PRAVILNIKO SADRŽAJU, NAČINU UPISA I VOĐENJA EVIDENCIJE POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA("Sl. glasnik RS", br. 103/2026) |
Ovim pravilnikom bliže se propisuju sadržaj, način upisa i vođenja evidencije posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Evidencija).
Pojedini pojmovi, u smislu ovog pravilnika, imaju sledeće značenje:
1) RFC 2350 (Request for Comments) je tekstualni dokument kojim podnosilac prijave opisuje svoje kapacitete i katalog usluga, kao i metode bezbedne komunikacije, izrađen prema obrascu iz Aneksa D istoimenog dokumenta organizacije Internet Engineering Task Force*;
2) SIM3 (Security Incident Management Maturity Model) je model zrelosti za merenje kvaliteta upravljanja bezbednosnim incidentima u centrima za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima, u pogledu organizacije, ljudskih resursa, alata i procesa. Model razvija i održava Open CSIRT Foundation. Samoprocena se sprovodi prema verziji modela objavljenoj na dan njenog sprovođenja**.
_____________
* Obrazac dokumenta dostupan je kao Aneks D na adresi https://www.rfc-editor.org/rfc/rfc2350
** Model i onlajn alat za samoprocenu dostupni su na adresi https://opencsirt.org
U Evidenciju se upisuju sledeći podaci:
1) podaci o posebnom centru za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Poseban CERT), i to:
(1) naziv subjekta koji podnosi prijavu;
(2) naziv Posebnog CERT-a;
(3) adresa Posebnog CERT-a (opština, ulica i broj, poštanski broj i mesto, PAK);
(4) matični broj subjekta koji podnosi prijavu;
(5) poresko-identifikacioni broj (PIB) subjekta koji podnosi prijavu;
(6) broj telefona i faksa subjekta koji podnosi prijavu;
(7) adresa veb prezentacije subjekta koji podnosi prijavu;
(8) adresa elektronske pošte subjekta koji podnosi prijavu;
(9) kategorija veličine Posebnog CERT-a prema broju zaposlenih na sistematizovanim radnim mestima koja obuhvataju poslove prevencije i zaštite od bezbednosnih rizika: mali (do tri), srednji (4-10), veliki (preko 10);
(10) elektronska veza ka javno dostupnom RFC 2350 dokumentu Posebnog CERT-a;
(11) samoprocena nivoa zrelosti Posebnog CERT-a prema SIM3 (u formi tabelarnog dokumenta);
2) podaci o odgovornom licu u Posebnom CERT-u, i to: ime, prezime, funkcija i kontakt podaci odgovornog lica u Posebnom CERT-u (adresa, službeni kontakt telefon i službena adresa elektronske pošte);
3) podaci o upisu u Evidenciju Posebnog CERT-a, i to: broj rešenja o upisu i datum upisa, redni broj upisa, vrsta i datum promene upisanih podataka, kao i razlog i datum brisanja iz Evidencije Posebnog CERT-a.
Poseban CERT može biti upisan u Evidenciju ukoliko kumulativno ispunjava sledeće uslove:
1) da ima sedište na teritoriji Republike Srbije;
2) da je pravno lice ili organizaciona jedinica u okviru pravnog lica;
3) da obavlja poslove prevencije i zaštite od bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: IKT sistemi) u okviru određenog pravnog lica, grupe pravnih lica, oblasti poslovanja i slično.
Prijava za upis u Evidenciju podnosi se na Obrascu 1 - PRIJAVA ZA UPIS U EVIDENCIJU POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (Posebnih CERT-ova), koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.
Uz prijavu za upis u Evidenciju iz člana 5. ovog pravilnika, kao dokaz o obavljanju poslova prevencije i zaštite od bezbednosnih rizika u IKT sistemima, podnosilac prijave je u obavezi da dostavi:
1) izvod iz akta o unutrašnjoj organizaciji i sistematizaciji poslova, kojim se potvrđuje da u okviru pravnog lica koje je podnosilac prijave postoje sistematizovana radna mesta koja obuhvataju poslove prevencije i zaštite od bezbednosnih rizika;
2) popunjen dokument RFC 2350, kojim se potvrđuje oblast u kojoj podnosilac prijave obavlja poslove prevencije i zaštite od bezbednosnih rizika, kao i koju vrstu poslova prevencije i zaštite od bezbednosnih rizika obavlja podnosilac prijave, uz navođenje elektronske veze ka veb prezentaciji na kojoj je taj dokument javno objavljen;
3) izvršenu samoprocenu prema modelu zrelosti upravljanja bezbednosnim incidentima (Security Incident Management Maturity Model - SIM3), kojom se potvrđuje nivo zrelosti Posebnog CERT-a u pogledu organizacije, ljudskih resursa, alata i procesa, dostavljenu u formi tabelarnog dokumenta sa elektronskom vezom ka rezultatima samoprocene na onlajn alatu za samoprocenu.
U okviru polja "Drugo", podnosilac prijave može dostaviti drugi dokaz o obavljanju poslova prevencije i zaštite od bezbednosnih rizika, kao što je sporazum koji se zaključuje između pravnih lica, ukoliko podnosilac prijave pruža usluge prevencije i zaštite u okviru grupe pravnih lica, odnosno druge dokaze iz kojih se nesporno može utvrditi da obavlja poslove prevencije i zaštite od bezbednosnih rizika.
Samoprocena iz stava 1. tačka 3) ovog člana mora biti potpuna i obuhvatati sve parametre SIM3. Za svaki parametar za koji je naveden nivo zrelosti niži od 2, samoprocena sadrži i obrazloženje razloga takvog stanja. Podnosilac prijave odgovara za tačnost i potpunost samoprocene, a organ, odnosno organizacija nadležna za poslove Nacionalnog centra za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Nacionalni CERT) proverava njenu konzistentnost sa ostalim dokazima dostavljenim uz prijavu.
Prijava za upis u Evidenciju sa dokazima o obavljanju poslova prevencije i zaštite od bezbednosnih rizika u IKT sistemima može se podneti u pisanom obliku ili elektronskim putem na veb prezentaciji Nacionalnog CERT-a.
U slučaju podnošenja elektronskim putem, prijava za upis u Evidenciju i dokazi koji se prilažu uz prijavu dostavljaju se u formi elektronskog dokumenta u originalu ili u formi overenog digitalizovanog akta, u skladu sa propisima kojima se reguliše elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju, na adresu elektronske pošte Nacionalnog CERT-a.
Odlučivanje o upisu u Evidenciju
O podnetoj prijavi i upisu u Evidenciju odlučuje Nacionalni CERT, rešenjem, u skladu sa zakonom koji uređuje opšti upravni postupak, pri čemu posebno vodi računa o kumulativnoj ispunjenosti uslova propisanih članom 4. ovog pravilnika.
Poseban CERT se upisuje u Evidenciju sa danom određenim u rešenju iz stava 1. ovog člana.
Poseban CERT je u obavezi da obavesti Nacionalni CERT o svim promenama podataka koji su upisani u Evidenciju, i to u roku od osam dana od dana nastanka promene.
Prijava za upis promene podataka sadržanih u Evidenciji podnosi se na Obrascu 2 - PRIJAVA ZA UPIS PROMENE PODATAKA SADRŽANIH U EVIDENCIJI POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (Posebnih CERT-ova), koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.
Prijava za upis promene podataka sadržanih u Evidenciji podnosi se na način utvrđen u članu 7. ovog pravilnika.
O podnetoj prijavi i upisu promene podataka sadržanih u Evidenciji odlučuje Nacionalni CERT na način i u postupku utvrđenom članom 8. ovog pravilnika.
Poseban CERT dostavlja ažuriranu samoprocenu iz člana 6. stav 1. tačka 3) ovog pravilnika u slučaju promene nivoa zrelosti iskazanog u samoproceni, na način i u roku iz člana 9. ovog pravilnika.
Poseban CERT dostavlja ažuriranu samoprocenu i po isteku dve godine od dana dostavljanja poslednje samoprocene.
Ažurirana samoprocena mora biti potpuna i obuhvatiti sve parametre SIM3, uz obrazloženje za parametre sa nivoom zrelosti nižim od 2.
Nacionalni CERT briše Poseban CERT iz Evidencije na osnovu zahteva Posebnog CERT-a, odnosno pravnog lica u okviru koga se nalazi, kao i po službenoj dužnosti ukoliko utvrdi da je Poseban CERT prestao da ispunjava uslove iz člana 4. ovog pravilnika.
Nacionalni CERT odlučuje rešenjem u postupku utvrđivanja ispunjenosti uslova iz člana 4. ovog pravilnika, u skladu sa zakonom koji uređuje opšti upravni postupak.
Vođenje i dostupnost Evidencije
Nacionalni CERT vodi i ažurira Evidenciju, koja je u elektronskom obliku javno dostupna na veb prezentaciji Nacionalnog CERT-a.
Javno dostupni deo Evidencije na veb prezentaciji Nacionalnog CERT-a sadrži sledeće podatke: redni broj upisa u Evidenciju, naziv subjekta koji je podneo prijavu, naziv Posebnog CERT-a, adresu Posebnog CERT-a, datum upisa u Evidenciju, adresu veb prezentacije subjekta, adresu elektronske pošte i elektronsku vezu ka javno dostupnom RFC 2350 dokumentu Posebnog CERT-a.
Ostali podaci upisani u Evidenciju nisu javno dostupni i koriste se isključivo u svrhu angažovanja Posebnih CERT-ova u slučaju bezbednosnih rizika i incidenata u IKT sistemima.
Posebnim CERT-ovima koji su upisani u Evidenciju do dana stupanja na snagu ovog pravilnika, Nacionalni CERT upućuje zahtev za dostavljanje podataka iz člana 3. tačka 1) podtač. (9)-(10) i člana 6. stav 1. tač. 2) i 3) ovog pravilnika, sa rokom za postupanje koji ne može biti kraći od 30 niti duži od 90 dana od dana prijema zahteva.
Ukoliko Poseban CERT ne postupi po navedenom zahtevu u ostavljenom roku iz stava 1. ovog člana, Nacionalni CERT upućuje pisanu opomenu sa dodatnim rokom od 15 dana. U slučaju da Poseban CERT ne postupi po navedenom zahtevu ni u dodatnom roku, Nacionalni CERT može pokrenuti postupak utvrđivanja ispunjenosti uslova iz člana 4. ovog pravilnika.
Poseban CERT je u obavezi da u svrhu usklađivanja svog poslovanja sa odredbama ovog pravilnika dostavi Nacionalnom CERT-u potrebne podatke na način i u rokovima iz člana 13. ovog pravilnika.
Danom stupanja na snagu ovog pravilnika prestaje da važi Pravilnik o sadržaju, načinu upisa i vođenja evidencije posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima ("Službeni glasnik RS", broj 37/20).
Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u "Službenom glasniku Republike Srbije".
PRIJAVA
ZA UPIS U EVIDENCIJU POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (POSEBNIH CERT-ova)
Podaci o Posebnom CERT-u |
|
Naziv subjekta koji podnosi prijavu |
|
Naziv Posebnog CERT-a |
|
Adresa Posebnog CERT-a (opština, ulica i broj, poštanski broj i mesto, PAK) |
|
Matični broj subjekta koji podnosi prijavu |
|
Poresko-identifikacioni broj (PIB) subjekta koji podnosi prijavu |
|
Broj telefona subjekta koji podnosi prijavu |
|
Broj faksa subjekta koji podnosi prijavu |
|
Adresa veb prezentacije subjekta koji podnosi prijavu |
|
Adresa elektronske pošte subjekta koji podnosi prijavu |
|
Kategorija veličine Posebnog CERT-a |
|
Elektronska veza ka javno dostupnom RFC 2350 dokumentu Posebnog CERT-a |
|
Podaci o odgovornom licu |
|
Ime i prezime |
|
Funkcija/radno mesto |
|
Službeni kontakt telefon |
|
Službena adresa elektronske pošte |
|
Dokazi o obavljanju poslova |
|
Izvod iz akta o unutrašnjoj organizaciji i sistematizaciji poslova |
☐ |
Popunjen dokument RFC 2350 |
☐ |
Samoprocena nivoa zrelosti prema SIM3 |
☐ |
Drugo |
|
U __________, dana _______________ |
|
Potpis podnosioca prijave |
|
|
‚___________________________ |
PRIJAVA
ZA UPIS PROMENE PODATAKA SADRŽANIH U EVIDENCIJI POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (POSEBNIH CERT-ova)
Podaci o Posebnom CERT-u |
||
Podaci |
Podaci u Evidenciji |
Novi podaci |
Naziv subjekta koji podnosi prijavu |
|
|
Naziv Posebnog CERT-a |
|
|
Adresa Posebnog CERT-a (opština, ulica i broj, poštanski broj i mesto, PAK) |
|
|
Matični broj subjekta koji podnosi prijavu |
|
|
Poresko-identifikacioni broj (PIB) subjekta koji podnosi |
|
|
Broj telefona subjekta koji podnosi prijavu |
|
|
Broj faksa subjekta koji podnosi prijavu |
|
|
Adresa veb prezentacije subjekta koji podnosi prijavu |
|
|
Adresa elektronske pošte subjekta koji podnosi prijavu |
|
|
Kategorija veličine Posebnog CERT-a |
|
|
Elektronska veza ka javno dostupnom RFC 2350 dokumentu |
|
|
Samoprocena nivoa zrelosti prema SIM3 |
|
|
Podaci o odgovornom licu |
||
Podaci |
Podaci u Evidenciji |
Novi podaci |
Ime i prezime |
|
|
Funkcija/radno mesto |
|
|
Službeni kontakt telefon |
|
|
Službena adresa elektronske pošte |
|
|
U __________, dana _______________ |
|
Potpis podnosioca prijave |
|
|
‚___________________________ |