Do druku nr 1955 - opinia FPP

To nie jest projekt ustawy, tylko pismo z uwagami do niego. Federacja Przedsiębiorców Polskich (FPP), organizacja zrzeszająca firmy, napisała do Marszałka Sejmu list krytykujący rządowy projekt zmiany ustawy o krajowym systemie cyberbezpieczeństwa. Rząd chce w ten sposób wprowadzić do polskiego prawa unijne przepisy o cyberbezpieczeństwie oraz zalecenia dotyczące bezpiecznych sieci 5G. FPP twierdzi, że projekt wykracza daleko poza to, czego wymaga Unia Europejska, i daje urzędnikom zbyt duże, trudne do zaskarżenia uprawnienia wobec firm. Organizacja domaga się ograniczenia projektu do niezbędnego minimum oraz przywrócenia gwarancji proceduralnych dla przedsiębiorców.

• Minister cyfryzacji będzie mógł oficjalną decyzją uznać producenta sprzętu lub oprogramowania komputerowego (np. routerów, serwerów, oprogramowania sieciowego) za „dostawcę wysokiego ryzyka” - wtedy firmy korzystające z jego produktów będą musiały wymienić je w ciągu 7 lat, a firmy telekomunikacyjne w ciągu 4 lat.
• Urząd odpowiedzialny za cyberbezpieczeństwo zyska prawo natychmiastowego wstrzymania lub ograniczenia koncesji, zezwolenia albo działalności firmy - decyzja zacznie obowiązywać od razu po jej doręczeniu, jeszcze przed rozpatrzeniem ewentualnej skargi przez sąd.
• Kontrolerzy będą mogli prowadzić więcej niż jedną kontrolę u tego samego przedsiębiorcy jednocześnie oraz przeprowadzać kontrolę doraźną bez wcześniejszego zawiadomienia firmy i bez obowiązku sporządzenia protokołu kontroli.
• Firmy i instytucje kupujące sprzęt w ramach zamówień publicznych nie będą mogły nabywać produktów od dostawcy uznanego za „wysokiego ryzyka”.
• Od decyzji ministra o uznaniu dostawcy za „wysokiego ryzyka” przysługuje skarga do sądu administracyjnego, ale bez rozprawy - sąd sprawdzi tylko, czy urzędnik dopełnił formalności, a nie czy decyzja była słuszna.

Projekt ustawy, którego dotyczy to pismo, złożył rząd (projekt rządowy). Samo pismo z uwagami napisała Federacja Przedsiębiorców Polskich - reprezentuje ją przewodniczący Marek Kowalski. Motywacja FPP to obrona interesów firm przed, jej zdaniem, nadmiernymi i trudnymi do zaskarżenia uprawnieniami urzędników.

Zmiany uderzą przede wszystkim w firmy uznane za „podmioty kluczowe lub ważne” dla funkcjonowania państwa - a to szeroka grupa: dostawcy prądu, firmy telekomunikacyjne, szpitale, firmy farmaceutyczne dystrybuujące leki, linie lotnicze, banki i inne instytucje z osiemnastu branż objętych ustawą. Jeśli prowadzisz taką firmę i korzystasz ze sprzętu lub oprogramowania od dostawcy, którego minister uzna za „wysokiego ryzyka” - będziesz musiał go wymienić na własny koszt, nawet jeśli działa bez zarzutu. Jeśli jesteś przedsiębiorcą kontrolowanym przez urząd ds. cyberbezpieczeństwa - możesz stracić koncesję lub zezwolenie z dnia na dzień, zanim zdążysz się odwołać do sądu. Zwykłych obywateli zmiany dotkną pośrednio - jako klientów firm dystrybuujących leki, dostawców energii czy linii lotniczych, które mogą przenieść na ceny koszty wymiany infrastruktury.

Do druku nie dołączono opinii innych instytucji państwowych (np. Prokuratorii Generalnej, Sądu Najwyższego czy Narodowego Banku Polskiego) - dostępne jest wyłącznie stanowisko organizacji biznesowej. Federacja Przedsiębiorców Polskich ocenia projekt krytycznie: zarzuca mu brak obowiązkowego zgłoszenia (notyfikacji) Komisji Europejskiej, nadmierne uprawnienia kontrolne wobec firm oraz procedurę „dostawcy wysokiego ryzyka” idącą znacznie dalej niż wymagają tego przepisy unijne. Do pisma dołączono odrębną opinię prawną prof. Piotra Bogdanowicza z Uniwersytetu Warszawskiego, który ocenia, że przepisy o „dostawcy wysokiego ryzyka” powinny zostać zgłoszone Komisji Europejskiej przed uchwaleniem, bo dotyczą zakazu wprowadzania określonych produktów na rynek - a bez takiego zgłoszenia mogą okazać się bezskuteczne wobec firm. FPP powołuje się też na wątpliwości konstytucyjne zgłaszane przez Rzecznika Praw Obywatelskich wobec tej procedury, choć samo stanowisko Rzecznika nie jest częścią tego dokumentu.

Ten dokument to opinia, a nie projekt ustawy - nie zawiera Oceny Skutków Regulacji (OSR) z wyliczonymi kosztami. Na podstawie treści pisma można jednak opisać zagrożenia, na które wskazuje FPP: jeśli rząd rzeczywiście nie zgłosi projektu Komisji Europejskiej (czego wymagają unijne przepisy o przepisach technicznych), przepisy po uchwaleniu ustawy mogą okazać się niemożliwe do wyegzekwowania wobec firm, a Skarb Państwa może zostać narażony na roszczenia odszkodowawcze od przedsiębiorców. FPP ostrzega też przed sporami międzynarodowymi - ze Światową Organizacją Handlu (WTO) oraz z państwami, które mają z Polską umowy o ochronie inwestycji, takimi jak Izrael, Korea Południowa, Singapur, Japonia, Wietnam czy Chiny - jeśli ich firmy zostaną wykluczone z polskiego rynku jako „dostawcy wysokiego ryzyka”. Dla firm uznanych za takiego dostawcę oznacza to konieczność pozbycia się sprzętu i oprogramowania w ciągu kilku lat na własny koszt, a dla urzędów - obowiązek prowadzenia nowych, złożonych postępowań.

Rządowy projekt nr 1955 wpłynął do Sejmu 17 listopada 2025 r. FPP przesłała swoje uwagi 3 grudnia 2025 r., krótko po skierowaniu projektu do pierwszego czytania. Od tego czasu prace w Sejmie i Senacie zostały zakończone, a ustawa została już podpisana przez Prezydenta - to pismo pokazuje więc zastrzeżenia zgłaszane na wcześniejszym etapie prac.

Spór dotyczy równowagi między bezpieczeństwem państwa a swobodą prowadzenia działalności gospodarczej. Federacja Przedsiębiorców Polskich twierdzi, że nowe uprawnienia - możliwość natychmiastowego wstrzymania koncesji czy nakazania wymiany sprzętu bez pełnej kontroli sądowej - naruszają konstytucyjne prawa firm do sądowej ochrony i proporcjonalnej ingerencji w działalność gospodarczą, i powołuje się na podobne wątpliwości zgłaszane przez Rzecznika Praw Obywatelskich. W dokumencie nie ma jednak stanowiska rządu ani resortu cyfryzacji odnoszącego się do tych zarzutów - nie wiadomo więc, jak strona rządowa argumentowała potrzebę tak szerokich uprawnień.