§ 12. - Tryb oceny i sposób dopuszczania rozwiązań informatycznych, w których mają być przetwarzane informacje niejawne.

Dziennik Ustaw

Dz.U.2022.2098

Akt obowiązujący

Wersja od: 14 października 2022 r.

§  12. 

1. W celu dopuszczenia rozwiązań informatycznych do przetwarzania informacji niejawnych, w rozumieniu art. 51 ust. 3 ustawy, opracowuje się dokument "Wymagania ochrony informacji niejawnych".

2. Dokument "Wymagania ochrony informacji niejawnych" zawiera informacje o:

1) rodzajach oraz najwyższej klauzuli informacji niejawnych, które mogą być przetwarzane za pomocą rozwiązania informatycznego;

2) przeznaczeniu rozwiązania informatycznego;

3) podmiotach uprawnionych do eksploatacji rozwiązania informatycznego;

4) podmiocie sprawującym nadzór nad eksploatacją zgodną z warunkami określonymi w dokumencie "Wymagania ochrony informacji niejawnych";

5) wymaganych środkach w zakresie bezpieczeństwa osobowego przed dopuszczeniem do pracy z wykorzystaniem rozwiązania informatycznego;

6) środkach ochrony fizycznej komponentów rozwiązania informatycznego;

7) rozwiązaniach w zakresie zapewnienia ochrony elektromagnetycznej;

8) stosowaniu ochrony kryptograficznej lub innych rozwiązań w zakresie bezpieczeństwa transmisji;

9) certyfikatach lub innych dokumentach potwierdzających ocenę bezpieczeństwa rozwiązania informatycznego lub jego komponentu wydanych przez krajowe władze bezpieczeństwa państwa członkowskiego NATO lub UE lub właściwy organ NATO lub UE;

10) ochronie nośników danych, w szczególności ich ochronie fizycznej;

11) procedurach wykorzystania rozwiązania informatycznego w stanach nadzwyczajnych, w tym w czasie wojny, w razie ogłoszenia stanu nadzwyczajnego, mobilizacji lub sytuacji kryzysowej;

12) niezbędnych szkoleniach dla podmiotów użytkujących rozwiązania informatyczne;

13) procedurach wymiany danych z systemami teleinformatycznymi posiadającymi akredytację bezpieczeństwa teleinformatycznego oraz systemami informacyjnymi, o których mowa w art. 2 pkt 14 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;

14) procedurach reagowania na incydenty związane z eksploatacją rozwiązania informatycznego;

15) procedurach reagowania na incydenty związane z przetwarzaniem informacji niejawnych za pomocą rozwiązań informatycznych;

16) wynikach procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego;

17) przyjętych w ramach zarządzania ryzykiem sposobów osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego;

18) aspektach budowy, dostępnych trybów pracy, działania i eksploatacji rozwiązania informatycznego, które mają związek z bezpieczeństwem informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego lub wpływają na ich bezpieczeństwo;

19) oświadczeniu zrealizowania procesu oceny bezpieczeństwa rozwiązania informatycznego zgodnie z wymogami niniejszego rozporządzenia;

20) wykazie zaleceń i wymagań dla głównego użytkownika;

21) innych danych niezbędnych do prawidłowego wdrożenia rozwiązania informatycznego oraz prawidłowej ochrony informacji niejawnych.