Jammer w rękach operatora infrastruktury krytycznej. Co naprawdę zmieniła ustawa z 4 lipca 2026 r.

Od 4 lipca 2026 r. obowiązuje nowelizacja ustawy o zarządzaniu kryzysowym, którą prasa branżowa streściła jednym zdaniem: operatorzy infrastruktury krytycznej mogą wreszcie legalnie używać zagłuszaczy. To skrót na tyle odległy od treści przepisu, że procedura oparta na nim będzie niewykonalna w dniu, w którym trzeba ją będzie wykonać. Ustawodawca nie przyznał operatorowi prawa do zagłuszania drona. Przyznał mu kompetencję do podjęcia decyzji o dopuszczalności zastosowania urządzenia — na czas czynności wykonywanych przez pracowników specjalistycznej uzbrojonej formacji ochronnej, w przypadkach opisanych w trzech innych ustawach, po wcześniejszym przekazaniu trzem organom pełnej karty technicznej sprzętu. Ten sam mechanizm dostały też Policja, Straż Graniczna i SOP — a operator dostał jego najwęższą wersję.

Ten tekst nie jest omówieniem całej nowelizacji — ta przebudowuje polski system zarządzania kryzysowego znacznie szerzej, wdrażając unijną dyrektywę CER. Interesuje nas w niej jedno: co dokładnie wolno zrobić operatorowi obiektu, nad którym pojawia się bezzałogowy statek powietrzny, kto ma to zrobić, kogo trzeba o tym zawiadomić i czego przepis nie rozstrzyga. Odpowiedzi układają się w konstrukcję znacznie ostrożniejszą, niż sugerowały komunikaty resortowe — i w kilku miejscach na tyle nieostrą, że wypełnienie luki spadnie na autora procedury obiektowej. Kto w polskim porządku prawnym może wobec drona zrobić cokolwiek i z jakim przygotowaniem, opisaliśmy wcześniej w tekście Kompetencje personelu do przeciwdziałania zagrożeniom ze strony dronów. Po co to komu — pokazuje najlepiej zdarzenie z Osin w 2025 roku, gdzie obiekt z ładunkiem wybuchowym spadł na terenie kraju, a reakcja instytucjonalna ruszyła długo po fakcie.

---

Podstawa prawna i data, od której to obowiązuje

Chodzi o ustawę z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, ogłoszoną w Dzienniku Ustaw z 19 czerwca 2026 r. pod pozycją 815. Zgodnie z jej przepisem końcowym ustawa weszła w życie po upływie czternastu dni od dnia ogłoszenia, czyli 4 lipca 2026 r.

Nowelizacja wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2557 w sprawie odporności podmiotów krytycznych, znaną jako dyrektywa CER. To ważne dla zrozumienia całej reszty: przepis o urządzeniach zakłócających nie jest ustawą antydronową, tylko fragmentem dużej regulacji odpornościowej. Stąd jego konstrukcja i stąd obowiązki, które przyszły razem z uprawnieniem.

Ustawa nie dała operatorowi prawa do zagłuszania drona

Przepis, o którym mowa, to art. 6zj ustawy o zarządzaniu kryzysowym w brzmieniu nadanym nowelizacją. Konstrukcja jest dwupoziomowa i to jej niezrozumienie jest źródłem całego zamieszania.

Operator infrastruktury krytycznej podejmuje decyzję o dopuszczalności zastosowania urządzeń uniemożliwiających telekomunikację na określonym obszarze — a użycie tych urządzeń następuje przez czas niezbędny do wykonywania czynności przez pracowników ochrony specjalistycznych uzbrojonych formacji ochronnych. Operator nie jest podmiotem wykonującym przeciwdziałanie. Jest podmiotem, który dopuszcza jego wykonanie na swoim terenie.

Drugi poziom to podstawa dla samej czynności. Ustawa odsyła tu do trzech przepisów, a każdy z nich odpowiada innej domenie:

• powietrze — art. 156ze ust. 1 ustawy — Prawo lotnicze, przepis o dopuszczalności zniszczenia, unieruchomienia lub przejęcia kontroli nad bezzałogowym statkiem powietrznym. Nowelizacja go nie zmienia; reżim lotniczy istniał wcześniej;
• woda — art. 28a ust. 1 ustawy o ochronie żeglugi i portów morskich, dla bezzałogowego obiektu pływającego;
• ląd — art. 11 pkt 17 ustawy o środkach przymusu bezpośredniego i broni palnej, przepis nowy, dodany tą właśnie nowelizacją, dotyczący bezzałogowego obiektu lądowego, gdy zagraża on życiu lub zdrowiu, stwarza zagrożenie dla chronionych obiektów, zakłóca zgromadzenie albo imprezę masową lub uzasadnia podejrzenie użycia jako środka ataku terrorystycznego.

W relacjach prasowych ten katalog bywa zwijany do samych dronów latających. Uprawnienie operatora obejmuje wszystkie trzy domeny — także platformy naziemne i pływające, które w analizach zagrożeń dla obiektów przemysłowych pojawiają się rzadko, a od tej nowelizacji mają własną podstawę prawną.

Osobno nowelizacja dodaje do ustawy o środkach przymusu bezpośredniego przepis domykający konstrukcję: środki i urządzenia przeznaczone do zwalczania obiektów bezzałogowych, jeżeli uniemożliwiają telekomunikację na określonym obszarze, mogą być stosowane wyłącznie na zasadach określonych w przepisach odrębnych. Tymi przepisami odrębnymi są właśnie art. 6zj i jego odpowiedniki dla służb. Zakłócanie zostało więc świadomie wyjęte z ogólnego katalogu środków i podporządkowane osobnej procedurze.

Ogniwo trzecie to znowelizowana ustawa o ochronie osób i mienia. Przesądza ona, że pracownicy SUFO mogą użyć odpowiednich środków przymusu bezpośredniego wobec obiektów bezzałogowych w granicach chronionych obiektów i obszarów. Poza tymi granicami katalog przesłanek jest znacznie węższy i przypadków bezzałogowych nie obejmuje. Zasięg oddziaływania urządzenia nie jest więc tożsamy z zasięgiem uprawnienia: obiekt może zostać wykryty kilometr od ogrodzenia, ale czynność wykonuje się na terenie chronionym.

Praktyczny wniosek jest twardy. Obiekt, którego nie chroni specjalistyczna uzbrojona formacja ochronna — własna wewnętrzna służba ochrony albo koncesjonowany przedsiębiorca — nie ma kto wykonać czynności, którą operator miałby dopuścić. Decyzja bez wykonawcy jest dokumentem, nie zdolnością. To pierwsza rzecz do sprawdzenia przed jakąkolwiek rozmową z dostawcą sprzętu.

Zanim urządzenie zostanie użyte, trzy organy dostają jego pełną kartę techniczną

Ustęp pierwszy art. 6zj nakłada obowiązek informacyjny poprzedzający. Operator informuje o możliwości zastosowania takich urządzeń trzy podmioty: ministra właściwego do spraw wewnętrznych jako operatora Systemu Bezpiecznej Łączności Państwowej, Prezesa Urzędu Komunikacji Elektronicznej oraz kierownika jednostki organizacyjnej podległej Ministrowi Obrony Narodowej właściwej w sprawach zarządzania częstotliwościami.

Zakres informacji jest opisany szczegółowo i warto go czytać jako gotową listę wymagań do postępowania zakupowego. Przekazać trzeba nazwę i rodzaj urządzeń oraz ich parametry techniczne: zakresy częstotliwości pracy, moc promieniowaną w poszczególnych zakresach, rodzaje i charakterystyki anten wraz z wysokością zawieszenia, współrzędne miejsca instalacji oraz sektory planowanego oddziaływania.

Zwróćmy uwagę na dwie rzeczy. Po pierwsze, ustawa mówi „informuje”, a nie „uzyskuje zgodę” — nie ustanowiono procedury zezwoleniowej ani terminu, po którym milczenie organu oznaczałoby akceptację. Po drugie, wymagany zestaw danych to dokładnie ten sam zestaw, którego operator potrzebuje, żeby samodzielnie oszacować promień skutków ubocznych. Jeżeli dostawca nie potrafi podać mocy promieniowanej w poszczególnych zakresach i sektorów oddziaływania, urządzenia nie da się zgodnie z ustawą zgłosić — a więc nie da się go legalnie użyć. To jest kryterium do wpisania do opisu przedmiotu zamówienia, zanim ktokolwiek zacznie porównywać oferty.

Po zastosowaniu urządzenia operator zawiadamia te same trzy organy niezwłocznie. Procedura obiektowa musi więc przewidywać dwa odrębne momenty zawiadomienia, z dwoma różnymi wyzwalaczami: przed wdrożeniem zdolności i po każdym użyciu.

Minister spraw wewnętrznych i Minister Obrony Narodowej mogą nakazać zaprzestanie

To element najczęściej pomijany w omówieniach, a operacyjnie kluczowy. Jeżeli jest to niezbędne dla funkcjonowania Systemu Bezpiecznej Łączności Państwowej albo dla bezpieczeństwa wewnętrznego i porządku publicznego, minister właściwy do spraw wewnętrznych może nakazać operatorowi zaprzestanie stosowania urządzeń lub zmianę sposobu ich wykorzystywania. Analogiczne uprawnienie — ze względu na obronność i bezpieczeństwo państwa — przysługuje Ministrowi Obrony Narodowej, który może je powierzyć kierownikowi właściwej jednostki podległej. O wydaniu nakazu informowany jest dyrektor Rządowego Centrum Bezpieczeństwa, a w przypadku nakazu resortu obrony także właściwy komendant wojewódzki Policji.

Zdolność, którą operator zbuduje, może zostać wyłączona decyzją organu — i to bez związku z sytuacją na obiekcie. Plan ochrony musi mieć wariant działania po takim nakazie. Jeżeli jedyną warstwą przeciwdziałania jest zagłuszanie, wariant ten brzmi: wykrywamy, dokumentujemy, wzywamy służby. Warto to napisać wprost, zanim sytuacja to napisze za nas.

Ten sam mechanizm dostały Policja, Straż Graniczna i SOP

Nowelizacja nie stworzyła wyjątku dla operatorów infrastruktury krytycznej. Zbudowała jeden wzorzec i powieliła go w czterech ustawach. Decyzję o dopuszczalności zastosowania urządzeń uniemożliwiających telekomunikację podejmują odpowiednio: Komendant Główny Policji, Komendant CBŚP, Komendant CBZC albo komendant wojewódzki Policji; Komendant Główny Straży Granicznej, Komendant BSWSG albo komendant oddziału; Komendant SOP — oraz operator infrastruktury krytycznej.

Różnice między tymi czterema przepisami są dla operatora najciekawszą częścią całej nowelizacji. Policja i Straż Graniczna mogą uruchomić zagłuszanie na trzech niezależnych podstawach: w celu realizacji własnych zadań ustawowych, w trzech przypadkach domenowych oraz po wprowadzeniu trzeciego lub czwartego stopnia alarmowego. Operatorowi przysługuje wyłącznie podstawa druga. Nie ma klauzuli zadaniowej i nie ma wyzwalacza stopnia alarmowego. Ogłoszenie stopnia CHARLIE albo DELTA nie rozszerza uprawnień operatora — nadal potrzebny jest konkretny obiekt bezzałogowy spełniający przesłanki z jednej z trzech ustaw.

Różny jest też limit czasowy. Policja może zagłuszać przez czas niezbędny do wyeliminowania zagrożenia lub jego skutków. Straż Graniczna i SOP — przez czas niezbędny do wykonywania własnych czynności. Operator — przez czas niezbędny do czynności pracowników SUFO. U operatora zegar odmierza więc cudzą czynność, nie stan zagrożenia. To kolejny powód, żeby procedura obiektowa opisywała najpierw rolę SUFO, a dopiero potem sprzęt.

Katalog: kto jest uprawniony, a kto tylko tak brzmi

Porządkując, bo w komunikatach te role się zlewają:

• Operator infrastruktury krytycznej — czyli właściciel lub posiadacz obiektu, urządzenia, instalacji, sieci, systemu lub usługi wpisanych do wykazu infrastruktury krytycznej. Podejmuje decyzję o dopuszczalności, realizuje oba obowiązki informacyjne, wykonuje nakaz organu.
• Pracownicy ochrony SUFO — wykonują czynność, w granicach art. 156ze Prawa lotniczego i przepisów o środkach przymusu bezpośredniego.
• Służby — Policja, Straż Graniczna i SOP mają własne, szersze przepisy o decyzji o dopuszczalności. Decyzja operatora dotyczy czynności SUFO na jego terenie i w niczym nie zastępuje ani nie ogranicza działań służb.
• Podmiot, który nie jest operatorem infrastruktury krytycznej — nie uzyskał na podstawie tego przepisu żadnego uprawnienia. Dotyczy to również obiektów ważnych, ale niewpisanych do wykazu: prywatnych zakładów produkcyjnych, obiektów samorządowych, lotnisk ogólnego przeznaczenia.

Ostatni punkt ma konsekwencję, o której warto mówić głośno: status operatora infrastruktury krytycznej wynika z wpisu do wykazu prowadzonego przez Rządowe Centrum Bezpieczeństwa, o którym podmiot jest zawiadamiany. Nie jest to samoocena. Jeżeli zawiadomienia nie było, przepis nas nie dotyczy.

Uprawnienie przyszło w pakiecie z obowiązkami

Ta sama nowelizacja nakłada na operatorów infrastruktury krytycznej zestaw obowiązków, których zegar rusza nie od wejścia ustawy w życie, lecz od dnia otrzymania informacji o wpisie do wykazu. Rządowe Centrum Bezpieczeństwa ma na przekazanie tej informacji trzydzieści dni od wpisu. Dalej terminy biegną tak:

• 30 dni — wyznaczenie koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy. Koordynator podlega bezpośrednio organowi zarządzającemu operatora i musi spełniać wymagania bezpieczeństwa osobowego w zakresie dostępu do informacji niejawnych.
• 6 miesięcy — przeprowadzenie analizy zagrożeń dla infrastruktury krytycznej.
• 6 miesięcy od analizy — wdrożenie rozwiązań adekwatnych do jej wyników, w sześciu obszarach: bezpieczeństwo fizyczne, techniczne, osobowe, cyberbezpieczeństwo, prawne oraz ciągłość działania i odtwarzanie.
• 15 miesięcy — złożenie oświadczenia o opracowaniu dokumentacji ochrony infrastruktury krytycznej. Dokumentacja jest niejawna, a zawarte w niej procedury działania w sytuacji zagrożenia uzgadnia się z właściwymi organami, służbami, strażami i inspekcjami.
• corocznie do 31 marca — raport o stanie ochrony infrastruktury krytycznej za rok ubiegły. Przepis przejściowy przesuwa jednak pierwszy raport: sporządza się go po raz pierwszy za rok 2027, a więc realnie do 31 marca 2028 r.

Dla naszego tematu istotne jest umiejscowienie: przeciwdziałanie dronom nie jest w tej strukturze osobną kategorią. Mieści się w bezpieczeństwie technicznym i fizycznym, a jego zasadność wynika z analizy zagrożeń. Kupno zagłuszacza przed przeprowadzeniem analizy zagrożeń jest odwróceniem kolejności, którą narzuca ustawa — i będzie wyglądało dokładnie tak w dokumentacji oraz w rocznym raporcie.

Czego przepis nie rozstrzyga

Sekcja obowiązkowa i w tym przypadku obszerna. Poniższe luki nie są zarzutem wobec ustawodawcy — są zadaniami, które spadają na autora procedury obiektowej.

Co znaczy „minimalizacja skutków braku możliwości korzystania z usług telekomunikacyjnych”. Ustawa nakazuje uwzględnić tę konieczność przy podejmowaniu decyzji, ale nie podaje ani miary, ani metody. Nie wiadomo, czy wystarczy ograniczenie czasu emisji, czy wymagane jest oszacowanie zasięgu oddziaływania. W praktyce operator musi sam zdefiniować kryterium i udokumentować, że je zastosował.

Jaki jest odstęp między zawiadomieniem a użyciem. Przepis nie przewiduje terminu, w którym organy miałyby się wypowiedzieć, ani nie uzależnia użycia od braku sprzeciwu. Formalnie zawiadomienie o możliwości zastosowania i decyzja o dopuszczalności mogą zapaść tego samego dnia. Czy tak zbudowana procedura obroni się przy kontroli — nie wiadomo.

Kto odpowiada za szkodę wyrządzoną skutkiem ubocznym. Zagłuszanie w otoczeniu obiektu dotyka systemów, które nie są celem. Ustawa nie reguluje odpowiedzialności cywilnej wobec podmiotów trzecich, które utraciły łączność albo sygnał nawigacji satelitarnej. Rozstrzygnie to praktyka, prawdopodobnie po pierwszym poważnym zdarzeniu.

Jak decyzja operatora ma się do czasu reakcji. Konstrukcja zakłada, że w chwili zagrożenia ktoś po stronie operatora podejmie decyzję o dopuszczalności. Ustawa nie mówi, czy może to być decyzja generalna, wydana z góry i uruchamiana warunkowo, czy musi być podejmowana za każdym razem. Przy zdarzeniu trwającym kilkadziesiąt sekund różnica jest rozstrzygająca. Do czasu wyjaśnienia rozsądne wydaje się przygotowanie decyzji ramowej z jasno opisanymi przesłankami uruchomienia i wskazaniem osoby upoważnionej wraz z zastępstwem na wszystkich zmianach.

Co zrobić z celem, którego nie da się zakłócić. Przepis operuje kategorią urządzeń uniemożliwiających telekomunikację. Platforma sterowana światłowodem albo lecąca autonomicznie po trasie wgranej przed startem nie prowadzi telekomunikacji, którą można uniemożliwić. Wobec takiego celu uprawnienie z art. 6zj jest bezprzedmiotowe, a operatorowi pozostaje wykrycie, udokumentowanie i wezwanie służb. Techniczne granice samego zakłócania i pozostałe warstwy przeciwdziałania omawiamy w dziale Neutralizacja.

Dlaczego operator nie dostał wyzwalacza stopnia alarmowego. Policja i Straż Graniczna mogą sięgnąć po zagłuszanie po wprowadzeniu trzeciego lub czwartego stopnia alarmowego. Operator nie. Z przepisu nie wynika, czy to świadome ograniczenie, czy przeoczenie — a różnica jest praktyczna, bo stopnie alarmowe wprowadza się właśnie wtedy, gdy zagrożenie jest realne, ale jeszcze nieskonkretyzowane.

Kalendarz: czego jeszcze nie ma

Wejście ustawy w życie 4 lipca 2026 r. nie oznacza, że system działa. Kluczowych aktów wykonawczych nadal brakuje, a bez nich nie ruszy ani identyfikacja podmiotów, ani standard, do którego operator ma się dostosować.

Do wydania pozostają między innymi rozporządzenie Rady Ministrów w sprawie minimalnych wymagań w sześciu obszarach bezpieczeństwa oraz rozporządzenie w sprawie wykazu usług kluczowych i progów istotności skutku zakłócającego. Projekty obu datowane są na 28 maja 2026 r. i przeszły konsultacje. Osobno przygotowywana jest niejawna uchwała Rady Ministrów określająca kryteria identyfikacji infrastruktury krytycznej.

Skalę progów pokazują wartości z projektu — z zastrzeżeniem, że to wciąż projekt i wartości mogą się zmienić. W energetyce elektrycznej progiem ma być równoczesne nieplanowane wyłączenie co najmniej dwóch modułów wytwarzania o łącznej mocy powyżej 400 MW w jednej elektrowni, trwające ponad piętnaście minut. W zaopatrzeniu w wodę — brak dostępności usługi dla co najmniej 100 tysięcy użytkowników przez ponad osiem godzin. Progi są sektorowe i przed przyjęciem ostatecznej wersji nie ma sensu szacować na ich podstawie własnego statusu.

Terminy systemowe liczone od wejścia ustawy w życie: sześć miesięcy na Krajową Ocenę Ryzyka i Krajową Strategię Odporności Podmiotów Krytycznych, dziewięć miesięcy na pierwszą identyfikację podmiotów krytycznych, dwanaście miesięcy na Krajowy Plan Zarządzania Ryzykiem.

Zestawmy to z prawem unijnym. Dyrektywa CER wymagała, aby państwa członkowskie zidentyfikowały podmioty krytyczne do 17 lipca 2026 r. Polska ustawa wdrażająca weszła w życie trzynaście dni przed tą datą, a przewidziany w niej harmonogram identyfikacji sięga wiosny 2027 r. Polska nie dotrzymała terminu dyrektywy i nie dotrzyma go jeszcze przez kilka miesięcy. Dla operatora oznacza to okres przejściowy, w którym obowiązki są znane co do rodzaju, a nieznane co do adresata i standardu.

Wnioski operacyjne

1. Sprawdź w dokumentacji, czy dostałeś z Rządowego Centrum Bezpieczeństwa zawiadomienie o wpisie do wykazu infrastruktury krytycznej. Bez niego uprawnienie z art. 6zj nie dotyczy Twojego obiektu, niezależnie od jego znaczenia gospodarczego.
2. Ustal, kto fizycznie wykona czynność. Jeżeli obiektu nie chroni specjalistyczna uzbrojona formacja ochronna, decyzja o dopuszczalności nie ma wykonawcy — a to zmienia całą architekturę planu, nie tylko rozdział o dronach.
3. Wpisz do opisu przedmiotu zamówienia pełny zestaw danych z ustawowego obowiązku informacyjnego i traktuj brak którejkolwiek pozycji jako podstawę do odrzucenia oferty. Zakresy częstotliwości, moc promieniowana w każdym zakresie, charakterystyki i wysokość zawieszenia anten, sektory oddziaływania.
4. Zbuduj procedurę wokół dwóch zawiadomień, nie jednego — przed wdrożeniem zdolności i niezwłocznie po każdym użyciu. Wpisz do niej trzy adresy i osobę odpowiedzialną za wysyłkę wraz z zastępstwem.
5. Zdefiniuj na piśmie, co na Twoim obiekcie oznacza minimalizacja skutków utraty łączności. Zacznij od wykazu systemów i usług, które zamilkną razem z celem: łączność ochrony, telemetria, systemy dozorowe, wszystko, co korzysta z synchronizacji czasem GNSS.
6. Przygotuj wariant działania na wypadek nakazu zaprzestania wydanego przez ministra spraw wewnętrznych lub Ministra Obrony Narodowej i przetestuj go na ćwiczeniu.
7. Wyznacz koordynatora ochrony infrastruktury krytycznej i jego zastępcę w ciągu trzydziestu dni od zawiadomienia o wpisie oraz uruchom postępowanie o dostęp do informacji niejawnych, bo to ono zwykle wyznacza rzeczywisty termin.
8. Nie ustawiaj zagłuszacza jako pierwszej pozycji w budżecie. Decyzja o dopuszczalności zapada wobec konkretnego, wykrytego i sklasyfikowanego obiektu. Bez warstwy wykrywania i identyfikacji nie ma czego dopuszczać, a analiza zagrożeń — którą ustawa stawia przed wdrożeniem rozwiązań — i tak każe zacząć od tego samego miejsca.
9. Ustaw w kalendarzu przegląd tej części procedury na styczeń 2027 r., po terminie na Krajową Ocenę Ryzyka i Krajową Strategię Odporności Podmiotów Krytycznych.

Podsumowanie

Nowelizacja zamknęła lukę, która przez lata była realnym problemem: operator patrzący na drona nad instalacją nie miał żadnej podstawy prawnej, żeby cokolwiek zrobić poza telefonem. Teraz ma podstawę — wąską, obwarowaną obowiązkami sprawozdawczymi i zależną od obecności uzbrojonej formacji ochronnej, ale realną.

Jednocześnie sposób, w jaki ta zmiana została zakomunikowana, tworzy ryzyko odwrotne do zamierzonego. Operator, który przeczytał, że „może używać jammerów”, i na tej podstawie zaplanował zakup, odkryje braki dopiero przy pierwszym zdarzeniu albo przy pierwszej kontroli. Uprawnienie decyzyjne bez wykonawcy, bez zgłoszonych parametrów i bez zdefiniowanego kryterium minimalizacji skutków nie jest zdolnością operacyjną.

Rzeczywistym testem nie będzie treść przepisu, lecz akty wykonawcze i pierwsze przypadki jego zastosowania. Do tego czasu najbezpieczniejszą strategią jest ta, którą ustawa i tak narzuca w innym miejscu: analiza zagrożeń, potem rozwiązania, potem sprzęt.

Tekst opisuje stan prawny na 6 września 2026 r. Przegląd zaplanowany na styczeń 2027 r., po upływie ustawowych terminów na Krajową Ocenę Ryzyka i Krajową Strategię Odporności Podmiotów Krytycznych. Materiał powstał zgodnie z zasadami redakcyjnymi NoFlyZone, ma charakter informacyjny i nie zastępuje audytu ani porady prawnej.

---

Źródła

Akty prawne

• Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, Dz.U. 2026 poz. 815. Data wydania: 29 maja 2026 r. Data ogłoszenia: 19 czerwca 2026 r. Data wejścia w życie: 4 lipca 2026 r. (art. 73). Status na dzień publikacji tego tekstu: obowiązujący. Tekst ogłoszony · Tekst aktu.
• Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, tekst jednolity Dz.U. 2026 poz. 574, w brzmieniu nadanym powyższą nowelizacją.
• Ustawa z dnia 3 lipca 2002 r. — Prawo lotnicze, art. 156ze.
• Ustawa z dnia 22 sierpnia 1997 r. o ochronie osób i mienia, art. 36, w brzmieniu nadanym nowelizacją z 29 maja 2026 r.
• Ustawa z dnia 6 kwietnia 1990 r. o Policji, art. 18c ust. 1; ustawa z dnia 12 października 1990 r. o Straży Granicznej, art. 10e ust. 1; ustawa z dnia 8 grudnia 2017 r. o Służbie Ochrony Państwa, art. 39 ust. 1 — wszystkie w brzmieniu nadanym tą samą nowelizacją.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych, art. 6 ust. 1.
• Projekt rozporządzenia Rady Ministrów z 28 maja 2026 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego; projekt rozporządzenia w sprawie minimalnych wymagań; projekt uchwały Rady Ministrów w sprawie kryteriów identyfikujących infrastrukturę krytyczną.

Opracowania i analizy

• K. J. Gładkowski, M. Kiełtyka (KG Legal), Wojna dronów — część I. Kwestie prawne i praktyczne technologii dual use, Dziennik Gazeta Prawna, 31 sierpnia 2026 — analiza dwupoziomowej konstrukcji uprawnienia.
• Serwis Projekt IK, materiały o skutkach nowelizacji dla operatorów infrastruktury krytycznej, lipiec 2026 — kalendarz aktów wykonawczych i wartości progowe z projektów.
• EY Polska, omówienie nowelizacji i katalogu aktów wykonawczych, czerwiec 2026.
• Izba Gospodarcza „Wodociągi Polskie”, omówienie zmian i terminów systemowych, lipiec 2026.
• Prawo.pl, omówienie nowelizacji i vacatio legis, lipiec 2026.