Prawo
Ile kosztuje bezpieczeństwo informacji i realizacja zadań obronnych w telekomunikacji?
U przedsiębiorców telekomunikacyjnych coraz częściej pojawiają się pytania dotyczące opłacalności prowadzenia telekomunikacyjnej działalności gospodarczej.
Pozornie może wydawać się, że takie pytania dotyczą każdej dziedziny gospodarczej.
Przedsiębiorcy komunikacji elektronicznej, a przedsiębiorcy telekomunikacyjni są grupą podmiotów szczególnie traktowaną. Można powiedzieć, że jest to grupa podmiotów wybranych.
Wybór ten polega na tym, że trudno sobie wyobrazić funkcjonowanie nowoczesnego społeczeństwa bez dobrze funkcjonującej telekomunikacji.
Aby realizować bardzo dobrą telekomunikację, trzeba jednocześnie zapewnić bezpieczeństwo jej funkcjonowania.
Tu dochodzimy do szczególnego traktowania przedsiębiorców telekomunikacyjnych w dziedzinie ochrony informacji, cyberbezpieczeństwa, obowiązków na rzecz obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego.
Zdecydowana część tych obowiązków realizowana jest na rzecz administracji publicznej, wszystkie na koszt przedsiębiorcy telekomunikacyjnego!
Może warto pomyśleć o zmianie tych przepisów. Niech każdy opłaca swoje rachunki!
Pragniemy tylko wyjaśnić, że uprawnionymi podmiotami są: Policja, Biuro Nadzoru Wewnętrznego (MSWiA), Straż Graniczna, Inspektorat Wewnętrzny Służby Więziennej, Służba Ochrony Państwa, Agencja Bezpieczeństwa Wewnętrznego, Służba Kontrwywiadu Wojskowego, Żandarmeria Wojskowa, Centralne Biuro Antykorupcyjne i Krajowa Administracja Skarbowa.
Przepisy kilkunastu ustaw i kilkudziesięciu rozporządzeń nakładają na przedsiębiorców telekomunikacyjnych wiele obowiązków.
Zakres obowiązków spoczywających na przedsiębiorcy telekomunikacyjnym
Poniżej w dużym skrócie opiszemy obowiązki spoczywające na przedsiębiorcy telekomunikacyjnym, dotyczące ochrony informacji, cyberbezpieczeństwa oraz obowiązków na rzecz obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego.
Wśród opisywanych niżej obowiązków nie uwzględniamy tych, które mogą dotyczyć wszystkich rodzajów przedsiębiorców, np. takich jak obowiązki związane z zapewnieniem BHP, ppoż. itp.
- Zasady zapewnienia bezpieczeństwa sieci, usług, danych i przekazów telekomunikacyjnych
Jako pierwszy przedstawiamy obowiązek zapewnienia bezpieczeństwa sieci, usług, danych i przekazów telekomunikacyjnych, który w ustawie Prawo telekomunikacyjne jest określony jako: „Bezpieczeństwo i integralność sieci i usług”.
Prawidłowe wdrożenie zasad zapewnienia bezpieczeństwa sieci, usług, danych i przekazów telekomunikacyjnych musi wiązać się z zapewnieniem bezpieczeństwa wszystkich zasobów (aktywów), w szczególności informacji przetwarzanych w przedsiębiorstwie.
Powyższą tezę wzmacnia wejście w życie dyrektywy NIS2, przepisów wykonawczych do tej dyrektywy, a szczególnie przepisów implementujących dyrektywę NIS2 do polskiego systemu prawnego.
Przepisy Działu VIIa ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne oraz rozporządzenia Ministra Cyfryzacji z dnia 22 czerwca 2020 r. w sprawie minimalnych środków technicznych i organizacyjnych oraz metod, jakie przedsiębiorcy telekomunikacyjni są obowiązani stosować w celu zapewnienia bezpieczeństwa lub integralności sieci lub usług zastąpione zostaną przepisami ustawy o zmianie ustawy o Krajowym
Systemie Cyberbezpieczeństwa, wprowadzającej do krajowego systemu prawnego przepisy Dyrektywy NIS2. - Plan działań w sytuacjach szczególnych zagrożeń
Obowiązek ten dotyczy przedsiębiorców telekomunikacyjnych uzyskujących roczny obrót powyżej 10 mln zł.
Uwagę zwraca art. 39 ust. 2 pkt 3 PKE, który zobowiązuje przedsiębiorcę telekomunikacyjnego do podjęcia środków technicznych i organizacyjnych, zapewniających poufność, integralność, dostępność i autentyczność przetwarzanych danych, adekwatnych do poziomu zidentyfikowanego ryzyka, co oznacza, że przed sporządzeniem planu należy przeprowadzić analizę zagrożeń. - Zapewnienie warunków kontroli i utrwalania informacji przesyłanej w sieci telekomunikacyjnej, w tym posiadanie Świadectwa Bezpieczeństwa Przemysłowego co najmniej II stopnia do klauzuli „Ściśle tajne”
Realizacja obowiązków, związanych z zapewnieniem możliwości legalnej kontroli informacji przesyłanej w sieci telekomunikacyjnej i udostępnianie danych przetwarzanych przez przedsiębiorcę telekomunikacyjnego, jest jedną z najbardziej skomplikowanych i dość kosztownych.
Obowiązki te można podzielić na cztery grupy:
1) zapewnienia warunków technicznych i organizacyjnych umożliwiających uprawnionym podmiotom dostęp do treści komunikatów elektronicznych i danych oraz ich utrwalania – na zasadach określonych w art. 43 ust. pkt 1 PKE,
2) zapewnienia warunków technicznych do utrwalania i udostępniania na rzecz sądu i prokuratora, przez podmiot wskazany w postanowieniu sądu lub prokuratora, komunikatów elektronicznych i danych – na zasadach określonych w art. 43 ust. pkt 2 PKE,
3) zapewnienie warunków wykonywania kontroli operacyjnej,
4) przygotowanie sieci telekomunikacyjnej do przeprowadzania kontroli i utrwalania informacji na rzecz sądu lub prokuratury.
Realizacja tych obowiązków wymaga od przedsiębiorcy zapewnienia ochrony informacji niejawnych potwierdzonych Świadectwem Bezpieczeństwa Przemysłowego co najmniej II stopnia o klauzuli „Ściśle Tajne”. - Zatrzymywanie, gromadzenie, przechowywanie, zabezpieczenie, udostępnianie danych telekomunikacyjnych:
1) danych stanowiących tajemnicę komunikacji elektronicznej, w tym danych, o których mowa w art. 43 PKE
2) danych związanych z połączeniem – Retencja danych.
3) zabezpieczenia, na żądanie sądu lub prokuratora danych informatycznych. - Realizacja przedsięwzięć nałożonych decyzją Prezesa UKE polegających na:
1) utrzymaniu ciągłości dostarczania publicznych sieci telekomunikacyjnych lub świadczenia publicznie dostępnych usług telekomunikacyjnych;
2) odtwarzaniu dostarczania publicznych sieci telekomunikacyjnych lub przywrócenia świadczenia publicznie dostępnych usług telekomunikacyjnych, z uwzględnieniem pierwszeństwa dla:
3) ograniczenia zakresu lub obszaru:
a) eksploatacji publicznych sieci telekomunikacyjnych i urządzeń telekomunikacyjnych,
b) świadczenia niektórych publicznie dostępnych usług telekomunikacyjnych,
c) używania urządzeń radiowych. - Blokowanie dostępu do numeru lub usługi w terminie nie krótszym niż 6 godzin od momentu ogłoszenia decyzji Prezesa UKE oraz wstrzymanie pobierania opłat za połączenia lub usługi zrealizowane po upływie tego terminu (art. 23 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej).
- Blokowania, nie później niż w terminie 6 godzin liczonych od otrzymania decyzji Prezesa UKE, połączeń lub komunikatów elektronicznych przesyłanych w związku ze świadczoną publicznie dostępną usługą telekomunikacyjną.
- Blokowanie dostępu do nielegalnych stron hazardowych.
- Zapewnienie udogodnień dla osób z niepełnosprawnościami korzystających z usług komunikacji elektronicznej.
- Zwalczanie nadużyć w komunikacji elektronicznej.
- Ochrona danych osobowych
1) na zasadach ogólnych,
2) w telekomunikacji.
3) w związku z przesyłaniem informacji handlowych (marketingowych). - Ochrona informacji stanowiącej tajemnicę przedsiębiorstwa Ile kosztuje realizacja wyżej opisanych obowiązków.
Czy telekomy udźwigną ciężar obowiązków z zakresu bezpieczeństwa? Ile kosztuje bezpieczeństwo?
Zespól SayF Sp. z o.o. podjął próbę oszacowania kosztów realizacji tych obowiązków z zakresu obronności i bezpieczeństwa, wskazania sposobu ich realizacji oraz rekomendacji działań podejmowanych przez przedsiębiorców oraz administrację rządową w celu ograniczenia ich negatywnych skutków obciążeń tymi obowiązkami.
Wejście w życie ustawy o zmianie ustawy o Krajowym Systemie Cyberbezpieczeństwa spowoduje powstanie kolejnych bardzo kosztownych obowiązków spoczywających na przedsiębiorcach telekomunikacyjnych.
Poniżej przedstawiamy szacunkowe koszty, jakie przedsiębiorca telekomunikacyjny musi ponieść w związku z realizacją ustawowych obowiązków:
1) zapewnienie warunków kontroli informacji przesyłanej w sieci telekomunikacyjnej wykonywanej przez sąd, prokuratora oraz uprawnione podmioty to koszt co najmniej 12 000 zł miesięcznie,
2) gromadzenie, przechowywanie, zabezpieczenie i udostępnianie danych stanowiących tajemnicę komunikacji elektronicznej to co najmniej 1 500 zł miesięcznie,
3) realizacja obowiązków wynikających z przepisów o zwalczaniu nadużyć w komunikacji elektronicznej – to kolejne co najmniej 1 500 zł miesięcznie,
4) obowiązki wynikające ze znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa. Ostateczne koszty będzie można oszacować po wejściu w życie ustawy o zmianie ustawy o KSC, ale już teraz można okręślić przedział takich kosztów. Zapewne nie będzie to mniej niż 6 000 zł nawet do 35 000 zł miesięczne. Dla potrzeb niniejszego szacowania
przyjmijmy średnią kwotę – 10 500 zł miesięcznie.
Z pełną odpowiedzialnością można przyjąć, że koszt realizacji wyżej opisanych obowiązków to co najmniej 25 500 zł miesięcznie.
Co powinien zrobić przedsiębiorca telekomunikacyjny, aby utrzymać swój biznes?
Działania przedsiębiorcy telekomunikacyjnego mogą przyjąć jedną w poniższych form:
– Nic nie robić i liczyć, że nie będzie kontrolowany np. przez UKE lub nie będzie potrzeby realizowania tych obowiązków. Działanie obciążone bardzo dużym ryzykiem bardzo wysokich kar finansowych lub nawet sankcji karnych, a po wejściu w życie nowelizacji ustawy o KSC praktycznie niemożliwe.
– Zlecić realizację niektórych obowiązków podmiotom zewnętrznym specjalizującym się w realizacji tych obowiązków. Pamiętać należy, że takie powierzenie nie zwalnia powierzającego z odpowiedzialności za skutki realizacji powierzonych obowiązków.
– Wspólnie z innymi przedsiębiorcami realizować niektóre obowiązki ustawowe.
Co powinna zrobić administracja rządowa – minister cyfryzacji, aby utrzymać konkurencyjność rynku telekomunikacyjnego?
Administracja rządowa, w pierwszej kolejności minister cyfryzacji, powinna poddać szczegółowej analizie poruszone wyżej zagadnienia i ocenić wpływ ustawowych obowiązków nałożonych na przedsiębiorców telekomunikacyjnych na funkcjonowanie rynku telekomunikacyjnego.
W tym celu należy oszacować koszty realizacji obowiązków nakładanych na przedsiębiorców telekomunikacyjnych ze wskazaniem tych kosztów, które są ponoszone w związku z realizacją zadań wyłącznie na rzecz administracji rządowej.
Następnie przeanalizować przepisy, szczególnie właśnie te, które nakładają obowiązki na rzecz administracji publicznej.
Kolejnym krokiem powinna być szczegółowa analiza obowiązków przedsiębiorców z zakresu bezpieczeństwa pod kątem ich przydatności dla beneficjentów tych obowiązków (sądom, prokuratorom, uprawnionym podmiotom), możliwości realizacji tych obowiązków przez przedsiębiorców komunikacji elektronicznej.
Skutkiem takich działań powinno być opracowanie przepisów regulujących sprawy obronności i bezpieczeństwa w komunikacji elektronicznej w najszerszym możliwym zakresie, począwszy od ochrony praw użytkowników końcowych poprzez cyberbepieczeństwo, zapewnienie możliwości kontroli informacji przesyłanej w sieci telekomunikacyjnej do świadczenia rzeczowego na rzecz podmiotów realizujących zadania z zakresu obronności i bezpieczeństwa.
W związku z tym, że wiele z wymienionych wyżej obowiązków realizowanych jest na rzecz administracji rządowej, niepotrzebnych do prawidłowej działalności przedsiębiorcy, to realizacja tych obowiązków powinna być finansowana z budżetu państwa.
Pod względem zakresu obciążeń obowiązkami na rzecz administracji publicznej przedsiębiorcy telekomunikacyjni są jedyną grupą; trudno szukać przedsiębiorców, którzy podobnie jak telekomy obciążeni są takimi obowiązkami.
Wyobraźmy sobie, że na przedsiębiorców produkujących żywność nałożono obowiązek dostarczania, na koszt tego przedsiębiorcy, części produkcji do sądu, prokuratury, uprawnionych podmiotów.
Dziwnie to brzmi i wygląda to jak danina z dawnych czasów.
Skoro dziwnie to brzmi, gdy dotyczy produkcji żywności, to dlaczego uznane jest jako coś normalnego nałożenie obowiązków, na koszt przedsiębiorcy, w działalności telekomunikacyjnej.
80-225 Gdańsk, ul. Józefa Wassowskiego 12/6
+48 663 321 901
Dariusz Fudala
kontakt@sayf.com.pl, sayf.com.pl
