7. člen
(dokumentirane informacije)
(1)
Operater v zvezi s SUVI in SUNP sprejme najmanj:
1.
dokumente, ki opredeljujejo informacijsko varnostno politiko, njene cilje, obseg in način merjenja rezultatov njene učinkovitosti ter način obravnavanja njenih kršitev,
2.
dokumente, ki opisujejo postopke za ugotavljanje, ocenjevanje, analizo in obvladovanje tveganj, vključno s tveganji zaradi nepooblaščenega razkritja osebnih podatkov oziroma prometnih podatkov, uporabe šifriranja, kjer je to potrebno in zapise o potrebnih ukrepih za zaščito le-teh,
3.
dokumente, ki vsebujejo seznam poslovnih procesov, funkcij, informacij in podatkov, ki so ključna za neprekinjeno poslovanje,
4.
seznam in opredelitev kritičnosti sredstev, lastnih in najetih, ki so potrebna za delovanje storitev, in njihovih lokacij ter seznam njihovih skrbnikov in upravljavcev,
5.
ažuren načrt fizične in logične arhitekture omrežja ter fizičnih in logičnih povezav z drugimi operaterji,
6.
dokumente, ki določajo postopke za upravljanje dostopa do sredstev (omrežij, informacijskih sistemov in naprav ter spreminjanja njihovih nastavitev), in sicer postopke za dodeljevanje in odvzemanje uporabniških pravic in gesel ter postopke za nadzor nad njimi,
7.
dokumente, ki določajo postopke in ukrepe za upravljanje in posodabljanje ključnih sredstev (omrežij, informacijskih sistemov in naprav ter spreminjanja njihovih nastavitev),
8.
dokumente, ki določajo postopke in ukrepe za odkrivanje, prepoznavanje, preiskovanje, obvladovanje, obveščanje in poročanje o varnostnih incidentih, vključno z zapisi o nastalih varnostnih incidentih in oceno njihovega vpliva na izvajanje javnih komunikacijskih storitev ter izvedenih ukrepih za njihovo preprečevanje oziroma za omilitev posledic nastanka varnostnih incidentov,
9.
dokumente, ki določajo postopke, organizacijske vloge, odgovornosti in ukrepe za zagotavljanje neprekinjenosti poslovanja ter zahtevane ravni informacijske varnosti (varnost omrežij, informacijskih sistemov in podatkov) tudi v primeru katastrofalnega izpada ali ob naravnih in drugih nesrečah oziroma kadar je potrebno upravljanje z varnostnimi kopijami,
10.
kadrovsko politiko in popis konkretnih pogojev in zahtev tudi glede usposobljenosti za zaposlene na delovnih mestih, ki so pomembna za informacijsko varnost ter nemoteno izvajanje javnih komunikacijskih storitev,
11.
dokumente, ki popisujejo zahteve, ki jih morajo izpolnjevati dobavitelji in ponudniki podpore tretje ravni (izvajanje storitev zunanjih izvajalcev pri vzpostavitvi, vzdrževanju in nadgradnjah omrežij, informacijskih sistemov ter naprav) za blažitev tveganj, povezanih z dostopi do sredstev, vključno z dogovori o zaupnosti in nerazkrivanju informacij,
12.
seznam fizično varovanih komunikacijskih objektov in pasivne komunikacijske infrastrukture, ključnih za neprekinjeno delovanje storitev operaterjev ter zapise ukrepov v zvezi z varovanjem le-teh,
13.
dnevnike dogodkov, ki beležijo aktivnosti, okvare in varnostne incidente na ključnih sredstvih za vsaj šest mesecev od nastanka posameznega dogodka,
14.
dokumente, ki opisujejo postopke za preverjanje in ocenjevanje učinkovitosti SUVI in SUNP ter zapise o izvedenih korektivnih ukrepih.
(2)
Za dokumente iz prejšnjega odstavka mora operater vzpostaviti dokumentni sistem, ki zagotavlja:
1.
odobritev dokumentov, preden so objavljeni,
2.
pregledovanje in dopolnjevanje dokumentov,
3.
uporabo najnovejših verzij ustreznih dokumentov,
4.
da bodo dokumenti na razpolago tistim, ki jih potrebujejo oziroma morajo biti z njimi seznanjeni ter
5.
sledljivost in varno hrambo dokumentov.