Istotne zastrzeżenie na wstępie: w przeciwieństwie do kontroli prewencyjnej, kontrola następcza nie wstrzymuje obowiązywania ustawy. Nowelizacja weszła w życie miesiąc po ogłoszeniu, a terminy na wykonanie nowych obowiązków biegną - podmioty objęte regulacją mają 6 miesięcy na zgłoszenie się do wykazu podmiotów kluczowych i ważnych oraz 12 miesięcy na wdrożenie środków zarządzania ryzykiem. Postępowanie przed TK toczy się równolegle do wdrażania przepisów.

Siedem lat legislacyjnej drogi

Ustawa o Krajowym Systemie Cyberbezpieczeństwa z 2018 r. była pierwszą kompleksową regulacją tej materii w Polsce, implementującą dyrektywę NIS z 2016 r. Już w 2020 r. rozpoczęły się prace nad jej gruntowną nowelizacją - początkowo motywowane głównie kwestią bezpieczeństwa sieci 5G i rekomendacjami unijnego 5G Toolbox, dotyczącymi zarządzania ryzykiem związanym z dostawcami infrastruktury.

Projekt przechodził kilkanaście iteracji, zmieniały się rządy i pełnomocnicy ds. cyberbezpieczeństwa. Kolejne wersje dokumentu były przedmiotem obszernych konsultacji i krytyki ze strony izb gospodarczych, operatorów i organizacji przedsiębiorców - ale też konsekwentnego stanowiska instytucji odpowiedzialnych za bezpieczeństwo państwa, wskazujących na rosnącą skalę zagrożeń dla infrastruktury krytycznej. Do pierwotnej materii doszła konieczność wdrożenia dyrektywy NIS2, która radykalnie rozszerza katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa - z kilkuset operatorów usług kluczowych do dziesiątek tysięcy podmiotów ważnych i kluczowych w kilkunastu sektorach gospodarki: od energetyki i transportu, przez gospodarkę odpadami i produkcję żywności, po administrację publiczną i usługi cyfrowe. Polska jest przy tym mocno spóźniona z transpozycją - termin minął 17 października 2024 r., a Komisja Europejska prowadzi wobec Polski postępowanie naruszeniowe.

Finał procesu legislacyjnego nastąpił na początku 2026 r.: Sejm uchwalił nowelizację 23 stycznia, Senat przyjął ją 28 stycznia bez poprawek, a 19 lutego prezydent złożył podpis, kończąc siedmioletni proces. Uchwalona nowelizacja łączy dwa porządki: unijny (transpozycja NIS2 - obowiązki rejestracyjne, zarządzanie ryzykiem, raportowanie incydentów przez system S46, odpowiedzialność zarządów, wysokie kary finansowe - według komentarzy rynkowych w skrajnych przypadkach sięgające nawet 100 mln zł lub 2 proc. globalnego obrotu) oraz krajowy, wykraczający poza minimum dyrektywy - w tym procedurę uznawania dostawców za dostawców wysokiego ryzyka (high-risk vendor, HRV), uprawnienia ministra właściwego ds. informatyzacji do wydawania poleceń zabezpieczających oraz rozbudowany nadzór administracyjny.

Argumenty za regulacją

Warto najpierw odnotować racje, które stały za uchwalonym kształtem ustawy. Zwolennicy regulacji - w tym kolejne rządy pracujące nad projektem - wskazują, że w warunkach wojny za wschodnią granicą, systematycznych ataków na sektor publiczny, energetykę i transport oraz rywalizacji technologicznej mocarstw, państwo musi dysponować narzędziami szybkiego reagowania na zagrożenia w łańcuchu dostaw. Procedura HRV nie jest przy tym polskim wynalazkiem: unijny 5G Toolbox wprost rekomenduje państwom członkowskim ocenę profilu ryzyka dostawców, w tym z uwzględnieniem czynników pozatechnicznych, a analogiczne mechanizmy - w różnych wariantach - wdrożyły m.in. Wielka Brytania, Szwecja, Dania i Niemcy.

Istotnym wzmocnieniem tej linii argumentacji jest opinia rzecznik generalnej TSUE Tamary Ćapety z 19 marca 2026 r. w sprawie estońskiego operatora Elisa Eesti (C-354/24). Uznała ona, że państwa członkowskie mogą zakazywać stosowania lub nakazywać usunięcie sprzętu niepewnych dostawców ze względów bezpieczeństwa narodowego bez obowiązku wypłaty odszkodowań operatorom - z zastrzeżeniem, że wykluczenie musi opierać się na zindywidualizowanej analizie realnego ryzyka, a w skrajnych przypadkach o skutku wywłaszczeniowym przedsiębiorcy mogą dochodzić słusznego zadośćuczynienia na podstawie Karty Praw Podstawowych UE. Jeżeli TSUE podzieli tę opinię, swoboda państw w kształtowaniu takich mechanizmów zostanie potwierdzona na poziomie unijnym.

Zwolennicy ustawy podnoszą też, że dalsze odwlekanie transpozycji NIS2 naraża Polskę na kary finansowe przed TSUE oraz - co ważniejsze - utrwala niższy od europejskiego standard ochrony infrastruktury w okresie podwyższonego zagrożenia.

Co kwestionuje wniosek prezydenta

Z wniosku z 17 lipca 2026 r. wyłania się kilka zasadniczych osi argumentacji. Dotyczą one nie samej idei ochrony infrastruktury krytycznej, lecz konkretnych rozwiązań legislacyjnych.

Odesłanie do uchylonej dyrektywy a zasada określoności prawa

Pierwszy zarzut dotyczy techniki legislacyjnej: ustawodawca oparł kluczowe definicje na bezpośrednim odwołaniu do unijnej dyrektywy, która utraciła już moc. W efekcie źródłem władczych decyzji organów państwa stają się uchylone regulacje. Zdaniem wnioskodawcy tej wady nie da się naprawić w drodze wykładni - narusza ona wywodzoną z art. 2 Konstytucji zasadę określoności prawa.

Procedura HRV a ochrona własności

Najobszerniejsza grupa zarzutów dotyczy mechanizmu HRV. Zgodnie z nowelizacją minister właściwy do spraw informatyzacji może wydać decyzję administracyjną uznającą konkretnego dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, czego konsekwencją jest zakaz wprowadzania jego produktów do użytkowania oraz obowiązek wycofania rozwiązań już eksploatowanych.

Wniosek argumentuje, że przepisy pozwalają wykluczyć towary lub usługi z rynku bez uprzedniego rozważenia mniej inwazyjnych środków, a przesłanką może być ogólne kryterium "podstawowego interesu bezpieczeństwa państwa", oderwane od obiektywnej analizy technologicznej. Ustawa nie przewiduje przy tym mechanizmów rekompensat za wymuszoną wymianę legalnie nabytego, sprawnego majątku - co zdaniem wnioskodawcy zbliża skutki decyzji do wywłaszczenia, dopuszczalnego konstytucyjnie wyłącznie za słusznym odszkodowaniem (art. 21 i art. 64).

Kontrargument strony rządowej i części ekspertów brzmi: certyfikacja i audyty nie rozwiązują problemu zaufania do dostawcy podlegającego jurysdykcji państwa trzeciego, a wieloletnie okresy przejściowe na wycofanie sprzętu (przewidziane w ustawie) łagodzą skutki finansowe decyzji. Wspomniana opinia rzecznik generalnej TSUE dostarcza z kolei argumentu, że brak automatycznych odszkodowań nie musi być sprzeczny z prawem unijnym.

Prawo do sądu

Ostatnia grupa zarzutów odnosi się do prawa do rzetelnego procesu (art. 45 Konstytucji). Zgodnie z zakwestionowanymi przepisami strona postępowania nie ma możliwości zapoznania się z niejawną częścią uzasadnienia wyroku - nawet jeżeli posiada certyfikaty uprawniające do dostępu do informacji niejawnych na wymaganym poziomie. Zdaniem wnioskodawcy ogranicza to możliwość skutecznej obrony praw przed sądem. Z drugiej strony ochrona informacji niejawnych w postępowaniach dotyczących bezpieczeństwa państwa jest praktyką znaną również innym porządkom prawnym - pytanie, które rozstrzygnie TK, dotyczy tego, gdzie przebiega konstytucyjna granica między tajemnicą państwową a prawem strony do obrony.

Głos branży

W debacie wokół nowelizacji aktywnie uczestniczyły organizacje branżowe - zarówno reprezentujące dużych operatorów, jak i sektor MŚP. Szczególnie słyszalny był głos Krajowej Izby Komunikacji Ethernetowej (KIKE), reprezentującej kilkuset małych i średnich operatorów telekomunikacyjnych. KIKE wskazywała, że nowelizacja w uchwalonym kształcie jest skrojona pod możliwości organizacyjne i finansowe dużych graczy: brak realnego progu de minimis, ryzyko konieczności wymiany sprzętu w sieciach małych ISP oraz jednolite widełki sankcji, które dla giganta i firmy zatrudniającej kilkanaście osób oznaczają zupełnie inną realną dolegliwość. Komentatorzy rynkowi wskazują, że głos biznesu, w tym KIKE, był jednym z czynników decyzji o skierowaniu przepisów do TK.

Trzeba jednak odnotować, że rynek nie mówi jednym głosem. Część firm sektora cyberbezpieczeństwa i dużych podmiotów infrastrukturalnych przyjęła podpisanie ustawy z ulgą - po latach niepewności regulacyjnej otrzymały wreszcie stabilne ramy prawne i jasny harmonogram, a inwestycje w bezpieczeństwo, dotąd odkładane "do czasu ustawy", zyskały podstawę biznesową.

Kontekst międzynarodowy: dwa bieguny

Spór o rekompensaty ma już swoje europejskie punkty odniesienia - i nie układają się one w jednoznaczny wzorzec.

Z jednej strony Dania: w czerwcu 2026 r. tamtejszy Sąd Najwyższy nakazał państwu wypłatę 80 mln koron (ok. 12 mln USD) operatorowi TDC jako rekompensaty za nakaz usunięcia sprzętu Huawei z optycznej sieci transportowej DWDM, uznając nakaz za interwencję o skutku wywłaszczeniowym. Podobnie USA: program "rip-and-replace" administrowany przez FCC, z budżetem ok. 5 mld USD, bezpośrednio rekompensuje mniejszym operatorom koszty obowiązkowej wymiany urządzeń Huawei i ZTE.

Z drugiej strony wspomniana opinia rzecznik generalnej TSUE w sprawie C-354/24, zgodnie z którą wykluczanie dostawców ze względów bezpieczeństwa narodowego co do zasady nie wymaga odszkodowań, a sytuacje takie jak duńska mogą okazać się wyjątkiem, nie regułą.

Skala potencjalnych kosztów pozostaje przedmiotem sporu: według raportu GSMA całkowity bezpośredni koszt wymiany sprzętu dostawców wysokiego ryzyka w całej UE wyniósłby 30-40 mld euro, podczas gdy Komisja Europejska szacuje wydatki na łącznie ok. 10-13 mld euro. Rozbieżność szacunków sama w sobie ilustruje, jak trudno zważyć koszty i korzyści tej regulacji.

Co dalej

Wbrew intuicji, jaką może budzić hasło "ustawa w Trybunale", przedsiębiorcy nie zyskali odroczenia. Kontrola następcza nie wstrzymuje obowiązywania przepisów: obowiązki rejestracyjne, wdrożeniowe i raportowe biegną zgodnie z harmonogramem, pod rygorem kar. Podmioty kluczowe i ważne, które wykorzystają ten okres na inwentaryzację aktywów, analizę ryzyka, budowę procedur reagowania na incydenty i uporządkowanie łańcucha dostaw, znajdą się w komfortowej pozycji wobec konkurencji odkładającej temat na ostatnią chwilę.

Dla operatorów sprawa przed TK oznacza przedłużenie niepewności wokół procedury HRV - część firm już dziś dywersyfikuje dostawców, wliczając ryzyko regulacyjne w decyzje zakupowe. Jeżeli Trybunał uzna zakwestionowane przepisy za niezgodne z Konstytucją, utracą one moc, a mechanizm trzeba będzie zaprojektować na nowo - z uwzględnieniem standardów wskazanych przez TK oraz przyszłego wyroku TSUE w sprawie C-354/24, który wyznaczy unijne ramy dla tego typu regulacji. Jeżeli TK potwierdzi konstytucyjność przepisów, spór przeniesie się na poziom praktyki ich stosowania.

Spór modelowy

Spór o KSC jest w istocie sporem modelowym, z jakim mierzy się dziś większość państw zachodnich: jak pogodzić realne potrzeby bezpieczeństwa infrastruktury krytycznej z konstytucyjnymi gwarancjami własności, wolności gospodarczej i prawa do sądu. Doświadczenia innych krajów pokazują, że można to zrobić różnie - Dania zapłaciła odszkodowanie, USA sfinansowały wymianę z budżetu federalnego, Niemcy postawiły na certyfikację i punktowe ograniczenia, a unijny 5G Toolbox pozostawia państwom członkowskim margines swobody. To właśnie sposób wykorzystania tego marginesu przez polskiego ustawodawcę oceni teraz Trybunał Konstytucyjny.

Wnioski

Po pierwsze: wniosek do Trybunału Konstytucyjnego to test konstrukcji polskiego systemu cyberbezpieczeństwa - i niezależnie od rozstrzygnięcia szansa na doprecyzowanie przepisów, co do których wątpliwości zgłaszały obie strony debaty.

Po drugie: spór nie dotyczy samej idei ochrony infrastruktury krytycznej - tu panuje zgoda - lecz metody: zakresu swobody decyzyjnej organów, kwestii rekompensat i granic jawności postępowań. To pytania, na które odpowiedzi udzielą równolegle TK i TSUE.

Po trzecie: dla przedsiębiorców objętych obowiązkami NIS2 postępowanie przed TK niczego nie zawiesza. Ustawa obowiązuje, terminy biegną, a kierunek regulacji jest przesądzony na poziomie europejskim - zmienić się mogą szczegóły, nie zasada.

Po czwarte: sprawa KSC pokazuje dojrzewanie procesu legislacyjnego w obszarze cyberbezpieczeństwa - od sporu geopolitycznego o wielkich dostawców do merytorycznej debaty o warunkach prowadzenia biznesu, w której słyszalne są zarówno argumenty bezpieczeństwa państwa, jak i postulaty rynku, od największych operatorów po lokalnych ISP. Prace nad ostatecznym kształtem polskiego systemu cyberbezpieczeństwa z pewnością jeszcze się nie skończyły.