Komisja Regulaminowa, Spraw Poselskich i Immunitetowych, obradująca pod przewodnictwem posła Jarosława Urbaniaka (KO), przewodniczącego Komisji, zrealizowała następujący porządek dzienny:

– informacja szefa Kancelarii Sejmu na temat struktury i funkcjonowania Ośrodka Informatyki.

W posiedzeniu udział wziął: Jerzy Woźniak zastępca szefa Kancelarii Sejmu wraz ze współpracownikiem.

W posiedzeniu udział wzięli pracownicy Kancelarii Sejmu: Mariusz Pawełczyk i Wioletta Więciorkowska – z sekretariatu Komisji w Biurze Komisji Sejmowych.

Przewodniczący poseł Jarosław Urbaniak (KO):
Pani poseł, gdyby pani była uprzejma rozmawiać przez telefon poza salą. Bardzo proszę, bo jest już 25 minut po terminie – tak jak tutaj pan wiceprzewodniczący mi podpowiada. Przeszkadza nam pani.

Otwieram posiedzenie Komisji.

Na podstawie listy obecności stwierdzam kworum.

Witam panie i panów posłów, członków Komisji oraz zaproszonych gości. Witam pana ministra Jerzego Woźniaka, zastępcę szefa Kancelarii Sejmu – dzień dobry, panie ministrze –  oraz pana dyrektora Przemysława Więcława, dyrektora Ośrodka Informatyki.

Porządek dzisiejszego posiedzenia obejmuje informację szefa Kancelarii Sejmu na temat struktury i funkcjonowania Ośrodka Informatyki. Przechodzimy do realizacji porządku dziennego.

Zgodnie ze zwyczajem, panie ministrze, pan zaczyna, pan dyrektor kontynuuje merytorycznie. Bardzo proszę. Wiem, że jest przygotowana… O, już widzimy prezentację. Bardzo proszę, pan minister Jerzy Woźniak.

Zastępca szefa Kancelarii Sejmu Jerzy Woźniak:
Panie przewodniczący, szanowni państwo, dla nas cała strefa czy sfera informatyki jest ogromnie ważna, bo to jest chyba jedna z najwrażliwszych sfer w całej Kancelarii Sejmu. Ta sfera jest właściwie podzielona na dwie części: jedna dotyczy samej Kancelarii Sejmu, druga dotyczy posłów.

Pozwólcie, w związku z tym, że przedstawię – bo jest to nowy dyrektor Ośrodka Informatyki od półtora miesiąca – pan Przemysław Więcław. Pan dyrektor Przemysław Więcław ma doświadczenie związane z prowadzeniem tego typu instytucji, stąd też dzisiaj tą prezentację przedstawi pan dyrektor. Panie dyrektorze, oddaję panu głos.

Przewodniczący poseł Jarosław Urbaniak (KO):
Bardzo proszę.

Dyrektor Ośrodka Informatyki Kancelarii Sejmu Przemysław Więcław:
Dziękuję bardzo. Panie przewodniczący, panie ministrze, szanowni państwo, tak jak widzimy w tytule prezentacji, skupię się na syntetycznych informacjach odnoszących się do samego Ośrodka Informatyki. Ale nie sposób mówić o Ośrodku Informatyki, nie mówiąc o państwu posłach, a także nie mówiąc o Kancelarii Sejmu i użytkownikach różnego rodzaju platform teleinformatycznych, telekomunikacyjnych, również z instytucji zewnętrznych.

Ten slajd, który państwo widzą, to jest tylko zobrazowanie, taki przyczynek do dyskusji, ponieważ dzisiaj kontekst organizacji, w której funkcjonujemy, czyli kontekst organizacji, jaką jest Kancelaria Sejmu, jaką jesteście państwo posłowie – traktowani jako VIP. Jesteście również państwo osobami, które funkcjonują zarówno w życiu prywatnym, jak i służbowym, posługując się różnego rodzaju urządzeniami teleinformatycznymi.

Zanim przejdę do konkretnie tego grafiku, to powiem kilka słów na temat zagadnień związanych z balansem pomiędzy funkcjonalnością a kwestiami bezpieczeństwa – ponieważ kwestie bezpieczeństwa dzisiaj równoważą to, co możemy uzyskać, korzystając czy prywatnie, czy służbowo z różnego rodzaju aplikacji, czy też z różnego rodzaju systemów teleinformatycznych lub telekomunikacyjnych. Z punktu widzenia funkcjonowania ośrodka dzisiaj zabezpieczamy państwa, zabezpieczamy dodatkowo jeszcze około 2 tys. użytkowników. I nie będzie żadną tajemnicą, że podlegamy ciągłym atakom w zakresie różnego rodzaju prób przełamania zabezpieczeń naszych systemów, którymi zarządzamy. A wektory ataku są bardzo różne. Są to wektory ataku, które są związane również z państwa urządzeniami, którymi posługujecie się prywatnie – poprzez to, że żyjemy w świecie, w którym mamy do czynienia z profilowaniem. Czyli państwo doskonale wiecie o tym, że instalując dowolne aplikacje na swoich urządzeniach, posługujecie się kodem oprogramowania, który jest napisany na zewnątrz. Ten kod oprogramowania nie jest nigdy zweryfikowany w tym przypadku przez Ośrodek Informatyki Kancelarii Sejmu i w tym kodzie mogą być napisane różne rzeczy, które powodują różne, niekoniecznie przychylne nam funkcjonalności. I z punktu widzenia bezpieczeństwa musimy mieć świadomość tego, żeby również w celach prywatnych korzystać z aplikacji, korzystać z urządzeń, kierując się tak zwaną higieną cyberbezpieczeństwa.

Oczywiście zagadnienia związane z samą higieną, z bezpieczeństwem teleinformatycznym, jak również innymi sprawami, które wiążą państwa funkcjonowanie w życiu prywatnym i w życiu służbowym, są bardzo różne. Skupię się teraz na kwestiach związanych ze środowiskiem wewnętrznym, czyli ze środowiskiem funkcjonowania tutaj w Sejmie, jak również państwa posłów. Pozwolę sobie powiedzieć, że z punktu widzenia czegoś, co nazywamy cyberbezpieczeństwem, my ściśle współpracujemy z jednym z CERT-ów. Jest to CERT, który został utworzony przez NASK. W systemie cyberbezpieczeństwa naszego kraju funkcjonują jeszcze dwa CERT-y. Jest to CERT-MON i CERT-ABW, tak zwany CERT-GOV, z którym również współpracujemy. Dane statystyczne, które państwu mogą zobrazować to, w jaki sposób jesteśmy postrzegani z zewnątrz, mówią o skali zdarzeń, które nas dotyczą.

Od początku maja – czyli tak naprawdę mamy około dwóch tygodni – systemy zabezpieczeń współpracujące w tym przypadku z NASK-iem zablokowały około 20 mln zdarzeń, które dotyczą naszych użytkowników, czyli tych, które dotyczą zarówno państwa posłów, jak i pracowników Kancelarii Sejmu i innych, którzy posiadają konta w naszej infrastrukturze. Wewnętrznie, jeżeli chodzi o dostęp do naszych aplikacji, do aplikacji krytycznych, których mamy w Sejmie około 70, przez ten okres dwóch tygodni zablokowano około 6 mln zdarzeń. To jest skala, która jest skalą jak na taką instytucję ogromną, a wynika ona z wagi, którą przypisujemy państwu posłom, których chcemy chronić. I musicie państwo wiedzieć, że w raportach zarówno NASK-u, jak i ABW publikowane są informacje o tym, że są dedykowane grupy, tak zwane grupy APT – czyli te grupy, które zajmują się przygotowywaniem ataków na instytucje kluczowe dla funkcjonowania naszego państwa, dedykowane dla administracji w naszym kraju. Tych grup jest kilka, oczywiście najbardziej znanymi ze wschodu to jest grupa APT28. Traktujemy wszystkie działania tej grupy jako krytyczne, jeżeli chodzi o zabezpieczenia, które dotyczą naszej infrastruktury teleinformatycznej i telekomunikacyjnej. Z punktu widzenia zestawienia, które przygotowaliśmy dla nas, takich grup, które funkcjonują, krytycznych dla nas, jest na dzień dzisiejszy zdefiniowanych trzy. I to wynika z dokumentów jawnych – nie wynika to z dokumentów niejawnych, o których tutaj niestety nie możemy rozmawiać. Poza tym mamy zdefiniowane grupy, ze strony których zagrożenie możemy traktować jako bardzo wysokie, wysokie lub średnie – przy czym średnie to są takie zagrożenia, które wynikają, nazwijmy to, z codziennej działalności różnego rodzaju adwersarzy, którzy nie funkcjonują na poziomie państwowym, tylko funkcjonują na poziomie, nazwijmy to, komercyjnym.

Tak jak państwo widzicie, tu specjalnie narysowałem takie relacje, które nie są przypadkowe. A mianowicie z punktu widzenia funkcjonowania Ośrodka Teleinformatyki to odzwierciedla tę strukturę, która funkcjonowała w Ośrodku Informatyki Kancelarii Sejmu jeszcze na początku tego roku. Te kropki, które państwo widzicie na zewnątrz, nie są przypadkowe. Jest ich 460. A więc to są kropki, które mówią nam o tym, że to są potrzeby, które definiowane są przez państwa, albo państwo chcielibyście, żeby te potrzeby realizować. Tak że ogrom zadań, które powinny być przez nas zrealizowane, jest strukturą, nazwijmy to, przestrzenną. Czyli oprócz tego, że mamy zadania, które realizujemy na podstawie aktów kierowania wewnętrznego Kancelarii Sejmu, realizujemy również zadania na państwa rzecz. I tak jak powiedziałem na wstępie, z punktu widzenia funkcjonowania w sferze prywatnej, czyli tak zwany kontekst organizacji – to, co państwo macie na swoich telefonach prywatnych, oprócz tego, że musi podlegać cyberhigienie, to też musicie państwo mieć świadomość łączenia tychże urządzeń na państwa telefonie z urządzeniami służbowymi. I to jest już nasza praca, żeby urządzenia służbowe były bezpieczne – co w tym przypadku staramy się robić. Te relacje, które tak są porysowane na pierwszy rzut oka chaotycznie, to nie są tylko pojedyncze kreski. Oczywiście te kreski zawierają w sobie wiele procesów, które łączą – łączą zarówno wewnątrz ośrodka poszczególne komórki organizacyjne, łączą również komórki organizacyjne Kancelarii Sejmu, ale łączą też państwa biura i państwa samych jako posłów, którzy podlegają ochronie.

Z punktu widzenia zasobów Ośrodka Teleinformatyki, oczywiście państwo zapewne doskonale wiecie, że jest jakiś zasób kadrowy, którym dysponujemy. Zwiększamy ten zasób kadrowy. Jeżeli chodzi o kwestie nowych możliwości, to na dzień dzisiejszy już mamy zgodę na nowe etaty, które będą obsadzane. I tak jak państwo widzicie, brakowało w strukturach Ośrodka Informatyki zaadresowania dwóch obszarów niezwykle istotnych. Po pierwsze, obszaru cyberbezpieczeństwa, o którym już dużo mówiłem, ale powstał dedykowany wydział, który docelowo musi pracować 24 godziny na dobę. Dlaczego? Dlatego, że internet, sieć publiczna i inne usługi, które są dostępne dla państwa, funkcjonują 24 godziny na dobę i z tego musimy sobie zdawać sprawę, że z punktu widzenia zmian czasowych, to co u nas jest dzisiaj dniem roboczym,  za 12 godzin dniem roboczym będzie w Indonezji. Indonezja ma oczywiście wpływ swoim rynkiem na to, co dzieje się w cyberprzestrzeni naszego kraju. Ja tylko dla zobrazowania chcę przedstawić, że cyberzagrożenia nie są lokalne, tylko są globalne i są rozłożone w czasie – tak jak wcześniej powiedziałem – w trybie ciągłym 24/7.

Z punktu widzenia drugiego obszaru, który musiał być zaadresowany, to jest ustawa o krajowym systemie cyberbezpieczeństwa i wymóg, który mówi o tym, że Kancelaria Sejmu jest zobowiązana do wdrożenia systemu zarządzania bezpieczeństwem informacji. To, że Kancelaria Sejmu jest zobowiązana do wdrożenia systemu zarządzania bezpieczeństwem informacji, to również poprzez połączenia nie tylko techniczne, ale również logiczne dotyczy państwa posłów. Czyli my tak naprawdę musimy zadbać o wszystkie tak zwane aktywa informacyjne, które podlegają naszej ochronie, i wypracować standardy zarządzania ryzykiem w tym zakresie.

Oczywiście, jeżeli mówimy o kwestiach związanych z cyberbezpieczeństwem, z bezpieczeństwem teleinformatycznym, czy z ryzykami, nie ma takich systemów teleinformatycznych, które są w stu procentach bezpieczne i państwo też doskonale o tym wiecie. Zawsze jest ten element ludzki, który jest najsłabszym ogniwem w każdym systemie. To, co chcielibyśmy zrobić, czyli chcielibyśmy przejść z tego grafu, który był na pierwszym slajdzie – chcielibyśmy uporządkować strukturę. Chcielibyśmy uporządkować strukturę w taki oto sposób, żeby jeszcze w tej strukturze pojawiło się coś, co nazywa się developmentem, czyli coś, co nazywa się rozwojem. Bo zaadresowanie zadań rozwojowych też z punktu widzenia danych, którymi dysponujemy, jest niezwykle istotne. A mianowicie w samych domenach publicznych, którymi dysponuje Kancelaria Sejmu, w tej chwili definiujemy ponad 800 różnego rodzaju aplikacji, które funkcjonują w środowisku przestarzałym, czyli w środowisku, które z punktu widzenia funkcjonalności może utracić swoją elastyczność w stosunku do tego, co oferuje rynek w zakresie kompetencji pracowniczych. Czyli może na rynku zabraknąć pracowników, którzy potrafią obsługiwać ten tak zwany stos technologiczny. I tu rzeczywiście zaadresowanie trzeciego obszaru, który jest niezwykle istotny z punktu widzenia funkcjonowania Sejmu i z punktu widzenia funkcjonowania państwa posłów – bo państwo chcecie mieć usługi, które odpowiadają dniu dzisiejszemu, budowane w sposób bezpieczny, ale też chcecie mieć usługi na przyszłość... Czyli to, co generują – na ostatnim slajdzie to będzie – dzisiejsze możliwości, na przykład sztucznej inteligencji. Są standardy, które mówią o tym, jak powinny wyglądać domeny publiczne, jak powinny wyglądać strony internetowe i tego powinniśmy się trzymać. To jest ogromne zadanie, które niestety w tym roku z punktu widzenia zasobów nie może zostać zrealizowane i planujemy prosić państwa, prosić pana ministra w tym przypadku o to, żeby można było zaadresować odpowiednie zasoby na rok przyszły z punktu widzenia budżetu.

Myślę, że dla państwa też będą interesujące informacje... To są informacje statystyczne cały czas… Ale postarałem się tylko przedstawić takie najbardziej klarowne zagadnienia, które dotyczą funkcjonowania każdej organizacji. Czyli mamy tu do czynienia z budżetem porównanym – 2025–2026. Tak jak państwo widzicie, jest zmiana, jeżeli chodzi o kwestie realizowanych umów. Pomimo tego, że w ośrodku pracuje w tej chwili około 80 osób, to tak jak państwo widzicie, tych umów nie jest mało. Kontrahentów też nie jest mało, bo kontrahentów z rynku mamy w stosunku do naszych potrzeb dosyć dużo.

Ale o czym chciałem tutaj powiedzieć? Mamy też zadania – i to nie jest żadna informacja, która podlega zasadom zachowania tajemnicy państwowej – z zakresu zarządzania kryzysowego. Państwo na pewno wiecie o tym, że z punktu widzenia funkcjonowania teleinformatyki, z punktu widzenia obszaru zagadnieniowego, za który ośrodek odpowiada, wymagane jest wsparcie firm zewnętrznych w różnym zakresie. Proszę sobie wyobrazić, że z punktu widzenia kryzysu przestają być dostępne zasoby firm zewnętrznych dla wsparcia teleinformatycznego – w tym przypadku Kancelarii Sejmu, albo państwa. Jest to bardzo trudne oczywiście do przeprocedowania i przygotowania zarządzania tym ryzykiem. Natomiast na dzień dzisiejszy nie ma nic lepszego niż zadbanie o własne kompetencje, czyli zatrudnianie osób tu i teraz w Kancelarii Sejmu, które będą kompetentne w różnych obszarach zagadnieniowych dotyczących nie tylko czasu dzisiejszego, ale też czasu kryzysu. Z punktu widzenia funkcjonowania teleinformatyki w Kancelarii Sejmu też ważne jest to, czym zarządzamy. A więc zarządzamy wieloma składnikami, które są w naszej ewidencji, ale istotna jest może dla państwa ta druga liczba, czyli 303. To są takie środowiska teleinformatyczne, które generują z siebie wizualizację na ekranie, którą państwo możecie zauważyć. I tu niezwykle istotne jest to, że potrzeba jest wiele specjalizacji do tego, żeby takie środowisko utrzymać. Na tym nie będę się skupiał, bo to byłaby informacja dosyć szczegółowa konieczna do przedstawienia.

Natomiast tutaj są przedstawione takie obszary, które są niezbędne do uwzględnienia.  I to, o czym zacząłem mówić, czyli uwzględnienie kwestii zarządzania kryzysowego, współpraca ze Strażą Marszałkowską – bo tutaj Straż Marszałkowska jest naszym naturalnym partnerem przy ochronie fizycznej, ale nie tylko – z punktu widzenia zadań, jakie są nałożone i z punktu widzenia przygotowania różnego rodzaju rozwiązań systemowych. Chociażby kwestii mobilnych dostępu do zasobów informacyjnych – w tym przypadku Sejmu – z różnych punktów, czy to z naszego kraju, czy też globalnie.

Z punktu widzenia utrzymania infrastruktury teleinformatycznej – tak może od początku – ważne jest to, o czym powiedziałem, czyli żeby zadbać o to, by kompetencje były wewnątrz,  a nie na zewnątrz organizacji. Niestety, na dzień dzisiejszy takiej możliwości nie ma żadna instytucja, żeby zbudować takie kompetencje, które wystarczą do obsługi całości infrastruktury. Być może państwa to zainteresuje – jeżeli chodzi o kwestie sieciowe, tutaj mamy około 160 urządzeń, tak zwanych węzłów sieciowych, na terenie Kancelarii Sejmu. One są dosyć dobrze chronione.

Na tym slajdzie też państwo widzicie zgodność z nowymi regulacjami. Oczywiście musimy zadbać o to, żeby była zgodność również z regulacjami, które już w tej chwili funkcjonują w obszarze prawnym. I nad tym na dzień dzisiejszy się pochylamy i tutaj pracujemy, żeby rzeczywiście ten dług technologiczny i dług informacyjny w miarę posiadanych zasobów likwidować.

Następny slajd to już jest informacja, która mówi o tym, że konieczne jest budowanie kompetencji rozwojowych, czyli jak to się robi. To już jest nasze zadanie, żeby przygotować państwu informacje o tym, w jaki sposób możemy podejść do tego zagadnienia. Jeżeli państwo pozwolicie, to nie będę tutaj opowiadał, w jaki sposób ten pion, tak zwany pion developmentu, powinien funkcjonować. Są standardy, są dobre praktyki, którymi na pewno będziemy się kierować.

Panie przewodniczący, szanowni państwo, jeżeli państwo pozwolicie, to tyle tytułem wstępu i prezentacji. Jeżeli będą jakieś pytania, bardzo chętnie odpowiem.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. Otwieram dyskusję. Bardzo proszę, kto z państwa chciałby zabrać głos? Bardzo proszę, pani marszałek.

Poseł Wanda Nowicka (Lewica):
Dziękuję bardzo, panie przewodniczący. Dziękuję za tę prezentację. Ja bym chciała się skupić na tym wątku dotyczącym bezpieczeństwa, bo już obsługa rozmaitych, niezbędnych do funkcjonowania Sejmu technologii i systemów jest jakoś tam bardziej zrozumiała i oczywista.  Tak bym powiedziała. Natomiast jeśli chodzi o te kwestie bezpieczeństwa, tutaj właściwie pytanie… Bo ja rozumiem, że jesteście państwo na etapie tworzenia nowego systemu, nowej struktury i przed zatrudnianiem nowych osób. Wiadomo, że teraz taki jest trend… Nawet ostatnio właśnie widziałam w telewizji – powstał w Policji taki zespół cyber… Jakoś się nazywa cyberwojsko, czy coś tam… W każdym razie osoby, które są zatrudniane, czy które zostały zatrudnione do tej sekcji zajmującej się bezpieczeństwem, to nie są typowi pracownicy – jakbyśmy sobie wyobrażali – z trzema fakultetami, czy coś takiego. To są takie, powiedziałabym, nerdy techniczne, które nie są na pewno typowymi wojskowymi, natomiast to pewnie tacy, co cały czas siedzą przy tych komputerach i mają takie swoje umiejętności, które niekoniecznie muszą być w sposób formalny udokumentowane. I moje pytanie jest takie – czy przy zatrudnianiu osób do budowania tego systemu bezpieczeństwa, czy rozwijania go będą państwo rozważali również poszukanie pracowników właśnie w takiej kategorii? Czyli osób jakoś pewnie nie w najwyższym wieku, tylko właśnie często osoby, po których po prostu widać, że mają te komputery w paluchach, niekoniecznie w papierach. Czy taka polityka właśnie tutaj będzie też przyświecała przy poszukiwaniu przynajmniej części osób zatrudnionych? Dziękuję.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. Bardzo proszę, kto chciałby zadać pytanie? Bardzo proszę, pani marszałek.

Poseł Elżbieta Witek (PiS):
Dziękuję. Ja mam pytanie – bo nie wiem, jak to się zmieniło w ciągu ostatnich dwóch lat – jaki jest stan zatrudnienia w tej chwili? Pan mówił – 80osób. Chciałam o to zapytać, bo zawsze zwracaliśmy uwagę na to, żeby jednak w tym wydziale pracowali ludzie z bardzo wysokimi kwalifikacjami – ale jednak zaglądałabym im do papierów, bo to jest Sejm. Tutaj musi obowiązywać całkowite bezpieczeństwo osób, które zatrudniamy. Chciałabym zapytać, jak wygląda sytuacja z wynagradzaniem pracowników? Bo z tym tam było tak, że trzeba było tych pracowników jakoś wynagradzać premiami, bo to, co oni robili, było czymś niesamowitym. Łącznie z tym, że byliśmy pierwszym Sejmem w Europie, który bezbłędnie własnymi siłami przeprowadził całą z operację związaną ze zdalnymi głosowaniami.

I w związku z tym moje drugie pytanie jest takie – czy my mamy w tej chwili jako Kancelaria Sejmu podpisane jakieś umowy z zewnętrznymi partnerami? Jeżeli tak, to jakie to są umowy?

Trzecie pytanie, bardzo techniczne – mamy na poczcie naszej sejmowej często informację: kwarantanna, zablokowany mail. Nie wiem, jaki to jest mail, czego on dotyczył, w jaki sposób on jest blokowany, kto nad tym czuwa i na jakiej zasadzie to się odbywa. To zdarza się często.

I ostatnie pytanie, też techniczne – czy mamy wśród naszych posłów, bo tak zrozumiałam z wypowiedzi pana dyrektora, jakąś konkretną grupę, która jest w sposób szczególny narażona na ataki? Czy możemy to określić? Czy też jest to zupełnie przypadkowe? Bo to, że ataków na nasze serwery sejmowe są miliony, to było od zawsze. Trudno się dziwić, gdyby najbardziej polityczne miejsce, gdzie się podejmuje najważniejsze decyzje, było ominięte przez hakerów i przeróżnego rodzaju szpiegów. Tu musi być bardzo bezpiecznie.

Bardzo dziękuję. Jeżeli mogłabym prosić o odpowiedź na te pytania, będę wdzięczna. Dziękuję.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. Bardzo proszę, pan poseł.

OK, to może zrobimy… Bo widzę, że panowie są gotowi do odpowiedzi na te pytania. Może dyskusja się rozwinie jeszcze bardziej... Bardzo proszę, pan dyrektor? Tak. Bardzo proszę.

Dyrektor Ośrodka Informatyki Kancelarii Sejmu Przemysław Więcław:
Panie przewodniczący, szanowni państwo, rozpocznę może od kwestii związanej z pytaniem pani marszałek Witek dotyczącego doboru – bo to jest rzeczywiście bardzo istotny element z punktu widzenia funkcjonowania każdej organizacji, jakimi kompetencjami, jakimi tak naprawdę pracownikami dana organizacja dysponuje. To jest najważniejszy zasób, żeby nie tylko rozwijać kwestie teleinformatyczne, ale także żeby je zabezpieczać. To niejako łączy się z pytaniem pani marszałek również – czyli chodzi mi o tych specyficznych ludzi, którzy pracują przy samych systemach. Natomiast ja może pozwolę sobie zwrócić uwagę na to, żebyśmy nie utożsamiali cyberbezpieczeństwa wyłącznie z technologią. Cyberbezpieczeństwo to jest, można powiedzieć, gra zespołowa, czyli to jest gra zarówno użytkownika, administratora, wytwórcy oprogramowania, jak również dysponenta środków. Czyli tu musimy wiedzieć, że każde ogniwo tego łańcucha musi odpowiadać za swój element. Oczywiście, jeżeli chodzi o kwestie naborów, na dzień dzisiejszy poszukujemy ludzi i znajdujemy tych ludzi. Udało się już kilka osób z rzeczywiście dużymi kompetencjami zatrudnić dzięki temu, że są uposażenia w samej Kancelarii Sejmu, ale też dzięki temu, że mamy świadczenie teleinformatyczne – świadczenie teleinformatyczne oparte o rozwiązania ustawowe, które zostały przez państwa posłów przyjęte.

Z punktu widzenia środowiska cyberbezpieczeństwa, jeżeli mówimy o kwestiach związanych z tak zwanym wsparciem lub wykorzystaniem podmiotów zewnętrznych, tych kontrahentów mamy. Tutaj podam przykład systemu, który umożliwia państwu głosowania. Mamy tu wsparcie poprzez umowę, którą podpisaliśmy z konsorcjum dwóch firm – dwóch firm polskich.  Czyli są to, są to firmy bezpieczne. Oczywiście z punktu widzenia funkcjonowania ustawy o krajowym systemie cyberbezpieczeństwa będzie powstawała lista, która będzie mówiła o tym, z którymi firmami tak naprawdę możemy umowy podpisywać. Będą one uzyskiwały odpowiedni certyfikat. I zgadzam się z tym, że musimy wybrać w sposób odpowiedni, dołożyć najwyższej staranności, aby wybór tej firmy następował w sposób najbardziej bezpieczny dla funkcjonowania – w tym przypadku nie Kancelarii Sejmu, ale Sejmu. Bo proces legislacyjny i zachowanie jego ciągłości jest dla nas oczywiście najważniejsze.

Biorąc pod uwagę to, o czym tutaj pani marszałek powiedziała, jeżeli chodzi o kwestie związane z tą specyfiką pracy osób, które odpowiadają za cyberbezpieczeństwo, to tak, rzeczywiście, w Policji mamy dwie instytucje. Tam jest część cyberprzestępczości, jest też część cyberbezpieczeństwa. Zapewne mówimy tutaj o takich zdefiniowanych strukturach jak CSIRT i SOC –  czyli bardziej tutaj mówimy o takim Security Operations Center, czy centrum operacyjnym, które dba o to, aby tu i teraz odpowiadać za kwestie związane z cyberbezpieczeństwem, z zabezpieczeniem naszej infrastruktury. W wojsku jest to DKWOC, czyli to jest cały komponent w wojsku, który odpowiada za kwestie cyberbezpieczeństwa i infrastruktury wojskowej.

Oczywiście na wzór tego, tak jak tutaj w tej prezentacji pokazywałem – nie na wzór tego, jak jest w wojsku i w Policji, tylko na zwór tego, jak mówią standardy – chcemy utworzyć całodobową służbę, która będzie się nazywała właśnie SOC, czyli tym Security Operations Center. Bo CSIRT jest tą drugą linią, drugą linią po SOC, która dokonuje analiz zdarzeń – niekoniecznie tego, że zdarzenie przekształciło się w incydent, tylko monitoruje infrastrukturę całodobowo i wskazuje ludziom z CSIRT-u, że takie zdarzenie miało miejsce z prośbą, by to zweryfikować.

Co do kwarantanny, jest to zagadnienie bardzo skomplikowane, dlatego że nie ma standardów państwowych, które mówią, że mamy reguły państwowe o wyłączeniu danych domen z dostępu do naszej infrastruktury – czyli powiedzmy przy wejściu na daną domenę przez państwa, to jest domena niebezpieczna... To są uwarunkowania, które tworzą instytucje komercyjne. Czyli my w przygotowaniu reguł tak zwanej kwarantanny korzystamy albo z informacji CSIRT-ów krajowych, albo z raportów, albo z list, które tworzone są przez korporacje, które odpowiadają w tym przypadku za bezpieczeństwo internetu.

Mam nadzieję, że odpowiedziałem na pytania.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. Wracamy do dyskusji. Pan poseł podtrzymuje? Bardzo proszę.

Poseł Bartosz Kownacki (PiS):
Mam pytanie, korzystając z okazji, że panowie są. Kwestia dostępu do komputerów, które są w dyspozycji Kancelarii Sejmu, które są w klubach poselskich. Ja nie korzystam z tych komputerów, bo tam trzeba się co dwa miesiące logować, zmieniać hasło. Naprawdę, bądźmy poważni, ilość haseł, którą my mamy – i mamy co dwa miesiące pamiętać, by jeszcze zmienić w sposób, który jest trudny… Bo to nie jest tak, że ja dostaję SMS-a ze zweryfikowanym kodem i mogę się zalogować. W związku z tym nie korzystam z tych komputerów, one stoją często puste. To utrudnia mi pracę. A jednocześnie są komputery senackie u nas w klubie i tam nie ma tego problemu. A więc pytanie, czy nie można tego tak rozwiązać, żeby poseł dostał hasło i nie musiał się logować przez jakieś niebywale trudne uwierzytelniania i raz na tę kadencję już to miał? Naprawdę, jak sobie chcę zmienić i czuję się zagrożony, to to zrobię. Tym bardziej że są też komputery, szanowni panowie, chociażby w dolnej palarni, gdzie ja sobie i tak wejdę na swoją pocztę i sprawdzę bez żadnego logowania. A po prostu mam uniemożliwioną normalną pracę u siebie w klubie. Zatem prośba o jakieś logiczne i racjonalne, a przynajmniej zsynchronizowane z Senatem w tym zakresie, działania ośrodka.

Przewodniczący poseł Jarosław Urbaniak (KO):
Panie dyrektorze, ja bym pewnie trochę rozszerzył. Podobnie jest z systemem SDI, który kiedyś miał zabezpieczenie, teraz ma zabezpieczenie tak poważne i tak trudne – wiem, że to nieładnie i pewnie medalu mi nikt nie przyzna za to – że ja przestałem korzystać. Szczególnie że większość materiałów, które się pojawiają w systemie SDI, po prostu pobieram, jak wchodzę na stronę internetową Sejmu – i ten sam druk sejmowy mam. Ja wiem, że to nie jest pana robota. Ta selekcja, co jest szybciej dostępne dla obywatela na zewnątrz, a dla nas, którzy pracujemy na tych drukach sejmowych… Gdzieś tam zatracono to poczucie zdrowego rozsądku – co powinno być strzeżone, a co nie. Pewnie trzeba by pomyśleć, żeby było zabezpieczenie, bo to jest ważne – bo o tym będziemy później z przesadą mówić, jak się coś poważnego stanie – a z drugiej strony jednak większość naszej pracy jest transparentna. Do tych dokumentów, na których pracujemy, mają dostęp obywatele online w tym samym czasie. To z pewnością…

I to, o czym rozmawialiśmy, co jest postulatem już od dawna przeze mnie podnoszonym – zrobiłem drobne badania, wiem, że niereprezentatywne do końca, bo pytałem kilkorga koleżanek i kolegów – kto obsługuje pocztę: imię.nazwisko@sejm.pl? Odpowiedź „nie wiem” też była. Często pracownicy biura… Bo tam, póki co, jest dużo śmieci. To, o czym rozmawialiśmy – pójdzie kolejny raz do protokołu – żeby zapewnić nam taki komfort, że oprócz poczty, do której mają dostęp wszyscy, łącznie z obywatelami Indonezji – pochwalę, się, że słuchałem pana dyrektora… Oddzielenie tego od poczty, na której rzeczywiście pracujemy – czyli maile z Komisji, maile z klubu, maile z Kancelarii Sejmu. To, czym się posługujemy… Żeby kiedyś nie było rzeczywiście problemu… Bo jak ja obsługuję pocztę oficjalną, służbową, to ja nie przeglądam już w ogóle maili. Ja wiem, czego oczekiwać, bo mam informację, że powinien przyjść mail od pani kierownik – więc ja wpisuję i wyszukuję od razu maile z Komisji Regulaminowej i one się pojawiają. Tych wszystkich maili, w których ludzie mają czas opisać w różnych epitetach, kto ja jestem i dlaczego, po prostu jest mnóstwo – pomijając kwestię tych przeciwskutecznych akcji przysyłania lobbystycznych maili, żebym zagłosował za jakąś poprawką albo za jakąś ustawą, gdzie autorzy tych maili nawet zapominają zmienić nagłówka z „Szanowna Pani Poseł” na „Szanowny Panie Pośle”. Dostajemy takie… Mocno się mylą. Myślę, że wspólna grupa pytań dotycząca tego bezpieczeństwa… Przyjdzie czas, kiedy będą nas gonić za korzystanie z maili prywatnych. Ale mój mail prywatny nie jest wcale prywatny, bo tam są tylko... Z żoną tam nie koresponduję, tylko służbowo. I żeby to był jednak mail z domeną sejmową. Dziękuję bardzo.

Jeszcze pani poseł Lenartowicz, jak rozumiem…

Poseł Gabriela Lenartowicz (KO):
Ja się dołączę właśnie. Naprawdę trzeba by się przyjrzeć temu algorytmowi z tego raportu kwarantanny – do czego on służy. Bo mamy pozapychane skrzynki. Ja akurat używam tej skrzynki. Mamy zapychane skrzynki taką masówką właśnie typu akcje propagandowe czy lobbystyczne… Tego się nie wyłapuje. Dostaje się w jednym dniu na przykład 150 maili. I widać, że to jest zbiorowa wysyłka, to nie są maile indywidualne. A jednocześnie w raporcie kwarantanny, do którego ja zaglądam z ciekawości, zatrzymywane są newslettery całkowicie oficjalne i to branżowe. I pod hasłem czytam sobie powód – obraźliwe kategorie. Ja analizuję te raporty tak z uporem maniaka i naprawdę ciężko znaleźć w ogóle jakieś kryterium. Nawet takiego kryterium wysyłki… Przepuszcza się maile masowe reklamujące na przykład środki poprawiające atrakcyjność seksualną, a z kolei informacji res publica nie dostajemy, są zatrzymywane – na przykład informacje do mnie zapraszające na konferencje. Zatem bardzo bym prosiła, żebyśmy dostali taką listę kryteriów, według których to się wyłącza i co znaczy „obraźliwe”.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. Panie dyrektorze, jeśli można prosić o odpowiedź na tę turę pytań.

Dyrektor Ośrodka Informatyki Kancelarii Sejmu Przemysław Więcław:
Panie przewodniczący, szanowni państwo, pomimo tego, że bardzo krótko dyskutujemy, to odpowiedzi na tak zadane pytania są bardzo obszerne. Tego nie można rozstrzygnąć w toku krótkiej dyskusji, tylko jest to wielowymiarowa rozmowa na temat cyberbezpieczeństwa. Z punktu widzenia chociażby obszaru prawnego funkcjonują obowiązki, które mówią o kwestiach związanych z tak zwanym multifactor zabezpieczeniem… Mamy chociażby do czynienia z tym, że musimy korzystać z dwuskładnikowego zabezpieczenia w przypadku bankowości elektronicznej. To samo dotyczy również standardów, które są związane z systemem zarządzania bezpieczeństwem informacji – czyli musimy je stosować.

Natomiast jak najbardziej przyjmuję do wiadomości, że muszę poddać analizie kwestie ułatwienia dostępu państwa do zasobów. Proszę o czas – bo to będzie wymagało rzeczywiście czasu, żeby przygotować takie środowisko ułatwiające państwu pracę, chociażby z punktu widzenia częstotliwości zmiany haseł. Tu rzeczywiście możemy długo rozmawiać na temat różnych kampanii, gdzie zostały skompromitowane nie tysiące, tylko miliony skrzynek pocztowych – nie prywatnych, tylko również służbowych w skali globalnej. Takie informacje są od czasu do czasu publikowane. I musicie państwo też wziąć pod uwagę, że działanie grup, które są związane w tym przypadku z rządami niekoniecznie przyjaznych nam państw, polega na gromadzeniu o państwie. Czyli gromadzą te informacje, niekoniecznie je ujawniając. Czyli to, że dzisiaj państwo posługujecie się danym hasłem, niekoniecznie ono nie jest skompromitowane…  Czyli te informacje o państwa działalności na skrzynce, czy prywatnej, czy służbowej, są gromadzone do innych celów, które będą wykorzystane za jakiś czas. Także też na to musimy zwracać uwagę i musimy osiągnąć ten balans – tak jak powiedziałem na wstępie – pomiędzy funkcjonalnością a bezpieczeństwem. Jest to rzeczywiście długa analiza tego, co możemy w Sejmie zrobić.

Przewodniczący poseł Jarosław Urbaniak (KO):
Bardzo proszę.

Poseł Bartosz Kownacki (PiS):
Panie dyrektorze, pan odpowiedział w sposób bardzo wymijający. A ja powiem tak – dzięki państwa działaniu, które ma niby nas chronić, ja korzystam z komputerów w Sejmie, które są otwarte dla wszystkich – czyli w ogóle nie mam zabezpieczenia, idąc tym tropem.

A drugie moje pytanie – nie bez powodu powiedziałem o Senacie – chcę poprosić o uzasadnienie, dlaczego te komputery są tak zabezpieczone, kiedy komputery senackie nie są zabezpieczone? Senat nie stosuje się do tych przepisów, których wy się stosujecie. Dwie instytucje pracujące obok siebie. Może tam trzeba wyciągnąć konsekwencje? Tylko pokazuję – ja dziś korzystam z komputera senackiego, który mam w klubie, a nie z komputera sejmowego – w najlepszym wypadku.

Przewodniczący poseł Jarosław Urbaniak (KO):
Jesteśmy w punkcie „dyskusja”. Bardzo proszę, panie dyrektorze.

Dyrektor Ośrodka Informatyki Kancelarii Sejmu Przemysław Więcław:
Panie przewodniczący, szanowni państwo, ja poproszę o ten czas do analizy. Bo nie chciałbym w tej chwili mówić o różnicach pomiędzy zabezpieczeniami w Senacie i w Sejmie. Jest to na oddzielną rozmowę.

Przewodniczący poseł Jarosław Urbaniak (KO):
OK. To tę odpowiedź, panie ministrze, traktuję jako zapowiedź kolejnego spotkania. I jeżeli my rutynowo mamy przegląd poszczególnych działów Kancelarii Sejmu, to w przypadku pionu informatycznego spotkamy się w niedługim czasie ponownie – tak mogę to zrozumieć?

Bardzo proszę, panie ministrze.

Zastępca szefa Kancelarii Sejmu Jerzy Woźniak:
Szanowni państwo – w szczególności chciałem zwrócić się do pani marszałek Witek i do pani poseł Wandy Nowickiej – mianowicie w kwestii polityki kadrowej związanej z Ośrodkiem Informatyki rzeczywiście jest tak, że dzisiaj Ośrodek Informatyki jest, jak myślę, najlepiej wynagradzanym ośrodkiem w całej Kancelarii Sejmu. I ja się bardzo cieszę, że udaje nam się zapełnić etaty albo przy tworzeniu nowych… Bo rzeczywiście nowe etaty będziemy musieli stworzyć ze względu na cyberbezpieczeństwo i ustawę, która na nas to nakłada. I to nie będzie pięć etatów, tylko to będzie w skali najbliższych trzech lat kilkadziesiąt etatów. Za tym oczywiście muszą iść pieniądze budżetowe. Natomiast w każdym z tych przypadków jest istotne utrzymanie także tych ludzi, którzy dzisiaj pracują. Wiemy, jak rynek zewnętrzny, koncerny wynagradzają informatyków. Dlatego też my musimy być konkurencyjni. Stąd też wykorzystanie takiego instrumentu, jakim jest świadczenie teleinformatyczne, gdzie kilkanaście – nie wiem dokładnie,  ile w tej chwili, nie umiem odpowiedzieć – kilkanaście, pod dwadzieścia osób takie świadczenie dodatkowo dostaje. I chcę jednoznacznie powiedzieć, że to są duże środki rzędu nawet 10 tys. zł miesięcznie. A więc to powoduje, że jesteśmy w stanie być konkurencyjni dla rynku i pozyskiwać te osoby. W tej chwili otworzyliśmy nabór na osoby związane właśnie między innymi z cyberbezpieczeństwem – chyba na osiem etatów. W najbliższym czasie tyle osób przyjmiemy i one będą zaadoptowane do naszego nowego systemu, tego, który był pokazywany dzisiaj jako nowa struktura, czy ta docelowa struktura pionu informatycznego.

Rzeczywiście to, o czym pan poseł mówi – o trudnościach – przyjmujemy to do wiadomości i co więcej, spróbujemy do tego podejść. Natomiast proszę zobaczyć, że państwo macie to wszędzie. Nawet w swoich prywatnych skrzynkach pocztowych te obostrzenia także są. Nie są to łatwe rzeczy. Ja wiem, że każdy z nas ma ten sam problem – bo tych haseł mamy tak dużo, że nie jesteśmy w stanie zapamiętać. I sam kombinuję jakieś zapisy, żeby tylko nikt nie zrozumiał, jakie hasło piszę, ale żebym ja to rozumiał. Natomiast spróbujemy do tego podejść. Ja mam nadzieję, że akurat pan dyrektor, który muszę powiedzieć, że także dla nas… To jest też świadectwo skuteczności naszego działania, że udało nam się pozyskać do pracy pana dyrektora, który przez ostatnie 8 lat był dyrektorem biura teleinformatycznego Komendy Głównej Policji. A więc ma ogromne doświadczenie, zarządzał dużo większą grupą osób. Dla mnie daje gwarancję poprawy jakości obsługi informatycznej, także państwa posłów, oraz zastosowania wszystkich tych norm, które teraz wynikają z wcale nie nowych ustaw – bo to są ustawy przyjęte w 2016 i w 2018 roku, chociażby związane z cyberbezpieczeństwem. My musimy to zrobić.

Tak jak mamy dzisiaj węzeł krajowy i usługę, którą mamy przy konsultacjach, że korzystamy z węzła krajowego… Ale żeby w węźle krajowym być, to musimy spełnić mnóstwo obowiązków, a nie wszystkie do dzisiaj spełniamy. Zatem najbliższe działania będą właśnie z tym związane, żeby dostosować się do wszystkich wymogów, które nas dzisiaj obowiązują. Dziękuję.

Przewodniczący poseł Jarosław Urbaniak (KO):
Dziękuję bardzo. To ja jeszcze może słowo o wynagrodzeniach, panie ministrze. Dział informatyki, ratuje, tak jak obaj panowie mówili, specjalna ustawa, która dotyczy akurat tego zawodu. Natomiast my tutaj w trakcie posiedzeń Komisji Regulaminowej już kilkakrotnie rozmawialiśmy o wynagrodzeniach w Kancelarii Sejmu. Ja nadal podtrzymuję swoje zdanie, że są takie działy – tu rozwiązane dzięki specustawie... Kwestia tego, jak zachowują się przedstawiciele danej branży na rynku w Warszawie. Są takie branże, w których wszyscy marzą, żeby pracować w Kancelarii Sejmu – bo ta średnia jest bardzo wysoka – a są takie, w których najgorsi nie chcą pracować w Kancelarii Sejmu. Specustawą rozwiązaliśmy kwestie informatyki. Nadal jest kwestia pracowników zawodów, które są nam bardzo pomocne w procedurze legislacyjnej, obsadzie sekretariatów i tak dalej. I kwestia, którą też poruszaliśmy już na posiedzeniu Komisji Regulaminowej z panem ministrem Siwcem, czyli bariera wejścia do Kancelarii Sejmu, szczególnie dla młodych osób. Tutaj propozycje są bardzo niskie. Ludzie, którzy kończą studia, mają dobre przygotowanie teoretyczne, niechętnie przychodzą tutaj, bo tu są bardzo małe proponowane wynagrodzenia.

Ja z całą świadomością przypominam państwu – kiedy pan minister przyszedł do pracy w Kancelarii Sejmu, jeśli dobrze pamiętam, latem 2025 roku, czyli tuż, tuż, cztery równoległe konkursy w Kancelarii Sejmu dla młodych pracowników tuż po studiach rozstrzygnięto. Żaden z tych, którzy zostali wybrani, nie przyjął warunków pracy – znaczy warunków płacy tak naprawdę. Cztery do zera to już jest zjawisko takie, z którym trzeba sobie poradzić. Ja bardzo proszę i przypominam, że mamy połowę maja i to jest bardzo późno. Bo za chwilę będziemy się zajmować wykonaniem budżetu Kancelarii Sejmu w Komisji Regulaminowej – innymi oczywiście też – i nim się spostrzeżemy, projekt budżetu na rok 2027 Kancelarii Sejmu też będzie. A więc wracam do tej propozycji, żeby o tym w sposób poważny, ponad podziałami, porozmawiać.  Nie o naszych wynagrodzeniach – co jasno mówimy – nie o wynagrodzeniach naszych asystentów, tylko o wynagrodzeniach w Kancelarii Sejmu. Nie robimy tego dla siebie, tylko robimy na lata, dla pokoleń, dla tych, którzy wygrają wybory w kolejnych latach.

Bardzo proszę… Ja tu jakby nie oczekuję odpowiedzi. To jest opis i nadzieja na dobrą współpracę w tym zakresie – bo my te potrzeby w Komisji Regulaminowej od dawna widzimy.  Pan przewodniczący też macha głową, czyli ponad podziałami.

Czy ktoś jeszcze by chciał zabrać głos w dyskusji? Nie widzę.

Panie ministrze, panie dyrektorze, serdecznie dziękuję. Jesteśmy w roboczym kontakcie, z tego wynika, i przyszykujemy... My powiedzieliśmy, co nas, nasze koleżanki i kolegów boli. Mamy nadzieję na pewną poprawę. Zdajemy sobie sprawę, że pan dyrektor na to patrzy z zupełnie innej perspektywy i musimy znaleźć jakieś rozwiązanie pośrednie.

Zamykam dyskusję. Dziękuję panu ministrowi i panu dyrektorowi za udział w posiedzeniu. Wyczerpaliśmy porządek obrad dzisiejszego posiedzenia Komisji.

Zamykam posiedzenie.

Przypominam – prezydium Komisji za moment w pokoju 300, w budynku K. Dziękuję bardzo.