Abstrakt
W artykule Autor przedstawia pojęcie i ochronę infrastruktury krytycznej w rozumieniu postanowień Ustawy o zarządzaniu kryzysowym z dn. 14.04.2007 r. Omawia poziomy zarządzania kryzysowego, jego fazy oraz stopnie alarmowe w wypadku wystąpienia zagrożenia.
Wstęp
Infrastruktura krytyczna to systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, bez których państwo nie może sprawnie funkcjonować. Można do nich zaliczyć systemy: zaopatrzenia w wodę i odprowadzania ścieków, produkcji żywności, dostarczania różnego rodzaju energii, łączności, finansów czy teleinformatyki.
Rynek wymusza ciągłą poprawę konkurencyjności, co w konsekwencji powoduje, że funkcjonujące w państwie systemy są coraz większe i coraz bardziej skomplikowane. To w przypadku awarii powoduje skutki na dużym obszarze i dla wielkiej liczby osób. Poważne awarie mogą wręcz zakłócić funkcjonowanie państwa. Awarie sieci energetycznych, systemu bankowego mogą mieć ogromne skutki ekonomiczne. Na przykład w razie zatrucia ujęcia wody, a następnie całego systemu zaopatrzenia w wodę mogą być nawet tysiące ofiar śmiertelnych. Ochrona infrastruktury krytycznej, jest zadaniem praktycznym, to nie jest zadanie wirtualne. Wraz z rozwojem Internetu oraz powiązanych z nim wirtualnych infostrad polityka państwa odnośnie tego problemu musi ulec redefinicji. Istnieje potrzeba elastycznego, ewolucyjnego podejścia, które umożliwi wykorzystanie zarówno publicznych, jak i prywatnych zasobów, w celu ochrony bezpieczeństwa państwa. Dlatego Polska musi wypracować strategię dotyczącą ochrony infrastruktury krytycznej. Jak wykazały wydarzenia 11 września 2001 roku, żadne państwo nie może czuć się bezpiecznie wobec tego typu zagrożeń. Postęp technologiczny oraz nowoczesne technologie teleinformatyczne wpływają na zmianę uwarunkowań polityki bezpieczeństwa państwa. Nie ma dzisiaj systemów zamkniętych, państw - enklaw. Powstanie globalnej wioski informacji sprawiło, że należy teraz zwrócić większą uwagę na bezpieczeństwo informacyjne. Informacja stała się zasobem strategicznym gospodarki, podstawowym dobrem, którym dysponuje państwo i społeczeństwo. Celem przyszłego ataku mogą być nie tylko obiekty wojskowe, ale również na przykład centra informacyjne i kluczowe sieci teleinformatyczne oraz system finansowy państwa. Ochrona infrastruktury informatycznej oraz telefonicznej jest o tyle istotna, że skutki wirtualnego ataku mogą być katastrofalne. Choć takie zagrożenie może się wydawać z perspektywy Polski odległe, to pamiętajmy, że czasy zmieniają się o wiele szybciej niż ludzie i konstruując jakąkolwiek strategię bezpieczeństwa musimy wybiegać co najmniej o dekadę lub jeszcze dalej naprzód. Dlatego w Polsce odpowiednie organy powinny doskonalić zarządzanie kryzysowe aby nie dopuścić do takich sytuacji. Dlatego praca obejmuje teorię zarządzania kryzysowego w celu zabezpieczenia infrastruktury krytycznej przed zagrożeniami, które mogą ją zdestabilizować.
Infrastruktura krytyczna
Zgodnie z obecnie obowiązującą ustawą z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym art. 3 pkt. 2 , przez infrastrukturę krytyczną należy rozumieć systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców.
Infrastruktura krytyczna obejmuje systemy i sieci teleinformatyczne istotne dla bezpieczeństwa i ekonomicznego dobrobytu państwa oraz jego efektywnego funkcjonowania. Są to takie systemy jak:
zaopatrzenia w energię i paliwa;
łączności i sieci teleinformatycznych;
finansowe;
zaopatrzenia w żywność i wodę;
ochrony zdrowia;
transportowe i komunikacyjne;
ratownicze;
zapewniające ciągłość działania administracji publicznej;
produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych.
Krótko mówiąc infrastruktura krytyczna to rzeczywiste i cybernetyczne systemy (a w tych systemach obiekty, urządzenia bądź instalacje) niezbędne do minimalnego funkcjonowania gospodarki i państwa.
Infrastruktura krytyczna pełni kluczową rolę w funkcjonowaniu państwa i życiu jego obywateli. W wyniku zdarzeń spowodowanych siłami natury lub będących konsekwencją działań człowieka, infrastruktura krytyczna może być zniszczona, uszkodzona, a jej działanie może ulec zakłóceniu, przez co zagrożone może być życie i mienie obywateli. Równocześnie tego typu wydarzenia negatywnie wpływają na rozwój gospodarczy państwa. Stąd też ochrona infrastruktury krytycznej jest jednym z priorytetów stojących przed państwem polskim. Istota zadań związanych z infrastrukturą krytyczną sprowadza się nie tylko do zapewnienia jej ochrony przed zagrożeniami, ale również do tego aby ewentualne uszkodzenia i zakłócenia w jej funkcjonowaniu były możliwie krótkotrwałe, łatwe do usunięcia i nie wywoływały dodatkowych strat dla obywateli i gospodarki.
Aby nie dopuścić do destabilizacji sytuacji w Państwie w razie awarii jednego z elementów infrastruktury krytycznej państwo doskonali się w skutecznym zarządzaniu kryzysowym. Zarządzenie kryzysowe to zespół przedsięwzięć organizacyjnych, logistycznych i finansowych, które maja nie dopuścić, a w razie pojawienia się zapobiec wszelkim awariom infrastruktury krytycznej. Dlatego celem zarządzania kryzysowego jest zapobieganie powstawaniu sytuacji kryzysowych, zapewnienie sprawności struktur decyzyjnych na wszystkich szczeblach zarządzania, ciągłej gotowości sił i środków do podjęcia działań, sprawnego reagowania oraz likwidacji skutków zaistniałej sytuacji.
Ochronę infrastruktury krytycznej w Polsce zapoczątkowało spotkanie w lutym 2001 roku CERT Polska i Biura Bezpieczeństwa Łączności i Informatyki UOP. Spotkanie dotyczyło reagowania na incydenty bezpieczeństwa. CERT Polska (Computer Emergency Response Team) jest zespołem powołanym do reagowania na zdarzenia naruszające bezpieczeństwo w sieci Internet. Natomiast UOP to nieistniejące już służby specjalne RP. Obecnie ich zadania przejęła Agencji Bezpieczeństwa Wewnętrznego i Agencja Wywiadu. Po tej konferencji przeprowadzono jeszcze kilka innych, np. w listopadzie 2001 Konferencja SECURE'2001, gdzie zaprezentowano działania NATO w tym zakresie. Następnie w kwietniu 2002 roku przeprowadzono dyskusję podczas Konferencji „Bezpieczna Infrastruktura - Koordynacja działań w skali kraju”. W kolejnych latach były przeprowadzane spotkania robocze w MSWiA poświęcone ochronie infrastruktury krytycznej oraz z innymi formacjami między innymi z CERT Polska, DBTI ABW, KGP, „ABUSE Team” TP S.A. Wszystkie te konferencje i spotkania uwydatniły bak uregulowań dotyczących relacji pomiędzy administracją publiczną odpowiedzialną za bezpieczeństwo obywateli, a właścicielami infrastruktury służącej do świadczenia różnego rodzaju usług. Dlatego świadomość potencjalnie możliwych negatywnych skutków w przypadku dużych awarii doprowadziła do podjęcia próby prawnej regulacji tej kwestii. Zdecydowano, że państwo musi mieć prawo ingerencji w celu zapewnienia ciągłości pracy najważniejszych systemów dostarczających energię, finansowych, komunikacyjnych itp.. Ponadto powinno ustalać stopień ich zabezpieczenia na różnego rodzaju niekorzystne zdarzenia. Mimo, że w większości systemy są własnością prywatną, jednak w pewnym sensie spełniają funkcje mające charakter użyteczności publicznej. Dlatego np. dostawca energii elektrycznej jest zobowiązany do informowania w sytuacjach szczególnych (duże awarie, brak dostaw energii u dużej liczby odbiorców) o obszarze objętym uszkodzeniem, jego skutkach oraz czasu, na jaki dostawa zostanie wstrzymana. Znane są wręcz przypadki, gdy dostawca energii elektrycznej odmawiał nawet przedstawicielom władz samorządowych takich informacji. Negatywne konsekwencje dla podmiotów korzystających z danego systemu mogą być ogromne już z powodu samej niewiedzy. Próbę uregulowania trudnej kwestii zapewnienia ochrony, ciągłości funkcjonowania i zabezpieczenia przed zagrożeniami najważniejszych systemów w państwie poprzez nałożenie obowiązków na organy administracji publicznej i właścicieli podjęto w omawianej ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym. Ustawa swym zakresem obejmuje takie działania jak:
Przygotowanie wykazu obiektów i systemów rozumianych, jako infrastruktura krytyczna;
Analizę ryzyka;
Przygotowanie wykazu zasobów do ochrony infrastruktury;
Zdefiniowanie działań realizowanych w sytuacji zagrożenia;
Zdefiniowanie działań odtwarzających infrastrukturę;
Określenie kanałów komunikacji ze stronami trzecimi.
Powyższe działania mają na celu ochronę infrastruktury krytycznej. Przez ochronę infrastruktury krytycznej należy rozumieć wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działań i integralności infrastruktury krytycznej. Chroni się ją w celu zapobiegania zagrożeniom, ryzykom lub słabym punktom oraz ograniczenia i neutralizacji ich skutków oraz szybkiego odtworzenia tej infrastruktury na wypadek awarii, ataków oraz innych zdarzeń zakłócających jej prawidłowe funkcjonowanie. Ochrona powinna więc swoim zakresem obejmować:
gromadzenie i przetwarzanie informacji dotyczącej infrastruktury krytycznej;
przygotowanie i aktualizację planów ochrony infrastruktury krytycznej
opracowanie i wdrażanie procedur na wypadek wystąpienia zagrożenia dla tej infrastruktury oraz współpracę z administracją publiczną właścicieli, posiadaczy samoistnych i zależnych obiektów, instalacji lub urządzeń infrastruktury krytycznej w zakresie jej ochrony;
Właściciele takiej infrastruktury będą więc zobowiązani do przygotowania i wdrażania, stosownie do zaistniałego zagrożenia, własnych planów ochrony infrastruktury krytycznej oraz utrzymywać własne systemy rezerwowe zapewniające bezpieczeństwo i podtrzymujące funkcjonowanie tej infrastruktury do czasu jej pełnego odtworzenia oraz do wyznaczenia przedstawiciela do kontaktów z jednostkami administracji publicznej. Obowiązek dotyczy tych właścicieli i posiadaczy, którzy są zobowiązani do jej ochrony na podstawie przepisów szczególnych. Ustawodawca będzie zatem musiał doprecyzować owe przepisy szczególne do ustawy o zarządzaniu kryzysowym.
Wykaz obiektów i systemów infrastruktury krytycznej;
Charakterystykę zagrożeń dla infrastruktury krytycznej oraz ocenę ryzyka ich wystąpienia;
Charakterystykę zasobów możliwych do wykorzystania w celu ochrony infrastruktury krytycznej;
Warianty działania w sytuacji zagrożeń lub zakłócenia funkcjonowania infrastruktury krytycznej;
Warianty odtwarzania infrastruktury krytycznej;
Zasady współpracy administracji publicznej z właścicielami oraz posiadaczami samoistnymi i zależnymi obiektów, instalacji lub urządzeń infrastruktury krytycznej w zakresie jej ochrony, w tym zasady przekazywania informacji;
Wskazanie terminów i trybu aktualizacji planu.
Plany ochrony infrastruktury krytycznej tworzone są na poziomie państwa i województwa, a później są zatwierdzane przez Radę Ministrów po zaopiniowaniu przez Rządowy Zespół Zarządzania Kryzysowego. Pewne zaniepokojenie może budzić brak w ustawie zapisów dotyczących ochrony informacji zawartych w planach ochrony infrastruktury krytycznej sporządzanych przez jej właścicieli, a które zgodnie z zapisami ustawy mają być udostępniane na pisemny wniosek organu, do zadań którego należy ochrona infrastruktury krytycznej.
Poziomy zarządzania kryzysowego
Państwo polskie plany ochrony infrastruktury krytycznej przygotowuje na wypadek wszystkich trzech typów zagrożeń: naturalnych, technicznych wojennych. Wszystkie poziomy zarządzania (związane z poziomami władzy) czyli lokalny wojewódzki i centralny mają odpowiednie zadania. Poziom lokalny to poziom wykonawczy. Pozostałe poziomy spełniają przede wszystkim rolę koordynującą.
Strukturę zarządzania kryzysowego na poszczególnych poziomach administracji publicznej przedstawia rys. 1.
Rys. 1. Schemat systemu zarządzania kryzysowego
Źródło: Rządowe Centrum Bezpieczeństwa
System zarządzania kryzysowego w Polsce jest wieloszczeblowy i składa się z następujących komponentów:
organów zarządzania kryzysowego;
organów opiniodawczo-doradczych właściwych w sprawach inicjowania i koordynowania działań podejmowanych w zakresie zarządzania kryzysowego;
centrów zarządzania kryzysowego, utrzymujących 24-godzinną gotowość do podjęcia działań.
Rys. 2. Model organizacji powiadamiania i reagowania kryzysowego
Źródło: Rządowe Centrum Bezpieczeństwa
W razie awarii dany organ, który ją wykrył, musi powiadomić o tym niższy i wyższy szczebel zarządzania kryzysowego wraz z działaniami, które zostały przedsięwzięte aby wyeliminować awarię. Każdy szczebel ma własny organ monitorujący infrastrukturę krytyczną na swoim terenie wójt/burmistrz mają gminne centrum zarządzania kryzysowego, starosta powiatowe centrum zarządzania kryzysowego, wojewoda wojewódzkie centrum natomiast rząd ma Rządowe Centrum Bezpieczeństwa, gdzie spływają wszystkie raporty z całego terytorium kraju o nieprawidłowościach bądź awariach (rys. 2.).
Fazy zarządzania kryzysowego
Aby nie dopuścić do katastrofalnych skutków awarii infrastruktury krytycznej działania zarządzania kryzysowego zostały podzielone na 4 fazy:
Zapobieganie:
analiza zagrożeń i ocena wrażliwości;
wspieranie badań stosowanych i transferu technologii;
uświadamianie społeczeństwa i powszechna edukacja w zakresie przeciwdziałania zagrożeniom;
stworzenie systemu zachęt i restrykcji finansowych oraz właściwe wykorzystanie zasobów;
zapewnienie przywództwa i koordynacji.
Zapobieganie odnosi się do działań, które eliminują lub redukują prawdopodobieństwo wystąpienia katastrofy, albo ograniczają jej skutki.
Przygotowanie:
Kluczowym elementem przygotowań jest opracowanie planów reagowania kryzysowego, które to plany opisują kto, co i kiedy będzie robił, za pomocą jakich sił i środków i na jakiej podstawie prawnej - przed, w czasie i natychmiast po zdarzeniu kryzysowym. Przygotowanie to także zapewnienie zasobów specjalistycznych sił i środków reagowania, takich jak: stanowisko kierowania, system łączności kryzysowej, system alarmowania oraz personel reagowania kryzysowego, a także ewidencja zasobów sił i środków przydatnych do reagowania kryzysowego.
Reagowanie:
Następuje po wystąpieniu realnego zagrożenia lub zdarzenia. Jego celem jest uruchomienie działań prewencyjnych zapobiegających lub minimalizujących możliwość zniszczeń, a po ich wystąpieniu, podjęcie akcji ratowniczej celem dostarczenia pomocy poszkodowanym i ograniczenia wtórnych szkód i strat.
Faza reagowania wymaga:
przestrzegania dyscypliny obiegu informacji;
gromadzenia informacji i dokumentowania działań;
unikania działań nieprzemyślanych;
profesjonalnej informacji (rzecznika);
prognozowania rozwoju wydarzeń;
przewidywania skutków podejmowanych decyzji;
uwzględniania implikacji prawnych decyzji;
zagwarantowania funkcjonowania instytucji publicznych;
dysponowania odpowiednią liczbą ekspertów.
Odbudowa:
Jest końcową fazą cyklu zarządzania kryzysowego. Odbudowę kontynuuje się, aż wszystkie systemy wrócą do stanu poprzedniego albo lepszego niż poprzedni. Odbudowę dzieli się na krótkoterminową i długoterminową. Krótkoterminowa polega na przywróceniu systemów niezbędnych do życia do minimalnych standardów operacyjnych. Odbudowa długoterminowa może trwać wiele lat, aż do kompletnej odbudowy całego obszaru dotkniętego katastrofą. Jednocześnie odbudowa ta powinna być realizowana w nowy sposób, tak aby rejon dotknięty katastrofą był po odbudowie mniej wrażliwy na kolejną katastrofę.
W razie zagrożenia infrastruktury krytycznej ustawa o zarządzaniu kryzysowym wprowadza możliwość ogłaszania stopni alarmowych. Prezes Rady Ministrów z własnej inicjatywy, na wniosek właściwego ministra, kierownika urzędu centralnego lub wojewody, może wprowadzić na całym terytorium Rzeczypospolitej Polskiej albo jego części, w drodze zarządzenia, jeden z czterech stopni alarmowych.
Stopnie alarmowe mogą być wprowadzone w następujących sytuacjach:
pierwszy stopień alarmowy - w przypadku uzyskania informacji o możliwości wystąpienia zdarzenia o charakterze terrorystycznym lub innego zdarzenia, których rodzaj i zakres jest trudny do przewidzenia;
drugi stopień alarmowy - w przypadku uzyskania informacji o możliwości wystąpienia zdarzenia o charakterze terrorystycznym lub innego zdarzenia, powodujących zagrożenie bezpieczeństwa Rzeczypospolitej Polskiej;
trzeci stopień alarmowy - w przypadku uzyskania informacji o osobach lub organizacjach przygotowujących działania terrorystyczne godzące w bezpieczeństwo Rzeczypospolitej Polskiej lub wystąpienia aktów terroru godzących w bezpieczeństwo innych państw albo w przypadku uzyskania informacji o możliwości wystąpienia innego zdarzenia godzącego w bezpieczeństwo Rzeczypospolitej Polskiej lub innych państw;
czwarty stopień alarmowy - w przypadku wystąpienia zdarzenia o charakterze terrorystycznym lub innego zdarzenia, powodujących zagrożenie bezpieczeństwa Rzeczypospolitej Polskiej lub innych państw.
Teoretycy i praktycy zarządzania kryzysowego wyróżniają ponadto indywidualny poziom zarządzania kryzysowego na pierwszy rzut oka wydaje się być zbytecznym, choćby dlatego, że nie posiada charakteru instytucjonalnego. Należy jednak podkreślić, że jednostka jest końcowym adresatem oddziaływania negatywnych skutków praktycznie wszystkich zjawisk kryzysowych. Człowiek w sytuacji kryzysowej może się znaleźć:
z własnej winy - złamanie technologicznych przepisów, łamanie przepisów transportowych, przecenianie własnych sił, zaniedbanie ubezpieczenia pewnych czynności, …
bez własnej winy - oddziaływanie czynników przyrodniczych, bierny udział w wypadkach i awariach, oddziaływanie nieprzewidzianych okoliczności,…
Na przeważającą większość zjawisk kryzysowych człowiek powinien być jednak w odpowiednim stopniu przygotowany. Powinien posiadać podstawowe wiadomości teoretyczne, powinien wiedzieć jak ma w danej sytuacji postępować, do kogo się zwrócić z prośbą o pomoc. Powinien potrafić pomóc sam sobie i innym poszkodowanym i, co nie jest bez znaczenia, winien być na możliwe zjawiska kryzysowe przygotowany również materialnie.
Wyższy stopień alarmowy może być wprowadzony z pominięciem niższych stopni. W przypadku ogłoszenia jednego ze stopni alarmowych realizowane są zadania ujęte w Planie Reagowania Obronnego Rzeczypospolitej Polskiej i realizuje się je zgodnie z procedurami ujętymi w tym planie, odpowiednio dla każdego stopnia alarmowego. Prezes Rady Ministrów, w drodze zarządzenia, odwołuje albo zmienia stopień alarmowy.
Zakończenie
Aby zarządzanie kryzysowe spełniało swoje zadania na dzień dzisiejszy powinno się skupić na:
Zapewnieniu odpowiednich poziomów ochrony infrastruktury krytycznej. Minimalizacji jej słabych punktów oraz szybkie i sprawdzone plany jej odtworzenia.
Należy wdrożyć koncepcję opracowania przez operatorów planów ochrony obiektów zaliczonych do infrastruktury krytycznej. Należy przewidzieć konsekwencje finansowe dla operatorów nie wywiązujących się z realizacji tego planu. Powyższe plany zapewniłyby spójność działań na rzecz bezpieczeństwa. Właścicielom i operatorom infrastruktury krytycznej powinno przyznać się następujące uprawnienia: zgłaszanie odpowiedniemu organowi faktu, że dana infrastruktura może mieć charakter krytyczny, udział w opracowaniu planu działań na sytuacje zagrożeń związanych z infrastrukturą krytyczna wspólnie z odpowiednimi organami ochrony cywilnej i z organami ścigania. Oraz możliwość ubiegania się o refinansowanie poniesionych kosztów z budżetu państwa.
Ważne jest też na zorganizowanie dialogu z właścicielami i operatorami infrastruktury krytycznej i utworzenie platform wymiany informacji i poglądów dotyczących jej ochrony. Poziom należy uzależnić od wagi problemów oraz zaliczenia obiektu do krajowej lub europejskiej infrastruktury krytycznej.
Sieć Wczesnego Ostrzegania o Zagrożeniu dla Infrastruktury Krytycznej powinna przybrać formę elektroniczną, opartą na nowoczesnych technologiach przekazów informacji. Powinno się zapewnić jak największą odporność tej sieci.