Komisja Europejska opublikowała wczoraj (10.07.2026 r.) komunikat zawierający niewiążące wytyczne dotyczące stosowania art. 13 ust. 5 dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznych. Dokument nosi sygnaturę C/2026/3712. Formalnie nie jest prawnie wiążący. W praktyce jednak stanowi najbardziej szczegółowe jak dotąd doprecyzowanie tego, czego Komisja oczekuje od podmiotów krytycznych przy wdrażaniu środków technicznych, środków bezpieczeństwa i środków organizacyjnych z art. 13 dyrektywy CER.
Geneza i status prawny wytycznych
Podstawą prawną komunikatu jest art. 13 ust. 5 dyrektywy CER. Upoważniono w nim Komisję do przyjęcia niewiążących wytycznych doprecyzowujących środki, jakie podmioty krytyczne mogą wprowadzić w ramach obowiązku z art. 13 dyrektywy. Prace nad wytycznymi trwały kilkanaście miesięcy i obejmowały szereg konsultacji. Kluczowe z punktu widzenia tematyki portalu jest zastrzeżenie z punktu 4 komunikatu: dokument nie jest prawnie wiążący i nie wpływa na wykładnię prawa Unii przez Trybunał Sprawiedliwości Unii Europejskiej. Wytyczne nie tworzą więc nowych obowiązków prawnych ani nie mogą być samodzielną podstawą sankcji administracyjnych. Ich funkcja jest interpretacyjna i pomocnicza. Mają ułatwić podmiotom krytycznym praktyczne wypełnienie obowiązku z art. 13 ust. 1 dyrektywy, a właściwym organom krajowym dać punkt odniesienia przy ocenie adekwatności i proporcjonalności wprowadzanych środków. Dla polskich podmiotów krytycznych (oraz operatorów IK) wytyczne te powinny być traktowane jako materiał pomocniczy przy opracowywaniu planu zwiększania odporności.
Ogólne zasady wykładni obowiązku z art. 13 ust. 1 dyrektywy
Komunikat porządkuje kilka zasad ogólnych. Mają one zastosowanie do wszystkich sześciu kategorii środków wymienionych w art. 13 ust. 1 lit. a) do f).
Po pierwsze, wprowadzane środki muszą opierać się na dwóch źródłach informacji o ryzyku. Pierwszym są informacje przekazane przez państwo członkowskie na podstawie oceny ryzyka z art. 5 dyrektywy. Drugim jest własna ocena ryzyka podmiotu krytycznego, przeprowadzona na podstawie art. 12 dyrektywy. Komunikat podkreśla, że podmioty krytyczne powinny odejść od modelu skoncentrowanego wyłącznie na ochronie infrastruktury na rzecz modelu zorientowanego na ciągłość świadczenia usługi kluczowej. Oceny ryzyka powinny wykraczać poza bezpośrednie zależności podmiotu i uwzględniać współzależności transgraniczne, sektorowe i systemowe.
Po drugie, wytyczne doprecyzowują znaczenie kryteriów „odpowiedniości” i „proporcjonalności” środków z art. 13 ust. 1 dyrektywy. Środki „odpowiednie” to środki skuteczne, dopasowane do specyfiki podmiotu i oparte na analizie ryzyka lub skutków. Mają one zapewnić pełną odporność podmiotu w zakresie świadczenia usług kluczowych. Środki „proporcjonalne” to z kolei środki niezbędne i wystarczające, niewykraczające poza to, co uzasadnia poziom ryzyka i dotkliwość potencjalnego incydentu. Trzeba przy tym uwzględnić charakter usług kluczowych, łańcuch dostaw i współzależności, efektywność kosztową, wielkość podmiotu oraz geograficzny zasięg świadczonych usług. To rozróżnienie ma duże znaczenie praktyczne. Pozwala podmiotom krytycznym bronić wyboru określonego zakresu środków wobec właściwego organu nadzoru poprzez odwołanie się do wyników własnej oceny ryzyka, a nie do abstrakcyjnego katalogu wymogów.
Po trzecie, komunikat wprost odnosi się do relacji między obowiązkami z dyrektywy CER a prawodawstwem sektorowym. W punkcie 10 wskazano szeroki katalog aktów unijnych, które należy stosować łącznie i bez uszczerbku dla środków z art. 13 ust. 1. Są to: dyrektywa NIS 2, europejskie prawo o klimacie w części dotyczącej przystosowania się do zmiany klimatu, rozporządzenie w sprawie gotowości na wypadek zagrożeń w sektorze energii elektrycznej, rozporządzenie dotyczące bezpieczeństwa dostaw gazu ziemnego, dyrektywa w sprawie bezpieczeństwa działalności związanej ze złożami ropy naftowej i gazu ziemnego na obszarach morskich, unijne ramy dotyczące bezpieczeństwa w portach i na morzu, ogólne rozporządzenie o ochronie danych, rozporządzenie w sprawie jednolitej europejskiej przestrzeni powietrznej, rozporządzenie w sprawie Agencji Unii Europejskiej ds. Bezpieczeństwa Lotniczego oraz rozporządzenie wykonawcze dotyczące funkcji sieciowych zarządzania ruchem lotniczym.
Komunikat przywołuje przy tym motyw 30 dyrektywy. Wynika z niego, że podmiot krytyczny, który już wprowadził środki techniczne, środki bezpieczeństwa i środki organizacyjne oraz sporządził dokumenty na podstawie innych aktów prawnych, może wykorzystać te środki i dokumenty do spełnienia wymogów CER. Chodzi o to, aby uniknąć powielania działań. To istotna wskazówka dla podmiotów jednocześnie objętych reżimem NIS 2. Mogą one powoływać się na już wdrożone środki zarządzania ryzykiem w cyberbezpieczeństwie przy konstruowaniu planu zwiększania odporności na podstawie dyrektywy CER.
Po czwarte, wytyczne zwracają uwagę na zastosowanie sztucznej inteligencji w środkach w zakresie odporności. Przykładem może być system monitorujący ciśnienie wody w tamie lub sterujący siecią elektroenergetyczną. Systemy AI wykorzystywane jako związane z bezpieczeństwem elementy zarządzania krytyczną infrastrukturą cyfrową, ruchem drogowym oraz zaopatrzeniem w wodę, gaz, ciepło lub energię elektryczną kwalifikują się jako systemy wysokiego ryzyka w rozumieniu unijnego aktu w sprawie sztucznej inteligencji. Muszą więc spełniać właściwe dla tej kategorii wymogi bezpieczeństwa. Komunikat wskazuje tu punkt 2 załącznika III do aktu w sprawie sztucznej inteligencji jako podstawę klasyfikacji.
Po piąte, podkreślono znaczenie współzależności transgranicznych, sektorowych i technologicznych. Zwrócono też uwagę na rolę urzędnika łącznikowego, wyznaczanego przez podmiot krytyczny na podstawie art. 13 ust. 3 dyrektywy. Odpowiada on za sprawną komunikację i koordynację z właściwymi organami. Osobno potraktowano specyfikę krytycznej infrastruktury morskiej: monitorowanie i ochrona takiej infrastruktury są trudniejsze, a wykrywanie i lokalizowanie incydentów oraz naprawy na morzu są bardziej czasochłonne i kosztowne.
Środki zapobiegawcze (art. 13 ust. 1 lit. a)
Komunikat kładzie nacisk na zintegrowane podejście systemowe. Poszczególne środki nie powinny funkcjonować jako elementy odrębne, lecz wzajemnie na siebie oddziaływać, z uwzględnieniem fizycznej ochrony obiektów, reagowania na incydenty, odporności na nie, odtworzenia po incydencie oraz zarządzania bezpieczeństwem pracowników.
Sporo miejsca poświęcono adaptacji do zmiany klimatu i zarządzaniu ryzykiem klęsk żywiołowych. Środki w tym zakresie powinny opierać się na wiarygodnych prognozach klimatycznych obejmujących cały okres eksploatacji infrastruktury krytycznej. Wytyczne zalecają unikanie lokalizowania infrastruktury krytycznej, na przykład centrów przetwarzania danych czy podstacji, w strefach wysokiego ryzyka. Zalecają też strukturalne wzmocnienie infrastruktury: zabezpieczenia przeciwpożarowe i przeciwpowodziowe, odporność na susze i wybuchy, zabezpieczenia przed wyciekami cieczy. Wskazują wreszcie na rozwiązania oparte na przyrodzie, takie jak odbudowane tereny podmokłe absorbujące fale sztormowe czy lasy miejskie ograniczające efekt „wysp ciepła”. Zalecono też przeprowadzanie testów warunków skrajnych, aby sprawdzić, czy podmiot poradzi sobie w znacznie bardziej niekorzystnym środowisku.
Osobno potraktowano zapobieganie błędom ludzkim. Wytyczne wskazują na potrzebę identyfikowania zadań podatnych na błędy i wprowadzania środków przeciwdziałających: automatyzacji, ustawicznego szkolenia, nadzoru i jasnej rozliczalności, szczegółowej dokumentacji procesów, regularnych audytów i inspekcji oraz rozwoju kultury odporności i odpowiedzialności. Komunikat zaleca też rozważenie utworzenia bazy danych o incydentach, uzupełniającej istniejące bazy unijne, oraz wprowadzenie systematycznego zgłaszania incydentów obejmującego historię zdarzeń.
Ważny jest fragment o spójności ze środkami z dyrektywy NIS 2. Przy wprowadzaniu środków zapobiegawczych podmioty krytyczne powinny uwzględniać środki istotne dla bezpieczeństwa sieci i systemów informatycznych, określone w NIS 2. Dodatkowym punktem odniesienia mogą być środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690 wraz z towarzyszącymi mu wytycznymi ENISA. W odniesieniu do technologii operacyjnej wytyczne zalecają uwzględnienie przepisów dotyczących ręcznego sterowania i udziału człowieka w pętli decyzyjnej, określających warunki interwencji człowieka w reakcji na zagrożenia.
Środki fizycznej ochrony (art. 13 ust. 1 lit. b)
To najobszerniejsza część wytycznych. Obejmuje szczegółowy katalog środków odstraszania, opóźniania, wykrywania i reagowania na zagrożenia naturalne i spowodowane przez człowieka, w tym zagrożenia hybrydowe, sabotaż, terroryzm, przestępczość, ataki wojskowe oraz szpiegostwo.
Wytyczne szczególną uwagę poświęcają zagrożeniom hybrydowym ze strony podmiotów państwowych. Polegają one głównie na próbach sabotażu mających na celu zakłócenie aktywów i sprzętu, w tym na szpiegostwie i nadzorze, lub na przygotowaniach do takich prób. Podkreślono, że podmioty państwowe mogą sponsorować i wykorzystywać podatne lub możliwe do wykorzystania podmioty zastępcze w celu osiągania swoich celów. Mogą też angażować się w skoordynowane ataki, wykorzystując wiele wektorów w wielu dziedzinach lub wiele podmiotów zastępczych naraz. To sformułowanie ma istotne znaczenie dla analizy zagrożeń hybrydowych wobec polskiej infrastruktury krytycznej. Wprost legitymizuje na poziomie unijnym przypisywanie sabotażu podmiotom państwowym działającym przez pośredników, a nie wyłącznie aktorom niepaństwowym.
Wśród środków wzmacniania ochrony terenu wytyczne wymieniają ogrodzenia o wysokim poziomie bezpieczeństwa, zabezpieczone przed wspinaniem się i przecinaniem, wzmocnione ściany i bramy, środki przeciwdziałania wrogim pojazdom oraz odpowiednie oznakowanie i oświetlenie ochronne eliminujące martwe strefy nadzoru. Dostęp pojazdów, personelu i towarów powinien odbywać się przez ograniczoną liczbę punktów kontrolnych. Drogi dojazdowe dla pojazdów powinny być ograniczone fizycznymi barierami, z zachowaniem odstępów zapobiegających przenikaniu pojazdów. Zewnętrzne punkty wejścia, takie jak bramy czy drzwi, powinny mieć solidną lub wzmocnioną konstrukcję i bezpieczne zawiasy oraz mechanizmy blokujące. Okna i świetliki powinny mieć mechanizmy blokujące i warstwy ochronne, na przykład pręty, kratki, szkło odporne na uderzenia. Nietypowe punkty wejścia, jak włazy dachowe czy studzienki, również powinny być zabezpieczone przed nieuprawnionym otwarciem.
Kolejny blok środków dotyczy monitorowania i nadzoru wizyjnego. Zalecono instalację alarmów lub systemów wykrywania wtargnięć, z odpowiednim zasięgiem strefowym i regularnymi testami funkcjonalnymi. Systemy wideo powinny dostarczać przejrzystych informacji w czasie rzeczywistym, a synchronizację czasu nagrań, status rejestracji i okresy przechowywania należy regularnie weryfikować. Warto przeprowadzać rutynowe kontrole odtwarzania, tak aby po incydencie można było zidentyfikować twarze, działania i zdarzenia dla celów kryminalistycznych. Systemy oświetleniowe powinny zapewniać równomierne oświetlenie, bez olśnienia i głębokiego cienia utrudniających rozpoznanie.
Kontrolę dostępu potraktowano jako środek wielowarstwowy. Obejmuje strefy bezpieczeństwa, zarządzanie dostępem fizycznym za pomocą czytników identyfikatorów i skanerów biometrycznych, śluzy bezpieczeństwa oraz drzwi z blokadą jednoczesnego otwarcia. Uzupełnieniem są pracownicy ochrony pełniący funkcję patrolową i reagowania na incydenty, utrzymujący ścisłe kontakty z organami ścigania i podmiotami działającymi w dziedzinie obronności.
Osobny fragment dotyczy ochrony informacji szczególnie chronionych. Wytyczne zalecają ich umiejscawianie, ochronę i przechowywanie w sposób ograniczający ryzyko nieupoważnionego przeglądania, manipulowania czy kradzieży. Zalecają też ustanowienie wykazu lub repozytorium takich zasobów, ich klasyfikację według poziomu wrażliwości oraz system dokumentowania i oznaczania. Podmioty krytyczne powinny uwzględnić krajowe przepisy o ochronie informacji niejawnych istotnych dla bezpieczeństwa narodowego, a przy dostępie zewnętrznych podmiotów do zasobów informacyjnych rozważyć wytyczne dla użytkowników i umowy o zachowaniu poufności. Komunikat wyraźnie zastrzega, że środki kontroli dostępu personelu i fizycznego bezpieczeństwa informacji nie unieważniają obowiązków w zakresie zarządzania ryzykiem w cyberprzestrzeni z art. 21 dyrektywy NIS 2.
Osobną i dość obszerną część wytycznych zajmuje kwestia zagrożeń stwarzanych przez systemy bezzałogowe, czyli drony. Jest ona powiązana z komunikatem Komisji 2026(COM) 81 final z 11 lutego 2026 r., dotyczącym planu działania w zakresie bezpieczeństwa dronów i zabezpieczeń antydronowych. Wytyczne zalecają wdrożenie środków ułatwiających wykrywanie, śledzenie i identyfikację dronów, na przykład za pomocą radarów, skanerów częstotliwości radiowych, kamer termowizyjnych i czujników akustycznych. W miarę możliwości podmioty krytyczne powinny też współpracować z dostawcami usług telekomunikacyjnych, aby uzyskać dostęp do danych ze zintegrowanych technologii detekcji i komunikacji. Zalecono ograniczanie widoczności powietrznej, morskiej lub naziemnej szczególnie chronionych zasobów oraz stosowanie siatek czy osłon antydronowych, a także innych wzmocnień strukturalnych, takich jak okna zabezpieczające przed wybuchem.
Wytyczne wskazują też na możliwość wykorzystania stref geograficznych, a w miarę rozwoju zdolności technicznych i sprzyjających ram regulacyjnych, funkcji geofencingu jako zabezpieczenia zapobiegawczego. Decyzja o ustanowieniu takich stref powinna wynikać z indywidualnej oceny ryzyka i proporcjonalności, z uwzględnieniem wrażliwości informacji ujawnianych przy publikacji danych geograficznych. Podkreślono zasadnicze znaczenie wzmocnienia partnerstwa z operatorami systemów antydronowych w lokalnych organach ścigania i organach obronnych. Chodzi o ułatwienie stosowania środków łagodzenia skutków, takich jak zakłócanie częstotliwości radiowych czy spoofing.
Środki reagowania na incydenty, stawiania im oporu i łagodzenia ich skutków (art. 13 ust. 1 lit. c)
Ta część komunikatu koncentruje się na trzech filarach. Pierwszy to zarządzanie kryzysowe poza terenem obiektu, wraz z szybkim powiadamianiem właściwych organów. Drugi to włączenie pomocy zewnętrznej do działań reagowania na miejscu. Trzeci to projektowanie infrastruktury pod kątem pracy w trybie awaryjnym, tak aby zakłócenia nie wpływały na bezpieczeństwo ludzi i nie generowały efektu kaskadowego na inne zasoby.
Przy projektowaniu pod kątem pracy w trybie awaryjnym wytyczne wskazują na potrzebę uwzględnienia zdolności magazynowania odpowiednich dla najbardziej pesymistycznych scenariuszy awarii. Ważne są też dostawy awaryjne, niezbędne do utrzymania operacji krytycznych i wspomagania kontrolowanego wyłączania, oraz bezpieczeństwo materiałów niebezpiecznych przechowywanych w infrastrukturze krytycznej. Osobno wskazano na środki bezpieczeństwa termicznego w obiektach, w których znajdują się pracownicy lub sprzęt wrażliwy na temperaturę.
W zakresie zapewnienia dostępności zasobów wytyczne zalecają dywersyfikację źródeł dostaw, wzmocnienie infrastruktury i wdrożenie systemów redundantnych, a także ustanowienie systemów rezerwowych ze specyfikacjami dotyczącymi działania, czasu trwania i priorytetu przywracania. Konkretnym przykładem są alternatywne systemy zasilania, takie jak generatory i akumulatory zasilaczy awaryjnych. Niezależność w zakresie paliw energetycznych powinna być zachowana przez co najmniej siedemdziesiąt dwie godziny, a systemy rezerwowe należy regularnie testować. Wytyczne zalecają też stosowanie środków zapewniających integralność sieci i systemów informatycznych oraz oprogramowania wykorzystywanego w urządzeniach, zwłaszcza w kontekście zależności od dostawców wysokiego ryzyka, a także ochronę przed zakłóceniami powodowanymi przez sygnały częstotliwości radiowej i cyberataki.
Odrębnie potraktowano odporność dostaw wody. Podczas zakłóceń podmioty krytyczne mogą ograniczyć zużycie wody do funkcji krytycznych i wykorzystać alternatywne źródła: studnie rezerwowe, zbiorniki magazynowe, przenośne jednostki uzdatniania wody, elastyczne rozwiązania magazynowe. Podmioty z sektora wody pitnej powinny określić priorytetowe punkty dostaw. Komunikat wyraźnie zastrzega, że środki w zakresie odporności nie mogą naruszać wymogów jakości wody przeznaczonej do spożycia przez ludzi, określonych w dyrektywie (UE) 2020/2184. W przypadku innych sektorowych usług użyteczności publicznej, takich jak ciepła lub schłodzona woda czy kocioł parowy, oraz dostaw, takich jak chemikalia, surowce czy części zamienne, planowanie awaryjne powinno w stosownych przypadkach uwzględniać przejście z modeli zapasów „na czas” na modele zapasów „na wypadek zdarzenia”, obejmujące wcześniej przygotowane zasoby i dostawy rezerwowe.
Wytyczne zalecają też opracowanie kompleksowych programów konserwacji, opartych na zaleceniach producentów, doświadczeniach operacyjnych i ocenach ryzyka. Konserwację predykcyjną można realizować z wykorzystaniem zaawansowanych technologii monitorowania i narzędzi sztucznej inteligencji do prognozowania awarii. Warto stworzyć przejrzyste protokoły reagowania na ostrzeżenia z systemu monitorowania, obejmujące ich weryfikację, ocenę pilności i mobilizację zasobów utrzymania.
Sporo miejsca poświęcono zarządzaniu wewnętrznemu. Odporność powinna być nieodłącznym elementem struktury zarządzania podmiotu krytycznego na każdym szczeblu. Podmioty powinny określić cele w zakresie odporności, przyjąć strategię, politykę i plany, a także ustanowić jasną hierarchię podejmowania decyzji, z konsolidacją kompetencji na szczeblu zarządu. Warto rozważyć powołanie specjalisty ds. odporności. Ważne jest też sformalizowanie współpracy z odpowiednimi organami publicznymi, w tym decydentami, organami ścigania, służbami ratunkowymi i podmiotami działającymi w dziedzinie obronności, a także z odpowiednimi podmiotami prywatnymi z tego samego sektora, innych sektorów i innych państw członkowskich.
W zakresie komunikacji kryzysowej wytyczne zalecają utrzymywanie wstępnie zatwierdzonych szablonów komunikacji, procedur powiadamiania zainteresowanych podmiotów oraz wielokanałowych zdolności komunikacyjnych, w tym systemów redundantnych, dostosowanych do różnych odbiorców. Wskazano na możliwość wykorzystania wielokanałowych systemów ostrzegania z możliwością geotargetowania, w tym działającej z przestrzeni kosmicznej satelitarnej usługi ostrzegania o zagrożeniach w ramach programu Galileo, wraz z przejrzystymi łańcuchami dowodzenia komunikacyjnego i standardowymi procedurami operacyjnymi.
Środki dotyczące odtworzenia po incydentach (art. 13 ust. 1 lit. d)
W obszarze ciągłości operacyjnej wytyczne zalecają rozważenie środków redundancji, zapewniających kontynuację świadczenia usług kluczowych w razie awarii systemów podstawowych. Chodzi między innymi o priorytetyzację usług, czyli określenie, które podusługi są najistotniejsze, utrzymanie zdolności do ręcznej obsługi sprzętu w razie awarii systemów zautomatyzowanych lub opartych na sztucznej inteligencji, a także zapewnienie powrotu pracowników po incydencie.
Komunikat omawia trzy typy alternatywnych miejsc odtworzenia po sytuacji nadzwyczajnej: ośrodki typu gorącego, w pełni wyposażone do natychmiastowego wykorzystania, typu ciepłego, wyposażone częściowo, oraz typu zimnego, wymagające organizacji po wystąpieniu zakłócenia. Miejsca rezerwowe powinny znajdować się wystarczająco daleko od obiektów podstawowych, pozostając jednocześnie dostępnymi. W miarę możliwości warto rozważyć obiekty mobilne, na przykład centra dowodzenia.
Bez uszczerbku dla dyrektywy NIS 2, w szczególności jej art. 21 ust. 2 lit. c), podmioty krytyczne powinny opracować kompleksowe plany ciągłości działania, oparte na ocenach wpływu na działalność. Plany takie powinny określać funkcje krytyczne, priorytety odtworzenia, zakładany czas przywrócenia sprawności i akceptowalny poziom utraty danych, z uwzględnieniem umów o gwarantowanym poziomie usług. Powinny też wyszczególniać kryteria aktywacji, przydział zasobów oraz role i mechanizmy koordynacji na etapach reagowania, odtworzenia, wznowienia i odbudowy. Trzeba je testować, przeglądać i aktualizować regularnie oraz po każdym znaczącym incydencie.
Procedury zarządzania kryzysowego powinny obejmować struktury dowodzenia incydentami z jasno określonymi uprawnieniami decyzyjnymi. Warto rozważyć utworzenie zespołów kryzysowych z wcześniej określonymi rolami, protokołami eskalacji i kanałami komunikacji, podstawowymi i alternatywnymi.
Planowanie personalne powinno uwzględniać zdolność reagowania na nagłe zapotrzebowanie: rezerwową listę szybkiego reagowania, programy szkoleniowe oraz umowy o wzajemnej pomocy z organizacjami partnerskimi. Podmioty krytyczne powinny opracować ramy kompetencji i plany sukcesji, aby utrzymać zdolność operacyjną podczas przedłużających się zakłóceń lub niedoborów personelu.
Aby zapewnić skuteczne odtworzenie po incydencie, podmioty krytyczne powinny wdrożyć etapowe protokoły ponownego uruchomienia, priorytetyzujące przywrócenie funkcji krytycznych na podstawie oceny ryzyka. Powinny one obejmować usystematyzowane procedury walidacji systemów krytycznych, testy integralności i funkcjonalności danych oraz kontrolowane przejście z operacji awaryjnych na normalne. W dochodzeniach po incydentach wytyczne zalecają stosowanie uporządkowanych metod, takich jak analiza przyczyn źródłowych, aby zidentyfikować przyczyny systemowe, a nie tylko bezpośrednie symptomy. Przeglądy po zakończeniu działań powinny prowadzić do systematycznego uwzględniania wniosków w zaktualizowanych procedurach, programach szkoleniowych i ocenach ryzyka.
W odniesieniu do łańcuchów dostaw wytyczne zalecają mapowanie łańcucha dostaw na potrzeby świadczenia usług kluczowych, opracowanie długoterminowych strategii odporności łańcucha dostaw oraz regularny przegląd planu awaryjnego. Zachęcają do określenia alternatywnych łańcuchów dostaw na wypadek incydentów mających wpływ na kluczowych dostawców, a także do gromadzenia zapasów strategicznych, w tym zapasów buforowych i magazynowania poza terenem obiektu. Warto również rozważyć zawarcie formalnych umów z innymi podmiotami w tym samym sektorze, aby dzielić się zasobami, sprzętem lub personelem podczas szeroko zakrojonych działań na rzecz odtworzenia.
Środki zarządzania bezpieczeństwem pracowników (art. 13 ust. 1 lit. e)
Wytyczne wiążą zarządzanie bezpieczeństwem pracowników z ograniczaniem ryzyka błędu ludzkiego, sabotażu, zagrożeń wewnętrznych oraz ryzyka nieobecności z powodu choroby lub zagrożeń nadzwyczajnych. Podmioty krytyczne powinny określić i sporządzić wykazy kategorii pracowników pełniących funkcje krytyczne, w tym pracowników zatrudnionych przez usługodawców zewnętrznych, wykonawców i podwykonawców.
W zakresie kontroli dostępu wytyczne zalecają udzielanie zezwolenia wyłącznie na zasadzie ograniczonego dostępu, czyli przyznawanie pracownikom jedynie minimalnego poziomu dostępu niezbędnego do wykonywania zadań. Warto wykorzystać kontrolę dostępu opartą na roli, silne uwierzytelnianie i zarządzanie tożsamością, rozdział obowiązków, ograniczenia czasowe i dostęp „na czas”, a także regularne audyty i przeglądy.
Osobny i istotny fragment dotyczy sprawdzania przeszłości pracowników na podstawie art. 14 dyrektywy CER. Wytyczne zalecają wdrożenie solidnych procedur wewnętrznych dotyczących składania wniosków o sprawdzenie przeszłości oraz wyznaczenie kategorii osób podlegających takim procedurom. Trzeba określić, które role są wrażliwe, którzy pracownicy mają bezpośredni lub zdalny dostęp do obiektów, informacji lub systemów kontroli, oraz jakie rodzaje kontroli, na przykład weryfikacja tożsamości czy rejestry karne, należy przeprowadzać w odniesieniu do poszczególnych ról. Komunikat wskazuje na potrzebę spójności tych środków z działaniami w zakresie sprawdzania przeszłości przewidzianymi w punkcie 10.2 załącznika do rozporządzenia wykonawczego Komisji (UE) 2024/2690 oraz ze środkami bezpieczeństwa zasobów ludzkich stosowanymi na podstawie art. 21 ust. 2 lit. i) dyrektywy NIS 2. Zalecono również wprowadzenie procedur postępowania z pracownikami, którym cofnięto poświadczenie bezpieczeństwa.
W zakresie szkoleń i kwalifikacji wytyczne wiążą ich zakres z wynikami oceny ryzyka podmiotu, rodzajem świadczonych usług kluczowych oraz wprowadzonymi środkami. Chodzi o to, aby personel miał nie tylko ogólną wiedzę o środkach w zakresie odporności, ale i kompetencje techniczne oraz proceduralne. Wymogi szkoleniowe odnoszą się między innymi do oceny ryzyka, ciągłości działania, bezpieczeństwa fizycznego, reagowania na incydenty, kontroli dostępu i weryfikacji, a także ogólnej wiedzy o środkach w zakresie odporności, dla wszystkich pracowników. Wymagane kwalifikacje powinny być określone w polityce odporności wewnętrznej i polityce kadrowej podmiotu krytycznego.
Środki w zakresie zwiększania świadomości (art. 13 ust. 1 lit. f)
Ostatnia kategoria środków dotyczy budowania kultury bezpieczeństwa wśród pracowników. Są oni istotnym elementem na każdym etapie cyklu zwiększania odporności: od zapobiegania incydentom, przez ich zgłaszanie, po przywracanie operacji do stanu sprzed incydentu. Wytyczne zalecają łączenie środków zwiększania świadomości z podstawowymi praktykami cyberhigieny i szkoleniami z cyberbezpieczeństwa, przewidzianymi w art. 21 ust. 2 lit. g) dyrektywy NIS 2. Same szkolenia powinny obejmować cały cykl środków z art. 13 ust. 1 lit. a) do e) dyrektywy, w tym zrozumienie krajobrazu zagrożeń, roli podmiotu w utrzymywaniu niezbędnych funkcji społecznych oraz konsekwencji zakłócenia usług, a także szybkie rozpoznawanie i zgłaszanie podejrzanych działań.
Wytyczne wskazują też na zasadność rozważenia szkoleń uwzględniających aspekt płci, wraz z monitorowaniem odpowiednich wskaźników. Materiały informacyjne udostępniane pracownikom powinny być bezpośrednio związane z oceną ryzyka danego podmiotu i wprowadzonymi środkami. Warto dostarczać je w wielu formatach, cyfrowych i fizycznych, oraz nadawać im charakter interaktywny.
W zakresie ćwiczeń komunikat rozróżnia dwa typy. Pierwszy to ćwiczenia oparte na dyskusjach, na przykład symulacje testujące procesy koordynacji, podejmowania decyzji i komunikacji podczas symulowanego incydentu. Drugi to ćwiczenia operacyjne, na przykład alarmy próbne testujące konkretną, pilną procedurę, taką jak aktywacja generatora awaryjnego czy izolacja uszkodzonego pulpitu sterowniczego. Organizując ćwiczenia, podmioty krytyczne powinny opierać się na wynikach własnej oceny ryzyka, testować pełny cykl zwiększania odporności i zapewniać koordynację międzysektorową z innymi podmiotami krytycznymi oraz odpowiednimi organami publicznymi.