My już mamy to chyba we krwi. Niezależnie od tego, kto rządzi, czy „pobożni”, czy „bezbożni”, od 30 lat to samo – totalnie i nadgorliwie, jednym słowem komunistycznie. Na dodatek zawsze pod sztandarem cnoty – w tym wypadku troski o bezpieczeństwo.
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, którą nasz rzekomo „proobywatelski” Prezydent podpisał pod zasłoną weta w innych, bardziej chwytliwych medialnie sprawach, przedstawiana jest jako techniczna implementacja unijnej dyrektywy NIS2 oraz jako niezbędny krok w kierunku zwiększenia odporności państwa na zagrożenia cyfrowe. Oficjalna narracja mówi o bezpieczeństwie infrastruktury krytycznej, ochronie danych i minimalizowaniu ryzyka cyberataków. Problem polega jednak na tym, że pod hasłem „bezpieczeństwa” państwo po raz kolejny rozszerza swoje imperium władzy kosztem naszej wolności, co w tym przypadku może oznaczać bezprecedensowe rozszerzenie nadzoru nad podmiotami prywatnymi i realne narzędzia wpływu na rynek.
Ustawa obejmuje ogromną liczbę podmiotów – nie tylko operatorów infrastruktury krytycznej, lecz także szerokie spektrum firm prywatnych, które zostaną uznane za „ważne” lub „kluczowe”. Oznacza to obowiązki raportowania, audytów, wdrażania określonych procedur bezpieczeństwa oraz podporządkowania się decyzjom administracyjnym właściwych organów. W teorii chodzi o „cyberhigienę”. W praktyce – o rozbudowany system kontroli, w którym przedsiębiorca funkcjonuje pod stałym nadzorem politycznego urzędniczyny, ukrytego pod bezosobowym pojęciem państwa.
A to dopiero początek. Mówi czytelnikowi coś pojęcie „dostawcy wysokiego ryzyka”? Taką „inwektywą” w drodze decyzji administracyjnej będzie mógł zostać obrzucony przedsiębiorca, jeżeli organ oceni, że taki charakter ma działalność firmy. Kryteria oceny mają charakter szeroki i częściowo uznaniowy, ale skutkiem jest de facto wykluczenie podmiotu z rynku. Wystarczy jedna decyzja, aby firma utraciła kontrakty, reputację i możliwość dalszego funkcjonowania w określonym segmencie rynku. Ja wiem, że rząd i jego administracja coraz bardziej wchodzą w rolę Opatrzności, ale, jak pokazuje doświadczenie, brakuje im niestety boskich przymiotów. Ten brak wiary, przede wszystkim w moralne podstawy działań rządzących, powoduje, że w przypadku tych przepisów mamy do czynienia z narzędziem o ogromnej sile oddziaływania gospodarczo-politycznego.
A jakie są sankcje? No takie, jak na demokrację ludową przystało, czyli bardzo wysokie kary administracyjne za niewypełnienie obowiązków. Odpowiedzialność może dotyczyć nie tylko samego podmiotu, lecz także kadry zarządzającej. To oznacza przeniesienie ciężaru ryzyka bezpośrednio na menedżerów. W warunkach nieprecyzyjnych definicji i dynamicznie zmieniających się standardów cyberbezpieczeństwa może to prowadzić do sytuacji, w której decyzja o nałożeniu kary stanie się w istocie narzędziem dyscyplinującym rynek i potencjalnym instrumentem presji.
A jak wygląda kwestia zawinienia takiego przedsiębiorcy, bo w końcu, by za coś odpowiadać, to według norm cywilizowanego świata trzeba mieć świadomość i wiedzę działania niezgodnego z normami? Wszyscy wiemy, że Państwo, dysponując aparatem eksperckim i dostępem do danych wywiadowczych, może formułować oceny zagrożeń, których przedsiębiorca nie jest w stanie zweryfikować z uwagi na brak dostępu do tych danych. Jeżeli uzasadnienie decyzji opiera się na niejawnych przesłankach bezpieczeństwa, realna możliwość obrony interesów przez podmiot prywatny staje się iluzoryczna. W ten sposób zasada równości stron w postępowaniu administracyjnym zostaje osłabiona, a mechanizm kontroli sądowej, nawet jeśli formalnie pozostaje dostępny, jest iluzoryczny.
Każdy, kto ma choć odrobinę pojęcia o ekonomii, zauważy, że przedsiębiorstwa, obawiając się uznaniowych decyzji lub wysokich sankcji, mogą rezygnować z innowacyjnych rozwiązań czy współpracy z określonymi dostawcami. Wystarczy sygnał, że dany segment rynku znajduje się pod szczególną obserwacją, aby mechanizm samoregulacji – motywowany strachem – zaczął działać szybciej niż jakikolwiek przepis. W konsekwencji decyzje biznesowe przestają wynikać z rachunku ekonomicznego i jakości technologii, a zaczynają być podporządkowane przewidywaniom co do stanowiska administracji.
Oczywiście, cyberbezpieczeństwo jest realnym wyzwaniem. Państwo ma obowiązek chronić infrastrukturę krytyczną i reagować na zagrożenia. Jednak każde rozszerzenie kompetencji władzy powinno być ściśle proporcjonalne, precyzyjnie zdefiniowane i obwarowane silnymi gwarancjami proceduralnymi.
Ale to nie w tym nieszczęśliwym kraju i na pewno nie w przypadku tzw. „implementacji” przepisów UE. W myśl narodowej tradycji zakres regulacji musi być większy, niż nam to nakazuje UE, bo zamiast po prostu w sposób minimalny wdrożyć jakiś totalniacki wymysł plenum zjazdu europejskich komisarzy ludowych w postaci dyrektyw, nasza rodzima egzekutywa musi dodać coś od siebie. Wiadomo – od przybytku głowa nie boli. Przynajmniej rząd.
A co robi rząd, by i nas mniej głowa bolała? Realizuje sprawdzony trend legislacyjny, w którym pojęcie „bezpieczeństwa” – czy to zdrowotnego, finansowego, czy cyfrowego – uzasadnia coraz dalej idącą ingerencję w działalność prywatnych podmiotów. Problem polega na tym, że kompetencje przyznane państwu w sytuacjach nadzwyczajnych mają tendencję do utrwalania się i rozszerzania. Mechanizmy kontroli wprowadzane dziś jako odpowiedź na zagrożenie jutro stają się standardowym narzędziem regulacyjnym. W myśl demokracji ludowej…
