Urzędy
Ustawa o KSC: jak wygląda procedura uznania dostawcy za dostawcę wysokiego ryzyka?
W Polsce wciąż nie funkcjonuje żadna oficjalna lista dostawców wysokiego ryzyka (HRV). Jak wynika z informacji resortu cyfryzacji, do tej pory nie wszczęto ani jednego postępowania w tej sprawie, nie zapadła też żadna decyzja uznająca konkretnego dostawcę sprzętu lub oprogramowania za zagrożenie dla bezpieczeństwa państwa. Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) przewiduje jednak taki mechanizm – i precyzyjnie określa, jak miałby przebiegać.
Na czym polega mechanizm HRV
Dostawcą wysokiego ryzyka może zostać uznany podmiot, którego produkty, usługi lub procesy ICT – po przeprowadzeniu ustawowej procedury – zostaną ocenione jako stwarzające zagrożenie dla bezpieczeństwa państwa lub porządku publicznego. Decyzję w tej sprawie podejmuje wyłącznie minister cyfryzacji, w drodze postępowania administracyjnego. Celem całego mechanizmu jest ograniczenie wykorzystywania w polskiej infrastrukturze produktów i usług ICT, które mogłyby zagrażać podmiotom objętym ustawą.
Jak przebiega postępowanie
Procedura ma kilka etapów. Po jej wszczęciu minister informuje o tym zainteresowanego dostawcę, a stosowna informacja trafia do Biuletynu Informacji Publicznej. Zainteresowane organizacje społeczne mają następnie 14 dni od publikacji zawiadomienia na przedstawienie swojego stanowiska – na tej podstawie minister przygotowuje raport, publikowany na stronie BIP jeszcze przed wydaniem decyzji.
Zanim decyzja zostanie ogłoszona, resort musi też zasięgnąć opinii Kolegium do Spraw Cyberbezpieczeństwa. Kolegium ma na jej przygotowanie trzy miesiące.
Decyzja nie oznacza wykluczenia z rynku
Co istotne, uznanie firmy za dostawcę wysokiego ryzyka nie jest równoznaczne z całkowitym wykluczeniem jej z polskiego rynku. Decyzja obejmuje wyłącznie te typy produktów, rodzaje usług ICT lub konkretne procesy ICT, które zostaną w niej wprost wskazane – co do zasady nie dotyczy więc całej działalności danego przedsiębiorstwa.
Decyzja podlega natychmiastowemu wykonaniu. Jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, publikowana w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji oraz udostępniana na stronie internetowej ministerstwa.
Od momentu wydania decyzji podmioty objęte ustawą o KSC nie mogą wprowadzać do użytkowania wskazanych w niej produktów, usług czy procesów ICT. Muszą też wycofać je z eksploatacji – co do zasady w ciągu siedmiu lat od ogłoszenia decyzji, a w przypadku niektórych przedsiębiorców komunikacji elektronicznej – w ciągu czterech lat.
Firmy same muszą oceniać ryzyko
Brak formalnej listy HRV nie oznacza, że podmioty objęte ustawą mogą zrezygnować z własnej oceny ryzyka przy zakupie sprzętu, oprogramowania czy usług ICT. Eksperci podkreślają, że warto na bieżąco weryfikować, czy dostawcy są godni zaufania i spełniają wymogi bezpieczeństwa.
Pomocne w tym mogą być rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, wydawane na podstawie art. 33 i 67a ustawy o KSC. Wskazują one podatności, zagrożenia lub rozwiązania technologiczne, których stosowanie mogłoby obniżyć poziom bezpieczeństwa. Mają one też znaczenie praktyczne w zamówieniach publicznych – zgodnie z art. 226 ust. 1 pkt 17 Prawa zamówień publicznych zamawiający jest zobowiązany odrzucić ofertę dotyczącą produktów, usług lub procesów ICT objętych rekomendacjami wydanymi w trybie art. 33 ustawy o KSC.
Pełną treść rekomendacji można znaleźć na stronie Ministerstwa Cyfryzacji, a także w serwisie Otwarte Dane, w Wykazie Rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa.
