21. člen
(varnostna dokumentacija)
(1)
Bistveni in pomembni subjekti za zagotavljanje visoke ravni informacijske in kibernetske varnosti ter odpornosti svojih omrežnih in informacijskih sistemov vzpostavijo in vzdržujejo dokumentirani sistem upravljanja varovanja informacij in sistem upravljanja neprekinjenega poslovanja, ki temeljita na pristopu upoštevanja vseh nevarnosti in morata obsegati najmanj:
1.
politiko ali področne politike o varnosti omrežnih in informacijskih sistemov,
2.
natančen in posodobljen popis informacijskih in drugih sredstev in podatkov, potrebnih za nemoteno delovanje omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev, ter njihove upravljavce;
3.
analizo obvladovanja tveganj, vključno z določitvijo sprejemljive ravni tveganja in opisom uporabljene metodologije;
4.
politiko in načrt neprekinjenega poslovanja, vključno z oceno vpliva na poslovanje, navedbo postopkov zagotavljanja neprekinjenega poslovanja, določitvijo minimalne ravni poslovanja, upravljanjem varnostnih kopij ter določitvijo vlog in odgovornosti;
5.
načrt obnovitve in ponovne vzpostavitve delovanja omrežnih in informacijskih sistemov, ki jih potrebujejo za svoje delovanje ali opravljanje storitev, vključno z opisom odgovornosti in postopkov za obnovitev delovanja teh sistemov po dogodku, ki povzroči prekinitev njihovega delovanja;
6.
načrt odzivanja na incidente s protokolom obveščanja pristojne skupine CSIRT, vključno z opisom sistema za zaznavo in odziv na incidente ter opisom vlog in odgovornosti za odzivanje na incidente;
7.
načrt varnostnih ukrepov za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov oziroma za obvladovanje tveganj za informacijsko in kibernetsko varnost, pri čemer ta načrt upošteva tveganja in področne posebnosti bistvenega ali pomembnega subjekta in
8.
politiko s postopki za presojo učinkovitosti varnostnih ukrepov za obvladovanje tveganj za informacijsko in kibernetsko varnost, vključno z določitvijo kazalnikov učinkovitosti in izvedeno analizo zbranih podatkov.
(2)
Bistveni in pomembni subjekti določijo obseg sistema upravljanja in varovanja informacij ter neprekinjenega poslovanja ob upoštevanju rezultatov analize vpliva na poslovanje, pri čemer mora ta sistem obsegati najmanj tista informacijska, komunikacijska in druga sredstva, podatke in procese, ki so potrebni za njihovo delovanje ali opravljanje storitev.
(3)
Če ima bistveni ali pomembni subjekt za zagotavljanje varnosti svojih omrežij in informacijskih sistemov že izdelano varnostno dokumentacijo na podlagi drugih predpisov, jo za potrebe izvajanja tega zakona dopolni, kot je to potrebno.
(4)
Bistveni subjekt, ki je povezani subjekt po tem zakonu, in zanj ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov, na podlagi prvega odstavka v povezavi z drugim odstavkom 74.a člena Zakona o državni upravi (Uradni list RS, št. 113/05 - uradno prečiščeno besedilo, 89/07 - odl. US, 126/07 - ZUP-E, 48/09, 8/10 - ZUP-G, 8/12 - ZVRS-F, 21/12, 47/13, 12/14, 90/14, 51/16, 36/21, 82/21, 189/21, 153/22 in 18/23; v nadaljnjem besedilu: ZDU-1) izvaja naloge iz prvega odstavka 74.a člena ZDU-1, izvede popis informacijskih sredstev iz 1. točke prvega odstavka tega člena in vanj vključi najmanj tista informacijska sredstva, ki podpirajo njegove glavne ali pomembne storitve in procese za zagotovitev povezave s centralnim državnim informacijsko-komunikacijskim omrežjem ali sistemom. Bistveni subjekt izvede popis v sodelovanju z ministrstvom, pristojnim za upravljanje informacijsko-komunikacijskih sistemov, ki mu mora na zahtevo poslati ustrezne podatke, s katerimi razpolaga, in sicer v tridesetih dneh od prejema posamičnega zahtevka.
(5)
Ne glede na določbe tega člena bistveni in pomembni subjekti, na katere se nanašajo izvedbeni akti Evropske komisije iz prvega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU ali iz drugega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU, uporabljajo določbe izvedbenega akta glede varnostne dokumentacije zadevnih subjektov.