Ustawa o świadczeniu usług drogą elektroniczną (DSA) – kolejne rosnące wymogi cyberbezpieczeństwa

Na początku XX wieku popularny był dowcip na temat tego, w jaki sposób przedstawiciele różnych narodowości napisaliby rozprawkę o słoniu. Każdy podchodził do tematu z innej perspektywy, poświęcając czas na zbadanie różnych aspektów życia słoni, a Polak bez wahania stworzył esej pt. „Słoń a sprawa polska”. Podobnie jak nasi rodacy w tamtych czasach wszystko łączyli ze sprawą polską, tak i my – w ramach cyklu #CyberSecUpdate – analizując różne akty prawne, patrzymy na nie przez pryzmat cyberbezpieczeństwa.

Nowy projekt po prezydenckim wecie

Ministerstwo Cyfryzacji przedstawiło nowy projekt ustawy zmieniającej ustawę o świadczeniu usług drogą elektroniczną, mający dostosować polskie przepisy do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 w sprawie jednolitego rynku usług cyfrowych (DSA).

Poprzednia wersja ustawy została zawetowana przez Prezydenta w styczniu tego roku.

Projekt budził liczne kontrowersje. Zwolennicy podkreślali, że nowe przepisy wprowadzą jasne zasady odpowiedzialności platform internetowych i umożliwią skuteczniejszą walkę z nielegalnymi treściami. Z kolei krytycy obawiali się ryzyka nadmiernej ingerencji państwa, cenzury internetu i ograniczenia wolności słowa.

Dyskusja nad DSA nie powinna być rozpatrywana w oderwaniu od rosnących wymogów bezpieczeństwa cyfrowego wdrażanych przez NIS2.

Dlaczego Prezydent zawetował poprzednią ustawę?

Największe wątpliwości Prezydenta dotyczyły możliwości blokowania treści internetowych przez Przewodniczącego KRRiT lub Prezesa UKE bez uprzedniego orzeczenia sądu. Katalog treści podlegających blokowaniu uznano za zbyt szeroki, zwłaszcza w odniesieniu do ogólnych kategorii, tj. „treści naruszające dobra osobiste” czy „naruszenia prawa własności intelektualnej”.

W uzasadnieniu prezydenckiego weta wskazano, że ocena tego rodzaju naruszeń wymaga postępowania sądowego, które pozwala ustalić, czy dana treść mieści się w zakresie korzystania z wolności słowa. W efekcie ustawę przekazano do ponownego rozpatrzenia.

Nowe podejście rządu – dwie ustawy

Ministerstwo Cyfryzacji zdecydowało się podzielić zmiany na dwie ustawy, tak aby przynajmniej część przepisów mogła wejść w życie.

Podział kompetencji organów

Pierwsza ustawa ma dostosować krajowy porządek prawny do wymogów DSA i wyznacza organy odpowiedzialne za egzekwowanie nowych przepisów. Według nowego projektu Prezes URE ma być koordynatorem ds. usług cyfrowych i w ramach tej roli będzie odpowiedzialny za nadzór nad stosowaniem rozporządzenia, rozpatrywanie skarg obywateli oraz prowadzenie postępowań wobec dostawców naruszających przepisy.

Przewodniczący KRRiT będzie nadzorował platformy udostępniania wideo oraz rozpatrywał wnioski o blokowanie nielegalnych treści. Natomiast Prezes UOKiK ma odpowiadać za ochronę konsumentów – zajmie się m.in. naruszeniami obowiązków platform oraz nieuczciwymi praktykami.

DSA i NIS2 – podwójne obowiązki

W tym miejscu pojawia się istotny punkt styku z NIS2: podmioty objęte DSA, zwłaszcza duże platformy, dostawcy usług hostingowych i operatorzy infrastruktury, w wielu przypadkach są jednocześnie podmiotami kluczowymi lub ważnymi w rozumieniu NIS2.

Oznacza to konieczność równoległego spełniania obowiązków w zakresie:

• moderacji treści i przejrzystości algorytmów (DSA),
• zarządzania ryzykiem, incydentami i bezpieczeństwem infrastruktury (NIS2).

Procedura blokowania treści

Drugi projekt dotyczy procedury blokowania nielegalnych treści, czyli obszaru, który budził największe zastrzeżenia Prezydenta.

Zgodnie z nowymi założeniami:

• uprawnione organy (prokuratura, policja, KAS oraz Straż Graniczna) będą mogły występować o szybkie blokowanie treści naruszających prawo, w tym związanych z wykorzystywaniem seksualnym dzieci, kradzieżą tożsamości, oszustwami czy naruszeniami praw autorskich;
• natychmiastowe wykonanie decyzji o blokowaniu treści będzie możliwe wyłącznie w przypadku najpoważniejszych przestępstw związanych z wykorzystywaniem seksualnym małoletnich;
• stronom postępowania zapewniono ścieżkę odwoławczą, tj. wniesienie sprzeciwu do sądu;
• przekazanie sprzeciwu do sądu ma następować w ciągu 2 dni (wcześniej było to 7 dni).

Wpływ na cyberbezpieczeństwo

W kontekście NIS2 szczególnie istotne jest, że każda decyzja o blokowaniu treści może wiązać się z ingerencją w systemy teleinformatyczne, co wymaga:

• jasnych procedur,
• minimalizacji ryzyka zakłóceń usług,
• zapewnienia ciągłości działania,
• odpowiedniego zarządzania incydentami.

Należy również pamiętać, że jednym z obowiązków kierownictwa podmiotu kluczowego lub ważnego, określonym w #NIS2 / #KSC2, jest zapewnienie zgodności działania organizacji z prawem, w tym z przepisami sektorowymi. W przypadku dostawców usług cyfrowych takimi przepisami będą m.in. DSA oraz wdrażające je regulacje.

Co dalej?

Projekty ustaw wpłynęły do Sejmu 9 czerwca 2026 r. Czy zaproponowane zmiany przekonają Prezydenta i pozwolą na wejście przepisów w życie?

Jedno jest pewne: wdrażanie DSA i NIS2 będzie coraz bardziej ze sobą powiązane, a podmioty cyfrowe muszą przygotować się na równoległe spełnianie wymogów dotyczących zarówno treści, jak i bezpieczeństwa infrastruktury. O tym będziemy informować w kolejnych edycjach CyberSecUpdate.