Zakon o određivanju i zaštiti kritične infrastrukture

Kritična infrastruktura određuje se i štiti na način i pod uslovima propisanim ovim zakonom, međunarodnim ugovorima i standardima Evropske unije.

Kritična infrastruktura obuhvata sisteme, mreže, objekte, odnosno njihove djelove koji se nalaze na teritoriji Crne Gore, čiji prekid funkcionisanja, odnosno prekid isporuka roba ili usluga preko tih sistema, mreža, objekata, odnosno njihovih djelova može imati ozbiljne posljedice po nacionalnu bezbjednost, zdravlje i život ljudi, imovinu, životnu sredinu, bezbjednost građana, ekonomsku stabilnost, odnosno vršenje djelatnosti od javnog interesa.

Zaštita kritične infrastrukture predstavlja skup aktivnosti i mjera koje imaju za cilj da spriječe nastanak poremećaja u radu, oštećenje ili uništenje kritične infrastrukture u slučaju prijetnje, obezbijede funkcionisanje i otpornost kritične infrastrukture u slučaju poremećaja u radu ili oštećenja i spriječe nastanak posljedica poremećaja u radu, odnosno oštećenja ili uništenja kritične infrastrukture.

Izrazi koji se u ovom zakonu koriste za fizička lica u muškom rodu podrazumijevaju iste izraze u ženskom rodu.

Izrazi upotrijebljeni u ovom zakonu imaju sljedeća značenja:

1) operatori kritične infrastrukture su državni organi, organi državne uprave, organi lokalne samouprave, organi lokalne uprave i službe obrazovane u skladu sa zakonom kojim se uređuje lokalna samouprava, privredna društva i druga pravna lica koji koriste, odnosno upravljaju sistemima, mrežama, objektima, odnosno njihovim djelovima koji su određeni kao kritična infrastruktura;

2) analiza rizika podrazumijeva razmatranje mogućih opasnosti i konvencionalnih, odnosno hibridnih prijetnji radi procjene mogućih posljedica poremećaja u radu ili mogućeg prekida funkcionisanja kritične infrastrukture, njenog oštećenja, odnosno uništenja;

3) kritična informatička infrastruktura obuhvata informacione sisteme kojima upravljaju operatori kritične infrastrukture, čijim bi se prekidom rada ili uništenjem ugrozili život, zdravlje, bezbjednost građana i funkcionisanje države i od čijeg funkcionisanja zavisi vršenje djelatnosti od javnog interesa;

4) osjetljive informacije o zaštiti kritične infrastrukture su informacije o kritičnoj infrastrukturi koje bi se, kad bi bile otkrivene, mogle upotrijebiti za planiranje i preduzimanje aktivnosti kojima će se izazvati poremećaj u radu ili prekid funkcionisanja kritične infrastrukture, odnosno njeno oštećenje ili uništenje;

5) Evropska kritična infrastruktura podrazumijeva kritičnu infrastrukturu koja se nalazi na teritoriji države članice Evropske unije, čiji bi poremećaj u radu, prekid funkcionisanja, oštećenje ili uništenje imalo značajne posljedice za najmanje dvije države članice.

Kritična infrastruktura određuje se na osnovu kriterijuma koji se odnose na procjenu mogućih posljedica poremećaja u radu ili mogućeg prekida funkcionisanja kritične infrastrukture u oblasti energetike, saobraćaja, snabdijevanja vodom, zdravstva, finansija, elektronskih komunikacija i informaciono-komunikacionih tehnologija, zaštite životne sredine, funkcionisanja državnih organa, kao i u drugim oblastima od javnog interesa (u daljem tekstu: kriterijumi za određivanje kritične infrastrukture).

Kriterijumi za određivanje kritične infrastrukture mogu biti sektorski i međusektorski.

Sektorski kriterijumi za određivanje kritične infrastrukture utvrđuju se na osnovu analiza rizika koje za svaki sektor kritične infrastrukture sačinjavaju ministarstva nadležna za određene sektore, uzimajući u obzir karakteristike tih sektora.

Pri određivanju procjene rizika i potrebnog nivoa zaštite kritične infrastrukture mora se uzeti u obzir i uticaj pojedinog sektora kritične infrastrukture na kritične infrastrukture drugih sektora, kako bi se obezbijedila razmjena podataka potrebnih za izradu analize rizika.

Podaci iz stava 2 ovog člana označavaju se odgovarajućim stepenom tajnosti, u skladu sa zakonom kojim se uređuje tajnost podataka.

Sektorske kriterijume za određivanje kritične infrastrukture propisuje Vlada Crne Gore (u daljem tekstu: Vlada).

Međusektorski kriterijumi za određivanje kritične infrastrukture utvrđuju se na osnovu analize rizika koja se odnosi na sve sektore kritične infrastrukture.

Međusektorski kriterijumi iz stava 1 ovog člana su:

- mogući broj poginulih ili povrijeđenih zbog ozbiljnih poremećaja u radu ili prekida funkcionisanja kritične infrastrukture;

- ekonomske posljedice, mogući ekonomski gubici i/ili pogoršanje kvaliteta proizvoda ili usluga, kao i moguće posljedice po okolinu zbog ozbiljnih poremećaja u radu ili prekida funkcionisanja kritične infrastrukture;

- uticaj na nacionalnu bezbjednost;

- uticaj na javnost, odnosno moguće posljedice poremećaja u radu ili prekida funkcionisanja kritične infrastrukture na povjerenje javnosti i redovne životne aktivnosti.

Sistem, mreža, objekat, odnosno njihov dio može se odrediti kao kritična infrastruktura ako ispunjava najmanje jedan kriterijum iz stava 2 ovog člana.

Sektori kritične infrastrukture su oblasti u kojima se vrši identifikacija i određivanje kritične infrastrukture, i to energetika, saobraćaj, snabdijevanje vodom, zdravstvo, finansije, elektronske komunikacije, informaciono-komunikacione tehnologije, zaštita životne sredine, funkcionisanje državnih organa, kao i druge oblasti od javnog interesa.

Ministarstva nadležna za sektore za koje su utvrđeni sektorski kriterijumi za određivanje kritične infrastrukture operatorima kritične infrastrukture daju podatke o sektorskim kriterijumima propisanim aktom iz člana 7 stav 3 ovog zakona za te sektore.

Operatori kritične infrastrukture, na osnovu međusektorskih i sektorskih kriterijuma za određivanje kritične infrastrukture, procjenjuju koji sistemi, mreže, objekti, odnosno njihovi djelovi koje oni koriste, odnosno kojima upravljaju predstavljaju kritičnu infrastrukturu u određenom sektoru kritične infrastrukture, o čemu dostavljaju obavještenje ministarstvu nadležnom za taj sektor.

Obavještenje iz stava 2 ovog člana sadrži detaljan opis i tehničku specifikaciju sistema, mreža, objekata, odnosno njihovih djelova koji predstavljaju kritičnu infrastrukturu i druge podatke za koje se procijeni da mogu biti od značaja za određivanje kritične infrastrukture, kao i razloge zbog kojih operator kritične infrastrukture smatra da ti sistemi, mreže, objekti, odnosno njihovi djelovi predstavljaju kritičnu infrastrukturu.

Ministarstva nadležna za određene sektore utvrđuju da li sistemi, mreže, objekti, odnosno njihovi djelovi iz člana 10 stav 2 ovog zakona ispunjavaju kriterijume iz čl. 7 i 8 ovog zakona i sačinjavaju predloge za određivanje kritične infrastrukture za te sektore, koje dostavljaju organu državne uprave nadležnom za unutrašnje poslove ( u daljem tekstu: Ministarstvo).

Objedinjene predloge iz stava 1 ovog člana Ministarstvo dostavlja Vladi.

Na osnovu objedinjenih predloga iz stava 2 ovog člana, Vlada određuje kritičnu infrastrukturu.

Obavještenje iz člana 10 stav 3 ovog zakona, predlozi iz st. 1 i 2 i akt iz stava 3 ovog člana označavaju se odgovarajućim stepenom tajnosti, u skladu sa zakonom kojim se uređuje tajnost podataka.

Operator kritične infrastrukture dužan je da, najmanje jednom godišnje, ministarstvu nadležnom za određeni sektor dostavi obavještenje o stanju, odnosno promjenama u sistemima, mrežama, objektima, odnosno njihovim djelovima koje koristi, odnosno kojima upravlja, a koji su određeni kao kritična infrastruktura.

Na osnovu obavještenja iz stava 1 ovog člana, ministarstvo nadležno za određeni sektor utvrđuje da li je potrebno izvršiti izmjene, odnosno dopune u pogledu određivanja kritične infrastrukture u tom sektoru.

Ako utvrdi da je potrebno izvršiti izmjene, odnosno dopune iz stava 2 ovog člana, ministarstvo nadležno za određeni sektor sačinjava predlog izmjena, odnosno dopuna za određivanje kritične infrastrukture koji dostavlja Ministarstvu.

Predlog iz stava 3 ovog člana Ministarstvo dostavlja Vladi, radi izmjena, odnosno dopuna akta iz člana 11 stav 3 ovog zakona.

Obavještenje iz stava 1 ovog člana i predlog iz stava 3 ovog člana označavaju se odgovarajućim stepenom tajnosti, u skladu sa zakonom kojim se uređuje tajnost podataka.

Zaštita kritične infrastrukture vrši se primjenom fizičke i tehničke zaštite, na način i pod uslovima propisanim za zaštitu objekata i prostora u kojima se vrše djelatnosti od javnog interesa, djelatnosti koje predstavljaju povećanu opasnost za život i zdravlje ljudi, kao i objekti čijim oštećenjem ili uništenjem bi mogle nastupiti teže posljedice po život i zdravlje većeg broja ljudi, u skladu sa zakonom kojim se uređuje zaštita lica i imovine koju ne obezbjeđuje država, ako ovim zakonom nije drukčije propisano.

Izuzetno od stava 1 ovog člana, način zaštite kritične informatičke infrastrukture, kao i način zaštite kritične infrastrukture koju koriste, odnosno kojom upravljaju organ državne uprave nadležan za poslove odbrane, organ uprave nadležan za policijske poslove, Vojska Crne Gore i Agencija za nacionalnu bezbjednost Crne Gore vrši se u skladu sa posebnim zakonom.

Operatori kritične infrastrukture, osim operatora koji koriste, odnosno upravljaju informacionim sistemima i drugih operatora iz člana 13 stav 2 ovog zakona, dužni su da izrade bezbjednosni plan za zaštitu kritične infrastrukture koju koriste, odnosno kojom upravljaju (u daljem tekstu: bezbjednosni plan) i na taj plan pribave saglasnost Ministarstva, u roku od jedne godine od donošenja akta iz člana 11 stav 3 ovog zakona, kojim su sistemi, mreže, objekti, odnosno djelovi objekata koje oni koriste, odnosno kojima upravljaju određeni kao kritična infrastruktura.

Bezbjednosni plan sadrži naročito:

1) opis sistema, mreža, objekata, odnosno njihovih djelova koji predstavljaju kritičnu infrastrukturu;

2) analizu rizika; i

3) aktivnosti i mjere koje imaju za cilj da spriječe nastanak poremećaja u radu, oštećenja ili uništenja kritične infrastrukture u slučaju prijetnje, obezbijede funkcionisanje kritične infrastrukture u slučaju poremećaja u radu ili oštećenja i spriječe nastanak posljedica poremećaja u radu, odnosno oštećenje ili uništenje kritične infrastrukture, i to:

- trajne mjere bezbjednosti (tehničke, organizacione, komunikacione mjere i mjere ranog upozoravanja i jačanja svijesti) koje se kontinuirano preduzimaju; i

- mjere bezbjednosti koje se preduzimaju u zavisnosti od nivoa rizika i prijetnji za funkcionisanje kritične infrastrukture.

Bliži sadržaj bezbjednosnog plana propisuje Ministarstvo.

Bezbjednosni plan i akt iz stava 3 ovog člana označavaju se odgovarajućim stepenom tajnosti, u skladu sa zakonom kojim se uređuje tajnost podataka.