Uredba o varstvu dokumentarnega in arhivskega gradiva

Ponudnik storitev mora podatke varovati kot dober strokovnjak ter jih fizično in elektronsko varovati v skladu z uveljavljenimi pravili stroke, da se onemogoči fizični ali elektronski vdor oziroma nepooblaščen dostop do njih.

Ponudnikovi prostori in infrastruktura morajo biti v skladu s pravili stroke ustrezno elektronsko in fizično varovani pred nepooblaščenimi vdori.

Ponudnik storitev mora zagotavljati ustrezno fizično varovanje svoje strojne opreme in nadzor nad fizičnim dostopom do svojega informacijskega sistema za hrambo. Ponudnik mora sproti evidentirati vse fizične dostope do tega informacijskega sistema. Za fizični dostop do informacijskega sistema ponudnika za hrambo se zahteva sočasna prisotnost vsaj dveh oseb, ki imata dovoljenje za dostop do tega sistema.

Ponudnikova informacijsko-komunikacijska infrastruktura, ki je povezana v drugo informacijsko-telekomunikacijsko omrežje, mora biti varovana z zanesljivimi varnostnimi mehanizmi (sistem za preprečevanje in odkrivanje vdorov, požarna pregrada in podobno), ki preprečujejo nedovoljene dostope prek tega omrežja in omejujejo dostop samo po protokolih, nujno potrebnih za hrambo podatkov, vsi drugi protokoli pa morajo biti onemogočeni. Če je sistem zasnovan tako, da obstaja komunikacija prek drugega omrežja do ponudnikovega sistema za hrambo, mora biti omogočeno, da na zahtevo naročnika poteka po varni (npr. šifrirani) poti.

Informacijski sistem ponudnika za hrambo mora biti sestavljen zgolj iz strojne in programske opreme, ki je potrebna za hrambo, ter imeti vgrajene zadostne varnostne mehanizme, ki preprečujejo, da ga zaposleni ne morejo zlorabiti, in omogočajo jasno ločitev nalog na področja. Varnostni ukrepi informacijskega sistema morajo zagotavljati nadzorovan dostop do podatkov in sledljivost dostopa do ravni posameznika, in sicer za vse posege ter funkcije, ki vplivajo na ponudnikovo opravljanje storitev hrambe.

Podatki ponudnika, ki vplivajo na zanesljivost in varnost delovanja ponudnika, ne smejo zapustiti sistema na nenadzorovani način, ki lahko ogrozi delovanje v skladu z zakonom, to uredbo, enotnimi tehnološkimi zahtevami in notranjimi pravili ponudnika. Po poteku uporabe morajo biti nosilci podatkov odstranjeni ter nato varno in zanesljivo uničeni.

Ponudnik storitev mora opravljati redne varnostne preglede svoje infrastrukture vsak delovni dan. Če zagotavlja svoje storitve 24 ur na dan 365 dni na leto, pa vsak dan. Ponudnik mora evidentirati vse svoje ugotovitve in posege. Pri tem mora preveriti, ali je njegova infrastruktura varna, ali vsi varnostni sistemi nemoteno delujejo in ali je v vmesnem času prišlo do vdora ali poskusa vdora nepooblaščenih oseb do ponudnikove opreme ali podatkov. Redni varnostni pregledi se evidentirajo v dnevniku nadzorov, ki ga vodi ponudnik.

Z občutljivimi elementi ponudnikovega informacijskega sistema (sistemi za hrambo podatkov, sistemi za elektronsko varovanje podatkov, sistemi za nadzor nad dostopom ipd.) za hrambo morata upravljati vsaj dva ponudnikova zaposlena hkrati. V ta namen mora ponudnik zagotoviti, da nihče ne more imeti sam vseh potrebnih podatkov in orodij, s katerimi je mogoč dostop do teh elementov.

Ponudnik mora poleg na glavni lokaciji zagotoviti tudi varno shranjevanje najmanj dveh kopij podatkov na dveh geografsko oddaljenih lokacijah tako, da se prepreči izguba podatkov ali da bi jih uporabile nepooblaščene osebe. Ponudnik mora evidentirati podatke o hrambi kopij.

Osebe, ki so pri ponudniku redno zaposlene, ne smejo poleg svojega dela opravljati enakih oziroma podobnih del, kot jih opravljajo na svojem delovnem mestu, pri drugih osebah, če te niso kapitalsko povezane osebe s ponudnikom ali če tako opravljanje del ni izrecno pogodbeno dogovorjeno med ponudnikom in drugo osebo, ali opravljati del, ki so nezdružljiva z njihovimi nalogami in odgovornostmi pri ponudniku.

Ne glede na določbo prejšnjega odstavka sme oseba, ki je pri ponudniku redno zaposlena, opravljati samostojno znanstveno in pedagoško delo, delo v kulturnih, umetniških, športnih, humanitarnih in drugih podobnih društvih in organizacijah ter delo na publicističnem področju.

Ponudnik mora sestaviti poseben zapisnik o vseh začetnih avtorizacijah in vseh postopkih, uporabljenih pri vzpostavitvi svojega informacijskega sistema za hrambo. Zapisnik morajo podpisati vsi udeleženi pri teh postopkih in mora biti trajno shranjen. Če pozneje pride do sprememb pri avtorizacijah ali do pomembnih sprememb nastavitev informacijskega sistema za hrambo, ki so bile opravljene ob vzpostavitvi sistema, morajo biti vse omenjene spremembe dokumentirane v zapisniku.

Ponudnik mora voditi eno ali več ločenih evidenc v pisni obliki, kamor morajo biti vpisani vsi podatki, predpisani s to uredbo, in drugi podatki o postopkih in posegih v infrastrukturo, ki vplivajo na zanesljivost delovanja ponudnika. Rok hrambe evidenc je najmanj pet let.