Prawo komunikacji elektronicznej: co w bezpieczeństwie sieci i usług?

Proces odbywa się obecnie pod nadzorem UKE i wyposaża przedsiębiorcę w narzędzie które niejednokrotnie może okazać się jedynym skutecznym środkiem obrony przez zagrożeniem ze strony podmiotu wykorzystującego dostęp do sieci do działań mogących zagrozić bezpieczeństwu danych.

PKE przewiduje też szereg obowiązków informacyjnych w związku z bezpieczeństwem sieci i usług, począwszy od obowiązku zgłaszania UKE incydentów – art. 42 PKE (i tu kolejne upoważnienie ustawowe do wydania rozporządzenia definiującego, co należy uznawać za „incydent bezpieczeństwa podlegający zgłoszeniu”) poprzez obowiązki o charakterze informacyjno-edukacyjnym – art.42 ust.4, a skończywszy na obowiązku podania do publicznej wiadomości informacji o wystąpieniu incydentu uznanego przez UKE za istotny.

Niestety, włączenie incydentów bezpieczeństwa do kategorii „sytuacji szczególnych zagrożeń” (art.40 ust.3) PKE) należy uznać za zabieg niespecjalnie udany. Wydaje się, że zarówno art. 40 (po uprzednim wykreśleniu ust.3) jak i artykuły 44 oraz 45, zdecydowanie lepiej pasować będą do Oddziału 2 PKE omawiającego obowiązki na rzecz bezpieczeństwa państwa, tak jak jest to obecnie w PT.

Wnioski jakie nasuwają się po lekturze przepisów dotyczących Rozdziału 5 Oddział I projektu PKE można byłoby sprowadzić do dość krótkiego podsumowanie – dalsze zmiany proponowanych zapisów wydają się konieczne.

Prawdą jest, że EKŁE jest w kwestii bezpieczeństwa sieci i usług dość powściągliwy, szczególnie jeśli wziąć pod uwagę to, jak krytyczne jest bezpieczeństwo przetwarzania danych w sieci dla realizacji Europejskiej Agendy Cyfrowej. Można było jednak, opierając się o obecne zapisy PT oraz rozwiązania przyjęte przy wdrażaniu dyrektywy NIS, pokusić się o stworzenie modelu, który zapewniłby większą koherencję tych dwóch regulacji.

Co do problemów definicyjnych można je stosunkowo szybko usunąć, podobnie jak kwestie związane z pomieszaniem zagadnień związanych bezpieczeństwem danych oraz obowiązkami na rzecz państwa. Warto jednak jeszcze raz przemyśleć podejście do kwestii związanych z opisem obowiązków przedsiębiorców telekomunikacyjnych i wykorzystać doświadczenia z wdrożenia UKSC. Wydaje się także, że jest jeszcze wystarczająco dużo czasu aby niektóre delegacje zastąpić przez przepisy rangi ustawowej, co z pewnością zwiększyło by zarówno czytelność jak i stabilność tworzonych rozwiązań.

[tytuł od redakcji]

AUTOR

Prowadzi swoją kancelarię od 10 lat. W tym czasie współpracował przez ponad 7 lat z międzynarodową firmą prawną CMS, jako współzarządzający globalną praktyką telekomunikacyjną tej firmy oraz lider praktyki TMT w regionie CEE. Przed rokiem 2010 pracował przez ponad 14 lat w IBM (jak szef działu prawnego w Polsce, lider CEE w regionie i wiceprezes IBM Polska odpowiedzialny za operacje), oraz 3 lata Grupie Telekomunikacja Polska SA (obecnie Orange), jako członek zarządu odpowiedzialny za strategię i rozwój biznesu, oraz prawie 3 lata w Poczta Polska SA jako wiceprezes odpowiedzialny za strategię, IT oraz obrót międzynarodowy. Zasiadał także w Radach Nadzorczych takich spółek jak Emitel, Wirtualna Polska, KGHM czy PKP PLK.