14/2022. (IV. 7.) ORFK utasítás

az informatikai alkalmazásfejlesztési folyamatok szabályozásáról

A jogalkotásról szóló 2010. évi CXXX. törvény 23. § (4) bekezdés c) pontjában, valamint a Rendőrségről szóló 1994. évi XXXIV. törvény 6. § (1) bekezdés b) pontjában kapott felhatalmazás alapján az informatikai alkalmazásfejlesztési folyamatok egységes szabályozására kiadom az alábbi utasítást:

I. FEJEZET

ÁLTALÁNOS RENDELKEZÉSEK

1. Hatály

1. Az utasítás hatálya kiterjed:

a) az Országos Rendőr-főkapitányságra (a továbbiakban: ORFK);

b) a Készenléti Rendőrségre, a Repülőtéri Rendőr Igazgatóságra, a Nemzetközi Bűnügyi Együttműködési Központra, a Rendőrségi Oktatási és Kiképző Központra (a továbbiakban: ROKK), a Nemzetközi Oktatási Központra, a vármegyei (fővárosi) rendőr-főkapitányságokra (a továbbiakban együtt: területi szervek), valamint[1]

c) a rendőrkapitányságokra és a határrendészeti kirendeltségekre.

2. Az utasítás tárgyi hatálya - a minősített adatokat kezelő rendszerek kivételével - az Informatikai Biztonsági Szabályzatról szóló 18/2018. (V. 31.) ORFK utasítás (a továbbiakban: IBSZ) 3. pont y) alpontjában meghatározott, az általános rendőrségi feladatok ellátására létrehozott szerv használatában lévő vagy általa üzemeltetett információs rendszerrel összefüggő alkalmazásfejlesztési folyamatokra terjed ki.

3. Az utasítást a Robotzsaru NEO és NOVA.Irat együttes integrált ügyviteli, ügyfeldolgozó és elektronikus iratkezelő rendszer és kapcsolódó moduljai vonatkozásában a Robotzsaru integrált ügyviteli, ügyfeldolgozó és elektronikus iratkezelő rendszer egységes és kötelező használatáról, jogosultsági rendjéről, az adatvédelem, valamint a rendszerfejlesztés előírásairól szóló ORFK utasításban foglalt eltérésekkel kell alkalmazni.

2. Értelmező rendelkezések

4. Ezen utasítás alkalmazásában

a) alkalmazás: az IBSZ 3. pont d) alpontjában meghatározott szoftver;

b) beavatkozás: a szolgáltatás működési logikájában észlelt hiba javítását, illetve az informatikai szolgáltatás módosítását eredményező folyamat;

c) élesüzemű bevezetés: a késztermék megrendelő vagy annak képviselője által történő átvételét követő üzemszerű működés megkezdése;

d) fejlesztés: egy új, még nem létező alkalmazás vagy rendszer létrehozására, továbbá egy már létező alkalmazás vagy rendszer funkcióbővítésére irányuló tevékenység;

e) fejlesztő: az ORFK-val szerződéses viszonyban vagy együttműködési megállapodásban álló szervezet;

f) felhasználói kézikönyv: az alkalmazás használatának felhasználói szintű leírása;

g) informatikai koordinátor: a gazdasági országos rendőrfőkapitány-helyettes által kijelölt olyan személy, aki az adott fejlesztés során a fejlesztő és a szakterületi felelős közötti koordinációért felel;

h) iratmintatár: a https://my.police.hu oldalon közzétett iratminták együttese;

i) képzési terv: az alkalmazást vagy rendszert használó végfelhasználói állomány képzéseinek meghatározása, ütemezése, melynek tartalmi felelőse a szakterületi vezető;

j) késztermék: a fejlesztés során létrehozott új szoftver vagy egy már meglévő alkalmazás módosításával létrejövő új verzió;

k) követelményspecifikáció: informatikai megoldások megvalósítására, továbbfejlesztésére irányuló követelményelemzésen alapuló részletes leírás, melynek célja a fejlesztéssel kapcsolatosan a szakterületi vezető által konkrétan megfogalmazott elvárások, valamint a feladathoz kapcsolódó, nem megváltoztatható feltételekből, paraméterekből adódó egyértelmű követelmények meghatározása;

l) külső résztvevő: a fejlesztés tárgyában érintett, az utasítás hatálya alá nem tartozó személy vagy szervezet;

m) megrendelő: az országos rendőrfőkapitány vagy a kötelezettségvállalás, a pénzügyi és jogi ellenjegyzés, az utalványozás, az érvényesítés és a teljesítés igazolás rendjének meghatározásáról szóló ORFK utasítás alapján a gazdasági országos rendőrfőkapitány-helyettes;

n) modul: a rendszer logikailag elkülönülő egysége;

o) monitoring: a fejlesztett alkalmazás vagy rendszer élesüzemű bevezetését követően történő módszeres megfigyelés;

p) monitoring jelentés: a fejlesztett alkalmazás vagy rendszer működéséről szóló beszámoló, amelynek célja a garanciális javítás bejelentése szabályozott formában, melynek tartalmi felelőse a szakterületi vezető;

q) munkacsoport: a fejlesztés végrehajtására, annak időtartamára létrehozott ideiglenes munkaszervezet;

r) rendszer: az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény 1. § (1) bekezdés 14b. pontjában és 1. § (3) bekezdésében meghatározott rendszer;

s) rendszerbeavatkozási kérelem: a beavatkozás teljes folyamatát részletező, az engedélyezést is tartalmazó dokumentum, az ORFK Gazdasági Főigazgatóság (a továbbiakban: ORFK GF) Informatikai Főosztály (a továbbiakban: INFO) vezetője által meghatározott tartalommal;

t) szakterületi felelős: a szakterületi vezető által kijelölt olyan személy, aki a fejlesztés folyamata során a szakterületi koordinációs tevékenységért felel;

u) szakterületi oktató: a szakterületi vezető által kijelölt és a szakterületi vezető alárendeltségébe tartozó személy, aki a fejlesztett alkalmazás vagy rendszer, illetve a kapcsolódó moduljai oktatóanyagainak szakterületi részéért és azok oktatásának megszervezéséért felelős;

v) szakterületi tesztelő: a szakterületi vezető által kijelölt olyan személy, aki az alkalmazás vagy rendszer, illetve a kapcsolódó moduljai felhasználói eseteinek, folyamatainak és funkcióinak működését ellenőrzi;

w) szakterületi vezető: az országos rendőrfőkapitány-helyettes, az ORFK Titkársági Főosztály vezetője, az ORFK Hivatal vezetője, az ORFK Kommunikációs Szolgálat vezetője, az ORFK Költségvetési Ellenőrzési Iroda vezetője, az ORFK Ellenőrzési Szolgálat vezetője, a Nemzetközi Bűnügyi Együttműködési Központ igazgatója;

x) teljesítési igazolás: a megrendelő vagy a szerződésben meghatározottak szerint annak képviselője által a fejlesztő felé kiállított dokumentum, mely azt igazolja, hogy a késztermék a megrendelésben és a követelményspecifikációban foglaltaknak megfelelő tartalommal és minőségben elkészült, és a számla vagy részszámla benyújtható;

y) területi informatikai felelős: a területi szervek informatikai szakterületének vezetője által kijelölt személy;

z) teszteset: a megrendelt alkalmazás vagy rendszer követelményeiben meghatározott működés ellenőrzésére alkalmas, az alkalmazás vagy rendszer folyamatait kipróbáló modellezett szituáció;

aa) tesztjegyzőkönyv: a fejlesztés egyes részletének tesztelése során tapasztalt jelenségek leírása, amely tartalmának felelőse a szakterületi tesztelő;

bb) ütemterv: a fejlesztés feladatainak leírása, összefüggéseinek és időtartamának meghatározása, melynek létrehozásában közreműködik a szakterületi vezető;

cc) végrehajtó: a beavatkozást végrehajtó, a beavatkozással érintett alkalmazást vagy rendszert üzemeltető személy, csoport, szervezet.

II. FEJEZET

RÉSZLETES RENDELKEZÉSEK

3. A fejlesztési igények felmerülése

5. A fejlesztési folyamat az igény felmerülésével kezdődik. A területi szervek esetében fejlesztési igényt a területi szerv vezetője vagy annak a fejlesztés tárgyában illetékes szakterületi helyettesei nyújthatnak be - a területi szerv informatikai szakterületért felelős vezető egyidejű tájékoztatásával - a fejlesztés tárgyában érintett szakterületi vezetőnek, aki az igényt elbírálja, és dönt annak támogathatóságáról.

6. Amennyiben a szakterületi vezető úgy ítéli meg, hogy a fejlesztés támogatható, a beérkezett fejlesztési igény elbírálását követően - a szakterületi felelős kijelölésével egyidejűleg - intézkedik annak az ORFK GF részére történő továbbítására. A szakterületi vezető önállóan is nyújthat be fejlesztési igényt. Ha a fejlesztés tárgya szerint érintett szakterületi vezető a gazdasági országos rendőrfőkapitány-helyettes, úgy a szakterületi felelős kijelöléséről ő gondoskodik.

7. A beérkezett fejlesztési igényt az ORFK GF megvizsgálja, és annak támogathatósága esetén intézkedik a fejlesztéshez kapcsolódó eljárás megindítására. Ha a javaslatot nem tartja támogathatónak, az előterjesztett igényt és az elutasítás indokolását az országos rendőrfőkapitány részére döntéshozatalra 30 napon belül felterjeszti.

8. Az országos rendőrfőkapitány döntése alapján, ha

a) a fejlesztés támogatott, az ORFK GF intézkedik a fejlesztéshez kapcsolódó eljárás megindítására;

b) a fejlesztés nem támogatott, az ORFK GF értesíti a döntésről az érintett szakterületet.

4. A fejlesztés előkészítése, megrendelése

9. A fejlesztés megrendelésére kizárólag a megrendelő jogosult.

10. A fejlesztési igények tartalmának megfelelően, ha azt az igényelt fejlesztés nagyságrendje szükségessé teszi, az informatikai fejlesztések koordinációját ellátó INFO - az igényt benyújtó szakterületi vezető tájékoztatásával egyidejűleg - munkacsoport létrehozását kezdeményezi a szakterületi vezetőnél.

11. A munkacsoport tagjai, szükség szerint:

a) a szakterületi felelős;

b) az informatikai koordinátor;

c) a szakterületi tesztelő;

d) a szakterületi oktató;

e) az INFO E-biztonság Felügyeleti Osztály vezetője által kijelölt személy;

f) valamint meghívás alapján

fa) a fejlesztő delegáltja(i),

fb) a külső résztvevő képviselője,

fc) az egyéb szakértők.

12. A munkacsoportban egy személy több szerepkört is betölthet. A munkacsoport fejlesztéssel kapcsolatos minden tevékenységét a késztermék átadásának befejezéséig írásban kell dokumentálni, a megbeszélésekről a szakterületi felelős emlékeztetőt készít, amely tartalmazza az ott elhangzott feladatokat, felelősöket és határidőket.

13. A követelményspecifikáció összeállítása érdekében a munkacsoport - annak hiányában a szakterületi felelős -meghatározza a részletes szakmai elvárásokat, melyet követelményspecifikáció-tervezet formájában megküld az ORFK GF részére, amely az abban foglaltak figyelembevételével intézkedik annak véglegesítéséről.

14. A projektdokumentációhoz szükséges iratmintákat és az azok elkészítéséért felelősök körét a munkacsoport határozza meg. A fejlesztés folyamata alatt - annak nagyságrendje figyelembevételével - elkészítendő projektdokumentáció részelemei az alábbiak lehetnek:

a) a fejlesztés követelményspecifikációja;

b) a fejlesztés ütemezése, határideje és az ütemekhez tartozó köztes határidők;

c) az alkalmazás vagy rendszer kockázatelemzésen alapuló biztonsági osztályba sorolásának eredménye, időpontja;

d) a biztonsági osztályhoz rendelt követelmények meghatározása;

e) az IBSZ 22. pontja szerinti Rendszerbiztonsági Terv követelményei, elkészültének, átadásának tervezett időpontja;

f) az átvételi tesztek megkezdésének időpontja;

g) a felelősök kijelölése;

h) sérülékenységvizsgálat tervezett időpontja, követelményei;

i) az élesüzemű bevezetéshez szükséges képzés szervezése, módszere, tematikája, a számonkérés rendje és az érintett személyi kör;

j) osztályba sorolás és védelmi intézkedések űrlap (OVI-mátrix) kitöltésének tervezett időpontja, a hatósági nyilvántartásba vétel tervezett időpontja;

k) az élesüzemű bevezetés tervezett időpontja;

l) a monitoringkövetelmények.

15. A projektdokumentáció egyes elemeit a munkacsoport - annak hiányában a szakterületi felelős - terjeszti fel a szakterületi vezető részére jóváhagyásra. A jóváhagyást követően a projektdokumentáció - a fejlesztési igény lényegét nem érintő - módosítása kizárólag a szakterületi vezető engedélyével történhet.

16. A megrendelő az Országos Rendőr-főkapitányság Közbeszerzési és Beszerzési Szabályzatáról szóló ORFK utasítás alapján kezdeményezi a beszerzési eljárás lefolytatását, mely eljárás részeként kiválasztásra kerülő nyertes fejlesztőtől megrendeli a fejlesztést.

17. A szerződésben ki kell kötni, hogy a fejlesztő

a) a szakterületi tesztelő és a szakterületi oktató bevonásával elkészíti a felhasználói kézikönyvet;

b) a szakterületi tesztelő és a szakterületi oktató bevonásával elkészíti az oktatáshoz szükséges tananyagokat, ismertetőket;

c) fejlesztés monitoringjának befejezését követően megrendelő megkeresése alapján végezze a garanciális hibajavítást.

5. Teszt

18. A fejlesztés során létrehozott újalkalmazás, illetve rendszer, vagy egy már meglévő alkalmazás, rendszer módosításával létrejövő új verzió átvételének feltétele a hozzá kapcsolódó szerződésben meghatározottak szerinti teljes dokumentáció megléte, továbbá az eseménykezelő központok feladat- és hatásköréről, valamint a biztonsági események kezelésének és műszaki vizsgálatának, továbbá a sérülékenységvizsgálat lefolytatásának szabályairól szóló 271/2018. (XII. 20.) Korm. rendeletben foglaltak szerint elvégzett sérülékenységvizsgálat megtörténte.

19. A munkacsoport - annak hiányában a szakterületi felelős - az átvételi tesztek megkezdésének projektdokumentációban rögzített időpontjára kidolgozza az átvételi tesztek végrehajtásának módszerét, a szükséges számú és tartalmú tesztesetre figyelemmel.

20. A szakterületi vezető a fejlesztő bevonásával megfelelő számú és tartalmú teszteset elkészítéséről gondoskodik. A tesztesetek kidolgozásakor figyelemmel kell lenni arra, hogy a fejlesztés minden elemének tesztelése megtörténjen.

21. Az átvételi tesztek informatikai környezetének biztosításáért az INFO vezetője, megszervezéséért és lebonyolításáért a szakterületi vezető a felelős.

22. A fejlesztő által készített felhasználói kézikönyvet és az oktatási anyagokat az átvételi tesztek eredménye alapján a munkacsoport - annak hiányában a szakterületi tesztelő és a szakterületi oktató - véleményezi, illetve a szakterületi vezető hagyja jóvá. A jóváhagyás a teljesítési igazolás kiadásának feltétele.

23. A munkacsoport - annak hiányában a szakterületi felelős - az átvételi teszteket folyamatosan értékeli, és azok lebonyolítása után az informatikai koordinátort a szolgálati út betartásával írásban tájékoztatja a tesztelés során szerzett tapasztalatairól, az esetlegesen felfedezett hibákról és módosítási igényekről, aki intézkedik a fejlesztő felé a hibák elhárítása, valamint az esetleges módosítások végrehajtása érdekében.

24. A szakterületi vezető a szakterületi tesztelő által elvégzett teszt eredményei alapján dönt az alkalmazás vagy rendszer éles üzembe állításáról, döntéséről a tesztjegyzőkönyv megküldésével egyidejűleg tájékoztatja a megrendelőt. Az alkalmazást vagy rendszert az IBSZ 24. alcímében meghatározottaknak megfelelően a biztonsági előírások igazolt teljesülése esetén, továbbá a hatósági nyilvántartásba vételt követően lehet használatba venni.

6. Késztermék átvétele

25. A késztermék átvételéről a 14. pont szerint elkészített iratok meglétének függvényében a munkacsoport, annak hiányában a szakterületi vezető javaslatára a megrendelő dönt.

26. A teljesítési igazolás a sikeres élesüzemű bevezetést követően állítható ki a fejlesztő részére, a szerződésben meghatározottak szerint.

7. Monitoring

27. Az alkalmazás élesüzemű bevezetését követően a szakterületi vezető intézkedik a folyamatos monitoring lebonyolítási rendjéről.

28. A fejlesztés monitoringjának befejezését követően a munkacsoport - annak hiányában a szakterületi felelős -elkészíti a monitoring jelentést, és azt megküldi a megrendelő részére. Az informatikai koordinátor a jelentésben foglalt esetleges hibák garanciális kijavítására megteszi a szükséges intézkedéseket a fejlesztő irányában.

29. A fejlesztés a projektzáró dokumentum megrendelő részére történő felterjesztésével zárul, melynek előkészítéséről a szakterületi vezető gondoskodik.

8. Képzés

30. Új alkalmazás vagy az ahhoz kapcsolódó modul fejlesztése esetén gondoskodni kell a felhasználók képzéséről. Az érintett állomány képzésének kezdeményezéséért a szakterületi vezető a felelős.

31. A képzésre vonatkozó igényről a szakterületi vezető a projektdokumentáció képzésre vonatkozó kivonatának megküldésével tájékoztatja a ROKK-ot. A képzés megszervezéséről, a helyszín és a szükséges eszközök biztosításáról, a jegyzetek sokszorosításáról és terjesztéséről a ROKK intézkedik. A szakterületi vezető a képzéseket önállóan is megszervezheti, ha rendelkezik az oktatás végrehajtásához szükséges erőforrással.

32. A szakterületi oktató gondoskodik a képzési terv elkészítéséről, amely tartalmazza

a) a képzés tárgyát;

b) a képzést végrehajtó személyeket (a központi képzés esetén a szakterületi felelős és a fejlesztő által kijelölt személyek, a területi és helyi képzések esetén az országos/központi képzésen részt vett területi szakirányítók, igény szerint a területi informatikai felelősökkel kiegészítve);

c) a képzésben érintett felhasználói kört;

d) a képzés ütemezését.

9. Az alkalmazásokat, rendszereket érintő, tervezett beavatkozások folyamata

33. Az ORFK tulajdonát képező alkalmazás vagy rendszer belső vagy szerződés, továbbá jogi szabályozó szerinti külső üzemeltetőjének írásban, indokolással jelzett igénye alapján a szolgáltatás működési logikájában észlelt hiba javítását, illetve az informatikai szolgáltatás módosítását az INFO vezetője engedélyezi. A beavatkozás érdekében, annak végrehajtása céljából a kitöltött rendszerbeavatkozási kérelemnek (a továbbiakban: RBK) az elvégzendő beavatkozás előtt legalább 3 munkanappal kell beérkeznie.

34. Ha a beavatkozást követően az alkalmazás vagy a rendszer előzetes tesztelése szükséges, az INFO vezetője - a szakterületi vezető egyetértésével - a beavatkozást csak a sikeres tesztet követően engedélyezheti.

35. A beavatkozást az INFO koordinálja, annak végrehajthatóságáról az INFO vezetője tájékoztatja a beavatkozást végrehajtót és a Készenléti Rendőrség Különleges Szolgálatok Igazgatósága Informatikai Üzemeltetési Osztályát.

36. Az RBK benyújtója a beavatkozás megtörténtéről az RBK-ban meghatározott személyeket e-mail útján tájékoztatja.

37. Az alkalmazásokban, rendszerekben fellépő, az elektronikus ügyintézés és iratkezelés végrehajtását befolyásoló üzemszünet, üzemzavar esetén az RBK kitöltésére és INFO részére történő megküldésére vonatkozó szabályokat a Rendőrség elektronikus ügyintézés biztosításával kapcsolatos incidensek kezelésére vonatkozó eljárási szabályokkal összhangban kell alkalmazni.

III. FEJEZET

ZÁRÓ RENDELKEZÉSEK

38. Ez az utasítás a közzétételét követő napon lép hatályba.

39. Az INFO vezetője gondoskodik a fejlesztéssel kapcsolatos iratmintatárban található iratminták naprakészen tartásáról.

40. Az utasítás rendelkezéseit a folyamatban lévő fejlesztések tekintetében is alkalmazni kell.

41.[2]

Dr. Balogh János r. altábornagy s. k.,

országos rendőrfőkapitány