Interpelacja w sprawie przygotowania spółek z udziałem Skarbu Państwa do zagrożeń bezpieczeństwa oraz skuteczności nadzoru nad ciągłością ich działania

Szanowny Panie Ministrze,

na podstawie art. 14 ust. 1 pkt 7 ustawy o wykonywaniu mandatu posła i senatora kieruję do Pana Ministra interpelację w sprawie przygotowania spółek pozostających w zakresie nadzoru właścicielskiego resortu do zagrożeń bezpieczeństwa oraz oceny ich zdolności do utrzymania działalności podczas poważnych zakłóceń.

Spółki z udziałem Skarbu Państwa wykonują zadania istotne dla gospodarki i bezpieczeństwa obywateli. Ich odporność na sabotaż, cyberataki, utratę zasilania i przerwanie dostaw powinna podlegać rzeczywistej ocenie. Państwo jako właściciel musi wiedzieć, czy podmioty te potrafią utrzymać najważniejsze funkcje i przywrócić działalność po incydencie.

Nadzór właścicielski powinien uwzględniać nie tylko wyniki finansowe, lecz także zarządzanie ryzykiem i gotowość na sytuacje kryzysowe. Nie do przyjęcia byłoby zaakceptowanie zapewnień zarządu bez sprawdzenia, czy plany awaryjne zostały przetestowane, zalecenia wykonane, a wymagane zasoby rzeczywiście zabezpieczone.

Odpowiedzialność nie może rozmywać się pomiędzy zarządem, radą nadzorczą, dostawcą usług i administracją. Powierzenie obsługi systemu zewnętrznej firmie nie usuwa potrzeby oceny ryzyka ani przygotowania na niedostępność wykonawcy.

Konieczne jest zatem wyjaśnienie, jakie wymagania stawia resort, jak ocenia ich realizację i jakie konsekwencje wyciąga wobec potwierdzonych zaniedbań. Pytania dotyczą spółek objętych właściwością Ministra oraz narzędzi dostępnych w ramach nadzoru właścicielskiego.

W związku z powyższym proszę o odpowiedzi na następujące pytania:

1. Czy resort przeprowadził przegląd przygotowania nadzorowanych spółek do zagrożeń sabotażowych, cyberataków i poważnych zakłóceń działalności? Jaki był jego zakres?

2. Jakie wymagania dotyczące zarządzania ryzykiem i ciągłości działania przekazano przedstawicielom Skarbu Państwa w organach spółek?

3. Ile spółek posiada aktualne plany ciągłości działania, a ile przetestowało je praktycznie? Proszę o dane zbiorcze według sektorów.

4. Czy sprawdzono przygotowanie na równoczesną utratę energii, łączności i systemów informatycznych? Jakie najważniejsze braki ujawniono?

5. Czy zarządy określiły funkcje niezbędne do utrzymania działalności i dopuszczalny czas ich niedostępności? Jak weryfikowane są te założenia?

6. Jak oceniono ryzyka związane z podmiotami zewnętrznymi, zdalnym serwisem i koncentracją usług u pojedynczych dostawców?

7. Czy sprawdzano możliwość odtworzenia systemów z kopii zapasowych oraz dostępność wyposażenia zastępczego? Jakie zbiorcze rezultaty uzyskano?

8. Jak zapewniono zgłaszanie istotnych incydentów właściwym organom oraz informowanie organów nadzorczych spółek i resortu?

9. Czy rady nadzorcze regularnie oceniają gotowość kryzysową spółek? Jakie kompetencje i wsparcie zapewniono im do wykonywania tego zadania?

10. Jakie środki przeznaczono na poprawę odporności i czy sprawdzono skuteczność poniesionych wydatków?

11. Jakie braki kadrowe występują w obszarach bezpieczeństwa i utrzymania ciągłości działania? Czy zapewniono zastępstwo dla kluczowego personelu?

12. Czy po istotnych incydentach analizuje się możliwość wcześniejszego wykrycia zagrożenia i wykonanie wcześniejszych zaleceń? Jak wykorzystuje się te wnioski w innych spółkach?

13. Jak nadzorowane spółki współpracują z administracją i służbami w przygotowaniu do kryzysu, w zakresie właściwym dla prowadzonej działalności?

14. Czy stwierdzono niewykonanie zaleceń lub zaniedbania zarządów i organów nadzorczych? Jakie działania podjęto w ramach uprawnień właścicielskich?

15. Jakie cele poprawy gotowości wyznaczono i kiedy zostanie przedstawione jawne, zbiorcze rozliczenie ich wykonania?

Proszę o odpowiedź oddzielnie na każde pytanie, z rozróżnieniem deklarowanej gotowości i zdolności potwierdzonych podczas testów. Jeżeli część informacji podlega ochronie prawnej, proszę wskazać podstawę ograniczenia i udzielić odpowiedzi w pozostałym zakresie.

Z poważaniem
Olga Semeniuk-Patkowska