Ustawa o zarządzaniu kryzysowym

Art. 6e.

Krajowa ocena ryzyka (kor)

• • 1. W celu dokonania oceny ryzyka zidentyfikowanych zagrożeń opracowuje się Krajową Ocenę Ryzyka, zwaną dalej „KOR”. Rada Ministrów przyjmuje KOR w drodze uchwały.
  • 2. KOR zawiera:
    • 1) zidentyfikowane na poziomie krajowym zagrożenia:
      • a) stanowiące katastrofę naturalną w rozumieniu art. 3  ust. 1 pkt 2 ustawy z dnia 18 kwietnia 2002 r. o stanie klęski żywiołowej (Dz. U. z 2025 r. poz. 112) lub awarię techniczną w rozumieniu art. 3  ust. 1 pkt 3 tej ustawy,
      • b) hybrydowe,
      • c) cyberbezpieczeństwa,
      • d) o charakterze terrorystycznym,
      • e) mogące spowodować niedostępność usług kluczowych,
      • f) inne, mogące spowodować znaczące negatywne skutki dla ludności, gospodarki lub dóbr kultury;
    • 2) zagrożenia niezidentyfikowane jednoznacznie, które mogą wystąpić w przyszłości;
    • 3) ocenę ryzyka wystąpienia zagrożeń, o których mowa w pkt 1.
  • 3. Przy opracowaniu oceny ryzyka, o której mowa w ust. 2 pkt 3, uwzględnia się w szczególności:
    • 1) zagrożenia, o których mowa w ust. 2 pkt 1;
    • 2) powiązania między zagrożeniami wynikające z oddziaływań transgranicznych, zależności międzysektorowych i zmian klimatu;
    • 3) ocenę ryzyka przeprowadzoną na podstawie art. 6  ust. 1 decyzji Parlamentu Europejskiego i Rady nr 1313/2013/EU z dnia 17 grudnia 2013 r. w sprawie Unijnego Mechanizmu Ochrony Ludności (Dz. Urz. UE L 347 z 20.12.2013, str. 924, z późn. zm.);
    • 4) dane o stratach i szkodach spowodowanych przez zagrożenia, o których mowa w ust. 2 pkt 1, gromadzone przez podmioty, o których mowa w art. 6g  ust. 2;
    • 5) inne istotne oceny ryzyka przeprowadzone zgodnie z wymogami właściwych sektorowych aktów Unii Europejskiej.
  • 4. Przy opracowaniu oceny ryzyka, o której mowa w ust. 2 pkt 3, w odniesieniu do podmiotów krytycznych uwzględnia się dodatkowo:
    • 1) wykaz usług kluczowych, o którym mowa w przepisach wydanych na podstawie art. 6zp  ust. 3;
    • 2) zidentyfikowane zagrożenia antagonistyczne;
    • 3) ryzyka określane jako potencjalne straty lub potencjalne zakłócenia spowodowane incydentami, wyrażane jako wypadkowe skali tych strat lub zakłóceń oraz prawdopodobieństwa wystąpienia takich incydentów;
    • 4) istotne ryzyka wynikające ze stopnia wzajemnej zależności między sektorami, o których mowa w załączniku do ustawy;
    • 5) zależność ciągłości działania usług kluczowych od funkcjonowania podmiotów znajdujących się w innych państwach członkowskich Unii Europejskiej i państwach trzecich;
    • 6) wpływ znaczącego zakłócenia w jednym z sektorów, o których mowa w załączniku do ustawy, na inne sektory, o których mowa w tym załączniku, w tym wszelkie istotne czynniki ryzyka dla obywateli i rynku wewnętrznego;
    • 7) informacje dotyczące incydentów zgłaszanych przez podmioty krytyczne świadczące usługi kluczowe.
  • 5. Projekt KOR opracowuje dyrektor Rządowego Centrum Bezpieczeństwa, zwanego dalej „Centrum”.
  • 6. Na potrzeby opracowania projektu KOR dyrektor Centrum wydaje wytyczne do jego opracowania obejmujące elementy, o których mowa w ust. 2, oraz uwzględniające elementy, o których mowa w ust. 3 i 4.
  • 7. Dyrektor Centrum przekazuje wytyczne do opracowania projektu KOR:
    • 1) ministrom kierującym działami administracji rządowej;
    • 2) Szefowi Agencji Bezpieczeństwa Wewnętrznego, Szefowi Agencji Wywiadu oraz Szefowi Centralnego Biura Antykorupcyjnego;
    • 3) wojewodom;
    • 4) Pełnomocnikowi Rządu do spraw Cyberbezpieczeństwa;
    • 5) innym podmiotom, jeżeli jest to konieczne.
  • 8. W zakresie swojej właściwości organy i podmioty, o których mowa w ust. 7, uwzględniając wytyczne przekazane przez dyrektora Centrum, opracowują propozycje do ujęcia w projekcie KOR.
  • 9. Propozycje do ujęcia w projekcie KOR wraz z danymi stanowiącymi podstawę do ich przygotowania, z wyłączeniem informacji niejawnych, organy i podmioty, o których mowa w ust. 7, przekazują dyrektorowi Centrum we wskazanym przez niego terminie.
  • 10. Dyrektor Centrum może wystąpić do organów i podmiotów, o których mowa w ust. 7, o przekazanie dodatkowych propozycji do ujęcia w projekcie KOR, jeżeli uzna, że ich umieszczenie w KOR jest niezbędne. Wystąpienie wymaga uzasadnienia.
  • 11. Propozycje do ujęcia w projekcie KOR przekazane przez ministra kierującego działem administracji rządowej uwzględniają wkład do propozycji do ujęcia w projekcie KOR kierownika urzędu centralnego podległego temu ministrowi lub przez niego nadzorowanego.
  • 12. Kierownik urzędu centralnego podległy ministrowi kierującemu działem administracji rządowej lub przez niego nadzorowany opracowuje i przekazuje temu ministrowi wkład do propozycji do ujęcia w projekcie KOR ministra kierującego działem administracji rządowej.
  • 13. Dyrektor Centrum przedkłada Radzie Ministrów projekt KOR nierzadziej niż raz na 3 lata.
  • 14. KOR uwzględnia się w:
    • 1) planach zarządzania kryzysowego;
    • 2) procesach identyfikacji podmiotów krytycznych;
    • 3) opracowywaniu ocen ryzyka podmiotów krytycznych oraz wdrażaniu przez podmioty krytyczne środków w zakresie zwiększenia ich odporności;
    • 4) innych dokumentach opracowywanych przez organy administracji publicznej w zakresie zarządzania kryzysowego.
  • 15. Dyrektor Centrum, na podstawie KOR, opracowuje i udostępnia Komisji Europejskiej streszczenie istotnych elementów krajowej oceny ryzyka, o której mowa w art. 6  ust. 1 lit. a decyzji Parlamentu Europejskiego i Rady nr 1313/2013/EU z dnia 17 grudnia 2013 r. w sprawie Unijnego Mechanizmu Ochrony Ludności.
  • 16. Dyrektor Centrum, na podstawie KOR, opracowuje i udostępnia Komisji Europejskiej informacje dotyczące rodzajów ryzyka oraz wyników oceny ryzyka w odniesieniu do sektorów i podsektorów, o których mowa w załączniku do ustawy, w terminie 3 miesięcy od dnia przyjęcia KOR przez Radę Ministrów.