Czy personel podmiotu kluczowego lub podmiotu ważnego podlega weryfikacji?

Ważną gwarancją prawidłowego wykonywania zadań z zakresu cyberbezpieczeństwa jest wskazanie, że zadań tych nie mogą wykonywać osoby skazane za przestępstwa przeciwko ochronie informacji, tj.: przestępstwa określone w rozdziale XXXIII Kodeksu karnego:

• •
  art. 265 (ujawnienie informacji niejawnych),
• •
  art. 266 (ujawnienie informacji służbowych),
• •
  art. 267 (nielegalne uzyskanie informacji),
• •
  art. 268 (niszczenie informacji),
• •
  art. 268a (niszczenie danych w systemach),
• •
  art. 269 (sabotaż komputerowy),
• •
  art. 269a (zakłócanie sieci i systemów),
• •
  art. 269b (bezprawne wykorzystanie programów i danych).

Daje to odpowiednią gwarancję, że zadania te będą wykonywały osoby dające rękojmię ich prawidłowej realizacji. Ograniczono się przy tym do przestępstw przeciwko ochronie informacji, ponieważ są one związane tematycznie z cyberbezpieczeństwem.

Osoba musi przedstawić zaświadczenie o niekaralności za ww. przestępstwa. Zaświadczenia w tym zakresie będą weryfikowane przez ich kierowników podmiotów kluczowych i podmiotów ważnych. Po otrzymaniu zaświadczenia kierownik dopuści taką osobę do realizacji zadań związanych z systemem zarządzania bezpieczeństwem informacji oraz zgłaszaniem incydentów. Podkreślić należy, że mogą tutaj wystąpić stosunek pracy, a także inne stosunki zatrudnienia, np. umowa zlecenia. Jest to istotne w kontekście przetwarzania danych osobowych, jako że dotyczy to danych o karalności w rozumieniu art. 10 RODO. Informacje o niekaralności będą przechowywane w dokumentacji pracowniczej albo w dokumentacji związanej z daną umową w przypadku innych stosunków zatrudnienia. Oczywiście, zgodnie z RODO, takie informacje będą musiały być należycie chronione.

Wprowadza się również uprawnienie podmiotu kluczowego i podmiotu ważnego do wezwania osoby do ponownego przedstawienia zaświadczenia o niekaralności za przestępstwa przeciwko ochronie informacji, jeżeli podmiot poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji. Podejrzenie to musi być uzasadnione, w jakimś mierze uprawdopodobnione. Przy czym sam anonim czy zgłoszenie od sygnalisty może być niewystarczające w tej mierze, trzeba wziąć pod uwagę, że takie zgłoszenie może być po prostu aktem szkalującym inną osobę. Również uzasadnionym działaniem podmiotu kluczowego i podmiotu ważnego nie będzie cykliczne wzywanie danej osoby do przedstawienia zaświadczenia o niekaralności.