Wyjście poza unijne regulacje cyberbezpieczeństwa może Polskę wiele kosztować
Debata na temat systemu cyberbezpieczeństwa toczy się w środowisku od lat. Ministerstwo Cyfryzacji, niezależnie od obsady kierownictwa resortu, forsuje niezwykłe rozwiązanie prawne, które pozwala indywidualną decyzją ministra cyfryzacji wykluczyć tzw. komponent ICT z rynku. Każda spółka, każdy urząd będą zobowiązane do wykluczenia wszystkich urządzeń podłączonych do Internetu – anten, podzespołów, komputerów czy oprogramowania – z funkcjonowania w newralgicznych sektorach polskiej gospodarki. Sam pomysł nie wydaje się specjalnie kontrowersyjny, przecież musimy uniemożliwić obcym państwom wpływ na funkcjonowanie naszego kraju. Jednak czy jesteśmy gotowi zrezygnować z nowoczesnej technologii tylko dlatego, że została wyprodukowana poza UE?
Ograniczenia i wątpliwości europejskie
Propozycja nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa przedstawiona przez Ministerstwo Cyfryzacji ma na celu implementację Dyrektywy NIS2. Jest to unijny akt prawny, który wprowadza jednolite ramy bezpieczeństwa w cyberprzestrzeni w tzw. sektorach ważnych i kluczowych dla zapewnienia ciągłości funkcjonowania polskiej i europejskiej gospodarki. Najbardziej kontrowersyjnym elementem zaproponowanej zmiany jest instytucja dostawców wysokiego ryzyka – zgodnie z projektem podmioty ważne i kluczowe będą musiały pozbyć się wszelkich komponentów ICT, które pochodzą od podmiotu uznanego za takiego dostawcę. Co istotne, minister cyfryzacji, który może wydać tego rodzaju decyzję, ma kierować się nie tylko technicznymi parametrami, które wiążą się z bezpieczeństwem, lecz także kryteriami pozatechnicznymi, takimi jak np. państwo pochodzenia dostawcy. Wydaje nam się to intuicyjne – przecież naturalnie istnieją „ryzykowne” z naszej perspektywy państwa, które mogą wpływać na nasze (cyber)bezpieczeństwo.
Co jednak istotne z perspektywy procesu legislacyjnego, choć procedura ta znalazła się w naszej lokalnej implementacji Dyrektywy NIS2, to w żadnej mierze z niej nie wynika. Umieszczenie jej w polskiej ustawie to tzw. goldplating (pozłacanie), które polega na „dokładaniu” dodatkowych obowiązków w ustawach transponujących do polskiego porządku prawnego regulacje europejskie. Warto wskazać, iż choć jest to zjawisko niepożądane – jako tworzące gospodarczą „Europę wielu prędkości”, gdzie jednolity rynek europejski spotyka krajowe bariery regulacyjne – to per se nie jest zakazane. W szczególności sama Dyrektywa NIS2 wskazuje, że państwa członkowskie mogą przewidzieć dodatkowe, dalej idące regulacje w zakresie cyberbezpieczeństwa.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.