Obronność:
klasyfikacja informacji, platformy mobilne, łańcuch dostaw

Przemysł obronny i jego dostawcy pracują z informacjami klasyfikowanymi według ustalonych schematów i z urządzeniami, których użycie zależy od dopuszczeń. ISEC7 oznacza wiadomości e-mail i dokumenty według schematów takich jak BUND i NATO, integruje i obsługuje platformy mobilne, na przykład indigo firmy Apple, oraz wspiera dostawców z łańcucha dostaw amerykańskiego sektora obronnego w wymaganiach CMMC. Dopuszczenia należą do producentów stosowanych produktów, a ISEC7 odpowiada za architekturę, wdrożenie i eksploatację. Fragmenty dotyczące prawa opisują stan prawny w Niemczech.

Jakie przepisy obowiązują w niemieckim sektorze obronnym?

Ta część opisuje niemiecki stan prawny. W przypadku Bundeswehry, czyli niemieckich sił zbrojnych, decydujące są przepisy o ochronie informacji niejawnych, a nie NIS2. § 29 ust. 3 niemieckiej ustawy BSIG wyłącza obszar działania Federalnego Ministerstwa Obrony dodatkowo spod §§ 30, 33 i 35, czyli m.in. spod środków zarządzania ryzykiem i obowiązku rejestracji (BSIG w brzmieniu obowiązującym od 6 grudnia 2025 r.). Obowiązuje natomiast klasyfikacja według § 4 niemieckiej ustawy SÜG i niemiecka instrukcja o informacjach niejawnych (VSA): produkty pełniące funkcje bezpieczeństwa IT przy ochronie informacji niejawnych muszą mieć dopuszczenie (BSI, uwagi do listy dopuszczonych produktów).

Niemieckie przedsiębiorstwa zbrojeniowe podlegają ustawie BSIG, jeśli same spełniają kryteria podmiotu szczególnie ważnego lub ważnego według § 28 BSIG. Wtedy obowiązują je również minimalne środki z § 30, łącznie z zabezpieczoną komunikacją głosową, wideo i tekstową. Nie opisujemy tutaj polskich przepisów; w tej sprawie warto zwrócić się do właściwych polskich instytucji.

Jak oznaczać e-maile i dokumenty według schematu NATO lub BUND?

Za pomocą klasyfikacji, która działa tam, gdzie powstaje treść. ISEC7 CLASSIFY działa jako dodatek w Outlooku, Outlooku w przeglądarce, Wordzie, Excelu, PowerPoincie i na stronach SharePoint, a na iOS i Androidzie w aplikacji ISEC7 MAIL. Klasyfikację nadają sami użytkownicy, a zestaw reguł decyduje, co jest dozwolone: bez klasyfikacji żadna wiadomość nie zostanie wysłana, a niezaufane domeny odbiorców można zablokować.

ISEC7 dostarcza schematy standardowe BUND (niemiecka administracja federalna), NATO i Traffic Light. Kilka schematów może działać jednocześnie, na przykład schemat firmowy obok NATO. Własnymi schematami, konfiguracją i raportowaniem zarządza się centralnie w ISEC7 SPHERE. Schematy odwzorowują reguły oznaczania; nie wiąże się z nimi żadne dopuszczenie BSI ani NATO. Więcej o ISEC7 CLASSIFY

Które platformy mobilne mają dopuszczenie dla VS-NfD i NATO RESTRICTED?

Na iPhonie i iPadzie jest to indigo, które niemiecki Federalny Urząd Bezpieczeństwa Informacji (BSI) prowadzi jako bezpieczne rozwiązanie mobilne firmy Apple. VS-NfD to najniższa niemiecka klauzula niejawności. Dopuszczenia BSI dla indigo firmy Apple: do VS-NfD (BSI-VSA-10900) i NATO RESTRICTED (BSI-VSA-11003) oraz zezwolenie na użytkowanie (Einsatzerlaubnis) do VS-NfD (BSI-VSA-10901), wszystkie ważne do 31.10.2027 r. Posiadaczem dopuszczeń jest Apple Inc., a ISEC7 działa jako integrator. Apple odnosi dopuszczenie NATO RESTRICTED do iOS i iPadOS 26.

ISEC7 odpowiada za architekturę, wdrożenie, definicję procesów i eksploatację. Obsługujemy w tym celu BlackBerry UEM i monitorujemy zgodność urządzeń za pomocą ISEC7 SPHERE. Dopuszczenie należy do platformy, nie do nas. Więcej o indigo (po angielsku)

Usługa szyfrowanej telefonii ISEC7 MANAGED SECURE VOICE jest dostępna wyłącznie dla niemieckich przedsiębiorstw i urzędów, ponieważ wykorzystuje federalny materiał kryptograficzny Niemiec. Dane z rejestru według listy BSI 7164, sprawdzone 8 października 2026 r.

Co oznacza CMMC dla europejskich dostawców amerykańskiego sektora obronnego?

CMMC to amerykański system oceny ochrony informacji w łańcuchu dostaw Departamentu Wojny USA (Department of War). Dotyczy także firm europejskich, których zlecenia pochodzą z programów amerykańskich poprzez klauzule flow-down. Department of War zawiesił wymagania 2. fazy CMMC 13 lipca 2026 r. Obowiązek oceny przez zewnętrzną jednostkę C3PAO jest wstrzymany, natomiast wymagania DFARS 252.204-7012 i NIST SP 800-171 obowiązują bez zmian. Samoocena i wynik w systemie SPRS pozostają obowiązkowe.

ISEC7 nie jest jednostką C3PAO ani jednostką oceniającą. Razem z Państwem przechodzimy przez katalog wymagań, określamy zakres i wspieramy eksploatację aż do gotowości do audytu. Samą ocenę przeprowadza akredytowany audytor.

Zakres oceny wyznacza to, które dokumenty zawierają CUI, dlatego klasyfikacja jest pierwszym krokiem. Do wymiany tych plików z zamawiającymi współpracujemy z naszym partnerem Kiteworks: ISEC7 zajmuje się zakupem, integracją i konfiguracją, własnym wsparciem oraz eksploatacją w formie usługi zarządzanej. Więcej o CMMC 2.0 (po angielsku)

Pytania i odpowiedzi

Najczęstsze pytania o bezpieczeństwo IT w sektorze obronnym

Czy NIS2 obowiązuje niemieckie siły zbrojne?

Według prawa niemieckiego tylko częściowo. Zgodnie z § 29 ust. 2 niemieckiej ustawy BSIG jednostki administracji federalnej traktuje się jak podmioty szczególnie ważne, z wyłączeniem §§ 38, 40 ust. 3, 61 i 65. Zgodnie z § 29 ust. 3 obszar działania Federalnego Ministerstwa Obrony jest dodatkowo wyłączony spod §§ 30, 33 i 35, m.in. spod środków zarządzania ryzykiem i obowiązku rejestracji. W przypadku informacji niejawnych decydujące pozostają przepisy o ich ochronie.

Czy niemiecka ustawa BSIG obowiązuje przedsiębiorstwa zbrojeniowe?

Tak, jeśli przedsiębiorstwo samo spełnia kryteria § 28 niemieckiej ustawy BSIG. Decyduje to, czy należy do jednego z rodzajów podmiotów z załącznika 1 lub 2 ustawy i czy osiąga progi, w przypadku podmiotów ważnych np. co najmniej 50 pracowników albo roczny obrót i suma bilansowa powyżej 10 mln euro każde. Opisujemy tu prawo niemieckie; nie wypowiadamy się o polskiej ustawie o krajowym systemie cyberbezpieczeństwa.

Co oznacza VS-NfD?

VS-NfD to skrót od „VS-NUR FÜR DEN DIENSTGEBRAUCH”, najniższej z czterech niemieckich klauzul niejawności. Zgodnie z § 4 ust. 2 pkt 4 niemieckiej ustawy SÜG klauzulę tę nadaje się, jeśli zapoznanie się z informacją przez osoby nieuprawnione może być niekorzystne dla interesów Republiki Federalnej Niemiec lub jednego z jej krajów związkowych. Nie należy jej utożsamiać z polskimi klauzulami bez analizy prawnej.

Czy na iPhonie można przetwarzać informacje NATO RESTRICTED?

Z indigo firmy Apple tak, w warunkach użytkowania i eksploatacji określonych w dopuszczeniu. BSI wydał dla indigo dopuszczenie BSI-VSA-11003 dla NATO RESTRICTED, ważne do 31.10.2027 r.; posiadaczem jest Apple Inc., a Apple odnosi je do iOS i iPadOS 26. ISEC7 integruje i obsługuje środowiska indigo, ale nie posiada własnego dopuszczenia.

Czy ISEC7 CLASSIFY ma dopuszczenie BSI lub NATO?

Nie. ISEC7 CLASSIFY odwzorowuje reguły oznaczania, takie jak standardowe schematy BUND i NATO, i egzekwuje je w Outlooku, pakiecie Office i ISEC7 MAIL. Nie wiąże się z tym żadne dopuszczenie BSI ani NATO.

Czy ISEC7 może nas certyfikować w zakresie CMMC?

Nie. ISEC7 nie jest jednostką C3PAO ani jednostką oceniającą. Razem z Państwem przechodzimy przez katalog wymagań, określamy zakres i wspieramy eksploatację aż do gotowości do audytu. Samą ocenę przeprowadza akredytowany audytor.

Czy CMMC nadal obowiązuje po zawieszeniu z 13 lipca 2026 r.?

Tak, częściowo. Department of War zawiesił wymagania 2. fazy CMMC 13 lipca 2026 r. Obowiązek oceny przez zewnętrzną jednostkę C3PAO jest wstrzymany, natomiast wymagania DFARS 252.204-7012 i NIST SP 800-171 obowiązują bez zmian. Oceny C3PAO miały się rozpocząć 10 listopada 2026 r. Samoocena i wynik w systemie SPRS pozostają obowiązkowe.

Obronność:klasyfikacja informacji, platformy mobilne, łańcuch dostaw