Do druku nr 1955 - opinia Rogalski i Wspólnicy

Prezydent podpisał już ustawę, która zmienia obowiązujące od 2018 roku przepisy o ochronie firm i instytucji przed atakami hakerskimi. To rządowy projekt, przygotowany po to, by wdrożyć unijną dyrektywę o cyberbezpieczeństwie (NIS2). Jak zwraca jednak uwagę kancelaria prawna, która oceniała projekt na zlecenie Sejmu, polska wersja przepisów idzie znacznie dalej niż wymaga tego Unia Europejska. Nowe obowiązki obejmą prawie 40 tysięcy firm i instytucji w 18 branżach - od energetyki i banków po szpitale, wodociągi i firmy produkujące żywność - czyli więcej podmiotów niż w jakimkolwiek innym kraju Unii, który dotychczas wdrożył te przepisy.

• Nowe obowiązki dotyczące ochrony przed cyberatakami obejmą prawie 40 tysięcy firm i instytucji z 18 branż - m.in. energetykę, transport, banki, szpitale, wodociągi, firmy produkujące żywność i chemikalia oraz administrację publiczną.
• Cztery branże - produkcja chemikaliów, produkcja żywności, gospodarka odpadami i usługi cyfrowe - trafiły do grupy podmiotów objętych surowszym nadzorem, mimo że unijna dyrektywa stawiała je w łagodniejszej kategorii.
• Powstaje nowa procedura uznawania firmy dostarczającej sprzęt lub oprogramowanie (np. na potrzeby telekomunikacji) za tzw. dostawcę wysokiego ryzyka - taka decyzja może w praktyce oznaczać zakaz używania sprzętu tego dostawcy.
• Firma uznana za dostawcę wysokiego ryzyka traci część standardowych praw przysługujących w sprawach urzędowych - decyzja obowiązuje natychmiast, a firma nie może złożyć wniosku o ponowne rozpatrzenie sprawy.
• Sprawę przed sądem administracyjnym rozpatruje trzech sędziów na posiedzeniu zamkniętym dla publiczności, a firma dostaje tylko część uzasadnienia wyroku - bez fragmentów zawierających informacje niejawne.

Projekt złożył rząd - resort odpowiedzialny za cyfryzację. Powodem jest obowiązek wdrożenia unijnej dyrektywy o cyberbezpieczeństwie. To już trzynasta zmiana ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującej od 2018 roku.

Zwykłego obywatela ustawa nie dotyka bezpośrednio - nie nakłada na osoby prywatne żadnych nowych obowiązków ani kar. Dotyka za to firm i instytucji, z których usług korzysta niemal każdy: wodociągów, szpitali, banków, dostawców prądu czy internetu - teoretycznie ich systemy komputerowe mają być lepiej chronione przed atakami. Jeśli prowadzisz małą lub średnią firmę działającą w jednej z 18 objętych branż - na przykład małe laboratorium spożywcze, lokalnego dostawcę internetu czy firmę zajmującą się odpadami - możesz zostać objęty nowymi obowiązkami w zakresie ochrony systemów komputerowych, mimo że opinia prawna zwraca uwagę, że rząd nie oszacował, ile to będzie kosztować mniejsze firmy. Jeśli jesteś przedsiębiorcą telekomunikacyjnym korzystającym ze sprzętu zagranicznego dostawcy, twoja firma może zostać zobowiązana do wymiany tego sprzętu na podstawie decyzji ministra, bez pełnego prawa do obrony w postępowaniu odwoławczym.

Do druku dołączona jest opinia kancelarii prawnej Rogalski i Wspólnicy, która krytycznie ocenia projekt. Kancelaria wskazuje, że polskie przepisy wdrażają unijną dyrektywę w szerszym zakresie niż to konieczne - obejmując blisko 40 tys. podmiotów, czyli więcej niż w jakimkolwiek innym kraju Unii Europejskiej, w tym więcej niż w znacznie większych Niemczech. Zwraca też uwagę, że ocena skutków regulacji nie zawiera danych o kosztach, jakie poniosą objęte przepisami małe i średnie firmy, mimo że prawo nakłada taki obowiązek na twórców projektu. Kancelaria uważa również, że ze względu na obszerność zmian rząd powinien był przygotować całkiem nową ustawę, a nie kolejną nowelizację, oraz że projekt zawiera przepisy, które powinny zostać wcześniej zgłoszone Komisji Europejskiej, czego rząd nie zrobił. Najpoważniejsze zastrzeżenia dotyczą praw firm uznanych za dostawców wysokiego ryzyka - zdaniem kancelarii ograniczenie prawa do obrony, brak możliwości odwołania i utajnienie części rozprawy sądowej mogą naruszać konstytucyjne prawo do sądu. Do druku nie dołączono innych opinii ani stanowisk instytucji.

Ocena skutków regulacji dołączona do projektu nie zawiera wyliczenia kosztów, jakie poniosą objęte ustawą mikro, małe i średnie firmy - a według opinii kancelarii prawnej to właśnie te podmioty, ze względu na ich dużą liczbę, mogą w sumie ponieść bardzo wysokie koszty wdrożenia nowych zabezpieczeń. Dla administracji oznacza to nowe zadanie: prowadzenie postępowań w sprawie uznawania dostawców sprzętu i oprogramowania za dostawców wysokiego ryzyka, łącznie z wydawaniem decyzji obowiązujących natychmiast. Dokument nie szacuje, ilu dostawców może zostać w ten sposób wykluczonych z rynku ani jakie byłyby tego koszty gospodarcze. Zdaniem kancelarii prawnej brak wcześniejszego zgłoszenia części przepisów Komisji Europejskiej może też skutkować tym, że sąd unijny lub polski uzna te przepisy za nieobowiązujące, co byłoby zagrożeniem dla stabilności prawnej całej regulacji.

Prace nad projektem zostały zakończone - Prezydent podpisał już ustawę. Projekt wpłynął do Sejmu w listopadzie 2025 r. jako inicjatywa rządowa, będąca trzynastą nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa obowiązującej od 2018 roku.

Największym punktem sporu jest to, jak dalece można ograniczyć prawa firmy w postępowaniu, które może skutkować zakazem korzystania z jej sprzętu lub oprogramowania. Rząd uzasadnia te ograniczenia względami bezpieczeństwa państwa - chodzi o to, by dostawca uznany za zagrożenie nie mógł przeciągać sprawy w sądach, gdy stawką jest bezpieczeństwo krytycznej infrastruktury. Kancelaria prawna oceniająca projekt uważa jednak, że połączenie braku prawa do odwołania, natychmiastowej wykonalności decyzji i utajnienia części rozprawy sądowej idzie za daleko i może naruszać konstytucyjne prawo do obrony oraz do jawnego rozpoznania sprawy przez sąd - podobne zastrzeżenia zgłaszała już w 2021 roku Rada Legislacyjna, ale nie zostały one uwzględnione w obecnej wersji.