Zakon o informacijski varnosti (ZInfV)

Priglašene incidente ob njihovem reševanju vrednoti pristojni nacionalni CSIRT ali CSIRT organov državne uprave, v primeru, da imajo organi državne uprave zagotovljene lastne zmogljivosti vsaj na ravni varnostno operativnega centra, pa jih vrednoti pristojni nacionalni organ. Pri vrednotenju se lahko navedeni organi medsebojno posvetujejo. Pri tem je glede na težo incidenta:

lažji incident enkraten incident, ki ima glede na parametre določitve pomembnosti vpliva incidenta iz prvega odstavka 13. člena ali petega odstavka 14. člena ali prvega odstavka 18. člena tega zakona majhen negativen vpliv na zaupnost, celovitost in razpoložljivost omrežja, informacijskega sistema oziroma informacijskih storitev zavezanca in ne sme imeti večjega vpliva na nemoteno delovanje zavezanca ter mu povzročiti večje škode. Prav tako takšen incident ne sme imeti negativnega medpodročnega vpliva ali negativnega vpliva na delovanje informacijskih sistemov obrambe, notranje varnosti ter sistema zaščite in reševanja;

težji incident enkraten incident oziroma zaporedje večjega števila različnih incidentov v kratkem obdobju, ki ima glede na parametre določitve pomembnosti vpliva incidenta iz prvega odstavka 13. člena ali petega odstavka 14. člena ali prvega odstavka 18. člena tega zakona velik negativen vpliv na zaupnost, celovitost in razpoložljivost omrežja, informacijskega sistema oziroma informacijskih storitev zavezanca. Takšen incident ima pomemben vpliv na nemoteno delovanje zavezanca in mu povzroči večjo škodo. Ob tem ima takšen incident lahko tudi negativen medpodročni vpliv oziroma negativen vpliv na delovanje informacijskih sistemov obrambe, notranje varnosti ter sistema zaščite in reševanja, vendar ta vpliv ne dosega kriterijev iz naslednje alineje;

kritični incident tisti incident, ki ima glede na parametre določitve pomembnosti vpliva incidenta iz prvega odstavka 13. člena ali petega odstavka 14. člena ali prvega odstavka 18. člena tega zakona zelo velik negativen vpliv na zaupnost, celovitost in razpoložljivost omrežja, informacijskega sistema oziroma informacijskih storitev zavezanca. Ob tem takšen incident povzroči tudi oteženo delovanje države, še posebej informacijskih sistemov obrambe, notranje varnosti ter sistema zaščite in reševanja, oziroma delno onemogoči delovanje vsaj treh področij bistvenih storitev ali enega v celoti.

Pristojni nacionalni organ na podlagi podatkov in informacij o teži incidenta iz prejšnjega odstavka, ki mu jih sproti posredujeta nacionalni CSIRT ali CSIRT organov državne uprave, oceni ali gre hkrati tudi za kibernetski napad.

Pristojni nacionalni organ mora o kritičnem incidentu in kibernetskem napadu nemudoma obvestiti vlado in Svet za nacionalno varnost (v nadaljnjem besedilu: SNAV), lahko pa ju glede na presojo relevantnih okoliščin obvesti tudi o težjem incidentu, kadar obstaja možnost, da preraste v kritični incident.

Pristojni nacionalni organ lahko zavezancu v primeru težjega ali kritičnega incidenta ali v primeru kibernetskega napada s pisno odločbo, v nujnih primerih pa tudi ustno, določi takšne primerne in sorazmerne ukrepe, kot je potrebno za zaustavitev incidenta, ki že poteka, ali za odpravo njegovih posledic. Zavezancu se pisni odpravek ustne odločbe vroči čim prej, vendar najkasneje v roku 48 ur po ustni odločbi.

Ukrepi, izdani na podlagi prejšnjega odstavka, se določijo v takšnem obsegu in za toliko časa, kot je nujno potrebno za dosego namena iz prejšnjega odstavka. Zoper odločbo iz prejšnjega odstavka ni dovoljena pritožba, dovoljen pa je upravni spor. Tožba v upravnem sporu se vloži na sedežu upravnega sodišča Republike Slovenije. Postopek je nujen in prednosten.

Pristojni nacionalni organ o ukrepih iz četrtega odstavka tega člena obvesti vlado in SNAV.