Ministerstwo Cyfryzacji wdroży listę dostawców wysokiego ryzyka

Ministerstwo Cyfryzacji tłumaczy, jak uznaje dostawców sprzętu i oprogramowania za podmioty wysokiego ryzyka, czyli HRV. Cały mechanizm opiera się na ustawie o krajowym systemie cyberbezpieczeństwa. Chodzi o ochronę państwa przed rozwiązaniami ICT, które mogą być niebezpieczne.

Obecnie w Polsce nie ma listy takich dostawców. Nie wszczęto żadnych postępowań ani nie wydano decyzji.

Procedura uznania dostawcy za HRV

Minister cyfryzacji uznaje dostawcę za wysokiego ryzyka tylko w drodze postępowania administracyjnego. Po starcie procesu minister zawiadamia firmę i publikuje informację w Biuletynie Informacji Publicznej. Potem wchodzi Kolegium do Spraw Cyberbezpieczeństwa. Ich opinia może zająć do trzech miesięcy.

W sprawę mogą wejść organizacje społeczne. Mają na to 14 dni. Na tej podstawie powstaje raport w BIP, który pojawia się przed finałem.

Zakaz sprzętu i terminy wycofania

Decyzja o HRV nie wyrzuca firmy z rynku całkowicie. Obejmuje tylko konkretne produkty, usługi lub procesy ICT wymienione w dokumencie. Wyrok jest natychmiast wykonalny. Trafia do „Monitora Polskiego” oraz BIP Ministerstwa Cyfryzacji.

Podmioty objęte ustawą KSC nie mogą kupować takich produktów. Stary sprzęt trzeba usunąć w ciągu siedmiu lat. Wybrani przedsiębiorcy komunikacji elektronicznej mają na to cztery lata.

Obowiązki podmiotów i rekomendacje

Brak oficjalnej listy nie zwalnia z samodzielnej oceny ryzyka przy zakupach ICT. Organizacje muszą same weryfikować zaufanie do dostawców. Bezpieczeństwo wymaga czujności.

Pomocne są wskazówki Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa na stronie ministerstwa. Prawo zamówień publicznych jest tu jasne. Zamawiający musi odrzucić ofertę z produktami ICT objętymi rekomendacjami z art. 33 ustawy o KSC.

System działa, choć na razie nie ma konkretnych nazwisk.

Źródło: Ministerstwo Cyfryzacji