Ochrona informacji niejawnych w gminie i starostwie

Ustawa o ochronie informacji niejawnych obejmuje organy jednostek samorządu terytorialnego oraz podległe im i nadzorowane przez nie jednostki organizacyjne (art. 1 ust. 2 pkt 1 lit. d). Jeżeli w urzędzie gminy, miasta albo w starostwie przetwarza się informacje niejawne, wójt, burmistrz, prezydent miasta albo starosta jako kierownik jednostki odpowiada za ich ochronę (art. 14 ust. 1) i zatrudnia bezpośrednio sobie podległego pełnomocnika ochrony (art. 14 ust. 2). Obowiązek nie zależy od wielkości urzędu ani od liczby dokumentów. W urzędzie, który ma ich niewiele, etat pełnomocnika często nie ma uzasadnienia, a wymagania ustawy są te same. Tę lukę wypełniamy: obsadzamy funkcje, piszemy dokumenty wymagane przy klauzulach, które urząd faktycznie ma, i przygotowujemy stanowisko komputerowe, jeśli jest potrzebne.

Skąd w urzędzie informacje niejawne

W samorządzie informacje niejawne pojawiają się przede wszystkim przy zadaniach z zakresu obronności, które gmina i powiat wykonują na podstawie odrębnych przepisów. Nie przesądzamy jednak z góry, jakie dokumenty ma konkretny urząd ani jakie noszą klauzule. Klauzulę nadaje osoba uprawniona do podpisania dokumentu (art. 6 ust. 1), czyli najczęściej jego wytwórca, a nie odbiorca. Dlatego pracę zaczynamy od ustalenia, co jest w urzędzie naprawdę: jakie materiały wpływają i powstają, z jakimi klauzulami, kto z nich korzysta i czy cokolwiek ma być przetwarzane na komputerze. Dopiero z tego wynika zakres obowiązków.

Co ustawa wymaga, zależnie od klauzuli

Część obowiązków dotyczy każdego urzędu, który przetwarza informacje niejawne. Pełnomocnik ochrony spełniający warunki z art. 14 ust. 3, plan ochrony informacji niejawnych akceptowany przez kierownika (art. 15 ust. 1 pkt 5), szkolenia nie rzadziej niż raz na 5 lat (art. 19 ust. 3), aktualny wykaz osób uprawnionych do dostępu (art. 15 ust. 1 pkt 8), okresowa, co najmniej raz na trzy lata, kontrola ewidencji, materiałów i obiegu dokumentów (art. 15 ust. 1 pkt 4) oraz przegląd materiałów nie rzadziej niż raz na 5 lat (art. 6 ust. 4).

Reszta zależy od klauzuli:

• „Zastrzeżone”. Dostęp po pisemnym upoważnieniu kierownika i szkoleniu (art. 21 ust. 4). Instrukcja dotycząca sposobu i trybu przetwarzania tych informacji oraz zakresu i warunków stosowania środków bezpieczeństwa fizycznego, opracowana przez pełnomocnika i zatwierdzona przez kierownika (art. 43 ust. 5). Jeżeli dokumenty mają powstawać na komputerze, akredytacji systemu udziela sam kierownik przez zatwierdzenie dokumentacji bezpieczeństwa (art. 48 ust. 9) i w ciągu 30 dni przekazuje ją ABW albo SKW (art. 48 ust. 11).
• „Poufne”. Dostęp po uzyskaniu poświadczenia bezpieczeństwa i szkoleniu (art. 21 ust. 1). Sposób i tryb przetwarzania w komórkach organizacyjnych (art. 43 ust. 3) oraz dokumentacja określająca poziom zagrożeń (art. 43 ust. 4), obie opracowane przez pełnomocnika i zatwierdzone przez kierownika. Komórka, w której rejestruje się takie materiały, musi w każdej chwili umieć ustalić, gdzie jest materiał i kto się z nim zapoznał (art. 43 ust. 1 i 2). System teleinformatyczny akredytuje ABW albo SKW (art. 48 ust. 3).
• „Tajne” i „ściśle tajne”. Kierownik tworzy kancelarię tajną i zatrudnia jej kierownika (art. 42 ust. 1).

Gdy urząd ma system teleinformatyczny do informacji niejawnych, kierownik wyznacza także inspektora bezpieczeństwa teleinformatycznego i administratora systemu, przy czym to nie może być ta sama osoba (art. 52 ust. 1).

Co robimy dla urzędu

• Ustalenie stanu i zakresu. Przegląd materiałów, klauzul, osób i miejsc przechowywania, z wnioskiem, które obowiązki z listy powyżej dotyczą urzędu, a które nie. Zakres i przebieg takiego przeglądu opisuje usługa Konsultacje i audyt ochrony informacji niejawnych.
• Pełnomocnik ochrony i pion. Pełnomocnik z naszego zespołu wyznaczony przez kierownika urzędu albo wsparcie dla pracownika urzędu, który tę funkcję pełni lub ma ją objąć, a także zastępca na czas jego nieobecności (art. 14 ust. 4). Szczegóły: Pełnomocnik ochrony i obsada pionu ochrony.
• Dokumenty ustawowe. Plan ochrony, instrukcja dla klauzuli „zastrzeżone”, sposób i tryb przetwarzania informacji „poufne”, dokumentacja poziomu zagrożeń. Piszemy je dla konkretnego urzędu, jego pomieszczeń i obsady: Polityki bezpieczeństwa i plan ochrony informacji niejawnych.
• Stanowisko komputerowe. Autonomiczne stanowisko do dokumentów niejawnych z dokumentacją bezpieczeństwa do zatwierdzenia przez kierownika albo do akredytacji w ABW: Dedykowane stanowiska komputerowe.
• Ewidencja i przegląd materiałów. Uporządkowanie ewidencji, uzgodnienie jej ze stanem szaf i przygotowanie przeglądu z art. 6 ust. 4: Kancelaria tajna i zarządzanie dokumentami niejawnymi.
• Szkolenie do klauzuli „zastrzeżone”. Pracownik, który ma pracować z takimi dokumentami, nie potrzebuje poświadczenia bezpieczeństwa: dostaje pisemne upoważnienie wójta, burmistrza albo starosty, a drugim i ostatnim warunkiem dopuszczenia jest szkolenie (art. 21 ust. 4). Prowadzimy je na zlecenie pełnomocnika ochrony (art. 19 ust. 2 pkt 3), na miejscu w urzędzie, z dokumentacją, na podstawie której pełnomocnik wydaje uczestnikom zaświadczenia: Szkolenie z ochrony informacji niejawnych do klauzuli „zastrzeżone”.
• Szkolenia do wyższych klauzul i szkolenia okresowe. Dla osób z poświadczeniem bezpieczeństwa oraz powtórki nie rzadziej niż raz na 5 lat (art. 19 ust. 3): Szkolenia z ochrony informacji niejawnych.

Jednostki podległe i kilka urzędów naraz

Ustawa obejmuje także jednostki podległe gminie i powiatowi albo przez nie nadzorowane, jeżeli przetwarzają informacje niejawne. Każda taka jednostka ma własnego kierownika z obowiązkami z art. 14. Gdy kilka małych jednostek potrzebuje inspektora bezpieczeństwa teleinformatycznego albo administratora systemu, ta sama osoba może pełnić funkcję w więcej niż jednej z nich, ale tylko za zgodą ABW albo SKW i na podstawie porozumienia kierowników (art. 52 ust. 2). Dokumenty do takiego porozumienia przygotowujemy razem z urzędem. Kancelaria tajna obsługująca dwie lub więcej jednostek również wymaga zgody ABW albo SKW (art. 42 ust. 3).

Jak przebiega współpraca

1. Rozmowa z wójtem, burmistrzem albo starostą lub z osobą, którą wskaże: jakie materiały są w urzędzie, kto ma do nich dostęp, czy jest pełnomocnik.
2. Przegląd na miejscu i lista obowiązków, które urząd ma spełnić, każdy z podstawą prawną.
3. Uzgodnienie, co bierzemy na siebie, a co zostaje przy pracownikach urzędu, z kosztami i terminami.
4. Dokumenty do zatwierdzenia przez kierownika, wyznaczenia na funkcje, szkolenia.
5. Bieżąca obsługa według planu ochrony: wykaz osób, terminy szkoleń i poświadczeń, kontrola okresowa, przegląd materiałów.

Urzędy, z którymi pracujemy, wymieniamy z nazwy na stronie Realizacje.

Czego nie obiecujemy

Odpowiedzialność za ochronę zostaje przy kierowniku urzędu (art. 14 ust. 1), także wtedy, gdy pełnomocnik pochodzi z zewnątrz. Nie nadajemy, nie zmieniamy i nie znosimy klauzul cudzych dokumentów, bo to uprawnienie wytwórcy albo jego przełożonego (art. 6 ust. 3). Nie przewidujemy, na co zwróci uwagę ABW albo SKW przy kontroli ani jak rozstrzygnie wniosek o akredytację. Przygotowujemy urząd tak, żeby każdy obowiązek z ustawy był spełniony i udokumentowany.

Najczęstsze pytania

Czy urząd, który ma tylko dokumenty „zastrzeżone”, potrzebuje pełnomocnika ochrony?

Tak. Art. 14 ust. 1 i 2 dotyczą każdej jednostki organizacyjnej, w której są przetwarzane informacje niejawne, bez względu na klauzulę. Zwolnienie z obowiązku zatrudnienia pełnomocnika przy klauzuli „zastrzeżone” ustawa przewiduje tylko dla przedsiębiorców w określonej sytuacji (art. 54 ust. 10), nie dla urzędów.

Czy pełnomocnikiem może być sekretarz gminy albo pracownik od spraw obronnych?

Może, jeżeli spełnia warunki z art. 14 ust. 3: obywatelstwo polskie, wykształcenie wyższe, odpowiednie poświadczenie bezpieczeństwa i zaświadczenie o szkoleniu przeprowadzonym przez ABW albo SKW. Musi też bezpośrednio podlegać kierownikowi urzędu (art. 14 ust. 2). Kierownik może powierzyć pełnomocnikowi inne zadania, jeżeli nie naruszy to prawidłowego wykonywania zadań pełnomocnika (art. 15 ust. 4). Jak łączyć funkcje bez utraty nadzoru, opisuje tekst Łączenie funkcji w ochronie informacji niejawnych.

Czy urząd gminy musi mieć kancelarię tajną?

Tylko wtedy, gdy przetwarza informacje o klauzuli „tajne” lub „ściśle tajne” (art. 42 ust. 1). Przy klauzuli „poufne” materiały rejestruje komórka, której organizacja pracy musi spełniać te same zasady ustalania, gdzie jest materiał i kto się z nim zapoznał (art. 43 ust. 2). Przy klauzuli „zastrzeżone” sposób postępowania określa instrukcja z art. 43 ust. 5. Więcej: Kancelaria tajna: kiedy trzeba ją utworzyć.

Czy wójt lub burmistrz musi mieć poświadczenie bezpieczeństwa?

Ustawa nie zwalnia organów gminy ani powiatu z wymogów dostępu: wykaz osób, wobec których nie przeprowadza się postępowania sprawdzającego (art. 34 ust. 10), ich nie obejmuje. Jeżeli urząd przetwarza informacje o klauzuli „poufne” lub wyższej, wobec kierownika urzędu przeprowadza się poszerzone postępowanie sprawdzające (art. 22 ust. 1 pkt 2 lit. c), które prowadzi ABW albo SKW (art. 23 ust. 2). Dostęp do tych informacji wymaga poświadczenia bezpieczeństwa i szkolenia (art. 21 ust. 1).

Czy dokumenty na komputerze wymagają akredytacji w ABW?

Zależy od klauzuli. System do informacji „zastrzeżone” akredytuje kierownik urzędu przez zatwierdzenie dokumentacji bezpieczeństwa (art. 48 ust. 9), a potem przekazuje ją ABW albo SKW, które w ciągu 30 dni mogą przedstawić zalecenia (art. 48 ust. 11 i 12). System do informacji „poufne” lub wyższych akredytuje ABW albo SKW (art. 48 ust. 3).