Otpornost kritične infrastrukture — dokumentacija koju zakon traži

Ne možete to znati unaprijed sa sigurnošću i niko vam to ne može garantovati. Pripadnost jednom od jedanaest sektora iz člana 13 je uslov, ali ne i dovoljan — kritični subjekt postajete tek odlukom Vlade iz člana 16 stav 3, nakon što vas sektorsko ministarstvo identifikuje po kriterijumima iz člana 15. Pošaljite nam opis djelatnosti i ključne usluge koju pružate, pa ćemo zajedno proći kroz kriterijume i reći vam koliko je vjerovatno da budete na listi i šta vas tada čeka.

Od odluke Vlade iz člana 16 stav 3, ne od dana kad vam stigne pisano obavještenje. Koordinator se određuje u roku od šest mjeseci, plan otpornosti sa saglasnošću Ministarstva u roku od devet mjeseci, a podaci za Sektorski registar u roku od 15 dana od prijema obavještenja.

Član 17 tačka 9 traži certifikat po crnogorskom standardu za analizu i upravljanje rizicima MEST ISO 31000. Izraz „sertifikacija“ tu ima široko značenje i odnosi se na usaglašenost sa standardom. ISO 31000 je standard sa smjernicama: primjenjuje se u punom obimu, a primjena se dokazuje politikom upravljanja rizicima, registrom rizika, kriterijumima prihvatljivosti i zapisima o preispitivanju. Za takav sistem izdaje se potvrda o primjeni i usaglašenosti sa ISO 31000, a usaglašenost se ocjenjuje i u okviru sertifikacije po ISO 22301, gdje je upravljanje rizicima predmet provjere. Uz to postoji i sertifikacija osoba — menadžer rizika: sertifikat pojedincu, poslije ispita, izdaje tijelo za sertifikaciju osoba, nezavisno od obuke.

Po članu 22, zaposleni kod kritičnog subjekta koji ima najmanje VIII nivo kvalifikacije obrazovanja i pet godina radnog iskustva na poslovima fizičke i tehničke zaštite, zaštite kritične infrastrukture, zaštite i spasavanja ili otpornosti — u sektoru za koji se plan izrađuje. Ako takvo lice nemate zaposleno, zakon izričito dozvoljava da izradu ugovorom povjerite privrednom društvu, drugom pravnom licu ili preduzetniku koje takvo lice ima.

Odvojeno. Po članu 3, odredbe ovog zakona ne primjenjuju se na mjere i obaveze u oblasti sajber i informacione bezbjednosti — njih uređuje poseban zakon. Na subjekte koji su istovremeno obveznici oba propisa, Zakon o informacionoj bezbjednosti primjenjuje se u dijelu koji se odnosi na zaštitu informaciono-komunikacionih sistema.

Zakon obaveze stvara kritičnom subjektu, ne njegovim dobavljačima. Ali kritični subjekt svoje obaveze — kontinuitet, postupanje u incidentu, mjere zaštite — u praksi prenosi na dobavljače kroz ugovor. Ako radite za operatora u energetici, vodosnabdijevanju ili zdravstvu, očekujte da vam ti zahtjevi stignu ugovorom, a ne zakonom.

Danom stupanja novog zakona na snagu prestaje da važi Zakon o određivanju i zaštiti kritične infrastrukture („Sl. list CG“, br. 72/19 i 33/26). Do donošenja novih podzakonskih akata — rok je devet mjeseci — primjenjuju se postojeći, ako nijesu u suprotnosti sa novim zakonom. Dokumentacija po starom propisu je dobra osnova, ali plan otpornosti po novom zakonu traži drugu strukturu i saglasnost Ministarstva.