Wymóg ustawowy
Art. 8f ust. 1 ustawy o KSC wprowadza wymóg weryfikacji niekaralności osób realizujących zadania z zakresu systemu zarządzania bezpieczeństwem informacji (art. 8) oraz zgłaszania incydentów (art. 11). Przed rozpoczęciem realizacji tych zadań osoba musi przedstawić podmiotowi kluczowemu lub ważnemu informację z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji.
Zakres przestępstw
Weryfikacja obejmuje przestępstwa z rozdziału XXXIII Kodeksu karnego — przestępstwa przeciwko ochronie informacji. Są to przestępstwa bezpośrednio związane tematycznie z cyberbezpieczeństwem.
- Art. 265 k.k. — ujawnienie informacji niejawnych
- Art. 266 k.k. — ujawnienie informacji służbowych
- Art. 267 k.k. — nielegalne uzyskanie informacji
- Art. 268 k.k. — niszczenie informacji
- Art. 268a k.k. — niszczenie danych w systemach
- Art. 269 k.k. — sabotaż komputerowy
- Art. 269a k.k. — zakłócanie sieci i systemów
- Art. 269b k.k. — bezprawne wykorzystanie programów i danych
Procedura weryfikacji
Informacje o niekaralności są przechowywane w dokumentacji pracowniczej (w przypadku umowy o pracę) lub w dokumentacji związanej z daną umową (w przypadku umów cywilnoprawnych). Zgodnie z RODO — dotyczą danych o karalności w rozumieniu art. 10 RODO — muszą być należycie chronione.
- Przed dopuszczeniem osoby do zadań z art. 8 lub art. 11 — zażądaj zaświadczenia z KRK.
- Kierownik podmiotu weryfikuje zaświadczenie i dopuszcza osobę do realizacji zadań.
- Przechowuj zaświadczenie w dokumentacji pracowniczej lub umownej, zgodnie z RODO.
- Dotyczy to zarówno pracowników, jak i osób na umowach cywilnoprawnych (zlecenie, B2B).
Wyjątki i ponowna weryfikacja
Ustawa przewiduje dwa istotne wyjątki od standardowej procedury weryfikacji:
- Osoba posiadająca ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli poufne lub wyższej jest zwolniona z obowiązku przedstawienia zaświadczenia z KRK (art. 8f ust. 3).
- Podmiot może wezwać osobę do ponownego przedstawienia zaświadczenia, jeżeli poweźmie uzasadnione podejrzenie o skazaniu za przestępstwo przeciwko ochronie informacji (art. 8f ust. 2). Podejrzenie musi być uzasadnione — samo zgłoszenie anonimowe może nie wystarczyć.
Kto podlega weryfikacji
Obowiązek weryfikacji niekaralności dotyczy wszystkich osób realizujących zadania z zakresu systemu zarządzania bezpieczeństwem informacji (SZBI) oraz zgłaszania i obsługi incydentów. W praktyce oznacza to szeroką grupę osób — nie tylko pracowników etatowych, ale również współpracowników zewnętrznych i podwykonawców. Kierownik podmiotu kluczowego lub ważnego jest odpowiedzialny za dopuszczenie tych osób do realizacji zadań dopiero po uzyskaniu potwierdzenia niekaralności.
- Kierownik podmiotu kluczowego lub ważnego — jako osoba odpowiedzialna za wdrożenie SZBI (art. 8 ust. 1), sam podlega weryfikacji, jeżeli bezpośrednio realizuje zadania z zakresu SZBI
- Personel kluczowy ds. cyberbezpieczeństwa — administratorzy systemów, analitycy SOC, osoby zarządzające incydentami, specjaliści ds. bezpieczeństwa IT
- Osoby zgłaszające incydenty do CSIRT-ów — pracownicy odpowiedzialni za kontakt z CSIRT NASK, CSIRT GOV lub CSIRT MON w ramach art. 11
- Podwykonawcy i osoby na umowach cywilnoprawnych (B2B, zlecenie) — jeżeli realizują zadania z zakresu art. 8 lub art. 11, podlegają identycznym wymogom jak pracownicy etatowi
- Audytorzy wewnętrzni SZBI — o ile ich rola obejmuje bezpośrednie zadania z zakresu zarządzania bezpieczeństwem informacji
Procedura uzyskania zaświadczenia z KRK
Zaświadczenie o niekaralności uzyskuje się z Krajowego Rejestru Karnego (KRK) prowadzonego przez Ministerstwo Sprawiedliwości. Wniosek można złożyć osobiście w biurze informacyjnym KRK, w wybranym sądzie okręgowym lub elektronicznie za pośrednictwem systemu e-KRK (wymagany profil zaufany lub kwalifikowany podpis elektroniczny). Opłata za wydanie zaświadczenia wynosi 30 zł (wniosek papierowy) lub 20 zł (wniosek elektroniczny).
- Osoba składa wniosek o wydanie zaświadczenia z KRK — samodzielnie lub na wezwanie podmiotu. We wniosku należy wskazać zakres zapytania: przestępstwa z rozdziału XXXIII Kodeksu karnego.
- Po otrzymaniu zaświadczenia osoba przekazuje je kierownikowi podmiotu kluczowego lub ważnego.
- Kierownik weryfikuje treść zaświadczenia — potwierdza brak skazania za przestępstwa przeciwko ochronie informacji.
- Po pozytywnej weryfikacji kierownik dopuszcza osobę do realizacji zadań z zakresu SZBI lub obsługi incydentów.
- Zaświadczenie jest przechowywane w dokumentacji pracowniczej (umowa o pracę) lub dokumentacji umownej (umowy cywilnoprawne), z zachowaniem wymogów art. 10 RODO dotyczących danych o karalności.
Częstotliwość weryfikacji i konsekwencje
Ustawa o KSC nie określa wprost częstotliwości ponownej weryfikacji niekaralności. Zaświadczenie z KRK jest dokumentem aktualnym na dzień jego wydania — nie ma ustawowego terminu ważności. W praktyce podmioty powinny rozważyć wdrożenie wewnętrznej polityki okresowej weryfikacji, np. co 12 lub 24 miesiące, aby zapewnić ciągłą zgodność z wymogiem art. 8f. Spełnienie tego obowiązku jest jednym z elementów weryfikowanych podczas audytu bezpieczeństwa KSC. Ponowna weryfikacja jest natomiast obowiązkowa w przypadku uzasadnionego podejrzenia skazania (art. 8f ust. 2).