Cyberprzestępczość coraz częściej opiera się nie tylko na działaniach pojedynczych sprawców, lecz także na dostarczaniu oprogramowania, urządzeń i innych narzędzi umożliwiających przeprowadzanie ataków lub uzyskiwanie nieuprawnionego dostępu do danych i systemów.
Od 21 lipca 2026 r. obowiązuje zmieniony art. 269b § 1 Kodeksu karnego. Nowelizację wprowadziła ustawa z dnia 15 maja 2026 r. o zmianie ustawy – Kodeks karny, ogłoszona 6 lipca 2026 r. w Dz.U. 2026 poz. 902.[1]
Zmiana była związana z pełniejszym wdrożeniem do polskiego prawa dyrektywy Parlamentu Europejskiego i Rady 2013/40/UE dotyczącej ataków na systemy informatyczne. W uzasadnieniu projektu wskazano wprost, że dotychczasowa regulacja nie obejmowała wszystkich zachowań wymaganych przez prawo Unii Europejskiej.[3]
Co dokładnie zmieniło się 21 lipca 2026 r.?
Sama nowelizacja jest bardzo krótka. W art. 269b § 1 Kodeksu karnego dotychczasowe odesłanie wyłącznie do art. 267 § 3 zostało zastąpione odesłaniem do art. 267 § 1–3.[1]
W praktyce oznacza to rozszerzenie odpowiedzialności za wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie innym osobom urządzeń albo programów komputerowych przystosowanych do popełniania przestępstw określonych w art. 267 § 1 i § 2 Kodeksu karnego. Art. 267 § 3 był objęty tym przepisem już wcześniej.[2]
Warto przy tym pamiętać, że art. 269b już przed zmianą obejmował także narzędzia przystosowane do popełniania innych przestępstw komputerowych wymienionych w tym przepisie, między innymi określonych w art. 268a, art. 269 i art. 269a Kodeksu karnego. Nowelizacja z 2026 r. nie stworzyła więc tego typu odpowiedzialności od podstaw, lecz rozszerzyła istniejący katalog.
Art. 267 § 1 – nieuprawniony dostęp do informacji
Pierwszą z nowych kategorii objętych art. 269b jest art. 267 § 1 Kodeksu karnego. Przepis ten dotyczy osoby, która bez uprawnienia uzyskuje dostęp do informacji dla niej nieprzeznaczonej, między innymi poprzez otwarcie zamkniętego pisma, podłączenie się do sieci telekomunikacyjnej albo przełamanie lub ominięcie elektronicznego, magnetycznego, informatycznego lub innego szczególnego zabezpieczenia.[2]
Od 21 lipca 2026 r. art. 269b może więc obejmować także odpowiednie urządzenia i programy przystosowane do popełniania tego rodzaju czynów.
To właśnie w tej części art. 267 znajdują się zachowania związane z przełamywaniem lub omijaniem zabezpieczeń. Wcześniej art. 269b odwoływał się natomiast jedynie do § 3, który dotyczy innego sposobu nieuprawnionego zdobywania informacji.
Art. 267 § 2 – dostęp do systemu informatycznego
Drugą istotną zmianą jest objęcie odesłaniem art. 267 § 2. Przepis ten penalizuje nieuprawnione uzyskanie dostępu do całości lub części systemu informatycznego.[2]
Po nowelizacji odpowiedzialność z art. 269b może więc dotyczyć także wytwarzania, pozyskiwania, sprzedaży lub udostępniania programów i urządzeń przystosowanych do takiego nieuprawnionego dostępu.
W uzasadnieniu projektu wskazano, że rozszerzenie o art. 267 § 1 i § 2 ma uzupełnić polskie przepisy w zakresie wymaganym przez unijną dyrektywę dotyczącą ataków na systemy informatyczne.[3]
Podsłuchy i oprogramowanie szpiegowskie były objęte przepisem wcześniej
Ważne jest odróżnienie nowych elementów od tych, które znajdowały się w art. 269b już wcześniej. Art. 267 § 3 dotyczy osoby, która w celu uzyskania informacji, do której nie jest uprawniona, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem.[2]
Ten paragraf był wymieniony w art. 269b także przed 21 lipca 2026 r. Nie można więc powiedzieć, że dopiero tegoroczna nowelizacja wprowadziła odpowiedzialność za dostarczanie wszystkich urządzeń podsłuchowych czy oprogramowania służącego do nielegalnej inwigilacji.
Nowością jest rozszerzenie regulacji także na narzędzia przystosowane do czynów z § 1 i § 2, czyli między innymi do nieuprawnionego uzyskiwania informacji poprzez omijanie zabezpieczeń oraz uzyskiwania dostępu do systemów informatycznych.
Czy każdy program, którym można się włamać, jest nielegalny?
Nie. Art. 269b nie zakazuje po prostu wszystkich programów i urządzeń, które technicznie mogą zostać wykorzystane również w sposób przestępczy.
Przepis posługuje się określeniem urządzeń i programów „przystosowanych do popełnienia” wskazanych przestępstw. Ma to szczególne znaczenie w branży cyberbezpieczeństwa, ponieważ wiele legalnie wykorzystywanych narzędzi może mieć podwójne zastosowanie – służyć zarówno do testowania zabezpieczeń, jak i do prowadzenia niedozwolonych działań.
Nie należy więc wyciągać wniosku, że samo zainstalowanie popularnego programu używanego przez administratorów, audytorów bezpieczeństwa czy testerów penetracyjnych automatycznie oznacza popełnienie przestępstwa. Ocena zależy od cech konkretnego narzędzia, sposobu jego pozyskania lub udostępnienia oraz okoliczności działania sprawcy.
Etyczni hakerzy i specjaliści bezpieczeństwa
Kodeks karny zawiera szczególne wyłączenie chroniące legalne działania służące cyberbezpieczeństwu. Zgodnie z art. 269b § 1a nie popełnia przestępstwa określonego w § 1 osoba, która działa wyłącznie w celu zabezpieczenia systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej przed wskazanym w tym przepisie przestępstwem albo w celu opracowania metody takiego zabezpieczenia.[2]
Przepis ten nie został wprowadzony w 2026 r. – obowiązywał już wcześniej i tegoroczna nowelizacja nie zmieniła jego treści. W dokumentach z procesu legislacyjnego Ministerstwo Sprawiedliwości podkreślało, że istniejące wyłączenie nadal obejmuje legalną działalność z zakresu cyberbezpieczeństwa, w tym testowanie systemów służące ich zabezpieczeniu.[3]
Nie oznacza to jednak, że każde działanie opisane przez sprawcę jako „edukacyjne” albo „badawcze” jest automatycznie wyłączone spod odpowiedzialności. Art. 269b § 1a wskazuje konkretnie działanie wyłącznie w celu zabezpieczenia systemu lub opracowania metody takiego zabezpieczenia. Każdy przypadek wymaga więc oceny rzeczywistych okoliczności.
Czy trzeba działać w celu popełnienia cyberprzestępstwa?
Sam art. 269b § 1 nie zawiera sformułowania, zgodnie z którym narzędzie musi być wytwarzane albo udostępniane „w celu popełnienia przestępstwa”. Przepis wymaga natomiast, aby chodziło o urządzenia lub programy przystosowane do popełnienia jednego z wymienionych w nim czynów.
Kwestia ta była przedmiotem dyskusji podczas prac nad ustawą. Krajowa Rada Sądownictwa wskazywała w swojej opinii, że unijna dyrektywa odwołuje się do działania umyślnego w celu popełnienia wskazanych przestępstw, natomiast konstrukcja polskiego art. 269b jest szersza pod względem strony podmiotowej.[5]
Dlatego nie jest prawidłowe przyjmowanie jako ogólnej zasady, że odpowiedzialność na podstawie art. 269b zawsze wymaga udowodnienia szczególnego celu dokonania przyszłego włamania. Znaczenie mają wszystkie znamiona przepisu oraz ogólne zasady odpowiedzialności karnej.
Jaka kara grozi za naruszenie art. 269b?
Za czyn określony w art. 269b § 1 grozi kara pozbawienia wolności od 3 miesięcy do 5 lat.[2]
Nowelizacja obowiązująca od 21 lipca 2026 r. nie podwyższyła ani nie obniżyła tej kary. Zmienił się zakres czynów, do których może odnosić się wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie narzędzi.
Kodeks przewiduje również konsekwencję dotyczącą samych przedmiotów. W razie skazania sąd orzeka przepadek przedmiotów określonych w art. 269b § 1. Jeżeli nie stanowiły własności sprawcy, sąd może orzec ich przepadek.[2]
Co naprawdę zmieniła nowelizacja?
Zmiana z 21 lipca 2026 r. jest stosunkowo niewielka pod względem objętości ustawy, ale istotna dla zakresu art. 269b Kodeksu karnego. Do dotychczasowego odesłania do art. 267 § 3 dodano § 1 i § 2, dzięki czemu regulacja obejmuje szerszą kategorię urządzeń i oprogramowania przystosowanego do nieuprawnionego uzyskiwania informacji oraz dostępu do systemów informatycznych.
Nie oznacza to jednocześnie generalnego zakazu tworzenia czy używania narzędzi cyberbezpieczeństwa. Legalne testy i działania ochronne nadal korzystają z istniejącego wyłączenia przewidzianego w art. 269b § 1a, o ile rzeczywiście spełniają określone tam warunki.
Podstawa prawna i źródła
- Ustawa z dnia 15 maja 2026 r. o zmianie ustawy – Kodeks karny, Dz.U. 2026 poz. 902 – rozszerzenie art. 269b § 1 z odesłania do art. 267 § 3 na art. 267 § 1–3; wejście w życie 21 lipca 2026 r.: ELI – Dz.U. 2026 poz. 902.
- Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny, tekst jednolity Dz.U. 2025 poz. 383 ze zmianami – w szczególności art. 267 oraz art. 269b: ELI – Kodeks karny.
- Rządowy projekt ustawy o zmianie ustawy – Kodeks karny, druk sejmowy nr 2398 wraz z uzasadnieniem – cel nowelizacji, implementacja dyrektywy 2013/40/UE oraz zakres zmiany art. 269b: Sejm RP – druk nr 2398.
- Dyrektywa Parlamentu Europejskiego i Rady 2013/40/UE z dnia 12 sierpnia 2013 r. dotycząca ataków na systemy informatyczne – w szczególności art. 3, 6 i 7: EUR-Lex – dyrektywa 2013/40/UE.
- Krajowa Rada Sądownictwa, opinia z dnia 6 lutego 2026 r. do projektu UC128 – uwagi dotyczące zakresu odpowiedzialności oraz strony podmiotowej projektowanego art. 269b: KRS – opinia do projektu UC128.
- Kancelaria Senatu, Biuro Legislacyjne, opinia z dnia 27 maja 2026 r. do ustawy o zmianie ustawy – Kodeks karny, druk senacki nr 726 – omówienie celu i zakresu rozszerzenia art. 269b: Senat RP – opinia do druku nr 726.