Bezpieczeństwo sieci 5G budzi duże kontrowersje. Najlepiej widać to chociażby po opóźnieniu wdrażania nowej technologii w Polsce, spowodowanym pracami nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Niedawno jednak pojawił się raport, z którego możemy dowiedzieć się, że w Finlandii przyjęto „wzorcowe” rozwiązania prawne, umożliwiające bezpieczne wdrożenie sieci 5G.
Niezależna firma badawcza AVANCE opublikowała raport „Implementing the 5G toolbox: Could Finland serve as a model for the other EU countries?”. Wynika z niego, że przyjęty przez Finlandię model wdrażania 5G jest najbardziej „pożądany”, ponieważ uwzględnia fundamentalne zasady, takie jak na przykład prawo własności, spełnia wymogi Unii Europejskiej oraz dobrze odpowiada na problemy związane z wolnym rynkiem. Według autorów raportu, sposób wdrożenia 5G w Finlandii stanowi dobry przykład współpracy sektora prywatnego z państwowym. Ważnym wyróżnikiem tego modelu jest to, że pełnia władzy i odpowiedzialność za cały proces znajduje się w rękach jednego, wyspecjalizowanego podmiotu.
Toolbox a 5G w Finlandii
W wyniku zatwierdzenia przez Komisję Europejską 29 stycznia 2020 roku tzw. toolbox, czyli zestawu środków bezpieczeństwa cybernetycznego dla nadchodzącej piątej generacji telefonii komórkowej (5G), stał się on „miękkim prawem” w UE. Państwa członkowskie poproszono o pospieszne wdrożenie tego nie do końca jasnego aktu prawnego. Sprawę dodatkowo skomplikował konstytucyjny dylemat dotyczący prawa do własności prywatnej. Szybko stało się jasne, że implementacje tego zestawu narzędzi w różnych krajach będą dość zróżnicowane. Raport firmy AVANCE stawia pytania m.in. czy to Finlandia jest przykładem najlepszych praktyk w tym kontekście i czy może, przynajmniej częściowo, służyć jako model dla innych krajów UE?
7 grudnia 2020 roku parlament Finlandii przyjął ustawę zezwalającą władzom na zakazanie używania wybranych urządzeń sieciowych ze względu na poważne obawy dotyczące bezpieczeństwa narodowego. Prawo określa strukturę instytucjonalną, która oddziela kwestie polityczne od czystego cyberbezpieczeństwa, które jest postrzegane jako kwestia techniczna. Mimo że, proces administracyjny jest oparty na współpracy i łączy doświadczenia różnych zainteresowanych stron, władza i odpowiedzialność spoczywa w rękach jednego organu. Fińska Agencja Transportu i Komunikacji (Traficom) jest instytucją, która posiada najwięcej kompetencji eksperckich w sprawach związanych z wdrażaniem 5G w Finlandii.
Prawo ogranicza działania administracyjne do najbardziej centralnych i najważniejszych części infrastruktury krajowej. Działa na poziomie konkretnych urządzeń i nie pozwala wprost na zakazanie „sprzedawców wysokiego ryzyka”. Proces zainicjowany przez organ państwowy może doprowadzić do zablokowania korzystania z konkretnego urządzenia, ale tylko w ostateczności. Jeśli tak się stanie, właściciel ma prawo do pełnego odszkodowania od państwa. O konieczności zastosowania podobnych rozwiązań w naszej ustawie o krajowym systemie cyberbezpieczeństwa pisaliśmy wielokrotnie na naszym blogu, m.in. w tekście „Cyberbezpieczeństwo tak, ograniczenia w konkurencji niekoniecznie”.
5G w Finlandii a infrastruktura krytyczna
Fińskie prawo zapewnia neutralną technologicznie definicję krytycznych elementów infrastruktury, którą Traficom ustanawia wraz z grupą roboczą, składającą się z różnych organów rządowych, operatorów telekomunikacyjnych, głównych dostawców sprzętu i innych interesariuszy. Lista części krytycznych oparta jest na definicjach 3GPP (międzynarodowa organizacja normalizacyjna, opracowująca standardy łączności bezprzewodowej, m.in. dla telefonii komórkowej) i obejmuje podstawowe funkcje sieci. W tym miejscu warto zauważyć, że sieć dostępu radiowego nie znajduje się na tej liście. Należy również zwrócić uwagę na to, że pojawiła się szansa na podobne zapisy w polskiej ustawie o KSC, pisaliśmy o tym w tekście „Czy 5G w Polsce w końcu przyspieszy?”
Według autorów raportu, model fiński uwzględnia zarówno zasady dobrej administracji, jak i podstawowe doktryny prawne. Proces administracyjny jest przejrzysty, a działania opierają się na obiektywnych dowodach. W przypadku nierozwiązywalnego konfliktu istnieje droga prawna. Wszystko to udaje się osiągnąć przy stosunkowo niskich kosztach administracyjnych.
Fińskie wdrożenie toolbox odpowiada temu, co ITU (Międzynarodowy Związek Telekomunikacyjny) określa jako ostatni i najbardziej pożądany etap regulacji ICT, czyli polega na współpracy, wykorzystaniu synergii między sektorami i gromadzeniu wiedzy fachowej różnych interesariuszy. Raport zaleca innym krajom naśladowanie tych aspektów fińskiej implementacji. Wymienione są jednak dwa bardzo ważne warunki wstępne dla zastosowania podobnego rozwiązania. Odpowiedzialna za cały proces agencja publiczna musi posiadać wystarczająco głęboką wiedzę techniczną. Poza tym musi istnieć wystarczająca chęć współpracy pomiędzy zaangażowanymi stronami publicznymi i prywatnymi.