Rafał Weber przedstawia stanowisko ws. ustawy o cyberbezpieczeństwie

Dziękuję bardzo Pani Marszałek, Panie Ministrze, Wysoka Izbo. W imieniu Klubu Parlamentarnego Prawo i Sprawiedliwość przedstawiam stanowisko dotyczące rządowego projektu ustawy o Krajowym Systemie Bezpieczeństwa. Ustawa ta ma na celu określenie organizacji oraz sposobu funkcjonowania Krajowego Systemu Cyberbezpieczeństwa, sposobu sprawowania nadzoru i kontroli w zakresie stosowania przepisów ustawy oraz zakresu i tryby stanowienia strategii cyberbezpieczeństwa Rzeczypospolitej Polskiej. Projekt ustawy definiuje podstawowe pojęcia niezbędne dla Krajowego Systemu Cyberbezpieczeństwa. Wobec tym stanie prawnym brak normatywnych definicji sprawia, że obszar ten jest niedostatecznie regulowany. Proponowane definicje są zgodne z treścią dyrektywy 2016 przez 1148, co pozwoli również ocenić osiągnięcie celów tej dyrektywy, jak i również krajowych ram. Projekt ustanawia też Krajowy System Cyberbezpieczeństwa oraz określa podmioty do niego należące. Projekt ustawy zawiera zasady wskazywania operatorów usług kluczowych, a wypełniając dyspozycje, w których mowa w dyrektywie 2016 przez 1148, określa obowiązki dla operatorów usług kluczowych dotyczące wdrożenia efektywnego systemu zarządzania bezpieczeństwem, obębującego m.in. zarządzanie ryzykiem, procedury i mechanizmy zgłaszania i postępowania z incydentami, czy organizacje struktur na poziomie operatora. W załączniku do ustawy znajdują się natomiast wszystkie potencjalne kategorie podmiotów w poszczególnych sektorach gospodarki i działalności państwa, z których mogą być wyłaniani w drodze decyzji administracyjnej operatorzy usług kluczowych. Projekt ustawy precyzuje obowiązki nakładane na dostawców usług cyfrowych, uwzględniając istniejące w tym zakresie ograniczenia określone przez dyrektywę 2016 przez 1148. Obowiązki nakładane na podmioty publiczne są uregulowane odrębnie od tych nakładanych na operatorów i dostawców. Jedną z najistotniejszych części proponowanych zmian jest określenie systemu reagowania na incydenty i włączenie w ten proces wszystkich zainteresowanych podmiotów. Założeniem systemu reagowania na incydenty jest jego kompletność i transparentność. Po pierwsze zakłada się określenie zadań zespołów reagowania na incydenty komputerowe odpowiedzialnych za przeciwdziałanie zagrożeniom cyberbezpieczeństwa o charakterze ponadsektorowym i transgranicznym, a także koordynacji obsługi poważnych, istotnych i krytycznych incydentów. Po drugie ustawa przewiduje włączenie aspektów cyberbezpieczeństwa do stref zarządzania państwem. Zespoły informują się wzajemnie oraz informują Rządowe Centrum Bezpieczeństwa o incydencie krytycznym, który może spowodować wystąpienie sytuacji kryzysowej dla bezpieczeństwa lub porządku publicznego. Dodatkowo ustawa przewiduje utworzenie zespołu do spraw krytycznych incydentów jako organu pomocniczego powołanego w sprawach obsługi i koordynacji wymienionych incydentów krytycznych. Projekt ustawy ustanawia organy właściwe do spraw cyberbezpieczeństwa odpowiedzialne za sprawowanie nadzoru wobec operatorów usług kluczowych w sektorach wymienionych w dyrektywie 2016 przez 1148. Organy właściwe są elementem krajowego systemu cyberbezpieczeństwa odpowiedzialnym również za opracowanie we współpracy z CISRD wytycznych bezpieczeństwa teleinformatycznego w wymiarze sektorowym. Ustanawiane przez organy właściwe sektorowe zespoły cyberbezpieczeństwa będą miały możliwość przyjmowania zgłoszeń o incydentach poważnych, ich analizę oraz wsparcie, ich obsłudze we współpracy z właściwym CISRD. Projekt zakłada również przypisanie nowych obowiązków ministrowi właściwemu do spraw informatyzacji realizującemu funkcje techniczne na potrzeby krajowego systemu cyberbezpieczeństwa. Związane są one z prowadzeniem systemu teleinformatycznego wykorzystywanego do wymiany informacji między podmiotami tworzącymi krajowy system cyberbezpieczeństwa do dynamicznego szacowania ryzyka na poziomie krajowym oraz do ostrzegania o zagrożeniach cyberbezpieczeństwa. Jednocześnie projekt ustawy ustanawia pojedynczy punkt kontaktowy do spraw cyberbezpieczeństwa prowadzony przez ministra właściwego do spraw informatyzacji. Według założeń regulacji pojedynczy punkt kontaktowy realizowałby funkcję swoistego łącznika i zajmował się wymianą informacji na rzecz organów właściwych, organów władz publicznych i CISRD. Pojedynczy punkt kontaktowy zapewni odbieranie i przekazywanie zgłoszeń incydentów poważnych i istotnych i z krajów członkowskich reprezentację Rzeczypospolitej w grupie współpracy, współpracę z Komisją Europejską, współpracy między organami właściwymi Rzeczypospolitej Polskiej i organami właściwymi państw członkowskich Unii Europejskiej. Kończąc powoli przedstawienie naszego stanowiska zachęcam Państwa do zapoznania się z ustawą, z uzasadnieniem. Jest to materiał bardzo obszedny, ale ustawa jest bardzo istotna, jeżeli chodzi o zachowanie bezpieczeństwa naszego kraju. Klub Parlamentarny popiera to rządowe przedłożenie, uznając tę ustawę za działanie nie tylko wypełniające zapisy dyrektywy 2016 przez 1148, ale również wzmacniające bezpieczeństwo w cyberprzestrzeni. Dlatego będziemy wspierać rząd w pracach nad tym projektem. Dziękuję bardzo. Dziękuję bardzo.