8. kadencja, 63. posiedzenie, 1. dzień (05-06-2018)
5. punkt porządku dziennego:
Pierwsze czytanie rządowego projektu ustawy o krajowym systemie cyberbezpieczeństwa (druk nr 2505).
Poseł Piotr Cieśliński:
Dziękuję, pani marszałek. Postaram się, aby było ono jak najbardziej przyjazne.
Panie Ministrze! Wysoka Izbo! Projekt dotyczy implementacji dyrektywy Parlamentu Europejskiego i Rady Unii Europejskiej nr 2016/1148 z 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Ponadto warto zauważyć, iż projektowana ustawa wpisuje się w cel piąty ˝Krajowych ram polityki cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017-2022˝.
Przyjęta dyrektywa jest pierwszym horyzontalnym unijnym aktem prawnym stanowiącym odpowiedź na wyzwania w obszarze cyberbezpieczeństwa, który wprowadza rzeczywiste zmiany w kwestii odporności na zagrożenia dla cyberbezpieczeństwa i współpracy w dziedzinie cyberbezpieczeństwa w Europie.
Państwa członkowskie Unii Europejskiej miały implementować dyrektywę do swoich systemów prawnych do 9 maja 2018 r. Wykaz usług kluczowych i lista operatorów usług kluczowych muszą powstać z kolei do listopada 2018 r. Niestety Polska już jest w tyle i nie dotrzyma wymaganego terminu.
Zgodnie z szacunkami Ministerstwa Cyfryzacji ustawa wpłynie na blisko 50 podmiotów sektora energetycznego, 15 firm lotniczych, 10 kolejowych, 47 instytucji finansowych oraz na wszystkich największych operatorów telekomunikacyjnych, do tego na co najmniej 25 dostawców usług cyfrowych i minimum 30 firm zajmujących się cyberbezpieczeństwem.
Podniesienie poziomu cyberbezpieczeństwa krajowego bez wątpienia stanowi kluczowe wyzwanie zarówno dla sektora prywatnego, jak i dla sektora publicznego. Należy podkreślić, że procedowany projekt ustawy stanowi postęp względem pierwszej roboczej wersji zaproponowanej na etapie prac rządowych, co ogromnie cieszy. Projekt wymaga jednak kontynuacji, uzgodnień i poprawek. Należy zauważyć, że ustawa stanowi zbiór rzeczy ważnych i mało istotnych. Przeprowadzona analiza pozwala stwierdzić, że projekt skupia się przede wszystkim na systemie zgłaszania incydentów związanych z cyberbezpieczeństwem. Sama propozycja z kolei niewiele mówi o prewencji, monitorowaniu stanu normalnego i wyszukiwaniu incydentów. Projekt ustawy poświęca również niewiele uwagi edukacji oraz nie wykorzystuje potencjału organizacji pozarządowych w budowaniu świadomości społecznej właśnie w obszarze cyberbezpieczeństwa.
Cieszy natomiast fakt, że dopracowano w wymiarze legislacyjnym konkretyzację stosowanych pojęć, przede wszystkim incydentów, oraz zdecydowano się na utworzenie CSIRT-ów dla sektorów i podsektorów wymienionych w załączniku drugim do dyrektywy, co również było postulowane w ˝Krajowych ramach polityki cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017-2022˝.
Biorąc pod uwagę cel dyrektywy unijnej, tj. osiągnięcie wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informacyjnych na terytorium Unii Europejskiej, należałoby się poważnie zastanowić, czy polska strategia cyberbezpieczeństwa nie powinna objąć swoim zakresem sektorów i usług, które nie zostały wymienione w załącznikach do dyrektywy, tj. sektorów: energetyki, transportu, bankowości, rynków finansowych, służby zdrowia, zaopatrzenia w wodę pitną i jej dystrybucji oraz infrastruktury cyfrowej. Jest to możliwe, ponieważ w art. 3 dyrektywy NIS ustanowiono zasadę harmonizacji minimalnej. Zgodnie z tą zasadą polski ustawodawca może przyjmować lub utrzymywać przepisy mające na celu osiągnięcie wyższego poziomu bezpieczeństwa sieci. To samo dotyczy rozszerzenia katalogu sektorów, które będą uznawane za operatorów usług kluczowych, biorąc pod uwagę ich znaczenie dla społeczeństwa i gospodarki.
Chciałbym również zwrócić uwagę, że projekt przewiduje powołanie organu kolegialnego sprawującego nadzór nad systemem cyberbezpieczeństwa. Nadzór nad działalnością tego ciała będzie prowadzić (Dzwonek) prezes Rady Ministrów lub osoba przez niego wskazana. Tutaj jest kwestia dyskusyjna, przy okazji prosiłbym też o wyjaśnienie, czy to będzie rzeczywiście minister właściwy, czyli minister cyfryzacji, czy może jakikolwiek inny minister może tę funkcję sprawować, np. minister MON, o czym wcześniej była mowa, nie dziś, ale we wcześniejszych projektach. Moim zdaniem jest to niepotrzebne rozwiązanie, albowiem tworzy kolejny twór administracyjnokontrolny i ma niewiele wspólnego ze wzmocnieniem poziomu bezpieczeństwa podmiotów sektora publicznego, prywatnego, jak też obywateli funkcjonujących w cyberprzestrzeni.
Klub Platformy Obywatelskiej popiera rozwiązania zawarte w projekcie ustawy, choć można rozważyć wyznaczenie bardziej ambitnych celów, panie ministrze, tak aby w możliwie największym stopniu przyczyniły się one do podniesienia poziomu cyberbezpieczeństwa w Polsce, podnosiły świadomość społeczną w tejże dziedzinie oraz nie wprowadzały zbytniego niekontrolowanego wpływu państwa na podmioty gospodarcze. Polska ustawa też bez wątpienia powinna być w możliwie największym stopniu...
Wicemarszałek Barbara Dolniak:
Panie pośle, proszę zmierzać do końca.
Poseł Piotr Cieśliński:
Już kończę, pani marszałek.
...skoordynowana z aktami przyjętymi w innych państwach członkowskich. To uważam za bardzo istotną sprawę, albowiem z całą pewnością przyczyni się to do zwiększenia cyberbezpieczeństwa w wymiarze globalnym. Dziękuję bardzo. (Oklaski)
Przebieg posiedzenia