KIKE ws. nowelizacji KSC: „Przepisy nie wyglądają na przemyślane”

Przepisy ujawnionej w połowie października nowelizacji ustawy o KSC wprowadzają postępowanie w sprawie uznania dostawcy sprzętu lub oprogramowania dla podmiotów krajowego systemu cyberbezpieczeństwa za dostawcę wysokiego ryzyka.

Jak już informowaliśmy na łamach CyberDefence24.pl, nowe przepisy zakładają, że minister właściwy ds. informatyzacji będzie odpowiedzialny za przeprowadzenie postępowania dotyczącego uznania określonego dostawcy sprzętu lub oprogramowania za „dostawcę wysokiego ryzyka”. Ma się to odbywać w imię „ochrony ważnego interesu państwowego”. Wszczęcie postępowania uruchamiane jest z urzędu lub na wniosek przewodniczącego Kolegium ds. Cyberbezpieczeństwa.

„Minister właściwy ds. informatyzacji, w drodze decyzji, uznaje dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeżeli dostawca ten stanowi poważne zagrożenie dla obronności, bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego, lub życia i zdrowia ludzi” - brzmi art. 66a ust. 11 nowelizacji ustawy o KSC.

Informowaliśmy również, że uznanie danej firmy lub rozwiązania kategorią „wysokiego ryzyka” będzie odbywało się na podstawie decyzji, która ma zawierać „w szczególności wskazanie typów produktów ICT, rodzajów usług ICT i konkretnych procesów ICT”, uwzględnionych w prowadzonym postępowaniu. Podlega ona natychmiastowemu wykonaniu i nie przysługuje od niej wniosek o ponowne rozpatrzenie sprawy. Decyzję można będzie zaskarżyć do sądu administracyjnego, który rozpatrzy sprawę na posiedzeniu niejawnym.

Przeczytaj: #CyberMagazyn: Dostawcy a nowelizacja ustawy o KSC. „Celem jest bezpieczeństwo kraju, nie interes firm”

KIKE: „Przepisy nie wyglądają na przemyślane”

Postanowiliśmy zapytać Krajową Izbę Komunikacji Ethernetowej (KIKE), która zrzesza małych i średnich operatorów telekomunikacyjnych o opinię w sprawie nowelizacji ustawy o KSC. Konsultacje publiczne w tej sprawie trwają do 2 listopada br. (włącznie).

Anna Szura, prawniczka z Kancelarii itB Legal, ekspertka z Grupy Roboczej ds. Kontaktów z Administracją Publiczną w Krajowej Izbie Komunikacji Ethernetowej przekazała portalowi CyberDefence24.pl, że KIKE będzie zgłaszać stanowisko do nowej wersji projektu ustawy o KSC, choć - w dużej mierze - mają być to uwagi podobne do dotychczasowych.

„Poprzednie stanowisko izby praktycznie nie zostało uwzględnione w kwestiach kluczowych dla przedsiębiorców telekomunikacyjnych. Oczywiście mowa o procedurze uznania dostawcy sprzętu i oprogramowania za stwarzające ryzyko. Skutki tej regulacji mogą być potencjalnie bardzo kosztowne dla przedsiębiorców telekomunikacyjnych. Jeszcze na samym początku konsultacji - we wrześniu 2020 roku - Izba opublikowała raport przygotowany na podstawie danych zebranych od zrzeszonych przedsiębiorców, który ukazuje jakie mogą być skutki regulacji dla przedsiębiorców telekomunikacyjnych korzystających ze sprzętu dostawców >>potencjalnie niebezpiecznych<< (czyli producentów spoza UE albo NATO” – przypomina Anna Szura.

Jej zdaniem nowe przepisy „nie wyglądają na przemyślane”. „Proszę spojrzeć - niby ma być ocena dostawcy, ale w decyzji będzie określana kategoria sprzętu czy oprogramowania tego dostawcy, wyłączona z możliwości eksploatacji. Mamy już przecież procedurę badania urządzeń informatycznych lub oprogramowania w art. 33 KSC, na podstawie której pełnomocnik ds. cyberbezpieczeństwa może wydać rekomendacje. Zamiast dopracować istniejące przepisy, próbujemy tworzyć nowe, które w ocenie izby nie wzmocnią bezpieczeństwa cybernetycznego” – wskazuje prawniczka.

Zaznacza, że Izba od początku była przeciwna projektowanym rozwiązaniom w tym zakresie i nadal jest im przeciwna, bo - według podmiotów w niej zrzeszonych - nowa wersja projektu nie zmniejsza zidentyfikowanych zagrożeń.

„Do tego dochodzą zupełnie nowe pomysły projektodawcy, jak spółka Polskie 5G, powołanie operatora strategicznej sieci bezpieczeństwa czy Fundusz Cyberbezpieczeństwa, który ma częściowo zostać zasilony środkami z Funduszu Szerokopasmowego, zasadniczo przewidzianymi na wsparcie rozwoju sieci przedsiębiorców telekomunikacyjnych. Nie są to propozycje aprobowane przez izbę i niewątpliwie KIKE się do nich odniesie” – słyszymy.

Jak wynika z naszych informacji, obecnie KIKE kończy opracowanie uwag, które ma przekazać do Departamentu Cyberbezpieczeństwa w KPRM.

Natomiast jak przypomina Newseria Biznes, z raportu "Prawne i ekonomiczne skutki ograniczenia konkurencji wśród dostawców sprzętu sieciowego 5G w Polsce" i badań analityków Audytela i Dentons wynikało, że wykluczenie z polskiego rynku chińskich dostawców sprzętu sieciowego kosztowałoby operatorów telekomunikacyjnych od 13,4 do 14,9 mld zł.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.