To Feel Safe! - Blog To Feel Safe! #operator strategicznej sieci bezpieczeństwa

Kolejna odsłona projektu ustawy o Krajowym Systemie Cyberbezpieczeństwa

Fri, 01 Apr 2022 12:11:32 +0200

Czemu do tej pory nie odbyła się chociaż jedna konsultacja społeczna ?

Analizując projekt zmian zawartych w tych projektach należy mieć na względzie to, że równolegle z pracami nad zmianą ustawy o KSC trwają pracę nad projektem ustawy Prawo Komunikacji Elektronicznej, ustawy wprowadzającej ustawę Prawo komunikacji elektronicznej oraz, że już opublikowano w Dzienniku Ustaw ustawę z dnia 23 marca 2022 r. o obronie Ojczyzny, a niektóre te same zagadnienia regulowane są (lub podejmowane próby takiej regulacji) w tych aktach prawnych.

Na pewno warto zaapelować do administracji rządowej aby tworząc akty prawne stosowały zasadę umieszczania zbieżnych przedmiotowo zagadnień w jednym akcie prawnym, bo analizując prawa i obowiązki przedsiębiorców telekomunikacyjnych trzeba zapoznać się nawet z kilkudziesięcioma aktami prawnymi.

Czego dotyczą zmiany w Krajowym Systemie Cyberbezpieczeństwa ?

Projekt ten jest dość obszernym dokumentem i dlatego szczegółowa analiza całej zawartości wymaga dużo czasu, dlatego na dokładniejszej analizie skupimy się w momencie gdy ustawa będzie procedowana w Sejmie lub Senacie. Teraz zajmiemy się tylko zagadnieniami, dotyczącymi głównie przedsiębiorców komunikacji elektronicznej, w tym przedsiębiorców telekomunikacyjnych.

Już pobieżna analiza tego projektu pozwala zauważyć, że wymaga on jeszcze dużo pracy. W wielu miejscach odwołuje się zarówno do obowiązującej ustawy Prawo Telekomunikacyjne jak i do ustawy Prawo Komunikacji Elektronicznej, która również jest jeszcze procedowana. W projekcie są również odwołania np. do ustawy o organizowaniu zadań na rzecz obronności państwa realizowanych przez przedsiębiorców, która zostanie uchylona pod koniec kwietnia wraz z wejściem w życie Ustawy o obronie Ojczyzny.

W projekcie ustawy o zmianie KSC zawarto przepisy obejmujące obowiązkami przedsiębiorców telekomunikacyjnych a właściwie przedsiębiorców komunikacji elektronicznej, których definicja pojawiła się w projekcie ustawy Prawo komunikacji elektronicznej (PKE), a obecnie umieszczono ją w projekcie ustawy o zmianie KSC.

Przepisy projektu KSC określają między innymi zadania i obowiązki przedsiębiorców komunikacji elektronicznej w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów, zasady wyznaczania operatora strategicznej sieci bezpieczeństwa oraz jego prawa o obowiązki, zasady powoływania i funkcjonowania Spółki Polskie 5G oraz finasowanie strategicznej sieci bezpieczeństwa.

Rozszerzenie składu Krajowego Systemu Cyberbezpieczeństwa

Projekt przewiduje rozszerzenie podmiotów tworzących krajowy system cyberbezpieczeństwa m. in. o przedsiębiorców komunikacji elektronicznej, zespół CSIRT Telco, zewnętrzny SOC (operacyjne centrum bezpieczeństwa).

Oznacza to, że obowiązkami wynikającymi z przepisów o cyberbezpieczeństwie objęto również przedsiębiorców telekomunikacyjnych, którzy dotychczas byli wyłączeni spod rządów ustawy o KSC (z małym wyjątkiem).

Obowiązki przedsiębiorcy komunikacji elektronicznej w zapewnieniu cyberbezpieczeństwa

Przedsiębiorca komunikacji elektronicznej w ramach zapewnienia cyberbezpieczeństwa będzie zobowiązany do realizacji przedsięwzięć polegających na systematycznym przeprowadzeniu szacowanie ryzyka wystąpienia sytuacji szczególnego zagrożenia a w zależności od wyników tego szacowania podejmować właściwe środki techniczne i organizacyjne zapewniające poufność, integralność, dostępność i autentyczność przetwarzanych danych, minimalizujące w wpływ wystąpienie sytuacji szczególnego zagrożenia na sieci telekomunikacyjne, usługi komunikacji elektronicznej lub podmioty korzystające z tych sieci lub usług.

Działanie te będą musiały być dokumentowane w planie działań w sytuacji szczególnego zagrożenia lub, jeśli taki plan nie jest sporządzany, w formie odrębnej dokumentacji.

Bardzo podobne obowiązki przedsiębiorców telekomunikacyjnych zawarto w obowiązującej już ustawie Prawo Telekomunikacyjne (Dział VIIA „Bezpieczeństwo i integralność sieci i usług telekomunikacyjnych”) oraz w rozporządzeniu w sprawie minimalnych środków technicznych i organizacyjnych oraz metod, jakie przedsiębiorcy telekomunikacyjni są obowiązani stosować w celu zapewnienia bezpieczeństwa lub integralności sieci lub usług, o którym pisaliśmy m.in. w artykule Tutaj

Również w przypadku omawianego projektu przewiduje się możliwość wydania rozporządzenia określającego minimalny zakres środków wymaganych do realizacji ww. obowiązków.

Prezes UKE, może dokonywać oceny (kontroli) realizacji wyżej opisanych obowiązków, a w przypadku stwierdzenia, że obowiązki te nie są realizowane może nałożyć na przedsiębiorcę karę pieniężną.

Blokowanie przesyłania komunikatu lub ograniczenia świadczenia usług

Projekt przewiduje nadanie przedsiębiorcy komunikacji elektronicznej uprawnień do możliwości blokowania przesyłania komunikatów lub ograniczenia albo przerwanie świadczenia usługi komunikacji elektronicznej w przypadku stwierdzenia zagrożenia bezpieczeństwu sieci i usług komunikacji elektroniczne.

Uprawnienia podobne przewidywał projekt PKE oraz aktualnie obowiązujące Prawo telekomunikacyjne.

W projekcie zmiany KSC zrezygnowano z obowiązku informowania Prezesa UKE o podjęciu ww. działań oraz z uprawnień Prezesa UKE do zakazania stosowania takich środków. To wydaje się jako słuszne, gdyż praktyka wskazuje, że był to przepis martwy.

Szkoda jednak, że zrezygnowano z zapisu zwalniającego przedsiębiorcę z odpowiedzialności za niewykonanie lub nienależyte wykonanie usług telekomunikacyjnych w przypadku podjęcia środków przeciwdziałających zagrożeniu bezpieczeństwa sieci i usług komunikacji elektronicznej.

Brak takiego zapisu nie pozbawia przedsiębiorcy zwolnienia z odpowiedzialności za niewykonanie lub nienależyte wykonanie usług w takim przypadku, jednak przepis taki wykluczyłby potrzebę interpretacji w zakresie niezbędnym do uzasadnienie wprowadzenia takich blokad lub ograniczeń.

Utworzenie Strategicznej Sieci Bezpieczeństwa oraz wyznaczenie jej operatora

Zmiana projektowanych przepisów dotyczących operatora strategicznej sieci bezpieczeństwa (OSSB) w porównaniu z wersją projektu z dnia 12 października 2021 r. polega głównie na zmianie określenia zakresów świadczonych usług Ministrowi Obrony Narodowej.

W projekcie z dnia 12 października 2021 r. było to utrzymanie, rozbudowa i modyfikacja sieci teleinformatycznej na potrzeby obsługi Sił Zbrojnych Rzeczypospolitej Polskiej oraz zestawienia i utrzymania łączy dostępowych do tej sieci. O tej wersji projektu pisaliśmy Tutaj

W projekcie z dnia 15 marca 2022 r. OSSB obowiązany jest do świadczenia usług Ministrowi Obrony Narodowej w zakresie dzierżawy łączy telekomunikacyjnych na potrzeby Sił Zbrojnych Rzeczypospolitej Polskiej oraz jednostek organizacyjnych podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych a także zestawienia i utrzymania tych łączy.

Zmiana ta prawdopodobnie spowodowana jest określeniem właściwości organizatora wojskowego systemu telekomunikacyjnego wskazanego przez Ministra Obrony Narodowej na podstawie ustawy o obronie Ojczyzny.

Uprawnienia Prezesa UKE do analizy cen oferowanych przez OSSB

Kolejna zmiana wprowadzona w nowym projekcie polega na nadaniu Prezesowi UKE uprawnień do analizy cen usług telekomunikacyjnych stosowanych przez OSSB. Analizę taką Prezes UKE może wykonać z urzędu lub na wniosek podmiotu korzystającego z usług OSSB.

Prezes UKE będzie mógł podjąć działania wobec OSSB jedynie w przypadku stwierdzenia, że ceny usług telekomunikacyjnych oferowanych przez OSSB przekraczają wartość rynkową.

Niestety projekt ustawy nie nadaje Prezesowi UKE uprawnień do interwencji w przypadku oferowanie cen niższych niż ceny rynkowe.

Zjawiskiem niekorzystnym dla przedsiębiorców telekomunikacyjnych może być oferowanie przez OSSB cen niższych niż ceny rynkowe. Powołanie OSSB oraz nadanie mu uprawnień opisanych w nowym projekcie zmiany KSC może mieć bardzo duży (raczej negatywny) wpływ na funkcjonowanie rynku telekomunikacyjnego.

Projekt ustawy o Krajowym Systemie Cyberbezpieczeństwa przyspieszył

Fri, 28 Jan 2022 15:04:19 +0100

W dniu 27 stycznia 2022 roku Komitet Rady Ministrów do Spraw Bezpieczeństwa Narodowego i Spraw Obronnych (KSBO) pozytywnie zaopiniował projekt zmiany ustawy o KSC. Komitet przekazał zalecenie pilnego procedowania projektu.

📢 Ważny krok w sprawie ustawy o Krajowym Systemie Cyberbezpieczeństwa❗
Komitet RM do spraw Bezpieczeństwa Narodowego i spraw Obronnych pozytywnie zaopiniował projekt zmiany ustawy o KSC. Komitet przekazał zalecenie pilnego procedowania projektu ✅ @PremierRP @jciesz #KSC
— CYFRYZACJA KPRM (@CyfryzacjaKPRM) 27 stycznia 2022

Jeszcze projekt a już trochę historia

Prace legislacyjne nad nowelizującą ustawę o krajowym systemie cyberbezpieczeństwa trwają od września 2020 roku. Jak wynika z informacji zamieszczonej na stronie Rządowego Centrum Legislacji pierwszy projekt ustawy nowelizującej KSC pojawił się w styczniu 2021 r.

Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa został pozytywnie zaopiniowany przez Komitet Rady Ministrów do Spraw Cyfryzacji (29 stycznia 2021 r.) oraz Komitet do Spraw Europejskich (5 marca 2021 r.). Następnie 15 marca 2021 r. opiniował go Stały Komitet Rady Ministrów (SKRM).

W październiku 2021 r. na stronie KPRM opublikowany został projekt nowelizacji ustawy o KSC, w którym zamieszczono, między innymi, przepisy dotyczące utworzenia strategicznej sieci bezpieczeństwa.

Jaka czeka nas przyszłość ?

Jak wynika z informacji umieszczonej na stronie KPRM, po zaopiniowaniu projektu ustawy przez Komitet Rady Ministrów do Spraw Bezpieczeństwa Narodowego i Spraw Obronnych, skierowany zostanie pod obrady Stałego Komitetu Rady Ministrów (ponownie?). Po zaakceptowaniu projektu przez komitet, projekt zweryfikuje komisja prawnicza pod względem poprawności legislacyjnej i redakcyjnej a następnie Rada Ministrów podejmie decyzję o przyjęciu projektu i skierowaniu go do Sejmu.

Analizując projekt nowelizacji ustawy o KSC (wersja z dnia 12.10.2021 r.) trudno nie zadać sobie poniższych pytań:

Jaki wpływ na działalność przedsiębiorców telekomunikacyjnych będzie miało wejście w życie tej nowelizacji KSC ?

W ostatnich tygodniach rozmawiałem z wieloma przedsiębiorcami telekomunikacyjnymi na temat świadczenia usług podmiotom rządowym lub samorządowym oraz na temat wpływu na ich działalność utworzenia Strategicznej Sieci Bezpieczeństwa (SSB) i powołania Operatora tej sieci.

Okazuje się, że zdecydowana większość z tych przedsiębiorców spodziewa się utraty klientów. Jeśli utracą klientów rządowych i samorządowych to skierują swoje oferty do potencjalnych odbiorców usług, którym obecnie inni ci przedsiębiorcy świadczą usługi telekomunikacyjne. Oznaczać to może, że „zagęści się rynek telekomunikacyjny usługodawcami” co w konsekwencji może niekorzystnie wpłynąć na już bardzo trudny rynek telekomunikacyjny.

Dlaczego przepisy dotyczące organizacji i funkcjonowania sieci telekomunikacyjnej umieszcza się w ustawie o KSC a nie w prawie telekomunikacyjnym?

Na to pytanie niestety nie znajduję odpowiedzi.

W jakim celu tworzy się Strategiczną Sieć Bezpieczeństwa oraz w jakim celu powołuje się Operatora tej sieci?

Odpowiedź możemy znaleźć w uzasadnieniu do projektu z dnia 12.10.2021 r. „Celem tworzonej strategicznej sieci bezpieczeństwa jest zapewnienie realizacji zadań na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego w aspekcie telekomunikacyjnym, …. „

Jednak jest to bardzo nieprecyzyjne określenie celu tworzenia SSB. Z treści projektu ustawy wynika, że SSB jest tworzona na potrzeby podmiotów, które mogą realizują lub mogą realizować zadania na rzecz szeroko pojętego bezpieczeństwa.

Czy w obecnym stanie prawnym są narzędzie umożliwiające realizację zadań zapewnienia telekomunikacji podmiotom realizującym zadania na rzecz obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego?

Oczywiście, że są przepisy zawarte w ustawie z dnia 21 listopada 1967 r. o powszechnym obowiązku obrony Rzeczypospolitej Polskiej, ustawie z dnia 23 sierpnia 2001 r. o organizowaniu zadań na rzecz obronności państwa realizowanych przez przedsiębiorców oraz rozporządzeniach wydanych na ich podstawie.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa

Thu, 25 Nov 2021 13:37:00 +0100

Tytułem wstępu trochę historii

Pomysł utworzenia systemu teleinformatycznego przeznaczonego do zapewnienia komunikacji na potrzeby obronności i bezpieczeństwa należy ocenić jako bardzo pozytywny. Pomysł taki był rozpatrywany w latach 2005 – 2009 w byłym Ministerstwie Infrastruktury (poprzednikiem Ministerstwa Cyfryzacji) w ramach projektu systemu łączności administracji publicznej. Zakładano tam, że powołany zostanie organ administracji rządowej (np. biuro podległe premierowi), który na potrzeby administracji publicznej będzie zapewniał usługi telekomunikacyjne przy wykorzystaniu istniejącej infrastruktury należącej do przedsiębiorców telekomunikacyjnych w czasie normalnego stanu państwa oraz w czasie sytuacji kryzysowych, zagrożenia wojennego lub wojny. Istniejące przepisy stwarzały i nadal stwarzają takie możliwości.

Rodzi się pytanie kierowane do autorów projektu ustawy nowelizującej KSC

Skoro są przepisy umożliwiające stworzenie systemu telekomunikacyjnego na potrzeby obronności i bezpieczeństwa państwa, to jaki jest faktyczny cel projektowanej nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa w części dotyczącej Strategicznej Sieci Bezpieczeństwa?

Kolejna wątpliwość jaka nasuwa się analizując przepisy projektu KSC to:

Dlaczego regulacje dotyczące OSSB umieszcza się w KSC a nie w ustawie Prawo telekomunikacyjne. W ustawie Prawo telekomunikacyjne (podobnie ma być w ustawie Prawo komunikacji elektronicznej) regulowane są prawie wszystkie aspekty związane z telekomunikacją, w tym funkcjonowanie w dziedzinie telekomunikacji podmiotów nie będących przedsiębiorcami telekomunikacyjnymi?

Utworzenie strategicznej sieci bezpieczeństwa i wyznaczenie operatora tej sieci.

W projekcie zmiany KSC zawarto regulacje umożliwiające utworzenie strategicznej sieci bezpieczeństwa (SSB), którą uruchomi i będzie zarządzał Operator strategicznej sieci bezpieczeństwa. Operatora takiego wyznaczy Prezes Rady Ministrów spośród przedsiębiorców telekomunikacyjnych spełniających określone w ustawie KSC warunki.

Podkreślić w tym miejscu należy, że Operator ten będzie przedsiębiorcą telekomunikacyjnym prowadzącym działalność na zasadach określonych w ustawie Prawo telekomunikacyjne (Pt) oraz dodatkowo na podstawie KSC będzie mógł świadczyć usługi na zasadach preferencyjnych praktycznie wszystkim podmiotom będących we właściwościach organów administracji publicznej.

Praktycznie każdy organ administracji publicznej, prawie każda instytucja podległa tym organom albo przez nie nadzorowana realizuje zadania z zakresu ochrony bezpieczeństwa i porządku publicznego, bezpieczeństwa i obronności państwa, ochrony granicy państwa, ochrony ludności i obrony cywilnej lub zarządzania kryzysowego. Oznaczać to może, że każdy z tych podmiotów może być lub będzie abonentem OSSB.

Ponadto Prezes Rady Ministrów może zobowiązać OSSB do świadczenia usług:

właścicielom i posiadaczom obiektów, instalacji lub urządzeń infrastruktury krytycznej, (wykaz tych podmiotów jest niejawny, dlatego nie ma możliwości wskazać, ile jest takich podmiotów),
przedsiębiorcom, o szczególnym znaczeniu gospodarczo-obronnym – aktualnie jest to ponad 200 bardzo dużych przedsiębiorstw.

Świadczenie usług telekomunikacyjnych w ramach eksploatacji SSB, mocą znowelizowanej KSC, wyłączone będzie spod ustawy Prawo zamówień publicznych (PZP). Każdy inny przedsiębiorca telekomunikacyjny chcący zawrzeć umowę na świadczenie usług z podmiotom administracji publicznej będzie musiał spełniać wymogi określone w ustawie PZP.

Dostęp do infrastruktury telekomunikacyjnej

Dodatkowym udogodnieniem dla OSSB, stworzonym przez nowelizowaną ustawę KSC, jest ułatwienie dostępu do infrastruktury zarówno będącej we właściwości innych przedsiębiorców telekomunikacyjnych jak i należących do podmiotów administracji rządowej lub samorządowej. Kolejnym udogodnieniem dla OSSB będzie prawo pierwokupu sieci telekomunikacyjnych będących w posiadaniu administracji samorządowej np. będących w posiadaniu gmin lub regionalne sieci szerokopasmowe.

Co z tego może wynikać dla przedsiębiorcy telekomunikacyjnego?

Jaki wpływ na jego biznes będzie miało wyznaczenie i prowadzenie działalności Operatora Strategicznej Sieci Bezpieczeństwa na zasadach określonych w projekcie KSC w brzmieniu zaproponowanym 12.10.2021 r?

Można przewidzieć, z prawdopodobieństwem graniczącym z pewnością, że po wejściu w życie nowelizacji KSC większość podmiotów rządowych i samorządowych rozwiąże umowy z przedsiębiorcami aktualnie świadczącymi im usługi lub nie przedłuży kończących się umów, aby skorzystać z usług OSSB.

Szczególnie dotkliwie to może się odbić na działalności tych przedsiębiorców, którzy świadczą usługi na terenach wiejskich. Głównym źródłem dochodu w takich przypadkach są usługi świadczone podmiotom administracji publicznej t.j. urzędowi gminy, szkołom, przedszkolom, podmiotom podległym lub nadzorowanym przez gminę, przedsiębiorcom, w których gmina jest jedynym lub większościowym udziałowcem itp. Ponadto przedsiębiorca taki świadczy usługi na rzecz mieszkańców gminy. Jednak po utracie możliwości świadczenia usług na rzecz podmiotów gminnych opłacalność świadczenia usług może spaść do zera w niektórych przypadkach działalność taka może przynosić straty.

Skutki powyższego: urząd gminy i podmioty gminne będą miały zapewnione usługi telekomunikacyjne przez OSSB, natomiast, mieszkańcy gminy mogą zostać pozbawieni dostępu do usług telekomunikacyjnych. Przedsiębiorca telekomunikacyjny, dla którego zasadniczym źródłem dochodu aktualnie jest współpraca z podmiotami samorządowymi, może mieć problemy z „utrzymaniem się na rynku”. Prawdopodobnie ten obszar zostanie zagospodarowany przez przedsiębiorcę telekomunikacyjnego wyznaczonego do pełnienia funkcji OSSB ale już poza eksploatacją SSB.

W podobnej lub w jeszcze bardziej niekorzystnej sytuacji mogą się znaleźć przedsiębiorcy świadczący usługi urzędom obsługującym organy administracji rządowej, przedsiębiorcom posiadającym infrastrukturę zaliczoną do krajowej infrastruktury krytycznej, przedsiębiorcom o szczególnym znaczeniu gospodarczo obronnym. Utrata możliwości świadczenia usług tym podmiotom może skutkować utratą dochodów a tym samym przyczynić się do likwidacji przedsiębiorców telekomunikacyjnych.

Odrębnym zagadnieniem jest ocena wpływu funkcjonowania OSSB na regulację rynku telekomunikacyjnego, ale to zagadnienie polecam specjalistom zajmującym się takimi analizami. Powstanie OSSB ponad wszelką wątpliwość wpłynie na rynek telekomunikacyjny, szczególnie na funkcjonowanie mikro, małych i średnich przedsiębiorców telekomunikacyjnych przede wszystkim na tych, którzy swoją dzielność opierają na świadczeniu usług podmiotom administracji rządowej lub samorządowej.