Czym zajmuje się prawnik od przestępstw przeciwko infrastrukturze krytycznej?

Infrastruktura krytyczna to systemy i obiekty kluczowe dla funkcjonowania państwa i bezpieczeństwa obywateli - m.in. zaopatrzenie w energię, paliwa, wodę, łączność, sieci teleinformatyczne, transport czy ochrona zdrowia. W polskim porządku prawnym pojęcie to definiuje ustawa z 26 kwietnia 2007 r. o zarządzaniu kryzysowym, a obowiązki w obszarze cyberbezpieczeństwa - ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS (zastępowaną przez dyrektywę NIS2).

Jakie czyny zagrażają infrastrukturze krytycznej

Zagrożenia można podzielić na ataki fizyczne (sabotaż, zniszczenie lub uszkodzenie obiektów, wandalizm) oraz cyberataki (np. ransomware, ataki blokujące usługi, nadużycia osób mających dostęp do systemów). W prawie karnym czyny te mogą wyczerpywać znamiona różnych przestępstw - od sprowadzenia niebezpieczeństwa dla mienia w wielkich rozmiarach (art. 163-165 Kodeksu karnego), przez przestępstwa przeciwko ochronie informacji i bezpieczeństwu systemów komputerowych (m.in. art. 267-269b KK), po przestępstwa przeciwko obronności czy bezpieczeństwu powszechnemu. Konkretna kwalifikacja zależy od sposobu działania i skutku.

Rola prawnika w sprawach karnych dotyczących infrastruktury krytycznej

Prawnik (adwokat lub radca prawny) może występować po obu stronach takiej sprawy. Jako obrońca osoby oskarżonej o atak na systemy czy obiekty analizuje materiał dowodowy - w sprawach cyfrowych często techniczny i skomplikowany - oraz buduje linię obrony, dbając o prawa procesowe klienta. Jako pełnomocnik pokrzywdzonego podmiotu pomaga zgłosić przestępstwo, zabezpieczyć dowody i dochodzić naprawienia szkody. W obu rolach kluczowa jest znajomość przepisów karnych oraz regulacji sektorowych dotyczących bezpieczeństwa.

Doradztwo w zakresie zgodności i zarządzania ryzykiem

Poza sporami karnymi prawnicy doradzają firmom i operatorom usług kluczowych w zakresie zgodności (compliance) z obowiązkami wynikającymi z ustawy o krajowym systemie cyberbezpieczeństwa - m.in. szacowania ryzyka, zgłaszania incydentów i wdrażania zabezpieczeń. Brak należytej staranności w tym obszarze może rodzić odpowiedzialność administracyjną (kary nakładane przez właściwe organy), a w skrajnych przypadkach - odpowiedzialność karną lub cywilną osób odpowiedzialnych. Dobrze zaprojektowane procedury reagowania na incydenty ograniczają to ryzyko.