Zmiany w Prawie zamówień publicznych w związku z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa – konsekwencje dla zamawiających i wykonawców

W dniu 3 kwietnia 2026 r. wchodzi w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wprowadza również istotne zmiany w ustawie – Prawo zamówień publicznych. Nowe regulacje mają na celu wzmocnienie bezpieczeństwa systemów teleinformatycznych wykorzystywanych przy realizacji zamówień publicznych oraz dostosowanie polskich przepisów do wymogów wynikających z prawa Unii Europejskiej, w szczególności dyrektywy NIS2.

Zmiany te będą miały bezpośredni wpływ zarówno na zamawiających, jak i na wykonawców ubiegających się o udzielenie zamówienia publicznego, zwłaszcza w postępowaniach obejmujących dostawy lub usługi związane z technologiami informacyjno-komunikacyjnymi (ICT), infrastrukturą krytyczną oraz systemami przetwarzania danych.

Nowa przesłanka odrzucenia oferty w PZP

Nowelizacja wprowadza zmianę w art. 226 ust. 1 ustawy Prawo zamówień publicznych poprzez dodanie nowej przesłanki odrzucenia oferty. Zamawiający będzie zobowiązany do odrzucenia oferty w przypadku, gdy jej realizacja prowadziłaby do naruszenia przepisów ustawy o krajowym systemie cyberbezpieczeństwa lub decyzji wydanych na jej podstawie.

W praktyce oznacza to, że oferta może zostać odrzucona w szczególności wtedy, gdy:

• wykonawca przewiduje wykorzystanie produktów, usług lub systemów pochodzących od dostawcy uznanego za dostawcę wysokiego ryzyka,
• realizacja zamówienia byłaby sprzeczna z decyzją organu właściwego w sprawach cyberbezpieczeństwa,
• oferowane rozwiązania nie spełniają wymogów bezpieczeństwa określonych w przepisach dotyczących krajowego systemu cyberbezpieczeństwa,
• zamówienie dotyczy infrastruktury lub systemów objętych szczególną ochroną, a wykonawca nie gwarantuje zgodności z wymaganiami bezpieczeństwa.

Nowa regulacja ma charakter bezwzględnie obowiązujący, co oznacza, że w przypadku stwierdzenia naruszenia zamawiający nie ma możliwości wyboru takiej oferty, nawet jeśli byłaby ona najkorzystniejsza ekonomicznie.

Dostawcy wysokiego ryzyka a zamówienia publiczne

Kluczowym elementem nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa jest wprowadzenie mechanizmu identyfikacji tzw. dostawców wysokiego ryzyka. Status taki może zostać nadany w drodze decyzji właściwego organu administracji publicznej, jeżeli dany dostawca stwarza zagrożenie dla bezpieczeństwa państwa lub porządku publicznego, w szczególności w obszarze infrastruktury teleinformatycznej.

W konsekwencji wykorzystanie produktów lub usług takiego dostawcy w realizacji zamówienia publicznego może prowadzić do odrzucenia oferty lub do niemożliwości zawarcia umowy.

Zmiana ta ma szczególne znaczenie w postępowaniach dotyczących:

• systemów teleinformatycznych,
• usług chmurowych,
• infrastruktury sieciowej,
• systemów bezpieczeństwa i monitoringu,
• rozwiązań telekomunikacyjnych,
• systemów obsługujących administrację publiczną lub infrastrukturę krytyczną.

Nowe obowiązki zamawiających

W związku z wejściem w życie nowych przepisów zamawiający powinni uwzględniać wymogi cyberbezpieczeństwa już na etapie przygotowania postępowania. W szczególności konieczne może być:

• określenie w dokumentach zamówienia wymagań dotyczących bezpieczeństwa systemów ICT,
• weryfikacja, czy oferowane rozwiązania nie naruszają przepisów ustawy o krajowym systemie cyberbezpieczeństwa,
• analiza, czy wykonawca nie korzysta z produktów lub usług dostawców uznanych za wysokiego ryzyka,
• uwzględnienie w specyfikacji warunków zamówienia wymogów wynikających z decyzji organów właściwych w sprawach cyberbezpieczeństwa.

Brak uwzględnienia tych kwestii może prowadzić do unieważnienia postępowania, odwołań wykonawców lub problemów na etapie realizacji umowy.

Ryzyka po stronie wykonawców

Zmiany w przepisach zwiększają również zakres obowiązków po stronie wykonawców. Przed złożeniem oferty konieczne może być przeprowadzenie analizy zgodności oferowanych rozwiązań z przepisami o krajowym systemie cyberbezpieczeństwa, w szczególności w zakresie pochodzenia sprzętu, oprogramowania oraz usług.

Wykonawcy powinni zwrócić szczególną uwagę na:

• łańcuch dostaw komponentów ICT,
• wykorzystanie usług podwykonawców,
• zgodność z decyzjami dotyczącymi dostawców wysokiego ryzyka,
• możliwość spełnienia wymogów bezpieczeństwa w trakcie realizacji zamówienia.

Niedochowanie tych wymagań może skutkować odrzuceniem oferty lub nawet rozwiązaniem umowy na etapie jej wykonywania.

Znaczenie zmian dla rynku zamówień publicznych

Wprowadzone regulacje wpisują się w szerszy trend wzmacniania bezpieczeństwa cyfrowego państwa i ograniczania ryzyk związanych z wykorzystaniem technologii pochodzących z niepewnych źródeł. Jednocześnie zmiany te powodują, że kwestie cyberbezpieczeństwa stają się integralnym elementem postępowań o udzielenie zamówienia publicznego.

W praktyce oznacza to, że zamówienia publiczne w obszarze IT, telekomunikacji i infrastruktury będą wymagały nie tylko analizy prawnej i technicznej, ale również oceny ryzyk związanych z bezpieczeństwem państwa.

Jak możemy pomóc

Kancelaria AXELO doradza zamawiającym i wykonawcom w zakresie stosowania przepisów Prawa zamówień publicznych, w tym również w postępowaniach obejmujących zamówienia związane z systemami teleinformatycznymi oraz infrastrukturą krytyczną.

Oferujemy w szczególności:

• analizę dokumentacji postępowania pod kątem zgodności z przepisami o cyberbezpieczeństwie,
• wsparcie przy przygotowaniu SWZ i projektów umów,
• doradztwo dla wykonawców przed złożeniem oferty,
• reprezentację w postępowaniach odwoławczych przed KIO.

W przypadku pytań dotyczących nowych przepisów zapraszamy do kontaktu z zespołem Kancelarii AXELO.