Ministerstwo Cyfryzacji (MC) opublikowało przypomnienie dotyczące procedury uznawania dostawców sprzętu, oprogramowania lub procesów ICT za dostawców wysokiego ryzyka (ang. High-Risk Vendor, HRV) w ramach ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Jak podkreślono, w Polsce wciąż nie istnieje lista HRV, ponieważ do tej pory nie wszczęto żadnego postępowania ani nie wydano decyzji w tym zakresie.
„Obecnie w Polsce nie ma listy dostawców wysokiego ryzyka (HRV) – do tej pory nie wszczęto żadnego postępowania ani nie wydano decyzji o uznaniu jakiegokolwiek dostawcy za HRV”, podkreśla resort Cyfryzacji w komunikacie.
Zgodnie z ustawą, uznanie dostawcy za HRV następuje wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji. Po wszczęciu postępowania minister zawiadamia dostawcę oraz publikuje informację w BIP. Następnie zasięga opinii Kolegium ds. Cyberbezpieczeństwa, które ma trzy miesiące na przygotowanie stanowiska. Przed wydaniem decyzji zasięga opinii Kolegium do Spraw Cyberbezpieczeństwa, które ma trzy miesiące na jej przygotowanie.
W ciągu 14 dni od publikacji zawiadomienia organizacje społeczne mogą zgłaszać swoje uwagi. Na ich podstawie minister przygotowuje raport, który trafia do BIP przed wydaniem decyzji.
Decyzja o uznaniu za HRV nie wyklucza firmy z rynku – obejmuje jedynie wskazane w decyzji typy produktów, usług lub procesów ICT. Po jej ogłoszeniu podmioty objęte ustawą nie mogą wprowadzać tych produktów do użytkowania, a już stosowane muszą zostać wycofane w terminie do siedmiu lat (lub czterech lat w przypadku określonych przedsiębiorców komunikacji elektronicznej). Muszą również wycofać je z użytkowania w terminie do siedmiu lat. W przypadku określonych przedsiębiorców komunikacji elektronicznej termin ten wynosi cztery lata.
Ministerstwo przypomina również, że mimo braku listy HRV, ocena ryzyka pozostaje obowiązkiem podmiotów kupujących produkty i usługi ICT. Pomocne mogą tu być rekomendacje Pełnomocnika Rządu ds. Cyberbezpieczeństwa, wydawane na podstawie art. 33 i 67a ustawy o krajowym systemie cyberbezpieczeństwa. Mogą one wskazywać podatności, zagrożenia lub rozwiązania technologiczne, których stosowanie może negatywnie wpływać na poziom bezpieczeństwa. Ministerstwo Cyfryzacji zwraca uwagę, że zgodnie z art. 226 ust. 1 pkt 17 Prawa zamówień publicznych, zamawiający jest zobowiązany odrzucić ofertę dotyczącą produktów ICT, usług ICT lub procesów ICT objętych rekomendacjami wydanymi w trybie art. 33 ustawy o krajowym systemie cyberbezpieczeństwa.
Z rekomendacjami Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa można zapoznać się na stronie Ministra Cyfryzacji albo pod adresem Wykaz Rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa - Otwarte Dane.
