47. člen
(nadzor pomembnih subjektov)
(1)
Inšpekcijski nadzor pomembnega subjekta se izvede, če inšpektor prejme dokaze, indice ali informacije, da pomembni subjekt ne izvaja ukrepov za obvladovanje tveganj kibernetske varnosti v skladu s predpisanimi obveznostmi iz tega zakona, ali da ne izpolnjuje obveznosti v zvezi z obveščanjem o kibernetskih incidentih na predpisani način in v predpisanih rokih, ali da ne ravna po zahtevah pristojnega nacionalnega organa iz tega zakona.
(2)
Če inšpektor pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je pomembni subjekt kršil ta zakon ali drug predpis ali drug akt, katerega izvajanje nadzoruje, ima poleg pravic in dolžnosti iz zakona, ki ureja inšpekcijski nadzor, tudi pravico in dolžnost:
1.
odrediti izvedbo ciljno usmerjene revizije skladnosti s predpisi s področja informacijske in kibernetske varnosti, ki jo izvede revizor informacijskih sistemov,
2.
odrediti, da zavezanec obvesti fizične ali pravne osebe, za katere opravlja storitve ali izvaja dejavnosti in na katere bi lahko vplivala pomembna kibernetska grožnja, o naravi grožnje in o zaščitnih ali popravnih ukrepih, ki jih lahko te fizične ali pravne osebe izvedejo v odziv na to grožnjo,
3.
odrediti, da zavezanec v razumnem roku izvede priporočila, dana na podlagi ciljno usmerjene revizije skladnosti, in
4.
odrediti, da zavezanec na določen način objavi kršitve tega zakona.
(3)
Inšpektor pri odreditvi ukrepov iz prejšnjega odstavka spoštuje postopkovne pravice pomembnega subjekta v postopku nadzora in upošteva okoliščine vsakega posameznega primera, pri čemer upošteva:
1.
resnost kršitve in pomembnost kršenih določb, pri čemer se za resne kršitve med drugim v vsakem primeru štejejo:
-
ponavljajoče se kršitve,
-
nepriglasitev ali neodprava pomembnih incidentov,
-
neodprava pomanjkljivosti v skladu z zavezujočimi navodili inšpektorja,
-
oviranje revizij ali dejavnosti spremljanja, ki jih je inšpektor odredil po ugotovitvi kršitve,
-
predložitev napačnih informacij v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost ali obveznostmi poročanja iz 21., 22., 29. in 30. člena tega zakona;
2.
trajanje kršitve;
3.
vse relevantne prejšnje kršitve zadevnega pomembnega subjekta;
4.
morebitno povzročeno premoženjsko ali nepremoženjsko škodo, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge storitve in številom prizadetih uporabnikov;
5.
morebitni naklep ali malomarnost storilca kršitve;
6.
morebitne ukrepe, ki jih je pomembni subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;
7.
morebitno upoštevanje odobrenih kodeksov ravnanja ali odobrenih mehanizmov certificiranja in
8.
raven sodelovanja odgovornih fizičnih ali pravnih oseb z inšpektorjem.
(4)
Ciljno usmerjene revizije skladnosti iz 1. točke drugega odstavka tega člena temeljijo na ocenah tveganj, ki jih izvedejo pristojni nacionalni organi ali pomembni subjekt, ki je predmet presoje, ali na drugih razpoložljivih informacijah o tveganju. Poročilo o izvedeni ciljno usmerjeni reviziji skladnosti se da na voljo inšpektorju.
(5)
Stroške ciljno usmerjene revizije skladnosti, ki jo opravi revizor informacijskih sistemov, krije pomembni subjekt, razen v ustrezno utemeljenih primerih, ko pristojni organ odloči drugače.
(6)
Predstojnik organa subjekta javne uprave ali odgovorna oseba pravne osebe, ki je pomembni subjekt, to je fizična oseba ali osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje pravne osebe oziroma so po zakonu, aktu o ustanovitvi ali pooblastilu pristojne in dolžne zagotoviti zakonito delovanje, je odgovorna oseba za zagotavljanje skladnosti delovanja pomembnega subjekta po tem zakonu (v nadaljnjem besedilu: odgovorna oseba pomembnega subjekta) in odgovarja za kršitve svojih dolžnosti v skladu s tem zakonom.
(7)
Kadar inšpektor opravlja upravno izvršbo izvršljivih odločb, ki jih je izdal v postopku nadzora pomembnih subjektov in pri tem uporablja prisilne ukrepe z izrekanjem denarnih kazni, prva denarna kazen ne glede na zakon, ki ureja splošni upravni postopek, ne sme presegati 7.000 eurov. Vsaka poznejša denarna kazen za prisilitev je lahko znova izrečena do tega zneska.
(8)
Prejšnji odstavek se ne uporablja za pravne osebe javnega prava.
(9)
Inšpektor sodeluje z nadzornimi organi, ki so določeni z zakonom, ki ureja izvajanje Uredbe 2022/2554/EU o digitalni operativni odpornosti za finančni sektor. Pri tem inšpektor zagotovi, da o nadzoru pomembnega subjekta, ki je imenovan za ključnega tretjega ponudnika storitev IKT na podlagi 31. člena Uredbe 2022/2554/EU, o tem obvesti nadzorniški forum, ustanovljen na podlagi prvega odstavka 32. člena Uredbe 2022/2554/EU.