119. člen
(vrednotenje varnostnega incidenta)
(1)
Priglašene varnostne incidente ob njihovem reševanju vrednoti agencija ob sodelovanju z nacionalnim CSIRT. Pri vrednotenju se agencija in CSIRT lahko posvetujeta z organom, pristojnim za informacijsko varnost. Pri tem je glede na težo varnostnega incidenta:
1.
lažji incident enkraten varnostni incident, ki ima glede na kriterije določitve pomembnosti vpliva varnostnega incidenta iz tretjega odstavka prejšnjega člena majhen negativen vpliv na varnost omrežij in storitev operaterja ter ne sme imeti večjega vpliva na nemoteno delovanje operaterja in mu ne sme povzročiti večje škode; prav tako takšen incident ne sme imeti negativnega vpliva na delovanje upravljavcev kritične infrastrukture ali delovanje izvajalcev bistvenih storitev ali organov državne uprave, določenih v skladu s področno zakonodajo, na komunikacije v sili ali na delovanje ključnih delov sistema varnosti države;
2.
težji incident enkraten varnostni incident oziroma zaporedje večjega števila različnih varnostnih incidentov v kratkem obdobju, ki ima glede na kriterije določitve pomembnosti vpliva incidenta iz tretjega odstavka prejšnjega člena velik negativen vpliv na varnost omrežij in storitev operaterja; takšen incident ima pomemben vpliv na nemoteno delovanje operaterja in mu povzroči večjo škodo; ob tem ima takšen incident lahko tudi negativen vpliv na delovanje upravljavcev kritične infrastrukture ali na delovanje izvajalcev bistvenih storitev ali organov državne uprave, določenih v skladu s področno zakonodajo, na komunikacije v sili ali na delovanje ključnih delov sistema varnosti države, vendar ta vpliv ne dosega kriterijev iz naslednje točke;
3.
kritični incident tisti varnostni incident, ki ima glede na kriterije določitve pomembnosti vpliva incidenta iz tretjega odstavka prejšnjega člena zelo velik negativen vpliv na varnost omrežij in storitev operaterja; ob tem takšen incident povzroči tudi oteženo delovanje države, še posebej ključnih delov sistema varnosti države, komunikacij v sili ter v skladu s področno zakonodajo določenih izvajalcev bistvenih storitev ali organov državne uprave; kritični incident lahko tudi delno onemogoči delovanje vsaj treh področij kritične infrastrukture ali bistvenih storitev, določenih v skladu s področno zakonodajo, ali enega v celoti.
(2)
Agencija za izvajanje tega člena izda splošni akt, s katerim opredeli predvsem, kdaj gre za majhen, velik ali zelo velik negativen vpliv na varnost omrežij in storitev operaterjev, pri čemer upošteva merila iz tretjega odstavka prejšnjega člena. Pri pripravi splošnega akta agencija sodeluje z organom, pristojnim za informacijsko varnost.