19 czerwca 2026 r. Prezydent Karol Nawrocki podpisał ustawę z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw. To moment, który zamknął wielomiesięczny proces legislacyjny.
Kiedy ustawa wchodzi w życie?
Zgodnie z art. 73 ustawy, wchodzi ona w życie po upływie 14 dni od dnia ogłoszenia w Dzienniku Ustaw. Ustawa została ogłoszona 19 czerwca 2026 r. pod poz. 815, co oznacza, że wejdzie w życie 4 lipca 2026 r.
Siedem aktów wykonawczych: cztery procedowane, trzy przed nami
Pełne uruchomienie systemu wymaga łącznie siedmiu aktów wykonawczych. W tej chwili procedowane są cztery spośród nich.
Rozporządzenie w sprawie minimalnych wymagań bezpieczeństwa (podstawa: art. 6ze ust. 4 ustawy) określi minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej. Projekt obejmuje szczegółowe wymagania dla obiektów lądowych i morskich, systemów sterowania przemysłowego (OT), przetwarzania danych w chmurze obliczeniowej oraz ciągłości działania. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia (§ 4 projektu rozporządzenia).
Rozporządzenie w sprawie progów uznania incydentu za istotny (podstawa: art. 6zv ust. 4 ustawy) określi, jakie zdarzenie kwalifikuje się jako incydent istotny dla poszczególnych sektorów i podsektorów. Progi różnią się znacząco w zależności od sektora: w energetyce elektrycznej jest to np. równoczesne nieplanowane wyłączenie co najmniej dwóch modułów wytwarzania energii o sumarycznej mocy powyżej 400 MW w jednej elektrowni, trwające ponad 15 minut; w zaopatrzeniu w wodę – brak dostępności usługi dla co najmniej 100 000 użytkowników przez ponad 8 godzin. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Rozporządzenie w sprawie wykazu usług kluczowych i progów istotności (podstawa: art. 6zp ust. 3 ustawy) określi, jakie podmioty i na podstawie jakich kryteriów ilościowych mogą zostać uznane za podmioty krytyczne. To rozporządzenie jest kluczowe dla procesu identyfikacji podmiotów krytycznych. Projekt jest publiczny i wchodzi w życie po upływie 14 dni od ogłoszenia.
Uchwała Rady Ministrów w sprawie kryteriów identyfikacji infrastruktury krytycznej (podstawa: art. 6r ust. 5 ustawy zmienianej) określi kryteria sektorowe oraz kryteria przekrojowe pozwalające wyodrębnić obiekty, instalacje, urządzenia i usługi wchodzące w skład infrastruktury krytycznej. Zgodnie z art. 6r ust. 6 ustawy zmienianej, uchwała jest dokumentem niejawnym. Projekt jest obecnie przedmiotem konsultacji.
Trzy kolejne akty wykonawcze zostaną wydane na dalszym etapie wdrożenia systemu: rozporządzenie w sprawie wykazu norm i wytycznych dla podmiotów krytycznych (art. 6zt ust. 5 ustawy zmienianej), rozporządzenie w sprawie wymogów dla audytorów podmiotów krytycznych (art. 6zza ust. 10 ustawy zmienianej) oraz rozporządzenie Prezesa Rady Ministrów w sprawie trybu powoływania i odwoływania pełnomocnika do spraw ochrony infrastruktury krytycznej (art. 6 ust. 8 ustawy zmienianej w art. 12 dotyczy wyłącznie spółek z sektorów energii elektrycznej, ropy naftowej i paliw gazowych, w których minister właściwy do spraw aktywów państwowych wykonuje szczególne uprawnienia).
Ciągłość dotychczasowych obowiązków
Ustawa zadbała o ciągłość systemu ochrony infrastruktury krytycznej. Zgodnie z art. 32 ust. 1 ustawy nowelizującej, właściciele i posiadacze obiektów ujętych w dotychczasowym jednolitym wykazie infrastruktury krytycznej realizują zadania ochronne na podstawie dotychczasowych przepisów do czasu dokonania wpisu do nowego wykazu infrastruktury krytycznej, prowadzonego przez Dyrektora Centrum.
Dotychczasowe plany ochrony infrastruktury krytycznej pozostają w mocy do czasu dokonania wpisu do nowego wykazu i opracowania dokumentacji ochrony (art. 31 ust. 2 ustawy nowelizującej).
Co dalej?
Podpisanie ustawy zamknęło etap legislacyjny. Otwiera natomiast etap wykonawczy i tu warto zatrzymać się przy kwestii, która bywa źródłem nieporozumień.
Wejście ustawy w życie 4 lipca 2026 r. nie oznacza, że od tego dnia na operatorów infrastruktury krytycznej spadają konkretne obowiązki. Indywidualne obowiązki: wyznaczenie koordynatora, przeprowadzenie analizy zagrożeń, opracowanie dokumentacji ochrony są powiązane z wpisem do wykazu infrastruktury krytycznej, a nie z datą wejścia ustawy w życie. Terminy biegną od dnia otrzymania informacji o wpisie, a pierwsze wpisy możliwe są dopiero po tym, jak Rada Ministrów przyjmie kryteria identyfikacji infrastruktury krytycznej, na co ustawa daje 3 miesiące od dnia wejścia w życie (art. 30 ust. 2 ustawy nowelizującej). Co więcej, pierwsze obowiązki podmiotów krytycznych powstaną dopiero po tym, jak organy właściwe przeprowadzą identyfikację podmiotów krytycznych i wpiszą je do wykazu, na co ustawa daje 9 miesięcy od dnia wejścia w życie (art. 34 ustawy nowelizującej).
Innymi słowy: od 4 lipca 2026 r. obowiązuje nowe prawo, ale indywidualny zegar obowiązków jeszcze nie tyka, zacznie tykać dopiero z chwilą doręczenia informacji o wpisie do odpowiedniego wykazu.
Akty wykonawcze muszą wejść w życie, Rada Ministrów musi przyjąć Krajową Ocenę Ryzyka i Krajową Strategię Odporności Podmiotów Krytycznych, a organy właściwe muszą przeprowadzić po raz pierwszy identyfikację zanim system ruszy pełną parą. Czas do tego momentu warto jednak wykorzystać na zapoznanie się z wymaganiami ustawy bo zegar jeszcze nie tyka, ale czas leci…
Ustawę można przeczytać tutaj: https://dziennikustaw.gov.pl/D2026000081501.pdf