System bezpieczeństwa do przebudowy. Nowe uprawnienia dla służb, silniejsze RCB i tarcza nad infrastrukturą krytyczną

Podczas sejmowych prac nad nowelizacją ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw przyjęto łącznie ponad 300 poprawek – w tym 100 zmian legislacyjnych i redakcyjnych przygotowanych przez Biuro Legislacyjne oraz 225 poprawek zgłoszonych przez stronę rządową i zaakceptowanych przez posłów. Jak wskazano, znaczna część zmian miała charakter doprecyzowujący i porządkujący.

Jedną z najważniejszych decyzji podjętych przez posłów było rozszerzenie projektu o nowe regulacje dotyczące bezpieczeństwa łańcuchów dostaw. Do słowniczka pojęć wprowadzono definicję „dostawcy krytycznego”, czyli podmiotu dostarczającego produkty, usługi lub technologie, których zakłócenie może spowodować u podmiotu krytycznego tzw. incydent istotny.

Nowe przepisy nakładają na podmioty krytyczne obowiązek identyfikacji takich dostawców, prowadzenia ich rejestru oraz przeprowadzania corocznej oceny ryzyka. Operatorzy będą również zobowiązani do opracowania planów awaryjnych umożliwiających zastąpienie dostawcy krytycznego, a sami dostawcy zostaną objęci systemem audytów bezpieczeństwa. W praktyce oznacza to objęcie systemem bezpieczeństwa nie tylko samych operatorów infrastruktury krytycznej, ale również firm technologicznych, podwykonawców oraz dostawców usług teleinformatycznych współpracujących z państwem lub strategicznymi sektorami gospodarki.

Istotną częścią nowych regulacji są również dodatkowe uprawnienia dla służb mundurowych. Znowelizowane przepisy przewidują możliwość niszczenia, unieruchamiania lub przejmowania kontroli nad bezzałogowymi obiektami mogącymi stanowić zagrożenie dla infrastruktury krytycznej. Dotyczy to zarówno dronów, jak i bezzałogowych obiektów lądowych czy pływających.

Nowe kompetencje otrzymają Policja, Straż Graniczna, SOP oraz Żandarmeria Wojskowa. Ustawa dopuszcza również użycie urządzeń zakłócających systemy pozycjonowania oraz łączność operatorów bezzałogowców.

W trakcie prac doprecyzowano jednocześnie przepisy dotyczące systemów antydronowych wykorzystywanych przez operatorów infrastruktury krytycznej. Do projektu dodano rozwiązanie umożliwiające ministrowi spraw wewnętrznych i administracji nakazanie operatorowi infrastruktury krytycznej zaprzestania stosowania określonych urządzeń lub zmiany sposobu ich wykorzystywania, jeśli będzie to niezbędne dla funkcjonowania Systemu Bezpiecznej Łączności Państwowej lub bezpieczeństwa wewnętrznego państwa.

Nowelizacja przewiduje również nowe rozwiązania dotyczące finansowania systemu bezpieczeństwa. Zgodnie z dokumentem nowelizacja ustaw pragmatycznych Policji, Straży Granicznej, Państwowej Straży Pożarnej oraz Służby Ochrony Państwa wprowadza jednolitą zasadę: jeśli funkcjonariusz zostaje oddelegowany do wykonywania zadań w urzędzie obsługującym MSWiA lub jednostkach jemu podległych, co będzie miało miejsce m.in. w kontekście nowych struktur zarządzania kryzysowego, jego należności wypłaca jego jednostka „macierzysta” – czyli ta, w której pełnił służbę tuż przed delegowaniem. Ma się to odbywać w uzgodnieniu z jednostką przyjmującą.

Jak argumentowano, zadania z zakresu ochrony ludności czy infrastruktury to cele państwowe, realizowane we współpracy wielu formacji. Utrzymanie kosztów po stronie jednostki delegującej ma – w ocenie autorów zmian – zwiększyć odpowiedzialność i rzeczywiste zaangażowanie poszczególnych służb w budowę systemu zarządzania kryzysowego, a jednocześnie ułatwić zachowanie spójności budżetowej.

Dokument zakłada także stworzenie Centrum Bezpieczeństwa Morskiego, którego koordynatorem ma być Straż Graniczna. Nowa struktura ma działać całodobowo i odpowiadać za ochronę portów, gazociągów, kabli światłowodowych oraz infrastruktury energetycznej na Bałtyku, w tym morskich farm wiatrowych.

W skład Centrum wejść mają przedstawiciele m.in. MON, ABW, AW, SKW, Policji, PSP, KAS, administracji morskiej oraz operatorów infrastruktury krytycznej. Jednocześnie w ustawie doprecyzowano możliwość obejmowania ochroną fizyczną i techniczną również morskich farm wiatrowych znajdujących się w polskiej wyłącznej strefie ekonomicznej.

Nowelizacja znacząco wzmacnia także pozycję Rządowego Centrum Bezpieczeństwa. Dyrektor RCB będzie odpowiedzialny za przygotowanie Krajowej Oceny Ryzyka (KOR), która zastąpi dotychczasowy Raport o zagrożeniach bezpieczeństwa narodowego, a także Krajowej Strategii Odporności Podmiotów Krytycznych (KSOPK). Dokumenty te będą przyjmowane przez Radę Ministrów nie rzadziej niż raz na 3 lata. RCB będzie również pełnić funkcję Pojedynczego Punktu Kontaktowego, reprezentując Polskę w Unii Europejskiej w sprawach odporności podmiotów krytycznych i raportując o incydentach.

Projekt precyzyjnie wiąże planistykę kryzysową z nowymi przepisami dotyczącymi ochrony ludności i obroną cywilną. Krajowe plany ewakuacji ludności mają być opracowywane przez RCB we współpracy z Szefem Sztabu Generalnego Wojska Polskiego, a organy odpowiedzialne za ochronę ludności będą zobowiązane do uwzględniania ustaleń Krajowej Oceny Ryzyka.

Sejm zatwierdził także poprawkę przewidującą możliwość przekazywania przez dyrektora RCB wyciągów z wykazu infrastruktury krytycznej prezesowi UKE na potrzeby wojewódzkich planów zarządzania kryzysowego.

Bardzo istotnym elementem zmian jest także rozbudowany system audytów bezpieczeństwa. Podmioty krytyczne będą zobowiązane do przeprowadzania – na własny koszt – kompleksowych audytów co najmniej raz na trzy lata. Kontrole obejmą bezpieczeństwo informacji, ciągłość działania oraz ochronę fizyczną infrastruktury.

W przypadku wystąpienia tzw. incydentu istotnego organ nadzorczy będzie mógł natychmiast nakazać przeprowadzenie dodatkowego audytu zewnętrznego. W trakcie sejmowych prac zaostrzono również przepisy dotyczące niezależności audytorów. Wydłużono z roku do dwóch lat okres, w którym osoba wcześniej wdrażająca procedury bezpieczeństwa w danym podmiocie nie będzie mogła przeprowadzać jego audytu.

Posłowie pracowali także nad dodatkowymi rozwiązaniami dotyczącymi testowania odporności systemu bezpieczeństwa państwa. Wśród propozycji znalazły się obowiązkowe testy ciągłości działania i ćwiczenia reagowania na incydenty oraz testy scenariuszowe. Organy administracji publicznej miałyby z kolei organizować ćwiczenia krajowe i międzysektorowe. Jak wskazywano podczas prac sejmowej komisji Administracji i Spraw Wewnętrznych, celem tych rozwiązań jest sprawdzenie realnej skuteczności procedur kryzysowych, tak aby system nie funkcjonował wyłącznie „na papierze”.

Po sejmowych pracach dokument trafi teraz do izby wyższej parlamentu, gdzie pochylą się nad nim senatorowie. Zgodnie z przyjętymi przepisami większość ustawy ma wejść w życie po 14 dniach od ogłoszenia. Dłuższe, sześciomiesięczne vacatio legis przewidziano jedynie dla przepisów dotyczących Centrum Bezpieczeństwa Morskiego.