5. člen
(pomen izrazov)
Izrazi, uporabljeni v tem zakonu, pomenijo:
1.
centralni državni informacijsko-komunikacijski sistem je osrednje državno informacijsko-komunikacijsko omrežje ali sistem v upravljanju ministrstva, pristojnega za upravljanje informacijsko-komunikacijskih sistemov, in je namenjeno povezovanju lokalnih omrežij organov državne uprave in drugih subjektov za namene izvrševanja njihovih zakonskih obveznosti ter dostopa do skupnih informacijskih rešitev in informacijsko-komunikacijske infrastrukture na podlagi centraliziranega upravljanja in nadzora;
2.
CSIRT je skupina, ki se odziva na incidente na področju računalniške varnosti, sprejema prijave o kršitvah varnosti, izvaja analize in pomaga priglasiteljem pri obvladovanju incidentov;
3.
digitalna storitev je katera koli storitev informacijske družbe ali katera koli storitev, ki se običajno opravi odplačno, na daljavo, elektronsko in na posamezno zahtevo prejemnika storitev;
4.
dnevniški zapisi so strukturirani ali nestrukturirani zapisi dogodkov v omrežnih in informacijskih sistemih, ki omogočajo analizo in rekonstrukcijo incidentov ali skorajšnjih incidentov;
5.
elektronska komunikacijska storitev je storitev, ki se navadno izvaja za plačilo prek elektronskih komunikacijskih omrežij, razen storitev, s katerimi se zagotavljajo vsebine ali se izvaja uredniški nadzor nad vsebinami, ki se pošiljajo po elektronskih komunikacijskih omrežjih in z elektronskimi komunikacijskimi storitvami, ter zajema naslednje storitve:
-
storitev dostopa do interneta: ki je javno dostopna elektronska komunikacijska storitev, ki omogoča dostop do interneta in s tem povezljivost s tako rekoč vsemi končnimi točkami interneta, ne glede na uporabljeno omrežno tehnologijo in terminalsko opremo,
-
medosebno komunikacijsko storitev in
-
storitve, ki so v celoti ali pretežno sestavljene iz prenosa signalov, kot so storitve prenosa, ki se uporabljajo za opravljanje storitev stroj-stroj in za radiodifuzijo;
6.
Evropska organizacijska mreža za povezovanje v kibernetski krizi (v nadaljnjem besedilu: mreža EU-CyCLONe) je skupnost, ki podpira usklajeno obvladovanje kibernetskih incidentov velikih razsežnosti in kriz na operativni ravni in zagotavlja redno izmenjavo relevantnih informacij med državami članicami Evropske unije ter institucijami, organi, uradi in agencijami Evropske unije ter je sestavljena iz predstavnikov organov članic za obvladovanje kibernetskih kriz in v nekaterih primerih tudi predstavnikov Evropske komisije, ki sodeluje kot opazovalka;
7.
evropski certifikat kibernetske varnosti je dokument, ki potrjuje, da je bil zadevni proizvod IKT, storitev IKT ali postopek IKT ocenjen glede skladnosti s specifičnimi varnostnimi zahtevami, določenimi v evropski certifikacijski shemi za kibernetsko varnost;
8.
finančna spodbuda je izvajanje financiranja v obliki nepovratnih sredstev, kritje stroškov za dobavo blaga ali storitev oziroma sofinanciranje stroškov za dobavo blaga ali storitev za zvišanje ravni kibernetske varnosti;
9.
incident je dogodek, ki je ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih omrežni in informacijski sistemi zagotavljajo ali so prek njih dostopni;
10.
informacijska varnost pomeni zaščito in varovanje omrežnih in informacijskih sistemov ter pripadajočih podatkov pred nedovoljenim dostopom, uporabo, razkritjem, motenjem, spreminjanjem ali uničenjem, in sicer za zagotavljanje zaupnosti, avtentičnosti, celovitosti in razpoložljivosti navedenih sistemov in podatkov;
11.
inšpekcijski varnostni pregled je postopek, v katerem inšpektor oziroma inšpektorica (v nadaljnjem besedilu: inšpektor) pri zavezancu v postopku inšpekcijskega nadzora izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih ter preizkus učinkovitosti varnostnih ukrepov oziroma mehanizmov in izpostavljenosti kibernetskim grožnjam, poleg tega preveri ustreznost učinkovitega zaznavanja in obravnavanja kibernetskih incidentov;
12.
javno elektronsko komunikacijsko omrežje je elektronsko komunikacijsko omrežje, ki se v celoti ali pretežno uporablja za zagotavljanje javno dostopnih elektronskih komunikacijskih storitev, ki podpirajo prenos informacij med omrežnimi priključnimi točkami;
13.
kibernetska grožnja je vsaka potencialna okoliščina, dogodek ali dejanje, ki bi lahko poškodovalo, prekinilo ali drugače škodljivo vplivalo na omrežja in informacijske sisteme, uporabnike takih sistemov in druge osebe;
14.
kibernetska higiena je dobra praksa ohranjanja varnosti in zaščite informacij v digitalnem okolju. To vključuje ukrepe in postopke, namenjene zaščiti računalniških sistemov, omrežij in podatkov pred varnostnimi grožnjami;
15.
kibernetski incident velikih razsežnosti je incident, ki povzroči motnjo, ki presega zmožnost Republike Slovenije za odziv nanj, ali incident, ki pomembno vpliva na vsaj dve državi članici Evropske unije;
16.
kibernetska obramba je celota ukrepov, dejavnosti in zmogljivosti državnih organov, organov lokalne samouprave, gospodarskih družb, zavodov in drugih organizacij ter državljanov in državljank, ki so potrebni za zaščito in varovanje kibernetskega prostora pred kibernetskimi grožnjami in incidenti;
17.
kibernetski prostor je globalno informacijsko okolje, ki ga tvorijo informacijski sistemi in omrežja, podatki, digitalne naprave in njihovi uporabniki;
18.
kibernetska varnost so dejavnosti, ki so potrebne za zaščito omrežnih in informacijskih sistemov, uporabnikov takih sistemov in drugih oseb, na katere vplivajo kibernetske grožnje;
19.
ključni deli nacionalnega varnostnega sistema so sistemi obrambe, notranje varnosti, varstva pred naravnimi in drugimi nesrečami in podsistemi sistema nacionalne varnosti, ki vključuje tudi zunanjepolitične, gospodarske, informacijske in druge dejavnosti, ki neposredno vplivajo na nacionalno varnost;
20.
ključni informacijski sistemi so vsi omrežni in informacijski sistemi s pripadajočimi podatki zavezanca, brez katerih ta ne more neprekinjeno izvajati storitev iz Priloge 1 ali 2 tega zakona, katerih motnje bi lahko pomembno negativno vplivale na ključne družbene ali gospodarske dejavnosti;
21.
kriza je resna grožnja temeljnim vrednotam in družbenim normam, za katero so značilni časovni pritisk in negotove okoliščine, ki zahtevajo hitro odločanje in izvajanje ukrepov, ki odstopajo od običajnih in predpisanih institucionalnih poti ter zahtevajo uporabo mehanizmov kriznega upravljanja;
22.
krmilni informacijski sistemi so informacijski sistemi, ki omogočajo nadzor, regulacijo, avtomatizacijo ali optimizacijo delovanja ključnih industrijskih, tehnoloških ali infrastrukturnih procesov subjekta;
23.
kvalificirana storitev zaupanja je storitev zaupanja, ki izpolnjuje zadevne zahteve iz zakona, ki ureja elektronsko identifikacijo in storitve zaupanja;
24.
medsektorske skupnosti zavezancev so skupnosti zavezancev, ki presegajo delovanje sektorskih skupnosti zavezancev in vključujejo sodelovanje med njimi z namenom združevanja znanja in izkušenj, da bi rešili izzive, ki presegajo okvire posameznih sektorjev;
25.
mreža skupin CSIRT je skupnost, ki prispeva h krepitvi zaupanja ter spodbuja hitro in učinkovito operativno sodelovanje med državami članicami Evropske unije, v kateri sodelujejo skupine CSIRT iz držav članic Evropske unije, skupina za odzivanje na računalniške grožnje za evropske institucije, organe in agencije Unije (CERT-EU) in Evropska komisija kot opazovalka;
26.
nadzorni informacijski sistemi so informacijski sistemi, v katerih se izvajata upravljanje in nadzor delovanja omrežij in informacijskih sistemov subjekta, vključno z zaznavanjem varnostnih dogodkov, anomalij in groženj ter odzivanjem nanje;
27.
notranji revizor oziroma notranja revizorka (v nadaljnjem besedilu: notranji revizor) je preizkušeni notranji revizor oziroma preizkušena notranja revizorka (v nadaljnjem besedilu: preizkušeni notranji revizor), ki je pridobil strokovni naziv pri Slovenskem inštitutu za revizijo in je vpisan v njegov register aktivnih preizkušenih notranjih revizorjev ali oseba, ki je pridobila naziv državni notranji revizor ali preizkušeni državni notranji revizor;
28.
obvladovanje incidentov so vsa dejanja in postopki, namenjeni preprečevanju, odkrivanju, analizi in zajezitvi incidentov ali odzivanju nanje ter okrevanju po njih;
29.
ogrožanje vitalnih interesov Republike Slovenije je ogrožanje njene ustavne ureditve, neodvisnosti, ozemeljske celovitosti, obrambne sposobnosti in javne varnosti;
30.
omrežje za dostavo vsebin je mreža geografsko porazdeljenih strežnikov za zagotavljanje visoke razpoložljivosti, dostopnosti ali hitre dostave digitalnih vsebin in storitev uporabnikom interneta v imenu ponudnikov vsebin in storitev;
31.
omrežni in informacijski sistem:
-
je elektronsko komunikacijsko omrežje, kot je opredeljeno v zakonu, ki ureja elektronske komunikacije,
-
je vsaka naprava ali skupina med seboj povezanih ali sorodnih naprav, od katerih ena ali več na podlagi programa opravlja samodejno obdelavo digitalnih podatkov, ali
-
zajema digitalne podatke, ki jih elementi iz prve in druge alineje te točke shranjujejo, obdelujejo, pridobivajo ali prenašajo za namene njihovega delovanja, uporabe, varovanja in vzdrževanja;
32.
organ za ugotavljanje skladnosti za potrebe tega zakona je organ za ugotavljanje skladnosti iz zakona, ki ureja tehnične zahteve za proizvode in ugotavljanje skladnosti, ki izpolnjuje dodatne zahteve iz priloge Uredbe 2019/881/EU;
33.
platforma za storitve družbenega mreženja je platforma, ki končnim uporabnikom omogoča, da se povezujejo, si izmenjujejo vsebine, se spoznavajo in komunicirajo med seboj prek več naprav ter zlasti s klepeti, objavami videoposnetki in sporočili;
34.
pomembna kibernetska grožnja je kibernetska grožnja, za katero se glede na njene tehnične značilnosti lahko domneva, da bi lahko resno negativno vplivala na omrežne in informacijske sisteme subjekta ali na uporabnike njegovih storitev, tako da bi povzročila znatno premoženjsko ali nepremoženjsko škodo;
35.
ponudnik kvalificiranih storitev zaupanja je ponudnik storitev zaupanja, ki zagotavlja eno ali več storitev zaupanja in mu nadzorni organ dodeli kvalificirani status;
36.
ponudnik storitev sistema domenskih imen (v nadaljnjem besedilu: ponudnik storitev DNS) je subjekt, ki opravlja:
-
javno dostopne storitve rekurzivnega razreševanja domenskih imen za končne uporabnike interneta ali
-
storitve avtoritativnega razreševanja domenskih imen za uporabo s strani tretjih oseb, razen za korenske imenske strežnike.
37.
ponudnik storitev zaupanja je fizična ali pravna oseba, ki zagotavlja eno ali več storitev zaupanja, kot ponudnik kvalificiranih ali nekvalificiranih storitev zaupanja;
38.
ponudnik upravljanih storitev je subjekt, ki opravlja storitve v zvezi z namestitvijo, upravljanjem, delovanjem ali vzdrževanjem proizvodov IKT, omrežij, infrastrukture, aplikacij ali katerih koli drugih omrežnih in informacijskih sistemov, in sicer s pomočjo ali aktivnim upravljanjem, ki se izvaja bodisi v prostorih strank bodisi na daljavo;
39.
ponudnik upravljanih varnostnih storitev je ponudnik upravljanih storitev, ki izvaja ali opravlja pomoč za dejavnosti, povezane z obvladovanjem tveganj za kibernetsko varnost;
40.
postopek IKT je sklop dejavnosti, ki se izvaja za zasnovo, razvoj, dobavo ali vzdrževanje proizvoda ali storitve IKT;
41.
povezani subjekt je subjekt, ki se povezuje s centralnim državnim informacijsko-komunikacijskim sistemom;
42.
proizvod IKT je element ali skupina elementov omrežja ali informacijskega sistema;
43.
predstavnik iz V. poglavja tega zakona je fizična ali pravna oseba s sedežem v državi članici Evropske unije, pri čemer je ta oseba izrecno imenovana, da deluje v imenu ponudnika storitev DNS, registra vrhnjih domenskih (v nadaljnjem besedilu: TLD) imen, subjekta, ki opravlja storitve registracije domenskih imen, ponudnika storitev računalništva v oblaku, ponudnika storitev podatkovnega centra, ponudnika omrežja za dostavo vsebine, ponudnika upravljanih storitev, ponudnika upravljanih varnostnih storitev ali ponudnika spletne tržnice, spletnega iskalnika ali platforme za storitve družbenega mreženja, ki nima sedeža v državi članici Evropske unije, s katerim lahko pristojni organ ali skupina CSIRT vzpostavi stik namesto z zadevnim subjektom v zvezi z obveznostmi zadevnega subjekta na podlagi tega zakona;
44.
ranljivost je pomanjkljivost, dovzetnost ali napaka proizvoda ali storitve IKT, ki jo kibernetska grožnja lahko izkoristi;
45.
raziskovalna organizacija je, ne glede na zakon, ki ureja znanstvenoraziskovalno dejavnost, subjekt, ki poglavitni del svojih dejavnosti namenja izvajanju uporabnih raziskav ali eksperimentalnemu razvoju z namenom uporabe rezultatov teh raziskav v komercialne namene, vendar ne vključuje akademskih in drugih izobraževalnih ustanov;
46.
register vrhnjih domenskih imen (v nadaljnjem besedilu: register TLD imen) je subjekt, ki mu je bila dodeljena določena vrhnja domena in je odgovoren za njeno upravljanje, vključno z registracijo domenskih imen pod vrhnjo domeno in tehničnim upravljanjem vrhnje domene, vključno z upravljanjem njenih imenskih strežnikov, vzdrževanjem njenih podatkovnih zbirk in porazdelitvijo datotek območij vrhnje domene po imenskih strežnikih, ne glede na to, ali katero od teh dejavnosti subjekt izvaja sam ali jo izvajajo zunanji izvajalci, izključeni pa so primeri, v katerih register TLD imen uporablja vrhnja domenska imena zgolj za lastne potrebe;
47.
revizijska sled je nespremenljiva sled oziroma niz podatkov o dogodku, ki se je zgodil v informacijskem sistemu ali napravi, z natančnim časovnim zapisom;
48.
revizor informacijskih sistemov je preizkušeni revizor informacijskih sistemov z ustreznim revizijskim znanjem, ki je strokovni naziv pridobil pri Slovenskem inštitutu za revizijo in je vpisan v njegov register aktivnih preizkušenih revizorjev informacijskih sistemov;
49.
sektorske skupnosti zavezancev so skupine zavezancev, ki delujejo v istem sektorju in se osredotočajo na posamični sektor z namenom izmenjave informacij, sodelovanja in reševanja skupnih izzivov;
50.
semaforski protokol je skupek pravil in dogovorov o omejitvah v zvezi z nadaljnjim širjenjem prejetih ali deljenih informacij, kot ga uporabljajo pri izmenjavi informacij skupine CSIRT;
51.
sistem domenskih imen (v nadaljnjem besedilu: DNS) je hierarhično porazdeljen sistem poimenovanja, ki omogoča identifikacijo internetnih storitev in virov ter napravam končnih uporabnikov omogoča, da z uporabo internetnih storitev usmerjanja in povezljivosti dostopajo do teh storitev in virov;
52.
skorajšnji incident je dogodek, ki bi lahko ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih omrežni in informacijski sistemi zagotavljajo ali so prek njih dostopni, vendar se je uspešno preprečilo, da bi se ta dogodek uresničil, ali se ni uresničil;
53.
skrbnik informacijsko-komunikacijskega sistema je oseba, odgovorna za upravljanje, vzdrževanje in zaščito informacijskega sistema v organizaciji;
54.
Skupina za sodelovanje je skupina, ki podpira in olajšuje strateško sodelovanje in izmenjavo informacij med državami članicami Evropske unije ter krepi zaupanje med njimi in jo sestavljajo predstavniki držav članic Evropske unije, Evropske komisije in Agencije Evropske unije za kibernetsko varnost (v nadaljnjem besedilu: agencija ENISA) ter Evropske službe za zunanje delovanje kot opazovalke;
55.
spletni iskalnik je digitalna storitev, ki uporabnikom omogoča vnos poizvedb za izvedbo iskanja po vseh spletiščih ali vseh spletiščih v določenem jeziku, na podlagi poizvedbe na katero koli temo v obliki ključne besede, glasovne zahteve, fraze ali drugega vnosa, poda pa rezultate v katerem koli formatu z informacijami o zahtevani vsebini;
56.
spletna tržnica je storitev, ki uporablja programsko opremo, vključno s spletno stranjo, delom spletne strani ali aplikacije, ki jo upravlja trgovec ali nekdo v njegovem imenu, in ki potrošnikom omogoča, da sklepajo pogodbe na daljavo z drugimi trgovci ali potrošniki;
57.
standard je tehnična specifikacija, ki jo je sprejel priznani organ za standardizacijo za večkratno ali stalno uporabo, s katero ni obvezna skladnost in spada v eno izmed naslednjih kategorij:
-
mednarodni standard pomeni standard, ki ga je sprejel mednarodni organ za standardizacijo,
-
evropski standard pomeni standard, ki ga je sprejela evropska organizacija za standardizacijo,
-
harmonizirani standard pomeni evropski standard, sprejet na podlagi zahteve Evropske komisije za uporabo usklajevalne zakonodaje Evropske unije,
-
nacionalni standard pomeni standard, ki ga je sprejel nacionalni organ za standardizacijo;
58.
stičišče omrežij je omrežna zmogljivost, ki omogoča medsebojno povezavo več kot dveh neodvisnih omrežij (avtonomnih sistemov), predvsem zaradi izmenjave internetnega prometa, ter ki zagotavlja medsebojno povezavo zgolj avtonomnim sistemom, ne zahteva, da izmenjava internetnega prometa med katerima koli sodelujočima avtonomnima sistemoma prehaja prek tretjega avtonomnega sistema, in ne spreminja takšnega prometa ali kako drugače posega vanj;
59.
storitev IKT je storitev, ki v celoti ali pretežno zajema prenos, shranjevanje, priklic ali obdelavo informacij prek omrežij in informacijskih sistemov;
60.
storitev podatkovnega centra je storitev, ki vključuje strukture ali skupine struktur, namenjene centralizirani namestitvi, medsebojnemu povezovanju in delovanju opreme za informacijsko tehnologijo in omrežne opreme, za storitve shranjevanja, obdelave in prenosa podatkov, skupaj z vsemi zmogljivostmi in infrastrukturami za zagotavljanje nemotene dobave električne energije in zagotavljanje zahtevanih okoljskih razmer v podatkovnem centru;
61.
storitev v oblaku je digitalna storitev, ki omogoča upravljanje na zahtevo in širok oddaljeni dostop do prožnega in po obsegu prilagodljivega nabora deljivih računalniških virov, tudi kadar so ti viri porazdeljeni na več lokacijah;
62.
storitev zaupanja je elektronska storitev, ki se praviloma opravlja za plačilo in vključuje:
-
ustvarjanje, preverjanje in potrjevanje veljavnosti elektronskih podpisov, elektronskih žigov ali elektronskih časovnih žigov, storitev elektronske priporočene dostave in potrdil, povezanih s temi storitvami, ali
-
ustvarjanje, preverjanje in potrjevanje veljavnosti potrdil za avtentikacijo spletišč ali
-
hrambo elektronskih podpisov, žigov ali potrdil, povezanih s temi storitvami;
63.
subjekt, ki opravlja storitve registracije domenskih imen, je registrar ali zastopnik, ki deluje v imenu registrarja, kot je ponudnik storitev registracije za zasebnost ali pooblaščenec ali preprodajalec;
64.
subjekt je oseba javnega ali zasebnega prava;
65.
subjekti javne uprave so subjekti javne uprave na državni in lokalni ravni, ki so ustanovljeni z javnopravnim aktom, razen pravosodnih organov, državnega tožilstva, Ustavnega sodišča Republike Slovenije, Državnega zbora Republike Slovenije, Državnega sveta Republike Slovenije in Banke Slovenije;
66.
subjekti javne uprave na državni ravni so ministrstva, organi v njihovi sestavi, vladne službe in upravne enote ter tisti javni infrastrukturni zavodi, ki so ustanovljeni v skladu z zakonom, ki ureja znanstvenoraziskovalno in inovacijsko dejavnost. Mednje spadajo tudi drugi subjekti javne uprave iz Priloge 3, ki je kot Priloga sestavni del tega zakona;
67.
subjekti javne uprave na lokalni ravni so občine;
68.
tehnična specifikacija je tehnična specifikacija za informacijsko-komunikacijsko tehnologijo;
69.
tretja država je država, ki ni članica Evropske unije, ali država, ki ni podpisnica Sporazuma o ustanovitvi Evropskega gospodarskega prostora (UL L št. 1 z dne 3. 1. 1994, str. 3);
70.
tveganje je možnost izgube ali motnje zaradi incidenta ter je izraženo kot kombinacija razsežnosti izgube ali motnje in verjetnosti, da bi se incident zgodil;
71.
varni kraj je lokacija, odporna proti okoljskim vplivom, podnebnim spremembam in drugim tveganjem, ki bi lahko ogrozili varno obravnavo incidentov ter zaščito informacij in sistemskih virov;
72.
varnost omrežnih in informacijskih sistemov je zmožnost omrežnih in informacijskih sistemov, da na določeni ravni zaupanja preprečijo vsak dogodek, ki lahko ogrozi razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih ti omrežni in informacijski sistemi zagotavljajo ali so prek njih dostopni;
73.
varnostno-operativni center organa državne uprave je notranja organizacijska enota posameznega organa državne uprave, ki se odziva na incidente na področju informacijske varnosti in izpolnjuje pogoje iz tega zakona;
74.
varovani podatek pristojnega nacionalnega organa je podatek o ranljivostih ali stanju informacijskih sistemov in omrežij zavezancev ter njihovi identiteti, ki ni tajen ali poslovna skrivnost, njegovo razkritje nepoklicanim osebam pa bi lahko pristojnemu nacionalnemu organu povzročilo motnje pri delovanju in izvajanju nalog oziroma bi lahko škodovalo zavezancem.