Jeśli Pegasus to zbrodnia stanu, to co z KSeF, panie premierze?

12 października 2026 roku Tusk powiedział o Pegasusie, że ludzie odpowiedzialni za sprawiedliwość i bezpieczeństwo państwa oddali Izraelowi wrażliwe dane polskich obywateli, nie mając nad nimi kontroli. Zakończył słowami: „To już nie jest skandal. Tak naprawdę, i chyba dla każdego to jest jasne, mówimy o zbrodni stanu. I za to będą odpowiadać”.

Warto zestawić tę wypowiedź z komunikatem Prokuratury Krajowej opublikowanym tego samego dnia. Biegli ABW ustalili, że CBA nie miało pełnej kontroli nad Pegasusem, część infrastruktury pozostawała pod kontrolą producenta, a dane przesyłano przez zagraniczne serwery. Producent dysponował możliwością dostępu do materiałów z kontroli operacyjnych. W komunikacie znalazło się także zdanie rozstrzygające dla oceny słów premiera: „Opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych”.

Prokuratura opisuje zatem ustalone braki kontroli i techniczną możliwość dostępu, pozostawiając otwartą kwestię faktycznego odczytu konkretnych materiałów. Niemniej Tusk przedstawia oddanie danych obcemu państwu jako fakt. Opublikowane ustalenia biegłych nie uzasadniają tego przeskoku.

Na gruncie przedstawionego publicznie uzasadnienia powstaje oczywiste pytanie o Krajowy System e-Faktur. W moich analizach KSeF opisywałem problem zagranicznego pośrednika w komunikacji z systemem: bramki WAF firmy Imperva. To spółka amerykańska należąca do francuskiego koncernu Thales, w którym państwo francuskie wraz z własnym Dassault Aviation dysponuje około dwiema trzecimi głosów. Sednem problemu jest zakres danych dostępnych dla operatora takiej bramki oraz rzeczywista kontrola państwa nad tym dostępem. W sposób łatwy i niezbity udowodniłem, że zagraniczna firma Imperva ma dostęp do pełnej treści faktur z KSeF!

Ogólne zapewnienie, że faktury są szyfrowane, nie zamyka dyskusji. Trzeba zobaczyć osobno wysyłanie faktur, pobieranie pojedynczych dokumentów, eksport paczek i odpowiedzi zawierające metadane. Oficjalna dokumentacja API 2.0 rozróżnia te operacje. Szyfrowanie aplikacyjne obejmuje wysyłkę faktur i eksport paczek. Nie obejmuje pobierania pojedynczej faktury, które zwraca XML chroniony wyłącznie szyfrowaniem połączenia (TLS). Imperva to połączenie odszyfrowuje na swojej bramce, więc widzi taki XML w postaci jawnej.

Widzi też tokeny dostępowe podatników. Są to zwykłe tokeny typu bearer, niepowiązane z klientem: kto je zna, może ich użyć tak samo jak podatnik. Serwery Ministerstwa Finansów widzą przy tym wyłącznie ruch od Impervy, a adres faktycznego nadawcy znają tylko z nagłówków, które ustawia sama Imperva. Takiego użycia nie odróżnią więc od działań podatnika. Każdą fakturę wystawca wysyła w uwierzytelnionej sesji, więc przez bramkę przechodzi token każdego wystawcy.

Drugą drogę otwiera dostęp bez uwierzytelnienia. Pięć pól, które rozporządzenie traktuje jak klucz do pełnej treści faktury, przechodzi przez bramkę jawnie w odpowiedziach z metadanymi. W efekcie operator bramki ma techniczną zdolność uzyskania pełnej treści wszystkich faktur w KSeF. To nie wynika z jakichś skomplikowanych audytów technicznych, ale wprost z oficjalnej dokumentacji API 2.0 systemu KSeF.

Zarzut dotyczący obu systemów ma więc wspólny rdzeń: państwo dopuszcza zagranicznego dostawcę do infrastruktury obsługującej wrażliwe informacje i daje mu techniczną zdolność dostępu do tych danych. Podobne są też drogi od dostawcy do obcego państwa. Izrael ma wobec NSO dźwignię własnej jurysdykcji i licencji eksportowych. Wobec Impervy Stany Zjednoczone mają własną jurysdykcję, a Francja realny wpływ właścicielski przez Thales. Dodatkowo do tego, by logować i przetwarzać wszystkie polskie faktury z KSeF Imervie wystarczy ułamek promila ich globalnych mocy obliczeniowych! Duży ośrodek obliczeniowy Impervy, który tym się zajmuje, leży w Izraelu!

Ścieżka francuskiego wywiadu do danych wszystkich faktur z KSeF jest podobna do tej, jaką ma Izrael do danych z Pegasusa!!! Oczywiście zdolność dostawcy nie jest automatycznie dowodem dostępu obcego wywiadu. Ta zasada obowiązuje dokładnie tak samo w sprawie Pegasusa jak w sprawie KSeF, a premier nie otrzymał przywileju jej zawieszania przy oskarżaniu przeciwników.

Można odpowiedzieć, że w sprawie Pegasusa chodzi o naruszenie konkretnego przepisu: system przetwarzający informacje niejawne nie uzyskał wymaganej akredytacji bezpieczeństwa. To prawda i na tym opierają się postawione zarzuty. Premier nie mówił jednak o akredytacji. Mówił o oddaniu wrażliwych danych obcemu państwu bez kontroli nad nimi. To jego własne kryterium, a nie formalne wymogi ustawy o ochronie informacji niejawnych, wymaga zastosowania także do KSeF.

Jeśli Tusk samą techniczną możliwość dostępu zagranicznego podmiotu i brak dostatecznej kontroli nazywa zbrodnią stanu, to niezbite wykazanie takich samych warunków w KSeF nakazuje mu identycznie ocenić decyzje, które ukształtowały architekturę tego systemu. Pod tym względem nie ma więc żadnej różnicy między rządem Morawieckiego a rządem Tuska. Oba rządy dokonały zbrodni stanu. Oddały polską suwerenność cyfrową obcym! Oba rządy są pod tym względem unikatowe na świecie — żaden inny kraj świata nie oddał bramki bezpieczeństwa państwowego systemu centralnego gromadzenia faktur zagranicznej firmie w chmurze.

W przypadku KSeF stawka jest przy tym nieporównanie większa. Pegasus objął kilkaset osób. KSeF obejmuje praktycznie całą gospodarkę: kontrahentów, zakupy, ceny, terminy i zależności dostaw. Z takich informacji można odtwarzać sytuację przedsiębiorstw, ich kierunki rozwoju oraz podatność na nacisk. Strategiczne znaczenie tej wiedzy zasługuje na co najmniej tak poważne potraktowanie, jak zagrożenia związane z zagranicznym dostępem do innych państwowych systemów.

Nie trzeba przy tym udowadniać, że wywiad już skopiował dane, aby domagać się usunięcia niebezpiecznej możliwości i ukarania winnych. Bezpieczeństwo wymaga zapobiegania. Gdyby odpowiedzialność za stworzenie zagrożenia wolno było rozważać dopiero po ujawnieniu operacji szpiegowskiej, państwo mogłoby latami utrzymywać wadliwy system. Na razie szpiegowski KSeF działa ponad pół roku, ale nikt oprócz mnie nie chce zauważyć tego szpiegowskiego charakteru, więc to będzie w takim stanie trwało jeszcze latami.

Odpowiedzialność prawną konkretnych osób trzeba oczywiście wykazać na podstawie konkretnych decyzji, obowiązków i naruszeń. Samo przemówienie premiera nikogo nie skazuje. Dotyczy to zarówno organizatorów zakupu i użytkowania Pegasusa, jak i osób odpowiedzialnych za architekturę KSeF za rządów Morawieckiego oraz Tuska. Ciągłość państwa oznacza także konieczność rozliczenia decyzji poprzedników i własnych, zamiast wybierania wygodnego politycznie fragmentu historii.

Tusk powinien przedstawić argumenty, które uzasadniają odmienne traktowanie obu przypadków, albo przyjąć konsekwencje własnej argumentacji i sam się podać do dymisji i pod osąd Trybunału Stanu. Jeżeli wystarcza mu wykazanie zagranicznej możliwości dostępu bez dowodu faktycznego przejęcia konkretnych danych, nie może żądać od krytyków KSeF dowodów dalej idących niż te, na których sam opiera najcięższe oskarżenia.

Panie premierze: jeżeli według pańskiej miary decyzje wokół Pegasusa są zbrodnią stanu, to decyzje o architekturze KSeF, spełniające tę samą przesłankę, są nią również. Proszę zastosować własne kryterium do własnego rządu. I proszę wsadzić się do tej samej celi co Morawieckiego!

Grzegorz GPS Świderski

https://Twitter.com/gps65

https://t.me/KanalBlogeraGPS

PS. Wybór moich ostatnich artykułów o KSeF: