Wśród zmian wprowadzonych nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) jeden mechanizm budzi szczególnie dużo emocji: procedura dostawcy wysokiego ryzyka (DWR). To narzędzie, które w skrajnym przypadku może doprowadzić do obowiązku wycofania sprzętu lub oprogramowania konkretnego producenta z infrastruktury.
W tym artykule tłumaczymy, jak procedura działa i — co ważniejsze — co realnie oznacza dla łańcucha dostaw przeciętnej firmy.
Czym jest dostawca wysokiego ryzyka?
Dostawca wysokiego ryzyka (DWR) to producent lub dostawca produktów ICT (sprzętu albo oprogramowania), którego rozwiązania mogą stanowić zagrożenie dla bezpieczeństwa państwa. Status DWR nie wynika automatycznie z cech produktu — nadaje się go w drodze procedury administracyjnej. Pełną definicję znajdziesz w haśle dostawca wysokiego ryzyka (DWR).
Jak działa procedura uznania za DWR?
Ocena opiera się na dwóch grupach kryteriów:
- Techniczne — m.in. znane podatności, sposób zarządzania aktualizacjami i wsparciem, transparentność łańcucha produkcji.
- Pozatechniczne — m.in. powiązania prawne i kapitałowe dostawcy z państwem uznanym za stwarzające ryzyko, a także uwarunkowania geopolityczne.
Skutkiem uznania może być nakaz wycofania produktów danego dostawcy w określonym czasie.
Kogo realnie dotyczy procedura DWR?
To kluczowe pytanie, wokół którego narosło najwięcej nieporozumień. Zakres obowiązków nie jest jednakowy dla wszystkich:
- zależy od kategorii podmiotu (kluczowy/ważny) i rodzaju infrastruktury,
- inaczej wygląda dla operatorów infrastruktury krytycznej, inaczej dla mniejszych organizacji.
Dlatego decyzje trzeba opierać na aktualnym brzmieniu ustawy i oficjalnych komunikatach organów — a nie na medialnych skrótach typu „wszyscy muszą natychmiast wymienić sprzęt”.
Co DWR oznacza dla łańcucha dostaw Twojej firmy?
Nawet jeśli żaden z Twoich dostawców nie jest dziś uznany za DWR, mechanizm zmienia sposób, w jaki należy zarządzać zaopatrzeniem ICT:
- Inwentaryzacja — musisz wiedzieć, czyj sprzęt i oprogramowanie tworzą Twoją infrastrukturę.
- Koncentracja ryzyka — uzależnienie od jednego dostawcy staje się ryzykiem strategicznym.
- Umowy — warto wprowadzać klauzule bezpieczeństwa i strategie wyjścia.
- Gotowość do migracji — plan B na wypadek konieczności wymiany komponentu.
To dokładnie te elementy, których wymaga szersze zarządzanie ryzykiem łańcucha dostaw w NIS2.
Jak przygotować organizację?
- Zinwentaryzuj sprzęt i oprogramowanie w infrastrukturze krytycznej.
- Oceń koncentrację na pojedynczych dostawcach i wskaż punkty pojedynczej awarii.
- Zaktualizuj umowy o klauzule bezpieczeństwa i plany wyjścia.
- Włącz ryzyko DWR do programu zarządzania ryzykiem i procesu zakupowego (SCRM).
- Monitoruj komunikaty organów, by reagować zawczasu.
Powiązane pojęcia
Sprawdź nasze usługi
- Audyt i doradztwo KSC/NIS2 — w tym ocena ryzyka łańcucha dostaw
- Testy penetracyjne — weryfikacja bezpieczeństwa komponentów ICT
- SOC 24/7 — monitoring infrastruktury i reagowanie na zagrożenia
Procedura DWR to mechanizm ochrony łańcucha dostaw na poziomie państwa — dla firm najważniejszym wnioskiem jest prosty obowiązek: wiedzieć, z czego zbudowana jest własna infrastruktura, i mieć plan na wypadek zmiany.
