Do druku nr 1955 - opinia prof. Pawła Wajdy

Ten dokument to opinia prawna (tzw. amicus curiae) napisana przez prawnika, profesora Pawła Wajdę, na temat projektu zmiany ustawy o krajowym systemie cyberbezpieczeństwa. Projekt wdraża unijną dyrektywę o cyberbezpieczeństwie (NIS2) i wprowadza nowy mechanizm: minister odpowiedzialny za cyfryzację będzie mógł uznać firmę dostarczającą sprzęt lub oprogramowanie komputerowe za dostawcę wysokiego ryzyka, co zmusi jej klientów do usunięcia tego sprzętu z użytku. Autor opinii ostrzega, że polski projekt idzie znacznie dalej niż wymaga tego prawo unijne i może być niezgodny z Konstytucją RP.

• Powstaje nowe uprawnienie ministra do spraw cyfryzacji: będzie mógł ogłosić, że sprzęt lub oprogramowanie konkretnej firmy stanowi 'wysokie ryzyko' dla bezpieczeństwa państwa - dziś takiej procedury nie ma.
• Firmy uznane za 'wysokiego ryzyka' oraz ich klienci będą musieli wycofać wskazany sprzęt i oprogramowanie z użytku w ciągu od 4 do 7 lat, na własny koszt i bez żadnej rekompensaty.
• Nowe przepisy obejmą aż 18 branż gospodarki - nie tylko telekomunikację, ale też energetykę, zdrowie, transport, wodociągi czy przemysł chemiczny - czyli, według autora opinii, nawet 38-40 tysięcy firm i instytucji.
• Kary finansowe za złamanie nowych przepisów mają sięgać do 100 milionów złotych, czyli znacznie więcej niż górny limit z unijnej dyrektywy (10 milionów euro lub 2 procent obrotu firmy).
• Firmom uznanym za zagrożenie będzie można niemal automatycznie zawiesić lub cofnąć koncesję na prowadzenie działalności, a decyzja ministra ma być wykonywana natychmiast, jeszcze przed rozpatrzeniem ewentualnego odwołania.

Opinię napisał niezależnie prof. Paweł Wajda, prawnik, 3 grudnia 2025 r. To ekspercki głos oceniający zgodność projektu z prawem Unii Europejskiej i Konstytucją RP - nie stanowisko rządu ani Sejmu.

Bezpośrednio nowe przepisy uderzą w firmy, które sprzedają lub używają sprzętu komputerowego, sieciowego i oprogramowania - od operatorów telekomunikacyjnych, przez banki, szpitale i elektrownie, po wodociągi i zakłady chemiczne. Jeśli prowadzisz firmę z jednej z tych 18 branż i korzystasz ze sprzętu producenta, który zostanie uznany za 'wysokiego ryzyka', będziesz musiał go wymienić na własny koszt w ciągu kilku lat - bez żadnego odszkodowania od państwa. Jeśli jesteś zwykłym klientem banku, szpitala albo dostawcy prądu, konsekwencje mogą dotknąć cię pośrednio: wymiana infrastruktury informatycznej to koszt, który firmy mogą przełożyć na ceny usług, a w skrajnym przypadku - czasowe zakłócenia w ich działaniu. Autor opinii podkreśla, że projekt nie ogranicza się do sprzętu istotnego dla bezpieczeństwa, lecz obejmuje też mniej ważne elementy sieci, co jego zdaniem jest nieproporcjonalne.

Do kontekstu nie dołączono innych opinii ani stanowisk - dostępna jest wyłącznie ta jedna ekspertyza. Jej autor, prof. Paweł Wajda, ocenia projekt bardzo krytycznie: wskazuje na niezgodność z unijną dyrektywą o cyberbezpieczeństwie (NIS2), Traktatem o funkcjonowaniu Unii Europejskiej (TFUE) oraz Konstytucją RP, zarzucając projektowi nadmierną i nieproporcjonalną ingerencję w prawa firm bez odpowiednich zabezpieczeń proceduralnych.

Ten dokument to opinia prawna, a nie sam projekt ustawy, więc nie zawiera Oceny Skutków Regulacji (OSR) z wyliczonymi kwotami dla budżetu państwa. Autor opinii wskazuje jednak konkretne skutki gospodarcze: firmy uznane za 'wysokiego ryzyka' i ich klienci poniosą pełny koszt wymiany sprzętu i oprogramowania bez rekompensaty od państwa, kary za naruszenie przepisów mają sięgać do 100 milionów złotych, a niemal automatyczne zawieszanie koncesji może - zdaniem autora - doprowadzić do wykluczenia firm z rynku w kluczowych branżach, takich jak energetyka, transport czy gospodarka odpadami. Autor ostrzega, że tak szeroki zakres regulacji, obejmujący 18 branż i dziesiątki tysięcy firm, grozi zakłóceniami w funkcjonowaniu całych sektorów gospodarki.

Opinia dotyczy projektu zmiany ustawy o krajowym systemie cyberbezpieczeństwa. Dokument powstał w toku prac sejmowych jako głos niezależnego eksperta, 3 grudnia 2025 roku.

Spór dotyczy tego, jak daleko Polska powinna pójść we wdrażaniu unijnych przepisów o cyberbezpieczeństwie. Twórcy projektu argumentują, że szerokie uprawnienia do wykluczania ryzykownych dostawców sprzętu są potrzebne dla bezpieczeństwa państwa, zwłaszcza wobec zagrożeń ze strony producentów spoza Unii Europejskiej. Krytycy - reprezentowani w tej opinii przez prof. Pawła Wajdę - uważają, że projekt idzie znacznie dalej niż wymaga tego prawo unijne, obejmuje zbyt wiele branż i firm, nakłada kary wyższe niż dopuszcza dyrektywa oraz ogranicza prawo firm do obrony przed nagłymi decyzjami ministra, co może naruszać Konstytucję RP.