Kto sprawdza przeszłość pracowników elektrowni, portu czy operatora telekomunikacyjnego, zanim dopuści ich do newralgicznych stanowisk? Odpowiedź, jaką daje nowelizacja ustawy o zarządzaniu kryzysowym, zależy od tego, w którym miejscu nowego systemu ochrony infrastruktury krytycznej dany podmiot się znajduje. Dla jednych to twardy obowiązek, dla innych opcja, z której można w ogóle nie skorzystać.
Ustawa rozróżnia dwa rodzaje podmiotów: operatora infrastruktury krytycznej i podmiot krytyczny. Pisałam o tym wielokrotnie, ale zakładam, że są tu też nowi czytelnicy, stad szybka powtórka. Podmiot krytyczny to operator infrastruktury krytycznej, który dodatkowo został wpisany na wykaz podmiotów krytycznych i świadczy co najmniej jedną usługę kluczową, czyli usługę uznaną za szczególnie istotną dla funkcjonowania państwa albo społeczeństwa. Każdy podmiot krytyczny jest jednocześnie operatorem infrastruktury krytycznej, ale nie każdy operator infrastruktury krytycznej jest podmiotem krytycznym. Jeden i ten sam podmiot może podlegać obu reżimom naraz, a wtedy obowiązki się kumulują, nie zastępują.
Operator infrastruktury krytycznej: to jest obowiązek
Zgodnie z art. 6zh ust. 1 ustawy, jeśli ktoś pracuje na stanowisku dającym dostęp do informacji o bezpieczeństwie infrastruktury krytycznej albo dopiero ubiega się o takie stanowisko, operator ma obowiązek zażądać od niego informacji o karalności, w tym informacji, czy jego dane są zgromadzone w Krajowym Rejestrze Karnym. Dotyczy to zarówno już zatrudnionego pracownika, jak i kandydata w procesie rekrutacji. Kluczowe jest tu pojęcie „dostęp do informacji o bezpieczeństwie infrastruktury krytycznej”. Nie każdy pracownik czy kandydat do pracy ma lub będzie miał dostęp do takich informacji. Stad też nie od każdego pracownika, czy kandydata na pracownika, operator IK będzie żądał w/w zaświadczenia z KRK.
Drugi element tego obowiązku, uregulowany w art. 6zh ust. 2, jest węższy. Operator może zażądać danych biometrycznych: odcisków linii papilarnych, głosu, obrazu rogówki, sieci żył palców lub biometrii twarzy, ale wyłącznie od pracownika już zatrudnionego, nie od kandydata, i tylko wtedy, gdy takie dane są odpowiednie do wdrożonych środków kontroli dostępu, chroniących szczególnie ważne informacje albo strefy wymagające szczególnego nadzoru. Zgodnie z art. 6zh ust. 3, informacje o karalności i dane biometryczne operator przetwarza przez okres uzasadniony celem przetwarzania. Ustawa nie narzuca tu sztywnego terminu ani obowiązku okresowego powtarzania sprawdzenia, inaczej niż w reżimie podmiotu krytycznego.
Na podstawie art. 6zi operator musi też wyznaczyć koordynatora ochrony infrastruktury krytycznej i jego zastępcę, w terminie 30 dni od otrzymania informacji o wpisie do wykazu infrastruktury krytycznej. Koordynatorem może być wyłącznie osoba, która jest pracownikiem operatora albo żołnierzem lub funkcjonariuszem pełniącym służbę w jednostce organizacyjnej będącej operatorem. Są też obostrzenia związane z karalnością, ponieważ koordynator ochrony IK i zastępca koordynatora, jak mówi ustawa: korzysta z pełni praw publicznych, ma wiedzę i doświadczenie w zarządzaniu bezpieczeństwem, nie była skazana prawomocnym wyrokiem za przestępstwo umyślne ani umyślne przestępstwo skarbowe, i spełnia wymagania bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych. Koordynator podlega bezpośrednio organowi zarządzającemu operatora, nie kierownikowi wewnętrznej komórki organizacyjnej.
Podmiot krytyczny: to jest opcja, nie obowiązek
Na drugim poziomie systemu jest inaczej. Art. 6zzc ust. 1 nie nakłada na podmiot krytyczny obowiązku sprawdzania pracowników, tylko daje mu taką możliwość. Podmiot sam decyduje, czy z niej skorzysta.
Jeśli się zdecyduje, może sprawdzić dwie grupy osób, wskazane w art. 6zzc ust. 1 pkt 1 i 2. Pierwszą są własni pracownicy albo kandydaci do pracy pełniący ważną rolę w firmie: reprezentujący ją na zewnątrz, zajmujący stanowiska kierownicze, mający fizyczny albo zdalny dostęp do budynków, terenu, obiegu informacji czy systemów kontroli związanych z bezpieczeństwem, albo prowadzący audyty. Drugą są osoby z zewnątrz świadczące usługi na rzecz podmiotu, niebędące jego pracownikami, na przykład pracownicy podwykonawcy, jeśli mają podobny dostęp. Zgodnie z art. 6zzc ust. 2, zakres sprawdzenia jest w obu przypadkach taki sam: potwierdzenie tożsamości oraz ocena informacji z rejestrów karnych pod kątem przestępstw mogących mieć znaczenie dla zajmowanego lub obejmowanego stanowiska.
Sposób sprawdzania różni się jednak w zależności od tego, kogo się sprawdza. Na podstawie art. 6zzc ust. 3, wobec własnych pracowników i kandydatów podmiot krytyczny może żądać okazania dowodu osobistego lub paszportu, pytać o nazwisko rodowe i dane rodziców, samodzielnie wystąpić do urzędu gminy o dane z rejestru PESEL i z Rejestru Dowodów Osobistych, samodzielnie pozyskać informację z Krajowego Rejestru Karnego, a jeśli osoba ma obywatelstwo innego kraju Unii Europejskiej, wystąpić do Biura Informacyjnego KRK, żeby to biuro zapytało odpowiedni urząd za granicą. To są naprawdę spore zmiany w stosunku do dotąd funkcjonującego systemu. Wobec osób z zewnątrz, pracujących dla podwykonawcy, art. 6zzc ust. 4 daje uprawnienia dużo węższe: podmiot krytyczny ma tylko prawo zażądać, żeby taka osoba sama przedłożyła dowód osobisty lub paszport oraz informację z KRK, którą wcześniej sama uzyskała. Żadnego urzędu podmiot krytyczny nie pyta tu we własnym imieniu.
Art. 6zzc ust. 8 przewiduje też wyjątek, węższy niż mogłoby się wydawać. Sprawdzenia przeszłości nie prowadzi się wobec własnego pracownika lub kandydata, o którym mowa w ust. 1 pkt 1, jeśli sam wcześniej przedłożył wymagane dokumenty albo posiada już ważne poświadczenie bezpieczeństwa co najmniej na poziomie „poufne”. Wyjątek ten dotyczy wyłącznie tej pierwszej grupy. Wobec pracowników podwykonawcy nie działa w ogóle, niezależnie od posiadanego poświadczenia. Zgodnie z art. 6zzc ust. 6, tam gdzie podmiot krytyczny zdecyduje się sprawdzać, sprawdzenie przeprowadza się co najmniej raz na 3 lata, nie jednorazowo przy zatrudnieniu.
Kto w firmie za to odpowiada
Na podstawie art. 6zzd ust. 1 i 2, podmiot krytyczny ma obowiązek wyznaczyć pełnomocnika bezpieczeństwa usługi kluczowej i jego zastępcę, w terminie 30 dni od otrzymania informacji o wpisie do wykazu podmiotów krytycznych. Zgodnie z art. 6zzd ust. 4, pełnomocnikiem musi być osoba zatrudniona w tej firmie albo żołnierz lub funkcjonariusz pełniący służbę w jednostce organizacyjnej będącej podmiotem krytycznym. Warte są podkreślenia kolejne wymieniane przez ustawę wymagania: korzysta z pełni praw publicznych, z wiedzą i doświadczeniem w zarządzaniu bezpieczeństwem, niekarana za przestępstwo umyślne ani umyślne przestępstwo skarbowe, i sama spełniająca wymogi bezpieczeństwa osobowego potrzebne do dostępu do informacji niejawnych na poziomie „poufne”. Pełnomocnik podlega bezpośrednio organowi zarządzającemu podmiotu krytycznego, tak samo jak koordynator po stronie operatora infrastruktury krytycznej.
Zostaje pytanie, na które ustawa nie musi odpowiadać. Jak dalece, jak często i w jakim zakresie z tych prerogatyw podmioty krytyczne będą korzystać?
Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. poz. 815). Ustawa weszła w życie 4 lipca 2026 r. Cytowane przepisy odnoszą się do tekstu opublikowanego w Dzienniku Ustaw.