Dyrektywa CER: co musi zrobić podmiot krytyczny

Skąd wynikają obowiązki: dyrektywa i polska ustawa

Dyrektywa (UE) 2022/2557 o odporności podmiotów krytycznych, w skrócie CER, nakazuje państwom członkowskim wskazać podmioty świadczące usługi kluczowe dla społeczeństwa i gospodarki oraz nałożyć na nie obowiązki w zakresie odporności. Termin identyfikacji tych podmiotów przez państwa członkowskie wyznaczono na 17 lipca 2026 r.

Polska nie przyjęła osobnej ustawy. Dyrektywę wdrożono ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, ogłoszoną w Dzienniku Ustaw 19 czerwca 2026 r. pod pozycją 815. Przepisy weszły w życie po 14 dniach od ogłoszenia, czyli około 4 lipca 2026 r. (data wyliczona z art. 73, warto potwierdzić ją w metryce ELI). Obowiązki podmiotu krytycznego znajdują się w art. 6zt–6zzr ustawy o zarządzaniu kryzysowym.

Kogo dotyczy i jak trafia się do wykazu

Wykaz podmiotów krytycznych prowadzi Dyrektor Rządowego Centrum Bezpieczeństwa w systemie wskazanym w ustawie o krajowym systemie cyberbezpieczeństwa. O wpisie podmiot dowiaduje się niezwłocznie, nie później niż w ciągu 30 dni. Od tej informacji liczą się wszystkie terminy podmiotu, dlatego pierwszym zadaniem jest ustalenie, kto w organizacji odbiera korespondencję z RCB i jak szybko trafia ona do dyrektora zakładu.

Zakres dotyczy operatorów usług kluczowych w sektorach odpowiadających dyrektywie CER: energia, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność. Dostawcy krytyczni podlegają odrębnym przepisom (art. 6zzq). Podmioty krytyczne są jednocześnie podmiotami kluczowymi w rozumieniu ustawy o KSC, więc równolegle obowiązują je wymogi cyberbezpieczeństwa.

Stan na 3 listopada 2026 r.

Trwa identyfikacja i wpisywanie podmiotów do wykazu. Jeśli zakład nie dostał jeszcze informacji o wpisie, terminy nie biegną, ale przygotowanie ma sens już teraz: ocena ryzyka i inwentaryzacja zależności zajmują zwykle więcej czasu niż zakładają harmonogramy.

Oś czasu od informacji o wpisie

Ustawa układa obowiązki w trzy kroki. Pierwszy to ocena ryzyka, którą podmiot przeprowadza w terminie 9 miesięcy od informacji o wpisie (art. 6zt ust. 3), a potem powtarza nie rzadziej niż raz na 2 lata. Drugi to wdrożenie rozwiązań organizacyjno-technicznych w ciągu 3 miesięcy od oceny ryzyka (art. 6zt ust. 4). Trzeci to dokumentacja, w tym dokumentacja ochrony infrastruktury krytycznej i cyberbezpieczeństwa, sporządzona w ciągu 15 miesięcy od informacji o wpisie (art. 6zu ust. 4).

Jeśli ocena ryzyka zostanie zamknięta w 9. miesiącu, rozwiązania muszą działać najpóźniej w 12. miesiącu. Dokumentacja ma być gotowa miesiąc później niż wdrożenie, więc w praktyce powstaje równolegle z wdrażaniem środków, a nie po nim. Operatorzy infrastruktury krytycznej mają dodatkowo przepis przejściowy: dokumentacja ochrony IK w terminie 15 miesięcy od informacji o wpisie.

Co obejmuje ocena ryzyka i rozwiązania

Ocena ryzyka uwzględnia zagrożenia z krajowej oceny ryzyka, w tym antagonistyczne, zależności międzysektorowe i alternatywne łańcuchy dostaw. To rozróżnienie jest ważne dla zakładów przemysłowych: sama awaria technologiczna to za mało, trzeba opisać także sabotaż, atak hybrydowy i utratę dostawcy usług, od którego zależy ciągłość produkcji.

Rozwiązania organizacyjno-techniczne muszą być proporcjonalne do wyniku oceny. Ustawa wymienia obszary, które podmiot ma uwzględnić:

• polityki zarządzania ryzykiem i ochrona fizyczna budynków oraz terenów z kontrolą dostępu,
• ochrona infrastruktury krytycznej i bezpieczeństwo osobowe pracowników oraz dostawców zewnętrznych,
• cyberbezpieczeństwo według wymogów dla podmiotów kluczowych w ustawie o KSC,
• ciągłość działania i odtwarzanie, wraz z systemami rezerwowymi,
• szkolenia, ćwiczenia, okresowe audyty i certyfikacja.

Zgłaszanie incydentów w 24 godziny

Incydent istotny podmiot zgłasza niezwłocznie, nie później niż w ciągu 24 godzin od wystąpienia lub wykrycia (art. 6zv). Zgłoszenie trafia do właściwego organu do spraw podmiotów krytycznych i do Dyrektora RCB, ABW oraz CSIRT poziomu krajowego. Kary za zaniedbania w tym obszarze są liczone za każdy przypadek: do 25 000 zł za niezgłoszenie i do 20 000 zł za zaniechanie obsługi incydentu istotnego.

Procedura powinna wskazywać, kto ocenia istotność, kto wysyła zgłoszenie i skąd bierze dane o tym, kto był w strefie zdarzenia. Zegar 24 godzin zaczyna biec od wykrycia, nie od zakończenia analizy.

Dowody do audytu: co zachować

Dokumentację przechowuje się co najmniej 2 lata, a podmiot odpowiada za nadzór nad nią. Audytor lub organ kontrolny będzie szukał spójnego łańcucha: wynik oceny ryzyka, decyzja o środkach, dowód wdrożenia, dowód działania. System informatyczny nie zastąpi decyzji zarządu, ale potrafi dostarczyć dowodu, że procedura faktycznie działa.

• protokół i wersje oceny ryzyka z datami oraz uczestnikami,
• rejestr decyzji o rozwiązaniach organizacyjno-technicznych z uzasadnieniem proporcjonalności,
• zapisy szkoleń i ćwiczeń z listą uczestników,
• ślad audytowy zmian w zezwoleniach na prace, uprawnieniach i dostępie do stref,
• rejestr incydentów z czasem wykrycia i czasem zgłoszenia,
• dokumentacja ochrony infrastruktury krytycznej i cyberbezpieczeństwa z historią wersji.

CER a NIS2: dwa reżimy, jedna organizacja

Ponieważ podmiot krytyczny jest jednocześnie podmiotem kluczowym w rozumieniu KSC, ten sam zakład realizuje dwa zestawy obowiązków. Ustawa o KSC w brzmieniu z Dz.U. 2026 poz. 252 obowiązuje od 3 kwietnia 2026 r., a pierwsze kary większości kategorii można nakładać od 3 kwietnia 2028 r. Kary CER zawierają się w przedziale od 2 000 do 200 000 zł. Praktyczny wniosek: plan odporności warto oprzeć na jednej inwentaryzacji zasobów i jednej ocenie zależności, a nie prowadzić dwóch odrębnych projektów.