Nie zawsze aktywność wymusza składkę

Tak wynika z interpretacji indywidualnej wydanej przez prezesa NFZ. Takie stanowisko coraz wyraźniej potwierdza praktyka interpretacyjna, wskazując, że samo pełnienie funkcji i wykonywanie czynności na rzecz spółki nie zawsze oznacza powstanie odrębnego tytułu do ubezpieczenia zdrowotnego. Dla wielu przedsiębiorców i wspólników to istotna informacja, ponieważ wpływa zarówno na koszty prowadzenia działalności, jak i sposób konstruowania relacji wewnątrz samej spółki.

Sprawa dotyczyła spółki komandytowej, która wystąpiła o interpretację w zakresie obowiązku opłacania składek zdrowotnych od wynagrodzenia wypłacanego komplementariuszowi B.D. za reprezentowanie tego podmiotu oraz prowadzenie jego spraw. Co to dokładnie oznacza? Jak tłumaczy wnioskodawca, reprezentowanie spółki komandytowej obejmuje wszelkie czynności prawne, sądowe i pozasądowe, jakie może ona podejmować. Z kolei prowadzenie jej spraw, w odróżnieniu od reprezentacji, polega na podejmowaniu decyzji i czynności wewnątrz struktury (chociaż obie sfery wzajemnie się przenikają).

Wnioskodawca we wniosku podkreślił, że B.D. nie prowadzi jednoosobowej działalności gospodarczej wpisanej do CEIDG. Jest natomiast wspólnikiem dwóch spółek komandytowych – w jednej pełni funkcję komplementariusza (wspomnianej spółce B.), w drugiej komandytariusza (spółce M.).

Spółka wskazała, że wynagrodzenie za prowadzenie jej spraw nie ma związku z osiąganymi przez nią przychodami ani z udziałem wspólnika w zysku. Ma ono charakter stały i wynika wyłącznie z  pełnionej funkcji korporacyjnej. W takim przypadku chciała wiedzieć, czy powinna ona dodatkowo opłacać za komplementariusza składkę zdrowotną.

Prezes NFZ uznał, że nie. W interpretacji przypomniano, że wspólnik spółki komandytowej podlega obowiązkowemu ubezpieczeniu zdrowotnemu już z samego faktu posiadania statusu wspólnika. Oznacza to, że wynagrodzenie mu wypłacane za czynności związane z prowadzeniem spraw spółki nie tworzy nowego, odrębnego tytułu do objęcia ubezpieczeniem zdrowotnym.

Organ podkreślił, że prowadzenie spraw spółki jest elementem stosunku korporacyjnego wynikającego z przepisów KSH. Komplementariusza nie łączy w tym zakresie ze spółką odrębna umowa cywilnoprawna, lecz relacja właścicielska. W konsekwencji wynagrodzenie przyznane uchwałą wspólników nie podlega oskładkowaniu jako samodzielny tytuł do ubezpieczenia zdrowotnego.

NFZ zaznaczył jednocześnie, że sytuacja mogłaby wyglądać inaczej, gdyby strony zawarły dodatkową umowę, np. zlecenia. W takim przypadku konieczna byłaby odrębna ocena charakteru prawnego wykonywanych czynności.

Interpretacja potwierdza utrwalające się stanowisko, zgodnie z którym wynagrodzenie komplementariusza za prowadzenie spraw spółki – o ile wynika wyłącznie z uchwały wspólników i umowy spółki – nie powoduje obowiązku opłacania dodatkowej składki zdrowotnej.

Decyzja prezesa NFZ: nr 26 (NFZ-BP.5202.54)

Planowane zmiany w rejestracji pojazdu online i elektronicznym prawie jazdy

Cel i ratio legis zmian

Z uzasadnienia projektu wynika, że podstawowym celem proponowanych zmian jest dalsze rozwijanie cyfrowych usług publicznych oraz ograniczenie liczby tradycyjnych, papierowych procedur związanych z funkcjonowaniem systemu rejestracji pojazdów i wydawania dokumentów kierowców. Projektodawca wskazuje, że obowiązujące rozwiązania nie odpowiadają już obecnemu poziomowi rozwoju usług elektronicznych oraz oczekiwaniom obywateli dotyczącym możliwości zdalnego załatwiania spraw administracyjnych.

Elektroniczna rejestracja pojazdów

Jedna z najważniejszych zmian dotyczy przebudowy modelu rejestracji pojazdów. Projekt przewiduje odejście od części dotychczasowych rozwiązań administracyjnych na rzecz modelu opartego na obsłudze elektronicznej i większej automatyzacji czynności wykonywanych przez organy administracji. Rejestracja pojazdu ma zostać uznana za czynność materialno-techniczną, podczas gdy odmowa dokonania rejestracji lub uchylenie dokonanej czynności nadal następować będą w drodze decyzji administracyjnej.

Projektodawca zakłada również zwiększenie dostępności usług poprzez umożliwienie składania części wniosków w postaci elektronicznej oraz wykonywanie określonych czynności przy wykorzystaniu systemów teleinformatycznych. Dodatkowo część spraw ma być możliwa do realizacji niezależnie od właściwości miejscowej organu, co ma uprościć procedury i zwiększyć wygodę obywateli.

Cyfrowy dowód rejestracyjny i nowe zasady wydawania dokumentów

Projekt przewiduje istotne zmiany dotyczące funkcjonowania dowodów rejestracyjnych. Zakłada się, że dokument będzie generowany automatycznie przy wykorzystaniu systemu teleinformatycznego obsługującego Centralną Ewidencję Pojazdów. Jednocześnie utrzymana zostanie możliwość uzyskania dokumentu w tradycyjnej, papierowej postaci – na wniosek właściciela pojazdu.

Projektowane rozwiązania mają uprościć procedury związane z odbiorem i wydawaniem dokumentów. Przewidziano możliwość przesyłania dokumentów drogą pocztową, odbioru w wybranym urzędzie oraz elektronicznego potwierdzania odbioru. Ustawodawca zakłada także unieważnianie dokumentów tracących ważność w sposób powiązany z obsługą nowego dokumentu.

Istotnym elementem reformy pozostaje utrzymanie dotychczasowych tablic rejestracyjnych przy zmianie właściciela pojazdu, jeżeli spełnione zostaną wymagania dotyczące ich stanu technicznego i legalizacji.

Elektroniczna sprzedaż pojazdów

Projekt przewiduje utworzenie nowej usługi cyfrowej umożliwiającej zawieranie umów sprzedaży pojazdów zarejestrowanych przy wykorzystaniu narzędzi elektronicznych. Strony transakcji będą mogły dokonać czynności z wykorzystaniem metod elektronicznego uwierzytelnienia, w tym podpisu kwalifikowanego, podpisu zaufanego lub podpisu osobistego.

Projektodawca zakłada szeroką automatyzację procesu poprzez pobieranie danych z istniejących rejestrów publicznych oraz automatyczne przekazywanie informacji o zmianie właściciela do właściwych systemów ewidencyjnych. Rozwiązanie ma ograniczyć liczbę dodatkowych obowiązków administracyjnych oraz wyeliminować część odrębnych czynności zgłoszeniowych wykonywanych obecnie po sprzedaży pojazdu.

Zmiany dotyczące CEP i CEK

Projekt znacząco rozszerza zakres danych gromadzonych w Centralnej Ewidencji Pojazdów (dalej: CEP) oraz Centralnej Ewidencji Kierowców (dalej: CEK). Do ewidencji mają trafiać nie tylko podstawowe dane o pojazdach, kierowcach i dokumentach, lecz także informacje dotyczące wniosków, decyzji administracyjnych oraz dokumentów składanych lub generowanych w toku obsługi spraw.

Do ewidencji mają trafiać m.in.:

Projekt przewiduje dalszą integrację CEP i CEK z innymi państwowymi bazami danych. Ma to poprawić aktualność informacji, ograniczyć konieczność wielokrotnego przedstawiania tych samych dokumentów oraz umożliwić organom sprawniejsze wykonywanie zadań publicznych.

Elektroniczne prawo jazdy

Jedną z bardziej widocznych dla obywateli zmian może być wprowadzenie elektronicznego prawa jazdy. Projekt przewiduje, że prawo jazdy będzie mogło być udostępniane przez ministra właściwego do spraw informatyzacji w oparciu o dane zgromadzone w CEK.

Elektroniczna forma prawa jazdy ma potwierdzać posiadanie uprawnień do kierowania pojazdami na terytorium Rzeczypospolitej Polskiej. Projekt przewiduje również elektronizację procesu składania wniosków o wydanie prawa jazdy, a także możliwość doręczania dokumentów na wskazany adres. W praktyce oznacza to dalsze ograniczanie konieczności osobistego kontaktu z urzędem i szersze wykorzystanie danych już zgromadzonych w systemach publicznych.

Zmiany dotyczące kierowców zawodowych

Nowelizacja obejmuje również przepisy dotyczące kierowców zawodowych i procedur związanych z uzyskiwaniem kwalifikacji. Projekt przewiduje m.in. powiązanie części procedur z posiadaniem numeru PESEL oraz szersze wykorzystanie danych gromadzonych w centralnych ewidencjach.

Zmiany mają dotyczyć m.in. danych o badaniach lekarskich i psychologicznych, kwalifikacjach zawodowych oraz szkoleniach okresowych.

Integracja danych i wykorzystanie KSeF

Projekt przewiduje wykorzystanie danych pochodzących z Krajowego Systemu e-Faktur. Szef Krajowej Administracji Skarbowej ma udostępniać ministrowi właściwemu do spraw informatyzacji dane z faktur ustrukturyzowanych stanowiących dokumenty potwierdzające własność pojazdu.

Rozwiązanie to ma usprawnić rejestrację pojazdów i ograniczyć konieczność przedkładania dokumentów, które mogą być zweryfikowane w systemach publicznych. Integracja z KSeF ma również przyspieszyć weryfikację danych oraz zwiększyć automatyzację procedur administracyjnych związanych z rejestracją pojazdów.

Zmiany dotyczące zakazu prowadzenia pojazdów

Projekt przewiduje także zmiany dotyczące przekazywania danych o orzeczonych zakazach prowadzenia pojazdów. Modyfikacje obejmują przepisy KK, KW, KKW oraz Kodeksu postępowania w sprawach o wykroczenia.

Zmiany mają zapewnić automatyczne przekazywanie danych do CEK oraz usprawnić wykonywanie orzeczeń dotyczących zakazów prowadzenia pojazdów. Projekt doprecyzowuje również sposób określania kategorii uprawnień objętych zakazem, co ma znaczenie zarówno dla sądów, jak i organów administracji wykonujących orzeczenia.

Etap legislacyjny

Projekt ustawy został opublikowany w Rządowym Centrum Legislacji i obecnie podlega opiniowaniu. Ustawa co do zasady wejdzie w życie po upływie 14 dni od dnia ogłoszenia.

Zwrot przegranych zakładów w kasynie online

Stan faktyczny

Cesjonariusz konsumenta mającego miejsce zwykłego pobytu w RFN wniósł pozew do maltańskiego sądu przeciwko dwóm spółkom z siedzibą na Malcie. Powód domagał się zwrotu stawek, które ten konsument postawił (i przegrał), uczestnicząc w grach losowych oferowanych przez te spółki. W tym celu twierdził, że ponieważ gry te były oferowane w RFN, z naruszeniem niemieckich uregulowań (dalej: GlüStV), umowa będąca ich podstawą była niezgodna z prawem, a zatem nieważna. W związku z tym spółki te powinny zwrócić te stawki. Pozwane spółki podniosły, że po pierwsze, sporna umowa jest legalna, a zatem ważna, a GlüStV nie powinny być stosowane, ponieważ są sprzeczne ze swobodą świadczenia usług (art. 56 TFUE). Po drugie, takie roszczenie stanowi w każdym przypadku nadużycie prawa UE.

Sąd odsyłający powziął wątpliwości, czy unijna swoboda świadczenia usług stoi na przeszkodzie tego rodzaju uregulowaniom krajowym jak GlüStV, w sytuacji gdy spółka oferująca usługi internetowych gier losowych posiada licencję w innym państwie członkowskim, a także czy jest możliwe uznanie umowy między tą spółką a graczem z innego państwa członkowskiego za nieważną i nakazanie zwrotu utraconych kwot zakładów.

Stanowisko TS

Zakaz internetowych gier hazardowych

Zgodnie z utrwalonym orzecznictwem działalność polegająca na umożliwianiu użytkownikom odpłatnego brania udziału w grach hazardowych stanowi świadczenie usług w rozumieniu art. 56 TFUE. Z orzecznictwa TS wynika, że do każdego państwa członkowskiego należy dokonanie oceny, czy w kontekście założonych przez niego, zgodnych z prawem celów konieczny jest całkowity lub częściowy zakaz tego rodzaju działalności, czy też wyłącznie ograniczenie jej i ustanowienie w tym celu mniej lub bardziej ścisłych zasad kontroli, przy czym konieczność i proporcjonalność przyjętych w ten sposób środków musi być oceniana wyłącznie w świetle założonych celów oraz poziomu ochrony, jaki pragną zapewnić dane władze krajowe (wyrok TS z 8.9.2010 r., Carmen Media Group, C-46/08, Legalis, pkt 46).

Trybunał wskazał, że do sądów krajowych należy zatem sprawdzenie, czy ograniczenie przyjęte przez państwo członkowskie jest właściwe dla realizacji celu lub celów wskazanych przez dane państwo członkowskie, zgodnie z zamierzonym przez nie poziomem ochrony, oraz czy nie wykracza poza to, co niezbędne dla ich osiągnięcia (wyrok TS z 8.9.2010 r., Stoß i in., C-316/07, od C‑358/07 do C‑360/07, C‑409/07 i C‑410/07, pkt 78). W ramach tej oceny sądy krajowe powinny wziąć pod uwagę, że przepisy GlüStV, dotyczące gier hazardowych, należą do dziedzin, w których pomiędzy państwami członkowskimi istnieją znaczne rozbieżności dotyczące aspektów moralnych, religijnych i kulturowych, oraz że w braku harmonizacji na poziomie Unii Europejskiej w tym zakresie do każdego państwa członkowskiego z osobna należy ocena w tych dziedzinach, według własnej skali wartości, wymogów związanych z ochroną danych interesów (wyrok TS z 24.1.2013 r., Stanleybet i in., C-186/11 i C-209/11, Legalis, pkt 24).

Trybunał orzekł, że art. 56 TFUE należy interpretować w ten sposób, iż nie stoi on na przeszkodzie uregulowaniom krajowym ustanawiającym zakaz urządzania internetowych gier kasynowych, w szczególności gier na automatach do gier, a także zakładów, takich jak loterie wtórne, jeżeli ich celem jest opanowanie naturalnej skłonności społeczeństwa do hazardu w uporządkowany i kontrolowany sposób oraz przeciwdziałanie rozwojowi i rozprzestrzenianiu się nielegalnego hazardu na rynkach równoległych, nawet jeśli:

Ponadto zdaniem TS art. 56 TFUE należy interpretować w ten sposób, iż nie stoi on na przeszkodzie uznaniu w ramach danego sporu skutków prawnych zakazu internetowych gier kasynowych, jeżeli po zaistnieniu okoliczności faktycznych mogących wywołać te skutki zdecydowano o zastąpieniu tego zakazu systemem uprzedniego zezwolenia i wprowadzono okres przejściowy, w trakcie którego oferty gier, które mogą być zgodne z przyszłymi uregulowaniami, byłyby akceptowane z zastrzeżeniem spełnienia określonych wymogów.

Nieważność umowy z konsumentem

W ocenie TS art. 56 TFUE należy interpretować w ten sposób, iż nie stoi on na przeszkodzie ustaleniu nieważności umowy zawartej między konsumentem mającym miejsce zamieszkania w państwie członkowskim a operatorem oferującym usługi w zakresie internetowych loterii wtórnych z innego państwa członkowskiego, jeżeli zgodnie z uregulowaniami pierwszego państwa członkowskiego wydawanie operatorom prywatnym licencji na urządzanie takich zakładów jest wykluczone.

Trybunał podkreślił, że kwestia, czy dana umowa jest nieważna, jeżeli jej przedmiot jest niezgodny z prawem, i czy nieważność ta pociąga za sobą dla każdej ze stron prawo do zwrotu korzyści, jakie strona ta otrzymała z tytułu tej umowy, jest kwestią prawa właściwego dla danej umowy na podstawie art. 10 ust. 1 i art. 12 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (WE) Nr 593/2008 z 17.6.2008 r. w sprawie prawa właściwego dla zobowiązań umownych (Rzym I) (Dz.Urz. UE L z 2008 r. Nr 177, s. 6). Trybunał stwierdził, że w niniejszej sprawie prawem właściwym dla umowy zawartej między pierwotnym graczem a pozwanymi jest niemieckie prawo.

Zdaniem TS nie można oczywiście wykluczyć, że gracz mógł skorzystać z usług oferowanych przez przedsiębiorstwo takie jak pozwane, mając jednocześnie pełną świadomość zakazu mającego zastosowanie do tego sporu i jego ewentualnych konsekwencji, jednakże ta kwestia może zostać rozstrzygnięta wyłącznie na podstawie mającego zastosowanie prawa krajowego.

Trybunał orzekł, że art. 56 TFUE i zasadę zakazującą nadużywania prawa należy interpretować w ten sposób, iż nie stoją one na przeszkodzie temu, aby konsument, który uczestniczył z terytorium państwa członkowskiego swojego miejsca zwykłego pobytu w internetowych grach losowych oferowanych przez operatora nieposiadającego licencji wydanej przez to państwo, lecz posiadającego licencję wydaną przez inne państwo członkowskie, wniósł przeciwko temu operatorowi powództwo cywilne o zwrot wpłaconych przez niego kwot zakładów, na podstawie nieważności danej umowy o gry hazardowe, zgodnie z właściwym prawem umów.

Nowelizacja UKSC po wdrożeniu NIS2 – regulacje w zakresie cyberbezpieczeństwa na realne zagrożenia

Najświeższe dane CERT Polska pokazują skalę problemu. W 2025 r. zarejestrowano ponad 260 tys. incydentów cyberbezpieczeństwa – o ponad 150% więcej niż rok wcześniej. CERT Polska otrzymał ponad 658 tys. zgłoszeń, a większość obsługiwanych zdarzeń dotyczyła oszustw komputerowych, phishingu oraz ataków wykorzystujących podatności usług i systemów teleinformatycznych. Rosła również liczba incydentów ransomware oraz ataków wymierzonych w podmioty publiczne i przedsiębiorców. CERT Polska wprost wskazuje, że polskie organizacje pozostają stale na celowniku cyberprzestępców. (CERT Polska, „Raport roczny z działalności CERT Polska w 2025 roku”, NASK, 2026 r., dostęp: https://cyberpolicy.nask.pl/aktualnosci/raport-roczny-z-dzialalnosci-cert-polska-w-2025-roku/).

W tym kontekście NIS2 oraz znowelizowana UKSC nie powinny być postrzegane wyłącznie jako kolejna warstwa compliance. To regulacje, które wymuszają strategiczne podejście do cyberbezpieczeństwa – angażujące zarząd, działy prawne, IT, HR, zakupy oraz obszary operacyjne.

Samoidentyfikacja: czasu jest coraz mniej

Jednym z największych wyzwań praktycznych związanych z wdrożeniem nowych regulacji pozostaje prawidłowa samoidentyfikacja podmiotów objętych UKSC, tj. podmiotów ważnych i kluczowych. Nowe przepisy zakładają bowiem obowiązek samoidentyfikacji i rejestracji podmiotów kluczowych i ważnych do.10.2025 r. W praktyce wiele organizacji nadal nie ma pewności, czy i w jakim zakresie jest objęta nowymi regulacjami.

Wątpliwości dotyczą przede wszystkim kwalifikacji działalności do określonych sektorów i podsektorów. Opisy działalności objętej regulacją nie zawsze są jednoznaczne, a granice pomiędzy usługami cyfrowymi, w szczególności usługami zarządzanymi, czy usługami chmurowymi bywają płynne. Problematyczne pozostaje również ustalanie wielkości organizacji – szczególnie w grupach kapitałowych, gdzie konieczne może być uwzględnianie relacji powiązań i partnerstwa, danych skonsolidowanych lub działalności prowadzonej przez kilka podmiotów jednocześnie.

W przypadku działalności wykonywanej w sektorze cyfrowym i w środowisku międzynarodowym (w ramach działalności transgranicznej) dodatkowe trudności pojawiają się także przy ustalaniu właściwości miejscowej, tj. określeniu tego, czy dany podmiot będzie odpowiedzialny względem polskich organów nadzorczych.

W praktyce oznacza to konieczność zaangażowania nie tylko prawników, lecz także biznesu, finansów i działów operacyjnych – już na etapie analizy statusu organizacji. Co istotne, czasu na przeprowadzenie tej analizy nie zostało wiele.

Cyberbezpieczeństwo jako odpowiedzialność osobista osób zarządzających podmiotem

Jedną z najistotniejszych zmian wprowadzanych przez dyrektywę NIS2 jest wyraźne przesunięcie odpowiedzialności za cyberbezpieczeństwo na poziom zarządczy. Regulacje odchodzą od modelu, w którym cyberbezpieczeństwo pozostawało wyłącznie domeną wyspecjalizowanych zespołów technicznych.

Przepisy UKSC przewidują m.in. obowiązek planowania adekwatnych środków finansowych na realizację zadań z zakresu cyberbezpieczeństwa, a także zatwierdzania środków zarządzania ryzykiem w cyberbezpieczeństwie przez kierownictwo podmiotu oraz obowiązek odbywania corocznych szkoleń z zakresu cyberbezpieczeństwa przez członków organów zarządzających.

Zarząd ma nie tylko wiedzieć, że organizacja wdraża odpowiednie środki bezpieczeństwa, ale też aktywnie uczestniczyć w nadzorze nad tym procesem. To zmiana o charakterze fundamentalnym. W praktyce oznacza bowiem, że brak odpowiedniego nadzoru nad cyberbezpieczeństwem w organizacji może być oceniany podobnie jak brak nadzoru nad zgodnością regulacyjną właściwą dla danej branży czy finansowo-rachunkową.

UKSC przewiduje możliwość nakładania wysokich kar administracyjnych zarówno na podmioty, jak i osoby zarządzające. Dla podmiotów kluczowych maksymalna kara może wynosić do 10 mln euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa. W przypadku podmiotów ważnych próg ten wynosi odpowiednio 7 mln euro lub 1,4% obrotu. A w szczególnych, poważnych przypadkach naruszenia kara może wynieść nawet do 100 mln zł.

Przepisy przewidują również możliwość nałożenia kar pieniężnych bezpośrednio na kierowników podmiotów kluczowych lub ważnych – do wysokości trzykrotności ich miesięcznego wynagrodzenia. W przypadku kierowników podmiotów publicznych kara może wynieść do jednokrotności ich miesięcznego wynagrodzenia. To dodatkowo pokazuje, że ustawodawca traktuje cyberbezpieczeństwo nie jako zagadnienie wyłącznie techniczne, lecz jako element osobistej odpowiedzialności zarządczej.

Jednocześnie ustawa przewiduje dwuletnie, tj. do 3.4.2028 r., moratorium na nakładanie części kar administracyjnych. Nie oznacza to jednak „okresu bez obowiązków” i możliwych działań nadzorczych. Wręcz przeciwnie – okres przejściowy powinien zostać wykorzystany na rzeczywiste przygotowanie organizacji do nowych wymogów, a nie jedynie formalne odłożenie wdrożenia w czasie.

Governance zamiast „projektu IT”

Największym błędem przy wdrażaniu nowych wymagań wynikających ze znowelizowanej UKSC może być traktowanie nowych obowiązków jako wyłącznie technicznego projektu realizowanego przez dział IT.

Jednym z kluczowych obowiązków wynikających ze znowelizowanego UKSC, który musi być zrealizowany do 3.4.2027 r., jest wdrożenie odpowiedniego systemu zarządzania bezpieczeństwem informacji (SZBI). Wdrożenie SZBI to znacznie więcej niż przygotowanie dokumentacji, czy aktualizacja polityk bezpieczeństwa. W ramach tego obowiązku organizacje zobowiązane są do wdrożenia szeregu procesów organizacyjnych, technicznych i operacyjnych, które mają zapewnić realne zarządzanie ryzykiem cyberbezpieczeństwa. Wymagania te składają się na swoisty „dekalog” środków zarządzania ryzykiem w cyberbezpieczeństwie, który obejmuje przygotowanie:

(1) polityk analizy ryzyka i bezpieczeństwa systemów informacyjnych,

(2) procedur obsługi incydentów oraz

(3) mechanizmów zapewniających ciągłość działania i odzyskiwanie sprawności po incydencie.

Nowe regulacje wymagają także wdrożenia zasad:

(4) dbałości o bezpieczeństwo łańcucha dostaw produktów, usług i procesów ICT wykorzystywanych przez organizację, oraz

(5) bezpieczeństwa przy nabywaniu, rozwoju i utrzymaniu sieci oraz systemów informatycznych.

W praktyce oznacza to konieczność uwzględniania wymagań cyberbezpieczeństwa już na etapie projektowania i zakupu rozwiązań technologicznych, a nie dopiero po ich wdrożeniu.

Istotnym obowiązkiem jest również (6) stworzenie polityk i procedur służących ocenie skuteczności wdrożonych środków zarządzania ryzykiem. Organizacje będą musiały regularnie weryfikować, czy przyjęte rozwiązania rzeczywiście odpowiadają aktualnym zagrożeniom i profilowi działalności podmiotu.

Regulacje mocno akcentują także znaczenie (7) praktyk cyberhigieny i szkoleń z zakresu cyberbezpieczeństwa. Konieczne staje się budowanie świadomości pracowników i ograniczanie ryzyk wynikających z błędów ludzkich, które nadal pozostają jedną z głównych przyczyn incydentów bezpieczeństwa.

Konieczne będzie również wdrożenie odpowiednich polityk i procedur dotyczących:

(8) stosowania kryptografii i szyfrowania,

(9) bezpieczeństwa zasobów ludzkich, kontroli dostępu oraz zarządzania aktywami informacyjnymi,

a także w określonych przypadkach (10) wdrożenia mechanizmów uwierzytelniania wieloskładnikowego lub innych metod ciągłego uwierzytelniania użytkowników.

Oprócz wdrożenia SZBI obowiązki wynikające z UKSC obejmują także:

• weryfikację personelu realizującego zadania z zakresu cyberbezpieczeństwa i zgłaszania incydentów,
• wyznaczenie osób kontaktowych odpowiedzialnych za komunikację z właściwymi organami,
• korzystanie z systemu S46 oraz realizację obowiązków raportowych związanych ze zgłaszaniem incydentów,
• przeprowadzanie audytów.

Istotnym elementem nowych obowiązków stanie się również zapewnienie użytkownikom usług dostępu do wiedzy z zakresu cyberbezpieczeństwa oraz stworzenie możliwości zgłaszania cyberzagrożeń, incydentów lub podatności związanych ze świadczonymi usługami.

Tym samym, nowe regulacje UKSC wymagają stworzenia modelu zarządzania cyberbezpieczeństwem, obejmującego całą organizację. W modelu tym zarząd powinien odpowiadać za nadzór strategiczny i decyzje dotyczące ryzyka. Działy IT oraz cyberbezpieczeństwa odpowiadają za wdrożenie środków technicznych i organizacyjnych. HR musi uwzględnić kwestie szkoleń, świadomości pracowników oraz – coraz częściej – wymagań kompetencyjnych przy rekrutacji. Działy zakupów muszą wdrożyć mechanizmy oceny dostawców i bezpieczeństwa łańcucha dostaw. Prawnicy natomiast stają się łącznikiem pomiędzy regulacją, kontraktami, odpowiedzialnością zarządczą i praktyką biznesową.

Łańcuch dostaw pod szczególnym nadzorem

Szczególne znaczenie w nowych regulacjach zyskuje obszar bezpieczeństwa łańcucha dostaw, który jednocześnie może okazać się jednym z najbardziej wymagających organizacyjnie.

UKSC, idąc za wymaganiami z dyrektywy NIS2, nakłada obowiązek uwzględniania ryzyk związanych z dostawcami, przy czym polskie przepisy koncentrują się w szczególności na produktach, usługach i procesach ICT. Oznacza to konieczność znacznie głębszej analizy relacji z dostawcami technologii, systemów, usług chmurowych czy outsourcingu IT.

W praktyce wiele organizacji już teraz powinno przeprowadzić przegląd istniejących umów, które pozostaną aktywne po 3.4.2027 r. Niezbędne może okazać się uzupełnienie kontraktów o odpowiednie wymagania bezpieczeństwa, obowiązki raportowe, audytowe czy dotyczące zarządzania incydentami.

Wyzwaniem może być również stworzenie odpowiednich procedur zakupowych dla produktów, usług i procesów ICT uwzględniających kwestie cyberbezpieczeństwa. W wielu organizacjach będzie to wymagało całkowitej zmiany podejścia do procesów zakupowych w segmencie ICT – z modelu opartego głównie na efektywności kosztowej na model uwzględniający również odporność cyfrową organizacji.

Sama regulacja to dopiero początek

Dyrektywa NIS2 i nowelizacja UKSC niewątpliwie zwiększają obowiązki regulacyjne przedsiębiorców. Jednak sprowadzenie całej dyskusji dotyczącej cyberbezpieczeństwa wyłącznie do nowych wymogów ustawowych byłoby nadmiernym uproszczeniem.

Skala współczesnych cyberzagrożeń powoduje, że cyberbezpieczeństwo staje się jednym z podstawowych elementów odporności organizacji. Dotyczy to zarówno dużych grup kapitałowych, jak i podmiotów średniej wielkości, które jeszcze do niedawna nie postrzegały siebie jako potencjalnego celu ataków.

Warto zatem, aby nowe regulacje i płynące z nich wymagania organizacje traktowały jako sygnał, że bezpieczeństwo cyfrowe stało się integralnym elementem zarządzania przedsiębiorstwem. Organizacje, które potraktują ten proces wyłącznie formalnie, mogą w przyszłości zapłacić znacznie wyższą cenę niż kara administracyjna.

Agnieszka Wachowska – radczyni prawna z kilkunastoletnim doświadczeniem w obsłudze projektów IT. W kancelarii Traple Konarski Podrecki i Wspólnicy uczestniczy w pracach praktyki TMT, kierując zespołem prawa IT, Nowych Technologii i Zamówień Publicznych.

Ekspertka Polskiej Izby Informatyki i Telekomunikacji (PIIT) w obszarze prawa ICT. Zaangażowana w prace grup roboczych, działających przy Prezesie Urzędu Zamówień Publicznych. Brała udział (jako przedstawiciel PIIT) w opracowaniu nowych rekomendacji dotyczących zamówień publicznych na systemy informatyczne. Członek-założyciel Stowarzyszenia Prawa Nowych Technologii, zrzeszającego prawników specjalizujących się w obszarze TMT. W latach 2023-2024 przewodnicząca Komisji ds. LegalTech, działającej przy Okręgowej Izbie Radców Prawnych w Warszawie. Członkini międzynarodowego stowarzyszenia ITech Law.

W 2024 r. laureatka listy Forbes Women „25 Prawniczek w Biznesie”. Wyróżniona indywidualnie w prestiżowych rankingach prawniczych w dziedzinie TMT: Chambers and Partners (Band 2) oraz Legal 500 (Hall of Fame). 

NSA: władający nieruchomością odpowiada za usunięcie odpadów

Na sądową wokandę trafiła sprawa dotycząca gospodarki odpadami. W 2022 r., Prezydent jednego z miast na podstawie art. 26 ust. 1-2 i 6 oraz art. 3 ust. 1 pkt 19 OdpadyU, nakazał syndykowi masy upadłości spółki usunięcie odpadów zgromadzonych w hali produkcyjnej na określonej działce, wskazując zarówno ich rodzaje, jak i termin wykonania obowiązku. Decyzja ta była efektem wcześniejszych ustaleń, w których organ I instancji szczegółowo przeanalizował stan faktyczny – miejsce składowania odpadów, ich charakter oraz podmiot uznany za posiadacza. W tym zakresie korzystano m.in. z opinii biegłych uzyskanych w toku postępowania karnego. Sęk w tym, że syndyk kwestionował przypisanie mu statusu posiadacza odpadów, wskazując, że odpady zostały porzucone przez osoby trzecie.

Po wniesieniu odwołania sprawa trafiła do Samorządowego Kolegium Odwoławczego, które utrzymało rozstrzygnięcie w mocy. Kolegium podkreśliło, że kluczowe znaczenie ma konstrukcja ustawowa „posiadacza odpadów” z art. 3 ust. 1 pkt 19 OdpadyU. Przepis ten wprowadza domniemanie prawne, zgodnie z którym władający powierzchnią ziemi jest uznawany za posiadacza odpadów znajdujących się na nieruchomości. W praktyce oznacza to przeniesienie ciężaru dowodu na podmiot władający gruntem – to on musi wykazać, że faktycznym posiadaczem jest ktoś inny.

Syndyk próbował obalić to domniemanie, wskazując konkretne osoby (w tym przedsiębiorcę prowadzącego działalność gospodarczą), które miały porzucić odpady, a także powołując się na toczące się postępowanie karne. Argumentacja ta nie przekonała jednak organu odwoławczego. Kolegium wyraźnie rozróżniło odpowiedzialność administracyjną od karnej – ta pierwsza ma charakter obiektywny i służy szybkiemu usunięciu zagrożenia środowiskowego, niezależnie od ustalenia winy sprawcy. Samo wskazanie potencjalnych sprawców nie jest wystarczające, konieczne jest wykazanie w sposób jednoznaczny, że to oni faktycznie władają odpadami.

Skarga do WSA

W skardze do WSA syndyk argumentował, że odpowiedzialność powinna w takich przypadkach spoczywać wyłącznie na wytwórcach odpadów. Dodatkowo powoływał się na przepisy Kodeksu cywilnego dotyczące posiadania (m.in. art. 336 i nast. KC) w celu wykazania braku faktycznego władztwa nad odpadami. Sąd administracyjny, analizując sprawę, przyjął perspektywę systemową. Wskazał, że podstawowym celem regulacji zawartej w art. 26 OdpadyU jest zapewnienie szybkiego usunięcia odpadów z miejsc do tego nieprzeznaczonych. Mechanizm domniemania z art. 3 ust. 1 pkt 19 OdpadyU ma charakter funkcjonalny – umożliwia skuteczne działanie organów bez konieczności prowadzenia długotrwałych ustaleń co do sprawcy. W konsekwencji odpowiedzialność posiadacza ma charakter quasi-obiektywny i opiera się na samym fakcie zalegania odpadów na nieruchomości.

WSA w Gliwicach stwierdził jednak, że syndyk nie wykazał, aby konkretny podmiot rzeczywiście władał odpadami – umowa najmu obejmowała jedynie część hali, a ponadto nie wynikało z niej, że najemca składował tam sporne odpady. Zdaniem Sądu brak było podstaw do uzależniania działań administracyjnych od wyników postępowania karnego. Odpowiedzialność administracyjna ma charakter prewencyjny i naprawczy, a jej celem jest eliminacja zagrożenia dla środowiska i zdrowia ludzi, a nie ustalenie winy sprawcy. Ważnym elementem rozstrzygnięcia było także odrzucenie argumentów dotyczących niewykonalności decyzji z przyczyn finansowych. Sąd podtrzymał utrwalone stanowisko, że względy ekonomiczne nie wpływają na obowiązek wykonania decyzji administracyjnej nakazującej usunięcie odpadów. Ostatecznie WSA opowiedział się po stronie organów niższej instancji, a syndyk wniósł o kasację.

NSA oddalił skargę

Naczelny Sąd Administracyjny w wyroku z 3.3.2026 r., III OSK 957/23, Legalis oddalił skargę. Sąd przywołał art. 336 KC, który definiuje posiadacza zarówno jako podmiot władający rzeczą jak właściciel (posiadacz samoistny), jak i jako podmiot władający nią na podstawie określonego prawa – np. użytkownik czy najemca (posiadacz zależny). NSA podkreślił, że definicja ta ma charakter szeroki i obejmuje każdy przypadek faktycznego władztwa nad rzeczą, niezależnie od tytułu prawnego. Na tym tle sąd dokonał istotnego doprecyzowania – dla potrzeb stosowania przepisów OdpadyU znaczenie ma nie tyle cywilistyczne „posiadanie” rozumiane jako świadome i trwałe władztwo, ale także fakt obiektywnego władania nieruchomością, na której znajdują się odpady. Oznacza to, że argumentacja odwołująca się do braku zamiaru objęcia odpadów w posiadanie – typowa dla prawa cywilnego – nie może prowadzić do zwolnienia z obowiązków publicznoprawnych. Istotnym elementem rozstrzygnięcia było również doprecyzowanie relacji między kategorią „posiadacza odpadów” a „wytwórcą odpadów”, zdefiniowanym w art. 3 ust. 1 pkt 32 OdpadyU.

NSA wskazał, że ewentualne przypisanie komuś statusu wytwórcy mogłoby mieć znaczenie tylko wtedy, gdyby zostało wykazane w sposób konkretny i jednoznaczny. Nie wystarcza ogólne twierdzenie, że odpady zostały zdeponowane przez określone osoby – konieczne jest ustalenie, czy były one wytwórcami w rozumieniu ustawowym oraz czy faktycznie odpowiadają za ich powstanie. NSA odniósł się również do zarzutu pominięcia art. 27 OdpadyU, regulującego zasady przekazywania odpadów i przechodzenia odpowiedzialności. Podkreślił, że przepisy te dotyczą sytuacji legalnego obrotu odpadami i nie mają zastosowania w przypadku ich nielegalnego składowania. W konsekwencji nie mogą stanowić podstawy do zwolnienia z obowiązku wynikającego z art. 26 OdpadyU.

Podobnie oceniono powołanie się na art. 26a OdpadyU, który przewiduje szczególny tryb interwencyjny w sytuacjach zagrożenia dla życia, zdrowia lub środowiska. NSA wskazał, że jest to odrębny mechanizm, niekonkurujący z podstawowym obowiązkiem usunięcia odpadów. Co więcej, nawet jego zastosowanie nie eliminowałoby odpowiedzialności finansowej podmiotu uznanego za posiadacza odpadów, gdyż organ może dochodzić zwrotu kosztów działań. Na marginesie sąd zaznaczył także znaczenie art. 26 ust. 3b OdpadyU, który umożliwia w przyszłości objęcie obowiązkiem także innych podmiotów odpowiedzialnych za odpady. Oznacza to, że aktualne przypisanie obowiązku jednemu podmiotowi nie zamyka drogi do późniejszego rozszerzenia odpowiedzialności, jeśli pojawią się nowe ustalenia – np. w wyniku zakończenia innych postępowań.

Wyrok NSA z 3.3.2026 r., III OSK 957/23, Legalis

Roczne rozliczenie składki. Na ryczałcie znowu są dopłaty

20 maja to ostatni dzień na rozliczenie firmowej składki zdrowotnej za 2025 r. Ten obowiązek mają przedsiębiorcy na skali, liniowym PIT oraz ryczałcie. Muszą policzyć składkę za cały rok i porównać z tym, co wychodziło za poszczególne miesiące. Niektórych spotyka niemiła niespodzianka.

– W listopadzie przekroczyłem 60 tys. zł przychodu, składka wzrosła mi o ponad 300 zł i okazuje się, że ta wyższa obowiązuje za cały rok i muszę dopłacić ponad 3 tys. zł – opowiada zbulwersowany czytelnik, który jest opodatkowany ryczałtem.

– Chociaż ryczałtowcy nie muszą już na potrzeby liczenia składki zdrowotnej wykazywać przychodu ze sprzedaży środków trwałych, nadal często w podsumowaniu rocznym wychodzą im dopłaty. Taki mają bowiem system rozliczenia – mówi Grzegorz Grochowina, szef zespołu zarządzania wiedzą w KPMG w Polsce.

Składka zdrowotna na ryczałcie

Przypomnijmy, że ryczałtowcy są podzieleni na trzy grupy, w zależności od wysokości przychodów (pomniejszonych o składki na ubezpieczenia społeczne). Pierwsza do 60 tys. zł przychodu rocznie, druga pomiędzy 60 a 300 tys. zł, trzecia powyżej 300 tys. zł. W każdej składka zdrowotna jest inna. Jeśli na początku roku przedsiębiorca znajduje się w pierwszej grupie, płaci mniej. Za miesiąc, w którym przekroczy próg przychodu (i za następne) składka jest wyższa. I obowiązuje za cały rok. Dlatego w rozliczeniu rocznym trzeba dopłacić różnicę.

– Z przedsiębiorców, którzy płacą składkę według tej metody, największą dopłatę mają ci, którzy byli w pierwszej grupie, a w grudniu uzyskali bardzo duży przychód, np. zrealizowali wysoki kontrakt, i przeszli do trzeciej – tłumaczy Izabela Leśniewska, doradca podatkowy w kancelarii Alo-2.

Ryczałtowcy mają też drugą możliwość – opłacanie składek zdrowotnych na podstawie przychodu z poprzedniego roku. Wtedy odprowadzają je w stałej wysokości przez cały rok. Ale także muszą dopłacać, jeśli przychody z 2025 r. były wyższe niż z 2024 r. i przekroczyły progi.

Środki trwałe na ryczałcie

Od 2025 r. sprzedaż środków trwałych nie wpływa już na przychody ryczałtowców, od których zależy wysokość składki zdrowotnej. Nie uwzględniają jej w kalkulacji.

– Ryczałtowcy nie płacą już wyższej składki z powodu sprzedaży środków trwałych, tak jak to było w rozliczeniach za lata 2022-2024. Co nie zmienia faktu, że i tak ciągle wychodzą im dopłaty, gdy przekroczą progi przychodów ze sprzedaży towarów czy świadczenia usług – podkreśla Izabela Leśniewska.

Czy ryczałtowiec może mieć zwrot? – Tak, jeśli płacił składki według drugiej metody i okazało się, że w 2025 r. miał mniejsze przychody niż w 2024 r. i znalazł się w niższej grupie – mówi Grzegorz Grochowina.

Rozliczenie roczne na skali i liniowym PIT

A jak wygląda rozliczenie u przedsiębiorców na skali i liniówce? Oni liczą składkę zdrowotną od dochodu (u pierwszych wynosi 9 proc., u drugich 4,9 proc.). Roczną kwotę muszą porównać z sumą miesięcznych. Chodzi o składki należne za okres luty 2025 r. – styczeń 2026 r. Czyli liczone od dochodu za okres styczeń 2025 r. – grudzień 2025 r. Przedsiębiorcy na skali oraz liniowym PIT liczą bowiem składkę zdrowotną z przesunięciem (od dochodu za poprzedni miesiąc). Jeśli roczna składka jest większa od sumy miesięcznych, musimy dopłacić różnicę (ostatni dzień to 20 maja). Jeśli mniejsza, dostaniemy zwrot. – Ponieważ przedsiębiorcy na skali oraz liniowym PIT odprowadzają miesięczne składki na podstawie bieżącego dochodu, ich suma powinna się, co do zasady, pokrywać ze składką roczną – mówi Izabela Leśniewska. Oczywiście muszą pamiętać o minimalnych podstawach wymiaru.

– Nadpłata może wyjść np. temu, kto miał w jednym miesiącu stratę. Za ten miesiąc i tak bowiem płacił składkę minimalną – wskazuje Grzegorz Grochowina.

Środki trwałe na skali i liniowym PIT

– Nadpłatę do zwrotu mają też ci, którym opłacało się w rozliczeniu rocznym uwzględnić sprzedaż środków trwałych – dodaje Izabela Leśniewska.

Przypomnijmy, że przedsiębiorcy na skali i liniowym PIT mają po raz pierwszy możliwość wyboru sposobu rozliczenia środków trwałych (oraz innych składników majątku, m.in. wyposażenia czy poleasingowych samochodów). Nie muszą uwzględniać ich sprzedaży przy obliczaniu rocznej podstawy wymiaru składki zdrowotnej (czyli dochodu). Ale mogą to zrobić, tym bardziej, że wbrew obiegowym opiniom, często na tym zyskują. Dokładnie opisaliśmy to (podając kilka przykładów) w „Rzeczpospolitej” z 7 maja.

Po naszej publikacji czytelnicy dopytywali, jak przy obliczaniu dochodu potraktować środki trwałe amortyzowane jeszcze przed 2022 r. (czyli przed wejściem Polskiego Ładu). Szczegółowo opisywaliśmy to, powołując się na odpowiedzi Ministerstwa Zdrowia oraz Ministerstwa Finansów, w „Rzeczpospolitej” z 17 grudnia 2024 r. – Konkluzja jest taka, że dochodu ze sprzedaży środka trwałego będącego podstawą wymiaru składki zdrowotnej nie trzeba powiększać o odpisy amortyzacyjne zaliczane do kosztów przed 2022 r. – mówi Izabela Leśniewska.

Takiego wyboru, jak przedsiębiorcy na skali i liniowym PIT, nie mają w rozliczeniu rocznym ryczałtowcy (bo uwzględnienie sprzedaży środków trwałych przy obliczaniu składki nigdy nie będzie dla nich korzystne).

O szczegółach technicznych rozliczenia składki za 2025 r. pisaliśmy m.in. 5 maja na rp.pl.

Sąd komplikuje wycenę wad budowy

Odszkodowanie za szkodę wynikającą z nienależytego wykonania umowy o roboty budowlane nie może być ustalane wyłącznie jako równowartość przewidywanych kosztów usunięcia wad. Tym bardziej, gdy naprawy nie zostały jeszcze przeprowadzone. Odszkodowanie nie może zaś prowadzić ani do wzbogacenia poszkodowanego, ani do nadmiernego obciążenia wykonawcy. To sedno uchwały poszerzonego, siedmioosobowego składu Izby Cywilnej Sądu Najwyższego.

Jak ustalić wartość szkody?

Z pytaniem prawnym do SN zwrócił się Sąd Apelacyjny w Szczecinie, rozpoznający apelację pozwanej spółki budowlanej. Sąd okręgowy zasądził od niej – zgodnie z żądaniem inwestora – około 110 tys. zł odszkodowania za wadliwe wykonanie robót izolacyjnych ścian i podwalin budowanego obiektu. Powództwo zostało wniesione kilka lat po zakończeniu prac.

Pozwana spółka kwestionowała sposób ustalenia wartości szkody. Argumentowała, że szkoda oznacza zmianę w majątku poszkodowanego – zwiększenie pasywów albo zmniejszenie aktywów – natomiast samo wskazanie przewidywanych kosztów usunięcia wad, jeszcze nieponiesionych, nie stanowi dowodu jej istnienia. Podnosiła również, że powódka nie wykazała ani zwiększonych kosztów utrzymania budynku, ani wydatków na naprawę usterek.

Sąd Apelacyjny powziął wątpliwości, według jakich reguł należy ustalać wartość szkody. Wskazał, że w orzecznictwie i doktrynie funkcjonują dwie metody.

Pierwsza, tradycyjna, polega na porównaniu wartości danego składnika majątku przed zdarzeniem wywołującym szkodę i po nim.

Druga – tzw. metoda kosztorysowa – opiera się na ustaleniu przewidywanych kosztów naprawy rzeczy, czyli doprowadzenia jej do stanu zgodnego z umową, mimo że wydatki te nie zostały jeszcze poniesione. Rozwiązanie to jest często stosowane m.in. przy ustalaniu odszkodowań z OC komunikacyjnego.

Problem o dużej wadze

Trzyosobowy skład SN uznał, że znaczenie zagadnienia uzasadnia skierowanie pytania do składu siedmiu sędziów. Brzmiało ono:

– Czy odszkodowanie za szkodę, będącą skutkiem nienależytego wykonania umowy o roboty budowlane może być ustalone (w świetle art. 471 kodeksu cywilnego w zw. z art. 363 KC i z art. 361 § 2 KC) jako równowartość nieponiesionych przez wierzyciela kosztów czynności celowych dla usunięcia wad świadczenia wykonawcy, lecz niewykonanych w dacie zamknięcia rozprawy?

W uzasadnieniu pytania sędziowie wskazali, że choć wartość uszkodzenia zwykle odpowiada kosztom naprawy, nie zawsze możliwe jest przywrócenie stanu sprzed szkody albo byłoby to ekonomicznie nieuzasadnione. Nawet gdy naprawa jest możliwa, poszkodowany nie musi być zainteresowany jej wykonaniem.

Siedmioosobowy skład SN nie opowiedział się za metodą kosztorysową. Jak wyjaśnił w uzasadnieniu uchwały sędzia Adam Doliwa, punktem odniesienia powinno być porównanie majątku poszkodowanego przed powstaniem szkody i po jej wystąpieniu.

Zdaniem SN metoda kosztorysowa niesie ryzyko wzbogacenia poszkodowanego na podstawie nieprecyzyjnych szacunków dotyczących napraw, które być może nigdy nie zostaną wykonane. Tym bardziej, że same wady nie zawsze automatycznie obniżają wartość rzeczy.

Sygnatura akt: III CZP 25/25

Czego naprawdę potrzebuje polski rynek kryptowalut?

Od lat wielokrotnie wskazywałem publicznie, że brak spójnej i przewidywalnej strategii regulacyjnej wobec rynku kryptowalut wcześniej czy później doprowadzi do kryzysu zaufania oraz ujawni ograniczoną skuteczność obecnego modelu nadzoru. Afera wokół Zondacrypto potwierdziła te obawy. Pokazała nie tylko ryzyko związane z samym rynkiem kryptowalut, lecz także słabość polskiego modelu regulacyjnego, w którym przez lata państwo dysponowało ograniczonymi instrumentami kontroli, a wraz ze wzrostem skali rynku zabrakło konsekwentnej strategii nadzorczej.

Problemy z wypłatami środków, pytania o rezerwy i bezpieczeństwo aktywów klientów oraz śledztwo prokuratury sprawiły, że sprawa Zondacrypto stała się największym kryzysem reputacyjnym polskiego rynku kryptowalut.

Jednocześnie pokazała coś znacznie ważniejszego: państwo polskie przez lata próbowało traktować rynek kryptowalut jak marginalny eksperyment technologiczny, a nie sektor, przez który przepływają miliardy złotych i środki setek tysięcy użytkowników.

Dziś pytanie nie brzmi już, czy nadzorować rynek kryptowalut, lecz jak zrobić to skutecznie, nie niszcząc legalnego rynku oraz nie wypychając firm za granicę. Nie ma również realnej przestrzeni do całkowitego zakazu obrotu kryptowalutami (jak wynikało z treści jednego z głosowanych przez Sejm projektów ustawy) – zarówno z uwagi na obowiązujące regulacje unijne, jak i transgraniczny charakter samego rynku.

Stan obecny: trzy modele w jednym rynku

Po wejściu w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/1114 z 31.5.2023 r. w sprawie rynków kryptoaktywów oraz zmiany rozporządzeń (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektyw 2013/36/UE i (UE) 2019/1937 (Dz.Urz. UE L z 2023 r. Nr 150, s. 40; dalej: MiCA) możliwość legalnego oferowania usług związanych z kryptoaktywami zależy od modelu działalności i statusu regulacyjnego podmiotu. Sytuację komplikuje jednak fakt, że Polska nadal pozostaje opóźniona we wdrożeniu pełnego modelu licencjonowania CASP (Crypto Assets Service Provider, czyli Dostawca Usług w Zakresie Kryptoaktywów) pod nadzorem KNF-u. W efekcie rynek funkcjonuje dziś równolegle w trzech odmiennych realiach:

Ten fragmentaryczny stan jest sam w sobie źródłem ryzyka – zarówno dla klientów, jak i dla wiarygodności całego sektora.

Dwa skrajne podejścia

Przez lata relacja państwa z rynkiem kryptowalut była oparta na dwóch skrajnościach. Z jednej strony, dominowała daleko posunięta ostrożność KNF, połączona z regulacyjnym paraliżem i chroniczną nieufnością wobec sektora krypto. Znajdowało to wyraz również w projektowanych rozwiązaniach legislacyjnych, których poziom restrykcyjności budził uzasadnione obawy rynku co do realnej możliwości spełnienia proponowanych wymogów regulacyjnych. Z drugiej strony, część rynku funkcjonowała w przekonaniu, że kryptowaluty powinny pozostawać poza klasycznym nadzorem finansowym i rozwijać się według zasad właściwych bardziej dla sektora technologicznego niż rynku usług finansowych.

Efekt był przewidywalny. Wiele podmiotów zaczęło przenosić działalność do innych jurysdykcji UE, przede wszystkim do Estonii, na Litwę czy na Cypr, gdzie warunki regulacyjne były bardziej przewidywalne. Pozwalało to następnie na świadczenie usług również na rynku polskim. Państwo polskie zachowało formalny dystans regulacyjny, jednocześnie ograniczając własny wpływ na rynek działający i tak głównie na rzecz polskich klientów.

Przypadek Zondacrypto pokazał konsekwencje tego modelu. Gdy pojawiły się pytania o płynność i bezpieczeństwo środków klientów, okazało się, że możliwości oddziaływania krajowego nadzoru są ograniczone.

KNF potrzebuje większych kompetencji, ale nie modelu represyjnego

Naturalną reakcją po kryzysie jest postulat „silniejszego nadzoru”. Problem polega na tym, że bardzo łatwo zamienić skuteczną regulację w administracyjne wypychanie rynku z Polski. Dlatego tak wiele firm formalnie działa poza Polską, mimo że obsługuje polskich klientów.

Rynek kryptowalut jest wyjątkowo mobilny. Giełda czy operator portfela mogą przenieść działalność do innego państwa UE znacznie szybciej niż klasyczny bank lub dom maklerski. Nadmiernie restrykcyjne podejście nie zatrzyma rynku – przeniesie go jedynie poza polską jurysdykcję.

Dlatego celem nie powinno być dokładanie zakazów, lecz stworzenie nadzoru, który daje państwu widoczność rynku.

Jakich instrumentów potrzebuje KNF?

Po pierwsze, KNF powinien mieć możliwość bieżącego monitorowania płynności i rezerw dużych podmiotów kryptowalutowych działających wobec polskich klientów. Nie chodzi o codzienną ingerencję operacyjną, a o obowiązek raportowania struktury aktywów i poziomu ryzyka.

Po drugie, konieczne są kompetencje do przeprowadzania kontroli oraz żądania dokumentów dotyczących przechowywania aktywów klientów. Kryzys Zondacrypto pokazał, że użytkownicy często nie wiedzą nawet, w jakim modelu przechowywane są ich środki.

Po trzecie, regulator powinien mieć możliwość wydawania publicznych ostrzeżeń opartych na konkretnych przesłankach dotyczących płynności lub bezpieczeństwa organizacyjnego platformy.

Po czwarte, potrzebny jest obowiązek wyraźnego rozdzielenia aktywów klientów od aktywów własnych giełdy lub operatora. To standard oczywisty w tradycyjnych finansach, ale nadal niewystarczająco transparentny w części rynku krypto.

Po piąte, KNF powinien mieć możliwość czasowego ograniczenia działalności platformy wobec nowych klientów w sytuacjach wysokiego ryzyka, ale wyłącznie na podstawie ustawowych i kontrolowalnych przesłanek.

Czego KNF robić nie powinien

Największym błędem byłoby traktowanie rynku kryptowalut jak patologii, którą należy administracyjnie zdusić. Polska pozostaje jednym z największych rynków usług związanych z kryptoaktywami w Europie Środkowo-Wschodniej – pod względem liczby użytkowników i skali obrotu. Dotyczy to nie tylko giełd i kantorów kryptowalutowych, lecz także podmiotów świadczących usługi custody, transferowe i brokerskie oraz operatorów infrastruktury płatniczej. Nadmiernie restrykcyjne podejście regulacyjne nie wyeliminuje więc rynku, lecz doprowadzi do dalszego przenoszenia działalności do innych jurysdykcji UE, przy jednoczesnej kontynuacji świadczenia usług na rzecz polskich klientów.

KNF nie powinien próbować blokować dostępu do rynku detalicznego tylko dlatego, że aktywa są ryzykowne. Ryzyko inwestycyjne nie może być podstawą zakazu działalności. W przeciwnym razie należałoby zamknąć również część rynku forex czy kontraktów CFD.

Niebezpieczne byłoby także tworzenie wymogów kapitałowych oderwanych od realiów rynku. Zbyt wysokie bariery wejścia doprowadzą wyłącznie do dominacji zagranicznych podmiotów oraz rozwoju szarej strefy.

Równie problematyczny byłby model, w którym każda innowacja technologiczna wymagałaby uprzedniej zgody regulatora. Rynek krypto rozwija się szybciej niż klasyczne procesy administracyjne. Nadmierna reglamentacja oznaczałaby praktycznie koniec krajowych projektów technologicznych.

MiCA nie rozwiąże wszystkiego

Unijne rozporządzenie MiCA porządkuje część rynku i wprowadza licencjonowanie dostawców usług kryptoaktywów. Problem polega na tym, że nadzór będzie wykonywany głównie przez państwo macierzyste podmiotu.

To oznacza, że polski nadzór nadal może mieć ograniczony wpływ na duże platformy działające formalnie z innych jurysdykcji UE.

Dlatego kluczowe jest stworzenie takich warunków regulacyjnych, aby największe podmioty chciały utrzymywać rzeczywistą obecność w Polsce, a nie jedynie obsługiwać polskich klientów z zagranicy.

Największy problem: iluzja bezpieczeństwa

Afera Zondacrypto pokazała również, że wielu klientów rynku kryptowalut błędnie postrzega tego typu usługi jako zbliżone do bankowości, mimo braku gwarancji depozytów i ochrony analogicznej do systemu bankowego.Rola państwa polega więc nie na blokowaniu technologii, lecz na wymuszaniu transparentności.

Polski rynek kryptowalut nie potrzebuje konfliktu państwa z technologią. Potrzebuje regulacji, które skutecznie chronią klientów, ale jednocześnie nie wypychają całego sektora poza granice kraju. Nie jest to wybór między nadzorem a chaosem. To wybór między regulacją rozsądną i nowoczesną a regulacją, która pozostawi rynek poza polską jurysdykcją.

Krzysztof Rożko – radca prawny, Wspólnik Zarządzający w Kancelarii Prawnej Krzysztof Rożko i Wspólnicy. Regularnie wyróżniany w krajowych i międzynarodowych rankingach prawniczych, tworzonych na podstawie analiz rynku, rekomendacji klientów i ocen uczestników sektora finansowego. Doceniany w szczególności w obszarze rynków kapitałowych, funduszy inwestycyjnych i doradztwa regulacyjnego.

Stowarzyszenie wpisane do rejestru przedsiębiorców nie zawsze prowadzi działalność gospodarczą

Komentarz

Czy będzie trzecie weto?

To już trzecie podejście do regulacji rynku kryptoaktywów. Zgodnie z unijnym rozporządzeniem MiCA (Markets in Crypto-Assets) Polska musi wdrożyć narzędzia w zakresie nadzoru nad rynkiem i ochrony inwestorów. Organem nadzorczym, zgodnie z przyjętą ustawą, została Komisja Nadzoru Finansowego. Jednak pomiędzy rządem a Pałacem Prezydenckim nie ma zgody co do zakresu tego nadzoru.

Chodzi m.in. o kwestię blokowania określonych transakcji w przypadku podejrzenia manipulacji na rynku. Zgodnie z uchwaloną ustawą czas blokady nie może być dłuższy niż sześć miesięcy. Prezydent chciał skrócić ten okres do trzech miesięcy oraz wprowadzić sądową kontrolę zastosowanego środka. Jednak zdaniem KNF w przypadku powzięcia wątpliwości nadzorca musi dokonać analizy, czy podejrzenie manipulacji jest zasadne, co wymaga m.in. ściągnięcia danych z rynku. A to może być niewykonalne w trzy miesiące. Rząd odrzucił też pomysł sądowej kontroli ex ante jako niezasadny, bo taka kontrola w istocie niewiele by dawała. Sądy administracyjne co do zasady badają tylko legalność podjęcia decyzji, a nie autoryzują środków nadzorczych zastosowanych przez KNF.

Uwagi prezydenta

Prezydent proponował także rozwiązanie pośrednie, poprzedzające blokadę domeny internetowej podmiotu działającego na rynku kryptoaktywów. Zakładało ono zobowiązanie takiego podmiotu do opublikowania informacji o wpisaniu go na listę ostrzeżeń KNF, a także obniżenie rocznej opłaty na pokrycie kosztów nadzoru dla dostawców usług związanych z kryptoaktywami. Zgodnie z przyjętą ustawą ma ona wynieść maksymalnie 0,4 proc. średniej wartości przychodów z trzech poprzednich lat (nie mniej niż 500 euro), podczas gdy prezydent proponował opłatę na poziomie 0,1 proc., nie więcej niż 15 tys. euro rocznie.

Jednak, jak zauważa mec. Patryk Skalski, część uwag prezydenta do proponowanych zmian legislacyjnych zasługiwała na uwzględnienie.

– Propozycje w zakresie wprowadzenia odpowiedzialności Skarbu Państwa za szkody wyrządzone blokadą rachunku wykonaną z naruszeniem prawa to prawidłowy kierunek proponowanych rozwiązań ustawowych. Jeśli zajęcie okazałoby się bezpodstawne, co powodowałoby ujemne następstwa w sferze majątkowej posiadacza rachunku, to należałoby umożliwić wdrożenie procedur kompensacyjnych – zauważa adwokat.

Niemniej ustawę ocenia on pozytywnie.

– Przewiduje ona szereg trafnych rozwiązań służących wzmocnieniu mechanizmów nadzorczych na rynku tzw. kryptowalut. Prawidłowym kierunkiem zmian legislacyjnych jest modyfikacja przepisów kodeksu postępowania karnego. Pozwoli ona na zajęcie kryptoaktywów, w celu zabezpieczenia kar majątkowych, środków karnych o charakterze majątkowym, środków kompensacyjnych albo roszczeń o naprawienie szkody. Dotychczas przepis art. 236b KPK umożliwiał zajęcie rachunków bankowych, które mogły równocześnie służyć jako dowód w sprawie. Uchwalone zmiany zakładają zaś rozszerzenie takiej możliwości również w odniesieniu do kryptoaktywów – zauważa mec. Skalski.

Jego zdaniem na aprobatę zasługuje również wprowadzenie szczegółowych regulacji dotyczących odpowiedzialności karnej za przestępstwa popełniane m.in. w związku z emisją tokenów powiązanych z aktywami lub tokenów będących e-pieniądzem, a także świadczeniem usług w zakresie kryptoaktywów.

Efektywna regulacja rynku

Uwzględniono natomiast poprawkę obligującą KNF do przedstawiania rocznego raportu o rynku kryptoaktywów, który ma zawierać informacje m.in. o nadużyciach wraz z analizą skuteczności działań im zapobiegającym, rodzajach i liczbie postępowań, a także kosztach nadzoru nad rynkiem i opłatach pobranych z tego tytułu.

– To ustawa, która w sposób efektywny reguluje ten rynek. Ustawa, dzięki której oszczędzających i inwestujących będzie można otoczyć takim samym poziomem ochrony, jak inwestujących na innych rynkach finansowych – zapewniał Andrzej Domański, minister finansów.

Spóźniona ustawa

Teraz decyzja należy do prezydenta. Jak jednak podkreśla mec. Jan Ziomek, specjalizujący się w rynku fintechów, dla krajowych podmiotów kwestia tego, czy prezydent Karol Nawrocki podpisze ustawę, czy po raz trzeci ją zawetuje, ma już drugorzędne znaczenie. Powodem jest znaczne opóźnienie we wdrażaniu unijnych regulacji.

– Zgodnie z rozporządzeniem MiCA po 30 czerwca podmioty obecnie działające na rynku krypto (VASP-y) będą musiały albo wstrzymać działalność, albo połączyć się z zagranicznym partnerem posiadającym licencję w innym państwie. Ze względu na skomplikowany proces licencyjny, ogromną liczbę dokumentów wymaganych do złożenia wniosku, a także czas potrzebny regulatorowi na ich analizę, praktycznie nie ma szans, by którykolwiek podmiot działający dziś na polskim rynku uzyskał krajową licencję w odpowiednim terminie. Przyjmuje się, że w innych państwach członkowskich rozpoznanie wniosku o licencję zajmuje co najmniej kilka miesięcy – zwraca uwagę mec. Jan Ziomek. Jak dodaje, mimo funkcjonowania w dyskursie publicznym różnych terminów dostosowania do wymogów rozporządzenia MiCA, czas upłynął już 30 grudnia 2024 r.

– Niestety na tym opóźnieniu legislacyjnym tracą jedynie krajowe podmioty oraz my, ich klienci – dodaje mec. Ziomek.

Etap legislacyjny: skierowano do Senatu