Chmura i sztuczna inteligencja coraz mocniej zmieniają sposób, w jaki firmy organizują pracę. Im większa zależność biznesu od technologii, tym większego znaczenia nabiera nie tylko cyberbezpieczeństwo, ale też kontrola nad tym, gdzie dane są przechowywane, jakiej jurysdykcji podlegają i czy w razie potrzeby można je przenieść do innego środowiska. Eksperci Play podczas Forum Ekonomicznego w Karpaczu podkreślali, że te czynniki coraz częściej decydują o odporności cyfrowej przedsiębiorstw.

– Jeszcze pięć–sześć lat temu rozwiązania z zakresu IT były czymś innym niż rozwiązania z zakresu telekomunikacji. Dzisiaj wraz z rozwojem technologii, szczególnie przy wprowadzeniu rozwiązań zarządzanych software’owo, przy przechodzeniu do chmury, telekomunikacja i IT to jest jedno. Do tego w ostatnim okresie bardzo ważnym elementem stało się cyberbezpieczeństwo, które nie tylko pełni funkcję zabezpieczenia, ale tak naprawdę stało się jednym z elementów systemów IT firm – podkreśla w rozmowie z agencją Newseria Marcin Kubit, dyrektor Departamentu Marketingu i Sprzedaży B2B w Play.

Z „Raportu o stanie sektora małych i średnich przedsiębiorstw w Polsce (2026)” przygotowanego przez  PARP na podstawie m.in. danych GUS wynika, że odsetek polskich firm, które korzystają z usług chmurowych, wzrósł z 7,3 proc. w 2015 roku do 54,9 proc. w 2025 roku. Najwyższy poziom wykorzystania usług chmurowych występuje w dużych przedsiębiorstwach (ponad 86 proc.). Z kolei raport PwC „Chmura w biznesie” wskazuje, że w ubiegłym roku 27 proc. firm w Polsce oceniło jako wysoką dojrzałość chmurową swojej organizacji, a prawie połowa (47 proc.) – jako średnią. Blisko jedna trzecia (30 proc.) firm planuje wdrożyć rozwiązania chmurowe.

W przypadku sztucznej inteligencji, jak podaje PARP za GUS, w 2025 roku 8,7 proc. firm deklarowało wykorzystanie tej technologii (+2,8 pp. w porównaniu do 2024 roku). Największe zainteresowanie narzędziami opartymi na AI wykazują firmy duże (42 proc.) oraz podmioty z branży informacja i komunikacja (37,8 proc.).

Podczas panelu „Cyberbezpieczeństwo 360 stopni: jak chronić państwo, biznes i obywateli w epoce cyfrowych zagrożeń?” na Forum Ekonomicznym w Karpaczu ekspert Play zwrócił uwagę na to, że odporność cyfrowa staje się dziś warunkiem dalszego skalowania biznesu i budowania zaufania. Tym bardziej że dziś firmy nie zastanawiają się, czy korzystać z chmury i AI, ale jak robić to skutecznie i bezpiecznie, z zachowaniem kontroli nad danymi i infrastrukturą.

– Coraz większego znaczenia w dzisiejszych rozwiązaniach nabiera bezpieczeństwo. Wynika to z tego, że coraz więcej danych nie przechowujemy na naszych własnych zasobach, ale powierzamy je firmom trzecim. W przypadku chmury publicznej bardzo często są to rozwiązania dostarczane przez duże międzynarodowe korporacje i tutaj dochodzi kwestia suwerenności danych, czyli miejsca, gdzie one są przechowywane, jakiej jurysdykcji są poddawane i czy jesteśmy w stanie w łatwy sposób je odzyskać przy zmianie dostawcy. Przy każdej migracji, przy każdym nowym rozwiązaniu musimy być pewni, że dane nie wyjdą poza nasz ekosystem IT – tłumaczy dyrektor Departamentu Marketingu i Sprzedaży B2B Play.

Jak wynika z „Barometru cyberbezpieczeństwa 2026” KPMG, w 2025 roku 96 proc. ankietowanych firm doświadczyło przynajmniej jednego incydentu bezpieczeństwa. Oznacza to wzrost o 13 pp. względem 2024 roku. Zwiększyła się także liczba firm doświadczających wielokrotnych naruszeń bezpieczeństwa, szczególnie tych, które odnotowały od czterech do dziewięciu incydentów (+20 pp.).

– Zmienia się też sposób dostępu do tych danych. Dzisiaj to nie tylko ludzie, osoby pracujące zdalnie, ale coraz częściej urządzenia wykorzystujące rozwiązania IoT mają dostęp do naszych sieci korporacyjnych. Przy tak rozległych rozwiązaniach musimy być pewni, że dane są bezpieczne, czyli nikt spoza naszej organizacji nie będzie miał do nich dostępu, ale także że są one przechowywane w określonym miejscu – wyjaśnia Marcin Kubit.

Ekspert podkreśla, że same zabezpieczenia techniczne nie wystarczą. Niewystarczająca jest także sama zgodność z regulacjami z zakresu bezpieczeństwa i ochrony danych, takimi jak NIS2, DORA czy RODO. Ważniejsze jest praktyczne przygotowanie organizacji do działania w sytuacji kryzysowej: musi ona umieć wykryć incydent, zareagować i utrzymać ciągłość działania.

– Na suwerenność danych składają się trzy główne elementy. Po pierwsze, lokalizacja: gdzie na fizycznych urządzeniach dostawcy rozwiązań chmurowych przechowują nasze dane. Każdy dostawca buduje swoje rozwiązanie, opierając się na tzw. regionach. Najwięksi z nich, czyli firmy amerykańskie, ponieważ de facto one zdominowały ten rynek, mają lokalizacje w Europie, natomiast wszystkie dane, które są przechowywane na ich serwerach, podlegają prawu amerykańskiemu – tłumaczy dyrektor Departamentu Marketingu i Sprzedaży B2B Play.

Głównymi dostawcami usług chmurowych na świecie są amerykańskie firmy Amazon, Microsoft i Google. Ich udział w światowym rynku w II kwartale 2026 roku wyniósł odpowiednio 28, 20 i 15 proc. – wynika z danych Synergy Research Group.

– Tu dochodzimy do kolejnej ważnej kwestii związanej z suwerennością, czyli jurysdykcji. W sytuacji gdy w Stanach Zjednoczonych zostanie podjęta jakaś decyzja, że te dane na przykład muszą być udostępnione podmiotom amerykańskim, to te firmy będą musiały to zrobić – podkreśla Marcin Kubit. – Trzecia rzecz, jeżeli chodzi o suwerenność danych, to jest łatwość migracji do nowego rozwiązania. Czyli jeżeli się zdecydujemy na przejście na inne zasoby, to obecny dostawca musi nam umożliwić, po pierwsze, łatwą migrację, a po drugie, musimy mieć pewność, że wszystkie dane faktycznie zostały zmigrowane.

Jak podkreśla, suwerenności danych nie trzeba postrzegać w kategorii zamykania się w jednym środowisku czy rezygnacji z rozwiązań chmury publicznej, ale właśnie świadomego decydowania o powyższych trzech czynnikach: lokalizacji, jurysdykcji i możliwości migracji.

– Biorąc pod uwagę sytuację geopolityczną, coraz częściej mówimy o suwerenności danych, również o chmurze europejskiej. Wspólnie ze spółką Scaleway, która jest także częścią Grupy iliad, jesteśmy w stanie takie rozwiązania budować: w pełni europejską chmurę, zbudowaną wyłącznie poprzez lokalizację w Europie i podlegającą w pełni jurysdykcji europejskiej – mówi dyrektor Departamentu Marketingu i Sprzedaży B2B w Play.

W kwietniu 2025 roku Play i Scaleway ogłosiły strategiczne partnerstwo, którego celem było przyspieszenie wdrażania chmury publicznej i rozwiązań z dziedziny sztucznej inteligencji (AI) w Polsce. W kwietniu br. Komisja Europejska wybrała Scaleway, wraz z trzema innymi europejskimi dostawcami, do świadczenia suwerennych usług chmurowych dla unijnych instytucji. Jak podkreśla Play, dla klientów operatora oznacza to dostęp do rozwiązań opartych na technologii, która spełniła europejskie wymogi w zakresie suwerenności cyfrowej i bezpieczeństwa danych.

– Na Forum Ekonomicznym w Karpaczu rozmawialiśmy z naszymi klientami i partnerami głównie o rozwiązaniach z zakresu cyberbezpieczeństwa, związanych z suwerennością danych, a także rozwiązaniach IT. Każdy z nich, mimo że wykorzystuje podobną infrastrukturę, ma trochę inne potrzeby. Cyberbezpieczeństwo czy suwerenność czym innym jest dla instytucji państwowych czy samorządów, a czym innym dla firm – mówi Marcin Kubit.

Mimo że Chiny nie są formalnym sojusznikiem Rosji, współpraca obu państw od początku pełnoskalowej wojny w Ukrainie wyraźnie się zacieśniła. Ośrodek Studiów Wschodnich wskazuje, że Pekin jest dziś najważniejszym partnerem gospodarczym Rosji, głównym dostawcą technologii i komponentów dla przemysłu oraz produktów podwójnego zastosowania. Zdaniem analityków bez wsparcia Pekinu Rosji byłoby znacznie trudniej utrzymywać potencjał gospodarczy i wojskowy.

– Relacja między Chinami a Rosją nie jest formalnym sojuszem, to raczej quasisojusz. Jest ona jednak bardzo bliska i z perspektywy Polski niekorzystna, a z roku na rok jeszcze bardziej się zacieśnia. Najlepiej pokazują to słowa Wanga Yi, ministra spraw zagranicznych Chin, który określił relacje chińsko-rosyjskie jako przykład najstabilniejszych, najdojrzalszych i strategicznie ważnych relacji między mocarstwami we współczesnym świecie. Fundamentem tej współpracy jest wspólny cel obu państw – zmiana obecnego ładu międzynarodowego i osłabienie amerykańskich sojuszy zarówno w Europie, jak i w Azji. Dlatego Chinom opłaca się wspierać Rosję w jej wysiłku wojennym przeciwko Ukrainie – podkreśla w rozmowie z agencją Newseria Paulina Uznańska, analityczka z Zespołu Chińskiego w Ośrodku Studiów Wschodnich.

Bliskość obu państw potwierdził majowy szczyt w Pekinie, gdzie podpisano szereg porozumień biznesowych i dwa polityczne. Wizyta została oceniona jako sygnał, że partnerstwo to pozostaje jednym z filarów polityki zagranicznej obu krajów. Pekin i Moskwa wzmacniają też w ten sposób swoją pozycję wobec USA.

Nie oznacza to jednak relacji równorzędnych partnerów. Po utracie części zachodnich rynków i dostawców Rosja w dużym stopniu uzależniła się od chińskiego rynku, technologii i komponentów przemysłowych. Przykładem jest projekt gazociągu Siła Syberii 2, w sprawie którego rozmowy toczą się od kilku lat. Pekin wciąż nie zaakceptował warunków oczekiwanych przez Moskwę. Wykorzystuje silniejszą pozycję negocjacyjną, dążąc do uzyskania korzystniejszych dla siebie warunków. Jednocześnie chińskie władze konsekwentnie unikają zawarcia z Moskwą formalnego sojuszu wojskowego, zachowując swobodę działania w relacjach z Zachodem i ograniczając polityczne koszty wspierania Rosji.

– NATO kwalifikuje Chiny jako decydujący czynnik umożliwiający Rosji kontynuowanie wysiłku wojennego przeciwko Ukrainie. Wynika to z kilku elementów. Po pierwsze, Chiny dostarczają ok. 87 proc. produktów dual-use do Rosji, czyli technologii, które wcześniej były sprowadzane m.in. z Zachodu. Drugą kwestią jest wsparcie surowcowe – po 2022 roku Chiny stały się bezpiecznym zapleczem dla Rosji – wskazuje Paulina Uznańska.

Chiny są największym odbiorcą rosyjskich surowców energetycznych – Rosjanie po 2022 roku przekierowali tam znaczną część eksportu z rynków zachodnich. W ubiegłym roku, jak wskazuje analiza OSW z marca br., Chiny były odbiorcą ok. 45 proc.  eksportu rosyjskiej ropy naftowej i 40 proc. węgla.

Analitycy amerykańskiego Center for Strategic and International Studies (CSIS) zwracają uwagę, że wsparcie Pekinu ma przede wszystkim umożliwić Rosji prowadzenie długotrwałej wojny i ograniczyć skutki zachodnich sankcji, a nie przybiera formy bezpośrednich dostaw uzbrojenia. Chiny koncentrują się przede wszystkim na eksporcie technologii, komponentów przemysłowych i produktów podwójnego zastosowania.

W maju Reuters, powołując się na dokumenty oraz źródła w europejskich służbach wywiadowczych, poinformował, że na podstawie podpisanej w 2025 roku umowy około 200 rosyjskich żołnierzy miało zostać przeszkolonych w chińskich ośrodkach wojskowych, m.in. z wykorzystania dronów i prowadzenia działań z użyciem nowych technologii. W czerwcu br. wysoka przedstawicielka Unii Europejskiej do spraw zagranicznych i polityki bezpieczeństwa Kaja Kallas przekazała, że co najmniej trzy europejskie służby wywiadowcze dysponują dowodami potwierdzającymi szkolenie rosyjskich żołnierzy na terytorium Chin.

– Rosyjscy żołnierze szkolili się m.in. w zakresie wojny dronowej na terenie Chin i później byli kierowani albo do Rosji, gdzie pełnili funkcję instruktorów i przekazywali pozyskaną tam wiedzę, albo część z nich była bezpośrednio kierowana na front na Ukrainie – mówi analityczka OSW.

Coraz częściej współpraca Pekinu z Moskwą przekłada się także na relacje Chin z państwami zachodnimi. Pokazała to reakcja na przyjęty pod koniec lipca 21. pakiet sankcji UE wobec Rosji, w którym objęto restrykcjami kolejne chińskie przedsiębiorstwa wspierające rosyjskie działania wojenne. Chiny niemal natychmiast wprowadziły ograniczenia wobec 14 europejskich podmiotów, zakazując im dostępu do chińskich produktów podwójnego zastosowania. Na liście znalazły się m.in. firmy z sektora obronnego i nowych technologii, w tym dwa podmioty z Polski – Politechnika Wrocławska i Vigo Photonics. Według analityków OSW szybka odpowiedź Pekinu miała pokazać, że kolejne sankcje wobec chińskich firm będą się wiązały z kosztami również dla europejskich przedsiębiorstw.

– Pekin uważa, że jest w stanie strategicznej rywalizacji z Zachodem i Rosja jest mu potrzebna do realizacji jego najważniejszego celu, czyli umacniania pozycji na arenie międzynarodowej. Jednocześnie widzimy to również w reakcji Chin na 21. pakiet sankcji Unii Europejskiej na Rosję, że są one gotowe podnosić cenę, jeżeli Zachód będzie chciał wywierać na nich dalej presję za to, że współpracują z Rosją – tłumaczy Paulina Uznańska.

Politechnika Wrocławska i firma VIGO Photonics znalazły się wśród 14 unijnych podmiotów ze strategicznych sektorów objętych chińskimi restrykcjami eksportowymi. To odpowiedź władz w Pekinie na nowy pakiet sankcji Unii Europejskiej wobec Rosji. Analitycy OSW wskazują, że jest to nie tylko sygnał świadczący o gotowości Chin do dalszego popierania rosyjskiej polityki, ale także o coraz większej asertywności wobec działań UE.

– Reakcją Pekinu na 21. pakiet sankcji Unii Europejskiej przeciwko Rosji jest wpisanie 14 unijnych podmiotów na de facto listę sankcyjną Ministerstwa Handlu Chińskiej Republiki Ludowej. To oznacza, że natychmiast, od momentu wprowadzenia kontrsankcji przez Chiny zabrania się eksportowania produktów podwójnego zastosowania zarówno przez podmioty chińskie, jak i podmioty zagraniczne korzystające z chińskich półproduktów, komponentów i technologii do przedsiębiorstw wpisanych na tę listę – wyjaśnia w rozmowie z agencją Newseria Paulina Uznańska, analityczka z Zespołu Chińskiego w Ośrodku Studiów Wschodnich.

W 21. pakiecie sankcji wobec Rosji, który został przyjęty 23 lipca, Unia Europejska objęła restrykcjami 14 podmiotów chińskich i hongkońskich za wspieranie rosyjskiej machiny wojennej. Po raz pierwszy Chiny odpowiedziały bezpośrednio na decyzję UE, stosując zasadę oko za oko, ząb za ząb, i zrobiły to już następnego dnia. Wcześniej, jak wskazuje ekspertka OSW, odpowiedź Pekinu ograniczała się jedynie do sektora bankowego albo do „karania” niektórych przedsiębiorstw Unii, które miały rzekomo brać udział w dostarczaniu broni Tajwanowi.

– Chiny uderzają w takie unijne podmioty, które pochodzą ze strategicznych sektorów mających bardzo duże znaczenie dla modernizacji sił zbrojnych państw NATO. Chodzi tutaj o sektor zbrojeniowy, fotoniki, półprzewodników i technologii morskich. Chińczycy bardzo precyzyjnie wybierają przedsiębiorstwa i uderzają w nie po to, żeby ograniczać zdolność do wzmacniania wschodniej flanki NATO – wyjaśnia Paulina Uznańska.

Na liście resortu handlu ChRL znalazły się m.in. przedsiębiorstwa niemieckie, czeskie, włoskie, francuskie, litewskie, holenderskie i bułgarskie. Są wśród nich także dwa podmioty z Polski – firma VIGO Photonics i Politechnika Wrocławska.

– Chociaż nie mamy oficjalnego uzasadnienia strony chińskiej, dlaczego wybrano akurat te dwa podmioty, to widzimy, że wybrano instytucje, które są ważne dla sektora obronności. Politechnika Wrocławska to jedyna uczelnia wyższa na tej liście; placówka ta – m.in. z funduszy unijnych – prowadzi badania nad technologiami dronowymi, nad zastosowaniem sztucznej inteligencji na polu walki, ale jednocześnie współpracuje też w ramach innych grantów badawczych z uniwersytetami chińskimi. Z drugiej strony VIGO Photonics to jest strategicznie ważna spółka w zakresie detektorów podczerwieni, która ma duże znaczenie na europejskim rynku obronności – mówi analityczka.

Jak ocenia, jeśli UE będzie wywierać na Pekin presję w związku z jego wsparciem dla Rosji, można się spodziewać dalszego rozszerzania „czarnej listy”.

– Na razie mamy do czynienia z licencjonowaniem, czyli za każdym razem, kiedy chiński eksporter chce sprzedać produkty dual-use czy metale ziem rzadkich, to musi się ubiegać o licencję do Ministerstwa Handlu Chińskiej Republiki Ludowej. Natomiast Chińczycy w swoim wachlarzu ograniczeń eksportowych mają bardzo dużo instrumentów i jest możliwe, że w przyszłości mogą nałożyć zupełny zakaz sprzedaży takich produktów – wskazuje Paulina Uznańska. – Zawsze pozostaje pytanie o to, na ile będą w stanie ten zakaz egzekwować, bo to są niesamowicie skomplikowane układy łańcuchów dostaw, w których nie jest to proste do śledzenia, jednak widzimy, że Chińczycy zdecydowanie idą w tym kierunku.

Mogą o tym świadczyć już ubiegłoroczne decyzje Pekinu w sprawie restrykcji eksportowych na metale ziem rzadkich i produkty z nich wytwarzane. W odpowiedzi na podwyższanie ceł przez administrację Donalda Trumpa w kwietniu 2025 roku Chiny wprowadziły licencje eksportowe na siedem ciężkich metali z tej grupy, m.in. terb, dysproz i samar, które są niezbędne do produkcji m.in. magnesów i elektroniki wojskowej. W październiku 2025 roku rozszerzyły kontrole, obejmując nimi kolejne metale ziem rzadkich czy technologie ich przetwarzania. Część z tych zmian zawieszono do listopada 2026 roku.

– To jest o tyle ważne, że cały świat zależy od metali ziem rzadkich rafinowanych i wydobywanych w Chinach. Mniej więcej 70 proc. ich wydobycia ma miejsce na terenie tego kraju, a w przypadku rafinacji ponad 90 proc. – wskazuje ekspertka Zespołu Chińskiego OSW. – Chiny już w zeszłym roku pokazały, że nie będą się zgadzały na to, żeby ich metale ziem rzadkich były wykorzystywane za granicą do rozwoju sektora obronności. I teraz widzimy ich kolejny krok w tym samym kierunku, czyli najpierw metale ziem rzadkich, teraz przedsiębiorstwa z zakresu dual-use, Chiny po prostu krok po kroku starają się odcinać Zachód od swoich półproduktów, materiałów, komponentów, żeby spowalniać obronność i modernizację państw NATO.

W 2024 roku Chiny wydobywały sześciokrotnie więcej metali ziem rzadkich niż drugie w zestawieniu Stany Zjednoczone. Silna zależność Unii Europejskiej od importu tych surowców z Państwa Środka stała się narzędziem nacisku w rękach władz w Pekinie. Komisja Europejska już zapowiedziała inicjatywy na rzecz zmniejszania tej zależności. Jedną z nich jest przyjęcie rozporządzenia w sprawie surowców krytycznych, które mocno podkreśla potrzebę dywersyfikacji dostaw. Do 2030 roku UE powinna przestać sprowadzać więcej niż 65 proc. rocznego zapotrzebowania na którykolwiek z pierwiastków z jednego kraju trzeciego. Dodatkowo 25 proc. rocznego zużycia powinno pochodzić z recyklingu, a nie z wydobycia.

– My jako Europa szykujemy się na wojnę obronną z Rosją, a jednocześnie uzależniamy się od Chin, które są najlepszym przyjacielem Federacji Rosyjskiej. Problem polega na tym, że w razie konfliktu Chiny z łatwością mogłyby odciąć europejskie firmy od dostępu do strategicznie ważnych dla nich komponentów czy produktów. Dlatego bardzo ważne jest, żeby te firmy wykonały benedyktyńską pracę prześledzenia swoich łańcuchów dostaw, sprawdzenia, z kim dokładnie współpracują, i starały się nie pozyskiwać produktów tylko z jednego źródła – mówi Paulina Uznańska.

Jak ocenia w swojej analizie ekspertka, decyzja Chin sygnalizuje gotowość do dalszego wspierania Rosji w wojnie przeciw Ukrainie. Może też być odczytywana jako rosnąca asertywność Pekinu, zwłaszcza w kontekście zaplanowanego na jesień przyjęcia nowych instrumentów ochrony wspólnego rynku.

– Chińczycy będą się starali wywierać presję, żeby Unia nie wprowadzała dodatkowych mechanizmów ochrony własnego rynku. To, z czym obecnie mamy do czynienia w dwustronnych relacjach, to jest ogromna presja przemysłu chińskiego na przemysł unijny. Właściwie przemysł unijny jest obecnie pożerany przez przemysł chiński. Unia obecnie planuje pokazanie nowych instrumentów ochrony wspólnego rynku: to mogą być cła i inne bardzo szeroko zakrojone narzędzia, które miałyby ten jednolity rynek chronić. Ten krok Chin pokazuje, że będą gotowi agresywnie odpowiadać na takie działania Unii Europejskiej – mówi Paulina Uznańska.

W lipcowym raporcie przygotowanym przez Ośrodek Studiów Wschodnich oraz Związek Przedsiębiorców i Pracodawców (ZPP) analitycy ostrzegają przed skutkami nowej fali chińskiej ekspansji gospodarczej, określanej jako „chiński szok 2.0”. Uderza ona bezpośrednio m.in. w przemysł motoryzacyjny, maszynowy, chemiczny oraz zielonych technologii. Oszacowano, że unijna gospodarka w 2025 roku utraciła z tego powodu 87 mld euro wartości dodanej, a Polska – 11,4 mld euro. Presja ze strony Chin jest widoczna zarówno na rynku unijnym, jak i na rynkach zagranicznych, gdzie europejskie produkty konkurują z tymi „made in China”. Eksperci wskazują na kilka obszarów, które wymagają pilnej zmiany. Obok uzależnienia od importu metali ziem rzadkich jest to równie duże uzależnienie od azjatyckiej produkcji substancji czynnych i składników antybiotyków oraz od dostaw ogniw do instalacji fotowoltaicznych. Autorzy raportu i cytowani w nim przedsiębiorcy podkreślają potrzebę wprowadzenia selektywnego protekcjonizmu, ale też aktywniejszej polityki przemysłowej, ochrony strategicznych łańcuchów dostaw, rozwoju własnych marek oraz premiowania europejskiej wartości dodanej w zamówieniach publicznych.

Po wejściu w życie ustawy o krajowym systemie cyberbezpieczeństwa (KSC) podmioty kluczowe i ważne przygotowują się do nowych obowiązków. Mają na to czas do 3 kwietnia 2027 roku, ale przedstawiciele Orange Polska wskazują, że szczególnie weryfikacja dostawców usług i sprzętu może wymagać dodatkowego czasu. Postulują także wprowadzenie systemu certyfikacji na wzór ISO, który ułatwiałby organizacjom ocenę zgodności z nowymi przepisami, a także rozszerzenie weryfikacji pracowników zajmujących się cyberbezpieczeństwem.

– Ustawa o krajowym systemie cyberbezpieczeństwa to regulacja, która stawia przed podmiotami wiele wyzwań, szczególnie przed podmiotami infrastruktury krytycznej, takimi jak Orange Polska. Możemy mówić zarówno o kwestii zgodności wdrożenia ustawy z wymogami ustawodawcy, o aspektach formalno-praktycznych, jak np. zakres weryfikacji kandydatów do pracy przy systemie zarządzania bezpieczeństwem informacji,  jak i o tym, jak dalece powinniśmy sprawdzać dostawców i w jakim czasie powinniśmy to zrobić. Ustawa nakłada różnorakie obowiązki, a ich realizacja to proces trudny i wymaga przeorganizowania wielu obszarów, żeby mogło to zadziałać – wyjaśnia w rozmowie z agencją Newseria Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska. – To są nowe rzeczy i bardzo istotne jest, żeby były wdrożone prawidłowo, ale też żeby organizacja podołała, bo obciążenie jest duże.

Nowelizacja ustawy o KSC, która wdraża do polskiego prawa unijną dyrektywę NIS 2, weszła w życie 3 kwietnia br. Nowe przepisy nakładają na podmioty kluczowe i ważne obowiązki w zakresie stosowania odpowiednich środków technicznych, operacyjnych i organizacyjnych w celu zapewnienia bezpieczeństwa sieci i systemów teleinformatycznych. Od 13 kwietnia do 6 maja br. minister cyfryzacji wprowadził do wykazu podmiotów kluczowych i podmiotów ważnych KSC z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmioty publiczne. Podmioty, które nie zostały objęte wpisem z urzędu, muszą go dokonać samodzielnie do 3 października br. 

– Ustawa jest bardzo obszernym dokumentem i reguluje wiele obszarów. Z naszego punktu widzenia certyfikacja na wzór ISO jest więc bardzo dobrym pomysłem. Byłaby dla nas istotną wskazówką, dzięki której wiedzielibyśmy, jak poszczególne punkty czy rozdziały ustawy należy adresować w dużej korporacji. Tego typu certyfikat – odpowiednio sprawdzony i zaudytowany – dawałby gwarancję dla naszych partnerów i klientów co do tego, że jesteśmy zgodni z przepisami prawa – podkreśla dyrektor bezpieczeństwa i compliance w Orange Polska.

Ministerstwo Cyfryzacji przygotowało projekt zestawienia norm i standardów, których stosowanie będzie wspierać realizację nowych obowiązków, w szczególności dotyczących obowiązków związanych z Systemem Zarządzania Bezpieczeństwem Informacji (SZBI). Ma ono ułatwić podmiotom identyfikację standardów dotyczących poszczególnych obszarów funkcjonowania systemu, w tym m.in. bezpieczeństwa systemów, zarządzania ryzykiem, ciągłości działania czy też łańcucha dostaw. Ma to być jednak zestawienie o charakterze pomocniczym i informacyjnym, a nie źródło obowiązującego prawa.  

Do 3 kwietnia 2027 roku podmioty kluczowe i ważne muszą wdrożyć obowiązki wynikające z nowych przepisów. Chodzi przede wszystkim o przygotowanie i wdrożenie SZBI, zgłaszanie incydentów do zespołów CSIRT, zarządzanie incydentami oraz wyznaczanie osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC.

– W aspekcie weryfikacji łańcucha dostaw, czyli tego, od kogo zamawiamy poszczególne komponenty usług lub sprzętu, konieczne jest wydłużenie terminu vacatio legis o 12 miesięcy. To dałoby nam większe prawdopodobieństwo dobrego sprawdzenia dostawców – postuluje Sławomir Chmielewski.

Kolejny postulat dotyczy obowiązku weryfikacji personelu, który będzie wykonywał zadania związane z cyberbezpieczeństwem, pod kątem niekaralności za przestępstwa przeciwko ochronie informacji. Na to również podmioty objęte ustawą mają czas do 3 kwietnia 2027 roku.

– Ważnym elementem jest to, jak weryfikujemy pracowników, którzy będą pracować przy systemie zarządzania bezpieczeństwem informacji lub rozpatrywać incydenty bezpieczeństwa informacji – uważa ekspert. – Ustawa zrobiła pierwszy krok, ale naszym zdaniem powinno to być sformułowane szerzej.

W świetle ustawy zadań związanych z cyberbezpieczeństwem nie mogą wykonywać osoby skazane za przestępstwa przeciwko ochronie informacji, w tym takich jak ujawnienie informacji niejawnych lub służbowych, nielegalne uzyskanie informacji, ich niszczenie czy też zakłócanie sieci i systemów.

– Uważamy, że kandydat powinien być weryfikowany również pod kątem przestępstw takich jak terroryzm albo szpiegostwo, ponieważ dostęp do informacji automatycznie może kusić do tego typu działań – zaznacza dyrektor bezpieczeństwa i compliance w Orange Polska. – Kolejnym elementem jest to, aby kandydat mógł być sprawdzany pod kątem konfliktu interesów, czy nie jest powiązany z podmiotami czy państwami, z którymi nie chcielibyśmy, żeby był powiązany. Ważne jest też badanie jego rezydentury cyfrowej. Kandydat może mówić o tym, że pracuje z danego kraju, tymczasem wiemy, że cyfrowo można to zorganizować tak, że pracuje z innego.

Zdaniem eksperta taka weryfikacja nie powinna być jednorazowa, ale cykliczna, przeprowadzana przykładowo co dwa lata. Jak podkreśla, ten postulat pojawiał się w trakcie dyskusji na konferencji Urzędu Ochrony Danych Osobowych na temat nowych przepisów NIS 2 i KSC.

– Padały też postulaty na temat uproszczenia współpracy pomiędzy organami państwowymi a podmiotami prywatnymi, jeśli chodzi o zgłaszanie incydentów bezpieczeństwa i wiele innych. Mam nadzieję, że przekuje się to również w konkretny legislacyjny materiał – mówi Sławomir Chmielewski.

Ustawa zakłada, że do 3 kwietnia 2028 roku podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych, mają obowiązek przeprowadzić pierwszy zewnętrzny audyt bezpieczeństwa swojego systemu informacyjnego. Takie audyty muszą być powtarzane co najmniej raz na trzy lata, a raporty z ich przebiegu – trafiać do odpowiednich organów. Od 3 kwietnia 2028 roku organy właściwe do spraw cyberbezpieczeństwa (dla telekomunikacji jest to UKE) będą mogły nakładać kary pieniężne za nieprzestrzeganie obowiązków.

– Świadomość firm na temat obowiązków wynikających z ustawy jest bardzo różna. W dużej mierze zależy to od tego, czy firma miała wcześniej do czynienia z infrastrukturą krytyczną, czy jest podmiotem infrastruktury krytycznej, i od tego, jaka jest jej dojrzałość. Niezależnie od świadomości i poziomu dojrzałości tak duża zmiana legislacyjna i jej wdrożenie wymagają czasu. Domyślam się, że firmy, dla których jest to novum, potrzebują jeszcze więcej czasu – uważa dyrektor bezpieczeństwa i compliance w Orange Polska.