(2)Zbirka podatkov iz prejšnjega odstavka mora vsebovati informacije o registraciji domenskih imen, ki zajemajo informacije za identifikacijo imetnikov domenskih imen in kontaktnih točk, ki upravljajo domenska imena v okviru vrhnjih domenskih imen, in navezavo stika z njimi. Take informacije vključujejo:
\n
–domensko ime,
\n
–datum registracije,
\n
–ime imetnika domenskega imena, njegov kontaktni elektronski naslov in telefonsko številko in
\n
–kontaktni elektronski naslov in telefonsko številko kontaktne točke, ki upravlja domensko ime, če se razlikuje od naslova imetnika domenskega imena.
\n
Subjekti iz prvega odstavka tega člena morajo informacije iz tega odstavka po izbrisu iz zbirke podatkov hraniti ločeno še deset let po preteku koledarskega leta, v katerem so bili izbrisani iz zbirke podatkov, po preteku tega roka pa se izbrišejo oziroma uničijo tudi ločeno hranjene informacije.
\n
(3)Registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, vzpostavijo politike in postopke, vključno s postopki preverjanja, ki zagotavljajo, da podatkovne zbirke iz prvega odstavka tega člena vsebujejo točne in popolne informacije, pri čemer se v politiki in postopkih upošteva, da morajo preveriti po vsaj en kontaktni podatek iz tretje in četrte alineje prejšnjega odstavka in določiti obdobja preverbe. Te politike in postopki morajo biti javno dostopni.
\n
(4)Subjekti iz prvega odstavka tega člena po registraciji domenskega imena nemudoma omogočijo javno dostopnost podatkov o registraciji, ki niso osebni podatki. Takšne podatke objavijo na svojem spletnem mestu ali objavijo povezavo do spletnega mesta, kjer so ti podatki dostopni.
\n
(5)Subjekti iz prvega odstavka tega člena nemudoma, najkasneje pa v 72 urah od prejema zakonitega in utemeljenega zahtevka osebe, ki ima upravičen razlog za dostop, omogočijo dostop do podatkov o registraciji posameznih domenskih imen. Politike in postopki v zvezi z razkritjem teh podatkov morajo biti javno dostopni.
\n
(6)Izpolnjevanje obveznosti iz prvega do petega odstavka tega člena ne sme povzročiti podvajanja zbiranja podatkov o registraciji domenskih imen. V ta namen morajo registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, med seboj sodelovati z izmenjavo relevantnih informacij.
\n
VI. IZMENJAVA INFORMACIJ
\n
34. člen(dogovori o izmenjavi informacij o kibernetski varnosti)
\n
(1)Zavezanci na podlagi tega zakona in drugi subjekti si lahko prostovoljno izmenjujejo ustrezne informacije o kibernetski varnosti, vključno z informacijami, ki se nanašajo na kibernetske grožnje, skorajšnje incidente, ranljivosti, tehnike in postopke, kazalnike ogroženosti, sovražne taktike, specifične informacije o grožnji in akterju, opozorila glede kibernetske varnosti in priporočila glede konfiguracije orodij za kibernetsko varnost za zaznavo zlonamernih kibernetskih aktivnosti, kadar taka izmenjava informacij:
\n
–pripomore k preprečevanju in odkrivanju incidentov, odzivanju nanje ali okrevanju po njih ali k ublažitvi njihovega vpliva ali
\n
–zvišuje raven kibernetske varnosti, zlasti z ozaveščanjem v zvezi s kibernetskimi grožnjami, omejevanjem ali oviranjem zmožnosti širjenja takih groženj, podpiranjem vrste obrambnih zmogljivosti, odpravljanjem in razkrivanjem ranljivosti, tehnikami odkrivanja, omejevanja in preprečevanja groženj, strategijami za zmanjšanje tveganja ali fazami odzivanja in okrevanja ali s spodbujanjem sodelovanja med javnimi in zasebnimi subjekti pri raziskovanju kibernetskih groženj.
\n
(2)Izmenjava informacij iz prejšnjega odstavka poteka v sektorskih ali medsektorskih skupnostih zavezancev, lahko pa tudi z njihovimi dobavitelji ali ponudniki storitev. Taka izmenjava se izvaja na podlagi dogovorov o izmenjavi informacij o kibernetski varnosti, ob upoštevanju morebitne občutljive narave informacij, ki se izmenjujejo. Podatki, ki so predmet izmenjave, morajo biti ustrezno označeni s semaforskim protokolom. Pri sklenitvi dogovorov o izmenjavi informacij se upoštevajo dobre prakse in smernice agencije ENISA.
\n
(3)Dogovori o izmenjavi informacij o kibernetski varnosti iz prejšnjega odstavka vsebujejo vsebine in pogoje za takšne dogovore ter lahko vključujejo tudi operativne elemente, vključno glede uporabe namenskih digitalnih platform in orodij za avtomatizacijo. Pristojni nacionalni organ spodbuja sklenitev takšnih dogovorov z ozaveščanjem zavezancev in z metodološko podporo pri sklenitvi dogovorov.
\n
(4)Bistveni in pomembni subjekti morajo pristojni nacionalni organ in za njih pristojno skupino CSIRT obvestiti o svojem sodelovanju pri dogovorih o izmenjavi informacij o kibernetski varnosti iz drugega odstavka tega člena, in to po sklenitvi takih dogovorov ali o odstopu od dogovora, ko odstop začne veljati. Skrbnik takšnega dogovora pošlje obvestilo pristojnemu nacionalnemu organu in pristojni skupini CSIRT v 15 dneh od nastanka dogodka.
\n
(5)Na zaprosilo zavezancev iz tega zakona lahko pristojni nacionalni organ ali skupine CSIRT sodelujejo pri posamičnem dogovoru iz prejšnjega odstavka in pri tem določijo pogoje glede informaciji, ki jih dajo na voljo.
\n
35. člen(prostovoljna priglasitev)
\n
(1)Zavezanci lahko poleg obvezne priglasitve iz 30. člena tega zakona pristojni skupini CSIRT prostovoljno priglasijo incidente, kibernetske grožnje in skorajšnje incidente in jim predložijo ustrezne informacije.
\n
(2)Subjekti, ki niso zavezanci po tem zakonu, lahko, ne glede na to, ali spadajo na področje uporabe tega zakona, skupini CSIRT iz prvega odstavka 13. člena tega zakona prostovoljno priglasijo pomembne incidente, kibernetske grožnje in skorajšnje incidente in ji predložijo ustrezne informacije.
\n
(3)Prostovoljno priglasitev iz prvega in drugega odstavka tega člena skupine CSIRT obravnavajo v skladu s postopkom iz 30. člena tega zakona. Pri prostovoljnem poročanju za priglasitveni subjekt ne nastanejo dodatne obveznosti.
\n
(4)Pristojne skupine CSIRT po potrebi informacije o priglasitvah, prejetih v skladu s tem členom, pošljejo pristojnemu nacionalnemu organu v vlogi enotne kontaktne točke, pri čemer poskrbijo za zaupnost in ustrezno varstvo informacij, ki jih je poslal priglasitveni subjekt.
\n
(5)Pristojne skupine CSIRT lahko pred prostovoljnimi priglasitvami prednostno obravnavajo obvezne priglasitve. Pri določanju vrstnega reda obdelave prostovoljnih priglasitev upoštevajo vpliv prostovoljno priglašenih incidentov na neprekinjeno izvajanje storitev zavezanih subjektov in morebitni čezmejni vpliv.
\n
(6)Prostovoljne priglasitve, ki nimajo vpliva ali imajo zanemarljiv vpliv na izvajanje storitev zavezancev in imajo zanemarljiv čezmejni vpliv, se obdelajo le, kadar takšna obdelava skupinam CSIRT ne pomeni nesorazmernega ali neupravičenega bremena.
\n
(7)Prostovoljna priglasitev ustreznih informacij iz tega člena se lahko izvaja tudi po namenski digitalni platformi iz desetega odstavka 30. člena tega zakona, po kateri poteka tudi izmenjava informacij med sodelujočimi organi na podlagi drugega odstavka 18. člena tega zakona. Sodelujoči organi imajo dostop do informacij o priglasitvah subjektov, ki so povezane z njihovim področjem dela.
\n
VII. VREDNOTENJE INCIDENTA, OCENA OGROŽENOSTI IN UKREPANJE
\n
36. člen(vrednotenje incidenta in ukrepanje)
\n
(1)Priglašene incidente ob njihovem reševanju vrednoti pristojna skupina CSIRT, ki poleg določb tega člena pri tem upošteva tudi nacionalni načrt odzivanja iz drugega odstavka 12. člena tega zakona. Če ima organ državne uprave zagotovljene zmogljivosti vsaj na ravni varnostno-operativnega centra, pristojna skupina CSIRT opravi vrednotenje po predhodnem posvetu z varnostno-operativnim centrom organa državne uprave. Če pristojni nacionalni organ ugotovi, da ocena pristojne skupine CSIRT ne izraža realnega stanja ali so bila ugotovljena nova dejstva, lahko incident prevrednoti. Varnostni dogodki in incidenti se vrednotijo v naslednje stopnje s poimenovanjem:
\n
1.C6 dogodek ‒ zaznane kibernetske aktivnosti, ki nimajo negativnega vpliva na omrežja in informacijske sisteme ali informacijske storitve zavezancev. Zaznan ali možen vpliv na posamezne fizične osebe ali posamezna podjetja v državi, ki niso zavezanci;
\n
2.C5 skorajšnji incident ‒ pomeni dogodek, ki bi lahko ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih omrežni in informacijski sistemi zagotavljajo ali so prek njih dostopni, vendar se je preprečilo, da bi se ta dogodek uresničil, ali se ni uresničil;
\n
3.C4 lažji incident ‒ enkraten incident, ki glede na parametre določitve pomembnosti vpliva incidenta zadevnemu subjektu ni povzročil in ne more povzročiti znatne operativne motnje pri opravljanju storitev ali finančne izgube ter ni vplival in ne more vplivati na druge fizične ali pravne osebe s povzročitvijo precejšnje premoženjske ali nepremoženjske škode. Takšen incident ne sme imeti negativnega medsektorskega vpliva ali negativnega vpliva na delovanje informacijskih sistemov obrambe, notranje varnosti ter sistema zaščite in reševanja;
\n
4.C3 težji incident ‒ enkraten pomemben incident ali zaporedje več različnih incidentov v kratkem obdobju, ki je glede na parametre določitve pomembnosti vpliva incidenta zadevnemu subjektu povzročil ali bi mu lahko povzročil znatne operativne motnje pri opravljanju storitev ali finančne izgube, je vplival ali bi lahko vplival na druge fizične ali pravne osebe s povzročitvijo precejšnje premoženjske ali nepremoženjske škode ali ima negativen medsektorski vpliv ali negativen vpliv na delovanje informacijskih sistemov obrambe, notranje varnosti ter sistema zaščite in reševanja;
\n
5.C2 težji incident ‒ enkraten pomemben incident ali zaporedje več različnih incidentov v kratkem obdobju, kadar obstaja možnost, da preraste v kritični incident, in 6. C1 kritični incident ‒ pomemben incident, ki poleg vplivov iz 4. točke tega odstavka povzroči tudi oteženo delovanje države, še posebej izvajanje nalog obrambe, notranje varnosti ter zaščite in reševanja, ali delno onemogoči delovanje vsaj treh visoko kritičnih sektorjev iz Priloge 1 ali enega v celoti.
\n
(2)Pristojni nacionalni organ na podlagi podatkov in stopnje incidenta iz prejšnjega odstavka, ki mu jih sproti sporočajo skupine CSIRT, presodi, ali gre hkrati tudi za kibernetski incident velikih razsežnosti ali krizo.
\n
(3)Pristojni nacionalni organ mora o kritičnem incidentu nemudoma obvestiti vlado, SNAV in osrednji organ za odzivanje na hibridne grožnje, lahko pa jih glede na presojo relevantnih okoliščin obvesti tudi o težjem incidentu, kadar obstaja možnost, da preraste v kritični incident.
\n
(4)Pristojni nacionalni organ o težjih kibernetskih incidentih C3 in C2 obvešča osrednji organ za odzivanje na hibridne grožnje.
\n
(5)Pristojni nacionalni organ lahko zavezancu v primeru težjega incidenta C3 ali C2 ali kritičnega incidenta C1 s pisno odločbo določi takšne primerne in sorazmerne ukrepe, kot je potrebno za zaustavitev incidenta, ki že poteka, ali za odpravo njegovih posledic. V nujnih primerih, ko bi izdaja pisne odločbe zaradi poteka časa lahko negativno vplivala na učinkovitost takšnih ukrepov, lahko pristojni nacionalni organ zavezancu določi zadevne ukrepe tudi z ustno odločbo. V tem primeru se zavezancu pisni odpravek ustne odločbe vroči najpozneje v 48 urah po ustni odločbi.
\n
(6)Če pristojna skupina CSIRT presodi, da nima vseh nujno potrebnih dejstev za opredelitev incidenta in za preprečitev nadaljnjih škodljivih posledic takšnega incidenta, za ugotovitev dejanskega stanja od zavezanca s pisnim pozivom zahteva podatke in pojasnila ali v nujnih primerih z ustnim pozivom, ko bi pisni poziv zaradi poteka časa lahko negativno vplival na učinkovitost reševanja zadevnega incidenta. Pri tem pristojna skupina CSIRT določi tudi rok za predložitev takšnih podatkov in pojasnil.
\n
(7)Če zavezanec v postavljenem roku iz prejšnjega odstavka pristojni skupini CSIRT ne pošlje zahtevanih podatkov in pojasnil, lahko pristojni nacionalni organ na predlog pristojne skupine CSIRT s pisno odločbo zahteva predložitev podatkov in pojasnil ter določi rok za njihovo predložitev. V nujnih primerih, ko bi izdaja pisne odločbe zaradi poteka časa lahko negativno vplivala na učinkovitost reševanja zadevnega incidenta, lahko pristojni nacionalni organi o tem odloči tudi z ustno odločbo. V tem primeru se zavezancu pisni odpravek ustne odločbe vroči najpozneje v 48 urah po ustni odločbi.
\n
(8)Ukrepi, izdani na podlagi petega, šestega in sedmega odstavka tega člena, se določijo v takšnem obsegu in za toliko časa, kot je nujno potrebno za dosego namena iz petega odstavka tega člena. Podatki in informacije, zahtevani na podlagi prejšnjega odstavka, se zahtevajo v obsegu in roku, kot je to nujno potrebno za dosego namena iz prejšnjega odstavka. Zoper odločbi iz četrtega in sedmega odstavka tega člena ni dovoljena pritožba, dovoljen pa je upravni spor.
\n
(9)Pristojni nacionalni organ lahko za preprečitev nastanka krize ali za njeno obvladovanje ali za hitrejše obvladovanje razmer in omejevanje nadaljnjih škodljivih posledic težjega incidenta C2 ali kritičnega incidenta C1 izda pisno odredbo, s katero pri zavezancih odredi izvedbo nujnih ukrepov. Pri tem določi zlasti vrsto in obseg del, ki jih je treba opraviti pri zavezancu, ter rok za njihovo izvedbo. V nujnih primerih, ko bi izdaja pisne odredbe zaradi poteka časa lahko negativno vplivala na preprečitev nastanka krize ali njenega obvladovanja, lahko pristojni nacionalni organ o tem odloči tudi z ustno odredbo. V tem primeru se zavezancu pisni odpravek ustne odredbe vroči najpozneje v 48 urah po ustni odredbi.
\n
(10)Pristojni nacionalni organ o ukrepih iz petega in osmega odstavka tega člena obvesti vlado in SNAV ter osrednji organ za odzivanje na hibridne grožnje.
\n
37. člen(ocena ogroženosti)
\n
(1)Pristojni nacionalni organ izdela na podlagi podatkov in informacij, ki se nanašajo na varnost omrežij in informacijskih sistemov, oceno ogroženosti kibernetske varnosti v Republiki Sloveniji (v nadaljnjem besedilu: ocena ogroženosti). Za izdelavo ocene ogroženosti od organov, ki spadajo med ključne dele nacionalnega varnostnega sistema, na podlagi zaprosila pridobi tudi druge podatke, ki bi lahko vplivali na to oceno ogroženosti, in sicer v obsegu, kot je to nujno potrebno za izdelavo ocene ogroženosti. Pristojni nacionalni organ oceno ogroženosti preverja in po potrebi posodablja mesečno ali ob nenadni spremembi varnostnih razmer tudi prej. Pri tem ogroženost vrednoti kot:
\n
–nizka ogroženost,
\n
–srednja ogroženost,
\n
–visoka ogroženost,
\n
–kritična ogroženost.
\n
(2)Ne glede na oceno ogroženosti iz prejšnjega odstavka zavezanci izvajajo najmanj ukrepe iz 21. in 22. člena tega zakona.
\n
(3)Če je ocena ogroženosti ovrednotena kot srednja, pristojni nacionalni organ o tem obvesti zavezance, pri tem jim lahko priporoči izvedbo dodatnih ukrepov za varnost omrežij ali informacijskih sistemov. Pristojni nacionalni organ lahko o tem obvesti tudi splošno javnost na svojem spletnem mestu in v sredstvih javnega obveščanja ter lahko hkrati priporoči tudi ustrezne ukrepe.
\n
(4)Kadar je ocena ogroženosti ovrednotena kot kritična, pristojni nacionalni organ o tem nemudoma obvesti vlado, SNAV in osrednji organ za odzivanje na hibridne grožnje, lahko pa jih glede na presojo relevantnih okoliščin in informacij obvesti tudi, kadar je ogroženost ovrednotena kot visoka. O oceni ogroženosti visoka ali kritična pristojni nacionalni organ obvesti zavezance, lahko pa obvesti tudi splošno javnost na svojem spletnem mestu in v sredstvih javnega obveščanja ter lahko hkrati priporoči tudi ustrezne ukrepe. Pristojni nacionalni organ o preklicu ali spremembi ocene ogroženosti kritična ali visoka obvesti predhodno obveščene deležnike iz tega odstavka.
\n
(5)V primerih ocene visoke ogroženosti morajo zavezanci nemudoma začeti izvajati vsaj naslednje dodatne varnostne ukrepe in jih izvajajo do preklica takšne ogroženosti:
\n
–spremljanje varnostnih obvestil pristojne skupine CSIRT ali pristojnega nacionalnega organa, ki se nanašajo na razglašeno ogroženost visoka,
\n
–preverjanje ustreznega ohranjanja dnevniških zapisov o delovanju svojih ključnih, krmilnih in nadzornih informacijskih sistemov in delov omrežja,
\n
–takojšnje izvajanje varnostnih navodil skupine CSIRT ali pristojnega nacionalnega organa, ki se nanašajo na razglašeno ogroženost visoka, in
\n
–poročanje o stanju varnosti svojih omrežij in informacijskih sistemov in o izvajanju ukrepov na način, kot to izhaja iz varnostnega navodila iz prejšnje alineje.
\n
(6)V primerih ocene kritične ogroženosti morajo zavezanci poleg ukrepov iz prejšnjega odstavka nemudoma začeti izvajati tudi naslednje dodatne varnostne ukrepe in jih izvajajo do preklica takšne ogroženosti:
\n
1.stalno spremljanje varnostnih obvestil pristojne skupine CSIRT ali pristojnega nacionalnega organa, ki se nanašajo na razglašeno kritično ogroženost, 2. preverjanje ustreznega delovanja beleženja in ohranjanja dnevniških zapisov iz 24. člena tega zakona ter poročanje o tem in morebitnih izvedenih aktivnostih v skladu s 6. točko tega odstavka, 3. spremljanje celotnega prometa na svojem omrežju za ugotavljanje anomalij in poročanje o tem ter morebitnih izvedenih aktivnostih v skladu s 6. točko tega odstavka, 4. takojšnje izvajanje morebitnih varnostnih navodil skupine CSIRT ali pristojnega nacionalnega organa, ki se nanašajo na razglašeno kritično ogroženost, 5. takojšnja priglasitev incidentov ne glede na roke iz 30. člena tega zakona, 6. vsaj tedensko poročanje pristojni skupini CSIRT o stanju varnosti svojih omrežij in informacijskih sistemov, tudi glede zaznav varnostnih dogodkov in s tem povezanih aktivnosti, ter o izvajanju varnostnih navodil iz 1. točke tega odstavka in 7. pogostejše poročanje pristojni skupini CSIRT o vsebinah iz prejšnje točke, če tako izhaja iz varnostnega navodila iz 1. točke tega odstavka.
\n
(7)Ne glede na peti in šesti odstavek tega člena lahko pristojni nacionalni organ zavezancu s pisno odločbo določi takšne primerne in sorazmerne ukrepe, kot je to nujno potrebno za zmanjšanje ogroženosti. V nujnih primerih, ko bi lahko izdaja pisne odločbe zaradi poteka časa negativno vplivala na učinkovitost ukrepov za zmanjšanje ogroženosti, lahko pristojni nacionalni organ zavezancu določi zadevne ukrepe tudi z ustno odločbo. V tem primeru se zavezancu pisni odpravek ustne odločbe vroči najpozneje v 48 urah po ustni odločbi.
\n
(8)Ukrepi, izdani na podlagi prejšnjega odstavka, se določijo v takšnem obsegu in za toliko časa, kot je to nujno potrebno za dosego namena iz prejšnjega odstavka. Zoper odločbo iz prejšnjega odstavka ni dovoljena pritožba, dovoljen pa je upravni spor.
\n
(9)Pristojni nacionalni organ lahko za nižanje ocene visoke ali kritične ogroženosti ter posledično zaradi preprečitve nastanka krize ali njenega obvladovanja izda pisno odredbo, s katero odredi izvedbo nujnih ukrepov pri zavezancih, varnostno-operativnih centrih organov državne uprave ali pri skupinah CSIRT. V odredbi se navedejo zlasti vrsta in obseg del, ki jih je treba opraviti pri prej navedenih subjektih, ter rok za njihovo izvedbo. Če bi lahko izdaja pisne odredbe zaradi poteka časa negativno vplivala na učinkovitost ukrepov za nižanje zadevne ocene ogroženosti, lahko pristojni nacionalni organ o tem odloči tudi z ustno odredbo. V tem primeru se zavezancu pisni odpravek ustne odredbe vroči najpozneje v 48 urah po ustni odredbi.
\n
(10)Pristojni nacionalni organ o ukrepih iz sedmega in devetega odstavka tega člena obvesti vlado in SNAV ter osrednji organ za odzivanje na hibridne grožnje.
\n
VIII. KIBERNETSKA OBRAMBA
\n
38. člen(kibernetska obramba)
\n
Za preprečevanje kibernetskih groženj in incidentov v kibernetskem prostoru in za ublažitev njihovih vplivov se izvaja kibernetska obramba, ki vključuje vse plasti kibernetskega prostora, in sicer družbeno, logično-tehnično in fizično. Pri tem:
\n
–družbena plast zajema uporabnike medsebojno povezanih komunikacij, ki so lahko fizične ali pravne osebe in njihove virtualne identitete,
\n
–logično-tehnična plast zajema digitalne podatke iz tretje alineje 31. točke 5. člena tega zakona in
\n
–fizična plast zajema omrežja in naprave iz prve in druge alineje 31. točke 5. člena tega zakona.
\n
39. člen(kibernetska obramba na ravni državnih organov)
\n
(1)Ukrepe in dejavnosti kibernetske obrambe na ravni državnih organov usklajujejo in izvajajo pristojni nacionalni organ, skupine CSIRT ter ministrstvo, pristojno za obrambo, ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov, ministrstvo, pristojno za zunanje zadeve, ministrstvo, pristojno za notranje zadeve, Policija, Slovenska obveščevalno-varnostna agencija in drugi državni organi v skladu s svojimi pristojnostmi pri zagotavljanju nacionalne varnosti. Na različnih ravneh izvajajo usklajene organizacijske, logično-tehnične, tehnične in administrativne ukrepe ter dejavnosti za zagotavljanje celovite kibernetske varnosti v skladu s svojimi pristojnostmi. Koordinacijo kibernetske obrambe na ravni državnih organov izvaja pristojni nacionalni organ, ki v ta namen vzpostavi koordinacijsko skupino.
\n
(2)Organi iz prejšnjega odstavka zagotavljajo ustrezne zmogljivosti za kibernetsko obrambo na področjih, za katera so pristojni. V ta namen lahko vzpostavijo svoje varnostno-operativne centre organov državne uprave, ki izpolnjujejo vsaj minimalni obseg zahtev:
\n
–stalno zagotavljanje razpoložljivosti svojih komunikacijskih kanalov,
\n
–prostori in podporni informacijski sistemi so na varnih krajih,
\n
–zagotovijo zaupnost in zanesljivost svojih dejavnosti,
\n
–imajo dovolj osebja za zagotavljanje neprekinjene razpoložljivosti storitev, pri čemer zagotavljajo, da je to osebje ustrezno usposobljeno, in
\n
–imajo nadomestne sisteme in nadomestni delovni prostor, da se zagotovi neprekinjeno izvajanje njihovih storitev.
\n
(3)Pristojni nacionalni organ, ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov, ministrstvo, pristojno za obrambo, ministrstvo, pristojno za zunanje zadeve, ter Policija in Slovenska obveščevalno-varnostna agencija stalno spremljajo stanje in odzive na dogodke v kibernetskem prostoru na področju svojega delovanja.
\n
(4)Pristojni nacionalni organ za izvajanje 2. točke drugega odstavka 10. člena tega zakona za zgodnje zaznavanje kibernetskih groženj vzpostavi situacijski center kibernetske obrambe, ki je namenjen zaznavanju in spremljanju kibernetskih groženj ter izvajanju postopkov za zamejitev posledic kibernetskih groženj. Nosilci obrambnega načrtovanja, ki so določeni na podlagi zakona, ki ureja obrambo, se lahko vključijo v situacijski center kibernetske obrambe, ki v primeru njihove vključitve pristojnemu nacionalnemu organu omogoči neposreden, nujen in sorazmeren vpogled v delovanje njihovega omrežnega in informacijskega sistema. Situacijski center kibernetske obrambe deluje kot notranja organizacijska enota pristojnega nacionalnega organa.
\n
(5)Pristojni nacionalni organ lahko zmogljivost situacijskega centra kibernetske obrambe ponudi tudi bistvenim in pomembnim subjektom, ki niso nosilci obrambnega načrtovanja iz prejšnjega odstavka. Pri tem vključeni subjekti za zgodnje zaznavanje kibernetskih groženj omogočijo pristojnemu nacionalnemu organu neposreden, nujen in sorazmeren vpogled v delovanje svojega omrežnega in informacijskega sistema.
\n
(6)Pristojni organi iz prvega odstavka tega člena priglasijo vzpostavitev varnostno-operativnega centra organa državne uprave pristojnemu nacionalnem organu v 30 dneh od njegove vzpostavitve in hkrati predložijo izjavo o izpolnjevanju zahtev iz drugega odstavka tega člena.
\n
(7)Izvajanje kibernetske obrambe iz prvega odstavka tega člena se dopolnjuje z vključevanjem organov in skupin CSIRT iz tega člena v mednarodne povezave in njihovim aktivnim sodelovanjem v teh povezavah ter z drugimi oblikami večstranskega in dvostranskega sodelovanja.
\n
(8)Varnostno-operativni centri organov državne uprave pristojnemu nacionalnemu organu predložijo tedensko in letno poročilo o izvajanju svojih nalog. Poročilo obsega informacijo o pomembnih incidentih, ki so jih priglasili pristojni skupini CSIRT, in o drugih incidentih, ki so jih zaznali.
\n
40. člen(sodelovanje na področju kibernetske obrambe)
\n
(1)Za kibernetsko obrambo lahko pristojni nacionalni organ sodeluje s subjekti javne uprave, gospodarstva, z raziskovalno-razvojnimi organizacijami, znanstvenimi institucijami, interesnimi združenji in posamezniki.
\n
(2)Pristojni nacionalni organ lahko za izvajanje kibernetske obrambe k sodelovanju povabi tudi posameznike:
\n
–ki so državljani Republike Slovenije,
\n
–ki niso s pravnomočno odločbo postavljeni pod skrbništvo,
\n
–ki so stari najmanj 18 let,
\n
–ki niso pravnomočno obsojeni zaradi naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti, in niso obsojeni na nepogojno kazen zapora v trajanju več kot šest mesecev oziroma niso pravnomočno obsojeni za kazniva dejanja iz 221. in 237. člena Kazenskega zakonika (Uradni list RS, št. 50/12 – uradno prečiščeno besedilo, 6/16 – popr., 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP in 16/23; v nadaljnjem besedilu KZ-1),
\n
–zoper katere ni vložena pravnomočna obtožnica zaradi naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti, oziroma ni bil uveden kazenski postopek zaradi suma storitve kaznivega dejanja iz 221. in 237. člena KZ-1,
\n
–imajo soglasje delodajalca, če so v delovnem razmerju,
\n
–imajo ustrezna znanja in kompetence za izvajanje nalog s področja informacijske in kibernetske varnosti ter
\n
–se strinjajo s psihološkim testiranjem in varnostnim preverjanjem po 99. členu Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19 in 153/21 – odl. US).
\n
(3)Pristojni nacionalni organ povabilo k sodelovanju iz prejšnjega odstavka objavi na osrednjem spletnem mestu državne uprave.
\n
(4)Pristojni nacionalni organ opravi izbor kandidatov za sodelovanje pri kibernetski obrambi iz drugega odstavka tega člena ter zanje začne postopka psihološkega testiranja in varnostnega preverjanja iz zadnje alineje drugega odstavka tega člena. Po uspešno opravljenem varnostnem preverjanju jih uvrstitvi na seznam posameznikov, ki sodelujejo pri kibernetski obrambi. Ta seznam vsebuje:
\n
–ime, priimek in rojstne podatke,
\n
–davčno številko,
\n
–naziv, naslov, telefonsko številko in elektronski naslov,
\n
–doseženo izobrazbo,
\n
–morebitno zaposlitev in
\n
–znanja in kompetence.
\n
(5)Pristojni nacionalni organ ponudi posamezniku s seznama iz prejšnjega odstavka sklenitev pogodbenega razmerja, v katerem se uredijo vrsta oziroma oblika pogodbenega razmerja, medsebojne pravice in dolžnosti ter nagrada. Če je posameznik v delovnem razmerju, se za ureditev njegovih pravic in dolžnosti upoštevajo določbe o dopolnilnem delu iz zakona, ki ureja delovna razmerja. Pristojni nacionalni organ po sklenitvi pogodbenega razmerja za posameznika organizira priprave, dodatna usposabljanja in vaje za delovanje na področju kibernetske obrambe.
\n
(6)Pristojni nacionalni organ glede na potrebe in stanje ogroženosti kibernetske varnosti oblikuje eno ali več operativnih skupin za kibernetsko obrambo, v katere vključi posameznike, s katerimi ima sklenjeno pogodbo iz prejšnjega odstavka, in predstavnike državnih organov, organov lokalne samouprave, gospodarskih družb, zavodov in drugih organizacij iz prvega odstavka tega člena, ki so varnostno preverjeni, kot to določa osma alineja drugega odstavka tega člena. Pri oblikovanju operativnih skupin se upoštevajo tudi morebitna nasprotja interesov posameznikov do zavezancev.
\n
(7)Direktor pristojnega nacionalnega organa imenuje vodjo in namestnika posamezne operativne skupine iz prejšnjega odstavka. Kadar se za vodjo ali namestnika imenuje osebo državnega organa, ki ni uslužbenec pristojnega nacionalnega organa, se zagotovi soglasje njegovega predstojnika. Administrativno-tehnične pogoje za delovanje operativnih skupin iz prejšnjega odstavka zagotovi pristojni nacionalni organ.
\n
(8)Sodelovanje javnih uslužbencev v operativni skupini iz šestega in sedmega odstavka tega člena je v interesu delodajalca v skladu z določbami o opravljanju dodatnega dela v interesu delodajalca iz zakona, ki ureja javne uslužbence.
\n
41. člen(dodatna pomoč na področju kibernetske obrambe)
\n
(1)Pristojni nacionalni organ lahko nudi zavezancem dodatno pomoč na področju kibernetske obrambe v primeru kibernetskih groženj in incidentov, o katerih pristojni nacionalni organ obvešča vlado in SNAV v skladu s tem zakonom, ter v primeru kibernetskih incidentov velikih razsežnosti ali kriz.
\n
(2)Zavezanec ali pristojna skupina CSIRT lahko pristojni nacionalni organ zaprosi za dodatno pomoč iz prejšnjega odstavka, pri čemer se v prošnji navedejo okoliščine, zaradi katerih se prosi za pomoč. Nudenje dodatne pomoči v vsakem posamičnem primeru odobri direktor pristojnega nacionalnega organa, pri čemer upošteva vidike nujnosti obvladovanja stanja ali dogodkov iz prejšnjega odstavka, razpoložljivosti operativnih skupin in drugih zmogljivosti za izvajanje kibernetske obrambe ter aktualno oceno kibernetske varnosti v državi. O načinu in pravilih nudenja dodatne pomoči in možnosti vključitve operativnih skupin iz prejšnjega člena se uskladijo pristojni nacionalni organ, pristojna skupina CSIRT in zavezanec, pri čemer upoštevajo tudi pravila, ki jih določa nacionalni načrt odzivanja.
\n
(3)Če pomoč iz prejšnjega odstavka ni odobrena, pristojni nacionalni organ s tem seznani prosilca iz prejšnjega odstavka, ki lahko v primeru spremenjenih okoliščin znova zaprosi za pomoč.
\n
42. člen(pomoč pri kibernetski obrambi v Evropski uniji)
\n
(1)Republika Slovenija lahko za pomoč pri izvajanju kibernetske obrambe zaprosi druge države članice Evropske unije oziroma ustrezne institucije, organe, urade in agencije Evropske unije. Poleg tega lahko navedenim subjektom nudi pomoč pri izvajanju kibernetske obrambe.
\n
(2)Če pristojni nacionalni organ za obvladovanje stanja ali dogodkov iz prvega odstavka prejšnjega člena presodi, da zavezanci iz tega zakona ali pristojna skupina CSIRT potrebuje pomoč druge države ali držav članic Evropske unije pri kibernetski obrambi Republike Slovenije, o tem nemudoma obvesti SNAV, ki o predlogu zaprosila oblikuje stališče in ga pošlje vladi v odločanje. Medsebojni dogovor o pomoči določi tudi kritje morebitnih stroškov obeh strani, pri čemer morebitne stroške Republike Slovenije krije prejemnik pomoči.
\n
(3)O prejemu zaprosila pristojnih institucij ali organov druge države ali držav članic Evropske unije za nudenje pomoči pri kibernetski obrambi pristojni nacionalni organ obvesti SNAV, ki o predlogu odziva na takšno zaprosilo oblikuje stališče in ga pošlje v odločanje vladi. Pri odzivu na zaprosilo se upoštevata razpoložljivost zmogljivosti za kibernetsko obrambo in aktualna ocena kibernetske varnosti v državi. Medsebojni dogovor o pomoči določi tudi kritje stroškov obeh strani, pri čemer stroške Republike Slovenije zagotovi organ, iz katerega izhaja napotena oseba.
\n
43. člen(pomoč pri kibernetski obrambi na mednarodni ravni)
\n
(1)Republika Slovenija lahko za pomoč pri izvajanju kibernetske obrambe zaprosi tudi tretje države ali mednarodne organizacije, s katerimi ima sklenjene mednarodne sporazume. Poleg tega lahko navedenim subjektom nudi pomoč pri izvajanju kibernetske obrambe.
\n
(2)Za nudenje in prejem pomoči se smiselno uporablja prejšnji člen.
\n
(3)Republika Slovenija lahko sodeluje v skupnih enotah za kibernetsko obrambo, ki jih vzpostavijo mednarodne organizacije, katerih članica je. Odločitev o takšnem sodelovanju na predlog SNAV sprejme vlada.
\n
44. člen(delo v manj ugodnem delovnem času)
\n
(1)Uslužbenci organov, ki izvajajo kibernetsko obrambo, morajo opravljati delo tudi v manj ugodnem delovnem času, kadar je to potrebno za izvajanje s tem zakonom določenih nalog, če to terjajo varnostne razmere ali če je samo tako mogoče opraviti določene naloge, ki jih ni mogoče odlagati ali morajo biti opravljene v določenem roku. Delo v manj ugodnem delovnem času odredi predstojnik organa.
\n
(2)Delo v manj ugodnem delovnem času je:
\n
1.delo v neenakomerno razporejenem delovnem času, 2. delo v izmenah, 3. delo ob sobotah, nedeljah, praznikih in drugih dela prostih dnevih, 4. delo prek polnega delovnega časa, 5. popoldansko in nočno delo in 6. delo v deljenem delovnem času.
\n
(3)Delo v manj ugodnem delovnem času se izvaja s prerazporeditvijo delovnega časa v okviru določene redne mesečne ali letne delovne obveznosti razen v primeru dela preko polnega delovnega časa.
\n
(4)Delovna mesta, na katerih poteka delo v skladu s prejšnjim odstavkom, se določijo v aktu o organizaciji in sistemizaciji.
\n
(5)Ne glede na drugi do četrti odstavek tega člena se za delo v manj ugodnem delovnem času:
\n
–na Ministrstvu za obrambo in v Slovenski vojski uporabljajo določbe, ki urejajo delo v manj ugodnih delovnih pogojih in v manj ugodnem delovnem času v zakonu, ki ureja obrambo, in v zakonu, ki ureja službo v Slovenski vojski,
\n
–v Policiji uporabljajo določbe, ki urejajo delo v manj ugodnih delovnih pogojih in v manj ugodnem delovnem času v zakonu, ki ureja organiziranost in delo v Policiji,
\n
–v Slovenski obveščevalno-varnostni agenciji uporabljajo določbe, ki urejajo delo v manj ugodnih delovnih pogojih in v manj ugodnem delovnem času v zakonu, ki ureja delovanje Slovenske obveščevalno-varnostne agencije, in
\n
–v Upravi Republike Slovenije za zaščito in reševanje uporabljajo določbe, ki urejajo delo v manj ugodnih delovnih pogojih in v manj ugodnem delovnem času v zakonu, ki ureja varstvo pred naravnimi in drugimi nesrečami.
\n
IX. NADZOR
\n
45. člen(splošne določbe)
\n
(1)Za nadzor nad izvajanjem določb tega zakona, na njegovi podlagi sprejetih predpisov in nad izvršitvijo upravnih odločb, izdanih na podlagi petega ali sedmega odstavka 36. člena, sedmega odstavka 37. člena tega zakona, nad izvršitvijo odredb, izdanih na podlagi devetega odstavka 36. člena in devetega odstavka 37. člena tega zakona, so pristojni inšpektorji za informacijsko varnost pristojnega nacionalnega organa (v nadaljnjem besedilu: inšpektor), razen na obrambnem področju, kjer ta nadzor izvaja Inšpektorat Republike Slovenije za obrambo ter na področju obveščevalno-varnostne dejavnosti, kjer ta nadzor izvaja Inšpektorat Republike Slovenije za notranje zadeve.
\n
(2)Inšpektor je pristojen tudi za nadzor nad izvajanjem določb Uredbe 2019/881/EU in izvajanjem evropskih certifikacijskih shem ter nad izvršitvijo upravnih odločb, ki jih nacionalni certifikacijski organ za kibernetsko varnost izda na podlagi sedmega ali osmega odstavka 27. člena tega zakona.
\n
(3)Inšpektor nadzira tudi izvajanje izvedbenih aktov Evropske komisije, sprejetih na podlagi Direktive 2022/2555/EU, ki imajo neposredni učinek v pravnem redu Republike Slovenije.
\n
(4)V postopku nadzora po tem zakonu se uporabljajo določbe zakona, ki ureja inšpekcijski nadzor, če s tem zakonom ni določeno drugače.
\n
(5)Pri opravljanju nalog inšpekcijskega nadzora pri zavezancu iz tega zakona ima inšpektor poleg pravic iz zakona, ki ureja inšpekcijski nadzor, tudi naslednja pooblastila:
\n
1.opraviti inšpekcijski pregled na kraju samem in nadzor na daljavo, ki ju lahko izvede skupaj z usposobljenimi strokovnjaki;
\n
2.opraviti inšpekcijski varnostni pregled, ki temelji na objektivnih, nediskriminatornih, poštenih in preglednih merilih za oceno tveganj;
\n
3.opraviti neposreden vpogled v podatke, dokumentacijo ter v omrežne in informacijske sisteme;
\n
4.preveriti pogoje in način izvajanja ukrepov za obvladovanje tveganj kibernetske varnosti;
\n
5.pregledati območja, objekte in prostore zavezancev, kjer so ključni, krmilni in nadzorni informacijski sistemi in podatki;
\n
6.pregledati dokumentacijo o izvrševanju predpisanih obveznosti obveščanja o kibernetskih incidentih in drugih obveznostih na podlagi zahtev pristojnih organov iz tega zakona;
\n
7.pregledati poročila o izvedbi revizije informacijskih sistemov ter izvedbi varnostnih pregledov omrežja in informacijskih sistemov in 8. pregledati drugo dokumentacijo, potrebno za izvedbo nadzora.
\n
(6)Zavezanci morajo inšpektorju pri izvajanju inšpekcijskega nadzora brez odlašanja predložiti zahtevane informacije in podatke ter omogočiti dostop do sistemov, območij, objektov in prostorov.
\n
(7)Zoper odločbo, izdano v postopkih nadzora po tem zakonu, ni dovoljena pritožba, dovoljen pa je upravni spor.
\n
(8)Inšpektor lahko v inšpekcijskem postopku na podlagi obrazloženega predloga zavezanca za podaljšanje rokov za odpravo nepravilnosti in pomanjkljivosti, ki je podan pred potekom roka za izvedbo odrejenih ukrepov, podaljša roke za odpravo nepravilnosti in pomanjkljivosti oziroma izvedbo odrejenih ukrepov, pri tem pa upošteva že izvedene aktivnosti zavezanca za odpravo nepravilnosti in pomanjkljivosti, objektivne okoliščine za zamudo in posledice za javni interes.
\n
(9)Inšpektor lahko poleg ukrepov, določenih z zakonom, ki ureja inšpekcijski nadzor, odredi tudi ukrepe, določene s tem zakonom, ali ukrepe, določene z Uredbo 2019/881/EU.
\n
46. člen(nadzor bistvenih subjektov)
\n
(1)Inšpektor lahko pri izvajanju svojih nadzornih nalog pri bistvenih subjektih izvaja naključne inšpekcijske nadzore.
\n
(2)Če inšpektor pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je bistveni subjekt kršil ta zakon, drug predpis ali drug akt, katerega izvajanje nadzoruje, ima poleg pravic in dolžnosti iz zakona, ki ureja inšpekcijski nadzor, tudi pravico in dolžnost:
\n
1.odrediti izvedbo redne in ciljno usmerjene revizije skladnosti s predpisi s področja informacijske in kibernetske varnosti, ki jo izvede revizor informacijskih sistemov;
\n
2.odrediti izvedbo izredne revizije skladnosti, ki jo izvede revizor informacijskih sistemov, ko je to utemeljeno zaradi pomembnega incidenta ali ker je bistveni subjekt očitno kršil ta zakon;
\n
3.zavezancu odrediti, da obvesti fizične ali pravne osebe, v zvezi s katerimi opravlja storitve ali izvaja dejavnost in na katere bi lahko vplivala pomembna kibernetska grožnja, o naravi grožnje in o zaščitnih ali popravnih ukrepih, ki jih lahko te fizične ali pravne osebe sprejmejo v odziv na to grožnjo;
\n
4.odrediti, da zavezanec v razumnem roku izvede priporočila, dana na podlagi izvedene revizije skladnosti;
\n
5.imenovati pooblaščeno osebo z natančno opredeljenimi nalogami v določenem obdobju, ki spremlja, ali bistveni subjekt izpolnjuje 21., 22., 29. in 30. člen tega zakona, in 6. zavezancu odrediti, da na določen način objavi kršitve tega zakona.
\n
(3)Če inšpektor ugotovi, da odrejeni ukrepi za odpravo nepravilnosti ali pomanjkljivosti niso bili učinkoviti, bistvenemu subjektu, ki ga takšni ukrepi zadevajo, določi rok, v katerem mora sprejeti potrebne ukrepe za odpravo nepravilnosti ali pomanjkljivosti ali izpolnitev zahtev inšpektorja. Če bistveni subjekt ukrepov ne sprejme v določenem roku, lahko inšpektor z odločbo:
\n
1.začasno prepove izvajanje dela storitev ali dejavnosti ali začasno prepove izvajanje vseh storitev ali dejavnosti, ki jih opravlja bistveni subjekt, in 2. zahteva začasno prepoved opravljanja vodstvenih funkcij vsem osebam, ki za bistveni subjekt opravljajo poslovodne naloge na ravni glavnega izvršnega direktorja ali pravnega zastopnika.
\n
(4)Začasni preklic ali prepoved, naložena na podlagi prejšnjega odstavka, se uporablja samo, dokler zadevni bistveni subjekt ne sprejme potrebnih ukrepov za odpravo pomanjkljivosti ali ne izpolni zahtev inšpektorja, zaradi katerih je bil tak ukrep uporabljen.
\n
(5)Ukrepi iz tretjega odstavka tega člena se ne uporabljajo za subjekte javne uprave na državni ravni.
\n
(6)Inšpektor pri sprejemanju ukrepov iz drugega in tretjega odstavka tega člena upošteva okoliščine vsakega posameznega primera, pri čemer ustrezno upošteva:
\n
1.resnost kršitve in pomembnost kršenih določb, pri čemer se za resne kršitve v vsakem primeru štejejo:
\n
–ponavljajoče se kršitve,
\n
–nepriglasitev ali neodprava pomembnih incidentov,
\n
–neodprava pomanjkljivosti v skladu z zavezujočimi navodili inšpektorja,
\n
–oviranje revizij ali dejavnosti spremljanja, ki jih je odredil inšpektor po ugotovitvi kršitve,
\n
–predložitev napačnih informacij v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost ali obveznostmi poročanja iz 21., 22., 29. ali 30. člena tega zakona;
\n
2.trajanje kršitve;
\n
3.vse relevantne prejšnje kršitve zadevnega bistvenega subjekta;
\n
4.morebitno povzročeno premoženjsko ali nepremoženjsko škodo, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge storitve in številom prizadetih uporabnikov;
\n
5.naklep ali malomarnost storilca kršitve;
\n
6.ukrepe, ki jih je bistveni subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;
\n
7.upoštevanje odobrenih kodeksov ravnanja ali odobrenih mehanizmov certificiranja in 8. raven sodelovanja odgovornih fizičnih ali pravnih oseb z inšpektorjem.
\n
(7)Ukrepi, ki jih inšpektor naloži bistvenim subjektom v zvezi z obveznostmi iz tega zakona, morajo biti učinkoviti, sorazmerni in odvračilni, pri čemer se upoštevajo okoliščine posameznega primera.
\n
(8)Redne in ciljno usmerjene revizije skladnosti iz 1. točke drugega odstavka tega člena temeljijo na ocenah tveganj, ki jih izvedejo pristojni nacionalni organi ali bistveni subjekt, ki je predmet presoje, ali na drugih razpoložljivih informacijah o tveganju. Poročilo o izvedeni ciljno usmerjeni reviziji varnosti se da na voljo inšpektorju.
\n
(9)Stroške redne, izredne ali ciljno usmerjene revizije skladnosti, ki jo opravi revizor informacijskih sistemov, krije bistveni subjekt, razen v ustrezno utemeljenih primerih, ko pristojni organ odloči drugače.
\n
(10)Inšpektor pri izvajanju svojih pooblastil navede namen zahteve in opredeli zahtevane informacije. Pri odreditvi izredne revizije skladnosti iz 2. točke drugega odstavka tega člena inšpektor določi obseg revizije.
\n
(11)Kadar izvaja nadzor nad bistvenim subjektom, ki je na podlagi zakona, ki ureja kritično infrastrukturo, določen kot kritičen, inšpektor obvesti pristojno inšpekcijo za področje kritične infrastrukture. Inšpektor za področje kritične infrastrukture lahko Inšpekciji za informacijsko varnost tudi sam poda obrazloženo pobudo, da izvede nadzor v zvezi s subjektom, ki je na podlagi zakona, ki ureja kritično infrastrukturo, določen kot kritičen.
\n
(12)Inšpektor sodeluje z nadzornimi organi, ki so določeni z zakonom, ki ureja izvajanje Uredbe 2022/2554/EU o digitalni operativni odpornosti za finančni sektor. Pri tem inšpektor zagotovi, da o nadzoru bistvenega subjekta, ki je imenovan za ključnega tretjega ponudnika storitev IKT na podlagi 31. člena Uredbe 2022/2554/EU, o tem obvesti nadzorniški forum, ustanovljen na podlagi prvega odstavka 32. člena Uredbe 2022/2554/EU.
\n
(13)Kadar inšpektor opravlja upravno izvršbo izvršljivih odločb, ki jih je izdal v postopku nadzora bistvenih subjektov in pri tem uporablja prisilne ukrepe z izrekanjem denarnih kazni, pri tem prva denarna kazen ne glede na zakon, ki ureja splošni upravni postopek, ne sme presegati 10.000 eurov. Vsaka poznejša denarna kazen za prisilitev je lahko znova izrečena do tega zneska.
\n
(14)Prejšnji odstavek se ne uporablja za pravne osebe javnega prava.
\n
(15)Predstojnik organa subjekta javne uprave ali odgovorna oseba pravne osebe, ki je bistven subjekt, to je fizična oseba ali osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje pravne osebe oziroma so po zakonu, aktu o ustanovitvi ali pooblastilu pristojne in dolžne zagotoviti zakonito delovanje, je odgovorna oseba za zagotavljanje skladnosti delovanja bistvenega subjekta po tem zakonu (v nadaljnjem besedilu: odgovorna oseba bistvenega subjekta) in odgovarja za kršitve svojih dolžnosti v skladu s tem zakonom.
\n
47. člen(nadzor pomembnih subjektov)
\n
(1)Inšpekcijski nadzor pomembnega subjekta se izvede, če inšpektor prejme dokaze, indice ali informacije, da pomembni subjekt ne izvaja ukrepov za obvladovanje tveganj kibernetske varnosti v skladu s predpisanimi obveznostmi iz tega zakona, ali da ne izpolnjuje obveznosti v zvezi z obveščanjem o kibernetskih incidentih na predpisani način in v predpisanih rokih, ali da ne ravna po zahtevah pristojnega nacionalnega organa iz tega zakona.
\n
(2)Če inšpektor pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je pomembni subjekt kršil ta zakon ali drug predpis ali drug akt, katerega izvajanje nadzoruje, ima poleg pravic in dolžnosti iz zakona, ki ureja inšpekcijski nadzor, tudi pravico in dolžnost:
\n
1.odrediti izvedbo ciljno usmerjene revizije skladnosti s predpisi s področja informacijske in kibernetske varnosti, ki jo izvede revizor informacijskih sistemov, 2. odrediti, da zavezanec obvesti fizične ali pravne osebe, za katere opravlja storitve ali izvaja dejavnosti in na katere bi lahko vplivala pomembna kibernetska grožnja, o naravi grožnje in o zaščitnih ali popravnih ukrepih, ki jih lahko te fizične ali pravne osebe izvedejo v odziv na to grožnjo, 3. odrediti, da zavezanec v razumnem roku izvede priporočila, dana na podlagi ciljno usmerjene revizije skladnosti, in 4. odrediti, da zavezanec na določen način objavi kršitve tega zakona.
\n
(3)Inšpektor pri odreditvi ukrepov iz prejšnjega odstavka spoštuje postopkovne pravice pomembnega subjekta v postopku nadzora in upošteva okoliščine vsakega posameznega primera, pri čemer upošteva:
\n
1.resnost kršitve in pomembnost kršenih določb, pri čemer se za resne kršitve med drugim v vsakem primeru štejejo:
\n
–ponavljajoče se kršitve,
\n
–nepriglasitev ali neodprava pomembnih incidentov,
\n
–neodprava pomanjkljivosti v skladu z zavezujočimi navodili inšpektorja,
\n
–oviranje revizij ali dejavnosti spremljanja, ki jih je inšpektor odredil po ugotovitvi kršitve,
\n
–predložitev napačnih informacij v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost ali obveznostmi poročanja iz 21., 22., 29. in 30. člena tega zakona;
\n
2.trajanje kršitve;
\n
3.vse relevantne prejšnje kršitve zadevnega pomembnega subjekta;
\n
4.morebitno povzročeno premoženjsko ali nepremoženjsko škodo, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge storitve in številom prizadetih uporabnikov;
\n
5.morebitni naklep ali malomarnost storilca kršitve;
\n
6.morebitne ukrepe, ki jih je pomembni subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;
\n
7.morebitno upoštevanje odobrenih kodeksov ravnanja ali odobrenih mehanizmov certificiranja in 8. raven sodelovanja odgovornih fizičnih ali pravnih oseb z inšpektorjem.
\n
(4)Ciljno usmerjene revizije skladnosti iz 1. točke drugega odstavka tega člena temeljijo na ocenah tveganj, ki jih izvedejo pristojni nacionalni organi ali pomembni subjekt, ki je predmet presoje, ali na drugih razpoložljivih informacijah o tveganju. Poročilo o izvedeni ciljno usmerjeni reviziji skladnosti se da na voljo inšpektorju.
\n
(5)Stroške ciljno usmerjene revizije skladnosti, ki jo opravi revizor informacijskih sistemov, krije pomembni subjekt, razen v ustrezno utemeljenih primerih, ko pristojni organ odloči drugače.
\n
(6)Predstojnik organa subjekta javne uprave ali odgovorna oseba pravne osebe, ki je pomembni subjekt, to je fizična oseba ali osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje pravne osebe oziroma so po zakonu, aktu o ustanovitvi ali pooblastilu pristojne in dolžne zagotoviti zakonito delovanje, je odgovorna oseba za zagotavljanje skladnosti delovanja pomembnega subjekta po tem zakonu (v nadaljnjem besedilu: odgovorna oseba pomembnega subjekta) in odgovarja za kršitve svojih dolžnosti v skladu s tem zakonom.
\n
(7)Kadar inšpektor opravlja upravno izvršbo izvršljivih odločb, ki jih je izdal v postopku nadzora pomembnih subjektov in pri tem uporablja prisilne ukrepe z izrekanjem denarnih kazni, prva denarna kazen ne glede na zakon, ki ureja splošni upravni postopek, ne sme presegati 7.000 eurov. Vsaka poznejša denarna kazen za prisilitev je lahko znova izrečena do tega zneska.
\n
(8)Prejšnji odstavek se ne uporablja za pravne osebe javnega prava.
\n
(9)Inšpektor sodeluje z nadzornimi organi, ki so določeni z zakonom, ki ureja izvajanje Uredbe 2022/2554/EU o digitalni operativni odpornosti za finančni sektor. Pri tem inšpektor zagotovi, da o nadzoru pomembnega subjekta, ki je imenovan za ključnega tretjega ponudnika storitev IKT na podlagi 31. člena Uredbe 2022/2554/EU, o tem obvesti nadzorniški forum, ustanovljen na podlagi prvega odstavka 32. člena Uredbe 2022/2554/EU.
\n
48. člen(nadzor subjektov po Uredbi 2019/881/EU)
\n
(1)Inšpekcijski nadzor subjektov po Uredbi 2019/881/EU se izvede, če inšpektor prejme dokaze, indice ali informacije, da organ za ugotavljanje skladnosti, imetnik evropskih certifikatov kibernetske varnosti ali izdajatelj izjav EU o skladnosti ne izpolnjuje zahtev iz Uredbe 2019/881/EU ali evropske certifikacijske sheme.
\n
(2)Inšpektor pri izvajanju svojih pooblastil navede namen zahteve in opredeli zahtevane informacije. Pri odreditvi ciljno usmerjene revizije skladnosti inšpektor določi obseg revizije.
\n
(3)Pri opravljanju nalog inšpekcijskega nadzora pri zavezancu iz Uredbe 2019/881/EU ima inšpektor poleg pravic iz zakona, ki ureja inšpekcijski nadzor, tudi pravico, da opravi inšpekcijski pregled na kraju samem in nadzor na daljavo, ki ju lahko izvede skupaj z usposobljenimi strokovnjaki.
\n
(4)Če inšpektor pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je zavezanec iz Uredbe 2019/881/EU kršil ta zakon ali drug predpis ali drug akt, katerega izvajanje nadzoruje, ima poleg pravic in dolžnosti iz zakona, ki ureja inšpekcijski nadzor, tudi pravico in dolžnost:
\n
1.odrediti izvedbo ciljno usmerjene revizije skladnosti z Uredbo 2019/881/EU, ki jo izvede revizor informacijskih sistemov, in 2. odrediti izvedbo ustreznih ukrepov, da se zagotovi izpolnjevanje zahtev iz Uredbe 2019/881/EU ali evropske certifikacijske sheme.
\n
(5)Inšpektor lahko nacionalnemu certifikacijskemu organu za kibernetsko varnost predlaga preklic evropskega certifikata kibernetske varnosti, kadar tak certifikat ni skladen z Uredbo 2019/881/EU ali z evropsko certifikacijsko shemo.
\n
(6)Poročilo o izvedeni ciljno usmerjeni reviziji skladnosti iz 1. točke četrtega odstavka tega člena se predloži inšpektorju.
\n
(7)Stroške ciljno usmerjene revizije skladnosti, ki jo opravi revizor informacijskih sistemov, krije subjekt iz prvega odstavka tega člena.
\n
49. člen(določitev revizorja informacijskih sistemov)
\n
(1)Bistveni ali pomembni subjekt za izvedbo revizije skladnosti, ki jo zahteva inšpektor po tem zakonu, izbere revizorja informacijskih sistemov. O svoji izbiri in začetku postopka revizije skladnosti s predpisi s področja informacijske varnosti obvesti inšpektorja v 30 dneh od podane zahteve inšpektorja.
\n
(2)Ne glede na prejšnji odstavek lahko bistveni ali pomembni subjekt, ki ima med svojimi zaposlenimi osebo, ki ima status aktivnega preizkušenega revizorja informacijskih sistemov, za zadevno revizijo izbere tudi to svojo zaposleno osebo, če lahko zagotovi nepristranskost in neodvisnost revizorja.
\n
(3)Če bistveni ali pomembni subjekt ne izbere revizorja informacijskih sistemov v skladu s prvim ali drugim odstavkom tega člena, revizorja informacijskih sistemov s sklepom določi inšpektor.
\n
50. člen(kršitve, ki pomenijo kršitev varstva osebnih podatkov)
\n
(1)Inšpektor o obravnavi zadev iz prvega odstavka 45. člena tega zakona, katerih posledica je kršitev varstva osebnih podatkov, obvesti Informacijskega pooblaščenca. Informacijskega pooblaščenca obvesti tudi v primerih suma kršitve varstva osebnih podatkov. O obravnavi takšnih zadev, ki se nanašajo na operaterje po zakonu, ki ureja elektronske komunikacije, inšpektor obvesti tudi Agencijo za komunikacijska omrežja in storitve Republike Slovenije.
\n
(2)Kadar Informacijski pooblaščenec zaradi kršitve varstva osebnih podatkov iz prejšnjega odstavka naloži globo na podlagi zakona, ki ureja varstvo osebnih podatkov, inšpektor zaradi istega ravnanja ne naloži globe, lahko pa naloži ukrepe po tem zakonu.
\n
(3)Kadar ima nadzorni organ, ki je pristojen v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4. 5. 2016, str. 1), sedež v drugi državi članici Evropske unije kot inšpektor, inšpektor obvesti Informacijskega pooblaščenca o možni kršitvi varstva osebnih podatkov iz prvega odstavka tega člena.
\n
51. člen(medsebojna pomoč in čezmejni nadzor)
\n
(1)Kadar bistveni ali pomembni subjekt spada v pristojnost pristojnega nacionalnega organa v skladu z 31. členom tega zakona, vendar opravlja storitve:
\n
–v več kot eni državi članici Evropske unije ali
\n
–v eni ali več državah članicah Evropske unije in so njegovi omrežni in informacijski sistemi v drugi državi članici Evropske unije ali v več kot eni državi članici Evropske unije, lahko inšpektor izvaja inšpekcijski nadzor nad temi subjekti v sodelovanju s pristojnimi organi nadzora zadevnih drugih držav članic Evropske unije. Inšpektor in pristojni organi nadzora drugih držav članic Evropske unije si med seboj pomagajo pri izvajanju takega nadzora.
\n
(2)Za izvajanje medsebojne pomoči iz prejšnjega odstavka inšpektor prek enotne kontaktne točke:
\n
–obvešča pristojne organe nadzora v drugih državah članicah Evropske unije o svojih sprejetih nadzornih ukrepih in izrečenih ukrepih za odpravo nepravilnosti,
\n
–lahko od pristojnega organa nadzora v drugi državi članici Evropske unije zahteva izvedbo nadzornih ukrepov ali izrek ukrepov za odpravo nepravilnosti in
\n
–zahteva od pristojnega organa nadzora v drugi državi članici Evropske unije sorazmerno medsebojno pomoč ali mu na obrazloženo zahtevo zagotovi tako pomoč.
\n
(3)Zahteva za medsebojno pomoč iz zadnje alineje prejšnjega odstavka lahko vključuje zahtevke za predložitev ustreznih informacij in za izvajanje nadzornih ukrepov, vključno z zahtevki za izvajanje inšpekcijskih pregledov na kraju samem, nadzora na daljavo ali ciljno usmerjene varnostne presoje.
\n
(4)Inšpektor, ki mu je bila poslana zahteva pristojnega organa nadzora iz druge države članice Evropske unije za medsebojno pomoč, pri izvajanju inšpekcijskega nadzora iz prvega odstavka tega člena takšne zahteve ne sme zavrniti, razen če ugotovi, da:
\n
–ni pristojen za zagotavljanje zahtevane medsebojne pomoči,
\n
–zahtevana medsebojna pomoč ni skladna s pristojnostmi inšpektorja po tem zakonu in
\n
–se zahteva nanaša na podatke ali dejavnosti, ki bi bile v primeru njihovega razkritja ali izvajanja v nasprotju z interesi nacionalne varnosti, javne varnosti ali obrambe.
\n
(5)Pred zavrnitvijo zahteve iz prejšnjega odstavka se inšpektor posvetuje z drugimi pristojnimi organi nadzora držav članic Evropske unije, ki so tudi pristojne za obravnavo nadzora v konkretnem primeru. Če druga država članica Evropske unije, v katere pristojnost tudi spada obravnava zadevnega postopka nadzora, tako zahteva, se mora inšpektor pred zavrnitvijo zahteve za medsebojno pomoč predhodno posvetovati tudi z Evropsko komisijo in agencijo ENISA.
\n
(6)V primerih iz prvega odstavka tega člena se na podlagi in v okviru skupnega dogovora inšpektorja z za takšen nadzor pristojnimi organi drugih držav članic Evropske unije lahko izvaja skupni inšpekcijski nadzor.
\n
X. KAZENSKE DOLOČBE
\n
52. člen(prekrški bistvenih subjektov)
\n
(1)Z globo v višini od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji, se kaznuje pravna oseba, če:
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega ali petega odstavka 21. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, petega, šestega, sedmega, osmega, devetega, enajstega ali trinajstega odstavka 22. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, petega, šestega, sedmega ali devetega odstavka 24. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, petega, šestega in sedmega odstavka 29. člena tega zakona ali
\n
–ne izpolni obveznosti iz prvega ali drugega odstavka 30. člena tega zakona.
\n
(2)Z globo od 5.000 eurov do 25.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če stori prekršek iz prejšnjega odstavka.
\n
(3)Z globo od 1.000 eurov do 10.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu, samoupravni lokalni skupnosti, če stori prekršek iz prvega odstavka tega člena.
\n
(4)Z globo od 3.000 eurov do 15.000 eurov se kaznuje pravna oseba, če:
\n
1.ne izpolni obveznosti iz drugega ali petega odstavka 8. člena tega zakona, 2. ne izpolni obveznosti iz drugega, tretjega, četrtega ali petega odstavka 20. člena tega zakona, 3. ne izpolni obveznosti iz prvega ali drugega odstavka 25. člena tega zakona, 4. ne izpolni obveznosti iz prvega odstavka 26. člena tega zakona, 5. ne izpolni obveznosti iz šestnajstega odstavka 27. člena tega zakona, 6. ne izpolni obveznosti iz prvega odstavka 28. člena tega zakona, 7. ne izpolni obveznosti iz prvega, drugega ali tretjega odstavka 32. člena tega zakona, 8. ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega ali petega odstavka 33. člena tega zakona, 9. ne izpolni obveznosti iz petega ali šestega odstavka 37. člena tega zakona, 10. ne izpolni obveznosti iz odločbe, izdane na podlagi sedmega ali devetega odstavka 37. člena tega zakona, ali 11. ne izpolni obveznosti iz prvega odstavka 49. člena tega zakona.
\n
(5)Z globo od 1.000 eurov do 10.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če ne izpolni obveznosti iz prejšnjega odstavka tega člena.
\n
(6)Z globo od 500 eurov do 3.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu ali samoupravni lokalni skupnosti, če ne izpolni obveznosti iz četrtega odstavka tega člena.
\n
53. člen(prekrški pomembnih subjektov)
\n
(1)Z globo v višini od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji, se kaznuje pravna oseba, če:
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega ali petega odstavka 21. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, petega, šestega, sedmega, osmega, devetega ali trinajstega odstavka 22. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, šestega, sedmega ali devetega odstavka 24. člena tega zakona,
\n
–ne izpolni obveznosti iz prvega, drugega, tretjega, četrtega, petega, šestega ali sedmega odstavka 29. člena tega zakona ali
\n
–ne izpolni obveznosti iz prvega ali drugega odstavka 30. člena tega zakona.
\n
(2)Z globo od 3.000 eurov do 20.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost in je pomembni subjekt po tem zakonu, če stori prekršek iz prejšnjega odstavka.
\n
(3)Z globo od 1.000 eurov do 7.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu, samoupravni lokalni skupnosti, ki je pomemben subjekt po tem zakonu, če stori prekršek iz prvega odstavka tega člena.
\n
(4)Z globo od 1.000 eurov do 10.000 eurov, se kaznuje pravna oseba, če:
\n
1.ne izpolni obveznosti iz drugega ali petega odstavka 8. člena tega zakona, 2. ne izpolni obveznosti iz drugega, tretjega, četrtega ali petega odstavka 20. člena tega zakona, 3. ne izpolni obveznosti iz tretjega, četrtega ali petega odstavka 25. člena tega zakona, 4. ne izpolni obveznosti iz prvega odstavka 26. člena tega zakona, 5. ne izpolni obveznosti iz šestnajstega odstavka 27. člena tega zakona, 6. ne izpolni obveznosti iz prvega odstavka 28. člena tega zakona, 7. ne izpolni obveznosti iz prvega, drugega ali tretjega odstavka 32. člena tega zakona, 8. ne izpolni obveznosti iz petega ali šestega odstavka 37. člena tega zakona, 9. ne izpolni obveznosti iz odločbe, izdane na podlagi sedmega ali devetega odstavka 37. člena tega zakona, 10. ne izpolni obveznosti iz prvega odstavka 49. člena tega zakona.
\n
(5)Z globo od 500 eurov do 7.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če ne izpolni obveznosti iz prejšnjega odstavka tega člena.
\n
(6)Z globo od 200 eurov do 2.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu ali v samoupravni lokalni skupnosti, če ne izpolni obveznosti iz četrtega odstavka tega člena.
\n
54. člen(prekrški upravljavca centralnega državnega informacijsko-komunikacijskega sistema)
\n
Z globo od 200 eurov do 2.000 eurov se za prekršek kaznuje odgovorna oseba upravljavca centralnega državnega informacijsko-komunikacijskega sistema, če:
\n
–pristojni skupini CSIRT iz prvega odstavka 13. člena tega zakona ne omogoči vpogleda v delovanje informacijske infrastrukture centralnega državnega informacijsko-komunikacijskega sistema (sedmi odstavek 15. člena),
\n
–v svojem informacijsko-komunikacijskem sistemu ne izvede odrejenih ukrepov pristojne skupine CSIRT iz prvega odstavka 13. člena tega zakona (osmi odstavek 15. člena).
\n
55. člen(prekrški za kršitev Uredbe 2019/881/EU)
\n
(1)Z globo od 5.000 do 50.000 eurov se kaznuje za prekršek proizvajalec ali ponudnik proizvodov, storitev ali postopkov IKT, ki je pravna oseba, če v nasprotju s 53. členom Uredbe 2019/881/EU po izvedenem postopku samoocenjevanja skladnosti izda izjavo EU o skladnosti, ki ustreza osnovni ravni zanesljivosti, čeprav proizvod, storitev ali postopek IKT ne izpolnjuje zahteve iz certifikacijske sheme.
\n
(2)Z globo od 1.000 eurov do 10.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, ki je proizvajalec ali ponudnik proizvodov, storitev ali postopkov IKT iz 53. člena Uredbe 2019/881/EU, če stori prekršek iz prejšnjega odstavka.
\n
(3)Z globo od 500 eurov do 5.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu, samoupravni lokalni skupnosti, ki je proizvajalec ali ponudnik proizvodov IKT, storitev IKT ali postopkov IKT iz 53. člena Uredbe 2019/881/EU, če stori prekršek iz prvega odstavka tega člena.
\n
(4)Z globo od 3.000 do 20.000 eurov se kaznuje za prekršek proizvajalec ali ponudnik, ki je pravna oseba, certificiranih proizvodov, storitev in postopkov IKT ali proizvodov, storitev in postopkov IKT, za katere je bila izdana izjava EU o skladnosti iz 55. člena Uredbe 2019/881/EU, če:
\n
–ne da na voljo dodatnih informacij o kibernetski varnosti iz prvega odstavka 55. člena Uredbe 2019/881/EU ali so te informacije nepopolne ali zavajajoče ali
\n
–pred iztekom veljavnosti ustreznega evropskega certifikata kibernetske varnosti ali izjave EU o skladnosti v nasprotju z drugim odstavkom 55. člena Uredbe 2019/881/EU onemogoči dostop do dodatnih informacij o kibernetski varnosti ali informacij ne posodablja.
\n
(5)Z globo od 500 eurov do 7.000 eurov se kaznuje samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, ki je proizvajalec ali ponudnik certificiranih proizvodov, storitev in postopkov IKT ali proizvodov, storitev in postopkov IKT, za katere je bila izdana izjava EU o skladnosti iz 55. člena Uredbe 2019/881/EU, če stori prekršek iz prejšnjega odstavka.
\n
(6)Z globo od 500 eurov do 2.000 eurov se kaznuje odgovorna oseba pravne osebe ali odgovorna oseba samostojnega podjetnika posameznika, odgovorna oseba posameznika, ki samostojno opravlja dejavnost, ter odgovorna oseba v državnem organu ali samoupravni lokalni skupnosti, ki je proizvajalec ali ponudnik certificiranih proizvodov, storitev in postopkov IKT ali proizvodov, storitev in postopkov IKT, za katere je bila izdana izjava EU o skladnosti iz 55. člena Uredbe 2019/881/EU, če stori prekršek iz četrtega odstavka tega člena.
\n
56. člen(odmerjanje sankcij za prekrške)
\n
(1)Poleg splošnih pravil za odmero sankcije iz zakona, ki ureja prekrške, se pri odločanju o višini izrečene globe, če bistveni in pomembni subjekti kršijo 21., 22., 24., 29. ali 30. člen tega zakona, upošteva tudi letni promet ali letna bilančna vsota bistvenega ali pomembnega subjekta v predhodnem poslovnem letu.
\n
(2)Pri odločanju o naložitvi in višini višine globe iz tega člena se upoštevajo okoliščine posameznega primera in elementi iz šestega odstavka 46. člena oziroma tretjega odstavka 47. člena tega zakona.
\n
57. člen(izrekanje globe v hitrem prekrškovnem postopku)
\n
Za prekrške iz tega zakona se sme v hitrem prekrškovnem postopku izreči globa tudi v znesku, ki je višji od najnižje predpisane globe, določene s tem zakonom.
\n
58. člen(uporaba določb o prekrških)
\n
Višina in razponi glob, ki so določeni v 52. in 53. členu tega zakona, veljajo in se uporabljajo ne glede na določbe zakona, ki ureja prekrške.
\n
XI. PREHODNE DOLOČBE
\n
59. člen(skupine CSIRT)
\n
Do določitve skupin CSIRT iz prvega odstavka 13. člena tega zakona njihove naloge izvajata:
\n
–SIGOV-CERT, ki deluje kot notranja organizacijska enota pri pristojnem nacionalnem organu in je pristojen za obravnavo incidentov subjektov javne uprave na državni in lokalni ravni ter ponudnikov storitev zaupanja, ki jih izvajajo subjekti državne uprave, ter
\n
–SI-CERT, ki deluje kot notranja organizacijska enota pri javnem infrastrukturnem zavodu Akademska in raziskovalna mreža Slovenije in je pristojen za obravnavo incidentov, ki jih priglasijo drugi zavezanci iz prvega odstavka 6. člena tega zakona, ki niso zajeti v prejšnji alineji, ter deluje kot koordinator iz prvega odstavka 17. člena tega zakona. Pristojen je tudi za obravnavo prostovoljno priglašenih incidentov subjektov, ki niso zavezanci po tem zakonu v skladu z drugim odstavkom 35. člena tega zakona.
\n
60. člen(vzpostavitev samoregistracije in seznamov ter obveščanje)
\n
(1)Pristojni nacionalni organ vzpostavi mehanizem za samoregistracijo zavezancev iz 6. člena tega zakona po prvem odstavku 8. člena tega zakona v štirih mesecih od uveljavitve tega zakona.
\n
(2)Zavezanci, ki ob uveljavitvi tega zakona izpolnjujejo merila iz 6. in 7. člena tega zakona, opravijo prvo registracijo po mehanizmu za samoregistracijo v šestih mesecih od uveljavitve tega zakona. Do vzpostavitve mehanizma za samoregistracijo se informacije pošljejo v digitalni obliki na elektronski naslov pristojnega nacionalnega organa.
\n
(3)Organi iz sedmega odstavka 8. člena tega zakona prvič pošljejo poimenski seznam iz tega člena pristojnemu nacionalnemu organu v šestih mesecih od uveljavitve tega zakona.
\n
(4)Pristojni nacionalni organ vzpostavi prvi seznam iz četrtega odstavka 8. člena tega zakona v enem mesecu po izteku roka iz prejšnjega odstavka.
\n
(5)Vlada sprejme program usposabljanja odgovornih oseb iz šestega odstavka 20. člena tega zakona v šestih mesecih od uveljavitve tega zakona.
\n
(6)Pristojni nacionalni organ vzpostavi namensko digitalno platformo iz desetega odstavka 30. člena tega zakona v enem letu od uveljavitve tega zakona. Do njene vzpostavitve zadevni subjekti priglasitve iz 29. in 35. člena tega zakona pošiljajo na elektronski naslov pristojne skupine CSIRT iz tega zakona. Do vzpostavitve te platforme tudi izmenjava informacij iz drugega odstavka 18. člena tega zakona poteka v digitalni obliki prek elektronskih naslovov pristojnega nacionalnega organa in sodelujočih organov.
\n
(7)Subjekti iz prvega odstavka 32. člena tega zakona o informacijah iz navedene določbe prvič obvestijo pristojni nacionalni organ v šestih mesecih od uveljavitve tega zakona.
\n
(8)Registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, vzpostavijo politike in postopke iz tretjega in petega odstavka 33. člena tega zakona v šestih mesecih od uveljavitve tega zakona.
\n
(9)Organi iz prvega odstavka 39. člena tega zakona obvestijo pristojni nacionalni organ o varnostno-operativnih centrih organov državne uprave, ki izpolnjujejo zahteve iz drugega odstavka 39. člena tega zakona, v tridesetih dneh od uveljavitve tega zakona.
\n
(10)Organi iz prvega odstavka 39. člena tega zakona obvestijo pristojni nacionalni organ o varnostno-operativnih centrih organov državne uprave, ki ne izpolnjujejo zahtev iz drugega odstavka 39. člena tega zakona, v tridesetih dneh od uveljavitve tega zakona in zagotovijo izpolnjevanje teh v enem letu od uveljavitve zakona.
\n
61. člen(status izvajalcev bistvenih storitev in organov državne uprave)
\n
Subjekti, ki so bili na podlagi drugega ali tretjega odstavka 6. člena Zakona o informacijski varnosti (Uradni list RS, št. 30/18, 95/21, 130/22 – ZEKom-2, 18/23 – ZDU-1O in 49/23; v nadaljnjem besedilu: ZInfV) kot izvajalci bistvenih storitev določeni pred 16. januarjem 2023, in organi državne uprave, ki upravljajo informacijske sisteme in dele omrežja ali izvajajo informacijske storitve, nujne za nemoteno delovanje države ali za zagotavljanje nacionalne varnosti (v nadaljnjem besedilu: organi državne uprave), in so bili kot zavezani organi državne uprave na podlagi prvega odstavka 9. člena ZInfV določeni pred uveljavitvijo tega zakona, so še naprej zavezani kot bistveni subjekti po tem zakonu.
\n
62. člen(sprejetje ukrepov za obvladovanje tveganj)
\n
(1)Bistveni in pomembni subjekti sprejmejo ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost iz 21. in 22. člena tega zakona v osemnajstih mesecih od uveljavitve tega zakona.
\n
(2)Ne glede na prejšnji odstavek bistveni subjekti, ki so bili določeni kot izvajalci bistvenih storitev na podlagi 6. člena ZInfV in organi državne uprave, ki so bili določeni na podlagi 9. člena ZInfV, sprejmejo ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost iz 21. in 22. člena tega zakona v enem letu od uveljavitve tega zakona. Do izteka tega roka se zanje uporabljajo varnostne zahteve, varnostna dokumentacija, varnostni ukrepi in pripadajoče določbe o nadzoru ter kazenske določbe iz ZInfV in predpisa iz druge ali tretje alineje drugega odstavka 69. člena tega zakona.
\n
(3)Ne glede na prvi odstavek tega člena bistveni in pomembni subjekti, ki so operaterji po Zakonu o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O), sprejmejo ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost iz 21. in 22. člena tega zakona v enem letu od uveljavitve tega zakona. Do izteka tega roka se zanje uporabljajo varnostni ukrepi iz VII. poglavja Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O) in splošni akt iz druge alineje tretjega odstavka 69. člena tega zakona.
\n
63. člen(uskladitev podatkovne zbirke o registraciji domenskih imen)
\n
Registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, uskladijo podatkovne zbirke o registraciji domenskih imen z drugim in četrtim odstavkom 33. člena tega zakona za registracije, ki so bile izvedene do uveljavitve tega zakona, v osemnajstih mesecih od uveljavitve tega zakona.
\n
64. člen(izdaja podzakonskih predpisov in strategije)
\n
(1)Vlada izda predpisa iz tretjega odstavka 4. člena in šestega odstavka 20. člena tega zakona v šestih mesecih od uveljavitve tega zakona.
\n
(2)Vlada uskladi Odlok o ustanovitvi, nalogah in organizaciji Urada Vlade Republike Slovenije za informacijsko varnost (Uradni list RS, št. 114/21 in 69/23) s tem zakonom v treh mesecih od njegove uveljavitve.
\n
(3)Vlada sprejme strategijo iz 9. člena tega zakona v enem letu od uveljavitve tega zakona.
\n
(4)Vlada sprejme nacionalni načrt odzivanja iz tretjega odstavka 12. člena tega zakona v treh mesecih od uveljavitve tega zakona.
\n
65. člen(spremembe in dopolnitve Zakona o elektronskih komunikacijah)
\n
V Zakonu o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O):
\n
1.se v 115. členu besedilo člena nadomesti z besedilom: »(1) Operaterji morajo v skladu z zakonom, ki ureja informacijsko varnost, vzpostaviti in vzdrževati dokumentirana SUVI in SUNP ter pri tem sprejeti ustrezne, učinkovite in sorazmerne tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov oziroma za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev ter ukrepe za preprečevanje ali zmanjšanje vpliva incidentov na prejemnike svojih storitev in druge storitve.
\n
(2)Operater mora SUVI in SUNP določiti kot poslovno skrivnost.
\n
(3)V delu, v katerem se SUNP iz prvega odstavka nanaša na zagotavljanje komunikacije v sili, mora biti ta pregledan vsaj enkrat letno. Za njegovo sprejetje in morebitne spremembe ali posodobitve je potrebna predhodna odobritev pristojnih organov, odgovornih za delovanje centrov za sprejem komunikacije v sili.
\n
(4)Če iz dokumentov ali tehničnih priporočila agencije ENISA ter smernic Evropske komisije izhaja, da so zaradi zagotovitve višje ravni kibernetske varnosti ob upoštevanju varnostnih tveganj potrebni tudi sektorsko specifični ukrepi za operaterje, agencija izda splošni akt, s katerim predpiše posebne tehnične usmeritve ter tehnične in organizacijske ukrepe. Pri sprejetju splošnega akta agencija sodeluje z organom, pristojnim za informacijsko varnost.«;
\n
2.se v 116. členu v četrtem odstavku v prvem stavku besedilo »iz tretjega odstavka prejšnjega člena« nadomesti z besedilom »v skladu s prejšnjim členom«;
\n
3.se 118., 119., 120., 121. in 122. člen črtajo;
\n
4.se v 123. členu v prvem odstavku za prvim stavkom doda besedilo, ki se glasi: »Revizija varnosti po tem zakonu ne vključuje primerov iz prvega odstavka 115. člena tega zakona, ki potekajo v skladu z zakonom, ki ureja informacijsko varnost. Agencija lahko pri zahtevi za revizijo in pregledu rezultatov revizije, ki jih zahteva, zaprosi za pomoč pristojni nacionalni organ iz zakona, ki ureja informacijsko varnost.«;
\n
5.se v 124. členu v četrtem odstavku besedilo »se uporablja določba petega odstavka 115. člena tega zakona« nadomesti z besedilom »mora biti ta pregledan vsaj enkrat letno. Za njegovo sprejetje in spremembe ali posodobitve je potrebna predhodna odobritev pristojnih organov, odgovornih za delovanje centrov za sprejem komunikacije v sili.«;
\n
6.se v 128. členu besedilo »določb 120. in 121.« nadomesti z besedilom »prvega odstavka 115.«, poleg tega se na koncu doda nov stavek, ki se glasi: »Agencija nadzira tudi izvajanje odločbe iz prvega odstavka 117. člena tega zakona«;
\n
7.se v 287. členu v prvem odstavku v prvem stavku črta besedilo »ali organa, pristojnega za informacijsko varnost na podlagi 128. člena tega zakona«, besedilo tretjega stavka pa se nadomesti z besedilom »Agencija izvaja tudi nadzor nad izvajanjem odločbe vlade iz prvega odstavka 117. člena tega zakona.«;
\n
8.se v 289. členu črta tretji odstavek;
\n
9.se v 298. členu v prvem odstavku:
\n
–doda nova 1. točka, ki se glasi: »1. ne izvede odločbe vlade iz prvega odstavka 117. člena tega zakona,«;
\n
–dosedanje 1. do 10. točka postanejo 2. do 11. točka;
\n
10.se v 299. členu v prvem odstavku:
\n
–22., 23. in 24. točka spremenijo tako, da se glasijo: »22. ne določi SUVI ali SUNP kot poslovno skrivnost v skladu z drugim odstavkom 115. člena tega zakona, 23. ne sprejme, pregleduje ali posodobi SUNP v delu, ki se nanaša na komunikacije v sili, s predhodno odobritvijo pristojnih organov, ki so odgovorni za delovanje centrov za sprejem komunikacije v sili, v skladu s tretjim odstavkom 115. člena tega zakona, 24. ne upošteva splošnega akta agencije iz četrtega odstavka 115. člena tega zakona,«;
\n
–26., 27., 28. in 29. točka črtajo;
\n
–dosedanje 30. do 119. točka postanejo 26. do 115. točka.
\n
66. člen(dopolnitev Zakona o dostopu do informacij javnega značaja)
\n
V Zakonu o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22) se v 6. členu v prvem odstavku na koncu 11. točke pika nadomesti s podpičjem in doda nova 12. točka, ki se glasi: »12. podatek, ki je opredeljen kot varovani podatek pristojnega nacionalnega organa v skladu z zakonom, ki ureja informacijsko varnost.«.
\n
67. člen(sprememba Zakona o varstvu osebnih podatkov)
\n
V Zakonu o varstvu osebnih podatkov (Uradni list RS, št. 163/22) se v 23. členu v prvem odstavku besedilo »o varnostnih zahtevah« nadomesti z besedilom »o ukrepih za obvladovanje tveganj«, besedilo »izvajalce bistvenih storitev« pa se nadomesti z besedilom »bistvene subjekte«.
\n
68. člen(dokončanje postopkov, začetih pred uveljavitvijo tega zakona)
\n
Upravni in inšpekcijski postopki, ki do uveljavitve tega zakona še niso bili pravnomočno končani, se končajo v skladu z dosedanjimi predpisi.
\n
XII. KONČNI DOLOČBI
\n
69. člen(prenehanje veljavnosti in podaljšanje uporabe)
\n
(1)Z dnem uveljavitve tega zakona preneha veljati Zakon o informacijski varnosti (Uradni list RS, št. 30/18, 95/21, 130/22 – ZEKom-2, 18/23 – ZDU-1O in 49/23).
\n
(2)Z dnem uveljavitve tega zakona prenehajo veljati:
\n
–Uredba o določitvi bistvenih storitev in podrobnejši metodologiji za določitev izvajalcev bistvenih storitev (Uradni list RS, št. 39/19),
\n
–Uredba o varnostni dokumentaciji in varnostnih ukrepih izvajalcev bistvenih storitev (Uradni list RS, št. 8/23),
\n
–Uredba o varnostni dokumentaciji in varnostnih ukrepih organov državne uprave (Uradni list RS, št. 98/23),
\n
–Uredba o varnostni dokumentaciji in minimalnih varnostnih ukrepih povezanih subjektov (Uradni list RS, št. 118/23).
\n
(3)Z dnem uveljavitve tega zakona prenehata veljati:
\n
–Splošni akt o obveščanju in vrednotenju varnostnih incidentov ter o najavi omejitev ali prekinitev (Uradni list RS, št. 74/23), ki se še naprej uporablja v delu, ki se nanaša na najavo omejitev ali prekinitev, in
\n
–Splošni akt o varnosti omrežij, storitev in podatkov (Uradni list, št. 106/23).
\n
70. člen(začetek veljavnosti)
\n
Ta zakon začne veljati petnajsti dan po objavi v Uradnem listu Republike Slovenije.
\n
Št. 011-02/25-7/21 Ljubljana, dne 23. maja 2025 EPA 2057-IX Državni zbor Republike Slovenije mag. Urška Klakočar Zupančič predsednica Priloga 1 Priloga 2 Priloga 3 Kazalo Na vrh