infrastruktura krytyczna

Infrastruktura krytyczna (IK) to systemy i obiekty kluczowe dla bezpieczeństwa państwa i jego obywateli: energetyka, łączność, zaopatrzenie w wodę, transport, ochrona zdrowia. Rządowe Centrum Bezpieczeństwa opisuje ją jako rzeczywiste i cybernetyczne systemy niezbędne do minimalnego funkcjonowania gospodarki i państwa ^[1]. RCB zaznacza, że nie każdy obiekt strategiczny jest infrastrukturą krytyczną ^[1]. W Polsce pojęcie definiuje ustawa o zarządzaniu kryzysowym, gruntownie zmieniona w 2026 roku.

Definicja w prawie polskim

Tekst jednolity ustawy o zarządzaniu kryzysowym z kwietnia 2026 roku definiował infrastrukturę krytyczną jako systemy oraz powiązane z nimi funkcjonalnie obiekty, urządzenia, instalacje i usługi kluczowe dla bezpieczeństwa państwa i jego obywateli ^[2]. Wymieniał jedenaście systemów, między innymi zaopatrzenia w energię, łączności, sieci teleinformatycznych, systemy finansowe, zaopatrzenia w wodę, ochrony zdrowia i transportowe ^[2]. Szczegółowe kryteria zaliczenia obiektu do IK zawierał niejawny załącznik do Narodowego Programu Ochrony Infrastruktury Krytycznej ^[1], przyjmowanego przez Radę Ministrów i przygotowywanego przez dyrektora RCB ^[2].

Ustawa z 29 maja 2026 roku zmieniła tę definicję. Infrastruktura krytyczna to teraz obiekt, urządzenie, instalacja, sieć, system lub usługa albo ich funkcjonalnie połączony zestaw, niezbędne do realizacji ważnych interesów państwa, funkcjonowania przedsiębiorstw, zaspokajania potrzeb obywateli oraz świadczenia usług kluczowych ^[3]. Nowelizacja wdraża unijną dyrektywę 2022/2557 w sprawie odporności podmiotów krytycznych (CER) ^[3]. Uchyla dotychczasowe przepisy o programie ochrony IK ^[3] i weszła w życie po upływie 14 dni od ogłoszenia 19 czerwca 2026 roku ^[3].

Podmioty i obowiązki

Nowe przepisy wprowadzają kilka powiązanych pojęć ^[3].

Wykaz infrastruktury krytycznej i wykaz podmiotów krytycznych prowadzi dyrektor Rządowego Centrum Bezpieczeństwa ^[3]. Wykaz IK zawiera nazwę i lokalizację infrastruktury, dane operatora i wskazanie organu, który ją zidentyfikował ^[3]. Ochrona infrastruktury krytycznej to według nowej definicji wszelkie działania zmierzające do zapewnienia jej funkcjonalności, ciągłości działania i integralności ^[3]. Ustawa definiuje też odporność podmiotu krytycznego jako zdolność do zapobiegania incydentowi, ochrony przed nim, reagowania, absorbowania skutków i adaptacji, w tym odtwarzania infrastruktury niezbędnej do świadczenia usługi kluczowej ^[3]. Osobną kategorią jest podmiot krytyczny o szczególnym znaczeniu europejskim, który świadczy usługi kluczowe na rzecz co najmniej sześciu państw Unii albo w co najmniej sześciu państwach ^[3]. Organy sektorowe na bieżąco analizują operatorów IK pod kątem uznania ich za podmioty krytyczne ^[3]. Drogę od obiektu do obowiązków pokazuje schemat poniżej.

RYS. 1Od obiektu do podmiotu krytycznego

Organy do spraw podmiotów krytycznych są przypisane do sektorów: energii, transportu, bankowości i infrastruktury rynków finansowych, ochrony zdrowia, wody pitnej i ścieków, infrastruktury cyfrowej, administracji publicznej, przestrzeni kosmicznej, żywności, zarządzania usługami ICT, chemikaliów, usług pocztowych i gospodarowania odpadami ^[3]. Podmiot krytyczny musi zgłosić incydent istotny niezwłocznie, nie później niż w ciągu 24 godzin od jego wystąpienia lub wykrycia ^[3]. Zgłoszenie trafia do organu sektorowego i dyrektora RCB, do Szefa ABW oraz do CSIRT poziomu krajowego ^[3]. Ten tryb przypomina obowiązek zgłaszania incydentów z NIS2 i ustawy o KSC, ale dotyczy odporności całego podmiotu, także fizycznej, a nie tylko systemów informacyjnych.

W WordPressie

Infrastruktura krytyczna dotyczy stron WWW pośrednio, przez usługi, na których strony działają. Załącznik do nowelizacji wymienia w sektorze infrastruktury cyfrowej kategorie takie jak dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy usług chmurowych, ośrodków przetwarzania danych i sieci dostarczania treści oraz podmioty rejestrujące nazwy domen ^[3]. To te same ogniwa, od których zależy dostępność witryny na WordPressie: domena, DNS, serwerownia hostingu, CDN.

Przynależność do kategorii nie czyni jednak firmy podmiotem krytycznym. Staje się nim dopiero operator wpisany do wykazu podmiotów krytycznych ^[3]. Dla właściciela zwykłej strony wniosek jest praktyczny: umowy z dostawcami warto oceniać w ramach zarządzania ryzykiem dostawców, a plan ciągłości działania powinien uwzględniać awarię każdego z tych ogniw.

Zagrożenia i skutki

W infrastrukturze krytycznej skutki ataku wychodzą poza dane. 29 grudnia 2025 roku doszło do skoordynowanych ataków na co najmniej 30 farm wiatrowych i fotowoltaicznych, spółkę z sektora produkcyjnego i dużą elektrociepłownię dostarczającą ciepło prawie pół milionowi odbiorców ^[4]. Atakujący uszkadzał firmware sterowników, usuwał pliki systemowe i uruchamiał złośliwe oprogramowanie typu wiper ^[4]. Szczegóły techniczne opisuje hasło bezpieczeństwo systemów przemysłowych (OT/ICS).

CERT Polska wskazał, że infrastruktura użyta w ataku pokrywa się z infrastrukturą klastra aktywności znanego jako Static Tundra, Berserk Bear, Ghost Blizzard i Dragonfly ^[4]. Według CERT Polska publiczne opisy tego aktora wskazują na duże zainteresowanie sektorem energetyki ^[4]; takie klastry opisuje hasło grupa sponsorowana przez państwo (APT).

Historia i przykłady

W grudniu 2014 roku Niebezpiecznik opisał raport firmy Cylance o kampanii nazwanej Operation Cleaver ^[5]. Jej celami były m.in. linia lotnicza, lotnisko, szpitale, operatorzy telekomunikacyjni, zakłady chemiczne i instalacje wojskowe w 16 krajach ^[5]. Włamania prowadzono między innymi przez SQL injection i znaną podatność MS08-067, a sprawcami mieli być hakerzy związani z Iranem, czemu Iran zaprzeczał ^[5].

Po ataku z grudnia 2025 roku CERT Polska zalecał operatorom sprawdzenie dzienników pod kątem wskaźników kompromitacji i zgłaszanie incydentów do właściwych zespołów CSIRT ^[4].