Interpelacja nr 5819
Interpelacja w sprawie listy dostawców wysokiego ryzyka
Zgłaszający:
•
Adresat:
Cyfryzacja i Technologie (100%)
Treść wystąpienia poselskiego
Interpelacja w sprawie listy dostawców wysokiego ryzyka
Interpelacja nr 5819
do ministra cyfryzacji
w sprawie listy dostawców wysokiego ryzyka
Zgłaszający: Jarosław Krajewski, Bartosz Józef Kownacki, Wojciech Michał Zubowski
Data wpływu: 25-10-2024
Szanowny Panie Ministrze,
w związku z projektem nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) zwracam się z prośbą o przedstawienie informacji dotyczących statusu prac nad listą dostawców wysokiego ryzyka (tzw. DWR).
W ostatnim czasie kilka państw Unii Europejskiej (np. Niemcy) decyduje się na wykluczenie sprzętu pochodzącego od azjatyckich, głównie chińskich, dostawców, w tym komponentów potrzebnych do budowy sieci 5G. Dyskusja na temat ewentualnych zagrożeń widoczna jest w całej UE, również w Polsce trwa debata nad wprowadzeniem rozwiązań dotyczących dostawców wysokiego ryzyka. Powyższe ma na celu niwelowanie zbyt daleko idących zależności gospodarczych i politycznych m.in. od Chin czy innych państw azjatyckich oraz poprawę bezpieczeństwa w zakresie krajowych sieci telekomunikacyjnych i infrastruktury krytycznej.
W związku z powyższym zwracam się z uprzejmą prośbą o odpowiedzi na przedstawione pytania:
Jakie konkretne podmioty, według wiedzy Pana Ministra, powinny zostać uwzględnione jako dostawcy wysokiego ryzyka?
Jakie opracowania, ekspertyzy i analizy w zakresie dostawców wysokiego ryzyka, zwłaszcza w kontekście krajowego rynku telekomunikacyjnego, zostały zamówione przez Ministerstwo Cyfryzacji i jednostki nadzorowane w 2024 roku?
Ile podmiotów powinno zostać uwzględnionych jako dostawcy wysokiego ryzyka?
Jakie do tej pory przeprowadzono w Ministerstwie Cyfryzacji analizy, jakie wypracowano rekomendacje, jaki jest status prac na listą dostawców wysokiego ryzyka?
Proszę również o udzielenia wyjaśnień, czy perspektywa wskazania jako DWR podmiotów dostarczających sprzęt i oprogramowanie dla krajowych przedsiębiorców telekomunikacyjnych, zwłaszcza dostawców z rynków azjatyckich, badana była w kontekście możliwości zastąpienia ich przez podmioty krajowe lub z Europejskiego Obszaru Gospodarczego (EOG) i w jakim zakresie.
Z poważaniem
Interpelacja nr 5819
do ministra cyfryzacji
w sprawie listy dostawców wysokiego ryzyka
Zgłaszający: Jarosław Krajewski, Bartosz Józef Kownacki, Wojciech Michał Zubowski
Data wpływu: 25-10-2024
Szanowny Panie Ministrze,
w związku z projektem nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) zwracam się z prośbą o przedstawienie informacji dotyczących statusu prac nad listą dostawców wysokiego ryzyka (tzw. DWR).
W ostatnim czasie kilka państw Unii Europejskiej (np. Niemcy) decyduje się na wykluczenie sprzętu pochodzącego od azjatyckich, głównie chińskich, dostawców, w tym komponentów potrzebnych do budowy sieci 5G. Dyskusja na temat ewentualnych zagrożeń widoczna jest w całej UE, również w Polsce trwa debata nad wprowadzeniem rozwiązań dotyczących dostawców wysokiego ryzyka. Powyższe ma na celu niwelowanie zbyt daleko idących zależności gospodarczych i politycznych m.in. od Chin czy innych państw azjatyckich oraz poprawę bezpieczeństwa w zakresie krajowych sieci telekomunikacyjnych i infrastruktury krytycznej.
W związku z powyższym zwracam się z uprzejmą prośbą o odpowiedzi na przedstawione pytania:
Jakie konkretne podmioty, według wiedzy Pana Ministra, powinny zostać uwzględnione jako dostawcy wysokiego ryzyka?
Jakie opracowania, ekspertyzy i analizy w zakresie dostawców wysokiego ryzyka, zwłaszcza w kontekście krajowego rynku telekomunikacyjnego, zostały zamówione przez Ministerstwo Cyfryzacji i jednostki nadzorowane w 2024 roku?
Ile podmiotów powinno zostać uwzględnionych jako dostawcy wysokiego ryzyka?
Jakie do tej pory przeprowadzono w Ministerstwie Cyfryzacji analizy, jakie wypracowano rekomendacje, jaki jest status prac na listą dostawców wysokiego ryzyka?
Proszę również o udzielenia wyjaśnień, czy perspektywa wskazania jako DWR podmiotów dostarczających sprzęt i oprogramowanie dla krajowych przedsiębiorców telekomunikacyjnych, zwłaszcza dostawców z rynków azjatyckich, badana była w kontekście możliwości zastąpienia ich przez podmioty krajowe lub z Europejskiego Obszaru Gospodarczego (EOG) i w jakim zakresie.
Z poważaniem
Odpowiedź urzędowa
Sekretarz stanu Paweł Olszewski
Audyt odpowiedzi: Wskaźnik lania wody & konkretności
Bardzo konkretna
Automatyczna analiza lingwistyczno-statystyczna pisma resortu
Lanie wody
15%
Konkretność
85%
Odpowiedź wysoce rzeczowa – zawiera liczne dane twarde, kwoty, daty lub bezpośrednie odniesienie do zadanych pytań.
Twarde liczby / kwoty
0 kwot, 0 %
Precyzyjne daty
1
Odpowiedź na punkty
✓ Tak (Ad 1, Pkt...)
Gęstość faktów
3.9 / 1k zn.
- Wymienia precyzyjne daty lub terminy (1)
- Resort odnosi się punkt po punkcie do pytań posła
Urzędowe załączniki i odpowiedzi:
Pełna treść wyekstrahowana z załącznika PDF (odpowiedź urzędowa)
4880 znaków
telefon +48 22 245 54 42 ul. Królewska 27
adres email sekretariat.BM@cyfra.gov.pl 00-060 Warszawa
www.gov.pl/web/cyfryzacja
Sekretarz Stanu
Paweł Olszewski
BM.WP.057.128.2024
Warszawa, 25 listopada 2024 r.
Szanowny Pan
Szymon Hołownia
Marszałek Sejmu RP
Dot. pisma z 29 października br. Posłów na Sejm RP Panów Jarosława Krajewskiego,
Bartosza Józefa Kownackiego oraz Wojciecha Michała Zubowskiego w sprawie listy
dostawców wysokiego ryzyka (interpelacja nr 5819)
Szanowny Panie Marszałku,
poniżej przedstawiam odpowiedzi na zadane przez Posłów pytania.
Ad 1) Jakie konkretne podmioty, według wiedzy Pana Ministra, powinny zostać
uwzględnione jako dostawcy wysokiego ryzyka?
Dostawca wysokiego ryzyka będzie mógł zostać zidentyfikowany dopiero w drodze
szczególnej procedury administracyjnej, uwzględniającej opinię Kolegium do Spraw
Cyberbezpieczeństwa. W tej chwili brakuje podstawy prawnej do przeprowadzenia tego
rodzaju postępowania, stąd nie jest możliwe, aby prawnie identyfikować takiego
dostawcę. Wszelkie deklaracje w tym zakresie stanowiłyby niedopuszczalny przedsąd.
Ad 2) Jakie opracowania, ekspertyzy i analizy w zakresie dostawców wysokiego ryzyka,
zwłaszcza w kontekście krajowego rynku telekomunikacyjnego zostały zamówione przez
Ministerstwo Cyfryzacji i jednostki nadzorowane w 2024 roku?
W 2024 r. Ministerstwo Cyfryzacji nie zamawiało opracowań, ekspertyz i analiz w zakresie
dostawców wysokiego ryzyka, zwłaszcza w kontekście krajowego rynku
telekomunikacyjnego.
Ministerstwo Cyfryzacji zwróciło się z tym pytaniem do Naukowej i Akademickiej Sieci
Komputerowej – Państwowego Instytutu Badawczego skąd otrzymało informację, że
podmiot ten w 2024 r. nie wykonywał ani nie zlecał wykonania jakichkolwiek opracowań,
ekspertyz i analiz dotyczących dostawców wysokiego ryzyka.
Ad 3) Ile podmiotów powinno zostać uwzględnionych jako dostawcy wysokiego ryzyka?
Nie należy rozpatrywać kwestii dostawcy wysokiego ryzyka w ten sposób, że jakiś
dostawca musi zostać uznany za dostawcę wysokiego ryzyka, aby wypełnić konkretny
miernik. Ta instytucja prawna nie została stworzona z myślą o wszczęciu takiej procedury
wobec konkretnych podmiotów. Ma być ona stosowana w razie wystąpienia potrzeby – to
znaczy w sytuacji, gdy istnieje prawdopodobieństwo, że jest taki dostawca sprzętu lub
oprogramowania, który zagraża bezpieczeństwu państwa lub bezpieczeństwu i
porządkowi publicznemu. Być może ta instytucja prawna nie zostanie nigdy wykorzystana
w praktyce.
Ad 4) Jakie do tej pory przeprowadzono w Ministerstwie Cyfryzacji analizy, jakie
wypracowano rekomendacje, jaki jest status prac na listą dostawców wysokiego ryzyka?
Proszę również o udzielenia wyjaśnień czy perspektywa wskazania na DWR podmiotów
dostarczających sprzęt i oprogramowanie dla krajowych przedsiębiorców
telekomunikacyjnych, zwłaszcza dostawców z rynków azjatyckich, badana była w
kontekście możliwości zastąpienia ich przez podmioty krajowe lub z Europejskiego
Obszaru Gospodarczego (EOG) i w jakim zakresie.
-- 1 of 2 --
telefon +48 22 245 54 42 ul. Królewska 27
adres email sekretariat.BM@cyfra.gov.pl 00-060 Warszawa
www.gov.pl/web/cyfryzacja
Ministerstwo Cyfryzacji przeprowadziło analizy wdrożenia toolboxa 5G i instytucji
dostawcy wysokiego ryzyka w innych państwach Europy. Wyniki tej analizy dostępne są
publicznie w Załączniku nr 1 do Oceny Skutków Regulacji projektu ustawy o zmianie
ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
Załącznik ten nosi nazwę „Dostawca wysokiego ryzyka (high risk vendor) i bezpieczeństwo
sieci 5G w Europie”.
Przeprowadzono również analizy prowadzące do zidentyfikowania europejskich
i krajowych dostawców sprzętu dla sieci 5G bądź dostawców spoza Europy. Należy mieć
jednak na uwadze, że jednoznaczna i pełna identyfikacja jest trudna do przeprowadzenia
z uwagi na to, że sprzęt dla sieci 5G to zaawansowane technicznie urządzenia składające
się z wielu elementów dostarczanych w sposób niezależny od siebie.
Powyższe analizy prowadzą do wniosku, że Polska jest jednym z ostatnich krajów, które
nie wdrożyły do prawa krajowego toolboxa 5G i nie ustanowiły procedury dostawcy
wysokiego ryzyka. Jednocześnie wielość podmiotów dostarczających sprzęt i rozwiązania
sieciowe, stacje bazowe 5G i wspierających rozwój tych sieci potwierdza, że instytucja ta
nie jest skierowana przeciwko konkretnemu dostawcy, a dotyczyć może zarówno
krajowych jak i zagranicznych podmiotów bez względu na miejsce siedziby.
Powyższa identyfikacja dostawców na rynku krajowym i zagranicznym pozwala również
na stwierdzenie, że możliwe jest zastąpienie produktów, usług czy procesów ICT
w przypadku gdy któryś dostawca zostanie uznany za dostawcę wysokiego ryzyka.
Z wyrazami szacunku
Paweł Olszewski
Sekretarz Stanu
/dokument podpisany elektronicznie/
Do wiadomości:
Kancelaria Prezesa Rady Ministrów - Departament Spraw Parlamentarnych
-- 2 of 2 --
adres email sekretariat.BM@cyfra.gov.pl 00-060 Warszawa
www.gov.pl/web/cyfryzacja
Sekretarz Stanu
Paweł Olszewski
BM.WP.057.128.2024
Warszawa, 25 listopada 2024 r.
Szanowny Pan
Szymon Hołownia
Marszałek Sejmu RP
Dot. pisma z 29 października br. Posłów na Sejm RP Panów Jarosława Krajewskiego,
Bartosza Józefa Kownackiego oraz Wojciecha Michała Zubowskiego w sprawie listy
dostawców wysokiego ryzyka (interpelacja nr 5819)
Szanowny Panie Marszałku,
poniżej przedstawiam odpowiedzi na zadane przez Posłów pytania.
Ad 1) Jakie konkretne podmioty, według wiedzy Pana Ministra, powinny zostać
uwzględnione jako dostawcy wysokiego ryzyka?
Dostawca wysokiego ryzyka będzie mógł zostać zidentyfikowany dopiero w drodze
szczególnej procedury administracyjnej, uwzględniającej opinię Kolegium do Spraw
Cyberbezpieczeństwa. W tej chwili brakuje podstawy prawnej do przeprowadzenia tego
rodzaju postępowania, stąd nie jest możliwe, aby prawnie identyfikować takiego
dostawcę. Wszelkie deklaracje w tym zakresie stanowiłyby niedopuszczalny przedsąd.
Ad 2) Jakie opracowania, ekspertyzy i analizy w zakresie dostawców wysokiego ryzyka,
zwłaszcza w kontekście krajowego rynku telekomunikacyjnego zostały zamówione przez
Ministerstwo Cyfryzacji i jednostki nadzorowane w 2024 roku?
W 2024 r. Ministerstwo Cyfryzacji nie zamawiało opracowań, ekspertyz i analiz w zakresie
dostawców wysokiego ryzyka, zwłaszcza w kontekście krajowego rynku
telekomunikacyjnego.
Ministerstwo Cyfryzacji zwróciło się z tym pytaniem do Naukowej i Akademickiej Sieci
Komputerowej – Państwowego Instytutu Badawczego skąd otrzymało informację, że
podmiot ten w 2024 r. nie wykonywał ani nie zlecał wykonania jakichkolwiek opracowań,
ekspertyz i analiz dotyczących dostawców wysokiego ryzyka.
Ad 3) Ile podmiotów powinno zostać uwzględnionych jako dostawcy wysokiego ryzyka?
Nie należy rozpatrywać kwestii dostawcy wysokiego ryzyka w ten sposób, że jakiś
dostawca musi zostać uznany za dostawcę wysokiego ryzyka, aby wypełnić konkretny
miernik. Ta instytucja prawna nie została stworzona z myślą o wszczęciu takiej procedury
wobec konkretnych podmiotów. Ma być ona stosowana w razie wystąpienia potrzeby – to
znaczy w sytuacji, gdy istnieje prawdopodobieństwo, że jest taki dostawca sprzętu lub
oprogramowania, który zagraża bezpieczeństwu państwa lub bezpieczeństwu i
porządkowi publicznemu. Być może ta instytucja prawna nie zostanie nigdy wykorzystana
w praktyce.
Ad 4) Jakie do tej pory przeprowadzono w Ministerstwie Cyfryzacji analizy, jakie
wypracowano rekomendacje, jaki jest status prac na listą dostawców wysokiego ryzyka?
Proszę również o udzielenia wyjaśnień czy perspektywa wskazania na DWR podmiotów
dostarczających sprzęt i oprogramowanie dla krajowych przedsiębiorców
telekomunikacyjnych, zwłaszcza dostawców z rynków azjatyckich, badana była w
kontekście możliwości zastąpienia ich przez podmioty krajowe lub z Europejskiego
Obszaru Gospodarczego (EOG) i w jakim zakresie.
-- 1 of 2 --
telefon +48 22 245 54 42 ul. Królewska 27
adres email sekretariat.BM@cyfra.gov.pl 00-060 Warszawa
www.gov.pl/web/cyfryzacja
Ministerstwo Cyfryzacji przeprowadziło analizy wdrożenia toolboxa 5G i instytucji
dostawcy wysokiego ryzyka w innych państwach Europy. Wyniki tej analizy dostępne są
publicznie w Załączniku nr 1 do Oceny Skutków Regulacji projektu ustawy o zmianie
ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
Załącznik ten nosi nazwę „Dostawca wysokiego ryzyka (high risk vendor) i bezpieczeństwo
sieci 5G w Europie”.
Przeprowadzono również analizy prowadzące do zidentyfikowania europejskich
i krajowych dostawców sprzętu dla sieci 5G bądź dostawców spoza Europy. Należy mieć
jednak na uwadze, że jednoznaczna i pełna identyfikacja jest trudna do przeprowadzenia
z uwagi na to, że sprzęt dla sieci 5G to zaawansowane technicznie urządzenia składające
się z wielu elementów dostarczanych w sposób niezależny od siebie.
Powyższe analizy prowadzą do wniosku, że Polska jest jednym z ostatnich krajów, które
nie wdrożyły do prawa krajowego toolboxa 5G i nie ustanowiły procedury dostawcy
wysokiego ryzyka. Jednocześnie wielość podmiotów dostarczających sprzęt i rozwiązania
sieciowe, stacje bazowe 5G i wspierających rozwój tych sieci potwierdza, że instytucja ta
nie jest skierowana przeciwko konkretnemu dostawcy, a dotyczyć może zarówno
krajowych jak i zagranicznych podmiotów bez względu na miejsce siedziby.
Powyższa identyfikacja dostawców na rynku krajowym i zagranicznym pozwala również
na stwierdzenie, że możliwe jest zastąpienie produktów, usług czy procesów ICT
w przypadku gdy któryś dostawca zostanie uznany za dostawcę wysokiego ryzyka.
Z wyrazami szacunku
Paweł Olszewski
Sekretarz Stanu
/dokument podpisany elektronicznie/
Do wiadomości:
Kancelaria Prezesa Rady Ministrów - Departament Spraw Parlamentarnych
-- 2 of 2 --