Zewnętrzny pełnomocnik ochrony: kiedy outsourcing ma sens

Pytanie, kiedy zewnętrzny pełnomocnik ochrony i outsourcing tej funkcji mają sens, trzeba rozstrzygać przez zakres realnego przetwarzania informacji niejawnych, dostępność osoby funkcyjnej i odpowiedzialność kierownika jednostki. Taki model sprawdza się przy ograniczonym wolumenie spraw, ale nie zwalnia jednostki z utrzymania dokumentacji, zabezpieczeń, ewidencji i codziennej dyscypliny ochronnej.

Podstawa prawna i punkt wyjścia

Pełnomocnik ochrony jest osobą odpowiedzialną w jednostce za zapewnienie przestrzegania przepisów o ochronie informacji niejawnych. Podstawowym aktem jest ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych, dostępna w ISAP: ustawa o ochronie informacji niejawnych.

Ustawa wskazuje, że kierownik jednostki organizacyjnej odpowiada za ochronę informacji niejawnych. To rozróżnienie jest praktycznie najważniejsze: pełnomocnik prowadzi system ochrony, ale nie przejmuje odpowiedzialności kierownika za decyzje, zasoby i organizację pracy.

W jednostce, która przetwarza informacje niejawne, sama umowa z osobą z zewnątrz nie wystarczy. Trzeba mieć formalne umocowanie, jasne podporządkowanie pełnomocnika kierownikowi jednostki, dostęp do dokumentów i możliwość wydawania zaleceń w zakresie ochrony.

Kiedy outsourcing tej funkcji ma sens

Model zewnętrzny jest rozsądny, gdy jednostka ma niewielką liczbę spraw niejawnych, sporadyczne umowy z klauzulą albo przygotowuje się do postępowania przemysłowego i nie ma stałego obciążenia dla etatowego pełnomocnika. Typowy przykład to przedsiębiorca, który ma kilka osób z dostępem, jedno wydzielone stanowisko lub ograniczony obieg dokumentów, ale musi utrzymać wymagany system ochrony.

Outsourcing ma sens także wtedy, gdy w firmie nie ma osoby spełniającej wymagania formalne i doświadczonej w kontroli dokumentacji. W praktyce ryzyko jest szczególnie widoczne w małych jednostkach, gdzie ktoś dopisuje ochronę informacji niejawnych do innych obowiązków i reaguje dopiero po piśmie od zamawiającego albo organu.

Ten model gorzej działa tam, gdzie informacje niejawne są przetwarzane codziennie, wpływa dużo korespondencji, działa kancelaria tajna, funkcjonuje system teleinformatyczny o stałej eksploatacji albo jest wiele lokalizacji. Wtedy zewnętrzna osoba może wspierać, audytować i porządkować dokumentację, ale bieżąca obsługa wymaga stałej obecności przeszkolonego personelu.

Warunki formalne pełnienia funkcji

Pełnomocnik ochrony musi spełniać wymagania określone w ustawie. W praktyce przed powierzeniem funkcji sprawdza się co najmniej:

• obywatelstwo polskie,
• wykształcenie wyższe,
• odpowiednie poświadczenie bezpieczeństwa, adekwatne do najwyższej klauzuli informacji, z którymi będzie miał do czynienia,
• aktualne zaświadczenie o przeszkoleniu dla pełnomocników ochrony,
• brak konfliktu interesów, który utrudniałby wykonywanie zadań.

Poświadczenie bezpieczeństwa pełnomocnika nie jest zwykłą formalnością kadrową. Musi odpowiadać realnemu zakresowi dostępu, bo pełnomocnik widzi dokumentację ochronną, wykazy osób, materiały z postępowań i informacje o słabych miejscach systemu.

Jeżeli jednostka działa w obszarze bezpieczeństwa przemysłowego, wymagania mogą wynikać także z dokumentów postępowania, umowy niejawnej albo zaleceń ABW lub SKW. Przy ubieganiu się o świadectwo bezpieczeństwa przemysłowego nie należy zakładać, że każdy model zewnętrzny zostanie oceniony tak samo, bo organ bada konkretną organizację ochrony, a nie samą nazwę funkcji.

Umocowanie w jednostce

Zewnętrzny pełnomocnik musi mieć podstawę działania wobec pracowników i dostęp do kierownika jednostki. W praktyce powinny istnieć co najmniej: dokument powierzenia funkcji, zakres zadań, określenie podległości, zasady obecności w jednostce, zasady zastępstwa oraz sposób dokumentowania czynności.

Sama umowa cywilnoprawna, bez decyzji organizacyjnej kierownika, tworzy problem przy kontroli. Kontrolujący pyta wtedy, kto faktycznie zatwierdza dokumenty, kto wydaje polecenia pracownikom i kto odpowiada za wykonanie zaleceń.

Pełnomocnik musi podlegać bezpośrednio kierownikowi jednostki. To oznacza nie tylko możliwość rozmowy bez pośredników, ale także takie umocowanie w dokumentach, aby zalecenia i informacje o naruszeniach nie ginęły w administracji, sekretariacie albo u osoby odpowiedzialnej wyłącznie za kontrakt.

Więcej o miejscu tej funkcji w strukturze jednostki opisuje opracowanie Pion ochrony: skład, zadania i miejsce w strukturze. Przy modelu zewnętrznym ten temat trzeba potraktować jeszcze uważniej, bo brak codziennej obecności trzeba zastąpić jasną procedurą działania.

Podział odpowiedzialności

Kierownik jednostki odpowiada za zorganizowanie ochrony informacji niejawnych. To on zapewnia warunki lokalowe, finansowanie zabezpieczeń, obsadę funkcji, wykonanie zaleceń i zgodność działania jednostki z przepisami.

Pełnomocnik ochrony organizuje i nadzoruje system ochrony w powierzonym zakresie. W praktyce przygotowuje albo aktualizuje dokumentację, prowadzi szkolenia lub nadzoruje ich realizację, uczestniczy w dopuszczaniu osób do informacji niejawnych, kontroluje przestrzeganie zasad i reaguje na naruszenia.

Nie wolno mylić nadzoru z pełnym przejęciem obowiązków jednostki. Pełnomocnik może wskazać, że pomieszczenie nie spełnia wymagań, ale nie zamontuje zabezpieczeń decyzją własną, jeśli kierownik nie zapewni środków i nie wyda polecenia organizacyjnego.

W razie kontroli ABW lub SKW pełnomocnik zwykle wyjaśnia dokumentację i pokazuje sposób działania systemu. Kierownik powinien jednak umieć powiedzieć, jakie decyzje podjął, kto ma dostęp, jakie środki przeznaczono na ochronę i jak wykonano wcześniejsze zalecenia. Przygotowanie do takiej sytuacji szerzej opisuje tekst Kontrola ABW lub SKW w jednostce: jak się przygotować.

Co musi zostać w firmie

Nie da się wynieść na zewnątrz całej ochrony informacji niejawnych. W jednostce muszą pozostać ludzie, miejsca, urządzenia i dokumenty, na których opiera się realne przetwarzanie.

W firmie zostają przede wszystkim:

• decyzje kierownika jednostki,
• fizyczne zabezpieczenia pomieszczeń,
• dokumentacja ochronna zatwierdzana i stosowana w jednostce,
• ewidencja materiałów niejawnych, jeżeli jednostka je posiada,
• osoby uprawnione do dostępu i ich faktyczne obowiązki,
• organizacja obiegu dokumentów,
• stanowiska lub systemy teleinformatyczne dopuszczone do pracy z informacjami niejawnymi,
• reakcja pierwszego kontaktu przy naruszeniu.

Zewnętrzny pełnomocnik może prowadzić przeglądy, aktualizować procedury, szkolić, kontrolować ewidencję i przygotowywać jednostkę do sprawdzeń. Nie powinien być jedyną osobą, która wie, gdzie jest dokument, kto ma klucz, jak odnotować wpływ przesyłki albo co zrobić po stwierdzeniu naruszenia.

Najgorszy model to pełnomocnik z telefonem alarmowym, którego nikt nie informuje o zmianach. Wtedy dokumentacja jest poprawna tylko w segregatorze, a faktyczne działanie jednostki idzie osobnym torem.

Łączenie funkcji u kilku przedsiębiorców

Pełnomocnik może w praktyce obsługiwać więcej niż jednego przedsiębiorcę, jeżeli dla każdego podmiotu spełnia warunki formalne, ma odrębne umocowanie i realną możliwość wykonywania zadań. Ustawa nie wymaga tu zgody ABW albo SKW takiej jak przy osobie, która ma wykonywać zadania inspektora bezpieczeństwa teleinformatycznego albo administratora systemu w więcej niż jednej jednostce. Nie może to jednak być fikcja polegająca na wpisaniu nazwiska do dokumentów kilku firm bez czasu na kontrole, szkolenia i reagowanie na zdarzenia.

Przy kilku przedsiębiorcach trzeba rozdzielić dokumentację, nośniki, notatki, korespondencję i informacje o zabezpieczeniach. Dane jednej jednostki nie mogą trafiać do drugiej, nawet jeżeli pełnomocnik zna obie organizacje i pracuje według podobnych procedur.

Trzeba też sprawdzić konflikt interesów. Jeżeli dwie firmy startują w tym samym postępowaniu, są względem siebie podwykonawcami albo konkurują w obszarze objętym informacjami niejawnymi, model łączenia funkcji może być organizacyjnie ryzykowny.

Osobny problem to łączenie funkcji pełnomocnika z innymi rolami, na przykład administratorem systemu, inspektorem bezpieczeństwa teleinformatycznego albo kierownikiem kancelarii. Nie każde połączenie jest wykluczone, ale każde trzeba ocenić przez niezależność kontroli i realny czas pracy. Szerzej ten temat omawia tekst Łączenie funkcji w ochronie informacji niejawnych.

Korzyści modelu zewnętrznego

Największą korzyścią jest doświadczenie porównawcze. Osoba, która widziała różne kontrole, różne kancelarie i różne akredytacje systemów, szybciej rozpozna, że problemem nie jest brak kolejnego załącznika, tylko niespójność między procedurą a praktyką.

Druga korzyść to dystans wobec wewnętrznych przyzwyczajeń. Pracownik z firmy często akceptuje skróty, bo tak działało od lat. Osoba z zewnątrz zwykle szybciej pyta, dlaczego dokument leży w otwartej szafie, czemu wykaz osób nie zgadza się z umową i dlaczego szkolenie nie obejmuje nowych pracowników.

Trzecia korzyść to przewidywalny koszt przy małym zakresie spraw. Dla przedsiębiorcy, który sporadycznie realizuje umowy niejawne, pełny etat może być nieracjonalny, ale brak kompetentnego nadzoru bywa droższy przy pierwszej kontroli lub incydencie.

Ryzyka i ograniczenia

Podstawowe ryzyko to zbyt mała dostępność. Ochrona informacji niejawnych nie działa dobrze w trybie raz na kwartał, jeżeli w międzyczasie wpływają dokumenty, zmieniają się pracownicy albo uruchamiane jest stanowisko komputerowe.

Drugie ryzyko to rozmycie odpowiedzialności. Kierownik zakłada, że pełnomocnik wszystko załatwi, a pełnomocnik zakłada, że firma wykona zalecenia. Kontrola szybko pokazuje, czy polecenia były wydane, czy tylko omówione na spotkaniu.

Trzecie ryzyko dotyczy ochrony samej dokumentacji ochronnej. Kopie planów, wykazów, ocen ryzyka, procedur i notatek z kontroli nie mogą krążyć poza jednostką bez zasad. Trzeba ustalić, co pełnomocnik zabiera, co przechowuje wyłącznie w jednostce i jak zabezpiecza robocze materiały.

Czwarte ryzyko pojawia się przy incydentach. Jeżeli naruszenie zostanie zauważone o godzinie 7:30, a pełnomocnik odbierze telefon po południu, jednostka musi mieć instrukcję pierwszych czynności. Przy zdarzeniach technicznych warto znać także zakres obowiązków opisany w tekście Incydent w systemie teleinformatycznym: obowiązki inspektora.

Typowe błędy

Najczęstszy błąd to powołanie osoby z zewnątrz bez sprawdzenia, czy ma właściwe poświadczenie i aktualne szkolenie. Drugi to brak pisemnego zakresu działania, przez co pełnomocnik nie ma podstawy do egzekwowania zaleceń.

Trzeci błąd to kopiowanie dokumentacji z innej jednostki. Plan ochrony, instrukcje, wykazy i procedury muszą pasować do konkretnego budynku, konkretnych stanowisk, konkretnych umów i faktycznego obiegu dokumentów.

Czwarty błąd to brak kalendarza czynności. W praktyce powinny być zaplanowane szkolenia, przeglądy dokumentacji, kontrole wewnętrzne, aktualizacje wykazów i sprawdzenie wykonania zaleceń.

Piąty błąd to niewłączanie pełnomocnika w zmiany organizacyjne. Nowa lokalizacja, nowa umowa z klauzulą, zmiana administratora systemu, remont pomieszczenia albo zatrudnienie nowej osoby mogą wymagać aktualizacji dokumentacji i decyzji ochronnych.

Jak ocenić, czy model jest bezpieczny

Przed wyborem modelu trzeba policzyć realne obciążenie, nie liczbę segregatorów. Liczą się wpływy i wytwarzanie dokumentów, liczba osób z dostępem, poziom klauzul, liczba pomieszczeń, systemy teleinformatyczne, wymagania kontraktu i częstotliwość zmian kadrowych.

Dobra praktyka to przygotowanie krótkiej matrycy odpowiedzialności. Przy każdym zadaniu należy wpisać, kto wykonuje, kto zatwierdza, kto zastępuje i gdzie zostaje dowód wykonania.

Taką matrycą trzeba objąć co najmniej:

• szkolenia,
• wykazy osób z dostępem,
• dokumentację ochronną,
• ewidencję materiałów,
• kontrole wewnętrzne,
• obsługę incydentów,
• kontakt z ABW, SKW, zamawiającym albo administratorem umowy,
• zmiany w systemach i pomieszczeniach.

Jeżeli przy większości pozycji jedyną odpowiedzią jest nazwisko osoby zewnętrznej, model jest źle zaprojektowany. Jednostka musi zachować zdolność codziennego działania, a pełnomocnik ma ten system organizować, nadzorować i korygować.

Kiedy trzeba pytać organ albo pełnomocnika

Ten tekst nie rozstrzyga, czy konkretny przedsiębiorca spełni wymagania w postępowaniu o świadectwo bezpieczeństwa przemysłowego ani czy dany model zostanie zaakceptowany w kontroli. Ocenie podlega stan faktyczny: umowy, klauzule, pomieszczenia, personel, dokumentacja i rzeczywisty sposób pracy.

Z ABW, SKW albo właściwym pełnomocnikiem trzeba wyjaśnić sytuacje nietypowe: wiele lokalizacji, obsługę kilku powiązanych spółek, konflikt interesów, wspólne pomieszczenia, podwykonawców, dostęp do systemu teleinformatycznego i zmianę modelu w trakcie realizacji umowy niejawnej.

Nie należy czekać z pytaniem do kontroli. Jeżeli model budzi wątpliwość na etapie organizowania ochrony, później zwykle wymaga poprawiania dokumentów, umów i praktyki działania pod presją terminu.

Podsumowanie

Zewnętrzny model pracy pełnomocnika ochrony jest dobrym rozwiązaniem dla jednostek o ograniczonym i dobrze opisanym zakresie przetwarzania informacji niejawnych. Warunkiem jest formalnie umocowana osoba, spełnienie wymagań ustawowych, bezpośredni dostęp do kierownika i jasny podział zadań.

Outsourcing nie przenosi odpowiedzialności kierownika jednostki i nie zastępuje zabezpieczeń, ewidencji, szkoleń ani codziennej dyscypliny pracowników. Jeżeli pełnomocnik z zewnątrz ma czas, narzędzia i realny wpływ na organizację, model może działać stabilnie. Jeżeli jest tylko nazwiskiem w dokumentach, problem ujawni się przy pierwszej kontroli, zmianie umowy albo incydencie.