Prezes Rady Ministrów zarządzeniem 19 z dnia 28.05.2025 wprowadził na całym terytorium Rzeczpospolitej Polskiej drugi stopień alarmowy (BRAVO) oraz zarządzeniem 20 z dnia 28.05.2025 wprowadził na całym terytorium Rzeczpospolitej Polskiej drugi stopień alarmowy CRP (BRAVO CRP). Stopnie alarmowe obowiązują od 1 czerwca 2025 r. od godziny 00:00 do 31 sierpnia 2025 r. do godziny 23:59.

Stopnie alarmowe są przede wszystkim sygnałem dla służb, żeby były gotowe do działania.

 BRAVO-CRP jest drugim, z czterech stopni alarmowych określonych w ustawie o działaniach antyterrorystycznych. Oznacza to, że administracja publiczna jest zobowiązana do prowadzenia wzmożonego monitoringu stanu bezpieczeństwa systemów teleinformatycznych.

Stopień alarmowy BRAVO (drugi w czterostopniowej skali) wprowadza się w przypadku zaistnienia zwiększonego i przewidywalnego zagrożenia wystąpieniem zdarzenia o charakterze terrorystycznym. Oznacza to, że służby mają informację o potencjalnym zagrożeniu, a w związku z tym administracja publiczna jest zobowiązana do zachowania szczególnej czujności.

Więcej informacji: https://www.gov.pl/web/rcb/stopnie-alarmowe2

 ALFA-CRP oznacza, że należy wykonać następujące zadania:

• wprowadzić wzmożone monitorowanie stanu bezpieczeństwa systemów teleinformatycznych organów administracji publicznej lub systemów  teleinformatycznych wchodzących w skład infrastruktury krytycznej w szczególności wykorzystując zalecenia szefa Agencji Bezpieczeństwa Wewnętrznego lub komórek odpowiedzialnych za system reagowania zgodnie z właściwością oraz:
• monitorować i weryfikować, czy nie doszło do naruszenia bezpieczeństwa komunikacji elektronicznej,
• sprawdzać dostępność usług elektronicznych,
• dokonywać, w razie potrzeby, zmian w dostępie do systemów;
• poinformować personel instytucji o konieczności zachowania zwiększonej czujności w stosunku do stanów odbiegających od normy, w szczególności personel odpowiedzialny za bezpieczeństwo systemów;
• sprawdzić kanały łączności z innymi, właściwymi dla rodzaju stopnia alarmowego CRP, podmiotami biorącymi udział w reagowaniu kryzysowym, dokonać weryfikacji ustanowionych punktów kontaktowych z zespołami reagowania na incydenty bezpieczeństwa teleinformatycznego właściwymi dla rodzaju działania organizacji oraz ministrem właściwym do spraw informatyzacji;
• dokonać przeglądu stosownych procedur oraz zadań związanych z wprowadzeniem stopni alarmowych CRP, w szczególności dokonać weryfikacji posiadanej kopii zapasowej systemów w stosunku do systemów teleinformatycznych wchodzących w skład infrastruktury krytycznej oraz systemów kluczowych dla funkcjonowania organizacji oraz weryfikacji czasu wymaganego na przywrócenie poprawności funkcjonowania systemu;
• sprawdzić aktualny stan bezpieczeństwa systemów i ocenić wpływ zagrożenia na bezpieczeństwo teleinformatyczne na podstawie bieżących informacji i prognoz wydarzeń;
• informować na bieżąco o efektach przeprowadzanych działań zespoły reagowania na incydenty bezpieczeństwa teleinformatycznego właściwe dla rodzaju działania organizacji oraz współdziałające centra zarządzania kryzysowego, a także ministra właściwego do spraw informatyzacji.

BRAVO-CRP oznacza, że należy wykonać zadania wymienione dla pierwszego stopnia alarmowego CRP oraz kontynuować lub sprawdzić wykonanie tych zadań, jeżeli wcześniej był wprowadzony stopień ALFA-CRP. Ponadto należy:

• zapewnić dostępność w trybie alarmowym personelu odpowiedzialnego za bezpieczeństwo systemów;
• wprowadzić całodobowe dyżury administratorów systemów kluczowych dla funkcjonowania organizacji oraz personelu uprawnionego do podejmowania decyzji w sprawach bezpieczeństwa systemów teleinformatycznych.

 CHARLIE-CRP oznacza, że należy wykonać zadania wymienione dla pierwszego i drugiego stopnia alarmowego CRP oraz kontynuować lub sprawdzić wykonanie tych zadań, jeżeli wcześniej był wprowadzony stopień ALFA-CRP lub BRAVO-CRP. Ponadto należy:

• wprowadzić całodobowe dyżury administratorów systemów kluczowych dla funkcjonowania organizacji oraz personelu uprawnionego do podejmowania decyzji w sprawach bezpieczeństwa systemów;
• dokonać przeglądu dostępnych zasobów zapasowych pod względem możliwości ich wykorzystania w przypadku zaistnienia ataku;
• przygotować się do uruchomienia planów umożliwiających zachowanie ciągłości działania po wystąpieniu potencjalnego ataku, w tym:
• dokonać przeglądu i ewentualnego audytu planów awaryjnych oraz systemów,
• przygotować się do ograniczenia operacji na serwerach, w celu możliwości ich szybkiego i bezawaryjne go zamknięcia.

DELTA-CRP oznacza, że należy wykonać zadania wymienione dla pierwszego, drugiego i trzeciego stopnia alarmowego CRP oraz kontynuować lub sprawdzić wykonanie tych zadań, jeżeli wcześniej był wprowadzony stopień ALFA-CRP, BRAVO-CRP lub CHARLIE-CRP. Ponadto należy:

• uruchomić plany awaryjne lub plany ciągłości działania organizacji w sytuacjach awarii lub utraty ciągłości działania;
• stosownie do sytuacji przystąpić do realizacji procedur przywracania ciągłości działania.