Nowelizacja ustawy o zarządzaniu kryzysowym

19 czerwca 2026 roku została opublikowana nowelizacja ustawy o zarządzaniu kryzysowym. Nowelizacja stanowi implementację dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2557 w sprawie odporności podmiotów krytycznych (tzw. dyrektywa CER) i wprowadza ważne zmiany dla przedsiębiorców telekomunikacyjnych. Nowelizacja wejdzie w życie w terminie 14 dni od publikacji. Poniżej przedstawiamy kompleksową analizę nowych przepisów wraz z praktycznymi wytycznymi dotyczącymi dalszych działań.

Nowy mechanizm identyfikacji – na czym polega zmiana?

Nowelizacja wprowadza nowe podejście do identyfikacji podmiotów o kluczowym znaczeniu dla państwa. Dotychczasowe przepisy koncentrowały się na ochronie infrastruktury krytycznej, w skład której wchodziły obiekty, instalacje, urządzenia i usługi. Podstawowe znaczenie – z punktu widzenia obowiązków przedsiębiorców – miał wykaz obiektów wchodzących w skład infrastruktury krytycznej, sporządzany przez Dyrektora Rządowego Centrum Bezpieczeństwa. Obowiązki ustawowe spoczywały na właścicielach i posiadaczach obiektów, instalacji lub urządzeń infrastruktury krytycznej, ujętych w tym wykazie. Kryteria uznania infrastruktury za krytyczną, jak i sam wykaz, były, są i będą niejawne.  

Nowelizacja wprowadza pojęcie usługi kluczowej, która ma decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska. Założenie ustawodawcy jest następujące: usługi kluczowe należy chronić kompleksowo – nie tylko przez pryzmat pojedynczych obiektów lub urządzeń. Kolejne założenie: nie każdą infrastrukturę krytyczną da się wykorzystać do świadczenia usługi kluczowej, lecz każda usługa kluczowa „wymaga” infrastruktury krytycznej do jej świadczenia.

Powyższe założenia doprowadziły do wyróżnienia dwóch kategorii podmiotów: (1) operatora infrastruktury krytycznej (czyli właściciela lub posiadacza infrastruktury krytycznej) oraz (2) podmiotu krytycznego (czyli operatora infrastruktury krytycznej wpisanego do wykazu podmiotów krytycznych). Całkowitą nowością jest ta druga kategoria: podmiotem krytycznym jest taki operator infrastruktury krytycznej, który prowadzi działalność w jednym z sektorów wskazanych w ustawie, świadczy co najmniej jedną usługę kluczową, a incydent (zdarzenie mające lub mogące mieć niekorzystny wpływ na świadczenie usługi kluczowej) miałby „istotny skutek zakłócający” dla świadczenia usługi kluczowej.

W uzupełnieniu do nowej ustawy o zarządzaniu kryzysowym, kluczowe znaczenie dla przedsiębiorców będą miały trzy procedowane obecnie rozporządzenia wykonawcze (ich ostateczna treść jeszcze nie jest znana). To one w praktyce zadecydują o skali nowych obowiązków i o tym, które firmy zostaną nimi objęte, dlatego ich ostateczny kształt pozwoli ocenić ryzyko i przygotować się na nadchodzące zmiany. Największe znaczenie ma projekt rozporządzenia w sprawie wykazu usług kluczowych i progów istotności skutku zakłócającego dla świadczenia usług kluczowych, ponieważ to on określi, który operator infrastruktury krytycznej zostanie uznany za podmiot krytyczny. Obecna wersja projektu definiuje progi w sposób na tyle szeroki, że stwarza ryzyko objęcia nowymi regulacjami niemal każdego operatora, zamiast skupienia się na podmiotach o faktycznie strategicznym znaczeniu dla państwa.

Nowe kryteria i nowe obowiązki

Pod rządami znowelizowanej ustawy o zarządzaniu kryzysowym nadal będzie funkcjonował niejawny wykaz infrastruktury krytycznej. Same kryteria identyfikacji infrastruktury jako krytycznej również będą nadal niejawne – przy czym Rada Ministrów powinna zaktualizować te kryteria do 3 października br. Zarówno dotychczasowi właściciele i posiadacze infrastruktury krytycznej (aktualnie: operatorzy infrastruktury krytycznej), jak i podmioty, które dopiero staną się operatorami infrastruktury krytycznej po zmianie kryteriów przez Radę Ministrów, powinni liczyć się z nowymi obowiązkami, w tym m.in.:

• prowadzenia bieżącej analizy zagrożeń dla infrastruktury krytycznej,
• wdrożenia minimalnych wymagań w zakresie bezpieczeństwa infrastruktury krytycznej,
• stawiania wysokich wymogów podmiotom, którym zlecają wykonanie obowiązków z ww. zakresu bezpieczeństwa,
• zapewniania zdolności do ochrony informacji niejawnych.

Ustawa nakłada również szereg obowiązków na tych operatorów, którzy zostaną zakwalifikowani jako podmioty krytyczne. Nie obejmą one jednak podmiotów krytycznych z sektora infrastruktury cyfrowej (do tego sektora zaliczeni są m.in. przedsiębiorcy komunikacji elektronicznej).

Co przedsiębiorca telekomunikacyjny powinien zrobić?

W obecnej chwili żaden przedsiębiorca telekomunikacyjny nie musi podejmować sformalizowanych działań, takich jak rejestracja czy składanie wniosków. Proces identyfikacji jest w pełni po stronie administracji. Nikt nie jest operatorem infrastruktury krytycznej ani podmiotem krytycznym, dopóki nie zostanie o tym oficjalnie poinformowany. W przypadku pytań zachęcamy do kontaktu.

➡️Zachęcamy do zapisania się  na nasz biuletyn 📩

📣W biuletynie KPM eksperci przedstawiają aktualności ze świata rynku mediów i podpowiadają jak przygotować się na zachodzące zmiany.