Dostawcy wysokiego ryzyka (DWR) w ustawie o krajowym systemie cyberbezpieczeństwa

Instytucja dostawcy wysokiego ryzyka (DWR) to jeden z kluczowych i najbardziej dyskutowanych mechanizmów wprowadzonych w ramach nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Regulacja ta ma na celu wzmocnienie odporności państwa oraz podmiotów kluczowych i ważnych na zagrożenia hybrydowe i cyberataki, ze szczególnym uwzględnieniem bezpieczeństwa łańcucha dostaw. Nowe wymogi prawne i proceduralne stały się dla podmiotów podlegających pod UKSC bezpośrednim wyzwaniem operacyjnym, które wymaga odpowiedniego zaadresowania w wewnętrznych procesach oceny ryzyka dostawców.

Jak działa mechanizm uznania za DWR?

Uznanie danego podmiotu za dostawcę wysokiego ryzyka nie następuje automatycznie na podstawie kryteriów formalnych. Jest to indywidualny proces decyzyjny:

1. Decyzja administracyjna – uznanie podmiotu za DWR następuje w drodze decyzji administracyjnej wydawanej przez Ministra Cyfryzacji, po uzyskaniu opinii Kolegium ds. Cyberbezpieczeńtwa.
2. Ocena ryzyka – analizie podlega nie tylko warstwa techniczna (podatność sprzętu/oprogramowania), ale również czynniki pozatechniczne, takie jak stopień zależności dostawcy od  państw spoza UE/NATO czy potencjalny wpływ na bezpieczeństwo narodowe.
3. Skutki dla podmiotów KSC – w przypadku wydania decyzji o uznaniu danego podmiotu za DWR, podmioty kluczowe i ważne zostają objęte zakazem nabywania określonych produktów, usług lub procesów ICT od tego dostawcy – w zakresie wskazanym w decyzji.
4. Obowiązek wycofania sprzętu – sprzęt i oprogramowanie pochodzące od DWR będą musiały zostać wycofane z infrastruktury – co do zasady w terminie do 7 lat od dnia ogłoszenia decyzji, a w odniesieniu do funkcji krytycznych dla bezpieczeństwa – w terminie do 4 lat.

Wyzwania sektorowe: Energetyka i infrastruktura OT

Wpływ regulacji DWR na poszczególne gałęzie gospodarki będzie zróżnicowany. Sektorem o szczególnej wrażliwości jest energetyka, stanowiąca trzon infrastruktury krytycznej państwa. Charakteryzuje się ona wysokim poziomem skomplikowania technologicznego oraz rozproszoną architekturą technologii operacyjnych (OT).

W przypadku sektora energetycznego ewentualna decyzja o wykluczeniu dostawcy nie sprowadza się wyłącznie do  oprogramowania IT. Wymogi weryfikacji łańcucha dostaw mogą potencjalnie bezpośrednio dotknąć  specjalistycznych komponentów automatyki przemysłowej oraz urządzeń wykonawczych, w tym m.in.:

1. Inwerterów i falowników fotowoltaicznych oraz sterowników instalowanych w magazynach energii,
2. Elementów sieci integralnych (Smart Grid/AMI), w tym modułów komunikacyjnych stosowanych w licznikach energii,
3. Sterowników PLC oraz systemów nadzoru SCADA odpowiadających za ciągłość przesyłu i dystrybucji energii
4. Automatyki stacyjnej i systemów sterowania w obiektach wytwórczych (np. elektrowniach wiatrowych, fotowoltaicznych i gazowych).

Należy przy tym podkreślić, że na dzień dzisiejszy żadna decyzja o uznaniu podmiotu za dostawcę wysokiego ryzyka, w tym w obszarze dostawców technologii dla sektora energetycznego, nie została jeszcze wydana.

Co to oznacza dla organizacji?

Przedsiębiorstwa objęte reżimem KSC (ze szczególnym uwzględnieniem sektora energetycznego i przemysłowego) powinny podjąć działania takie jak:

1. Inwentaryzacja zasobów ICT/OT – dokładny przegląd posiadanego sprzętu i oprogramowania pod kątem pochodzenia komponentów oraz identyfikacja dostawców kluczowych elementów infrastruktury.
2. Przegląd umów i procesów zakupowych – wdrożenie odpowiednich klauzul kontraktowych np. w zakresie odpowiedzialności za zmianę statusu dostawcy, wsparcia technicznego czy prawa do wypowiedzenia umowy bez negatywnych konsekwencji finansowych
3. Zarządzenia ryzykiem łańcucha dostaw – uwzględnienie kryteriów związanych z DWR i bezpieczeństwem technologicznym w procedurach Vendor Due Diligence.

Rekomendowane jest również bieżące monitorowanie nie tylko stanowisk polskich organów nadzorczych, lecz również ogólnych tendencji regulacyjnych na poziomie Unii Europejskiej – w tym wypowiedzi i rekomendacji Komisji Europejskiej – w odniesieniu do poszczególnych kategorii sprzętu i technologii ICT, a także podejścia organów nadzorczych pozostałych państw członkowskich UE.

W praktyce oznacza to konieczność połączenia kompetencji prawnych, zakupowych, cyberbezpieczeństwa oraz utrzymania infrastruktury OT, tak aby decyzje regulatora dotyczące DWR nie zaskoczyły organizacji i nie przełożyły się na niekontrolowane przestoje lub wzrost kosztów operacyjnych.