Pravilnik o vrsti, formi i načinu dostavljanja statističkih podataka o incidentima u informaciono-komunikacionim sistemima od posebnog značaja

Član 1 I. Uvodne odredbe

Ovim pravilnikom bliže se propisuju vrsta, forma i način dostavljanja statističkih podataka o svim incidentima u informaciono-komunikacionim sistemima (u daljem tekstu: IKT sistemi) od posebnog značaja upisanih u evidenciju operatora IKT sistema od posebnog značaja (u daljem tekstu: Evidencija), na godišnjem nivou.

Član 2 II. Vrsta statističkih podataka

(1) Vrsta statističkih podataka o svim incidentima u IKT sistemu od posebnog značaja koja je utvrđena ovim pravilnikom, sadržana je u obrascu ISP – IZVEŠTAJ O STATISTIČKIM PODACIMA O SVIM INCIDENTIMA U IKT SISTEMIMA OD POSEBNOG ZNAČAJA (u daljem tekstu: Obrazac ISP), koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.

(2) Obrazac ISP iz stava 1. ovog člana sadrži podatke o operatoru IKT sistema od posebnog značaja i listu incidenata prema vrstama.

(3) Podaci o operatoru IKT sistema od posebnog značaja su: puno poslovno ime operatora, sedište operatora, matični broj operatora, adresa internet stranice operatora, kao i ukupan broj svih uređaja koji koriste IP protokol za komunikaciju, a koji su u mreži operatora IKT sistema od posebnog značaja.

(4) Lista incidenata prema vrstama sadrži podatke o broju incidenata u IKT sistemima, koji su razvrstani u navedene grupe incidenata, kao i vrste incidenata u okviru te grupe, i to:

1. 1) Instaliranje zlonamernog softvera u okviru IKT sistema: malver (engl. malware), virus, crv (engl. worm), ransomver (engl. ransomware), trojanac, špijunski softver (engl. spyware) i rutkit (engl. rootkit);
2. 2) Neovlašćeno prikupljanje podataka: skeniranje portova, presretanje podataka između računara i servera (engl. sniffing), socijalni inženjering (lažno predstavljanje i drugi oblici) i povreda podataka (engl. data breaches);
3. 3) Prevara: fišing (engl. phishing) i neovlašćeno korišćenje resursa (engl. cryptojacking) i drugi oblici;
4. 4) Pokušaj upada u IKT sistem: pokušaj iskorišćavanja ranjivosti sistema i pokušaj otkrivanja naloga (engl. brute force attack);
5. 5) Upad u IKT sistem: otkrivanje ili neovlašćeno korišćenje privilegovanih naloga (engl. privileged account compromise), otkrivanje ili neovlašćeno korišćenje neprivilegovanih naloga (engl. unprivileged account compromise), neovlašćeni pristup aplikaciji i mreža botova (engl. botnet);
6. 6) Nedostupnost ili ograničena dostupnost IKT sistema: napad sa ciljem onemogućavanja ili ometanja funkcionisanja IKT sistema (engl. denial-of-service attack – DoS), višestruki napad sa ciljem onemogućavanja ili ometanja funkcionisanja IKT sistema (engl. distributed denial-of-service attack – DDoS), sabotaža i prekid u funkcionisanju sistema ili dela sistema (engl. outage);
7. 7) Ugrožavanje bezbednosti podataka: neovlašćeni pristup podacima, neovlašćena izmena podataka i kriptografski napad;
8. 8) Ostali incidenti, odnosno incidenti koji ne spadaju u gore navedene kategorije.

Član 3 III. Forma i način dostavljanja statističkih podataka

Operatori IKT sistema od posebnog značaja su u obavezi da ažurne i tačne statističke podatke o svim incidentima u IKT sistemu u prethodnoj godini, dostave najkasnije do 28. februara tekuće godine, i to elektronskim putem, odnosno popunjavanjem Obrasca ISP na internet stranici Nacionalnog centra za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima (u daljem tekstu: Nacionalni CERT).

Član 4 IV. Postupanje i rukovanje dostavljenim statističkim podacima

(1) Obradu statističkih podataka, koji su dostavljeni na način i u roku propisanom članom 3. ovog pravilnika, Nacionalni CERT vrši prema grupi, vrsti i broju incidenata, kao i prema drugim kriterijumima koji su od značaja za sagledavanje stanja o bezbednosnim rizicima i incidentima na nacionalnom nivou.

(2) Nacionalni CERT objedinjuje statističke podatke iz stava 1. ovog člana u formi godišnjeg izveštaja, koji dostavlja ministarstvu nadležnom za poslove informacione bezbednosti (u daljem tekstu: Nadležni organ) i isti objavljuje na svojoj internet stranici najkasnije do kraja drugog tromesečja tekuće godine.

(3) Godišnji izveštaj sadrži agregirane i anonimizovane podatke operatora IKT sistema od posebnog značaja, a ne sadrži pojedinačne podatke operatora IKT sistema od posebnog značaja, kao ni ocenu bezbednosti pojedinačnog operatora IKT sistema od posebnog značaja.

Član 5

(1) Pojedinačni podaci o operatorima IKT sistema od posebnog značaja iz dostavljenog Obrasca ISP ne mogu se javno objavljivati.

(2) Pojedinačni podaci iz Obrasca ISP ne mogu se ustupati trećim licima bez izričite saglasnosti operatora IKT sistema od posebnog značaja.

(3) Saglasnost iz stava 2. ovog člana daje se u formi pisane izjave zakonskog zastupnika operatora IKT sistema od posebnog značaja.

Član 6

Listu operatora IKT sistema od posebnog značaja, koji nisu dostavili podatke na način i u roku propisanom članom 3. ovog pravilnika, Nacionalni CERT dostavlja Nadležnom organu najkasnije do kraja drugog tromesečja tekuće godine.

Član 7 V. Završna odredba

(1) Ovaj pravilnik objavljuje se u „Službenom glasniku Republike Srbije” i stupa na snagu osmog dana od dana objavljivanja.

(2) Broj 1-05-3400-1/20-2

(3) U Beogradu, 11. februara 2020. godine

(4) Predsednik Upravnog odbora,

(5) Dragan Kovačević, s.r.

(6) Obrazac ISP