W dniu 13 października 2021 r. na stronie Ministerstwa Cyfryzacji opublikowano kolejną wersję (z dnia 12 października 2021 r.) projektu ustawy – o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
Procedura legislacyjna, dotycząca nowelizacji, została zapoczątkowana we wrześniu 2020 r. Wówczas pojawiła się pierwsza wersja projektu zmiany (wersja z dnia 7 września 2020 r.). Następnie do stycznia 2021 r. trwały konsultacje dotyczące nowelizacji. Do projektu z 2020 r. zgłoszono szereg uwag. Z tego względu wydawać by się mogło, że październikowa wersja stanowi urzeczywistnienie ww. uwag. Nic bardziej mylnego.
Projekt z października 2021 r. to de facto nowa wersja nowelizacji zawierająca bardziej wyśrubowane postanowienia, dyskryminujące przedsiębiorców telekomunikacyjnych spoza Europy.
Projektodawcy nie uwzględnili wniosków przedstawicieli branży o zmianę postanowień dotyczących procedowania w sprawie uznania dostawców za wysoce ryzykownych, ponieważ takie były wytyczne rządu. Z lakonicznego stanowiska Kancelarii Prezesa Rady Ministrów wynika, że postępowanie weryfikacyjne nie podlega zmianie, ponieważ „procedura oceny ryzyka dostawcy sprzętu lub oprogramowania dla podmiotów krajowego systemu cyberbezpieczeństwa jest oparta o przepisy Kodeksu postępowania administracyjnego.” Wnikliwa analiza postanowień projektu prowadzi do wniosku, że postępowanie weryfikacyjne, wyłącznie pozornie, będzie toczyło się w oparciu o te przepisy.
W rzeczywistości postępowanie jest jednostronne, wszczynane na wniosek Kolegium, tj. organu krajowego systemu cyberbezpieczeństwa. Co więcej, wyłączono prawo udziału strony w postępowaniu dowodowym zagwarantowane w art. 79 kpa (projektowany art. 66a ust. 3). Następnie Minister właściwy do spraw informatyzacji, w oparciu o opinię Kolegium, w drodze decyzji uznaje dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Rozstrzygnięcie podlega natychmiastowemu wykonaniu - wyłączono prawo do wnioskowania o ponowne rozpoznanie sprawy (projektowany art. 66a ust. 15) oraz prawo do wnioskowania do sądu o wstrzymanie wykonalności decyzji (projektowany art. 66d ust. 3). Powyższe oznacza, że bezapelacyjnie, po otrzymaniu decyzji, dostawca ma zakaz wprowadzania do obrotu produktów, usług i procesów określonych jako ryzykowne oraz obowiązek wycofania ww. produktów usług i procesów dostarczanych przez dostawcę wysokiego ryzyka nie później niż 5 lub 7 lat od dnia ogłoszenia lub udostępnienia informacji o decyzji
