Zmienione zasady ochrony informacji niejawnych

• Klauzule tajności
• Organizacja ochrony informacji
• Dostęp do informacji
• Ochrona informacji przetwarzanych w systemach teleinformatycznych
• Bezpieczeństwo przemysłowe
• Podsumowanie zmian

Ochrona obejmuje w szczególności: organizowanie ochrony, klasyfikowanie, przetwarzanie informacji niejawnych, jak również postępowanie sprawdzające, w celu ustalenia, czy osoba nim objęta daje rękojmię zachowania tajemnicy.

Klauzule tajności

Art. 5 w/w ustawy zawiera nowe definicje informacji niejawnych oznaczonych poszczególnymi klauzulami, które będą obowiązywały w miejsce dotychczasowych, bardzo ogólnych definicji tajemnicy państwowej i służbowej, nieprecyzyjnych definicji poszczególnych klauzul oraz wykazów informacji niejawnych.

I tak oznaczenia klauzulą „ściśle tajne” zostanie ograniczona do bardzo nielicznych informacji, których ujawnienie spowodowałoby wyjątkowo duże szkody dla Polski, a które dotyczą polityki międzynarodowej i obronności państwa, czynności operacyjno - rozpoznawczych służb wywiadu i kontrwywiadu, bądź też mają bezpośrednie znaczenie dla niepodległości i porządku konstytucyjnego RP.

Nowelizacja określa zasady znoszenia lub zmiany klauzuli tajności. W tym zakresie nastąpiło odejście od zdefiniowanych z góry okresów obowiązywania klauzul na rzecz możliwości zniesienia lub zmiany klauzuli w przypadku ustania, lub zmiany ustawowych przesłanek ochrony.

Na większą elastyczność obowiązującego systemu będzie też miała wpływ możliwość określenia z góry (niezależnie od klauzuli) daty lub wydarzenia, po którym nastąpi zniesienie lub zmiana klauzuli tajności, a także możliwość odrębnego klauzulowania poszczególnych części dokumentu.

Ważnym punktem ustawy jest art. 9 który wprowadza możliwość „odwołania się” od decyzji wytwórcy dotyczącej nadania klauzuli tajności do Agencji Bezpieczeństwa Wewnętrznego (ABW) lub Służby Kontrwywiadu Wojskowego (SKW), a w przypadku sporu z jedną z tych służb - do Prezesa Rady Ministrów. W dotychczasowym systemie odbiorca mógł tylko apelować do wytwórcy o zmianę nieprawidłowej klauzuli.

Organizacja ochrony informacji

Rozdział 3 ustawy organizuje ochronę informacji niejawnych określając zadania ABW, SKW, kierowników jednostek organizacyjnych oraz pełnomocników i pionów ochrony. Do nowelizacji wprowadzono model funkcjonujący w większości krajów NATO i UE, który ,,prawdopodobnie” skutecznie likwiduje mankamenty rozwiązania polegającego na równoległym pełnieniu funkcji krajowej władzy bezpieczeństwa przez szefów ABW i SKW.

Ponadto uzupełniono zakres kontroli o możliwość żądania udostępnienia systemów teleinformatycznych nieposiadających akredytacji (czyli nie przeznaczonych do przetwarzania informacji niejawnych), ale wyłącznie w przypadku uprzedniego ustalenia okoliczności wskazujących na przetwarzania w tych systemach informacji niejawnych.

Czytaj także: Udostępnianie informacji o radnych>>

Nowym rozwiązaniem jest znaczne rozszerzenie kontroli prawidłowości postępowań sprawdzających. Do tej pory takiej kontroli podlegały wyłącznie postępowania prowadzone przez pełnomocników ochrony. Z kontroli postępowań sprawdzających pozostaną wyłączone postępowania prowadzone przez pełnomocników ochrony w Agencji Wywiadu i Służbie Wywiadu Wojskowego.

Wprowadza się również obowiązek dla ABW i SKW prowadzenia szkoleń kierowników jednostek organizacyjnych. Szkolenia takie będą prowadzone przez służby wspólnie z pełnomocnikami ochrony. Wszystkie osoby mające dostęp do informacji niejawnych będą szkolone w zakresie ochrony tych informacji nie rzadziej niż co 5 lat. Do tej pory ustawa przewidywała cykliczność szkoleń wyłącznie w przypadku pełnomocników ochrony i ich zastępców.

Nowelizacja znosi istniejący do tej pory obowiązek prowadzenia postępowań sprawdzających wobec osób, które mają uzyskać dostęp do informacji niejawnych o klauzuli „zastrzeżone”. Dostęp do informacji niejawnych o klauzuli „zastrzeżone” będzie możliwy na podstawie pisemnego upoważnienia kierownika jednostki organizacyjnej po odbyciu stosownego przeszkolenia.

Dostęp do informacji

Ustawa precyzuje, że nie przeprowadza się postępowania sprawdzającego wobec osób legitymujących się ważnym poświadczeniem bezpieczeństwa do danej klauzuli, z wyjątkiem poświadczeń wydanych przez Agencję Wywiadu (AW) i Służbę Wywiadu Wojskowego (SWW), ponieważ postępowania sprawdzające w tych służbach zostały wyłączone spod kontroli prawidłowości postępowań sprawdzających. Do katalogu osób mających dostęp do informacji niejawnych bez postępowania sprawdzającego została dopisana osoba wybrana na urząd Prezydenta RP ze względu na szczególną pozycję takiej osoby w systemie władzy państwowej.

Akt wprowadza tylko dwa rodzaje postępowań sprawdzających w miejsce dotychczasowych trzech. Zwykłe postępowania sprawdzające będą prowadzone przez pełnomocników ochrony wobec osób ubiegających się o dostęp do informacji niejawnych o klauzuli „poufne”. Poszerzone postępowania sprawdzające będą prowadzone przez ABW lub SKW wobec osób ubiegających o dostęp do informacji niejawnych o klauzuli „tajne” i „ściśle tajne”, a w niektóry przypadkach również „poufne” Pewnym novum jest wprowadzenie zasady prowadzenia przez służby postępowań wobec kierowników przedsiębiorców niezależnie od klauzuli.

Kolejna zmiana ustawy znosi automatyczny zakaz posiadania poświadczenia bezpieczeństwa przez osoby skazane prawomocnym wyrokiem, nakazując ocenę wątpliwości związanych z tym faktem.

Tryb odwoływania się od decyzji o odmowie lub cofnięciu poświadczenia bezpieczeństwa oraz składania skarg do sądu administracyjnego na decyzję organu odwoławczego, reguluje rozdział 6 ustawy.

Zmiany mają na celu przede wszystkim wprowadzenie zasad racjonalnego stosowania metod i środków służących ochronie informacji niejawnych oraz adekwatności rozwiązań dla określonych klauzul tajności. W tym celu został wprowadzony obowiązek ustalenia przez kierowników jednostek organizacyjnych poziomu zagrożenia ujawnienia informacji niejawnych i szacowania ryzyka.

Warunkiem funkcjonowania  kancelarii będzie porozumienie kierowników jednostek w zakresie podległości i finansowania oraz uzyskanie zgody właściwej służby ochrony państwa. Wprowadzono również obowiązek informowania właściwej służby ochrony państwa o utworzeniu lub likwidacji kancelarii tajnej z określeniem klauzuli tajności informacji będących w dyspozycji jednostki organizacyjnej. Obowiązek ten będzie spoczywał na kierowniku jednostki organizacyjnej.

Nowelizacja wprowadza też obowiązek określenia poziomu ryzyka nieuprawnionego dostępu do informacji niejawnych oraz stosowania środków ochrony fizycznej odpowiednich do poziomu ryzyka tym samym, zobowiązano kierownika jednostki organizacyjnej do zatwierdzenia dokumentacji związanej z szeroko rozumianym szacowaniem ryzyka.  

Zrezygnowano z zapisów dot. organizacji „strefy administracyjnej” i „strefy bezpieczeństwa” na rzecz „stref ochronnych”. Różnica polega na wyeliminowaniu zasady tworzenia tzw. strefy w strefie, tj. odejściu od obowiązku tworzenia strefy administracyjnej wokół strefy bezpieczeństwa. Proponowane rozwiązanie eliminuje „fikcyjność” tworzenia stref administracyjnych, w tym głównie kwestii związanych z pokrywaniem się granic strefy administracyjnej ze strefą bezpieczeństwa. Wprowadzono trzy „kategorie” stref ochronnych, które mogą obejmować zarówno jedno pomieszczenie jak też kilka pomieszczeń – bez konieczności tworzenia wokół nich „dodatkowych stref”.

Ochrona informacji przetwarzanych w systemach teleinformatycznych

W akcie prawnym swoje miejsce znajduje również „Bezpieczeństwo teleinformatyczne” które określa zasady ochrony informacji niejawnych przetwarzanych w systemach teleinformatycznych.

Wprowadzono nową zasadę polegającą na tym, że akredytacji bezpieczeństwa teleinformatycznego dla systemów przetwarzających informacje oznaczone klauzulą  „zastrzeżone” będzie udzielał kierownik jednostki organizacyjnej, w której będzie funkcjonował system lub - w przypadku systemu obsługującego wiele podmiotów - kierownik jednostki organizującej system.

Obowiązkiem kierownika jednostki organizacyjnej, który udzielił akredytacji dla systemu przetwarzającego informacje oznaczone klauzulą „zastrzeżone”, będzie przekazanie ABW lub SKW - zgodnie z kompetencją – dokumentacji bezpieczeństwa teleinformatycznego akredytowanego systemu. ABW lub SKW w przypadku systemów teleinformatycznych przetwarzających informacje o klauzuli „zastrzeżone” mogą zlecić  przeprowadzenie dodatkowych czynności zwiększających bezpieczeństwo systemu. 

Kierownik jednostki organizacyjnej zobowiązany jest w ciągu 30 dni poinformować ABW lub SKW o realizacji zaleceń. Jednocześnie ABW lub SKW, w szczególnie uzasadnionych przypadkach, może nakazać wstrzymanie przetwarzania informacji niejawnych w systemach akredytowanych przez kierownika jednostki organizacyjnej.

Z akredytacji wyłączono systemy teleinformatyczne oraz współpracujące z nimi środki techniczne, których istotą jest to, że służą wyłącznie do pozyskiwania i przekazywania w sposób niejawny informacji uzyskanych w trakcie czynności operacyjno-rozpoznawczych przez uprawnione do tego podmioty. Przepis ten obejmuje swoim zakresem tego typu systemy teleinformatyczne i środki techniczne, które używane są w sposób niejawny przez uprawnione do tego podmioty, realizujące czynności operacyjno – rozpoznawcze.

W porównaniu z poprzednim brzmieniem ustawy zaproponowano, aby certyfikacji podlegały urządzenia i narzędzia kryptograficzne służące do ochrony informacji niejawnych o klauzuli „zastrzeżone”. W poprzedniej wersji ustawy obowiązek ten dotyczył urządzeń i narzędzi kryptograficznych służących do ochrony informacji niejawnych o klauzuli „poufne”.

Umożliwiono stosowanie - na podstawie pozwolenia wydanego przez Szefa ABW lub SKW  urządzenia lub narzędzia kryptograficznego w systemie teleinformatycznym przetwarzającym informacje niejawne, jeżeli urządzenie to posiada stosowny certyfikat wydany przez uprawniony organ NATO, UE lub państwa członkowskiego tych organizacji.

Bezpieczeństwo przemysłowe

Bezpieczeństwo przemysłowe określa zasady ochrony informacji niejawnych przekazywanych przedsiębiorcom podczas wykonywania umów albo zadań wynikających z przepisów prawa. Wprowadzenie świadectw bezpieczeństwa przemysłowego do poziomu „poufne” ma też bezpośredni związek ze zmianą definicji klauzul tajności. Skoro informacje „poufne” będą mogły się odnosić tylko do bezpieczeństwa i interesów państwa, powinny być chronione na takich zasadach, jak obecna tajemnica państwowa.

W przypadku przedsiębiorców wykonujących działalność osobiście zniesiono obowiązek uzyskiwania świadectw bezpieczeństwa przemysłowego i większość rygorów z tym związanych. Ustawa  zwalnia przedsiębiorców ubiegających się o świadectwo bezpieczeństwa przemysłowego trzeciego stopnia z kosztownego obowiązku tworzenia pionu ochrony. W takim przypadku obowiązek przeszkolenia pracowników przedsiębiorcy w zakresie ochrony informacji niejawnych będzie spoczywał na pełnomocniku ochrony jednostki zamawiającej.

Ewidencje i udostępnianie danych oraz akt postępowań sprawdzających i postępowań bezpieczeństwa przemysłowego porządkuje obszar poprzez umieszczenie w jednej jednostce redakcyjnej zasad postępowania z aktami postępowania sprawdzającego i postępowania przemysłowego. Zmiany w przepisach obowiązujących przewiduje możliwość finansowania wydatków bieżących i inwestycyjnych ABW lub SKW z opłat za przeprowadzenie certyfikacji urządzeń kryptograficznych lub środków ochrony elektromagnetycznej.

Przepisy przejściowe i końcowe nakazują  przeprowadzenie przeglądu w ciągu dwóch lat wszystkich materiałów wytworzonych pod rządami starej ustawy pod kątem ewentualnej zmiany lub zniesienia klauzuli tajności.

Wszystkie poświadczenia, zaświadczenia i świadectwa wydane pod rządami starej ustawy zachowają ważność na okres w nich wskazany, wyjątkiem są akredytacje systemów teleinformatycznych, które zachowują ważność do czasu dokonania w nich istotnych zmian, jednak nie dłużej niż przez 5 lat.

Celem regulacji było wprowadzenie kompleksowych, spójnych i konsekwentnych oraz łatwych do stosowania w praktyce regulacji dotyczących ochrony informacji niejawnych.

W odróżnieniu od poprzedniego stanu prawnego – rozszerzona została grupa „przedsiębiorców”, gdyż dotychczasowe przepisy eliminowały niektóre podmioty gospodarcze, np. spółdzielnie, z możliwości ubiegania się o realizację umów związanych z dostępem do informacji niejawnych.

W przypadku przedsiębiorców realizujących umowy związane z dostępem do informacji niejawnych o klauzuli „poufne” może nastąpić pewien wzrost kosztów spowodowany koniecznością ubiegania się o świadectwo bezpieczeństwa przemysłowego. Zmiana zakresu definicji poszczególnych klauzul powinna jednak zmarginalizować ten problem, gdyż informacje oznaczane taką klauzulą w części będą oznaczane jako „zastrzeżone” albo w ogólnie nie będą klasyfikowane jako informacje niejawne.

Czytaj także: Klauzula tajności dokumentów – nowe przepisy>>

Podsumowanie zmian

1.     możliwość ubiegania się o wykonywanie umów związanych z dostępem do informacji niejawnych przez przedsiębiorców wykonujących działalność osobiście wyłącznie na podstawie poświadczenia bezpieczeństwa, bez konieczności ubiegania się o świadectwo bezpieczeństwa przemysłowego,

2.    brak obowiązku powoływania pionu ochrony przez przedsiębiorców ubiegających się o świadectwo bezpieczeństwa przemysłowego trzeciego stopnia,

3.    możliwość tworzenia kancelarii tajnych obsługujących dwóch lub więcej przedsiębiorców (np. spółki zależne) wpłynie na obniżenie kosztów przedsiębiorców zamierzających ubiegać się lub ubiegających się o zawarcie lub wykonujących umowy związane z dostępem do informacji niejawnych.

4.    inaczej zdefiniowany zakres ochrony gwarantowanej przez ustawę – ochronie podlegają mianowicie informacje, których nieuprawnione ujawnienie spowodowałoby lub mogłoby spowodować szkody dla Rzeczypospolitej Polskiej albo byłoby z punktu widzenia jej interesów niekorzystnie. W ten sposób zdefiniowano pojęcie informacji niejawnych.

5.     w ustawie określono jakim informacjom niejawnym nadaje się klauzulę „ściśle tajne”, „tajne” i „zastrzeżone”. Kwalifikowanie informacji do objęcia poszczególnymi klauzulami następuje w oparciu o wielkość i rodzaj szkody jaką spowodowałoby dla interesów Rzeczypospolitej Polskiej nieuprawnione ujawnienie tych informacji. Kategorie negatywnych konsekwencji ujawnienia informacji zostały wyszczególnione w ustawie.

6.     po wejściu w życie nowych przepisów możliwe będzie określenie dat lub wydarzeń, po których nastąpi zniesienie lub zmiana klauzuli tajności. Poszczególne części materiału będą mogły być chronione różnymi klauzulami tajności.

7.    w odróżnieniu od poprzedniej ustawy – nowy akt nie posługuje się już terminami tajemnica państwowa i służbowa – przy definiowaniu informacji niejawnych oraz tych, którym nadaje się klauzule tajności. W efekcie zrezygnowano z ochrony informacji, które w myśl przepisów innych ustaw zostały uznane np. za tajemnicę służbową. Decyduje fakt zakwalifikowania informacji do określonej grupy na gruncie przepisów nowej ustawy.

8.    kancelarie tajne będą obligatoryjnie funkcjonować jedynie w tych jednostkach organizacyjnych, w których przetwarzane są informacje o klauzuli „tajne” lub „ściśle tajne”.

Owa regulacja wyznacza granicę między dostępem do informacji publicznej a nakazem ochrony informacji i obowiązkiem zachowania tajemnicy. Granica ta, w konsekwencji zmian w definicjach poszczególnych klauzul tajności, zostaje przesunięta powiększając zakres informacji publicznej. Regulacja może wpłynąć na zwiększenie jawności życia publicznego i ułatwić dostęp do informacji publicznej. Tym samym, regulacja, poszerza sferę wolności i praw jednostek, zmniejszając ograniczenia prawa do informacji o działalności organów władzy publicznej.

Tomasz Błotnicki

samorzad.infor.pl