Rozporządzenie Rady Ministrówz dnia 11 września 2018 r.w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych 1)Niniejsze rozporządzenie w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Spis treści Treść rozporządzenia Załącznik - Wykaz usług kluczowych oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych Treść rozporządzenia Na podstawie art. 6 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560) zarządza się, co następuje: § 1. Określa się wykaz usług kluczowych, o których mowa w art. 5 ust. 2 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych, stanowiące załącznik do rozporządzenia. § 2. Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia. 1) Niniejsze rozporządzenie w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Załącznik - Wykaz usług kluczowych oraz progi istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych Sektor Podsektor Rodzaj podmiotu Usługa kluczowa Próg istotności skutku zakłócającego incydentu dla świadczenia usługi kluczowej Energia Wydobywanie kopalin Podmioty prowadzące działalność gospodarczą w zakresie wydobywania gazu ziemnego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. - Prawo geologiczne i górnicze (Dz. U. z 2017 r. poz. 2126, z późn. zm.1)). Wydobywanie gazu ziemnego a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: ilość wydobytego gazu ziemnego na terenie kraju w roku poprzednim wynosząca minimum 11 TWh lub udział wielkości rocznego wydobycia gazu ziemnego w łącznym krajowym zużyciu gazu ziemnego w roku poprzednim wynosząca minimum 15%. Podmioty prowadzące działalność gospodarczą w Wydobywanie ropy naftowej a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o zakresie wydobywania ropy naftowej na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. - Prawo geologiczne i górnicze których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: udział wydobytego surowca w dostawach ropy naftowej dla poszczególnych rafinerii zlokalizowanych na terytorium RP, określony jako procent w dostawach rocznych wynoszący minimum 10% Podmioty prowadzące działalność gospodarczą w zakresie wydobywania węgla brunatnego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. - Prawo geologiczne i górnicze Wydobywanie węgla brunatnego a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: ilość wydobytego węgla brunatnego w tonach wynosząca minimum 10 mln ton rocznie Podmioty prowadzące działalność gospodarczą w zakresie wydobywania węgla kamiennego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. - Prawo geologiczne i górnicze Wydobywanie węgla kamiennego a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: ilość wydobytego węgla kamiennego w tonach wynosząca rocznie minimum 8 mln ton Podmioty prowadzące działalność gospodarczą w zakresie wydobywania pozostałych kopalin na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 Wydobywanie miedzi a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, czerwca 2011 r. -Prawo geologiczne i górnicze d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: ilość produkcji miedzi wynosząca minimum 50 tys. ton rocznie Energia elektryczna Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. -Prawo energetyczne (Dz. U. z 2018 r. poz. 755, z późn. zm.2)), posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania energii elektrycznej Wytwarzanie energii elektrycznej a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: moc zainstalowana elektryczna wynosząca minimum 120 MW brutto lub procentowy udział wytworzonej i sprzedanej energii elektrycznej w produkcji energii elektrycznej ogółem w kraju wynoszący minimum 0,4% w rocznej produkcji energii elektrycznej, w tym posiadanie Jednostki Wytwórczej Centralnie Dysponowanej Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 24 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania energii elektrycznej Przesyłanie energii elektrycznej a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: długość sieci przesyłowej wynosząca minimum 5 km lub zarządzanie Głównym Punktem Zasilania Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 25 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie dystrybucji Dystrybucja energii elektrycznej a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: liczba odbiorców wynosząca minimum 500 tys. rocznie, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, energii elektrycznej d) udział podmiotu świadczącego usługę kluczową w rynku: procentowy udział odbiorców danego operatora w stosunku do liczby odbiorców w kraju ogółem: wynoszący minimum 2,5%, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: długość sieci dystrybucyjnej/trakcyjnej wynosząca minimum 50 km Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie obrotu energią elektryczną Obrót energią elektryczną a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: liczba odbiorców końcowych wynosząca minimum 500 tys. rocznie, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: udział ilości sprzedanej energii elektrycznej przez przedsiębiorstwo w stosunku do ilości energii elektrycznej dostarczonej ogółem do odbiorców końcowych w kraju wynoszący minimum 3,5% Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, prowadzące działalność gospodarczą w zakresie przetwarzania albo magazynowania energii elektrycznej Magazynowanie energii elektrycznej a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: nie dotyczy, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: moc magazynu wynosząca minimum 50 MW brutto Podmioty prowadzące działalność gospodarczą w zakresie świadczenia usług systemowych, jakościowych i zarządzania infrastrukturą energetyczną Usługi systemowe, jakościowe i zarządzanie infrastrukturą energetyczną a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: procentowy udział odbiorców danego operatora w stosunku do liczby odbiorców w kraju ogółem wynoszący nie mniej niż 2,5%, b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: nie dotyczy, d) udział podmiotu świadczącego usługę kluczową w rynku: nie dotyczy, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: długość sieci przesyłowej wynosząca minimum 5 km lub zarządzanie Głównym Punktem Zasilania Ciepło Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania ciepła Wytwarzanie ciepła a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: minimum wynosząca 15 tys. odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę), b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: wpływ na co najmniej 50% odbiorców, o których mowa w lit. a, d) udział podmiotu świadczącego usługę kluczową w rynku: wynoszący powyżej 50%, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: moc zainstalowana cieplna wynosząca minimum 50 MWt. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie obrotu ciepłem Obrót ciepłem a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: wynosząca minimum 15 tys. odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę), b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: wpływ na co najmniej 50% odbiorców, o których mowa w lit. a, d) udział podmiotu świadczącego usługę kluczową w rynku: wynoszący powyżej 50%, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: nie dotyczy Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające Przesyłanie ciepła a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: wynosząca minimum 15 tys. odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania ciepła niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę), b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: wpływ na co najmniej 50% odbiorców, o których mowa w lit. a, d) udział podmiotu świadczącego usługę kluczową w rynku: wynoszący powyżej 50%, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy, g) inne czynniki charakterystyczne dla danego podsektora: długość sieci ciepłowniczej wynosząca minimum 50 km Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie dystrybucji ciepła Dystrybucja ciepła a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: wynosząca minimum 15 tys. odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę), b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy, c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: wpływ na co najmniej 50% odbiorców, o których mowa w lit. a, d) udział podmiotu świadczącego usługę kluczową w rynku: wynoszący powyżej 50%, e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy, f) zdolność podmiotu do utrzymywania wystarczającego po