Ochrona informacji niejawnych: kompletny przewodnik
System, a nie zbiór pieczątek
Ochronę informacji niejawnych sprowadza się czasem do oznaczania dokumentów klauzulami. To najmniejsza część zagadnienia. Art. 1 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych wymienia osiem obszarów regulacji: klasyfikowanie, organizowanie ochrony, przetwarzanie, postępowania sprawdzające i kontrolne, postępowanie bezpieczeństwa przemysłowego, organizację kontroli stanu zabezpieczenia, ochronę w systemach teleinformatycznych oraz środki bezpieczeństwa fizycznego.
W praktyce układają się one w cztery filary.
| Filar | Czego dotyczy | Gdzie czytać dalej |
|---|---|---|
| Osobowy | postępowania sprawdzające, poświadczenia, szkolenia, dopuszczenia | Jak uzyskać poświadczenie |
| Fizyczny | strefy ochronne, kancelarie tajne, urządzenia do przechowywania | Zasady ochrony: wymogi prawne |
| Teleinformatyczny | akredytacja systemów, dokumentacja SWB i PBE | Ustawa o ochronie informacji niejawnych: przewodnik |
| Przemysłowy | Świadectwa Bezpieczeństwa Przemysłowego dla firm | Rodzaje poświadczeń |
Co podlega ochronie
Informacjami niejawnymi są informacje, których nieuprawnione ujawnienie spowodowałoby lub mogłoby spowodować szkody dla RP albo byłoby z punktu widzenia jej interesów niekorzystne, także w trakcie ich opracowywania oraz niezależnie od formy i sposobu wyrażania (art. 1 ust. 1).
Ochrona obejmuje więc również materiały robocze i przekaz ustny. Szerzej: Czym są informacje niejawne.
Cztery klauzule odpowiadają rozmiarowi potencjalnej szkody: „ściśle tajne” (wyjątkowo poważna szkoda), „tajne” (poważna szkoda), „poufne” (szkoda) i „zastrzeżone” (możliwy szkodliwy wpływ na zadania publiczne). Dla każdej ustawa wylicza zamknięty katalog przesłanek, omawiamy je w Klauzulach tajności w praktyce.
Kto za co odpowiada
Kierownik jednostki organizacyjnej odpowiada za ochronę informacji niejawnych, w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony (art. 14 ust. 1).
Pełnomocnik ochrony, zatrudniany przez kierownika i podlegający mu bezpośrednio, odpowiada za zapewnienie przestrzegania przepisów (art. 14 ust. 2). Musi mieć obywatelstwo polskie, wykształcenie wyższe, odpowiednie poświadczenie bezpieczeństwa oraz zaświadczenie o przeszkoleniu przeprowadzonym przez ABW albo SKW (art. 14 ust. 3). Zobacz: Pełnomocnik ochrony: rola, status i zadania oraz Jak zostać pełnomocnikiem.
ABW i SKW nadzorują system: prowadzą kontrole, postępowania sprawdzające i bezpieczeństwa przemysłowego, realizują zadania z zakresu bezpieczeństwa teleinformatycznego oraz prowadzą doradztwo i szkolenia (art. 10 ust. 1). SKW odpowiada za sferę wojskową (ust. 2), ABW, za pozostałe podmioty (ust. 3).
Krajowa Władza Bezpieczeństwa to odrębna funkcja pełniona przez Szefa ABW, dotycząca informacji wymienianych z zagranicą (art. 11). Szerzej: Krajowa Władza Bezpieczeństwa.
Dostęp do informacji
| Klauzula | Co jest wymagane | Podstawa |
|---|---|---|
| poufne, tajne, ściśle tajne | poświadczenie bezpieczeństwa oraz szkolenie | art. 21 ust. 1 |
| zastrzeżone | pisemne upoważnienie kierownika jednostki (gdy brak poświadczenia) oraz szkolenie | art. 21 ust. 4 |
Rodzaj postępowania zależy od klauzuli: zwykłe przy „poufnych”, poszerzone przy „tajnych” i „ściśle tajnych” (art. 22 ust. 1). Terminy ważności poświadczeń wynoszą odpowiednio 10, 7 i 5 lat (art. 29 ust. 3), im wyższa klauzula, tym krótszy okres.
Niezależnie od dokumentów obowiązuje zasada wiedzy niezbędnej.
Terminy, o których łatwo zapomnieć
| Obowiązek | Częstotliwość | Kto | Przepis |
|---|---|---|---|
| Kontrola ewidencji, materiałów i obiegu dokumentów | co najmniej raz na 3 lata | pełnomocnik ochrony | art. 15 ust. 1 pkt 4 |
| Przegląd materiałów pod kątem aktualności klauzul | co najmniej raz na 5 lat | kierownik jednostki | art. 6 ust. 4 |
| Szkolenie z ochrony informacji niejawnych | co najmniej raz na 5 lat | pełnomocnik / ABW / SKW | art. 19 ust. 3 |
| Zakończenie postępowania sprawdzającego | do 3 miesięcy od złożenia ankiety | organ prowadzący | art. 24 ust. 6 |
Trzy różne cykle okresowe i trzy różne podmioty odpowiedzialne, ich mylenie jest częstą przyczyną uwag pokontrolnych.
Dokumentacja minimum
- plan ochrony informacji niejawnych, obejmujący także sytuację wprowadzenia stanu nadzwyczajnego (art. 15 ust. 1 pkt 5),
- wykaz osób mających dostęp do informacji niejawnych (art. 15 ust. 1 pkt 8),
- dokumentacja bezpieczeństwa systemu teleinformatycznego, SWB i PBE (art. 2 pkt 7–9),
- ewidencje kancelarii tajnej.
Zasada, od której zaczyna się wszystko
Art. 4 ust. 1 ustawy formułuje regułę, którą da się streścić w jednym zdaniu: informacje niejawne mogą być udostępnione wyłącznie osobie dającej rękojmię zachowania tajemnicy i tylko w zakresie niezbędnym do wykonywania przez nią pracy, pełnienia służby albo wykonywania czynności zleconych. Dwa warunki w jednym przepisie, a w praktyce dwa różne mechanizmy.
Rękojmię ustala postępowanie sprawdzające, a dowodem jest poświadczenie bezpieczeństwa albo, przy klauzuli „zastrzeżone”, upoważnienie kierownika jednostki. Zakres niezbędny ustala przełożony i pion ochrony przy każdym udostępnieniu, a dowodem są uprawnienia w systemie, karta zapoznania się z dokumentem i wykaz osób. Kontrole najczęściej wykazują błąd w tej drugiej części: jednostka sprawdza, czy pracownik ma poświadczenie, i na tym poprzestaje.
Art. 8 dodaje trzeci element. Informacje, którym nadano klauzulę, muszą być przetwarzane w warunkach uniemożliwiających ich nieuprawnione ujawnienie i chronione odpowiednio do nadanej klauzuli. Stąd biorą się wymagania dotyczące pomieszczeń, szaf, systemów teleinformatycznych i obiegu dokumentów.
Cztery filary na drodze jednego dokumentu
Podział na filary porządkuje przepisy, ale w jednostce wszystkie cztery spotykają się przy jednym piśmie. Prześledźmy drogę dokumentu o klauzuli „tajne”, żeby pokazać, gdzie każdy filar wchodzi do gry.
Przyjęcie. Pismo trafia do kancelarii tajnej, bo przy klauzuli „tajne” jej utworzenie jest obowiązkowe (art. 42 ust. 1). Kancelaria rejestruje je w dzienniku ewidencyjnym. To filar fizyczny i organizacyjny.
Udostępnienie. Kierownik kancelarii wydaje pismo osobie, która ma poświadczenie do klauzuli „tajne”, odbyte szkolenie i potrzebę służbową potwierdzoną przez przełożonego. Fakt zapoznania trafia na kartę zapoznania. To filar osobowy.
Praca z treścią. Jeżeli treść ma zostać wprowadzona do systemu, może to być wyłącznie system akredytowany do tej klauzuli (art. 48), na stanowisku opisanym w dokumentacji bezpieczeństwa (art. 49). To filar teleinformatyczny.
Zwrot i przechowywanie. Dokument wraca do kancelarii i do szafy o klasie odpowiedniej do klauzuli, w strefie ochronnej. Znów filar fizyczny.
Po latach. Przy przeglądzie materiałów (art. 6 ust. 4) kierownik jednostki sprawdza, czy przesłanka klauzuli nadal istnieje, a jeżeli nie, klauzula zostaje zniesiona albo obniżona (art. 6 ust. 3).
Jeżeli którykolwiek z tych kroków wykonuje przedsiębiorca w ramach umowy, dochodzi filar przemysłowy: świadectwo bezpieczeństwa przemysłowego odpowiedniego stopnia (art. 55 ust. 1) albo, przy klauzuli „zastrzeżone”, spełnienie wymagań bez świadectwa (art. 54 ust. 9).
Gdy coś pójdzie nie tak
Ustawa nie zakłada, że naruszenia się nie zdarzają. Zakłada, że jednostka wie, co wtedy zrobić. Art. 17 ust. 1 nakłada na pełnomocnika ochrony obowiązek zawiadomienia kierownika jednostki i niezwłocznego podjęcia działań zmierzających do wyjaśnienia okoliczności naruszenia oraz ograniczenia jego skutków. Jeżeli naruszenie dotyczy informacji o klauzuli „poufne” lub wyższej, pełnomocnik zawiadamia także ABW albo SKW (art. 17 ust. 2).
W praktyce oznacza to, że plan ochrony informacji niejawnych powinien zawierać procedurę na taki wypadek: kto zabezpiecza materiały, kto rozmawia z osobami, kto sporządza notatkę, kto i w jakim terminie zawiadamia służbę. Procedura pisana w dniu incydentu jest zawsze gorsza od tej pisanej wcześniej.
Odpowiedzialność karna jest osobnym zagadnieniem. Ujawnienie informacji niejawnych penalizują art. 265 i 266 Kodeksu karnego: pierwszy dotyczy informacji o klauzuli „tajne” i „ściśle tajne”, drugi informacji, z którymi sprawca zapoznał się w związku z pełnioną funkcją lub wykonywaną pracą. Kontrola stanu ochrony nie jest jednak postępowaniem karnym i w większości jednostek realną konsekwencją zaniedbań są uwagi pokontrolne z terminem ich usunięcia, a nie zarzuty.
Kontrola ABW i SKW
Nadzór nad systemem to nie tylko postępowania sprawdzające. Art. 12 daje ABW i SKW prawo kontroli ochrony informacji niejawnych w jednostkach organizacyjnych. Kontrola sprawdza zwykle to samo: czy pion ochrony istnieje i ma wymagane poświadczenia, czy wykaz osób odpowiada stanowi faktycznemu, czy szkolenia są aktualne, czy ewidencje kancelarii zgadzają się z zawartością szaf i czy dokumentacja bezpieczeństwa systemu opisuje system, który stoi w pomieszczeniu, a nie ten sprzed dwóch wymian sprzętu.
Najprostszym przygotowaniem jest własna kontrola z art. 15 ust. 1 pkt 4, przeprowadzona rzetelnie i z protokołem. Jednostka, która sama znalazła i opisała swoje braki, jest w innej sytuacji niż ta, której braki wskazał kontroler.
Przepisy wykonawcze, bez których ustawa nie działa
Ustawa wyznacza ramy, a szczegóły techniczne leżą w rozporządzeniach. Trzy z nich są w codziennej pracy ważniejsze niż niejeden artykuł ustawy:
- rozporządzenie Rady Ministrów w sprawie organizacji i funkcjonowania kancelarii tajnych oraz sposobu i trybu przetwarzania informacji niejawnych (2011): ewidencje, obieg, kopiowanie i niszczenie materiałów,
- rozporządzenie Rady Ministrów w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych (2012): strefy ochronne, klasy szaf i zamków, poziomy zagrożeń,
- rozporządzenie Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (2011): zawartość SWB i PBE, zasady akredytacji.
Każde z nich było nowelizowane, więc obowiązuje ta sama zasada co przy ustawie: praca na tekście aktualnym, nie na wydruku sprzed lat.
Wdrożenie od zera: kolejność, która się sprawdza
Jednostka, która dopiero zaczyna przetwarzać informacje niejawne, najczęściej zaczyna od pytania o szafę. Kolejność powinna być odwrotna.
- Ustalenie, co i o jakiej klauzuli będzie przetwarzane. Od tego zależy wszystko dalej: tryb postępowań, obowiązek kancelarii, wymagania dla pomieszczeń i systemów.
- Zatrudnienie pełnomocnika ochrony spełniającego wymogi art. 14 ust. 3, z poświadczeniem odpowiednim do najwyższej planowanej klauzuli.
- Szacowanie ryzyka i plan ochrony, zaakceptowany przez kierownika jednostki.
- Postępowania sprawdzające dla osób, które mają mieć dostęp: zwykłe prowadzi pełnomocnik, poszerzone ABW albo SKW.
- Pomieszczenia i środki bezpieczeństwa fizycznego, dobrane według poziomu zagrożeń, a nie z katalogu.
- Kancelaria tajna albo inna komórka ewidencyjna, z uruchomionymi ewidencjami przed przyjęciem pierwszego materiału.
- System teleinformatyczny, jeżeli jest potrzebny, z dokumentacją i akredytacją przed uruchomieniem.
- Szkolenia wszystkich osób z wykazu i dopuszczenie do pracy.
Skrócenie tej listy o którykolwiek punkt wraca przy pierwszej kontroli.
Mapa artykułów
Podstawy prawne i pojęcia
- Ustawa o ochronie informacji niejawnych: przewodnik
- Czym są informacje niejawne? Definicje i przykłady
- Klauzule tajności w praktyce
- Zasady ochrony informacji niejawnych: wymogi prawne
Ludzie i procedury
- Pełnomocnik ochrony informacji: rola, status i zadania
- Jak zostać pełnomocnikiem ds. informacji niejawnych
- Dostęp do informacji niejawnych: kompletny przewodnik
- Zakres postępowania sprawdzającego
Organy
- Krajowa Władza Bezpieczeństwa: rola i funkcje
- Zadania i kompetencje ABW
- Rola kontrwywiadu w systemie ochrony państwa
- Kancelaria tajna: kiedy trzeba ją utworzyć
- Obieg dokumentów niejawnych w jednostce
- Akredytacja systemu niejawnego: przebieg procesu
- Dokumentacja SWB i PBE: co musi zawierać
- Świadectwo Bezpieczeństwa Przemysłowego: po co i dla kogo
FAQ – Najczęściej zadawane pytania
Od czego zacząć wdrożenie w jednostce?
Od wyznaczenia pełnomocnika ochrony spełniającego wymogi art. 14 ust. 3 i opracowania planu ochrony informacji niejawnych. Odpowiedzialność za zorganizowanie ochrony spoczywa na kierowniku jednostki.
Czy do klauzuli „zastrzeżone” potrzebne jest poświadczenie?
Nie. Wystarczy pisemne upoważnienie kierownika jednostki oraz szkolenie (art. 21 ust. 4).
Jak często powtarza się szkolenie?
Nie rzadziej niż raz na 5 lat (art. 19 ust. 3).
Kto nadaje klauzulę tajności?
Osoba uprawniona do podpisania dokumentu lub oznaczenia innego materiału (art. 6 ust. 1).
Czy ochrona obejmuje wersje robocze dokumentów?
Tak. Ustawa chroni informacje także w trakcie ich opracowywania (art. 1 ust. 1).
Czy mała jednostka z jednym dokumentem „zastrzeżone” musi mieć pełnomocnika ochrony?
Tak. Art. 14 ust. 2 wiąże pełnomocnika z każdą jednostką, w której przetwarzane są informacje niejawne, bez progu ilościowego ani klauzulowego. Wyjątek dotyczy przedsiębiorcy wykonującego umowę o klauzuli „zastrzeżone” bez przetwarzania informacji we własnych obiektach (art. 54 ust. 10).
Co grozi za brak wymaganych zabezpieczeń?
Najczęściej uwagi pokontrolne ABW albo SKW z terminem ich usunięcia. Ujawnienie informacji niejawnych to już odpowiedzialność karna z art. 265 lub 266 Kodeksu karnego.
Czy da się zlecić ochronę informacji niejawnych firmie zewnętrznej?
Doradztwo, dokumentację, szkolenia i przygotowanie systemów tak. Pełnomocnik ochrony musi być zatrudniony przez kierownika jednostki (art. 14 ust. 2), a postępowania sprawdzające prowadzą wyłącznie organy wskazane w ustawie.
