UREDBAO POSTUPKU DOSTAVLJANJA PODATAKA, LISTI, VRSTAMA I ZNAČAJU INCIDENATA I POSTUPKU OBAVEŠTAVANJA O INCIDENTIMA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA OD POSEBNOG ZNAČAJA("Sl. glasnik RS", br. 94/2016) |
Ovom uredbom uređuje se postupak dostavljanja podataka o incidentima u informaciono-komunikacionim sistemima od posebnog značaja (u daljem tekstu: IKT sistemi od posebnog značaja) koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti, lista, vrste i značaj incidenata i postupak obaveštavanja o incidentima u IKT sistemima od posebnog značaja koji mogu da imaju značajan uticaj na narušavanje informacione bezbednosti.
Operator IKT sistema od posebnog značaja dužan je da prijavi sledeće incidente:
1) incidenti koji dovode do prekida kontinuiteta vršenja poslova i pružanja usluga, odnosno znatnih teškoća u vršenju poslova i pružanju usluga;
2) incidenti koji utiču na veliki broj korisnika usluga;
3) incidenti koji dovode do prekida kontinuiteta, odnosno teškoća u vršenju poslova i pružanja usluga, koji utiču na obavljanje poslova i vršenje usluga drugih operatora IKT sistema od posebnog značaja ili utiču na javnu bezbednost;
4) incidenti koji dovode do prekida kontinuiteta, odnosno teškoće u vršenju poslova i pružanju usluga i imaju uticaj na veći deo teritorije Republike Srbije;
5) incidenti koji dovode do neovlašćenog pristupa zaštićenim podacima čije otkrivanje može ugroziti prava i interese onih na koje se podaci odnose.
Operator IKT sistema od posebnog značaja dužan je da prijavi i incidente koji su doveli do značajnog povećanja rizika od nastupanja posledica iz stava 1. ovog člana.
Prilikom prijave incidenta operator IKT sistema od posebnog značaja određuje vrstu incidenta, koja može biti:
1) provaljivanje u IKT sistem - napad na računarsku mrežu i serversku infrastrukturu u okviru koga je, kršenjem mera zaštite, ostvaren pristup koji omogućava neovlašćen uticaj na rad IKT sistema;
2) oticanje podataka - dostupnost zaštićenih podataka van kruga lica ovlašćenih za pristup podacima;
3) neovlašćena izmena podataka;
4) gubitak podataka;
5) prekid u funkcionisanju sistema ili dela sistema;
6) ograničavanje dostupnosti usluge (engl. denial of service attack);
7) instaliranje zlonamernog softvera u okviru IKT sistema;
8) neovlašćeno prikupljanje podataka putem neovlašćenog nadzora nad komunikacijom ili socijalnim inženjeringom;
9) neprestani napad na određene resurse;
10) zloupotreba ovlašćenja pristupa resursima IKT sistema;
11) ostali incidenti.
Pojedini incident može biti razvrstan u više vrsta incidenata iz stava 1. ovog člana.
Operator IKT sistema od posebnog značaja obaveštenje o incidentu dostavlja ministarstvu nadležnom za informacionu bezbednost (u daljem tekstu: Nadležni organ), Narodnoj banci Srbije odnosno regulatornom telu za elektronske komunikacije pisanim putem bez odlaganja, najkasnije narednog radnog dana od dana saznanja o nastanku incidenta, a operatori IKT sistema za rad sa tajnim podacima postupaju u skladu sa propisima kojima se uređuje oblast zaštite tajnih podataka.
Obaveštenje o incidentu mora da sadrži vrstu i opis incidenta, vreme i trajanje incidenta, posledice koje je incident izazvao, preduzete aktivnosti radi ublažavanja posledica incidenta i, po potrebi, druge relevantne informacije.
U slučaju hitnosti informacija o incidentu se dodatno prijavljuje telefonskim putem, putem elektronske pošte ili na drugi odgovarajući način.
Nadležni organ, Narodna banka Srbije i regulatorno telo za elektronske komunikacije mogu bliže urediti postupak obaveštavanja o incidentima, u skladu sa ovom uredbom.
Ova uredba stupa na snagu osmog dana od dana objavljivanja u "Službenom glasniku Republike Srbije".