¿Están en riesgo los miles de millones de la UE destinados a Polonia? Advierte el Ministerio

• El Ministerio de Asuntos Digitales se prepara para defender la enmienda a la ley del Sistema Nacional de Ciberseguridad. Teme un intento de socavarla en el Sejm.
• Se trata de una importante normativa que pretende ayudar a combatir las amenazas al Estado, como el sabotaje y el terrorismo. También tendrá un amplio impacto en las empresas. Polonia ha tardado en adoptarla; ha sido demandada ante el Tribunal de Justicia de la Unión Europea (TJUE) por ello.
• El subdirector del Ministerio de Asuntos Digitales advierte que sin esta modificación, Polonia se enfrentará a elevadas multas y la Comisión Europea podría suspender los pagos del Plan Nacional de Recuperación de Polonia.
• Marcin Wysocki, en una entrevista con WNP, también anuncia los próximos trabajos del MC: sobre la ley de estándares de computación en la nube en la administración y los gobiernos locales y el proyecto de embajadas de datos.

¿Por qué los bomberos deberían recibir bonificaciones del Fondo de Ciberseguridad? Esto es lo que quiere el Ministerio de Asuntos Digitales.

-Entonces empezamos con una pregunta trivial.

¿Trivial?

Sí, es muy sencillo. Varias decenas de personas que trabajan en la Jefatura Central del Cuerpo de Bomberos y en las unidades provinciales son responsables de los sistemas informáticos clave para la notificación de emergencias. Estos sistemas garantizan, por ejemplo, que las sirenas de alarma se activen en el momento oportuno. La respuesta rápida ante incendios, accidentes y otras amenazas depende de los sistemas del Cuerpo de Bomberos del Estado.

El moderno sistema de rescate del que dependen la vida y la salud humanas se basa en gran medida en la fiabilidad de los sistemas informáticos.

En el futuro, las personas responsables de estas instalaciones, según la Ley de Protección de la Población, asumirán responsabilidades adicionales, incluyendo la construcción, el desarrollo y el mantenimiento del Registro Central de Instalaciones de Protección Colectiva, donde se procesarán los datos necesarios para tomar las decisiones correctas sobre el uso de protección y escondites en situaciones de crisis. Esto se refiere a fallos, desastres naturales o ataques con medios de destrucción. En lugares como el Cuerpo de Bomberos, necesitamos especialistas, por lo que estoy convencido de que deberíamos cofinanciarlos.

¿Quién debe recibir la asignación del Fondo de Ciberseguridad?

¿Y por qué cofinanciar a los bomberos, pero no a los empleados de la Dirección General de Carreteras y Autopistas Nacionales o de Aguas Polacas, que también mantienen sistemas clave?

- Creo que el tema del complemento que preguntas es una de las razones por las que los trabajos de modificación del Sistema Nacional de Ciberseguridad no están siendo todo lo efectivos que deberían.

No soy yo quien pregunta, sino el Ministro de Infraestructura en las consultas sobre este proyecto de ley.

Estamos implementando la directiva NIS2, y otros ministerios solicitan cambios en la ley sobre normas especiales para la remuneración de las personas que realizan tareas en el ámbito de la ciberseguridad. Debería dedicarse un proyecto específico a este tema, y ​​probablemente se dedique a ello. Muchas instituciones se han puesto en contacto con nosotros y consideran que también deberían estar cubiertas por este beneficio. En mi opinión, en el futuro sería necesario elaborar una gradación transparente para considerar las posibilidades de financiación.

Por ahora, el Ministerio de Finanzas no acepta aumentar el Fondo de Ciberseguridad en 250 millones de zlotys anuales.

Convenceremos al Ministerio de Finanzas para que cambie de opinión, ya que consideramos incorrecto hacer tales comentarios sobre la Ley del Sistema Nacional de Ciberseguridad. 250 millones de zlotys representan poco más de la mitad de los costos anuales resultantes de la evaluación del impacto de las regulaciones en la implementación de la enmienda a la Ley del Sistema Nacional de Ciberseguridad (KSC). La Ley prevé el desarrollo de Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT) para sectores individuales, la plataforma S46 y menciona proyectos educativos.

¿Qué sigue con la modificación de la Ley del Sistema Nacional de Ciberseguridad?

¿Y cuándo terminará el proceso de aprobación del proyecto de ley por parte del gobierno? MC anunció que el proyecto de ley se presentaría al Sejm a finales de junio.

El proyecto ha sido presentado ante el Comité Permanente del Consejo de Ministros. Creo que el gobierno lo aprobará en la primera o segunda semana de julio.

¿Qué dificultades puede encontrar aún el proyecto en el Consejo de Ministros?

El primer punto que abordamos fue la conversación sobre costos. El segundo, aquellos elementos que podrían exceder la implementación mínima de la directiva NIS2; el Ministro de Desarrollo y Tecnología fue el encargado de llamar la atención sobre ellos. Me parece que los demás asuntos ya están resueltos.

¿Entonces los proveedores de alto riesgo permanecen en el proyecto?

Creo que sí, y el Primer Ministro Gawkowski tiene una firme determinación al respecto. Se trata de un asunto de seguridad del Estado, de sus intereses fundamentales en este ámbito. Y no creo que nadie pueda postular eficazmente la eliminación de este procedimiento.

¿Entonces el Primer Ministro ha apaciguado a los traidores digitales en el Gobierno?

- No logró pacificar sino convencer a la gente de la importancia de estas decisiones.

Explicar la importancia del problema de los proveedores de alto riesgo es tan difícil que muchos argumentos relativos a la seguridad del Estado se consideran información clasificada de conformidad con la Ley de Protección de Información Clasificada. Esto supone una dificultad permanente en la comunicación, por ejemplo, de los servicios especiales que proponen algunas soluciones, pero no las defienden con la suficiente contundencia, por ejemplo, en las reuniones de las comisiones parlamentarias. Revelar sus argumentos se penaliza, por lo que a menudo tienen que simplemente callarse o decir "tomate".

¿Esperamos una lucha feroz en el Sejm por estas disposiciones?

Seguramente habrá una lucha por esto en el Sejm; ya lo vimos durante el debate tras la denuncia del primer ministro Donald Tusk. También observamos los esfuerzos del lobby, que intenta desacreditar el contenido de este proyecto.

¿Significado?

Uno de esos mitos básicos que persiste es la exclusión de un proveedor de hardware o software por razones no técnicas. Estos se denominan "políticos". Sin embargo, en la práctica, se refieren a la gestión de riesgos relacionados, entre otros, con la amenaza de terrorismo o sabotaje. Este riesgo se deriva de la influencia de un tercer país sobre el fabricante de dispositivos o software que opera en ese país, ya sea por ley o mediante acciones directas.

Los críticos sostienen que esto constituye una regulación excesiva.

La actuación de Polonia en este ámbito ya se ha adoptado como solución reglamentaria en 21 países y se aplica en 12 de ellos. Además, la Comisión Europea, a través de la Caja de Herramientas TIC prevista, identifica numerosos retos de seguridad, no solo en las redes 5G, sino también en áreas como los dispositivos de telemedicina, los drones y los sistemas de seguridad (por ejemplo, las puertas de embarque de los aeropuertos).

Apuesto una gran barra de chocolate a que, en el futuro, los motivos no técnicos para excluir a proveedores de alto riesgo se convertirán en la norma en la UE, también fuera de las redes de telecomunicaciones, en sectores seleccionados, como el energético. Y entonces comenzaríamos de nuevo este exigente proceso de modificación de la normativa.

¿Quién impulsa la eliminación de las instalaciones no técnicas?

Huawei hizo esta afirmación en consultas públicas. La empresa no se ha pronunciado directamente últimamente, pero hay otras entidades que piden exactamente lo mismo: eliminar las llamadas premisas no técnicas, que se califican de "políticas" para generar repugnancia, y afirman que se trata de una invención polaca y de una sobrerregulación. Y ya nos hemos dicho a nosotros mismos que no es así.

También espero que el Sejm retome estos argumentos, así como los postulados que, con el pretexto de introducir transparencia, harán prácticamente inviable el procedimiento administrativo para un proveedor de alto riesgo. Probablemente habrá voces que digan que nuestras consultas son demasiado breves. Sin embargo, estoy convencido de que se han agotado las ideas que podrían haberse planteado para romper el molde, es decir, para inutilizar este procedimiento. Y la ley simplemente debe aprobarse. Supongo que esto ocurrirá antes de fin de año.

¿Y si no?

- Somos uno de los 19 países que no hemos implementado la directiva NIS2 , si no lo hacemos, pagaremos multas.

Y probablemente no haya forma más estúpida de gastar el dinero público que pagar multas por no transponer una directiva tan importante.

La Comisión Europea nos pregunta mensualmente sobre el progreso de las obras. Esto se debe, además, a que la modificación de la Ley del Consejo de Seguridad de Polonia (KSC) constituye un hito en el Plan Nacional de Reconstrucción. La falta de modificación podría tener graves consecuencias para el Estado polaco.

Seamos claros: ¿KSC o bloquear el dinero de KPO?

- La Comisión nos advierte de que es necesario cumplir ciertos hitos y de que la transferencia efectiva de los tramos posteriores de financiación y su liquidación dependen de que los alcancemos.

¿Será esto un argumento para que los diputados aboguen por un procedimiento rápido?

- Esto debería ser un argumento para ellos de que escuchar acríticamente las voces de quienes critican este proyecto de ley puede tener muy malos resultados para Polonia.

El Ministerio de Asuntos Digitales desarrollará estándares de computación en la nube en la administración y datos de las embajadas.

¿En qué otros proyectos de seguridad está trabajando MC?

Estamos preparando un proyecto de reglamento sobre estándares de computación en la nube en la administración. Queremos que el nuevo reglamento, a diferencia de la resolución anterior del Consejo de Ministros, sea vinculante también para las administraciones locales.

También deberíamos centrarnos en el desarrollo de una nube gubernamental y en la creación de normas que permitan la migración de los datos más importantes a una nube comercial en otro país europeo, por ejemplo, en caso de amenaza inminente de guerra . Deberíamos tomar como ejemplo la experiencia de Ucrania, que se vio obligada a transferir datos importantes de los registros estatales en medio de la guerra, lo cual no se ajustaba a la legislación ucraniana hasta que el Consejo de Ministros local emitió el decreto correspondiente, que, por cierto, tuvo lugar dieciséis días después de la agresión armada de la Federación Rusa en Ucrania.

No quisiera que nadie se inmutara si Polonia se encontrara en una situación así. Las embajadas de datos también son un proyecto importante. Se trata de garantizar la seguridad y la disponibilidad de los datos estatales en situaciones de crisis, por ejemplo, mediante la creación de copias de seguridad en las misiones diplomáticas.

Ya hubo un proyecto de este tipo en el semestre anterior, pero hasta el día de hoy no se ha llevado a cabo.

Esta idea es muy buena, pero debemos asegurarnos de que no haya regulaciones que impidan su implementación. También estamos tratando de responder a desafíos como la falta de suministro eléctrico para los centros de datos en las misiones diplomáticas.

Además de los centros de datos tradicionales, introducimos la posibilidad de ofrecer copias de seguridad en una nube pública o privada en otro país del Espacio Económico Europeo.

¿Cuándo se pondrán sobre la mesa soluciones concretas en términos de estándares de computación en la nube?

Supongo que el Ministro de Asuntos Digitales presentará la primera versión del proyecto este año. Sin duda, procesar este proyecto será un reto; será necesario conciliar los intereses y las voces de muchas partes interesadas. Esta será una vez más una conversación, entre otros, entre nuestros emprendedores e hiperescaladores sobre cómo debemos desarrollar nuestras competencias, capacidades y cómo entendemos la soberanía digital.

El viceprimer ministro habla mucho de soberanía digital. Y el viceministro Rosiński prometió durante el Congreso Económico Europeo que el ministerio desarrollará soluciones que apoyarán a los emprendedores polacos.

Y, por supuesto, diseñamos estas soluciones. En los "Estándares de Ciberseguridad para la Computación en la Nube", anexos a la resolución WIIP (Infraestructura Estatal Común de TI - nota del editor), se establecen niveles específicos que indican cuándo deben procesarse los datos en el Espacio Económico Europeo y cuándo en Polonia. Propondremos soluciones similares en la ley.

No es que vayamos a cambiar las proporciones del mercado de servicios en la nube. En cambio, nos centraremos en garantizar que los datos más importantes se procesen en Polonia. También se trata de ampliar nuestras propias capacidades en este ámbito.

¿Y por qué el Ministerio construye otro CSIRT por 10 millones de zlotys ?

Esa es una muy buena pregunta. Actualmente, en el sistema KSC contamos con unos 400 operadores de servicios clave, que cuentan con el apoyo de CSIRT nacionales, por ejemplo, en CSIRT NASK o CSIRT GOV en ABW. Tras la enmienda, la escala aumentará significativamente: hablamos de varias o incluso decenas de miles de entidades. Por eso estamos creando un sistema de CSIRT sectoriales que servirá de apoyo a cada sector, al igual que el equipo de la PFSA (Autoridad Polaca de Supervisión Financiera - nota editorial) lo hace actualmente para el sector financiero o el Centro de e-Salud para el sector sanitario.

El CSIRT Cyfra del que habla es uno de estos equipos. En el sector de infraestructura digital, gestionado por mi equipo, actualmente contamos con menos de diez entidades. Tras la entrada en vigor de la nueva normativa, se incluirán proveedores de servicios en la nube y emprendedores de comunicaciones electrónicas, lo que aumentará significativamente la escala; ya habrá varias docenas de entidades. Esto justifica la creación de un equipo específico. Se crearán equipos similares en otros ministerios, por ejemplo, en el Ministerio de Clima y Medio Ambiente. Su tarea será apoyar a los emprendedores y aliviar la carga de trabajo de los CSIRT nacionales.