Rząd nową ustawą chce zapewnić cyberbezpieczeństwo Polski

Wczoraj rząd przyjął projekty dwóch ustaw o dużym znaczeniudla polskiej cyberprzestrzeni. Pierwsza dotyczy krajowego systemucyberbezpieczeństwa, druga wiąże się z kwestią identyfikacjielektronicznej w cyfrowych usługach administracji publicznej. Co ichprzyjęcie będzie oznaczało w rzeczywistości? Jak bowiem możeciesię spodziewać, w treści projektów ustaw znajdziemy sporopobożnych życzeń, a niewiele konkretnych rozwiązań.

W kwestii cyberbezpieczeństwa rząd stawia na centralizację.Projekt ustawy określa organizację krajowego systemucyberbezpieczeństwa, sposób sprawowania nadzoru i kontroliprzestrzegania przepisów ustawy oraz tryb ustanawiania StrategiiCyberbezpieczeństwa Rzeczypospolitej Polskiej. Powstały w tensposób system ma zapewniać bezpieczeństwo informatyczne napoziomie krajowym, w szczególności niezakłócone działaniekluczowych dla administracji i gospodarki usług cyfrowych.Ewentualne incydenty mają spotkać się z efektywną reakcjąwszystkich zainteresowanych podmiotów, koordynowaną w ramachsystemu, który ma być kompletny, transparentny i kompleksowy.

Przez kompletność rozumie siętu ustanowienie systemu we wszystkich kluczowych sektorach –energetycznym, transportowym, zdrowotnym, wodociągowym orazbankowości i infrastruktury rynków finansowych i dostawców usługcyfrowych. Transparentność zapewne dotyczy procesu obieguinformacji i koordynacji działań poszczególnych CSIRT (ZespołówReagowania na Incydenty Bezpieczeństwa Komputerowego). Kompleksowośćobejmuje m.in. zarządzanie ryzykiem, stosowanie skutecznychzabezpieczeń systemów informacyjnych, procedur i mechanizmówzgłaszania i postępowania z incydentami, przeprowadzanie audytówczy powoływanie odpowiedzialnych za koordynację pracowników.

CSIRT odpowiedzialne będą też za zagrożenia o charakterzeponadsektorowym oraz transgranicznym. W tym ostatnim wypadku chodziprzede wszystkim o internetowe platformy handlowe, usługiprzetwarzania w chmurze i wyszukiwarki internetowe. Szczęśliwierząd już zapowiedział, że będą one objęte łagodniejszymreżimem regulacyjnym. W systemie tym mają brać udział teżpodmioty publiczne, zobowiązane do samodzielnej obsługi incydentów,jednak przy zapewnieniu swobody co do realizacji tego obowiązku.

Ustawa przewiduje też włączenie cyberbezpieczeństwa dosfery zarządzania państwem. CSIRT w razie wystąpienia incydentukrytycznego, który może spowodować wystąpienie sytuacjikryzysowej dla bezpieczeństwa lub porządku publicznego, mająinformować o tym Rządowe Centrum Bezpieczeństwa. Do komunikacji wramach współpracy w Unii Europejskiej w tej dziedzinie posłużyzaś Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa.

Projekt ustawy wprowadza również trzy kategorie incydentówcyberbezpieczeństwa:

• incydent poważny, zgłaszany przez operatora usług kluczowych,związany będzie z poważnym obniżeniem jakości lub przerwaniemciągłości świadczenia usługi kluczowej,
• incydent istotny, który musi mieć istotny wpływ na świadczenieusługi cyfrowej.
• incydent krytyczny, skutkujący znaczną szkodą dlabezpieczeństwa lub porządku publicznego, interesów gospodarczych idziałania instytucji

Tym wszystkim na poziomie administracyjnym, regulacyjnym ikontrolnym zajmować się ma oczywiście rząd. Projektodawca zakładapowołanie pełnomocnika rządu ds. cyberbezpieczeństwa (powoływanyi odwoływany przez premiera, podlegający Radzie Ministrów) orazKolegium ds. cyberbezpieczeństwa (przewodniczącym ma być premier).Nadzór nad poszczególnymi sektorami kluczowymi przypisano właściwymministrom dla sektora energii, transportowego, ochrony zdrowia,zaopatrzenia w wodę, infrastruktury cyfrowej i dostawców usługcyfrowych. Jedynie w wypadku bankowości i instytucji finansowychobowiązek ten nałożono na Komisję Nadzoru Finansowego.

Sam zaś minister cyfryzacji ma za zadanie monitorować wdrażanieStrategii Cyberbezpieczeństwa, prowadzić wykaz operatorów usługkluczowych, odpowiadać za politykę informacyjną dotyczącąkrajowego systemu cyberbezpieczeństwa. On też będzie prowadziłwspomniany Pojedynczy Punkt Kontaktowy i przygotowywał sprawozdaniadla instytucji unijnych. W przyszłości jego zadaniem stanie sięteż rozwój systemu teleinformatycznego umożliwiającego zgłaszaniei obsługę incydentów, szacowanie ryzyka i ostrzeganie ozagrożeniach cyberbezpieczeństwa.

Według autorów projektu, działania te mają sprawić, żePolska będzie w bardziej skoordynowany sposób przeciwdziałaćzagrożeniom płynącym z cyberprzestrzeni – przynajmniej wporównaniu do istniejącego systemu bezpieczeństwa. Wreszcie teżjakąś rolę w tym systemie cyberbezpieczeństwa odegrać miałbysektor prywatny, ulepszono by też koordynację działań i wymianyinformacji w warstwie strategiczno-politycznej pomiędzy instytucjamicywilnymi i wojskowymi.

Jak widać powstaje kolejna ogromna, scentralizowana strukturaadministracyjna, której zadaniem będzie radzenie sobie ze zwinnymi,zdecentralizowanymi cyberatakami wyprowadzanymi przecież najczęściejprzez niezależne (choć nierzadko sponsorowane przez władze innychpaństw) grupy hakerskie. Na ile taki paradygmat może być skutecznyw warunkach realnego zagrożenia, nie mówiąc już o wojnie? Czycyberbezpieczeństwo można wprowadzić ustawą? Przekonamy się otym już niebawem – ustawa niebawem trafi do Sejmu, gdzie raczejnie są spodziewane jakieś znaczące poprawki.

Wspomnieliśmy też na początku o identyfikacji elektronicznej.Rząd przyjął bowiem wczoraj też ustawę węzłową, tj. projektustawy o zmianie ustawy o usługach zaufania oraz identyfikacjielektronicznej oraz niektórych innych ustaw. Mówi ona owprowadzeniu jednego, loginu, który docelowo pozwoli na korzystanieze wszystkich cyfrowych usług administracji rządowej.

Ustawa zawiera też regulacje, które będą podstawą prawną dofunkcjonowania publicznej aplikacji mobilnej mDokumenty,która od niespełna roku przechodzi program pilotażowy w kilkumiastach. W założeniu ma ona stać się wirtualnym zamiennikiem dlafizycznych dokumentów. Początkowo dowodu osobistego, ale późniejtakże praw jazdy, OC, dowodów rejestracyjnych, legitymacjiszkolnych i studenckich, kart miejskich, kart dużej rodziny czy kartemeryta.