Nie minął jeszcze czas na wdrożenie UKSC, a na horyzoncie czai się kolejna regulacja z obszaru bezpieczeństwa, która powinna zainteresować przedsiębiorców telekomunikacyjnych. Mowa o ustawie o zarządzaniu kryzysowym.
Dotychczas ustawa ta dla ISP sektora MŚP była trochę jak yeti – każdy słyszał, ale nie koniecznie miał z nią styczność. Kryteria pozwalające wyodrębnić obiekty, instalacje, urządzenia i usługi wchodzące w skład systemów infrastruktury krytycznej, były dookreślane w Narodowym Programie Ochrony Infrastruktury Krytycznej przyjmowaną przez Radę Ministrów. Wykaz infrastruktury krytycznej sporządzał dotychczas Dyrektor Rządowego Centrum Bezpieczeństwa oraz – jeśli jakieś obiekty, instalacje, urządzenia bądź usługi zostały ujęte w wykazie – informował ich właścicieli i posiadaczy o tym fakcie. Z tego co nam wiadomo, sieci łączności publicznej należące do telekomów sektora ISP nie były szeroko ujmowane w takim wykazie.
Może się to zmienić za sprawą nowelizacji ustawy, która wejdzie w życie 4 lipca 2026 roku. Nowelizacja ta wdraża do polskich przepisów wymogi dyrektywy CER (skrót od: Critical Entities Resilience), a mówiąc precyzyjniej – dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE. Jeśli komuś numer dyrektywy 2022/2557 kojarzy się z dyrektywą NIS 2 – to skojarzenie jest trafne. Dyrektywa NIS 2 otrzymała numer 2022/2555 – są to akty prawne (mówiąc kolokwialnie) z jednego worka o nazwie „bezpieczeństwo” przyjęte w tym samym czasie.
Co ważnego dla ISP wynika z nowelizacji? Dookreślone są zasady jakimi powinna kierować się Rada Ministrów określając (w drodze uchwały) kryteria pozwalające Dyrektorowi RCB zidentyfikować infrastrukturę krytyczną. Rada Ministrów powinna uwzględnić sektory lub podsektory określone w załączniku do ustawy oraz znaczenie obiektu dla realizacji interesów państwa, funkcjonowania przedsiębiorstw, zaspokajania potrzeb obywateli, w tym potrzeb o charakterze lokalnym, oraz zapewnienia świadczenia usług kluczowych. Owy załącznik do ustawy… jest uderzająco podobny do tego, który znajdziemy w znowelizowanej ustawie o krajowym systemie cyberbezpieczństwa. W załączniku znalazł się sektor infrastruktury cyfrowej, w którym wymienieni zostali m.in. przedsiębiorcy komunikacji elektronicznej, dostawcy punktu wymiany ruchu internetowego czy dostawcy usług DNS (wyłączając operatorów głównych serwerów nazw).
Pojawia się również wykaz podmiotów krytycznych. Może do niego zostać wpisany podmiot, który (1) prowadzi działalność w sektorze lub podsektorze, o którym mowa w załączniku do ustawy (a jest w nim podsektor komunikacji elektronicznej); (2) świadczy co najmniej jedną usługę kluczową; (3) posiada infrastrukturę krytyczną na terytorium Rzeczypospolitej Polskiej, a (4) incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej. Wykaz usług kluczowych w podziale na sektory, podsektory, jak również kategorie podmiotów oraz progi istotności skutku zakłócającego dla świadczenia usług kluczowych ma określać odrębne rozporządzenie Rady Ministrów – które nota bene było konsultowane publicznie na przełomie maja i czerwca 2026 roku[1]. W projekcie tego rozporządzenia jako usługę kluczową zidentyfikowano m.in. świadczenie usług telekomunikacyjnych. Próg istotności skutku zakłócającego dla świadczenia takiej usługi kluczowej określono dość niefortunnie (ponieważ zbyt ogólnie) jako podmiot będący przedsiębiorcą telekomunikacyjnym.
Jeśli projektodawca na dalszym etapie legislacji nie wycofa się z pomysłu tak ogólnego określenia progu istotności skutku zakłócającego dla świadczenia usługi kluczowej, to otworzy się prosta droga do uznawania sieci lokalnych ISP za infrastrukturę krytyczną, a samych ISP – za podmioty krytyczne. Jak się pewnie domyślacie, kwalifikacja kogoś jako podmiotu krytycznego będzie się wiązać z dalszymi obowiązkami dotyczącymi bezpieczeństwa takiej infrastruktury. Zanim jednak rzucimy się do ich omawiania, poczekajmy na ostateczną treść rozporządzenia Rady Ministrów – w głównej mierze to od niego będzie zależeć czy lokalnych ISP będzie można wrzucić do „worka” podmiotów krytycznych czy jednak kryteria będą bardziej zaostrzone.
[1] https://legislacja.gov.pl/projekt/12410803/katalog/13206418#13206418
