Prosto w prawo Skróty klawiszowe⌘KCtrl KPrzejdź do przepisu, ustawy albo sygnatury/Pole pytania albo wyszukiwania na stronie← →Poprzedni i następny artykuł albo strona listyCKopiuj przypis; z zaznaczonym tekstem cytat z przypisemLKopiuj linkFUkryj albo pokaż spis treści ustawyEscZamknij panel, menu albo okno?Lista skrótów Dla profesjonalistyPro
Spis treści ustawy

Art. 6zza ustawa o zarządzaniu kryzysowym

Obowiązuje od 4.07.2026Stan prawny na 16.10.2026Źródło: ELI / Sejm RP, oficjalny PDF ↗
Cała ustawa

nowy przepis Obowiązuje od 4.07.2026 (Dz.U. 2026 poz. 815).

Art. 6zza.
1.Audyt może być przeprowadzony przez:
1)jednostkę certyfikującą właściwą w zakresie, o którym mowa w art. 6zz ust. 1,
2)co najmniej dwóch audytorów, w tym jednego z ukończonym szkoleniem audytora wiodącego, spełniających wymogi określone w przepisach wydanych na podstawie ust. 10
–spełniających wymagania bezpieczeństwa osobowego i przemysłowego w zakresie dostępu do informacji niejawnych o klauzuli „poufne”.
2.Wymogu posiadania dostępu do informacji niejawnych o klauzuli „poufne” nie stosuje się do audytorów, o których mowa w ust. 1 pkt 2, w przypadku gdy są oni pracownikami podmiotu krytycznego.
3.Jednostka certyfikująca oraz audytorzy, o których mowa w ust. 1 pkt 2, są obowiązani do zachowania w tajemnicy informacji uzyskanych w związku z przeprowadzanym audytem, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych.
4.Audyt nie może być przeprowadzony przez osobę realizującą w podmiocie audytowanym zadania, o których mowa w art. 6zt ust. 1, art. 6zu ust. 1 oraz art. 6zv ust. 1, lub która realizowała te zadania w podmiocie audytowanym niepóźniej niż w terminie 2 lat przed dniem rozpoczęcia audytu.
5.Na podstawie zebranych dokumentów i dowodów jednostka certyfikująca oraz audytorzy, o których mowa w ust. 1 pkt 2, sporządzają raport z przeprowadzonego audytu i przekazują je podmiotowi krytycznemu wraz z dokumentacją z przeprowadzonego audytu.
6.Audytu nie przeprowadza się w przypadku posiadania przez podmiot krytyczny certyfikatów w zakresie, o którym mowa w art. 6zz ust. 1.
7.Podmiot krytyczny przedstawia kopię raportu z przeprowadzonego audytu lub certyfikatu, o którym mowa w ust. 6, właściwemu organowi do spraw podmiotów krytycznych, w terminie 7 dni roboczych od dnia jego otrzymania, oraz dyrektorowi Centrum na jego uzasadniony wniosek.
8.Kopię raportu z przeprowadzonego audytu lub certyfikatu, o którym mowa w ust. 6, przekazuje się za pomocą systemu, o którym mowa w art. 46 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
9.W przypadku braku możliwości przekazania kopii audytu lub certyfikatu, o którym mowa w ust. 6, za pomocą systemu, o którym mowa w art. 46 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, przekazanie następuje na piśmie utrwalonym w postaci elektronicznej, opatrzonym kwalifikowanym podpisem elektronicznym, podpisem osobistym, podpisem zaufanym albo kwalifikowaną pieczęcią elektroniczną.
10.Rada Ministrów określi, w drodze rozporządzenia, wymogi dla audytorów, o których mowa w ust. 1 pkt 2, w tym zakres wymaganej wiedzy specjalistycznej oraz wymaganego doświadczenia, mając na względzie zapewnienie skutecznego i rzetelnego przeprowadzania audytu.

Tekst ujednolicony ISAP, stan prawny na 16.10.2026, tekst z 7.07.2026. Wiążący jest tekst ogłoszony w Dzienniku Ustaw: oficjalny PDF ↗, otwórz w wyszukiwarce, zgłoś błąd.

Powiązane przepisy

  • art. 3 pkt 1a definicja
    podmiocie krytycznym – należy przez to rozumieć operatora infrastruktury krytycznej wpisanego do wykazu podmiotów krytycznych;
  • art. 3 pkt 25 definicja
    jednostce certyfikującej – należy przez to rozumieć jednostkę oceniającą zgodność akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568…
  • art. 3 pkt 26 definicja
    certyfikacie – należy przez to rozumieć dokument wydany przez jednostkę certyfikującą, potwierdzający, że wyrób, instalacja, system, proces, usługa lub osoba spełniają wymagania właściwego dokumentu normalizacyjnego, o k…
  • art. 6e ust. 5 definicja
    Projekt KOR opracowuje dyrektor Rządowego Centrum Bezpieczeństwa, zwanego dalej „Centrum”.
  • art. 6zz ust. 1 definicja
    Podmiot krytyczny przeprowadza co najmniej raz na 3 lata, na własny koszt, audyt zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej, zwany dalej „audytem”, w zakresie:
  • art. 6zt ust. 1 odesłanie
    Podmiot krytyczny wdraża zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej obejmujący:
  • art. 6zu ust. 1 odesłanie
    Podmiot krytyczny opracowuje i aktualizuje dokumentację zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej.
  • art. 6zv ust. 1 odesłanie
    Podmiot krytyczny jest obowiązany do zarządzania incydentem w zakresie:

Odsyła do 8