{"id":2977,"date":"2026-10-13T14:26:56","date_gmt":"2026-10-13T12:26:56","guid":{"rendered":"https:\/\/www.sprintdatacenter.pl\/blog\/?p=2977"},"modified":"2026-10-13T14:26:56","modified_gmt":"2026-10-13T12:26:56","slug":"dostawcy-wysokiego-ryzyka-zrob-inwentarz-sprzetu-teraz","status":"publish","type":"post","link":"https:\/\/www.sprintdatacenter.pl\/blog\/dostawcy-wysokiego-ryzyka-zrob-inwentarz-sprzetu-teraz\/","title":{"rendered":"Dostawcy wysokiego ryzyka: zr\u00f3b inwentarz sprz\u0119tu teraz"},"content":{"rendered":"<h1>Dostawcy wysokiego ryzyka: zr\u00f3b inwentarz sprz\u0119tu teraz<\/h1>\n<p>Od 3 kwietnia 2026 minister cyfryzacji mo\u017ce uzna\u0107 konkretnego dostawc\u0119 za dostawc\u0119 wysokiego ryzyka. Skutek dla firmy, kt\u00f3ra jego sprz\u0119t ma u siebie: zakaz wprowadzania wskazanych produkt\u00f3w do u\u017cytkowania i obowi\u0105zek wycofania tych, kt\u00f3re ju\u017c pracuj\u0105. Na dzi\u015b \u017cadna taka decyzja nie zosta\u0142a wydana, a lista jest pusta. To najlepszy moment, \u017ceby sprawdzi\u0107, co dok\u0142adnie stoi w Twojej szafie, bo termin wycofania biegnie od dnia og\u0142oszenia decyzji, a nie od dnia, w kt\u00f3rym zd\u0105\u017cysz si\u0119 policzy\u0107.<\/p>\n<nav class=\"sdc-toc\">\n<h2>Spis tre\u015bci<\/h2>\n<ul>\n<li><a href=\"#co-dokladnie-moze-zrobic-minister\">Co dok\u0142adnie mo\u017ce zrobi\u0107 minister cyfryzacji<\/a><\/li>\n<li><a href=\"#siedem-lat-albo-cztery-od\">Siedem lat albo cztery. Od czego liczy si\u0119 termin<\/a><\/li>\n<li><a href=\"#czego-jeszcze-nie-wiadomo\">Czego jeszcze nie wiadomo<\/a><\/li>\n<li><a href=\"#inwentaryzacja-co-powinno-znalezc-sie\">Inwentaryzacja: co powinno znale\u017a\u0107 si\u0119 w arkuszu<\/a><\/li>\n<li><a href=\"#co-dopisac-do-umow-i\">Co dopisa\u0107 do um\u00f3w i do SWZ<\/a><\/li>\n<li><a href=\"#o-co-zapytac-operatora-data\">O co zapyta\u0107 operatora data center<\/a><\/li>\n<li><a href=\"#podsumowanie\">Podsumowanie<\/a><\/li>\n<li><a href=\"#faq-najczesciej-zadawane-pytania-o\">FAQ \u2013 najcz\u0119\u015bciej zadawane pytania o dostawc\u00f3w wysokiego ryzyka<\/a><\/li>\n<\/ul>\n<\/nav>\n<h2 id=\"co-dokladnie-moze-zrobic-minister\">Co dok\u0142adnie mo\u017ce zrobi\u0107 minister cyfryzacji<\/h2>\n<p>Uznanie dostawcy za dostawc\u0119 wysokiego ryzyka nast\u0119puje wy\u0142\u0105cznie w drodze post\u0119powania administracyjnego prowadzonego przez ministra cyfryzacji. Post\u0119powanie ma kilka etap\u00f3w:<\/p>\n<ul>\n<li>minister zawiadamia dostawc\u0119 i publikuje informacj\u0119 w Biuletynie Informacji Publicznej,<\/li>\n<li>organizacje spo\u0142eczne maj\u0105 14 dni od zawiadomienia na przedstawienie stanowiska,<\/li>\n<li>Kolegium do Spraw Cyberbezpiecze\u0144stwa wydaje opini\u0119, a na jej przygotowanie ma trzy miesi\u0105ce,<\/li>\n<li>przed wydaniem decyzji minister publikuje w BIP raport ze zg\u0142oszonych stanowisk,<\/li>\n<li>decyzja jest natychmiast wykonalna i trafia do Monitora Polskiego, do BIP ministerstwa oraz na jego stron\u0119.<\/li>\n<\/ul>\n<p>(\u017ar\u00f3d\u0142o: samorzad.gov.pl, procedura dot. listy dostawc\u00f3w wysokiego ryzyka)<\/p>\n<p>Jedna rzecz rozstrzyga o skali skutk\u00f3w: decyzja obejmuje tylko te typy produkt\u00f3w, typy us\u0142ug ICT albo konkretne procesy ICT, kt\u00f3re zosta\u0142y w niej wskazane. Nie wygasza ca\u0142ej dzia\u0142alno\u015bci dostawcy. Ten sam producent mo\u017ce wi\u0119c pozosta\u0107 dopuszczalny w jednym obszarze i wykluczony w drugim. Inwentarz na poziomie &quot;mamy sprz\u0119t firmy X&quot; nie wystarczy, potrzebny jest model i rola urz\u0105dzenia w sieci.<\/p>\n<h2 id=\"siedem-lat-albo-cztery-od\">Siedem lat albo cztery. Od czego liczy si\u0119 termin<\/h2>\n<p>Podmioty obj\u0119te ustaw\u0105 o KSC maj\u0105 na wycofanie wskazanych produkt\u00f3w z u\u017cytkowania termin do siedmiu lat od dnia og\u0142oszenia decyzji. Dla okre\u015blonych przedsi\u0119biorc\u00f3w komunikacji elektronicznej termin wynosi cztery lata.<\/p>\n<p>Siedem lat brzmi komfortowo tylko do momentu, w kt\u00f3rym zestawisz je z cyklem \u017cycia sprz\u0119tu kupionego w tym roku. Switch albo firewall postawiony dzisiaj spokojnie przepracuje dekad\u0119. Je\u015bli decyzja dotknie jego producenta w 2028 roku, realny czas na wymian\u0119 skraca si\u0119 do pi\u0119ciu lat od zakupu, a ustawa nie przewiduje rekompensaty za sprz\u0119t wycofany przed ko\u0144cem przydatno\u015bci. Ryzyko siedzi wi\u0119c w tym, co zamawiasz teraz, nie w tym, co odpiszesz od podatku w przysz\u0142ym roku.<\/p>\n<h2 id=\"czego-jeszcze-nie-wiadomo\">Czego jeszcze nie wiadomo<\/h2>\n<p>Dwie rzeczy s\u0105 otwarte i lepiej nazwa\u0107 je wprost, zamiast planowa\u0107 wok\u00f3\u0142 domys\u0142\u00f3w.<\/p>\n<p>Pierwsza: nie wszcz\u0119to jeszcze \u017cadnego post\u0119powania i nie ma listy dostawc\u00f3w wysokiego ryzyka. Druga: cz\u0119\u015b\u0107 przepis\u00f3w o dostawcach wysokiego ryzyka prezydent skierowa\u0142 do Trybuna\u0142u Konstytucyjnego w trybie kontroli nast\u0119pczej. Skierowanie nie wstrzymuje obowi\u0105zywania przepis\u00f3w, ale zostawia otwarte pytanie o ich ostateczny kszta\u0142t.<\/p>\n<p>\u017badna z tych dw\u00f3ch niewiadomych nie blokuje tego, co mo\u017cesz zrobi\u0107 dzi\u015b bez ryzyka, czyli zebra\u0107 dane o w\u0142asnej infrastrukturze.<\/p>\n<h2 id=\"inwentaryzacja-co-powinno-znalezc-sie\">Inwentaryzacja: co powinno znale\u017a\u0107 si\u0119 w arkuszu<\/h2>\n<p>Jeden arkusz, jedna linia na urz\u0105dzenie, sze\u015b\u0107 kolumn, kt\u00f3re naprawd\u0119 co\u015b rozstrzygaj\u0105:<\/p>\n<ul>\n<li>producent i dok\u0142adny model, nie &quot;switch 48-portowy&quot;,<\/li>\n<li>rola urz\u0105dzenia: czy realizuje funkcje istotne dla bezpiecze\u0144stwa sieci, czy da si\u0119 je wymieni\u0107 bez przestoju,<\/li>\n<li>warstwa: brzeg sieci, rdze\u0144, dost\u0119p, serwer, oprogramowanie zarz\u0105dzaj\u0105ce,<\/li>\n<li>data zakupu i data ko\u0144ca wsparcia producenta,<\/li>\n<li>lokalizacja fizyczna: w\u0142asna serwerownia, kolokacja, infrastruktura dostawcy us\u0142ugi,<\/li>\n<li>tytu\u0142 prawny: czy urz\u0105dzenie jest Twoj\u0105 w\u0142asno\u015bci\u0105, czy elementem us\u0142ugi abonamentowej.<\/li>\n<\/ul>\n<p>Ostatnia kolumna sprawia zwykle najwi\u0119cej k\u0142opotu, a rozstrzyga najwi\u0119cej. Je\u015bli sprz\u0119t nale\u017cy do dostawcy us\u0142ugi, obowi\u0105zek wycofania spada na niego, ale przest\u00f3j i migracja na Ciebie. O to trzeba zapyta\u0107 przed podpisaniem umowy, nie po og\u0142oszeniu decyzji.<\/p>\n<h2 id=\"co-dopisac-do-umow-i\">Co dopisa\u0107 do um\u00f3w i do SWZ<\/h2>\n<p>W umowach na sprz\u0119t i us\u0142ugi ICT opisz wprost, co si\u0119 dzieje, je\u015bli produkt obejmie decyzja o uznaniu dostawcy za dostawc\u0119 wysokiego ryzyka. Kto wymienia, w jakim terminie, na czyj koszt i czy przys\u0142uguje Ci wyj\u015bcie z umowy bez kary.<\/p>\n<p>W zam\u00f3wieniach publicznych problem jest ostrzejszy, bo decyzja jest natychmiast wykonalna, a post\u0119powanie ju\u017c og\u0142oszone trzeba jako\u015b domkn\u0105\u0107. Opis przedmiotu zam\u00f3wienia lepiej wi\u0119c budowa\u0107 na wymaganiach funkcjonalnych ni\u017c na nazwie producenta. Pisali\u015bmy o tym szerzej przy okazji <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/kolokacja-w-zamowieniach-publicznych-jak-opisac-wymagania\/\">kolokacji w zam\u00f3wieniach publicznych<\/a> oraz <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/przetarg-na-serwer-dedykowany-dlaczego-sam-opis-procesora-w\/\">przetargu na serwer dedykowany<\/a>.<\/p>\n<h2 id=\"o-co-zapytac-operatora-data\">O co zapyta\u0107 operatora data center<\/h2>\n<p>Je\u015bli Twoje maszyny stoj\u0105 w cudzej serwerowni, cz\u0119\u015b\u0107 warstwy sieciowej nale\u017cy do operatora. Cztery pytania do niego:<\/p>\n<ul>\n<li>czyj sprz\u0119t obs\u0142uguje \u0142\u0105cza, brzeg sieci i ochron\u0119 przed atakami DDoS,<\/li>\n<li>czy operator wymieni ten element bez zmiany parametr\u00f3w us\u0142ugi,<\/li>\n<li>jak udokumentuje wymian\u0119 na potrzeby Twojego audytu,<\/li>\n<li>jakimi certyfikatami potwierdza zarz\u0105dzanie bezpiecze\u0144stwem informacji i ci\u0105g\u0142o\u015bci\u0105 dzia\u0142ania.<\/li>\n<\/ul>\n<p>W <a href=\"https:\/\/www.sprintdatacenter.pl\/data-center\">Sprint Data Center<\/a> odpowied\u017a na ostatnie pytanie opiera si\u0119 na certyfikatach ISO 27001 i ISO 22301. Do tego dochodzi certyfikat natowskiego systemu zarz\u0105dzania jako\u015bci\u0105 AQAP, certyfikat Wewn\u0119trznego Systemu Kontroli oraz \u015awiadectwo Bezpiecze\u0144stwa Przemys\u0142owego Pierwszego Stopnia wydane przez ABW, kt\u00f3re obejmuje informacje o klauzuli TAJNE. Sama serwerownia pracuje w Olsztynie, z dwutorowym zasilaniem, zasilaniem awaryjnym UPS i agregatem pr\u0105dotw\u00f3rczym, redundantnymi \u0142\u0105czami operatorskimi oraz wsparciem w trybie 24\/7\/365.<\/p>\n<p>Przy <a href=\"https:\/\/www.sprintdatacenter.pl\/kolokacja-serwerow-w-sdc\">kolokacji serwer\u00f3w<\/a> dochodzi do tego dost\u0119p fizyczny do serwera w asy\u015bcie specjalisty i us\u0142uga zdalnych r\u0105k. To dwie rzeczy, kt\u00f3re decyduj\u0105 o tym, jak szybko da si\u0119 urz\u0105dzenie wymieni\u0107, kiedy termin zacznie naciska\u0107.<\/p>\n<h2 id=\"podsumowanie\">Podsumowanie<\/h2>\n<p>Lista dostawc\u00f3w wysokiego ryzyka jest dzi\u015b pusta, a termin wycofania liczy si\u0119 od og\u0142oszenia decyzji, nie od Twojej gotowo\u015bci. Zr\u00f3b inwentarz z modelami i rolami urz\u0105dze\u0144, dopisz klauzul\u0119 do um\u00f3w, a w nowych post\u0119powaniach opisuj funkcje zamiast producenta.<\/p>\n<p>Je\u015bli rozwa\u017casz przeniesienie maszyn do serwerowni, w kt\u00f3rej warstwa sieciowa jest udokumentowana i wymienna, sprawd\u017a warunki <a href=\"https:\/\/www.sprintdatacenter.pl\/kolokacja-serwerow-w-sdc\">kolokacji serwer\u00f3w w Sprint Data Center<\/a> albo <a href=\"https:\/\/www.sprintdatacenter.pl\/najtansze-serwery-dedykowane\/\">katalog serwer\u00f3w dedykowanych<\/a>. O konkretny sprz\u0119t i o zapisy umowne najszybciej dopyta\u0107 w rozmowie.<\/p>\n<h2 id=\"faq-najczesciej-zadawane-pytania-o\">FAQ \u2013 najcz\u0119\u015bciej zadawane pytania o dostawc\u00f3w wysokiego ryzyka<\/h2>\n<h3>Czy lista dostawc\u00f3w wysokiego ryzyka ju\u017c istnieje?<\/h3>\n<p>Nie. Nie wszcz\u0119to dot\u0105d \u017cadnego post\u0119powania i \u017caden dostawca nie zosta\u0142 uznany za dostawc\u0119 wysokiego ryzyka. Decyzj\u0119 wydaje minister cyfryzacji wy\u0142\u0105cznie w post\u0119powaniu administracyjnym, a jej tre\u015b\u0107 trafia do Monitora Polskiego oraz do Biuletynu Informacji Publicznej ministerstwa.<\/p>\n<h3>Ile czasu mam na wycofanie sprz\u0119tu po decyzji?<\/h3>\n<p>Do siedmiu lat od dnia og\u0142oszenia decyzji. Dla okre\u015blonych przedsi\u0119biorc\u00f3w komunikacji elektronicznej termin wynosi cztery lata. Liczy si\u0119 data og\u0142oszenia, nie data zakupu urz\u0105dzenia, wi\u0119c sprz\u0119t kupiony p\u00f3\u017aniej ma w praktyce kr\u00f3tszy okres u\u017cytkowania.<\/p>\n<h3>Czy decyzja wyklucza ca\u0142\u0105 ofert\u0119 dostawcy?<\/h3>\n<p>Nie. Obejmuje tylko wskazane w niej typy produkt\u00f3w, typy us\u0142ug ICT albo konkretne procesy ICT. Ten sam producent mo\u017ce pozosta\u0107 dopuszczalny w obszarach, kt\u00f3rych decyzja nie wymienia. Dlatego inwentarz musi schodzi\u0107 do poziomu modelu i roli urz\u0105dzenia.<\/p>\n<h3>Co z moim sprz\u0119tem, je\u015bli stoi w kolokacji?<\/h3>\n<p>Obowi\u0105zek wycofania dotyczy podmiotu, kt\u00f3ry produkt u\u017cytkuje. Przy urz\u0105dzeniach nale\u017c\u0105cych do operatora data center wymiana jest po jego stronie, ale przest\u00f3j i migracja obci\u0105\u017caj\u0105 Ciebie. Termin i tryb wymiany warto mie\u0107 zapisany w <a href=\"https:\/\/www.sprintdatacenter.pl\/kolokacja-serwerow-w-sdc\">umowie kolokacyjnej<\/a>.<\/p>\n<p><script type=\"application\/ld+json\">{\"@context\": \"https:\/\/schema.org\", \"@type\": \"FAQPage\", \"mainEntity\": [{\"@type\": \"Question\", \"name\": \"Czy lista dostawc\u00f3w wysokiego ryzyka ju\u017c istnieje?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Nie. Nie wszcz\u0119to dot\u0105d \u017cadnego post\u0119powania i \u017caden dostawca nie zosta\u0142 uznany za dostawc\u0119 wysokiego ryzyka. Decyzj\u0119 wydaje minister cyfryzacji wy\u0142\u0105cznie w post\u0119powaniu administracyjnym, a jej tre\u015b\u0107 trafia do Monitora Polskiego oraz do Biuletynu Informacji Publicznej ministerstwa.\"}}, {\"@type\": \"Question\", \"name\": \"Ile czasu mam na wycofanie sprz\u0119tu po decyzji?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Do siedmiu lat od dnia og\u0142oszenia decyzji. Dla okre\u015blonych przedsi\u0119biorc\u00f3w komunikacji elektronicznej termin wynosi cztery lata. Liczy si\u0119 data og\u0142oszenia, nie data zakupu urz\u0105dzenia, wi\u0119c sprz\u0119t kupiony p\u00f3\u017aniej ma w praktyce kr\u00f3tszy okres u\u017cytkowania.\"}}, {\"@type\": \"Question\", \"name\": \"Czy decyzja wyklucza ca\u0142\u0105 ofert\u0119 dostawcy?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Nie. Obejmuje tylko wskazane w niej typy produkt\u00f3w, typy us\u0142ug ICT albo konkretne procesy ICT. Ten sam producent mo\u017ce pozosta\u0107 dopuszczalny w obszarach, kt\u00f3rych decyzja nie wymienia. Dlatego inwentarz musi schodzi\u0107 do poziomu modelu i roli urz\u0105dzenia.\"}}, {\"@type\": \"Question\", \"name\": \"Co z moim sprz\u0119tem, je\u015bli stoi w kolokacji?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Obowi\u0105zek wycofania dotyczy podmiotu, kt\u00f3ry produkt u\u017cytkuje. Przy urz\u0105dzeniach nale\u017c\u0105cych do operatora data center wymiana jest po jego stronie, ale przest\u00f3j i migracja obci\u0105\u017caj\u0105 Ciebie. Termin i tryb wymiany warto mie\u0107 zapisany w umowie kolokacyjnej.\"}}]}<\/script><\/p>\n<hr class=\"ai-disclosure-rule\" \/>\n<p class=\"ai-disclosure\"><em>Artyku\u0142 powsta\u0142 z wykorzystaniem narz\u0119dzi sztucznej inteligencji (AI) pod nadzorem zespo\u0142u Sprint Data Center. Grafika ilustracyjna zosta\u0142a wygenerowana przez AI.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Minister cyfryzacji mo\u017ce uzna\u0107 dostawc\u0119 sprz\u0119tu za dostawc\u0119 wysokiego ryzyka. Sprawd\u017a, ile masz czasu na wycofanie i co zrobi\u0107, zanim padnie decyzja.<\/p>\n","protected":false},"author":5,"featured_media":2975,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,102],"tags":[92,322,110,109,209],"class_list":["post-2977","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-informacje-ogolne","category-kolokacja-serwera","tag-cyberbezpieczenstwo","tag-dostawcy-wysokiego-ryzyka","tag-ksc-2-0","tag-nis2","tag-zamowienia-publiczne"],"_links":{"self":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/2977","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/comments?post=2977"}],"version-history":[{"count":1,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/2977\/revisions"}],"predecessor-version":[{"id":2979,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/2977\/revisions\/2979"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/media\/2975"}],"wp:attachment":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/media?parent=2977"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/categories?post=2977"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/tags?post=2977"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}