Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym, wdrażająca unijną dyrektywę CER, wprowadziła do polskiego prawa dwa nowe, szeroko dyskutowane pojęcia: infrastrukturę krytyczną i podmiot krytyczny. Wprowadza jednak też trzecią kategorię, znacznie mniej omawianą. To dostawca krytyczny. Jest to firma, która formalnie nie jest ani operatorem IK, ani podmiotem krytycznym. Mimo to znajduje się w orbicie nowego reżimu prawnego, ponieważ dostarcza coś, bez czego podmiot krytyczny nie może funkcjonować.
Czym jest dostawca krytyczny
Ustawa definiuje dostawcę krytycznego jako podmiot dostarczający produkty, usługi lub technologie, których zakłócenie może spowodować incydent istotny u podmiotu krytycznego (art. 3 pkt 1b). To bardzo szeroka definicja. Może obejmować dostawcę oprogramowania, firmę serwisującą urządzenia przemysłowe, podwykonawcę usług IT, a nawet dostawcę pojedynczego komponentu, jeśli jego brak realnie zagraża ciągłości usługi kluczowej.
Kluczowa różnica względem podmiotu krytycznego jest taka, że dostawcy krytycznego nie identyfikuje państwo. Nie ma dla niego osobnego wykazu ani formalnej procedury wpisu prowadzonej przez organ administracji. To sam podmiot krytyczny decyduje, kogo uznaje za swojego dostawcę krytycznego, w ramach zarządzania własnym łańcuchem dostaw. Oznacza to, że odpowiedzialność za identyfikację i dobór kryteriów spoczywa w całości po stronie biznesu, a nie administracji publicznej.
Obowiązki podmiotu krytycznego wobec dostawców
Rozdział 14 ustawy nakłada trzy główne obowiązki na podmiot krytyczny. Po pierwsze, identyfikuje swoich dostawców krytycznych i prowadzi ich rejestr (art. 6zzo). Po drugie, przeprowadza ocenę ryzyka związanego z tymi dostawcami co najmniej raz w roku (art. 6zzo). To częściej niż własna ocena ryzyka podmiotu krytycznego, która odbywa się co dwa lata (art. 6zt ust. 1 pkt 1). Po trzecie, zapewnia opracowanie planów awaryjnych, możliwość zastąpienia dostawcy krytycznego oraz minimalne wymagania bezpieczeństwa wobec takich dostawców (art. 6zzp).
Co to oznacza dla samego dostawcy
Dostawca krytyczny, mimo że formalnie nie figuruje w żadnym wykazie, ma też własne obowiązki. Zgłasza incydenty istotne oraz podlega audytowi, ale robi to za pośrednictwem podmiotu krytycznego, a nie bezpośrednio wobec organów państwa (art. 6zzq). W praktyce relacja jest kontraktowa i nadzorcza jednocześnie. Podmiot krytyczny wymusza na dostawcy określone standardy bezpieczeństwa, bo sam odpowiada przed regulatorem za ciągłość swojej usługi kluczowej. Dla dostawcy oznacza to w praktyce nowy rodzaj klauzul w umowach, audytów po stronie klienta oraz obowiązku raportowania incydentów w terminach narzuconych przez kogoś innego niż on sam.
Zaskoczenie: kto jest z tego wyłączony
Tu jest haczyk, który łatwo przeoczyć. Rozdział 14 należy do grupy rozdziałów 11–15, które nie obowiązują w pełni wszystkich sektorów. Podmioty krytyczne z sektora bankowości i infrastruktury rynków finansowych są z rozdziału 14 wyłączone całkowicie, bez żadnego wyjątku. Katalog wyjątków w art. 6zzw obejmuje inne rozdziały, ale nie dotyka rozdziału 14. To samo dotyczy sektora infrastruktury cyfrowej (art. 6zzx), tu bez żadnych wyjątków w ogóle.
Innymi słowy, banki i dostawcy usług cyfrowych, czyli sektory, które intuicyjnie kojarzą się z największym ryzykiem łańcucha dostaw, jak chmura, oprogramowanie czy podwykonawcy IT, nie mają ustawowego obowiązku identyfikowania dostawców krytycznych na podstawie tej ustawy. Prawdopodobnie dlatego, że bezpieczeństwo ich łańcucha dostaw regulują już inne przepisy, przede wszystkim ustawa o krajowym systemie cyberbezpieczeństwa oraz unijne rozporządzenie DORA dla sektora finansowego. Ustawa tego wprost nie tłumaczy, ale to najbardziej prawdopodobne wyjaśnienie takiego wyłączenia.
Co to oznacza w praktyce
Dla firm z pozostałych dwunastu sektorów, czyli energii, transportu, zdrowia, zaopatrzenia w wodę pitną, odprowadzania ścieków, żywności, administracji publicznej, przestrzeni kosmicznej, ICT poza infrastrukturą cyfrową, chemikaliów, poczty i odpadów, pojawia się nowy rodzaj ryzyka biznesowego. Nawet mały podwykonawca może zostać poproszony przez klienta, będącego podmiotem krytycznym, o spełnienie wymagań bezpieczeństwa, poddanie się audytowi czy przygotowanie planu awaryjnego zastępowalności. To sygnał dla firm, które same nigdy nie zostaną wpisane do żadnego wykazu, że warto już teraz sprawdzić, czy nie są dostawcą krytycznym dla swojego największego klienta. Odpowiedź na to pytanie może przyjść zresztą nie od regulatora, tylko od samego kontrahenta, w formie nowej klauzuli w umowie albo pytania od działu bezpieczeństwa.
Zakończenie
Ustawa buduje więc nie dwa, a trzy poziomy odpowiedzialności: infrastrukturę krytyczną, podmiot krytyczny i, na końcu łańcucha, dostawcę krytycznego. Nikt go formalnie nie identyfikuje, ale i tak podlega presji regulacyjnej przenoszonej przez umowy handlowe. To dobry przykład na to, jak nowy reżim prawny wykracza poza krąg podmiotów bezpośrednio wpisanych do wykazów, docierając w praktyce do znacznie szerszego kręgu firm, niż mogłoby się wydawać na pierwszy rzut oka.
Artykuł opiera się na analizie ustawy z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. poz. 815). Ustawa weszła w życie 4 lipca 2026 r. Cytowane przepisy odnoszą się do tekstu opublikowanego w Dzienniku Ustaw.
https://dziennikustaw.gov.pl/D2026000081501.pdf