Z dniem 21 lipca 2026 r. weszła w życie ustawa z dnia 15 maja 2026 r. o zmianie ustawy – Kodeks karny (Dz. U. z 2026 r. poz. 902), ogłoszona w Dzienniku Ustaw w dniu 6 lipca 2026 r. Nowelizacja stanowi dopełnienie transpozycji art. 7 dyrektywy Parlamentu Europejskiego i Rady 2013/40/UE z dnia 12 sierpnia 2013 r. dotyczącej ataków na systemy informatyczne, którego — jak przyjęto w uzasadnieniu projektu — Rzeczpospolita Polska nie wdrożyła dotychczas w pełnym zakresie. Choć zmiana jest redakcyjnie minimalna i sprowadza się do przeredagowania jednego odesłania, jej konsekwencje praktyczne dla całego środowiska bezpieczeństwa teleinformatycznego są nieproporcjonalnie duże.
Na czym polega zmiana
W dotychczasowym brzmieniu art. 269b § 1 k.k. penalizował wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie innym osobom urządzeń lub programów komputerowych przystosowanych do popełnienia szeregu przestępstw wskazanych w tym przepisie, przy czym w odniesieniu do rozdziału XXXIII Kodeksu karnego odesłanie obejmowało wyłącznie art. 267 § 3 k.k., a więc czyn polegający na bezprawnym zakładaniu lub posługiwaniu się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem w celu uzyskania informacji, do której sprawca nie jest uprawniony. Nowelizacja zastąpiła to odesłanie odesłaniem do art. 267 § 1–3 k.k. W konsekwencji zakresem kryminalizacji objęte zostały również narzędzia przystosowane do popełnienia przestępstwa nielegalnego przechwytywania informacji (art. 267 § 1 k.k.) oraz nieuprawnionego dostępu do całości lub części systemu informatycznego (art. 267 § 2 k.k.).
Przepis w brzmieniu obowiązującym od 21 lipca 2026 r. stanowi, że karze pozbawienia wolności od 3 miesięcy do lat 5 podlega ten, kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego w art. 165 § 1 pkt 4, art. 267 § 1–3, art. 268a § 1 albo § 2 w związku z § 1, art. 269 § 1 lub 2, art. 269a, art. 270 § 1 albo art. 270a § 1, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym, systemie teleinformatycznym lub sieci teleinformatycznej.
Istota problemu nie leży zatem w zaostrzeniu sankcji — ta pozostała niezmieniona — lecz w tym, że przedmiotem czynności wykonawczej stała się obecnie cała kategoria oprogramowania, które stanowi podstawowe wyposażenie warsztatu każdego specjalisty od bezpieczeństwa teleinformatycznego. Skanery podatności, narzędzia do łamania haseł, sniffery ruchu sieciowego czy dystrybucje systemów operacyjnych agregujące te narzędzia są bowiem, oceniane wyłącznie przez pryzmat swojej funkcjonalności, urządzeniami i programami przystosowanymi do uzyskania nieuprawnionego dostępu do systemu informatycznego.
Dlaczego znamię „przystosowania” jest dziś kluczowe dla obrony
Ustawodawca nie wprowadził do art. 269b § 1 k.k. znamienia celu, w jakim sprawca wytwarza, pozyskuje, zbywa lub udostępnia narzędzie. Brak ten stanowi zasadniczą różnicę wobec konstrukcji przyjętej w dyrektywie 2013/40/UE, która nakazuje penalizację takich zachowań wyłącznie wówczas, gdy podejmowane są one z zamiarem wykorzystania narzędzia do popełnienia przestępstwa, oraz przewiduje wyłączenie odpowiedzialności w odniesieniu do narzędzi tworzonych i wykorzystywanych na potrzeby autoryzowanego testowania lub ochrony systemów. Cały ciężar rozgraniczenia zachowań legalnych i bezprawnych przeniesiony został tym samym na wykładnię znamienia „przystosowania” oraz na stronę podmiotową czynu.
Kierunek obrony w sprawach opartych na art. 269b § 1 k.k. wyznaczają w związku z tym trzy równoległe linie argumentacyjne. Pierwsza opiera się na wykładni prounijnej: skoro przepis krajowy stanowi transpozycję dyrektywy, jego zakres nie może wykraczać poza zakres kryminalizacji przewidziany aktem transponowanym, co przemawia za zawężającą interpretacją znamienia „przystosowania” i za wyłączeniem z jego zakresu narzędzi o charakterze dwuzastosowaniowym, których podstawowe przeznaczenie ma charakter diagnostyczny, audytowy lub ochronny. Druga koncentruje się na stronie podmiotowej — przestępstwo z art. 269b § 1 k.k. jest przestępstwem umyślnym, a zatem oskarżyciel obowiązany jest wykazać co najmniej godzenie się sprawcy na to, że pozyskiwane bądź udostępniane narzędzie jest narzędziem przystosowanym do popełnienia przestępstwa; w realiach pracy audytora bezpieczeństwa, działającego na podstawie umowy i pisemnego upoważnienia, ustalenie takiego zamiaru jest zadaniem daleko trudniejszym, niż zwykle zakłada się na etapie postępowania przygotowawczego. Trzecia odwołuje się do materialnej treści przestępstwa i do art. 1 § 2 k.k. — czyn pozbawiony społecznej szkodliwości w stopniu wyższym niż znikomy nie stanowi przestępstwa, a legalny test penetracyjny prowadzony w granicach udzielonego upoważnienia takiego ładunku bezprawia nie niesie.
Odrębnego podkreślenia wymaga okoliczność, że samo posiadanie narzędzia nie zostało wskazane wśród czynności wykonawczych. Znamiona czasownikowe obejmują wytwarzanie, pozyskiwanie, zbywanie i udostępnianie, co oznacza, że przedmiotem dowodzenia musi pozostawać konkretna czynność sprawcza, nie zaś stan rzeczy ujawniony w toku przeszukania. Rozróżnienie to bywa w praktyce zacierane, a jego konsekwentne podnoszenie ma istotne znaczenie procesowe, zwłaszcza gdy oprogramowanie zostało zainstalowane na nośniku przed dniem wejścia w życie nowelizacji.
Podmiot świadczący usługi z zakresu ofensywnego testowania bezpieczeństwa działa obecnie w warunkach, w których jedynym realnym zabezpieczeniem przed zarzutem z art. 269b § 1 k.k. oraz z art. 267 § 2 k.k. pozostaje precyzyjna dokumentacja zlecenia. Zgoda dysponenta systemu wyłącza bezprawność zachowania wyłącznie w granicach, w jakich została udzielona, a granice te wyznacza treść dokumentu, nie zaś intencje stron. W praktyce oznacza to konieczność jednoznacznego określenia zakresu przedmiotowego testu poprzez wskazanie adresacji, domen i systemów objętych upoważnieniem, wskazania ram czasowych, wyraźnego wyliczenia dopuszczalnych technik oraz — co bywa pomijane — potwierdzenia, że osoba udzielająca upoważnienia jest uprawniona do dysponowania danym zasobem. Szczególne ryzyko powstaje w środowiskach chmurowych oraz przy korzystaniu z infrastruktury podmiotów trzecich, gdzie zleceniodawca często nie jest w ogóle władny udzielić skutecznej zgody co do warstwy, na której faktycznie prowadzony jest test.
Odrębnym zagadnieniem pozostaje sytuacja badacza działającego bez uprzedniego zlecenia, który ujawnia podatność i zgłasza ją administratorowi systemu. Zgłoszenie dokonane po fakcie nie konwaliduje wcześniejszego dostępu, a dobre intencje zgłaszającego nie stanowią samodzielnej przesłanki wyłączającej odpowiedzialność karną. Publikacja kodu weryfikującego podatność — nawet po upływie uzgodnionego okresu embarga i nawet w celach czysto edukacyjnych — może natomiast zostać zakwalifikowana jako udostępnienie innym osobom programu przystosowanego do popełnienia przestępstwa. Ocena taka jest w naszej ocenie sporna i podatna na skuteczną polemikę, jednak sam fakt, iż jest ona dziś prawnie możliwa, powinien skłaniać do ostrożności w formułowaniu polityk ujawniania podatności.
Działy IT i dostawcy usług zarządzanych
Nowelizacja oddziałuje również na podmioty, które nie prowadzą działalności ofensywnej. Administrator utrzymujący repozytorium narzędzi diagnostycznych, dział bezpieczeństwa gromadzący próbki złośliwego oprogramowania do celów analitycznych czy zespół reagowania na incydenty korzystający z narzędzi odzyskiwania haseł znajdują się w zakresie znamion czasownikowych „pozyskuje” i „udostępnia”. Ryzyko to jest w znacznej mierze możliwe do ograniczenia środkami organizacyjnymi: przez wprowadzenie wewnętrznej polityki określającej katalog dopuszczonych narzędzi wraz z uzasadnieniem ich zastosowania, przez prowadzenie rejestru osób upoważnionych do korzystania z nich, przez ograniczenie dostępu do wyodrębnionych i odseparowanych środowisk oraz przez wprowadzenie do umów o pracę i umów o świadczenie usług postanowień jednoznacznie określających dozwolony zakres wykorzystania takiego oprogramowania. Dokumentacja ta pełni podwójną funkcję — porządkuje procesy wewnętrzne, a w razie wszczęcia postępowania stanowi materiał dowodowy przemawiający przeciwko przypisaniu zamiaru.
Warto odnotować, że obowiązki te zbiegają się w czasie z obowiązkami wynikającymi ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, wdrażającej dyrektywę NIS2. Podmioty kluczowe i ważne, przygotowujące obecnie dokumentację systemu zarządzania bezpieczeństwem informacji, mogą i powinny objąć nią również zasady posługiwania się narzędziami testowymi.
Skutki uboczne skazania
Skazanie za czyn z art. 269b § 1 k.k. rodzi konsekwencje wykraczające poza wymiar kary. Przepis przewiduje orzeczenie przepadku przedmiotów, którymi posłużył się sprawca, co w warunkach działalności zawodowej oznacza utratę sprzętu stanowiącego podstawowe narzędzie pracy. Prawomocne skazanie za przestępstwo przeciwko ochronie informacji może nadto skutkować utratą możliwości wykonywania określonych funkcji w podmiotach objętych reżimem ustawy o krajowym systemie cyberbezpieczeństwa, która przewiduje weryfikację niekaralności osób obsługujących obszar cyberbezpieczeństwa. Dla specjalisty branży oznacza to realne ryzyko wykluczenia zawodowego.
Do czynów popełnionych przed dniem 21 lipca 2026 r. zastosowanie znajduje reguła wyrażona w art. 4 § 1 k.k., zgodnie z którą stosuje się ustawę nową, chyba że ustawa obowiązująca poprzednio jest względniejsza dla sprawcy. Rozszerzenie zakresu kryminalizacji nie może zatem objąć zachowań podjętych przed tą datą, a próby oparcia zarzutu na nowym brzmieniu przepisu w odniesieniu do wcześniejszych czynności wykonawczych powinny spotkać się ze stanowczą reakcją obrony. Zagadnienie to nabiera szczególnego znaczenia przy czynach o charakterze rozciągniętym w czasie oraz przy konstrukcji czynu ciągłego.
Podsumowanie
Nowelizacja z 15 maja 2026 r. nie tworzy nowego typu czynu zabronionego, lecz przesuwa granicę kryminalizacji na etap poprzedzający jakikolwiek atak — na moment wejścia w posiadanie narzędzia. Dla podmiotów działających w branży bezpieczeństwa teleinformatycznego oznacza to, że legalność ich działalności w coraz większym stopniu zależy nie od tego, co faktycznie zrobiły, lecz od tego, w jaki sposób to udokumentowały. Uporządkowanie umów, upoważnień i wewnętrznych polityk narzędziowych jest dziś najtańszą dostępną formą zarządzania ryzykiem karnym.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna
Stan prawny na dzień 29 lipca 2026 r.
Autor:
Redaktor cyklu:
