30. člen
(postopek priglasitve pomembnih incidentov)
(1)
Bistveni in pomembni subjekti za priglasitev pomembnih incidentov iz prvega odstavka prejšnjega člena pristojni skupini CSIRT predložijo:
1.
nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, zgodnje sporočilo, iz katerega je po potrebi razvidno, ali je bil pomemben incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv;
2.
nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta, priglasitev incidenta, s katero se po potrebi posodobijo informacije iz prejšnje točke in se navede začetna ocena pomembnega incidenta, vključno z njegovo resnostjo in vplivom, ter kadar so na voljo, kazalniki ogroženosti;
3.
na zahtevo skupine CSIRT vmesno poročilo o ustreznih posodobitvah stanja;
4.
končno poročilo, in to najpozneje v enem mesecu po predložitvi priglasitve incidenta iz 2. točke tega odstavka, ki vključuje:
-
podroben opis incidenta, vključno z njegovo resnostjo in vplivom,
-
vrsto grožnje ali temeljnega vzroka, ki je verjetno povzročil incident,
-
izvedene blažilne ukrepe in take ukrepe, ki se izvajajo, in
-
po potrebi čezmejni vpliv incidenta.
5.
v primeru pomembnega incidenta, ki ob predložitvi končnega poročila iz prejšnje točke še vedno poteka, priglasitveni subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.
(2)
Ne glede na 2. točko prejšnjega odstavka mora ponudnik storitev zaupanja v zvezi s pomembnimi incidenti, ki vplivajo na zagotavljanje njegovih storitev, o tem nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, priglasi incident pristojni skupini CSIRT.
(3)
Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila iz 1. točke prvega odstavka tega člena odgovori priglasitvenemu subjektu, vključno z začetnimi povratnimi informacijami o pomembnem incidentu in na zahtevo priglasitvenega subjekta z usmeritvami ali operativnim nasvetom glede izvajanja morebitnih blažilnih ukrepov. Ob tem brez nepotrebnega odlašanja s priglasitvijo seznani pristojni nacionalni organ in ga obvešča o opravljenih aktivnostih. Na zahtevo zadevnega subjekta zagotovi dodatno tehnično podporo. Kadar obstajajo razlogi za sum, da ima incident znake kaznivega dejanja, zagotovi tudi usmeritve o poročanju o pomembnih incidentih organom kazenskega pregona.
(4)
V primeru pomembnega čezmejnega ali medsektorskega pomembnega incidenta pristojna skupina CSIRT nemudoma zagotovi pristojnemu nacionalnemu organu priglašene informacije o incidentu iz prvega odstavka tega člena. Kadar pristojni nacionalni organ ali skupina CSIRT meni, da je to potrebno, zlasti kadar pomemben incident zadeva dve ali več držav članic Evropske unije, enotna kontaktna točka na zahtevo nemudoma o pomembnem incidentu obvesti enotne kontaktne točke drugih prizadetih držav članic in agencijo ENISA. To obvestilo vključuje vrsto informacij, prejetih v skladu s prvim odstavkom tega člena. Pri tem enotna kontaktna točka zaščiti varnost in poslovne interese zavezanca ter zaupnost predloženih informacij, ki jih ta zagotovi v svoji priglasitvi.
(5)
Enotna kontaktna točka vsake tri mesece predloži zbirno poročilo agenciji ENISA, vključno z anonimiziranimi in zbirnimi podatki o incidentih, pomembnih kibernetskih grožnjah in skorajšnjih incidentih, priglašenih v skladu s prvim odstavkom tega člena in 35. členom tega zakona.
(6)
Kadar je ozaveščenost javnosti potrebna za preprečitev pomembnega incidenta ali obravnavo pomembnega incidenta, ki še poteka, ali kadar je razkritje pomembnega incidenta kako drugače v javnem interesu, pristojni nacionalni organ po posvetovanju z zadevnim zavezancem obvesti javnost o pomembnem incidentu ali zahteva, da to stori zavezanec. Predlog za takšno obveščanje lahko pristojnemu nacionalnemu organu poda tudi pristojna skupina CSIRT.
(7)
Kadar je pristojni nacionalni organ prek enotne kontaktne točke obveščen o pomembnem čezmejnem ali medsektorsko pomembnem incidentu, ki ima vpliv tudi v Republiki Sloveniji, lahko po posvetovanju s subjektom, ki je priglasil incident, obvesti javnost o pomembnem incidentu ali zahteva, da to stori zavezanec, tudi kadar je bil incident priglašen v drugi državi članici Evropske unije.
(8)
Pristojni nacionalni organ zagotovi pristojnemu nacionalnemu organu iz zakona, ki ureja kritično infrastrukturo, in zadevnemu nosilcu sektorja kritične infrastrukture iz navedenega zakona informacije o pomembnih incidentih, incidentih, kibernetskih grožnjah in skorajšnjih incidentih, ki so jih v skladu prvim odstavkom 29. člena tega zakona ali pri prostovoljni priglasitvi iz 35. člena tega zakona priglasili bistveni subjekti, ki so identificirani kot kritični subjekti na podlagi predpisov, ki urejajo kritično infrastrukturo.
(9)
Pristojna skupina CSIRT o pomembnem incidentu nemudoma obvesti pristojni nacionalni organ. Pristojni nacionalni organ o incidentu, ki bi lahko imel večji medsektorski vpliv oziroma bi lahko ob daljšem trajanju poslabšal stabilnost nacionalne varnosti Republike Slovenije, obvesti Nacionalni center za krizno upravljanje, ustanovljen v skladu z zakonom, ki ureja Vlado Republike Slovenije, in osrednji organ za odzivanje na hibridne grožnje, ob tem lahko obvesti tudi druge pristojne organe, s katerimi sodeluje na nacionalni ravni, v skladu z 18. členom tega zakona.
(10)
Priglasitve pomembnih incidentov in medsebojno sodelovanje iz tega člena se izvajajo tudi po namenski digitalni platformi, ki jo vzpostavi pristojni nacionalni organ in po kateri poteka tudi izmenjava informacij med sodelujočimi organi na podlagi drugega odstavka 18. člena tega zakona. Sodelujoči organi imajo dostop do informacij o priglasitvah subjektov, ki so povezane z njihovim področjem dela.
(11)
V postopku priglašanja incidentov iz desetega odstavka prejšnjega člena se smiselno uporablja prvi odstavek tega člena.
(12)
Pristojni nacionalni organ za namen izvajanja nalog iz tega zakona vodi tudi:
-
skupen seznam pomembnih incidentov, ki vsebuje podatke iz končnih poročil o incidentih iz tega člena, in
-
seznam omrežnih in informacijskih sistemov, delov omrežja in digitalnih oziroma elektronskih komunikacijskih storitev zavezancev, nujnih za nemoteno delovanje države ali za zagotavljanje nacionalne varnosti, ki je varovani podatek pristojnega nacionalnega organa.
(13)
Za namen obravnavanja priglašenih incidentov, izvajanja blažilnih ukrepov, zagotavljanja varnosti omrežja in informacij ter preprečevanja nezakonitih ali zlonamernih dejanj, ki ogrožajo dostopnost, avtentičnost, celovitost in zaupnost informacijskih sistemov, delov omrežja ali podatkov bistvenih in pomembnih subjektov, smeta pristojna skupina CSIRT in pristojni nacionalni organ zbirati in obdelovati naslednje podatke:
-
ime in priimek osebe,
-
EMŠO ali rojstni datum,
-
elektronski naslov osebe,
-
telefonska številka osebe,
-
IP naslov (statični ali dinamični),
-
MAC naslov ali podoben identifikator naprave,
-
uporabniško ime in geslo,
-
imena aliasov, psevdonimnih identitet ali drugih vzdevkov, ki jih osebe uporabljajo v spletu
-
metapodatke datotek (ki lahko vsebujejo npr. podatke o avtorju datoteke, poteh datotek, časovnih conah, jezikovnih nastavitev in drugih podatkov) in
-
druge podatke, ki lahko pripomorejo k obravnavi priglašenih incidentov (npr. nize uporabniških agentov, nameščene pisave in vtičnike, identifikatorje piškotkov, naslove kripto denarnic, ipd.).
Tako pridobljeni osebni podatki se hranijo največ tri leta po preteku koledarskega leta, v katerem so bili pridobljeni, po preteku tega roka pa se izbrišejo oziroma uničijo.
(14)
Za izvajanje nalog iz prejšnjega odstavka se smeta seznama iz dvanajstega odstavka tega člena povezovati s seznamom iz četrtega odstavka 8. člena tega zakona.