Projekt nowelizacji Ustawy o Zarządzaniu Kryzysowym przyjęty przez Sejm

Projekt nowelizacji Ustawy o Zarządzaniu Kryzysowym (UZK) został przyjęty przez posłów 15 maja i skierowany do dalszego procedowania w Senacie.

Nowelizacja UZK ma na celu wdrożenie Dyrektywy UE dotyczącej odporności podmiotów krytycznych (Dyrektywa CER), która służy zapewnieniu ciągłości kluczowych usług niezbędnych dla podstawowych funkcji społecznych i działalności gospodarczej w Unii Europejskiej. Dyrektywa CER obowiązuje od 16 stycznia 2023 roku, a państwa członkowskie miały dostosować swoje krajowe przepisy do jej wymogów najpóźniej do 17 października 2024 roku.

Posłowie obradowali nad projektem ustawy w trzech czytaniach, z czego pierwsze odbyło się na posiedzeniu Komisji Administracji i Spraw Wewnętrznych. Na początku poprawki do projektu zgłosiła sama Komisja, a później także posłowie w ramach ogólnych obrad Sejmu. W efekcie przyjęto m.in. poniższe poprawki:

• Wprowadzono definicję dostawcy krytycznego oraz rozdział dotyczący bezpieczeństwa łańcucha dostaw, nakładający na podmiot krytyczny obowiązek identyfikacji dostawców krytycznych, prowadzenia rejestru tych dostawców oraz przeprowadzania ich oceny przynajmniej raz w roku. Ponadto wymagane będzie posiadanie planów awaryjnych umożliwiających zastąpienie dostawcy krytycznego oraz określenie minimalnych wymagań bezpieczeństwa dla tego typu podmiotów. Uregulowano również obowiązek zgłaszania istotnych incydentów oraz podlegania audytowi przez dostawców krytycznych.
• Doprecyzowano postanowienia odnośnie szkoleń, ćwiczeń oraz testów ciągłości działania, w których mają brać udział pracownicy podmiotu krytycznego.
• Zmieniono charakter rozporządzenia Rady Ministrów w zakresie rozwiązań minimalnych – mają one nie zawierać szczegółowych rekomendacji, a skupiać się na ogólnie ujętych rozwiązaniach zapewniających bezpieczeństwo infrastruktury krytycznej oraz zapewnienia jednolitości rozwiązań – ma to odciążyć operatorów w procesie dostosowania się do nowej ustawy.
• Uregulowano systemy i wykazy, do których należy przekazać dane koordynatora ochrony infrastruktury krytycznej, pełnomocnika bezpieczeństwa usługi kluczowej i ich zastępców.
• Wydłużono wymagany okres niezależności audytora przeprowadzającego audyt zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowe. Audytor nie będzie mógł realizować przedmiotowych zadań w podmiocie audytowanym w terminie 2 lat przed dniem rozpoczęcia audytu (poprzednio był to 1 rok).
• Rozszerzono skład Centrum Bezpieczeństwa Morskiego (dodano kierowników wyszczególnionych jednostek podlegających obowiązkowej ochronie zgodnie z ustawą o ochronie osób i mienia oraz zastrzeżono zapewnienie stałej realizacji zadań przez przedstawiciela KAS w siedzibie CBM), doprecyzowano zasady przekazywania informacji nt. zagrożeń podlegających przekazaniu do CBM, a także zmieniono terminy dotyczące wejścia w życie przepisów o CBM. Przepisy te mają zacząć obowiązywać wraz z wejściem w życie całej UZK, tak by możliwe było podjęcie działań przygotowujących do uruchomienia CBM, które ma zostać uruchomione w terminie 6 miesięcy od wejścia w życie UZK.
• W zakresie przedsiębiorstw objętych ustawą o szczególnych uprawnieniach ministra właściwego do spraw aktywów państwowych oraz ich wykonywaniu w niektórych spółkach kapitałowych lub grupach kapitałowych prowadzących działalność w sektorach energii elektrycznej, ropy naftowej oraz paliw gazowych doprecyzowano przepisy dot. pełnomocników do spraw ochrony infrastruktury krytycznej, w tym zrezygnowano z konieczności opracowywania raportów okresowych.
• Doprecyzowano, że pierwszy raport o stanie infrastruktury krytycznej operatorzy będą zobowiązani sporządzić za 2027 rok, wcześniej ten termin nie był wskazany. Podobnie doprecyzowano, że spółki, które składają raporty półroczne, będą zobowiązane do złożenia pierwszego raportu półrocznego za pierwsze półrocze 2027 r.
• Inne poprawki o charakterze redakcyjnym i ujednolicającym, a także doprecyzowujące lub upraszczające definicje.

Poniżej przypominamy główne założenia projektu nowelizacji UZK:

1. Wprowadzenie kategorii Operatora Infrastruktury Krytycznej (dalej „OIK”) oraz Podmiotu Krytycznego (dalej „PK”). Status Podmiotu Krytycznego uzyskuje OIK, który świadczy usługę kluczową. Sektory, podsektory i kategorie podmiotów objęte ustawą określa załącznik do ustawy. O uzyskaniu statusu OIK/PK podmioty zostaną zawiadomione przez odpowiednie organy.
2. Wprowadzane rozwiązania powinny być adekwatne do systematycznie przeprowadzanej Analizy zagrożeń (OIK) i Oceny ryzyka (PK).
3. Obowiązek zapewnienia ochrony infrastruktury krytycznej (OIK) / wdrożenia zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK) poprzez zastosowanie rozwiązań w obszarach bezpieczeństwa fizycznego, bezpieczeństwa technicznego, bezpieczeństwa osobowego, cyberbezpieczeństwa, bezpieczeństwa prawnego, ciągłości działania i odtwarzania, ochrony informacji niejawnych, polityk zarządzania ryzykiem, szkoleń i ćwiczeń personelu w celu jego przygotowania na różnego rodzaju zagrożenia i incydenty, a także certyfikacji.
4. Obowiązek sporządzania w terminie do dnia 31 marca każdego roku raportu o stanie ochrony infrastruktury krytycznej za rok ubiegły (OIK).
5. Obowiązek przeprowadzania audytów systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK)
6. Utrzymywanie odpowiedniej dokumentacji, której zakres i wymogi określa ustawa. 
7. Wyznaczenie urzędników łącznikowych w terminie 30 dni od dnia otrzymania informacji o ujęciu w odpowiednim wykazie:
   • koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy w celu realizacji zadań operatora infrastruktury krytycznej,
   • pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcy w celu realizacji zadań podmiotu krytycznego.
8. Obowiązki z zakresu zgłaszania i zarządzania incydentami.
9. Obowiązki z zakresu współpracy i wymiany informacji.

Poza nowelizacją UZK wraz z załącznikiem dotyczącym sektorów objętych ustawą, system ochrony infrastruktury krytycznej oraz zapewnienia ciągłości świadczenia usługi kluczowej uzupełnią akty wykonawcze uchwalone przez Radę Ministrów. Rozporządzenia te obejmą m.in.:

• Minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej pełniące rolę wytycznych przy wdrażaniu rozwiązań z zakresu zapewnienia ochrony infrastruktury krytycznej
• Wykaz norm, które PK uwzględnia przy wdrażaniu rozwiązań organizacyjno-technicznych
• Wymogi dla osoby mogącej pełnić funkcję pełnomocnika do spraw ochrony infrastruktury krytycznej
• Progi uznania incydentu za istotny
• Wykaz usług kluczowych oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług
• Wymogi dla audytorów mogących przeprowadzać audyty systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej

Po zakończeniu głosowania nad zgłoszonymi poprawkami, odbyło się głosowanie nad całym projektem ustawy. W efekcie Sejm uchwalił ustawę o zmianie ustawy o zarządzaniu kryzysowym. Ustawa trafi teraz do Senatu. O dalszych aktualizacjach będziemy Państwa informować na bieżąco.