VI SA/Wa 2151/19

VI SA/Wa 2151/19 - Wyrok WSA w Warszawie
Data orzeczenia
2020-09-03
orzeczenie prawomocne
Data wpływu
2019-10-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Aneta Lemiesz /sprawozdawca/
Danuta Szydłowska
Magdalena Maliszewska /przewodniczący/
Symbol z opisem
608  Energetyka i atomistyka
Hasła tematyczne
Telekomunikacja
Sygn. powiązane
II GSK 557/21 - Wyrok NSA z 2024-05-21
II GZ 97/20 - Postanowienie NSA z 2020-04-23
Skarżony organ
Minister Energii
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 2325
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2020 poz 256
art. 8 par. 2, art. 107 par. 3, art. 10 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2018 poz 1560
art. 2 pkt 16, art. 5 ust. 2 pkt 3, art. 43 ust. 1
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Magdalena Maliszewska Sędziowie Sędzia WSA Aneta Lemiesz (spr.) Sędzia WSA Danuta Szydłowska Protokolant st. sekr. sąd. Karolina Pilecka po rozpoznaniu na rozprawie w dniu 3 września 2020 r. sprawy ze skargi "(...)"S.A. z siedzibą w "(...)" na decyzję Ministra Energii (obecnie Minister Klimatu) z dnia "(...)" sierpnia 2019 r. nr "(...)"w przedmiocie uznania za operatora usługi kluczowej oddala skargę
Uzasadnienie
Zaskarżoną decyzją z dnia [...] sierpnia 2019 r., nr [...] Minister Energii ("organ", "Minister"), działając na podstawie art. 5 ust. 2 i 7, art. 41 pkt 1 oraz art. 42 ust. 1 pkt 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2018 r., poz. 1560; dalej "UKSC") uznał [...] S.A. z siedzibą w P. ("skarżąca", "spółka") za operatora usługi kluczowej: wytwarzanie ciepła.
Jak wynika z akt sprawy, pismem z dnia 4 stycznia 2019 r., Minister - działając na podstawie art. 43 ust. 1 UKSC - zwrócił się do skarżącej o przekazanie informacji mogących pomóc w szczegółowej identyfikacji podmiotu, który mógłby spełniać warunki do uznania go za operatora usługi kluczowej w rozumieniu UKSC oraz rozporządzenia Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych (Dz.U. z 2018 r., poz. 1806; dalej jako rozporządzenie). Pismem z dnia 28 stycznia 2019 r. spółka poinformowała organ, że niezwłocznie przeanalizuje przekazane jej informacje. Jednocześnie wniosła o ponowne doręczenie ankiety, stanowiącej załącznik do pisma organu z dnia 4 stycznia 2019 r. oraz doręczanie jej dalszej korespondencji także w formie papierowej.
W dniu 1 lutego 2019 r. organ ponownie przesłał spółce ankietę w formie elektronicznej na nowy, wskazany przez nią adres poczty elektronicznej. Wypełnioną ankietę spółka przekazała organowi w dniu 15 lutego 2019 r.
Pismem z dnia 16 lipca 2019 r. Minister, działając na podstawie art. 61 § 1 i 4 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tj. Dz. U. z 2018 r., poz. 2096 ze. zm.; dalej k.p.a.) w związku z art. 5 UKSC zawiadomił spółkę o wszczęciu z urzędu postępowania administracyjnego w sprawie uznania jej za operatora usługi kluczowej: wytwarzanie ciepła.
W treści zawiadomienia organ zawarł pouczenie o prawie wglądu do akt sprawy, sporządzania z nich notatek, kopii lub odpisów, prawie do czynnego udziału w postępowaniu w każdym jego stadium oraz o możliwości wypowiedzenia się co do zebranych dowodów i materiałów. Następnie pismem z 30 lipca 2019 r. zawiadomił spółkę o zakończeniu zbierania materiałów i dowodów w sprawie oraz możliwości zapoznania się z aktami sprawy, w terminie 7 dni, od otrzymania zawiadomienia.
W dniu 7 sierpnia 2019 r. pełnomocnik spółki, r. pr. M. K. skorzystała z prawa zapoznania się z aktami sprawy (akta administracyjne k. 14).
Decyzją z dnia [...] sierpnia 2019 r. Minister uznał spółkę za operatora usługi kluczowej: wytwarzanie ciepła.
Przytaczając okoliczności faktyczne sprawy organ nadmienił, że w toku postępowania spółka nie skorzystała z przysługującego jej prawa wglądu do akt sprawy. Odwołując się do treści art. 5 ust. 2 UKSC wskazał natomiast, że dany podmiot może zostać uznany za operatora usługi kluczowej jeżeli:
1) świadczy usługę kluczową,
2) świadczenie tej usługi zależy od systemów informacyjnych,
3) incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.
Podkreślił jednocześnie, że sektory, podsektory oraz rodzaje podmiotów, które mogą być uznane za operatorów usług kluczowych określa załącznik nr 1 do UKSC. Przez usługę kluczową należy natomiast rozumieć usługę, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej i została wymieniona w wykazie usług kluczowych (2 pkt 16 UKSC). Nadmienił również, że system informacyjny to system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r., poz. 570 ze zm.) wraz z przetwarzanymi w nim danymi w postaci elektronicznej, a więc zespół współpracujących ze sobą urządzeń informatycznych i oprogramowania zapewniający przetwarzanie, przechowywanie, a także wysyłanie i odbieranie danych przez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci telekomunikacyjnego urządzenia końcowego w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2018 r., poz. 1954 ze zm.) (art. 2 pkt 14 UKSC). Incydent z kolei to zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo (art. 2 pkt 5 UKSC). Wskazał, że istotność skutku zakłócającego incydentu dla świadczenia usługi kluczowej określana jest na podstawie progów istotności skutku zakłócającego, które zostały określone w rozporządzeniu.
Uwzględniając ww. przepisy oraz zgromadzony w sprawie materiał dowodowy w postaci informacji przekazanych przez skarżącą drogą mailową w dniu 15 lutego 2019 r., informacji zawartych na stronie internetowej spółki oraz posiadanej przez spółkę Koncesji Nr [...] udzielonej przez Prezesa Urzędu Regulacji Energetyki na wytwarzanie ciepła organ ustalił, że: skarżąca jest przedsiębiorstwem energetycznym, o którym mowa w art. 3 pkt 12 ustawy Prawo energetyczne, posiadającym koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania ciepła oraz świadczy usługi kluczowe: wytwarzanie ciepła, których świadczenie zależy od systemów informacyjnych, tj.: rozproszony system sterowania DCS (ang. Distributed Control System), systemy zabezpieczeń sieci urządzeń OT (ang. Operational Technology - technologia operacyjna) oraz inne wskazane przez Spółkę.
Zdaniem organu, incydent w powyższych systemach może spowodować brak możliwości świadczenia usługi kluczowej bądź obniżenie jej jakości.
Organ zaznaczył, że zgodnie z rozporządzeniem przy określaniu progu istotności skutku zakłócającego incydentu dla świadczenia usługi kluczowej - wytwarzanie ciepła należy wziąć pod uwagę inne czynniki charakterystyczne dla danego podsektora takie, jak liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: minimum wynosząca 15.000 odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę), jak również inne czynniki charakterystyczne dla danego podsektora: moc zainstalowana cieplna wynosząca minimum 50 MWt. Wskazując powyższe podkreślił, że z informacji zawartych na stronie internetowej strony oraz z treści posiadanej przez nią koncesji Nr [...] wynika, że dysponuje ona łączną zainstalowaną mocą cieplną na poziomie 149 MWt, a tym samym przekracza wspomniany próg.
Przyjmując powyższe organ przyjął, że skarżąca spełnia przesłanki uznania jej za operatora usługi kluczowej.
Pismem z dnia 18 września 2019 r. spółka wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję, zarzucając jej naruszenie przepisów: art. 10 k.p.a., art. 7 w zw. z art. 77 § 1 k.p.a., art. 8 w zw. z art. 11 k.p.a, art. 80 k.p.a, art. 6 i innych dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii, art. 5 ust. 2 UKSC w związku z rozporządzeniem Rady Ministrów z dnia 11 września 2018 r.
Wskazując powyższe wnosiła o uchylenie zaskarżonej decyzji na podstawie art. 145 § 1 lit. a) i c) p.p.s.a. oraz zobowiązanie organu na podstawie art. 145a § 1 p.p.s.a. do wydania decyzji ze wskazaniem sposobu załatwienia sprawy, w szczególności poprzez przeprowadzenie postępowania dowodowego na okoliczność:
a) rzeczywistej liczby odbiorców energii cieplnej;
b) rzeczywistej, a nie wskazanej wyłącznie w treści koncesji ilości energii cieplnej wytwarzanej i dostarczanej przez skarżącą odbiorcom końcowym;
c) rzeczywistych skutków wystąpienia incydentu w wymienionych w decyzji systemach informacyjnych z jednoczesnym pozostawieniem rozstrzygnięcia w uznaniu organu, w zależności od wyników przeprowadzonego postępowania dowodowego;
d) zasądzenie zwrotu kosztów postępowania sądowego, w tym zwrotu kosztów zastępstwa procesowego według norm przepisanych.
W uzasadnieniu skargi wskazywała, że w jej ocenie, organ naruszył zasady czynnego udziału strony w postępowaniu bowiem pozbawił skarżącą możliwości wypowiedzenia się co do całego zebranego w sprawie materiału dowodowego oraz złożenia wyjaśnień dotyczących m.in.:
- rzeczywistej liczby odbiorców usługi kluczowej, która jej zdaniem wynosi poniżej minimum 15 000 (około 11.000), a to z kolei wiąże się z niespełnieniem kolejnych progów wymienionych w załączniku do rozporządzenia;
- rzeczywistej mocy wytwarzanego i sprzedawanego ciepła, która według skarżącej nie przekracza 50 MWt, w tym mocy dla odbiorców końcowych usługi kluczowej wynoszącej 22 MWt;
- mocy zainstalowanej minimum 50 MWt, która stanowi "inne czynniki charakterystyczne dla danego podsektora".
Podnosiła, że najistotniejszą kwestią w sprawie jest niespełnienie przez nią przesłanki ilości odbiorców, czego organ nie podjął się zbadać i wyjaśnić. Zarzucała oparcie decyzji wyłącznie na przedłożonej przez nią ankiecie, bez zbadania treści pola "uzasadnienie wyboru", a która to wymagała wyjaśnienia w postępowaniu dowodowym. Zarzucała, że organ gołosłownie i bez jakichkolwiek dowodów uznał, że spółka spełnia próg liczby odbiorców energii cieplnej, w żaden sposób nie ustalając mocy rzeczywiście wytwarzanej energii cieplnej (opierając się jedynie na wartości wskazanej w koncesji) oraz, że nie ustalając mocy rzeczywiście dostarczanej energii cieplnej do odbiorców (mając na uwadze, że to tylko jej nadmiar wytwarzany przez zakład). Twierdziła ponadto, że wdrożenie obowiązków wynikających z UKSC będzie przypadało w okresie prowadzenia kampanii cukrowniczej, co wiązać się będzie z jej kosztownym obciążeniem.
W jej ocenie, uzasadnienie zaskarżonej decyzji sporządzone zostało w sposób ogólnikowy, zarówno w zakresie prawnym, jak i faktycznym. W treści uzasadnienia organ nie wskazał, na jakiej podstawie ustalił określone fakty, a to świadczy o jego arbitralności.
Wskazując na naruszenie prawa materialnego podnosiła, że spełnienie przesłanek uznania za operatora usługi kluczowej nie wynika z samego faktu teoretycznego osiągnięcia określonego rzędu wielkości, wskazanego np. w treści koncesji. Stwierdzając powyższe należy wziąć pod uwagę zarówno przepisy UKSC i załącznika do rozporządzenia, jak i art. 6 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Zaznaczała, że w załączniku do rozporządzenia na pierwszym miejscu wskazana jest liczba odbiorców usługi kluczowej. Tym samym organ w pierwszym rzędzie powinien był zbadać tę okoliczność. Wskazała, że nie podała tego progu w ankiecie, poza "dodatkowym" - mocą ciepła, którą może wytworzyć maksymalnie, zgodnie z posiadaną koncesją. W ankiecie w polu "uzasadnienie wyboru" zaznaczyła natomiast, że "[...] SA jest firmą wielozakładową ([...]") zajmującą się produkcją cukru. Technologia produkcji cukru wymaga bezpiecznego zasilania fabryk w ciepło i energię elektryczną. Dlatego w każdej lokalizacji posiada elektrociepłownie produkujące energię cieplną i elektryczną na potrzeby własne w kogeneracji. Nadmiar energii cieplnej sprzedaje na potrzeby ogrzewania miasta a nadmiar energii elektrycznej do sieci państwowej przesyłowej". W jej ocenie organ całkowicie pominął kwestię rzeczywistej ilości dystrybuowanego ciepła, a ponadto przyjął arbitralną liczbę odbiorców nie przeprowadzając na tę okoliczność jakichkolwiek dowodów. Wskazała przy tym, że sama dyrektywa nie wskazuje energii cieplnej, jako objętej jej normami.
W odpowiedzi na skargę organ wniósł o jej oddalenie. Odnosząc się do zarzutów skargi wskazał, że w sprawie nie doszło do naruszenia zasady czynnego udziału strony w postępowaniu, bowiem skarżącej umożliwiono wypowiedzenie się co do zebranych dowodów i materiałów, informując o tym prawie w zawiadomieniu z dnia 16 lipca 2019 r. Ponadto w dniu 30 lipca 2019 r. organ wystosował do spółki zawiadomienie, w którym poinformował o możliwości zapoznania się z aktami sprawy, w terminie 7 dni, od otrzymania zawiadomienia w związku zakończeniem zbierania materiałów i dowodów w sprawie. W dniu 7 sierpnia 2019 r. skarżąca, działając poprzez pełnomocnika zapoznała się z aktami sprawy, a mimo to do dnia wydania decyzji nie przedstawiła stanowiska w kwestii zebranych dowodów. Organ nadmienił ponadto, że poczyniona w decyzji wzmianka o niezapoznaniu się przez skarżącego z aktami sprawy stanowi błąd pisarski, który pozostawał bez wpływu na sytuację strony wynikającą ze skarżonej decyzji.
Analizując zarzut naruszenia art. 7 k.p.a. w związku z art. 77 § 1 k.p.a. wskazał, że wbrew twierdzeniom skarżącej nie może brać pod uwagę rzeczywistej wytwarzanej przez nią mocy cieplnej. Podkreślił, że sytuacja, w której organ miałby brać pod uwagę moc rzeczywiście wytwarzaną cieplną przysparzałby organowi szczególnych trudności przy identyfikacji operatorów usługi kluczowej: wytwarzanie ciepła, gdyż moc rzeczywiście wytwarzana może podlegać znacznym fluktuacjom, w zależności od bieżącego zapotrzebowania przedsiębiorcy lub jego odbiorców. Konsekwencją tego stanu rzeczy byłaby sytuacja, w której w momencie wytwarzania odpowiedniej ilości mocy cieplnej przedsiębiorstwo mogłoby być uznane za operatora usługi kluczowej, a w momencie wytwarzania mniejszej ilości mocy cieplnej, ta przesłanka już by nie zachodziła. Organ nadmienił, że zgodnie z zamysłem ustawodawcy dla usługi kluczowej - wytwarzanie ciepła (jak i dla innych usług dotyczących wytwarzania energii) należy brać pod uwagę moc zainstalowaną, która ma stały charakter. Odwołując się do udzielonej skarżącej koncesji na wytwarzanie ciepła wskazał, że znajduje się w niej zapis o mocy osiągalnej cieplnej posiadanych przez spółkę źródeł ciepła. Powyższe przysporzyło organowi wątpliwości interpretacyjnych dotyczących tego zapisu, dlatego też wystąpił do organu wydającego koncesję o wyjaśnienia w tym zakresie. W odpowiedzi zawarto informację, że moc osiągalna cieplna źródeł ciepła skarżącej jest znacząco zbliżona do mocy cieplnej zainstalowanej jej źródeł.
Odpierając zarzut nieprzeprowadzenia dowodów na okoliczność rzeczywistej liczby odbiorców wytwarzanej energii cieplnej organ podkreślił, że wskazany próg nie znajdował się w zainteresowaniu organu. Wskazanie w decyzji spełnienia tego progu przez stronę miało charakter incydentalnego błędu pisarskiego, w rozumieniu art. 113 k.p.a., i nie wpływało na sytuację strony wynikającą ze skarżonej decyzji.
Odnosząc się do zarzutu nieprzeprowadzenia dowodów na okoliczności skutków wystąpienia incydentu podkreślił, że jako dowód na okoliczności skutków wystąpienia incydentu w systemach informacyjnych skarżącej przyjął ankietę, którą spółka przekazała organowi w formie elektronicznej w dniu 15 lutego 2019 r. Jak zaznaczył był do tego uprawniony na podstawie art. 43 ust. 6 UKSC w związku z art. 43 ust. 1 UKSC. W ankiecie skarżąca wskazała, że dla wymienionych systemów informacyjnych służących do świadczenia usługi kluczowej: wytwarzanie ciepła, wpływ awarii systemu informacyjnego na świadczenie usługi kluczowej będzie skutkował brakiem możliwości świadczenia usługi kluczowej. Wskazane informacje organ mógł uzyskać jedynie od skarżącej, gdyż dotyczą one szczególnie wrażliwych dla jej działalności systemów informacyjnych oraz ich roli w świadczeniu usługi, które to informacje stanowią tajemnicę przedsiębiorstwa.
Za niezasadny organ uznał zarzut oparcia rozstrzygnięcia wyłącznie na treści części ankiety, tj. na twierdzeniu strony, że "nadmiar energii cieplnej jest przez nią sprzedawany na potrzeby ogrzewania miasta, a nadmiar energii elektrycznej do sieci państwowej przesyłowej". Jak podkreślił, ustawodawca nigdzie nie zdefiniował, czy przedsiębiorstwo, które sprzedaje nadmiar produkowanej przez siebie energii ma być traktowane w sposób odrębny od przedsiębiorstw sprzedających całość wytwarzanej przez siebie energii. Jeżeli nie ma podstawy prawnej do traktowania w odrębny sposób tych przedsiębiorstw, organ jest zobowiązany traktować je w równy sposób i rozstrzygać w ich sprawach na bazie utrwalonej praktyki, na podstawie art. 8 § 2 k.p.a.
Zdaniem organu, wbrew twierdzeniom skarżącej, nie można przyjąć, że uzasadnienie skarżonej decyzji zostało sformułowanie w sposób ogólnikowy, w całości opierający się o cytowanie przepisów bez odniesienia do określonych okoliczności stanu faktycznego i innych wymienionych w skardze oraz, że przy wydaniu zaskarżonej decyzji doszło do naruszania art. 80 k.p.a. Zdaniem organu, analiza zebranych w sprawie dowodów i materiałów dawała podstawę do stwierdzenia, że w toku postępowania udowodnione zostało spełnienie przez skarżącą przesłanki uznania jej za operatora usługi kluczowej, czego wyraz dał w uzasadnieniu zaskarżonej decyzji.
Organ zaznaczył również, że w sprawie nie doszło do naruszenia przepisów prawa materialnego poprzez przyjęcie jako wystarczające dla posiadania przez spółkę przymiotu operatora usługi kluczowej wyłącznie przesłanki określonej w lit. g) inne czynniki charakterystyczne dla danego podsektora: moc zainstalowana cieplna wynosząca minimum 50 MWt oraz nieuwzględnienie i niezbadanie treści sformułowanej przez skarżącą w "uzasadnieniu wyboru" w ankiecie przekazanej w dniu 15 lutego 2019 r. Wskazując powyższe organ podniósł, że przytoczona przez skarżącą dyrektywa sama w sobie nie stanowi prawa obowiązującego w Rzeczypospolitej Polskiej a numeracja progów określonych dla usługi kluczowej: wytwarzanie ciepła w załączniku do rozporządzenia ma charakter jedynie porządkowy, nie wyznacza zaś sposobu brania ich pod uwagę przez organ jako następujących po sobie. Tym samym za nieprawidłowe organ uznał stwierdzenie strony, że organ powinien badać okoliczności opisane w progach załącznika do rozporządzenia jako kolejne, wynikające po sobie czynniki, które kolejno musi spełniać podmiot brany pod uwagę jako operator usługi kluczowej.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
skarga jest nieuzasadniona. Zaskarżona decyzja nie jest bowiem wadliwa w stopniu uzasadniającym wyeliminowanie jej z obrotu.
Sprawa administracyjna, której dotyczy niniejsze postępowanie, odnosi się do kwestii uznania przedsiębiorcy na podstawie UKSC za operatora usługi kluczowej (tj. usługi, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej, wymienioną w wykazie usług kluczowych - art. 2 pkt 16 UKSC).
Warunki uznania podmiotu za operatora usługi kluczowej określone zostały w art. 5 ww. ustawy. W jego ust. 2 i 3 mowa jest o tym, że organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję o uznaniu podmiotu za operatora usługi kluczowej, jeżeli:
1) podmiot świadczy usługę kluczową;
2) świadczenie tej usługi zależy od systemów informacyjnych;
3) incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.
Istotność skutku zakłócającego incydentu dla świadczenia usługi kluczowej, o którym mowa w ust. 2 pkt 3, określana jest na podstawie progów istotności skutku zakłócającego. Przepisy w tym zaś zakresie zawiera rozporządzenie Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych (Dz.U. z 2018 r., poz. 1806).
Na podstawie postanowień załącznika do ww. rozporządzenia skarżącą spółkę zakwalifikowano w sektorze - Energia, podsektorze - Ciepło, Rodzaj podmiotu - Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. - Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania ciepła, Usługa kluczowa -Wytwarzanie ciepła.
Progi istotności skutku zakłócającego incydentu dla świadczenia ww. usługi kluczowej w załączniku do rozporządzenia określono następująco:
a) liczba użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot: minimum wynosząca 15 tys. odbiorców końcowych oraz użytkowników lokali mieszkalnych i użytkowych w budynkach wielolokalowych, zamieszkiwanych lub użytkowanych przez osoby niebędące odbiorcami (w odniesieniu do których umowa z przedsiębiorstwem energetycznym została zawarta przez odbiorcę),
b) zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot: nie dotyczy,
c) wpływ, jaki incydent, jeżeli chodzi o skalę i czas trwania, mógłby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne: wpływ na co najmniej 50% odbiorców, o których mowa w lit. a,
d) udział podmiotu świadczącego usługę kluczową w rynku: wynoszący powyżej 50%,
e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent: nie dotyczy,
f) zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia: nie dotyczy,
g) inne czynniki charakterystyczne dla danego podsektora: moc zainstalowana cieplna wynosząca minimum 50 MWt.
Ww. progi odpowiadają czynnikom międzysektorowym określonym w art. 6 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Przepis ten stanowi, że przy określaniu istotności skutku zakłócającego, o którym mowa w art. 5 ust. 2 lit. c), państwa członkowskie uwzględniają co najmniej następujące czynniki międzysektorowe:
a) liczbę użytkowników zależnych od usługi świadczonej przez dany podmiot;
b) zależność innych sektorów, o których mowa w załączniku II, od usługi świadczonej przez ten podmiot;
c) wpływ, jaki incydenty - jeżeli chodzi o ich skalę i czas trwania - mogłyby mieć na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne;
d) udział tego podmiotu w rynku;
e) zasięg geograficzny związany z obszarem, którego mógłby dotyczyć incydent;
f) znaczenie podmiotu w utrzymywaniu wystarczającego poziomu usługi przy uwzględnieniu dostępności alternatywnych sposobów świadczenia tej usługi.
W ust. 2 ww. artykułu wskazano, że w celu ustalenia, czy incydent miałby istotny skutek zakłócający, państwa członkowskie, w stosownych przypadkach uwzględniają także czynniki sektorowe.
Porównując przepisy dyrektywy i rozporządzenia krajowego widać, że polski prawodawca uznał, że w przypadku usługi kluczowej - wytwarzanie ciepła przy określaniu istotności skutku zakłócającego mogą mieć znaczenie 3 czynniki międzysektorowe (z 6 określonych w dyrektywie) oraz jeden charakterystyczny dla tego podsektora.
Sąd dostrzegł w ww. zakresie błąd organu, który w zaskarżonej decyzji przy ustalaniu progu istotności skutku zakłócającego incydentu dla świadczenia usługi kluczowej - odwołał się do przesłanki związanej z liczbą użytkowników zależnych od usługi kluczowej, mimo że okoliczności w ww. zakresie nie były przedmiotem ustaleń w postępowaniu administracyjnym.
Błąd ten nie ma jednak charakteru dyskwalifikującego, tj. nie ma wpływu na wynik sprawy.
Organ w uzasadnieniu powołał bowiem - obok wskazanej wyżej - jeszcze jedną okoliczność prawnie doniosłą na gruncie art. 5 ust. 2 pkt 3 UKSC, mianowicie uwzględnił inne czynniki charakterystyczne dla danego podsektora, tj. moc zainstalowaną cieplną wynoszącą minimum 50 MWt.
Te z kolei okoliczności zostały ustalone na podstawie danych wynikających z koncesji wydanej na rzecz spółki na okres od 30 kwietnia 2005 do 30 kwietnia 2025 r. W pkt 1 koncesji ("Przedmiot i zakres działalności") wskazano, że przedmiot działalności objętej koncesją stanowi działalność gospodarcza polegająca na wytwarzaniu ciepła w następujących źródłach ciepła:
- Elektrociepłownia cukrowni w G. przy ul. [...], o łącznej osiągalnej mocy cieplnej 58,0 MWt, w której ciepło pochodzi z przetwarzania miału z węgla kamiennego w 4 kotłach parowych,
- Elektrociepłownia cukrowni w S.., przy ul. [...] o łącznej mocy cieplnej 91,0 MWt, w której ciepło pochodzi z przetwarzania miału z węgla kamiennego w 4 kotłach parowych.
W toku postępowania organ - pismem z dnia 26 września 2019 r. - zwrócił się do Dyrektora Rynków Energii Elektrycznej i Ciepła w Urzędzie Regulacji Energetyki w celu wyjaśnienia różnic terminologicznych pomiędzy sformułowaniem "łączna osiągalna moc cieplna" (użytym w treści koncesji) a pojęciem "moc zainstalowana cieplna" (użytym w rozporządzeniu). Ze znajdujących się w aktach wyjaśnień Urzędu Regulacji Energetyki wynika, że osiągalna moc cieplna jest wielkością zbliżoną do mocy cieplnej zainstalowanej, ale nie można jednoznacznie stwierdzić, że zawsze wielkości te będą się pokrywać.
Nie ma jednak podstaw aby zakwestionować ustalenia organu, że skarżąca - dysponując łączną osiągalną mocą cieplną na poziomie 149 MWt - przekracza tym samym próg wyznaczony w rozporządzeniu mocą zainstalowaną cieplną wynoszącą minimum 50 MWt.
Sąd potwierdza prawidłowość ustaleń organu dokonanych w ww. zakresie, tj. oparcie się na danych z koncesji posiadanej przez spółkę.
Podejście spółki do przedmiotowej kwestii - tj. domaganie się oparcia ustaleń na rzeczywistej wartości wyprodukowanego ciepła - jest nie do zaakceptowania. Przyjęcie takiego stanowiska spowodowałoby brak stałości statusu spółki jako operatora usługi kluczowej. Zmiany w wielkości produkcji ciepła (pozostające w sferze decyzyjnej spółki) musiałyby skutkować zmienną oceną spółki w ww. zakresie na gruncie UKSC. Sama spółka miałaby wpływ na swój status operatora usługi kluczowej.
Sąd podziela w tym zakresie logiczne wywody organu zawarte w odpowiedzi na skargę. Wskazano tam, że sytuacja, w której organ miałby brać pod uwagę moc rzeczywiście wytwarzaną cieplną przysparzałaby organowi szczególnych trudności przy identyfikacji operatorów usługi kluczowej - wytwarzanie ciepła, gdyż moc rzeczywiście wytwarzana może podlegać znacznym fluktuacjom, w zależności od bieżącego zapotrzebowania przedsiębiorcy lub jego odbiorców. Konsekwencją tego stanu rzeczy byłaby sytuacja, w której w momencie wytwarzania odpowiedniej ilości mocy cieplnej przedsiębiorstwo mogłoby być uznane za operatora usługi kluczowej, a w momencie wytwarzania mniejszej ilości mocy cieplnej, ta przesłanka już by nie zachodziła.
Sąd wskazuje, że nie ma przy tym żadnego powodu dla uznania, że znaczące w sprawie są - podnoszone przez spółkę - okoliczności związane z przeznaczeniem wytwarzanej przez nią energii cieplnej, tj. że energia ta wytwarzana na potrzeby innej działalności prowadzonej przez skarżącą, oraz fakt, że tylko nadwyżka tej produkcji jest sprzedawana dla zaspokojenia potrzeb publicznych.
Żaden przepis krajowy ani wspólnotowy nie naprowadza na potrzebę dokonywania jakichkolwiek ustaleń w ww. zakresie. Trafnie w tej kwestii podniósł Minister, że ustawodawca nie zdefiniował ani w przepisach ustawy, ani w załączniku do rozporządzenia tego, czy przedsiębiorstwo, które sprzedaje nadmiar produkowanej przez siebie energii ma być traktowane w sposób odrębny od przedsiębiorstw sprzedających całość wytwarzanej przez siebie energii. Jeżeli nie ma podstawy prawnej do traktowania w odrębny sposób tych przedsiębiorstw, organ jest zobowiązany traktować je w równy sposób i rozstrzygać w ich sprawach na bazie utrwalonej praktyki na podstawie art. 8 § 2 k.p.a.
Sąd podziela też sposób rozumienia i zastosowania w sprawie kryteriów uznania, że spełniony został warunek z art. 5 ust. 2 pkt 3 ustawy. Organ przyjął bowiem, że każdy z poszczególnych progów istotności skutku zakłócającego incydentu dla świadczenia usługi kluczowej określony w załączniku do rozporządzenia stanowi samodzielne kryterium, spełnienie którego przez podmiot świadczący usługę kluczową, świadczenie której zależy od systemów informacyjnych, przesądza o tym, że incydent miałby istotny skutek zakłócający dla świadczenia tej usługi.
Przepisy krajowe muszą bowiem podlegać wykładni respektującej regulacje wspólnotowe. W tym zaś zakresie wskazać należy, że ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Istotne jest przy tym zrozumienie celów dyrektywy. Informacji w tym zakresie dostarcza preambuła dyrektywy, z której wynika m.in., że sieci oraz systemy i usługi informatyczne pełnią ważną rolę w społeczeństwie. Ich niezawodność i bezpieczeństwo mają zasadnicze znaczenie dla działalności gospodarczej i społecznej, w szczególności dla funkcjonowania rynku wewnętrznego. Skala, częstotliwość oraz wpływ incydentów w zakresie bezpieczeństwa stają się coraz większe i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. Systemy te mogą się również stać obiektem umyślnych szkodliwych działań, mających na celu uszkodzenie lub przerwanie ich działania. Tego typu incydenty mogą utrudniać prowadzenie działalności gospodarczej, powodować znaczne straty finansowe, podważać zaufanie użytkowników oraz powodować poważne straty w gospodarce Unii. Sieci i systemy informatyczne, a przede wszystkim internet, odgrywają istotną rolę w ułatwianiu transgranicznego przepływu towarów, usług i osób. Ze względu na ponadnarodowy charakter tych systemów, ich znaczne zakłócenia - niezależnie od tego, czy umyślne czy nieumyślne, oraz niezależnie od tego, gdzie występują - mogą mieć wpływ zarówno na poszczególne państwa członkowskie, jak i na całą na Unię. Bezpieczeństwo sieci i systemów informatycznych ma zatem zasadnicze znaczenie dla sprawnego funkcjonowania rynku wewnętrznego.
Skuteczne reagowanie na wyzwania związane z zapewnieniem bezpieczeństwa sieci i systemów informatycznych wymaga zatem przyjęcia całościowego podejścia na poziomie Unii, obejmującego wymogi dotyczące budowania i planowania wspólnych minimalnych zdolności, wymianę informacji, współpracę oraz wspólne wymogi w zakresie bezpieczeństwa dla operatorów usług kluczowych i dostawców usług cyfrowych.
Takie założenia dyrektywy przekonują o uznaniu wysokiej rangi problemu cyberbezpieczeństwa w ustawodawstwie wspólnotowym.
Przepisy krajowe - jak dostrzeżono w projekcie ustawy UKSC - z jednej strony mają zapewniać pełną efektywność prawa wspólnotowego, z drugiej zaś – zapewnić systemowe podejście do krajowego systemu bezpieczeństwa w obliczu stale rosnących i dynamicznie się zmieniających zagrożeń cyberbezpieczeństwa dla funkcjonowania państwa, gospodarki i społeczeństwa. Zatem wykładnia przepisów krajowych zakładająca obowiązek spełnienia - dla zaistnienia kryterium z art. 5 ust. 2 pkt 3 ustawy - wszystkich progów istotności incydentu doprowadziłaby do istotnego ograniczenia oddziaływania przepisów dyrektywy i zniweczyłaby jej cele. Doszłoby bowiem do istotnego zawężenia kręgu adresatów obowiązków związanych z cyberbezpieczeństwem z powodu uznania zaistnienia prawnie doniosłego skutku zakłócającego dla świadczenia usługi kluczowej dopiero wtedy, gdy w jednej sprawie spełnione zostałyby wszystkie czynniki międzysektorowe opisane w dyrektywie i odtworzone w prawie krajowym, a w stosownych przypadkach - także czynniki sektorowe.
Przyjmując w ww. zakresie za swój pogląd organu, Sąd nie podzielił zastrzeżeń strony skarżącej co do naruszeń prawa materialnego przez organ.
W sprawie nie budzi także wątpliwości i to, że świadczenie usługi kluczowej przez spółkę zależy systemów informacyjnych. Przyznała to w sama spółka. W informacji sporządzonej przez spółkę w trybie art. 43 ust. 1 ustawy (przekazanej organowi w formie elektronicznej w dniu 15 lutego 2019 r.), spółka wskazała, że awaria systemu informacyjnego uniemożliwi jej świadczenie usługi kluczowej.
Posłużenie się ww. informacjami przez organ i dokonanie na ich podstawie ustaleń istotnych dla rozstrzygnięcia sprawy jest dopuszczalne z uwagi na treść ust. 6 art. 43 ustawy, zgodnie z którym informacje udzielone przez podmiot lub operatora usługi kluczowej, o których mowa w ust. 1 i 2, mogą stanowić materiał dowodowy we wszczętym postępowaniu administracyjnym lub kontroli (...).
Nie są także zasadne zarzuty naruszenia przepisów postępowania odwołujące się do sposobu sporządzenia przez organ motywów decyzji i akcentujące ogólnikowość uzasadnienia zarówno w zakresie prawnym, jak i faktycznym.
Sąd wyjaśnia, że stopień szczegółowości uzasadnienia zależy od charakteru sprawy, której decyzja dotyczy. Zgodnie z art. 107 § 3 k.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Naczelny Sąd Administracyjny w wyroku z 24 kwietnia 2018 r., sygn. akt I OSK 1351/16 (CBOSA) podkreślił, że do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów, wymienionych w tym przepisie albo gdy mimo formalnej poprawności jego treść - ze względu np. na ogólnikowość stwierdzeń i argumentów - nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie.
W tej zaś sprawie organ wykazał i wyjaśnił, że na podstawie posiadanych dowodów (koncesja udzielona spółce) oraz informacji pochodzących od niej samej, miał podstawy uznać, że prawnie doniosłe dla rozstrzygnięcia okoliczności zostały ustalone. Organ dysponował bowiem dowodami niezbędnymi dla uznania skarżącej za operatora usługi kluczowej, gdyż:
1) skarżąca świadczy usługę kluczową - na podstawie posiadanej koncesji na wytwarzanie ciepła, która to usługa została ujęta w załączniku do rozporządzenia;
2) świadczenie tej usługi zależy od systemów informacyjnych - zgodnie z przekazanymi w toku postępowania administracyjnego informacjami, otrzymanymi od skarżącej w ankiecie w dniu 15 lutego 2019 r.;
3) incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora - zgodnie z załącznikiem do rozporządzenia, biorąc pod uwagę dla usługi kluczowej: wytwarzanie ciepła próg g), tj. inne czynniki charakterystyczne dla danego podsektora - moc zainstalowana cieplna wynosząca minimum 50 MWt - zgodnie z informacjami ujętymi w koncesji udzielonej skarżącej na wytwarzanie ciepła, na podstawie której przekracza ona wskazaną moc zainstalowaną cieplną.
Nie ma również powodu do uznania zasadności zarzutu naruszania art. 10 § 1 k.p.a. Skarżąca musiałaby bowiem wykazać, że działanie organu uniemożliwiło jej dokonanie konkretnej czynności procesowej. Dopiero wykazanie powyższego, a następnie także wykazanie, że uchybienie to miało istotny wpływ na wynik sprawy, dawałoby podstawy do przyjęcia, że doszło do naruszenia art. 10 k.p.a. (por. wyrok NSA z dnia 24 maja 2007 r., II GSK 4/07; LEX nr 351055). Skarżąca zaś takich okoliczności nie powołała, a również Sąd - rozpoznając sprawę zgodnie z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), dalej "p.p.s.a." - nie dopatrzył się w sprawie naruszenia ww. przepisu.
Zatem organ nie naruszył przepisów postępowania, co zarzuca mu się w skardze.
Wobec niezasadności zarzutów skargi oraz niestwierdzenia tego rodzaju uchybień, które mogłyby mieć wpływ na treść rozstrzygnięcia, a które Sąd ma obowiązek badać z urzędu - skargę należało oddalić na podstawie art. 151 p.p.s.a.