115. člen
(varnost omrežij in storitev)
(1)
Operaterji morajo v skladu z zakonom, ki ureja informacijsko varnost, vzpostaviti in vzdrževati dokumentirana SUVI in SUNP ter pri tem sprejeti ustrezne, učinkovite in sorazmerne tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov oziroma za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev ter ukrepe za preprečevanje ali zmanjšanje vpliva incidentov na prejemnike svojih storitev in druge storitve.
(2)
Operater mora SUVI in SUNP določiti kot poslovno skrivnost.
(3)
SUVI zajema najmanj:
(4)
Med ukrepe iz prvega odstavka tega člena spadajo tudi sprejem, izvajanje in spremljanje ustreznega SUNP, ki ga operater določi kot poslovno skrivnost. Operaterji morajo redno izboljševati SUNP in pripadajoče ukrepe.
(3)
V delu, v katerem se SUNP iz prvega odstavka nanaša na zagotavljanje komunikacije v sili, mora biti ta pregledan vsaj enkrat letno. Za njegovo sprejetje in morebitne spremembe ali posodobitve je potrebna predhodna odobritev pristojnih organov, odgovornih za delovanje centrov za sprejem komunikacije v sili.
(6)
Operaterji pri SUVI in SUNP v čim večji meri upoštevajo mednarodno priznane standarde in dobre prakse.
(4)
Če iz dokumentov ali tehničnih priporočila agencije ENISA ter smernic Evropske komisije izhaja, da so zaradi zagotovitve višje ravni kibernetske varnosti ob upoštevanju varnostnih tveganj potrebni tudi sektorsko specifični ukrepi za operaterje, agencija izda splošni akt, s katerim predpiše posebne tehnične usmeritve ter tehnične in organizacijske ukrepe. Pri sprejetju splošnega akta agencija sodeluje z organom, pristojnim za informacijsko varnost.