Projekt nowelizacji KSC na tle regulacji w państwach UE

Szwecja wykluczyła konkretnych dostawców z udziału w budowie sieci 5G. W oparciu o znowelizowane przepisy ustawy Prawo komunikacji elektronicznej^[xxxviii], które weszły w życie 1 stycznia 2020 r., warunkiem ubiegania się o licencję na używanie nadajników radiowych jest, aby korzystanie z częstotliwości radiowych nie zagrażało bezpieczeństwu Szwecji. Zgodnie z rozdziałem 3 sekcja 11 szwedzkiej ustawy, możliwe jest łączenie przyznawania uprawnień do korzystania z nadajników radiowych z warunkami, które mają znaczenie dla bezpieczeństwa Szwecji. W oparciu o przepisy rozdziału 7, sekcji 6 LEK, możliwe jest cofnięcie licencji i zmiana warunków licencji, jeśli użytkowanie częstotliwości radiowych spowodowałoby zagrożenie dla bezpieczeństwa Szwecji lub można założyć, że korzystanie z tych częstotliwości spowoduje taką szkodę. Szwedzka Agencja Poczty i Telekomunikacji - PTS została zobowiązana do konsultowania wniosków dotyczących zezwoleń na używanie nadajników radiowych ze Szwedzką Służbą Bezpieczeństwa i Szwedzkimi Siłami Zbrojnymi w celu wyjaśnienia, czy możliwe jest naruszenie bezpieczeństwa Szwecji”.

W oparciu o te przepisy PTS przygotowała dokumentację aukcyjną dotycząca dystrybucji częstotliwości 5G na przydział pasm 3,5 GHz i 2,3 GHz, w tym projekty decyzji licencyjnych. Następnie, ze względów bezpieczeństwa, decyzją z 20 październiku 2020 r., PTS zakazał używania określonych dostawców w sieci 5G przez operatorów biorących udział w aukcji. Stanowiło to część warunków, określonych w wyniku oceny przeprowadzonej przez siły zbrojne i służby bezpieczeństwa Szwecji. PTS zobowiązał do usunięcia do 1 stycznia 2025 r. sprzętu wskazanych dostawców ^[xxxix] przez operatorów, którzy uzyskali częstotliwości w ramach postępowania selekcyjnego.

Obecnie trwa postępowanie sądowoadministracyjne wszczęte z odwołania jednego z dostawców przeciwko PTS. W wyroku wydanym w I instancji szwedzki sąd administracyjny potwierdził, że PTS jest uprawniona do wydania pozwolenia na korzystanie z urządzeń radiowych w kluczowych elementach sieci w połączeniu z jednoczesnym zastrzeżeniem zakazu używania sprzętu określonych dostawców.

Wydaje się więc, że weryfikacja przez sąd apelacyjny spełnienia przesłanek proporcjonalności, zgodnie z zasadami wynikającymi z TFUE oraz dyrektywy ustanawiającej Europejski Kodeks Łączności Elektronicznej („EKŁE”), będzie miała kluczowe znaczenie, nie tylko w kontekście ewentualnego utrzymania bądź uchylenia zakazu nałożonego na określonych dostawców w Szwecji, ale będzie także istotna dla kolejnych państw rozważających wykluczenia w branży ICT.

Nowelizacja KSC ma w założeniu wdrażać propozycje zawarte w 5G Toolbox. Należy więc zwrócić uwagę, że projektowane rozwiązania skupiają się przede wszystkim na analizie ryzyka dostawcy spoza UE, czy też NATO, pod kątem oceny państwa jego pochodzenia. Projektodawcy pomijają całkowicie, że ocena profilu ryzyka dostawców w kontekście niezbędnych wyłączeń w celu skutecznego ograniczenia ryzyka, wynikająca ze środka strategicznego SM03, powinna uwzględniać wpływ tego dostawcy na kluczowe aktywa. Zaproponowany w projekcie KSC mechanizm oceny dostawcy pomija kategorie aktywów kluczowych z punktu widzenia bezpieczeństwa, wraz z ich poziomem wrażliwości oraz wykazem kluczowych elementów (kategorie elementów i funkcji). W Projekcie KSC nie przewidziano identyfikacji komponentów krytycznych sieci, na wzór innych państw UE. Konkretne typy produktów, rodzaje usług oraz procesy ICT nie zostały bowiem określone w nowelizacji KSC. Identyfikacja podmiotu jako dostawcy sprzętu i oprogramowania o funkcjach krytycznych w decyzji o uznaniu za dostawcę wysokiego ryzyka wpływa jedynie na skrócenie terminu na wycofanie dostawcy z siedmiu do pięciu lat. Samo skrócenie terminu na wycofanie produktów nie oznacza jednak ustalenia wpływu danego dostawcy i dostarczanych przez niego produktów na kluczowe aktywa w infrastrukturze.

Niewłaściwym wydaje się nałożenie takich samych obowiązków na wszystkie urządzenia danego dostawcy, albowiem wpływ części produktów na bezpieczeństwo infrastruktury telekomunikacyjnej może okazać się znikomy. W tym więc zakresie projekt KSC nie uwzględnia zalecenia, które dotyczy kluczowych aktywów (key assets). Podmioty uznane za dostawców wysokiego ryzyka byłyby wykluczone z jakiegokolwiek udziału w budowie sieci 5G, wbrew założeniom środka SM03, który przewiduje możliwość wykluczenia z dostaw, ale dotyczących infrastruktury zidentyfikowanej jako kluczowe aktywa. Tym samym, propozycje zawarte w KSC uznać należy za znacznie odbiegające od wymagań 5G Toolbox.