Prosto w prawo Skróty klawiszowe⌘KCtrl KPrzejdź do przepisu, ustawy albo sygnatury/Pole pytania albo wyszukiwania na stronie← →Poprzedni i następny artykuł albo strona listyCKopiuj przypis; z zaznaczonym tekstem cytat z przypisemLKopiuj linkFUkryj albo pokaż spis treści ustawyEscZamknij panel, menu albo okno?Lista skrótów Dla profesjonalistyPro
Spis treści ustawy

Art. 6zzr ustawa o zarządzaniu kryzysowym

Obowiązuje od 4.07.2026Stan prawny na 27.10.2026Źródło: ELI / Sejm RP, oficjalny PDF ↗
Cała ustawa

nowy przepis Obowiązuje od 4.07.2026 (Dz.U. 2026 poz. 815).

Art. 6zzr.
1.Karze pieniężnej podlega podmiot krytyczny, który:
1)nie przeprowadza oceny ryzyka, o której mowa w art. 6zt ust. 1 pkt 1;
2)nie wdraża rozwiązań organizacyjno-technicznych, o których mowa w art. 6zt ust. 1 pkt 2;
3)nie opracowuje lub nie aktualizuje dokumentacji, o której mowa w art. 6zu ust. 1;
4)nie wykonuje obowiązku, o którym mowa w art. 6zv ust. 1 pkt 1, w zakresie obsługi incydentu istotnego;
5)nie wykonuje obowiązku, o którym mowa w art. 6zv ust. 1 pkt 4;
6)nie przeprowadza audytu;
7)nie wyznacza pełnomocnika bezpieczeństwa usługi kluczowej lub zastępcy pełnomocnika bezpieczeństwa usługi kluczowej, o których mowa w art. 6zzd ust. 1;
8)uniemożliwia lub utrudnia przeprowadzanie kontroli, o której mowa w art. 6zzi ust. 2 pkt 1;
9)nie wykonuje w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 6zzn ust. 1;
10)nie wdraża rozwiązań dotyczących ochrony infrastruktury krytycznej, o których mowa w art. 6ze ust. 1 pkt 2, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej;
11)nie opracowuje dokumentacji ochrony infrastruktury krytycznej, o której mowa w art. 6zf ust. 1, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej.
2.Wysokość kary pieniężnej, o której mowa w ust. 1:
1)pkt 1, wynosi do 100 000 zł;
2)pkt 2, wynosi do 150 000 zł;
3)pkt 3, wynosi do 50 000 zł;
4)pkt 4, wynosi do 20 000 zł za każdy stwierdzony przypadek zaniechania obsługi incydentu istotnego;
5)pkt 5, wynosi do 25 000 zł za każdy stwierdzony przypadek niezgłoszenia incydentu istotnego;
6)pkt 6, wynosi do 200 000 zł;
7)pkt 7, wynosi do 15 000 zł;
8)pkt 8, wynosi do 50 000 zł;
9)pkt 9, wynosi do 200 000 zł;
10)pkt 10, wynosi do 150 000 zł;
11)pkt 11, wynosi do 50 000 zł.
3.Wysokość kary pieniężnej, o której mowa w ust. 1:
1)pkt 4, 5 i 7, nie może być mniejsza niż 2000 zł;
2)pkt 3, 8 i 11, nie może być mniejsza niż 5000 zł;
3)pkt 1, 2, 6, 9 i 10, nie może być mniejsza niż 15 000 zł.

Tekst ujednolicony ISAP, stan prawny na 27.10.2026, tekst z 7.07.2026. Wiążący jest tekst ogłoszony w Dzienniku Ustaw: oficjalny PDF ↗, otwórz w wyszukiwarce, zgłoś błąd.

Powiązane przepisy

  • art. 3 pkt 1a definicja
    podmiocie krytycznym – należy przez to rozumieć operatora infrastruktury krytycznej wpisanego do wykazu podmiotów krytycznych;
  • art. 3 pkt 1f definicja
    incydencie – należy przez to rozumieć każde zdarzenie mające lub mogące mieć niekorzystny wpływ na świadczenie usługi kluczowej;
  • art. 3 pkt 1g definicja
    incydencie istotnym – należy przez to rozumieć incydent, który powoduje lub może spowodować istotne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej, spełniający progi uznania incydentu za istotny;
  • art. 3 pkt 2 definicja
    infrastrukturze krytycznej – należy przez to rozumieć obiekt, urządzenie, instalację, sieć, system lub usługę lub połączone ze sobą funkcjonalnie obiekty, urządzenia, instalacje, sieci, systemy lub usługi niezbędne do:
  • art. 3 pkt 3 definicja
    ochronie infrastruktury krytycznej – należy przez to rozumieć wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działania oraz integralności infrastruktury krytycznej;
  • art. 3 pkt 13 definicja
    ocenie ryzyka – należy przez to rozumieć proces identyfikacji zagrożenia, podatności na zagrożenie, prawdopodobieństwa wystąpienia zagrożenia wraz z jego skutkami, który określa wartość ryzyka;
  • art. 6zz ust. 1 definicja
    Podmiot krytyczny przeprowadza co najmniej raz na 3 lata, na własny koszt, audyt zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej, zwany dalej „audytem”, w zakresie:
  • art. 6zt ust. 1 pkt 1 odesłanie
    przeprowadzenie nierzadziej niż raz na 2 lata oceny ryzyka z uwzględnieniem:
  • art. 6zt ust. 1 pkt 2 odesłanie
    wdrożenie odpowiednich i proporcjonalnych do wyników oceny ryzyka rozwiązań organizacyjno-technicznych, w zakresie:
  • art. 6zu ust. 1 odesłanie
    Podmiot krytyczny opracowuje i aktualizuje dokumentację zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej.
  • art. 6zv ust. 1 pkt 1 odesłanie
    zapewnienia obsługi incydentu;
  • art. 6zv ust. 1 pkt 4 odesłanie
    zgłaszania incydentu istotnego niezwłocznie, niepóźniej niż w terminie 24 godzin od momentu jego wystąpienia lub wykrycia:

Odsyłają tu 11

Odsyła do 26