Dodatkowe sprawozdanie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii o rządowym projekcie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

To dodatkowe sprawozdanie komisji sejmowej, która po raz drugi zajęła się rządowym projektem zmieniającym przepisy o krajowym systemie cyberbezpieczeństwa. Projekt trafił z powrotem do komisji po drugim czytaniu w Sejmie, bo posłowie zgłosili wtedy wnioski i poprawki, które trzeba było jeszcze rozpatrzeć. Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii odrzuciła wniosek o całkowite odrzucenie projektu i rekomenduje Sejmowi przyjęcie większości z siedemnastu poprawek doprecyzowujących, jak firmy i instytucje mają się dostosować do nowych obowiązków.

• Osoby, które mają zajmować się ochroną informacji i systemów w firmach i instytucjach objętych ustawą, będą musiały najpierw przedstawić zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji - dotyczy to zarówno zwykłych firm, jak i wojskowych oraz rządowych zespołów reagowania na zagrożenia.
• Firmy i instytucje uznane za „kluczowe” lub „ważne” dostają więcej czasu na formalności - 6 miesięcy na uzupełnienie danych w rejestrze i 12 miesięcy na wdrożenie systemu do zgłaszania incydentów, zanim zacznie im grozić kara.
• Kary pieniężne za łamanie nowych przepisów będzie można nałożyć po raz pierwszy dopiero po dwóch latach od wejścia ustawy w życie - to czas na przygotowanie się.
• Komisja odrzuciła pomysł obniżenia górnego pułapu kary z 300% do 100% - maksymalna kara zostaje więc wyższa niż chcieli wnioskodawcy.
• Odrzucono też propozycję stworzenia specjalnego funduszu wspierającego cyberbezpieczeństwo gmin i powiatów, zasilanego z pieniędzy pochodzących z kar nakładanych na inne podmioty.

Sam projekt ustawy jest rządowy. Niniejsze sprawozdanie przygotowała Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii po ponownym skierowaniu projektu przez Sejm. Poszczególne poprawki zgłaszały różne kluby: KP Koalicja Obywatelska, KP Prawo i Sprawiedliwość oraz KP Konfederacja i KP Konfederacja Korony Polskiej.

Przeciętnego obywatela dokument dotyka głównie pośrednio - poprzez to, że banki, szpitale, dostawcy energii, firmy cyfrowe i urzędy, z których usług korzystamy, będą miały jaśniejsze zasady i więcej czasu na wzmocnienie ochrony przed cyberatakami. Bezpośrednio zmiany odczują dwie grupy.

Jeśli pracujesz lub chcesz pracować przy ochronie systemów informatycznych w firmie uznanej za „kluczową” lub „ważną” (np. w banku, elektrowni, szpitalu, dużym operatorze internetowym) albo w wojskowych czy rządowych zespołach reagowania na zagrożenia - zanim zaczniesz, będziesz musiał przedstawić zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji.

Jeśli prowadzisz taką firmę lub instytucję - dostajesz dłuższe terminy na dopełnienie formalności (6-12 miesięcy) i pewność, że kara finansowa nie spadnie na ciebie z dnia na dzień, bo pierwsze kary będą mogły być nałożone dopiero po dwóch latach od wejścia przepisów w życie.

Jeśli pracujesz w urzędzie gminy lub powiatu - nie powstanie specjalny fundusz, który miał dofinansować lokalne zabezpieczenia cybernetyczne, bo komisja odrzuciła taki pomysł.

Do tego dokumentu nie dołączono opinii zewnętrznych instytucji ani konsultacji społecznych - to sprawozdanie komisji dotyczy wyłącznie poprawek zgłoszonych przez posłów w trakcie prac nad projektem, nie zawiera więc odrębnych ocen prawnych czy eksperckich.

Ten dokument nie zawiera własnej Oceny Skutków Regulacji (OSR) - to poprawki do projektu, który taką ocenę miał sporządzoną wcześniej, na etapie samego projektu ustawy. Z treści poprawek wynika jednak kilka konkretnych skutków: firmy i instytucje objęte przepisami zyskują dłuższe terminy na dostosowanie się (6-12 miesięcy) i dwuletni okres, zanim będą im mogły grozić kary finansowe za naruszenia. Osoby mające pracować przy ochronie systemów informatycznych będą musiały przejść dodatkową formalność w postaci zaświadczenia o niekaralności. Samorządy nie otrzymają odrębnego wsparcia finansowego na cyberbezpieczeństwo, bo pomysł funduszu został odrzucony. Maksymalny pułap kar finansowych dla firm łamiących przepisy pozostaje wyższy niż proponowała jego obniżkę część klubów.

Sejm na posiedzeniu 21 stycznia 2026 r. ponownie skierował projekt do komisji, by rozpatrzyła wnioski i poprawki zgłoszone w drugim czytaniu. Komisja obradowała dzień później, 22 stycznia 2026 r., i przygotowała to dodatkowe sprawozdanie przed kolejnym, trzecim czytaniem w Sejmie.

Największym sporem jest sam los projektu - kluby Konfederacja i Konfederacja Korony Polskiej wnioskowały o odrzucenie całej ustawy, a komisja rekomenduje odrzucenie tego wniosku, czyli kontynuowanie prac nad przepisami. Drugi spór dotyczy wysokości kar dla firm: Konfederacja chciała obniżyć maksymalny pułap kary z 300% do 100%, ale komisja rekomenduje pozostawienie wyższego pułapu. Widać też różnicę zdań co do roli wojska - poprawkę dotyczącą wydzielenia specjalnych zespołów z Wojsk Obrony Cyberprzestrzeni na wypadek mianowania Naczelnego Dowódcy Sił Zbrojnych zgłosił klub Koalicji Obywatelskiej, a mimo to komisja rekomenduje jej odrzucenie.