Dzienniki Urzędowe - rok 2002 nr 4 poz. 7

Na podstawie art. 7 ust.2 pkt 2 i art. 17 ust. 4 pkt 9 w związku z art. 48 pkt 1 i 3 ustawy z dnia 29 sierpnia 1997 r. o Narodowym Banku Polskim (Dz. U. Nr 140, poz. 938, z 1998 r. Nr 160, poz.1063, z 2000 r. Nr 53, poz.648, Nr 62, poz. 718 i Nr 119, poz. 1252 oraz z 2001 r. Nr 8, poz. 64, Nr 110, poz. 1189 i Nr 154, poz. 1784 i 1800) oraz art. 109 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. Nr 140, poz. 939, z 1998 r. Nr 160, poz. 1063 i Nr 162, poz. 1118, z 1999 r. Nr 11, poz. 95 i Nr 40, poz. 399, z 2000 r. Nr 93, poz. 1027, Nr 94, poz. 1037, Nr 114, poz. 1191, Nr 116, poz. 1216, Nr 119, poz. 1252 i Nr 122, poz. 1316 oraz z 2001 r. Nr 8, poz. 64, Nr 100, poz. 1084, Nr 111, poz. 1195 i Nr 130, poz. 1450 i 1452) uchwala się, co następuje:

1) w § 2:

a) pkt.23–24 otrzymują brzmienie:

„23) pakiet ochrony kryptograficznej NBP – HEART – zestaw narzędzi informatycznych przekazywany przez NBP uczestnikowi RBP do stosowania przy przesyłaniu do DPPK za pośrednictwem poczty elektronicznej zleceń i komunikatów sporządzonych przy użyciu modułu ELBON, umożliwiający kryptograficzną ochronę informacji,

24) podpis cyfrowy – kryptograficzne przekształcenie danych umożliwiające odbiorcy komunikatu sprawdzenie autentyczności i integralności danych zawartych w komunikacie oraz identyfikację nadawcy komunikatu, pozwalające na jednoznaczne określenie osoby, od której pochodzi; do realizacji podpisu stosuje się asymetryczny szyfr RSA oraz parę kluczy kryptograficznych: klucz prywatny i klucz publiczny,",

b) po pkt. 24 dodaje się pkt. 25–28 w brzmieniu:

„25) klucz kryptograficzny – parametr, który steruje operacjami szyfrowania lub deszyfrowania informacji,

26) klucz prywatny – klucz kryptograficzny do wyłącznego użytku osoby wskazanej zgodnie z § 9 pkt 3 umowy, stosowany jedynie przez nią do składania podpisu cyfrowego,

27) klucz publiczny – klucz kryptograficzny, który jest publicznie znany i stosowany do komunikowania się z osobą wskazaną zgodnie z § 9 pkt 3 umowy,

28) certyfikat – elektroniczne zaświadczenie, za pomocą którego klucz publiczny jest przyporządkowany do osoby składającej podpis cyfrowy, wskazanej zgodnie z § 9 pkt 3 umowy, umożliwiające jednoznaczną identyfikację tej osoby.";

2) w załączniku nr 1 do regulaminu w § 9:

a) ust. 2 otrzymuje brzmienie:

„2. Identyfikację nadawcy komunikatu, integralność komunikatu oraz niezaprzeczalność jego nadania przez jedną ze stron umowy umożliwia podpis cyfrowy, którego funkcja jest realizowana przez pakiet ochrony kryptograficznej NBP – HEART.",

b) w ust. 5 wyraz „procedur" zastępuje się wyrazem „wymogów",

c) po ust. 6 dodaje się ust. 7 w brzmieniu:

„7. W przypadku rozwiązania umowy uczestnik RBP jest zobowiązany zwrócić NBP pakiet ochrony kryptograficznej w terminie uzgodnionym z NBP, nie później niż w dniu rozwiązania umowy. Zwrot pakietu ochrony kryptograficznej potwierdza się protokolarnie. Uczestnik RBP powinien również dokonać protokolarnego zniszczenia sporządzonych kopii bezpieczeństwa nośników instalacyjnych programu NBP – HEART.";

3) w załączniku nr 6 do regulaminu w § 3 dodaje się ust. 5 w brzmieniu:

„5. Wymagany jest 1 port PS/2 (wersja Windows – port może być wykorzystywany przez mysz lub klawiaturę) niezbędny do podłączenia czytnika kart procesorowych.";

4) załącznik nr 7 do regulaminu otrzymuje brzmienie określone w załączniku do niniejszej uchwały.

Załącznik do uchwały nr 5/2002 Zarządu NBP
z dnia 21 lutego 2002 r. (poz. 7)

Wymogi bezpieczeństwa eksploatacji pakietu ochrony kryptograficznej

§ 1. W skład pakietu ochrony kryptograficznej wchodzą:

1. nośnik elektroniczny z oprogramowaniem instalacyjnym NBP – HEART,

2. karta licencyjna programu NBP – HEART (na 1 stanowisko),

3. czytnik kart procesorowych z pakietem instalacyjnym i dokumentacją użytkownika,

4. instrukcja obsługi programu NBP – HEART,

5. 2 karty procesorowe do zapisania kluczy prywatnych,

6. dyskietka z certyfikatami kluczy publicznych,

7. wykaz numerów telefonów pracowników NBP upoważnionych do kontaktów w sytuacjach awaryjnych.

§ 2. Przedstawiciel Uczestnika RBP posiadający jednorazowe pisemne upoważnienie (Wzór nr 1), podpisane przez osoby upoważnione do składania w jego imieniu oświadczeń w zakresie praw i obowiązków majątkowych, odbiera w NBP pakiet ochrony kryptograficznej, w terminie uzgodnionym z NBP.

§ 3. Departament lub jednostka organizacyjna NBP, która podpisała z Uczestnikiem RBP umowę, dokonuje sprawdzenia zgodności podpisów złożonych na upoważnieniu, o którym mowa w § 2, z kartą wzorów podpisów.

§ 4. Fakt wydania pakietu ochrony kryptograficznej potwierdza się protokołem przekazania / odbioru.

§ 5. Instalacji pakietu ochrony kryptograficznej – zgodnie z instrukcją obsługi programu NBP – HEART – Uczestnik RBP dokonuje we własnym zakresie.

§ 6. Komputer klasy PC, na którym instaluje się oprogramowanie NBP – HEART, powinien spełniać następujące minimalne wymagania techniczne:

– procesor Pentium 200 MHz,

– minimum 100 MB wolnego obszaru na dysku,

– karta graficzna z rozdzielczością 800x600,

– 1 wolny port szeregowy RS 232,

– 1 port PS/2 (może być wykorzystywany przez mysz lub klawiaturę).

§ 7. Dla zapewnienia bezpieczeństwa informacji chronionych przy zastosowaniu pakietu ochrony kryptograficznej Uczestnik RBP jest zobowiązany do:

1. wyznaczenia osoby upoważnionej do kontaktów z NBP w przypadku wystąpienia sytuacji awaryjnej i pisemnego poinformowania o tym NBP, z podaniem imienia i nazwiska oraz telefonu do kontaktów,

2. wyznaczenia osób uprawnionych do posługiwania się kluczami kryptograficznymi i prowadzenia ewidencji tych osób (Wzór nr 2),

3. sporządzenia kopii bezpieczeństwa nośników instalacyjnych programu NBP – HEART,

4. przechowywania pakietu ochrony kryptograficznej w sposób uniemożliwiający nieuprawniony dostęp.

§ 8. W przypadku ujawnienia, zniszczenia, podejrzenia ujawnienia klucza prywatnego lub hasła dostępu do klucza prywatnego Uczestnika RBP lub innej sytuacji awaryjnej w czasie eksploatacji pakietu ochrony kryptograficznej, osoba wskazana w § 7 pkt 1 niezwłocznie powiadamia o tym telefonicznie NBP, a następnie przesyła zgłoszenie wystąpienia sytuacji awaryjnej (Wzór nr 3), podpisane przez osoby upoważnione do składania oświadczeń w zakresie praw i obowiązków majątkowych w imieniu Uczestnika RBP.

§ 9. Klucze kryptograficzne generuje w miejscu wskazanym przez NBP osoba, o której mowa w § 2, na wydzielonym do tego celu komputerze. Osoba ta klucze prywatne zapisuje na karcie procesorowej i zabezpiecza hasłem, a dyskietkę z kluczami publicznymi przekazuje pracownikowi NBP w celu ich certyfikacji w NBP.

§ 10. Klucze kryptograficzne Uczestnika RBP wymieniane są, gdy upłynie okres ważności certyfikatów oraz w przypadku ujawnienia, zniszczenia lub podejrzenia ujawnienia klucza prywatnego lub hasła dostępu do klucza prywatnego tego Uczestnika.

§ 11. Po zainstalowaniu kluczy kryptograficznych nowej edycji Uczestnik RBP niezwłocznie zwraca do NBP dyskietki z certyfikatami i karty procesorowe poprzedniej edycji. Przed oddaniem kart do NBP Uczestnik RBP kasuje je, wykorzystując opcję „Kasuj kartę" w menu „Operacje" w oprogramowaniu NBP – HEART.

§ 12. NBP zastrzega sobie prawo do przeprowadzania kontroli zasad eksploatacji pakietu ochrony kryptograficznej, o której mowa w § 10 umowy, w terminach ustalonych przez NBP i uzgodnionych z Uczestnikiem RBP oraz w przypadku wystąpienia sytuacji awaryjnych, o których mowa w § 8.

§ 13. 1. Kontrola, o której mowa w § 12, obejmuje sprawdzenie przestrzegania zasad eksploatacji pakietu ochrony kryptograficznej określonych w § 7.

2. NBP występuje pisemnie do Uczestnika RBP o ustalenie dokładnego terminu dokonania kontroli. Termin kontroli nie może być późniejszy niż 7 dni od daty otrzymania wystąpienia NBP.

3. Kontroli, o której mowa w § 12, dokonuje upoważniony pracownik NBP w obecności przedstawiciela Uczestnika RBP.

4. Po zakończeniu kontroli sporządzany jest protokół, który podpisują osoby wskazane w ust. 3.

§ 14. W razie negatywnego wyniku kontroli NBP zastrzega sobie możliwość wstrzymania eksploatacji pakietu ochrony kryptograficznej.

§ 15. Po usunięciu stwierdzonych nieprawidłowości eksploatacji pakietu ochrony kryptograficznej Uczestnik RBP zgłasza do NBP gotowość do wznowienia pracy pakietu.

Po potwierdzeniu prawidłowości przestrzegania zasad eksploatacji i ochrony pakietu ochrony kryptograficznej NBP wydaje zgodę na wznowienie eksploatacji tego pakietu.

§ 16. Za bezpieczeństwo kluczy prywatnych oraz haseł dostępu do kluczy prywatnych wygenerowanych w NBP odpowiada Uczestnik RBP.

§ 17. Uczestnik RBP ponosi odpowiedzialność za wszelkie niekorzystne dla niego następstwa wynikłe z zagubienia, ujawnienia, podejrzenia ujawnienia, zniszczenia, nieuprawnionego użycia lub niezapewnienia odpowiedniej ochrony kluczy prywatnych oraz haseł dostępu do kluczy prywatnych tego Uczestnika.

§ 18. NBP zastrzega sobie prawo zmiany pakietu ochrony kryptograficznej.

§ 19. W przypadku modyfikacji pakietu kryptograficznej ochrony informacji NBP zastrzega sobie prawo do zmiany niniejszego załącznika, w drodze powiadomienia Uczestnika RBP o dokonanych zmianach.