3. člen
(pomemben vpliv varnostnih incidentov)
(1)
Za pomemben vpliv varnostnega incidenta na delovanje javnih komunikacijskih omrežij ali izvajanje javnih komunikacijskih storitev, o katerem mora operater obvestiti agencijo in nacionalni CSIRT gre v primerih, ko so izpolnjena naslednja merila:
1.
vpliv na razpoložljivost njegovih omrežij ali storitev ali podatkov (odpoved ali ohromljeno delovanje elementov omrežja, funkcij ali pripadajočih informacijskih sistemov, onemogočen ali ohromljen dostop do elementov omrežja, storitev, podatkov, baz ipd.), ki jih zagotavlja, je presegel enega od naslednjih referenčnih vrednosti, in sicer:
a)
varnostni incident je trajal več kot 15 minut in manj kot uro in je prizadel več kot 20 % vseh uporabnikov po posamezni storitvi ali
b)
varnostni incident je trajal več kot eno uro in je prizadel več kot 15 % vseh uporabnikov po posamezni storitvi ter ali
c)
varnostni incident je trajal več kot dve uri in je prizadel več kot 10 % vseh uporabnikov po posamezni storitvi ali
č)
varnostni incident je trajal več kot štiri ure in je prizadel več kot 5 % vseh uporabnikov po posamezni storitvi ali
d)
varnostni incident je trajal več kot šest ur in je prizadel več kot 2 % vseh uporabnikov po posamezni storitvi ali
e)
varnostni incident je trajal več kot osem ur in je prizadel več kot 1 % vseh uporabnikov po posamezni storitvi ali
2.
vpliv varnostnega incidenta na zaupnost komunikacij, in sicer na zaupnost podatkov o prometu iz 218. člena Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O; v nadaljnjem besedilu: ZEKom-2) ali podatkov o uporabnikih iz 215. člena ZEKom-2, ter na avtentičnost in celovitost omrežja, je nastal zaradi:
a)
nepooblaščenega razkritja, spremenjenih ali odtujenih prometnih, lokacijskih podatkov, dnevniških zapisov, gesel ali nastavitev ključnih delov omrežja, če je znotraj istega incidenta prizadetih 10 ali več uporabnikov ne glede na čas trajanja ali število prizadetih ali
b)
nepooblaščenega razkritja vsebine komunikacije (prestrezanje komunikacije) ne glede na število prizadetih ali
c)
izvedenega ciljno usmerjenega napada na omrežje ali storitve operaterja kot so določene v 10. točki prvega odstavka 4. člena tega splošnega akta oziroma njegove uporabnike (DoS, DDoS, sabotaže itd.), ki je povzročil izpad ali motnje storitev več kot 15 minut ali
č)
izvedenega nepooblaščenega vdora ali vpogleda v bazo uporabnikov, v podporne informacijske sisteme ali omrežne elemente operaterja ali
d)
varnostnega incidenta ali več ponavljajočih varnostnih incidentov zaradi ranljivosti ali neustreznih nastavitev ali procesov je vplivalo na celovitost ali avtentičnost omrežja ali uporabnike in je bilo posredno ali neposredno prizadetih več kot 100 uporabnikov (goljufije, zlorabe in kibernetska kriminaliteta) ali
3.
vpliv varnostnega incidenta na delovanje oziroma izvajanje:
a)
storitev komunikacij v sili:
-
vpliv na posredovanje oziroma usmerjanje komunikacij v sili na pristojni organ ali
-
zaradi nedelovanja ali ohromljenega delovanja omrežja operaterja je prizadetih več kot 100 uporabnikov te storitve ali
b)
storitev upravljavcev kritične infrastrukture, ki so določeni v skladu s predpisi, ki urejajo kritično infrastrukturo ali
c)
storitev izvajalcev bistvenih storitev (v nadaljnjem besedilu: IBS) ali organov državne uprave (v nadaljnjem besedilu: ODU), kot so določeni v skladu z zakonom, ki ureja informacijsko varnost, če so mu poznani ali
č)
ključnih delov sistema varnosti države, če so mu poznani ali
d)
storitev, ki jih operater zagotavlja drugim operaterjem ali
e)
dostopovnega, agregacijskega vozlišča ali sisteme prenosa in je skupaj prizadeto več kot 1000 uporabnikov ali
f)
upravljanje omrežja ter njegovih nadzornih in varnostnih funkcij.
(2)
Ne glede na merila, navedena v prejšnjem odstavku, lahko operater agencijo in nacionalni CSIRT obvesti tudi o drugih varnostnih incidentih, za katere meni, da vplivajo na delovanje javnih komunikacijskih omrežij ali izvajanje javnih komunikacijskih storitev.