Cyberbezpieczeństwo jako priorytet polskiej prezydencji w UE [ANALIZA]

W dzisiejszym świecie nie można sobie wyobrazić sprawnie funkcjonującego państwa bez wsparcia technologii informatycznych. Wszystkie sektory gospodarki korzystają z rozwiązań, które w mniejszej lub większej mierze opierają się na rozwiązaniach cyfrowych – od serwisów i systemów bankowości elektronicznej, poprzez zautomatyzowane linie produkcyjne, po systemy e-administracji (np. mObywatel) udostępniane przez administrację rządową czy samorządową. Ich niezakłócone działanie staje się krytyczną kwestią dla komfortu obywateli i stabilności państwa. Wydarzenia z Ukrainy pokazują, że systemy informatyczne najpewniej będą pierwszymi celami w przypadku wojny hybrydowej, czy innego konfliktu zbrojnego. W związku z tym zapewnienie im odpowiedniego poziomu bezpieczeństwa i ochrony już od dawna jest priorytetem w Unii Europejskiej - piszą w raporcie dla forsal.pl Justyna Wilczyńska-Baraniak, adwokatka, Partnerka EY Law, Liderka EY EMEIA Cyber Law i Patryk Gęborys, Partner EY Polska, Zespół Bezpieczeństwa Informacji i Technologii.

Cyberbezpieczeństwo priorytetem polskiej prezydencji

Polska, obejmując prezydencję w Radzie Unii Europejskiej w pierwszej połowie 2025 roku, stawia właśnie cyberbezpieczeństwo jako jeden z kluczowych priorytetów swojej agendy cyfrowej. To ambitne podejście wynika z rosnących wyzwań w sferze cyfrowej i potrzeby wzmocnienia odporności Unii Europejskiej na zagrożenia cybernetyczne.

Jak wygląda stan cyberbezpieczeństwa w Polsce?

Według najnowszego rankingu National Cyber Security Index (NCSI) Polska znajduje się obecnie w czołówce krajów europejskich pod względem gotowości do obrony przed cyberatakami, zajmując pierwsze miejsce wśród 31 ocenianych państw, z wynikiem 90,83 punktów. To świadczy o znaczącym postępie w budowaniu krajowej infrastruktury cyberbezpieczeństwa.

Z drugiej strony nadal nie przyjęliśmy jako kraj regulacji wdrażających nową wersję europejskiej dyrektywy dot. bezpieczeństwa sieci i systemów informacyjnych (tzw. Dyrektywa NIS2), która ma na celu zwiększenie odporności kluczowych sektorów gospodarki na zakłócenia (w tym cyberataki) systemów informatycznych. Nowa regulacja, oprócz dotychczasowego zakresu, ma objąć nowe sektory takie jak produkcja żywności, transport i logistyka, czy usługi cyfrowe, i wprowadza szereg nowych wymagań dla firm i podmiotów publicznych. Ma także ułatwić zgłaszanie incydentów przez system teleinformatyczny i tworzenie sektorowych zespołów reagowania na incydenty (CSIRT), a także wzmocnić uprawnienia nadzorczych organów ds. cyberbezpieczeństwa i zwiększyć kary za niestosowanie do nowych przepisów. Szacuje się, że nowymi regulacjami może zostać objętych nawet kilkadziesiąt tysięcy podmiotów, w stosunku do kilkuset podlegających pod obecną regulację.

Polska wyróżnia się korzystnie na tle UE

Na tle państw UE widoczne są duże różnice w modelach krajowej implementacji założeń NIS2 i Toolboxa 5G, co jeszcze bardziej uwypukla wyzwania współpracy transgranicznej w obszarze cyberbezpieczeństwa. W tym kontekście Polska wyróżnia się poprzez restrykcyjne podejście do unijnych przepisów i stworzenie daleko idącego mechanizmu oceny dostawców wysokiego ryzyka, który rodzi pytania o spójność i efektywność regulacji na poziomie europejskim. Rozbieżności proponowane przez polskiego ustawodawcę znacząco wpłyną na konkurencyjność gospodarki, generując nierówności w warunkach rynkowych i zwiększając koszty wdrożenia regulacji.

Biorąc pod uwagę, że Polska jest trzecim krajem w Europie i dziewiątym na świecie pod względem narażenia na ataki ze strony organizacji cyberprzestępczych sponsorowanych przez obce państwa wzmocnienie w obszarze cyberprzestrzeni wydaje się niezbędne, z drugiej – pojawiają się pytania o wpływ tych regulacji na koszty działalności firm, szczególnie średnich i małych.

Manipulacje przedwyborcze w mediach społecznościowych

Innym problemem, z którymi mierzymy się w ostatnich latach, jest manipulacja wyborami w mediach społecznościowych. Przykładowo w Rumunii wątpliwości związane z wpływem manipulacji algorytmami mediów społecznościowych na korzyść kandydata Calina Georgescu spowodowały unieważnienie wyborów prezydenckich.

Deepfake'i i inne manipulacje AI mogą znacząco wpłynąć na wybory, wprowadzając dezinformację i podważając zaufanie do procesu wyborczego. Według AI Act deepfake to „ wygenerowane przez AI lub zmanipulowane przez AI obrazy, treści dźwiękowe lub treści wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia, które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe” (art. 3 ust. 60). Z jednej strony definicja ta jest szeroka, bo obejmuje zarówno generowanie nowych treści, jak i manipulowanie istniejącymi materiałami. Z drugiej strony pozostawia jednak pole do interpretacji, co może prowadzić do omijania regulacji w niektórych przypadkach. Przykładowo, treści realistyczne, lecz nieprzypominające konkretnych osób lub miejsc, nie będą traktowane jako deepfake’i, nawet jeśli mogą dezinformować.

Akt o AI w art. 50 ust. 4 nakłada na podmioty stosujące systemy AI obowiązek informowania odbiorców o tym, że treść została sztucznie wygenerowana lub zmanipulowana. Kluczową potencjalną słabością tej regulacji jest jednak fakt, że najważniejszym kryterium zastosowania rygorystycznych środków ochronnych pozostaje profil ryzyka systemu AI, a nie to, czy dana treść rzeczywiście stanowi deepfake. W efekcie niektóre szkodliwe treści mogą umykać regulacji, jeśli zostaną wygenerowane przez systemy uznane za mniej ryzykowne, nawet gdy potencjalne szkody społeczne będą duże.

Kluczowe obszary polskiej prezydencji

Doprecyzowanie tych zagadnień będzie istotnym wyzwaniem także dla Polski podczas prezydencji w Radzie UE, zwłaszcza w kontekście ochrony integralności procesów demokratycznych oraz skuteczniejszej walki z dezinformacją. Podczas prezydencji w UE, Polska zamierza skupić się na kilku kluczowych obszarach:

1. Wzmocnienie odporności UE poprzez kompleksowe podejście do cyberbezpieczeństwa

2. Aktualizacja unijnych ram koordynacji w zakresie kryzysów cyberbezpieczeństwa (Cyber Blueprint)

3. Poprawa współpracy między sektorami cywilnym i wojskowym

4. Zapewnienie zrównoważonego rozwoju i bezpieczeństwa innowacyjnych aplikacji AI

5. Wdrożenie unijnej ustawy o sztucznej inteligencji

Polska planuje również rozwijać zewnętrzne relacje cyfrowe, współpracując z krajami kandydującymi do UE, takimi jak Ukraina i Mołdawia.

Polska może wzmocnić europejskie cyberbezpieczeństwo

Nasz kraj stoi przed szansą wykorzystania swojej prezydencji w UE do wzmocnienia europejskiego cyberbezpieczeństwa. Kluczowe będzie zbalansowanie ambitnych celów z praktycznymi wyzwaniami implementacyjnymi. Sukces Polski w tej dziedzinie może nie tylko poprawić bezpieczeństwo cyfrowe kraju, ale także wzmocnić jego pozycję jako lidera technologicznego w regionie.