WEI: Ustawa o cyberbezpieczeństwie nie gwarantuje zwiększenia jego poziomu. Same ramy prawne i nowo powołane podmioty nie wystarczą [DEPESZA]

Aktualizacja 5.11.2021, g. 14:43

–​ Projekt nowelizacji ustawy o cyberbezpieczeństwie powinien trafić do ponownych konsultacji – ocenia Maciej Troć, ekspert Warsaw Enterprise Institute. Jak zauważa, w obecnym kształcie nowela nie uwzględnia głosów z rynku, za to zawiera wiele nowych daleko idących zapisów, które nie były z nim wcześniej konsultowane. Na dodatek wcale nie gwarantuje ona zwiększenia poziomu polskiego cyberbezpieczeństwa i zawiera zapisy budzące kontrowersje, które dotyczą m.in. mechanizmu oceny dostawców usług i sprzętu ICT. – Warto też rozważyć szersze włączenie operatorów i innych uczestników rynku w tę procedurę oceny dostawców – podkreśla ekspert.

– Mimo że skala zmian wprowadzonych do projektu ustawy jest duża, podejście do problemu cyberbezpieczeństwa polskiego ustawodawcy się nie zmieniło. Nadal dominuje myśl, że wystarczy stworzyć ramy prawne do wymiany informacji poprzez utworzenie szeregu podmiotów państwowych i nałożenie na przedsiębiorców daleko idących obowiązków, żeby zapewnić zadowalający poziom cyberbezpieczeństwa. Jest szansa, że takie podejście zwiększy jego poziom, ale w praktyce zależy to przede wszystkim od tego, w jaki sposób – i czy w ogóle – pozyskiwane informacje będą wykorzystywane – komentuje w rozmowie z agencją Newseria  Biznes Maciej Troć, ekspert Warsaw Enterprise Institute.

Nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) rząd pracuje już od ponad roku. Nowa regulacja ze względu na jej znaczenie niemal od początku budzi kontrowersje. Do jej pierwszej wersji, opublikowanej we wrześniu ubiegłego roku przez ówczesne Ministerstwo Cyfryzacji, wpłynęło ponad 750 uwag zgłoszonych przez instytucje branżowe, prawników, przedsiębiorstwa z rynku telekomunikacyjnego, a nawet instytucje rządowe takie jak UOKiK, Agencja Wywiadu czy KNF. Najnowsza wersja, którą niecały miesiąc temu przedstawił odpowiedzialny za cyfryzację KPRM, tylko w marginalnym stopniu uwzględnia jednak zastrzeżenia ekspertów. Wprowadzono do niej za to nowe zapisy, jak np. projekt utworzenia państwowego operatora telekomunikacyjnego, które nie były wcześniej konsultowane z rynkiem.

– Te zaproponowane zmiany tylko w niewielkim stopniu uwzględniają uwagi płynące od podmiotów rynkowych i dążą do utworzenia nowych spółek państwowych, np. państwowego operatora telekomunikacyjnego czy spółki Polskie 5G – wskazuje ekspert. – Te zapisy dalece wykraczają poza pierwotne brzmienie projektu, które było poddane konsultacjom publicznym. W takiej sytuacji możliwe jest skierowanie ustawy do ponownych konsultacji, co niewątpliwie pozwoliłoby na szersze ustosunkowanie się przedstawicieli polskiego sektora telekomunikacyjnego do nowych zapisów ustawy.

Konsultacje – po licznych protestach uczestników rynku – przedłużono ostatecznie do 2 listopada. Zdaniem eksperta Warsaw Enterprise Institute rząd powinien rozważyć skierowanie nowelizacji ustawy o KSC do ponownych konsultacji publicznych.

Dla branży telekomunikacyjnej problematyczny jest także mechanizm oceny ryzyka dostawców usług i sprzętu ICT (w tym infrastruktury dla standardu 5G). W tej chwili zapisy projektu pozwalają bowiem wykluczyć z polskiego rynku część dostawców na podstawie kryteriów politycznych. Eksperci wskazują, że są one wprost wymierzone w firmy technologiczne z Chin, w tym głównie Huaweia, jednego z kluczowych dostawców technologii 5G.

W przypadku wykluczenia chińskiego koncernu z krajowego rynku operatorzy telko byliby zobowiązani, aby w ciągu kilku lat pozbyć się przynajmniej częściowo jego sprzętu i oprogramowania ze swoich sieci. To zaś będzie wiązać się ze stratami liczonymi w miliardach złotych, które odczują też klienci w cenach usług.

– Wydaje się, że lepszym rozwiązaniem byłoby ocenianie pod kątem cyberbezpieczeństwa konkretnego produktu. Łatwo sobie wyobrazić, że ten sam dostawca może wprowadzać na rynek produkty mniej lub bardziej bezpieczne. Przykład Niemiec pokazuje, że ostatecznie najważniejsze jest właśnie to, żeby produkt był bezpieczny. Poza tym ocena dostawcy może prowadzić do faktycznego uniemożliwiania niektórym podmiotom działalności na rynku. Warto też rozważyć szersze włączenie operatorów i innych uczestników rynku w tę procedurę oceny dostawców – wskazuje Maciej Troć.

Ustawy wyczekuje cały rynek telekomunikacyjny, ponieważ nowe przepisy będą mieć wpływ na wdrażanie w Polsce sieci 5G oraz wybór dostawców infrastruktury dla tej technologii. Ta zaś ma przynieść duże korzyści polskiej i europejskiej gospodarce. Według szacunków Analysys Mason pełne wdrożenie 5G w obszarach takich jak np. rolnictwo, produkcja czy ochrona zdrowia do 2040 roku może wnieść dodatkowe 250 mld euro do unijnego PKB. Z kolei Komisja Europejska wskazuje, że ta technologia ma potencjał stworzenia w UE milionów nowych miejsc pracy.

– Przedłużające się prace nad ustawą o KSC powodują na rynku swego rodzaju niepewność. Wciąż nie wiadomo bowiem, jakie będą ostateczne kryteria oceny dostawców infrastruktury dla sieci 5G w Polsce – mówi ekspert WEI. 

Co istotne, zgodnie z wymogami KE Polska – podobnie jak i inne kraje członkowskie – do 2025 roku powinna zapewnić już szerokie pokrycie siecią 5G na terytorium całego kraju. Prace nad wdrożeniem tej technologii są jednak opóźnione, m.in. właśnie ze względu na procedowane przepisy. Bez uchwalenia nowelizacji ustawy o KSC w Polsce nie ruszy bowiem akcja UKE na częstotliwości z pasma C (3,4–3,8 GHz), które ma stanowić szkielet polskiego 5G.