Národní bezpečnost: Chytře za stovky milionů, tupě i za 18 mld.

Pokud vláda ČR omezí svobodu volby dodavatelů technologií pro mobilní telekomunikační sítě, náklady na výměnu mohou podle posudku Centra ekonomických a tržních analýz (CETA) dosahovat od stovek milionů až po 18 miliard Kč. Přesná výše vynaložených nákladů závisí na tom, zda vláda ČR zvolí racionální přístup a zavede regulaci vyváženou a přiměřenou anebo bude vedena ideologickým aktivismem. Vyšší cenovka však bezpečnostní odolnost České republiky reálně nezvýší a kybernetické hrozby pro strategicky významnou infrastrukturu budou přetrvávat. Protože se jedná o požadavky státu za hranicí běžné regulace je obvyklé, že stát se na investicích do zvýšení národní bezpečnosti podílí.

APMS podporuje úsilí státu zvyšovat národní bezpečnost

Mobilní operátoři provozují tzv. kritickou, resp. kritickou informační infrastrukturu státu. Proto již dnes podléhají vedle zákona o elektronických komunikacích také regulaci zákona o krizovém řízení a zákona o kybernetické bezpečnosti.

Souhrn zákonných požadavků ukládá každému mobilnímu operátorovi zajistit integritu sítí a služeb, což znamená mj. bezpečnost telekomunikačního provozu a stabilitu a bezpečnost síťové infrastruktury. K tomu musí mobilní operátoři plnit obsáhlé povinnosti k zajištění kybernetické bezpečnosti svých technologií, aby jejich napadením nemohlo dojít k narušení poskytovaných telekomunikačních služeb. “Představa, že si mobilní operátor ve 21. století vybírá nespolehlivou technologii jenom proto, že je levná, je iluzorní. Ohrozil by tím vlastní podnikání a způsobil si hromadu problémů”, říká Jiří Grund, prezident APMS.

Bezpečnost státu podporují mobilní operátoři mj. spoluprací s Vojenským zpravodajstvím, které má zvláštní zákonnou působnost v oblasti kybernetického prostoru. Protože kybernetické útoky pochází často z prostředí internetu, útoky na cíle v České republice prochází také přes české telekomunikační sítě. Právě tam mobilní operátoři umožňují vojenským zpravodajcům obrannou činnost v zájmu České republiky.

Zadání mechanismu regulace dodavatelů proběhlo bez odborné diskuse

Bezpečnostní rada státu zadala Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) obtížný úkol: připravit do května 2023 mechanismus, kterým by stát mohl určovat, kdo smí dodávat technologie do tzv. “strategicky významné infrastruktury státu”. Náročnost úkolu vyplývá nejenom z toho, že “strategicky významná infrastruktura” neexistuje, resp. žádný právní předpis takový pojem nepoužívá, ale také z technologické komplexity telekomunikačních sítí a množství používaných prvků. Zbrklé usnesení Bezpečnostní rady státu tak celý proces přípravy mechanismu zkomplikovalo již od počátku.

“Chápeme geopolitickou realitu a diskusi s NÚKIBem o bezpečnosti mobilních sítí považujeme za důležitou. Pokud ale stát dělá nesystémová rozhodnutí bez znalosti detailu, staví jak své úředníky, tak podnikatele, do obtížně řešitelné situace”, říká k zadání přípravy mechanismu Grund.

Diskuse o rozsahu regulace dodavatelů probíhá již téměř dva roky. Odpověď na vhodnost regulace dodavatelů nad rámec principů existující legislativy přesto stále nikdo nezná. Teprve v posledních týdnech se věcné a technické argumenty začínají probírat, ale návrh regulace stále není známý. Zadání Bezpečnostní rady státu se navíc od června 2022 netýká jenom telekomunikací, ale dalších sektorů, jako je energetika, zdravotnictví, doprava, zemědělství a další. Je tedy načase, aby se návrh zákona začal diskutovat veřejně. Bez toho odborná diskuse do května 2023 nestihne proběhnout.

Z dosud zveřejněných stanovisek NÚKIB je zřejmé pouze to, že NÚKIB důvěřuje dodavatelům ze zemí NATO, EU, OECD a dalších států s atlantickou vazbou, ale nevěří dodavatelům z nedemokratických zemí, zejména z Asie. Tento postoj je konzistentní navzdory nedávným aférám s odposlechy evropských spojenců ze strany USA anebo faktu, že i “demokratičtí” dodavatelé mobilních technologií své zboží vyrábí v Číně.

Bezpečák z principu nedůvěřuje

Nálepkování dodavatelů síťových technologií na “demokratické” a „nedemokratické“ národní bezpečnost ČR reálně nezvýší. Jednak proto, že úplně každá technologie, bez ohledu na zemi původu či výrobce, je zranitelná a úspěch útoku závisí jenom na úsilí útočníka. Ale také proto, že kybernetické útoky probíhají prostřednictvím internetu a “nedemokratický” útočník bude útočit přes jakoukoli síťovou technologii. Právě proto aplikují už dnes mobilní operátoři tzv. “Zero Trust Policy”. V praxi to znamená, že ke všem dodavatelům přistupují stejně obezřetně a se stejnou nedůvěrou.

Jedním z bezpečnostních opatření je diversifikace, tedy využití technologií více dodavatelů v jedné síti. To přináší snížení kybernetických rizik a omezení závislosti na jednom dodavateli. Proto se tímto principem mobilní operátoři již dávno řídí.

Přístup k řešení skutečných rizik se snažili zástupci telekomunikačního odvětví státu vysvětlit mnohokrát. Chtěli vysvětlit, jaká opatření již přijímají, jak diverzifikují dodavatele ve svých sítích, jaký rozdíl je v jednotlivých technologiích a jak podle jejich názoru dává smysl mechanismus nastavit. Dosažení cílů státu v oblasti bezpečnosti je totiž možné i bez přemrštěných nákladů.

Náklady za zbytečnou regulaci budou jen vyhozené peníze

Centrum ekonomických a tržních analýz (CETA) připravilo pro APMS nákladovou analýzu dopadů zvažované regulace. Tato analýza porovnává náklady potřebné na ideologicky motivovanou regulaci s náklady potřebnými na vyváženou a racionální regulaci. Data pochází od jednotlivých mobilních operátorů a vychází ze skutečných finančních údajů, jsou tedy ověřitelná.

V případě nejpřísnější varianty regulace motivované zejména ideologickými argumenty, kdy by mobilní operátoři museli nahradit technologie nedemokratických dodavatelů ve většině své sítě, by podle CETA vícenáklady dosáhly 17,9 miliard Kč. S ohledem na chybějící racionalitu takové regulace by však většina takto vynaložených nákladů byla zbytečná a neefektivní. Promarněné vícenáklady by navíc zastavily investice do probíhající modernizace telekomunikačních sítí v ČR, včetně investic do budování vysokorychlostních přípojek na venkově.

V případě vyvážené a racionální regulace dodavatelů, tedy snaze regulovat dodavatele pouze v nejcitlivější části sítě (jádro), by se náklady pohybovaly v rozmezí 180 milionů až 1,79 mld Kč. Takový přístup by problém rizika spojeného s konkrétním dodavatelem vyřešil. Oba regulační přístupy přitom paradoxně sleduje stejný cíl – zabránit komukoli, kdo kontroluje činnost jednoho dodavatele, snadno narušit telekomunikační provoz v ČR.

Shrnutí studie CETA je k dispozici ke stažení.