Zmiana w ustawie o KSC może kosztować operatorów nawet 7 mld zł

Z projektu ustawy o krajowym systemie cyberbezpieczeństwa wykreślono dwie litery: „5G”. Zniknęły z opisu sprzętu, który będzie podlegał obowiązkowej wymianie w razie uznania jego producenta za dostawcę wysokiego ryzyka – ustaliła „Rzeczpospolita”. Zmiana ta oznacza, że infrastruktura teleinformatyczna ma być wyczyszczona także z starszych generacji rozwiązań (3G, 4G) vendora uznanego za wyjątkowo ryzykownego. W przypadku infrastruktury krytycznej ma to nastąpić w w ciągu 4 lat, a w pozostałej w okresie 7 lat – według projektu ustawy. Postępowanie w sprawie uznania konkretnej firmy za „high risk vendor” ma prowadzić minister cyfryzacji, gdy pojawią się przesłanki mówiące o zagrożeniu bezpieczeństwa państwa lub publicznego.

Jak szacują eksperci pytani przez „Rzeczpospolitą”, po rozszerzeniu zapisu koszt wymiany usuwanego ryzykownego sprzętu u operatorów wyniesie w sumie od 3,6 mld zł do nawet 7 mld zł, a dotyczy to nie tylko największych, lecz też mniejszych podmiotów z branży. Projektowane regulacje na temat „dostawcy wysokiego ryzyka” są uznawane (także przez sam koncern) za wymierzone w Huawei, jak też w inne chińskie firmy. W razie zbanowania np. Huawei operatorzy i ISP musieliby ruszyć zapewne na większe zakupy u europejskich graczy, jak Nokia i Ericsson.

Według „Rz” uwzględnioną zmianę polegającą na usunięciu „5G” z projektu postulował Związek Cyfrowa Polska. Ma ona według organizacji pozwolić na uniknięcie wątpliwości interpretacyjnych. Organizacja branżowa naciska również, by w ustawie o KSC nakazać szybsze usunięcie sprzętu i oprogramowania dostawcy wysokiego ryzyka, niż proponowane 4 – 7 lat.

„Argumenty dotyczące potencjalnych kosztów podnoszone w związku ze zmianami w Krajowym Systemie Cyberbezpieczeństwa są nie na miejscu. Nie możemy oszczędzać na bezpieczeństwie Polski, obywateli i krajowych przedsiębiorstw” – uzasadniał propozycje prezes Cyfrowej Polski, Michał Kanownik.

Ministerstwo: prace nad ustawą są transparentne„Proces prac nad ustawą o Krajowym Systemie Cyberbezpieczeństwa prowadzony w Ministerstwie Cyfryzacji jest w pełni transparentny i otwarty. Wszystkie etapy prac są podawane do publicznej wiadomości” – zapewnia resort cyfryzacji.

Odnosząc się do publikacji „Rzeczpospolitej”, stwierdza m.in. iż „przygotowywana ustawa o Krajowym Systemie Cyberbezpieczeństwa tworzy procedurę uznania dostawcy za dostawcę wysokiego ryzyka (high risk vendor – HVR) w przypadku konieczności ochrony bezpieczeństwa państwa.Ustawa sama w sobie nie przesądza o jakiejkolwiek konieczności wymiany sprzętu.Samo przyjęcie ustawy nie przesądza też o tym, czy i kiedy ta procedura zostanie zastosowana.Projekt nie odwołuje się też w żadnym miejscu do anten konkretnego producenta ani do żadnego konkretnego kraju.Projekt ustawy nie wymienia rodzajów sprzętu, jaki może być przedmiotem decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka. Przedmiotem tej decyzji może być każdy sprzęt, który może stanowić istotne zagrożenie. W związku z tym nieprawdziwe jest twierdzenie, że zmiana załącznika wprowadza nowy stan prawny, w którym anteny mogłyby podlegać wymianie.Przepisy projektu od początku zakładały, że każdy produkt ICT, usługa ICT lub proces ICT mogłyby podlegać tej procedurze.Zmiana treści załącznika nr 3 w pkt 3 ma charakter wyłącznie doprecyzowujący. Zmiana ta precyzuje, że pod pojęciem „5G Radio Base Station Baseband Unit oraz inne funkcje” użytej na gruncie poprzedniej wersji projektu, rozumie się oczywiście również anteny stacji bazowych.Branża i podmioty prywatne nie miały wątpliwości, że pod tym wyrażeniem znajdowały się elementy stacji bazowej, natomiast ze względów merytorycznych, jak najbardziej zasadnym jest wpisanie tego wprost i dlatego ta uwaga została uwzględniona.Tzw. funkcje krytyczne w zakresie urządzeń lokalnej radiowej sieci dostępowej odnoszą się do sieci 5G„.

Jak przypomina, w projekcie ustawy o KSC nie ma mechanizmu nakazującego natychmiastowe wycofanie sprzętu lub oprogramowania wskazanego w decyzji i uspokaja, że „procedura wycofania sprzętu lub oprogramowania zagrażającego bezpieczeństwu państwa i obywateli będzie miała zastosowanie jedynie w nadzwyczajnych przypadkach”.Natomiast projektowany okres 4 albo 7 lat to według resortu termin ten jest często uznawany za średni okres użytkowania sprzętu lub oprogramowania, czyli tzw. cykl życia urządzenia.