Bezpieczeństwo łańcucha dostaw w gospodarce i sektorze publicznym w obecnej sytuacji geopolitycznej jest niezwykle ważne. Z tą myślą Komisja Europejska przygotowała i rozpoczęła proces uzgodnień rozporządzenia CSA2, który zastąpi przepisy z 2019 r. Nałożyło się to na procedowaną w Sejmie nowelizację KSC. Wdraża ona z ponad dwuletnim opóźnieniem dyrektywę NIS2. O ile NIS2 zajmuje się łańcuchem dostaw, to nie zawiera regulacji dot. DWR (ang. HRV). Rząd zdecydował się na dodanie tych regulacji do projektu KSC. Sposób, w jaki to zrobił, budzi silną krytykę wśród przedsiębiorców i ekspertów.
W projekcie CSA2 regulacji DWR poświęcono Tytuł IV. Podczas drugiego czytania rząd wskazał ten fakt jako dowód, że „Komisja Europejska wzorowała się na polskim KSC”. Opinia ta nie znajduje jednak poparcia w analizie obu tekstów. Sposób, w jaki obie regulacje podchodzą do kwestii łańcucha dostaw i poszanowania podstawowych zasad konstytucyjnych demokracji, różni się diametralnie. Polski projekt KSC zawiera podnoszone w toku konsultacji i prac w Sejmie istotne luki w zakresie gwarancji proceduralnych, które są standardem w projekcie unijnym.
Dwustopniowość oceny europejskiej
W projekcie CSA2 żadne ograniczenia nie mogą zostać wprowadzone bez dwustopniowego procesu szczegółowej oceny ryzyka. Ocena ta jest przeprowadzana przez Grupę Współpracy NIS z udziałem wszystkich państw członkowskich. Pierwszym etapem jest identyfikacja państwa będącego zagrożeniem w domenie cyber. W drugim etapie sporządzana jest lista dostawców powiązanych z tym państwem, a następnie dokonywana jest szczegółowa analiza ryzyk i proponowane są proporcjonalne środki zaradcze.
W KSC nie ma wymagania przeprowadzenia wstępnej oceny ryzyka. Minister cyfryzacji może wydać decyzję o uznaniu dostawcy za dostawcę wysokiego ryzyka, zasięgając jedynie niewiążącej opinii kolegium ds. cyberbezpieczeństwa, które jest organem doradczym rządu. Skład kolegium jest mocno ograniczony. Podejmowane środki nie muszą być skoordynowane z innymi państwami członkowskimi ani z Komisją Europejską.
Geopolityczne kryteria oceny
CSA2 określa obiektywne, weryfikowalne kryteria kroku pierwszego, tj. uznania państwa za stanowiące zagrożenie: istnienie prawa wymuszającego ujawnianie podatności, udokumentowane praktyki w tym zakresie, brak niezależnych procedur, udokumentowane incydenty złośliwej działalności cybernetycznej oraz brak współpracy w rozwiązywaniu problemów. Nie ma odniesienia do członkostwa w sojuszach politycznych i wojskowych.
