AB'nin Polonya'ya Ayırdığı Milyarlarca Dolar Tehlikede mi? Bakanlık Uyardı

• Dijital İşler Bakanlığı, Ulusal Siber Güvenlik Sistemi yasasına getirilen değişikliği savunmak için bir mücadeleye hazırlanıyor. Bakanlık, Sejm'de bunu baltalama girişiminden korkuyor.
• Bu, sabotaj ve terörizm dahil olmak üzere devlete yönelik tehditlerle mücadeleye yardımcı olması beklenen önemli bir düzenlemedir. Ayrıca şirketler üzerinde de geniş bir etkisi olacaktır. Polonya bunu benimsemekte geç kaldı - bunun için Avrupa Adalet Divanı'nda (ABAD) dava edildi.
• Dijital İşler Bakanlığı Müdür Yardımcısı, bu değişikliğin yapılmaması halinde Polonya'nın yüksek para cezalarıyla karşı karşıya kalacağı ve Avrupa Komisyonu'nun Polonya'ya yönelik Ulusal Kurtarma Planı'ndan yapılan ödemeleri askıya alabileceği uyarısında bulundu.
• Marcin Wysocki, WNP'ye verdiği röportajda ayrıca MC'nin bir sonraki çalışmalarını duyurdu: İdari ve yerel yönetimlerde bulut bilişim standartları yasası ve veri elçilikleri projesi.

İtfaiyeciler Siber Güvenlik Fonu'ndan neden ikramiye almalı? Dijital İşler Bakanlığı'nın istediği bu.

- O halde basit bir soruyla başlayalım.

Önemsiz mi?

- Evet, çok basit. İtfaiye Genel Merkezi'nde çalışan onlarca kişi ve il birimlerinde çalışan kişiler acil durum bildirimleriyle ilgili temel BT sistemlerinden sorumludur. Bu sistemler örneğin alarm sirenlerinin doğru zamanda etkinleştirilmesini sağlar. Yangınlara, kazalara ve diğer tehditlere hızlı müdahale Devlet İtfaiye Sistemlerine bağlıdır.

İnsan hayatının ve sağlığının bağlı olduğu modern kurtarma sistemi büyük ölçüde BT sistemlerinin güvenilirliğine dayanmaktadır.

Gelecekte, nüfusun korunması yasası kapsamında, bunlardan sorumlu kişilere, kriz durumlarında koruma ve saklanma yerlerinin kullanımıyla ilgili doğru kararlar almak için gerekli verilerin işleneceği Toplu Koruma Tesislerinin Merkezi Kaydı'nın inşası, geliştirilmesi ve bakımı da dahil olmak üzere ek görevler verilecektir. Bu, arızalar, doğal afetler veya yıkım araçlarıyla yapılan saldırılar için geçerlidir. İtfaiye gibi yerlerde uzmanlara ihtiyacımız var, bu yüzden onları ortak finanse etmemiz gerektiğine inanıyorum.

Siber Güvenlik Fonu ödeneğini kimler alabilir?

Peki, itfaiyecilere neden ortak finansman sağlanıyor da, aynı zamanda önemli sistemlerin bakımını da yapan Ulusal Karayolları ve Otoyollar Genel Müdürlüğü veya Polonya Suları çalışanlarına neden ortak finansman sağlanmıyor?

- Ulusal Siber Güvenlik Sistemi'nde değişiklik yapılmasına yönelik çalışmaların gerektiği kadar etkili olmamasının nedenlerinden birinin de bahsettiğiniz ek konu olduğunu düşünüyorum.

Bunu soran ben değilim, bu yasa tasarısı üzerindeki istişarelerde Altyapı Bakanımızdır.

- NIS2 direktifini uyguluyoruz ve diğer bakanlıklar siber güvenlik alanında görev yapan kişilerin ücretlendirilmesine ilişkin özel kurallar hakkındaki yasada değişiklik talep ediyor. Buna ayrı bir proje ayrılmalı - ve belki de ayrılacak. Böyle bir faydanın kendilerinin de kapsaması gerektiğine inanan birçok kurum tarafından bize başvuruluyor. Bence gelecekte, finansman olanaklarını göz önünde bulundurmak için şeffaf bir derecelendirme hazırlamak gerekecek.

Maliye Bakanlığı, Siber Güvenlik Fonu'nun yıllık 250 milyon PLN artırılmasını şimdilik kabul etmiyor .

- Maliye Bakanlığı'nı fikrini değiştirmeye ikna edeceğiz çünkü Ulusal Siber Güvenlik Sistemi Yasası hakkında böyle yorumlar yapmanın yanlış olduğuna inanıyoruz. 250 milyon PLN, KSC Yasası'ndaki değişikliğin uygulanması üzerindeki etkiler olarak düzenlemelerin etkisinin değerlendirilmesinden kaynaklanan yıllık maliyetlerin yarısından biraz fazlasıdır. Yasa, bireysel sektörler için Bilgisayar Güvenliği Olay Müdahale Ekipleri'nin (CSIRT) geliştirilmesini, S46 platformunu varsayar ve eğitim projelerinden bahseder.

Ulusal Siber Güvenlik Sistemi Kanunu’nda değişiklikle bundan sonra ne olacak?

Peki hükümetin yasa tasarısına giden yolu ne zaman sona erecek? MC, yasa tasarısının Haziran ayı sonuna kadar Sejm'e sunulacağını duyurdu.

- Proje Bakanlar Kurulu Daimi Komitesine sunuldu. Temmuz ayının birinci veya ikinci haftasında hükümet tarafından kabul edileceğini düşünüyorum.

Projenin Bakanlar Kurulu'nda daha ne gibi zorluklarla karşılaşması mümkün?

- Tartıştığımız ilk konu maliyetler hakkındaki konuşmadır. İkincisi, NIS2 direktifinin asgari uygulamasının ötesine geçebilecek unsurlardır, Kalkınma ve Teknoloji Bakanı bunlara dikkat çekmekle görevlendirildi. Geri kalan konular bana zaten çözülmüş gibi görünüyor.

Yani yüksek riskli tedarikçiler projede kalıyor mu?

- Öyle olduğuna inanıyorum ve Başbakan Gawkowski'nin bu konuda güçlü bir kararlılığı var. Bu bir devlet güvenliği meselesi, bu alandaki temel çıkarları. Ve kimsenin bu prosedürün kaldırılmasını etkili bir şekilde varsayabileceğini düşünmüyorum.

Yani Başbakan hükümet içindeki dijital hainleri yatıştırdı mı ?

- İnsanları yatıştırmaktan çok, bu kararların önemi konusunda ikna etmeye çalıştı.

Yüksek riskli tedarikçilerin ne kadar önemli olduğunu açıklamak o kadar büyük bir meydan okumadır ki, devlet güvenliğiyle ilgili birçok argüman, Sınıflandırılmış Bilgilerin Korunması Yasası uyarınca gizli bilgidir. Bu, örneğin, bazı çözümler öneren ancak bunları yeterince güçlü bir şekilde savunamayan özel servislerin, örneğin parlamento komitesi toplantılarında, iletişiminde kalıcı bir zorluktur. Sahip oldukları argümanları ifşa etmek cezalandırılır, bu nedenle genellikle sadece sessiz kalmak veya "domates" demek zorunda kalırlar.

Bu hükümler konusunda Sejm'de sert bir mücadele bekliyor musunuz?

- Sejm'de bunun için kesinlikle bir mücadele olacak, bunu Başbakan Donald Tusk'un ifşasından sonraki tartışmada gördük. Ayrıca bu projenin içeriğini çirkinleştirmek için çalışan lobinin çabalarını da gözlemliyoruz.

Anlam?

- Devam eden bu temel mitlerden biri, teknik olmayan tesisler nedeniyle bir donanım veya yazılım tedarikçisinin dışlanması sorunudur. Bunlara "politik" denir. Ancak pratikte, diğerlerinin yanı sıra terörizm veya sabotaj tehdidiyle ilgili risk yönetimiyle ilgilidir. Ve bu risk, üçüncü bir ülkenin, o ülkede faaliyet gösteren cihaz veya yazılım üreticisi üzerindeki etkisinden kaynaklanır, ister yasa yoluyla ister doğrudan gerçekleştirilen eylemler yoluyla.

Eleştirmenler bunun aşırı düzenleme olduğunu savunuyor.

- Polonya'nın bu konuda yaptığı şey, halihazırda 21 ülkede yasal bir çözüm olarak kabul edildi ve 12'sinde halihazırda uygulanıyor. Ayrıca, Avrupa Komisyonu, planlanan ICT Toolbox aracılığıyla, yalnızca 5G ağlarında değil, aynı zamanda telemedikal cihazlar, dronlar ve güvenlik sistemleri (örneğin havaalanı kapıları) gibi alanlarda da birçok güvenlik zorluğu tespit ediyor.

Gelecekte, yüksek riskli tedarikçileri dışlamak için teknik olmayan gerekçelerin AB'de, telekomünikasyon ağlarının dışında, enerji gibi seçili sektörlerde standart hale geleceğine dair büyük bir çikolata barına bahse girerim. Ve sonra düzenlemeleri yeniden değiştirmenin bu zorlu sürecini başlatırdık.

Teknik olmayan yerlerin silinmesini kim istiyor?

- Huawei bu iddiayı kamuoyu istişarelerinde dile getirdi. Şirket son zamanlarda doğrudan konuşmuyor, ancak tam olarak aynı şeyi talep eden başka kuruluşlar da var - "politik" olarak adlandırılan ve iğrenme uğruna teknik olmayan öncülleri silmek ve bunun bir Polonya icadı ve aşırı düzenleme olduğunu belirtmek. Ve biz zaten kendimize bunun böyle olmadığını söyledik.

Ayrıca Sejm'in bu argümanlara geri dönmesini ve şeffaflık getirme bahanesiyle yüksek riskli bir tedarikçi için idari prosedürün pratik olarak uygulanamaz hale geleceğini varsaymasını bekliyorum. Muhtemelen istişarelerimizin çok kısa olduğunu söyleyen sesler olacaktır. Ancak, dişleri sökmek, yani bu prosedürü işe yaramaz hale getirmek için ortaya atılabilecek fikir havuzunun tükendiğine ikna oldum. Ve yasanın kabul edilmesi gerekiyor. Bunun yıl sonundan önce gerçekleşeceğini varsayıyorum.

Ya olmazsa?

- NIS2 direktifini uygulamayan 19 ülkeden biriyiz, uygulamazsak ceza ödeyeceğiz.

Ve böylesine önemli bir direktifi aktarmada başarısızlığa uğradığınız için para cezası ödemekten daha aptalca bir kamu parası harcama yolu muhtemelen yoktur.

Avrupa Komisyonu her ay bize çalışmaların ne aşamada olduğunu soruyor. Ayrıca KSC Yasası'ndaki değişiklik Ulusal Yeniden Yapılanma Planı için bir dönüm noktası olduğu için. Değişiklik yapılmaması Polonya devleti için gerçekten ciddi sonuçlar doğurabilir.

Açıkça söyleyelim: Ya KSC ya da KPO'dan gelen parayı engellemek?

- Komisyon, bazı dönüm noktalarına ulaşılması gerektiği konusunda bizi uyarıyor ve sonraki finansman dilimlerinin fiili transferi ve bunların ödenmesi, bunlara ulaşıp ulaşmadığımıza bağlı.

Bu durum milletvekillerinin hızlı işlem yapması yönünde bir gerekçe olabilir mi?

- Bu, bu yasa tasarısını eleştirenlerin seslerini eleştirel bir gözle dinlemenin Polonya için çok kötü sonuçlanabileceği yönündeki argümanları olmalıdır.

Dijital İşler Bakanlığı, idari ve veri elçiliklerinde bulut bilişim standartlarını geliştirecek

MC başka hangi güvenlik projeleri üzerinde çalışıyor?

- İdarede bulut bilişim standartlarına ilişkin bir yönetmelik taslağı hazırlama aşamasındayız. Bakanlar Kurulu'nun önceki kararından farklı olarak yeni yönetmeliğin yerel yönetim birimleri için de bağlayıcı olmasını istiyoruz.

Ayrıca bir hükümet bulutu geliştirmeye ve en önemli verilerin başka bir Avrupa ülkesindeki ticari bir buluta taşınmasına izin verecek kurallar oluşturmaya odaklanmalıyız, örneğin yakın bir savaş tehdidi durumunda . Ukrayna'nın, yerel Bakanlar Kurulu tarafından ilgili kararname yayınlanana kadar Ukrayna mevzuatına uygun olmayan savaş karşısında devlet kayıtlarından önemli verileri aktarmak zorunda kalması deneyimine katılmalıyız, bu arada bu, Rusya Federasyonu'nun Ukrayna'ya yönelik silahlı saldırısından on altı gün sonra gerçekleşti.

Polonya böyle bir durumda kalırsa kimsenin elinin titremesini istemem. Veri elçilikleri de önemli bir projedir. Örneğin diplomatik misyonlarda yedek kopyalar oluşturarak kriz durumlarında devlet verilerinin güvenliğini ve erişilebilirliğini sağlamakla ilgilidir.

Geçtiğimiz dönemde de böyle bir proje vardı ancak bugüne kadar hayata geçirilmedi.

- Bu fikir çok iyi, ancak uygulanmasını engelleyecek hiçbir düzenlemenin olmadığından emin olmamız gerekiyor. Ayrıca diplomatik misyonlardaki veri merkezleri için güç eksikliği gibi zorluklara da yanıt vermeye çalışıyoruz.

Geleneksel veri merkezlerinin yanı sıra, Avrupa Ekonomik Alanı'ndaki başka bir ülkedeki genel veya özel bulutta yedekleme sağlama olanağını sunuyoruz.

Bulut bilişim standartları açısından somut çözümler ne zaman masaya gelecek?

- Dijital İşler Bakanı'nın bu yıl projenin ilk versiyonunu sunacağını varsayıyorum. Bu projeyi işlemek kesinlikle zorlu olacak, birçok paydaşın çıkarlarını ve seslerini uzlaştırmak gerekecek. Bu yine girişimcilerimiz ve hiper ölçekleyicilerimiz arasında, yeteneklerimizi, kabiliyetlerimizi ve dijital egemenliği nasıl anladığımızı nasıl inşa etmemiz gerektiği konusunda bir konuşma olacak.

Başbakan Yardımcısı dijital egemenlikten çok bahsediyor. Ve Bakan Yardımcısı Rosiński Avrupa Ekonomi Kongresi sırasında bakanlığın Polonyalı girişimcileri destekleyecek çözümler geliştireceğine söz verdi.

- Ve tabii ki bu tür çözümler tasarlıyoruz. WIIP kararının (ortak devlet BT altyapısı - editörün notu) bir eki olan "Bulut Bilişim Siber Güvenlik Standartları"nda, verilerin Avrupa Ekonomik Alanı'nda ve Polonya'da ne zaman işlenmesi gerektiğini belirten belirli seviyeler vardır. Yasada benzer çözümler önereceğiz.

Bulut hizmetleri pazarındaki oranları değiştirecek değiliz. Bunun yerine, en önemli verilerin Polonya'da işlenmesini sağlamaya odaklanacağız. Bu aynı zamanda bu alandaki kendi yeteneklerimizi genişletmekle ilgili.

Peki bakanlık neden 10 milyon PLN'ye yeni bir CSIRT kuruyor?

- Bu çok iyi bir soru. Şu anda KSC sisteminde, ulusal düzeydeki CSIRT'ler tarafından desteklenen yaklaşık 400 kilit hizmet operatörümüz var, örneğin CSIRT NASK'da veya ABW'de CSIRT GOV. Değişiklikten sonra ölçek önemli ölçüde artacak - birkaç hatta birkaç düzine bin kuruluştan bahsediyoruz. Bu nedenle, PFSA'daki (Polonya Finansal Denetim Otoritesi - editör notu) ekibin bugün finans sektörü veya sağlık sektörü için e-Sağlık Merkezi için yaptığı gibi, bireysel endüstrilere destek görevi görecek sektörel CSIRT'ler sistemi oluşturuyoruz.

Sorduğunuz CSIRT Cyfra bu ekiplerden biri. Ekibimin yönettiği dijital altyapı sektöründe şu anda 10'dan az kuruluşumuz var. Yeni düzenlemeler yürürlüğe girdikten sonra bulut hizmeti sağlayıcıları ve elektronik iletişim girişimcileri de oraya dahil edilecek ve bu da ölçeği önemli ölçüde artıracak - halihazırda birkaç düzine kuruluş olacak. Bu, özel bir ekibin kurulmasını haklı çıkarıyor. Benzer ekipler diğer bakanlıklarda, örneğin İklim ve Çevre Bakanlığı'nda oluşturulacak. Görevleri girişimcileri desteklemek ve ulusal düzeydeki CSIRT'lerin işini kolaylaştırmak olacak.