Rządowy projekt ustawy o ochronie informacji niejawnych oraz o zmianie niektórych ustaw

teleinformatycznego, które jest potwierdzeniem udzielenia przez ABW lub SKW
akredytacji dla systemu przetwarzającego informacje niejawne o klauzuli „poufne” lub
wyższej oraz określa warunki ważności świadectwa i zasady przeprowadzenia audytów
związanych z nadzorem nad systemem teleinformatycznym. Pojęcie świadectwa
akredytacji zastąpi dotychczasowy certyfikat akredytacji. Powyższa zmiana ma na celu
zwiększenie czytelności przepisów rozdziału 8 i pozostawienie pojęcia „certyfikat”
tylko dla urządzeń i narzędzi kryptograficznych, środków ochrony elektromagnetycznej
oraz urządzeń lub narzędzi realizujących zabezpieczenia teleinformatyczne.
Warunkami, jakie muszą być spełnione dla wydania świadectwa bezpieczeństwa
teleinformatycznego są: dokonanie pozytywnej oceny dokumentacji bezpieczeństwa
teleinformatycznego oraz pozytywny wynik audytu bezpieczeństwa
teleinformatycznego. W przypadku systemów przetwarzających informacje o klauzuli
„poufne” ABW lub SKW może odstąpić od przeprowadzenia audytu bezpieczeństwa
i akredytować system na podstawie przekazanej dokumentacji bezpieczeństwa.
Wprowadzono termin 6 miesięcy na udzielenie bądź odmowę udzielenia akredytacji,
w szczególnych przypadkach wynikających z rozległości i stopnia skomplikowania
systemu będzie on mógł być wydłużony o maksymalnie 6 miesięcy.
W art. 49 wskazano, że najistotniejszym elementem dokumentu szczególnych wymagań
bezpieczeństwa jest ocena ryzyka dla bezpieczeństwa informacji niejawnych oraz
zarządzanie tymże ryzykiem. Przeprowadzenie szacowania ryzyka jest podstawowym
działaniem, jakie należy przeprowadzić przed przystąpieniem do sporządzenia
dokumentacji bezpieczeństwa oraz jest procesem, który powinien być stale prowadzony
przez podmioty dysponujące systemami służącymi do przetwarzania informacji
niejawnych. W przypadku gdy może się to okazać korzystne dla całego systemu
ochrony informacji niejawnych, przebieg i wyniki szacowania ryzyka mogą być
sporządzone w odrębnym dokumencie.
Art. 50 określa zasadę, że urządzenia i narzędzia kryptograficzne przeznaczone do
ochrony informacji niejawnych podlegają procesowi certyfikacji prowadzonej przez
ABW lub SKW. W porównaniu z poprzednim brzmieniem ustawy zaproponowano, aby
certyfikacji podlegały urządzenia i narzędzia kryptograficzne służące do ochrony
informacji niejawnych od klauzuli „zastrzeżone”. W poprzedniej wersji ustawy
obowiązek ten dotyczył urządzeń i narzędzi kryptograficznych służących do ochrony

17
informacji niejawnych od klauzuli „poufne”. Zmiana ta ma na celu – między innymi –
umożliwienie polskim wytwórcom narzędzi i urządzeń kryptograficznych uzyskiwania
certyfikatów, które umożliwią stosowanie tych urządzeń w ramach NATO i UE.
Wprowadzono także zasadę certyfikowania środków ochrony elektromagnetycznej
przeznaczonych dla informacji niejawnych o klauzuli „poufne” lub wyższej. Jest to
unormowanie aktualnego stanu faktycznego, polegające na tym, że środki ochrony
elektromagnetycznej, zgodnie z polityką bezpieczeństwa NATO i UE, podlegają
certyfikacji.
Certyfikacja środków ochrony elektromagnetycznej oraz urządzeń i narzędzi
kryptograficznych przeznaczonych do ochrony informacji niejawnych prowadzona
będzie przez ABW lub SKW z pominięciem właściwości obu służb określonej w art. 10
ustawy, gdyż nie jest możliwe określenie z góry, w jednostkach organizacyjnych której
sfery takie środki, narzędzia i urządzenia będą wykorzystane, a jest prawdopodobne, że
będą one mogły być wykorzystywane w obu sferach. Wprowadzenie w tym zakresie
kryterium przynależności producenta do określonej sfery przyznałoby w praktyce
monopol na takie procesy certyfikacji dla ABW, co nie wydaje się działaniem
racjonalnym.
Art. 51 wyłącza z obowiązku akredytacji bezpieczeństwa teleinformatycznego systemy
teleinformatyczne, których istotą jest to, że służą wyłącznie do pozyskiwania
i przekazywania w sposób niejawny informacji uzyskanych w trakcie czynności
operacyjno-rozpoznawczych przez uprawnione do tego podmioty. Przepis ten obejmuje
swoim zakresem tego typu systemy teleinformatyczne, które używane są w sposób
niejawny przez uprawnione do tego podmioty, realizujące czynności operacyjno-roz-
poznawcze. Powyższe systemy teleinformatyczne i środki techniczne funkcjonują
w takim środowisku i w taki sposób, że niemożliwe jest zastosowanie wobec nich
wymogów związanych z bezpieczeństwem teleinformatycznym. Powyższy wyjątek
dotyczy systemów teleinformatycznych, które nie są zlokalizowane w budynkach
należących do podmiotów realizujących czynności operacyjno-rozpoznawcze
i ograniczony jest jedynie do pozyskiwania i przekazywania informacji, co nie
wyczerpuje ustawowej definicji przetwarzania.
Z akredytacji wyłączono też systemy teleinformatyczne wykorzystywane przez
służby wywiadowcze poza granicami RP podczas wykonywania czynności

18
operacyjno-rozpoznawczych oraz wydzielone stanowiska na terytorium RP służące
służbom wywiadowczym do odbierania i przetwarzania tych informacji.
Rozdział 9 – Bezpieczeństwo przemysłowe określa zasady ochrony informacji
niejawnych przekazywanych przedsiębiorcom podczas wykonywania umów albo zadań
wynikających z przepisów prawa.
Art. 54 stwierdza, że świadectwo bezpieczeństwa przemysłowego potwierdza zdolność
przedsiębiorcy do ochrony informacji niejawnych o klauzuli „poufne” lub wyższej. Jest
to rozwiązanie stosowane powszechnie w krajach NATO i Unii Europejskiej.
Wprowadzenie świadectw bezpieczeństwa przemysłowego do poziomu „poufne” ma
też bezpośredni związek ze zmianą definicji klauzul tajności. Skoro informacje
„poufne” będą mogły się odnosić tylko do bezpieczeństwa i interesów państwa,
powinny być chronione na takich zasadach, jak obecna tajemnica państwowa.
W przypadku przedsiębiorców wykonujących działalność osobiście zniesiono
obowiązek uzyskiwania świadectw bezpieczeństwa przemysłowego i większość
rygorów z tym związanych. W takim przypadku dokumentem potwierdzającym
rękojmię zachowania tajemnicy przez przedsiębiorcę będzie poświadczenie
bezpieczeństwa.
Uregulowano możliwość tymczasowego i jednorazowego dostępu przedsiębiorcy do
informacji niejawnych analogicznie, jak to ma miejsce w przypadku bezpieczeństwa
osobowego.
Art. 60 zwalnia przedsiębiorców ubiegających się o świadectwo bezpieczeństwa
przemysłowego trzeciego stopnia z kosztownego obowiązku tworzenia pionu ochrony.
W takim przypadku obowiązek przeszkolenia pracowników przedsiębiorcy w zakresie
ochrony informacji niejawnych będzie spoczywał na pełnomocniku ochrony jednostki
zamawiającej.
Art. 64 określa przesłanki odmowy, a art. 66 przesłanki cofnięcia świadectwa
bezpieczeństwa przemysłowego. Jest to istotna zmiana w stosunku do stanu obecnego,
w którym nie ma precyzyjnych uregulowań tej kwestii.
Art. 65 przewiduje możliwość przeprowadzenia z urzędu wybranych sprawdzeń
przedsiębiorcy w celu ustalenia, czy nie utracił on zdolności ochrony informacji
niejawnych. Uregulowano też zasady współpracy ABW i SKW przy okazji takich

19
sprawdzeń albo podczas kontroli zabezpieczenia informacji niejawnych, jeżeli
przedsiębiorca ma świadectwo bezpieczeństwa przemysłowego wydane przez jedną
z tych służb, a umowę realizuje na rzecz jednostki organizacyjnej znajdującej się
w zakresie kompetencji drugiej służby.
Rozdział 10 – „Ewidencje i udostępnianie danych oraz akt postępowań sprawdzających
i postępowań bezpieczeństwa przemysłowego” porządkuje ten obszar poprzez
umieszczenie w jednej jednostce redakcyjnej zasad postępowania z aktami
postępowania sprawdzającego i postępowania przemysłowego.
Art. 72 precyzyjnie wskazuje przypadki, w których można udostępnić akta
postępowania sprawdzającego, stwierdzając jednoznacznie, że – oprócz wprost
wskazanych w ustawie przypadków – akta postępowania sprawdzającego mogą być
udostępnione wyłącznie dla celów postępowania sprawdzającego wobec tej samej
osoby. Wyklucza to wykorzystywanie akt postępowań sprawdzających w polityce
kadrowej, postępowaniach dyscyplinarnych lub jakichkolwiek innych tego rodzaju
sytuacjach.
Rozdział 11 – „Zmiany w przepisach obowiązujących” przewiduje możliwość
finansowania wydatków bieżących i inwestycyjnych ABW lub SKW z opłat za
przeprowadzenie certyfikacji urządzeń kryptograficznych lub środków ochrony
elektromagnetycznej. Ponadto dokonano przeglądu obowiązującego ustawodawstwa,
eliminując użycie pojęcia „służby ochrony państwa” – zastępując je sformułowaniem
„ABW lub SKW” oraz pojęć „tajemnica państwowa” i „tajemnica służbowa” –
zastępując je określeniami poszczególnych klauzul albo terminem „informacje
niejawne”. Usunięto również przepisy przewidujące nadawanie określonym
dokumentom klauzul tajności bez związku z przesłankami określonymi w art. 5 ustawy,
ale w przypadku szczególnie wrażliwych informacji przekazywanych przez obywateli
organom państwa, takich jak oświadczenia majątkowe lub tajemnica skarbowa,
wprowadzono obowiązek ich ochrony na poziomie przewidzianym dla ochrony
informacji niejawnych o klauzuli „zastrzeżone”. W przypadku przepisów określających
dostęp dotychczasowych służb ochrony państwa do określonych informacji
niezbędnych do prowadzenia postępowań sprawdzających, rozszerzono ten dostęp na
wszystkie służby prowadzące rozszerzone postępowania sprawdzające, aby zapewnić
równorzędny standard tych postępowań.

20
I tak na przykład w ustawie – Ordynacja podatkowa w art. 13a i art. 179 § 1 termin
„tajemnica państwowa” został zastąpiony przez „informacje niejawne”, w art. 82 § 4
dotyczącym sposobu ochrony dokumentów oznaczonych jako „tajemnica skarbowa”
termin „tajemnica służbowa” zastępuje się pojęciem „informacje niejawne o klauzuli
<zastrzeżone>”, w art. 195 pkt 2, 196 § 4 oraz 286 § 3 zamiast „tajemnica państwowa
lub służbowa” wprowadza się „informacje niejawne”, a w art. 298 pkt 5a pojęcie
„służby ochrony państwa” zastępuje się przez „ABW lub SKW”, a ponadto uzupełnia
się ten przepis o SWW, CBA i BOR, gdyż nie ma żadnego uzasadnienia sytuacja,
w której służby pozbawione są dostępu do informacji posiadanych przez ABW, SKW,
AW, Policję, andarmerię Wojskową, Straż Graniczną i Służbę Więzienną.
Rozdział 12 – „Przepisy przejściowe i końcowe” nakazuje przeprowadzenie w ciągu
trzech lat przeglądu wszystkich materiałów wytworzonych pod rządami starej ustawy
pod kątem ewentualnej zmiany lub zniesienia klauzuli tajności.
Wszystkie poświadczenia, zaświadczenia i świadectwa wydane pod rządami starej
ustawy zachowają ważność na okres w nich wskazany. Dotyczy to również
poświadczeń dla kierowników jednostek organizacyjnych wydanych przez
pełnomocników ochrony, poświadczeń dla pełnomocników ochrony wydanych przez
ABW lub SKW po przeprowadzeniu zwykłych, a nie poszerzonych postępowań
sprawdzających oraz poświadczeń, zaświadczeń i świadectw wydanych przez ABW lub
SKW niezależnie od właściwości ABW i SKW określonej w art. 10 ustawy. Wyjątkiem
są akredytacje systemów teleinformatycznych, które zachowują ważność do czasu
dokonania w nich istotnych zmian, jednak nie dłużej niż przez 5 lat.
Do postępowań wszczętych przed wejściem w życie nowej ustawy będą miały
zastosowanie dotychczasowe przepisy.
Ankieta Bezpieczeństwa Osobowego jest załącznikiem do ustawy. W treści ankiety
odstąpiono od niektórych pytań uznając, że odpowiedź na nie nie ma istotnego
znaczenia dla oceny dawania rękojmi zachowania tajemnicy przez osobę sprawdzaną,
natomiast w przypadku innych pytań doprecyzowano ich treść lub wprowadzono nowe
pytania, co wynikło z praktycznych doświadczeń postępowań sprawdzających.
Odstąpiono od obowiązkowego oznaczania ankiety klauzulą tajności, ponieważ zawarte
w niej informacje zazwyczaj nie będą spełniać ustawowych przesłanek nadania klauzuli
określonych w art. 5. Ze względu jednak na bardzo wrażliwy charakter niektórych

21