Informacje niejawne w jednostkach samorządu terytorialnego podlegają szczególnej ochronie, ponieważ ich nieuprawnione ujawnienie mogłoby spowodować szkodę dla państwa (Rzeczypospolitej Polskiej) albo być niekorzystne z punktu widzenia jego interesów. Zasady ochrony informacji niejawnych odnoszą się podmiotów publicznych, m.in. do urzędów gminy, urzędów miasta, starostwa powiatowego, urzędu marszałkowskiego oraz innych jednostek organizacyjnych samorządu, jeżeli przetwarzają informacje niejawne. Dotyczą one także innych podmiotów kluczowych i ważnych (dawniej: operatorów usług kluczowych), w tym wodociągów czy szpitali.
W pierwszej części artykułu odpowiemy na pytanie, w jaki sposób samorząd powinien postępować z danymi niejawnymi: jakie są wymagania, jak należy je chronić i jakie przepisy prawa mają w tym zakresie zastosowanie. W drugiej części wskażemy również elementy składowe, jakie zawiera dokumentacja – plan ochrony informacji niejawnych.
Część pierwsza: jak postępować z informacją niejawną
Podstawa prawna
Podstawowym aktem prawnym, którym ustawiono zasady zarządzania informacjami niejawnymi, jest Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych. Tutaj znajdziesz tekst ujednolicony tej ustawy na oficjalnej stronie Sejmu.
Ustawa ma zastosowanie także do organów jednostek samorządu terytorialnego oraz jednostek im podległych lub przez nie nadzorowanych. Określa ona zasady:
- klasyfikowania informacji,
- organizowania ochrony,
- dopuszczania osób do dostępu do informacji niejawnych,
- prowadzenia postępowań sprawdzających,
- ochrony teleinformatycznej i stosowania środków bezpieczeństwa fizycznego.
Kto odpowiada za informacje niejawne w samorządzie
Za ochronę informacji niejawnych w jednostce organizacyjnej odpowiada administrator danych, czyli kierownik jednostki. W samorządzie będzie to odpowiednio: wójt, burmistrz, prezydent miasta, starosta, marszałek województwa albo kierownik innej jednostki organizacyjnej, w której takie informacje są przetwarzane. To kierownik organizuje system ochrony i zapewnia jego funkcjonowanie. Kierownikowi jednostki bezpośrednio podlega Pełnomocnik do spraw ochrony informacji niejawnych.
Kim jest Pełnomocnik informacji niejawnych
To osoba z doświadczeniem i specjalnymi uprawnieniami ABW lub SKW. Pełnomocnik w praktyce „opiekuje się” informacjami niejawnymi, czuwa nad przestrzeganiem przepisów, nadzoruje obieg dokumentów, organizuje szkolenia, prowadzi kontrole i przygotowuje dokumentację ochronną. W większych jednostkach pełnomocnik może działać przy wsparciu wyodrębnionego pionu ochrony informacji niejawnych, a kierownik jednostki może powołać również jego zastępcę (lub zastępców).
Jakie wymagania musi spełniać pełnomocnik ochrony informacji niejawnych
Pełnomocnikiem ochrony informacji niejawnych może być osoba, która spełnia wszystkie poniższe wymagania:
- posiada obywatelstwo polskie,
- wykształcenie wyższe,
- odpowiednie poświadczenie bezpieczeństwa,
- zaświadczenie o przeszkoleniu w zakresie ochrony informacji niejawnych przeprowadzonym przez ABW albo SKW.
Konieczne jest formalne potwierdzenie, że dana osoba daje rękojmię zachowania tajemnicy oraz ma odpowiednie przygotowanie merytoryczne.
Również inni pracownicy samorządowi mogą uzyskać dostęp do informacji niejawnych, ale tylko w zakresie niezbędnym do wykonywania obowiązków służbowych i po spełnieniu wymagań przewidzianych ustawą.
Dla informacji o klauzuli „poufne” lub wyższej co do zasady wymagane jest uzyskanie poświadczenia bezpieczeństwa oraz odbycie szkolenia, które jest organizowane przez Agencję Bezpieczeństwa Wewnętrznego. Dostęp do informacji niejawnych nie może mieć charakteru dowolnego – zawsze musi wynikać z potrzeby służbowej oraz posiadanych uprawnień.
Najważniejsze obostrzenia prawne i organizacyjne
Informacje niejawne mogą być udostępniane wyłącznie osobom uprawnionym i muszą być przetwarzane w warunkach uniemożliwiających ich nieuprawnione ujawnienie. Ochrona obejmuje zarówno dokumenty papierowe, jak i informacje przetwarzane w systemach teleinformatycznych.
Ustawa przewiduje różne klauzule tajności: „ściśle tajne”, „tajne”, „poufne” i „zastrzeżone”, a poziom zabezpieczeń musi być dostosowany do klauzuli.
Jeżeli w jednostce samorządowej przetwarzane są informacje niejawne o klauzuli „tajne” lub „ściśle tajne”, kierownik jednostki ma obowiązek utworzyć kancelarię tajną i zatrudnić jej kierownika. Kancelaria tajna odpowiada za rejestrowanie, przechowywanie, obieg i wydawanie materiałów uprawnionym osobom.
W przypadku informacji o niższych klauzulach również trzeba wdrożyć odpowiednie procedury, instrukcje i środki bezpieczeństwa fizycznego, a także prowadzić ewidencję oraz kontrolę obiegu materiałów.
Obowiązki pełnomocnika ochrony informacji niejawnych
Do stałych obowiązków pełnomocnika ochrony należy m.in.:
- zapewnienie ochrony informacji niejawnych,
- kontrola przestrzegania przepisów,
- prowadzenie szkoleń dla personelu,
- opracowywanie i aktualizowanie planu ochrony informacji niejawnych,
- prowadzenie wykazu osób uprawnionych do dostępu oraz
- okresowa kontrola ewidencji, materiałów i obiegu dokumentów.
Ważnym elementem systemu przetwarzania informacje niejawnych jest również zarządzanie ryzykiem bezpieczeństwa oraz ochrona systemów teleinformatycznych (stanowisko IT, komputer i ograniczony procedurą dostęp do pomieszczenia).
Zapamiętaj!
Przepisy nakładają obowiązek odpowiedniego doboru personelu, prowadzenia szkoleń, audytów, stosowania zabezpieczeń organizacyjnych, fizycznych i teleinformatycznych oraz ścisłego ograniczania dostępu wyłącznie do osób uprawnionych. W praktyce oznacza to, że ochrona informacji niejawnych w samorządzie jest nie tylko obowiązkiem formalnym, ale także elementem odpowiedzialnego zarządzania bezpieczeństwem publicznym. W razie wątpliwości jesteśmy do usług.
Potrafimy pomóc w zapewnieniu bezpieczeństwa informacji – zaufało nam wielu.
Część druga: dokumentacja informacji niejawnych
Pełnomocnik w ramach swoich obowiązków przygotowuje komplet dokumentów ochrony informacji niejawnych. Poniższa dokumentacja wymaga dostosowania do konkretnej jednostki (gmina, powiat, urząd marszałkowski, jednostka organizacyjna JST), poziomu przetwarzanych informacji niejawnych oraz przyjętej struktury organizacyjnej.
Standardowy pakiet dla urzędu gminy lub starostwa powinien obejmować kilka dokumentów.
1. Zarządzenie kierownika jednostki
Może mieć ono np. następującą treść:
ZARZĄDZENIE NR …/2026
Wójta/Burmistrza/Prezydenta Miasta/Starosty
z dnia …………….
w sprawie organizacji systemu ochrony informacji niejawnych
Na podstawie art. 14 i art. 15 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych zarządza się, co następuje:
§1. Wprowadza się do stosowania:
- Plan ochrony informacji niejawnych.
- Instrukcję postępowania z informacjami niejawnymi.
- Procedurę kontroli dostępu.
- Procedurę postępowania w przypadku naruszenia przepisów.
- Procedurę niszczenia dokumentów niejawnych.
§2. Za realizację postanowień odpowiada Pełnomocnik Ochrony.
§3. Zarządzenie wchodzi w życie z dniem podpisania.
2. Regulamin ochrony informacji niejawnych
Rozdział I – Postanowienia ogólne
Cel: Zapewnienie ochrony informacji niejawnych przed:
- nieuprawnionym ujawnieniem,
- utratą,
- kradzieżą,
- zniszczeniem,
- modyfikacją.
Zakres: Regulamin obowiązuje wszystkich pracowników oraz osoby wykonujące zadania na rzecz jednostki.
Rozdział II – Klauzule tajności
W jednostce stosuje się klauzule:
- ZASTRZEŻONE
- POUFNE
- TAJNE
- ŚCIŚLE TAJNE
zgodnie z ustawą o ochronie informacji niejawnych.
3. Plan ochrony informacji niejawnych
Charakterystyka jednostki
Nazwa jednostki: ……………………………….
Adres: ……………………………….
Liczba pracowników: ……………………………….
Pełnomocnik ochrony: ……………………………….
Analiza zagrożeń
Przykładowe zagrożenia:
- nieuprawnione kopiowanie dokumentów,
- utrata dokumentów,
- włamanie do pomieszczeń,
- cyberataki,
- błędy pracowników,
- katastrofy naturalne.
Środki ochrony
Fizyczne, na przykład:
- kontrola wejść,
- system alarmowy,
- monitoring,
- szafy metalowe,
- kontrola kluczy.
Organizacyjne, na przykład:
- szkolenia,
- ewidencje,
- upoważnienia,
- kontrole okresowe.
Techniczne, na przykład:
- indywidualne konta,
- silne hasła,
- kopie bezpieczeństwa,
- ochrona antywirusowa.
4. Procedura dopuszczania do informacji niejawnych
Podzielona np. na następujące etapy:
- Etap 1 Wniosek przełożonego.
- Etap 2 Weryfikacja potrzeby dostępu.
- Etap 3 Postępowanie sprawdzające.
- Etap 4 Szkolenie.
- Etap 5 Wydanie upoważnienia.
5. Procedura obiegu dokumentów niejawnych
Opisująca podstawowe czynności, takie jak:
- Przyjęcie – przypisanie dokumentowi numeru ewidencyjnego.
- Rejestracja – wpisanie dokumentu do rejestru.
- Przekazywanie – za pokwitowaniem odbioru.
- Przechowywanie – w szafach spełniających wymagania bezpieczeństwa.
6. Procedura niszczenia dokumentów
Dokumenty:
- przeznaczone do brakowania,
- po upływie okresów przechowywania,
- decyzją kierownika jednostki.
niszy się:
- komisyjnie,
- przy użyciu niszczarek spełniających wymagania dla odpowiedniej klauzuli.
Z czynności zniszczenia sporządza się protokół.
7. Procedura postępowania w przypadku incydentu
Lista i opis czynności wykonywanych po ujawnieniu incydentu, na przykład:
- Zabezpieczyć miejsce.
- Powiadomić przełożonego.
- Powiadomić pełnomocnika ochrony.
- Sporządzić raport.
- Przeprowadzić analizę przyczyn.
- Wdrożyć działania naprawcze.
8. Rejestr upoważnień
9. Rejestr szkoleń
10. Oświadczenie pracownika
11. Roczny plan kontroli pełnomocnika ochrony
Obejmujący np. następujące obszary:
- ewidencja dokumentów,
- kancelaria tajna,
- systemy teleinformatyczne,
- szkolenia,
- przestrzeganie procedur.
Częstotliwość kontroli: minimum raz w roku, kontrole doraźne po incydentach.
12. Instrukcja kancelarii tajnej
Dokument powinien zawierać zasady dotyczące:
- przyjmowania dokumentów,
- rejestrowania,
- przechowywania,
- udostępniania,
- archiwizowania,
- brakowania,
- niszczenia.
Uwaga: Aby pakiet był zgodny z wymaganiami kontroli prowadzonych przez Agencja Bezpieczeństwa Wewnętrznego (będzie podlegał zatwierdzeniu), powinien zostać dostosowany do:
- rodzaju JST (gmina, powiat, województwo),
- poziomu klauzul (zastrzeżone/poufne/tajne),
- posiadania lub braku kancelarii tajnej,
- liczby pracowników mających dostęp do informacji niejawnych.
Warto przeczytać:
- Dezinformacja w Polsce: najważniejsze wnioski z raportu NASK za 2025 rok
- Bezpieczeństwo informacji według projektu Ustawy o Krajowym Systemie Cyberbezpieczeństwa
- Strategie cyberbezpieczeństwa w samorządach
- PESEL – dana osobowa wrażliwa czy zwykła?
- Audyt zgodności z KRI w Sądzie Rejonowym w Kwidzynie
- Operator kluczowy i ważny: bezpieczeństwo informacji według Ustawy o Krajowym Systemie Cyberbezpieczeństwa
- Kolejny obszar kontrolowany przez NIK – oprogramowanie komputerowe
- Najczęstsze błędy prowadzące do wycieku danych
- Jakie wybrać szkolenia w zakresie cyberbezpieczeństwa? Stacjonarnie czy online?
- Niebezpieczny kanał zgłoszeniowy. Jaki kanał dla sygnalistów jest bezpieczny?
- Wzmacnianie poziomu cyberbezpieczeństwa na przykładzie szpitala we Wrześni
