Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia NSA Zdzisław Romanowski Sędziowie Sędzia WSA Tomasz Sałek (spr.) Sędzia WSA Grażyna Śliwińska po rozpoznaniu w trybie uproszczonym na posiedzeniu niejawnym w dniu 22 października 2020 r. sprawy ze skargi W. sp. z o.o. z siedzibą w R. na decyzję Ministra Energii z dnia [...] października 2019 r. nr [...] w przedmiocie uznanie za operatora usługi kluczowej 1. uchyla zaskarżoną decyzję; 2. zasądza od Ministra Klimatu i Środowiska na rzecz W. sp. z o.o. z siedzibą w R. kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Minister Energii (dalej też jako "Minister" lub "organ") pismem z dnia [...] stycznia 2019 r., - działając na podstawie art. 43 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2018 r., poz. 1560; dalej też jako "UKSC") zwrócił się do W. Sp. z o.o., z siedzibą w R. (dalej też jako "skarżąca" lub "spółka") o przekazanie informacji mogących pomóc w szczegółowej identyfikacji podmiotu, który mógłby spełniać warunki do uznania go za operatora usługi kluczowej w rozumieniu UKSC oraz rozporządzenia Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych (Dz.U. z 2018 r., poz. 1806; dalej jako "rozporządzenie").
Następnie pismem z dnia [...] lipca 2019 r. Minister, działając na podstawie art. 61 § 1 i 4 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t.j. Dz. U. z 2018 r., poz. 2096 ze. zm.; dalej też jako "k.p.a."), w związku z art. 5 UKSC, zawiadomił spółkę o wszczęciu z urzędu postępowania administracyjnego w sprawie uznania jej za operatora usługi kluczowej: wytwarzanie ciepła, przesyłanie ciepła, dystrybucja ciepła.
Spółka w swym piśmie z dnia [...] sierpnia 2019 roku przekazała organowi informacje dotyczące systemów używanych w zakresie wytwarzania ciepła: "A." oraz dystrybucji i przesyłania ciepła: "O., K. i X.".
Decyzją z dnia [...] października 2019 r. nr [...] Minister, działając na podstawie art. 5 ust. 2 i 7, art. 41 pkt 1 oraz art. 42 ust. 1 pkt 2 UKSC, uznał spółkę za operatora usługi kluczowej: wytwarzanie ciepła, przesyłanie ciepła, dystrybucja ciepła. Odwołując się do treści art. 5 ust. 2 UKSC organ wskazał, że dany podmiot może zostać uznany za operatora usługi kluczowej jeżeli:
1) świadczy usługę kluczową,
2) świadczenie tej usługi zależy od systemów informacyjnych,
3) incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.
Podkreślił jednocześnie, że sektory, podsektory oraz rodzaje podmiotów, które mogą być uznane za operatorów usług kluczowych, określa załącznik nr 1 do UKSC. Przez usługę kluczową należy natomiast rozumieć usługę, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej i została wymieniona w wykazie usług kluczowych (2 pkt 16 UKSC). Nadmienił również, że system informacyjny to system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r., poz. 570 ze zm.) wraz z przetwarzanymi w nim danymi w postaci elektronicznej, a więc zespół współpracujących ze sobą urządzeń informatycznych i oprogramowania zapewniający przetwarzanie, przechowywanie, a także wysyłanie i odbieranie danych przez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci telekomunikacyjnego urządzenia końcowego w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (tekst jednolity Dz. U. z 2018 r., poz. 1954 ze zm.). Incydent z kolei to zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo (art. 2 pkt 5 UKSC). Wskazał, że istotność skutku zakłócającego incydentu dla świadczenia usługi kluczowej określana jest na podstawie progów istotności skutku zakłócającego, które zostały określone w rozporządzeniu.