Dostawca wysokiego ryzyka to producent sprzętu lub oprogramowania, którego minister właściwy do spraw informatyzacji uzna decyzją za zagrożenie dla podstawowego interesu bezpieczeństwa państwa. Co wtedy? Jego produktów nie wolno wprowadzać do sieci, a te już pracujące trzeba wycofać w ustawowym terminie. Nowe przepisy obowiązują od 3 kwietnia, co potwierdza komunikat NASK o publikacji ustawy. Tyle że na dzień tego wpisu żadna taka decyzja nie zapadła. Dlatego opisujemy mechanizm, a nie konkretne firmy.
Kim jest dostawca wysokiego ryzyka według ustawy?
Zacznijmy od tego, czym ten status nie jest. Nie jest cechą techniczną urządzenia. To etykieta nadawana decyzją administracyjną i żaden parametr anteny ani wersja oprogramowania nie przesądza o niej automatycznie. Ustawa o krajowym systemie cyberbezpieczeństwa (w skrócie KSC, czyli zbiór reguł ochrony najważniejszych usług cyfrowych w kraju) odnosi to pojęcie do firm dostarczających sprzęt lub programy. Kryterium jest jedno: zagrożenie dla podstawowego interesu bezpieczeństwa państwa.
W praktyce ocenia się więc samego producenta, a nie pojedynczy model urządzenia. I jeszcze jedno: w przepisach nie ma listy firm ani państw. Jest tylko ścieżka postępowania. Kogo ona obejmie? To pokażą dopiero przyszłe rozstrzygnięcia.
Jak wygląda procedura uznania dostawcy za ryzykownego?
Decyzję wydaje minister właściwy do spraw informatyzacji, a jej treść ogłasza się w Monitorze Polskim. To urzędowy dziennik, w którym publikowane są akty organów państwa, dostępny dla każdego. Brzmi jak formalność, ale ogłoszenie ma znaczenie czysto praktyczne, bo dopiero z niego operatorzy dowiadują się, których produktów dotyczy zakaz.
Skutek przychodzi w dwóch krokach. Najpierw podmioty objęte ustawą przestają wprowadzać do swoich systemów nowe produkty wskazanego dostawcy. Potem wycofują te, z których już korzystają. A samo wejście nowelizacji KSC w życie? Niczego w sieci nie wyłącza. Do uruchomienia obu obowiązków potrzebna jest odrębna decyzja.
Ile czasu operatorzy mają na wymianę sprzętu w sieci komórkowej?
Podmioty objęte ustawą mają na wycofanie produktów 7 lat. Przedsiębiorcy telekomunikacyjni w funkcjach krytycznych z załącznika nr 3 mają gorzej, bo muszą zmieścić się w 4 latach. Oba terminy wynikają wprost z tekstu nowelizacji w Dzienniku Ustaw. Uwaga na częsty błąd: liczy się je od decyzji, nie od dnia wejścia przepisów w życie.
Po wydaniu decyzji obowiązują cztery zasady:
- zakaz wprowadzania nowych produktów danego dostawcy,
- dłuższy termin wycofania dla ogółu podmiotów objętych ustawą,
- krótszy termin dla funkcji krytycznych w telekomunikacji,
- dozwolone naprawy i aktualizacje aż do dnia wycofania.
Dużo tych lat? Tylko na pierwszy rzut oka. Elementów działającej sieci nie wymienia się jednej nocy: operator robi to etapami, lokalizacja po lokalizacji, bez wyłączania usług. No i jest jeszcze zgoda na serwis w okresie przejściowym. Dzięki niej urządzenia dostają poprawki bezpieczeństwa i pozostają sprawne do końca pracy.
Których elementów sieci dotyczy bezpieczeństwo sieci 5G?
Przepisy obejmują sprzęt i oprogramowanie w sieci operatora, a krótszy termin odnosi się do funkcji krytycznych wskazanych w załączniku nr 3. Sieć komórkową najprościej podzielić na dwie części. Pierwsza to część radiowa (w branży po prostu RAN), czyli stacje bazowe z antenami, które łączą się bezpośrednio z telefonem. Jeśli ten fragment jest dla ciebie nowy, budowa stacji bazowej dobrze pokazuje, ile urządzeń pracuje na jednym maszcie.
Druga część to sieć szkieletowa, nazywana rdzeniem. Steruje połączeniami, rozpoznaje karty SIM i kieruje ruch do internetu. Usterka w tym miejscu dotyka więc wielu abonentów naraz. Cały temat zbiega się zresztą w czasie z rozbudową infrastruktury po rozdaniu częstotliwości, które opisuje aukcja pasma 3,6 GHz. Operatorzy planujący zakupy muszą odtąd liczyć się także z ryzykiem regulacyjnym.
Jaką rolę dostaje Prezes UKE w cyberbezpieczeństwie?
Prezes UKE staje się organem właściwym do spraw cyberbezpieczeństwa dla podsektora komunikacji elektronicznej. Regulator, którego wszyscy kojarzą głównie z gospodarką częstotliwościami, zyskuje więc nadzór nad bezpieczeństwem sieci telekomunikacyjnych. Dla branży to w sumie wygodne. Jeden urząd, jeden adres: i pasmo, i ochrona infrastruktury.
Role są przy tym rozdzielone. Minister rozstrzyga o statusie dostawcy, a UKE pilnuje, jak podsektor wywiązuje się z obowiązków. Zmiana dotyczy również przedsiębiorstw stawiających własną infrastrukturę, a takim przypadkiem są prywatne sieci 5G w firmach. Czy konkretna organizacja podlega ustawie? Tu nie ma odpowiedzi hurtowej. Zależy to od jej sytuacji i wymaga indywidualnej analizy.
Co nowelizacja KSC oznacza dla zwykłego użytkownika?
Spokojnie. Dla abonenta nic nie zmienia się z dnia na dzień: telefon działa jak dotąd, a usługi zachowują ciągłość. Ewentualna wymiana odbywa się po stronie infrastruktury operatora i jest rozłożona na lata. Użytkownik nie musi niczego zgłaszać ani przestawiać w aparacie.
- Bez zmian: karta SIM, zasięg, połączenia głosowe i dostęp do internetu.
- Nie wiadomo na dzień wpisu: czy decyzja w ogóle zapadnie i wobec kogo.
Pojęcie dostawca wysokiego ryzyka opisuje więc na razie procedurę, a nie listę wykluczonych firm. Ustawa wyznacza, kto decyduje, gdzie rozstrzygnięcie zostaje ogłoszone i ile czasu mają operatorzy. Reszta, czyli rzeczywiste skutki dla sieci, zależy od przyszłych decyzji. A te będą jawne.
Najczęstsze pytania
Czy po wejściu nowelizacji w życie mój telefon przestanie działać?
Nie. Przepisy dotyczą infrastruktury operatorów, a nie aparatów w rękach abonentów. Żeby powstał jakikolwiek obowiązek wymiany, potrzebna jest odrębna decyzja. Na dzień wpisu jej nie ma.
Kto decyduje o uznaniu firmy za dostawcę wysokiego ryzyka?
Minister właściwy do spraw informatyzacji, w drodze decyzji administracyjnej. Jej treść ogłasza się w Monitorze Polskim i właśnie stąd operatorzy oraz pozostałe podmioty wiedzą, których produktów dotyczy zakaz.
Czy operator może naprawiać i aktualizować sprzęt objęty decyzją?
Tak. Do upływu terminu wycofania ustawa dopuszcza naprawy i aktualizacje takich urządzeń oraz programów. Sieć pozostaje dzięki temu sprawna i zabezpieczona przez cały okres przejściowy.