Rząd odmroził prace legislacyjne nad ustawą o cyberbezpieczeństwie

Komitet Stały Rady Ministrów przyjął projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa – poinformował dziś na Twitterze Janusz Cieszyński, minister cyfryzacji. To ważne z wielu powodów.

Ta decyzja Stałego Komitetu Rady Ministrów była przesuwana wielokrotnie. W końcu jest, o czym poinformował dziś na Twitterze Janusz Cieszyński, minister cyfryzacji, czyli szef reaktywowanego od 1 maja ministerstwa.

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwie powstaje od trzech lat. Ma m.in. wprowadzić ma w Polsce kategorię i możliwość wskazania dostawcy wysokiego ryzyka wśród firm teleinformatycznych zajmujących się m.in. budową sieci telekomunikacyjnych.

Pierwszy projekt UKSC powstał w 2020 roku. Przechodził potem liczne zmiany. Najczęściej komentowane dotyczyły takich spraw, jak kryteria wyboru dostawcy wysokiego ryzyka, przepisy o powołaniu operatora hurtowej sieci w paśmie 700 MHz (zwanego operatorem hurtowym sieci 5G) z udziałem państwa, czy powołanie operatora strategicznej sieci bezpieczeństwa (OSSB).

Te propozycje budziły opór prywatnych operatorów, ale i kontrowersje wśród polityków oraz w samym rządzie. Wiadomo: chodzi o miliardy złotych. 

Ostatnią wersję UKSC rząd opublikował w styczniu tego roku. Nosi ona datę 17 stycznia. Nie ma w niej mowy o hurtowej sieci 5G, natomiast są zapisy o powołaniu OSSB oraz dostawcach wysokiego ryzyka.

OSSB, wskazany przez premiera, miałby świadczyć usługi teleinformatyczne dla państwowych podmiotów w zakresie bezpieczeństwa m.in. korzystając z częstotliwości z zakresu 700 MHz.  Powołany ma być „w celu zapewnienia realizacji zadań na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego, w zakresie telekomunikacji”, a finansowany z dotacji przyznawanej przez ministra aktywów państwowych.

OSSB chciałby być państwowy operator telekomunikacyjny Exatel i o nim też mówił w tym kontekście wcześniej Janusz Cieszyński.

Do czasu aż OSSB zyska pełną gotowość do świadczenia takich usług, podmioty uważane za krytyczne dla funkcjonowania państwa i porządku publicznego mogą zawierać umowy z innymi operatorami.

W projekcie ze stycznia przewidziano, że minister właściwy do ds. informatyzacji może wszcząć postępowanie w celu ustalenia, czy dany podmiot jest dostawcą wysokiego ryzyka. Jeśli zdecyduje, że tak, wskazane rozwiązania takiej firmy będą musiały zostać wycofane z infrastruktury w kraju, w tym infrastruktury operatorów telekomunikacyjnych. Chodzi o dostawcę sprzętu, oprogramowania lub procesów teleinformatycznych.

Na linii biznes-państwo trwały dyskusje, ile czasu powinny dostać firmy na wykonanie takiej decyzji. W przepisach nie ma o tym mowy, ale powszechnie wiadomo, że za dostawców wysokiego ryzyka mogą zostać uznane chińskie koncerny. Tymczasem, zdobyły one w Polsce istotną pozycję. Najwięksi operatorzy telekomunikacyjni w Polsce w dużym stopniu korzystali przez wiele lat z ich rozwiązań. Największy udział w rynku zdobył koncern Huawei.

Minister przy wydawaniu decyzji o dostawcy wysokiego ryzyka kierować ma się opinią Kolegium ds. cyberbezpieczeństwa, składającego się z członków rządu i służb. A opinia ta powstać na podstawie różnych kryteriów, w tym takich jak kraj pochodzenia dostawcy, czy system prawa w państwie, z którego się wywodzi.

Dla kolegium ważne będzie czy występowało lub występuję zagrożenie „bezpieczeństwa narodowego o charakterze ekonomicznym, wywiadowczym i terrorystycznym oraz zagrożeń dla realizacji zobowiązań sojuszniczych i europejskich, jakie stanowi dostawca sprzętu i oprogramowania, z uwzględnieniem informacji o zagrożeniach uzyskanych od państw członkowskich lub organów Unii Europejskiej i Organizacji Traktatu Północnoatlantyckiego”.

Ma ono (kolegium), poza względami technicznymi i certyfikatami, zbadać prawdopodobieństwo z jakim dostawca sprzętu lub oprogramowania znajduje się pod kontrolą państwa spoza terytorium Unii Europejskiej lub Organizacji Traktatu Północnoatlantyckiego, z uwzględnieniem m.in. tego, czy dany kraj może ingerować w swobodę działalności gospodarczej dostawcy.

Przepisy UKSC są ważne także dla Urzędu Komunikacji Elektronicznej, jako organizatora aukcji częstotliwości 3,6 GHz (pasmo C), zwanej aukcją 5G.

UKE długo wstrzymywał się ze wznowieniem tej procedury po jej odwołaniu w 2020 r. Tłumaczył, że czeka aż rząd przyjmie UKSC.

Ostatecznie urząd ogłosił konsultacje (drugiej) aukcji 5G w grudniu 2022 r. zanim to się stało. Tłumaczenie dlaczego się na to zdecydował, nie było czytelne.

Z czasem okazało się, że brak aukcji blokuje realizację tzw. kamieni milowych, potrzebnych by Polska mogła skorzystać z funduszy Krajowego Planu Odbudowy.