Bilhões da UE para a Polônia estão em risco? Ministério alerta

• O Ministério de Assuntos Digitais está se preparando para uma batalha em defesa da emenda à lei sobre o Sistema Nacional de Segurança Cibernética. O ministério teme uma tentativa de miná-la no Sejm.
• Trata-se de uma regulamentação importante que visa ajudar a combater ameaças ao Estado, incluindo sabotagem e terrorismo. Também terá um amplo impacto nas empresas. A Polônia está atrasada em sua adoção – o país já foi processado perante o Tribunal de Justiça Europeu (TJUE) por isso.
• O vice-diretor do Ministério de Assuntos Digitais alerta que, sem essa alteração, a Polônia enfrentará multas altas e a Comissão Europeia poderá suspender os pagamentos do Plano Nacional de Recuperação da Polônia.
• Marcin Wysocki, em entrevista ao WNP, também anuncia os próximos trabalhos do MC: a lei sobre padrões de computação em nuvem na administração e governos locais e o projeto de embaixadas de dados.

Por que os bombeiros deveriam receber bônus do Fundo de Segurança Cibernética? É isso que o Ministério de Assuntos Digitais quer.

- Então começamos com uma pergunta trivial.

Trivial?

- Sim, é muito simples. Várias dezenas de pessoas que trabalham no Quartel-General do Corpo de Bombeiros e em unidades provinciais são responsáveis ​​pelos principais sistemas de TI relacionados à notificação de emergências. Esses sistemas garantem, por exemplo, que as sirenes de alarme sejam ativadas no momento certo. A resposta rápida a incêndios, acidentes e outras ameaças depende dos sistemas do Corpo de Bombeiros Estadual.

O sistema de resgate moderno do qual dependem a vida e a saúde humanas é amplamente baseado na confiabilidade dos sistemas de TI.

No futuro, os responsáveis ​​por essas instalações, nos termos da Lei de Proteção da População, receberão responsabilidades adicionais, incluindo a construção, o desenvolvimento e a manutenção do Cadastro Central de Instalações de Proteção Coletiva, no qual serão processados ​​os dados necessários para a tomada de decisões corretas sobre o uso de equipamentos de proteção e abrigos em situações de crise. Isso se aplica a falhas, desastres naturais ou ataques com meios de destruição. Em locais como o Corpo de Bombeiros, precisamos de especialistas, por isso estou convencido de que devemos cofinanciá-los.

Quem deve receber o subsídio do Fundo de Segurança Cibernética?

E por que cofinanciar os bombeiros, mas não os funcionários da Direção Geral de Estradas e Autoestradas Nacionais ou das Águas Polacas, que também fazem a manutenção dos principais sistemas?

- Acredito que a questão do suplemento que você está questionando é uma das razões pelas quais o trabalho de alteração do Sistema Nacional de Segurança Cibernética não está sendo tão eficaz quanto deveria.

Não sou eu quem pergunta, mas o Ministro da Infraestrutura nas consultas sobre esse projeto de lei.

Estamos implementando a diretiva NIS2, e outros ministérios estão solicitando alterações à lei sobre regras especiais para remuneração de pessoas que desempenham tarefas na área de segurança cibernética. Um projeto separado deveria ser dedicado a isso – e talvez seja. Muitas instituições nos contatam que também acreditam que deveriam ser cobertas por esse benefício. Na minha opinião, no futuro, seria necessário elaborar uma gradação transparente para considerar as possibilidades de financiamento.

Por enquanto, o Ministério das Finanças não concorda em aumentar o Fundo de Segurança Cibernética em PLN 250 milhões anualmente.

- Convenceremos o Ministério das Finanças a mudar de ideia, pois acreditamos que é errado fazer tais comentários sobre a Lei do Sistema Nacional de Cibersegurança. 250 milhões de zlotys representam pouco mais da metade dos custos anuais resultantes da avaliação do impacto das regulamentações na implementação da emenda à Lei KSC. A lei pressupõe o desenvolvimento de Equipes de Resposta a Incidentes de Segurança Informática (CSIRT) para setores individuais, a plataforma S46 e menciona projetos educacionais.

O que vem a seguir com a alteração da Lei do Sistema Nacional de Segurança Cibernética?

E quando terminará o caminho do governo para o projeto de lei? O MC anunciou que o projeto de lei seria submetido ao Sejm até o final de junho.

- O projeto foi submetido à Comissão Permanente do Conselho de Ministros. Acredito que será adotado pelo governo na primeira ou segunda semana de julho.

Que dificuldades o projeto ainda poderá encontrar no Conselho de Ministros?

- O primeiro ponto que discutimos foi a conversa sobre custos. O segundo são os elementos que podem ir além da implementação mínima da diretiva NIS2; o Ministro do Desenvolvimento e Tecnologia foi encarregado de chamar a atenção para eles. As questões restantes me parecem já ter sido resolvidas.

Então os fornecedores de alto risco permanecem no projeto?

— Acredito que sim, e há uma forte determinação por parte do Primeiro-Ministro Gawkowski nesse sentido. Trata-se de uma questão de segurança do Estado, de seus interesses básicos nessa área. E não creio que alguém possa efetivamente postular a remoção desse procedimento.

Então o primeiro-ministro apaziguou os traidores digitais no governo?

- Ele não tanto pacificou como convenceu as pessoas da importância dessas decisões.

Explicar a importância da questão dos fornecedores de alto risco é um desafio tão grande que muitos argumentos relativos à segurança do Estado são considerados informações sigilosas, de acordo com a Lei de Proteção de Informações Classificadas. Essa é uma dificuldade permanente na comunicação, por exemplo, entre serviços especiais que propõem algumas soluções, mas não conseguem defendê-las com firmeza suficiente, por exemplo, em reuniões de comissões parlamentares. Revelar seus argumentos é penalizado, de modo que muitas vezes eles precisam simplesmente ficar em silêncio ou dizer "tomate".

Você espera uma luta feroz no Sejm sobre essas disposições?

- Certamente haverá uma luta por isso no Sejm, já vimos isso durante a discussão após a denúncia do Primeiro Ministro Donald Tusk. Também estamos observando os esforços do lobby, que está trabalhando para tornar o conteúdo deste projeto feio.

Significado?

Um desses mitos básicos que persiste é a questão da exclusão de um fornecedor de hardware ou software devido a premissas não técnicas. Essas premissas são chamadas de "políticas". No entanto, na prática, envolvem a gestão de riscos relacionados, entre outros, à ameaça de terrorismo ou sabotagem. E esse risco resulta da influência de um terceiro país sobre o fabricante de dispositivos ou software que opera naquele país, seja por meio de lei ou por meio de ações realizadas diretamente.

Os críticos argumentam que isso é excesso de regulamentação.

- O que a Polônia está fazendo nesta questão já foi adotado como solução legal em 21 países e já é aplicado em 12 deles. Além disso, a Comissão Europeia, por meio do planejado ICT Toolbox, identifica muitos desafios de segurança, não apenas em redes 5G, mas também em áreas como dispositivos de telemedicina, drones e sistemas de segurança (por exemplo, portões de aeroportos).

Eu apostaria uma barra grande de chocolate que, no futuro, justificativas não técnicas para a exclusão de fornecedores de alto risco se tornarão padrão na UE, inclusive fora das redes de telecomunicações, em setores selecionados, como o de energia. E então iniciaríamos este processo exigente de alteração da regulamentação novamente.

Quem está pressionando pela eliminação de premissas não técnicas?

- A Huawei fez essa afirmação em consultas públicas. A empresa não tem se manifestado diretamente ultimamente, mas há outras entidades que pedem exatamente a mesma coisa: a eliminação das chamadas premissas não técnicas, que são chamadas de "políticas" por desgosto, e a afirmação de que se trata de uma invenção polonesa e de regulamentação excessiva. E já dissemos a nós mesmos que não é esse o caso.

Espero também que o Sejm retome esses argumentos, bem como postulados que, sob o pretexto de introduzir transparência, tornarão o procedimento administrativo para um fornecedor de alto risco praticamente inviável. Provavelmente haverá vozes dizendo que nossas consultas são muito curtas. No entanto, estou convencido de que o conjunto de ideias que poderiam ter sido levantadas para eliminar obstáculos, ou seja, tornar este procedimento inútil, se esgotou. E a lei simplesmente precisa ser adotada. Presumo que isso aconteça antes do final do ano.

E se não?

- Somos um dos 19 países que não implementaram a diretiva NIS2 . Se não o fizermos, pagaremos multas.

E provavelmente não há maneira mais estúpida de gastar dinheiro público do que pagar multas por não transpor uma diretiva tão importante.

A Comissão Europeia nos pergunta mensalmente sobre o andamento dos trabalhos. Também porque a alteração da Lei KSC é um marco para o Plano Nacional de Reconstrução. A ausência de alterações pode ter consequências realmente graves para o Estado polonês.

Vamos ser francos: KSC ou bloquear o dinheiro do KPO?

- A Comissão nos alerta que os marcos devem ser cumpridos, e a transferência efetiva das parcelas subsequentes de financiamento e sua liquidação dependem de se os atingirmos.

Será que isso servirá de argumento para os parlamentares adotarem um procedimento rápido?

- Isso deveria ser um argumento para eles de que ouvir acriticamente as vozes dos críticos deste projeto de lei pode acabar muito mal para a Polônia.

Ministério de Assuntos Digitais desenvolverá padrões de computação em nuvem na administração e embaixadas de dados

Em quais outros projetos de segurança a MC está trabalhando?

- Estamos na fase de elaboração de um projeto de regulamento sobre padrões de computação em nuvem na administração. Queremos que o novo regulamento, ao contrário da resolução anterior do Conselho de Ministros, seja vinculativo também para as unidades de governo local.

Devemos também nos concentrar no desenvolvimento de uma nuvem governamental e na criação de regras que permitam a migração dos dados mais importantes para uma nuvem comercial em outro país europeu, por exemplo, em um estado de ameaça iminente de guerra . Devemos nos espelhar na experiência da Ucrânia, que foi forçada a transferir dados importantes de registros estatais em face da guerra, o que não estava em conformidade com a legislação ucraniana até que o decreto relevante fosse emitido pelo Conselho de Ministros local, o que, aliás, ocorreu dezesseis dias após a agressão armada da Federação Russa na Ucrânia.

Gostaria que ninguém tremesse se a Polônia se encontrasse em tal situação. Embaixadas de dados também são um projeto importante. Trata-se de garantir a segurança e a disponibilidade de dados estatais em situações de crise, por exemplo, criando cópias de segurança em missões diplomáticas.

Já havia um projeto desse tipo no mandato anterior, mas ele não foi implementado até hoje.

- Essa ideia é muito boa, mas precisamos garantir que não haja regulamentações que impeçam sua implementação. Também estamos tentando responder a desafios como a falta de energia para data centers em missões diplomáticas.

Além dos data centers tradicionais, estamos introduzindo a possibilidade de fornecer backup em uma nuvem pública ou privada em outro país do Espaço Econômico Europeu.

Quando soluções concretas em termos de padrões de computação em nuvem estarão sobre a mesa?

- Presumo que o Ministro dos Assuntos Digitais apresentará a primeira versão do projeto este ano. Certamente será um desafio processar este projeto, pois será necessário conciliar os interesses e as vozes de muitas partes interessadas. Esta será novamente uma conversa, entre outras, entre nossos empreendedores e hiperescaladores sobre como devemos desenvolver nossas competências, capacidades e como entendemos a soberania digital.

O vice-primeiro-ministro fala bastante sobre soberania digital. E o vice-ministro Rosiński prometeu durante o Congresso Econômico Europeu que o ministério desenvolverá soluções para apoiar os empreendedores poloneses.

- E, claro, nós projetamos essas soluções. Nos "Padrões de Cibersegurança para Computação em Nuvem", que são um anexo à resolução WIIP (infraestrutura comum de TI do estado - nota do editor), existem níveis específicos que indicam quando os dados devem ser processados ​​no Espaço Econômico Europeu e quando na Polônia. Proporemos soluções semelhantes na lei.

Não é como se fôssemos mudar as proporções no mercado de serviços em nuvem. Em vez disso, vamos nos concentrar em garantir que os dados mais importantes sejam processados ​​na Polônia. Trata-se também de expandir nossas próprias capacidades nessa área.

E por que o ministério está construindo outro CSIRT por PLN 10 milhões ?

- Essa é uma ótima pergunta. Atualmente, no sistema KSC, temos cerca de 400 operadores de serviços essenciais, que são apoiados por CSIRTs de nível nacional, como, por exemplo, o CSIRT NASK ou o CSIRT GOV em ABW. Após a alteração, a escala aumentará significativamente – estamos falando de várias ou até mesmo dezenas de milhares de entidades. É por isso que estamos criando um sistema de CSIRTs setoriais, que servirão de suporte para setores individuais – assim como a equipe da PFSA (Autoridade Polonesa de Supervisão Financeira - nota editorial) faz hoje para o setor financeiro ou o Centro de e-Saúde para o setor da saúde.

O CSIRT Cyfra, sobre o qual você está perguntando, é uma dessas equipes. No setor de infraestrutura digital, que minha equipe gerencia, atualmente temos menos de 10 entidades. Após a entrada em vigor da nova regulamentação, provedores de serviços em nuvem e empreendedores de comunicação eletrônica serão incluídos, o que aumentará significativamente a escala – já haverá várias dezenas de entidades. Isso justifica a criação de uma equipe dedicada. Equipes semelhantes serão criadas em outros ministérios, por exemplo, no Ministério do Clima e Meio Ambiente. Sua tarefa será apoiar empreendedores e aliviar o trabalho dos CSIRTs de nível nacional.