Z Ministerstwa Cyfryzacji wyszedł nowy projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz ustawy Prawo telekomunikacyjne, który pod koniec stycznia bieżącego roku został przekazany do rozpatrzenia przez Komitet Rady Ministrów do spraw Cyfryzacji.
Według projektodawcy powodem zmian legislacyjnych jest rosnąca liczba zagrożeń w cyberprzestrzeni jak i coraz istotniejsza rola pełniona przesz systemy informacyjne. W uzasadnieniu projektu wskazano, że konieczne jest zapewnienie sprawdzonych i bezpiecznych rozwiązań technologicznych zarówno dla sektora publicznego, jak i prywatnego.
Cel nowelizacji z pozoru brzmi szczytnie, niemniej wnikliwa analiza poszczególnych projektowanych zmian prowadzi do wniosku, że resort cyfryzacji próbuje zapewnić sobie prawny instrument do dowolnej, czyli uznaniowej eliminacji z rynku podmiotów, które jemu nie przypadną do gustu. Do kręgu tych pomiotów należą: 1) podmioty krajowego systemu cyberbezpieczeństwa, 2) przedsiębiorcy telekomunikacyjni, 3) właściciele i posiadacze obiektów, instalacji lub urządzeń infrastruktury krytycznej, 4) przedsiębiorcy o szczególnym znaczeniu gospodarczo-obronnym, tj. cała branża ICT – producenci sprzętu komputerowego, sieciowego, sprzętu do przesyłania danych oraz producenci oprogramowania i podmioty świadczące usługi telekomunikacyjne.
Procedura eliminacji rozpoczyna się w art. 1 pkt 36 projektu w zakresie, w jakim do art. 66 ustawy o krajowym systemie cyberbezpieczeństwa dodano art. 66a, 66b i 66c, 66d. Zgodnie z art. 66a Minister właściwy do spraw informatyzacji może z urzędu lub na wniosek Przewodniczącego Kolegium (organu opiniodawczo-doradczego w sprawach cyberbezpieczeństwa) wszcząć postępowanie w sprawie uznania za dostawcę wysokiego ryzyka dostawcę sprzętu lub oprogramowania.
Postępowanie ocenne opiera się na opinii Kolegium, w której organ wskazuje m. in. prawdopodobieństwo, z jakim dostawca sprzętu lub oprogramowania znajduje się pod kontrolą państwa spoza Unii Europejskiej lub Organizacji Traktatu Północnoatlantyckiego. Procedura sporządzenia opinii przebiega bez udziału dostawcy, co oznacza, że Kolegium przygotuje wnioski do opinii w oparciu o wzmianki w sieci na temat kontrolowanego dostawcy lub donosy dostarczane np. przez konkurencję.
