Rozdział 13. Nadzór nad podmiotami krytycznymi i ich kontrola - Ustawa o zarządzaniu kryzysowym

Art. 6zzi. Nadzór nad podmiotami krytycznymi

1.

Nadzór w zakresie stosowania przepisów ustawy sprawują organy do spraw podmiotów krytycznych w zakresie:

1)

spełniania przez podmioty krytyczne wymogów bezpieczeństwa dotyczących świadczenia usług kluczowych;

2)

wykonywania przez podmioty krytyczne obowiązków wynikających z ustawy dotyczących przeciwdziałania zagrożeniom dla świadczonych usług kluczowych i zgłaszania incydentów istotnych.

2.

W ramach nadzoru, o którym mowa w ust. 1, organ do spraw podmiotów krytycznych:

1)

prowadzi kontrole podmiotów krytycznych w ich siedzibach, miejscach wykonywania działalności gospodarczej lub zdalnie;

2)

zleca audyt na koszt podmiotu krytycznego w przypadku, o którym mowa w art. 6zz audyt zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 2;

3)

nakłada kary pieniężne na podmioty krytyczne.

3.

Organ do spraw podmiotów krytycznych może żądać od podmiotu krytycznego informacji w zakresie wdrożenia rozwiązań zawartych w dokumentacji cyberbezpieczeństwa, o której mowa w art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 2 pkt 5, obejmujących:

1)

wpływ wdrożonych rozwiązań na bezpieczeństwo świadczenia usługi kluczowej;

2)

dowody potwierdzające wdrożone rozwiązania, w tym wyniki audytów przeprowadzonych przez podmiot krytyczny.

4.

Organ do spraw podmiotów krytycznych wskazuje cel i uzasadnienie żądania, o którym mowa w ust. 3.

Art. 6zzj. Kontrole podmiotów krytycznych

Do kontroli prowadzonej wobec podmiotów krytycznych:

1)

będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2025 r. poz. 1480, 1795 i 1826 oraz z 2026 r. poz. 507);

2)

niebędących przedsiębiorcami stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej (Dz. U. z 2026 r. poz. 158) określające zasady i tryb przeprowadzania kontroli.

Art. 6zzk. Uprawnienia osoby kontrolującej podmioty krytyczne

Osoba prowadząca czynności kontrolne wobec podmiotów krytycznych będących przedsiębiorcami ma prawo do:

1)

swobodnego wstępu na teren podmiotu kontrolowanego i poruszania się po tym terenie;

2)

wglądu do dokumentów dotyczących działalności podmiotu kontrolowanego, pobierania za pokwitowaniem oraz zabezpieczania dokumentów związanych z zakresem kontroli, z zachowaniem przepisów o tajemnicy prawnie chronionej;

3)

sporządzania, a w razie potrzeby żądania sporządzenia, niezbędnych do kontroli kopii, odpisów lub wyciągów z dokumentów oraz zestawień lub obliczeń;

4)

przetwarzania danych osobowych w zakresie niezbędnym do realizacji celu kontroli;

5)

żądania złożenia ustnych lub pisemnych wyjaśnień w sprawach dotyczących zakresu kontroli;

6)

przeprowadzania oględzin urządzeń, nośników oraz systemów informacyjnych.

Art. 6zzl. Obowiązki podmiotów kontrolowanych

1.

Podmioty kontrolowane zapewniają osobie prowadzącej czynności kontrolne warunki niezbędne do sprawnego przeprowadzenia kontroli, w szczególności przez zapewnienie niezwłocznego przedstawienia żądanych dokumentów, terminowego udzielania ustnych i pisemnych wyjaśnień w sprawach objętych kontrolą, udostępniania niezbędnych urządzeń technicznych, a także sporządzania we własnym zakresie kopii lub wydruków dokumentów oraz informacji zgromadzonych na nośnikach, w urządzeniach lub w systemach informacyjnych.

2.

Podmiot kontrolowany dokonuje potwierdzenia za zgodność z oryginałem sporządzonych kopii lub wydruków, o których mowa w ust. 1. W przypadku odmowy potwierdzenia za zgodność z oryginałem potwierdza je osoba prowadząca czynności kontrolne, co odnotowuje w protokole kontroli.

Art. 6zzm. Protokół kontroli

1.

Osoba prowadząca czynności kontrolne wobec podmiotów krytycznych ustala stan faktyczny na podstawie dowodów zebranych w toku kontroli, w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień.

2.

Osoba prowadząca czynności kontrolne wobec podmiotów krytycznych będących przedsiębiorcami przedstawia przebieg przeprowadzonej kontroli w protokole kontroli.

3.

Protokół kontroli zawiera:

1)

wskazanie nazwy oraz adresu podmiotu kontrolowanego;

2)

imię i nazwisko osoby reprezentującej podmiot kontrolowany lub nazwę organu reprezentującego ten podmiot;

3)

imię i nazwisko oraz stanowisko służbowe osoby prowadzącej czynności kontrolne;

4)

datę rozpoczęcia i datę zakończenia czynności kontrolnych;

5)

określenie przedmiotu, zakresu oraz okresu kontroli;

6)

opis stanu faktycznego ustalonego w toku kontroli;

7)

ocenę kontrolowanej działalności, w tym zakres, przyczyny i skutki stwierdzonych nieprawidłowości;

8)

wyszczególnienie załączników.

4.

Protokół kontroli podpisują osoba prowadząca czynności kontrolne oraz osoba reprezentująca podmiot kontrolowany.

5.

W przypadku zastrzeżeń dotyczących ustaleń zawartych w protokole kontroli podmiot krytyczny ma prawo odmówić podpisania protokołu kontroli oraz złożyć umotywowane pisemne zastrzeżenia do tego protokołu w terminie 7 dni od dnia przedstawienia mu protokołu do podpisu.

6.

Odmowę podpisania protokołu kontroli osoba prowadząca czynności kontrolne odnotowuje w protokole wraz ze wskazaniem daty tej odmowy.

7.

W razie złożenia zastrzeżeń do protokołu kontroli kierownik komórki organizacyjnej prowadzącej czynności kontrolne dokonuje ich analizy.

8.

Kierownik komórki organizacyjnej prowadzącej czynności kontrolne:

1)

odrzuca zastrzeżenia do protokołu kontroli wniesione przez osobę nieuprawnioną lub wniesione po upływie terminu i informuje o tym na piśmie zgłaszającego zastrzeżenia, podając przyczyny, albo

2)

uwzględnia zastrzeżenia do protokołu kontroli w całości albo w części lub je oddala.

9.

W razie potrzeby osoba prowadząca czynności kontrolne podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia przez kierownika komórki organizacyjnej prowadzącej czynności kontrolne zasadności zastrzeżeń do protokołu kontroli zmienia lub uzupełnia odpowiednią część protokołu kontroli w formie aneksu do protokołu.

10.

Kierownik komórki organizacyjnej prowadzącej czynności kontrolne po rozpatrzeniu zastrzeżeń do protokołu kontroli sporządza stanowisko wobec tych zastrzeżeń.

11.

W przypadku nieuwzględnienia zastrzeżeń do protokołu kontroli w całości albo w części kierownik komórki organizacyjnej prowadzącej czynności kontrolne informuje o tym kontrolowany podmiot krytyczny na piśmie.

12.

Protokół kontroli w postaci:

1)

papierowej sporządza się w dwóch egzemplarzach, z których jeden pozostawia się podmiotowi kontrolowanemu;

2)

elektronicznej doręcza się podmiotowi kontrolowanemu.

Art. 6zzn. Zalecenia pokontrolne

1.

Jeż eli na podstawie informacji zawartych w protokole kontroli organ do spraw podmiotów krytycznych uzna, że mogło dojść do naruszenia przepisów ustawy przez podmiot kontrolowany, przekazuje zalecenia pokontrolne dotyczące usunięcia nieprawidłowości, wskazując jednocześnie termin ich usunięcia. Przy określaniu terminu usunięcia nieprawidłowości organ do spraw podmiotów krytycznych bierze pod uwagę zakres i rodzaj stwierdzonych naruszeń.

2.

Od zaleceń pokontrolnych nie przysługują środki odwoławcze.

3.

Podmiot kontrolowany w wyznaczonym terminie informuje organ do spraw podmiotów krytycznych o sposobie wykonania zaleceń pokontrolnych.

Art. 6zzo. Obowiązek identyfikacji dostawców krytycznych, prowadzenia ich rejestru i przeprowadzania oceny ryzyka

Podmiot krytyczny jest obowiązany do identyfikacji dostawców krytycznych, prowadzenia ich rejestru oraz przeprowadzania oceny ryzyka co najmniej raz w roku.

Art. 6zzp. Obowiązek zapewnienia opracowania planów awaryjnych, zastąpienia dostawcy krytycznego i minimalnych wymagań bezpieczeństwa wobec dostawców krytycznych

Podmiot krytyczny zapewnia opracowanie planów awaryjnych, możliwość zastąpienia dostawcy krytycznego i minimalne wymagania bezpieczeństwa wobec dostawców krytycznych.

Art. 6zzq. Zgłaszanie incydentów istotnych przez dostawcę krytycznego i podleganie audytowi

Dostawca krytyczny zgłasza incydenty istotne oraz podlega audytowi za pośrednictwem podmiotu krytycznego.

Art. 6zzr. Kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy

1.

Karze pieniężnej podlega podmiot krytyczny, który:

1)

nie przeprowadza oceny ryzyka, o której mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 1;

2)

nie wdraża rozwiązań organizacyjno-technicznych, o których mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 2;

3)

nie opracowuje lub nie aktualizuje dokumentacji, o której mowa w art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1;

4)

nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 1, w zakresie obsługi incydentu istotnego;

5)

nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 4;

6)

nie przeprowadza audytu;

7)

nie wyznacza pełnomocnika bezpieczeństwa usługi kluczowej lub zastępcy pełnomocnika bezpieczeństwa usługi kluczowej, o których mowa w art. 6zzd pełnomocnik bezpieczeństwa usługi kluczowej i zastępcę pełnomocnika ust. 1;

8)

uniemożliwia lub utrudnia przeprowadzanie kontroli, o której mowa w art. 6zzi nadzór nad podmiotami krytycznymi ust. 2 pkt 1;

9)

nie wykonuje w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 6zzn zalecenia pokontrolne ust. 1;

10)

nie wdraża rozwiązań dotyczących ochrony infrastruktury krytycznej, o których mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 2, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej;

11)

nie opracowuje dokumentacji ochrony infrastruktury krytycznej, o której mowa w art. 6zf dokumentacja ochrony infrastruktury krytycznej ust. 1, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej.

2.

Wysokość kary pieniężnej, o której mowa w ust. 1:

1)

pkt 1, wynosi do 100 000 zł;

2)

pkt 2, wynosi do 150 000 zł;

3)

pkt 3, wynosi do 50 000 zł;

4)

pkt 4, wynosi do 20 000 zł za każdy stwierdzony przypadek zaniechania obsługi incydentu istotnego;

5)

pkt 5, wynosi do 25 000 zł za każdy stwierdzony przypadek niezgłoszenia incydentu istotnego;

6)

pkt 6, wynosi do 200 000 zł;

7)

pkt 7, wynosi do 15 000 zł;

8)

pkt 8, wynosi do 50 000 zł;

9)

pkt 9, wynosi do 200 000 zł;

10)

pkt 10, wynosi do 150 000 zł;

11)

pkt 11, wynosi do 50 000 zł.

3.

Wysokość kary pieniężnej, o której mowa w ust. 1:

1)

pkt 4, 5 i 7, nie może być mniejsza niż 2 000 zł;

2)

pkt 3, 8 i 11, nie może być mniejsza niż 5 000 zł;

3)

pkt 1, 2, 6, 9 i 10, nie może być mniejsza niż 15 000 zł.

Art. 6zzs. Tryb nakładania kar pieniężnych na podmiot krytyczny i przeznaczenie wpływów z tych kar

1.

Karę pieniężną, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, nakłada, w drodze decyzji, organ do spraw podmiotów krytycznych.

2.

Organ do spraw podmiotów krytycznych może decyzji, o której mowa w ust. 1, nadać rygor natychmiastowej wykonalności w całości albo w części, jeżeli wymaga tego ochrona bezpieczeństwa lub porządku publicznego oraz zagrożenie wywołaniem poważnych utrudnień w świadczeniu usług kluczowych.

3.

Wpływy z tytułu kar pieniężnych, o których mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, stanowią:

1)

w 70 % dochód budżetu państwa;

2)

w 30 % przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa (Dz. U. z 2024 r. poz. 1662, z 2025 r. poz. 1017 oraz z 2026 r. poz. 252 i 815).

Art. 6zzt. Kara pieniężna za naruszenie przepisów ustawy o krajowym systemie cyberbez[pieczeństwa

1.

W przypadku naruszenia przepisów ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa przez podmiot krytyczny będący jednocześnie podmiotem kluczowym w rozumieniu przepisów tej ustawy karę pieniężną na ten podmiot nakłada organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 tej ustawy.

2.

Do ustalenia wysokości kary pieniężnej w przypadku, o którym mowa w ust. 1, stosuje się przepisy ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

3.

Organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, niezwłocznie informuje organ do spraw podmiotów krytycznych sprawujący nadzór nad podmiotem, o którym mowa w ust. 1, o:

1)

wszczęciu wobec tego podmiotu postępowania w sprawie nałożenia kary pieniężnej;

2)

naruszeniu dokonanym przez ten podmiot wraz z kwalifikacją prawną;

3)

wysokości nałożonej na ten podmiot kary pieniężnej lub odstąpieniu od jej nałożenia.

4.

Organ do spraw podmiotów krytycznych nie wszczyna postępowania w sprawie nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, w przypadku, o którym mowa w ust. 1, jeżeli postępowanie w przedmiocie naruszenia prowadzi organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

Art. 6zzu. Okoliczności uwzględniane przy nakładaniu kary pieniężnej na podmiot krytyczny

1.

Organ do spraw podmiotów krytycznych, podejmując decyzję o nałożeniu kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, i ustalając jej wysokość, bierze pod uwagę:

1)

wagę naruszenia i znaczenie naruszonych przepisów ustawy;

2)

czas trwania naruszenia;

3)

wcześniejsze naruszenia ze strony danego podmiotu krytycznego;

4)

spowodowane szkody majątkowe i niemajątkowe, w tym wpływ na użytkowników usługi kluczowej oraz na inne usługi kluczowe;

5)

środki zastosowane przez podmiot krytyczny w celu ograniczenia szkód, o których mowa w pkt 4;

6)

umyślny lub nieumyślny charakter czynu ze strony podmiotu krytycznego;

7)

stopień współpracy podmiotu krytycznego z organem do spraw podmiotów krytycznych.

2.

Podejmując decyzję, o której mowa w ust. 1, organ do spraw podmiotów krytycznych uwzględnia również wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, lub możliwości finansowe podmiotu krytycznego będącego podmiotem publicznym.

3.

W związku z toczącym się postępowaniem w sprawie nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, organ do spraw podmiotów krytycznych może żądać od podmiotu krytycznego przekazania we wskazanym terminie, niedłuższym niż 14 dni od dnia otrzymania żądania, informacji niezbędnych do określenia wymiaru kary pieniężnej.

4.

W przypadku nieprzekazania informacji, o których mowa w ust. 3, lub przekazania informacji uniemożliwiających ustalenie podstawy wymiaru kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, organ do spraw podmiotów krytycznych ustala podstawę wymiaru kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu krytycznego, specyfikę działalności tego podmiotu oraz ogólnodostępne dane finansowe.

5.

Karę pieniężną, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, uiszcza się w terminie 14 dni od dnia, w którym decyzja o jej wymierzeniu stała się ostateczna, lub od dnia doręczenia decyzji z rygorem natychmiastowej wykonalności, na odrębny rachunek bankowy wskazany przez organ do spraw podmiotów krytycznych w decyzji o wymierzeniu kary pieniężnej.

6.

Kara pieniężna, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, nieuiszczona w terminie wraz z odsetkami podlega ściągnięciu w trybie określonym w przepisach o postępowaniu egzekucyjnym w administracji.

7.

Organ do spraw podmiotów krytycznych może odstąpić od nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot krytyczny zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę.

Art. 6zzv. Odesłanie do przepisów ustawy – Kodeks postępowania administracyjnego

W zakresie nieuregulowanym w niniejszym rozdziale stosuje się odpowiednio przepisy działu IVa ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691).

Art. 6zzw. Wyłączenie stosowania niektórych doprzepisów ustawy podmiotów krytycznych z sektora bankowości i infrastruktury rynków finansowych

Do podmiotów krytycznych z sektora bankowości i infrastruktury rynków finansowych nie stosuje się przepisów rozdziałów 11–15, z wyjątkiem art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 1, pkt 2 lit. b–d, f, h oraz i, pkt 3 oraz ust. 2–11, art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1, ust. 2 pkt 3, 4 i 6 oraz ust. 3–6, art. 6zx obowiązki informacyjne podmiotu krytycznego, art. 6zy obowiązek informowania użytkowników świadczonej usługi kluczowej o zagrożeniach dla świadczenia tej usługi, art. 6zzb obowiązek zapewnienia niezakłóconego świadczenia usługi kluczowej oraz art. 6zzd pełnomocnik bezpieczeństwa usługi kluczowej i zastępcę pełnomocnika.

Art. 6zzx. Wyłączenie stosowania niektórych przepisów ustawy do podmiotów krytycznych z sektora infrastruktury cyfrowej

Do podmiotów krytycznych z sektora infrastruktury cyfrowej nie stosuje się przepisów rozdziałów 11–15.

Dz.U.2026.0.574 t.j. - Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym