Zanim dana osoba zacznie realizować zadania związane z systemem zarządzania bezpieczeństwem informacji (art. 8) lub z obsługą i zgłaszaniem incydentów (art. 11), musi przedstawić podmiotowi informację z Krajowego Rejestru Karnego (KRK) o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza taką osobę do zadań dopiero po otrzymaniu tej informacji. Weryfikację powtarza się, gdy pojawi się uzasadnione podejrzenie skazania. Osoba prawomocnie skazana za te przestępstwa nie może realizować omawianych zadań.
Podstawa prawna
Obowiązek wynika z art. 8f ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (w brzmieniu nadanym nowelizacją wdrażającą dyrektywę NIS 2). Dotyczy podmiotów kluczowych i podmiotów ważnych — a więc również podmiotów publicznych będących podmiotami ważnymi (szkół, przedszkoli, JST, OPS, CUW, instytucji kultury itp.).
Dodatkowo nowelizacja zmieniła ustawę z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym, dodając w art. 6 ust. 1 pkt 10c podstawę, na której podmiot kluczowy lub ważny może uzyskać informację z KRK „w zakresie niezbędnym do weryfikacji niekaralności osoby realizującej zadania, o których mowa w art. 8 i art. 11″ ustawy o KSC. To oznacza, że podmiot ma własną podstawę prawną do występowania o tę informację.
Kogo należy weryfikować
Weryfikacji podlegają osoby, które mają realizować zadania z art. 8 lub art. 11 ustawy o KSC.
Zadania z art. 8 to wdrażanie i utrzymywanie systemu zarządzania bezpieczeństwem informacji (SZBI) oraz środków technicznych i organizacyjnych — m.in. szacowanie i zarządzanie ryzykiem, kontrola dostępu, bezpieczeństwo zasobów ludzkich, kryptografia, zarządzanie aktywami, ciągłość działania, monitorowanie systemów. W praktyce dotyczy to osób takich jak:
- pełnomocnik / koordynator SZBI,
- administratorzy systemów i sieci (ASI, administratorzy IT) realnie konfigurujący i utrzymujący zabezpieczenia,
- osoby zarządzające uprawnieniami, kopiami zapasowymi, podatnościami, konfiguracją,
- osoby odpowiedzialne za szacowanie ryzyka i wdrażanie zabezpieczeń.
Zadania z art. 11 to obsługa i zgłaszanie incydentów. Dotyczy to m.in.:
- osoby wyznaczonej do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa / CSIRT,
- członków zespołu reagowania na incydenty,
- osób odpowiedzialnych za rejestrowanie, klasyfikację i zgłaszanie incydentów do właściwego CSIRT.
Uwaga praktyczna. Kryterium nie jest nazwa stanowiska, lecz faktyczny zakres realizowanych zadań. Jeżeli pracownik realnie wykonuje czynności z art. 8 lub art. 11 — niezależnie od tego, jak nazywa się jego stanowisko — podlega weryfikacji. Dotyczy to także osób z firm zewnętrznych (np. dostawcy usług IT, MSSP), jeżeli to one realizują te zadania na rzecz podmiotu.
Kierownik podmiotu co do zasady nie realizuje osobiście zadań z art. 8/11, więc sam obowiązek z art. 8f nie jest do niego adresowany wprost. Kierownik ma jednak obowiązek znać ten wymóg i go egzekwować — zakres jego obowiązkowego, corocznego szkolenia (art. 8e) obejmuje wprost m.in. art. 8f ust. 1 i 2.
Co dokładnie sprawdzamy
Weryfikujemy niekaralność za przestępstwa przeciwko ochronie informacji. Są to czyny określone w rozdziale XXXIII Kodeksu karnego (art. 265–269b k.k.), obejmujące m.in.:
- ujawnienie lub wykorzystanie informacji niejawnych (art. 265–266 k.k.),
- bezprawne uzyskanie dostępu do informacji lub systemu, tzw. nielegalny dostęp / „hacking” (art. 267 k.k.),
- niszczenie, uszkadzanie lub utrudnianie dostępu do danych, w tym danych informatycznych (art. 268 i 268a k.k.),
- zakłócanie lub paraliżowanie pracy systemu albo sieci, sabotaż komputerowy (art. 269 i 269a k.k.),
- wytwarzanie lub udostępnianie „narzędzi hakerskich”, haseł i kodów dostępu (art. 269b k.k.).
Informacja z KRK ma potwierdzać brak skazania za tę kategorię przestępstw. Nie chodzi o pełną kartotekę karną w innym zakresie, lecz o niekaralność w obszarze ochrony informacji.
W jaki sposób przeprowadza się weryfikację
1. Informacja z Krajowego Rejestru Karnego. Podstawowym dowodem jest informacja z KRK o osobie, stwierdzająca niekaralność za przestępstwa przeciwko ochronie informacji.
Możliwe są dwie drogi jej uzyskania:
- osoba sama przedstawia podmiotowi informację z KRK — tak wprost stanowi art. 8f ust. 1 („osoba, która ma te zadania realizować, przedstawia […] informację”);
- podmiot weryfikuje niekaralność samodzielnie, korzystając z podstawy dodanej w art. 6 ust. 1 pkt 10c ustawy o KRK (w zakresie niezbędnym do weryfikacji osób realizujących zadania z art. 8 i 11).
Informację z KRK uzyskuje się przez system e-KRK (Portal Rejestrów Sądowych) albo w formie papierowej za pośrednictwem Biura Informacyjnego KRK lub punktów informacyjnych przy sądach (zapytanie / wniosek o udzielenie informacji o osobie). Zapytanie podlega opłacie, której wysokość określają odrębne przepisy (wersja elektroniczna jest tańsza).
2. Poświadczenie bezpieczeństwa jako równoważnik. Wymóg uznaje się za spełniony, jeżeli osoba posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3). W takim przypadku odrębna informacja z KRK nie jest potrzebna — weryfikacja niekaralności następuje w ramach postępowania sprawdzającego.
Kiedy i jak często weryfikować
Ustawa wskazuje dwa momenty weryfikacji:
- Przed dopuszczeniem do zadań — obowiązkowo. Informację z KRK przedstawia się przed rozpoczęciem realizacji zadań z art. 8 lub art. 11. Kierownik dopuszcza osobę do tych zadań dopiero po otrzymaniu informacji (art. 8f ust. 1). Jest to warunek wstępny — bez tej informacji osoby nie wolno dopuścić do zadań.
- Ponownie — przy uzasadnionym podejrzeniu. Podmiot wzywa osobę do ponownego przedstawienia informacji z KRK, jeżeli poweźmie uzasadnione podejrzenie, że została ona skazana za przestępstwo przeciwko ochronie informacji (art. 8f ust. 2). Jest to weryfikacja zdarzeniowa (ad hoc), uruchamiana konkretną przesłanką.
Ważne: Ustawa nie ustanawia sztywnego, cyklicznego obowiązku ponawiania weryfikacji (np. co rok). Obowiązkowe są tylko dwa powyższe przypadki: weryfikacja wstępna oraz weryfikacja przy uzasadnionym podejrzeniu.
Rekomendacja (dobra praktyka, nie wymóg ustawowy). Aby zachować należytą staranność i mieć spójną ścieżkę dowodową, warto określić w dokumentacji SZBI własne zasady, np.:
- ponowna weryfikacja przy istotnej zmianie zakresu zadań lub objęciu nowej roli związanej z art. 8/11,
- okresowy przegląd aktualności zaświadczeń w ramach przeglądu SZBI (np. zgodnie z harmonogramem określonym w dokumentacji SZBI),
- jasno opisane przesłanki uznawane za „uzasadnione podejrzenie” oraz tryb postępowania po jego wystąpieniu.
Skutek skazania
Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań z art. 8 ani art. 11 (art. 8f ust. 4). Jest to bezwzględny zakaz — w razie takiego skazania osobę należy odsunąć od tych zadań.
Dokumentowanie i aspekt ochrony danych
Dowód w dokumentacji SZBI. Fakt uzyskania informacji z KRK (lub posiadania ważnego poświadczenia bezpieczeństwa) przed dopuszczeniem do zadań powinien być udokumentowany. To typowy punkt kontrolny — audytor weryfikuje nie tylko, że procedura istnieje, ale że dla konkretnych osób jest dowód jej zastosowania.
Podstawa przetwarzania. Informacja z KRK dotyczy danych o wyrokach skazujących i naruszeniach prawa (art. 10 RODO), których przetwarzanie jest dopuszczalne tylko, gdy zezwala na to przepis prawa. Tutaj podstawę stanowią art. 8f ustawy o KSC oraz art. 6 ust. 1 pkt 10c ustawy o KRK.
Minimalizacja i retencja. Przetwarzaj wyłącznie zakres niezbędny do potwierdzenia niekaralności w obszarze ochrony informacji, ogranicz dostęp do dokumentu, zabezpiecz go i określ okres przechowywania powiązany z okresem realizacji zadań przez daną osobę. Unikaj gromadzenia szerszych danych z kartoteki, niż jest to potrzebne do celu weryfikacji.
Najczęstsze błędy
Dopuszczenie osoby do zadań z art. 8/11 „od ręki”, a uzyskanie informacji z KRK dopiero później — to odwrócenie ustawowej kolejności (informacja musi poprzedzać dopuszczenie).
Pominięcie osób z firm zewnętrznych faktycznie realizujących zadania z art. 8/11.
Traktowanie weryfikacji jako jednorazowej i ignorowanie obowiązku ponownej weryfikacji przy uzasadnionym podejrzeniu (art. 8f ust. 2).
Brak udokumentowania weryfikacji dla konkretnych osób (sama procedura bez dowodów jej stosowania).
Mylenie zakresu — żądanie pełnej informacji o niekaralności zamiast weryfikacji w zakresie przestępstw przeciwko ochronie informacji.
Podstawa prawna — zestawienie
Art. 8f ust. 1 — obowiązek przedstawienia informacji z KRK przed dopuszczeniem do zadań z art. 8 lub art. 11; dopuszczenie przez kierownika po jej otrzymaniu.
Art. 8f ust. 2 — ponowna weryfikacja przy uzasadnionym podejrzeniu skazania.
Art. 8f ust. 3 — równoważność ważnego poświadczenia bezpieczeństwa („poufne” lub wyżej).
Art. 8f ust. 4 — zakaz realizacji zadań przez osobę prawomocnie skazaną.
Art. 8e — coroczne szkolenie kierownika obejmujące m.in. art. 8f ust. 1 i 2.
Art. 8 i art. 11 — zakres zadań, którego dotyczy weryfikacja (SZBI oraz obsługa i zgłaszanie incydentów).
Art. 26d — analogiczne zasady dla krajowych CSIRT (MON / NASK / GOV).
Art. 6 ust. 1 pkt 10c ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym — podstawa uzyskania informacji z KRK przez podmiot.
Rozdział XXXIII Kodeksu karnego (art. 265–269b) — przestępstwa przeciwko ochronie informacji.