KSI EES — polski komponent Systemu Wjazdu/Wyjazdu

KSI EES (Krajowy System Informatyczny do spraw Systemu Wjazdu/Wyjazdu) jest polską warstwą organizacyjną i techniczną dostępu do unijnego EES. Łączy krajowe stanowiska, aplikacje i systemy instytucji z jednolitym interfejsem krajowym systemu centralnego. Nie jest drugą, niezależną polską bazą wszystkich podróży ani nową podstawą gromadzenia danych poza zakresem rozporządzenia EES.

Ustawa rozdziela role Krajowej Jednostki EES (KJEES) i Centralnego Organu Technicznego KSI EES (COT KSI EES). Obie wykonuje Komendant Główny Straży Granicznej, lecz nie są to role zamienne: pierwsza dotyczy dostępu i operacji, druga integracji, bezpieczeństwa oraz utrzymania krajowej infrastruktury.

Pierwotny użytkownik: podróżny

Podróżny nie „korzysta z KSI EES” jak z portalu administracyjnego, ale jest osobą, której odprawa uruchamia krajowy przepływ danych. Przedstawia dokument podróży, a w odpowiednim przypadku przekazuje obraz twarzy i odciski palców. Powinien wiedzieć, że czynność dotyczy unijnego EES, nawet jeżeli wykonuje ją na urządzeniu należącym do polskiej Straży Granicznej.

Osoba może być obsłużona przy stanowisku funkcjonariusza, w kiosku wstępnej rejestracji albo przy bramce automatycznej. Każdy wariant ma prowadzić do tej samej prawnie kontrolowanej decyzji granicznej. Samo pomyślne pobranie danych lub dopasowanie biometryczne nie oznacza zgody na wjazd.

Interfejs powinien odróżniać błąd dokumentu, niewystarczającą jakość próbki, brak odpowiedzi oraz wynik wymagający ręcznej kontroli. Powtarzanie pobrania bez wyjaśnienia może tworzyć gorsze próbki i niepotrzebnie wydłużać odprawę.

Podróżny ma prawo uzyskać informację o przetwarzaniu oraz korzystać z przewidzianych praw dostępu, sprostowania i usunięcia danych. Wniosek o korektę brakującego wyjazdu nie jest żądaniem uznaniowego „wyczyszczenia historii”, lecz procedurą ustalenia zgodności rekordu z rzeczywistym przebiegiem podróży.

Pierwotny użytkownik: funkcjonariusz Straży Granicznej

Funkcjonariusz odprawiający osobę jest podstawowym użytkownikiem operacyjnym. Rejestruje wjazd, wyjazd albo odmowę, sprawdza dokument i tożsamość, ocenia warunki przekroczenia granicy i interpretuje obliczenie dozwolonego pobytu.

Na ekranie może otrzymywać dane z kilku źródeł. Musi rozróżnić komunikat EES od alertu SIS, danych VIS, wyniku krajowego systemu odpraw i informacji zawartych w samym dokumencie. Wspólny interfejs nie czyni z nich jednego rekordu.

Operator potwierdza, że zdarzenie zostało przyjęte. Otwarcie bramki, wydruk dokumentu lub zakończenie ekranu lokalnego nie musi dowodzić zapisania transakcji centralnej. Przy awarii korzysta z procedury ciągłości i po odzyskaniu łączności uzgadnia brakujące operacje.

Jeżeli wynik wskazuje przekroczenie pobytu albo brak wyjazdu, funkcjonariusz sprawdza zdarzenia użyte w obliczeniu i wyjaśnienia osoby. Bilet, zapis przewoźnika, stempel z okresu przejściowego lub dokument innego państwa może wykazywać, że brak centralnego rekordu nie odpowiada rzeczywistości.

Pierwotny użytkownik instytucjonalny

Rozporządzenie techniczne rozróżnia użytkownika indywidualnego korzystającego z aplikacji WWW EES oraz użytkownika instytucjonalnego, którego własny system komunikuje się z KSI EES. To różnica sposobu podłączenia, nie automatycznie zakresu uprawnień.

Instytucja integrująca własną aplikację odpowiada za to, aby jej pola, słowniki i statusy zachowały znaczenie komunikatów EES. Wartość „brak wyniku”, błąd transmisji, osoba nieobjęta systemem i brak wcześniejszego rekordu nie mogą zostać sprowadzone do jednego pustego pola.

Administrator lokalny nadaje dostęp konkretnym osobom i komponentom, a nie całej sieci urzędu bez rozróżnienia. Powinien prowadzić wykaz ról, cyklicznie usuwać uprawnienia niepotrzebne i kontrolować konta techniczne używane przez integrację.

Instytucja zachowuje identyfikator transakcji, czas, cel i wynik w zakresie potrzebnym do audytu. Nie powinna kopiować pełnego dossier do własnej bazy tylko dlatego, że odczyt technicznie był możliwy.

KJEES: krajowa jednostka dostępu

Komendant Główny Straży Granicznej jako KJEES organizuje dostęp krajowych organów do EES i wykonuje funkcję centralnego punktu dostępu w sprawach ścigania. KJEES nie jest jednak autorem każdej informacji: zdarzenie może wprowadzić właściwy organ graniczny, a dane centralnie przechowuje system UE.

Jednostka weryfikuje, czy droga dostępu odpowiada celowi. Czynność graniczna, zadanie wizowe, identyfikacja osoby i wniosek organu ścigania mają inne przesłanki, zakres danych i mechanizmy kontroli.

KJEES musi obsługiwać także korekty, incydenty i zapytania dotyczące tego, kto wykonał operację. Dobra organizacja pozwala ustalić, czy problem powstał na stanowisku granicznym, w krajowej integracji, jednolitym interfejsie czy systemie centralnym.

Jako centralny punkt dostępu KJEES nie przejmuje odpowiedzialności wnioskującej służby za legalność potrzeby. Sprawdza wymagania dostępu i pośredniczy, ale wniosek musi być konkretny, udokumentowany oraz związany z terroryzmem albo innym poważnym przestępstwem określonym prawem.

COT KSI EES: krajowa warstwa techniczna

Centralny Organ Techniczny KSI EES odpowiada za integrację krajowej infrastruktury granicznej z jednolitym interfejsem krajowym. W praktyce obejmuje to sieć, certyfikaty, bezpieczne punkty styku, kontrolę dostępności i obsługę awarii.

Rozporządzenie techniczne przewiduje komunikację w sieci wydzielonej, HTTPS, tunel IPsec VPN, TLS oraz certyfikaty X.509. Wyliczenie technologii nie zastępuje zarządzania bezpieczeństwem: trzeba kontrolować klucze, daty ważności, konfigurację urządzeń brzegowych i odpowiedzialność za odnowienie.

COT wydaje lub obsługuje certyfikat dla urządzenia brzegowego. Certyfikat potwierdza tożsamość komponentu, ale nie dowodzi, że każde wysłane przez niego zapytanie było merytorycznie zasadne. Kontrola techniczna i kontrola celu są komplementarne.

Organ techniczny monitoruje przepływ bez wykorzystywania treści do własnych celów analitycznych. Powinien móc rozróżnić awarię DNS, tunelu, certyfikatu, aplikacji, kolejki komunikatów oraz usług centralnych i zachować ślad diagnostyczny bez nadmiernego kopiowania danych osobowych.

Architektura przepływu

Najprostszy model ma cztery warstwy: urządzenie lub system użytkownika, krajową infrastrukturę KSI EES, jednolity interfejs krajowy i centralny EES. Po drodze działają mechanizmy uwierzytelnienia, transmisji, kolejkowania i rejestracji zdarzeń.

Krajowy system odpraw może pobrać dane z czytnika dokumentu i urządzenia biometrycznego, zestawić je z danymi operatora oraz utworzyć komunikat. Odpowiedź centralna wraca do aplikacji, która ma ją pokazać bez zmiany sensu.

Nie każdy element jest bazą danych. Czytnik, bramka, aplikacja WWW, integracyjny broker komunikatów, krajowy interfejs i centralne repozytorium spełniają odmienne funkcje. Opis dowodowy powinien wskazać konkretny komponent, zamiast zbiorczo mówić „system wykazał”.

Synchronizacja czasu jest warunkiem rekonstrukcji. Zegar kiosku, stanowiska, logu sieciowego i centralnej transakcji może posługiwać się inną strefą lub formatem, dlatego oś zdarzeń wymaga normalizacji i zachowania wartości źródłowych.

KSI EES a centralny EES

Centralny EES przechowuje dossier oraz rekordy wjazdów, wyjazdów i odmów państw uczestniczących. KSI EES zapewnia polskim uprawnionym podmiotom drogę techniczną i organizacyjną do tych funkcji.

Sformułowanie „rekord KSI EES” może oznaczać lokalny log albo rezultat otrzymany z EES. W protokole należy wskazać źródło pola, czas pobrania i sposób utrwalenia. Bez tego nie wiadomo, czy badany jest stan centralny, czy kopia ekranowa.

KSI EES nie może rozszerzyć katalogu osób objętych systemem. Jeżeli osoba posiada status wyłączający ją z EES, krajowa aplikacja powinna obsłużyć właściwy tryb odprawy, a nie tworzyć dossier „na wszelki wypadek”.

Zmiana aplikacji krajowej nie zmienia z mocy techniki retencji centralnego EES. Podobnie awaria polskiego stanowiska nie oznacza utraty danych już zapisanych centralnie.

KSI EES a ZSE 6

ZSE 6 jest używane przez Straż Graniczną do obsługi odpraw i dokumentowania czynności. KSI EES jest warstwą dostępu do konkretnego europejskiego systemu. Mogą współdziałać, ale nazwy nie są synonimami.

Interfejs ZSE może inicjować komunikat dotyczący EES i prezentować odpowiedź obok danych krajowych. Dla operatora proces wygląda jednolicie, natomiast dla administratora i biegłego konieczne jest zachowanie granic komponentów.

Awaria lokalnej funkcji ZSE, niedostępność KSI EES i niedostępność centralnego EES mają inne skutki. Komunikat dla operatora powinien je odróżniać, ponieważ procedura ciągłości oraz późniejsze uzupełnienie rekordu mogą być różne.

W dokumentacji wdrożenia należy ustalić wersję ZSE, datę uruchomienia interfejsu i konkretne przejście. Ogólna informacja, że EES działa w Polsce, nie dowodzi konfiguracji urządzenia w chwili spornej odprawy.

KSI EES a SIS i VIS

SIS zawiera alerty i żądane działania, VIS informacje wizowe, a EES zdarzenia graniczne oraz rachunek krótkiego pobytu. KSI EES nie łączy ich znaczeń, nawet gdy funkcjonariusz widzi wyniki na jednym ekranie.

Trafienie SIS wymaga weryfikacji i w razie potrzeby kontaktu przez SIRENE. Brak alertu SIS nie przesądza o spełnieniu warunków wjazdu, a zapis odmowy EES nie jest automatycznie alertem.

VIS może dostarczyć biometrię posiadacza wizy do weryfikacji. EES rejestruje faktyczne zdarzenie graniczne. W raporcie nie wolno przypisywać VIS daty wyjazdu tylko dlatego, że systemy były odpytane w jednym procesie.

Korekty w jednym systemie nie zawsze automatycznie zmieniają drugi. Operator powinien rozpoznać, czy błąd dotyczy danych wizowych, tożsamości, dokumentu, alertu czy wydarzenia granicznego.

Dostęp bezpośredni

Dostęp bezpośredni służy zadaniom wskazanym w rozporządzeniu EES i ustawie krajowej. Organ korzysta z niego przez zatwierdzony interfejs i w granicach swojej właściwości, a nie dlatego, że posiada techniczne połączenie.

Uprawnienie powinno odpowiadać stanowisku. Osoba obsługująca odprawę może potrzebować rejestracji i odczytu konkretnej podróży, natomiast administrator techniczny — diagnostyki bez swobodnego przeglądania dossier.

Każdy dostęp pozostawia log umożliwiający ustalenie użytkownika, czasu, celu i rodzaju operacji. Konto wspólne dla zmiany utrudnia rozliczalność i nie powinno zastępować indywidualnego uwierzytelnienia.

Eksport wyniku poza aplikację wymaga osobnej oceny. Zrzut ekranu może zawierać więcej danych niż potrzebuje postępowanie i nie pokazuje wszystkich metadanych transakcji.

Dostęp pośredni do celów ścigania

Polskie przepisy przewidują pośredni dostęp prokuratury, sądów oraz wskazanych służb, między innymi Policji, Straży Granicznej, Krajowej Administracji Skarbowej, ABW, AW, CBA, SOP, SKW, SWW i Żandarmerii Wojskowej. Katalog instytucji nie oznacza stałego, nieograniczonego podglądu.

Właściwa jednostka składa udokumentowany wniosek, a centralny punkt dostępu bada przesłanki. Cel jest ograniczony do zapobiegania, wykrywania lub prowadzenia postępowań dotyczących przestępstw terrorystycznych albo innych poważnych przestępstw.

Dostęp powinien być konieczny w konkretnej sprawie, a wyszukanie wykonywane według dopuszczonych danych. Nie wolno używać EES jako narzędzia ogólnego rozpoznania podróży osób niezwiązanych z postępowaniem.

Tryb pilny może pozwalać na przyspieszenie oceny, lecz nie usuwa obowiązku następczej kontroli i dokumentacji. „Pilne” opisuje czas reakcji, nie niższy próg merytoryczny.

Wniosek Policji i JOP EES

Policyjne przepisy wewnętrzne organizują zadania jednostki operacyjnej dostępu EES i drogę wniosku do KJEES. Funkcjonariusz prowadzący nie powinien omijać tej ścieżki przez prośbę do kolegi wykonującego odprawy graniczne.

Wniosek identyfikuje sprawę, osobę albo poszukiwany zbiór, cel, podstawę i zakres czasu. Powinien też wyjaśniać, dlaczego dostęp do EES jest potrzebny, zamiast powielać ogólną formułę ustawową.

JOP EES kontroluje kompletność, rejestruje obieg i zabezpiecza odpowiedź. Jeżeli wynik jest negatywny, zachowuje informację, jakie kryteria i zakres czasowy faktycznie sprawdzono.

Wynik trafia do sprawy z oznaczeniem źródła. Funkcjonariusz prowadzący interpretuje go razem z dokumentami podróży, danymi przewoźnika i innymi dowodami, a nie jako samodzielną rekonstrukcję przemieszczania.

Wyszukiwanie alfanumeryczne

Wyszukanie może wykorzystywać dane dokumentu, nazwisko, imię, datę urodzenia i inne dopuszczone identyfikatory. Każde pole ma ryzyko błędu zapisu, transliteracji, zmiany dokumentu lub aliasu.

Numer paszportu jest silnym kluczem dokumentu, ale nie wiecznym identyfikatorem osoby. Wymiana, unieważnienie lub użycie cudzego dokumentu zmienia interpretację wyniku.

Nazwiska w różnych alfabetach mogą mieć kilka transliteracji. Systemowe dopasowanie nie zwalnia z porównania daty urodzenia, obywatelstwa, wizerunku i historii dokumentów.

Brak wyniku należy opisać z kryteriami. Nie oznacza on, że osoba nigdy nie przekraczała granicy: mogła podróżować przed uruchomieniem EES, być wyłączona albo występować pod innymi danymi.

Wyszukiwanie biometryczne

Biometria pomaga ustalić, czy osoba występuje pod innym dokumentem, i zweryfikować tożsamość podczas odprawy. System zwraca zgodność lub kandydatów według określonego procesu technicznego.

Jakość próbki, wiek, uraz, aparat i warunki pobrania wpływają na wynik. Brak dopasowania nie wyklucza tożsamości, a kandydat nie jest automatycznym potwierdzeniem.

Operator porównuje obraz i kontekst. Przy wyszukaniu jeden-do-wielu próg służy selekcji kandydatów, nie wydaniu opinii o osobie bez dalszej weryfikacji.

W raporcie należy zachować informację o rodzaju operacji, urządzeniu, jakości, wersji usługi i sposobie potwierdzenia. Sam opis „sprawdzono biometrię” nie umożliwia kontroli.

Obliczanie dozwolonego pobytu

EES automatyzuje regułę 90 dni w ruchomym okresie 180 dni dla osób objętych krótkim pobytem. Krajowy interfejs prezentuje rezultat i zdarzenia, które na niego wpłynęły.

Wynik może być błędny, jeżeli brakuje wyjazdu, połączono niewłaściwe dossier albo nie uwzględniono statusu prawnego. Funkcjonariusz powinien mieć możliwość przejścia od liczby do chronologii.

Wiza może ograniczać pobyt bardziej niż ogólna reguła, a dokument pobytowy lub wiza długoterminowa tworzą inny reżim. KSI EES nie zastępuje kwalifikacji statusu.

W postępowaniu dowodowym należy utrwalić stan danych z konkretnego dnia. Późniejsza korekta może zmienić obliczenie i nie oznacza, że wcześniejszy ekran został sfałszowany.

Korekta danych

Korekta może dotyczyć tożsamości, dokumentu, zdarzenia, statusu albo połączenia rekordów. Organ najpierw ustala źródło błędu i kompetencję do jego naprawy.

Osoba przedstawia dokumenty potwierdzające rzeczywisty przebieg. Organ nie może wymagać dowodu niemożliwego do uzyskania, gdy brak wynika z awarii jego własnego systemu.

Zmiana powinna pozostawić ślad: wartość poprzednią, nową, czas, autora i podstawę. Historia korekty chroni podróżnego oraz funkcjonariusza, bo wyjaśnia różnicę między dawnym wydrukiem i stanem aktualnym.

Jeśli problem dotyczy rekordu utworzonego przez inne państwo, potrzebna jest współpraca przewidziana dla EES. Polski operator nie powinien lokalnie „naprawiać” kopii bez zmiany źródła centralnego.

Logi i rozliczalność

Log ma umożliwić odpowiedź: kto, kiedy, z jakiej instytucji, w jakim celu, według jakich kryteriów wykonał odczyt lub zmianę. Powinien także wykazać rezultat techniczny bez nadmiernego powielania treści dossier.

Warstwy generują różne logi: stacja robocza, aplikacja, urządzenie biometryczne, węzeł integracyjny, brama sieciowa i system centralny. Wspólny identyfikator transakcji ułatwia ich korelację.

Administrator bezpieczeństwa analizuje nietypowe wzorce: masowe zapytania, dostęp poza zmianą, wyszukiwanie osób bliskich użytkownikowi, eksporty i wielokrotne nieudane logowania. Sam alarm wymaga wyjaśnienia, nie jest dowodem nadużycia.

Retencja logu i danych merytorycznych może być różna. Usunięcie dossier zgodnie z prawem nie powinno prowadzić do bezterminowego odtworzenia jego treści z diagnostycznych kopii.

Bezpieczeństwo transmisji

Wydzielona sieć ogranicza ekspozycję, ale nadal wymaga segmentacji, aktualizacji, kontroli urządzeń i procedury reagowania. Tunel VPN chroni kanał między punktami, nie usuwa ryzyka na zainfekowanej stacji końcowej.

TLS i certyfikat X.509 zapewniają uwierzytelnienie oraz poufność przy prawidłowej konfiguracji. Zespół utrzymania monitoruje ważność certyfikatów, zaufane urzędy, wersje protokołu i błędy negocjacji.

Klucze prywatne powinny być chronione przed eksportem, a ich użycie audytowane. Kopia certyfikatu publicznego nie daje dostępu, lecz utrata klucza prywatnego wymaga unieważnienia i analizy zdarzeń.

Testy integracyjne muszą używać danych syntetycznych lub właściwie chronionych. Przeniesienie zrzutu produkcyjnego do środowiska szkoleniowego może stworzyć niekontrolowaną kopię danych podróżnych.

Incydent i ciągłość działania

Incydent może dotyczyć poufności, integralności albo dostępności. Błędna aktualizacja słownika, przeterminowany certyfikat i nieuprawniony odczyt wymagają innych działań.

Zespół zabezpiecza logi, identyfikuje dotknięte komponenty i określa przedział czasu. Nie powinien naprawiać zegara lub nadpisywać konfiguracji przed utrwaleniem stanu potrzebnego do analizy.

Procedura awaryjna odprawy musi zapewniać bezpieczeństwo granicy i późniejsze uzgodnienie danych. Tymczasowa dokumentacja powinna mieć identyfikatory umożliwiające uniknięcie duplikatów po przywróceniu usługi.

Po incydencie porównuje się kolejki komunikatów, potwierdzenia i stan centralny. „System już działa” nie oznacza, że wszystkie zdarzenia z okresu awarii zostały zapisane poprawnie.

KSI EES jako źródło dowodowe

Wydruk lub odpowiedź może potwierdzić, że EES zawierał określony rekord, ale nie zawsze dowodzi fizycznej obecności bez zastrzeżeń. Trzeba ocenić, jak zweryfikowano osobę, dokument i biometrię oraz czy rekord później korygowano.

Materiał powinien obejmować treść, metadane, źródło, czas pobrania, kryteria i osobę utrwalającą. Zrzut ekranu bez identyfikatora może być ilustracją, lecz ma słabszą wartość kontrolną.

Przy sporze warto porównać monitoring przejścia, log bramki, odczyt dokumentu, dane przewoźnika i dokumentację funkcjonariusza. Zgodność niezależnych źródeł wzmacnia wniosek.

Brak rekordu jest szczególnie ostrożnym dowodem. Może wynikać z zakresu systemu, daty uruchomienia, wyłączenia osoby, awarii albo błędnego wyszukania.

Wdrożenie w Polsce

EES uruchamiano etapowo od października 2025 r. Polska zakończyła wdrożenie na wszystkich swoich przejściach granicznych 10 kwietnia 2026 r. Data ta opisuje gotowość operacyjną całej sieci, nie jednakową historię każdego stanowiska.

Przy analizie zdarzenia z okresu przejściowego należy ustalić konkretne przejście, kierunek, terminal i harmonogram. Ręczny stempel mógł jeszcze współistnieć z rejestracją cyfrową.

Szkolenie obejmuje obsługę aplikacji, wyjątki, pobieranie biometrii, ochronę danych i procedury awaryjne. Sama instrukcja techniczna nie wystarczy do prawidłowej kwalifikacji statusu podróżnego.

Ocena wdrożenia powinna mierzyć nie tylko czas odprawy, lecz także jakość danych, liczbę korekt, awarie, fałszywe dopasowania, dostępność pomocy i skutki dla osób wymagających wsparcia.

Najczęstsze błędy interpretacyjne

Pierwszym błędem jest utożsamienie KSI EES z centralną bazą EES. Drugim — nazywanie każdego ekranu odprawy „KSI”, bez ustalenia, czy wynik pochodził z ZSE, SIS, VIS czy EES.

Trzecim jest uznanie automatycznego rachunku pobytu za decyzję niewymagającą sprawdzenia. Czwartym — interpretowanie braku rekordu jako pewnego braku podróży.

Piątym jest przedstawienie dostępu organów ścigania jako rutynowego przeglądania. Jest on pośredni, celowy i ograniczony do przesłanek dotyczących terroryzmu oraz poważnych przestępstw.

Szóstym jest traktowanie biometrycznego kandydata jako identyfikacji. Wynik systemowy musi zostać zweryfikowany i opisany wraz z jakością oraz metodą.

Minimalna checklista dokumentacyjna

Ustal datę, przejście, stanowisko, kierunek i etap wdrożenia.
Nazwij komponent, z którego pochodzi każda informacja.
Zachowaj kryteria zapytania, identyfikator transakcji i znaczniki czasu.
Rozdziel dane osoby, dokumentu, biometrii i zdarzenia granicznego.
Odnotuj awarie, tryb ręczny, duplikaty i późniejsze uzupełnienia.
Wskaż podstawę i cel dostępu, zwłaszcza w trybie ścigania.
Zapisz autora odczytu, eksportu lub korekty.
Porównaj rekord z niezależnymi źródłami, jeżeli wniosek ma znaczenie dowodowe.
Zachowaj historię zmian zamiast przedstawiać stan aktualny jako niezmienny.
Nie wyciągaj z braku trafienia wniosku szerszego niż sprawdzony zakres.