Ochrona informacji niejawnych w firmie i instytucji

Ustawa o ochronie informacji niejawnych obejmuje nie tylko urzędy. Stosuje się ją także do państwowych osób prawnych i innych państwowych jednostek organizacyjnych, do jednostek podległych organom władzy publicznej albo przez nie nadzorowanych oraz do przedsiębiorców, którzy ubiegają się o umowy związane z dostępem do informacji niejawnych, wykonują je albo wykonują takie zadania na podstawie przepisów prawa (art. 1 ust. 2 pkt 4 do 6). Ta strona jest dla nich: dla firmy, która chce startować w przetargach z klauzulą albo już wykonuje umowę niejawną, i dla instytucji, która przetwarza informacje niejawne, ale nie jest urzędem gminy ani starostwem. Urzędy samorządowe mają osobną stronę: Ochrona informacji niejawnych w gminie i starostwie.

Przedsiębiorca i umowa z klauzulą

Warunkiem dostępu przedsiębiorcy do informacji niejawnych przy wykonywaniu umowy jest zdolność do ich ochrony (art. 54 ust. 1). To, jak się ją potwierdza, zależy od klauzuli:

• „Zastrzeżone”. Świadectwo bezpieczeństwa przemysłowego nie jest wymagane (art. 54 ust. 9), ale firma musi spełnić wymagania ustawy dla tej klauzuli. Jeżeli nie będzie przetwarzać informacji w swoich obiektach, nie musi zatrudniać pełnomocnika ochrony (art. 54 ust. 10). Minimalny komplet: upoważnienia kierownika i szkolenia dla osób z dostępem (art. 21 ust. 4), instrukcja z art. 43 ust. 5, a przy przetwarzaniu na komputerze dokumentacja bezpieczeństwa systemu zatwierdzana przez kierownika (art. 48 ust. 9).
• „Poufne” i wyższe. Zdolność potwierdza świadectwo bezpieczeństwa przemysłowego wydawane przez ABW albo SKW po postępowaniu bezpieczeństwa przemysłowego (art. 54 ust. 2). Świadectwo ma trzy stopnie: pierwszy potwierdza pełną zdolność, drugi wyklucza przetwarzanie we własnych systemach teleinformatycznych, trzeci wyklucza przetwarzanie w obiektach przedsiębiorcy (art. 55 ust. 1). Świadectwo do klauzuli „poufne” jest ważne 10 lat, do „tajne” 7 lat, do „ściśle tajne” 5 lat (art. 55 ust. 2).
• Działalność jednoosobowa. Przedsiębiorca, który wykonuje działalność jednoosobowo i osobiście, potwierdza zdolność poświadczeniem bezpieczeństwa do klauzuli „poufne” lub wyższej i zaświadczeniem o szkoleniu, oba wydawane przez ABW albo SKW (art. 54 ust. 3).
• Podwykonawcy. Te same zasady stosuje się do podwykonawców, jeżeli ich praca wiąże się z dostępem do informacji niejawnych (art. 54 ust. 6).

Od wyboru stopnia świadectwa zależy, co trzeba przygotować przed złożeniem wniosku: środki bezpieczeństwa fizycznego, gdy informacje mają być w obiektach firmy (a przy klauzuli „tajne” i wyższej także kancelarię tajną, art. 42 ust. 1), oraz akredytowany system, gdy mają być na jej komputerach. Dlatego zaczynamy od tego, co naprawdę wynika z umowy, a nie od najwyższego możliwego stopnia.

Instytucja publiczna

Państwowa osoba prawna, inna państwowa jednostka organizacyjna albo jednostka podległa organowi władzy publicznej lub przez niego nadzorowana ma te same obowiązki co każda jednostka organizacyjna: kierownik odpowiada za ochronę (art. 14 ust. 1) i zatrudnia pełnomocnika ochrony (art. 14 ust. 2), a zakres dokumentów zależy od klauzul, które jednostka przetwarza (art. 42 i 43). Wymagania dla poszczególnych klauzul są te same, które opisujemy na stronie dla gmin, więc nie powtarzamy ich tutaj.

Co robimy

• Wdrożenie od zera. Ustalenie, czego wymaga umowa albo zadanie, i przeprowadzenie firmy lub jednostki przez kolejne kroki. Kolejność i typowe pułapki opisuje tekst Wdrożenie ochrony informacji niejawnych w firmie od zera.
• Przygotowanie do postępowania bezpieczeństwa przemysłowego. Dokumenty, organizacja ochrony i pion, które firma powinna mieć przed złożeniem wniosku o świadectwo. Postępowanie prowadzi i rozstrzyga ABW albo SKW.
• Pełnomocnik ochrony i pion. Pełnomocnik z zewnątrz wyznaczony przez kierownika, zastępca, inspektor bezpieczeństwa teleinformatycznego albo administrator systemu: Pełnomocnik ochrony i obsada pionu ochrony.
• Dokumentacja. Plan ochrony, instrukcja dla klauzuli „zastrzeżone”, sposób i tryb przetwarzania informacji „poufne”, dokumentacja poziomu zagrożeń: Polityki bezpieczeństwa i plan ochrony informacji niejawnych.
• Systemy i stanowiska. Dokumentacja SWB i PBE, szacowanie ryzyka i przygotowanie do akredytacji, potrzebne między innymi przy świadectwie pierwszego stopnia: Akredytacja systemów niejawnych i dokumentacja SWB, PBE oraz Dedykowane stanowiska komputerowe.
• Szkolenie do klauzuli „zastrzeżone”. Dla pracowników, którzy przy umowie z tą klauzulą dostają pisemne upoważnienie kierownika, bo szkolenie jest drugim warunkiem ich dopuszczenia (art. 21 ust. 4). W jednostce z pełnomocnikiem prowadzimy je na jego zlecenie (art. 19 ust. 2 pkt 3): Szkolenie z ochrony informacji niejawnych do klauzuli „zastrzeżone”.
• Szkolenia do wyższych klauzul i okresowe. Nie rzadziej niż raz na 5 lat (art. 19 ust. 3): Szkolenia z ochrony informacji niejawnych.

Jak przebiega współpraca

1. Rozmowa o umowie albo zadaniu: jaka klauzula, gdzie mają być przetwarzane informacje, czy na komputerze, ile osób będzie mieć dostęp, jaki jest termin.
2. Lista wymagań wynikających z ustawy, każde z podstawą prawną, oraz wariant najmniejszy, który je spełnia.
3. Uzgodnienie zakresu, kosztów i terminów. Budżet, z którym trzeba się liczyć, rozpisuje tekst Ile kosztuje ochrona informacji niejawnych w firmie.
4. Dokumenty do zatwierdzenia przez kierownika, wyznaczenia, szkolenia, a przy klauzuli „poufne” i wyższych przygotowanie do wniosku o świadectwo.
5. Utrzymanie: terminy ważności świadectwa, poświadczeń i szkoleń, kontrola okresowa, wykaz osób.

Firmy i instytucje, z którymi pracowaliśmy, wymieniamy z nazwy na stronie Realizacje.

Czego nie obiecujemy

Świadectwo bezpieczeństwa przemysłowego wydaje ABW albo SKW po własnym postępowaniu i nie da się go zagwarantować. Nie zapewniamy wygranej w przetargu ani terminu, w którym organ zakończy postępowanie. Zapewniamy, że firma albo jednostka wchodzi w postępowanie z kompletem tego, czego wymaga ustawa, i wie, dlaczego ma każdy dokument.

Najczęstsze pytania

Czy do przetargu z klauzulą „zastrzeżone” potrzebne jest świadectwo bezpieczeństwa przemysłowego?

Nie. Przy umowach z dostępem do informacji „zastrzeżone” świadectwo nie jest wymagane (art. 54 ust. 9). Firma musi jednak spełnić wymagania ustawy dla tej klauzuli, a pełnomocnika ochrony może nie zatrudniać tylko wtedy, gdy nie będzie przetwarzać tych informacji w swoich obiektach (art. 54 ust. 10). Więcej: Przetargi z klauzulą: przygotowanie przedsiębiorcy.

Który stopień świadectwa wybrać?

Najniższy, który pozwala wykonać umowę. Jeżeli informacje będą przetwarzane wyłącznie u zamawiającego, wystarcza trzeci stopień. Jeżeli w obiektach firmy, ale bez jej komputerów, drugi. Pierwszy jest potrzebny dopiero wtedy, gdy informacje mają być przetwarzane we własnych systemach teleinformatycznych (art. 55 ust. 1).

Jak długo ważne jest świadectwo?

Zależnie od klauzuli: 10 lat dla „poufne”, 7 lat dla „tajne”, 5 lat dla „ściśle tajne”, licząc od daty wystawienia (art. 55 ust. 2). Wygasa wcześniej, jeżeli przedsiębiorca zrzeknie się uprawnień albo zostanie przejęty lub zlikwidowany (art. 55 ust. 4).

Czy pełnomocnik ochrony w firmie musi być na etacie?

Ustawa wymaga, żeby pełnomocnik był zatrudniony przez kierownika, bezpośrednio mu podlegał (art. 14 ust. 2) i spełniał warunki z art. 14 ust. 3. Nie określa wymiaru czasu pracy. Kiedy pełnomocnik z zewnątrz ma sens, a kiedy nie, omawia tekst Zewnętrzny pełnomocnik ochrony: kiedy outsourcing ma sens.