Do druku nr 1955 - opinia KL

Rząd przygotował zmianę ustawy o krajowym systemie cyberbezpieczeństwa, żeby wdrożyć unijne przepisy o cyberbezpieczeństwie (dyrektywa NIS2) i objąć nowymi obowiązkami firmy uznane za tzw. podmioty kluczowe lub podmioty ważne - m.in. z sektora energetyki, wodociągów, telekomunikacji, bankowości i infrastruktury cyfrowej. Ten konkretny dokument to nie sama ustawa, lecz oficjalne stanowisko organizacji pracodawców Konfederacja Lewiatan, przesłane do marszałka Sejmu w trakcie prac nad projektem. Lewiatan proponuje w nim trzy konkretne poprawki, uznając część przepisów za zbyt surowe i zbyt pospiesznie wdrażane dla firm, które będą musiały się do nich dostosować.

• Wydłużenie terminu na dostosowanie się firm do nowych obowiązków z 6 do co najmniej 12 miesięcy, a dla pierwszego audytu bezpieczeństwa u podmiotów kluczowych - do 24 miesięcy.
• Zmiana zasad uznawania dostawcy sprzętu i oprogramowania za tzw. dostawcę wysokiego ryzyka - zamiast kierować się głównie krajem pochodzenia firmy, decyzja miałaby się opierać na konkretnych lukach bezpieczeństwa wskazanych przez Komisję Europejską.
• Zagwarantowanie firmie prawa do obrony i odwołania, zanim urząd uzna jej sprzęt za wysokiego ryzyka - czyli zwykłej, uczciwej procedury urzędowej z prawem do przedstawienia dowodów.
• Usunięcie z ustawy listy tzw. funkcji krytycznych sieci telekomunikacyjnych, bo zdaniem Lewiatana wykracza ona poza unijne wytyczne dla sieci 5G i obejmuje niepotrzebnie także sieci 3G, 4G i stacjonarne.

Dokument podpisał Marek Górski, prezydent Konfederacji Lewiatan - organizacji pracodawców zrzeszającej firmy prywatne - i przesłał go do marszałka Sejmu Włodzimierza Czarzastego 24 listopada 2025 r. Motywacja: obawa, że firmy nie zdążą przygotować się do nowych obowiązków w wyznaczonym terminie, a kary za spóźnienie są bardzo wysokie.

Bezpośrednio dotyczy to firm zakwalifikowanych jako podmiot kluczowy lub podmiot ważny według ustawy o cyberbezpieczeństwie - czyli m.in. spółek energetycznych, wodociągowych, bankowych, telekomunikacyjnych i dużej części sektora cyfrowego. Jeśli pracujesz w dziale IT albo zarządzasz taką firmą, w praktyce oznacza to nowe obowiązki: wdrożenie zabezpieczeń, audyty bezpieczeństwa i raportowanie incydentów - pod groźbą wysokich kar finansowych, jeśli nie zdążysz na czas. Jeśli jesteś zwykłym klientem banku, dostawcy prądu czy operatora telekomunikacyjnego, zmiana dotyka cię pośrednio - te firmy mają być lepiej zabezpieczone przed cyberatakami, co w teorii oznacza mniejsze ryzyko wycieku twoich danych albo przerwy w dostawie usługi.

Ten dokument to samodzielne stanowisko jednej organizacji - Konfederacji Lewiatan, reprezentującej firmy prywatne - i nie towarzyszą mu tu inne opinie ani konsultacje. Lewiatan krytykuje projekt w trzech punktach: uznaje 6-miesięczny termin dostosowania za nierealny i grożący tym, że firmy będą zabezpieczać się „na pokaz”, żeby uniknąć kar, zamiast realnie poprawiać bezpieczeństwo; wskazuje, że uznawanie dostawców sprzętu za wysokiego ryzyka na podstawie kraju pochodzenia może naruszać zasady niedyskryminacji handlowej i prawo do rzetelnej procedury urzędowej; oraz ocenia, że lista funkcji krytycznych sieci telekomunikacyjnych wykracza poza unijne wytyczne i niepotrzebnie obejmuje wszystkie sieci, nie tylko 5G. Organizacja powołuje się przy tym na przykłady Belgii, Czech i Litwy, gdzie na wdrożenie podobnych przepisów firmy dostają od 12 do nawet 18-24 miesięcy.

To pismo samo nie zawiera Oceny Skutków Regulacji (OSR) - to opinia zgłaszająca zastrzeżenia do cudzego projektu, a nie sama ustawa z jej analizą kosztów. Według Lewiatana utrzymanie 6-miesięcznego terminu może oznaczać, że firmy wdrożą zabezpieczenia pospiesznie i powierzchownie, głównie po to, by uniknąć kar, a nie po to, by realnie podnieść poziom ochrony systemów. Zachowanie kryterium kraju pochodzenia przy ocenie dostawców sprzętu mogłoby - zdaniem organizacji - narazić Polskę na zarzuty naruszenia międzynarodowych zasad handlu. Z kolei szeroki zakres listy funkcji krytycznych sieci telekomunikacyjnych oznaczałby dla operatorów konieczność wymiany lub wycofania sprzętu w większej liczbie przypadków, niż wymaga tego prawo unijne, co podnosi koszty także w sieciach 3G, 4G i stacjonarnych, nie tylko 5G. Z danych sejmowych wynika, że sam projekt ustawy, którego dotyczy to pismo, przeszedł już całą ścieżkę legislacyjną i został podpisany przez Prezydenta - nie wiadomo jednak z tego dokumentu, czy któraś z poprawek proponowanych przez Lewiatana trafiła do ostatecznej wersji przepisów.

Pismo wysłano 24 listopada 2025 r. w trakcie prac Sejmu nad rządowym projektem zmiany ustawy o cyberbezpieczeństwie. Projekt przeszedł już cały proces i został podpisany przez Prezydenta.

Spór dotyczy tego, jak rygorystyczne i jak szybko wdrażane powinny być nowe wymagania cyberbezpieczeństwa dla firm. Konfederacja Lewiatan, reprezentująca biznes, uważa, że 6-miesięczny termin dostosowania jest nierealny, a przepisy o dostawcach wysokiego ryzyka oparte na kraju pochodzenia mogą być niesprawiedliwe i sprzeczne z zasadami wolnego handlu. Autorzy projektu argumentują potrzebę szybkiego podniesienia poziomu bezpieczeństwa systemów teleinformatycznych wobec rosnących zagrożeń cybernetycznych - ich stanowisko nie jest jednak zawarte w tym konkretnym dokumencie.