Mówca: Sprawozdawca Tadeusz Dziuba
Data: 2018-07-03 (Sejm RP, kadencja 8)

Pani Marszałek! Szanowni Państwo! Najpierw kilka zdań przypomnienia: dyrektywa Parlamentu Europejskiego i Rady z połowy 2016 r. zobowiązuje państwa Unii Europejskiej do przyjęcia krajowych strategii cyberbezpieczeństwa oraz do wskazania lub ustanowienia organów właściwych do spraw cyberbezpieczeństwa, a także powołania tzw. zespołów reagowania na incydenty komputerowe, od angielskiego skrótu zwane CSIRT - i tego skrótu będę używał dalej. Dyrektywa ta zobowiązuje też do zapewnienia cyberbezpieczeństwa systemów informacyjnych w sektorach usług tzw. kluczowych dla utrzymania krytycznej działalności społeczno-gospodarczej, a więc m.in. w energetyce, transporcie, bankowości, ochronie zdrowia. Termin implementacji tej dyrektywy minął z końcem pierwszej dekady maja br. Projekt ustawy będącej obecnie w drugim czytaniu jest pierwszym aktem prawnym, który całościowo określa zasady funkcjonowania krajowego systemu cyberbezpieczeństwa, ale nie reguluje kwestii określonych już wcześniej w innych ustawach. Można ocenić, że ustawa trafnie statuuje państwowy system cyberbezpieczeństwa. Wydaje się, że jeśli będzie sumiennie realizowana, stworzy warunki do zapewnienia bezpieczeństwa w przestrzeni cyfrowej. Sumienne wykonywanie zadań wynikających z ustawy będzie należeć do obowiązków dziesiątek podmiotów, co może stanowić problem w zapewnieniu szczelności systemu. Istotne zmiany, jakie dotąd wprowadzono do rządowego projektu, są m.in. następujące. W słowniku ustawy wyszczególniono pojęcie ˝usługi cyfrowej˝ i ˝usługi kluczowej˝. Katalog instytucji, którym na wniosek będzie można udostępnić dane z wykazu operatorów usług kluczowych, rozszerzono o nowy podmiot niedawno powołany, czyli Służbę Ochrony Państwa. Przepisy dotyczące rekomendacji CSIRT w zakresie stosowania informatycznych urządzeń lub oprogramowania zmieniono w ten sposób, że osadzono je ściśle w pojęciach właściwych dla omawianego projektu. Uzupełniono projekt o niezbędne zmiany w ustawie o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, w szczególności ABW nadano nowe uprawnienia polegające na prowadzeniu i koordynowaniu przez tę instytucję systemu wczesnego ostrzegania o zagrożeniach występujących w Internecie. Uzupełniono też projekt o niezbędne zmiany w ustawie Prawo zamówień publicznych, w szczególności uszczegółowiono przesłankę odrzucenia oferty ze względu na publiczne bezpieczeństwo, mianowicie wskazano, iż chodzi także o bezpieczeństwo podmiotów objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej. Do tekstu rządowego wprowadzono też zmiany o charakterze porządkowym i redakcyjnym, co jest rutynowym przypadkiem. Natomiast komisja nie zgodziła się na niektóre propozycje zgłaszane przez posłów. I tak nie zgodziła się m.in. na przeprowadzanie co 4 lata audytu bezpieczeństwa systemu informacyjnego służącego świadczeniu usługi kluczowej, zamiast co 2 lata, jak założono w projekcie rządowym. Ta zmiana była nieuzasadniona, ta ewentualna zmiana była nieuzasadniona ze względu na szybkie zmiany w technologii i prowadzenie audytu w rytmie 4-letnim - to okres zbyt długi. Komisja nie wprowadziła postulowanej poprawki dotyczącej wydłużenia odpowiednio do 6 i 12 miesięcy terminów, które projekt rządowy określał na 3 i 6-miesięczne, realizacji określonych zadań operatorów usług kluczowych. Operatorzy usług kluczowych są zobowiązani chronić swoje systemy i realizować obowiązki wynikające z ustawy w jak najkrótszym terminie. I takie przedłużenie terminu było nieuzasadnione. Komisja nie zgodziła się też na wydłużenie do 48 godzin terminu 24-godzinnego dla zgłoszenia incydentu poważnego oraz istotnego. Informacje o tych incydentach winny być przekazywane niezwłocznie. Oczywiście wynika to ze względów dotyczących zapewnienia cyberbezpieczeństwa. Części poprawek nie uwzględniono ze względu na ich oczywistą, można powiedzieć, niestosowność. Zaproponowano np. dodanie przepisu dającego możliwość korzystania z tzw. sektorowych systemów IT przez możliwość podłączenia się do centralnego systemu teleinformatycznego. Otóż jest oczywiste, że bez szczegółowych przepisów takie operacje można wykonywać. Nie zgodzono się też na zaproponowanie dodania przepisu o możliwości koordynacji przez sektorowe zespoły cyberbezpieczeństwa kampanii edukacyjnych, bowiem kampanie takie można prowadzić już dziś, obecnie i nie wymaga to przepisów. Podsumowując, trzeba zauważyć, że ze względu na znaczenie tej nowej regulacji prawnej powinna być ona uchwalona jak najszybciej. Bardzo dziękuję.