Polska Izba Informatyki i Telekomunikacji apeluje o zmiany w przepisach CADA

Polska Izba Informatyki i Telekomunikacji przedstawiła oficjalne stanowisko w sprawie unijnego projektu aktu dotyczącego rozwoju chmury obliczeniowej oraz sztucznej inteligencji. Organizacja przestrzega przed ryzykiem wzrostu biurokracji, izolacją europejskiego rynku od globalnych innowacji oraz wykluczeniem małych i średnich przedsiębiorstw. Eksperci postulują wprowadzenie konkretnych zmian regulacyjnych, w tym nowelizację istniejącej dyrektywy o zamówieniach publicznych zamiast tworzenia kolejnego rozporządzenia.

Projekt CADA ma w założeniu wzmocnić europejską niezależność technologiczną oraz przyspieszyć budowę centrów przetwarzania danych. Izba zwraca jednak uwagę na fakt, że proponowane mechanizmy mogą przynieść odwrotny skutek do zamierzonego. Szczególne obawy budzi wymóg prowadzenia kosztownych audytów na drugim poziomie suwerenności, co dla mniejszych firm stanowi barierę nie do przejścia. Dla globalnego koncernu taki audyt to drobny wydatek budżetowy, natomiast dla małego podmiotu oznacza odcięcie od rynku zamówień publicznych.

Polska Izba Informatyki i Telekomunikacji proponuje wprowadzenie uproszczonej procedury audytowej o ograniczonym zakresie dla firm spełniających kryteria MŚP. Zgodnie z propozycją pełny reżim kontrolny powinien obowiązywać dopiero od trzeciego poziomu suwerenności. Izba ocenia pozytywnie jedynie samoocenę na najniższym poziomie oraz cel zakładający skierowanie co najmniej 25% zamówień chmurowych do innowacyjnych przedsiębiorstw. Bez zmian w zasadach weryfikacji ten wskaźnik pozostanie jedynie deklaracją bez pokrycia w rzeczywistości.

Kolejnym istotnym problemem jest odpowiedzialność dostawców oprogramowania aplikacyjnego za infrastrukturę podwykonawców. Twórcy aplikacji nie posiadają narzędzi prawnych ani technicznych, aby samodzielnie weryfikować globalne architektury telemetryczne operatorów chmury. W efekcie nowe przepisy mogą obarczyć mniejsze podmioty nierealnymi zobowiązaniami, tworząc warstwę jedynie pozornej zgodności.

Nietrafiona podstawa prawna i kwestie bezpieczeństwa

W ocenie PIIT proponowany akt niewłaściwie określa podstawę prawną, opierając się na regulacjach rynku wewnętrznego. Projekt odchodzi od znanych procedur zamówień publicznych na rzecz nowych mechanizmów i kolejnych platform zakupowych. Zamiast budować nowe struktury zarządcze, Unia Europejska powinna skupić się na znowelizowaniu istniejącej dyrektywy o zamówieniach oraz wykorzystaniu działającego już portalu TED.

Zastrzeżenia budzą także wymogi dotyczące przechowywania danych telemetrycznych oraz metadanych wyłącznie na terenie Europy. Taki zapis uniemożliwi realizację kluczowych funkcji cyberbezpieczeństwa w skali globalnej, w tym sprawne analizowanie wzorców zagrożeń. Zbyt rygorystyczne kryteria geograficzne grożą odizolowaniem europejskiego rynku od przełomowych technologii oraz zakłóceniem łańcuchów dostaw.

Ochrona umów wieloletnich i kluczowe postulaty

Projektowane przepisy nie zapewniają odpowiedniej ochrony umowom zawartym przed wejściem w życie rozporządzenia. Zamawiający publiczni mogą przenosić nowe wymogi na wykonawców, zmuszając dostawców do kosztownej przebudowy systemów w trakcie trwania kontraktu. Izba apeluje, aby dotychczasowe umowy mogły być realizowane do końca okresu ich obowiązywania, jednak nie krócej niż przez 36 miesięcy od rozpoczęcia stosowania aktu.

Branża postuluje również uelastycznienie systemu certyfikacji poprzez wprowadzenie oceny punktowej oraz dopuszczenie alternatywnych środków kompensujących. Przykładowo przechowywanie kluczy szyfrujących poza infrastrukturą dostawcy powinno skutecznie zmniejszać ryzyko dostępu do danych. Przedstawiciele sektora IT podkreślają, że bez racjonalizacji wymagań i stałego dialogu regulacje pogłębią rynkową koncentrację wokół najsilniejszych graczy.