8. kadencja, 63. posiedzenie, 1. dzień (05-06-2018)

5. punkt porządku dziennego:

Pierwsze czytanie rządowego projektu ustawy o krajowym systemie cyberbezpieczeństwa (druk nr 2505).

Poseł Rafał Weber:

    Dziękuję bardzo.

    Pani Marszałek! Panie Ministrze! Wysoka Izbo! W imieniu Klubu Parlamentarnego Prawo i Sprawiedliwość przedstawiam stanowisko dotyczące rządowego projektu ustawy o krajowym systemie cyberbezpieczeństwa.

    Ustawa ta ma na celu określenie organizacji oraz sposobu funkcjonowania krajowego systemu cyberbezpieczeństwa, sposobu sprawowania nadzoru i kontroli w zakresie stosowania przepisów ustawy oraz zakresu i trybu stanowienia strategii cyberbezpieczeństwa Rzeczypospolitej Polskiej.

    Projekt ustawy definiuje podstawowe pojęcia niezbędne dla krajowego systemu cyberbezpieczeństwa. W obecnym stanie prawnym brak normatywnych definicji sprawia, że obszar ten jest niedostatecznie regulowany. Proponowane definicje są zgodne z treścią dyrektywy 2016/1148, co pozwoli ocenić osiągnięcie celów tej dyrektywy i krajowych ram. Projekt ustanawia też krajowy system cyberbezpieczeństwa oraz określa podmioty do niego należące.

    Projekt ustawy zawiera zasady wskazywania operatorów usług kluczowych, a wypełniając dyspozycje, o których mowa w dyrektywie 2016/1148, określa obowiązki operatorów usług kluczowych dotyczące wdrożenia efektywnego systemu zarządzania bezpieczeństwem, obejmującego m.in. zarządzanie ryzykiem, procedury i mechanizmy zgłaszania i postępowania z incydentami czy organizację struktur na poziomie operatora. W załączniku do ustawy znajdują się natomiast wszystkie potencjalne kategorie podmiotów w poszczególnych sektorach gospodarki i działalności państwa, z których mogą być wyłaniani, w drodze decyzji administracyjnej, operatorzy usług kluczowych.

    Projekt ustawy precyzuje obowiązki nakładane na dostawców usług cyfrowych, uwzględniając istniejące w tym zakresie ograniczenia określone w dyrektywie 2016/1148. Obowiązki nakładane na podmioty publiczne są uregulowane odrębnie od tych nakładanych na operatorów i dostawców.

    Jedną z najistotniejszych części proponowanych zmian jest określenie systemu reagowania na incydenty i włączenie w ten proces wszystkich zainteresowanych podmiotów. Założeniem systemu reagowania na incydenty jest jego kompletność i transparentność.

    Po pierwsze, zakłada się określenie zadań zespołów reagowania na incydenty komputerowe odpowiedzialnych za przeciwdziałanie zagrożeniom cyberbezpieczeństwa o charakterze ponadsektorowym i transgranicznych, a także koordynację obsługi poważnych, istotnych i krytycznych incydentów. Po drugie, ustawa przewiduje włączenie aspektów cyberbezpieczeństwa do stref zarządzania państwem. Zespoły informują się wzajemnie oraz informują Rządowe Centrum Bezpieczeństwa o incydencie krytycznym, który może spowodować wystąpienie sytuacji kryzysowej dla bezpieczeństwa lub porządku publicznego. Dodatkowo ustawa przewiduje utworzenie zespołu ds. krytycznych incydentów jako organu pomocniczego powołanego w sprawach obsługi i koordynacji wymienionych incydentów krytycznych.

    Projekt ustawy ustanawia organy właściwe ds. cyberbezpieczeństwa, odpowiedzialne za sprawowanie nadzoru wobec operatorów usług kluczowych w sektorach wymienionych w dyrektywie 2016/1148. Organy właściwe są elementem krajowego systemu cyberbezpieczeństwa, odpowiedzialnym również za opracowanie we współpracy z CSIRT wytycznych bezpieczeństwa teleinformatycznego w wymiarze sektorowym. Ustanawiane przez organy właściwe sektorowe zespoły cyberbezpieczeństwa będą miały możliwość przyjmowania zgłoszeń o incydentach poważnych, ich analizy oraz wsparcia w ich obsłudze we współpracy z właściwym CSIRT.

    Projekt zakłada również przypisanie nowych obowiązków ministrowi właściwemu do spraw informatyzacji realizującemu funkcje techniczne na potrzeby krajowego systemu cyberbezpieczeństwa. Związane są one z prowadzeniem systemu teleinformatycznego wykorzystywanego do wymiany informacji między podmiotami tworzącymi krajowy system cyberbezpieczeństwa, do dynamicznego szacowania ryzyka na poziomie krajowym oraz do ostrzegania o zagrożeniach cyberbezpieczeństwa.

    Jednocześnie projekt ustawy ustanawia Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa prowadzony przez ministra właściwego do spraw informatyzacji. Według założeń regulacji Pojedynczy Punkt Kontaktowy realizowałby funkcję swoistego łącznika i zajmował się wymianą informacji na rzecz organów właściwych, organów władz publicznych i CSIRT. Pojedynczy Punkt Kontaktowy zapewni odbieranie i przekazywanie zgłoszeń incydentów poważnych i istotnych z krajów członkowskich, reprezentację Rzeczypospolitej w Grupie Współpracy, współpracę z Komisją Europejską, współpracę między (Dzwonek) organami właściwymi Rzeczypospolitej Polskiej i organami właściwymi państw członkowskich Unii Europejskiej.

    Kończąc powoli przedstawianie naszego stanowiska, zachęcam państwa do zapoznania się z ustawą, z uzasadnieniem. Jest to materiał bardzo obszerny, ale ustawa jest bardzo istotna, jeżeli chodzi o zachowanie bezpieczeństwa naszego kraju.

    Klub parlamentarny popiera to rządowe przedłożenie, uznając przyjęcie tej ustawy za działanie nie tylko wypełniające zapisy dyrektywy 2016/1148, ale również wzmacniające bezpieczeństwo w cyberprzestrzeni. Dlatego będziemy wspierać rząd w pracach nad tym projektem. Dziękuję bardzo.

Przebieg posiedzenia