dr inż. Elżbieta Andrukiewicz
Dyrektor Zakładu Cyberbezpieczeństwa oraz Technologii i Zastosowań Internetu Instytutu Łączności - Państwowego Instytutu Badawczego
Za tym osiągnięciem stoi zespół ekspertów Zakładu Cyberbezpieczeństwa oraz Technologii i Zastosowań Internetu Instytutu Łączności - Państwowego Instytutu Badawczego, który miał zaszczyt prowadzić pod moim kierownictwem prace nad krajowym systemem certyfikacji na zlecenie Ministerstwa Cyfryzacji. Dokumentacja przygotowana przez nasz zespół została następnie poddana przeglądowi Komisji Europejskiej i Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), przyjęta do polskiego porządku prawnego i opublikowana jako oficjalny program certyfikacji.
To sukces polskich specjalistów, którzy nie tylko wdrażają europejskie regulacje, lecz także aktywnie uczestniczą w tworzeniu rozwiązań wyznaczających kierunek rozwoju cyfrowej Europy.
Od europejskich przepisów do polskiego rozwiązania
Nowelizacja rozporządzenia eIDAS 2.0 z 2024 roku zobowiązała wszystkie państwa członkowskie do wdrożenia Europejskiego Portfela Tożsamości Cyfrowej oraz zapewnienia jego certyfikacji. Jednocześnie nie powstał jeden wspólny europejski program certyfikacji. Każde państwo otrzymało zadanie opracowania własnego systemu, który następnie miał zostać przedstawiony Komisji Europejskiej do przeglądu.
W praktyce oznaczało to konieczność stworzenia od podstaw kompletnego systemu oceny zgodności - obejmującego nie tylko wymagania wobec portfela, ale również metody badań, kryteria oceny, procedury certyfikacyjne oraz wymagania dla jednostek, które będą prowadziły ocenę zgodności.
Było to zadanie znacznie bardziej złożone niż mogłoby się wydawać. Unijne przepisy określały bowiem, co należy sprawdzić, ale nie wskazywały, jak należy to zrobić.
Tam, gdzie Europa nie miała jeszcze gotowych wzorców
Największym wyzwaniem okazał się brak gotowych norm i metodyk badań. Nie istniały europejskie standardy opisujące sposób oceny zgodności Europejskiego Portfela Tożsamości Cyfrowej. Powstawały dopiero pierwsze projekty dokumentów, a wiele rozwiązań znajdowało się jeszcze na etapie dyskusji ekspertów.
Oznaczało to, że zespół Instytutu Łączności nie mógł oprzeć się na gotowych wzorcach. Konieczne było opracowanie własnych specyfikacji technicznych, metod badawczych oraz procedur certyfikacyjnych, wykorzystując doświadczenia zdobyte przy europejskich programach certyfikacji cyberbezpieczeństwa oraz standardzie Common Criteria.
To właśnie dlatego przygotowanie polskiego systemu nie było prostym tłumaczeniem czy adaptacją istniejących dokumentów. W wielu obszarach rozwiązania trzeba było zaprojektować od podstaw, zachowując pełną zgodność z wymaganiami europejskich regulacji oraz najlepszymi praktykami oceny zgodności.
Trzy filary systemu
Opracowany przez Instytut Łączności system składa się z trzech uzupełniających się programów certyfikacji:
- certyfikacji funkcjonalnej,
- certyfikacji cyberbezpieczeństwa,
- certyfikacji systemu identyfikacji elektronicznej (eID).
Każdy z nich odpowiada za inny aspekt funkcjonowania Europejskiego Portfela Tożsamości Cyfrowej, natomiast wszystkie korzystają ze wspólnych zasad, definicji oraz wymagań dotyczących prowadzenia procesu certyfikacji. Dzięki temu powstał spójny system obejmujący zarówno wymagania techniczne, jak i organizacyjne.
Europejska weryfikacja
Przygotowana dokumentacja została przekazana Komisji Europejskiej do przeglądu. Po analizie projektu eksperci Komisji uznali, że polski system jest wystarczająco kompletny i szczegółowy, aby można było rozpocząć przygotowania do akredytacji jednostek oceniających zgodność oraz prowadzenia procesu certyfikacji. Wskazano jedynie drobne uwagi redakcyjne, nie identyfikując żadnych braków uniemożliwiających dalsze wdrażanie programu.
Równie pozytywną opinię wydała Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), określając projekt jako „STRONG with minor observations”.
Szczególnie satysfakcjonujące jest to, że według naszej najlepszej wiedzy wcześniejsze projekty przygotowane przez inne państwa członkowskie nie osiągnęły jeszcze poziomu dojrzałości pozwalającego rozpocząć rzeczywiste działania certyfikacyjne. Polska znalazła się więc w gronie państw wyznaczających kierunek rozwoju europejskiego systemu certyfikacji, a nie jedynie korzystających z rozwiązań przygotowanych przez innych.
Od projektu do dokumentu państwowego
Przygotowana przez ekspertów Instytutu Łączności dokumentacja została przyjęta do polskiego porządku prawnego uchwałą Rady Ministrów, a następnie opublikowana przez Ministra Cyfryzacji w Biuletynie Informacji Publicznej jako oficjalny krajowy system certyfikacji Europejskiego Portfela Tożsamości Cyfrowej.
Od tego momentu Polska dysponuje kompletną podstawą formalną umożliwiającą rozpoczęcie procesu akredytacji jednostek oceniających zgodność oraz certyfikacji przyszłego portfela.
Sukces, który wykracza poza Polskę
Największą wartością tego projektu nie jest jednak sama publikacja dokumentów.
Równie istotne jest to, że polski system powstawał równolegle z europejską dyskusją nad przyszłym modelem certyfikacji. Rozwiązania opracowane przez ekspertów Instytutu Łączności mogą stać się jednym z fundamentów przyszłego wspólnego schematu certyfikacji obowiązującego w całej Unii Europejskiej.
To pokazuje, że Polska dysponuje kompetencjami pozwalającymi nie tylko skutecznie wdrażać europejskie regulacje, ale również współtworzyć ich praktyczny kształt.
Dla naszego zespołu jest to szczególny powód do satysfakcji. Za sukcesem, o którym dziś mówi się w kontekście Polski jako pierwszego państwa z kompletnym systemem certyfikacji Europejskiego Portfela Tożsamości Cyfrowej, stoją konkretni ludzie - eksperci Zakładu Cyberbezpieczeństwa oraz Technologii i Zastosowań Internetu Instytutu Łączności - Państwowego Instytutu Badawczego. To efekt wielu miesięcy intensywnej pracy, współpracy z partnerami krajowymi i europejskimi oraz kompetencji budowanych w Instytucie od lat.
Jestem przekonana, że właśnie takie projekty pokazują rzeczywistą rolę polskich instytutów badawczych - nie jako wykonawców cudzych pomysłów, lecz jako partnerów współtworzących europejskie standardy cyberbezpieczeństwa i zaufania cyfrowego. I właśnie dlatego publikacja polskiego systemu certyfikacji Europejskiego Portfela Tożsamości Cyfrowej jest sukcesem nie tylko administracji publicznej, ale również polskiej myśli technicznej oraz zespołu Instytutu Łączności - Państwowego Instytutu Badawczego.