Definicja świadectwa bezpieczeństwa przemysłowego
Świadectwo bezpieczeństwa przemysłowego to dokument wydawany przedsiębiorcy przez Agencję Bezpieczeństwa Wewnętrznego albo Służbę Kontrwywiadu Wojskowego po przeprowadzeniu postępowania bezpieczeństwa przemysłowego. Potwierdza, że firma jest zdolna chronić informacje niejawne o określonej klauzuli tajności. Podstawą jest ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych.
Świadectwo jest warunkiem dopuszczenia do zamówień, w których wykonawca styka się z informacjami niejawnymi - w praktyce dotyczy to dostawców dla wojska, administracji państwowej, energetyki i innych elementów infrastruktury krytycznej.
Trzy stopnie i co je różni
Stopień nie mówi o tym, jak wysoką klauzulę firma obsłuży, tylko gdzie wolno jej przetwarzać informacje niejawne. To najczęściej mylony element całego dokumentu.
| Stopień | Co potwierdza |
|---|---|
| I stopnia | pełną zdolność do ochrony informacji niejawnych |
| II stopnia | zdolność z wyłączeniem przetwarzania we własnych systemach teleinformatycznych |
| III stopnia | zdolność z wyłączeniem przetwarzania w użytkowanych obiektach |
W katalogu zapisujemy stopień liczbą rzymską, tak jak na profilu firmy. Formularz świadectwa drukuje wszystkie trzy warianty obok siebie, a organ skreśla niewłaściwe. Dlatego czytając skan, trzeba patrzeć na to, co nie zostało skreślone.
Klauzule i terminy ważności
Świadectwo wskazuje klauzule tajności, do których firma jest dopuszczona, a każda klauzula ma własny termin ważności. Okresy wynikają wprost z ustawy:
- ściśle tajne - 5 lat,
- tajne - 7 lat,
- poufne - 10 lat.
Świadectwo wydane 2 września 2024 r. na klauzule tajne i poufne traci więc ważność w dwóch różnych momentach: dla klauzuli tajne we wrześniu 2031 r., dla poufne we wrześniu 2034 r. Jeden termin ważności przypisany całemu dokumentowi jest uproszczeniem, które gubi połowę informacji.
Świadectwa krajowe i międzynarodowe
Ta sama firma może mieć kilka świadectw wydanych tego samego dnia, każde dla innej organizacji i z osobnym numerem:
- krajowe - klauzule poufne, tajne, ściśle tajne,
- NATO - NATO CONFIDENTIAL, NATO SECRET,
- Unia Europejska - CONFIDENTIEL UE, SECRET UE,
- Europejska Agencja Kosmiczna - ESA CONFIDENTIAL, ESA SECRET.
W obiegu międzynarodowym odpowiednikiem jest Facility Security Clearance (FSC). Nie istnieje publiczny, centralny rejestr FSC prowadzony przez NATO, UE ani ESA.
Jak sprawdzić, czy firma ma świadectwo
ABW publikuje w Biuletynie Informacji Publicznej wykaz podmiotów posiadających świadectwo. Plik zawiera nazwę przedsiębiorcy, NIP, KRS, REGON, numer świadectwa, stopień, rodzaj oraz klauzule z terminami - można więc potwierdzić deklarację firmy u źródła.
Wykaz ma jednak istotne ograniczenie: obejmuje wyłącznie świadectwa wydane przez ABW. Służba Kontrwywiadu Wojskowego nie publikuje żadnej listy, więc nieobecność firmy w wykazie nie dowodzi, że świadectwa nie ma.
Czego świadectwo nie oznacza
- To nie jest certyfikat bezpieczeństwa systemów. Świadectwo dotyczy zdolności organizacyjnej do ochrony informacji niejawnych, a nie jakości zabezpieczeń produktu czy usługi - tym zajmują się ISO 27001 i Common Criteria.
- To nie jest poświadczenie osobowe. Dopuszczenie konkretnego pracownika do informacji niejawnych to osobny dokument wydawany osobie, nie firmie.
- To nie jest ocena wiarygodności handlowej. Świadectwo mówi o ochronie informacji niejawnych, nie o kondycji finansowej ani jakości realizacji zamówień.
Powiązane pojęcia
- ISO 27001 - norma systemu zarządzania bezpieczeństwem informacji, częsty towarzysz świadectwa w wymaganiach przetargowych.
- NIS2 - dyrektywa obejmująca podmioty kluczowe i ważne, w tym wielu wykonawców pracujących z informacjami niejawnymi.
- GRC - obszar zarządzania, zgodności i ryzyka, w którym utrzymanie świadectwa jest procesem ciągłym, nie zdarzeniem jednorazowym.