowlane.
Wsparcie ze strony organów
Ustawa nie pozostawia inwestora bez pomocy. Organy identyfikujące (minister, wojewoda, KNF), w zakresie swojej właściwości i we współpracy z Dyrektorem RCB, są zobowiązane do przedstawienia inwestorowi informacji oraz dokumentów pozwalających na uwzględnienie wymogów dotyczących IK w dokumentacji budowy lub podczas realizacji inwestycji (art. 6zc ust. 1). Organy zapewniają też bieżącą współpracę z inwestorem. To istotna różnica w stosunku do standardowego trybu, inwestor nie jest pozostawiony sam sobie z obowiązkiem spełnienia wymagań, których jeszcze nie zna. Organy mają aktywnie pomagać mu w zrozumieniu, co powinno znaleźć się w dokumentacji projektowej.
Obowiązki inwestora: ograniczony katalog
Inwestor wpisany do wykazu potencjalnej IK nie ponosi takich samych obowiązków jak operator IK. Ustawa stosuje do niego tylko wybrane przepisy z rozdziału 7 (art. 6zc ust. 2):
- prowadzenie bieżącej analizy zagrożeń dla potencjalnej IK (art. 6ze ust. 1 pkt 1),
- wdrożenie rozwiązań w zakresie bezpieczeństwa fizycznego: ochrony fizycznej budynków i terenów lub zabezpieczeń technicznych z systemami kontroli dostępu (art. 6ze ust. 1 pkt 2 lit. a),
- bieżąca współpraca z właściwymi organami zarządzania kryzysowego (art. 6ze ust. 1 pkt 3 lit. a),
- przekazywanie informacji na żądanie właściwego ministra, wojewody, KNF, Dyrektora RCB lub Szefa ABW (art. 6ze ust. 1 pkt 4),
- w zakresie dokumentacji: opis potencjalnej IK i analiza zagrożeń (art. 6zf ust. 2 pkt 1), opis zasobów podtrzymujących funkcjonowanie do czasu pełnego odtworzenia (art. 6zf ust. 2 pkt 3 lit. a) oraz procedury działania w sytuacji zagrożenia (art. 6zf ust. 2 pkt 4 lit. a).
Inwestor nie jest zatem obciążony pełnym katalogiem obowiązków operatora IK; obowiązki dotyczące bezpieczeństwa technicznego, osobowego, cyberbezpieczeństwa, ciągłości działania czy raportowania rocznego go nie dotyczą. Logika jest prosta: zasób jest dopiero budowany, więc wymagania są proporcjonalne do etapu realizacji.
Bieżąca wymiana informacji między organami
Organy identyfikujące oraz Dyrektor RCB prowadzą bieżącą wymianę informacji dotyczących identyfikacji zasobów na etapie projektowania lub budowy mogących trafić do wykazu potencjalnej IK (art. 6zd). To mechanizm koordynacji – żaden z organów nie działa w izolacji.
Potencjalna IK a IK: co dalej po zakończeniu budowy?
Ustawa nie zawiera automatycznego mechanizmu przekształcenia wpisu z wykazu potencjalnej IK do wykazu IK po zakończeniu budowy. Po oddaniu inwestycji do użytku standardowa procedura identyfikacyjna biegnie od nowa. Organ ocenia, czy ukończony zasób faktycznie spełnia kryteria IK, i składa wniosek o wpis do wykazu IK. Wpis do wykazu potencjalnej IK jest zatem sygnałem dla organu i inwestora, nie automatycznym wpisem do wykazu IK.
Podsumowanie
Pojęcie potencjalnej infrastruktury krytycznej to nowość w polskim prawie, wynikająca z logiki dyrektywy CER; ochrona IK powinna zaczynać się już na etapie projektowania, nie dopiero po oddaniu do użytku. Co ciekawe, w dyrektywie takie pojęcie nie występuje. Dla inwestorów realizujących duże projekty infrastrukturalne w sektorach objętych ustawą oznacza to, że już w fazie projektowej mogą zostać objęci wykazem potencjalnej IK i otrzymać związane z tym obowiązki, przede wszystkim w zakresie analizy zagrożeń, bezpieczeństwa fizycznego i dokumentacji. Obowiązki te są węższe niż obowiązki operatora IK, ale stanowią sygnał, że budowana infrastruktura już teraz jest traktowana jako strategicznie istotna.
Wykaz potencjalnej IK nie jest jednak jeszcze uruchomiony, pierwsze wpisy będą możliwe dopiero po przyjęciu przez Radę Ministrów kryteriów identyfikacji infrastruktury krytycznej. Inwestorzy mają zatem czas na przygotowanie, ale nie nieograniczony.
Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. poz. 815). Ustawa wejdzie w życie 4 lipca 2026 r. Cytowane przepisy odnoszą się do tekstu opublikowanego w Dzienniku Ustaw.