Pełnomocnik ochrony informacji: Rola, status i zadania
← Powrót do przewodnika głównego: Ochrona informacji niejawnych
Kto odpowiada za ochronę informacji niejawnych w jednostce
Warto zacząć od rozróżnienia, które porządkuje całą resztę. Zgodnie z art. 14 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych:
Kierownik jednostki organizacyjnej, w której są przetwarzane informacje niejawne, odpowiada za ich ochronę, w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony.
Odpowiedzialność za ochronę spoczywa więc na kierowniku jednostki. Pełnomocnik ochrony jest osobą, która odpowiada za zapewnienie przestrzegania przepisów, to nie to samo co przejęcie odpowiedzialności kierownika.
Status i podległość
Art. 14 ust. 2 określa umocowanie pełnomocnika:
Kierownikowi jednostki organizacyjnej bezpośrednio podlega zatrudniony przez niego pełnomocnik do spraw ochrony informacji niejawnych (…), który odpowiada za zapewnienie przestrzegania przepisów o ochronie informacji niejawnych.
Dwa elementy tej konstrukcji mają znaczenie praktyczne: pełnomocnik jest zatrudniany przez kierownika i podlega mu bezpośrednio. Umieszczenie pełnomocnika w podległości np. dyrektora administracyjnego czy kierownika działu IT jest niezgodne z ustawą, celem bezpośredniej podległości jest niezależność od pionów, których wygoda operacyjna mogłaby kolidować z wymogami bezpieczeństwa.
Kierownik może zatrudnić zastępcę lub zastępców pełnomocnika, którzy muszą spełniać te same warunki (art. 14 ust. 4). Szczegółowy zakres czynności zastępcy określa kierownik jednostki (ust. 5).
Cztery wymogi wobec kandydata
Art. 14 ust. 3 wylicza warunki, które musi spełniać pełnomocnikiem ochrony. Wszystkie cztery są obowiązkowe:
- obywatelstwo polskie,
- wykształcenie wyższe,
- odpowiednie poświadczenie bezpieczeństwa wydane przez ABW albo SKW, a także przez były Urząd Ochrony Państwa lub byłe Wojskowe Służby Informacyjne,
- zaświadczenie o przeszkoleniu w zakresie ochrony informacji niejawnych przeprowadzonym przez ABW albo SKW, a także przez byłe Wojskowe Służby Informacyjne.
Dwa punkty wymagają komentarza, bo bywają opisywane nieściśle.
Obywatelstwo polskie jest wymogiem bezwzględnym. Ustawa nie przewiduje wyjątku dla obywateli innych państw Unii Europejskiej ani NATO. Spotykane w opracowaniach twierdzenia o takich odstępstwach nie mają podstawy w art. 14.
Pełnomocnik ochrony musi posiadać odpowiednie poświadczenie bezpieczeństwa wydane przez ABW albo SKW (art. 14 ust. 3 pkt 3). Wobec kandydatów na tę funkcję prowadzi się postępowanie poszerzone na podstawie art. 22 ust. 1 pkt 2 lit. b, niezależnie od tego, czy jednostka przetwarza wyłącznie informacje o niższych klauzulach. Odrębnym wymaganiem jest zaświadczenie o szkoleniu dla pełnomocników przeprowadzonym przez ABW albo SKW.
Zwróć też uwagę, że wymóg czwarty to odrębne zaświadczenie o przeszkoleniu wydane przez ABW albo SKW, samo posiadanie poświadczenia bezpieczeństwa go nie zastępuje.
Zadania pełnomocnika ochrony
Katalog zawiera art. 15 ust. 1. Obejmuje on:
- zapewnienie ochrony informacji niejawnych, w tym stosowanie środków bezpieczeństwa fizycznego,
- zapewnienie ochrony systemów teleinformatycznych, w których przetwarzane są informacje niejawne,
- zarządzanie ryzykiem bezpieczeństwa informacji niejawnych, w szczególności szacowanie ryzyka,
- kontrolę ochrony informacji niejawnych oraz przestrzegania przepisów: w tym okresową, co najmniej raz na trzy lata, kontrolę ewidencji, materiałów i obiegu dokumentów,
- opracowywanie i aktualizowanie planu ochrony informacji niejawnych w jednostce, w tym na wypadek wprowadzenia stanu nadzwyczajnego, oraz nadzorowanie jego realizacji, plan wymaga akceptacji kierownika jednostki,
- prowadzenie szkoleń w zakresie ochrony informacji niejawnych,
- prowadzenie zwykłych postępowań sprawdzających oraz kontrolnych postępowań sprawdzających,
- prowadzenie aktualnego wykazu osób zatrudnionych lub pełniących służbę w jednostce, mających dostęp do informacji niejawnych.
Zakres postępowań prowadzonych przez pełnomocnika
To obszar najczęstszych nieporozumień. Pełnomocnik prowadzi zwykłe postępowania sprawdzające oraz kontrolne postępowania sprawdzające. Postępowania poszerzone, wymagane przy dostępie do informacji „tajnych” i „ściśle tajnych”, prowadzą ABW albo SKW, zgodnie z podziałem właściwości z art. 10 ustawy.
Tryb sprawdzania zależy zarówno od klauzuli, jak i od funkcji oraz źródła informacji. Zwykłe postępowanie dla krajowych informacji „poufne” nie obejmuje przypadków zastrzeżonych w art. 22 ust. 1 pkt 2 dla trybu poszerzonego, w tym kandydatów na pełnomocnika ochrony.
Dwa cykle kontrolne, których nie należy mylić
| Czynność | Częstotliwość | Kto | Przepis |
|---|---|---|---|
| Kontrola ewidencji, materiałów i obiegu dokumentów | co najmniej raz na 3 lata | pełnomocnik ochrony | art. 15 ust. 1 pkt 4 |
| Przegląd materiałów pod kątem aktualności klauzul | co najmniej raz na 5 lat | kierownik jednostki | art. 6 ust. 4 |
Plan ochrony informacji niejawnych
Dokument opracowywany i aktualizowany przez pełnomocnika, akceptowany przez kierownika jednostki. Ustawa wymaga wprost, aby obejmował również sytuację wprowadzenia stanu nadzwyczajnego, to element pomijany w wielu wzorach dokumentacji. Pełnomocnik nie tylko go tworzy, ale też nadzoruje jego realizację.
Pion ochrony i kancelaria tajna
Pełnomocnik kieruje wyodrębnioną komórką organizacyjną, pionem ochrony. W jednostkach przetwarzających informacje o klauzuli „tajne” lub „ściśle tajne” tworzy się kancelarię tajną (art. 42 ust. 1), odpowiadającą za ewidencjonowanie, przechowywanie i obieg materiałów. Przy niższych klauzulach materiały nadal wymagają ewidencji i ochrony odpowiedniej do klauzuli, ale ustawa nie nakazuje tworzenia kancelarii.
Pełnomocnik a pozostałe role w pionie ochrony
Ustawa rozdziela zadania między kilka funkcji i nie pozwala ich dowolnie sklejać.
| Rola | Podstawa | Za co odpowiada | Kto wyznacza |
|---|---|---|---|
| Pełnomocnik ochrony | art. 14 i 15 | całość ochrony w jednostce, postępowania zwykłe i kontrolne, plan ochrony, szkolenia | kierownik jednostki |
| Zastępca pełnomocnika | art. 14 ust. 4 i 5 | zakres wyznaczony przez kierownika, te same wymogi co pełnomocnik | kierownik jednostki |
| Kierownik kancelarii tajnej | art. 42 | ewidencja, przechowywanie i obieg materiałów „tajne” i „ściśle tajne” | kierownik jednostki |
| Inspektor bezpieczeństwa teleinformatycznego | art. 52 | weryfikacja i nadzór nad ochroną systemu teleinformatycznego | kierownik jednostki |
| Administrator systemu | art. 52 | bieżąca eksploatacja i utrzymanie zabezpieczeń systemu | kierownik jednostki |
Pełnomocnik kieruje pionem ochrony, w którym pracują kierownik kancelarii i inspektor. Administrator systemu nie musi należeć do pionu, ale inspektor sprawdza jego pracę, więc łączenie obu funkcji w jednej osobie przekreśla sens nadzoru. Z tego samego powodu pełnomocnik prowadzący postępowania sprawdzające nie powinien być osobą, której dostęp sam sprawdza.
Naruszenie: co pełnomocnik robi w pierwszej kolejności
Art. 17 ust. 1 nakłada na pełnomocnika obowiązek zawiadomienia kierownika jednostki o stwierdzonym naruszeniu przepisów o ochronie informacji niejawnych i niezwłocznego podjęcia działań zmierzających do wyjaśnienia okoliczności oraz ograniczenia skutków. Przy naruszeniu dotyczącym informacji o klauzuli „poufne” lub wyższej zawiadamia także ABW albo SKW (art. 17 ust. 2).
W praktyce kolejność jest następująca: zabezpieczenie materiałów i miejsca, ustalenie, kto i kiedy miał dostęp, notatka służbowa z datą i godziną, zawiadomienie kierownika, a przy klauzuli „poufne” lub wyższej zawiadomienie służby. Dopiero potem postępowanie wyjaśniające i wnioski. Procedura na taki wypadek powinna być częścią planu ochrony, bo w dniu incydentu nikt nie ma czasu jej pisać.
Kontrola ABW lub SKW: rola pełnomocnika
Art. 12 daje ABW i SKW prawo kontroli ochrony informacji niejawnych w jednostce. Pełnomocnik jest osobą, z którą kontrolerzy rozmawiają jako pierwsi, i to on udostępnia dokumentację. Kontrola sprawdza zwykle poświadczenia i szkolenia pionu ochrony, aktualność wykazu osób, protokoły własnych kontroli z art. 15 ust. 1 pkt 4, plan ochrony i jego aktualizacje, ewidencje kancelarii w zestawieniu z zawartością szaf oraz dokumentację bezpieczeństwa systemu w zestawieniu ze stanem faktycznym.
Pełnomocnik, który prowadzi własne kontrole rzetelnie i z protokołami, ma z czym przyjść na rozmowę. Uwagi, które sam wcześniej opisał i zaplanował do usunięcia, wyglądają inaczej niż te wskazane przez kontrolera.
Dokumenty, które pełnomocnik musi mieć pod ręką
Ustawa nie zawiera jednego katalogu, ale z art. 15 i przepisów wykonawczych wynika minimum:
- plan ochrony informacji niejawnych, w tym na wypadek stanu nadzwyczajnego, z akceptacją kierownika,
- wykaz osób mających dostęp do informacji niejawnych, z terminami ważności poświadczeń i datami szkoleń,
- zaświadczenia o szkoleniach i dokumentacja szkoleń prowadzonych przez pełnomocnika,
- protokoły kontroli ewidencji, materiałów i obiegu dokumentów,
- dokumentacja szacowania ryzyka,
- dokumentacja bezpieczeństwa systemu teleinformatycznego (SWB i PBE) wraz ze świadectwem akredytacji, jeżeli jednostka ma system,
- upoważnienia do informacji „zastrzeżonych” wydane przez kierownika,
- dokumentacja postępowań sprawdzających prowadzonych przez pełnomocnika.
Pierwsze tygodnie nowego pełnomocnika
Przejęcie funkcji po poprzedniku wymaga inwentaryzacji, a nie tylko podpisu na protokole. Cztery rzeczy warto zrobić w pierwszej kolejności: uzgodnić wykaz osób z faktycznym stanem zatrudnienia i terminami ważności poświadczeń, sprawdzić, kiedy odbyła się ostatnia kontrola z art. 15 ust. 1 pkt 4 i ostatni przegląd materiałów z art. 6 ust. 4, porównać dokumentację bezpieczeństwa systemu z tym, co stoi w pomieszczeniu, oraz przeczytać plan ochrony pod kątem tego, czy opisuje jednostkę, która istnieje dzisiaj. Braki wykryte na starcie są brakami poprzednika; te same braki wykryte przez kontrolę rok później są już brakami nowego pełnomocnika.
FAQ – Najczęściej zadawane pytania
Czy pełnomocnikiem ochrony może być obywatel innego państwa UE?
Nie. Art. 14 ust. 3 pkt 1 wymaga obywatelstwa polskiego i nie przewiduje wyjątków.
Czy pełnomocnik musi mieć wykształcenie wyższe?
Tak. Jest to samodzielny wymóg z art. 14 ust. 3 pkt 2.
Czy pełnomocnik wydaje poświadczenia bezpieczeństwa?
Prowadzi zwykłe i kontrolne postępowania sprawdzające (art. 15 ust. 1 pkt 7). Postępowania poszerzone prowadzą ABW albo SKW.
Komu podlega pełnomocnik ochrony?
Bezpośrednio kierownikowi jednostki organizacyjnej, który go zatrudnia (art. 14 ust. 2).
Kto odpowiada za ochronę informacji niejawnych w jednostce?
Kierownik jednostki organizacyjnej (art. 14 ust. 1). Pełnomocnik odpowiada za zapewnienie przestrzegania przepisów.
Jak często pełnomocnik kontroluje obieg dokumentów?
Co najmniej raz na trzy lata, kontrola obejmuje ewidencje, materiały i obieg dokumentów (art. 15 ust. 1 pkt 4).
Czy pełnomocnik może być jednocześnie administratorem systemu?
ABW w swoich wyjaśnieniach wskazuje, że łączenie pełnomocnika ochrony z administratorem systemu jest niedopuszczalne ze względu na mechanizm nadzoru i raportowania. Inspektor bezpieczeństwa teleinformatycznego nadzoruje pracę administratora, a pełnomocnik kieruje pionem ochrony, więc taka konstrukcja pozbawia kontrolę realnej niezależności.
Co robi pełnomocnik po ujawnieniu naruszenia?
Zawiadamia kierownika jednostki i podejmuje działania wyjaśniające oraz ograniczające skutki (art. 17 ust. 1), a przy klauzuli „poufne” lub wyższej zawiadamia także ABW albo SKW (art. 17 ust. 2).
