Sz. P. Anna Streżyńska Minister Cyfryzacji ul. Królewska Warszawa

Transkrypt

1 KRAJOWA IZBA KOMUNIKACJI ETHERNETOWEJ ul. Lindleya Warszawa Tel , Fax biuro@kike.pl, grap@kike.pl, KRS , REGON: , NIP Warszawa, dnia 14 listopada 2016 roku ID KIKE: GRAP 688/16 Sz. P. Beata Szydło Prezes Rady Ministrów Warszawa Al. Ujazdowskie 1/3 do wiadomości: Sz. P. Mateusz Morawiecki Wicepremier Minister Rozwoju i Finansów Pl. Trzech Krzyży 3/ Warszawa Sz. P. Anna Streżyńska Minister Cyfryzacji ul. Królewska Warszawa Dotyczy: zmian w Rozporządzeniu Rady Ministrów dnia 13 września 2005 r. w sprawie wypełniania przez przedsiębiorców telekomunikacyjnych zadań i obowiązków na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego. Szanowna Pani Premier, Krajowa Izba Komunikacji Ethernetowej w Warszawie (zwana dalej KIKE lub Izbą), wnosi o rozpoczęcie prac mających na celu nowelizację zapisów aktów normatywnych

2 nakładających na małych i średnich przedsiębiorców rynku telekomunikacyjnego obowiązki w zakresie ochrony informacji niejawnych, w szczególności zapisów 3 ust 3 i 4 Rozporządzenia Rady Ministrów z dnia 13 września 2005 r. w sprawie wypełniania przez przedsiębiorców telekomunikacyjnych zadań i obowiązków na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego (zwanego dalej Rozporządzeniem), w brzmieniu: 3 3. Przedsiębiorca świadczący usługi dostępu do sieci Internet za pośrednictwem sieci telekomunikacyjnej powinien zapewniać warunki do ochrony informacji niejawnych oznaczonych klauzulą "ściśle tajne", potwierdzone świadectwem bezpieczeństwa przemysłowego: 1) pierwszego stopnia - jeżeli wykonuje działalność telekomunikacyjną na terenie więcej niż trzech województw albo eksploatuje sieć telekomunikacyjną obsługującą powyżej zakończeń sieci posiadających własny adres IP; 2) co najmniej drugiego stopnia - jeżeli eksploatuje sieć telekomunikacyjną obsługującą od do zakończeń sieci posiadających własny adres IP; 3) co najmniej trzeciego stopnia - jeżeli eksploatuje sieć telekomunikacyjną obsługującą od 500 do zakończeń sieci posiadających własny adres IP. 4. Do dostępu do informacji niejawnych przez przedsiębiorcę eksploatującego sieć telekomunikacyjną obsługującą do 500 zakończeń sieci lub świadczącego usługi dostępu do sieci Internet za pośrednictwem sieci telekomunikacyjnej obsługującej do 500 zakończeń sieci posiadających własny adres IP, który nie posiada świadectwa bezpieczeństwa przemysłowego, mają zastosowanie przepisy art. 49 ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych. U Z A S A D N I E N I E KIKE jest izbą gospodarczą zrzeszająca przedsiębiorców telekomunikacyjnych, której statutowym celem jest m.in. ochrona i reprezentacja interesów jej członków, a także monitoring całego rynku telekomunikacyjnego, ze szczególnym uwzględnieniem segmentu MŚP, gdyż jesteśmy jedyną ogólnopolską izbą gospodarczą reprezentującą wyłącznie operatorów lokalnych, a nie duże przedsiębiorstwa telekomunikacyjne. Członkami KIKE są bowiem niemal w całości mikro oraz mali przedsiębiorcy telekomunikacyjni posiadający od 500 do zakończeń sieci. Poniższa analiza wskazuje, że zapisy ww. aktu normatywnego są niemiarodajne w stosunku do skali zjawiska. Izba wielokrotnie w poprzednich latach wskazywała na opisane niżej problemy. Niestety, jak dotąd bezskutecznie, co równocześnie sprzyja negatywnym

3 praktykom podmiotów trzecich względem operatorów i służb, a będących pośrednio efektem omawianych regulacji i presji kontrolnych Departamentu Spraw Obronnych (DSO) Urzędu Komunikacji Elektronicznej (UKE) wywieranych na rynek. I. O C E N A S K U T K Ó W R E G U L A C J I KIKE przeprowadziło analizę wśród swoich członków w zakresie: 1. Występowania zjawiska w zakresie zadań i obowiązków na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego. Z przedmiotowej analizy przeprowadzonej wśród blisko 180 członków KIKE wynika, że w ciągu ostatnich 12 miesięcy nie wstępowały zjawiska, dla których wykonania niezbędna byłaby realizacja określonych Rozporządzeniem wymagań w zakresie ochrony informacji niejawnych. Co więcej typowy lokalny dostawca Internetu 1 w całym okresie swojej działalności (od kilku do kilkunastu lat) statystycznie nie był podmiotem zobligowanym do podjęcia działań wymagających dostępu do informacji wskazanych w 3. W świetle zamieszczonych niżej danych i wykonywanych od lat analiz rynku, typowy lokalny dostawca Internetu posiada poniżej abonentów. Powyżej tego progu plasuje się niespełna 4% firm, włączając w to największe przedsiębiorstwa telekomunikacyjne w Polsce i to wobec nich realizowane są omawiane czynności operacyjne. Również jedynie największe firmy dysponują etatowymi własnymi służbami posiadającymi stosowne uprawnienia. Nie wszyscy maili i średni przedsiębiorcy rynku telekomunikacyjnego są zrzeszeni w Izbie. Jednakże na podstawie naszej analizy wysnuć należy tezę, iż ewentualne czynności operacyjne wymagające stosownych uprawnień jeśli występują, to ma to miejsce niezwykle sporadycznie w tej grupie przedsiębiorców. W takich przypadkach techniczna oraz formalna obsługa czynności realizowana jest na podstawie dopuszczeń jednorazowych. Dzieje się tak dlatego, iż w małych firmach rodzinnych lub zatrudniających zazwyczaj nie więcej, niż 1 Wedle zagregowanych danych pozyskanych z RPT dzięki uprzejmości UKE, na dzień liczba abonentów przedsiębiorstw telekomunikacyjnych przedstawia się następująco: wielkość firmy liczba abonentów ilość firm % Mikro ,48% ,69% Małe ,92% ,15% średnie i duże ,76% RAZEM: ,00%

4 kilkanaście osób, do ewentualnych czynności operacyjnych dopuszczani muszą być pracownicy posiadający faktyczną wiedzę o sieci, dostęp do serwerów, kont lub baz danych, etc. W tak małych firmach nie ma bowiem dedykowanych działów bezpieczeństwa ze stosownymi uprawnieniami osobistymi. Na uwagę zasługuje fakt, że członkowie KIKE to lokalni przedsiębiorcy, reprezentujący polski kapitał oraz płacący podatki w Polsce. W większości przypadków powodem, dla którego rozpoczęli prowadzenie działalności gospodarczej był deficyt usług dostępu do Internetu na rynku lokalnym. Nasi członkowie dostarczają Internet swoim sąsiadom, szkołom, w których uczą się ich dzieci oraz placówkom ochrony zdrowia do których sami uczęszczają, nie zawsze kierując się wyłącznie ekonomicznym aspektem swoich działań. Analizy wymaga jednak jeszcze jeden aspekt problemu. Wielu operatorów nie mogąc z obiektywnych przyczyn zapewnić we własnym zakresie realizacji omawianych wymagań, podejmuje się formalnego zapewnienia wymaganych certyfikatów i podpisuje umowy z zewnętrznymi firmami specjalizującymi się w tego typu usługach, mającymi stosowne uprawnienia. Ten kierunek wymuszają m.in. kontrole DSO UKE, które prowadzone są od lat niezależnie od faktu, czy kontrolowane firmy są faktycznie adresatami działań operacyjnych wymagających realizacji kontrolowanych obowiązków 2. Koszt takich umów outsourcingowych 3 jest jednak niewspółmiernie wysoki do przychodów i zysku z działalności telekomunikacyjnych dla mikro i małych operatorów (o czym piszemy poniżej). Ważniejsze jest jednak, iż w przypadku ewentualnego wystąpienia konieczności podjęcia działań operacyjnych firmy zewnętrzne nie mają stosownej wiedzy o infrastrukturze i zasobach lokalnego operatora. W tych nielicznych wypadkach, do których dotarliśmy w rozmowach z operatorami posiadającymi tego typu umowy, faktyczna realizacja czynności operacyjnych i tak realizowana jest przez pracowników własnych dopuszczanych na podstawie jednorazowych zezwoleń. W praktyce więc obserwujemy od lat sytuację, w której formalny, ale operacyjnie dla służb nieistotny zestaw obowiązków obronnościowych wymusza na małych firmach lokalnych opłacanie zewnętrznych firm, które dysponują stosownymi uprawnieniami (zatrudniając m.in. byłych funkcjonariuszy upoważnionych instytucji), ale które nie dysponują i tak kompetencjami do realizacji faktycznych czynności operacyjnych w lokalnych sieciach telekomunikacyjnych. Ewentualnie lokalni operatorzy muszą ponosić opisane niżej nieadekwatnie do rozmiarów swoich działalności koszty budowy systemu zabezpieczeń oraz pozyskiwania i uaktualniania uprawnień, które nie służą w praktyce realnym potrzebom upoważnionych służb. Niezwykle istotne jest przy tym wskazanie, iż lokalni operatorzy z powodzeniem wywiązują się z innych obowiązków, które są przedmiotem realnie występujących zapytań 2 Katalog obowiązków jest szerszy i obejmuje również takie zadania, jak stworzenie oraz utrzymanie kancelarii tajnej, etc. 3 Od tysiąca kilkuset złotych miesięcznie. Analizę kosztów do przychodu zamieszczamy niżej.

5 upoważnionych instytucji. Należy wskazać tu przede wszystkim na retencję danych. Równocześnie w przypadku ewentualnej konieczności podjęcia bardziej złożonych działań, współpracują z upoważnionymi służbami w oparciu o procedury dopuszczenia jednorazowego. Omawiana nowelizacja Rozporządzenia nie wpłynie więc negatywnie na możliwość realizacji potencjalnych działań operacyjnych w sieciach lokalnych. A jedynie poprzez podniesienie progów, urealni obowiązki do praktyki i potrzeb upoważnionych instytucji i ograniczy presję na zawieranie nieuzasadnionych potrzebami służb umów z podmiotami zewnętrznymi, które wydają się być głównym beneficjentem omawianej sytuacji. Należy zwrócić uwagę również na sytuację firm, które realizują swoje usługi na pograniczu województw. Zgodnie z zapisami Rozporządzenia świadectwo bezpieczeństwa przemysłowego pierwszego stopnia musi posiadać firma, jeżeli wykonuje działalność telekomunikacyjną na terenie więcej niż trzech województw albo eksploatuje sieć telekomunikacyjną obsługującą powyżej zakończeń sieci posiadających własny adres IP. Z posiadanych przez KIKE danych wynika, że istnieją przypadki, w których firmy eksploatują sieć telekomunikacyjną obsługującą do zakończeń sieci posiadających własny adres IP, na terenie trzech województw. KIKE wnosi o usunięcie zapisów Rozporządzenia w przedmiotowej kwestii. 2. Oceny skutków finansowych dla przedsiębiorcy. Z przeprowadzonej w KIKE analizy wynika, że koszty zapewniania wymagań mogą sprowadzać się do poziomu niekiedy przekraczającego nawet 10% dochodu małego przedsiębiorcy. Przeanalizujmy jeszcze raz przypadek przeciętnego członka KIKE, przedsiębiorcy posiadającego zakończeń sieci. Rozważyć należy dwie możliwości realizacji obowiązków wynikających z Rozporządzenia: a) Stworzenie systemu ochrony informacji niejawnych w zasobach własnych przedsiębiorcy wiąże się m.in. z uzyskaniem świadectwa bezpieczeństwa przemysłowego oraz utworzeniem kancelarii tajnej - koszt jednorazowy około: ,00 PLN 4. Równocześnie miesięczny koszt utrzymania szacujemy na 4 Szacunkowy koszty stworzenia systemu ochrony informacji niejawnych: Sejf System alarmowe oraz kamery Drzwi 2 sztuki (do kancelarii oraz strefy I) Plan ochrony Wydzielone miejsce do pracy (np. dla służb) Konsulting Świadectwo bezpieczeństwa przemysłowego ok 5.000,00 PLN netto, ok ,00 PLN netto, ok ,00 PLN netto, ok 5.000,00 PLN netto, ok ,00 PLN netto, ok 10% kosztów, ,34 PLN brutto.

6 kwotę ok 5.000,00 PLN 5 i minimum ,34 PLN co pięć lat z tytułu konieczności odnowienia świadectwa bezpieczeństwa przemysłowego. b) Skorzystanie z przewidzianego w art. 179 ust. 7 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne 6 rozwiązania w zakresie możliwości zlecenia realizacji zadań i obowiązków na rzecz obronności i bezpieczeństwa państwa koszt miesięczny ok ,00 PLN miesięcznie 7. Przychody z działalności dla ww. typowego zobowiązanego przedsiębiorcy w omawianym przykładzie można przyjąć na poziomie ,00 PLN 8. Teoretyczny zysk lokalnego przedsiębiorcy z działalności operatorskiej wynosi średnio 15-40% tej kwoty, jednak ze względu na brak obecności na rynku kredytów inwestycyjnych dla małych i średnich przedsiębiorców jest on zazwyczaj w większości reinwestowany w rozbudowę lub modernizację infrastruktury sieciowej. W praktyce więc zysk większości operatorów w tej grupie nie przekracza 15-25% i jest często dzielony między wspólników lub członków rodziny w firmach rodzinnych. W firmach posiadających abonentów udział inwestycji w budżecie firm lokalnych jest przy tym stosunkowo większy zarówno z uwagi na większą dynamikę inwestycji, jak i wykorzystanie dotacji 9, dla których przychody abonamentowe są przy braku kredytów komercyjnych, podstawą zabezpieczania zobowiązań związanych z udziałem własnym. 3. Inne aspekty omawianych zapisów. Przytoczona wyżej analiza wielkości i przychodów firm lokalnych oparta jest na ilości abonentów omawianych operatorów lokalnych. W praktyce więc na dziś przyjęte w Rozporządzeniu pojęcie zakończenia sieci w większości sieci abonenckich odpowiada HC, czyli podłączonym do sieci lokalom, w których świadczone są usługi. Analizując przepisy i technologię należy jednak wskazać, iż jest to nie tylko daleko idące uproszczenie, ale i potencjalnie duży problem interpretacyjny wymagający w przyszłości głębszej analizy i nowelizacji omawianych przepisów. 5 Koszty pracowników w niepełnym wymiarze czasu pracy (Pełnomocnik Ochrony Informacji Niejawnych PLN, Kierownik kancelarii PLN) 6 art. 179 ust. 7 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne Przedsiębiorca telekomunikacyjny może powierzyć, w drodze umowy, innemu przedsiębiorcy telekomunikacyjnemu wykonywanie obowiązków, o których mowa w ust. 3. Powierzenie to nie zwalnia powierzającego z odpowiedzialności za wykonywanie obowiązków, o których mowa w ust W ramach wykonanej kwerendy znane są nam przykłady stawek nieco niższych, ale i sytuację, w których firmy zobowiązane zostały płacić podmiotom zewnętrznym kilka tysięcy złotych miesięcznie (najczęściej w wyniku presji kontroli DSO UKE). 8 Miesięczny abonament na poziomie 50 PLN. 9 Poprzednio głównie w ramach POIG 8.4 oraz RPW II.1. Obecnie POPC 1.1.

7 W ocenie KIKE należy zwrócić przede wszystkim uwagę na następujące fakty: a) Pojedynczy abonent indywidualny lub biznesowy może mieć więcej, niż 1 adres IP. Dobrym przykładem są uczelnie oraz korporacje dysponujące często dużymi zakresami adresacji IP liczonymi w tysiącach i własną polityką administracji oraz kierowania ruchem. Większość z tego typu sieci nie ma przy tym charakteru przedsiębiorstw telekomunikacyjnych zarejestrowanych w RPT UKE, a ich ruch może być realizowany w całości z wyłączeniem krajowych operatorów telekomunikacyjnych 10. b) Użytkownicy sieci wykorzystują różne typy adresacji IP, m.in. prywatne i publiczne, IPv4 i coraz częściej IPv6, adresacje unicastowe i multicastowe, etc. c) Zakończenia sieci nie zawsze wykorzystują protokół IP. Nie wszystkie też sieci są sieciami publicznymi. d) Wraz z rozwojem koncepcji Internetu Rzeczy (IoT), liczba zakończeń sieci posiadających adresy IP będzie lawinowo rosła. W ocenie KIKE już choćby skrócona powyższa lista wskazuje, iż progi określone w 2005 r. od poziomu 500 zakończeń sieci, są całkowicie nieadekwatne do dzisiejszej rzeczywistości, w której powszechne jest wykorzystywanie różnorodnych urządzeń sieciowych od komputerów osobistych i smartfonów, po różnego typu włączone w sieć IP kontrolery inteligentnych budynków, punkty dostępowe, bramki, czujniki, czy też Smart TV. W praktyce można wyobrazić sobie małą rodziną firmę lub jednostkę samorządową w niewielkiej wsi, która będzie obsługiwała lokalną szkołę i kilkudziesięciu abonentów mając przychody na poziomie kilku tysięcy złotych miesięcznie, której DSO UKE będzie w stanie wykazać kilka tysięcy zakończeń sieci IP. Nie jest to trudne w koncepcji sieci IPv6. Z czego zdecydowania większość zakończeń nie będzie miała nic wspólnego z abonenckimi terminalami osobistymi, które w naszej ocenie leżały u podstaw koncepcji zakończeń IP w pierwszej wersji Rozporządzenia. W naszej ocenie należy więc poddać zdecydowanej i pogłębionej analizie konstrukcję obowiązków i progów. Mając świadomość głębokości potrzebnych zmian w podejściu do pojęcia zakończeń sieci i celów regulacji, spodziewamy się konieczności przeprowadzenia bardziej złożonych analiz zarówno potrzeb służb, dotychczasowej praktyki, jak i zmian technologicznych. Problemy obserwowane na rynku wymagają jednak działania, stąd przynajmniej do czasu wypracowania nowej koncepcji obowiązków, wnosimy o dokonanie omówionych niżej zmian. 10 Możliwością taką dysponuje każda sieć autonomiczna posiadająca własny numer AS i adresację, do których otrzymania nie wymaga się statusu przedsiębiorstwa telekomunikacyjnego.

8 II. P R O P O Z Y C J A Z M I A N KIKE rekomenduje zwiększenie progów dla przedsiębiorcy eksploatującego sieć telekomunikacyjną wskazanych w 3 ust. 3 i 4 Rozporządzenia. Proponowane zmiany oraz procedura jednorazowego dopuszczenia w przypadku wystąpienia sytuacji wskazanych w omawianych przepisach, pozwolą na zastosowanie mechanizmów określonych w art. 49 ust. 3 ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych 11, natomiast ograniczą bezprzedmiotowe koszty spoczywające na mikro i małych dostawcach Internetu. Nowelizacja wpisuje się więc w założenia wspierania przez Rząd Małych i Średnich Przedsiębiorców, racjonalizacji obciążeń. Likwidacji barier i wykluczenia cyfrowego, a także wspierania rozwoju innowacyjności oraz cyfrowych kompetencji polskich obywateli, instytucji i firm. W związku powyższym KIKE proponuje zmianę zapisów 3. ust 3 i 4 Rozporządzenia tak, aby nadać im następujące brzmienie: 3 3. Przedsiębiorca świadczący usługi dostępu do sieci Internet za pośrednictwem sieci telekomunikacyjnej powinien zapewniać warunki do ochrony informacji niejawnych oznaczonych klauzulą "ściśle tajne", potwierdzone świadectwem bezpieczeństwa przemysłowego: 1) pierwszego stopnia - jeżeli eksploatuje sieć telekomunikacyjną obsługującą powyżej zakończeń sieci posiadających własny adres IP; 2) co najmniej drugiego stopnia - jeżeli eksploatuje sieć telekomunikacyjną obsługującą od do zakończeń sieci posiadających własny adres IP; 3) co najmniej trzeciego stopnia - jeżeli eksploatuje sieć telekomunikacyjną obsługującą od do zakończeń sieci posiadających własny adres IP. 4. Do dostępu do informacji niejawnych przez przedsiębiorcę eksploatującego sieć telekomunikacyjną obsługującą do zakończeń sieci lub świadczącego usługi dostępu do sieci Internet za pośrednictwem sieci telekomunikacyjnej obsługującej do zakończeń sieci posiadających własny adres IP, który nie posiada świadectwa bezpieczeństwa przemysłowego, mają zastosowanie przepisy art. 49 ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych. 11 art. 49 ust 3 ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych: W wyjątkowych, szczególnie uzasadnionych przypadkach, z zastrzeżeniem art. 4 ust. 1, podmioty, o których mowa w ust. 1 i 2, mogą wyrazić pisemną zgodę na jednorazowe udostępnienie określonych informacji niejawnych osobie nieposiadającej odpowiedniego poświadczenia bezpieczeństwa lub jednostce organizacyjnej nieposiadającej świadectwa bezpieczeństwa przemysłowego.

9 Jednocześnie KIKE zgłasza gotowość do przeprowadzenia dalszych konsultacji na temat optymalizacji procesów mających na celu wypracowanie akceptowalnego dla stron kompromisu np. w formie grupy roboczej. Wobec powyższego KIKE wnosi jak na wstępie. Z poważaniem, Piotr Marciniak Prezes KIKE Grupa Robocza ds. Administracji Publicznej KIKE