Do druku nr 1955 - opinia WRDS

Stanowisko nie pochodzi od rządu ani posłów, lecz od Wojewódzkiej Rady Dialogu Społecznego w województwie mazowieckim — wspólnie strona pracodawców, strona pracowników i strona samorządowa. Podpisał je przewodniczący rady Dariusz Paczuski, a motywacją był sprzeciw wobec zbyt szerokiego zakresu rządowego projektu w stosunku do unijnych wymogów.

Jeśli pracujesz w urzędzie gminy, powiatu albo na uczelni publicznej — twój pracodawca może zostać zaliczony do podmiotów objętych najsurowszym nadzorem, co oznacza nowe procedury, szkolenia i wydatki z budżetu samorządu, które mogłyby pójść na inne potrzeby mieszkańców. Jeśli prowadzisz aptekę, hurtownię farmaceutyczną albo firmę produkującą np. sprzęt elektroniczny czy pojazdy — możesz musieć wdrożyć drogie systemy zabezpieczeń i przechodzić regularne audyty, nawet jeśli twoja firma nigdy nie miała problemu z bezpieczeństwem danych. Jeśli korzystasz z usług publicznych — samorządowych, medycznych, edukacyjnych — koszty wdrożenia nowych obowiązków mogą, według autorów stanowiska, ostatecznie zostać przerzucone na ceny towarów i usług, które kupujesz.

Ten dokument w całości JEST opinią — w dostępnej treści nie towarzyszą mu inne stanowiska. Wojewódzka Rada Dialogu Społecznego na Mazowszu, reprezentująca jednocześnie pracodawców, pracowników i samorządy, ocenia projekt krytycznie: uznaje go za nadregulację wobec unijnej dyrektywy o cyberbezpieczeństwie (NIS2) i wnioskuje m.in. o wykreślenie samorządów z grona najbardziej kontrolowanych podmiotów, rezygnację z procedury „dostawcy wysokiego ryzyka” oraz o policzenie w rządowej ocenie skutków, ile to wszystko będzie kosztować. Do stanowiska nie dołączono opinii innych instytucji, takich jak Prokurator Generalny czy Sąd Najwyższy.

Rządowa Ocena Skutków Regulacji (OSR) — jak twierdzą autorzy stanowiska — nie szacuje kosztów wdrożenia audytów ani kosztów wymiany sprzętu po uznaniu dostawcy za „wysokiego ryzyka”. Sama OSR liczy jednak, że nowymi przepisami zostanie objętych ok. 27 905 urzędów i instytucji publicznych — w większości samorządów i podległych im jednostek — a łącznie we wszystkich 18 objętych branżach ma to być ponad 38 000 podmiotów. Autorzy stanowiska podkreślają, że sama OSR przyznaje (na stronach 29-30), że koszty wymiany sprzętu ostatecznie doliczą do cen swoich towarów i usług firmy objęte przepisami — czyli zapłacą za to również klienci i mieszkańcy. Kierownicy samorządów mają też ponosić osobistą odpowiedzialność za niedopełnienie obowiązków.

Dokument to opinia dołączona do rządowego projektu zmiany ustawy o krajowym systemie cyberbezpieczeństwa, który miał wdrożyć unijną dyrektywę NIS2 do 17 października 2024 r. Stanowisko wpłynęło do Sejmu 22 maja 2024 r., na wczesnym etapie prac. Ostatecznie projekt przeszedł całą ścieżkę legislacyjną — ustawę podpisał już Prezydent.

Spór dotyczy tego, jak szeroko wdrożyć unijne przepisy o cyberbezpieczeństwie. Autorzy stanowiska — pracodawcy, pracownicy i samorządy z Mazowsza — twierdzą, że rząd poszedł znacznie dalej niż wymagała Unia Europejska, obciążając kosztami tysiące gmin, szpitali, uczelni i firm bez oszacowania, ile to będzie kosztować, i bez konsultacji ze wszystkimi objętymi branżami. Z drugiej strony projekt miał pilnie dostosować polskie prawo do unijnego terminu i podnieść poziom ochrony przed atakami, które mogłyby sparaliżować usługi publiczne i infrastrukturę krytyczną.