Czy nasza spółka może zostać uznana za podmiot krytyczny? Jak przygotować organizację?
Tak, Wasza spółka może zostać uznana za podmiot krytyczny, ale nie przesądza o tym samo prowadzenie działalności w sektorze energii. Według stanu prawnego na 10 września 2026 r. znaczenie mają łącznie rodzaj świadczonej usługi, terytorium działalności i położenie infrastruktury oraz możliwe skutki incydentu. W Polsce dyrektywę CER wdrożyła ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, która weszła w życie 4 lipca 2026 r. Podmiotem krytycznym jest operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych. O wpisie decydują organy państwa, a spółka otrzymuje o nim informację. Od tej chwili biegną terminy na wykonanie obowiązków ustawowych.
Przygotowania warto więc zacząć przed otrzymaniem pisma. Najpierw ustalcie, jakie usługi rzeczywiście świadczycie, od jakiej infrastruktury zależą, komu są potrzebne i jakie skutki spowodowałoby ich zakłócenie. Następnie uporządkujcie ocenę ryzyka, ciągłość działania, ochronę fizyczną, role personelu, obsługę incydentów oraz dowody stosowania przyjętych środków.
Identyfikacja podmiotu a sam sektor
Dyrektywa wymagała, aby do 17 lipca 2026 r. każde państwo członkowskie zidentyfikowało podmioty krytyczne w sektorach i podsektorach wskazanych w załączniku. W sektorze „Energia”, w podsektorze „Energia elektryczna”, załącznik wymienia między innymi przedsiębiorstwa energetyczne wykonujące funkcję „dostawy”, operatorów systemów dystrybucyjnych i przesyłowych, wytwórców, wyznaczonych operatorów rynku energii elektrycznej oraz uczestników rynku świadczących usługi agregacji, odpowiedzi odbioru lub magazynowania energii. Osobne kategorie obejmują ciepłownictwo, ropę naftową, gaz i wodór. Sama obecność w tej kategorii nie oznacza jednak automatycznej kwalifikacji.
Państwo stosuje łącznie trzy kryteria. Podmiot musi świadczyć co najmniej jedną usługę kluczową. Musi prowadzić działalność na terytorium danego państwa, a jego infrastruktura krytyczna musi znajdować się na tym terytorium. Ponadto trzeba ustalić, że incydent miałby istotne skutki zakłócające dla co najmniej jednej usługi kluczowej świadczonej przez ten podmiot albo dla innych usług kluczowych zależnych od tej usługi.
W polskiej ustawie kryteria te przekładają się na konstrukcję operatora infrastruktury krytycznej wpisanego do wykazu podmiotów krytycznych. Zanim to nastąpi, właściwy organ może zażądać od spółki informacji potrzebnych do ustalenia, czy jej infrastruktura spełnia ustawowe kryteria. Takie żądanie jest wyraźnym sygnałem, że sprawa może Was dotyczyć, i warto odpowiedzieć na nie w sposób przemyślany oraz spójny z dokumentacją spółki.
Kancelaria HWW ocenia, że zgodność profilu spółki z kategorią sektorową jest dopiero sygnałem do dalszej analizy. O statusie podmiotu krytycznego decyduje łączne spełnienie kryteriów oraz wpis do wykazu dokonany przez organy państwa. Przygotowania warto jednak zacząć wcześniej, bo po otrzymaniu informacji o wpisie terminy ustawowe są krótkie: 30 dni na wyznaczenie pełnomocnika i dziewięć miesięcy na pierwszą ocenę ryzyka.
W praktyce przygotujcie mapę usług, lokalizacji infrastruktury, odbiorców i zależności. Opiszcie również scenariusze przerwania świadczenia oraz ich zasięg.
Dyrektywa przewiduje, że państwo powiadamia zidentyfikowany podmiot w ciągu miesiąca od identyfikacji, a wykaz podlega przeglądowi w razie potrzeby, nie rzadziej niż co cztery lata. W polskiej ustawie terminy na wykonanie obowiązków liczy się od otrzymania informacji o wpisie do wykazu podmiotów krytycznych. Datę doręczenia tej informacji warto więc od razu udokumentować.
Szczególną kategorię stanowią podmioty krytyczne o szczególnym znaczeniu europejskim, czyli świadczące te same lub podobne usługi kluczowe w co najmniej sześciu państwach członkowskich. Polska ustawa wdraża również przepisy dotyczące tej kategorii, co może mieć znaczenie dla większych grup energetycznych.
Relacja CER i NIS2
CER i NIS2 mogą dotyczyć tej samej spółki, a w przypadku podmiotu krytycznego jest to reguła. Podmiot krytyczny staje się podmiotem kluczowym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, niezależnie od swojej wielkości (art. 3 ust. 1 lit. f dyrektywy NIS2). W Polsce NIS2 wdrożyła nowelizacja tej ustawy, obowiązująca od 3 kwietnia 2026 r. Nie należy jednak łączyć obu reżimów w jeden, niepodzielny system obowiązków. Dyrektywa CER koncentruje się na odporności podmiotu krytycznego wobec istotnych ryzyk naturalnych i wywołanych przez człowieka. Obejmuje między innymi ochronę fizyczną, reagowanie kryzysowe, ciągłość działania, personel oraz odbudowę po incydencie. Obowiązki wynikające z NIS2 trzeba ustalać odrębnie.
Dyrektywa CER przewiduje wymianę informacji między organami działającymi w obu reżimach. Dla Was oznacza to potrzebę spójności ustaleń, dokumentów i odpowiedzialności, bez założenia, że spełnienie wymagań jednego reżimu automatycznie wyczerpuje drugi. Jednocześnie CER pozwala wykorzystać ocenę ryzyka, dokumenty i środki przyjęte na podstawie innych aktów prawnych. Właściwy organ może uznać istniejącą ocenę za spełniającą wymagania w całości albo części.
Warto zatem przygotować wspólny indeks dokumentacji i przy każdym dokumencie wskazać, jakie ryzyko, proces, lokalizację oraz środek opisuje. Pozwoli to wykorzystać istniejące materiały bez ukrywania luk i bez dublowania dokumentów tylko z powodu różnych podstaw prawnych.
Ryzyka, role oraz procedury
Pierwszą ocenę ryzyka podmiot krytyczny przeprowadza co do zasady w ciągu dziewięciu miesięcy od otrzymania informacji o wpisie do wykazu, a następnie nie rzadziej niż raz na dwa lata. Polska ustawa jest pod tym względem surowsza od dyrektywy, która wymaga oceny co najmniej raz na cztery lata. Ocena obejmuje wszystkie istotne zagrożenia naturalne i spowodowane przez człowieka, także międzysektorowe i transgraniczne. Trzeba uwzględnić wypadki, klęski żywiołowe, zagrożenia zdrowia publicznego, zagrożenia hybrydowe, przestępstwa terrorystyczne oraz zależności między sektorami.
Na tej podstawie dobierzcie odpowiednie i proporcjonalne środki techniczne, bezpieczeństwa i organizacyjne. Na ich wdrożenie ustawa przewiduje co do zasady trzy miesiące od przeprowadzenia oceny ryzyka. Środki powinny służyć zapobieganiu incydentom, w tym ograniczaniu ryzyka katastrof i adaptacji do zmian klimatu, fizycznej ochronie budynków, terenów i infrastruktury, reagowaniu, ograniczaniu skutków oraz podnoszeniu świadomości personelu. Dyrektywa wskazuje między innymi ogrodzenia, bariery, monitorowanie terenu, wykrywanie i kontrolę dostępu, procedury zarządzania ryzykiem i kryzysowego oraz procedury ostrzegawcze.
Organizacja musi także przygotować odtworzenie działalności po incydencie, w tym ciągłość działania i alternatywne łańcuchy dostaw. Zarządzanie bezpieczeństwem personelu powinno określać kategorie osób wykonujących funkcje krytyczne, prawa dostępu, wymagane kwalifikacje i szkolenia. Przy wyznaczaniu tych kategorii uwzględnijcie również personel zewnętrznych dostawców usług.
Dyrektywa przewiduje możliwość wnioskowania o sprawdzenie przeszłości osób pełniących role newralgiczne, mających dostęp do budynków, informacji lub systemów kontroli, a także kandydatów na takie stanowiska. Warunki i tryb sprawdzenia określa prawo krajowe. Jego przeprowadzenie musi być zgodne również z RODO i przepisami prawa pracy dotyczącymi danych kandydatów i pracowników. Zakres sprawdzenia musi pozostać proporcjonalny i ściśle ograniczony do tego, co konieczne. Obejmuje co najmniej potwierdzenie tożsamości oraz kontrolę rejestrów karnych pod kątem przestępstw istotnych dla stanowiska.
W ciągu 30 dni od otrzymania informacji o wpisie do wykazu trzeba wyznaczyć pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcę. Pełnomocnik podlega bezpośrednio organowi zarządzającemu spółki, dlatego odporność nie może pozostać wyłącznie zadaniem działu IT lub ochrony. Ustalcie też obieg informacji i sposób zatwierdzania zgłoszeń. Incydent istotny trzeba zgłosić niezwłocznie, nie później niż w ciągu 24 godzin od jego wystąpienia lub wykrycia. Następnie podmiot współdziała z właściwymi organami i przygotowuje sprawozdanie z podjętych czynności.
Procedura powinna umożliwić szybkie ustalenie liczby i odsetka dotkniętych użytkowników, czasu zakłócenia oraz obszaru geograficznego. Zgłoszenie zawiera dostępne informacje o charakterze, przyczynie i konsekwencjach zdarzenia, w tym jego wpływie transgranicznym. Samo zgłoszenie nie może zwiększać odpowiedzialności podmiotu.
Stan krajowy i dowody wdrożenia
Dyrektywa jest skierowana do państw członkowskich, a obowiązki spółki wynikają z przepisów krajowych. W Polsce jest to ustawa o zarządzaniu kryzysowym w brzmieniu nadanym ustawą z dnia 29 maja 2026 r., obowiązującą od 4 lipca 2026 r. W kilku miejscach polska ustawa jest bardziej szczegółowa lub surowsza od dyrektywy, na przykład co do częstotliwości oceny ryzyka, terminu wdrożenia środków czy audytu. Status i obowiązki firmy trzeba więc ustalać na podstawie ustawy i informacji o wpisie, a nie samego tekstu dyrektywy.
Przygotowanie nie powinno kończyć się na uchwaleniu polityk. Podmiot krytyczny wdraża zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej i prowadzi jego dokumentację. Obejmuje ona między innymi bezpieczeństwo informacji, ciągłość działania, ochronę fizyczną i bezpieczeństwo osobowe. W praktyce każdy środek warto połączyć z właścicielem, datą wdrożenia, objętym zasobem, wynikiem testu i dowodem działania. Dowodem mogą być na przykład zatwierdzone procedury, rejestry szkoleń, protokoły testów, zapisy kontroli dostępu, wyniki ćwiczeń i materiały z przeglądów, o ile rzeczywiście potwierdzają stosowanie danego środka.
Organy mogą prowadzić kontrole na miejscu i zdalny nadzór, przeprowadzać lub zlecać audyty, a także żądać informacji i dowodów skutecznego wdrożenia. Mogą zażądać wyników audytu wykonanego na koszt podmiotu przez wybranego przez niego niezależnego i wykwalifikowanego audytora. W razie naruszenia organ może nakazać konieczne i proporcjonalne działania naprawcze w rozsądnym terminie. Korzystanie z tych uprawnień podlega gwarancjom prawnym, między innymi prawu do wysłuchania, obrony i skutecznego środka odwoławczego oraz ochronie tajemnicy przedsiębiorstwa i tajemnicy handlowej.
Ustawa przewiduje administracyjne kary pieniężne między innymi za brak oceny ryzyka, niewdrożenie wymaganych zabezpieczeń, brak dokumentacji, niezgłoszenie incydentu, brak audytu albo niewyznaczenie pełnomocnika. Maksymalna wysokość kary zależy od rodzaju naruszenia i sięga 200 tys. zł.
Co przygotować do pierwszego kontaktu
Prześlijcie krótki opis sprawy i roli firmy w świadczeniu usług energetycznych. Wskażcie, jaki dokument już posiadacie albo na jakim etapie są prace, czego oczekujecie od kancelarii oraz czy biegnie ważny termin, zwłaszcza wynikający z otrzymanej informacji o wpisie do wykazu podmiotów krytycznych albo z żądania informacji skierowanego przez organ. Na początek wystarczy syntetyczna informacja. Pełne akta przekażecie później kanałem uzgodnionym z kancelarią.
Najczęstsze pytania
Jak ustalić, czy opisana sytuacja dotyczy właśnie naszej firmy?
Trzeba sprawdzić wszystkie kryteria identyfikacji w Waszym stanie faktycznym: usługę kluczową, terytorium działalności i położenie infrastruktury oraz istotne skutki możliwego incydentu. Sam sektor lub nazwa działalności nie wystarczą. Znaczenie ma również powiadomienie o zidentyfikowaniu.
Jakie dokumenty są potrzebne do oceny zagadnienia „identyfikacja podmiotu a sam sektor”?
Pomocne będą opisy świadczonych usług, lokalizacji i infrastruktury, mapa odbiorców i zależności, oceny skutków zakłócenia oraz otrzymane pisma organów. Jeżeli część danych pozostaje niepełna, wskażcie ich właścicieli i etap pozyskania.
Czy możemy zlecić tylko: analiza kwalifikacji, obowiązków i dokumentacji ciągłości działania?
Tak. Zakres zlecenia może obejmować wyłącznie analizę kwalifikacji, obowiązków i dokumentacji ciągłości działania, bez rozszerzania go na inne prace.
Co można ustalić, gdy nie mamy jeszcze kompletu danych?
Można uporządkować znane informacje, wskazać przesłanki wymagające potwierdzenia i przygotować listę brakujących dokumentów lub pytań. Ostateczna kwalifikacja wymaga jednak sprawdzenia konkretnego stanu faktycznego.
Czy można poprosić o wycenę bez zakupu konsultacji?
Tak. Nie musicie wcześniej kupować konsultacji. Jeżeli ustalenie zakresu albo ceny wymaga odrębnej analizy, kancelaria wcześniej uzgodni z Wami jej zakres i koszt.
Poproś o wycenę
Oferta „Obowiązki regulacyjne w energetyce” obejmuje zamawiany rezultat: analizę kwalifikacji, obowiązków i dokumentacji ciągłości działania. Klient nie musi wcześniej kupować konsultacji. Gdy ustalenie zakresu albo ceny wymaga odrębnej analizy, kancelaria wcześniej uzgodni jej zakres i koszt.
Masz sprawę z prawa energetycznego lub OZE?
Od tego pytania zaczyna się większość rozmów z prawnikiem. Opisz sprawę własnymi słowami. Sprawdzimy, czy możemy pomóc, i przedstawimy zakres, cenę oraz termin porady. Wycena nie zobowiązuje, a przepisy zostaw nam, od tego jesteśmy.
- 1 Rozmowa
Mówisz, co się dzieje, własnymi słowami.
- 2 Co dalej
Powiemy, jakie masz wyjścia i ile to kosztuje.
- 3 Działamy
Dajesz zielone światło i sprawa jest nasza.
Wolisz od razu porozmawiać? Umów konsultację.
Doświadczenie zawodowe zdobywała w warszawskich kancelariach, w tym w kancelarii notarialnej oraz kancelarii radcowsko-adwokackiej, gdzie wspierała starszych prawników w sprawach z zakresu prawa cywilnego, w tym w postępowaniach sądowych, a także w bieżącej obsłudze prawnej przedsiębiorstw. Obecnie wspiera zespół procesowy oraz korporacyjny kancelarii, uczestnicząc w obsłudze prawnej przedsiębiorstw oraz fundacji rodzinnych.
Zobacz profil →Kolejna analiza prosto do skrzynki
Newsletter „Miesięczny Legal Check” zbiera co miesiąc najważniejsze nowelizacje i ich praktyczne skutki dla biznesu, zinterpretowane przez prawników HWW.
