Rozporządzenie Rady Ministrów z dnia 6 czerwca 2025 r. w sprawie przeprowadzania oceny bezpieczeństwa związanej z zapobieganiem zdarzeniom o charakterze terrorystycznym lub uprawdopodabniającym popełnienie przestępstwa szpiegostwa

Rozporządzenie określa:
1) warunki i tryb przeprowadzania oceny bezpieczeństwa, o której mowa w art. 32a ust. 1 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, zwanej dalej „ustawą”;
2) czynności niezbędne do przeprowadzania oceny bezpieczeństwa;
3) warunki i tryb dokonywania uzgodnień ramowych warunków przeprowadzania oceny bezpieczeństwa z organami administracji publicznej, właścicielami, posiadaczami samoistnymi i zależnymi obiektów, instalacji lub urządzeń infrastruktury krytycznej, o których mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2023 r. poz. 122 oraz z 2024 r. poz. 834, 1222, 1473, 1572 i 1907).

§1 1. Przedmiotem porozumienia o przeprowadzeniu oceny bezpieczeństwa, zwanego dalej „porozumieniem”, jest przeprowadzenie przez ABW oceny bezpieczeństwa, w rozumieniu art. 32a ust. 1 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2024 r. poz. 812, z późn. zm.), zwanej dalej „ustawą”, następujących systemów teleinformatycznych lub sieci teleinformatycznych podmiotu zarządzającego systemem: ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ............................................................................................................................................... , zwanych dalej „systemem”. 2. Stronami porozumienia są: Szef Agencji Bezpieczeństwa Wewnętrznego: ..................................................................... (stopień, imię i nazwisko) kierownik podmiotu zarządzającego systemem: ................................................................... (stanowisko i nazwa podmiotu) 3. Ocena bezpieczeństwa rozpocznie się z dniem .................................................................. r.

Użyte w rozporządzeniu określenia oznaczają:
1) ocena bezpieczeństwa – ocenę, o której mowa w art. 32a ust. 1 ustawy;
2) system – systemy teleinformatyczne i sieci teleinformatyczne, o których mowa w art. 32a ust. 1 ustawy, podlegające ocenie bezpieczeństwa;
3) architektura systemu – opis składników systemu teleinformatycznego lub sieci teleinformatycznej oraz powiązań i re- lacji między tymi składnikami;
4) usługa sieciowa – właściwość systemu teleinformatycznego polegającą na powtarzalnym wykonywaniu przez ten system z góry określonych funkcji po otrzymaniu, za pomocą sieci teleinformatycznej, danych uporządkowanych w określonej strukturze;
5) podmiot zarządzający systemem – podmiot, o którym mowa w art. 32a ust. 3 ustawy;
6) roczny plan – roczny plan przeprowadzania oceny bezpieczeństwa, o którym mowa w art. 32a ust. 2 ustawy.

§2 1. W celu realizacji przedmiotu porozumienia ABW wykona czynności określone w § 3 ust. 1 rozporządzenia Rady Ministrów z dnia 6 czerwca 2025 r. w sprawie przeprowadzania oceny bezpieczeństwa związanej z zapobieganiem zdarzeniom o charakterze terrorystycznym lub uprawdopodabniającym popełnienie przestępstwa szpiegostwa (Dz. U. poz. 810), zwanego dalej „rozporządzeniem”. numer strony/liczba stron ..................................................... (klauzula tajności – po wypełnieniu)  Dziennik Ustaw –6– Poz. 810 ..................................................... (klauzula tajności – po wypełnieniu) ...................................... Egz. nr ............... (sygnatura literowo-cyfrowa) 2.* Podmiot zarządzający systemem, działając w trybie § 3 ust. 2 rozporządzenia, wyraża zgodę na dokonanie przez ABW, w ramach oceny bezpieczeństwa, następujących czynności: ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ 3.* Podmiot zarządzający systemem wyraża zgodę na przeprowadzenie przez ABW, w ramach oceny bezpieczeństwa, następujących testów bezpieczeństwa1): ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ ................................................................................................................................................ 4. ABW po przeprowadzeniu oceny bezpieczeństwa sporządza i przekazuje w terminie, o którym mowa w § 13 ust. 1 rozporządzenia, podmiotowi zarządzającemu systemem raport, o którym mowa w art. 32a ust. 10 ustawy, spełniający wymagania określone w § 13 ust. 2 rozporządzenia.

1. W ramach oceny bezpieczeństwa przeprowadza się następujące czynności:
1) pasywne zbieranie informacji – zbieranie w sieci Internet informacji związanych z funkcjonowaniem systemu, wpły- wających na jego bezpieczeństwo;
2) półpasywne zbieranie informacji – zbieranie w systemie informacji związanych z funkcjonowaniem tego systemu, wpływających na jego bezpieczeństwo, na zasadach właściwych dla użytkownika tego systemu, z wyłączeniem uprawnień wymagających uwierzytelnienia w tym systemie; czynności te mogą być uzupełnione zbieraniem informa- cji wynikających z analizy architektury systemu;
1) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2024 r. poz. 1222, 1562, 1684 i 1871 oraz z 2025 r. poz. 179 i 718.  Dziennik Ustaw –2– Poz. 810
3) aktywne zbieranie informacji – zbieranie w systemie informacji związanych z funkcjonowaniem tego systemu, wpły- wających na jego bezpieczeństwo, w sposób przekraczający uprawnienia użytkownika systemu, w tym wymagających uwierzytelnienia w systemie, w szczególności polegających na enumeracji usług, portów, wykrywaniu urządzeń po- średniczących, wykrywaniu systemów IDS/IPS oraz zapór ogniowych;
4) identyfikacja podatności architektury systemu i usług sieciowych – podejmowanie czynności mających na celu iden- tyfikację podatności, o której mowa w art. 32a ust. 4 ustawy, dokonywanych na podstawie informacji uzyskanych w ramach czynności, o których mowa w pkt 1–3, oraz na podstawie informacji na temat architektury systemu udostęp- nionych przez podmiot zarządzający systemem. 2. W ramach oceny bezpieczeństwa poza czynnościami, o których mowa w ust. 1, mogą być również przeprowadzane, za zgodą podmiotu zarządzającego systemem, następujące czynności:
1) wykorzystanie podatności – podejmowanie w systemie czynności nakierowanych na użycie podatności zidentyfiko- wanych w ramach czynności, o której mowa w ust. 1 pkt 4, w celu ominięcia zabezpieczeń systemu oraz identyfikacji podatności, których identyfikacja jest niemożliwa w ramach czynności, o której mowa w ust. 1 pkt 4;
2) analiza wpływu wykorzystania czynników inżynierii społecznej – wykorzystanie ogólnych metod inżynierii społecznej, które mają na celu uzyskanie informacji na temat zachowania użytkowników systemu, w celu weryfikacji procedur bezpieczeństwa badanego systemu realizowanych przez tych użytkowników; czynności mogą być wykonywane z za- stosowaniem narzędzi, o których mowa w art. 32a ust. 7 ustawy;
3) analiza odporności systemu na działania narzędzi, o których mowa w art. 32a ust. 7 ustawy – zaplanowane zastosowanie narzędzi, o których mowa w art. 32a ust. 7 ustawy, w celu zbadania możliwości wykorzystania luk w zabezpieczeniach systemu, polegające na badaniu odporności systemu na możliwość wykorzystania go do popełniania przestępstw, o których mowa w art. 32a ust. 7 ustawy.

§3 Podmiot zarządzający systemem oświadcza, że systemy teleinformatyczne wskazane do przeprowadzenia oceny bezpieczeństwa pozostają w jego faktycznej oraz prawnej dyspozycji oraz że posiada on wszelkie prawa do wdrożenia we wskazanych systemach takich testów w zakresie określonym w porozumieniu oraz na zasadach w nim określonych.

1. Przed przeprowadzeniem oceny bezpieczeństwa Agencja Bezpieczeństwa Wewnętrznego, zwana dalej „ABW”, zwraca się do podmiotu zarządzającego systemem o przekazanie informacji dotyczących systemu, które mogą obejmować:
1) architekturę systemu, w tym informacje o urządzeniach wchodzących w skład infrastruktury systemu;
2) adresację sieciowej infrastruktury systemu;
3) informację o posiadaniu aktualnej kopii bezpieczeństwa systemu i zasad jej aktualizacji;
4) określenie czasu wymaganego do przywrócenia systemu z kopii bezpieczeństwa systemu;
5) informację o posiadaniu środowiska testowego i o jego zakresie;
6) zabezpieczenia teleinformatyczne systemu;
7) procedury bezpieczeństwa systemu;
8) dane osoby wyznaczonej przez kierownika podmiotu zarządzającego systemem do bieżącego kontaktu z ABW w czasie przeprowadzania oceny bezpieczeństwa, zwanej dalej „osobą wyznaczoną”;
9) dane osoby upoważnionej przez kierownika podmiotu zarządzającego systemem do reprezentowania tego podmiotu w ramach oceny bezpieczeństwa, zwanej dalej „osobą upoważnioną”. 2. Podmiot zarządzający systemem przekazuje informacje, o których mowa w ust. 1, w terminie:
1) 14 dni od dnia otrzymania wystąpienia ABW – w przypadku systemu ujętego w rocznym planie;
2) 7 dni od dnia otrzymania wystąpienia ABW – w przypadku systemu nieujętego w rocznym planie.

§4 1. Podmiot zarządzający systemem przekazuje ABW w terminie, o którym mowa w § 4 ust. 2 pkt 1 / § 4 ust. 2 pkt 2* rozporządzenia, informacje, o których mowa w § 4 ust. 1 rozporządzenia. 2. Podmiot zarządzający systemem może zwrócić się do ABW, w trybie § 7 ust. 3 lub § 8 ust. 3 rozporządzenia, z pisemnym wnioskiem o przeprowadzenie oceny bezpieczeństwa mimo wystąpienia jednej z przesłanek, o których mowa w § 7 ust. 2 lub § 8 ust. 1 pkt 2 lit. b–d rozporządzenia.
1) Rodzaje testów bezpieczeństwa przeprowadzanych przez ABW są określone w zarządzeniu Szefa ABW wydanym na podstawie art. 32a ust. 12 ustawy i ogłoszonym przez Szefa ABW w Dzienniku Urzędowym Agencji Bezpieczeństwa Wewnętrznego. numer strony/liczba stron ..................................................... (klauzula tajności – po wypełnieniu)  Dziennik Ustaw –7– Poz. 810 ..................................................... (klauzula tajności – po wypełnieniu) ...................................... Egz. nr ............... (sygnatura literowo-cyfrowa)

1. Podmiot zarządzający systemem w terminie 14 dni od dnia otrzymania projektu porozumienia zawierającego ramowe warunki przeprowadzenia oceny bezpieczeństwa może wnieść zastrzeżenia do treści tego projektu wraz z uzasad- nieniem tych zastrzeżeń. 2. Zastrzeżenia do treści projektu porozumienia zawierającego ramowe warunki przeprowadzenia oceny bezpieczeń- stwa mogą obejmować w szczególności rodzaj i zakres przeprowadzanych testów z uwzględnieniem konieczności minima- lizacji zakłócenia pracy systemu lub ograniczenia jego dostępności bądź nieodwracalnego zniszczenia danych przetwarza- nych w systemie.

§6 Ustanawia się następujący harmonogram oceny bezpieczeństwa: ...................................................................................................................................................... ...................................................................................................................................................... ...................................................................................................................................................... ......................................................................................................................................................

1. ABW odnosi się do zastrzeżeń do treści projektu porozumienia zawierającego ramowe warunki przeprowadzenia oceny bezpieczeństwa w terminie 14 dni od dnia ich otrzymania. 2. W przypadku gdy uwzględnienie zastrzeżeń do treści projektu porozumienia zawierającego ramowe warunki prze- prowadzenia oceny bezpieczeństwa może spowodować, że ocena bezpieczeństwa stanie się niekompletna lub zwiększy możliwość wystąpienia zakłócenia pracy systemu lub ograniczenia jego dostępności bądź nieodwracalnego zniszczenia danych przetwarzanych w systemie, ABW odstępuje od przeprowadzenia tej oceny. 3. Podmiot zarządzający systemem w terminie 7 dni od dnia otrzymania informacji o odstąpieniu od przeprowadzenia oceny bezpieczeństwa może zwrócić się z pisemnym wnioskiem do ABW o przeprowadzenie tej oceny w przypadkach, o których mowa w ust. 2, akceptując niekompletność oceny bezpieczeństwa lub możliwość wystąpienia negatywnych na- stępstw oceny bezpieczeństwa związanych z zakłóceniem pracy systemu lub ograniczeniem jego dostępności.

§7 * Ustanawia się następujący sposób udostępniania pomieszczeń lub urządzeń wchodzących w skład infrastruktury systemu podmiotu zarządzającego systemem: ...................................................................................................................................................... ......................................................................................................................................................

1. ABW odstępuje od przeprowadzenia oceny bezpieczeństwa, w sytuacji gdy:
1) podmiot zarządzający systemem przekaże informację o tym, że nie posiada aktualnej kopii bezpieczeństwa systemu;
2) z analizy, o której mowa w § 5 ust. 1, wynika, że:
a) istnieje zagrożenie nieodwracalnego zniszczenia danych przetwarzanych w systemie, który będzie podlegał ocenie bezpieczeństwa,
b) czas potrzebny na przywrócenie systemu z kopii bezpieczeństwa może w istotny sposób zakłócić pracę systemu lub ograniczyć jego dostępność,
c) podczas przeprowadzania oceny bezpieczeństwa może dojść do uszkodzenia urządzeń wchodzących w skład infrastruktury tego systemu oraz innych systemów teleinformatycznych podmiotu zarządzającego systemem,
d) istnieje zagrożenie ograniczenia dostępności usług świadczonych drogą elektroniczną przez podmiot zarządzający systemem. 2. ABW informuje podmiot zarządzający systemem o odstąpieniu od przeprowadzenia oceny bezpieczeństwa oraz o okolicznościach i przyczynach tego odstąpienia. 3. Podmiot zarządzający systemem w terminie 7 dni od dnia otrzymania informacji o odstąpieniu od przeprowadzenia oceny bezpieczeństwa może zwrócić się z pisemnym wnioskiem do ABW o przeprowadzenie tej oceny mimo zaistnienia zagrożeń, o których mowa w ust. 1 pkt 2 lit. b–d, akceptując możliwość wystąpienia tych zagrożeń i ich negatywnych następstw.

§8 W celu zapewnienia sprawnej realizacji porozumienia kierownik podmiotu zarządzającego systemem:
1) upoważnia Panią/Pana* ......................................................................................................... , dane kontaktowe: .................................................................................................................. , do reprezentowania go przed ABW w ramach oceny bezpieczeństwa;
2) wyznacza Panią/Pana* .......................................................................................................... , dane kontaktowe: .................................................................................................................. , do bieżącego kontaktu oraz udzielania wyjaśnień i przekazywania ABW informacji dotyczących funkcjonowania systemu.

1. Funkcjonariusz ABW lub pracownik ABW przeprowadzający ocenę bezpieczeństwa wstrzymuje prowadzenie czynności, jeżeli:
1) otrzymał od osoby wyznaczonej informację o zakłóceniach w prawidłowym funkcjonowaniu systemu, które mogą skutkować zagrożeniami, o których mowa w § 8 ust. 1 pkt 1 lub pkt 2 lit. a, c lub d;
2) pojawiło się jedno z zagrożeń, o których mowa w § 8 ust. 1 pkt 1 lub pkt 2 lit. a, c lub d, albo uzasadnione podejrzenie ich wystąpienia. 2. ABW informuje podmiot zarządzający systemem o wstrzymaniu prowadzenia czynności w przypadkach, o których mowa w ust. 1, oraz o okolicznościach i przyczynach tego wstrzymania. 3. Podmiot zarządzający systemem w terminie 2 dni roboczych od daty poinformowania o wstrzymaniu prowadzenia czynności w przypadkach, o których mowa w ust. 1, może zwrócić się z pisemnym wnioskiem do ABW o dalsze prowadze- nie czynności w ramach oceny bezpieczeństwa mimo zaistnienia zagrożeń, o których mowa w § 8 ust. 1 pkt 2 lit. c lub d, akceptując możliwość wystąpienia tych zagrożeń lub ich negatywnych następstw. 4. W przypadku nieotrzymania wniosku, o którym mowa w ust. 3, ABW odstępuje od dalszego przeprowadzania oceny bezpieczeństwa.

§ 12 Porozumienie wchodzi w życie z dniem podpisania. ....................................................................... ........................................................................ (podpis Szefa ABW (podpis kierownika podmiotu zarządzającego systemem albo osoby upoważnionej) albo osoby upoważnionej) * Niepotrzebne skreślić. numer strony/liczba stron ..................................................... (klauzula tajności – po wypełnieniu)