69/2018 Z. z. Art. 27Reakcie na kybernetické bezpečnostné incidenty a kybernetické hrozby a riešenie kybernetického bezpečnostného incidentu
(1) V prípade závažného kybernetického bezpečnostného incidentu alebo významnej kybernetickej hrozby môže úrad a) vyhlásiť výstrahu, varovanie alebo stav kybernetickej krízy, b) uložiť povinnosť riešiť kybernetický bezpečnostný incident, c) uložiť povinnosť vykonať reaktívne opatrenie, d) požadovať návrh opatrení a vykonanie opatrení určených na zabránenie ďalšieho pokračovania, šírenia a opakovaného výskytu závažného kybernetického bezpečnostného incidentu (ďalej len „ochranné opatrenie“).
(2) Výstrahu a varovanie vyhlasuje úrad prostredníctvom jednotného informačného systému kybernetickej bezpečnosti. Ak ide o naliehavý verejný záujem, výstraha a varovanie sa vyhlási aj prostredníctvom hromadných oznamovacích prostriedkov25) a na ústrednom portáli verejnej správy.
(3) Povinnosť riešiť kybernetický bezpečnostný incident ukladá úrad rozhodnutím tomu, kto plní úlohy jednotky CSIRT, prevádzkovateľovi základnej služby alebo tretej strane, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti.
(4) Reaktívne opatrenie je priama odpoveď na závažný kybernetický bezpečnostný incident a zabezpečuje sa službami podľa § 15 ods. 3 písm. b) až g).
(5) Povinnosť vykonať reaktívne opatrenie ukladá úrad rozhodnutím prevádzkovateľovi základnej služby alebo tretej strane, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, ktorí sú pri riešení závažného kybernetického bezpečnostného incidentu nečinní, alebo ak riešenie závažného kybernetického bezpečnostného incidentu je zjavne neúspešné. Tretej strane, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, možno uložiť povinnosť vykonať reaktívne opatrenie iba počas krízovej situácie.26)
(6) Prevádzkovateľ základnej služby alebo tretia strana, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, sú povinní bezodkladne oznámiť a preukázať úradu prostredníctvom jednotného informačného systému kybernetickej bezpečnosti vykonanie reaktívneho opatrenia a jeho výsledok.
(7) Ochranné opatrenie prijíma prevádzkovateľ základnej služby na základe analýzy riešeného závažného kybernetického bezpečnostného incidentu.
(8) Prevádzkovateľ základnej služby je na výzvu úradu v určenej lehote povinný predložiť navrhované ochranné opatrenie na schválenie. Úrad rozhodnutím navrhované opatrenie schváli a určí lehotu na jeho vykonanie. V prípade, ak prevádzkovateľ základnej služby nenavrhne ochranné opatrenie v určenej lehote alebo ak je navrhované ochranné opatrenie zjavne neúspešné, je prevádzkovateľ základnej služby povinný spolupracovať s úradom, ústredným orgánom a s tým, kto prevádzkuje jednotku CSIRT, na jeho návrhu.
(9) Ak úrad na účely zaistenia kybernetickej bezpečnosti vyčerpá všetky spôsoby riešenia závažného kybernetického bezpečnostného incidentu podľa tohto zákona, predloží predsedovi Bezpečnostnej rady Slovenskej republiky informáciu o predpokladaných vplyvoch kybernetického bezpečnostného incidentu na bezpečnosť štátu ako podklad na riešenie krízovej situácie.27)
(10) Z dôvodu neodkladnosti a naliehavosti riešenia závažného kybernetického bezpečnostného incidentu, detegovania takejto hrozby alebo možného kybernetického terorizmu úrad na účely kybernetickej obrany28) informuje Vojenské spravodajstvo, ktoré postupuje podľa osobitných predpisov.28a) Prevádzkovateľ základnej služby, ktorý hlási tento kybernetický bezpečnostný incident, je na účely zabezpečenia kybernetickej obrany povinný poskytnúť Vojenskému spravodajstvu informácie v potrebnom rozsahu. O postupe podľa prvej vety úrad informuje predsedu Bezpečnostnej rady Slovenskej republiky.
(11) Úrad vyhlási stav kybernetickej krízy v nevyhnutnom rozsahu a na nevyhnutný čas. O zámere a dôvodoch vyhlásenia stavu kybernetickej krízy ako aj o postupoch jej riešenia úrad informuje výbor Bezpečnostnej rady Slovenskej republiky pre kybernetickú bezpečnosť.28aa) Pred formálnym vyhlásením stavu kybernetickej krízy úrad včas upovedomí Vojenské spravodajstvo a Slovenskú informačnú službu o tejto skutočnosti, aby tým nedošlo k mareniu plnenia úloh podľa osobitných predpisov28ab) a informuje príslušný ústredný orgán a toho, kto prevádzkuje príslušnú jednotku CSIRT. Úrad odvolá stav kybernetickej krízy, keď pominú dôvody, pre ktoré bol stav kybernetickej krízy vyhlásený. Vyhlásenie a odvolanie stavu kybernetickej krízy sa vykonáva prostredníctvom masovokomunikačných prostriedkov. Opatrenia a činnosti počas stavu kybernetickej krízy definuje Národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a krízy.
(12) Úrad na zabezpečenie kybernetickej bezpečnosti pri riešení závažného kybernetického bezpečnostného incidentu a kybernetickej krízy alebo detegovania takejto hrozby môže požiadať o súčinnosť Vojenské spravodajstvo. Vojenské spravodajstvo poskytne úradu súčinnosť podľa osobitného predpisu.28ac)