„ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილებების შეტანის თაობაზე“

პროექტი საქართველოს კანონი „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე მუხლი 1. „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში (საქართველოს საკანონმდებლო მაცნე (www.matsne.gov.ge), 19.06.2012, სარეგისტრაციო კოდი: 140000000.05.001.016807) შეტანილ იქნეს შემდეგი ცვლილება: 1. მე-3 მუხლის მე-2 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: „2. კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხა მტკიცდება და შესაბამისი სუბიექტის კრიტიკულობის კლასიფიცირება დგინდება საქართველოს მთავრობის დადგენილებით, რომლის პროექტს საქართველოს მთავრობას დასამტკიცებლად წარუდგენს საქართველოს იუსტიციის სამინისტრო საქართველოს თავდაცვის, შინაგან საქმეთა სამინისტროებსა და სახელმწიფო უსაფრთხოების სამსახურთან შეთანხმებით. ამ ნუსხის შედგენისას მხედველობაში მიიღება შემდეგი კრიტერიუმები: ინფორმაციული სისტემის შეფერხების ან მწყობრიდან გამოსვლის სავარაუდო შედეგების სიმძიმე და მასშტაბი; სავარაუდო ეკონომიკური ზარალის სიმძიმე სუბიექტებისთვის ან/და სახელმწიფოსთვის; ინფორმაციული სისტემის მიერ გაწეული მომსახურების აუცილებლობა საზოგადოების ნორმალური ფუნქციონირებისათვის; ინფორმაციული სისტემის მომხმარებელთა რაოდენობა; სუბიექტის მატერიალური მდგომარეობა და სავარაუდო ხარჯების ოდენობა, რომლებიც მისთვის ამ კანონიდან გამომდინარე ვალდებულებების დაკისრებას მოჰყვება. „ 2. მე-101 მუხლის მე-4 პუნქტი ჩამოყალიბდეს შემდეგი რედაქციით: 4. თავდაცვის სფეროში კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხა მტკიცდება და შესაბამისი სუბიექტის კრიტიკულობის კლასიფიცირება დგინდება საქართველოს მთავრობის შესაბამისი აქტით, რომლის პროექტს საქართველოს მთავრობას დასამტკიცებლად წარუდგენს საქართველოს იუსტიციის სამინისტრო საქართველოს თავდაცვის, შინაგან საქმეთა სამინისტროებსა და სახელმწიფო უსაფრთხოების სამსახურთან შეთანხმებით. ამ ნუსხის შედგენისას მხედველობაში მიიღება შემდეგი კრიტერიუმები: ინფორმაციული სისტემის შეფერხების ან მწყობრიდან გამოსვლის სავარაუდო შედეგების სიმძიმე და მასშტაბი სახელმწიფოს თავდაცვისუნარიანობის თვალსაზრისით; სავარაუდო ეკონომიკური ზარალის სიმძიმე სუბიექტებისთვის ან/და სახელმწიფოსთვის; ინფორმაციული სისტემის მიერ გაწეული მომსახურების აუცილებლობა სახელმწიფოს თავდაცვისუნარიანობის შეუფერხებელი ფუნქციონირებისათვის; ინფორმაციული სისტემის მომხმარებელთა რაოდენობა; სუბიექტის მატერიალური მდგომარეობა და სავარაუდო ხარჯების ოდენობა, რომლებიც მისთვის შესაბამისი ვალდებულებების დაკისრებას მოჰყვება. მუხლი 2. ეს კანონი ამოქმედდეს 2015 წლის 1 აგვისტოდან. საქართველოს პრეზიდენტი გიორგი მარგველაშვილი

განმარტებითი ბარათი „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე საქართველოს კანონის პროექტთან დაკავშირებით ა) ზოგადი ინფორმაცია კანონპროექტის შესახებ ა.ა) კანონპროექტის მიღების მიზეზი კანონპროექტის მიღება გამომდინარეობს „პოლიციის შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე“ და „სახელმწიფო უსაფრთხოების სამსახურის შესახებ“ კანონპროექტებიდან, რომელთა თანახმადაც იქმნება აღმასრულებელი ხელისუფლების სპეციალური დანიშნულების დაწესებულება - სახელმწიფო უსაფრთხოების სამსახურის სახით. ა.ბ) კანონპროექტის მიზანი კანონპროექტის მიზანია ასევე „პოლიციის შესახებ“ საქართველოს კანონში ცვლილების შეტანის თაობაზე“ და „სახელმწიფო უსაფრთხოების სამსახურის შესახებ“ საქართველოს კანონის პროექტებთან წარმოდგენილი პროექტის შესაბამისობის უზრუნვეყლოფა. ა.გ) კანონპროექტის ძირითადი არსი კანონპროექტის მიხედვით, საქართველოს სახელმწიფო უსაფრთხოების სამსახური ემატება „ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონის მე–3 მუხლის მე–2 პუნქტსა და 10 მუხლის მე–4 პუნქტში. 1 ბ) კანონპროექტის ფინანსური დასაბუთება ბ.ა) კანონპროექტის მიღებასთან დაკავშირებით აუცილებელი ხარჯების დაფინანსების წყარო: კანონპროექტის მიღება არ გამოიწვევს დამატებით ხარჯებს. ბ.ბ) კანონპროექტის გავლენა ბიუჯეტის საშემოსავლო ნაწილზე: კანონპროექტი გავლენას არ მოახდენს ბიუჯეტის საშემოსავლო ნაწილზე. ბ.გ) კანონპროექტის გავლენა ბიუჯეტის ხარჯვით ნაწილზე: კანონპროექტის მიღება არ იქონიებს გავლენას ბიუჯეტის ხარჯვით ნაწილზე. ბ.დ) სახელმწიფოს ახალი ფინანსური ვალდებულებები: კანონპროექტის მიღება არ იწვევს ახალ ფინანსურ ვალდებულებებს. ბ.ე) კანონპრექტის მოსალოდნელი ფინანსური შედეგები იმ პირთათვის, რომელთა მიმართაც ვრცელდება კანონპროექტის მოქმედება: კანონპროექტი არ წარმოშობს ფინანსურ შედეგებს იმ პირთათვის, რომელთა მიმართაც ვრცელდება მისი მოქმედება. ბ.ვ) კანონპროექტით დადგენილი გადასახადის, მოსაკრებლის ან სხვა სახის გადასახდელის ოდენობა და ოდენობის განსაზღვრის პრინციპი: კანონპროექტი არ განსაზღვრავს გადასახადს, მოსაკრებელს ან სხვა სახის გადასახდელის ოდენობის წესს. გ) კანონპროექტის მიმართება საერთაშორისო სამართლებრივ სტანდარტებთან: გ.ა) კანონპროექტის მიმართება ევროკავშირის დირექტივებთან: კანონპროექტის მიღება არ ეწინააღმდეგება ევროკავშირის დირექტივებს. გ.ბ) კანონპროექტის მიმართება საერთაშორისო ორგანიზაციებში საქართველოს წევრობასთან დაკავშირებულ ვალდებულებებთან: კანონპროექტის მიღებით არ წარმოიქმნება საერთაშორისო ორგანიზაციებში საქართველოს წევრობასთან დაკავშირებული ვალდებულებები. გ.გ) კანონპროექტის მიმართება საქართველოს ორმხრივ და მრავალმხრივ ხელშეკრულებებთან: კანონპროექტის მიღება არ ეწინააღმდეგება საქართველოს ორმხრივ და მრავალმხრივ ხელშეკრულებებს. დ) კანონპროექტის მომზადების პროცესში მიღებული კონსულტაციები: დ.ა) სახელწიფო, ორგანიზაცია/დაწესებულება, არასახელმწიფო ექსპერტები, ან/და რომლებმაც მონაწილეობა კანონპროექტის შემუშავებაში, ასეთის არსებობის შემთხვევაში: ასეთი არ არსებობს. საერთაშორისო მიიღეს დ.ბ) კანონპროექტის შემუშავებაში მონაწილე ორგანიზაციის (დაწესებულების) ან/და ექსპერტის შეფასება კანონპროექტის მიმართ, ასეთის არსებობის შემთხვევაში: ასეთი არ არსებობს. ე) კანონპროექტის ავტორი: საქართველოს შინაგან უწყებათაშორისი კომისია. ვ) კანონპროექტის ინიციატორი: საქართველოს მთავრობა. საქმეთა სამინისტროს რეფორმირების

იმ მუხლის (მუხლების) მოქმედი სრული რედაქცია, რომელშიც (რომლებშიც) წარმოდგენილი კანონპროექტით შედის ცვლილება, მათ შორის, ხდება მისი (მათი) ამოღება მუხლი 3. კანონის მოქმედების სფერო 1. ამ კანონის მოქმედება ვრცელდება ყველა იურიდიულ პირსა და სახელმწიფო ორგანოზე, რომლებიც კრიტიკული ინფორმაციული სისტემის სუბიექტები არიან. ამ კანონის მოქმედება ასევე ვრცელდება ისეთ ორგანიზაციასა და უწყებაზე, რომლებიც კრიტიკული ინფორმაციული სისტემის სუბიექტს ექვემდებარებიან ან ამ სუბიექტთან დაკავშირებული არიან დასაქმების, სტაჟირების, სახელშეკრულებო ან სხვა ურთიერთობით და რომლებიც უზრუნველყოფენ ინფორმაციული აქტივის წვდომას ასეთი ურთიერთობის ფარგლებში. 2. კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხა მტკიცდება და შესაბამისი სუბიექტის კრიტიკულობის კლასიფიცირება დგინდება საქართველოს მთავრობის დადგენილებით, რომლის პროექტს საქართველოს მთავრობას დასამტკიცებლად წარუდგენს საქართველოს იუსტიციის სამინისტრო საქართველოს თავდაცვისა და შინაგან საქმეთა სამინისტროებთან შეთანხმებით. ამ ნუსხის შედგენისას მხედველობაში მიიღება შემდეგი კრიტერიუმები: ინფორმაციული სისტემის შეფერხების ან მწყობრიდან გამოსვლის სავარაუდო შედეგების სიმძიმე და მასშტაბი; სავარაუდო ეკონომიკური ზარალის სიმძიმე სუბიექტებისთვის ან/და სახელმწიფოსთვის; ინფორმაციული სისტემის მიერ გაწეული მომსახურების აუცილებლობა საზოგადოების ნორმალური ფუნქციონირებისათვის; ინფორმაციული სისტემის მომხმარებელთა რაოდენობა; სუბიექტის მატერიალური მდგომარეობა და სავარაუდო ხარჯების ოდენობა, რომლებიც მისთვის ამ კანონიდან გამომდინარე ვალდებულებების დაკისრებას მოჰყვება. 3. ამ კანონის მოქმედება არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებსა და პოლიტიკურ პარტიებზე, მიუხედავად იმისა, თუ რამდენად მნიშვნელოვანია მათი საქმიანობა ქვეყნის თავდაცვისთვის ან/და ეკონომიკური უსაფრთხოებისთვის, სახელმწიფო ხელისუფლების ან/და საზოგადოებრივი ცხოვრების შენარჩუნებისთვის. 4. ნებისმიერ იურიდიულ პირსა და სახელმწიფო ხელისუფლების ორგანოს, რომელიც არ არის კრიტიკული ინფორმაციული სისტემის სუბიექტი, უფლება აქვს, ნებაყოფლობით აიღოს ამ კანონიდან გამომდინარე ვალდებულებები. 5. ამ კანონის მოქმედება არ ვრცელდება კრიტიკული ინფორმაციული სისტემის სუბიექტის წინასწარი თანხმობით ნებადართულ ქმედებაზე, რომლის მიზანია ინფორმაციული უსაფრთხოების ტესტირება. 6. ამ კანონის დებულებები გავლენას არ ახდენს საქართველოს კანონმდებლობით გათვალისწინებული იმ ნორმების მოქმედებაზე, რომლებიც არეგულირებს ინფორმაციის თავისუფლებას, პერსონალური მონაცემის დამუშავებას, სახელმწიფო, კომერციული და პირადი საიდუმლოებების დაცვას. მუხლი 101. კიბერუსაფრთხოების ბიუროს სტატუსი და ფუნქციები 1. თავდაცვის სფეროში კრიტიკული ინფორმაციული სისტემის სუბიექტებისათვის ინფორმაციული უსაფრთხოების პოლიტიკა უნდა აკმაყოფილებდეს თავდაცვის სფეროში ინფორმაციული უსაფრთხოების მინიმალურ მოთხოვნებს (თავდაცვის სფეროში კრიტიკული ინფორმაციული სისტემის სუბიექტის კრიტიკულობის კლასიფიცირების გათვალისწინებით), რომლებსაც განსაზღვრავს კიბერუსაფრთხოების ბიურო სტანდარტიზაციის საერთაშორისო ორგანიზაციის (ISO) და ინფორმაციული სისტემების აუდიტისა და კონტროლის ასოციაციის (ISACA) მიერ დადგენილი სტანდარტებისა და მოთხოვნების შესაბამისად. 2. კიბერუსაფრთხოების ბიურო იქმნება ამ კანონისა და „საჯარო სამართლის იურიდიული პირის შესახებ“ საქართველოს კანონის შესაბამისად. 3. კიბერუსაფრთხოების ბიუროს მოქმედების სფერო არ ვრცელდება მონაცემთა გაცვლის სააგენტოზე, რომლის უფლებამოსილება, ფუნქციები და მოქმედების სფერო განისაზღვრება ამ კანონითა და „საჯარო სამართლის იურიდიული პირის − მონაცემთა გაცვლის სააგენტოს შექმნის შესახებ“ საქართველოს კანონით. 4. თავდაცვის სფეროში კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხა მტკიცდება და შესაბამისი სუბიექტის კრიტიკულობის კლასიფიცირება დგინდება საქართველოს მთავრობის შესაბამისი აქტით, რომლის პროექტს საქართველოს მთავრობას დასამტკიცებლად წარუდგენს საქართველოს იუსტიციის სამინისტრო საქართველოს თავდაცვისა და შინაგან საქმეთა სამინისტროებთან შეთანხმებით. ამ ნუსხის შედგენისას მხედველობაში მიიღება შემდეგი კრიტერიუმები: ინფორმაციული სისტემის შეფერხების ან მწყობრიდან გამოსვლის სავარაუდო შედეგების სიმძიმე და მასშტაბი სახელმწიფოს თავდაცვისუნარიანობის თვალსაზრისით; სავარაუდო ეკონომიკური ზარალის სიმძიმე სუბიექტებისთვის ან/და სახელმწიფოსთვის; ინფორმაციული სისტემის მიერ გაწეული მომსახურების აუცილებლობა სახელმწიფოს თავდაცვისუნარიანობის შეუფერხებელი ფუნქციონირებისათვის; ინფორმაციული სისტემის მომხმარებელთა რაოდენობა; სუბიექტის მატერიალური მდგომარეობა და სავარაუდო ხარჯების ოდენობა, რომლებიც მისთვის შესაბამისი ვალდებულებების დაკისრებას მოჰყვება. 5. კიბერუსაფრთხოების ბიუროს დებულებასა და სტრუქტურას ამტკიცებს საქართველოს თავდაცვის მინისტრი. 6. კიბერუსაფრთხოების ბიუროს ძირითადი ფუნქციაა საქართველოს კანონმდებლობით, მათ შორის, ამ კანონით, მისთვის მინიჭებულ უფლებამოსილებათა ფარგლებში საქმიანობის განხორციელება. 7. ამ კანონის მე-6 და მე-7 მუხლების, მე-9 მუხლის მე-4 პუნქტისა და მე-10 მუხლის მე-2 პუნქტის მოქმედება არ ვრცელდება კიბერუსაფრთხოების ბიუროს საქმიანობაზე.