Obsah (4)

§ 14§ 15§ 10§ 18

Rozporządzenie Ministra Obrony Naro Dowejz dnia 29 września 2022 r.w sprawie trybu oceny i sposobu dopuszczania rozwiązań informatycznych, w których mają być przetwarzane informacje niejawne Treść roz

ust. 2, stosuje się, w zależności od możliwości technicznych oraz poziomu ryzyka ujawnienia, utraty lub naruszenia integralności informacji niejawnych, odpowiednio do zadań realizowanych przy wykorzystywaniu rozwiązań informatycznych: 1) zabezpieczenia realizujące kontrolę dostępu do zasobów rozwiązań informatycznych, w szczególności zapewnienie ochrony fizycznej ich komponentów; 2) warunki i sposób przydziału uprawnień do eksploatacji rozwiązań informatycznych; 3) procedury postępowania związane z wykorzystywaniem rozwiązań informatycznych, w tym w czasie wojny, w razie ogłoszenia stanu nadzwyczajnego, mobilizacji lub sytuacji kryzysowej; 4) środki zapewniające ochronę transmisji danych przed wykryciem, przechwyceniem lub zakłóceniem; 5) środki zapewniające ochronę elektromagnetyczną; 6) mechanizmy lub procedury dotyczące reagowania na incydenty; 7) inne niezbędne procedury i mechanizmy zabezpieczania informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego. 4. Działania,

ust. 3, opisuje się szczegółowo w dokumencie „Wymagania ochrony informacji niejawnych” opracowywanym dla danego rozwiązania informatycznego. §

2. W celu zagwarantowania poufności i integralności informacji niejawnych przekazywanych przez komponenty rozwiązań informatycznych, w formie transmisji poza obszarami objętymi ochroną fizyczną, stosuje się ochronę kryptograficzną.
3. Doboru rozwiązań z zakresu ochrony kryptograficznej,

ust. 1, dokonuje się z uwzględnieniem wyników procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych za pomocą rozwiązania informatycznego oraz opinii Dowództwa Komponentu Wojsk Obrony Cyberprzestrzeni. §

1. W celu zagwarantowania poufności informacji niejawnych przetwarzanych przy użyciu rozwiązań informatycznych, zagrożonych w wyniku elektromagnetycznej emisji ujawniającej, rozwiązania z zakresu ochrony elektromagnetycznej dobiera się z uwzględnieniem wyników procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych. W szczególnym przypadku rozwiązania informatyczne lub ich komponenty mogą podlegać badaniom poziomu ich emisyjności w celu zapewnienia właściwej ochrony elektromagnetycznej, z uwzględnieniem zaleceń. §
2. W celu zagwarantowania realizacji procesu wykrywania incydentów, a także zapewnienia niezwłocznego informowania odpowiednich osób o wykrytym incydencie, w dokumencie „Wymagania ochrony informacji niejawnych” stosuje się procedury reagowania na incydenty związane z przetwarzaniem informacji niejawnych za pomocą rozwiązań informatycznych. §
3. W celu zapewnienia właściwej ochrony informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego na niejawnych wymiennych informatycznych nośnikach danych, które można wyodrębnić z rozwiązania informatycznego, stosuje się procedury właściwe dla ochrony materiału niejawnego w rozumieniu art. 2 pkt 4 ustawy, stosownie do najwyższej klauzuli przechowywanych informacji. §
5. Rozwiązania informatyczne dopuszczone do przetwarzania informacji niejawnych mogą wymieniać informacje niejawne z systemami teleinformatycznymi posiadającymi akredytację bezpieczeństwa teleinformatycznego w rozumieniu przepisów ustawy z zastosowaniem wyłącznie procedur określonych w dokumencie „Wymagania ochrony informacji niejawnych”, które zostały uwzględnione w dokumentacji szczególnych wymagań bezpieczeństwa oraz procedur bezpiecznej eksploatacji dla przedmiotowego systemu, wykonanymi według wymagań ustawy.
6. Wymianę informacji, o której mowa w ust. 1, realizuje się, zapewniając minimalizację wymienianych danych, stosownie do sytuacji i realizowanych zadań, oraz odpowiednio uwzględnia się wymaganie ograniczonego zaufania, o którym mowa w przepisach wydanych na podstawie art. 49 ust. 9 ustawy, z tym zastrzeżeniem, że potencjalnym źródłem zagrożeń może być zarówno inny system teleinformatyczny, jak i inne rozwiązanie informatyczne. §
7. Dopuszczenie rozwiązania informatycznego do przetwarzania informacji niejawnych realizuje się przed rozpoczęciem przetwarzania informacji niejawnych w ramach jego eksploatacji. §
9. W celu dopuszczenia rozwiązań informatycznych do przetwarzania informacji niejawnych, w rozumieniu art. 51 ust. 3 ustawy, opracowuje się dokument „Wymagania ochrony informacji niejawnych”.
10. Dokument „Wymagania ochrony informacji niejawnych” zawiera informacje o: 1) rodzajach oraz najwyższej klauzuli informacji niejawnych, które mogą być przetwarzane za pomocą rozwiązania informatycznego; 2) przeznaczeniu rozwiązania informatycznego; 3) podmiotach uprawnionych do eksploatacji rozwiązania informatycznego; 4) podmiocie sprawującym nadzór nad eksploatacją zgodną z warunkami określonymi w dokumencie „Wymagania ochrony informacji niejawnych”; 5) wymaganych środkach w zakresie bezpieczeństwa osobowego przed dopuszczeniem do pracy z wykorzystaniem rozwiązania informatycznego; 6) środkach ochrony fizycznej komponentów rozwiązania informatycznego; 7) rozwiązaniach w zakresie zapewnienia ochrony elektromagnetycznej; 8) stosowaniu ochrony kryptograficznej lub innych rozwiązań w zakresie bezpieczeństwa transmisji; 9) certyfikatach lub innych dokumentach potwierdzających ocenę bezpieczeństwa rozwiązania informatycznego lub jego komponentu wydanych przez krajowe władze bezpieczeństwa państwa członkowskiego NATO lub UE lub właściwy organ NATO lub UE; 10) ochronie nośników danych, w szczególności ich ochronie fizycznej; 11) procedurach wykorzystania rozwiązania informatycznego w stanach nadzwyczajnych, w tym w czasie wojny, w razie ogłoszenia stanu nadzwyczajnego, mobilizacji lub sytuacji kryzysowej; 12) niezbędnych szkoleniach dla podmiotów użytkujących rozwiązania informatyczne; 13) procedurach wymiany danych z systemami teleinformatycznymi posiadającymi akredytację bezpieczeństwa teleinformatycznego oraz systemami informacyjnymi,

art. 2 pkt 14 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa; 14) procedurach reagowania na incydenty związane z eksploatacją rozwiązania informatycznego; 15) procedurach reagowania na incydenty związane z przetwarzaniem informacji niejawnych za pomocą rozwiązań informatycznych; 16) wynikach procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego; 17) przyjętych w ramach zarządzania ryzykiem sposobów osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego; 18) aspektach budowy, dostępnych trybów pracy, działania i eksploatacji rozwiązania informatycznego, które mają związek z bezpieczeństwem informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego lub wpływają na ich bezpieczeństwo; 19) oświadczeniu zrealizowania procesu oceny bezpieczeństwa rozwiązania informatycznego zgodnie z wymogami niniejszego rozporządzenia; 20) wykazie zaleceń i wymagań dla głównego użytkownika; 21) innych danych niezbędnych do prawidłowego wdrożenia rozwiązania informatycznego oraz prawidłowej ochrony informacji niejawnych. § 13. Tryb oceny bezpieczeństwa rozwiązania informatycznego przeznaczonego do przetwarzania informacji niejawnych realizowany przez: 1) Szefa Sztabu Generalnego Wojska Polskiego, zwanego dalej „Szefem Sztabu Generalnego WP” - obejmuje czynności,

§ 14

pkt 2 i 3; 2) gestora rozwiązania informatycznego - obejmuje czynności,

§ 15. § 14.

W zakresie czynności realizowanych w ramach trybu oceny rozwiązania informatycznego przeznaczonego do przetwarzania informacji niejawnych Szef Sztabu Generalnego WP podejmuje następujące czynności: 1) wyznacza, w formie rozkazu, gestora rozwiązania informatycznego oraz wyznacza lub wskazuje eksperckie jednostki wspierające; 2) akceptuje wyniki procesu szacowania ryzyka zrealizowanego przez gestora rozwiązania informatycznego oraz zapewnia właściwą organizację ochrony informacji niejawnych, związanej z eksploatacją rozwiązania informatycznego w Siłach Zbrojnych Rzeczypospolitej Polskiej, z uwzględnieniem wyników przedmiotowego procesu; 3) zatwierdza i przesyła do SKW dokument „Wymagania ochrony informacji niejawnych”; 4) nadzoruje realizację zadań przez gestora rozwiązania informatycznego; 5) informuje SKW, w formie pisemnej, o wycofaniu rozwiązania informatycznego z eksploatacji; 6) prowadzi wykaz rozwiązań informatycznych dopuszczonych do przetwarzania informacji niejawnych przez SKW. §

2. W zakresie czynności realizowanych w ramach trybu oceny rozwiązania informatycznego przeznaczonego do przetwarzania informacji niejawnych gestor rozwiązania informatycznego, na etapie planowania, projektowania i pozyskania rozwiązania informatycznego: 1) analizuje kierunki zastosowania rozwiązania informatycznego w Siłach Zbrojnych Rzeczypospolitej Polskiej, w tym w czasie wojny, w razie ogłoszenia stanu nadzwyczajnego, mobilizacji lub sytuacji kryzysowej; 2) analizuje funkcjonalności zabezpieczeń dostarczanych przez dane rozwiązanie informatyczne, które mogą zostać zastosowane do zabezpieczenia poufności, integralności i dostępności informacji niejawnych; 3) przeprowadza proces wstępnego szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych z zastosowaniem rozwiązania informatycznego; 4) projektuje zbiór dodatkowych zabezpieczeń, z uwzględnieniem wymogów określonych w § 5 ust. 2 i 3 oraz z uwzględnieniem wyników realizacji czynności,

pkt 1-3; 5) współpracuje z instytucjami odpowiedzialnymi za pozyskanie i wprowadzenie na wyposażenie Sił Zbrojnych Rzeczypospolitej Polskiej „SpW” zawierającego rozwiązania informatyczne lub ich komponenty; 6) współpracuje z eksperckimi jednostkami wspierającymi,

§ 14pkt 1.

1. Na etapie, o którym mowa w ust. 1, gestor rozwiązania informatycznego może opracować i uzgodnić z SKW plan dopuszczenia rozwiązania informatycznego. Plan ten obejmuje zakres i harmonogram przedsięwzięć wymaganych do uzyskania dopuszczenia rozwiązania informatycznego do przetwarzania informacji niejawnych. Opracowanie planu możliwe jest w przypadkach rozpatrywania szczególnie skomplikowanych rozwiązań informatycznych.
2. Na etapie wdrażania rozwiązania informatycznego gestor rozwiązania informatycznego odpowiada za: 1) analizę funkcjonalności dodatkowych zabezpieczeń zastosowanych do wzmocnienia poziomu ochrony dostarczanych przez dane rozwiązanie informatyczne, które mogą zostać zastosowane do zabezpieczenia poufności, integralności i dostępności przetwarzanych informacji niejawnych; 2) przeprowadzenie procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych z zastosowaniem rozwiązania informatycznego, z uwzględnieniem przepisów ustawy; 3) opracowanie procedur wymiany informacji oraz stosowanie dodatkowych zabezpieczeń na styku z systemami teleinformatycznymi, z uwzględnieniem postanowień,

§ 10

; 4) zaplanowanie i przeprowadzenie testów bezpieczeństwa we współpracy z Dowódcą Komponentu Wojsk Obrony Cyberprzestrzeni; 5) opracowanie dokumentu „Wymagania ochrony informacji niejawnych” dla danego rozwiązania informatycznego; 6) współpracę z eksperckimi jednostkami wspierającymi,

§ 14

pkt 1; 7) uzgodnienie dokumentu „Wymagania ochrony informacji niejawnych” z właściwym pełnomocnikiem do spraw ochrony informacji niejawnych oraz Dowódcą Komponentu Wojsk Obrony Cyberprzestrzeni.

1. Na etapie eksploatacji rozwiązania informatycznego gestor rozwiązania informatycznego odpowiada za: 1) nadzór nad utrzymywaniem zgodności eksploatacji rozwiązania informatycznego z dokumentem „Wymagania ochrony informacji niejawnych”; 2) prowadzenie szkoleń w zakresie eksploatacji rozwiązania informatycznego zgodnie z dokumentem „Wymagania ochrony informacji niejawnych”; 3) bieżące monitorowanie podatności, zagrożeń, poziomu ryzyka, oraz w miarę potrzeb wprowadzanie adekwatnych zmian w dokumencie „Wymagania ochrony informacji niejawnych”; 4) konsultowanie, w przypadku dostrzeżenia takiej potrzeby, planowanych do wprowadzenia zmian z właściwym pełnomocnikiem do spraw ochrony informacji niejawnych lub Dowódcą Komponentu Wojsk Obrony Cyberprzestrzeni.
2. Na etapie wycofywania rozwiązania informatycznego gestor rozwiązania informatycznego odpowiada za koordynowanie przedsięwzięć związanych z wycofaniem z wyposażenia Sił Zbrojnych Rzeczypospolitej Polskiej rozwiązania informatycznego. §
3. Główny użytkownik, w ramach dopuszczenia rozwiązania informatycznego na etapie eksploatacji i wycofywania, odpowiada za przestrzeganie wymagań i zaleceń określonych w dokumencie „Wymagania ochrony informacji niejawnych”. §
4. W zakresie czynności realizowanych w ramach trybu oceny rozwiązania informatycznego przeznaczonego do przetwarzania informacji niejawnych ekspercka jednostka wspierająca, o której mowa w § 14 pkt 1, jest obowiązana udzielać pomocy gestorowi w procesie oceny i dopuszczenia rozwiązania informatycznego do przetwarzania informacji niejawnych - zgodnie z zakresem posiadanych kompetencji. §
5. W celu dopuszczenia rozwiązania informatycznego do przetwarzania informacji niejawnych dokument „Wymagania ochrony informacji niejawnych” jest opracowywany przez gestora rozwiązania informatycznego, a następnie podlega uzgodnieniu z: 1) właściwym pełnomocnikiem do spraw ochrony informacji niejawnych - w zakresie zgodności z przepisami ustawy; 2) Dowódcą Komponentu Wojsk Obrony Cyberprzestrzeni - w zakresie zapewnienia odporności rozwiązania informatycznego na zagrożenia pochodzące z cyberprzestrzeni przy zastosowaniu rozwiązań w nim opisanych. §
6. W ramach trybu dopuszczenia rozwiązania informatycznego do przetwarzania informacji niejawnych uzgodniony dokument „Wymagania ochrony informacji niejawnych”, podpisany przez gestora rozwiązania informatycznego, po zatwierdzeniu, Szef Sztabu Generalnego WP przesyła do SKW. W przypadku braku uzgodnień,

§ 18, dokument nie jest rozpatrywany.

§

2. SKW rozstrzyga w przedmiocie dopuszczenia rozwiązania informatycznego po otrzymaniu dokumentu „Wymagania ochrony informacji niejawnych”. O dopuszczeniu rozwiązania informatycznego SKW informuje, w formie pisemnej, Szefa Sztabu Generalnego WP.
3. Rozstrzygnięcie w przedmiocie dopuszczenia rozwiązania informatycznego jest podejmowane bez zbędnej zwłoki, jednak nie później niż w ciągu 3 miesięcy od dnia otrzymania dokumentu „Wymagania ochrony informacji niejawnych”.
4. W sprawach szczególnie skomplikowanych rozstrzygnięcie w przedmiocie dopuszczenia rozwiązania informatycznego jest podejmowane nie później niż w ciągu 6 miesięcy od dnia otrzymania dokumentu „Wymagania ochrony informacji niejawnych”.
5. SKW, na podstawie wyników oceny bezpieczeństwa rozwiązania informatycznego, przy uwzględnieniu poziomu zagrożenia bezpieczeństwa informacji niejawnych, określa termin ważności dopuszczenia, a także może skrócić jego termin ważności, zawiesić dopuszczenie lub je cofnąć w każdym czasie. O wyniku rozstrzygnięcia informuje, w formie pisemnej, Szefa Sztabu Generalnego WP. §
6. Brak informacji o dopuszczeniu rozwiązania informatycznego, o której mowa w § 20 ust. 1, jest równoznaczny z brakiem dopuszczenia rozwiązania informatycznego do przetwarzania informacji niejawnych. §
8. W ramach trybu dopuszczenia rozwiązań informatycznych do przetwarzania informacji niejawnych, po uzyskaniu dopuszczenia SKW, Szef Sztabu Generalnego WP umieszcza dane rozwiązanie w wykazie rozwiązań informatycznych dopuszczonych do przetwarzania informacji niejawnych.
9. Wykaz, o którym mowa w ust. 1, zawiera: 1) nazwę rozwiązania informatycznego; 2) maksymalną klauzulę tajności informacji niejawnych, do których przetwarzania rozwiązanie informatyczne zostało dopuszczone; 3) gestora rozwiązania informatycznego; 4) okres ważności dopuszczenia rozwiązania informatycznego; 5) inne dane niezbędne do prawidłowego wdrożenia rozwiązania informatycznego. §
11. W przypadku wprowadzania zmian w dokumencie „Wymagania ochrony informacji niejawnych” w ramach trybu dopuszczania rozwiązań informatycznych do przetwarzania informacji niejawnych, przepisy § 15-20 stosuje się odpowiednio.
12. Aktualizacja dokumentu, o którym mowa w ust. 1, może odbywać się w formie aneksu. §
13. Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia. Pokaż całość