8 i 9 stycznia sejmowa Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii kontynuowała prace nad rządowym projektem nowelizacji ustawy o KSC. Jeden z najważniejszych punktów posiedzenia dotyczył czasu na dostosowanie się firm do nowych obowiązków wynikających z nowelizacji KSC, powiązanej z implementacją unijnej dyrektywy NIS2. Komisja wróciła do tzw. zmiany nr 24, wcześniej zawieszonej, i właśnie tu pojawiła się poprawka, którą branża od początku przedstawiała jako warunek realności wdrożenia. Chodzi o wydłużenie terminu na wdrożenie obowiązków dla podmiotów objętych nowymi reżimami KSC: zamiast 6 ma to być 12 miesięcy. To podwojenie czasu na spełnienie wymogów organizacyjnych i technicznych, m.in. procedury zarządzania ryzykiem, polityk i środków bezpieczeństwa, gotowości do obsługi incydentów, obowiązków sprawozdawczych i audytowych, przygotowania dokumentacji, kontraktów i procesów wewnętrznych. Wiceminister Paweł Olszewski potwierdził: – Przechyliliśmy się do głosów strony rynkowej i jesteśmy oczywiście za.
W wypowiedziach przedstawicieli branży przewijał się argument, że realne podniesienie cyberodporności nie polega na szybkim odhaczaniu listy zadań, tylko na przebudowie sposobu pracy, w którym liczy się polityka bezpieczeństwa, nadzór dostawców, reagowanie na incydenty i testowanie gotowości. Dlatego kompromis: rok zamiast pół roku był w ocenie rynku zmianą, która nie rozwiązuje sporu o DWR, czyli dostawców wysokiego ryzyka, ale przynajmniej daje szansę, by resztę obowiązków wdrożyć w sposób uporządkowany, a nie pozorny.
Sedno konfliktu to DWR
Następnie CNT weszła w obszar, który od miesięcy dzieli rynek i polityków: mechanizm dostawcy wysokiego ryzyka oraz pytanie, jak szeroko ma sięgać jego zastosowanie. Najpierw odrzucono poprawkę PiS dotyczącą art. 67A ust. 6 , czyli wątek rekomendacji i odniesień do skoordynowanej oceny bezpieczeństwa w ramach NIS2. Poseł Sebastian Łukaszewicz z PiS zapowiedział, że poprawka stanie się wnioskiem mniejszości. Chwilę później komisja przeszła do art. 67b, i poprawek ograniczających zasięg działania DWR, m.in. w kierunku 5G i funkcji krytycznych. Napięcie na sali obrad wzrosło. Wiceminister Paweł Olszewski postawił sprawę jednoznacznie: – Zmian dotyczących dostawcy wysokiego ryzyka, niezależnie ile słów i nieprawdziwych argumentów padnie, rząd w tym zakresie nie przewiduje – oświadczył. Dodał, że dyskusja ma charakter bezprzedmiotowy oraz służy świadomemu przedłużaniu prac nad ustawą. Przewodniczący Bartłomiej Pejo bronił prawa komisji do rozmowy z interesariuszami: – Od rozmowy jeszcze nikt nikogo na niebezpieczeństwo nie naraził. Dyskutujemy i głosy są bardzo różne – odpowiadał. Wiceminister Olszewski przypominał, że dyskusja odbyła się wcześniej na innym posiedzeniu. Pejo ripostował, że na sali są również przedstawiciele, których wcześniej nie było, więc jego zdaniem ucięcie wypowiedzi strony społecznej nie znajduje uzasadnienia.
W ostrzejszym tonie wypowiedział się poseł Włodzimierz Skalik z Konfederacji Korony Polskiej, zarzucając rządowi próbę redukcji debaty i ostrzegając, że regulacja uderzy kosztowo w przedsiębiorców. – Ta ustawa stwarza ogromne pole do nadużyć, do korupcji, ingerując w rynek, stwarzając pole do biurokratycznych decyzji wybierających uprzywilejowanych dostawców – podnosił. Na te słowa zareagował poseł Bliźniuk, wnosząc formalnie o zakończenie dyskusji i przejście do głosowania. W tle pojawił się spór o standard debaty i polityczne odniesienia do wcześniejszych głosowań w Sejmie, po incydencie z rosyjskimi dronami. W głosowaniu wniosek formalny o zakończenie dyskusji został przyjęty, niemniej przewodniczący Pejo skomentował fakt krytycznie: – To pokazuje, że nie chcecie państwo wsłuchiwać się w głos ze strony społecznej, który jest clou tej ustawy.
Branża telekomunikacyjna o ryzyku zakazu na wszelki wypadek
– My nie sprzedajemy marchewek, tylko świadczymy dostęp do internetu. Przepisy, które miały dotyczyć korporacji międzynarodowych, czyli 5G, nagle rozszerzono na nas – mówił Karol Skupień z KIKE, reprezentujący polskich przedsiębiorców telekomunikacyjnych. Zwrócił uwagę na rozróżnianie incydentów, podatności i zarządzanie ryzykiem, wskazując, że branża nie neguje reagowania na incydenty i usuwania podatności. Spór dotyczy tego, kto ma decydować o sposobie redukcji ryzyka – eksperci w firmach czy decyzja administracyjna oparta na kategorii dostawcy wysokiego ryzyka. – To, w jaki sposób należy usunąć podatność, muszą zrobić eksperci, a nie politycy – mówił, argumentując, że zakaz używania sprzętu bywa rozwiązaniem skrajnie nieproporcjonalnym, jeśli nie jest poprzedzony precyzyjną diagnozą podatności – mówił. Wskazywał na argument dotyczący konkurencyjności; rynek obawia się scenariusza, w którym polskie firmy zostaną objęte bardziej restrykcyjnymi ograniczeniami niż podmioty z innych państw UE działające w Polsce. – Może doprowadzić do sytuacji, kiedy stosowanie jakiegoś rozwiązania przez polskiego przedsiębiorcę będzie nielegalne, ale legalne będzie stosowanie tego samego rozwiązania przez firmy niemieckie czy francuskie – ostrzegał.
Mecenas Kinga Pawłowska-Nojszewska z KIKE uzupełniała ten obraz, podkreślając, że kwintesencja cyberbezpieczeństwa i NIS2 w projekcie jest gdzie indziej niż DWR, bo w rozdziale dotyczącym systemowych obowiązków zarządzania ryzykiem. – Kwintesencja dyrektywy NIS2 jest w rozdziale 3, a dostawca wysokiego ryzyka to jest zarządzanie ryzykiem w sieciach 5G – sygnalizowała. Drugi blok sporu dotyczył tego, kogo obejmie DWR, ale też jak ma wyglądać postępowanie administracyjne prowadzące do uznania za dostawcę wysokiego ryzyka. Prof. Maciej Rogalski krytykował rozwiązania, które w jego ocenie formalnie odsyłają do Kodeksu Postępowania Administracyjnego, ale jednocześnie wyłączają istotne przepisy gwarancyjne, w tym dotyczące strony postępowania i udziału organizacji społecznych. – Rozwiązania zmierzają w kierunku takim, aby maksymalnie ograniczyć możliwość ochrony swoich praw – mówił profesor, a wyłączenia tłumaczył przykładami z życia, jak spór o grunt, możliwości udziału w dowodach, jawności i uzasadnieniu rozstrzygnięcia. Ostrzegał również przed konsekwencjami systemowymi: sporem na poziomie konstytucyjnym i europejskim, jeśli konstrukcja postępowania nie zapewnia realnego prawa do sądu.
Ustawy szczególne mogą ograniczać niektóre uprawnienia z KPA, jeśli ustawodawca uzna, że chroni ważniejsze dobro i że sam mechanizm ograniczeń nie jest z definicji niedopuszczalny. – zaznaczał z kolei Sylwester Szczepaniak z Unii Metropolii Polskich. – Samo ograniczanie jest możliwe, tylko chodzi o granice tego ograniczenia – mówił. Stanisław Dąbek z BioForum popierał poprawki opozycji, argumentując, że obecny kształt tworzy fikcyjność postępowania, że skutki spadną na firmy, które nie będą miały realnego głosu. – Firmy zostaną obarczone skutkami tej decyzji, a w żaden sposób nie będą mogły wziąć udziału w tym postępowaniu – przekonywał.
Dr hab. Paweł Wajda z Uniwersytetu Warszawskiego podkreślił brak notyfikacji przepisu technicznego do Komisji Europejskiej, co w jego opinii jest błędem proceduralnym.
– Przepis art. 67b jest klasyczną normą techniczną. Chociażby Niemcy czy Włochy notyfikowały swoje przepisy dotyczące DWR, a z niewiadomych przyczyn Polska tego nie zrobiła. Zwrócił także uwagę, że brak notyfikacji może doprowadzić do sytuacji, w której ten przepis będzie „martwy”, a przedsiębiorcy będą mieli otwartą drogę do roszczeń odszkodowawczych przeciwko Skarbowi Państwa – tłumaczył ekspert Pracodawców RP.
Napieralski ogranicza debatę, PiS protestuje
W trakcie posiedzenia konflikt proceduralny wybuchł na nowo, gdy wiceprzewodniczący Grzegorz Napieralski z KO zgłosił wniosek formalny, aby w dalszym procedowaniu obowiązywała zasada: jeden głos za poprawką, jeden głos przeciw i głosowanie. Motywował to presją terminów i ryzykiem konsekwencji za opóźnienia. Przewodniczący Pejo wskazywał, że termin na sprawozdanie komisji do drugiego czytania jest wyznaczony na 20 stycznia, ale wniosek Napieralskiego został przyjęty w głosowaniu. Poseł Katarzyna Czochara z PiS nazwała ten mechanizm kagańcem i przekonywała, że komisje są po to, by dyskutować nad ważnymi ustawami. Padały słowa o bezprzedmiotowości udziału strony społecznej, skoro i tak w ocenie części opozycji wynik głosowań jest przesądzony. W efekcie, przy przyjętym ograniczeniu debaty, komisja przeszła do serii głosowań nad kolejnymi poprawkami PiS i Konfederacji dotyczącymi art. 67b i konsekwentnie je odrzucała, w tym m.in. propozycje skreśleń kolejnych ustępów, ograniczeń niejawności i zmian w kryteriach oceny DWR, w tym propozycje Konfederacji, by ocena opierała się wyłącznie na przesłankach technicznych, a nie na ryzykach powiązanych z wpływem państwa trzeciego. Wiceminister Olszewski ponownie deklarował wprost, że stanowisko rządu do poprawek PiS i Konfederacji w obszarze DWR jest negatywne.
Bilans posiedzenia sejmowej komisji: jej członkowie potrafili uzgodnić i przyjąć ponadpartyjną zmianę korzystną dla wykonalności wdrożenia przepisów, czyli wydłużenie terminu do 12 miesięcy. Jednak w ważnym politycznie i gospodarczo punkcie, czyli w DWR, linia rządu pozostała niezmienna i zmian nie przewiduje. Opozycja zapowiadała wnioski mniejszości, strona społeczna, mimo ograniczeń, sygnalizowała ryzyka kosztowe, konkurencyjne i proceduralne. Przewodniczący Pejo nie ukrywał, że ograniczanie dyskusji odbiera komisji część sensu. Prace nad projektem były kontynuowane 9 stycznia ze względu na bardzo dużą liczbę wątpliwości i zgłoszonych poprawek tak, by sprawozdanie komisji mogło trafić do drugiego czytania w terminie wyznaczonym na 20 stycznia.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
