Ataki na systemy informatyczne – rządowy projekt zmian w Kodeksie karnym

Cel projektowanej nowelizacji

Zasadniczym celem projektu jest zapewnienie pełnej implementacji art. 7 dyrektywy 2013/40/UE. Przepis ten zobowiązuje państwa członkowskie do penalizacji określonych zachowań przygotowawczych, jeżeli są podejmowane bezprawnie i umyślnie w celu popełnienia przestępstw wskazanych w art. 3-6 dyrektywy 2013/40/UE.

Z uzasadnienia wynika, że art. 7 dyrektywy 2013/40/UE obejmuje m.in. umyślne wytwarzanie, sprzedaż, dostarczanie w celu użycia, przywóz, rozpowszechnianie lub udostępnianie w inny sposób określonych narzędzi, jeżeli działania te służą popełnieniu przestępstw wskazanych w dyrektywie. Projektodawca wskazuje, że polskie przepisy wymagają uzupełnienia jedynie w zakresie art. 3 dyrektywy 2013/40/UE, dotyczącego niezgodnego z prawem dostępu do systemów informatycznych, oraz art. 6 dyrektywy 2013/40/UE, dotyczącego niezgodnego z prawem przechwytywania.

Projekt nie zakłada szerszej ingerencji w model odpowiedzialności za przestępstwa przeciwko ochronie informacji. W uzasadnieniu wskazano, że pozostałe przepisy dyrektywy 2013/40/UE są już implementowane w prawie krajowym, w szczególności w rozdziale XXXIII KK. Nowelizacja ma zatem charakter punktowy i służy uzupełnieniu konkretnego braku w transpozycji prawa UE.

Zmiana odnośnika do tytułu KK

Pierwsza z projektowanych zmian dotyczy odnośnika nr 1 do tytułu KK. Projekt przewiduje, że w pkt 3 odnośnika kropka zostanie zastąpiona średnikiem, a następnie dodany zostanie pkt 4 wskazujący dyrektywę 2013/40/UE.

Zmiana ta ma charakter formalny, ale jest konsekwencją implementacyjnego charakteru projektu. Skoro projektowana ustawa w zakresie swojej regulacji wdraża dyrektywę dotyczącą ataków na systemy informatyczne, informacja ta powinna zostać odnotowana w odnośniku do tytułu KK. Rozwiązanie to porządkuje informację o aktach prawa Unii Europejskiej, których wdrożeniu służą przepisy Kodeksu karnego.

Rozszerzenie zakresu art. 269b § 1 KK

Najważniejsza zmiana projektu dotyczy art. 269b § 1 KK. Zgodnie z art. 1 pkt 2 projektu wyrazy „art. 267 § 3” mają zostać zastąpione wyrazami „art. 267 § 1-3”.

W uzasadnieniu wskazano, że projektowana zmiana polega na umieszczeniu w art. 269b § 1 KK odesłania także do art. 267 § 1 i 2 KK. Odesłanie do art. 267 § 1-3 KK ma służyć implementacji art. 3 dyrektywy 2013/40/UE, odnoszącego się do niezgodnego z prawem dostępu do systemów informatycznych oraz art. 6 dyrektywy 2013/40/UE, dotyczącego niezgodnego z prawem przechwytywania.

Mechanizm projektowanej zmiany jest prosty: ustawodawca nie modyfikuje samego opisu zachowań zawartego w art. 269b § 1 KK, lecz rozszerza zakres przepisów, do których art. 269b § 1 KK odsyła. W efekcie przepis ten ma obejmować nie tylko zachowania związane z przygotowaniem do czynu z art. 267 § 3 KK, lecz także zachowania powiązane z czynami z art. 267 § 1 i 2 KK.

Znaczenie projektowanej zmiany nie polega na wprowadzeniu nowej regulacji materialnoprawnej, lecz na rozszerzeniu zakresu zastosowania istniejącego przepisu. Właśnie ten element ma – zgodnie z uzasadnieniem – zapewnić pełną transpozycję art. 7 dyrektywy 2013/40/UE w brakującym zakresie.

Powiązanie art. 269b § 1 KK z art. 267 KK

Projektowana nowelizacja odwołuje się do art. 267 KK, który znajduje się w rozdziale XXXIII KK dotyczącym przestępstw przeciwko ochronie informacji. Dotychczas art. 269b § 1 KK obejmował odesłanie do art. 267 § 3 KK. Projekt rozszerza to odesłanie na art. 267 § 1-3 KK. Projektodawca przyjmuje, że dodanie tych dwóch jednostek redakcyjnych do art. 269b § 1 KK jest konieczne dla prawidłowej implementacji dyrektywy.

Takie rozwiązanie pozwala zachować dotychczasową systematykę KK. Projekt nie dodaje nowego przepisu dotyczącego cyberprzestępczości, lecz posługuje się już istniejącą konstrukcją art. 269b § 1 KK. Zmianie ulega jedynie zakres odesłania, a tym samym zakres czynów, których przygotowanie może pozostawać objęte tym przepisem.

Skutki projektowanych zmian

Z uzasadnienia projektu wynika, że proponowane rozwiązania mają zapewnić prawidłową implementację art. 7 dyrektywy 2013/40/UE przez objęcie art. 269b § 1 KK także odesłaniami do art. 267 § 1 i 2 KK. Projektodawca wskazuje tym samym, że dotychczasowe brzmienie przepisu nie obejmowało pełnego zakresu wymaganego przez dyrektywę.

Projektowana zmiana rozszerza zakres zastosowania art. 269b § 1 KK, ale nie zmienia treści art. 267 KK, nie wprowadza nowych sankcji ani nie przewiduje odrębnych rozwiązań przejściowych. Zmiana ma więc charakter punktowy i dostosowawczy, choć dotyczy istotnego obszaru ochrony informacji oraz ataków na systemy informatyczne.

Etap legislacyjny

Projekt ustawy wpłynął do Sejmu 1.4.2026 r. jako druk nr 2398. W dniu 2.4.2026 r. został skierowany do I czytania, które odbyło się 16.4.2026 r. na 55. posiedzeniu Sejmu, po czym projekt skierowano do Komisji Sprawiedliwości i Praw Człowieka. Komisja rozpatrzyła projekt na posiedzeniu 28.4.2026 r. i wniosła o uchwalenie projektu ustawy z druku nr 2398 bez poprawek. Sprawozdanie komisji zostało opublikowane jako druk nr 2462. II czytanie projektu odbyło się 13.5.2026 r. na 57. posiedzeniu Sejmu. Sejm zdecydował o niezwłocznym przystąpieniu do III czytania.

Zgodnie z art. 2 projektu ustawa ma wejść w życie po upływie 14 dni od dnia ogłoszenia. Projektodawca nie przewiduje odrębnych przepisów przejściowych ani szczególnych terminów wejścia w życie poszczególnych regulacji.

Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →