Rząd chce wprowadzić minimalne standardy bezpieczeństwa infrastruktury krytycznej, a za opracowanie i wdrożenie rozwiązań odpowiedzialni będą operatorzy tej infrastruktury, co jednak ma nie generować dla nich dodatkowych kosztów operacyjnych - podano w OSR do projektu noweli ustawy o zarządzaniu kryzysowym.

Na stronach Rządowego Centrum Legislacji opublikowano projekt ustawy o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw.

W ocenie skutków regulacji (OSR) projektu podano, że w celu zapewnienia właściwego poziomu ochrony infrastruktury krytycznej przewiduje się wprowadzenie minimalnych standardów w obszarach bezpieczeństwa fizycznego, technicznego, osobowego, teleinformatycznego, prawnego oraz zapewnienia planów ciągłości działania i odtwarzania.

Do obowiązków operatorów infrastruktury krytycznej będzie należało opracowanie i wdrożenie rozwiązań w zakresie infrastruktury krytycznej uwzględniającej minimalne standardy.

Dodatkowo operator będzie zobowiązany do opracowania i prowadzenia dokumentacji odzwierciedlającej wdrożone rozwiązania, która to dokumentacja zastąpi obecne plany ochrony infrastruktury krytycznej. Przewiduje się wprowadzenie instytucji koordynatora do spraw ochrony infrastruktury krytycznej u operatorów infrastruktury krytycznej.

Rada Ministrów określi w drodze rozporządzenia wykaz usług kluczowych w poszczególnych sektorach lub podsektorach, wskazując jednocześnie kategorie podmiotów mogących świadczyć usługi oraz tzw. "progi istotności" skutku zakłócającego daną usługę.

Operatorzy infrastruktury krytycznej będą obowiązani wyznaczać osoby koordynujące działania na linii operator – organy administracji publicznej, co jest analogią do obecnie wyznaczonych tzw. osób kontaktowych, funkcjonujących u operatorów infrastruktury krytycznej. Zmiana ta nie generuje dodatkowych kosztów dla operatorów IK, natomiast wprowadza efektywnie działające narzędzie systemowe w zakresie organizacji ochrony infrastruktury krytycznej.

Elementem "weryfikującym" poziom ochrony infrastruktury krytycznej oraz stopień wdrożenia rozwiązań w tym zakresie będą raporty operatorów zawierające w szczególności informacje dotyczące funkcjonowania ochrony infrastruktury krytycznej w zakresie zapewnienia bezpieczeństwa fizycznego, technicznego, osobowego, teleinformatycznego, prawnego oraz zapewnienia planów ciągłości działania i odtwarzania.

Raportowanie o stanie infrastruktury krytycznej w obowiązującym stanie prawnym dotyczy tylko systemu zaopatrzenia w energię, surowce energetyczne i paliwa. Dotychczas raporty te w powyżej wskazanym systemie sporządzane były z częstotliwością raz na kwartał. W odniesieniu do pozostałych systemów obowiązywało raportowanie doraźne.

Projektowane rozwiązania przewidują obowiązek okresowego raportowania przez wszystkich operatorów infrastruktury krytycznej, a cykl raportowania zostanie ujednolicony i będzie wynosił 12 miesięcy. W odniesieniu do przypadków wystąpienia incydentu naruszającego bezpieczeństwo infrastruktury krytycznej - operator zobowiązany będzie do doraźnego sporządzania raportów w tym zakresie.

Raport o stanie ochrony infrastruktury krytycznej sporządzany będzie m.in. z uwzględnieniem rozwiązań wdrożonych przez operatora, informacji zawartych w dokumentacji ochrony infrastruktury krytycznej, możliwości wystąpienia zidentyfikowanych ryzyk, incydentów oraz zdarzeń, które zakłóciły lub mogły zakłócić funkcjonowanie infrastruktury krytycznej, wyników przeprowadzonych kontroli i audytów odnoszących się do zabezpieczeń infrastruktury krytycznej. Z tytułu jego sporządzania operatorzy nie będą ponosić dodatkowych kosztów. (PAP Biznes)

tus/ osz/ mick/

Fot. Depositphotos