Cyberbezpieczeństwo – regulacje niezbędne, ale w granicach rozsądku

Przebieg prac nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która ma implementować unijną dyrektywę NIS2, ze szczególnym uwzględnieniem kontrowersyjnego rozszerzenia jej zakresu o postanowienia 5G Toolbox (unijny zestaw narzędzi na rzecz bezpieczeństwa 5G), znalazł się w centrum uwagi okrągłego stołu poświęconego tej tematyce.

Jak już informowała „Rzeczpospolita”, projekt nowelizacji został przyjęty 4 września przez Stały Komitet Rady Ministrów. Prace nad projektem trwają już od sześciu lat. Ustawa o KSC weszła w życie w 2018 r., a już rok później ruszyły prace nad jej nowelą.

Uczestnicy dyskusji wyrażali obawy, że polskie przepisy są zbyt restrykcyjne i ambitne (co z języka angielskiego określa się mianem gold-plating) oraz zawierają fundamentalne wady systemowe. Spowodowane jest to zwłaszcza wprowadzeniem instytucji dostawcy wysokiego ryzyka (DWR), która może prowadzić do arbitrażu technologicznego i nieuzasadnionego wykluczania zagranicznych podmiotów, co negatywnie wpłynie na polską gospodarkę i konkurencję, w tym na małych operatorów, m.in. wymuszając ich konsolidację.

Jak wyjaśnia na swoich stronach Ministerstwo Cyfryzacji, instytucja DWR ma „eliminować z użycia niebezpieczny sprzęt i usługi z kluczowych dla funkcjonowania państwa systemów informatycznych”. W efekcie uznania, decyzją ministra cyfryzacji, danego przedsiębiorcy za dostawcę wysokiego ryzyka podmioty istotne dla funkcjonowania państwa nie mogłyby wprowadzać do swoich systemów określonych typów produktów ICT, rodzajów usług ICT ani konkretnych procesów ICT od takiego dostawcy. Ministerstwo przedstawiło również procedurę prowadzącą do uznania za DWR oraz szereg wyjaśnień prostujących pojawiające się w przestrzeni publicznej błędne doniesienia na temat wprowadzenia instytucji DWR do polskiego prawa.

Po pierwsze – zasada proporcjonalności

Uczestnicy debaty podkreślali również konieczność zastosowania zasady proporcjonalności przyjmowanych rozwiązań, którą ich zdaniem pominięto, co grozi ogromnymi kosztami dla ok. 80 tys. podmiotów (w tym szpitali). Zasada ta jest kluczowa w prawodawstwie unijnym. Tymczasem polski projekt, zamiast stopniowania restrykcji w zależności od realnego zagrożenia technologicznego, wprowadza restrykcje od samego początku i opiera się na „podmiotowej identyfikacji zagrożenia”, a nie na weryfikacji budowy technologicznej sprzętu.

Wskazywano również, że w nowelizacji brakuje jasnej oceny skutków finansowych proponowanych rozwiązań. W trakcie okrągłego stołu krytykowano także domniemane upolitycznienie decyzji dotyczących bezpieczeństwa oraz brak dialogu z sektorem prywatnym, postulując spowolnienie prac legislacyjnych w celu dokonania merytorycznej rewizji projektu.

Pole do dialogu

Na wstępie spotkania prowadzący debatę Bogusław Chrabota, redaktor naczelny grupy medialnej Gremi Media, wydawcy „Rzeczpospolitej”, moderator debaty, przytoczył dane obrazujące skalę cyberataków na polskie instytucje, organizacje i przedsiębiorstwa. Ich liczba będzie tylko rosnąć. Dlatego nowelizacja ustawy o KSC jest potrzebna. Zaznaczył jednocześnie, że ciągle nie została ona uchwalona, co oznacza, że jej ostateczny kształt nie został przesądzony i nadal istnieje możliwość dialogu i poszukiwania rozwiązań akceptowanych przez różne strony rynku.

Jak to robią inni

Jako pierwszy w dyskusji głos zabrał prof. dr hab. Artur Nowak-Far, ekspert relacji i prawa międzynarodowego z Katedry Integracji i Prawa Europejskiego Szkoły Głównej Handlowej (SGH) w Warszawie. Przedstawił wyniki swojej analizy dziewięciu modeli implementacji dyrektywy NIS2 w państwach europejskich (w tym uchwalonych już ustaw chorwackiej, fińskiej, słowackiej, węgierskiej i włoskiej oraz będących na etapie projektu ustaw austriackiej, czeskiej, irlandzkiej i niemieckiej), przygotowanej na zlecenie Polskiego Towarzystwa Gospodarczego.

Podkreślił, że Polska – w przeciwieństwie do takich państw, jak Niemcy czy Austria, które opóźniają implementację NIS2, obserwując rozwiązania przyjmowane w innych krajach – zdecydowała się na „zawyżenie minimalnego standardu” wyznaczonego przez dyrektywę.

Ekspert ostrzegał, że polski prawodawca nie dostrzegł mechanizmu samoograniczenia państw członkowskich, co doprowadzi do, jak to określił, „arbitrażu technologicznego”.

– Systemy prawne takie jak polski, które wdrażają NIS2 najbardziej restrykcyjnie, wprowadzają instytucję DWR. Ona będzie funkcjonowała w ten sposób, że nastąpi poszukiwanie dostawców bez wysokiego ryzyka w UE i to będzie np. dostawca francuski, portugalski czy niemiecki, z krajów, gdzie uzyskiwana jest premia cenowa np. za wysokie płace. Jednak w części państw regulacje będą dużo mniej restrykcyjne. W efekcie będzie np. tak, że Francuzi sprzedadzą nam technologię drogo, a kupią ją tanio spoza Unii Europejskiej, bo im wolno, a nam nie. To upośledzi polską gospodarkę – tłumaczył prof. Nowak-Far.

Jego zdaniem kluczową wadą polskiego projektu jest naruszenie zasady proporcjonalności. W innych państwach środki restrykcyjne nasila się wraz z pogarszaniem się sytuacji. Polska natomiast wprowadza je od początku. Największy problem polega na „podmiotowej identyfikacji zagrożenia”.

– W Polsce na określonych podmiotach została naklejona nalepka. Mówi się: „wiesz, możesz być dobry, możesz być zły, ale pochodzisz nie tam, skąd trzeba, stanowisz jakieś zagrożenie; w związku z tym wszystkie podmioty ważne i krytyczne nie powinny mieć z tobą za dużo do czynienia, a może nawet wcale, bo jesteś dostawcą wysokiego ryzyka” – mówił ekspert.

Podkreślił, że polska ścieżka narusza istotę cybertechnologii, i ostrzegł, że regulacje, które wyłączają kogokolwiek bez uzasadnienia, mogą nie wytrzymać testu przed Trybunałem Sprawiedliwości UE, który może nie uwierzyć w polskie „względy bezpieczeństwa”.

Pochodzenie sprzętu pod lupą

Jaromir Ćwikła, dyrektor ds. prawnych w Polskim Towarzystwie Gospodarczym (PTG), zgodził się z prof. Nowakiem-Farem co do przywiązywania w Polsce nadmiernej wagi do kwestii dostawcy wysokiego ryzyka i „kreowanie wokół tej idei poczucia strachu”.

– Strachu, który nie jest w żaden sposób potwierdzony. Przynajmniej ja nigdzie nie znalazłem na niego dowodu. Nie mamy dostępnych żadnych raportów czy badań, które mówiłyby o tym, że określony sprzęt z danego państwa spoza Unii Europejskiej stanowi jakieś zagrożenie dla cyberbezpieczeństwa naszego kraju – powiedział.

– Tak jak mówił pan profesor, możemy mieć do czynienia z sytuacją, w której sprzęt spoza Unii Europejskiej zostanie wprowadzony do obrotu na przykład we Francji. W Polsce bezpośrednio nie mógłby zostać wprowadzony ze względu na projektowane zmiany. I co się stanie? Polska będzie musiała gdzieś ten sprzęt kupić. Gdzie? Właśnie na przykład we Francji. Przy czym zapłaci pewnie podwójną cenę. Ważne jest więc, by ta kwestia wybrzmiała – podkreślił Jaromir Ćwikła.

Piotr Mieczkowski, członek zarządu Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji (KIGEiT), zakwestionował statystyki o zagrożeniach, którymi posługuje się administracja, argumentując, że 90 proc. ataków to phishing i błędy ludzkie, niezwiązane ze sprzętem. Jak mówił, jesteśmy coraz bardziej cyfrowi, dlatego skala ataków jest coraz większa, nawet gdybyśmy nic nie robili.

Historyczny błąd w konstrukcji przepisów

Prof. dr hab. Maciej Rogalski, rektor Uczelni Łazarskiego, założyciel i radca prawny w Kancelarii Rogalski i Wspólnicy, wskazał na istniejący jego zdaniem historyczny błąd w konstrukcji DWR.

– Konstrukcja DWR, która od początku i w Toolboxie, i w rekomendacjach dotyczy 5G czy rynku telekomunikacyjnego, została rozciągnięta na wszystkie zakresy przedmiotowe, a więc 18 rynków. Nie wiadomo, dlaczego i na jakiej podstawie tak się stało – powiedział prof. Rogalski.

Zaapelował jednocześnie o to, by Toolbox 5G i NIS2 zostały rozdzielone. Ponieważ ich połączenie „generuje szkody, rozciągając procedurę DWR na m.in. placówki ochrony zdrowia, wyższe uczelnie czy samorządy, które nie powinny być nią objęte, co prowadzi do sytuacji paranoidalnej”. Łącznie, jak mówił, ocena skutków regulacji (OSR) mówi o prawie 38 tys. podmiotów, które zostaną objęte tą zmianą, choć nie powinny.

Kinga Pawłowska-Nojszewska, dyrektor ds. prawnych w Krajowej Izbie Komunikacji Ethernetowej (KIKE), skupiającej prawie 200 podmiotów, zilustrowała liczbami skalę nadregulacji.

Jej zdaniem największy kłopot z projektem nowelizacji jest taki, że hasło „bezpieczeństwo” uruchamia „szerokie myślenie, trochę wojskowe, trochę rządowe, trochę służb specjalnych”.

– Bezpieczeństwo staje się słowem wytrychem, który ucina wszelkie rozmowy i argumenty. Tymczasem tam, gdzie jest wojsko, służby specjalne i policja, mamy w ogóle inną ustawę, która dotyczy ściśle infrastruktury krytycznej. A w tej ustawie jest mowa o szeroko pojętym cyberbezpieczeństwie na rynku – tłumaczyła.

Także jej zdaniem ważna jest więc zasada proporcjonalności.

– W procedurze wydawania decyzji na temat DWR nie ma w ogóle miejsca na to, żeby brać pod uwagę jakiekolwiek skutki gospodarcze tej decyzji – stwierdziła przedstawicielka KIKE.

Przypomniała, że sam Toolbox 5G dotyczy tylko operatorów sieci komórkowych 5G, czyli właścicieli infrastruktury – a zatem w Polsce de facto czterech podmiotów. Tymczasem włączenie go do implementacji NIS2 oznacza zmianę dla… 80 tys. podmiotów.

Skąd ta liczba? Otóż w najnowszej OSR ministerstwo w ogóle zrezygnowało z podawania konkretnej liczby podmiotów (a więc wspomnianych wcześniej w debacie prawie 40 tys.). Jednak NASK, który będzie prowadził system S46 do zgłaszania incydentów, do którego mają być podłączone wszystkie podmioty działające na rynku, szykuje się właśnie na 80 tys. organizacji. – Zatem cztery podmioty vs. 80 tys. – to jest skala nadregulacji, o której tu mówimy – powiedziała Kinga Pawłowska-Nojszewska.

Koszty dla przedsiębiorców i konsumentów

– Na polskim rynku jest ponad 2 tys. aktywnie działających przedsiębiorców telekomunikacyjnych. Trzeba pamiętać, że internetu światłowodowego w mniejszych ośrodkach najczęściej nie dostarczają ci najwięksi, najbardziej znani operatorzy, tylko lokalni polscy przedsiębiorcy. Odpowiadają oni za ok. 30 proc. rynku internetu przewodowego w Polsce, głównie w mniejszych miastach, w miejscowościach położonych na ścianie wschodniej i południowej – mówiła Kinga Pawłowska-Nojszewska. – Ci lokalni dostawcy rozbudowywali swoje sieci, niwelując kolejne „białe plamy”, również przy wykorzystaniu środków unijnych. W 80 proc. następowało to w oparciu o sprzęt chiński. Po nowelizacji trzeba będzie go wyrzucić, jeżeli zostanie wydana decyzja o DWR – dodała.

Wysokie ryzyko wymiany sprzętu, w połączeniu z wyższymi cenami u innych dostawców, doprowadzi do konsolidacji rynku mniejszych dostawców usług, co przełoży się także na zmniejszenie konkurencji, a więc pogorszenie sytuacji konsumentów.

Patrycja Gołos, doradca w kancelarii BLSK, która wcześniej zajmowała się m.in. polityką publiczną w UPC, Liberty Global i Play, była też członkiem zarządu Polskiej Izby Komunikacji Elektronicznej, wskazała wprost, że nowa regulacja wyeliminuje małych operatorów. Będą mieć nie tylko zupełnie inne możliwości monetyzacji inwestycji, ale też sprzęt dla nich będzie droższy.

– Jednocześnie mogą mieć w ogóle ograniczony dostęp do tego sprzętu, bo będą ostatni w kolejce – stwierdziła. – Po prostu ustawowo tworzymy oligopol, który mocno zawęzi dostęp, podwyższy ceny i pogorszy jakość świadczonych usług – przestrzegała Patrycja Gołos.