Sprawdzanie niekaralności za przestępstwa przeciwko ochronie informacji
Sprawdzanie niekaralności za przestępstwa przeciwko ochronie informacji. Praktyka pokazuje, iż zastosowanie przepisu art. 8f Ustawy z dnia 5 lipca 2018 o krajowym systemie cyberbezpieczeństwa, może okazać się nie tak proste, jak mogłoby się to wydawać. Poniżej prezentuję kilka swoich wniosków powstałych na bazie treści analizowanego przepisu.
Treść przepisu
Art. 8f Ustawa KSC
- Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11, po otrzymaniu informacji, o której mowa w zdaniu pierwszym.
- Podmiot kluczowy lub podmiot ważny wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji.
- Wymagania, o których mowa w ust. 1 i 2, uznaje się za spełnione, jeżeli osoba realizująca zadania, o których mowa w art. 8 i art. 11, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
- Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań, o których mowa w art. 8 lub art. 11.
Adresat obowiązku realizacji zadań ...
Stosując przepis należy ustalić: Czy dany podmiot w ogóle jest adresatem obowiązku realizacji zadań określanych treścią przepisów art. 8 lub art. 11 Ustawy KSC. Istotne jest ustalenia, czy dany podmiot podlega pod ww. regulacje, albowiem tylko takie podmioty mają obowiązek ich stosowania, a jednocześnie mają prawo do korzystania z opisanych uprawnień.
Osoby realizujące zadania ...
Jeśli wynik ustalenia zakończy się stwierdzeniem, iż podmiot jest adresatem obowiązku realizacji zadań określanych treścią przepisów art. 8 lub art. 11 Ustawy KSC, czy to jako podmiot kluczowy, czy to jako podmiot ważny, dokonuje kolejnego ustalenia: Jakie konkretnie osoby fizyczne w podmiocie, będącym adresatem obowiązku realizacji zadań określonych treścią art. 8 lub art. 11 Ustawy KSC, będą realizowały te zadania? Etap ten jest etapem kluczowym, wymagającym nie tylko precyzyjnego określenia zakresu zadań, jakie realizowane są w organizacji na gruncie art. 8 oraz 11 Ustawy KSC, ale także dostrzeżenie praktycznego aspektu, jakim jest ustalenie osoby fizycznej zobowiązanej do ich realizacji.
Moment rozpoczęcia realizacji zadań ...
Ustalenia wymaga moment rozpoczęcia realizacji zadań określonych treścią art. 8 lub art. 11 Ustawy KSC, przez osoby fizyczne, które to realizować będą ww. zadania. Ustalenie tego momentu jest kluczowe, albowiem do chwili jego wystąpienia ww. osoby fizyczne, mają obowiązek przekazania informacji z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji odpowiednio podmiotowi kluczowemu albo podmiotowi ważnemu.
Informacja o realizacji zadań ...
Przedstawienie informacji o osobie z Krajowego Rejestru Karnego stwierdzającej niekaralność za przestępstwa przeciwko ochronie informacji, jest obowiązkiem tylko takiej osoby fizycznej, która będzie realizowała zadania o których mowa w art. 8 lub art. 11 Ustawy KSC. Przyjąć należy, iż aby obowiązek przekazania ww. informacji do podmiotu kluczowego albo podmiotu ważnego, w ogóle zaistniał, aby konkretne osoby fizyczne, zostały nim obciążone, muszą co najmniej pozyskać informację, iż są osobami fizycznymi, które realizować będą zadania z art. 8 lub art. 11 Ustawy KSC. Innymi słowy osobom tym musi to odpowiednio wcześnie i skutecznie zostać zakomunikowane.
Kierownik, czyli kto ...
W przepisie mowa jest kierowniku podmiotu kluczowego oraz o kierowniku podmiotu ważnego. Definiując pojęcie kierownika podmiotu kluczowego oraz podmiotu ważnego, odnieść należy się do definicji legalnej, jaką zawarto w art. 2 pkt 8a Ustawy KSC. Zgodnie z tym przepisem kierownik podmiotu kluczowego lub podmiotu ważnego – to kierownik jednostki w rozumieniu art. 3 ust. 1 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120, z późn. zm.) kierujący podmiotem kluczowym lub podmiotem ważnym, a w przypadku podmiotu kluczowego lub podmiotu ważnego będącego jednostką sektora finansów publicznych – kierownik jednostki sektora finansów publicznych, o którym mowa w art. 53 ust. 1 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2025 r. poz. 1483, 1844 i 1846).
Obowiązek niedopuszczenia do realizacji zadań ...
Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11, po otrzymaniu informacji, stwierdzających niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego albo podmiotu ważnego nie może warunkować, uzależniać dopuszczenia do realizacji zadań, o których mowa w art. 8 lub art. 11 KSC, od przedstawienia mu przez osobę fizyczną, jaka ma te zadania realizować, informacji o osobie z Krajowego Rejestru Karnego stwierdzających niekaralność tej osoby za inne przestępstwa niż za przestępstwa przeciwko ochronie informacji. Z zastrzeżeniem odrębnych przepisów szczególnych odnoszących się do wymogu niekaralności w związku z zatrudnianiem, stwierdzić należy, iż informacja o osobie z Krajowego Rejestru Karnego potwierdzająca karalność, ale za przestępstwa inne niż przeciwko ochronie informacji, również nie może stanowić elementu warunkującego dopuszczenie tej osoby do wykonywania zadań o jakich mowa w art. 8 lub art. 11 KSC.
Odpowiedzialność kierownika ...
Zgodnie z art. 8c ust. 1 Ustawy KSC, kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot kluczowy lub podmiot ważny, o których mowa w art. 8f ust. 1 i 2 Ustawy KSC.
Zgodnie z art. 73a ust . 1 pkt 5) Ustawy KSC, karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który: nie wykonał obowiązku, o którym mowa w art. 8f ust. 1 lub 2 Ustawy KSC.
Treść przepisu
Art. 8f Ustawa KSC
- Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11, po otrzymaniu informacji, o której mowa w zdaniu pierwszym.
- Podmiot kluczowy lub podmiot ważny wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji.
- Wymagania, o których mowa w ust. 1 i 2, uznaje się za spełnione, jeżeli osoba realizująca zadania, o których mowa w art. 8 i art. 11, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
- Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań, o których mowa w art. 8 lub art. 11.
Obowiązek wezwania do ponownego przedstawienia informacji ...
Przepis określa obowiązek, który dotyczy odpowiednio zależnie od sytuacji, podmiotu kluczowego albo podmiotu ważnego. W przypadku wystąpienia sytuacji, o jakiej mowa w przepisie, kierownik odpowiedzialny za realizację opisywanych zadań podmiotu kluczowego albo podmiotu ważnego ma obowiązek zachowania się w sposób określony w przepisie, co wynika z użycia słów „wzywa osobę realizującą zadania”. Innymi słowy, wystąpienie sytuacji, określonej w przepisie, skutkuje zawsze obowiązkiem „wezwania osoby realizującej zadania”. Podmiot zobowiązany nie ma prawa odstąpienia od wykonania „wezwania osoby realizującej zadania”, co oznacza, iż przepis nie daje prawa do decydowania o tym, czy w warunkach określonych w przepisie, podmiot uprawniony musi, czy też nie musi wystosować „wezwanie”. Przepis jest precyzyjny, podmiot, o jakim mowa w przepisie, ma obowiązek wystosowania „wezwania” w przypadku, kiedy poweźmie uzasadnione podejrzenie, że osoba o jakiej mowa w przepisie została skazana za przestępstwo przeciwko ochronie informacji, co istotne w takich okolicznościach, zachowanie polegające na nie wystosowaniu „wezwania” stanowi wyraz naruszenia obowiązku o jakim mowa w art. 8f ust. 2 Ustawy KSC. Pamiętać natomiast należy, iż zgodnie z art. 8c ust. 1 Ustawy KSC, kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot kluczowy lub podmiot ważny, o których mowa w art. 8f ust. 2 Ustawy KSC. Zgodnie z art. 73a ust . 1 pkt 5) Ustawy KSC, karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który: nie wykonał obowiązku, o którym mowa w art. 8f ust. 2 Ustawy KSC.
Ponowne przedstawienie informacji ...
Ustawodawca przewidział, iż obowiązek wystosowania „wezwania” zachodzi tylko wtedy kiedy, doszło do powzięcia uzasadnionego podejrzenia, o jakim mowa w przepisie, ale uwaga, ustawodawca przewidział, iż musi wystąpić także druga przesłanka, jaką jest fakt, iż taka osoba, aby wystąpił obowiązek jej „wezwania” musiała już wcześniej, czyli przed rozpoczęciem realizacji zadań, o jakich mowa w art. 8 lub art. 11 Ustawy KSC, przedstawić podmiotowi kluczowemu albo podmiotowi ważnemu informację o niej z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Innymi słowy, jeśli podmiot kluczowy albo podmiot ważny podejmie względem osoby, jaka realizuje zadania z art. 8 lub art. 11 Ustawy KSC, uzasadnione podejrzenie o tym, iż została skazana za przestępstwo przeciwko ochronie informacji, jednak osoba taka nigdy wcześniej nie przedstawiała informacji o sobie z Krajowego Rejestru Karnego, nie powstaje względem takiej osoby obowiązek jej „wezwania” do przedstawienia takiej informacji, albowiem nie będzie to ponowne przedstawienie informacji, ale pierwsze. Złożenie stosownego zawiadomienia o podejrzeniu popełnienia przestępstwa przeciwko ochronie informacji, może doprowadzić do skazania prawomocnego, jeśli taka osoba nie została już skazana w innym postępowaniu.
Brak precyzji, czy jednak racjonalność ustawodawcy ...
W takiej sytuacji pozostaje zatem odwołanie się do znowelizowanego art. 6 ust. 1 pkt 10c) Ustawa KRK , który to przewiduje, iż prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w Rejestrze, przysługuje: podmiotom kluczowym lub podmiotom ważnym w rozumieniu art. 5 Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20 i 252) w zakresie niezbędnym do weryfikacji niekaralności osoby realizującej zadania, o których mowa w art. 8 i art. 11 tej Ustawy.
Treść przepisu
Art. 8f Ustawa KSC
- Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11, po otrzymaniu informacji, o której mowa w zdaniu pierwszym.
- Podmiot kluczowy lub podmiot ważny wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji.
- Wymagania, o których mowa w ust. 1 i 2, uznaje się za spełnione, jeżeli osoba realizująca zadania, o których mowa w art. 8 i art. 11, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
- Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań, o których mowa w art. 8 lub art. 11.
Kierownik na straży zakazu ...
Mając na względzie fakt, iż to kierownik podmiotu kluczowego albo kierownik podmiotu ważnego decyduje o tym, kto realizuje zadania z art. 8 lub art. 11 Ustawy KSC odpowiednio w podmiocie kluczowym albo podmiocie ważnym, przyjąć należy, iż również i oni zobowiązani są do tego aby ww. zasada była przestrzegana, tj iż osoby fizyczne, które zostały prawomocnym wyrokiem sądu skazane za przestępstwa przeciwko ochronie informacji nie będą mogły realizować zadań, o których mowa w art. 8 lub art. 11 Ustawy KSC.
Koncepcja odcinająca ...
Alternatywnie przyjąć można, iż wejście w życie znowelizowanych przepisów skutkuje obowiązkiem ich stosowania względem wszystkich osób personelu, bez względu na to, czy realizował on zadania tożsame z zadaniami określonymi w art. 8 lub 11 Ustawy KSC w znowelizowanym brzmieniu. Konsekwencją powyższego będzie wówczas zastosowanie nowych regulacji bez wyjątku.
Odpowiedzialność kierownika podmiotu kluczowego oraz ważnego
