Weryfikacja niekaralności personelu — wymóg art. 8f ustawy o KSC

Wymóg ustawowy

Art. 8f ust. 1 ustawy o KSC wprowadza wymóg weryfikacji niekaralności osób realizujących zadania z zakresu systemu zarządzania bezpieczeństwem informacji (art. 8) oraz zgłaszania incydentów (art. 11). Przed rozpoczęciem realizacji tych zadań osoba musi przedstawić podmiotowi kluczowemu lub ważnemu informację z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji.

Zakres przestępstw

Weryfikacja obejmuje przestępstwa z rozdziału XXXIII Kodeksu karnego — przestępstwa przeciwko ochronie informacji. Są to przestępstwa bezpośrednio związane tematycznie z cyberbezpieczeństwem.

• Art. 265 k.k. — ujawnienie informacji niejawnych
• Art. 266 k.k. — ujawnienie informacji służbowych
• Art. 267 k.k. — nielegalne uzyskanie informacji
• Art. 268 k.k. — niszczenie informacji
• Art. 268a k.k. — niszczenie danych w systemach
• Art. 269 k.k. — sabotaż komputerowy
• Art. 269a k.k. — zakłócanie sieci i systemów
• Art. 269b k.k. — bezprawne wykorzystanie programów i danych

Procedura weryfikacji

Informacje o niekaralności są przechowywane w dokumentacji pracowniczej (w przypadku umowy o pracę) lub w dokumentacji związanej z daną umową (w przypadku umów cywilnoprawnych). Zgodnie z RODO — dotyczą danych o karalności w rozumieniu art. 10 RODO — muszą być należycie chronione.

1. Przed dopuszczeniem osoby do zadań z art. 8 lub art. 11 — zażądaj zaświadczenia z KRK.
2. Kierownik podmiotu weryfikuje zaświadczenie i dopuszcza osobę do realizacji zadań.
3. Przechowuj zaświadczenie w dokumentacji pracowniczej lub umownej, zgodnie z RODO.
4. Dotyczy to zarówno pracowników, jak i osób na umowach cywilnoprawnych (zlecenie, B2B).

Wyjątki i ponowna weryfikacja

Ustawa przewiduje dwa istotne wyjątki od standardowej procedury weryfikacji:

• Osoba posiadająca ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli poufne lub wyższej jest zwolniona z obowiązku przedstawienia zaświadczenia z KRK (art. 8f ust. 3).
• Podmiot może wezwać osobę do ponownego przedstawienia zaświadczenia, jeżeli poweźmie uzasadnione podejrzenie o skazaniu za przestępstwo przeciwko ochronie informacji (art. 8f ust. 2). Podejrzenie musi być uzasadnione — samo zgłoszenie anonimowe może nie wystarczyć.

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.