Uredba o bližem sadržaju akta o bezbednosti informaciono-komunikacionih sistema od posebnog značaja, načinu provere i sadržaju izveštaja o proveri bezbednosti informaciono-komunikacionih sistema od posebnog značaja

Član 1 Predmet Uredbe

Ovom uredbom uređuje se bliži sadržaj akta o bezbednosti informaciono-komunikacionih sistema od posebnog značaja, način provere informaciono-komunikacionih sistema od posebnog značaja i sadržaj izveštaja o proveri informaciono-komunikacionog sistema od posebnog značaja.

Član 2 Akt o bezbednosti IKT sistema od posebnog značaja

Operator IKT sistema od posebnog značaja (u daljem tekstu: Operator IKT sistema) dužan je da donese akt o bezbednosti IKT sistema od posebnog značaja (u daljem tekstu: akt o bezbednosti) koji mora biti usklađen sa zakonom i ovom uredbom.

Član 3 Sadržaj Akta o bezbednosti

(1) Aktom o bezbednosti, u skladu sa zakonom, određuju se mere zaštite, principi, način i procedure postizanja i održavanja adekvatnog nivoa bezbednosti sistema, kao i ovlašćenja i odgovornosti u vezi sa bezbednošću i resursima IKT sistema od posebnog značaja (u daljem tekstu: IKT sistem).

(2) Ukoliko su pojedina pitanja iz stava 1. ovog člana uređena drugim aktima operatora IKT sistema, akt o bezbednosti treba da sadrži upućujuće odredbe na ta akta.

Član 4 Mere zaštite

(1) Mere zaštite određene aktom o bezbednosti moraju biti usklađene sa merama zaštite iz člana 7. Zakona o informacionoj bezbednosti i aktom Vlade kojima su mere zaštite bliže uređene (u daljem tekstu: Uredba o merama zaštite).

(2) Opisi mera zaštite u okviru akta o bezbednosti treba da budu grupisani u 28 odeljaka prema nazivima i redosledu tačaka iz člana 7. stav 3. Zakona o informacionoj bezbednosti.

(3) Svaki odeljak iz stava 2. ovog člana sadrži opis mera zaštite uključujući procedure, ovlašćenja i odgovornosti učesnika u sprovođenju mera, a ako su ti opisi sadržani u drugim aktima operatora IKT sistema navode se upućujuće odredbe na ta akta.

(4) Ukoliko neki od uslova iz člana 7. stav 3. Zakona o informacionoj bezbednosti nije moguće primeniti ili je analiza rizika pokazala da određeni uslov nije neophodno primeniti u punom obimu, to je potrebno obrazložiti u aktu o bezbednosti.

Član 5 Izmena Akta o bezbednosti

(1) Akt o bezbednosti mora da bude usklađen sa promenama u okruženju i u samom IKT sistemu.

(2) Promene u okruženju i u samom IKT sistemu su one promene koje mogu dovesti do povećane izloženosti IKT sistema bezbednosnim rizicima, usled nastupanja tehničko-tehnoloških, kadrovskih, organizacionih promena u IKT sistemu i događaja na globalnom i nacionalnom nivou koji mogu narušiti informacionu bezbednost, kao i one promene koje stvaraju mogućnosti za unapređenje mera zaštite.

(3) U slučaju promena iz stava 2. ovog člana, ukoliko je to potrebno, vrši se izmena Akta o bezbednosti, odnosno prilagođavanje i unapređenje mera zaštite, načina i procedura postizanja i održavanja adekvatnog nivoa bezbednosti IKT sistema, kao i preispitivanje ovlašćenja i odgovornosti u vezi sa bezbednošću i resursima IKT sistema.

Član 6 Provera IKT sistema

(1) Operator IKT sistema je dužan da vrši proveru IKT sistema, odnosno proveru usklađenosti primenjenih mera zaštite sa Aktom o bezbednosti, merama zaštite propisanim Zakonom o informacionoj bezbednosti i Uredbom o merama zaštite.

(2) Provera može da se vrši samostalno ili uz angažovanje spoljnih eksperata.

(3) Proverom se ocenjuje adekvatnost nivoa informacione bezbednosti putem provere mera zaštite, procedura i odgovornosti utvrđenih aktom o bezbednosti.

(4) Proverom se utvrđuje ugroženost ili narušavanje informacione bezbednosti koja nastaje korišćenjem neodgovarajućih postupaka i tehničkih sredstava.

(5) Operator IKT sistema je dužan da proveru vrši najmanje jednom godišnje i da o tome sačini izveštaj.

(6) Provera se vrši tako što se:

1. 1) proverava usklađenost Akta o bezbednosti IKT sistema, uzimajući u obzir i akta na koja se vrši upućivanje, sa propisanim uslovima, odnosno proverava da li su Aktom adekvatno predviđene mere zaštite, procedure, ovlašćenja i odgovornosti u IKT sistemu;
2. 2) proverava da li se u operativnom radu adekvatno primenjuju predviđene mere zaštite i procedure u skladu sa utvrđenim ovlašćenjima i odgovornostima, metodama intervjua, simulacije, posmatranja, uvida u predviđene evidencije i drugu dokumentaciju;
3. 3) vrši provera bezbednosnih slabosti na nivou tehničkih karakteristika komponenti IKT sistema metodom uvida u izabrane proizvode, arhitekture rešenja, tehničke konfiguracije, tehničke podatke o statusima, zapise o događajima (logove) kao i metodom testiranja postojanja poznatih bezbednosnih slabosti u sličnim okruženjima.

Član 7 Sadržaj izveštaja o proveri IKT sistema

Izveštaj o proveri IKT sistema sadrži:

1. 1) naziv operatora IKT sistema koji se proverava;
2. 2) vreme provere;
3. 3) podaci o licima koja su vršila proveru;
4. 4) izveštaj o sprovedenim radnjama provere;
5. 5) zaključke po pitanju usklađenosti Akta o bezbednosti IKT sistema sa propisanim uslovima;
6. 6) zaključke po pitanju adekvatne primene predviđenih mera zaštite u operativnom radu;
7. 7) zaključke po pitanju eventualnih bezbednosnih slabosti na nivou tehničkih karakteristika komponenti IKT sistema;
8. 8) ocena ukupnog nivoa informacione bezbednosti;
9. 9) predlog eventualnih korektivnih mera;
10. 10) potpis odgovornog lica koje je sprovelo proveru IKT sistema.

Član 8 Prelazna odredba

Akt o bezbednosti donosi se u roku od 90 dana od dana stupanja na snagu ove uredbe.

Član 9 Završna odredba

(1) Ova uredba stupa na snagu osmog dana od dana objavljivanja u „Službenom glasniku Republike Srbije”.

(2) 05 broj 110-9465/2016-1

(3) U Beogradu, 17. novembra 2016. godine

(4) Vlada

(5) Predsednik,

(6) Aleksandar Vučić, s.r.