Przestępstwa przeciwko infrastrukturze telekomunikacyjnej — odpowiedzialność karna

Infrastruktura telekomunikacyjna — maszty, kable światłowodowe, centrale, serwery, węzły wymiany ruchu i systemy informatyczne operatorów — należy do tzw. infrastruktury krytycznej państwa. Atak na nią, niezależnie od tego, czy polega na fizycznym zniszczeniu urządzenia, czy na cyberataku (DDoS, ransomware, włamanie do systemu), może wyczerpywać znamiona kilku przestępstw z polskiego Kodeksu karnego jednocześnie. W tym artykule wyjaśniamy, jakie przepisy realnie obowiązują w Polsce, jakie kary grożą sprawcy oraz jakie obowiązki ciążą na operatorach telekomunikacyjnych. Uwaga ważna metodologicznie: w obiegu internetowym pojawiają się odwołania do rzekomej „ustawy CAECA” czy „Biura Elektronicznych Komunikacji” — takie akty i organy w polskim porządku prawnym nie istnieją. Właściwym regulatorem jest Prezes Urzędu Komunikacji Elektronicznej (UKE), a podstawą są: Kodeks karny, Prawo komunikacji elektronicznej z 12 lipca 2024 r. oraz ustawa o krajowym systemie cyberbezpieczeństwa.

Czym jest przestępstwo przeciwko infrastrukturze telekomunikacyjnej

Polskie prawo karne nie zna jednego przepisu o nazwie „przestępstwo telekomunikacyjne”. Zamiast tego ochronę zapewnia kilka typów czynów zabronionych, dobranych do tego, na czym polegał atak. Jeśli sprawca fizycznie niszczy lub uszkadza maszt, kabel albo urządzenie sieciowe, odpowiada za zniszczenie mienia z art. 288 § 1 Kodeksu karnego (kara od 3 miesięcy do 5 lat pozbawienia wolności). Jeżeli działanie sprowadza niebezpieczeństwo dla życia lub zdrowia wielu osób albo paraliżuje łączność o znaczeniu obronnym lub ratunkowym, w grę wchodzi art. 254a KK (sprowadzenie zagrożenia przez uszkodzenie urządzeń infrastruktury — kara od 6 miesięcy do 8 lat) oraz przepisy o przestępstwach przeciwko bezpieczeństwu powszechnemu. Gdy atak ma charakter cyfrowy — uderza w dane lub systemy informatyczne operatora — sięgamy do rozdziału XXXIII Kodeksu karnego o przestępstwach przeciwko ochronie informacji.

Cyberataki na sieci — przepisy Kodeksu karnego

Najważniejsze przepisy karne dla cyberataków na infrastrukturę telekomunikacyjną to: art. 267 KK (nieuprawniony dostęp do informacji, tzw. hacking — kara grzywny, ograniczenia wolności albo do 2 lat pozbawienia wolności); art. 268 i 268a KK (niszczenie, usuwanie lub utrudnianie dostępu do danych — do 3 lat, a przy danych szczególnie istotnych do 5 lat); art. 269 KK (niszczenie danych o znaczeniu dla obronności, bezpieczeństwa lub administracji — od 6 miesięcy do 8 lat); art. 269a KK (zakłócanie pracy systemu lub sieci teleinformatycznej, czyli klasyczny atak DDoS — od 3 miesięcy do 5 lat); oraz art. 269b KK (wytwarzanie i udostępnianie programów lub haseł służących do tych przestępstw — do 5 lat). Te przepisy stosuje się łącznie, gdy jeden czyn wypełnia znamiona kilku z nich (tzw. kumulatywna kwalifikacja z art. 11 § 2 KK).

Obowiązki operatorów i rola UKE

Operatorzy telekomunikacyjni nie tylko są ofiarami przestępstw, ale też podlegają obowiązkom regulacyjnym, których zaniedbanie rodzi odpowiedzialność administracyjną. Prawo komunikacji elektronicznej (ustawa z 12 lipca 2024 r., zastępująca dawne Prawo telekomunikacyjne) nakłada na przedsiębiorców obowiązki w zakresie bezpieczeństwa i integralności sieci, zgłaszania incydentów oraz blokowania nadużyć, takich jak smishing (fałszywe SMS-y) i spoofing numeru dzwoniącego (CLI). Nadzór sprawuje Prezes UKE, który może nakładać kary pieniężne za naruszenie obowiązków — ich wysokość ustala się indywidualnie, z uwzględnieniem zakresu naruszenia, dotychczasowej działalności i możliwości finansowych podmiotu (nie ma w polskim prawie sztywnego progu „3% przychodów” opisywanego w nierzetelnych źródłach). Dodatkowo ustawa o krajowym systemie cyberbezpieczeństwa zobowiązuje operatorów uznanych za operatorów usług kluczowych do wdrażania zabezpieczeń i raportowania poważnych incydentów do właściwego CSIRT.

Smishing, spoofing i oszustwa w sieci

Coraz częściej „atak na infrastrukturę” oznacza wykorzystanie sieci do oszustwa: podszywanie się pod bank w SMS-ach, fałszowanie numeru dzwoniącego czy phishing prowadzący do wyłudzenia danych logowania. Z perspektywy sprawcy są to przede wszystkim przestępstwa przeciwko mieniu — oszustwo z art. 286 § 1 KK (od 6 miesięcy do 8 lat) oraz oszustwo komputerowe z art. 287 KK (od 3 miesięcy do 5 lat), gdy sprawca wpływa na automatyczne przetwarzanie danych bez upoważnienia w celu osiągnięcia korzyści majątkowej. Często towarzyszy temu kradzież tożsamości z art. 190a § 2 KK oraz fałszowanie dokumentów elektronicznych. Prawo komunikacji elektronicznej daje operatorom i Prezesowi UKE narzędzia do blokowania takich komunikatów, a CSIRT NASK prowadzi listę ostrzeżeń o domenach wyłudzających dane.

Współpraca międzynarodowa w ściganiu cyberprzestępstw

Ataki na infrastrukturę telekomunikacyjną mają zwykle wymiar transgraniczny — sprawca, serwer i ofiara bywają w trzech różnych krajach. Polska jest stroną Konwencji Rady Europy o cyberprzestępczości (Konwencja Budapeszteńska z 2001 r., ratyfikowana przez Polskę w 2014 r.), która ujednolica definicje przestępstw komputerowych i umożliwia szybkie zabezpieczanie dowodów cyfrowych za granicą. W ramach Unii Europejskiej polskie organy współpracują z Europolem (w tym z Europejskim Centrum ds. Walki z Cyberprzestępczością — EC3) oraz korzystają z Europejskiego Nakazu Dochodzeniowego. Praktycznie oznacza to, że odpowiedzialność karna może spotkać sprawcę także wtedy, gdy działał z terytorium innego państwa.

Jak chronić firmę i jak dochodzić roszczeń po ataku

Dla przedsiębiorcy kluczowe są dwa scenariusze. Po pierwsze — zapobieganie: regularne audyty bezpieczeństwa, wdrożenie uwierzytelniania wieloskładnikowego, segmentacja sieci, plan reagowania na incydenty oraz zgodność z wymogami ustawy o krajowym systemie cyberbezpieczeństwa pozwalają ograniczyć ryzyko i wykazać należytą staranność, gdyby doszło do sporu. Po drugie — reakcja na atak: incydent należy udokumentować (logi, zrzuty, korespondencja), zawiadomić policję lub prokuraturę o podejrzeniu przestępstwa, zgłosić naruszenie ochrony danych do Prezesa UODO w ciągu 72 godzin (jeśli wyciekły dane osobowe), a poważny incydent — do właściwego CSIRT. Poszkodowany może też dochodzić odszkodowania na drodze cywilnej (art. 415 i 444 Kodeksu cywilnego) lub w ramach powództwa adhezyjnego w procesie karnym.

Rola obrońcy i pełnomocnika w sprawach telekomunikacyjnych

Sprawy dotyczące infrastruktury telekomunikacyjnej należą do najbardziej technicznych w prawie karnym — wymagają analizy logów, opinii biegłych z informatyki śledczej i precyzyjnej kwalifikacji prawnej. Po stronie obrony adwokat lub radca prawny weryfikuje, czy dowody cyfrowe zabezpieczono prawidłowo, czy nie naruszono procedury, oraz czy zarzut nie został „rozdmuchany” przez kumulatywne stosowanie zbyt wielu przepisów. Po stronie pokrzywdzonego (np. operatora) pełnomocnik formułuje zawiadomienie o przestępstwie, koordynuje z biegłymi i prowadzi dochodzenie roszczeń odszkodowawczych. W obu rolach wartość daje wczesne zaangażowanie prawnika — zanim zapadną nieodwracalne decyzje procesowe.