Komunikat Komisji - Wytyczne dotyczące stosowania art. 13 ust. 5 dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznych
KOMUNIKAT KOMISJI
(C/2026/3712)
I. WPROWADZENIE
1. Celem dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznych (1) ("dyrektywa") jest zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej. Dyrektywa ma służyć zwiększeniu odporności podmiotów krytycznych świadczących takie usługi i tworzyć nadrzędne ramy odporności na wszystkie zagrożenia (naturalne i spowodowane przez człowieka, przypadkowe lub zamierzone).
2. Zgodnie z art. 6 ust. 1 dyrektywy do 17 lipca 2026 r. państwa członkowskie muszą zidentyfikować podmioty krytyczne dla sektorów i podsektorów określonych w załączniku do dyrektywy. Aby osiągnąć wysoki poziom odporności, takie podmioty krytyczne mają obowiązki wynikające z dyrektywy, w tym obowiązek określony w art. 13 dotyczący wprowadzenia odpowiednich i proporcjonalnych środków technicznych, środków bezpieczeństwa i środków organizacyjnych służących zapewnieniu ich odporności. W tym względzie w art. 13 ust. 5 dyrektywy upoważniono Komisję do przyjęcia niewiążących wytycznych w celu doprecyzowania środków technicznych, środków bezpieczeństwa i środków organizacyjnych, które podmioty krytyczne mogą wprowadzić.
3. Zgodnie z wyżej wymienionymi przepisami przed przyjęciem niniejszego komunikatu przeprowadzono konsultacje z państwami członkowskimi i zainteresowanymi stronami podczas warsztatów, które odbyły się 29 września 2025 r. W sprawie zarysu komunikatu skonsultowano się z Grupą ds. Odporności Podmiotów Krytycznych (CERG) podczas jej posiedzeń w dniach 10 kwietnia, 19 maja i 30 września 2025 r.14 listopada 2025 r. skonsultowano się z CERG również w sprawie projektu tekstu komunikatu, a 25 lutego 2026 r. udostępniono tej grupie zaktualizowaną wersję komunikatu. 6 marca 2026 r. odbyły się końcowe konsultacje z CERG w sprawie projektu wytycznych.
4. Niniejszy komunikat nie jest prawnie wiążący i nie ma wpływu na wykładnię prawa UE przez Trybunał Sprawiedliwości Unii Europejskiej.
II. NIEWIĄŻĄCE WYTYCZNE DOTYCZĄCE ŚRODKÓW ZWIĘKSZAJĄCYCH ODPORNOŚĆ
A. UWAGI OGÓLNE
5. Celem niniejszych niewiążących wytycznych jest doprecyzowanie środków technicznych, środków bezpieczeństwa i środków organizacyjnych, które podmioty krytyczne mogą zastosować na podstawie art. 13 ust. 1 lit. a)-f) dyrektywy. Wykaz środków nie jest wyczerpujący i może zostać uzupełniony o dodatkowe środki.
6. Zgodnie z art. 13 ust. 1 przy wdrażaniu tych środków podmioty krytyczne muszą wziąć pod uwagę poniższe kwestie.
a) Odpowiednie informacje dostarczone przez państwa członkowskie dotyczące oceny ryzyka państwa członkowskiego przeprowadzonej na podstawie art. 5 dyrektywy. Państwa członkowskie powinny dostarczać swoim podmiotom krytycznym niezwłoczne i zwięzłe informacje dostosowane do indywidualnych potrzeb. Wśród takich informacji mogą być sprawozdania, o których mowa w art. 9 ust. 3 dyrektywy, przesyłane Komisji przy użyciu wspólnego formularza sprawozdawczego.
b) Odpowiednie informacje na temat wyników oceny ryzyka podmiotów krytycznych przeprowadzonej na podstawie art. 12 dyrektywy. Podmioty krytyczne zachęca się do zapewnienia całościowego podejścia przez przejście od zwykłej ochrony infrastruktury krytycznej do zapewnienia ciągłości świadczonych przez nie usług kluczowych oraz powiązanie wyników oceny ryzyka z wprowadzanymi przez nie środkami zwiększającymi odporność. Aby wspierać środki w zakresie odporności, podmioty krytyczne powinny rozważyć przeprowadzenie kompleksowych ocen ryzyka wykraczających poza bezpośrednie zależności i uwzględniających aspekty współzależności transgranicznych, sektorowych i systemowych.
7. Zgodnie z art. 13 ust. 1 dyrektywy środki, które mają zostać wprowadzone przez podmioty krytyczne, muszą być odpowiednie i proporcjonalne. Odpowiedni charakter i proporcjonalność tych środków należy oceniać pod kątem wyników wspomnianych powyżej ocen ryzyka.
a) "Odpowiednie" środki należy rozumieć jako środki skuteczne, dopasowane i oparte na analizie ryzyka lub skutków, dzięki którym podmiot krytyczny będzie w pełni odporny w ramach świadczenia usług kluczowych. Odpowiednie środki mogą być różne w zależności od podmiotu krytycznego i jego specyfiki.
b) "Proporcjonalne" środki należy rozumieć jako środki niezbędne i wystarczające, które nie są nadmierne pod względem poziomu ryzyka i dotkliwości incydentu zakłócającego. Środki powinny być dostosowane do specyfiki danego podmiotu krytycznego i uwzględniać aspekty takie jak charakter świadczonych usług kluczowych, łańcuch i współzależności dostaw, efektywność kosztowa środków, wielkość podmiotu i geograficzne oddziaływanie świadczonych usług.
8. W wytycznych uwzględniono wszystkie sektory objęte rozdziałem III dyrektywy (2) Przedstawiony niewyczerpujący wykaz przykładów może nie mieć jednakowego zastosowania do wszystkich sektorów i wszystkich rodzajów infrastruktury krytycznej.
9. Wprowadzane środki będą zależeć od wyników oceny ryzyka przeprowadzonej przez państwa członkowskie i ocen ryzyka przeprowadzonych przez podmioty krytyczne.
10. Środki w zakresie odporności wprowadzane przez podmioty krytyczne na podstawie art. 13 ust. 1 lit. a)-f) powinny być stosowane bez uszczerbku dla środków wynikających z odpowiednich przepisów sektorowych i zgodnie z tymi środkami; do przywołanych przepisów sektorowych należą m.in. przepisy, o których mowa w motywie 31 dyrektywy, a także dyrektywa w sprawie sieci i systemów informatycznych 2 (NIS 2) (3) Europejskie prawo o klimacie (4) rozporządzenie w sprawie gotowości na wypadek zagrożeń w sektorze energii elektrycznej (5) rozporządzenie dotyczące środków zapewniających bezpieczeństwo dostaw gazu ziemnego (6) dyrektywa w sprawie bezpieczeństwa działalności związanej ze złożami ropy naftowej i gazu ziemnego na obszarach morskich (7) unijne ramy dotyczące bezpieczeństwa na morzu i w porcie (8) ogólne rozporządzenie o ochronie danych (RODO) (9), rozporządzenie w sprawie wdrożenia jednolitej europejskiej przestrzeni powietrznej (10) rozporządzenie w sprawie Agencji Unii Europejskiej ds. Bezpieczeństwa Lotniczego (11) oraz rozporządzenie wykonawcze dotyczące funkcji sieciowych zarządzania ruchem lotniczym (12)
11. Przy stosowaniu sztucznej inteligencji (AI) w środkach w zakresie odporności (np. opartym na AI systemie monitorującym ciśnienie wody w tamie lub sterującym siecią elektroenergetyczną) podmioty krytyczne muszą mieć świadomość, że systemy AI wysokiego ryzyka muszą spełniać wymogi bezpieczeństwa określone w unijnym akcie w sprawie sztucznej inteligencji (13) "Wysokie ryzyko" oznacza, że systemy te są przeznaczone do wykorzystywania jako związane z bezpieczeństwem elementy (14) procesów zarządzania krytyczną infrastrukturą cyfrową, ruchem drogowym i procesów ich działania lub zaopatrzenia w wodę, gaz, ciepło lub energię elektryczną (15) Ich awaria lub nieprawidłowe działanie mogą na dużą skalę zagrażać życiu i zdrowiu ludzi oraz prowadzić do znacznych zakłóceń w zwykłym prowadzeniu działalności społecznej i gospodarczej.
12. W związku z art. 13 ust. 2 dyrektywy motyw 30 zawiera wyjaśnienie, że "[w] celu zapewnienia skuteczności i rozliczalności, podmioty krytyczne w planie zwiększania odporności lub dokumencie równoważnym lub dokumentach równoważnych z planem zwiększania odporności powinny opisać podejmowane przez siebie środki z zachowaniem poziomu szczegółowości, który w wystarczającym stopniu pozwala osiągnąć cele dotyczące skuteczności i rozliczalności, uwzględniając zidentyfikowane ryzyka oraz powinny wdrożyć ten plan. Jeśli podmiot krytyczny wprowadził już środki techniczne, środki bezpieczeństwa i środki organizacyjne oraz sporządził dokumenty na podstawie innych aktów prawnych, które to środki i dokumenty są istotne dla środków w zakresie zwiększania odporności na podstawie niniejszej dyrektywy, podmiot ten, aby uniknąć powielania działań, powinien mieć możliwość, wykorzystania tych środków i dokumentów w celu spełnienia wymogów dotyczących środków w zakresie odporności na podstawie niniejszej dyrektywy".
13. Kluczową rolę w kontekście skutecznego przyjęcia i wdrożenia środków zwiększających odporność odgrywa urzędnik łącznikowy wyznaczony przez podmiot krytyczny na podstawie art. 13 ust. 3 dyrektywy, ponieważ zapewnia on sprawną i skuteczną komunikację i koordynację między podmiotem krytycznym a właściwymi organami w odniesieniu do obowiązków podmiotu krytycznego i ogólnych ram odporności.
14. Zachęca się podmioty krytyczne, aby przy stosowaniu środków zwiększających odporność identyfikowały wszystkie odpowiednie zasoby, obiekty i urządzenia oraz uwzględniały aspekty transgraniczności i współzależności, ze względu na liczne wzajemne powiązania sektorów objętych dyrektywą, w tym aspekty fizyczne, środowiskowe, cybernetyczne i związane z łańcuchami dostaw. Zakłócenie w jednym obszarze może oddziaływać kaskadowo na cały rynek wewnętrzny, a przez to zakłócać świadczenie usług kluczowych.
15. Podstawowym mechanizmem uwzględniania współzależności jest ocena ryzyka przeprowadzona przez podmiot krytyczny i krajowa ocena ryzyka. Oceny ryzyka powinny określać i uwzględniać stopień zależności innych sektorów od usługi kluczowej świadczonej przez podmiot krytyczny oraz stopień zależności tego podmiotu krytycznego od usług kluczowych świadczonych przez inne podmioty w innych sektorach, w tym w stosownych przypadkach w sąsiadujących państwach członkowskich i w państwach trzecich.
16. Przy stosowaniu środków zwiększających odporność podmioty krytyczne powinny rozważyć uwzględnienie odpowiednich norm międzynarodowych i europejskich.
17. Należy wziąć pod uwagę specyfikę krytycznej infrastruktury morskiej: monitorowanie i ochrona takiej infrastruktury są trudniejsze; wykrywanie i lokalizowanie incydentów, a także naprawy na morzu są bardziej czasochłonne i kosztowne.
B. ŚRODKI ZAPOBIEGAWCZE (art. 13 ust. 1 lit. a) dyrektywy)
18. Podmioty krytyczne zachęca się do wprowadzania środków zwiększających odporność przez poprawę zdolności do zapobiegania awariom lub zakłóceniom. Środki te należy włączyć do planu zwiększania odporności, o którym mowa w art. 13 ust. 2 dyrektywy, i postrzegać jako część zintegrowanego systemu, a nie jako odrębne elementy. Skuteczność każdego pojedynczego środka zależy od jego interakcji z innymi środkami, z uwzględnieniem fizycznej ochrony obiektów, reagowania na incydenty zakłócające, odporności na takie incydenty i odtworzenia po incydencie oraz odpowiedniego zarządzania bezpieczeństwem pracowników.
19. Środki zmniejszania ryzyka związanego z klęskami żywiołowymi i przystosowania się do zmiany klimatu powinny opierać się na wiarygodnych prognozach klimatycznych dla całego okresu eksploatacji infrastruktury krytycznej. Podmioty krytyczne zachęca się, aby unikały umieszczania infrastruktury krytycznej (np. centrów przetwarzania danych lub podstacji) w strefach wysokiego ryzyka; aby stosowały środki mające na celu strukturalne wzmocnienie danej infrastruktury (np. zabezpieczenie przeciwpożarowe, zabezpieczenie przeciwpowodziowe, środki odporności na susze i wybuchy, zabezpieczenie przed wyciekami cieczy), a także środki niestrukturalne (np. szkolenia i protokoły bezpieczeństwa) w celu zapobiegania kolizjom, wybuchom, wyciekom materiałów niebezpiecznych lub promieniowaniu; aby znajdowały rozwiązania oparte na przyrodzie, takie jak integracja zielonej infrastruktury (np. odbudowane tereny podmokłe, które absorbują fale sztormowe, bądź lasy miejskie, które zmniejszają wpływ "wysp ciepła" na sprzęt elektryczny); aby uwzględniły natychmiastowe i długoterminowe zmiany we wzorcach klimatycznych, które mogą z czasem osłabić integralność systemu, takie jak ekstremalne upały, powodzie i podnoszenie się poziomu mórz i oceanów; aby opracowały plany dotyczące niedoboru wody; aby przeprowadzały testy warunków skrajnych w celu zapewnienia możliwości działania podmiotu w znacznie bardziej niekorzystnym środowisku (np. w cieplejszych, chłodniejszych, wilgotniejszych, suchszych, nieregularnych lub niesezonowych warunkach).
20. Podmioty krytyczne zachęca się, by rozważyły utworzenie bazy danych o incydentach, która uzupełni unijne bazy danych o incydentach (16) oraz wprowadzenie systemu systematycznego zgłaszania incydentów, który obejmie historię zdarzeń i umożliwi nie tylko zapobieganie incydentom i ograniczanie ryzyka, ale także odzyskiwanie mienia.
21. Aby zapobiec błędom ludzkim, podmioty krytyczne zachęca się do identyfikowania zadań podatnych na błędy i wprowadzania odpowiednich środków przeciwdziałania tym błędom, w tym automatyzacji, ustawicznego szkolenia pracowników, nadzoru i jasnej rozliczalności, szczegółowej dokumentacji procesów, regularnych audytów i inspekcji oraz rozwoju kultury odporności i odpowiedzialności.
22. Aby zapewnić spójność środków w zakresie odporności z dyrektywą NIS 2, podmioty krytyczne zachęca się, by przy stosowaniu środków w zakresie odporności uwzględniały one środki istotne dla bezpieczeństwa sieci i systemów informatycznych określone w dyrektywie NIS 2. Dalszym odniesieniem mogą być środki określone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 (17) mającym zastosowanie do niektórych rodzajów podmiotów w sektorach infrastruktury cyfrowej, zarządzania usługami ICT (między przedsiębiorstwami) i dostawców usług cyfrowych wskazanych w dyrektywie NIS 2 (18) a także towarzyszące im wytyczne ENISA dotyczące stosowania (19) 23. Jeżeli chodzi o technologię operacyjną, podmioty krytyczne powinny uwzględnić przepisy dotyczące ręcznego sterowania i udziału człowieka w pętli decyzyjnej, określające szczegółowe warunki i wymogi interwencji człowieka i ręcznego sterowania w reakcji na zagrożenia.
C. ŚRODKI FIZYCZNEJ OCHRONY (art. 13 ust. 1 lit. b) dyrektywy)
24. Podmioty krytyczne zachęca się do stosowania środków fizycznych przeciwko zagrożeniom naturalnym i spowodowanym przez człowieka (np. zagrożeniom hybrydowym, sabotażowi, terroryzmowi, przestępstwom, atakom wojskowym/wojennym, szpiegostwu) oraz do wprowadzenia kontroli proceduralnych na potrzeby wykrywania incydentów zakłócających, powstrzymywania ich, opóźniania ich, przeciwdziałania im, reagowania na nie i ograniczania ich skutków.
25. Przy planowaniu odpowiednich i proporcjonalnych środków zwiększających odporność na zagrożenia spowodowane przez człowieka podmioty krytyczne powinny uwzględnić istotność konkretnych scenariuszy zagrożeń. W szczególności zachęca się podmioty krytyczne:
(i) aby brały pod uwagę konieczność stosowania protokołów ścisłej koordynacji między sektorem publicznym a prywatnym w celu wspierania współpracy operacyjnej z właściwymi organami oraz zapewniały odpowiedni i wzajemny przepływ informacji o zagrożeniach i incydentach, w interesie wspólnej orientacji sytuacyjnej;
(ii) aby w przypadku potencjalnych zagrożeń hybrydowych ze strony podmiotów państwowych, które w odniesieniu do podmiotów krytycznych polegają głównie na próbach sabotażu mających na celu zakłócenie aktywów i sprzętu lub przygotowaniach do takich prób (w tym szpiegostwa/nadzoru), uznawały, że podmioty państwowe mogą sponsorować i prowadzić podatne lub możliwe do wykorzystania podmioty zastępcze (np. osoby lub grupy) w celu osiągania swoich celów oraz że podmioty państwowe mogą angażować się w skoordynowane ataki poprzez wiele wektorów ataku w wielu dziedzinach lub z wykorzystaniem wielu podmiotów zastępczych;
(iii) aby uwzględniały inne potencjalne zagrożenia, zwłaszcza te związane z terroryzmem i brutalnym ekstremizmem, działalnością przestępczą, atakami wojskowymi, zagrożeniami wewnętrznymi, aktywizmem itp.
26. Podmioty krytyczne zachęca się do rozważenia środków wzmacniania ochrony terenu (odstraszanie i opóźnianie), takich jak instalowanie ogrodzeń o wysokim poziomie bezpieczeństwa (np. zabezpieczonych przed wspinaniem się na nie lub ich przecinaniem), budowa wzmocnionych ścian, bram, stosowanie środków przeciwdziałania wrogim pojazdom, oznakowania i oświetlenia (np. bardzo widoczne ostrzeżenia w celu odstraszania oportunistycznych intruzów oraz oświetlenie ochronne w celu wyeliminowania martwych stref w ramach nadzoru).
27. Dostęp pojazdów, personelu i towarów do odpowiednich obiektów powinien odbywać się z wykorzystaniem ograniczonej liczby możliwych do nadzorowania punktów kontrolnych. Bezpośrednie drogi dojazdowe dla pojazdów powinny być ograniczone przez zestaw fizycznych barier (np. stałych i przenośnych pachołków, przeszkód naturalnych lub innych środków kontroli prędkości) oraz należy zachować zalecane maksymalne odstępy między sąsiadującymi barierami, aby zapobiec przenikaniu pojazdów.
28. Zewnętrzne punkty wejścia (np. bramy, drzwi) do odpowiednich obiektów powinny mieć solidną lub wzmocnioną konstrukcję oraz być wyposażone (w ramach modernizacji) w bezpieczne zawiasy i mechanizmy blokujące. Ramy obiektów (np. okna, świetliki) powinny być również wyposażone (w ramach modernizacji) w mechanizmy blokujące i warstwy ochronne (np. pręty, kratki, szkło odporne na uderzenia, membrany ochronne). Nietypowe punkty wejścia (np. włazy dachowe, studzienki i otwory wentylacyjne) do obiektów lub zasobów również powinny być zabezpieczone przed nieuprawnionym otwarciem i nieupoważnioną ingerencją.
29. Podmioty krytyczne zachęca się do rozważenia monitorowania terenu w celu wykrywania naruszeń w czasie rzeczywistym (np. instalacja alarmów lub systemów wykrywania wtargnięć, w tym czujników wewnętrznych i zewnętrznych). Środki te powinny posiadać odpowiedni zasięg strefowy, podlegać spójnym protokołom monitorowania i reagowania oraz być poddawane regularnym testom funkcjonalnym. W celu utrzymania integralności należy przeanalizować uzasadnione przypadki wykrycia, usterki systemu i wyniki fałszywie dodatnie oraz wdrożyć środki naprawcze.
30. Podmioty krytyczne zachęca się, by rozważyły stosowanie systemów wideo dostarczających przejrzystych rejestrowanych informacji środowiskowych w czasie rzeczywistym na temat odpowiednich zasobów, obiektów i sprzętu, a także na temat tras dojazdowych i punktów wejścia do obiektów. Należy regularnie weryfikować synchronizację czasu nadzoru, status rejestracji i okresy przechowywania. Podmioty powinny przeprowadzać rutynowe kontrole odtwarzania w celu potwierdzenia, że w następstwie potencjalnych incydentów twarze, działania i zdarzenia są możliwe do zidentyfikowania w celach kryminalistycznych. Zapasowe elementy krytyczne (np. nośniki danych, jednostki zasilające) powinny być przechowywane z zachowaniem proporcjonalności.
31. Podmioty krytyczne zachęca się do zapewnienia, aby systemy oświetleniowe zapewniały równomierne oświetlenie wejść/wjazdów, parkingów, przejść i pól widzenia kamer, a przy tym nie powodowały zjawiska olśnienia ani głębokiego cienia, które utrudniają rozpoznanie lub rejestrowanie. Oświetlenie awaryjne i zapasowe należy regularnie testować. Konieczne jest regularne stosowanie środków zaradczych (np. wymiany lamp, dostosowania zasięgu, przycinania roślinności).
32. Oznakowanie powinno wyraźnie wskazywać ograniczenia w zakresie bezpieczeństwa, informacje dotyczące monitorowania i ochrony prywatności oraz trasy dla pracowników, odwiedzających i dostaw.
33. Podmioty krytyczne zachęca się do przeanalizowania środków kontroli dostępu (odmowy dostępu) z wykorzystaniem wielowarstwowych stref bezpieczeństwa, zarządzania dostępem fizycznym (np. czytniki identyfikatorów, skanery biometryczne), śluz bezpieczeństwa i drzwi z blokadą jednoczesnego otwarcia. Należy rozważyć wykorzystanie pracowników ochrony na miejscu do patrolowania i zarządzania kontrolą dostępu do odpowiednich obiektów, punktów wejścia lub urządzeń. Pracownicy ochrony powinni również sprawować funkcję reagowania na incydenty. Powinni utrzymywać ścisłe i regularne kontakty z odpowiednimi organami ścigania i podmiotami działającymi w dziedzinie obronności.
34. Pomieszczenia i obudowy, w których znajduje się infrastruktura związana z energią elektryczną, wodą, gazem, ogrzewaniem, wentylacją, klimatyzacją, telekomunikacją, bezpieczeństwem, siecią lub w których mieszczą się inne wrażliwe elementy infrastruktury lub urządzenia, powinny być zamknięte na klucz i zabezpieczone pod kątem dostępu oraz dodatkowo wyposażone w proporcjonalne środki zapobiegające nieuprawnionemu otwieraniu i manipulowaniu.
35. Pomieszczenia pocztowe i magazyny dostawcze powinny znajdować się z dala od istotnych zasobów, obiektów, urządzeń i obszarów o dużym obciążeniu oraz być wyposażone w możliwości segregacji i bezpiecznej kontroli potencjalnie podejrzanych przedmiotów. Pracownicy powinni być informowani o jasnych procedurach dotyczących podejrzanych przedmiotów, w tym o izolacji, deeskalacji i powiadamianiu odpowiednich wewnętrznych i zewnętrznych zainteresowanych podmiotów. W razie konieczności powinny być dostępne narzędzia otwierające i środki ochrony indywidualnej. Łańcuch kontroli pochodzenia w odniesieniu do dostaw wartościowych lub przesyłek niejawnie nadzorowanych powinien być udokumentowany od momentu odbioru do momentu przekazania odbiorcy. Należy regularnie przeprowadzać i dokumentować kontrole wyrywkowe.
36. Wszystkie zewnętrzne zasoby, obiekty lub urządzenia powinny również podlegać proporcjonalnym środkom ochronnym. Środki ochrony fizycznej wprowadzone przez podmioty krytyczne wymagają rutynowych i regularnych kontroli i konserwacji.
37. Środki związane z kontrolą dostępu personelu i fizycznym bezpieczeństwem informacji szczególnie chronionych lub niejawnych nie unieważniają obowiązków w zakresie zarządzania ryzykiem w cyberprzestrzeni określonych w dyrektywie NIS 2 (20).
38. Zgodnie z wytycznymi zawartymi w części F poniżej dotyczącymi zarządzania bezpieczeństwem pracowników zachęca się podmioty krytyczne do prowadzenia jednego autorytatywnego rejestru kluczy fizycznych i (elektronicznych) danych uwierzytelniających, z uwzględnieniem dat wydania, unieważnienia i zwrotu. Zagubione lub skradzione klucze lub dane uwierzytelniające powinny być natychmiast unieważniane, a w przypadku podejrzenia naruszenia integralności zamki/blokady/klucze należy wymienić.
39. Podmioty krytyczne zachęca się do zapewnienia, aby prawa dostępu były zgodne z zasadą minimalizacji uprawnień i podlegały przeglądowi regularnie lub przy zmianie roli. Istotne przestrzenie powinny zachować architekturę strefową, kontrolowaną za pomocą odpowiednich środków w odniesieniu do wybranych osób (np. z wyróżnieniem stref publicznych, roboczych, zamkniętych i krytycznych) oraz obejmującą kontrole fizyczne, techniczne i administracyjne. Dostęp należy rejestrować. Odwiedzający powinni przechodzić przez punkt kontrolowany, podlegać rejestracji, otrzymywać widoczne oznakowanie oraz być eskortowani poza recepcją, chyba że zezwolono na inne postępowanie. Takie środki identyfikacji należy natychmiast dezaktywować po wyjściu/wyjeździe. Odnośne procedury powinny być proste, udokumentowane i przedstawione wszystkim pracownikom, w szczególności pracownikom recepcji i ochrony.
40. Wszelkie zasoby informacji szczególnie chronionych powinny być umiejscowione, chronione i przechowywane w sposób ograniczający ryzyko dla integralności tych zasobów (takie jak nieupoważnione lub przypadkowe przeglądanie, manipulowanie, kradzież, szkody w środowisku) oraz udostępniane na zasadzie ograniczonego dostępu.
41. Podmioty krytyczne zachęca się do ustanowienia i prowadzenia wykazu lub repozytorium zasobów informacji szczególnie chronionych. Zasoby należy klasyfikować zgodnie z poziomem wrażliwości z punktu widzenia działalności lub bezpieczeństwa. Podmioty powinny następnie korzystać z systemu dokumentowania zasobów informacyjnych (np. ograniczonych, wewnętrznych, publicznych lub równoważnych) oraz odpowiednio oznaczać te zasoby i z nimi postępować. Zasady i procedury klasyfikacji i postępowania należy przekazać wszystkim odpowiednim pracownikom i poddawać okresowym przeglądom. Obejmuje to zasady dostępu do informacji "na biurku i na ekranie" oraz tworzenia lub kopiowania informacji.
42. W stosownych przypadkach podmioty krytyczne powinny mieć na uwadze obowiązujące przepisy krajowe dotyczące ochrony informacji niejawnych uznanych za istotne dla bezpieczeństwa narodowego.
43. Jeżeli zewnętrzne zainteresowane podmioty potrzebują dostępu do zasobów informacyjnych, podmioty krytyczne zachęca się do rozważenia opracowania wytycznych dla użytkowników i sporządzenia umów o zachowanie poufności lub, w stosownych przypadkach, innych odpowiednich mechanizmów umownych.
44. Wszelkie obiekty, w których znajdują się zasoby informacji szczególnie chronionych (np. archiwa, serwerownie), lub inne obszary, z których potencjalnie można pobrać informacje szczególnie chronione, powinny być oznaczone i nadzorowane jako strefy bezpieczne, ze szczególnie rygorystycznymi środkami kontroli dostępu, przeglądania i usuwania.
45. Podmioty krytyczne powinny zapewnić regularne kontrole i przeglądy praw dostępu. Należy określić okresy zatrzymywania zasobów informacji szczególnie chronionych. Gdy okresy te zostaną przekroczone lub gdy inne zmiany wymuszą przeklasyfikowanie zasobów informacyjnych, należy podjąć odpowiednie środki w celu sanityzacji lub zniszczenia tych zasobów.
46. Jeżeli chodzi o zagrożenia stwarzane przez systemy bezzałogowe (21) (drony), podmioty krytyczne zachęca się do wdrożenia środków ułatwiających wykrywanie, śledzenie i identyfikację systemów bezzałogowych (np. użycie radarów, skanerów częstotliwości radiowych, kamer światła dziennego/termowizyjnych, czujników akustycznych). W miarę możliwości podmioty krytyczne powinny również współpracować z dostawcami usług telekomunikacyjnych w celu uzyskania dostępu do danych pozyskiwanych za pomocą zintegrowanych technologii detekcji i komunikacji (ISAC) z myślą o wykrywaniu niedozwolonej działalności dronów w swoim obrębie bezpieczeństwa.
47. Należy ograniczać zagrożenie szpiegostwem/obserwacją ze strony niewspółpracujących systemów bezzałogowych poprzez blokowanie widoczności (powietrznej, morskiej lub naziemnej) szczególnie chronionych zasobów lub urządzeń (np. ukrywanie lub zmiana miejsca) oraz, w stosownych przypadkach, poprzez zapewnienie zamkniętych obiektów ich przechowywania.
48. Podmioty krytyczne powinny także ograniczać ryzyko sabotażu obiektów, zasobów lub urządzeń ze strony niewspółpracujących systemów bezzałogowych. Przykładami środków ograniczających są m.in. siatki lub osłony antydronowe oraz inne środki wzmocnienia strukturalnego, takie jak okna zabezpieczające przed wybuchem, wzmocnienie płyt dachowych lub pełne obudowy strukturalne.
49. Podmioty krytyczne mogą rozważyć wykorzystanie stref geograficznych do zarządzania ryzykiem związanym z niedozwolonymi lub niebezpiecznymi operacjami dronowymi w pobliżu swoich obiektów oraz do ograniczania tego ryzyka. Decyzja o ustanowieniu takich stref powinna być oparta na indywidualnej ocenie ryzyka i proporcjonalności, z uwzględnieniem potencjalnego wrażliwego charakteru informacji, które mogą zostać ujawnione w drodze publikacji danych geograficznych dotyczących podmiotów krytycznych. W tym celu podmioty te musiałyby współpracować z właściwymi organami krajowymi, aby zapewnić należyte określenie odpowiednich stref geograficznych i ich cyfrową publikację zgodnie z obowiązującymi przepisami lotniczymi. Strefy takie powinny przynajmniej umożliwiać operatorom dronów korzystanie z funkcji świadomości przestrzennej. W miarę rozwoju zdolności technicznych i w warunkach sprzyjających ram regulacyjnych podmioty krytyczne mogą również rozważyć stopniowe wykorzystanie funkcji geofencingu. Geofencing może służyć jako zabezpieczenie zapobiegawcze przez zmniejszenie prawdopodobieństwa niezamierzonego wtargnięcia spełniających wymogi dronów na obszary wrażliwe. Podmioty krytyczne powinny utrzymywać bezpośrednie powiązanie operacyjne z podmiotem zarządzającym strefą geograficzną. Umożliwiłoby to terminowe wykrywanie dozwolonej i niedozwolonej aktywności dronów w pobliżu oraz lepszą orientację sytuacyjną i koordynację działań z właściwymi organami.
50. Zasadnicze znaczenie ma wzmocnienie partnerstwa i komunikacji z operatorami systemów antydronowych w lokalnych organach ścigania i organach obronnych lub z innymi podmiotami uprawnionymi do łagodzenia skutków (np. zakłócania częstotliwości radiowych, spoofing oraz stosowania innych środków kinetycznych lub niekinetycznych). W tym celu zachęca się podmioty krytyczne, by ułatwiały wykorzystanie systemów antydronowych do ochrony swojego terenu, zgodnie z odpowiednimi ramami prawnymi.
D. ŚRODKI W ZAKRESIE ODPOWIEDZI NA INCYDENTY, STAWIANIA IM OPORU I ŁAGODZENIA ICH SKUTKÓW (art. 13 ust. 1 lit. c) dyrektywy)
51. Podmioty krytyczne zachęca się do rozważenia następujących środków łagodzenia skutków incydentów.
a) Zarządzanie kryzysowe i zarządzanie klęskami żywiołowymi poza terenem obiektu: środki mające na celu łagodzenie negatywnych skutków poważnych incydentów zakłócających poza terenem obiektu oraz szybkie powiadomienie odpowiednich organów ds. zarządzania kryzysowego i zarządzania klęskami żywiołowymi, aby umożliwić wdrożenie działań ochronnych poza terenem obiektu. Wymaga to ścisłej koordynacji z odpowiednimi organami, ustanowienia sprawdzonych kanałów komunikacji, a także regularnych ćwiczeń w zakresie zarządzania kryzysowego i zarządzania klęskami żywiołowymi.
b) Pomoc poza terenem obiektu: środki mające na celu skuteczne włączenie pomocy poza terenem obiektu do działań w zakresie reagowania na miejscu (w tym zarządzanie poważnymi awariami, działania łagodzące i reagowanie kryzysowe).
c) Projektowanie infrastruktury pod kątem pracy w trybie awaryjnym przez zapewnienie, aby zakłócenia nie miały wpływu na bezpieczeństwo ludzi (w tym bezpieczeństwo personelu), oraz przez ograniczenie kaskadowego oddziaływania na inne zasoby. Elementy związane z pracą w trybie awaryjnym umożliwiają utrzymanie podstawowych funkcji infrastruktury podczas awarii lub wspomagają kontrolowane procedury wyłączenia, które zapobiegają uszkodzeniu urządzeń i zapewniają możliwość ich ponownego uruchomienia, gdy pozwolą na to warunki. Utrzymanie krytycznych warunków przetrwania lub pasywnej przeżywalności można osiągnąć dzięki odpowiedniej zdolności magazynowania, kontroli nad pojemnością cieplną, odpowiednim dostawom awaryjnym oraz zagwarantowaniu bezpieczeństwa materiałów niebezpiecznych.
52. Zachęca się podmioty krytyczne, aby przy projektowaniu infrastruktury pod kątem pracy w trybie awaryjnym brały pod uwagę następujące elementy: zdolności magazynowania potrzebne w najbardziej pesymistycznych scenariuszach awarii pod kątem utrzymania krytycznych warunków przetrwania; dostawy awaryjne niezbędne do utrzymania operacji krytycznych i wspomagania kontrolowanego wyłączania działań związanych z infrastrukturą; bezpieczeństwo wszystkich materiałów niebezpiecznych przechowywanych lub obecnych w infrastrukturze krytycznej, przy zapewnieniu, by zostały one uwzględnione w planach kodowania materiałów niebezpiecznych i zarządzania nimi oraz odpowiednio zabezpieczone w przypadku awarii infrastruktury oraz środki bezpieczeństwa termicznego w odniesieniu do obiektów infrastruktury krytycznej, w których znajdują się pracownicy lub sprzęt wrażliwy na temperaturę. Takie środki mogą obejmować zarówno zdolności grzewcze, jak i zdolności chłodnicze, aby zapobiec ofiarom ekstremalnych temperatur podczas przedłużających się zakłóceń.
53. Podmioty krytyczne zachęca się do stosowania środków mających na celu zapewnienie dostępności, możliwości konserwacji i naprawy oraz jasne określenie potrzeb w zakresie dostaw, dywersyfikację źródeł dostaw za pośrednictwem alternatywnych dostawców i tras, wzmocnienie infrastruktury i wdrożenie systemów redundantnych, a także ustanowienie systemów rezerwowych ze specyfikacjami dotyczącymi działania, czasu trwania i priorytetu przywracania.
54. Podmioty krytyczne zachęca się do stosowania odpowiednich środków zapewniających integralność sieci i systemów informatycznych oraz oprogramowania wykorzystywanego w urządzeniach, zwłaszcza w kontekście zależności od dostawców wysokiego ryzyka, jak również ochronę przed zakłóceniami powodowanymi przez sygnały częstotliwości radiowej i cyberataki.
55. Alternatywnymi systemami zasilania mogą być generatory i akumulatory zasilaczy awaryjnych (UPS). Systemy rezerwowe należy regularnie testować; niezależność w zakresie paliw energetycznych powinna być zachowana przez co najmniej 72 godziny i należy utrzymywać w mocy umowy z dostawcami dotyczące wsparcia w sytuacjach nadzwyczajnych (dostawy, interwencje i naprawy).
56. W celu zapewnienia odporności dostaw wody podmioty krytyczne podczas zakłóceń mogą ograniczyć zużycie wody do funkcji krytycznych i wykorzystywać alternatywne źródła, w tym studnie rezerwowe, zbiorniki magazynowe, przenośne jednostki uzdatniania wody i elastyczne rozwiązania magazynowe. Podmioty krytyczne z sektora wody pitnej zachęca się do określenia priorytetowych punktów dostaw, aby zapewnić odpowiednią reakcję w sytuacjach awaryjnych lub podczas przerw w dostawach. Przy wprowadzaniu środków w zakresie odporności podmioty krytyczne muszą zapewnić, aby woda przeznaczona do spożycia przez ludzi spełniała normy jakości określone w dyrektywie (UE) 2020/2184 (22).
57. W przypadku innych sektorowych usług użyteczności publicznej (np. ciepła woda, schłodzona woda, kocioł parowy) i dostaw (np. chemikalia, surowce, części zamienne) planowanie awaryjne w łańcuchach dostaw powinno w stosownych przypadkach uwzględniać przejście z modeli zapasów "na czas" na modele zapasów "na wypadek zdarzenia". Alternatywne systemy powinny obejmować wcześniej przygotowane zasoby i dostawy rezerwowe (zapasy buforowe i zapasy pod kątem bezpieczeństwa/awarii).
58. Podmioty krytyczne zachęca się do opracowania kompleksowych programów konserwacji opartych na zaleceniach producentów, doświadczeniach operacyjnych i ocenach ryzyka. Konserwację predykcyjną można realizować z wykorzystaniem zaawansowanych technologii monitorowania i zintegrowanych sieci czujników. Regularna i predykcyjna konserwacja oparta na efektywności, wykorzystująca analizę danych i narzędzia sztucznej inteligencji do monitorowania starzenia się i prognozowania awarii, może służyć optymalizacji harmonogramu koniecznych interwencji. Należy stworzyć przejrzyste protokoły reagowania na ostrzeżenia z systemu monitorowania, w tym weryfikacji ostrzeżeń, oceny ich pilności i mobilizacji zasobów utrzymania. Protokoły te powinny określać procedury eskalacji w sytuacjach wymagających natychmiastowej uwagi. Oprócz zautomatyzowanego monitorowania prowadzi się regularne kontrole infrastruktury.
59. W odniesieniu do zarządzania wewnętrznego podmioty krytyczne powinny uznać odporność za nieodłączny element struktury zarządzania, od jej najwyższego do najniższego szczebla. Powinny one określić cele w zakresie odporności oraz przyjąć strategię, politykę i plany w zakresie odporności, informować o nich odpowiednie zainteresowane podmioty zgodnie z zasadą ograniczonego dostępu oraz regularnie przeprowadzać przeglądy. Należy wziąć pod uwagę istniejące źródła podatności na zagrożenia oraz sposoby lepszego zapobiegania incydentom, ochrony przed nimi, odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania incydentów oraz adaptacji i odtworzenia po incydencie.
60. Podmioty krytyczne zachęca się do ustanowienia jasnej hierarchii podejmowania decyzji. Należy skonsolidować odpowiednie kompetencje w zakresie odporności na szczeblu zarządu oraz w ramach jednostek związanych z odpornością lub zarządzaniem ryzykiem, aby zapewnić odpowiednią strategię, odpowiednią politykę i odpowiednie planowanie operacyjne w zakresie odporności. Podmioty krytyczne zachęca się do rozważenia powołania specjalisty ds. odporności oraz jasnego określenia ról i obowiązków koordynacyjnych dotyczących realizacji celów w zakresie odporności.
61. W tym kontekście istotne jest także nawiązanie i sformalizowanie współpracy z odpowiednimi organami publicznymi, w tym decydentami, organami ścigania, służbami ratunkowymi i podmiotami działającymi w dziedzinie obronności. Podmioty krytyczne zachęca się do sprecyzowania ról i procedur w zakresie wymiany informacji, zgłaszania i koordynacji incydentów, a także do przedstawienia wzajemnych oczekiwań.
62. Można także rozważyć nawiązanie i sformalizowanie współpracy z odpowiednimi podmiotami prywatnymi z sektora działania danego podmiotu, innych sektorów i innych państw członkowskich.
63. Należy stworzyć protokoły komunikacji kryzysowej, aby zapewnić terminowy i dokładny przepływ informacji do wewnętrznych i zewnętrznych zainteresowanych podmiotów (w tym klientów i społeczeństwa) w czasie incydentów. Podmioty krytyczne powinny utrzymywać wstępnie zatwierdzone szablony komunikacji, procedury powiadamiania zainteresowanych podmiotów i wielokanałowe zdolności komunikacyjne, w tym systemy redundantne. Komunikacja powinna być dostosowana do różnych odbiorców, z uwzględnieniem wielu języków i wymogów dostępności.
64. Projektowanie redundancji na dużą skalę zapewnia możliwość świadczenia usług na poziomie transgranicznym, krajowym, regionalnym i lokalnym przy skutecznej interoperacyjności.
65. Podmioty krytyczne zachęca się do zapewnienia, aby procedury reagowania kryzysowego obejmowały wielokanałowe systemy ostrzegania z możliwościami geotargetowania, takie jak działająca z przestrzeni kosmicznej satelitarna usługa ostrzegania o zagrożeniach w ramach programu Galileo, przejrzyste komunikacyjne łańcuchy dowodzenia, w tym wyznaczeni rzecznicy, oraz standardowe procedury operacyjne dotyczące konkretnych zagrożeń dostosowane do ryzyka związanego z danym miejscem. Podmioty krytyczne powinny utrzymywać wyposażenie awaryjne, wyznaczać i szkolić zespoły reagowania kryzysowego oraz zapewniać dostępność i regularne testowanie procedur ewakuacyjnych.
E. ŚRODKI DOTYCZĄCE ODTWORZENIA PO INCYDENTACH (art. 13 ust. 1 lit. d) dyrektywy)
66. Aby zapewnić ciągłość operacji, podmioty krytyczne zachęca się do rozważenia środków redundancji zapewniających kontynuację świadczenia usług kluczowych w razie awarii systemów podstawowych. Środki takie mogą obejmować określenie, które konkretne podusługi są najistotniejsze i powinny być w pierwszej kolejności przywrócone (priorytetyzacja usług); utrzymanie zdolności do ręcznej obsługi sprzętu w razie awarii systemów zautomatyzowanych lub opartych na sztucznej inteligencji bądź w razie ingerencji w takie systemy; a także powrót pracowników w przypadku incydentu zakłócającego.
67. Alternatywnymi miejscami odtworzenia po wystąpieniu sytuacji nadzwyczajnej mogą być ośrodki zapasowe typu gorącego (w pełni wyposażone do natychmiastowego wykorzystania), typu ciepłego (częściowo wyposażone) lub typu zimnego (wymagające organizacji po wystąpieniu zakłócenia). Miejsca rezerwowe powinny znajdować się wystarczająco daleko od obiektów podstawowych, a jednocześnie pozostawać dostępne. W miarę możliwości należy wziąć pod uwagę obiekty mobilne (np. centra dowodzenia). Obiekty rezerwowe należy przechowywać w fizycznie oddzielnych lub logistycznie odizolowanych miejscach.
68. Bez uszczerbku dla dyrektywy NIS 2 (23) podmioty krytyczne powinny opracować i utrzymywać kompleksowe plany ciągłości działania oparte na ocenach wpływu na działalność, w których określa się funkcje krytyczne, priorytety odtworzenia oraz zakładany czas przywrócenia sprawności i akceptowalny poziom utraty danych, z uwzględnieniem umów o gwarantowanym poziomie usług (SLA). W planach ciągłości działania należy wyszczególnić jasne kryteria aktywacji, przydział zasobów oraz role i mechanizmy koordynacji na etapach reagowania, odtworzenia, wznowienia i odbudowy. Powinny one być testowane, poddawane przeglądom i aktualizowane w zaplanowanych odstępach czasu oraz po każdym znaczącym incydencie lub po zmianie w prowadzonych operacjach.
69. Procedury zarządzania kryzysowego powinny obejmować struktury dowodzenia incydentami z jasno określonymi uprawnieniami decyzyjnymi i udokumentowanymi planami działania na wypadek incydentów. Podmioty krytyczne powinny rozważyć utworzenie zespołów kryzysowych z uprzednio określonymi rolami, protokołami eskalacji, odpowiednimi szkoleniami, kanałami komunikacji (podstawowej i alternatywnej), aby zapewnić szybkie i skoordynowane reagowanie na incydenty zakłócające.
70. Planowanie dotyczące personelu powinno uwzględniać wymogi związane ze zdolnością reagowania na nagłe zapotrzebowanie przez prowadzenie rezerwowej listy szybkiego reagowania i programów szkoleniowych oraz utrzymywanie w mocy wcześniej zawartych umów o wzajemnej pomocy z organizacjami partnerskimi. Podmioty krytyczne powinny opracować ramy kompetencji i plany sukcesji, aby zapewnić odpowiedni szczebel kluczowych ról i utrzymać zdolność operacyjną podczas przedłużających się zakłóceń lub niedoborów personelu.
71. Aby zapewnić skuteczne odtworzenie po incydencie, podmioty krytyczne powinny wdrożyć etapowe protokoły ponownego uruchomienia, w których priorytetowo traktuje się przywrócenie funkcji krytycznych na podstawie oceny ryzyka lub ustaleń z ocen wpływu na działalność. Protokoły te powinny obejmować usystematyzowane procedury walidacji systemów krytycznych, kompleksowe testy integralności i funkcjonalności danych, środki kontroli jakości oraz kontrolowane przejście z operacji awaryjnych na normalne przez stopniowe zwiększanie zdolności i monitorowanie efektywności.
72. W dochodzeniach po incydentach należy stosować uporządkowane metody, takie jak analiza przyczyn źródłowych, w celu zidentyfikowania przyczyn systemowych, a nie bezpośrednich symptomów. Przeglądy po zakończeniu działań powinny być przeprowadzane po wszystkich testach i faktycznych incydentach w celu uwzględnienia uzyskanych wniosków, a ustalenia należy systematycznie uwzględniać i włączać do zaktualizowanych procedur, programów szkoleniowych i ocen ryzyka, aby zapobiec ponownemu wystąpieniu i wzmocnić odporność organizacyjną.
73. Jeżeli chodzi o łańcuchy dostaw, zasadnicze znaczenie w kontekście odtworzenia po incydentach zakłócających ma odporność. Zgodnie ze swoimi ocenami ryzyka podmioty krytyczne powinny rozważyć mapowanie łańcucha dostaw na potrzeby świadczenia usług kluczowych, opracować długoterminowe strategie odporności łańcucha dostaw oraz regularnie dokonywać przeglądu i aktualizacji planu awaryjnego dotyczącego łańcucha dostaw. Zachęca się je do określenia alternatywnych łańcuchów dostaw w przypadku incydentów zakłócających mających wpływ na kluczowych dostawców.
74. Podmioty krytyczne powinny rozważyć gromadzenie zapasów strategicznych, w tym zapasy buforowe, mechanizmy szybkiego odtwarzania dostaw i magazynowanie poza terenem obiektu chronione przed powszechnymi zagrożeniami, tak aby w przypadku zakłócenia łańcucha dostaw nie dochodziło do przerwania świadczenia usług kluczowych.
75. Warto także rozważyć zawarcie formalnych umów z innymi podmiotami w tym samym sektorze, aby dzielić się zasobami, sprzętem lub personelem podczas szeroko zakrojonych działań na rzecz odtworzenia.
F. ŚRODKI ZARZĄDZANIA BEZPIECZEŃSTWEM PRACOWNIKÓW (art. 13 ust. 1 lit. e) dyrektywy)
76. Zagrożenia związane z personelem należy oceniać i należy im przeciwdziałać, aby ograniczyć ryzyko błędu ludzkiego, sabotażu, zagrożeń wewnętrznych oraz ryzyko nieobecności z powodu choroby, zagrożeń nadzwyczajnych lub zewnętrznych. Podmioty krytyczne zachęca się do określenia i sporządzenia wykazów kategorii pracowników pełniących funkcje krytyczne, w tym pracowników zatrudnionych przez usługodawców zewnętrznych (wykonawców i podwykonawców).
77. Przy sporządzaniu tych wykazów podmioty krytyczne powinny uwzględnić specyfikę świadczonych usług kluczowych i powiązać te usługi z personelem zajmującym się ich świadczeniem. W tym celu podmioty krytyczne powinny prowadzić jasną, kompleksową i aktualną dokumentację tych kategorii pracowników.
78. Oprócz powyższych kwestii dotyczących praw dostępu zachęca się podmioty krytyczne do ustalenia, komu i na jakich warunkach udziela się dostępu do obiektów, infrastruktury krytycznej i informacji szczególnie chronionych. Należy ustanowić skuteczne procedury przyznawania i natychmiastowego cofania dostępu fizycznego i systemowego, a prawa dostępu powinny być ściśle egzekwowane.
79. Podmioty krytyczne powinny udzielać zezwolenia wyłącznie na zasadzie ograniczonego dostępu; pracownikom należy przyznać jedynie minimalny poziom dostępu niezbędny do wykonywania ich zadań. Należy wprowadzić strategie wdrażania, takie jak kontrola dostępu oparta na roli (24), silne uwierzytelnianie i zarządzanie tożsamością (25), rozdział obowiązków (26), ograniczenia czasowe i dostęp "na czas" (27), a także regularne audyty i przeglądy.
80. Jeżeli chodzi o sprawdzenie przeszłości, w celu zapewnienia wysokiego poziomu bezpieczeństwa pracowników należy wdrożyć solidne procedury wewnętrzne dotyczące składania wniosków o sprawdzenie przeszłości na podstawie art. 14 dyrektywy oraz wyznaczyć kategorie osób podlegających procedurom sprawdzenia przeszłości. Należy również wprowadzić procedury postępowania z pracownikami, którym cofnięto poświadczenie bezpieczeństwa.
81. Podmioty krytyczne zachęca się do określenia zasad sprawdzania przeszłości, z wyszczególnieniem, które role są wrażliwe, którzy pracownicy mają bezpośredni lub zdalny dostęp do obiektów, informacji lub systemów kontroli oraz jakie rodzaje kontroli należy przeprowadzać w odniesieniu do każdej wrażliwej roli (np. weryfikacja tożsamości, rejestry karne i rejestry zatrudnienia oraz wykształcenie).
82. W stosownych przypadkach środki te powinny być spójne z działaniami w zakresie sprawdzenia przeszłości na podstawie rozporządzenia wykonawczego Komisji (UE) 2024/2690 (28) Należy też zapewnić spójność ze środkami bezpieczeństwa zasobów ludzkich stosowanymi przez dany podmiot na podstawie art. 21 ust. 2 lit. i) dyrektywy NIS 2.
83. Wymaganie od pracowników posiadania odpowiednich kwalifikacji i szkoleń oraz prowadzenie takich szkoleń przyczyniają się do zapewnienia odpowiedniego zarządzania bezpieczeństwem pracowników, podnoszenia wiedzy pracowników na temat środków w zakresie odporności i wspierania środków w zakresie odporności stosowanych przez dany podmiot krytyczny. Ocena ryzyka podmiotu krytycznego, rodzaj świadczonych przez niego usług kluczowych oraz planowane lub wprowadzone środki powinny przekładać się na rodzaj i zakres szkoleń potrzebnych personelowi danego podmiotu w celu zapewnienia, aby personel nie tylko miał ogólną wiedzę o środkach w zakresie odporności, ale również posiadał kompetencje techniczne i proceduralne do wykonywania obowiązków z uwzględnieniem odporności.
84. Wymogi dotyczące szkoleń i kwalifikacji odnoszą się do m.in. oceny ryzyka (np. w przypadku pracowników zajmujących się zgodnością w kwestiach zarządzania/ryzyka), ciągłości działania i zarządzania kryzysowego (np. w przypadku pracowników zajmujących się ciągłością działania), bezpieczeństwa fizycznego (np. w przypadku pracowników ochrony i osób posiadających prawa dostępu), reagowania na incydenty i łagodzenia ich skutków (np. w przypadku pracowników operacyjnych, wyznaczonych jednostek reagujących na incydenty), kontroli dostępu i weryfikacji (dział HR, pracownicy ochrony i kierownicy funkcji krytycznych) oraz ogólnej wiedzy na temat środków w zakresie odporności (wszyscy pracownicy).
85. Wymogi dotyczące kwalifikacji zależą od specyfiki danego podmiotu krytycznego i świadczonych przez niego usług kluczowych. Celem takich wymogów powinno być zapewnienie, aby pracownicy posiadali kompetencje umożliwiające wykonywanie zadań określonych w ocenie ryzyka i planie zwiększania odporności oraz w protokołach ciągłości działania i reagowania na incydenty zawartych w planie zwiększania odporności, w ramach środków w zakresie odporności wprowadzanych przez podmioty krytyczne. Wymogi dotyczące kwalifikacji odnoszą się do zadań operacyjnych, technicznych, organizacyjnych i zarządczych lub zadań związanych z bezpieczeństwem i weryfikacją. Wymagane kwalifikacje należy określić w polityce odporności wewnętrznej i polityce kadrowej danego podmiotu krytycznego.
G. ŚRODKI W ZAKRESIE ZWIĘKSZANIA ŚWIADOMOŚCI (art. 13 ust. 1 lit. f))
86. Zasadnicze znaczenie ma dobry program przekazywania pracownikom wiedzy o środkach w zakresie odporności przyjętych przez podmiot krytyczny i wprowadzających kulturę bezpieczeństwa; pracownicy są istotnym elementem na każdym etapie cyklu zwiększania odporności, od zapobiegania incydentom zakłócającym i ograniczania zagrożeń wewnętrznych po reagowanie na nie i uruchamianie odpowiednich procedur, zgłaszanie incydentów i zapewnianie ciągłości działania, a także przywracanie operacji do stanu sprzed incydentu. Bez kompetentnego personelu nawet najlepsze środki techniczne, środki bezpieczeństwa i środki organizacyjne mogą zawieść.
87. Z zastrzeżeniem informacji szczególnie chronionych i na zasadzie ograniczonego dostępu podnoszenie wiedzy na temat środków w zakresie odporności zapewnia optymalną kulturę odporności, dzięki której odporność staje się wspólną wartością wśród pracowników podmiotu krytycznego i zmniejsza ryzyko związane z zagrożeniami wewnętrznymi lub inżynierią społeczną.
88. Środki zwiększania świadomości należy stosować w połączeniu ze środkami dotyczącymi podstawowych praktyk cyberhigieny i szkoleniami w zakresie cyberbezpieczeństwa na podstawie dyrektywy NIS 2 (29)
89. Szkolenia organizowane przez podmiot krytyczny mają być powiązane z wymogami szkoleniowymi podmiotu krytycznego, o których mowa w pkt 82 i 83 powyżej.. Szkolenia powinny obejmować środki w zakresie odporności stosowane przez podmiot na podstawie art. 13 ust. 1 lit. a)-e) dyrektywy, a tym samym uwzględniać cały cykl zapewniania odporności. Oznacza to zrozumienie krajobrazu zagrożeń, roli podmiotu krytycznego w utrzymywaniu niezbędnych funkcji społecznych oraz poważnych konsekwencji zakłócenia usług, szybkie rozpoznawanie i zgłaszanie podejrzanych działań, źródeł podatności na zagrożenia lub nietypowych incydentów, a także reagowanie na incydenty i łagodzenie ich skutków. Należy zapewnić odpowiednio dostosowane szkolenia dla personelu pełniącego funkcje krytyczne.
90. Podmioty krytyczne zachęca się też do rozważenia szkoleń na temat podejścia uwzględniającego aspekt płci; takie szkolenia, wraz z monitorowaniem odpowiednich wskaźników, mogą zwiększyć odporność, rozliczalność i długoterminową trwałość.
91. Materiały informacyjne udostępniane pracownikom powinny być bezpośrednio związane z oceną ryzyka danego podmiotu i wprowadzonymi środkami w zakresie odporności. Takie materiały informacyjne powinny być jasne i łatwe do zrozumienia oraz powinny wyjaśniać kluczową rolę danego podmiotu i wpływ zakłóceń na społeczeństwo i gospodarkę, zasięg wszystkich zagrożeń oraz podstawowe zasady bezpieczeństwa, takie jak zasada zgłaszania zauważonych zdarzeń i zasada minimalizacji uprawnień w odniesieniu do dostępu do informacji szczególnie chronionych.
92. Materiały informacyjne mogą obejmować materiały wizualne służące do szybkiego informowania o np. naruszeniach bezpieczeństwa fizycznego, utracie zasilania/łączności, wykryciu podejrzanych paczek, schematach powiadamiania o incydentach i przypomnieniach dotyczących ciągłości działania pobranych z planu ciągłości działania, wytycznych dotyczących ochrony fizycznej i zasad kontroli dostępu. Aby jak najbardziej zwiększyć świadomość, materiały te powinny być dostarczane w wielu formatach, np. w formie cyfrowej (30) i fizycznej (31) oraz powinny być interaktywne (32)
93. Ćwiczenia mają kluczowe znaczenie dla zatwierdzenia planu zwiększania odporności podmiotu krytycznego i zapewnienia skuteczności jego pracowników w realizacji zadań w czasie faktycznego incydentu. W ramach podejścia uwzględniającego wszystkie zagrożenia podmioty mogą organizować ćwiczenia oparte na dyskusjach, np. symulacje (33) oraz ćwiczenia operacyjne, np. alarmy próbne (34)
94. Przy organizacji ćwiczeń podmioty krytyczne powinny skupić uwagę na wynikach swojej oceny ryzyka, przetestować pełny cykl zwiększania odporności i, w stosownych przypadkach, zapewnić dobrą koordynację międzysektorową z innymi podmiotami krytycznymi w celu przetestowania zależności międzysektorowych. Powinny współpracować z odpowiednimi organami publicznymi, np. organami ścigania, strażą pożarną, innymi służbami ratunkowymi i ogólnie służbami interwencyjnymi w razie incydentów zakłócających; te organy publiczne również powinny uczestniczyć w ćwiczeniach.
| Identyfikator: | Dz.U.UE.C.2026.3712 |
| Rodzaj: | komunikat |
| Tytuł: | Komunikat Komisji - Wytyczne dotyczące stosowania art. 13 ust. 5 dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznych |
| Data aktu: | 2026-07-10 |
| Data ogłoszenia: | 2026-07-13 |
| Data wejścia w życie: | 2026-07-13 |