Akt o bezbednosti IKT sistema

Zaštita podataka mora da bude jedna od najvažnijih obaveza svake kompanije. Zakon zahteva da se:

• uspostavi sistem bezbednosti informacija – 28 zahteva (Član 7.)
  
  
• uspostavi i dokumentuje Akt o bezbednosti IKT sistema (Član 8.)
  
  
• minimum jednom godišnje vrši interna provera usklađenosti sa Aktom i dokumentuje izveštaj, samostalno ili uz spoljne eksperte (Član 8.)
  
  

Zakonski osnov: Zakon o informacionoj bezbednosti (Sl. Glasnik broj 6/2016 i 94/2017)

Informaciona bezbednost predstavlja skup mera koje omogućavaju da podaci kojima se rukuje putem IKT sistema budu zaštićeni od neovlašćenog pristupa, kao i da se zaštiti integritet, raspoloživost, autentičnost i neporecivost tih podataka, da bi taj sistem funkcionisao kako je predviđeno, kada je predviđeno i pod kontrolom ovlašćenih lica.

IKT sistemi od posebnog značaja su sistemi koji se koriste:

1. u obavljanju poslova u organima javne vlasti;
2. za obradu podataka koji se, u skladu sa zakonom koji uređuje zaštitu podataka o ličnosti, smatraju naročito osetljivim podacima o ličnosti;
3. u obavljanju delatnosti od opšteg interesa i to u oblastima:

• proizvodnja, prenos i distribucija električne energije;
• proizvodnja i prerada uglja;
• istraživanje, proizvodnja, prerada, transport i distribucija nafte i prirodnog i tečnog gasa;
• promet nafte i naftnih derivata; železničkog, poštanskog i vazdušnog saobraćaja;
• elektronska komunikacija;
• izdavanje službenog glasila Republike Srbije;
• upravljanje nuklearnim objektima;
• korišćenje, upravljanje, zaštita i unapređivanje dobara od opšteg interesa (vode, putevi, mineralne sirovine, šume, plovne reke, jezera, obale, banje, divljač, zaštićena područja);
• proizvodnja, promet i prevoz naoružanja i vojne opreme;
• upravljanje otpadom;
• komunalne delatnosti;
• poslovi finansijskih institucija;
• zdravstvena zaštita;
• usluge informacionog društva namenjene drugim pružaocima usluga informacionog društva u cilju omogućavanja pružanja njihovih usluga.

Operator IKT sistema od posebnog značaja dužan je da donese akt o bezbednosti IKT sistema.
Aktom se određuju mere zaštite, a naročito principi, način i procedure postizanja i održavanja adekvatnog nivoa bezbednosti sistema, kao i ovlašćenja i odgovornosti u vezi sa bezbednošću i resursima IKT sistema od posebnog značaja. 
Akt mora da bude usklađen s promenama u okruženju i u samom IKT sistemu.
Operator IKT sistema od posebnog značaja je dužan da samostalno ili uz angažovanje spoljnih eksperata vrši proveru usklađenosti primenjenih mera IKT sistema sa aktom iz stava 1. ovog člana i to najmanje jednom godišnje i da o tome sačini izveštaj.

Kaznene odredbe zakona:

Novčanom kaznom u iznosu od 50.000,00 do 2.000.000,00 dinara kazniće se za prekršaj pravno lice ako:

1. ne donese Akt o bezbednosti IKT sistema iz člana 8. stav 1. zakona;
2. ne primeni mere zaštite određene Aktom o bezbednosti IKT sistema iz člana 8. stav 2. zakona;
3. ne izvrši proveru usklađenosti primenjenih mera iz člana 8. stav 4. Zakona.

Kažnjavanju podleže i odgovorno lice u pravnom licu.

Rokovi, nadzor i sankcije:

Akt o bezbednosti IKT sistema se mora uspostaviti i dokumentovati u roku od 90 dana od dana stupanja na snagu Zakona – (Član 33. Zakona i Član 8. Uredbe o bližem sadržaju Akta).

Nadzor vrši inspekcija za informacionu bezbednost Ministarstva trgovine, turizma i telekomunikacija (Član 28. i 29.)