Router infrastrukturą krytyczną?
Zarysujmy nieco tło tej wiadomości. Rząd obecnie, od wielu miesięcy, pracuje nad Projektem nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Dotyczy on między innymi oceny dostawców podzespołów niezbędnych do budowy sieci 5G pod kątem szeroko pojętego cyberbezpieczeństwo. Więcej o tym znajdziecie m.in. w tym materiale.
Do Projektu należy tzw. Załącznik nr 3, który zawiera Kategorie funkcji krytycznych dla bezpieczeństwa sieci i usług. Problemem tej części dokumentu jest jego skrajna ogólność. Jak np. kategoria – zarządzanie łącznością z urządzeniami użytkowników i przydzielanie zasobów radiowych. W praktyce za infrastrukturę krytyczną uznaje się w tym przypadku sieć RAN. Z definicji sieć RAN to zarówno rdzeń sieci, stacja bazowa, jak również nasz domowy router. Nie jest to żadna dziennikarska teoria, tak wynika z ogólnej definicji.
W tym momencie rządzący mogliby w prosty sposób rozwiać wątpliwości poprzez doprecyzowanie przepisów. Zamiast tego, od kilku miesięcy tłumaczą, że zapis może i jest, ale przecież nikt nie każe operatorom wymieniać hurtowo routery klientów, bo ich dostawca został uznany jako zagrożenie dla cyberbezpieczeństwa. Może i nikt nie zamierza tego zrobić, ale przepisy na to pozwalają. A póki nawet w teorii na to pozwalają, to w połączeniu z bardzo niskim zaufaniem do władzy powoduje, że zapala nam się czerwona lampka.
Inną kwestią związaną z Projektem nowelizacji Ustawy o KSC jest wykluczanie dostawców sprzętu. Tutaj pojawia się pytanie – jakiego sprzętu? Zgodnie z Projektem i Załącznikiem nr 3 – każdego. Tylko czy faktycznie każdy element infrastruktury sieciowej może stanowić zagrożenie dla cyberbezpieczeństwa? Innego zdania jest Finlandia. Choć to zmieniło się dopiero niedawno.
Czytaj też: Kluczyk do samochodu w telefonie – czy to możliwe?
Miękkie przepisy unijne są różnie interpretowane
Pod koniec stycznia 2020 roku Komisja Europejska przyjęła tzw. 5G Toolbox. Zestaw narzędzi, wskazówek, którymi państwa członkowskie powinny kierować się przy tworzeniu krajowych przepisów dotyczących sieci 5G oraz cyberbezpieczeństwa. To tzw. miękkie prawo, to dowolnej interpretacji.
Kraje Europy są skrajnie zróżnicowane i każdy z nich wskazówki Komisji Europejskiej traktuje inaczej. Szwecja w grudniu 2020 roku wprowadziła przepisy, które pozwalają na zakazanie używania sprzętu sieciowego konkretnej firmy ze względu na obawy dotyczące bezpieczeństwa narodowego w zakresie cyberbezpieczeństwa. To po części kłóciło się z wytycznymi Komisji Europejskiej, bowiem Toolbox zawiera m.in. konstytucyjne prawo do własności. Czyli przykładowo operator ma dużo urządzeń Huaweia, a rząd nakazuje mu przestać go używać i wymienić na sprzęt innej firmy. Gdzie tutaj prawo do własności?
Szwecja, przygotowując aukcję częstotliwości sieci 5G, wpisała do wymagań aukcji wykluczenie sprzętu Huaweia przy budowie sieci 5G. Chińska firma zwróciła się z tym do sądu, chwilowo wstrzymując aukcję, nad którą obecnie wisi widmo unieważnienia. Swojego rynkowego rywala bronił nawet rodzimy Ericsson.
Czytaj też: CHIP Poleca – jakie chłodzenie kupić?
Stacja bazowa 5G nie jest infrastrukturą krytyczną
Niedawno ukazało się nowe rozporządzenie, które jest wdrożeniem unijnego 5G Toolboxa w Finlandii. Rozporządzenie jest swego rodzaju ewenementem i kompletną przeciwnością przepisów, które mają pojawić się w Polsce.
Nowe przepisy jasno określają, co jest elementem infrastruktury krytycznej, a jednocześnie bardzo mocno ten aspekt zawężają. W tym momencie prawo ogranicza działania administracyjne, dotyczące wykluczenia konkretnych dostawców, do najbardziej centralnych części infrastruktury krajowej. Czyli np. do rdzenia sieci telekomunikacyjnej. Sieć radiowa w ogóle nie znalazła się na liście elementów infrastruktury krytycznej.
Na tym nie koniec. Wskazywanie niebezpiecznych dostawców ma opierać się wyłącznie na wymogach technicznych, a nakaz usunięcia już używanego sprzętu ma być możliwy tylko w ostateczności. Ponadto operatorzy będą mogli dochodzić pełnego odszkodowania od państwa, a nierozwiązywalne konflikty będą mogły być kierowane na drogę sądową.
Czytaj też: Redmi Note 10 Pro 5G zaprezentowany oficjalnie. Czym może pochwalić się ten model?
W sprawie polskiej Ustawy o KSC jeszcze wiele może się zmienić
Nowe fińskie przepisy to przeciwieństwo polskiego Projektu. U nas do worka Infrastruktura Krytyczna wrzuca się dosłownie wszystko. Finlandia nie zamierza też ograniczać dostawców sprzętu ze względu na kraj pochodzenia firmy. Nie ma tutaj myślenia, że chińskie oznacza niebezpieczne.
Projekt polskich przepisów powstawał za panowania Donalda Trumpa. Oficjalnie do dzisiaj nikt tego nie powiedział, że ewidentnie inspiracje do ich tworzenia płynęły z USA. W końcu nawet premier Morawiecki niemal cytował słowa amerykańskiej administracji. Ale Donald Trump robił nam dobry PR, klepiąc po plecach przy każdej okazji, a nam się to ewidentnie podobało. Nasze stosunki z Joe Bidenem… chwilowo w zasadzie nie wyglądają. W dodatku rządzącym nie podobają się działania prezydenta USA w sprawie gazociągu Nord Stream 2. Wcale nie zdziwię się, jeśli trochę na złość Amerykanom, w Polsce trochę przychylniej spojrzy się na chińskie firmy.
Oczywiście wolałbym jasnych przepisów, opartych na przejrzystych i konkretnych kryteriach, niepodyktowanych politycznymi sympatiami. Kto wie, być może się takich doczekamy. Z Finlandii właśnie popłynął bardzo dobry przykład.