Ustawa o ochronie infrastruktury krytycznej

Ustawa o ochronie infrastruktury krytycznej (ustawa z dnia 2022 r. o ochronie infrastruktury krytycznej) jest aktem prawnym regulującym zasady identyfikacji, zabezpieczania i monitorowania elementów infrastruktury niezbędnych do funkcjonowania państwa, gospodarki i społeczeństwa. Ustawa określa obowiązki podmiotów publicznych oraz prywatnych w zakresie bezpieczeństwa narodowego, a także wyznacza kompetencje organów administracji publicznej w tym obszarze.

Historia i geneza

W odpowiedzi na rosnące zagrożenia w cyberprzestrzeni oraz zwiększające się znaczenie systemów energetycznych, telekomunikacyjnych i transportowych, polski parlament podjął działania mające na celu wzmocnienie ochrony zasobów krytycznych. Projektem ustawy zajmował się Ministerstwo Cyfryzacji we współpracy z Ministerstwem Infrastruktury, Ministerstwem Energii oraz Policją. Ustawa została przyjęta w 2022 roku, po kilkukrotnych konsultacjach społecznych i analizach ryzyka.

Zakres i definicje

Ustawa definiuje infrastrukturę krytyczną jako:

systemy energetyczne, w tym sieci przesyłowe oraz instalacje wytwórcze,
sieci telekomunikacyjne i informatyczne,
systemy transportowe, w tym kolejowe, drogowe i lotnicze,
infrastruktura wodno-kanalizacyjna,
obiekty służby zdrowia o istotnym znaczeniu dla funkcjonowania systemu ochrony zdrowia,
infrastruktura finansowa i płatnicza,
systemy zarządzania kryzysowego i obrony cywilnej.

Ustawa wyróżnia trzy poziomy ochrony:

Poziom podstawowy – obowiązki dotyczące podstawowych środków ochrony technicznej i organizacyjnej,
Poziom podwyższony – dodatkowe wymogi w zakresie monitoringu, testów penetracyjnych i współpracy z organami ścigania,
Poziom krytyczny – najostrzejsze środki, w tym obowiązek zapewnienia rezerwowych źródeł zasilania i systemów awaryjnych.

Obowiązki podmiotów

Podmioty posiadające lub zarządzające infrastrukturą krytyczną są zobowiązane do:

Identyfikacji własnych zasobów krytycznych i ich klasyfikacji zgodnie z kryteriami ustawy,
Opracowania i wdrożenia planów zabezpieczenia oraz procedur reagowania na incydenty,
Regularnego przeprowadzania audytów bezpieczeństwa i testów penetracyjnych,
Współpracy z Agencją Ochrony Infrastruktury Krytycznej (AOIK) w zakresie raportowania zagrożeń,
Zapewnienia szkoleń personelu w dziedzinie cyberbezpieczeństwa i ochrony fizycznej,
Utrzymania i aktualizacji systemów monitoringu oraz systemów zarządzania incydentami (SIEM).

Organy kompetentne

Ustawa wyznacza kilka centralnych organów odpowiedzialnych za nadzór i wsparcie:

Agencja Ochrony Infrastruktury Krytycznej (AOIK) – główny organ koordynujący działania w zakresie identyfikacji zagrożeń i reagowania kryzysowego,
Ministerstwo Obrony – współpraca w zakresie ochrony infrastruktury o znaczeniu strategicznym,
Urzędu Ochrony Danych Osobowych (UODO) – nadzór nad przetwarzaniem danych w kontekście bezpieczeństwa,
Prokuraturą Generalną – prowadzenie postępowań karnych w przypadkach naruszeń ustawy.

Sankcje i kary

Nieprzestrzeganie obowiązków wynikających z ustawy może skutkować:

Nałożeniem kary pieniężnej do 5 000 000 zł w zależności od wagi naruszenia,
Zakazem wykonywania działalności (tzw. zakaz funkcjonowania),
Odpowiedzialnością karną – w szczególnych przypadkach przestępstwa przeciwko bezpieczeństwu państwa,
Obowiązkiem naprawy wynikłych szkód oraz pokrycia kosztów postępowania.

Zmiany i nowelizacje

Ustawa podlega regularnym przeglądom, aby dostosować jej regulacje do dynamicznie zmieniającego się otoczenia technologicznego i zagrożeń. Najważniejsze nowelizacje:

2024 r. – wprowadzenie zapisów integrujących polskie przepisy z Dyrektywą NIS2 Unii Europejskiej,
2025 r. – rozszerzenie definicji infrastruktury krytycznej o systemy sztucznej inteligencji i chmury obliczeniowej,
2026 r. – ustanowienie obowiązku raportowania incydentów w czasie nie dłuższym niż 24 godziny od ich wykrycia.