Закон о информационој безбедности

Члан 1 Предмет уређивања

Овим законом се уређују мере заштите од безбедносних ризика у информационо-комуникационим системима, одговорности субјеката приликом управљања и коришћења информационо-комуникационих система, поступци и мере за постизање високог општег нивоа информационе безбедности и одређују се надлежни органи за спровођење мера заштите, координацију између чинилаца заштите, праћење правилне примене прописаних мера заштите, као и надлежности субјеката за надзор над спровођењем овог закона.

Члан 2 Значење појединих термина

(1) Поједини термини у смислу овог закона имају следеће значење:

1. 1) информационо-комуникациони систем (ИКТ систем) је технолошко-организациона целина која обухвата:

(1) електронске комуникационе мреже и услуге у смислу закона који уређује електронске комуникације;

(2) уређаје или групе међусобно повезаних уређаја, таквих да се у оквиру уређаја, односно у оквиру барем једног из групе уређаја, врши аутоматска обрада података коришћењем рачунарског програма;

(3) податке који се воде, чувају, обрађују, претражују или преносе помоћу средстава из подтач. (1) и (2) ове тачке, а у сврху њиховог рада, употребе, заштите или одржавања;

(4) организациону структуру путем које се управља ИКТ системом;

(5) све типове системског и апликативног софтвера и софтверске развојне алате;

1. 2) оператор ИКТ система је физичко лице у својству регистрованог субјекта, правно лице, орган или организациона јединица органа који користи ИКТ систем у оквиру обављања своје делатности, односно послова из своје надлежности;
2. 3) информациона безбедност представља способност информационо- комуникационих система и мрежа да се одупру и/или ублаже, уз одређени степен поузданости, сваки догађај који би могао да угрози расположивост, интегритет, аутентичност, непорецивост и поверљивост података који се чувају, преносе или обрађују, као и услуга које се пружају или су доступне путем тог ИКТ система;
3. 4) интегритет је својство које осигурава да подаци или информације нису промењени или уништени на неовлашћени начин од када су креирани, пренети или ускладиштени;
4. 5) расположивост је својство којим се осигурава доступност и употребљивост ИКТ система на захтев овлашћеног субјекта или процеса онда када им је потребан;
5. 6) аутентичност је својство којим се осигурава могућност да се провери и потврди да је информацију створио или послао онај за кога се тврди да је ту радњу извршио;
6. 7) поверљивост је својство којим се осигурава да су информације и функције ИКТ система доступне само овлашћеним лицима;
7. 8) непорецивост представља способност доказивања да се догодила одређена радња или да је наступио одређени догађај, тако да га накнадно није могуће порећи;
8. 9) ризик представља могућност губитка или поремећаја изазваног инцидентом и изражава се као комбинација величине таквог губитка или поремећаја и вероватноће настанка инцидента;
9. 10) рањивост представља слабост или недостатак у ИКТ производима или услугама који се могу искористити за реализацију једне или више претњи;
10. 11) управљање ризиком је скуп систематичних активности идентификације, процене и успостављање система контроле ризика који омогућава планирање, организовање и усмеравање мера заштите како би се обезбедило да ризици остану у прописаним и прихватљивим оквирима;
11. 12) избегнути инцидент представља идентификовани догађај у ИКТ систему који је могао довести до значајног угрожавања расположивости, аутентичности, интегритета, непорецивости или поверљивости података, услуга или система, али је правовременом интервенцијом или заштитним мерама спречено остваривање штетних последица;
12. 13) претња представља сваку околност, догађај или радњу која може да угрози, поремети или на други начин штетно утиче на ИКТ систем, кориснике система и друга лица са јасном вероватноћом настајања штете у случају да изостане реакција;
13. 14) озбиљна претња представља претњу по информациону безбедност за коју се, с обзиром на њена техничка својства, може претпоставити да има потенцијал да изазове значајне негативне последице по ИКТ систем, његовог оператора или кориснике услуга тог оператора узрокујући значајну материјалну или нематеријалну штету;
14. 15) инцидент је сваки догађај који угрожава расположивост, интегритет, аутентичност, непорецивост или поверљивост података који се чувају, преносе или обрађују или услуге које се пружају, односно које су доступне путем ИКТ система;
15. 16) злонамерни софтвер је софтвер намерно креиран са циљем да оштети, поремети, онемогући или неовлашћено приступи информационо-комуникационим системима и обухвата различите типове штетних програма, укључујући вирусе, тројанце, црве, рансомвер и шпијунски софтвер;
16. 17) јединствени систем за пријем обавештења о инцидентима је информациони систем у који се уносе подаци о инцидентима и избегнутим инцидентима у ИКТ системима од посебног значаја који могу да имају значајан утицај на нарушавање информационе безбедности;
17. 18) управљање инцидентом подразумева предузимање свих радњи и поступака чији је циљ спречавање, откривање, анализа и прекид инцидента, као и предузимање других мера ради одговора на инцидент и отклањања његових последица;
18. 19) криза информационе безбедности је догађај или стање које угрожава, омета рад или онемогућује рад ИКТ система од посебног значаја и при том изазива ризике, претње или последице по становништво, материјална добра или животну средину изузетно великог обима и интензитета које није могуће спречити или отклонити редовним деловањем надлежних органа и служби, а одговор на такав догађај или стање захтева учешће више надлежних органа, као и примену одговарајућих мера;
19. 20) мере заштите ИКТ система су техничке, организационе, административне и физичке мере за управљање безбедносним ризицима ИКТ система;
20. 21) тајни податак је податак који је, у складу са прописима о тајности података, одређен и означен одређеним степеном тајности;
21. 22) ИКТ систем за рад са тајним подацима је ИКТ систем који је у складу са законом одређен за рад са тајним подацима;
22. 23) орган је државни орган, орган аутономне покрајине, јединица локалне самоуправе, организација и друго правно или физичко лице коме је поверено вршење јавних овлашћења;
23. 24) служба безбедности је служба безбедности у смислу закона којим се уређују основе безбедносно-обавештајног система Републике Србије;
24. 25) самостални оператори ИКТ система су министарство надлежно за послове одбране, министарство надлежно за унутрашње послове, министарство надлежно за спољне послове, службе безбедности и Народна банка Србије;
25. 26) Центар за превенцију безбедносних ризика у ИКТ системима (у даљем тексту: ЦЕРТ) је функционална целина у оквиру органа или правног лица која обухвата скуп послова који се односе на превенцију и заштиту од инцидената;
26. 27) компромитујуће електромагнетно зрачење (КЕМЗ) представља ненамерне електромагнетне емисије приликом преноса, обраде или чувања података, чијим пријемом и анализом се може открити садржај тих података;
27. 28) криптобезбедност је компонента информационе безбедности која обухвата криптозаштиту, управљање криптоматеријалима и развој метода криптозаштите;
28. 29) криптозаштита је примена метода, мера и поступака ради трансформисања података у облик који их за одређено време или трајно чини недоступним неовлашћеним лицима;
29. 30) криптографски производ је софтвер или уређај путем кога се врши криптозаштита;
30. 31) криптоматеријали су криптографски производи, подаци, техничка документација криптографских производа, као и одговарајући криптографски кључеви;
31. 32) безбедносна зона је простор или просторија у којој се, у складу са прописима о тајности података, обрађују и чувају тајни подаци, као и простор или просторија која је од кључног значаја за очување информационе безбедности ИКТ система;
32. 33) информациона добра обухватају информације које се обрађују у складу са функцијом и наменом ИКТ система; електронске записе о конфигурацији уређаја и електронске комуникационе мреже; електронске записе о интеракцијама у ИКТ системима, приступу и употреби ИКТ система (тзв. лог записе); програмски кôд; техничку и корисничку документацију; електронске записе о интеракцијама у електронској комуникационој мрежи (тзв. мрежни саобраћај); информације којима се регулишу намена и коришћење ИКТ система, процеси, мере заштите и сл.;
33. 34) услуга информационог друштва је услуга у смислу закона којим се уређује електронска трговина;
34. 35) пружалац услуге информационог друштва је правно лице које је пружалац услуге у смислу закона којим се уређује електронска трговина;
35. 36) мрежа за испоруку садржаја (Цонтент Деливерy Нетwорк – ЦДН) означава мрежу географски распоређених сервера која је осмишљена да обезбеди високу доступност, приступачност и брзу испоруку дигиталног садржаја и услуга корисницима интернета, у име пружалаца садржаја и услуга;
36. 37) тачка за размену интернет саобраћаја (енгл. интернет еxцханге поинт) је мрежна структура која пружа могућност повезивања две или више независних мрежа (аутономних система) првенствено у сврху олакшавања размене интернет саобраћаја, и која омогућује међуповезивање аутономних система, у ком случају није потребно да интернет саобраћај између аутономних система прође кроз трећи аутономни систем, те која такав саобраћај не мења и не утиче на њега на други начин;
37. 38) систем назива домена (ДНС) је дистрибуирани, хијерархијски организован систем који повезује називе домена са одговарајућим ИП адресама које се користе за усмеравање и повезивање корисничких уређаја са услугама и ресурсима на интернету;
38. 39) пружалац услуге ДНС-а је субјекат који пружа услуге разрешавања ДНС упита корисницима интернета или пружа услугу ауторитативних сервера имена за називе домена које користе трећа лица, са изузетком коренских (енгл. роот) сервера имена;
39. 40) услуга од поверења је услуга у смислу закона којим се уређује електронски документ, електронска идентификација и услуге од поверења у електронском пословању;
40. 41) пружалац услуге од поверења је пружалац у смислу закона којим се уређује електронски документ, електронска идентификација и услуге од поверења у електронском пословању;
41. 42) квалификована услуга од поверења је услуга у смислу закона којим се уређује електронски документ, електронска идентификација и услуге од поверења у електронском пословању;
42. 43) пружалац квалификоване услуге од поверења је пружалац у смислу закона којим се уређује електронски документ, електронска идентификација и услуге од поверења у електронском пословању;
43. 44) услуге рачунарства у клауду (енгл. „цлоуд цомпутинг сервице”) су дигиталне услуге које омогућавају управљање на захтев и широки даљински приступ надоградивом и еластичном скупу дељивих рачунарских ресурса, укључујући и ситуације када су такви ресурси распоређени на неколико локација;
44. 45) услуга центра за управљање и чување података је услуга која се пружа коришћењем структура или група структура намењених за централизовано смештање, међуповезивање и функционисање рачунарске и мрежне опреме ради чувања, обраде и преноса података, укључујући све објекте и инфраструктуру за дистрибуцију електричне енергије и контролу утицаја на животну средину;
45. 46) научноистраживачка организација је организација у смислу закона којим се уређују наука и истраживање;
46. 47) јавна електронска комуникациона мрежа је електронска комуникациона мрежа у смислу закона којим се уређују електронске комуникације;
47. 48) електронска комуникациона услуга је услуга у смислу закона којим се уређују електронске комуникације;
48. 49) пружалац управљаних услуга је субјект који пружа услуге у вези са постављањем, управљањем, радом и одржавањем ИКТ производа, мрежа, инфраструктуре, апликација или друге мреже и информационог система путем пружања помоћи или активног управљања које се спроводи у просторијама корисника услуге или на даљину;
49. 50) пружалац управљаних безбедносних услуга је пружалац управљаних услуга који спроводи или пружа помоћ у спровођењу активности у вези са управљањем ризиком у области безбедности;
50. 51) регистар назива домена највишег нивоа (енгл. ТЛД наме регистрy) означава субјекта којем је додељен одређени домен највишег нивоа и који је одговоран за управљање доменом највишег нивоа, укључујући регистрацију домена под доменом највишег нивоа и техничко функционисање домена највишег нивоа, што обухвата рад његових серверских имена, одржавање база података и дистрибуцију зона домена највишег нивоа преко серверских имена, без обзира на то да ли се те активности обављају од стране самог субјекта или су поверене трећим лицима, осим у ситуацијама када називе домена највишег нивоа регистар користи искључиво за сопствене потребе;
51. 52) пружалац услуге регистрације назива домена је регистратор назива домена или други субјект који делује у име регистратора или за рачун регистратора;
52. 53) ИКТ производ је елемент или група елемената у оквиру информационо-комуникационог система;
53. 54) ИКТ услуга је услуга која се у потпуности или у већој мери састоји из преноса, чувања, преузимања или обраде података коришћењем ИКТ система;
54. 55) ИКТ процес је скуп активности који се обавља у циљу израде, развоја, коришћења и одржавања ИКТ производа или ИКТ услуге;
55. 56) ТЛП (Траффиц Лигхт Протоцол) представља стандард за дељење информација у области информационе безбедности, који је успостављен у циљу обезбеђивања ефективне сарадње и дељења информација од извора информације до једног или више прималаца. Протокол пружа једноставну и интуитивну шему од четири ознаке за упућивање на то са ким се потенцијално осетљиве информације могу поделити;
56. 57) податак о личности је сваки податак који се односи на физичко лице чији је идентитет одређен или одредив, непосредно или посредно, посебно на основу ознаке идентитета, као што је име и идентификациони број, података о локацији, идентификатора у електронским комуникационим мрежама или једног, односно више обележја његовог физичког, физиолошког, генетског, менталног, економског, културног и друштвеног идентитета;
57. 58) администратор је лице које је овлашћено и одговорно за одржавање, управљање и обезбеђивање функционалности и безбедности ИКТ система од посебног значаја, у складу са одредбама овог закона и другим важећим прописима.
58. 59) техничка спецификација је документ којим се утврђују технички захтеви које треба да испуни производ, процес или услуга, у складу са законом којим се уређује стандардизација.

(7) Термини који се користе у овом закону и прописима који се доносе на основу њега, а који имају родно значење, изражени у граматичком мушком роду, подразумевају природни женски и мушки пол лица на која се односе.

Члан 3 Начела информационе безбедности

Приликом планирања и примене мера заштите ИКТ система треба се руководити начелима:

1. 1) начело управљања ризиком – избор и ниво примене мера се заснива на процени ризика, потреби за превенцијом ризика и отклањања последица ризика који се остварио, укључујући све врсте ванредних околности;
2. 2) начело свеобухватне заштите – мере се примењују на свим организационим, физичким и техничко-технолошким нивоима, као и током целокупног животног циклуса ИКТ система;
3. 3) начело стручности и добре праксе – мере се примењују у складу са стручним и научним сазнањима и искуствима у области информационе безбедности;
4. 4) начело свести и оспособљености – сва лица која својим поступцима ефективно или потенцијално утичу на информациону безбедност треба да буду свесна ризика и поседују одговарајућа знања и вештине;
5. 5) начело континуираног побољшања – мере заштите и управљања информационом безбедношћу треба редовно процењивати и унапређивати како би се осигурала њихова ефикасност и прилагодљивост новим претњама и технолошким променама;
6. 6) начело равноправности и недискриминације – мере заштите ИКТ система морају се спроводити на начин који осигурава једнак третман свих корисника, без дискриминације по било ком основу, у складу са законом.

Члан 4 Обрада података о личности

На обраду података о личности која је неопходна за вршење надлежности и испуњење обавеза из овог закона примењују се одредбе овог закона, одредбе посебних закона којима се уређују одређене области, као и одредбе закона којим се уређује заштита података о личности.

Члан 5 ИКТ системи од посебног значаја

(1) ИКТ системи од посебног значаја су ИКТ системи који су од кључног значаја за одржавање критичних друштвених и економских активности чији би прекид или поремећај у пружању услуга имао или могао да има значајан утицај на јавну безбедност, јавно здравље, функционисање других сектора или би створио односно могао да створи значајан системски ризик.

(2) ИКТ системи од посебног значаја су:

1. 1) приоритетни ИКТ системи;
2. 2) важни ИКТ системи.

(3) Оператори приоритетних ИКТ система су:

1. 1) правна лица и физичка лица у својству регистрованог субјекта, која обављају послове и делатности у следећим областима:

(1) Енергетика и рударство

(5) – производња електричне енергије, изузев производње коју обављају крајњи купци у смислу закона којим се уређује коришћење обновљивих извора енергије и закона којим се уређује енергетика;

(6) – комбинована производња електричне и топлотне енергије;

(7) – снабдевање електричном енергијом;

(8) – пренос електричне енергије и управљање преносним системом;

(9) – дистрибуција електричне енергије и управљање дистрибутивним системом, као и дистрибуција електричне енергије и управљање затвореним дистрибутивним системом;

(10) – складиштење електричне енергије, изузев складиштења које обављају крајњи купци у смислу закона којим се уређује коришћење обновљивих извора енергије и закона којим се уређује енергетика;

(11) – управљање организованим тржиштем електричне енергије;

(12) – производња, дистрибуција и снабдевање топлотном енергијом;

(13) – транспорт нафте нафтоводима, транспорт деривата нафте продуктоводима и транспорт нафте и деривата нафте другим облицима транспорта;

(14) – истраживање и производња нафте и природног гаса;

(15) – производња деривата нафте;

(16) – складиштење нафте и деривата нафте;

(17) – транспорт и управљање транспортним системом за природни гас;

(18) – складиштење и управљање складиштем природног гаса;

(19) – дистрибуција и управљање дистрибутивним системом за природни гас;

(20) – снабдевање и јавно снабдевање природним гасом;

(21) – производња и прерада угља;

(22) – производња и прерада бакра, злата, олова, цинка, литијума и бора;

(23) – производња, складиштење и пренос водоника;

(2) Саобраћај

(25) – обављање јавног авио-превоза уз важећу оперативну дозволу;

(26) – управљање аеродромом;

(27) – услуге контроле летења;

(28) – управљање јавном железничком инфраструктуром;

(29) – послови железничких предузећа;

(30) – обављање превоза путника и терета унутрашњим водама;

(31) – управљање лукама;

(32) – сервис за управљање бродским саобраћајем (ВТС);

(33) – речни информациони сервиси (РИС);

(34) – управљање путном инфраструктуром;

(35) – управљање интелигентним транспортним системима (ИТС);

(3) Банкарство и финансијска тржишта

(37) – послови финансијских институција и институција тржишта капитала, које су под надзором Народне банке Србије односно Комисије за хартије од вредности;

(38) – послови вођења регистра података о обавезама физичких и правних лица према финансијским институцијама;

(39) – послови управљања, односно обављања делатности у вези са функционисањем регулисаног тржишта;

(40) – послови клиринга односно салдирања финансијских инструмената, у смислу закона којим се уређује тржиште капитала;

(41) – послови пружалаца услуга повезаних с дигиталном имовином, у смислу закона којима се уређује дигитална имовина;

(4) Здравство

(43) – пружање здравствене заштите;

(44) – рад националних референтних лабораторија;

(45) – истраживање и развој лекова;

(46) – производња фармацеутских лекова и препарата намењених за здравствену употребу;

(47) – производња лекова и других производа намењених употреби у здравству, укључујући производе који су од виталног значаја током ванредног стања у области јавног здравља;

(48) – обрада генетских, биомедицинских података и других податка од значаја за истраживање и развој у области биотехнологије, биоинформатике, биоекономије, генетике и медицине;

(5) Вода за пиће

(50) – снабдевање и дистрибуција воде намењене за људску потрошњу, изузев дистрибутера којима наведени послови нису претежни део њихове делатности;

(6) Отпадне воде

(52) – сакупљање, одвођење или пречишћавање комуналних отпадних вода, отпадних вода насеља и привреде, изузев привредних субјеката којима наведени послови нису претежни део њихове делатности;

(7) Дигитална инфраструктура

(54) – пружање услуга рачунарства у клауду;

(55) – пружање услуге центра за чување и складиштење података;

(8) Управљање ИКТ услугама које се пружају операторима приоритетних ИКТ система

(57) – пружање управљаних услуга;

(58) – пружање управљаних безбедносних услуга;

(9) Остале области

(60) – управљање нуклеарним објектима;

(61) – пружање услуга од поверења, укључујући квалификоване услуге од поврења, пружање услуга система домена (ДНС), управљање регистром домена највишег нивоа и пружање услуга регистрације домена са изузетком оператора коренских сервера имена;

(62) – пружање услуга мреже за испоруку садржаја;

(63) – обављање делатности електронских комуникација;

(64) – тачка за размену интернет саобраћаја;

(65) – издавање Службеног гласника Републике Србије и вођење Правно-информационог система Републике Србије;

(66) – области у којој у Републици Србији постоји само један пружалац услуге и која је неопходна за обављање критичних друштвених и привредних делатности;

1. 2) органи;
2. 3) субјекти који су одређени као оператори критичне инфраструктуре у складу са прописима којима се уређује критична инфраструктура.

(67) Поред субјеката из става 3. овог члана, као оператори приоритетних ИКТ система могу се одредити субјекти код којих прекид рада ИКТ система или поремећај у раду ИКТ система:

1. 1) може имати значајан утицај на јавну безбедност, националну безбедност или јавно здравље;
2. 2) може изазвати значајан системски ризик, а посебно у секторима где поремећај може имати прекогранични утицај.

(68) Субјекте из става 4. овог члана одређује министарство надлежно за послове информационе безбедности, а по прибављеном мишљењу органа у чијој је надлежности област у којој субјект обавља делатности.

(69) На операторе приоритетних ИКТ система од посебног значаја који обављају делатност у сектору банкарства и финансијских тржишта из става 3. тачка 1) подтачка (3) алинеје прва, друга и пета овог члана примењују се посебни, секторски прописи којима се ближе, односно на друкчији начин уређују поједина питања из овог закона, а којима се обезбеђује најмање исти ниво делотворности мера управљања безбедносним ризицима тих оператора сходно мерама из члана 10. овог закона, при чему се обезбеђује и извештавање о инцидентима који представљају кризу информационе безбедности у складу са овим законом.

(70) Народна банка Србије, као надлежни надзорни орган над пословањем оператора приоритетних ИКТ система од посебног значаја који обављају делатност у сектору банкарства и финансијских тржишта из става 3. тачка 1) подтачка (3) алинеје прва, друга и пета овог члана (субјекти надзора Народне банке Србије), у складу са овим законом и одредбама посебних закона којима се уређује пословање тих субјеката доноси прописе којима се уређују питања информационе безбедности за те субјекте, и то мере заштите ИКТ система, доношење аката о процени ризика и акта о безбедности ИКТ система, класификација инцидената, достављање обавештења о инциденту, поступање у вези са инцидентима, извештавање током и након инцидента, достављање статистичких података о инциденту и друга питања од значаја за безбедност информационог система ових субјеката, као и надзора који врши над њима.

Члан 6 Оператори важних ИКТ система

(1) Оператори важних ИКТ система су:

1. 1) правна лица и физичка лица у својству регистрованог субјекта, која обављају послове и делатности у следећим областима:

(2) – поштанске услуге у смислу закона којим се уређује област поштанских услуга;

(3) – управљање отпадом, у смислу закона којим се уређује управљање отпадом, изузев привредних субјеката којима наведени посао није претежни део њихове делатности;

(4) – управљање амбалажним отпадом, у смислу закона којим се уређује управљање амбалажним отпадом;

(5) – производња и снабдевање хемикалијама, у складу са законом којим се уређују хемикалије;

(6) – производња, прерада и дистрибуција хране у сегменту велепродаје и индустријске производње и прераде;

(7) – производња рачунара, електронских и оптичких производа;

(8) – производња електричне опреме;

(9) – производња машина и уређаја;

(10) – производња моторних возила, приколица и полуприколица и производња остале опреме за превоз;

(11) – производња медицинских уређаја и производња ин витро дијагностичких медицинских средстава;

(12) – услуге информационог друштва у смислу закона о електронској трговини;

(13) – производња, промет и превоз наоружања и војне опреме;

(14) – свемирске услуге које се ослањају на земаљску инфраструктуру, нарочито активности управљања контролним центрима, објектима за праћење и комуникацију и пружање услуга лансирања;

1. 2) научноистраживачке институције;
2. 3) правна и физичка лица у својству регистрованог субјекта и органи из члана 5. овог закона, а који не спадају у операторе приоритетних ИКТ система према критеријумима за одређивање оператора.

(15) Поред субјеката из става 1. овог члана, као оператори важних ИКТ система могу се одредити субјекти код којих прекид рада ИКТ система или поремећај у раду ИКТ система:

1. 1) може имати значајан утицај на јавну безбедност, националну безбедност или јавно здравље;
2. 2) може изазвати значајан системски ризик, а посебно у секторима где поремећај може имати прекогранични утицај.

(16) Субјекте из става 2. овог члана одређује министарство надлежно за послове информационе безбедности, а по прибављеном мишљењу органа у чијој је надлежности област у којој субјект обавља делатности.

(17) Подзаконски акт којим се ближе уређују услови, општи и секторски критеријуми укључујући и критеријуме у погледу величине привредних субјеката, за одређивање оператора приоритетних и важних ИКТ система доноси Влада, на предлог министарства надлежног за послове информационе безбедности.

(18) Министарства у чијим надлежностима су области у којима оператори приоритетних и важних ИКТ система обављају делатности и Народна банка Србије, дужни су да у поступку израде подзаконског акта из става 4. овог члана, доставе министарству надлежном за послове информационе безбедности предлоге секторских критеријума ради одређивања оператора ИКТ система од посебног значаја.

Члан 7 Обавезе оператора ИКТ система од посебног значаја

Оператор ИКТ система од посебног значаја, сходно овом закону, у обавези је да:

1. 1) поднесе пријаву за упис у евиденцију ИКТ система од посебног значаја;
2. 2) предузме одговарајуће техничке, оперативне, организационе и физичке мере заштите ИКТ система од посебног значаја, управљање ризицима и превенцију и смањење штетних последица инцидената;
3. 3) изврши процену ризика и донесе акт о процени ризика;
4. 4) донесе акт о безбедности ИКТ система од посебног значаја;
5. 5) врши проверу усклађености мера заштите ИКТ система које се примењују са актом о безбедности ИКТ система и то најмање једном годишње;
6. 6) уреди однос са трећим лицима на начин који обезбеђује предузимање мера заштите тог ИКТ система у складу са законом, уколико поверава активности у вези са ИКТ системом од посебног значаја трећим лицима;
7. 7) доставља обавештења, без одлагања, о сваком инциденту који значајно нарушава безбедност ИКТ система од посебног значаја;
8. 8) пријави избегнуте инциденте који представљају озбиљну претњу у складу са овим законом;
9. 9) доставља статистичке податке о инцидентима и избегнутим инцидентима у ИКТ системима.

Члан 8 Обавезе самосталних оператора

(1) Самостални оператор дужан је да:

1. 1) поднесе пријаву за упис у евиденцију ИКТ система од посебног значаја;
2. 2) предузме одговарајуће техничке, оперативне, организационе и физичке мере заштите ИКТ система од посебног значаја, управљање ризицима и превенцију и смањење штетних последица инцидената;
3. 3) донесе акт о безбедности ИКТ система;
4. 4) врши проверу усклађености мера заштите ИКТ система које се примењују са актом о безбедности ИКТ система у складу са сопственим правилима за проверу усклађености мера заштите, а најмање једном годишње;
5. 5) уреди однос са трећим лицима на начин који обезбеђује предузимање мера заштите тог ИКТ система у складу са законом, уколико поверава активности у вези са ИКТ системом од посебног значаја са трећим лицима;
6. 6) формира сопствени ЦЕРТ ради управљања инцидентима у својим системима.

(2) Самостални оператори могу да међусобно размењују информације о инцидентима са Канцеларијом за информациону безбедност, а по потреби и са другим организацијама.

(3) На самосталне операторе не примењују се одредбе овог закона о пријављивању инцидената који значајно угрожавају информациону безбедност, одредбе о достављању статистичких података о инцидентима и одредбе о проактивном скенирању мреже оператора ИКТ система од посебног значаја.

(4) Самостални оператори, могу самостално и у координацији са Канцеларијом за информациону безбедност, ради откривања рањивости да врше проактивно скенирање сопствених ИКТ система повезаних на Јединствену информационо-комуникациону мрежу електронске управе.

(5) Самостални оператори ИКТ система одредиће посебна лица, односно организационе јединице за интерну контролу сопствених ИКТ система.

(6) Лица за интерну контролу самосталних оператора ИКТ система извештај о извршеној интерној контроли подносе руководиоцу самосталног оператора ИКТ система.

Члан 9 Евиденција оператора ИКТ система од посебног значаја

(1) Министарство надлежно за послове информационе безбедности (у даљем тексту: Министарство) успоставља и води евиденцију приоритетних и важних ИКТ система (у даљем тексту: Евиденција) која садржи:

1. 1) назив, матични број и седиште оператора ИКТ система од посебног значаја;
2. 2) име и презиме, службену адресу за пријем електронске поште и службени контакт телефон администратора задуженог за одржавање и управљање ИКТ системом од посебног значаја;
3. 3) име и презиме, службену адресу за пријем електронске поште и службени контакт телефон одговорног лица ИКТ система од посебног значаја;
4. 4) податак о врсти ИКТ система од посебног значаја, односно да ли ИКТ систем од посебног значаја потпада под приоритетан или важан;
5. 5) податак о делатности оператора ИКТ система од посебног значаја;
6. 6) адресни опсег интернет протокола (енгл. „ИП аддресс ранге”) који припадају ИКТ систему од посебног значаја, а који обухвата податке о јавним статичким ИП адресама;
7. 7) веб презентацију оператора ИКТ система од посебног значаја;
8. 8) број локација на којима се ИКТ систем од посебног значаја налази.

(2) Поред података из става 1. овог члана, евиденција може да садржи и друге допунске податке о ИКТ систему од посебног значаја.

(3) Самостални оператори ИКТ система изузети су од обавезе достављања података из става 1. тач. 4), 5), 6) и 8) овог члана.

(4) Подзаконски акт којим се ближе уређује садржај и структура евиденције, као и начин подношења захтева за унос и промену података у Евиденцији доноси Министарство.

(5) Оператор ИКТ система од посебног значаја дужан је да Министарству достави податке из ст. 1. и 2. овог члана најкасније 90 дана од дана усвајања прописа из става 4. овог члана, односно 90 дана од дана успостављања ИКТ система од посебног значаја.

(6) Оператор ИКТ система од посебног значаја дужан је да у случају промене података из става 1. овог члана о томе обавести Министарство у року од 15 дана од дана настанка промене.

(7) Подаци из става 1. тач. 2) и 3) овог члана обрађују се у сврху извршења одредби овог закона у погледу достављања обавештења и упозорења значајних за безбедност ИКТ система од посебног значаја, као и ради успостављања комуникације и остваривања сарадње у циљу отклањања штетних последица инцидената и превентивног деловања.

(8) Подаци из става 1. тач. 2) и 3) овог члана обрађују се у складу са законом којим се уређује заштита података о личности и чувају се до тренутка престанка сврхе обраде или до извршене промене података у складу са ставом 6. овог члана.

(9) Министарство ставља на располагање ажурну Евиденцију Канцеларији за информациону безбедност ради извршења одредби овог закона у погледу прикупљања и размене информација о претњама, рањивостима и инцидентима и пружања подршке, упозоравања и саветовања лица која управљају ИКТ системима.

(10) Евиденција представља тајни податак у смислу закона којим се уређује тајност података.

Члан 10 Мере заштите ИКТ система од посебног значаја

(1) Оператор ИКТ система од посебног значаја одговара за безбедност ИКТ система и предузимање мера заштите ИКТ система.

(2) Мерама заштите ИКТ система се обезбеђује превенција од настанка инцидената, односно превенција и смањење штете од инцидената који угрожавају вршење надлежности и обављање делатности, а посебно у оквиру пружања услуга другим лицима.

(3) Мере заштите примењују се у свим ИКТ системима оператора из става 1. овог члана.

(4) Мере заштите ИКТ система се односе на:

1. 1) успостављање организационе структуре, са утврђеним пословима, знањима, компетенцијама, искуством и одговорностима запослених, којом се остварује управљање информационом безбедношћу у оквиру оператора ИКТ система;
2. 2) прикупљање података о претњама по информациону безбедност ИКТ система;
3. 3) постизање безбедности рада на даљину и употребе мобилних уређаја;
4. 4) обезбеђивање да лица која користе ИКТ систем односно управљају ИКТ системом буду оспособљена за посао који раде и разумеју своју одговорност, односно да обезбеди одржавање основних и по потреби напредних информатичких обука за све запослене и ангажована лица која имају приступ ИКТ системима, обука за руководиоце односно органе управљања оператора ИКТ система од посебног значаја, као и специјализоване стручне обуке за запослене одговорне за управљање информационом безбедношћу, ради обезбеђивања континуиране едукације;
5. 5) обезбеђивање довољно ресурса за адекватно управљање информационом безбедношћу;
6. 6) заштиту од ризика који настају при променама послова или престанка радног ангажовања лица запослених код оператора ИКТ система;
7. 7) идентификовање информационих добара и одређивање одговорности за њихову заштиту;
8. 8) класификовање података тако да ниво њихове заштите одговара значају података у складу са начелом управљања ризиком из члана 3. овог закона;
9. 9) заштиту носача података;
10. 10) ограничење приступа подацима и средствима за обраду података;
11. 11) одобравање овлашћеног приступа и спречавање неовлашћеног приступа ИКТ систему и услугама које ИКТ систем пружа;
12. 12) утврђивање одговорности корисника за заштиту сопствених средстава за аутентикацију;
13. 13) предвиђање употребе криптографских контрола и других техника за сакривање података ради заштите поверљивости, аутентичности и интегритета података;
14. 14) примена мера заштите ради спречавања отицања података;
15. 15) физичку заштиту објеката, простора, просторија односно зона у којима се налазе средства и документи ИКТ система и обрађују подаци у ИКТ систему;
16. 16) заштиту од губитка, оштећења, крађе или другог облика угрожавања безбедности средстава која чине ИКТ систем;
17. 17) обезбеђивање исправног и безбедног функционисања средстава за обраду података;
18. 18) примену одговарајућих процедура и мера заштите приликом коришћења услуге рачунарства у клауду;
19. 19) праћење ИКТ система у циљу откривања рањивости и претњи;
20. 20) ограничење приступа веб презентацијама које могу потенцијално да наруше безбедност ИКТ система;
21. 21) заштиту података и средстава за обраду података од злонамерног софтвера;
22. 22) заштиту од губитка података редовном израдом резервних копија података, софтвера и система путем одговарајућих средстава за размену података;
23. 23) чување података о догађајима који могу бити од значаја за безбедност ИКТ система;
24. 24) обезбеђивање интегритета софтвера и оперативних система;
25. 25) заштиту од злоупотребе техничких безбедносних слабости ИКТ система;
26. 26) обезбеђивање заштите ИКТ система приликом спровођења ревизорског тестирања;
27. 27) заштиту података у комуникационим мрежама, укључујући уређаје и водове;
28. 28) безбедност података који се преносе унутар оператора ИКТ система, као и између оператора ИКТ система и лица ван оператора ИКТ система;
29. 29) испуњење захтева за информациону безбедност у оквиру управљања свим фазама животног циклуса ИКТ система односно делова система;
30. 30) заштиту података који се користе за потребе тестирања ИКТ система односно делова система;
31. 31) процедуре за чување и брисање информација у ИКТ системима, у складу са прописима;
32. 32) заштиту средстава оператора ИКТ система која су доступна пружаоцима услуга;
33. 33) одржавање уговореног нивоа информационе безбедности и пружених услуга у складу са условима који су уговорени са пружаоцем услуга;
34. 34) превенцију и реаговање на безбедносне инциденте, што подразумева адекватну размену информација о безбедносним слабостима ИКТ система, инцидентима и претњама, као и примену мера санације последица инцидента;
35. 35) мере које обезбеђују континуитет обављања посла у ванредним околностима које се дефинишу Планом континуитета обављања посла;
36. 36) усвајање докумената којима се дефинишу процедуре за проверу адекватности мера заштите;
37. 37) употребу мултифакторске аутентикације или решења континуиране провере аутентичности, заштићене гласовне, видео и текстуалне комуникације, те безбедних комуникационих система у хитним случајевима унутар оператора ИКТ система.

(5) Подзаконски акт којим се ближе уређују мере заштите приоритетних и важних ИКТ система уважавајући начела из члана 3. овог закона, националне и међународне стандарде, и стандарде који се примењују у одговарајућим областима рада и релевантне техничке спецификације доноси Влада, на предлог Министарства.

Члан 11 Акт о процени ризика ИКТ система од посебног значаја

(1) Оператор ИКТ система од посебног значаја дужан је да донесе акт о процени ризика за ИКТ системе (у даљем тексту: акт о процени ризика) којима управља.

(2) Актом о процени ризика врши се процена ризика за ИКТ систем од посебног значаја с обзиром на степен изложености ризику, величину оператора и извесност појаве инцидента и његове озбиљности, као и његов потенцијални друштвени и економски утицај.

(3) Акт о процени ризика ревидира се најмање једном годишње.

(4) Акт о процени ризика израђује се у складу са општом методологијом за процену ризика у приоритетним и важним ИКТ системима од посебног значаја коју доноси орган, односно организација у којој се обављају послови Националног ЦЕРТ-а.

(5) Оператор ИКТ система од посебног значаја није у обавези да донесе акт из става 1. овог члана у случају када има дефинисану процену ризика у другим постојећим интерним актима, која обухвата захтеве из опште методологије из става 4. овог члана.

Члан 12 Акт о безбедности ИКТ система од посебног значаја

(1) Оператор ИКТ система од посебног значаја дужан је да донесе акт о безбедности ИКТ система (у даљем тексту: акт о безбедности).

(2) Актом о безбедности одређују се мере заштите, а нарочито принципи, начин и процедуре постизања и одржавања адекватног нивоа безбедности система, као и овлашћења и одговорности у вези са безбедношћу и ресурсима ИКТ система од посебног значаја.

(3) Акт о безбедности ИКТ система од посебног значаја заснива се на Акту о процени ризика из члана 11. овог закона. Примена мера заштите ИКТ система мора бити у складу са процењеним ризицима, како би се обезбедила адекватна заштита система и минимизирао утицај потенцијалних инцидената.

(4) Акт о безбедности мора да буде усклађен с променама у окружењу и у самом ИКТ систему.

(5) Оператор ИКТ система од посебног значаја дужан је да, самостално или уз ангажовање спољних експерата, врши проверу из претходног става најмање једном годишње и да о томе сачини извештај.

(6) Подзаконски акт којим се ближе уређује садржај акта о безбедности, начин провере ИКТ система од посебног значаја и садржај извештаја о провери, као и достављање извештаја надлежном органу, доноси Влада на предлог Министарства.

Члан 13 Обавеза обавештавања о инцидентима који значајно нарушавају информациону безбедност

(1) Оператори ИКТ система од посебног значаја дужни су да доставе обавештење о инциденту који може да има значајан утицај на нарушавање информационе безбедности, без одлагања, а најкасније у року од 24 сата од када су сазнали за инцидент.

(2) Инциденти који могу да имају значајан утицај на нарушавање информационе безбедности су:

1. 1) инциденти који доводе до прекида континуитета вршења послова и пружања услуга, односно знатних тешкоћа у вршењу послова и пружању услуга;
2. 2) инциденти који утичу на велики број корисника услуга, или трају дужи временски период;
3. 3) инциденти који доводе до прекида континуитета, односно тешкоћа у вршењу послова и пружања услуга, који утичу на обављање послова и вршење услуга других оператора ИКТ система од посебног значаја или утичу на јавну безбедност;
4. 4) инциденти који доводе до прекида континуитета, односно тешкоћа у вршењу послова и пружању услуга и имају утицај на већи део територије Републике Србије;
5. 5) инциденти који доводе до неовлашћеног приступа подацима чије откривање може угрозити права и интересе оних на које се подаци односе;
6. 6) инциденти који су настали као последица инцидента у ИКТ систему оператора приоритетних ИКТ система који обављају делатности у области дигиталне инфраструктуре, из члана 5. став 3. тачка 1) подтачка (7) овог закона, када ИКТ систем од посебног значаја у свом пословању користи информационе услуге у области дигиталне инфраструктуре;
7. 7) инциденти који изазивају или могу да изазову знатну материјалну или нематеријалну штету оператору ИКТ система од посебног значаја и другим физичким и правним лицима.

(3) Оператори ИКТ система од посебног значаја дужни су да пријаве и избегнуте инциденте који представљају озбиљну претњу и који би могли довести до околности сличних онима описаним у ставу 2. овог члана. У случају инцидената у ИКТ системима за рад са тајним подацима оператори тих ИКТ система поступају у складу са прописима којима се уређује област заштите тајних података.

Члан 14 Достављање обавештења о инцидентима

(1) Оператори ИКТ система од посебног значаја дужни су да обавештења о инцидентима доставе у јединствени систем за пријем обавештења о инцидентима путем веб презентације Министарства или Канцеларије за информациону безбедност.

(2) Оператори приоритетних ИКТ система од посебног значаја који обављају делатности у области банкарства и финансијских тржишта из члана 5. став 3. тачка 1) подтачка (3) овог закона дужни су да обавештење о инциденту доставе Народној банци Србије, а ако су оператори приоритетних ИКТ система у области финансијских тржишта који су под надзором Комисије за хартије од вредности, обавештење достављају и Комисији за хартије од вредности.

(3) Оператори приоритетних ИКТ система који обављају делатности електронских комуникација из члана 5. став 3. тачка 1) подтачка (9) алинеја четврта овог закона и оператори важних ИКТ система од посебног значаја који обављају делатност поштанских услуга из члана 6. став 1. тачка 1) алинеја прва овог закона, дужни су да обавештење о инциденту доставе Регулаторном телу за електронске комуникације и поштанске услуге.

(4) Народна банка Србије, Регулаторно тело за електронске комуникације и поштанске услуге и Комисија за хартије од вредности дужни су да добијена обавештења из ст. 2. и 3. овог члана проследе у јединствени систем за пријем обавештења о инцидентима.

(5) Оператори ИКТ система од посебног значаја, осим оператора ИКТ система из ст. 2. и 3. овог члана, дужни су да путем одговарајућих канала комуникације обавесте о инциденту кориснике којима пружају услуге, без одлагања, у случају инцидента који може да изазове или изазива штетан утицај на пружање и коришћење услуга, као и о мерама које корисници могу да предузму и употребе у циљу умањења или елиминације штетних последица инцидента.

(6) Оператори ИКТ система од посебног значаја из ст. 2. и 3. овог члана обавештавају кориснике о инцидентима у складу са посебним прописима.

(7) Орган коме је у складу са овим законом упућено обавештење о инциденту, уколико је реч о ИКТ систему од посебног значаја који је одређен као критична инфраструктура у складу са законом којим се уређује критична инфраструктура, информацију о томе прослеђује министарствима надлежним за секторе критичне инфраструктуре.

(8) Органи из ст. 1–3. овог члана, којима је упућено обавештење о инциденту, дужни су да, у случају инцидента који је настао у ИКТ систему оператора критичне инфраструктуре утврђеног у складу са законом којим се уређује критична инфраструктура, добијену информацију без одлагања проследе надлежним министарствима за секторе критичне инфраструктуре, у складу са прописима о заштити тајних података.

Члан 15 Садржај обавештења о инциденту

Обавештење о инциденту мора да садржи следеће податке:

1. 1) податке о подносиоцу пријаве;
2. 2) врсту и опис инцидента и процену да ли је инцидент последица кривичног дела;
3. 3) датум и време почетка инцидента, односно сазнања о инциденту и трајање инцидента;
4. 4) последице које је инцидент изазвао;
5. 5) предузете активности ради ублажавања последица инцидента;
6. 6) иницијалну процену нивоа опасности и утицаја инцидента на ИКТ систем од посебног значаја, као и индикаторе компромитације;
7. 7) информацију о евентуалном прекограничном дејству инцидента;
8. 8) податке о претходно пријављеним сличним инцидентима, ако су постојали, укључујући време и природу тих инцидената, као и мере које су том приликом предузете;
9. 9) друге релевантне информације, по потреби.

Члан 16 Значај инцидената према нивоу опасности

(1) Инциденти у ИКТ системима од посебног значаја који могу да имају значајан утицај на нарушавање информационе безбедности сврставају се према нивоу опасности, имајући у виду последице инцидента, у следеће нивое опасности:

1. 1) низак;
2. 2) средњи;
3. 3) висок;
4. 4) веома висок.

(2) Подзаконски акт којим се уређује поступак обавештавања о инцидентима, обрасци за обавештавање, листа инцидената према врстама и класификација инцидената према нивоу опасности доноси Влада, на предлог Министарства.

Члан 17 Оперативни тим за реаговање на инциденте

(1) У циљу координисане реакције на инциденте високог и веома високог нивоа Канцеларија за информациону безбедност образује стални оперативни тим.

(2) Канцеларија за информациону безбедност ближе уређује критеријуме за именовање чланова, као и вршење послова и задатке сталног оперативног тима.

(3) Канцеларија за информациону безбедност може да, зависно од природе и последица инцидента, затражи укључивање других органа у рад оперативног тима у оквиру њихових надлежности.

(4) По потреби, састанцима оперативног тима могу присуствовати и представници самосталних оператора, лица укључена у рад Тела за координацију послова информационе безбедности, као и представници посебних ЦЕРТ-ова.

(5) Лица која учествују у раду сталног оперативног тима дужна су да се сертификују за рад са тајним подацима.

Члан 18 План за реаговање у случају инцидента високог нивоа и криза информационе безбедности

(1) Влада доноси План за реаговање у случају инцидента високог нивоа и кризе информационе безбедности, на предлог Канцеларије за информациону безбедност.

(2) План из става 1. овог члана обухвата:

1. 1) циљеве мера и активности за реаговање у случају инцидената високог нивоа и криза информационе безбедности;
2. 2) деловање надлежних органа у циљу спровођења плана;
3. 3) опис процедура у случају инцидената високог нивоа и криза информационе безбедности;
4. 4) активности за унапређење способности реаговања на инциденте, а пре свега планове одговарајућих вежби и обука;
5. 5) моделе сарадње са приватним, невладиним и академским сектором;
6. 6) међусобну сарадњу надлежних органа.

(3) Приликом израде плана из става 1. овог члана успоставља се сарадња са органима и правним лицима чије су надлежности, односно послови и делатности повезани са планираним активностима.

(4) План из става 1. овог члана се периодично мења и допуњује у складу са потребама и новим околностима, а у целини се поново израђује и доноси сваке треће године, а уколико су се околности у значајној мери промениле и раније.

Члан 19 Поступање по пријему обавештења о инциденту

(1) По пријему обавештења о инциденту у ИКТ систему од посебног значаја, Канцеларија за информациону безбедност поступа у складу са надлежностима утврђеним законом, односно прикупља, анализира и размењује информације о ризицима за безбедност ИКТ система, као и инциденту, и у вези са тим обавештава, пружа подршку, упозорава и саветује оператора ИКТ система од посебног значаја и врши друге послове из своје надлежности.

(2) Канцеларија за информациону безбедност, након извршене анализе, утврђује ниво опасности инцидента.

(3) Када је неопходно да јавност буде упозната са инцидентом или када је инцидент такав да је од интереса за јавност, Канцеларија за информациону безбедност објављује информацију о инциденту, након саветовања са оператором ИКТ система од посебног значаја у коме се инцидент догодио.

(4) Изузетно од става 3. овог члана, Канцеларија за информациону безбедност може објавити информацију о инциденту који се догодио у оператору приоритетног ИКТ система од посебног значаја који обавља делатност у области банкарства и финансијских тржишта из члана 5. став 3. тачка 1) подтачка (3) овог закона, уз претходно прибављену сагласност Народне банке Србије односно Комисије за хартије од вредности.

(5) Канцеларија за информациону безбедност, Народна банка Србије, Комисија за хартије од вредности и Регулаторно тело за електронске комуникације и поштанске услуге дужни су да обавештења о инцидентима проследе:

1. 1) надлежном јавном тужилаштву, односно министарству надлежном за унутрашње послове, у случају да је инцидент везан за извршење кривичних дела која се гоне по службеној дужности,
2. 2) органу надлежном за безбедносне и контраобавештајне послове од значаја за одбрану Републике Србије или органу надлежном за послове националне безбедности, у случају да је инцидент повезан са значајним нарушавањем информационе безбедности које има или може имати за последицу угрожавање одбране или националне безбедности Републике Србије.

(6) Приликом управљања инцидентом Канцеларија за информациону безбедност, Народна банка Србије, Комисија за хартије од вредности и Регулаторно тело за електронске комуникације и поштанске услуге означавају обавештење о инциденту, односно информације о инциденту у складу са прописима и ТЛП (енг.„траффис лигхт протоцол”) протоколом.

Члан 20 Поступање у случају инцидента нивоа опасности „низакˮ

У случају инцидената којима је у складу са класификацијом утврђен ниво опасности „низак” Канцеларија за информациону безбедност по потреби даје препоруке за поступање оператору ИКТ система од посебног значаја.

Члан 21 Поступање у случају инцидента нивоа опасности „средњиˮ

У случају инцидената којима је у складу са класификацијом утврђен ниво опасности „средњи” Канцеларија за информациону безбедност даје препоруке за поступање оператору ИКТ система од посебног значаја.

Члан 22 Поступање у случају инцидента нивоа опасности „високˮ

(1) У случају инцидената којима је у складу са класификацијом утврђен ниво опасности „висок” Канцеларија за информациону безбедност је дужна да о томе обавести Министарство.

(2) Канцеларија за информациону безбедност, у сарадњи са оперативним тимом, припрема препоруке и мере за решавање инцидента.

(3) Министарство након пријема обавештења из става 1. овог члана сазива седницу Тела за координацију послова информационе безбедности.

(4) Након завршетка инцидента Канцеларија за информациону безбедност, у сарадњи са оперативним тимом, сачињава завршни извештај који доставља Министарству у року од 30 дана након завршеног инцидента.

Члан 23 Поступање у случају инцидента нивоа опасности „веома високˮ

(1) У случају инцидента којем је у складу са класификацијом утврђен ниво опасности „веома висок” и који представља кризу информационе безбедности, руковођење и координацију спровођења мера и задатака предузима Влада.

(2) Канцеларија за информациону безбедност, у сарадњи са оперативним тимом, израђује предлог за проглашавање кризе информационе безбедности, у складу са Планом за реаговање у случају инцидента високог нивоа и кризе информационе безбедности, који садржи:

1. 1) податке о инциденту;
2. 2) информације о предузетим мерама;
3. 3) разлоге за проглашење кризе информационе безбедности;
4. 4) задужење органа за поступање у складу са својим надлежностима;
5. 5) мере за решавање кризе.

(3) Предлог за проглашење кризе информационе безбедности упућује се Министарству, које по пријему предлога без одлагања сазива седницу Тела за координацију послова информационе безбедности.

(4) Влада на предлог Министарства доноси одлуку о проглашењу кризе информационе безбедности и задужује органе да поступају према предложеним мерама у складу са својим надлежностима.

(5) Канцеларија за информациону безбедност, у сарадњи са оперативним тимом, координира решавањем кризе информационе безбедности и најмање једном недељно извештава Министарство и Владу о свим активностима.

(6) Предлог за проглашење завршетка кризе информационе безбедности упућује се Министарству.

(7) Одлуку о проглашењу завршетка кризе информационе безбедности доноси Влада на предлог Министарства.

(8) Након завршетка кризе информационе безбедности Канцеларија за информациону безбедност сачињава завршни извештај који доставља Министарству и Влади у року од 30 дана након завршетка кризе.

Члан 24 Извештавање током и након инцидента

(1) Оператори ИКТ система од посебног значаја дужни су да:

1. 1) достављају извештај о инциденту, током трајања инцидента, са описом мера које су предузете за решавање инцидента, у јединствени систем за пријем обавештења о инцидентима и то:

(1) на свака три дана у случају инцидента средњег нивоа;

(2) на свака 24 сата у случају инцидената високог и веома високог нивоа;

1. 2) достављају обавештења и додатне извештаје о битним догађајима у вези са инцидентом и активностима које предузимају, на захтев Канцеларије;
2. 3) достављају завршни извештај о инциденту у року од 15 дана од дана престанка инцидента, који садржи следеће податке:

(1) врсту и детаљан опис инцидента;

(2) врсту претње и узрок који је довео до инцидента;

(3) време и трајање инцидента;

(4) обим и степен утицаја инцидента (остварени ризик), односно последице које је инцидент изазвао;

(5) информацију о евентуалном прекограничном дејству инцидента;

(6) предузете активности ради отклањања последица инцидента и, по потреби, друге информације од значаја за евидентирање инцидента и статистичку обраду.

(10) Након завршеног инцидента Канцеларија за информациону безбедност припрема препоруке и савете за заштиту од потенцијалних ризика, на основу спроведене анализе извршеног инцидента.

Члан 25 Достављање статистичких података о инцидентима

(1) Оператор ИКТ система од посебног значаја дужан је да, поред обавештавања о инцидентима из члана 13. овог закона, достави органу, односно организацији надлежној за послове Националног ЦЕРТ-а статистичке податке о свим инцидентима у ИКТ систему, укључујући и избегнуте инциденте, у претходној години најкасније до 28. фебруара текуће године.

(2) Орган, односно организација из става 1. овог члана извештаје о статистичким подацима доставља Министарству и објављује на својој веб презентацији.

(3) Врсту, форму и начин достављања статистичких података из става 1. овог члана утврђује орган, односно организација из става 1. овог члана.

Члан 26 Надлежни орган

(1) Орган државне управе надлежан за информациону безбедност је министарство надлежно за послове информационе безбедности.

(2) У оквиру својих надлежности Министарство:

1. 1) припрема и предлаже прописе и планска документа из области информационе безбедности у складу са овим законом;
2. 2) води евиденцију оператора ИКТ система од посебног значаја;
3. 3) врши надзор над радом Канцеларије за информациону безбедност у вршењу послова за које је надлежна у складу са овим законом;
4. 4) врши инспекцијски надзор над применом овог закона и радом оператора ИКТ система од посебног значаја, осим самосталних оператора ИКТ система и ИКТ система за рад са тајним подацима;
5. 5) остварује међународну сарадњу у оквиру својих надлежности.

Члан 27 Тело за координацију послова информационе безбедности

(1) У циљу остваривања сарадње и усклађеног обављања послова у функцији унапређења информационе безбедности, као и иницирања и праћења превентивних и других активности у области информационе безбедности, Влада оснива Тело за координацију послова информационе безбедности (у даљем тексту: Тело за координацију), као координационо тело Владе, у чији састав улазе представници министарстава надлежних за послове информационе безбедности, одбране, унутрашњих послова, спољних послова, послове правосуђа, представници служби безбедности, Канцеларије за информациону безбедност, Канцеларије за информационе технологије и електронску управу, Канцеларије Савета за националну безбедност и заштиту тајних података, Генералног секретаријата Владе, Народне банке Србије и Регулаторног тела за електронске комуникације и поштанске услуге.

(2) У функцији унапређења појединих области информационе безбедности формирају се стручне радне групе Тела за координацију у које се укључују и представници других органа, привреде, академске заједнице и невладиног сектора.

(3) Одлуком којом оснива Тело за координацију Влада одређује и његов састав, задатке, рок у коме оно подноси извештаје Влади и друга питања која су везана за његов рад.

Члан 28 Канцеларија за информациону безбедност

(1) Ради обављања послова превенције и заштите од безбедносних ризика и инцидената у ИКТ системима у Републици Србији оснива се Канцеларија за информациону безбедност (у даљем тексту: Канцеларија), као посебна организација у смислу закона којим се уређује положај државне управе.

(2) Канцеларија има својство правног лица.

(3) Радом Канцеларије руководи директор који мора да буде лице одговарајуће стручности са најмање пет година радног искуства у области информационе безбедности и кога именује Влада, у складу са законом којим се уређује положај државних службеника.

(4) Канцеларија има заменика директора, који мора бити лице одговарајуће стручности са најмање пет година радног искуства у области информационе безбедности, који се поставља у складу са прописима којим се уређује положај државних службеника и има овлашћења у складу са прописима о државној управи.

Члан 29 Надзор над радом Канцеларије

Надзор над радом Канцеларије у вршењу послова спроводи Министарство, у складу са законом којим се уређује државна управа.

Члан 30 Надлежности Канцеларије

(1) Канцеларија у оквиру своје надлежности обавља следеће послове, и то:

1. 1) врши превенцију и заштиту од безбедносних ризика на националном нивоу у складу са овим законом (послови Националног ЦЕРТ-а);
2. 2) предузима превентивне и реактивне мере у циљу заштите Јединствене информационо-комуникационе мреже електронске управе у складу са овим законом (послови ЦЕРТ-а органа власти);
3. 3) обавља сарадњу на националном нивоу у области информационе безбедности;
4. 4) врши послове јединствене тачке контакта;
5. 5) врши послове сертификације ИКТ система, ИКТ производа, ИКТ процеса и ИКТ услуга, изузев система, производа, процеса и услуга за потребе одбране и безбедности и ИКТ система за рад са тајним подацима;
6. 6) прописује минималне мере заштите ИКТ система органа, уважавајући начела из члана 3. овог закона, мере заштите из члана 10. овог закона, националне и међународне стандарде и стандарде који се примењују у одговарајућим областима рада;
7. 7) у сарадњи са надлежним органима и другим субјектима из јавног, академског, привредног и невладиног сектора учествује у развоју и спровођењу програма обука и стручног усавршавања лица која раде на пословима информационе безбедности;
8. 8) обавља сарадњу и размену информација на међународном нивоу у области информационе безбедности у циљу праћења и усаглашавања са међународним прописима и стандардима;
9. 9) врши стручни надзор над радом оператора ИКТ система од посебног значаја;
10. 10) води базу рањивости ИКТ производа и ИКТ услуга;
11. 11) извештава Министарство на кварталном нивоу о предузетим активностима;
12. 12) обавља друге послове у складу са овим законом.

(2) Подзаконски акт којим се ближе уређује начин вршења сертификације ИКТ система, ИКТ производа, ИКТ процеса и ИКТ услуга из става 1. тачка 5) овог члана доноси Влада, на предлог Министарства.

Члан 31 Послови превенције и заштите од безбедносних ризика на националном нивоу (Национални ЦЕРТ)

(1) У оквиру послова превенције и заштите од безбедносних ризика и инцидената Канцеларија врши послове Националног ЦЕРТ-а, и то:

1. 1) прикупља и размењује информације о претњама, рањивостима, избегнутим инцидентима и инцидентима и пружа подршку, упозорава и саветује лица која управљају ИКТ системима у Републици Србији, као и јавност;
2. 2) прати стање о инцидентима у Републици Србији;
3. 3) пружа рана упозорења, узбуне и најаве и информише релевантна лица о претњама, рањивостима и инцидентима;
4. 4) реагује без одлагања по пријављеним или на други начин откривеним инцидентима у ИКТ системима од посебног значаја, као и по пријавама физичких и правних лица, тако што пружа савете и препоруке на основу расположивих информација о инцидентима и предузима друге потребне мере из своје надлежности на основу добијених сазнања;
5. 5) на захтев оператора ИКТ система од посебног значаја, пружа помоћ у праћењу стања безбедности ИКТ система у реалном времену или приближно реалном времену;
6. 6) на захтев оператора ИКТ система од посебног значаја, врши проактивно скенирање ИКТ система у циљу утврђивања рањивости које могу да потенцијално знатно наруше безбедност ИКТ система, при чему такво скенирање не сме имати штетан утицај на послове и делатности оператора;
7. 7) поступа као координатор за потребе координираног откривања рањивости, у складу са овим законом;
8. 8) учествује у развоју и коришћењу технолошких алата за размену информација са операторима ИКТ система од посебног значаја и других субјеката са којима сарађује;
9. 9) континуирано израђује анализе ризика и инцидената, на основу прикупљених информација;
10. 10) подиже свест код грађана, привредних субјеката и органа о значају информационе безбедности, о ризицима и мерама заштите, укључујући спровођење кампања у циљу подизања те свести;
11. 11) води Евиденцију посебних ЦЕРТ-ова;
12. 12) припрема извештаје на кварталном нивоу о предузетим активностима;
13. 13) пружа подршку у прикупљању и анализирању форензичких података и пружа динамичке анализе ризика и инцидената у складу са прописима;
14. 14) сарађује са ЦЕРТ-овима страних држава и на њихов захтев пружа узајамну помоћ у складу са својим капацитетима и надлежностима.

(2) Канцеларија подстиче примену и коришћење прописаних и стандардизованих процедура за:

1. 1) управљање инцидентима;
2. 2) класификацију информација о инцидентима, односно класификацију према нивоу опасности инцидената;
3. 3) управљање кризним ситуацијама;
4. 4) координирано откривање рањивости.

(3) Канцеларија је овлашћена да врши обраду података о лицу које пријави инцидент, при чему обрада података о лицу обухвата име, презиме и број телефона и/или адресу електронске поште и врши се у сврху евидентирања поднетих пријава, информисања подносиоца пријаве о статусу предмета и, у случају потребе, упућивања пријаве надлежним органима ради даљег поступања, у складу са законом.

(4) Канцеларија обезбеђује непрекидну доступност својих услуга путем различитих средстава комуникације.

(5) У оквиру обављања послова Националног ЦЕРТ-а потребно је обезбедити следеће захтеве:

1. 1) висок ниво доступности комуникационих канала избегавањем јединствених тачака прекида и коришћење више средстава за двосмерно контактирање;
2. 2) просторије Националног ЦЕРТ-а и информациони системи за подршку треба да буду смештени на сигурним локацијама;
3. 3) употребу одговарајућег система за управљање захтевима и њихово усмеравање, посебно како би се олакшала ефикасна и ефективна размена информација;
4. 4) обезбеђивање поверљивости и поузданости својих активности;
5. 5) постојање адекватних кадровских капацитета;
6. 6) опремљеност редундантним системима и резервним радним простором како би се осигурао континуитет услуга.

(6) Подзаконски акт којим се ближе уређује поступак проактивног скенирања ИКТ система из става 1. тачка 6) овог члана, заштитни, технички и безбедносни услови и мере које мора да испуни субјекат који непосредно врши скенирање, као и процедура којом се утврђују услови у циљу заштите безбедности система, мрежа и података којима се приступа и начин извештавања надлежног органа, доноси Влада на предлог Министарства.

Члан 32 Превентивне и реактивне мере у циљу заштите Јединствене информационо-комуникационе мреже електронске управе (ЦЕРТ органа власти)

(1) У оквиру предузимања превентивних и реактивних мера у циљу заштите Јединствене информационо-комуникационе мреже електронске управе (у даљем тексту: мрежа еУправе) Канцеларија обавља следеће послове:

1. 1) врши заштиту мреже еУправе;
2. 2) обавља координацију и сарадњу са операторима ИКТ система које повезује мрежа еУправе у превенцији инцидената;
3. 3) активно учествује у откривању инцидената, прикупљању информација о инцидентима и отклањању последица инцидената;
4. 4) врши проактивно скенирање мреже оператора ИКТ система од посебног значаја који су корисници мреже, при чему такво скенирање не сме имати штетан утицај на послове и делатности оператора;
5. 5) у случају откривене рањивости:

(1) обавештава операторе ИКТ система који су корисници мреже еУправе о томе;

(2) налаже операторима ИКТ система од посебног значаја који су корисници мреже да предузму адекватне мере заштите у циљу спречавања, смањења и отклањања последица инцидента;

1. 6) издаје стручне препоруке за заштиту ИКТ система органа, осим ИКТ система за рад са тајним подацима;
2. 7) доноси акт којим се уређује поступање оператора ИКТ система од посебног значаја који користе мреже у случају инцидента;
3. 8) у сарадњи са надлежним органима врши процену потребе за стручним усавршавањем запослених у операторима ИКТ система од посебног значаја који користе мрежу;
4. 9) планира и организује процедуралне и практичне вежбе у области информационе безбедности за запослене у операторима ИКТ система од посебног значаја који користе мрежу;
5. 10) израђује предлоге за унапређење безбедносних карактеристика мреже еУправе;
6. 11) израђује анализе ризика и инцидената у оквиру мреже еУправе;
7. 12) обавља друге послове у складу са законом у циљу унапређења информационе безбедности мреже еУправе.

(4) Подзаконски акт којим се ближе уређује поступак проактивног скенирања ИКТ система из става 1. тачка 4) овог члана, заштитни, технички и безбедносни услови и мере које мора да испуни субјекат који непосредно врши скенирање, као и процедура којом се утврђују услови у циљу заштите безбедности система, мрежа и података којима се приступа и начин извештавања надлежног органа, доноси Влада на предлог Министарства.

Члан 33 Сарадња на националном нивоу

(1) Канцеларија непосредно сарађује са Министарством, Регулаторним телом за електронске комуникације и поштанске услуге, Посебним ЦЕРТ-овима у Републици Србији, са јавним и привредним субјектима и ЦЕРТ-овима самосталних оператора ИКТ система.

(2) ЦЕРТ-ови могу, у складу са својим надлежностима и безбедносним протоколима, самостално успостављати сарадњу са релевантним актерима из јавног и приватног сектора, уз обавезу обавештавања Канцеларије ради координације и размене информација од значаја за национални систем информационе безбедности.

(3) Канцеларија и ЦЕРТ-ови самосталних оператора ИКТ система одржавају међусобне састанке у организацији Канцеларије најмање три пута годишње, као и по потреби у случају инцидената који значајно угрожавају информациону безбедност у Републици Србији.

(4) Састанцима из става 3. овог члана присуствују и представници Министарства, а по позиву могу да присуствују и представници посебних ЦЕРТ-ова, као и друга лица.

(5) Приликом сарадње са субјектима из става 1. овог члана Канцеларија је дужна да обезбеди ефективну, ефикасну и безбедну размену информација уз примену адекватних процедура, укључујући „траффиц лигхт протоцол” (ТЛП), и поштујући прописе о заштити података о личности.

Члан 34 Међународна сарадња и послови јединствене тачке контакта

(1) Канцеларија остварује међународну сарадњу у области безбедности ИКТ система, а нарочито пружа упозорења о ризицима и инцидентима који испуњавају најмање један од следећих услова:

1. 1) брзо расту или имају тенденцију да постану високоризични;
2. 2) превазилазе или могу да превазиђу националне капацитете;
3. 3) могу да имају негативан утицај на више од једне државе.

(2) Приликом размене података из става 1. овог члана, Канцеларија је дужна да поступа тако да се не угрози поверљивост података, као и да таква размена података не утиче на потенцијално нарушавање безбедности ИКТ система.

(3) Размена података из става 1. овог члана подразумева пренос или обраду података који су неопходни за процену и реаговање на безбедносне ризике и инциденте у складу са овим законом. У случају да се размена односи на податке о личности, Канцеларија је дужна да обезбеди да такав пренос или обрада буду усклађени са прописима којима се уређује заштита података о личности, укључујући и правила која се односе на пренос података у друге државе или међународне организације.

(4) Уколико је инцидент у вези са извршењем кривичног дела које се гони по службеној дужности, Канцеларија ће о томе обавестити надлежно јавно тужилаштво, које ће самостално или преко министарства надлежног за унутрашње послове у званичној процедури проследити пријаву у складу са потврђеним међународним уговорима.

(5) Канцеларија обавља послове јединствене тачке контакта за информациону безбедност у случају прекограничних безбедносних претњи и инцидената и сарађује са јединственим тачкама контакта других држава.

Члан 35 Посебни центри за превенцију безбедносних ризика у ИКТ системима

(1) Посебан центар за превенцију безбедносних ризика у ИКТ системима (у даљем тексту: Посебан ЦЕРТ) обавља послове превенције и заштите од безбедносних ризика у ИКТ системима у оквиру одређеног правног лица, групе правних лица, области пословања и слично.

(2) Посебан ЦЕРТ је правно лице или организациона јединица у оквиру правног лица са седиштем на територији Републике Србије, које је уписано у евиденцију посебних ЦЕРТ-ова коју води орган, односно организација надлежна за послове Националног ЦЕРТ-а и објављује је јавно.

(3) Упис у евиденцију посебних ЦЕРТ-ова, коју води Канцеларија, врши се на основу пријаве правног лица у оквиру кога се налази посебан ЦЕРТ.

(4) Евиденција посебних ЦЕРТ-ова од података о личности садржи податке о одговорним лицима, и то: име, презиме, функцију и контакт податке као што су адреса, број телефона и адреса електронске поште, а у сврху ангажовања посебних ЦЕРТ-ова у случају безбедносних ризика и инцидената у ИКТ системима.

(5) Орган, односно организација из става 2. овог члана прописује садржај, начин уписа и вођења евиденције из става 3. овог члана.

Члан 36 База рањивости

(1) Орган, односно организација надлежна за послове Националног ЦЕРТ-а успоставља и одржава базу рањивости ИКТ производа и ИКТ услуга у Републици Србији и омогућава физичким и правним лицима, као и произвођачима, добављачима и пружаоцима услуге у ИКТ систему, да на добровољној бази пријаве рањивости у ИКТ производима или ИКТ услугама, а које се могу пријавити анонимно.

(2) База рањивости ИКТ производа и ИКТ услуга садржи:

1. 1) податке о рањивости;
2. 2) податке о рањивостима ИКТ производа или ИКТ услуга.

(3) Влада, на предлог Министарства, прописује садржај, процедуре верификације рањивости, процедуре за управљање техничким рањивостима ИКТ производа и ИКТ услуга, начин уписа и вођења регистра.

Члан 37 База података о регистрацији домена

(1) Организација која је овлашћена за управљање регистром домена највишег нивоа води списак овлашћених регистара за регистрацију домена у Републици Србији.

(2) Списак из става 1. овог члана обавезно садржи следеће податке:

1. 1) назив овлашћеног регистра;
2. 2) седиште и ажурне контакт податке овлашћеног регистра (адресу електронске поште, службени телефон);
3. 3) адресни опсег интернет протокола (енгл. „ИП аддресс ранге“) који припада овлашћеном регистру, а који обухвата податке о јавним статичким ИП адресама.

(3) Овлашћени регистар дужан је да у случају промене података из става 2. овог члана о томе обавести организацију која је овлашћена за управљање регистром домена највишег нивоа у року од 15 дана од дана настанка промене.

(4) Организације које су овлашћене за управљање регистром домена највишег нивоа и пружање услуга ДНС-а обавезне су да прикупљају, чувају и одржавају тачне и потпуне податке о регистрацији домена у посебној бази података, уз дужну пажњу и уз примену техничких, организационих и безбедносних мера за заштиту података, у складу са прописима о заштити података о личности.

(5) База података из става 4. овог члана мора да садржи најмање следеће податке:

1. 1) назив домена;
2. 2) датум регистрације домена;
3. 3) податке о регистранту, и то: име и презиме физичког лица, односно назив правног лица, контакт адресу електронске поште и број телефона;
4. 4) контакт адресу електронске поште и број телефона лица задуженог за администрацију домена, уколико се разликују од података регистранта.

(6) Организације из става 4. овог члана дужне су да усвоје и примене акте и процедуре за верификацију тачности и потпуности података у бази података. Ове процедуре морају бити јавно доступне.

(7) Организације из става 4. овог члана дужне су да обезбеде јавну доступност података који не представљају податке о личности одмах по регистрацији домена, а у складу са правилима и условима регистрације назива националних интернет домена.

(8) Организације из става 4. овог члана обавезне су да омогуће приступ подацима о регистрацији домена који нису јавно доступни на основу законитих и образложених захтева овлашћених лица или органа, у складу са овлашћењима додељеним прописима који уређују делокруг њиховог рада и у складу са прописима који уређују заштиту података о личности.

(9) Одговор на захтев из става 7. овог члана мора бити достављен без одлагања, а најкасније у року од 72 сата од пријема захтева.

(10) Организације из става 4. овог члана дужне су да донесу и јавно објаве политике и процедуре за поступање по захтевима за откривање података о регистрацији домена, у складу са овим законом и прописима о заштити података о личности. У складу са овим чланом, прикупљање података о регистрацији домена не сме довести до дуплирања података. Организације из става 4. овог члана дужне су да сарађују ради избегавања дуплирања и осигурања усклађености са законом.

(11) Министар надлежан за информациону безбедност прописује ближе услове за прикупљање, чување, верификацију и објављивање података из овог члана, а у складу са најбољом праксом регистара националних интернет домена из Европске Уније, као и Интернет корпорације за додељене називе и бројеве (ИЦАНН).

Члан 38 Заштита деце при коришћењу информационо-комуникационих технологија

(1) Министарство предузима превентивне мере за безбедност и заштиту деце на интернету, као активности од јавног интереса, путем едукације и информисања деце, родитеља и наставника о предностима, ризицима и начинима безбедног коришћења интернета, као и путем јединственог места за пружање савета и пријем пријава у вези безбедности деце на интернету и упућује пријаве надлежним органима ради даљег поступања.

(2) Оператор електронских комуникација који пружа јавно доступне телефонске услуге дужан је да омогући свим претплатницима услугу бесплатног позива према јединственом месту за пружање савета и пријем пријава у вези безбедности деце на интернету.

(3) У случају да наводи из пријаве упућују на постојање кривичног дела, на повреду права, здравственог статуса, добробити и/или општег интегритета детета, на ризик стварања зависности од коришћења интернета, пријава се прослеђује надлежном органу ради поступања у складу са утврђеним надлежностима.

(4) Министарство је овлашћено да врши обраду података о лицу које се обрати Министарству у складу са законом који уређује заштиту података о личности и другим прописима.

(5) Обрада података о лицу из става 4. овог члана обухвата име, презиме и број телефона и/или адресу електронске поште и врши се у сврху евидентирања поднетих пријава, информисања подносиоца пријаве о статусу предмета и, у случају потребе, упућивања пријаве надлежним органима ради даљег поступања, у складу са законом.

(6) Подаци о личности из става 5. овог члана чувају се у роковима предвиђеним прописима који уређују канцеларијско пословање.

(7) Подзаконски акт којим се ближе уређује начин спровођења мера за безбедност и заштиту деце на интернету из ст. 1. и 3. овог члана доноси Влада на предлог Министарства.

Члан 39 Надлежност

Министарство надлежно за послове одбране је надлежно за послове информационе безбедности који се односе на одобравање криптографских производа који се користе за заштиту преноса и чувања података који су одређени као тајни, дистрибуцију криптоматеријала и заштиту од компромитујућег електромагнетног зрачења и послове и задатке у складу са законом и прописима донетим на основу закона.

Члан 40 Послови и задаци

(1) У складу са овим законом, министарство надлежно за послове одбране:

1. 1) организује и реализује научноистраживачки рад у области криптографске безбедности и заштите од КЕМЗ;
2. 2) развија, имплементира, верификује и класификује криптографске алгоритме;
3. 3) истражује, развија, верификује и класификује сопствене криптографске производе и решења заштите од КЕМЗ;
4. 4) верификује и класификује домаће и стране криптографске производе и решења заштите од КЕМЗ;
5. 5) дефинише процедуре и критеријуме за евалуацију криптографских безбедносних решења;
6. 6) врши функцију националног органа за одобрења криптографских производа и обезбеђује да ти производи буду одобрени у складу са одговарајућим прописима;
7. 7) врши функцију националног органа за заштиту од КЕМЗ;
8. 8) врши проверу ИКТ система са аспекта криптобезбедности и заштите од КЕМЗ;
9. 9) врши функцију националног органа за дистрибуцију криптоматеријала и дефинише управљање, руковање, чување, дистрибуцију и евиденцију криптоматеријала у складу са прописима;
10. 10) планира и координира израду криптопараметара (параметара криптографског алгоритма), дистрибуцију криптоматеријала и заштите од компромитујућег електромагнетног зрачења у сарадњи са самосталним операторима ИКТ система;
11. 11) формира и води централни регистар верификованог и дистрибуираног криптоматеријала;
12. 12) формира и води регистар издатих одобрења за криптографске производе;
13. 13) израђује електронске сертификате за криптографске системе засноване на инфраструктури јавних кључева (Публиц Кеy Инфраструцтуре – ПКИ);
14. 14) предлаже доношење прописа из области криптобезбедности и заштите од КЕМЗ на основу овог закона;
15. 15) врши послове стручног надзора у вези криптобезбедности и заштите од КЕМЗ;
16. 16) пружа стручну помоћ носиоцу инспекцијског надзора информационе безбедности у области криптобезбедности и заштите од КЕМЗ;
17. 17) пружа услуге уз накнаду правним и физичким лицима, изван система јавне власти, у области криптобезбедности и заштите од КЕМЗ према пропису Владе на предлог министра одбране;
18. 18) сарађује са домаћим и међународним органима и организацијама у оквиру надлежности уређених овим законом.

(2) Средства остварена од накнаде за пружање услуга из става 1. тачка 17) овог члана су приход буџета Републике Србије.

Члан 41 Компромитујуће електромагнетно зрачење

(1) Мере заштите од КЕМЗ у ИКТ системима за руковање са тајним подацима примењују се у складу са прописима којима се уређује заштита тајних података.

(2) Мере заштите од КЕМЗ могу примењивати на сопствену иницијативу и оператори ИКТ система којима то није законска обавеза.

(3) За све техничке компоненте система (уређаје, комуникационе канале и просторе) код којих постоји ризик од КЕМЗ, а што би могло довести до нарушавања информационе безбедности из става 1. овог члана, врши се провера заштићености од КЕМЗ и процена ризика од неовлашћеног приступа тајним подацима путем КЕМЗ.

(4) Проверу заштићености од КЕМЗ врши министарство надлежно за послове одбране.

(5) Самостални оператори ИКТ система могу вршити проверу КЕМЗ за сопствене потребе.

(6) Подзаконски акт којим се ближе уређују услови за проверу КЕМЗ и начин процене ризика од отицања података путем КЕМЗ доноси Влада, на предлог министарства надлежног за послове одбране.

Члан 42 Мере криптозаштите

(1) Мере криптозаштите за руковање са тајним подацима у ИКТ системима примењују се у складу са прописима којима се уређује заштита тајних података.

(2) Мере криптозаштите се могу применити и приликом преноса и чувања података који нису означени као тајни у складу са законом који уређује тајност података, када је на основу закона или другог правног акта потребно применити техничке мере ограничења приступа подацима и ради заштите интегритета, аутентичности и непорецивости података.

(3) Подзаконски акт којим се уређују технички услови за криптографске алгоритме, параметре, протоколе и информациона добра у области криптозаштите који се у Републици Србији користе у криптографским производима ради заштите тајности, интегритета, аутентичности, односно непорецивости података доноси Влада, на предлог министарства надлежног за послове одбране.

Члан 43 Одобрење за криптографски производ

(1) Криптографски производи који се користе за заштиту преноса и чувања података који су одређени као тајни, у складу са законом, морају бити верификовани и одобрени за коришћење.

(2) Подзаконски акт којим се ближе уређују услови које морају да испуњавају криптографски производи из става 1. овог члана доноси Влада, на предлог министарства надлежног за послове одбране.

Члан 44 Издавање одобрења за криптографски производ

(1) Одобрење за криптографски производ издаје министарство надлежно за послове одбране, на захтев оператора ИКТ система, произвођача криптографског производа или другог заинтересованог лица.

(2) Одобрење за криптографски производ се може односити на појединачни примерак криптографског производа или на одређени модел криптографског производа који се серијски производи.

(3) Одобрење за криптографски производ може имати рок важења.

(4) Министарство надлежно за послове одбране решава по захтеву за издавање одобрења за криптографски производ у року од 45 дана од дана подношења уредног захтева, који се може продужити у случају посебне сложености провере највише за још 60 дана.

(5) Против решења из става 4. овог члана жалба није допуштена, али може да се покрене управни спор.

(6) Министарство надлежно за послове одбране води регистар издатих одобрења за криптографски производ.

(7) Регистар из става 6. овог члана од података о личности садржи податке о одговорним лицима, и то: име, презиме, функција и контакт податке као што су адреса, број телефона и адреса електронске поште. Министарство надлежно за послове одбране објављује јавну листу одобрених модела криптографских производа за све моделе криптографских производа за које је у захтеву за издавање одобрења наглашено да модел криптографског производа треба да буде на јавној листи и ако је захтев поднео произвођач или лице овлашћено од стране произвођача предметног криптографског производа.

(8) Министарство надлежно за послове одбране претходно издато одобрење за криптографски производ може повући или променити услове из ст. 2. и 3. овог члана из разлога нових сазнања везаних за техничка решења примењена у производу, а која утичу на оцену степена заштите који пружа производ.

(9) Подзаконски акт којим се ближе уређује садржај захтева за издавање одобрења за криптографски производ, услове за издавање одобрења за криптографски производ, начин издавања одобрења и вођења регистра издатих одобрења за криптографски производ доноси Влада, на предлог министарства надлежног за послове одбране.

Члан 45 Опште одобрење за коришћење криптографских производа

(1) Самостални оператори ИКТ система имају опште одобрење за коришћење криптографских производа.

(2) Оператор ИКТ система из става 1. овог члана самостално оцењује степен заштите који пружа сваки појединачни криптографски производ који користи, а у складу са прописаним условима.

Члан 46 Регистри у криптозаштити

(1) Самостални оператори ИКТ система који имају опште одобрење за коришћење криптографских производа устројавају и воде регистре криптографских производа, криптоматеријала, правила и прописа и лица која обављају послове криптозаштите.

(2) Регистар лица која обављају послове криптозаштите од података о личности садржи следеће податке о лицима која обављају послове криптозаштите: презиме, име оца и име, датум и место рођења, матични број, телефон, адресу електронске поште, школску спрему, податке о завршеном стручном оспособљавању за послове криптозаштите, назив радног места, датум почетка и завршетка рада на пословима криптозаштите.

(3) Регистар криптоматеријала за руковање са страним тајним подацима води Канцеларија Савета за националну безбедност и заштиту тајних података, у складу са ратификованим међународним споразумима.

(4) Подзаконски акт којим се ближе уређује вођење регистара из става 1. овог члана доноси Влада, на предлог министарства надлежног за послове одбране.

Члан 47 Инспекција за информациону безбедност

(1) Инспекција за информациону безбедност врши инспекцијски надзор над применом овог закона и радом оператора ИКТ система од посебног значаја, осим самосталних оператора ИКТ система и ИКТ система за рад са тајним подацима, а у складу са законом којим се уређује инспекцијски надзор.

(2) Послове инспекције за информациону безбедност обавља Министарство преко инспектора за информациону безбедност.

(3) У оквиру инспекцијског надзора рада оператора ИКТ система, инспектор за информациону безбедност утврђује да ли су испуњени услови прописани овим законом и прописима донетим на основу овог закона.

Члан 48 Овлашћења инспектора за информациону безбедност

(1) Инспектор за информациону безбедност је овлашћен да у поступку спровођења надзора, поред налагања мера за које је овлашћен инспектор у поступку вршења инспекцијског надзора утврђених законом:

1. 1) наложи отклањање утврђених неправилности и за то утврди разуман рок;
2. 2) забрани коришћење поступака и техничких средстава којима се угрожава или нарушава информациона безбедност и за то остави рок;
3. 3) захтева од оператора ИКТ система од посебног значаја да изврши скенирање, конфигурацију и пенетрационо тестирање ИКТ система у циљу утврђивања евентуалних безбедносних рањивости, а у складу са проценом ризика;
4. 4) наложи да надзирани субјект учини доступним јавности информације које се тичу непоштовања одредби овог закона, а за које постоји оправдан интерес јавности на утврђени начин;
5. 5) наложи да надзирани субјект одреди лице са тачно утврђеним овлашћењима које ће у утврђеном временском периоду надзирати и пратити усаглашеност са одредбама овог закона и наложеним мерама;
6. 6) предложи надлежном органу, телу за оцењивање усаглашености или другом надлежном телу да привремено суспендује или повуче издат сертификат, дозволу или други акт којим се потврђује испуњеност услова, уколико надзирани субјект не отклони неправилности у остављеном року;
7. 7) покрене поступак пред надлежним судом или другим надлежним органом ради утврђивања привремене мере забране обављања управљачких функција лицу које у име надзираног субјекта врши руководеће послове, ако је његовим поступањем онемогућено усаглашавање са овим законом и наложеним мерама.

(2) Подзаконски акт којим се ближе уређује поступак скенирања, конфигурација и пенетрационо тестирање ИКТ система у циљу утврђивања евентуалних безбедносних рањивости из става 1. тачка 3) овог члана, заштитни, технички и безбедносни услови и мере које мора да испуни субјекат који непосредно врши активности из става 1. тачка 3) овог члана, као и процедура којом се утврђују услови у циљу заштите безбедности система, мрежа и података којима се приступа и начин извештавања надлежног органа, доноси Влада на предлог Министарства.

Члан 49 Стручни надзор

(1) Стручни надзор над применом овог закона и радом оператора ИКТ система од посебног значаја, осим самосталних оператора ИКТ система и ИКТ система за рад са тајним подацима, врши Канцеларија, а у складу са законом којим се уређује инспекцијски надзор.

(2) Послове стручног надзора обавља овлашћено лице запослено у Канцеларији (у даљем тексту: овлашћено лице).

(3) У поступку стручног надзора овлашћено лице има право и обавезу да контролише:

1. 1) адекватност процењених ризика с обзиром на степен изложености ризику, величину оператора и извесност појаве инцидента и његове озбиљности, као и његов потенцијални друштвени и економски утицај;
2. 2) ниво безбедности технолошких поступака и техничких средстава које оператор ИКТ система од посебног значаја употребљава ради примена мера заштите;
3. 3) одговарајуће спровођење процеса провере усклађености примењених мера ИКТ система са актом о безбедности;
4. 4) примену препорука и мера у случају инцидената који значајно угрожавају информациону безбедност.

(4) Ако у вршењу стручног надзора Канцеларија утврди неправилности, недостатке или пропусте у примени овог закона и прописа донетих на основу њега, о томе обавештава надзираног субјекта и одређује му рок у коме је дужан да их отклони.

(5) Рок из става 4. овог члана не може бити краћи од осам дана од дана пријема обавештења, осим у случајевима који захтевају хитно поступање.

(6) Ако Канцеларија утврди да надзирани субјекат није, у остављеном року, отклонио утврђене неправилности, недостатке или пропусте у примени овог закона и прописа донетих на основу њега, подноси пријаву инспекцији.

(7) Канцеларија је дужна да по захтеву инспектора за информациону безбедност обави стручни надзор и достави информацију о утврђеном чињеничном стању.

(8) Образац легитимације и начин издавања легитимације овлашћеног лица утврђује Канцеларија.

(9) Легитимација овлашћеног лица обавезно садржи: грб Републике Србије и назив Канцеларије, име и презиме овлашћеног лица, фотографију овлашћеног лица, службени број легитимације, датум издавања легитимације, печат Канцеларије, потпис директора Канцеларије, као и одштампани текст следеће садржине: „Ималац ове легитимације има овлашћења у складу са одредбама члана 49. ст. 3. и 4. Закона о информационој безбедности.”

Члан 50

(1) Новчаном казном у износу од 50.000,00 до 2.000.000,00 динара казниће се за прекршај правно лице које је оператор приоритетног ИКТ система ако:

1. 1) не поступи у складу са одредбама о упису у евиденцију из члана 9. овог закона;
2. 2) не донесе Акт о процени ризика из члана 11. став 1. овог закона;
3. 3) не донесе Акт о безбедности ИКТ система из члана 12. став 1. овог закона;
4. 4) не примени мере заштите одређене Актом о безбедности ИКТ система из члана 12. став 2. овог закона;
5. 5) не изврши проверу усклађености примењених мера из члана 12. став 5. овог закона;
6. 6) не достави статистичке податке из члана 25. став 1. овог закона;
7. 7) не поступи по налогу инспектора за информациону безбедност у остављеном року из члана 48. став 1. тачка 1) овог закона.

(2) За прекршај из става 1. овог члана казниће се физичко лице у својству регистрованог субјекта које је оператор приоритетног ИКТ система новчаном казном у износу од 10.000,00 до 500.000,00 динара.

(3) За прекршај из става 1. овог члана казниће се и одговорно лице у правном лицу или органу који је оператор приоритетног ИКТ система новчаном казном у износу од 5.000,00 до 50.000,00 динара.

Члан 51

(1) Новчаном казном у износу од 50.000,00 до 1.000.000,00 динара казниће се за прекршај правно лице које је оператор важног ИКТ система ако:

1. 1) не поступи у складу са одредбама о упису у евиденцију из члана 9. овог закона;
2. 2) не донесе Акт о процени ризика из члана 11. став 1. овог закона;
3. 3) не донесе Акт о безбедности ИКТ система из члана 12. став 1. овог закона;
4. 4) не примени мере заштите одређене Актом о безбедности ИКТ система из члана 12. став 2. овог закона;
5. 5) не изврши проверу усклађености примењених мера из члана 12. став 5. овог закона;
6. 6) не достави статистичке податке из члана 25. став 1. овог закона;
7. 7) не поступи по налогу инспектора за информациону безбедност у остављеном року из члана 48. став 1. тачка 1) овог закона.

(2) За прекршај из става 1. овог члана казниће се физичко лице у својству регистрованог субјекта које је оператор важног ИКТ система новчаном казном у износу од 10.000,00 до 250.000,00 динара.

(3) За прекршај из става 1. овог члана казниће се и одговорно лице у правном лицу или органу који је оператор важног ИКТ система новчаном казном у износу од 5.000,00 до 50.000,00 динара.

Члан 52

(1) Новчаном казном у износу од 50.000,00 до 500.000,00 динара казниће се за прекршај правно лице које је оператор приоритетног ИКТ система ако:

1. 1) о инцидентима у ИКТ систему из члана 13. став 2. овог закона не обавести органе из члана 14. ст. 1. до 3. овог закона;
2. 2) не обавести кориснике којима пружају услуге у случају инцидента који може да изазове или изазива штетан утицај на пружање и коришћење услуга у складу са чланом 14. став 5. овог закона;
3. 3) не доставља обавештења и извештаје током и након завршетка инцидента из члана 24. овог закона.

(2) За прекршај из става 1. овог члана казниће се физичко лице у својству регистрованог субјекта које је оператор приоритетног ИКТ система новчаном казном у износу од 10.000,00 до 500.000,00 динара.

(3) За прекршаје из става 1. овог члана казниће се и одговорно лице у правном лицу или органу који је оператор приоритетног ИКТ система новчаном казном у износу од 5.000,00 до 50.000,00 динара.

(4) Изузетно од ст. 1–3. овог члана, ако оператор приоритетних ИКТ система од посебног значаја из члана 14. став 2. овог закона не обавести Народну банку Србије о инцидентима у ИКТ систему од посебног значаја или не обавести кориснике о инцидентима у складу са чланом 14. став 6. овог закона, Народна банка Србије изриче том субјекту мере и казне у складу са законом којим се уређује његово пословање.

Члан 53

(1) Новчаном казном у износу од 50.000,00 до 500.000,00 динара казниће се за прекршај правно лице које је оператор важног ИКТ система ако:

1. 1) о инцидентима у ИКТ систему из члана 13. став 2. овог закона не обавести органе из члана 14. ст. 1. до 3. овог закона;
2. 2) не обавести кориснике којима пружају услуге у случају инцидента који може да изазове или изазива штетан утицај на пружање и коришћење услуга у складу са чланом 14. став 5. овог закона;
3. 3) не доставља обавештења и извештаје током и након завршетка инцидента из члана 24. овог закона.

(2) За прекршај из става 1. овог члана казниће се физичко лице у својству регистрованог субјекта које је оператор приоритетног ИКТ система новчаном казном у износу од 10.000,00 до 250.000,00 динара.

(3) За прекршаје из става 1. овог члана казниће се и одговорно лице у правном лицу или органу које је оператор важног ИКТ система новчаном казном у износу од 5.000,00 до 50.000,00 динара.

Члан 54 Рокови за доношење подзаконских аката

(1) Подзаконска акта предвиђена овим законом донеће се у року од 12 месеци од дана ступања на снагу овог закона.

(2) План за реаговање у случају инцидента високог нивоа и кризе информационе безбедности из члана 18. овог закона доноси се у року од 18 месеци од дана ступања на снагу овог закона.

Члан 55

(1) Оператори ИКТ система од посебног значаја који су одређени Законом о информационој безбедности („Службени гласник РС”, бр. 6/16, 94/17 и 77/19) настављају да поступају у складу са обавезама утврђеним чл. 6а–11б тог закона до 31. децембра 2025. године.

(2) На операторе ИКТ система од посебног значаја који су одређени Законом о информационој безбедности („Службени гласник РС”, бр. 6/16, 94/17 и 77/19) до датума из става 1. овог члана примењују се казнене одредбе из чл. 30. и 31. тог закона.

(3) Оператори ИКТ система од посебног значаја дужни су да донесу акт из члана 11. став 1. овог закона у року од 18 месеци од дана ступања на снагу овог закона.

(4) Орган, односно организација у којој се обављају послови Националног ЦЕРТ-а дужна је да, у року од девет месеци од дана ступања на снагу овог закона, донесе општу методологију за процену ризика у ИКТ системима од посебног значаја из члана 11. став 4. овог закона.

(5) Оператор ИКТ система од посебног значаја дужан је да донесе акт из члана 12. овог закона у року од 18 месеци од дана ступања на снагу овог закона.

Члан 56

(1) Канцеларија за информациону безбедност се успоставља и почиње да обавља послове из своје надлежности прописане овим законом од 1. јануара 2027. године.

(2) Послове Канцеларије за информациону безбедност прописане овим законом, изузев послова Националног ЦЕРТ-а, обављаће Канцеларија за информационе технологије и електронску управу у периоду који почиње даном наступања шест месеци од дана ступања на снагу овог закона и који траје до 1. јануара 2027. године.

(3) Регулаторно тело за електронске комуникације и поштанске услуге обавља послове Националног ЦЕРТ-а утврђене овим законом до успостављања Канцеларије за информациону безбедност односно до 1. јануара 2027. године.

(4) Канцеларија за информациону безбедност преузима права, обавезе, запослене, предмете, опрему, средства за рад и архиву од Регулаторног тела за електронске комуникације и поштанске услуге насталу у обављању послова Националног ЦЕРТ-а потребне за вршење стручних послова утврђених овим законом.

(5) Канцеларија за информациону безбедност почев од датума из става 1. овог члана преузима права, обавезе, запослене, предмете, опрему, средства за рад и архиву од Канцеларије за информационе технологије и електронску управу насталу у обављању послова прописаних овим законом из надлежности Канцеларије за информациону безбедност.

Члан 57 Престанак важења Закона о информационој безбедности

(1) Даном ступања на снагу овог закона престаје да важи Закон о информационој безбедности („Службени гласник РС”, бр. 6/16, 94/17 и 77/19), изузев одредби чл. 6а–11б и чл. 30. и 31. које важе до 31. децембра 2025. године.

(2) Подзаконски акти донети на основу Закона о информационој безбедности („Службени гласник РС”, бр. 6/16, 94/17 и 77/19) примењиваће се до ступања на снагу подзаконских аката који се доносе у складу са овим законом.

Члан 58 Ступање на снагу

Овај закон ступа на снагу осмог дана од дана објављивања у „Службеном гласнику Републике Србије”, изузев члана 29. овог закона који почиње да се примењује од 1. јануара 2027. године.