Z Rządowego Centrum Bezpieczeństwa otrzymaliśmy informację na temat stanu wdrożenia rekomendacji, które powstały w wyniku analiz funkcjonowania systemu ratownictwa i zarządzania kryzysowego w Polsce po wydarzeniach z lata 2017 roku (kiedy w wyniku nawałnic zginęło 5 osób w tym 2 harcerki przebywające na obozie).
O powołaniu (zarządzeniem nr 101 z 4 września 2017 r.) międzyresortowego zespołu do oceny funkcjonowania systemu ratownictwa i zarządzania kryzysowego, który przygotował dokument „Propozycje zmian legislacyjnych i innych działań wynikających z rekomendacji Międzyresortowego Zespołu do oceny funkcjonowania systemu ratownictwa i zarządzania kryzysowego” pisaliśmy m.in. tutaj >>> oraz na stronach drukowanej wersji pisma „Wspólnota”.
Teraz chcieliśmy sprawdzić co z tych rekomendacji zostało wdrożone. Samo Rządowe Centrum Bezpieczeństwa zostało zobowiązane m.in. do zrealizowania zagadnień związanych z ostrzeganiem ludności poprzez wiadomości tekstowe. W ramach prac została zmieniona ustawa Prawo telekomunikacyjne oraz niektóre inne ustawy, w tym ustawa o zarządzaniu kryzysowym. Jej nowy artykuł – 21a – zobowiązuje operatorów sieci komórkowej do wysłania komunikatu o zagrożeniu do użytkowników na określonym obszarze, aby ostrzec ludność przed nadchodzącą sytuacją kryzysową.
W lipcu ruszył program pilotażowy Alert RCB – osoby, które znajdą się na obszarze potencjalnego wystąpienia sytuacji kryzysowej zagrażającej życiu, otrzymują na swój telefon komórkowy krótką wiadomość tekstową (SMS) z informacjami dotyczącymi rodzaju zagrożenia.
W trakcie pilotażu najmniejszym obszarem, na który może być wysyłany Alert RCB, jest województwo. Operatorzy sieci komórkowych intensywnie pracują nad technicznym rozwiązaniem, które umożliwi wysyłanie powiadomień z ostrzeżeniami na obszar mniejszy, docelowo ma to być powiat.
Pierwsze SMS-y z ostrzeżeniami zostały wysłane 10 sierpnia. Otrzymali je mieszkańcy województw: podlaskiego, warmińsko-mazurskiego, mazowieckiego, lubelskiego, małopolskiego, podkarpackiego i świętokrzyskiego. SMS-y zostały wysłane ze względu na prognozowane przez Instytut Meteorologii i Gospodarki Wodnej (IMGW) gwałtowne burze i silny wiatr. – Z komentarzy, które dotarły do Rządowego Centrum Bezpieczeństwa od odbiorców wynika, że system został odebrany pozytywnie – komentuje Adamkiewicz.
Projekty zmian prawa
Przygotowywana została propozycja założeń do zmian w systemie ochrony infrastruktury krytycznej i związanej z tym nowelizacji ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym. Projekt nowelizacji ustawy, opracowany w Rządowym Centrum Bezpieczeństwa, przewiduje wyłonienie regionalnej i lokalnej infrastruktury krytycznej i wprowadzenie dla niej minimalnych wymagań. – To powinno przyczynić się do zwiększenia odporności systemów, stanowiących taką infrastrukturę – zapewnia Adamkiewicz.
Projekt przewiduje:
zmianę podejścia w identyfikacji IK ze zorientowanego obiektowego na zorientowane usługowo. Zmiana podejścia nie wymaga zmiany definicji IK;
identyfikację usług krytycznych (jak w definicji IK), a ich operatorów na trzech poziomach (nazwy robocze), zależnie od skutków zakłócenia świadczenia danej usługi wg kryteriów ilościowych i jakościowych. Proponowane poziomy: krajowy – usługa, której zakłócenie ma niekorzystny wpływ na bezpieczeństwo całego państwa, regionalna – usługa, której zakłócenie ma niekorzystny wpływ na dany system IK lub kilka województw, lokalna – usługa, której zakłócenie ma niekorzystny wpływ na lokalną społeczność;
przeniesienie części odpowiedzialności za ochronę IK na niższe poziomy administracji. I tak, np. dla poziomu lokalnego za identyfikację operatorów IK (prowadzenie wykazu operatorów, zatwierdzanie planów ochrony usług krytycznych, współpracę z operatorami oraz zarządzanie kryzysowe na wypadek zakłócenia świadczenia danej usługi) byłby odpowiedzialny wojewoda. Na poziomie regionalnym – ministrowie odpowiedzialni za systemy IK, na poziomie krajowym Prezes Rady Ministrów, który realizowałby to zadanie poprzez RCB.
Ministerstwo Rodziny, Pracy i Polityki Społecznej przygotowało przepisy, które umożliwiają prowadzenie (na zasadzie dobrowolnego zgłoszenia) rejestrów osób, które wymagają wsparcia technicznego np. korzystają z respiratorów. Przepisy te zostało włączone do projektu nowelizacji ustawy o zarządzaniu kryzysowym.
W nowelizacji zostały także uwzględnione kwestie ochrony ludności – propozycja RCB. Ponadto, w ramach prac nad nowelizacją ustawy o zarządzaniu kryzysowym, zaproponowano nowe, bardziej elastyczne przepisy, które umożliwiają wykorzystanie pododdziałów Sił Zbrojnych RP w trakcie akcji prowadzonych przez Państwową Straż Pożarną.
Projekt nowelizacji został przekazany do Ministerstwa Spraw Wewnętrznych i Administracji.
W ramach realizacji rekomendacji Zespołu dotyczącej konieczności aktualizacji planów/wytycznych do planów zarządzania kryzysowego, w Rządowym Centrum Bezpieczeństwa została opracowana nowelizacja Krajowego Planu Zarządzania Kryzysowego (KPZK). Dokument został przyjęty przez Radę Ministrów 8 stycznia 2018 roku. Wieloletnie doświadczenia w korzystaniu z KPZK podczas kryzysów sprawiły, że w obecnie obowiązującej wersji zostały wprowadzone moduły zadaniowe, ułatwiające proces planistyczny i podejmowanie decyzji w czasie sytuacji kryzysowej.
Zgodnie z zapisami w KPZK podmioty wyszczególnione w siatce bezpieczeństwa zobowiązane były do przygotowania modułów zadaniowych w terminie 12 miesięcy od dnia przyjęcia nowelizacji KPZK przez Radę Ministrów, tj. do 8 stycznia 2019 roku.
Samorządy jednak ok
Jak czytamy w informacji przesłanej przez RCB „MSWiA oraz MRPiPS przeanalizowały możliwość przejęcia wypłat zasiłków przez administrację rządową i nie znalazły argumentów dla poparcia tej inicjatywy. Sytuacja poszczególnych rodzin jest najlepiej znana jednostkom samorządu terytorialnego. Ponadto samorządów jest około 2,5 tysiąca i przejęcie ich zadań w omawianym zakresie przez urzędy wojewódzkie (16) byłoby utrudnione bądź nieefektywne, zwłaszcza w zakresie liczby pracowników administracji publicznej zajmujących się sprawami zasiłków celowych”.
Oraz „Poza tym, zgodnie z art. 9 ust. 5 ustawy z dnia 18 kwietnia 2002 r. o stanie klęski żywiołowej: „W razie niezdolności do kierowania lub niewłaściwego kierowania działaniami prowadzonymi w celu zapobieżenia skutkom klęski żywiołowej lub ich usunięcia wojewoda z inicjatywy własnej lub na wniosek starosty może zawiesić uprawnienia wójta (burmistrza, prezydenta miasta), określone w ust. 2 i 3, oraz wyznaczyć pełnomocnika do kierowania tymi działaniami.(…)”.
W MSWiA przygotowany został projekt nowelizacji ustawy z 16 września 2011 r. o szczególnych rozwiązaniach związanych z usuwaniem skutków powodzi (t.j. Dz. U. z 2018, poz. 1473), który przewiduje możliwość zastosowania szczególnych rozwiązań przewidzianych ww. ustawą także do innych niż powódź zdarzeń klęskowych (np.: huragany, osuwiska ziemi, wyładowania atmosferyczne). W konsekwencji powyższego osoby lub rodziny poszkodowane w wyniku zdarzeń klęskowych będą mogły otrzymać doraźne zasiłki klęskowe w kwocie do 6 tys. zł (w projekcie przewiduje się zwiększenie maksymalnej kwoty zasiłku z 2 tys. zł do 6 tys. zł), wypłacane w przyspieszonym trybie przez wójta/burmistrza/prezydenta miasta (z pominięciem przepisów ustawy o pomocy społecznej).
MSWiA przeanalizowało ustawę o stanie klęski żywiołowej w zakresie rozszerzenia definicji „klęski żywiołowej” lub zasad wprowadzania „stanu klęski żywiołowej”. W konsekwencji resort rekomenduje:
utrzymanie dotychczasowych zapisów ustawy o stanie klęski żywiołowej i pozostawienie możliwości jej zastosowania do szczególnych przypadków, określonych Konstytucją RP,
odróżnienie od formalnego stanu klęski żywiołowej oraz zdefiniowanie pojęcia „klęski żywiołowej” na potrzeby ustawy o szczególnych rozwiązaniach związanych z usuwaniem skutków powodzi – określającej konkretne formy pomocy dla poszkodowanych
Prawo wodne i dobre praktyki
Przeanalizowano ustawę Prawo Wodne oraz inne ustawy pod kątem ciągłości działania wodociągów i oczyszczalni. Wg opinii Ministerstwa Środowiska obecnie obwiązujące w tym zakresie przepisy są wystarczające; proponuje się zwiększenie nadzoru w tym zakresie.
Dodatkowe zabezpieczenie ciągłości działania kluczowych systemów zostało uwzględnione w projekcie nowelizacji ustawy o zarządzaniu kryzysowym. Przewiduje ono wyłonienie regionalnej i lokalnej infrastruktury krytycznej i wprowadzenie dla niej minimalnych wymagań. To powinno przyczynić się do zwiększenia odporności systemów, które zostaną włączone do wykazów takiej infrastruktury.
W zakresie realizacji rekomendacji Zespołu dotyczącej modernizacji systemu koordynacji działań jednostek Państwowego Ratownictwa Medycznego, Ministerstwo Zdrowia wydało 3 dokumenty w formie tzw. „dobrych praktyk”:
Dobre praktyki przy zawieraniu umów na usługę transmisji danych i połączeń głosowych w systemie Państwowego Ratownictwa Medycznego (roaming wewnętrzny, priorytetyzacja);
Dobre praktyki w zakresie łączności radiowej w systemie PRM (opis modelu docelowego, wykorzystania obecnych zasobów, kierunek w przypadku modernizacji obecnych systemów łączności radiowej, współpraca pomiędzy systemami łączności radiowej);
Dobre praktyki w zakresie zapewnienia w zasilanie awaryjne dyspozytorni medycznych i miejsc stacjonowania Zespołów Ratownictwa Medycznego (ZRM).
Przy zawieraniu umowy na usługi GSM (komunikacja z tabletami w karetkach pogotowia) w 2019 r. zostanie uwzględniona usługa roamingu transmisji danych. Umowa ta obecnie jest obsługiwana przez Departament Teleinformatyki Ministerstwa Spraw Wewnętrznych i Administracji. Nowa umowa będzie prowadzona przez podległe Ministrowi Zdrowia - Krajowe Centrum Monitorowania Ratownictwa Medycznego.
Przeanalizowano potrzebę utworzenia kolejnych centrów zarządzania kryzysowego (CZK) w administracji rządowej. W jej wyniku zaproponowano, by CZK powstały w tych organach, które odpowiedzialne są za systemy IK, a o których mowa w ustawie o zarządzaniu kryzysowym, z możliwością powierzenia funkcji centrum zarządzania kryzysowego jednostce podległej/nadzorowanej. W związku z powyższym, należy znowelizować § 2 ust. 1 rozporządzenia Rady Ministrów z dnia 15 grudnia 2009 r. w sprawie określenia organów administracji rządowej, które utworzą centra zarządzania kryzysowego, oraz sposobu ich funkcjonowania. Jest to rozporządzenie wykonawcze do ustawy o zarządzaniu kryzysowym, więc nowe rozporządzenie zostanie opracowane po nowelizacji ustawy.
Można wchodzić na prywatne
Ministerstwo Energii przeanalizowało zagadnienia związane z umożliwieniem wejścia służbom energetycznym na teren prywatny i obszary o nieustalonym prawie własności w celu usunięcia awarii. Wskazało, że pomimo braku uregulowanego prawa operatorów do korzystania z nieruchomości (np. służebność) obowiązujące przepisy prawa umożliwiają usuwanie skutków sytuacji kryzysowych przez operatorów.
Zgodnie z art. 126 ust.5 ustawy z dnia 21 sierpnia 1997 r. o gospodarce nieruchomościami, właściciel lub użytkownik wieczysty nieruchomości ma obowiązek udostępnienia jej w celu zapobieżenia okolicznościom, o których mowa w art. 126 ust. 1 (tj. w przypadku siły wyższej lub nagłej potrzeby zapobieżenia powstaniu znacznej szkody).
Sytuacje kryzysowe jak np. huragan, nawałnica itp., w opinii ME, niewątpliwie skutkują wywołaniem znacznych szkód. Ponadto, obowiązek udostępnienia nieruchomości podlega egzekucji administracyjnej, a podmiot, który zajął nieruchomość, zgodnie z art. 126 ust. 5 ww. ustawy, ma obowiązek złożenia wniosku w terminie 3 dni od dnia zajęcia nieruchomości.
Stosowna opinia prawna została przekazana przez ME operatorom systemów dystrybucyjnych oraz operatorowi systemu przesyłowego PSE SA.
Ktoś się podszył pod RCB
Zainteresowanie alertami RCB było na tyle duże, że ktoś postanowił to wykorzystać i podszyć się pod alerty. W listopadzie 2018 roku mieszkańcy kilku gmin przygranicznych otrzymali podobno sms'y:
"Uwaga! Mężczyźni w wieku 18-65 lat zamieszkali na terenie gminy Dukla/Horodlo zobowiązani są do stawienia się na terenie urzędu gminy w dniu 27.11.2018 o godzinie 10 w związku z sytuacją kryzysową na Ukrainie. Proszę oczekiwać dalszych komunikatów". Jak to w ogóle możliwe by podszyć się pod RCB pisał portal "Niebezpiecznik".
Jak podkreślano na zajmującej się profesjonalnie sprawami cyberbezpieczeństwa stronie "Niebezpiecznik" nikt nie musiał się "włamywać do systemów RCB" aby takiego SMS-a rozesłać. My możemy dopisać, że to jest właściwie wykluczone bo najmniejszym obszarem, na który można wysłać sms poprzez system RCB jest województwo (o czym piszemy wyżej), a tym przypadku jest mowa o kilku gminach.
Jak przekonywał "Niebezpiecznik" SMS-a można wysłać z dowolnego numeru (zarówno w formie faktycznego numeru jak i nazwy). Każdy może to zrobić za pomocą odpowiedniej bramki. Stali Czytelnicy Niebezpiecznika doskonale zdają sobie z tego sprawę, bo regularnie informujemy, że ktoś się podszywa a to pod Biedronkę, a to pod DHL, a to pod Morele a to pod Profil Zaufany. I okrada Polaków często na setki tysięcy złotych.
Ale podszycie się pod Alert RCB nie miało na celu kradzieży pieniędzy. Celem tej dezinformacji było wywołanie chaosu. Nadawca fałszywego alertu musiał znać numery telefonów osób z danego obszaru, jeśli wiadomości rozsyłał przez bramkę. I to jest ciekawy wątek. Bo jak (skąd?) je pozyskał? A ponoć SMS-a miały dostawać tylko osoby zamieszkujące faktycznie te wymienione w treści SMS-a gminy, a nie ludzie z drugiej części kraju.
Zdaniem "Niebezpiecznika" mogło to się odbyć na zasadzie fałszywego BTS. Jak pisał "Niebepiecznik" "SMS-a można rozesłać na tzw. "powitanie". Dzieje się to automatycznie gdy lądujecie zagranicą (Polska karta loguje się po raz pierwszy na nadajniku zagranicznym). Standardowo dostaje się wtedy cennik połączeń i numer do ambasady. Ale ten mechanizm "powitania" można wykorzystać inaczej. Jeśli dysponuje się tzw. IMSI Catcherem (czyli takim przenośnym BTS-em), to każdy z telefonów, który się do niego podepnie może z automatu dostać SMS-a (od dowolnie ustawionego nadawcy o dowolnie ustawionej treści). Ten wariant ataku wymaga jednak, aby atakujący był w pobliżu ofiary (kilkaset metrów, do kilku kilometrów, w zależności od modelu IMSI Catchera i czynników środowiskowych).
"Niebezpiecznik" zastanawia się też czy sms'y aby na pewno zostały w ogóle masowo rozesłane. Screeny podesłane do redakcji (i innych instytucji) mogą być spreparowane i pochodzić od osób, które po prostu chciały wrzucić "fake newsa". Trzeba mieć jednak nadzieję, że RCB, zgodnie z tym co twierdzi w komunikacie, przed swoimi działaniami dotarło do osób, które faktycznie SMS-a otrzymały.
