Nowelizacja ustawy o zarządzaniu kryzysowym wprowadza istotne zmiany w sposobie dokumentowania ochrony infrastruktury krytycznej. Dotychczasowy plan ochrony infrastruktury krytycznej zostanie zastąpiony dokumentacją ochrony infrastruktury krytycznej.
Nie jest to jednak wyłącznie zmiana nazwy dokumentu. Nowe przepisy wymagają, aby dokumentacja była bezpośrednio powiązana z rzeczywistymi zagrożeniami, zastosowanymi zabezpieczeniami, zdolnością utrzymania ciągłości działania oraz przygotowaniem infrastruktury do odtworzenia po wystąpieniu zakłócenia.
Dla operatorów oznacza to konieczność ponownego spojrzenia na dotychczasowe rozwiązania organizacyjne, techniczne i proceduralne.
Plan ochrony a nowa dokumentacja
Dotychczasowy system opierał się między innymi na planach ochrony infrastruktury krytycznej. Po nowelizacji operator będzie zobowiązany do opracowania i bieżącego aktualizowania dokumentacji ochrony infrastruktury krytycznej.
Nowa dokumentacja ma odzwierciedlać rzeczywisty sposób funkcjonowania organizacji. Powinna być związana nie tylko z ochroną fizyczną obiektów, ale również z bezpieczeństwem technicznym, osobowym, prawnym, cyberbezpieczeństwem oraz ciągłością działania.
W praktyce oznacza to, że opracowanie dokumentacji nie powinno rozpoczynać się od redagowania nowego dokumentu. W pierwszej kolejności konieczna jest ocena, czy stosowane rozwiązania odpowiadają aktualnym zagrożeniom i wymaganiom wynikającym z nowych przepisów.
Dokumentacja musi odpowiadać rzeczywistym zagrożeniom
Podstawą dokumentacji będzie bieżąca analiza zagrożeń dotyczących infrastruktury krytycznej. Jej wyniki powinny wpływać na rozwiązania stosowane przez operatora.
Nie wystarczy więc wymienienie możliwych awarii, incydentów czy zagrożeń zewnętrznych. Istotne będzie wykazanie, że organizacja potrafi odpowiednio zabezpieczyć infrastrukturę, ograniczyć skutki zakłócenia i utrzymać najważniejsze funkcje.
Zakres wymaganych działań będzie zależał między innymi od rodzaju infrastruktury, wykorzystywanych technologii, lokalizacji, znaczenia dla odbiorców oraz zależności od dostawców i innych systemów.
Z tego powodu uniwersalne wzory dokumentacji mogą nie odpowiadać specyfice konkretnego operatora.
Ciągłość działania i odtwarzanie infrastruktury
Nowe podejście do ochrony infrastruktury krytycznej mocniej akcentuje zdolność organizacji do działania w warunkach zakłócenia.
Operator powinien być przygotowany nie tylko do zapobiegania zdarzeniom, ale również do:
- ograniczenia ich skutków;
- podtrzymania najważniejszych procesów;
- uruchomienia rozwiązań zastępczych;
- współpracy z właściwymi organami i służbami;
- odtworzenia funkcjonowania infrastruktury.
Dokumentacja powinna odpowiadać faktycznym możliwościom organizacji. Procedury, których nie można wykonać przy użyciu dostępnych zasobów, personelu i rozwiązań technicznych, nie zapewnią rzeczywistego bezpieczeństwa.
Dokumentacja będzie podlegać bieżącej aktualizacji
Nowa dokumentacja nie powinna być traktowana jako materiał przygotowany raz na kilka lat wyłącznie w celu spełnienia obowiązku formalnego.
Zmiany technologiczne, organizacyjne, kadrowe lub inwestycyjne mogą wpływać na poziom bezpieczeństwa infrastruktury. Znaczenie mogą mieć także nowe zagrożenia, zmiana dostawców, przebudowa systemów lub doświadczenia wynikające z rzeczywistych incydentów i przeprowadzonych ćwiczeń.
Operator będzie więc musiał zapewnić, aby dokumentacja pozostawała zgodna z faktycznym stanem infrastruktury i stosowanymi rozwiązaniami.
Dokumentacja ochrony jako dokument niejawny
Dokumentacja ochrony infrastruktury krytycznej będzie dokumentem niejawnym. Wpływa to na sposób jej opracowania, konsultowania, przechowywania i aktualizacji.
Operator powinien odpowiednio wcześniej ocenić, czy osoby uczestniczące w przygotowaniu dokumentacji spełniają wymagania dotyczące dostępu do informacji oraz czy organizacja posiada warunki umożliwiające ich bezpieczne przetwarzanie.
Kwestia ochrony informacji nie powinna być rozwiązywana dopiero po zakończeniu prac nad dokumentacją.
Termin na opracowanie dokumentacji
Operator będzie miał 15 miesięcy od otrzymania informacji o wpisie infrastruktury do wykazu na opracowanie dokumentacji ochrony infrastruktury krytycznej i złożenie odpowiedniego oświadczenia.
Termin ten obejmuje jednak znacznie szerszy proces niż samo przygotowanie treści dokumentu. Konieczne może być wcześniejsze przeprowadzenie analiz, ocena zabezpieczeń, wdrożenie zmian oraz uzgodnienie określonych rozwiązań z właściwymi podmiotami.
Rozpoczęcie prac dopiero pod koniec ustawowego terminu może więc znacząco utrudnić prawidłowe wykonanie obowiązku.
Co z dotychczasowym planem ochrony?
Dotychczasowe plany ochrony infrastruktury krytycznej nie tracą ważności automatycznie wraz z wejściem w życie nowelizacji.
Pozostają one w mocy do czasu dokonania wpisu infrastruktury do nowego wykazu oraz opracowania dokumentacji ochrony wymaganej przez nowe przepisy. W okresie przejściowym mogą być nadal aktualizowane.
Nie oznacza to jednak, że obecny plan będzie wystarczający do spełnienia nowych wymagań. Operatorzy powinni zweryfikować, które elementy dotychczasowej dokumentacji mogą zostać wykorzystane, a które obszary będą wymagały ponownej analizy lub opracowania.
Sama zmiana nazwy dokumentu nie wystarczy
Największym błędem może być potraktowanie nowelizacji jako obowiązku zmiany tytułu dotychczasowego planu i uzupełnienia go o kilka nowych rozdziałów.
Nowa dokumentacja powinna wynikać z rzeczywistego stanu bezpieczeństwa organizacji. Musi być spójna z zastosowanymi zabezpieczeniami, możliwościami personelu, dostępnymi zasobami i rozwiązaniami dotyczącymi ciągłości działania.
Dlatego przygotowanie dokumentacji powinno zostać poprzedzone oceną dotychczasowych rozwiązań i identyfikacją obszarów, które wymagają dostosowania.
Jak INSTIN wspiera operatorów infrastruktury krytycznej?
INSTIN wspiera operatorów infrastruktury krytycznej w przygotowaniu organizacji do nowych obowiązków prawnych oraz zwiększaniu jej rzeczywistej odporności na zagrożenia i zakłócenia.
Zakres wsparcia może obejmować:
- ocenę dotychczasowej dokumentacji i stosowanych zabezpieczeń;
- analizę zagrożeń i identyfikację obszarów wymagających zmian;
- opracowanie dokumentacji ochrony infrastruktury krytycznej;
- przygotowanie rozwiązań dotyczących ciągłości działania i odtwarzania;
- wsparcie we wdrażaniu zmian organizacyjnych i technicznych;
- szkolenia oraz ćwiczenia sprawdzające gotowość organizacji.
Zakres współpracy jest każdorazowo dostosowywany do rodzaju infrastruktury, charakteru działalności operatora oraz zidentyfikowanych zagrożeń.
Zapoznaj się z naszą pełną ofertą!
Weź udział w naszym szkoleniu i dowiedz się więcej!
Ze względu na ogromne zainteresowanie pierwszym terminem szkolenia oraz liczne zapytania o kolejną edycję, zapraszamy na szkolenie online Zmiany w ustawie o zarządzaniu kryzysowym, które odbędzie się 4 września 2026 roku w godz. 09:00 – 14:00.
Więcej informacji tutaj.
