• admin@kibc
• 6 sierpnia 2026
• Brak komentarzy

Trybunał Konstytucyjny wreszcie zajmie się sprawą kontroli następczej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Regulacja, która weszła w życie w kwietniu tego roku, od początku budziła ogromne emocje na rynku telekomunikacyjnym i technologicznym. Choć Prezydent skierował wniosek o zbadanie jej zgodności z Konstytucją RP w trybie kontroli następczej już w momencie podpisania nowelizacji, na nadanie spraw biegu musieliśmy czekać aż do teraz. Wniosek został oficjalnie zarejestrowany pod sygnaturą K 19/26. Równolegle z informacjami z Trybunału, dzisiaj Minister Cyfryzacji wydał nowe ogólne rekomendacje dotyczące dostawców wysokiego ryzyka.

Skierowanie wniosku do Trybunału następuje po około pół roku od momentu, w którym kwestionowane przepisy zostały przyjęte i wywierają bezpośredni wpływ na rynek telekomunikacyjny oraz sektor nowych technologii.

Przypomnijmy, że w skierowanym wniosku Prezydent podnosi, że obowiązujące regulacje w nadmierny i nieproporcjonalny sposób ingerują w swobodę działalności gospodarczej oraz w zasady państwa prawa.

Pierwszy zarzut dotyczy naruszenia wolności gospodarczej i prawa własności zawartych w artykule 67b ustęp 1, 15 i 16 w związku z artykułem 67c ustęp 1, 2 i 4 ustawy o KSC. Kwestionowany jest sam mechanizm uznawania producenta za dostawcę wysokiego ryzyka oraz nakładania na operatorów obowiązku wycofania jego urządzeń. W ocenie Prezydenta regulacje te naruszają artykuł 2, artykuł 20 określający społeczną gospodarkę rynkową, artykuł 21 ustęp 2, artykuł 22 gwarantujący wolność działalności gospodarczej oraz artykuł 64 ustępy 2 i 3 chroniący prawo własności w związku z zasadą proporcjonalności z artykułu 31 ustęp 3 Konstytucji RP.

Drugi obszar zarzutów uderza w artykuł 67e ustępy 1 i 2 ustawy, kwestionując tryb sądowo-administracyjnej kontroli decyzji Ministra Cyfryzacji i wskazując na niezgodność z artykułem 45 ustęp 1 oraz artykułem 78 Konstytucji RP z uwagi na niedostateczne gwarancje procesowe i ograniczenie prawa do sądu.

Warto przypomnieć, że cała procedura wykluczania dostawców przeszła istotną ewolucję prawną. Do tej pory państwo oddziaływało na rynek cyfrowy głównie za pomocą tak zwanego miękkiego prawa. Pełnomocnik Rządu do spraw Cyberbezpieczeństwa oraz Minister właściwy do spraw informatyzacji wydawali dotychczas rekomendacje i ostrzeżenia dotyczące unikania konkretnych oprogramowań lub rozwiązań technologicznych. Stosowanie się do nich miało dla przedsiębiorców prywatnych charakter dobrowolny, choć mogło rzutować na wymogi w zamówieniach publicznych. Nowelizacja przekształciła ten łagodny model w instytucję władczych decyzji administracyjnych wydawanych przez Ministra Cyfryzacji przy udziale Kolegium do spraw Cyberbezpieczeństwa, gdzie uznanie za dostawcę wysokiego ryzyka oznacza prawny nakaz usunięcia danego sprzętu w określonym czasie pod rygorem wielomilionowych kar.

Rejestracja wniosku w Trybunale Konstytucyjnym pod sygnaturą K 19/26 w sierpniu tego roku oznacza, że po pół roku obowiązywania przepisy te poddano ostatecznym sprawdzianom. Pamiętajmy, że do czasu wydania wyroku przez Trybunał zapisy ustawy są w pełni wiążące.

Rekomendacje MC w zakresie dostawców wysokiego ryzyka (HRV)

Również dziś, Minister Cyfryzacji wydał oficjalne, ogólne rekomendacje dotyczące dostawców wysokiego ryzyka. Jak wynika z oficjalnych wyjaśnień wydanych przez Ministra Cyfryzacji, w naszym kraju nie istnieje żadna lista dostawców wysokiego ryzyka. Do tej pory nie wszczęto ani jednego postępowania w tej sprawie i nie wydano żadnej decyzji administracyjnej uznającej jakikolwiek podmiot za HRV. Prawne mechanizmy pozwalające na taki krok zostały jednak stworzone po to, aby chronić bezpieczeństwo państwa i ograniczać wykorzystywanie produktów, usług czy procesów ICT stanowiących realne zagrożenie.

Uznanie jakiegoś dostawcy za dostawcę wysokiego ryzyka nie dzieje się jednak automatycznie i wywoływane jest wyłącznie w drodze sformalizowanego postępowania administracyjnego prowadzonego przez Ministra Cyfryzacji. Cała procedura rozpoczyna się od wszczęcia postępowania z urzędu, o czym minister zawiadamia samego dostawcę oraz informuje opinię publiczną poprzez publikację wpisu w Biuletynie Informacji Publicznej. W kolejnym kroku kluczową rolę odgrywa Kolegium do Spraw Cyberbezpieczeństwa, do którego minister zwraca się o opinię. Kolegium ma dokładnie trzy miesiące na jej przygotowanie.

Co istotne, w całym procesie przewidziano również przestrzeń dla konsultacji społecznych. W ciągu czternastu dni od momentu opublikowania zawiadomienia w BIP, swoje stanowisko mogą przedstawić organizacje społeczne. Na podstawie zebranych uwag i opinii Minister Cyfryzacji przygotowuje zbiorczy raport, który publikuje na swojej stronie podmiotowej przed wydaniem ostatecznego rozstrzygnięcia. Warto podkreślić, że ewentualna decyzja o uznaniu dostawcy za HRV nie oznacza całkowitego wykluczenia danej firmy z polskiego rynku. Obejmuje ona wyłącznie precyzyjnie wskazane typy produktów, rodzaje usług lub konkretne procesy ICT i z zasady nie dotyczy całej działalności podmiotu.

Samo wydanie decyzji niesie za sobą natychmiastowe skutki prawne – podlega ona natychmiastowemu wykonaniu i jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, a także publikowana w BIP i na stronie internetowej Ministerstwa Cyfryzacji. Od tego momentu podmioty objęte ustawą o KSC mają zakaz wprowadzania do użytkowania objętych decyzją produktów, usług czy procesów. Co więcej, muszą je stopniowo wycofać z użytku. Standardowy czas na całkowite wycofanie takich rozwiązań wynosi do siedmiu lat od ogłoszenia decyzji, natomiast w przypadku określonych przedsiębiorców komunikacji elektronicznej termin ten został skrócony do czterech lat.

Mimo że oficjalna lista HRV obecnie nie istnieje, fakt ten w żaden sposób nie zwalnia organizacji i firm z obowiązku rzetelnej oceny ryzyka. Podczas zakupu produktów, usług i procesów ICT podmioty powinny stale weryfikować, czy zamawiane rozwiązania pochodzą od zaufanych dostawców i spełniają niezbędne wymagania bezpieczeństwa. Dużą pomocą w tym zakresie są rekomendacje wydawane przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa na podstawie art. 33 i 67a ustawy o KSC, które wskazują znane podatności, zagrożenia lub technologie mogące negatywnie wpływać na poziom bezpieczeństwa.

Jak podkreśla Ministerstwo, należy przy tym pamiętać o bardzo rygorystycznym przepisie Prawa zamówień publicznych. Zgodnie z art. 226 ust. 1 pkt 17 Pzp, zamawiający jest bezwzględnie zobowiązany do odrzucenia oferty dotyczącej produktów, usług lub procesów ICT, które zostały objęte wspomnianymi rekomendacjami wydanymi na podstawie art. 33 ustawy o KSC. W praktyce oznacza to, że nawet przy braku oficjalnej listy HRV, stosowanie się do wytycznych i rekomendacji z zakresu cyberbezpieczeństwa jest kluczowym elementem każdego procesu zakupowego w sektorze publicznym.
Z rekomendacjami MC można zapoznać się w serwisie dane.gov.pl.