Ukraińskie drony nad Yandexem, a polski minister nad własnym wnioskiem. Czy wojna w sieci da się wygrać komunikatem?

Wprowadzenie

W nocy z 7 na 8 października ukraińskie uderzenie objęło centrum danych Yandexa w Sasowie. Według relacji WP tam stoją dwa superkomputery firmy, Lapunow i Czerwononkis. Kolejny atak, 11 października, trafił w centrum danych w Kałudze. Trzeci uderzył we Włodzimierz, gdzie działa trzeci superkomputer, Gałuszkin. Yandex bywa w uproszczeniu nazywany „rosyjskim Google". To operator wyszukiwarki, usług chmurowych i uczenia maszynowego, czyli zaplecza, na którym działa wielka część rosyjskiej infrastruktury informacyjnej.

Tyle fakty. Potem zaczyna się polityka. Według tekstu Łukasza Maziewskiego z WP minister koordynator służb specjalnych Tomasz Siemoniak miał na posiedzeniu rządu przekonywać, że ataki ukraińskie ograniczyły aktywność rosyjskich botów, trolli i rozprzestrzenianie propagandy. Eksperci cytowani przez WP drwią z tej tezy. Zwracają uwagę, że to nieprawda, bo infrastruktura propagandowa nie mieszka w jednym budynku w Sasowie.

Uwaga do czytelnika: dysponuję fragmentem materiału źródłowego, który urywa się w połowie relacji z wypowiedzi ministra. Nie będę więc przypisywał Siemoniakowi słów, których nie widziałem, ani rozstrzygał, kto ma rację w sporze o skutki ataków. Interesuje mnie coś innego. To pytanie, jak prawo, i polskie, i międzynarodowe, traktuje takie operacje, oraz co z tej historii wynika dla zwykłego obywatela i przedsiębiorcy, który mieszka w kraju frontowym.

Temat jest ważny, bo mieszają się tu trzy porządki, które lubimy mieszać: wojna kinetyczna, wojna informacyjna i prawo gospodarcze. Uderzenie w serwerownię to jednocześnie uderzenie w przedsiębiorstwo, w cywilną infrastrukturę, w kanał dezinformacji i w łańcuch dostaw technologii. Każdy z tych aspektów ma inną ocenę prawną. Politycy lubią przy tym jedną, prostą opowieść: uderzyliśmy w serwery, więc propaganda zmalała. Prawo i technika nie lubią prostych opowieści.

Analiza prawna

1. Czy centrum danych jest celem wojskowym?

Podstawą jest prawo humanitarne konfliktów zbrojnych. Art. 52 ust. 2 I Protokołu dodatkowego do Konwencji genewskich z 1977 r. (Polska jest jego stroną) ogranicza obiekty ataku do tych, które „przez swój charakter, położenie, przeznaczenie lub użycie wnoszą skuteczny wkład w działania wojenne" i których zniszczenie daje w danych okolicznościach wyraźną przewagę wojskową. Sama „cywilność" firmy niczego nie przesądza. Obiekt podwójnego zastosowania, z którego korzystają jednocześnie cywile i wojsko, może być celem legalnym. Wtedy do gry wchodzi zasada proporcjonalności (art. 51 ust. 5 lit. b Protokołu) oraz obowiązek zachowania ostrożności przy ataku (art. 57).

Rozstrzygające jest więc pytanie o fakty. Czy superkomputery Yandexa obsługiwały zadania wojskowe lub służące rosyjskiemu aparatowi państwa? Czy tylko dostarczały usługi komercyjne? Tego z cytowanego materiału nie wiem i nie będę udawał, że wiem. Znaczenie ma też inny wątek. Sam „efekt propagandowy" nie czyni z wyszukiwarki celu wojskowego. Obiekt służący wyłącznie propagandzie nie spełnia klasycznie rozumianej przesłanki wkładu w działania wojenne, a w doktrynie to jeden z najbardziej spornych punktów (por. Podręcznik z Tallinna 2.0 o operacjach cybernetycznych, reguły dotyczące obiektów cywilnych i podwójnego zastosowania).

2. Perspektywa polska: co wolno państwu, które nie jest stroną?

Polska nie jest stroną konfliktu zbrojnego w rozumieniu prawa wojny, ale jest państwem wspierającym Ukrainę i ma własne obowiązki. Konstytucja w art. 5 nakłada na państwo obowiązek strzeżenia niepodległości i nienaruszalności terytorium oraz zapewnienia bezpieczeństwa obywateli. Art. 135 i 146 ust. 4 pkt 7 Konstytucji wskazują na rolę Rady Bezpieczeństwa Narodowego i Rady Ministrów w sprawach bezpieczeństwa. Minister koordynator służb specjalnych działa na podstawie ustawy z 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu i ustawy o działach administracji rządowej. Zgodnie z nimi koordynuje służby, ale nie jest ich analitykiem w znaczeniu pracownika naukowego.

Ma to znaczenie praktyczne. Wypowiedź członka rządu na posiedzeniu Rady Ministrów jest wypowiedzią polityczną, ale decyzje oparte na takiej ocenie (alokacja środków, priorytety służb, poziom alertu CRP) są już decyzjami administracyjnymi i budżetowymi. Jeśli przesłanka faktyczna jest błędna, rośnie ryzyko błędnego rozdysponowania zasobów.

3. Cyberbezpieczeństwo i dezinformacja w prawie polskim i unijnym

Najbliższe zastosowanie mają trzy akty:

ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (wraz z nowelizacją wdrażającą dyrektywę NIS2), która nakłada obowiązki na podmioty kluczowe i ważne, w tym dostawców usług cyfrowych i centrów danych;
rozporządzenie (UE) 2022/2065 (DSA), które w art. 34–35 wymaga od bardzo dużych platform oceny i ograniczania ryzyk systemowych, także dezinformacji;
przepisy karne, np. art. 130 § 1 i 3 k.k. (szpiegostwo, w tym działanie w ramach obcego wywiadu) oraz art. 130 § 10 k.k., obejmujący udział w działaniach obcego wywiadu przeciwko RP.

Zwróćmy uwagę na punkt, który zwykle ginie w komentarzach. Propaganda i boty nie są w polskim prawie „przestępstwem same w sobie". Ścigamy konkretne czyny: zniesławienie, nawoływanie do nienawiści (art. 256 k.k.), współpracę z obcym wywiadem, naruszenie zakazów sankcyjnych. Nie ma ustawowej definicji „rosyjskiej dezinformacji", którą można by ścigać hurtowo. Dlatego twierdzenie, że zniszczenie serwerowni „ogranicza trolling", jest nie tylko empirycznie wątłe, ale też mało przydatne prawnie. Boty nie działają z jednego budynku w Rosji. Działają na infrastrukturze rozproszonej, często na komercyjnych serwerach w państwach trzecich i na kontach w zachodnich platformach.

Porównanie stanowisk

Stanowisko rządowe (w zreferowanej wersji): atak na Yandex jest sukcesem ukraińskim również w wymiarze informacyjnym, bo zakłóca rosyjską machinę propagandy. To teza wygodna politycznie. Pokazuje, że pomoc dla Ukrainy „działa", i uzasadnia dalsze wsparcie.

Stanowisko ekspertów cytowanych przez WP: drwią z tego wniosku. Z ich perspektywy infrastruktura propagandy jest zdecentralizowana, redundantna i w dużej mierze nie opiera się na wyszukiwarce. Atak jest sukcesem taktycznym (zniszczone zasoby obliczeniowe), ale nie dowodzi spadku aktywności botów. Taki efekt trzeba by zmierzyć na danych z platform, a nie wywnioskować z faktu, że gdzieś wybuchła serwerownia.

Doktryna prawa międzynarodowego jest tu ostrożna. Część autorów traktuje wpływ na ludność cywilną z tytułu utraty usług cyfrowych jako element oceny proporcjonalności. Inni podkreślają, że skutki o charakterze „informacyjnym" nie wchodzą do rachunku jako szkoda cywilna w rozumieniu art. 51 ust. 5 lit. b Protokołu. Praktyka państw jest nieustalona, bo przypadków uderzeń kinetycznych w cywilne centra danych jest niewiele.

Praktyka administracyjna w Polsce idzie zaś swoją drogą: monitoring, zgłaszanie incydentów do CSIRT-ów, blokowanie domen. Nikt rozsądny nie zakłada, że jeden spektakularny cios zamknie ten front.

Moim zdaniem właściwa odpowiedź leży pośrodku. Atak jest zdarzeniem realnym, a jego skutki dla rosyjskich usług są plausybilne. Przejście od tego do wniosku o mniejszej liczbie trolli to już inferencja, która wymaga dowodów.

Aspekt praktyczny

Co z tego wynika dla obywatela i przedsiębiorcy?

Dla obywatela. Nie obiecujmy sobie, że internet stał się czystszy. Dezinformacja nadal będzie docierać przez media społecznościowe, komunikatory i fałszywe konta, a nie przez wyszukiwarkę Yandex, z której w Polsce korzysta niewielu. Warto korzystać z narzędzi zgłaszania treści w DSA (art. 16 – mechanizm zgłaszania nielegalnych treści) i weryfikować źródła.

Dla przedsiębiorcy. To, co istotne, to nie Yandex, tylko łańcuch zależności. Polska firma, która korzysta z usług chmurowych, hostingu czy narzędzi analitycznych, powinna wiedzieć, gdzie fizycznie stoją jej dane i kto jest dostawcą. Jeśli podlega ustawie o KSC, ma konkretne obowiązki: analiza ryzyka, zgłaszanie poważnych incydentów, zarządzanie ciągłością działania. Sankcje i ograniczenia wobec podmiotów rosyjskich (rozporządzenie Rady (UE) nr 833/2014) pozostają w mocy, a ich naruszenie grozi odpowiedzialnością karną na podstawie ustawy z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę. Przedsiębiorca nie musi być ekspertem od wojny, ale musi wiedzieć, od kogo kupuje.

Dla każdego. Przypominam, że atak kinetyczny na infrastrukturę cyfrową to ryzyko także dla nas. Granica między „ich" a „naszą" infrastrukturą jest cienka. Operacje odwetowe i hybrydowe w Polsce, w tym cyberataki na wodociągi, samorządy czy szpitale, nie są teorią.

Opinia Libacjusza

Powiem bez owijania: największe wrażenie robi nie sam atak, tylko spacer od faktu do wniosku. „Zniszczyliśmy serwerownię, więc propaganda zmalała" to klasyczne post hoc ergo propter hoc. Minister koordynator służb powinien być ostatnią osobą, która takie skróty myślowe wygłasza na posiedzeniu rządu. Wypowiedź, która z tego wniosku czyni podstawę oceny, jest po prostu ryzykowna. Jeśli się myli (a eksperci mówią, że tak), to źle pokazuje, jak państwo mierzy skuteczność własnych działań.

Mam też uwagę ogólniejszą, zgodną z moim stałym przekonaniem. Państwo powinno wspierać przedsiębiorców, a nie ich regulować. Polska cyberbezpieczeństwo regulowała w kolejnych nowelizacjach KSC, rozporządzeniach i wytycznych. Mamy lawinę obowiązków, a firmy skarżą się, że nie wiedzą, które przepisy ich dotyczą. Zbyt wiele ustaw oznacza zbyt wiele luk. Każdy nowy akt tworzy nowe pojęcia, nowe progi i nowe wyjątki, a pomiędzy nimi znajdują się szczeliny, w które wpada i zwykły przedsiębiorca, i mało ambitny urzędnik. Zamiast kolejnego obowiązku sprawozdawczego wolałbym, żeby państwo dało firmom coś realnego. Chodzi o darmowe, dobrze utrzymane narzędzia wykrywania zagrożeń, wspólne bazy wskaźników kompromitacji, szybki kontakt z CSIRT-em i jasne, krótkie wytyczne zamiast ośmiusetstronicowych interpretacji.

Rzeczywista odporność na dezinformację i ataki nie bierze się z komunikatów o cudzych sukcesach. Bierze się z solidnej, mierzalnej pracy: monitoringu, edukacji medialnej i sprawnych procedur. A tej nie zastąpi nawet najbardziej efektowny wybuch w Sasowie.

Konkluzja

Ataki na centra danych Yandexa, o których pisze WP, to realne wydarzenie wojenne. Ich ocena prawna zależy od faktów: czy obiekty wnosiły wkład w działania wojenne i czy zachowano proporcjonalność (art. 52 i 51 I Protokołu dodatkowego).
Wniosek o spadku aktywności botów i trolli po tych atakach, tak jak go zreferowano, jest w świetle opinii ekspertów niepoparty dowodami. Dezinformacja jest zdecentralizowana i nie zależy od jednej serwerowni.
Polskie prawo nie zawiera „ustawy o rosyjskiej propagandzie". Opieramy się na KSC, DSA, kodeksie karnym i sankcjach. Skuteczność tych narzędzi zależy od wykonania, a nie od liczby przepisów.
Prognoza: będziemy widzieć dalsze uderzenia w infrastrukturę cyfrową po obu stronach i dalsze próby przedstawiania ich jako zwycięstw informacyjnych. Dobrze będzie, jeśli polskie państwo nauczy się mierzyć efekty, zanim je ogłosi.

Źródła

[wiadomosci_wp] Drugie dno sukcesu Ukraińców. Polski minister dał się nabrać, eksperci drwią (Łukasz Maziewski, 13 października 2026): https://wiadomosci.wp.pl/drugie-dno-sukcesu-ukraincow-polski-minister-dal-sie-nabrac-eksperci-drwia-7339567660075488a
I Protokół dodatkowy do Konwencji genewskich z 12 sierpnia 1949 r., art. 51, 52, 57
Konstytucja RP, art. 5, 135, 146
Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
Rozporządzenie (UE) 2022/2065 (DSA), art. 16, 34–35
Kodeks karny, art. 130, 256
Rozporządzenie Rady (UE) nr 833/2014; ustawa z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę
Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations (opracowanie doktrynalne)

Uwaga: brak kontekstu z bazy wiedzy i dodatkowych źródeł. Artykuł opiera się na fragmencie tekstu WP (urwanym w połowie wypowiedzi ministra) oraz na powszechnie dostępnych aktach prawnych. Przytoczone przepisy warto zweryfikować w aktualnym brzmieniu przed publikacją.

Powyższy artykuł ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej.