Cyberprzestępstwa w Kodeksie karnym – co grozi za atak na systemy IT?

Przestępstwa skierowane przeciwko bezpieczeństwu informacji i systemów komputerowych są w polskim prawie skupione w Rozdziale XXXIII Kodeksu karnego „Przestępstwa przeciwko ochronie informacji" (art. 265-269c). Obejmują nieuprawniony dostęp do danych, naruszenie integralności i dostępności informacji oraz sabotaż komputerowy. Definicje są spójne z prawem UE – w szczególności z dyrektywą 2013/40/UE w sprawie ataków na systemy informatyczne, która ujednolica pojęcia i minimalne sankcje w państwach członkowskich.

Najważniejsze typy czynów

Art. 267 k.k. penalizuje bezprawne uzyskanie dostępu do informacji nieprzeznaczonej dla sprawcy (m.in. przełamanie zabezpieczeń, tzw. hacking) oraz nielegalny podsłuch. Art. 268 k.k. dotyczy bezprawnego niszczenia, uszkadzania, usuwania lub zmiany istotnej informacji, a art. 268a – analogicznych czynów wobec danych informatycznych (w tym ich udaremnienia lub utrudnienia dostępu). Art. 269 k.k. opisuje sabotaż komputerowy wymierzony w dane o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji. Art. 269a penalizuje zakłócanie pracy systemu lub sieci (np. ataki DDoS), a art. 269b – wytwarzanie i udostępnianie tzw. narzędzi hakerskich oraz haseł i kodów dostępu.

Czyny przygotowawcze i wyłączenia odpowiedzialności

Art. 269b § 1 k.k. kryminalizuje samo wytwarzanie, pozyskiwanie czy udostępnianie programów i danych przystosowanych do popełnienia przestępstw komputerowych – odpowiedzialność może powstać, zanim dojdzie do właściwego ataku. Ustawodawca przewidział jednak istotne wyłączenia: przepisy nie obejmują działań podejmowanych wyłącznie w celu zabezpieczenia systemu informatycznego lub opracowania metod takiego zabezpieczenia. Co więcej, art. 269c k.k. wprowadza klauzulę chroniącą badaczy bezpieczeństwa – nie podlega karze ten, kto działa wyłącznie w celu zabezpieczenia systemu i niezwłocznie powiadamia dysponenta o wykrytych podatnościach. To istotne dla legalnego pentestingu i odpowiedzialnego ujawniania luk.

Tryb ścigania i obowiązki zgłoszeniowe

Część czynów z tego rozdziału ścigana jest na wniosek pokrzywdzonego (np. niektóre postacie z art. 267 i 268 k.k.), co oznacza, że organy podejmują działania dopiero po złożeniu wniosku. Niezależnie od prawa karnego organizacje – zwłaszcza operatorzy usług kluczowych i podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa – mają obowiązki w zakresie zgłaszania incydentów. Naruszenie danych osobowych podlega odrębnie zgłoszeniu do Prezesa UODO na podstawie RODO (art. 33). Warto rozdzielać te reżimy: karny, administracyjny (cyberbezpieczeństwo) i ochrony danych.