Dostawca sprzętu lub oprogramowania

Dostawca sprzętu lub oprogramowania to, w rozumieniu ustawy „Krajowy system cyberbezpieczeństwa”, podmiot związany z produktem, usługą albo procesem ICT, który występuje w określonej roli w łańcuchu dostaw. Pojęcie to nie ogranicza się więc wyłącznie do przedsiębiorcy sprzedającego gotowy sprzęt lub program. Obejmuje także podmioty odpowiedzialne za wytworzenie rozwiązania, działające w imieniu producenta, sprowadzające je na rynek albo przekazujące je dalej.

Zakres tego pojęcia wyznaczają cztery kategorie podmiotów, rozumiane zgodnie z przepisami wskazanego w ustawie rozporządzenia:

• producent, czyli podmiot wytwarzający produkt ICT albo zlecający jego zaprojektowanie lub wytworzenie i wprowadzający go pod własną nazwą lub znakiem;
• upoważniony przedstawiciel, który został wyznaczony przez producenta do wykonywania określonych czynności w jego imieniu;
• importer, uczestniczący we wprowadzaniu produktu ICT pochodzącego spoza właściwego obszaru obrotu;
• dystrybutor, udostępniający produkt w ramach łańcucha dostaw, ale niebędący jego producentem ani importerem.

Przesłanką uznania za dostawcę jest zatem jednocześnie przynależność do jednej z tych ról oraz związek z produktem ICT, usługą ICT lub procesem ICT. Definicja ustawowa jest szersza niż określenie „dostawca sprzętu lub oprogramowania”, ponieważ obejmuje również usługi i procesy związane z technologiami informacyjno-komunikacyjnymi.

W praktyce pojęcie służy ustaleniu, jakie podmioty mogą być uwzględniane przy stosowaniu przepisów o cyberbezpieczeństwie. Pozwala wskazać nie tylko bezpośredniego sprzedawcę, lecz także inne podmioty uczestniczące w powstaniu, wprowadzeniu na rynek lub udostępnieniu rozwiązania ICT. Ma to znaczenie dla prawidłowego określenia uczestników łańcucha dostaw oraz zakresu podmiotowego regulacji ustawy. To, jakie konkretne obowiązki lub wymagania dotyczą danego dostawcy, wynika każdorazowo z pozostałych przepisów ustawy i regulacji stosowanych w danej sytuacji.