Հոդված 17. Տեղեկատվական համակարգում և կրիտիկական տեղեկատվական ենթակառուցվածքներում կիբեռանվտանգության ապահովման հիմնական պայմանները
Հոդված 17. Տեղեկատվական համակարգում և կրիտիկական տեղեկատվական ենթակառուցվածքներում կիբեռանվտանգության ապահովման հիմնական պայմանները
1. Տեղեկատվական համակարգում կիբեռանվտանգության ապահովման համար սույն օրենքով, այլ օրենքներով, դրանց հիման վրա ընդունված իրավական ակտերով և «Տեղեկատվական համակարգերի կարգավորման մարմնի մասին» օրենքով նախատեսված կարգավորման գործառույթներից բխող պահանջների, այդ թվում՝ կիբեռանվտանգության ապահովման նվազագույն պահանջների կատարումը պարտադիր է: Ծառայություն մատուցողի կարգավորող և վերահսկող այլ մարմինը կարող է սահմանել կիբեռանվտանգության ապահովման նվազագույն պահանջներից ավելի խիստ պահանջներ՝ հաշվի առնելով կարգավորվող ոլորտի առանձնահատկությունները: Այդպիսի պահանջներ սահմանված լինելու դեպքում օրենքով նախատեսված աուդիտ, վերահսկողություն և մշտադիտարկում իրականացվում են՝ հիմք ընդունելով նաև այդ պահանջները:
2. Կրիտիկական տեղեկատվական ենթակառուցվածքի կիբեռանվտանգության ապահովման համար, բացի սույն հոդվածի 1-ին մասով սահմանված պահանջների կատարումից, ծառայություն մատուցողները պարտավոր են սույն օրենքով սահմանված կարգով և ժամկետներում անցնել կիբեռանվտանգության աուդիտ՝ կիրառելի միջազգային ստանդարտի (օրինակ՝ ստանդարտացման միջազգային կազմակերպության (ISO) ստանդարտի) կամ ազգային ստանդարտի հիման վրա: Կիրառելի միջազգային ստանդարտների ցանկը սահմանում է Կառավարությունը:
3. Տեղեկատվական համակարգի կամ կրիտիկական տեղեկատվական ենթակառուցվածքի կառավարումը կամ շահագործումը (host of the system) կամ փոխգործելիությունը այլ անձի պատվիրակելու դեպքում կիրառված կիբեռանվտանգության ապահովման միջոցների համար պատասխանատվություն է կրում և Ինքնավար մարմնի հետ կոնտակտային կետ է հանդիսանում ծառայություն մատուցողը:
4. Տեղեկատվական համակարգի կամ կրիտիկական տեղեկատվական ենթակառուցվածքի կիբեռանվտանգության ապահովումը կիբեռանվտանգության ապահովման ծառայություն մատուցողի պատվիրակելու դեպքում կիրառված կիբեռանվտանգության ապահովման միջոցների համար պատասխանատվություն է կրում և Ինքնավար մարմնի հետ կոնտակտային կետ է հանդիսանում ծառայություն մատուցողը:
5. Ծառայություն մատուցողը մինչև պատվիրակման համապատասխան պայմանագրի կնքումը և դրանից հետո՝
1) պարտավոր է գնահատել և կառավարել այն ռիսկերը, որոնք կարող են ազդել տեղեկատվական համակարգում կամ կրիտիկական տեղեկատվական ենթակառուցվածքում պահվող տվյալների գաղտնիության, հասանելիության կամ ամբողջականության վրա.
2) պարտավոր է գնահատել և հավաստիանալ, որ կիբեռանվտանգության ապահովման ծառայություն մատուցողն ունի կիբեռանվտանգության ոլորտի՝ օրենսդրությամբ սահմանված պահանջների վերաբերյալ բավարար գիտելիքներ և կիրառման փորձ, գործնական գիտելիքներ և փորձ, աշխատողների համար ստեղծված են բավարար պայմաններ՝ սույն օրենքի 4-րդ հոդվածով սահմանված սկզբունքների պահպանմամբ ծառայություններ մատուցելու համար:
6. Ծառայություն մատուցողը տեղեկատվական համակարգի կամ կրիտիկական տեղեկատվական ենթակառուցվածքի կիբեռանվտանգության ապահովման պատվիրակումը նախապես համաձայնեցնում է Ինքնավար մարմնի հետ: Սույն մասով նախատեսված պատվիրակման համաձայնեցման կարգը և ներկայացվող տեղեկությունների ցանկը հաստատում է Ինքնավար մարմինը: