Interpelacja w sprawie procedury uznawania dostawców ICT za wysokiego ryzyka (HRV) jako formy nadregulacji w projekcie ustawy o krajowym systemie cyberbezpieczeństwa (UC32)

Interpelacja dotyczy kolejnego przykładu nadregulacji wskazanego w raporcie Zespołu SprawdzaMY Rafała Brzoski.

Przedmiotem interwencji jest projekt ustawy rządowej UC32, w szczególności projektowane artykuły 67b-67f ustawy o krajowym systemie cyberbezpieczeństwa, które przewidują procedurę uznawania dostawców komponentów ICT za tzw. dostawców wysokiego ryzyka (HRV – High Risk Vendor). Przepisy te mają charakter nadregulacyjny, ponieważ nie wynikają bezpośrednio z dyrektywy NIS2, a jedynie z niewiążących rekomendacji zawartych w EU 5G Toolbox. Co istotne, nawet sam Toolbox nie przewiduje kształtu tak szerokiej i obligatoryjnej procedury, jaką planuje wdrożyć polski rząd.

Projektowana regulacja znacząco rozszerza zakres stosowania tych zasad – nie ogranicza się do sieci 5G ani do infrastruktury krytycznej, lecz obejmuje wszystkie komponenty ICT, używane przez podmioty działające w 18 sektorach gospodarki (m.in. energetyka, transport, bankowość, ochrona zdrowia, przemysł chemiczny, górnictwo). Co więcej, procedura wyłącza stosowanie przepisów Kodeksu postępowania administracyjnego, co rodzi ryzyko braku skutecznych gwarancji proceduralnych dla przedsiębiorców, których decyzje te mogą dotknąć.

Wprowadzenie takiej procedury skutkuje:

• koniecznością wycofania komponentów ICT, które zostały już wdrożone w systemach przedsiębiorstw,
• zakazem nabywania określonych komponentów od danego dostawcy w przyszłości,
• obowiązkiem kosztownej wymiany sprzętu i przebudowy systemów informatycznych,
• brakiem odniesienia do realnej krytyczności tych komponentów w kontekście bezpieczeństwa sieci,
• ryzykiem pogorszenia warunków inwestycyjnych w Polsce oraz ograniczeniem dostępności technologii,
• stworzeniem najbardziej restrykcyjnego reżimu w Europie, bez przewidzianych dyrektywnie podstaw.

Według szacunków, nowe przepisy mogą objąć nawet 38 tysięcy przedsiębiorców, w tym większość średnich i dużych firm działających w sektorach objętych ustawą.

W związku z zapowiedzią z 22 maja 2025 roku dotyczącą przygotowania ponad 100 ustaw deregulacyjnych, konieczne jest uzyskanie odpowiedzi:

1. Czy projekt UC32, zawierający przepisy o HRV, został ujęty na liście ustaw deregulacyjnych przygotowanych przez rząd?

2. Czy planowane jest wycofanie lub ograniczenie procedury HRV do faktycznie krytycznych elementów sieci 5G, zgodnie z pierwotnym zakresem EU 5G Toolbox?

3. Czy przeprowadzono ocenę kosztów wdrożenia tej procedury dla przedsiębiorców objętych obowiązkiem, w tym kosztów wymiany sprzętu ICT i reorganizacji systemów?

4. Czy rząd przewiduje wprowadzenie pełnych gwarancji proceduralnych (np. stosowanie K.p.a., prawo do odwołania), które umożliwią przedsiębiorcom skuteczne kwestionowanie decyzji ministra cyfryzacji?

5. Czy rząd przeanalizował wpływ tak skonstruowanej regulacji na konkurencyjność polskiego rynku w relacji do innych państw członkowskich UE?

Projektowana procedura HRV wykracza poza standardy europejskie i stawia polskich przedsiębiorców w gorszej sytuacji niż ich zagranicznych konkurentów, co stoi w sprzeczności z zasadami wspólnego rynku i unijną polityką cyfrową.