Zakon o elektronskih komunikacijah (ZEKom-2)

Vlada lahko po predhodnem mnenju Sveta za nacionalno varnost (v nadaljnjem besedilu: SNAV) na predlog organa, pristojnega za informacijsko varnost, z odločbo določi opremo in storitve podpore tretje ravni iz petega odstavka prejšnjega člena, pri čemer določi tudi rok za izpolnitev obveznosti iz petega odstavka prejšnjega člena, ki ne sme biti daljši od petih let. Pri presoji, ali bi z opremo ali storitvami podpore tretje ravni lahko bila ogrožena nacionalna varnost, vlada upošteva, da morajo biti izpolnjena vsaj štiri izmed naslednjih meril:

močna povezava med dobaviteljem oziroma ponudnikom storitve podpore tretje ravni in vlado določene tretje države, ki se kaže npr. v povezanosti odločevalcev dobavitelja oziroma ponudnika storitve podpore tretje ravni z vlado ali oblastnimi organi tretje države,

zakonodaja tretje države na področju varnosti ali varovanja podatkov, ki omogoča vladno vmešavanje, zlasti če ni vzpostavljen zakonodajni ali demokratični sistem nadzora in ravnotežja ali če ne obstajajo sporazumi o varnosti ali varovanja podatkov med EU in določeno tretjo državo,

nepregledna lastniška struktura podjetja dobavitelja oziroma ponudnika storitve podpore tretje ravni, ki omogoča vmešavanje vlade tretje države,

sposobnost tretje države, da izvaja pritisk v zvezi s poslovnimi odločitvami dobavitelja, npr. tudi v zvezi s krajem proizvodnje opreme,

nesposobnost dobavitelja, da zagotavlja dobavo tudi v zaostrenih ekonomskih razmerah, npr. v primeru pretrganih dobavnih verig ali ekonomskih sankcij,

nezadostna splošna kakovost proizvodov in praks dobavitelja na področju kibernetske varnosti, vključno s stopnjo nadzora nad lastno dobavno verigo in morebitno neustrezno izvajanje varnostnih praks skladno s pravili stroke. Če je dobavitelj z določenimi proizvodi oziroma opremo prestal presojo evropskih certifikacijskih organov, ki izvajajo presojo z vidika varnosti oziroma kakovosti izdelkov, se šteje, da so ti proizvodi ali oprema tehnično ustrezni oziroma kakovostni, razen, če je kasneje dokazano, da takšni proizvodi ali oprema omogočajo zlonamerne dejavnosti,

netransparentnost dobavitelja oziroma ponudnika storitve podpre tretje ravni glede obdelave podatkov z njegove strani, npr. glede spoštovanje zakonodaje s področja varstva podatkov.

Strokovno gradivo za odločbo iz prejšnjega odstavka (v nadaljnjem besedilu: strokovno gradivo) pripravi organ, pristojen za informacijsko varnost, ob sodelovanju drugih pristojnih organov glede na njihove pristojnosti za področja, navedena pri merilih iz prejšnjega odstavka, ter po predhodnem posvetovanju z agencijo glede določitve primernega roka iz prejšnjega odstavka ter drugih morebitnih tehničnih vprašanj, ki nastanejo pri pripravi gradiva. Organ, pristojen za informacijsko varnost, mora v okviru priprave strokovnega gradiva pozvati tudi dobavitelja opreme oziroma ponudnika storitve podpore tretje ravni ter operaterje iz prvega odstavka prejšnjega člena, ki bi lahko bili prizadeti z odločbo iz prvega odstavka tega člena (v nadaljnjem besedilu: osebe s položajem stranke v postopku), da se v roku, ki ne sme biti krajši od 30 dni, opredelijo do osnutka strokovnega gradiva, in hkrati predložijo informacije ter podatke, ki bi lahko vplivali na odločitev iz prejšnjega odstavka. Organ, pristojen za informacijsko varnost, v zvezi z osnutkom strokovnega gradiva in morebitnimi pripombami nanj, osebo s položajem stranke v postopku lahko vabi tudi na razgovor. Če subjekt, ki ima položaj stranke v postopku, nima sedeža v Republiki Sloveniji, ga organ, pristojen za informacijsko varnost, preko svoje spletne strani predhodno pozove, da v roku, ki ne sme biti krajši od 15 dni, sporoči kontaktne podatke osebe pooblaščene za vročanje v Republiki Sloveniji. Če se oseba s položajem stranke v postopku v postavljenih rokih ne odzove na poziv iz prejšnjega stavka ali na poziv za opredelitev do strokovnega gradiva iz drugega stavka tega odstavka, to ne vpliva na odločitev iz prejšnjega odstavka.

SNAV v rednih časovnih intervalih, vendar vsaj vsaka tri leta, obravnava strokovno gradivo glede ustreznosti izdanih odločb iz prvega odstavka tega člena in morebitno potrebo po izdaji novih odločb, ki ga pripravi organ, pristojen za informacijsko varnosti na način iz prejšnjega odstavka.

Vlada po predhodnem mnenju SNAV na predlog organa, pristojnega za informacijsko varnost, spremeni, dopolni ali razveljavi prejšnje odločbe o določitvi opreme in storitev podpore tretje ravni, s katerimi bi bila lahko ogrožena nacionalna varnost ali po potrebi izda nove odločbe po prvem odstavku tega člena. Subjekti, ki imajo položaj stranke v postopku, lahko organu, pristojnemu za informacijsko varnost, podajo predlog za spremembo, dopolnitev ali razveljavitev pravnomočne odločbe iz prvega odstavka tega člena, če izkažejo, da niso več podani pogoji za njeno izdajo oziroma ker so se naknadno bistveno spremenile okoliščine za njeno izdajo.

Vlada informacijo o izdani odločbi iz prvega odstavka tega člena objavi v Uradnem listu Republike Slovenije. S to informacijo vlada posebej seznani tudi agencijo.

Zoper odločbo iz prvega odstavka tega člena je dovoljen upravni spor.