Bezpieczeństwo przemysłowe dla firm

Czym jest bezpieczeństwo przemysłowe

Bezpieczeństwo przemysłowe to część systemu ochrony informacji niejawnych, która dotyczy przedsiębiorców — firm wykonujących umowy albo zadania wynikające z przepisów prawa, z którymi wiąże się dostęp do informacji niejawnych. Warunkiem takiego dostępu jest zdolność przedsiębiorcy do ochrony informacji niejawnych (art. 54 ust. 1 ustawy z 5 sierpnia 2010 r. o ochronie informacji niejawnych).

W praktyce oznacza to wdrożenie odpowiednich procedur organizacyjnych i technicznych, zabezpieczenie pomieszczeń, ochronę dokumentacji i systemów, kontrolę dostępu oraz szkolenie osób, które mają kontakt z informacjami niejawnymi. Dla wielu firm to także warunek udziału w zamówieniach i kontraktach z instytucjami państwowymi.

Świadectwo dla firmy, poświadczenia dla ludzi

W bezpieczeństwie przemysłowym funkcjonują dwa różne dokumenty i warto ich nie mylić:

• świadectwo bezpieczeństwa przemysłowego — dokument potwierdzający zdolność przedsiębiorcy do ochrony informacji niejawnych o klauzuli „poufne" lub wyższej. Wydaje je ABW albo SKW po przeprowadzeniu postępowania bezpieczeństwa przemysłowego (art. 54 ust. 2);
• poświadczenie bezpieczeństwa — dokument dotyczący konkretnej osoby, wydawany po postępowaniu sprawdzającym. W toku postępowania bezpieczeństwa przemysłowego i w okresie ważności świadectwa przeprowadza się postępowania sprawdzające wobec osób nieposiadających odpowiednich poświadczeń albo kolejne postępowania sprawdzające — wobec kierownika przedsiębiorcy, pełnomocnika ochrony i jego zastępcy, osób zatrudnionych w pionie ochrony, administratora systemu teleinformatycznego oraz pozostałych osób wskazanych w kwestionariuszu, które powinny mieć dostęp do informacji niejawnych (art. 57 ust. 3).

Świadectwo wydaje się w trzech stopniach (art. 55 ust. 1):

• pierwszego stopnia — pełna zdolność do ochrony informacji niejawnych;
• drugiego stopnia — bez możliwości przetwarzania informacji we własnych systemach teleinformatycznych;
• trzeciego stopnia — bez możliwości przetwarzania informacji w użytkowanych przez przedsiębiorcę obiektach.

Świadectwo dla klauzuli „ściśle tajne" potwierdza zdolność do ochrony informacji „ściśle tajnych" przez 5 lat, „tajnych" przez 7 lat i „poufnych" przez 10 lat od daty wystawienia; świadectwo dla klauzuli „tajne" — odpowiednio przez 7 i 10 lat, a dla klauzuli „poufne" — przez 10 lat (art. 55 ust. 2). Dla klauzul organizacji międzynarodowych odpowiadających klauzulom „tajne" lub „poufne" ABW albo SKW wydaje odrębne świadectwa (art. 55 ust. 3).

Kiedy firma potrzebuje świadectwa

Świadectwo jest potrzebne, gdy przedsiębiorca ma wykonywać umowę związaną z dostępem do informacji niejawnych o klauzuli „poufne" lub wyższej. Najczęściej dotyczy to:

• zamówień publicznych i kontraktów z resortami siłowymi, administracją państwową lub służbami,
• projektów badawczo-rozwojowych, informatycznych lub infrastrukturalnych, w których przekazywane są informacje niejawne,
• podwykonawstwa przy takich umowach — przepisy o świadectwie stosuje się także do podwykonawców, jeżeli wykonywanie umowy wiąże się z dostępem do informacji niejawnych (art. 54 ust. 6).

Są też dwie ważne sytuacje szczególne:

• klauzula „zastrzeżone" — przy umowach związanych z dostępem wyłącznie do takich informacji świadectwo nie jest wymagane (art. 54 ust. 9). Przedsiębiorca musi jednak spełnić wymagania ustawy dotyczące ochrony informacji „zastrzeżonych", przy czym nie musi zatrudniać pełnomocnika ochrony, jeżeli wykonuje umowę związaną z dostępem do tych informacji z wyłączeniem możliwości ich przetwarzania w użytkowanych przez siebie obiektach (art. 54 ust. 10);
• jednoosobowa działalność wykonywana osobiście — zdolność do ochrony informacji niejawnych potwierdza wtedy poświadczenie bezpieczeństwa upoważniające do dostępu do informacji o klauzuli „poufne" lub wyższej, wydane przez ABW albo SKW, oraz zaświadczenie o odbytym przeszkoleniu, również wydawane przez ABW albo SKW — chyba że obowiązek uzyskania świadectwa wynika z ratyfikowanej przez Polskę umowy międzynarodowej lub z prawa wewnętrznego strony zawierającej umowę (art. 54 ust. 3–4).

Brak świadectwa albo jego cofnięcie może oznaczać brak możliwości wykonania umowy. Dlatego do postępowania warto przygotować się z wyprzedzeniem.

Jak wygląda postępowanie bezpieczeństwa przemysłowego

Postępowanie prowadzi ABW albo SKW na wniosek przedsiębiorcy; wniosek nie wymaga uzasadnienia (art. 56 ust. 1). Jego przebieg wygląda następująco:

• Wniosek z załącznikami — przedsiębiorca wskazuje stopień świadectwa i klauzulę tajności oraz dołącza kwestionariusz bezpieczeństwa przemysłowego, a także ankiety bezpieczeństwa osobowego lub kopie poświadczeń bezpieczeństwa osób wymienionych w art. 57 ust. 3 (art. 56 ust. 2–3). ABW albo SKW może wezwać przedsiębiorcę do uzupełnienia braków formalnych w terminie 30 dni od otrzymania wezwania, pod rygorem pozostawienia wniosku bez rozpatrzenia (art. 56 ust. 4).
• Sprawdzenie przedsiębiorcy — obejmuje m.in. strukturę kapitału i powiązania kapitałowe, źródła pochodzenia środków finansowych i sytuację finansową, strukturę organizacyjną, system ochrony informacji niejawnych (w tym środki bezpieczeństwa fizycznego) oraz wszystkie osoby wchodzące w skład organów zarządzających i kontrolnych, a także osoby działające z ich upoważnienia (art. 57 ust. 2).
• Postępowania sprawdzające wobec osób wymienionych w art. 57 ust. 3. Przy świadectwie trzeciego stopnia i umowie z dostępem do informacji „poufnych" zwykłe postępowanie sprawdzające i szkolenie wobec pozostałych osób może przeprowadzić pełnomocnik ochrony jednostki zlecającej wykonanie umowy (art. 60 ust. 2).
• Rozstrzygnięcie — postępowanie kończy się wydaniem świadectwa zgodnie z wnioskiem albo decyzją o odmowie jego wydania lub o umorzeniu postępowania (art. 64 ust. 1).

Postępowanie powinno zakończyć się w terminie nie dłuższym niż 6 miesięcy od dnia przedłożenia wszystkich dokumentów niezbędnych do jego przeprowadzenia (art. 59). Za sprawdzenie przedsiębiorcy i postępowania sprawdzające wobec osób z art. 57 ust. 3 ABW albo SKW przysługuje zwrot zryczałtowanych kosztów — z wyjątkiem postępowań, o których mowa w art. 32 ust. 4 i art. 33 ust. 1 (art. 61 ust. 1).

Kiedy ABW lub SKW odmawia wydania świadectwa

Odmowa jest obowiązkowa m.in. wtedy, gdy kierownikowi przedsiębiorcy odmówiono wydania poświadczenia bezpieczeństwa albo je cofnięto, gdy nie da się ustalić struktury kapitałowej i źródeł pochodzenia środków finansowych, gdy przy świadectwie pierwszego lub drugiego stopnia przedsiębiorca nie zorganizował w ciągu 6 miesięcy od wszczęcia postępowania kompleksowego systemu ochrony informacji niejawnych, a także gdy zatajono dane w kwestionariuszu lub podano w nim nieprawdę (art. 64 ust. 2). Odmowa jest możliwa m.in. wtedy, gdy sprawdzenie osób wchodzących w skład organów zarządzających i kontrolnych oraz osób działających z ich upoważnienia ujawni niedające się usunąć wątpliwości z katalogu art. 24 ust. 2 pkt 1–3 lub 5 albo art. 24 ust. 3 (art. 64 ust. 3 pkt 1).

Także w okresie ważności świadectwa ABW albo SKW może sprawdzić przedsiębiorcę z urzędu (art. 65 ust. 1). Świadectwo cofa się obowiązkowo m.in. z powodu odmowy wydania lub cofnięcia poświadczenia kierownikowi przedsiębiorcy albo utraty funkcjonalności systemu ochrony informacji niejawnych (art. 66 ust. 2), a może zostać cofnięte m.in. wtedy, gdy przedsiębiorca nie wykonuje obowiązku informacyjnego z art. 70 ust. 1 (art. 66 ust. 3). O cofnięciu świadectwa zawiadamia się jednostki, które zawarły umowy z przedsiębiorcą (art. 66 ust. 4).

Rola pełnomocnika ochrony

Za ochronę informacji niejawnych w firmie odpowiada kierownik przedsiębiorcy — to on jest kierownikiem jednostki organizacyjnej w rozumieniu ustawy i odpowiada w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony (art. 14 ust. 1 w zw. z art. 2 pkt 14). Bezpośrednio podlega mu pełnomocnik ochrony, który odpowiada za zapewnienie przestrzegania przepisów o ochronie informacji niejawnych (art. 14 ust. 2). Do zadań pełnomocnika należą m.in. (art. 15 ust. 1):

• zapewnienie ochrony informacji niejawnych, w tym stosowanie środków bezpieczeństwa fizycznego,
• zapewnienie ochrony systemów teleinformatycznych, w których przetwarza się informacje niejawne,
• zarządzanie ryzykiem bezpieczeństwa informacji niejawnych,
• kontrola ochrony informacji niejawnych i przestrzegania przepisów,
• opracowywanie i aktualizowanie planu ochrony informacji niejawnych,
• prowadzenie szkoleń w zakresie ochrony informacji niejawnych.

Przy świadectwie trzeciego stopnia zatrudnienie pełnomocnika ochrony i utworzenie pionu ochrony nie jest wymagane, chyba że przedsiębiorca ubiega się o świadectwo dla klauzuli organizacji międzynarodowej (art. 60 ust. 1).

Wymagania dotyczące ochrony konkretnych informacji określa natomiast instrukcja bezpieczeństwa przemysłowego, za której wprowadzenie do umowy odpowiada jednostka organizacyjna zawierająca umowę — zamawiający, a nie przedsiębiorca (art. 71 ust. 1). Kierownik tej jednostki wyznacza też osobę odpowiedzialną za nadzorowanie, kontrolę i doradztwo w zakresie wykonywania przez przedsiębiorcę obowiązku ochrony informacji niejawnych (art. 71 ust. 3).

Obowiązki firmy w trakcie postępowania i po wydaniu świadectwa

Przedsiębiorca — w czasie postępowania i w okresie ważności świadectwa — ma obowiązek informować ABW albo SKW w terminie 30 dni m.in. o zmianach danych zawartych w kwestionariuszu, o zawarciu, wypowiedzeniu i zakończeniu umów związanych z dostępem do informacji „poufnych" lub wyższych, a także o zawarciu, wypowiedzeniu i zakończeniu takich umów z podwykonawcami (art. 70 ust. 1). W czasie realizacji umowy musi też niezwłocznie informować osobę wyznaczoną przez zamawiającego o zmianach w systemie ochrony, zmianach osób wykonujących umowę i potrzebie zawarcia umowy z podwykonawcą (art. 70 ust. 2). Podanie nieprawdy o zmianach danych jest jedną z podstaw odmowy wydania albo cofnięcia świadectwa (art. 64 ust. 2 pkt 5, art. 66 ust. 2 pkt 4).

Najczęstsze problemy firm w postępowaniach

Na podstawie doświadczenia kancelarii, najczęściej powtarzające się trudności to:

• Niekompletna lub nieaktualna dokumentacja systemu ochrony — plan ochrony i procedury nieodpowiadające rzeczywistej organizacji pracy.
• Nieprawidłowe zabezpieczenie pomieszczeń — brak kontroli dostępu, odpowiednich zabezpieczeń i ewidencji materiałów.
• Błędy w ankietach osób sprawdzanych — nieścisłości, niedopowiedzenia lub brak kontekstu przy trudnych okolicznościach życiowych.
• Nieprzejrzysta struktura kapitałowa — brak możliwości ustalenia struktury kapitałowej i źródeł pochodzenia środków jest obowiązkową podstawą odmowy (art. 64 ust. 2 pkt 2).
• Problemy z podwykonawcami — podwykonawca mający dostęp do informacji niejawnych również musi wykazać zdolność do ich ochrony (art. 54 ust. 6).

Jak przygotować firmę do postępowania

Dobre przygotowanie warto rozpocząć na długo przed złożeniem wniosku:

• Audyt systemu ochrony — sprawdź, czy plan ochrony informacji niejawnych i procedury są aktualne i spójne z przepisami oraz z wymaganiami przyszłych umów.
• Przygotowanie pomieszczeń i infrastruktury — zabezpiecz miejsca przechowywania materiałów, wdróż kontrolę dostępu i oznaczenia.
• Przejrzystość struktury właścicielskiej — przygotuj dokumenty dotyczące kapitału, powiązań kapitałowych i źródeł finansowania.
• Szkolenia — upewnij się, że osoby mające kontakt z informacjami niejawnymi znają zasady postępowania.
• Analiza ankiet — zweryfikuj kompletność i rzetelność ankiet osób sprawdzanych przed ich złożeniem.
• Konsultacja z pełnomocnikiem lub radcą prawnym — wcześniejsza analiza dokumentacji i ryzyk pozwala uniknąć błędów, które później trudno naprawić.

Bezpieczeństwo przemysłowe w Gdańsku i Warszawie

Kancelaria JP Legal obsługuje przedsiębiorców z całej Polski, a w szczególności z dwóch głównych ośrodków biznesowych — Gdańska i Warszawy. W obu miastach działają podmioty realizujące kontrakty z resortami siłowymi, administracją państwową oraz instytucjami wymagającymi dostępu do informacji niejawnych.

W Gdańsku i Warszawie spotykamy się z klientami osobiście, a firmom z innych regionów oferujemy kontakt zdalny — z zachowaniem poufności i bezpiecznych form przekazywania dokumentacji. Niezależnie od lokalizacji pomagamy przygotować firmę do postępowania, przeanalizować decyzje organów oraz reprezentować klientów w sprawach odwoławczych.

Co robić po odmowie wydania lub cofnięciu świadectwa

Decyzja odmowna nie musi oznaczać końca sprawy. Od decyzji o odmowie wydania świadectwa, o jego cofnięciu oraz o umorzeniu postępowania przedsiębiorcy przysługuje odwołanie do Prezesa Rady Ministrów, a na jego rozstrzygnięcie — skarga do sądu administracyjnego; stosuje się odpowiednio przepisy o odwołaniu i skardze w sprawach poświadczeń (art. 69 ust. 1–2). Odwołanie wnosi się więc w terminie 14 dni od doręczenia decyzji, za pośrednictwem organu, który ją wydał (art. 35 ust. 2 w zw. z art. 69 ust. 2).

Decyzja o odmowie wydania albo o cofnięciu świadectwa musi zawierać uzasadnienie faktyczne i prawne oraz pouczenie o odwołaniu i skardze (art. 67 ust. 2), przy czym uzasadnienie faktyczne w części zawierającej informacje niejawne podlega ochronie (art. 67 ust. 3). Argumentację buduje się na jawnej części decyzji, kontroli proceduralnej oraz dokumentach firmy. Jeżeli źródłem problemu jest odmowa poświadczenia dla kierownika przedsiębiorcy, równolegle trzeba prowadzić odwołanie w jego sprawie — zob. odwołanie od odmowy wydania poświadczenia.

Kiedy warto skontaktować się z kancelarią

Warto skonsultować sprawę z radcą prawnym, gdy firma planuje ubiegać się o świadectwo bezpieczeństwa przemysłowego, otrzymała decyzję odmowną albo cofnięto jej świadectwo. Pomoc prawna jest szczególnie istotna przy:

• przygotowaniu do pierwszego postępowania bezpieczeństwa przemysłowego,
• analizie wymagań umowy i instrukcji bezpieczeństwa przemysłowego,
• weryfikacji ankiet osób sprawdzanych,
• sporządzaniu odwołań i pism procesowych,
• reprezentacji w kontaktach z organami państwowymi.

Kancelaria JP Legal oferuje wsparcie dla firm z Gdańska, Warszawy i innych miast. Zapraszamy do kontaktu telefonicznego lub mailowego, aby omówić szczegóły konkretnej sprawy.

Najczęstsze pytania

Czym jest bezpieczeństwo przemysłowe dla firm?

To zasady ochrony informacji niejawnych u przedsiębiorców wykonujących umowy związane z dostępem do takich informacji. Warunkiem dostępu jest zdolność przedsiębiorcy do ochrony informacji niejawnych, potwierdzana — przy klauzuli „poufne" lub wyższej — świadectwem bezpieczeństwa przemysłowego (art. 54 ust. 1–2).

Kiedy firma musi uzyskać świadectwo bezpieczeństwa przemysłowego?

Gdy ma wykonywać umowę związaną z dostępem do informacji niejawnych o klauzuli „poufne" lub wyższej — także jako podwykonawca (art. 54 ust. 2 i 6). Przy klauzuli „zastrzeżone" świadectwo nie jest wymagane (art. 54 ust. 9), a przedsiębiorca działający jednoosobowo i osobiście co do zasady potwierdza zdolność poświadczeniem bezpieczeństwa (klauzula „poufne" lub wyższa) i zaświadczeniem o przeszkoleniu — oba dokumenty wydaje ABW albo SKW (art. 54 ust. 3–4).

Kto wydaje świadectwo?

ABW albo SKW, po przeprowadzeniu postępowania bezpieczeństwa przemysłowego wszczynanego na wniosek przedsiębiorcy (art. 54 ust. 2, art. 56 ust. 1).

Kto w firmie odpowiada za ochronę informacji niejawnych?

Kierownik przedsiębiorcy (art. 14 ust. 1 w zw. z art. 2 pkt 14). Podlega mu pełnomocnik ochrony, który odpowiada za zapewnienie przestrzegania przepisów (art. 14 ust. 2) i wykonuje zadania z art. 15 ust. 1. Przy świadectwie trzeciego stopnia zatrudnienie pełnomocnika nie jest wymagane, z wyjątkiem świadectw dla klauzul organizacji międzynarodowych (art. 60 ust. 1).

Kogo dotyczą postępowania sprawdzające w firmie?

Postępowania sprawdzające wobec osób nieposiadających odpowiednich poświadczeń albo kolejne postępowania sprawdzające przeprowadza się wobec kierownika przedsiębiorcy, pełnomocnika ochrony i jego zastępcy, osób zatrudnionych w pionie ochrony, administratora systemu teleinformatycznego oraz pozostałych osób wskazanych w kwestionariuszu, które powinny mieć dostęp do informacji niejawnych (art. 57 ust. 3). Sprawdzenie przedsiębiorcy obejmuje ponadto wszystkie osoby wchodzące w skład organów zarządzających i kontrolnych oraz osoby działające z ich upoważnienia (art. 57 ust. 2 pkt 4).

Jak długo trwa postępowanie bezpieczeństwa przemysłowego?

Powinno zakończyć się w terminie nie dłuższym niż 6 miesięcy od dnia przedłożenia wszystkich dokumentów niezbędnych do jego przeprowadzenia (art. 59). Kompletny wniosek z załącznikami przyspiesza sprawę.

Czy kancelaria pomaga firmom z Gdańska, Warszawy i spoza tych miast?

Tak. Kancelaria JP Legal obsługuje przedsiębiorców z Gdańska, Warszawy oraz z całej Polski. Spotkania i konsultacje mogą odbywać się zdalnie z zachowaniem poufności.

Treść ma charakter informacyjny. Ocena konkretnej sprawy wymaga analizy dokumentacji firmy, decyzji organów i okoliczności faktycznych — zapraszamy do kontaktu z kancelarią.