Nowelizacja ustawy o zarządzaniu kryzysowym wprowadza istotne zmiany w funkcjonowaniu systemu ochrony infrastruktury krytycznej. Nowe przepisy określają obowiązki operatorów w zakresie analizy zagrożeń, wdrażania odpowiednich zabezpieczeń, zapewnienia ciągłości działania, opracowania dokumentacji oraz współpracy z właściwymi organami.
Zmiany nie sprowadzają się wyłącznie do przygotowania nowego dokumentu. Ich celem jest stworzenie spójnego systemu, który pozwoli zapobiegać zakłóceniom, ograniczać ich skutki oraz możliwie szybko odtworzyć funkcjonowanie infrastruktury.
Kim jest operator infrastruktury krytycznej?
Zgodnie z nowymi przepisami operatorem infrastruktury krytycznej jest właściciel lub posiadacz obiektu, urządzenia, instalacji, sieci, systemu albo usługi wpisanych do wykazu infrastruktury krytycznej.
Sam charakter prowadzonej działalności nie przesądza zatem jeszcze o uzyskaniu statusu operatora. Kluczowe znaczenie ma formalny wpis określonej infrastruktury do wykazu oraz poinformowanie o tym jej właściciela lub posiadacza.
Od momentu otrzymania informacji o wpisie rozpoczynają bieg terminy na realizację najważniejszych obowiązków.
Nowe podejście do ochrony infrastruktury krytycznej
Nowelizacja rozszerza dotychczasowe podejście do bezpieczeństwa infrastruktury krytycznej. Ochrona nie może być ograniczona wyłącznie do zabezpieczenia fizycznego obiektu lub reagowania po wystąpieniu awarii.
Operator będzie musiał uwzględnić kilka powiązanych ze sobą obszarów:
- bezpieczeństwo fizyczne;
- bezpieczeństwo techniczne;
- bezpieczeństwo osobowe;
- cyberbezpieczeństwo;
- bezpieczeństwo prawne;
- ciągłość działania i odtwarzanie infrastruktury.
W praktyce oznacza to konieczność spojrzenia na bezpieczeństwo całej organizacji, jej pracowników, procesów, technologii, zasobów oraz zależności od podmiotów zewnętrznych.
Rozwiązania przyjęte przez operatora powinny odpowiadać rzeczywistym zagrożeniom oraz specyfice danej infrastruktury. Inne potrzeby mogą występować w przedsiębiorstwie wodociągowym, inne w sektorze energetycznym, transporcie, ochronie zdrowia czy usługach teleinformatycznych.
Analiza zagrożeń jako podstawa dalszych działań
Jednym z podstawowych obowiązków operatora będzie przeprowadzanie bieżącej analizy zagrożeń dla infrastruktury krytycznej.
Pierwsza analiza powinna zostać wykonana w terminie 6 miesięcy od otrzymania informacji o wpisie do wykazu. Na jej podstawie operator powinien określić, jakie działania organizacyjne, techniczne i proceduralne są niezbędne do zapewnienia odpowiedniego poziomu bezpieczeństwa.
Nie chodzi przy tym wyłącznie o przygotowanie kolejnego opracowania. Wyniki analizy powinny prowadzić do rzeczywistych decyzji i działań wewnątrz organizacji.
Operator ma następnie 6 miesięcy od przeprowadzenia analizy na wdrożenie odpowiednich rozwiązań. Powinny być one później dostosowywane do zmieniających się zagrożeń i wyników kolejnych analiz.
Szczegółowy sposób prowadzenia analizy, dobór metodyki oraz zakres wykorzystywanych danych powinny zostać dostosowane indywidualnie do charakteru infrastruktury i działalności operatora.
Dokumentacja ochrony infrastruktury krytycznej
Kolejnym obowiązkiem będzie opracowanie i bieżące aktualizowanie dokumentacji ochrony infrastruktury krytycznej.
Dokumentacja ma odzwierciedlać między innymi:
- charakter i znaczenie infrastruktury;
- wyniki przeprowadzonej analizy zagrożeń;
- zastosowane rozwiązania ochronne;
- zasoby umożliwiające podtrzymanie funkcjonowania;
- zasady współpracy i wymiany informacji;
- działania podejmowane w przypadku zakłócenia;
- rozwiązania dotyczące ciągłości działania i odtwarzania infrastruktury.
Niektóre procedury będą wymagały uzgodnienia z właściwymi organami zarządzania kryzysowego, służbami, strażami i inspekcjami.
Dokumentacja będzie miała charakter niejawny. Jej przygotowanie wiąże się więc nie tylko z koniecznością opracowania odpowiednich rozwiązań, ale także z zapewnieniem właściwych zasad dostępu, przetwarzania i przechowywania informacji.
Operator będzie zobowiązany przedłożyć oświadczenie o opracowaniu dokumentacji w terminie 15 miesięcy od otrzymania informacji o wpisie infrastruktury do wykazu.
Koordynator ochrony infrastruktury krytycznej
Operator będzie również zobowiązany do wyznaczenia koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy. Obowiązek ten należy wykonać w terminie 30 dni od otrzymania informacji o wpisie do wykazu.
Koordynator powinien posiadać odpowiednią wiedzę i doświadczenie w zakresie zarządzania bezpieczeństwem, z uwzględnieniem specyfiki działalności operatora. Ma on podlegać bezpośrednio organowi zarządzającemu organizacją.
Wprowadzenie tej funkcji pokazuje, że ochrona infrastruktury krytycznej nie powinna być traktowana jako zadanie wyłącznie techniczne. Wymaga zaangażowania kierownictwa, zapewnienia przepływu informacji oraz koordynacji działań podejmowanych przez różne komórki organizacyjne.
Współpraca, wymiana informacji i raportowanie
Nowe regulacje wzmacniają również znaczenie współpracy pomiędzy operatorami infrastruktury krytycznej a właściwymi organami administracji publicznej, służbami, strażami i inspekcjami oraz Rządowym Centrum Bezpieczeństwa.
Operator powinien być przygotowany do przekazywania informacji o zdarzeniach, które zakłócają lub mogą zakłócić funkcjonowanie infrastruktury.
Nowym obowiązkiem będzie również coroczne sporządzanie raportu o stanie ochrony infrastruktury krytycznej. Raport ma pozwalać na ocenę stosowanych zabezpieczeń, występujących zagrożeń oraz działań podejmowanych przez operatora.
Realizacja tego obowiązku będzie wymagała systematycznego gromadzenia informacji, a nie jedynie przygotowania dokumentu na koniec okresu sprawozdawczego.
Najważniejsze terminy dla operatora
Od dnia otrzymania informacji o wpisie infrastruktury do wykazu operator powinien uwzględnić przede wszystkim następujące terminy:
- 30 dni – na wyznaczenie koordynatora ochrony infrastruktury krytycznej i jego zastępcy;
- 6 miesięcy – na przeprowadzenie analizy zagrożeń;
- kolejne 6 miesięcy – na wdrożenie rozwiązań wynikających z przeprowadzonej analizy;
- 15 miesięcy – na opracowanie dokumentacji ochrony infrastruktury krytycznej i przedłożenie odpowiedniego oświadczenia.
Terminy te pokazują, że przygotowanie organizacji powinno rozpocząć się odpowiednio wcześnie. Poszczególne działania są ze sobą powiązane, a dokumentacja powinna odzwierciedlać rzeczywiście wdrożone rozwiązania.
Dokumentacja nie zastąpi rzeczywistej gotowości
Jednym z najważniejszych wniosków wynikających z nowelizacji jest odejście od traktowania ochrony infrastruktury krytycznej wyłącznie jako obowiązku dokumentacyjnego.
Największym błędem może być rozpoczęcie prac od opracowania dokumentu bez wcześniejszego zweryfikowania rzeczywistych zagrożeń, posiadanych zabezpieczeń, dostępnych zasobów i zdolności organizacji do reagowania.
Dokumentacja powinna być wynikiem przeprowadzonej analizy oraz podjętych decyzji organizacyjnych i technicznych. Samo formalne opisanie procedur nie zapewni ciągłości działania, jeżeli nie będą one odpowiadały realnym możliwościom operatora.
Co z dotychczasowymi planami ochrony?
Dotychczasowe plany ochrony infrastruktury krytycznej nie tracą automatycznie ważności. Pozostają w mocy do czasu dokonania wpisu infrastruktury do nowego wykazu oraz opracowania dokumentacji wymaganej przez znowelizowane przepisy.
Rozwiązanie przejściowe zapewnia ciągłość systemu ochrony, ale nie powinno prowadzić do odkładania przygotowań. Nowe obowiązki są szersze i wymagają powiązania dokumentacji z rzeczywistym stanem bezpieczeństwa organizacji.
Jak INSTIN wspiera operatorów infrastruktury krytycznej?
INSTIN wspiera operatorów infrastruktury krytycznej w dostosowaniu organizacji do nowych obowiązków prawnych oraz zwiększaniu jej rzeczywistej odporności na zagrożenia i zakłócenia.
Zakres wsparcia może obejmować:
- analizy zagrożeń i ocenę ryzyka;
- audyty zabezpieczeń fizycznych, technicznych i organizacyjnych;
- ocenę dotychczasowej dokumentacji i identyfikację obszarów wymagających poprawy;
- opracowanie dokumentacji ochrony infrastruktury krytycznej;
- przygotowanie planów ciągłości działania, procedur awaryjnych i zasad odtwarzania;
- wsparcie we wdrażaniu rozwiązań organizacyjnych i technicznych;
- szkolenia, warsztaty oraz ćwiczenia sprawdzające gotowość organizacji.
Zakres współpracy jest każdorazowo dostosowywany do rodzaju infrastruktury, charakteru działalności oraz zidentyfikowanych zagrożeń.
Zapoznaj się z naszą pełną ofertą!
Weź udział w naszym szkoleniu i dowiedz się więcej!
Ze względu na ogromne zainteresowanie pierwszym terminem szkolenia oraz liczne zapytania o kolejną edycję, zapraszamy na szkolenie online Zmiany w ustawie o zarządzaniu kryzysowym, które odbędzie się 4 września 2026 roku w godz. 09:00 – 14:00.
Więcej informacji tutaj.
