Dodatkowe sprawozdanie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii o rządowym projekcie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Sam projekt ustawy jest rządowy. Niniejsze sprawozdanie przygotowała Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii po ponownym skierowaniu projektu przez Sejm. Poszczególne poprawki zgłaszały różne kluby: KP Koalicja Obywatelska, KP Prawo i Sprawiedliwość oraz KP Konfederacja i KP Konfederacja Korony Polskiej.

Przeciętnego obywatela dokument dotyka głównie pośrednio — poprzez to, że banki, szpitale, dostawcy energii, firmy cyfrowe i urzędy, z których usług korzystamy, będą miały jaśniejsze zasady i więcej czasu na wzmocnienie ochrony przed cyberatakami. Bezpośrednio zmiany odczują dwie grupy.

Jeśli pracujesz lub chcesz pracować przy ochronie systemów informatycznych w firmie uznanej za „kluczową” lub „ważną” (np. w banku, elektrowni, szpitalu, dużym operatorze internetowym) albo w wojskowych czy rządowych zespołach reagowania na zagrożenia — zanim zaczniesz, będziesz musiał przedstawić zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji.

Jeśli prowadzisz taką firmę lub instytucję — dostajesz dłuższe terminy na dopełnienie formalności (6-12 miesięcy) i pewność, że kara finansowa nie spadnie na ciebie z dnia na dzień, bo pierwsze kary będą mogły być nałożone dopiero po dwóch latach od wejścia przepisów w życie.

Jeśli pracujesz w urzędzie gminy lub powiatu — nie powstanie specjalny fundusz, który miał dofinansować lokalne zabezpieczenia cybernetyczne, bo komisja odrzuciła taki pomysł.

Do tego dokumentu nie dołączono opinii zewnętrznych instytucji ani konsultacji społecznych — to sprawozdanie komisji dotyczy wyłącznie poprawek zgłoszonych przez posłów w trakcie prac nad projektem, nie zawiera więc odrębnych ocen prawnych czy eksperckich.

Ten dokument nie zawiera własnej Oceny Skutków Regulacji (OSR) — to poprawki do projektu, który taką ocenę miał sporządzoną wcześniej, na etapie samego projektu ustawy. Z treści poprawek wynika jednak kilka konkretnych skutków: firmy i instytucje objęte przepisami zyskują dłuższe terminy na dostosowanie się (6-12 miesięcy) i dwuletni okres, zanim będą im mogły grozić kary finansowe za naruszenia. Osoby mające pracować przy ochronie systemów informatycznych będą musiały przejść dodatkową formalność w postaci zaświadczenia o niekaralności. Samorządy nie otrzymają odrębnego wsparcia finansowego na cyberbezpieczeństwo, bo pomysł funduszu został odrzucony. Maksymalny pułap kar finansowych dla firm łamiących przepisy pozostaje wyższy niż proponowała jego obniżkę część klubów.

Sejm na posiedzeniu 21 stycznia 2026 r. ponownie skierował projekt do komisji, by rozpatrzyła wnioski i poprawki zgłoszone w drugim czytaniu. Komisja obradowała dzień później, 22 stycznia 2026 r., i przygotowała to dodatkowe sprawozdanie przed kolejnym, trzecim czytaniem w Sejmie.

Największym sporem jest sam los projektu — kluby Konfederacja i Konfederacja Korony Polskiej wnioskowały o odrzucenie całej ustawy, a komisja rekomenduje odrzucenie tego wniosku, czyli kontynuowanie prac nad przepisami. Drugi spór dotyczy wysokości kar dla firm: Konfederacja chciała obniżyć maksymalny pułap kary z 300% do 100%, ale komisja rekomenduje pozostawienie wyższego pułapu. Widać też różnicę zdań co do roli wojska — poprawkę dotyczącą wydzielenia specjalnych zespołów z Wojsk Obrony Cyberprzestrzeni na wypadek mianowania Naczelnego Dowódcy Sił Zbrojnych zgłosił klub Koalicji Obywatelskiej, a mimo to komisja rekomenduje jej odrzucenie.