Polski model jako wzór
Kluczowe regulacje unijne w tym zakresie często nie odpowiadają obecnym realiom. Akt o cyberbezpieczeństwie (CSA2) - regulacja, która odegrała istotną rolę w budowie europejskich ram certyfikacji bezpieczeństwa cyfrowego - powstawała w odmiennych realiach geopolitycznych i technologicznych. Dziś nie pozwala w pełni sprostać wyzwaniom związanym z bezpieczeństwem łańcuchów dostaw nowoczesnych technologii. Zwłaszcza w zakresie tzw. dostawców wysokiego ryzyka, czyli firm, których produkty - dziś lub w przyszłości - mogą zagrażać bezpieczeństwu publicznemu.
Czytaj w LEX: Harmonogram wdrożenia UKSC – przegląd obowiązków i terminy ich realizacji >
Dlatego Bruksela już rozpoczęła rewizję Aktu. Doświadczenia państw członkowskich, które wypracowały skuteczne mechanizmy ograniczania tego rodzaju zagrożeń - w tym Polski - powinny stanowić dla instytucji UE cenne źródło doświadczeń i inspiracji. Wśród nich szczególnie wartościowy jest polski model oceny dostawców wysokiego ryzyka.
Polskie rozwiązania opierają się na założeniu, że bezpieczeństwa sieci i systemów teleinformatycznych nie można oceniać wyłącznie przez pryzmat parametrów technicznych urządzeń lub oprogramowania. Równie istotne są czynniki związane z otoczeniem prawnym, organizacyjnym i geopolitycznym dostawcy. Takie podejście odpowiada współczesnej naturze cyberzagrożeń: państwa i organizacje prowadzące działania w cyberprzestrzeni coraz częściej wykorzystują zależności technologiczne jako narzędzie realizacji celów politycznych, gospodarczych i strategicznych.
Kwestia ta została poruszona również w krajowych dokumentach strategicznych. W Strategii Cyfryzacji Państwa wyraźnie czytamy o konieczności „wykluczenia produktów ICT, rodzajów usług ICT lub konkretnych procesów ICT pochodzących od dostawców wysokiego ryzyka”.
Temat ten znajduje odzwierciedlenie także w nowelizacji ustawy o KSC. Batalia o jej ostateczne brzmienie trwała wiele lat. Tym bardziej należy docenić, że rząd się nie ugiął przed zewnętrznymi naciskami i doprowadził do wyraźnego zapisania kwestii dostawców wysokiego ryzyka w polskim prawie. Teraz przyszła pora, by przepisy te wykorzystać dla umocnienia naszej odporności.
Czytaj też w LEX: Certyfikacja bezpieczeństwa produktów IT a budowanie bezpiecznych łańcuchów dostaw >
I wygląda na to, że tak się stanie. Wśród działań zaplanowanych na ten rok w sprawozdaniu Pełnomocnika Rządu do spraw cyberbezpieczeństwa za 2025 r. znalazły się również wysiłki na rzecz zapewnienia bezpieczeństwa łańcucha dostaw poprzez uruchomienie procedur oceny dostawców sprzętu i oprogramowania. To ważny sygnał, że Polska przechodzi od etapu wieloletnich prac legislacyjnych do etapu praktycznej operacjonalizacji przepisów KSC. Przyszła pora na identyfikację i eliminację rozwiązań pochodzących od dostawców wysokiego ryzyka z krajowej infrastruktury krytycznej i systemów o kluczowym znaczeniu dla państwa. Ten krok, a także doświadczenia i wnioski płynące z jego wdrażania, mogą okazać się niezwykle cenne również dla całej Europy, która stoi dziś przed podobnym wyzwaniem związanym z bezpieczeństwem cyfrowych łańcuchów dostaw.
Fragmentacja regulacyjna osłabia odporność Europy
Dotychczasowe doświadczenia pokazują, że pozostawienie państwom członkowskim pełnej swobody w zakresie ograniczania ryzyk związanych z dostawcami prowadzi do fragmentacji rynku oraz powstawania nierównych standardów ochrony. W efekcie część państw wdraża zaawansowane mechanizmy oceny dostawców, podczas gdy inne nadal nie dysponują odpowiednimi narzędziami regulacyjnymi. Taka sytuacja tworzy luki bezpieczeństwa, które mogą wpływać na odporność całej Unii.
Powiedzmy to wyraźnie: bezpieczeństwo cyfrowe UE jest tematem transgranicznym, a słabości występujące w jednym państwie mogą oddziaływać na bezpieczeństwo całej wspólnoty!
Dlatego przyszła rewizja CSA powinna stworzyć podstawy dla wspólnego europejskiego mechanizmu oceny i zarządzania ryzykiem związanym z dostawcami wysokiego ryzyka. Mechanizm ten powinien bazować na przejrzystych kryteriach, gwarantować pewność prawa i jednocześnie umożliwiać uwzględnianie czynników bezpieczeństwa narodowego oraz zagrożeń wynikających z sytuacji geopolitycznej.
Czytaj też w LEX: Kiedy incydent cyberbezpieczeństwa staje się naruszeniem danych osobowych – kumulacja obowiązków z UKSC i RODO >
Wspólny standard cyberbezpieczeństwa UE
Unia nie musi budować takich rozwiązań od zera. W wielu państwach członkowskich funkcjonują już krajowe instrumenty pozwalające skutecznie identyfikować ryzyka związane z dostawcami technologii wykorzystywanych w kluczowej infrastrukturze.
Polska należy do grona krajów, które najwcześniej dostrzegły potrzebę stworzenia mechanizmów oceny dostawców. Dlatego nasze doświadczenia mogą stanowić wartościową inspirację dla wypracowania jednolitego europejskiego modelu.
W sytuacji rosnącej liczby cyberataków, pogarszającego się środowiska bezpieczeństwa oraz postępującej cyfryzacji gospodarki, Europa potrzebuje bardziej zdecydowanych narzędzi ochrony swoich sieci i systemów informacyjnych. Odpowiednia rewizja Aktu o cyberbezpieczeństwie to zatem niezbędny krok. A Polska dysponuje praktycznymi doświadczeniami, które mogą pomóc osiągnąć ten cel - warto, aby stały się one częścią europejskiej odpowiedzi na wyzwania cyberbezpieczeństwa XXI wieku.
Autor: Michał Kanownik, prezes Związku Cyfrowa Polska
Więcej na ten temat przeczytasz w LEX:
Cyberbezpieczeństwo w sektorze samorządowym >
Cyberbezpieczeństwo w kancelariach prawnych >
Cyberbezpieczeństwo a sztuczna inteligencja >
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
