Bezpieczeństwo sieci i usług telekomunikacyjnych – na co muszą przygotować się przedsiębiorcy?

◦ opracować i aktualizować dokumentację zawierającą opis stosowanych środków bezpieczeństwa;

◦ posiadać wykaz elementów infrastruktury telekomunikacyjnej i systemów informatycznych o znaczeniu kluczowym dla funkcjonowania przedsiębiorcy;

◦ zidentyfikować zagrożenia i ocenić prawdopodobieństwo ich wystąpienia;

◦ zapewnić i stosować środki minimalizujące skutki wystąpienia zagrożeń;

◦ ustanowić zasady i procedury dostępu do kluczowej infrastruktury i przetwarzanych danych, zabezpieczyć dostęp do nich i go monitorować;

◦ ustanowić zasady bezpiecznego zdalnego przetwarzania danych;

◦ monitorować funkcjonowanie sieci i usług;

◦ ustalić wewnętrzne procedury zgłaszania incydentów bezpieczeństwa oraz umożliwić użytkownikom końcowym ich zgłaszanie.

To przedsiębiorca telekomunikacyjny musi samodzielnie zidentyfikować ryzyka, które mogą zagrażać jego sieci lub usługom i ocenić, na ile realne jest ich rzeczywiste wystąpienie i zastosować takie środki, które uzna za adekwatne i właściwe, by przed tymi ryzykami się ochronić. Musi także posiadać niezbędne wykazy i procedury oraz monitorować ich aktualność i prawidłowość stosowania. Rozporządzenie stanowi swoistą check-listę, która ma na celu umożliwienie i ułatwienie kontroli przez UKE realizacji obowiązków z zakresu zapewnienia bezpieczeństwa sieci i usług.

• Trwają prace legislacyjne nad rozporządzeniem dotyczącym planu działań przedsiębiorcy telekomunikacyjnego w sytuacjach szczególnych zagrożeń. Dotychczas obowiązek posiadania takiego planu (z pewnymi drobnymi wyjątkami), dotyczył wszystkich przedsiębiorców telekomunikacyjnych. Praktyka pokazała jednak, że podmioty właściwe w sprawach zarządzania kryzysowego, z którymi przedsiębiorcy mieli obowiązek uzgadniać plany, nie były szczególnie zainteresowane współpracą z mniejszymi operatorami. Stąd planowane zwolnienie z obowiązku sporządzania planu tych przedsiębiorców, których roczne przychody z tytułu wykonywania działalności telekomunikacyjnej w poprzednim roku obrotowym były równe lub mniejsze od kwoty 10 milionów złotych, i których działalność polega wyłącznie na świadczeniu usług dostępu do sieci internet za pośrednictwem sieci telekomunikacyjnej obsługującej do 1 000 zakończeń sieci posiadających własny adres IP.

Można odnieść wrażenie, że podstawowym celem wprowadzenia regulacji, która – jak należy zakładać – ma służyć pomocą przedsiębiorcom w stosowaniu właściwych i skutecznych środków zapewnienia bezpieczeństwa sieci i usług, stanie się de facto narzędziem kontroli i podstawą do nakładania kar. Przy takiej deklaracji UKE przedsiębiorcy powinni szczególnie zadbać o to, by wraz z upływem 6-miesięcznego vacatio legis rozporządzenia z 22 czerwca 2020 r. byli przygotowani na kontrolę UKE i posiadali opracowaną dokumentację oraz wdrożone procedury zapewniające realizację wymogów wynikających z nowych przepisów. Muszą też liczyć się z jego nowelizacją po wejściu w życie PKE.

Podmioty działające w branży telekomunikacyjnej z pewnością nie będą mogły w najbliższym czasie narzekać na nudę.

AUTORKA

Adwokat w Kancelarii Brzezińska Narolski Adwokaci. Specjalizuje się w prawie telekomunikacyjnym, prowadzi obsługę korporacyjną firm z branży telekomunikacyjnej, farmaceutycznej, dystrybucyjnej i usługowej.