Uredba o varovanju tajnih podatkov

1070. Uredba o varovanju tajnih podatkov

Na podlagi četrtega odstavka 17. člena, šestega in desetega odstavka 39. člena ter osmega in štirinajstega odstavka 39.a člena Zakona o tajnih podatkih (Uradni list RS, št. 50/06 – uradno prečiščeno besedilo, 9/10, 60/11 in 8/20) Vlada Republike Slovenije izdaja

U R E D B O
o varovanju tajnih podatkov

I. SPLOŠNE DOLOČBE

1. člen

(vsebina uredbe)

Ta uredba določa načine in oblike označevanja tajnih podatkov, fizične, organizacijske in tehnične ukrepe ter obvezne sestavine postopkov za varovanje tajnih podatkov, ki jih morajo pri vzpostavitvi sistema ukrepov in postopkov varovanja tajnih podatkov upoštevati in zagotoviti vsi organi in organizacije iz drugega in tretjega odstavka 1. člena Zakona o tajnih podatkih (Uradni list RS, št. 50/06 – uradno prečiščeno besedilo, 9/10, 60/11 in 8/20; v nadaljnjem besedilu: zakon).

2. člen

(namen ukrepov varovanja)

(1)

Namen ukrepov varovanja tajnih podatkov je, da se z vzpostavitvijo ukrepov neposrednega fizičnega varovanja tajnih podatkov, varovanih prostorov ali objektov (fizični ukrepi), ukrepov ravnanja organa in organizacije pri obravnavanju tajnih podatkov (organizacijski ukrepi) ter ukrepov varovanja tajnih podatkov, varovanih prostorov ali objektov s tehničnimi sredstvi v skladu s to uredbo (tehnični ukrepi) vzpostavi sistem postopkov in ukrepov varovanja tajnih podatkov, ki ustreza stopnji tajnosti tajnih podatkov in stopnji tajnosti komunikacijsko informacijskih sistemov ter onemogoča njihovo razkritje nepooblaščenim osebam.

(2)

Določbe, ki v tej uredbi urejajo varovanje tajnih podatkov, se uporabljajo tudi za varovanje tajnih podatkov tujih držav ali mednarodnih organizacij, razen če ni izrecno določeno drugače.

3. člen

(pomen izrazov)

Izrazi, uporabljeni v tej uredbi, pomenijo:

1.

javni prostor je prostor, dostopen vsem, v katerem se dogaja javno življenje;

2.

lastna prenosna mreža je organizirana v posameznem organu za fizični prenos tajnih podatkov;

3.

komunikacijsko informacijski sistem (v nadaljnjem besedilu: sistem) je namenjen varovanju tajnih podatkov; sestavljajo ga programska, strojna, komunikacijska ter druga oprema in deluje samostojno ali v omrežju ter je namenjena zbiranju, procesiranju, distribuciji, uporabi in drugi obdelavi podatkov v elektronski obliki;

4.

varovanje tajnih podatkov v sistemih zajema določanje in uporabo ukrepov varovanja tajnih podatkov, ki se obravnavajo prek komunikacijskih, informacijskih in drugih elektronskih sistemov, pred naključno ali namerno izgubo tajnosti, celovitosti ali razpoložljivosti tajnih podatkov ter ukrepov za preprečevanje izgube celovitosti in razpoložljivosti samih sistemov;

5.

nosilec podatka je vsak medij, na katerem so zapisani podatki v fizični ali elektronski obliki;

6.

elektronski nosilec podatkov je vsako sredstvo, na katerem je možno dolgoročno shranjevati podatke v elektronski obliki (trdi diski, diskete, magnetni trakovi, elektronski pomnilni nosilci podatkov, optični pomnilni nosilci podatkov, USB-ključ, CD/DVD-nosilec podatkov, zunanji disk in drugi);

7.

ključne sestavine sistema so strežniki, usmerjevalniki in delilniki prometa, oprema za upravljanje in nadzor, aktivna oprema za prenos podatkov v nešifrirani obliki, oprema za kriptirno zaščito podatkov, varnostne pregrade, oprema za odkrivanje in zaščito pred vdori, oprema za izdelavo varnostnih kopij in druge sestavine;

8.

iznos podatka iz sistema pomeni tiskanje, shranjevanje na elektronski nosilec podatkov (USB-ključ, CD/DVD-nosilec podatkov, zunanji disk in drugi) ali izmenjavo z drugim sistemom prek medsebojne povezave sistemov;

9.

neželeno elektromagnetno sevanje je sevanje, ki se nenadzorovano razširja in omogoča nepooblaščeno seznanitev s tajnimi podatki;

10.

revizijska sled je nespremenljiva sled oziroma niz podatkov o dogodku, ki se je zgodil v sistemu, z natančnim časovnim zapisom v obliki dnevniškega zapisa, ki omogoča natančni pregled vseh zapisov, povezanih z vsemi dogodki in vsemi shranjenimi informacijami, od nastanka podatka ali informacije do trenutnega stanja;

11.

razvid je namensko in sistematično spremljanje, beleženje ali vodenje podatkov;

12.

preostalo tveganje je tveganje, ki v sistemu ostane tudi po izvajanju varnostnih ukrepov;

13.

kriptografija je znanstvena veda, ki se ukvarja s konstrukcijo in analizo kriptografskih prvin in protokolov, ki pripomorejo k zagotavljanju zaupnosti, celovitosti, pristnosti in nezatajljivosti podatkov;

14.

kriptografski algoritem je algoritem, ki uporablja izsledke kriptografije za zagotavljanje zaupnosti, celovitosti, pristnosti in nezatajljivosti podatkov, vključno z algoritmi šifriranja, kriptografskimi zgoščevalnimi funkcijami, algoritmi za avtentikacijo, algoritmi za digitalno podpisovanje in algoritmi za dogovor o ključih;

15.

kriptografske prvine so osnovni sestavni deli kriptografske rešitve;

16.

overjanje je preverjanje pristnosti entitete;

17.

incident je vsak dogodek, ki bi lahko imel škodljiv učinek na varovanje tajnih podatkov v sistemih.

II. DOLOČANJE IN OZNAČEVANJE TAJNIH PODATKOV

4. člen

(določanje tajnih podatkov)

Pooblaščena oseba, določena v 10. členu zakona, s pisno oceno, glede na možne škodljive posledice, podatkom določi ustrezno stopnjo tajnosti. V pisni oceni se opredelijo razlogi za določitev stopnje tajnosti ter določi način prenehanja tajnega podatka.

5. člen

(hramba pisne ocene)

Pisna ocena, na podlagi katere je bila določena stopnja tajnosti podatka, se hrani v skladu z rokom hrambe tajnega podatka pri organu, ki je določil stopnjo tajnosti.

6. člen

(označevanje tajnih podatkov)

(1)

Vsak dokument, nosilec podatkov in ključna sestavina sistema morajo biti ob določitvi stopnje tajnosti vidno označeni s predpisanimi oznakami stopnje tajnosti. Vsi dokumenti morajo imeti na vseh straneh dokumenta, v glavi in nogi označeno stopnjo tajnosti vključno z zunanjimi stranmi prednjih platnic, če obstajajo. Vsaka stran dokumenta mora imeti v nogi poleg stopnje tajnosti navedeno tudi zaporedno številko strani glede na skupno število strani dokumenta (npr. 3/10). Naslovna stran je lahko brez oznake zaporedne številke strani. Oznaka stopnje tajnosti na nosilcih (npr. zemljevidi, fotografije, CD/DVD, USB), ki vsebujejo tajne podatke, mora biti na nosilcu podatkov vidno natiskana, natipkana, napisana, naslikana, nalepljena ali kako drugače pritrjena s primernimi sredstvi.

(2)

Naslov dokumenta mora biti oblikovan na način, da ne vsebuje tajnih podatkov. Če to ni mogoče, se naslov označi v skladu z 8. členom te uredbe.

(3)

Če spremni dopis ne vsebuje tajnih podatkov, se praviloma ne označi s stopnjo tajnosti. Pri navajanju prilog, ki vsebujejo tajne podatke, se poleg navedbe priloge vpiše oznaka stopnje tajnosti (npr. (I)).

(4)

Če se dokument ali nosilec podatkov hrani v kakršnemkoli ovoju, mora biti ta označen z ustrezno stopnjo tajnosti.

(5)

Označevanje dokumentov ali nosilcev podatkov tajnega podatka ne sme uničiti, poškodovati ali povzročiti, da ta postane kako drugače neuporaben.

(6)

Sistem mora imeti vgrajen mehanizem, ki uporabnika seznani s tajnostjo pri prikazu ali iznosu. Če sistem ne omogoča prikaza stopnje tajnosti posameznega podatka, mora upravljavec sistema zagotoviti, da se uporabnik sistema nedvoumno seznani ob vsakokratnem vstopu v sistem z najvišjo stopnjo varovanja tajnih podatkov v sistemu.

(7)

Če je tajnost podatka določil organ, ki ni skrbnik sistema, mora imeti prikaz oznako tega organa.

(8)

Vsi dokumenti, ki vsebujejo tajne podatke, morajo poleg oznak, določenih v tem členu, vsebovati sklic na dokument in datum dokumenta iz 4. člena te uredbe. Dokumenti, ki vsebujejo tajne podatke, imajo lahko poleg oznak, določenih s to uredbo, še druge dodatne oznake (na primer prepoved kopiranja, izjemno označevanje in podobno). Dodatne oznake se zapišejo desno pod oznako stopnje tajnosti v glavi dokumenta.

(9)

Vsi dokumenti ali nosilci podatkov stopnje tajnosti TAJNO in STROGO TAJNO morajo poleg oznak, določenih v tej uredbi, vsebovati še:

-

številko izvoda dokumenta;

-

število morebitnih prilog.

(10)

Vsi dokumenti, označeni s stopnjo tajnosti STROGO TAJNO, se poleg oznak, določenih v tej uredbi, dodatno označijo z rdečo črto debeline najmanj štiri milimetre, ki poteka diagonalno pod kotom 45 stopinj štiri centimetre od zgornjega desnega roba strani.

(11)

Oznaka stopnje tajnosti se mora jasno razlikovati od drugih zapisov, pri čemer se za zapis oznake uporabijo poudarjene velike tiskane črke, ki morajo biti večje od črk preostalih zapisov.

(12)

Oznake stopnje tajnosti iz tega člena so razvidne iz vzorcev oznak INTERNO, ZAUPNO, TAJNO IN STROGO TAJNO, ki so v Prilogi 1, ki je sestavni del te uredbe.

7. člen

(označevanje tujih tajnih podatkov)

Tuji tajni podatki ohranijo izvirno oznako. Poleg izvirne oznake se lahko na dokument vpiše tudi primerljiva stopnja tajnosti tajnega podatka v slovenskem jeziku.

8. člen

(izjemno označevanje)

(1)

V dokumentu, ki vsebuje tajne podatke, se izjemoma lahko označi vsak odstavek, del odstavka ali posamezna beseda z različno stopnjo tajnosti, in sicer tako, da:

-

se na začetku in koncu vsakega odstavka, dela odstavka ali besede vpišejo oznake (I), (Z), (T), (ST);

-

je dokument, ki vsebuje več delov besedila različnih stopenj tajnosti, označen z najvišjo stopnjo tajnosti posameznega dela besedila;

-

se v prostor za dodatne oznake vpiše, da so odstavki ali deli odstavkov ali posamezne besede označeni z različno stopnjo tajnosti.

(2)

Pooblaščena oseba, ki je določila stopnjo tajnosti, mora v pisni oceni zapisati tudi razloge za določitev različne stopnje tajnosti posameznih delov besedila.

9. člen

(označevanje sprememb stopnje tajnosti ali preklica)

(1)

Kadar se tajnemu podatku spremeni stopnja tajnosti ali se tajni podatek prekliče, se na dokumentu ali nosilcu podatkov, ki vsebuje tajni podatek, prečrtajo prvotne oznake tajnosti, pod staro oznako ali nad njo pa se navede nova oznaka stopnje tajnosti ali preklic stopnje tajnosti. Poleg navedenih oznak se na dokumentu navede še sklic na pisno obrazložitev spremembe ali preklica stopnje tajnosti. Namenski program za evidentiranje in hranjenje dokumentarnega gradiva v elektronski obliki mora omogočati razvid vseh sprememb označevanja in podlag za te spremembe.

(2)

Tajnim podatkom v dokumentih, označenih po predpisih, ki so veljali pred uveljavitvijo Zakona o tajnih podatkih (Uradni list RS, št. 87/01), se ob njihovi ponovni uporabi določi stopnja tajnosti v skladu z zakonom in to uredbo. Stare oznake stopnje tajnosti se prečrtajo, pod ali nad njimi pa se navedejo nove oznake stopnje tajnosti.

(3)

Pooblaščena oseba organa, ki je tajnemu podatku spremenila stopnjo tajnosti ali jo preklicala, mora o spremembi ali preklicu obvestiti vse, ki so tajni podatek prejeli ali imajo dostop do njega.

10. člen

(označevanje kopij)

(1)

Fizična kopija celotnega ali dela dokumenta, ki vsebuje tajne podatke, mora imeti oznako stopnje tajnosti izvirnika in oznako, da je kopija, in sicer tako, da se na prvi strani v višini zgornje oznake stopnje tajnosti na desno stran napišejo beseda KOPIJA, njena zaporedna številka in datum izdelave kopije. Tako mora biti označen tudi dodaten izpis tajnega podatka v elektronski obliki, kadar je v obliki kopije.

(2)

Iz kopije tajnega podatka mora biti razvidno, iz katerega zapisa ali dela zapisa izhaja kopija (številka, datum, številka strani dokumenta, ki vsebuje tajni podatek).

11. člen

(izločanje tajnih podatkov iz dokumentov)

(1)

Če dokument ali njegov del le delno vsebuje tajne podatke oziroma so le posamezni odstavki dokumenta označeni s stopnjo tajnosti in jih je zaradi izvedbe določenih nalog organa mogoče izločiti iz dokumenta ne da bi to ogrozilo njihovo tajnost, lahko pooblaščena oseba organa, ki je določila stopnjo tajnosti, izloči te podatke iz dokumenta.

(2)

Iz dokumenta, iz katerega so bili v skladu s prejšnjim odstavkom izločeni tajni podatki, se odstranijo oznake stopenj tajnosti.

(3)

V dokumentu, iz katerega so bili izločeni tajni podatki, je treba navesti, da so bili iz dokumenta izločeni tajni podatki.

(4)

Izločanje oziroma odstranjevanje tajnih podatkov iz dokumentov pomeni, da se besedilo prekrije in se ohrani originalna oblika dokumenta.

III. OBRAVNAVA IN HRAMBA TAJNIH PODATKOV

12. člen

(obravnava tajnih podatkov)

(1)

Tajni podatki stopnje tajnosti INTERNO se obravnavajo v upravnem območju. Tajni podatki stopnje tajnosti ZAUPNO ali višje stopnje tajnosti se obravnavajo v varnostnem območju, ki je glede na način obravnavanja tajnih podatkov uvrščen v varnostno območje I. ali II. stopnje.

(2)

Ne glede na prejšnji odstavek se lahko tajni podatki stopnje tajnosti ZAUPNO in TAJNO obravnavajo v upravnem območju pod pogoji, določenimi s to uredbo.

(3)

Ne glede na prvi in drugi odstavek tega člena se tajni podatki do vključno stopnje tajnosti TAJNO lahko obravnavajo tudi izven varnostnega in upravnega območja pod pogoji, določenimi s to uredbo.

(4)

Kadar je tajni podatek do vključno stopnje tajnosti TAJNO zaradi izvedbe točno določene naloge treba izjemoma obravnavati izven upravnega ali varnostnega območja, mora organ zagotoviti, da se na takšnem območju vzpostavi začasno upravno ali varnostno območje, kjer se smiselno izvajajo ukrepi in postopki, določeni s to uredbo.

(5)

Kadar začasnega upravnega ali varnostnega območja iz tehničnih, organizacijskih in drugih razlogov ni mogoče vzpostaviti, se tajni podatki lahko obravnavajo pod pogoji, določenimi v 15. členu te uredbe.

13. člen

(vzpostavitev začasnega upravnega območja)

(1)

Predstojnik organa ali oseba, ki jo ta pooblasti, mora za vzpostavitev začasnega upravnega območja pripraviti dokument, v katerem se opredelijo:

-

lokacija in obseg začasnega upravnega območja;

-

način varovanja;

-

režim vstopa in izstopa;

-

drugi potrebni ukrepi ob izrednih dogodkih (za primer požara, vloma, potresa in podobno);

-

obdobje, za katero je vzpostavljeno začasno upravno območje, ki ne sme biti daljše od trideset dni.

(2)

Zagotoviti je treba 24-urno neposredno in neprekinjeno fizično ali tehnično varovanje ter kontrolo vstopa oziroma preverjanje identitete vstopajočih.

(3)

Voditi je treba evidenco vstopov oseb v upravno območje v skladu s 26. členom te uredbe.

(4)

Predstojnik organa s sklepom določi začasno upravno območje in o njegovi vzpostavitvi obvesti nacionalni varnostni organ.

14. člen

(vzpostavitev začasnega varnostnega območja)

(1)

Predstojnik organa ali oseba, ki jo ta pooblasti, mora za vzpostavitev začasnega varnostnega območja pripraviti dokument, v katerem se opredelijo:

-

lokacija in obseg začasnega varnostnega območja;

-

način varovanja;

-

režim vstopa in izstopa;

-

ocena ogroženosti;

-

drugi potrebni ukrepi ob izrednih dogodkih (za primer požara, vloma, potresa in podobno);

-

obdobje, za katero je vzpostavljeno začasno varnostno območje, ki ne sme biti daljše od trideset dni.

(2)

Zagotoviti je treba 24-urno neposredno in neprekinjeno fizično varovanje začasnega varnostnega območja in okolice ter kontrolo vstopa oziroma preverjanje identitete vstopajočih. Fizično varovanje se lahko dopolni s prvinami tehničnega varovanja.

(3)

Pred vzpostavitvijo začasnega varnostnega območja se opravi protiprisluškovalni pregled prostorov.

(4)

Tajni podatki stopnje tajnosti ZAUPNO ali višje se hranijo v skladu s to uredbo.

(5)

Voditi je treba evidenco vstopov oseb v varnostno območje v skladu s 26. členom te uredbe.

(6)

Predstojnik organa ali oseba, ki jo ta pooblasti, mora pred vzpostavitvijo začasnega varnostnega območja nacionalnemu varnostnemu organu poslati dokument iz prvega odstavka tega člena. Če nacionalni varnostni organ na podlagi ocene ogroženosti presodi, da je treba preveriti postopke in ukrepe varovanja tajnih podatkov v skladu s 24. členom te uredbe, v organu opravi ogled.

(7)

Predstojnik organa s sklepom določi začasno varnostno območje in o njegovi vzpostavitvi obvesti nacionalni varnostni organ.

15. člen

(obravnavanje tajnih podatkov izven upravnega in varnostnega območja)

(1)

Kadar začasnega upravnega ali varnostnega območja iz tehničnih, organizacijskih in drugih razlogov ni mogoče vzpostaviti, se tajni podatki lahko obravnavajo le pod pogoji, določenimi v tem členu. Predstojnik organa ali oseba, ki jo ta pooblasti, določi, da se za izvedbo določenih nalog ali dogodkov tajni podatki stopnje tajnosti INTERNO, ZAUPNO in TAJNO obravnavajo izven upravnega in varnostnega območja.

(2)

Tajnih podatkov ni dovoljeno obravnavati na javnem prostoru oziroma na poti. Izjemoma se lahko tajni podatek do vključno stopnje tajnosti TAJNO obravnava izven upravnega in varnostnega območja, pri čemer je treba zagotoviti, da se s tajnim podatkom ne seznanijo nepooblaščene osebe ter da ima oseba tajni podatek ves čas pod nadzorom.

(3)

Obravnavanje tajnih podatkov v sistemih izven varnostnega in upravnega območja je dovoljeno v sistemih z izdanim varnostnim dovoljenjem za delovanje in z uporabo kriptografskih rešitev z izdanim potrdilom o varnostni ustreznosti. Sistemi, kriptografske rešitve in podatki morajo biti zaščiteni pred nepooblaščenim dostopom.

(4)

Vsak iznos ali vnos nosilca tajnega podatka zunaj upravnega in varnostnega območja se evidentira. Oseba, ki prevzame nosilec tajnega podatka, to potrdi s podpisom ter s tem prevzame odgovornost in skrb za varnost tajnih podatkov.

16. člen

(hramba tajnih podatkov)

(1)

Tajni podatki stopnje tajnosti INTERNO se hranijo v upravnem območju v zaklenjenih pisarniških ali kovinskih omarah, ključi se hranijo ločeno. Tajni podatki stopnje tajnosti ZAUPNO ali višje stopnje tajnosti se hranijo v varnostnem območju II. stopnje v ustreznih blagajnah ali v varnostnem območju I. stopnje.

(2)

Organi tajne podatke, ki so del zadeve organa, hranijo v skladu z roki, določenimi s predpisi, ki urejajo poslovanje z dokumentarnim in arhivskim gradivom. Po preteku roka hrambe se tajni podatki, ki nimajo lastnosti arhivskega gradiva, izločijo in uničijo v skladu s 50. členom te uredbe. Pri izročitvi arhivskega gradiva s tajnimi podatki pristojnemu arhivu se upoštevajo predpisi, ki urejajo področje arhivske dejavnosti.

(3)

Ne glede na prejšnji odstavek centralna registra EU in Nata hranita tajne podatke EU in Nata največ dve leti od prejema. Po preteku omenjenega časa tajne podatke uničita v skladu s 50. členom te uredbe.

(4)

Organizacije tajne podatke hranijo, dokler jih potrebujejo za izvršitev naročil organa. Ko tajnih podatkov za izvedbo naročil organa ne potrebujejo več, jih uničijo v skladu s 50. členom te uredbe ali jih vrnejo organu, ki je podatkom določil stopnjo tajnosti, ali organu, za katerega izvajajo oziroma so izvajale naročilo.

(5)

Če organizacije ne izpolnjujejo več pogojev za varno obravnavanje in varovanje tajnih podatkov, morajo tajne podatke v njihovi posesti nemudoma vrniti organu, za katerega izvajajo oziroma so izvajale naročilo, ali organu, ki je podatkom določil stopnjo tajnosti.

(4)

Organizacije tajne podatke hranijo, dokler jih potrebujejo za opravljanje delovnih nalog. Po uporabi tajne podatke uničijo v skladu s 50. členom te uredbe ali jih vrnejo pristojnemu organu.

IV. FIZIČNI UKREPI VAROVANJA

17. člen

(varnostno območje II. stopnje)

(1)

Varnostno območje II. stopnje je označeni prostor, v katerem se tajni podatki stopnje tajnosti ZAUPNO ali višje stopnje tajnosti varujejo tako, da vstop in gibanje v tem območju ne omogočata dostopa do teh podatkov, saj so pred nepooblaščenim dostopom v območju dodatno zaščiteni. V varnostnem območju II. stopnje se izvajajo najmanj ti varnostni postopki in ukrepi:

-

jasno določeni in varovani obseg območja, v katerem se zagotavlja nadzor nad vstopom in izstopom oseb in vozil ter dovoljuje vstop v to območje samo osebam, ki imajo dovoljenje za dostop do tajnih podatkov ustrezne stopnje tajnosti in imajo pooblastilo za samostojni vstop v to območje;

-

organiziranost dela, ki zagotavlja, da bodo imeli zaposleni v organu ali organizaciji dostop le do tistih tajnih podatkov, ki jih potrebujejo za opravljanje delovnih nalog, in sicer do tiste stopnje tajnosti, za katero imajo dovoljenje;

-

druge osebe organa ali organizacije, ki niso na seznamu iz četrtega odstavka tega člena, vstopajo v varnostno območje samo v spremstvu oseb iz četrtega odstavka tega člena ali ob izvajanju druge enakovredne oblike nadzora, ki zagotavlja, da bo oseba vstopila samo v dele območja, povezane z namenom obiska, in če je to potrebno, se bo seznanila le s tistimi tajnimi podatki, ki so povezani z namenom obiska, in sicer do tiste stopnje tajnosti, za katero ima dovoljenje;

-

protivlomno varovanje varnostnega območja z elektronskim sistemom, katerega alarmni signal je vezan na enoto, odgovorno za ukrepanje ob alarmu (varnostno nadzorni center). Intervencijski čas po sproženem alarmnem signalu mora biti krajši od petnajst minut. Izjemoma, kadar to zahteva izvajanje nalog organa ali organizacije, lahko predstojnik organa ali organizacije v sklepu o določitvi varnostnega območja določi, da se intervencijski čas po sproženem alarmnem signalu podaljša, vendar ne več kot na trideset minut. Na podlagi ocene ogroženosti se lahko izvaja tudi neposredno in neprekinjeno fizično varovanje varnostnega območja ali delovnih prostorov, v katerih je varnostno območje;

-

prepoved vnosa mehanskih, elektronskih in magnetnih optičnih sestavnih delov, s katerimi je mogoče tajne podatke nepooblaščeno posneti, odnesti ali prenesti, oziroma kakršnih koli naprav, s katerimi je mogoča zloraba tajnih podatkov. Izjemoma vnos in uporabo takih naprav odobri oseba, odgovorna za varnost varnostnega območja;

-

po končanem delovnem času se varnostno območje varuje s sistemom fizičnega ali protivlomnega varovanja oziroma z občasnimi fizičnimi pregledi prostorov, določenimi v načrtu varovanja.

(2)

Okoli varnostnega območja II. stopnje ali na poti, ki vodi v takšno varnostno območje, se vzpostavi upravno območje.

(3)

Vstop oseb v varnostno območje in njihov izstop ter dostop vozil morajo biti pod nadzorom. Vsi vstopi in izstopi morajo biti evidentirani.

(4)

Predstojnik organa ali organizacije ali oseba, ki jo za to pooblasti predstojnik organa, določi osebe, ki lahko samostojno vstopajo v varnostno območje II. stopnje.

(5)

Vstop oseb brez ustreznega dovoljenja za dostop do tajnih podatkov v varnostno območje se lahko omogoči drugim osebam, ki se zaradi opravljanja svoje delovne naloge ne bodo seznanile s tajnimi podatki in imajo ves čas zadrževanja v varnostnem območju zagotovljeno spremstvo oseb iz prejšnjega odstavka. Oseba iz prejšnjega odstavka mora pred vstopom osebe brez ustreznega dovoljenja zagotoviti, da so tajni podatki umaknjeni oziroma da je onemogočeno, da bi se oseba brez ustreznega dovoljenja seznanila s tajnim podatkom.

18. člen

(varnostno območje I. stopnje)

(1)

Varnostno območje I. stopnje je označeni prostor, v katerem se varujejo tajni podatki stopnje tajnosti ZAUPNO ali višje stopnje tajnosti tako, da lahko že vstop v varnostno območje omogoča dostop do teh podatkov. V varnostnem območju I. stopnje se poleg ukrepov, določenih v prejšnjem členu, izvajajo še najmanj ti varnostni postopki in ukrepi:

-

vodenje razvida vrst tajnih podatkov ter njihova stopnja tajnosti (na primer: TP EU –TAJNO, TP NATO – TAJNO, TP NACIONALNI – STROGO TAJNO), ki se v varnostnem območju hranijo tako, da se lahko oseba z njimi seznani že ob vstopu v to območje;

b)

vstop brez ustreznega dovoljenja za dostop do tajnih podatkov se lahko omogoči drugim osebam, ki se zaradi opravljanja svoje delovne naloge ne bodo seznanile s tajnimi podatki in imajo ves čas zadrževanja v varnostnem območju zagotovljeno spremstvo oseb iz četrtega odstavka tega člena;

c)

organiziranost dela, ki zagotavlja, da bodo imeli zaposleni v organu ali organizaciji dostop le do tistih tajnih podatkov, ki jih potrebujejo za opravljanje delovnih nalog, in sicer do tiste stopnje tajnosti, za katero imajo dovoljenje;

d)

druge osebe organa ali organizacije, ki niso na seznamu iz četrtega odstavka tega člena, vstopajo v varnostno območje samo v spremstvu oseb iz četrtega odstavka tega člena ali ob izvajanju druge enakovredne oblike nadzora, ki zagotavlja, da bo oseba vstopila samo v dele območja, povezane z namenom obiska, in če je to potrebno, se bo seznanila le s tistimi tajnimi podatki, ki so povezani z namenom obiska, in sicer do tiste stopnje tajnosti, za katero ima dovoljenje;

-

neposredno in neprekinjeno fizično varovanje varnostnega območja ali delovnih prostorov, v katerih je varnostno območje z elektronskim sistemom za protivlomno varovanje varnostnega območja. Po končanem delovnem času se prostori pregledajo. Intervencijski čas po sproženem alarmnem signalu mora biti krajši od sedem minut.

f)

prepoved vnosa mehanskih, elektronskih in magnetno optičnih sestavnih delov, s katerimi je mogoče tajne podatke nepooblaščeno posneti, odnesti ali prenesti, oziroma kakršnihkoli naprav, s katerimi je mogoča zloraba tajnih podatkov. Izjemoma vnos in uporabo takih naprav odobri oseba, odgovorna za varnost varnostnega območja;

g)

po končanem delovnem času se varnostno območje varuje s sistemom fizičnega ali protivlomnega varovanja oziroma z občasnimi fizičnimi pregledi prostorov, določenimi v načrtu varovanja.

(2)

Okoli varnostnega območja I. stopnje ali na poti, ki vodi v tako varnostno območje, se vzpostavi upravno območje.

(3)

Vstop oseb v varnostno območje in njihov izstop ter dostop vozil morajo biti pod nadzorom. Vsi vstopi in izstopi morajo biti evidentirani.

(4)

Predstojnik organa ali organizacije ali oseba, ki jo za to pooblasti predstojnik organa, določi osebe, ki lahko samostojno vstopajo v varnostno območje I. stopnje.

(5)

Vstop oseb brez ustreznega dovoljenja za dostop do tajnih podatkov v varnostno območje se lahko omogoči drugim osebam, ki se zaradi opravljanja svoje delovne naloge ne bodo seznanile s tajnimi podatki in imajo ves čas zadrževanja v varnostnem območju zagotovljeno spremstvo oseb iz prejšnjega odstavka. Oseba iz prejšnjega odstavka mora pred vstopom osebe brez ustreznega dovoljenja zagotoviti, da so tajni podatki umaknjeni oziroma da je preprečeno, da bi se oseba brez ustreznega dovoljenja seznanila s tajnim podatkom.

19. člen

(upravno območje)

Upravno območje je vidno določeni obseg prostora, v katerem organ ali organizacija nadzira vstopanje in izstopanje oseb in vozil ter njihovo gibanje. V upravnih območjih se lahko varujejo tajni podatki stopnje tajnosti INTERNO. Z varnostnimi postopki in ukrepi se zagotavlja, da imajo dostop do teh podatkov samo osebe, ki izpolnjujejo pogoje, določene z zakonom in drugimi predpisi, izdanimi na njegovi podlagi.

20. člen

(centralni register EU in Nata)

(1)

Centralna registra EU in Nata sta pristojna za varovanje tajnih podatkov EU in Nata stopnje tajnosti ZAUPNO in višje. Centralna registra EU in Nata varujeta tudi tajne podatke EU in Nata stopnje tajnosti INTERNO, če jih prejemniki teh podatkov ne prejmejo na drug način ali zanje zaprosijo pristojni register.

(2)

Zaposleni v centralnih registrih morajo imeti veljavno dovoljenje za dostop do tajnih podatkov stopnje tajnosti STROGO TAJNO.

(3)

Predstojnik organa določi vodjo in namestnika centralnega registra, ki skrbi za izvajanje varnostnih ukrepov v zvezi z varovanjem tajnih podatkov v centralnem registru.

(4)

V Centralnem registru Nata predstojnik organa določi pooblaščeno nadzorno osebo (Cosmic Control Officer /CCO/). Njene naloge so določene v varnostni politiki Nata.

21. člen

(podregistri EU in Nata ter kontrolne točke Nata)

(1)

Podregistri in kontrolne točke so pristojni za varovanje tajnih podatkov EU in Nata stopnje tajnosti ZAUPNO in višjih stopenj tajnosti znotraj posameznih organov. Podregistri in kontrolne točke lahko varujejo tudi tajne podatke EU in Nata stopnje tajnosti INTERNO, če jih prejemniki teh podatkov ne prejmejo na drug način ali zanje zaprosijo pristojni podregister oziroma kontrolno točko.

(2)

Podregister ali kontrolna točka se določi na podlagi predhodnega ogleda, ki ga opravi nacionalni varnostni organ. Nacionalni varnostni organ opravi ogled na podlagi vloge, v kateri je treba predložiti tudi načrt varovanja. Z ogledom se preveri, ali postopki in ukrepi tehničnega in fizičnega varovanja ter organiziranost varovanja zagotavljajo ustrezno raven varovanja tajnih podatkov glede na vrsto, količino in oceno ogroženosti tajnih podatkov. Pri ocenjevanju ustreznosti varovanja je treba upoštevati kombinacijo postopkov in ukrepov tehničnega in fizičnega varovanja ter organiziranost varovanja, ki mora biti določena v načrtu varovanja, načrt pa mora biti izdelan pred ogledom.

(3)

Zaposleni v podregistrih ali kontrolnih točkah morajo imeti veljavno dovoljenje za dostop do tajnih podatkov najmanj stopnje tajnosti, za katero je vzpostavljen podregister ali kontrolna točka.

(4)

Predstojnik organa določi vodjo in namestnika podregistra ali kontrolne točke, ki skrbi za izvajanje varnostnih ukrepov v zvezi z varovanjem tajnih podatkov v podregistru ali kontrolni točki.

(5)

V podregistru ali kontrolni točki Nata, ki je vzpostavljena za varovanje tajnih podatkov do vključno stopnje tajnosti STROGO TAJNO, predstojnik organa določi pooblaščeno nadzorno osebo (Cosmic Control Officer CCO). Njene naloge so določene v varnostni politiki Nata.

22. člen

(oprema varnostnega in upravnega območja)

Oprema varnostnega in upravnega območja ter preostali pogoji, ki jih morajo izpolnjevati upravna in varnostna območja, so določeni v Prilogi 2, ki je sestavni del te uredbe.

23. člen

(identifikacijska izkaznica)

(1)

Vse osebe, ki se gibljejo v upravnem ali varnostnem območju, morajo imeti na vidnem mestu pripeto identifikacijsko izkaznico za vstop in gibanje v upravnem oziroma varnostnem območju (v nadaljnjem besedilu: identifikacijska izkaznica). Z internim aktom se lahko izjemoma določi, kdaj nekaterim osebam v upravnem oziroma varnostnem območju ni treba na vidnem mestu nositi identifikacijskih izkaznic.

(2)

Podobo identifikacijskih izkaznic in njihovo tehnično izvedbo določi predstojnik organa.

24. člen

(določitev varnostnega in upravnega območja)

(1)

Predstojnik organa ali organizacije določi varnostna in upravna območja s sklepom in o tem obvesti nacionalni varnostni organ.

(2)

Varnostno oziroma upravno območje v organizaciji se določi na podlagi predhodno opravljenega ogleda, ki ga izvede organ, pristojen za izdajo varnostnega dovoljenja organizaciji. Z ogledom se preveri, ali postopki in ukrepi tehničnega in fizičnega varovanja ter organiziranost varovanja zagotavljajo ustrezno raven varovanja tajnih podatkov glede na vrsto, količino in oceno ogroženosti tajnih podatkov. Pri ocenjevanju ustreznosti varovanja varnostnega območja je treba upoštevati kombinacijo postopkov in ukrepov tehničnega in fizičnega varovanja ter organiziranost varovanja, ki mora biti določena v načrtu varovanja, načrt pa mora biti izdelan pred ogledom. Pri vzpostavitvi upravnega območja v organih ogled ni potreben.

(3)

Organ ali organizacija mora pred določitvijo varnostnega območja pridobiti mnenje nacionalnega varnostnega organa o ustreznosti varnostne tehnične opreme, vgrajene v varnostno območje, ter postopkov in ukrepov varovanja varnostnega območja. Nacionalni varnostni organ izda mnenje na podlagi predhodnega ogleda, ki ga opravi v ta namen.

25. člen

(označevanje varnostnih in upravnih območij)

(1)

Oseba, ki vstopi v varnostno območje, mora biti o tem nedvoumno in jasno obveščena še pred vstopom.

(2)

Obvestilo iz prejšnjega odstavka mora vsebovati dobro vidne napise: »naziv organa – VARNOSTNO OBMOČJE – II. oziroma I. stopnje«, ki so jim lahko dodana še druga obvestila, povezana z varnostnimi postopki in ukrepi, ki se izvajajo v varnostnem območju.

(3)

Za označitev upravnega območja ni potrebno posebno obvestilo iz prvega odstavka tega člena, zadošča, da je območje oziroma stavba ali okoliš, v katerem je območje, označena s tablami o imenu organa ali organizacije ter obvestilom o nadzoru vstopa in gibanja.

(4)

Izjemoma, kadar to zahteva izvajanje nalog organa, lahko predstojnik organa v sklepu o določitvi varnostnega območja določi, da se varnostno območje ne označi z obvestilom iz drugega odstavka tega člena ali da se označi na način, ki javnosti ne razkriva, da je to objekt organa.

(5)

Vzorec napisov iz drugega odstavka tega člena je določen v Prilogi 3, ki je sestavni del te uredbe.

26. člen

(nadzor vhoda in izhoda v varnostna in upravna območja)

(1)

Samostojen vstop pooblaščenih oseb v varnostno območje se nadzira z ugotavljanjem identitete vstopajoče osebe. Fizični ali videonadzor vstopa v varnostna območja je lahko dopolnjen s sistemom samodejne kontrole vstopa, ki temelji na identifikaciji z uporabo elektronskih identifikacijskih kartic in prepoznave biometričnih značilnosti vstopajoče osebe. Biometrična prepoznava je lahko dopolnjena ali nadomeščena z uporabo unikatne osebne identifikacijske številke.

(2)

Nadzor vstopa zaposlenega osebja v upravna območja temelji na sistemu fizične ali samodejne kontrole vstopa.

(3)

Pred vstopom drugih oseb v varnostno in upravno območje mora oseba, ki nadzira vstop v varnostno in upravno območje, preveriti njihovo identiteto in namen obiska ter izpolnjevanje drugih pogojev za vstop v varnostno območje.

(4)

V načrtu varovanja varnostnega območja morajo biti predvideni ukrepi in postopki nadzora ter omejitev vstopa in gibanja v varnostnem in upravnem območju, kadar to zahteva ocena ogroženosti ali to določajo spremenjene varnostne razmere.

(5)

Za osebe, ki nimajo pooblastila za samostojni vstop v varnostno območje oziroma niso zaposlene v upravnem območju, se vodi evidenca vstopov in izstopov v varnostna in upravna območja v skladu z določili o evidentiranju vstopov in izstopov iz službenih prostorov, opredeljenimi v zakonu, ki ureja varstvo osebnih podatkov.

(6)

V evidenci vstopov in izstopov v varnostna območja se obdelujejo najmanj ti osebni podatki: osebno ime, številka in vrsta uradnega identifikacijskega dokumenta, zaposlitev ter datum, ura in razlog vstopa ter izstopa.

27. člen

(varovanje opreme)

(1)

Varnostnotehnična oprema, nameščena v upravnih in varnostnih območjih, mora biti zavarovana tako, da je ne morejo uporabljati nepooblaščene osebe.

(2)

Pri vzdrževanju in servisiranju opreme, ki se uporablja za varovanje tajnih podatkov, je treba preprečiti iznos tajnih podatkov (npr. tistih, ki bi lahko ostali zapisani v iznesenih gradnikih vzdrževane opreme).

28. člen

(varovanje ključnih sestavin sistema)

(1)

Vse ključne sestavine sistema, s katerimi se varujejo tajni podatki v nešifrirani obliki (razen pri prenosu tajnih podatkov po optičnih povezavah v upravnem območju), morajo biti, glede na stopnjo tajnosti v tem sistemu varovanih tajnih podatkov, nameščene v upravno ali varnostno območje.

(2)

Ne glede na prejšnji odstavek se ključne sestavine sistema lahko uporabljajo zunaj varnostnega ali upravnega območja pod pogoji, določenimi v 15. členu te uredbe.

29. člen

(varovanje tajnih podatkov v sistemih)

(1)

Sistem, namenjen varovanju tajnih podatkov, se ne glede na izvedbo in njegove komponente obravnava kot en elektronski nosilec podatkov. Dostop do tega nosilca je možen z različnih lokacij.

(2)

Pri dostopu do tajnih podatkov mora biti uporabnik nedvoumno opozorjen o najvišji stopnji tajnosti podatkov, ki se varujejo v sistemu.

(3)

Elektronski nosilec podatkov, na katerih se opravi iznos tajnih podatkov, se obravnava kot vsi preostali nosilci s tajnimi podatki. Elektronski nosilec podatkov, na katerih so tajni podatki šifrirani s kriptografsko rešitvijo, ki ima potrdilo o varnostni ustreznosti, se obravnavajo v skladu z minimalnimi varnostnimi zahtevami kriptografske rešitve.

30. člen

(protiprisluškovalni pregled)

(1)

Varnostna območja, v katerih se ustno ali drugače zvočno obravnavajo tajni podatki stopnje tajnosti TAJNO ali višje stopnje tajnosti, se morajo zaščititi pred pasivnimi ali aktivnimi poskusi prisluškovanja s protiprisluškovalnimi pregledi. Protiprisluškovalni pregled takih območij se opravi:

-

ob določitvi varnostnega območja,

-

pri spremembi zaposlenih v območju, če to zahteva ocena ogroženosti,

-

po odločitvi predstojnika,

-

najmanj vsakih 24 mesecev ali

-

ob vzpostavitvi začasnega varnostnega območja.

(2)

V organih in organizacijah iz 1. člena zakona varnostna območja iz prejšnjega odstavka protiprisluškovalno pregleda notranja organizacijska enota Policije.

(3)

Ne glede na prejšnji odstavek protiprisluškovalni pregled varnostnih območij v Ministrstvu za obrambo ter organizacijah, ki zanj izvajajo naročila, izvede pristojna organizacijska enota Ministrstva za obrambo, v Slovenski obveščevalno-varnostni agenciji ter organizacijah, ki zanjo izvajajo naročilo, pa notranja organizacijska enota agencije.

31. člen

(omare in blagajne)

(1)

V zgornji levi kot omar in blagajn na zunanji strani se glede na stopnjo tajnosti podatkov, ki se hranijo v vsaki od njih, prilepi nalepka primerne velikosti z velikimi tiskanimi črkami:

-

I za stopnjo tajnosti INTERNO;

-

Z za stopnjo tajnosti ZAUPNO;

-

T za stopnjo tajnosti TAJNO;

-

ST za stopnjo tajnosti STROGO TAJNO.

(2)

Če se v blagajni hranijo podatki različnih stopenj tajnosti, mora vrsta blagajne ustrezati najvišji stopnji tajnosti podatkov, ki se hranijo v njej, in mora biti s tako stopnjo tajnosti tudi označena.

32. člen

(nastavitev kombinacij ključavnic za blagajne)

(1)

Število oseb, seznanjenih s posameznimi kombinacijami ključavnic, mora biti čim manjše. Predstojnik organa ali organizacije oziroma oseba, ki jo ta pooblasti, to zagotovi z razporedom delovne naloge.

(2)

Nastavitve kombinacij elektronskih in mehanskih ključavnic se zamenjajo:

-

ob začetku uporabe in po vsakem popravilu,

-

ko se zamenja oseba, ki pozna kombinacijo,

Uredba o varovanju tajnih podatkov

Časovnica