Konsultacje społeczne projektu ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz ustawy – prawo zamówień publicznych

W odpowiedzi na zaproszenie Ministerstwa Cyfryzacji do konsultacji w sprawie projektu ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz ustawy – Prawo zamówień publicznych Polska Izba Handlu wzięła udział w konsultacjach społecznych projektu ustawy. PIH jako najszersza reprezentacja handlu detalicznego w Polsce, jest żywotnie zainteresowana rozwojem rynku usług IT i telefonii komórkowej w tym również w  obszarach takich jak sztuczna inteligencja, internet rzeczy czy technologia komórkowa. W chwili obecnej rozwój handlu detalicznego jest ściśle związany z technologiami informacyjnymi – nie tylko w związku z epidemią koronawirusa, która przenosi bardzo liczne jego aspekty do sfery cyfrowej – jak powstające od początku bieżącego roku tysiące sklepów internetowych, ale także w obszarach związanych z rozwojem handlu i nawiązaniem przez małe i średnie placówki handlowe walki konkurencyjnej z zagranicznymi sieciami dyskontów. Dzięki technologii, big data oraz usprawnieniu komunikacji właściciele małych sklepów mogą zwiększyć swoją świadomość dotyczącą cen, konkurencji, trendów, spersonalizowanych ofert a także komunikacji z dostawcami i dystrybutorami. Tanie i konkurencyjne technologicznie rozwiązania pomagają też w raportowaniu i wdrażaniu rozwiązań wymaganych przez instytucje państwowe jak kasy online czy planowane rozwiązania w zakresie e-paragonów. To zaledwie wybrane aspekty dla których dobre, tanie i wysokowydajne rozwiązania na rynku telekomunikacyjnym są ważne dla małych i średnich przedsiębiorstw handlowych w Polsce.

Kluczowe uwagi przedstawione w ramach konsultacji społecznych projektu ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz ustawy – prawo zamówień publicznych

Część I: Potencjalne naruszenia prawa

1. 1.Naruszenie polskich przepisów
2. 1)Naruszenie prawa konstytucyjnego
   1. a)Zasada proporcjonalności

Proponowane kryteria procedury ocennej, której efektem może być zakaz prowadzenia działalności gospodarczej w Polsce zostały określone w sposób nieprecyzyjny. Przepisy Projektu przyznają Kolegium, które nie jest kompetencyjnie i ustrojowo umocowane, bardzo duże uprawnienia i  kompetencję do prowadzenia jednostronnego postępowania ocennego. Konsekwencje tego postępowania mogą wywrzeć olbrzymi wpływ na sytuację ekonomiczną danego dostawcy, ale również operatorów telekomunikacyjnych oraz konsumentów. Postępowanie przed Kolegium do spraw cyberbezpieczeństwa ma się w całości odbywać bez udziału ocenianego dostawcy, który dopiero z komunikatu w Monitorze Polskim dowie się, o przeprowadzonej ocenie. Dlatego też przyjęte rozwiązania legislacyjne są sprzeczne z zasadą proporcjonalności wyprowadzoną z zasady demokratycznego państwa prawnego (Art. 2 Konstytucji).

1. b)Niedziałanie prawa wstecz i pewność prawa

Projektowane przepisy w znaczący sposób podważają zaufanie obywateli do Państwa. Projekt zakłada niekonstytucyjny obowiązek usunięcia z rynku przejawów dotychczasowej działalności dostawcy (w tym infrastruktury). W związku z powyższym analizowany zakaz należy poddać kontroli w zakresie zgodności z zasadą lex retro non agit (niedziałania prawa wstecz). W związku z tym, że demokratyczne państwo prawne oznacza państwo w którym chroni się zaufanie obywatela do państwa i stanowionego przez nie prawa, ustawodawca dokonując kolejnych zmian stanu prawnego nie może stracić z pola widzenia interesów podmiotów, jakie ukształtowały się przed dokonaniem zmiany stanu prawnego^[1].

 

1. c)Naruszenie zasady równości wobec prawa

Projektowane rozwiązania w zakresie wyboru dostawcy sprzętu i oprogramowania sieci 5G pozwalają na arbitralne wykluczenie dostawców z udziału we wdrożeniu sieci 5G w oparciu o dowolne, nieokreślone kryteria. Nie przyznają przy tym dostawcom środków prawnych pozwalających na wniesienie odwołania od decyzji wykluczających. Wobec tego uznać je należy za sprzeczne z konstytucyjnymi zasadami równości wobec prawa (art. 32 Konstytucji).

1. d)Brak przeprowadzenia oceny skutków regulacji

Zmiany zawarte w projekcie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa mogą wiązać się z daleko idącymi negatywnymi skutkami społecznymi (likwidacja miejsc pracy, obniżenie dostępności nowoczesnych usług, wzrost wykluczenia cyfrowego), gospodarczymi (obniżenie konkurencyjności polskiej gospodarki, spadek zaufania inwestorów oraz wzmocnienie oligopoli) i politycznymi (uderza w harmonizację europejską). Wynika to z konieczności wymiany sprzętu oraz aplikacji, które są obecnie w użyciu, na alternatywne, pochodzące od innych dostawców. Tymczasem w uzasadnieniu Projektu na s. 33 poświęconym skutkom gospodarczym i finansowym w ogóle nie ma o tym mowy. Wspomina się tylko o kosztach związanych z powoływaniem nowych struktur administracyjnych z zakresu cyberbezpieczeństwa (s. 49-52 uzasadnienia Projektu). Jest to istotne naruszenie procesu legislacyjnego (§ 28 Regulamin Pracy Rady Ministrów,t.j. M.P. z 2016 r. poz. 1006) świadczące o niekonstytucyjnym charakterze Projektu.

1. 2)Naruszenie pozostałych przepisów polskiego prawa
   1. a)Naruszenie przepisów procedury administracyjnej

W projektowanych przepisach nie przewidziano prawa strony do udziału w postępowaniu ocennym, prowadzonym przez Kolegium. Proponowane rozwiązania naruszają więc podstawowe zasady postępowania administracyjnego wyrażone w ogólnych przepisach Kodeksu postępowania administracyjnego., m.in. zasadę pogłębiania zaufania obywateli do władzy publicznej (art. 8 kpa), zasadę udzielenia informacji przez organ (art. 9), zasadę wysłuchania stron (art. 10). Wprowadzone przepisy naruszają więc podstawowe prawo jednostki do czynnego udziału w postępowaniu.

1. b)Naruszenie prawa konkurencji w Polsce

Uregulowanie kwestii wykluczenia dostawców w ustawie KSC narusza również podstawowe zasady prawa konkurencji. Zasady i tryb postępowania w stosunku do pomiotów działających na konkurencyjnym rynku, jeżeli podmioty te naruszają przepisy reguluje inna ustawa tj. ustawa z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów, Dz. U. nr 50, poz. 331 ze zm. Zgodnie z art. 1 ust. 2 tej ustawy, reguluje ona w szczególności zasady i tryb postępowania w stosunku do pomiotów działających na konkurencyjnym rynku, jeżeli podmioty te naruszają przepisy tej ustawy. Oznacza to faktyczne naruszenie przez Kolegium kompetencji właściwego organu administracyjnego, jakim jest Prezes Urzędu Ochrony Konkurencji i Konsumentów.

1. 2.Niezgodność z prawem europejskim
2. Brak notyfikacji przepisów Komisji Europejskiej

Istotnym argumentem, który należy podnieść jest kwestia obowiązku notyfikacji uregulowanego na poziomie prawa krajowego w Rozporządzeniu Rady Ministrów z dnia 23 grudnia 2002 r. (w szczególności w sprawie sposobu funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych). Przedmiotowy obowiązek jest także uregulowany w Dyrektywie 2015/1535 Parlamentu Europejskiego i Rady z dnia 9 września 2015 r. ustanawiającej procedurę udzielania informacji w dziedzinie przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego.

1. Naruszenie zasad TFUE

Każda ocena ryzyka lub decyzja o wprowadzeniu ograniczeń rynkowych i pozataryfowych barier w handlu na podstawie niejednoznacznych kryteriów (np. kraj pochodzenia dostawców zawarty w projekcie) i nietransparentne procedury administracyjne, naszym zdaniem, są sprzeczne z podstawowymi zasadami równego traktowania/niedyskryminacji, które znajdują odzwierciedlenie w art. 18 (zakaz dyskryminacji ze względu na narodowość), Art. 34 (zakaz ograniczeń ilościowych w przywozie oraz wszystkich środków o skutku równoważnym), Art. 49 (zakaz ograniczeń swobody przedsiębiorczości) TFUE.

1. Naruszenie zasady niedyskryminacji w prawie UE

Kluczową zasadą praworządności jest to, że prawo musi mieć zastosowanie do wszystkich i być stosowane jednakowo i w sposób konsekwentny. Jest to powtórzone w Karcie Praw Podstawowych Unii Europejskiej (art. 20), w której „każdy jest równy wobec prawa”. Karta (art. 21 ust. 2) zabrania „wszelkiej dyskryminacji ze względu na narodowość”. Europejski Trybunał Sprawiedliwości zauważył, że „zakaz dyskryminacji ustanowiony w prawie UE jest szczególnym wyrazem ogólnej zasady równości, która jest jedną z podstawowych zasad prawa wspólnotowego”. Jest zatem zgodne z zasadą praworządności, że wymogi bezpieczeństwa powinny być powszechnie stosowane do wszystkich dostawców, a nie dotyczyć wybranych dostawców lub dostawców z określonych krajów.

1. Naruszenie zasady proporcjonalności określonej przez ETS

Pkt 13 w sprawie C-331/88 Fedesa odnosi się do zasady proporcjonalności: Po wprowadzeniu środka dyskryminującego Trybunał przyjrzy się proporcjonalności środka w odniesieniu do jego celu. Innymi słowy, środek taki musi być (1) konieczny do osiągnięcia celu i nie może wykraczać poza to, co jest konieczne do osiągnięcia celu,  (2) najmniej restrykcyjny środek do osiągnięcia tego celu, oraz (3) spowodowane niedogodności nie mogą być nieproporcjonalne do zamierzonych celów.

1. Naruszenie zasady swobodnego przepływu towarów

Zasada ta może być nadal naruszona, nawet jeśli państwo członkowskie nie ustanawia wyraźnego przepisu zakazującego przywozu produktów od niektórych dostawców. Jak wyjaśnił Europejski Trybunał Sprawiedliwości, każdy zakaz używania produktu na terytorium państwa członkowskiego UE wpłynie na zachowanie nabywców i wpłynie na dostęp tego produktu na rynku tego państwa członkowskiego. Przepisy mające na celu odsunięcie określonego dostawcy od łańcucha dostaw w niektórych państwach członkowskich UE powstrzymają potencjalnych klientów przed kupowaniem produktów/technologii danego dostawcy.

1. Naruszenie dyrektywy o konkurencji

Dyrektywa 2002/77/WE w sprawie konkurencji zakazuje przyznawania wszelkich specjalnych praw w sektorze łączności elektronicznej. Projekt przyznaje jednak unijnym przedsiębiorstwom bezsporne przywileje skutecznego eliminowania konkurencji ze strony dostawców spoza UE, dyskryminując tym samym dostawców spoza UE (nawet tych najbardziej zaawansowanych technologicznie).

1. 3.Naruszenie przepisów WTO
   1. Układ Ogólny w sprawie Taryf Celnych i Handlu (GATT) zawiera klauzulę o najbardziej uprzywilejowanej pozycji. Członek WTO nie może dyskryminować indywidualnych partnerów handlowych, traktując niektóre kraje bardziej przychylnie niż inne
   2. Zasada krajowego traktowania GATT zobowiązuje członków WTO do traktowania „podobnych” produktów zagranicznych i krajowych, usług i usługodawców w równym stopniu. W przypadku stosowania krajowego obowiązku podejścia, produkty zagraniczne, usługi lub zagraniczni usługodawcy nie mogą podlegać mniej korzystnym regulacjom niż „podobny” produkt krajowy, usługodawca lub usługodawca krajowy (art. III GATT).
   3. Naszym zdaniem ustawodawca koncentruje się na ocenie cech dotyczących dostawców, a nie na bezpieczeństwie sprzętu czy oprogramowania, jakie zapewnia. Jedną z istotnych cech ocenianych w profilu dostawcy jest kryterium pochodzenia dostawcy z danego kraju. Rodzi to zagrożenie, że Polska naruszy umowy międzynarodowe zakazujące dyskryminacji ze względu na pochodzenie.

1. 4.Zobowiązania dwustronne w ramach umów międzynarodowych

Przyjęcie prawodawstwa, które pozwoli na wykluczenie z polskiego rynku z podmiotów reprezentujących kapitał zagraniczny narusza zobowiązania podmiotów na mocy umów dwustronnych z innymi państwami. Na przykład, jeżeli dostawca z państwa trzeciego będzie wykluczony na podstawie  niejasnych kryteriów, to może to zostać uznane za naruszenie przez Polskę obowiązku równego i sprawiedliwego traktowania na terytorium Polski na mocy Traktatu o Dwustronnej Inwestycji.

Część II: Uwagi dotyczące oceny skutków projektu ustawy

1. 1.Brak ocen skutków dotyczących projektu ustawy i powiązanych rodzajów ryzyka；
2. Projektodawca nie przeprowadził kompleksowej, wystarczającej i szczegółowej oceny skutków przed konsultacjami publicznymi w sprawie projektu prawa;
3. projekt ustawy będzie miał istotny wpływ na operatorów i dostawców (własność, ciągłość działalności, otoczenie biznesu, wolna konkurencja, gospodarka krajowa);
4. Operatorzy, dostawcy, stowarzyszenia branżowe ICT oraz odpowiednie zainteresowane strony nie są w stanie ocenić wpływu projektu ustawy w ciągu zaledwie 10 dni roboczych;
5. Termin wyznaczony na konsultacje publiczne 22.09.2020 nie jest zgodny z rygorem przejrzystości procesu decyzyjnego w administracji publicznej ze względu na znaczące skutki projektu ustawy, a także bez wstępnych konsultacji z zainteresowanymi stronami.

1. 2.Potencjalny wpływ projektu ustawy na dostawców；
2. kryteria oceny są niejasne, nieprzejrzyste, a zakres oceny jest zbyt szeroki
3. Kryteria oceny są zbyt polityczne i nie obejmują mechanizmu norm technicznych i certyfikacji,
4. Spowoduje to dyskryminację między producentami i naruszenie konstytucyjnego prawa do dostaw towarów w Polsce i zakłócenie konkurencji; projekt jest sprzeczny z zasadą niedyskryminacji i równego traktowania UE.

1. 3.Potencjalny wpływ projektu ustawy na operatorów telekomunikacyjnych；
2. Ze względu na brak wiodących dostawców technologii 5G, jak również wymagane ogromne zmiany w ramach sieci komórkowych, Polska 5G i Agenda Cyfrowa mogą opóźnić 3-5 lat;
3. Operatorzy mogą stracić zaufanie do otoczenia inwestycyjnego naszego kraju Mogą oni również stracić siłę napędową w celu przyspieszenia uruchomienia 5G z powodu ograniczenia inwestycji i opóźnień technicznych.
4. Prawo operatorów do wyboru producenta będzie ograniczone. Ustawodawca i rząd powinni ustanowić jasne kryteria techniczne i wymogi, do których operatorzy powinni się stosować. W przeciwnym razie naruszy to prawo konkurencji zarówno na szczeblu krajowym, jak i unijnym. Ostateczny wybór dostawcy przez operatorów powinien opierać się na normach technologii, innowacji, kosztów i bezpieczeństwa cybernetycznego;
5. Dla operatorów w Polsce, projekt ustawy będzie miał poważne negatywne implikacje i będzie wyrządzał wielką szkodę ich poprzednim inwestycjom i prawom własności. Projekt tego prawa nie daje  pewności prawa i zwiększa koszty operacyjne, co jest sprzeczne z warunkami określonymi w decyzjach administracyjnych dotyczących prowadzenia działalności.

1. 4.Potencjalny wpływ projektu ustawy na konkurencję；
2. Polska ma ograniczoną liczbę dostawców sieci. Jeśli jeden z dostawców zostanie wyłączony, będzie to bardzo szkodzić innowacjom w technologii i odroczy digitalizację Polski. Koszty operatorów wzrosną , a ceny usług  dla konsumentów wzrosną ;
3. Artykuł 3 pkt 1 ustawy o zwalczaniu nieuczciwej konkurencji i nie pozwala na utrudnienie dostępu do rynku
4. Przyczyny bezpieczeństwa narodowego nie powinno się nadużywać, a wyjątek dotyczący bezpieczeństwa narodowego powinien być stosowany z zachowaniem zasada proporcjonalności , obiektywności, przejrzystości i minimalnej ingerencji.

1. 5.Potencjalny wpływ projektu ustawy na budżet Polski i gospodarkę krajową；
2. Ponad 8 mld euro straty w sektorze telekomunikacyjnym (wzrost cen z powodu braku konkurencji) ponad 10 mld euro straty w całej gospodarce (lokalne zatrudnienie, zamówienia publiczne, negatywny wpyw na PKB)
3. Projekt ustawy będzie miał negatywny wpływ na gotowość podmiotów do składania ofert na infrastrukturę i usługi  5G;
4. Ograniczenie operatorów do wyboru dostawcy odroczy również uruchomienie sieci 5G, Rozwój Przemysłu 4.0 zostanie zablokowany. Polska ucierpi na brakach związanych z niskimi kompetencjami w dziedzinie kompetencji międzynarodowych
5. Roszczenia o odszkodowanie wobec rządu polskiego podniesione przez operatorów i dostawców zostaną ostatecznie wypłacone przez podatników i konsumentów. Budżet  będzie zasilał operatorów i producentów zamiast ułatwić życie obywatelom, , szczególnie po pandemii

1. 6.Potencjalny wpływ projektu ustawy na postęp technologiczny；
2. Wyłączenie producenta, zwłaszcza wiodącego w branży ICT, spowoduje opóźnienie postępu w całym ekosystemie. Polska utraci możliwość skorzystania z rozwiniętej infrastruktury 5G innych krajów.
3. Operatorzy mogą stracić zaufanie do otoczenia inwestycyjnego w Polsce,. Mogą oni również stracić siłę napędową przyspieszenia uruchomienia 5G z powodu ograniczenia inwestycji i opóźnień technicznych.
4. Negatywny wpływ na życie i pracę podczas pandemii i po pandemii: jeśli Polska opóźni wdrożenie 5G, straci możliwość stworzenia nowych miejsc pracy dla ponad 250 000 osób
5. Projekt ustawy będzie miał negatywny wpływ na rozwój Przemysłu 4.0, Polska straci kompetencje w obszarze samochodów podłączonych do sieci 5G, produkcji 5G, high-tech, rolnictwo 5G, usługi portowe, zdalna edukacja, sprzęt medyczny 5G. itp

CZĘŚĆ III. Uwagi techniczne dotyczące ryzyka i rozwiązań bezpieczeństwa

1. 1.Kryteria powinny być neutralne technologicznie, a nie uwzględniać względy polityczne:
2. Przedmiotem oceny ryzyka powinien być sprzęt i oprogramowanie uznane za krytycznea nie charakterystyka dostawcy;
3. Kryteria powinny mieć charakter techniczny, obiektywne, rozsądne i proporcjonalne, oraz zawierać odniesienie do oceny ryzyka zawartej w specyfikacjach technicznych
4. Projekt ustawy musi być zgodny zarówno z wymogami prawnymi dotyczącymi dobrych praktyk legislacyjnych, jak i z obowiązującymi przepisami, takimi jak prawo Unii Europejskiej, międzynarodowe prawo inwestycyjne, prawami człowieka i Konstytucją RP;

Część IV. Komentarze do poszczególnych przepisów projektu

1. Zadania i obowiązki przedsiębiorców dotyczące bezpieczeństwa i incydentów.

Propozycja zmiany: Należy wykreślić

Uzasadnienie:

Zgodnie z dyrektywą NIS wymogi w zakresie sprawozdawczości dotyczące bezpieczeństwa i incydentów wynikające z przedmiotowej dyrektywy nie mają zastosowania do przedsiębiorstw telekomunikacyjnych. Obowiązki związane z kwestiami cyberbezpieczeństwa podlegają wymogom Art. 13a i 13b dyrektywy 2002/21 / WE.

Propozycja zmiany: Przeniesienie Rozdziału 4a art. 20a-20f „obowiązki przedsiębiorców komunikacji elektronicznej” do Rozdziału 5 PKE i dokonanie ich ujednolicenia

Uzasadnienie:

Zakres rozdziału 4 a pokrywa się z treścią rozdziału 5 PKE. W przeciwnym wypadku istnieje ryzyko powstania wątpliwości interpretacyjnych i trudności w ich stosowaniu w praktyce. Obowiązki związane z kwestiami cyberbezpieczeństwa podlegają wymogom Art. 13a i 13b dyrektywy 2002/21 / WE.

1. KSC (analiza zagrożeń bezpieczeństwa narodowego o charakterze ekonomicznym, kontrwywiadowczym i terrorystycznym dotycząca dostawcy).

Propozycja zmiany: W art. 66a ust. 4 pkt 1 („analizę zagrożeń bezpieczeństwa narodowego o charakterze ekonomicznym, kontrwywiadowczym i terrorystycznym oraz zagrożeń dla realizacji zobowiązań sojuszniczych i europejskich, jakie stanowi dostawca sprzętu i oprogramowania”) usunąć słowa „jakie stanowi dostawca sprzętu i oprogramowania”:

„analizę zagrożeń bezpieczeństwa narodowego o charakterze ekonomicznym, kontrwywiadowczym i terrorystycznym oraz zagrożeń dla realizacji zobowiązań sojuszniczych i europejskich.

Uzasadnienie:

Polska Izba Handlu jako organizacja branżowa współpracująca podmiotami, które na co dzień konkurują ze sobą doskonale rozumie jak ważna jest etyka konkurencji. Z drugiej strony zachowanie różnorodności tak zakresie obszarów, którymi zajmujemy się bezpośrednio jak i dostawców innych usług z których zarówno handel jak i inne branże będą szeroko korzystać jest niezbędne dla zapobiegania działaniom quasi monopolistycznym.

Jako, że naszym mottem jest zachowanie różnorodności handlu i usług na rynku wewnętrznym wierzymy, że zapewnienie równych możliwości prowadzenia walki konkurencyjnej wszystkim podmiotom rynku jest kluczowe dla jego rozwoju. Pozwalamy sobie mieć nadzieję iż jedyne kryteria według jakich oceniane są lub będą oferty to spójność z oczekiwaniami biznesowymi inwestora oraz warunki współpracy, co wynika z zasad swobody prowadzenia działalności gospodarczej. Podsumowując liczymy, że ocena proponowanych rozwiązań oparta będzie na tym czym rozwiązania są, a nie czym mogłby być gbyby korzystano z nich w złej woli, ponieważ żadne usługi ani produkty nie są ze swej natury dobre ani złe.

1. 4.

Propozycja zmiany: Art. 66a ust. 4 pkt 2-5 otrzymuje następujące brzmienie:

„Do sporządzania oceny przeprowadza się analizę sposobu i zakres wdrożenia przez dostawców środków technicznych i organizacyjnych, zwanych dalej „środkami”, w celu zapewnienia bezpieczeństwa lub integralności sieci lub usług, a w szczególności: 

a)uzyskanie certyfikatu dla sprzętu lub oprogramowania o znaczeniu krytycznym, o którym mowa w art. 66 a ust. 1 KSC;

Uzasadnienie:

Zaproponowany powyżej model charakteryzuje się obiektywizmem w zakresie weryfikacji kryteriów oraz bardzo wysokim stopniem profesjonalizacji weryfikacji, co zapewnia poprawność wyników stosowanych kryteriów oceny. Kryteria nietechnologiczne są często niezdefiniowane i bardzo trudno jest zweryfikować i ocenić niejasne pojęcia, ale nie powinny odgrywać kluczowej roli, gdyż mogą prowadzić do błędnych wniosków.

1. plan naprawczy w przypadku uzyskania określonej oceny ryzyka

Propozycja zmiany:

1. powinien otrzymać następujące brzmienie:

Uzasadnienie:

Zmiana art. 66a ust. 7 Projektu jest konsekwencją ewentualnej zmiany art. 66a ust. 5 lit a Projektu.

1. 6.

Propozycja: Przepis art. 66a ust. 8 Projektu otrzymuje brzmienie: „Dostawcy sprzętu lub oprogramowania, którego dotyczy ocena, przysługuje wniosek do Kolegium o ponowne rozpoznanie sprawy w zakresie oceny. Przepisy działu 2 rozdziału 10 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego w zakresie odwołań od decyzji stosuje się odpowiednio. Od decyzji Kolegium wydanej po rozpoznaniu wniosku o ponowne rozpoznanie sprawy przysługuje skarga do Wojewódzkiego Sądu Administracyjnego.

Uzasadnienie:

Od rozstrzygnięcia Kolegium powinna być zapewniona możliwość wniesienia środków odwoławczych przez podmiot niezadowolony z rozstrzygnięcia (dokonanej oceny ryzyka dostawcy) do organów sprawujących wymiar sprawiedliwości, niezależnie do jakiej kategorii ryzyka, o którym mowa w art. 66a ust. 5 Projektu dostawca sprzętu lub oprogramowania. Nie powinna być bowiem dokonywana gradacja środków odwoławczych w zależności od tego, czy rozstrzygnięcie (ocena) jest bardziej lub mnie dotkliwa.

Obecna konstrukcja art. 66a ust. 8 Projektu w zakresie środków odwoławczych, pomimo że używa się w tym przepisie słowa „odwołanie” jest pozorowana, pozbawiająca podstawowych praw podmiotów zainteresowanych weryfikacją dokonanej oceny przez Kolegium w sposób obiektywny i niezależny przez sąd. Przyjęta konstrukcja pozwala na to, że Kolegium będzie „sędzią we własnej sprawie” tj. będzie sprawdzało własną decyzję. W prawie przewidziana jest konstrukcja złożenia wniosku o ponowne rozpoznanie sprawy przez organ, który wydał decyzję, ale zawsze przysługują środki odwoławcze do sądu od takiego ponownego rozpoznania sprawy.

Potwierdzeniem tezy o pozorowanej konstrukcji odwołania, a wręcz o jej fikcyjności jest dodatkowo to, że zgodnie z obecnym brzmieniem art. 66a ust. 8 Projektu, zdanie ostatnie: Wniesienie odwołania nie wstrzymuje działań określonych w art. 66b. W praktyce oznacza to więc, że przewidziane w tym przepisie „odwołanie” nie ma żadnego praktycznego znaczenia, skoro pomimo jego wniesienia będą podejmowane praktycznie nieodwracalne w swoich skutkach decyzje w zakresie np. wycofania sprzętu z sieci operatora czy utraty kontaktu na sprzedaż infrastruktury telekomunikacyjnej. 

1. 7.

Projekt: brak środków odwoławczych w ramach postępowania administracyjnego

Propozycja zmiany: W Art. 66a Projektu należy dodać nowy ust. 10: „Postępowanie przed Kolegium prowadzone jest zgodnie z przepisami ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego”

Uzasadnienie

Postanowienia k.p.a. regulują tryb postępowania i wydawanie decyzji przez organy i podmioty państwowe. Obecnie projektowane przepisy odrębnie regulują te kwestie za pomocą zaledwie kilku przepisów, które posiadają charakter proceduralny. Przepisy te nie mogą zastąpić odpowiednich regulacji k.p.a. Uwagi te dotyczą także projektowanego postanowienia w zakresie wymogów jakie elementy powinna zawierać ocena Kolegium (art. 66a ust. 5 Projektu).

1. 8.Artykuł 2 pkt 29: Art. 66 b ust. 1 pkt 2 KSC

Projekt przepisu: „W przypadku sporządzenia oceny ryzyka określającej wysokie ryzyko określonego krytycznego sprzętu lub oprogramowania podmioty krajowego systemu cyberbezpieczeństwa:

sprzętu lub oprogramowania nie później niż 5 10 lat od dnia ogłoszenia

komunikatu o ocenie.”

Uzasadnienie

Pięcioletni okres na wycofanie jest zdecydowanie za krótki i powinien zostać przedłużony do 10 lat, a wymiana powinna odnosić się do określonego sprzętu i oprogramowaniu zamiast do dostawcy. Konstrukcja wycofywania sprzętu z użytkowania wywołuje poważne wątpliwości z uwagi na obowiązywanie jednej z kardynalnych zasad prawa, tj. zasady „niedziałania prawa wstecz”. Przepis nakazujący wycofywanie sprzętu zakupionego wiele lat wcześniej stanowi objęcie regulacją zdarzeń wcześniejszych, sprzed kilku lat, które dotyczyły zawierania umów o zakup sprzętu w oparciu o obowiązujące wówczas przepisy. Tym bardziej więc powinien być uwzględniony postulat wycofywania sprzętu z użytkowania.

1. 9.Artykuł 2 pkt 29: Art. 66 b sekcja 1 pkt 2: Konsekwencje oceny – brak przepisów związanych z mechanizmem rekompensat

Propozycja: należy dodać ust. 3 oraz 4 w art. 66b po ust. 2:

Uzasadnienie:

Wprowadzenie przepisów art. 66b Projektu spowoduje oczywiste dla operatorów telekomunikacyjnych koszty, niezawinione przez nich, spowodowane nowymi regulacjami, które to koszty powinny być operatorom zrekompensowane przez Skarb Państwa reprezentowany przez Prezesa UKE. Zaproponowane regulacje w praktyce oznaczają de facto „wywłaszczenie” operatorów z posiadanego Sprzętu, w tym znaczeniu, że muszą się pozbyć sprzętu wcześniej zakupionego, pomimo, że gdyby nie wprowadzone nowe regulacje mogliby korzystać z tego sprzętu dłużej. W konsekwencji będą musieli ponieść wydatki związane z koniecznością zakupu nowego sprzętu, a ponadto wydatki związane z usuwaniem z sieci istniejącego sprzętu.

1. 10.

3 miesiące na dostarczenie harmonogramu

Propozycja zmiany:

„W szczególnie uzasadnionych przypadkach Pełnomocnik może zobowiązać podmiot krajowego systemu cyberbezpieczeństwa, do którego zastosowanie

ma ocena, do sporządzenia i dostarczenia w ciąguroku planu i harmonogramu

wycofania z użytkowania sprzętu, oprogramowania i usług sprzętu lub

Uzasadnienie:

Okres 3 miesięcy na sporządzenie i przedstawienie planu oraz harmonogramu odstąpienia od sprzętu i oprogramowania usługodawcy jest praktycznie niemożliwy do zrealizowania. Jednocześnie, jak zostało wskazanie powyżej, wszelkie środki związane z oceną powinny być stosowane do oprogramowania i do sprzętu, a nie w stosunku do przymiotów

1. brak odniesienia do postępowania administracyjnego w stosunku do czynności podejmowanych przez Pełnomocnika

Propozycja:Po ustępie 8 dodać ustęp 9:

„Postępowanie przed pełnomocnikiem toczy się w oparciu o przepisy ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. Ostrzeżenie ma formę decyzji administracyjnej.”

 

Uzasadnienie

Zgodnie z art. 67a ust. 1 Projektu Pełnomocnik może wydać ostrzeżenia i polecenia zabezpieczające. Powinno być wskazane w oparciu o jakie przepisy toczy się postępowanie przed Pełnomocnikiem. W szczególności, że zgodnie z art. 67a ust. 2 Projektu „ostrzeżenia lub polecenia zabezpieczające wymagają zatwierdzenia przez Kolegium na najbliższym posiedzeniu”. Konsekwencją stosowania przepisów k.p.a. będzie zastosowanie art. 106 k.p.a., który reguluje współdziałanie organów. 

Zgodnie z art. 67c ust. 1 Projektu: Polecenie zabezpieczające wydaje się w formie decyzji administracyjnej. Analogiczny przepis powinien obowiązywać w przypadku wydania ostrzeżenia tj. Ostrzeżenie wydaje się w formie decyzji administracyjnej. Kluczowy bowiem element zarówno ostrzeżenia, jak polecenia zabezpieczającego, tj. „określone zachowanie”, jest taki sam. Przepis art. 67c ust. 4 pkt 1 Projektu dotyczący polecenia zabezpieczającego, odsyła w zakresie „określonego zachowania” do art. 67b ust. 3 Projektu, który szczegółowo reguluje elementy określonego zachowania w przypadku wydawania ostrzeżenia.

1. 12.

Projekt przepisu: brak odniesienia do postępowania administracyjnego w odniesieniu do „ostrzeżenia”

Propozycja: słowo „ostrzeżenie” dodane do Art. 67c  punkt 1.

„Pełnomocnik wydaje ostrzeżenie i polecenia zabezpieczające w formie decyzji administracyjnej”.

Uzasadnienie

Zgodnie z art. 67c ust. 1 Projektu: Polecenie zabezpieczające wydaje się w formie decyzji administracyjnej. Analogiczny przepis powinien obowiązywać w przypadku wydania ostrzeżenia tj. Ostrzeżenie wydaje się w formie decyzji administracyjnej. Kluczowy bowiem element zarówno ostrzeżenia, jak polecenia zabezpieczającego, tj. „określone zachowanie”, jest taki sam. Przepis art. 67c ust. 4 pkt 1 Projektu dotyczący polecenia zabezpieczającego, odsyła w zakresie „określonego zachowania” do art. 67b ust. 3 Projektu, który szczegółowo reguluje elementy określonego zachowania w przypadku wydawania ostrzeżenia

1. Natychmiastowa wykonalność poleceń zabezpieczających

Propozycja: wykreślić rygor natychmiastowej wykonalności decyzji

Uzasadnienie

Z uwagi na nieodwracalne skutki wykonania polecenie zabezpieczającego z rygorem natychmiastowej wykonalności, powinien być ten rygor usunięty. Przykładowo w Prawie telekomunikacyjnym, zgodnie z art. 206 ust. 2aa, decyzje regulacyjne podlegają natychmiastowemu wykonaniu, ale z wyjątkiem decyzji w sprawie nałożenia kar, właśnie z uwagi na ich nieodwracalne skutki.

 

Część V: OCZEKIWANE DZIAŁANIA

Niezależnie od okoliczności, iż czas na odniesienie się do materii projektu jest niezwykle krótki i zostaliśmy praktycznie pozbawieni prawa przeprowadzenia pogłębionych analiz potencjalnego wpływu przedmiotowego aktu na funkcjonowanie gospodarki, zdecydowaliśmy się przedłożyć powyższe wstępne uwagi oraz propozycje zmian. Jednocześnie zwracamy się z prośbą o przeprowadzenie następujących działań:

1. POSTULAT RZETELNEJ ANALIZY SKUTKÓW SPOŁECZNYCH, GOSPODARCZYCH I POLITYCZNYCH ORAZ POKAZANIA W OCENIE SKUTKÓW REGULACJI WYNIKAJĄCYCH Z TEGO PEŁNYCH KOSZTÓW REGULACJI

W zakresie skutków społecznych należy opisać wpływ na likwidację miejsc pracy, obniżenie dostępności nowoczesnych usług, wzrost wykluczenia cyfrowego wynikający z wyższego kosztu usług dla konsumentów i przedsiębiorstw: w szczególności w obszarach pracy zdalnej, zdalnej edukacji, telemedycyny, rozwoju inteligentnych usług samorządowych (smart cities) oraz nowoczesnych rozwiązań w rolnictwie, ochronie środowiska czy energetyce.

 

---

^[1] (wyrok TK z 13.04.1999 r., K 36/98, OTK 1999, Nr 3, poz. 40)