Nowelizacja ustawy o zarządzaniu kryzysowym na ostatniej prostej: obowiązki podmiotów krytycznych i ich dostawców

Podmiot krytyczny to operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych (art. 3 pkt 1a ustawy o zmianie ustawy o zarządzaniu kryzysowym). Wpisanie następuje po spełnieniu czterech warunków określonych w art. 6zp ust. 1: prowadzenie działalności w sektorze lub podsektorze z Załącznika do ustawy, świadczenie co najmniej jednej usługi kluczowej, posiadanie infrastruktury krytycznej na terytorium RP i stwierdzenie, że incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej. Sama przynależność do sektora regulowanego nie wystarcza — konieczne jest wpisanie do wykazu przez właściwy organ do spraw podmiotów krytycznych. Pierwsze wpisanie podmiotów nastąpi w terminie 9 miesięcy od dnia wejścia ustawy w życie (art. 34).

Dostawca krytyczny to podmiot dostarczający produkty, usługi lub technologie, których zakłócenie może spowodować incydent istotny u podmiotu krytycznego (art. 3 pkt 1b ustawy). Ustawa nie nakłada bezpośrednio obowiązków z rozdziału 11 na dostawców — jednak art. 6zzo zobowiązuje podmiot krytyczny do corocznej oceny ryzyka dostawców krytycznych i prowadzenia ich rejestru. Art. 6zzp nakazuje podmiotowi krytycznemu opracowanie planu awaryjnego obejmującego możliwość zastąpienia dostawcy krytycznego i określenie wobec niego minimalnych wymagań bezpieczeństwa. Art. 6zzq przewiduje zgłaszanie incydentów istotnych i audyty dostawców za pośrednictwem podmiotów krytycznych. W praktyce wymagania te będą wdrażane do umów i ankiet kwalifikacyjnych — i dla wielu dostawców pierwszym sygnałem będzie pytanie klienta o plan ciągłości działania lub wyniki testów.

Ustawa przewiduje kilka następujących po sobie terminów. W ciągu 30 dni od otrzymania informacji o wpisie podmiot krytyczny wyznacza pełnomocnika bezpieczeństwa usługi kluczowej i jego zastępcę (art. 6zzd ust. 2). W ciągu 9 miesięcy przeprowadza ocenę ryzyka (art. 6zt ust. 3); dla sektora bankowości termin wynosi 10 miesięcy (art. 6zze). W ciągu 3 miesięcy od przeprowadzenia oceny ryzyka wdraża rozwiązania organizacyjno-techniczne (art. 6zt ust. 4). W ciągu 15 miesięcy od wpisu sporządza dokumentację zintegrowanego systemu zarządzania bezpieczeństwem (art. 6zu ust. 4). Incydenty istotne zgłasza niezwłocznie, nie później niż w ciągu 24 godzin od momentu ich wystąpienia lub wykrycia (art. 6zv ust. 1 pkt 4), a sprawozdanie z obsługi incydentu przekazuje w terminie 30 dni (art. 6zv ust. 1 pkt 7). Audyt przeprowadza co najmniej raz na trzy lata (art. 6zz).

Nowelizacja jest na ostatniej prostej procesu legislacyjnego — po uchwaleniu przez Sejm 15 maja 2026 r. tekst trafił do Senatu. Po ogłoszeniu w Dzienniku Ustaw ustawa wejdzie w życie po upływie 14 dni (art. 73). Właściwe organy do spraw podmiotów krytycznych będą miały następnie 9 miesięcy na pierwsze wyznaczenie podmiotów krytycznych i wpisanie ich do wykazu (art. 34). Przed pierwszym wyznaczeniem podmiotów Rada Ministrów przyjmie Krajową Ocenę Ryzyka i Krajową Strategię Odporności Podmiotów Krytycznych w terminie 6 miesięcy od wejścia ustawy w życie (art. 28) oraz kryteria identyfikacji infrastruktury krytycznej w terminie 3 miesięcy (art. 30 ust. 2).

Art. 6zzr ustawy przewiduje kary pieniężne za szereg naruszeń. Za brak oceny ryzyka: do 100 000 zł (minimum 15 000 zł). Za brak wdrożenia rozwiązań organizacyjno-technicznych: do 150 000 zł (minimum 15 000 zł). Za brak audytu lub niewykonanie w terminie zaleceń pokontrolnych: do 200 000 zł (minimum 15 000 zł). Za niezgłoszenie incydentu istotnego: do 25 000 zł za każdy stwierdzony przypadek (minimum 2 000 zł). Za brak pełnomocnika bezpieczeństwa usługi kluczowej: do 15 000 zł (minimum 2 000 zł). Karę nakłada właściwy organ do spraw podmiotów krytycznych w drodze decyzji (art. 6zzs).

Nie. Ustawa przewiduje dwa ważne wyjątki. Podmioty krytyczne z sektora bankowości i infrastruktury rynków finansowych (art. 6zzw) nie stosują większości przepisów rozdziałów 11–15 — z wyjątkiem wybranych przepisów dotyczących oceny ryzyka, bezpieczeństwa fizycznego i osobowego, szkoleń, testów ciągłości działania i pełnomocnika bezpieczeństwa. Podmioty krytyczne z sektora infrastruktury cyfrowej (art. 6zzx) również nie stosują rozdziałów 11–15. W obu przypadkach wynika to z faktu, że te sektory regulowane są odrębnymi aktami prawnymi — DORA w sektorze finansowym i KSC w sektorze cyfrowym.

Incydent istotny (art. 3 pkt 1g ustawy) to incydent powodujący lub mogący spowodować istotne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej, spełniający progi uznania incydentu za istotny, które Rada Ministrów określi w rozporządzeniu. Podmiot krytyczny jest obowiązany zgłosić incydent istotny niezwłocznie, nie później niż w terminie 24 godzin od jego wystąpienia lub wykrycia (art. 6zv ust. 1 pkt 4) do właściwego organu do spraw podmiotów krytycznych, Dyrektora Centrum, Szefa ABW i właściwego CSIRT. Zgłoszenie dokonuje się za pomocą systemu teleinformatycznego S46 (art. 6zv ust. 2). Sprawozdanie z pełnej obsługi incydentu przekazuje się w terminie 30 dni (art. 6zv ust. 1 pkt 7).