Do druku nr 1955 - opinia KIKE

Krajowa Izba Komunikacji Ethernetowej (KIKE) - organizacja zrzeszająca małe i średnie firmy telekomunikacyjne - wysłała do Marszałka Sejmu apel o zmianę projektu ustawy, który ma wdrożyć unijne przepisy o cyberbezpieczeństwie (dyrektywę NIS2) do polskiego prawa. Izba nie kwestionuje samego obowiązku wdrożenia unijnych przepisów, ale sprzeciwia się temu, że projekt idzie dalej, niż wymaga tego Unia Europejska, i nakłada na polskich przedsiębiorców dodatkowe, surowsze obowiązki, których nie mają firmy w innych krajach UE. Do pisma dołączono szczegółową listę 26 proponowanych poprawek oraz opinię prawną, według której część przepisów projektu narusza Konstytucję.

• Kary finansowe bez związku z wielkością firmy - projekt przewiduje, że w najpoważniejszych przypadkach kara może sięgnąć 100 milionów złotych, niezależnie od tego, czy to wielki operator, czy jednoosobowa firma. Kara minimalna wynosi 15 000-20 000 zł za pojedyncze naruszenie, też bez względu na przychody. KIKE chce powiązać najwyższą karę z obrotem firmy.
• Nakaz wymiany sprzętu bez odszkodowania - minister cyfryzacji miałby prawo uznać dostawcę sprzętu (np. z Chin) za „dostawcę wysokiego ryzyka” i nakazać jego usunięcie z sieci bez rekompensaty. Projekt rozciąga ten obowiązek nie tylko na sieci 5G, ale też np. na sieci stacjonarne - KIKE chce ograniczyć go wyłącznie do 5G.
• Prawo głosu tylko dla największych firm - w postępowaniu decydującym o uznaniu dostawcy za „wysokiego ryzyka” pełne prawa strony (wgląd w akta, odpowiedź na argumenty) miałyby tylko firmy telekomunikacyjne o rocznym przychodzie powyżej ok. 160 milionów złotych. Mniejsze firmy, objęte tym samym obowiązkiem wymiany sprzętu, byłyby tego prawa pozbawione.
• Ograniczenie ruchu internetowego nawet na dwa lata - w razie poważnego cyberataku minister mógłby nakazać firmie ograniczenie ruchu sieciowego na okres do dwóch lat, nawet gdy zagrożenie już minęło. KIKE ostrzega, że mogłoby to zmusić firmę do zamknięcia działalności.
• Dodatkowe kary dzienne do 100 000 zł - projekt wprowadza możliwość nakładania kar od 500 do 100 000 zł za każdy dzień zwłoki w wykonaniu decyzji urzędu, niezależnie od kar już nałożonych. Dyrektywa unijna dopuszcza taki mechanizm, ale go nie wymaga.

Apel złożyła Krajowa Izba Komunikacji Ethernetowej (KIKE) - organizacja zrzeszająca małe i średnie firmy telekomunikacyjne - reprezentowana przez prezesa Karola Skupienia.

Tego projektu nie odczuje bezpośrednio przeciętny użytkownik internetu czy telefonu - ale mocno odczują go właściciele i pracownicy małych i średnich firm telekomunikacyjnych, które według danych przywołanych w piśmie stanowią aż 99,4 procent wszystkich przedsiębiorców telekomunikacyjnych w Polsce.

Jeśli prowadzisz małą, lokalną firmę dostarczającą internet (np. osiedlowego providera) i zostaniesz zakwalifikowany jako „podmiot ważny” w rozumieniu nowych przepisów, będziesz musiał wdrożyć system zarządzania bezpieczeństwem informacji, a w razie błędu grozi ci kara minimalna kilkunastu tysięcy złotych - niezależnie od tego, ile faktycznie zarabia twoja firma.

Jeśli korzystasz ze sprzętu uznanego za pochodzący od „dostawcy wysokiego ryzyka”, możesz zostać zmuszony do jego wymiany bez żadnego odszkodowania, nawet jeśli sprzęt działa bez zarzutu - a jako mniejsza firma nie będziesz mieć prawa do czynnego udziału w postępowaniu, które o tym zdecyduje.

Pośrednio może to dotyczyć też klientów takich firm - koszty wdrożenia nowych obowiązków, szacowane w piśmie od kilkudziesięciu tysięcy do milionów złotych, mogą przełożyć się na ceny usług, choć dokument nie podaje konkretnych szacunków tego wpływu.

Do pisma KIKE dołączono opinię prof. dr. hab. Ryszarda Piotrowskiego z Uniwersytetu Warszawskiego, jednego z czołowych polskich konstytucjonalistów, przygotowaną na zlecenie Izby. Profesor ocenia, że kilka przepisów projektu narusza Konstytucję: nakaz wymiany sprzętu bez odszkodowania narusza ochronę własności i zasadę proporcjonalności, wyłączenie części praw strony w postępowaniu wobec mniejszych firm narusza zasadę rzetelności i sprawności działania instytucji publicznych, a ograniczenie jawności uzasadnienia wyroku sądu administracyjnego narusza prawo do jawnego rozpoznania sprawy. Do druku nie dołączono innych opinii - ani stanowiska rządu, ani opinii Prokuratora Generalnego, Sądu Najwyższego czy Narodowego Banku Polskiego.

Ten dokument to opinia organizacji branżowej, a nie sama ustawa - nie zawiera Oceny Skutków Regulacji (OSR). Z treści pisma wynika jednak, że koszty wdrożenia nowych obowiązków cyberbezpieczeństwa mogą być wysokie: firma doradcza EY szacuje je na od kilkudziesięciu tysięcy złotych dla mniejszych firm do milionów złotych dla większych, a sama obsługa centrum monitorowania bezpieczeństwa (tzw. SOC) może kosztować, według Netii, kilkadziesiąt tysięcy złotych miesięcznie. Jeśli projekt zostanie przyjęty w obecnym kształcie, małe i średnie firmy telekomunikacyjne poniosą te koszty niezależnie od wielkości przychodów, a w razie naruszenia przepisów grozi im kara pieniężna, która - zdaniem KIKE - może doprowadzić nawet do upadłości mniejszych podmiotów. Firmy, których sprzęt zostanie uznany za pochodzący od „dostawcy wysokiego ryzyka”, poniosą koszt jego wymiany bez odszkodowania od państwa.

Pismo wysłano 2 grudnia 2025 r. do Marszałka Sejmu, gdy projekt ustawy o cyberbezpieczeństwie wdrażający unijną dyrektywę NIS2 był już przedmiotem prac sejmowych jako druk nr 1955. Dołączona opinia konstytucyjna prof. Piotrowskiego powstała wcześniej, 12 czerwca 2025 r., na potrzeby jednej z wcześniejszych wersji projektu.

Spór dotyczy tego, jak daleko państwo powinno móc ingerować w działalność prywatnych firm w imię cyberbezpieczeństwa. KIKE i przywołana opinia konstytucyjna twierdzą, że projekt wykracza poza to, czego wymaga prawo unijne, i wprowadza rozwiązania niezgodne z Konstytucją - zwłaszcza nakaz wymiany sprzętu bez odszkodowania oraz ograniczenie praw mniejszych firm w postępowaniach urzędowych. Z drugiej strony, cytowane w piśmie uzasadnienie projektu wskazuje, że państwo obecnie „nie dysponuje środkami prawnymi, które umożliwiałyby skuteczną reakcję na incydent krytyczny” - co ma uzasadniać nowe uprawnienia. W tym dokumencie nie ma jednak głosu strony rządowej broniącej pierwotnego kształtu przepisów.