Ta regulacja należy do najbardziej krytykowanych w branży telekomunikacyjnej projektów. Jest zarazem kluczem do rozwoju w Polsce sieci komórkowej piątej generacji (5G). Bez nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) nie ruszy bowiem aukcja najważniejszych częstotliwości na nową sieć (to tzw. pasmo C).
Siódma wersja wciąż nieoficjalna
Tymczasem prace nad KSC ślimaczą się od września 2020 r., kiedy to Ministerstwo Cyfryzacji (już nie istnieje) przedstawiło jej pierwszy projekt. Obecna wersja - datowana na 15 marca 2022 r. - jest już siódmą z kolei i nie została jeszcze oficjalnie opublikowana.
W porównaniu do poprzedniego projektu - z października 2021 r. - obecny przynosi parę zmian. Najważniejsza dotyczy sprzętu, którego operatorzy telekomunikacyjni nie będą mogli kupować, a już posiadanego będą musieli się pozbyć, jeśli jego dostawca zostanie przez ministra właściwego do spraw informatyzacji (obecnie jest to premier) uznany za dostawcę wysokiego ryzyka (HRV), stanowiącego "poważne zagrożenie dla obronności, bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego, lub życia i zdrowia ludzi". Taki sprzęt – i to się nie zmienia – trzeba będzie w ciągu siedmiu lat wycofać z użytku, czyli np. usunąć z sieci telekomunikacyjnych. A jeśli wchodzi on w skład infrastruktury krytycznej, to na tę operację będzie tylko pięć lat.
Najnowszy projekt przynosi jednak istotną zmianę. Zapisano w nim, że do czasu wycofania sprzętu – czyli w ciągu tych pięciu-siedmiu lat - dopuszcza się naprawy, modernizację, wymiany poszczególnych elementów lub aktualizację oprogramowania, "jeśli jest to niezbędne dla zapewnienia odpowiedniej jakości i ciągłości świadczonych usług, w szczególności dokonywania niezbędnych napraw awarii lub uszkodzeń".
O taką furtkę zabiegali operatorzy, obawiając się poważnych kłopotów z utrzymaniem sprawności sieci bez możliwości dokonywania napraw lub aktualizacji.
Zapisy dotyczące dostawców wysokiego ryzyka w żadnej z wersji nie precyzują, który producent sprzętu do budowy sieci miałby zostać persona non grata. Zanim premier uzna jakąś firmę za dostawcę wysokiego ryzyka, zasięgnie opinii Kolegium ds. Cyberbezpieczeństwa, któremu sam przewodniczy.
Kolejne kontrowersyjne zapisy
Powszechnie uważa się jednak, że z trzech największych firm – chińskiego Huaweia, szwedzkiego Ericssona i fińskiej Nokii – na celowniku władz jest ta pierwsza. Dlatego projekt nowelizacji nazywano początkowo "lex Huawei" – z czasem ten tytuł stał się mniej adekwatny, bo regulację uzupełniono o kolejne kontrowersyjne zapisy, m.in. dotyczące spółki Polskie 5G.
Najnowszy, marcowy projekt przynosi w kwestii HRV zmianę, którą zapowiadaliśmy już w DGP. Otóż stroną postępowania w tej sprawie będą mogły być także telekomy. Operatorzy wnioskowali o dopuszczenie ich do tej procedury, bo oni poniosą koszty ewentualnej wymiany sprzętu. Obecnie z czterech telekomów mających własne sieci (operatorów infrastrukturalnych) z chińską firmą nie współpracuje tylko Plus.
W 2020 r. Play szacował koszt wymiany sprzętu Huaweia na ok. 900 mln zł. Rzeczywiste kwoty mogą być jednak wyższe. Np. w Stanach Zjednoczonych w 2020 r. Federalna Komisja Łączności (FCC) szacowała, że telekomy będą potrzebowały 1,8 mld dol., by zastąpić chińskie produkty (Huaweia i ZTE) urządzeniami innych dostawców. Ale na początku lutego temu szefowa FCC Jessica Rosenworcel podała w Kongresie kwotę 5,6 mld dol. Przy czym dotyczy to tylko amerykańskich sieci poza obszarami miejskimi, bo tylko dla nich można otrzymać rządową refundację.
Teraz projekt nowelizacji ustawy o KSC przewiduje, że do postępowania w sprawie HRV może przystąpić "przedsiębiorca telekomunikacyjny, który w poprzednim roku obrotowym uzyskał przychód z tytułu prowadzenia działalności telekomunikacyjnej w wysokości co najmniej dwudziestotysięcznej krotności przeciętnego wynagrodzenia w gospodarce narodowej" – czyli firma o obrotach ponad 100 mln zł.
Dodatkowo stwierdzono, że przy ocenie dostawców obowiązkowa będzie analiza jego produktów i usług wykonana przez jeden z Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT). W wersji z października była ona fakultatywna.
Opisane zmiany spełniają wprawdzie postulaty zgłaszane przez branżę telekomunikacyjną wobec poprzedniego projektu – ale uwag pod adresem nowelizacji KSC było znacznie więcej i większość z nich pozostała nieuwzględniona.
Drażliwe kwestie
Drażliwą kwestią są np. przepisy o operatorze strategicznej sieci bezpieczeństwa i wspomnianej już spółce Polskie 5G. Rynek domagał się wyłączenia tych rozdziałów z projektu (nie było ich w pierwszej wersji) i rozpatrywania osobno. Ale nadal stanowią część planowanej ustawy o KSC.
Powołany na mocy nowelizacji operator strategicznej sieci bezpieczeństwa (OSSB) ma świadczyć usługi telekomunikacyjne służbom mundurowym i innym jednostkom sektora publicznego. Do tego zadania premier wyznaczy spółkę Skarbu Państwa – branża spodziewa się, że zostanie wybrana firma Exatel. Ponadto OSSB i Polski Fundusz Rozwoju dostaną po 26 proc. udziałów w innym nowym podmiocie: spółce Polskie 5G, która zostanie operatorem ogólnopolskiej hurtowej sieci 5G w paśmie 700 MHz. Mniejszościowe udziały będą mogły objąć prywatne firmy telekomunikacyjne lub konsorcjum takich firm. Telekomy od początku krytycznie oceniały zasady utworzenia spółki i przyznanie jej częstotliwości bez żadnej procedury przetargowej.
Tę ostatnią sprawę dodatkowo skomplikowała agresja na Ukrainę dokonana przez Rosję, której stronę trzyma Białoruś. Pasmo 700 Mhz przeznaczone dla spółki Polskie 5G jest bowiem zakłócane przez białoruską i rosyjską komunikację wojskową.
Z nieoficjalnych informacji DGP wynika, że wkrótce nowelą KSC ma się zająć Komitet Stały Rady Ministrów. Przez ostatnie dwa miesiące o ustawie było cicho. Wcześniej, w styczniu br. resort cyfryzacji – znajdujący się obecnie w kancelarii premiera – informował, że projekt KSC został pozytywnie zaopiniowany przez Komitet Rady Ministrów do spraw Bezpieczeństwa Narodowego i spraw Obronnych. Jednak warunkiem koniecznym do rozpoczęcia przez Urząd Komunikacji Elektronicznej konsultacji warunków aukcji pasma C na sieć 5G jest akceptacja nowelizacji przynajmniej na poziomie Rady Ministrów.