KSOPK. Co z nowej strategii wynika dla podmiotów krytycznych?

Strategia jest dokumentem kierunkowym, a konkretne obowiązki podmiotów wynikają z przepisów ustawy. Wyznaczy jednak priorytety, formy wsparcia i sposób identyfikacji podmiotów krytycznych. Wyjaśniamy, czym jest KSOPK, kiedy powstanie i co oznacza dla organizacji.

Czym jest KSOPK?

Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym (Dz.U. 2026 poz. 815) weszła w życie 4 lipca 2026 r. Wprowadza pojęcie podmiotu krytycznego, czyli operatora infrastruktury krytycznej wpisanego do wykazu. Wprowadza też pojęcie dostawcy krytycznego.

To podmiot, którego produkty, usługi lub technologie mogą po zakłóceniu spowodować incydent istotny u podmiotu krytycznego.

KSOPK ma zwiększyć odporność tych podmiotów. Określa cele i priorytety zapewnienia ciągłości usług kluczowych oraz funkcjonowania infrastruktury krytycznej. Uwzględnia przy tym zagrożenia transgraniczne i zależności między sektorami.

Kto tworzy KSOPK?

Projekt przygotowuje dyrektor Rządowego Centrum Bezpieczeństwa na podstawie propozycji właściwych organów. Przed skierowaniem do Rady Ministrów projekt przechodzi 30-dniowe konsultacje publiczne. Strategię przyjmuje Rada Ministrów w drodze uchwały (art. 6f).

Dokument ma być aktualizowany co trzy lata. Po przyjęciu RCB przekazuje go Komisji Europejskiej. Co roku do 31 marca dyrektor RCB składa Radzie Ministrów sprawozdanie z jego wdrażania.

Co ma zawierać KSOPK?

Strategia określa między innymi:

• zakres działań organów administracji i innych podmiotów,
• procesy identyfikacji podmiotów krytycznych,
• środki zwiększające odporność, oparte na Krajowej Ocenie Ryzyka,
• formy wsparcia dla podmiotów krytycznych,
• ułatwienia dla małych i średnich przedsiębiorstw uznanych za podmioty krytyczne,
• zasady koordynacji z organami do spraw cyberbezpieczeństwa.

Ostatni punkt ma znaczenie praktyczne. Ustawa wprost wiąże dwa reżimy: CER i ustawę o KSC.

Harmonogram KSOPK

Ustawa wyznacza terminy liczone od wejścia w życie, czyli od 4 lipca 2026 r. Daty poniżej to przeliczenie:

- około 4 stycznia 2027 r. Krajowa Ocena Ryzyka i KSOPK,

• około 4 kwietnia 2027 r. pierwsza identyfikacja podmiotów krytycznych i wykaz,
• około 4 lipca 2027 r. Krajowy Plan Zarządzania Ryzykiem.

Kolejność jest ważna. Najpierw powstaje ocena ryzyka, potem strategia, dopiero na ich podstawie organy wskazują podmioty krytyczne.

Co z niej wynika dla podmiotów?

Strategia sama nie nakłada obowiązków na konkretną organizację. Wyznacza ramy, w których obowiązują przepisy ustawy. Podmiot krytyczny ma:

• przeprowadzać ocenę ryzyka co najmniej raz na dwa lata,
• wdrażać środki techniczne i organizacyjne zwiększające odporność,
• zarządzać incydentami i zgłaszać je w terminie ustawowym,
• poddawać się audytowi bezpieczeństwa co najmniej raz na trzy lata, na własny koszt.

Operatorzy infrastruktury krytycznej składają dodatkowo coroczny raport o stanie ochrony, do 31 marca. Krajowa Ocena Ryzyka będzie uwzględniana w ocenach ryzyka podmiotów, więc jej wyniki wpłyną na to, jakie zagrożenia muszą brać pod uwagę.

Co zrobić przed publikacją strategii?

Czekanie na gotowy dokument nie ma sensu. Kilka rzeczy można zrobić już teraz.

Ustalić status. Warto sprawdzić, czy organizacja jest operatorem infrastruktury krytycznej, potencjalnym podmiotem krytycznym albo dostawcą krytycznym.

Zmapować usługi kluczowe. Dla każdej usługi trzeba wskazać systemy, ludzi i dostawców, od których zależy jej ciągłość.

Połączyć obszary. Ocena ryzyka, ciągłość działania i bezpieczeństwo informacji powinny korzystać z tych samych danych. Podmiot, który jest jednocześnie krytyczny i kluczowy w rozumieniu ustawy o KSC, musi zintegrować obie dokumentacje.

Śledzić konsultacje. Konsultacje projektu strategii trwają 30 dni. To okazja, by zgłosić uwagi z praktyki.

Przygotować się na audyt. Pierwszy audyt będzie sprawdzał dowody, a nie deklaracje. Decyzje, szkolenia, ćwiczenia i przeglądy trzeba dokumentować od początku.

Strategia pojawi się za kilka miesięcy, ale oceny ryzyka, rejestry zależności i podział odpowiedzialności buduje się dłużej. Organizacje, które zaczną teraz, będą wdrażać gotowe wymagania, a nie nadrabiać zaległości pod presją terminu.