Nowelizacja ustawy o zarządzaniu kryzysowym – przewodnik po najważniejszych zmianach | Część 2

Kim jest podmiot krytyczny i jak będzie identyfikowany?

Kolejny istotny obszar nowelizacji to utworzenie krajowego systemu podmiotów krytycznych. Podmiot krytyczny nie jest synonimem operatora IK ani podmiotu kluczowego w rozumieniu ustawy o KSC.

Sekwencyjny model identyfikacji podmiotu krytycznego

W ustawie o ZK podmiotem krytycznym jest operator IK wpisany do wykazu podmiotów krytycznych. Oznacza to sekwencyjny model identyfikacji:

1. najpierw identyfikowany jest zasób stanowiący IK
2. jego właściciel albo właściciel staje się operatorem IK
3. następnie ocenia się znaczenie świadczonej przez niego usługi kluczowej
4. po spełnieniu przesłanek operator zostaje wpisany do wykazu podmiotów krytycznych.

Usługa kluczowa to usługa mająca decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, działalności gospodarczej, zdrowia i bezpieczeństwa publicznego albo środowiska.

Kryteria identyfikacji podmiotów krytycznych

Proces identyfikacji podmiotów krytycznych będzie opierał się między innymi na:

• wykazie usług kluczowych
• liczbie użytkowników zależnych od usługi
• zależności innych sektorów i usług
• udziale podmiotu w rynku
• obszarze geograficznym oddziaływania
• znaczeniu podmiotu dla bezpieczeństwa i stabilności państwa
• skutkach przerwania lub istotnego obniżenia jakości usługi
• dostępności alternatywnych sposobów świadczenia usługi.

Identyfikacja nie powinna być traktowana jako jednostronne „nadanie statusu” bez kontaktu z organizacją. Ustawa zakłada udział podmiotów w procesie oraz możliwość pozyskiwania od nich informacji niezbędnych do oceny spełnienia kryteriów.

Sektory objęte systemem podmiotów krytycznych

System ma objąć sektory i podsektory wskazane w załączniku do ustawy, w tym między innymi energię, transport, bankowość, infrastrukturę rynków finansowych, zdrowie, wodę pitną, ścieki, infrastrukturę cyfrową, administrację publiczną, przestrzeń kosmiczną oraz produkcję, przetwarzanie i dystrybucję żywności.

Krajowa Strategia Odporności Podmiotów Krytycznych (KSOPK)

Na poziomie strategicznym system będzie wspierany przez Krajową Strategię Odporności Podmiotów Krytycznych – KSOPK. Ma ona określać cele, priorytety, działania organów, procesy identyfikacji oraz środki zwiększania odporności, w tym rozwiązania ułatwiające realizację obowiązków przez małe i średnie przedsiębiorstwa. Projekt strategii będzie podlegał konsultacjom publicznym.

Jakie obowiązki będą miały podmioty krytyczne?

Podmiot krytyczny ma odpowiadać nie tylko za ochronę konkretnego obiektu lub systemu, ale przede wszystkim za odporność świadczenia usługi kluczowej. Jest to zasadnicza różnica w stosunku do tradycyjnego modelu ochrony IK.

Na czym polega odporność podmiotu krytycznego

Odporność obejmuje zdolność do:

• zapobiegania incydentom
• ochrony przed ich wystąpieniem
• reagowania
• absorbowania skutków
• adaptacji do zmienionych warunków
• usuwania skutków
• odtwarzania IK niezbędnej do świadczenia usługi kluczowej.

Katalog obowiązków podmiotów krytycznych

Podmioty krytyczne będą zobowiązane między innymi do:

• prowadzenia okresowej oceny ryzyka
• wdrożenia adekwatnych środków odporności
• opracowania i aktualizowania dokumentacji
• zarządzania incydentami
• zgłaszania incydentów istotnych
• prowadzenia szkoleń i ćwiczeń
• przeprowadzania audytów
• zapewnienia ciągłości świadczenia usług kluczowych
• zarządzania bezpieczeństwem łańcucha dostaw
• prowadzenia wymaganych sprawdzeń osób
• wyznaczenia pełnomocnika bezpieczeństwa usługi kluczowej i jego zastępcy.

Pełnomocnik bezpieczeństwa usługi kluczowej

Szczególnie ważna jest funkcja pełnomocnika bezpieczeństwa usługi kluczowej. Powinna być ona usytuowana na odpowiednio wysokim poziomie organizacyjnym i posiadać bezpośredni dostęp do organu zarządzającego. Pełnomocnik będzie odpowiadał za koordynację działań związanych z odpornością usługi, współpracę z adekwatnym organem, nadzór nad realizacją obowiązków oraz obieg informacji o zagrożeniach i incydentach.

Sprawdzanie przeszłości pracowników

Nowelizacja przewiduje również sprawdzanie przeszłości określonych osób wykonujących szczególnie wrażliwe zadania lub mających dostęp do IK, systemów i informacji. Mechanizm ten nie powinien być rozumiany jako nieograniczone prawo do gromadzenia dowolnych danych o pracownikach. Zakres i sposób sprawdzenia muszą wynikać z ustawy oraz pozostawać zgodne z przepisami dotyczącymi ochrony danych osobowych, prawa pracy i informacji niejawnych.

Bezpieczeństwo łańcucha dostaw

Kolejnym ważnym elementem jest bezpieczeństwo łańcucha dostaw. Podmiot krytyczny nie może oceniać swojej odporności wyłącznie przez pryzmat zasobów własnych. Powinien identyfikować dostawców krytycznych, czyli dostawców produktów, usług lub technologii, których zakłócenie może wywołać incydent istotny. Ocena musi obejmować zależności, koncentrację dostaw, możliwość zastąpienia usługodawcy, dostępność części, kompetencje personelu, bezpieczeństwo danych, prawa do technologii oraz warunki zakończenia współpracy.

Nadzór, kontrola i administracyjne kary pieniężne

W przeciwieństwie do reżimu operatorów IK ustawa przewiduje wobec podmiotów krytycznych rozbudowany system nadzoru, kontroli, zaleceń i administracyjnych kar pieniężnych. Sankcje mogą dotyczyć między innymi braku oceny ryzyka, niewdrożenia środków odporności, braku dokumentacji, niewykonania audytu, niezgłoszenia incydentu lub utrudniania kontroli. Mechanizm ten ma zwiększać skuteczność wykonywania obowiązków, a nie pozostawiać ich wyłącznie na poziomie deklaratywnym.

Jakie zmiany wprowadzono w innych ustawach?

Nowelizacja ustawy o ZK ingeruje również w wiele innych aktów prawnych. Zmiany dotyczą między innymi:

• ustawy o drogach publicznych;
• ustawy o Policji
• ustawy o Straży Granicznej
• ustawy o ochronie przeciwpożarowej
• ustawy o ochronie osób i mienia
• Prawa lotniczego
• ustawy o ochronie żeglugi i portów morskich
• ustawy o działaniach antyterrorystycznych
• ustawy o KSC
• ustawy o obronie Ojczyzny
• ustawy o OLiOC.

Ich wspólnym celem jest dostosowanie kompetencji organów, służb i podmiotów do nowego modelu identyfikacji i ochrony IK oraz podmiotów krytycznych. Obejmują one między innymi kwestie obiektów obowiązkowej ochrony, współdziałania ze służbami, użycia określonych środków wobec systemów bezzałogowych, wymiany informacji oraz relacji między odpornością fizyczną i cyberbezpieczeństwem. Pełna ocena skutków reformy wymaga zatem analizy nie tylko nowego brzmienia ustawy o ZK, ale także regulacji sektorowych.

Co należy zrobić po wejściu w życie nowych przepisów?

Najgorszą strategią byłoby bierne oczekiwanie na wpis do wykazu IK albo wykazu podmiotów krytycznych. Część obowiązków będzie zależała od formalnej identyfikacji, ale przygotowanie systemu bezpieczeństwa wymaga czasu, zasobów i decyzji zarządczych.

Zadania administracji publicznej

Administracja publiczna powinna w szczególności:

• rozpoznać nowe zadania i adekwatności organów
• przygotować się do nowego modelu planowania
• uporządkować dane o zagrożeniach, podatnościach, stratach i zależnościach;
• zidentyfikować podmioty, które mogą wejść do systemu IK lub podmiotów krytycznych
• zapewnić współpracę między ZK, OLiOC, cyberbezpieczeństwem i planowaniem sektorowym
• przygotować kompetencje kadry odpowiedzialnej za ocenę ryzyka i zatwierdzanie planów.

Obowiązki starostów i prezydentów miast

Ponadto starostowie i prezydenci miast na prawach powiatu powinni przygotować dane o zakładach, obiektach i urządzeniach, mających istotne znaczenie dla funkcjonowania powiatów lub miast na prawach powiatu, których zniszczenie lub uszkodzenie może stanowić zagrożenie dla życia i zdrowia ludzi oraz środowiska, w szczególności takich jak elektrownie i ciepłownie, ujęcia wody, wodociągi i oczyszczalnie ścieków. Dane te zgodnie nowelizacją ustawy o ochronie osób i mienia powinny być przekazywane do wojewody w celu umieszczenia tego rodzaju obiektów w wykazie obiektów, obszarów i urządzeń podlegających obowiązkowej ochronie.

Działania przyszłych operatorów IK i podmiotów krytycznych

Organizacje, które mogą zostać operatorami IK albo podmiotami krytycznymi, powinny natomiast:

• przeprowadzić wstępną analizę kwalifikacyjną
• zidentyfikować świadczone usługi i procesy krytyczne
• rozpoznać zależności od dostawców, energii, telekomunikacji, personelu i technologii
• ocenić dojrzałość sześciu obszarów bezpieczeństwa IK
• uporządkować dokumentację, umowy, role i odpowiedzialności
• przygotować koncepcję ochrony IK oraz odporności usług kluczowych
• rozwijać kompetencje przyszłych koordynatorów ochrony IK i pełnomocników bezpieczeństwa usługi kluczowej
• utrzymywać aktualność dotychczasowych planów i zdolności reagowania do czasu pełnego wdrożenia nowych rozwiązań.

Nie oznacza to, iż należy już dziś tworzyć wszystkie dokumenty w ostatecznej postaci, zanim zostaną przyjęte akty wykonawcze i dokumenty strategiczne. Należy jednak rozpocząć prace koncepcyjne, analizę luk i planowanie zasobów. Wdrożenie wymaga bowiem współpracy zarządów, prawników, służb bezpieczeństwa, działów technicznych, IT, OT, HR, zakupów, ciągłości działania i komunikacji kryzysowej.

Nowelizacja ustawy o zarządzaniu kryzysowym – ewolucja czy rewolucja?

Z formalnego punktu widzenia jest to nowelizacja istniejącej ustawy. Z perspektywy systemowej mamy jednak do czynienia z niemal całkowicie nowym modelem regulacyjnym.

Najważniejsze zmiany obejmują:

• przejście od opisu zagrożeń do systemowego zarządzania ryzykiem
• rozdzielenie planowania ryzyka i reagowania
• funkcjonalne podejście do identyfikacji IK
• objęcie procesem bezpieczeństwa potencjalnej IK już na etapie inwestycyjnym
• rozbudowanie obowiązków operatorów IK
• utworzenie systemu podmiotów krytycznych
• powiązanie ochrony infrastruktury z odpornością usług kluczowych
• integrację bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, bezpieczeństwa prawnego i ciągłości działania
• zwiększenie znaczenia audytów, ćwiczeń, raportowania, łańcucha dostaw i odpowiedzialności zarządczej.

Największym wyzwaniem będzie przełożenie nowych przepisów na praktyczny, proporcjonalny i możliwy do utrzymania system bezpieczeństwa. Do tego potrzebne są kompetencje, kooperacja międzybranżowa, finansowanie oraz konsekwentne zaangażowanie kierownictwa. adekwatnym efektem wdrożenia nie będzie jednak liczba opracowanych dokumentów, ale rzeczywista zdolność administracji i organizacji do zapobiegania zakłóceniom, utrzymywania najważniejszych funkcji, reagowania na incydenty i odtwarzania usług. Weryfikacja podjętych działań nie nastąpi w chwili kontroli, ale w czasie realnej sytuacji kryzysowej, do której należy się adekwatnie przygotować.