EY oznacza globalną organizację i może odnosić się do jednej lub więcej firm członkowskich Ernst & Young Global Limited, z których każda stanowi odrębny podmiot prawny. Ernst & Young Global Limited, brytyjska spółka z ograniczoną odpowiedzialnością, nie świadczy usług na rzecz klientów.
Jak EY może pomóc
-
Istotność bezpieczeństwa infrastruktury krytycznej rośnie wraz ze wzrostem zagrożeń atakami hybrydowymi i terrorystycznymi. Jak zapewnić ochronę infrastruktury krytycznej i zgodność z ustawą o zarządzaniu kryzysowym?
Przeczytaj więcej -
Zapewnij ochronę sygnalistów zgodnie z prawem. Wdrożenie kanałów zgłaszania, ochrony i procedur. Skontaktuj się z nami, aby dowiedzieć się więcej o whistleblowing!
Przeczytaj więcej -
Dowiedz się jak EY Virtual Compliance Officer może wesprzeć pracę działu compliance w Twojej organizacji.
Przeczytaj więcej -
Etyka i compliance to fundamenty zdrowych relacji biznesowych. Poznaj nasze rozwiązania wspierające zarządzanie zgodnością i budowanie etycznej kultury organizacyjnej.
Przeczytaj więcej
6 marca do Sejmu został przekazany długo oczekiwany projekt nowelizacji Ustawy o Zarządzaniu Kryzysowym (dalej „UZK”) oraz innych ustaw. Obecnie dokument znajduje się na etapie opiniowania przed skierowaniem do Marszałka Sejmu. UZK ma transponować postanowienia unijnej dyrektywy CER do polskiego systemu prawnego.
Dyrektywa CER (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. dotycząca odporności podmiotów krytycznych) została ustanowiona w celu zapewnienia ciągłości świadczenia usług kluczowych dla funkcjonowania podstawowych struktur społecznych oraz działalności gospodarczej na rynku wewnętrznym Unii Europejskiej. Przepisy dyrektywy mają również na celu zwiększenie odporności podmiotów krytycznych realizujących te zadania. Dyrektywa weszła w życie 16 stycznia 2023 roku, natomiast państwa członkowskie UE, w tym Polska, zobowiązane były do jej transpozycji do krajowego porządku prawnego do 17 października 2024 roku.
W Polsce prace nad transpozycją powierzono Rządowemu Centrum Bezpieczeństwa. Opracowany przez RCB projekt przewiduje nowelizację ponad dwudziestu aktów prawnych, przy czym najbardziej daleko idące zmiany dotyczą wspomnianej UZK.
Poniżej przedstawiamy podsumowanie kluczowych założeń projektu:
1. Wprowadzenie kategorii Operatora Infrastruktury Krytycznej (dalej „OIK”) oraz Podmiotu Krytycznego (dalej „PK”). Status Podmiotu Krytycznego uzyskuje OIK, który świadczy usługę kluczową. Sektory, podsektory i kategorie podmiotów objęte ustawą określa załącznik do ustawy. O uzyskaniu statusu OIK/PK podmioty zostaną zawiadomione przez odpowiednie organy i od tego czasu zacznie biec czas na wdrożenie rozwiązań zgodnych z określonym na drodze rozporządzenia standardem minimum (o których w dalszej części artykułu).
2. Wprowadzane rozwiązania powinny być adekwatne do systematycznie przeprowadzanej Analizy zagrożeń (OIK) i Oceny ryzyka (PK) aktualizowanej co najmniej raz na 2 lata.
3. Obowiązek zapewnienia ochrony infrastruktury krytycznej (OIK) / wdrożenia zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK) poprzez zastosowanie rozwiązań w obszarach:
- bezpieczeństwa fizycznego;
- bezpieczeństwa technicznego;
- bezpieczeństwa osobowego;
- cyberbezpieczeństwa;
- bezpieczeństwa prawnego;
- ciągłości działania i odtwarzania;
- ochrony informacji niejawnych w zakresie realizacji przedsięwzięć związanych z ochroną infrastruktury krytycznej / zdolności do ochrony informacji niejawnych w niezbędnym zakresie do zapewnienia świadczenia usługi kluczowej;
- polityk zarządzania ryzykiem;
- szkoleń i ćwiczeń personelu w celu jego przygotowania na różnego rodzaju zagrożenia i incydenty;
- certyfikacji.
4. Obowiązek sporządzania w terminie do dnia 31 marca każdego roku raportu o stanie ochrony infrastruktury krytycznej za rok ubiegły (OIK).
5. Obowiązek przeprowadzania audytów systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK)
- Regularnych: co najmniej raz na trzy lata
- Incydentalnych: W przypadku wystąpienia incydentu istotnego, organ do spraw podmiotów krytycznych może nakazać podmiotowi krytycznemu przeprowadzenie zewnętrznego audytu
6. Utrzymywanie odpowiedniej dokumentacji, której zakres i wymogi określa ustawa.
7. Wyznaczenie urzędników łącznikowych w terminie 30 dni od dnia otrzymania informacji o ujęciu w odpowiednim wykazie:
- koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy w celu realizacji zadań operatora infrastruktury krytycznej,
- pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcy w celu realizacji zadań podmiotu krytycznego.
8. Obowiązki z zakresu zgłaszania i zarządzania incydentami.
9. Obowiązki z zakresu współpracy i wymiany informacji.
Pakiet dokumentów przekazanych do rozpatrzenia przez Sejm zawiera:
- projekt nowelizacji UZK i innych ustaw,
- załącznik do projektu nowelizacji UZK określający sektory, podsektory i kategorie podmiotów, które po spełnieniu określonych kryteriów (sektorowych i przekrojowych) mogą zostać uznane za infrastrukturę krytyczną,
- dokumenty związane z procesem legislacyjnym.
Ponadto, na wcześniejszych etapach procesu legislacyjnego na stronie Rządowego Centrum Legislacyjnego udostępniano projekty aktów wykonawczych do UZK. Dokumenty te prezentują proponowany kształt aktów prawnych, które mogą zostać ostatecznie uchwalone przez Radę Ministrów. Rozporządzenia te określają m.in.:
- Standard minimum: Rozporządzenie Rady Ministrów w sprawie minimalnych wymagań w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej pełniące rolę wytycznych przy wdrażaniu rozwiązań z zakresu zapewnienia ochrony infrastruktury krytycznej
- Wykaz norm, które PK uwzględnia przy wdrażaniu rozwiązań organizacyjno-technicznych
- Wymogi dla osoby mogącej pełnić funkcję pełnomocnika do spraw ochrony infrastruktury krytycznej
- Progi uznania incydentu za istotny
- Wykaz usług kluczowych oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług
- Wymogi dla audytorów mogących przeprowadzać audyty systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej
Rozwiązania przewidziane w projekcie przekazanym do Sejmu znacząco rozbudują system zarządzania kryzysowego w kontekście infrastruktury krytycznej oraz podmiotów krytycznych. Spowoduje to poszerzenie zakresu podmiotów objętych UZK, a także zwiększy liczbę obowiązków związanych z ochroną infrastruktury krytycznej i zapewnieniem ciągłości świadczenia usług kluczowych. Da także podmiotom szereg możliwości, w tym m.in. w zakresie prowadzenia postępowań zakupowych oraz weryfikacji pracowników (w tym – w uzasadnionych przypadkach, z uwzględnieniem danych biometrycznych lub informacji z Krajowego Rejestru Karnego).
W związku z opóźnieniami w transpozycji dyrektywy CER do polskiego prawa oraz aktualną sytuacją geopolityczną można oczekiwać, że prawodawca nada priorytetowy charakter procesowi legislacyjnemu. W efekcie podmioty, które zostaną objęte ustawą, będą dysponować ograniczonym czasem na przeprowadzenie analiz i wdrożenie odpowiednich środków.
O dalszych postępach prac legislacyjnych oraz praktycznych implikacjach projektowanych zmian będziemy informować w naszym serwisie.