Wsparcie dla pełnomocników ochrony informacji niejawnych

Pełnomocnik ochrony odpowiada za zapewnienie przestrzegania przepisów o ochronie informacji niejawnych (art. 14 ust. 2), a ustawa daje mu dziewięć grup zadań: od ochrony fizycznej i systemów, przez szacowanie ryzyka, kontrolę, plan ochrony i szkolenia, po postępowania sprawdzające i wykaz osób uprawnionych (art. 15 ust. 1). Wykonuje je przy pomocy pionu ochrony, ale tylko jeżeli pion w jednostce utworzono (art. 15 ust. 2). Gdy pionu nie ma, pełnomocnik pracuje sam, czasem także obok innych obowiązków powierzonych przez kierownika (art. 15 ust. 4). Ta strona jest dla takiego pełnomocnika. Nie przejmujemy jego funkcji: przygotowujemy to, co da się przygotować z zewnątrz, i zostawiamy mu decyzje oraz podpis.

W czym pomagamy

• Dokumenty, które ustawa każe opracować pełnomocnikowi. Plan ochrony informacji niejawnych, w tym część na wypadek stanu nadzwyczajnego (art. 15 ust. 1 pkt 5), sposób i tryb przetwarzania informacji „poufne” (art. 43 ust. 3), dokumentacja określająca poziom zagrożeń (art. 43 ust. 4) i instrukcja dla klauzuli „zastrzeżone” (art. 43 ust. 5). Piszemy projekt dla konkretnej jednostki, pełnomocnik go weryfikuje i przedstawia kierownikowi do zatwierdzenia: Polityki bezpieczeństwa i plan ochrony informacji niejawnych.
• Szacowanie ryzyka. Zarządzanie ryzykiem i szacowanie ryzyka to zadanie pełnomocnika z art. 15 ust. 1 pkt 3. Przygotowujemy metodę, arkusz i wyniki do jego oceny, a dla systemów teleinformatycznych także dokumentację SWB i PBE: Akredytacja systemów niejawnych i dokumentacja SWB, PBE.
• Szkolenie do klauzuli „zastrzeżone”. Osoba z pisemnym upoważnieniem kierownika jest dopuszczana po odbyciu szkolenia (art. 21 ust. 4), a szkolenie pracowników organizuje pełnomocnik (art. 19 ust. 2 pkt 3). Prowadzimy je na jego zlecenie, w jednostce, dla grup pracujących wyłącznie z tą klauzulą, z dokumentacją, na podstawie której pełnomocnik wydaje uczestnikom zaświadczenia: Szkolenie z ochrony informacji niejawnych do klauzuli „zastrzeżone”.
• Szkolenia do wyższych klauzul i szkolenia okresowe. Dla osób z poświadczeniem bezpieczeństwa i powtórki nie rzadziej niż raz na 5 lat (art. 19 ust. 3), z programem dopasowanym do klauzul i systemów jednostki: Szkolenia z ochrony informacji niejawnych.
• Kontrola okresowa. Pełnomocnik kontroluje ewidencję, materiały i obieg dokumentów co najmniej raz na trzy lata (art. 15 ust. 1 pkt 4). Pomagamy ją przeprowadzić: lista zagadnień z podstawą prawną, porównanie ewidencji ze stanem szaf, projekt protokołu.
• Przegląd materiałów. Kierownik przeprowadza przegląd nie rzadziej niż raz na 5 lat (art. 6 ust. 4). Zestawiamy materiały i przygotowujemy wnioski do wytwórców o zmianę lub zniesienie klauzuli: Kancelaria tajna i zarządzanie dokumentami niejawnymi.
• Zastępca i funkcje w pionie. Zastępca pełnomocnika spełniający te same warunki (art. 14 ust. 4), inspektor bezpieczeństwa teleinformatycznego albo administrator systemu, nigdy oba w jednej jednostce (art. 52 ust. 1): Pełnomocnik ochrony i obsada pionu ochrony.
• Naruszenie. Po stwierdzeniu naruszenia pełnomocnik zawiadamia kierownika, wyjaśnia okoliczności i ogranicza skutki, a przy klauzuli „poufne” lub wyższej zawiadamia też ABW albo SKW (art. 17). Pomagamy ułożyć czynności i dokumentację wyjaśniającą.
• Druga opinia. Pytanie o przepis, o obieg konkretnego dokumentu albo o zgodność procedury z ustawą. Odpowiadamy z podstawą prawną: Konsultacje i audyt ochrony informacji niejawnych.

Czego nie robimy za pełnomocnika

• Szkolenia pełnomocnika i jego zastępcy. Przeprowadza je wyłącznie ABW albo SKW (art. 19 ust. 2 pkt 1). Nasze szkolenia nie zastępują zaświadczenia wymaganego w art. 14 ust. 3 pkt 4.
• Zwykłych postępowań sprawdzających. Prowadzi je pełnomocnik ochrony na pisemne polecenie kierownika (art. 15 ust. 1 pkt 7, art. 23 ust. 1). Możemy pomóc w organizacji pracy i terminach, ale nie w samym postępowaniu.
• Podpisu pod dokumentami. Ustawa mówi o dokumentach opracowanych przez pełnomocnika i zatwierdzonych przez kierownika (art. 43 ust. 3 do 5). Nasz projekt zaczyna obowiązywać w jednostce dopiero wtedy, gdy pełnomocnik przyjmie go za swój i przedstawi kierownikowi do zatwierdzenia.

Jak przebiega współpraca

1. Pełnomocnik opisuje, czego potrzebuje: jednego dokumentu, szkolenia, pomocy przy kontroli okresowej albo stałego wsparcia.
2. Ustalamy zakres, terminy i koszt, a przy dokumentach także to, co musimy zobaczyć na miejscu.
3. Przekazujemy projekt albo prowadzimy szkolenie. Uwagi pełnomocnika wprowadzamy do skutku.
4. Po zatwierdzeniu przez kierownika dokument obowiązuje w jednostce. Prawa autorskie do opracowanej przez nas dokumentacji pozostają przy nas, a jednostka otrzymuje nieprzenoszalną licencję na korzystanie z niej na własne potrzeby.

Czego nie obiecujemy

Nie wiemy, na co zwróci uwagę ABW albo SKW przy kontroli w jednostce, i nie udajemy, że wiemy. Nie przygotowujemy „pod kontrolę”. Przygotowujemy dokumenty i procedury, w których każdy obowiązek ma wskazany przepis, więc pełnomocnik może je obronić przed każdym, kto o nie zapyta.

Najczęstsze pytania

Czy możecie przeszkolić pracowników mojej jednostki do klauzuli „zastrzeżone”?

Tak. Szkolenie pracowników jednostki, poza osobami, które szkoli ABW albo SKW (art. 19 ust. 2 pkt 1 i 2), organizuje pełnomocnik ochrony (art. 19 ust. 2 pkt 3). Prowadzimy je na jego zlecenie, a zakres obejmuje to, czego wymaga art. 19 ust. 1: przepisy i odpowiedzialność, zasady ochrony w zakresie potrzebnym na stanowisku oraz postępowanie przy zagrożeniu lub ujawnieniu.

Kto podpisuje plan ochrony albo instrukcję, którą przygotowaliście?

Pełnomocnik ochrony jako autor i kierownik jednostki jako osoba zatwierdzająca. Plan ochrony wymaga akceptacji kierownika (art. 15 ust. 1 pkt 5), a instrukcje i dokumentacja z art. 43 ust. 3 do 5 jego zatwierdzenia. My dostarczamy projekt. Prawa autorskie do opracowanej przez nas dokumentacji pozostają przy nas, a jednostka otrzymuje nieprzenoszalną licencję na korzystanie z niej na własne potrzeby.

Czy pomożecie, gdy jestem jedyną osobą w pionie?

Właśnie dla takiej sytuacji jest ta strona. Ustawa pozwala kierownikowi zatrudnić zastępcę pełnomocnika (art. 14 ust. 4), a przy systemie teleinformatycznym kierownik wyznacza też inspektora bezpieczeństwa teleinformatycznego i administratora systemu (art. 52 ust. 1). W jakich modelach możemy objąć te funkcje, opisuje strona Pełnomocnik ochrony i obsada pionu ochrony. Kiedy łączenie funkcji jest dopuszczalne, a kiedy nie, opisuje tekst Łączenie funkcji w ochronie informacji niejawnych.

Czy możecie przejąć pion, gdy zmieniam pracę?

Możemy przygotować przekazanie: protokół stanu, ewidencję uzgodnioną ze stanem szaf i listę spraw w toku. Następcę wyznacza kierownik jednostki. Od drugiej strony opisuje to tekst Przejęcie pionu ochrony po poprzedniku: pierwsze 30 dni.