Interpelacja w sprawie bezpieczeństwa danych oraz udziału podmiotów zagranicznych w Krajowym Systemie e-Faktur (KSeF)

Szanowny Panie Ministrze,

na podstawie art. 14 ust. 1 pkt 7 ustawy z dnia 9 maja 1996 r. o wykonywaniu mandatu posła i senatora (t.j. Dz. U. 2024 poz. 907) składam interpelację w sprawie bezpieczeństwa danych przetwarzanych w Krajowym Systemie e-Faktur (KSeF) oraz zakresu udziału podmiotów zagranicznych w projektowaniu, wdrażaniu, utrzymaniu i zabezpieczaniu tego systemu.

Krajowy System e-Faktur stanowi centralną, państwową platformę służącą do wystawiania, odbierania oraz archiwizacji faktur ustrukturyzowanych. System ten gromadzi w jednym miejscu ogromny wolumen wrażliwych danych dotyczących obrotu gospodarczego polskich przedsiębiorców, w tym danych handlowych, finansowych oraz informacji o relacjach kontraktowych. W związku z planowanym objęciem obowiązkiem korzystania z KSeF zdecydowanej większości podatników VAT system ten należy uznać za element kluczowej infrastruktury fiskalnej państwa, a tym samym za obszar wymagający najwyższych standardów bezpieczeństwa, transparentności oraz pełnej kontroli ze strony organów publicznych.

W debacie publicznej oraz publikacjach medialnych pojawiły się informacje i wątpliwości dotyczące udziału podmiotów zagranicznych w obsłudze technicznej oraz zabezpieczaniu KSeF, w szczególności w zakresie ochrony przed cyberatakami, filtrowania ruchu sieciowego oraz infrastruktury bezpieczeństwa. Brak jednoznacznych i wyczerpujących informacji w tym zakresie rodzi uzasadnione pytania o rzeczywisty zakres dostępu podmiotów trzecich do systemu, nadzór państwa nad przetwarzanymi danymi oraz poziom suwerenności cyfrowej w obszarze newralgicznym dla bezpieczeństwa gospodarczego państwa.

Niezależnie od ocen formułowanych w przestrzeni publicznej te kwestie wymagają jasnego i jednoznacznego wyjaśnienia przez ministra finansów i gospodarki, w szczególności w kontekście zaufania przedsiębiorców do państwowych systemów informatycznych oraz obowiązkowego charakteru KSeF.

W związku z powyższym zwracam się do Pana Ministra z następującymi pytaniami:

1. Jakie podmioty krajowe i zagraniczne brały oraz biorą udział w projektowaniu, wdrażaniu, utrzymaniu i zabezpieczaniu Krajowego Systemu e-Faktur?
   Proszę o wskazanie ich roli, zakresu odpowiedzialności oraz podstawy prawnej współpracy.

2. Czy jakiekolwiek podmioty zagraniczne – bezpośrednio lub pośrednio – mają techniczną możliwość dostępu do danych przetwarzanych w KSeF, w tym do treści faktur lub metadanych dotyczących transakcji gospodarczych?

3. Jakie mechanizmy techniczne i organizacyjne zostały wdrożone w celu zagwarantowania, że dane gromadzone w KSeF nie są przekazywane, udostępniane ani przetwarzane przez podmioty trzecie bez wyraźnej podstawy prawnej?

4. Czy przed wdrożeniem KSeF oraz przed planowanym objęciem systemem wszystkich podatników VAT przeprowadzono audyty bezpieczeństwa systemu, w tym z udziałem właściwych służb i instytucji państwowych takich jak ABW, NASK lub CSIRT GOV?
   Jeżeli tak – proszę o informację, jaki był ich zakres oraz główne wnioski.

5. Czy ministerstwo planuje upublicznienie informacji dotyczących architektury bezpieczeństwa KSeF, zasad kontroli dostępu do danych oraz nadzoru nad systemem w celu zwiększenia przejrzystości i zaufania przedsiębiorców do tego rozwiązania?