Instrukcja dla klauzuli zastrzeżone: jak ją napisać
Klauzula „zastrzeżone” jest najniższa i najczęściej spotykana w firmach, urzędach i jednostkach, które mają z informacjami niejawnymi do czynienia okazjonalnie. Nie wymaga poświadczeń, kancelarii tajnej ani akredytacji przez służbę. Wymaga za to jednego dokumentu, o którym często dowiaduje się dopiero przy kontroli: instrukcji dotyczącej sposobu i trybu przetwarzania informacji niejawnych o klauzuli „zastrzeżone”. Ten tekst opisuje, skąd bierze się obowiązek, co instrukcja musi obejmować, jak ją ułożyć rozdział po rozdziale i jak wdrożyć, żeby działała, a nie leżała.
Skąd bierze się obowiązek
Art. 43 ust. 5 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych stanowi, że kierownik jednostki organizacyjnej zatwierdza opracowaną przez pełnomocnika ochrony instrukcję dotyczącą sposobu i trybu przetwarzania informacji niejawnych o klauzuli „zastrzeżone” w podległych komórkach organizacyjnych oraz zakres i warunki stosowania środków bezpieczeństwa fizycznego w celu ich ochrony.
Z jednego zdania wynikają trzy rzeczy. Instrukcję pisze pełnomocnik ochrony, zatwierdza kierownik jednostki, a jej treść ma dwie części: obieg informacji i zabezpieczenia fizyczne. Przy „poufnych” odpowiednikiem jest sposób i tryb przetwarzania z art. 43 ust. 3, a szczegóły obiegu wyznacza tam rozporządzenie w sprawie kancelarii tajnych. Przy „zastrzeżonych” ustawa zostawia więcej swobody, ale też więcej odpowiedzialności: to instrukcja jest miejscem, w którym jednostka sama ustala, jak chroni te informacje.
Przedsiębiorca wykonujący umowę z dostępem wyłącznie do informacji „zastrzeżonych” nie potrzebuje świadectwa bezpieczeństwa przemysłowego (art. 54 ust. 9), ale musi spełnić wymagania ustawy w zakresie ochrony tych informacji (ust. 10). Instrukcja jest tego dowodem.
Co instrukcja musi obejmować
Ustawa mówi o „sposobie i trybie przetwarzania”. Przetwarzanie to w rozumieniu ustawy wszelkie operacje na informacjach: wytwarzanie, modyfikowanie, kopiowanie, klasyfikowanie, gromadzenie, przechowywanie, przekazywanie i udostępnianie (art. 2 pkt 5). Instrukcja ma więc odpowiedzieć na pytanie, jak w tej jednostce wykonuje się każdą z tych operacji, i dołożyć do tego zabezpieczenia fizyczne.
Sprawdzian kompletności jest prosty: pracownik, który dostaje do ręki pierwszy dokument „zastrzeżony”, powinien znaleźć w instrukcji odpowiedź na każde pytanie od „gdzie to zarejestrować” po „co zrobić z brudnopisem”.
Układ rozdziałów z zawartością
Poniższy układ sprawdza się w jednostkach różnej wielkości. Nazwy rozdziałów są umowne, zawartość nie.
1. Zakres i podstawa. Do kogo instrukcja się stosuje, na jakiej podstawie (art. 43 ust. 5), jakie klauzule obejmuje, kto ją aktualizuje. Krótko.
2. Osoby uprawnione. Kto ma dostęp: pisemne upoważnienie kierownika jednostki i szkolenie (art. 21 ust. 4), wpis do wykazu osób prowadzonego przez pełnomocnika (art. 15 ust. 1 pkt 8), zasada wiedzy niezbędnej (art. 4 ust. 1). Kto wydaje upoważnienia i gdzie są przechowywane.
3. Wytwarzanie i oznaczanie. Kto może nadać klauzulę (osoba uprawniona do podpisania dokumentu, art. 6 ust. 1), jak oznacza się dokument, kopię, wyciąg i nośnik zgodnie z rozporządzeniem w sprawie sposobu oznaczania materiałów i umieszczania na nich klauzul tajności, jak postępuje się z brudnopisami i wersjami roboczymi.
4. Ewidencja. Jakie rejestry prowadzi jednostka, kto je prowadzi, co się wpisuje przy wpływie, wytworzeniu, wydaniu i zwrocie. Przy „zastrzeżonych” nie ma obowiązku kancelarii tajnej, ale bez ewidencji nie da się wykazać, gdzie dokument jest i kto go miał.
5. Przechowywanie. Gdzie materiały leżą w godzinach pracy i po nich, jakie szafy i zamki, kto ma klucze i kody, jak wygląda zdanie klucza. To pierwsza część wymogu „zakres i warunki stosowania środków bezpieczeństwa fizycznego”.
6. Przekazywanie wewnątrz jednostki. Jak dokument wędruje między osobami: za pokwitowaniem, bez zostawiania na biurku, bez przesyłania służbową pocztą elektroniczną poza akredytowanym systemem.
7. Przekazywanie na zewnątrz. Jak wysyła się i odbiera materiały: pakowanie, oznaczanie przesyłki, poczta specjalna albo przewóz przez upoważnionego pracownika, pokwitowania.
8. Kopiowanie i drukowanie. Kto zezwala, jak oznacza się kopie, gdzie ewidencjonuje, co robi się z błędnym wydrukiem i czy w ogóle wolno drukować poza wyznaczonym urządzeniem.
9. System teleinformatyczny. Jeżeli jednostka przetwarza „zastrzeżone” w komputerze, instrukcja odsyła do SWB i PBE tego systemu, akredytowanego przez kierownika jednostki (art. 48 ust. 9). Jeżeli nie ma systemu, instrukcja mówi to wprost: informacje „zastrzeżone” nie są przetwarzane w żadnym systemie teleinformatycznym jednostki.
10. Niszczenie. Kiedy i jak niszczy się kopie, brudnopisy, błędne wydruki i nośniki, kto to potwierdza, jaki ślad zostaje w ewidencji.
11. Naruszenia. Co robi pracownik, gdy dokument zaginął, został ujawniony albo istnieje takie podejrzenie: komu zgłasza natychmiast, czego nie robi (nie szuka na własną rękę, nie usuwa śladów). Pełnomocnik zawiadamia kierownika i wyjaśnia okoliczności (art. 17 ust. 1).
12. Zabezpieczenia fizyczne. Zbiorczy opis: pomieszczenia, w których wolno pracować z materiałami, zasady wstępu osób postronnych, szafy, klucze, alarm, jeżeli jest. Dobór zależy od poziomu zagrożeń ustalonego dla jednostki, a punktem odniesienia jest rozporządzenie w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych.
13. Szkolenia i zapoznanie. Kto szkoli (pełnomocnik ochrony, art. 19 ust. 2), jak często (nie rzadziej niż raz na 5 lat, art. 19 ust. 3), gdzie przechowuje się oświadczenia o zapoznaniu z instrukcją.
14. Załączniki. Wzory upoważnienia, oświadczenia o zapoznaniu, kart ewidencyjnych, protokołu zniszczenia. Wzory dotyczące oznaczania muszą być zgodne z rozporządzeniem, pozostałe jednostka projektuje sama.
Ile ma mieć stron
Instrukcja dla firmy z jedną umową i trzema osobami z dostępem mieści się na kilku stronach. Instrukcja dla urzędu z kilkoma komórkami i własnym stanowiskiem komputerowym będzie dłuższa, ale nadal ma opisywać tę jednostkę, nie przepisywać ustawy. Miarą nie jest objętość, tylko to, czy każde zdanie da się wykonać.
Dwa testy przed zatwierdzeniem:
- Test nowego pracownika. Osoba, która nigdy nie widziała dokumentu z klauzulą, po przeczytaniu instrukcji wie, co zrobić z pierwszym.
- Test kontrolera. Każdy zapis ma odpowiednik w rzeczywistości: szafa z instrukcji stoi w pokoju z instrukcji, rejestr z instrukcji leży w szufladzie z instrukcji.
Wdrożenie
Zatwierdzona instrukcja zaczyna działać dopiero po trzech krokach.
- Szkolenie. Pełnomocnik omawia instrukcję z każdą osobą z dostępem, a dopuszczenie do pracy z „zastrzeżonymi” wymaga szkolenia (art. 21 ust. 4).
- Oświadczenia o zapoznaniu. Podpisane, z datą, w aktach pionu ochrony. Bez nich w razie naruszenia nikt nie wykaże, że pracownik znał zasady.
- Sprawdzenie w praktyce. Pełnomocnik przechodzi obieg jednego dokumentu od wpływu do zniszczenia kopii i poprawia miejsca, w których instrukcja rozjeżdża się z rzeczywistością. Robi to przed pierwszym prawdziwym dokumentem, nie po.
Spójność z wymaganiami zamawiającego to osobny warunek dla przedsiębiorców: instrukcja bezpieczeństwa przemysłowego dołączona do umowy (art. 71) może narzucać obieg wyłącznie papierowy albo określone oznaczenia, a instrukcja wewnętrzna nie może z nią kolidować.
Aktualizacja
Instrukcja starzeje się z każdą zmianą: nowy pokój, nowa szafa, nowa osoba z upoważnieniem, pierwszy komputer. Przegląd raz w roku i po każdej zmianie organizacyjnej wystarcza, pod warunkiem że ktoś jest za niego odpowiedzialny z nazwiska. Kontrola ewidencji, materiałów i obiegu dokumentów, którą pełnomocnik prowadzi co najmniej raz na 3 lata (art. 15 ust. 1 pkt 4), jest naturalnym momentem na przegląd instrukcji, ale trzy lata to za długo przy jednostce, która się zmienia.
Każda nowa wersja wymaga ponownego zatwierdzenia przez kierownika i ponownego zapoznania osób, których dotyczy zmiana.
Typowe błędy
- Instrukcja skopiowana z innej jednostki, z cudzymi numerami pokoi i nazwami komórek. Kontroler rozpoznaje to po pierwszej stronie.
- Przepisana ustawa zamiast opisu, jak jest u nas. Instrukcja ma mówić „rejestr prowadzi pani X w pokoju 12”, nie „jednostka prowadzi ewidencję zgodnie z przepisami”.
- Brak części o zabezpieczeniach fizycznych, choć art. 43 ust. 5 wymienia ją wprost.
- Milczenie o systemie teleinformatycznym. Jeżeli w firmie jest komputer, na którym ktoś kiedyś otworzył dokument „zastrzeżony”, instrukcja musi to albo zakazać, albo odesłać do dokumentacji systemu.
- Brak procedury na naruszenie. Pracownik, który znajdzie dokument w niewłaściwym miejscu, nie wie, komu powiedzieć.
- Zatwierdzenie bez szkolenia. Instrukcja w segregatorze, o której nikt nie wie.
- Podpis kierownika sprzed pięciu lat na instrukcji opisującej pomieszczenia, których już nie ma.
FAQ – Najczęściej zadawane pytania
Czy instrukcja jest potrzebna, gdy w jednostce jest jeden dokument „zastrzeżony”?
Tak. Art. 43 ust. 5 nie ma progu ilości. Instrukcja dla jednego dokumentu i trzech osób mieści się na kilku stronach.
Kto podpisuje instrukcję?
Opracowuje ją pełnomocnik ochrony, zatwierdza kierownik jednostki organizacyjnej (art. 43 ust. 5).
Czy przedsiębiorca bez pełnomocnika ochrony też musi mieć instrukcję?
Przedsiębiorca wykonujący umowę z dostępem do „zastrzeżonych” bez przetwarzania ich we własnych obiektach nie musi zatrudniać pełnomocnika (art. 54 ust. 10), ale wymagania ochrony obowiązują go nadal. Zasady postępowania trzeba spisać, a punktem odniesienia jest instrukcja bezpieczeństwa przemysłowego zamawiającego (art. 71).
Jak często aktualizować instrukcję?
Po każdej zmianie organizacyjnej, która jej dotyczy, i nie rzadziej niż przy kontroli obiegu dokumentów prowadzonej co najmniej raz na 3 lata (art. 15 ust. 1 pkt 4). Każda nowa wersja wymaga ponownego zatwierdzenia i zapoznania osób.
Podsumowanie
Instrukcja z art. 43 ust. 5 to dokument, który pełnomocnik ochrony pisze, a kierownik jednostki zatwierdza, obejmujący cały obieg informacji „zastrzeżonych” od upoważnień po niszczenie oraz zabezpieczenia fizyczne. Ma opisywać tę jednostkę, być wykonalna dla nowego pracownika i mieć pokrycie w rzeczywistości. Zaczyna działać po szkoleniu, podpisaniu oświadczeń i sprawdzeniu obiegu jednego dokumentu.
Potrzebujecie instrukcji napisanej pod waszą jednostkę, a nie przepisanej z wzoru? Zobaczcie, jak wygląda organizacja obiegu i ewidencji dokumentów niejawnych, albo napiszcie do nas.
