§ 1. 1. Przyjmuje się Inicjatywę „Wspólna Infrastruktura Informatyczna Państwa”, zwaną dalej „Inicjatywą WIIP”.

2. Inicjatywa WIIP obejmuje:

1) budowę, rozwój i utrzymanie oraz zarządzanie zasobami Rządowej Chmury Obliczeniowej, z wykorzystaniem w szczególności sieci teletransmisji pozostających w dyspozycji podmiotów publicznych;

2) budowę, rozwój i utrzymanie Rządowego Klastra Bezpieczeństwa;

3) zapewnienie podmiotom administracji publicznej możliwości nabywania usług przetwarzania w publicznych chmurach obliczeniowych;

4) budowę i utrzymanie systemu teleinformatycznego wspomagającego zarządzanie usługami przetwarzania w Rządowej Chmurze Obliczeniowej i w publicznych chmurach obliczeniowych, zwanego dalej „Systemem Zapewnienia Usług Chmurowych”;

5) określenie Standardów Cyberbezpieczeństwa Chmur Obliczeniowych.

3. Realizację Inicjatywy WIIP powierza się ministrowi właściwemu do spraw informatyzacji.

§ 2. Użyte w uchwale określenia oznaczają:

1) Centrum Przetwarzania Danych (CPD) - serwerownię w zasobach administracji rządowej lub obiekt budowlany, w którym zlokalizowana jest infrastruktura teleinformatyczna i związane z nią elementy (np.: systemy telekomunikacyjne, zasoby przetwarzania) wraz z nadmiarowymi źródłami zasilania, dodatkowymi sieciami teletransmisyjnymi, środkami kontroli środowiska (np. klimatyzacją, systemami gaśniczymi), urządzeniami i systemami bezpieczeństwa oraz ochroną fizyczną obiektu;

2) chmura hybrydowa - sposób wdrażania chmury obliczeniowej, w którym infrastruktura składa się z dwóch lub więcej odrębnych infrastruktur teleinformatycznych dostarczanych z chmury obliczeniowej (prywatnej, wspólnotowej lub publicznej), które pozostają odrębnymi jednostkami powiązanymi ze sobą znormalizowaną lub zastrzeżoną technologią, umożliwiającą przenoszenie danych i aplikacji między chmurami obliczeniowymi (np. w celu równoważenia obciążenia);

3) chmura obliczeniowa - model przetwarzania umożliwiający powszechny i wygodny dostęp za pośrednictwem sieci do wspólnej puli konfigurowalnych zasobów przetwarzania (np. sieci, serwerów, pamięci masowych, aplikacji i usług), które są szybko udostępniane z katalogu usług przy minimalnym wysiłku ze strony zespołów zarządzania lub dostawcy usług, składający się z trzech modeli usług (SaaS, PaaS, IaaS), czterech sposobów wdrażania chmur (chmura prywatna, chmura wspólnotowa, chmura publiczna, chmura hybrydowa) oraz charakteryzujący się pięcioma zasadniczymi cechami (samoobsługą na żądanie, szerokim dostępem do sieci, dynamicznym gromadzeniem zasobów, szybkim i elastycznym przydzielaniem i zwalnianiem zasobów, pomiarami i optymalizacją usług), w którym stosowana jest zasada współdzielonej odpowiedzialności między dostawcą i odbiorcą usług chmurowych, a kluczowe technologie wykorzystywane do budowy tego modelu obejmują: szybkie i wydajne sieci rozległe, wydajne oraz relatywnie niedrogie serwery (uwzględniając ich liczbę) oraz wysokowydajną wirtualizację sprzętu;

4) chmura prywatna - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest udostępniana do wyłącznego użytku przez jedną organizację obejmującą wielu odbiorców usług, może być własnością tej organizacji, strony trzeciej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana oraz zainstalowana w siedzibie tej organizacji lub poza nią;

5) chmura publiczna - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest udostępniana do użytku publicznego, może być własnością organizacji biznesowej, akademickiej lub rządowej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana oraz jest zainstalowana w siedzibie dostawcy chmury;

6) chmura wspólnotowa - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest przeznaczona do wyłącznego użytku przez określoną grupę organizacji mających wspólne założenia (m.in. misję, wymagania bezpieczeństwa, politykę, zgodność z regulacjami), może być własnością jednej lub więcej organizacji wchodzącej w skład grupy, strony trzeciej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana i jest zainstalowana w siedzibie organizacji lub poza nią;

7) infrastruktura chmury - zasoby przetwarzania stanowiące zbiór sprzętu i oprogramowania zgrupowanego w puli zasobów, umożliwiający spełnienie pięciu zasadniczych cech przetwarzania w chmurze obliczeniowej zawierające warstwę zarówno fizyczną (składającą się z zasobów sprzętowych, które są niezbędne do obsługi dostarczanych usług w chmurze obliczeniowej i zazwyczaj obejmują składniki serwera, pamięci masowej i sieci), jak i warstwę abstrakcji znajdującą się powyżej warstwy fizycznej (składającą się z oprogramowania rozmieszczonego w warstwie fizycznej, która posiada zasadnicze cechy chmury obliczeniowej);

8) infrastruktura jako usługa (IaaS) - model usługi chmurowej zapewniający infrastrukturę chmury, na której odbiorca usług jest w stanie wdrożyć i uruchomić dowolne oprogramowanie (systemy operacyjne i aplikacje), jednak nie zarządza ani nie kontroluje infrastruktury chmury, z wyjątkiem kontroli nad systemami operacyjnymi, pamięcią masową i wdrożonymi aplikacjami oraz, ewentualnie, ograniczonej kontroli nad wybranymi komponentami sieciowymi (np. zapór sieciowych);

9) platforma jako usługa (PaaS) - model usługi chmurowej umożliwiający odbiorcy usług wdrożenie na infrastrukturze chmury aplikacji stworzonych przez siebie lub nabytych, które zostały przygotowane przy użyciu języków programowania, bibliotek, usług i narzędzi obsługiwanych przez dostawcę, w przypadku której odbiorca usług nie zarządza ani nie kontroluje infrastruktury chmury, w tym sieci, serwerów, systemów operacyjnych oraz pamięci masowych, ale ma kontrolę nad wdrożonymi aplikacjami i, ewentualnie, nad ustawieniami konfiguracji dla środowiska udostępnienia aplikacji;

10) oprogramowanie jako usługa (SaaS) - model usługi chmurowej umożliwiający odbiorcy usług wykorzystanie aplikacji uruchomionych na infrastrukturze chmury dostarczanej przez dostawcę usług dostępnej na różnych urządzeniach klienckich za pośrednictwem np. przeglądarki internetowej lub klienta aplikacji oraz w przypadku której odbiorca usług nie zarządza ani nie kontroluje infrastruktury chmury, w tym sieci, serwerów, systemów operacyjnych, pamięci masowej, a nawet parametrów konfiguracyjnych aplikacji, z wyjątkiem ograniczonych ustawień konfiguracji aplikacji specyficznych dla użytkownika;

11) publiczne chmury obliczeniowe - usługi chmury publicznej świadczone przez dostawców komercyjnych spełniające w szczególności wymagania w zakresie poufności, integralności i dostępności zdefiniowanych pod kątem zapewnienia bezpieczeństwa informacji administracji publicznej;

12) Rządowa Chmura Obliczeniowa - chmurę wspólnotową administracji publicznej;

13) Rządowy Klaster Bezpieczeństwa (RKB) - usługi bezpieczeństwa oraz środki techniczne stosowane do zabezpieczenia Rządowej Chmury Obliczeniowej będące implementacją wymagań Standardów Cyberbezpieczeństwa Chmur Obliczeniowych;

14) sieci rządowe - sieci teletransmisyjne zarządzane przez ministra właściwego do spraw wewnętrznych;

15) Standardy Cyberbezpieczeństwa Chmur Obliczeniowych (SCCO) - zbiór wymagań prawnych, organizacyjnych i technicznych zapewniających cyberbezpieczeństwo w modelach wdrażania chmur obliczeniowych.

§ 3. Minister właściwy do spraw informatyzacji, w porozumieniu z ministrem właściwym do spraw wewnętrznych, Ministrem Obrony Narodowej oraz Ministrem - Członkiem Rady Ministrów, Koordynatorem Służb Specjalnych, określa Standardy Cyberbezpieczeństwa Chmur Obliczeniowych.

§ 4. 1. Minister właściwy do spraw informatyzacji zapewnia budowę, rozwój i utrzymanie oraz zarządzanie zasobami Rządowej Chmury Obliczeniowej, jako operator Rządowej Chmury Obliczeniowej.

2. Minister właściwy do spraw informatyzacji może powierzyć realizację we własnym imieniu zadania, o którym mowa w ust. 1, jednostce przez niego nadzorowanej.

3. Operator Rządowej Chmury Obliczeniowej tworzy katalog usług przetwarzania w Rządowej Chmurze Obliczeniowej i udostępnia go podmiotom, o których mowa w § 6 ust. 1, których systemy teleinformatyczne spełniają kryteria klasyfikacji do korzystania z usług przetwarzania w Rządowej Chmurze Obliczeniowej.

4. Usługi przetwarzania w Rządowej Chmurze Obliczeniowej będą świadczone, w szczególności w modelach „infrastruktura jako usługa” (IaaS), „platforma jako usługa” (PaaS) oraz „oprogramowanie jako usługa” (SaaS).

5. Usługi przetwarzania w Rządowej Chmurze Obliczeniowej będą świadczone w CPD, których posiadaczami są organy administracji rządowej.

6. Organy administracji rządowej współpracują z ministrem właściwym do spraw informatyzacji, w celu świadczenia usług przetwarzania w Rządowej Chmurze Obliczeniowej w oparciu o posiadane przez nie zasoby teleinformatyczne.

§ 5. 1. CPD, o których mowa w § 4 ust. 5, będą przyłączone do Rządowej Chmury Obliczeniowej z inicjatywy operatora Rządowej Chmury Obliczeniowej. Warunkiem przyłączenia jest złożenie operatorowi Rządowej Chmury Obliczeniowej przez posiadacza CPD pisemnego oświadczenia potwierdzającego spełnienie minimalnych wymagań organizacyjnych i technicznych dla posiadaczy CPD oraz ich CPD przyłączonych do Rządowej Chmury Obliczeniowej, określonych w załączniku nr 1 do uchwały.

2. Do oświadczenia, o którym mowa w ust. 1, posiadacz CPD dołącza uwierzytelnioną kopię obowiązującego porozumienia zawartego między posiadaczem CPD a ministrem właściwym do spraw wewnętrznych, regulującego kwestie związane z korzystaniem z sieci rządowej.

3. Sposób i zakres przyłączenia oraz zasady korzystania z CPD przyłączonego do Rządowej Chmury Obliczeniowej określa porozumienie zawarte między posiadaczem CPD a ministrem właściwym do spraw informatyzacji.

4. Zasady i sposób wykorzystania sieci rządowej na potrzeby Rządowej Chmury Obliczeniowej określa porozumienie zawarte między właściwym operatorem sieci rządowej a ministrem właściwym do spraw informatyzacji. Ocena spełniania przez posiadacza CPD minimalnych wymagań organizacyjnych i technicznych w zakresie możliwości przyłączenia CPD do sieci rządowej będzie każdorazowo dokonywana przez strony porozumienia.

5. Przepisu ust. 4 nie stosuje się, w przypadku gdy przed datą zawarcia porozumienia, o którym mowa w ust. 4, posiadacz CPD zawarł z ministrem właściwym do spraw wewnętrznych porozumienie regulujące kwestie związane z korzystaniem z sieci rządowej.

§ 6. 1. Z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub publicznych chmurach obliczeniowych mogą korzystać:

1) podmioty sektora finansów publicznych, o których mowa w art. 9 pkt 1-13 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2021 r. poz. 305, 1236, 1535, 1773, 1927 i 1981);

2) inne państwowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych, z wyłączeniem przedsiębiorstw, banków i spółek prawa handlowego;

3) inne, niż określone w ustawie z dnia 27 sierpnia 2009 r. o finansach publicznych, państwowe jednostki organizacyjne nieposiadające osobowości prawnej.

2. Korzystanie przez podmioty, o których mowa w ust. 1, z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub publicznych chmurach obliczeniowych uzależnione jest od spełnienia kryteriów klasyfikacji systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych, określonych w załączniku nr 2 do uchwały.

§ 7. 1. Podmioty, o których mowa w § 6 ust. 1, w celu skorzystania z usług przetwarzania w Rządowej Chmurze Obliczeniowej, wnioskują do ministra właściwego do spraw informatyzacji o zawarcie porozumienia określającego szczegółowe warunki techniczne korzystania z usług przetwarzania w Rządowej Chmurze Obliczeniowej oraz prawa i obowiązki stron, w szczególności:

1) zastosowane standardy techniczne świadczenia usług;

2) podział odpowiedzialności i jej ograniczenia;

3) zasady przeprowadzania lub zlecania przez strony audytu dotyczącego sposobu realizacji porozumienia;

4) procedury rozpoczęcia korzystania z usług;

5) podział obowiązków i odpowiedzialności związany z korzystaniem z usług, w tym obowiązki dostawcy usług oraz zapewnienie ustalonego w porozumieniu poziomu jakości świadczenia usług (SLA);

6) zasady obsługi technicznej świadczonej w ramach utrzymania usług;

7) obowiązki w zakresie praw własności intelektualnej;

8) procedury bezpieczeństwa oraz zasady reagowania na incydenty;

9) obowiązki w zakresie ochrony danych osobowych;

10) procedury rezygnacji podmiotu z korzystania z usług oraz warunki wypowiedzenia porozumienia;

11) zasady prowadzenia rozliczeń za korzystanie z usług;

12) obowiązki informacyjne w zakresie świadczenia usług.

2. Podmioty, o których mowa w § 6 ust. 1, nie mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej w celu prowadzenia działalności gospodarczej.

§ 8. Podmioty, o których mowa w § 6 ust. 1, w celu skorzystania z usług przetwarzania w publicznych chmurach obliczeniowych wnioskują do właściwego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego działającego na poziomie krajowym prowadzonego przez Ministra Obrony Narodowej, Naukową i Akademicką Sieć Komputerową - Państwowy Instytut Badawczy lub Szefa Agencji Bezpieczeństwa Wewnętrznego o wydanie opinii w zakresie możliwości wykorzystania publicznych chmur obliczeniowych. Niewydanie opinii w terminie 30 dni od dnia otrzymania wniosku jest równoznaczne z wydaniem opinii pozytywnej.

§ 9. 1. RKB obejmuje usługi:

1) bezpieczeństwa teleinformatycznego, świadczone w oparciu o przeznaczone do tego celu systemy bezpieczeństwa realizujące zadania wyłącznie na potrzeby Inicjatywy WIIP;

2) monitorowania poziomu bezpieczeństwa opartego o przeznaczone do tego celu zespoły:

a) Centrum Zarządzania Siecią (Network Operations Center „NOC”),

b) Operacyjnego Centrum Bezpieczeństwa (Security Operations Center „SOC”).

2. RKB zapewnia bezpieczeństwo:

1) połączenia między poszczególnymi CPD, w których umieszczona zostanie infrastruktura Rządowej Chmury Obliczeniowej;

2) komunikacji między Rządową Chmurą Obliczeniową a odbiorcami jej usług w oparciu o udostępnioną dla CPD i odbiorców usług infrastrukturę sieci rządowej;

3) połączenia infrastruktury teleinformatycznej Rządowej Chmury Obliczeniowej z publiczną siecią Internet przez przeznaczone do tego celu zabezpieczone punkty styku.

3. Zasoby teletransmisyjne wykorzystane do podłączenia odbiorców usług przetwarzania w Rządowej Chmurze Obliczeniowej oraz sposób ich finansowania będą każdorazowo uzgadniane między ministrem właściwym do spraw informatyzacji a odbiorcą usług w porozumieniu, o którym mowa w § 7 ust. 1.

4. Operatorem RKB jest minister właściwy do spraw informatyzacji.

5. Operator RKB w szczególności:

1) świadczy usługi bezpieczeństwa z wykorzystaniem środków technicznych i zespołów, o których mowa w ust. 1 pkt 2;

2) zapewnia utrzymanie i rozwój zespołów, o których mowa w ust. 1 pkt 2;

3) informuje o zagrożeniach bezpieczeństwa i incydentach, jak operator usługi kluczowej, o którym mowa w art. 11 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2020 r. poz. 1369);

4) planuje rozwój usług RKB;

5) uzgadnia z operatorem sieci rządowej potrzeby w zakresie wykorzystania łączy teletransmisyjnych do wymiany danych w ramach Rządowej Chmury Obliczeniowej;

6) planuje rozwój i wykorzystanie zabezpieczonych punktów styku z publiczną siecią Internet dla usług świadczonych w Rządowej Chmurze Obliczeniowej.

6. Minister właściwy do spraw informatyzacji może powierzyć realizację we własnym imieniu zadań, o których mowa w ust. 5, jednostce przez niego nadzorowanej lub innemu wybranemu podmiotowi, z zachowaniem procedur przewidzianych przepisami prawa.

§ 10. 1. Minister właściwy do spraw informatyzacji zapewnia funkcjonowanie Systemu Zapewnienia Usług Chmurowych będącego systemem teleinformatycznym wspomagającym zamawianie oraz zarządzanie usługami przetwarzania w Rządowej Chmurze Obliczeniowej i w publicznych chmurach obliczeniowych świadczonymi dla podmiotów, o których mowa w § 6 ust. 1.

2. W Systemie Zapewnienia Usług Chmurowych udostępnia się:

1) katalog usług przetwarzania w Rządowej Chmurze Obliczeniowej, regularnie aktualizowany;

2) katalog usług przetwarzania w publicznych chmurach obliczeniowych, aktualizowany po przeprowadzeniu postępowania o udzielenie zamówienia publicznego na zakup usług przetwarzania w publicznych chmurach obliczeniowych zgodnie z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (Dz. U. z 2019 r. poz. 1843 oraz z 2020 r. poz. 1086)¹⁾.

3. Usługi przetwarzania w publicznych chmurach obliczeniowych będą umieszczane w katalogu, o którym mowa w ust. 2 pkt 2, niezwłocznie po zawarciu umów.

4. Prowadzenie postępowań o udzielenie zamówienia publicznego oraz zawieranie umów w sprawie zamówień publicznych, o których mowa w ust. 3, realizowane będzie w zamówieniu wspólnym lub przez centralnego zamawiającego wskazanego przez Prezesa Rady Ministrów, zgodnie z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych.

5. Zamawiający wyznaczony do przeprowadzenia wspólnego zamówienia lub centralny zamawiający, w celu zapewnienia podmiotom, o których mowa w § 6 ust. 1, nabywania wysoce skalowalnych i niezawodnych usług przetwarzania w publicznych chmurach obliczeniowych, będzie ogłaszał postępowania o udzielenie zamówienia publicznego na świadczenie usług przetwarzania w publicznych chmurach obliczeniowych.

§ 11. 1. Źródłem finansowania Inicjatywy WIIP będą środki budżetu państwa w ramach rezerwy celowej pod nazwą „Finansowanie Inicjatywy Wspólna Infrastruktura Informatyczna Państwa”.

2. Podział rezerwy dokonywany jest zgodnie z przepisami ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, przy czym minister właściwy do spraw informatyzacji dokonuje weryfikacji i akceptacji przedłożonych wniosków o podział rezerwy.

3. Środki na rezerwę celową, o której mowa w ust. 1, będą pochodziły ze środków finansowych, które dotychczas były przeznaczone, a także były lub będą planowane na zapewnienie usług przetwarzania pozwalających na rozwój i utrzymanie systemów teleinformatycznych przenoszonych na Rządową Chmurę Obliczeniową.

§ 12. Podmioty, o których mowa w § 6 ust. 1, zamierzające korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej, projektując systemy teleinformatyczne po wejściu w życie uchwały, przeprowadzają klasyfikację, o której mowa w § 6 ust. 2.

§ 13. 1. Minister właściwy do spraw informatyzacji w terminie do końca lutego danego roku występuje do podmiotów, o których mowa w § 6 ust. 1, o wskazanie wstępnego zapotrzebowania na usługi przetwarzania w Rządowej Chmurze Obliczeniowej, w roku następnym.

2. Podmioty, o których mowa w § 6 ust. 1, w terminie do końca marca danego roku przekazują ministrowi właściwemu do spraw informatyzacji wstępne zapotrzebowanie, o którym mowa w ust. 1.

3. Minister właściwy do spraw informatyzacji w terminie do końca kwietnia danego roku ustala na podstawie zapotrzebowania, o którym mowa w ust. 2, wykaz usług przetwarzania w Rządowej Chmurze Obliczeniowej na rok następny oraz prognozowany wykaz kosztów poszczególnych usług przetwarzania w Rządowej Chmurze Obliczeniowej i przekazuje je podmiotom, o których mowa w § 6 ust. 1.

§ 13a. Jeżeli zamiar skorzystania z usług przetwarzania w publicznych chmurach obliczeniowych jest związany z przeciwdziałaniem COVID-19 w rozumieniu art. 2 ust. 2 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 1842, z późn. zm.) w związku z wysokim prawdopodobieństwem szybkiego i niekontrolowanego rozprzestrzeniania się choroby lub ochroną zdrowia publicznego, do dnia upływu terminu wskazanego w art. 36 ust. 1 tej ustawy:

1) termin, o którym mowa w § 8, wynosi 2 dni;

2) kryteriów klasyfikacji systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych określonych w załączniku nr 2 do uchwały w zakresie, w jakim dotyczą kategorii systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w publicznych chmurach obliczeniowych w jurysdykcji krajowej, nie stosuje się.

§ 14. Minister właściwy do spraw informatyzacji przekaże Kolegium do Spraw Cyberbezpieczeństwa Standardy Cyberbezpieczeństwa Chmur Obliczeniowych, o których mowa w § 3, w terminie dwóch miesięcy od dnia wejścia w życie uchwały.

§ 15. Uchwała wchodzi w życie z dniem następującym po dniu ogłoszenia, z wyjątkiem § 11, który wchodzi w życie z dniem 1 stycznia 2021 r.