1.
Operator infrastruktury krytycznej sporządza, w terminie do dnia 31 marca każdego roku, raport o stanie ochrony infrastruktury krytycznej za rok ubiegły.
2.
Raport o stanie ochrony infrastruktury krytycznej zawiera w szczególności informacje dotyczące jej ochrony w zakresie zapewnienia:
1)
bezpieczeństwa fizycznego;
2)
bezpieczeństwa technicznego;
3)
bezpieczeństwa osobowego;
4)
cyberbezpieczeństwa;
5)
bezpieczeństwa prawnego;
6)
ciągłości działania i odtwarzania.
3.
Raport o stanie ochrony infrastruktury krytycznej sporządza się z uwzględnieniem:
1)
analizy zagrożeń, o której mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 1;
2)
wdrożonych rozwiązań, o których mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 2;
3)
zagrożeń, które zakłóciły lub mogły zakłócić funkcjonowanie infrastruktury krytycznej, a nie były uwzględnione w analizie zagrożeń, o której mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 1;
4)
wyników przeprowadzonych kontroli i audytów odnoszących się do wdrożonych rozwiązań, o których mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 2;
5)
opisu działań podjętych przez operatora infrastruktury krytycznej w przypadkach wystąpienia zagrożeń.
4.
Operator infrastruktury krytycznej przekazuje, w terminie do dnia 31 marca każdego roku, raport o stanie ochrony infrastruktury krytycznej odpowiednio:
1)
ministrowi, o którym mowa w art. 6t identyfikacja przez ministra kierującego działem administracji rządowej obiektu, urządzenia, instalacji, sieci, systemu lub usługi mogących stanowić infrastrukturę krytyczną ust. 1;
2)
właściwemu miejscowo wojewodzie;
3)
Komisji Nadzoru Finansowego.
5.
Operator infrastruktury krytycznej przekazuje raport o stanie ochrony infrastruktury krytycznej na żądanie dyrektora Centrum, Szefa Agencji Bezpieczeństwa Wewnętrznego lub Szefa Agencji Wywiadu.
6.
Raport o stanie ochrony infrastruktury krytycznej jest dokumentem niejawnym.
