Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej¹⁾²⁾³⁾

Zakazane są nadużycia w komunikacji elektronicznej, w szczególności:

Nie stanowi nieuprawnionej zmiany informacji adresowej zmiana wyłącznie adresu IP użytkownika wysyłającego komunikat.

Przedsiębiorca telekomunikacyjny jest obowiązany do podejmowania proporcjonalnych środków organizacyjnych i technicznych mających na celu zapobieganie nadużyciom w komunikacji elektronicznej i ich zwalczanie.

CSIRT NASK na podstawie krótkich wiadomości tekstowych (SMS) otrzymanych od odbiorców tych wiadomości oraz informacji otrzymanych od przedsiębiorców telekomunikacyjnych i innych podmiotów monitoruje występowanie smishingu.

CSIRT NASK na podstawie wyników monitorowania, o którym mowa w ust. 1, tworzy wzorzec wiadomości wyczerpującej znamiona smishingu, zwany dalej „wzorcem wiadomości”.

CSIRT NASK zapewnia funkcjonowanie systemu teleinformatycznego służącego do udostępniania i przekazywania informacji o wystąpieniu smishingu wraz ze wzorcem wiadomości oraz jest administratorem danych przetwarzanych w tym systemie.

CSIRT NASK za pośrednictwem systemu, o którym mowa w ust. 3, zapewnia dostęp do informacji o występowaniu smishingu wraz ze wzorcami wiadomości Komendantowi Centralnego Biura Zwalczania Cyberprzestępczości, Prezesowi UKE i przedsiębiorcom telekomunikacyjnym.

CSIRT NASK za pośrednictwem systemu, o którym mowa w ust. 3, przekazuje przedsiębiorcy telekomunikacyjnemu informacje o wystąpieniu smishingu wraz ze wzorcem wiadomości.

Podmioty, o których mowa w ust. 4, w celu wymiany informacji o występowaniu smishingu wraz ze wzorcami wiadomości są obowiązane do korzystania z systemu, o którym mowa w ust. 3.

Wzorzec wiadomości CSIRT NASK udostępnia na swojej stronie internetowej, nie wcześniej niż w terminie 14 dni i nie później niż w terminie 21 dni od dnia jego przekazania przedsiębiorcy telekomunikacyjnemu w sposób, o którym mowa w ust. 5.

CSIRT NASK w przypadku uznania, że:

- niezwłocznie informuje o tym podmioty, o których mowa w ust. 4, oraz zamieszcza na swojej stronie internetowej informacje o okresie, w jakim wzorzec wiadomości obowiązywał.

CSIRT NASK przetwarza dane pozyskane w związku z monitorowaniem występowania smishingu na zasadach określonych w art. 39 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

CSIRT NASK przyjmuje od odbiorców krótkich wiadomości tekstowych (SMS) zgłoszenia dotyczące wiadomości, co do których istnieje podejrzenie, że ich treść wyczerpuje znamiona smishingu, pod numerem skróconym 8080.

Przedsiębiorca telekomunikacyjny zapewnia swoim użytkownikom końcowym oraz CSIRT NASK możliwość bezpłatnego korzystania z numeru skróconego 8080, które polega na przekazywaniu do CSIRT NASK krótkich wiadomości tekstowych (SMS) zgłoszonych na numer skrócony 8080 oraz bezpłatną wysyłkę krótkich wiadomości tekstowych (SMS) z tego numeru przez CSIRT NASK.

Nadawca krótkiej wiadomości tekstowej (SMS) może wnieść do Prezesa UKE sprzeciw wobec zablokowania, o którym mowa w art. 6 pkt 1.

Sprzeciw, o którym mowa w ust. 1, zawiera:

Sprzeciw, o którym mowa w ust. 1, opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym i wnosi się na adres do doręczeń elektronicznych Prezesa UKE.

Sprzeciw, o którym mowa w ust. 1, niespełniający wymagań, o których mowa w ust. 2 i 3, pozostawia się bez rozpoznania.

Prezes UKE:

Prezes UKE, rozpatrując sprzeciw, o którym mowa w art. 7 ust. 1:

W przypadku uwzględnienia sprzeciwu, o którym mowa w art. 7 ust. 1, Prezes UKE nakazuje CSIRT NASK niezwłoczną, nie później niż w terminie 3 dni od dnia uwzględnienia tego sprzeciwu, zmianę wzorca wiadomości w taki sposób, aby krótka wiadomość tekstowa (SMS) o treści, o której mowa w art. 7 ust. 2 pkt 1, nie była blokowana.

Nieuwzględnienie sprzeciwu, o którym mowa w art. 7 ust. 1, jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego.

Prezes UKE może pisemnie upoważnić pracownika Urzędu Komunikacji Elektronicznej do wykonywania czynności, o których mowa w ust. 1-3.

Do postępowania w sprawie rozpatrzenia sprzeciwu, o którym mowa w art. 7 ust. 1, przepisów ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 i 803) nie stosuje się.

Przedsiębiorca telekomunikacyjny może blokować krótkie wiadomości tekstowe (SMS), zawierające treść wyczerpującą znamiona smishingu, inną niż treść wzorca wiadomości, za pomocą systemu teleinformatycznego pozwalającego na automatyczną identyfikację takich wiadomości.

Przedsiębiorca telekomunikacyjny może blokować wiadomości multimedialne (MMS), w których nadawca podszywa się pod inny podmiot w celu nakłonienia odbiorcy tej wiadomości do określonego zachowania, w szczególności przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, inicjowania połączenia głosowego lub instalacji oprogramowania. Blokowanie odbywa się za pomocą systemu teleinformatycznego pozwalającego na automatyczną identyfikację takich wiadomości.

CSIRT NASK prowadzi i udostępnia na swojej stronie internetowej wykaz nazw i ich skrótów zastrzeżonych dla podmiotów publicznych jako nadpis wiadomości pochodzącej od tego podmiotu publicznego oraz wariantów tych nazw i skrótów, mogących wprowadzać odbiorcę w błąd co do pochodzenia wiadomości od podmiotu publicznego, zwany dalej „wykazem nadpisów podmiotów publicznych”.

CSIRT NASK za pośrednictwem systemu, o którym mowa w art. 4 ust. 3, zapewnia dostęp do wykazu nadpisów podmiotów publicznych Komendantowi Centralnego Biura Zwalczania Cyberprzestępczości, Prezesowi UKE i przedsiębiorcom telekomunikacyjnym.

Podmiot publiczny może złożyć do CSIRT NASK wniosek o wpis albo o zmianę wpisu w wykazie nadpisów podmiotów publicznych w zakresie go dotyczącym. Wniosek może dotyczyć zastrzeżenia nazwy lub skrótu jako nadpisu dla wiadomości wysłanej w związku z wykonywaniem konkretnego zadania publicznego.

CSIRT NASK może stworzyć warianty nazwy lub skrótu, mogące wprowadzać odbiorcę w błąd co do pochodzenia wiadomości od podmiotu publicznego, zwane dalej „wariantami nazwy lub skrótu”.

Zastrzeżone nazwa lub skrót oraz warianty nazwy lub skrótu, jeżeli zostały stworzone, CSIRT NASK wpisuje w wykazie nadpisów podmiotów publicznych.

Wykaz nadpisów podmiotów publicznych zawiera:

Wpis albo zmiana wpisu w wykazie nadpisów podmiotów publicznych nie może polegać na zastrzeżeniu dla podmiotu publicznego wnioskującego nazwy lub skrótu zastrzeżonych dla innego podmiotu publicznego.

Wniosek, o którym mowa w ust. 3, zawiera dane, o których mowa w ust. 6 pkt 1-4. Wniosek o zmianę wpisu w wykazie zawiera wskazanie danych zmienianych.

CSIRT NASK dokonuje wpisu albo zmiany wpisu w wykazie nadpisów podmiotów publicznych niezwłocznie, nie później niż w terminie 7 dni od dnia otrzymania wniosku, o którym mowa w ust. 3.

CSIRT NASK informuje podmiot publiczny o odmowie wpisu w wykazie nadpisów podmiotów publicznych z powodu, o którym mowa w ust. 7.

Wniosek, o którym mowa w ust. 3, sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym.

Wniosek, o którym mowa w ust. 3, składa się przy użyciu formularza elektronicznego udostępnionego na stronie internetowej CSIRT NASK.

CSIRT NASK pozostawia bez rozpoznania wniosek, o którym mowa w ust. 3, niespełniający wymagań, o których mowa w ust. 8, 11 lub 12, o czym informuje niezwłocznie podmiot publiczny.

CSIRT NASK co najmniej raz w miesiącu aktualizuje wykaz nadpisów podmiotów publicznych na podstawie nowych danych pozyskanych z krajowego rejestru urzędowego podmiotów gospodarki narodowej (REGON).

CSIRT NASK wykreśla wpis z wykazu nadpisów podmiotów publicznych po uzyskaniu informacji o wykreśleniu podmiotu publicznego z krajowego rejestru urzędowego podmiotów gospodarki narodowej (REGON).

CSIRT NASK może aktualizować wykaz nadpisów podmiotów publicznych w zakresie wariantów nazwy lub skrótu.

Wpis, zmiana wpisu oraz wykreślenie wpisu z wykazu nadpisów podmiotów publicznych są czynnościami materialno-technicznymi.

Prezes Głównego Urzędu Statystycznego udostępnia CSIRT NASK dane, o których mowa w art. 45 ust. 1 ustawy z dnia 29 czerwca 1995 r. o statystyce publicznej (Dz. U. z 2023 r. poz. 773), zawarte w rejestrze podmiotów, o którym mowa w art. 42 ust. 1 tej ustawy, w celu prowadzenia wykazu nadpisów podmiotów publicznych.

Przedsiębiorca w rozumieniu art. 4 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. z 2023 r. poz. 221, 641, 803 i 1414) może złożyć do Prezesa UKE wniosek o wykreślenie z wykazu nadpisów podmiotów publicznych nazwy lub skrótu lub wariantu nazwy lub skrótu.

Wniosek, o którym mowa w ust. 1, może dotyczyć wykreślenia nazwy lub skrótu lub wariantu nazwy lub skrótu, który jest identyczny z:

Wniosek, o którym mowa w ust. 1, zawiera:

Jeżeli przedsiębiorca żąda wykreślenia z wykazu nadpisów podmiotów publicznych nazwy lub skrótu lub wariantu nazwy lub skrótu ze względu na ich identyczność ze skrótem firmy przedsiębiorcy, do wniosku załącza się dokument potwierdzający posługiwanie się przez przedsiębiorcę skrótem firmy. Za dokument potwierdzający posługiwanie się przez przedsiębiorcę skrótem firmy w szczególności uznaje się umowy, wzorce umowne, dowody księgowe oraz pisma przedsiębiorcy kierowane do organów administracji publicznej, w których posłużono się skrótem firmy.

Jeżeli przedsiębiorca żąda wykreślenia z wykazu nadpisów podmiotów publicznych nazwy lub skrótu lub wariantu nazwy lub skrótu ze względu na ich identyczność ze znakiem towarowym, na który udzielono prawa ochronnego, do wniosku załącza się świadectwo ochronne.

Jeżeli dokument potwierdzający posługiwanie się przez przedsiębiorcę skrótem firmy ma postać papierową, do wniosku, o którym mowa w ust. 1, załącza się odwzorowanie cyfrowe tego dokumentu sporządzone przez przedsiębiorcę i opatrzone przez niego kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym potwierdzającym zgodność odwzorowania cyfrowego z dokumentem w postaci papierowej.

Wniosek, o którym mowa w ust. 1, sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym.

Wniosek, o którym mowa w ust. 1, składa się przy użyciu formularza elektronicznego udostępnionego przez Prezesa UKE na stronie internetowej obsługującego go urzędu.

Prezes UKE pozostawia bez rozpoznania wniosek, o którym mowa w ust. 1, niespełniający wymagań, o których mowa w ust. 2-8.

Prezes UKE pozostawia bez rozpoznania wniosek, o którym mowa w ust. 1, zawierający dane sprzeczne z danymi przedsiębiorcy zawartymi w Centralnej Ewidencji i Informacji o Działalności Gospodarczej albo w Krajowym Rejestrze Sądowym.

Prezes UKE rozpoznaje w terminie 14 dni od dnia otrzymania wniosek, o którym mowa w ust. 1, spełniający wymagania, o których mowa w ust. 2-8, oraz zawierający dane zgodne z danymi zawartymi w Centralnej Ewidencji i Informacji o Działalności Gospodarczej albo w Krajowym Rejestrze Sądowym.

Prezes UKE uwzględnia wniosek, o którym mowa w ust. 1, jeżeli nazwa lub skrót lub wariant nazwy lub skrótu, których wykreślenia żąda przedsiębiorca, są identyczne z firmą lub skrótem firmy przedsiębiorcy lub znakiem towarowym, na który udzielono prawa ochronnego, w przeciwnym wypadku odmawia wykreślenia. Odmowa wykreślenia jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego.

Prezes UKE niezwłocznie informuje przedsiębiorcę o pozostawieniu wniosku, o którym mowa w ust. 1, bez rozpoznania wraz z podaniem przyczyny.

W przypadku uwzględnienia wniosku, o którym mowa w ust. 1, Prezes UKE nakazuje CSIRT NASK niezwłoczne, nie później niż w terminie 7 dni od dnia otrzymania informacji o uwzględnieniu tego wniosku, wykreślenie z wykazu nadpisów podmiotów publicznych nazwy lub skrótu lub wariantu nazwy lub skrótu, zgodnie z żądaniem przedsiębiorcy.

W przypadku wykreślenia z wykazu nadpisów podmiotów publicznych nazwy lub skrótu CSIRT NASK w terminie 7 dni od dnia otrzymania informacji o uwzględnieniu wniosku, o którym mowa w ust. 1, tworzy nową nazwę lub skrót dla podmiotu publicznego i wpisuje do tego wykazu, o czym informuje podmiot publiczny.

Prezes UKE może pisemnie upoważnić pracownika Urzędu Komunikacji Elektronicznej do wykonywania czynności, o których mowa w ust. 9-13.

Do postępowania w sprawie rozpatrzenia wniosku, o którym mowa w ust. 1, przepisów ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego nie stosuje się, z wyjątkiem przepisów działu I rozdziału 8 tej ustawy.

Przedsiębiorca telekomunikacyjny blokuje krótkie wiadomości tekstowe (SMS), zawierające nadpis ujęty w wykazie nadpisów podmiotów publicznych, które nie zostały wysłane przez integratora usług SMS wpisanego w wykazie integratorów usług SMS dla podmiotów publicznych, o którym mowa w art. 14 ust. 1.

Przedsiębiorca telekomunikacyjny blokuje krótkie wiadomości tekstowe (SMS), w których jako nadpis został użyty wariant nazwy lub skrótu, zawarty w wykazie nadpisów podmiotów publicznych.

Przedsiębiorca telekomunikacyjny wykonuje obowiązki, o których mowa w ust. 1 i 2, niezwłocznie, nie później niż w terminie 3 dni od dnia wpisania nadpisu lub wariantu nazwy lub skrótu w wykazie nadpisów podmiotów publicznych.

Podmiot publiczny może, na podstawie umowy, zlecać usługę wysyłania krótkich wiadomości tekstowych (SMS) wyłącznie integratorowi usług SMS wpisanemu w wykazie integratorów usług SMS dla podmiotów publicznych.

Integrator usług SMS, wysyłając wiadomość w imieniu podmiotu publicznego, jako nadpis tej wiadomości używa nazwy lub skrótu zastrzeżonych dla danego podmiotu publicznego w wykazie nadpisów podmiotów publicznych.

Prezes UKE prowadzi wykaz, o którym mowa w ust. 1, w systemie teleinformatycznym i udostępnia ten wykaz w Biuletynie Informacji Publicznej na stronie internetowej obsługującego go urzędu.

Wykaz, o którym mowa w ust. 1, zawiera:

W wykazie, o którym mowa w ust. 1, udostępnionym w Biuletynie Informacji Publicznej nie wykazuje się adresu integratora usług SMS będącego osobą fizyczną.

Wniosek o wpis, o zmianę wpisu albo o wykreślenie integratora usług SMS z wykazu, o którym mowa w ust. 1, zawiera dane, o których mowa w ust. 4 pkt 1-6.

Integrator usług SMS składa wniosek o zmianę wpisu w wykazie, o którym mowa w ust. 1, w zakresie danych, o których mowa w ust. 4 pkt 4-6, w terminie 14 dni od dnia ich zmiany. Wniosek o zmianę wpisu w wykazie, o którym mowa w ust. 1, zawiera wskazanie zmienianych danych, numer w tym wykazie oraz oświadczenie, o którym mowa w ust. 8.

Wniosek o wpis albo o zmianę wpisu w wykazie, o którym mowa w ust. 1, zawiera oświadczenie integratora usług SMS o następującej treści: „Świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z art. 233 § 6 Kodeksu karnego oświadczam, że dane zawarte we wniosku są zgodne z prawdą”. Klauzula ta zastępuje pouczenie o odpowiedzialności karnej za złożenie fałszywego oświadczenia.

Wniosek o wpis, o zmianę wpisu albo o wykreślenie integratora usług SMS z wykazu, o którym mowa w ust. 1, sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym.

Wniosek o wpis, o zmianę wpisu albo o wykreślenie integratora usług SMS z wykazu, o którym mowa w ust. 1, składa się przy użyciu formularza elektronicznego udostępnionego przez Prezesa UKE na stronie internetowej obsługującego go urzędu.

Prezes UKE dokonuje wpisu albo zmiany wpisu w wykazie, o którym mowa w ust. 1, w terminie 7 dni od dnia otrzymania wniosku o wpis albo o zmianę wpisu w tym wykazie.

Prezes UKE niezwłocznie wzywa integratora usług SMS do uzupełnienia wniosku niespełniającego wymagań, o których mowa w ust. 6-10, w terminie 7 dni od dnia doręczenia wezwania. Wniosek nieuzupełniony w wyznaczonym terminie pozostawia się bez rozpoznania.

Prezes UKE weryfikuje dane zawarte we wniosku o wpis albo o zmianę wpisu w wykazie, o którym mowa w ust. 1, z danymi zawartymi w rejestrze przedsiębiorców telekomunikacyjnych. W przypadku wystąpienia rozbieżności między danymi zawartymi w rejestrze przedsiębiorców telekomunikacyjnych a danymi zawartymi we wniosku, Prezes UKE przyjmuje dane z tego rejestru, o czym informuje integratora usług SMS.

Prezes UKE aktualizuje wpis w wykazie, o którym mowa w ust. 1, na podstawie danych zawartych w rejestrze przedsiębiorców telekomunikacyjnych.

Wpis, zmiana wpisu oraz wykreślenie integratora usług SMS z wykazu, o którym mowa w ust. 1, są czynnościami materialno-technicznymi.

Prezes UKE wykreśla integratora usług SMS z wykazu, o którym mowa w ust. 1:

Prezes UKE prowadzi, przy pomocy systemu teleinformatycznego, jawny wykaz numerów służących wyłącznie do odbierania połączeń głosowych i udostępnia ten wykaz w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Prezes UKE dokonuje wpisu w wykazie, o którym mowa w ust. 1, na wniosek:

- w zakresie wykorzystywanych przez te podmioty numerów.

Prezes UKE na wniosek przedsiębiorcy telekomunikacyjnego dokonuje wpisu w wykazie, o którym mowa w ust. 1, numerów służących wyłącznie do odbierania połączeń głosowych wykorzystywanych przez przedsiębiorcę telekomunikacyjnego wyłącznie na potrzeby własnego biura obsługi klientów lub infolinii.

Wniosek, o którym mowa w ust. 2 albo 3, zawiera:

Do wniosku, o którym mowa w ust. 2 albo 3, dołącza się dokument potwierdzający prawo do dysponowania numerem, którego ten wniosek dotyczy.

W przypadku gdy wniosek, o którym mowa w ust. 2 albo 3, nie spełnia wymagań, o których mowa w ust. 4, Prezes UKE wzywa wnioskodawcę do uzupełnienia tego wniosku w terminie 7 dni od dnia otrzymania wezwania pod rygorem pozostawienia tego wniosku bez rozpoznania.

Prezes UKE dokonuje wpisu w wykazie, o którym mowa w ust. 1, w terminie 5 dni od dnia otrzymania wniosku, o którym mowa w ust. 2 albo 3, spełniającego wymagania, o których mowa w ust. 4 i 5.

Wpis w wykazie, o którym mowa w ust. 1, jest czynnością materialno-techniczną.

Prezes UKE pozostawia wniosek o wpis w wykazie, o którym mowa w ust. 1, bez rozpoznania, jeżeli wniosek ten został złożony przez podmiot nieuprawniony albo podmiot, któremu Prezes UKE nie przydzielił numeracji na podstawie decyzji, o której mowa w art. 126 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, albo podmiot, który nie wykorzystuje numeracji na podstawie umowy, o której mowa w art. 31 albo art. 128 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, w zakresie numeru wskazanego we wniosku, o którym mowa w ust. 4 pkt 2. Prezes UKE niezwłocznie informuje wnioskodawcę o pozostawieniu wniosku bez rozpoznania.

Wnioskodawca, który złożył wniosek, o którym mowa w ust. 2 albo 3, lub podmiot, który aktualnie korzysta z numeru wpisanego w wykazie, o którym mowa w ust. 1, może złożyć wniosek o wycofanie numeru z tego wykazu.

Do wniosku o wycofanie numeru z wykazu, o którym mowa w ust. 1, przepisy ust. 4-6 i 9 stosuje się odpowiednio.

W przypadku, o którym mowa w ust. 10, Prezes UKE niezwłocznie, jednak nie później niż w terminie 5 dni od dnia otrzymania wniosku o wycofanie numeru z wykazu, o którym mowa w ust. 1, wykreśla go z tego wykazu.

Wniosek, o którym mowa w ust. 2, 3 albo 10, opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym i wnosi się do Prezesa UKE na adres do doręczeń elektronicznych Prezesa UKE.

Wniosek, o którym mowa w ust. 2, 3 albo 10, niespełniający wymagań, o których mowa w ust. 13, pozostawia się bez rozpoznania.

Przedsiębiorca telekomunikacyjny świadczący usługę połączeń głosowych niezwłocznie, nie później niż w terminie 3 dni od dnia wpisu numeru w wykazie, o którym mowa w ust. 1, blokuje połączenia przychodzące do jego sieci z wykorzystaniem numeru wpisanego w tym wykazie.

Przedsiębiorca telekomunikacyjny zaprzestaje blokowania połączeń przychodzących do jego sieci z wykorzystaniem numeru wpisanego w wykazie, o którym mowa w ust. 1, w terminie 3 dni od dnia wykreślenia numeru z tego wykazu.

W celu realizacji obowiązków, o których mowa w art. 16, przedsiębiorca telekomunikacyjny stosuje środki organizacyjne i techniczne służące monitorowaniu, wykrywaniu oraz wymianie informacji o CLI spoofing, a także blokowaniu połączenia głosowego albo ukrywaniu identyfikacji numeru wywołującego dla użytkownika końcowego.

Dostawca publicznie dostępnych usług telekomunikacyjnych świadczący usługi telekomunikacyjne dla co najmniej 50 000 abonentów, będący jednocześnie operatorem, może zawrzeć z Prezesem UKE porozumienie określające szczegółowe środki organizacyjne i techniczne, o których mowa w ust. 1, które będzie stosował przy realizacji obowiązków, o których mowa w art. 16.

Zawarcie porozumienia, o którym mowa w ust. 2, i jego prawidłowe wykonywanie stanowi spełnienie przez operatora będącego stroną tego porozumienia obowiązku, o którym mowa w art. 3 ust. 3, w zakresie, o którym mowa w art. 3 ust. 1 pkt 3.

Operator prawidłowo wykonujący porozumienie, o którym mowa w ust. 2, nie ponosi odpowiedzialności za niewykonanie albo nienależyte wykonanie usługi telekomunikacyjnej będące skutkiem zastosowanych środków organizacyjnych i technicznych, o których mowa w ust. 1.

Prezes UKE kontroluje prawidłowość stosowania środków organizacyjnych i technicznych, o których mowa w ust. 1, określonych w porozumieniu, o którym mowa w ust. 2. Do kontroli stosuje się przepisy działu X rozdziału 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne.

Dla przedsiębiorców telekomunikacyjnych innych niż określeni w ust. 2 Prezes UKE może wydać rekomendacje określające szczegółowe środki organizacyjne i techniczne, o których mowa w ust. 1, służące realizacji obowiązków, o których mowa w art. 16. Rekomendacje udostępnia się w Biuletynie Informacji Publicznej na stronie podmiotowej Prezesa UKE.

Przedsiębiorca telekomunikacyjny inny niż określony w ust. 2, prawidłowo stosujący środki organizacyjne i techniczne, o których mowa w ust. 1, określone w rekomendacjach, o których mowa w ust. 6, nie ponosi odpowiedzialności za niewykonanie albo nienależyte wykonanie usługi telekomunikacyjnej będące skutkiem wprowadzenia tych środków.

W celu ochrony użytkowników internetu przed stronami internetowymi wyłudzającymi dane, w tym dane osobowe, oraz doprowadzającymi użytkowników internetu do niekorzystnego rozporządzenia ich mieniem, między Prezesem UKE, ministrem właściwym do spraw informatyzacji, Naukową i Akademicką Siecią Komputerową - Państwowym Instytutem Badawczym oraz przedsiębiorcą telekomunikacyjnym lub przedsiębiorcami telekomunikacyjnymi może zostać zawarte porozumienie dotyczące prowadzenia listy ostrzeżeń oraz uniemożliwienia dostępu do tych stron.

W przypadku zawarcia porozumienia, o którym mowa w ust. 1, podmiotem odpowiedzialnym za prowadzenie listy ostrzeżeń jest CSIRT NASK.

Na listę ostrzeżeń wpisuje się domeny internetowe, które za podstawowy cel swojego działania mają wprowadzenie w błąd użytkowników internetu i doprowadzenie do wyłudzenia ich danych lub niekorzystnego rozporządzenia mieniem.

Każdy może zgłosić domenę internetową, o której mowa w ust. 3, do CSIRT NASK. Zgłoszenie może zawierać uzasadnienie.

CSIRT NASK z inicjatywy własnej lub po otrzymaniu zgłoszenia, o którym mowa w ust. 4, wpisuje na listę ostrzeżeń domenę internetową, o której mowa w ust. 3.

CSIRT NASK udostępnia na stronie podmiotowej Biuletynu Informacji Publicznej Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego informację określającą sposób dokonywania zgłoszeń, o których mowa w ust. 4.

Porozumienie, o którym mowa w ust. 1, określa co najmniej zasady współpracy stron tego porozumienia.

Przedsiębiorca telekomunikacyjny będący stroną porozumienia, o którym mowa w ust. 1, może uniemożliwić użytkownikom internetu dostęp do stron internetowych wykorzystujących nazwy domen internetowych wpisanych na listę ostrzeżeń, przez ich usunięcie z systemów teleinformatycznych przedsiębiorców telekomunikacyjnych służących do zamiany nazw domen internetowych na adresy IP.

W przypadku skorzystania z uprawnienia, o którym mowa w ust. 8, przedsiębiorca telekomunikacyjny przekieruje połączenia odwołujące się do nazw domen internetowych wpisanych na listę ostrzeżeń do strony internetowej prowadzonej przez CSIRT NASK zawierającej informację skierowaną do użytkowników internetu zawierającą w szczególności informacje o lokalizacji listy ostrzeżeń, wpisaniu szukanej nazwy domeny internetowej na listę ostrzeżeń oraz o możliwej próbie wyłudzenia danych lub niekorzystnego rozporządzania mieniem.

Podmiot posiadający tytuł prawny do domeny internetowej wpisanej na listę ostrzeżeń może wnieść do Prezesa UKE sprzeciw wobec wpisania domeny internetowej na listę ostrzeżeń.

Sprzeciw, o którym mowa w ust. 1, zawiera:

Sprzeciw, o którym mowa w ust. 1, opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym i wnosi się na adres do doręczeń elektronicznych Prezesa UKE.

Sprzeciw, o którym mowa w ust. 1, niespełniający wymagań, o których mowa w ust. 2 i 3, pozostawia się bez rozpoznania.

Prezes UKE:

Prezes UKE, rozpatrując sprzeciw, o którym mowa w art. 21 ust. 1:

W przypadku uwzględnienia sprzeciwu, o którym mowa w art. 21 ust. 1, Prezes UKE nakazuje CSIRT NASK niezwłoczne, nie później niż w terminie 3 dni od dnia uwzględnienia tego sprzeciwu, usunięcie domeny internetowej z listy ostrzeżeń.

Nieuwzględnienie sprzeciwu, o którym mowa w art. 21 ust. 1, jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego.

Prezes UKE może pisemnie upoważnić pracownika Urzędu Komunikacji Elektronicznej do wykonywania czynności, o których mowa w ust. 1-3.

Do postępowania w sprawie rozpatrzenia sprzeciwu, o którym mowa w art. 21 ust. 1, przepisów ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego nie stosuje się.

Prezes UKE może, gdy jest to uzasadnione ochroną użytkowników końcowych przed nadużyciami w komunikacji elektronicznej, nakazać przedsiębiorcy telekomunikacyjnemu, w drodze decyzji, zablokowanie dostępu do numeru lub usługi w terminie nie krótszym niż 6 godzin od momentu jej ogłoszenia oraz nałożyć obowiązek wstrzymania pobierania opłat za połączenia lub usługi zrealizowane po upływie tego terminu.

Decyzja, o której mowa w ust. 1, może być ogłoszona ustnie przedsiębiorcy telekomunikacyjnemu. Decyzję ogłoszoną ustnie doręcza się stronie na piśmie w terminie 14 dni od dnia jej ogłoszenia.

Decyzję, o której mowa w ust. 1, dotyczącą usługi o podwyższonej opłacie w rozumieniu art. 64 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, lub numeru wykorzystywanego do świadczenia usługi o podwyższonej opłacie doręcza się także podmiotowi realizującemu dodatkowe świadczenie.

Decyzji, o której mowa w ust. 1, nadaje się rygor natychmiastowej wykonalności.

Do postępowania w sprawie wydania decyzji, o której mowa w ust. 1, nie stosuje się przepisów ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, z wyjątkiem przepisów art. 107-113 oraz działu II rozdziałów 12 i 13, które stosuje się odpowiednio.

Dostawca poczty elektronicznej:

- przy świadczeniu poczty elektronicznej ma obowiązek stosowania mechanizmu SPF (Sender Policy Framework), DMARC (Domain-based Message Authentication Reporting and Conformance) oraz DKIM (DomainKeys Identified Mail).

Podmiot publiczny jest obowiązany do korzystania z poczty elektronicznej wykorzystującej mechanizmy, o których mowa w ust. 1.

Prezes UKE może przeprowadzić kontrolę:

Do kontroli, o której mowa w ust. 3, stosuje się przepisy działu X rozdziału 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne.

CSIRT NASK udostępnia na swojej stronie internetowej informację na temat standardów sieciowych RFC (Request for Comments) z odniesieniem do dokumentów umieszczonych na stronach internetowych organizacji Internet Engineering Task Force, które składają się na aktualną wersję opisów mechanizmów, o których mowa w ust. 1.

Dostawca poczty elektronicznej dla podmiotu publicznego oferuje pocztę elektroniczną umożliwiającą stosowanie metod uwierzytelniania wieloskładnikowego.

Przedsiębiorca telekomunikacyjny jest obowiązany do rejestracji informacji o usługach telekomunikacyjnych, które nie zostały przez tego przedsiębiorcę wykonane w związku z realizacją:

- w zakresie umożliwiającym rozpatrzenie reklamacji, o której mowa w art. 106 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne.

Przedsiębiorca telekomunikacyjny przechowuje informacje, o których mowa w ust. 1, przez okres 12 miesięcy liczony od dnia, w którym usługa miała być wykonana, a w przypadku wniesienia reklamacji - przez okres niezbędny do rozstrzygnięcia sporu.

Przedsiębiorcy telekomunikacyjni mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą telekomunikacyjną, z wyłączeniem komunikatu, w celu identyfikacji, zapobiegania i zwalczania nadużyć w komunikacji elektronicznej.

Przedsiębiorcy telekomunikacyjni mogą przetwarzać i wzajemnie udostępniać komunikat w celu identyfikacji, zapobiegania i zwalczania smishingu oraz wiadomości multimedialnych (MMS), o których mowa w art. 9 ust. 2.

Przedsiębiorca telekomunikacyjny może przetwarzać:

- w celu realizacji obowiązków, o których mowa w art. 3 ust. 3, art. 6, art. 13 i art. 16, oraz uprawnień, o których mowa w art. 9, a także w celach związanych z dochodzeniem roszczeń.

Przetwarzanie, o którym mowa w ust. 3, jest dopuszczalne tylko do końca okresu, w którym jest możliwe dochodzenie roszczeń.

Do przetwarzania danych osobowych przez przedsiębiorców telekomunikacyjnych przepisu art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴⁾ nie stosuje się w zakresie, w jakim jest to niezbędne dla identyfikacji, zapobiegania oraz zwalczania nadużyć w komunikacji elektronicznej.

Przedsiębiorca telekomunikacyjny może wykonać obowiązki, o których mowa w art. 14 ust. 1 i 2 rozporządzenia wymienionego w ust. 5, przez udostępnienie informacji, o których mowa w tych przepisach, na swojej stronie internetowej lub przez umieszczenie stosownych informacji w miejscach widocznych w siedzibie lub miejscu działania administratora danych osobowych, w zakresie, w jakim dotyczy to danych osobowych pozyskanych w ramach identyfikacji, zapobiegania oraz zwalczania nadużyć w komunikacji elektronicznej.

Przedsiębiorca telekomunikacyjny, który dokonuje następujących nadużyć w komunikacji elektronicznej:

- podlega karze pieniężnej.

Jeżeli czyn będący nadużyciem w komunikacji elektronicznej, o którym mowa w ust. 1, wyczerpuje jednocześnie znamiona przestępstwa, w stosunku do przedsiębiorcy telekomunikacyjnego będącego osobą fizyczną stosuje się wyłącznie przepisy o odpowiedzialności karnej.

Na przedsiębiorcę telekomunikacyjnego, który nie wypełnia obowiązków, o których mowa w:

- może zostać nałożona kara pieniężna, jeżeli przemawia za tym zakres lub charakter naruszenia.

Na dostawcę poczty elektronicznej, który nie wypełnia obowiązków, o których mowa w art. 24 ust. 1, może zostać nałożona kara pieniężna, jeżeli przemawia za tym zakres lub charakter naruszenia.

Kary pieniężne, o których mowa w ust. 1, 3 i 4, mogą zostać nałożone także w przypadku, gdy podmiot, o którym mowa w ust. 1, 3 lub 4, zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę, jeżeli Prezes UKE uzna, że przemawiają za tym czas trwania, zakres lub skutki naruszenia.

Niezależnie od kary pieniężnej, o której mowa w ust. 3, Prezes UKE może, w drodze decyzji, nałożyć na kierującego przedsiębiorstwem telekomunikacyjnym, w szczególności osobę pełniącą funkcję kierowniczą lub wchodzącą w skład organu zarządzającego przedsiębiorcy telekomunikacyjnego lub związku takich przedsiębiorców, karę pieniężną w wysokości do 300% jego miesięcznego wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop wypoczynkowy.

Prezes UKE może, w drodze decyzji, nałożyć karę pieniężną na kierownika podmiotu publicznego, jeżeli nie został wykonany obowiązek, o którym mowa w art. 24 ust. 2. Kara pieniężna nakładana jest w wysokości do jednokrotności przeciętnego wynagrodzenia w gospodarce narodowej, ogłoszonego przez Prezesa Głównego Urzędu Statystycznego, w ostatnim komunikacie, o którym mowa w art. 20 pkt 1 lit. a ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz. U. z 2023 r. poz. 1251, 1429 i 1672).

Jeżeli przemawia za tym zakres lub charakter naruszenia, Prezes UKE może, w drodze decyzji, nałożyć karę pieniężną na kierownika podmiotu publicznego, który korzysta z usług wysyłania krótkich wiadomości tekstowych (SMS) integratora usług SMS niewpisanego w wykazie, o którym mowa w art. 14 ust. 1. Kara pieniężna nakładana jest w wysokości do jednokrotności przeciętnego wynagrodzenia w gospodarce narodowej, ogłoszonego przez Prezesa Głównego Urzędu Statystycznego, w ostatnim komunikacie, o którym mowa w art. 20 pkt 1 lit. a ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych.

Od decyzji Prezesa UKE w sprawie nałożenia kary pieniężnej przysługuje odwołanie do Sądu Okręgowego w Warszawie - Sądu Ochrony Konkurencji i Konsumentów.

Kary pieniężne podlegają egzekucji w trybie przepisów o postępowaniu egzekucyjnym w administracji w zakresie egzekucji obowiązków o charakterze pieniężnym.

Kary pieniężne, o których mowa w art. 27 ust. 1, 3 i 4, nakłada Prezes UKE, w drodze decyzji, w wysokości do 3% przychodu podmiotu, o którym mowa w art. 27 ust. 1, 3 lub 4, osiągniętego w poprzednim roku kalendarzowym. Decyzji o nałożeniu kary pieniężnej nie nadaje się rygoru natychmiastowej wykonalności.

W przypadku gdy podmiot, o którym mowa w art. 27 ust. 1, 3 lub 4, w roku kalendarzowym poprzedzającym rok nałożenia kary pieniężnej nie osiągnął przychodu albo osiągnął przychód w wysokości nieprzekraczającej 500 000 zł, Prezes UKE, nakładając karę pieniężną, uwzględnia średni przychód osiągnięty przez ten podmiot w 3 kolejnych latach kalendarzowych poprzedzających rok nałożenia kary pieniężnej.

W przypadku gdy podmiot, o którym mowa w art. 27 ust. 1, 3 lub 4, nie osiągnął przychodu w okresie, o którym mowa w ust. 2, albo gdy przychód tego podmiotu w tym okresie nie przekracza 500 000 zł, Prezes UKE może nałożyć na ten podmiot karę pieniężną w wysokości nieprzekraczającej 15 000 zł.

W przypadku gdy przed wydaniem decyzji o nałożeniu kary pieniężnej podmiot, o którym mowa w art. 27 ust. 1, 3 lub 4, nie dysponuje danymi finansowymi niezbędnymi do ustalenia przychodu za rok kalendarzowy poprzedzający rok nałożenia kary pieniężnej, Prezes UKE, nakładając karę pieniężną, uwzględnia:

W przypadku, o którym mowa w ust. 4 pkt 2, przepis ust. 3 stosuje się odpowiednio.

W przypadku gdy podmiot, o którym mowa w art. 27 ust. 1, 3 lub 4, powstał w wyniku połączenia lub przekształcenia innych podmiotów, obliczając wysokość jego przychodu, o którym mowa w ust. 1, Prezes UKE uwzględnia przychód osiągnięty przez te podmioty w roku kalendarzowym poprzedzającym rok nałożenia kary.

Ustalając wysokość kary pieniężnej, Prezes UKE uwzględnia zakres lub charakter naruszenia, dotychczasową działalność podmiotu oraz jego możliwości finansowe.

Podmiot, o którym mowa w art. 27 ust. 1, 3 lub 4, jest obowiązany do dostarczenia Prezesowi UKE, na każde jego żądanie, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia podstawy wymiaru kary pieniężnej. W przypadku niedostarczenia danych albo gdy dostarczone dane uniemożliwiają ustalenie podstawy wymiaru kary, Prezes UKE może ustalić podstawę wymiaru kary pieniężnej w sposób szacunkowy, nie mniejszą jednak niż kwota 500 000 zł.

Jeżeli okres działania podmiotu, o którym mowa w art. 27 ust. 1, 3 lub 4, jest krótszy niż rok kalendarzowy, za podstawę wymiaru kary przyjmuje się kwotę 500 000 zł.

Kto w celu osiągnięcia korzyści majątkowej, korzyści osobistej lub wyrządzenia innej osobie szkody wysyła lub odbiera komunikaty lub połączenia głosowe w sieci telekomunikacyjnej z wykorzystaniem urządzeń telekomunikacyjnych lub programów, których celem nie jest skorzystanie z usługi telekomunikacyjnej, lecz ich zarejestrowanie na punkcie połączenia sieci telekomunikacyjnych lub przez systemy rozliczeniowe

• -

  podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Kto w celu osiągnięcia korzyści majątkowej, korzyści osobistej lub wyrządzenia innej osobie szkody wysyła krótką wiadomość tekstową (SMS), wiadomość multimedialną (MMS) lub wiadomość za pośrednictwem innych usług komunikacji interpersonalnej, w której podszywa się pod inny podmiot w celu nakłonienia odbiorcy tej wiadomości do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, inicjowania połączenia głosowego, instalacji oprogramowania, przekazania haseł komputerowych, kodów dostępu lub innych danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym, teleinformatycznym lub sieci teleinformatycznej

• -

  podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Jeżeli czyn, o którym mowa w ust. 1, popełniono na szkodę osoby najbliższej, ściganie następuje na wniosek pokrzywdzonego.

Kto w celu osiągnięcia korzyści majątkowej, korzyści osobistej lub wyrządzenia innej osobie szkody, przy wywoływaniu połączenia głosowego posługuje się, nie będąc do tego uprawnionym, informacją adresową wskazującą na inną osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, aby podszyć się pod inny podmiot w celu nakłonienia odbiorcy tego połączenia do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem lub instalacji oprogramowania, przekazania haseł komputerowych, kodów dostępu lub innych danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym, teleinformatycznym lub sieci teleinformatycznej

• -

  podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Jeżeli czyn, o którym mowa w ust. 1, popełniono na szkodę osoby najbliższej, ściganie następuje na wniosek pokrzywdzonego.

Kto w celu osiągnięcia korzyści majątkowej, korzyści osobistej lub wyrządzenia innej osobie szkody dokonuje niezgodnej z prawem modyfikacji informacji adresowej uniemożliwiającej albo istotnie utrudniającej ustalenie, przez uprawnione podmioty lub przedsiębiorców telekomunikacyjnych uczestniczących w dostarczeniu komunikatu, informacji adresowej użytkownika wysyłającego komunikat

• -

  podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Prezes UKE przedstawia sejmowej komisji właściwej w sprawach telekomunikacji oraz ministrowi właściwemu do spraw informatyzacji roczne sprawozdanie z wykonywania swoich obowiązków i uprawnień określonych w ustawie.

Prezes UKE składa sprawozdanie, o którym mowa w ust. 1, w terminie do dnia 31 marca danego roku kalendarzowego, za rok poprzedni.

CSIRT NASK w terminie 3 miesięcy od dnia wejścia w życie ustawy uruchamia system, o którym mowa w art. 4 ust. 3, i informuje ministra właściwego do spraw informatyzacji o jego uruchomieniu.

Minister właściwy do spraw informatyzacji niezwłocznie po otrzymaniu informacji, o której mowa w ust. 1, udostępnia, w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, informację o uruchomieniu systemu, o którym mowa w art. 4 ust. 3.

Komendant Centralnego Biura Zwalczania Cyberprzestępczości, Prezes UKE i przedsiębiorcy telekomunikacyjni są obowiązani do podłączenia się do systemu, o którym mowa w art. 4 ust. 3, w terminie 3 miesięcy od dnia udostępnienia przez ministra właściwego do spraw informatyzacji informacji o uruchomieniu tego systemu.

W terminie miesiąca od dnia wejścia w życie niniejszego przepisu strony Porozumienia o współpracy w zakresie ochrony użytkowników internetu przed stronami wyłudzającymi dane, w tym dane osobowe, oraz doprowadzających użytkowników internetu do niekorzystnego rozporządzenia ich środkami finansowymi w okresie stanów nadzwyczajnych, stanu epidemii lub stanu zagrożenia epidemicznego w Rzeczypospolitej Polskiej, zawartego w dniu 23 marca 2020 r., zwanego dalej „Porozumieniem z 23 marca 2020 r.”, mogą złożyć oświadczenie woli o uznaniu Porozumienia z 23 marca 2020 r. za porozumienie, o którym mowa w art. 20 ust. 1.

W przypadku złożenia w terminie, o którym mowa w ust. 1, oświadczeń woli przez wszystkie strony Porozumienia z 23 marca 2020 r. staje się ono porozumieniem, o którym mowa w art. 20 ust. 1, z dniem złożenia oświadczenia woli przez ostatnią ze stron. W takim przypadku postanowienia Porozumienia z 23 marca 2020 r. ograniczające stosowanie tego porozumienia do stanów nadzwyczajnych, stanu epidemii lub stanu zagrożenia epidemicznego w Rzeczypospolitej Polskiej stają się bezskuteczne.

Z dniem złożenia oświadczenia woli przez ostatnią ze stron Porozumienia z 23 marca 2020 r. lista ostrzeżeń dotycząca domen internetowych, które służą do wyłudzeń danych i niekorzystnego rozporządzania mieniem użytkowników internetu, prowadzona przez Naukową i Akademicką Sieć Komputerową - Państwowy Instytut Badawczy na podstawie Porozumienia z 23 marca 2020 r. staje się listą, o której mowa w art. 20 ust. 1.

Dostawca poczty elektronicznej, który świadczy pocztę elektroniczną na podstawie umowy, której stroną jest podmiot publiczny, obowiązującej w dniu wejścia w życie ustawy, jest obowiązany w terminie 3 miesięcy od dnia wejścia w życie ustawy do spełnienia obowiązku, o którym mowa w art. 24 ust. 1.

Jeżeli dostawca poczty elektronicznej nie spełni wymagań w terminie, o którym mowa w ust. 1, umowa, o której mowa w ust. 1, może zostać jednostronnie rozwiązana przez podmiot publiczny, a dostawcy poczty elektronicznej nie przysługują roszczenia z tego tytułu.

Integrator usług SMS, który w dniu wejścia w życie ustawy świadczy usługę wysyłania krótkich wiadomości tekstowych (SMS) dla podmiotu publicznego, jest obowiązany złożyć wniosek o wpis w wykazie, o którym mowa w art. 14 ust. 1, w terminie 30 dni od dnia wejścia w życie ustawy.

Jeżeli integrator usług SMS nie spełni wymagań w terminie, o którym mowa w ust. 1, umowa o świadczenie usługi wysyłania krótkich wiadomości tekstowych (SMS) może zostać jednostronnie rozwiązana przez podmiot publiczny, a integratorowi usług SMS nie przysługują roszczenia z tego tytułu.

CSIRT NASK w terminie 3 miesięcy od dnia wejścia w życie ustawy tworzy wykaz, o którym mowa w art. 10 ust. 1.

Dla podmiotów publicznych wskazanych w art. 9 pkt 1, 2 i 8 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2023 r. poz. 1270, 1273, 1407, 1429, 1641 i 1693) CSIRT NASK:

Przedsiębiorcy telekomunikacyjni rozpoczną wykonywanie obowiązków określonych w art. 13 po upływie 6 miesięcy od dnia wejścia w życie ustawy.

Integratorzy usług SMS wpisani w wykazie, o którym mowa w art. 14 ust. 1, rozpoczną wykonywanie obowiązków określonych w art. 14 ust. 2 po upływie 6 miesięcy od dnia wejścia w życie ustawy.