SZBI, ciągłość działania i zarządzanie kryzysowe. Dlaczego podmiot krytyczny powinien połączyć te obszary?

Trzy systemy, jeden podmiot

W wielu organizacjach System Zarządzania Bezpieczeństwem Informacji, plan ciągłości działania i procedury zarządzania kryzysowego funkcjonują osobno. Mają różnych właścicieli. Różne rejestry ryzyk. Różne harmonogramy przeglądów. Czasem nawet różny słownik pojęć na określenie tego samego zdarzenia. 

Dla podmiotu krytycznego to poważny problem. Trzy obszary opisują w gruncie rzeczy to samo zjawisko: zdolność organizacji do funkcjonowania, mimo zakłóceń, tylko z różnych perspektyw. 

SZBI chroni informację. Ciągłość działania zapewnia odtworzenie kluczowych procesów. Zarządzanie kryzysowe koordynuje reakcję na zdarzenie, które przekracza możliwości standardowych procedur. 

Rozdzielenie tych trzech systemów oznacza w praktyce trzy razy więcej dokumentacji i trzy razy mniej spójności w chwili, gdy spójność jest najbardziej potrzebna. 

Co zmienia ustawa o ochronie infrastruktury krytycznej

Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 815) wdraża do polskiego prawa unijną dyrektywę CER (UE) 2022/2557 o odporności podmiotów krytycznych. 

Nowelizacja wprowadza definicję podmiotu krytycznego jako operatora infrastruktury krytycznej wpisanego do wykazu podmiotów krytycznych, a także pojęcie dostawcy krytycznego podmiotu, którego zakłócenie działania może wywołać incydent istotny u podmiotu krytycznego.

Nowe przepisy nakładają na podmioty krytyczne konkretny obowiązek integracyjny. Podmiot, który jest jednocześnie podmiotem krytycznym i podmiotem kluczowym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, musi zintegrować dokumentację cyberbezpieczeństwa z dokumentacją ochrony infrastruktury krytycznej. W razie naruszenia z zakresu cyberbezpieczeństwa pierwszeństwo mają organy właściwe dla KSC. 

To nie jest przypadek. Dyrektywa CER i dyrektywa NIS2 (2022/2555, wdrożona nowelizacją ustawy o KSC) dotyczą tych samych podmiotów. Obie regulują tą samą kategorię organizacji operatorów infrastruktury krytycznej świadczących usługi kluczowe. 

CER koncentruje się na odporności fizycznej i organizacyjnej. NIS2 na cyberbezpieczeństwie. Ustawodawca zauważył tę symetrię i wpisał ją wprost do przepisów. Organizacje powinny zrobić to samo we własnych strukturach zarządzania.

Gdzie najczęściej pęka spójność?

Rozłączne systemy generują konkretne, powtarzalne problemy: 

• Dwa rejestry ryzyk zamiast jednego. Ryzyko przerwy w dostawie prądu ląduje w planie ciągłości działania. To samo ryzyko, ale jako zagrożenie dla systemów IT, ląduje osobno w SZBI. Nikt nie widzi pełnego obrazu.
• Sprzeczne procedury eskalacji. Plan zarządzania kryzysowego przewiduje jeden łańcuch decyzyjny. Plan ciągłości działania inny. W realnym zdarzeniu traci się czas na ustalenie, kto właściwie decyduje.
• Ćwiczenia prowadzone osobno. Test planu awaryjnego IT nie sprawdza, czy zadziała komunikacja z zespołem kryzysowym. Ćwiczenie sztabu kryzysowego nie weryfikuje, czy odtworzenie systemów rzeczywiście się uda w zakładanym czasie. 
• Brak wspólnego słownika. SZBI mówi o incydencie bezpieczeństwa informacji. Ustawa o zarządzaniu kryzysowym o sytuacji kryzysowej. To nie zawsze to samo zdarzenie opisane innymi słowami, ale w praktyce granica bywa płynna, a organizacja traci czas na definicyjne spory zamiast na reakcję.

Model integracji - od czego zacząć?

1. Wspólny rejestr ryzyk. Zamiast trzech osobnych rejestrów – jeden, z adnotacją, które ryzyka mają wymiar informacyjny, które operacyjny, a które kryzysowy. Jedno ryzyko może mieć wszystkie trzy wymiary naraz. 
2. Jeden właściciel procesu na poziomie strategicznym. Nie chodzi o likwidację specjalizacji administrator bezpieczeństwa informacji, koordynator ciągłości działania i pełnomocnik ds. zarządzania kryzysowego mogą pozostać osobnymi rolami. Potrzebny jest jednak jeden punkt, w którym te role się spotykają i uzgadniają wspólne priorytety. 
3. Spójna hierarchia dokumentów. Polityka bezpieczeństwa informacji, plan ciągłości działania i plan zarządzania kryzysowego powinny odwoływać się do siebie nawzajem, a nie funkcjonować jako odrębne byty z osobną numeracją i osobnym cyklem aktualizacji.
4. Wspólne ćwiczenia. Symulacja, która testuje jednocześnie odtworzenie systemu IT, komunikację kryzysową i decyzyjność kierownictwa, pokazuje realne luki. Trzy osobne ćwiczenia pokazują tylko, że każdy element z osobna działa poprawnie co niczego nie gwarantuje w chwili, gdy zawodzą jednocześnie. 

Perspektywa administracji publicznej

W administracji publicznej te trzy obszary od dawna funkcjonują w osobnych silosach organizacyjnych, często podległych różnym komórkom i różnym przepisom resortowym. Nowelizacja z Dz.U. 2026 poz. 815 to okazja, żeby ten podział zweryfikować, zanim wymusi go kontrola albo, gorzej, realne zdarzenie.

Podmioty krytyczne, które już dziś zaczną łączyć rejestry ryzyk, procedury i ćwiczenia, unikną scenariusza znanego z wielu wdrożeń regulacyjnych, gdy dokumentacja powstaje pod kontrolę, a nie pod realną zdolność do działania.

Ustawodawca dał ramy prawne. To, czy przełożą się one na odporność organizacji, zależy wyłącznie od jakości wdrożenia po stronie samych podmiotów.