Prezydent podpisał nowelizację ustawy o zarządzaniu kryzysowym

Nowelizacja Ustawy o Zarządzaniu Kryzysowym (UZK) została zainicjowana w celu implementacji Dyrektywy Unii Europejskiej dotyczącej odporności podmiotów kluczowych (Dyrektywa CER). Celem jest zapewnienie ciągłości kluczowych usług niezbędnych dla podstawowych funkcji społecznych i działalności gospodarczej w Unii Europejskiej. Państwa członkowskie miały czas na dostosowanie swoich przepisów krajowych do wymagań CER do 17 października 2024 roku. Polska ustawa wdrażającą przedmiotową regulację została właśnie podpisana przez Prezydenta.

W trakcie prac legislacyjnych podkreślano, że projekt nie jest wyłącznie techniczną implementacją prawa UE - ma charakter systemowy i uzupełnia wcześniejszą ustawę o ochronie ludności. Jego celem jest przejście do modelu opartego na zapobieganiu, planowaniu i zarządzaniu ryzykiem, a w konsewkencji – zapewnienie odporności kluczowych podmiotów. Projekt przewiduje nowelizację ponad dwudziestu aktów prawnych, przy czym najdalej idące zmiany dotyczą UZK.

Kluczowe założenia nowelizacji UZK:

1. Wprowadzenie kategorii Operatora Infrastruktury Krytycznej( dalej „OIK”) oraz Podmiotu Krytycznego(dalej „PK”). Status Podmiotu Krytycznego uzyskuje OIK, który świadczy usługę kluczową. Sektory, podsektory i kategorie podmiotów objęte ustawą określa załącznik do ustawy:

a) Energia
b) Transport
c) Bankowość i infrastruktura rynków finansowych
d) Ochrona zdrowia
e) Zaopatrzenie w wodę pitną i jej dystrybucja
f) Zbiorowe odprowadzanie ścieków
g) Infrastruktura cyfrowa
h) Administracja publiczna
i) Przestrzeń kosmiczna
j) Produkcja, przetwarzanie i dystrybucja żywności
k) Zarządzanie usługami ICT
l) Produkcja, wytwarzanie i dystrybucja chemikaliów
m) Usługi pocztowe
n) Gospodarowanie odpadami

O uzyskaniu statusu OIK/PK podmioty zostaną poinformowanie przez odpowiednie organy.

2. Przeprowadzanie systematycznej analizy zagrożeń (OIK)

3. Przeprowadzanie co najmniej raz na 2 lata oceny ryzyka (PK), uwzględniającej m.in. zagrożenia i ryzyka wymienione w Krajowej Ocenie Ryzyka, zagrożenia antagonistyczne, zależności międzysektorowe, alternatywne łańcuchy dostaw czy oceny ryzyka prowadzone na podstawie odrębnych przepisów.

4. Zapewnienia ochrony infrastruktury krytycznej(OIK) / Wdrożenie zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej(PK) poprzez zastosowanie rozwiązań w obszarach:

• bezpieczeństwa fizycznego
• bezpieczeństwa technicznego
• bezpieczeństwa osobowego
• cyberbezpieczeństwa,
• bezpieczeństwa prawnego,
• ciągłości działania i odtwarzania
• ochrony informacji niejawnych w zakresie realizacji przedsięwzięć związanych z ochroną infrastruktury krytycznej / zdolności do ochrony informacji niejawnych w niezbędnym zakresie do zapewnienia świadczenia usługi kluczowej
• polityk zarządzania ryzykiem
• szkoleń, testów ciągłości działania oraz ćwiczeń personelu w celu jego przygotowania na różnego rodzaju zagrożenia i incydenty,
• certyfikacji

5. Zapewnienie bezpieczeństwa łańcucha dostaw poprzez identyfikacje, ocenę, opracowywanie planów awaryjnych oraz zapewnienie minimalnych standardów bezpieczeństwa w odniesieniu do dostawców krytycznych.

6. Sporządzanie w terminie do dnia 31 marca każdego roku raportu o stanie ochrony infrastruktury krytycznej za rok ubiegły (OIK). Pierwszy raport należy sporządzić za 2027 r.

7. Przeprowadzanie audytów systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK)

• Regularnych: co najmniej raz na trzy lata
• Incydentalnych: W przypadku wystąpienia incydentu istotnego, organ do spraw podmiotów krytycznych może nakazać podmiotowi krytycznemu przeprowadzenie zewnętrznego audytu.

8. Opracowanie i aktualizacja odpowiedniej dokumentacji, której zakres i wymogi określa ustawa

9. Wyznaczenie urzędników łącznikowych w terminie 30 dni od dnia otrzymania informacji o ujęciu w odpowiednim wykazie:

• koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy w celu realizacji zadań OIK
• pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcy w celu realizacji zadań PK

10. Zarządzanie incydentami rozumiane jako zapewnienie ich obsługi, klasyfikacji oraz zgłaszania incydentów istotnych niezwłocznie, nie później niż w terminie 24 godzin od momentu wystąpienia lub wykrycia, a także współpraca i informowanie odpowiednich podmiotów przewidzianych w ustawie.

11. Obowiązki z zakresu współpracy i wymiany informacji z odpowiednimi organami.

Odpowiedzialność administracyjna podmiotu krytycznego

Organy do spraw podmiotów krytycznych będą uprawnione do monitorowania realizacji obowiązków, przeprowadzania kontroli oraz – w razie stwierdzenia naruszeń – do nakładania sankcji administracyjnych. W szczególności organy te będą mogły nałożyć na spółkę administracyjną karę pieniężną za niewykonanie lub nienależyte wykonanie poszczególnych obowiązków ustawowych. Ustawa wymaga, aby kary administracyjne były dotkliwe oraz proporcjonalne do wagi i czasu trwania naruszenia. W praktyce oznacza to możliwość nałożenia wysokich kar pieniężnych – nawet do kilkuset tysięcy złotych za jedno naruszenie. W przypadku zwłoki lub uporczywego uchylania się od obowiązków, kary mogą być nakładane wielokrotnie aż do usunięcia stwierdzonych uchybień. 

Odpowiedzialność karna i cywilna

Niedopełnienie nowych obowiązków związanych z infrastrukturą krytyczną może wiązać się z odpowiedzialnością karną lub cywilną członków zarządu.

Odpowiedzialność może w szczególności wynikać z: 

• zaniechania wdrożenia mechanizmów zapobiegających powstaniu szkody, np. poprzez niewprowadzenie polityk bezpieczeństwa lub środków ochrony infrastruktury,

• braku należytej staranności przy wdrażaniu wymaganych rozwiązań organizacyjnych i technicznych oraz nadzorze nad nimi, jeżeli doprowadzi to do wystąpienia incydentu. 

Odpowiedzialność karna może powstać również w przypadku nieumyślnego niedopełnienia obowiązków, jeżeli polega ono na naruszeniu zasad ostrożności wymaganych od członków zarządu. 

Pakiet dokumentów składających się na system zapewnienia odporności kluczowych podmiotów

Dokumenty podpisane dziś przez Prezydenta obejmują projekt nowelizacji UZK i innych ustaw wraz z załącznikiem określającym sektory, podsektory i kategorie podmiotów, które po spełnieniu określonych kryteriów (sektorowych i przekrojowych) mogą zostać uznane za infrastrukturę krytyczną. Pakiet uzupełnią akty wykonawcze do ustawy. Projekty rozporządzeń Rady Ministrów określą m.in.:

• Minimalne wymogi : Rozporządzenie Rady Ministrów w sprawie minimalnych wymagań w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej (tzw. Minimalne wymogi) pełniące rolę wytycznych dla OIK przy wdrażaniu rozwiązań z zakresu zapewnienia ochrony infrastruktury krytycznej
• Progi uznania incydentu za istotny
• Wykaz usług kluczowych oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług

Rozwiązania przewidziane w przyjętej ustawie znacząco rozbudują system zarządzania kryzysowego w kontekście infrastruktury krytycznej oraz podmiotów krytycznych. Spowoduje to poszerzenie zakresu podmiotów objętych UZK, a także zwiększy liczbę obowiązków związanych z ochroną infrastruktury krytycznej i zapewnieniem ciągłości świadczenia usług kluczowych. Ustawa wprowadza krótkie (14-dniowe) vacatio legis, po którego zakończeniu odpowiednie podmioty zostaną zidentyfikowane oraz formalnie powiadomione o uzyskaniu statusu OIK lub PK. W dalszej kolejności rozpocznie się dla nich bieg terminów na realizację obowiązków wynikających z ustawy. Organizacje, które rozpoczną przygotowania wcześniej, zmniejszą koszty dostosowania i zminimalizują ryzyko sankcji.