Odporność organizacji przestaje być hasłem konferencyjnym i staje się kategorią prawną. 29 maja 2026 r. Sejm przyjął nowelizację ustawy o zarządzaniu kryzysowym wdrażającą dyrektywę CER (2022/2557) — wykazy podmiotów krytycznych mają powstać do 17 lipca 2026 r. (informacje RCB o dyrektywie). Międzynarodowym językiem tej dziedziny jest ISO 22316 — norma definiująca, czym odporność organizacji jest i z czego się składa. Pojęcie zrobiło karierę w czasie pandemii COVID-19, gdy firmy z dnia na dzień testowały swoją zdolność do przetrwania zakłóceń — ale wtedy było dobrowolną lekcją; teraz, wraz z CER i NIS2, staje się egzaminem z prawa. Zanim jednak organizacja sięgnie po to pojęcie w komunikacji, warto uporządkować, co tu jest wytyczną, co wymaganiem, a co twardym obowiązkiem prawnym.
ISO 22316: dziewięć atrybutów odporności — ale bez certyfikatu
ISO 22316 (Security and resilience — Organizational resilience) opisuje zasady i atrybuty odpornej organizacji: wspólną wizję i jasność celu, rozumienie kontekstu i zależności, zdolność absorbowania zmian i adaptacji, dobre przywództwo rozproszone na wszystkich poziomach, kulturę wspierającą, dostępność zasobów oraz ciągłe doskonalenie. To rama do oceny dojrzałości — nie lista wymagań do audytu. Wobec ISO 22316 nie prowadzi się klasycznej certyfikacji; organizacja, która chce odporność udowodnić, potrzebuje normy wymagań. I taka norma istnieje.
Rodzina norm odporności — co czym jest
| Norma | Charakter | Rola |
|---|---|---|
| ISO 22301 — ciągłość działania (BCMS) | wymagania — certyfikowalna | audytowalny rdzeń odporności: analiza BIA, plany ciągłości, testy |
| ISO 22316 — odporność organizacji | wytyczne | rama oceny dojrzałości i kierunek doskonalenia |
| ISO 22361 — zarządzanie kryzysowe | wytyczne | przywództwo i decyzje w kryzysie wykraczającym poza plany |
| ISO 31000 — zarządzanie ryzykiem | wytyczne | wspólny język ryzyka dla całej rodziny |
| ISO 28000 — bezpieczeństwo łańcucha dostaw | wymagania — certyfikowalna | odporność na zakłócenia dostaw |
Praktyczna kolejność jest zawsze ta sama: certyfikat ISO 22301 jako dowód, wytyczne 22316/22361/31000 jako warstwy doskonalenia wokół niego.
CER: odporność jako obowiązek prawny
Dyrektywa CER — siostra NIS2 — obejmuje podmioty krytyczne w sektorach: energetyka, transport, bankowość i infrastruktura rynków finansowych, zdrowie, woda pitna i ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna oraz produkcja i dystrybucja żywności. Polska nowelizacja (153 strony, zmienia kilkanaście ustaw) wprowadza dla wskazanych podmiotów m.in.:
- ocenę ryzyka zakłóceń (naturalnych, awarii, sabotażu, zagrożeń hybrydowych),
- środki techniczne i organizacyjne zwiększające odporność,
- zgłaszanie incydentów istotnie zakłócających usługi kluczowe,
- nadzór i kontrole z sankcjami administracyjnymi.
Mechanizm znany z NIS2 powtórzy się tu co do joty: przepis nie wskazuje normy, ale podmiot skontrolowany musi czymś udowodnić środki odpornościowe — a certyfikowany system ciągłości działania według ISO 22301 jest najlepiej uznawanym dowodem, jaki istnieje. Pisaliśmy o tym szerzej przy dyrektywie CER i ochronie infrastruktury krytycznej oraz ISO 22301 jako fundamencie zgodności z NIS2.
Od czego zacząć — ścieżka na 2026/2027
- Sprawdź, czy organizacja może trafić do wykazu podmiotów krytycznych (lub jest dostawcą takiego podmiotu — obowiązki spłyną łańcuchem umów).
- Analiza BIA i plany ciągłości według ISO 22301 — rdzeń, który pokrywa większość obowiązków CER i NIS2 jednocześnie.
- Certyfikacja ISO 22301 — audytowalny dowód dla regulatora, klientów i ubezpieczyciela.
- Dojrzałość według ISO 22316 i zarządzanie kryzysowe według ISO 22361 — warstwy doskonalenia, gdy fundament działa.
Powiązane artykuły:
- Dyrektywa CER — ochrona infrastruktury krytycznej
- ISO 22301 jako fundament zgodności z NIS2
- Certyfikat ISO 27001 — ochrona danych
Najczęstsze pytania
Czym jest ISO 22316? +
Czy jest certyfikat ISO 22316? +
Co zmienia ustawa CER? +
Od czego zacząć? +
Autor artykułu
Zespół Multicert
Redakcja Multicert · Akredytacja PCA AC 210
Artykuły przygotowuje zespół audytorów i specjalistów Multicert z wieloletnim doświadczeniem w certyfikacji systemów ISO, wyrobów CE oraz regulacjach UE.