Jednym z przepisów, które wywoływały i wciąż budzą największe dyskusje w związku z wejściem w życie w kwietniu znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażającej unijną dyrektywę NIS2, jest kwestia dostawców wysokiego ryzyka (DWR).
Podmiot, któremu grozi uznanie za dostawcę wysokiego ryzyka, to dostawca, którego określone produkty, usługi lub procesy ICT – po przeprowadzeniu ustawowej procedury – mogą zostać uznane za stwarzające ryzyko dla bezpieczeństwa państwa lub porządku publicznego. Chodzi tu m.in. o zapewnienie bezpieczeństwa łańcucha dostaw w gospodarce i sektorze publicznym, co jest niezwykle ważne w obecnej sytuacji geopolitycznej. Nie jest tajemnicą, że tego typu sankcją mogą być objęci, jako jedni z pierwszych, chińscy dostawcy sprzętu telekomunikacyjnego, który jest dość powszechnie wykorzystywany przez operatorów w Polsce.
Kwestia DWR na poziomie UE
Bardzo prawdopodobne jest, że w niedalekiej przyszłości kwestia ta będzie uregulowana odgórnie na poziomie Unii Europejskiej. Komisja Europejska przedstawiła bowiem w styczniu tego roku propozycje dotyczące znowelizowanej ustawy o cyberbezpieczeństwie (CSA2). Projekt konsultowany jest obecnie przez kraje członkowskie i Parlament Europejski.
A zgodnie z nim KE będzie miała uprawnienia do identyfikowania dostawców wysokiego ryzyka na podstawie kryteriów geopolitycznych, takich jak pochodzenie podmiotu z państwa zagrażającego UE lub zbyt duża zależność wspólnoty od danej firmy.
Listy DWR w Polsce jeszcze nie ma, ale...
Na razie jednak w Polsce kwestię tę regulują nowe przepisy KSC. Obecnie nie ma jeszcze listy dostawców wysokiego ryzyka – do tej pory nie wszczęto w naszym kraju żadnego postępowania ani nie wydano decyzji o uznaniu jakiegokolwiek dostawcy za DWR. Jednakże resort cyfryzacji uczula, że brak listy dostawców wysokiego ryzyka nie zwalnia podmiotów z obowiązku oceny ryzyka przy zakupie produktów, usług i procesów ICT. Warto weryfikować, czy pochodzą one od zaufanych dostawców i spełniają wymagania bezpieczeństwa.
A jeśli chodzi o uznanie określonych podmiotów za DWR, decyzję w tym zakresie będzie podejmował Minister Cyfryzacji przy współudziale Kolegium do Spraw Cyberbezpieczeństwa, w ramach wieloetapowego postępowania administracyjnego. Podmioty kluczowe i ważne nie będą mogły wprowadzać do systemów produktów dostawcy uznanego za wysokiego ryzyka.
W przypadku ich wcześniejszego wdrożenia przewidziano obowiązek wycofania takich rozwiązań w terminie do 7 lat. Dostawca ma prawo do złożenia skargi do sądu administracyjnego.
Procedura uznania za DWR w Polsce
Ministerstwo Cyfryzacji podkreśla, że uznanie za dostawcę wysokiego ryzyka może nastąpić wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji.
Po wszczęciu postępowania minister zawiadamia o tym dostawcę oraz publikuje informację w Biuletynie Informacji Publicznej. Przed wydaniem decyzji zasięga opinii Kolegium do Spraw Cyberbezpieczeństwa, które ma trzy miesiące na jej przygotowanie.
W ciągu 14 dni od opublikowania zawiadomienia organizacje społeczne mogą przedstawić swoje stanowisko. Na tej podstawie minister przygotowuje raport, który publikuje na swojej stronie BIP przed wydaniem decyzji.
Decyzja nie oznacza wykluczenia dostawcy z rynku
Decyzja o uznaniu dostawcy za wysokiego ryzyka nie oznacza wykluczenia firmy z rynku. Obejmuje wyłącznie wskazane w decyzji typy produktów, rodzaje usług ICT lub konkretne procesy ICT. Co do zasady nie dotyczy całej działalności danego dostawcy.
Decyzja podlega natychmiastowemu wykonaniu i jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, publikowana w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji oraz udostępniana na stronie internetowej ministerstwa.
Po jej wydaniu podmioty objęte ustawą o KSC nie mogą wprowadzać do użytkowania wskazanych produktów, usług lub procesów ICT. Muszą również wycofać je z użytkowania w terminie do siedmiu lat od dnia ogłoszenia decyzji. W przypadku określonych przedsiębiorców komunikacji elektronicznej termin ten wynosi cztery lata.
W praktyce oznacza to, że dla podmiotów objętych KSC istotne będzie nie tylko śledzenie decyzji dotyczących dostawców wysokiego ryzyka, ale również bieżąca ocena ryzyka związanego z wykorzystywanymi produktami, usługami i procesami ICT. Weryfikacja dostawców oraz parametrów stosowanych rozwiązań może mieć znaczenie już na etapie planowania zakupów i budowy infrastruktury.
