Rewolucja w zarządzaniu kryzysowym. Nowe przepisy trafią do prezydenta

Sejm przyjął – z poprawkami Senatu – nowelizację ustawy o zarządzaniu kryzysowym. Wdraża ona unijną dyrektywę CER zmniejszającą podatność na zagrożenia podmiotów krytycznych i wzmacniającą ich fizyczną odporność.

Akt prawny znacząco rozszerza krajowy system bezpieczeństwa. Ustanawia przy tym nowe obowiązki dla służb mundurowych, administracji publicznej oraz operatorów infrastruktury krytycznej.

Ustawa obejmuje m.in. obowiązkowe audyty bezpieczeństwa, nowe regulacje dotyczące ochrony infrastruktury krytycznej i łańcuchów dostaw, utworzenie Centrum Bezpieczeństwa Morskiego oraz rozszerzenie kompetencji służb wobec bezzałogowych systemów, takich jak drony.

Przebudowa systemu bezpieczeństwa

Choć projekt formalnie wdraża unijną dyrektywę CER, w praktyce oznacza szeroką przebudowę krajowego systemu zarządzania kryzysowego i ochrony infrastruktury krytycznej. Nowelizacja jest odpowiedzią na rosnące zagrożenia związane m.in. z cyberatakami, awariami infrastruktury, sabotażem czy sytuacjami kryzysowymi wpływającymi na funkcjonowanie państwa. Przepisy przewidują przygotowanie Krajowej Oceny Ryzyka, rozwój systemów alarmowania oraz lepszą koordynację działań administracji i służb odpowiedzialnych za bezpieczeństwo.

Jedną z najważniejszych zmian jest rozszerzenie przepisów dotyczących bezpieczeństwa łańcuchów dostaw. Ustawa wprowadza pojęcie „dostawcy krytycznego” – podmiotu dostarczającego produkty, technologie lub usługi, których zakłócenie mogłoby sparaliżować działanie infrastruktury krytycznej.

Operatorzy infrastruktury krytycznej będą zobowiązani do identyfikacji dostawców krytycznych, prowadzenia ich rejestrów, regularnej oceny ryzyka, przygotowania planów awaryjnych umożliwiających szybkie zastąpienie kluczowego dostawcy.

Nowymi regulacjami zostaną objęte nie tylko podmioty infrastruktury krytycznej, ale również firmy technologiczne, podwykonawcy oraz dostawcy usług teleinformatycznych współpracujący z administracją publiczną i strategicznymi sektorami gospodarki.

Nowe kompetencje służb

Istotnym elementem nowelizacji są nowe kompetencje służb mundurowych. Policja, Straż Graniczna, SOP oraz Żandarmeria Wojskowa będą mogły niszczyć, przejmować lub unieruchamiać bezzałogowe obiekty stanowiące zagrożenie dla infrastruktury krytycznej. Przepisy obejmują nie tylko drony powietrzne, ale również bezzałogowe jednostki lądowe i pływające.

Ustawa dopuszcza także wykorzystywanie urządzeń zakłócających systemy pozycjonowania oraz łączność operatorów bezzałogowców. Jednocześnie minister spraw wewnętrznych i administracji otrzyma możliwość ingerowania w sposób wykorzystywania systemów antydronowych, jeśli będzie to konieczne dla bezpieczeństwa państwa lub funkcjonowania Systemu Bezpiecznej Łączności Państwowej.

Powstanie Centrum Bezpieczeństwa Morskiego

Nowelizacja przewiduje również utworzenie Centrum Bezpieczeństwa Morskiego, którego koordynatorem ma zostać Straż Graniczna. Nowa jednostka będzie działać całodobowo i odpowiadać za ochronę strategicznej infrastruktury na Bałtyku. Chodzi m.in. o: porty, gazociągi, kable światłowodowe, infrastrukturę energetyczną, morskie farmy wiatrowe.

W skład centrum mają wejść przedstawiciele m.in. MON, ABW, AW, SKW, Policji, Państwowej Straży Pożarnej, Krajowej Administracji Skarbowej, administracji morskiej oraz operatorów infrastruktury krytycznej.

Wzrośnie rola Rządowego Centrum Bezpieczeństwa

Znacznie większe kompetencje otrzyma również Rządowe Centrum Bezpieczeństwa. Dyrektor RCB będzie odpowiadał za przygotowanie Krajowej Oceny Ryzyka oraz Krajowej Strategii Odporności Podmiotów Krytycznych. Dokumenty te mają być przyjmowane przez Radę Ministrów co najmniej raz na trzy lata.

RCB stanie się także krajowym punktem kontaktowym dla Unii Europejskiej w sprawach związanych z odpornością podmiotów krytycznych oraz raportowaniem incydentów bezpieczeństwa.

Nowe przepisy mają również ściślej połączyć system zarządzania kryzysowego z ochroną ludności i obroną cywilną. Krajowe plany ewakuacji ludności będą przygotowywane przez RCB we współpracy z Szefem Sztabu Generalnego Wojska Polskiego.

Obowiązkowe audyty bezpieczeństwa

Jednym z najbardziej rozbudowanych elementów ustawy są nowe przepisy dotyczące audytów bezpieczeństwa. Podmioty krytyczne będą zobowiązane do przeprowadzania kompleksowych audytów co najmniej raz na trzy lata i finansowania ich z własnych środków. Kontrole obejmą między innymi bezpieczeństwo informacji, ciągłość działania, ochronę fizyczną infrastruktury, odporność systemów teleinformatycznych.

W przypadku wystąpienia tzw. incydentu istotnego organ nadzorczy będzie mógł nakazać przeprowadzenie dodatkowego audytu zewnętrznego.

Zaostrzono także przepisy dotyczące niezależności audytorów. Osoby wcześniej uczestniczące we wdrażaniu procedur bezpieczeństwa w danym podmiocie nie będą mogły prowadzić jego audytu przez okres dwóch lat.

Nowelizacja przewiduje również organizowanie regularnych testów odporności systemu bezpieczeństwa państwa. Administracja publiczna będzie mogła prowadzić krajowe i międzysektorowe ćwiczenia sprawdzające skuteczność procedur reagowania kryzysowego oraz ciągłość działania instytucji i infrastruktury krytycznej.

Po przyjęciu przez Sejm ustawa trafi teraz do prezydenta.