Nowe przepisy dotyczące krajowego systemu cyberbezpieczeństwa (KSC) opisują krok po kroku, jak będzie przebiegać formalne postępowanie prowadzące do uznania dostawcy za dostawcę wysokiego ryzyka (HRV). Przypomnienie zasad i praktycznych konsekwencji tej procedury jest istotne zarówno dla administracji, jak i firm kupujących rozwiązania ICT.
Co to znaczy „dostawca wysokiego ryzyka” i jak wygląda postępowanie
Za dostawcę wysokiego ryzyka uznaje się firmę, której konkretne produkty, usługi lub procesy ICT – po przeprowadzeniu ustawowej procedury – stwarzają zagrożenie dla bezpieczeństwa państwa lub porządku publicznego. Uznanie następuje wyłącznie w trybie administracyjnym prowadzonym przez ministra cyfryzacji.
Przebieg postępowania jest wieloetapowy: minister wszczyna postępowanie, informuje o tym dostawcę oraz publikuje zawiadomienie w Biuletynie Informacji Publicznej. Kolegium do Spraw Cyberbezpieczeństwa ma trzy miesiące na wydanie opinii, która jest brana pod uwagę przed podjęciem decyzji. Dodatkowo organizacje społeczne mają 14 dni od publikacji zawiadomienia na zgłoszenie swojego stanowiska.
Na bazie zebranych materiałów minister przygotowuje raport, który zostaje opublikowany w BIP przed wydaniem ostatecznej decyzji administracyjnej. Sama decyzja dotyczy konkretnych typów produktów, usług ICT lub procesów ICT powiązanych z danym dostawcą – nie oznacza automatycznego wykluczenia całej działalności firmy.
Skutki decyzji i terminy wdrożenia
Decyzja o uznaniu dostawcy za wysokiego ryzyka jest wykonalna natychmiast po jej ogłoszeniu. Zostaje opublikowana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, a także zamieszczona w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji i na stronie internetowej ministerstwa.
Po ogłoszeniu decyzji, wszystkie podmioty objęte ustawą o KSC nie mogą wprowadzać do użytkowania wskazanych w decyzji produktów, usług lub procesów ICT. Muszą także zaplanować ich wycofanie z użytkowania w określonym terminie: ogólny okres to do siedmiu lat od dnia ogłoszenia decyzji. Dla określonych przedsiębiorców komunikacji elektronicznej termin ten wynosi cztery lata.
Obecna sytuacja: lista HRV jeszcze nie istnieje
Na tym etapie w Polsce nie ma żadnej listy dostawców wysokiego ryzyka. Do tej pory nie wszczęto postępowań ani nie wydano decyzji uznających jakiegokolwiek dostawcę za HRV. Oznacza to, że formalne ograniczenia wynikające z takiej decyzji jeszcze nie obowiązują żadnego producenta czy dostawcy na polskim rynku.
Co to oznacza dla kupujących i administratorów systemów
Brak listy HRV nie zwalnia podmiotów z obowiązku samodzielnej oceny ryzyka przy zakupie sprzętu, oprogramowania i usług ICT. Eksperci i zamawiający powinni sprawdzać, czy rozwiązania pochodzą od zaufanych źródeł i spełniają wymagania bezpieczeństwa obowiązujące poszczególne podmioty objęte ustawą KSC.
Dodatkowym narzędziem są rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, oparte na przepisach ustawy. Rekomendacje te mogą wskazywać potencjalne podatności, zagrożenia lub technologie, których użycie może obniżać poziom bezpieczeństwa. Zgodnie z przepisami Prawa zamówień publicznych, zamawiający są zobowiązani odrzucić ofertę dotyczącą produktów, usług lub procesów ICT objętych takimi rekomendacjami.
| Informacja | Szczegóły |
|---|---|
| Kto prowadzi postępowanie | Minister cyfryzacji |
| Opinia ekspercka | Kolegium do Spraw Cyberbezpieczeństwa (czas na opinię: 3 miesiące) |
| Możliwość zgłoszeń | Organizacje społeczne: 14 dni od publikacji zawiadomienia w BIP |
| Publikacja decyzji | Monitor Polski, Biuletyn Informacji Publicznej Ministerstwa Cyfryzacji, strona ministerstwa |
| Zakaz wprowadzania do użytkowania | Dotyczy konkretnych produktów, usług lub procesów wskazanych w decyzji |
| Termin wycofania | Generalnie do 7 lat; dla niektórych przedsiębiorców komunikacji elektronicznej do 4 lat |
Na co warto zwracać uwagę dalej
W praktyce kluczowe będzie, które konkretne produkty lub procesy zostaną wskazane w ewentualnych decyzjach. Ponieważ uznanie dotyczy wybranych typów rozwiązań, a nie całej działalności firmy, możliwe będą sytuacje, gdy część oferty dostawcy będzie dopuszczona, a inne elementy będą objęte zakazem używania. Na tym etapie nie opublikowano jeszcze żadnej decyzji, więc warto obserwować Biuletyn Informacji Publicznej ministerstwa i stronę Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa.
Dla zamawiających istotne jest też śledzenie listy rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa — dokumenty te mogą wpływać na procedury zamówień publicznych i decyzje o odrzuceniu ofert zgodnie z Prawem zamówień publicznych.
Źródło: gov.pl/
