HRVATSKA REGULATORNA AGENCIJA ZA MREŽNE DJELATNOSTI

NACRT PRIJEDLOGA

 Pravilnika o izmjenama i dopunama Pravilnika o načinu i rokovima provedbe mjera zaštite sigurnosti i cjelovitosti mreža i usluga

Zagreb, travanj 2019.

I. OSNOVA ZA DONOŠENJE PRAVILNIKA

Člankom 12. stavkom 1. točkom 1. i člankom 99. stavkom 9. Zakona o elektroničkim komunikacijama (NN br. 73/08, 90/11, 133/12, 80/13, 71/14 i 72/17; dalje: ZEK) propisana je ovlast Hrvatske regulatorne agencije za mrežne djelatnosti (dalje: HAKOM) za donošenje Pravilnika o načinu i rokovima provedbe mjera zaštite sigurnosti i cjelovitosti mreža i usluga (dalje: Pravilnik), kojim se propisuju način i rokovi u kojima operatori javno dostupnih elektroničkih komunikacijskih usluge moraju provesti odredbe stavka 6., 7. i 8. članka 99. ZEK-a.

II. OCJENA STANJA I OBRAZLOŽENJE IZMJENA

1. Ocjena stanja

Predmetni Pravilnik uređuje rokove i načine u kojima operatori javno dostupnih elektroničkih komunikacijskih usluge moraju provesti odredbe stavka 6., 7. i 8. članka 99. ZEK-a. Dosadašnji Pravilnik i pripadajući obrasci za izvješćivanje o incidentima nisu obuhvaćali obvezu izvješćivanja o računalno sigurnosnim incidentima.

U međuvremenu je usvojena Nacionalna strategija kibernetičke sigurnosti (NN br. 108/15), kao i Akcijski plan koji obvezuje, između ostalog, i HAKOM na provođenje određenih mjera (točka G.1.1., G.1.2. I G 1.3.), kako slijedi:

-          definiranje taksonomije, uključujući pojam značajnog incidenta, definiranje protokola za razmjenu anonimiziranih podataka o značajnim sigurnosnim incidentima, te uspostava platforme ili tehnologije za razmjenu podataka;

-          sektorski nadležna tijela prikupljaju podatke o incidentima od dionika, poput regulatora i drugih CERT-ova iz njihove sektorske nadležnosti te objedinjavaju na sektorskoj razini;

-          izvješćivanje dionika unutar sektora o računalnim sigurnosnim incidentima. Periodično izvješćivati Nacionalno vijeće za kibernetičku sigurnost o trendovima, stanju i značajnijim incidentima iz prethodnog razdoblja

Predložene izmjene i dopune Pravilnika usklađene su s CERT-om budući da se u određenom dijelu postupanje zajednički koordinira i usklađuje.

2. Obrazloženje izmjena Pravilnika

U svrhu realizacije gore spomenutih mjera iz Akcijskog plana definirana je nova obveza operatora u članku 5. Pravilnika koja se odnosi na definiranje procedure prijave računalno-sigurnosnih incidenata od strane operatora, te kriterija za izvješćivanje temeljem kojeg su operatori dužni prijaviti incident. Prijavljene incidente HAKOM će proslijediti Nacionalnom CERT-u koji će vršiti analizu pristiglih prijava, te jednom mjesečno povratno informirati HAKOM o značajnijim incidentima iz prethodnog razdoblja.

U tom kontekstu utvrđena je i definicija računalno-sigurnosnog incidenta koja odgovara Nacionalnoj taksonomiji.

Pravilnikom o izmjenama i dopunama također se mijenja i Dodatak 2 na način da se korigira broj obuhvaćenih korisnika u postojećim kriterijima za izvješćivanje zbog promjene broja korisnika u korištenju različitih vrsta usluga operatora, te se dodaju novi kriteriji za izvješćivanje računalno-sigurnosnih incidenata, usklađeni sa CERT-om.

Nadalje, mijenja se i Dodatak 3 na način da se postojeći predložak za izvješćivanje usklađuje s ENISA-nim obrascem za izvješćivanjem, te se dodaje i novi predložak za izvješćivanje računalno-sigurnosnih incidenata.

III. TEKST NACRTA PRIJEDLOGA PRAVILNIKA

Prilaže se tekst Nacrta Pravilnika o izmjenama i dopunama Pravilnika o načinu i rokovima provedbe mjera zaštite sigurnosti i cjelovitosti mreža i usluga

HRVATSKA REGULATORNA AGENCIJA ZA MREŽNE DJELATNOSTI

Na temelju članka 12. stavka 1. točke 1., članka 19. stavka 1. i članka 99. stavka 9. Zakona o elektroničkim komunikacijama (Narodne novine br. 73/08, 90/11, 133/12, 80/13, 71/14 i 72/17), Vijeće Hrvatske regulatorne agencije za mrežne djelatnosti donosi

PRAVILNIK O IZMJENAMA I DOPUNAMA PRAVILNIKA O NAČINU I ROKOVIMA PROVEDBE MJERA ZAŠTITE SIGURNOSTI I CJELOVITOSTI MREŽA I USLUGA

Članak 1.

(1) U Pravilniku o načinu i rokovima provedbe mjera zaštite sigurnosti i cjelovitosti mreža i usluga (Narodne novine br. 109/12, 33/13, 126/13, 67/16; dalje: Pravilnik), u članku 2. iza točke 3. dodaje se nova točka 4. koja glasi:

„4. računalno-sigurnosni incident: jedan ili više računalnih sigurnosnih događaja koji su narušili odnosno narušavaju sigurnost informacijskog sustava ili računalne mreže, te ugrožavaju povjerljivost, cjelovitost i dostupnost informacija koji se korištenjem informacijskog sustava ili računalne mreže kreiraju, obrađuju, pohranjuju ili prenose.“

Članak 2.

(1)             U Pravilniku iz članka 4. dodaje se novi članak 5. koji glasi:

(2) O računalno-sigurnosnim incidentima iz stavka 1. operatori moraju obavijestiti Agenciju bez odgode, čim su podaci dostupni, i to putem obrasca propisanog u Dodatku 3. ovog Pravilnika:

1.    u roku od najviše 1 sat nakon otkrivanja računalno-sigurnosnog incidenta

2.    u roku od najviše 1 sat nakon otklanjanja računalno-sigurnosnog incidenta,

3.    u roku od najviše 20 dana od dana otklanjanja računalno-sigurnosnog incidenta.

Članak 3.

(1) Dosadašnji članak 5. Pravilnika postaje članak 6. Pravilnika.

(2) Dosadašnji članak 6. Pravilnika postaje članak 7. Pravilnika.

Članak 4.

(1)                      Dodatak 2. Pravilnika mijenja se novim Dodatkom 2. koji glasi:

DODATAK 2

KRITERIJI ZA IZVJEŠĆIVANJE

Članak 5.

(1) Dodatak 3. Pravilnika mijenja se novim Dodatkom 3. koji glasi:

DODATAK 3

PREDLOŽAK ZA IZVJEŠĆIVANJE SIGURNOSNIH INCIDENATA

PREDLOŽAK ZA IZVJEŠĆIVANJE RAČUNALNO-SIGURNOSNIH INCIDENATA  

Članak 6.

Ovaj Pravilnik o izmjenama i dopunama Pravilnika o načinu i rokovima provedbe mjera zaštite sigurnosti i cjelovitosti mreža i usluga stupa na snagu osmog dana od dana objave u Narodnim novinama.