Source: http://docplayer.pl/643101-Bezpieczenstwo-infrastruktury-krytycznej-wymiar-teleinformatyczny.html
Timestamp: 2017-10-22 20:47:19+00:00

Document:
Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny - PDF
Download "Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny"
1 Partner Główny Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny Grzegorz Abgarowicz, Ryszard Antkiewicz, Piotr Ciepiela, Michał Dyk, Dominika Dziwisz, Zbigniew Fałek, Piotr Gajek, Rafał Kasprzyk, Włodzimierz Kotłowski, Mirosław Maj, Andrzej Najgebauer, Dariusz Pierzchała, Aleksander Poniewierski, Maciej Pyznar, Mirosław Ryba, Krzysztof Rzecki, Joanna Świątkowska, Zbigniew Tarapata, Agnieszka Wiercińska-Krużewska Partner Merytoryczny
2 Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny Grzegorz Abgarowicz, Ryszard Antkiewicz, Piotr Ciepiela, Michał Dyk, Dominika Dziwisz, Zbigniew Fałek, Piotr Gajek, Rafał Kasprzyk, Włodzimierz Kotłowski, Mirosław Maj, Andrzej Najgebauer, Dariusz Pierzchała, Maciej Pyznar, Aleksander Poniewierski, Mirosław Ryba, Krzysztof Rzecki, Joanna Świątkowska, Zbigniew Tarapata, Agnieszka Wiercińska-Krużewska
3 Jeżeli doceniają Państwo wartość merytoryczną niniejszej publikacji, zachęcamy do finansowego wsparcia przyszłych inicjatyw wydawniczych Instytutu. Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny Maciej Pyznar, Grzegorz Abgarowicz, Agnieszka Wiercińska-Krużewska, Piotr Gajek, Joanna Świątkowska, Dominika Dziwisz, Mirosław Ryba, Aleksander Poniewierski, Włodzimierz Kotłowski, Piotr Ciepiela, Mirosław Maj, Ryszard Antkiewicz, Michał Dyk, Rafał Kasprzyk, Andrzej Najgebauer, Dariusz Pierzchała, Zbigniew Tarapata, Krzysztof Rzecki, Zbigniew Fałek. Redakcja: Joanna Świątkowska Pomoc w edycji: Anna Hojcak Zespół Instytutu Kościuszki pracujący nad czynnikami wpływającymi na bezpieczeństwo oraz nad rekomendacjami przygotowanymi na bazie treści rozdziałów: Joanna Świątkowska, Zbigniew Fałek Projekt i skład graficzny: Małgorzata Kopecka W Rysunkach 7. i 11. użyto ikon z Noun Project: Arrow by Roman J. Sokolov, Skull and Crossbones by Andrew Cameron, Factory by Patrick Trouvé, Key by Márcio Duarte, Settings by Luis Rodrigues, Security by mohit arora, Route by Carlos Valério, Server Security by Roman Kovbasyuk, Laptop by Simple Icons, Analysis by Christopher Holm-Hansen, Network by Matthew Hawdon, Flow Chart by Jhun Capaya, Server by Jaime Carrion, Gears by Hysen Drogu, Computer by Simple Icons, Server by Alf. Instytut Kościuszki Wszystkie prawa zastrzeżone. Krótkie partie tekstu, nieprzekraczające dwóch akapitów mogą być kopiowane w oryginalnej wersji językowej bez wyraźnej zgody, pod warunkiem zaznaczenia źródła. Zamknięcie składu: sierpień 2014 Instytut Kościuszki ul. Lenartowicza 7/ Kraków Spis treści Wprowadzenie...5 część I Rola infrastruktury krytycznej w funkcjonowaniu państwa Prawne uwarunkowania ochrony infrastruktury krytycznej Efektywna współpraca prywatno-publiczna czynniki sukcesu Metodyka zarządzania forami współpracy w zakresie ochrony infrastruktury krytycznej część II Rola elementów teleinformatycznych w funkcjonowaniu infrastruktury krytycznej Zagrożenia dla bezpieczeństwa infrastruktury krytycznej w kontekście zaawansowanego zastosowania rozwiązań teleinformatycznych wyzwania dla państwa Teleinformatyczne elementy ochrony infrastruktury krytycznej Bezpieczeństwo systemów nadzoru przemysłowego Reagowanie na incydenty w obszarze infrastruktury krytycznej Koncepcja rozwoju zdolności w obszarze cyberbezpieczeństwa infrastruktury krytycznej państwa Analiza programu studiów wyższych w zakresie ochrony systemu sieci teleinformatycznych należącego do infrastruktury krytycznej Czynniki wpływające na bezpieczeństwo i rekomendacje Aneks Skróty Autorzy ISBN:
4 Wprowadzenie Joanna Świątkowska, Zbigniew Fałek Instytut Kościuszki Infrastruktura krytyczna (IK) jest kluczowym elementem z punktu widzenia bezpieczeństwa narodowego, stabilności i rozwoju gospodarczego, funkcjonowania społeczeństw oraz pojedynczych obywateli. Choć infrastruktura, mająca szczególne znaczenie dla funkcjonowania człowieka i tworzonych przez niego społeczności, istniała od czasów najdawniejszych, to wraz z rozwojem cywilizacyjnym jej znaczenie stale rosło. Coraz bardziej istotne, przede wszystkim w ostatnich latach, stawało się także zapewnianie jej bezpieczeństwa. Punktem zwrotnym w debacie związanej z ochroną IK były zamachy terrorystyczne z 11 września 2001 r. mające miejsce w Stanach Zjednoczonych, a następnie te z 2004 r. z Londynu i Madrytu. Uświadomiły one, po pierwsze, jak dramatyczne konsekwencje mogą mieć ataki nakierowane na najbardziej newralgiczne infrastruktury; po drugie, jak bardzo poszczególne elementy infrastruktur są współzależne 1, oraz w końcu to, że zagrożeniem dla funkcjonowania państw mogą być nie tylko aktorzy państwowi, ale także podmioty niepaństwowe. W następstwie, poszczególne państwa i organizacje miedzynarodowe (np. Unia Europejska) zintensyfikowały swoje działania, których celem stała się ochrona IK. Współcześnie jednak obserwujemy jeszcze jeden trend, kluczowy z punktu widzenia zapewniania ochrony IK jest nim wzrost roli i wagi cyberbezpieczeństwa jako fundamentu funkcjonowania i bezpieczeństwa IK. To właśnie cyberbezpieczeństwo IK jest głównym tematem niniejszego raportu. Nie wszystkie opinie wyrażone w niniejszej publikacji przez jej autorów odzwierciedlają oficjalne stanowisko programowe Instytutu Kościuszki oraz partnerów publikacji. Stanowią one wkład w debatę publiczną. Tezy zawarte w publikacji odzwierciedlają stanowiska poszczególnych autorów, niekoniecznie stanowiąc opinie pozostałych. O rozwiązaniach teleinformatycznych w kontekście IK możemy mówić na dwa sposoby. Po pierwsze, w Polsce sieci teleinformatyczne to jeden z systemów należących do IK. Po drugie systemy teleinformatyczne są częścią różnych systemów IK wspierając, a często warunkując ich poprawne funkcjonowanie. Rozwiązania teleinformatyczne mogą zatem same w sobie stanowić IK, jak również mogą być częścią innych IK. Co nam zagraża? Wzrastające uzależnienie funkcjonowania IK od rozwiązań teleinformatycznych i zmiany jakie dokonują się w tym środowisku prowadzą do powstania nowych wyzwań dla zapewniania 1 Więcej: B. Hammerli, A. Renda, Protecting Critical Infrastructure in the EU. CEPS Task Force Report, 2010, s
5 bezpieczeństwa. Zagrożeniem mogą być zarówno możliwe usterki techniczne, błędy ludzkie, ale również intencjonalne, wrogie działania prowadzone w cyberprzestrzeni. Z co najmniej kilku powodów to właśnie ten ostatni rodzaj zagrożeń staje się coraz bardziej istotny. Zakłócenie funkcjonowania IK lub doprowadzenie do jej zniszczenia mogą być efektem dokonania ataku na jej teleinformatyczne elementy. Działania w cyberprzestrzeni cechują między innymi relatywnie niskie koszty przygotowania i przeprowadzenia ataku przy jednoczesnym dużym potencjale zadania poważnych strat stronie zaatakowanej. Dodatkowym atutem jest trudność wykrycia sprawcy i udowodnienia mu winy, 2 skutkująca zarówno jego względnym bezpieczeństwem, rozumianym jako możliwość uniknięcia działań odwetowych, ale i szeroko pojętej odpowiedzialności. Potencjalna dotkliwość strat, łatwość dokonania ataku i przerzucenia odpowiedzialności sprawia, że cyberataki skierowane na IK mogą stać się kluczową bronią w rękach państw, ale także podmiotów niepaństwowych. Jak wskazuje The Cyber Index. International Security Trends and Realities, przygotowany pod auspicjami ONZ, gwałtownie wzrasta liczba państw, które oficjalnie w ramach sił zbrojnych tworzą specjalne podmioty dedykowane działaniu w cyberprzestrzeni (także mające zdolności ofensywne) 3. Wszystko to pokazuje, że cyberprzestrzeń może w przyszłości stać się ważnym obszarem prowadzenia konfliktu. Cyberatak przeprowadzony na IK może zdestabilizować działania państwa w sytuacji napięcia politycznego, może stać się także ważnym elementem kampanii wojennej w sytuacji otwartego konfliktu. Przygotowanie do przeprowadzenia potencjalnego ataku może mieć miejsce jeszcze w okresie pokoju. Doniesienia medialne coraz częściej wskazują, że gwałtownie wzrastają masowe działania cyberszpiegowskie, które skierowane są na podmioty z systemów powszechnie zaliczanych do IK 4. Pomimo że w większości działania te są realizowane z pobudek finansowych, dają możliwość uzyskiwania wiedzy i dostępu do systemu, który w przyszłości może być celem ataku. Są także inne metody przygotowujące grunt pod potencjalne ataki. Wystarczy uświadomić sobie, że korzystamy z produktów teleinformatycznych (sprzęt, oprogramowanie itd.) produkowanych na terenach państw z całego świata. Nie trudno jest zatem implementować wrogie elementy, które aktywowane w odpowiednim momencie mogą doprowadzić do uszkodzenia funkcjonowania całego systemu. Współcześnie inne państwa nie są jedynym źródłem zagrożenia. Choć dokonanie przez aktorów niepaństwowych 5 zmasowanego cyberataku na IK, mającego rozległe skutki w skali kraju wydaje się na tę chwilę mało prawdopodobne 6, z punktu widzenia pojedynczych infrastruktur zagrożenie to jest już większe. 2 Problem atrybucji. 3 Center for Strategic and International Studies, Institute for Peace Research and Security Policy, The Cyber Index. International Security Trends and Realities, UNIDIR, 2013, s Przykładowe zestawienie systemów, które obejmuje infrastruktura krytyczna w wybranych państwach znajduje się na przykład w Haemmerli, A. Renda, CEPS Task Force Report. Protecting Critical Infrastructure in the EU, 2010, [dostęp: ]. 5 Pojedynczy napastnicy, cyberterroryści, organizacje przestępcze, ale w tym kontekście nie wspierane przez państwa. 6 Z uwagi na brak zaawansowanej wiedzy koniecznej do dokonania takiego ataku, oraz innych wystarczających szeroko rozumianych zasobów. W końcu, prócz potencjalnych zagrożeń intencjonalnych związanych z użyciem narzędzi cyfrowych, kluczowe pozostaje zapewnianie ochrony przed błędami, awariami technicznymi, ludzkimi czy nawet zagrożeniami o charakterze naturalnym. Cele raportu i jego struktura Dostrzegając fundamentalne znaczenie IK dla bezpieczeństwa państwa Instytut Kościuszki postanowił uczynić jej ochronę przedmiotem niniejszego raportu. Wzrastająca rola i znaczenie cyberbezpieczeństwa IK zdecydowało o tym, że aspekt ten stał się głównym elementem analizy. Naszą ambicją jest, aby niniejszy raport stanowił ważny wkład w toczącą się debatę nad ochroną IK, szczególnie w kontekście wymiaru związanego z cyberbezpieczeństwem. Głównym celem raportu jest dostarczenie podmiotom bezpośrednio odpowiedzialnym za ochronę IK rekomendacji przyczyniających się do zwiększenia poziomu bezpieczeństwa. Rekomendacje zbudowane zostały na podstawie analizy czynników mających wpływ zarówno na ogólnie rozumianą ochronę IK oraz na bezpieczeństwo teleinformatyczne IK. Czynniki wyselekcjonowane zostały z poszczególnych rozdziałów raportu i stanowią ich najważniejsze elementy. Struktura raportu odzwierciedla wyżej zarysowany cel i zadania postawione przed autorami. Raport podzielony został na dwie części. Pierwsza zawiera ogólne, systemowe rozważania związane z IK i zapewnianiem jej bezpieczeństwa. W sposób szczególny podkreślona została tematyka identyfikacji IK (co jest warunkiem bazowym skutecznej jej ochrony), prawnych aspektów związanych z bezpieczeństwem IK oraz współpracy prywatno-publicznej. Ta część raportu stanowi zatem materiał skierowany głównie do decydentów i podmiotów całościowo odpowiedzialnych za bezpieczeństwo państwa. Część druga poświęcona została stricte wymiarowi teleinformatycznemu. Wskazane zostały najbardziej newralgiczne czynniki związane z cyberbezpieczeństwem IK oraz jednocześnie dobre praktyki i kierunki działań pozwalające prowadzić bardziej efektywne działania. Znaczna część rekomendacji zawiera propozycje zmian systemowych, część zaś zostało skierowanych 7 do właścicieli i operatorów IK i z uwagi na to, mają one charakter bardziej szczegółowy. Część pierwszą otwiera rozdział przygotowany przez Macieja Pyznara i Grzegorza Abgarowicza z Rządowego Centrum Bezpieczeństwa. Nie tylko wprowadza on czytelnika w najważniejsze informacje związane z tym czym jest IK, ale także pokazuje najważniejsze, wybrane elementy systemu ochrony IK na poziomie państwa. Najważniejszym element rozdziału stanowią rozważania na temat procesu identyfikacji IK. Rozdział drugi, który został przygotowany przez kancelarię prawniczą Wierciński-Kwieciński- Baher stanowi analizę uwarunkowań prawnych IK zarówno na poziomie krajowym, jak i międzynarodowym. W sposób szczególny analizie poddane zostały elementy finansowania działań z zakresu ochrony IK, problematyka zamówień publicznych oraz elementy budowania współpracy prywatno-publicznej. 7 Lub bezpośrednio ich dotyczy. 6 Joanna Świątkowska, Zbigniew Fałek Wprowadzenie 7
6 Rozdziały trzeci i czwarty części pierwszej, opracowane przez ekspertów Instytutu Kościuszki: Joannę Świątkowską i Dominikę Dziwisz, należy traktować komplementarnie. Oba poświęcone są problematyce współpracy prywatno publicznej i czynnikom wpływającym na jej efektywność. Współcześnie większość IK znajduje się w rękach prywatnych lub jest przez sektor prywatny obsługiwana. Ponieważ efektywna współpraca na linii państwo właściciel lub operator IK jest warunkiem podstawowym skutecznej ochrony, problematyka ta stanowi ważny element pierwszej części raportu. Część drugą raportu rozpoczyna rozdział autorstwa Mirosława Ryby z firmy EY, pokazujący jaką rolę z punktu widzenia funkcjonowania i bezpieczeństwa IK odgrywają rozwiązania teleinformatyczne. Szczególnie uwzględnione zostało zastosowanie systemów informatycznych (IT) oraz systemów sterowania przemysłowego (OT). Rozdział drugi, także przygotowany przez eksperta z firmy EY Aleksandra Poniewierskiego, opisuje główne zmiany jakie dokonały się w obszarze funkcjonowania rozwiązań teleinformatycznych stosowanych w IK. Zmiany te dokonały się na poziomie ekonomicznym, technologicznym i organizacyjnym w sposób ścisły przekładają się na wyzwania związane z zapewnieniem bezpieczeństwa IK. Ich zrozumienie i uświadomienie jest konieczne, aby podejmować skuteczne działania. Rozdział trzeci, napisany przez Włodzimierza Kotłowskiego z firmy MATIC, pokazuje w jaki sposób rozwiązania teleinformatyczne znajdują zastosowanie w efektywnej ochronie IK. Rozdział czwarty, którego autorem jest Piotr Ciepiela z firmy EY, poświęcony jest bezpieczeństwu OT newralgicznemu elementowi całego cyberbezpieczeństwa IK. Rozdział przedstawia nie tylko najważniejsze standardy związane z bezpieczeństwem OT (w mniejszym stopniu także IT), ale również wskazuje inne rozwiązania zapewniające i zwiększające bezpieczeństwo. Poniżej (patrz rysunek 1) przedstawiony został schemat procesu zawierający najważniejsze elementy związane z zapewnianiem bezpieczeństwa IK. Raport dotyka większości zaproponowanych elementów, jednak nie aspiruje on do bycia materiałem całkowicie wyczerpującym problematykę bezpieczeństwa IK. Jest to wynikiem przede wszystkim wynikiem rozległości tematyki związanej tak z IK w ogóle, jak i z wymiarem teleinformatycznym jej funkcjonowania. Analiza czynników wpływających na bezpieczeństwo IK nie tylko pozwoliła przygotować zestaw podstawowych rekomendacji zawartych w raporcie, ale pokazała także elementy, które muszą stać się przedmiotem dalszych analiz. Mając świadomość braku wielu istotnych kwestii, które nie sposób było zawrzeć w jednym dokumencie, mamy nadzieję kontynuować pracę i rozwijać badania. W końcu, z uwagi na fakt, że całość raportu przygotowana została w oparciu o jawne, ogólnodostępne źródła, czytelnik winien mieć świadomość, że nie dotyka on w pełni wszystkich informacji, które mogą mieć znaczenie z punktu widzenia bezpieczeństwa IK i może pomijać niektóre specyficzne dla danych zasobów czynniki. Rysunek 1. Proces zapewniania bezpieczeństwa infrastruktury krytycznej najważniejsze elementy. Źródło: Opracowanie własne. Przekazywanie jednoznacznych i ukierunkowanych komunikatów, które określają określone postawy wszystkich interesariuszy IK Analiza IK w zakresie jej poszczególnych elementów Ustalenie głównego celu strategicznego oraz zakresu ochrony IK Cyberbezpieczeństwo IK wymaga także dobrze zorganizowanego procesu reagowania na incydenty. W rozdziale piątym, opracowanym przez Mirosława Maja Prezesa Fundacji Bezpieczna Cyberprzestrzeń, przedstawione zostały dobre praktyki związane z tym wymiarem, a także krótka analiza incydentów, jakie zagrażają bezpieczeństwu teleinformatycznemu IK. W rozdziale szóstym zaprezentowano autorską koncepcję pakietu narzędzi informatycznych zwiększających efektywność wykrywania, przeciwdziałania i neutralizacji skutków cyberzagrożeń przygotowaną przez Zespół pod kierownictwem profesora Najgebauera z Wojskowej Akademii Technicznej. Prezentowana koncepcja może mieć szerokie zastosowania wykraczające poza obszar stricte wojskowy, a obejmujący np. zarządzanie kryzysowe na różnych szczeblach administracji państwowej i samorządowej. Określenie zakresu zbierania informacji odnoszących się do występujących zdarzeń Stworzenie, zarówno w skali całej IK jak i poszczególnych jej elementów, polityk i procedur w celu efektywnej realizacji reakcji na ryzyko (w szczególności w zakresie podziału odpowiedzialności i sprawowanych ról przez poszczególnych operatorów IK) Przypisanie koniecznej reakcji na ryzyko do określonych operatorów IK (unikanie, ograniczanie, dzielenie się i akceptacja określonych zdarzeń) Wyprowadzenie właściwych celów strategicznych (wspierających) Określenie, zarówno w skali całej IK jak i poszczególnych jej elementów, krytycznych warunków sukcesu, które muszą zostać zrealizowane, aby osiągnąć założone cele ochrony IK Ukazanie powiązań i spójności pomiędzy celem głównym, celami wspierającymi i krytycznymi czynnikami sukcesu (mapa bezpieczeństwa IK) Ostatni rozdział przygotowany przez Krzysztofa Rzeckiego z Politechniki Krakowskiej zawiera analizę programu studiów wyższych w zakresie ochrony systemu sieci teleinformatyczne należącego do IK. Raport zamykają rekomendacje. Ocena ryzyka poprzez określenie prawdopodobieństwa i wysokości skutków zidentyfikowanych zdarzeń Stworzenie katalogu zagrożeń (identyfikacja zdarzeń) Ustalenie kryteriów pomiaru wyników podejmowanych działań na podstawie krytycznych warunków sukcesu 8 Joanna Świątkowska, Zbigniew Fałek Wprowadzenie 9
7 część I 1. Rola infrastruktury krytycznej w funkcjonowaniu państwa Maciej Pyznar, Grzegorz Abgarowicz Rządowe Centrum Bezpieczeństwa Rozwój infrastruktury i wzrost jej znaczenia Rozwój technologiczny determinowany jest potrzebami człowieka. Proces oswajania natury poprzez ingerencję techniczną w otoczenie towarzyszył człowiekowi niemalże od samego początku. Rozwój rolnictwa wynikał z potrzeby zapewnienia pożywienia, rozwój przemysłu miał ułatwić człowiekowi egzystencję, zaś rozwój medycyny był odpowiedzią na zagrożenia życia. To właśnie człowieczeństwo determinuje chęć oraz potrzebę kreacji środowiska i jego ciągłej modyfikacji. W Książeczce o człowieku Roman Ingarden pisze: ludźmi jesteśmy przez to, że żyjemy w pewnym sensie ponad stan, że ponad wszystko co jest nam potrzebne do utrzymania naszego fizjologicznego życia ( ) stwarzamy pewne rzeczy, luksus dla życia fizjologicznego stanowiące ( ). Jesteśmy ludźmi przez to, że przerastamy warunki biologiczne, w jakich znaleźliśmy się, i że na ich podłożu budujemy nowy, odmienny świat 1. Skutkiem aktywności człowieka, na ingardenowski dualizm: człowiek natura zostaje nałożona warstwa nie tylko kultury, ale także technologii czy rozwiązań społecznych. Owymi rzeczami są zarówno państwo jak i infrastruktura. Ponieważ koncepcje społeczne czy kulturowe są niejako wpisane w człowieczeństwo i przez nie redukowane, ów dualizm przekształca się w triadę: człowiek natura technologia. Człowiek przywykł do obecności infrastruktury w jego życiu i zdaje się nie zauważać, że dostęp do niej stał się powszechnie udziałem ludzkości całkiem niedawno. Początkiem takiego stanu rzeczy była rewolucja przemysłowa i technologiczna przełomu XIX i XX w. Rewolucja ta zapoczątkowała zmiany w całej strukturze społecznej, które były determinowane przede wszystkim poprzez rozbudowę miast. Wraz ze zwiększaniem się populacji ludności w miastach, gwałtownie zaczęły rosnąć potrzeby ludzi w nich zamieszkujących. Potrzeby te wypływały nie tylko z chęci zaspokojenia indywidualnych potrzeb mieszkańców, ale również z potrzeb zbiorowych populacji np. ochrony przed przestępczością czy chorobami, wzajemnej komunikacji czy transportu. W Polsce, choć obarczonej bagażem negatywnych doświadczeń historycznych, rozwój ten przebiegał podobnie jak w innych krajach. Dla zobrazowania fenomenu rozwoju technologicznego warto prześledzić ewolucje chociażby niektórych jego elementów. 1 R. Ingarden, Książeczka o człowieku, Wydawnictwo Literackie Kraków, Kraków 1987, s
8 W 1929 r. w Polsce czynnych było 57 elektrowni o mocy powyżej 5 MW i łącznej mocy 636 MW 2. Ich łączna produkcja wynosiła 2355 GWh. Na dzień 30 września 2013 r. moc zainstalowana ogółem w polskich elektrowniach wynosiła 38490,1 MW 3, a produkcja energii elektrycznej w roku 2011 wyniosła GWh 4 prawie 70 razy więcej. Analizując te dane należy pamiętać, że przed II wojną światową elektrownie nie stanowiły połączonego systemu, gdyż nie powstała jeszcze ogólnopolska sieć elektroenergetyczna 5. Systemy elektroenergetyczne w ich obecnym kształcie rozwinęły się dopiero po II wojnie światowej, czyli zaledwie 70 lat temu. Na początku XIX w. szklanka zwykłej wody mogła ugasić pragnienie lub zabić. Bezpieczna woda pitna, którą obecnie traktuje się jako oczywisty element życia, nie była powszechnie dostępna, a śmiertelne choroby przenoszone przez wodę, takie jak cholera, dur brzuszny czy dyzenteria, były stałym i realnym zagrożeniem 6. Pierwsza oczyszczona woda popłynęła do mieszkańców Warszawy 3 lipca 1886 r. W 2012 r. w kraju mieliśmy przedsiębiorstw wodociągowo-kanalizacyjnych zaopatrujących w wodę ponad 37 mln ludności 7. W 1927 r. firma Robert Bosch Gmbh wprowadziła do produkcji układ wtryskowy do silnika wysokoprężnego 8 (skonstruowanego przez Rudolfa Diesel a w 1893 r.), co umożliwiło jego szerokie zastosowanie w motoryzacji i transporcie samochodowym. W tymże samym 1927 r. w Polsce było zaledwie km bitych dróg 9, po których mogły się poruszać ciężarówki napędzane takim silnikiem. W 2011 r. w Polsce mieliśmy już km dróg o utwardzonej powierzchni 10, którymi w 2012 r. przewieziono mln ton towarów 11. Od 1927 do 2012 r. długość linii kolejowych wzrosła z km do km 12. Można byłoby wskazać, że to tylko km więcej. Niemniej, trzeba jednak wziąć pod uwagę, że ponad połowa z tych linii jest zelektryfikowana 13, a koleją w 2012 przewieziono ponad 230 mln ton towarów (w 1927 r. 73,7 mln ton 14 ). 2 Mały rocznik statystyczny 1930, tabl. 5, Elektrownie w Polsce, s. 33, media/4u9mmalmhkn1env6ktghpge9hdufm8.pdf, [dostęp: ]. Największe elektrownie zawodowe około 1938 r. to: El. Powiśle 83 MW, El. Pruszków 31.5 MW, Łaziska 105 MW, Będzin 23.5 MW, Zabrze 70.3 MW, Szombierki 51.2 MW, Łódź 101 MW, Garbary w Poznaniu 42 MW, Historia polskiej elektryki, [dostęp: ]. Dla porównania moc elektryczna zainstalowana w elektrowni Bełchatów wynosi 5298 MW. 3 CIRE.pl, [dostęp: ]. 4 Ibidem. 5 Historia polskiej energetyki, [dostęp ]. 6 Greatest Engineering Achievements of the 20th Century, [dostęp ]. Dla unaocznienia jak młodym osiągnięciem jest dostarczanie czystej wody proponujmy prześledzić dokonania ludzkości na przedstawionej na przywołanej stronie osi czasu. 7 Główny Inspektorat Sanitarny, Stan sanitarny kraju w 2012 r., tabl. 22. Struktura przedsiębiorstw wodociągowo-kanalizacyjnych w 2012 r., s. 76. Ciekawie wygląda natomiast sytuacja w przypadku odprowadzania i oczyszczania ścieków. Jak podaje Mały rocznik statystyczny Polski 2013 (s. 49) w 2012 r. oczyszczalnie ścieków obsługiwały tylko 69% ludności kraju (w miastach 92%, na wsi, gdzie mieszka ok. 39% ludności kraju, jedynie 33%). 8 F. DeLuca, History of fuel injection, [dostęp: ]. 9 Mały rocznik statystyczny 1930 r., tabl. 8, Drogi Bite w Polsce w latach , s Mały rocznik statystyczny Polski 2013, tabl. 1 (237), Sieć Komunikacyjna, s Ibidem. 12 Mały rocznik statystyczny Polski 2013, tabl. 1 (237), Sieć Komunikacyjna, s. 379 oraz Mały rocznik statystyczny 1930 r., tabl. 1, Długość linii i tabor w latach , s Mały rocznik statystyczny Polski 2013, tabl. 1 (237), Sieć Komunikacyjna, s Pamiętać należy również o tym, że elektryfikacja linii kolejowych w Polsce nastąpiła dopiero po II wojnie światowej. 14 Mały rocznik statystyczny 1930 r., tabl. 3, Przewóz pasażerów i towarów w latach , s. 52. W 1928 r. w Polsce było 126 tys. abonentów telefonicznych, którzy ogółem wykonali 672 mln rozmów 15. W całej Polsce w 1929 r. było 157 tys. aparatów telefonicznych 16, co oznacza, że aparatem telefonicznym dysponowało wtedy zaledwie około 0,5% populacji 17. W 2012 r. z usług telefonii stacjonarnej korzystało blisko 7,4 mln abonentów (blisko 20% populacji 18 ), a łączny wolumen ruchu osiągnął poziom 13 mld minut 19. Oczywiście w przedwojennej Polsce, jak i w całym ówczesnym świecie, nie znano jeszcze wynalazku telefonii mobilnej. W 2012 r. w Polsce operatorzy mieli zarejestrowanych w swoich bazach łącznie ponad 53,9 mln kart SIM 20 (140% procent populacji), natomiast całkowity czas połączeń głosowych wychodzących w 2012 r. to ponad 69 mld minut 21. O nowym medium łączności, jakim jest Internet, nie słyszano na świecie jeszcze na początku drugiej połowy XX w., a dziś w Polsce mamy ponad 11,6 mln abonentów usług dostępu do Internetu 22 (co odpowiada nasyceniu usługami Internetu w przeliczeniu na gospodarstwo domowe na poziomie 83,5% 23 ). Nie można również zapomnieć o usługach, które narodziły się wraz z Internetem np. VoIP (VoIP ang. Voice over IP). W 2012 r. z usługi tej skorzystało (odpłatnie) łącznie ponad 1,1 mln użytkowników 24. Analizując, na przykładzie Polski, ilościowy i jakościowy rozwój infrastruktury należy jeszcze zwrócić uwagę na dwa determinanty. Po pierwsze, w większości przypadków infrastruktura dostarczająca nam usługi jest od nas, w sensie geograficznym, oddalona 25. Jej właścicielami są specjalnie do tego celu utworzone przedsiębiorstwa, a odbiorca usługi ma znikomy wpływ na jej pracę. Na taki stan rzeczy wpływ miały przynajmniej trzy czynniki: brak odpowiednich technologii do zastosowań jednostkowych w przeszłości nie dysponowano technologiami umożliwiającymi pojedynczym gospodarstwom domowym na uniezależnienie się od infrastruktury (oczywiście nie można brać pod uwagę sytuacji, gdy, np. na terenach wiejskich, człowiek w ogóle nie korzystał z infrastruktury), a finansowanie rozwoju technologicznego było poza zasięgiem przeciętnego obywatela. Współcześnie, sytuacja ta ulega zmianie i coraz częściej dysponujemy taką technologią, np. ogniwa fotowoltaiczne generujące prąd, przydomowe oczyszczalnie ścieków, filtry jonowe do uzdatniania wody itp.; 15 Ibidem, tabl. 24, Telefony w Polsce w latach , s Ibidem, tabl. 27, Stan liczbowy telefonów w niektórych państwach w 1929 r., s Populacja Polski na dzień 1 stycznia 1930 r. wynosiła 30,7 mln. Mały rocznik statystyczny 1930 r., tabl. 6, Ludność Polski w latach 1921 i 1930, s Populacja Polski na 31 marca 2011 r. wynosiła tys. Mały rocznik statystyczny Polski 2013, tabl. 1 (62), Ludność na podstawie spisów, s Raport o stanie rynku telekomunikacyjnego w Polsce w 2012 roku, Prezes Urzędu Komunikacji Elektronicznej, Warszawa, czerwiec 2013, s. 48 i Ibidem, s Ibidem, s Ibidem, s Ibidem, s Ibidem, s Dla przykładu w Polsce jest zaledwie 20 elektrowni zawodowych, w których jest zainstalowanych ponad 80% mocy, Elektrownie w Polsce, oraz Podstawowe dane, rynek-energii-elektrycznej.cire.pl/st,33,207,tr,75,0,0,0,0,0,podstawowe-dane.html [dostęp ]. 12 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 13
9 koszty rozwoju technologicznego budowa i utrzymanie infrastruktury jest kosztowne, dlatego też jej finansowanie przejmowało na siebie państwo, lokalne władze lub prywatni inwestorzy. Tylko te podmioty były w stanie ponieść koszty inwestycji w elektrownie, oczyszczalnie ścieków czy drogi; potrzeba zapewnienia dostępu do infrastruktury dużej ilości konsumentów jedynym dostępnym w przeszłości sposobem zaspokojenia tej potrzeby była budowa scentralizowanej infrastruktury. Wynika to z faktu, iż dzięki owej centralizacji, pomimo dużych kosztów wybudowania i utrzymania infrastruktury, opłaty za dostęp do dostarczanych przez nią usług są relatywnie niskie i w związku z tym mogą być szeroko dostępne. Po drugie, proces uniezależniania się człowieka od natury i nieprzewidywalnych konsekwencji jej działania poprzez rozwój technologiczny, będący wyrazem poszerzania niezależności człowieka oraz realizacji jego potrzeb, paradoksalnie wprowadził nowe zagrożenie zależność od-technologiczną. Niemniej, bardziej lub mniej potencjalny brak dostępu do usług nie stanowi jedynej konsekwencji aktywności człowieka w tym obszarze. Sam fakt istnienia owej infrastruktury niesie ze sobą kolejne zagrożenia. Ze względu na zjawisko dyfuzji innowacyjności 26 zagrożenia te stają się jednymi z podstawowych zagrożeń dla współczesnego świata, tym bardziej, że procesu przyswajania nowinek technologicznych nie można już liczyć w dziesiątkach lat, ale w miesiącach. Tempo, w jakim zmienia się rzeczywistość poprzez pojawiające się nowe technologie, prowadzi do niemożności przygotowania się człowieka na ich konsekwencje. Taki stan jest pochodną nie tylko szybkości samych zmian, ale i nieprzewidywalności ich skutków. Rozwój technologiczny będący skutkiem poszukiwania coraz to nowszych środków zaspokajania potrzeb wykreował nie tylko nowe, nieznane dotąd zagrożenia, ale i nowe, wtórne w stosunku do pierwotnych, potrzeby. Ta swoista spirala rozwoju stała się dziś zjawiskiem tak naturalnym, że trudno wyobrazić sobie funkcjonowanie człowieka w oderwaniu od infrastruktury, a także dobrodziejstw i zagrożeń, które niesie ona ze sobą. W konsekwencji to państwo musi wziąć na siebie odpowiedzialność, nie tyle za samo funkcjonowanie infrastruktury, ile za ciągłość dostaw oferowanych przez nią usług oraz skutki zagrożeń, które niesie dla zdrowia i życia ludzkiego czy środowiska naturalnego. Współczesne państwo realizując swoje podstawowe funkcje koncentruje się na tych kwestiach. Z sześciu obszarów wewnętrznej aktywności państwa połowa funkcji odwołuje się bezpośrednio do problematyki bezpieczeństwa i jest ściśle powiązana z infrastrukturą. Elementami tymi są: zapewnienie porządku i bezpieczeństwa publicznego, ochrona mienia i zdrowia obywateli, działania na rzecz zapewnienia zewnętrznego bezpieczeństwa państwa. Realizacja pozostałych tj. zabezpieczenie występującego w państwie systemu własności, utrzymywanie i rozwijanie stosunków z innymi państwami, czy działania sprzyjające przepływowi informacji oraz kontaktom międzyludzkim 27, jest pośrednio zależna od infrastruktury technicznej oraz stworzonego i gwarantowanego przez państwo systemu prawnego. Można więc wskazać, że funkcjonowanie społeczeństwa i państwa jest zależne od infrastruktury, a stopień jej rozwoju wpływa na skuteczność i efektywność realizowanych przez to państwo zadań. W konsekwencji rozwój technologiczny tworzy system współzależności i wzajemnego oddziaływania pomiędzy państwem a infrastrukturą. 26 Szerzej: A. Pomykalski, Innowacje, Wydawnictwo Politechniki Łódzkiej, Łódź J. Oniszczuk, Współczesne państwo w teorii i praktyce. Wybrane elementy, Warszawa: Oficyna Wydawnicza SGH, Warszawa 2008, s Z jednej strony państwo działając na rzecz bezpieczeństwa i porządku publicznego musi zabezpieczyć się przez zagrożeniami stwarzanymi przez tę infrastrukturę, a samo chcąc realizować swoje funkcje, będące od infrastruktury zależne, chronić ją. Z drugiej zaś, rozległe i rozbudowane systemy infrastruktury dążąc do zapewnienia ciągłości świadczonych przez siebie usług cedują część swojej odpowiedzialności za ich dostarczanie na państwo. Obecnie trudno jest podważyć tezę, że możliwość sprawowania przez państwo swoich zadań (wszystkich jego funkcji) jest ściśle zależna nie tylko od poziomu rozwoju technologicznego, ale i jakości usług świadczonych przez poszczególne sektory infrastruktury. Świadomość tych zależności i ich konsekwencji doprowadziła do wyodrębnienia z całego systemu infrastruktury jej newralgicznych elementów infrastruktury krytycznej (IK). Stąd taki nacisk kładzie się od kilkudziesięciu lat na stworzenie systemów służących ochronie tej infrastruktury. Czym jest infrastruktura krytyczna i proces jej identyfikacji Odnosząc się do kwestii roli, jaką IK pełni w stosunku do państwa, postrzegając przy tym państwo jako byt społeczny będący gwarantem bezpieczeństwa jego członków (obywateli), nie można nie odwołać się do pojęcia potrzeb. Jednym z czynników decydującym o wskazaniu infrastruktury jako kluczowego elementu systemu państwa jest uznanie jej za podstawowy instrument odpowiedzialny za dostarczanie usług zaspokajających potrzeby zarówno tegoż państwa jak i jego obywateli. W literaturze możemy znaleźć przynajmniej kilka klasyfikacji potrzeb. Abraham Maslow wskazał na 5 grup potrzeb (fizjologiczne, bezpieczeństwa, miłości i przynależności, szacunku i uznania oraz samorealizacji), dokonując jednocześnie ich hierarchizacji 28. Erik Allardt podzielił potrzeby ludzkie na trzy sfery: związane z posiadaniem (ang. having), ze stanami uczuciowymi (ang. loving) oraz z poczuciem istnienia (ang. being) 29. Andrzej Luszniewicz wyróżnił z kolei 7 grup potrzeb materialnych i kulturalnych: wyżywienie, osłona (mieszkanie, odzież, obuwie), ochrona zdrowia, wykształcenie, rekreacja (czas wolny i jego wykorzystanie), zabezpieczenie społeczne i zagospodarowanie materialne 30. W badaniach przeprowadzonych pod kierunkiem Aleksandra Zeliasia wykorzystano natomiast taksonomię 9 grup potrzeb, w tym: ochrony zdrowia i opieki socjalnej, funkcjonowania rynku pracy oraz stworzenia warunków bezpiecznego wykonywania pracy, adekwatnego wynagrodzenia i dochodów, odpowiednich warunków mieszkaniowych, a także bezpieczeństwa publicznego. Ponadto wskazano potrzeby oświaty i edukacji, rekreacji, kultury i zorganizowania czasu wolnego, komunikacji i łączności oraz ochrony przed skutkami degradacji środowiska naturalnego 31. Przegląd powyższych klasyfikacji pozwala na konkluzję, że usługi dostarczane przez infrastrukturę są w stanie zaspokoić niemalże każdą z potrzeb, potwierdzając rolę IK. Perspektywa ta nie 28 M. Panek, Podstawowe kategorie i klasyfikacje w badaniach poziomu i jakości życia, struktura/zss/zaklad/sklad/documents/statystyka_tomasz_panek/statystyka_spoleczna/podstawowe_kategorie_i_klasyfikacje_w_ badaniu_poziomu_ijakosci_zycia.doc, [dostęp: ]. 29 Ibidem. 30 M. Dąbrowa, Badanie poziomu życia metodologia konstrukcji wybranych wskaźników zeszyty naukowe MWSE w Tarnowie 2011, nr 1(17), [dostęp: ]. 31 Ibidem. 14 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 15
10 zapewnia jednak wskazania jej krytyczności. W związku z powyższym warte jest rozważenia inne podejście definiowane poprzez wyodrębnienie wartości podstawowych, do których niewątpliwie zaliczyć należy życie ludzkie. Zasadniczo może ono zostać zagrożona z sześciu powodów (6WTD ang. 6 ways to die) 32 : przegrzania (zbyt gorąco), wychłodzenia (zbyt zimno), głodu, pragnienia, chorób oraz urazów. W tym ujęciu podstawową rolą IK jest ochrona życia i zdrowia obywateli przed 6WTD. Zgodnie z tym modelem infrastrukturę można pogrupować na 33 : 1. zapewniającą schronienie i skuteczne funkcjonowanie tego schronienia, pod którą rozumie się najczęściej np.: ciepłownie, elektrownie; 2. towarzyszącą łańcuchowi dostaw, pod którą rozumie się infrastrukturę zabezpieczającą ten proces np.: infrastruktura drogowa, wodociągowa, rafinerie; 3. zapewniającą dostęp do podstawowych usług z zakresu bezpieczeństwa, pod którą rozumie się infrastrukturę pozwalającą dostarczyć usługi np.: centrale telefoniczne, elektrownie, rafinerie, bazy danych. Należy zwrócić także uwagę, że ochrona przed 6WTD występuje na wielu poziomach, co najlepiej ilustruje poniższy rysunek: Rysunek 2. Mapa infrastruktury krytycznej i jej poziomów. Źródło: M. Bennett, V. Gupta, Dealing in Security understanding vital services and how they keep you safe. Choroba Pragnienie oczyszczalnia ścieków zakład wodociągowy szpital toaleta woda z kranu zapasy żywności sklepy spożywcze rynek spożywczy Uraz świat kraj region miasto wieś dom osoba człowiek Głód 32 M. Bennett, V. Gupta, Dealing in Security understanding vital services and how they keep you safe in_security.july2010.en.pdf. Więcej o pracach i projektach w których uczestniczy Vinay Gupta można przeczytać na stronie howtolivewiki.com/blog/about, [dostęp: ]. 33 Ibidem. wojsko policja gotowanie klimatyzacja dom ogrzewanie rynek paliwowy elektrownie rynek energetyczny Przegrzanie (zbyt gorąco) Wychłodzenie (zbyt zimno) Patrząc na przedstawioną powyżej mapę można zauważyć, że nie obejmuje ona swoim zasięgiem IK, która nie łączy się bezpośrednio z ochroną przed 6WTD. Dlatego, aby otrzymać kompletną mapę infrastruktury istotnej dla państwa celowe wydaje się uzupełnienie koncepcji 6WTD o infrastrukturę niezbędną do realizacji podstawowych funkcji państwa wskazanych wcześniej. Nakreślenie wzajemnych relacji pomiędzy IK a społeczeństwem i państwem pozwala na podjęcie próby zdefiniowania tego, czym jest sama IK. W Polsce pod tym pojęciem rozumie się systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców 34. Porównując wskazaną definicję z definicjami IK stosowanymi w innych krajach można stwierdzić, że są one zbliżone. W większości przypadków, podobnie jak w Polsce, przez IK rozumie się infrastrukturę (wskazując przy tym np.: obiekty, usługi, systemy, sieci), której zniszczenie lub zakłócenie funkcjonowania miałoby poważne skutki dla obywateli i państwa (skutki te wskazywane są w różnych kategoriach np.: kluczowe funkcje społeczne, ekonomiczny dobrostan obywateli, bezpieczeństwo narodowe czy realizacja funkcji państwa) 35. Zaletą zdefiniowania IK (poza nadaniem wspólnego znaczenia temu terminowi) jest również możliwość zawarcia w definicji narodowych celów i priorytetów działania 36. Cécilia Gallais i Eric Filiol w swojej pracy Critical Infrastructure: Where we Stand Today? 37 wskazują na dwa brakujące elementy w definicjach IK, a mianowicie: pominięcie aspektu ludzkiego oraz brak odniesienia do politycznego i społecznego otoczenia IK. Zdaniem autorów żadna z definicji nie wspomina o ludziach jako jej części IK, choć są oni niezbędni do funkcjonowania każdej infrastruktury bez względu czy uznaje się jej krytyczność czy też nie. Żadna z nich nie uwzględnia również otoczenia IK jakim jest m.in. zależność od zewnętrznych podmiotów (podwykonawców, dostawców, centrów danych itp.). Autorzy jako konsekwencję tej sytuacji wskazują bardzo wąskie postrzeganie IK jako całkowicie wyizolowanej struktury. W celu usunięcia przedstawionych braków Gallais i Filiol proponują własną, szeroką definicję. Ich zdaniem IK mogą być przedsiębiorstwa, instytucje lub organizacje z poziomu regionalnego, krajowego lub międzynarodowego, których zakłócenie działania, uszkodzenie lub zniszczenie miałoby poważny wpływ na zdrowie, bezpieczeństwo lub dobrobyt gospodarczy obywateli lub efektywne funkcjonowanie rządów i innej zależnej od niej infrastruktury. Zawiera ona w sobie ludzi, których skorumpowanie, wykluczenie lub śmierć może prowadzić do zakłócenia jej działania. Ponadto obejmuje: instalacje (dostęp, budynki, teren itp.), wyposażenie (komputer, drukarka, dysk twardy itp.), zasoby, zarówno fizyczne jak i naturalne, sieci fizyczne (elektryczna, wodociągowa itp.) i wirtualne (Intranet, Internet itp.), 34 Art. 3 pkt 2 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2013 poz. 1166). Lista systemów infrastruktury krytycznej, która w przypadku Polski stanowi integralną część definicji, została pominięta celowo. 35 Szerzej: Raport OECD: Protection of critical infrastructure and the role of investment policies relating to national security, Table 1. National Definitions of Critical Infrastructure, s Należy przy tym zaznaczyć, że pomimo wymienionych zalet nie wszystkie kraje zdecydowały się na ten krok. Ochrona infrastruktury krytycznej jest realizowana poprzez ochronę założonych wartości np. kluczowych funkcji społecznych. Do tej grupy zaliczyć można m.in.: Francję, Szwecję, Estonię czy Włochy. 37 C. Gallais, E. Filiol, Critical Infrastructure: Where we Stand Today? [dostęp: ]. 16 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 17
11 dane, zarówno fizyczne, jak i wirtualne (poufne dane, takie jak hasła lub kody dostępu, procedury, schemat organizacyjny itp.), obiekty sektora technologii informacyjno-komunikacyjnych, usługi, procesy, aktywa, w tym wizerunek, systemy lub ich części, inną infrastrukturę, z którą istnieją połączenia (np. dostawcy usług lub produktów), których zakłócenie, uszkodzenie, kradzież lub zniszczenie miałoby poważny wpływ na zdrowie, bezpieczeństwo lub dobrostan pracowników lub skuteczne funkcjonowanie IK. W rzeczywistości IK zawiera wszystkie elementy, które mógłby doprowadzić do zakłócenia jej funkcjonowania, uszkodzenia lub zniszczenia. Elementy te można także znaleźć w otoczeniu politycznym i kulturalnym infrastruktury. 38 Wydaje się jednak, że zastosowanie tak szerokiej definicji IK nie jest konieczne. Pomijając fakt, że jej zastosowanie byłoby utrudnione ze względów praktycznych, należy zaznaczyć, że braki wskazane przez Gallais i Filiol, choć nie występują w powszechnie stosowanych, skompresowanych definicjach, są adresowane do każdego ze zorganizowanych systemów ochrony IK. Dla przykładu: w polskim Narodowym Programie Ochrony Infrastruktury Krytycznej określenie otoczenia IK, w tym wynikających z niego zależności i współzależności, stanowi element oceny ryzyka 39, a aspekt ludzki wskazywany jest w każdym z rodzajów ochrony IK 40. Niemniej, rozważania przedstawione przez autorów Critical Infrastructure: Where we Stand Today? mogą być przydatne np. w procesie identyfikacji IK. Bez względu bowiem na to czy w danym kraju zdecydowano się na zdefiniowanie pojęcia IK, czy nie, podstawowym i szczególnie ważnym procesem jest jej identyfikacja. Wiąże się on z szeregiem poważnych wyzwań. Pierwszym z nich jest opracowanie wspólnej lub zharmonizowanej metodyki, która może być wykorzystana w celu określenia poszczególnych elementów infrastruktury. Kolejnym wyzwaniem jest rozróżnienie elementów infrastruktury, które są krytyczne z punktu widzenia państwa, od infrastruktury, która może mieć kluczowe znaczenie na szczeblu lokalnym lub regionalnym, ale nie wymaga centralnej interwencji. Proces ten dodatkowo rodzi poważne konsekwencje związane z ochroną zebranych w ten sposób informacji, która często obejmuje nie tylko wykaz IK, ale również informacje dotyczące sposobów jej ochrony 41. W procesie identyfikacji IK możemy zaobserwować dwa podejścia 42. Pierwsze z dołu do góry (ang. bottom-up) polega na zastosowaniu kryteriów do całej krajowej infrastruktury w celu oceny jej krytyczności. Drugie z góry do dołu (ang. top-down) przewiduje zastosowanie wstępnie zdefiniowanej, podstawowej listy krytycznych sektorów, (systemów lub usług) 43 to 38 Ibidem, s Patrz Narodowy Program Ochrony Infrastruktury Krytycznej dokument główny s Patrz załącznik 2 do Narodowy Program, op. cit Standardy służące zapewnieniu sprawnego funkcjonowania infrastruktury krytycznej dobre praktyki i rekomendacje. 41 Lord Jopling (special rapporteur), Special report to NATO Parliamentary Assembly: The protection of critical infrastructures. 42 Good practices manual for CIP policies for policy makers in Europe praca w ramach projektu RECIPE (Recommended Elements of Critical Infrastructure Protection for policy makers in Europe). 43 Ibidem, s. 16. Lista krytycznych sektorów i podsektorów może być zawarta w samej definicji infrastruktury krytycznej lub w innych dokumentach wykonawczych. podejście jest na świecie bardziej rozpowszechnione. Lista krytycznych sektorów jest silnie powiązana z określeniem wzajemnych relacji pomiędzy IK a społeczeństwem i państwem, czyli tym jaka rola w państwie została jej przypisana. Analiza wybranych przykładów pozwala na konkluzję, że lista krytycznych sektorów (systemów lub usług) w poszczególnych krajach jest bardzo zbliżona. Tabela 1. Podział IK na sektory w Republice Francuskiej. Źródło: Opracowanie własne na podstawie Dekretu z 2 czerwca 2006 ustanawiającego wykaz sektorów o zasadniczym znaczeniu oraz wyznaczaniu ministrów koordynatorów tych sektorów (Décret du 2 juin 2006 fixant la liste des secteurs d activités d importance vitale). Sektor Minister Koordynator Administracja państwowa Minister Spraw Wewnętrznych Sądownictwo Minister Sprawiedliwości Wojskowa działalność państwa Minister Obrony Narodowej Żywność Minister Rolnictwa Łączność elektroniczna i transmisja informacja Minister właściwy do spraw łączności elektronicznej Energia Minister Przemysłu Badania kosmiczne Minister właściwy ds. badań Finanse Minister Gospodarki i Finansów Gospodarka wodna Minister Ekologii Przemysł Minister Przemysłu Zdrowie Minister Zdrowia Transport Minister Transportu Tabela 2. Podział IK na sektory w Stanach Zjednoczonych Ameryki. Źródło: Opracowanie własne na podstawie Dyrektywy Prezydenta w Obszarze Bezpieczeństwa Narodowego nr 7 z dnia 17 grudnia 2003 w sprawie identyfikacji, priorytetyzacji i ochrony infrastruktury krytycznej (Homeland Security Presidential Directive-7 December 17, 2). Sektor Organ właściwy Przemysł chemiczny Obiekty handlowe Zapory Usługi ratownicze Nuklearny Departament Bezpieczeństwa Krajowego Przemysł obronny Departament Obrony Departament Rolnictwa Departament Zdrowia i Usług Społecznych (w stosunku Rolnictwo i żywność do żywności innej niż drób, mięso i produkcja jajek) Telekomunikacja i technologie informacyjne Biuro ochrony teleinformatycznej i telekomunikacji Energia Departament Energii Bankowość i finanse Departament Skarbu Woda (zawiera również odprowadzanie ścieków) Agencja Ochrony Środowiska Dziedzictwo narodowe Departament Spraw Wewnętrznych Usługi pocztowe Administracja Bezpieczeństwa Transportu Ochrony zdrowia Departament Zdrowia i Usług Społecznych Administracja Bezpieczeństwa Transportu Transport Straż Przybrzeżna USA (w zakresie transportu morskiego) Służba Imigracyjna i Celna Obiekty rządowe Federalna Służba Ochrony 18 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 19
12 Tabela 3 Podział IK na sektory w Królestwie Niderlandów. Źródło: Opracowanie własne na podstawie Raportu przygotowanego w 2005 r. przez Ministerstwo Spraw Wewnętrznych i Stosunków w Królestwie ws. ochrony infrastruktury krytycznej (Report on Critical Infrastructure Protection, 2005). Sektor Energia Telekomunikacja i technologie informacyjne Zaopatrzenie w wodę Przemysł chemiczny i nuklearny Żywność Zdrowie Finanse Porządek publiczny i bezpieczeństwo Administracja publiczna Porządek prawny Zapory oraz zarządzanie wodami powierzchniowymi Transport Minister właściwy Minister Gospodarki Minister Mieszkalnictwa, Gospodarki Przestrzennej i Środowiska Minister Rolnictwa i Jakości Żywności Minister Zdrowia i Sportu Minister Finansów Minister Spraw Wewnętrznych Minister Obrony Minister Spraw Zagranicznych Minister Sprawiedliwości Minister Transportu, Robót Publicznych i Gospodarki Wodnej Tabela 4 Podział IK na sektory w Zjednoczonym Królestwie Wielkiej Brytanii i Irlandii Północnej. Źródło: Opracowanie własne na podstawie Strategicznych Ram i Deklaracji Politycznej w sprawie poprawy odporności infrastruktury krytycznej na zakłócenia spowodowane zagrożeniami naturalnymi, 2010 (Strategic Framework and Policy Statement on Improving the Resilience). Sektor Organ właściwy Energia Minister Energii i Zmian Klimatu Minister Przedsiębiorczości, Innowacyjności i Rozwoju Łączność Minister Kultury, Mediów i Sportu Woda Minister Środowiska, Żywności i Rolnictwa Minister Środowiska, Żywności i Rolnictwa Żywność Agencja ds. Jakości Żywności Zdrowie Minister Zdrowia i Sportu Finanse Minister Skarbu Minister Spraw Wewnętrznych Minister Zdrowia Ratownictwo i ochrona zdrowia Minister Samorządności i Społeczności Lokalnych Kancelaria Premiera Administracja publiczna Minister Samorządności i Społeczności Lokalnych Transport Minister Transportu Dodatkowo, w ramach podejścia z góry do dołu, autorzy poradnika Good practices manual for CIP policies for policy makers in Europe wymieniają trzy sposoby na wyłonienie IK. Pierwszy, oparty na usługach (ang. service-based), zakłada wykorzystanie kryteriów określających poziom wymaganej usługi np. liczby megawatów mocy, która powinna być dostarczona. Drugi, bazujący na operatorach IK (ang. operator-based), koncentruje się na wskazaniu krytycznych operatorów im pozostawiając wskazanie konkretnych obiektów (usług) IK. Trzeci, oparty na aktywach (ang. asset-based) wykorzystuje elementy obydwu wcześniejszych sposobów 44. Wspólne dla obu podejść ( z dołu do góry oraz z góry do dołu ) jest zastosowanie kryteriów. Próba wyłonienia IK bazująca jedynie na skonfrontowaniu jej z definicją, biorąc pod uwagę 44 Good practices manual, op. cit., s. 16. generalny charakter tych definicji, obarczona byłaby zbyt dużą niepewnością co do końcowego rezultatu. Dlatego najczęściej stosowane są tzw. kryteria przekrojowe, dotyczące skutków zniszczenia lub zakłócenia funkcjonowania danego obiektu, usługi czy operatora. Kryteria te z reguły korespondują z definicją IK 45 i wskazanymi w niej obszarami zaangażowania państwa oraz możliwościami reakcji państwa na skutki zniszczenia lub zakłócenia funkcjonowania IK. Drugim rodzajem stosowanych kryteriów są kryteria sektorowe, służące, jak wspomniano wcześniej, do określenia zapotrzebowania na daną usługę lub do określenia progów wstępnej selekcji infrastruktury z danego sektora, co ma docelowo zmniejszyć liczbę potencjalnych IK. Zarówno kryteria przekrojowe i sektorowe mogą być przedstawiane w sposób ilościowy (liczbowy) lub jakościowy (opisowy). Zaletą ilościowego przedstawiania kryteriów jest ich obiektywizm, wadą zaś mała elastyczność i w konsekwencji możliwość pomięcia w selekcji obiektów podprogowych, a mimo to krytycznych. Zaletą jakościowego (opisowego) przedstawiania kryteriów jest duża czułość na pozornie nieistotne, niedające się uchwycić w sposób ilościowy detale, wadą zaś zbyt duże pole do interpretacji opisu i możliwość braku zgody co do oceny pomiędzy uczestnikami procesu identyfikacji. W praktyce, w celu kompensacji błędów w identyfikacji IK stosuje się mieszankę obydwu rodzajów kryteriów i sposobów ich przedstawiania. Nie rozwiązuje to jednak jednego z najpoważniejszych problemów procesu identyfikacji dostępu do wiarygodnych informacji pozwalających na porównanie wartości przyjętego parametru z progiem. Odnosi się to przede wszystkim do kryteriów przekrojowych, przedstawianych tak w sposób ilościowy jak i jakościowy. W praktyce, jeśli nie są dostępne dane dotyczące historycznych zdarzeń, weryfikacja spełniania kryteriów oparta jest z konieczności na szacunkach, obarczonych mniejszym lub większym błędem. Błędem, którego granic często nie jesteśmy nawet w stanie ustalić. W Polsce, w procesie identyfikacji IK zastosowano podejście z góry do dołu, koncentrując się na usługach realizowanych przez infrastrukturę wymienionych w definicji IK systemów 46. Zastosowane (tam gdzie to było możliwe w postaci ilościowej) zostały zarówno kryteria sektorowe jak i przekrojowe oraz definicja IK. Zgodnie z NPOIK procedura identyfikacji IK obejmuje 47 : 1. w etapie pierwszym w celu dokonania pierwszej selekcji obiektów, instalacji, urządzeń lub usług, które potencjalnie mogłyby zostać uznane za IK w danym systemie, do infrastruktury systemu należy zastosować kryteria systemowe, właściwe dla danego systemu IK, 2. w etapie drugim w celu sprawdzenia, czy obiekt, urządzenie, instalacja lub usługa pełni kluczową rolę dla bezpieczeństwa państwa i jego obywateli oraz czy służy zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców, do infrastruktury wyłonionej w etapie pierwszym należy zastosować definicję zawartą w art. 3 pkt 2 ustawy o zarządzaniu kryzysowym, 45 W przypadku krajów, które nie stosują definicji, kryteria przekrojowe odnoszą się do założonych wartości, podlegających ochronie. 46 W art. 3 ust. 2 ustawy z dnia 26 kwietnia o zarządzaniu kryzysowym wymienione zostały następujące krytyczne systemy: zaopatrzenia w energię, surowce energetyczne i paliwa, łączności, sieci teleinformatycznych, finansowe, zaopatrzenia w żywność, zaopatrzenia w wodę, ochrony zdrowia, transportowe, ratownicze, zapewniające ciągłość działania administracji publicznej, produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych. 47 Narodowy Program, op. cit. s. 11 i Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 21
13 3. w etapie trzecim w celu oceny potencjalnych skutków zniszczenia lub zaprzestania funkcjonowania potencjalnej IK, do infrastruktury wyłonionej w etapie pierwszym i drugim należy zastosować kryteria przekrojowe, przy czym potencjalna IK musi spełnić przynajmniej dwa kryteria przekrojowe. Warto przy tym zauważyć, że pomimo koncentracji na usługach dostarczanych przez infrastrukturę w jednolitym wykazie obiektów, instalacji, urządzeń i usług wchodzących w skład IK w większości znalazły się określone, fizyczne obiekty. Obiekty, które są zarządzane przez konkretnych właścicieli i posiadają konkretną lokalizację, co pozwala na łatwiejszą implementację wciąż młodego systemu ochrony IK. Postulowane (i stosowane) przez niektóre kraje wskazywanie (np. Francję) jako IK całych systemów (np. systemu elektroenergetycznego) lub nawet procesów wydaje się w na chwilę obecną, w polskich warunkach zbyt wyrafinowane. System (proces) rozumiany jako np. łańcuch zaopatrzenia może być realizowany w wielu lokalizacjach i mieć wielu właścicieli. Zrodziłoby to określone problemy, w tym także prawne. Podobnie wygląda kwestia zależności i współzależności. Obecnie łatwiej jest je wskazać dla konkretnego obiektu niż dla systemu czy procesu. Prawdopodobne jest jednak, że wraz z rozwojem systemu ochrony IK i dojrzałością jego uczestników będzie zachodzić zmiana w tym obszarze. Kolejny krokiem po zdefiniowaniu i identyfikacji IK jest jej ochrona. Można wyróżnić przynajmniej dwie metody zabezpieczenia IK proceduralną i strukturalną. Proceduralna polega na organizacji systemu ochrony tych obiektów. Rozwiązanie to może przyjąć z kolei dwie drogi: obowiązkowego uczestnictwa w systemie ochrony lub uczestnictwa dobrowolnego. Metoda strukturalna zakłada zmniejszanie krytyczności infrastruktury. Efekt ten można osiągnąć poprzez dalszą rozbudowę infrastruktury, tak by w konsekwencji doprowadzić do sytuacji celowej nadmiarowości (redundancji) lub poprzez przybliżanie, w sensie geograficznym, wybranej infrastruktury do obywatela 48. Koncepcja przybliżania zakłada wyposażanie jednostkowego obywatela lub mniejszych ich grup w infrastrukturę pozwalającą na niezależność od usług dostarczanych przez bardziej oddaloną infrastrukturę. Tym samym, niektóre usługi stałyby się mniej krytyczne z punktu widzenia państwa, gdyż zwiększyłaby się odporność i niezależność tej grupy obywateli od IK. Ten model zwiększa możliwości potencjalnej odpowiedzi służb państwowych na zakłócenie przybliżonej infrastruktury i kreuje stan, w którym liczba dotkniętych jednorazowo obywateli jest radykalnie mniejsza. Przykładami takiej infrastruktury mogą być: indywidualne źródła energii (słoneczne, wiatrowe) lub przydomowe oczyszczalnie ścieków. W przypadku miast i gęsto zaludnionych obszarów koncepcja ta zakłada budowę osiedlowych lub dzielnicowych infrastruktur obsługujących jednorazowo mniejszą liczbę mieszkańców 49. W obydwu modelach zabezpieczenia infrastruktury, wyzwaniem staje się odpowiedź na pytanie: kto powinien wdrażać konkretne rozwiązania, a tym samym ponieść finansowy ciężar? oraz czy odpowiedzialność za ochronę ludności przez skutkami zakłócenia funkcjonowania IK spoczywa na podmiotach będących właścicielami lub zarządcami tej infrastruktury, czy na państwie? 48 M. Bennett, V. Gupta, op. cit. 49 W Polsce zaproponowano niegdyś budowę biogazowni w każdym mieście. Pomijając polityczny aspekt tej propozycji doskonale wpisuje się ona w przywołaną koncepcję i należy uznać ją za ciekawy głos w dyskusji o zwiększaniu odporności państwa i obywateli na sytuacje kryzysowe. Pomijamy również fakt, że we wzajemnie powiązanym systemie infrastruktury zmiana w jednym z nich może spowodować przeniesienie progu krytyczności w innym. W Polsce, na etapie projektowania ustawy o zarządzaniu kryzysowym, oparto się na doświadczeniu i przykładach z krajów, w których budowę systemu ochrony infrastruktury kluczowej dla bezpieczeństwa obywateli i funkcjonowania państwa rozpoczęto wcześniej: Stanów Zjednoczonych Ameryki, Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej, Królestwa Niderlandów, Republiki Francuskiej oraz Republiki Federalnej Niemiec. Wspólnymi cechami systemów ochrony IK w ww. krajach są: identyfikacja IK na podstawie kryteriów i wskazanie jej właściciela lub operatora jako odpowiedzialnego za jej ochronę; podział na krytyczne dla funkcjonowania państwa, społeczeństwa i gospodarki sektory (produkty lub usługi); wskazanie organów administracji odpowiedzialnych za koordynację działań w danym sektorze; konieczność opracowania przez właściciela IK (bądź nią zarządzającego) planów ochrony obiektów; współpraca pomiędzy właścicielami i operatorami IK, a właściwymi organami państwa odpowiedzialnymi zarówno za koordynację działań w danym sektorze, jak i tymi odpowiedzialnymi za ochronę ludności i zarządzanie kryzysowe. Biorąc pod uwagę specyfikę i kulturę prawną w Polsce wybrano rozwiązanie regulacyjne, kładące akcent na metodę proceduralną i obowiązkowy udział w systemie ochrony IK tzn. w przepisach ustawy o zarządzaniu kryzysowym literalnie wskazany został obowiązek ochrony IK przez jej właścieli oraz posiadaczy samoistnych i zależnych, sporządzenia planu ochrony oraz wyznaczenia osoby do kontaktów z administracją. Natomiast w rozporządzeniu z dnia 30 kwietnia 2010 r. w sprawie planów ochrony IK 50 szczegółowo została wskazana zawartość planów oraz tryb i terminy ich uzgadniania oraz zatwierdzenia (mechanizm ten pozwala na realny wpływ organów na zawartość planu i system bezpieczeństwa danego obiektu IK). Rozwiązanie to bazuje na modelu francuskim 51, w którym występuje: wyznaczenie na operatora IK i obowiązek jej ochrony; obowiązek sporządzenia Planu Bezpieczeństwa Operatora; sankcje dla operatorów IK nierealizujących narzuconych obowiązków; obowiązek sporządzenia przez administrację publiczną Zewnętrznego planu bezpieczeństwa (pierwotnie w ustawie o zarządzaniu kryzysowym był obowiązek sporządzania Krajowego Planu Ochrony Infrastruktury Krytycznej (KPOIK) oraz Wojewódzkich Planów Ochrony Infrastruktury Krytycznej (WPOIK); określenie, które sektory uznane są za krytyczne, ze względu na kluczowe znaczenie dla procesów społecznych i gospodarczych. W przeciwieństwie natomiast do rozwiązania zastosowanego we Francji, ale także w ustawie z dnia 22 sierpnia 1997 r. o ochronie osób i mienia 52 nie przewidziano sankcji za niedopełnienie wskazanych obowiązków. Skuteczność tego rozwiązania okazuje się niezadowalająca. Represyjny charakter takiego podejścia przynosi skutki uboczne głęboką niechęć wyko- 50 Rozporządzenie Rady Ministrów z dn. 30 kwietnia 2010 r. w sprawie planów ochrony infrastruktury krytycznej (Dz. U. nr 83, poz. 542). 51 Szerzej o systemie francuskim oraz systemach stosowanych w innych krajach europejskich w: Study: Stock-Taking Of Existing Critical Infrastructure Protection Activities, [dostęp: ]. 52 Ustawa z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (Dz. U. z 2005 r. nr 145, poz z późn. zm.). 22 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 23
14 nawców do narzuconych zadań i w konsekwencji próby uchylania się od realizacji narzuconych obowiązków bądź wykonywanie ich minimalnym kosztem. Po stronie administracji natomiast wymusza budowę struktur, których zadaniem jest prowadzenie działalności kontrolnej oraz postępowań w przypadku naruszenia obowiązków. Oznacza to konieczność zatrudnienia kompetentnych pracowników (co wiąże się w obszarze ochrony z poważnymi trudnościami) oraz poniesienia znacznych nakładów finansowych. Podstawą tego podejścia było założenie, że zwiększenie skuteczności ochrony IK może nastąpić jedynie poprzez działania operatorów wspieranych przez możliwości i potencjał administracji publicznej. Oparto się przy tym na przekonaniu, że motywacja 53 do zachowania ciągłości biznesowej jest narzędziem skuteczniejszym niż sankcje w osiągnięciu wysokiego poziomu ochrony 54. Operatorzy IK mają najlepszą wiedzę i narzędzia do ograniczenia zagrożeń dla ich działalności. Są również w stanie dokonać najwłaściwszego wyboru strategii minimalizacji skutków tych zagrożeń. Podejście nie przewiduje sankcji za niedopełnienie obowiązków określonych w ustawie. Brak sankcji nie oznacza jednak braku odpowiedzialności. Właściciele oraz posiadacze samoistni i zależni, którzy świadomie niedopełniają obowiązku ochrony IK narażają pracowników i innych ludzi na bezpośrednie niebezpieczeństwo utraty życia albo ciężkiego uszczerbku na zdrowiu, mogące być skutkiem zakłócenia funkcjonowania IK, co jest zagrożone karą pozbawienia wolności do lat 3 (art Kodeksu karnego). Bazując na doświadczeniach z funkcjonowania ustawy o zarządzaniu kryzysowym w 2009 r. dokonano jej nowelizacji. Co do zasady model ochrony IK nie uległ zmianie, przeniesiono jednak akcent jeszcze bardziej w kierunku właścicieli (zarządzających) IK. Zniesiono obowiązek opracowania KPOIK i WPOIK, w zamian wprowadzając obowiązek opracowania Narodowego Programu Ochrony Infrastruktury Krytycznej dokumentu, który spina wysiłki na rzecz ochrony IK i stanowi pomoc dla operatorów IK oraz administracji. Ponadto, wychodząc z zasady współodpowiedzialności oraz skuteczności współpracy 55, w znowelizowanej ustawie na nowo podzielono obowiązki, wynikające z ochrony IK, pomiędzy administrację i operatorów IK. Obowiązkami operatorów są: 53 Motywacja to proces, który wywołuje, ukierunkowuje i podtrzymuje określone zachowania ludzi spośród innych, alternatywnych form zachowania, w celu osiągnięcia określonych celów. Jedna z teorii motywacji do pracy opracowana przez Douglasa McGregora (Massachusetts Institute of Technology) zakłada istnienie dwóch przeciwstawnych zestawów przekonań: X i Y. X zakłada, że przeciętna jednostka ludzka w sposób wrodzony nie lubi pracować i robi wszystko by jej uniknąć. Pracuje tylko dla zaspokojenia potrzeb materialnych. Y zakłada, że ludzie są w większości twórczy, posiadają bogatą wyobraźnie i pomysłowość. W odpowiednich warunkach człowiek taki nie tylko jest odpowiedzialny, lecz także oczekuje, że dana mu będzie odpowiedzialność za wykonanie jakiegoś przedsięwzięcia lub pracy. Wg McGregora zewnętrzne czynniki motywujące w postaci nagrody lub kary obniżają aktywność wewnętrznej motywacji. Dzieje się tak na sutek zmiany postrzegania i umiejscawiania przyczyn działania (na zewnątrz a nie wewnątrz podmiotu) oraz obniżenia związanego z tym poczucia sprawstwa, osobistego wpływu na sytuację. 54 Ujawnione przypadki naruszeń bezpieczeństwa wydają się potwierdzać, że występowanie sankcji nie gwarantuje skuteczności systemowi ochrony kluczowych obiektów: Bełchatów aktywiści Greenpeace włamali się na teren elektrowni, wspięli się na chłodnię kominową i wykonali napis Stop CO2, Konin ekolodzy włamali się na teren elektrowni, wspięli się na komin i rozpoczęli protest przeciw emisji gazów cieplarnianych, Francja działacze Greenpeace wtargnęli do czterech elektrowni atomowych. W Nogentsur-Seine w ciągu zaledwie 15 minut dotarli do reaktora nuklearnego. Diagnozę tę potwierdzają również spływające do Rządowego Centrum Bezpieczeństwa raporty pełnomocników ds. ochrony infrastruktury krytycznej, powołanych w ramach realizacji ustawy z dnia 18 marca 2010 r. o szczególnych uprawnieniach ministra właściwego do spraw Skarbu Państwa oraz ich wykonywaniu w niektórych spółkach kapitałowych lub grupach kapitałowych prowadzących działalność w sektorach energii elektrycznej, ropy naftowej oraz paliw gazowych (Dz. U. nr 65 poz. 404). 55 Szerzej: Narodowy Program, op. cit. 1. ochrona IK, w szczególności poprzez przygotowanie i wdrażanie, stosownie do przewidywanych zagrożeń, planów ochrony infrastruktury krytycznej oraz utrzymywanie własnych systemów rezerwowych zapewniających bezpieczeństwo i podtrzymujących funkcjonowanie tej infrastruktury, do czasu jej pełnego odtworzenia (art. 6 ust. 5 ustawy) oraz 2. wyznaczenie osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami właściwymi w zakresie ochrony IK (art. 6 ust. 5a ustawy). Obowiązkiem administracji jest natomiast ujęcie zadań związanych z ochroną IK w planach zarządzania kryzysowego na każdym poziomie administracji w przypadku poziomów niższych niż krajowy warunkiem umieszczenia tych zadań jest występowanie IK na obszarze objętym planem 56. Dodatkowo, w ramach ochrony ludności przed skutkami awarii IK, oznacza to również system wsparcia operatorów celem skrócenia czasu odbudowy usług (zadań, funkcji) realizowanych przez IK. Analizując rozwiązania przyjęte w Polsce 57 można wykazać, że znaleziono odpowiedzi przynajmniej na kilka postawionych wcześniej pytań. Czy to oznacza jednak, że przyjęty model się sprawdził? Jednoznaczna odpowiedź na tak postawione pytanie jest obecnie niemożliwa. Do dyspozycji wciąż pozostaje zbyt mało wiarygodnych danych. Doświadczenia Rządowego Centrum Bezpieczeństwa są zachęcające, lecz prawdziwym testem będzie ocena jakości planów ochrony IK, które dopiero zaczynają napływać do zatwierdzenia. Podsumowanie Nie sposób wyobrazić sobie dziś życia bez otaczającej nas infrastruktury czy rozwiązań, które ona ze sobą niesie. Tempo rozwoju technologicznego przynoszące praktycznie codziennie nowinki techniczne przestało już dziwić, a będące jego efektem powszechność i użyteczność usług uzależniły. Jednak XXI wiek nie stawia przed człowiekiem pytań o sensowność tych zmian, ale o to: Jak przeżyć w świecie nasyconym technologiami? Jak ciesząc się zdobyczami współczesności nie stać się jednocześnie ich ofiarą 58? Człowiek świadomy nowych zagrożeń coraz częściej kieruje w stronę państwa swoje oczekiwania zmniejszania ryzyka ich wystąpienia. To właśnie państwo i organizacje międzynarodowe, ze względu na rozległość infrastruktury, jej transgraniczność i powszechność, są predestynowane do wzięcia na siebie tej odpowiedzialności. Jednym z narzędzi pozwalających choćby w części kontrolować zagrożenia jest IK. Zwrócenie uwagi na wrażliwe elementy otoczenia człowieka oraz wskazanie ich charakterystycznych cech, a w konsekwencji stworzenie dedykowanych im szczególnych rozwiązań pozwoliło na ograniczenie ryzyka zaistnienia sytuacji dysfunkcji dostarczanych przez nie usług. Każde rozwiązanie ma swoje ograniczenia. Również te przyjęte w tym zakresie w Polsce. Pomimo krótkiego czasu od wejścia w życie ustawy o zarządzaniu kryzysowym w Polsce 56 Art. 5 ust. 2 pkt 3 lit k i lit. l ustawy o zarządzaniu kryzysowym. 57 Szerzej: ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2013 poz. 1166) wraz z aktami wykonawczymi oraz Narodowy Program Ochrony Infrastruktury Krytycznej. 58 Wg Bennetta i Gupta skutki zakłócenia funkcjonowania zcentralizowanej infrastruktury mogą być większe niż pierwotne zagrożenie. 24 Maciej Pyznar, Grzegorz Abgarowicz Rola infrastruktury krytycznej w funkcjonowaniu państwa 25
15 funkcjonuje komplementarny i powszechny system ochrony IK. Prezentowane w powyższym rozdziale rozważania wskazują jednoznacznie: dużo już zostało zrobione, ale i jeszcze dużo przed nami. W przypadku Polski warto rozważyć uzupełnienie definicji IK w taki sposób, by nie pozostawiała wątpliwości, że obejmuje ona również infrastrukturę wirtualną (informacyjną), np. zbiory informacji z baz danych. W aktualnie obowiązującej definicji systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi nie wskazuje się tego w sposób jednoznaczny. Należy dążyć do postulowanej w NPOIK rezygnacji z kryteriów sektorowych 59, a tym samym zbliżyć się do podejścia z dołu do góry. Biorąc jednak pod uwagę trudności związane z zastosowaniem tego podejścia, powinno się w ramach obowiązującej procedury dążyć do jak największego zaangażowania w identyfikację IK lokalnych szczebli administracji i operatorów IK. Pozwoliłoby to zminimalizować możliwość pominięcia IK, która nie spełnia kryteriów. W celu pozyskania informacji i danych historycznych na temat skutków występujących zakłóceń funkcjonowania infrastruktury wskazane byłoby zacieśnienie współpracy z lokalnymi szczeblami administracji, operatorami IK, a także innymi organami (np. regulatorami rynków), organizacjami (np. pozarządowymi), służbami i strażami, co może pozwolić na kalibrację kryteriów i ich dostosowanie do realnych warunków. W przypadku braku efektów obecnie stosowanego, dobrowolnego podejścia do kooperacji, należałoby rozważyć bardziej sformalizowane rozwiązania oparte na obowiązku współpracy z Rządowym Centrum Bezpieczeństwa. 2. Prawne uwarunkowania ochrony infrastruktury krytycznej Agnieszka Wiercińska-Krużewska, Piotr Gajek WKB Wierciński, Kwieciński, Baehr Regulacje prawne dotyczące ochrony infrastruktury krytycznej (IK) zostały umiejscowione w licznych aktach prawnych rangi ustawowej i podustawowej, obejmujących różne dziedziny funkcjonowania państwa 60. Pomimo, iż akty te nie odnoszą się bezpośrednio do IK, analiza używanych terminów, w tym dotyczących obiektów, wskazuje na ich zbliżone, a często wręcz tożsame znaczenie 61. W tym przedmiocie wskazuje się na takie obszary działalności jak: działalność telekomunikacyjną, wytwarzanie i obrót paliwami oraz energią elektryczną, wykonywanie zadań obronnych przez przedsiębiorców, tworzenie rezerw strategicznych, uprawnienia ministra właściwego do spraw Skarbu Państwa czy ochronę osób i mienia 62. Powyższe potwierdza, iż warunki formalno-prawne ochrony IK istniały jeszcze przed wejściem w życie ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym 63 (Ustawa). Ustawa wprowadziła pojęcie IK oraz bardziej kompleksowo uregulowała problematykę ochrony IK. Zgodnie z Ustawą przez IK należy rozumieć systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców (art. 3 pkt. 2 Ustawy). IK obejmuje łącznie 11 systemów (obiekty, urządzenia) niezbędnych do minimalnego funkcjonowania gospodarki i państwa tj.: zaopatrzenie w energię, surowce energetyczne i paliwa, łączność, 59 Narodowy Program, op. cit., s Przykładowo można wskazać na następujące akty prawne: ustawa z dnia 22 sierpnia 1997 r. o ochronie osób i mienia, ustawa z dnia 23 sierpnia 2001 r. o organizowaniu zadań na rzecz obronności państwa realizowanych przez przedsiębiorców, ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne, ustawa z dnia 10 kwietnia 1997 r. Prawo energetyczne, ustawa z dnia 9 czerwca 2011 r. Prawo geologiczne i górnicze, ustawa z dnia 3 lipca 2002 r. Prawo lotnicze, ustawa z dnia 29 października 2010 r. o rezerwach strategicznych, ustawa z dnia 18 marca 2010 r. o szczególnych uprawnieniach ministra właściwego do spraw Skarbu Państwa oraz ich wykonywaniu w niektórych spółkach kapitałowych lub grupach kapitałowych prowadzących działalność w sektorach energii elektrycznej, ropy naftowej oraz paliw gazowych, rozporządzenie Rady Ministrów z dnia 24 czerwca 2003 r. w sprawie obiektów szczególnie ważnych dla bezpieczeństwa i obronności państwa oraz ich szczególnej ochrony. Uwzględniając, iż szczegółowe omówienie wskazanych aktów prawnych wykracza poza przedmiot niniejszego opracowania, w raporcie przedstawione zostały w szczególności uwarunkowania prawne wynikające z ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym. 61 W. Lidwa, W. Krzeszowski, W. Więcek, P. Kamiński, Ochrona Infrastruktury krytycznej, Akademia Obrony Narodowej, Warszawa 2012, s K. Stec, Wybrane prawne narzędzia ochrony infrastruktury krytycznej w Polsce, Bezpieczeństwo Narodowe 2011, nr 3, s Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz,U r. poz. 1166). 26 Maciej Pyznar, Grzegorz Abgarowicz 27
16 sieci teleinformatyczne, finanse, zaopatrzenie w żywność, zaopatrzenie w wodę, ochronę zdrowia, transport, ratownictwo, systemy zapewniające ciągłość działania administracji publicznej, produkcję, składowanie, przechowywanie i stosowanie substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych. Przez ochronę IK należy rozumieć wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działań i integralności IK w celu zapobiegania zagrożeniom, ryzykom lub słabym punktom oraz ograniczenia i neutralizacji ich skutków oraz szybkiego odtworzenia tej infrastruktury na wypadek awarii, ataków oraz innych zdarzeń zakłócających jej prawidłowe funkcjonowanie. W celu realizacji założeń Ustawy podmioty, w których posiadaniu znajduje się IK, powinny podejmować aktywne działania w celu utrzymania jej w należytym stanie, ochrony przed zniszczeniami i dostępem osób, które mogłyby zagrozić bezpieczeństwu państwa. Podmioty te powinny czynić także inwestycje w celu stałego podnoszenia poziomu IK i jej stanu. Działania właścicieli IK powinny być centralnie koordynowane, nie tylko w czasie wystąpienia zagrożenia, ale także w czasie wykonywania obowiązków związanych z utrzymaniem IK w stanie zapewniającym realizację zadań państwa w sytuacjach kryzysowych. Jako że ochrona IK jest jednym z priorytetów stojących przed państwem, państwo powinno wprowadzić mechanizmy pozwalające na: monitorowanie i uaktualnianie listy elementów IK; ustalenie wzajemnych relacji pomiędzy elementami IK; ustalenie wzajemnych relacji pomiędzy dysponentami IK; tworzenie inicjatyw w zakresie ochrony IK; przeprowadzenie akcji edukacyjnych uświadamiających rolę IK w bezpieczeństwie państwa; wspieranie podmiotów, w posiadaniu których znajduje się IK, w ponoszeniu kosztów jej budowy, utrzymania i ochrony. Brak powyższych mechanizmów może doprowadzić do niewiedzy o wadze IK w bezpieczeństwie państwa, chaosie w działaniach koordynacyjnych, niechęci podmiotów prywatnych do ponoszenia kosztów związanych w IK. Dopiero prawidłowe wypracowanie systemu wsparcia dla podmiotów uczestniczących w utrzymaniu IK daje podstawy do stworzenia systemu skutecznych sankcji. Elementami wsparcia dla podmiotów powinny być między innymi: formalna platforma do wymiany doświadczeń i wiedzy na temat ochrony IK; partnerstwo publiczno prywatne; fundusze celowe; ułatwienia w stosowaniu aktów prawnych np. w stosowaniu ustawy o zamówieniach publicznych; wspieranie samoregulacji przedsiębiorstw dysponujących IK w zakresie przepływu informacji oraz ponoszenia nakładów na jej ochronę i utrzymanie. Najwyższa Izba Kontroli (NIK) kilkukrotnie dokonywała kontroli działalności organów państwa w zakresie wykonywania obowiązków nałożonych przez Ustawę (ostatnie wyniki kontroli NIK z 20 czerwca 2013 r.). Kontrole NIK wykazały szereg nieprawidłowości w zakresie realizacji ustawowych zadań od wejścia w życie Ustawy, a szczególnie jej nowelizacji. NIK stwierdził, że ochrona IK opiera się w dużej mierze na działaniach doraźnych. Zdaniem NIK, biorąc pod uwagę konieczność aktualizacji resortowych i wojewódzkich planów zarządzania kryzysowego w zakresie realizacji zadań związanych z IK oraz konieczność opracowania przez operatorów poszczególnych obiektów IK planów ich ochrony, dokończenie budowy skutecznego systemu ochrony IK zostanie dokonane dopiero w dłuższej perspektywie czasowej. Konstatacja NIK jest słuszna, ale jej przyczyna nie leży już, jak się wydaje, w braku regulacji i podstaw do dalszych prac. Takie ramy tworzy z całą pewnością powstały w 2013 r. Narodowy Program Ochrony Infrastruktury Krytycznej. Poziom Unii Europejskiej Europejski Program Ochrony Infrastruktury Krytycznej / Dyrektywa Podstawowym elementem Europejskiego Program Ochrony Infrastruktury Krytycznej (EPOIK) jest Dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony 64 (Dyrektywa). W tym dokumencie po raz pierwszy do porządku prawnego UE wprowadzono definicję IK, europejskiej infrastruktury krytycznej (EIK), ochrony IK oraz pojęcie właściciela (operatora) EIK. Głównym założeniem tego aktu prawnego jest określenie sposobu rozpoznawania i wyznaczania EIK oraz zdefiniowanie podstawowych obowiązków w zakresie ochrony EIK nałożonych na państwa członkowskie (oraz pośrednio na właścicieli IK). Już w Dyrektywie podkreśla się wyraźnie, że zasadnicza i ostateczna odpowiedzialność za ochronę EIK spoczywa głównie na państwach członkowskich i właścicielach/operatorach tych infrastruktur, a wspólnotowe podejście wymaga założenia pełnego zaangażowania sektora prywatnego z uwagi na bardzo istotny udział tego sektora w nadzorowaniu ryzyka, zarządzaniu ryzykiem, planowaniu ciągłości działania i w procesie przywracania stanu sprzed katastrofy. Dyrektywa wskazuje równocześnie na sektor ICT, jako przyszły sektor priorytetowy w zakresie ochrony IK. Sama Komisja Europejska również wiele uwagi poświęca wskazanemu sektorowi 65, o czym mogą świadczyć wydane przez nią dokumenty, w tym m.in. Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie ochrony krytycznej infrastruktury 64 Dz. Urz. UE. Z r., L 345/ T. Szewczyk, Europejski program ochrony infrastruktury krytycznej, Przegląd Bezpieczeństwa Wewnętrznego 6/12, s Agnieszka Wiercińska-Krużewska, Piotr Gajek Prawne uwarunkowania ochrony infrastruktury krytycznej 29
17 informatycznej Ochrona Europy przed zakrojonymi na szeroką skalę atakami i zakłóceniami cybernetycznymi: zwiększenie gotowości, bezpieczeństwa i odporności 66 ( Komunikat ); Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie ochrony krytycznej infrastruktury teleinformatycznej Osiągnięcia i dalsze działania na rzecz globalnego bezpieczeństwa cyberprzestrzeni 67 oraz projekt Dyrektywy Parlamentu Europejskiego i Rady w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie Unii 68. Należy jednak wskazać, że ani Dyrektywa, ani też żaden z pozostałych dokumentów wymienionych powyżej nie zawiera żadnych bezpośrednich regulacji w zakresie instrumentów prawnych, które mogłyby być użyte przez państwa członkowskie w celu zachęcenia podmiotów z sektora prywatnego do aktywnego uczestnictwa w inicjatywach dot. ochrony IK. ENISA partnerstwo publiczno prywatne Równolegle do EPOIK prowadzone są działania zaplanowane w Komunikacie, gdzie po raz kolejny podkreślono, że chociaż ostateczną odpowiedzialność za określanie polityki związanej z krytyczną infrastrukturą teleinformatyczną (CII ang. Critical Information Infrastructure) ponoszą państwa członkowskie, jej wdrażanie uzależnione jest w istocie od zaangażowania sektora prywatnego, który posiada lub kontroluje dużą liczbę CII. Z drugiej strony, rynki nie zawsze w wystarczającym stopniu zachęcają sektor prywatny do inwestowania w ochronę CII na poziomie odpowiadającym oczekiwaniom rządów 69. W Komunikacie wskazuje się, iż aby rozwiązać ten problem dotyczący zarządzania, na szczeblu krajowym pojawiły się jako model odniesienia partnerstwa publiczno-prywatne ( PPP ). Jednak mimo zgody co do tego, że PPP byłyby również pożądane na szczeblu europejskim, europejskie PPP jak do tej pory jeszcze nie zaistniały. Za pomocą europejskich wielostronnych ram zarządzania, w których zwiększoną rolę odgrywać może agencja ENISA70, można by wspierać zaangażowanie sektora prywatnego w określanie strategicznych celów polityki publicznej oraz priorytetów i środków operacyjnych. Ramy te zapełniłyby lukę między działaniami politycznymi na szczeblu krajowym a rzeczywistą sytuacją operacyjną w terenie 71. Właśnie w celu wspierania modeli takiej współpracy PPP, ENISA wydała przewodnik dotyczący efektywności dobrych praktyk w tym zakresie (Przewodnik). W Przewodniku wskazuje się, że: władze państwowe same nie dysponują odpowiednimi środkami finansowymi niezbędnymi do sprawowania efektywnej ochrony IK oraz, że prowadzenie takiej ochrony wymaga stworzenia mechanizmów, które pozwolą zaangażować sektor prywatny KOM (2009) 149 wersja ostateczna, r. 67 KOM (2011) 163 wersja ostateczna, r. 68 KOM (2013) 48 wersja ostateczna, r. 69 KOM (2009) 149 wersja ostateczna, r., pkt Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji. 71 KOM (2009) 149 wersja ostateczna, r., pkt ENISA, Cooperative Model for Effective Public Private Partnerships Good Practice Guide, 2011, s. 18. To właśnie w tym dokumencie zostały wskazane po raz pierwszy przesłanki, które mogą być kwalifikowane jako pośrednia zachęta do aktywnej współpracy sektora prywatnego z sektorem publicznym w zakresie ochrony IK (w ramach współpracy publiczno-prywatnej), tj.: zmniejszenie ryzyka narażania CII na uszkodzenia, które generują koszty po stronie operatorów / właścicieli IK; zmniejszenie kosztów realizacji obowiązków w zakresie zapewnienia odpowiednich standardów ochrony dla CII; zapewnienie dostępu do specjalistycznej wiedzy w zakresie ochrony CII; zapewnienie istotnego wpływu na ostateczne kształtowanie polityki państw członkowskich w zakresie ochrony CII, w tym na sposób sformułowania obowiązków nałożonych w powyższym zakresie na podmioty funkcjonujące w sektorze prywatnym (operatorzy/ właściciele IK). Powyższe przesłanki powinny być traktowane jako ogólne założenia, które mają w swoim zamierzeniu pełnić funkcję wspomagającą państwa członkowskie w zakresie implementacji bardziej konkretnych rozwiązań służących promocji PPP na poziomie krajowym. Poziom krajowy Ustawa o zarządzaniu kryzysowym Dyrektywa powinna była zostać implementowana do krajowych porządków prawnych do dnia 12 stycznia 2011 r. Polska implementowała Dyrektywę poprzez nowelizację ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym 73, która jest głównym aktem prawnym dotyczącym ochrony IK. Jak zostało wskazane na wstępie, niezależnie od Ustawy, polski ustawodawca zawarł również przepisy szczególne dotyczące pośrednio ochrony IK w innych aktach prawnych, które dotyczą konkretnych sektorów gospodarki, takich jak np. telekomunikacja 74, czy też lotnictwo 75. Wśród zadań z zakresu ochrony IK Ustawa wymienia m.in. współpracę między administracją publiczną a właścicielami oraz posiadaczami samoistnymi i zależnymi obiektów, instalacji lub urządzeń IK w zakresie jej ochrony. Ustawa nakłada na właścicieli oraz posiadaczy samoistnych i zależnych obiektów, instalacji lub urządzeń IK obowiązek ich ochrony, w szczególności przez przygotowanie i wdrażanie, stosownie do przewidywanych zagrożeń, planów ochrony IK oraz utrzymywanie własnych systemów rezerwowych zapewniających bezpieczeństwo i podtrzymujących funkcjonowanie tej infrastruktury, do czasu jej pełnego odtworzenia. Z kolei na organy państwa (Radę Ministrów) został nałożony obowiązek przyjęcia Narodowego Planu Ochrony Infrastruktury Krytycznej (NPOIK, Program). Program został przyjęty 26 marca 2013 r. Jednocześnie należy wskazać, że podobnie jak akty prawne na poziomie prawa UE, również i ustawodawstwo polskie nie wprowadza żadnych konkretnych regulacji, które mogłyby zostać zakwalifikowane bezpośrednio jako instrumenty motywujące (zachęcające) sektor 73 Ustawa z dnia 29 października 2010 r. o zmianie ustawy o zarządzaniu kryzysowym (Dz. U. Nr 240, poz. 1600). 74 Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U nr 171 poz. 1800). 75 Ustawa z dnia 3 lipca 2002 r. Prawo lotnicze, (Dz.U nr 130 poz. 1112). 30 Agnieszka Wiercińska-Krużewska, Piotr Gajek Prawne uwarunkowania ochrony infrastruktury krytycznej 31
18 prywatny do systematycznego polepszania standardów ochrony IK, co może ograniczać utrzymanie i rozwój IK. Jednak, również i w tym przypadku, takich instrumentów można próbować doszukać się w dokumentach o charakterze miękkim. Narodowy Program Ochrony Infrastruktury Krytycznej (NPOIK) W Programie podkreśla się, że operatorami znacznej części IK są prywatni przedsiębiorcy niepowiązani z administracją publiczną. Program ustanawia ramy, w których administracja publiczna i operatorzy IK współpracują w celu zapewnienia ciągłości działania IK, chroniąc tym samym gospodarcze i społeczne fundamenty naszego kraju. Program zakreśla mechanizmy rozwoju partnerskich relacji między administracją publiczną i operatorami IK w zakresie ochrony IK 76. Uwzględniając powyższe oraz obowiązek nałożony na operatorów IK przez Ustawę, Program adresowany jest także do tych podmiotów, a w szczególności do ich zarządów. Adresatem Programu automatycznie staje się każdy nowy operator IK. Operatorzy IK uczestniczą w działaniach na rzecz ochrony IK opisanych w Programie. W Programie podkreśla się, że jednym z kluczowych elementów zapewniających sprawną i całościową ochronę IK, jest współpraca sektora publicznego z sektorem prywatnym 77, jak i współpraca wewnątrz tych sektorów, ze szczególnym uwzględnieniem współpracy przedstawicieli poszczególnych systemów w sektorze prywatnym. Ważnym elementem współpracy jest wypracowanie przejrzystych zasad i procedur między organami i służbami państwa a właścicielami oraz posiadaczami samoistnych i zależnych obiektów, instalacji lub urządzeń IK 78. Należy jednak zaznaczyć, że PPP 79 w rozumieniu Programu (zakresie ochrony IK) oznacza jedynie rodzaj współpracy między jednostkami administracji publicznej a podmiotami prywatnymi, poprzez na przykład wymianę wszelkich informacji mogących mieć wpływ na osiągnięcie celów NPOIK. Takie partnerstwo nie przewiduje natomiast zawarcia jakiejkolwiek umowy, na podstawie której następowałaby realizacja za wynagrodzeniem przez partnera prywatnego przedsięwzięcia na rzecz podmiotu publicznego 80. W tym przedmiocie zasadne jest, aby wyraźnie odróżnić nazewnictwo obu form współpracy tj. współpracy prywatno-publicznej, na którą wskazuje NPOIK, oraz współpracy w formie PPP w rozumieniu ustawy o partnerstwie publiczno-prywatnym 81 (Ustawa PPP). Wydaje się, że poza współpracą wskazaną w NPOIK, rozumianą jako pewien proces wymiany informacji, istotnym uzupełnieniem systemu ochrony IK mogłyby być również właśnie PPP w rozumieniu Ustawy PPP. W dalszej części opracowania, partnerstwo publiczno-prywatne w rozumieniu NPOIK będzie określane jako WPP, natomiast partnerstwo publiczno-prywatne w rozumieniu Ustawa PPP jako PPP. Z uwagi jednak, iż omówienie PPP wykraczałoby poza przedmiot niniejszego opracowania, nie będzie poddawane w tym miejscu bliższej analizie. 76 Narodowy Program, op. cit., s Szerzej na temat przyszłości współpracy prywatno-publicznej w Polsce patrz w rozdziale 3 Efektywna współpraca prywatni-publiczna czynniki sukcesu. 78 Rządowe Centrum Bezpieczeństwa, [dostęp: ]. 79 Chodzi o partnerstwo publiczno-prywatne wskazane Narodowy Program, op. cit. s.33. (współpraca). 80 Narodowy Program, op. cit., s Ustawa z dnia 19 grudnia 2008 r. o partnerstwie publiczno-prywatnym, (Dz. 2009, nr 19, poz. 100). Jednakże wydaje się, że już samo uczestnictwo/przystąpienie do Programu, powinno być traktowane jako forma zachęty dla podmiotów należących do sektora prywatnego do podejmowania współpracy w zakresie ochrony IK. W szczególności, zachęcie tej miałaby służyć możliwość aktywnego działania tych podmiotów w ramach specjalistycznego forum WPP stworzonego na potrzeby Programu 82. Do kluczowych celów tego forum ma bowiem należeć: stworzenie platformy sprzyjającej wymianie opinii jak i pracy nad delikatnymi kwestiami ochrony IK; zgłaszanie i wypracowywanie nowych rozwiązań prawnych dotyczących ochrony IK; wymiana opinii i uwag zainteresowanych podmiotów już na wczesnym etapie prac legislacyjnych w obszarze IK; organizacja warsztatów, seminariów i konferencji poświęconych tematyce ochrony IK; stworzenie bazy specjalistów w kwestiach związanych z tematyką IK w poszczególnych systemach finansowym, łączności, sieci teleinformatycznych, zaopatrzenia w energię, surowce energetyczne i paliwa itd. Wydaje się więc, że w powyższym zakresie, forum WPP stworzone w ramach Programu będzie w znacznej mierze powielało podstawowe założenia określone w Przewodniku. W konsekwencji, będzie ono stanowiło również instrument motywujący podmioty należące do sektora prywatnego do aktywności w zakresie polepszania standardów ochrony IK. Dzięki pracom forum powstanie baza specjalistów w kwestiach związanych z tematyką IK w poszczególnych systemach finansowym, łączności i sieci teleinformatycznych, zaopatrzenia w energię i paliwa itd. Eksperci ci, będą współpracowali ze stroną rządową m.in. w trakcie prac podejmowanych na forum Unii Europejskiej w celu przedyskutowania z sektorem prywatnym propozycji legislacyjnych Unii. Funkcjonowanie bazy specjalistów przyspieszy proces konsultacji i jednocześnie pozwoli na korzystanie z doświadczenia i wiedzy, która w samej administracji publicznej może być niewystarczająca 83. Podmioty uczestniczące w forum będą więc mogły: prowadzić aktywny dialog w zakresie kształtowania zasad ochrony IK; wywierać wpływ na ostateczny kształt konkretnych rozwiązań implementowanych w powyższym zakresie oraz korzystać na bieżąco z porad stałych ekspertów. Wydaje się, iż efektem forum WPP mogłoby być m.in.: wypracowanie jasnych, przejrzystych zasad i procedury działania oraz wymiany informacji między organami państwa a partnerami prywatnymi; wypracowanie jednolitych, kompatybilnych sposobów gromadzenia i przetwarzania informacji dotyczących zagrożeń IK; opracowywanie i wdrażanie procedur na wypadek wystąpienia zagrożeń IK; wskazanie sposobów, mechanizmów ochrony oraz odtwarzania IK; opracowanie optymalnych sposobów zapewnienia bezpieczeństwa danym, otrzymanym od podmiotów prywatnych; utrzymywanie systemów rezerwowych; 82 Szerzej na temat metodyki zarządzania, struktury organizacyjnej, finansowania oraz komunikacji w ramach takich forów patrz rozdział 4 Metodyka zarządzania forami infrastruktury krytycznej. 83 Rządowe Centrum Bezpieczeństwa, [dostęp: ]. 32 Agnieszka Wiercińska-Krużewska, Piotr Gajek Prawne uwarunkowania ochrony infrastruktury krytycznej 33
19 opracowanie procedur zapobiegania zakłóceniom funkcjonowania IK oraz przygotowania na sytuacje kryzysowe mogące niekorzystnie wpłynąć na IK. W celu realizacji przedstawionych powyżej zadań oraz osiągnięcia wskazanych rezultatów, konieczne jest podjęcie całego szeregu działań: edukacyjnych, planistycznych, koordynacyjnych i legislacyjnych. Działania te w pierwszej kolejności powinny być podejmowane przez Rządowe Centrum Bezpieczeństwa. W związku z tym, że NPOIK został opracowany dopiero w marcu 2013 r. (co było przedmiotem krytyki chociażby Najwyższej Izby Kontroli) trudno w tej chwili powiedzieć czy działania te będą sprawnie podejmowane. Zgodnie z informacjami udostępnianym przez Rządowe Centrum Bezpieczeństwa wykaz elementów infrastruktury powstał i jest uaktualniany, natomiast w związku z tym, że dostęp do niego ma wyłącznie ograniczony krąg osób, trudno wypowiadać się o jego kompletności. W chwili obecnej fakt istnienia Programu i wykazu IK pozwala na przystąpienie do dalszych prac szczegółowo regulujących mechanizmy efektywnego zarządzania i ochrony IK. Finansowanie działań dotyczących ochrony IK w Polsce W Programie podkreśla się, że działania z zakresu ochrony IK są finansowane ze środków własnych uczestników Programu i planowane w ich budżetach, w przypadku operatorów IK na podstawie art. 6 Ustawy. Zarówno Program, jak i Ustawa, nie wskazują bezpośrednio na możliwość ubiegania się przez właścicieli oraz operatorów IK o refinansowanie kosztów poniesionych na IK z budżetu państwa lub UE 84. Jednakże, wśród instrumentów pośrednio finansujących działania z zakresu ochrony IK, Program wymienia Decyzję Rady z dnia 12 lutego 2007 r. ustanawiającą na lata , jako część ogólnego programu w sprawie bezpieczeństwa i ochrony wolności, szczegółowy program: Zapobieganie, gotowość i zarządzanie skutkami terroryzmu i innymi rodzajami ryzyka dla bezpieczeństwa 85 CIPS. Celem CIPS było umożliwienie wsparcia finansowego z budżetu Unii Europejskiej działań realizowanych m.in. w obszarze ochrony IK, takich jak: stymulowanie, promowanie i wspieranie ocen ryzyka dotyczących IK w celu modernizacji systemów bezpieczeństwa; stymulowanie, promowanie i wspieranie opracowania metodologii ochrony IK, szczególnie metodologii w zakresie oceny ryzyka; promowanie i wspieranie rozwoju standardów bezpieczeństwa oraz wymiany know-how i doświadczeń w zakresie ochrony ludności i IK; promowanie i wspieranie koordynacji i współpracy na skalę wspólnotową dotyczącą ochrony IK. Jednocześnie, w ramach CIPS beneficjentami projektów odwołujących się do tematyki ochrony IK mogły być również podmioty z sektora prywatnego, które mogły ubiegać się o odpowiednie dofinansowanie inicjatyw zgodnych z podstawowymi celami tego programu. Program CIPS ustanowiony był w okresie od dnia 1 stycznia 2007 r. do 31 grudnia 2013 r. i obecnie częściowo 84 Na tę kwestię wskazywano już w Studium Ministerstwa Infrastruktury w 2006 r., por. r. Piwowarczyk, Ochrona Infrastruktury Krytycznej. 85 Dz. Urz. UE z r., L 58/1. ma zostać zastąpiony poprzez Fundusz Bezpieczeństwa Wewnętrznego, instrument finansowy na rzecz wspierania współpracy policyjnej, zapobiegania i zwalczania przestępczości oraz zarządzania kryzysowego (FBW) 86. Wśród potencjalnych pośrednich źródeł, z których operatorzy IK mogą ubiegać się o finansowanie IK, należy wskazać również krajowe programy operacyjne, w ramach których wydatkowane są środki z funduszy europejskich 87 (obecnie w trakcie tworzenia na nową perspektywę finansową na lata ) czy instrument finansowy na poziomie UE Łącząc Europę (CEF ang. Connecting Europe Facility) 88. CEF w zakresie celów związanych z infrastrukturą sieci telekomunikacyjnych wymienia m.in. wsparcie krytycznej infrastruktury teleinformatycznej. Należy wskazać, iż oprócz wymiany informacji co do zagrożeń oraz szeroko pojętej współpracy prywatno-publicznej, kluczową kwestią pozostaje zapewnienie sposobu w jaki sektor prywatny podejmowałby aktywne działania w celu ochrony IK znajdującej się w jego posiadaniu, wykraczające poza podstawowe środki polegające wyłącznie na ochronie swoich zasobów. Słusznie bowiem stawia się pytanie o to, kto powinien odpowiadać za bezpieczeństwo IK, jeżeli sektor prywatny nie jest wystarczająco zmotywowany do inwestycji w bezpieczeństwo IK, a z drugiej strony państwo nie podejmuje niezbędnych inicjatyw w tym przedmiocie 89. Podkreśla się, że istnieją niewielkie zachęty finansowe dla akcjonariuszy do inwestowania w bezpieczeństwo IK ponad ich interes w danej organizacji, a tym samym podmioty prywatne wspierają inwestycję w bezpieczeństwo IK tylko w zakresie, w jakim jest to niezbędne i zyskowne. Tak więc rynek sam w sobie nie generuje wystarczających zachęt do skutecznego zabezpieczenia IK 90. Przykładowo wskazuje się, iż w dziedzinie energetyki, konieczność redukcji kosztów i zapewnienia bezpieczeństwa dostaw może prowadzić do sprzecznych celów polityki publicznej i niewystarczających zachęt po stronie podmiotów prywatnych do inwestowania w zwiększoną ochronę infrastruktury 91. Z kolei poleganie wyłącznie na najlepszych praktykach i wewnętrznych regulacjach wprowadzonych przez poszczególne sektory (ang. industry self-regulation) może okazać się niewystarczające w dobie obecnych zagrożeń 92. Wprowadzanie pewnych wymogów przez podmioty prywatne w danych sektorach, jest praktyką umożliwiającą m.in. podniesienie standardów branżowych. Samoregulacja jest środkiem, który pozwala na przekraczanie minimalnych wymogów prawnych, a także może wzmacniać zrozumienie i zgodność z obowiązującymi przepisami. W konkurencyjnym środowisku, współpraca wewnątrz-sektorowa jest silną zachętą dla przedsiębiorstw do ciągłego doskonalenia 86 Obecnie trwają pracę nad Rozporządzeniem Parlamentu Europejskiego i Rady (UE) ustanawiającym, w ramach Funduszu Bezpieczeństwa Wewnętrznego, instrument finansowy na rzecz wspierania współpracy policyjnej, zapobiegania i zwalczania przestępczości oraz zarządzania kryzysowego. 87 W szczególności z Funduszu Spójności oraz Europejskiego Funduszu Rozwoju Regionalnego. 88 Connecting Europe Facility, [dostęp: ]. 89 P. Auerswald, L.M. Branscomb, Todd, M. La Porte, E. Michel-Kerjan, The Challenge of Protecting Criticial Infrastructure, Risk Management and Decision Process Center, Wharton University of Pennsylvania, Working Paper # 05-11, October 2005, s S. Eckert, Protecting Critical Infrastructure: The Role of the Private Sector, Matthew B Ridgway Center for International Security Studies, Pittsburgh, United States, 2005, s CEPS, Task Force Report, Protecting critical infrastructure in the EU, Brussels 2010, s Ibidem, s Agnieszka Wiercińska-Krużewska, Piotr Gajek Prawne uwarunkowania ochrony infrastruktury krytycznej 35
20 standardów i ich podnoszenia, w celu zdobycia udziałów w rynku. Dobrowolne wprowadzanie pewnych wymogów przez podmioty prywatne, pozwala często uniknąć nakładania obowiązków i wymagań przez państwo. Powyższe można odnieść również w kontekście problemu ochrony i bezpieczeństwa IK, dlatego podmioty prywatne z poszczególnych sektorów będące w posiadaniu IK powinny być zachęcane do wprowadzania samoregulacji w tym zakresie. Należy zwrócić uwagę na potrzebę wypracowania dodatkowych, silniejszych zachęt na rzecz bardziej aktywnego zaangażowania sektora prywatnego w ochronę IK. W rozdziale 3 niniejszego raportu wskazano na potencjalne instrumenty, które państwo może w tym celu zastosować np.: ulgi podatkowe, dotacje (granty), ulgi ubezpieczeniowe, certyfikowanie firm, preferencyjne kredytowanie. Powinno się tworzyć również zachęty dla oddolnego podejmowania działań przez podmioty prywatne z poszczególnych sektorów (samoregulacji), na rzecz wypracowania i przestrzegania pewnych standardów i rozwiązań w zakresie ochrony i bezpieczeństwa IK. Wydaje się, iż skuteczność systemu ochrony IK składającego się z elementów wyżej wskazanych tj. szeroko pojętej współpracy publiczno-prywatnej (WPP), w tym wymiany informacji, samoregulacji poszczególnych sektorów oraz zachęt fiskalnych oraz para fiskalnych, byłaby znacząco większa. Kierunek zmian w zakresie wymogów dotyczących ochrony IK Dotychczasowe podejście w zakresie ochrony IK oparte jest przede wszystkim na dobrowolnej współpracy sektora publicznego i prywatnego. W nowych regulacjach prawnych na poziomie UE można jednak dostrzec zmianę na rzecz podejścia regulacyjnego. Chodzi w szczególności o Dyrektywę Parlamentu Europejskiego i Rady w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie UE 93 (Dyrektywa NIS). Celem proponowanej dyrektywy jest zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji. Obecnie trwają prace nad ostateczną wersją tego aktu prawnego. W projekcie Dyrektywy NIS, Komisja Europejska przyjęła właśnie podejście regulacyjne (sankcyjne) uznając, iż stosowane dotychczas podejście oparte na dobrowolności doprowadziło do niejednolitego poziomu gotowości i ograniczonego poziomu współpracy. Uznano, iż obecny stan rzeczy w UE, który odzwierciedla czysto dobrowolne podejście, nie zapewnia wystarczającej ochrony przed incydentami w zakresie bezpieczeństwa sieci i informacji oraz przed zagrożeniami w obrębie całej UE. W ocenie Komisji nieprawdopodobne jest, by wszystkie państwa członkowskie osiągnęły porównywalny krajowy poziom zdolności i gotowości niezbędny do poprawy bezpieczeństwa oraz umożliwienia współpracy i wymiany informacji poufnych na poziomie UE wyłącznie poprzez dobrowolne działania państw członkowskich oraz podmiotów prywatnych. W ramach zaproponowanego w Dyrektywie NIS wariantu regulacyjnego, właściwe organy krajowe oraz zespoły reagowania na incydenty komputerowe mają stanowić element sieci 93 COM(2013) 48 final, 2013/0027 (COD) służącej współpracy na poziomie UE. W obrębie tej sieci organy krajowe i zespoły reagowania na incydenty komputerowe prowadziłyby wymianę informacji oraz współpracę w celu zwalczania zagrożeń i incydentów w obszarze bezpieczeństwa sieci i informacji zgodnie z europejskim planem awaryjnym na wypadek incydentów cybernetycznych i europejskim planem współpracy, które musiałyby zostać uzgodnione przez państwa członkowskie. Komisja ma zamiar zobowiązać wszystkie państwa członkowskie do stworzenia przynajmniej minimalnych zdolności krajowych (zespoły reagowania na incydenty komputerowe, właściwe organy, krajowe plany awaryjne na wypadek incydentów cybernetycznych, krajowe strategie bezpieczeństwa cybernetycznego). W uzasadnieniu Dyrektywy NIS wskazano, iż [ ] podmioty zarządzające infrastrukturą krytyczną lub świadczące usługi niezbędne do funkcjonowania naszych społeczeństw nie są zobowiązane do przyjęcia środków przeciwdziałania zagrożeniom ani do wymiany informacji z właściwymi organami. Tak więc z jednej strony brakuje skutecznych bodźców, które zmusiłyby przedsiębiorstwa do odpowiedniego przeciwdziałania zagrożeniom, łącznie z przeprowadzaniem oceny zagrożeń i podejmowaniem odpowiednich kroków w celu zapewnienia bezpieczeństwa sieci i informacji. 94 Z tego względu Przedsiębiorstwa (z wyjątkiem mikroprzedsiębiorstw) w określonych branżach o znaczeniu krytycznym, takich jak bankowość, energetyka (energia elektryczna i gaz ziemny), transport, ochrona zdrowia oraz infrastruktura podstawowych usług internetowych, jak również organy administracji publicznej mają zostać zobowiązane do oceny zagrożeń, przed którymi stoją, oraz przyjęcia właściwych i proporcjonalnych środków w odpowiedzi na faktyczne zagrożenia. Podmioty te zostałyby ponadto zobowiązane do zgłaszania właściwym organom incydentów, które mają znaczny negatywny wpływ na funkcjonowanie ich sieci i systemów informatycznych, a tym samym niosą ze sobą istotne skutki dla ciągłości świadczenia usług i prowadzenia dostaw towarów, które są uzależnione od tych sieci i systemów. 95 Przejawem powyższego podejścia jest proponowana treść m.in. art. 14 oraz 15 projektu Dyrektywy NIS (w brzmieniu po poprawkach Parlamentu Europejskiego 96 ). Zgodnie z art. 14 ust. 1-3: 1. Państwa członkowskie zapewniają zastosowanie przez organy administracji publicznej i podmioty gospodarcze właściwych środków technicznych i organizacyjnych w celu wykrywania zagrożeń, na jakie narażone są kontrolowane i wykorzystywane przez nie sieci i systemy informatyczne, skutecznego przeciwdziałania takim zagrożeniom i ich ograniczania. Uwzględniając aktualny stan wiedzy i technologii, środki te zapewniają poziom bezpieczeństwa stosowny i proporcjonalny do istniejącego zagrożenia. W szczególności należy podjąć środki zapobiegające incydentom dotyczącym sieci i systemów informatycznych organów administracji publicznej i podmiotów gospodarczych oraz minimalizujące wpływ tych incydentów na świadczone przez nie podstawowe usługi, zapewniając tym samym ciągłość usług oraz bezpieczeństwo danych opartych na tych sieciach i systemach informatycznych. 94 Wniosek dotyczący środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie Unii, SWD (2013) 31 final, , s Dokument Roboczy Służb Komisji, Streszczenie Oceny Skutków, Towarzyszący dokumentowi: Wniosek dotyczący środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie Unii, SWD (2013) 31 final, , ss Sprawozdanie PE z dnia 12 luty 2014 r. w sprawie wniosku dotyczącego dyrektywy Parlamentu Europejskiego i Rady w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie Unii (COM(2013) 48 C70035/ /0027(COD)). 36 Agnieszka Wiercińska-Krużewska, Piotr Gajek Prawne uwarunkowania ochrony infrastruktury krytycznej 37
Partner Główny Bezpieczeństwo infrastruktury krytycznej wymiar teleinformatyczny Grzegorz Abgarowicz, Ryszard Antkiewicz, Piotr Ciepiela, Michał Dyk, Dominika Dziwisz, Zbigniew Fałek, Piotr Gajek, Rafał

References: Art. 3
 art. 3
 art. 3
 Art. 5
 art. 6
 art. 14
 art. 14