Wśród nowych obowiązków organizacyjnych, nakładanych na podmioty kluczowe i ważne przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) znajduje się wymóg weryfikacji niekaralności osób zaangażowanych we wdrażanie i obsługę systemu bezpieczeństwa informacji i obsługę incydentów. Doświadczenia związane z wdrażaniem innych aktów prawnych wymagających weryfikacji niekaralności (np. lex Kamilek), wskazują, że obowiązki tego typu zawsze są wyzwaniem dla organizacji i wiążą się z licznymi wątpliwościami prawnymi.
Weryfikacja niekaralności w UKSC
Ustawa o krajowym systemie cyberbezpieczeństwa jest podstawowym aktem prawnym regulującym funkcjonowanie krajowego systemu cyberbezpieczeństwa oraz obowiązki wybranych kategorii podmiotów publicznych i prywatnych w zakresie bezpieczeństwa systemów informacyjnych. W 2026 roku, wskutek wdrożenia regulacji dyrektywy NIS2, ustawa doświadczyła szerokiej nowelizacji. Istotnie rozszerzony został nie tylko zakres podmiotów nią objętych, ale też zakres obowiązków związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, którymi objęte są te podmioty. Wśród obowiązków obciążających podmioty kluczowe i ważne znajduje się, m.in. obowiązek weryfikacji niekaralności określonych kategorii personelu za określone kategorie przestępstw.
Rozwiązania UKSC w tym zakresie nie są pozbawione precedensów. W ostatnim czasie, dużo uwagi środowiska prawniczego przykuwały podobne obowiązki wynikające z tzw. lex Kamilek. Ustawa ta nakładała obowiązek weryfikacji niekaralności osób mających styczność z dziećmi – realizacja tego obowiązku okazała się być dużym wyzwaniem dla organizacji i wiązała się z licznymi wątpliwościami, na temat tego jak realizować ten obowiązek w zgodzie z regulacjami ochrony danych osobowych.
Art. 8f UKSC
Obowiązek weryfikacji niekaralności personelu wynika z art. 8f znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Obowiązkiem tym objęte są zarówno podmioty kluczowe, jak i ważne – czyli podmioty mieszczące się w zakresie podmiotowym regulacji UKSC i NIS2. Weryfikacja wymagana przez ustawę jest weryfikacją selektywną, tj. dotyczy tylko określonych kategorii personelu i niekaralności za określone przestępstwa.
- Obowiązkiem weryfikacji objęte są osoby realizujące zadania wynikające z art. 8 i art. 11 UKSC, tj. zadania związane z wdrażaniem systemu zarządzania cyberbezpieczeństwem i obsługą incydentów. Warto zaznaczyć, że weryfikacja powinna być przeprowadzona przed dopuszczeniem ich do realizacji tych zadań.
- Ustawa wymaga od osób realizujących takie zadania niekaralności za przestępstwa przeciwko ochronie informacji. Przestępstwa takie stypizowane są przede wszystkim w rozdziale XXXIII Kodeksu Karnego. Znajduje się wśród nich, m.in. ujawnienie informacji niejawnych (art. 265 KK) czy wytwarzanie „narzędzi hackerskich” (art. 269b KK).
Podmiot kluczowy lub ważny, na podstawie uzasadnionego podejrzenia, że osoba została skazana za przestępstwo przeciwko ochronie informacji wzywa do ponownego przedstawienia informacji z Krajowego Rejestru Karnego. Obowiązek weryfikacji jest wyłączony w przypadku osób posiadających ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
Wdrażanie weryfikacji niekaralności w organizacji
Opracowanie procedury weryfikacji niekaralności zawsze jest wyzwaniem dla organizacji, zwłaszcza dla tych, które przedtem nie musiały prowadzić tego typu działań. Uniwersalnym problemem jest znalezienie równowagi między wymogami ustawowymi, a przepisami ochrony danych osobowych. Opracowanie tego typu procedur jest kwestią silnie indywidualną, zależną od skali i charakteru działalności organizacji, niemniej każda organizacja powinna zwrócić uwagę na kilka uniwersalnych problemów:
- Określenie osób objętych weryfikacją – organizacja powinna starannie przygotować katalog funkcji podlegających weryfikacji. Wymaga to starannej analizy katalogów zadań wymienionych w art. 8 i 11 UKSC, a następnie porównania ich z rozkładem ról i obowiązków w ramach organizacji. Warto pamiętać, że art. 8f UKSC mówi nie o „pracownikach”, a o „osobach realizujących zadania”. W przypadku outsourcingu zadań związanych z cyberbezpieczeństwem należy ustalić, czy osoby po stronie dostawcy faktycznie realizują zadania, o których mowa w art. 8 lub art. 11 UKSC, na rzecz podmiotu kluczowego lub ważnego. Jeżeli tak, konieczne może być uwzględnienie tych osób w procedurze weryfikacji, przy czym sposób realizacji tego obowiązku powinien zostać uregulowany w umowie z dostawcą, z uwzględnieniem zasad ochrony danych osobowych, ról stron w procesie przetwarzania oraz minimalizacji zakresu danych.
- Prawidłowość przetwarzania danych – proces weryfikacji niekaralności personelu jest procesem przetwarzania danych osobowych i, jako taki, objęty jest regulacjami RODO. Podstawą przetwarzania danych w tym zakresie będzie przede wszystkim art. 6 ust. 1 lit. c RODO, tj. realizacja obowiązku prawnego ciążącego na administratorze, w związku z art. 8f UKSC. Jednocześnie, ponieważ informacja z Krajowego Rejestru Karnego obejmuje dane dotyczące wyroków skazujących i czynów zabronionych, proces należy oceniać również przez pryzmat art. 10 RODO. Oznacza to konieczność wdrożenia odpowiednich zabezpieczeń, w szczególności ograniczenia kręgu osób mających dostęp do informacji, określenia zasad retencji, minimalizacji zakresu przetwarzanych danych oraz uregulowania procedury pozyskiwania i dokumentowania informacji z KRK.
Weryfikacja przewidziana w art. 8f UKSC nie powinna być traktowana jako ogólna procedura background checku. Jej zakres jest ograniczony do potwierdzenia niekaralności za przestępstwa przeciwko ochronie informacji w odniesieniu do osób realizujących zadania wskazane w art. 8 lub art. 11 UKSC. Z perspektywy ochrony danych osobowych oznacza to, że organizacja powinna pozyskiwać i przetwarzać wyłącznie informacje niezbędne do wykazania spełnienia tego wymogu.