Weronika Smarduch

Szanowna Pani Marszałek! Panie Ministrze! Wysoka Izbo! Mam zaszczyt przedstawić dzisiaj w imieniu klubu Koalicji Obywatelskiej stanowisko dotyczące rządowego projektu ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, druk nr 1955. Myślę, że na początku należy podkreślić, że Prawo i Sprawiedliwość kompletnie myli się co do tego, że strona społeczna nie była na posiedzeniach komisji słuchana. Trzeba pamiętać, że jeżeli chodzi o tę ustawę, dyskutowaliśmy i ze stroną społeczną, i na posiedzeniach Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii niejednokrotnie. Naprawdę chodzi tu o dziesiątki godzin dyskusji na temat tego, aby tę ustawę przeprowadzić, o setki godzin rozmów ze stroną społeczną w ramach konsultacji społecznych, które przeprowadziło Ministerstwo Cyfryzacji. Strona społeczna naprawdę mogła się wypowiedzieć na dowolny temat, w sprawie każdego punktu i na każde pytanie i wątpliwości odpowiadało Ministerstwo Cyfryzacji. Kompletnie nie możemy się zgodzić z tezą przedstawioną przez Prawo i Sprawiedliwość, bo minister cyfryzacji zrobił wszystko, aby strona społeczna została wysłuchana i aby dostosować to w taki sposób, aby jak najmniej odczuła te efekty. Natomiast musimy pamiętać o tym, że mówimy tutaj o cyberbezpieczeństwie i bezpieczeństwie zarówno Polski, jak i Polek i Polaków. Jeżeli chodzi o sam projekt ustawy, to ma on na celu wdrożenie do polskiego porządku prawnego dyrektywy Parlamentu Europejskiego i Rady Unii Europejskiej, tzw. NIS 2, oraz częściowe stosowanie rozporządzenia delegowanego Komisji Unii Europejskiej 2024/1366. Nowelizacja dostosowuje krajowy system cyberbezpieczeństwa do istotnie zmienionego otoczenia cyfrowego i rosnącej skali zagrożeń w cyberprzestrzeni. Zmiany obejmują m.in. rozszerzenie katalogu podmiotów objętych obowiązkami, zastąpienie dotychczasowego podziału na operatorów usług kluczowych i dostawców usług cyfrowych nową kategorią podmiotów kluczowych i podmiotów ważnych, wzmocnienie systemu reagowania na incydenty oraz doprecyzowanie ról organów odpowiedzialnych za cyberbezpieczeństwo. Projekt wynika z obowiązku implementacji prawa unijnego oraz analizy dotyczącej niedostosowania obecnej ustawy o krajowym systemie cyberbezpieczeństwa do wymogów dyrektywy NIS 2 i aktualnej skali zagrożeń. Musimy pamiętać, że na ten moment skala zagrożeń jest rosnąca. Jeżeli chodzi o ostatni rok, to odnotowaliśmy dynamiczny wzrost liczby incydentów, czyli ponad 100 tys. zgłoszeń w samym 2024 r. Projekt wprowadza nową strukturę krajowego systemu cyberbezpieczeństwa, rozszerza obowiązki podmiotów publicznych i prywatnych, określa kompetencje organów państwowych oraz wprowadza mechanizmy prewencyjne i kontrolne w odniesieniu do podmiotów kluczowych i ważnych. W projekcie ustawy wprowadzono definicję podmiotów kluczowych, czyli tych, których działanie ma kluczowe znaczenie dla funkcjonowania państwa i gospodarki, oraz podmiotów ważnych, które mimo mniejszej skali działania nadal muszą spełniać obowiązki w zakresie cyberbezpieczeństwa, w tym zgłaszać incydenty i stosować podstawowe procedury ochrony systemów informacyjnych. Nowe przepisy precyzują obowiązki w zakresie przeprowadzenia oceny bezpieczeństwa. Oceny te mają charakter prewencyjny i mają umożliwić identyfikację podatności systemów przy minimalnym zakłóceniu ich funkcjonowania. Ustalono sytuacje, w których ocena nie może być przeprowadzona lub musi zostać przerwana, np. w przypadku braku kopii zapasowej danych lub ryzyka nieodwracalnej utraty danych. Projekt wprowadza również kompetencje ministra właściwego do spraw informatyzacji, który prowadzi wykaz podmiotów kluczowych i ważnych, przygotowuje krajowy plan reagowania na incydenty i sytuacje kryzysowe, koordynuje działania państwa i przepływ informacji oraz współpracuje z państwami trzecimi i organizacjami międzynarodowymi. Minister może także udzielać wsparcia finansowego na projekty związane z cyberbezpieczeństwem w ramach projektów krajowych i unijnych, w tym rozwój usług ICT, infrastruktury, szkoleń i badań naukowych. System teleinformatyczny S46 staje się głównym kanałem komunikacji w krajowym systemie cyberbezpieczeństwa, umożliwia zgłaszanie incydentów, wymianę informacji, prowadzenie wykazów i obsługę nadzoru przy obowiązkowym uwierzytelnianiu podmiotów kluczowych i ważnych. Dodatkowo projekt uwzględnia przepisy przejściowe, które zapewniają ciągłość działań. Wszystkie rozpoczęte postępowania i kontrole będą zakończone na podstawie dotychczasowych regulacji. Podmioty obecnie uznawane za operatorów usług kluczowych zostaną automatycznie wpisane do rejestru podmiotów kluczowych, a utworzenie CSIRT-ów sektorowych ma nastąpić w ciągu 18 miesięcy. Podsumowując: projekt ustawy w sposób kompleksowy reguluje obowiązki podmiotów i organów państwowych w zakresie cyberbezpieczeństwa. Wprowadza mechanizmy prewencyjne, nadzorcze i wsparcia finansowego, a także umożliwia skuteczną reakcję na incydenty oraz ochronę krytycznej infrastruktury. Jego uchwalenie pozwoli Polsce w pełni wdrożyć dyrektywę NIS-2, zwiększyć bezpieczeństwo systemów informatycznych i zbudować bardziej odporną gospodarkę cyfrową. Chciałabym również w imieniu klubu Koalicji Obywatelskiej złożyć pakiet poprawek i zgłosić je w ramach drugiego czytania. Oczywiście klub Koalicji Obywatelskiej jest za uchwaleniem ustawy razem z poprawkami zgłoszonymi w drugim czytaniu. Dziękuję bardzo. Przebieg posiedzenia