Ochrona infrastruktury krytycznej to zespół działań chroniących obiekty i systemy, bez których państwo i gospodarka nie mogą normalnie funkcjonować – energetykę, wodociągi, transport, łączność, bankowość czy ochronę zdrowia. 4 lipca 2026 roku weszła w życie nowelizacja ustawy o zarządzaniu kryzysowym, która wdraża unijną dyrektywę CER i zmienia zasady obowiązujące w Polsce od kilkunastu lat. Pojawiły się nowe kategorie podmiotów, nowe obowiązki i nowe terminy. Poniżej opisano, co dokładnie się zmieniło, kogo dotyczą nowe przepisy i co oznaczają dla firm współpracujących z takimi podmiotami.

Co to jest infrastruktura krytyczna?

Infrastruktura krytyczna to systemy oraz wchodzące w ich skład obiekty, instalacje, urządzenia i usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców. Definicja pochodzi z ustawy o zarządzaniu kryzysowym, która po nowelizacji z 2026 roku nadal stanowi podstawę całego systemu – została jednak gruntownie przebudowana.

Kluczowe jest jedno: o tym, czy dany obiekt należy do infrastruktury krytycznej, nie decyduje samoocena właściciela, lecz wpis do wykazu prowadzonego przez administrację. Firma dowiaduje się o tym oficjalnie, otrzymując informację o wpisie.

Warto od razu rozdzielić dwa znaczenia, które w praktyce bywają mylone. Infrastruktura krytyczna w rozumieniu ustawy to obiekty i systemy istotne dla bezpieczeństwa państwa, ujęte w urzędowym wykazie. Potocznie mówi się natomiast o infrastrukturze krytycznej firmy, mając na myśli te systemy informatyczne, bez których przedsiębiorstwo nie może pracować – serwery, sieć, systemy produkcyjne. Oba znaczenia dotyczą ciągłości działania, ale tylko pierwsze pociąga za sobą obowiązki ustawowe. Dalsza część artykułu dotyczy znaczenia ustawowego.

Przykłady obiektów infrastruktury krytycznej

Do infrastruktury krytycznej zalicza się między innymi:

• energetyka – elektrownie, sieci przesyłowe i dystrybucyjne, magazyny paliw, rurociągi,
• zaopatrzenie w wodę – ujęcia, stacje uzdatniania, sieci wodociągowe, oczyszczalnie ścieków,
• transport – lotniska, porty, węzły kolejowe, systemy sterowania ruchem,
• łączność i infrastruktura cyfrowa – sieci telekomunikacyjne, centra danych, punkty wymiany ruchu internetowego,
• finanse – systemy rozliczeniowe, infrastruktura rynków finansowych,
• ochrona zdrowia – szpitale, systemy ratownictwa, zaplecze zaopatrzenia w leki,
• żywność – łańcuchy produkcji, przetwarzania i dystrybucji,
• administracja publiczna – systemy teleinformatyczne kluczowe dla działania urzędów.

Nowelizacja rozszerzyła katalog sektorów, dodając między innymi zarządzanie usługami teleinformatycznymi, produkcję chemikaliów, usługi pocztowe i gospodarowanie odpadami.

Co zmieniła nowelizacja z 2026 roku

Zmiana jest zasadnicza i sprowadza się do przesunięcia akcentu: z ochrony obiektu na odporność podmiotu. Wcześniej przepisy koncentrowały się na zabezpieczeniu konkretnej instalacji. Teraz punktem odniesienia jest zdolność organizacji do przetrwania zakłócenia i szybkiego powrotu do świadczenia usługi.

Podstawą prawną jest ustawa z dnia 29 maja 2026 roku o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 815), ogłoszona 19 czerwca i obowiązująca od 4 lipca 2026 roku. Wyjaśnienia dotyczące nowych obowiązków publikuje Rządowe Centrum Bezpieczeństwa.

Skąd ta zmiana – dyrektywa CER

Nowelizacja wdraża do polskiego prawa dyrektywę (UE) 2022/2557 w sprawie odporności podmiotów krytycznych, znaną jako dyrektywa CER. Przyjęto ją 14 grudnia 2022 roku, a uchyliła ona wcześniejszą dyrektywę Rady 2008/114/WE ze skutkiem od 18 października 2024 roku. Stary akt, na który powoływało się wiele opracowań, nie obowiązuje już od blisko dwóch lat.

Dyrektywa wprowadza pojęcie odporności rozumianej jako zdolność podmiotu do zapobiegania incydentowi, ochrony przed nim, reagowania na niego, absorbowania go, a następnie adaptacji i odtworzenia normalnego działania. To szersze podejście niż samo zabezpieczenie fizyczne.

Operator infrastruktury krytycznej a podmiot krytyczny

Nowelizacja rozdziela dwie role, które wcześniej były jedną.

Operator infrastruktury krytycznej to właściciel albo posiadacz obiektu wpisanego do wykazu infrastruktury krytycznej. Odpowiada za ochronę tego obiektu.

Podmiot krytyczny to operator, który dodatkowo został wpisany do wykazu podmiotów krytycznych. Jego obowiązki są znacznie szersze – obejmują ocenę ryzyka całej organizacji, plan odporności, audyty i raportowanie.

Rozróżnienie ma praktyczne konsekwencje. Katalog kar pieniężnych przewidziany w ustawie dotyczy podmiotów krytycznych. Operator, który nie znalazł się w wykazie podmiotów krytycznych, temu katalogowi nie podlega.

Trzecim nowym pojęciem jest dostawca krytyczny – podmiot dostarczający produkty, usługi lub technologie, których zakłócenie może wywołać istotny incydent u podmiotu krytycznego. Ta kategoria dotyczy szerokiego grona firm, które same infrastruktury krytycznej nie posiadają, i omówiono ją osobno w dalszej części tekstu.

Co zastąpiło Narodowy Program Ochrony Infrastruktury Krytycznej

Narodowy Program Ochrony Infrastruktury Krytycznej stracił podstawę prawną – przepis ustawy, na którym się opierał, został uchylony nowelizacją. Dokument przez lata pełnił rolę przewodnika po systemie ochrony i jest wciąż przywoływany w wielu opracowaniach, ale przestał być aktualnym elementem systemu.

Zastąpiły go dwa nowe dokumenty:

• Krajowa Ocena Ryzyka – analiza zagrożeń dla podmiotów krytycznych, aktualizowana co najmniej raz na trzy lata,
• Krajowa Strategia Odporności Podmiotów Krytycznych – dokument kierunkowy przyjmowany co trzy lata.

Do czasu sporządzenia nowych wykazów obowiązują rozwiązania przejściowe: dotychczasowy jednolity wykaz obiektów infrastruktury krytycznej pozostaje w mocy, a dotychczasowe plany ochrony zachowują ważność do momentu doręczenia informacji o wpisie do nowego wykazu.

Kto jest podmiotem krytycznym

Podmiotem krytycznym zostaje organizacja, która spełnia łącznie cztery warunki: prowadzi działalność w jednym z sektorów wskazanych w ustawie, świadczy co najmniej jedną usługę kluczową, posiada infrastrukturę krytyczną na terytorium Polski, a zakłócenie jej działania mogłoby wywołać istotny skutek zakłócający.

Sektory objęte przepisami obejmują między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, infrastrukturę cyfrową, administrację publiczną, przestrzeń kosmiczną, żywność, zarządzanie usługami teleinformatycznymi, produkcję chemikaliów, usługi pocztowe oraz gospodarowanie odpadami.

Warto powtórzyć rzecz, która budzi najwięcej wątpliwości: status podmiotu krytycznego nadaje wpis do wykazu, a nie ocena własna firmy. Spełnianie kryteriów nie oznacza automatycznie obowiązków – te zaczynają się w momencie otrzymania oficjalnej informacji o wpisie.

Jakie obowiązki i w jakich terminach

Terminy dzielą się na dwie grupy. Pierwsza dotyczy budowy systemu przez administrację i biegnie od wejścia ustawy w życie. Druga dotyczy konkretnej firmy i biegnie od momentu, w którym otrzyma ona informację o wpisie do wykazu.

Terminy budowy systemu

Termin od 4 lipca 2026	Co ma powstać
3 miesiące	kryteria identyfikacji przyjmowane przez Radę Ministrów
6 miesięcy	Krajowa Ocena Ryzyka i Krajowa Strategia Odporności Podmiotów Krytycznych
9 miesięcy	pierwsza identyfikacja podmiotów krytycznych
12 miesięcy	Krajowy Plan Zarządzania Ryzykiem

 

Terminy dla firmy – liczone od doręczenia informacji o wpisie

To najczęstsze nieporozumienie wokół nowych przepisów. Obowiązki nie zaczynają biec od dnia wejścia ustawy w życie, lecz od dnia, w którym firma otrzyma informację o wpisie do wykazu.

Czas od doręczenia wpisu	Obowiązek
30 dni	wyznaczenie koordynatora do spraw ochrony infrastruktury krytycznej
6 miesięcy	przeprowadzenie analizy zagrożeń
6 miesięcy od analizy	wdrożenie zabezpieczeń wynikających z analizy
9 miesięcy (10 miesięcy w bankowości)	ocena ryzyka podmiotu krytycznego
15 miesięcy	opracowanie dokumentacji ochrony infrastruktury krytycznej
24 godziny	zgłoszenie incydentu istotnego

 

Do tego dochodzą obowiązki cykliczne: ocena ryzyka co najmniej raz na dwa lata, audyt co najmniej raz na trzy lata oraz roczny raport o ochronie infrastruktury krytycznej składany do 31 marca, po raz pierwszy za rok 2027.

Rozłożenie terminów pokazuje, jak realnie wygląda przygotowanie. Analiza zagrożeń, wdrożenie zabezpieczeń i dokumentacja to w sumie ponad rok pracy – i to zakładając, że firma ma już uporządkowaną infrastrukturę oraz procedury.

Plan ochrony infrastruktury krytycznej – co zawiera

Plan ochrony to podstawowy dokument operatora infrastruktury krytycznej. Opisuje, co i przed czym jest chronione, kto za to odpowiada oraz jak wygląda postępowanie w razie zakłócenia. Sporządza go operator, a nadzór nad zgodnością sprawuje właściwy organ.

Typowy zakres planu obejmuje:

• charakterystykę chronionego obiektu lub systemu i jego rolę w świadczeniu usługi,
• wyniki analizy zagrożeń, w tym scenariusze zakłóceń fizycznych, awarii technicznych i incydentów teleinformatycznych,
• opis zastosowanych zabezpieczeń w podziale na fizyczne, techniczne, osobowe i teleinformatyczne,
• procedury reagowania na incydent, wraz ze ścieżką powiadamiania i zgłaszania,
• zasady odtwarzania funkcji po zakłóceniu, w tym warianty pracy zastępczej,
• dane koordynatora do spraw ochrony infrastruktury krytycznej,
• zasady aktualizacji dokumentu i szkolenia personelu.

Osobnym elementem jest plan ochrony obiektu, który koncentruje się na konkretnej lokalizacji – kontroli dostępu, zabezpieczeniach technicznych, ochronie fizycznej i procedurach na wypadek zdarzeń w tym miejscu.

Dotychczasowe plany ochrony pozostają ważne do czasu doręczenia informacji o wpisie do nowego wykazu i opracowania dokumentacji na nowych zasadach. To rozwiązanie przejściowe daje czas, ale nie zwalnia z przygotowań.

Dostawca krytyczny – co zmienia się dla firm współpracujących z podmiotami krytycznymi

To sekcja dla większości czytelników najważniejsza, bo dotyczy firm, które same nie są podmiotami krytycznymi, ale dostarczają im usługi, oprogramowanie czy infrastrukturę.

Zacznijmy od rzeczy uspokajającej: obowiązki ustawowe nie przechodzą na dostawcę z mocy prawa. Adresatem norm jest podmiot krytyczny. Dostawca spoza wykazu nie podlega ani ustawowemu katalogowi kar, ani obowiązkom raportowym.

Wymagania docierają jednak inną drogą – kanałem kontraktowym. Podmiot krytyczny musi bowiem:

• zidentyfikować swoich dostawców krytycznych i prowadzić ich rejestr,
• oceniać ryzyko związane z tymi dostawcami co najmniej raz w roku,
• przygotować plan awaryjny umożliwiający zastąpienie dostawcy,
• określić minimalne wymagania bezpieczeństwa dla dostawców,
• mieć możliwość audytowania spełnienia tych wymagań,
• żądać certyfikatów lub dokumentów równoważnych potwierdzających kompetencje usługodawcy.

Efekt jest prosty do przewidzenia: wymagania spływają w dół łańcucha dostaw w postaci aneksów do umów, kwestionariuszy bezpieczeństwa i zapowiedzi audytów. Równolegle działa druga ścieżka, wynikająca z przepisów o cyberbezpieczeństwie, które nakazują zarządzanie bezpieczeństwem łańcucha dostaw teleinformatycznych.

W praktyce od dostawcy usług informatycznych oczekuje się dziś:

• udokumentowanych, a nie deklarowanych środków technicznych i organizacyjnych,
• kontroli dostępu fizycznego do pomieszczeń i sprzętu,
• redundancji zasilania, chłodzenia i łączy,
• planu ciągłości działania z określonymi celami odtwarzania,
• procedury zgłaszania incydentów do klienta, z konkretnym czasem reakcji,
• jasno określonej lokalizacji i jurysdykcji przetwarzanych danych,
• gotowości do poddania się audytowi ze strony klienta.

Dla średniej firmy IT oznacza to jedno: dokumentacja bezpieczeństwa przestaje być formalnością, a staje się warunkiem utrzymania kontraktu. Warto przygotować ją zawczasu, zanim pojawi się pierwszy kwestionariusz od klienta z sektora regulowanego.

Jak przygotować się do nowych obowiązków

Terminy liczone od doręczenia wpisu wyglądają na komfortowe, dopóki nie zestawi się ich z realnym czasem potrzebnym na uporządkowanie infrastruktury. Sześć miesięcy na analizę zagrożeń wystarcza, gdy firma wie, co ma. Gdy nie wie – większość tego czasu pochłania sama inwentaryzacja.

Przygotowanie warto rozłożyć na cztery etapy, niezależnie od tego, czy wpis do wykazu już nastąpił.

Etap pierwszy – inwentaryzacja. Spis systemów, usług i zależności między nimi. Kluczowe pytanie brzmi: które elementy muszą działać, żeby firma mogła świadczyć swoją podstawową usługę. Odpowiedź rzadko pokrywa się z listą najdroższych systemów. Na tym etapie wychodzą też zależności od dostawców zewnętrznych, o których nikt wcześniej nie myślał w kategoriach ryzyka.

Etap drugi – analiza zagrożeń i luk. Zestawienie stanu obecnego z wymaganiami: co jest zabezpieczone, co tylko formalnie, a czego brakuje. Praktyczne narzędzie to audyt obejmujący zarówno warstwę techniczną, jak i organizacyjną – procedury, uprawnienia, dokumentację.

Etap trzeci – uzupełnienie braków. Wdrożenie zabezpieczeń wynikających z analizy, według priorytetów wyznaczonych przez ryzyko. W praktyce najczęściej dotyczy to segmentacji sieci, kontroli dostępu zdalnego, monitorowania zdarzeń oraz zdolności odtworzenia usług po awarii.

Etap czwarty – dokumentacja i utrzymanie. Dokumentacja nie jest efektem ubocznym, lecz przedmiotem kontroli. Musi odzwierciedlać stan faktyczny, być aktualizowana i możliwa do przedstawienia podczas audytu. Do tego dochodzą cykliczne obowiązki: ocena ryzyka co najmniej raz na dwa lata, audyt co najmniej raz na trzy lata i coroczny raport.

Firmy, które nie zostały wpisane do wykazu, ale współpracują z podmiotami krytycznymi, powinny przejść przez te same etapy w węższym zakresie. Różnica polega na tym, że rozliczać je będzie nie organ nadzoru, lecz klient – w kwestionariuszu bezpieczeństwa albo podczas audytu dostawcy.

Na czym polega ochrona infrastruktury krytycznej w praktyce

Ochrona infrastruktury krytycznej opiera się na kilku uzupełniających się warstwach. Zaniedbanie jednej z nich zwykle unieważnia pozostałe – najlepiej zabezpieczona serwerownia nie pomoże, jeśli dostęp do niej ma osoba bez weryfikacji.

Bezpieczeństwo fizyczne obejmuje ogrodzenie, kontrolę dostępu, monitoring wizyjny, systemy alarmowe i ochronę obiektu. To warstwa najbardziej widoczna i zwykle najlepiej rozwinięta.

Bezpieczeństwo osobowe to weryfikacja pracowników i podwykonawców mających dostęp do infrastruktury, zarządzanie uprawnieniami oraz szkolenia. Obejmuje również procedury odbierania dostępu przy zmianie stanowiska lub zakończeniu współpracy.

Bezpieczeństwo teleinformatyczne dotyczy systemów sterowania, sieci przemysłowych i systemów wspierających. Kluczowe są segmentacja sieci, kontrola dostępu zdalnego, aktualizacje oraz monitorowanie zdarzeń. W obiektach przemysłowych szczególną uwagę zwraca się na oddzielenie sieci technologicznej od biurowej.

Ciągłość działania i odtwarzanie to zdolność do utrzymania usługi mimo zakłócenia i do szybkiego powrotu do normalnego trybu. Obejmuje zasilanie awaryjne, redundancję łączy, kopie zapasowe i zapasowe środowiska przetwarzania. Tutaj wprost przydają się ustalone cele odtwarzania RPO i RTO (https://itcenter.pl/co-to-jest-rpo-i-rto/) – bez nich nie da się zaprojektować sensownego wariantu awaryjnego.

Plany awaryjne i ćwiczenia zamykają całość. Procedura, której nikt nie przećwiczył, w sytuacji rzeczywistego zakłócenia zwykle nie działa – albo dlatego, że kontakt do kluczowej osoby jest nieaktualny, albo dlatego, że nikt nie wie, kto podejmuje decyzję.

Odporność podmiotów krytycznych a cyberbezpieczeństwo – dwa różne reżimy

Firmy często mylą dwa równolegle obowiązujące zestawy przepisów. Warto je rozdzielić, bo dotyczą innych obszarów i innych organów.

Obszar	Ustawa o zarządzaniu kryzysowym	Ustawa o krajowym systemie cyberbezpieczeństwa
Czego dotyczy	odporność fizyczna, operacyjna i organizacyjna	bezpieczeństwo systemów informacyjnych
Typowe wymagania	ochrona obiektu, bezpieczeństwo osobowe, ciągłość działania, plany awaryjne, audyty	zarządzanie ryzykiem teleinformatycznym, obsługa incydentów, kryptografia, higiena cyfrowa
Kategorie podmiotów	operator infrastruktury krytycznej, podmiot krytyczny	podmiot kluczowy, podmiot ważny

 

Oba reżimy mogą obejmować tę samą organizację jednocześnie. Według stanowiska Rządowego Centrum Bezpieczeństwa podmiot krytyczny staje się podmiotem kluczowym w rozumieniu przepisów o krajowym systemie cyberbezpieczeństwa niezależnie od wielkości przedsiębiorstwa. Praktyczna konsekwencja to konieczność zintegrowania dokumentacji z obu obszarów, zamiast prowadzenia dwóch osobnych zbiorów procedur.

Dla firm objętych przepisami o cyberbezpieczeństwie istotne są też terminy własne tego reżimu – rejestracja podmiotów w wykazie oraz wdrożenie systemu zarządzania bezpieczeństwem informacji. Temat rozwija osobny wpis o dyrektywie NIS2 i centrum operacji bezpieczeństwa (https://itcenter.pl/czy-w-dobie-dyrektywy-nis2-twoja-firma-musi-miec-soc/).

Wsparcie ITCenter w obszarze bezpieczeństwa i odporności

Nowe przepisy przekładają się na konkretne zadania: analizę zagrożeń, uporządkowanie zabezpieczeń technicznych, przygotowanie dokumentacji i utrzymanie zdolności do szybkiego odtworzenia usług. Dla części firm dochodzi jeszcze odpowiedź na wymagania kontraktowe stawiane przez klientów z sektorów regulowanych.

Oferta ITCenter w obszarze bezpieczeństwa kierowana jest zarówno do przedsiębiorstw z sektora infrastruktury krytycznej, jak i do firm spoza tej grupy, a także do jednostek administracji publicznej. Wsparcie obejmuje każdy z wymienionych obszarów:

• audyt i kontrola IT (https://itcenter.pl/oferta/bezpieczenstwo/kontrola-i-audytowanie-it/) – inwentaryzacja stanu obecnego i wskazanie luk wobec wymagań,
• ciągłość operacyjna i ochrona danych (https://itcenter.pl/oferta/bezpieczenstwo/ciaglosc-operacyjna-i-dane/) – backup, replikacja, środowiska zapasowe i testy odtwarzania,
• centrum operacji bezpieczeństwa (https://itcenter.pl/oferta/bezpieczenstwo/security-operation-center/) – monitorowanie zdarzeń i reagowanie na incydenty, w tym w reżimie zgłoszeń w ciągu 24 godzin,
• kompleksowe bezpieczeństwo IT (https://itcenter.pl/oferta/bezpieczenstwo/) – projektowanie i utrzymanie zabezpieczeń wraz z dokumentacją.

Firmy, które chcą sprawdzić, jak wypadają wobec wymagań stawianych dostawcom podmiotów krytycznych, mogą zacząć od audytu – jest najszybszym sposobem na ustalenie, czego brakuje.

Najczęściej zadawane pytania o ochronę infrastruktury krytycznej

Od kiedy obowiązują nowe przepisy o infrastrukturze krytycznej?

Od 4 lipca 2026 roku. Nowelizacja ustawy o zarządzaniu kryzysowym (Dz.U. 2026 poz. 815) wdraża unijną dyrektywę CER i wprowadza nowe kategorie podmiotów, nowe obowiązki oraz nowe dokumenty systemowe.

Co to jest infrastruktura krytyczna?

To systemy oraz wchodzące w ich skład obiekty, instalacje, urządzenia i usługi kluczowe dla bezpieczeństwa państwa i obywateli. Należą do niej między innymi energetyka, zaopatrzenie w wodę, transport, łączność, finanse, ochrona zdrowia i administracja publiczna.

Czym różni się operator infrastruktury krytycznej od podmiotu krytycznego?

Operator to właściciel lub posiadacz obiektu wpisanego do wykazu infrastruktury krytycznej. Podmiot krytyczny to operator dodatkowo wpisany do wykazu podmiotów krytycznych, z szerszym zakresem obowiązków obejmującym ocenę ryzyka, audyty i raportowanie.

Czy Narodowy Program Ochrony Infrastruktury Krytycznej nadal obowiązuje?

Przepis stanowiący jego podstawę prawną został uchylony nowelizacją. Rolę dokumentów systemowych przejęły Krajowa Ocena Ryzyka oraz Krajowa Strategia Odporności Podmiotów Krytycznych.

Skąd firma wie, że została uznana za podmiot krytyczny?

Z oficjalnej informacji o wpisie do wykazu. Status nadaje wpis, a nie samoocena firmy. Od dnia doręczenia tej informacji zaczynają biec terminy na realizację poszczególnych obowiązków.

Ile czasu jest na wdrożenie obowiązków po wpisie do wykazu?

Koordynator do spraw ochrony infrastruktury krytycznej – 30 dni. Analiza zagrożeń – 6 miesięcy. Wdrożenie zabezpieczeń – 6 miesięcy od analizy. Ocena ryzyka podmiotu krytycznego – 9 miesięcy. Pełna dokumentacja ochrony – 15 miesięcy.

W jakim czasie trzeba zgłosić incydent?

Zgłoszenie incydentu istotnego następuje w ciągu 24 godzin. Przepisy o cyberbezpieczeństwie przewidują własny tryb, z wczesnym ostrzeżeniem w ciągu 24 godzin i pełnym zgłoszeniem w ciągu 72 godzin.

Czy dostawca podmiotu krytycznego ma nowe obowiązki ustawowe?

Nie z mocy prawa. Wymagania docierają do dostawcy kanałem kontraktowym, ponieważ podmiot krytyczny musi prowadzić rejestr dostawców krytycznych, oceniać ich ryzyko co roku, określić minimalne wymagania bezpieczeństwa i mieć możliwość ich audytowania.

Czy podmiot krytyczny podlega również przepisom o krajowym systemie cyberbezpieczeństwa?

Według stanowiska Rządowego Centrum Bezpieczeństwa podmiot krytyczny staje się podmiotem kluczowym w rozumieniu tych przepisów niezależnie od wielkości przedsiębiorstwa. W praktyce oznacza to konieczność zintegrowania dokumentacji z obu obszarów.

Co zawiera plan ochrony infrastruktury krytycznej?

Charakterystykę chronionego obiektu, wyniki analizy zagrożeń, opis zabezpieczeń fizycznych, technicznych, osobowych i teleinformatycznych, procedury reagowania na incydent, zasady odtwarzania funkcji, dane koordynatora oraz zasady aktualizacji dokumentu i szkoleń.

Co dzieje się z dotychczasowymi planami ochrony?

Zachowują ważność do czasu doręczenia informacji o wpisie do nowego wykazu i opracowania dokumentacji na nowych zasadach. Dotychczasowy jednolity wykaz obiektów infrastruktury krytycznej również pozostaje w mocy do czasu sporządzenia nowego.

Czy dyrektywa 2008/114/WE nadal obowiązuje?

Nie. Została uchylona przez dyrektywę CER (UE) 2022/2557 ze skutkiem od 18 października 2024 roku. Odwołania do niej w starszych opracowaniach są nieaktualne.