Rządowy projekt ustawy o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw.

• Powstaje Krajowa Ocena Ryzyka (KOR) - rządowy dokument opisujący najpoważniejsze zagrożenia dla Polski (klęski żywiołowe, awarie techniczne, zagrożenia hybrydowe, cyberataki, terroryzm), przyjmowany przez Radę Ministrów. Dziś takiego jednego, systematycznie aktualizowanego dokumentu nie ma.
• Powstaje oficjalny wykaz infrastruktury krytycznej - elektrownie, wodociągi, węzły transportowe i inne kluczowe obiekty będą wpisywane na listę prowadzoną przez dyrektora Rządowego Centrum Bezpieczeństwa, z jasno opisanym trybem wpisu i wykreślenia.
• Powstaje nowa kategoria „podmiotów krytycznych" - firmy i instytucje świadczące usługi kluczowe (energia, transport, woda, bankowość, sieci cyfrowe i inne sektory) będą musiały wdrożyć zintegrowany system zarządzania bezpieczeństwem, oceniać ryzyko co najmniej raz na 2 lata i zgłaszać poważne awarie w ciągu 24 godzin od wykrycia.
• Wprowadza się obowiązkowe audyty bezpieczeństwa co najmniej raz na 3 lata, na koszt samej firmy, a pracownicy z dostępem do informacji o zabezpieczeniach obiektu będą musieli przejść sprawdzenie karalności i przekazać odciski palców.
• Powstają plany reagowania kryzysowego na każdym szczeblu władzy - od rządu przez ministerstwa po województwa, powiaty i gminy - obowiązkowo aktualizowane nie rzadziej niż co 3 lata.

Dla przeciętnego mieszkańca zmiana nie oznacza nowych obowiązków ani opłat - ale ma sprawić, że prąd, woda, internet, transport czy usługi bankowe będą działać bardziej niezawodnie nawet w razie awarii, ataku czy klęski żywiołowej, bo dziś brakuje jednolitych procedur reagowania. Realne obowiązki spadają na firmy i instytucje.

Jeśli pracujesz w firmie energetycznej, wodociągach, dużym banku, szpitalu albo firmie transportowej, a twoja firma zostanie formalnie uznana za dostawcę „usługi kluczowej", czekają cię nowe procedury: firma musi ocenić ryzyko, przygotować dokumentację bezpieczeństwa, zgłaszać poważne awarie w ciągu 24 godzin i przechodzić płatne audyty co 3 lata.

Jeśli masz stanowisko dające dostęp do informacji o zabezpieczeniach takiego obiektu (np. pracujesz w ochronie elektrowni czy wodociągów), będziesz musiał zgodzić się na sprawdzenie w Krajowym Rejestrze Karnym i oddanie odcisków palców - to nowa ingerencja w prywatność, uzasadniana przez projekt względami bezpieczeństwa państwa.

Dostępna treść dokumentu nie zawiera Oceny Skutków Regulacji z konkretnymi kwotami, więc nie da się podać, ile wdrożenie będzie kosztować budżet państwa ani poszczególne firmy. Jakościowo: największy ciężar spada na operatorów infrastruktury krytycznej i podmioty krytyczne - muszą zapłacić za audyty bezpieczeństwa co 3 lata, wdrożyć nowe systemy zarządzania ryzykiem i przeszkolić pracowników w zakresie obrony cywilnej, ochrony ludności i zarządzania kryzysowego.

Administracja publiczna (Rządowe Centrum Bezpieczeństwa, ministerstwa, wojewodowie, starostowie, wójtowie) zyskuje nowe obowiązki planistyczne i sprawozdawcze - trzeba będzie tworzyć i co najwyżej co 3 lata aktualizować kilkanaście rodzajów planów zarządzania ryzykiem i reagowania kryzysowego. W zamian państwo ma zyskać szybszy czas reakcji na awarie i ataki dzięki jednolitym rejestrom i procedurom, których dziś brakuje.