Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - procedura dot. listy dostawców wysokiego ryzyka
Opublikowano: 06.08.2026 - Obecnie w Polsce nie ma listy dostawców wysokiego ryzyka (HRV) - do tej pory nie wszczęto żadnego postępowania ani nie wydano decyzji o uznaniu jakiegokolwiek dostawcy za HRV. Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) przewiduje jednak możliwość uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Mechanizm ten ma chronić bezpieczeństwo państwa i ograniczać wykorzystywanie produktów, usług oraz procesów ICT, które mogą stanowić zagrożenie dla podmiotów objętych ustawą.
Jak wygląda procedura?
Dostawca wysokiego ryzyka (HRV) to dostawca, którego określone produkty, usługi lub procesy ICT – po przeprowadzeniu ustawowej procedury – mogą zostać uznane za stwarzające ryzyko dla bezpieczeństwa państwa lub porządku publicznego. Uznanie za dostawcę wysokiego ryzyka następuje wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji.
Po wszczęciu postępowania minister zawiadamia o tym dostawcę oraz publikuje informację w Biuletynie Informacji Publicznej. Przed wydaniem decyzji zasięga opinii Kolegium do Spraw Cyberbezpieczeństwa, które ma trzy miesiące na jej przygotowanie.
W ciągu 14 dni od opublikowania zawiadomienia organizacje społeczne mogą przedstawić swoje stanowisko. Na tej podstawie minister przygotowuje raport, który publikuje na swojej stronie BIP przed wydaniem decyzji.
Decyzja dotyczy konkretnych produktów i usług
Decyzja o uznaniu dostawcy za wysokiego ryzyka nie oznacza wykluczenia firmy z rynku. Obejmuje wyłącznie wskazane w decyzji typy produktów, rodzaje usług ICT lub konkretne procesy ICT. Co do zasady nie dotyczy całej działalności danego dostawcy.
Decyzja podlega natychmiastowemu wykonaniu i jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, publikowana w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji oraz udostępniana na stronie internetowej ministerstwa.
Po jej wydaniu podmioty objęte ustawą o KSC nie mogą wprowadzać do użytkowania wskazanych produktów, usług lub procesów ICT. Muszą również wycofać je z użytkowania w terminie do siedmiu lat od dnia ogłoszenia decyzji. W przypadku określonych przedsiębiorców komunikacji elektronicznej termin ten wynosi cztery lata.