VI SA/Wa 1436/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Jakub Linkowski (spr.) Sędziowie Sędzia WSA Dorota Dziedzic-Chojnacka Sędzia WSA Danuta Szydłowska Protokolant st. spec. Patrycja Kumicz po rozpoznaniu na rozprawie w dniu 27 listopada 2019 r. sprawy ze skargi [...] S.A. z siedzibą w W. na decyzję Ministra Cyfryzacji z dnia [...] kwietnia 2019 r. nr [...] w przedmiocie uznania za operatora usługi kluczowej oddala skargę Przedmiotem zaskarżenia jest decyzja Ministra Cyfryzacji z dnia [...] kwietnia 2019r. nr [...], którą organ ten działając na podstawie art. 138 § 1 pkt 1 w zw. z art. 127 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm.) oraz art. 5 ust. 2, art. 41 pkt 8 i art. 42 ust. 1 pkt 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2018 poz. 1560), po rozpatrzeniu wniosku o ponowne rozpatrzenie sprawy, złożonego przez O. S.A. z siedzibą w [...] od decyzji Ministra Cyfryzacji z dnia [...] stycznia 2019 r., znak pisma [...], którą uznano stronę za operatora usługi kluczowej - utrzymał w mocy zaskarżoną decyzję. Decyzja została wydana w następujących okolicznościach faktycznych i prawnych. Pismem z dnia 15 listopada 2018 r., Minister Cyfryzacji zawiadomił O. S.A. z siedzibą w [...] o wszczęciu postępowania w sprawie uznania za operatora usługi kluczowej. Pismami z dnia 5 i 24 grudnia 2018 r. Strona zakwestionowała możliwość uznania jej za operatora usługi kluczowej. Strona podniosła, iż posiada status przedsiębiorcy telekomunikacyjnego w związku z czym zastosowanie znajduje art. 1 ust. 2 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej zwana: UKSC), który wskazuje, że przedmiotowej ustawy nie stosuje się do przedsiębiorców telekomunikacyjnych w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów. Pismem z dnia 11 grudnia 2018 r. organ zawiadomił Stronę o zakończeniu zbierania materiałów i dowodów w sprawie, a w związku z tym o możliwości zapoznania się z aktami sprawy w terminie 7 dni od otrzymania zawiadomienia. Strona nie skorzystała z prawa wglądu w akta sprawy. W dniu [...] stycznia 2019 r. Minister Cyfryzacji wydał decyzję uznającą Stronę za operatora usługi kluczowej. W uzasadnieniu wskazano, że usługa punktu wymiany ruchu internetowego, której dotyczy postępowanie, nie mieści się w pojęciu usługi telekomunikacyjnej zdefiniowanej w art. 2 pkt 48 ustawy - Prawo telekomunikacyjne. W związku z powyższym, w zakresie w jakim Strona świadczy wymienioną usługę (punktu wymiany ruchu internetowego) nie korzysta z dobrodziejstwa wyłączenia stosowania UKSC wprowadzonego przepisem art. 1 ust. 2 pkt 1 tej ustawy. Zdaniem organu, ponieważ zostały spełnione przesłanki wydania decyzji w przedmiocie uznania za operatora usługi kluczowej przewidziane w art. 5 ust. 2 UKSC, tj. Strona świadczy usługę kluczową, świadczenie tej usługi zależy od systemów informacyjnych oraz incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora, Organ zobligowany był wydać decyzję o uznaniu Strony za operatora usługi kluczowej. Po otrzymaniu decyzji z dnia [...] stycznia 2019 r. Strona wniosła o ponowne rozpatrzenie sprawy oraz wstrzymanie natychmiastowej wykonalności kwestionowanej decyzji. W uzasadnieniu wniosku skoncentrowano się na niewłaściwej, zdaniem Strony, wykładni pojęcia usługa telekomunikacyjna w rozumieniu nadanym mu przez art. 2 pkt 48 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2018 r. poz. 1954 z późn. zm., dalej zwane: u.p.t.), polegającej na przyjęciu, że jego zakresem przedmiotowym nie jest objęta prowadzona przez Stronę usługa punktu wymiany ruchu internetowego. Nadto, w odczuciu Strony Organ dokonał nieprawidłowej wykładni art. 1 ust. 2 pkt 1 ustawy o cyberbezpieczeństwie poprzez przyjęcie, że przewidziane analizowanym przepisem wyłączenie nie dotyczy przedsiębiorców telekomunikacyjnych uznanych za operatora usługi kluczowej. Wskazano także na wadliwość postępowania dowodowego w sprawie polegającą na nieprawidłowym ustaleniu przez Organ, że spełniona została przesłanka istotności skutku zakłócającego. Organ bowiem przyjął, że udzielona przez Stronę pismem z dnia 2 listopada 2018 r. (nr [...]) informacja, że aktualnie Strona prowadzi punkt wymiany ruchu internetowego obsługujący co najmniej 100 systemów autonomicznych jest wystarczającą do ustalenia spełnienia warunku istotności rozumianego w ten sposób, że liczba systemów autonomicznych nie spadła poniżej 100 przez okres ostatnich trzech lat. Wniosek o wstrzymanie natychmiastowej wykonalności Skarżonej decyzji uzasadniono wskazując na prawdopodobieństwo wadliwości Decyzji oraz wywołanie przez wykonanie Decyzji nieodwracalnych skutków prawnych. Pismem z dnia 21 marca 2019 r. Minister Cyfryzacji wezwał Stronę do udzielenia informacji czy prowadzony przez nią punkt wymiany ruchu internetowego obsługuje co najmniej 100 podłączonych systemów autonomicznych licząc średniorocznie, biorąc pod uwagę średnią z ostatnich 3 lat. W odpowiedzi na ww. wezwanie, pismem z dnia 2 kwietnia 2019 r. Strona poinformowała, że: prowadzony przez O. S.A. punkt wymiany ruchu internetowego obsługuje co najmniej 100 podłączonych systemów autonomicznych licząc średniorocznie, biorąc pod uwagę średnia z ostatnich 3 lat; oraz, że średnia liczba podłączonych systemów autonomicznych obsługiwanych w ostatnich trzech latach kalendarzowych oscylowała wokół liczby 150. Po ponownym rozpatrzeniu sprawy Minister Cyfryzacji swoją decyzją z dnia [...] kwietnia 2019 r. utrzymał w mocy ww. własną decyzję z dnia [...] stycznia 2019 r., którą uznano stronę za operatora usługi kluczowej – utrzymał w mocy tę decyzję. W uzasadnieniu decyzji z dnia [...] kwietnia 2019 r. organ naczelny wskazał, że nie można zgodzić się z zastrzeżeniami strony postępowania co do wykładni przyjętej przez Organ pojęcia usługi telekomunikacyjnej. Strona wskazując, że nie zgłasza zastrzeżeń co do możliwości uznania przedsiębiorcy telekomunikacyjnego za operatora usługi kluczowej jednocześnie kwestionuje przyjętą przez Organ prawną kwalifikację usługi punktu wymiany ruchu internetowego. Zdaniem Strony usługa ta mieści się w pojęciu usługi telekomunikacyjnej rozumianej tak jak została zdefiniowana w art. 2 pkt 48 u.p.t. Zgodnie z powołaną definicją usługa telekomunikacyjna to usługa polegająca głównie na przekazywaniu sygnałów w sieci telekomunikacyjnej. Strona dowodzi, że istota usługi wymiany punktu internetowego odpowiada tej definicji. Organ nie podzielając tego stanowiska wskazał, że wymiana ruchu internetowego w punkcie wymiany (IXP) odbywa się w warstwie transportowej modelu sieciowego OSI (warstwa 4), podczas gdy usługa telekomunikacyjna w rozumieniu przepisu art. 2 pkt 48 prawa telekomunikacyjnego realizowana jest w warstwie fizycznej (warstwa 1) modelu sieciowego OSI, co ma decydujące znaczenie dla przyjęcia, że usługa IXP nie posiada znamion usługi telekomunikacyjnej. Zdaniem Ministra Cyfryzacji nie ulega wątpliwości, że usługa IXP do swej realizacji wymaga istnienia usługi telekomunikacyjnej (tzn. warstwy fizycznej), ale nie jest z tą usługą tożsama. Tak jak prowadzenie doradztwa finansowego przez telefon nie staje się usługą telekomunikacyjną z tego tylko powodu, że korzysta z określonego narzędzia komunikacji, ale nadal pozostaje usługą finansową. Nie bez powodu ustawodawca użył sformułowania: "usługa telekomunikacyjna polega głównie na przekazywaniu sygnałów w sieci telekomunikacyjnej". Takie sformułowanie definicji wskazuje na położenie akcentu na to, że usługa telekomunikacyjna w swojej istocie polega na przekazywaniu sygnałów, nie zaś między innymi na przekazywaniu sygnałów. Jeżeli zatem przekazywanie sygnału pojawia się w tle usługi, której istotą jest zapewnienie możliwości wymiany ruchu internetowego generowanego przez różnych dostawców, to pozostaje ono bez wpływu na kwalifikację tej usługi jako nie mieszczącej się w definicji usługi telekomunikacyjnej z art. 2 pkt 48 u.p.t. Wskazywany we wniosku o ponowne rozpatrzenie sprawy fakt, że ruch obsługiwany w IXP stanowi sygnał nie ma zasadniczego znaczenia, bo punkt wymiany ruchu internetowego nie jest tym samym co ruch internetowy obsługiwany przez ten punkt. W kwestii nieprawidłowej wykładni przepisu art. 1 ust. 2 pkt 1 UKSC należy podnieść co następuje. Wyłączenie stosowania przepisów UKSC w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów dotyczy przedsiębiorców telekomunikacyjnych, ale tylko w takim zakresie, w jakim prowadzą działalność charakteryzującą przedsiębiorcę telekomunikacyjnego w rozumieniu art. 2 pkt 27 u.p.t. Zgodnie z powołaną regulacją, przedsiębiorcą telekomunikacyjnym jest przedsiębiorca lub inny podmiot uprawniony do wykonywania działalności gospodarczej na podstawie odrębnych przepisów, który wykonuje działalność gospodarczą polegającą na dostarczaniu sieci telekomunikacyjnych, świadczeniu usług towarzyszących lub świadczeniu usług telekomunikacyjnych. Ponieważ zaś usługa punktu wymiany ruchu internetowego nie należy do żadnej z wymienionych w tym przepisie kategorii działalności przedsiębiorcy telekomunikacyjnego (z przyczyn wyżej wymienionych), przedsiębiorca telekomunikacyjny, który świadczy taką usługę, w zakresie usługi IXP nie podlega dyspozycji art. 1 ust. 2 pkt 1 UKSC. Innymi słowy, tak jak zostało to wskazane w uzasadnieniu Decyzji, wobec przedsiębiorcy telekomunikacyjnego, który prowadzi punkt wymiany ruchu internetowego i został uznany za operatora usługi kluczowej obowiązki wynikające z UKSC stosuje się w całej rozciągłości. Zaprezentowana wykładnia, wbrew twierdzeniu Strony, nie oznacza, że wyłączenie przewidziane w art. 1 ust. 2 pkt 1 UKSC jest w praktyce martwe i bezprzedmiotowe. Znajduje ono zastosowanie wobec przedsiębiorców telekomunikacyjnych w zakresie prowadzonej przez nich działalności wymienionej w art. 2 pkt 27 u.p.t. Jeżeli zatem przedsiębiorca telekomunikacyjny prowadzi wyłącznie działalność wymienioną w art. 2 pkt 27 u.p.t., to korzysta z dobrodziejstwa wyłączenia przewidzianego w art. 1 ust. 2 pkt 1 UKSC i nie podlega przepisom tej ustawy w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów. Niezależnie zatem od tego czy usługa punktu wymiany ruchu internetowego jest czy nie usługą telekomunikacyjną, podlega ona reżimowi prawnemu ustanawiającemu krajowy system cyberbezpieczeństwa (została wymieniona w rozporządzeniu Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych) a przepisy ustanawiające ten system, tj. ustawa o krajowym systemie cyberbezpieczeństwa UKSC oraz przepisy wykonawcze, maja charakter przepisów szczególnych wobec prawa telekomunikacyjnego. W tej sytuacji, jeżeli nawet IXP jest usługą telekomunikacyjną, którego to stanowiska Minister nie podziela, to usługa ta podlega przepisom UKSC mającym charakter lex sepcialis wobec u.p.t. i jeżeli podmiot świadczący taką usługę zostanie uznany za operatora usługi kluczowej, ciążą na nim obowiązki przewidziane przepisami UKSC, niezależnie od tego że jest przedsiębiorcą telekomunikacyjnym. W takim wypadku rozważania uzasadniające brak podstaw do zastosowania wyłączenia z art. 1 ust. 2 pkt 1 UKSC stosuje się w całej rozciągłości z zastrzeżeniem, że wyłączenie nie dotyczy usługi punktu wymiany ruchu internetowego. Odnosząc się do zarzutu wadliwości postępowania dowodowego polegającej na nieprawidłowym, zdaniem Strony, ustaleniu przez Organ, że spełniona została przesłanka istotności skutku zakłócającego, Minister podkreślił, że uzupełnienie materiału dowodowego w tym zakresie nie pozostawia wątpliwości, że przesłanka istotności skutku zakłócającego została spełniona. Ponieważ we wniosku o ponowne rozpatrzenie sprawy odniesiono się także do fragmentu uzasadnienia Skarżonej decyzji, w którym podkreślono, że usługa punktu wymiany ruchu internetowego może być świadczona przez podmioty nie będące przedsiębiorcą telekomunikacyjnym i wobec tego nieuprawnione jest różnicowanie sytuacji dostawcy usługi IXP w zależności od tego czy jest on przedsiębiorstwem telekomunikacyjnym czy nie. Jednakże argumentacja zwalczająca zasadność takiego twierdzenia sprowadza się do dyskusji z wykładnią przepisu art. 1 ust. 2 pkt 1 UKSC, który implementuje do polskiego porządku prawnego art. 1 ust. 3 dyrektywy NIS. Stanowisko Organu w tym zakresie jest jednoznaczne i sprowadza się do tego, że strona prowadząc usługę punktu wymiany ruchu internetowego w określonym rozmiarze musi być uznana za operatora usługi kluczowej w rozumieniu przepisów ustawy o krajowym systemie cyberbezpieczeństwa. Odnosząc się do wątpliwości, co do zakresu obowiązków przedsiębiorcy telekomunikacyjnego, który został uznany za operatora usługi kluczowej, organ naczelny stwierdził, że skoro przedsiębiorca telekomunikacyjny został uznany za operatora usługi kluczowej w związku ze świadczeniem usługi, która nie należy do zakresu działania przedsiębiorcy telekomunikacyjnego, to tym samym wyłączenie z art. 1 ust. 2 pkt 1 UKSC go nie dotyczy. W takiej sytuacji posiadanie statusu przedsiębiorcy telekomunikacyjnego nie ma znaczenia. Tym samym - wobec takiego przedsiębiorcy uznanego za operatora usługi kluczowej - obowiązki, które UKSC nakłada na operatora usługi kluczowej stosuje się w całej rozciągłości. Organ nie podziela zastrzeżeń Strony, że zaprezentowana wykładnia art. 1 ust. 2 pkt 1 UKSC jest "działaniem contra legem" i byłaby usprawiedliwiona gdyby przepis brzmiał: ustawy nie stosuje się do przedsiębiorców telekomunikacyjnych (...) w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów, chyba że przedsiębiorca zostanie uznany za operatora usługi kluczowej. Wbrew twierdzeniu zawartemu we wniosku o ponowne rozpatrzenie sprawy stanowisko Ministra nie opiera się na założeniu, że wyłączenie z art. 1 ust. 2 pkt 1 nie dotyczy przedsiębiorcy telekomunikacyjnego uznanego przez organ za operatora usługi kluczowej, lecz na założeniu, że w zakresie w jakim działalność przedsiębiorcy telekomunikacyjnego nie mieści się w zakresie rodzajów działalności przypisanych prawem telekomunikacyjnym przedsiębiorcy telekomunikacyjnemu, nie podlega ona dyspozycji powołanego przepisu. Minister Cyfryzacji wskazał także, że raportowanie do Prezesa UKE zdarzeń określonych w art. 175a, który nakłada na przedsiębiorcę telekomunikacyjnego obowiązek informowania organu regulacyjnego o naruszeniu bezpieczeństwa lub integralności sieci lub usług, które miało istotny wpływ na funkcjonowanie sieci lub usług, o podjętych działaniach zapobiegawczych i środkach naprawczych oraz podjętych przez przedsiębiorcę działaniach, o których mowa w art. 175 i art. 175c, jest implementacją do polskiego porządku prawnego obowiązków przewidzianych dyrektywą telekomunikacyjną (art. 13a Dyrektywy 2002/21/WE w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej), co oznacza że wywodzi się z reżimu prawnego dotyczącego obszaru telekomunikacji. Informacje, o których mowa w tym przepisie dotyczą wszelkich zdarzeń, które miały istotny wpływa na funkcjonowanie sieci lub usług i nie są tożsame ze zdarzeniami objętymi odrębnym reżimem prawnym ustawy o krajowym systemie cyberbezpieczeństwa, tj. incydentami w rozumieniu art. 2 pkt 5 UKSC. Obowiązki ciążące na podmiocie uznanym za operatora usługi kluczowej zostały w całości uregulowane UKSC. Jedynie w celu zapewnienia przepływu informacji w art. 175 a dodano ustęp la zobowiązujący Prezesa UKE do przekazywania tych informacji pozyskanych od przedsiębiorców telekomunikacyjnych, które mają charakter incydentów w rozumieniu UKSC. W tych okolicznościach Minister Cyfryzacji stwierdził, że uznanie O. S.A. za operatora usługi kluczowej było w pełni zasadne i zgodne z przepisami ustawy o krajowym systemie cyberbezpieczeństwa. Na powyższą decyzję Ministra Cyfryzacji z dnia [...] kwietnia 2019 r. O. S.A. z siedzibą w [...] wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę. Zaskarżonej decyzji strona zarzuciła naruszenie: - art. 2 pkt 48 Prawa Telekomunikacyjnego w zw. z art. 5 ust. 2, art. 41 pkt 8 i art. 42 ust. 1 pkt 2 ustawy z dnia5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, poprzez nieprawidłowe przyjęcie, iż usługa punktu wymiany ruchu internetowego (IXP) nie jest usługą telekomunikacyjną i w konsekwencji bezzasadne uznanie O. za operatora usługi kluczowej w zakresie, o którym mowa w wyjątku określonym w art. 1 ust. 2 pkt 1 UKSC - naruszenie art. 138 § 1 pkt 1 k.p.a. poprzez jego bezzasadne zastosowanie i utrzymanie w mocy pierwszej decyzji organu naczelnego podczas gdy decyzję tę należało uchylić i umorzyć postępowanie ze względu na brak przesłanek do uznania O. za operatora usługi kluczowej w zakresie, o którym mowa w wyjątku określonym w art. 1 ust. 2 pkt 1 UKSC W związku z przedstawionymi zarzutami skarżąca wniosła o uchylenie obu wydanych przez organ naczelny decyzji oraz zasądzenie kosztów postępowania. W uzasadnieniu skargi skarżąca przedstawiła argumentację zbieżną z zaprezentowaną we wniosku o ponowne rozpoznanie sprawy załączając dokumentacje techniczną (w języku angielskim bez tłumaczenia) W odpowiedzi na skargę Minister Cyfryzacji wnosił o jej oddalenie podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z przepisem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2018 r., poz. 1066 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - dalej "p.p.s.a."). Oceniając zaskarżoną decyzję pod kątem jej zgodności z prawem Sąd nie stwierdził naruszenia prawa materialnego ani procesowego, które mogłoby skutkować uwzględnieniem skargi. Skarga podlega zatem oddaleniu. Spór w niniejszej sprawie dotyczy w istocie wykładni przepisów ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa i ich relacji z przepisami ustawy Prawo telekomunikacyjne. Wątpliwości strony skarżącej sprowadzają się do tego, czy zasadnie organ naczelny zastosował przypisy ustawy o cyberbespieczeństwie i na ich podstawie uznał O. za operatora usługi kluczowej polegającej na prowadzeniu punktu wymiany ruchu internetowego (IXP) w Polsce. Zdaniem Sądu, Minister Cyfryzacji w toku prowadzonego postępowania administracyjnego dokonał prawidłowej interpretacji przepisów prawa i zasadnie uznał Skarżącą za operatora usługi kluczowej polegającej na prowadzeniu punktu wymiany ruchu internetowego (IXP). Sąd podziela stanowisko organu naczelnego, że wymiana ruchu internetowego w punkcie wymiany (IXP) odbywa się w warstwie transportowej modelu sieciowego OSI (warstwa 4), podczas gdy usługa telekomunikacyjna w rozumieniu przepisu art. 2 pkt 48 prawa telekomunikacyjnego realizowana jest w warstwie fizycznej (warstwa 1) modelu sieciowego OSI, co ma decydujące znaczenie dla przyjęcia, że usługa IXP sama w sobie nie posiada znamion usługi telekomunikacyjnej. Usługa IXP do swej realizacji wymaga istnienia usługi telekomunikacyjnej (tzn. warstwy fizycznej), ale nie jest z tą usługą tożsama. Nie bez powodu ustawodawca użył sformułowania: "usługa telekomunikacyjna polega głównie na przekazywaniu sygnałów w sieci telekomunikacyjnej". Takie sformułowanie definicji wskazuje na położenie akcentu na to, że usługa telekomunikacyjna polega na przekazywaniu sygnałów, nie zaś między innymi na przekazywaniu sygnałów. Jeżeli zatem przekazywanie sygnału pojawia się w tle usługi, której istotą jest zapewnienie możliwości wymiany ruchu internetowego generowanego przez różnych dostawców, to pozostaje ono bez wpływu na kwalifikację tej usługi jako nie mieszczącej się w definicji usługi telekomunikacyjnej z art. 2 pkt 48 u.p.t. Podnoszona przez skarżącą okoliczność, że ruch obsługiwany w IXP stanowi sygnał nie ma zasadniczego znaczenia, bo punkt wymiany ruchu internetowego nie jest tym samym co ruch internetowy obsługiwany przez ten punkt. W kwestii wykładni przepisu art. 1 ust. 2 pkt 1 UKSC należy stwierdzić, że wyłączenie stosowania przepisów UKSC w zakresie wymogów dotyczących bezpieczeństwa oraz zgłaszania incydentów dotyczy przedsiębiorców telekomunikacyjnych, ale tylko w takim zakresie, w jakim prowadzą działalność charakteryzującą przedsiębiorcę telekomunikacyjnego w rozumieniu art. 2 pkt 27 prawa telekomunikacyjnego. Zgodnie z powołaną regulacją, przedsiębiorcą telekomunikacyjnym jest przedsiębiorca lub inny podmiot uprawniony do wykonywania działalności gospodarczej na podstawie odrębnych przepisów, który wykonuje działalność gospodarczą polegającą na dostarczaniu sieci telekomunikacyjnych, świadczeniu usług towarzyszących lub świadczeniu usług telekomunikacyjnych. Ponieważ jednak usługa punktu wymiany ruchu internetowego nie należy do żadnej z wymienionych w tym przepisie kategorii działalności przedsiębiorcy telekomunikacyjnego, przedsiębiorca telekomunikacyjny, który świadczy taką usługę, w zakresie usługi IXP nie podlega dyspozycji art. 1 ust. 2 pkt 1 UKSC. Zatem wobec przedsiębiorcy telekomunikacyjnego, który prowadzi punkt wymiany ruchu internetowego i został uznany za operatora usługi kluczowej obowiązki wynikające z UKSC stosuje się w całej rozciągłości. Taka wykładnia, przedstawiona przez organ naczelny, wbrew twierdzeniu strony skarżącej, nie oznacza, że wyłączenie przewidziane w art. 1 ust. 2 pkt 1 UKSC jest w praktyce martwe i bezprzedmiotowe. Znajduje ono zastosowanie wobec przedsiębiorców telekomunikacyjnych w zakresie prowadzonej przez nich działalności wymienionej w art. 2 pkt 27 u.p.t. Jeżeli zatem przedsiębiorca telekomunikacyjny prowadzi wyłącznie działalność wymienioną w art. 2 pkt 27 u.p.t., to korzysta z wyłączenia przewidzianego w art. 1 ust. 2 pkt 1 UKSC i nie podlega przepisom tej ustawy w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów. Niezależnie zatem od tego czy usługa punktu wymiany ruchu internetowego (IXP) jest czy nie jest usługą telekomunikacyjną, podlega ona reżimowi prawnemu ustanawiającemu krajowy system cyberbezpieczeństwa. Usługa ta została bowiem wymieniona w rozporządzeniu Rady Ministrów z dnia 11 września 2018r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych a przepisy ustanawiające ten system, tj. ustawa o krajowym systemie cyberbezpieczeństwa UKSC oraz przepisy wykonawcze, maja charakter przepisów szczególnych wobec prawa telekomunikacyjnego. W tej sytuacji, jeżeli nawet IXP byłaby usługą telekomunikacyjną, to usługa ta podlega przepisom UKSC mającym charakter lex sepcialis wobec prawa telekomunikacyjnego i jeżeli podmiot świadczący taką usługę zostanie uznany za operatora usługi kluczowej, ciążą na nim obowiązki przewidziane przepisami UKSC, niezależnie od tego, że jest przedsiębiorcą telekomunikacyjnym. Sąd w pełni popiera stanowisko organu naczelnego, że strona prowadząc usługę punktu wymiany ruchu internetowego w określonym rozmiarze musi być uznana za operatora usługi kluczowej w rozumieniu przepisów ustawy o krajowym systemie cyberbezpieczeństwa. Sąd zauważa również, że odnosząc się do wątpliwości strony, co do zakresu obowiązków przedsiębiorcy telekomunikacyjnego, który został uznany za operatora usługi kluczowej, organ naczelny zasadnie stwierdził, że skoro przedsiębiorca telekomunikacyjny został uznany za operatora usługi kluczowej w związku ze świadczeniem usługi, która nie należy do zakresu działania przedsiębiorcy telekomunikacyjnego, to tym samym wyłączenie z art. 1 ust. 2 pkt 1 UKSC go nie dotyczy. W takiej sytuacji posiadanie statusu przedsiębiorcy telekomunikacyjnego nie ma znaczenia. Tym samym - wobec przedsiębiorcy uznanego za operatora usługi kluczowej - obowiązki, które UKSC nakłada na operatora usługi kluczowej stosuje się w całej rozciągłości. W tych okolicznościach Sąd stwierdza, że uznanie O. S.A. za operatora usługi kluczowej było w pełni zasadne i zgodne z przepisami o krajowym systemie cyberbezpieczeństwa. Uwzględniając powyższe Sąd nie podzielił zarzutów skarżącej sformułowanych w skardze. Organ w sposób klarowny i przekonujący przedstawił motywy swojego rozstrzygnięcia na tle stanu faktycznego sprawy i obowiązujących przepisów prawa. Biorąc powyższe pod uwagę Sąd - na podstawie art. 151 p.p.s.a. – orzekł jak w sentencji wyroku.