Source: http://konfederacjalewiatan.pl/legislacja/opinie/prawo-branzowe/1/stanowisko_konfederacji_lewiatan_do_projektu_ustawy_o_krajowym_systemie_cyberbezpieczenstwa_druk_senacki_893_dalej_projekty_ustawy
Timestamp: 2018-07-23 15:14:14
Legal References Found: art. 26
 art. 32
 Art. 8
 Art. 9
 Art. 11
 Art. 15
 Art. 15
 Art. 16
 art. 8
 art. 10
 art. 32
 Art. 42
 Art. 46
 Art. 55
 Art. 55

Document Content:
Stanowisko Konfederacji Lewiatan do projektu ustawy o krajowym systemie cyberbezpieczeństwa (druk senacki 893) (dalej: projekty ustawy)
4. Brak publikacji kluczowych aktów wykonawczych. Uwzględniając, że nowe obowiązki oraz ograniczenia prowadzenia działalności gospodarczej mogą być wprowadzane wyłącznie w drodze ustawowej, wątpliwości budzi fakt, że do konsultacji nie zostały skierowane projekty obligatoryjnych rozporządzeń, których postanowienia będą bardzo istotne dla całego systemu ochrony cyberprzestrzeni, a tym samym mają kluczowy wpływ na ocenę całości proponowanych rozwiązań. W naszej ocenie, ustawa powinna być konsultowana i procedowana w pakiecie wraz ze wszystkimi (przynajmniej obligatoryjnymi) aktami wykonawczymi. Dodatkowo zwracamy uwagę, że trudno ustalić faktyczne i merytoryczne przesłanki uzasadniające decyzje o regulacji pewnych zagadnień na poziomie ustawowym, a część na poziomie aktów wykonawczych. Przykładowo, bardzo szczegółowo definiuje się wymagania funkcjonalne na system teleinformatyczny wspomagający obsługę incydentów, pozostawiając jednocześnie do regulacji w drodze rozporządzenia wydawanego przez ministra ds. informatyzacji istotne z punktu widzenia obrotu gospodarczego wymagania dla podmiotów świadczących usługi outsourcingu w zakresie cyberbezpieczeństwa. W tym kontekście, jako niespotykaną dotychczas praktykę odbieramy określenie w regulacji ustawowej (z zasady mało elastycznej i trudniejszej do zmiany) precyzyjnych wymagań dla systemu informatycznego i jego funkcjonalności (co wydaje się materią typowo wykonawczą), podczas gdy sam projekt ustawy nie określa w sposób jasny i precyzyjny podstawowego pojęcia, jakim ma być „incydent poważny".
6. Brak jednoznacznego i nie budzącego wątpliwości określenia odpowiedzialności za obsługę incydentu poważnego - z jednej strony odpowiedzialność za obsługę incydentu spoczywa na operatorze, z drugiej strony projekt ustawy przewiduje wprost uprawnienia CSIRT w zakresie obsługi incydentów poważnych, nie wskazując przy tym zasad przejmowania przez CSIRT incydentów do obsługi oraz przyznając CSIRT pewne uprawnienia „władcze" wobec operatora (np. wezwanie za pośrednictwem organu właściwego operatora do usunięcia podatności, żądanie informacji itd.). Tym samym, CSIRT miałby możliwość ingerencji w działalność jednostkowego operatora z pominięciem jakiejkolwiek odpowiedzialności
za podejmowane wobec operatora działania.
Natomiast zgodnie z projektowanym art. 26 ust. 5, 6 i 7 do zadań CSIRT należy obsługa lub koordynacja obsługi incydentów zgłaszanych przez wskazane w ustawie podmioty. Z tym uprawnieniem korelują uprawnienia CSIRT wskazane w art. 32, zgodnie z którym CSIRTy mogą: „wykonywać niezbędne działania techniczne, związane z monitorowaniem zagrożeń, obsługa incydentów poważnych (...), a także dokonywać analiz (...)", „wystąpić do organu właściwego z wnioskiem o wezwanie operatora, aby
w wyznaczonym terminie usunął podatności, które doprowadziły lub mogłyby doprowadzić do poważnego incydentu" oraz „może wystąpić bezpośrednio do operatora o udostępnienie informacji technicznych związanych z incydentem, które będą niezbędne do przeprowadzenia analizy zdarzenia lub obsługi incydentu"
Ustawa ma vacatio legis tylko 14 dni (art. 94). Pozostaje bardzo mało czasu na wdrożenie jakichkolwiek obowiązków wynikających z ustawy.
6. Art. 8 pkt 2 e
7. Art. 9 ust. 1 pkt 2
... 2) zapewnienia użytkownikowi usługi kluczowej, o ile użytkownik ma wpływ na ciągłość świadczonej usługi kluczowej, dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa
i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową.
8. Art. 11 ust. 1 pkt 4 oraz 18 ust. 1 pkt 4
9. Przekazywanie przez operatorów usług kluczowych do właściwego CSIRT informacji o zagrożeniach, szacowaniach ryzyka, podatnościach, wykorzystywanych technologiach (art. 13)
10. Art. 15 ust. 1
11. Art. 15 ust 2
12. Art. 16 pkt 1 i 2
2) art. 8 pkt 2 i 3 oraz pkt 5 i 6 i art. 10 ust. 1-3 - w terminie roku od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej;
13. Uprawnienia CSIRT w zakresie pozyskiwania od operatora informacji (art. 32)
Projektowany art. 32 ust. 2 został określony w sposób zbyt ogólny i wymaga doprecyzowania poprzez wskazanie zamkniętego katalogu uprawnień. W swoim aktualnym brzmieniu umożliwiałby CSIRT wręcz nieograniczony zakres działań, w tym np. możliwość instalowania w sieci służącej świadczeniu publicznych usług telekomunikacyjnych i będącej własnością komercyjnego podmiotu, własnych urządzeń telekomunikacyjnych CSIRT, które pozostawałyby poza kontrolą właściciela tej sieci. Takie potencjalne działania skutkowałyby brakiem możliwości spełnienia przez operatora jego podstawowych obowiązków, np. w zakresie ochrony tajemnicy telekomunikacyjnej.
14. Organy właściwe (art. 41 pkt 1 pkt 8-11)
15. Art. 42 ust. 3
W takim wypadku podmiot realizujący zadania CSIRT powinien realizować wyłącznie zadania o charakterze publicznym i niekomercyjnym. Funkcjonowanie takiego podmiotu na rynku konkurencyjnym w sytuacji, gdy ma możliwość pozyskiwania (z mocy prawa) informacji od innych podmiotów stawia go w uprzywilejowanej pozycji rynkowej, co budzi uzasadnione obawy i wątpliwości. Obawy i wątpliwości są tym większe, że zgodnie z projektem ustawy organ właściwy może powierzyć realizację, w jego imieniu, zadań związanych z wykonywaniem nadzoru, w tym m.in. „prowadzenie kontroli operatorów usług kluczowych i dostawców usług cyfrowych" (art. 42 ust. 3) jednostkom podległym lub nadzorowanym przez ten organ, z zachowaniem wszystkich uprawnień przewidzianych w tym zakresie w ustawie.
16. Art. 46 ust 1 pkt 5
17. Art. 55 pkt 1 i pkt 6
Nie jest realnym, aby osoba prowadząca czynności kontrolne nie miała przepustki do przemieszczania się po obiekcie jednostki kontrolowanej. Bez takowej, w większości przypadków nie będzie miała fizycznie możliwości przemieszczania się z uwagi na systemy kontroli dostępu, które są zresztą wymagane przez tę ustawę i wiele innych. Nie można też od początku określić pełnego zakresu dostępu fizycznego lub logicznego dla takiej osoby ponieważ może się to zmieniać w trakcie trwania czynności kontrolnych. Stosowny zapis powinien umożliwiać osobie kontrolującej dostęp tam, gdzie jest konieczny, ale sposób jego realizacji (przepustka, przewodnik, karta dostępu czy inna metoda) powinien być wybrany przez kontrolowany podmiot ponieważ silnie zależy od przyjętych w tym podmiocie zasad
i technologii - np. podmiot może stosować dostęp na podstawie danych biometrycznych, a nie ma powodu, aby przetwarzał dane biometryczne osoby kontrolującej.
„Osoba prowadząca czynności kontrolne wobec podmiotów będących przedsiębiorcami w odniesieniu do pomieszczeń, dokumentów i systemów wykorzystywanych przez przedsiębiorcę do świadczenia usługi kluczowej ma prawo do: (...) „
18. Art. 55 pkt 4
Konfederacja Lewiatan, KL/249/113/AM/2018