Infrastruktura krytyczna – ochrona infrastruktury krytycznej

Infrastruktura krytyczna – ustawa o infrastrukturze krytycznej

Infrastruktura krytyczna została zdefiniowana w Ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (UZK) [1]. Dokument ten wynika z polityki UE. Wprawdzie już po wprowadzeniu ustawy wydana została dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony [2], ale Komisja Europejska już wcześniej przyjęła dokumenty polityczne w sprawie europejskiego programu ochrony infrastruktury krytycznej oraz w sprawie ochrony infrastruktury krytycznej w walce z terroryzmem [5].

Do pojęcia infrastruktury krytycznej z UZK nawiązują – i to w coraz większym stopniu – inne ustawy, np. Ustawa z dnia 24 lipca 2015 r. o kontroli niektórych inwestycji [3].

Definicja infrastruktury krytycznej – czym jest infrastruktura krytyczna?

Definicja infrastruktury krytycznej została określona w art. 3 pkt. 2 UZK. Zgodnie z nim infrastruktura krytyczna to systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje oraz usługi, kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców.

Obecnie dla sprawnego działania nowoczesnych państw i społeczeństw niezbędne jest niezakłócone działanie różnych systemów, m.in. zaopatrzenia w wodę, energię, komunikacji, transportu zbiorowego itp. Zabezpieczenie ich prawidłowego funkcjonowania jest kluczowe dla bezpieczeństwa wewnętrznego państwa i utrzymania poczucia bezpieczeństwa wśród obywateli. Zakłócenia w ich działaniu mogą powodować dalekosiężne negatywne skutki, niekiedy trudne do przewidzenia.

Systemy infrastruktury krytycznej w Polsce

Systemy infrastruktury krytycznej, które uważa się w Polsce za kluczowe dla bezpieczeństwa państwa i jego obywateli, to systemy:

• zaopatrzenia w energię, surowce energetyczne i paliwa,
• łączności, systemy sieci teleinformatycznych,
• finansowe,
• ochrony infrastruktury krytycznej,
• zaopatrzenia w żywność,
• zaopatrzenia w wodę,
• ochrony zdrowia,
• transportowe,
• ratownicze,
• zapewniające ciągłość działania administracji publicznej,
• produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych (w tym rurociągi substancji niebezpiecznych).

Działalność tych systemów od dawna podlegała ochronie przez władzę publiczną, ale wprowadzenie pojęcia – infrastruktura krytyczna – jeszcze ją wzmocniło, a co ważniejsze – usystematyzowało.

Ochrona infrastruktury krytycznej

Ochrona infrastruktury krytycznej to w istocie polityka państwa związana z bezpieczeństwem narodowym, która – podobnie jak w przypadku zarządzenia kryzysowego – integruje różne środki ochrony, przeciwdziałania zagrożeniom czy poprawy bezpieczeństwa, uwzględniając systemową specyfikę infrastruktury krytycznej.

Infrastruktura krytyczna służy wyróżnieniu pewnych obiektów, urządzeń, instalacji i usług, jako pewnych funkcjonalnych całości. Obiekty, urządzenia, instalacje czy usługi odgrywają wspólnie istotną rolę w funkcjonowaniu państwa i społeczeństwa, są też podatne na szczególne zagrożenia wynikające z systemowej charakterystyki. Wyodrębnienie infrastruktury krytycznej można również traktować jako tzw. kategoryzację zagrożeń. Jedną z zasad zarządzenia kryzysowego jest właśnie kategoryzacja zagrożeń, czyli ich podział na grupy według rodzaju i rozmiaru oraz przyporządkowania, w celu dobrania dla każdej z nich odpowiednich rozwiązań prawnych, organizacyjnych czy finansowych [7].

Infrastruktura krytyczna służy wyróżnieniu zasobów stwarzających szczególne zagrożenia i podatnych na nie. Dodatkowo, systemy składające się na infrastrukturę krytyczną są często wzajemnie powiązane i uzależnione od siebie, np. przerwy w dostawach energii elektrycznej będą miały wpływ funkcjonowanie pozostałych systemów. Infrastruktura krytyczna i ochrona infrastruktury krytycznej są więc rozumiane systemowo, tzn. wyróżnia się i chroni pewne elementy wraz z układami powiązań, ponieważ dopiero tak uporządkowane całości, służą bezpieczeństwu państwa i jego obywateli.

Wykaz infrastruktury krytycznej

Wykaz infrastruktury krytycznej to tzw. jednolity wykaz obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej z podziałem na systemy. Na podstawie kryteriów, wynikających z art. 3 pkt 2 UZK, opracowują go Dyrektor Rządowego Centrum Bezpieczeństwa (RCB) we współpracy z odpowiednimi ministrami, odpowiedzialnymi za poszczególne systemy i właściwymi w sprawach bezpieczeństwa narodowego. W wykazie wyróżniona jest również europejska infrastruktura krytyczna, zlokalizowana na terytorium Polski oraz europejska infrastruktura krytyczna, zlokalizowaną na terytorium innych państw członkowskich UE, mogąca mieć istotny wpływ na państwo polskie. Wykaz infrastruktury krytycznej nie jest ogólnie dostępny, ma charakter niejawny (art. 5b ust. 7 pkt 1 UZK).

Z jednolitego wykazu obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej sporządza się wyciągi, które przekazuje się właściwym ministrom, kierownikom urzędów centralnych odpowiedzialnym za dany system, wojewodom, a także właścicielom, posiadaczom samoistnym i zależnym obiektów, instalacji lub urządzeń zaliczonych do infrastruktury krytycznej. W przepisach prawnych przyjęto, że obowiązki właścicieli i posiadaczy infrastruktury krytycznej wynikają z mocy prawa, a więc samo poinformowanie o ujęciu w wykazie nie ma charakteru prawokształtującego. Jest czynnością czysto informacyjną, która nie podlega zaskarżeniu przez właściciela lub posiadacza infrastruktury krytycznej.

Infrastruktura krytyczna i jej wyodrębnianie

Infrastruktura krytyczna musi być wyodrębniona, kryteria jej wyodrębnienia podano w art. 3 pkt 2 UZK, ale są one dość ogólne, dlatego pomocne mogą okazać się tzw. szczegółowe kryteria, które zawiera Narodowy Program Ochrony Infrastruktury Krytyczne (NPOIK), opracowywany przez Radę Ministrów (art. 5b ust. 2 pkt 3 UZK). Stanowią one narzędzie pomocnicze do identyfikacji elementów infrastruktury krytycznej dla Dyrektora RCB, działającego we współpracy z właściwymi ministrami. Wyodrębnianie realizowane jest bez udziału właścicieli czy posiadaczy infrastruktury krytycznej, chociaż, jeżeli ich infrastruktura krytyczna zostanie ujęta w wykazie, oznacza to konieczność przestrzegania przez nich obowiązków wynikających z ustawy. Obowiązek ochrony infrastruktury krytycznej spoczywa bowiem na prawnych i faktycznych dysponentach infrastruktury krytycznej, którzy podlegają licznym obowiązkom, wynikającym nie tylko z UZK, ale także z innych ustaw.

Szczegółowe kryteria wyodrębnienia obiektów, instalacji, urządzeń i usług wchodzących w skład systemów infrastruktury krytycznej, które służą pomocą Dyrektorowi RCB, znajdują się w załączniku do NPOIK z 2020 r., ale nie jest on jawny (jawne są kryteria historyczne, które ujęte były w [8]).

Elementy ochrony infrastruktury krytycznej

Ochrona infrastruktury krytycznej wynika z art. 6 ust. 5 UZK, zgodnie z którym właściciele oraz posiadacze samoistni i zależni obiektów, instalacji lub urządzeń określonych jako infrastruktura krytyczna, mają obowiązek ich ochrony. W szczególności przez przygotowanie i wdrażanie, stosownie do przewidywanych zagrożeń, planów ochrony infrastruktury krytycznej oraz utrzymywanie własnych systemów rezerwowych, zapewniających bezpieczeństwo i podtrzymujących jej funkcjonowanie, do czasu pełnego odtworzenia. Z tego wynika ogólny obowiązek zabezpieczania obiektów, instalacji lub urządzeń określonych jako infrastruktura krytyczna, bez względu na tytuł prawny do nich, a więc przez wszystkie podmioty, które faktycznie i prawnie dysponują czy wpływają na jej funkcjonowanie.

Ten obowiązek należy rozumieć szeroko. W art. 6 ust. 5 UZK jedynie przykładowo wskazano, na czym polega. Ochrona infrastruktury krytycznej została zdefiniowana w art. 3 pkt 3 UZK i rozumie się ją jako „wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działań i integralności infrastruktury krytycznej w celu zapobiegania zagrożeniom, ryzykom lub słabym punktom oraz ograniczenia i neutralizacji ich skutków oraz szybkiego odtworzenia tej infrastruktury na wypadek awarii, ataków oraz innych zdarzeń zakłócających jej prawidłowe funkcjonowanie”. W przepisie art. 6 ust. 5 UZK nie wspomina się o usługach, ale ich dostawcy są tzw. operatorami infrastruktury krytycznej i uczestnikami NPOIK.

Administracja publiczna i służby odpowiedzialne za bezpieczeństwo narodowe, odgrywają podstawową rolę w wyłanianiu elementów infrastruktury krytycznej, a co za tym idzie podmiotów odpowiedzialnych, w ramach kilkuetapowego postępowania (o czym już wcześniej wspomniano), ale także uczestniczą w przygotowaniu NPOIK, który jest kolejnym kluczowym elementem ochrony infrastruktury krytycznej.

Narodowy Program Ochrony Infrastruktury Krytycznej

Narodowy Program Ochrony Infrastruktury Krytycznej przygotowywany jest na podstawie art. 5b UZK, przez Dyrektora RCB we współpracy z ministrami i kierownikami urzędów centralnych, odpowiedzialnymi za systemy infrastruktury krytycznej oraz właściwymi w sprawach bezpieczeństwa narodowego. Narodowy Program Ochrony Infrastruktury Krytycznej przyjmowany jest przez Radę Ministrów, a następnie realizowany w ramach tzw. współpracy w zakresie programu przez organy administracji publicznej, służby odpowiedzialne za bezpieczeństwo narodowe, właścicieli i posiadaczy samoistnych i zależnych obiektów, instalacji, urządzeń i usług określonych jako infrastruktura krytyczna, a także inne organy oraz służby publiczne.

Właściciele i posiadacze infrastruktury krytycznej oraz dysponenci usług, w zakresie realizacji obowiązków i współpracy dotyczącej NPOIK, nazywani są operatorami infrastruktury krytycznej oraz uczestnikami NPOIK (§ 1 rozporządzenia w sprawie NPOIK [4]).

Dokument ten nie jest samoistnym źródłem powszechnie obowiązującego prawa, ale w sposób pośredni łączy dysponentów infrastruktury krytycznej. Rada Ministrów może wydać na podstawie art. 5b ust. 9 ustawy rozporządzenie, które będąc źródłem prawa, wskazuje sposób realizacji określonych w ustawie obowiązków i współpracę w zakresie realizacji NPOIK. Stworzenie warunków do poprawy bezpieczeństwa infrastruktury krytycznej przez operatorów następuje przez realizację wyznaczonych priorytetów oraz celów NPOIK (§ 7 ust. 1 pkt 1 rozporządzenia w sprawie NPOIK).

Infrastruktura krytyczna jest chroniona dzięki współpracy jej dysponentów, zarówno między sobą, jak i z administracją publiczną. W ww. rozporządzeniu w sprawie NPOIK współpracę operatorów infrastruktury krytycznej organizuje się w dość szczegółowy sposób.

Operatorzy infrastruktury krytycznej a współpraca

Operatorzy infrastruktury krytycznej mają prawny obowiązek współpracy już na etapie przygotowania programu, a także przy realizacji NPOIK. Zgodnie § 7 ust. 2 rozporządzenia w sprawie NPOIK, współpraca w realizacji NPOIK polega na utrzymywaniu kontaktów pomiędzy jego uczestnikami przez konferencje, seminaria, prowadzenie forum dyskusyjnego, przygotowanie i udział w ćwiczeniach i szkoleniach oraz wymianę informacji dotyczących:

• identyfikacji obszarów działań niezbędnych w celu podniesienia poziomu ochrony infrastruktury krytycznej,
• zidentyfikowanych zagrożeń dla infrastruktury krytycznej,
• spodziewanego lub zaobserwowanego zwiększenia zapotrzebowania na usługi lub produkty dostarczane przez operatorów infrastruktury krytycznej,
• spodziewanych przerw lub zakłóceń w dostawach usług lub produktów dostarczanych przez operatorów infrastruktury krytycznej,
• wsparcia działań podejmowanych przez operatorów infrastruktury krytycznej w przypadku zniszczenia lub zakłócenia jej funkcjonowania,
• sposobów, w jaki infrastruktura krytyczna może być chroniona, funkcjonowania wewnętrznych mechanizmów tej ochrony i zarządzania kryzysowego,
• przygotowania i aktualizacji NPOIK.

W obowiązującym rozporządzeniu w sprawie NPOIK uwpuklono też koordynowanie współpracy i wymiany informacji między operatorami infrastruktury krytycznej przez ministrów i kierowników urzędów centralnych (§ 8 rozporządzenia w sprawie NPOIK). Termin koordynacja może być rozmaicie rozumiany, ale w teorii łączy się go z harmonizacją i ujednolicaniem działań podmiotów administrujących, z możliwością pośredniego oddziaływania na jednostki koordynowane. Zgodnie z § 7 ust. 1 rozporządzenia w sprawie NPOIK nastąpi to poprzez:

• realizację wyznaczonych priorytetów oraz celów NPOIK,
• zapewnienie warunków do doskonalenia ochrony i ciągłości funkcjonowania infrastruktury krytycznej,
• przygotowanie na sytuacje kryzysowe, mogące być skutkiem zakłócenia funkcjonowania infrastruktury krytycznej lub niekorzystnie na nią wpłynąć,
• przygotowanie do reagowania w sytuacjach zniszczenia lub zakłócenia funkcjonowania infrastruktury krytycznej,
• zapewnienie warunków, w których infrastruktura krytyczna może być odtwarzana,
• przestrzeganie standardów oraz wymagań zawartych w NPOIK,
• współpracę w realizacji NPOIK.

Oczywiście możliwości prawne i faktyczne operatorów infrastruktury krytycznej, różnią się od siebie, np. w elektroenergetyce inne są operatora systemu przesyłowego czy operatorów systemów dystrybucyjnych, ale wszyscy, w miarę swoich możliwości, zgodnie z art. 6 ust. 5 UZK, mają chronić infrastrukturę krytyczną, a co za tym idzie – podjąć współpracę w realizacji NPOIK.

Literatura
1. Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. DzU z 2020 r., poz. 1856 z późn. zm.).
2. Dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony (DzU UE L z 2008 r. nr 345, str. 75).
3. Ustawa z dnia 24 lipca 2015 r. o kontroli niektórych inwestycji (tj. DzU z 2020 r., poz. 2145 z późn. zm.).
4. Rozporządzenie Rady Ministrów z dnia 30 kwietnia 2010 r. w sprawie Narodowego Programu Ochrony Infrastruktury Krytycznej (DzU z 2010 r. nr 83, poz. 541).
5. Komunikat Komisji Europejskiej w sprawie europejskiego programu ochrony infrastruktury krytycznej (COM/2006/0786 końcowy).
6. T. Długosz, „Ochrona infrastruktury krytycznej w sektorach energetyki sieciowej”, C.H. Beck, Warszawa 2015.
7. W. Lidwa, W. Krzeszowski, W Więcek, „Zarządzenia w sytuacjach kryzysowych”, Warszawa 2010.
8. Załącznik nr 1 „Charakterystyka systemów infrastruktury krytycznej” do Narodowego Programu Ochrony Infrastruktury Krytycznej 2013; dokument dostępny tutaj.