Niemcy chronią to, co krytyczne, my chcemy regulować wszystko

Prace nad nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) wchodzą w decydującą fazę. 8 stycznia projekt trafi pod obrady sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. Przepisy wciąż budzą wątpliwości. O konsekwencjach i kosztach opowiada prof. Maciej Rogalski, rektor Uczelni Łazarskiego i partner w kancelarii Rogalski i Wspólnicy.

Prace nad ustawą o KSC nabrały tempa, ale kontrowersje nie cichną. Osią sporu jest instytucja Dostawcy Wysokiego Ryzyka. Szacuje się, że w Polsce przepisy uderzą nawet w kilkadziesiąt tysięcy firm. W Niemczech, rynku nieporównywalnie większym, obejmą zaledwie ok. tysiąca podmiotów. Skąd różnica?

W Niemczech przyjęto inne założenia oraz uregulowania prawne. 5 grudnia 2025 r. w Niemczech weszła w życie nowela ustawy o Federalnym Urzędzie ds. Bezpieczeństwa Informacji i Bezpieczeństwa Informatycznego Obiektów („BSIG”). Istotna różnica polega na tym, że zgodnie z tymi przepisami wykluczenia lub ograniczenia dotyczyć będą wyłącznie krytycznych komponentów danego producenta wykorzystywane przez operatora infrastruktury krytycznej. W Polsce natomiast procedowany projekt przewiduje, że wykluczenia będą miały zastosowanie do produktów ICT (Information and Communication Technologies - technologie informacyjne i komunikacyjne), usług lub procesów ICT wykorzystywanych przez podmioty ważne lub kluczowe, niezależnie od tego czy mają charakter krytyczny, pochodzących od dostawcy sprzętu lub oprogramowania uznanego za dostawcę wysokiego ryzyka. Wyjątek dotyczy tylko jednego z 18 sektorów, telekomunikacji, gdzie projekt przewiduje, aby decyzja o wycofaniu produktów czy usług uwzględniała te, które są określone w wykazie kategorii funkcji krytycznych dla bezpieczeństwa sieci i usług w załączniku nr 3 do projektu noweli ustawy.