Regulacje prawne w zakresie cyberbezpieczeństwa w Polsce i Europie

 Na samym początku istotne jest określenie najważniejszych elementów w państwie, które mogą zostać zaatakowane przez cyberterrorystów czy cyberprzestępców, co pozwoli odpowiednio zabezpieczyć się przed potencjalnym zagrożeniem z ich strony. Zaliczyć należy do nich w pierwszej kolejności elementy infrastruktury krytycznej, która została zdefiniowana w Ustawie z dnia 26 kwietnia 2007 roku o zarządzaniu kryzysowym. 

Bezpieczeństwo Państwa i jego Obywateli a Infrastruktura Krytyczna

Wedle tej ustawy, do infrastruktury krytycznej należą systemy oraz powiązane ze sobą obiekty, urządzenia i instalacje, oraz usługi będące kluczowymi dla bezpieczeństwa państwa i obywateli, a także pozwalające sprawnie funkcjonować organom administracji publicznej, instytucjom i przedsiębiorcom. 

W szczególności infrastruktura krytyczna obejmuje:

- zaopatrzenie w energię i paliwa,

- łączność i sieci teleinformatyczne,

- system finansowy,

- zaopatrzenie w żywność i wodę,

- ochronę zdrowia,

- transport i komunikację,

- ratownictwo,

- zapewnienie ciągłości działania administracji publicznej,

- produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych.

Istotą bezpieczeństwa państwa i jego obywateli jest zapewnienie odpowiedniego funkcjonowania poszczególnych elementów wchodzących w skład infrastruktury krytycznej. Państwo powinno dbać o to, aby ewentualne ich zniszczenia lub uszkodzenia spowodowane działaniami natury lub człowieka były krótkotrwałe i łatwe

do naprawienia.

W przypadku awarii chociażby systemu łączności lub wybranych sieci komputerowych, może dojść do destabilizacji w Państwie. Na tą okoliczność prowadzi się szkolenia w dziedzinie zarządzania kryzysowego co ma nie dopuścić do problemów w poszczególnych elementach infrastruktury krytycznej. Dlatego tak ważne jest utrzymanie w należytym stanie sieci komputerowych.

W obecnych czasach z coraz bardziej zaawansowaną technologią stykają się zwykli ludzie. Można powiedzieć, że zacierają się granice w przestrzeni realnej oraz wirtualnej i jesteśmy w stanie nawiązać komunikację między dowolnymi społecznościami. Z czasem zaczęto postrzegać nowe technologie w obszarze informacji jako czynnik napędzający wszelkie przemiany społeczne i gospodarcze.

W związku z rozwijającym się trendem Internetu Rzeczy, który polega na łączeniu urządzeń domowych w jedną sieć komputerową, okazuje się, że prawie każdy z nas ma ją w swoim własnym domu i na dodatek połączony jest z ogólnodostępną globalną siecią. Tak jak było to wskazane na początku, coraz bardziej jesteśmy narażeni na wszelkiego rodzaju zagrożenia ze strony cyberprzestępców. Nieświadomość użytkowników na stale rosnące i rozwijane formy przestępstw komputerowych wymogła na stworzeniu przepisów prawa, które w należyty sposób zabezpieczą prawa osób korzystających z internetu.

W polskim prawie nie ma jasno określonej definicji cyberprzestępczości co zmusza do korzystania z już przygotowanych przez inne organizacje i instytucje. Według Unii Europejskiej, cyberprzestępstwami są działania przeciwko poufności i integralności danych, szpiegostwo komputerowe, sabotaż komputerowy, a także nielegalny podsłuch.

W polskim ustawodawstwie cyberprzestępstwa możemy rozpatrywać na dwa sposoby. Pierwszy wtedy, kiedy komputer i sieć komputerowa jest narzędziem do popełnienia przestępstwa. W drugim przypadku natomiast komputer i sieć będzie traktowana jako cel popełnienia przestępstwa. Wszystkie przepisy Ustawy z dnia 6 czerwca 1997 r. Kodeks Karny w rozdziale XXXIII traktują o przestępstwach dokonanych w cyberprzestrzeni, a dokładnie przeciwko ochronie informacji.

W art. 267 K. k. zostały wymienione zachowania takie jak: dostęp do informacji bez uprawnienia, łamanie zabezpieczeń, niszczenie danych lub ujawnianie informacji, za których popełnienie grozi kara. Karze podlegają także osoby, które co zostało wskazane w art. 269 K. k. sabotują system informatyczny, zakłócają pracę systemu informatycznego ( art. 269a K. k. ) lub pozyskują albo wytwarzają nielegalne oprogramowanie ( art. 269b K. k. ). Polskie prawo przewiduje także karę w sytuacji kiedy przestępca wykorzystuje komputer do czynu zabronionego wymienionego w art. 265 K.k. i w art. 266 K.k. polegającego na ujawnieniu informacji niejawnych z nadaną klauzulą "tajne" bądź "ściśle tajne".

Problem penalizacji cyberprzestępstw pojawia się w zakresie jurysdykcji i braku odpowiednich przepisów, które sankcjonowałyby dane zachowania przestępców w szerokim zakresie. Często przestępstwa z wykorzystaniem komputera mają miejsce poza terytorium jurysdykcji danego systemu prawnego, a niejednokrotnie ustawodawca nie nadąża z rozwojem nowych rodzajów zagrożeń dla użytkowników sieci komputerowych. Wynika to przede wszystkim z bardzo rozległego zakresu tematyki jaką jest cyberbezpieczeństwo, cyberprzestępczość czy cyberterroryzm.

W Strategii Bezpieczeństwa Narodowego Rzeczypospolitej Polskiej opublikowanej w 2014 roku uwzględniono również problem pojawienia się nowych zagrożeń wraz z rozwojem sieci komputerowych i nowych technologii teleinformatycznych. Oczywiście wskazano na cyberprzestępczość, cyberszpiegostwo, cyberterroryzm, a także cyberkonflikty i cyberwojnę. W pierwszym przypadku jako konflikt niepaństwowy, natomiast w drugim jako konflikt z udziałem państw w cyberprzestrzeni. Autorzy dokumentu zwrócili w nim uwagę na to, że tego rodzaju zagrożenia mogą znacząco wpłynąć na pogorszenie bezpieczeństwa społeczeństwa i mieć negatywny wpływ na funkcjonowanie państwa. Automatycznie rośnie także znaczenie uczestnictwa Polski w różnych strukturach odpowiedzialnych za wspólną ochronę i obronę cyberprzestrzeni. Założono również, że Siły Zbrojne RP powinny być zdolne do prowadzenia działań defensywnych i ofensywnych w tym zakresie, ponieważ cyberprzestrzeń jest dzisiaj kolejnym polem walki zbrojnej.

Istotne znaczenie dla określenia formalnych zagrożeń i polityki postępowania Państwa w zakresie cyberbezpieczeństwa ma Doktryna Cyberbezpieczeństwa Rzeczypospolitej Polskiej z 2015 roku, która ma charakter wykonawczy w stosunku do Strategii Bezpieczeństwa Narodowego. Doktryna, przygotowana przez Biuro Bezpieczeństwa Narodowego, jest o tyle ważna, że ma charakter strategiczny i przedstawia całościowo problem cyberbezpieczeństwa.

Na samym początku podkreślono, że Polska narażona jest na nowy rodzaj zagrożenia nie tylko z lądu, morza i powietrza ale także z cyberprzestrzeni, co jest bardzo istotne w kontekście przygotowania odpowiednich przepisów prawa oraz rozwoju adekwatnych sił i środków zdolnych do neutralizacji nowych rodzajów zagrożeń pojawiających się w cyberprzestrzeni. Dokument powstał na podstawie wcześniejszych publikacji takich jak Polityka Ochrony Cyberprzestrzeni RP oraz Strategii bezpieczeństwa cybernetycznego Unii Europejskiej.

Zasadniczym problemem na jaki odpowiadają autorzy Doktryny to wdrożenie odpowiednich działań zapewniających bezpieczne i nieprzerwane istnienie Rzeczypospolitej Polskiej w dobie permanentnego powiązania każdego aspektu życia codziennego z cyberprzestrzenią. Jako jeden z celów wskazano przygotowanie ustawy, która będzie regulowała system obrony cyberprzestrzeni w Polsce. Powinna ona zawierać jasno określone ramy instytucjonalne, podział obowiązków poszczególnych podmiotów i wskazać jednostkę nadrzędną, odpowiedzialną za koordynację wszystkich działań. Ważnym będzie także rozwinięcie do odpowiedniego stanu partnerstwa w sektorach publicznym i prywatnym, poprzez przygotowanie grupy kontaktowej. Kolejnym celem wyłaniającym się z Doktryny Cyberbezpieczeństwa jest wymiana informacji pomiędzy jednostkami cywilnymi i wojskowymi, które miałoby się odbywać w ramach Narodowego Centrum Cyberbezpieczeństwa.

Wartym odnotowania jest fakt, że w wymiarze zewnętrznym wskazano zagrożenia takie jak: cyberkryzys, cyberkonflikt oraz cyberwojna, których uczestnikami mogą być podmioty niepaństwowe oraz państwowe. Jest to o tyle ważne, że dzisiaj konflikty konwencjonalne zazwyczaj połączone są z wybranymi formami ataku w cyberprzestrzeni przed czym nie uda nam się uciec. Uwagę zwrócono również na cyberszpiegostwo, które jest jedną z form nieautoryzowanego pozyskiwania informacji chronionych.

W aspekcie europejskim ważnym dokumentem odnoszącym się do walki z cyberprzestępczością stał się Komunikat Komisji do Parlamentu Europejskiego, Rady oraz Komitetu Regionów w kierunku ogólnej strategii zwalczania cyberprzestępczości z dnia 22 maja 2007 r., który porusza ją w aspektach krajowym, unijnym oraz międzynarodowym. Na szczeblu operacyjnym wskazuje on na potrzebę współpracy zespołów ds. walki z cyberprzestępczością, stworzenia odpowiedniej strategii zwalczania cyberzagrożeń oraz poszerzania wiedzy na temat przestępstw komputerowych. W efekcie udało się wprowadzić dyrektywę o zwalczaniu wykorzystywania seksualnego dzieci poprzez internet oraz pornografii dziecięcej. W 2013 roku przygotowano także Strategię bezpieczeństwa cybernetycznego EU oraz w tym samym roku powołano Europejskie Centrum ds. Walki z Cyberprzestępczością. Ponadto opublikowano Dyrektywę w sprawie ataków na systemy informatyczne.

Dużym impulsem do rozwijania współpracy międzynarodowej w strukturach NATO czy Unii Europejskiej w zakresie bezpieczeństwa w cyberprzestrzeni był udanie przeprowadzony cyberatak na Estonię w 2007 roku. Wtedy to zaczęto zastanawiać się nad rozwiązaniami, które w realny sposób pozwoliłyby współdziałać na tym polu zainteresowanym podmiotom.