ინფორმაციული უსაფრთხოების აუდიტის ან/და ინფორმაციულ სისტემაში შეღწევადობის (პენეტრაციის) ტესტის ჩატარებისთვის ავტორიზაციის მსურველი ორგანიზაციის ან/და შესაბამისი თანამშრომლის უსაფრთხოებაზე შემოწმების წესის დადგენის შესახებ

ინფორმაციული უსაფრთხოების აუდიტის ან/და ინფორმაციულ სისტემაში შეღწევადობის (პენეტრაციის) ტესტის ჩატარებისთვის ავტორიზაციის მსურველი ორგანიზაციის ან/და შესაბამისი თანამშრომლის უსაფრთხოებაზე შემოწმების წესი (შემდგომში – წესი) განსაზღვრავს უსაფრთხოების მოთხოვნებს, რომლებსაც უნდა აკმაყოფილებდნენ ინფორმაციული აუდიტის ჩატარებაზე ან/და შეღწევადობის ტესტის ჩატარებაზე ავტორიზაციის მსურველი ორგანიზაცია (შემდგომში – ორგანიზაცია), ასევე აღნიშნული ორგანიზაცის ან/და ინფორმაციული უსაფრთხოების აუდიტის ან შეღწევადობის (პენეტრაციის) ტესტის ჩატარებაზე უფლებამოსილი თანამშრომლის (შემდგომში – უფლებამოსილი თანამშრომელი) უსაფრთხოებაზე შემოწმებასთან დაკავშირებულ ორგანიზაციულ და პროცედურულ საკითხებს.

საქართველოს სახელმწიფო უსაფრთხოების სამსახურის (შემდგომში – სამსახური) მიერ ორგანიზაციის ან/და უფლებამოსილი თანამშრომლის შემოწმების განხორციელების დაწყების საფუძველია საქართველოს იუსტიციის სამინისტროს მმართველობის სფეროში შემავალი საჯარო სამართლის იურიდიული პირის – ციფრული მმართველობის სააგენტოს (შემდგომში – ციფრული მმართველობის სააგენტო) მომართვა სამსახურის მმართველობის სფეროში შემავალი საჯარო სამართლის იურიდიული პირის – საქართველოს ოპერატიულ-ტექნიკური სააგენტოსადმი (შემდგომში – ოპერატიულ-ტექნიკური სააგენტო) ორგანიზაციის ან/და უფლებამოსილი თანამშრომლის შემოწმების თაობაზე. წერილობით მომართვას თან უნდა ერთოდეს ავტორიზაციის პროცესში ციფრული მმართველობის სააგენტოსთვის მიწოდებული ინფორმაცია ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების შესახებ.

ორგანიზაცია უნდა აკმაყოფილებდეს შემდეგ მოთხოვნებს:

ა) რეგისტრირებული იყოს საქართველოში, ჩრდილოატლანტიკური ხელშეკრულების ორგანიზაციის ან ევროკავშირის წევრ სახელმწიფოში;

ბ) მისი დამფუძნებელი ან მისი წილის მფლობელი არ უნდა იყოს „კრიტიკული ინფორმაციული სისტემის სუბიექტის მიერ მონაცემების მიღებისთვის, დამუშავებისთვის, შენახვისთვის ან/და გადაცემისთვის გამოყენებული აპარატული ან/და პროგრამული უზრუნველყოფის საშუალებების მწარმოებელ ქვეყნებთან დაკავშირებული დამატებითი მოთხოვნების განსაზღვრის შესახებ“ საქართველოს მთავრობის დადგენილებით გათვალისწინებულ ქვეყნაში რეგისტრირებული საწარმო ან ამ ქვეყნის მოქალაქე;

გ) საქართველოს კანონმდებლობის და სამსახურის საერთაშორისო ხელშეკრულებების შესაბამისად განხორციელებული უსაფრთხოებაზე შემოწმების შედეგად მიღებული მასალები არ უნდა იძლეოდეს ავტორიზაციის შესახებ განაცხადის დაკმაყოფილებაზე უარის თქმის რეკომენდაციის გაცემის საფუძველს.   

1. ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმება ხორციელდება ორ ეტაპად.

2. პირველი ეტაპი მოიცავს ოპერატიულ-ტექნიკური სააგენტოს მიერ ორგანიზაციის ამ წესის მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ მოთხოვნებთან შესაბამისობის შემოწმებას. თუ ორგანიზაცია ვერ აკმაყოფილებს ამ წესის მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ უსაფრთხოების მოთხოვნებს, უსაფრთხოებაზე შემოწმების პროცედურა წყდება და ოპერატიულ-ტექნიკური სააგენტო უგზავნის ციფრული მმართველობის სააგენტოს ამ მუხლის მე-4 პუნქტით გათვალისწინებულ რეკომენდაციას ორგანიზაციის ავტორიზაციის შესახებ განაცხადის დაკმაყოფილებაზე უარის თქმის  შესახებ.  

3. თუ ორგანიზაცია აკმაყოფილებს ამ ბრძანების მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ მოთხოვნებს, იწყება უსაფრთხოებაზე შემოწმების პროცედურის მეორე ეტაპი, რაც მოიცავს ორგანიზაციის შემოწმებას ამ წესის მე-3 მუხლის „გ“ ქვეპუნქტით გათვალისწინებული მოთხოვნის დაკმაყოფილებაზე და ასევე უფლებამოსილი თანამშრომლების შემოწმებას. ამ მიზნით სააგენტო უზრუნველყოფს ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების შესახებ მიღებული ინფორმაციის გადაგზავნას სამსახურის დანაყოფებში, რომელთაც აქვთ ოპერატიულ-სამძებრო ან/და კონტრდაზვერვითი ღონისძიებების განხორციელების უფლებამოსილება (შემდგომში – უფლებამოსილი დანაყოფები). უფლებამოსილი დანაყოფები მიღებულ ინფორმაციას ამუშავებენ ამ ბრძანებით, საქართველოს მოქმედი კანონმდებლობითა და სამსახურის საერთაშორისო ხელშეკრულებებით გათვალისწინებული წესისა და პროცედურების შესაბამისად. სამსახურის უფლებამოსილი დანაყოფების მიერ განხორციელებული შემოწმების შედეგები იგზავნება ოპერატიულ-ტექნიკურ სააგენტოში.

4. ამ მუხლის მე-3 პუნქტის შესაბამისად მიღებული ინფორმაციის საფუძველზე სააგენტო ამზადებს პასუხს ორგანიზაციის ან/და მისი უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების შედეგების შესახებ და აწვდის ციფრული მმართველობის სააგენტოს რეკომენდაციას ორგანიზაციის ავტორიზაციის შესახებ განაცხადის დაკმაყოფილების ან დაკმაყოფილებაზე უარის თქმის  შესახებ ან/და უფლებამოსილი თანამშრომლისთვის აუდიტის ან პენეტრაციის ტესტის ჩატარებაზე უფლებამოსილ პირად რეგისტრაციის ან რეგისტრაციაზე უარის თქმის შესახებ.

1. ოპერატიულ-ტექნიკური სააგენტოსა და უფლებამოსილი დანაყოფების მიერ ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების საერთო ვადა არ უნდა აღემატებოდეს 60 სამუშაო დღეს ციფრული მმართველობის სააგენტოს მომართვის დღიდან. აქედან:

ა) შემოწმების პირველი ეტაპის ვადა არ შეიძლება აღემატებოდეს 5 სამუშაო დღეს;

ბ) შემოწმების მეორე ეტაპის  ვადა არ შეიძლება აღემატებოდეს 55 სამუშაო დღეს.

2. თუ ამ მუხლის პირველი პუნქტის „ბ“ ქვეპუნქტით გათვალისწინებულ ვადაში უფლებამოსილი დანაყოფების მიერ ოპერატიულ-ტექნიკურ სააგენტოში არ იქნა წარმოდგენილი ინფორმაცია ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების შედეგების შესახებ, მიიჩნევა, რომ უსაფრთხოების თვალსაზრისით ორგანიზაციის ავტორიზაციის, ხოლო ამ წესის მე-6 მუხლით გათვალისწინებულ შემთხვევაში, უფლებამოსილი თანამშრომლის მიერ აუდიტის ან პენეტრაციის ტესტის ჩატარების  დამაბრკოლებელი გარემოება არ არსებობს, რის შესახებაც ოპერატიულ-ტექნიკური სააგენტო ატყობინებს ციფრული მმართველობის სააგენტოს.

„ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონის 6¹ მუხლის მე-4 პუნქტით გათვალისწინებულ გამონაკლის შემთხვევაში, არ გამოიყენება ორგანიზაციის უსაფრთხოებაზე შემოწმების ამ წესით გათვალისწინებული დებულებები. კომერციულ ბანკებში ინფორმაციული უსაფრთხოების აუდიტის ან/და პენეტრაციის ტესტის ჩატარებისთვის ავტორიზებული ორგანიზაციების უფლებამოსილი თანამშრომლის უსაფრთხოებაზე შემოწმების შესახებ ოპერატიულ-ტექნიკურ სააგენტოს მიმართავს საქართველოს ეროვნული ბანკი. ამ შემთხვევაში უფლებამოსილი  თანამშრომლის უსაფრთხოებაზე შემოწმების შედეგები ეცნობება საქართველოს ეროვნულ ბანკს.