21. člen
(varnostna dokumentacija)
(1)
Bistveni in pomembni subjekti za zagotavljanje visoke ravni informacijske in kibernetske varnosti ter odpornosti svojih omrežnih in informacijskih sistemov vzpostavijo in vzdržujejo dokumentirani sistem upravljanja varovanja informacij in sistem upravljanja neprekinjenega poslovanja, ki temeljita na pristopu upoštevanja vseh nevarnosti in morata obsegati najmanj:
(2)
Bistveni in pomembni subjekti določijo obseg sistema upravljanja in varovanja informacij ter neprekinjenega poslovanja ob upoštevanju rezultatov analize vpliva na poslovanje, pri čemer mora ta sistem obsegati najmanj tista informacijska, komunikacijska in druga sredstva, podatke in procese, ki so potrebni za njihovo delovanje ali opravljanje storitev.
(3)
Če ima bistveni ali pomembni subjekt za zagotavljanje varnosti svojih omrežij in informacijskih sistemov že izdelano varnostno dokumentacijo na podlagi drugih predpisov, jo za potrebe izvajanja tega zakona dopolni, kot je to potrebno.
(4)
Bistveni subjekt, ki je povezani subjekt po tem zakonu, in zanj ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov, na podlagi prvega odstavka v povezavi z drugim odstavkom 74.a člena Zakona o državni upravi (Uradni list RS, št. 113/05 - uradno prečiščeno besedilo, 89/07 - odl. US, 126/07 - ZUP-E, 48/09, 8/10 - ZUP-G, 8/12 - ZVRS-F, 21/12, 47/13, 12/14, 90/14, 51/16, 36/21, 82/21, 189/21, 153/22 in 18/23; v nadaljnjem besedilu: ZDU-1) izvaja naloge iz prvega odstavka 74.a člena ZDU-1, izvede popis informacijskih sredstev iz 1. točke prvega odstavka tega člena in vanj vključi najmanj tista informacijska sredstva, ki podpirajo njegove glavne ali pomembne storitve in procese za zagotovitev povezave s centralnim državnim informacijsko-komunikacijskim omrežjem ali sistemom. Bistveni subjekt izvede popis v sodelovanju z ministrstvom, pristojnim za upravljanje informacijsko-komunikacijskih sistemov, ki mu mora na zahtevo poslati ustrezne podatke, s katerimi razpolaga, in sicer v tridesetih dneh od prejema posamičnega zahtevka.
(5)
Ne glede na določbe tega člena bistveni in pomembni subjekti, na katere se nanašajo izvedbeni akti Evropske komisije iz prvega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU ali iz drugega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU, uporabljajo določbe izvedbenega akta glede varnostne dokumentacije zadevnih subjektov.