Zarządzanie kryzysowe

Wykazy operatorów infrastruktury krytycznej i podmiotów krytycznych prowadzone przez Rządowe Centrum Bezpieczeństwa i właściwych ministrów sektorowych są niejawne, nie ma możliwości ich weryfikacji przez internet ani w publicznych rejestrach. Status organizacji ustala właściwy organ nadzoru i formalizuje go decyzją administracyjną lub powiadomieniem. Dlatego pierwszym krokiem jest weryfikacja przez dział prawny organizacji, czy taka decyzja lub powiadomienie zostały już wydane. Projekt nowelizacji ustawy o zarządzaniu kryzysowym przewiduje, że po wpisaniu do wykazu podmiotów krytycznych organizacja ma 30 dni na potwierdzenie, a obowiązki wynikające z przepisów aktywują się automatycznie.

Operator infrastruktury krytycznej to dotychczasowa kategoria prawna z ustawy o zarządzaniu kryzysowym, wpisany do wykazu prowadzonego przez RCB, zobowiązany przede wszystkim do analizy zagrożeń fizycznych i dokumentacji ochrony infrastruktury krytycznej (art. 6zf). Podmiot krytyczny to nowa kategoria wprowadzana przez projekt nowelizacji ustawy, implementujący dyrektywę CER, nadrzędna wobec operatora IK, obejmująca czternaście sektorów, z szerszym zakresem obowiązków. Podmiot krytyczny musi wdrożyć zintegrowany system zarządzania bezpieczeństwem usługi kluczowej (art. 6zt), sporządzić dokumentację zintegrowanego systemu (art. 6zu) i raportować incydenty istotne do właściwego organu i RCB w ciągu maksymalnie dwudziestu czterech godzin. Obie kategorie obejmuje nadzór odrębnych organów, co oznacza możliwość równoległych kontroli.

Dokumentacja ochrony infrastruktury krytycznej, wymagana przez art. 6zf projektu nowelizacji ustawy o ZK, obejmuje charakterystykę chronionej infrastruktury, wyniki oceny ryzyka z analizą zagrożeń fizycznych i cybernetycznych, opis wdrożonych środków ochrony w sześciu kategoriach, fizycznych, technicznych, osobowych, cybernetycznych, prawnych oraz ciągłości działania i odtwarzania, a także opis zasobów, procedury współpracy ze służbami, procedury reagowania uzgodnione z lokalnymi służbami, procedury odtwarzania po incydencie oraz dokumentację przeprowadzonych testów i ćwiczeń. Ocena ryzyka musi uwzględniać scenariusze z Krajowej Oceny Ryzyka przyjmowanej przez Radę Ministrów co trzy lata, pominięcie scenariusza z KOR stanowi lukę compliance wykrywaną podczas obowiązkowego audytu.

Dyrektywa CER i dyrektywa NIS2 zostały zaprojektowane jako uzupełniające się regulacje: CER koncentruje się na odporności fizycznej podmiotów krytycznych, NIS2, implementowana w Polsce ustawą o KSC, na cyberbezpieczeństwie podmiotów kluczowych i ważnych. Organizacja może podlegać obu regulacjom jednocześnie, co oznacza, że ocena ryzyka musi obejmować zagrożenia fizyczne i cybernetyczne łącznie. Dla instytucji finansowych wyznaczonych jako podmioty krytyczne dochodzą wymagania DORA w zakresie odporności cyfrowej. Projekt nowelizacji ustawy o ZK wprost przewiduje dokumentację zintegrowanego systemu jako jeden dokument obejmujący wszystkie trzy reżimy, zamiast trzech oddzielnych i dublujących się zestawów dokumentacji.

Szkolenie trwa dwa dni i ma charakter praktyczny, uczestnicy pracują na własnych materiałach i planach organizacji. Program pierwszego dnia obejmuje kontekst prawny i środowisko zagrożeń (NIS2, DORA, ustawa o ZK, KOR, hierarchia regulacji), zarządzanie kryzysem według normy ISO 22361, budowę zespołu kryzysowego i struktur reagowania w oparciu o standard ICS/NIMS, oraz katalog zagrożeń, progi eskalacji i strukturę planu zarządzania kryzysowego. Drugi dzień poświęcony jest procedurom operacyjnym, komunikacji kryzysowej i zarządzaniu zasobami. Kurs kończy moduł online z testami i sesją Q&A. Uczestnicy otrzymują wzór planu zarządzania kryzysowego zgodny z projektem ustawy o ZK 2026, macierz eskalacji i schemat zespołu kryzysowego.

Macierz eskalacji to dokument definiujący pięć poziomów, od obserwacji anomalii, przez incydent operacyjny i alert, po kryzys wymagający uruchomienia planów ciągłości działania i katastrofę wymagającą współpracy ze sztabami kryzysowymi państwa. Dla każdego poziomu macierz określa opis sytuacji, konkretne działania i osobę decyzyjną. Progi muszą być mierzalne, finansowe (strata powyżej konkretnej kwoty), operacyjne (niedostępność usługi kluczowej powyżej wymaganego czasu odtworzenia), reputacyjne (zainteresowanie mediów ogólnopolskich lub pytania regulatora) i regulacyjne (zdarzenie spełniające ustawowe definicje incydentu poważnego lub istotnego). Organizacje, które opisują progi jako "gdy sytuacja się pogarsza", podczas audytu regularnie otrzymują wynik negatywny, bo taki opis nie pozwala ustalić, kto i kiedy powinien podjąć decyzję.

Tak. Ćwiczenia z udziałem służb zewnętrznych, Państwowej Straży Pożarnej, Policji, Centrum Zarządzania Kryzysowego, projektujemy jako tabletop exercises lub ćwiczenia z elementami symulacji. Przygotowujemy scenariusz oparty na katalogu zagrożeń z KOR i profilu ryzyka organizacji, moderujemy ćwiczenie i dokumentujemy wyniki w raporcie zawierającym ocenę gotowości operacyjnej i rekomendacje zmian w planach. Dla organizacji, które budują lub gruntownie aktualizują dokumentację zarządzania kryzysowego, rekomendujemy rozpoczęcie od tabletop exercise, wyniki wskazują konkretne luki do usunięcia przed ewentualnym ćwiczeniem pełnoskalowym.

Dokumentacja ochrony oparta na rzeczywistej analizie ryzyka i spójna z planami ciągłości działania pełni dwie ważne funkcje. Przed Zarządem i podczas audytu jest dowodem należytej staranności, pokazuje, że organizacja rozumie swoje zagrożenia, uwzględniła scenariusze z KOR i podjęła odpowiednie działania ochronne. W sytuacji kryzysowej daje zespołowi reagowania jasne procedury zamiast improwizacji pod presją czasu i wymagań raportowania.

Każda organizacja objęta nowymi wymaganiami będzie oceniana przez właściwy organ. Kluczowe jest, czy dokumentacja, którą przedstawi, odzwierciedla faktyczny poziom odporności, czy jedynie spełnia minimalne wymogi formalne.