Tomasz Siemiątkowski: Cyberbezpieczeństwo 5.0, czyli projektodawca nie odpuszcza podmiotom prywatnym

Na stronie Rządowego Centrum Legislacji pojawiła się 12 lutego 2025 r. kolejna, piąta już wersja projektu ustawy nowelizującej ustawę o Krajowym Systemie Cyberbezpieczeństwa, która ma dostosować polskie prawo do dyrektywy NIS-2. Czy to dobrze, bo świadczy o tym, że Ministerstwo Cyfryzacji słucha uwag zgłaszanych w konsultacjach, czy też jednak tyle wersji projektu wprowadza chaos i utrudnia wcześniejsze przygotowanie się do nowej ustawy?

Tak, to już piąta wersja projektu ustawy. Pierwsza liczyła 129 stron, obecnie są to 144 strony. Projekt więc pęcznieje, ale za tym nie idzie jakość prawa. Wręcz przeciwnie, można odnieść wrażenie, że z każdą kolejną wersją pogłębia się chaos. Wcześniejsze wersje projektu, które publikowało Ministerstwo Cyfryzacji, były przedmiotem licznych uwag krytycznych, niestety – nie zostały one w żaden sposób uwzględnione.

Czytaj więcej

Opinie Prawne

Tomasz Siemiątkowski: Szkodliwa nadregulacja w sprawie cyberbezpieczeństwa

W kwestii cyberbezpieczeństwa jesteśmy świadkami próby legitymizacji kontrowersyjnych instytucji prawnych rzekomymi wymogami unijnymi. To przykład tzw. goldplatingu – mówi prof. Tomasz Siemiątkowski, adwokat.

Czego więc dotyczą zmiany, jeśli nie tego, co było krytykowane?

Niestety, odnotowałem, że w piątej wersji projektu ustawodawca złagodził, z korzyścią dla podmiotów publicznych, kryteria zaliczenia do grupy podmiotów kluczowych. Teraz niektóre z nich mogą być zaliczone do kategorii podmiotów ważnych, dzięki czemu zwłaszcza samorządowe osoby prawne mogą odetchnąć z ulgą. Czekają je uproszczone obowiązki w zakresie zarządzania cyberbezpieczeństwem. Projektodawca w dalszym jednak ciągu nie odpuszcza podmiotom prywatnym, które po wejściu w życie nowelizacji czeka rewolucja.

Zmiany, które znajdują się w projekcie 5.0, nie poprawiają wadliwych konstrukcji, które przyjął projektodawca w pierwotnej wersji projektu i których kurczowo się trzyma.

Czyli kolejne wersje projektu z punktu widzenia przedsiębiorców niewiele zmieniają?

Uważam, że regulację prawną cyberbezpieczeństwa trzeba stworzyć rozsądnie, napisać nową ustawę, a nie dokonywać łatania legislacyjnych dziur kolejnych wersji nowelizacji. Nasze państwo musi sprawnie reagować na zmieniającą się sytuację międzynarodową i zagrożenia cyberbezpieczeństwa. Takich szans nie daje obowiązujące prawo, a nowelizacja nie poprawia tego stanu. Projektodawca mylnie rozkłada akcenty. Z pewnym zaskoczeniem odnotowałem, że zamiast wsłuchać się w głosy krytyki fundamentalnych propozycji konstrukcyjnych w zakresie cyberbezpieczeństwa, twórcy kolejnego projektu wzbogacili go o… nowelizację ustawy o Państwowej Straży Pożarnej. W projekcie dodano przepisy przewidujące przyznanie strażakowi wykonującemu zadania z zakresu cyberbezpieczeństwa świadczenia teleinformatycznego. Czy naprawdę to są zagadnienia kluczowe dla cyberbezpieczeństwa Polski w aktualnej sytuacji geopolitycznej?

Czytaj więcej:

ABC Firmy

Cyberbezpieczeństwo. Prawniczka: nadregulacja uderzy w biznes

Rozumiem wagę kwestii cyberbezpieczeństwa. Jednak przedsiębiorstwa powinny wiedzieć, dlaczego mają przestrzegać bardziej surowych wymogów niż te, które obowiązują w pozostałych 26 krajach Unii Europejskiej. Tego polski ustawodawca nie uzasadnił – mówi Justyna Wilczyńska-Baraniak, partnerka EY Law.

Pro

To nasza druga rozmowa na temat projektowanych zmian w ustawie o KSC. Podczas pierwszego wywiadu zarzucał pan projektowi naruszenie zasady proporcjonalności, nietransparentne kryteria działania organów administracji publicznej odpowiedzialnych za cyberbezpieczeństwo. Na ile pozostaje to aktualne dla najnowszej wersji?

W tej materii kolejne wersje projektu nie wprowadzają zauważalnej poprawy. Wręcz przeciwnie – w najnowszej wersji minister cyfryzacji uzyskał nową kompetencję, a mianowicie będzie mógł wstrzymać lub ograniczyć koncesję podmiotu kluczowego, zawiesić jego działalność, lub zakazać wykonywania funkcji zarządczych w podmiocie kluczowym na wypadek niewykonywania uprzednio wydanych nakazów lub decyzji. We wcześniejszych wersjach projektu te kompetencje posiadał organ koncesyjny lub sąd rejestrowy, które mogły działać na wniosek ministra cyfryzacji. To kolejne nietypowe ustrojowo rozwiązanie nowelizacji, w którym minister przejmuje kompetencje wyspecjalizowanych organów ochrony prawnej.

Projekt ustawy nie wycofuje się z kontrowersyjnej konstrukcji dostawcy wysokiego ryzyka (HRV – high risk vendor). Uznanie za takiego będzie się wiązało z koniecznością wymiany sprzętu czy oprogramowania tego dostawcy przez podmioty ważne i kluczowe.

Zostały utrzymane kontrowersyjne i budzące zastrzeżenia konstytucyjne rozwiązania, zgodnie z którymi przedsiębiorca może w przypadkach podlegających uznaniu ministra cyfryzacji zostać uznany za dostawcę wysokiego ryzyka. Projekt ustawy podtrzymuje wariant weryfikacji podmiotowej (osoby dostawcy), a decydujące znaczenie będą mieć kryteria kraju pochodzenia, co ma oceniać Kolegium ds. Cyberbezpieczeństwa, czyli ciało quasi-rządowe. Uważam, że w miejsce nieostrych kryteriów podmiotowych efektywniejszą ochronę państwa zapewniłby system weryfikacji przedmiotowej, czyli sprzętu, a nie osoby wykonawcy.

Czytaj więcej

Administracja państwowa

Z cyberbezpieczeństwem jest trochę jak z RODO. Dużo straszenia

Kwestie związane z cyberbezpieczeństwem to już nie tylko problem techniczny, lecz w dużej mierze poważne ryzyko biznesowe – mówi Paweł Śmigielski, ekspert ds. cyberbezpieczeństwa.

Zastrzeżenia komentatorów budziły rozwiązania proceduralne w tej kwestii.

W tym zakresie nie ma żadnej poprawy. Projekt podtrzymuje też niejasną, skomplikowaną i nietransparentną procedurę w sprawie dostawcy wysokiego ryzyka, o czym już wspomniałem w naszej ostatniej rozmowie. Warto dopowiedzieć, że chaos proceduralny zatruwa też inne procedury przewidywane w projekcie. Podmioty kluczowe i ważne zostały zobowiązane do samodzielnej oceny, czy spełniają kryteria definicji ustawowej, a jeżeli tak – to powinny same złożyć wniosek o wpis do wykazu podmiotów ważnych i podmiotów kluczowych, prowadzonego przez ministra cyfryzacji. Wątpliwości w świetle zasad poprawnej legislacji i zasady prawa do sądu budzi zwłaszcza założenie zawarte w projekcie, że wpis, zmiana wpisu oraz wykreślenie wpisu z wykazu jest „czynnością materialno-techniczną i ma charakter deklaratoryjny” bez równoczesnego dodania, iż wskazana czynność podlega skardze do sądu administracyjnego. Ponadto zastrzeżenia może budzić fakt, że w przypadkach odmowy wykreślenia z wykazu oraz wpisania do wykazu projektodawca wprost ustanowił formę „czynności z zakresu administracji publicznej”, a nie formę decyzji administracyjnej.

Co w tym złego?

Rezygnacja z formy decyzji administracyjnej stawia pod znakiem zapytania formę i podstawę prawną czynności wyjaśniających, jakie właściwy organ prowadzi celem zbadania, czy określony podmiot spełnia kryteria podmiotu kluczowego lub podmiotu ważnego; zastrzeżenie formy prawnej „czynności” w szczególności powoduje, że czynności wyjaśniające organu nie będą podlegać wymogom przewidzianym w kodeksie postępowania administracyjnego. W konsekwencji utrudniona bądź iluzoryczna może się stać następcza kontrola sądowoadministracyjna tak podjętej czynności dotyczącej odmowy wykreślenia lub wpisania do analizowanego wykazu. Sprawa procedury jest w tym przypadku niezwykle istotna, bo skala obowiązków nałożonych na podmioty zaliczone do kategorii „kluczowe/ważne” zatrważa. Szereg z tych obowiązków ma charakter administracyjny, dokumentacyjny, wymagają zasobów czasowych, kadrowych i finansowych. Nie sądzę, aby taka nadregulacja rzeczywiście zwiększała poziom cyberbezpieczeństwa. Skala nakładanych przez państwo obowiązków powinna być bardziej proporcjonalna i adekwatna do spodziewanych celów. 

Czytaj więcej:

ABC Firmy

Nowa ustawa rządu w ogniu krytyki. Wymusi na firmach milionowe wydatki

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wymusi na firmach wydatki idące w miliony złotych i zaburzy konkurencję. Budzi też wątpliwości konstytucyjne.

Pro

A jakie obowiązki czekają na kierowników podmiotów ważnych i kluczowych?

Kierowników tych podmiotów i zarządy spółek czeka sporo żmudnej interdyscyplinarnej pracy wymagającej zespołów informatyków, prawników itd. Projektodawca określa obowiązki podmiotów kluczowych i ważnych w zakresie wdrażania systemu zarządzania bezpieczeństwem informacji, który musi obejmować szacowanie ryzyka, wdrażanie odpowiednich środków ochrony, monitorowanie zagrożeń oraz zarządzanie incydentami.

Kierownik podmiotu odpowiada za wdrożenie systemu, zapewnienie środków finansowych oraz nadzór nad cyberbezpieczeństwem, a raz w roku musi przejść obowiązkowe szkolenie. Ponadto podmioty kluczowe i ważne mają obowiązek współpracy, wymiany informacji o zagrożeniach oraz przechowywania i aktualizacji dokumentacji bezpieczeństwa systemu informacyjnego, a także umożliwienia użytkownikom zgłaszania cyberzagrożeń.