Ważność poświadczenia bezpieczeństwa: terminy i kolejne postępowanie

Ważność poświadczenia bezpieczeństwa zależy od klauzuli informacji niejawnych, do których osoba ma mieć dostęp: 5 lat dla klauzuli ściśle tajne, 7 lat dla tajne i 10 lat dla poufne. Jeżeli dostęp ma być utrzymany, wniosek o kolejne postępowanie trzeba złożyć co najmniej 6 miesięcy przed końcem ważności, bo taki termin przewiduje ustawa, a po upływie ważności nie załatwia się dostępu wstecz.

Terminy i kolejne postępowanie w aktach

Podstawowe zasady wynikają z ustawy o ochronie informacji niejawnych. Ustawa określa okresy ważności poświadczeń bezpieczeństwa i rozróżnia postępowanie zwykłe oraz poszerzone.

Okres ważności liczy się od daty wydania poświadczenia, chyba że sam dokument wskazuje datę końcową wprost. W praktyce nie liczy się od dnia zatrudnienia, dnia przeszkolenia, dnia dopuszczenia do konkretnego zadania ani od daty okazania dokumentu nowemu pracodawcy.

Poświadczenie wydane do wyższej klauzuli obejmuje także niższe klauzule, ale z okresami właściwymi dla tych klauzul. To oznacza, że osoba z poświadczeniem do klauzuli ściśle tajne po 5 latach nie ma już dostępu do tej klauzuli, ale może nadal mieć dostęp do tajne i poufne, jeżeli mieści się w 7 i 10 latach oraz spełnia pozostałe warunki dostępu.

Dla klauzuli zastrzeżone co do zasady nie wydaje się poświadczenia bezpieczeństwa. Dostęp opiera się na pisemnym upoważnieniu kierownika jednostki organizacyjnej oraz odbyciu szkolenia z ochrony informacji niejawnych, przy zachowaniu zasady wiedzy koniecznej.

Poświadczenie to nie wszystko

Samo ważne poświadczenie nie daje automatycznego prawa do wejścia do kancelarii, pobrania dokumentu albo pracy w systemie niejawnym. Potrzebne są jeszcze co najmniej: faktyczna potrzeba dostępu, właściwe szkolenie, ujęcie w dokumentacji jednostki oraz dopuszczenie do konkretnego zakresu czynności.

To jest częsty błąd przy zmianie stanowiska. Pracownik pokazuje ważne poświadczenie, ale zakres nowych zadań nie został powiązany z klauzulą i materiałami, do których ma pracować. Kontrola patrzy wtedy nie tylko na datę poświadczenia, lecz także na to, czy dostęp wynikał z obowiązków służbowych.

Termin szkolenia nie jest tym samym co termin poświadczenia. Jeżeli szkolenie wymaga odnowienia albo osoba nie została zapoznana z lokalnymi zasadami pracy, ważne poświadczenie nie zamyka sprawy. Szerzej ten temat jest opisany w opracowaniu o tym, kto, kiedy i z czego przechodzi szkolenie z ochrony informacji niejawnych.

Kiedy zacząć kolejne postępowanie

Kolejne postępowanie sprawdzające prowadzi się wtedy, gdy osoba nadal ma wykonywać zadania wymagające dostępu po upływie dotychczasowego poświadczenia. Nie jest to formalność administracyjna, tylko ponowne sprawdzenie rękojmi zachowania tajemnicy.

Wniosek powinien zostać przygotowany z takim wyprzedzeniem, aby organ albo pełnomocnik ochrony zdążył zakończyć czynności przed końcem ważności dokumentu. W praktyce bezpieczny punkt kontrolny to 9 do 12 miesięcy przed końcem terminu, a ustawowa granica złożenia wniosku to co najmniej 6 miesięcy przed upływem ważności.

Nie należy czekać do ostatniego miesiąca. Postępowanie może się wydłużyć przez braki w ankiecie, konieczność złożenia wyjaśnień, zmianę miejsca zamieszkania, pobyt za granicą, niezgodności w danych albo oczekiwanie na informacje z innych instytucji.

W jednostce dobrze działa prosty rejestr terminów. Powinien zawierać co najmniej: imię i nazwisko, klauzulę, numer i datę poświadczenia, datę końcową dla każdej klauzuli, datę ostatniego szkolenia oraz datę rozpoczęcia kolejnego postępowania.

Kto składa wniosek i kto prowadzi sprawę

Osoba sprawdzana nie uruchamia skutecznie sprawy samym prywatnym pismem. Co do zasady inicjatywa wychodzi od kierownika jednostki organizacyjnej albo osoby uprawnionej do obsady stanowiska, ponieważ to jednostka wykazuje potrzebę dalszego dostępu.

Przy dostępie do klauzuli poufne postępowanie zwykłe prowadzi pełnomocnik ochrony, z zastrzeżeniem przypadków, w których ustawa przewiduje inną właściwość. Przy klauzulach tajne i ściśle tajne prowadzone jest postępowanie poszerzone, co w praktyce oznacza udział właściwej służby, najczęściej ABW albo SKW, zależnie od rodzaju jednostki i sprawy.

Do kolejnego postępowania przygotowuje się aktualną ankietę bezpieczeństwa osobowego. Nie należy przepisywać poprzedniej ankiety bez sprawdzenia danych, bo zmiany w stanie cywilnym, zobowiązaniach finansowych, adresach, wyjazdach zagranicznych albo zatrudnieniu są właśnie tym, co w kolejnym postępowaniu bywa weryfikowane najdokładniej. Samą ankietę omawia osobne opracowanie: Ankieta bezpieczeństwa osobowego: kompletny przewodnik.

Co dzieje się w okresie przejściowym

Ustawa przewiduje mechanizmy pozwalające zachować ciągłość dostępu, jeżeli kolejne postępowanie zostało wszczęte we właściwym czasie i nie zakończyło się przed upływem dotychczasowego poświadczenia. Nie jest to jednak zgoda blankietowa na pracę bez ograniczeń.

W praktyce trzeba sprawdzić trzy rzeczy: czy wniosek został złożony terminowo, czy dotyczy tej samej osoby i właściwego poziomu dostępu oraz czy nie pojawiły się przesłanki podważające rękojmię zachowania tajemnicy. Jeżeli tych elementów nie da się wykazać w aktach, dopuszczenie osoby do materiałów po upływie daty ważności jest ryzykowne.

Nie należy rozszerzać dostępu w okresie przejściowym. Jeżeli ktoś miał dostęp do poufne, a nowe zadania wymagają tajne, potrzebne jest poświadczenie do wyższej klauzuli, a nie tylko informacja, że kolejne postępowanie jest w toku.

Najbezpieczniejszy dokumentacyjnie układ to notatka albo adnotacja w aktach ochronnych wskazująca: datę upływu poświadczenia, datę złożenia wniosku, podstawę dalszego dostępu, zakres materiałów oraz osobę, która podjęła decyzję organizacyjną. Taka notatka nie zastępuje przepisów, ale porządkuje odpowiedzialność przed kontrolą.

Jeżeli termin został przegapiony, nie należy dopisywać osoby do wykazów z datą wsteczną. Trzeba odsunąć ją od materiałów i systemów niejawnych do czasu wyjaśnienia podstaw dalszego dostępu przez pełnomocnika ochrony albo właściwy organ.

Zmiana pracodawcy

Poświadczenie bezpieczeństwa jest związane z osobą, a nie z biurkiem, pokojem ani konkretnym egzemplarzem umowy o pracę. Zmiana pracodawcy nie powoduje automatycznie utraty ważności poświadczenia, jeżeli dokument nadal mieści się w terminie i dotyczy właściwej klauzuli.

Nowa jednostka nie może jednak potraktować dokumentu jak przepustki. Musi ustalić potrzebę dostępu, potwierdzić ważność poświadczenia, ująć osobę we własnej dokumentacji ochronnej, zapewnić szkolenie albo zapoznanie z lokalnymi procedurami i dopuścić ją tylko do tych informacji, które wynikają z zadań.

W praktyce problemem bywa brak kopii poświadczenia albo niejasna informacja, kto dokument wydał. Nowy pracodawca powinien wyjaśnić to przed dopuszczeniem do pracy z materiałami niejawnymi, a nie po pierwszym pobraniu dokumentu z kancelarii.

Trzeba też odróżnić poświadczenie krajowe od certyfikatów wymaganych przy informacjach NATO albo Unii Europejskiej. Krajowe poświadczenie może być elementem koniecznym, ale nie zawsze wystarcza do pracy w środowisku międzynarodowym. Dla spraw NATO odrębnie opisano jak wygląda uzyskanie certyfikatu NATO Secret.

Kiedy ważność kończy się wcześniej

Data na dokumencie nie chroni dostępu, jeżeli pojawią się okoliczności podważające rękojmię zachowania tajemnicy. Poświadczenie może zostać cofnięte albo sprawa może wymagać czynności kontrolnych i wyjaśniających.

Typowe sytuacje to zatajenie istotnych danych, ujawnione zaległości lub zależności finansowe, niezgłoszone kontakty i okoliczności zagraniczne, naruszenia zasad ochrony informacji niejawnych albo zdarzenia wskazujące na podatność na presję. Nie każda taka sytuacja automatycznie kończy się cofnięciem poświadczenia, ale żadnej nie powinno się chować do szuflady.

Granica jest prosta: pełnomocnik ochrony nie rozstrzyga za ABW albo SKW w sprawie poświadczeń wydawanych przez te służby. Może natomiast zatrzymać dostęp organizacyjnie, zebrać informacje i skierować sprawę właściwą drogą, jeżeli bezpieczeństwo informacji tego wymaga.

Typowe błędy

Najczęstsze nieporozumienia pojawiają się nie przy samej ustawie, tylko przy jej stosowaniu w kalendarzu jednostki.

• Mylenie klauzuli zastrzeżone z poufne. Dla zastrzeżone zwykle wystarcza upoważnienie i szkolenie, dla poufne potrzebne jest poświadczenie.
• Traktowanie poświadczenia do ściśle tajne jako ważnego w pełnym zakresie przez 10 lat. Po 5 latach kończy się dostęp do ściśle tajne, chociaż niższe klauzule mogą mieć dłuższy okres.
• Wszczynanie kolejnego postępowania miesiąc przed końcem ważności. To zaproszenie do przerwy w dostępie.
• Brak rejestru terminów. Wtedy pełnomocnik ochrony dowiaduje się o problemie przy zmianie zakresu obowiązków albo przed kontrolą.
• Założenie, że nowy pracodawca musi zawsze zaczynać wszystko od zera. Nie zawsze musi, ale zawsze musi potwierdzić dokument i wykazać potrzebę dostępu.
• Założenie odwrotne, że samo okazanie poświadczenia wystarcza w nowej jednostce. Nie wystarcza bez decyzji organizacyjnej, szkolenia i zasady wiedzy koniecznej.
• Dopuszczenie osoby do systemu niejawnego bez aktualizacji wykazów użytkowników. Administrator i inspektor bezpieczeństwa teleinformatycznego powinni dostać informację przed nadaniem uprawnień, nie po fakcie.
• Brak reakcji na zmianę okoliczności po stronie osoby sprawdzanej. Jeżeli pojawiają się dane istotne dla rękojmi, sprawę trzeba omówić z pełnomocnikiem ochrony.

Jak liczyć termin w praktyce

Najpierw należy ustalić, jaką klauzulę obejmuje dokument i jaką klauzulę realnie obsługuje stanowisko. Jeżeli stanowisko wymaga tylko poufne, nie trzeba wszczynać postępowania do tajne tylko dlatego, że osoba kiedyś miała wyższe poświadczenie.

Następnie trzeba sprawdzić datę wydania albo datę ważności wpisaną w dokumencie. W harmonogramie jednostki powinny pojawić się dwa terminy: termin końcowy poświadczenia oraz wewnętrzny termin uruchomienia kolejnego postępowania.

Dobrą praktyką jest ustawienie pierwszego przypomnienia na 12 miesięcy przed końcem ważności i drugiego na 7 miesięcy przed końcem. Przy drugim przypomnieniu ankieta powinna być już przygotowywana, a kierownik powinien mieć potwierdzoną potrzebę dalszego dostępu.

Jeżeli osoba ma kilka zakresów zadań, terminy trzeba powiązać z konkretnymi klauzulami. Inaczej łatwo utrzymać dostęp do poufne i przez przeoczenie dopuścić tę samą osobę do tajne po utracie właściwego zakresu poświadczenia.

Podsumowanie

Okres ważności poświadczenia zależy od klauzuli: 5 lat dla ściśle tajne, 7 lat dla tajne i 10 lat dla poufne. Wyższe poświadczenie obejmuje niższe klauzule, ale nie wydłuża dostępu do najwyższej klauzuli ponad jej własny termin.

Kolejne postępowanie trzeba planować z wyprzedzeniem, najlepiej rok przed końcem ważności, a wniosek złożyć nie później niż 6 miesięcy przed terminem, bo tego wymaga ustawa. Okres przejściowy wymaga wykazania, że sprawa została uruchomiona prawidłowo i że nie ma nowych okoliczności podważających dostęp.

Przy zmianie pracodawcy poświadczenie może nadal być użyteczne, ale nowa jednostka musi samodzielnie potwierdzić potrzebę dostępu, szkolenie, zakres obowiązków i ujęcie osoby w dokumentacji ochronnej. W razie wątpliwości co do terminu, właściwości organu albo możliwości dalszego dostępu decyzji nie powinno się podejmować poza pełnomocnikiem ochrony i właściwym organem.