Pravilnik o sadržaju, načinu upisa i vođenja evidencije posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima

Član 1 Predmet

Ovim pravilnikom bliže se propisuju sadržaj, način upisa i vođenja evidencije posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Evidencija).

Član 2 Značenje pojedinih pojmova

(1) Pojedini pojmovi, u smislu ovog pravilnika, imaju sledeće značenje:

1. 1) RFC 2350 (Request for Comments) je tekstualni dokument kojim podnosilac prijave opisuje svoje kapacitete i katalog usluga, kao i metode bezbedne komunikacije, izrađen prema obrascu iz Aneksa D istoimenog dokumenta organizacije Internet Engineering Task Force*;
2. 2) SIM3 (Security Incident Management Maturity Model) je model zrelosti za merenje kvaliteta upravljanja bezbednosnim incidentima u centrima za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima, u pogledu organizacije, ljudskih resursa, alata i procesa. Model razvija i održava Open CSIRT Foundation. Samoprocena se sprovodi prema verziji modela objavljenoj na dan njenog sprovođenja**.

(2) ––––––––––––

(3) * Obrazac dokumenta dostupan je kao Aneks D na adresi https://www.rfc-editor.org/rfc/rfc2350

(4) ** Model i onlajn alat za samoprocenu dostupni su na adresi https://opencsirt.org

Član 3 Sadržaj Evidencije

(1) U Evidenciju se upisuju sledeći podaci:

1. 1) podaci o posebnom centru za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Poseban CERT), i to:

(1) naziv subjekta koji podnosi prijavu;

(2) naziv Posebnog CERT-a;

(3) adresa Posebnog CERT-a (opština, ulica i broj, poštanski broj i mesto, PAK);

(4) matični broj subjekta koji podnosi prijavu;

(5) poresko-identifikacioni broj (PIB) subjekta koji podnosi prijavu;

(6) broj telefona i faksa subjekta koji podnosi prijavu;

(7) adresa veb prezentacije subjekta koji podnosi prijavu;

(8) adresa elektronske pošte subjekta koji podnosi prijavu;

(9) kategorija veličine Posebnog CERT-a prema broju zaposlenih na sistematizovanim radnim mestima koja obuhvataju poslove prevencije i zaštite od bezbednosnih rizika: mali (do tri), srednji (4–10), veliki (preko 10);

(10) elektronska veza ka javno dostupnom RFC 2350 dokumentu Posebnog CERT-a;

(11) samoprocena nivoa zrelosti Posebnog CERT-a prema SIM3 (u formi tabelarnog dokumenta);

1. 2) podaci o odgovornom licu u Posebnom CERT-u, i to: ime, prezime, funkcija i kontakt podaci odgovornog lica u Posebnom CERT-u (adresa, službeni kontakt telefon i službena adresa elektronske pošte);
2. 3) podaci o upisu u Evidenciju Posebnog CERT-a, i to: broj rešenja o upisu i datum upisa, redni broj upisa, vrsta i datum promene upisanih podataka, kao i razlog i datum brisanja iz Evidencije Posebnog CERT-a.

Član 4 Uslovi za upis u Evidenciju

Poseban CERT može biti upisan u Evidenciju ukoliko kumulativno ispunjava sledeće uslove:

1. 1) da ima sedište na teritoriji Republike Srbije;
2. 2) da je pravno lice ili organizaciona jedinica u okviru pravnog lica;
3. 3) da obavlja poslove prevencije i zaštite od bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: IKT sistemi) u okviru određenog pravnog lica, grupe pravnih lica, oblasti poslovanja i slično.

Član 5 Prijava za upis u Evidenciju

Prijava za upis u Evidenciju podnosi se na Obrascu 1 – PRIJAVA ZA UPIS U EVIDENCIJU POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (Posebnih CERT-ova), koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.

Član 6

(1) Uz prijavu za upis u Evidenciju iz člana 5. ovog pravilnika, kao dokaz o obavljanju poslova prevencije i zaštite od bezbednosnih rizika u IKT sistemima, podnosilac prijave je u obavezi da dostavi:

1. 1) izvod iz akta o unutrašnjoj organizaciji i sistematizaciji poslova, kojim se potvrđuje da u okviru pravnog lica koje je podnosilac prijave postoje sistematizovana radna mesta koja obuhvataju poslove prevencije i zaštite od bezbednosnih rizika;
2. 2) popunjen dokument RFC 2350, kojim se potvrđuje oblast u kojoj podnosilac prijave obavlja poslove prevencije i zaštite od bezbednosnih rizika, kao i koju vrstu poslova prevencije i zaštite od bezbednosnih rizika obavlja podnosilac prijave, uz navođenje elektronske veze ka veb prezentaciji na kojoj je taj dokument javno objavljen;
3. 3) izvršenu samoprocenu prema modelu zrelosti upravljanja bezbednosnim incidentima (Security Incident Management Maturity Model – SIM3), kojom se potvrđuje nivo zrelosti Posebnog CERT-a u pogledu organizacije, ljudskih resursa, alata i procesa, dostavljenu u formi tabelarnog dokumenta sa elektronskom vezom ka rezultatima samoprocene na onlajn alatu za samoprocenu.

(2) U okviru polja „Drugo”, podnosilac prijave može dostaviti drugi dokaz o obavljanju poslova prevencije i zaštite od bezbednosnih rizika, kao što je sporazum koji se zaključuje između pravnih lica, ukoliko podnosilac prijave pruža usluge prevencije i zaštite u okviru grupe pravnih lica, odnosno druge dokaze iz kojih se nesporno može utvrditi da obavlja poslove prevencije i zaštite od bezbednosnih rizika.

(3) Samoprocena iz stava 1. tačka 3) ovog člana mora biti potpuna i obuhvatati sve parametre SIM3. Za svaki parametar za koji je naveden nivo zrelosti niži od 2, samoprocena sadrži i obrazloženje razloga takvog stanja. Podnosilac prijave odgovara za tačnost i potpunost samoprocene, a organ, odnosno organizacija nadležna za poslove Nacionalnog centra za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Nacionalni CERT) proverava njenu konzistentnost sa ostalim dokazima dostavljenim uz prijavu.

Član 7 Način podnošenja prijave

(1) Prijava za upis u Evidenciju sa dokazima o obavljanju poslova prevencije i zaštite od bezbednosnih rizika u IKT sistemima može se podneti u pisanom obliku ili elektronskim putem na veb prezentaciji Nacionalnog CERT-a.

(2) U slučaju podnošenja elektronskim putem, prijava za upis u Evidenciju i dokazi koji se prilažu uz prijavu dostavljaju se u formi elektronskog dokumenta u originalu ili u formi overenog digitalizovanog akta, u skladu sa propisima kojima se reguliše elektronski dokument, elektronska identifikacija i usluge od poverenja u elektronskom poslovanju, na adresu elektronske pošte Nacionalnog CERT-a.

Član 8 Odlučivanje o upisu u Evidenciju

(1) O podnetoj prijavi i upisu u Evidenciju odlučuje Nacionalni CERT, rešenjem, u skladu sa zakonom koji uređuje opšti upravni postupak, pri čemu posebno vodi računa o kumulativnoj ispunjenosti uslova propisanih članom 4. ovog pravilnika.

(2) Poseban CERT se upisuje u Evidenciju sa danom određenim u rešenju iz stava 1. ovog člana.

Član 9 Promena podataka

(1) Poseban CERT je u obavezi da obavesti Nacionalni CERT o svim promenama podataka koji su upisani u Evidenciju, i to u roku od osam dana od dana nastanka promene.

(2) Prijava za upis promene podataka sadržanih u Evidenciji podnosi se na Obrascu 2 – PRIJAVA ZA UPIS PROMENE PODATAKA SADRŽANIH U EVIDENCIJI POSEBNIH CENTARA ZA PREVENCIJU BEZBEDNOSNIH RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA (Posebnih CERT-ova), koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.

(3) Prijava za upis promene podataka sadržanih u Evidenciji podnosi se na način utvrđen u članu 7. ovog pravilnika.

(4) O podnetoj prijavi i upisu promene podataka sadržanih u Evidenciji odlučuje Nacionalni CERT na način i u postupku utvrđenom članom 8. ovog pravilnika.

Član 10 Ažuriranje samoprocene

(1) Poseban CERT dostavlja ažuriranu samoprocenu iz člana 6. stav 1. tačka 3) ovog pravilnika u slučaju promene nivoa zrelosti iskazanog u samoproceni, na način i u roku iz člana 9. ovog pravilnika.

(2) Poseban CERT dostavlja ažuriranu samoprocenu i po isteku dve godine od dana dostavljanja poslednje samoprocene.

(3) Ažurirana samoprocena mora biti potpuna i obuhvatiti sve parametre SIM3, uz obrazloženje za parametre sa nivoom zrelosti nižim od 2.

Član 11 Brisanje iz Evidencije

(1) Nacionalni CERT briše Poseban CERT iz Evidencije na osnovu zahteva Posebnog CERT-a, odnosno pravnog lica u okviru koga se nalazi, kao i po službenoj dužnosti ukoliko utvrdi da je Poseban CERT prestao da ispunjava uslove iz člana 4. ovog pravilnika.

(2) Nacionalni CERT odlučuje rešenjem u postupku utvrđivanja ispunjenosti uslova iz člana 4. ovog pravilnika, u skladu sa zakonom koji uređuje opšti upravni postupak.

Član 12 Vođenje i dostupnost Evidencije

(1) Nacionalni CERT vodi i ažurira Evidenciju, koja je u elektronskom obliku javno dostupna na veb prezentaciji Nacionalnog CERT-a.

(2) Javno dostupni deo Evidencije na veb prezentaciji Nacionalnog CERT-a sadrži sledeće podatke: redni broj upisa u Evidenciju, naziv subjekta koji je podneo prijavu, naziv Posebnog CERT-a, adresu Posebnog CERT-a, datum upisa u Evidenciju, adresu veb prezentacije subjekta, adresu elektronske pošte i elektronsku vezu ka javno dostupnom RFC 2350 dokumentu Posebnog CERT-a.

(3) Ostali podaci upisani u Evidenciju nisu javno dostupni i koriste se isključivo u svrhu angažovanja Posebnih CERT-ova u slučaju bezbednosnih rizika i incidenata u IKT sistemima.

Član 13

(1) Posebnim CERT-ovima koji su upisani u Evidenciju do dana stupanja na snagu ovog pravilnika, Nacionalni CERT upućuje zahtev za dostavljanje podataka iz člana 3. tačka 1) podtač. (9)-(10) i člana 6. stav 1. tač. 2) i 3) ovog pravilnika, sa rokom za postupanje koji ne može biti kraći od 30 niti duži od 90 dana od dana prijema zahteva.

(2) Ukoliko Poseban CERT ne postupi po navedenom zahtevu u ostavljenom roku iz stava 1. ovog člana, Nacionalni CERT upućuje pisanu opomenu sa dodatnim rokom od 15 dana. U slučaju da Poseban CERT ne postupi po navedenom zahtevu ni u dodatnom roku, Nacionalni CERT može pokrenuti postupak utvrđivanja ispunjenosti uslova iz člana 4. ovog pravilnika.

Član 14 Prelazna i završne odredbe

Poseban CERT je u obavezi da u svrhu usklađivanja svog poslovanja sa odredbama ovog pravilnika dostavi Nacionalnom CERT-u potrebne podatke na način i u rokovima iz člana 13. ovog pravilnika.

Član 15

Danom stupanja na snagu ovog pravilnika prestaje da važi Pravilnik o sadržaju, načinu upisa i vođenja evidencije posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima („Službeni glasnik RS”, broj 37/20).

Član 16

(1) Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u „Službenom glasniku Republike Srbije“.

(2) Broj 002792281 2026 59011 005 300 012 005 04 004

(3) U Beogradu, 1. oktobra 2026. godine

(4) Predsednik Saveta,

(5) Mirko Vujadinović, s.r.

(6) .