Informacje dotyczące bezpieczeństwa Cabletron Systems Trmim 34a

Cabletron Systems TRMIM 34A to sieć bezprzewodowa, która oferuje wysoką wydajność i bezpieczeństwo. System ten jest zgodny z IEEE 802.11b i 802.11g oraz umożliwia przesyłanie danych z prędkością do 54 Mbps. Urządzenie pozwala na podłączenie do sieci bezprzewodowej za pomocą kabla Ethernet lub bezpośrednio. Może ono również ochronić sieć przed nieautoryzowanym dostępem, dzięki funkcji szyfrowania WEP, WPA i WPA2. Cabletron Systems TRMIM 34A jest łatwy w konfiguracji i posiada wiele zaawansowanych funkcji, w tym możliwość zarządzania przez przeglądarkę.

Ostatnia aktualizacja: Informacje dotyczące bezpieczeństwa Cabletron Systems Trmim 34a

Miejsce: Polska

Wydarzenie: Ambasadzie Amerykańskiej zależy na bezpieczeństwu wszystkich obywateli amerykańskich, organizacji oraz firm w Polsce.

W Polsce zbliża się okres świąteczny, co niestety może spowodować wzrost przestępczości, wypadków drogowych oraz drobnych przestępstw. Przypominamy obywatelom amerykańskim, aby byli ostrożni i dbali o swoje osobiste bezpieczeństwo.

Przestępczość

Mimo że Polska nadal jest jednym z najbezpieczniejszych krajów w Europie, przestępczość może wzrosnąć w okresie świątecznym. Aby zmniejszyć ryzyko zostania ofiarą przestępstwa, radzimy podjąć następujące czynności:

• Uważać na swoje otoczenie.
• Jeśli jest to możliwe, przemieszczać się w grupie, unikać słabo oświetlonych ulic, wąskich uliczek i odosobnionych miejsc.
• Zachować ostrożność, gdy zbliżają się nieznane osoby.
• Trzymać zamkniętą/zasuniętą torebkę przy sobie podczas podróżowania transportem publicznym oraz na jarmarkach świątecznych. Kieszonkowcy działają w grupach, aby odwrócić uwagę ofiary, gdy kradną.

Włamania do domów/mieszkań

Włamania do domów i mieszkań oraz kradzieże zdarzają się w Polsce, chociaż na znacznie mniejszą skalę niż w innych krajach. Prosimy, aby wykorzystywać wszystkie zabezpieczenia, w które jest wyposażony Państwa dom/mieszkanie. Mogą one powstrzymać lub udaremnić włamania i kradzieże.

Cyberbezpieczeństwo

Przestępcy internetowi mogą wykorzystać okres świąteczny, aby podszywać się pod sklepy internetowe lub firmy wysyłkowe i nakłaniać odwiedzających do otwierania linków dotyczących sprzedaży, opłat, przelewów lub problemów z wysyłką.

Ponadto w związku ze zbliżającym się sezonem grypowym oraz aktualną sytuacją na granicy polsko-ukraińskiej, należy ostrożnie podchodzić do sytuacji takich jak:

Dodatkowo należy:

Pomoc:

Telefon alarmowy 112 (w tym pogotowie i straż pożarna)

Ambasada USA w Warszawie
+48 22 504 2784 (w godzinach pracy)
+48 22 504 2000 (poza godzinami pracy sprawy nagłe dotyczące obywateli USA)
ACSWarsaw@state. gov
ul. Piękna 12
00-539 Warszawa
https://pl. gov/u-s-citizen-services/

Konsulat Generalny, Kraków, Poland
ul. Stolarska 9
31-043 Krakow, Poland
+48 12 424 5100 (w godzinach pracy)
+48 601 483 348 (po godzinach pracy dla obywateli amerykańskich w nagłych przypadkach)
KrakowACS@state. gov
https://pl. gov/embassy-consulate/krakow/

Agencja Konsularna Stanów Zjednoczonych w Poznaniuul.  Paderewskiego 8 pokój 06, 61-770 Poznan+48 61 851 8516CAPoz@post. plhttps://pl. gov/embassy-consulate/consular-agency-poznan/ 

Departament Stanu – Sprawy Konsularne
888-407-4747 lub 202-501-4444
Informacje na temat Polski
Rejestracja w Programie dla Przezornych Podróżnych (STEP) w celu otrzymywania informacji na temat bezpieczeństwa
Obserwuj nas na Facebooku i Twitterze.

Ustawa o krajowym systemie cyberbezpieczeństwa

1 sierpnia 2018 r. Prezydent RP podpisał ustawę o krajowym systemie cyberbezpieczeństwa, implementującą do polskiego porządku prawnego dyrektywę Parlamentu Europejskiego i Rady (UE) w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa 2016/1148), tzw. Dyrektywa NIS. Ustawa została opublikowana w Dzienniku Ustaw RP 13 sierpnia br. i zacznie obowiązywać po 14 dniach od jej ogłoszenia tj. od 28 sierpnia br. Pełne wdrożenie Dyrektywy NIS wymaga ponadto przyjęcia dwóch rozporządzeń Rady Ministrów: w sprawie uznania incydentu za poważny, jak i w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych. Obecnie zakończony został etap konsultacji społecznych, uzgadniania oraz opiniowania, dotyczących rozporządzeń, na tą chwilę prowadzone są konsultacje wewnątrz-rządowe.

Celem przygotowanej przez Ministerstwo Cyfryzacji ustawy o krajowym systemie cyberbezpieczeństwa było opracowanie uregulowań prawnych umożliwiających implementacje dyrektywy NIS oraz utworzenie efektywnego systemu bezpieczeństwa teleinformatycznego na poziomie krajowym.

Krajowy system cyberbezpieczeństwa ma na celu zapewnienie cyberbezpieczeństwa na poziomie krajowym, w szczególności:

• niezakłóconego świadczenia usług kluczowych i usług cyfrowych
• osiągnięcie odpowiednio wysokiego poziomu bezpieczeństwa systemów teleinformatycznych służących do świadczenia tych usług.

Budowany system obejmuje operatorów usług kluczowych (m. in. : z sektora energetycznego, transportowego, zdrowotnego i bankowości), dostawców usług cyfrowych, zespoły CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) poziomu krajowego, sektorowe zespoły cyberbezpieczeństwa, podmioty świadczące usługi z zakresu cyberbezpieczeństwa, organy właściwe do spraw cyberbezpieczeństwa oraz pojedynczy punkt kontaktowy do komunikacji w ramach współpracy w Unii Europejskiej w dziedzinie spraw cyberbezpieczeństwa. Operatorzy usług kluczowych są zobowiązani do wdrożenia skutecznych zabezpieczeń, szacowania ryzyka związanego z cyberbezpieczeństwem oraz przekazywania informacji o poważnych incydentach oraz ich obsługi we współpracy z CSIRT poziomu krajowego. Wymienione podmioty są również zobowiązane do wyznaczenia osoby odpowiedzialnej za cyberbezpieczeństwo świadczonych usług, obsługi i zgłaszania incydentów oraz udostępniania wiedzy na temat cyberbezpieczeństwa. Do krajowego systemu cyberbezpieczeństwa będą również włączone organy administracji publicznej, a także przedsiębiorcy telekomunikacyjni – w sposób zharmonizowany z istniejącymi uregulowaniami w tym zakresie.

Wymaganiami z zakresu cyberbezpieczeństwa zostali także objęci dostawcy usług cyfrowych, czyli internetowe platformy handlowe, usługi przetwarzania w chmurze i wyszukiwarki internetowe. Z racji międzynarodowej specyfiki tych podmiotów, obowiązki dla dostawców usług cyfrowych są objęte zharmonizowanym na poziomie UE reżimem regulacyjnym. Ustawa odwołuje się tutaj do decyzji wykonawczej Komisji Europejskiej.

Dostawcy usług cyfrowych - obowiązki

Dostawca usługi cyfrowej w celu sklasyfikowania incydentu jako istotnego uwzględnia w szczególności:

Incydent istotny: incydent, który ma istotny wpływ na świadczenie usługi cyfrowej.

Kim jest Dostawca Usług Cyfrowych?

Incydent uznaje się za mający istotny wpływ, jeżeli zaistniała co najmniej jedna z następujących sytuacji:

1. usługa świadczona przez dostawcę usług cyfrowych była niedostępna przez ponad 5 000 000 użytkownikogodzin, przy czym pojęcie „użytkownikogodziny” odnosi się do liczby dotkniętych incydentem użytkowników w Unii przez okres sześćdziesięciu minut;
2. incydent doprowadził do utraty integralności, autentyczności lub poufności przechowywanych lub przekazywanych bądź przetwarzanych danych lub powiązanych usług, oferowanych bądź dostępnych poprzez sieci i systemy informatyczne dostawcy usług cyfrowych, która dotknęła ponad 100 000 użytkowników w Unii;
3. incydent spowodował ryzyko dla bezpieczeństwa publicznego lub ryzyko wystąpienia ofiar śmiertelnych;
4. incydent wyrządził co najmniej jednemu użytkownikowi w Unii stratę materialną, której wysokość przekracza 1 000 000 EUR.

Do zadań ministra właściwego do spraw informatyzacji należy m. opracowanie Strategii Cyberbezpieczeństwa, prowadzenie polityki informacyjnej na temat krajowego systemu cyberbezpieczeństwa, realizacja obowiązków sprawozdawczych wobec instytucji unijnych oraz uruchomienie z dniem 1 stycznia 2021 r. systemu teleinformatycznego, umożliwiającego zautomatyzowane zgłaszanie i obsługę incydentów, szacowanie ryzyka teleinformatycznego, ostrzeganie o zagrożeniach cyberbezpieczeństwa.

Zespoły CSIRT poziomu krajowego będą współpracować ze sobą, aby zapewnić spójny i kompletny system zarządzania ryzykiem w zakresie cyberbezpieczeństwa państwa oraz obsługę zgłoszonych incydentów, w tym zwłaszcza incydentów poważnych i krytycznych, najpoważniejszych z punktu widzenia państwa.

Do zadań CSIRT NASK, CSIRT GOV i CSIRT MON, należy koordynacja obsługi incydentów zgłaszanych przez:

CSIRT NASK:

CSIRT GOV:

CSIRT MON:

Organ właściwy - kim jest

ORGAN WŁAŚCIWY

Ustawa powołuje także organy właściwe ds. cyberbezpieczeństwa odpowiedzialne za sprawowanie nadzoru wobec operatorów usług kluczowych i usług cyfrowych. Operatorzy usług kluczowych będą zobowiązani do wdrożenia skutecznych zabezpieczeń, szacowania ryzyka związanego z cyberbezpieczeństwem oraz przekazywania informacji o poważnych incydentach oraz ich obsługi we współpracy z CSIRT poziomu krajowego.

ZADANIA ORGANU WŁAŚCIWEGO (OW)

Procedura zakwalifikowania podmiotu jako operatora usługi kluczowej.

Za niewykonanie wyżej wymienionych obowiązków, w rozdziale 14 Ustawy, przewidziano zastosowanie kar finansowych.

Rodzaje incydentów:

PRZEKAZYWANIE INFORMACJI O INCYDENCIE PRZEZ OPERATORA USŁUGI KLUCZOWEJ

Ustawa przedstawia szczegółowo klasyfikację incydentów oraz zakres kompetencji CSIRT MON, CSIRT NASK, CSIRT GOV.

OBSŁUGA INCYDENTU

SEKTOROWY ZESPOŁ CYBERBEPIECZEŃSTWA (SCZ)

Przy Ministrze Cyfryzacji działa Pojedynczy Punkt Kontaktowy (PPK), który jest odpowiedzialny m. za:

Współpraca PPK z innymi organami:

Przygotowanie ustawy poprzedzone zostało wstępnymi konsultacjami z przedstawicielami resortów kluczowych z punktu widzenia funkcjonowania krajowego systemu cyberbezpieczeństwa, przewidzianych w projekcie ustawy organów właściwych oraz z reprezentantami sektorów wskazanymi w załączniku do projektu. Ustawa realizuje zapisy Krajowych Ram Polityki Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017 – 2022.

Strategia Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2019-2024

Strategia Cyberbezpieczeństwa RP na lata 2019-2024 została zaakceptowana przez Radę Ministrów
w dniu 22 października 2019 r., a 29 października podpisał ją premier Mateusz Morawiecki. Obowiązuje od 31 października 2019 roku. Treść uchwały Rady Ministrów jest dostępna tutaj.

Strategia zastępuje Krajowe Ramy Polityki Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017-2022.

Głównym celem Strategii jest podniesienie poziomu odporności na cyberzagrożenia oraz poziomu ochrony informacji w sektorach: publicznym, militarnym i prywatnym. Na lepszą ochronę informacji wpłynie też promowanie wiedzy i dobrych praktyk wśród obywateli.

W dokumencie określono pięć celów szczegółowych.

W ciągu pół roku od przyjęcia dokumentu Minister Cyfryzacji, przy współpracy z członkami Rady Ministrów, kierownikami urzędów centralnych, Dyrektorem Rządowego Centrum Bezpieczeństwa opracuje i przedstawi Plan Działań na rzecz wdrożenia Strategii Cyberbezpieczeństwa. W Planie Działań zostaną określone konkretne działania dla organów administracji rządowej, wraz z harmonogramem ich realizacji oraz miernikami pozwalającym ocenić stan realizacji poszczególnych działań.

REALIZACJA ZADAŃ NADZOROWANYCH PRZEZ MINISTRA CYFRYZACJI

Minister właściwy do spraw informatyzacji realizuje swoje zadania również we współpracy z jednostkami podległymi (Centrum Projektów Polska Cyfrowa), nadzorowanymi (Centralny Ośrodek Informatyki, Instytut Łączności – Państwowy Instytut Badawczy, Instytut Maszyn Matematycznych, Instytut Technik Innowacyjnych EMAG, Naukowa i Akademicka Sieć Komputerowa – NASK Państwowy Instytut Badawczy – NASK PIB) oraz organami nadzorowanymi (Prezes Urzędu Komunikacji Elektronicznej).

Ponadto, na poziomie operacyjnym funkcjonują następujące rozwiązania: CSIRT NASK, działający w NASK PIB jest pierwszym polskim zespołem reagowania na incydenty cyberbezpieczeństwa, którego zadaniem jest rejestrowanie i obsługa zdarzeń naruszających bezpieczeństwo sieci, oraz wykrywanie i analiza zagrożeń wymierzonych przeciwko polskim internautom lub zagrażających domenie „. pl”. CSIRT NASK współpracuje ponadto z podobnymi podmiotami na świecie, zarówno w ramach działalności operacyjnej, jak i badawczo-wdrożeniowej.

Centrum Cyberbezpieczeństwa - utworzone w roku 2016 w strukturach NASK PIB, jest jednym z podmiotów krajowego systemu cyberbezpieczeństwa odpowiedzialnym za bezpieczeństwo cyberprzestrzeni RP. Centrum, która działając w systemie 24/7 monitoruje zagrożenia, przyjmuje i obsługuje incydenty cyberbezpieczeństwa i zarządza trybem informowania o zagrożeniach sieciowych. Centrum zajmuje się również obsługą zgłoszeń szkodliwych i nielegalnych treści – Dyżurnet. pl. W ramach Centrum powstał system partnerskiej współpracy z kilkudziesięcioma podmiotami kluczowymi dla gospodarki kraju.

POZOSTAŁE PROJEKTY

Rządowy Klaster Cyberbezpieczeństwa jest projektem mającym zapewnić systemom administracji państwowej bezpieczny, efektywny dostęp do zasobów Internetu przy jednoczesnym zapewnieniu bezpieczeństwa użytkowników oraz zapewnienie niezakłóconej komunikacji pomiędzy instytucjami państwowymi, nawet w wypadku ataku na dużą skalę. Klaster będzie w szczególności zapewniał bezpieczeństwo serwisów informacyjnych państwa, biuletynów informacji publicznej, bezpieczną pocztę elektroniczną, bezpieczny dostęp do centralnych baz danych i usług dla obywateli. Prezes Rady Ministrów wyraziła zgodę na budową Rządowego Klastra Cyberbezpieczeństwa w lecie 2017 roku.

Zintegrowany system bieżącego zarządzania bezpieczeństwem Cyberprzestrzeni RP ma za zadanie zapewnienie informacji o bieżącym stanie bezpieczeństwa teleinformatycznego niezbędnego do oceny sytuacji i stanu bezpieczeństwa cyberprzestrzeni w Polsce. System będzie dokonywał powyższej oceny na podstawie zarejestrowanych incydentów pochodzących z kluczowych sektorów gospodarki oraz korelacji i analiz własnych. Koordynatorem systemu będzie Centrum Cyberbezpieczeństwa (NASK-PIB).

KRAJOWY SYSTEM OCENY I CERTYFIKACJI

Z uwagi na procesy globalizacyjne niezbędne jest włączenie Polski w międzynarodowy system oceny i certyfikacji oparty na międzynarodowych normach i standardach. Polska aktywnie włącza się w ustanowienie europejskiego systemu oceny i certyfikacji produktów oraz usług sektora technologii informatycznych i komunikacyjnych.

Obecnie trwają intensywne prace nad projektem rozporządzenia RE i PE tzw. Cybersecurity Act. W projektowanym dokumencie zapisano m. potrzebę utworzenia Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa, która zajmie się uregulowaniem europejskich ram certyfikacji cyberbezpieczeństwa na poziomie unijnym celem zwiększenia zaufania obywateli i przedsiębiorców do jednolitego rynku cyfrowego.

W lutym br. Polska dołączyła do grupy państw sygnatariuszy porozumienia SOGIS (Senior Official Group Information Security Systems), dzięki czemu będziemy mogli w przyszłości samodzielnie oceniać i certyfikować wyroby IT zgodne z powszechnie uznawaną normą oceny (ewaluacji) bezpieczeństwa teleinformatycznego, czyli PN - ISO/IEC 15408: Technika informatyczna – Techniki zabezpieczeń - Kryteria oceny zabezpieczeń informatycznych (znana jako Common Criteria).

EDUKACJA W DZIEDZINIE CYBERBEZPIECZEŃSTWA

Propozycje konkretnych działań dot. tego obszaru znajdują się w Krajowych Ramach Polityki Cyberbezpieczeństwa Rzeczpospolitej Polski na lata 2017-2022 oraz w przepisach projektu ustawy o krajowym systemie cyberbezpieczeństwa. Projekt zakłada wśród obowiązków podmiotów publicznych zapewnienie użytkownikowi usługi kluczowej dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami. W projekcie przewidziano także zadanie dla CSIRT NASK prowadzenia działań z zakresu budowania świadomości w obszarze cyberbezpieczeństwa, prowadzenia współpracy w zakresie rozwiązań edukacyjnych w obszarze cyberbezpieczeństwa. Krajowe Ramy uwzględniają rozwijanie na polskich uczelniach interdyscyplinarnych specjalizacji związanych z cyberbezpieczeństwem i rozwojem nowych technologii oraz podnoszenie kwalifikacji nauczycieli informatyki. Tematyka bezpiecznego korzystania z cyberprzestrzeni ma wg Krajowych Ram być elementem programu nauczania już na poziomie kształcenia wczesnoszkolnego.

Edukacja społeczna realizowana przez administrację publiczną w tym MC, we współpracy z organizacjami pozarządowymi oraz ośrodkami akademickimi, przekłada się na systemowe działania uwrażliwiające społeczeństwo na zagrożenia płynące z w cyberprzestrzeni, a także działania edukacyjne w zakresie praw i wolności w środowisku cyfrowym. Krajowe Ramy przewidują m. kampanie społeczne, skierowane do różnych grup docelowych (między innymi dzieci, rodziców, seniorów). Administracja publiczna ma wspierać wszelkie działania, zarówno operatorów usług kluczowych jak i dostawców usług cyfrowych, w zakresie podejmować działania edukacyjne i informacyjne. Celem działań będzie zapewnienie użytkownikom końcowym dostępu do wiedzy pozwalającej na zrozumienie zagrożeń w cyberprzestrzeni i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami. W myśl projektu ustawy o KSC, minister właściwy do spraw informatyzacji będzie prowadził działania informacyjne dotyczące dobrych praktyk, programów edukacyjnych, kampanii i szkoleń na rzecz poszerzania wiedzy i podnoszenia świadomości z zakresu cyberbezpieczeństwa, w tym bezpiecznego korzystania z Internetu przez różne kategorie użytkowników.

Edukacja ekspercka obejmuje z kolei wypracowanie skuteczniej formy przeciwdziałań dla rozwijającej się cyberprzestępczości, w oparciu o system szkoleń dla pracowników podmiotów istotnych dla funkcjonowania bezpieczeństwa w cyberprzestrzeni oraz dla przedstawicieli organów ścigania i wymiaru sprawiedliwości.

1. 

Systemy teleinformatyczne, w których mają być przetwarzane informacje niejawne, podlegają akredytacji bezpieczeństwa teleinformatycznego.

2. 

Akredytacji, o której mowa w ust. 1, udziela się na czas określony, nie dłuższy niż 5 lat.

3. 

ABW albo SKW udziela akredytacji bezpieczeństwa teleinformatycznego dla systemu teleinformatycznego przeznaczonego do przetwarzania informacji niejawnych o klauzuli "poufne" lub wyższej.

4. 

ABW albo SKW udziela albo odmawia udzielenia akredytacji, o której mowa w ust. 3, w terminie 6 miesięcy od otrzymania kompletnej dokumentacji bezpieczeństwa systemu teleinformatycznego. W uzasadnionych przypadkach, w szczególności wynikających z rozległości systemu i stopnia jego skomplikowania, termin ten może być przedłużony o kolejne 6 miesięcy. Od odmowy udzielenia akredytacji nie służy odwołanie.

5. 

Potwierdzeniem udzielenia przez ABW albo SKW akredytacji, o której mowa w ust. 3, jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego.

6. 

Świadectwo, o którym mowa w ust. 5, wydaje się na podstawie:

1)

zatwierdzonej przez ABW albo SKW dokumentacji bezpieczeństwa systemu teleinformatycznego;

2)

wyników audytu bezpieczeństwa systemu teleinformatycznego przeprowadzonego przez ABW albo SKW.

7. 

Świadectwo, o którym mowa w ust. 5, powinno zawierać:

3)

oznaczenie podmiotu występującego z wnioskiem o jego wydanie;

4)

oznaczenie przedmiotu podlegającego akredytacji bezpieczeństwa systemu teleinformatycznego;

5)

powołanie podstawy prawnej;

6)

rozstrzygnięcie oraz uzasadnienie faktyczne i prawne;

7)

wskazanie okresu ważności świadectwa;

8)

podpis, z podaniem imienia i nazwiska oraz stanowiska osoby upoważnionej do jego wydania.

8. 

ABW albo SKW może odstąpić od przeprowadzenia audytu bezpieczeństwa systemu teleinformatycznego, o którym mowa w ust. 6 pkt 2, jeżeli system jest przeznaczony do przetwarzania informacji niejawnych o klauzuli "poufne".

9. 

Kierownik jednostki organizacyjnej udziela akredytacji bezpieczeństwa teleinformatycznego dla systemu teleinformatycznego przeznaczonego do przetwarzania informacji niejawnych o klauzuli "zastrzeżone" przez zatwierdzenie dokumentacji bezpieczeństwa systemu teleinformatycznego.

10. 

W przypadku gdy system, o którym mowa w ust. 9, będzie funkcjonował w więcej niż jednej jednostce organizacyjnej, akredytacji, o której mowa w ust. 9, udziela kierownik jednostki organizującej system.

11. 

W ciągu 30 dni od udzielenia akredytacji bezpieczeństwa teleinformatycznego, o której mowa w ust. 9, kierownik jednostki organizacyjnej przekazuje odpowiednio ABW lub SKW dokumentację bezpieczeństwa systemu teleinformatycznego.

12. 

W ciągu 30 dni od otrzymania dokumentacji bezpieczeństwa systemu teleinformatycznego ABW albo SKW może przedstawić kierownikowi jednostki organizacyjnej, który udzielił akredytacji bezpieczeństwa teleinformatycznego, zalecenia dotyczące konieczności przeprowadzenia dodatkowych czynności związanych z bezpieczeństwem informacji niejawnych. Kierownik jednostki organizacyjnej w terminie 30 dni od otrzymania zalecenia informuje odpowiednio ABW lub SKW o realizacji zaleceń. W szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie teleinformatycznym posiadającym akredytację bezpieczeństwa teleinformatycznego.

13. 

Prezes Rady Ministrów określi, w drodze rozporządzenia, wzór świadectwa akredytacji bezpieczeństwa systemu teleinformatycznego.

14. 

W rozporządzeniu, o którym mowa w ust. 13, Prezes Rady Ministrów uwzględni we wzorze świadectwa zakres danych określonych w ust. 7 oraz zapewni zróżnicowanie wzorów świadectw wydawanych przez ABW oraz SKW.

1. 

Dokument szczególnych wymagań bezpieczeństwa systemu teleinformatycznego powinien zawierać w szczególności wyniki procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie teleinformatycznym oraz określać przyjęte w ramach zarządzania ryzykiem sposoby osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa systemu, a także opisywać aspekty jego budowy, zasady działania i eksploatacji, które mają związek z bezpieczeństwem systemu lub wpływają na jego bezpieczeństwo. Przebieg i wyniki procesu szacowania ryzyka mogą zostać przedstawione w odrębnym dokumencie niż dokument szczególnych wymagań bezpieczeństwa.

2. 

Dokument szczególnych wymagań bezpieczeństwa opracowuje się na etapie projektowania, w razie potrzeby konsultuje z ABW albo SKW, bieżąco uzupełnia na etapie wdrażania i modyfikuje na etapie eksploatacji przed dokonaniem zmian w systemie teleinformatycznym.

3. 

Dokument procedur bezpiecznej eksploatacji opracowuje się na etapie wdrażania oraz modyfikuje na etapie eksploatacji przed dokonaniem zmian w systemie teleinformatycznym.

4. 

Podstawą dokonywania wszelkich zmian w systemie teleinformatycznym jest przeprowadzenie procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w tym systemie.

5. 

Kierownik jednostki organizacyjnej, w której będzie funkcjonował system teleinformatyczny, odpowiada za opracowanie oraz przekazanie odpowiednio ABW lub SKW dokumentacji bezpieczeństwa systemu teleinformatycznego, z zastrzeżeniem art. 48 ust. 9.

6. 

W przypadku gdy system teleinformatyczny będzie funkcjonował w więcej niż jednej jednostce organizacyjnej, za opracowanie oraz przekazanie odpowiednio ABW lub SKW dokumentacji bezpieczeństwa systemu teleinformatycznego odpowiada kierownik jednostki organizującej system.

7. 

Kierownik jednostki organizacyjnej akceptuje wyniki procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych oraz jest odpowiedzialny za właściwą organizację bezpieczeństwa teleinformatycznego.

8. 

W terminie 30 dni od otrzymania dokumentacji bezpieczeństwa systemu teleinformatycznego przeznaczonego do przetwarzania informacji niejawnych o klauzuli "poufne" lub wyższej ABW albo SKW przeprowadza na jej podstawie ocenę bezpieczeństwa tego systemu. Pozytywny wynik oceny stanowi podstawę do zatwierdzenia przez ABW albo SKW dokumentacji bezpieczeństwa systemu teleinformatycznego. W uzasadnionych przypadkach, w szczególności wynikających ze stopnia skomplikowania systemu, termin przeprowadzenia oceny może być przedłużony o kolejne 30 dni.

9. 

Prezes Rady Ministrów określi, w drodze rozporządzenia, podstawowe wymagania bezpieczeństwa teleinformatycznego, jakim powinny odpowiadać systemy teleinformatyczne, niezbędne dane, jakie powinna zawierać dokumentacja bezpieczeństwa systemów informatycznych oraz sposób opracowania tej dokumentacji.

10. 

W rozporządzeniu, o którym mowa w ust. 9, Prezes Rady Ministrów uwzględni w szczególności wymagania w zakresie zarządzania ryzykiem oraz dotyczące zapewnienia poufności, integralności i dostępności informacji niejawnych przetwarzanych w systemach teleinformatycznych.

1. 

Środki ochrony elektromagnetycznej przeznaczone do ochrony informacji niejawnych o klauzuli "poufne" lub wyższej podlegają badaniom i ocenie bezpieczeństwa w ramach certyfikacji prowadzonych przez ABW albo SKW.

2. 

Urządzenia i narzędzia kryptograficzne przeznaczone do ochrony informacji niejawnych podlegają badaniom i ocenie bezpieczeństwa w ramach certyfikacji prowadzonych przez ABW albo SKW.

3. 

ABW albo SKW, na wniosek zainteresowanego podmiotu, przeprowadza certyfikację urządzenia lub narzędzia służącego do realizacji zabezpieczenia teleinformatycznego, przeznaczonego do ochrony informacji niejawnych.

4. 

Pozytywne wyniki ocen bezpieczeństwa uzyskane na podstawie wyników badań prowadzonych w ramach certyfikacji, o których mowa w ust. 1-3, stanowią podstawę do wydania przez ABW albo SKW certyfikatu ochrony elektromagnetycznej, certyfikatu ochrony kryptograficznej lub certyfikatu bezpieczeństwa teleinformatycznego. Certyfikaty są wydawane, w zależności od wyników ocen bezpieczeństwa, na okres nie krótszy niż 3 lata. Od odmowy wydania certyfikatu nie służy odwołanie.

5. 

Certyfikacje, o których mowa w ust. 1-3, są prowadzone przez ABW albo SKW z pominięciem właściwości, o której mowa w art. 10 ust. 2 i 3.

6. 

Szef ABW albo Szef SKW może zlecić podmiotowi zewnętrznemu badanie urządzenia lub narzędzia służącego do ochrony informacji niejawnych, na zasadach, warunkach i w zakresie przez siebie określonych.

7. 

Bez konieczności przeprowadzania badań i oceny Szef ABW albo Szef SKW może dopuścić do stosowania w systemie teleinformatycznym przeznaczonym do przetwarzania informacji niejawnych o klauzuli "zastrzeżone" urządzenia lub narzędzia kryptograficzne, jeżeli otrzymały stosowny certyfikat wydany przez krajową władzę bezpieczeństwa państwa będącego członkiem NATO lub Unii Europejskiej lub inny uprawniony organ w NATO lub w Unii Europejskiej.

1. 

Obowiązkowi akredytacji bezpieczeństwa teleinformatycznego, o którym mowa w art. 1, nie podlegają systemy teleinformatyczne, których elementy znajdują się poza strefami ochronnymi oraz służące bezpośrednio do pozyskiwania i przekazywania w sposób niejawny informacji oraz utrwalania dowodów w trakcie realizacji czynności operacyjno-rozpoznawczych lub procesowych przez uprawnione do tego podmioty. Wyłączenie obowiązku akredytacji bezpieczeństwa teleinformatycznego nie obejmuje interfejsów, o których mowa w art. 179 ust. 4a ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2021 r. poz. 576 oraz z 2022 r. 501), oraz systemów z nimi współpracujących.

2. 

Obowiązkowi akredytacji bezpieczeństwa teleinformatycznego, o którym mowa w art. 1, oraz obowiązkowi badań i oceny bezpieczeństwa w ramach procesów certyfikacji prowadzonych przez ABW albo SKW nie podlegają systemy teleinformatyczne, urządzenia i narzędzia kryptograficzne wykorzystywane przez ABW, SKW, AW lub SWW do uzyskiwania lub przetwarzania informacji niejawnych podczas wykonywania czynności operacyjno-rozpoznawczych.

3. 

Rozwiązania informatyczne niebędące systemami teleinformatycznymi, w których mają być przetwarzane informacje niejawne, podlegają ocenie bezpieczeństwa oraz dopuszczeniu do przetwarzania informacji niejawnych.

4. 

W przypadku wątpliwości dotyczących uznania rozwiązania informatycznego za niebędące systemem informatycznym organem właściwym do ich rozstrzygnięcia jest Szef SKW.

5. 

Rozwiązania informatyczne, o których mowa w ust. 3, podlegają dopuszczeniu przez SKW.

6. 

Minister Obrony Narodowej określi, w drodze rozporządzenia, tryb oceny i sposób dopuszczania rozwiązań informatycznych, o których mowa w ust. 3, uwzględniając w szczególności zasady ochrony informacji niejawnych w razie ogłoszenia mobilizacji i w czasie wojny.

7. 

Szczegółowy tryb dopuszczania do eksploatacji, wycofywania oraz procedury wykorzystywania systemów, o których mowa w ust. 1, określą uprawnione podmioty, każdy w obszarze swojej właściwości.

1. 

Kierownik jednostki organizacyjnej wyznacza:

1)

pracownika lub pracowników pionu ochrony pełniących funkcję inspektora bezpieczeństwa teleinformatycznego, odpowiedzialnych za weryfikację i bieżącą kontrolę zgodności funkcjonowania systemu teleinformatycznego ze szczególnymi wymaganiami bezpieczeństwa oraz przestrzegania procedur bezpiecznej eksploatacji;

2)

osobę lub zespół osób, niepełniących funkcji inspektora bezpieczeństwa teleinformatycznego, odpowiedzialnych za funkcjonowanie systemu teleinformatycznego oraz za przestrzeganie zasad i wymagań bezpieczeństwa przewidzianych dla systemu teleinformatycznego, zwanych dalej "administratorem systemu".

2. 

W uzasadnionych przypadkach, za zgodą ABW albo SKW, administrator systemu lub inspektor bezpieczeństwa teleinformatycznego może wykonywać zadania w więcej niż jednej jednostce organizacyjnej na podstawie porozumienia właściwych kierowników jednostek organizacyjnych.

3. 

ABW i SKW udzielają kierownikom jednostek organizacyjnych pomocy niezbędnej do realizacji ich zadań, w szczególności wydając zalecenia w zakresie bezpieczeństwa teleinformatycznego.

4. 

Stanowiska lub funkcje, o których mowa w ust. 1, mogą zajmować lub pełnić osoby spełniające wymagania, o których mowa w art. 16, po odbyciu specjalistycznych szkoleń z zakresu bezpieczeństwa teleinformatycznego prowadzonych przez ABW albo SKW.

5. 

Koszty szkoleń, o których mowa w ust. 4, pokrywa jednostka organizacyjna, w której osoba szkolona jest zatrudniona, pełni służbę lub wykonuje prace zlecone, z zastrzeżeniem ust. 6.

6. 

Jednostki organizacyjne, o których mowa w art. 1 ust. 2 pkt 2 oraz Policja, nie pokrywają kosztów szkoleń przeprowadzonych przez ABW albo SKW.

7. 

Wzajemne prawa i obowiązki podmiotu przeprowadzającego szkolenie, uczestnika szkolenia, o którym mowa w ust. 4, oraz jednostki organizacyjnej, w której osoba szkolona jest zatrudniona, pełni służbę lub wykonuje czynności zlecone, określa umowa zawarta między tym podmiotem, uczestnikiem szkolenia oraz jednostką organizacyjną.

1. 

Za przeprowadzenie czynności, o których mowa w art. 3-6 oraz art. 50 ust. 1-4, pobiera się opłaty.

2. 

Z opłat, o których mowa w ust. 1, są zwolnione jednostki organizacyjne będące jednostkami budżetowymi.

3. 

Przedsiębiorcy obowiązani na podstawie odrębnych ustaw do wykonywania zadań publicznych na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego są zwolnieni z opłat za przeprowadzenie czynności, o których mowa w art. 3-6, w przypadku akredytacji bezpieczeństwa teleinformatycznego systemów teleinformatycznych niezbędnych do wykonania tych zadań.

4. 

Prezes Rady Ministrów określi, w drodze rozporządzenia, szczegółowy sposób i tryb ustalania wysokości oraz poboru opłat, o których mowa w ust. 1.

5. 

Wydając rozporządzenie, o którym mowa w ust. 4, uwzględnia się odpowiednio:

1)

łączne koszty ponoszone na przeprowadzenie czynności, o których mowa w art. 1-4;

2)

wysokość kwoty bazowej w postaci kwoty przeciętnego miesięcznego wynagrodzenia w sektorze przedsiębiorstw bez wypłaty nagród z zysku za ubiegły rok, ogłoszonego przez Prezesa Głównego Urzędu Statystycznego na podstawie art. 60 pkt 5 ustawy z dnia 15 lipca 2011 r. o zawodach pielęgniarki i położnej;

3)

wysokości poszczególnych opłat, o których mowa w ust. 1, stanowiące krotność kwoty bazowej - odpowiednio do stopnia skomplikowania przeprowadzonych czynności;

4)

maksymalną wysokość opłat, o których mowa w ust. 1, stanowiącą równowartość nieprzekraczającą stukrotności kwoty bazowej;

5)

minimalną wysokość opłat, o których mowa w ust. 1, stanowiącą równowartość 0, 1 kwoty bazowej - za godzinę pracy osoby wykonującej określone czynności;

6)

potrzebę sprawnego i szybkiego przeprowadzania procesu ustalania i poboru opłat, o których mowa w ust.