Nowelizacja ustawy o zarządzaniu kryzysowym wprowadza obowiązek wyznaczenia koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy. Funkcja ta ma zapewnić wewnętrzną koordynację działań związanych z bezpieczeństwem infrastruktury, analizą zagrożeń, dokumentacją ochronną i oceną stosowanych rozwiązań.
Wyznaczenie koordynatora nie powinno być jednak traktowane wyłącznie jako formalność. Ustawa określa konkretne wymagania wobec osoby pełniącej tę funkcję, jej miejsce w strukturze organizacyjnej oraz warunki, jakie musi zapewnić operator.
Kiedy należy wyznaczyć koordynatora?
Operator infrastruktury krytycznej ma obowiązek wyznaczyć koordynatora oraz jego zastępcę w terminie 30 dni od dnia otrzymania informacji o wpisie infrastruktury do wykazu infrastruktury krytycznej.
Zastępca przejmuje obowiązki koordynatora podczas jego nieobecności lub czasowej niemożności wykonywania zadań. Oznacza to, że wymagania przewidziane dla koordynatora dotyczą również jego zastępcy.
Tak krótki termin powoduje, że decyzja o obsadzeniu tej funkcji powinna zostać poprzedzona wcześniejszą oceną dostępnych kandydatów. Nie każda osoba zajmująca się obecnie ochroną, bezpieczeństwem, zarządzaniem kryzysowym lub ciągłością działania będzie automatycznie spełniała wszystkie ustawowe warunki.
Czy koordynatorem może zostać zewnętrzny specjalista?
Zgodnie z ustawą koordynatorem może zostać osoba będąca pracownikiem operatora infrastruktury krytycznej. W przypadku jednostek organizacyjnych właściwych służb może to być także żołnierz lub funkcjonariusz pełniący w nich służbę.
Oznacza to, że funkcji koordynatora nie można co do zasady powierzyć wyłącznie zewnętrznemu konsultantowi, który nie jest pracownikiem operatora. Zewnętrzni eksperci mogą wspierać organizację w analizach, opracowaniu dokumentacji, audytach, szkoleniach lub przygotowaniu procedur, ale ustawowa funkcja koordynatora powinna zostać powierzona osobie działającej wewnątrz organizacji.
Takie rozwiązanie ma praktyczne uzasadnienie. Koordynator powinien posiadać bieżący dostęp do informacji o funkcjonowaniu infrastruktury, zmianach organizacyjnych, wykorzystywanych technologiach oraz występujących zagrożeniach.
Jakie wymagania musi spełnić koordynator?
Osoba wyznaczona na koordynatora ochrony infrastruktury krytycznej musi spełniać łącznie kilka warunków.
Poza pozostawaniem pracownikiem operatora powinna:
- korzystać z pełni praw publicznych;
- posiadać wiedzę, umiejętności i doświadczenie w zakresie zarządzania bezpieczeństwem;
- znać specyfikę działalności prowadzonej przez operatora;
- nie być skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe;
- spełniać wymagania bezpieczeństwa osobowego dotyczące dostępu do informacji niejawnych o właściwej klauzuli.
Ustawa nie wskazuje jednego konkretnego kierunku wykształcenia ani nazwy dotychczas zajmowanego stanowiska. Kluczowe znaczenie ma rzeczywiste przygotowanie do zarządzania bezpieczeństwem z uwzględnieniem rodzaju infrastruktury i charakteru działalności operatora.
Innych kompetencji może wymagać pełnienie tej funkcji w przedsiębiorstwie wodociągowym, innych w energetyce, transporcie, telekomunikacji czy ochronie zdrowia. Samo ogólne doświadczenie w ochronie fizycznej lub bezpieczeństwie i higienie pracy nie musi być wystarczające do koordynowania wszystkich obszarów ochrony infrastruktury krytycznej.
Dostęp do informacji niejawnych
Jednym z istotnych warunków jest spełnianie wymagań bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych.
Ma to związek z charakterem informacji dotyczących infrastruktury krytycznej. Dokumentacja ochrony, raporty oraz część danych o zabezpieczeniach i zagrożeniach będą objęte odpowiednimi zasadami ochrony.
Operator powinien więc odpowiednio wcześnie zweryfikować, czy wybrany kandydat posiada wymagane uprawnienia lub może przejść właściwą procedurę. Wyznaczenie osoby, która nie będzie mogła uzyskać dostępu do niezbędnych informacji, może uniemożliwić jej rzeczywiste wykonywanie obowiązków.
Komu podlega koordynator?
Koordynator ochrony infrastruktury krytycznej ma podlegać bezpośrednio organowi zarządzającemu operatorem.
Nie powinien zatem funkcjonować wyłącznie jako pracownik jednej z komórek technicznych, którego ustalenia mogą zostać zatrzymane na kolejnych poziomach organizacyjnych. Bezpośrednie podporządkowanie kierownictwu ma umożliwić sprawne przekazywanie informacji o zagrożeniach, brakach i koniecznych działaniach.
Rozwiązanie to podkreśla również odpowiedzialność kadry zarządzającej. Ochrona infrastruktury krytycznej nie jest zadaniem wyłącznie działu ochrony, administracji, IT lub utrzymania ruchu. Wymaga współpracy wielu obszarów organizacji oraz podejmowania decyzji dotyczących zasobów, inwestycji i sposobu działania.
Samo wyznaczenie osoby nie wystarczy
Operator ma obowiązek zapewnić koordynatorowi warunki organizacyjne i techniczne niezbędne do realizacji jego zadań. Obejmuje to również dostęp do potrzebnych dokumentów i informacji.
W praktyce funkcja koordynatora nie powinna być kolejnym obowiązkiem dopisanym do istniejącego stanowiska bez określenia jego uprawnień, odpowiedzialności i możliwości współpracy z innymi jednostkami organizacyjnymi.
Nawet osoba posiadająca odpowiednie kwalifikacje nie będzie w stanie prawidłowo wykonywać tej funkcji, jeżeli nie otrzyma:
- dostępu do informacji dotyczących bezpieczeństwa;
- możliwości współpracy z kluczowymi komórkami organizacji;
- wsparcia kierownictwa;
- odpowiednich warunków do realizowania powierzonych obowiązków.
Szczegółowy sposób organizacji tej funkcji powinien zostać dostosowany do wielkości operatora, struktury organizacyjnej, rodzaju infrastruktury oraz zakresu występujących zagrożeń.
Czy koordynator może łączyć tę funkcję z innymi obowiązkami?
Ustawa nie wprowadza ogólnego zakazu łączenia funkcji koordynatora z innym stanowiskiem w organizacji. Nie oznacza to jednak, że każde takie połączenie będzie właściwe.
Przed podjęciem decyzji operator powinien ocenić między innymi:
- zakres dotychczasowych obowiązków kandydata;
- możliwość powstania konfliktu kompetencyjnego;
- dostępność osoby w sytuacji zakłócenia;
- jej znajomość różnych obszarów działalności;
- możliwość bezpośredniej współpracy z kierownictwem.
Funkcja nie powinna mieć charakteru wyłącznie nominalnego. Jeżeli koordynator nie będzie posiadał czasu, dostępu do informacji ani odpowiedniej pozycji organizacyjnej, samo formalne wyznaczenie osoby nie zapewni właściwej realizacji obowiązków operatora.
Najczęstsze ryzyka przy wyznaczaniu koordynatora
Wybór koordynatora wymaga czegoś więcej niż wskazania osoby zajmującej się obecnie bezpieczeństwem.
Problemem może być w szczególności:
- wybór osoby niespełniającej wszystkich wymagań formalnych;
- brak odpowiedniego doświadczenia uwzględniającego specyfikę infrastruktury;
- nieprawidłowe umiejscowienie funkcji w strukturze organizacyjnej;
- ograniczony dostęp do informacji i dokumentacji;
- brak przygotowanego zastępcy;
- powierzenie funkcji bez zapewnienia warunków do jej rzeczywistego wykonywania.
Błędna decyzja personalna może utrudnić nie tylko realizację zadań koordynatora, ale również wykonanie innych obowiązków operatora związanych z analizą zagrożeń, dokumentacją ochrony i raportowaniem.
Koordynator jako element systemu bezpieczeństwa
Koordynator ochrony infrastruktury krytycznej nie powinien być postrzegany wyłącznie jako osoba odpowiedzialna za przygotowywanie dokumentów.
Jego rola ma łączyć różne obszary funkcjonowania organizacji i wspierać zapewnienie spójności pomiędzy rozpoznanymi zagrożeniami, stosowanymi zabezpieczeniami, procedurami oraz rzeczywistą gotowością operatora.
Dlatego wybór odpowiedniej osoby powinien zostać poprzedzony analizą wymagań prawnych, struktury organizacyjnej oraz kompetencji dostępnych wewnątrz organizacji.
Jak INSTIN wspiera operatorów infrastruktury krytycznej?
INSTIN wspiera operatorów w przygotowaniu organizacji do realizacji nowych obowiązków, w tym w ocenie sposobu umiejscowienia funkcji koordynatora w systemie bezpieczeństwa.
Zakres wsparcia może obejmować:
- ocenę istniejącej struktury i podziału odpowiedzialności;
- analizę kompetencji niezbędnych do realizacji nowych obowiązków;
- przygotowanie zasad organizacyjnych związanych z funkcjonowaniem koordynatora;
- szkolenia dla koordynatorów, ich zastępców i kadry kierowniczej;
- wsparcie w zakresie dokumentacji ochrony, analizy zagrożeń i ciągłości działania.
Zakres współpracy jest każdorazowo dostosowywany do charakteru operatora, rodzaju infrastruktury oraz przyjętej organizacji bezpieczeństwa.
Zapoznaj się z naszą pełną ofertą!
Weź udział w naszym szkoleniu i dowiedz się więcej!
Ze względu na ogromne zainteresowanie pierwszym terminem szkolenia oraz liczne zapytania o kolejną edycję, zapraszamy na szkolenie online Zmiany w ustawie o zarządzaniu kryzysowym, które odbędzie się 4 września 2026 roku w godz. 09:00 – 14:00.
Więcej informacji tutaj.
