Предстои второ четене в Народното събрание, дано си изяснят кой пише националната стратегия
До 20 март се приемат предложения преди второто четене на Законопроекта за изменение и допълнение на Закона за киберсигурност. На 18.09.2024 г. по повод на проекта писах, че „Транспонирането на директивата NIS 2 чрез промени в Закона за киберсигурност се оказа голям резил“.
Предложените промени в закона минаха в парламентарната Комисия по електронно управление и информационни технологии на първо гласуване. В мен остават съмненията в качеството на текстовете като чета становищата, внесени в НС. Ето едно от тях – на Държавна агенция „Национална сигурност“:
Уважаеми господин Мемиш,
По изпратения Законопроект за изменение и допълнение на Закона за киберсигурност (ЗИДЗК, законопроекта) № 51-402-01-17, внесен в Народното събрание на 12.12.2024 г. от Министерския съвет, Държавна агенция „Национална сигурност“ (ДАНС) изразява следните бележки и предложения по компетентност:
I. Общи бележки:
Като цяло, подкрепяме законопроекта, изготвен в изпълнение на ангажиментите на Република България като държава-членка на Европейския съюз, която следва да въведе в националното си законодателство разпоредби и да създаде организация за изпълнението на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (Директива МИС 2, Директивата). При преглед на проекта на ЗИДЗК е видно, че същият следва структурата на Директива МИС 2, като текстовете в голямата си част са идентични с тези на Директивата.
II. Бележки по конкретни текстове:
- По § 6, т. 2:
Визираната разпоредба предвижда законът да не бъде прилаган „по отношение на информационните системи, дефинирани като критични в стратегически обекти или субектите, осъществяващи стратегически дейности, определени от ръководителите на стратегическите обекти и възлагащите стратегически дейности, които са от значение за националната сигурност, по смисъла на Наредбата за условията и реда за определяне на мерките за защита на информационните и комуникационните системи на стратегическите обекти от значение за националната сигурност и за осъществяването на контрол“, приета с Постановление № 256 на Министерския съвет от 2019 г.
В мотивите към законопроекта не са приведени съображения за предлаганото изключение, като такова е предвидено в сега действащата редакция на ЗК. Същевременно законът вменява задължения за ръководителите на стратегическите обекти и за възлагащите и извършващите стратегически дейности, поради което е възможно предлаганото в законопроекта изключение да доведе до противоречиво тълкуване и прилагане на закона от задължените субекти.
- По § 14, т. 1:
С посочената разпоредба се предвижда промяна в чл. 12, т. 2 от ЗК, като на министъра на електронното управление се предоставя правомощие да изготвя и предлага за приемане от Министерския съвет Национална стратегия за киберсигурност.
Същевременно, в разпоредбата на чл. 10, т. 2 от сега действащия ЗК е предвидено Съветът по киберсигурност да предлага на Министерския съвет Национална стратегия за киберсигурност и пътната карта към нея, както и да изготвя периодичната им актуализация.
Така, на практика, едно и също правомощие ще бъде предоставено на два органа. Предвид изложеното, следва да бъде преценено кой орган следва да осъществява описаните дейности, като в случай че това е министърът на електронното управление, следва да бъде предвидено, в изготвянето на Националната стратегия за киберсигурност участие да вземат и Министерството на отбраната (МО), Министерството на вътрешните работи (МВР) и ДАНС, отчитайки тяхната компетентност.
- По § 16:
3.1. С т. 2 на § 16 се предвижда създаване на т. 5 в ал. 3 на чл. 15 от ЗК. Разпоредбата на чл. 15, ал. 3 от ЗК регламентира дейностите, изпълнявани от Центъра за мониторинг и реакция на инциденти със значително увреждащо въздействие върху комуникационните и информационните системи на стратегическите обекти и дейности, които са от значение за националната сигурност (Център).
Предлаганата в законопроекта т. 5 регламентира задължение за „ръководителите на субектите“ (ръководителите на стратегическите обекти и възлагащите и извършващите стратегически дейности) при настъпване на инцидент с критични системи незабавно да уведомяват Центъра по реда на чл. 24.
На първо място, доколкото чл. 15, ал. 3 урежда дейностите на Центъра, а не задължения за определени субекти, систематическото място на текста не е в ал. 3. като същият може да бъде оформен като отделна алинея в чл. 15.
На следващо място, разпоредбата на чл. 24, към която се препраща като ред за уведомяване, урежда сертифицирането на киберсигурността, поради което препратката следва да бъде прецизирана.
3.2. Не подкрепяме предложението в чл. 15 ал. 5 да бъде отменена.
Съгласно чл. 15, ал. 2 от ЗК, ДАНС администрира и ползва Център за мониторинг и реакция на инциденти със значително увреждащо въздействие върху комуникационните и информационните системи на стратегическите обекти и дейности, които са от значение за националната сигурност. Алинея 5 на чл. 15 от ЗК предвижда, че Центърът изпълнява и задачи, свързани с функциите на ДАНС по чл. 6, ал. 5 от Закона за Държавна агенция „Национална сигурност“ – функциите на орган по акредитиране на сигурността на комуникационните и информационните системи, в които се създава, обработва, съхранява и пренася класифицирана информация.
Въпреки че ЗК не се прилага за комуникационните и информационните системи за обработка на класифицирана информация по смисъла на Закона за защита на класифицираната информация, ал. 5 на чл. 15 от ЗК позволява използването на значителния технически ресурс на Центъра при изпълнение на посочените по-горе функции с цел по-големи ефективност и качество.
- По § 25:
С § 25 се предвижда създаване на текстове с цел регламентиране на мерките за управление на риска в областта на киберсигурността и задълженията за докладване. По-конкретно задълженията за докладване са уредени в едноименния чл. 23, в чиито алинеи са разписани различни хипотези за предоставяне на информация за значителни инциденти, включително на чужди компетентни органи. Отчитайки важността на обменът на информация, но и на защитата на същата, предлагаме създаването на две нови алинеи, касаещи информация за значителни инциденти, засягащи стратегически обекти и дейности от значение за националната сигурност:
4.1. Предлагаме да бъде създадена нова ал. 8 със следната редакция:
(8) Когато значителният инцидент засяга критична информационна система на стратегически обект или дейност от значение за националната сигурност или има основание да се смята, че значителният инцидент е свързан с намеса на чужда държава или инфраструктура, разположена извън страната, СЕРИКС незабавно уведомява ДАНС за значителния инцидент и й предоставя цялата налична при него информация.“
Предвид направеното предложение ал. 8 – 10 от законопроекта следва да станат съответно ал. 9 – 11.
4.2. Предлагаме да бъде създадена нова ал. 12 със следната редакция:
(12) Предоставянето на други държави на информация за значителни инциденти, засягащи стратегически обект или дейност от значение за националната сигурност и свързани с намеса на чужда държава или инфраструктура, разположена извън страната, се извършва след съгласуване с ДАНС.“
Предвид направеното предложение ал. 11 и 12 от законопроекта следва да станат съответно ал. 13 и 14.
- По § 29:
С § 29 се предвижда създаването на глава втора „в“, уреждаща контрола по ЗК. Разпоредбата на чл. 27е, ал. 1 регламентира контролът да се осъществява от националните компетентни органи по чл. 16, МО, МВР и ДАНС. От предложените текстове не става ясно обаче, в кои случаи кой орган ще осъществява предвидения контрол.
- Бележки с правно-технически характер:
6.1. Предлагаме в § 4 (чл. 4, т. 4 от ЗК) да бъде изписано пълното наименование на Директива (ЕС) 2022/2557.
Съгласно разпоредбата на чл. 40, ал. 2, т. 3 от Указ № 883 от 24.04.1974 г. за прилагане на Закона за нормативните актове, при първо препращане към актове на Европейския съюз следва да се посочи наименованието на акта с неговия номер и дата, органът, който го е приел, и съответният брой на „Официален вестник“ на Европейския съюз, където актът е обнародван на български език.
6.2. В § 4 и следващите от законопроекта се борави с понятието ,,обществено достъпни електронни съобщителни услуги“. Същото понятие е използвано и в Директива МИС 2. Националното законодателство и по-конкретно Законът за електронните съобщения (ЗЕС) използва понятието „електронни съобщителни услуги“ или „обществени електронни съобщителни услуги“. Доколкото по отношение на дефиницията на „електронни съобщителни услуги“ се препраща към ЗЕС, предлагаме използваната терминология в ЗК да бъде уеднаквена с тази в ЗЕС.
С уважение,
Председател на Държавна агенция „Национална сигурност“ Пламен Тончев