Nadużycia w komunikacji elektronicznej - jakie kary grożą operatorom?

Bezpieczeństwo infrastruktury i usług telekomunikacyjnych w Polsce reguluje przede wszystkim ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703), która weszła w życie 25 września 2023 r. Nakłada ona na przedsiębiorców telekomunikacyjnych i dostawców poczty elektronicznej obowiązki przeciwdziałania określonym nadużyciom, a za ich niewykonanie przewiduje surowe kary administracyjne. Nadzór nad przestrzeganiem przepisów sprawuje Prezes Urzędu Komunikacji Elektronicznej (UKE), a kluczową rolę techniczną pełni CSIRT NASK.

Jakie nadużycia obejmuje ustawa

Ustawa definiuje cztery główne typy nadużyć: generowanie sztucznego ruchu, smishing (wysyłanie SMS-ów podszywających się pod inny podmiot w celu wyłudzenia danych lub środków), spoofing CLI (podszywanie się pod cudzy numer podczas połączenia głosowego) oraz nieuprawnioną zmianę informacji adresowej. Przedsiębiorcy telekomunikacyjni mają obowiązek blokowania wiadomości SMS zawierających treści zgłoszone przez CSIRT NASK jako smishing oraz blokowania połączeń wykorzystujących spoofing. Dostawcy poczty elektronicznej dla podmiotów publicznych oraz więksi dostawcy (powyżej 500 000 użytkowników) są zobowiązani stosować mechanizmy uwierzytelniania poczty SPF, DMARC i DKIM.

Kary za nieprzestrzeganie obowiązków

Przedsiębiorca telekomunikacyjny lub dostawca poczty elektronicznej, który nie wypełnia obowiązków przewidzianych w ustawie albo dopuszcza się nadużycia w komunikacji elektronicznej, podlega administracyjnej karze pieniężnej w wysokości do 3% przychodu osiągniętego w poprzednim roku kalendarzowym. Karę nakłada Prezes UKE. Ustawa przewiduje także odpowiedzialność karną osób fizycznych za samo dopuszczanie się nadużyć (np. smishingu czy spoofingu) - grozi za to m.in. kara pozbawienia wolności. Warto pamiętać, że to odrębny reżim od przepisów Kodeksu karnego o oszustwie (art. 286 KK).

Wymiar międzynarodowy i transgraniczny

Przestępstwa wymierzone w infrastrukturę telekomunikacyjną często mają charakter transgraniczny. Podstawowym instrumentem współpracy międzynarodowej jest Konwencja Rady Europy o cyberprzestępczości z 2001 r. (Konwencja budapeszteńska), którą Polska ratyfikowała. Ułatwia ona zabezpieczanie dowodów elektronicznych i ściganie sprawców w różnych jurysdykcjach, a koordynację wspierają instytucje takie jak Europol i Interpol. W obszarze cyberbezpieczeństwa istotne znaczenie mają również przepisy unijne, w tym dyrektywa NIS2 wdrażana do prawa krajowego.