Legalize / Polska / Rozporządzenie

Rozporządzenie Rady Ministrów z dnia 29 maja 2012 r. w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych

Typ Rozporządzenie

Ogłoszono 2012-05-29

Status Obowiązujący

Wydawca RADA MINISTRÓW

Źródło Dziennik Ustaw

Treść rozporządzenia

Na podstawie art. 47 ust. 1 pkt 1 i 3-6 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych zarządza się, co następuje:

§ 1.

Rozporządzenie określa:

1) podstawowe kryteria i sposób określania poziomu zagrożeń;

2) dobór środków bezpieczeństwa fizycznego odpowiednich do wskazanego poziomu zagrożeń;

3) rodzaje zagrożeń, które należy uwzględnić przy określaniu poziomu zagrożeń;

4) podstawowe elementy, które powinien zawierać plan ochrony informacji niejawnych;

5) zakres stosowania środków bezpieczeństwa fizycznego;

6) kryteria tworzenia stref ochronnych.

Przepisów rozporządzenia regulujących sprawy, o których mowa w ust. 1 pkt 2 i 5, nie stosuje się w jednostkach organizacyjnych organów wymienionych w art. 47 ust. 3 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, zwanej dalej „ustawą”, oraz w stosunku do informacji niejawnych wchodzących w skład zasobu archiwalnego archiwów państwowych. W jednostkach organizacyjnych, o których mowa w art. 1 ust. 2 pkt 2 ustawy, nie stosuje się ponadto przepisów rozporządzenia regulujących sprawy, o których mowa w ust. 1 pkt 4 i 6.

§ 2.

Ilekroć w rozporządzeniu jest mowa o:

1) dostępności informacji niejawnej - należy przez to rozumieć właściwość określającą, że informacja niejawna jest możliwa do wykorzystania na żądanie podmiotu uprawnionego w określonym czasie;

2) integralności informacji niejawnej - należy przez to rozumieć właściwość określającą, że informacja niejawna nie została zmodyfikowana w sposób nieuprawniony;

3) poufności informacji niejawnej - należy przez to rozumieć właściwość określającą, że informacja niejawna nie jest ujawniana podmiotom do tego nieuprawnionym;

4) incydencie bezpieczeństwa - należy przez to rozumieć pojedyncze zdarzenie lub serię zdarzeń związanych z bezpieczeństwem informacji niejawnych, które zagrażają ich poufności, dostępności lub integralności.

§ 3.

W ramach systemu bezpieczeństwa fizycznego informacji niejawnych stosuje się środki bezpieczeństwa fizycznego w celu zapewnienia poufności, integralności i dostępności tych informacji.

W celu doboru adekwatnych środków bezpieczeństwa fizycznego określa się poziom zagrożeń związanych z utratą poufności, integralności lub dostępności informacji niejawnych, zwany dalej „poziomem zagrożeń”.

Poziom zagrożeń określa się dla pomieszczenia lub obszaru, w którym są przetwarzane informacje niejawne.

Poziom zagrożeń określa się jako wysoki, średni albo niski.

Przy określaniu poziomu zagrożeń uwzględnia się:

1) zagrożenia naturalne, wynikające z działania sił przyrody lub awarii urządzeń;

2) zagrożenia związane zarówno z umyślnym, jak i nieumyślnym zachowaniem człowieka.

W celu określenia poziomu zagrożeń przeprowadza się analizę, w której uwzględnia się wszystkie istotne czynniki mogące mieć wpływ na bezpieczeństwo informacji niejawnych.

Poziom zagrożeń określa się przed rozpoczęciem przetwarzania informacji niejawnych, a także po każdej zmianie czynników, o których mowa w ust. 6.

Podstawowe kryteria i sposób określania poziomu zagrożeń zawiera załącznik nr 1 do rozporządzenia.

§ 4.

Cel, o którym mowa w § 3 ust. 1, osiąga się przez:

1) zapewnienie właściwego przetwarzania informacji niejawnych;

2) umożliwienie zróżnicowania dostępu do informacji niejawnych dla pracowników zgodnie z posiadanymi przez nich uprawnieniami oraz uzasadnioną potrzebą dostępu do informacji niejawnych;

3) wykrywanie, udaremnianie lub powstrzymywanie działań nieuprawnionych;

4) uniemożliwianie lub opóźnianie wtargnięcia osób nieuprawnionych w sposób niezauważony lub z użyciem siły do pomieszczenia lub obszaru, w którym są przetwarzane informacje niejawne.

Środki bezpieczeństwa fizycznego stosuje się we wszystkich pomieszczeniach i obszarach, w których są przetwarzane informacje niejawne, z zastrzeżeniem § 8 ust. 5.

System środków bezpieczeństwa fizycznego obejmuje stosowanie rozwiązań organizacyjnych, wyposażenia i urządzeń służących ochronie informacji niejawnych oraz elektronicznych systemów pomocniczych wspomagających ochronę informacji niejawnych. W zależności od poziomu zagrożeń określonego w wyniku przeprowadzenia analizy, o której mowa w § 3 ust. 6, stosuje się odpowiednią kombinację następujących środków bezpieczeństwa fizycznego:

1) personel bezpieczeństwa - osoby przeszkolone, nadzorowane, a w razie konieczności posiadające odpowiednie uprawnienie do dostępu do informacji niejawnych, wykonujące czynności związane z fizyczną ochroną informacji niejawnych, w tym kontrolę dostępu do pomieszczeń lub obszarów, w których są przetwarzane informacje niejawne, nadzór nad systemem dozoru wizyjnego, a także reagowanie na alarmy lub sygnały awaryjne;

2) bariery fizyczne - środki chroniące granice miejsca, w którym są przetwarzane informacje niejawne, w szczególności ogrodzenia, ściany, bramy, drzwi i okna;

3) szafy i zamki - stosowane do przechowywania informacji niejawnych lub zabezpieczające te informacje przed nieuprawnionym dostępem;

4) system kontroli dostępu - obejmujący elektroniczny system pomocniczy lub rozwiązanie organizacyjne, stosowany w celu zagwarantowania uzyskiwania dostępu do pomieszczenia lub obszaru, w którym są przetwarzane informacje niejawne, wyłącznie przez osoby posiadające odpowiednie uprawnienia;

5) system sygnalizacji włamania i napadu - elektroniczny system pomocniczy stosowany w celu realizacji procedur ochrony informacji niejawnych oraz podwyższenia poziomu bezpieczeństwa, który zapewniają bariery fizyczne, a w pomieszczeniach i budynkach zastępujący lub wspierający personel bezpieczeństwa;

6) system dozoru wizyjnego - elektroniczny system pomocniczy stosowany w celu bieżącego monitorowania ochronnego lub sprawdzania incydentów bezpieczeństwa i sygnałów alarmowych przez personel bezpieczeństwa;

7) system kontroli osób i przedmiotów - obejmujący elektroniczny system pomocniczy lub rozwiązanie organizacyjne polegające na zwracaniu się o dobrowolne poddanie się kontroli lub udostępnienie do kontroli rzeczy osobistych, a także przedmiotów wnoszonych lub wynoszonych - stosowany w celu zapobiegania próbom nieuprawnionego wnoszenia na chroniony obszar rzeczy zagrażających bezpieczeństwu informacji niejawnych lub nieuprawnionego wynoszenia informacji niejawnych z budynków lub obiektów.

W celu zapewnienia poufności, integralności i dostępności informacji niejawnych można zastosować również środki bezpieczeństwa fizycznego inne niż wymienione w ust. 3, jeżeli taka potrzeba wynika z analizy poziomu zagrożeń.

Jeżeli istnieje zagrożenie podglądu, także przypadkowego, informacji niejawnych, zarówno w świetle dziennym, jak i w warunkach sztucznego oświetlenia, podejmuje się działania w celu wyeliminowania takiego zagrożenia.

Elektroniczny system pomocniczy wspomagający ochronę informacji niejawnych powinien posiadać wydane przez dostawcę, z uwzględnieniem przepisów o systemie oceny zgodności, poświadczenie zgodności z wymogami określonymi w rozporządzeniu.

Metodykę doboru środków bezpieczeństwa fizycznego określa załącznik nr 2 do rozporządzenia.

§ 5.

Tworzy się następujące strefy ochronne:

1) strefę ochronną I - obejmującą pomieszczenie lub obszar, w których informacje niejawne o klauzuli „poufne” lub wyższej są przetwarzane w taki sposób, że wstęp do tego pomieszczenia lub obszaru umożliwia uzyskanie bezpośredniego dostępu do tych informacji; pomieszczenie lub obszar spełniają następujące wymagania:

wyraźnie wskazana w planie ochrony najwyższa klauzula tajności przetwarzanych informacji niejawnych,

wyraźnie określone i zabezpieczone granice,

wprowadzony system kontroli dostępu zezwalający na wstęp osób, które posiadają odpowiednie uprawnienie do dostępu do informacji niejawnych w zakresie niezbędnym do wykonywania pracy lub pełnienia służby albo wykonywania czynności zleconych,

w przypadku konieczności wstępu osób innych niż te, o których mowa w lit. c, przetwarzane informacje niejawne zabezpiecza się przed możliwością dostępu do nich tych innych osób oraz zapewnia się nadzór osoby uprawnionej lub równoważne mechanizmy kontrolne,

wstęp możliwy jest wyłącznie ze strefy ochronnej;

2) strefę ochronną II - obejmującą pomieszczenie lub obszar, w którym informacje niejawne o klauzuli „poufne” lub wyższej są przetwarzane w taki sposób, że wstęp do tego pomieszczenia lub obszaru nie umożliwia uzyskania bezpośredniego dostępu do tych informacji; pomieszczenie lub obszar spełniają następujące wymagania:

wyraźnie określone i zabezpieczone granice,

w przypadku konieczności wstępu osób innych niż te, o których mowa w lit. b, zapewnia się nadzór osoby uprawnionej lub równoważne mechanizmy kontrolne,

wstęp możliwy jest wyłącznie ze strefy ochronnej;

3) strefę ochronną III - obejmującą pomieszczenie lub obszar wymagający wyraźnego określenia granic, w obrębie których jest możliwe kontrolowanie osób i pojazdów;

4) specjalną strefę ochronną - umiejscowioną w obrębie strefy ochronnej I lub strefy ochronnej II, chronioną przed podsłuchem, spełniającą dodatkowo następujące wymagania:

strefę wyposaża się w system sygnalizacji włamania i napadu,

strefa pozostaje zamknięta, gdy nikogo w niej nie ma,

w przypadku posiedzenia niejawnego strefa jest chroniona przed wstępem osób nieupoważnionych do udziału w tym posiedzeniu,

strefa podlega regularnym inspekcjom przeprowadzanym według zaleceń Agencji Bezpieczeństwa Wewnętrznego albo Służby Kontrwywiadu Wojskowego, nie rzadziej niż raz w roku oraz po każdym nieuprawnionym wejściu do strefy lub podejrzeniu, że takie wejście mogło mieć miejsce,

w strefie nie mogą znajdować się linie komunikacyjne, telefony, inne urządzenia komunikacyjne ani sprzęt elektryczny lub elektroniczny, których umieszczenie nie zostało zaakceptowane w sposób określony w procedurach bezpieczeństwa, o których mowa w § 9 ust. 1 pkt 4.

Pomieszczenie lub obszar w każdej strefie ochronnej, w których praca nie odbywa się w systemie całodobowym, sprawdza się bezpośrednio po zakończeniu pracy w celu upewnienia się, że informacje niejawne zostały właściwie zabezpieczone.

W strefie ochronnej I lub w strefie ochronnej II można utworzyć pomieszczenie wzmocnione. Konstrukcja pomieszczenia powinna zapewniać ochronę równoważną ochronie zapewnianej przez odpowiednie szafy przeznaczone do przechowywania informacji niejawnych o tej samej klauzuli tajności. W pomieszczeniu wzmocnionym dopuszczalne jest przechowywanie informacji niejawnych poza odpowiednimi szafami.

Strefę ochronną I, strefę ochronną II lub specjalną strefę ochronną można utworzyć tymczasowo w strefie ochronnej III w celu odbycia posiedzenia niejawnego.

§ 6.

Klucze i kody dostępu do szaf, pomieszczeń lub obszarów, w których są przetwarzane informacje niejawne, mogą być udostępnione tylko tym osobom, którym posiadanie kluczy lub znajomość kodów są niezbędne do wykonywania obowiązków służbowych. Kody zmienia się co najmniej raz w roku, a także w przypadku:

1) każdej zmiany składu osób znających kod;

2) zaistnienia podejrzenia, że osoba nieuprawniona mogła poznać kod;

3) gdy zamek poddano konserwacji lub naprawie.

§ 7.

Informacje niejawne o klauzuli „ściśle tajne” przetwarza się w strefie ochronnej I lub w strefie ochronnej II i przechowuje się w szafie metalowej spełniającej co najmniej wymagania klasy odporności na włamanie S2, określone w Polskiej Normie PN-EN 14450 lub nowszej, lub w pomieszczeniu wzmocnionym, z zastosowaniem jednego z poniższych środków uzupełniających:

1) stała ochrona lub kontrola w nieregularnych odstępach czasu przez pracownika personelu bezpieczeństwa posiadającego odpowiednie poświadczenie bezpieczeństwa, w szczególności z wykorzystaniem systemu dozoru wizyjnego z obowiązkową rejestracją w rozdzielczości nie mniejszej niż 400 linii telewizyjnych i przechowywaniem zarejestrowanego zapisu przez czas nie krótszy niż 30 dni;

2) system sygnalizacji włamania i napadu obsługiwany przez personel bezpieczeństwa z wykorzystaniem systemu dozoru wizyjnego, o którym mowa w pkt 1.

Informacje niejawne o klauzuli „tajne” przetwarza się w strefie ochronnej I lub w strefie ochronnej II i przechowuje się w szafie metalowej spełniającej co najmniej wymagania klasy odporności na włamanie S1, określone w Polskiej Normie PN-EN 14450 lub nowszej, lub w pomieszczeniu wzmocnionym.

Informacje niejawne o klauzuli „poufne”:

1) przetwarza się w strefie ochronnej I, II lub III;

2) przechowuje się w strefie ochronnej I lub w strefie ochronnej II w szafie metalowej lub w pomieszczeniu wzmocnionym.

Informacje niejawne o klauzuli „zastrzeżone” przetwarza się w pomieszczeniu lub obszarze wyposażonych w system kontroli dostępu i przechowuje się w szafie metalowej, pomieszczeniu wzmocnionym lub zamkniętym na klucz meblu biurowym.

§ 8.

Przetwarzanie informacji niejawnych o klauzuli „poufne” lub wyższej w systemach teleinformatycznych odbywa się w strefie ochronnej I lub w strefie ochronnej II, w warunkach uwzględniających wyniki procesu szacowania ryzyka, o którym mowa w art. 49 ust. 1 ustawy.

Przekazywanie informacji, o których mowa w ust. 1, odbywa się w strefie ochronnej, na podstawie wyników procesu szacowania ryzyka, o którym mowa w art. 49 ust. 1 ustawy.

Przetwarzanie informacji niejawnych o klauzuli „zastrzeżone” w systemach teleinformatycznych odbywa się w pomieszczeniu lub obszarze wyposażonych w system kontroli dostępu, w warunkach uwzględniających wyniki procesu szacowania ryzyka, o którym mowa w art. 49 ust. 1 ustawy.

Serwery, systemy zarządzania siecią, kontrolery sieciowe i inne newralgiczne elementy systemów teleinformatycznych umieszcza się, z uwzględnieniem wyników procesu szacowania ryzyka, o którym mowa w art. 49 ust. 1 ustawy, w następujący sposób:

1) w strefie ochronnej w przypadku przetwarzania informacji niejawnych o klauzuli „zastrzeżone”;

2) w strefie ochronnej I lub w strefie ochronnej II, w przypadku przetwarzania informacji niejawnych o klauzuli „poufne” lub wyższej.

Przetwarzanie informacji niejawnych w części mobilnej zasobów systemu teleinformatycznego odbywa się na podstawie wyników procesu szacowania ryzyka, o którym mowa w art. 49 ust. 1 ustawy, w sposób określony w dokumentacji bezpieczeństwa systemu teleinformatycznego.

§ 9.

Kierownik jednostki organizacyjnej zatwierdza plan ochrony informacji niejawnych, który zawiera:

1) opis stref ochronnych, pomieszczeń lub obszarów, o których mowa w § 7 ust. 4, w tym określenie ich granic i wprowadzonego systemu kontroli dostępu;

2) procedury zarządzania uprawnieniami do wejścia, wyjścia i przebywania w strefach ochronnych;

3) opis zastosowanych środków bezpieczeństwa fizycznego uwzględniający certyfikaty, o których mowa w art. 46 pkt 4 ustawy, oraz poświadczenia, o których mowa w § 4 ust. 6;

4) procedury bezpieczeństwa dla strefy ochronnej I, strefy ochronnej II oraz specjalnej strefy ochronnej, określające w szczególności:

Niniejszy dokument nie zastępuje oficjalnej publikacji w Dzienniku Ustaw Rzeczypospolitej Polskiej. Nie ponosimy odpowiedzialności za ewentualne nieścisłości wynikające z transkrypcji oryginału do tego formatu.