Cyberterroryzm a prawo międzynarodowe: luka, którą wykorzystują radykałowie

Cyberterroryzm – od haseł medialnych do precyzyjnej definicji prawnej

Od krzykliwego sloganu do narzędzia dla prokuratora

Cyberterroryzm stał się jednym z najbardziej nadużywanych pojęć w debacie publicznej. Dziennikarze określają tak niemal każdy większy wyciek danych, zmasowany atak DDoS czy spektakularne włamanie. Dla prawa międzynarodowego takie podejście jest bezużyteczne. Aby uruchomić konkretne procedury: współpracy międzynarodowej, zamrożenia środków, ekstradycji – konieczna jest precyzyjna, operacyjna definicja, która pozwoli odróżnić zwykłego hakera od sprawcy aktu terroru.

Kluczowe elementy prawnego rozumienia terroryzmu – także w wersji „cyber” – to: motywacja polityczna, religijna lub ideologiczna, zamiar zastraszenia ludności lub wymuszenia na władzach określonych działań oraz poważna szkoda (fizyczna, ekonomiczna, infrastrukturalna). Bez tych cech mówimy raczej o cyberprzestępczości, sabotażu czy hacktywiźmie, a nie o cyberterroryzmie sensu stricto.

Brak jednolitego standardu definicyjnego sprawia, że ten sam czyn w jednym państwie może być ścigany jako terroryzm, a w innym – jako „zwykłe” przestępstwo komputerowe. Radykałowie doskonale to rozumieją i planują operacje tak, by poruszać się właśnie w tej szarej strefie.

Jak odróżnić cyberprzestępczość od cyberterroryzmu

Granica między cyberprzestępczością a cyberterroryzmem przebiega nie tyle po technicznej stronie ataku, ile po stronie celu, kontekstu i skutków. Ten sam wektor ataku – np. DDoS, malware, ransomware – może być narzędziem zwykłego przestępcy albo radykała, w zależności od tego, co chce osiągnąć.

Najczęściej wskazuje się trzy grupy kryteriów:

• Cel sprawcy: czy jest to zysk finansowy, zemsta osobista, „sportowe” włamanie – czy raczej wymuszenie zmiany polityki, obalenie rządu, zastraszenie określonej grupy?
• Charakter ofiary: atak na bank, sklep internetowy czy prywatną firmę to co do zasady cyberprzestępczość; atak na szpital, sieć energetyczną, infrastrukturę krytyczną państwa – może wchodzić w obszar terroryzmu.
• Skala i skutek: drobne zakłócenia działania strony urzędu to jedno; paraliż systemu ratownictwa medycznego albo wyłączenie elektrowni w środku zimy – to zupełnie inny poziom zagrożenia.

Przykład praktyczny: zorganizowana grupa osób przeprowadza atak DDoS na stronę ministerstwa, protestując przeciwko kontrowersyjnej ustawie. Nie żądają pieniędzy, nie grożą przemocą, ich celem jest jedynie „symboliczne” zablokowanie serwisu na kilka godzin. W większości jurysdykcji taki czyn zostanie potraktowany jako przestępstwo przeciwko systemom informatycznym, a nie terroryzm. Jeżeli jednak ta sama grupa grozi, że unieruchomi systemy szpitali w całym kraju, jeśli rząd nie spełni szeregu żądań politycznych – narracja zmienia się radykalnie.

Im precyzyjniej państwa określą progi szkodliwości i wymagane przesłanki motywacyjne, tym trudniej będzie radykałom ukrywać się pod parasolem „cyberaktywismu” lub cyberprzestępczości nastawionej na zysk.

Przegląd definicji w prawie krajowym i międzynarodowym

Na poziomie ONZ nie istnieje jedna, wiążąca definicja terroryzmu, a tym bardziej cyberterroryzmu. Dotychczasowe konwencje antyterrorystyczne koncentrują się na określonych czynach (porwania samolotów, zamachy bombowe, finansowanie terroryzmu), a nie na ogólnej definicji. W rezolucjach Zgromadzenia Ogólnego pojawiają się próby opisów, ale nie mają one charakteru twardego prawa.

Poszczególne państwa przyjmują własne definicje w ustawach antyterrorystycznych. Część z nich odwołuje się do pojęć „środków masowego rażenia”, „powodowania śmierci lub poważnych obrażeń”, „poważnych zakłóceń usług publicznych”. Coraz częściej wprost wymienia się systemy teleinformatyczne jako potencjalny cel działań terrorystycznych, jednak bez szczegółowego opisu, co odróżnia cyberatak terrorystyczny od innych cyberataków.

W doktrynie spotyka się definicje, według których cyberterroryzm to użycie lub groźba użycia narzędzi cyfrowych przeciwko infrastrukturze krytycznej, systemom informacyjnym lub populacji, w celu wywołania strachu, zakłócenia funkcjonowania państwa lub wymuszenia decyzji politycznych. Brzmi to przekonująco z punktu widzenia nauki, ale dla prokuratora i sędziego nadal pozostaje sporo niedookreślonych elementów. Radykałowie korzystają z tego, projektując ataki na granicy definicji.

Im szybciej środowisko prawnicze, eksperci od cyberbezpieczeństwa i decydenci polityczni wypracują bardziej szczegółowy opis cyberterroryzmu, tym skuteczniej będzie można klasyfikować i ścigać tego typu zdarzenia. Bez takiej pracy ustawodawca strzela na ślepo, a służby działają reaktywnie.

Mapa istniejących regulacji – co prawo międzynarodowe faktycznie obejmuje

Konwencje antyterrorystyczne ONZ: epoka analogowa w cyfrowym świecie

Prawo międzynarodowe w obszarze walki z terroryzmem rozwijało się falowo – zwykle w reakcji na głośne zamachy. W efekcie powstał zestaw wyspecjalizowanych konwencji, z których większość powstała w czasach, gdy internet dopiero raczkował. To jeden z powodów ogromnej luki normatywnej, którą dziś wykorzystują radykałowie w sieci.

Kluczowe konwencje ONZ dotyczą m.in.:

• bezpieczeństwa lotnictwa cywilnego (porwania samolotów, zamachy na lotniska),
• bezpieczeństwa żeglugi morskiej,
• zakazu zamachów bombowych,
• zakazu finansowania terroryzmu,
• ochrony dyplomatów i obiektów dyplomatycznych.

Wspólną cechą większości z nich jest „analogowy” charakter: opisują tradycyjne zamachy, użycie broni, środków wybuchowych, porwań. Cyberprzestrzeń wprost pojawia się niezwykle rzadko. Oczywiście, część przepisów można interpretować szeroko (np. cyberatak na lotnisko, który powoduje katastrofę, da się „podciągnąć” pod istniejące regulacje), ale wymaga to kreatywności i dobrej woli państw.

Tymczasem świat realnie przeniósł się do sieci. Systemy sterowania ruchem lotniczym, zarządzanie portami, logistyka, łańcuchy dostaw – wszystko to opiera się na infrastrukturze cyfrowej. Brak jasnych przepisów dotyczących cyberataków w konwencjach ONZ powoduje, że państwa działają wybiórczo, a radykałowie mają ogromne pole manewru.

Konwencja budapeszteńska i inne porozumienia cyberprzestępcze

Najbardziej znanym międzynarodowym instrumentem w dziedzinie przestępczości komputerowej jest Konwencja budapeszteńska o cyberprzestępczości (Rady Europy). Jej celem było ujednolicenie podstawowych typów przestępstw komputerowych (np. nieuprawniony dostęp, zakłócanie systemów, oszustwa komputerowe), procedur dowodowych i zasad współpracy między państwami.

Konwencja budapeszteńska tworzy solidny fundament dla ścigania wielu aktów, które mogą być jednocześnie elementem cyberterroryzmu: ataków DDoS, włamań, złośliwego oprogramowania. Problem w tym, że konwencja nie ma charakteru „antyterrorystycznego”. Traktuje cyberatak jako przestępstwo indywidualne, bez odniesienia do motywacji terrorystycznej, struktury organizacji czy sankcji typowych dla terroryzmu.

Dodatkowe wyzwanie: nie wszystkie państwa świata są stronami Konwencji budapeszteńskiej, część ma do niej zastrzeżenia polityczne, a niektóre oferują własne, konkurencyjne projekty porozumień w ONZ. Radykałowie szybko lokalizują państwa, które:

• nie są stroną konwencji lub stosują ją wybiórczo,
• mają słabe przepisy wykonawcze lub niewydolną administrację,
• nie współpracują sprawnie przy międzynarodowych wnioskach o pomoc prawną.

To właśnie w takich jurysdykcjach powstają „bezpieczne przystanie” dla serwerów, kont finansowych czy centrów dowodzenia operacjami cyberterrorystycznymi.

Rezolucje Rady Bezpieczeństwa ONZ i finansowanie w erze kryptowalut

Rada Bezpieczeństwa ONZ przyjęła szereg rezolucji dotyczących terroryzmu, w tym szczególnie istotne w obszarze finansowania oraz sankcji wobec konkretnych organizacji (np. tzw. Państwa Islamskiego czy Al-Kaidy). Te instrumenty prawne nakładają na państwa obowiązek śledzenia, zamrażania i blokowania transferów środków przeznaczonych na cele terrorystyczne.

W erze kryptowalut, serwisów crowdfundingowych, płatności natychmiastowych i dark webu literalne stosowanie starych przepisów staje się iluzoryczne. Radykałowie wykorzystują:

• anonimowe lub półanonimowe portfele kryptowalutowe,
• mixery i tumblery kryptowalut, które „mieszają” środki z wielu źródeł,
• platformy darowizn o luźnych zasadach weryfikacji,
• tokenizację (np. NFT) jako sposób ukrywania transferu wartości.

Rezolucje Rady Bezpieczeństwa mówią o „funduszach i innych zasobach finansowych”, co można interpretować szeroko, ale brakuje konkretnych, zharmonizowanych standardów dotyczących kryptowalut, DeFi czy nowych narzędzi finansowych. Jedne państwa wprowadzają surowe przepisy AML/CFT dla kryptowalut, inne traktują je nadal jak ciekawostkę technologiczną. Radykałowie wybierają oczywiście jurysdykcje najsłabsze regulacyjnie.

Inicjatywy regionalne: UE, NATO, OBWE jako plaster na globalne braki

Tam, gdzie globalne prawo międzynarodowe jest zbyt ogólne lub spóźnione, pojawiają się inicjatywy regionalne. Unia Europejska przyjęła m.in. dyrektywy dotyczące ataków na systemy informatyczne, przestępstw terrorystycznych, zwalczania prania pieniędzy oraz ochrony infrastruktury krytycznej. NATO rozwija doktryny cyberobrony, a OBWE prowadzi programy budowania zaufania w cyberprzestrzeni.

Problem polega na tym, że:

• regulacje są fragmentaryczne – obejmują wybrane aspekty (np. wymianę informacji, minimalne środki ochrony) bez pełnego obrazu cyberterroryzmu,
• wdrażanie jest nierówne – niektóre państwa członkowskie implementują dyrektywy szybko i konsekwentnie, inne robią to połowicznie lub z dużym opóźnieniem,
• brakuje spójnej definicji cyberterroryzmu nawet na poziomie regionalnym.

Radykałowie reagują na tę mozaikę w sposób prosty: wykorzystują państwa z najsłabszym egzekwowaniem prawa jako węzły przesiadkowe, miejsca rejestracji spółek, bazy infrastruktury. Dla analityków i służb bezpieczeństwa dokładne rozpoznanie tej mapy regulacyjnej to podstawowe narzędzie przy projektowaniu realnych strategii przeciwdziałania.

Główne luki normatywne – gdzie prawo nie nadąża za cyberterroryzmem

Brak globalnej definicji i spór o to, kto jest terrorystą

Największa luka normatywna ma charakter fundamentalny: brak uniwersalnej, wiążącej definicji terroryzmu w prawie międzynarodowym. Spór o to, kto jest „terrorystą”, a kto „bojownikiem o wolność”, ciągnie się w ONZ od dekad. W tle są interesy geopolityczne, konflikty regionalne i różne podejścia do użycia przemocy politycznej.

Przeniesienie tego sporu do cyberprzestrzeni tylko go komplikuje. Dla jednych cyberatak wymierzony w autorytarny reżim to uzasadniona forma oporu. Dla innych – niebezpieczne narzędzie terroryzmu. Bez porozumienia co do podstaw, wypracowanie globalnej definicji cyberterroryzmu jest mało realne. Rezultat: każdy tworzy własne definicje, a organizacje radykalne przerzucają się między państwami, szukając najkorzystniejszej jurysdykcji.

Praktyka pokazuje, że nawet wewnątrz jednego sojuszu (np. UE) dochodzi do rozbieżności. Jeden kraj stosuje rozszerzoną definicję i gotów jest kwalifikować cyberataki na instytucje publiczne jako terroryzm; inny nadal widzi w tym „zwykłe” przestępstwa komputerowe. Z tego punktu widzenia najważniejszym krokiem dla państwa, które chce realnie przeciwdziałać cyberterroryzmowi, jest jednoznaczne zdefiniowanie go w prawie krajowym i konsekwentne stosowanie tej definicji we współpracy międzynarodowej.

Szara strefa między wojną, szpiegostwem a terroryzmem

Cyberatak może być jednocześnie:

• elementem konfliktu zbrojnego (działania sił zbrojnych),
• operacją wywiadowczą (cyberszpiegostwo),
• działaniem o charakterze ściśle przestępczym (np. wymuszenie okupu – ransomware),

Na gruncie obecnych regulacji trudno czasem rozstrzygnąć, który reżim prawny zastosować. Ten sam atak na sieć energetyczną może być kwalifikowany jako operacja militarna, sabotaż terrorystyczny albo „zwykłe” przestępstwo przeciwko mieniu i bezpieczeństwu informacji. Każda z tych kwalifikacji uruchamia inne instrumenty prawa międzynarodowego, inne procedury współpracy i inny poziom zaangażowania państw.

To właśnie ta szara strefa jest polem, na którym radykałowie czują się najbardziej swobodnie. Operują poniżej progu otwartego konfliktu zbrojnego, starannie unikają bezpośredniego przypisania do konkretnego państwa i korzystają z pośredników (grupy hakerskie, „cyberprywatni wykonawcy”). W efekcie trudno wykazać, czy mamy do czynienia z atakiem sponsorowanym przez państwo, samodzielną inicjatywą terrorystyczną, czy chaotycznym cyberprzestępstwem nastawionym na zysk.

Brak jasnych kryteriów rozróżnienia tych kategorii powoduje także ostrożność – a czasem wręcz paraliż decyzyjny – po stronie państw. Rządy obawiają się przedwczesnego nazwania ataku „aktem wojny” i związanych z tym konsekwencji politycznych, dlatego często wybierają najłagodniejszą kwalifikację. Dla organizacji radykalnych to sygnał, że można przesuwać granice: testować coraz bardziej agresywne operacje, licząc na to, że i tak zostaną zaklasyfikowane jako incydent kryminalny.

Państwa, które chcą wyjść z tej pułapki, zaczynają tworzyć wewnętrzne wytyczne i matryce kwalifikacji – łączące elementy prawa karnego, antyterrorystycznego i międzynarodowego prawa humanitarnego. To dobry kierunek: im szybciej służby potrafią nazwać dany typ ataku i przypisać go do konkretnego reżimu prawnego, tym łatwiej wykorzystać wszystkie dostępne narzędzia reakcji – od ścigania karnego po sankcje międzynarodowe.

Problemy z atrybucją i odpowiedzialnością państw

Atrybucja, czyli wiarygodne przypisanie cyberataku konkretnemu podmiotowi, jest piętą achillesową współczesnego prawa międzynarodowego. Terrorystyczne komórki korzystają z serwerów pośredniczących, zainfekowanych urządzeń tzw. botnetów oraz infrastruktur wynajmowanych w państwach trzecich. Na końcu śladu technicznego widać często jedynie niczego nieświadomego użytkownika albo tanią firmę hostingową.

Kluczowy problem: obecne standardy dowodowe wypracowane dla świata analogowego słabo pasują do rzeczywistości, w której każdy element łańcucha może być podrobiony, przekierowany lub zaszumiony. Państwa boją się opierać poważne decyzje – jak sankcje czy działania odwetowe – na danych wywiadowczych, których nie mogą w pełni ujawnić bez ryzyka kompromitacji źródeł. Radykałowie umiejętnie to wykorzystują, projektując kampanie tak, by zawsze pozostawić miejsce na „rozsądną wątpliwość”.

Prawo międzynarodowe ma mechanizmy odpowiedzialności państw za wspieranie terroryzmu, ale ich zastosowanie do cyberprzestrzeni jest ograniczone. Trudno wykazać, że państwo „kontroluje” daną grupę hakerską, jeśli współpraca ma formę milczącego przyzwolenia, cichego finansowania lub selektywnego braku egzekwowania prawa. Pojawia się też spór, czy tolerowanie działalności cyberterrorystów na własnym terytorium – bez aktywnego wspierania – już rodzi odpowiedzialność międzynarodową, czy wciąż mieści się w granicach „niedoskonałego egzekwowania prawa”.

Coraz częściej pojawia się więc postulat doprecyzowania standardów atrybucji w cyberprzestrzeni – nie tylko na poziomie technicznym, lecz także prawnym i politycznym. Chodzi o jasne uzgodnienie, jaki zestaw dowodów (sygnatury malware, dane wywiadowcze, analiza behawioralna, informacje od partnerów) wystarcza, by w relacjach międzynarodowych oficjalnie wskazać sprawcę. Bez takiego minimalnego progu zawsze znajdzie się ktoś, kto zakwestionuje ustalenia śledztwa, a to rozmywa efekt odstraszania.

Drugim brakującym elementem są precyzyjne reguły odpowiedzialności państw za działania aktorów niepaństwowych w cyberprzestrzeni. Klasyczne kryteria „kierowania i kontroli” słabo pasują do rzeczywistości, w której kontakty odbywają się w zaszyfrowanych kanałach, a instrukcje można przekazywać przez ogólnodostępne fora lub komunikaty w mediach społecznościowych. Coraz większą rolę odgrywa pojęcie „due diligence” – obowiązku należytej staranności państwa w zapobieganiu wykorzystaniu jego terytorium do szkodliwych działań. Bez jego konsekwentnego stosowania cyberterroryści nadal będą wynajmować serwery, rejestrować domeny i budować zaplecze w państwach, które „nie chcą widzieć problemu”.

W praktyce dobrą przeciwwagą dla tej luki są elastyczne, polityczne formaty reakcji: wspólne oświadczenia państw, skoordynowane sankcje, wykluczanie podmiotów z rynków czy programów współpracy. Nie zastępują one wyroków sądów ani formalnej odpowiedzialności międzynarodowej, ale realnie podnoszą koszt tolerowania cyberterrorystycznej infrastruktury. Im częściej państwa korzystają z takich narzędzi w oparciu o solidną analizę techniczną i wywiadowczą, tym trudniej radykałom liczyć na bezkarność pod parasolem „braku stuprocentowych dowodów”.

Z perspektywy administracji i służb kluczowe staje się inwestowanie w zdolności śledcze oraz budowanie kanałów szybkiej wymiany informacji z partnerami. Dobrze przygotowany zespół reagowania, który potrafi w ciągu godzin zidentyfikować infrastrukturę ataku i połączyć ją z innymi kampaniami, daje państwu zupełnie inną pozycję negocjacyjną na arenie międzynarodowej. Warto więc myśleć o atrybucji nie jako o czysto technicznym ćwiczeniu, ale jako o inwestycji w wiarygodność całego systemu bezpieczeństwa.

Cyberterroryzm a prawo konfliktów zbrojnych – czy „cyberatak” może być wojną?

Najbardziej drażliwe pytanie dotyczy momentu, w którym cyberatak przestaje być „incydentem bezpieczeństwa”, a zaczyna podpadać pod prawo konfliktów zbrojnych. Kluczowe pojęcia to „zbrojna napaść” i „użycie siły” w rozumieniu Karty Narodów Zjednoczonych oraz międzynarodowego prawa humanitarnego. Problem: wszystkie te standardy tworzono z myślą o bombach, czołgach i rakietach, a nie o złośliwym kodzie blokującym szpitale czy sieć energetyczną.

W doktrynie coraz częściej przyjmuje się, że cyberatak może być uznany za użycie siły, jeśli jego skutki są porównywalne z tradycyjnym atakiem kinetycznym – np. prowadzą do śmierci ludzi, rozległych zniszczeń infrastruktury lub długotrwałego paraliżu kluczowych usług. Jeśli grupa terrorystyczna doprowadzi do wybuchu w rafinerii wyłącznie za pomocą zdalnej manipulacji systemem sterowania, trudno twierdzić, że mamy do czynienia tylko z „cyberprzestępstwem”. W takim scenariuszu pojawia się pytanie, czy państwo-ofiara może powołać się na prawo do samoobrony, także w formie odwetu kinetycznego.

Tu jednak pojawia się kolejna warstwa komplikacji: znaczna część cyberataków realizowanych przez radykałów jest rozciągnięta w czasie, składa się z wielu małych incydentów i dopiero łącznie generuje efekt porównywalny ze „zbrojną napaścią”. Jednorazowe wyłączenie szpitalnego systemu na godzinę to co innego niż miesiąc systematycznych uderzeń, które zmuszają placówki do odwoływania operacji ratujących życie. Prawo konfliktów zbrojnych nie daje dziś jasnej odpowiedzi, kiedy taki „skumulowany” skutek przekracza próg użycia siły.

Państwa próbują wypełnić tę lukę soft law – doktrynami narodowymi, wytycznymi wojskowymi, analizami eksperckimi w stylu Tallinn Manual. W wielu z nich przewija się podobne podejście: same narzędzia (malware, exploit, DDoS) nie są decydujące, liczy się kontekst i konsekwencje. Jeżeli cyberatak zagraża przetrwaniu ludności cywilnej, destabilizuje system finansowy czy uniemożliwia funkcjonowanie sieci energetycznej w środku zimy, argument za zastosowaniem prawa konfliktów zbrojnych robi się bardzo mocny. Dobrze zdefiniowane progi reakcji – choćby jednostronnie przyjęte przez dane państwo i komunikowane publicznie – działają też prewencyjnie: radykałowie wiedzą wtedy, że przekroczenie konkretnej granicy może uruchomić odpowiedź znacznie twardszą niż notka prasowa policji.

Drugim spornym obszarem jest status członków cyberorganiza­cji terrorystycznych w razie uznania, że ich działania stanowią element konfliktu zbrojnego. Czy programista, który z salonu w bezpiecznym kraju projektuje ransomware blokujące respiratornie w strefie wojny, jest „uczestnikiem działań zbrojnych”? Czy może stać się celem ataku, tak jak operator drona na polu walki? Międzynarodowe prawo humanitarne odwołuje się tu do pojęcia „bezpośredniego udziału w działaniach zbrojnych”, ale przełożenie tego na rzeczywistość zdalnych operacji jest dalekie od oczywistości. Niejasność przepisów zachęca radykałów do mieszania ról: jednego dnia są „cyberbojownikami”, następnego – „cywilnymi konsultantami IT”.

Do tego dochodzi problem miejsca prowadzenia działań. Cyberatak może być inicjowany z terytorium państwa A, za pośrednictwem serwerów w państwie B, a uderzać w infrastrukturę państwa C, znajdującą się fizycznie w państwie D (np. chmura, centra danych). Przy klasycznych działaniach wojennych taka plątanina jurysdykcji jest rzadka, w cyberprzestrzeni to norma. Uporządkowanie tej układanki wymaga nie tylko dopasowania prawa konfliktów zbrojnych, ale też zacieśnienia współpracy karnej, wywiadowczej i regulacyjnej. Im lepiej państwa zgrają swoje porządki prawne, tym mniej „bezpańskich” luk pozostanie do eksploatacji.

Cyberterroryzm nie zniknie, bo jest zbyt wygodnym narzędziem presji przy relatywnie niskim progu wejścia. Da się jednak mocno ograniczyć pole manewru radykałów: precyzując definicje, dopinając procedury atrybucji, stawiając wyraźne progi reakcji i – co kluczowe – ćwicząc te mechanizmy zanim dojdzie do realnego kryzysu. Im szybciej prawo nadąży za praktyką, tym trudniej będzie komukolwiek chować się za lukami normatywnymi i udawać, że „to tylko awaria systemu”.

Nowe kierunki regulacji – między suwerennością a wspólnym bezpieczeństwem

Cyberterroryzm stawia klasyczną zasadę suwerenności w niewygodnym świetle. Z jednej strony państwa bronią prawa do własnej polityki cyfrowej, z drugiej – coraz trudniej usprawiedliwić bierność wobec infrastruktur, które z ich terytorium służą do ataków na innych. Ten napięty balans zaczyna popychać prawo międzynarodowe w kierunku bardziej wymagających standardów współpracy.

Rośnie presja, aby rozwijać instrumenty oparte na wzajemności: jeśli państwo chce korzystać z globalnych łańcuchów dostaw technologii, dostępów do danych czy ruchu węzłów operatorskich, powinno przyjąć określone minimum środków przeciw cyberterroryzmowi. Coraz częściej padają propozycje „cyfrowych klauzul bezpieczeństwa” w umowach handlowych, inwestycyjnych i regulacyjnych – łączą one komfort gospodarczy z obowiązkiem reagowania na zgłoszone incydenty.

Drugim kierunkiem jest wzmacnianie roli organizacji regionalnych. Unia Europejska, ASEAN, Organizacja Państw Amerykańskich czy Unia Afrykańska rozwijają własne standardy cyberbezpieczeństwa, które pośrednio dotykają także cyberterroryzmu: wymogi raportowania poważnych incydentów, wspólne centra analiz zagrożeń, minimalne ramy ochrony infrastruktury krytycznej. Kiedy takie przepisy zaczynają być sprzęgnięte z sankcjami gospodarczymi lub dostępem do funduszy, przestają być miękką rekomendacją, a stają się realnym motywatorem do porządkowania własnego systemu prawnego.

W tle narasta pytanie o zakres dopuszczalnej presji. Jak daleko mogą posunąć się państwa i organizacje międzynarodowe, by zmusić oporne stolice do „posprzątania” własnej cyberprzestrzeni, nie łamiąc przy tym zakazu ingerencji w sprawy wewnętrzne? Dyskusja o „cyfrowych odpowiednikach” sankcji naftowych czy embarg wojskowych dopiero się rozpędza, ale jedno jest pewne: im silniej gospodarka i administracja opierają się na sieci, tym dotkliwsze stają się narzędzia nacisku z tego obszaru.

Każdy krok w kierunku wspólnych standardów to mniej wygodnych wymówek dla państw, które dziś chowają cyberterrorystyczne problemy pod dywan.

Między represją a prewencją – jak prawo może ograniczać radykalizację cyfrową

Dotychczasowe regulacje koncentrują się głównie na reagowaniu: karaniu sprawców, blokowaniu finansowania, zdejmowaniu nielegalnych treści. W cyberprzestrzeni to za mało, bo radykalizacja często zaczyna się od kilku kliknięć – w grupie na komunikatorze, na pozornie neutralnym forum, w komentarzach pod transmisją na żywo. Jeśli prawo ignoruje te wczesne etapy, zostaje zawsze pół kroku za sprawcami.

Coraz szerszą akceptację zdobywa pogląd, że państwa mają pozytywny obowiązek przeciwdziałania cyfrowej radykalizacji. Nie chodzi wyłącznie o zakazy, ale o aktywne budowanie alternatyw: wspieranie treści kontrnarracyjnych, programy edukacyjne dotyczące dezinformacji, przejrzyste procedury zgłaszania i weryfikowania niebezpiecznych materiałów. Kiedy młody użytkownik natknie się na propagandowy film gloryfikujący „cyberdżihad”, dobrze, aby tuż obok miał dostęp do rzetelnej, zrozumiałej kontrargumentacji, a nie wyłącznie suchy komunikat „treść usunięta”.

Przepisy o mowie nienawiści, nawoływaniu do przemocy czy propagowaniu terroryzmu można w większym stopniu dostosować do realiów sieci: precyzyjniej definiować, jakie treści i formaty są zabronione (np. instrukcje ataków na szpitale, gotowe playbooki dla „cybermęczenników”), oraz jak szybko platformy mają reagować. Warunkiem jest jednak mocne zakotwiczenie w prawach człowieka – inaczej łatwo zamienić walkę z cyberterroryzmem w pretekst do tłumienia niewygodnej opozycji czy dziennikarzy.

Radykałowie bardzo sprawnie wykorzystują szare strefy wolności słowa: publikują „materiały edukacyjne”, „symulacje teoretyczne”, „analizy bezpieczeństwa”, które w praktyce są gotowym poradnikiem ataków. Prawo może reagować, rozpoznając zamiar i kontekst – np. gdy instrukcjom technicznym towarzyszy gloryfikacja przemocy lub jednoznaczne wskazanie wrażliwych celów. Dobrze skonstruowane przepisy pozwalają odróżnić badacza bezpieczeństwa od propagandysty zachęcającego do uderzenia w sieć energetyczną.

Im wcześniej uda się wychwycić i rozbić cyfrowe bańki radykalizacji, tym mniej osób trafi na etap realnego planowania cyberataków.

Współpraca publiczno-prywatna – niewykorzystany potencjał w walce z cyberterroryzmem

Infrastruktura, którą wykorzystują cyberterroryści, w ogromnej większości znajduje się w rękach sektora prywatnego: operatorzy telekomunikacyjni, dostawcy chmur, właściciele serwerowni, platformy społecznościowe, producenci oprogramowania. Bez ich udziału żaden, nawet najlepiej napisany traktat, nie zadziała w praktyce.

Prawo międzynarodowe dopiero nieśmiało dotyka kwestii obowiązków firm technologicznych. Część zobowiązań przechodzi przez prawo krajowe: nakaz przechowywania logów, obowiązek zgłaszania poważnych incydentów, wymogi „know your customer” przy sprzedaży usług hostingowych czy rejestracji domen. Inne mechanizmy bazują na dobrowolnych standardach branżowych – kodeksach postępowania, wspólnych protokołach współpracy z organami ścigania, szybkich kanałach zgłaszania treści terrorystycznych.

Radykałowie korzystają z tego, że regulacje są rozrzucone i nierówne. Gdy jedna jurysdykcja wymaga weryfikacji klienta, przenoszą się do innej, gdzie usługę VPN czy serwer VPS można opłacić kryptowalutą bez jakichkolwiek danych. Gdy duża platforma społecznościowa wprowadza agresywne mechanizmy moderacji treści terrorystycznych, propaganda przesuwa się do mniejszych serwisów, które nie mają zasobów ani obowiązku, by tak intensywnie filtrować content.

Coraz częściej podnoszony jest pomysł międzynarodowych „standardów należytej staranności” dla dostawców kluczowych usług cyfrowych. Mogłyby one obejmować np. konieczność posiadania procesu weryfikowania zgłoszeń o cyberterrorystycznych treściach w określonym czasie, transparentne raporty dotyczące ich liczby i sposobu obsługi, a także minimalne wymogi bezpieczeństwa technicznego (chociażby aktualizacje, monitoring anomalii ruchu, segmentację sieci). Dobrze zdefiniowane ramy nie tylko ułatwiają współpracę z państwami, ale też zmniejszają ryzyko nieprzewidywalnych roszczeń czy sankcji.

Dla firm technologicznych to szansa, by zbudować wizerunek partnera bezpieczeństwa, a nie „beztroskiego pośrednika ruchu”. Dla państw – okazja, by poszerzyć realne pole widzenia w cyberprzestrzeni, nie zamieniając sektora prywatnego w nieformalną służbę specjalną.

Budowanie odporności infrastruktury krytycznej – prawo jako katalizator, nie hamulec

Cyberterroryzm w ujęciu praktycznym bardzo często sprowadza się do prostego pytania: czy systemy, od których zaleje życie i zdrowie ludzi, wytrzymają atak? Jeśli odpowiedź brzmi „raczej nie”, to nawet najlepiej doprecyzowane definicje i normy atrybucji nie powstrzymają katastrofy. Właśnie tutaj regulacje mogą działać jak silnik zmiany – narzucając minimalne wymagania bezpieczeństwa i wymuszając inwestycje, które w innych warunkach byłyby odkładane w nieskończoność.

Coraz więcej państw przyjmuje ustawy o cyberbezpieczeństwie infrastruktury krytycznej: energetyki, transportu, ochrony zdrowia, sektora finansowego, usług cyfrowych. Choć to działania głównie krajowe, w praktyce odwołują się do wspólnych standardów międzynarodowych (np. norm ISO, wytycznych sektorowych, rekomendacji CERT-ów). Taka harmonizacja jest istotna, bo ataki rzadko zatrzymują się na granicy – łańcuch dostaw systemu sterowania elektrownią może ciągnąć się przez kilka państw i kilku dostawców.

Tam, gdzie ustawodawca ogranicza się do ogólnego nakazu „zapewnienia bezpieczeństwa systemów”, operatorzy często wybierają najtańszą interpretację – bez analiz ryzyka, testów penetracyjnych, planów ciągłości działania. Dopiero przepisy wymuszające konkretne działania (np. obowiązkowe ćwiczenia scenariuszy cyberataków, obowiązek posiadania centrum operacji bezpieczeństwa, regularne audyty prowadzone przez niezależne podmioty) zaczynają realnie podnosić poprzeczkę dla potencjalnych sprawców.

Radykałowie potrafią wyłapywać nawet drobne luki organizacyjne: brak procedur komunikacji kryzysowej, niespójne uprawnienia administratorów, brak koordynacji między działem IT a zarządem. Regulacje mogą tu zadziałać jak checklisty – wskazując minimalne elementy, które muszą znaleźć się w systemie zarządzania bezpieczeństwem. W połączeniu z umiarkowanymi, ale realnymi sankcjami za rażące zaniedbania, tworzy to bodziec, by nie odkładać bezpieczeństwa „na później”.

Im więcej organizacji krytycznych przejdzie z poziomu „gasimy pożary” na poziom „ćwiczymy, testujemy, planujemy”, tym trudniej będzie cyberterrorystom osiągać efekt zaskoczenia.

Prawo dowodowe i procedura karna – jak skutecznie ścigać cyberterrorystów

Nawet najbardziej spektakularna operacja kontrterrorystyczna nie ma znaczenia, jeśli dowody nie nadają się do użycia przed sądem. Cyberprzestrzeń komplikuje klasyczne reguły postępowania karnego: logi można nadpisać w sekundę, dane przechowywane są w różnych państwach, a kluczowe informacje o działaniu złośliwego oprogramowania znajdują się w pamięci operacyjnej urządzeń, która znika po ich wyłączeniu.

Stąd rosnące znaczenie przepisów regulujących tzw. cyfrową forensykę. Chodzi o normy, które określają, jak zabezpieczać ślady elektroniczne, aby zachować ich integralność, weryfikowalność i łańcuch posiadania. Bez tego obrona w procesie bez trudu zakwestionuje wyniki analizy: „ktoś mógł zmodyfikować logi”, „komputer był niezabezpieczony”, „programy użyte przez śledczych ingerowały w dane”. Odpowiednio opisane standardy – najlepiej z odniesieniem do międzynarodowych wytycznych – utrudniają takie taktyki.

Dodatkowo, prawo karne musi nadążyć za specyfiką współpracy międzynarodowej przy zbieraniu dowodów. Klasyczne wnioski o pomoc prawną często docierają zbyt późno, gdy infrastruktura ataku dawno przestała istnieć. Nowe instrumenty, jak europejski nakaz wydania e-dowodów czy mechanizmy szybkiego zabezpieczenia danych w ramach budowanej Konwencji ONZ o cyberprzestępczości, mają skrócić ten czas z miesięcy do dni, a czasem godzin.

Radykałowie testują granice procedury: korzystają z anonimowych sieci, zaszyfrowanych komunikatorów, serwerów w jurysdykcjach niechętnych współpracy, a gdy zapadają pierwsze wyroki – zaskarżają je do trybunałów międzynarodowych, zarzucając naruszenie praw człowieka. Dlatego tak istotne jest, by przepisy dowodowe i procesowe uwzględniały równowagę: skuteczność ścigania przy jednoczesnym poszanowaniu gwarancji procesowych. Każdy rażąco niesprawiedliwy proces staje się paliwem propagandowym dla kolejnych pokoleń cyberterrorystów.

Silne, przejrzyste standardy dowodowe służą nie tylko prokuratorom – zwiększają też zaufanie społeczne, że wyroki za cyberterroryzm nie są efektem politycznej potrzeby, ale rzetelnie przeprowadzonego postępowania.

Normy etyczne i zawodowe – miękkie narzędzie ograniczania „cybernajmników”

Część cyberataków o charakterze terrorystycznym jest realizowana nie przez ideologicznych fanatyków, ale przez wynajętych specjalistów: freelancerów od exploitów, administratorów botnetów, operatorów serwerów pośredniczących. Dla nich to często „tylko praca” lub szybki zarobek – dystansują się od konsekwencji swoich działań. Prawo karne może ich odstraszać, ale w praktyce trudno dotrzeć do każdego takiego wykonawcy, zwłaszcza jeśli działa z kraju o niskiej gotowości do współpracy.

Tu wchodzi pole dla norm etycznych i zawodowych, podobnych do tych, które obowiązują lekarzy, prawników czy inżynierów budownictwa. Społeczność specjalistów IT i cyberbezpieczeństwa stopniowo wypracowuje własne kodeksy postępowania, zasady odpowiedzialnego ujawniania podatności, standardy pracy pentesterów i konsultantów. Jeśli takie reguły zyskają szerszą akceptację i zostaną powiązane np. z certyfikacjami czy licencjami, mogą ograniczać pulę osób gotowych pracować jako „cybernajemnicy” dla organizacji terrorystycznych.

Radykałowie celują też w młodych talentów – rekrutują na forach, konkursach hakerskich, w społecznościach graczy. Odpowiedzią może być nie tylko straszenie odpowiedzialnością karną, ale również pokazywanie pozytywnych ścieżek kariery: bug bounty, praca w zespołach reagowania, rozwój open-source’owych narzędzi bezpieczeństwa. Im mocniej środowisko IT podkreśla, że wykorzystywanie umiejętności do ataków na szpitale czy infrastrukturę cywilną jest zawodowym tabu, tym większa szansa, że część potencjalnych rekrutów wybierze inną drogę.

Silna kultura etyczna w branży cyberbezpieczeństwa nie zastąpi przepisów, ale może skutecznie zawęzić przestrzeń, w której organizacje terrorystyczne szukają ekspertów od złośliwego kodu.

Cyberterroryzm – od haseł medialnych do precyzyjnej definicji prawnej

„Cyberterroryzm” brzmi efektownie, więc szybko przedostał się do nagłówków. Problem w tym, że w prawie międzynarodowym taki termin prawie nie funkcjonuje. Konwencje ONZ mówią o „aktach terrorystycznych”, „przestępstwach o charakterze terrorystycznym” czy „użyciu środków masowego rażenia”, ale nie rozróżniają, czy narzędziem był karabin, ciężarówka czy złośliwe oprogramowanie. Dla prawnika to wygodne – szeroka definicja pozwala objąć wiele form działania. Dla praktyków cyberbezpieczeństwa to jednak pułapka interpretacyjna.

Przy próbie doprecyzowania, co właściwie jest cyberterroryzmem, pojawiają się cztery kluczowe elementy:

• środek działania – wykorzystanie systemów ICT jako narzędzia lub celu,
• intencja – zastraszenie ludności lub zmuszenie władz do określonego działania,
• skutek lub poważne ryzyko – śmierć, poważne obrażenia, masowe zniszczenia lub paraliż infrastruktury krytycznej,
• kontekst – związek z organizacją terrorystyczną lub ideologią ekstremistyczną.

Bez takiego „czteropaku” przepisów grozi nam mieszanie pojęć: od typowego cyberprzestępstwa (np. wyłudzenie danych kart płatniczych) po szpiegostwo czy sabotaż na rzecz obcego państwa. To z kolei przekłada się na bałagan kompetencyjny – różne służby, różne podstawy prawne, różne standardy użycia środków przymusu.

Coraz częściej eksperci proponują, by prawo międzynarodowe przyjęło funkcjonalną definicję cyberterroryzmu, skoncentrowaną na skutku i zamiarze, a nie na technicznych detalach ataku. Prosta zasada: jeśli efekt cyfrowego działania jest porównywalny ze „zwykłym” zamachem (np. wyłączenie zasilania szpitali w całym regionie), to mówimy o cyberterroryzmie, niezależnie od tego, czy atak poszedł przez spearphishing, czy wykorzystanie luki zero-day.

Precyzyjna definicja daje bardzo praktyczną korzyść – pozwala szybciej zdecydować, czy uruchamiamy instrumenty prawa antyterrorystycznego (np. zamrożenie środków finansowych, zaangażowanie wyspecjalizowanych jednostek), czy „tylko” klasyczne narzędzia ścigania cyberprzestępczości. Im mniej wątpliwości na starcie, tym mniej paraliżu decyzyjnego w kluczowych godzinach po ataku.

Jeśli działasz w administracji, sektorze prywatnym czy NGO, doprecyzuj lokalnie, jakie zdarzenia cyfrowe wasza organizacja traktuje jako potencjalny „incydent terrorystyczny” – to przyspiesza reakcję i ogranicza chaos kompetencyjny.

Mapa istniejących regulacji – co prawo międzynarodowe faktycznie obejmuje

Mimo braku jednej, uniwersalnej konwencji o cyberterroryzmie, nie działamy w próżni. Cyberataki o charakterze terrorystycznym „wpadają” w kilka istniejących koszyków regulacyjnych. To dobra wiadomość: można korzystać z gotowych narzędzi, zamiast czekać na idealny traktat, który powstanie może kiedyś.

Po pierwsze, konwencje antyterrorystyczne ONZ – choć technologicznie neutralne – obejmują wiele zachowań możliwych do zrealizowania cyfrowo: od sabotażu infrastruktury transportowej po ataki na instalacje jądrowe. Jeżeli cyberatak prowadzi do skutku opisanego w takiej konwencji, państwa-strony mają obowiązek penalizacji, ścigania lub wydania sprawców.

Po drugie, mamy Konwencję Budapeszteńską o cyberprzestępczości Rady Europy, wraz z jej protokołami dodatkowymi. Choć powstawała z myślą o „zwykłej” cyberprzestępczości, stworzyła narzędzia proceduralne (szybkie zabezpieczenie danych, mechanizmy współpracy, wspólne typy przestępstw), które świetnie nadają się do ścigania także czynów o tle terrorystycznym. W praktyce to często główny kanał realnej wymiany danych między służbami.

Po trzecie, rezolucje Rady Bezpieczeństwa ONZ, zwłaszcza te po 11 września, wprowadziły obowiązki związane z finansowaniem terroryzmu, przepływem osób i materiałów, a także współpracą informacyjną. Choć niewiele mówią o cyberprzestrzeni, można je stosować do działań takich jak wykorzystywanie kryptowalut do finansowania ataków czy platform społecznościowych do rekrutacji i propagandy.

Dodatkowo funkcjonuje gęsta siatka miękkiego prawa – zaleceń, wytycznych, dobrych praktyk. Grupa ekspertów rządowych ONZ ds. rozwoju w dziedzinie informacji i telekomunikacji (UN GGE), otwarta grupa robocza ONZ (OEWG), dokumenty OBWE, OECD czy NATO – w tych materiałach znajdziemy katalogi odpowiedzialnych zachowań państw w cyberprzestrzeni, w tym zakazy ataków na infrastrukturę krytyczną w czasie pokoju.

Ta mapa regulacji jest poszatkowana, ale pozwala budować strategie „zlepieńcowe” – łącząc elementy prawa antyterrorystycznego, cyberprzestępczości, praw człowieka i prawa konfliktów zbrojnych. Kluczowe jest, by państwa miały świadomość, jakich instrumentów mogą użyć, zamiast stwierdzać, że „prawo nie nadąża”, i na tym kończyć dyskusję.

Dla praktyków oznacza to jedno: warto zidentyfikować, z jakich konwencji i mechanizmów współpracy korzysta twoje państwo, bo od tego zależy, jak szybko i skutecznie da się działać po poważnym incydencie cyberterrorystycznym.

Główne luki normatywne – gdzie prawo nie nadąża za cyberterroryzmem

Nawet najlepsze istniejące konwencje mają swoje ślepe pola. Cyberterroryści instynktownie je wyczuwają i wchodzą dokładnie w te obszary, gdzie prawo jest rozmyte. Im szybciej nazwiemy te luki po imieniu, tym łatwiej będzie je zamykać – czy to nowymi przepisami, czy chociaż spójną praktyką.

Pierwsza luka to brak jasnych zasad atrybucji w kontekście działań terrorystycznych. Prawo międzynarodowe koncentruje się na odpowiedzialności państw – tymczasem cyberterroryzm często ma formę mieszanki: prywatne grupy, wsparcie pośrednie ze strony służb, infrastruktura w kilku jurysdykcjach. Trudno stwierdzić, kiedy cyberatak „przeskakuje” z poziomu prywatnego terrorysty na odpowiedzialność państwa, które go wspiera, toleruje lub wykorzystuje.

Druga luka dotyczy „szarej strefy” działań poniżej progu zbrojnej napaści. Skutki są poważne (np. długotrwały paraliż szpitali), jednak nie ma fizycznych eksplozji ani ofiar śmiertelnych. Państwa wahają się, czy reagować jak na klasyczny akt terrorystyczny, czy raczej jak na „poważny incydent cyberbezpieczeństwa”. brak precyzji osłabia odstraszanie – radykałowie wiedzą, że reakcja międzynarodowa będzie rozmyta.

Trzecia luka to odpowiedzialność platform cyfrowych i dostawców usług infrastrukturalnych w transgranicznym kontekście. Lokalne prawo może wymagać szybkiego usuwania treści terrorystycznych, ale gdy serwer jest w innym państwie, a operator powołuje się na wolność słowa lub brak lokalnego przestępstwa – zaczyna się przeciąganie liny. Brakuje twardych, globalnych standardów minimalnych, które wiązałyby podstawowych „operatorów” sieci.

Czwarta luka dotyczy nowych technologii, takich jak sztuczna inteligencja generatywna, deepfake czy autonomiczne systemy sterowania procesami przemysłowymi. Prawo nie precyzuje, jak traktować np. wykorzystanie modeli AI do automatycznego planowania ataków na infrastrukturę krytyczną czy do tworzenia masowych, hiperpersonalizowanych kampanii radykalizacyjnych. Kto ponosi odpowiedzialność: twórca modelu, operator platformy, czy wyłącznie bezpośredni sprawca?

Ostatnia, często pomijana luka, to brak skoordynowanych standardów sankcji. Ten sam typ cyberataku o podłożu terrorystycznym może być w jednym państwie zagrożony karą kilku lat więzienia, a w innym – dożywociem. Ta rozbieżność utrudnia ekstradycje i negocjacje, a cyberterroryści wykorzystują „najbezpieczniejsze” jurysdykcje jako bazy operacyjne.

Jeśli uczestniczysz w procesie legislacyjnym lub tworzysz wewnętrzne polityki organizacji, przeanalizuj, w które z tych luk najbardziej „wpada” wasz sektor – tam inwestycja w doprecyzowanie zasad przyniesie największy zysk bezpieczeństwa.

Jak radykałowie wykorzystują te luki – praktyczne modus operandi w sieci

Cyberterroryści nie muszą znać podręczników prawa międzynarodowego. Wystarczy, że obserwują, gdzie reakcja państw jest wolna, niepewna albo rozproszona. Na tej podstawie kształtują swoje modus operandi – zestaw powtarzalnych, sprawdzonych schematów działania.

Po pierwsze, warstwowanie jurysdykcji. Propaganda publikowana na serwerach w państwie A, komunikacja odbywa się przez szyfrowane komunikatory z serwerami w państwie B, finansowanie idzie przez giełdę kryptowalut w państwie C, a właściwy atak pochodzi z botnetu złożonego z urządzeń w kilkunastu innych krajach. Taki „rozsmarowany” łańcuch utrudnia wskazanie jednego odpowiedzialnego podmiotu i rozmywa możliwość zastosowania konkretnych konwencji.

Po drugie, używanie legalnej infrastruktury do nielegalnych działań. Radykałowie chętnie sięgają po popularne chmury publiczne, CDN-y, serwisy do współdzielenia plików czy platformy komunikacji zespołowej. Prawo często chroni te podmioty jako „pośredników technicznych”, zwalniając ich z odpowiedzialności za treści, tak długo jak nie mają wiedzy o bezprawnych działaniach. Dopóki zgłoszenia się nie pojawią, infrastruktura działa jak „tarcza” dla sprawców.

Po trzecie, operowanie na granicy wolności słowa. Zamiast wprost nawoływać do zamachów, propagandyści publikują „analizy taktyczne”, symulacje, gry czy „hipotetyczne scenariusze”, które mieszczą się w dopuszczalnym spektrum debaty publicznej w części państw. Z prawnego punktu widzenia trudno je zakwalifikować jako bezpośrednie podżeganie – a jednak pełnią rolę podręczników dla sympatyków.

Po czwarte, wykorzystywanie luk w standardach dowodowych. Cyberterroryści doskonale wiedzą, że niektóre państwa nie mają jasnych regulacji dotyczących zabezpieczania e-dowodów. Stosują więc techniki typu „log wiping”, szyfrowanie end-to-end z kluczami jednorazowymi czy trzymanie kluczowych komponentów ataku w pamięci RAM. Celem nie jest pełna niewykrywalność – wystarczy, by zebrane ślady były na tyle wątpliwe, że obrona w sądzie rozbije akt oskarżenia.

Po piąte, testowanie reakcji w „małych dawkach”. Najpierw niewielka kampania DDoS, potem krótki incydent z zakłóceniem systemu rezerwacyjnego, dopiero później poważniejszy atak. Każdy z etapów osobno nie spełnia progów prawnych dla „aktu terrorystycznego”, ale razem budują doświadczenie i rozpoznanie – kto reaguje, jak szybko, jakie procedury są uruchamiane.

Jedna z europejskich służb odnotowała serię pozornie chaotycznych incydentów w sektorze ochrony zdrowia: phishing, kilkuminutowe DDoS, skanowanie portów. Dopiero po ich złożeniu w całość okazało się, że grupa związana z radykalną organizacją testowała odporność systemu, który w razie kryzysu byłby potencjalnym celem szantażu politycznego. W papierach większość zdarzeń widniała jako „zwykłe cyberincydenty”.

Świadomość tych schematów daje przewagę – możesz projektować procesy bezpieczeństwa i współpracy z organami ścigania tak, by nie zostawiały cyberterrorystom komfortowych „szarych stref”.

Cyberterroryzm a prawo konfliktów zbrojnych – czy „cyberatak” może być wojną?

Gdy cyberatak powoduje przerwy w dostawie prądu, chaos w szpitalach i paraliż transportu, naturalne pytanie brzmi: czy to jeszcze przestępstwo, czy już „atak zbrojny” w rozumieniu prawa konfliktów zbrojnych (IHL)? Od tej kwalifikacji zależy bardzo dużo – zakres dozwolonej odpowiedzi, w tym użycie siły zbrojnej.

Prawo konfliktów zbrojnych, oparte głównie na konwencjach genewskich, powstawało z myślą o kinetycznych działaniach wojennych. Jednak zasadnicza logika jest technologicznie neutralna: liczy się skutek, nie narzędzie. Jeśli cyberatak powoduje ofiary śmiertelne, poważne zniszczenia fizyczne lub inne skutki porównywalne z klasycznym atakiem zbrojnym, część ekspertów uznaje, że spełnia on kryteria „użycia siły” z Karty Narodów Zjednoczonych.

Tu pojawia się problem: cyberterroryści zwykle nie są państwem. IHL reguluje głównie działania państw oraz konfliktów z udziałem zorganizowanych grup zbrojnych, które osiągają pewien próg intensywności walk. Pojedynczy lub nawet powtarzalny atak cyberterrorystyczny może nie spełniać formalnych warunków konfliktu zbrojnego, mimo że skutki są dramatyczne. To tworzy przestrzeń niepewności: czy państwo ofiara może odpowiedzieć siłą militarną na cyberatak grupy terrorystycznej działającej z terytorium innego państwa?

Część państw i ekspertów dopuszcza możliwość potraktowania skrajnego cyberataku terrorystycznego jako „zbrojnej napaści”, jeśli skutki są porównywalne z bombardowaniem – szczególnie gdy chodzi o długotrwałe odcięcie energii, wodociągów czy poważne uszkodzenia infrastruktury przemysłowej. Inni podkreślają, że bez jasnego powiązania z państwem–sponsorem każda militarna odpowiedź będzie balansowała na granicy legalności. Rezultat? Szare pole, w którym decyzje polityczne często wyprzedzają spokojną analizę prawną, a radykałowie liczą na to, że rządy sparaliżuje obawa przed eskalacją.

Dodatkowe zamieszanie wprowadza kwestia przypisania ataku. W cyberprzestrzeni relatywnie łatwo upozorować aktywność tak, by wyglądała na operację państwową albo – przeciwnie – na dzieło luźno zorganizowanej grupy ideologicznej. Jeśli rządy nie dysponują wystarczająco mocnymi dowodami technicznymi i wywiadowczymi, wahają się przed ogłoszeniem, że doszło do „użycia siły” w rozumieniu Karty NZ. Z perspektywy organizacji terrorystycznej to wygodny bufor: im więcej wątpliwości co do autora ataku, tym trudniej o jednoznaczną, wspólną reakcję międzynarodową.

Istnieje też spór o to, jak stosować klasyczne zasady IHL – rozróżniania, proporcjonalności i konieczności – do cyberataków o charakterze terrorystycznym. Przykład: zainfekowanie systemów energetycznych w dużym mieście, które powoduje paraliż szpitali, sygnalizacji drogowej i metra. Z perspektywy prawa wojennego mówimy o ataku na obiekty cywilne, potencjalnie o zbrodni wojennej. Tyle że w praktyce trudno ocenić, czy skutki uboczne nie przerosną jakiejkolwiek dopuszczalnej „korzyści militarnej”, a więc czy jakakolwiek cyberodpowiedź kinetyczna zmieści się jeszcze w granicach proporcjonalności. Tu przydaje się wcześniejsza praca: scenariusze, procedury oceny i reguły zaangażowania wypracowane zanim światła w mieście zgasną.

Coraz częściej mówi się też o „międzystrefie” między prawem karnym a prawem wojny. Państwa rozwijają doktryny odpowiedzi mieszanych: połączenie śledztwa kryminalnego, sankcji ekonomicznych, operacji wywiadowczych i ograniczonych działań cyberobronnych, które nie osiągają progu „użycia siły”. Dla praktyków bezpieczeństwa oznacza to konieczność współpracy z bardzo różnymi aktorami – od policji i prokuratury, przez regulatorów finansowych, po struktury wojskowe. Im wcześniej takie kanały współdziałania zostaną przetestowane na ćwiczeniach, tym mniejsze ryzyko chaosu w realnym kryzysie.

Cyberterroryzm żeruje na rozdźwięku między technologią a normami prawnymi – im lepiej rozumiesz tę lukę, tym skuteczniej możesz projektować procedury, umowy i decyzje, które ograniczą przeciwnikowi pole manewru, zanim zdąży wykorzystać „szarą strefę” przeciwko tobie.

Między bezpieczeństwem a prawami człowieka – delikatna granica w regulowaniu cyberterroryzmu

Gdy państwa próbują załatać luki prawne w obszarze cyberterroryzmu, bardzo łatwo przesadzić w drugą stronę. Zbyt szeroka definicja „działalności terrorystycznej online” staje się wygodnym narzędziem do tłumienia opozycji, krytyki rządu czy dociekliwego dziennikarstwa śledczego. To nie abstrakcyjne ryzyko – kilka państw już używa przepisów „antyterrorystycznych” przeciw aktywistom cyfrowym, którzy jedynie publikują narzędzia do testów penetracyjnych albo informacje o lukach bezpieczeństwa.

Prawo międzynarodowe praw człowieka – przede wszystkim Międzynarodowy Pakt Praw Obywatelskich i Politycznych oraz Europejska Konwencja Praw Człowieka – dopuszcza ograniczenia wolności słowa czy prywatności, ale tylko wtedy, gdy są legalne, konieczne i proporcjonalne. W praktyce oznacza to, że:

• przepisy muszą być precyzyjne (obywatel wie, co jest zabronione),
• ingerencja ma rzeczywisty związek z zapobieganiem terroryzmowi, a nie wygodą rządu,
• środki są „najmniej inwazyjne” spośród tych, które mogą zadziałać.

Cyberterroryzm kusi rządy do stosowania narzędzi „hurtowych”: masowej inwigilacji, filtrowania treści, obowiązkowego przechowywania metadanych czy wymuszania tylnych furtek w szyfrowaniu. Z perspektywy operacyjnej to czasem skraca drogę do pozyskania informacji wywiadowczych, ale prawnie i politycznie jest to pole minowe. Każdy taki mechanizm musi przejść test zgodności z prawami człowieka – także wtedy, gdy formalnie jest „tylko” rozwiązaniem krajowym, bo w praktyce dotyka ruchu transgranicznego.

Najrozsądniejszą odpowiedzią nie jest ślepe „twardnienie” prawa, lecz budowa mechanizmów kontroli i przejrzystości wokół narzędzi antyterrorystycznych w sieci. Dobrze zaprojektowane rozwiązania mają kilka wspólnych cech:

• nie penalizują samej technologii (np. szyfrowania, narzędzi pentesterskich), lecz konkretny sposób jej użycia,
• przewidują niezależny nadzór nad stosowaniem środków inwigilacji (sądy, regulatorzy, wyspecjalizowane komisje parlamentarne),
• zawierają mechanizmy odwoławcze i możliwość weryfikacji legalności działań organów,
• rozróżniają treści propagandowe, werbunkowe i instruktażowe, unikając wrzucania ich do jednego worka.

Jeśli uczestniczysz w projektowaniu przepisów lub polityk bezpieczeństwa, pilnuj, by definicje „cyberterroryzmu” nie były na tyle szerokie, że jutro zaczną obejmować twoich klientów, współpracowników albo ciebie samego.

Rola sektora prywatnego i dostawców technologii w uszczelnianiu luki prawnej

Cyberterroryzm uderza w państwa, ale odbywa się głównie na infrastrukturze prywatnej. Operatorzy chmur, dostawcy usług internetowych, twórcy systemów operacyjnych czy platform społecznościowych stają się de facto pierwszą linią obrony, zanim do gry wejdą służby.

Prawo międzynarodowe coraz częściej odwołuje się do „due diligence” przedsiębiorstw – obowiązku dołożenia należytej staranności, by ich usługi nie były wykorzystywane do poważnych naruszeń praw człowieka, w tym do działań terrorystycznych. To nie zawsze są twarde nakazy, raczej standard, który wpływa na kontrakty, due diligence inwestorów, presję opinii publicznej i rekomendacje organizacji międzynarodowych.

W dużych firmach technologia styka się z prawem w kilku kluczowych obszarach:

• warunki świadczenia usług (ToS) – klauzule zabraniające wspierania terroryzmu, precyzyjne definicje „zakazanych działań”, jasne procedury blokowania kont i odwołań,
• compliance i risk management – procesy identyfikacji klientów wysokiego ryzyka, monitorowania transakcji, współpracy z jednostkami analizy finansowej,
• reakcja na wnioski państw – spójne polityki dotyczące udostępniania danych, blokad treści i zamrażania środków, także wtedy, gdy wnioski pochodzą z jurysdykcji o słabych gwarancjach praw człowieka.

Z perspektywy cyberterrorystów idealny dostawca to taki, który ma skomplikowaną strukturę właścicielską, rozproszoną obecność prawną i brak dojrzałych procesów reagowania na wnioski organów. W praktyce przewagę zyskują podmioty, które:

• mają centralny punkt kontaktu do współpracy z organami ścigania (24/7, jasne procedury, formularze),
• posiadają mapę jurysdykcji, w których przechowują dane i świadczą usługi,
• prowadzą regularne ćwiczenia „table-top” z symulacją scenariuszy żądań związanych z cyberterroryzmem,
• potrafią odróżnić uzasadnione żądanie (np. związane z zamachem) od politycznie motywowanej prośby o cenzurę.

Jeżeli działasz po stronie biznesu, jasne polityki reagowania i przejrzystość wobec klientów nie tylko zmniejszają ryzyko prawne – budują zaufanie, którego potrzebujesz w kryzysie.

Dobrowolne kodeksy postępowania i „miękkie prawo” w walce z cyberterroryzmem

Obok formalnych konwencji i ustaw wyrósł cały ekosystem soft law: branżowych kodeksów dobrych praktyk, wytycznych organizacji międzynarodowych, wspólnych deklaracji państw i firm technologicznych. Dla cyberterroryzmu mają one szczególne znaczenie, bo klasyczne negocjacje traktatowe są wolne, a technologia zmienia się błyskawicznie.

Przykładem są międzyplatformowe inicjatywy przeciwko treściom terrorystycznym, w ramach których duże serwisy wymieniają się sygnaturami materiałów propagandowych, tworzą wspólne standardy oznaczania i blokowania kont, a także ścieżki współpracy z organami ścigania. To nie jest „prawo twarde”, ale praktyka, która z czasem kształtuje oczekiwania regulatorów i sądów.

Dobrze zaprojektowane miękkie instrumenty pomagają też wyrównać standardy minimum – mniejsi dostawcy, którzy dołączają do takich inicjatyw, dostają gotowy zestaw wzorców procedur, klauzul kontraktowych i modeli oceny ryzyka. Dzięki temu są mniej atrakcyjnym celem dla grup, które szukają „bezpiecznych przystani” w słabo uregulowanych zakątkach sieci.

Jeśli masz wpływ na strategię swojej organizacji, nie czekaj na kolejną ustawę – przyłącz się do istniejących inicjatyw branżowych lub zaproponuj własne standardy współpracy w łańcuchu dostaw.

Budowa odporności prawno-technicznej – praktyczne kierunki działania

Przeciwnikiem nie jest jedynie konkretny gang czy organizacja ideologiczna, lecz cała logika wykorzystywania luk: tam, gdzie prawo jest mgliste, tam cyberterroryści czują się najpewniej. W odpowiedzi trzeba myśleć równolegle o normach, procesach i technologii.

Na poziomie organizacji (administracja publiczna, operatorzy infrastruktury, duże firmy) kluczowe są trzy obszary:

• mapowanie ryzyk prawnych – identyfikacja, które przepisy antyterrorystyczne, ochrony danych, telekomunikacyjne i finansowe dotykają waszych systemów i danych,
• przekład przepisów na procedury – konkretne playbooki: kto podejmuje decyzję o zgłoszeniu incydentu jako potencjalnego aktu terrorystycznego, jakie dane można przekazać, w jakim trybie i komu,
• cykliczna weryfikacja – przeglądy zgodności z prawem po większych incydentach, aktualizacje polityk i szkolenia po każdej większej zmianie regulacyjnej.

Przykład z praktyki: po serii incydentów DDoS w jednym z krajów operator telekomunikacyjny zaktualizował standardową procedurę reagowania na incydenty tak, by w określonych warunkach automatycznie powiadamiać narodowe centrum antyterrorystyczne, a nie tylko zwykły CERT. Ten prosty ruch znacząco skrócił czas uzyskiwania nakazów sądowych na dodatkowe działania techniczne i monitoring.

Jeśli działasz w obszarze bezpieczeństwa lub compliance, połącz mapę zagrożeń technicznych z mapą obowiązków prawnych – dopiero wtedy widzisz realną skalę ryzyka i możesz sensownie priorytetyzować inwestycje.

Ćwiczenia prawno-operacyjne i scenariusze „szarej strefy”

Większość organizacji prowadzi ćwiczenia z reakcją na incydenty techniczne, ale rzadko dodaje do nich wątki prawne i polityczne. Tymczasem cyberterroryzm niemal zawsze stawia dylematy: co możemy udostępnić bez naruszenia tajemnicy zawodowej, kiedy niezbędny jest nakaz sądowy, jak reagować na żądania zagranicznej służby, która powołuje się na walkę z terroryzmem, ale ma reputację naruszania praw człowieka?

Warto wplatać w ćwiczenia scenariusze, w których:

• nie ma jeszcze pewności, czy incydent ma charakter terrorystyczny, czy „tylko” kryminalny,
• różne państwa kwalifikują to samo zdarzenie odmiennie (w jednym jako terroryzm, w drugim jako sabotaż gospodarczy),
• kluczowy dowód znajduje się w jurysdykcji o zupełnie innym standardzie ochrony danych,
• media zaczynają presję na „natychmiastowe ujawnienie” informacji, które podlegają ograniczeniom ustawowym.

Takie ćwiczenia są tańsze niż chaos w realnym kryzysie, a pozwalają wyłapać dziury w pełnomocnictwach, łańcuchu decyzyjnym i komunikacji zewnętrznej, zanim zrobią to cyberterroryści.

Perspektywy rozwoju prawa międzynarodowego wobec cyberterroryzmu

Na poziomie globalnym trwa przeciąganie liny: część państw domaga się nowych, szczegółowych traktatów o cyberprzestrzeni, inni wolą rozwijać interpretacje istniejących norm. Cyberterroryzm jest jednym z argumentów obu stron – jedni mówią o konieczności „twardych” regulacji, drudzy obawiają się, że nowe konwencje zostaną szybko zdominowane przez logikę kontroli nad informacją.

W praktyce najbardziej realne są trzy ścieżki:

• dalsza harmonizacja definicji i przestępstw – rozszerzanie i aktualizowanie konwencji typu Budapeszt, tak aby odzwierciedlały nowe techniki działania organizacji terrorystycznych w sieci,
• wytyczne interpretacyjne – dokumenty podobne do Tallinn Manual, które precyzują, jak istniejące prawo (w tym IHL) stosować do cyberataków o charakterze terrorystycznym,
• umowy sektorowe – porozumienia skupione na wybranych obszarach, np. ochronie infrastruktury krytycznej, przeciwdziałaniu finansowaniu terroryzmu w kryptowalutach, wymianie danych o incydentach.

Nadmiar wiary w „magiczny” traktat globalny jest złudny, ale ignorowanie ewolucji norm również. Najrozsądniejsze podejście to aktywne uczestnictwo w kształtowaniu standardów – poprzez udział w konsultacjach, forach branżowych, grupach roboczych i projekty pilotażowe, które potem stają się wzorem dla regulacji.

Im bardziej jesteś obecny w tych procesach, tym większy wpływ masz na to, czy przyszłe prawo będzie wspierało bezpieczeństwo twojej organizacji, czy raczej tworzyło dodatkowe bariery bez realnych korzyści.

Najczęściej zadawane pytania (FAQ)

Co to jest cyberterroryzm w rozumieniu prawa, a nie mediów?

Cyberterroryzm w ujęciu prawnym to nie „każdy głośny atak w sieci”, ale działanie z użyciem narzędzi cyfrowych motywowane politycznie, religijnie lub ideologicznie, mające zastraszyć ludność lub wymusić decyzje władz oraz powodujące poważną szkodę – fizyczną, ekonomiczną lub dla infrastruktury. Bez tych elementów mówimy raczej o cyberprzestępczości, sabotażu czy hacktywiźmie.

Dziennikarz może nazwać cyberterroryzmem wyciek danych czy kilkugodzinny DDoS, ale prokurator potrzebuje ścisłych przesłanek: zamiaru terrorystycznego i realnie groźnych skutków. Świadomość tej różnicy pozwala lepiej ocenić, z jakim zagrożeniem faktycznie masz do czynienia.

Jak odróżnić cyberprzestępczość od cyberterroryzmu w praktyce?

Technicznie te ataki często wyglądają identycznie – DDoS, ransomware, malware. Różnica leży w motywacji, celu i skali skutków. Jeśli sprawca chce zarobić, zemścić się na pracodawcy czy „sprawdzić zabezpieczenia”, to zwykle cyberprzestępczość. Jeśli wymusza zmianę polityki państwa, grozi paraliżem usług publicznych lub zastrasza całe grupy społeczne – wchodzimy w obszar terroryzmu.

Pomocne pytania kontrolne: przeciwko komu wymierzony jest atak (bank vs szpital, sklep vs sieć energetyczna), jakie są skutki (drobne zakłócenia vs paraliż systemu ratownictwa) oraz jakie żądania stawia sprawca. Przeanalizuj te trzy poziomy, a dużo łatwiej nazwiesz rzecz po imieniu.

Dlaczego brakuje jednej, globalnej definicji cyberterroryzmu?

Na poziomie ONZ nie ma nawet jednej, wiążącej definicji terroryzmu jako takiego, dlatego uzgodnienie definicji cyberterroryzmu jest jeszcze trudniejsze. Państwa różnią się poglądami na to, co jest „legalnym oporem”, a co terroryzmem, boją się też, że zbyt szerokie definicje mogą służyć tłumieniu opozycji czy wolności słowa.

Efekt? Każde państwo przyjmuje własne regulacje, czasem bardzo ogólne: mówią o „poważnych zakłóceniach usług publicznych” czy „śmieci śmierci i obrażeń”, ale nie precyzują, kiedy cyberatak staje się aktem terroru. Ten brak jednolitości to idealne środowisko dla radykałów – wykorzystują rozbieżności, planując operacje na granicy definicji.

Jakie luki w prawie międzynarodowym wykorzystują cyberterroryści?

Największa luka to „analogowy” charakter wielu konwencji antyterrorystycznych ONZ. Regulacje skupiają się na klasycznych zamachach: bombach, porwaniach samolotów, atakach fizycznych na obiekty. Cyberprzestrzeń pojawia się marginalnie, więc cyberatak na infrastrukturę krytyczną często da się podciągnąć pod istniejące przepisy tylko przez kreatywną interpretację.

Drugi obszar to brak obowiązkowych, szczegółowych standardów w zakresie ochrony systemów cyfrowych czy współpracy przy ściganiu cyberataków. Radykałowie wybierają jurysdykcje, które nie są stroną kluczowych konwencji, mają słabe prawo wykonawcze albo opóźniają pomoc prawną. Im lepiej rozumiesz te „szare strefy”, tym łatwiej projektować realne strategie obrony, a nie tylko reagować po fakcie.

Czym jest Konwencja budapeszteńska i czy obejmuje cyberterroryzm?

Konwencja budapeszteńska Rady Europy to podstawowy międzynarodowy instrument dotyczący cyberprzestępczości. Ujednolica katalog przestępstw komputerowych (np. nieuprawniony dostęp, zakłócanie systemów, oszustwa) oraz zasady współpracy między państwami, w tym zabezpieczania dowodów cyfrowych.

Nie jest to jednak konwencja „antyterrorystyczna”. Traktuje cyberataki jako przestępstwa indywidualne, bez odrębnego reżimu dla motywacji terrorystycznej czy sankcji typowych dla terroryzmu. W praktyce te same przepisy mogą być użyte wobec „zwykłego” hakera i cyberterrorysty, ale to ustawodawstwo krajowe decyduje, czy dany czyn zostanie dodatkowo zakwalifikowany jako akt terroru. Jeśli działasz w obszarze bezpieczeństwa, sprawdź, jak twoje państwo implementowało te regulacje.

Czy atak DDoS na stronę rządową to już cyberterroryzm?

Sam w sobie atak DDoS na stronę ministerstwa czy urzędu najczęściej jest kwalifikowany jako przestępstwo przeciwko systemom informatycznym, a nie terroryzm. Zwłaszcza gdy ma formę „symbolicznego” protestu bez gróźb, bez ofiar i bez realnego paraliżu kluczowych usług publicznych.

Sytuacja zmienia się radykalnie, gdy ten sam wektor ataku jest połączony z jasno wyrażonymi żądaniami politycznymi i groźbą poważnych skutków, np. unieruchomienia systemów szpitalnych w całym kraju. Wtedy wchodzimy w obszar przesłanek terrorystycznych. Jeśli organizujesz protest w sieci, dokładnie rozumiej, gdzie kończy się legalna akcja, a zaczyna pole dla prokuratora.

Jak państwa mogą lepiej przeciwdziałać cyberterroryzmowi w ramach istniejącego prawa?

Kluczowe są trzy działania: doprecyzowanie ustaw krajowych (jasne progi szkodliwości, wskazanie infrastruktury krytycznej, opis motywacji terrorystycznej), konsekwentna implementacja konwencji międzynarodowych (np. budapeszteńskiej) oraz realna, a nie tylko deklaratywna współpraca służb i wymiaru sprawiedliwości ponad granicami.

W praktyce oznacza to m.in. aktualizację definicji terroryzmu o komponent cyber, tworzenie wyspecjalizowanych zespołów prokuratorsko-technicznych i szybszą wymianę informacji o grupach działających w sieci. Każdy krok w tym kierunku zmniejsza pole manewru dla radykałów i zwiększa twoje bezpieczeństwo jako obywatela i użytkownika cyfrowej infrastruktury.

Najważniejsze wnioski

• O tym, czy mamy do czynienia z cyberterroryzmem, nie decyduje technika ataku (DDoS, malware, ransomware), lecz motywacja sprawcy, rodzaj celu i skala szkody – te trzy elementy trzeba zawsze analizować razem.
• Cyberterroryzm wymaga ściśle określonych cech: motywacji politycznej, religijnej lub ideologicznej, zamiaru zastraszenia społeczeństwa lub wywarcia presji na władze oraz poważnych skutków (fizycznych, ekonomicznych lub infrastrukturalnych).
• Brak jednolitej, operacyjnej definicji sprawia, że ten sam atak bywa w jednym państwie ścigany jako terroryzm, a w innym jako „zwykłe” przestępstwo komputerowe – radykałowie świadomie projektują działania tak, by korzystać z tej szarej strefy.
• Ataki motywowane sprzeciwem politycznym, lecz ograniczone do symbolicznego zakłócenia działania strony internetowej urzędu, najczęściej kwalifikują się jako cyberprzestępczość lub hacktywizm, a nie terroryzm; dopiero groźba paraliżu infrastruktury krytycznej (np. szpitale, energetyka) przesuwa je na poziom terrorystyczny.
• Istniejące konwencje antyterrorystyczne ONZ powstały w „analogowej epoce” i opisują głównie klasyczne zamachy (porwania, zamachy bombowe, przemoc fizyczną), dlatego słabo obejmują ataki w cyberprzestrzeni i tworzą poważną lukę normatywną.