Art. 33 KSC
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (nieurzędowy) według stanu na 4 lipca 2026 r.: tekst jednolity Dz.U. 2026 poz. 20 ze zmianami z Dz.U. 2026 poz. 252 i Dz.U. 2026 poz. 815. Obecne brzmienie co najmniej od tekstu jednolitego z 4 lipca 2026 r.
Art. 33.
1.
CSIRT MON, CSIRT NASK lub CSIRT GOV może przeprowadzić badanie produktu ICT lub usługi ICT w celu identyfikacji podatności, której wykorzystanie może zagrozić w szczególności integralności, poufności, rozliczalności, autentyczności lub dostępności przetwarzanych danych, które może mieć wpływ na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa.
1a.
Badanie, o którym mowa w ust. 1, przeprowadza się także na pisemny wniosek Pełnomocnika lub przewodniczącego Kolegium, skierowany do organu prowadzącego lub nadzorującego właściwy CSIRT.
1b.
Badanie, o którym mowa w ust. 1, przeprowadza się w środowisku testowym i nie może ono wpłynąć na ciągłość świadczenia usług przez podmioty kluczowe lub podmioty ważne.
1c.
CSIRT MON, CSIRT NASK i CSIRT GOV, prowadząc badanie, o którym mowa w ust. 1, są uprawnieni do stosowania technik mających na celu:
1)
obserwację i analizę pracy produktu ICT lub usługi ICT;
2)
uzyskanie dostępu do przetwarzanych danych;
3)
odtworzenie postaci źródłowej produktu ICT lub usługi ICT;
4)
zwielokrotnienie (powielenie) kodu programowego oraz tłumaczenie (translacja) jego formy;
5)
odtworzenie algorytmu przetwarzania danych;
6)
identyfikację realizowanych funkcji;
7)
usunięcie lub przełamanie zabezpieczeń przed badaniem;
8)
identyfikację podatności lub identyfikację nieudokumentowanych funkcji realizowanych przez produkt ICT lub usługę ICT.
1d.
CSIRT MON, CSIRT NASK i CSIRT GOV w czasie prowadzenia badania, o którym mowa w ust. 1, nie są związane postanowieniami umów, w szczególności umów licencyjnych, badanych produktów ICT lub usług ICT, które ograniczyłyby możliwość przeprowadzenia tego badania.
1e.
Badanie, o którym mowa w ust. 1:
1)
nie narusza autorskich praw osobistych oraz majątkowych, oraz 2) nie wymaga zgody licencjodawcy lub dysponenta produktu ICT lub usługi ICT.
1f.
Postanowienia umów sprzeczne z ust. 1–1e są nieważne.
2.
CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując badanie produktu ICT, usługi ICT lub procesu ICT, informuje pozostałe CSIRT poziomu krajowego o fakcie podjęcia badań oraz o produkcie ICT lub usłudze ICT, których badanie dotyczy.
3.
CSIRT MON, CSIRT NASK lub CSIRT GOV w przypadku identyfikacji podatności, o której mowa w ust. 1, składa wniosek w sprawie rekomendacji, o których mowa w ust. 4.
4.
Pełnomocnik po uzyskaniu opinii Kolegium wydaje, zmienia lub odwołuje rekomendacje dotyczące stosowania produktów ICT lub usług ICT, w szczególności w zakresie wpływu na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa.
4a.
W przypadku uzyskania przez Pełnomocnika informacji o cyberzagrożeniu, która UprawdopodobnienieŚrodek zastępczy dowodu: wystarczy wykazać, że twierdzenie jest prawdopodobne, bez pełnego udowodnienia. Stosuje się go tylko tam, gdzie ustawa na to pozwala, np. przy zabezpieczeniu.Objaśnienie redakcyjne, nie jest tekstem ustawy.Orzeczenia o tym pojęciu możliwość wystąpienia incydentu krytycznego, Pełnomocnik może wydać rekomendacje, o których mowa w ust. 4, z urzędu.
4b.
Przed wydaniem rekomendacji w trybie ust. 4a, Pełnomocnik przeprowadza konsultację z CSIRT MON, CSIRT NASK lub CSIRT GOV.
4c.
Rekomendacje, o których mowa w ust. 4, a także informację o ich zmianie lub odwołaniu, Pełnomocnik publikuje na swojej stronie podmiotowej Biuletynu Informacja publicznaInformacja o sprawach publicznych, w szczególności o działalności władz publicznych i gospodarowaniu majątkiem publicznym. Co do zasady podlega udostępnieniu na zasadach określonych w ustawie.Objaśnienie redakcyjne, nie jest tekstem ustawy.Orzeczenia o tym pojęciu.
5.
Podmiot krajowego systemu cyberbezpieczeństwa może wnieść do Pełnomocnika zastrzeżenia do rekomendacji dotyczących stosowania produktów ICT lub usług ICT, z uwagi na ich negatywny wpływ na świadczoną usługę lub realizowane zadanie publiczne, nie później niż w terminie 14 dni od dnia publikacji rekomendacji na stronie podmiotowej Biuletynu Informacji Publicznej Pełnomocnika.
6.
Pełnomocnik odnosi się do zastrzeżeń otrzymanych w trybie ust. 5 niezwłocznie, jednak nie później niż w terminie 14 dni od dnia ich otrzymania, i podtrzymuje rekomendacje dotyczące stosowania produktów ICT lub usług ICT albo wydaje zmienione rekomendacje.
7.
Podmiot krajowego systemu cyberbezpieczeństwa informuje Pełnomocnika, na jego wniosek, o sposobie i zakresie uwzględnienia rekomendacji dotyczących stosowania produktów ICT lub usług ICT.
8.
Nieuwzględnienie rekomendacji dotyczących stosowania produktów ICT lub usług ICT stanowi podstawę do wystąpienia przez Pełnomocnika do organu sprawującego nadzór nad podmiotem, o którym mowa w ust. 7, z informacją o ich nieuwzględnieniu.
9.
CSIRT MON, CSIRT NASK lub CSIRT GOV przeprowadzający badanie mogą zwrócić się do producenta badanego produktu ICT lub dostawcy badanej usługi ICT o przekazanie dokumentacji. Przepisy art. 53c stosuje się odpowiednio. O zwróceniu się do producenta, jak również o nieprzekazaniu przez producenta dokumentacji w terminie, CSIRT przeprowadzający badanie informuje ministra właściwego do spraw informatyzacji.
Orzeczenia do art. 33 KSC
Nie znaleźliśmy orzeczeń powołujących ten przepis.
