Predykcyjne systemy obrony i ataki prewencyjne w świetle prawa międzynarodowego

Czym jest obrona predykcyjna w kontekście prawnym

To, co w geopolityce nazywa się uderzeniem prewencyjnym, w prawie prywatnym często kwalifikowane jest jako przestępstwo. W szerszym kontekście nadzoru prawnego nad technologiami prewencyjnymi warto sięgnąć także po temat generatywnej AI w planowaniu taktycznym i nadzoru prawnego nad algorytmami. Różnica między aktywną obroną a nielegalnym kontratakiem ma znaczenie prawnie rozstrzygające i właśnie tu wiele spółek popełnia błąd, sądząc, że mogą oddać cios bez ryzyka.

Prawnicy kancelarii ARROWS zajmują się podobnymi sytuacjami na co dzień i pomogą Państwu odróżnić uprawnioną obronę od działań, które mogłyby zostać uznane za naruszenie prawa. Pomożemy ustawić procesy tak, aby Państwa obrona mieściła się w granicach czeskiego Kodeksu karnego (ustawa nr 40/2009 Sb., dalej „TZ”) oraz prawodawstwa UE.

Kiedy samoobrona jest uprawniona

Podstawę prawną samoobrony państw przed napaścią stanowi art. 51 Karty NZ. W przypadku prywatnych firm stosuje się jednak przede wszystkim prawo krajowe, w Republice Czeskiej konkretnie § 29 TZ o obronie koniecznej. Zgodnie z tym przepisem czyn w innych okolicznościach karalny, którym ktoś odpiera bezpośrednio grożący lub trwający zamach na interes chroniony prawem karnym, nie jest przestępstwem. Kluczowa jest tu bezpośredniość – napastnik już atakuje lub ewidentnie się do tego przygotowuje.

Jeżeli spróbują Państwo uzasadnić swoje działanie wyłącznie hipotetycznym ryzykiem w przyszłości, nie chodzi o obronę konieczną i narażają się Państwo na pełną odpowiedzialność karną i majątkową. W praktyce opłaca się mieć z góry ustalone procedury wewnętrzne i wsparcie prawne na sytuacje kryzysowe, co można zapewnić również w ramach prawa karnego

. W takim przypadku istnieje ryzyko, że Państwa działanie prewencyjne zostanie ocenione jako bezprawny atak.

Obrona predykcyjna: gdzie kończy się prawo, a zaczyna przestępstwo

Dochodzimy tu do najbardziej palącej kwestii – sytuacji, gdy mają Państwo przesłanki, że konkurent lub grupa przestępcza planuje atak. Chcą Państwo działać wcześniej i wyeliminować zagrożenie w zarodku, co z punktu widzenia strategii brzmi logicznie, ale z punktu widzenia prawa jest terenem skrajnie ryzykownym.

Samoobrona antycypacyjna a atak prewencyjny

Między tymi pojęciami istnieje zasadnicza różnica prawna:

• Uprawniona obrona antycypacyjna: Atak jeszcze się nie rozpoczął, ale bezpośrednio grozi. Przykładem jest zautomatyzowany system, który wykrywa uruchomienie złośliwego kodu i blokuje go w milisekundach przed jego skutkiem.
• Atak prewencyjny (hack-back): Opiera się na założeniu, że atak mógłby nastąpić w przyszłości, albo polega na kontrataku na infrastrukturę napastnika w celu jej unieszkodliwienia. Takie działanie jest dla podmiotów prywatnych w Republice Czeskiej i w większości państw NATO nielegalne.

W praktyce oznacza to, że jeśli mają Państwo informacje o przyszłym ataku, nie mogą Państwo prewencyjnie zaatakować serwera, a jedynie wzmocnić swoje zabezpieczenia firewall i poinformować policję. Przekroczenie tej granicy oznacza odpowiedzialność karną.

Ramy prawne i regulacje międzynarodowe

Jeżeli Państwa firma działa transgranicznie, sytuację komplikuje kolizja porządków prawnych, zwłaszcza w regionach o niestabilnej sytuacji bezpieczeństwa. Zrozumienie ram prawnych jest niezbędne również dla podmiotów objętych dyrektywą NIS2, rozporządzeniem DORA lub dla infrastruktury krytycznej.

W kontekście roku 2026 istotne są przede wszystkim czeski TZ, nowa czeska ustawa o cyberbezpieczeństwie transponująca NIS2 oraz rozporządzenie DORA dla sektora finansowego. Przy obronie muszą Państwo dbać również o ochronę danych osobowych zgodnie z RODO i respektować reżimy sankcyjne wynikające z Karty NZ.

Jak uniknąć ryzyka prawnego

Bardzo ważnym krokiem jest audyt prawny procesów bezpieczeństwa, który może mieć zasadnicze znaczenie dla uwolnienia się od odpowiedzialności karnej osób prawnych. Jeśli później dojdzie do sporu lub postępowania, istnienie opracowanych wytycznych i procedur skonsultowanych z adwokatami działa na Państwa korzyść. Kancelaria ARROWS przygotuje dla Państwa analizę prawną i opinię eksperską, która wyznaczy granice, do jakich może posunąć się Państwa zespół bezpieczeństwa.

Praktyczne skutki dla Twojej firmy

Jeżeli Państwa organizacja rozważa wdrożenie aktywnych systemów obronnych, niezbędna jest staranna ocena prawna. W praktyce zalecamy następujące kroki:

• Identyfikacja aktywów: Określcie, co chronicie i jakich narzędzi technicznie do tego używacie.
• Przegląd prawny: Zlećcie ocenę, czy narzędzia nie wypełniają znamion przestępstwa.
• Ustawienie procesów: Ustalcie, kto zatwierdza aktywację środków obronnych w sytuacji kryzysowej.

Prawnicy kancelarii ARROWS dzięki sieci ARROWS International potrafią połączyć Państwa sprawę z ekspertami w poszczególnych jurysdykcjach. Ma to kluczowe znaczenie zwłaszcza wtedy, gdy atak pochodzi z zagranicy.

Co grozi i jak pomaga kancelaria ARROWS

Kiedy znajdujesz się w szarej strefie

Prawo często nie nadąża za rozwojem technologii i istnieją sytuacje, w których orzecznictwo nie jest ugruntowane. Do tej kategorii należy wykorzystywanie plików śledzących do lokalizowania danych, zbieranie informacji w Dark Webie czy zautomatyzowane przeciwdziałania botów wobec botów. W takich sytuacjach nie ma prostej odpowiedzi, ponieważ zawsze zależy to od technicznego wykonania i intensywności ingerencji w prawa osób trzecich.

Jak ARROWS pomaga w szarej strefie

• Opinie prawne dotyczące narzędzi IT: Ocenimy, czy Państwa oprogramowanie do aktywnej obrony jest w Republice Czeskiej legalne.
• Program compliance: Stworzymy system przepisów wewnętrznych, czego wymaga także czeska ustawa o odpowiedzialności karnej osób prawnych.
• Szkolenia kadry zarządzającej: Zapewnimy, aby osoby decyzyjne wiedziały, kiedy wydać polecenie odłączenia, a kiedy zadzwonić do prawnika.

Cyberbezpieczeństwo, dane i wywiad gospodarczy

Wraz z rozwojem technologii koncepcja obrony rozszerza się także na obszary ochrony danych i wywiadu, co rodzi nowe wyzwania prawne. W UE panuje konsensus, że hack-back jest zastrzeżony dla służb państwowych, a dla prywatnych firm jest nielegalny. Państwa obrona musi być ściśle defensywna, czyli działać jak tarcza, a nie jak miecz.

Przy zbieraniu informacji o zagrożeniach (Threat Intelligence) często przetwarzają Państwo adresy IP, które zgodnie z RODO są danymi osobowymi. Konieczne jest powołanie się na prawnie uzasadniony interes administratora w zapewnieniu bezpieczeństwa i przeprowadzenie testu równowagi, w czym pomogą Państwu nasi eksperci.

Zgodnie z nową ustawą o cyberbezpieczeństwie podmioty regulowane mają obowiązek zgłaszać istotne incydenty w ciągu 24 godzin. Kancelaria ARROWS pomoże Państwu przygotować komunikację kryzysową z NÚKIB oraz ocenę prawną incydentu przed jego zgłoszeniem.

Podsumowanie

Problematyka obrony predykcyjnej i działań prewencyjnych to pole minowe, na którym jeden zły krok może oznaczać przejście z roli ofiary do roli sprawcy przestępstwa. Granica między obroną konieczną a nielegalnym atakiem jest cienka, a w świecie cyfrowym mierzy się ją w milisekundach.

Prawnicy kancelarii ARROWS pomogą Państwu ustawić strategie bezpieczeństwa tak, aby były skuteczne, a jednocześnie prawnie bezpieczne.

Jeżeli mierzą się Państwo z podobną sytuacją i potrzebują fachowej oceny prawnej, konsultacja@arws.cz jest do Państwa dyspozycji.