Monitor Polski - rok 2019 poz. 862

Kierując się potrzebą zapewnienia bezpieczeństwa danych przetwarzanych w systemach teleinformatycznych podmiotów administracji publicznej oraz optymalizacji kosztów utrzymania tych systemów, uznając, że wprowadzenie jednolitych wysokich standardów ochrony systemów informatycznych i wspieranie podmiotów administracji publicznej w utrzymaniu tych systemów oraz uzyskiwaniu usług niezbędnych do ich budowy, rozwoju i utrzymania przyczyni się do zapewnienia wysokiego poziomu usług świadczonych społeczeństwu przez administrację publiczną, uchwala się, co następuje:

2. Inicjatywa WIIP obejmuje:

1) budowę, rozwój i utrzymanie oraz zarządzanie zasobami Rządowej Chmury Obliczeniowej, z wykorzystaniem w szczególności sieci teletransmisji pozostających w dyspozycji podmiotów publicznych;

2) budowę, rozwój i utrzymanie Rządowego Klastra Bezpieczeństwa;

3) zapewnienie podmiotom administracji publicznej możliwości nabywania usług przetwarzania w publicznych chmurach obliczeniowych;

4) budowę i utrzymanie systemu teleinformatycznego wspomagającego zarządzanie usługami przetwarzania w Rządowej Chmurze Obliczeniowej i w publicznych chmurach obliczeniowych, zwanego dalej "Systemem Zapewnienia Usług Chmurowych";

5) określenie Standardów Cyberbezpieczeństwa Chmur Obliczeniowych.

3. Realizację Inicjatywy WIIP powierza się ministrowi właściwemu do spraw informatyzacji.

1) Centrum Przetwarzania Danych (CPD) - serwerownię w zasobach administracji rządowej lub obiekt budowlany, w którym zlokalizowana jest infrastruktura teleinformatyczna i związane z nią elementy (np.: systemy telekomunikacyjne, zasoby przetwarzania) wraz z nadmiarowymi źródłami zasilania, dodatkowymi sieciami teletransmisyjnymi, środkami kontroli środowiska (np. klimatyzacją, systemami gaśniczymi), urządzeniami i systemami bezpieczeństwa oraz ochroną fizyczną obiektu;

2) chmura hybrydowa - sposób wdrażania chmury obliczeniowej, w którym infrastruktura składa się z dwóch lub więcej odrębnych infrastruktur teleinformatycznych dostarczanych z chmury obliczeniowej (prywatnej, wspólnotowej lub publicznej), które pozostają odrębnymi jednostkami powiązanymi ze sobą znormalizowaną lub zastrzeżoną technologią, umożliwiającą przenoszenie danych i aplikacji między chmurami obliczeniowymi (np. w celu równoważenia obciążenia);

3) chmura obliczeniowa - model przetwarzania umożliwiający powszechny i wygodny dostęp za pośrednictwem sieci do wspólnej puli konfigurowalnych zasobów przetwarzania (np. sieci, serwerów, pamięci masowych, aplikacji i usług), które są szybko udostępniane z katalogu usług przy minimalnym wysiłku ze strony zespołów zarządzania lub dostawcy usług, składający się z trzech modeli usług (SaaS, PaaS, IaaS), czterech sposobów wdrażania chmur (chmura prywatna, chmura wspólnotowa, chmura publiczna, chmura hybrydowa) oraz charakteryzujący się pięcioma zasadniczymi cechami (samoobsługą na żądanie, szerokim dostępem do sieci, dynamicznym gromadzeniem zasobów, szybkim i elastycznym przydzielaniem i zwalnianiem zasobów, pomiarami i optymalizacją usług), w którym stosowana jest zasada współdzielonej odpowiedzialności między dostawcą i odbiorcą usług chmurowych, a kluczowe technologie wykorzystywane do budowy tego modelu obejmują: szybkie i wydajne sieci rozległe, wydajne oraz relatywnie niedrogie serwery (uwzględniając ich liczbę) oraz wysokowydajną wirtualizację sprzętu;

4) chmura prywatna - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest udostępniana do wyłącznego użytku przez jedną organizację obejmującą wielu odbiorców usług, może być własnością tej organizacji, strony trzeciej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana oraz zainstalowana w siedzibie tej organizacji lub poza nią;

5) chmura publiczna - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest udostępniana do użytku publicznego, może być własnością organizacji biznesowej, akademickiej lub rządowej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana oraz jest zainstalowana w siedzibie dostawcy chmury;

6) chmura wspólnotowa - sposób wdrażania chmury obliczeniowej, w którym infrastruktura jest przeznaczona do wyłącznego użytku przez określoną grupę organizacji mających wspólne założenia (m.in. misję, wymagania bezpieczeństwa, politykę, zgodność z regulacjami), może być własnością jednej lub więcej organizacji wchodzącej w skład grupy, strony trzeciej lub ich kombinacji bądź może być przez nie zarządzana i obsługiwana i jest zainstalowana w siedzibie organizacji lub poza nią;

7) infrastruktura chmury - zasoby przetwarzania stanowiące zbiór sprzętu i oprogramowania zgrupowanego w puli zasobów, umożliwiający spełnienie pięciu zasadniczych cech przetwarzania w chmurze obliczeniowej zawierające warstwę zarówno fizyczną (składającą się z zasobów sprzętowych, które są niezbędne do obsługi dostarczanych usług w chmurze obliczeniowej i zazwyczaj obejmują składniki serwera, pamięci masowej i sieci), jak i warstwę abstrakcji znajdującą się powyżej warstwy fizycznej (składającą się z oprogramowania rozmieszczonego w warstwie fizycznej, która posiada zasadnicze cechy chmury obliczeniowej);

8) infrastruktura jako usługa (IaaS) - model usługi chmurowej zapewniający infrastrukturę chmury, na której odbiorca usług jest w stanie wdrożyć i uruchomić dowolne oprogramowanie (systemy operacyjne i aplikacje), jednak nie zarządza ani nie kontroluje infrastruktury chmury, z wyjątkiem kontroli nad systemami operacyjnymi, pamięcią masową i wdrożonymi aplikacjami oraz, ewentualnie, ograniczonej kontroli nad wybranymi komponentami sieciowymi (np. zapór sieciowych);

9) platforma jako usługa (PaaS) - model usługi chmurowej umożliwiający odbiorcy usług wdrożenie na infrastrukturze chmury aplikacji stworzonych przez siebie lub nabytych, które zostały przygotowane przy użyciu języków programowania, bibliotek, usług i narzędzi obsługiwanych przez dostawcę, w przypadku której odbiorca usług nie zarządza ani nie kontroluje infrastruktury chmury, w tym sieci, serwerów, systemów operacyjnych oraz pamięci masowych, ale ma kontrolę nad wdrożonymi aplikacjami i, ewentualnie, nad ustawieniami konfiguracji dla środowiska udostępnienia aplikacji;

10) oprogramowanie jako usługa (SaaS) - model usługi chmurowej umożliwiający odbiorcy usług wykorzystanie aplikacji uruchomionych na infrastrukturze chmury dostarczanej przez dostawcę usług dostępnej na różnych urządzeniach klienckich za pośrednictwem np. przeglądarki internetowej lub klienta aplikacji oraz w przypadku której odbiorca usług nie zarządza ani nie kontroluje infrastruktury chmury, w tym sieci, serwerów, systemów operacyjnych, pamięci masowej, a nawet parametrów konfiguracyjnych aplikacji, z wyjątkiem ograniczonych ustawień konfiguracji aplikacji specyficznych dla użytkownika;

11) publiczne chmury obliczeniowe - usługi chmury publicznej świadczone przez dostawców komercyjnych spełniające w szczególności wymagania w zakresie poufności, integralności i dostępności zdefiniowanych pod kątem zapewnienia bezpieczeństwa informacji administracji publicznej;

12) Rządowa Chmura Obliczeniowa - chmurę wspólnotową administracji publicznej;

13) Rządowy Klaster Bezpieczeństwa (RKB) - usługi bezpieczeństwa oraz środki techniczne stosowane do zabezpieczenia Rządowej Chmury Obliczeniowej będące implementacją wymagań Standardów Cyberbezpieczeństwa Chmur Obliczeniowych;

14) sieci rządowe - sieci teletransmisyjne zarządzane przez ministra właściwego do spraw wewnętrznych;

15) Standardy Cyberbezpieczeństwa Chmur Obliczeniowych (SCCO) - zbiór wymagań prawnych, organizacyjnych i technicznych zapewniających cyberbezpieczeństwo w modelach wdrażania chmur obliczeniowych.

2. Minister właściwy do spraw informatyzacji może powierzyć realizację we własnym imieniu zadania, o którym mowa w ust. 1, jednostce przez niego nadzorowanej.

3. Operator Rządowej Chmury Obliczeniowej tworzy katalog usług przetwarzania w Rządowej Chmurze Obliczeniowej i udostępnia go podmiotom, o których mowa w § 6 ust. 1, których systemy teleinformatyczne spełniają kryteria klasyfikacji do korzystania z usług przetwarzania w Rządowej Chmurze Obliczeniowej.

4. Usługi przetwarzania w Rządowej Chmurze Obliczeniowej będą świadczone, w szczególności w modelach "infrastruktura jako usługa" (IaaS), "platforma jako usługa" (PaaS) oraz "oprogramowanie jako usługa" (SaaS).

5. Usługi przetwarzania w Rządowej Chmurze Obliczeniowej będą świadczone w CPD, których posiadaczami są organy administracji rządowej.

6. Organy administracji rządowej współpracują z ministrem właściwym do spraw informatyzacji, w celu świadczenia usług przetwarzania w Rządowej Chmurze Obliczeniowej w oparciu o posiadane przez nie zasoby teleinformatyczne.

2. Do oświadczenia, o którym mowa w ust. 1, posiadacz CPD dołącza uwierzytelnioną kopię obowiązującego porozumienia zawartego między posiadaczem CPD a ministrem właściwym do spraw wewnętrznych, regulującego kwestie związane z korzystaniem z sieci rządowej.

3. Sposób i zakres przyłączenia oraz zasady korzystania z CPD przyłączonego do Rządowej Chmury Obliczeniowej określa porozumienie zawarte między posiadaczem CPD a ministrem właściwym do spraw informatyzacji.

4. Zasady i sposób wykorzystania sieci rządowej na potrzeby Rządowej Chmury Obliczeniowej określa porozumienie zawarte między właściwym operatorem sieci rządowej a ministrem właściwym do spraw informatyzacji. Ocena spełniania przez posiadacza CPD minimalnych wymagań organizacyjnych i technicznych w zakresie możliwości przyłączenia CPD do sieci rządowej będzie każdorazowo dokonywana przez strony porozumienia.

5. Przepisu ust. 4 nie stosuje się, w przypadku gdy przed datą zawarcia porozumienia, o którym mowa w ust. 4, posiadacz CPD zawarł z ministrem właściwym do spraw wewnętrznych porozumienie regulujące kwestie związane z korzystaniem z sieci rządowej.

1) podmioty sektora finansów publicznych, o których mowa w art. 9 pkt 1-13 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2019 r. poz. 869, 1622 i 1649);

2) inne państwowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych, z wyłączeniem przedsiębiorstw, banków i spółek prawa handlowego;

3) inne, niż określone w ustawie z dnia 27 sierpnia 2009 r. o finansach publicznych, państwowe jednostki organizacyjne nieposiadające osobowości prawnej.

2. Korzystanie przez podmioty, o których mowa w ust. 1, z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub publicznych chmurach obliczeniowych uzależnione jest od spełnienia kryteriów klasyfikacji systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych, określonych w załączniku nr 2 do uchwały.

1) zastosowane standardy techniczne świadczenia usług;

2) podział odpowiedzialności i jej ograniczenia;

3) zasady przeprowadzania lub zlecania przez strony audytu dotyczącego sposobu realizacji porozumienia;

4) procedury rozpoczęcia korzystania z usług;

5) podział obowiązków i odpowiedzialności związany z korzystaniem z usług, w tym obowiązki dostawcy usług oraz zapewnienie ustalonego w porozumieniu poziomu jakości świadczenia usług (SLA);

6) zasady obsługi technicznej świadczonej w ramach utrzymania usług;

7) obowiązki w zakresie praw własności intelektualnej;

8) procedury bezpieczeństwa oraz zasady reagowania na incydenty;

9) obowiązki w zakresie ochrony danych osobowych;

10) procedury rezygnacji podmiotu z korzystania z usług oraz warunki wypowiedzenia porozumienia;

11) zasady prowadzenia rozliczeń za korzystanie z usług;

12) obowiązki informacyjne w zakresie świadczenia usług.

2. Podmioty, o których mowa w § 6 ust. 1, nie mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej w celu prowadzenia działalności gospodarczej.

1) bezpieczeństwa teleinformatycznego, świadczone w oparciu o przeznaczone do tego celu systemy bezpieczeństwa realizujące zadania wyłącznie na potrzeby Inicjatywy WIIP;

2) monitorowania poziomu bezpieczeństwa opartego o przeznaczone do tego celu zespoły:

a)Centrum Zarządzania Siecią (Network Operations Center "NOC"),

b)Operacyjnego Centrum Bezpieczeństwa (Security Operations Center "SOC").

2. RKB zapewnia bezpieczeństwo:

1) połączenia między poszczególnymi CPD, w których umieszczona zostanie infrastruktura Rządowej Chmury Obliczeniowej;

2) komunikacji między Rządową Chmurą Obliczeniową a odbiorcami jej usług w oparciu o udostępnioną dla CPD i odbiorców usług infrastrukturę sieci rządowej;

3) połączenia infrastruktury teleinformatycznej Rządowej Chmury Obliczeniowej z publiczną siecią Internet przez przeznaczone do tego celu zabezpieczone punkty styku.

3. Zasoby teletransmisyjne wykorzystane do podłączenia odbiorców usług przetwarzania w Rządowej Chmurze Obliczeniowej oraz sposób ich finansowania będą każdorazowo uzgadniane między ministrem właściwym do spraw informatyzacji a odbiorcą usług w porozumieniu, o którym mowa w § 7 ust. 1.

4. Operatorem RKB jest minister właściwy do spraw informatyzacji.

5. Operator RKB w szczególności:

1) świadczy usługi bezpieczeństwa z wykorzystaniem środków technicznych i zespołów, o których mowa w ust. 1 pkt 2;

2) zapewnia utrzymanie i rozwój zespołów, o których mowa w ust. 1 pkt 2;

3) informuje o zagrożeniach bezpieczeństwa i incydentach, jak operator usługi kluczowej, o którym mowa w art. 11 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560);

4) planuje rozwój usług RKB;

5) uzgadnia z operatorem sieci rządowej potrzeby w zakresie wykorzystania łączy teletransmisyjnych do wymiany danych w ramach Rządowej Chmury Obliczeniowej;

6) planuje rozwój i wykorzystanie zabezpieczonych punktów styku z publiczną siecią Internet dla usług świadczonych w Rządowej Chmurze Obliczeniowej.

6. Minister właściwy do spraw informatyzacji może powierzyć realizację we własnym imieniu zadań, o których mowa w ust. 5, jednostce przez niego nadzorowanej lub innemu wybranemu podmiotowi, z zachowaniem procedur przewidzianych przepisami prawa.

2. W Systemie Zapewnienia Usług Chmurowych udostępnia się:

1) katalog usług przetwarzania w Rządowej Chmurze Obliczeniowej, regularnie aktualizowany;

2) katalog usług przetwarzania w publicznych chmurach obliczeniowych, aktualizowany po przeprowadzeniu postępowania o udzielenie zamówienia publicznego na zakup usług przetwarzania w publicznych chmurach obliczeniowych zgodnie z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (Dz. U. z 2018 r. poz. 1986 i 2215 oraz z 2019 r. poz. 53, 730 i 1655).

3. Usługi przetwarzania w publicznych chmurach obliczeniowych będą umieszczane w katalogu, o którym mowa w ust. 2 pkt 2, niezwłocznie po zawarciu umów.

4. Prowadzenie postępowań o udzielenie zamówienia publicznego oraz zawieranie umów w sprawie zamówień publicznych, o których mowa w ust. 3, realizowane będzie w zamówieniu wspólnym lub przez centralnego zamawiającego wskazanego przez Prezesa Rady Ministrów, zgodnie z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych.

5. Zamawiający wyznaczony do przeprowadzenia wspólnego zamówienia lub centralny zamawiający, w celu zapewnienia podmiotom, o których mowa w § 6 ust. 1, nabywania wysoce skalowalnych i niezawodnych usług przetwarzania w publicznych chmurach obliczeniowych, będzie ogłaszał postępowania o udzielenie zamówienia publicznego na świadczenie usług przetwarzania w publicznych chmurach obliczeniowych.

2. Podział rezerwy dokonywany jest zgodnie z przepisami ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, przy czym minister właściwy do spraw informatyzacji dokonuje weryfikacji i akceptacji przedłożonych wniosków o podział rezerwy.

3. Środki na rezerwę celową, o której mowa w ust. 1, będą pochodziły ze środków finansowych, które dotychczas były przeznaczone, a także były lub będą planowane na zapewnienie usług przetwarzania pozwalających na rozwój i utrzymanie systemów teleinformatycznych przenoszonych na Rządową Chmurę Obliczeniową.

2. Podmioty, o których mowa w § 6 ust. 1, w terminie do końca marca danego roku przekazują ministrowi właściwemu do spraw informatyzacji wstępne zapotrzebowanie, o którym mowa w ust. 1.

3. Minister właściwy do spraw informatyzacji w terminie do końca kwietnia danego roku ustala na podstawie zapotrzebowania, o którym mowa w ust. 2, wykaz usług przetwarzania w Rządowej Chmurze Obliczeniowej na rok następny oraz prognozowany wykaz kosztów poszczególnych usług przetwarzania w Rządowej Chmurze Obliczeniowej i przekazuje je podmiotom, o których mowa w § 6 ust. 1.

Prezes Rady Ministrów: M. Morawiecki

Załączniki do uchwały nr 97 Rady Ministrów
z dnia 11 września 2019 r. (poz. 862)

Załącznik nr 1

MINIMALNE WYMAGANIA ORGANIZACYJNE I TECHNICZNE DLA POSIADACZY CPD ORAZ CPD PRZYŁĄCZONYCH DO RZĄDOWEJ CHMURY OBLICZENIOWEJ

1. Posiadacz CPD w zakresie świadczenia usług przetwarzania w Rządowej Chmurze Obliczeniowej spełnia wymagania zapewnienia zgodności swojego działania określone w Krajowych Ramach Interoperacyjności i ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych, w tym minimum poniższych standardów lub ich odpowiedników w polskim lub europejskim układzie normalizacji:

1) PN-EN ISO/IEC 27001 dotyczące zarządzania bezpieczeństwem informacji;

2) PN-EN ISO 22301 dotyczące zarządzania ciągłością działania;

3) PN-ISO/IEC 27005 dotyczące zarządzania ryzykiem w bezpieczeństwie informacji.

2. CPD spełnia wymagania:

1) CPD jest własnością Skarbu Państwa albo państwowych osób prawnych lub udział w prawie własności tych podmiotów wynosi co najmniej 51%;

2) klasa CPD wynosi minimum 3 według PN-EN 50600 w kategoriach: dostępność, zabezpieczenie przed nieuprawnionym dostępem, zabezpieczenie przed zagrożeniami środowiskowymi, potwierdzona oświadczeniem posiadacza obiektu albo odpowiednim certyfikatem zgodności;

3) w CPD istnieje węzeł sieci rządowej lub występuje możliwość jego zbudowania w ciągu 1 roku od dnia podjęcia decyzji o przyłączeniu CPD do Rządowej Chmury Obliczeniowej, potwierdzona przez ministra właściwego do spraw wewnętrznych;

4) istnieje techniczna możliwość wydzielenia w CPD komory lub klatki w komorze przeznaczonej wyłącznie na potrzeby infrastruktury Rządowej Chmury Obliczeniowej oraz zabezpieczenie rezerwy mocy nie mniej niż 2,5 kW/m² wydzielonej powierzchni;

5) w CPD j est zapewniona ochrona fizyczna obiektu;

6) CPD posiada system monitorowania pomieszczeń oraz nadzorowania ruchu osób umożliwiający generowanie raportów pozwalających na weryfikację dostępu fizycznego osób do urządzeń infrastruktury Rządowej Chmury Obliczeniowej.

3. Infrastruktura sieci łączności CPD spełnia wymagania:

1) posiada dostęp do przeznaczonej do tego celu sieci rządowej;

2) posiada dostęp do sieci publicznej przez co najmniej 2 niezależne łącza różnych operatorów;

3) posiada możliwość zarządzania przez usługi RKB potwierdzoną przez operatora RKB.

4. Infrastruktura Rządowej Chmury Obliczeniowej umieszczona w CPD spełnia wymagania:

1) w zakresie wsparcia dla infrastruktury:

a) używana infrastruktura (w szczególności: serwery, macierze, urządzenia sieciowe) posiada aktywną gwarancję wsparcia producenta; w przypadku gdy gwarancja wsparcia nie jest odnawiana, posiadacz CPD musi o tym poinformować odbiorców usług,

b) używana infrastruktura korzysta z oprogramowania instalowanego z autoryzowanych źródeł przez przeszkolony i autoryzowany personel,

c) uszkodzone elementy wyposażenia, które zawierają lub mogą zawierać dane odbiorców usług lub dane konfiguracji środowiska infrastruktury przetwarzania lub infrastruktury sieciowej, nie opuszczają pomieszczenia lub wydzielonej strefy CPD: w przypadku uszkodzonych nośników danych muszą one zostać trwale zniszczone pod nadzorem autoryzowanego personelu;

2) w zakresie wsparcia dla oprogramowania:

a) używane oprogramowanie pochodzi z autoryzowanych źródeł i jest przygotowywane do instalacji oraz instalowane przez przeszkolony i autoryzowany personel,

b) używane oprogramowanie zawiera wymagane poprawki bezpieczeństwa, a w szczególności te, które producent opisał jako krytyczne; posiadacz CPD zapewnia weryfikowalny i powtarzalny proces aktualizacji źródeł oprogramowania używanego do świadczenia usług,

c) używane oprogramowanie posiada wsparcie producenta w zakresie aktualizacji i poprawek bezpieczeństwa, a w przypadku oprogramowania używanego do świadczenia usług (np. oprogramowanie systemów operacyjnych, oprogramowanie do wirtualizacji) także hot-line w trybie 24/7/365,

d) posiadacz CPD zapewnia, że usługę realizuje wyłącznie wyszkolony i autoryzowany personel,

e) w przypadku używania oprogramowania open source wymagania, o których mowa w lit. a-d, stosuje się odpowiednio, przy czym rolę producenta oprogramowania przejmuje posiadacz CPD.

5. Posiadacz CPD, który nie udostępnia infrastruktury przetwarzania, spełnia wyłącznie wymagania, o których mowa w ust. 1-3.

6. Potwierdzenie wymagań określonych w ust. 1-3 odbywa się po spełnieniu jednego z następujących warunków:

1) przejściu pozytywnej weryfikacji zgodności z SCCO prowadzonej przez instytucję wskazaną przez operatora RKB;

2) sprawdzeniu przez operatora RKB systemu bezpieczeństwa w zakresie dotyczącym aktywów Rządowej Chmury Obliczeniowej;

3) uzyskaniu certyfikacji.

7. Posiadacz CPD, który nie spełnia wymagań, o których mowa w ust. 1-3, może rozpocząć korzystanie z Rządowej Chmury Obliczeniowej po spełnieniu następujących warunków:

1) złożeniu deklaracji zgodności z wymaganiami norm, o których mowa w ust. 1;

2) przejściu pozytywnej weryfikacji zgodności z SCCO prowadzonej przez instytucję wskazaną przez operatora RKB;

3) podpisaniu stosownego porozumienia dającego operatorowi RKB możliwość sprawdzania systemu bezpieczeństwa w zakresie dotyczącym aktywów Rządowej Chmury Obliczeniowej.

8. Koszty czynności związanych z deklaracją zgodności ponosi posiadacz CPD.

Załącznik nr 2

KRYTERIA KLASYFIKACJI SYSTEMÓW TELEINFORMATYCZNYCH, KTÓRE MOGĄ KORZYSTAĆ Z USŁUG PRZETWARZANIA W RZĄDOWEJ CHMURZE OBLICZENIOWEJ LUB W PUBLICZNYCH CHMURACH OBLICZENIOWYCH

Kryteria obejmują:

1. Kategorie systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych wraz z oznaczeniem możliwości utrzymania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych;

2. Kryteria analizy możliwości korzystania przez dany system z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w określonej publicznej chmurze obliczeniowej.

Analiza podmiotu odpowiedzialnego za system teleinformatyczny wykorzystywany do prowadzenia rejestrów, ewidencji oraz innych baz danych oraz pozostałych systemów służy dokonaniu oceny optymalnego i bezpiecznego wykorzystania usług chmurowych ww. kategorii. Analizy należy dokonywać w ramach dostępnych chmur obliczeniowych określonych w tabeli: "Kategorie systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych wraz z oznaczeniem możliwości utrzymania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych". W przypadku gdy w wyniku analizy stwierdzona zostanie dopuszczalność utrzymania danego systemu w Rządowej Chmurze Obliczeniowej lub w określonej publicznej chmurze obliczeniowej, system powinien zostać ulokowany w odpowiedniej chmurze. Niekorzystanie w powyższym przypadku z usług chmurowych wymaga uzasadnienia. Do przeprowadzenia analizy zobowiązany jest podmiot odpowiedzialny za system teleinformatyczny.

W przypadku systemów teleinformatycznych, które mogą korzystać z usług przetwarzania w Rządowej Chmurze Obliczeniowej lub w publicznych chmurach obliczeniowych, analiza powinna uwzględniać w szczególności, czy:

a) system jest wykorzystywany w obszarach o szczególnym znaczeniu dla realizacji zadań państwa związanych z ewidencją ludności, sprawami karnymi lub karnoskarbowymi, prawami majątkowymi obywateli, ewidencją nieruchomości, praw do nieruchomości oraz pojazdów i kierowców,

b) system teleinformatyczny zasila danymi systemy referencyjne państwa,

c) system korzysta z systemów referencyjnych państwa,

d) skutki prawne wpisów i danych zawartych w systemach teleinformatycznych mają wpływ na sytuację prawną (w tym prawno-majątkową) osób lub podmiotów.

Analiza powinna zostać przeprowadzona w oparciu o analizę ryzyka.

Kryteria do przeprowadzenia szacowania ryzyka obejmują co najmniej następujące atrybuty:

1. poufność informacji, w zakresie której należy przeanalizować co najmniej:

1.1. czy naruszenie poufności (np. nieautoryzowane ujawnienie) danych będzie uniemożliwiało lub będzie powodowało istotne zagrożenie dla realizacji szczególnych zadań państwa;

2. integralność informacji, w zakresie której należy przeanalizować co najmniej:

2.1. czy naruszenie integralności (np. nieautoryzowane zmodyfikowanie) danych będzie uniemożliwiało lub będzie powodowało istotne zagrożenie dla realizacji szczególnych zadań państwa;

2.2. czy system jest systemem referencyjnym dla innych systemów, w tym czy modyfikacja danych w systemie może spowodować / ma wpływ na dane przetwarzane w innym systemie o szczególnym znaczeniu dla realizacji zadań państwa;

2.3. czy wpis lub zmiana wpisów w systemie powoduje bezpośrednie skutki prawne;

3. dostępność informacji, w zakresie której należy przeanalizować co najmniej:

3.1. czy naruszenie dostępności danych (np. brak dostępu do danych) będzie uniemożliwiało lub będzie powodowało istotne zagrożenie dla realizacji szczególnych zadań państwa;

3.2. czy w celu realizacji szczególnych zadań państwa system powinien funkcjonować również w przypadku braku świadczenia usług przez dostawców komercyjnych (np. w przypadku upadłości lub zaprzestania świadczenia usług);

3.3. czy system powinien funkcjonować prawidłowo niezależnie od funkcjonowania na rynku dostawców komercyjnych.

Decyzja o wykorzystaniu usług chmury obliczeniowej wskazanej w wyniku klasyfikacji należy do właściciela klasyfikowanego systemu teleinformatycznego.

¹⁾ Oznaczenie w rubryce: "Brak możliwości skorzystania z usług chmurowych określonych w uchwale" nie oznacza, iż system ten nie może być przetwarzany w innych zamkniętych środowiskach chmurowych, których działania regulują inne przepisy, pragmatyki lub które utworzone zostały przez uprawnione do tego organy. Dedykowana Infrastruktura Teleinformatyczna to środowisko informatyczne pozostające pod kontrolą jednostki administracji publicznej, realizowane poza Rządową Chmurą Obliczeniową.

²⁾ W przypadku gdy przepisy materialne posługują się pojęciem rejestru.

³⁾ W przypadku gdy przepisy materialne posługują się pojęciem ewidencja.

⁴⁾ W przypadku gdy przepisy materialne posługują się dla oznaczenia systemu teleinformatycznego innymi pojęciami niż rejestr lub ewidencja.

⁵⁾ Zgodnie z art. 35 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu w związku z wykonywaniem swoich zadań Agencje zapewniają ochronę środków, form i metod realizacji zadań, zgromadzonych informacji oraz własnych obiektów i danych identyfikujących funkcjonariuszy tych Agencji.