„ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე“

პროექტი საქართველოს კანონი „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე მუხლი 1. „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში (საქართველოს საკანონმდებლო მაცნე (www.matsne.gov.ge), 19/06/2012, სარეგისტრაციო კოდი: 140000000.05.001.016807) შეტანილ იქნეს შემდეგი ცვლილება: 1. მე-2 მუხლის „ნ“ ქვეპუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „ნ) ციფრული მმართველობის სააგენტო − საქართველოს იუსტიციის სამინისტროს მმართველობის სფეროში მოქმედი საჯარო სამართლის იურიდიული პირი;“. 2. მე-4 მუხლის მე-2-მე-4 პუნქტები ჩამოყალიბდეს შემდეგი რედაქციით: „2. ინფორმაციული უსაფრთხოების პოლიტიკა უნდა აკმაყოფილებდეს ინფორმაციული უსაფრთხოების მინიმალურ მოთხოვნებს (კრიტიკული ინფორმაციული სისტემის სუბიექტის კრიტიკულობის კლასიფიცირების გათვალისწინებით), რომლებსაც განსაზღვრავს ციფრული მმართველობის სააგენტო სტანდარტიზაციის საერთაშორისო ორგანიზაციის (ISO) და ინფორმაციული სისტემების აუდიტისა და კონტროლის ასოციაციის (ISACA) მიერ დადგენილი სტანდარტებისა და მოთხოვნების შესაბამისად. 3. კრიტიკული ინფორმაციული სისტემის სუბიექტი ამ მუხლის პირველი პუნქტის თანახმად მიღებულ ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესებს განსახილველად წარუდგენს ციფრული მმართველობის სააგენტოს. ციფრული მმართველობის სააგენტოს ასევე ეცნობება ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესებში შეტანილი ნებისმიერი ცვლილება. ციფრული მმართველობის სააგენტო ახორციელებს ამგვარად მოწოდებული დოკუმენტების ზოგად ანალიზს და წარადგენს რეკომენდაციებს მათში აღმოჩენილი ხარვეზების გამოსასწორებლად. 4. ამ მუხლის მე-3 პუნქტით გათვალისწინებული დოკუმენტების გარდა, ციფრული მმართველობის სააგენტოს ხელი არ მიუწვდება კრიტიკული ინფორმაციული სისტემის სუბიექტის ინფორმაციასა და ინფორმაციულ აქტივზე, გარდა იმ შემთხვევისა, როდესაც კრიტიკული ინფორმაციული სისტემის სუბიექტი ნებაყოფლობით უზრუნველყოფს ციფრული მმართველობის სააგენტოსთვის ინფორმაციისა და ინფორმაციული აქტივის ხელმისაწვდომობას.“. 3. მე-5 მუხლის მე-4 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „4. ინფორმაციული აქტივების მართვის წესებს, კერძოდ, მათი აღწერის, კლასიფიცირების, წვდომის, გაცემის (გამოქვეყნების), შეცვლისა და განადგურების წესებს, ნორმატიული აქტით ადგენს ციფრული მმართველობის სააგენტო, გარდა იმ წესებისა, რომლებითაც საქართველოს ზოგადი ადმინისტრაციული კოდექსი განსაზღვრავს საჯარო ინფორმაციის ხელმისაწვდომობას.“. 4. მე-6 მუხლი ჩამოყალიბდეს შემდეგი რედაქციით: „მუხლი 6. ინფორმაციული უსაფრთხოების აუდიტი და ინფორმაციული სისტემების ტესტირება 1. კრიტიკული ინფორმაციული სისტემის სუბიექტის თანხმობით, ციფრული მმართველობის სააგენტო ან ციფრული მმართველობის სააგენტოს მიერ ავტორიზებულ პირთაგან კრიტიკული ინფორმაციული სისტემის სუბიექტის მიერ შერჩეული პირი ან ორგანიზაცია ატარებს ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესების (ინფორმაციული უსაფრთხოების პოლიტიკის) ციფრული მმართველობის სააგენტოს მიერ დადგენილ უსაფრთხოების მინიმალურ სტანდარტებთან თავსებადობის შეფასებას (ინფორმაციული უსაფრთხოების აუდიტი). აუდიტის ჩატარების შემდეგ დგება დასკვნა, რომლის მოთხოვნების შესრულება სავალდებულოა. 2. ამ მუხლის პირველი პუნქტით გათვალისწინებული ინფორმაციული უსაფრთხოების აუდიტის ჩატარების წესს ნორმატიული აქტით ადგენს ციფრული მმართველობის სააგენტო. 3. ციფრული მმართველობის სააგენტოს მიერ ჩატარებული ინფორმაციული უსაფრთხოების აუდიტის საფასური განისაზღვრება კრიტიკული ინფორმაციული სისტემის სუბიექტთან გაფორმებული ხელშეკრულებით. 4. ციფრული მმართველობის სააგენტო ნორმატიული აქტით ადგენს ინფორმაციული უსაფრთხოების აუდიტის ჩატარების უფლებამოსილების მქონე პირთა და ორგანიზაციათა მიერ ავტორიზაციის გავლის წესს, ავტორიზაციის პროცედურებს და ავტორიზაციის საფასურს. 5. კრიტიკული ინფორმაციული სისტემის სუბიექტის თანხმობით, ციფრული მმართველობის სააგენტო ან ციფრული მმართველობის სააგენტოს წინასწარი ნებართვით – კრიტიკული ინფორმაციული სისტემის სუბიექტის მიერ შერჩეული დამოუკიდებელი, შესაბამისი კომპეტენციის მქონე პირი ან ორგანიზაცია ატარებს ინფორმაციული სისტემის შეღწევადობის (პენეტრაციის) ტესტს და ამ სისტემის მოწყვლადობის შეფასებას წინასწარ დაგეგმილი და დოკუმენტირებული ამოცანის მიხედვით. 6. თუ ამ მუხლით გათვალისწინებული აუდიტის ან ტესტირების შედეგად გამოვლინდა ინფორმაციული უსაფრთხოების პოლიტიკის მოთხოვნებთან შეუსაბამობა, კრიტიკული ინფორმაციული სისტემის სუბიექტი ატარებს შეუსაბამობის მიზეზის ანალიზს და, საჭიროების შემთხვევაში, განსაზღვრავს და ახორციელებს სათანადო გამოსასწორებელ ღონისძიებებს, რომელთა გრაფიკსაც წარუდგენს ციფრული მმართველობის სააგენტოს.“. 5. მე-7 მუხლის მე-4 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „4. ინფორმაციული უსაფრთხოების მენეჯერი ადგენს ინფორმაციული უსაფრთხოების სამოქმედო გეგმას და ამ გეგმის შესრულების შესახებ ყოველწლიურ ანგარიშს წარუდგენს ამ მუხლის მე3 პუნქტით განსაზღვრულ პირსა (პირებსა) და ციფრული მმართველობის სააგენტოს.“. 6. მე-8 მუხლის: ა) სათაური და პირველი პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „მუხლი 8. ციფრული მმართველობის სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფი 1. ამ კანონის ინფორმაციული ინფორმაციული დებულებათა აღსრულებას, კერძოდ, საქართველოს კიბერსივრცეში უსაფრთხოების წინააღმდეგ მიმართული ინციდენტების მართვას, ასევე უსაფრთხოების კოორდინაციისკენ მიმართულ სხვა, მასთან დაკავშირებულ საქმიანობას, რომელიც კიბერუსაფრთხოების პრიორიტეტული საფრთხეების აღმოფხვრას ემსახურება, ახორციელებს ციფრული მმართველობის სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფი – CERT.GOV.GE (შემდგომ – დახმარების ჯგუფი).“; ბ) მე-5 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „5. დახმარების ჯგუფის კომპეტენცია, მუშაობის პროცედურები, კომპიუტერულ ინციდენტებზე რეაგირების მექანიზმები და საქმიანობის სხვა წესები დგინდება ციფრული მმართველობის სააგენტოს ნორმატიული აქტით.“. 7. მე-9 მუხლის მე-4 და მე-5 პუნქტები ჩამოყალიბდეს შემდეგი რედაქციით: „4. კომპიუტერული უსაფრთხოების სპეციალისტი ხელმისაწვდომი უნდა იყოს ნებისმიერ დროს, მათ შორის, სამუშაო საათების შემდეგ. იგი ვალდებულია უზრუნველყოს ციფრული მმართველობის სააგენტოსთან მუდმივი კოორდინაცია კრიტიკული ინფორმაციული სისტემის სუბიექტზე მიმდინარე ან სავარაუდო კიბერშეტევის პირობებში, ასევე ამ კიბერშეტევის შედეგების აღმოფხვრის პროცესში. 5. თუ მიმდინარე ან სავარაუდო კიბერშეტევა განსაკუთრებულ საფრთხეს უქმნის ქვეყნის თავდაცვისუნარიანობას, ეკონომიკურ უსაფრთხოებას, სახელმწიფო ხელისუფლების ან/და საზოგადოების ნორმალურ ფუნქციონირებას, ციფრული მმართველობის სააგენტო უფლებამოსილია განახორციელოს კომპიუტერული უსაფრთხოების სპეციალისტების დროებითი კოორდინაცია კიბერშეტევის თავიდან აცილების, მოგერიების ან/და მისი შედეგების აღმოფხვრის მიზნით.“. 8. მე-10 მუხლის მე-2 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „2. კრიტიკული ინფორმაციული სისტემის სუბიექტთან შეთანხმებით, ციფრული მმართველობის სააგენტო და კომპიუტერული უსაფრთხოების სპეციალისტი კრიტიკული ინფორმაციული სისტემის სუბიექტის ქსელში ახორციელებენ კომპიუტერული ინციდენტების იდენტიფიცირებისა და კვლევისათვის აუცილებელი ქსელური სენსორის (სენსორების სისტემის) კონფიგურირებასა და მართვას. ქსელური სენსორის კონფიგურაციის წესები განისაზღვრება ციფრული მმართველობის სააგენტოს ნორმატიული აქტით.“. 9. 101 მუხლის მე-3 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „3. კიბერუსაფრთხოების ბიუროს მოქმედების სფერო არ ვრცელდება ციფრული მმართველობის სააგენტოზე, რომლის უფლებამოსილება, ფუნქციები და მოქმედების სფერო განისაზღვრება ამ კანონითა და „საჯარო სამართლის იურიდიული პირის − ციფრული მმართველობის სააგენტოს შესახებ“ საქართველოს კანონით.“. მუხლი 2. ეს კანონი ამოქმედდეს 2020 წლის 1 მარტიდან. საქართველოს პრეზიდენტი სალომე ზურაბიშვილი

განმარტებითი ბარათი საქართველოს კანონის პროექტზე „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე“ ა) ზოგადი ინფორმაცია კანონპროექტის შესახებ: ა.ა) კანონპროექტის მიღების მიზეზი: ა.ა.ა) პრობლემა, რომლის გადაჭრასაც მიზნად ისახავს კანონპროექტი: „საჯარო სამართლის იურიდიული პირის - ციფრული მმართველობის სააგენტოს შესახებ“ საქართველოს კანონის პროექტის საფუძველზე, საჯარო სამართლის იურიდიული პირების - მონაცემთა გაცვლის სააგენტოსა და „სმართ ლოჯიქის“ (SMART LOGIC) გაერთიანების გზით ყალიბდება ახალი სუბიექტი - ციფრული მმართველობის სააგენტო, რომელიც შეითავსებს ამ უწყებების უფლებამოსილებებს, მათ შორის, უზრუნველყოფს საჯარო და კერძო სექტორში ინფორმაციული და კიბერუსაფრთხოების განვითარებას, როგორც ეს განსაზღვრულია „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონით. შესაბამისად, „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში, „მონაცემთა გაცვლის სააგენტოს“ ნაცვლად, საჭიროა მიეთითოს „ციფრული მმართველობის სააგენტო". ა.ა.ბ) არსებული პრობლემის გადასაჭრელად კანონის მიღების აუცილებლობა: კანონპროექტის მიღება აუცილებელია „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონის „საჯარო სამართლის იურიდიული პირის - ციფრული მმართველობის სააგენტოს შესახებ“ საქართველოს კანონის პროექტთან შესაბამისობის უზრუნველსაყოფად. ა.ბ) კანონპროექტის მოსალოდნელი შედეგები: კანონპროექტის მიღებით „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონი შესაბამისობაში იქნება მოყვანილი „საჯარო სამართლის იურიდიული პირის - ციფრული მმართველობის სააგენტოს შესახებ“ საქართველოს კანონის პროექტთან. ა.გ) კანონპროექტის ძირითადი არსი: კანონპროექტის მიხედვით, „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში, „მონაცემთა გაცვლის სააგენტოს“ ნაცვლად, მიეთითება „ციფრული მმართველობის სააგენტო“. ა.დ) კანონპროექტის კავშირი სამთავრობო პროგრამასთან და შესაბამის სფეროში არსებულ სამოქმედო გეგმასთან, ასეთის არსებობის შემთხვევაში (საქართველოს მთავრობის მიერ ინიციირებული კანონპროექტის შემთხვევაში): ასეთი არ არსებობს. ა.ე) კანონპროექტის ძალაში შესვლის თარიღის შერჩევის პრინციპი, ხოლო კანონისთვის უკუძალის მინიჭების შემთხვევაში - აღნიშნულის თაობაზე შესაბამისი დასაბუთება: კანონპროექტის ამოქმედების თარიღი (2020 წლის 1 მარტი) უკავშირდება „საჯარო სამართლის იურიდიული პირის - ციფრული მმართველობის სააგენტოს შესახებ“ საქართველოს კანონის ამოქმედების თარიღს. ა.ვ) კანონპროექტის დაჩქარებული წესით განხილვის მიზეზები და შესაბამისი დასაბუთება (თუ ინიციატორი ითხოვს კანონპროექტის დაჩქარებული წესით განხილვას): კანონპროექტის დაჩქარებული წესით განხილვა არ არის მოთხოვნილი. ბ) კანონპროექტის ფინანსური გავლენის შეფასება საშუალოვადიან პერიოდში (კანონპროექტის ამოქმედების წელი და შემდგომი 3 წელი): ბ.ა) კანონპროექტის მიღებასთან დაკავშირებით აუცილებელი ხარჯების დაფინანსების წყარო: კანონპროექტის მიღება არ გამოიწვევს სახელმწიფო ან მუნიციპალიტეტის ბიუჯეტიდან ხარჯების გამოყოფას. ბ.ბ) კანონპროექტის გავლენა სახელმწიფო ან/და მუნიციპალიტეტის ბიუჯეტის საშემოსავლო ნაწილზე: კანონპროექტის მიღება გავლენას არ ახდენს სახელმწიფო ან/და მუნიციპალიტეტის ბიუჯეტის საშემოსავლო ნაწილზე. ბ.გ) კანონპროექტის გავლენა სახელმწიფო ან/და მუნიციპალიტეტის ბიუჯეტის ხარჯვით ნაწილზე: კანონპროექტის მიღება არ გამოიწვევს სახელმწიფო ან მუნიციპალიტეტის ბიუჯეტის ხარჯვითი ნაწილის ცვლილებას. ბ.დ) სახელმწიფოს ახალი ფინანსური ვალდებულებები, კანონპროექტის გავლენით სახელმწიფოს ან მის სისტემაში არსებული უწყების მიერ მისაღები პირდაპირი ფინანსური ვალდებულებების (საშინაო ან საგარეო ვალდებულებები) მითითებით: კანონპროექტის მიღება არ ითვალისწინებს სახელმწიფოს ან მის სისტემაში არსებული უწყების მიერ პირდაპირი ფინანსური ვალდებულების აღებას. ბ.ე) კანონპროექტის მოსალოდნელი ფინანსური შედეგები იმ პირთათვის, რომელთა მიმართაც ვრცელდება კანონპროექტის მოქმედება, იმ ფიზიკურ და იურიდიულ პირებზე გავლენის ბუნებისა და მიმართულების მითითებით, რომლებზედაც მოსალოდნელია კანონპროექტით განსაზღვრულ ქმედებებს ჰქონდეს პირდაპირი გავლენა: კანონპროექტის მიღება არ იწვევს ფინანსურ შედეგებს იმ პირთათვის, რომელთა მიმართაც ვრცელდება კანონპროექტის მოქმედება. ბ.ვ) კანონპროექტით დადგენილი გადასახადის, მოსაკრებლის ან სხვა სახის გადასახდელის (ფულადი შენატანის) ოდენობა შესაბამის ბიუჯეტში და ოდენობის განსაზღვრის პრინციპი: კანონპროექტი არ ითვალისწინებს გადასახადის, მოსაკრებლის ან სხვა სახის გადასახდელის (ფულადი შენატანის) ოდენობის განსაზღვრას. გ) კანონპროექტის მიმართება საერთაშორისო სამართლებრივ სტანდარტებთან: გ.ა) კანონპროექტის მიმართება ევროკავშირის სამართალთან: კანონპროექტი არ ეწინააღმდეგება ევროკავშირის სამართალს. გ.ბ) კანონპროექტის მიმართება საერთაშორისო ორგანიზაციებში საქართველოს წევრობასთან დაკავშირებულ ვალდებულებებთან: კანონპროექტი არ ეწინააღმდეგება საერთაშორისო ორგანიზაციებში საქართველოს წევრობასთან დაკავშირებულ ვალდებულებებს. გ.გ) კანონპროექტის მიმართება საქართველოს ორმხრივ და მრავალმხრივ ხელშეკრულებებთან და შეთანხმებებთან, აგრეთვე, ისეთი ხელშეკრულების/შეთანხმების არსებობის შემთხვევაში, რომელსაც უკავშირდება კანონპროექტის მომზადება, − მისი შესაბამისი მუხლი ან/და ნაწილი: კანონპროექტი არ ეწინააღმდეგება საქართველოს ორმხრივ და მრავალმხრივ ხელშეკრულებებს და შეთანხმებებს. აგრეთვე, კანონპროექტის მიღება არ უკავშირდება რომელიმე ხელშეკრულებას/შეთანხმებას. გ.დ) არსებობის შემთხვევაში, ევროკავშირის ის სამართლებრივი აქტი, რომელთან დაახლოების ვალდებულებაც გამომდინარეობს „ერთი მხრივ, საქართველოსა და, მეორე მხრივ, ევროკავშირსა და ევროპის ატომური ენერგიის გაერთიანებას და მათ წევრ სახელმწიფოებს შორის ასოცირების შესახებ შეთანხმებიდან“ ან ევროკავშირთან დადებული საქართველოს სხვა ორმხრივი და მრავალმხრივი ხელშეკრულებებიდან: ასეთი არ არსებობს. დ) კანონპროექტის მომზადების პროცესში მიღებული კონსულტაციები: დ.ა) სახელმწიფო, არასახელმწიფო ან/და საერთაშორისო ორგანიზაცია/დაწესებულება, ექსპერტი, სამუშაო ჯგუფი, რომელმაც მონაწილეობა მიიღო კანონპროექტის შემუშავებაში, ასეთის არსებობის შემთხვევაში: ასეთი არ არსებობს. დ.ბ) კანონპროექტის შემუშავებაში მონაწილე ორგანიზაციის/დაწესებულების, სამუშაო ჯგუფის, ექსპერტის შეფასება კანონპროექტის მიმართ, ასეთის არსებობის შემთხვევაში: ასეთი არ არსებობს. დ.გ) სხვა ქვეყნების გამოცდილება კანონპროექტის მსგავსი კანონების იმპლემენტაციის სფეროში, იმ გამოცდილების მიმოხილვა, რომელიც მაგალითად იქნა გამოყენებული კანონპროექტის მომზადებისას, ასეთი მიმოხილვის მომზადების შემთხვევაში: ასეთი მიმოხილვა არ მომზადებულა. ე) კანონპროექტის ავტორი საქართველოს იუსტიციის სამინისტრო. ვ) კანონპროექტის ინიციატორი საქართველოს მთავრობა.