- Urząd Komunikacji Elektronicznej

Gdzie kończy się neutralność, a zaczyna cyberbezpieczeństwo?

Dostęp do Internetu stał się niezbędnym elementem życia i pracy. Różne potrzeby użytkowników oznaczają korzystanie z różnych usług dostępnych w sieci, dlatego Art. 3 Rozporządzenia o Otwartym Internecie¹ ustanawia zasadę równego traktowania transmisji danych.

Mechanizmy cyberbezpieczeństwa

W szczególności ust. 3 tego artykułu wprost dopuszcza stosowanie odpowiednich środków zarządzania ruchem, jeżeli są one przejrzyste, niedyskryminacyjne, proporcjonalne, nie są podyktowane względami handlowymi i są oparte na obiektywnych różnicach w wymogach dotyczących technicznej jakości usług w zakresie określonych kategorii ruchu. Jednocześnie art. 3 ust. 3 lit. b i c pozwala na użycie środków zarządzania ruchem,  w szczególności: blokowania, spowalniania, zmieniania, ograniczenia, pogarszania jakości i faworyzowania, gdy jest to konieczne do utrzymania integralności i bezpieczeństwa sieci oraz do zapobiegania przeciążeniom i łagodzenia skutków ich wystąpienia.

Oznacza to, że działania takie jak filtrowanie złośliwego ruchu, blokowanie prób wykorzystania podatności, ochrona przed DDoS, czy ograniczanie skutków działań przestępców mogą być zgodne z zasadą otwartego Internetu, jeżeli spełniają wymogi konieczności i proporcjonalności.

Jednocześnie Dyrektywa NIS2² w art. 21 ust. 1 nakłada na państwa członkowskie obowiązek zapewnienia, aby podmioty kluczowe i podmioty ważne wprowadziły, stosowały odpowiednie i proporcjonalne środki techniczne, operacyjne oraz organizacyjne służące zarządzaniu ryzykiem oraz zapobieganiu lub minimalizowaniu skutków incydentów. Wymogi Dyrektywy NIS2 obejmują m.in. obsługę incydentów, bezpieczeństwo sieci i systemów, ciągłość działania oraz zarządzanie podatnościami. Zostało to zaimplementowane w art. 8 ust. 1 pkt 5 lit d) ustawy o krajowym systemie cyberbezpieczeństwa.

O konieczności utrzymania bezpieczeństwa mówi także Poradnik BEREC w zakresie implementacji przepisów dotyczących Otwartego Internetu, który w pkt. 84 wręcz zaleca aktywne blokownie adresów IP i portów, które stanowią zagrożenie dla bezpieczeństwa i integralności.

Otwarty Internet a regulacja

Regulacja Otwartego Internetu nie była pomyślana wyłącznie jako regulacja jakości dostępu do Internetu. Jakość i jej monitorowanie są ważnymi elementami ochrony użytkownika, ale nadrzędnym celem regulacji jest zapewnienie otwartego i niedyskryminacyjnego dostępu do Internetu oraz możliwości swobodnego korzystania z wybranych treści, aplikacji i usług.

Jednocześnie Otwarty Internet nie oznacza obowiązku traktowania każdego pakietu danych w identyczny sposób w sensie technicznym. Regulacja nie zakazuje operatorom zarządzania ruchem w sieci, ale dopuszcza określone formy, jeżeli jest to konieczne, w szczególności:

• w celu wykonania obowiązków prawnych,
• zapewnienia bezpieczeństwa i integralności sieci,
• przeciwdziałania wyjątkowemu lub chwilowemu przeciążeniu.

Kluczowe jest jednak to, że takie zarządzanie ruchem nie może prowadzić do arbitralnego, komercyjnego lub nieuzasadnionego ograniczania dostępu do określonych treści, aplikacji lub usług. Podejmowane środki muszą być proporcjonalne, przejrzyste i niedyskryminacyjne wobec równoważnych kategorii ruchu.

Otwarty Internet oznacza środowisko, w którym użytkownik może swobodnie korzystać z legalnych treści, aplikacji i dostępnych usług, a dostawca dostępu do Internetu nie ogranicza jego wyboru ani nie faworyzuje określonych treści, aplikacji czy usług. Istotą Otwartego Internetu jest zapewnienie niedyskryminacyjnego dostępu do sieci, który chroni prawa użytkowników, wspiera konkurencję i sprzyja rozwojowi nowych usług i innowacji, a zarządzanie ruchem musi mieć uzasadnienie zgodne z regulacją i nie może być wykorzystywane do ograniczania otwartości Internetu.

Jarosław Wojciechowski, Departament Bezpieczeństwa

¹ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2015/2120 z dnia 25 listopada 2015 r. ustanawiające środki dotyczące dostępu do otwartego internetu oraz zmieniające dyrektywę 2002/22/WE w sprawie usługi powszechnej i związanych z sieciami i usługami łączności elektronicznej praw użytkowników, a także rozporządzenie (UE) nr 531/2012 w sprawie roamingu w publicznych sieciach łączności ruchomej wewnątrz Unii

² Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2)