Większe uprawnienia służb i rosnąca rola RCB. Senat przyjął ustawę o zarządzaniu kryzysowym

Senat przyjął, wraz z poprawkami, nowelizację ustawy o zarządzaniu kryzysowym. Nowe przepisy mają wzmocnić bezpieczeństwo państwa, poprawić ochronę infrastruktury krytycznej i usprawnić działanie administracji w sytuacjach kryzysowych. Za projektem ustawy głosowało 57 senatorów, nikt nie był przeciw, a 25 osób wstrzymało się od głosu.

Senatorowie wprowadzili do ustawy dziewięć poprawek, które – jak podkreślano podczas obrad – mają przede wszystkim charakter doprecyzowujący i porządkujący. Projekt wdraża unijną dyrektywę CER dotyczącą odporności podmiotów krytycznych, ale jednocześnie znacząco przebudowuje krajowy system bezpieczeństwa wewnętrznego. W toku prac parlamentarnych ustawa została mocno rozbudowana i objęła również przepisy dotyczące ochrony infrastruktury krytycznej, bezpieczeństwa morskiego, telekomunikacji, ochrony ludności oraz nowych kompetencji służb mundurowych.

Co zakłada projekt ustawy

Nowelizacja ustawy o zarządzaniu kryzysowym jest odpowiedzią na rosnące zagrożenia związane m.in. z cyberatakami, awariami infrastruktury czy sytuacjami nadzwyczajnymi wpływającymi na funkcjonowanie państwa. Projekt przewiduje opracowanie Krajowej Oceny Ryzyka, rozwój systemów ostrzegania i alarmowania oraz lepszą koordynację działań służb i administracji publicznej. Nowe przepisy mają również dostosować polskie regulacje do unijnych wymogów dotyczących ochrony infrastruktury krytycznej i usług kluczowych, takich jak dostawy energii, wody czy systemy łączności.

Jedną z kluczowych zmian było rozszerzenie projektu o regulacje dotyczące bezpieczeństwa łańcuchów dostaw. Do ustawy wprowadzono definicję „dostawcy krytycznego”, czyli podmiotu dostarczającego produkty, technologie lub usługi, których zakłócenie mogłoby doprowadzić do poważnego incydentu u operatora infrastruktury krytycznej.

Nowe przepisy nakładają na podmioty krytyczne obowiązek identyfikowania takich dostawców, prowadzenia ich rejestrów oraz przeprowadzania regularnej oceny ryzyka. Operatorzy będą musieli również przygotować plany awaryjne umożliwiające szybkie zastąpienie dostawcy krytycznego w sytuacji zagrożenia. Systemem bezpieczeństwa zostaną objęci nie tylko operatorzy infrastruktury krytycznej, ale również firmy technologiczne, podwykonawcy oraz dostawcy usług teleinformatycznych współpracujący z administracją publiczną lub strategicznymi sektorami gospodarki.

Istotnym elementem nowelizacji są również nowe uprawnienia dla służb mundurowych. Zgodnie z przyjętymi przepisami Policja, Straż Graniczna, SOP oraz Żandarmeria Wojskowa będą mogły niszczyć, unieruchamiać lub przejmować kontrolę nad bezzałogowymi obiektami stanowiącymi zagrożenie dla infrastruktury krytycznej. Chodzi nie tylko o drony, ale również o bezzałogowe obiekty lądowe i pływające.

Ustawa dopuszcza także wykorzystywanie urządzeń zakłócających systemy pozycjonowania oraz łączność operatorów bezzałogowców. Jednocześnie podczas prac parlamentarnych doprecyzowano przepisy dotyczące systemów antydronowych stosowanych przez operatorów infrastruktury krytycznej. Minister spraw wewnętrznych i administracji będzie mógł nakazać zmianę sposobu wykorzystywania określonych urządzeń lub ich wyłączenie, jeśli będzie to konieczne dla bezpieczeństwa państwa albo funkcjonowania Systemu Bezpiecznej Łączności Państwowej.

Nowelizacja przewiduje również utworzenie Centrum Bezpieczeństwa Morskiego, którego koordynatorem ma zostać Straż Graniczna. Nowa struktura będzie działała całodobowo i odpowiadała za ochronę portów, gazociągów, kabli światłowodowych oraz infrastruktury energetycznej na Bałtyku, w tym morskich farm wiatrowych.

W skład centrum mają wejść przedstawiciele m.in. MON, ABW, AW, SKW, Policji, Państwowej Straży Pożarnej, Krajowej Administracji Skarbowej, administracji morskiej oraz operatorów infrastruktury krytycznej. Ustawa doprecyzowuje również możliwość obejmowania ochroną fizyczną i techniczną morskich farm wiatrowych znajdujących się w polskiej wyłącznej strefie ekonomicznej.

Wzrośnie rola RCB

Znacząco wzrośnie także rola Rządowego Centrum Bezpieczeństwa. Dyrektor RCB będzie odpowiedzialny za przygotowanie Krajowej Oceny Ryzyka oraz Krajowej Strategii Odporności Podmiotów Krytycznych. Dokumenty te mają być przyjmowane przez Radę Ministrów co najmniej raz na trzy lata. RCB będzie również pełnić funkcję Pojedynczego Punktu Kontaktowego, reprezentując Polskę w Unii Europejskiej w sprawach odporności podmiotów krytycznych i raportując o incydentach.

Projekt zakłada także ścisłe powiązanie planowania kryzysowego z systemem ochrony ludności i obrony cywilnej. Krajowe plany ewakuacji ludności mają być opracowywane przez RCB we współpracy z Szefem Sztabu Generalnego Wojska Polskiego, a organy odpowiedzialne za ochronę ludności będą zobowiązane do uwzględniania ustaleń Krajowej Oceny Ryzyka.

Jednym z najbardziej rozbudowanych elementów ustawy są nowe obowiązki dotyczące audytów bezpieczeństwa. Podmioty krytyczne będą musiały przeprowadzać kompleksowe audyty co najmniej raz na trzy lata i finansować je z własnych środków. Kontrole obejmą m.in. bezpieczeństwo informacji, ciągłość działania oraz ochronę fizyczną infrastruktury.

Zaostrzono przepisy dotyczące audytorów

W przypadku wystąpienia tzw. incydentu istotnego organ nadzorczy będzie mógł nakazać przeprowadzenie dodatkowego audytu zewnętrznego. Zaostrzono także przepisy dotyczące niezależności audytorów. Wydłużono do dwóch lat okres, w którym osoba wcześniej wdrażająca procedury bezpieczeństwa w danym podmiocie nie będzie mogła prowadzić jego audytu.

Nowelizacja przewiduje również organizowanie testów odporności systemu bezpieczeństwa państwa, w tym ćwiczeń reagowania na incydenty i testów ciągłości działania. Administracja publiczna będzie mogła organizować ćwiczenia krajowe i międzysektorowe mające sprawdzić skuteczność procedur kryzysowych w praktyce.