Co wymaga art. 13 ust. 1 lit. b i kogo obejmuje w energetyce
Art. 13 ust. 1 lit. b dyrektywy CER wymaga odpowiedniej ochrony fizycznej obiektów i infrastruktury krytycznej, w tym ogrodzeń, barier, narzędzi monitorowania obwodu, wykrywania i kontroli dostępu. W energetyce wymóg ten dotyczy obiektów wytwórczych, przesyłowych i dystrybucyjnych, a także ciepłownictwa i chłodnictwa systemowego, które załącznik do dyrektywy zalicza do tego sektora.
Zakres podmiotowy wyznacza identyfikacja przez państwo członkowskie: podmiotem krytycznym jest podmiot wskazany w tym trybie, a nie każdy uczestnik rynku energii. Państwa członkowskie miały zidentyfikować podmioty krytyczne do 17 lipca 2026 r., więc dla części obiektów status jest już przesądzony, a dla pozostałych pozostaje w sferze decyzji krajowych.
Wymóg z art. 13 ust. 1 lit. b obejmuje kilka elementów ochrony fizycznej jednocześnie: ogrodzenia i bariery, monitorowanie obwodu, wykrywanie oraz kontrolę dostępu. Spełnienie całości wymaga skoordynowania środków budowlanych, organizacyjnych i technicznych, a nie pojedynczego rozwiązania. Poniższy przypadek pokazuje, jak taki wymóg przekłada się na codzienną pracę zakładu energetycznego.
- Ochrona fizyczna: ogrodzenia, bariery, monitorowanie obwodu, wykrywanie i kontrola dostępu.
- Sektor: energetyka, w tym ciepłownictwo i chłodnictwo systemowe.
- Adresat: podmiot krytyczny zidentyfikowany przez państwo członkowskie.
Sytuacja zakładu: ruch na bramie większy niż możliwości ochrony
Przykładowy zakład energetyczny z rozbudowanym terenem ruchu obsługuje codziennie wiele wjazdów i wejść: dostawy paliwa i materiałów eksploatacyjnych, ekipy remontowe, serwis urządzeń, pracowników własnych oraz gości. Ruch na bramie bywa większy niż możliwości etatowej ochrony, zwłaszcza w godzinach zmianowym szczytów i przy zbiegu dostaw z obsługą awarii.
Skutkiem bywa kolejka pojazdów przed bramą, pośpieszna weryfikacja uprawnień i ręczne prowadzenie ewidencji wejść. Część osób wchodzi na teren bez pełnego potwierdzenia tożsamości i celu wizyty, a wpisy w rejestrze bywają niekompletne. Taki stan utrudnia wykazanie, że ochrona fizyczna obiektu odpowiada wymogom z art. 13 ust. 1 lit. b, i osłabia kontrolę dostępu do obszarów o znaczeniu krytycznym dla ciągłości pracy zakładu.
Problem narasta przy zdarzeniach wymagających szybkiej reakcji, gdy ochrona musi jednocześnie obsłużyć bramę i patrol. Presja czasu sprzyja odstępstwom od procedur, a brak spójnego zapisu utrudnia późniejsze odtworzenie, kto i kiedy przebywał na terenie. W zakładzie energetycznym takie luki dotyczą zarówno stref wytwarzania, jak i obszarów infrastruktury pomocniczej, których dostęp powinien być ograniczony.
- Duża liczba dostawców i ekip zewnętrznych w jednym oknie czasowym.
- Ręczna ewidencja wejść i wyjazdów prowadzona równolegle z obsługą bramy.
- Ograniczona liczebność zmiany ochrony w godzinach szczytu.
- Nakładanie się obowiązków bramy i patrolu w sytuacjach awaryjnych.
Jak InnerWeb wspiera kontrolę dostępu i rejestrację na terenie obiektu
W przykładowym zakładzie energetycznym ochrona na bramie potrzebuje szybkiej i powtarzalnej decyzji o wpuszczeniu osoby na teren obiektu. Panel ochrony i kontrola bramy QR daje ochronie jednoznaczny werdykt na podstawie szkoleń, kwalifikacji, zezwolenia i aktywnego konta. Ochrona widzi werdykt oraz brakujące elementy, a nie musi interpretować pełnego widoku zezwoleń. Każdy skan plakietki jest zapisywany w rejestrze wejść i wyjść, co tworzy materiał do przeglądu po zdarzeniu.
Plakietka pracownika opiera się na losowym kodzie QR, który nie wynika z numeru ani daty. Unieważnienie plakietki wystawia nową, a historia poprzednich pozostaje w systemie. Plakietkę drukuje się z panelu ochrony, więc obieg dokumentu zamyka się w jednym miejscu. Dla gości recepcja rejestruje osobę i drukuje plakietkę QR w jednej akcji; gość otrzymuje numer ewidencyjny i przypisanie do firmy z ustawień rejestracji.
Funkcje te mogą wspierać kontrolę dostępu na bramie z rejestrem wejść i wyjść oraz rejestrację gości z plakietką, czyli elementy wymogu z art. 13 ust. 1 lit. b. Rejestr skanów i historia plakietek dostarczają dowodu do audytu w tym zakresie. Sterowanie bramą lub szlabanem nie jest opisane w systemie, a ogrodzenia, bariery i monitoring obwodu pozostają zadaniem innych narzędzi lub działu IT.
- Panel ochrony pokazuje werdykt i brakujące elementy zamiast pełnego widoku zezwoleń.
- Rejestr wejść i wyjść powstaje z każdego skanu plakietki.
- Losowy kod QR plakietki nie wynika z numeru ani daty, a unieważnienie wystawia nową plakietkę z zachowaniem historii.
Efekt po uporządkowaniu kontroli dostępu
Po uporządkowaniu kontroli dostępu ochrona przy bramie pracuje na jednoznacznym werdykcie zamiast na ręcznej analizie dokumentów. Skan plakietki QR pokazuje, czy osoba ma aktualne szkolenia, kwalifikacje, zezwolenie i aktywne konto, a także których elementów brakuje. Ogrodzenia, bariery i monitoring obwodu pozostają poza zakresem systemu i wymagają odrębnych rozwiązań.
Każdy skan trafia do rejestru wejść i wyjść, co daje działowi bezpieczeństwa materiał do przeglądu zdarzeń na bramie. Plakietki pracowników mają losowe kody QR niewynikające z numeru ani daty; unieważnienie plakietki wystawia nową, a historia poprzednich pozostaje w systemie. Gościa recepcja rejestruje i drukuje plakietkę w jednej akcji, przypisując mu numer ewidencyjny i firmę.
Efektem jest spójny sposób obsługi wejść na terenie obiektu i czytelny zapis zdarzeń, który można przedstawić do audytu.
- Ochrona widzi werdykt i brakujące elementy zamiast pełnego widoku zezwoleń.
- Rejestr wejść i wyjść powstaje przy każdym skanie plakietki.
- Losowe kody QR i historia unieważnionych plakietek ułatwiają utrzymanie porządku ewidencyjnego.
Wnioski dla działów bezpieczeństwa i IT w zakładzie energetycznym
Dojrzałość ochrony fizycznej w zakładzie energetycznym rozstrzyga się na styku kompetencji działu bezpieczeństwa i IT. Dział bezpieczeństwa odpowiada za ocenę ryzyka, organizację służby ochrony i nadzór nad ruchem osobowym, natomiast IT za spójność systemów rejestracji z polityką cyberbezpieczeństwa i utrzymanie ciągłości ich działania. Podział ten warto opisać w jednej procedurze, zanim pojawi się potrzeba wykazania należytej staranności.
Wniosek organizacyjny sprowadza się do jednego rejestru zdarzeń dostępowych prowadzonego w sposób ciągły. Zakres wymagania z art. 13 ust. 1 lit. b obejmuje także narzędzia monitorowania obwodu i wykrywania, więc dokumentacja powinna obejmować cały łańcuch: zgłoszenie, weryfikację uprawnień, decyzję i zamknięcie zdarzenia. Elementy wymagania wykraczające poza kontrolę dostępu, takie jak stan ogrodzeń i barier, pozostają zadaniem służb technicznych i działu utrzymania ruchu.
Termin z art. 6 ust. 1 minął 17 lipca 2026 r., co oznacza, że krajowa identyfikacja podmiotów krytycznych jest już za nami. Zakład, który znalazł się w tym gronie, powinien mieć uporządkowane dowody z wyprzedzeniem, a nie dopiero na żądanie organu. Wniosek dla praktyki jest prosty: utrzymywać gotowość dowodową stale, bo audyt nie zapowiada się z wyprzedzeniem.
- Wyznaczyć jedną osobę odpowiedzialną za kompletność rejestru zdarzeń dostępowych i jego zgodność z politykami IT.
- Ustalić cykl przeglądu uprawnień dostępu powiązany ze zmianami organizacyjnymi i kadrowymi.
- Opisać w procedurze podział zadań między ochronę fizyczną, utrzymanie ruchu i IT, aby uniknąć luk odpowiedzialności.
Materiał wideo
Często zadawane pytania
Czy InnerWeb zastępuje systemy ogrodzeń i monitoringu obwodu?
Nie. Ogrodzenia, bariery i monitoring obwodu nie są objęte funkcjami systemu i wymagają odrębnych rozwiązań technicznych. InnerWeb koncentruje się na kontroli dostępu na bramie oraz rejestracji pracowników i gości.
Czy skan plakietki QR otwiera bramę automatycznie?
System nie steruje urządzeniami bramy ani szlabanu. Skan plakietki daje ochronie werdykt na podstawie szkoleń, kwalifikacji, zezwolenia i aktywnego konta, a decyzję o wpuszczeniu podejmuje ochrona.
Jakie dowody do audytu można zebrać z systemu?
Rejestr wejść i wyjść z każdego skanu plakietki, historię unieważnionych plakietek oraz ewidencję gości z numerem i przypisaniem do firmy. Te zapisy mogą wspierać wykazanie kontroli dostępu w ramach wymogu ochrony fizycznej.
Czy dyrektywa CER nakłada obowiązki na każdy zakład energetyczny?
Zakres wyznacza załącznik do dyrektywy, który obejmuje energetykę, w tym ciepłownictwo i chłodnictwo systemowe. Obowiązki dotyczą podmiotów zidentyfikowanych jako krytyczne przez państwo członkowskie, a identyfikacja miała nastąpić do 17 lipca 2026 r.
Źródła
Sprawdź kontrolę dostępu w swoim zakładzie
Omów z nami, jak panel ochrony, plakietki QR i rejestracja gości mogą wesprzeć wymóg ochrony fizycznej w Twoim obiekcie. Zapraszamy do rozmowy lub pokazu.
Porozmawiajmy