ISO 22372:2025 – Wytyczne dla odporności infrastruktury krytycznej

ISO 22372:2025 opiera się na strukturze ramowej (framework) oraz sześciu kluczowych zasadach (principles), które wspierają cztery fazy odporności infrastruktury: przygotowanie, absorpcję, odbudowę i adaptację.

RAMOWY MODEL ZARZĄDZANIA (FRAMEWORK)

Norma definiuje cztery podstawowe kroki dla osiągnięcia odporności infrastruktury:

Określenie celów i odpowiedzialności – organizacje odpowiedzialne za infrastrukturę powinny wyznaczyć strategiczne cele odporności oraz jasno zdefiniować role i odpowiedzialności wszystkich interesariuszy. Wymaga to powołania ciała zarządzającego, które będzie koordynowało działania na wszystkich poziomach organizacji.

Identyfikacja i ocena zdolności infrastruktury – kompleksowa ocena obecnego stanu odporności infrastruktury, uwzględniająca cały cykl życia (od planowania po likwidację), zależności między systemami oraz trendy wpływające na przyszłe wymagania. Ocena powinna być holistyczna, traktując infrastrukturę jako system systemów, a nie tylko analizować poszczególne sektory w izolacji.

Ustalenie priorytetów – na podstawie oceny należy określić najsłabsze ogniwa i priorytetyzować działania o największym wpływie na systemową odporność infrastruktury. Pozwala to koncentrować zasoby tam, gdzie są najbardziej potrzebne dla zapewnienia nieprzerwanej ciągłości usług.

Ustanowienie strategii i planu – opracowanie długoterminowej strategii odporności, która integruje wszystkie zidentyfikowane działania, określa harmonogram wdrożenia oraz mechanizmy monitorowania postępów.

SZEŚĆ ZASAD ODPORNOŚCI INFRASTRUKTURY

Norma definiuje sześć fundamentalnych zasad, które powinny być wdrożone w całym cyklu życia infrastruktury:

Zasada 1: Jasno określone odpowiedzialności i wspólna odpowiedzialność (Clearly defined accountabilities and shared responsibilities) – wymaga ustanowienia przejrzystych struktur zarządzania, w których role i obowiązki wszystkich stron są jednoznacznie określone, co zapobiega fragmentacji działań.

Zasada 2: Proaktywna ochrona (Proactively protected) – infrastruktura powinna być projektowana i zarządzana z myślą o przewidywaniu zagrożeń i podejmowaniu działań zapobiegawczych zanim wystąpi zakłócenie.

Zasada 3: Zintegrowana z środowiskiem (Environmentally integrated) – projektowanie i eksploatacja infrastruktury powinny minimalizować wpływ na środowisko naturalne oraz wykorzystywać rozwiązania oparte na naturze (nature-based solutions).

Zasada 4: Społecznie zaangażowana (Socially engaged) – aktywne angażowanie społeczności i użytkowników infrastruktury w procesy decyzyjne oraz przygotowanie ludzi na potencjalne zakłócenia.

Zasada 5: Adaptacyjnie transformująca się (Adaptively transforming) – zdolność do elastycznego reagowania na zmiany, wprowadzania innowacji i rozszerzania zakresu działania poza pierwotne założenia.

Zasada 6: Ciągle ucząca się i doskonaląca (Continually learning and improving) – systematyczne monitorowanie, analiza, wyciąganie wniosków z doświadczeń oraz ciągłe doskonalenie kompetencji i procesów.

PROCESY OPERACYJNE (CYKL PDCA)

Norma wykorzystuje znany cykl Deminga (Plan-Do-Check-Act) do zarządzania odpornością:

Plan – obejmuje zbieranie dowodów, współpracę i dzielenie się informacjami o zagrożeniach, ryzykach oraz inwestycje w odporność infrastruktury.

Do – projektowanie i wdrażanie rozwiązań zwiększających odporność, takich jak zwiększenie wymagań bezpieczeństwa, uwzględnienie współzależności systemów, projektowanie infrastruktury tak aby awarie były bezpieczne, wdrażanie wielu ścieżek odporności oraz działania w odpowiednim czasie.

Check – testowanie i monitorowanie odporności, analiza słabości komponentów, zarządzanie wydajnością systemu oraz raportowanie postępów.

Act – poprawa praktyk, norm i podejść zarządczych, przygotowanie społeczności, utrzymanie elastycznego zarządzania oraz konserwacja infrastruktury i środowiska naturalnego.