KSOPK. Co z nowej strategii wynika dla podmiotów krytycznych?

Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym weszła w życie 4 lipca 2026 r. Wprowadza ona pojęcie podmiotu krytycznego, czyli operatora infrastruktury krytycznej wpisanego do wykazu, oraz pojęcie dostawcy krytycznego, którego produkty, usługi lub technologie mogą po zakłóceniu spowodować incydent istotny u podmiotu krytycznego.

Krajowa Strategia Odporności Podmiotów Krytycznych (KSOPK) ma zwiększyć odporność tych podmiotów. Dokument określa cele i priorytety zapewnienia ciągłości usług kluczowych oraz funkcjonowania infrastruktury krytycznej, uwzględniając przy tym zagrożenia transgraniczne i zależności między sektorami.

Projekt i harmonogram wdrażania

Projekt strategii przygotowuje dyrektor Rządowego Centrum Bezpieczeństwa na podstawie propozycji właściwych organów. Przed skierowaniem do Rady Ministrów projekt przechodzi 30-dniowe konsultacje publiczne, a strategię przyjmuje Rada Ministrów w drodze uchwały.

Dokument ma być aktualizowany co trzy lata. Po przyjęciu Rządowe Centrum Bezpieczeństwo przekazuje go Komisji Europejskiej, a co roku do 31 marca dyrektor składa Radzie Ministrów sprawozdanie z jego wdrażania.

Ustawa wyznacza konkretne terminy liczone od wejścia w życie, czyli od 4 lipca 2026 r. Obejmują one około 4 stycznia 2027 r. powstanie Krajowej Oceny Ryzyka i KSOPK, około 4 kwietnia 2027 r. pierwszą identyfikację podmiotów krytycznych i wykaz, oraz około 4 lipca 2027 r. Krajowy Plan Zarządzania Ryzykiem.

Obowiązki podmiotów krytycznych

Strategia sama nie nakłada obowiązków na konkretną organizację, ale wyznacza ramy, w których obowiązują przepisy ustawy. Podmiot krytyczny ma przeprowadzać ocenę ryzyka co najmniej raz na dwa lata, wdrażać środki techniczne i organizacyjne zwiększające odporność oraz zarządzać incydentami i zgłaszać je w terminie ustawowym.

Podmiot krytyczny musi również poddawać się audytowi bezpieczeństwa co najmniej raz na trzy lata, na własny koszt. Operatorzy infrastruktury krytycznej składają dodatkowo coroczny raport o stanie ochrony, do 31 marca.

Krajowa Ocena Ryzyka będzie uwzględniana w ocenach ryzyka podmiotów, więc jej wyniki wpłyną na to, jakie zagrożenia muszą brać pod uwagę organizacje.

Przygotowanie organizacji

Czekanie na gotowy dokument nie ma sensu. Organizacje mogą już teraz ustalić status, sprawdzając, czy są operatorem infrastruktury krytycznej, potencjalnym podmiotem krytycznym albo dostawcą krytycznym.

Warto również zmapować usługi kluczowe, wskazując dla każdej usługi systemy, ludzi i dostawców, od których zależy jej ciągłość. Organizacje powinny połączyć obszary oceny ryzyka, ciągłości działania i bezpieczeństwa informacji, korzystając z tych samych danych.

Śledzenie konsultacji projektu strategii trwających 30 dni to okazja do zgłoszenia uwag z praktyki. Przygotowanie na audyt jest kluczowe, gdyż pierwszy audyt będzie sprawdzał dowody, a nie deklaracje.

Organizacje, które zaczną teraz przygotowania, będą wdrażać gotowe wymagania, a nie nadrabiać zaległości pod presją terminu. Strategia pojawi się za kilka miesięcy, ale oceny ryzyka, rejestry zależności i podział odpowiedzialności buduje się dłużej.