22. člen
(ukrepi za obvladovanje tveganj)
(1)
Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov oziroma za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev ter za preprečevanje ali zmanjšanje vpliva incidentov na prejemnike svojih storitev in druge storitve (v nadaljnjem besedilu: varnostni ukrepi).
(2)
Varnostni ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti, katerega namen je zaščita omrežnih in informacijskih sistemov ter njihovega fizičnega okolja pred incidenti, in morajo obsegati najmanj:
1.
podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev področja informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela,
2.
zagotavljanje integritete kadrov v povezavi z informacijsko in kibernetsko varnostjo pred zaposlitvijo, med zaposlitvijo in ob prenehanju ali spremembi zaposlitve v skladu s 23. členom tega zakona,
3.
osnovne prakse kibernetske higiene in usposabljanje na področju informacijske in kibernetske varnosti,
4.
varnost človeških virov, preverjanje identitete uporabnikov, zagotavljanje ravni dostopnosti informacij in upravljanje pooblastil za dostop,
5.
izvajanje in upravljanje varnostnih kopij podatkov,
6.
zagotavljanje in ohranjanje dnevniških zapisov o delovanju omrežnih in informacijskih sistemov v skladu s 24. členom tega zakona,
7.
upravljanje omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev, z določitvijo ustrezne odgovornosti za njihovo zaščito,
8.
politike in postopke v zvezi z uporabo kriptografije in po potrebi s šifriranjem,
9.
upravljanje prometa in komunikacij,
10.
varnost dobavne verige z določitvijo ustreznih minimalnih zahtev, povezanih z informacijsko in kibernetsko varnostjo, za ključne dobavitelje ali ponudnike storitev, pri čemer se zahteve nanašajo na odnose med posameznim subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev, in to v skladu s četrtim odstavkom tega člena,
11.
fizično in tehnično varovanje prostorov ter dostopov do prostorov, kjer so ključni deli omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev,
12.
varnostne mehanizme v posamezni aplikativni programski opremi za izvajanje dejavnosti, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov ter obravnavanjem in razkrivanjem ranljivosti,
13.
upravljanje in preprečevanje izrab tehničnih ranljivosti,
14.
zaščito pred zlonamerno programsko kodo ter način zaznavanja poskusov vdorov in preprečevanja incidentov,
15.
uporabo večfaktorske avtentikacije ali rešitev neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj,
16.
uporabo varovanih glasovnih, video in besedilnih komunikacij in varnih sistemov za komunikacije v sili v subjektu, kadar je to glede na dejavnost subjekta primerno, in
17.
politike in postopke v zvezi z uporabo oblačnih storitev, ki jih uporabljajo za svoje delovanje ali opravljanje storitev.
(3)
Varnostni ukrepi iz prejšnjega odstavka morajo ob upoštevanju najsodobnejših in ustreznih evropskih in mednarodnih standardov ter stroškov izvajanja zagotavljati raven varnosti omrežnih in informacijskih sistemov, ki ustreza obstoječim ali prepoznanim tveganjem. Pri ocenjevanju sorazmernosti varnostnih ukrepov bistveni in pomembni subjekti ustrezno upoštevajo:
-
stopnjo izpostavljenosti tveganjem,
-
velikost subjekta,
-
verjetnost pojava incidentov in
-
resnost morebitnih incidentov, vključno z njihovim družbenim in gospodarskim vplivom.
(4)
Bistveni in pomembni subjekti morajo pri presoji in izvedbi ustreznih varnostnih ukrepov za varnost dobavne verige upoštevati ranljivosti, ki so specifične za posameznega neposrednega dobavitelja in ponudnika storitev, ter splošno kakovost proizvodov in praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. Ugotavljati morajo, kateri varnostni ukrepi so ustrezni in primerni za zagotovitev varnosti dobavne verige, poleg tega lahko preverjajo njihovo izvajanje pri dobaviteljih in ponudnikih storitev. Pri tem upoštevajo rezultate morebitnih usklajenih ocen tveganja za kritične dobavne verige, ki jih Skupina za sodelovanje pripravi v sodelovanju z Evropsko komisijo in agencijo ENISA v skladu s prvim odstavkom 22. člena Direktive 2022/2555/EU.
(5)
Bistveni ali pomembni subjekti morajo najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v politiki in postopkih za presojo učinkovitosti ukrepov za obvladovanje tveganj za kibernetsko varnost, in ob zaznanih ranljivostih preverjati izpolnjevanje varnostnih ukrepov iz drugega odstavka tega člena. V primeru ugotovljenega pomanjkljivega ali neustreznega izvajanja varnostnih ukrepov morajo nemudoma sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe.
(6)
Ponudniki storitev DNS, registri TLD imen, ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnih centrov, ponudniki omrežij za dostavo vsebine, ponudniki upravljanih storitev, ponudniki upravljanih varnostnih storitev, ponudniki spletnih tržnic, spletnih iskalnikov in platform za storitve družbenega mreženja in ponudniki storitev zaupanja pri sprejetju varnostnih ukrepov iz drugega odstavka tega člena upoštevajo izvedbene akte Evropske komisije iz prvega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU.
(7)
Bistveni in pomembni subjekti, ki niso navedeni v prejšnjem odstavku, pri sprejetju varnostnih ukrepov iz drugega odstavka tega člena upoštevajo izvedbene akte Evropske komisije, s katerimi ta določi tehnične, metodološke in sektorske zahteve za varnostne ukrepe iz drugega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU.
(8)
Bistveni in pomembni subjekti ne smejo uporabljati informacijsko-komunikacijskih rešitev, v katerih so zaznane aktivno izkoriščane ranljivosti brez dodatne izvedbe ocene tveganja in uvedenih ustreznih dodatnih varnostnih ukrepov, ki znižajo stopnjo tveganja na sprejemljivo raven.
(9)
Če bistveni ali pomembni subjekti za opravljanje svoje dejavnosti črpajo vhodne podatke in informacije iz ključnih delov nacionalnovarnostnega sistema, vzpostavijo vse potrebne varnostne zahteve ob soglasju pristojnega ministrstva ali vladne službe, pristojne za posamezni ključni del nacionalnovarnostnega sistema.
(10)
Upravljavec centralnega državnega informacijsko-komunikacijskega sistema mora povezanim subjektom določiti minimalne varnostne zahteve informacijske in kibernetske varnosti. Za pravočasno odzivanje na kibernetske grožnje in preprečevanje škodljivih posledic morebitnega težjega ali kritičnega incidenta ter za izvajanje kibernetske obrambe je upravljavec centralnega državnega informacijsko-komunikacijskega sistema pooblaščen, da izvede ustrezne, nujne in sorazmerne ukrepe za zaščito centralnega državnega informacijsko-komunikacijskega sistema. Ukrepi vključujejo tudi začasni odklop posameznega povezanega subjekta iz centralnega državnega informacijsko-komunikacijskega sistema, dokler ugotovljena tveganja niso odpravljena.
(11)
Bistveni subjekt iz četrtega odstavka prejšnjega člena sprejme ukrepe iz 1. do 4. točke drugega odstavka tega člena. Preostale ukrepe iz drugega odstavka tega člena pa sprejme le za morebitne informacijsko-komunikacijske sisteme, ki jih upravlja. Pri tem mora upoštevati tudi minimalne varnostne zahteve za povezane subjekte upravljavca centralnega državnega informacijsko-komunikacijskega sistema iz prejšnjega odstavka.
(12)
Bistveni subjekti, ki so na podlagi zakona, ki ureja kritično infrastrukturo, določeni kot kritični subjekti in spadajo med vrste subjektov iz sektorja 8. Digitalna infrastruktura iz Priloge 1 tega zakona, se za zagotovitev varnostnih ukrepov varovanja iz 11. točke drugega odstavka tega člena na predlog nosilca sektorja kritične infrastrukture za digitalno infrastrukturo v skladu s predpisi, ki urejajo zasebno varovanje, določijo za zavezance obveznega organiziranja varovanja, ki morajo kritično infrastrukturo varovati v skladu z navedenimi predpisi.
(13)
Varnostni ukrepi iz drugega odstavka tega člena morajo biti:
1.
učinkoviti tako, da povečajo informacijsko varnost glede na obstoječe in predvidene grožnje;
2.
prilagojeni tako, da se prizadevanja bistvenih in pomembnih subjektov usmerijo v ukrepe, ki najbolj vplivajo na njihovo informacijsko varnost, in se izogibajo podvajanjem;
3.
skladni tako, da se prednostno obravnavajo osnovne in skupne varnostne ranljivosti bistvenih in pomembnih subjektov kljub področnim posebnostim, ki se lahko dopolnijo z varnostnimi ukrepi za posamezna področja,
4.
sorazmerni s tveganji tako, da se izogiba čezmerni obremenitvi posameznega bistvenega ali pomembnega subjekta;
5.
konkretni tako, da bistveni in pomembni subjekti te varnostne ukrepe izvajajo in da ti ukrepi prispevajo h krepitvi njihove informacijske varnosti in
6.
preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi.