Dostęp do informacji niejawnych: kompletny przewodnik
Trzy warunki, nie jeden
Dostęp do informacji niejawnych nie sprowadza się do posiadania poświadczenia. Muszą wystąpić trzy elementy jednocześnie:
- uprawnienie formalne, poświadczenie bezpieczeństwa albo, przy klauzuli „zastrzeżone”, pisemne upoważnienie kierownika jednostki,
- odbyte szkolenie z ochrony informacji niejawnych,
- potrzeba służbowa, zasada wiedzy niezbędnej.
Brak któregokolwiek z nich oznacza brak podstawy do udostępnienia informacji, nawet jeśli pozostałe są spełnione.
Warunki formalne według klauzuli
Podstawą jest art. 21 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych.
| Klauzula | Wymagania | Przepis |
|---|---|---|
| poufne, tajne, ściśle tajne | poświadczenie bezpieczeństwa oraz szkolenie | art. 21 ust. 1 |
| zastrzeżone | pisemne upoważnienie kierownika jednostki (gdy brak poświadczenia) oraz szkolenie | art. 21 ust. 4 |
Rodzaj postępowania poprzedzającego wydanie poświadczenia zależy od klauzuli: zwykłe przy „poufnych”, poszerzone przy „tajnych” i „ściśle tajnych” (art. 22 ust. 1). Terminy ważności wynoszą odpowiednio 10, 7 i 5 lat (art. 29 ust. 3), a poświadczenie wyższe obejmuje klauzule niższe (ust. 4).
Ograniczenie obywatelstwa
Osoby nieposiadające obywatelstwa polskiego co do zasady nie mogą być dopuszczone do pracy ani czynności zleconych związanych z dostępem do informacji o klauzuli „tajne” lub „ściśle tajne” (art. 21 ust. 2).
Art. 21 ust. 3 przewiduje wyjątki, dotyczące osób:
- zajmujących stanowiska związane z kierowaniem wykonywaniem przez przedsiębiorcę umowy związanej z dostępem do informacji niejawnych albo z jej bezpośrednim wykonywaniem, a także wykonujących zadania na rzecz obronności lub bezpieczeństwa państwa u przedsiębiorcy,
- uczestniczących w imieniu takiego przedsiębiorcy w czynnościach zmierzających do zawarcia umowy, jeżeli są one związane z dostępem do informacji niejawnych,
- zatrudnionych w pionie ochrony takiego przedsiębiorcy, z wyjątkiem pełnomocnika ochrony i jego zastępcy.
Zasada wiedzy niezbędnej
Poświadczenie określa maksymalny poziom dostępu, nie zakres. Dostęp do konkretnej informacji przysługuje osobie, której jest ona potrzebna do wykonywania obowiązków służbowych na zajmowanym stanowisku.
Zasada ta ogranicza skutki ewentualnego naruszenia: im węższy krąg osób znających daną informację, tym mniejsza powierzchnia ryzyka. W środowisku międzynarodowym bywa egzekwowana szczególnie rygorystycznie, bo odbiorcami dokumentu są instytucje wielu państw.
Podstawa: art. 4 ust. 1
Wszystkie trzy warunki mają jedno źródło. Art. 4 ust. 1 ustawy stanowi, że informacje niejawne mogą być udostępnione wyłącznie osobie dającej rękojmię zachowania tajemnicy i tylko w zakresie niezbędnym do wykonywania przez nią pracy lub pełnienia służby na zajmowanym stanowisku albo wykonywania czynności zleconych. Rękojmię potwierdza poświadczenie albo upoważnienie, zakres wyznacza stanowisko, a szkolenie jest warunkiem dopuszczenia z art. 21.
Warto zauważyć końcówkę przepisu: „albo wykonywania czynności zleconych”. Dostęp nie jest zarezerwowany dla pracowników. Może go mieć osoba spoza jednostki, na przykład wykonawca umowy, biegły czy serwisant, jeżeli spełnia te same warunki. Zmienia się tylko to, kto organizuje ich spełnienie.
Dostęp osób spoza jednostki
Trzy typowe sytuacje wymagają osobnego omówienia, bo w każdej łatwo o błąd.
Wykonawca umowy. Przedsiębiorca wykonujący umowę związaną z dostępem do informacji niejawnych podlega ustawie od chwili ubiegania się o nią (art. 1 ust. 2). Jego pracownicy potrzebują poświadczeń lub upoważnień, szkoleń i potrzeby dostępu tak samo jak pracownicy zamawiającego. Przy klauzuli „poufne” lub wyższej przedsiębiorca co do zasady potrzebuje świadectwa bezpieczeństwa przemysłowego, ale art. 54 przewiduje wyjątki zależne od tego, czy informacje będą przetwarzane we własnych obiektach i jaki jest faktyczny zakres dostępu. Zamawiający powinien sprawdzić to przed udostępnieniem pierwszego dokumentu.
Serwis i dostawcy. Technik naprawiający klimatyzację w strefie ochronnej albo informatyk serwisujący akredytowany system nie musi zapoznawać się z treścią informacji niejawnych, ale przebywa tam, gdzie one są. Rozwiązaniem jest nadzór osoby uprawnionej i ślad w ewidencji wejść, a nie wydawanie upoważnień na wyrost. Jeżeli serwis wymaga dostępu do treści, na przykład do danych w systemie, obowiązują pełne warunki.
Kontrola i postępowania. Kontrolerzy ABW i SKW działają na podstawie art. 12 ustawy i własnych uprawnień. Udostępnianie informacji niejawnych w postępowaniach przed sądami i innymi organami regulują odrębne ustawy (art. 4 ust. 2), więc pełnomocnik ochrony nie decyduje o tym samodzielnie, tylko stosuje właściwą procedurę.
Dostęp w systemie teleinformatycznym
Konto w systemie nie jest dostępem do informacji niejawnych, tylko narzędziem. Uprawnienia w akredytowanym systemie muszą odzwierciedlać te same trzy warunki: konto dostaje osoba z poświadczeniem lub upoważnieniem, po szkoleniu, a zakres uprawnień w systemie odpowiada zasadzie wiedzy niezbędnej. Kontrola sprawdza zgodność listy kont z wykazem osób prowadzonym przez pełnomocnika (art. 15 ust. 1 pkt 8) i to tutaj najczęściej znajduje rozbieżności: konta osób, które odeszły, konta współdzielone, uprawnienia administracyjne u osób, które ich nie potrzebują.
Zasady nadawania i odbierania uprawnień opisuje dokumentacja bezpieczeństwa systemu, a wykonuje je administrator pod nadzorem inspektora bezpieczeństwa teleinformatycznego (art. 52).
Dopuszczenie nowego pracownika krok po kroku
- Określenie klauzuli stanowiska. Kierownik jednostki ustala, do jakich informacji stanowisko daje dostęp. To decyduje, czy potrzebne jest postępowanie i jakie.
- Postępowanie sprawdzające albo upoważnienie. Zwykłe prowadzi pełnomocnik, poszerzone ABW albo SKW; przy „zastrzeżonych” kierownik wydaje pisemne upoważnienie.
- Szkolenie z ochrony informacji niejawnych, udokumentowane zaświadczeniem.
- Wpis do wykazu osób prowadzonego przez pełnomocnika ochrony.
- Nadanie uprawnień w kancelarii i w systemie, w zakresie wynikającym ze stanowiska.
- Zapoznanie z procedurami jednostki, w szczególności z planem ochrony i procedurami bezpiecznej eksploatacji, jeżeli osoba pracuje w systemie.
Ta sama lista działa w odwrotną stronę przy odejściu pracownika: odebranie uprawnień, rozliczenie materiałów, wykreślenie z wykazu. Obowiązek zachowania tajemnicy zostaje.
Najczęstsze błędy
Dostęp „z racji stanowiska”. Dyrektor nie ma dostępu dlatego, że jest dyrektorem, tylko dlatego, że ma poświadczenie, szkolenie i potrzebę służbową. Wyjątek dotyczy wyłącznie osób wymienionych w art. 34.
Poświadczenie zamiast wszystkich trzech warunków. Osoba z poświadczeniem, ale bez aktualnego szkolenia, nie może być dopuszczona do pracy (art. 21 ust. 1).
Wykaz osób prowadzony od święta. Wykaz z art. 15 ust. 1 pkt 8 ma być aktualny. Wykaz, w którym figurują osoby, które odeszły rok temu, jest pierwszą uwagą każdej kontroli.
Upoważnienie do „zastrzeżonych” bez szkolenia. Art. 21 ust. 4 wymaga obu elementów; samo upoważnienie nie wystarczy.
Materiały międzynarodowe
Krajowe poświadczenie nie otwiera samo z siebie dostępu do informacji niejawnych NATO, Unii Europejskiej i innych organizacji. Przy poziomach odpowiadających „poufne” i wyższym dokumenty upoważniające wydaje Krajowa Władza Bezpieczeństwa, czyli Szef ABW, a wobec podmiotów podległych MON za pośrednictwem Szefa SKW (art. 11 ust. 1–3). Przy NATO RESTRICTED i odpowiednikach „zastrzeżone” stosuje się pisemne upoważnienie, szkolenie w jednostce organizacyjnej i potrzebę dostępu.
Materiały przekazane Polsce oznacza się polskim odpowiednikiem posiadanej klauzuli (art. 5 ust. 5).
Utrata dostępu
Dostęp nie jest przyznany bezterminowo. Poza upływem ważności poświadczenia możliwe są dwie sytuacje.
Kontrolne postępowanie sprawdzające przeprowadza się, gdy o osobie posiadającej poświadczenie ujawnią się nowe informacje wskazujące, że nie daje ona rękojmi zachowania tajemnicy (art. 33 ust. 1). Osoba sprawdzana nie wypełnia wówczas nowej ankiety. O wszczęciu zawiadamia się kierownika jednostki lub osobę uprawnioną do obsady stanowiska, pełnomocnika ochrony oraz samą osobę sprawdzaną (ust. 6).
Cofnięcie poświadczenia. Od decyzji pełnomocnika odwołanie wnosi się do Szefa ABW albo Szefa SKW za pośrednictwem pełnomocnika (art. 37). Od decyzji ABW, SKW lub podmiotów z art. 23 ust. 5 odwołanie przysługuje do Prezesa Rady Ministrów za pośrednictwem organu, który wydał decyzję (art. 35). Termin wynosi 14 dni od doręczenia; odwołanie nie wymaga uzasadnienia i nie wstrzymuje wykonania decyzji. Skargę do sądu administracyjnego reguluje art. 38.
Obowiązki po stronie jednostki
Udostępnianie informacji niejawnych to element systemu, za który odpowiada kierownik jednostki organizacyjnej (art. 14 ust. 1). W praktyce realizuje go pion ochrony:
- pełnomocnik ochrony prowadzi aktualny wykaz osób mających dostęp do informacji niejawnych (art. 15 ust. 1 pkt 8),
- kontroluje ewidencje, materiały i obieg dokumentów co najmniej raz na trzy lata (pkt 4),
- organizuje szkolenia (pkt 6), powtarzane nie rzadziej niż raz na 5 lat (art. 19 ust. 3).
Artykuły szczegółowe
- Czym są informacje niejawne? Definicje i przykłady
- Klauzule tajności w praktyce
- Jak uzyskać poświadczenie bezpieczeństwa? Krok po kroku
- Rodzaje poświadczeń bezpieczeństwa: pełny przewodnik
- Rola kontrwywiadu w systemie ochrony państwa
- Zakres postępowania sprawdzającego
- Zasada wiedzy niezbędnej w obiegu dokumentów
- Dedykowane stanowisko komputerowe
- Usługa: szkolenia przed dopuszczeniem do pracy
FAQ – Najczęściej zadawane pytania
Czy poświadczenie wystarczy, żeby uzyskać dostęp?
Nie. Potrzebne jest jeszcze szkolenie oraz rzeczywista potrzeba służbowa wynikająca z zasady wiedzy niezbędnej.
Czy cudzoziemiec może mieć dostęp do informacji „tajnych”?
Co do zasady nie (art. 21 ust. 2). Wyjątki z ust. 3 dotyczą głównie osób realizujących u przedsiębiorcy umowy związane z dostępem do informacji niejawnych.
Czy dostęp można utracić przed upływem ważności poświadczenia?
Tak. W wyniku kontrolnego postępowania sprawdzającego albo cofnięcia poświadczenia.
Czy dowiem się o wszczęciu kontrolnego postępowania?
Tak. O wszczęciu zawiadamia się m.in. osobę sprawdzaną (art. 33 ust. 6 pkt 3).
Czy krajowe poświadczenie obejmuje dokumenty NATO?
Nie. Wymagany jest odrębny dokument wydawany przez Krajową Władzę Bezpieczeństwa.
Czy pracownik firmy zewnętrznej może mieć dostęp do informacji niejawnych?
Tak, na tych samych warunkach co pracownik jednostki: poświadczenie lub upoważnienie, szkolenie i potrzeba wynikająca z umowy. Przy klauzuli „poufne” lub wyższej trzeba dodatkowo sprawdzić, czy przedsiębiorca potrzebuje świadectwa bezpieczeństwa przemysłowego i którego stopnia, bo ustawa przewiduje wyjątki dla części modeli realizacji umowy.
Czy dostęp wygasa z chwilą odejścia z pracy?
Uprawnienia w jednostce tak, i trzeba je odebrać. Poświadczenie zachowuje ważność do upływu terminu, a obowiązek zachowania tajemnicy trwa bezterminowo.
