Rewolucja w infrastrukturze krytycznej. W życie wchodzi ultraważna dyrektywa [ANALIZA]

Rewolucja bezpieczeństwa

Wchodząca w życie 17 stycznia dyrektywa CER (skrót odCritical Entities Resilience), czyli dyrektywa w sprawie odporności podmiotów krytycznych, to prawdziwa rewolucja w dziedzinie ochrony kluczowych segmentów gospodarki Unii Europejskiej. Choć prace nad nią trwały od 2020 roku, to ostateczny kształt regulacji, przyjęty pod koniec roku 2022 i opublikowany w Dzienniku Urzędowym UE 28 grudnia, dobrze odpowiada najnowszym zagrożeniom dla unijnego bezpieczeństwa, związanym z rozpętaną przez Rosję wojną na Ukrainie. Dokument ten wprowadza nowy model współodpowiedzialności państwa za funkcjonowanie określonych obszarów gospodarki, dając narzędzia do ingerencji, która w świetle dotychczasowych przepisów prawa Unii uchodziła za – co do zasady – niedozwoloną.

Co zmienia dyrektywa CER? Przede wszystkim, wyznacza ona płaszczyzny, na których mają być określane tzw. podmioty krytyczne. Chodzi o m.in. takie sektory gospodarki, jak szeroko pojęta energetyka (w skład której wchodzi segment elektroenergetyki, ciepłownictwa, gazu, ropy i wodoru), transport czy wytwarzanie żywności. Po drugie, dyrektywa wskazuje sposób określania tzw. podmiotów krytycznych. Są one wskazywane na podstawie trzech kryteriów opisanych w artykule 6 dokumentu – chodzi o kryterium świadczenia co najmniej jednej usługi kluczowej, prowadzenie działalności i posiadanie infrastruktury na terytorium państwa członkowskiego oraz możliwość wystąpienia istotnych skutków zakłócających w świadczeniu usług kluczowych w razie incydentu dotykającego określony podmiot.

Jedną z najważniejszych regulacji dyrektywy jest przepis artykułu 10, który opisuje wsparcie państw członkowskich dla podmiotów krytycznych. Zakreślone ramy tej pomocy są dość szerokie – dotyczą nawet przekazania zasobów finansowych. Warto tu przytoczyć opinię widniejącą na stronie Rządowego Centrum Bezpieczeństwa. „Podmioty krytyczne będą mogły liczyć na wsparcie finansowe ze strony państwa, jeśli będzie to uzasadnione bezpieczeństwem publicznym. Takie wsparcie nie będzie traktowane jako niedozwolona pomoc publiczna".

Siła wsparcia

Takie rozwiązanie prawne to istotne wzmocnienie bezpieczeństwa UE zwłaszcza w dobie bezpośrednich ataków na unijną infrastrukturę krytyczną. Chodzi oczywiście o sabotaż na gazociągach Nord Stream, którego dokonano we wrześniu 2022 roku, a który wyłączył ¾ przepustowości tej – do niedawna – najważniejszej magistrali dostaw rosyjskiego gazu do Europy.

Jednakże narzędzie to może być postrzegane także jakofurtka do dodatkowego finansowania m.in. polskiego sektora elektroenergetycznego, który od lat zmaga się z brakiem środków potrzebnych np. do modernizacji sieci dystrybucyjnych. Można też zastanowić się, czy do katalogu podmiotów krytycznych trafi projektowana obecnie Narodowa Agencja Bezpieczeństwa Energetycznego – instytucja, która ma zgromadzić w swoim portfelu aktywa węglowe polskich spółek elektroenergetycznych, odciążając je z kosztów emisji oraz dając szansę na złapanie finansowego oddechu.

Można zastanawiać się, czy takie wnioski nie są zbyt daleko posunięte, jednakże eksperci zwracają uwagę na możliwość takiego pozarynkowego zastrzyku finansowego w ramach dyrektywy CER. „Ta dyrektywa wprowadza mechanizm, już na stałe, pomocy operatorom w sytuacjach, kiedy biznesowo nieopłacalna usługa musi być utrzymana ze względu na potrzeby państwa i obywatela" – mówi dr Witold Skomra - specjalista w zakresie bezpieczeństwa narodowego, zarządzania kryzysowego, oceny ryzyka i ochrony infrastruktury krytycznej, Szef Wydziału Ochrony Infrastruktury Krytycznej w Rządowym Centrum Bezpieczeństwa.

Można w tym momencie przywołać wyliczone w dyrektywie środki, jakie mają podejmować podmioty krytyczne celem zwiększenia swej odporności. Ich lista znajduje się w artykule 13, który stanowi, że chodzi tu o działania prowadzone w takich celach, jak np. zmniejszanie ryzyka związanego z katastrofami i przystosowania do zmiany klimatu.

Moc zmian

Wejście w życie dyrektywy Critical Entities Resilience to dopiero początek całego szeregu zmian, jakie trzeba będzie – co dość otwarcie podkreślają specjaliści – wprowadzić w Polsce – komentuje Dominik Mikołajczyk, redaktor naczelny serwisu InfoSecurity24. W dokumencie zapisano m.in. obowiązek – jak nazwał go w rozmowie z InfoSecurity24.pl dr Skomra – powołania "właściwej władzy". Ta będzie miała za zadanie dopilnować, by dyrektywa została wdrożona. Nie chodzi tylko o akceptację planów odpornościowych, ale też o zlecanie i prowadzenie audytów oraz karanie w przypadku naruszenia przepisów. Kto ma to robić? Rządowe Centrum Bezpieczeństwa nie ma obecnie takich uprawnień. Co więcej, w myśl procedowanego projektu ustawy o ochronie ludności oraz o stanie klęski żywiołowej, RCB ma niebawem przestać istnieć. Otwarte pozostaje zatem pytanie, jaka instytucja przejmie kompetencje, o które – gdyby nie planowano likwidacji Centrum – i tak trzeba będzie rozszerzyć jego uprawnienia. Póki co, pozostaje mieć nadzieję, że skuteczny, holistyczny system – do którego stworzenia się zobowiązaliśmy – uda się zbudować sprawnie, ponad resortowymi i sektorowymi podziałami – dodaje Mikołajczyk.

„Państwo, poprzez uregulowanie dostępności usług, wyznaczenie usług kluczowych, wskazanie operatorów i wyegzekwowanie poziomu dostępności, stanie się współodpowiedzialne za to, czy mamy w domu prąd, wodę i gaz. Jest to rewolucja, jeżeli chodzi o rolę państwa (...)" – podkreśla dr Skomra.