Dostawcy wysokiego ryzyka: zrób inwentarz sprzętu teraz

Od 3 kwietnia 2026 minister cyfryzacji może uznać konkretnego dostawcę za dostawcę wysokiego ryzyka. Skutek dla firmy, która jego sprzęt ma u siebie: zakaz wprowadzania wskazanych produktów do użytkowania i obowiązek wycofania tych, które już pracują. Na dziś żadna taka decyzja nie została wydana, a lista jest pusta. To najlepszy moment, żeby sprawdzić, co dokładnie stoi w Twojej szafie, bo termin wycofania biegnie od dnia ogłoszenia decyzji, a nie od dnia, w którym zdążysz się policzyć.

Co dokładnie może zrobić minister cyfryzacji

Uznanie dostawcy za dostawcę wysokiego ryzyka następuje wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji. Postępowanie ma kilka etapów:

• minister zawiadamia dostawcę i publikuje informację w Biuletynie Informacji Publicznej,
• organizacje społeczne mają 14 dni od zawiadomienia na przedstawienie stanowiska,
• Kolegium do Spraw Cyberbezpieczeństwa wydaje opinię, a na jej przygotowanie ma trzy miesiące,
• przed wydaniem decyzji minister publikuje w BIP raport ze zgłoszonych stanowisk,
• decyzja jest natychmiast wykonalna i trafia do Monitora Polskiego, do BIP ministerstwa oraz na jego stronę.

(źródło: samorzad.gov.pl, procedura dot. listy dostawców wysokiego ryzyka)

Jedna rzecz rozstrzyga o skali skutków: decyzja obejmuje tylko te typy produktów, typy usług ICT albo konkretne procesy ICT, które zostały w niej wskazane. Nie wygasza całej działalności dostawcy. Ten sam producent może więc pozostać dopuszczalny w jednym obszarze i wykluczony w drugim. Inwentarz na poziomie "mamy sprzęt firmy X" nie wystarczy, potrzebny jest model i rola urządzenia w sieci.

Siedem lat albo cztery. Od czego liczy się termin

Podmioty objęte ustawą o KSC mają na wycofanie wskazanych produktów z użytkowania termin do siedmiu lat od dnia ogłoszenia decyzji. Dla określonych przedsiębiorców komunikacji elektronicznej termin wynosi cztery lata.

Siedem lat brzmi komfortowo tylko do momentu, w którym zestawisz je z cyklem życia sprzętu kupionego w tym roku. Switch albo firewall postawiony dzisiaj spokojnie przepracuje dekadę. Jeśli decyzja dotknie jego producenta w 2028 roku, realny czas na wymianę skraca się do pięciu lat od zakupu, a ustawa nie przewiduje rekompensaty za sprzęt wycofany przed końcem przydatności. Ryzyko siedzi więc w tym, co zamawiasz teraz, nie w tym, co odpiszesz od podatku w przyszłym roku.

Czego jeszcze nie wiadomo

Dwie rzeczy są otwarte i lepiej nazwać je wprost, zamiast planować wokół domysłów.

Pierwsza: nie wszczęto jeszcze żadnego postępowania i nie ma listy dostawców wysokiego ryzyka. Druga: część przepisów o dostawcach wysokiego ryzyka prezydent skierował do Trybunału Konstytucyjnego w trybie kontroli następczej. Skierowanie nie wstrzymuje obowiązywania przepisów, ale zostawia otwarte pytanie o ich ostateczny kształt.

Żadna z tych dwóch niewiadomych nie blokuje tego, co możesz zrobić dziś bez ryzyka, czyli zebrać dane o własnej infrastrukturze.

Inwentaryzacja: co powinno znaleźć się w arkuszu

Jeden arkusz, jedna linia na urządzenie, sześć kolumn, które naprawdę coś rozstrzygają:

• producent i dokładny model, nie "switch 48-portowy",
• rola urządzenia: czy realizuje funkcje istotne dla bezpieczeństwa sieci, czy da się je wymienić bez przestoju,
• warstwa: brzeg sieci, rdzeń, dostęp, serwer, oprogramowanie zarządzające,
• data zakupu i data końca wsparcia producenta,
• lokalizacja fizyczna: własna serwerownia, kolokacja, infrastruktura dostawcy usługi,
• tytuł prawny: czy urządzenie jest Twoją własnością, czy elementem usługi abonamentowej.

Ostatnia kolumna sprawia zwykle najwięcej kłopotu, a rozstrzyga najwięcej. Jeśli sprzęt należy do dostawcy usługi, obowiązek wycofania spada na niego, ale przestój i migracja na Ciebie. O to trzeba zapytać przed podpisaniem umowy, nie po ogłoszeniu decyzji.

Co dopisać do umów i do SWZ

W umowach na sprzęt i usługi ICT opisz wprost, co się dzieje, jeśli produkt obejmie decyzja o uznaniu dostawcy za dostawcę wysokiego ryzyka. Kto wymienia, w jakim terminie, na czyj koszt i czy przysługuje Ci wyjście z umowy bez kary.

W zamówieniach publicznych problem jest ostrzejszy, bo decyzja jest natychmiast wykonalna, a postępowanie już ogłoszone trzeba jakoś domknąć. Opis przedmiotu zamówienia lepiej więc budować na wymaganiach funkcjonalnych niż na nazwie producenta. Pisaliśmy o tym szerzej przy okazji kolokacji w zamówieniach publicznych oraz przetargu na serwer dedykowany.

O co zapytać operatora data center

Jeśli Twoje maszyny stoją w cudzej serwerowni, część warstwy sieciowej należy do operatora. Cztery pytania do niego:

• czyj sprzęt obsługuje łącza, brzeg sieci i ochronę przed atakami DDoS,
• czy operator wymieni ten element bez zmiany parametrów usługi,
• jak udokumentuje wymianę na potrzeby Twojego audytu,
• jakimi certyfikatami potwierdza zarządzanie bezpieczeństwem informacji i ciągłością działania.

W Sprint Data Center odpowiedź na ostatnie pytanie opiera się na certyfikatach ISO 27001 i ISO 22301. Do tego dochodzi certyfikat natowskiego systemu zarządzania jakością AQAP, certyfikat Wewnętrznego Systemu Kontroli oraz Świadectwo Bezpieczeństwa Przemysłowego Pierwszego Stopnia wydane przez ABW, które obejmuje informacje o klauzuli TAJNE. Sama serwerownia pracuje w Olsztynie, z dwutorowym zasilaniem, zasilaniem awaryjnym UPS i agregatem prądotwórczym, redundantnymi łączami operatorskimi oraz wsparciem w trybie 24/7/365.

Przy kolokacji serwerów dochodzi do tego dostęp fizyczny do serwera w asyście specjalisty i usługa zdalnych rąk. To dwie rzeczy, które decydują o tym, jak szybko da się urządzenie wymienić, kiedy termin zacznie naciskać.

Podsumowanie

Lista dostawców wysokiego ryzyka jest dziś pusta, a termin wycofania liczy się od ogłoszenia decyzji, nie od Twojej gotowości. Zrób inwentarz z modelami i rolami urządzeń, dopisz klauzulę do umów, a w nowych postępowaniach opisuj funkcje zamiast producenta.

Jeśli rozważasz przeniesienie maszyn do serwerowni, w której warstwa sieciowa jest udokumentowana i wymienna, sprawdź warunki kolokacji serwerów w Sprint Data Center albo katalog serwerów dedykowanych. O konkretny sprzęt i o zapisy umowne najszybciej dopytać w rozmowie.

FAQ – najczęściej zadawane pytania o dostawców wysokiego ryzyka

Czy lista dostawców wysokiego ryzyka już istnieje?

Nie. Nie wszczęto dotąd żadnego postępowania i żaden dostawca nie został uznany za dostawcę wysokiego ryzyka. Decyzję wydaje minister cyfryzacji wyłącznie w postępowaniu administracyjnym, a jej treść trafia do Monitora Polskiego oraz do Biuletynu Informacji Publicznej ministerstwa.

Ile czasu mam na wycofanie sprzętu po decyzji?

Do siedmiu lat od dnia ogłoszenia decyzji. Dla określonych przedsiębiorców komunikacji elektronicznej termin wynosi cztery lata. Liczy się data ogłoszenia, nie data zakupu urządzenia, więc sprzęt kupiony później ma w praktyce krótszy okres użytkowania.

Czy decyzja wyklucza całą ofertę dostawcy?

Nie. Obejmuje tylko wskazane w niej typy produktów, typy usług ICT albo konkretne procesy ICT. Ten sam producent może pozostać dopuszczalny w obszarach, których decyzja nie wymienia. Dlatego inwentarz musi schodzić do poziomu modelu i roli urządzenia.

Co z moim sprzętem, jeśli stoi w kolokacji?

Obowiązek wycofania dotyczy podmiotu, który produkt użytkuje. Przy urządzeniach należących do operatora data center wymiana jest po jego stronie, ale przestój i migracja obciążają Ciebie. Termin i tryb wymiany warto mieć zapisany w umowie kolokacyjnej.

Artykuł powstał z wykorzystaniem narzędzi sztucznej inteligencji (AI) pod nadzorem zespołu Sprint Data Center. Grafika ilustracyjna została wygenerowana przez AI.