W Polsce wciąż nie istnieje oficjalna lista dostawców wysokiego ryzyka (HRV), a dotychczas nie wszczęto żadnego postępowania w tej sprawie. Mimo to ustawa o krajowym systemie cyberbezpieczeństwa (KSC) przewiduje mechanizm, który ma chronić państwo przed zagrożeniami związanymi z produktami i usługami ICT.
Czym jest dostawca wysokiego ryzyka?
Dostawca wysokiego ryzyka to podmiot, którego konkretne produkty, usługi lub procesy ICT mogą zostać uznane za stwarzające zagrożenie dla bezpieczeństwa państwa lub porządku publicznego. Decyzję w tej sprawie podejmuje minister cyfryzacji w drodze postępowania administracyjnego.
Jak wygląda procedura?
Postępowanie rozpoczyna się od zawiadomienia dostawcy oraz publikacji informacji w Biuletynie Informacji Publicznej. Minister zasięga opinii Kolegium do Spraw Cyberbezpieczeństwa, które ma trzy miesiące na jej przygotowanie. Organizacje społeczne mogą przedstawić swoje stanowisko w ciągu 14 dni od publikacji zawiadomienia. Na tej podstawie minister przygotowuje raport, który jest publikowany przed wydaniem decyzji.
Skutki decyzji
Decyzja o uznaniu za dostawcę wysokiego ryzyka nie wyklucza firmy z rynku – dotyczy wyłącznie wskazanych produktów, usług lub procesów ICT. Jest ona natychmiast wykonalna i ogłaszana w Monitorze Polskim oraz na stronach ministerstwa. Podmioty objęte ustawą muszą zaprzestać wprowadzania tych produktów do użytkowania i wycofać je w ciągu siedmiu lat (czterech lat dla przedsiębiorców komunikacji elektronicznej).
Obowiązek oceny ryzyka pozostaje
Brak listy HRV nie zwalnia podmiotów z obowiązku oceny ryzyka przy zakupie technologii ICT. Warto korzystać z rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, które mogą wskazywać zagrożenia i podatności. Zgodnie z Prawem zamówień publicznych, zamawiający musi odrzucić oferty dotyczące produktów objętych tymi rekomendacjami.
Źródło: Ministerstwo Cyfryzacji
Fot. gov.pl
