Państwo ma gotowy mechanizm, żeby uznać producenta sprzętu albo oprogramowania za zagrożenie dla bezpieczeństwa Polski. Nikogo nim jeszcze nie objęło. Ministerstwo Cyfryzacji opisało procedurę dotyczącą listy dostawców wysokiego ryzyka 6 sierpnia 2026, krok po kroku, z terminami i organami. W tym samym dokumencie pada jedno zdanie, które ustawia całą sprawę. Do tej pory nie wszczęto żadnego postępowania i nie wydano żadnej decyzji. Nie ma więc listy, nie ma firm na liście i nie ma nikogo, kto musiałby cokolwiek wymieniać. Jest za to ścieżka, którą da się przejść, i to ona jest tu nowością.
Kto może zostać uznany za dostawcę wysokiego ryzyka
Dostawca wysokiego ryzyka to termin ustawowy o wąskim znaczeniu. Tak można określić dostawcę, którego określone produkty, usługi albo procesy teleinformatyczne mogą zostać uznane za stwarzające ryzyko. Chodzi o ryzyko dla bezpieczeństwa państwa albo porządku publicznego. Kluczowe jest tu słowo “określone”.
Ministerstwo pisze to wprost. Uznanie dostawcy za wysokiego ryzyka nie oznacza wykluczenia firmy z rynku. Decyzja obejmuje wyłącznie wskazane w niej typy produktów, rodzaje usług albo konkretne procesy. Adresatem decyzji jest sam dostawca, ale jej skutki sięgają tylko tego, co w niej wymieniono. Producent może więc dalej sprzedawać w Polsce całą resztę oferty. To rozróżnienie ginie w skrótach prasowych pierwsze, a jest w tej konstrukcji najważniejsze.
Jak przebiega postępowanie w sprawie dostawcy
Uznanie za dostawcę wysokiego ryzyka następuje wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji. Nie ma tu decyzji politycznej ogłaszanej na konferencji ani wpisu na listę z dnia na dzień. Kolejność wygląda tak:
- minister wszczyna postępowanie, zawiadamia dostawcę i publikuje informację w Biuletynie Informacji Publicznej,
- w ciągu 14 dni od publikacji zawiadomienia stanowisko mogą przedstawić organizacje społeczne,
- Kolegium do Spraw Cyberbezpieczeństwa ma trzy miesiące na przygotowanie opinii,
- minister publikuje raport w BIP, zanim wyda decyzję,
- decyzja trafia do dziennika urzędowego i do BIP.
Te 14 dni bywają mylone z terminem dla firm. To czas dla organizacji społecznych, które chcą zabrać głos w postępowaniu. Nie jest to termin reakcji dla firmy, która ma dany sprzęt u siebie w szafie.
Ile potrwa całe postępowanie, dokument nie przesądza. Podaje jeden konkretny termin: Kolegium przekazuje opinię w ciągu trzech miesięcy od dnia wystąpienia o nią. Reszta zależy od przebiegu sprawy.
Siedem lat, cztery lata i to, czego decyzja nie oznacza
Skutki wchodzą dopiero po decyzji i tylko w jej granicach. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa nie mogą wtedy wprowadzać do użytkowania wskazanych produktów, usług ani procesów. To, co już mają, muszą wycofać z użytkowania w terminie do siedmiu lat od dnia ogłoszenia decyzji. Dla określonych przedsiębiorców komunikacji elektronicznej ten termin wynosi cztery lata.
Uwaga na skrót “firmy mają siedem lat na wymianę sprzętu”. Nikt dziś nie ma na nic siedmiu lat. Licznik rusza dopiero od ogłoszenia konkretnej decyzji i obejmuje wyłącznie to, co ta decyzja wymienia. Dopóki żadnego postępowania nie wszczęto, żaden termin nie biegnie.
Sensownie jest natomiast czytać te liczby jako zapowiedź horyzontu. Jeśli kupujesz dziś przełączniki albo system na kolejną dekadę, to jest ryzyko do opisania w umowie. Żaden termin wycofania dziś nie biegnie, ale obowiązek oceny ryzyka dostawcy obowiązuje już teraz.
Pierwsza Misja AI · Kodożercy
AI zmienia rynek pracy. Zacznij rozumieć o co chodzi.
Kurs Pierwsza Misja AI to najkrótszy kurs po którym naprawdę rozumiesz AI – i możesz to pokazać certyfikatem. Sci-fi fabuła i gamifikacja sprawiają że nie nudzisz się ani minuty.
Dołącz do kursantów →
Kogo dotyczy krajowy system cyberbezpieczeństwa
Tu zaczyna się część, która dotyczy znacznie większej liczby firm niż sama sprawa dostawców. Nowelizacja ustawy o KSC wdraża unijną dyrektywę NIS2 i obowiązuje od kwietnia 2026. Rozszerza katalog podmiotów objętych systemem o kolejne sektory gospodarki, a podmiot spełniający kryteria ustawowe dostaje status kluczowego albo ważnego.
Część podmiotów minister wpisał do Wykazu KSC z urzędu wiosną i one dostały zawiadomienie. Reszta musi sprawdzić się sama. Ministerstwo pisze, że podmioty objęte ustawą powinny przeanalizować swoją działalność pod kątem kryteriów uznania za podmiot kluczowy lub ważny. Liczą się sektory z załączników do ustawy, kryteria wielkości przedsiębiorstwa oraz artykuł 5 ustawy. Samoocena jest więc pierwszym obowiązkiem i zarazem pierwszym miejscem, w którym firmy się gubią.
Terminy, które biegną naprawdę
W odróżnieniu od siedmiu lat z decyzji o dostawcy, te daty są konkretne i już się liczą:
- 3 października 2026 to termin wniosku o wpis do Wykazu KSC dla podmiotów kluczowych i ważnych, których minister nie wpisał z urzędu,
- 3 kwietnia 2027 to koniec czasu na podłączenie do systemu S46 i wdrożenie obowiązków,
- 3 kwietnia 2028 to termin pierwszego audytu dla podmiotów kluczowych, które nie były operatorami usług kluczowych, a zarazem moment, od którego mogą być nakładane kary pieniężne.
Do tego dochodzą obowiązki stałe: system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów do właściwego zespołu CSIRT i weryfikacja niekaralności personelu. Wszystkie terminy nowelizacji ministerstwo zebrało w osobnym dokumencie.
Co zrobić mimo braku decyzji o dostawcy wysokiego ryzyka
Najważniejsze zdanie całego komunikatu nie dotyczy listy, tylko jej braku. Brak listy dostawców wysokiego ryzyka nie zwalnia podmiotów z obowiązku oceny ryzyka przy zakupie produktów, usług i procesów teleinformatycznych. Ocena dostawcy jest obowiązkiem niezależnym i działa już dziś.
W praktyce oznacza to trzy rzeczy dla osoby odpowiedzialnej za zakupy. Pierwsza: wiedzieć, czyj sprzęt i czyje oprogramowanie stoi w krytycznych miejscach. Bez tego skutków przyszłej decyzji nie da się oszacować. Druga: zapisać ryzyko regulacyjne w umowie na sprzęt kupowany na lata, razem z podziałem kosztów wymiany. Trzecia: traktować dostawcę jako część własnej powierzchni ataku. Pokazał to niedawny wyciek danych z Żabki przez konto zewnętrznego dostawcy usług.
Ta ostatnia rzecz jest zresztą praktyczniejsza niż całe rozważanie o liście. Producent uznany kiedyś za groźnego dla państwa to ryzyko odległe i hipotetyczne. Integrator z dostępem do sieci i niezałatana skrzynka pod biurkiem są tu i teraz. Państwo zajmuje się jednym, codzienna higiena drugim, a prowadzić trzeba oba wątki naraz. Podobny podział widzieliśmy przy rządowej rekomendacji dotyczącej aktualizacji WordPressa. Państwo przypomniało tam o łatce, którą i tak trzeba było założyć samemu.
Podsumowanie
Dla firmy kupującej dziś sprzęt sieciowy wniosek jest jeden i nie zależy od tego, czy lista kiedykolwiek powstanie. Ministerstwo Cyfryzacji opisało procedurę prowadzoną przez ministra cyfryzacji w trybie administracyjnym. Organizacje społeczne mają w niej 14 dni na stanowisko, Kolegium do Spraw Cyberbezpieczeństwa trzy miesiące na opinię, a raport trafia do BIP przed decyzją. Dopiero po ogłoszeniu konkretnej decyzji powstaje zakaz wprowadzania wskazanych w niej produktów oraz obowiązek ich wycofania. Termin liczy się od dnia ogłoszenia tej decyzji i wynosi siedem lat, a dla określonych przedsiębiorców komunikacji elektronicznej cztery. Żadnego postępowania jednak nie wszczęto i żadnej decyzji nie wydano, więc dziś nie ma czego wymieniać. Obowiązek oceny ryzyka dostawcy przy zakupie istnieje niezależnie od listy. Terminem, który naprawdę naciska, jest wpis podmiotów kluczowych i ważnych do Wykazu KSC do 3 października 2026.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
