Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, obradująca pod przewodnictwem posła Bartłomieja Pejo (Konfederacja), przewodniczącego Komisji, oraz posła Grzegorza Napieralskiego (KO), zastępcy przewodniczącego Komisji, zrealizowała następujący porządek dzienny:

– dyskusja na temat planowanych zmian dotyczących krajowego systemu cyberbezpieczeństwa.

W posiedzeniu udział wzięli: Paweł Olszewski sekretarz stanu w Ministerstwie Cyfryzacji wraz ze współpracownikami, Jan Sołyga zastępca dyrektora Departamentu Bezpieczeństwa Urzędu Komunikacji Elektronicznej wraz ze współpracownikami, Grzegorz Gontarz radca prawny w Wydziale Prawno-Legislacyjnym Biura Rzecznika Małych i Średnich Przedsiębiorców, Krzysztof Burda prezes Polskiej Izby Rozwoju Elektromobilności wraz ze współpracownikami, Andrzej Dulka prezes Polskiej Izby Informatyki i Telekomunikacji, Maciej Ptaszyński prezes Polskiej Izby Handlu wraz ze współpracownikami, Karol Skupień prezes Krajowej Izby Komunikacji Ethernetowej wraz ze współpracownikami, Krzysztof Pstrong dyrektor generalny Polskiej Izby Komunikacji Elektronicznej wraz ze współpracownikami, Grzegorz Stańczak główny specjalista w Biurze Polityki Gospodarczej Krajowej Izby Gospodarczej, Adam Abramowicz prezes Organizacji Pracodawców Rada Przedsiębiorców, Jakub Bińkowski członek zarządu Związku Przedsiębiorców i Pracodawców, Jolanta Jaworska prezes Związku Cyfrowego Lewiatan, Michał Kanownik prezes Związku Cyfrowa Polska, Piotr Podgórski wiceprezes Ogólnopolskiej Federacji Przedsiębiorców i Pracodawców Przedsiębiorcy.pl wraz ze współpracownikami, Artur Zawisza prezes Unii Producentów i Pracodawców Przemysłu Biogazowego i Biometanowego, Jaromir Ćwikła dyrektor do spraw prawnych Polskiego Towarzystwa Gospodarczego wraz ze współpracownikami, Piotr Rogowiecki dyrektor Departamentu Analiz i Legislacji Pracodawców Rzeczypospolitej Polskiej oraz sekretarz prezydium Rady Dialogu Społecznego wraz ze współpracownikami, Tomasz Sałaciński kierownik Zespołu Radców Prawnych w Biurze Informatyki Urzędu Miasta Stołecznego Warszawy, Adrian Pokrywczyński ekspert w Dziale Monitoringu Prawnego i Ekspertyz Związku Powiatów Polskich, Dominik Żochowski członek Komisji Innowacji i Nowych Technologii Business Centre Club, Grzegorz Lang i Marek Rogalski radcy prawni Federacji Przedsiębiorców Polskich, Stanisław Dąbek doradca Związku Firm Biotechnologicznych BioForum, Jarosław Mojsiejuk ekspert Polskiego Towarzystwa Informatycznego, Marek Porzeżyński ekspert Polskiego Stowarzyszenia Fotowoltaiki i Magazynowania Energii, dr hab. Marta Grabowska kierownik Zespołu Społeczeństwa Cyfrowego i Informacji w Unii Europejskiej Centrum Europejskiego Uniwersytetu Warszawskiego oraz Joanna Karczewska członek Stowarzyszenia Absolwentów i Przyjaciół Politechniki Warszawskiej Elka PW.

W posiedzeniu udział wzięli pracownicy Kancelarii Sejmu: Magdalena Krzymowska i Jakub Konecki – z sekretariatu Komisji w Biurze Komisji Sejmowych.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dzień dobry. Szanowni państwo, otwieram posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii.

Bardzo serdecznie witam panie i panów posłów. Witam serdecznie sekretarza stanu w Ministerstwie Cyfryzacji, pana ministra Pawła Olszewskiego wraz ze współpracownikami, a także przedstawicieli Urzędu Komunikacji Elektronicznej oraz Biura Rzecznika Małych i Średnich Przedsiębiorców. Witam reprezentację strony społecznej: Polskiego Towarzystwa Informatycznego, Polskiej Izby Informatyki i Telekomunikacji, Polskiej Izby Komunikacji Elektronicznej, Krajowej Izby Komunikacji Ethernetowej, Polskiej Izby Radiodyfuzji Cyfrowej, Związku Cyfrowa Polska, Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji, Konfederacji Lewiatan, Pracodawców Rzeczypospolitej Polskiej, Business Centre Club, Krajowej Izby Gospodarczej, Związku Przedsiębiorców i Pracodawców, Ogólnopolskiej Federacji Przedsiębiorców i Pracodawców Przedsiębiorcy.pl, Federacji Przedsiębiorców Polskich, Organizacji Pracodawców Rada Przedsiębiorców, Polskiego Towarzystwa Gospodarczego, Polskiej Izby Handlu, Forum Prawo dla Rozwoju, Stowarzyszenia Polska Izba Rozwoju Elektromobilności, Fundacji Security Energy Technology SET, Związku Firm Biotechnologicznych BioForum, Polskiego Stowarzyszenia Fotowoltaiki i Magazynowania Energii, Stowarzyszenia Absolwentów i Przyjaciół Politechniki Warszawskiej Elka PW oraz organizacji Bridge. Witam serdecznie przedstawicieli samorządu, a więc Urzędu Miasta Stołecznego Warszawy i Związku Powiatów Polskich. Witam przedstawicieli środowiska naukowego, czyli Centrum Europejskiego Uniwersytetu Warszawskiego oraz Politechniki Warszawskiej. Bardzo serdecznie witam wszystkich państwa.

Porządek dzisiejszego posiedzenia przewiduje dyskusję na temat planowanych zmian dotyczących krajowego systemu cyberbezpieczeństwa. Czy są uwagi do porządku obrad? Nie słyszę. Przechodzimy zatem do jego realizacji.

Najpierw bardzo proszę pana ministra Pawła Olszewskiego o krótkie zreferowanie ustawy, której procedowanie przed nami. Następnie wypowiedzą się posłowie, jeśli będzie taka potrzeba. Później oczywiście otworzymy dyskusję dla strony społecznej. Jak sami państwo wiedzą, temat jest niezwykle istotny. Można powiedzieć, że w przestrzeni publicznej krąży od niespełna 7 lat, więc w moim przekonaniu, a myślę, że także wszystkich członków Komisji, jest bardzo ważny. Dlatego też postanowiliśmy, że dyskusja odbędzie się jeszcze przed zaplanowanym na jutro procedowaniem ustawy. W dniu jutrzejszym o godzinie 12.00 rozpoczynamy tzw. legislację. Panie ministrze, bardzo proszę o zreferowanie tematu. Dziękuję bardzo.

Sekretarz stanu w Ministerstwie Cyfryzacji Paweł Olszewski:
Dziękuję serdecznie. Panie przewodniczący, panie i panowie posłowie, szanowni państwo, biorąc pod uwagę skład reprezentacji strony społecznej na dzisiejszym posiedzeniu, widać, jak ważny jest to temat. Wdrożenie dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (NIS2) do polskiego porządku prawnego jest absolutnie kluczowe z punktu widzenia bezpieczeństwa państwa. Kwestie bezpieczeństwa mają absolutny priorytet. Jak państwo doskonale wiedzą, obecnie Polska jest jednym z najbardziej atakowanych krajów na świecie. W tym roku mamy już ponad 200 tys. ataków i poważnych incydentów. Bezwzględnie zatem państwo musi mieć narzędzia do tego, aby chronić Polki i Polaków, Polskę i polskie przedsiębiorstwa przed tego typu zagrożeniami.

Doskonale państwo wiedzą, że odbywaliśmy szereg konsultacji społecznych. Łącznie wpłynęło ponad tysiąc stron uwag, których znaczną część uwzględniliśmy. Przeszliśmy przez wszystkie procesy legislacyjne na poziomie rządowym, począwszy od Komisji Wspólnej Rządu i Samorządu Terytorialnego, przez Komitet do Spraw Europejskich oraz Komitet Rady Ministrów do spraw Bezpieczeństwa Narodowego, aż po Stały Komitet Rady Ministrów. Ostatecznie ten projekt ustawy został zatwierdzony i przesłany do Sejmu przez Radę Ministrów.

Wprowadzamy nowe rozwiązania prawne i instytucje, niektóre zaś doprecyzowujemy, ażeby zapewnić bezpieczeństwo i dać państwu narzędzia do walki z obcymi służbami specjalnymi, ale również z cyberprzestępcami. Jak państwo doskonale wiedzą, wprowadzamy instytucję dostawcy wysokiego ryzyka (DWR). Wbrew temu, co się pojawia w przestrzeni medialnej i co pojawi się na posiedzeniu Komisji w głosach płynących z sali, instytucja DWR nie jest ukierunkowana na żadne państwo ani firmę, a na pewno nie na wszystkie produkty czy usługi danej firmy, tylko będzie działać w stosunku do konkretnych usług, produktów i urządzeń, które stanowią zagrożenie dla bezpieczeństwa państwa. Wielokrotnie o tym mówiłem, podając przykład, ale jeszcze raz powiem to w słowie wstępnym. Przypuszczam, że nikt na tej sali nie dziwi się i nie zadaje sobie pytania, dlaczego główny inspektor sanitarny, gdy dostrzeże, że dany produkt spożywczy stanowi zagrożenie dla zdrowia obywateli, to z dnia na dzień wycofuje z obrotu daną partię produktu.

Wprowadzamy instytucję DWR, gdzie będziemy mogli w bardzo długich okresach wycofać dany produkt. Mówimy o 7 latach, a w sytuacjach nadzwyczajnych o 4 latach. W tym obszarze pojawiają się w zasadzie dezinformacje, które należy jednoznacznie prostować. Stawiam tutaj bardzo silny akcent, podkreślając, abyśmy wzajemnie nie wprowadzali w błąd opinii publicznej. Ta instytucja ma zapewnić bezpieczeństwo. To jest clou tego, co proponujemy, abstrahując już od tego, że w ramach DWR wprowadzamy bardzo przejrzystą, długą i wieloetapową procedurę uznania danego produktu, usługi czy urządzenia za dostawcę wysokiego ryzyka wraz z możliwością odwołania się do sądu. Nie jest więc tak, jak niektórzy mówią publicznie, że jest to arbitralna decyzja ministra cyfryzacji, lecz jest to wieloetapowa procedura, poprzedzona również opinią Kolegium do Spraw Cyberbezpieczeństwa. Pragnę więc od razu wyeliminować pewne przekłamania, które się pojawiają w sferze medialnej.

Wprowadzamy również instytucję polecenia zabezpieczającego, kiedy to w nadzwyczajnych sytuacjach minister będzie mógł wydać decyzję administracyjną, nakazującą pewne działanie bądź zaniechanie jakiegoś działania. Poszerzamy również zakres podmiotowy o takie sektory, które są kluczowe z punktu widzenia bezpieczeństwa obywateli, ale i bezpieczeństwa państwa, czyli ścieki, żywność, chemikalia, przestrzeń kosmiczną i zarządzanie usługami z zakresu technologii informacyjnych i komunikacyjnych (ICT).

Formalizujemy dobrze funkcjonujące ciało, czyli Połączone Centrum Operacyjne Cyberbezpieczeństwa, gdzie co tydzień spotykamy się z przedstawicielami krajowych i sektorowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz służb specjalnych. W zależności od incydentu bądź tematyki na spotkania dopraszamy również inne instytucje. W obecnie procedowanej ustawie będzie to już formalne ciało. Funkcjonuje ono w zasadzie  24 godziny na dobę. Mamy pełną wymianę informacji.

Dlaczego ten projekt jest tak ważny? Dlatego, że bezpieczeństwo ma pierwszeństwo.  Nie wyobrażam sobie inaczej. Państwo doskonale to wiedzą, bo widzą, co się dzieje. W zasadzie codziennie jesteśmy atakowani. Firmy są atakowane i bankrutują. Rozwiązania zawarte w projekcie ustawy są inwestycją. To nie jest koszt, ale inwestycja. Moglibyśmy podawać wiele przykładów ze świata, kiedy to przez ataki ransomware upadały firmy, bo nie miały dostępu do swoich danych. Widzimy, co dzieje się za naszą wschodnią granicą. Widzimy, w jak wielu obszarach prowadzona jest wojna hybrydowa. Polska najbardziej odczuwa to w sferze cyber.

Może tyle na wstępie. Oczywiście będą głosy w dyskusji. Będę starał się odnosić do nich wszystkich. Jeszcze jutro będziemy dyskutowali przy szczegółowym rozpatrywaniu projektu ustawy. Cieszę się, że jesteśmy tu taką reprezentacją, że będziemy mogli sobie dzisiaj podyskutować i pewne mity obalić. Dziękuję serdecznie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję serdecznie, panie ministrze.

Czy ktoś z państwa posłów na tym etapie chciałby zabrać głos, czy później po wysłuchaniu strony społecznej? Bardzo proszę, pan poseł Bliźniuk.

Poseł Paweł Bliźniuk (KO):
Dziękuję, panie przewodniczący. Zabiorę tutaj głos tylko tytułem wstępu, ponieważ stanowiska klubów wygłosiliśmy podczas pierwszego czytania na posiedzeniu plenarnym. Nie było tam może jednak okazji, a dzisiaj mamy posiedzenie Komisji, więc chciałem podziękować panu ministrowi Olszewskiemu za tytaniczną, co podkreślam, pracę nad przygotowaniem tego dobrego projektu ustawy. To potrzebny projekt, nad którym bez względu na większość parlamentarną polski rząd pracuje od kilku lat, żeby zwiększyć bezpieczeństwo naszego państwa w tych trudnych czasach. Chciałem też podziękować panu przewodniczącemu za to, że tak szybko, bo w pierwszym możliwym terminie, zwołał Komisję.

Jutro już konkretnie będziemy rozpatrywać projekt ustawy, ponieważ nie ma na co czekać. Implementacja przepisów dyrektywy NIS2 jest koniecznością. Grożą nam też kary za jej brak. W jakiejś perspektywie wisi nad nami widmo kar. Natomiast na razie wypowiem się w ujęciu bardziej ogólnym, bo o kwestiach szczegółowych, które dotyczą tego projektu, będziemy dziś rozmawiać, ale przede wszystkim jutro.

Chciałem zwrócić uwagę na to, że dzisiaj krajowy system cyberbezpieczeństwa (KSC) jest koniecznością z punktu widzenia sytuacji geopolitycznej, a także z uwagi na budowanie wiarygodności naszego państwa w obrocie cyfrowym i w sferze cyfrowej dyplomacji. Pamiętam, jak wszystkich w pewien sposób zaskoczyła decyzja naszego głównego sojusznika, czyli Stanów Zjednoczonych, dotycząca ograniczania zdolności eksportowych czy też perspektywy eksportowej na półprzewodniki Nvidii. Gdy ktoś się wczytuje w dokumenty i ich uzasadnienia czy chociażby w płynące z tamtej strony analizy, to wie, że kwestia cyberbezpieczeństwa jest bardzo wysoko podnoszona w argumentacji jako element, który jest istotny z punktu widzenia nie tylko eksportu półprzewodników, ale w ogóle najnowocześniejszych technologii, w tym związanych ze sztuczną inteligencją. Uchwalenie tej ustawy wydaje się więc koniecznością właśnie dla budowania naszej pozycji jako pewnego partnera, jeżeli chodzi o wszystkie traktaty i sojusze, w których się znajdujemy. W świetle obecnej sytuacji geopolitycznej jest to polska racja stanu.

Cieszę się zatem, że tak szybko przejdziemy do konkretnych prac. Mam nadzieję, że jutro bardzo sprawnie i efektywnie będziemy pracować już nad konkretnymi przepisami. Chciałem też podziękować stronie społecznej, bo państwo, jak mówił pan minister Olszewski, brali udział w konsultacjach społecznych. Ten projekt był transparentnie przygotowywany w ramach wielu konsultacji na poziomie rządowym. Wydaje się więc, że rozwiązania, które dzisiaj są w nim zawarte, zostały też wypracowane w ramach szeroko idącego dialogu ze stroną społeczną. To dobrze. Jak rozumiem, dziś mamy dyskusję na poziomie parlamentarnym, ale jutro przejdziemy już do konkretów i będziemy zajmować się poszczególnymi przepisami, ewentualnie poprawkami, które będą zgłaszane w procesie legislacyjnym. W tym miejscu to tyle. Mam nadzieję, że później w razie czego będzie można zabrać głos i ustosunkować się do tego, co podczas tej debaty zostanie wygłoszone.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję, panie pośle. Oczywiście, że będzie taka możliwość.

Czy ktoś z państwa posłów chciałby jeszcze zabrać głos na tym etapie? Nie słyszę. W takim razie bardzo proszę o zgłoszenia ze strony społecznej. Może rozpoczniemy po kolei od prawej strony, ale jeszcze momencik, zanim oddam głos, bo ustalimy coś technicznie i organizacyjnie. Naturalnie proszę, by się przedstawiać z imienia i nazwiska oraz organizacji, którą państwo reprezentują. Na tym etapie nie ograniczam specjalnie czasu. Mam nadzieję, że będziemy mogli zgodnie ten czas wykorzystać.

Poseł Dariusz Stefaniuk (PiS):
Mamy salę do godziny 16.00.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Oczywiście czas jest ograniczony co do sali itd., ale myślę, że powinniśmy sobie poradzić. Bardzo proszę o merytoryczną dyskusję bez niepotrzebnych nerwów. Zazwyczaj staramy się, aby tak wyglądały dyskusje na posiedzeniach Komisji. Bardzo proszę, tylko trzeba włączyć mikrofon.

Ekspert Polskiego Towarzystwa Gospodarczego Artur Nowak-Far:
Teraz słychać, prawda? Artur Nowak-Far ze Szkoły Głównej Handlowej, ale tutaj jestem jako ekspert Polskiego Towarzystwa Gospodarczego.

Panie przewodniczący, panie ministrze, bezpieczeństwo, a zwłaszcza cyberbezpieczeństwo, jest zagadnieniem wieloaspektowym. Nie sposób się nie zgodzić z panem ministrem co do wszystkiego, o czym pan mówił. Tyle tylko, że trzeba jeszcze zwrócić uwagę na to, że przy tego rodzaju regulacji, tak głęboko idącej w wielu aspektach, o których też pan minister zechciał powiedzieć, trzeba zwrócić szczególną uwagę na to, czy małe i średnie przedsiębiorstwa (MŚP) będą funkcjonowały komfortowo albo w odpowiednich warunkach, a regulacja przypadkiem nie idzie zbyt daleko w tym zakresie.

Drugim aspektem jest to, że tego rodzaju regulacja nie funkcjonuje w próżni, bo ona występuje czy współwystępuje z implementacjami dyrektywy NIS2 w innych państwach członkowskich Unii Europejskiej. Wszelkie za daleko idące różnice w regulacji mogą prowadzić do tzw. arbitrażu technologicznego, który polegałby na tym, że przedsiębiorstwa z innych państw członkowskich UE będą drożej sprzedawać w Polsce swoje technologie, a same kupować taniej na świecie do własnego zastosowania, co może upośledzić konkurencyjność polskiej gospodarki. Bardzo dziękuję. Tylko to chciałem powiedzieć.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo.

Bardzo proszę, panie prezesie. Tak, proszę, bo będziemy prowadzić dyskusję z różnych stron i z kolejnych stolików.

Członek zarządu Związku Przedsiębiorców i Pracodawców Jakub Bińkowski:
Bardzo dziękuję. Jakub Bińkowski, Związek Przedsiębiorców i Pracodawców. Szanowny panie przewodniczący, szanowni państwo, mam kilka uwag ogólnych, a później jedną bardzo konkretną, dotyczącą samego projektu.

Uwaga ogólna numer jeden. Wydaje mi się, że w tym klimacie dyskusji wokół projektu, który mamy dzisiaj omawiany na sali, a w zasadzie nie dziś, tylko już od kilku lat, dobrze byłoby mieć konkretnie nazwane strony i interesy. Nie mam absolutnie żadnego problemu z tym, żeby powiedzieć, że w gronie firm członkowskich organizacji, którą dzisiaj reprezentuję, są amerykańskie firmy technologiczne, pośrednio europejskie, azjatyckie, ale nie chińskie, w tym dostawcy sprzętu.

Druga uwaga ogólna. Jeśli rzeczywiście jest tak, jak się czasem w debacie publicznej podnosi, że mamy tutaj symetryzm z obu stron w tym sensie, że z jednej strony jest jakiś lobbing firm europejskich i amerykańskich, a z drugiej lobbing firm chińskich, to zakładam wobec tego, że przedstawiciele organizacji społecznych i eksperci, którzy są dzisiaj na sali, również nie powinni mieć problemu z tym, żeby jasno zaznaczyć, czy działają gdzieś w jakimś porozumieniu, na zlecenie czy w kooperacji np. z podmiotami z Chin. Wszyscy wiemy, bo to też nie jest szczególna tajemnica, że głównym podmiotem, jaki od lat jest zainteresowany rozwojem wypadków przy tym projekcie ustawy, pozostaje jeden z dostawców sprzętu, który akurat pochodzi z Chin. Groził on zresztą polskiemu rządowi arbitrażem międzynarodowym.

Jeśli chodzi o kwestię jakiejś rekomendacji formalnej, to oczywiście prezydium Komisji zrobi z tym wnioskiem, co uważa za stosowne. Natomiast uważam, że byłoby bardzo uczciwie, gdyby każdy gdzieś na samym początku zaznaczył, jakie mniej więcej ma zaplecze i w czyim imieniu rzeczywiście działa. Taka adnotacja. Kto jest członkiem organizacji? Są to firmy chińskie, europejskie czy amerykańskie? To pewnie też jest ważna informacja z punktu widzenia pań posłanek i panów posłów, którzy przysłuchują się dyskusji.

Trzecia uwaga ogólna jest taka, że w moim przekonaniu nie ma owego symetryzmu. Zwłaszcza po lutym 2022 r. nie powinniśmy mieć wątpliwości, że tutaj nie istnieje jakiegokolwiek rodzaju symetria. Współpraca na takim poziomie z podmiotami chińskimi, jak też z podmiotami, które wspierają Rosjan w ramach przeprowadzanej agresji wobec Ukrainy, nie jest czymś równoważnym ze współpracą z podmiotami z Europy, Stanów Zjednoczonych czy państw sojuszniczych. W moim przekonaniu jest to absolutnie podstawowa, elementarna prawda, którą też warto zaznaczyć.

Sprawą, która na poziomie faktycznym i bardzo konkretnym budzi najwięcej wątpliwości i kontrowersji, jest kwestia dostawców wysokiego ryzyka, głównie w oparciu o to, że w ramach tej procedury, poza kryteriami czysto technicznymi, badane są również kryteria polityczne, co czasem jest podnoszone jako szczególna nowość, wyłom w polityce czy coś niespotykanego. Jeśli mówimy o bezpieczeństwie państwa, kryteria polityczne są brane pod uwagę w każdym aspekcie. Proszę państwa, gdy dokonujemy zakupów uzbrojeniowych, to oczywiście, poza aspektem czysto technologicznym i finansowym, odgrywają rolę argumenty polityczne i otoczenie. Z jakiegoś powodu nie kupujemy czołgów od Rosjan ani od Koreańczyków z północy, choćby mieli je najnowocześniejsze. Oczywiście takich nie mają, ale to jest osobna sprawa. Kupujemy je od państw sojuszniczych. Z jakiegoś powodu w ramach prowadzonej polityki wpuszczamy na polskie terytorium i pozwalamy na przebywanie w granicach naszego kraju obywateli poszczególnych państw na odmiennych zasadach. Mamy różne reżimy. Obywatele części państw potrzebują wiz, żeby w Polsce się znaleźć. Powiedzmy też, że niektórzy z nich są na liście osób uznanych za persona non grata. Tutaj również w grę wchodzą czynniki polityczne. Nie widzę więc powodu, dla którego w ramach szerokiego, kompleksowego bezpieczeństwa Polski to cyberbezpieczeństwo miałoby być traktowane w jakiś inny sposób. Dlaczego akurat w tym aspekcie czynniki polityczne miałyby nie odgrywać żadnej roli? To jest uwaga bardziej szczegółowa, dotycząca konkretnego aspektu projektu.

W końcu czwarta uwaga, a raczej apel. Jako ZPP apelujemy o sprawne prace nad tym projektem i przyjęcie go w wersji niewybijającej mu zębów, bo jeśli teraz stracimy szansę na implementację dyrektywy NIS2, jak też na realizację tych propozycji, które wzmocnią cyberbezpieczeństwo Polski, to znowu wejdziemy w cykl wieloletniej, katorżniczej pracy. Pewnie pan minister i państwo z MC wiedzą najlepiej, jak to wygląda. To jest już któreś podejście do tematu nowelizacji ustawy o KSC. W każdym przypadku mieliśmy do czynienia z dokładnie powtarzającymi się argumentami w dyskusji. Wydaje mi się, że po prostu dobrze byłoby to skończyć, bo również przedsiębiorcy objęci tymi rozwiązaniami, którzy w rezultacie będą musieli wymieniać część sprzętu, potrzebują przewidywalności, ponieważ chcą wiedzieć, jakie jest otoczenie regulacyjne i na czym stoją. Nie powinniśmy po raz kolejny fundować im kilkuletniej przeprawy. To tyle tytułem wstępu ode mnie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję.

Proszę, panie prezesie.

Prezes Polskiej Izby Informatyki i Telekomunikacji Andrzej Dulka:
Uporałem się z technologią jako prezes Polskiej Izby Informatyki i Telekomunikacji. Udało się włączyć mikrofon. To duży sukces. Poważnie zaś mówiąc, szanowni państwo, PIIT zrzesza podmioty polskiego biznesu, ale też amerykańskiego, azjatyckiego i europejskiego. Jesteśmy z tego bardzo dumni. Dziękuję za szansę zabrania głosu i za możliwość wypowiedzi. Chciałbym też bardzo podziękować MC za intensywną i dogłębną pracę nad mnogością wniosków, które PIIT zgłosiła. Cieszymy się, że wiele z tych wniosków zostało uwzględnionych.

Oczywiście żadna branża nie cieszy się z regulacji. Nie znam takiego prezesa izby gospodarczej, który powiedziałby: „Hurra, cieszymy się, że nadchodzi regulacja”. W tym wypadku jednak chyba tak właśnie powiem, bo to regulacja, która jest potrzebna i której branża oczekuje. Mimo że jest to regulacja fundamentalna, która w bardzo dużym stopniu wpłynie na nasze funkcjonowanie w przyszłości, tym niemniej jako przedstawiciel branży, która dba o bezpieczeństwo zarówno informacji przesyłanej, jak i telekomunikacji oraz przestrzeni tworzonych danych, co jest fundamentem naszego funkcjonowania, cieszę się, że ta regulacja nadchodzi, bo ona jest ważna i potrzebna. Tak samo przychylam się do wniosku, aby w możliwie najkrótszym czasie, jeśli nie niezwłocznie, przyjąć i wprowadzić tę regulację, żebyśmy przynajmniej ten etap mieli w Polsce za sobą.

Natomiast nadchodzi kolejny etap, który będzie istotny i znaczący, a mianowicie wdrożenie oraz akty wykonawcze. Ważny jest sposób, w jaki będziemy to wdrażać. Jako prezes PIIT zwracam się z uprzejmą prośbą, a także z oczekiwaniem, że branża zostanie włączona w dyskusję o tym, jak praktycznie to już wprowadzać, dlatego że będzie to realizowane na żywym organizmie podmiotów, które są fundamentalne dla funkcjonowania naszej gospodarki. Wszystkie te podmioty, którymi są więksi i mniejsi operatorzy mobilni i stacjonarni, na różnych poziomach są fundamentalne dla funkcjonowania komunikacji i telekomunikacji czy w ogóle gospodarki. Ten akt zaingeruje w funkcjonowanie branży. Chcielibyśmy więc móc się wypowiedzieć, w jaki sposób go wprowadzać z najmniejszą stratą dla funkcjonowania branży teleinformatycznej i z poszanowaniem prawa własności, które jest fundamentalne, pamiętając, że podstawowym celem, który wszyscy, w tym także branża teleinformatyczna, chcemy osiągnąć, jest bezpieczeństwo polskiej infrastruktury, sieci i przekazu informacji, a w efekcie funkcjonowania naszej gospodarki. To tyle. Są to wysokie słowa, ale za nimi idzie to, że jako PIIT obiecujemy i zobowiązujemy się do tego, że na co dzień będziemy przekazywali nasze uwagi i propozycje, zarówno do administracji i do MC, jak i do parlamentu. Dziękuję uprzejmie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, tylko jedno zdanie. Czy mogę od razu odpowiedzieć panu prezesowi?

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Pan minister, tak? Proszę bardzo.

Sekretarz stanu w MC Paweł Olszewski:
Dziękuję. Tak, panie prezesie, oczywiście. Mam nadzieję, że niezwłocznie po podpisie prezydenta branża będzie włączona w konsultacje, warsztaty i szkolenia oraz w wypracowywanie rozwiązań. Niezależnie od tego, czy ktoś dzisiaj jest za tą ustawą, czy jest przeciw, czy popiera konkretne rozwiązania, czy też nie, każdy z was będzie zaproszony do MC. Wspólnie będziemy pracowali, aby zapewnić cyberbezpieczeństwo bez utraty jakichkolwiek zasobów.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo.

Proszę uprzejmie. Mikrofon włącza się najpierw pastylką, a potem prawym przyciskiem.

Członek Rady Naukowo-Eksperckiej Ogólnopolskiej Federacji Przedsiębiorców i Pracodawców Przedsiębiorcy.pl Marek Chmaj:
Bardzo dziękuję. Marek Chmaj. Jestem ekspertem organizacji pracodawców Przedsiębiorcy.pl.

Panie przewodniczący, panie ministrze, chcę powiedzieć, że jest to bardzo potrzebna ustawa. Dobrze, że projekt trafił do Sejmu. Dobrze, że pan minister wykonał tak tytaniczną pracę. Jako strona społeczna chcielibyśmy wskazać, co jest ważne dla polskich MŚP, jak też co merytorycznie i najbardziej w tej ustawie ich dotyczy. Chodzi o kilka aspektów.

Przede wszystkim katalog podmiotów, które są objęte zakresem projektowanej ustawy, jest szeroki. Załączniki nr 1 i 2 do projektu, które określają sektory kluczowe i ważne, są szersze niż katalog z załączników nr 1 i 2 do dyrektywy NIS2. W toku prac parlamentarnych warto pochylić się nad weryfikacją katalogu sektorów kluczowych i ważnych pod kątem tego, czy obejmuje on podmioty autentycznie niezbędne z punktu widzenia cyberbezpieczeństwa. To jest pierwsza uwaga.

Po drugie, obowiązki podmiotów kluczowych i podmiotów ważnych wydają się niedostatecznie zróżnicowane. Za niedopełnienie obowiązków ustawowych grożą dość surowe kary pieniężne o charakterze administracyjnym. Projekt stwarza zatem ryzyko, iż mniejsze podmioty, mające mniejszy aparat administracyjny, będą mieć poważne problemy organizacyjne w zakresie dostosowania się do nowych regulacji, stąd postulat. Może warto dać w ustawie jakiś okres karencji, żeby od razu nie karać za naruszenie przepisów ustawy? Dajmy małym i średnim podmiotom czas na to, żeby się dostosowały. Skutki decyzji o uznaniu dostawcy za DWR obejmują wiele podmiotów, więc może warto zastanowić się nad tym, aby ograniczyć skutki wydawania takich decyzji jedynie do podmiotów, które funkcjonują w sektorach ściśle związanych z technologią 5G. Być może tutaj warto merytorycznie to dookreślić.

Kolejna kwestia. W przypadku wydania decyzji o uznaniu za DWR podmioty kluczowe i ważne mają mieć od 4 do 7 lat na wycofanie produktów i usług ICT. Mam nadzieję, że owe terminy zostały dobrane po odpowiednich przemyśleniach. Czy nie warto jednak zastanowić się nad tym, jakie są rzeczywiste terminy eksploatacji określonych urządzeń, żeby dopasować je do faktycznego zużywania się urządzeń?

Następna sprawa dotyczy tego, że projekt ustawy nie przewiduje żadnego wsparcia dla podmiotów kluczowych i ważnych, które wskutek wydania decyzji o uznaniu za DWR będą zmuszone wycofać określone produkty lub usługi. W projekcie nie są przewidziane rekompensaty dla tych podmiotów, które będą musiały je wycofać. Może warto się nad tym pochylić? Odpowiednia rekompensata finansowa czy wsparcie ze strony budżetu być może będą zasadne.

Ostatnia kwestia jest taka, że vacatio legis ma wynosić miesiąc, a dodatkowo projekt przewiduje, że adresaci nowych obowiązków będą mieć jedynie 6 miesięcy na dokonanie samoidentyfikacji jako podmioty kluczowe lub ważne i na dostosowanie prowadzonej działalności do nowych obowiązków. Podyskutujmy o tym, czy nie warto wydłużyć terminu do 8 albo 12 miesięcy,  a może zróżnicować vacatio legis w stosunku do określonych przepisów, aby strona społeczna miała szansę na dostosowanie się do nowych regulacji. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję.

Proszę, teraz pana sąsiad.

Wiceprezes Ogólnopolskiej Federacji Przedsiębiorców i Pracodawców Przedsiębiorcy.pl Piotr Podgórski:
Piotr Podgórski, radca prawny, jak też wiceprezes ogólnopolskiej federacji Przedsiębiorcy.pl.

Zacząłbym od tego, o czym pan profesor powiedział na końcu. Szanowni państwo, vacatio legis wynosi 1 miesiąc, a zwróćmy uwagę na to, że już w art. 16 mamy obowiązki nałożone na podmioty kluczowe i ważne, które trzeba przeprocedować w terminie 6 miesięcy.

Doceniam prace nad tą ustawą. Nie jest tak, że my jako przedsiębiorcy nie widzimy konieczności walki z cyberzagrożeniami. Wiemy doskonale, na jakiej arenie politycznej jest Polska, a zwłaszcza, co nas dotyka, głównie zza naszej wschodniej granicy, ale nie tylko z tej strony, bo bardziej w zakresie makro czy globalnym. Natomiast, szanowni państwo, świadomość ze strony przedsiębiorców i to naprawdę całkiem inteligentnych, jeśli chodzi o procedowanie tej ustawy, jest bardzo niewielka, a ci, którzy są w jakimś stopniu świadomi… Przeprowadzaliśmy pewne sondaże m.in. w branży odpadowej. Oczywiście nasi adwersarze nie przedstawiają wszystkich kryteriów i nie mówią nam, jakiego dokładnie sprzętu używają, bo część stanowi też tajemnicę handlową, natomiast patrzą z przerażeniem na perspektywę konieczności eliminacji sprzętu w terminie 7 dni. Pan profesor o tym tutaj powiedział. To nie jest termin amortyzacji. Nie jest to zwyczajny termin, w którym amortyzuje się sprzęt. Przepraszam, sorry, chodzi o 7 lat. Zatem 7 lat  to jest naprawdę bardzo niewiele. Szanowni państwo, to jest inwestycja, o czym powiedział pan minister Olszewski, tylko że to jest inwestycja na koszt przedsiębiorców.

Drugie hasło, które zostało rzucone, że tak powiem kolokwialnie, to przejrzysta procedura DWR. Największy problem jest właśnie z tą przejrzystością procedury DWR. Zdajemy sobie sprawę, że co do zasady ta procedura się raczej ostanie. Nikt nie proponuje jej całkowitej eliminacji, natomiast oczekiwalibyśmy właśnie większej przejrzystości. Oczywiście w pewien sposób zaszywa ona instrukcje unijne dotyczące koordynacji działań w celu wzmocnienia cyberbezpieczeństwa sieci 5G (5G Toolbox). To jest soft law, jak wszyscy doskonale wiemy, do czego też co do zasady nie mamy uwag, tylko że to zaszycie nie jest jeden do jednego. Jak sama nazwa wskazuje, 5G Toolbox powinien dotyczyć sieci 5G, a obejmuje również inne sieci. Tak naprawdę dotyczy to całego spektrum, które mieści się w haśle ICT, jak też wszystkich podmiotów kluczowych i ważnych.

W naszej ocenie tak daleko idące rozszerzenie jest niezgodne zarówno z dyrektywą NIS2, jak i z tym, co widzimy w instrukcji 5G Toolbox. W związku z tym u przedstawicieli podmiotów kluczowych i ważnych pojawia się ogromna obawa co tego, że decyzją ministra będą musieli pozbyć się sprzętu ICT, gdy jego dostawca zostanie uznany za DWR. Oczywiście każdy zdaje sobie sprawę, że będzie to rozpatrywane również w oparciu o kryteria techniczne. Nikt nie mówi, że chodzi tu tylko o kryterium państwa, a jeżeli są takie głosy, to rzeczywiście też uważam, że są to głosy populistyczne. W art. 67b ust. 11 mamy bodajże sześć punktów, a jeden z nich mówi o prawdopodobieństwie, z jakim dostawca sprzętu lub oprogramowania znajduje się pod kontrolą państwa spoza terytorium Unii Europejskiej lub Organizacji Traktatu Północnoatlantyckiego (NATO), ale to miękkie kryterium budzi bardzo liczne obawy. W tej chwili chciałbym tu postawić kropkę.

Oczywiście nasze obawy budzą również kwestie eliminacji przepisów Kodeksu postępowania administracyjnego i udziału podmiotów kluczowych w charakterze strony. Przepraszam za sformułowanie, ale dla nas paradoksem jest ustanowienie swoistego rodzaju cenzusu majątkowego dla przedsiębiorcy telekomunikacyjnego, który z prowadzenia działalności telekomunikacyjnej ma osiągać co najmniej 20-tysięcznokrotność przeciętnego wynagrodzenia. Dlaczego inne podmioty kluczowe lub ważne nie mogą mieć przymiotu strony, a uzyskuje go tenże podmiot? Jest to dla nas naruszenie zasady równości, która wynika z konstytucji, natomiast z kolei zasada proporcjonalności w naszym przekonaniu nie uzasadnia takiego wyłomu. Jeżeli decyzja ma dotyczyć danego podmiotu kluczowego lub ważnego, to zgodnie z zasadami procedury administracyjnej, ale również najwyższego aktu w postaci Konstytucji Rzeczypospolitej Polskiej, siłą rzeczy ta strona powinna brać udział w tymże postępowaniu.

Z uwag zupełnie formalnych, takich już ad meritum, tu akurat wydaje się stosowne… Zajmę inne stanowisko niż moi szacowni przedmówcy odnośnie do szybkiego procedowania. Zwracaliśmy uwagę na to, że projekt budzi ogromne zainteresowanie. Wpłynęła chyba rekordowa liczba uwag do tego projektu, zwłaszcza w ostatnich latach, więc w naszej ocenie wymaga on dogłębnej analizy. Poddaję pod rozwagę powołanie w tym celu podkomisji lub wyznaczenie terminu wysłuchania publicznego. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, czy na tym etapie mogę odpowiedzieć?

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Moment, bo też chciałbym się do tego odnieść à propos apeli dwóch stron o szybkie lub wolniejsze procedowanie. Drodzy państwo, otóż pierwotny termin był wyznaczony przez pana marszałka na 16 grudnia, a więc dzisiaj mieliśmy zakończyć procedowanie. Tak to dokładnie wyglądało. Zwróciłem się do pana marszałka z wnioskiem o wydłużenie tego terminu. Termin na sporządzenie sprawozdania został wydłużony do 20 stycznia, co też nie jest jakimś obszernym czasowo zakresem, mając jeszcze oczywiście na uwadze okres świąteczny. Myślę jednak, że dzięki temu jesteśmy dzisiaj w stanie debatować i dyskutować. Możliwe są różnego rodzaju procedury legislacyjne, m.in. te, o których przed chwilą pan wspomniał. Bardzo proszę, teraz pan minister Olszewski.

Sekretarz stanu w MC Paweł Olszewski:
Tak. Jeśli mogę, na tym etapie odpowiedziałbym na pytania, które padły. Myślę, że na swój sposób już dzisiaj mamy wysłuchanie publiczne, biorąc pod uwagę liczbę organizacji, które znajdują się na posiedzeniu Komisji.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
To inne procedury, panie ministrze.

Sekretarz stanu w MC Paweł Olszewski:
Myślę, że na wysłuchanie publiczne przyszłyby te same osoby, więc cieszę się, że już dzisiaj możemy o tym rozmawiać.

Niestety nie ma w tej chwili pana profesora Artura Nowaka-Fara, nomen omen mojego wykładowcy jeszcze z Uniwersytetu im. Adama Mickiewicza, który mówił o MŚP. Mali i średni przedsiębiorcy co do zasady, poza drobnymi wyjątkami, są wyłączeni z tej regulacji. Na ten temat musielibyśmy już jednak poprowadzić dyskusję akademicką w innym miejscu.

Pan prezes Bińkowski odnosił się do kryteriów nietechnicznych. Niektórzy nazywają je politycznymi. Tak, one są i powinny być, bowiem to jest kwestia bezpieczeństwa państwa. Nie możemy dopuścić do sytuacji, gdzie przez powiązania kapitałowe będziemy kupowali urządzenia czy oprogramowanie, które stanowią zagrożenie dla bezpieczeństwa państwa, a de facto ich producentem i operatorem będzie choćby Federacja Rosyjska czy Białoruś.

Pan profesor Chmaj mówił o katalogu, że jest zbyt szeroki. Sugerował, żeby ograniczyć go tylko do 5G. Jak pan profesor doskonale wie, dyrektywa NIS2 ma wymiar minimalny, jeśli chodzi o wdrożenie, natomiast sfera zagrożeń, które są obecnie w Polsce i nie tylko w naszym kraju, tyczy się wielu gałęzi gospodarki, począwszy właśnie od ścieków i kanalizacji, przez energetykę, po szpitale etc. W zasadzie skuteczny atak w jednym miejscu może całkowicie sparaliżować państwo. Tak jak mówiłem na wstępie, państwo musi mieć narzędzia, aby móc reagować. Co z tego, że kupimy karabin, jeżeli nie będziemy mogli nacisnąć spustu, bo nie będzie nabojów? Dla mnie to jest oczywiste. W tych kategoriach musimy przekładać to na rzeczywistość.

Jeśli chodzi o kary i ich wysokość, okresy karencji itd., to oczywiście możemy dyskutować. Będziemy szczegółowo rozpatrywali projekt i wymienimy się argumentami. Tu jest jakaś przestrzeń do dyskusji. Natomiast jeśli chodzi o vacatio legis, to niestety nie dostrzegam przestrzeni do negocjacji ani do dyskusji, a to z jednego prostego względu. Ta dyrektywa powinna być już dawno wdrożona. Wisi nad nami bardzo poważne ryzyko, że będziemy obarczeni wielomilionowymi karami za niewdrożenie ustawy. O ile ustawa powinna wejść jak najszybciej, o tyle te terminy, które są w niej zawarte, będą podlegały dalszej dyskusji i negocjacjom.

Odnoszono się do 4 i 7 lat. Z całym szacunkiem, panie profesorze, ile razy wymienił pan telefon w ciągu 7 lat? Ze trzy razy. Czy to był strasznie długi okres? Naprawdę proszę mi wierzyć, że były organizacje, które chciały skrócić ten okres, a były takie, który go chciały wydłużyć. Musimy gdzieś znaleźć złoty środek. Odnosząc się do tego, powiem również, że przecież to analizowaliśmy. Pan profesor na pewno czytał całość tej ustawy, ocenę skutków regulacji (OSR) i tysiąc stron uwag, więc miał co robić, zatem wie pan, jak wygląda sytuacja w innych krajach. W kategoriach unijnych traktujemy to absolutnie średnio, więc powiem szczerze, że nie klei mi się mówienie, że 7 lat to jest zbyt krótki okres.

Mówiono o rekompensatach za wycofanie sprzętu i o tym, że to jest koszt. Pan Podgórski powiedział, że to jest inwestycja na koszt przedsiębiorców. Znowu zadam pytanie odnoszące się do takiego zwykłego życia. Jak ma pan magazyn farb, to założenie alarmu i wynajęcie firmy ochroniarskiej, żeby go chroniła, jest inwestycją czy też kosztem? Czy otwiera pan drzwi i mówi: „Wejdźcie i bierzcie sobie, co chcecie”? Taki jest mechanizm. To działa również w cyberprzestrzeni, że musimy się chronić. Firmy muszą się dostosowywać, a państwo będzie wspierało je w różnych sektorach. Przecież teraz wprowadzamy cyberbezpieczne wodociągi i samorządy etc. To setki milionów złotych. Będziemy również inwestowali w MŚP.

Nie jest więc tak, że tworzymy regulację dla regulacji, tylko chcemy zapewnić bezpieczeństwo, ale jednocześnie pomóc Polsce, Polakom i polskim firmom, żeby się do tego przystosować. Jesteśmy otwarci na dyskusję przy szczegółowym rozpatrywaniu tego projektu. Oczywiście będzie to decyzja Komisji, a potem Sejmu i Senatu, ale są warunki brzegowe, od których osobiście nie odstąpię, jak choćby DWR. Tu proszę nawet nie… Możemy dyskutować, ale zdania nie zmienię.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Drobna odpowiedź, panie ministrze. Pomiędzy tymi przedsiębiorcami jest tylko taka drobna różnica, że póki co przedsiębiorcy, który ma magazyn farb, nikt z nas nie zmusza do tego, aby wynajmował ochronę i szczególnie pilnował swoich farb. Bardzo proszę, teraz pan Abramowicz.

Prezes Organizacji Pracodawców Rada Przedsiębiorców Adam Abramowicz:
Panie przewodniczący, Wysoka Komisjo, szanowni państwo, w Polsce są około 3 tys. firm telekomunikacyjnych, z czego 99% to firmy z sektora MŚP. Niektóre szacunki mówią nawet o 99,5%. Czy tak rozproszona struktura jest bardziej bezpieczna dla naszego państwa niż struktura mniej rozproszona? To jest pytanie retoryczne. Im bardziej struktura jest rozproszona, tym bezpieczeństwo jest większe.

Tu przechodzimy do clue sprawy, bo pan Bińkowski wzywał do tego, żeby wskazywać, w jakiej organizacji są firmy z jakiego państwa, a myślę, że bardzo ważną sprawą byłoby sprawdzenie, w jakiej organizacji są firmy z danego sektora. Jak się tak słucha wypowiedzi, a wcześniej czytałem też różne wystąpienia, to organizacje reprezentujące duże korporacje są całym sercem i wszystkimi rękami za tym, żeby jak najszybciej to wprowadzić. Słyszałem już tutaj dwa głosy, które to potwierdzają.

Powstaje pytanie. Jakie będą skutki wprowadzenia tej regulacji, jeżeli panie i panowie posłowie nie pochylą się nad poprawkami, które są ważne właśnie dla tych 99% małych i średnich firm z polskim kapitałem? Wiemy, a nawet możemy się domyślać, które duże korporacje się cieszą, bo te zmiany mogą im przynieść ogromny skok wartości na polskim rynku. Jeżeli małe i średnie firmy zaczną się zamykać, chociażby z takich powodów finansowych, że nie będzie ich stać na wymianę sprzętu, bo było tu podkreślane, że ustawa nie przewiduje żadnych rekompensat, to bezpieczeństwo nam się przez to zmniejszy.

Druga sprawa. Do ustawy powinna być załączona ocena skutków regulacji dla sektora MŚP. Tak, jest OSR, ale nie widziałem oceny dla sektora MŚP. Jest to wymóg konstytucji biznesu. Powstaje pytanie. Myślę, że to nie jest zaplanowane przez rząd działanie ze skutkiem, o którym mówię, tylko być może zabrakło zwrócenia uwagi na te aspekty, które poruszam. Dlatego byłoby bardzo dobrze, żeby Wysoka Komisja, zanim podejmie decyzję, otrzymała opracowanie skutków regulacji dla sektora MŚP. Patrząc na zapisy tej ustawy, widać, że jest ona ewidentną nadregulacją dyrektywy, więc trzeba byłoby to właśnie sporządzić. Nadregulacją jest zarówno wysokość kar, jak i rozszerzenie definicji w zakresie DWR do sieci poza 5G.

Jako prezes Organizacji Pracodawców Rada Przedsiębiorców, a w latach 2018–2024 rzecznik małych i średnich przedsiębiorców, apeluję do Wysokiej Komisji o to, aby domagała się opracowania wpływu tych zapisów na sektor MŚP. Dopiero wtedy rzeczywiście będzie można podjąć odpowiedzialne decyzje co do bezpieczeństwa naszych sieci. Tak jak powiedziałem, im bardziej rozproszona struktura, tym jest ona bezpieczniejsza. Jeżeli ustawa miałaby doprowadzić do zmonopolizowania rynku, to na pewno bezpieczeństwo będzie mniejsze. Dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Jeszcze pan prosił o możliwość wypowiedzenia się ad vocem, tak? Dobrze, ale za chwileczkę. Przepraszam, bo pan prosił o głos. Proszę wypowiedzieć się ad vocem pana ministra. Za chwileczkę będziemy kontynuować, więc proszę o ciszę.

Wiceprezes OFPP Przedsiębiorcy.pl Piotr Podgórski:
Króciutko ad vocem. Odniosę się tylko do wypowiedzi pana ministra. Z całym szacunkiem, panie ministrze, ale nie upraszczałbym tego zagadnienia do wymiany telefonu. Przypuszczam, że gdybyśmy zrobili sondaż w tym zakresie, to przeciętny obywatel odpowiedziałby, że wymienia telefon parę razy w ciągu 7 lat, tak jak pan profesor Chmaj. Mówimy jednak o gigantycznej i bardzo złożonej strukturze usług i sprzętu ICT, który po pierwsze, trzeba wycofać, a później nabyć nowy i przeszkolić wszystkich pracowników do jego obsługi. Niewykluczone, że nowy sprzęt będzie droższy. Rozumiem to, co pan minister tutaj wykazuje, że jakiś przedsiębiorca w tym zakresie zrobi sobie koszty, ale tak naprawdę to nie jest do końca interes przedsiębiorcy, który chciałby używać danego sprzętu w dłuższej perspektywie czasowej.

Wiemy, że to budowanie tego jakby już na wstępie, bardzo mocne określanie warunków brzegowych i wskazywanie, co jest tzw. dealbreakerem, a co nim nie jest, ale tak naprawdę… Rozszerzenie DWR na kwestie spoza 5G, a tak naprawdę na cały sprzęt, usługi i oprogramowanie ICT, jak i objęcie tym tak naprawdę wszystkich podmiotów kluczowych i ważnych, w naszym przekonaniu jest zbyt daleko idące. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Pan prezes Kanownik.

Prezes Związku Cyfrowa Polska Michał Kanownik:
Dziękuję bardzo, panie przewodniczący. Pan poseł Bliźniuk dziękował panu ministrowi za wkład pracy. Oczywiście, panie pośle, przyłączam się do tych podziękowań, ale jeśli pan pozwoli, dołączyłbym też do nich premiera Gawkowskiego i cały Departament Cyberbezpieczeństwa, który tak naprawdę przez 7 lat wykonał kawał roboty. Zgadzam się z tym, że ustawa jest najlepiej skonsultowaną i przedyskutowaną ustawą w historii polskiego parlamentaryzmu. Żadna inna ustawa nie była tyle razy w konsultacjach. Panie przewodniczący, czy mogę poprosić o…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Proszę, nie przerywajmy sobie. Każdy będzie mógł się wypowiedzieć. Proszę kontynuować, panie prezesie.

Prezes ZCP Michał Kanownik:
Dziękuję bardzo. Szanowni państwo, dwa krótkie zdania, żebyśmy widzieli, gdzie jesteśmy. Pan minister już wspominał o kwestii bezpieczeństwa, Kuba Bińkowski zaś o tym, że jesteśmy najczęściej atakowanym krajem w Europie. To są fakty.

Pamiętajmy, że przy ustawie nie mówimy tylko o bezpieczeństwie Polski, ale również o zaufaniu naszych sojuszników do ekosystemu w Polsce. W wielu państwach NATO obowiązują regulacje HRV, inaczej DWR, więc na bazie listy z innych krajów możemy to sobie wyobrazić. Szanowni państwo, wśród krajów NATO Polska zajmuje czwarte miejsce pod względem ekspozycji na dostawców wysokiego ryzyka, co absolutnie stawia nas w fatalnym świetle w oczach sojuszników i naraża na podważenie ich zaufania do nas. Musimy więc mieć świadomość tego, że nie mówimy wyłącznie o bezpieczeństwie narodowym, ale oczywiście ten aspekt jest najważniejszy.

Co do technicznych i pozatechnicznych kryteriów odnośnie do DWR, to pan minister już to wyjaśniał. Podkreślę tylko, że nawet skoordynowana ocena ryzyka UE identyfikuje ingerencję państwową w łańcuch dostaw jako jedno z głównych zagrożeń. Nie jest to więc polski wymysł, bo w tym momencie jest to bez najmniejszych wątpliwości dostrzegane przez samą Komisję Europejską. W moim przekonaniu procedura uznawania dostawców za DWR, którą przyjął polski rząd, jest nie tylko bardzo transparentna, ale przede wszystkim wbrew pozorom bardzo długa i na pewno niearbitralna. W wielu państwach europejskich mamy przykłady decyzji stricte arbitralnych i politycznych w stosunku do samego dostawcy, a nie poszczególnych urządzeń. Wówczas możemy to uznać za arbitralność. Tutaj mamy odnoszenie się do konkretnego urządzenia w długiej procedurze administracyjnej. Jeszcze raz podkreślę, że dotyczy to urządzenia bądź usługi, a nie samego dostawcy.

Uważam, że jest to bardzo odpowiedzialne podejście, oczywiście wypracowane w wyniku wielu kompromisów. Byłem akurat w gronie tych organizacji, które postulowały zaostrzenie przepisów, tzn. skracanie tego okresu wymiany. Panie profesorze, odpowiadając na pańskie pytanie, zauważę, że 4-letni czy 7-letni okres właściwie trochę odpowiada cyklowi życia produktu w sieci. Naturalny proces wymiany technologii tak wygląda. Jeśli więc chodzi o procedurę, to moim zdaniem jest ona absolutnie bezpieczna, a wręcz może kreować ryzyko nadmiernego wydłużania tego procederu.

W dyskusji publicznej wokół projektu pojawiały się również zarzuty, że będzie taniej albo drożej, kiedy KSC wejdzie w życie i wprowadzi DWR. Szanowni państwo, takie przepisy obowiązują w bardzo wielu krajach. Nigdzie na świecie w tych państwach, które wprowadziły DWR i pewne regulacje odnoszące się już do konkretnych dostawców, nie rosną ceny transferu dla Kowalskiego. Wszędzie spadają ceny transferu dla indywidualnego odbiorcy. Jest to naturalna konsekwencja postępu technologicznego, jeśli chodzi o telekomunikację. Panie ministrze, jeśli mogę poprosić o chwilę spokoju, to zaraz kończę.

Pojawiły się też inne zarzuty i wątpliwości. Czy jeśli wyeliminujemy pewne urządzenia z sieci, to będzie możliwość, żeby je zastąpić? Czy nie zabraknie sprzętu na rynku? Kompletna bzdura. Nawet w Polsce są fabryki, które produkują komponenty, dzięki którym można w zupełności wymienić dowolne urządzenie. Pamiętajmy, że kluczowym elementem bezpieczeństwa sieci są dwa aspekty, a więc po pierwsze, eliminacja DWR z sieci, a po drugie, utrzymanie dywersyfikacji dostawców, czyli brak uzależnienia się od jakiegokolwiek dostawcy, nawet tego najbardziej zaufanego. To są dwa filary, na których powinniśmy opierać budowę naszej sieci.

W dzisiejszej dyskusji padał też argument odnoszący się już do tego, żeby ograniczyć regulację wyłącznie do sieci 5G. Szanowni państwo, mówimy o kwestii bezpieczeństwa w sferze cyfrowej, gdzie naprawdę najmniejsza luka może być zagrożeniem dla całego państwa.  Mamy wiele przykładów, gdzie choćby ataki hakerskie na wydziały zieleni miejskiej w samorządzie, które są pozornie mało istotnym elementem administracji w danym mieście, legły u podstaw paraliżu komunikacyjnego całkiem dużego polskiego miasta. Naprawdę więc przestańmy opowiadać bajki, że wystarczy ograniczyć cyberbezpieczeństwo wyłącznie do sieci 5G, żebyśmy mieli bezpieczny ekosystem w całej Polsce. Mówimy tak naprawdę o inwestycji w nasze bezpieczeństwo narodowe. Nie mówimy o interesie jednej czy drugiej firmy z jakiegoś kraju, tylko o naszym bezpieczeństwie narodowym.

Ostatnie trzy elementy są trochę bardziej emocjonalne, jeśli pan przewodniczący pozwoli, bo padały tu sformułowania, chyba z ust pana profesora, żeby ograniczyć listę podmiotów albo zredukować ich obowiązki. Szanowni państwo, podam przykład życiowy, który podnosiłem kiedyś na posiedzeniu Komisji. Jeżeli w swojej kuchni znajdziemy karalucha, to chyba nie czyścimy jedynie dwóch szuflad czy jednej szafki, tylko całą kuchnię i to jak najszybciej. Nie czekamy przez 4 miesiące na to, że może karaluchy same się wyniosą. Jeżeli wiemy, że coś jest niebezpieczne czy zagraża naszemu bezpieczeństwu, należy całkowicie usunąć to z ekosystemu, żebyśmy mieli poczucie bezpieczeństwa we własnym kraju.

Panie przewodniczący, i ostatni element, chyba najbardziej emocjonalny, ale muszę się do tego odnieść. Podczas weekendu w mediach społecznościowych padały stwierdzenia porównujące naszych ministrów cyfryzacji do ruskich agentów, bo tak ostro forsują implementację dyrektywy NIS2 do polskiego ekosystemu. Śmiem twierdzić, że to niestety próba wyłamania zębów tej ustawie i redukowania wymagań co do bezpieczeństwa Polski. To jest naprawdę działanie na szkodę państwa polskiego. Forsowanie tej ustawy, ambitnej i mocnej oraz niezbędnej w dobie tego ryzyka, z którym dziś mamy do czynienia na co dzień, absolutnie jest naszym obowiązkiem.

Jako Związek Cyfrowa Polska apelujemy do wszystkich stron ponad podziałami politycznymi, żeby bardzo merytorycznie pochylić się nad tą ustawą, a wyeliminować z dyskusji wszystkie półprawdy i nieprawdy, których przez ostatnie lata narosło bardzo dużo, by naprawdę uchwalić ją jak najszybciej. Ustawa została przedyskutowana wzdłuż i wszerz przez wszystkie możliwe formaty. Nie wierzę, że po tysiącach stron uwag ktokolwiek jeszcze jest w stanie wymyślić nową uwagę, która nie została przeanalizowana przez ten rząd czy poprzedni albo jeszcze wcześniejszy. Naprawdę apeluję o sprawne i szybkie procedowanie ustawy, bo ona leży w interesie naszego bezpieczeństwa narodowego, a nie w interesie jednej czy drugiej firmy. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Jeśli chodzi o szybkość procedowania, to mam pytanie do pana ministra. Dlaczego w takim razie, skoro wszystkim zależy na szybkości, czekaliśmy 2 lata, jeśli chodzi o tę kadencję, aby rozpocząć procedowanie tego projektu? Dlaczego dopiero po 2 latach projekt trafił do Komisji?

Sekretarz stanu w MC Paweł Olszewski:
Już mówię, panie przewodniczący. Z wielką przyjemnością odpowiem na to pytanie, bowiem wpisuje się to w intencję pana przewodniczącego, który mówił publicznie, że chciałby odbyć wysłuchanie publiczne. Robiliśmy wysłuchania. Konsultowaliśmy projekt. Mówiłem, że wpłynęło ponad tysiąc stron uwag. Było to konsultowane wzdłuż i wszerz. Przeszło pełną i głęboką ścieżkę legislacyjną na poziomie rządowym, nie omijając żadnego komitetu, żadnej uwagi, żadnego resortu. Będąc w parlamencie od 20 lat, nie widziałem jeszcze tak przekonsultowanego i w cudzysłowie przemaglowanego projektu ustawy. Żeby nie było zarzutów, że chcemy coś docisnąć kolanem czy arbitralnie zrobić, by komuś zaszkodzić, uwzględnialiśmy uwagi rynku i innych resortów, aby państwo posłowie mogli dzisiaj pracować nad najlepszym i najbardziej kompromisowym projektem ustawy, jaki udało się przygotować. Dlatego wymagało to czasu, a nie pośpiechu, który mógłby zaważyć na jakości tego projektu.

Natomiast, skoro już jestem przy głosie, chciałbym odnieść się do tych nieszczęsnych dostawców wysokiego ryzyka, bo cały czas mam wrażenie, że mamy do czynienia z dużym nieporozumieniem. Powtórzę, że nie tyczy się to konkretnej firmy ani konkretnego kraju. Procedura może objąć każdą firmę, zarówno niemiecką, jak i amerykańską czy chińską, a dokładniej dany produkt bądź usługę i to tylko wówczas, kiedy stanowią one zagrożenie dla bezpieczeństwa państwa. Minister nie podejmuje decyzji a priori: „OK, ten produkt out. Za 7 lat ma być wymieniony”. Musi on stanowić realne zagrożenie dla bezpieczeństwa państwa. Dopiero wtedy, gdy takie przesłanki są spełnione, wszczynamy wieloetapową procedurę odnośnie do konkretnego produktu bądź usługi, a nie wszystkich produktów danej firmy. Proszę więc mieć to na uwadze, bo mimo że na początku starałem się jednoznacznie opisać ten proces, w dyskusji nadal pojawiają się takie wątki, które mówią o DWR jako o konkretnych firmach i o wszystkich produktach danej firmy bądź pochodzących z konkretnego kraju. Nie jest to prawda.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Zgłasza się pan profesor Rogalski.

Radca prawny Federacji Przedsiębiorców Polskich Marek Rogalski:
Szanowny panie przewodniczący, szanowny panie ministrze, bardzo dziękuję za możliwość uczestniczenia w debacie. Reprezentuję Federację Przedsiębiorców Polskich. Jestem profesorem nauk prawnych i radcą prawnym. Od 30 lat zajmuję się rynkiem telekomunikacyjnym. Chciałbym poczynić kilka uwag – dwie o charakterze ogólnym, a inne już bardziej szczegółowe.

Nie powtarzając kwestii, które były już tutaj podnoszone, skrótowo poruszę zagadnienie OSR. Tak jak pan rzecznik wspominał, ustawa – Prawo przedsiębiorców w art. 66 wymaga przedstawienia skutków regulacji i to nie tylko o charakterze społecznym, ale także finansowym. W ostatnim czasie kwestia ta była podnoszona także przez panią rzecznik w jej stanowisku. Na ile sprawdzałem tę kwestię, nie ma szczegółowej, pogłębionej analizy, gdy chodzi o OSR o charakterze finansowym. Duża część oceny finansowych skutków regulacji dotyczy administracji, bo rzeczywiście są tam rozwinięte analizy w zakresie potrzeb etatowych, zakupu oprogramowania i działalności informacyjno-szkoleniowej. To zagadnienie jest bardzo ważne, bo na pewno, jak zostało to już tutaj powiedziane, będą z tym związane określone koszty finansowe wdrożenia. Duzi przedsiębiorcy sobie z tym pewnie poradzą, bo już to robili i są do tego przygotowani, ale mniejsi jednak w mniejszym zakresie, a przede wszystkim, co jest podnoszone i popierane, ma to dotyczyć 18 sektorów, o których powiem za chwilę.

Druga kwestia o charakterze ogólnym dotyczy tego, że nie jest to nowa ustawa, tylko nowela. Ponieważ zajmuję się tymi zagadnieniami z racji zainteresowań zawodowych, o czym wspomniałem, warto pochylić się nad historią prac nad tą ustawą czy generalnie nad wdrażaniem wymagań w zakresie cyberbezpieczeństwa. Kilka zdań, które wydają mi się istotne. Historia to mniej więcej 2 lata wstecz. Nowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która teraz obowiązuje, to jest implementacja dyrektywy NIS. Można powiedzieć, że to NIS1. Teraz jest wprowadzana dyrektywa NIS2. Pytanie pierwsze brzmi następująco. Dlaczego jest to przeprowadzane nowelą ustawy? Czemu nie jest to nowa ustawa?

Nie chcę tutaj wchodzić w szczegóły prawne, ale jest takie rozporządzenie Rady Ministrów „Zasady techniki prawodawczej”. Nie jest tak, żebym tylko ja o tym mówił, ale à propos uwzględniania uwag było to sformułowane w toku rządowych prac legislacyjnych. Nawet sobie odnotowałem, że ta uwaga pojawiła się w protokole z 26 września, a wskazywała to Komisja Prawnicza. Przewodnicząca Komisji Prawniczej poinformowała, że zgodnie z „Zasadami techniki prawodawczej” obszerność zmian w przedmiotowym projekcie powinna implikować sporządzenie nowego projektu ustawy. Według mnie to się tak zadziało, że historycznie…

Dlaczego w ogóle mówimy teraz o DWR? Dlaczego jest to w tym akcie prawnym? Dostawcy wysokiego ryzyka zjawili się wtedy, kiedy pojawił się dokument nazywany skrótowo 5G Toolbox. Pochodzi on z 2000 r. Mówię o dokumencie, dlatego że to nie jest ani dyrektywa, ani rozporządzenie. Są to pewne rekomendacje ze strony UE, które ewidentnie dotyczą sieci 5G. Pojawiły się one w tym okresie, kiedy trwał proces rozdysponowywania częstotliwości, który jest niezbędny do uruchomienia w krajach UE nowych usług w tzw. technologii 5G. Były tam rekomendacje w zakresie wykorzystania określonego sprzętu.

Prezes Urzędu Komunikacji Elektronicznej rozpoczął prace i aktywności w zakresie zaimplementowania, oczywiście w cudzysłowie, dokumentu 5G Toolbox. Pamiętam dobrze, że były koncepcje, żeby zrobić to jakimś aktem wykonawczym albo wydać decyzję. Później zaczęto przygotowywać projekty zmian w ustawie o KSC. Powstawały kolejne wersje. Te postanowienia były w różnych scenariuszach. W międzyczasie w 2023 r. odbyła się aukcja na częstotliwości 5G. W tej decyzji znalazło się dosłownie jedno zdanie czy dwa zdania nawiązujące jakby do 5G Toolbox, ale elementy z nim związane, że tak powiem, zaistniały już w noweli ustawy o KSC. W międzyczasie pojawiła się dyrektywa NIS2, która została dodana do tego, co zostało wytworzone jako nowela z elementami 5G Toolbox.

Powstał więc taki dokument, który teraz jest dwa razy większy niż akt podstawowy. Dlatego Komisja Prawnicza napisała, że powinna to być nowa ustawa. Dokument jest bardzo skomplikowany i trudny nawet dla ekspertów i fachowców, a co dopiero dla podmiotów, które będą musiały to stosować. Zgodnie z założeniami tego dokumentu przepisy będą musiały stosować przedsiębiorstwa na 18 rynkach, gdzie jest ponad 38 tys. podmiotów, jak obliczono w OSR, a było spotkanie w Naukowej i Akademickiej Sieci Komputerowej (NASK), gdzie pojawiła się już nawet liczba 80 tys. To są uwagi ogólne, a teraz uwagi szczegółowe.

Na sali nie ma chyba nikogo, kto by nie uważał, że bezpieczeństwo jest niezmiernie ważne, wręcz pierwszoplanowe. Według mnie to jednak nie oznacza, że nie powinniśmy dyskutować o tych elementach, które być może wymagają modyfikacji i zmiany, bo z jednej strony mamy bezpieczeństwo, które każdy popiera, ale z drugiej strony jest jeszcze kwestia innych wartości, mówiąc górnolotnie, wynikających z konstytucji czy z innych aktów prawnych.

Pierwsza uwaga dotyczy tego, co gdzieś już się pojawiało. Według mnie wynika to z tego, że na dokument będący nowelą nałożyła się dyrektywa NIS2. Wchodząc w szczegóły, jest art. 67b ust. 1, gdzie jest wpisane, że jeśli chodzi o tak określony zakres podmiotowy, który dotyczy podmiotów kluczowych i ważnych, stosuje się tę nieszczęsną procedurę DWR, mówiąc w cudzysłowie. Za jednym pociągnięciem to, co miało dotyczyć tylko sektora telekomunikacyjnego, bo tak cały czas jest w 5G Toolbox, rozciągnięto na wszystkie sektory, których jest 18, w tym służbę zdrowia, oczyszczalnie czy szkolnictwo wyższe. Dopiero teraz owe podmioty dowiadują się skądinąd, bo gdzieś pojawiały się takie dokumenty, że te procesy także ich będą dotyczyć.

Kolejna uwaga odnosi się do wspomnianego tutaj stosowania przepisów Kodeksu postępowania administracyjnego. Pamiętam wersję, w której przepisy k.p.a. w ogóle zostały wyłączone z tego postępowania, a to podstawowy dokument, który reguluje proces wydawania decyzji. Teraz jest wyłączonych kilka istotnych przepisów. Nie chcę tutaj w to wchodzić, bo może jutro będzie ku temu lepsza okazja. Dlaczego one są istotne? Dlatego, że poprzez wyłączenie art. 31 k.p.a. z tego postępowania wyłącza się np. podmioty, które mogą być zainteresowane. Co istotniejsze, stworzono jeszcze taką konstrukcję, gdzie ze względu na art. 67b ust. 3 to podmiot prowadzący postępowanie będzie decydował o tym, kto ma być stroną owego postępowania, inaczej niż jest to przedstawione i ugruntowane w art. 28 k.p.a., a więc stroną jest ten, kto ma interes prawny. Dojdzie więc do takiej sytuacji, że podmiot, którego to postępowanie będzie dotyczyć, nie będzie stroną, jeżeli tak uzna organ prowadzący, a skutki będą go dotykać.

Następną bardziej szczegółową kwestią jest brak wniosku o ponowne rozpoznanie sprawy. Tutaj znowu sięganie do konstytucji nie jest górnolotne, bo art. 78 mówi, że powinno przysługiwać prawo do zaskarżenia decyzji i rozstrzygnięć administracyjnych, a poprzez taką konstrukcję, że następuje wyłączenie wniosku o ponowne rozpoznanie sprawy, nie ma takiej możliwości. Zresztą nie wiadomo, dlaczego to miałoby w czymkolwiek szkodzić jakoś temu postępowaniu. Jest rygor natychmiastowej wykonalności, który ma takie oto konsekwencje, że jak zostanie wydana decyzja z rygorem natychmiastowej wykonalności, to w warunkach polskich… Mówiono już tutaj o tym, że przecież przysługują środki odwoławcze i decyzję można zaskarżyć. To jest kilka lat postępowania. Przez tych kilka lat ewentualnie korzystne rozstrzygnięcie nie będzie miało żadnego znaczenia, bo rygor natychmiastowej wykonalności oznacza, że decyzję trzeba natychmiast wykonywać.

Ostatnia kwestia, już bardziej szczegółowa, jest taka, że znowu w którejś wersji nie było przewidzianych środków odwoławczych w tym postępowaniu. Dopiero w kolejnych wersjach pojawiła się możliwość wniesienia środków odwoławczych w postaci skargi do sądu administracyjnego, ale z kolei jest przewidziane, że sprawa będzie rozstrzygana na posiedzeniu niejawnym. Powstaje pytanie. W jaki sposób wobec tego podmiot, którego dotyczy postępowanie, ma się w ogóle dowiedzieć, jak to postępowanie się do niego odnosiło? Po drugie, uzasadnienie rozstrzygnięcia będzie wyłączone. Wydaje mi się, że znowu, żeby się tutaj…

Chciałbym zakończyć swoją wypowiedź zacytowaniem dokumentu, bo koresponduje to z argumentem o bezpieczeństwie. Mianowicie odnośnie do takiego rozwiązania jeszcze w 2001 r. wypowiedziała się Rada Legislacyjna, którą trudno posądzać o jakieś preferencje wobec kogokolwiek. To jest opinia z 23 lutego 2001 r. odnosząca się do tego rozwiązania. Rada Legislacyjna zauważyła, że „ustawodawca powinien być ostrożny i powściągliwy przy ewentualnym odstępowaniu od tych podstawowych uprawnień stron w postępowaniu sądowo-administracyjnym z powołaniem się na względy bezpieczeństwa państwa lub porządku publicznego (art. 31 ust. 3 konstytucji)”. W przypadku omawianego tutaj postępowania w sprawie uznania dostawcy sprzętu lub oprogramowania za DWR względy obronności i bezpieczeństwa państwa niewątpliwie wchodzą w grę i są aktualne. Według rady można mieć jednak wątpliwość, czy zastosowanie w tym zakresie noweli KSC jest rzeczywiście proporcjonalne, bo chodzi o „rozwiązanie prawne polegające na określeniu możliwości poznania przez stronę pełnego uzasadnienia wyroku”.

Przepraszam bardzo, ale pozwolę sobie jeszcze na bieżące ustosunkowanie się do tych kwestii, które były tutaj podnoszone. Pojawił się argument, podniesiony przez pana ministra, że nie będzie się wyłączać każdego rodzaju sprzętu. Być może taka będzie szczegółowa decyzja, ale konstrukcje prawne są takie, że można będzie wyłączyć każdy rodzaj sprzętu. Co więcej, chodzi już nie tylko o sprzęt ICT. Znowu sięgam do dokumentu unijnego, gdzie było odniesienie się do angielskiego skrótu ICT, czyli technologii telekomunikacyjnych i informatycznych. Po pierwsze, dotyczyć to będzie nie tylko takiego sprzętu, lecz każdego innego komputera czy jakiegokolwiek urządzenia. Po drugie, nie ma takiego ograniczenia jak na przykład… Jest dobry punkt odniesienia, bo niedawno w Niemczech pojawiły się regulacje, które mówią, gdy chodzi o DWR, że dotyczą tylko sprzętu krytycznego i zakresu infrastruktury krytycznej, w bardzo ścisły sposób ograniczając liczbę podmiotów do około 1 tys. U nas w OSR jest to prawie 40 tys. podmiotów, a w niektórych sytuacjach mówi się, że to jest nawet 80 tys.

Ostatnie zdanie. Prezentuje się tutaj różne stanowiska, ale powstaje pytanie. Gdzie przy takich rozwiązaniach jest szansa na dywersyfikację sprzętu, dostawców i podmiotów? Dziękuję bardzo za wysłuchanie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Teraz pan dyrektor Wysocki. Bardzo proszę o odpowiedź.

Zastępca dyrektora Departamentu Cyberbezpieczeństwa Ministerstwa Cyfryzacji Marcin Wysocki:
Bardzo dziękuję. Panie przewodniczący, Wysoka Komisjo, szanowni państwo, wypowiem się tylko w dwóch kwestiach, które pojawiły się podczas tej dyskusji. Chciałbym złożyć wyjaśnienia.

Panie profesorze, pana afiliacją pozauczelnianą są Pracodawcy.pl, tak? Czy dobrze usłyszałem? Pracodawców.pl reprezentuje również pan Piotr Podgórski. Nie, przepraszam. To federacja, czyli różne podmioty, bo chciałem panów do czegoś zachęcić. Warto ze sobą rozmawiać, ponieważ pan Piotr Podgórski powiedział, że wszystkie podmioty kluczowe i ważne powinny być stronami w postępowaniu DWR i mieć najbardziej doniosły przymiot, natomiast pan profesor powiedział, że zgodnie z OSR tych podmiotów jest 38 tys., a nawet jest ich 80 tys.

Jako wieloletni praktyk powiem, że procedura administracyjna, która zakłada, że potencjalnie jest kilkadziesiąt tysięcy stron, praktycznie jest nie do przeprowadzenia. Jest to zupełnie niemożliwe, żeby ją przeprowadzić. Na pewno w toku dyskusji będziemy mieli do czynienia z tym, co mamy już w związku z komunikacją na zewnątrz tego projektu, czyli pod takimi pięknymi pojęciami jak transparentność i czytelność będą przedstawiane argumenty i tezy, które spowodują, że regulacja będzie bezzębna. Jak zachować te przepisy, ale sprawić, żeby państwo nie mogło z nich skorzystać?

Panie profesorze, rozumiem, że ważne jest to, by wskazać afiliację uczelni. Natomiast moje doświadczenie podpowiada mi, że jeżeli ktoś znalazł czas, by odszukać w tych dokumentach, których jest wiele, bo proces był długi i bardzo transparentny, protokół posiedzenia Komisji Prawniczej albo orzeczenie Rady Legislacyjnej, to pracują tak właśnie pracownicy procesowi. Rozumiem jednak, że osoby, które znalazły się dzisiaj na sali, żeby wziąć udział w dyskusji, nie wzięły się tu z przypadku.

Co do rozwiązań i przesłanek nietechnicznych czy politycznych, o których mówił pan Piotr Podgórski, to w załączniku do OSR są wskazane kraje, w których standardowe są właśnie przesłanki nawiązujące do kwestii związanych z państwem pochodzenia. Przykładem są Czechy. Przesłanki dotyczą rezydowania lub podlegania prawu w demokratycznym państwie, naruszenia prawa międzynarodowego czy wpływu państwa trzeciego. Kolejnym krajem jest Dania, bo państwa są uszeregowane alfabetycznie. Tam mamy wpływ poddostawców i podmiotów, które mogą wywierać kontrolę na danego przedsiębiorcę, pochodzących z kraju, który nie ma zawartej z Danią umowy o bezpieczeństwie bądź nie gwarantuje współpracy w obszarze bezpieczeństwa. W Estonii przesłanka dotyczy okoliczności lokalizacji lub siedziby w państwie, które nie jest członkiem UE, NATO, Organizacji Współpracy Gospodarczej i Rozwoju (OECD) itd. Szanowni państwo, w załączniku do OSR naprawdę są państwa, które wpisują się w to rozwiązanie DWR, jakie zostało przyjęte w Polsce. Również Hiszpania uważa, że jest to ważna przesłanka, żeby wskazać, z kim pozostajemy w relacjach, pod wpływem jakiego państwa i o jakim stosunku do danego kraju europejskiego.

Rekomendowałbym więc, żeby przyjąć już te wyjaśnienia, które są również koherentne z samym 5G Toolbox i z tymi rozwiązaniami, które są tzw. środkiem strategicznym nr 3. Mówię o tym, żeby uporządkować dyskusję i szukać kompromisów tam, gdzie pan minister wskazał, że możemy ich szukać. W sprawie tych rozwiązań, co do których jesteśmy przekonani, zdania nie zmienimy, co wielokrotnie wyjaśnialiśmy, wypowiadając się w zwięzły sposób. Bardzo dziękuję, panie przewodniczący.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Panie dyrektorze, zwracam jeszcze uwagę na to, że jesteśmy na posiedzeniu Komisji, więc inne zdanie mogą mieć posłowie, którzy będą podejmowali decyzje. Bardzo proszę, pan poseł Stefaniuk.

Poseł Dariusz Stefaniuk (PiS):
Cóż, przewodniczący mi pomógł. Bardzo dziękuję, panie przewodniczący. Panie dyrektorze, chciałbym coś sprecyzować. Bardzo dziękuję za wypowiedź, która otwiera nas na różnego rodzaju argumenty, bo powiedział pan też o innych krajach, które przyjmują tego typu rozwiązania, żeby pokazać, z którymi państwami jesteśmy w sojuszach, a z którymi nie jesteśmy, które są zagrożeniem albo nim nie są itd.

Jest to jednak coś zupełnie innego niż to, o czym powiedział pan minister, odpowiadając bodajże na pytanie pana rzecznika Abramowicza. Minister powiedział, że tak naprawdę nie ma tematu państwa, bo mogą to być urządzenia ze Stanów Zjednoczonych, Chin, Niemiec i każdego innego kraju. Cytuję to, co pamiętam. Panowie, pogadajcie ze sobą, czy tam są państwa, czy to są urządzenia, bo są to dwie różne rzeczy. Mam jeszcze jedno pytanie.

Sekretarz stanu w MC Paweł Olszewski:
Przepraszam, panie przewodniczący. Proszę nie mylić systemów walutowych.

Poseł Dariusz Stefaniuk (PiS):
Walutowych? Oglądamy te same filmy.

Sekretarz stanu w MC Paweł Olszewski:
Mówimy o tym, jakie są regulacje w poszczególnych państwach. To jest jedna rzecz. Zupełnie inną rzeczą jest to, jak zdefiniowany jest DWR i kogo to może dotyczyć. Tu jest pełna jedność i uzupełnianie się między mną a panem dyrektorem.

Poseł Dariusz Stefaniuk (PiS):
W związku z tym, panie ministrze, mam pytanie, bo to jest kolejna ustawa, która jest w Komisji, a podobnie było z aktem o usługach cyfrowych (DSA). Dlaczego Polska rozszerza to, czego wymaga od nas implementacja prawa UE, czyli dodatkowo robimy pewną nadbudowę? Za bardzo tego nie rozumiem. Unia Europejska w dyrektywie, jak zrozumiałem, mówi o tym, że to ma być 5G Toolbox, czyli tylko te urządzenia mają być wymieniane.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Nie. To jest tylko sugestia.

Poseł Dariusz Stefaniuk (PiS):
Pan minister może mnie poprawić.

Sekretarz stanu w MC Paweł Olszewski:
Tak. Zaraz to zrobię.

Poseł Dariusz Stefaniuk (PiS):
Ale my dodajemy tutaj dużo innych branż, w których urządzenia muszą być wymieniane. Zgodzimy się, że są też kraje, które mają inną implementację niż my, bo nie tak daleko idącą. Tych państw jest dosyć sporo. Znalazłem Belgię, Chorwację, Węgry, Włochy, Łotwę, Litwę, Grecję, Maltę, Słowenię i Słowację. Może się to wiązać z tym, o czym mówił pan dyrektor, że tamte kraje nie wprowadzają tego typu zapisów. W związku z tym, patrząc na branżę, jak to będzie odczuwane przez przedsiębiorców?

Teraz moje pytanie, które nawiązuje do dwóch wypowiedzi pana dyrektora i pana rzecznika Abramowicza. Czy rząd ma zamiar wprowadzić taką regulację, którą przewiduje konstytucja dla przedsiębiorców? Jakie skutki wprowadzenia tej ustawy odczują przedsiębiorcy? Czy my jako posłowie poznamy kwotę, jaka wiąże się z ustawą, czyli jej wymiar finansowy? Chodzi mi o MŚP, a więc o małych i średnich przedsiębiorców. Bardzo dziękuję.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, jeśli mogę od razu odpowiedzieć, bo to ważne pytania, to nie jest tak, że mamy wprowadzać dyrektywy NIS1 i NIS2 jeden do jednego. Dyrektywa NIS2 wskazuje nam minimalne warunki, które muszą być wprowadzone. Każdy kraj członkowski, biorąc pod uwagę specyfikę swojego rynku, może to regulować w odmienny sposób.

Znajdujemy się na wschodniej flance NATO i na granicy z Rosją. Nasza perspektywa jest zgoła odmienna, więc dostosowujemy się do warunków, w których niestety przyszło nam żyć i walczyć z agresorem, czy rosyjskim, czy białoruskim, stąd te rozwiązania i objęcie regulacją szerszych sektorów. Większość krajów UE wdrożyła już 5G Toolbox, a nowa strategia bezpieczeństwa, zarówno NATO, jak i UE, rekomenduje objęcie tożsamymi regulacjami DWR również innych sektorów, dlatego podjęliśmy taką a nie inną decyzję.

Nie chcę wchodzić na grunt polityki, ale jeśli poszlibyśmy wyłącznie minimalistyczną wersją, że chodzi tylko o 5G Toolbox i sieć 5G, to nie objęlibyśmy szpitali, ścieków, szkół i nie wiadomo czego, a kto byłby winien, gdyby wydarzył się kryzys czy skuteczny atak? Oczywiście winien byłby polski rząd, bo nie zadbał o całą gospodarkę i o Polskę. Naprawdę mówimy tu o twardym bezpieczeństwie. Musimy o to zadbać niezależnie od poglądów politycznych.

Przy tej ustawie bezwzględnie każdy mógł się wypowiedzieć. Były naprawdę bardzo głębokie i szerokie konsultacje. Pan profesor odwoływał się do jakiegoś zdania Komisji Prawniczej.  Ten projekt przeszedł również przez Komisję Prawniczą i został zaakceptowany. Przyjęliśmy uwagi Komisji Prawniczej. Zapewne przyjmiemy też część uwag pań i panów posłów. Nie jesteśmy doktrynalnie przywiązani do projektu ustawy. Nie mówimy, że musi w nim zostać każde rozwiązanie czy każdy przecinek, ale bezwzględnie zostaną dostawcy wysokiego ryzyka jako instytucja, o której tutaj głównie rozmawiamy. Zrobię absolutnie wszystko, żeby zostali, bo to jest kwestia bezpieczeństwa państwa i obywateli. Przepraszam, ale nikt mnie w tej kwestii nie przekona.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Jeszcze pan poseł ad vocem.

Poseł Dariusz Stefaniuk (PiS):
Tylko jedno zdanie. Bardzo mi przykro. Zasmuciła mnie ta wypowiedź, panie ministrze, ponieważ uwierzyłem panu i pana środowisku. Uwierzyłem w to, co mówił Rafał Trzaskowski w trakcie kampanii wyborczej. Przyjął generalną zasadę i powiedział: „Wszystko, co robi Unia Europejska – tak, plus zero, bo nic nie będziemy dodawać”. Wziąłem to za dobrą monetę, a przecież pan był też członkiem tego sztabu. Żałuję, że teraz ten kierunek się zmienia, ale mam nadzieję, że w pracach Komisji będziemy mogli… Przegrał, tak? Rozumiem. To może dlatego przegrał. Warto dotrzymywać umów. Sugeruję, żebyście nie szli z tezą: „Cóż szkodzi obiecać?”, więc mam nadzieję, że tego dotrzymacie. Dziękuję.

Sekretarz stanu w MC Paweł Olszewski:
Przepraszam, ale tam, gdzie chodzi o bezpieczeństwo, nie ma kompromisów. Musimy o tym sobie mówić jasno i klarownie. Nie będziemy wprowadzali ustawy tylko po to, żeby ją wprowadzać. Rozwiązania prawne wprowadzamy po to, aby zapewnić elementarne bezpieczeństwo Polkom i Polakom, jak też wszystkim, którzy tutaj siedzą. Naprawdę chciałbym odejść od narracji o charakterze lobbystycznym, bo wszyscy, jak tu siedzimy, wiemy, o co idzie gra.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Drodzy państwo, miejmy nadzieję, że idzie faktycznie o bezpieczeństwo. Natomiast jeszcze odnośnie do tego, co powiedział pan poseł Stefaniuk, przypomnę tylko, że nie tak daleko cofając się w czasie, bo za czasów prezydencji Polski w UE, pan premier wystosował przecież tzw. apel warszawski. W tym apelu Polska odnosiła się do pozostałych krajów UE, aby maksymalnie ograniczać regulacje i nadregulacje również w kontekście kwestii bezpieczeństwa i samej dyrektywy NIS2. Bardzo proszę, pan przewodniczący Napieralski.

Poseł Grzegorz Napieralski (KO):
Bardzo dziękuję, panie przewodniczący. Mam kilka pytań do pana ministra, jeżeli pan minister pozwoli. Moje pytania są zadawane w kontekście wypowiedzi pana przewodniczącego Stefaniuka.

Najpierw krótkie wprowadzenie. Wsłuchując się w pana pytania i wypowiedź, panie pośle, takie same pytania mógłbym zadać pana środowisku. Pamiętam, że ta ustawa była procedowana w zeszłej kadencji. Przypominam, że wszyscy zgodziliśmy się wtedy na wysłuchanie publiczne, które miało się odbyć, ale ustawa została wycofana przez ministra Cieszyńskiego przed tym wysłuchaniem. To tak tylko w kwestii przypomnienia faktów, które miały miejsce pod koniec kadencji.

Mam pytanie do pana ministra. Czy mógłby pan precyzyjnie powiedzieć, ile było spotkań? Nie mówię, że chodzi o wszystkie, ale przynajmniej o większość. Jaki był charakter tych spotkań? Z kim te spotkania były odbywane? Pytam, żebyśmy mieli świadomość konsultacji, o których pan mówił. Nie wiem, czy wszystko pan powiedział, bo oczywiście pamięć może tego nie pomieścić, skoro mówił pan o jakichś tysiącach spotkań i o tysiącu uwag. Ile było tych spotkań? Chodzi mi przede wszystkim o rozmowy z branżą, bo to jest ważne. Rozumiem, że chodzi o branżę, a więc o tych, którzy po prostu będą wdrażać te przepisy. To ile było tych spotkań? Jak to wyglądało? Z tego, co zrozumiałem, było tego bardzo dużo. Powiedzmy sobie to jeszcze raz. Rozumiem, że dzisiaj podejmujemy decyzje na podstawie różnych rekomendacji, które płynęły z tych spotkań. Tak więc chciałbym dowiedzieć się od pana, jak te spotkania wyglądały, ile ich było, z kim się państwo spotykali i gdzie te konsultacje się odbyły, żebyśmy mieli to jasno i dokładnie powiedziane na posiedzeniu Komisji.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Proszę, panie ministrze.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, nie jestem w stanie odpowiedzieć. Ile było tych spotkań? To były tysiące spotkań w różnych formatach. Zarówno osobiście spotykałem się z przedstawicielami branży, związkami pracodawców i przedsiębiorców, bo chyba z reprezentantami każdego związku się widziałem, jak i moi współpracownicy spotykali się z nimi na poziomie roboczym. Dyskutowaliśmy przecież w różnych formatach. Mamy partnerstwo w ramach „Programu współpracy w cyberbezpieczeństwie”, gdzie są zrzeszone różne firmy, począwszy od małych polskich firm, po dużych gigantów z zagranicznym kapitałem. Odbywamy okrągłe stoły. Dyskutowaliśmy też o tym z partnerami rządowymi i z instytucjami centralnymi.

Ten projekt, który dzisiaj leży na stole, jest projektem kompromisowym. A jak to jest z kompromisem? To jest tak, że nikt nie jest do końca zadowolony. Gdybym miał jednoosobowo wydać dekret wprowadzający pewne rozwiązania, to bym ten projekt zaostrzył, bo uważam, że jest taka konieczność. Wsłuchując się jednak w głos rynku i w to wszystko, o czym tutaj rozmawiamy, muszę powiedzieć, że gdzieś trzeba było wyważyć bezpieczeństwo i argumenty, które do nas trafiały.

Naprawdę nie jestem w stanie odpowiedzieć na pytanie, ile było spotkań, bo musiałbym skłamać. Było ich po prostu tak dużo. Dzisiaj choćby odbywałem kilka spotkań w tej sprawie i to w różnych formatach, jak i odbywali je moi współpracownicy. Mówiąc szczerze, tak jak powiedziałem już dwukrotnie, nie pamiętam tak przekonsultowanego projektu ustawy, a mam wieloletnie doświadczenie parlamentarne.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Proszę, teraz pani na końcu.

Dyrektor do spraw prawnych Krajowej Izby Komunikacji Ethernetowej Kinga Pawłowska-Nojszewska:
Dziękuję bardzo. Kinga Pawłowska-Nojszewska, Krajowa Izba Komunikacji Ethernetowej. Proszę państwa, KIKE zrzesza mikrofirmy oraz małych i średnich przedsiębiorców telekomunikacyjnych. Takich przedsiębiorców z segmentu MŚP jest w Polsce około 2 tys. Generalnie członkowie tego środowiska zapewniają około 30% internetu światłowodowego czy szerzej przewodowego w Polsce. To tak celem zarysowania sytuacji. Kogo tutaj reprezentuję? Reprezentuję przede wszystkim polskich przedsiębiorców, bo to oni są w segmencie MŚP.

Przy tej okazji warto zaznaczyć, o czym pan minister już wspomniał, że MŚP są wyłączeni z mechanizmu DWR, poza drobnymi wyjątkami, choć nie do końca mogę się z tym zgodzić, dlatego że wyłączeni są ci, którzy mają przychody niższe niż 10 mln zł, a zgodnie z naszą ustawą – Prawo przedsiębiorców 10 mln zł przychodu rocznego mają mikroprzedsiębiorcy i najmniejsi z małych przedsiębiorców. Granica małego przedsiębiorcy kończy się na 10 mln euro.  Potem są średnie firmy. Zatem ten mechanizm dotyczy większości małych oraz średnich przedsiębiorców. To taka uwaga na wstępie.

Druga kwestia, do której chciałam się odnieść, jest oczywiście taka, że z jakiegoś powodu mówimy tutaj głównie o DWR, natomiast mamy też bardzo konkretne i ważne postulaty w zakresie sankcji. Akurat wcześniej profesor Chmaj dotknął tutaj również tych innych postulatów. Naszym zdaniem w niektórych przypadkach, bo oczywiście nie we wszystkich, projekt ustawy przewiduje wyższy próg maksymalnej sankcji finansowej niż maksymalny próg przewidziany w dyrektywie NIS2. Gorąco apelujemy o to, żeby jednak nie było tych maksymalnych progów, które są jeszcze wyższe niż w dyrektywie NIS2. To jest w ogóle nasz stały apel, który dotyczy szeroko rozumianej nadregulacji.

Konsekwentnie apelujemy również w sprawie polecenia zabezpieczającego, które jest niezwykle ważną instytucją prawną. Polecenie zabezpieczające jest właśnie przewidziane w sytuacjach kryzysowych, o których pan minister wspomniał. Kiedy dojdzie do sytuacji kryzysowej, trzeba działać szybko i nagle. To będzie rzeczywiście odpowiedzialność państwa. Polecenie zabezpieczające jest potrzebne. Natomiast konsekwentnie apelujemy o to, żeby obowiązywało ono tak długo, jak trwa sytuacja kryzysowa, póki nie zostanie zażegnana. Niestety projekt ustawy przewiduje taką możliwość, żeby to polecenie mogło trwać nawet 2 lata. To jest jakby nasz apel. Naszym zdaniem to jest po prostu nadmiarowe.

Zanim przejdę szerzej do DWR, chociaż oczywiście postaram się mówić bardzo krótko i zwięźle, chciałam powiedzieć, że widać ogrom pracy nad tym projektem, patrząc tak z zewnątrz. Dostrzegamy to jako KIKE. Bardzo to widać w kolejnych wersjach projektu ustawy. W pewnym momencie projekt się bardzo zmienił. Widać, że mocno pochylili się państwo nad podmiotami publicznymi, także tymi mniejszymi, a to jest na pewno na plus. Chodzi też o projekty dotyczące cyberbezpiecznych samorządów czy wodociągów, bo faktycznie tym miejscom w praktyce brakuje cyberbezpieczeństwa. Widać więc, że jest to nie tylko papierowe podejście do cyberbezpieczeństwa, ale również praktyczne. Dostrzegamy to, patrząc po prostu na kolejne projekty ustaw. Warto też wspomnieć o tym, że KIKE jest organizacją apolityczną. Niezależnie od opcji politycznych po prostu dostrzegamy plusy czy minusy danych regulacji i na ten temat się wypowiadamy.

Proszę państwa, przechodzę już do DWR. Z tego, co rozumiem, również MC nie kwestionuje tego, że w porównaniu do całej UE wdrażamy DWR w stopniu najszerszym. Nie kwestionują tego państwo, jeśli chodzi o zakres podmiotowy?

Sekretarz stanu w MC Paweł Olszewski:
Tak jak powiedzieliśmy, w OSR jest dokładnie opisane, jakie są regulacje w tym zakresie, kraj po kraju, a znajdujemy się w środku stawki, więc tego zdania nie podzielam.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Nie, bo przede wszystkim wszędzie tam jest 5G.

Sekretarz stanu w MC Paweł Olszewski:
Nie podzielam zdania, że w tym zakresie jesteśmy najbardziej rygorystyczni.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Z załącznika nr 1 do OSR wynika właśnie to, że we wszystkich tych państwach jest przede wszystkim 5G, choć czasami coś jeszcze, ale generalnie jest to przede wszystkim 5G. Żadne państwo nie rozszerzyło regulacji na 18 sektorów gospodarki. W tym sensie jest ona podmiotowo najszersza. Skala nadregulacji jest bardzo duża, wręcz porażająca, bo przywoływany tutaj wielokrotnie 5G Toolbox to jest nasz punkt wyjścia. Nie bez przyczyny 5G Toolbox dotyczy tylko sieci 5G, która po prostu charakteryzuje się tym, że jest siecią bezprzewodową, która ma taką konstrukcję, że w wielu punktach bezpieczeństwo może zostać zaburzone. Nie jestem osobą techniczną, więc nie będę tutaj tego szczegółowo opisywać. Natomiast w samym dokumencie 5G Toolbox szczegółowo jest opisane, dlaczego akurat 5G to jest taka technologia sieci, która się różni od wszystkich innych sieci i sektorów. Dlatego 5G jest w centrum zainteresowania. Nawet w 5G Toolbox jest mowa tylko o krytycznych elementach sieci.

Dlaczego natomiast to powtarzam? W naszym kraju jest 4 operatorów sieci 5G, którzy są właścicielami tudzież zarządcami infrastruktury i dostawcami sieci. W tej chwili regulacja DWR dotyczy wszystkich podmiotów kluczowych i ważnych, objętych ustawą, minus mikrofirmy i najmniejsi z małych przedsiębiorców telekomunikacyjnych, czyli około 40 tys. podmiotów, a może nawet 80 tys. podmiotów, jak wspomina NASK podczas swoich szkoleń, a pan dyrektor też o tym wspomniał. W tej chwili trudno powiedzieć. Cały czas to szacujemy. Mówimy więc  o 4 podmiotach versus 80 tys. podmiotów. Taki jest obraz liczbowy skali nadregulacji, jeżeli chodzi o DWR.

Od razu nawiążę też do tego, co pan dyrektor powiedział o procedurze administracyjnej. To jest takie rozumowanie, że u początku wnioskowania sami umieszczamy jakieś założenie, a potem wyciągamy z niego daleko idące wnioski, podczas gdy naszym zdaniem założenie jest po prostu niesłuszne. Oczywiście mówię o tym z punktu widzenia organizacji, która reprezentuje przede wszystkim MŚP z polskim kapitałem.

Naszym zdaniem rażącą dyskryminacją MŚP jest cenzus majątkowy, który się pojawia w procedurze DWR. Wcześniej wskazał na to pan mecenas. Cenzus majątkowy to jest instytucja czasów słusznie minionych, ale jeszcze tych dalszych, wcześniejszych, co jest bardzo zaskakujące. W sposób oczywisty taki warunek dyskryminuje MŚP. Trzeba osiągnąć pewien próg przychodów, aby móc w ogóle przyłączać się do postępowania administracyjnego. Co powiedział teraz pan dyrektor? Gdybyśmy wszystkich dopuścili do postępowania, to kilkadziesiąt tysięcy podmiotów byłoby potencjalnie stronami postępowania, więc nie dałoby się takiego postępowania prowadzić. Tak, ale trzeba było zrobić to w ten sposób, żeby były 4 podmioty. Gdyby to dotyczyło sieci 5G, to byłyby 4 podmioty, a nie 40 tys. Wtedy nie byłoby problemu masowości tego postępowania. Naszym zdaniem tu jest błędne koło argumentacji, jeżeli chodzi o samą procedurę.

Mówiąc dalej o procedurze, przypomnę, że pan minister wielokrotnie już dzisiaj mówił o tym, że procedura jest długa i wieloetapowa, ale też przysługuje odwołanie do sądu. Tak z grubsza procedura jest dwuetapowa w tym sensie, że jest wszczęcie postępowania, opinia Kolegium do Spraw Cyberbezpieczeństwa i decyzja, a pośrodku jest oczywiście przebieg postępowania administracyjnego, czyli po prostu postępowanie dowodowe itd. W porównaniu z innymi postępowaniami administracyjnymi ta procedura nie jest ani szczególnie długa, ani wyjątkowo krótka. Po prostu będzie po drodze jeszcze opinia jednego organu. To jest zmienna, tak?

Jeżeli chodzi o ten element, którym jest cenzus majątkowy, to z naszego punktu widzenia jest to oczywiście kwintesencja problemów z postępowaniem. Mali i średni przedsiębiorcy, zwłaszcza telekomunikacyjni, co i rusz ścierają się z dużymi podmiotami telekomunikacyjnymi, jeśli chodzi o ich interesy. Z natury rzeczy MŚP mają inne problemy niż duzi przedsiębiorcy. Przykładowo naszym podstawowym problemem w bardzo wielu dziedzinach prawa i w prowadzeniu biznesu jest prowadzenie negocjacji z wielkimi korporacjami międzynarodowymi. Duzi przedsiębiorcy telekomunikacyjni mają taką siłę negocjacyjną, czy to z nadawcami telewizyjnymi, czy wreszcie z dostawcami sprzętu, której mali przedsiębiorcy po prostu nie mają. Nie mamy takiej siły negocjacyjnej, za to mamy po prostu inne problemy. Inne rzeczy w postępowaniach są dla nas kluczowe i węzłowe. Zdanie MŚP po prostu nie ma szansy pojawić się w toku postępowania dotyczącego DWR.

Od razu uprzedzając, jest taka możliwość, aby organizacje społeczne przedstawiły swoje stanowisko w sprawie, bo prawdą jest też to, co pan minister powiedział, że było dużo spotkań i dyskusji na wyższym i niższym szczeblu. W związku z tym oczywiście wiem, że ten argument pada. W projekcie ustawy zapisano, że organizacje społeczne mogą przedstawiać stanowisko w sprawie. Teoretycznie jest to jedyna droga dla MŚP, żeby w ogóle przedstawić jakieś swoje zdanie.  Natomiast czym innym jest status strony, a czym innym jest jednorazowe pokazanie jakiegoś tam bardzo ogólnego stanowiska. Jeżeli ktoś przedstawia jedno stanowisko na początku postępowania, a nie wie, czego w ogóle dotyczy rozmowa, to jak owo stanowisko ma uderzać w punkt dyskusji w danym postępowaniu? Nie ma takiej możliwości. Bez statusu strony dla organizacji społecznych nawet nie ma o tym mowy, żeby zdanie MŚP na temat wątków, które w konkretnym postępowaniu okazują się kluczowe, w ogóle się przebiło. Naszym zdaniem więc szalenie dyskryminujące i niesłuszne jest to, że tak szeroki jest skutek tego postępowania, a w ogóle nie ma możliwości, aby pojawiło się w nim zdanie MŚP.

Odwołanie do sądu. Skoro MŚP ani organizacje społeczne nie mają możliwości uzyskania statusu strony w tej sprawie, to automatycznie nie mają też prawa do wniesienia skargi do sądu. Muszą dopiero wykazać istnienie interesu prawnego, żeby sąd ewentualnie zgodził się w ogóle dopuścić do wniesienia takiej skargi. Zgoda sądu w tym momencie jest wątpliwa. Po prostu trudno powiedzieć, co sąd orzeknie w danej sprawie, a czego nie orzeknie. Nie mówię nawet o orzeczeniu merytorycznym, ale w ogóle o dopuszczeniu do postępowania. Może się więc okazać, że przez to, że MŚP nie biorą udziału w postępowaniu administracyjnym, nie zostaną dopuszczeni również do postępowania sądowego.

Jeśli chodzi o wpływ na to, kto będzie DWR, a kto nim nie będzie, jaki sprzęt zostanie uznany za taki, który trzeba usunąć, a który nie będzie, to może się okazać, że MŚP będą kompletnie pozbawione prawa głosu w całym tym postępowaniu. Zresztą mówię o telekomunikacyjnych MŚP, bo podmioty z innych sektorów w ogóle są pozbawione możliwości dołączenia się do postępowania. Mówię o jednym sektorze, bo generalnie wszyscy wiedzą, że w postępowaniu chodzi głównie o telekomy, natomiast jest 17 innych sektorów. Może zresztą pan reprezentujący przedsiębiorców nie zgodziłby się ze mną, że chodzi głównie o telekomy. Natomiast żaden z pozostałych sektorów, czy jest duży, czy mały, nie ma nawet możliwości wzięcia udziału w postępowaniu administracyjnym. Taka jest sytuacja, jeżeli chodzi o postępowanie DWR.

Nie ma właśnie możliwości przeprowadzenia normalnej rozprawy, o czym wcześniej mówił profesor Rogalski. Sąd administracyjny, do którego kierowana jest skarga, nie bada w ogóle, czy uznanie danego dostawcy za DWR było zasadne, tylko bada, czy nie było błędów w postępowaniu przed organem administracji. To jest jego rola. Byłoby inaczej, gdyby to było odwołanie do Sądu Ochrony Konkurencji i Konsumentów (SOKiK), czyli sądu, który po prostu merytorycznie bada sprawę. Takie sytuacje mamy normalnie w systemie prawnym, że jest odwołanie do sądu, który ponownie ma możliwość merytorycznego zbadania sprawy. Sąd administracyjny nie bada ponownie sprawy pod kątem merytorycznym. Bada, czy nie było błędów w postępowaniu.  Tak naprawdę nie ma więc merytorycznego i powtórnego rozpoznania sprawy.

Proszę państwa, nie sądziłam, że tak będzie, ale zgadzam się z częścią wypowiedzi pana Michała Kanownika ze Związku Cyfrowa Polska. Pan Kanownik wspomniał, że filarem bezpieczeństwa w sieci jest dywersyfikacja. Nie mogłabym bardziej zgodzić się z tym twierdzeniem. Dokładnie tak. Dywersyfikacja ryzyka jest podstawowym narzędziem. Jak to będzie? Tutaj mamy sytuację, w której możemy uznać dostawcę za DWR, więc jakiś sprzęt będziemy musieli usuwać, a jakiegoś nie. To metoda czarnej listy. Potencjalnie dany przedsiębiorca telekomunikacyjny rzeczywiście zrealizuje decyzję DWR. Zamiast inwestować w nowe oprogramowanie i w nowych pracowników, będzie musiał wymieniać sprzęt, który w sumie jest sprawny, ale może ryzykowny, co trudno powiedzieć. W końcu przetrwa on czas na wymianę sprzętu. Przykładowo zainwestuje środki w sprzęt z Korei Południowej. Za 2 lata pojawi się znowu kolejna decyzja o DWR. Potencjalnie to rzeczywiście nie jest wymierzone w jednego dostawcę. Formalnie to jest wymierzone nawet w polskich dostawców. Pełna zgoda, bo teoretycznie tak samo mogą być uznani za DWR. Natomiast jest tym gorzej, bo to znaczy, że ten taniec nigdy się nie kończy. Przy takiej konstrukcji owej instytucji prawnej można po prostu wpadać z deszczu pod rynnę.

Jeśli chodzi w ogóle o dywersyfikację ryzyka, naszym zdaniem to jest najlepszy sposób działania. To najlepsze rozwiązanie w sytuacji DWR. Środkiem, który powinien być stosowany, aby zapewniać ogólnie pojęte bezpieczeństwo, jest dywersyfikacja dostawców, a nie usuwanie różnych sprzętów. To jest właśnie mniej dotkliwy środek, który generalnie jest dostępny. W tej chwili mamy środek najbardziej dotkliwy, czyli po prostu usuwanie do dna sprzętu danej kategorii konkretnego dostawcy, a są również mniej dotkliwe środki, których tutaj nie mamy. Takim mniej dotkliwym środkiem byłaby np. redukcja danego sprzętu do iluś tam procent. Zresztą nasze propozycje w tym zakresie wpłynęły do Sejmu. Naszym zdaniem jest to najdalej idący środek, który jest po prostu niezgodny z podstawową zasadą proporcjonalności.

Jako KIKE zleciliśmy przygotowanie opinii prawnej panu profesorowi Ryszardowi Piotrowskiemu, któremu trudno też zarzucić jakieś polityczne koneksje i sprzyjanie jakiejkolwiek opcji politycznej. Tak samo właśnie w proporcjonalności widzi on podstawowy problem. Środek DWR jest potencjalnie najbardziej dotkliwy. W tej sytuacji nakazanie wycofania sprzętu, który mamy, jest możliwie najbardziej dotkliwym środkiem z tych, które również są dostępne. Dlaczego ten środek jest dotkliwy? Podam tutaj znowu parę liczb. Mam nadzieję, że uda mi się to krótko zebrać.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczącym, czy mógłbym się troszkę odnieść, bo…

Przewodniczący poseł Grzegorz Napieralski (KO):
Proszę, panie ministrze, tak na szybko. Oczywiście nie zabieramy pani głosu, tylko rozumiemy, że minister chciałby się odnieść. Bardzo proszę, panie ministrze, żeby nie stracić wątku.

Sekretarz stanu w MC Paweł Olszewski:
Troszkę uzupełniając pana wcześniejsze pytanie odnośnie do tego, ile odbyło się spotkań i konsultacji, w zeszłym tygodniu mieliśmy konsultacje społeczne w MC i była na nich pani mecenas.  Ten wywód, który teraz przeprowadziła, wówczas także przedstawiła. Spotkanie prowadził dyrektor departamentu, udzielając odpowiedzi na wszelkie pytania.

Pani mecenas, powiedziałem to na wstępie. Naprawdę jesteśmy gotowi do dyskusji i do prac parlamentarnych. Możemy jeszcze dyskutować o terminach przystosowania się firm, o karach i o MŚP, czy ma to być 10 tys. zł, czy 10 tys. euro. Absolutnie to jest przedmiot do dyskusji, gdy będziemy szczegółowo rozpatrywali ten projekt. Proszę jednak nie mówić o DWR, bo tutaj osobiście się nie ugnę. Nie wiem, jak większość parlamentarna. Państwo musi mieć narzędzie, żeby móc wycofać z rynku usługę lub produkt, który stanowi zagrożenie dla jego bezpieczeństwa. To nie jest widzimisię, że minister tak sobie zażyczył. Jeśli coś spełnia przesłanki, że stanowi zagrożenie dla bezpieczeństwa państwa, to po procedurze, którą pani również opisała, można podjąć taką decyzję. Absolutnie nie będzie to podlegało żadnym negocjacjom, a przynajmniej nie ze mną, bo uważam, że to jest naczelny interes Rzeczypospolitej. Powtórzę jeszcze raz, że to tak samo, jak gdyby kupować czołgi bez możliwości strzelania, bo nie ma do nich amunicji. Na miły Bóg, musimy wiedzieć, z czym się mierzymy. Absolutnie o wielu rzeczach możemy rozmawiać, rozpatrując szczegółowo projekt, ale w tym aspekcie nie, bo jeśli chodzi o uchwalenie ustawy bez instytucji DWR, to moglibyśmy w ogóle tu teraz nie siedzieć i nie rozmawiać, bo ustawa byłaby bezzębna. Państwo nie miałoby możliwości reagowania w sytuacjach kryzysowych.

Ponownie to podkreślę, jeszcze raz mówiąc, że nie wszystkie produkty, a tylko te, które stanowią zagrożenie dla bezpieczeństwa państwa, będą mogły podlegać procedurze. Nie zakładamy a priori, że coś wycofamy. Być może ta procedura w ogóle nie zostanie zastosowana. Bardzo bym tego chciał. Musimy jednak mieć taką możliwość, jak coś się wydarzy. Jeśli dostrzeżemy, że dany produkt, usługa czy urządzenie są zagrożeniem dla naszych obywateli, to państwo może zareagować i to nie z dnia na dzień, tylko w ciągu 7 lat.

Przewodniczący poseł Grzegorz Napieralski (KO):
Bardzo dziękuję, panie ministrze. Widzę wszystkie zgłoszenia, tylko obiecałem pani, że będzie mogła dokończyć. Pani mecenas, bardzo proszę.

Szanowni państwo, chcę tylko zgłosić jedną uwagę. Dzisiaj jest posiedzenie Sejmu i odbywają się posiedzenia komisji. Mamy ograniczony czas. Salę mamy zarezerwowaną jeszcze na niecałą godzinkę. Mam więc gorącą prośbę, bo jest naprawdę bardzo dużo osób, które chcą zabrać głos. Zwracam się też do pani mecenas, która bardzo długo już mówiła. Nie chcemy państwa ograniczać, tylko musimy jakoś to zgrać, żeby wszyscy mogli się wypowiedzieć. Jeżeli są pytania do nas albo do ministra, to parlamentarzyści i pan minister są do waszej dyspozycji. Pamiętajcie, że od jutra zaczynamy normalną procedurę, czyli każdy punkt będzie przegłosowany. Wtedy też będzie pole do dyskusji, natomiast dzisiaj są oczywiście omawiane tylko warunki ogólne.

Pani mecenas, bardzo proszę jak najszybciej, a potem przechodzimy do innego rzędu, bo widzę, że są zgłoszenia. Później przejdziemy do tego i do tamtego stołu.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Bardzo dziękuję, panie przewodniczący. Panie ministrze, dziękuję też za deklarację, że jest możliwość pracy nad ustawą. Nie mamy również takiego celu, żeby wstrzymywać tę ustawę jako taką, bo widzimy, że zdecydowana większość regulacji w tej ustawie po prostu wdraża dyrektywę NIS2. Natomiast najbardziej zależy nam na tym, żeby usunąć te rozwiązania, które są nadregulacją.

Jeżeli chodzi o DWR, to bardzo króciutko powiem, dlaczego regulacja jest nieproporcjonalna i bardzo ciężka. Dlaczego tak się buntujemy? Dlatego, że nie jest prawdą, że cykl życia urządzeń wynosi od 4 do 7 lat. Z czego wynika to twierdzenie o cyklu życia urządzeń? W uzasadnieniu projektu ustawy podany jest jeden argument, który miałby za tym przemawiać, czyli raport Organu Europejskich Regulatorów Łączności Elektronicznej (BEREC). To jest unijny raport, oczywiście bardzo ważny, natomiast znowu dotyczy on wyłącznie sieci 5G. Nie ma tam żadnych informacji na temat cyklu życia produktów w innych sieciach. Zresztą nawet w raporcie BEREC, gdy mowa jest o elementach korowych sieci 5G, to jest tam też mowa o tym, że 60% operatorów sieci 5G deklaruje, że wymienia je w okresie od 5 do 10 lat. Nawet w raporcie BEREC nie ma 4 lat  dla elementów krytycznych sieci 5G. Jeżeli chodzi o cykl życia urządzeń wykorzystywanych gdziekolwiek indziej niż w sieci 5G, to MC nie zgromadziło żadnych danych. W OSR ich nie ma.

Natomiast nasza izba, żeby nie posługiwać się słowami „dużo” i „mało”, „większość” czy „mniejszość”, przygotowała raport m.in. właśnie na temat tej kwestii. Ministerstwo Cyfryzacji też tym raportem dysponuje. Jest to na dziewiątej stronie tego raportu. Zadaliśmy MŚP w Polsce takie samo pytanie jak BEREC. Wyróżniliśmy kilka bardzo ważnych rodzajów urządzeń, które z kolei występują w sieciach przewodowych, przede wszystkim światłowodowych. Zadaliśmy takie samo pytanie: „Ile rodzajów sprzętu A, B i C wymieniliście w swoim przedsiębiorstwie w ciągu ostatnich 7 lat?”. Węzłowe sprzęty w przewodowej sieci telekomunikacyjnej 20% MŚP wymieniło w ciągu ostatnich 7 lat. Dla nas najważniejszymi urządzeniami są terminale linii optycznej (OLT). To jest jedna rzecz. Okres amortyzacji urządzeń aktywnych w sieci telekomunikacyjnej wynosi 10 lat. Jeżeli tyle lat wynosi amortyzacja, to cykl życia produktu nie może wynosić 7 lat i mniej.

Widać, że brakuje tutaj tej oceny skutków regulacji, o której wspominał pan Abramowicz. Ministerstwo Cyfryzacji zasłania się tym, że przecież nie wiadomo, który sprzęt i który dostawca będzie usuwany, więc w ogóle ministerstwo zrezygnowało nawet z szacowania skali problemu. Nasz raport dotyczy tylko przedsiębiorców telekomunikacyjnych i to przewodowych. Natomiast w swoim zakresie byliśmy w stanie zbadać, ile jest takiego czy innego sprzętu i ile by kosztowała jego wymiana. To da się zrobić, więc można oszacować skutki gospodarcze decyzji.

To jest właśnie kwintesencja problemu. Potencjalnie jest to naprawdę bardzo ciężka regulacja ze względu na swoje skutki społeczno-gospodarcze, a tymczasem na żadnym etapie nie ma miejsca na ich badanie, ponieważ w ustawie nie ma OSR z tymi elementami, jak i k.p.a. w przypadku MŚP w postępowaniu DWR. Jedynym etapem wydłużającym całe postępowanie jest opinia Kolegium do Spraw Cyberbezpieczeństwa. Kolegium ma zdefiniowane, czym ma się zająć w toku postępowania. W długim katalogu zagadnień, które kolegium ma poruszyć, żeby się tym zająć…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Przepraszam najmocniej. Proszę zmierzać do końca, bo czas jest ograniczony.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Dobrze. Nie ma skutków społeczno-gospodarczych. To jest duży zarzut z naszej strony. Jedną rzeczą jest nasz raport, a drugą rzeczą jest to, że podobna, chociaż nie taka sama regulacja, została przyjęta w Stanach Zjednoczonych. Wysyłaliśmy krótki materiał do posłów z przypisem do oficjalnej strony Kongresu, gdzie jest wskazane, ile kosztuje dofinansowanie sprzętu. Minęło już 5 lat od tej regulacji, więc zbliżają się tam do 7 lat. W Stanach Zjednoczonych są przyznawane refundacje. Tam nie uznają, że cykl życia urządzenia wynosi…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Rozumiem, że jest to zawarte w państwa raporcie, więc zachęcam do tego, aby zaakcentowała pani…

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Bardzo dziękuję.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, mam jedno pytanie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Momencik. Natomiast naprawdę nie mogę dłużej udzielać pani głosu, bo są inni zainteresowani.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Dobrze. Dziękuję bardzo.

Sekretarz stanu w MC Paweł Olszewski:
Jedno krótkie pytanie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Panie ministrze, bardzo proszę, ale też, nie ograniczając tego do jednego pytania, od razu poprosiłbym o odpowiedź, bo pani mówiła o sprzęcie, który ma pewien okres amortyzacji. Co w momencie, kiedy będzie on dłuższy od czasu na wymianę?

Sekretarz stanu w MC Paweł Olszewski:
To jest związane z tym, co chcę powiedzieć.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Panie ministrze, ale mam również drugie pytanie. Co w takim razie ze sprzętem zakupionym ze środków unijnych, który będzie miał być wycofany szybciej aniżeli unijny okres użytkowania? Dziękuję.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, mam jedno pytanie do pani mecenas, bowiem powiedziała, że państwo już obliczyli, ile sprzętu trzeba będzie wycofać z rynku. Domniemywam, że państwo doskonale wiedzą, który sprzęt i które urządzenia stanowią zagrożenie dla bezpieczeństwa państwa.  Nie wiem tego, ale państwo to obliczyli, co oznacza, że już zidentyfikowali, które urządzenia stanowią zagrożenie dla bezpieczeństwa państwa, bo to jest przesłanka do wszczęcia procedury DWR.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Panie ministrze, tak jak powiedziałam…

Sekretarz stanu w MC Paweł Olszewski:
Było to de facto zamknięte pytanie, więc odpowiedź brzmi: „Tak” albo „Nie”.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
To nie jest prawdziwe twierdzenie, bo po prostu oszacowaliśmy, ile kosztowałoby wycofanie sprzętu, ale nie z rynku, tylko z naszych sieci przewodowych, gdyby trzeba było go usuwać.

Sekretarz stanu w MC Paweł Olszewski:
Czyli już wiecie, które urządzenia stanowią zagrożenie dla bezpieczeństwa państwa.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Nie. Panie ministrze, szacujemy, ale oczywiście są wyciągnięte przed nawias…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Szanowni państwo, bo…

Sekretarz stanu w MC Paweł Olszewski:
Dobrze, szanowny panie prezesie, ale wskazujemy tylko urządzenia i usługi, które stanowią zagrożenie dla bezpieczeństwa państwa, niezależnie od kraju pochodzenia, czy to z Polski, czy to ze Stanów Zjednoczonych, Niemiec, Francji, Szwecji czy Hiszpanii.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Natomiast przed nawias są wyciągnięte urządzenia spoza UE i NATO, mając oddzielną przesłankę, którą spełnić jest bardzo łatwo. Jest trochę taka jakby operacjonalizacja. Co to jest bezpieczeństwo państwa?

Sekretarz stanu w MC Paweł Olszewski:
Tak. Jeśli to będą urządzenia z Rosji, będziemy je wycofywali od ręki.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Właśnie. Bardzo dobrze, że pan minister powiedział o Rosji i o tym karaluchu pana Michała Kanownika.

Sekretarz stanu w MC Paweł Olszewski:
Oczywiście, że tak.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
To są cyberataki. Ten karaluch, o którym powiedział pan Kanownik, to są właśnie cyberataki.

Sekretarz stanu w MC Paweł Olszewski:
Nie będziemy przymykali oka na Białoruś, Rosję i wrogie nam państwa.

Dyrektor KIKE Kinga Pawłowska-Nojszewska:
Tak, ale mamy do tego inne instrumenty prawne. To jest właśnie kwintesencja problemu, że DWR służy zarządzaniu ryzykiem, kiedy nie wiemy, że jest zagrożenie, a jeśli naprawdę jest realny problem i sytuacja kryzysowa, mamy do tego inne instrumenty prawne, które są bardzo skuteczne i dobre, jak właśnie to polecenie zabezpieczające…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dobrze. Bardzo dziękuję, pani mecenas. Teraz pan prezes Skupień. Ktoś zgłaszał się wcześniej czy już nie? Pytam, bo są chętni. Proszę, panie prezesie.

Prezes Krajowej Izby Komunikacji Ethernetowej Karol Skupień:
Dobrze. Bardzo chętnie, chociaż jak zwykle kończy się czas, tak samo jak na tych spotkaniach, których rzeczywiście było z 500, więc pewnie mam 3 minuty na mówienie o bezpieczeństwie państwa. Proszę państwa, tak wyglądają wszystkie spotkania. Nigdy nie ma czasu. Oczywiście, że jest to najlepiej przedyskutowana ustawa w Polsce. Szanowni państwo, 200 razy mówiliśmy o tym, że to jest nadregulacja, a pan minister mówi, że nie jest. Możemy tak jeszcze 500 razy się spotkać, dlatego Komisja musi podjąć decyzje, bo wydaje mi się, że tutaj…

Trzeba zacząć od początku. Proszę państwa, pamiętamy, że w poprzedniej kadencji mieliśmy problem z Prawem komunikacji elektronicznej. Ostatecznie Polska zapłaciła karę za niewdrożenie p.k.e. Dlaczego? Dlatego, że przez wiele lat była przygotowywana bardzo dobra ustawa, ale w ostatniej chwili ktoś zrobił wrzutkę i nadregulację. Wtedy to się nazywało lex pilot. Skończyło się na tym, że państwo posłowie nie przegłosowali ustawy. Zapłaciliśmy karę. Mieliśmy złe prawo. Nie mieliśmy w ogóle tego, co powinno być. Przestrzegam państwa. Teraz doprowadzimy do tego samego, bo to jest potężna, skrajna, nieprzyzwoita nadregulacja, do której pan minister się nie przyznaje. Potężna nadregulacja, która jest niezgodna z konstytucją, jest wrzucana i pchana na siłę. Pan minister mówi, że się nie zgodzi. Jak się nie zgodzi, to może znowu będziemy mieć…

Poseł Grzegorz Napieralski (KO):
Panie prezesie, mogę zadać jedno pytanie? To prośba do wszystkich państwa. Jeżeli mówicie o jakiejś nadregulacji, to bardzo was proszę, żebyście mówili, o co chodzi, bo ogólnie…

Prezes KIKE Karol Skupień:
Tak, tylko wtedy potrzebuję 10 minut.

Poseł Grzegorz Napieralski (KO):
Nie. Absolutnie to nie jest złośliwość z mojej strony, tylko jutro będziemy podejmowali decyzje…

Prezes KIKE Karol Skupień:
Zaraz powiem. Tak, oczywiście.

Poseł Grzegorz Napieralski (KO):
Jeżeli mówimy, że coś jest nadregulacją, to chcielibyśmy wiedzieć, co dla was jest nadregulacją, w którym punkcie, artykule i miejscu, żebyśmy mogli wyrobić sobie opinię.

Prezes KIKE Karol Skupień:
Tak. Proszę państwa…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dla wiadomości państwa posłów. Różne izby zgłaszały swoje uwagi do sekretariatu Komisji.

Prezes KIKE Karol Skupień:
Proszę państwa, zdaję sobie sprawę, że dokumentów, które złożyliśmy, jest tak dużo, że nie zdążą państwo nawet ich przeczytać. Tam jest wszystko. Nie zdążycie tego zrobić. Przecież w Polsce tak się robi legislację. Są tysiące dokumentów. Gratuluję. Dobrze, ale proszę mi pozwolić dokończyć.

Gdzie jest nadregulacja? Konkrety, proszę państwa. Dostawca wysokiego ryzyka pochodzi z 5G Toolbox, który nawet w nazwie ma 5G. Amen. Po prostu tak jest, a pan minister ma prawo uważać, że 5G Toolbox albo dyrektywa NIS2 są złe. Pan minister ma prawo tak uważać i robić nadregulację, ale niech to powie. Niech umie się przyznać: „To jest moja, polska wersja. Nadreguluję to”. Natomiast 5G Toolbox dotyczy wyłącznie sieci 5G. Mechanizm DWR wymyślony został tylko dla sieci 5G. W Polsce dotyczyłby 4 przedsiębiorców, a dotyczy 40 tys. To jest nadregulacja czy nie? To jest potężna nadregulacja. Ma to dotyczyć wyłącznie sieci 5G. Dlaczego? Proszę państwa, mechanizm DWR w ogóle nie broni nas przed Rosjanami, przed atakami ani przed tym, co mówi pan minister. Co zrobią wodociągi, jak urządzenie będzie złe? Nie będą dostarczać wody Polakom? Jakie widzi pan w tym zagrożenie, że u dostawcy będzie jakieś złe urządzenie? Jeśli nie będą dostarczać wody Polakom, to… Co powie pan wodociągom? Naprawdę pan tak powie: „Szanowni państwo, nie dostarczajcie Polakom wody jeszcze przez 4 lata”?

Sekretarz stanu w MC Paweł Olszewski:
Jak będzie…

Prezes KIKE Karol Skupień:
„Przez 4 lata nie dostarczajcie wody Polakom, bo macie”…

Sekretarz stanu w MC Paweł Olszewski:
Zadaje pan pytanie, żeby usłyszeć odpowiedź, czy żeby sam sobie odpowiedzieć?

Prezes KIKE Karol Skupień:
Zadam panu trzy pytania. Chciałbym, żeby na koniec pan odpowiedział, chyba że chce pan teraz, to proszę.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Nie. Proszę pytać, panie prezesie. Na koniec będzie odpowiedź.

Prezes KIKE Karol Skupień:
Zadam trzy pytania i będę prosił później o odpowiedź. Proszę państwa, w ogóle to jest złe rozumienie ustawy. Dyrektywa NIS2 może dotyczyć wielu sektorów, ale wyłącznie w spojrzeniu na usuwanie incydentów. Jeśli jest incydent w wodociągach, to zgadzam się, że minister powinien mieć prawo do zareagowania i mechanizm, ale tym mechanizmem, broń Boże, nie jest DWR. To jest mechanizm usunięcia incydentu. Jeśli jest groźba w przypadku wodociągu, natychmiast macie to usunąć, ale incydent, a nie urządzenie. To jest zasadnicza różnica. Pan minister nie rozróżnia usuwania incydentu i faktycznych zagrożeń od usuwania urządzeń. Zadam to samo pytanie. Skąd pan minister wie, że za 4 lata będzie ryzyko incydentu w tym urządzeniu?

Sekretarz stanu w MC Paweł Olszewski:
Szanowny panie…

Prezes KIKE Karol Skupień:
W swojej sieci panujemy nad urządzeniami. Proszę pana, to pan naprawdę… Zatrudniamy tysiące ekspertów i administratorów w sieciach telekomunikacyjnych. Czy pan uważa, że minister cyfryzacji wie lepiej niż tysiące ekspertów, którzy są tam na co dzień? Jak to nie o tym rozmawiamy? Na gruncie podstawowej logiki jest tak, że mamy usuwać incydenty. Proszę państwa, ten pomysł, żeby nie usuwać incydentów, tylko urządzenia, pojawił się w Polsce jako nowa koncepcja, która w ogóle nie wynika z dyrektywy NIS2. Ta nowa koncepcja w ustawie, żeby nam nie nakazywać…

Incydenty też będą usuwane, proszę państwa, ale usuwanie urządzeń to jest coś, co właściwie wszyscy profesorowie prawa, z którymi spotykaliśmy się na konferencjach i podczas konsultacji, ocenili jako niekonstytucyjne. Istotą działania państwa jest to, że jeśli jest zagrożenie, to mamy je wyeliminować, ale każdy ma to zrobić zgodnie ze swoją wiedzą i najlepszą sztuką. Minister cyfryzacji nie jest od tego, żeby mówić, jakie urządzenie w którejś firmie telekomunikacyjnej jest złe i co ona ma zrobić, żeby wyeliminować podatność, bo nie ma o tym pojęcia. Proszę państwa, powiedzmy to głośno i wyraźnie. Polskie państwo nie ma zasobów do tego, żeby nadzorować niezwykle skomplikowane aspekty techniczne w polskich firmach telekomunikacyjnych. Żaden urzędnik nie ma takiej wiedzy. To jest bardzo skomplikowane. Dlatego oczekujemy tego, że np. państwo powie: „Jeśli masz wycieki danych, żądamy usunięcia tych wycieków i to natychmiast”. Nie kwestionujemy tego przepisu.

Dążąc do bezpiecznego państwa, poprawmy przepisy. Sam będę zwolennikiem tej ustawy, żeby ona wreszcie weszła, ale wycofajmy takie komunistyczne podejście, czyli to, że urzędnik państwowy wie lepiej. Przepraszam, panie prezesie. Nie pisałem tego, ale spodobało mi się to określenie. Mówił pan, że ktoś pisał tak w mediach. Nieważne. Nie możemy doprowadzać do tego, że urzędnik państwowy, tak jak w komunizmie, powie: „Służby mi coś powiedziały, więc musicie wyrzucić sprzęt kupiony za prywatne pieniądze”. Proszę państwa, tak to właśnie jest w komunistycznych krajach.

Życzyłbym sobie, żeby zgodnie z dyrektywą NIS2 nakazywać nam usuwanie podatności i zagrożeń. Możemy to robić. Mało tego, chcemy to robić natychmiast. Jeśli ktoś wskaże polskiej firmie telekomunikacyjnej, że jest zagrożenie, prosimy o informację i natychmiast to zrobimy, bez grożenia nam karami, które notabene są najwyższe w Europie. Możemy o tym rozmawiać. Bardzo się cieszę, panie ministrze, że możemy, ale szkoda, że rozmawiamy o tym już bardzo wiele miesięcy, a nie wpadł pan na to, żeby jednak obniżyć kary. Prosimy. Lepiej późno niż wcale. Niech pan obniży kary, bo one są abstrakcyjne. Nie chodzi nam jednak o kary. Nawet gdyby nas niczym nie straszyć, polski przedsiębiorca zawsze zrobi wszystko, żeby usunąć incydent. Mówienie nam jednak, jak mamy to zrobić, żebyśmy wydali 10 mld zł na sprzęt, bo w sieciach telekomunikacyjnych mniej więcej tyle byśmy wydali na wymianę sprzętu, który jest zdefiniowany jako większego ryzyka, bo ma wyższą ocenę, jeśli jest spoza UE i NATO…

Cieszę się, że moi sąsiedzi powiedzieli na początku, iż tak naprawdę wszyscy w branży wiemy, że tutaj jest element, który jest nadregulacją, bo dyrektywa NIS2 dba o bezpieczeństwo,  a 5G Toolbox zajmuje się wyłącznie 5G. Nadregulacja, jaką jest rozszerzenie DWR na 40 tys. przedsiębiorstw, nie służy bezpieczeństwu, ale jest rozgrywką biznesową korporacji amerykańskich i europejskich z chińskimi. Trzeba to głośno powiedzieć. Jeśli pan minister rozróżnia w ustawie te firmy, które są spoza UE, to kogo ma pan na myśli? Producentów z Australii czy skąd? Po prostu to są prawie wyłącznie chińscy i koreańscy producenci, a także ci reprezentowani tutaj przez panów, którzy bardzo popierają ustawę. Trzeba to powiedzieć. To jest rozgrywka polityczna. Jeśli rozmawiamy o bezpieczeństwie, mówmy o tym, co mówi NIS2, czyli o usuwaniu incydentów, a nie urządzeń. Żaden minister nie jest w stanie posiadać takiej wiedzy, które urządzenie będzie bezpieczne czy niebezpieczne za 4 lata. Nie wynika to z żadnego dokumentu unijnego.

To jest wymyślona w Polsce nadregulacja, która jest niezgodna z konstytucją. Weźcie pod uwagę, że jako izba, mając cztery opinie o niekonstytucyjności tej ustawy, z pewnością będziemy składać wniosek do pana prezydenta, żeby jej nie podpisał. Będzie tak jak z p.k.e. Nie róbmy tego błędu. Proszę państwa, wdrożmy dyrektywę NIS2 bez nadregulacji, a później wróćmy na tę salę i dyskutujmy jeszcze raz o tym, czy to rozszerzyć, ale miejmy NIS2 bez nadregulacji. To jest moja prośba do pana przewodniczącego, do prezydium i do wszystkich posłów Komisji. Wycofajmy się z nadregulacji. Przegłosujmy NIS2 bez nadregulacji, a później rozmawiajmy kolejne pół roku o przepisach branżowych. Przecież w wielu branżach są zupełnie różne zagrożenia. To powinny być przepisy branżowe – inne dla wodociągów, inne dla telekomunikacji. Zagrożenia naprawdę nie są te same, chyba że założymy, że jest jedno jedyne rozwiązanie, czyli urzędnik państwowy wie najlepiej, bo wtedy zaproponowane tutaj rozwiązanie jest dobre. Dziękuję bardzo.

Sekretarz stanu w MC Paweł Olszewski:
Panie przewodniczący, czy mamy się odnieść do…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Momencik. Przewodniczący Napieralski, pan minister i kolejne osoby.

Poseł Grzegorz Napieralski (KO):
Dziękuję bardzo, panie przewodniczący. Dodam tylko jedno zdanie albo może dwa zdania. Chciałem się odnieść do ostatniej wypowiedzi.

Po pierwsze, poczułem się trochę obrażony, jeżeli chodzi o pracę legislacyjną. Szanowni państwo, chciałem powiedzieć, że Komisja, a szczególnie jej przewodniczący, robi wszystko, żeby było tu miejsce na dyskusję. Nawet jeśli często się nie zgadzamy doktrynalnie, to jest miejsce na dyskusję. Spotkaliśmy się tu dzisiaj i nikt tego spotkania nie blokował. Mogliśmy to zrobić na jednym spotkaniu i od razu przejść do procedowania, ale dzisiejsze posiedzenie przewodniczący poświęcił tylko na tę dyskusję. Posłowie bardzo rzadko zabierają głos, bo chcą tak naprawdę przysłuchać się waszym głosom. Jeszcze nie podjęliśmy żadnej decyzji o tym, co się będzie działo.

Naprawdę chcemy tworzyć dobre prawo. Dostajemy od was dokumenty. Spotykamy się z izbami branżowymi. Na wasze zaproszenie jesteśmy obecni na waszych spotkaniach i kongresach. Nie mówcie nam, że tworzymy tutaj złe prawo. To, że ktoś ma inny pogląd na to, co uchwalimy, nie znaczy, że to jest złe prawo.

Naprawdę staramy się was wysłuchać. Proszę, żebyście nas nie obrażali. Poczułem się dotknięty tą wypowiedzią. Do każdej ustawy, którą procedujemy w Komisji, naprawdę staram się… Prowadziłem Komisję. Przy okazji p.k.e. było lepiej czy gorzej, trudniej czy łatwiej, ale przebrnęliśmy przez to wszyscy razem, bo słuchaliśmy się nawzajem, choć nie do końca byliśmy z tego zadowoleni. To prawda. Myślę, że tak samo będzie tutaj. Przebrniemy przez to. Mówcie nam, co wam leży na sercu, tylko też nas nie obrażajcie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Proszę, pan minister Olszewski.

Sekretarz stanu w MC Paweł Olszewski:
Przepraszam, panie prezesie, ale nie jestem w stanie się zgodzić nawet co do filozofii pana wypowiedzi, że mamy wyłącznie usuwać skutki ewentualnych ataków. Nie, bo państwo jest też od tego, żeby zapobiegać atakom i eliminować z rynku te rzeczy, które są podatne i mogą stanowić źródło ich przeprowadzenia. Idąc tą filozofią, państwo nie powinno budować zasieków i murów na granicy z Białorusią.

Wprowadzamy tutaj dwie instytucje. Kiedy coś się wydarza, minister może wkroczyć i nakazać pewne działania czy ich zaniechanie etc. To jest polecenie zabezpieczające. Wprowadzamy też instytucję DWR, żeby wycofać takie urządzenia, które stanowią krytyczne zagrożenie dla bezpieczeństwa państwa. To jest kwestia filozofii myślenia. Pan chciałby powiedzieć:  „OK. Jest wyciek danych? To niech państwo to naprawią”. To tak, jak gdyby się powiedziało: „OK. Spadły bomby i budynki zostały zrujnowane? To niech je teraz państwo odbudują”.  Nie chcemy, żeby te bomby spadały. Tu jest clou. To jest istota. Temu służą te rozwiązania prawne. Musimy to sobie uzmysłowić. Naprawdę nie ma tu żadnych politycznych afiliacji – ani lewicowych, ani prawicowych, ani konfederackich. Każdy, komu zależy na bezpieczeństwie państwa…

Oczywiście możemy dyskutować. Nie wiem, ile razy już to powiedziałem, że możemy dyskutować o karach, o przychodach, o wydłużeniu wdrożenia etc. Będziemy siedzieli i rozmawiali o tym artykuł po artykule, zmiana po zmianie, ale nie wybijajmy tej ustawie zębów, bo to jest kwestia bezpieczeństwa państwa. To nie jest frazes. Mówię o tym jako osoba, która na co dzień widzi, co się dzieje. Widział pan, co się działo choćby w szpitalu Ministerstwa Spraw Wewnętrznych i Administracji w Krakowie, gdzie pacjenci cierpieli, bo był atak i zaszyfrowano serwery? Państwo musiało realnie działać i wspomagać szpital. Takie sytuacje dzieją się dzień w dzień.

Wdrożenie dyrektywy NIS2 i tych rozwiązań będzie minimalizować sytuacje stwarzające zagrożenie dla zdrowia i życia obywateli. Nie mam co do tego najmniejszych wątpliwości.  Ci, którzy chcą, aby usunąć DWR z rozwiązań prawnych, działają de facto na niekorzyść państwa, a nie na rzecz jego bezpieczeństwa. To narażanie państwa na realne zagrożenie.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Przepraszam jeszcze na momencik. Drodzy państwo, mamy godzinę 15.36. Sala jest zarezerwowana do godziny 16.00, więc proszę to mieć na względzie. Nie chciałbym ograniczać wypowiedzi, tylko tak rozsądnie zbliżajmy się już ku końcowi. Niestety salę mamy do godziny 16.00.

Radca prawny Polskiej Izby Komunikacji Elektronicznej Tomasz Proć:
Dziękuję bardzo. Tomasz Proć, Polska Izba Komunikacji Elektronicznej. Panie przewodniczący, panie ministrze, szanowni państwo, dziękuję za możliwość przeprowadzenia dzisiejszej dyskusji i zabrania głosu w ważkich sprawach. Na wstępie chciałbym się przyłączyć do podziękowań dla MC i Departamentu Cyberbezpieczeństwa za tytaniczną pracę nad ustawą, jak tu dzisiaj padło. Rzeczywiście odbyło się bardzo wiele spotkań. Zgadzaliśmy się co do niektórych argumentów, a co do innych nie, ale nie możemy zarzucić, że nie zostały one przynajmniej przedyskutowane.

Jako izba uważamy, że wdrożenie dyrektywy NIS2 jest konieczne, żeby nie powiedzieć, że pilne. Regulacje te będą stanowiły odpowiedź Polski i UE na rosnącą skalę cyberzagrożeń. Zdecydowanie wzmocnią odporność naszego państwa i całego rynku wewnętrznego. Z punktu widzenia sektora komunikacji elektronicznej i telekomunikacji nie możemy kwestionować ani kierunku zmian, ani potrzeby podniesienia samego poziomu cyberbezpieczeństwa, co zresztą przecież się dzieje niezależnie od tego, że nie ma ustawy, na którą czekamy.

Chcielibyśmy jednak zwrócić uwagę na to, że projekt w obecnym kształcie w kilku istotnych obszarach wykracza poza minimalne wymogi NIS2 lub pozostawia pewne niejasności interpretacyjne. Na prośbę pana przewodniczącego Napieralskiego chcielibyśmy podać kilka przykładów. Zapewne jutro dokładnie je przedyskutujemy w toku omawiania poszczególnych przepisów.

Zacznę od kwestii sankcji za naruszenie ustawy. Projektowane sankcje finansowe wykraczają poza minimalne wymogi dyrektywy. Naszym zdaniem wprowadzają dotkliwe kary, w tym kary okresowe. Obawiamy się, że w ten sposób stawiają polskich przedsiębiorców w gorszej sytuacji niż przedsiębiorców z innych państw członkowskich. Mówię o przedsiębiorcach telekomunikacyjnych. Nie mamy co do tego wątpliwości, że sankcje powinny być skuteczne i odstraszające, tak jak jest to napisane w dyrektywie czy w uzasadnieniu ustawy, ale powinny być one również proporcjonalne. Projektodawca podwyższył wymiar maksymalnej kary względem wymiaru określonego w NIS2. Zgodnie z dyrektywą maksymalna kara pieniężna powinna wynosić 7 mln euro dla podmiotów ważnych albo 10 mln euro dla podmiotów kluczowych. Tymczasem w projekcie ustawy mamy wyższy poziom kary, bo 100 mln zł. Na szczęście w ustawie są oczywiście określone przesłanki.

Natomiast jutro będziemy się zwracali o wycofanie się z tego wątku. Naszym zdaniem generalne zasady miarkowania kar będą wystarczające. Będziemy się również zwracali o wykreślenie dodatkowej kary, która jest niezależna, za każdy dzień nierealizowania określonych kategorii decyzji. Co prawda podobne przepisy są już w samej dyrektywie, ale ta regulacja nie jest obowiązkowa dla państw członkowskich, a jedynie możliwa. Mam nadzieję, że w toku jutrzejszej dyskusji uda nam się przekonać państwa do zmiany projektu w tym zakresie.

Trzecim wątkiem dotyczącym sankcji jest rygor natychmiastowej wykonalności dla decyzji nakładającej karę pieniężną. Projekt wskazuje przesłanki, na podstawie których decyzji nakładającej karę będzie można nadać rygor natychmiastowej wykonalności. Chciałbym przypomnieć, że nawet we wspomnianej dziś kilkakrotnie ustawie – Prawo komunikacji elektronicznej, procedowanej przecież raptem kilkanaście miesięcy temu, wprowadzono przepis, który zacytuję: „Decyzji o nałożeniu kary pieniężnej nie nadaje się rygoru natychmiastowej wykonalności”. Uzasadnienie takiego podejścia jest następujące. Kara może zostać uchylona lub zmieniona przez sąd, co nadal często się dzieje. Sąd Ochrony Konkurencji i Konsumentów weryfikuje działania właściwych organów. Kara, o ile jest należna, oczywiście powinna być płacona po zakończeniu postępowania sądowego. Tutaj również będziemy się zwracali o wprowadzenie odpowiedniej zmiany.

Drugim tematem, który w imieniu PIKE chcielibyśmy poruszyć, jest długość polecenia zabezpieczającego. Instytucja na pewno jest potrzebna i co do tego nie mamy wątpliwości, byle ona była prawidłowo stosowana. Polecenie zabezpieczające to uprawnienie ministra właściwego do spraw informatyzacji zobowiązujące różne podmioty do określonego zachowania, które zmniejsza skutki incydentu krytycznego. Według projektu polecenie zabezpieczające może trwać aż 2 lata i to niezależnie od czasu koordynacji incydentu. Będziemy apelować o skrócenie tego terminu, żeby polecenie zabezpieczające trwało nie dłużej niż sam proces koordynacji incydentu. Tu również będziemy prosili o zmianę.

Wydawałoby się, że ostatni element, który chciałbym dzisiaj poruszyć, jest mało ważny.  Natomiast w praktyce, ponieważ przedsiębiorcy przygotowują się już do zastosowania nowej ustawy, pojawił się wątek stosowania pojęcia „niezależne systemy informacyjne”. Będziemy się jutro zwracali o wprowadzenie doprecyzowania wskazującego, że regulacja dotyczy tych systemów informacyjnych, które są wykorzystywane bezpośrednio do świadczenia usług w ramach grup kapitałowych, a nie do wszystkich systemów informacyjnych, gdyż taka regulacja wydaje nam się zdecydowanie nadmiarowa. Podmioty, które tylko formalnie są ze sobą powiązane i nie świadczą razem usług, a w szczególności tych, które powodowałyby konieczność stosowania nowych zasad cyberbezpieczeństwa, stają się niejako poszkodowane – albo wchodzą bezpośrednio w regulację cyberbezpieczeństwa, albo z podmiotów ważnych stają się podmiotami kluczowymi. Dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Proszę. Apeluję o to, żebyśmy skracali wypowiedzi.

Doradca Pracodawców Rzeczypospolitej Polskiej Paweł Wajda:
Bardzo dziękuję. Absolutnie tak. Czas nie jest naszym sprzymierzeńcem z dwóch powodów. Pozwolę sobie bowiem przypomnieć o tym, że przepisy projektu…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Proszę się przedstawić.

Doradca Pracodawców RP Paweł Wajda:
Przepraszam. Paweł Wajda, Uniwersytet Warszawski, Pracodawcy RP.

Pozwolę sobie przypomnieć, że przepisy, które jako takie mogą stanowić przejaw goldplatingu, to są tzw. przepisy techniczne w rozumieniu dyrektywy 2015/1535. Przepisy, które w cudzysłowie stanowią pewne uzupełnienie w relacji do literalnej treści dyrektywy NIS2, powinny być notyfikowane do UE. Pozwolę sobie o tym przypomnieć z bardzo prozaicznego powodu. Mam bowiem pełną świadomość tego, że hipotetyczne zastosowanie instytucji DWR będzie implikowało to, że podmioty w cudzysłowie dotknięte taką decyzją będą występowały z roszczeniami. Jeżeli okazałoby się, że wejdą w życie przepisy, które powinny być notyfikowane, a nie zostały, to w tej sytuacji w ogóle nie powinny one znaleźć zastosowania. Ergo powinniśmy mieć do czynienia z sytuacją, w której przepis niejako nie mógł znaleźć zastosowania, a znalazł, czyli jest otwarta droga do formułowania roszczeń w odniesieniu do Skarbu Państwa.

Kolejny problem, na który pozwolę sobie zwrócić uwagę, jest stricte proceduralny. W projekcie ustawy, a dokładniej w przepisie art. 67b, prawodawca używa nomenklatury, która referuje do ustawy – Kodeks postępowania administracyjnego, a w szczególności wskazuje, że będzie wydawana decyzja. Pozwolę sobie zauważyć, że decyzja, która ewentualnie będzie wydana, w jakimkolwiek przypadku nie jest decyzją administracyjną. To jest generalny akt administracyjny rzeczowy, który będzie miał to do siebie, że w istocie dotyczy zakazu wykorzystania pewnych produktów.

Mając na uwadze, że podstawa prawna być może nie zostanie notyfikowana jako przepis techniczny, dodajemy do tego również to, że przykładowo art. 67b odsyła do stosowania przepisów k.p.a. wprost, gdzie powinno być stosowanie odpowiednie. Weźmy pod uwagę również taką kwestię, że administracyjny akt generalny podlegać będzie kontroli sądu administracyjnego. Procedując projekt w takim kształcie, w jakimś sensie narażamy się na to, że jakikolwiek praktyczny przykład wykorzystania instytucji DWR będzie implikował, że tego typu decyzja na drodze postępowania sądowego zostanie następczo uznana za nieprawidłową, co oczywiście otworzy roszczenia wobec Skarbu Państwa.

Pozwolę więc sobie zasugerować dwie rzeczy. Po pierwsze, chodziłoby o bardzo krytyczne przyjrzenie się projektowi pod kątem tego, które z rozwiązań faktycznie stanowią nadpisanie literalnej treści dyrektywy. Należy też pamiętać o tym, żeby te przepisy notyfikować. Jeżeli chodzi o przepis art. 67b, który nazwijmy najbardziej dyskusyjnym i budzącym wątpliwości, to sugerowałbym szczegółowe przyjrzenie się mu pod kątem tego, czy czasem decyzja wydana w tym reżimie nie zostanie następnie uznana przez sąd administracyjny za nieprawidłową właśnie z przyczyn proceduralnych. Takich elementów, z powodu których sąd administracyjny mógłby uznać, że jest to decyzja nieprawidłowa, jest co najmniej kilka, zaczynając właśnie od art. 67b ust. 2, czyli kwestii stosowania przepisów k.p.a. wprost, gdzie intencją prawodawcy, jak rozumiem, jest stosowanie ich odpowiednio. Bardzo dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Teraz panowie po lewej stronie. Bardzo proszę.

Prezes Polskiej Izby Handlu Maciej Ptaszyński:
Dzień dobry. Dziękuję bardzo. Maciej Ptaszyński, Polska Izba Handlu. Może odniosę się do tematu z troszeczkę innej strony. Nasza izba reprezentuje detal, a więc sklepy mikro, małych i średnich przedsiębiorców, niekoniecznie działających w branży telekomów, co jest bardzo istotne, ponieważ reprezentujemy użytkowników końcowych. Natomiast jako jedna z największych organizacji branżowych, bo zrzeszamy ponad 30 tys. podmiotów handlu detalicznego i usług, uważamy, że mamy mandat do wypowiadania się w imieniu przedsiębiorców.

W ogóle jesteśmy zdania, że w tej chwili zbyt wiele ustaw i implementacji prawa unijnego odbywa się niestety zgodnie z zasadami goldplatingu. Jest to rozszerzane w sposób nieakceptowalny, bo tak naprawdę wychodzi poza wymagania unijne. Chcemy być świętsi od papieża. W efekcie wychodzą z tego złe rzeczy. Od lat mówimy: „Bruksela plus zero”. Naprawdę tego należy się trzymać, ponieważ polskim przedsiębiorcom i bez tego jest ciężko.

Odnosząc się natomiast do tego konkretnego przypadku, na pewno trzeba podkreślić, że liczba podmiotów dotkniętych tymi regulacjami to jest 38 tys. z 18 sektorów, jak wyszło w OSR, w tym również podmioty związane z żywnością czy z handlem, a to są tak naprawdę podmioty, które funkcjonują na rentownościach od minimalnych do zerowych. Chętnie udzielę w tej sprawie szczegółowych wyjaśnień, jeżeli ktoś z państwa będzie zainteresowany.

Natomiast, żeby nie przedłużać, bo i tak siedzimy tu już za długo, zwracam tylko uwagę, że jeżeli wdrożymy nadmiarowe obowiązki, które niesie ustawa, spowodują one tak naprawdę dociążenie małych przedsiębiorców w zakresie zaawansowanych systemów cyberbezpieczeństwa, czy cyklicznych audytów i raportowania. Będą oni podlegać rozbudowanym i bardzo szerokim kontrolom. W efekcie będzie to hamować rozwój przedsiębiorczości. Jeżeli do tego dochodzi jeszcze wymiana sprzętu, której nie będę już tutaj roztrząsał, bo mówili o tym dzisiaj ludzie lepiej znający się na rzeczy, to ryzykujemy, że zabijemy przedsiębiorców, którzy w tej chwili są już potężnie dociążeni kosztami. Tak naprawdę zabijamy to, co jest solą tej ziemi, czyli przedsiębiorczość, dając szansę dużym podmiotom zagranicznym, które będą w stanie sprostać tym wymogom, a są takie czy to w handlu, czy w branży produkcji żywności. Natomiast one sobie z tym spokojnie poradzą, bo to są globalne korporacje.

Chciałbym też w jakiś sposób, jeśli mogę, oddać głos naszemu ekspertowi. Dosłownie doda parę słów.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo proszę.

Ekspert Polskiej Izby Handlu Mariusz Busiło:
Dziękuję bardzo. Mariusz Busiło. Od 25 lat zajmuję się sektorem nowych technologii, przy czym połowę tego czasu spędziłem w administracji publicznej, a drugą połowę w biznesie, więc można powiedzieć, że wiem coś na temat bezpieczeństwa i telekomunikacji. Chciałem się odnieść do kilku rzeczy. Po pierwsze, panie przewodniczący i panie ministrze, bardzo dziękuję za możliwość wysłuchania tego, co mówimy jako PIH.

Martwi mnie jedna rzecz. Jest bardzo wysoki poziom emocji. Dyskusja oparta jest na bardzo górnolotnych sformułowaniach, które mają się nijak do rzeczywistości. Wiem, że są kłamstwa, duże kłamstwa i statystyki, więc statystyki podaje się tutaj najłatwiej. Jest m.in. statystyka mówiąca o tym, że jesteśmy na wojnie i że Polska jest pierwsza na froncie, w związku z czym trzeba robić goldplating, poszerzać zakres podmiotów i zwiększać obowiązki. To nie jest prawda. Przynajmniej bazując na tegorocznym, najnowszym raporcie Microsoftu, jesteśmy trzeci, jeśli chodzi o zagrożenia APT, czyli ze strony tych grup, które są sponsorowanym terroryzmem państwowym.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
To takie raporty, które…

Ekspert PIH Mariusz Busiło:
Tak, to jest dostępne.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
To jesteśmy na dziesiątym miejscu.

Ekspert PIH Mariusz Busiło:
To jest ten sam raport. W przypadku grup atakujących z Rosji jesteśmy na dziesiątym miejscu, natomiast jeśli chodzi o grupy terrorystyczne, to jesteśmy na trzecim miejscu w Europie.

Słyszeliśmy o tym, że jest zagrożenie dla bezpieczeństwa państwa i że to jest ta przesłanka, która ma decydować o DWR. Panie ministrze, bardzo to szanuję i naprawdę wierzę, że rzeczywiście, jeżeli taka przesłanka wystąpi, to wtedy będą stosowane najostrzejsze mechanizmy ustawowe. Tylko że, jak pokazała pani mecenas, ta przesłanka jest bez żadnej kontroli, ponieważ w Polsce taka kontrola nie występuje, bo to jest jednoinstancyjna decyzja, a sąd administracyjny nie kontroluje meritum. W związku z tym podmioty, które reprezentujemy, czyli z sektora branży spożywczej, jak również logistyki spożywczej, bo tam też są bardzo istotne podmioty, w ogóle nie wezmą udziału w tym postępowaniu, a są objęte regulacjami.

Może rzeczywiście to jest ten błąd, który pan prezes Karol tutaj podnosił, że złapaliście za dużo, a przez to wszystko wylewa się bokiem. Wtedy, kiedy to 5G trzeba było łapać, wystarczyło skupić się na 5G.

Panie ministrze, jeszcze jedna rzecz. Rzeczywiście jesteśmy w topie, jeśli chodzi o ataki ransomware. Wspomniał pan o tym, co się stanie, gdy zostanie zaszyfrowany szpital. Fajnie się o tym mówi, tylko te regulacje w ogóle temu nie zapobiegają. Przepraszam, może nie w ogóle, tylko w 30%. System S46, który jest przewidziany, to zarąbista rzecz. To, w jaki sposób będzie realizowany, rzeczywiście wymaga pochwalenia. W ciągu ostatniego roku w NASK została wykonana praca w zakresie uproszczenia tego systemu, zrobienia aplikacji, objęcia samorządów. To wszystko, na co będziemy czekać, jest super, tylko że inną rzeczą są kary, które już mniej są super.

Wielokrotnie tutaj powiedziano o goldplatingu na poziomie kar. Mamy system KSC, o czym już mówiono. Dzisiaj minimalna kara wynosi 1 tys. zł. Minimalna kara po wprowadzeniu ustawy będzie wynosiła 15 tys. zł. Nic nie reguluje kar minimalnych. To tak tylko zauważę. Było to już tutaj powiedziane, że kara po wprowadzeniu zmiany będzie wynosić 15 tys. zł dla ważnego podmiotu, a 20 tys. zł dla podmiotu kluczowego, czyli będzie 20-krotnie wyższa od dzisiejszej minimalnej w KSC.

To zdziwienie, które widzę, wcale mnie nie dziwi, bo nie mogliśmy się doliczyć podmiotów, które są objęte OSR. Tylko krótko o tym wspomnę. Nikt tu nie podał prawdziwej liczby, ponieważ rzeczywiście trudno jest też wyliczyć te podmioty. Policzyłem to sobie z kalkulatorkiem. Wyszło mi 9,5 tys. Padły tutaj liczby 40 tys. i 80 tys. Jak widać, autor OSR miał problem, żeby to policzyć, ponieważ mówi, że to co najmniej 40 podmiotów, wyliczając jedną z branż, albo co najmniej 250 z sektora transportu, czyli nawet do 41 nie można tego policzyć i sprawdzić, czy to będzie 40, czy 41, a co dopiero, gdy mówimy o 40 tys. czy 80 tys. podmiotów.

Bardzo dużo powiedziano tu już o karach, ale właśnie ransomware i te kary… Panie ministrze, chciałbym, żeby to tutaj zostało powiedziane. Największy atak w zakresie ransomware, który ostatnio miał miejsce w Europie, to był atak na Jaguara. Zapewne pan o nim słyszał. Wielomiesięczny przestój dużej firmy. Co zrobiła Wielka Brytania, stojąca o punkt wyżej, jeśli chodzi o ataki APT, bo jest na drugim miejscu w raporcie Microsoftu, który cytuję? Co zrobiła? Czy ukarała Jaguara? Podpowiem, że nie. Wielka Brytania przeznaczyła 1,5 mld funtów gwarancji dla podmiotu, który został dotknięty atakiem ransomware. Państwo polskie niestety nie oferuje takich bonusów. Oferuje tylko kary. To są kary, co już usłyszeliśmy, bardzo uznaniowe. Będzie je wymierzał urzędnik, którego dodatek, co też trzeba tu powiedzieć, będzie finansowany z Funduszu Cyberbezpieczeństwa, który jest zasilany z kar.

To w sumie chyba tyle. Bardzo chętnie porozmawiam o szczegółach w toku prac legislacyjnych, bo rzeczywiście projekt ustawy ma bardzo wiele błędów technicznych.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Poproszę drugiego pana.

Doradca Polskiej Izby Rozwoju Elektromobilności Marcin Serafin:
Marcin Serafin, Polska Izba Rozwoju Elektromobilności.

Co do kwestii, które są związane z DWR, wiele już zostało powiedziane na temat różnych wyobrażeń. Parę razy padło dookreślenie, do ilu podmiotów się to w końcu stosuje oraz kto i dlaczego będzie musiał stosować przepisy. Chciałbym zwrócić państwa uwagę na dwa przykłady, odnosząc się do członków naszej organizacji, czyli np. podmiotów będących operatorami stacji ładowania samochodów elektrycznych. Szczególnie zwracam się do państwa posłów, bo rozumiem, że pan minister już wielokrotnie o tym słyszał w trakcie prac rządowych.

Wszystkie tego rodzaju urządzenia to nie są urządzenia na poziomie telefonu komórkowego, który się wymienia co 2 lata. Najpierw proces zakupowy będzie trwał kilkanaście, jeśli nie kilkadziesiąt miesięcy, żeby zamówić takie urządzenia i je sprowadzić. Niezależnie od tego, czy dostawca jest chiński, amerykański czy europejski, to wszystko trwa. W chwili obecnej okres trwałości urządzeń bardzo często wynosi 10 lat.

W momencie, kiedy operator stacji ładowania dowie się, że jakikolwiek z komponentów stacji staje się elementem, który został objęty decyzją w sprawie DWR, to rozumiemy, że po pierwsze, zamówione urządzenia, bardzo często opłacone z zaliczkami, nie mogą być używane ani zainstalowane, a te, które są używane, mogą być używane przez kolejnych 7 lat. Z tego punktu widzenia pojawia się trudne pytanie. Czy aby na pewno to jest właściwe rozwiązanie? Przez kolejnych  7 lat nie można używać i wprowadzać nowych urządzeń, również takich, które są zakupione,  ale można używać tych, które już są używane. Dlaczego? Zapłaciliśmy za nie więcej?

Nie mówię, że rozwiązaniu DWR trzeba wybić zęby, ale wydaje się, że należy wprowadzić tam pewne elementy racjonalności, nie tylko z punktu widzenia bezpieczeństwa, bo ono jest ważne, ale również z perspektywy ekonomiki biznesowej i ochrony tych podmiotów, które inwestują w infrastrukturę. W oparciu o nią w chwili obecnej budujemy i rozwijamy elektromobilność, dążąc do wszystkich tych celów, o które będą nas prosić zarówno nasi sprzymierzeńcy z NATO, jak i UE. To jest ewidentnie jedna z rzeczy, które są kluczowe dla ochrony i rozwoju branży elektromobilności.

Druga rzecz, o której chciałbym też wyraźnie powiedzieć, jest taka, że naprawdę warto zastanowić się nad tym, czy decyzje DWR, którym będą podlegały produkty ICT, będą dotyczyły całych urządzeń, czy absolutnie również małych komponentów, tak jak w chwili obecnej, np. chipów czy jakichkolwiek urządzeń częściowych. Czy wyłącznie z powodu jednego elementu będzie można wycofać całe urządzenie? Czy w tym zakresie należy wycofać tylko ten komponent? W tym momencie wniosek jest chyba taki, że trzeba wycofać całe urządzenie. Absolutnie już kończę.

Kolejny przykład dotyczy podmiotów, które będą musiały stosować przepisy KSC. Zwracam uwagę na sytuację, w której przedsiębiorca prowadzi działalność w formie kilku spółek. Jedna ze spółek świadczy usługi ICT. Niezależnie od tego, czy przedsiębiorca podlega KSC, czy nie, to spółka, w której jest np. wydzielony dział informatyki czy cyberbezpieczeństwa, obowiązkowo będzie podlegała NIS2. Jeżeli nie znajdujemy teraz powodu, dla którego części organizacji, gdyby były w jednej spółce, nie podlegałaby NIS2, ale podlegają, bo są w innej spółce, to znowu pojawia się pytanie. Po co?

Nie chcę tutaj używać słowa „nadregulacja”. Moim zdaniem to jest bardziej kwestia ryzyka wylania dziecka z kąpielą i braku doprecyzowania pewnych rzeczy, ale z perspektywy procesu legislacyjnego to jest na pewno prośba do państwa posłów o to, żeby tego rodzaju elementy można było skorygować na etapie legislacyjnym. Bardzo dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Proszę.

Ekspert do spraw telekomunikacji Polskiej Izby Komunikacji Elektronicznej Tomasz Bukowski:
Dziękuję bardzo. Tomasz Bukowski, Polska Izba Komunikacji Elektronicznej.

To tylko skrócenie. Obawiam się, że ta ustawa całkowicie pominęła aspekty ekonomiczne oraz finansowe możliwości polskich przedsiębiorców, zwłaszcza MŚP. Z tego względu nie będzie ona realizowana przez te podmioty, dlatego że w całości brakuje tam kwestii związanych z finansowaniem wymiany sprzętu, a także z zapewnieniem łańcucha dostaw i możliwości kadrowych do realizacji tej ustawy. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję uprzejmie. Proszę. Musimy nagrywać to wszystko, więc proszę mówić do mikrofonu.

Kierownik Zespołu Radców Prawnych w Biurze Informatyki Urzędu Miasta Stołecznego Warszawy Tomasz Sałaciński:
Dziękuję bardzo. Tomasz Sałaciński. Jestem radcą prawnym. Reprezentuję miasto stołeczne Warszawę. Szanowny panie przewodniczący, szanowni państwo posłowie, szanowny panie ministrze, szanowni państwo, chciałem tylko naprawdę bardzo szybko zasygnalizować dwie kwestie, które jutro będziemy chcieli bardziej szczegółowo wskazać.

Pierwszą kwestią jest zasadność dodania przepisu przejściowego do tej ustawy. Mianowicie chodzi stricte o jednostki samorządu terytorialnego. Ustawa wprowadza pewną regulację do ustawy o krajowym systemie cyberbezpieczeństwa. Ten przepis to będzie art. 16e ust. 5 po nowelizacji, a w projekcie ustawy to jest bodajże art. 1 pkt 26. Przepis mówi o tym, że jednostki samorządu terytorialnego mogą zapewnić wspólną obsługę pewnych zadań w zakresie cyberbezpieczeństwa. Chodzi głównie o art. 8 ustawy o systemie zarządzania bezpieczeństwem informacji (SZBI), natomiast procedura odsyła do ustawy o samorządzie gminnym. Wspólna obsługa informatyczna w zakresie cyberbezpieczeństwa, często skomplikowana, została tak naprawdę zrównana z obsługą administracyjną, finansową i organizacyjną, o której mowa w ustawie o samorządzie gminnym.

Po prostu będziemy postulowali, żeby rozważyli państwo wprowadzenie krótkiego przepisu przejściowego, który np. przez okres 2 lat utrzyma w mocy porozumienia administracyjne pomiędzy urzędem a jednostkami organizacyjnymi, gdzie w ten sposób odbywa się wspólna obsługa. Uważamy zresztą, że można to lepiej przygotować. Jednostki samorządu terytorialnego, zanim zdecydują się na kierowanie sprawy do organu stanowiącego, np. rady gminy, żeby właśnie wydał uchwałę… Chodzi o to, żeby urzędy przez pewien okres, np. 2 lat, mogły zobaczyć, jak dają sobie radę, obsługując też jednostki organizacyjne, zanim sprawa będzie uregulowana drogą uchwały organu stanowiącego.

Druga kwestia też budzi nasze wątpliwości, ale tutaj nie mamy jeszcze jednoznacznego stanowiska, czy to powinno być zmienione, czy powinien tu być wprowadzony przepis przejściowy. Zwracamy państwa uwagę na to, że w art. 8f ust. 3 ustawy w brzmieniu nadanym przez nowelizację jest zapis, że osoby, które podejmują czynności związane z cyberbezpieczeństwem, muszą składać oświadczenia o niekaralności z Krajowego Rejestru Karnego (KRK). Chodzi tu głównie o art. 8 i o art. 11. Natomiast literalne brzmienie tego przepisu wskazuje na to, że chodzi tylko o nowe osoby podejmujące czynności po wejściu w życie tej ustawy.

Mamy pytanie. Czy rzeczywiście celowo rozróżniamy pracowników, którzy do tej pory dokonywali czynności bez składania takiego oświadczenia z KRK? Po prostu można wprowadzić bardzo krótki przepis przejściowy, który by stanowił, że osoby, które na dzień wejścia w życie ustawy takie czynności wykonują, muszą złożyć oświadczenia, zanim kierownik podmiotu ważnego lub kluczowego, bo to dotyczy wszystkich takich podmiotów, żeby była jasność, pozwoli im na dalsze kontynuowanie tych czynności.

Jutro będziemy chcieli to jeszcze bardziej szczegółowo zasygnalizować. To są dwa konkretne przepisy. Dziękuję uprzejmie.

Sekretarz stanu w MC Paweł Olszewski:
Jeśli mogę, panie przewodniczący, jeszcze na koniec…

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
To nie koniec, bo są jeszcze 2–3 głosy. Może pan minister wypowie się na sam koniec, dobrze?

Sekretarz stanu w MC Paweł Olszewski:
Nie, bo chciałbym tylko odnieść się do tego, co pan przed chwilą powiedział. Oczywiście będziemy się nad tym pochylali. Natomiast nie ukrywam, że jestem dość zaskoczony uwagami na tym etapie prac legislacyjnych, bowiem Unia Metropolii Polskich i Związek Powiatów Polskich nie zgłaszały takich uwag. Te, które zgłoszono, zostały uwzględnione. Komisja Wspólna Rządu i Samorządu Terytorialnego również zgłaszała uwagi, które zostały uwzględnione, a część z nich została wyjaśniona.

Przy całej swojej sympatii do prezydenta Trzaskowskiego, jak państwo wiedzą, powiem szczerze, że nie chciałbym robić rozwiązań pod jedno miasto, bo mogą być one w poprzek i nie odpowiadać wszystkim innym samorządom. Rozwiązania, o których pan mówi, są już szczegółowe. Natomiast musimy na nie spojrzeć w kontekście wszystkich jednostek samorządu terytorialnego, a nie tylko z punktu widzenia miasta stołecznego Warszawy.

Kierownik zespołu Urzędu Miasta Stołecznego Warszawy Tomasz Sałaciński:
Dosłownie 10 sekund. Odniosę się, szanowny panie ministrze, bo mam informację z UMP, że dzisiaj złoży pismo na ręce przewodniczącego, gdzie rekomenduje właśnie taką zmianę, chyba dokładnie w tym brzmieniu. Szanowni państwo posłowie, chodzi tylko o przepis przejściowy. Mówimy o uregulowaniu przepisem przejściowym np. okresu 2 lat albo kwestii składania oświadczeń przez pracowników, którzy dotychczas wykonywali czynności i je kontynuują, a w świetle literalnego przepisu tylko nowi pracownicy…

Sekretarz stanu w MC Paweł Olszewski:
Niech wpłynie to pismo. Będziemy się nad nim pochylać.

Kierownik zespołu Urzędu Miasta Stołecznego Warszawy Tomasz Sałaciński:
Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Proszę uprzejmie.

Doradca Związku Firm Biotechnologicznych BioForum Stanisław Dąbek:
Dzień dobry. Też wypowiem się szybko. Nazywam się Stanisław Dąbek. Jestem radcą prawnym. Reprezentuję Związek Firm Biotechnologicznych BioForum. Chciałbym tylko krótko wskazać kilka uwag dotyczących projektu ustawy.

Pierwsza uwaga dotyczy definicji organizacji badawczej, ponieważ polski projekt eliminuje kluczowy bezpiecznik zawarty w dyrektywie NIS2. Mianowicie w art. 6 pkt 41 organizacja badawcza została zdefiniowana jako podmiot, którego głównym celem jest prowadzenie badań. Natomiast w polskiej ustawie zabrakło głównego celu, co w konsekwencji prowadzi do takiego efektu, że w zasadzie każda firma prowadząca działalność badawczą może zostać objęta ustawą i wpaść do koszyka podmiotów ważnych. Wnosilibyśmy więc o to, żeby przywrócić kryterium głównego, przeważającego celu działalności badawczej, tak jak jest w dyrektywie NIS2.

Druga kwestia, która dotyczy DWR, była już wielokrotnie poruszana. Zgadzamy się z argumentami, które zostały tutaj przedstawione. Z naszego punktu widzenia nie ma to natomiast uzasadnienia. Dlaczego organizacje badawcze znajdują się w tym samym worku co przedsiębiorcy telekomunikacyjni, w szczególności co do sieci 5G? Uważamy, że może to być klasyczna sytuacja wylania dziecka z kąpielą i usunięcia sprawnego sprzętu, który nie ma nic wspólnego z bezpieczeństwem. Sprzęt jest związany z pracami badawczymi czy z ratowaniem życia, a nie z komunikacją krytyczną. Widzimy też przykłady z innych krajów. Były tutaj przywołane Niemcy, gdzie procedura dotyczy tylko krytycznych elementów sieci. Dlatego uważamy, że nie ma takiej potrzeby, żeby obejmować tym również firmy, które zrzesza nasz związek.

Ostatnia kwestia. Wcześniej w toku prac pojawiła się uwaga organizacji Technomed, z którą w pełni się zgadzamy. Wnosimy o to, żeby nie posługiwać się pojęciem podmiotu produkującego wyroby medyczne, choć jest to literalne tłumaczenie dyrektywy, natomiast odwoływać się do pojęcia producenta, tak jak jest w ustawie o wyrobach medycznych. W branży reprezentowanej przez nasz związek standardem jest rozdzielenie fizycznej produkcji zlecanej podwykonawcom od prawnej odpowiedzialności za wyrób. Szerokie pojęcie będzie powodować, że również podwykonawcy i startupy będą objęte regulacją. Dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję. Proszę państwa, o godzinie 16.15 musimy zakończyć.

Ekspert Polskiego Stowarzyszenia Fotowoltaiki i Magazynowania Energii Marek Porzeżyński:
Marek Porzeżyński, Wydział Administracji i Nauk Społecznych Politechniki Warszawskiej, ale jestem tutaj z ramienia Polskiego Stowarzyszenia Fotowoltaiki i Magazynowania Energii.

Proszę państwa, powiem tylko, co widzimy, żeby nie przedłużać. Uogólniając, na sali panuje chyba ogólna zgoda wśród organizacji społecznych co do DWR. Chciałbym tylko powiedzieć, że jeżeli chodzi o podsektor odnawialnych źródeł energii (OZE) sektora energetycznego, to sam cykl zamówień produktów idzie często w naście miesięcy. Jeżeli chodzi następnie o cykl życia tych produktów, w wielu przypadkach przekracza on 15 lat, więc 7 lat to jest zdecydowanie zbyt krótko. Porównanie do elektroniki użytkowej, takiej jak telefony komórkowe, jest dużym nadużyciem.

Drugi i ostatni już element, na który chciałem zwrócić uwagę, żeby nie przedłużać, to są terminy, bowiem wejście w życie samego aktu po miesiącu, a zobowiązanie do wykonania obowiązków z niego wynikających po 6 miesiącach, niezależnie od wielkości podmiotu i stopnia skomplikowania jego infrastruktury, w tym infrastruktury informatycznej, prowadzi do papierowego ryzyka. Taka jest sytuacja.

Na sali bardzo często padały zbyt znaczące uproszczenia, więc też posłużę się takim uproszczeniem. Wobec tego to jest taka sytuacja, w jakiej nakazalibyśmy wszystkim jechać 20 km/h na autostradzie. Mielibyśmy przepis i moglibyśmy karać, ale czy doprowadziłoby to do tego, że wszyscy by tak jechali? Raczej nie. W tym przypadku, jeżeli mamy terminy niedostosowane do podmiotów i bez żadnej możliwości ich wydłużenia, ograniczenie ryzyka w zakresie cyberbezpieczeństwa będzie po prostu na papierze.

Większość podmiotów, tak jak miało to miejsce chociażby w 2018 r. w przypadku rozporządzenia ogólnego o ochronie danych (RODO), nie zdąży tego zrobić, a jeżeli zdąży, to w taki sposób, że będzie to rozwiązanie tymczasowe. Jak wiemy, akurat tymczasowe rozwiązania utrzymują się najdłużej. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję bardzo. Proszę, pani prezes. Prosiłbym pana o wyłączenie mikrofonu, dobrze?

Prezes Związku Cyfrowego Lewiatan Jolanta Jaworska:
Dziękuję bardzo. Jolanta Jaworska. Reprezentuję Związek Cyfrowy Lewiatan.

Bardzo krótko chciałam powiedzieć, że po pierwsze, dziękuję Departamentowi Cyberbezpieczeństwa MC, bo razem z wieloma osobami, które dzisiaj były i są na tej sali, pracujemy nad tą ustawą 7 lat. Dyskusja na temat DWR trwa co najmniej tyle samo. Najpierw była mowa o tym, żebyśmy nie wdrażali tego wszystkiego, bo jest tylko NIS1, więc poczekajmy na NIS2.

Chciałam więc powiedzieć, że chociaż wszyscy podkreślili, iż zgadzają się co do tego, że kwestie cyberbezpieczeństwa są dla nas wszystkich kluczowe, nie przyglądamy się temu, że te przepisy mówią o zarządzaniu cyberryzykami i o raportowaniu incydentów. Naprawdę dotyczą one rdzenia. Przed chwilą mówili państwo, że przepisy są zbyt szerokie, a powinny dotyczyć tylko 5G czy firm telekomunikacyjnych. Michał podał przykład robaka, że tak powiem. Jeżeli już mówimy o cyberbezpieczeństwie, to nie wystarczy usunąć robaka z kuchni, tylko trzeba go usunąć z całego domu.

Z takim przesłaniem na koniec chciałabym podziękować za dyskusję i powiedzieć, że absolutnie zależy nam na tym, żeby te przepisy były wdrożone jak najszybciej i bez zwłoki, biorąc pod uwagę, że pracujemy nad nimi 7 lat. Chodzi o to, o czym mówił tutaj kolega, żeby było to wdrożone razem z różnymi firmami, nie tylko z sektora ICT, ale i z różnych innych sektorów, aby było to jak najbardziej efektywne, a nie zostało tylko na papierze, bo nie o to chodzi. Dziękuję bardzo.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Bardzo proszę, tylko króciutko, bo dosłownie 2 minutki mamy do godziny 16.00, a jeszcze pan minister będzie chciał to podsumować. Nie teraz, panie ministrze, bo jeszcze pani tutaj…

Kierownik Zespołu Społeczeństwa Cyfrowego i Informacji w Unii Europejskiej Centrum Europejskiego Uniwersytetu Warszawskiego Marta Grabowska:
Marta Grabowska, Centrum Europejskie Uniwersytetu Warszawskiego. Otóż z wielkim zainteresowaniem przysłuchuję się całej tej dyskusji. Bardzo króciutko chciałam zwrócić uwagę tylko na jedną rzecz.

Otóż zwykle wiążące akty prawne UE, dyrektywy czy rozporządzenia, mają gdzieś swój początek i korzenie, z których można wywnioskować, jaki był tok rozumowania, jeśli chodzi o późniejsze przygotowywanie tych wiążących już aktów prawnych. Mam tu na myśli to, co wykopuję z głowy. Przypominam sobie zalecenie UE z 2019 r. To był chyba pierwszy taki dokument, który wydała Komisja Europejska. Wiemy, że zalecenia są niewiążące. Zalecenie dotyczyło właśnie 5G i ostrożności czy ostrzeżenia, jeśli chodzi o sieć 5G, prawda? Otóż, o ile sobie przypominam treść tego zalecenia, tam było to właśnie powiedziane w taki sposób, jak pan minister tutaj podkreślał. Mianowicie tego typu dokumenty odnoszą się do rządów poszczególnych państw. Nie było tam więc wskazania, że dany kraj musi określić tę czy inną firmę, która będzie stwarzała jakieś zagrożenia. Ogólnie było tam powiedziane, że na barkach państwa spoczywa odpowiedzialność za bezpieczeństwo sieci 5G. Po prostu należy patrzeć na otoczenie i zapobiegać takim sytuacjom, w których 5G, jeżeli wkroczy do jakiegoś państwa, może stanowić zagrożenie. Czyli jakby tok rozumowania polegał na tym, że trzeba nie tylko reagować na poszczególne incydenty, kiedy one już się stały, tylko że po prostu na barkach państwa spoczywa ciężar tego, ażeby właśnie zabezpieczać się przed takimi niebezpieczeństwami, nie wskazując na tę czy inną usługę albo tego czy innego producenta.

Myślę więc, że korzenie zawarte w tym zaleceniu wskazują na to, że trzeba jednak nie tylko reagować na takie incydenty, które już się zdarzą, ale mieć na uwadze daną sytuację i ewentualne zagrożenia, które mogą wynikać z tych czy innych działań. Wtedy dotyczyło to samej sieci 5G. Z tego zalecenia wynika, że w całej tej sytuacji, w której się znajdujemy, należy zapobiegać wszelkiego typu niebezpieczeństwom.

Chciałam jeszcze zwrócić uwagę na to, co wiązało się również w pewnym sensie z innym aktem niewiążącym, a więc porozumieniem podpisanym swego czasu przez pana premiera Mateusza Morawieckiego i pana Mike’a Pence’a, wiceprezydenta Stanów Zjednoczonych. Tam również była zawarta taka myśl, że generalnie należy właśnie mieć na uwadze to, że trzeba myśleć o zabezpieczaniu kraju przed ewentualnymi niebezpieczeństwami.

Myślę więc, że chodzi o sposób rozumowania przyjęty w dyrektywie, która jest już aktem wiążącym, choć daje pewne pole manewru, bo możemy to trochę rozszerzyć albo troszeczkę zawęzić. Jest to jednak kwestia patrzenia na wszystkie zagrożenia w szerszej perspektywie. Dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Bardzo dziękuję. Serdecznie dziękuję wszystkim państwu za merytoryczną dyskusję. Myślę, że wymieniliśmy się opiniami. Teraz przede wszystkim praca przed posłami. Tak jak państwo zapewne wiedzą, jutro o godzinie 12.00 rozpoczynamy część legislacyjną. Zachęcam również państwa do obecności i do zabierania głosu w tychże kwestiach. Natomiast tak szerokiej dyskusji nie będziemy już mogli odbyć, dlatego też odbyliśmy ją dzisiaj. Mam przekonanie, że 3 godziny w zasadzie wystarczyły. Oczywiście można byłoby mówić dłużej. Pan prezes kręci głową, tak? Moglibyśmy tutaj jeszcze mnóstwo argumentów wymieniać, ale myślę, że sedno sprawy i swój punkt widzenia państwo przedstawili. Teraz posłowie będą podejmować decyzje. Pan minister doda jeszcze dwa słowa na koniec.

Sekretarz stanu w MC Paweł Olszewski:
Tak, dosłownie dwa słowa. Niezależnie od różnicy zdań bardzo serdecznie chciałem podziękować za tę dyskusję. Oczywiście chciałem podziękować Departamentowi Cyberbezpieczeństwa MC, który z niezwykłym zaangażowaniem pracował nad projektem ustawy. Liczę na owocną współpracę i szybkie prace nad tą ustawą. Niezmiennie twierdzę, że na tym etapie, na którym znajduje się Polska, jest ona absolutnie kluczowa z punktu widzenia bezpieczeństwa państwa. Naprawdę nie są to górnolotne słowa. W niektórych obszarach, o jakich powiedziałem, jesteśmy gotowi do ustępstw i kompromisowych rozwiązań. Jeszcze raz bardzo serdecznie dziękuję.

Przewodniczący poseł Bartłomiej Pejo (Konfederacja):
Dziękuję, panie ministrze. Dziękuję wszystkim państwu. Zamykam dyskusję i posiedzenie.