Действующая рамка и цель закона
Кибербезопасность в Грузии сегодня регулируется законом об информационной безопасности — отдельный закон о кибербезопасности ещё не принят, и именно этот закон является действующим режимом. Его цель — содействовать действенной защите информационной безопасности, установить права и обязанности публичного и частного секторов в этой сфере и определить механизмы государственного контроля. Рамка охватывает критические информационные системы и их субъектов и образует правовой фундамент, на котором строятся конкретные обязанности по защите критической инфраструктуры.
Ключевые понятия и категории субъектов
Статья 2 определяет ключевые понятия: информационная безопасность защищает доступность, целостность, аутентификацию, конфиденциальность и непрерывность работы информации и систем; кибератака — использование электронного устройства или сети для нарушения целостности систем критической системы или незаконного получения информации; компьютерный инцидент нарушает конфиденциальность, целостность или доступность информации. Критическая информационная система — система, непрерывное функционирование которой важно для обороны, экономической безопасности, органов государственной власти или нормальной жизни общества. Субъекты делятся на три категории: первая — государственные и муниципальные органы и предприятия, созданные с участием государства более 50%; вторая — компании электронной связи; третья — частные юридические лица. Список утверждает правительство по представлению министерства юстиции, согласованному с министерствами обороны и внутренних дел и службой государственной безопасности.
Периметр наиболее строгих обязанностей зафиксирован не в самом законе: категории субъектов критических информационных систем определяются постановлением Правительства Грузии — к первой отнесены государственные и муниципальные органы и государственные предприятия, ко второй компании электронных коммуникаций, к третьей иные юридические лица частного права. Поэтому вхождение организации в режим проверяется по действующему постановлению, а не только по тексту закона.
Сфера действия, исключения и политика безопасности
По статье 3 закон распространяется на субъекта и на связанные с ним трудовыми, стажировочными или договорными отношениями организации. При составлении списка учитываются тяжесть сбоя, ожидаемый экономический ущерб, необходимость услуги, число пользователей и финансовое положение субъекта. Закон не применяется к СМИ, редакциям издательств, научным, образовательным, религиозным и общественным организациям и политическим партиям; при этом любое юридическое лицо вправе добровольно принять обязанности по этому закону. Коммерческий банк, не являющийся субъектом, руководствуется правилами Национального банка. Закон не затрагивает нормы о свободе информации и защите персональных данных.
По статье 4 субъект обязан принять правила внутреннего использования, определяющие политику информационной безопасности организации. Политика должна отвечать минимальным требованиям, установленным с учётом стандартов Международной организации по стандартизации, Национального института стандартов и технологий США и Ассоциации аудита и контроля информационных систем. Принятые правила представляются на рассмотрение: субъекты первой и второй категорий — в Оперативно-техническое агентство, третьей — в агентство цифрового управления, оборонная сфера — в Бюро кибербезопасности; все три органа анализируют документы и дают обязательные указания об устранении недостатков.
Система реагирования на инциденты
По статье 8 управление инцидентами в киберпространстве осуществляет группа реагирования на компьютерные инциденты агентства цифрового управления. К приоритетным угрозам относятся кибератака, угрожающая жизни и здоровью людей, государственным интересам или обороноспособности, атака на системы субъекта, угроза финансовым ресурсам или собственности и иное достаточно серьёзное действие. По статье 10 субъект идентифицирует инциденты с помощью сетевого сенсора и немедленно уведомляет соответствующую группу. Группа изучает инцидент и представляет субъекту обязательные указания, на которые тот обязан ответить в разумный срок. В оборонной сфере инцидентами управляет группа Бюро кибербезопасности, имеющая доступ к сенсору и активам субъекта; срок реагирования на её указания — не более 1 месяца. Группы создают единую платформу обмена информацией об инцидентах.
Ответственность за нарушения
Статья 10-8 устанавливает административные санкции: неуведомление об идентификации компьютерного инцидента, неисполнение обязательных указаний или непредставление информации о принятых мерах влечёт для субъекта первой категории предупреждение или штраф в 5 000 лари, а повторение того же нарушения в течение 1 года — штраф в 10 000 лари. Те же санкции предусмотрены для субъектов третьей категории. Конкретные обязанности оператора — аудиты, назначение менеджера и специалиста, управление активами — установлены другими статьями закона и рассмотрены на отдельной странице.
Часто задаваемые вопросы
Какой закон регулирует кибербезопасность в Грузии?
Закон об информационной безопасности; отдельный закон о кибербезопасности ещё не принят, и действующий режим опирается именно на него.
Кто являются тремя регуляторами?
Для первой и второй категорий — Оперативно-техническое агентство, для третьей — агентство цифрового управления, для оборонной сферы — Бюро кибербезопасности.
На кого закон не распространяется?
На СМИ, редакции издательств, научные, образовательные, религиозные и общественные организации и политические партии.
Какой штраф грозит за сокрытие инцидента?
Предупреждение или штраф в 5 000 лари; при повторении — штраф в 10 000 лари.
Как мы помогаем на Legal.ge
На Legal.ge мы помогаем организациям определить свою категорию и обязанности, подготовить политику безопасности и выстроить отношения с регуляторами. Обратитесь к нашей команде по любому вопросу законодательства о кибербезопасности.