§ 2. Użyte w zarządzeniu określenia oznaczają:

1) [1] dekretacja - odręczna adnotacja właściwego przełożonego umieszczona w szczególności na pierwszej stronie dokumentu lub karcie kontrolnej zabezpieczonego pieczęcią zbioru dokumentów, wskazująca osobę wyznaczoną do załatwienia sprawy lub zapoznania się odpowiednio z dokumentem lub zbiorem dokumentów, mogąca zawierać dyspozycję co do terminu i sposobu dalszego postępowania, opatrzona podpisem i datą;

2) delegatura - delegatura CBA, o której mowa w statucie CBA;

3) dokument niejawny - dokument, o którym mowa w art. 2 pkt 3 ustawy;

4) dziennik ewidencji - wszelkie zarejestrowane papierowe dzienniki, rejestry, skorowidze oraz książki służące do rejestrowania i dokumentowania obiegu dokumentów niejawnych, a także dzienniki prowadzone w systemie teleinformatycznym;

5) funkcjonariusz - funkcjonariusza lub pracownika CBA;

6) główna kancelaria tajna - wyodrębniona komórka w jednostce organizacyjnej, w której powołano pełnomocnika ochrony;

7) informatyczny nośnik danych - materiał lub urządzenie służące do zapisywania, przechowywania i odczytywania danych w postaci cyfrowej;

8) instrukcja EDEN - Instrukcja zarządzania Elektronicznym Dziennikiem Ewidencji Niejawnej Centralnego Biura Antykorupcyjnego;

9) jednostka organizacyjna - jednostka organizacyjna, o której mowa w statucie CBA, inna niż delegatura;

10) [2] jednostka rejestrująca - główna kancelaria tajna, oddział kancelarii tajnej w delegaturze lub stanowisko rejestracji;

11) kancelaria ogólna - kancelaria, o której mowa w zarządzeniu nr 36/12 Szefa CBA z dnia 27 grudnia 2012 r. w sprawie wprowadzenia w Centralnym Biurze Antykorupcyjnym instrukcji kancelaryjnej (Dz. Urz. CBA poz. 47 i z 2019 r. poz.10);

12) kancelaria tajna - komórka, o której mowa w art. 42 ust. 1 ustawy, w skład której wchodzą jednostki rejestrujące;

13) komórka organizacyjna - wydział lub referat [3] wyodrębnione w ramach jednostki organizacyjnej lub delegatury;

14) kopiowanie - w szczególności również wykonywanie odpisu, wypisu, wyciągu, wydruku, odwzorowania cyfrowego, nagrania lub tłumaczenia;

15) materiał niejawny - materiał, o którym mowa w art. 2 pkt 4 ustawy;

16) obieg wewnętrzny - obieg kancelaryjny materiałów w ramach jednej strefy ochronnej lub stref ochronnych bezpośrednio przylegających do siebie, w których przetwarza się informacje niejawne o klauzuli tajności nie niższej, niż klauzula przesyłki niejawnej;

17) obieg zewnętrzny - obieg niespełniający wymagań dla obiegu wewnętrznego;

18) pełnomocnik ochrony - pełnomocnik do spraw ochrony informacji niejawnych, o którym mowa w art. 14 ust. 2 ustawy, powołany w CBA;

19) pokwitowanie - potwierdzenie w dzienniku ewidencji, z czytelnym podaniem imienia i nazwiska, daty oraz podpisu, funkcjonariusza odbierającego dokument niejawny lub informacja w systemie teleinformatycznym potwierdzająca fakt odebrania dokumentu z wykorzystaniem mechanizmu elektronicznej akceptacji;

20) poziom zagrożeń - poziom zagrożeń związanych z utratą poufności, integralności lub dostępności informacji niejawnych, o których mowa w art. 43 ust.4 ustawy;

21) przesyłka niejawna - list lub paczka zawierające materiał niejawny;

22) przetwarzanie informacji niejawnych - przetwarzanie, o którym mowa w art. 2 pkt 5 ustawy;

23) przewoźnik - podmiot, o którym mowa w § 2 ust. 1 rozporządzenia z dnia 7 grudnia 2011 r. Prezesa Rady Ministrów w sprawie sposobu nadawania, przyjmowania, przewożenia, wydawania i ochrony materiałów zawierających informacje niejawne (Dz. U. poz. 1603);

24) rozporządzenie o KT - rozporządzenie Rady Ministrów z dnia 7 grudnia 2011 r. w sprawie organizacji i funkcjonowania kancelarii tajnych oraz sposobu i trybu przetwarzania informacji niejawnych (Dz. U. z 2017 r. poz. 1558);

25) rozporządzenie o oznaczaniu - rozporządzenie Prezesa Rady Ministrów z dnia 22 grudnia 2011 r. w sprawie sposobu oznaczania materiałów i umieszczania na nich klauzul tajności (Dz. U. poz. 1692);

26) rozporządzenie o przewożeniu - rozporządzenie z dnia 7 grudnia 2011 r. Prezesa Rady Ministrów w sprawie sposobu nadawania, przyjmowania, przewożenia, wydawania i ochrony materiałów zawierających informacje niejawne (Dz. U. poz. 1603);

27) rozporządzenie w sprawie środków bezpieczeństwa fizycznego - rozporządzenie Rady Ministrów z dnia 29 maja 2012 r. w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych (Dz. U. z 2017 r. poz. 522);

28) służba ochrony - funkcjonariusze wyznaczeni do wykonywania zadań w zakresie ochrony fizycznej obiektów, a także przebywających w nich osób;

29) [4] stanowisko rejestracji - jednostka rejestrująca utworzona w jednostce organizacyjnej;

30) strefa ochronna - części obiektu użytkowanego przez CBA, wydzielone w celu uniemożliwienia osobom nieuprawnionym dostępu do informacji niejawnych o klauzuli „poufne" lub wyższej, określone w planie ochrony;

31) system utajnionej łączności - system wymiany informacji niejawnych za pośrednictwem urządzeń kryptofaksowych;

32) [5] administrator systemu - osoba, o której mowa w art. 52 ust. 1 pkt 2 ustawy.

Rozdział 2.

Organizacja obsługi kancelaryjnej

§ 6. 1. Kancelaria tajna, jest nadzorowana w zakresie merytorycznym przez pełnomocnika ochrony i odpowiedzialna za rejestrowanie, przechowywanie, wysyłanie, obieg i wydawanie materiałów niejawnych.

2. Obsługę kancelaryjną materiałów niejawnych zapewniają jednostki rejestrujące, obsługiwane przez osoby posiadające ukończone szkolenie z zakresu obsługi kancelaryjnej materiałów niejawnych.

3. Za ukończenie szkolenia, o którym mowa w ust. 2 uważa się zaliczenie egzaminu końcowego składającego się z części pisemnej i praktycznej. Fakt niezaliczenia którejkolwiek z części egzaminu dokumentowany jest w protokole szkolenia i skutkuje koniecznością przystąpienia do egzaminu poprawkowego. Wzór protokołu, o którym mowa w zdaniu drugim stanowi załącznik nr 1.

4. [6] Osoby prowadzące obsługę kancelaryjną materiałów niejawnych są obowiązane do odbycia nie rzadziej niż raz na pięć lat szkolenia uzupełniającego z zakresu obsługi kancelaryjnej materiałów niejawnych.

5. [7] Jednostka rejestrująca prowadzi wykaz osób upoważnionych do dostępu do informacji niejawnych w obsługiwanej jednostce organizacyjnej lub delegaturze.

6. Komisję egzaminacyjną do przeprowadzenia egzaminu, o którym mowa w ust. 3 powołuje się spośród funkcjonariuszy Departamentu Ochrony CBA.

§ 7. 1. Wniosek w sprawie utworzenia oddziału kancelarii tajnej lub stanowiska rejestracji, kierownik jednostki organizacyjnej lub dyrektor delegatury składa do pełnomocnika ochrony w egzemplarzu pojedynczym. Tryb, o którym mowa w zdaniu pierwszym stosuje się odpowiednio dla funkcjonujących przed dniem wejścia w życie niniejszego zarządzenia jednostek rejestrujących.

2. We wniosku, o którym mowa w ust. 1, należy podać:

1) datę zatwierdzenia planu ochrony informacji niejawnych siedziby jednostki organizacyjnej lub delegatury, w której ma się znajdować jednostka rejestrująca;

2) [8] adres siedziby jednostki organizacyjnej lub delegatury, w której ma się znajdować jednostka rejestrująca oraz numer pomieszczenia;

3) imiona i nazwiska funkcjonariuszy przewidzianych do obsługi kancelaryjnej wraz z numerem aktualnego poświadczenia bezpieczeństwa i datą ważności, numerem aktualnego zaświadczenia ze szkolenia z zakresu ochrony informacji niejawnych, numerem zaświadczenia ze szkolenia z zakresu obsługi kancelaryjnej materiałów niejawnych.

3. Wzór wniosku, o którym mowa w ust. 1, stanowi załącznik nr 1.

§ 9. 1. [9] Czynności związane z obsługą jednostki rejestrującej wykonują wyznaczeni funkcjonariusze jednostki organizacyjnej lub delegatury, w której została ona utworzona, spełniający wymogi określone w § 10 ust. 1.

2. W zakresie obsługi jednostek rejestrujących funkcjonariusze, o których mowa w ust. 1, wykonują zadania pionu ochrony w rozumieniu ustawy, i w tym zakresie podlegają merytorycznemu nadzorowi pełnomocnika ochrony.

3. Pełnomocnik ochrony, w oparciu o wyniki przeprowadzonej kontroli stanu ochrony informacji niejawnych lub w ramach nadzoru realizowanego za pośrednictwem kierownika kancelarii tajnej, może wydać opinię co do oceny pracy merytorycznej funkcjonariusza wykonującego zadania związane z obsługą kancelaryjną w jednostce rejestrującej.

4. Kierownik jednostki organizacyjnej lub dyrektor delegatury, w której funkcjonuje jednostka rejestrująca, zobowiązany jest do bieżącej współpracy z pełnomocnikiem ochrony w zakresie określonym w ust. 2.

§ 10. 1. Funkcjonariusze prowadzący obsługę kancelaryjną materiałów niejawnych, są zobowiązani:

1) posiadać poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „ściśle tajne";

2) posiadać zaświadczenie o przeszkoleniu z zakresu ochrony informacji niejawnych;

3) posiadać zaświadczenie o ukończeniu szkolenia w zakresie obsługi kancelaryjnej materiałów niejawnych, którego wzór stanowi załącznik nr 2.

4) [10] mieć w zakresie obowiązków i odpowiedzialności zadania właściwe dla obsługi kancelaryjnej materiałów niejawnych.

2. Funkcjonariusz prowadzący obsługę kancelaryjną materiałów niejawnych jest odpowiedzialny za rejestrowanie i dokumentowanie ich obiegu oraz wydawanie go osobom uprawnionym.

3. [11] Funkcjonariusz prowadzący obsługę kancelaryjną materiałów niejawnych jest odpowiedzialny za organizację pracy w sposób zapewniający możliwość ustalenia w każdych okolicznościach, gdzie powinien znajdować się materiał niejawny pozostający w dyspozycji jednostki organizacyjnej lub delegatury oraz kto z tym materiałem się zapoznał.

§ 11. 1. W przypadku konieczności wyznaczenia funkcjonariusza do okresowego przejęcia obowiązków w zakresie obsługi jednostki rejestrującej, kierownik jednostki organizacyjnej lub dyrektor delegatury jest zobowiązany zawnioskować do pełnomocnika ochrony o wyznaczenie osoby, podając informacje, o których mowa w § 7 ust. 2 pkt 3 zarządzenia.

2. Po zatwierdzeniu wniosku, o którym mowa w ust. 1, jest sporządzany w egzemplarzu pojedynczym protokół przejęcia obowiązków od funkcjonariusza prowadzącego obsługę jednostki rejestrującej oraz protokół przekazania niezbędnych dzienników ewidencji i pieczęci. Protokoły, o których mowa w zdaniu pierwszym, przechowuje się w jednostce rejestrującej, w której nastąpiło przekazanie.

3. [12] Do funkcjonariusza przejmującego obowiązki w trybie, o którym mowa w ust. 1, stosuje się wymogi określone w § 10 ust. 1, z wyłączeniem pkt 4.

4. W przypadku braku możliwości sporządzenia protokołów, o których mowa w ust. 2, spowodowanej nagłą sytuacją losową, protokoły sporządza komisja wyznaczona przez kierownika jednostki organizacyjnej lub dyrektora delegatury.

5. W przypadku prowadzenia dzienników ewidencji w ramach systemu teleinformatycznego, funkcjonariuszowi, o którym mowa w ust. 1 zostają nadane uprawnienia w systemie zgodnie z instrukcją EDEN.

§ 12. 1. [13] Kancelarią tajną kieruje wyznaczony funkcjonariusz Departamentu Bezpieczeństwa, zwany dalej „kierownikiem kancelarii tajnej".

2. Do zadań kierownika kancelarii tajnej należy w szczególności:

1) nadzór nad przestrzeganiem przepisów dotyczących obiegu materiałów niejawnych w głównej kancelarii tajnej;

2) opiniowanie wniosków w sprawach utworzenia, łączenia i likwidacji oddziałów kancelarii tajnej oraz stanowisk rejestracji;

3) nadzór i prowadzenie szkoleń z zakresu obsługi kancelaryjnej materiałów niejawnych;

4) nadzór merytoryczny nad jednostkami rejestrującymi, w szczególności w zakresie przestrzegania przepisów dotyczących ewidencjonowania i obiegu materiałów niejawnych;

5) doradztwo i konsultacje w zakresie funkcjonowania jednostek rejestrujących oraz obiegu materiałów niejawnych;

6) wykonywanie poleceń pełnomocnika ochrony.

§ 14. Do zadań głównej kancelarii tajnej należy w szczególności:

1) prowadzenie obsługi kancelaryjnej materiałów niejawnych delegatur lub jednostek organizacyjnych, w których nie utworzono oddziału kancelarii tajnej lub stanowiska rejestracji;

2) prowadzenie rejestru dzienników ewidencji i teczek, zwanego dalej "RDEiT";

3) bieżąca kontrola właściwego oznaczania, zabezpieczania oraz ewidencjonowania przesyłek niejawnych przekazywanych za pośrednictwem kancelarii;

4) konsultacje i bieżąca pomoc w przedmiocie prawidłowego ewidencjonowania i oznaczania materiałów niejawnych;

5) udział w konwojowaniu materiałów niejawnych kierowanych do adresatów za pośrednictwem przewoźnika;

6) [14] przechowywanie materiałów niejawnych, niestanowiących elementów składowych spraw prowadzonych w delegaturze lub jednostce organizacyjnej obsługiwanej przez główną kancelarię tajną;

7) [15] odbieranie przesyłek niejawnych dostarczonych przez nadawcę bezpośrednio do centrali CBA, jeżeli na kopercie zewnętrznej lub w wykazie przesyłek nadanych nie wskazał komórki organizacyjnej, jednostki organizacyjnej lub delegatury;

8) obsługa systemów utajnionej łączności;

9) prowadzenie szkoleń z zakresu obsługi kancelaryjnej materiałów niejawnych.

§ 16. Do zadań stanowiska rejestracji należy w szczególności:

1) [16] prowadzenie obsługi kancelaryjnej materiałów niejawnych w jednostce organizacyjnej;

2) [17] przekazywanie przesyłek niejawnych do adresata za pośrednictwem funkcjonariuszy jednostki organizacyjnej, jeżeli kierownik jednostki organizacyjnej nie zdecyduje o skorzystaniu z usług przewoźnika;

3) przekazywanie i odbieranie z głównej kancelarii tajnej lub oddziału kancelarii tajnej przesyłek niejawnych wysyłanych lub odbieranych od przewoźnika;

4) [18] odbieranie przesyłek niejawnych, jeżeli jednostka organizacyjna, w której to stanowisko zostało utworzone, lub komórka organizacyjna wyodrębniona w ramach tej jednostki, została wskazana na kopercie zewnętrznej lub w wykazie przesyłek nadanych;

5) [19] wykonywanie odpowiednio zadań, o których mowa w § 14 pkt 4-6 i 8, w zakresie właściwości jednostki organizacyjnej.

Rozdział 3.

Obowiązki funkcjonariuszy uczestniczących w obiegu informacji niejawnych

§ 19. 1. Każdy funkcjonariusz ma obowiązek zapewnić należytą ochronę informacjom niejawnym odpowiednio do przyznanej im klauzuli tajności z zachowaniem atrybutów bezpieczeństwa informacji, a mianowicie poufności, integralności i dostępności informacji niejawnych.

2. Funkcjonariusz, który stwierdzi nieprawidłowości w zakresie przetwarzania informacji niejawnych, zobowiązany jest poinformować o nich kierownika jednostki organizacyjnej lub dyrektora delegatury w formie notatki służbowej za pośrednictwem bezpośredniego przełożonego. Notatkę, o której mowa w zdaniu pierwszym należy sporządzić niezwłocznie, nie później niż w ciągu trzech dni.

3. Kierownik jednostki organizacyjnej lub dyrektor delegatury:

1) sprawuje bieżący, bezpośredni nadzór nad właściwym zabezpieczeniem i ochroną materiałów niejawnych w podległej mu jednostce organizacyjnej lub delegaturze [20] ;

2) jest zobowiązany do powiadomienia pełnomocnika ochrony o fakcie ujawnienia informacji niejawnych lub utraty materiału niejawnego w podległej mu jednostce organizacyjnej lub delegaturze oraz innych nieprawidłowościach dotyczących ochrony informacji niejawnych i podjęcia w tym zakresie czynności wyjaśniających;

3) w przypadku, o którym mowa w pkt. 2 oraz zarejestrowania materiału niejawnego w dzienniku ewidencji, należy wpisać w nim numer pisma, którym dokonano zgłoszenia stwierdzonego incydentu do pełnomocnika ochrony;

4) jest zobowiązany do informowania pełnomocnika ochrony o wszystkich zdarzeniach, które mogą mieć wpływ na obieg informacji niejawnych w podległej mu jednostce organizacyjnej lub delegaturze;

5) nie może bez porozumienia z pełnomocnikiem ochrony wprowadzać dodatkowych, szczególnych regulacji w zakresie funkcjonowania obiegu informacji niejawnych.

§ 28. 1. Przyjmowanie i przekazywanie przesyłek niejawnych przez jednostki rejestrujące polega na:

1) sprawdzeniu prawidłowości nazwy adresata i adresu;

2) sprawdzeniu zgodności odcisku pieczęci na opakowaniu z nazwą nadawcy, umieszczonej na wykazie przesyłek nadanych;

3) sprawdzeniu zgodności numerów na przesyłce z numerami na wykazie przesyłek nadanych lub w książce doręczeń przesyłek miejscowych;

4) sprawdzeniu poprawności zapakowania koperty zewnętrznej i wewnętrznej oraz czy nie zostały naruszone pieczęcie i opakowania;

5) otwarciu koperty zewnętrznej w celu ustalenia właściwego adresata;

6) niezwłocznym zarejestrowaniu i przekazaniu za pokwitowaniem w odpowiednim dzienniku ewidencji:

a) [21] w książce doręczeń przesyłek miejscowych lub w dzienniku podawczym, w obiegu wewnętrznym, jeżeli na kopercie wewnętrznej jest wskazana jednostka organizacyjna, komórka organizacyjna lub delegatura,

b) w papierowym dzienniku ewidencyjnym, w przypadku gdy jednostka organizacyjna lub delegatura nie korzysta z EDEN.

2. Materiał niejawny mylnie skierowany, nie podlega rejestracji, lecz jest zwracany nadawcy, protokołem zwrotu, razem z jego pierwotnym opakowaniem. Wzór protokołu określa załącznik nr 5.

3. Szczególny sposób przyjmowania i przekazywania przesyłek niejawnych poza godzinami podstawowego czasu służby CBA, realizowany na terenie nieruchomości użytkowanej przez CBA, określa kierownik jednostki organizacyjnej lub dyrektor delegatury odpowiedzialny za ochronę tej nieruchomości.

§ 30. 1. Przesyłki niejawne wysyłane za pośrednictwem przewoźnika, po wykonaniu czynności, o których mowa w § 28 ust. 1, przekazuje się do głównej kancelarii tajnej lub oddziału kancelarii tajnej, za pokwitowaniem w książce doręczeń przesyłek miejscowych.

2. [22] Stanowiska rejestracji mogą dostarczać przesyłki niejawne bezpośrednio do przewoźnika.

§ 31. 1. [23] W jednostkach rejestrujących nie otwiera się przesyłek niejawnych oznaczonych adnotacją „do rąk własnych" lub inną równoważną. Przesyłki te są przekazywane wyłącznie adresatowi wskazanemu na kopercie, który dokonuje czynności, o których mowa w § 32 ust. 1 pkt 1, z zastrzeżeniem ust. 5.

2. Na opakowaniu przesyłek, o których mowa w ust. 1, wpisuje się datę wpływu i numer, pod którym zarejestrowano przesyłkę, z zaznaczeniem w rubryce „uwagi/informacje uzupełniające" dziennika ewidencji adnotacji, że przesyłka była oznaczona „do rąk własnych".

3. W przypadku prowadzenia EDEN, uzupełnia się wszystkie pola niezbędne do zarejestrowania dokumentu, z zastrzeżeniem, o którym mowa w ust. 2.

4. W EDEN w polu opisu materiału niejawnego należy wpisać adnotację - „rejestracja wstępna", a następnie po otwarciu przesyłki uzupełnić informacje poprzez modyfikację rekordu.

5. W przypadku nieobecności adresata, o którym mowa w ust. 1, o przesyłce należy powiadomić przełożonego adresata lub funkcjonariusza upoważnionego przez adresata do odbioru, który podejmie decyzję w sprawie dalszego postępowania z przesyłką.

6. Z chwilą zwrotu do jednostki rejestrującej dokonuje się kompletnej rejestracji przesyłki niejawnej.

§ 32. 1. Rejestracja przesyłek niejawnych wpływających polega w szczególności na:

1) sprawdzeniu przez funkcjonariusza obsługującego jednostkę rejestrującą prawidłowości adresu oraz zgodności zawartości przesyłki z pisemnie zadeklarowaną zawartością;

2) [24] opatrzeniu otrzymanego dokumentu niejawnego pieczęcią wpływu, wpisaniu kolejnego numeru z dziennika ewidencji oraz daty wpływu bezpośrednio na dokumencie, a w przypadku, o którym mowa w § 31 ust. 1, w pierwszej kolejności na kopercie wewnętrznej, z zastrzeżeniem ust. 1a.

1a. [25] Rejestracja dokumentów archiwalnych polega na opatrzeniu ich pieczęcią wpływu, wpisaniu kolejnego numeru z dziennika ewidencji oraz daty wpływu na karcie kontrolnej dołączonej do zszytego i zabezpieczonego pieczęcią zbioru dokumentów.

2. [26] (uchylony)

3. Fakt zapoznania się z dokumentem niejawnym o klauzuli „ściśle tajne", „tajne" funkcjonariusz potwierdza czytelnym podpisem i datą na karcie zapoznania się z dokumentem, którą dołącza się do dokumentu z chwilą jego rejestracji. Wzór karty zapoznania się z dokumentem określa rozporządzenie o KT.

4. W przypadku dokumentów o klauzuli „poufne", fakt zapoznania się z dokumentem można odnotować w karcie zapoznania się z dokumentem lub bezpośrednio na dokumencie.

5. W przypadku zszytego i zabezpieczonego pieczęcią zbioru dokumentów niejawnych zakłada się jedną kartę zapoznania się z dokumentem bądź jej funkcję może pełnić karta kontrolna prowadzona dla zbioru.

6. Obowiązek, o którym mowa w ust. 3 i 4 nie dotyczy dokumentów stanowiących ewidencję operacyjną.

7. Przekazywanie dokumentów, o których mowa w ust. 3, 4 i 5 w obiegu wewnętrznym następuje razem z kartą zapoznania się z dokumentem w celu zachowania kontynuacji wpisów.

8. [27] W przypadku przekazywania dokumentów odbiorcom zewnętrznym kartę zapoznania z dokumentem pozostawia się w jednostce organizacyjnej lub delegaturze.

9. Kartę zapoznania się z dokumentem, który został zarchiwizowany przechowuje się w jednostce rejestrującej zgodnie z przepisami odrębnymi

10. W przypadku zarejestrowania dokumentu niejawnego w EDEN kartę, o której mowa w ust. 7 archiwizuje się zgodnie z innymi przepisami.

Rozdział 7a.

Bezpieczeństwo teleinformatyczne

§ 35a. [Wystąpienie z wnioskiem o wyznaczenie administratorów systemów oraz inspektorów bezpieczeństwa teleinformatycznego] [28] 1. Kierownicy jednostek organizacyjnych oraz dyrektorzy delegatur występują z wnioskiem o wyznaczenie w kierowanych przez nich jednostkach organizacyjnych lub delegaturach administratorów systemów oraz inspektorów bezpieczeństwa teleinformatycznego, o których mowa w art. 52 ust. 1 pkt 1 ustawy. Do wniosku załączają projekt decyzji o wyznaczeniu administratora systemu albo inspektora bezpieczeństwa teleinformatycznego.

2. Wniosek, o którym mowa w ust. 1, podlega opiniowaniu przez pełnomocnika ochrony. W przypadku pozytywnej oceny kandydata, wniosek wraz z projektem decyzji, o której mowa w ust. 1, przekazywany jest przez pełnomocnika ochrony do Biura Prawnego.

3. Inspektorzy bezpieczeństwa teleinformatycznego wykonują zadania pionu ochrony w rozumieniu ustawy i w tym zakresie podlegają pełnomocnikowi ochrony.

4. Administratorzy systemów oraz inspektorzy bezpieczeństwa teleinformatycznego są odpowiedzialni za bezpieczeństwo systemów teleinformatycznych, w których są przetwarzane informacje niejawne.

5. Szczegółowe obowiązki osób, o których mowa w ust. 4, określa dokumentacja bezpieczeństwa dla danego systemu teleinformatycznego.

6. Administratorzy systemów oraz inspektorzy bezpieczeństwa teleinformatycznego sporządzają dokumentację bezpieczeństwa dla systemów teleinformatycznych, w których są przetwarzane informacje niejawne.

7. Dokumentacja, o której mowa w ust. 6, podlega akceptacji właściwego kierownika jednostki organizacyjnej lub dyrektora delegatury.

8. Właściwy kierownik jednostki organizacyjnej lub dyrektor delegatury zapewnia realizację obowiązku określonego w ust. 6 przez administratorów systemów i inspektorów bezpieczeństwa teleinformatycznego.

§ 37. 1. Szczegółowe wymagania w zakresie stosowania środków bezpieczeństwa fizycznego informacji niejawnych przetwarzanych przez CBA, określa plan ochrony informacji niejawnych w CBA.

2. Na plan, o którym mowa w ust. 1, składają się poszczególne plany ochrony informacji niejawnych opracowane oddzielnie dla każdego obiektu użytkowanego przez CBA, w którym przetwarzane są informacje niejawne.

3. [29] Plany ochrony informacji niejawnych dla obiektów CBA opracowują, na zasadach określonych w odrębnych przepisach, kierownicy jednostek organizacyjnych lub dyrektorzy delegatur odpowiedzialni za ochronę tych obiektów.

4. Projekty planów, o których mowa w ust. 3 muszą uzyskać akceptację pełnomocnika ochrony.

5. [30] (uchylony)

6. Plany ochrony informacji niejawnych dla poszczególnych obiektów wymagają zatwierdzenia przez Szefa CBA lub upoważnionego przez niego kierownika jednostki organizacyjnej.

7. [31] Kierownicy jednostek organizacyjnych lub dyrektorzy delegatur zapoznają podległych funkcjonariuszy z planem ochrony informacji niejawnych, w zakresie niezbędnym do właściwej ochrony informacji niejawnych.

§ 38. 1. Informacje niejawne o klauzuli „ściśle tajne":

1) przetwarza się w strefie ochronnej I lub II z zastosowaniem jednego z poniższych środków uzupełniających:

a) stałej ochrony lub kontroli w nieregularnych odstępach czasu przez osoby wykonujące czynności związane z fizyczną ochroną obiektów, posiadające odpowiednie poświadczenie bezpieczeństwa, w szczególności z wykorzystaniem systemu dozoru wizyjnego z obowiązkową rejestracją, z rozdzielczością nie mniejszą niż 400 linii telewizyjnych i przechowywaniem zarejestrowanego zapisu przez czas nie krótszy niż 30 dni,

b) systemu sygnalizacji włamania i napadu z wykorzystaniem systemu dozoru wizyjnego, o którym mowa w lit. a;

2) przechowuje się w certyfikowanej szafie metalowej lub w odrębnie zamykanych skrytkach, będących jej częścią.

2. Informacje niejawne o klauzuli „tajne":

1) przetwarza się w strefie ochronnej I lub II;

2) przechowuje się w certyfikowanej szafie metalowej lub w odrębnie zamykanych skrytkach, będących jej częścią.

3. Informacje niejawne o klauzuli „poufne":

1) przetwarza się w strefie ochronnej I, II lub III;

2) przechowuje się w strefie ochronnej I lub II w certyfikowanej szafie metalowej lub w odrębnie zamykanych skrytkach, będących jej częścią.

4. Informacje niejawne o klauzuli „zastrzeżone" przetwarza się w pomieszczeniu lub obszarze wyposażonym w system kontroli dostępu i przechowuje się w szafie metalowej lub zamkniętym na klucz meblu biurowym.

5. O ile jest to uzasadnione potrzebami służby, dopuszcza się przechowywanie materiałów niejawnych, wchodzących w skład zasobu archiwalnego archiwum wyodrębnionego CBA, w niecertyfikowanych szafach metalowych, zestawach kartotecznych i na regałach, pod warunkiem zastosowania dodatkowych zabezpieczeń pomieszczenia, gwarantujących realizację celu, o którym mowa w § 36 ust. 1. [32] Szczegółowy opis zastosowanych środków bezpieczeństwa podlega akceptacji pełnomocnika ochrony i stanowi element planu ochrony informacji niejawnych.

6. Przechowywanie materiałów niejawnych w tym informatycznych nośników danych, zewidencjonowanych na więcej niż jednego funkcjonariusza, w szafach metalowych nieposiadających wydzielonych skrytek jest dopuszczalne wyłącznie pod warunkiem odpowiedniego ich zabezpieczenia przed wglądem nieuprawnionych do tego innych użytkowników szafy.

7. Informatyczny nośnik danych stosowany do przetwarzania informacji niejawnych w systemie teleinformatycznym może być przechowywany poza certyfikowaną szafą metalową w przypadkach określonych w dokumentacji bezpieczeństwa tego systemu teleinformatycznego.

8. [33] Strefę ochronną I, strefę ochronną II lub specjalną strefę ochronną można utworzyć tymczasowo w strefie ochronnej III, w celu odbycia posiedzenia niejawnego.

9. [34] Zgodę na utworzenie tymczasowej strefy ochronnej, o której mowa w ust. 8, wraz ze wskazaniem wymogów, jakie muszą zostać spełnione do jej utworzenia, wydaje pełnomocnik ochrony na podstawie pisemnego wniosku kierownika jednostki organizacyjnej lub dyrektora delegatury.

§ 39. 1. Szafy i pomieszczenia, w których przechowywane są materiały niejawne, po zakończeniu służby zamyka się i zabezpiecza zgodnie z planem ochrony informacji niejawnych.

2. Po zakończeniu służby funkcjonariusz, w którego dyspozycji znajdują się materiały niejawne, jest obowiązany sprawdzić prawidłowość zamknięcia szaf, skrytek, pojemników, bezpiecznych kopert i innych zabezpieczeń przewidzianych w planie ochrony informacji niejawnych oraz pomieszczeń, w których materiały te są przechowywane.

3. Przed otwarciem pomieszczeń oraz szaf, w których są przechowywane dokumenty niejawne, należy sprawdzić czy drzwi, zamki i inne zabezpieczenia nie noszą śladów uszkodzeń bądź śladów wskazujących na podejmowanie próby nieuprawnionego dostania się do nich.

4. Na polecenie kierownika jednostki organizacyjnej lub dyrektora delegatury, a w stosunku do kierowników jednostek organizacyjnych lub dyrektorów delegatur na polecenie Szefa CBA lub jego Zastępcy, otwarcia pomieszczeń, szaf lub skrytek służących do przechowywania materiałów niejawnych pod nieobecność ich dysponenta, dokonuje się w obecności co najmniej dwóch osób.

5. Na zasadach określonych w ust. 4 można dokonać zdjęcia zabezpieczenia przed wglądem, o którym mowa w § 38 ust. 6, a także uzyskać dostęp do informacji niejawnych zapisanych na informatycznym nośniku danych.

6. Czynności, o których mowa w ust. 4 i 5, dokumentuje się w formie protokołu, który zatwierdza osoba wydająca polecenie otwarcia. Po zatwierdzeniu protokół przechowuje się w jednostce rejestrującej. Z protokołem należy zapoznać dysponenta pomieszczenia, szafy lub komputera, który potwierdza ten fakt podpisem.

7. Klucze i hasła (kody) zamków szyfrowych zabezpieczające szafy, skrytki, pomieszczenia lub obszary, w których przetwarzane są informacje niejawne udostępnia się wyłącznie osobom uprawnionym, a w przypadku realizowania czynności, o których mowa w ust. 4, z hasłem (kodem) zamka szyfrowego zapoznaje się wyłącznie jeden z jej uczestników, wyznaczony przez osobę wydającą polecenie otwarcia, którego wskazuje się w treści protokołu, o którym mowa w ust. 6.

8. W przypadku utraty kluczy od pomieszczeń, szaf, pojemników i innych miejsc przechowywania materiałów niejawnych, funkcjonariusz zawiadamia o tym fakcie bezpośredniego przełożonego. Bezpośredni przełożony niezwłocznie podejmuje działania zmierzające do prawidłowego zabezpieczenia materiałów niejawnych przechowywanych w pomieszczeniach, szafach, pojemnikach lub innych miejscach przechowywania materiałów niejawnych, do których klucze utracono oraz zawiadamia o utracie i podjętych działaniach kierownika jednostki organizacyjnej lub dyrektora delegatury. [35] Kierownik jednostki organizacyjnej lub dyrektor delegatury przeprowadza wyjaśnienia, o których informuje pełnomocnika ochrony.

9. W przypadku stosowania haseł (kodów) zamków szyfrowych do zabezpieczania szaf, w których przechowywane są materiały niejawne, powinny być one zmieniane co najmniej raz w roku, a także w sytuacji:

1) utraty uprawnień do użytkowania szafy, skrytki lub pomieszczenia zabezpieczanego zamkiem szyfrowym;

2) stwierdzenia lub podejrzenia utraty poufności hasła (kodu);

3) naprawy uszkodzonego zamka szyfrowego lub jego konserwacji;

4) przewidzianej w planie ochrony.

10. Po przeprowadzeniu czynności, o których mowa w ust. 4, zmiany, o której mowa w ust. 9 dokonuje niezwłocznie osoba uprawniona do użytkowania otwartego pomieszczenia, szafy metalowej lub skrytki.

11. Jeśli osoba uprawniona do użytkowania miejsca przechowywania materiałów niejawnych, o której mowa w ust. 10, zapoznała się z hasłem (kodem) zamka szyfrowego w związku z realizacją czynności, o których mowa w ust. 4, to jego zmiana jest obligatoryjna wyłącznie w przypadku, gdy wystąpią przesłanki dla takiej zmiany wskazane w ust. 9.

12. W planie ochrony informacji niejawnych określa się szczegółowe zasady:

1) przyznawania uprawnień do użytkowania szaf i pomieszczeń, w których przetwarzane są informacje niejawne;

2) zdawania, przechowywania i wydawania kluczy do szaf i pomieszczeń, w których przetwarzane są informacje niejawne, z uwzględnieniem zasad dotyczących kluczy do użytku bieżącego oraz kluczy zapasowych;

3) stosowania haseł (kodów) do zamków szyfrowych zabezpieczających miejsca przechowywania materiałów niejawnych oraz deponowania i udostępniania dokumentów zawierających ich treść.