Obiekt chroniony – infrastruktura krytyczna

Ponadto, jeśli obiekt spełnia kryteria (które też są niejawne) może zostać skalsyfikowany jako infrastruktura krytyczna (IK). Obiektami podlegającymi obowiązkowej ochronie, jak mówi ustawa, są także obszary, obiekty – w tym obiekty budowlane, urządzenia, instalacje, usługi ujęte w jednolitym wykazie obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej (IK). Obiekt IK jest więc z mocy ustawy obiektem podlegającym obowiązkowej ochronie. Warto mieć jednak świadomość, że reguła nie działa odwrotnie, ponieważ nie każdy obiekt podlegający obowiązkowej ochronie należy do infrastruktury krytycznej (IK).

Czym jest więc infrastruktura krytyczna?

Infrastruktura krytyczna to, zgodnie z ustawą o zarządzaniu kryzysowym (Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, Dz. U. z 2022 r. poz. 261, 583), systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania administracji publicznej, a także instytucji i przedsiębiorców. Infrastruktura krytyczna obejmuje systemy: zaopatrzenia w energię, surowce energetyczne i paliwa, łączności, sieci teleinformatycznych, finansowe, zaopatrzenia w żywność, zaopatrzenia w wodę, ochrony zdrowia, transportowe, ratownicze, zapewniające ciągłość działania administracji publicznej, produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych. O zaliczeniu danego obiektu do IK decydują szczegółowe kryteria zapisane w niejawnym załączniku do Narodowego Programu Ochrony Infrastruktury Krytycznej (NPOIK). Warto pamiętać, że nie każdy zakład uzdatniania wody czy oczyszczalnia ścieków należy do IK.

Co z tego wynika? Ustawy precyzują obowiązki osób zarządzających tego typu obiektami w zakresie przygotowania procedur i planów dotyczących bezpieczeństwa. W przypadku obiektów podlegających obowiązkowej ochronie to plan ochrony oraz tzw. załącznik AT (będący osobnym dokumentem), w przypadku infrastruktury krytycznej to plan ochrony IK.

Operatorzy usług kluczowych (OUK)

Ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2020 r. poz. 1369) wyróżnia nową kategorię przedsiębiorstw, a mianowicie operatorów usług kluczowych (OUK). Są to firmy i instytucje świadczące usługi o istotnym znaczeniu dla utrzymania krytycznej działalności społecznej lub gospodarczej w następujących sektorach: energetycznym, transportowym, bankowym i infrastruktury rynków finansowych, ochrony zdrowia, zaopatrzenia i dystrybucji wody pitnej i infrastruktury cyfrowej. Operatorem usługi kluczowej jest podmiot posiadający jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, wobec którego organ właściwy (minister odpowiedzialny za dany dział administracji rządowej) wydał decyzję o uznaniu za OUK.

Co zmieni nowa ustawa w przypadku przedsiębiorstw sektora wod-kan?

Najbardziej istotne zmiany nastąpią w procedurach dotyczących obiektów mających status infrastruktury krytycznej (IK). Ustawa na nowo określa systemy wchodzące w skład IK, z dotychczasowych jedenastu pozostaje dziewięć, jakkolwiek nie ma żadnych zmian w kwestii systemu zaopatrzenia w wodę – był w poprzedniej ustawie, jest w projekcie nowej. Ustawa nie określa kryteriów ani rodzajów kryteriów kwalifikujących obiekty, urządzenia, instalacje i usługi do kategorii IK, ani też nie precyzuje, czy lista kryteriów pozostaje niejawna (jak dotychczas), a jedynie wskazuje, że „Rada Ministrów przyjmuje, w drodze uchwały, szczegółowe kryteria pozwalające wyodrębnić obiekty, urządzenia, instalacje i usługi […] a także wskazuje ministrów odpowiedzialnych za te systemy” [art. 115]. Bardzo prawdopodobnym jest, że dotychczasowe kryteria dla systemu zaopatrzania w wodę zostaną zrewidowane.

RCB będzie zlikwidowane?

Najbardziej znacząca zmiana dotyczy instytucji koordynującej ochronę infrastruktury krytycznej i budowanie jej odporności na zagrożenia. Ustawa o ochronie ludności oraz o stanie klęski żywiołowej likwiduje Rządowe Centrum Bezpieczeństwa (RCB), które dotychczas zajmowało się koordynacją wszelkich działań i procedur dotyczących IK, a przede wszystkim opracowywało standardy (w postaci załączników do NPOIK) dotyczących ochrony na wszystkich poziomach bezpieczeństwa: fizycznego, technicznego, osobowego, teleinformatycznego, prawnego oraz w zakresie planów ciągłości działania. „Standardy służące zapewnieniu sprawnego funkcjonowania infrastruktury krytycznej – dobre praktyki i rekomendacje” są swoistym drogowskazem w kwestii zapewnienia ochrony IK. Ustawa nie przewiduje nowej wersji NPOIK (która dotychczas była aktualizowany nie rzadziej niż raz na dwa lata) oraz standardów w zakresie bezpieczeństwa obiektów IK, ani żadnego odpowiednika tego dokumentu. Dostępne są, choćby w internecie, zagraniczne odpowiedniki takich standardów, ale warto pamiętać, że zostały opracowane w zupełnie innych warunkach prawnych oraz w oparciu o inny katalog zagrożeń. Nie bez znaczenia jest także specyfika każdego kraju, lokalne uwarunkowania, gdzie się takie standardy tworzy.

Plan zapewnienia ciągłości funkcjonowania IK

Plany ochrony IK także ulegną niewielkim zmianom, jakkolwiek zmieni się instytucja dokonująca ich uzgodnień. Dotychczas wymagania odnośnie do planu ochrony IK określało Rozporządzenie Rady Ministrów z dnia 30 kwietnia 2010 r. w sprawie planów ochrony infrastruktury krytycznej. Ustawa o ochronie ludności oraz o stanie klęski żywiołowej wprowadza „Plan zapewnienia ciągłości funkcjonowania infrastruktury krytycznej”.

Zmienia się nazwa dokumentu, ale większość wymaganych przez dotychczas funkcjonujące rozporządzenie nie ulega zmianom. Operator ma na sporządzenie planu 9 miesięcy od daty otrzymania decyzji o znalezieniu się w wykazie infrastruktury krytycznej (IK), a plan musi zostać także uzgodniony z innymi podmiotami, których lista została skrócona do siedmiu (Komendant Wojewódzki Policji, Komendant Wojewódzki PSP, Wojewoda, Dyrektor Regionalnego Zarządu Gospodarki Wodnej, Wojewódzki Inspektor Nadzoru Budowlanego, Państwowy Wojewódzki Inspektor Sanitarny, Dyrektor Urzędu Morskiego). Jak wspomniano powyżej, zmienia się instytucja, która zatwierdza (lub nie zatwierdza) dokument.