Prof. Ryszard Piotrowski: Ustawa o cyberbezpieczeństwie na bakier z konstytucją

Gdyby był pan prezydentem…

...wolne żarty. Ja? (śmiech)

A czemu nie? Jest pan znawcą Konstytucji RP, a prezydent powinien stać na straży jej przestrzegania.

Rzeczywiście powinien, choć nie muszę nim być ja. A całkiem już serio mówiąc, prezydent w ramach tej straży sam nie może powiedzieć, czy ustawa, która trafiła na jego biurko jest zgodna z konstytucją czy nie. Może ją przesłać do Sejmu celem ponownego rozpatrzenia. Może też podpisać i skierować do Trybunału Konstytucyjnego albo wysłać ją tam jeszcze przed podpisaniem.

Chodzi o ten Trybunał, który mamy teraz?

Innego nie mamy. Nie nastąpiła żadna zmiana konstytucji, która by dzisiejszy TK unieważniała czy likwidowała.

No to przejdźmy do konkretów. Na prezydencki podpis czeka nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. Już na etapie prac parlamentarnych budziła poważne zastrzeżenia ekspertów. Wskazywano, że jej adresaci mogą zostać arbitralnie pozbawiani oprogramowania i sprzętu, a ich uprawnienia procesowe zostaną ograniczone. Co by pan zrobił na miejscu prezydenta?

Wierzę, że prezydent ma lepsze rozeznanie ode mnie co do skuteczności każdej z opcji w tym konkretnym przypadku. Znam nieco losy tej nowelizacji i uważam, że jest niezgodna z konstytucją. Widać w niej próbę naruszania prawa własności. Jej twórcy usiłują powiedzieć adresatom, że cel – czyli bezpieczeństwo państwa – uświęca środki. Takie twierdzenie nie zawsze jest uzasadnione.

Czytaj więcej

Opinie i komentarze

Karol Skupień, prezes KIKE: KSC to nieodpowiedzialna ustawa

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa może doprowadzić do wymiany zdecydowan...

Ustawa ta ma wdrażać europejską dyrektywę NIS 2. Zalecenia 5G Toolbox dotyczą tylko branży telekomunikacyjnej, a KSC rozciąga je na 18 sektorów gospodarki. Czy ten gold-plating był potrzebny?

Za niewdrożenie dyrektywy Komisja Europejska może nałożyć na Polskę karę o wartości do 2 miliardów zł. Z tego punktu widzenia lepiej tę ustawę podpisać i ewentualnie potem skierować do TK. Jednak taki scenariusz oznaczałby pewne naruszenie dyrektywy (rozszerzenie 5G Toolbox na 18 sektorów – red.). Bo ustawa ją wdrażająca zbyt szeroko ingerowałaby w swobodę działalności gospodarczej i w prawa obywateli, a nie taki jest przecież jej cel.

Ustawa przewiduje, że jeśli minister cyfryzacji uzna jakąś firmę za „dostawcę wysokiego ryzyka”, to może nakazać użytkownikowi sprzętu przez nią produkowanego usunięcie go na własny koszt. Decyzja w tej sprawie nie musi mieć jawnego uzasadnienia, a w procedurze skargowej przedsiębiorca ma ograniczone prawa. Czy to da się uzasadnić bezpieczeństwem państwa?

To dość groźne dla takich przedsiębiorców, bo decyzja ministra może poważnie wpłynąć na ich działalność gospodarczą. Nie ma tu gwarancji ochrony interesów w toku. Oczywiście w dzisiejszych czasach sprzęt elektroniczny może być narażony na wirtualną ingerencję ze strony krajów nam nieprzyjaznych. Dlatego państwo powinno mieć pewne możliwości działań powstrzymujących napływ takiego sprzętu. Jednak sposób dążenia do tego celu w tej formie, jaką mamy w ustawie, dąży do ograniczenia prawa do sądu. Spójrzmy na nowy art. 67b tej ustawy, regulujący procedurę uznania za dostawcę wysokiego ryzyka. Do tego postępowania nie stosuje się reguły z kodeksu postępowania administracyjnego, mówiącej, że stroną w postępowaniu jest każdy, czyjego interesu ono dotyczy. Podmioty zobowiązane do usuwania sprzętu najczęściej zostaną w ten sposób pozbawione praw strony. Ustawa przewiduje bowiem, że stroną może być firma telekomunikacyjna osiągająca roczne przychody większe niż dwudziestotysięczna krotność przeciętnego wynagrodzenia w gospodarce (byłby to obrót na poziomie około 178 mln zł, uwzględniając najnowsze dane GUS – red.). Wynika z tego, że większość podmiotów zobowiązana potencjalnie do wycofania sprzętu, nie będzie mogła brać udziału w takim postępowaniu. Jest to ograniczenie prawa do sądu, gwarantowanego w konstytucji. Oraz oczywiście stwarzanie ewidentnej nierówności w traktowaniu. Kilkadziesiąt największych firm na rynku miałoby podlegać innym zasadom niż cała reszta.

Czytaj więcej

Bezpieczeństwo

Surowe rygory dla sieci 5G rozszerzono bez potrzeby

Pod hasłem wzmocnienia cyberbezpieczeństwa rząd wprowadza przepisy, które mogą zmusić wiele firm...

Czy są jeszcze jakieś ograniczenia proceduralne w tej ustawie?

Jest możliwość złożenia skargi do sądu administracyjnego, jeżeli dostawca wysokiego ryzyka stanowi zagrożenie dla podstawowego interesu bezpieczeństwa państwa. Jednak sąd administracyjny rozpoznaje skargę na posiedzeniu niejawnym w składzie trzech sędziów. Skarżący nie może uczestniczyć w tym postępowaniu, a z uzasadnienia wyroku dostanie tylko część jawną. Pełny tekst uzasadnienia dostanie tylko minister cyfryzacji. Tu też widać wyraźnie ograniczenie konstytucyjnego prawa do sądu. Jak można bowiem wnieść apelację od takiego wyroku, nie znając jego pełnego uzasadnienia?

Fakty są jednak takie, że wciąż trwają ataki cybernetyczne na Polskę. Być może w obliczu takiej wojny należałoby jednak wprowadzić nadzwyczajne środki ochrony naszej cyberprzestrzeni?

Gdy kilka lat temu zmieniano ustawę o stanie wyjątkowym, pojawiło się tam pojęcie zagrożenia z cyberprzestrzeni jako przesłanka wprowadzenia takiego stanu. Tak naprawdę nie sposób jednoznacznie określić, co to jest. Pojęcia tego po raz pierwszy użył pisarz William Gibson w powieści „Neuromancer”. Pisał o czymś, co znajduje się poza namacalną rzeczywistością, a czego skutki nas dotykają dzięki narzędziom nowoczesnej techniki. Niestety, w przypadku ustawy, o której mówimy, państwo zdaje się nie radzić sobie samo ze skutkami tych zagrożeń i przerzuca ciężar obrony na podmioty prywatne. W ten sposób stają się one jakby częścią państwa.

Czytaj więcej

EEC Trends

Ustawa o KSC u prezydenta. Gawkowski: Nie chcę myśleć o scenariuszu bez podpisu

– Pan prezydent Karol Nawrocki ma dostęp do tych samych materiałów ściśle tajnych co ja – mówi wi...

Tyle że stany nadzwyczajne są wprowadzane tylko na określony czas. Takiego stanu nie wprowadzono w związku z trwającą wojną cybernetyczną. Czy zatem wpisywanie na stałe do ustawy rozwiązań właściwych takim stanom jest zgodne ze sztuką tworzenia prawa?

Nie jest zgodne. Bo ta sztuka jest opisana w konstytucji i nie dopuszcza takich zabiegów. Zresztą w tej ustawie jest jeszcze wiele innych przepisów stworzonych wbrew konstytucyjnym zasadom.

Jakich na przykład?

Spójrzmy na treść nowego art. 67g ustawy. Daje on prawo ministrowi właściwemu do spraw informatyzacji wydania „polecenia zabezpieczającego” w przypadku wystąpienia tzw. incydentu krytycznego. To polecenie ma charakter normy prawnej. Nakazuje określonym podmiotom pewne zachowania, w tym usunięcie określonego sprzętu. Tu też są wyłączone niektóre prawa strony z kodeksu postępowania administracyjnego. Minister może na przykład nie uwzględniać stanowiska strony, gdy w grę wchodzi zagrożenie życia lub zdrowia ludzkiego lub niepowetowana szkoda materialna. Można to jeszcze zrozumieć, gdy chodziłoby o usunięcie urządzenia elektronicznego używanego w szpitalach do ratowania życia i zdrowia ludzi. To samo można uznać za usprawiedliwione, gdy chodzi o systemy sterujące dostawami energii. Ale w innych wypadkach takie „polecenie zabezpieczające” już nie służy takim wyższym celom. Co więcej, ma ono dotyczyć podmiotów niepodporządkowanych ministrowi. W ten sposób zostają one niejako „upaństwowione”.

Pachnie mi to nacjonalizacją przedsiębiorstw w Polsce z końca lat 40. ubiegłego wieku.

W pewnym zakresie tak jest. Gdyby minister wydawał rozporządzenie, będące źródłem prawa zakorzenionym w konstytucji – można by to zrozumieć. Ale to jest „polecenie”, zwykle wydawane podległym jednostkom. Jest natychmiast wykonalne. Zbliżamy się do wspomnianych przez pana rozwiązań ze stanów nadzwyczajnych. Bo jest tam pozbawienie własności, takie jak w czasie wojny np. rekwizycja pojazdów na rzecz wojska. Zanim przedsiębiorca zdoła dowieść w sądzie swoich racji i niesłuszności takiej rekwizycji, być może już upadnie. Co więcej – te polecenia zabezpieczające mają być publikowane w dzienniku urzędowym ministra cyfryzacji.

Czytaj więcej

IT

„KSC to wywłaszczenie”. Apel przedsiębiorców do prezydenta

11 organizacji polskich przedsiębiorców, we wspólnym liście, zaapelowało do prezydenta o zbadanie...

I co, trzeba będzie śledzić te dzienniki urzędowe? Treść takich poleceń nie będzie doręczana ich adresatom jak decyzja?

Ależ tu nie ma mowy o żadnym doręczeniu! Polecenie uznaje się za doręczone z chwilą ogłoszenia w tymże dzienniku urzędowym. Trochę mi to przypomina pewną scenę z „Przygód dobrego wojaka Szwejka”.

Którą?

Szwejk chciał zrobić przyjemność nadporucznikowi Lukaszowi, u którego był ordynansem. Lukasz chciał mieć psa. Szwejk ukradł zatem psa i podarował go temuż oficerowi. Okradzionym był ich przełożony, pułkownik von Zillergut, który dał potem stosowne ogłoszenie do lokalnej prasy. Niedługo później Lukasz wyprowadzał psa na spacer, ale miał pecha, bo napotkał pułkownika. Pies radośnie pobiegł w kierunku swojego prawowitego pana. Pułkownik zażądał wyjaśnień. Bezradny nadporucznik Lukasz nie pojmował, o co chodzi. Pułkownik na to: jakże to, nie czytaliście mojego ogłoszenia w prasie? Skończyło się nie tylko połajanką, ale wysłaniem Szwejka i Lukasza na front. Podobnie przedsiębiorca w zasadzie powinien do porannej kawy czytać dziennik urzędowy Ministra Cyfryzacji, by się dowiedzieć, czy w ogóle ma szansę dalej działać.

Wygląda to jak zastawianie pułapek na przedsiębiorców.

Prawo nie powinno być taką pułapką. Przedsiębiorca z branż objętych ustawą w zasadzie w każdej chwili musi się liczyć z zaprzestaniem działalności wskutek wywłaszczenia.

To jaki państwo ma w tym interes?

Teoretycznie chodzi o obronę naszego bezpieczeństwa. Tyle że kosztem może być upadek wielu mniejszych firm, korzystających z nowoczesnych technologii, gdy urządzenia z tymi technologiami zostaną uznane za pochodzące od groźnych dostawców. A przecież chyba zależy nam wszystkim na tym, by nowoczesne technologie były dostępne jak najszerszemu gronu odbiorców. Podobnie jak powinno nam zależeć w ogóle na rozwoju przedsiębiorczości.

Czytaj więcej

Opinie i komentarze

Dostawcy wysokiego ryzyka: przejrzyste procedury czy tajna dowolność?

Co różni projekt unijnego Cybersecurity Act 2 (CSA2) od noweli ustawy o Krajowym Systemie Cyberbe...

Czy można sobie wyobrazić jakieś alternatywne rozwiązania?

Być może państwo powinno w jakiś sposób subsydiować przypadki, w których dochodzi do przymusowego wycofania sprzętu od dostawców wysokiego ryzyka. Można też pomyśleć o rozwiązaniach zakładających stały audyt czy korzystanie z pewnych sprawdzonych dostawców. Być może trzeba by promować na różne sposoby krajową produkcję i sprzedaż sprzętu i oprogramowania, by się uniezależnić od dostaw z krajów mogących zagrozić naszemu cyberbezpieczeństwu.

To ostatnie może być trudne. Chiny znacznie wyprzedziły świat w niektórych technologiach telekomunikacyjnych. Jeśli ktoś chce być nowoczesnym, jest skazany na import stamtąd.

Jeżeli spodziewamy się niebezpieczeństwa związanego z określonymi produktami, to powinniśmy stawiać tamę temu niebezpieczeństwu, ale metodami zgodnymi z konstytucją. Nie należy stosować przymusowych wywłaszczeń ani pułapek prawnych.