12/
- (III. 6.) MvM rendelete az Információs Hivatal elektronikus információs rendszereinek biztonsági felügyeletéről és ellenőrzéséről. Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló
- évi L. törvény
- §
(3)bekezdés e) pontjában kapott felhatalmazás alapján, a Kormány tagjainak feladat- és hatásköréről szóló 152/
- (VI. 6.) Korm. rendelet
- §
- pontjában meghatározott feladatkörömben eljárva a következőket rendelem el:
- § Az Információs Hivatal (a továbbiakban: Hivatal) elektronikus információs rendszerei védelmének biztosításáért a Hivatal főigazgatója (a továbbiakban: főigazgató) felelős.
- §
(1)A Hivatal elektronikus információs rendszerei biztonságának jogszabályban meghatározott ágazati biztonsági felügyeletét a polgári hírszerzési tevékenység irányításáért felelős miniszter e rendeletben meghatározottak szerint a főigazgató útján látja el.
(2)Az ágazati biztonsági felügyeleti tevékenységre az állami és önkormányzati szervek elektronikus információbiztonságáról szóló
- évi L. törvény (a továbbiakban: Ibtv.) 14–
- §-a helyett a 3–
- § szerinti rendelkezéseket kell alkalmazni.
- §
(1)Az ágazati biztonsági felügyeleti feladatokat az e rendeletben meghatározottak szerint a Hivatalnak a minősített adat védelméről szóló törvényben meghatározott biztonsági vezetője (a továbbiakban: biztonsági vezető) és a biztonsági vezető irányításával működő, a főigazgató által kijelölt személy (a továbbiakban: felügyelő) látja el.
(2)A felügyelőnek szakirányú felsőfokú végzettséggel, továbbá a) az Information Systems Audit and Control Association (ISACA) által kiadott Certified Information Security Systems Security Professional (CISSP) oklevéllel kell rendelkeznie.
(3)A biztonsági vezető és a felügyelő az ágazati biztonsági felügyeleti feladatokat az e rendeletben meghatározottak szerint, önállóan látja el. A biztonsági vezető és a felügyelő az ágazati biztonsági felügyeleti feladatok ellátásával összefüggésben nem utasítható. 4. §
(1)A felügyelő feladatai:
- a)az elektronikus információs rendszerek osztályba sorolásának és a biztonsági szint megállapításának ellenőrzése,
- b)az elektronikus információs rendszerek osztályba sorolására és a biztonsági szintre vonatkozó követelmények teljesülésének ellenőrzése,
- c)a kockázatelemzések elvégzése,
- d)a fejlesztési projektek tervezési szakaszában a biztonsági követelmények beépülésének ellenőrzése,
- e)az ellenőrzés során feltárt vagy tudomására jutott hiányosságok elhárításának elrendelése és a végrehajtás eredményességének ellenőrzése, f ) a biztonsági eseményekkel kapcsolatos bejelentések kivizsgálása,
- g)együttműködés a kormányzati eseménykezelő központtal, a Nemzeti Biztonsági Felügyelettel, a Nemzeti Kiberbiztonsági és Koordinációs Tanáccsal,
- h)kapcsolattartás az elektronikus információbiztonság terén a nemzetbiztonsági szolgálatokkal, a Nemzeti Média- és Hírközlési Hatósággal, az ágazati eseménykezelő központokkal, a kormányzati incidens-kezelési munkacsoporttal,
- i)a főigazgató által jóváhagyott éves ellenőrzési terv alapján az ellenőrzések lefolytatása,
- j)a biztonsági események adatai műszaki vizsgálatának végzése és
- k)a Hivatal informatikai biztonsági szabályzatának felülvizsgálata.
(2)A Hivatal az Ibtv.
- §-ában meghatározottak szerint nyilvántartja az Ibtv.
- §
(1)bekezdése szerinti adatokat. 5. §
(1)A Hivatal elektronikus információs rendszereinek ellenőrzését a felügyelő éves ellenőrzési terv szerint folytatja le.
(2)Az éves ellenőrzési tervet a felügyelő állítja össze és terjeszti fel jóváhagyásra a főigazgatónak a biztonsági vezető útján a tárgyévet megelőző év december 31-ig. A jóváhagyásra történő felterjesztés előtt az ellenőrzési tervet tájékoztatásul meg kell küldeni a Hivatal feladat- és hatáskör szerint érintett szervezeti egység (a továbbiakban: érintett szervezeti egység) vezetőjének.
(3)A felügyelő az ellenőrzési terv végrehajtását a tárgyévet követő év március 1-jéig értékeli, amelyről jelentést készít. A jelentésről a biztonsági vezető útján tájékoztatja a főigazgatót. A jelentést tájékoztatásul meg kell küldeni az érintett szervezeti egység vezetőjének. 6. §
(1)A felügyelő az ellenőrzések során nem veszélyeztetheti a Hivatal elektronikus biztonsági rendszereinek biztonságos működését, valamint a Hivatal által kezelt adatok védelmét.
(2)Az ellenőrzés lefolytatása során a felügyelő megfelelő szakképesítéssel rendelkező koordináló személy kijelölését is kérheti a főigazgatótól a szervezeti egységek közötti együttműködés hatékonyabbá tétele, valamint a Hivatal elektronikus információs rendszereinek biztonságos működéséhez kapcsolódó követelmény érvényesítése céljából.
(3)A koordináló személy köteles felhívni a felügyelő figyelmét a Hivatal elektronikus információs rendszereit veszélyeztető tényezőkre az ellenőrzés során.
- § A felügyelő eljárása során helyszíni ellenőrzés keretében – a személyes adatok és a minősített adatok védelmére vonatkozó szabályok, valamint a biztonsági előírások betartása mellett – a Hivatal bármely helyiségébe beléphet, bármely eszközt, dokumentumot megtekinthet, megvizsgálhat, az érintett szervezeti egység vezetőjét, az ott dolgozó munkatársakat szóban vagy írásban adatszolgáltatásra, felvilágosítás adására kötelezheti. A felügyelő a Hivatal különleges célokra szolgáló helyiségeibe kizárólag kísérővel léphet be.
- § Az ellenőrzésről a felügyelő jegyzőkönyvet készít, amelyet az ellenőrzés lezárását követő nyolc napon belül a biztonsági vezető észrevételezésre megküld az érintett szervezeti egység vezetőjének. A jegyzőkönyvvel kapcsolatosan az érintett szervezeti egység vezetője a jegyzőkönyv megküldésétől számított 15 napon belül írásban észrevételeket tehet. Az észrevételek tisztázása érdekében a biztonsági vezető egyeztetést kezdeményezhet az érintett szervezeti egység vezetőjével.
- §
(1)A felügyelő az információbiztonsági követelmények teljesülése érdekében határidő tűzése mellett a biztonsági vezető útján írásban felszólítja az érintett szervezeti egység vezetőjét az elektronikus információbiztonságot veszélyeztető hiányosság, mulasztás, illetve a biztonsági követelménysértés megszüntetésére, jogszabályban meghatározott kötelezettség teljesítésére, illetve az elvárt intézkedés megtételére.
(2)Ha az információbiztonságot veszélyeztető hiányosság kiküszöbölésére, a mulasztás pótlására, illetve a követelménysértés megszüntetésére, kötelezettség teljesítésére ismételt felszólításra sem kerül sor, és az érintett szervezeti egység vezetője az intézkedés elmaradását objektív okokra hivatkozva kimenteni nem tudja, a biztonsági vezető a főigazgatóhoz fordulhat a biztonságos és szabályszerű állapot helyreállítása érdekében. 10. § Ez a rendelet a kihirdetését követő 8. napon lép hatályba. Lázár János s. k., Miniszterelnökséget vezető miniszter