Dyrektywa CER 2024 — kogo obejmuje, obowiązki, kary i ISO 22301 jako fundament

Critical Entities Resilience Directive (UE 2022/2557) — w skrócie CER — zastąpiła dyrektywę 2008/114/EC dotyczącą ochrony infrastruktury krytycznej. Termin transpozycji minął 17 października 2024 r., dyrektywa obowiązuje od 18 października 2024 r. Polska transponuje ją w ramach nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa i ochronie infrastruktury krytycznej.

Co się zmieniło względem starej dyrektywy

Stara dyrektywa 2008/114/EC koncentrowała się na dwóch sektorach (energia i transport) i traktowała ochronę głównie fizycznie. CER rozszerza zakres do 11 sektorów i wprowadza paradygmat resilience — zdolność do przetrwania, adaptacji i odzyskania po szerokim spektrum zagrożeń.

11 sektorów objętych CER:

1. Energia — elektryczność, ciepłownictwo, ropa, gaz, wodór
2. Transport — lotniczy, kolejowy, wodny, drogowy
3. Bankowość — instytucje kredytowe
4. Infrastruktura rynków finansowych — operatorzy systemów obrotu, CCP
5. Zdrowie — szpitale, laboratoria referencyjne, producenci leków
6. Woda pitna — dostawcy i dystrybutorzy
7. Ścieki — operatorzy sieci kanalizacyjnej
8. Infrastruktura cyfrowa — IXP, DNS, TLD, data centers, chmura
9. Administracja publiczna — organy szczebla centralnego
10. Kosmos — operatorzy infrastruktury naziemnej
11. Produkcja, przetwórstwo i dystrybucja żywności

CER vs NIS2 — co wybrać dla mojej firmy

Główne obowiązki podmiotów krytycznych

Art. 12 — ocena ryzyka: co najmniej raz na 4 lata, identyfikująca zagrożenia naturalne, antropogeniczne, hybrydowe, terror, sabotaż, awarie, ataki na łańcuch dostaw.

Art. 13 — środki techniczne i organizacyjne:

• Plany zapobiegania, przygotowania i odpowiedzi na incydenty
• Środki ochrony fizycznej (perimeter, kontrola dostępu, monitoring)
• Środki ochrony cyber (zintegrowane z NIS2)
• Plany ciągłości działania (BCP) i odtwarzania (DRP)
• Plan zarządzania kryzysowego
• Procedury weryfikacji personelu (background checks)

Art. 15 — powiadamianie o incydentach: w ciągu 24 godzin od wykrycia, raport końcowy w ciągu 1 miesiąca.

ISO 22301 jako fundament zgodności z CER

Wymóg art. 13 — „środki zapewniające ciągłość świadczenia usług niezbędnych” — najlepiej spełnia się poprzez wdrożenie systemu zarządzania ciągłością działania zgodnego z ISO 22301:2019. Norma wymaga:

• BIA (Business Impact Analysis) — identyfikacja procesów krytycznych
• RA (Risk Assessment) — analiza zagrożeń i podatności
• BCP (Business Continuity Plans) — plany ciągłości
• DRP (Disaster Recovery Plans) — plany odtwarzania
• Procedury reagowania na incydent i komunikacji kryzysowej
• Regularne testy planów (tabletop, simulation, full failover)

Certyfikat ISO 22301 to udokumentowany, audytowany dowód spełnienia wymagań resilience — oczekiwany przez krajowe organy nadzorcze podczas inspekcji CER.

Sankcje za nieprzestrzeganie

CER pozostawia sankcje państwom członkowskim, ale wymaga, by były „skuteczne, proporcjonalne i odstraszające”. Polska ustawa transponująca przewiduje kary administracyjne do kilkudziesięciu milionów złotych dla największych podmiotów oraz odpowiedzialność osób zarządzających.

Szczegóły procesu: certyfikacja ISO 22301.

Powiązane artykuły:

• NIS2 obowiązuje, Polska spóźniona
• EN 50600 i ISO/IEC 22237 — standardy infrastruktury data center
• Certyfikat ISO 27001 — jak chronić dane
• ISO/IEC 27017 — kontrole bezpieczeństwa dla usług chmurowych