Cyberbezpieczeństwo łańcucha dostaw a zamówienia publiczne
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) , wdrażająca wymogi dyrektywy NIS 2, znacząco zmieniła podejście do zakupów produktów i usług ICT. Coraz większe znaczenie ma bowiem nie tylko bezpieczeństwo własnych systemów, lecz także bezpieczeństwo podmiotów dostarczających technologie wykorzystywane przez administrację publiczną.
Podmioty publiczne realizują zadania o fundamentalnym znaczeniu dla obywateli i gospodarki, przetwarzają duże ilości danych oraz są silnie uzależnione od systemów teleinformatycznych. Jednocześnie korzystają z rozbudowanych sieci dostawców i podwykonawców, co powoduje, że potencjalne zagrożenia mogą pojawić się nie tylko wewnątrz organizacji, lecz także na każdym etapie łańcucha dostaw. Z tego względu bezpieczeństwo dostawców stało się jednym z podstawowych obszarów objętych regulacjami NIS 2 i UKSC, które wprowadzają podejście zakładające, że bezpieczeństwo produktów, usług i dostawców staje się integralnym elementem procesu zakupowego. Dla zamawiających oznacza to konieczność uwzględnienia nowych obowiązków na etapie planowania, prowadzenia i realizacji postępowań, a dla wykonawców potrzebę wykazania, że oferowane rozwiązania spełniają coraz wyższe wymagania w zakresie cyberbezpieczeństwa.
Bezpieczeństwo łańcucha dostaw jako nowy obowiązek
Jednym z najważniejszych założeń nowych przepisów jest konieczność uwzględniania bezpieczeństwa i ciągłości łańcucha dostaw:
- produktów ICT (Information and Communication Technologies), czyli po polsku technologii informacyjno-komunikacyjnej - np. komputery, laptopy, smartfony, tablety, drukarki, routery, oprogramowanie, aplikacje mobilne;
- usług ICT - np. usługi chmurowe (np. Microsoft 365, Azure), hosting stron internetowych, poczta elektroniczna, usługi telekomunikacyjne, wsparcie IT;
- procesów ICT - np. tworzenie i rozwój oprogramowania, zarządzanie infrastrukturą IT, przetwarzanie danych, tworzenie kopii zapasowych, zarządzanie cyberbezpieczeństwem.
Ustawodawca wymaga, aby podmioty kluczowe i ważne analizowały ryzyka związane z dostawcami sprzętu i oprogramowania, oceniały jakość wykorzystywanych rozwiązań oraz brały pod uwagę wyniki ocen bezpieczeństwa prowadzonych na poziomie krajowym i unijnym.
Oznacza to, że cyberbezpieczeństwo powinno towarzyszyć całemu procesowi zakupowemu - od przygotowania dokumentacji postępowania aż do zakończenia realizacji umowy.
Jak przeprowadzić przetarg?
Punktem wyjścia powinna być identyfikacja zamówień, które obejmują produkty lub usługi ICT mające wpływ na funkcjonowanie organizacji. W takich przypadkach zamawiający powinien przeanalizować poziom ryzyka oraz określić wymagania dotyczące cyberbezpieczeństwa adekwatne do charakteru zamówienia. Weryfikacja wykonawców może obejmować:
- ocenę stosowanych przez nich procedur bezpieczeństwa;
- doświadczenia w realizacji podobnych projektów czy posiadanych certyfikatów potwierdzających wdrożenie odpowiednich systemów zarządzania bezpieczeństwem informacji.
Równie istotne jest odpowiednie ukształtowanie dokumentacji przetargowej. Nowe regulacje wymagają również odpowiedniego zabezpieczenia etapu realizacji umowy. Coraz większe znaczenie zyskują postanowienia dotyczące zgłaszania incydentów, współpracy podczas obsługi zdarzeń cyberbezpieczeństwa, prawa do przeprowadzania audytów oraz kontroli podwykonawców.
Dostawcy wysokiego ryzyka
Szczególnie istotną zmianą wprowadzoną przez nowelizację UKSC jest instytucja dostawcy wysokiego ryzyka. Minister właściwy do spraw informatyzacji może uznać określonego dostawcę sprzętu lub oprogramowania za podmiot stwarzający zagrożenie dla bezpieczeństwa państwa lub porządku publicznego. Taka decyzja wywołuje daleko idące skutki zarówno dla podmiotów objętych UKSC, jak i dla zamawiających prowadzących postępowania w oparciu o przepisy PZP.
Cyberbezpieczeństwo w zamówieniach publicznych staje się dziś elementem strategicznego zarządzania ryzykiem. Nowe obowiązki wynikające z UKSC i NIS 2 wymagają od zamawiających nie tylko znajomości przepisów, ale także budowania skutecznych mechanizmów oceny i nadzoru nad dostawcami.
Jeśli szukasz odpowiedzi na pytania:
- jak pogodzić wymagania UKSC z zasadami Prawa zamówień publicznych;
- w jaki sposób weryfikować bezpieczeństwo łańcucha dostaw;
- jakich dokumentów można żądać od wykonawców;
- jak przygotować zapisy umowne dotyczące cyberbezpieczeństwa;
- jakie konsekwencje niesie współpraca z dostawcą wysokiego ryzyka;
- jak przygotować organizację do nowych obowiązków wynikających z NIS 2
znajdziesz je w nagraniu ze szkolenia online „Cyberbezpieczeństwo łańcucha dostaw w zamówieniach publicznych – jak pogodzić wymogi UKSC i PZP?”, które poprowadziły r.pr. Agnieszka Wachowska - Co‑Managing Partner w kancelarii Traple Konarski Podrecki i Wspólnicy, ekspertka w zakresie zagadnień związanych z prawem IT, zamówieniami publicznymi na dostawy i usługi IT, a także w obszarze cyberbezpieczeństwa oraz r. pr. Marta Pasztaleniec - Senior Associate w kancelarii Traple Konarski Podrecki i Wspólnicy, specjalizująca się w prawie IT i zamówieniach publicznych.
Szkolenie dostępne jest w LEX Cyberbezpieczeństwo.
