Dane wrażliwe i niejawne — jakie certyfikaty data center naprawdę decydują (ISO 27001, ISO 22301, NATO AQAP, poświadczenie ABW)
Kiedy firma szuka miejsca na "zwykłe" serwery, liczą się cena, łącze i lokalizacja. Ale gdy w grę wchodzą dane wrażliwe albo informacje niejawne, reguły się zmieniają. Nagle nie pytasz już tylko "ile kosztuje szafa", tylko "czy ten dostawca w ogóle może legalnie przechowywać takie dane". A odpowiedź kryje się w certyfikatach i poświadczeniach, których większość operatorów po prostu nie ma.
W tym wpisie tłumaczymy, które certyfikaty data center realnie decydują o dopuszczeniu do obsługi danych wrażliwych i niejawnych — i jak odróżnić dostawcę z prawdziwymi uprawnieniami od takiego, który tylko ładnie opisuje serwerownię.
Dane wrażliwe to nie to samo co dane niejawne
Zanim spojrzysz na certyfikaty, ustal, z jaką kategorią danych masz do czynienia — bo od tego zależą wymagania.
- Dane wrażliwe (szczególne kategorie danych osobowych) — zdrowie, biometria, pochodzenie, przekonania. Chroni je RODO, a od 2026 roku dodatkowo znowelizowana ustawa o KSC (wdrożenie dyrektywy NIS2). Wymagają udokumentowanego systemu zarządzania bezpieczeństwem informacji i ciągłości działania.
- Tajemnica przedsiębiorstwa i dane objęte umowami — kontrakty, dokumentacja techniczna, dane klientów. Formalnie nie są "niejawne", ale ich wyciek to realna strata i odpowiedzialność.
- Informacje niejawne — dane oznaczone klauzulami ("ZASTRZEŻONE", "POUFNE", "TAJNE"), a także materiały NATO i UE. Reguluje je ustawa o ochronie informacji niejawnych, a przetwarzać je można wyłącznie w podmiotach z odpowiednimi poświadczeniami i w kancelarii tajnej.
Im wyżej na tej liście, tym mniej dostawców w Polsce jest w stanie legalnie obsłużyć takie dane. To właśnie certyfikaty i poświadczenia są tym twardym filtrem, który zawęża listę potencjalnych partnerów.
Certyfikaty ISO — fundament, a nie ozdoba
Trzy normy ISO to minimum, którego powinieneś oczekiwać od poważnego data center:
- ISO/IEC 27001 — system zarządzania bezpieczeństwem informacji (SZBI). To dowód, że dostawca ma udokumentowane procesy zarządzania ryzykiem, kontroli dostępu i reagowania na incydenty — a nie tylko dobre chęci. Dla zgodności z ustawą o KSC (NIS2) to niemal punkt wyjścia.
- ISO 22301 — zarządzanie ciągłością działania. Odpowiada na pytanie "co się stanie, gdy coś pójdzie nie tak": czy dostawca ma przetestowane plany, procedury i zasoby, żeby utrzymać usługę mimo awarii.
- ISO 9001 — ogólny system zarządzania jakością. Sam w sobie nie dotyczy bezpieczeństwa, ale pokazuje dojrzałość organizacyjną i powtarzalność procesów.
Sprint Data Center posiada wszystkie trzy — ISO 27001, ISO 22301 i ISO 9001 (źródło: sprintdatacenter.pl/data-center). To pełny komplet "higienicznego" minimum, zanim w ogóle przejdziemy do wymagań specjalnych.
NATO AQAP 2210 — sygnał z wyższej półki
AQAP (Allied Quality Assurance Publications) to natowskie wymagania zapewnienia jakości, stosowane m.in. przy dostawach dla wojska i sektora obronnego. Norma AQAP 2210 dotyczy zapewnienia jakości oprogramowania. Dla klienta oznacza to, że dostawca przeszedł audyt według rygorów akceptowanych w łańcuchu dostaw NATO — a to poziom, którego komercyjny hosting zwykle nawet nie dotyka.
Sprint należy do wąskiego grona: jest jedną z dwóch firm w Polsce spełniających wymagania NATO AQAP 2210 (źródło: sprintdatacenter.pl/data-center). Jeśli Twoje projekty ocierają się o sektor obronny, administrację publiczną czy infrastrukturę krytyczną, taki certyfikat po stronie partnera skraca drogę do spełnienia wymagań kontraktowych.
Poświadczenie ABW i ochrona informacji niejawnych
Tu zaczyna się obszar, w którym "dobra serwerownia" to za mało. Aby przetwarzać informacje niejawne, podmiot musi posiadać Świadectwo Bezpieczeństwa Przemysłowego wydane przez Agencję Bezpieczeństwa Wewnętrznego (ABW) oraz prowadzić kancelarię tajną.
Sprint dysponuje Świadectwem Bezpieczeństwa Przemysłowego I stopnia, które uprawnia do ochrony informacji niejawnych oznaczonych klauzulą "TAJNE", a także materiałów niejawnych NATO i Unii Europejskiej (źródło: sprintdatacenter.pl/data-center). Uzupełnia to Wewnętrzny System Kontroli (WSK). W praktyce oznacza to, że instytucja publiczna albo firma z sektora obronnego może powierzyć takie dane infrastrukturze, która została do tego formalnie dopuszczona — zamiast improwizować własną serwerownię "na styk" z przepisami.
Za certyfikatem musi stać fizyka
Papier bez infrastruktury jest bezwartościowy. Certyfikaty, o których mowa, wymagają realnych zabezpieczeń — i warto je zweryfikować na miejscu:
- Kontrola dostępu i monitoring 24/7 z rejestracją wejść i zapisem wideo.
- Ochrona przeciwpożarowa — w Sprint Data Center to system wczesnej detekcji VESDA połączony z gaszeniem aerozolowym.
- Zasilanie gwarantowane — dwutorowe zasilanie, UPS oraz agregat prądotwórczy o mocy 1000 KM przystosowany do pracy ciągłej.
- Klimatyzacja precyzyjna utrzymująca stabilne warunki (w SDC: 23°C ± 2°C przy wilgotności 50 rH% ± 10%).
(Wszystkie powyższe parametry: sprintdatacenter.pl/data-center.) Taka warstwa fizyczna to fundament, na którym w ogóle da się oprzeć poważną zgodność — i jeden z powodów, dla których serwer w profesjonalnej kolokacji jest zwykle lepiej chroniony niż we własnej serwerowni.
Checklist: o co zapytać dostawcę data center
Zanim podpiszesz umowę na hosting danych wrażliwych lub niejawnych, poproś o konkrety:
- Czy posiadacie aktualny certyfikat ISO 27001 i ISO 22301? Jaki jest ich zakres (scope)?
- Czy dysponujecie poświadczeniem ABW / Świadectwem Bezpieczeństwa Przemysłowego i do jakiej klauzuli?
- Czy prowadzicie kancelarię tajną i czy personel ma poświadczenia bezpieczeństwa?
- Jak wygląda kontrola dostępu, monitoring i ochrona ppoż. w serwerowni?
- Jak zapewniacie ciągłość działania (zasilanie, chłodzenie, drugi tor, testy DR)?
- Gdzie fizycznie znajdują się dane i kto ma do nich dostęp (suwerenność danych)?
Jeśli dostawca odpowiada ogólnikami zamiast pokazać dokumenty — to sygnał ostrzegawczy.
Podsumowanie
Przy danych wrażliwych i niejawnych certyfikaty przestają być marketingiem, a stają się warunkiem dopuszczenia. ISO 27001 i ISO 22301 to minimum; NATO AQAP 2210 oraz poświadczenie ABW z prawem do ochrony informacji "TAJNE" (w tym NATO i UE) to poziom, na który stać naprawdę nieliczne data center w Polsce.
Sprint Data Center w Olsztynie łączy ten komplet uprawnień z infrastrukturą kolokacyjną klasy enterprise. Jeśli planujesz umieścić w zewnętrznym data center dane, które wymagają szczególnej ochrony, sprawdź ofertę kolokacji SDC lub poznaj szczegóły data center i posiadane certyfikaty. Wycenę i dopasowanie do wymagań zgodności ustalisz, kontaktując się z zespołem SDC.
FAQ – najczęściej zadawane pytania o certyfikaty data center dla danych wrażliwych i niejawnych
Czym różnią się dane wrażliwe od informacji niejawnych?
Dane wrażliwe to szczególne kategorie danych osobowych (np. zdrowie, biometria) chronione przez RODO. Informacje niejawne to dane oznaczone klauzulami tajności ("ZASTRZEŻONE", "POUFNE", "TAJNE"), regulowane odrębną ustawą o ochronie informacji niejawnych — ich przetwarzanie wymaga poświadczeń bezpieczeństwa i kancelarii tajnej.
Jakie certyfikaty powinno mieć data center do obsługi danych wrażliwych?
Minimum to ISO 27001 (bezpieczeństwo informacji) i ISO 22301 (ciągłość działania). Dla informacji niejawnych konieczne jest dodatkowo Świadectwo Bezpieczeństwa Przemysłowego wydane przez ABW oraz kancelaria tajna. Warto sprawdzić także zakres (scope) każdego certyfikatu, a nie tylko sam fakt jego posiadania.
Co oznacza certyfikat NATO AQAP 2210 u dostawcy?
AQAP 2210 to natowskie wymagania zapewnienia jakości oprogramowania, stosowane w łańcuchu dostaw sektora obronnego. Posiadanie go przez dostawcę oznacza, że przeszedł on audyt według rygorów akceptowanych przez NATO — co ma znaczenie przy projektach dla wojska, administracji i infrastruktury krytycznej.
Czy do przechowywania informacji "TAJNE" wystarczy ISO 27001?
Nie. ISO 27001 to system zarządzania bezpieczeństwem informacji, ale nie uprawnia do przetwarzania informacji niejawnych. Do klauzuli "TAJNE" (oraz materiałów NATO i UE) wymagane jest Świadectwo Bezpieczeństwa Przemysłowego odpowiedniego stopnia od ABW oraz prowadzenie kancelarii tajnej.