Ustawa o KSC to nie deregulacja, a kosztowna maskarada

Prezydent RP zawetował właśnie ustawę o DSA, która jest dyrektywą unijną. Pana zdaniem jakie były argumenty za zawetowaniem tej ustawy?

Prezydent zawetował ustawę, ponieważ jej zapisy wykraczały poza zakres unijnej regulacji i budziły poważne wątpliwości konstytucyjne. Chodziło m.in. o ryzyko nadmiernej ingerencji w wolność słowa, brak dostatecznych gwarancji proceduralnych oraz możliwość administracyjnego blokowania treści bez skutecznej kontroli sądowej. To był klasyczny przykład nadregulacji, a nie wiernej implementacji prawa UE. Weto nie jest sprzeciwem wobec DSA jako takiego, lecz wobec wadliwej implementacji. Prezydent oczekuje projektu, który: wiernie transponuje przepisy UE (bez „goldplatingu”), wprowadza jasne definicje i test proporcjonalności, zapewnia kontrolę sądową ex ante/ex post, silne gwarancje niezależności regulatora, przejrzyste procedury odwoławcze, adekwatne vacatio legis oraz ocenę skutków regulacji po konsultacjach publicznych.

Przez Komisję Cyfryzacji trochę jak burza przeszła ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC), która jest implementacją dyrektywy NIS2. Szybko stało się jasne, że koalicja rządząca nie jest otwarta na dyskusje, a partie opozycyjne wręcz przeciwnie, co zaobfitowało sporą liczbą poprawek. Jak Pan skomentowałby te trzy posiedzenia komisji i prace nad tą ustawą?

Te trzy posiedzenia Komisji Cyfryzacji i Nowoczesnych Technologii (CNT) były niestety przykładem procesu legislacyjnego prowadzonego w pośpiechu i pod z góry założoną tezą Zamiast realnej debaty nad wdrożeniem dyrektywy NIS2 (ang. Network and Information Systems Directive 2), mieliśmy do czynienia z próbą maksymalnie szybkiego przeprowadzenia ustawy, bez uwzględniania konsekwencji dla rynku i administracji. Opozycja – w tym Prawo i Sprawiedliwość – konsekwentnie zgłaszała merytoryczne poprawki, często wprost wynikające z uwag ekspertów branżowych, organizacji przedsiębiorców i praktyków cyberbezpieczeństwa. Ponad 20 poprawek pokazuje, że była realna wola poprawienia jakości tej ustawy, a nie jej blokowania.

Tymczasem koalicja rządząca przyjęła strategię „odrzucać wszystko”, niezależnie od argumentów. Symptomatyczne było całkowite zignorowanie popartego przez nas wniosku o wysłuchanie publiczne – instrumentu przewidzianego właśnie dla tak skomplikowanych i kosztownych regulacji. Jeszcze bardziej niepokojące były próby ograniczania debaty na samej komisji: najpierw de facto wykluczanie ekspertów z dyskusji nad poszczególnymi artykułami, a następnie wniosek wiceprzewodniczącego Grzegorza Napieralskiego, by dopuścić jedynie dwa głosy „za” i „przeciw”, a nawet ograniczać wypowiedzi posłów będących na sali.

Takie działania nie mają nic wspólnego z transparentnym procesem stanowienia prawa. Przypomina to raczej fasadową debatę, w której wynik jest znany z góry, a nie pracę demokratycznego parlamentu otwartego na argumenty i wiedzę ekspercką. To szczególnie groźne w obszarze cyberbezpieczeństwa, gdzie złe lub nadmiarowe regulacje mogą przynieść więcej szkody niż pożytku.

W praktyce wygląda to tak, jakby pod hasłem troski o bezpieczeństwo państwa ktoś próbował przemycić rozwiązania wykraczające poza wymogi unijne, nakładające na polskich przedsiębiorców – zwłaszcza z sektorów niewskazanych wprost w NIS2 – ogromne, często nieuzasadnione koszty. Obowiązek masowej wymiany setek tysięcy urządzeń, bez rzetelnej analizy ryzyka i realnych korzyści, to nie jest budowanie odporności cybernetycznej, tylko tworzenie kosztownego garbu regulacyjnego, który uderzy w konkurencyjność polskiej gospodarki.

Tak prowadzony proces legislacyjny nie sprzyja ani bezpieczeństwu, ani jakości prawa – i to jest największy zarzut wobec prac komisji.

Które propozycje w tej nowelizacji chciałby Pan zmienić?

Po pierwsze, zaproponowaliśmy zmianę zasad uznawania dostawcy wysokiego ryzyka. Nasza poprawka usuwała z ustawy kryteria o charakterze politycznym i uznaniowym, takie jak „prawdopodobieństwo wpływu państwa trzeciego”, i zastępowała je obiektywnymi, weryfikowalnymi przesłankami technicznymi i organizacyjnymi – poziomem zabezpieczeń, wynikami audytów, wykrytymi podatnościami, historią incydentów oraz realnym zarządzaniem ryzykiem. Chodziło o to, aby decyzje administracyjne były przewidywalne, możliwe do zakwestionowania w oparciu o fakty i spójne z podejściem opartym na ryzyku, które wprost wynika z dyrektywy NIS2.

Po drugie, chcieliśmy wyraźnie zawęzić możliwość eliminowania sprzętu i usług ICT wyłącznie do elementów rzeczywiście krytycznych z punktu widzenia bezpieczeństwa sieci, usług kluczowych i interesu państwa. Zaproponowaliśmy odejście od podejścia „producenckiego”, które prowadzi do masowego wykluczania całych klas urządzeń, na rzecz podejścia funkcjonalnego – oceny konkretnych komponentów, ich roli w architekturze sieci oraz poziomu ryzyka. Takie rozwiązania są dyskutowane i wdrażane na poziomie Unii Europejskiej i pozwalają uniknąć sytuacji, w której operatorzy i przedsiębiorcy są zmuszani do wymiany ogromnej liczby urządzeń, które nie mają żadnego znaczenia dla bezpieczeństwa systemowego. Jednocześnie zaproponowaliśmy jednolity, 7-letni okres przejściowy na wymianę sprzętu, co miało chronić ciągłość świadczenia usług kluczowych i rozłożyć koszty w czasie, zamiast generować nagły, wielomiliardowy szok inwestycyjny.

Po trzecie, sprzeciwiliśmy się wpisywaniu sztywnych i bardzo szczegółowych norm technicznych – zwłaszcza dotyczących sieci 5G – bezpośrednio do ustawy. Nasza poprawka usuwała załącznik zawierający parametry techniczne, które w realiach dynamicznego rozwoju technologii mogą stać się nieaktualne w ciągu kilku lat, a nawet miesięcy. Ustawa powinna określać cele i zasady, natomiast konkretne standardy techniczne powinny być wprowadzane w drodze rozporządzeń lub aktów wykonawczych, po konsultacjach z rynkiem i ekspertami. To daje państwu elastyczność, a jednocześnie zapewnia stabilność prawa dla przedsiębiorców.

W skrócie: nasze propozycje zmierzały do ograniczenia tzw. gold platingu, zwiększenia pewności i przewidywalności prawa, ochrony polskich przedsiębiorców oraz zapewnienia, że cyberbezpieczeństwo będzie budowane w oparciu o realne zagrożenia techniczne i analizę ryzyka, a nie o decyzje uznaniowe czy motywacje polityczne. Niestety wszystkie te poprawki zostały odrzucone przez koalicję rządzącą, bez merytorycznej dyskusji nad ich konsekwencjami.

Wspomniał Pan o gold platingu. Zresztą nie Pan jeden, bo taki zarzut wysuwa wielu ekspertów. Czy podziela Pan ich zdanie i czy może wyjaśnić, na czym polega ten proces?

Tak, w pełni podzielam opinię ekspertów. Gold plating polega na tym, że państwo członkowskie, implementując prawo Unii Europejskiej, „dokłada” własne, dodatkowe obowiązki, ograniczenia lub sankcje, które nie wynikają ani z literalnego brzmienia dyrektywy, ani z jej celu. Zamiast wiernego i proporcjonalnego wdrożenia przepisów unijnych, tworzy się regulację ostrzejszą, droższą i bardziej restrykcyjną niż jest to wymagane na poziomie UE.

Czym to skutkuje?

W praktyce skutki gold platingu są bardzo konkretne. Oznacza on wyższe koszty compliance, konieczność dodatkowych inwestycji w sprzęt, oprogramowanie i procedury, większą niepewność regulacyjną oraz ryzyko arbitralnych decyzji administracyjnych. To wszystko przekłada się na spadek konkurencyjności krajowych firm wobec podmiotów działających w innych państwach członkowskich, które wdrażają te same dyrektywy w sposób bardziej racjonalny i oparty na analizie ryzyka. Co istotne, bardzo często nie towarzyszy temu realny wzrost poziomu bezpieczeństwa – bo bezpieczeństwo nie wynika z liczby regulacji, lecz z ich jakości i adekwatności. 

A w tym konkretnym przypadku ustawy o KSC?

W przypadku nowelizacji ustawy o KSC gold plating przejawia się m.in. w nadmiernie szerokich kryteriach uznawania dostawców wysokiego ryzyka, w możliwości eliminowania całych klas sprzętu i usług, niezależnie od ich faktycznej roli w systemie oraz w narzucaniu sztywnych wymogów technicznych bezpośrednio w ustawie. Są to rozwiązania wykraczające poza dyrektywę NIS2 i niespotykane w takiej skali w większości państw UE.

Nie jest więc prawdą, że „musimy” iść tak daleko, bo wymaga tego Unia. Przykładem są Niemcy, które przy wdrażaniu NIS2 przyjęły znacznie bardziej elastyczne i pragmatyczne podejście, koncentrując się na realnym zarządzaniu ryzykiem, a nie na administracyjnym mnożeniu obowiązków.

Podsumowując: gold plating nie zwiększa automatycznie bezpieczeństwa państwa. Często natomiast zwiększa koszty, obniża konkurencyjność i osłabia zaufanie przedsiębiorców do prawa. Dlatego tak ważne jest, aby implementując NIS2, trzymać się zasady proporcjonalności i rzeczywistej analizy ryzyka, a nie regulacyjnej nadgorliwości.

Dlaczego Pana zdaniem w trakcie prac nad nowelizacją KSC zabrakło głosu przedstawicieli różnych branż?

Dlatego że ta nowelizacja ma charakter horyzontalny i obejmuje aż 19 sektorów gospodarki, czyli ponad 40 tys. podmiotów. Naturalne i wręcz konieczne było zabranie głosu przez przedstawicieli bardzo różnych branż. Ustawa o KSC przestaje być aktem dotyczącym wyłącznie sektora telekomunikacyjnego czy operatorów infrastruktury krytycznej w wąskim rozumieniu. Jej skutki odczują również przedsiębiorstwa z sektora produkcji żywności, wodociągów i kanalizacji, energetyki, transportu, ochrony zdrowia, gospodarki odpadami czy usług cyfrowych.

Cyberbezpieczeństwo jest dziś krwioobiegiem całej gospodarki – dotyczy ciągłości dostaw wody, energii i żywności, funkcjonowania szpitali, bezpieczeństwa danych pacjentów i stabilności łańcuchów dostaw. Dlatego każda z tych branż ma inną specyfikę, inny profil ryzyka i zupełnie inne możliwości organizacyjne oraz finansowe. Regulacja, która nie uwzględnia tych różnic i próbuje narzucić jednolite, kosztowne rozwiązania wszystkim, musi wywoływać sprzeciw.

Ustawa o KSC wpłynie też na sektor MŚP?

Szczególnie wyraźnie wybrzmiewały głosy małych i średnich przedsiębiorstw oraz ich organizacji branżowych. Dla wielu z nich nowe obowiązki oznaczają nie tyle „podniesienie poziomu cyberbezpieczeństwa”, co konieczność poniesienia bardzo dużych, często nieproporcjonalnych kosztów organizacyjnych i inwestycyjnych, bez realnego wsparcia ze strony państwa. To właśnie te podmioty najczęściej wskazywały na ryzyko nadregulacji, brak okresów przejściowych i oderwanie projektowanych przepisów od realiów rynkowych.

Na tym tle szczególnie jaskrawo widać rozdźwięk między deklaracjami rządu a praktyką legislacyjną. Zapowiedzi deregulacji i „słuchania biznesu”, firmowane osobiście przez premiera Donalda Tuska, w przypadku tej ustawy okazały się pustymi hasłami. W praktyce mieliśmy do czynienia z ignorowaniem głosu przedsiębiorców, ekspertów i samorządów branżowych, a nie z dialogiem. To nie jest deregulacja – to maskarada i legislacyjne ignorowanie skutków własnych decyzji.

Jestem przekonany, że takie podejście, polegające na narzucaniu rozwiązań bez konsultacji z tymi, którzy będą je wdrażać i finansować, będzie miało swoje konsekwencje polityczne. Koszty tej ustawy poniosą przedsiębiorcy i obywatele, a odpowiedzialność za to prędzej czy później wróci do rządu w postaci utraty zaufania i wiarygodności.

Czy w trakcie prac nad nowelizacją KSC głos strony społecznej został należycie uwzględniony?

Nie, głos strony społecznej nie został należycie uwzględniony – i mówię to z pełną odpowiedzialnością. Już na samym początku koalicja rządząca oraz wiceminister cyfryzacji Paweł Olszewski odrzucili wniosek o wysłuchanie publiczne, mimo że mamy do czynienia, jak już powiedziałem, z ustawą o ogromnym zasięgu, regulującą 19 sektorów gospodarki i obejmującą ponad 40 tys. podmiotów. To narzędzie istnieje właśnie po to, by w tak skomplikowanych i kosztownych regulacjach umożliwić realny udział przedsiębiorców, ekspertów, organizacji branżowych i strony społecznej. Odmowa jego przeprowadzenia była jednoznacznym sygnałem, że rząd nie jest zainteresowany dialogiem.

Na tym jednak się nie skończyło. W trakcie prac komisji konsekwentnie ograniczano możliwość zabierania głosu przez przedstawicieli strony społecznej oraz ekspertów zapraszanych do omawiania konkretnych przepisów. W pewnym momencie większość rządowa przegłosowała wniosek formalny, który de facto „kneblował usta” – zarówno stronie społecznej, jak i posłom – sprowadzając debatę do symbolicznych, ściśle limitowanych wypowiedzi. Było to wykorzystanie przewagi liczebnej w komisji do zamknięcia dyskusji, a nie do jej prowadzenia.

W takiej atmosferze można odnieść wrażenie, że równie dobrze większość mogłaby przegłosować zakaz zadawania pytań przez posłów opozycji, bo – jak zdawali się sugerować rządzący – „wszystko jest już jasne”. Problem polega na tym, że nie było jasne dla przedsiębiorców, ekspertów ani wielu podmiotów, które będą musiały ponieść realne koszty wdrożenia tej ustawy.

To nie jest standard stanowienia prawa w demokratycznym państwie, szczególnie w obszarze cyberbezpieczeństwa, gdzie wiedza ekspercka i doświadczenie rynkowe są kluczowe. Dialog społeczny został w tym procesie potraktowany jako przeszkoda, a nie jako wartość. Efektem jest ustawa procedowana w pośpiechu, bez realnych konsultacji, z pominięciem głosu tych, którzy będą ją wykonywać – i za to ponosić odpowiedzialność finansową i organizacyjną. 

Jakie zatem ryzyka dla polskich przedsiębiorców dostrzega Pan w projekcie?

Największe ryzyka dla polskich firm wynikające z projektu nowelizacji KSC mają charakter zarówno finansowy, jak i organizacyjny oraz prawny. Co szczególnie istotne – w największym stopniu uderzają one nie w duże korporacje, lecz w małe i średnie przedsiębiorstwa, które objęto regulacją masowo, bez analizy ich realnych możliwości.

Po pierwsze, mamy do czynienia z gwałtownym wzrostem kosztów compliance. Nowe obowiązki obejmują m.in. wdrożenie systemów zarządzania cyberbezpieczeństwem, prowadzenie dokumentacji, audyty, testy bezpieczeństwa, raportowanie incydentów oraz często konieczność wymiany lub modernizacji infrastruktury IT i OT. Z dostępnych szacunków branżowych i analiz organizacji przedsiębiorców wynika, że dla średniej wielkości podmiotu z sektora objętego KSC koszty wdrożenia mogą sięgać od kilkuset tysięcy do nawet kilku milionów złotych w perspektywie kilku lat. Dla mniejszych firm, np. lokalnych wodociągów, podmiotów leczniczych czy zakładów przetwórstwa żywności, są to często koszty nieproporcjonalne do skali działalności i marż.

Po drugie, projekt generuje ogromną niepewność regulacyjną. Przedsiębiorcy nie mają jasności, jakie dokładnie wymagania będą uznane za „wystarczające”, jakie komponenty infrastruktury mogą zostać zakwestionowane i w jakim horyzoncie czasowym będą musieli dokonać kosztownych zmian. Nieprecycyjne przepisy oraz szeroki zakres uznaniowości administracji oznaczają, że firmy nie są w stanie racjonalnie zaplanować inwestycji ani oszacować ryzyka prawnego. To z kolei wstrzymuje decyzje rozwojowe i inwestycyjne.

Po trzecie, bardzo poważnym ryzykiem są wysokie kary administracyjne. Projekt przewiduje sankcje sięgające nawet kilku proc. rocznego obrotu, niezależnie od tego, czy naruszenie miało charakter umyślny, czy wynikało z ograniczonych możliwości organizacyjnych podmiotu. Dla dużych korporacji są to koszty do udźwignięcia, natomiast dla małych i średnich firm jedna kara może oznaczać utratę płynności finansowej, a w skrajnych przypadkach – zakończenie działalności.

Po czwarte, ustawa w szczególny sposób obciąża średnie i mniejsze podmioty, które nie posiadają rozbudowanych działów IT, cyberbezpieczeństwa czy obsługi prawnej. W praktyce oznacza to konieczność outsourcingu tych funkcji, co generuje stałe, wysokie koszty operacyjne. Co więcej, wiele z tych firm działa w sektorach o kluczowym znaczeniu społecznym – jak woda, zdrowie czy żywność – gdzie przerzucenie kosztów na odbiorców końcowych jest ograniczone lub politycznie niemożliwe.

Podsumowując: projekt nowelizacji KSC w obecnym kształcie tworzy realne ryzyko nadmiernego obciążenia finansowego i organizacyjnego dla dziesiątek tysięcy polskich przedsiębiorców, zwłaszcza z sektora MŚP. Zamiast podejścia opartego na proporcjonalności i analizie ryzyka, mamy do czynienia z regulacją, która może prowadzić do wzrostu cen usług publicznych, ograniczenia inwestycji i osłabienia konkurencyjności polskiej gospodarki – bez gwarancji adekwatnego wzrostu poziomu cyberbezpieczeństwa.

A jak ocenia Pan postawę resortu cyfryzacji w stosunku do ekspertów uczestniczących w pracach komisji?

Negatywnie. Relacja Ministerstwa Cyfryzacji z ekspertami była, delikatnie mówiąc, problematyczna. Zamiast partnerskiego dialogu i traktowania wiedzy eksperckiej jako realnej wartości dodanej do procesu legislacyjnego, często widzieliśmy protekcjonalny ton, defensywność oraz brak rzeczywistej otwartości na argumenty krytyczne wobec projektu.

Wielokrotnie dawało się odnieść wrażenie, że eksperci są postrzegani nie jako wsparcie merytoryczne, lecz jako przeszkoda w szybkim przeprowadzeniu ustawy. Było to widoczne w przerywaniu wypowiedzi, ograniczaniu czasu zabierania głosu oraz w próbach marginalizowania opinii, które wskazywały na realne ryzyka regulacyjne i gospodarcze związane z projektem. Szczególnie dotyczyło to wypowiedzi krytycznych – te były traktowane z wyraźną irytacją, zamiast być rzetelnie analizowane.