Zatrważające informacje o KSeF. Polskie firmy i bezpieczeństwo państwa zagrożone

Grzegorz Świderski przedstawił szokujące informacje na temat niedawno wdrożonego systemu KSeF.

Według Świderskiego KSeF to system szpiegowski, który odbiera suwerenność cyfrową i biznesową. Na poparcie swojej tezy przedstawił - w jego ocenie - cztery podstawowe fakty z publicznej dokumentacji technicznej Ministerstwa Finansów:

• Bramka bezpieczeństwa KSeF, przez którą przechodzi cały ruch i wszystkie faktury, jest obsługiwana przez firmę Imperva. To amerykańska firma założona przez oficera izraelskiego wywiadu, obecnie należąca do francuskiego koncernu Thales (kontrolowanego przez Francję). Oznacza to, że dostęp do danych mają trzy obce wywiady: amerykański, francuski i izraelski (serwery analityczne stoją w Izraelu).
• Przez bramkę przepływają jawne metadane (numer KSeF, numer faktury, data, sumy netto/brutto/VAT, typ faktury), które są rutynowo logowane i zapisywane na serwerach firmy.
• Same faktury są dodatkowo szyfrowane aplikacyjnie tylko w jedną stronę (od podatnika do MF). Przy pobieraniu faktur z MF ruch w drugą stronę nie jest szyfrowany na bramce, więc pełne treści faktur są widoczne dla firmy Imperva, a dane historyczne mogą być w każdej chwili analizowane.
• Polska jako jedyna na świecie wdrożyła taką architekturę, w której oddała bramkę bezpieczeństwa zagranicznej firmie wywiadowczej. Inne państwa tworzą takie systemy własnymi siłami.

Wysłuchaj nagrania: https://www.youtube.com/watch?v=7shFMzH1wAA

Jeśli powyższe wiadomości okażą się prawdziwe, to mamy do czynienia z bezprecedensowym złamaniem przepisów krajowych oraz unijnych i zagrożeniem dla polskiej gospodarki o niespotykanej dotąd skali. Ponadto zaistniałą sytuację można rozpatrywać w kierunku podejrzenia szpiegostwa i zdrady stanu.

KSeF - zagrożenia dla firm i skutki wycieku danych gospodarczych

1. Dostęp i wykorzystanie danych przez obce wywiady gospodarcze

Nieuprawniony dostęp do platformy zbierającej faktury umożliwia profilowanie całych sektorów polskiej gospodarki. Analiza powiązań finansowych pozwala na identyfikację kluczowych łańcuchów dostaw (zwłaszcza w branżach wrażliwych: zbrojeniowej, IT, energetycznej, farmaceutycznej i logistycznej).

2. Szpiegostwo gospodarcze na niespotykaną skalę

Obce podmioty i konkurencja międzynarodowa mogą uzyskać nieuzasadnioną przewagę rynkową poprzez stały wgląd w krytyczne wskaźniki operacyjne polskich przedsiębiorstw.

3. Tworzenie narzędzi do przejmowania, osłabiania i niszczenia polskich firm

Szczegółowa wiedza o strukturze transakcji i przepływach finansowych stwarza ryzyko:

• Prześwietlenia łańcucha dostawców i odbiorców: Ujawnienie danych kontrahentów pozwala zagranicznej konkurencji na bezpośrednie dotarcie do dostawców i składanie im korzystniejszych ofert (przejmowanie relacji handlowych).
• Pełnej analizy struktury kosztów i marżowości: Ujawnienie dokładnej rentowności produktów/usług stwarza możliwość celowego podkopywania rynku poprzez skrojony na miarę dumping cenowy.
• Identyfikacji problemów z płynnością (Wrogie przejęcia): Wykrycie chwilowych zatorów płatniczych lub spadków obrotów daje zagranicznym funduszom i koncernom idealny moment do wrogiego przejęcia firmy za ułamek wartości.
• Szantażu i manipulacji operacyjnych: Wiedza o strategicznych zakupach technologii lub patentów pozwala na blokowanie transakcji na etapie pre-wdrożeniowym.
• Inżynierii społecznej i ataku typu CEO Fraud / Business Email Compromise (BEC): Posiadanie dokładnych danych o kontrahentach, numerach faktur, kwotach i terminach płatności umożliwia generowanie idealnie wiarygodnych fałszywych faktur i wyłudzeń środków finansowych.
• Utraty przewagi innowacyjnej (B+R): Faktury za prace badawczo-rozwojowe, zakupy odczynników, specjalistycznych urządzeń czy usług doradczych zdradzają plany strategiczne i innowacje technologiczne firmy na długo przed wprowadzeniem ich na rynek.

Ochrona prawna przedsiębiorców w polskim systemie prawnym

Potencjalna podatność systemu na wyciek lub dostęp nieuprawnionych podmiotów zewnętrznych staje w sprzeczności z szeregiem przepisów polskiego prawa gwarantujących bezpieczeństwo obrotu gospodarczego i ochronę tajemnicy przedsiębiorstwa:

1. Kontekst Konstytucyjny (Konstytucja RP)

• Wolność działalności gospodarczej (art. 22 Konstytucji RP): Ograniczenie wolności działalności gospodarczej jest dopuszczalne tylko w drodze ustawy i tylko ze względu na ważny interes publiczny. Narażenie firm na nieuprawniony wgląd w ich tajemnice biznesowe stanowi nieproporcjonalną ingerencję w to prawo.
• Ochrona własności i innych praw majątkowych (art. 64 Konstytucji RP): Informacje stanowiące wartość gospodarczą (know-how, baza klientów, polityka cenowa) stanowią niematerialny majątek przedsiębiorstwa, podlegający ochronie prawnej.
• Prawo do ochrony prywatności i autonomii informacyjnej (art. 47 i art. 51 Konstytucji RP): Każdy ma prawo do ochrony życia prywatnego, co w stosunku do podmiotów gospodarczych przekłada się na prawo do autonomii informacyjnej i ochrony tajemnic handlowych przed nieuzasadnionym wglądem organów państwowych lub podmiotów trzecich.

2. Prawo Przedsiębiorców (Ustawa z dnia 6 marca 2018 r.)

• Zasada wolności gospodarczej i pewności prawa (art. 2 i art. 12): Państwo ma obowiązek stwarzania bezpiecznych i przewidywalnych warunków do prowadzenia działalności.
• Zasada zaufania do organizatora obrotu (art. 10 ust. 1): Organ państwowy prowadzi postępowania w sposób budzący zaufanie przedsiębiorców do władzy publicznej. Przymusowe wdrażanie infrastruktury transferującej dane do podmiotów zewnętrznych godzi w tę zasadę.

3. Ustawa o zwalczaniu nieuczciwej konkurencji (z dnia 16 kwietnia 1993 r.)

• Ochrona Tajemnicy Przedsiębiorstwa (art. 11 ust. 2): Przez tajemnicę przedsiębiorstwa rozumie się informacje techniczne, technologiczne, organizacyjne lub inne posiadające wartość gospodarczą. Ujawnienie, wykorzystanie lub pozyskanie cudzych informacji stanowiących tajemnicę przedsiębiorstwa stanowi czyn nieuczciwej konkurencji.
• Odpowiedzialność cywilna: Przedsiębiorca, którego interes został zagrożony lub naruszony przez nieuprawniony wyciek/dostęp do danych, ma prawo żądać zaniechania niedozwolonych działań, usunięcia ich skutków oraz naprawienia wyrządzonej szkody na zasadach ogólnych.

4. Kodeks Karny (Ustawa z dnia 6 czerwca 1997 r.)

• Ujawnienie lub wykorzystanie tajemnicy służbowej / gospodarczej (art. 266 KK): Kto wbrew przepisom prawa lub przyjętemu na siebie zobowiązaniu ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją lub wykonywaną pracą, podlega karze pozbawienia wolności.
• Bezprawne uzyskanie informacji (art. 267 KK): Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej (np. poprzez przełamanie zabezpieczeń lub podgląd danych na bramce sieciowej), podlega karze pozbawienia wolności do lat 2.
• Szpiegostwo gospodarcze (art. 130 KK): Braki w należytym zabezpieczeniu krytycznej infrastruktury informacyjnej państwa przetwarzającej dane gospodarcze mogą ułatwiać prowadzenie działalności na rzecz obcego wywiadu przeciwko Rzeczypospolitej Polskiej.

Analiza opisanego modelu architektury KSeF w kontekście Unijnego Rozporządzenia o Ochronie Danych Osobowych (RODO / GDPR) oraz Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii (NIS2) wykazuje szereg istotnych obszarów ryzyka i potencjalnych niezgodności prawno-regulacyjnych.

I. Analiza Zgodności z RODO (Rozporządzenie UE 2016/679)

Choć faktury kojarzą się głównie z rozliczeniami firm, stanowią one również dane osobowe w rozumieniu art. 4 pkt 1 RODO. Dotyczy to faktur wystawianych na i przez Jednoosobowe Działalności Gospodarcze (JDG), spółki cywilne, a także faktur zawierających imiona, nazwiska, adresy, numery PESEL, numery telefonów czy dane pełnomocników i reprezentantów.

1. Zasada integralności i poufności (art. 5 ust. 1 lit. f RODO)

• Wymóg: Dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.
• Problem w KSeF: Jeżeli dane w ruchu powrotnym (pobieranie faktur z MF przez podatnika) nie są szyfrowane na poziomie aplikacyjnym end-to-end na bramce zewnętrznej, a jedynie na odcinku po przejściu przez węzeł zewnętrznego dostawcy, dochodzi do otwarcia okna podatności. Dostęp dostawcy infrastruktury sieciowej do uniemożliwiających odszyfrowanie treści przesyłanych faktur narusza zasadę bezwzględnej poufności danych osobowych.

2. Bezpieczeństwo przetwarzania i szyfrowanie (art. 32 RODO)

• Wymóg: Administrator i podmiot przetwarzający mają obowiązek wdrażać odpowiednie środki techniczne i organizacyjne, w tym pseudonimizację i szyfrowanie danych osobowych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku.
• Problem w KSeF: Szyfrowanie jednostronne (tylko w kierunku do MF) przy jawności metadanych oraz potencjalnym braku szyfrowania transmisji zwrotnej jest rozwiązaniem niepełnym. Zgodnie z wytycznymi Europejskiej Rady Ochrony Danych (EROD), klucze szyfrujące i odszyfrowujące nie powinny znajdować się w dyspozycji podmiotów trzecich, nad którymi państwo/administrator nie ma pełnej kontroli jurysdykcyjnej.

3. Przekazywanie danych do państw trzecich (art. 44–49 RODO)

• Wymóg: Transfer danych osobowych poza Europejski Obszar Gospodarczy (EOG) – np. do Izraela lub USA – wymaga spełnienia rygorystycznych warunków (np. decyzji Komisji Europejskiej o adekwatności ochrony, standardowych klauzul umownych lub wiążących reguł korporacyjnych).

    Problem w KSeF:

•         Jeśli serwery analityczne lub infrastruktura logująca dostawcy (Imperva/Thales) znajdują się poza EOG (np. w Izraelu lub USA), następuje legalny lub faktyczny transfer danych osobowych do państwa trzeciego.
•         W przypadku transferów do USA (lub podmiotów amerykańskich) podmioty te podlegają jurysdykcji amerykańskich ustaw wywiadowczych (np. FISA Section 702 oraz CLOUD Act), co pozwala służbom USA na żądanie dostępu do danych bez powiadamiania podmiotu danych. Taki stan rzeczy został zakwestionowany przez TSUE w słynnym wyroku Schrems II.

4. Powierzenie przetwarzania danych (art. 28 RODO)

• Wymóg: Korzystanie z usług podmiotu przetwarzającego (procesora) wymaga zawarcia umowy powierzenia, która gwarantuje, że procesor stosuje wystarczające środki ochrony i przetwarza dane wyłącznie na udokumentowane polecenie administratora (MF).
• Problem w KSeF: Przyznanie zewnętrznemu dostawcy uprawnień do logowania metadanych oraz potencjalnego wglądu w ruch niezaszyfrowany stwarza ryzyko, że dane te mogą być przetwarzane w celach własnych dostawcy (np. telemetrycznych, analitycznych lub na potrzeby spełnienia wymogów prawnych państwa swojej siedziby), co stanowi bezpośrednie naruszenie art. 28 RODO.

5. Ocena skutków dla ochrony danych – DPIA (art. 35 RODO)

• System o tak masowej skali (obejmujący całą gospodarkę narodową) wymaga przeprowadzenia skrajnie rygorystycznej Oceny Skutków dla Ochrony Danych (DPIA). Jeżeli DPIA nie uwzględniała ryzyka przejęcia wglądu w dane przez zagraniczne służby państw trzecich poprzez zewnętrzną bramkę bezpieczeństwa, proces oceny ryzyka należy uznać za wadliwy.

II. Analiza Zgodności z Dyrektywą NIS2 (UE 2022/2555)

Dyrektywa NIS2 stawia sobie za cel podniesienie poziomu cyberbezpieczeństwa w całej Unii, nakładając surowe wymogi na podmioty kluczowe i ważne, w tym na infrastrukturę cyfrową administracji publicznej.

1. Bezpieczeństwo łańcucha dostaw (Supply Chain Security – art. 21 ust. 2 lit. d NIS2)

• Wymóg: Podmioty zobowiązane muszą uwzględniać podatności właściwe dla każdego bezpośredniego dostawcy oraz ogólną jakość produktów i praktyki cyberbezpieczeństwa swoich dostawców, w tym ich procedury bezpiecznego rozwoju oprogramowania.
• Problem w KSeF: Oddanie kluczowego elementu infrastruktury chroniącej system państwowy podmiotowi powiązanemu z zagranicznymi strukturami państwowymi/wywiadowczymi generuje ryzyko dostawcy (vendor risk) najwyższego stopnia. Z punktu widzenia NIS2, wprowadzenie "obcej jurysdykcji" do łańcucha dostaw krytycznej infrastruktury państwa stanowi rażące uchybienie w zarządzaniu ryzykiem w łańcuchu dostaw.

2. Środki zarządzania ryzykiem w cyberbezpieczeństwie (art. 21 ust. 2 lit. g i h NIS2)

• Wymóg: Dyrektywa wymaga stosowania:
•         Dobrych praktyk w zakresie podstawowej higieny cybernetycznej i szkoleń w zakresie cyberbezpieczeństwa.
•         Polityk i procedur dotyczących stosowania kryptografii oraz, w stosownych przypadkach, szyfrowania.
• Problem w KSeF: Oparcie bezpieczeństwa systemu państwowego na szyfrowaniu, które kończy się lub ulega odszyfrowaniu na bramce podmiotu trzeciego, narusza zasadę Zero Trust (brak zaufania do pośredników) zalecaną w nowoczesnych architektach bezpieczeństwa NIS2.

3. Ochrona przed nieuprawnionym dostępem i państwowym szpiegostwem cyfrowym

• NIS2 ma na celu wzmocnienie autonomii strategicznej i suwerenności cyfrowej Unii Europejskiej. Uwarunkowanie funkcjonowania kluczowego systemu podatkowego państwa członkowskiego od rozwiązań technicznych i prawnych państw spoza UE (USA, Izrael) stoi w bezpośredniej sprzeczności z duchem i celami Dyrektywy NIS2, której zadaniem jest ochrona unijnej infrastruktury przed presją i infiltracją ze strony państw trzecich.

Podsumowanie i Wnioski