Ustawa Wodna 2026: od cyberbezpieczeństwa do bezpieczeństwa zdrowotnego. Co, do kiedy i jak wdrożyć?
- Co się zmieniło? 21 maja 2026 r. weszła w życie ustawa z dnia 13 marca 2026 r. o zmianie ustawy o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków (Dz.U. 2026 poz. 605). Wdraża ona unijną Dyrektywę Wodną 2020/2184.
- Kogo dotyczy? Dwóch grup: (1) dostawców wody (wodociągi, hurtownicy wody) oraz (2) właścicieli i zarządców „obiektów priorytetowych” – m.in. szpitali, hoteli, więzień, domów opieki i innych budynków, gdzie z wody korzysta ponad 50 osób dziennie.
- Na czym polega istota zmian? Na wprowadzeniu obowiązkowego podejścia opartego na ryzyku w całym łańcuchu dostaw wody – od ujęcia, przez sieć wodociągową, aż po instalację w budynku klienta.
Ewolucja bezpieczeństwa wodociągów
Rok temu, przy okazji naboru do grantu „Cyberbezpieczne Wodociągi”, pisaliśmy o tym, jak sektor wodociągowo-kanalizacyjny – jako podmiot kluczowy w rozumieniu Krajowego Systemu Cyberbezpieczeństwa – musi wdrażać zarządzanie ryzykiem cybernetycznym, zgłaszać incydenty, chronić dane osobowe odbiorców i budować odporność na ataki na systemy informatyczne sterujące infrastrukturą. To był pierwszy filar bezpieczeństwa nowoczesnych wodociągów: ochrona systemów, które zarządzają wodą.
Ustawa z 13 marca 2026 r. dokłada drugi, równie istotny filar: bezpieczeństwo samej wody – od źródła aż po kran. To nie jest przypadek ani konkurencyjna regulacja wobec NIS2/UoKSC – to naturalne dopełnienie tej samej logiki zarządzania ryzykiem, tylko przeniesionej z warstwy cyfrowej na warstwę fizyczną i zdrowotną.
Ustawodawca wprost odchodzi od modelu „zbadamy próbkę wody i zobaczymy, czy jest w normie” na rzecz modelu ciągłego, systemowego zarządzania ryzykiem – identyfikowania zagrożeń, zanim staną się problemem, i dokumentowania działań zapobiegawczych. To podejście od lat promowane przez WHO pod nazwą Water Safety Plans, teraz staje się w Polsce prawnym obowiązkiem, wynikającym z implementacji unijnej Dyrektywy Parlamentu Europejskiego i Rady (UE) 2020/2184 w sprawie jakości wody przeznaczonej do spożycia przez ludzi (tzw. Dyrektywy Wodnej).
Kluczowa różnica względem poprzedniego stanu prawnego: obowiązki nie kończą się już na bramie zakładu uzdatniania wody. Ustawa nakłada samodzielne obowiązki także na właścicieli i zarządców budynków, w których dochodzi do końcowej dystrybucji wody do konsumenta, dla naszych klientów z sektora wod-kan oznacza to nowy, równoległy strumień obowiązków – obok tych już znanych z NIS2 i RODO.
Najważniejsze nowe pojęcia, które musisz znać
- Dostawca wody (art. 2 pkt 1) – To pojęcie znacznie szersze, niż mogłoby się wydawać. Obejmuje każdy podmiot dostarczający wodę przeznaczoną do spożycia przez ludzi – nie tylko klasyczne przedsiębiorstwo wodociągowo-kanalizacyjne, ale też każdego, kto prowadzi hurtową sprzedaż wody. Jeżeli Twoja organizacja w jakikolwiek sposób dostarcza wodę pitną odbiorcom (także hurtowo, innemu wodociągowi), jesteś „dostawcą wody” w rozumieniu ustawy i podlegasz opisanym niżej obowiązkom.
- Podejście oparte na ryzyku w całym łańcuchu dostaw – To serce nowelizacji. Zamiast punktowej kontroli „czy woda w kranie spełnia normę”, ustawa wymaga systemowego zarządzania ryzykiem jednocześnie na trzech poziomach:
- w obszarze zasilania ujęcia wody – czyli tam, skąd w ogóle pozyskiwana jest woda (rzeka, jezioro, ujęcie podziemne),
- w systemie zaopatrzenia w wodę – uzdatnianie, magazynowanie, dystrybucja siecią,
- w wewnętrznym systemie wodociągowym – instalacja „za wodomierzem”, już wewnątrz budynku klienta.
Innymi słowy: odpowiedzialność za bezpieczeństwo wody nie kończy się na bramie stacji uzdatniania – rozciąga się aż po kran w sali szpitalnej czy pokoju hotelowym. To dlatego ustawa wprowadza osobną kategorię obowiązków dla właścicieli i zarządców budynków.
- Monitoring operacyjny i monitoring zgodności – Te dwa pojęcia często są mylone, a oznaczają zupełnie różne rzeczy:
- Monitoring operacyjny to „szybki radar” dostawcy wody – wewnętrzny system wczesnego ostrzegania, ustalany samodzielnie na podstawie oceny ryzyka, którego celem jest natychmiastowe wychwycenie problemów eksploatacyjnych (np. w procesie uzdatniania) i podjęcie działań naprawczych, zanim problem dotrze do konsumenta.
- Monitoring zgodności to formalna, poddana nadzorowi Państwowej (lub Wojskowej) Inspekcji Sanitarnej, kontrola konkretnych parametrów jakości wody w wyznaczonych punktach zgodności, realizowana zgodnie z ustalonym harmonogramem poboru próbek – i to właśnie te wyniki trafiają formalnie do organów nadzoru.
- Punkty zgodności – To miejsca, w których muszą być dotrzymane wartości parametryczne jakości wody. W zależności od sposobu dostawy są to m.in.:
- kran u odbiorcy – punkt, w którym woda wypływa z punktów czerpalnych zwykle używanych do jej poboru (dla wody z sieci),
- wylot z cystern lub przewoźnych zbiorników,
- miejsce rozlewania wody do butelek lub pojemników,
- punkt wykorzystania wody w zakładzie spożywczym.
Harmonogram i obowiązki: kto, co i do kiedy?
Termin | Kto? | Co należy zrobić? | Podstawa prawna |
2026 r. (cały rok) | Dostawcy wody | Ustalenie pierwszych harmonogramów poboru próbek w ramach monitoringu zgodności | Art. 10 przepisów przejściowych ustawy nowelizującej |
do 31 grudnia 2026 r. | Dostawca wody | Przekazanie pierwszej oceny ryzyka obszaru zasilania ujęcia wody wraz z raportem podsumowującym | Art. 7 ust. 1 ustawy nowelizującej, art. 4e ust. 1 pkt 1 i art. 4h ust. 1 pkt 1 |
do 30 czerwca 2028 r. | Dostawca wody | Przekazanie pierwszej oceny ryzyka systemu zaopatrzenia w wodę wraz z raportem podsumowującym | Art. 7 ust. 2 ustawy nowelizującej, art. 4e ust. 1 pkt 2 i art. 4h ust. 1 pkt 2 |
do 30 czerwca 2028 r. | Właściciel/zarządca obiektu priorytetowego | Pierwsza ocena ryzyka wewnętrznego systemu wodociągowego + przekazanie informacji o działaniach dot. Legionelli i ołowiu | Art. 9 ust. 1 i art. 8 ustawy nowelizującej, art. 4i ust. 1 i art. 4m ust. 1 pkt 5–6 |
6 miesięcy od oddania do użytku | Właściciel/zarządca nowego obiektu priorytetowego (oddanego po 30.06.2028 r.) | Sporządzenie i przekazanie pierwszej oceny ryzyka instalacji wewnętrznej | Art. 9 ust. 7 ustawy nowelizującej |
nie rzadziej niż co 6 lat | Wszyscy powyżej | Cykliczny, udokumentowany przegląd i w razie potrzeby – aktualizacja każdej z ocen ryzyka | Art. 4e ust. 2 oraz art. 4i ust. 2 |
Konsekwencje braku zgodności; ile możesz zapłacić?
Kto podlega karze? | Za co? | Wysokość kary |
Dostawca wody | Brak badań jakości wody zgodnie z harmonogramem, brak działań naprawczych, brak monitoringu substancji promieniotwórczych, niewłaściwe materiały/chemikalia do uzdatniania wody, brak informowania konsumentów o jakości wody | od 100 zł do 60 000 zł |
Dostawca wody | Zwłoka w przekazaniu oceny ryzyka obszaru zasilania ujęcia lub systemu zaopatrzenia w wodę | 10 zł za każdy dzień opóźnienia (maks. za 365 dni, czyli do 3 650 zł) |
Właściciel/zarządca obiektu priorytetowego | Brak oceny ryzyka instalacji wewnętrznej, brak jej aktualizacji, brak przechowywania dokumentacji (min. 12 lat), brak badań na Legionellę lub ołów, nieprzekazanie sprawozdań w terminie | od 100 zł do 10 000 zł |
Jak możemy pomóc?
Zespół Doering & Partnerzy od lat wspiera wodociągi, szpitale, jednostki samorządu terytorialnego i podmioty prywatne w audytach bezpieczeństwa informacji, zgodności z KRI/UoKSC oraz ochrony danych osobowych. Naturalnym rozszerzeniem tego doświadczenia jest wsparcie w nowym obszarze bezpieczeństwa wody – od weryfikacji, czy dany obiekt jest „obiektem priorytetowym”, przez przygotowanie i przegląd dokumentacji oceny ryzyka, po zbudowanie zintegrowanego kalendarza audytowego, łączącego wymogi NIS2 i Dyrektywy Wodnej.
Nie masz pewności, czy i w jakim zakresie nowe przepisy dotyczą Twojej organizacji? Skontaktuj się z nami – wspólnie ustalimy zakres obowiązków i zaplanujemy działania z odpowiednim wyprzedzeniem przed grudniowym terminem 2026 r.
Nie masz pewności od czego zacząć?
Skontaktuj się z nami i wspólnie wybierzmy optymalne rozwiązanie!
Doering & Partnerzy
Zaufali nam
