IKT sistemi od posebnog značaja su IKT sistemi koji su od ključnog značaja za održavanje kritičnih društvenih i ekonomskih aktivnosti čiji bi prekid ili poremećaj u pružanju usluga imao ili mogao da ima značajan uticaj na javnu bezbednost, javno zdravlje, funkcionisanje drugih sektora ili bi stvorio odnosno mogao da stvori značajan sistemski rizik.
IKT sistemi od posebnog značaja su:
1)
prioritetni IKT sistemi;
2)
važni IKT sistemi.
Operatori prioritetnih IKT sistema su:
1)
pravna lica i fizička lica u svojstvu registrovanog subjekta, koja obavljaju poslove i delatnosti u sledećim oblastima:
(1)
Energetika i rudarstvo
–
proizvodnja električne energije, izuzev proizvodnje koju obavljaju krajnji kupci u smislu zakona kojim se uređuje korišćenje obnovljivih izvora energije i zakona kojim se uređuje energetika;
–
kombinovana proizvodnja električne i toplotne energije;
–
snabdevanje električnom energijom;
–
prenos električne energije i upravljanje prenosnim sistemom;
–
distribucija električne energije i upravljanje distributivnim sistemom, kao i distribucija električne energije i upravljanje zatvorenim distributivnim sistemom;
–
skladištenje električne energije, izuzev skladištenja koje obavljaju krajnji kupci u smislu zakona kojim se uređuje korišćenje obnovljivih izvora energije i zakona kojim se uređuje energetika;
–
upravljanje organizovanim tržištem električne energije;
–
proizvodnja, distribucija i snabdevanje toplotnom energijom;
–
transport nafte naftovodima, transport derivata nafte produktovodima i transport nafte i derivata nafte drugim oblicima transporta;
–
istraživanje i proizvodnja nafte i prirodnog gasa;
–
proizvodnja derivata nafte;
–
skladištenje nafte i derivata nafte;
–
transport i upravljanje transportnim sistemom za prirodni gas;
–
skladištenje i upravljanje skladištem prirodnog gasa;
–
distribucija i upravljanje distributivnim sistemom za prirodni gas;
–
snabdevanje i javno snabdevanje prirodnim gasom;
–
proizvodnja i prerada uglja;
–
proizvodnja i prerada bakra, zlata, olova, cinka, litijuma i bora;
–
proizvodnja, skladištenje i prenos vodonika;
(2)
Saobraćaj
–
obavljanje javnog avio-prevoza uz važeću operativnu dozvolu;
–
upravljanje aerodromom;
–
usluge kontrole letenja;
–
upravljanje javnom železničkom infrastrukturom;
–
poslovi železničkih preduzeća;
–
obavljanje prevoza putnika i tereta unutrašnjim vodama;
poslovi finansijskih institucija i institucija tržišta kapitala, koje su pod nadzorom Narodne banke Srbije odnosno Komisije za hartije od vrednosti;
–
poslovi vođenja registra podataka o obavezama fizičkih i pravnih lica prema finansijskim institucijama;
–
poslovi upravljanja, odnosno obavljanja delatnosti u vezi sa funkcionisanjem regulisanog tržišta;
–
poslovi kliringa odnosno saldiranja finansijskih instrumenata, u smislu zakona kojim se uređuje tržište kapitala;
–
poslovi pružalaca usluga povezanih s digitalnom imovinom, u smislu zakona kojima se uređuje digitalna imovina;
(4)
Zdravstvo
–
pružanje zdravstvene zaštite;
–
rad nacionalnih referentnih laboratorija;
–
istraživanje i razvoj lekova;
–
proizvodnja farmaceutskih lekova i preparata namenjenih za zdravstvenu upotrebu;
–
proizvodnja lekova i drugih proizvoda namenjenih upotrebi u zdravstvu, uključujući proizvode koji su od vitalnog značaja tokom vanrednog stanja u oblasti javnog zdravlja;
–
obrada genetskih, biomedicinskih podataka i drugih podatka od značaja za istraživanje i razvoj u oblasti biotehnologije, bioinformatike, bioekonomije, genetike i medicine;
(5)
Voda za piće
–
snabdevanje i distribucija vode namenjene za ljudsku potrošnju, izuzev distributera kojima navedeni poslovi nisu pretežni deo njihove delatnosti;
(6)
Otpadne vode
–
sakupljanje, odvođenje ili prečišćavanje komunalnih otpadnih voda, otpadnih voda naselja i privrede, izuzev privrednih subjekata kojima navedeni poslovi nisu pretežni deo njihove delatnosti;
(7)
Digitalna infrastruktura
–
pružanje usluga računarstva u klaudu;
–
pružanje usluge centra za čuvanje i skladištenje podataka;
(8)
Upravljanje IKT uslugama koje se pružaju operatorima prioritetnih IKT sistema
–
pružanje upravljanih usluga;
–
pružanje upravljanih bezbednosnih usluga;
(9)
Ostale oblasti
–
upravljanje nuklearnim objektima;
–
pružanje usluga od poverenja, uključujući kvalifikovane usluge od povrenja, pružanje usluga sistema domena (DNS), upravljanje registrom domena najvišeg nivoa i pružanje usluga registracije domena sa izuzetkom operatora korenskih servera imena;
–
pružanje usluga mreže za isporuku sadržaja;
–
obavljanje delatnosti elektronskih komunikacija;
–
tačka za razmenu internet saobraćaja;
–
izdavanje Službenog glasnika Republike Srbije i vođenje Pravno- informacionog sistema Republike Srbije;
–
oblasti u kojoj u Republici Srbiji postoji samo jedan pružalac usluge i koja je neophodna za obavljanje kritičnih društvenih i privrednih delatnosti;
2)
organi;
3)
subjekti koji su određeni kao operatori kritične infrastrukture u skladu sa propisima kojima se uređuje kritična infrastruktura.
određuje ministarstvo nadležno za poslove informacione bezbednosti, a po pribavljenom mišljenju organa u čijoj je nadležnosti oblast u kojoj subjekt obavlja delatnosti.
Na operatore prioritetnih IKT sistema od posebnog značaja koji obavljaju delatnost u sektoru bankarstva i finansijskih tržišta iz
ovog člana primenjuju se posebni, sektorski propisi kojima se bliže, odnosno na drukčiji način uređuju pojedina pitanja iz ovog zakona, a kojima se obezbeđuje najmanje isti nivo delotvornosti mera upravljanja bezbednosnim rizicima tih operatora shodno merama iz
, pri čemu se obezbeđuje i izveštavanje o incidentima koji predstavljaju krizu informacione bezbednosti u skladu sa ovim zakonom.
Narodna banka Srbije, kao nadležni nadzorni organ nad poslovanjem operatora prioritetnih IKT sistema od posebnog značaja koji obavljaju delatnost u sektoru bankarstva i finansijskih tržišta iz
ovog člana (subjekti nadzora Narodne banke Srbije), u skladu sa ovim zakonom i odredbama posebnih zakona kojima se uređuje poslovanje tih subjekata donosi propise kojima se uređuju pitanja informacione bezbednosti za te subjekte, i to mere zaštite IKT sistema, donošenje akata o proceni rizika i akta o bezbednosti IKT sistema, klasifikacija incidenata, dostavljanje obaveštenja o incidentu, postupanje u vezi sa incidentima, izveštavanje tokom i nakon incidenta, dostavljanje statističkih podataka o incidentu i druga pitanja od značaja za bezbednost informacionog sistema ovih subjekata, kao i nadzora koji vrši nad njima.
određuje ministarstvo nadležno za poslove informacione bezbednosti, a po pribavljenom mišljenju organa u čijoj je nadležnosti oblast u kojoj subjekt obavlja delatnosti.
Podzakonski akt kojim se bliže uređuju uslovi, opšti i sektorski kriterijumi uključujući i kriterijume u pogledu veličine privrednih subjekata, za određivanje operatora prioritetnih i važnih IKT sistema donosi Vlada, na predlog ministarstva nadležnog za poslove informacione bezbednosti.
Ministarstva u čijim nadležnostima su oblasti u kojima operatori prioritetnih i važnih IKT sistema obavljaju delatnosti i Narodna banka Srbije, dužni su da u postupku izrade podzakonskog akta iz
, dostave ministarstvu nadležnom za poslove informacione bezbednosti predloge sektorskih kriterijuma radi određivanja operatora IKT sistema od posebnog značaja.
Operator IKT sistema od posebnog značaja, shodno ovom zakonu, u obavezi je da:
1)
podnese prijavu za upis u evidenciju IKT sistema od posebnog značaja;
2)
preduzme odgovarajuće tehničke, operativne, organizacione i fizičke mere zaštite IKT sistema od posebnog značaja, upravljanje rizicima i prevenciju i smanjenje štetnih posledica incidenata;
3)
izvrši procenu rizika i donese akt o proceni rizika;
4)
donese akt o bezbednosti IKT sistema od posebnog značaja;
5)
vrši proveru usklađenosti mera zaštite IKT sistema koje se primenjuju sa aktom o bezbednosti IKT sistema i to najmanje jednom godišnje;
6)
uredi odnos sa trećim licima na način koji obezbeđuje preduzimanje mera zaštite tog IKT sistema u skladu sa zakonom, ukoliko poverava aktivnosti u vezi sa IKT sistemom od posebnog značaja trećim licima;
7)
dostavlja obaveštenja, bez odlaganja, o svakom incidentu koji značajno narušava bezbednost IKT sistema od posebnog značaja;
8)
prijavi izbegnute incidente koji predstavljaju ozbiljnu pretnju u skladu sa ovim zakonom;
9)
dostavlja statističke podatke o incidentima i izbegnutim incidentima u IKT sistemima.
podnese prijavu za upis u evidenciju IKT sistema od posebnog značaja;
2)
preduzme odgovarajuće tehničke, operativne, organizacione i fizičke mere zaštite IKT sistema od posebnog značaja, upravljanje rizicima i prevenciju i smanjenje štetnih posledica incidenata;
3)
donese akt o bezbednosti IKT sistema;
4)
vrši proveru usklađenosti mera zaštite IKT sistema koje se primenjuju sa aktom o bezbednosti IKT sistema u skladu sa sopstvenim pravilima za proveru usklađenosti mera zaštite, a najmanje jednom godišnje;
5)
uredi odnos sa trećim licima na način koji obezbeđuje preduzimanje mera zaštite tog IKT sistema u skladu sa zakonom, ukoliko poverava aktivnosti u vezi sa IKT sistemom od posebnog značaja sa trećim licima;
6)
formira sopstveni CERT radi upravljanja incidentima u svojim sistemima.
Samostalni operatori mogu da međusobno razmenjuju informacije o incidentima sa Kancelarijom za informacionu bezbednost, a po potrebi i sa drugim organizacijama.
Na samostalne operatore ne primenjuju se odredbe ovog zakona o prijavljivanju incidenata koji značajno ugrožavaju informacionu bezbednost, odredbe o dostavljanju statističkih podataka o incidentima i odredbe o proaktivnom skeniranju mreže operatora IKT sistema od posebnog značaja.
Samostalni operatori, mogu samostalno i u koordinaciji sa Kancelarijom za informacionu bezbednost, radi otkrivanja ranjivosti da vrše proaktivno skeniranje sopstvenih IKT sistema povezanih na Jedinstvenu informaciono-komunikacionu mrežu elektronske uprave.
Samostalni operatori IKT sistema odrediće posebna lica, odnosno organizacione jedinice za internu kontrolu sopstvenih IKT sistema.
Lica za internu kontrolu samostalnih operatora IKT sistema izveštaj o izvršenoj internoj kontroli podnose rukovodiocu samostalnog operatora IKT sistema.
Ministarstvo nadležno za poslove informacione bezbednosti (u daljem tekstu: Ministarstvo) uspostavlja i vodi evidenciju prioritetnih i važnih IKT sistema (u daljem tekstu: Evidencija) koja sadrži:
1)
naziv, matični broj i sedište operatora IKT sistema od posebnog značaja;
2)
ime i prezime, službenu adresu za prijem elektronske pošte i službeni kontakt telefon administratora zaduženog za održavanje i upravljanje IKT sistemom od posebnog značaja;
3)
ime i prezime, službenu adresu za prijem elektronske pošte i službeni kontakt telefon odgovornog lica IKT sistema od posebnog značaja;
4)
podatak o vrsti IKT sistema od posebnog značaja, odnosno da li IKT sistem od posebnog značaja potpada pod prioritetan ili važan;
5)
podatak o delatnosti operatora IKT sistema od posebnog značaja;
6)
adresni opseg internet protokola (engl. „IP address range“) koji pripadaju IKT sistemu od posebnog značaja, a koji obuhvata podatke o javnim statičkim IP adresama;
7)
veb prezentaciju operatora IKT sistema od posebnog značaja;
8)
broj lokacija na kojima se IKT sistem od posebnog značaja nalazi.
, evidencija može da sadrži i druge dopunske podatke o IKT sistemu od posebnog značaja.
Samostalni operatori IKT sistema izuzeti su od obaveze dostavljanja podataka iz .
Podzakonski akt kojim se bliže uređuje sadržaj i struktura evidencije, kao i način podnošenja zahteva za unos i promenu podataka u Evidenciji donosi Ministarstvo.
Operator IKT sistema od posebnog značaja dužan je da Ministarstvu dostavi podatke iz najkasnije 90 dana od dana usvajanja propisa iz
o tome obavesti Ministarstvo u roku od 15 dana od dana nastanka promene.
Podaci iz obrađuju se u svrhu izvršenja odredbi ovog zakona u pogledu dostavljanja obaveštenja i upozorenja značajnih za bezbednost IKT sistema od posebnog značaja, kao i radi uspostavljanja komunikacije i ostvarivanja saradnje u cilju otklanjanja štetnih posledica incidenata i preventivnog delovanja.
Podaci iz obrađuju se u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti i čuvaju se do trenutka prestanka svrhe obrade ili do izvršene promene podataka u skladu sa
Ministarstvo stavlja na raspolaganje ažurnu Evidenciju Kancelariji za informacionu bezbednost radi izvršenja odredbi ovog zakona u pogledu prikupljanja i razmene informacija o pretnjama, ranjivostima i incidentima i pružanja podrške, upozoravanja i savetovanja lica koja upravljaju IKT sistemima.
Evidencija predstavlja tajni podatak u smislu zakona kojim se uređuje tajnost podataka.
Operator IKT sistema od posebnog značaja odgovara za bezbednost IKT sistema i preduzimanje mera zaštite IKT sistema.
Merama zaštite IKT sistema se obezbeđuje prevencija od nastanka incidenata, odnosno prevencija i smanjenje štete od incidenata koji ugrožavaju vršenje nadležnosti i obavljanje delatnosti, a posebno u okviru pružanja usluga drugim licima.
Mere zaštite primenjuju se u svim IKT sistemima operatora iz
uspostavljanje organizacione strukture, sa utvrđenim poslovima, znanjima, kompetencijama, iskustvom i odgovornostima zaposlenih, kojom se ostvaruje upravljanje informacionom bezbednošću u okviru operatora IKT sistema;
2)
prikupljanje podataka o pretnjama po informacionu bezbednost IKT sistema;
3)
postizanje bezbednosti rada na daljinu i upotrebe mobilnih uređaja;
4)
obezbeđivanje da lica koja koriste IKT sistem odnosno upravljaju IKT sistemom budu osposobljena za posao koji rade i razumeju svoju odgovornost, odnosno da obezbedi održavanje osnovnih i po potrebi naprednih informatičkih obuka za sve zaposlene i angažovana lica koja imaju pristup IKT sistemima, obuka za rukovodioce odnosno organe upravljanja operatora IKT sistema od posebnog značaja, kao i specijalizovane stručne obuke za zaposlene odgovorne za upravljanje informacionom bezbednošću, radi obezbeđivanja kontinuirane edukacije;
5)
obezbeđivanje dovoljno resursa za adekvatno upravljanje informacionom bezbednošću;
6)
zaštitu od rizika koji nastaju pri promenama poslova ili prestanka radnog angažovanja lica zaposlenih kod operatora IKT sistema;
7)
identifikovanje informacionih dobara i određivanje odgovornosti za njihovu zaštitu;
8)
klasifikovanje podataka tako da nivo njihove zaštite odgovara značaju podataka u skladu sa načelom upravljanja rizikom iz
ograničenje pristupa podacima i sredstvima za obradu podataka;
11)
odobravanje ovlašćenog pristupa i sprečavanje neovlašćenog pristupa IKT sistemu i uslugama koje IKT sistem pruža;
12)
utvrđivanje odgovornosti korisnika za zaštitu sopstvenih sredstava za autentikaciju;
13)
predviđanje upotrebe kriptografskih kontrola i drugih tehnika za sakrivanje podataka radi zaštite poverljivosti, autentičnosti i integriteta podataka;
14)
primena mera zaštite radi sprečavanja oticanja podataka;
15)
fizičku zaštitu objekata, prostora, prostorija odnosno zona u kojima se nalaze sredstva i dokumenti IKT sistema i obrađuju podaci u IKT sistemu;
16)
zaštitu od gubitka, oštećenja, krađe ili drugog oblika ugrožavanja bezbednosti sredstava koja čine IKT sistem;
17)
obezbeđivanje ispravnog i bezbednog funkcionisanja sredstava za obradu podataka;
18)
primenu odgovarajućih procedura i mera zaštite prilikom korišćenja usluge računarstva u klaudu;
19)
praćenje IKT sistema u cilju otkrivanja ranjivosti i pretnji;
20)
ograničenje pristupa veb prezentacijama koje mogu potencijalno da naruše bezbednost IKT sistema;
21)
zaštitu podataka i sredstava za obradu podataka od zlonamernog softvera;
22)
zaštitu od gubitka podataka redovnom izradom rezervnih kopija podataka, softvera i sistema putem odgovarajućih sredstava za razmenu podataka;
23)
čuvanje podataka o događajima koji mogu biti od značaja za bezbednost IKT sistema;
24)
obezbeđivanje integriteta softvera i operativnih sistema;
25)
zaštitu od zloupotrebe tehničkih bezbednosnih slabosti IKT sistema;
26)
obezbeđivanje zaštite IKT sistema prilikom sprovođenja revizorskog testiranja;
27)
zaštitu podataka u komunikacionim mrežama, uključujući uređaje i vodove;
28)
bezbednost podataka koji se prenose unutar operatora IKT sistema, kao i između operatora IKT sistema i lica van operatora IKT sistema;
29)
ispunjenje zahteva za informacionu bezbednost u okviru upravljanja svim fazama životnog ciklusa IKT sistema odnosno delova sistema;
30)
zaštitu podataka koji se koriste za potrebe testiranja IKT sistema odnosno delova sistema;
31)
procedure za čuvanje i brisanje informacija u IKT sistemima, u skladu sa propisima;
32)
zaštitu sredstava operatora IKT sistema koja su dostupna pružaocima usluga;
33)
održavanje ugovorenog nivoa informacione bezbednosti i pruženih usluga u skladu sa uslovima koji su ugovoreni sa pružaocem usluga;
34)
prevenciju i reagovanje na bezbednosne incidente, što podrazumeva adekvatnu razmenu informacija o bezbednosnim slabostima IKT sistema, incidentima i pretnjama, kao i primenu mera sanacije posledica incidenta;
35)
mere koje obezbeđuju kontinuitet obavljanja posla u vanrednim okolnostima koje se definišu Planom kontinuiteta obavljanja posla;
36)
usvajanje dokumenata kojima se definišu procedure za proveru adekvatnosti mera zaštite;
37)
upotrebu multifaktorske autentikacije ili rešenja kontinuirane provere autentičnosti, zaštićene glasovne, video i tekstualne komunikacije, te bezbednih komunikacionih sistema u hitnim slučajevima unutar operatora IKT sistema.
Podzakonski akt kojim se bliže uređuju mere zaštite prioritetnih i važnih IKT sistema uvažavajući načela iz
, nacionalne i međunarodne standarde, i standarde koji se primenjuju u odgovarajućim oblastima rada i relevantne tehničke specifikacije donosi Vlada, na predlog Ministarstva.
Operator IKT sistema od posebnog značaja dužan je da donese akt o proceni rizika za IKT sisteme (u daljem tekstu: akt o proceni rizika) kojima upravlja.
Aktom o proceni rizika vrši se procena rizika za IKT sistem od posebnog značaja s obzirom na stepen izloženosti riziku, veličinu operatora i izvesnost pojave incidenta i njegove ozbiljnosti, kao i njegov potencijalni društveni i ekonomski uticaj.
Akt o proceni rizika revidira se najmanje jednom godišnje.
Akt o proceni rizika izrađuje se u skladu sa opštom metodologijom za procenu rizika u prioritetnim i važnim IKT sistemima od posebnog značaja koju donosi organ, odnosno organizacija u kojoj se obavljaju poslovi Nacionalnog CERT-a.
Operator IKT sistema od posebnog značaja nije u obavezi da donese akt iz
Operator IKT sistema od posebnog značaja dužan je da donese akt o bezbednosti IKT sistema (u daljem tekstu: akt o bezbednosti).
Aktom o bezbednosti određuju se mere zaštite, a naročito principi, način i procedure postizanja i održavanja adekvatnog nivoa bezbednosti sistema, kao i ovlašćenja i odgovornosti u vezi sa bezbednošću i resursima IKT sistema od posebnog značaja.
Akt o bezbednosti IKT sistema od posebnog značaja zasniva se na Aktu o proceni rizika iz
. Primena mera zaštite IKT sistema mora biti u skladu sa procenjenim rizicima, kako bi se obezbedila adekvatna zaštita sistema i minimizirao uticaj potencijalnih incidenata.
Akt o bezbednosti mora da bude usklađen s promenama u okruženju i u samom IKT sistemu.
Operator IKT sistema od posebnog značaja dužan je da, samostalno ili uz angažovanje spoljnih eksperata, vrši proveru iz prethodnog stava najmanje jednom godišnje i da o tome sačini izveštaj.
Podzakonski akt kojim se bliže uređuje sadržaj akta o bezbednosti, način provere IKT sistema od posebnog značaja i sadržaj izveštaja o proveri, kao i dostavljanje izveštaja nadležnom organu, donosi Vlada na predlog Ministarstva.
Operatori IKT sistema od posebnog značaja dužni su da dostave obaveštenje o incidentu koji može da ima značajan uticaj na narušavanje informacione bezbednosti, bez odlaganja, a najkasnije u roku od 24 sata od kada su saznali za incident.
Incidenti koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti su:
1)
incidenti koji dovode do prekida kontinuiteta vršenja poslova i pružanja usluga, odnosno znatnih teškoća u vršenju poslova i pružanju usluga;
2)
incidenti koji utiču na veliki broj korisnika usluga, ili traju duži vremenski period;
3)
incidenti koji dovode do prekida kontinuiteta, odnosno teškoća u vršenju poslova i pružanja usluga, koji utiču na obavljanje poslova i vršenje usluga drugih operatora IKT sistema od posebnog značaja ili utiču na javnu bezbednost;
4)
incidenti koji dovode do prekida kontinuiteta, odnosno teškoća u vršenju poslova i pružanju usluga i imaju uticaj na veći deo teritorije Republike Srbije;
5)
incidenti koji dovode do neovlašćenog pristupa podacima čije otkrivanje može ugroziti prava i interese onih na koje se podaci odnose;
6)
incidenti koji su nastali kao posledica incidenta u IKT sistemu operatora prioritetnih IKT sistema koji obavljaju delatnosti u oblasti digitalne infrastrukture, iz
, kada IKT sistem od posebnog značaja u svom poslovanju koristi informacione usluge u oblasti digitalne infrastrukture;
7)
incidenti koji izazivaju ili mogu da izazovu znatnu materijalnu ili nematerijalnu štetu operatoru IKT sistema od posebnog značaja i drugim fizičkim i pravnim licima.
Operatori IKT sistema od posebnog značaja dužni su da prijave i izbegnute incidente koji predstavljaju ozbiljnu pretnju i koji bi mogli dovesti do okolnosti sličnih onima opisanim
. U slučaju incidenata u IKT sistemima za rad sa tajnim podacima operatori tih IKT sistema postupaju u skladu sa propisima kojima se uređuje oblast zaštite tajnih podataka.
Operatori IKT sistema od posebnog značaja dužni su da obaveštenja o incidentima dostave u jedinstveni sistem za prijem obaveštenja o incidentima putem veb prezentacije Ministarstva ili Kancelarije za informacionu bezbednost.
Operatori prioritetnih IKT sistema od posebnog značaja koji obavljaju delatnosti u oblasti bankarstva i finansijskih tržišta iz
dužni su da obaveštenje o incidentu dostave Narodnoj banci Srbije, a ako su operatori prioritetnih IKT sistema u oblasti finansijskih tržišta koji su pod nadzorom Komisije za hartije od vrednosti, obaveštenje dostavljaju i Komisiji za hartije od vrednosti.
Operatori prioritetnih IKT sistema koji obavljaju delatnosti elektronskih komunikacija iz
alineja prva ovog zakona, dužni su da obaveštenje o incidentu dostave Regulatornom telu za elektronske komunikacije i poštanske usluge.
Narodna banka Srbije, Regulatorno telo za elektronske komunikacije i poštanske usluge i Komisija za hartije od vrednosti dužni su da dobijena obaveštenja iz proslede u jedinstveni sistem za prijem obaveštenja o incidentima.
Operatori IKT sistema od posebnog značaja, osim operatora IKT sistema iz , dužni su da putem odgovarajućih kanala komunikacije obaveste o incidentu korisnike kojima pružaju usluge, bez odlaganja, u slučaju incidenta koji može da izazove ili izaziva štetan uticaj na pružanje i korišćenje usluga, kao i o merama koje korisnici mogu da preduzmu i upotrebe u cilju umanjenja ili eliminacije štetnih posledica incidenta.
Operatori IKT sistema od posebnog značaja iz obaveštavaju korisnike o incidentima u skladu sa posebnim propisima.
Organ kome je u skladu sa ovim zakonom upućeno obaveštenje o incidentu, ukoliko je reč o IKT sistemu od posebnog značaja koji je određen kao kritična infrastruktura u skladu sa zakonom kojim se uređuje kritična infrastruktura, informaciju o tome prosleđuje ministarstvima nadležnim za sektore kritične infrastrukture.
Organi iz , kojima je upućeno obaveštenje o incidentu, dužni su da, u slučaju incidenta koji je nastao u IKT sistemu operatora kritične infrastrukture utvrđenog u skladu sa zakonom kojim se uređuje kritična infrastruktura, dobijenu informaciju bez odlaganja proslede nadležnim ministarstvima za sektore kritične infrastrukture, u skladu sa propisima o zaštiti tajnih podataka.
Obaveštenje o incidentu mora da sadrži sledeće podatke:
1)
podatke o podnosiocu prijave;
2)
vrstu i opis incidenta i procenu da li je incident posledica krivičnog dela;
3)
datum i vreme početka incidenta, odnosno saznanja o incidentu i trajanje incidenta;
4)
posledice koje je incident izazvao;
5)
preduzete aktivnosti radi ublažavanja posledica incidenta;
6)
inicijalnu procenu nivoa opasnosti i uticaja incidenta na IKT sistem od posebnog značaja, kao i indikatore kompromitacije;
7)
informaciju o eventualnom prekograničnom dejstvu incidenta;
8)
podatke o prethodno prijavljenim sličnim incidentima, ako su postojali, uključujući vreme i prirodu tih incidenata, kao i mere koje su tom prilikom preduzete;
Incidenti u IKT sistemima od posebnog značaja koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti svrstavaju se prema nivou opasnosti, imajući u vidu posledice incidenta, u sledeće nivoe opasnosti:
1)
nizak;
2)
srednji;
3)
visok;
4)
veoma visok.
Podzakonski akt kojim se uređuje postupak obaveštavanja o incidentima, obrasci za obaveštavanje, lista incidenata prema vrstama i klasifikacija incidenata prema nivou opasnosti donosi Vlada, na predlog Ministarstva.
U cilju koordinisane reakcije na incidente visokog i veoma visokog nivoa Kancelarija za informacionu bezbednost obrazuje stalni operativni tim.
Kancelarija za informacionu bezbednost bliže uređuje kriterijume za imenovanje članova, kao i vršenje poslova i zadatke stalnog operativnog tima.
Kancelarija za informacionu bezbednost može da, zavisno od prirode i posledica incidenta, zatraži uključivanje drugih organa u rad operativnog tima u okviru njihovih nadležnosti.
Po potrebi, sastancima operativnog tima mogu prisustvovati i predstavnici samostalnih operatora, lica uključena u rad Tela za koordinaciju poslova informacione bezbednosti, kao i predstavnici posebnih CERT-ova.
Lica koja učestvuju u radu stalnog operativnog tima dužna su da se sertifikuju za rad sa tajnim podacima.
se periodično menja i dopunjuje u skladu sa potrebama i novim okolnostima, a u celini se ponovo izrađuje i donosi svake treće godine, a ukoliko su se okolnosti u značajnoj meri promenile i ranije.
Po prijemu obaveštenja o incidentu u IKT sistemu od posebnog značaja, Kancelarija za informacionu bezbednost postupa u skladu sa nadležnostima utvrđenim zakonom, odnosno prikuplja, analizira i razmenjuje informacije o rizicima za bezbednost IKT sistema, kao i incidentu, i u vezi sa tim obaveštava, pruža podršku, upozorava i savetuje operatora IKT sistema od posebnog značaja i vrši druge poslove iz svoje nadležnosti.
Kancelarija za informacionu bezbednost, nakon izvršene analize, utvrđuje nivo opasnosti incidenta.
Kada je neophodno da javnost bude upoznata sa incidentom ili kada je incident takav da je od interesa za javnost, Kancelarija za informacionu bezbednost objavljuje informaciju o incidentu, nakon savetovanja sa operatorom IKT sistema od posebnog značaja u kome se incident dogodio.
, Kancelarija za informacionu bezbednost može objaviti informaciju o incidentu koji se dogodio u operatoru prioritetnog IKT sistema od posebnog značaja koji obavlja delatnost u oblasti bankarstva i finansijskih tržišta iz
, uz prethodno pribavljenu saglasnost Narodne banke Srbije odnosno Komisije za hartije od vrednosti.
Kancelarija za informacionu bezbednost, Narodna banka Srbije, Komisija za hartije od vrednosti i Regulatorno telo za elektronske komunikacije i poštanske usluge dužni su da obaveštenja o incidentima proslede:
1)
nadležnom javnom tužilaštvu, odnosno ministarstvu nadležnom za unutrašnje poslove, u slučaju da je incident vezan za izvršenje krivičnih dela koja se gone po službenoj dužnosti,
2)
organu nadležnom za bezbednosne i kontraobaveštajne poslove od značaja za odbranu Republike Srbije ili organu nadležnom za poslove nacionalne bezbednosti, u slučaju da je incident povezan sa značajnim narušavanjem informacione bezbednosti koje ima ili može imati za posledicu ugrožavanje odbrane ili nacionalne bezbednosti Republike Srbije.
Prilikom upravljanja incidentom Kancelarija za informacionu bezbednost, Narodna banka Srbije, Komisija za hartije od vrednosti i Regulatorno telo za elektronske komunikacije i poštanske usluge označavaju obaveštenje o incidentu, odnosno informacije o incidentu u skladu sa propisima i TLP (eng.„traffic light protocol”) protokolom.
U slučaju incidenata kojima je u skladu sa klasifikacijom utvrđen nivo opasnosti „nizak” Kancelarija za informacionu bezbednost po potrebi daje preporuke za postupanje operatoru IKT sistema od posebnog značaja.
U slučaju incidenata kojima je u skladu sa klasifikacijom utvrđen nivo opasnosti „srednji” Kancelarija za informacionu bezbednost daje preporuke za postupanje operatoru IKT sistema od posebnog značaja.
U slučaju incidenata kojima je u skladu sa klasifikacijom utvrđen nivo opasnosti „visok” Kancelarija za informacionu bezbednost je dužna da o tome obavesti Ministarstvo.
Kancelarija za informacionu bezbednost, u saradnji sa operativnim timom, priprema preporuke i mere za rešavanje incidenta.
saziva sednicu Tela za koordinaciju poslova informacione bezbednosti.
Nakon završetka incidenta Kancelarija za informacionu bezbednost, u saradnji sa operativnim timom, sačinjava završni izveštaj koji dostavlja Ministarstvu u roku od 30 dana nakon završenog incidenta.
U slučaju incidenta kojem je u skladu sa klasifikacijom utvrđen nivo opasnosti „veoma visok” i koji predstavlja krizu informacione bezbednosti, rukovođenje i koordinaciju sprovođenja mera i zadataka preduzima Vlada.
Kancelarija za informacionu bezbednost, u saradnji sa operativnim timom, izrađuje predlog za proglašavanje krize informacione bezbednosti, u skladu sa Planom za reagovanje u slučaju incidenta visokog nivoa i krize informacione bezbednosti, koji sadrži:
1)
podatke o incidentu;
2)
informacije o preduzetim merama;
3)
razloge za proglašenje krize informacione bezbednosti;
4)
zaduženje organa za postupanje u skladu sa svojim nadležnostima;
5)
mere za rešavanje krize.
Predlog za proglašenje krize informacione bezbednosti upućuje se Ministarstvu, koje po prijemu predloga bez odlaganja saziva sednicu Tela za koordinaciju poslova informacione bezbednosti.
Vlada na predlog Ministarstva donosi odluku o proglašenju krize informacione bezbednosti i zadužuje organe da postupaju prema predloženim merama u skladu sa svojim nadležnostima.
Kancelarija za informacionu bezbednost, u saradnji sa operativnim timom, koordinira rešavanjem krize informacione bezbednosti i najmanje jednom nedeljno izveštava Ministarstvo i Vladu o svim aktivnostima.
Predlog za proglašenje završetka krize informacione bezbednosti upućuje se Ministarstvu.
Odluku o proglašenju završetka krize informacione bezbednosti donosi Vlada na predlog Ministarstva.
Nakon završetka krize informacione bezbednosti Kancelarija za informacionu bezbednost sačinjava završni izveštaj koji dostavlja Ministarstvu i Vladi u roku od 30 dana nakon završetka krize.
Operatori IKT sistema od posebnog značaja dužni su da:
1)
dostavljaju izveštaj o incidentu, tokom trajanja incidenta, sa opisom mera koje su preduzete za rešavanje incidenta, u jedinstveni sistem za prijem obaveštenja o incidentima i to:
(1)
na svaka tri dana u slučaju incidenta srednjeg nivoa;
(2)
na svaka 24 sata u slučaju incidenata visokog i veoma visokog nivoa;
2)
dostavljaju obaveštenja i dodatne izveštaje o bitnim događajima u vezi sa incidentom i aktivnostima koje preduzimaju, na zahtev Kancelarije;
3)
dostavljaju završni izveštaj o incidentu u roku od 15 dana od dana prestanka incidenta, koji sadrži sledeće podatke:
(1)
vrstu i detaljan opis incidenta;
(2)
vrstu pretnje i uzrok koji je doveo do incidenta;
(3)
vreme i trajanje incidenta;
(4)
obim i stepen uticaja incidenta (ostvareni rizik), odnosno posledice koje je incident izazvao;
(5)
informaciju o eventualnom prekograničnom dejstvu incidenta;
(6)
preduzete aktivnosti radi otklanjanja posledica incidenta i, po potrebi, druge informacije od značaja za evidentiranje incidenta i statističku obradu.
Nakon završenog incidenta Kancelarija za informacionu bezbednost priprema preporuke i savete za zaštitu od potencijalnih rizika, na osnovu sprovedene analize izvršenog incidenta.
, dostavi organu, odnosno organizaciji nadležnoj za poslove Nacionalnog CERT-a statističke podatke o svim incidentima u IKT sistemu, uključujući i izbegnute incidente, u prethodnoj godini najkasnije do 28. februara tekuće godine.