9. člen
(strategija kibernetske varnosti)
(1)
Vlada sprejme strategijo kibernetske varnosti (v nadaljnjem besedilu: strategija), ki je okvir za izvedbo ukrepov za vzpostavitev učinkovitega nacionalnega sistema zagotavljanja informacijske oziroma kibernetske varnosti. V strategijo se vključijo:
1.
cilji in prednostne naloge strategije;
2.
okvir upravljanja za dosego ciljev in izvedbo prednostnih nalog iz prejšnje točke, vključno s politikami iz drugega odstavka tega člena;
3.
okvir upravljanja, ki opredeljuje vloge in odgovornosti ustreznih zainteresiranih deležnikov kibernetske varnosti na državni ravni, podpira sodelovanje in usklajevanje na državni ravni med pristojnim nacionalnim organom, enotno kontaktno točko in skupinami CSIRT iz tega zakona ter podpira usklajevanje in sodelovanje med temi organi in pristojnimi organi na podlagi področnih pravnih aktov Evropske unije oziroma področne zakonodaje, ki te akte prenaša v slovenski pravni red;
4.
mehanizem za opredelitev ustreznih virov in oceno tveganj;
5.
opredelitev ukrepov za zagotovitev pripravljenosti na odzivanje na incidente in okrevanje po njih, vključno s sodelovanjem med javnim in zasebnim sektorjem;
6.
seznam organov, organizacij in deležnikov, vključenih v izvajanje strategije;
7.
okvir politike za okrepljeno usklajevanje med pristojnim nacionalnim organom iz tega zakona in pristojnim nacionalnim organom iz zakona, ki ureja kritično infrastrukturo, za namene izmenjave informacij o tveganjih, kibernetskih grožnjah in incidentih ter o nekibernetskih tveganjih, grožnjah in incidentih ter izvajanju nadzornih nalog;
8.
okvir politike za okrepljeno usklajevanje med pristojnim nacionalnim organom iz tega zakona in organom, ki je po odločitvi vlade osrednji organ za spremljanje in koordinacijo odzivanja na hibridne grožnje v Republiki Sloveniji (v nadaljnjem besedilu: osrednji organ za odzivanje na hibridne grožnje), za namene izmenjave informacij o tveganjih, kibernetskih grožnjah in incidentih ter o nekibernetskih tveganjih, grožnjah in incidentih, ki bi nakazovali hibridno delovanje;
9.
načrt, vključno s potrebnimi ukrepi, za povečanje splošne ozaveščenosti državljanov o kibernetski varnosti.
(2)
Strategija vključuje naslednje politike:
1.
o obravnavanju kibernetske varnosti v dobavni verigi proizvodov in storitev IKT, ki jih subjekti uporabljajo za opravljanje svojih storitev;
2.
o vključitvi in specifikaciji zahtev za proizvode in storitve IKT pri javnem naročanju, povezanih s kibernetsko varnostjo, vključno v zvezi s certificiranjem za kibernetsko varnost, šifriranjem in uporabo odprtokodnih proizvodov za kibernetsko varnost;
3.
o obvladovanju ranljivosti, vključno s spodbujanjem in omogočanjem usklajenega razkrivanja ranljivosti na podlagi prvega odstavka 17. člena tega zakona;
4.
povezane z ohranjanjem splošne razpoložljivosti, celovitosti in zaupnosti javnega jedra odprtega interneta, vključno s kibernetsko varnostjo podmorskih komunikacijskih kablov;
5.
o spodbujanju razvoja in vključevanja ustreznih naprednih tehnologij za izvajanje najsodobnejših ukrepov za obvladovanje tveganj na področju kibernetske varnosti;
6.
o spodbujanju in razvoju izobraževanja in usposabljanja na področju kibernetske varnosti, spretnosti na področju kibernetske varnosti, okrepitve ozaveščanja, raziskovalnih in razvojnih pobud na področju kibernetske varnosti ter smernic o dobrih praksah in nadzoru kibernetske higiene, namenjenih državljanom, deležnikom in subjektom;
7.
o podpiranju akademskih in raziskovalnih institucij pri razvoju in izboljševanju orodij kibernetske varnosti in varne omrežne infrastrukture ter spodbujanju njihovega uvajanja;
8.
o vključevanju ustreznih postopkov in primernih orodij za podpiranje prostovoljne izmenjave informacij o kibernetski varnosti med subjekti v skladu s pravom Evropske unije;
9.
o krepitvi kibernetske odpornosti in osnovne kibernetske higiene malih in srednjih podjetij, zlasti tistih, ki so izključena s področja uporabe tega zakona, z zagotavljanjem lahko dostopnih smernic in pomoči za njihove posebne potrebe;
10.
o spodbujanju aktivne kibernetske zaščite.
(3)
Pristojni nacionalni organ v treh mesecih od sprejetja strategije iz tega člena o tem obvesti Evropsko komisijo. Pri tem lahko izključi informacije iz 5., 7. in 8. točke prvega odstavka, ki so pomembne za nacionalno varnost.
(4)
Pristojni nacionalni organ sprotno in redno vsaj vsakih pet let oceni strategijo na podlagi ključnih kazalnikov uspešnosti, ki izhajajo iz doseganja ciljev in prednostnih nalog strategije.