§ 12

1. W celu dopuszczenia rozwiązań informatycznych do przetwarzania informacji niejawnych, w rozumieniu art. 51 ust. 3 ustawy, opracowuje się dokument „Wymagania ochrony informacji niejawnych”.

2. Dokument „Wymagania ochrony informacji niejawnych” zawiera informacje o:

1) rodzajach oraz najwyższej klauzuli informacji niejawnych, które mogą być przetwarzane za pomocą rozwiązania informatycznego;

2) przeznaczeniu rozwiązania informatycznego;

3) podmiotach uprawnionych do eksploatacji rozwiązania informatycznego;

4) podmiocie sprawującym nadzór nad eksploatacją zgodną z warunkami określonymi w dokumencie „Wymagania ochrony informacji niejawnych”;

5) wymaganych środkach w zakresie bezpieczeństwa osobowego przed dopuszczeniem do pracy z wykorzystaniem rozwiązania informatycznego;

6) środkach ochrony fizycznej komponentów rozwiązania informatycznego;

7) rozwiązaniach w zakresie zapewnienia ochrony elektromagnetycznej;

8) stosowaniu ochrony kryptograficznej lub innych rozwiązań w zakresie bezpieczeństwa transmisji;

9) certyfikatach lub innych dokumentach potwierdzających ocenę bezpieczeństwa rozwiązania informatycznego lub jego komponentu wydanych przez krajowe władze bezpieczeństwa państwa członkowskiego NATO lub UE lub właściwy organ NATO lub UE;

10) ochronie nośników danych, w szczególności ich ochronie fizycznej;

11) procedurach wykorzystania rozwiązania informatycznego w stanach nadzwyczajnych, w tym w czasie wojny, w razie ogłoszenia stanu nadzwyczajnego, mobilizacji lub sytuacji kryzysowej;

12) niezbędnych szkoleniach dla podmiotów użytkujących rozwiązania informatyczne;

13) procedurach wymiany danych z systemami teleinformatycznymi posiadającymi akredytację bezpieczeństwa teleinformatycznego oraz systemami informacyjnymi, o których mowa w art. 2 pkt 14 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;

14) procedurach reagowania na incydenty związane z eksploatacją rozwiązania informatycznego;

15) procedurach reagowania na incydenty związane z przetwarzaniem informacji niejawnych za pomocą rozwiązań informatycznych;

16) wynikach procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego;

17) przyjętych w ramach zarządzania ryzykiem sposobów osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego;

18) aspektach budowy, dostępnych trybów pracy, działania i eksploatacji rozwiązania informatycznego, które mają związek z bezpieczeństwem informacji niejawnych przetwarzanych w ramach rozwiązania informatycznego lub wpływają na ich bezpieczeństwo;

19) oświadczeniu zrealizowania procesu oceny bezpieczeństwa rozwiązania informatycznego zgodnie z wymogami niniejszego rozporządzenia;

20) wykazie zaleceń i wymagań dla głównego użytkownika;

21) innych danych niezbędnych do prawidłowego wdrożenia rozwiązania informatycznego oraz prawidłowej ochrony informacji niejawnych.