Organ državne uprave nadležan za informacionu bezbednost je ministarstvo nadležno za poslove informacione bezbednosti.
U okviru svojih nadležnosti Ministarstvo:
1)
priprema i predlaže propise i planska dokumenta iz oblasti informacione bezbednosti u skladu sa ovim zakonom;
2)
vodi evidenciju operatora IKT sistema od posebnog značaja;
3)
vrši nadzor nad radom Kancelarije za informacionu bezbednost u vršenju poslova za koje je nadležna u skladu sa ovim zakonom;
4)
vrši inspekcijski nadzor nad primenom ovog zakona i radom operatora IKT sistema od posebnog značaja, osim samostalnih operatora IKT sistema i IKT sistema za rad sa tajnim podacima;
5)
ostvaruje međunarodnu saradnju u okviru svojih nadležnosti.
U cilju ostvarivanja saradnje i usklađenog obavljanja poslova u funkciji unapređenja informacione bezbednosti, kao i iniciranja i praćenja preventivnih i drugih aktivnosti u oblasti informacione bezbednosti, Vlada osniva Telo za koordinaciju poslova informacione bezbednosti (u daljem tekstu: Telo za koordinaciju), kao koordinaciono telo Vlade, u čiji sastav ulaze predstavnici ministarstava nadležnih za poslove informacione bezbednosti, odbrane, unutrašnjih poslova, spoljnih poslova, poslove pravosuđa, predstavnici službi bezbednosti, Kancelarije za informacionu bezbednost, Kancelarije za informacione tehnologije i elektronsku upravu, Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, Generalnog sekretarijata Vlade, Narodne banke Srbije i Regulatornog tela za elektronske komunikacije i poštanske usluge.
U funkciji unapređenja pojedinih oblasti informacione bezbednosti formiraju se stručne radne grupe Tela za koordinaciju u koje se uključuju i predstavnici drugih organa, privrede, akademske zajednice i nevladinog sektora.
Odlukom kojom osniva Telo za koordinaciju Vlada određuje i njegov sastav, zadatke, rok u kome ono podnosi izveštaje Vladi i druga pitanja koja su vezana za njegov rad.
Radi obavljanja poslova prevencije i zaštite od bezbednosnih rizika i incidenata u IKT sistemima u Republici Srbiji osniva se Kancelarija za informacionu bezbednost (u daljem tekstu: Kancelarija), kao posebna organizacija u smislu zakona kojim se uređuje položaj državne uprave.
Kancelarija ima svojstvo pravnog lica.
Radom Kancelarije rukovodi direktor koji mora da bude lice odgovarajuće stručnosti sa najmanje pet godina radnog iskustva u oblasti informacione bezbednosti i koga imenuje Vlada, u skladu sa zakonom kojim se uređuje položaj državnih službenika.
Kancelarija ima zamenika direktora, koji mora biti lice odgovarajuće stručnosti sa najmanje pet godina radnog iskustva u oblasti informacione bezbednosti, koji se postavlja u skladu sa propisima kojim se uređuje položaj državnih službenika i ima ovlašćenja u skladu sa propisima o državnoj upravi.
Kancelarija u okviru svoje nadležnosti obavlja sledeće poslove, i to:
1)
vrši prevenciju i zaštitu od bezbednosnih rizika na nacionalnom nivou u skladu sa ovim zakonom (poslovi Nacionalnog CERT-a);
2)
preduzima preventivne i reaktivne mere u cilju zaštite Jedinstvene informaciono-komunikacione mreže elektronske uprave u skladu sa ovim zakonom (poslovi CERT-a organa vlasti);
3)
obavlja saradnju na nacionalnom nivou u oblasti informacione bezbednosti;
4)
vrši poslove jedinstvene tačke kontakta;
5)
vrši poslove sertifikacije IKT sistema, IKT proizvoda, IKT procesa i IKT usluga, izuzev sistema, proizvoda, procesa i usluga za potrebe odbrane i bezbednosti i IKT sistema za rad sa tajnim podacima;
6)
propisuje minimalne mere zaštite IKT sistema organa, uvažavajući načela iz
, nacionalne i međunarodne standarde i standarde koji se primenjuju u odgovarajućim oblastima rada;
7)
u saradnji sa nadležnim organima i drugim subjektima iz javnog, akademskog, privrednog i nevladinog sektora učestvuje u razvoju i sprovođenju programa obuka i stručnog usavršavanja lica koja rade na poslovima informacione bezbednosti;
8)
obavlja saradnju i razmenu informacija na međunarodnom nivou u oblasti informacione bezbednosti u cilju praćenja i usaglašavanja sa međunarodnim propisima i standardima;
9)
vrši stručni nadzor nad radom operatora IKT sistema od posebnog značaja;
10)
vodi bazu ranjivosti IKT proizvoda i IKT usluga;
11)
izveštava Ministarstvo na kvartalnom nivou o preduzetim aktivnostima;
12)
obavlja druge poslove u skladu sa ovim zakonom.
Podzakonski akt kojim se bliže uređuje način vršenja sertifikacije IKT sistema, IKT proizvoda, IKT procesa i IKT usluga iz
U okviru poslova prevencije i zaštite od bezbednosnih rizika i incidenata Kancelarija vrši poslove Nacionalnog CERT-a, i to:
1)
prikuplja i razmenjuje informacije o pretnjama, ranjivostima, izbegnutim incidentima i incidentima i pruža podršku, upozorava i savetuje lica koja upravljaju IKT sistemima u Republici Srbiji, kao i javnost;
2)
prati stanje o incidentima u Republici Srbiji;
3)
pruža rana upozorenja, uzbune i najave i informiše relevantna lica o pretnjama, ranjivostima i incidentima;
4)
reaguje bez odlaganja po prijavljenim ili na drugi način otkrivenim incidentima u IKT sistemima od posebnog značaja, kao i po prijavama fizičkih i pravnih lica, tako što pruža savete i preporuke na osnovu raspoloživih informacija o incidentima i preduzima druge potrebne mere iz svoje nadležnosti na osnovu dobijenih saznanja;
5)
na zahtev operatora IKT sistema od posebnog značaja, pruža pomoć u praćenju stanja bezbednosti IKT sistema u realnom vremenu ili približno realnom vremenu;
6)
na zahtev operatora IKT sistema od posebnog značaja, vrši proaktivno skeniranje IKT sistema u cilju utvrđivanja ranjivosti koje mogu da potencijalno znatno naruše bezbednost IKT sistema, pri čemu takvo skeniranje ne sme imati štetan uticaj na poslove i delatnosti operatora;
7)
postupa kao koordinator za potrebe koordiniranog otkrivanja ranjivosti, u skladu sa ovim zakonom;
8)
učestvuje u razvoju i korišćenju tehnoloških alata za razmenu informacija sa operatorima IKT sistema od posebnog značaja i drugih subjekata sa kojima sarađuje;
9)
kontinuirano izrađuje analize rizika i incidenata, na osnovu prikupljenih informacija;
10)
podiže svest kod građana, privrednih subjekata i organa o značaju informacione bezbednosti, o rizicima i merama zaštite, uključujući sprovođenje kampanja u cilju podizanja te svesti;
11)
vodi Evidenciju posebnih CERT-ova;
12)
priprema izveštaje na kvartalnom nivou o preduzetim aktivnostima;
13)
pruža podršku u prikupljanju i analiziranju forenzičkih podataka i pruža dinamičke analize rizika i incidenata u skladu sa propisima;
14)
sarađuje sa CERT-ovima stranih država i na njihov zahtev pruža uzajamnu pomoć u skladu sa svojim kapacitetima i nadležnostima.
Kancelarija podstiče primenu i korišćenje propisanih i standardizovanih procedura za:
1)
upravljanje incidentima;
2)
klasifikaciju informacija o incidentima, odnosno klasifikaciju prema nivou opasnosti incidenata;
3)
upravljanje kriznim situacijama;
4)
koordinirano otkrivanje ranjivosti.
Kancelarija je ovlašćena da vrši obradu podataka o licu koje prijavi incident, pri čemu obrada podataka o licu obuhvata ime, prezime i broj telefona i/ili adresu elektronske pošte i vrši se u svrhu evidentiranja podnetih prijava, informisanja podnosioca prijave o statusu predmeta i, u slučaju potrebe, upućivanja prijave nadležnim organima radi daljeg postupanja, u skladu sa zakonom.
Kancelarija obezbeđuje neprekidnu dostupnost svojih usluga putem različitih sredstava komunikacije.
U okviru obavljanja poslova Nacionalnog CERT-a potrebno je obezbediti sledeće zahteve:
1)
visok nivo dostupnosti komunikacionih kanala izbegavanjem jedinstvenih tačaka prekida i korišćenje više sredstava za dvosmerno kontaktiranje;
2)
prostorije Nacionalnog CERT-a i informacioni sistemi za podršku treba da budu smešteni na sigurnim lokacijama;
3)
upotrebu odgovarajućeg sistema za upravljanje zahtevima i njihovo usmeravanje, posebno kako bi se olakšala efikasna i efektivna razmena informacija;
4)
obezbeđivanje poverljivosti i pouzdanosti svojih aktivnosti;
5)
postojanje adekvatnih kadrovskih kapaciteta;
6)
opremljenost redundantnim sistemima i rezervnim radnim prostorom kako bi se osigurao kontinuitet usluga.
Podzakonski akt kojim se bliže uređuje postupak proaktivnog skeniranja IKT sistema iz
, zaštitni, tehnički i bezbednosni uslovi i mere koje mora da ispuni subjekat koji neposredno vrši skeniranje, kao i procedura kojom se utvrđuju uslovi u cilju zaštite bezbednosti sistema, mreža i podataka kojima se pristupa i način izveštavanja nadležnog organa, donosi Vlada na predlog Ministarstva.
U okviru preduzimanja preventivnih i reaktivnih mera u cilju zaštite Jedinstvene informaciono-komunikacione mreže elektronske uprave (u daljem tekstu: mreža eUprave) Kancelarija obavlja sledeće poslove:
1)
vrši zaštitu mreže eUprave;
2)
obavlja koordinaciju i saradnju sa operatorima IKT sistema koje povezuje mreža eUprave u prevenciji incidenata;
3)
aktivno učestvuje u otkrivanju incidenata, prikupljanju informacija o incidentima i otklanjanju posledica incidenata;
4)
vrši proaktivno skeniranje mreže operatora IKT sistema od posebnog značaja koji su korisnici mreže, pri čemu takvo skeniranje ne sme imati štetan uticaj na poslove i delatnosti operatora;
5)
u slučaju otkrivene ranjivosti:
(1)
obaveštava operatore IKT sistema koji su korisnici mreže eUprave o tome;
(2)
nalaže operatorima IKT sistema od posebnog značaja koji su korisnici mreže da preduzmu adekvatne mere zaštite u cilju sprečavanja, smanjenja i otklanjanja posledica incidenta;
6)
izdaje stručne preporuke za zaštitu IKT sistema organa, osim IKT sistema za rad sa tajnim podacima;
7)
donosi akt kojim se uređuje postupanje operatora IKT sistema od posebnog značaja koji koriste mreže u slučaju incidenta;
8)
u saradnji sa nadležnim organima vrši procenu potrebe za stručnim usavršavanjem zaposlenih u operatorima IKT sistema od posebnog značaja koji koriste mrežu;
9)
planira i organizuje proceduralne i praktične vežbe u oblasti informacione bezbednosti za zaposlene u operatorima IKT sistema od posebnog značaja koji koriste mrežu;
10)
izrađuje predloge za unapređenje bezbednosnih karakteristika mreže eUprave;
11)
izrađuje analize rizika i incidenata u okviru mreže eUprave;
12)
obavlja druge poslove u skladu sa zakonom u cilju unapređenja informacione bezbednosti mreže eUprave.
Podzakonski akt kojim se bliže uređuje postupak proaktivnog skeniranja IKT sistema iz
, zaštitni, tehnički i bezbednosni uslovi i mere koje mora da ispuni subjekat koji neposredno vrši skeniranje, kao i procedura kojom se utvrđuju uslovi u cilju zaštite bezbednosti sistema, mreža i podataka kojima se pristupa i način izveštavanja nadležnog organa, donosi Vlada na predlog Ministarstva.
Kancelarija neposredno sarađuje sa Ministarstvom, Regulatornim telom za elektronske komunikacije i poštanske usluge, Posebnim CERT-ovima u Republici Srbiji, sa javnim i privrednim subjektima i CERT-ovima samostalnih operatora IKT sistema.
CERT-ovi mogu, u skladu sa svojim nadležnostima i bezbednosnim protokolima, samostalno uspostavljati saradnju sa relevantnim akterima iz javnog i privatnog sektora, uz obavezu obaveštavanja Kancelarije radi koordinacije i razmene informacija od značaja za nacionalni sistem informacione bezbednosti.
Kancelarija i CERT-ovi samostalnih operatora IKT sistema održavaju međusobne sastanke u organizaciji Kancelarije najmanje tri puta godišnje, kao i po potrebi u slučaju incidenata koji značajno ugrožavaju informacionu bezbednost u Republici Srbiji.
Kancelarija je dužna da obezbedi efektivnu, efikasnu i bezbednu razmenu informacija uz primenu adekvatnih procedura, uključujući „traffic light protocol” (TLP), i poštujući propise o zaštiti podataka o ličnosti.
Kancelarija ostvaruje međunarodnu saradnju u oblasti bezbednosti IKT sistema, a naročito pruža upozorenja o rizicima i incidentima koji ispunjavaju najmanje jedan od sledećih uslova:
1)
brzo rastu ili imaju tendenciju da postanu visokorizični;
2)
prevazilaze ili mogu da prevaziđu nacionalne kapacitete;
3)
mogu da imaju negativan uticaj na više od jedne države.
, Kancelarija je dužna da postupa tako da se ne ugrozi poverljivost podataka, kao i da takva razmena podataka ne utiče na potencijalno narušavanje bezbednosti IKT sistema.
podrazumeva prenos ili obradu podataka koji su neophodni za procenu i reagovanje na bezbednosne rizike i incidente u skladu sa ovim zakonom. U slučaju da se razmena odnosi na podatke o ličnosti, Kancelarija je dužna da obezbedi da takav prenos ili obrada budu usklađeni sa propisima kojima se uređuje zaštita podataka o ličnosti, uključujući i pravila koja se odnose na prenos podataka u druge države ili međunarodne organizacije.
Ukoliko je incident u vezi sa izvršenjem krivičnog dela koje se goni po službenoj dužnosti, Kancelarija će o tome obavestiti nadležno javno tužilaštvo, koje će samostalno ili preko ministarstva nadležnog za unutrašnje poslove u zvaničnoj proceduri proslediti prijavu u skladu sa potvrđenim međunarodnim ugovorima.
Kancelarija obavlja poslove jedinstvene tačke kontakta za informacionu bezbednost u slučaju prekograničnih bezbednosnih pretnji i incidenata i sarađuje sa jedinstvenim tačkama kontakta drugih država.
Poseban centar za prevenciju bezbednosnih rizika u IKT sistemima (u daljem tekstu: Poseban CERT) obavlja poslove prevencije i zaštite od bezbednosnih rizika u IKT sistemima u okviru određenog pravnog lica, grupe pravnih lica, oblasti poslovanja i slično.
Poseban CERT je pravno lice ili organizaciona jedinica u okviru pravnog lica sa sedištem na teritoriji Republike Srbije, koje je upisano u evidenciju posebnih CERT-ova koju vodi organ, odnosno organizacija nadležna za poslove Nacionalnog CERT-a i objavljuje je javno.
Upis u evidenciju posebnih CERT-ova, koju vodi Kancelarija, vrši se na osnovu prijave pravnog lica u okviru koga se nalazi poseban CERT.
Evidencija posebnih CERT-ova od podataka o ličnosti sadrži podatke o odgovornim licima, i to: ime, prezime, funkciju i kontakt podatke kao što su adresa, broj telefona i adresa elektronske pošte, a u svrhu angažovanja posebnih CERT-ova u slučaju bezbednosnih rizika i incidenata u IKT sistemima.
Organ, odnosno organizacija nadležna za poslove Nacionalnog CERT-a uspostavlja i održava bazu ranjivosti IKT proizvoda i IKT usluga u Republici Srbiji i omogućava fizičkim i pravnim licima, kao i proizvođačima, dobavljačima i pružaocima usluge u IKT sistemu, da na dobrovoljnoj bazi prijave ranjivosti u IKT proizvodima ili IKT uslugama, a koje se mogu prijaviti anonimno.
Baza ranjivosti IKT proizvoda i IKT usluga sadrži:
1)
podatke o ranjivosti;
2)
podatke o ranjivostima IKT proizvoda ili IKT usluga.
Vlada, na predlog Ministarstva, propisuje sadržaj, procedure verifikacije ranjivosti, procedure za upravljanje tehničkim ranjivostima IKT proizvoda i IKT usluga, način upisa i vođenja registra.
Organizacija koja je ovlašćena za upravljanje registrom domena najvišeg nivoa vodi spisak ovlašćenih registara za registraciju domena u Republici Srbiji.
o tome obavesti organizaciju koja je ovlašćena za upravljanje registrom domena najvišeg nivoa u roku od 15 dana od dana nastanka promene.
Organizacije koje su ovlašćene za upravljanje registrom domena najvišeg nivoa i pružanje usluga DNS-a obavezne su da prikupljaju, čuvaju i održavaju tačne i potpune podatke o registraciji domena u posebnoj bazi podataka, uz dužnu pažnju i uz primenu tehničkih, organizacionih i bezbednosnih mera za zaštitu podataka, u skladu sa propisima o zaštiti podataka o ličnosti.
dužne su da usvoje i primene akte i procedure za verifikaciju tačnosti i potpunosti podataka u bazi podataka. Ove procedure moraju biti javno dostupne.
dužne su da obezbede javnu dostupnost podataka koji ne predstavljaju podatke o ličnosti odmah po registraciji domena, a u skladu sa pravilima i uslovima registracije naziva nacionalnih internet domena.
obavezne su da omoguće pristup podacima o registraciji domena koji nisu javno dostupni na osnovu zakonitih i obrazloženih zahteva ovlašćenih lica ili organa, u skladu sa ovlašćenjima dodeljenim propisima koji uređuju delokrug njihovog rada i u skladu sa propisima koji uređuju zaštitu podataka o ličnosti.
dužne su da donesu i javno objave politike i procedure za postupanje po zahtevima za otkrivanje podataka o registraciji domena, u skladu sa ovim zakonom i propisima o zaštiti podataka o ličnosti. U skladu sa ovim članom, prikupljanje podataka o registraciji domena ne sme dovesti do dupliranja podataka. Organizacije iz
dužne su da sarađuju radi izbegavanja dupliranja i osiguranja usklađenosti sa zakonom.
Ministar nadležan za informacionu bezbednost propisuje bliže uslove za prikupljanje, čuvanje, verifikaciju i objavljivanje podataka iz ovog člana, a u skladu sa najboljom praksom registara nacionalnih internet domena iz Evropske Unije, kao i Internet korporacije za dodeljene nazive i brojeve (ICANN).
Ministarstvo preduzima preventivne mere za bezbednost i zaštitu dece na internetu, kao aktivnosti od javnog interesa, putem edukacije i informisanja dece, roditelja i nastavnika o prednostima, rizicima i načinima bezbednog korišćenja interneta, kao i putem jedinstvenog mesta za pružanje saveta i prijem prijava u vezi bezbednosti dece na internetu i upućuje prijave nadležnim organima radi daljeg postupanja.
Operator elektronskih komunikacija koji pruža javno dostupne telefonske usluge dužan je da omogući svim pretplatnicima uslugu besplatnog poziva prema jedinstvenom mestu za pružanje saveta i prijem prijava u vezi bezbednosti dece na internetu.
U slučaju da navodi iz prijave upućuju na postojanje krivičnog dela, na povredu prava, zdravstvenog statusa, dobrobiti i/ili opšteg integriteta deteta, na rizik stvaranja zavisnosti od korišćenja interneta, prijava se prosleđuje nadležnom organu radi postupanja u skladu sa utvrđenim nadležnostima.
Ministarstvo je ovlašćeno da vrši obradu podataka o licu koje se obrati Ministarstvu u skladu sa zakonom koji uređuje zaštitu podataka o ličnosti i drugim propisima.
obuhvata ime, prezime i broj telefona i/ili adresu elektronske pošte i vrši se u svrhu evidentiranja podnetih prijava, informisanja podnosioca prijave o statusu predmeta i, u slučaju potrebe, upućivanja prijave nadležnim organima radi daljeg postupanja, u skladu sa zakonom.