Dzienniki Urzędowe - rok 2021 poz. 23

Na podstawie § 5 ust. 2 piet 1 załącznika do zarządzenia Nr 36 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 4 grudnia 2018 r. w sprawie ustalenia regulaminu organizacyjnego Generalnej Dyrekcji Dróg Krajowych i Autostrad¹⁾, w związku z art. 24 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46 WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 i Dz. Urz. UE L 127 z 23.05.2018, str. 2) oraz § 20 ust. 1 rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U. z 2017 r. poz. 2247), zarządza się, co następuje:

2. Celem SZBI jest zapewnienie poufności, integralności i dostępności informacji przetwarzanych w GDDKiA, zarówno będących jej własnością, jak i powierzonych przez inne podmioty, niezależnie od ich formy i nośnika przetwarzania oraz dystrybucji.

3. SZBI obejmuje wszystkie jednostki i komórki organizacyjne GDDKiA.

2. Koordynowanie wdrożenia SZBI powierzam Dyrektorowi Departamentu Zarządzania Kryzysowego i Bezpieczeństwa w Centrali GDDKiA.

3. Kierujący komórkami organizacyjnymi Centrali GDDKiA oraz Dyrektorzy Oddziałów GDDKiA są obowiązani do współdziałania i udzielenia wsparcia Dyrektorowi Departamentu Zarządzania Kryzysowego i Bezpieczeństwa w Centrali GDDKiA, koordynującemu wdrożenie SZBI, w szczególności poprzez udostępnianie niezbędnych informacji oraz współpracę w zakresie realizacji poszczególnych etapów wdrożenia SZBI.

2. Na dokumentację SZBI składają się:

1) regulaminy, zasady, wytyczne, instrukcje, procedury stanowiące dokumentację obligatoryjną SZBI;

2) zalecenia i wyjaśnienia;

3) polityki stanowiące dokumenty wprowadzane mocą zarządzenia.

3. W razie wątpliwości co do stosowania reguł wynikających z dokumentacji obligatoryjnej SZBI oraz odstępstw od jej stosowania, uznaje sieją za równoważną wydanemu poleceniu służbowemu przez odpowiednio właściwego przedstawiciela Kierownictwa Generalnej Dyrekcji Dróg Krajowych i Autostrad, Dyrektora Oddziału lub kierownika komórki organizacyjnej. Przepisu nie stosuje się wobec polityk.

4. O wprowadzeniu dokumentacji SZBI informuje się wszystkich pracowników Generalnej Dyrekcji Dróg Krajowych i Autostrad przy użyciu środków komunikacji elektronicznej, w szczególności za pośrednictwem EZD lub poprzez wysłanie e-maila, wskazując w informacji miejsce jej publikacji.

5. Niestosowanie reguł wynikających z dokumentacji SZBI przez pracownika, który nie został poinformowany o ich wprowadzeniu, lub któremu nie wskazano miejsca ich publikacji, lub który nie został poinformowany o obowiązku ich stosowania, nie stanowi uchybienia obowiązkom pracowniczym.

6. Opis sposobu wprowadzania dokumentacji SZBi stanowi załącznik nr 3 do zarządzenia.

1) zarządzenie nr 15 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 14 marca 2013 r. w sprawie polityki bezpieczeństwa informacji;

2) zarządzenie nr 24 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 25 marca 2015 r. w sprawie wprowadzenia "Polityki Bezpieczeństwa Teleinformatycznego" w Generalnej Dyrekcji Dróg Krajowych i Autostrad;

4) zarządzenie nr 21 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 24 maja 2018 r. w sprawie Polityki ochrony danych osobowych w Generalnej Dyrekcji Dróg Krajowych i Autostrad.

2. Z dniem wejścia w życie zarządzenia:

1) treść Polityki ochrony danych osobowych, stanowiącej załącznik do zarządzenia nr 21 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 24 maja 2018 r. w sprawie Polityki ochrony danych osobowych w Generalnej Dyrekcji Dróg Krajowych i Autostrad,

2) treść Polityki Bezpieczeństwa Teleinformatycznego, stanowiącej załącznik do zarządzenia nr 24 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 25 marca 2015 r. w sprawie wprowadzenia "Polityki Bezpieczeństwa Teleinformatycznego" w Generalnej Dyrekcji Dróg Krajowych i Autostrad,

3) treść Regulaminu Bezpieczeństwa Teleinformatycznego, stanowiącego załącznik do zarządzenia nr 4 Dyrektora Generalnego Generalnej Dyrekcji Dróg Krajowych i Autostrad z dnia 1 czerwca 2015 r. w sprawie wprowadzenia Regulaminu Bezpieczeństwa Teleinformatycznego w Generalnej Dyrekcji Dróg Krajowych i Autostrad,

4) treść Zasad bezpieczeństwa pracy zdalnej, stanowiących załącznik do zarządzenia nr 10 Dyrektora Generalnego Generalnej Dyrekcji Dróg Krajowych i Autostrad z dnia 27 października 2020 r. w sprawie ustalenia zasad bezpieczeństwa pracy zdalnej w Generalnej Dyrekcji Dróg Krajowych i Autostrad

- staje się dokumentacją w rozumieniu § 4 ust. 2 pkt 1.

3. Niezwłocznie po dniu wejścia w życie zarządzenia, nie później niż w terminie 5 dni roboczych, Dyrektor Departamentu Zarządzania Kryzysowego i Bezpieczeństwa w Centrali GDDKiA realizuje zadania, o których mowa w § 4 ust. 4, w stosunku do treści, o których mowa w ust. 2.

¹⁾ Niniejsze zarządzenie zostało zmienione zarządzeniem Nr 13 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 6 maja 2020 r. zmieniającym zarządzenie w sprawie ustalenia regulaminu organizacyjnego Generalnej Dyrekcji Dróg Krajowych i Autostrad, zarządzeniem Nr 25 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 13 lipca 2020 r. zmieniającym zarządzenie w sprawie ustalenia regulaminu organizacyjnego Generalnej Dyrekcji Dróg Krajowych i Autostrad, zarządzeniem Nr 34 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 17 września 2020 r. zmieniającym zarządzenie w sprawie ustalenia regulaminu organizacyjnego Generalnej Dyrekcji Dróg Krajowych i Autostrad oraz zarządzeniem Nr 39 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 1 października 2020 r. zmieniającym zarządzenie w sprawie ustalenia regulaminu organizacyjnego Generalnej Dyrekcji Dróg Krajowych i Autostrad.

Załącznik nr 2

Harmonogram wdrożenia SZBI

Załącznik nr 3

Opis sposobu wprowadzania dokumentacji SZBI

§ 1. 1. Propozycje wprowadzenia nowej polityki, regulaminu, zasad, wytycznych, instrukcji lub procedur, a także propozycje ich zmian podlegają zgłoszeniu, za pośrednictwem kanałów komunikacji elektronicznej, do pełnomocnika ds. bezpieczeństwa informacji.

2. Propozycje, o których mowa w ust. 1, powinny zawierać cel i zakres proponowanych rozwiązań oraz, o ile to możliwe, treść projektowanych postanowień.

3. Propozycje, o których mowa w ust. 1, podlegają:

1) opiniowaniu pod kątem merytorycznym oraz w zakresie spójności SZBI;

2) weryfikacji pod kątem poprawności prawnej i legislacyjnej.

4. Czynności, o których mowa w ust. 3 pkt 1, dokonuje pełnomocnik ds. bezpieczeństwa informacji. W przypadku gdy zakres propozycji dotyczy obszaru bezpieczeństwa fizycznego, bezpieczeństwa teleinformatycznego lub ochrony danych osobowych, pełnomocnik ds. bezpieczeństwa informacji zasięga opinii odpowiednio kierownika komórki ds. ochrony fizycznej Centrali GDDKiA, kierownika komórki ds. informatycznych Centrali GDDKiA lub Inspektora Ochrony Danych.

5. Weryfikacji, o której mowa w ust. 3 pkt 2, dokonuje kierownik komórki ds. prawnych Centrali GDDKiA.

6. Pozytywna opinia, o której mowa w ust. 3 pkt 1, stanowi podstawę do:

1) podjęcia działań mających na celu opracowanie nowej polityki, regulaminu, zasad, wytycznych, instrukcji lub procedur;

2) wprowadzenia zmiany w istniejącej polityce, regulaminie, zasadach, wytycznych, instrukcjach lub procedurach.

§ 2. Propozycje wprowadzenia lub zmiany polityki, stanowiącej dokument wprowadzany mocą zarządzenia, proceduje się zgodnie z zarządzeniem nr 25 Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia 21 lipca 2017 r. w sprawie prac legislacyjnych w Generalnej Dyrekcji Dróg Krajowych i Autostrad zmienionego zarządzeniem nr 4 Generalnego Dyrektora Dróg Kraj owych i Autostrad z dnia 10 stycznia 2018 r. zmieniającym zarządzenie w sprawie prac legislacyjnych w Generalnej Dyrekcji Dróg Kraj owych i Autostrad.

§ 3. 1. Nowy regulamin, zasady, wytyczne, instrukcje lub procedury oraz ich zmiany podlegają zatwierdzeniu przez Dyrektora Generalnego GDDKiA.

2. Dokument, o którym mowa w ust. 1, lub jego zaktualizowana wersja, jest publikowany w Intranecie na stronie dedykowanej zarządzaniu bezpieczeństwem informacji w GDDKiA.

3. Z dniem następującym po dniu publikacji dokument, o którym mowa w ust. 1, lub wprowadzona zmiana, stają się obowiązujące dla wszystkich pracowników GDDKiA i wchodzi w skład dokumentacji SZBI.

§ 4. 1. Propozycja wprowadzenia nowych zaleceń lub wyjaśnień lub propozycja zmian istniejących zaleceń lub wyjaśnień, zgłoszona zgodnie z § 1 ust. 1, podlega ocenie i akceptacji, zgodnie z właściwością wynikającą z treści wyjaśnień, odpowiednio przez:

1) pełnomocnika ds. bezpieczeństwa informacji w zakresie spójności z SZBI;

2) kierownika komórki ds. ochrony fizycznej Centrali GDDKiA w zakresie bezpieczeństwa fizycznego;

3) kierownika komórki ds. informatycznych Centrali GDDKiA w zakresie bezpieczeństwa teleinformatycznego;

4) pełnomocnika ds. bezpieczeństwa informacji w zakresie ochrony danych osobowych po uzyskaniu opinii Inspektora Ochrony Danych.

2. Inspektor Ochrony Danych może opracowywać, zgodnie ze swoją właściwością, zalecenia lub wyjaśnienia lub zmiany istniejących zaleceń lub wyjaśnień po uzyskaniu opinii pełnomocnika ds. bezpieczeństwa informacji.

§ 5. 1. Zalecenia lub wyjaśnienia lub ich zmiany, po ich zatwierdzeniu, zgodnie z właściwością, przez pełnomocnika ds. bezpieczeństwa informacji, kierownika komórki ds. ochrony fizycznej Centrali GDDKiA, kierownika komórki ds. informatycznych Centrali GDDKiA, są publikowane w Intranecie na stronie dedykowanej zarządzaniu bezpieczeństwem informacji w GDDKiA.

2. Z dniem następującym po dniu publikacji w Intranecie zalecenia lub wyjaśnienia lub ich zmiany wchodzą w skład dokumentacji SZBI.

§ 6. 1. W uzasadnionych przypadkach można odstąpić od stosowania zasad lub procedur określonych w dokumentacji obligatoryjnej SZBI.

2. Odstępstwo, o którym mowa w ust. 1, następuje wyłącznie na wniosek Dyrektora Oddziału GDDKiA lub kierownika komórki organizacyjnej Centrali GDDKiA.

3. Wniosek, o którym mowa w ust. 2, wraz z uzasadnieniem Dyrektor Oddziału GDDKiA lub kierownik komórki organizacyjnej Centrali GDDKiA kieruje do Dyrektora Generalnego GDDKiA za pośrednictwem pełnomocnika ds. bezpieczeństwa informacji.

4. Pełnomocnik ds. bezpieczeństwa informacji dokonuje weryfikacji i analizy możliwości zastosowania zaproponowanych odstępstw mając na względzie konieczność zapewnienia poufności, integralności i dostępności informacji przetwarzanych w GDDKiA.

5. W przypadku gdy wniosek, o którym mowa w ust. 2, dotyczy obszaru bezpieczeństwa fizycznego, bezpieczeństwa teleinformatycznego lub ochrony danych osobowych, pełnomocnik ds. bezpieczeństwa informacji zasięga opinii odpowiednio kierownika komórki ds. ochrony fizycznej Centrali GDDKiA, kierownika komórki ds. informatycznych Centrali GDDKiA lub Inspektora Ochrony Danych.

6. Po dokonaniu weryfikacji i analizy wniosku oraz zasięgnięciu opinii, o których mowa w ust. 5, pełnomocnik ds. bezpieczeństwa informacji przekazuje wniosek wraz z rekomendacją do Dyrektora Generalnego GDDKiA.

7. Zgodę na odstępstwo, o którym mowa w ust. 1, wydaje Dyrektor Generalny GDDKiA.

8. Zgoda na odstępstwo ma charakter konkretny, dotyczący danej sprawy, tymczasowy i obowiązuje w okresie w niej oznaczonym.

§ 7. Publikowanie dokumentacji i informowanie o tej publikacji pracowników GDDKiA jest obowiązkiem pełnomocnika ds. bezpieczeństwa informacji.