Rodzaje poświadczeń bezpieczeństwa: pełny przewodnik

Trzy rodziny dokumentów

System ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych posługuje się trzema odrębnymi rodzajami dokumentów, które bywają wrzucane do jednego worka:

1. poświadczenie bezpieczeństwa, dla osoby fizycznej,
2. Świadectwo Bezpieczeństwa Przemysłowego, dla przedsiębiorcy,
3. dokumenty upoważniające do dostępu do informacji niejawnych międzynarodowych, wydawane przez Krajową Władzę Bezpieczeństwa.

Każdy z nich ma inną podstawę, inny tryb wydania i inne skutki. Ten przewodnik porządkuje wszystkie trzy, a potem pokazuje, kto którego potrzebuje, jak wygląda cykl życia dokumentu od wydania do wygaśnięcia i jakie pomyłki w nazewnictwie kosztują najwięcej.

Poświadczenia osobowe, są trzy, nie cztery

To najczęstsze nieporozumienie w tym temacie. Klauzule tajności są cztery, ale poświadczenia bezpieczeństwa są trzy. Dla klauzuli „zastrzeżone” poświadczenie nie istnieje.

Klauzula „zastrzeżone”, upoważnienie zamiast poświadczenia

Art. 21 ust. 4 jest jednoznaczny: dopuszczenie do pracy związanej z dostępem do informacji „zastrzeżonych” następuje po pisemnym upoważnieniu przez kierownika jednostki organizacyjnej, jeżeli osoba nie posiada poświadczenia bezpieczeństwa, oraz po odbyciu szkolenia.

Nie prowadzi się tu żadnego postępowania sprawdzającego. Twierdzenia, że przy „zastrzeżonych” postępowanie bywa prowadzone „w skróconej formie”, nie mają podstawy w ustawie.

Terminy ważności działają odwrotnie, niż podpowiada intuicja

Im wyższa klauzula, tym krótszy termin ważności poświadczenia (art. 29 ust. 3): 10 lat dla „poufnych”, 7 lat dla „tajnych”, 5 lat dla „ściśle tajnych”. Wyższy poziom dostępu oznacza częstsze odnawianie.

Poświadczenie wyższe obejmuje niższe

Poświadczenie upoważniające do dostępu do informacji o wyższej klauzuli uprawnia także do dostępu do informacji o klauzuli niższej (art. 29 ust. 4). Osoba z poświadczeniem na „ściśle tajne” nie potrzebuje odrębnych dokumentów na „tajne” i „poufne”.

Nie zwalnia to jednak z zasady wiedzy niezbędnej, dostęp przysługuje do informacji potrzebnych na zajmowanym stanowisku, a nie do wszystkiego w danej klauzuli.

Kto potrzebuje którego dokumentu

Sam poziom klauzuli nie wystarcza, żeby ustalić właściwy dokument i tryb. Ustawa wiąże je z rolą, jaką osoba pełni w jednostce (art. 22 ust. 1), a dla przedsiębiorcy dokłada osobny dokument firmowy.

Dwa wnioski z tej tabeli bywają zaskoczeniem. Po pierwsze, pełnomocnik ochrony przechodzi postępowanie poszerzone także w jednostce, która nie ma ani jednego dokumentu „tajne”: art. 14 ust. 3 wymaga od niego poświadczenia wydanego przez ABW albo SKW, czyli dokumentu z postępowania poszerzonego (art. 23 ust. 2). Po drugie, dokument firmy i dokumenty ludzi nie zastępują się nawzajem. Świadectwo przedsiębiorcy nie otwiera dostępu żadnemu z jego pracowników, a komplet poświadczeń pracowników nie zastępuje świadectwa, gdy umowa dotyczy informacji „poufnych” lub wyższych.

Świadectwo Bezpieczeństwa Przemysłowego, trzy stopnie

Dokument dla przedsiębiorcy, potwierdzający zdolność do ochrony informacji niejawnych o klauzuli „poufne” lub wyższej. Art. 55 ust. 1 rozróżnia trzy stopnie:

Różnica między drugim a trzecim stopniem jest praktyczna: przy drugim firma może przetwarzać materiały we własnych obiektach, ale bez przetwarzania ich we własnych systemach teleinformatycznych; przy trzecim nie przetwarza informacji we własnych systemach ani we własnych obiektach, więc dostęp odbywa się w warunkach wskazanych przez zamawiającego.

Ważność świadectwa

Świadectwo wystawione na wyższą klauzulę potwierdza jednocześnie zdolność do ochrony klauzul niższych, ale każda z nich ma własny termin (art. 55 ust. 2). Świadectwo dla klauzuli „ściśle tajne” potwierdza zdolność do ochrony informacji:

• „ściśle tajne”, przez 5 lat od daty wystawienia,
• „tajne”, przez 7 lat,
• „poufne”, przez 10 lat.

Analogicznie świadectwo dla klauzuli „tajne” potwierdza zdolność do ochrony informacji „tajnych” przez 7 lat i „poufnych” przez 10 lat.

Kiedy świadectwo nie jest potrzebne

Jeżeli przedsiębiorca zamierza wykonywać umowy związane z dostępem do informacji o klauzuli „zastrzeżone”, świadectwo nie jest wymagane (art. 54 ust. 9).

Nie oznacza to jednak braku obowiązków. Przedsiębiorca musi spełnić wymagania ustawy w zakresie ochrony informacji „zastrzeżonych”, z wyjątkiem wymogu zatrudnienia pełnomocnika ochrony, jeżeli wykonuje umowę bez przetwarzania tych informacji we własnych obiektach (art. 54 ust. 10).

Wniosek przesądza o treści świadectwa

Stopień i klauzulę wskazuje sam przedsiębiorca, a świadectwo wydaje się zgodnie z jego wnioskiem (art. 64). Wniosek o pierwszy stopień oznacza najszersze sprawdzenie, wniosek o trzeci ogranicza zakres postępowania, ale i to, co firma będzie mogła robić po jego zakończeniu. Postępowanie obejmuje pięć obszarów sprawdzenia przedsiębiorcy, od struktury kapitału po system ochrony informacji (art. 57 ust. 2), oraz postępowania sprawdzające wobec kierownika przedsiębiorcy, pełnomocnika ochrony i jego zastępcy, pracowników pionu ochrony i osób, które mają mieć dostęp (art. 57 ust. 3). Przygotowanie do tego opisuje tekst Jak uzyskać Świadectwo Bezpieczeństwa Przemysłowego.

Dokumenty do informacji niejawnych międzynarodowych

Krajowe poświadczenie bezpieczeństwa nie otwiera dostępu do materiałów oznaczonych klauzulami NATO czy Unii Europejskiej. Do tego potrzebny jest odrębny dokument wydawany przez Krajową Władzę Bezpieczeństwa, której funkcję pełni Szef ABW (art. 11 ust. 1 i 2). Wobec podmiotów podległych MON Szef ABW wykonuje ją za pośrednictwem Szefa SKW (art. 11 ust. 3).

Materiały przekazane Polsce przez inne państwa lub organizacje międzynarodowe oznacza się polskim odpowiednikiem posiadanej klauzuli (art. 5 ust. 5).

Odpowiedniki klauzul

Jak uzyskuje się dokument międzynarodowy

Przy poziomach odpowiadających „poufne” i wyższym punktem wyjścia jest uzasadniona potrzeba oraz krajowe poświadczenie na odpowiadającą klauzulę. Dokument Krajowej Władzy Bezpieczeństwa wydaje się po właściwej procedurze, a osoba z krajowym poświadczeniem na „poufne” nie dostanie dokumentu do NATO SECRET, bo temu poziomowi odpowiada klauzula „tajne”. Kto ma ważne poświadczenie wydane przez ABW, SKW, AW albo SWW, nie wypełnia przy tym nowej ankiety, a poświadczenie organizacji międzynarodowej wydaje się jedynie na okres ważności poświadczenia krajowego (art. 32 ust. 4). Dla NATO RESTRICTED i odpowiedników „zastrzeżone” wystarcza pisemne upoważnienie, szkolenie w jednostce organizacyjnej i potrzeba dostępu, bez krajowego poświadczenia. Poszczególne kroki omawia tekst Certyfikat NATO Secret: jak go zdobyć krok po kroku, a przełożenie poziomów Poziomy tajności NATO.

Przedsiębiorca wykonujący umowę z dostępem do informacji NATO lub UE musi spełnić wymagania wynikające z poziomu klauzuli, umowy i trybu pracy. Przy poziomach „poufne” i wyższych zwykle oznacza to krajowe świadectwo na odpowiadającą klauzulę, chyba że działa ustawowy wyjątek. Sprawy związane z informacjami międzynarodowymi prowadzi Krajowa Władza Bezpieczeństwa, o czym szerzej w tekście Krajowa Władza Bezpieczeństwa: rola i funkcje.

Cykl życia poświadczenia: od wydania do wygaśnięcia

Wydanie. Organ, który przeprowadził postępowanie, wydaje poświadczenie i przekazuje je osobie sprawdzanej, zawiadamiając o tym wnioskodawcę (art. 29 ust. 1). Termin ważności jest wpisany w samym dokumencie (art. 29 ust. 2), nie trzeba go wyliczać.

Wpis do wykazu. Pełnomocnik ochrony prowadzi aktualny wykaz osób uprawnionych do dostępu do informacji niejawnych, obejmujący także osoby, którym poświadczenia odmówiono lub je cofnięto (art. 15 ust. 1 pkt 8). Poświadczenie, którego nie ma w wykazie, jest w jednostce niewidoczne, a to wykaz jest pierwszym dokumentem oglądanym przy kontroli.

Szkolenie i dopuszczenie. Samo poświadczenie nie dopuszcza do pracy. Potrzebne jest jeszcze szkolenie z ochrony informacji niejawnych (art. 21 ust. 1), powtarzane nie rzadziej niż raz na 5 lat (art. 19 ust. 3). Poświadczenie ważne 10 lat wymaga więc co najmniej jednego szkolenia po drodze.

Zmiana pracodawcy. Poświadczenie wydaje się osobie, nie stanowisku. Zachowuje ważność do upływu terminu, a nowa jednostka może z niego skorzystać, jeżeli jego poziom odpowiada klauzuli nowego stanowiska. Inaczej upoważnienie do informacji „zastrzeżonych”: jest aktem konkretnego kierownika i w innej jednostce trzeba je wydać od nowa.

Odnowienie. Poświadczenie nie przedłuża się automatycznie. Kolejne postępowanie wszczyna jednostka, tak jak pierwsze, z nową ankietą, a wniosek składa się co najmniej 6 miesięcy przed upływem ważności. Jeżeli nowego poświadczenia nie ma w dniu, w którym stare wygasa, osoba traci uprawnienie do czasu zakończenia postępowania. Przy zespole kilkunastu osób z różnymi terminami pilnowanie tego bez kalendarza odnowień kończy się przerwą w dostępie w najmniej dogodnym momencie.

Kontrolne postępowanie i cofnięcie. Przy nowych informacjach wskazujących brak rękojmi prowadzi się tryb z art. 33 bez nowej ankiety. Po zawiadomieniu kierownik uniemożliwia dostęp. Od decyzji pełnomocnika odwołanie wnosi się do Szefa ABW albo Szefa SKW za pośrednictwem pełnomocnika (art. 37). Od decyzji ABW, SKW lub podmiotów z art. 23 ust. 5 odwołanie przysługuje do Prezesa Rady Ministrów za pośrednictwem organu, który wydał decyzję (art. 35). Termin wynosi 14 dni od doręczenia; odwołanie nie wymaga uzasadnienia i nie wstrzymuje wykonania decyzji. Skargę do sądu administracyjnego reguluje art. 38.

Po zakończeniu pracy. Wygaśnięcie poświadczenia ani odejście z jednostki nie kończą obowiązku zachowania tajemnicy. Ujawnienie informacji niejawnych pozostaje przestępstwem z art. 265 lub 266 Kodeksu karnego.

Jak czytać poświadczenie

Art. 29 ust. 2 wylicza elementy dokumentu: numer, podstawę prawną, wskazanie wnioskodawcy, organ prowadzący postępowanie, datę i miejsce wystawienia, dane osoby sprawdzanej, rodzaj przeprowadzonego postępowania ze wskazaniem klauzuli, stwierdzenie rękojmi zachowania tajemnicy, termin ważności oraz imienną pieczęć i podpis.

Przy przyjmowaniu nowej osoby pełnomocnik ochrony sprawdza trzy rzeczy: czy klauzula w poświadczeniu odpowiada klauzuli stanowiska albo jest wyższa, czy termin ważności pokrywa planowany okres pracy z zapasem na kolejne postępowanie, oraz czy osoba ma aktualne szkolenie. Organ wydający, ABW, SKW albo pełnomocnik innej jednostki, nie zmienia mocy dokumentu.

Kto prowadzi postępowanie

Podział między ABW a SKW wynika z art. 10 ust. 2 i 3: SKW obsługuje MON, jednostki mu podległe lub nadzorowane, ataszaty obrony i żołnierzy w służbie czynnej wyznaczonych na stanowiska poza wojskiem; ABW, wszystkie pozostałe podmioty.

Najczęstsze pomyłki w nazewnictwie i ich skutki

• „Certyfikat bezpieczeństwa” dla osoby. Ustawa nie zna takiego dokumentu. Osoba ma poświadczenie, przedsiębiorca świadectwo, a słowo „certyfikat” dotyczy urządzeń i narzędzi kryptograficznych. Ogłoszenie o pracy wymagające „certyfikatu” najczęściej oznacza poświadczenie na wskazaną klauzulę.
• „Poświadczenie na zastrzeżone”. Nie istnieje. Kto tak pisze w ofercie, tak naprawdę oczekuje upoważnienia kierownika i szkolenia, które można załatwić po zatrudnieniu.
• „Poświadczenie ważne 10 lat”. Tylko dla „poufnych”. Przy „tajnych” to 7 lat, przy „ściśle tajnych” 5.
• „Firma ma świadectwo, więc pracownicy mają dostęp”. Nie. Każda osoba z dostępem u przedsiębiorcy przechodzi własne postępowanie (art. 57 ust. 3).
• „Mam poświadczenie NATO, krajowe nie jest potrzebne”. Przy poziomach odpowiadających „poufne” i wyższym dokument międzynarodowy opiera się na krajowym poświadczeniu na odpowiadającą klauzulę. Przy NATO RESTRICTED działa uproszczony model upoważnienia i szkolenia.
• „Poświadczenie z poprzedniej pracy przepadło”. Nie przepadło, jest dokumentem osoby. Przepada natomiast upoważnienie do „zastrzeżonych”, bo wydał je poprzedni kierownik.

FAQ – Najczęściej zadawane pytania

Ile jest rodzajów poświadczeń bezpieczeństwa osobowego?

Trzy, dla klauzul „poufne”, „tajne” i „ściśle tajne”. Dla klauzuli „zastrzeżone” poświadczenia się nie wydaje; wystarczy pisemne upoważnienie kierownika jednostki.

Jak długo ważne jest poświadczenie bezpieczeństwa?

10 lat przy „poufnych”, 7 lat przy „tajnych”, 5 lat przy „ściśle tajnych” (art. 29 ust. 3). Termin jest wpisany w dokumencie.

Czym różnią się stopnie Świadectwa Bezpieczeństwa Przemysłowego?

Pierwszy potwierdza pełną zdolność, drugi wyłącza przetwarzanie we własnych systemach teleinformatycznych, trzeci, przetwarzanie we własnych obiektach (art. 55 ust. 1).

Czy firma potrzebuje świadectwa przy umowach o klauzuli „zastrzeżone”?

Nie. Świadectwo nie jest wtedy wymagane (art. 54 ust. 9), choć pozostałe wymogi ustawy nadal obowiązują.

Czy poświadczenie krajowe wystarczy do dokumentów NATO?

Nie. Dostęp do informacji niejawnych międzynarodowych wymaga odrębnego dokumentu wydawanego przez Krajową Władzę Bezpieczeństwa.

Czy pełnomocnik ochrony w jednostce z klauzulą „poufne” potrzebuje poszerzonego postępowania?

Tak. Poszerzone postępowanie prowadzi się wobec pełnomocników ochrony i ich zastępców niezależnie od klauzuli (art. 22 ust. 1 pkt 2), a art. 14 ust. 3 wymaga od pełnomocnika poświadczenia wydanego przez ABW albo SKW.

Czy świadectwo przedsiębiorcy zastępuje poświadczenia pracowników?

Nie. Świadectwo potwierdza zdolność organizacji, a każda osoba z dostępem przechodzi własne postępowanie sprawdzające (art. 57 ust. 3).

Czy poświadczenie przedłuża się automatycznie?

Nie. Jednostka wnioskuje o kolejne postępowanie co najmniej 6 miesięcy przed upływem ważności, a do wydania nowego poświadczenia po wygaśnięciu starego osoba nie ma uprawnienia.

Czy poświadczenie jest ważne po zmianie pracodawcy?

Tak, do upływu terminu, jeżeli jego poziom odpowiada klauzuli nowego stanowiska. Upoważnienie do „zastrzeżonych” nowy kierownik wydaje od nowa.

Zobacz również

• Jak uzyskać poświadczenie bezpieczeństwa? Krok po kroku
• Poświadczenie bezpieczeństwa: pełny przewodnik
• Certyfikat NATO Secret: jak go zdobyć krok po kroku
• Świadectwo Bezpieczeństwa Przemysłowego: po co i dla kogo
• Jak uzyskać Świadectwo Bezpieczeństwa Przemysłowego
• Usługa: konsultacje i audyt ochrony informacji niejawnych, w tym przegląd terminów ważności w jednostce