Rząd uderzy w chińskich dostawców, a ucierpią polskie firmy. Niebezpieczny scenariusz

Projekt noweli o cyberbezpieczeństwie, w tym o dostawcach wysokiego ryzyka, w praktyce wyeliminuje z naszego rynku chińskich dostawców przez co małe i średnie firmy telekomunikacyjne zostaną bez dostępu do niezbędnego sprzętu - ocenił prezes Krajowej Izby Komunikacji Ethernetowej Karol Skupień.

• Zawarty w projekcie ustawy mechanizm wskazywania dostawców wysokiego ryzyka nie jest oparty na kryteriach technicznych. Wskazane zostało natomiast kryterium państwa pochodzenia dostawcy - zauważa Karol Skupień, szef Krajowej Izby Komunikacji Ethernetowej.
• Izba postuluje stworzenie obiektywnego systemu certyfikacji opartego na kryteriach technicznych. - Chcemy, żeby każdy sprzęt, niezależnie od kraju pochodzenia producenta, podlegał jednakowej ocenie parametrów technicznych - mówi szef KIKE.
• Polscy producenci sięgają po chińskie produkty nie tylko dlatego, że są konkurencyjne cenowo, ale również ze względu na ich wysoką jakość.

Chodzi o przygotowany przez Ministerstwo Cyfryzacji projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) oraz niektórych innych ustaw, który ma wdrożyć przepisy europejskiej dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomucy berbezpieczeństwa na terytorium Unii, tzw. dyrektywy NIS2.

Duża część sprzętu dostarczana przez firmy amerykańskie czy europejskie również jest produkowana w Chinach

Jak wskazał w rozmowie z PAP Karol Skupień, szef Krajowej Izby Komunikacji Ethernetowej (KIKE) zrzeszającej polskich małych i średnich operatorów telekomunikacyjnych, przede wszystkim dostawców internetu stacjonarnego, projekt zawiera regulacje nieprzewidziane w NIS2, a dotyczące procedury wskazywania tzw. dostawców wysokiego ryzyka (DWR). "Zawarty w projekcie mechanizm wskazywania dostawców wysokiego ryzyka nie jest oparty na kryteriach technicznych, według których określone urządzenia można uznać za niespełniające standardów bezpieczeństwa. Wskazane zostało natomiast kryterium państwa pochodzenia dostawcy - mowa jest o państwach spoza terytorium Unii Europejskiej lub NATO, co praktyce oznacza dostawców chińskich" - powiedział Skupień.

Jak zaznaczył, zrzeszone w KIKE firmy zapewniają dostęp do szerokopasmowego internetu 1/3 polskich odbiorców, stosują zaś sprzęt chińskiej produkcji, ponieważ tamtejsze firmy mają największą ofertę w tym segmencie. "Duża część sprzętu dostarczana przez firmy amerykańskie czy europejskie również jest produkowana w Chinach. Uznanie sprzętu chińskiej produkcji za zagrażający bezpieczeństwu ze względu na pochodzenie i wyeliminowanie go z polskiego rynku jest kompletnym absurdem i świadczy o tym, że autorzy tego pomysłu nie mają pojęcia o tym rynku" - stwierdził Skupień.

Zaznaczył, że polscy producenci sięgają po chińskie produkty nie tylko dlatego, że są konkurencyjne cenowo, ale również ze względu na ich wysoką jakość. "Oczywiście produktów oferowanych pod markami chińskimi jest ogromna liczba i reprezentują one różne standardy. Ale wśród nich jest sprzęt najlepszy na świecie w swojej klasie, więc uznanie, że jakiś produkt jest niebezpieczny, bo wyprodukowała go chińska firma, jest uproszczeniem" - podkreślił.

W opinii Skupnia wyeliminowanie z polskiego rynku chińskich dostawców może spowodować, że małe i średnie firmy telekomunikacyjne zostaną całkowicie pozbawione dostępu do niezbędnego sprzętu. "Przede wszystkim kupienie urządzeń od dostawcy spoza Chin jest bardzo trudne, bo amerykańskie korporacje nie dostrzegają małych i średnich firm ze względu na małą skalę zamówień. W praktyce więc, jeśli mała polska firma będzie chciała kupić od takiego potentata np. tysiąc sztuk jakiegoś urządzenia, to nawet nie otrzyma odpowiedzi na zapytanie ofertowe" - zauważył prezes izby. "Jeśli zatem będziemy zmuszeni do wymiany sprzętu chińskiego na inny, może się okazać, że w ogóle nie mamy do niego dostępu" - podkreślił. Dodał, że zawarte w projekcie nowelizacji przepisy nam tego nie zapewniają.

Prezes KIKE zaznaczył, że chińscy dostawcy obsługują klientów bez względu na jego wielkość, a przy tym prowadzą w Polsce oddziały, w których zatrudnieni są polscy inżynierowie. "Dzięki temu zapewniamy niezakłócony dostęp do internetu naszym abonentom. Wiele korporacji takiej pomocy nie zapewnia" - zwrócił uwagę szef KIKE.

Izba postuluje stworzenie obiektywnego systemu certyfikacji opartego na kryteriach technicznych. "Chcemy, żeby każdy sprzęt, niezależnie od kraju pochodzenia producenta, podlegał jednakowej ocenie parametrów technicznych" - powiedział Skupień.

Jak zapewnił, polscy operatorzy telekomunikacyjni są jednoznacznie za implementacją unijnej dyrektywy NIS2. "Sprzeciwiamy się tylko wprowadzeniu mechanizmu dostawców wysokiego ryzyka w obecnej formie oraz innym przepisom zdecydowanie wykraczającym poza tę dyrektywę. Jeśli rząd wycofałby się z tych kosztownych nadregulacji, poparlibyśmy nowelizację ustawy o KSC" - powiedział.

Mechanizm DWR może skutkować nakazem wyeliminowania sprzętu, który de facto jest sprawny i bezpieczny oraz ma certyfikaty

Do projektu nowelizacji odniosła się również Ogólnopolska Federacja Przedsiębiorców i Pracodawców Przedsiębiorcy.pl. Jak wskazał w rozmowie z PAP radca prawny i członek zarządu federacji Piotr Podgórski, w projekcie ustawy ustanowiono "nieostre, nietechniczne i niemerytoryczne" kryteria, na podstawie których minister właściwy do spraw informatyzacji będzie mógł uznać danego dostawcę za DWR. Decyzja taka będzie mogła zostać podjęta na podstawie opinii Kolegium ds. Cyberbezpieczeństwa, którego przewodniczącym jest Prezes Rady Ministrów, a członkami są m.in. odpowiedni ministrowie.

"W opiniowaniu brane będzie pod uwagę prawdopodobieństwo znajdowania się tegoż dostawcy pod kontrolą państwa spoza UE lub NATO. Taki dostawca poddawany będzie weryfikacji co do stosowanych wobec niego przepisów prawodawstwa w zakresie ochrony danych osobowych czy zdolności ingerencji państwa w swobodę działalności gospodarczej dostawcy sprzętu lub oprogramowania ICT (związanego z technologiami informacyjnymi i komunikacyjnymi - PAP)" - powiedział Podgórski. Jak zaznaczył, taka procedura jest uznaniowa i umożliwia wyeliminowanie danego dostawcy w oparciu o przesłankę państwa pochodzenia. "Kryterium to, w porównaniu do innych państw UE, zostało wprowadzona tylko w polskim projekcie ustawy" - zauważył.

W ocenie Podgórskiego zaprezentowany w projekcie noweli ustawy o KSC mechanizm DWR może skutkować nakazem wyeliminowania sprzętu, który de facto jest sprawny i bezpieczny oraz ma certyfikaty. "Postawi to podmioty uznane w nowelizacji za +kluczowe+ lub +ważne+ przed koniecznością wyboru nowego sprzętu lub oprogramowania od innego dostawcy, a często może to być sprzęt znacznie droższy. Może również dojść do sytuacji, że dotychczasowy dostawca, który został uznany za dostawcę wysokiego ryzyka, jako jedyny oferował dany produkt i na rynku nie ma dostępnych zamienników" - zauważył Podgórski.

Federacja Przedsiębiorcy.pl postuluje, aby z projektu ustawy wyeliminować procedurę dostawcy wysokiego ryzyka odnoszącą się do tak szerokiego kręgu, obejmującego łącznie ponad 38 tys. podmiotów. "W ostateczności, w przypadku jej pozostania, wykreślone powinny zostać wszelkie nieostre i nietechniczne kryteria, a ocena sprzętu danego dostawcy powinna być dokonywana w oparciu o system certyfikacji" - powiedział Podgórski.

Ekspert wskazał, że Ministerstwo Cyfryzacji przedstawiło niedawno również projekt ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa. "Jednak projekt ustawy o krajowym systemie cyberbezpieczeństwa nie koresponduje z projektem tej ustawy. Kierunek zmian powinien iść zatem w stronę oceny danego dostawcy w oparciu o system certyfikacji, o którym mówi projekt ustawy o certyfikacji cyberbezpieczeństwa" - podkreślił Podgórski. W jego opinii certyfikacja zapewniłaby bezpieczeństwo funkcjonowania podmiotów "kluczowych" i "ważnych" w obrocie gospodarczym.

"Projekt powinien również dawać danemu dostawcy możliwość dokonania poprawy oferowanego przez niego sprzętu. Powinno zostać zatem przewidziane swoistego rodzaju postępowanie sanacyjne" - wskazał Podgórski.

Jak dodał, duży niepokój federacji Przedsiębiorcy.pl budzi również to, że w projekcie nie przewidziano umożliwienia podmiotowi kluczowemu lub ważnemu wzięcia udziału w postępowaniu w sprawie uznania ich dostawcy za dostawcę wysokiego ryzyka.