Czy przedsiębiorca telekomunikacyjny powinien wskazać w Wykazie KSC całą posiadaną pulę publicznych adresów IP, w tym adresy przydzielane abonentom?

Nie. Zgodnie z art. 7 ust. 2 pkt 9 ustawy o krajowym systemie cyberbezpieczeństwa w „Wykazie podmiotów kluczowych i podmiotów ważnych” należy wskazać zakresy publicznych adresów IP wykorzystywanych przez podmiot kluczowy lub podmiot ważny w sposób ciągły.

Przepis ten należy interpretować z uwzględnieniem motywu 18 dyrektywy NIS2, który określa cel przekazywania danych do wykazu. Motyw ten wymienia zakresy adresów IP obok takich danych identyfikacyjnych jak nazwa podmiotu, adres, dane kontaktowe czy numery telefonów i przynależność do sektora. Świadczy to o tym, że przekazywane informacje mają służyć identyfikacji podmiotu objętego regulacją oraz umożliwieniu właściwym organom i CSIRT-om sprawnego kontaktu oraz powiązania podmiotu z wykorzystywanymi przez niego zasobami teleinformatycznymi.

W konsekwencji przez „zakresy publicznych adresów IP wykorzystywanych przez podmiot” należy rozumieć przede wszystkim adresację wykorzystywaną w sposób stały na potrzeby własnej działalności oraz własnej infrastruktury teleinformatycznej podmiotu. Nie ma natomiast podstaw do przyjęcia, że obowiązek ten obejmuje całą pulę publicznych adresów IP przeznaczoną do przydzielania abonentom lub użytkownikom końcowym.

Adresy IP wykorzystywane wyłącznie przez abonentów lub użytkowników końcowych nie stanowią, co do zasady, adresacji „wykorzystywanej przez podmiot” w rozumieniu tego przepisu.