Dostawca wysokiego ryzyka (HRV) to dostawca, którego określone produkty, usługi lub procesy ICT – po przeprowadzeniu ustawowej procedury – mogą zostać uznane za stwarzające ryzyko dla bezpieczeństwa państwa lub porządku publicznego. Uznanie za dostawcę wysokiego ryzyka następuje wyłącznie w drodze postępowania administracyjnego prowadzonego przez ministra cyfryzacji.

Po wszczęciu postępowania minister zawiadamia o tym dostawcę oraz publikuje informację w Biuletynie Informacji Publicznej. Przed wydaniem decyzji zasięga opinii Kolegium do Spraw Cyberbezpieczeństwa, które ma trzy miesiące na jej przygotowanie.

W ciągu 14 dni od opublikowania zawiadomienia organizacje społeczne mogą przedstawić swoje stanowisko. Na tej podstawie minister przygotowuje raport, który publikuje na swojej stronie BIP przed wydaniem decyzji.

Decyzja o uznaniu dostawcy za wysokiego ryzyka nie oznacza wykluczenia firmy z rynku. Obejmuje wyłącznie wskazane w decyzji typy produktów, rodzaje usług ICT lub konkretne procesy ICT. Co do zasady nie dotyczy całej działalności danego dostawcy.

Decyzja podlega natychmiastowemu wykonaniu i jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”, publikowana w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji oraz udostępniana na stronie internetowej ministerstwa.

Po jej wydaniu podmioty objęte ustawą o KSC nie mogą wprowadzać do użytkowania wskazanych produktów, usług lub procesów ICT. Muszą również wycofać je z użytkowania w terminie do siedmiu lat od dnia ogłoszenia decyzji. W przypadku określonych przedsiębiorców komunikacji elektronicznej termin ten wynosi cztery lata.

Do tej pory nie wszczęto żadnego postępowania w sprawie uznania dostawcy za dostawcę wysokiego ryzyka i nie wydano żadnej decyzji w tym zakresie. W konsekwencji obecnie nie istnieje lista dostawców wysokiego ryzyka.

Brak listy dostawców wysokiego ryzyka nie zwalnia podmiotów z obowiązku oceny ryzyka przy zakupie produktów, usług i procesów ICT. Warto weryfikować, czy pochodzą one od zaufanych dostawców i spełniają wymagania bezpieczeństwa.

Pomocne są również rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, wydawane na podstawie art. 33 i 67a ustawy o krajowym systemie cyberbezpieczeństwa. Mogą one wskazywać podatności, zagrożenia lub rozwiązania technologiczne, których stosowanie może negatywnie wpływać na poziom bezpieczeństwa.  Należy zwrócić uwagę, że zgodnie z art. 226 ust. 1 pkt 17 Prawa zamówień publicznych, zamawiający jest zobowiązany odrzucić ofertę dotyczącą produktów ICT, usług ICT lub procesów ICT objętych rekomendacjami wydanymi w trybie art. 33 ustawy o krajowym systemie cyberbezpieczeństwa.

Z rekomendacjami Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa można zapoznać się na stronie Ministra Cyfryzacji albo pod adresem Wykaz Rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa - Otwarte Dane