USTAWA
z dnia 8 października 2026 r.
O OCHRONIE INFRASTRUKTURY TELEINFORMATYCZNEJ
W imieniu Drackiej Republiki Ludowo-Demokratycznej
Najwyższy Kongres Ludowy uchwala, co następuje:
Rozdział I
Przepisy ogólne
Art. 1.
Ustawa określa zasady ochrony infrastruktury teleinformatycznej Drackiej Republiki Ludowo-Demokratycznej.
Celem ustawy jest zapewnienie:
nieprzerwanego działania państwowych systemów teleinformatycznych;
bezpieczeństwa sieci i urządzeń teleinformatycznych;
ochrony informacji przetwarzanych przez infrastrukturę państwową;
odporności infrastruktury na awarie, katastrofy, sabotaż, cyberataki i działania wojenne;
ciągłości funkcjonowania organów Państwa;
ochrony suwerenności i bezpieczeństwa Republiki.
Art. 2.
Infrastruktura teleinformatyczna stanowi element bezpieczeństwa Państwa.
Ochrona infrastruktury teleinformatycznej jest obowiązkiem organów Państwa, jednostek gospodarki państwowej i spółdzielczej oraz podmiotów, którym powierzono wykonywanie zadań o znaczeniu publicznym.
Infrastruktura teleinformatyczna o znaczeniu strategicznym podlega szczególnej ochronie Państwa.
Art. 3.
Użyte w ustawie określenia oznaczają:
infrastrukturę teleinformatyczną – urządzenia, sieci, systemy, obiekty i środki techniczne służące do przesyłania, przetwarzania, przechowywania lub ochrony informacji;
infrastrukturę państwową – infrastrukturę teleinformatyczną pozostającą we władaniu Państwa lub wykorzystywaną przez organy Państwa;
infrastrukturę strategiczną – element infrastruktury, którego uszkodzenie, zniszczenie lub niedostępność może zagrozić bezpieczeństwu, suwerenności lub ciągłości działania Republiki;
operatora infrastruktury – podmiot odpowiedzialny za eksploatację, utrzymanie lub bezpieczeństwo określonego elementu infrastruktury;
węzeł teleinformatyczny – urządzenie lub zespół urządzeń zapewniających połączenie, wymianę lub kierowanie ruchu teleinformatycznego;
centrum danych – obiekt przeznaczony do przetwarzania lub przechowywania danych oraz utrzymywania systemów teleinformatycznych;
incydent infrastrukturalny – zdarzenie powodujące lub mogące spowodować zakłócenie działania infrastruktury;
ciągłość działania – zdolność infrastruktury do wykonywania powierzonych jej funkcji w warunkach awarii lub zagrożenia;
odporność infrastruktury – zdolność do zapobiegania zakłóceniom, reagowania na nie oraz odtworzenia prawidłowego działania.
Rozdział II
Krajowy system ochrony infrastruktury teleinformatycznej
Art. 4.
Tworzy się Krajowy System Ochrony Infrastruktury Teleinformatycznej, zwany dalej „Systemem”.
System służy zapewnieniu jednolitej ochrony infrastruktury teleinformatycznej Republiki.
System współdziała z Krajowym Systemem Cyberbezpieczeństwa ustanowionym na podstawie odrębnej ustawy.
Art. 5.
W skład Systemu wchodzą:
Sekretarz Generalny;
Rada Państwowa;
Rząd;
Państwowe Centrum Cyberbezpieczeństwa;
właściwe ministerstwa;
służby bezpieczeństwa Państwa;
organy administracji terenowej;
państwowe i spółdzielcze przedsiębiorstwa teleinformatyczne;
operatorzy infrastruktury strategicznej;
podmioty odpowiedzialne za łączność państwową;
inne podmioty wskazane w przepisach wykonawczych.
Art. 6.
Naczelną odpowiedzialność za ochronę strategicznej infrastruktury teleinformatycznej ponosi Sekretarz Generalny.
Sekretarz Generalny:
określa kierunki polityki Państwa w zakresie ochrony infrastruktury;
wydaje dyrektywy dotyczące ochrony infrastruktury strategicznej;
może nakazać zastosowanie szczególnych środków ochrony;
zatwierdza zasady ochrony infrastruktury o najwyższym znaczeniu dla bezpieczeństwa Republiki.
Art. 7.
Rząd odpowiada za wykonywanie polityki Państwa w zakresie ochrony infrastruktury teleinformatycznej.
Prezes Rady Ministrów koordynuje działalność ministrów i organów administracji w zakresie określonym ustawą.
Minister właściwy do spraw administracji i teleinformatyki sprawuje bieżący nadzór nad realizacją polityki ochrony infrastruktury.
Rozdział III
Klasyfikacja infrastruktury
Art. 8.
Infrastrukturę teleinformatyczną dzieli się na:
państwową;
strategiczną;
krytyczną;
publiczną;
operatorską;
lokalną.
Szczegółowe kryteria klasyfikacji określa Rada Ministrów w drodze rozporządzenia.
Art. 9.
Do infrastruktury strategicznej mogą zostać zaliczone w szczególności:
centralne sieci łączności Państwa;
sieci łączności organów bezpieczeństwa;
sieci wojskowe;
państwowe centra danych;
główne węzły teleinformatyczne;
systemy obsługujące organy centralne;
systemy finansowe Państwa;
systemy zarządzania infrastrukturą energetyczną;
systemy łączności alarmowej;
systemy, których działanie ma znaczenie dla obronności Republiki.
Wykaz infrastruktury strategicznej ustala Rząd po uzgodnieniu z Radą Państwową.
Art. 10.
Infrastruktura strategiczna podlega szczególnym wymaganiom bezpieczeństwa.
Informacje dotyczące lokalizacji, konfiguracji, zabezpieczeń i podatności infrastruktury strategicznej mogą zostać objęte tajemnicą państwową.
Rozdział IV
Obowiązki operatorów infrastruktury
Art. 11.
Operator infrastruktury jest obowiązany zapewnić jej bezpieczne i nieprzerwane funkcjonowanie w zakresie odpowiadającym znaczeniu infrastruktury.
Art. 12.
Operator infrastruktury jest obowiązany:
przeprowadzać ocenę ryzyka;
utrzymywać środki ochrony fizycznej i technicznej;
posiadać plan ciągłości działania;
posiadać plan odtworzenia infrastruktury;
zapewniać zapasowe źródła zasilania;
utrzymywać rezerwowe urządzenia i łącza;
prowadzić monitoring infrastruktury;
wykonywać okresowe testy bezpieczeństwa;
zabezpieczać dostęp do urządzeń;
prowadzić dokumentację techniczną;
niezwłocznie zgłaszać poważne awarie i incydenty;
współpracować z właściwymi organami Państwa.
Art. 13.
Operator infrastruktury strategicznej zapewnia możliwość jej funkcjonowania w przypadku:
utraty podstawowego zasilania;
awarii sieci telekomunikacyjnych;
uszkodzenia urządzeń;
cyberataku;
klęski żywiołowej;
działań sabotażowych;
stanu zagrożenia wojennego lub wojny.
Minimalny czas funkcjonowania awaryjnego określają przepisy wykonawcze.
Art. 14.
Operator nie może bez zgody właściwego organu Państwa wyłączyć infrastruktury strategicznej, jeżeli jej wyłączenie mogłoby zagrozić bezpieczeństwu lub ciągłości działania Republiki.
Rozdział V
Ochrona fizyczna infrastruktury
Art. 15.
Obiekty infrastruktury strategicznej podlegają ochronie fizycznej.
Zakres ochrony obejmuje w szczególności:
kontrolę dostępu;
ochronę wejść i wyjść;
monitoring;
ochronę pomieszczeń technicznych;
ochronę urządzeń zasilających;
ochronę kabli i przewodów;
ochronę przed pożarem, zalaniem i innymi zagrożeniami.
Art. 16.
Dostęp do pomieszczeń infrastruktury strategicznej mogą posiadać wyłącznie osoby upoważnione.
Operator prowadzi ewidencję osób posiadających dostęp do infrastruktury.
Dostęp może zostać ograniczony lub cofnięty w przypadku zagrożenia bezpieczeństwa.
Art. 17.
W przypadku bezpośredniego zagrożenia infrastruktury strategicznej właściwe służby Państwa mogą podjąć działania niezbędne do jej ochrony zgodnie z Konstytucją i ustawami.
Rozdział VI
Bezpieczeństwo techniczne
Art. 18.
Infrastruktura strategiczna musi być projektowana i utrzymywana z uwzględnieniem zasady odporności.
Systemy o znaczeniu strategicznym powinny posiadać, w miarę możliwości:
rozwiązania nadmiarowe;
systemy zapasowe;
alternatywne drogi transmisji;
niezależne źródła zasilania;
możliwość szybkiego odtworzenia;
mechanizmy kontroli dostępu;
mechanizmy rejestrowania zdarzeń.
Art. 19.
Urządzenia wykorzystywane w infrastrukturze strategicznej podlegają kontroli bezpieczeństwa.
Niedopuszczalne jest stosowanie urządzeń lub oprogramowania, jeżeli ich użycie stwarza poważne zagrożenie dla bezpieczeństwa Państwa.
Szczegółowe wymagania techniczne określa właściwy minister w porozumieniu z Państwowym Centrum Cyberbezpieczeństwa.
Art. 20.
Operator infrastruktury jest obowiązany zapewnić możliwość odtworzenia działania systemu po jego uszkodzeniu.
Rozdział VII
Centra danych Państwa
Art. 21.
Państwowe centra danych stanowią element infrastruktury strategicznej.
Centra danych zapewniające działanie centralnych systemów Państwa podlegają szczególnej ochronie.
Art. 22.
Państwowe centrum danych powinno posiadać:
awaryjne źródła energii;
systemy przeciwpożarowe;
systemy chłodzenia awaryjnego;
rezerwowe urządzenia;
kopie zapasowe danych;
zabezpieczenie fizyczne;
systemy kontroli dostępu;
systemy monitorowania;
plan ewakuacji i odtworzenia działania.
Art. 23.
Dane o znaczeniu strategicznym przechowuje się w sposób zapewniający ich dostępność i integralność.
Dane określone jako państwowe mogą być przechowywane poza terytorium Republiki wyłącznie za zgodą właściwego organu Państwa.
Rozdział VIII
Sieci państwowe
Art. 24.
Tworzy się Państwową Sieć Teleinformatyczną, zwaną dalej „PST”.
PST służy do zapewnienia bezpiecznej komunikacji między organami Państwa.
PST może obejmować:
organy centralne;
administrację terenową;
sądy;
organy bezpieczeństwa;
jednostki wojskowe;
inne podmioty wskazane przez Rząd.
Art. 25.
Państwowa Sieć Teleinformatyczna posiada wydzielone segmenty bezpieczeństwa.
Dostęp do poszczególnych segmentów jest przyznawany zgodnie z zakresem obowiązków użytkownika.
Art. 26.
Podłączanie systemu zewnętrznego do Państwowej Sieci Teleinformatycznej wymaga spełnienia wymagań bezpieczeństwa określonych przez właściwy organ.
Rozdział IX
Ciągłość działania i odtwarzanie infrastruktury
Art. 27.
Każdy operator infrastruktury strategicznej sporządza plan ciągłości działania.
Art. 28.
Plan ciągłości działania określa w szczególności:
najważniejsze funkcje infrastruktury;
możliwe zagrożenia;
procedury działania awaryjnego;
osoby odpowiedzialne;
sposoby komunikacji awaryjnej;
procedury odtworzenia;
kolejność przywracania usług;
wykorzystanie infrastruktury zapasowej.
Art. 29.
Plany ciągłości działania podlegają okresowym testom.
Testy mogą być prowadzone w formie:
ćwiczeń;
symulacji;
testów technicznych;
kontroli systemów zapasowych.
Wyniki testów przekazuje się właściwemu organowi nadzoru.
Rozdział X
Incydenty i awarie infrastruktury
Art. 30.
Operator infrastruktury niezwłocznie informuje właściwy organ o incydencie, który:
powoduje przerwę w świadczeniu usług;
może zagrozić bezpieczeństwu Państwa;
dotyczy infrastruktury strategicznej;
może prowadzić do utraty lub uszkodzenia danych;
może mieć wpływ na inne systemy państwowe.
Art. 31.
W przypadku poważnego incydentu Państwowe Centrum Cyberbezpieczeństwa może:
koordynować działania operatora;
zażądać informacji technicznych;
skierować zespół reagowania;
nakazać wykonanie określonych działań zabezpieczających;
przekazać informacje właściwym służbom.
Art. 32.
Operator jest obowiązany prowadzić rejestr awarii, incydentów i działań naprawczych.
Rozdział XI
Nadzór i kontrola
Art. 33.
Nadzór nad ochroną infrastruktury strategicznej sprawuje minister właściwy do spraw administracji i teleinformatyki, z zastrzeżeniem kompetencji innych organów określonych w ustawach.
Art. 34.
Państwowe Centrum Cyberbezpieczeństwa może przeprowadzać kontrole:
zabezpieczeń technicznych;
planów ciągłości działania;
procedur awaryjnych;
systemów monitorowania;
kontroli dostępu;
kopii zapasowych;
zgodności z wymaganiami bezpieczeństwa.
Art. 35.
Operator jest obowiązany umożliwić przeprowadzenie kontroli.
W przypadku stwierdzenia nieprawidłowości organ kontrolny może wydać zalecenia lub nakazać ich usunięcie.
W przypadku bezpośredniego zagrożenia bezpieczeństwa Państwa mogą zostać zastosowane środki nadzwyczajne przewidziane w ustawie.
Rozdział XII
Ochrona infrastruktury przed sabotażem
Art. 36.
Zabrania się bezprawnego:
niszczenia infrastruktury teleinformatycznej;
uszkadzania urządzeń;
odcinania zasilania;
ingerowania w sieci teleinformatyczne;
uzyskiwania dostępu do zabezpieczonych obiektów;
zakłócania działania infrastruktury strategicznej.
Czynności, o których mowa w ust. 1, podlegają odpowiedzialności określonej w odrębnych przepisach.
Art. 37.
Jeżeli czyn został popełniony w celu naruszenia bezpieczeństwa, obronności lub suwerenności Republiki, odpowiedzialność sprawcy podlega zaostrzeniu na zasadach określonych w przepisach karnych.
Rozdział XIII
Szczególne zagrożenia dla infrastruktury
Art. 38.
W przypadku wystąpienia masowego cyberataku, sabotażu, wojny, stanu wojennego lub innego poważnego zagrożenia Sekretarz Generalny może wydać dyrektywę o zastosowaniu szczególnych środków ochrony infrastruktury.
Szczególne środki mogą obejmować:
zwiększenie ochrony fizycznej;
ograniczenie dostępu do obiektów;
czasowe przejęcie kontroli nad określoną infrastrukturą;
zmianę sposobu działania sieci;
wykorzystanie infrastruktury rezerwowej;
nakaz współpracy operatorów z organami Państwa.
Art. 39.
Środki nadzwyczajne stosuje się wyłącznie w zakresie niezbędnym do ochrony bezpieczeństwa Republiki oraz zgodnie z Konstytucją i przepisami dotyczącymi stanów nadzwyczajnych.
Rozdział XIV
Współpraca z operatorami i przedsiębiorstwami
Art. 40.
Państwo współpracuje z przedsiębiorstwami teleinformatycznymi w celu zapewnienia bezpieczeństwa infrastruktury.
Operatorzy są obowiązani współpracować z organami Państwa w zakresie określonym ustawą.
Art. 41.
Państwo może udzielać przedsiębiorstwom posiadającym infrastrukturę o znaczeniu strategicznym pomocy w zakresie:
modernizacji zabezpieczeń;
rozwoju infrastruktury zapasowej;
szkolenia personelu;
badań nad bezpieczeństwem;
odtwarzania infrastruktury po awarii.
Zasady finansowania określa Rząd.
Rozdział XV
Personel infrastruktury strategicznej
Art. 42.
Osoby zatrudnione przy obsłudze infrastruktury strategicznej muszą posiadać odpowiednie kwalifikacje.
Osoby mające dostęp do szczególnie chronionej infrastruktury mogą podlegać sprawdzeniu bezpieczeństwa zgodnie z odrębnymi przepisami.
Art. 43.
Operator jest obowiązany zapewnić personelowi szkolenia w zakresie:
bezpieczeństwa teleinformatycznego;
ochrony fizycznej;
reagowania na awarie;
postępowania w sytuacjach kryzysowych;
ochrony informacji;
przeciwdziałania sabotażowi.
Rozdział XVI
Finansowanie
Art. 44.
Ochrona infrastruktury państwowej finansowana jest z budżetu Państwa.
Operatorzy infrastruktury finansują ochronę pozostającej w ich zarządzie infrastruktury w zakresie określonym przepisami prawa.
Rząd może tworzyć fundusze przeznaczone na modernizację infrastruktury strategicznej.
Rozdział XVII
Odpowiedzialność
Art. 45.
Operator, który nie wykonuje obowiązków określonych ustawą, może zostać zobowiązany do usunięcia stwierdzonych nieprawidłowości.
W przypadku rażącego naruszenia obowiązków właściwy organ może nałożyć karę administracyjną określoną w przepisach wykonawczych.
Art. 46.
Jeżeli naruszenie obowiązków powoduje poważne zagrożenie dla bezpieczeństwa Państwa, sprawa może zostać przekazana Prokuraturze Ludowej.
Art. 47.
Pracownik infrastruktury, który umyślnie ujawnia informacje objęte tajemnicą państwową lub wykorzystuje dostęp do infrastruktury w celu wyrządzenia szkody Republice, ponosi odpowiedzialność na zasadach określonych w odrębnych ustawach.
Rozdział XVIII
Przepisy końcowe
Art. 48.
Rada Ministrów wyda przepisy wykonawcze określające w szczególności:
kryteria klasyfikacji infrastruktury;
wymagania techniczne;
zasady tworzenia planów ciągłości działania;
wymagania wobec centrów danych;
zasady ochrony fizycznej;
zasady prowadzenia kontroli;
wymagania wobec operatorów infrastruktury strategicznej.
Art. 49.
Minister właściwy do spraw administracji i teleinformatyki określi, w drodze rozporządzenia, minimalne standardy techniczne ochrony infrastruktury teleinformatycznej.
Art. 50.
Przepisy niniejszej ustawy stosuje się z uwzględnieniem przepisów ustawy o cyberbezpieczeństwie, ustawy o ochronie informacji niejawnych oraz innych ustaw dotyczących bezpieczeństwa Państwa.
Art. 51.
Przepisy dotychczasowe dotyczące ochrony infrastruktury teleinformatycznej zachowują moc w zakresie, w jakim nie są sprzeczne z niniejszą ustawą.
Art. 52.
Ustawa wchodzi w życie z dniem ogłoszenia.
z dnia 8 października 2026 r.
O OCHRONIE INFRASTRUKTURY TELEINFORMATYCZNEJ
W imieniu Drackiej Republiki Ludowo-Demokratycznej
Najwyższy Kongres Ludowy uchwala, co następuje:
Rozdział I
Przepisy ogólne
Art. 1.
Ustawa określa zasady ochrony infrastruktury teleinformatycznej Drackiej Republiki Ludowo-Demokratycznej.
Celem ustawy jest zapewnienie:
nieprzerwanego działania państwowych systemów teleinformatycznych;
bezpieczeństwa sieci i urządzeń teleinformatycznych;
ochrony informacji przetwarzanych przez infrastrukturę państwową;
odporności infrastruktury na awarie, katastrofy, sabotaż, cyberataki i działania wojenne;
ciągłości funkcjonowania organów Państwa;
ochrony suwerenności i bezpieczeństwa Republiki.
Art. 2.
Infrastruktura teleinformatyczna stanowi element bezpieczeństwa Państwa.
Ochrona infrastruktury teleinformatycznej jest obowiązkiem organów Państwa, jednostek gospodarki państwowej i spółdzielczej oraz podmiotów, którym powierzono wykonywanie zadań o znaczeniu publicznym.
Infrastruktura teleinformatyczna o znaczeniu strategicznym podlega szczególnej ochronie Państwa.
Art. 3.
Użyte w ustawie określenia oznaczają:
infrastrukturę teleinformatyczną – urządzenia, sieci, systemy, obiekty i środki techniczne służące do przesyłania, przetwarzania, przechowywania lub ochrony informacji;
infrastrukturę państwową – infrastrukturę teleinformatyczną pozostającą we władaniu Państwa lub wykorzystywaną przez organy Państwa;
infrastrukturę strategiczną – element infrastruktury, którego uszkodzenie, zniszczenie lub niedostępność może zagrozić bezpieczeństwu, suwerenności lub ciągłości działania Republiki;
operatora infrastruktury – podmiot odpowiedzialny za eksploatację, utrzymanie lub bezpieczeństwo określonego elementu infrastruktury;
węzeł teleinformatyczny – urządzenie lub zespół urządzeń zapewniających połączenie, wymianę lub kierowanie ruchu teleinformatycznego;
centrum danych – obiekt przeznaczony do przetwarzania lub przechowywania danych oraz utrzymywania systemów teleinformatycznych;
incydent infrastrukturalny – zdarzenie powodujące lub mogące spowodować zakłócenie działania infrastruktury;
ciągłość działania – zdolność infrastruktury do wykonywania powierzonych jej funkcji w warunkach awarii lub zagrożenia;
odporność infrastruktury – zdolność do zapobiegania zakłóceniom, reagowania na nie oraz odtworzenia prawidłowego działania.
Rozdział II
Krajowy system ochrony infrastruktury teleinformatycznej
Art. 4.
Tworzy się Krajowy System Ochrony Infrastruktury Teleinformatycznej, zwany dalej „Systemem”.
System służy zapewnieniu jednolitej ochrony infrastruktury teleinformatycznej Republiki.
System współdziała z Krajowym Systemem Cyberbezpieczeństwa ustanowionym na podstawie odrębnej ustawy.
Art. 5.
W skład Systemu wchodzą:
Sekretarz Generalny;
Rada Państwowa;
Rząd;
Państwowe Centrum Cyberbezpieczeństwa;
właściwe ministerstwa;
służby bezpieczeństwa Państwa;
organy administracji terenowej;
państwowe i spółdzielcze przedsiębiorstwa teleinformatyczne;
operatorzy infrastruktury strategicznej;
podmioty odpowiedzialne za łączność państwową;
inne podmioty wskazane w przepisach wykonawczych.
Art. 6.
Naczelną odpowiedzialność za ochronę strategicznej infrastruktury teleinformatycznej ponosi Sekretarz Generalny.
Sekretarz Generalny:
określa kierunki polityki Państwa w zakresie ochrony infrastruktury;
wydaje dyrektywy dotyczące ochrony infrastruktury strategicznej;
może nakazać zastosowanie szczególnych środków ochrony;
zatwierdza zasady ochrony infrastruktury o najwyższym znaczeniu dla bezpieczeństwa Republiki.
Art. 7.
Rząd odpowiada za wykonywanie polityki Państwa w zakresie ochrony infrastruktury teleinformatycznej.
Prezes Rady Ministrów koordynuje działalność ministrów i organów administracji w zakresie określonym ustawą.
Minister właściwy do spraw administracji i teleinformatyki sprawuje bieżący nadzór nad realizacją polityki ochrony infrastruktury.
Rozdział III
Klasyfikacja infrastruktury
Art. 8.
Infrastrukturę teleinformatyczną dzieli się na:
państwową;
strategiczną;
krytyczną;
publiczną;
operatorską;
lokalną.
Szczegółowe kryteria klasyfikacji określa Rada Ministrów w drodze rozporządzenia.
Art. 9.
Do infrastruktury strategicznej mogą zostać zaliczone w szczególności:
centralne sieci łączności Państwa;
sieci łączności organów bezpieczeństwa;
sieci wojskowe;
państwowe centra danych;
główne węzły teleinformatyczne;
systemy obsługujące organy centralne;
systemy finansowe Państwa;
systemy zarządzania infrastrukturą energetyczną;
systemy łączności alarmowej;
systemy, których działanie ma znaczenie dla obronności Republiki.
Wykaz infrastruktury strategicznej ustala Rząd po uzgodnieniu z Radą Państwową.
Art. 10.
Infrastruktura strategiczna podlega szczególnym wymaganiom bezpieczeństwa.
Informacje dotyczące lokalizacji, konfiguracji, zabezpieczeń i podatności infrastruktury strategicznej mogą zostać objęte tajemnicą państwową.
Rozdział IV
Obowiązki operatorów infrastruktury
Art. 11.
Operator infrastruktury jest obowiązany zapewnić jej bezpieczne i nieprzerwane funkcjonowanie w zakresie odpowiadającym znaczeniu infrastruktury.
Art. 12.
Operator infrastruktury jest obowiązany:
przeprowadzać ocenę ryzyka;
utrzymywać środki ochrony fizycznej i technicznej;
posiadać plan ciągłości działania;
posiadać plan odtworzenia infrastruktury;
zapewniać zapasowe źródła zasilania;
utrzymywać rezerwowe urządzenia i łącza;
prowadzić monitoring infrastruktury;
wykonywać okresowe testy bezpieczeństwa;
zabezpieczać dostęp do urządzeń;
prowadzić dokumentację techniczną;
niezwłocznie zgłaszać poważne awarie i incydenty;
współpracować z właściwymi organami Państwa.
Art. 13.
Operator infrastruktury strategicznej zapewnia możliwość jej funkcjonowania w przypadku:
utraty podstawowego zasilania;
awarii sieci telekomunikacyjnych;
uszkodzenia urządzeń;
cyberataku;
klęski żywiołowej;
działań sabotażowych;
stanu zagrożenia wojennego lub wojny.
Minimalny czas funkcjonowania awaryjnego określają przepisy wykonawcze.
Art. 14.
Operator nie może bez zgody właściwego organu Państwa wyłączyć infrastruktury strategicznej, jeżeli jej wyłączenie mogłoby zagrozić bezpieczeństwu lub ciągłości działania Republiki.
Rozdział V
Ochrona fizyczna infrastruktury
Art. 15.
Obiekty infrastruktury strategicznej podlegają ochronie fizycznej.
Zakres ochrony obejmuje w szczególności:
kontrolę dostępu;
ochronę wejść i wyjść;
monitoring;
ochronę pomieszczeń technicznych;
ochronę urządzeń zasilających;
ochronę kabli i przewodów;
ochronę przed pożarem, zalaniem i innymi zagrożeniami.
Art. 16.
Dostęp do pomieszczeń infrastruktury strategicznej mogą posiadać wyłącznie osoby upoważnione.
Operator prowadzi ewidencję osób posiadających dostęp do infrastruktury.
Dostęp może zostać ograniczony lub cofnięty w przypadku zagrożenia bezpieczeństwa.
Art. 17.
W przypadku bezpośredniego zagrożenia infrastruktury strategicznej właściwe służby Państwa mogą podjąć działania niezbędne do jej ochrony zgodnie z Konstytucją i ustawami.
Rozdział VI
Bezpieczeństwo techniczne
Art. 18.
Infrastruktura strategiczna musi być projektowana i utrzymywana z uwzględnieniem zasady odporności.
Systemy o znaczeniu strategicznym powinny posiadać, w miarę możliwości:
rozwiązania nadmiarowe;
systemy zapasowe;
alternatywne drogi transmisji;
niezależne źródła zasilania;
możliwość szybkiego odtworzenia;
mechanizmy kontroli dostępu;
mechanizmy rejestrowania zdarzeń.
Art. 19.
Urządzenia wykorzystywane w infrastrukturze strategicznej podlegają kontroli bezpieczeństwa.
Niedopuszczalne jest stosowanie urządzeń lub oprogramowania, jeżeli ich użycie stwarza poważne zagrożenie dla bezpieczeństwa Państwa.
Szczegółowe wymagania techniczne określa właściwy minister w porozumieniu z Państwowym Centrum Cyberbezpieczeństwa.
Art. 20.
Operator infrastruktury jest obowiązany zapewnić możliwość odtworzenia działania systemu po jego uszkodzeniu.
Rozdział VII
Centra danych Państwa
Art. 21.
Państwowe centra danych stanowią element infrastruktury strategicznej.
Centra danych zapewniające działanie centralnych systemów Państwa podlegają szczególnej ochronie.
Art. 22.
Państwowe centrum danych powinno posiadać:
awaryjne źródła energii;
systemy przeciwpożarowe;
systemy chłodzenia awaryjnego;
rezerwowe urządzenia;
kopie zapasowe danych;
zabezpieczenie fizyczne;
systemy kontroli dostępu;
systemy monitorowania;
plan ewakuacji i odtworzenia działania.
Art. 23.
Dane o znaczeniu strategicznym przechowuje się w sposób zapewniający ich dostępność i integralność.
Dane określone jako państwowe mogą być przechowywane poza terytorium Republiki wyłącznie za zgodą właściwego organu Państwa.
Rozdział VIII
Sieci państwowe
Art. 24.
Tworzy się Państwową Sieć Teleinformatyczną, zwaną dalej „PST”.
PST służy do zapewnienia bezpiecznej komunikacji między organami Państwa.
PST może obejmować:
organy centralne;
administrację terenową;
sądy;
organy bezpieczeństwa;
jednostki wojskowe;
inne podmioty wskazane przez Rząd.
Art. 25.
Państwowa Sieć Teleinformatyczna posiada wydzielone segmenty bezpieczeństwa.
Dostęp do poszczególnych segmentów jest przyznawany zgodnie z zakresem obowiązków użytkownika.
Art. 26.
Podłączanie systemu zewnętrznego do Państwowej Sieci Teleinformatycznej wymaga spełnienia wymagań bezpieczeństwa określonych przez właściwy organ.
Rozdział IX
Ciągłość działania i odtwarzanie infrastruktury
Art. 27.
Każdy operator infrastruktury strategicznej sporządza plan ciągłości działania.
Art. 28.
Plan ciągłości działania określa w szczególności:
najważniejsze funkcje infrastruktury;
możliwe zagrożenia;
procedury działania awaryjnego;
osoby odpowiedzialne;
sposoby komunikacji awaryjnej;
procedury odtworzenia;
kolejność przywracania usług;
wykorzystanie infrastruktury zapasowej.
Art. 29.
Plany ciągłości działania podlegają okresowym testom.
Testy mogą być prowadzone w formie:
ćwiczeń;
symulacji;
testów technicznych;
kontroli systemów zapasowych.
Wyniki testów przekazuje się właściwemu organowi nadzoru.
Rozdział X
Incydenty i awarie infrastruktury
Art. 30.
Operator infrastruktury niezwłocznie informuje właściwy organ o incydencie, który:
powoduje przerwę w świadczeniu usług;
może zagrozić bezpieczeństwu Państwa;
dotyczy infrastruktury strategicznej;
może prowadzić do utraty lub uszkodzenia danych;
może mieć wpływ na inne systemy państwowe.
Art. 31.
W przypadku poważnego incydentu Państwowe Centrum Cyberbezpieczeństwa może:
koordynować działania operatora;
zażądać informacji technicznych;
skierować zespół reagowania;
nakazać wykonanie określonych działań zabezpieczających;
przekazać informacje właściwym służbom.
Art. 32.
Operator jest obowiązany prowadzić rejestr awarii, incydentów i działań naprawczych.
Rozdział XI
Nadzór i kontrola
Art. 33.
Nadzór nad ochroną infrastruktury strategicznej sprawuje minister właściwy do spraw administracji i teleinformatyki, z zastrzeżeniem kompetencji innych organów określonych w ustawach.
Art. 34.
Państwowe Centrum Cyberbezpieczeństwa może przeprowadzać kontrole:
zabezpieczeń technicznych;
planów ciągłości działania;
procedur awaryjnych;
systemów monitorowania;
kontroli dostępu;
kopii zapasowych;
zgodności z wymaganiami bezpieczeństwa.
Art. 35.
Operator jest obowiązany umożliwić przeprowadzenie kontroli.
W przypadku stwierdzenia nieprawidłowości organ kontrolny może wydać zalecenia lub nakazać ich usunięcie.
W przypadku bezpośredniego zagrożenia bezpieczeństwa Państwa mogą zostać zastosowane środki nadzwyczajne przewidziane w ustawie.
Rozdział XII
Ochrona infrastruktury przed sabotażem
Art. 36.
Zabrania się bezprawnego:
niszczenia infrastruktury teleinformatycznej;
uszkadzania urządzeń;
odcinania zasilania;
ingerowania w sieci teleinformatyczne;
uzyskiwania dostępu do zabezpieczonych obiektów;
zakłócania działania infrastruktury strategicznej.
Czynności, o których mowa w ust. 1, podlegają odpowiedzialności określonej w odrębnych przepisach.
Art. 37.
Jeżeli czyn został popełniony w celu naruszenia bezpieczeństwa, obronności lub suwerenności Republiki, odpowiedzialność sprawcy podlega zaostrzeniu na zasadach określonych w przepisach karnych.
Rozdział XIII
Szczególne zagrożenia dla infrastruktury
Art. 38.
W przypadku wystąpienia masowego cyberataku, sabotażu, wojny, stanu wojennego lub innego poważnego zagrożenia Sekretarz Generalny może wydać dyrektywę o zastosowaniu szczególnych środków ochrony infrastruktury.
Szczególne środki mogą obejmować:
zwiększenie ochrony fizycznej;
ograniczenie dostępu do obiektów;
czasowe przejęcie kontroli nad określoną infrastrukturą;
zmianę sposobu działania sieci;
wykorzystanie infrastruktury rezerwowej;
nakaz współpracy operatorów z organami Państwa.
Art. 39.
Środki nadzwyczajne stosuje się wyłącznie w zakresie niezbędnym do ochrony bezpieczeństwa Republiki oraz zgodnie z Konstytucją i przepisami dotyczącymi stanów nadzwyczajnych.
Rozdział XIV
Współpraca z operatorami i przedsiębiorstwami
Art. 40.
Państwo współpracuje z przedsiębiorstwami teleinformatycznymi w celu zapewnienia bezpieczeństwa infrastruktury.
Operatorzy są obowiązani współpracować z organami Państwa w zakresie określonym ustawą.
Art. 41.
Państwo może udzielać przedsiębiorstwom posiadającym infrastrukturę o znaczeniu strategicznym pomocy w zakresie:
modernizacji zabezpieczeń;
rozwoju infrastruktury zapasowej;
szkolenia personelu;
badań nad bezpieczeństwem;
odtwarzania infrastruktury po awarii.
Zasady finansowania określa Rząd.
Rozdział XV
Personel infrastruktury strategicznej
Art. 42.
Osoby zatrudnione przy obsłudze infrastruktury strategicznej muszą posiadać odpowiednie kwalifikacje.
Osoby mające dostęp do szczególnie chronionej infrastruktury mogą podlegać sprawdzeniu bezpieczeństwa zgodnie z odrębnymi przepisami.
Art. 43.
Operator jest obowiązany zapewnić personelowi szkolenia w zakresie:
bezpieczeństwa teleinformatycznego;
ochrony fizycznej;
reagowania na awarie;
postępowania w sytuacjach kryzysowych;
ochrony informacji;
przeciwdziałania sabotażowi.
Rozdział XVI
Finansowanie
Art. 44.
Ochrona infrastruktury państwowej finansowana jest z budżetu Państwa.
Operatorzy infrastruktury finansują ochronę pozostającej w ich zarządzie infrastruktury w zakresie określonym przepisami prawa.
Rząd może tworzyć fundusze przeznaczone na modernizację infrastruktury strategicznej.
Rozdział XVII
Odpowiedzialność
Art. 45.
Operator, który nie wykonuje obowiązków określonych ustawą, może zostać zobowiązany do usunięcia stwierdzonych nieprawidłowości.
W przypadku rażącego naruszenia obowiązków właściwy organ może nałożyć karę administracyjną określoną w przepisach wykonawczych.
Art. 46.
Jeżeli naruszenie obowiązków powoduje poważne zagrożenie dla bezpieczeństwa Państwa, sprawa może zostać przekazana Prokuraturze Ludowej.
Art. 47.
Pracownik infrastruktury, który umyślnie ujawnia informacje objęte tajemnicą państwową lub wykorzystuje dostęp do infrastruktury w celu wyrządzenia szkody Republice, ponosi odpowiedzialność na zasadach określonych w odrębnych ustawach.
Rozdział XVIII
Przepisy końcowe
Art. 48.
Rada Ministrów wyda przepisy wykonawcze określające w szczególności:
kryteria klasyfikacji infrastruktury;
wymagania techniczne;
zasady tworzenia planów ciągłości działania;
wymagania wobec centrów danych;
zasady ochrony fizycznej;
zasady prowadzenia kontroli;
wymagania wobec operatorów infrastruktury strategicznej.
Art. 49.
Minister właściwy do spraw administracji i teleinformatyki określi, w drodze rozporządzenia, minimalne standardy techniczne ochrony infrastruktury teleinformatycznej.
Art. 50.
Przepisy niniejszej ustawy stosuje się z uwzględnieniem przepisów ustawy o cyberbezpieczeństwie, ustawy o ochronie informacji niejawnych oraz innych ustaw dotyczących bezpieczeństwa Państwa.
Art. 51.
Przepisy dotychczasowe dotyczące ochrony infrastruktury teleinformatycznej zachowują moc w zakresie, w jakim nie są sprzeczne z niniejszą ustawą.
Art. 52.
Ustawa wchodzi w życie z dniem ogłoszenia.
