Ministerstwo Cyfryzacji: w Polsce nie ma listy dostawców wysokiego ryzyka

Ministerstwo Cyfryzacji wyjaśniło zasady tworzenia listy dostawców wysokiego ryzyka, przewidzianej w znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa. Resort podkreśla, że obecnie w Polsce taka lista nie istnieje. Nie wszczęto dotychczas żadnego postępowania i nie wydano decyzji uznającej konkretną firmę za dostawcę wysokiego ryzyka.

Ustawa pozwala jednak na uznanie dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeżeli jego produkty, usługi albo procesy ICT mogą stwarzać zagrożenie dla bezpieczeństwa państwa lub porządku publicznego.

Uznanie firmy za dostawcę wysokiego ryzyka może nastąpić wyłącznie w wyniku postępowania administracyjnego prowadzonego przez ministra cyfryzacji.

Po jego wszczęciu minister musi zawiadomić dostawcę i opublikować informację w Biuletynie Informacji Publicznej. Przed podjęciem decyzji zasięga również opinii Kolegium do Spraw Cyberbezpieczeństwa. Kolegium ma trzy miesiące na jej przygotowanie.

Organizacje społeczne mogą przedstawić swoje stanowisko w ciągu 14 dni od publikacji zawiadomienia. Minister przygotowuje następnie raport, który musi zostać opublikowany w BIP jeszcze przed wydaniem ostatecznej decyzji.

Ministerstwo Cyfryzacji zaznacza, że uznanie dostawcy za podmiot wysokiego ryzyka nie oznacza automatycznego usunięcia całej firmy z polskiego rynku.

Decyzja ma dotyczyć konkretnie wskazanych produktów, rodzajów usług ICT albo procesów ICT. Co do zasady nie obejmuje więc całej działalności danego producenta lub dostawcy.

Decyzja będzie podlegała natychmiastowemu wykonaniu. Ma być ogłaszana w „Monitorze Polskim”, publikowana w BIP Ministerstwa Cyfryzacji oraz na stronie internetowej resortu.

Po jej wydaniu podmioty objęte ustawą o KSC nie będą mogły wprowadzać do użytkowania wskazanych produktów, usług lub procesów ICT. Będą również zobowiązane do ich wycofania.

Standardowy termin na usunięcie takich rozwiązań wyniesie maksymalnie siedem lat od dnia ogłoszenia decyzji. W przypadku określonych przedsiębiorców komunikacji elektronicznej, a więc m.in. części operatorów telekomunikacyjnych, termin będzie krótszy i wyniesie cztery lata.

Brak oficjalnej listy dostawców wysokiego ryzyka nie zwalnia operatorów, instytucji i pozostałych podmiotów objętych ustawą z obowiązku oceny ryzyka przy zakupie sprzętu, oprogramowania, usług oraz procesów ICT.

Ministerstwo zaleca sprawdzanie, czy rozwiązania pochodzą od zaufanych dostawców i spełniają wymagania dotyczące bezpieczeństwa.

Znaczenie mają również rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Mogą one wskazywać konkretne podatności, zagrożenia lub technologie, których stosowanie może obniżać poziom bezpieczeństwa.

Resort przypomina, że zgodnie z Prawem zamówień publicznych zamawiający ma obowiązek odrzucić ofertę dotyczącą produktów, usług lub procesów ICT objętych odpowiednią rekomendacją wydaną na podstawie ustawy o krajowym systemie cyberbezpieczeństwa.