               EUROPSKA KOMISIJA
            Bruxelles, 23.6.2020.
            COM(2020) 255 final
            2020/0123(NLE)
            Prijedlog
            ODLUKE VIJEĆA
            o stajalištu koje treba zauzeti u ime Europske unije u Zajedničkom odboru osnovanom na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u pogledu donošenja zajedničkih operativnih postupaka
            (Tekst značajan za EGP)

               OBRAZLOŽENJE

               1.Predmet prijedloga

               Ovaj se prijedlog odnosi na odluku o utvrđivanju stajališta koje treba zauzeti u ime Europske unije u Zajedničkom odboru osnovanom na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u vezi s predviđenim donošenjem odluke o donošenju zajedničkih operativnih postupaka.

               2.Kontekst prijedloga

               2.1.Sporazum između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova

               Cilj je Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova (dalje u tekstu „Sporazum”) povezivanje sustava EU-a za trgovanje emisijama (ETS EU-a) sa švicarskim sustavom tako što bi se omogućilo trgovanje emisijskim jedinicama koje su izdane u jednom sustavu i njihova uporaba za ispunjenje obveze u drugom sustavu, čime bi se povećale prilike za ublažavanje klimatskih promjena. Sporazum je stupio na snagu 1. siječnja 2020.

               2.2.Zajednički odbor

               Zajednički odbor, koji je osnovan člankom 12. Sporazuma, nadležan je za upravljanje Sporazumom i osiguravanje njegova provođenja. Odbor može odlučivati o donošenju novih priloga Sporazumu ili o izmjeni postojećih. Također može raspravljati o izmjenama članaka Sporazuma, olakšati razmjenu mišljenja o zakonodavstvima stranaka i preispitivati Sporazum.

               Zajednički odbor bilateralno je tijelo sastavljeno od predstavnika stranaka (EU-a i Švicarske). O odlukama koje donosi Zajednički odbor zajednički se dogovaraju obje stranke.

               U skladu s člankom 3. stavkom 6. Sporazuma administrator švicarskog registra i središnji administrator Unije utvrđuju zajedničke operativne postupke povezane s tehničkim i drugim pitanjima bitnima za funkcioniranje veze između Dnevnika transakcija Europske unije (EUTL) u okviru registra Unije i Švicarskog dopunskog dnevnika transakcija (SSTL) u okviru švicarskog registra uzimajući u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci stupit će na snagu kad se donesu odlukom Zajedničkog odbora.

               2.3.Predviđeni akt Zajedničkog odbora

               Zajednički odbor na svojem trećem sastanku, koji će se održati 2020., treba u skladu s člankom 3. stavkom 6. Sporazuma donijeti odluku o donošenju zajedničkih operativnih postupaka („predviđeni akt”).

               Svrha je predviđenog akta utvrditi operativne postupke koje trebaju primjenjivati obje strane te razriješiti tehnička i druga pitanja bitna za funkcioniranje veze između EUTL-a i SSTL-a uzimajući u obzir prioritete domaćeg zakonodavstva. U tu se svrhu navode operativni postupovni zahtjevi. Kako bi se na najmanju moguću mjeru sveo rizik od prijevare, zlouporabe ili kriminalnih aktivnosti koje uključuju navedene registre te kako bi se zaštitio integritet veze među registrima, pojedinosti o potrebnim postupcima te aspekti i sporazumi na kojima se oni temelje trebali bi se smatrati povjerljivima. Stoga se u predviđenom aktu razrađuju potrebni elementi na prilično visokoj razini, a da se pritom ne otkrivaju postupci i informacije povezani sa sigurnošću i zaštitom veze. Te bi elemente trebalo oblikovati u daljnje tehničke smjernice, koje treba izraditi radna skupina u skladu s člankom 12. stavkom 5. Sporazuma. Radna skupina trebala bi uključivati barem administratora švicarskog registra i središnjeg administratora Unije, koji bi trebali osigurati stalno, djelotvorno i učinkovito funkcioniranje veze, kao i njezinu prilagodbu tehničkom napretku i novim zahtjevima koji se odnose na sigurnost i zaštitu veze. Zbog tehničke prirode i osjetljivosti takvih smjernica i potrebe za njihovom prilagodbom kako bi se održala odgovarajuća razina sigurnosti i zaštite veze, predstavnici Unije u Zajedničkom odboru trebali bi biti obaviješteni o takvim smjernicama i, prema potrebi, moći ih odobriti bez daljnje odluke Vijeća.

               Predviđeni akt postat će obvezujući za stranke u skladu s člankom 3. stavkom 6. Sporazuma, kojim je propisano da zajednički operativni postupci počinju proizvoditi učinke kad se donesu odlukom Zajedničkog odbora. U skladu s člankom 12. stavkom 3. Sporazuma, odluke koje donese Zajednički odbor u slučajevima predviđenima Sporazumom stupanjem na snagu postaju obvezujuće za stranke.

               3.Stajalište koje treba zauzeti u ime Unije

               Odlukom Vijeća na temelju ovog prijedloga Komisije utvrđuje se stajalište Europske unije o Odluci Zajedničkog odbora koju treba donijeti u pogledu donošenja zajedničkih operativnih postupaka (COP) za funkcioniranje veze između EUTL-a i SSTL-a.

               Člankom 3. stavkom 6. Sporazuma o povezivanju zahtijeva se utvrđivanje zajedničkih operativnih postupaka, koji stupaju na snagu nakon što ih donese Zajednički odbor. Zajedničkim operativnim postupcima utvrđuju se operativni postupci kojih se obje strane moraju pridržavati kako bi veza između EUTL-a i SSTL-a bila operativna. Stoga su ti postupci nužni za funkcioniranje veze.

               U skladu s Odlukom br. 2/2019 Zajedničkog odbora
                  1
                od 5. prosinca 2019.
                  2
                zajednički operativni postupci odnose se na privremeno rješenje za operacionalizaciju veze između ETS-a EU-a i ETS-a Švicarske. To privremeno rješenje trebalo bi biti dostupno od svibnja 2020.ili što je prije moguće nakon toga.

               Razvoj funkcionalnog međunarodnog tržišta ugljika povezivanjem sustava trgovanja emisijama na temelju pristupa odozdo prema gore jedan je od dugoročnih ciljeva politike EU-a i međunarodne zajednice, posebno kao sredstvo postizanja klimatskih ciljeva Pariškog sporazuma. U tom je pogledu člankom 25. Direktive o uspostavi sustava EU-a za trgovanje emisijama (ETS EU-a) omogućeno povezivanje ETS-a EU-a s ostalim sustavima trgovanja emisijama pod uvjetom da su ti sustavi obvezni, da imaju utvrđeno apsolutno ograničenje emisija i da su sukladni, što sve vrijedi za švicarski sustav. Zajednički operativni postupci važan su korak prema provedbi Sporazuma, koji je stupio na snagu 1. siječnja 2020.

               4.Pravna osnova

               4.1.Postupovna pravna osnova

               4.1.1.Načela

               Člankom 218. stavkom 9. Ugovora o funkcioniranju Europske unije (UFEU) predviđeno je donošenje odluka kojima se utvrđuju „stajališta koja u ime Unije treba donijeti tijelo osnovano na temelju sporazuma kada je to tijelo pozvano donositi akte koji proizvode pravne učinke, uz iznimku akata kojima se dopunjuje ili mijenja institucionalni okvir sporazuma”.

               Pojam „akti koji proizvode pravne učinke” obuhvaća akte koji proizvode pravne učinke na temelju pravila međunarodnog prava kojima se uređuje predmetno tijelo. Obuhvaća i instrumente koji nemaju obvezujući učinak na temelju međunarodnog prava, ali im je namjena da „presudno utječu na sadržaj propisa koje donese zakonodavac Unije”
                  3
               .

               4.1.2.Primjena u ovom slučaju

               Zajednički odbor tijelo je osnovano u skladu s člankom 12. Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova.

               Akt koji Zajednički odbor treba donijeti akt je koji proizvodi pravne učinke. Predviđeni akt bit će obvezujući prema međunarodnom pravu u skladu s člankom 12. stavkom 3. Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova.

               Predviđenim aktom ne dopunjuje se niti mijenja institucionalni okvir Sporazuma.

               Stoga je postupovna pravna osnova za predloženu Odluku članak 218. stavak 9. UFEU-a.

               4.2.Materijalnopravna osnova

               4.2.1.Načela

               Materijalnopravna osnova odluke na temelju članka 218. stavka 9. UFEU-a prije svega ovisi o cilju i sadržaju predviđenog akta o kojemu se zauzima stajalište u ime Unije. Ako predviđeni akt ima dva cilja ili dva elementa te ako se može utvrditi da je jedan od tih dvaju ciljeva ili elemenata glavni, a drugi samo sporedan, odluka na temelju članka 218. stavka 9. UFEU-a mora se temeljiti na samo jednoj materijalnopravnoj osnovi, i to onoj koja je potrebna za glavni ili prevladavajući cilj ili element.

               4.2.2.Primjena u ovom slučaju

               Glavni cilj i sadržaj predviđenog akta odnose se na okoliš.

               Stoga je materijalnopravna osnova predložene odluke članak 192. stavak 1. UFEU-a.

               4.3.Zaključak

               Pravna osnova predložene odluke trebao bi biti članak 192. stavak 1. UFEU-a u vezi s člankom 218. stavkom 9. UFEU-a.

               2020/0123 (NLE)

               Prijedlog

               ODLUKE VIJEĆA

               o stajalištu koje treba zauzeti u ime Europske unije u Zajedničkom odboru osnovanom na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u pogledu donošenja zajedničkih operativnih postupaka

               (Tekst značajan za EGP)

               VIJEĆE EUROPSKE UNIJE,

               uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 192. stavak 1. u vezi s člankom 218. stavkom 9.,

               uzimajući u obzir prijedlog Europske komisije,

               budući da:

               (1)Sporazum između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova
                  4
                („Sporazum”) Unija je sklopila Odlukom Vijeća (EU) 2018/219
                  5
               , a na snagu je stupio 1. siječnja 2020.

               (2)U skladu s člankom 3. stavkom 6. Sporazuma, Zajednički odbor može donijeti odluku o zajedničkim operativnim postupcima koje su izradili administrator švicarskog registra i središnji administrator Unije i koji se odnose na tehnička i druga pitanja bitna za funkcioniranje povezivanja, uzimajući u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci počinju proizvoditi učinke kad se donesu odlukom Zajedničkog odbora.

               (3)Zajednički odbor na svojem trećem sastanku, koji će se održati 2020., treba donijeti razrađene zajedničke operativne postupke.

               (4)Budući da će zajednički operativni postupci biti obvezujući za Uniju, primjereno je utvrditi stajalište koje u Zajedničkom odboru treba zauzeti u ime Unije.

               (5)Donošenje zajedničkih operativnih postupaka važan je element povezan s provedbom Sporazuma jer se njime utvrđuju operativni postupci kojih se obje strane moraju pridržavati kako bi veza funkcionirala.

               (6)U skladu s člankom 13. stavkom 1. Sporazuma Zajednički odbor može dogovoriti tehničke smjernice kako bi se osigurala pravilna provedba Sporazuma, uključujući tehnička i druga pitanja potrebna za funkcioniranje povezivanja, uzimajući u obzir prioritete domaćeg zakonodavstva. Tehničke smjernice trebala bi oblikovati radna skupina osnovana u skladu s člankom 12. stavkom 5. Sporazuma. Radna skupina trebala bi uključivati barem administratora švicarskog registra i središnjeg administratora registra Unije te bi trebala pomagati Zajedničkom odboru u njegovim funkcijama u skladu s člankom 13. Sporazuma,

               DONIJELO JE OVU ODLUKU:

               Članak 1.

               Stajalište koje treba zauzeti u ime Europske unije na trećem sastanku Zajedničkog odbora osnovanog na temelju Sporazuma između Unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u vezi s donošenjem zajedničkih operativnih postupaka temelji se na nacrtu akta Zajedničkog odbora koji je priložen ovoj Odluci.

               Predstavnici Unije u Zajedničkom odboru mogu dogovoriti manje izmjene nacrta odluke bez daljnje odluke Vijeća.

               Članak 2.

               Predstavnici Unije u Zajedničkom odboru mogu dogovoriti tehničke smjernice kako bi se osigurala pravilna provedba Sporazuma, uključujući tehnička i druga pitanja potrebna za funkcioniranje povezivanja, uzimajući u obzir prioritete domaćeg zakonodavstva. U tu se svrhu na temelju članka 12. stavka 5. Sporazuma osniva radna skupina koja pomaže Zajedničkom odboru u njegovim funkcijama na temelju članka 13., a posebno članka 13. stavka 1. Sporazuma.

               Sastavljeno u Bruxellesu,

                     Za Vijeće

                     Predsjednik

                     (1)

                        Stajalište koje treba zauzeti u ime EU-a utvrđeno je Odlukom Vijeća (EU) 2019/2106 od 21. studenoga 2019. o stajalištu koje treba zauzeti u ime Europske unije u okviru Zajedničkog odbora osnovanog Sporazumom između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u pogledu izmjene priloga I. i II. Sporazumu (SL L 318, 10.12.2019., str. 96).

                     (2)

                        Dostupno na
                  https://ec.europa.eu/clima/sites/clima/files/ets/markets/docs/decision_201902_swiss_ets_linking.pdf

                     (3)

                        Presuda Suda od 7. listopada 2014., Njemačka protiv Vijeća, C-399/12, ECLI:EU:C:2014:2258, točke od 61. do 64.

                     (4)

                        SL L 322, 7.12.2017., str. 3.

                     (5)

                        Odluka Vijeća (EU) 2018/219 od 23. siječnja 2018. o sklapanju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova (SL L 43, 16.2.2018., str. 1).

    ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 23.6.2020.
            COM(2020) 255 final
            PRILOG

            Prijedlogu Odluke Vijeća
            o stajalištu koje treba zauzeti u ime Europske unije u Zajedničkom odboru osnovanom na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova u pogledu donošenja zajedničkih operativnih postupaka

               ODLUKA BR. 1/2020 ZAJEDNIČKOG ODBORA OSNOVANOG NA TEMELJU SPORAZUMA IZMEĐU EUROPSKE UNIJE I ŠVICARSKE KONFEDERACIJE O POVEZIVANJU NJIHOVIH SUSTAVA TRGOVANJA EMISIJAMA STAKLENIČKIH PLINOVA
                  od...
                  o zajedničkim operativnim postupcima

               ZAJEDNIČKI ODBOR,

               uzimajući u obzir Sporazum između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova
                  1
                (dalje u tekstu „Sporazum”), a posebno njegov članak 3.,

               budući da:

               (1)Odlukom br. 2/2019 Zajedničkog odbora od 5. prosinca 2019. izmijenjeni su prilozi I. i II. Sporazumu, čime su ispunjeni uvjeti za povezivanje kako je utvrđeno u Sporazumu.

               (2)Nakon donošenja Odluke br. 2/2019 Zajedničkog odbora i u skladu s člankom 21. stavkom 3. Sporazuma stranke su razmijenile svoje isprave o ratifikaciji ili odobrenju jer smatraju da su ispunjeni svi uvjeti za povezivanje kako je utvrđeno u Sporazumu.

               (3)Sporazum je stupio na snagu 1. siječnja 2020. u skladu sa svojim člankom 21. stavkom 4.

               (4)U skladu s člankom 3. stavkom 6. Sporazuma administrator švicarskog registra i središnji administrator Unije trebali bi utvrditi zajedničke operativne postupke povezane s tehničkim i drugim pitanjima bitnima za funkcioniranje veze između Dnevnika transakcija Europske unije (EUTL) u okviru registra Unije i Švicarskog dopunskog dnevnika transakcija (SSTL) u okviru švicarskog registra uzimajući u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci trebali bi stupiti na snagu kad se donesu odlukom Zajedničkog odbora.

               (5)U skladu s člankom 13. stavkom 1. Sporazuma Zajednički odbor trebao bi dogovoriti tehničke smjernice kako bi se osigurala pravilna provedba Sporazuma, uključujući tehnička i druga pitanja potrebna za funkcioniranje povezivanja, uzimajući u obzir prioritete domaćeg zakonodavstva. Tehničke smjernice može oblikovati radna skupina osnovana u skladu s člankom 12. stavkom 5. Sporazuma. Radna skupina trebala bi uključivati barem administratora švicarskog registra i središnjeg administratora registra Unije te bi trebala pomagati Zajedničkom odboru u njegovim funkcijama u skladu s člankom 13. Sporazuma.

               (6)S obzirom na tehničku prirodu smjernica i potrebu da se prilagođavaju aktualnom razvoju događaja, tehničke smjernice koje su izradili administrator švicarskog registra i središnji administrator Unije trebalo bi dostaviti Zajedničkom odboru radi obavijesti ili, prema potrebi, odobrenja,

               DONIO JE OVU ODLUKU:

               Članak 1.

               Donose se zajednički operativni postupci priloženi ovoj Odluci.

               Članak 2.

               Osniva se radna skupina u skladu s člankom 12. stavkom 5. Sporazuma. Ona pomaže Zajedničkom odboru u osiguravanju pravilne provedbe Sporazuma, uključujući oblikovanje tehničkih smjernica za provedbu zajedničkih operativnih postupaka.

               U radnoj skupini sudjeluju barem administrator švicarskog registra i središnji administrator registra Unije.

               Članak 3.

               Ova Odluka stupa na snagu na dan donošenja.

               Sastavljeno u Bruxellesu XX 2020.

               Za Zajednički odbor

                        Tajnik za Europsku uniju

                        Predsjednik

                        Tajnik za Švicarsku

               DODATAK

               PRILOG

               ZAJEDNIČKI OPERATIVNI POSTUPCI

               u skladu s člankom 3. stavkom 6. Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova
                  – Postupci za privremeno rješenje –

               1.Pojmovnik

               Tablica 1. Pokrate i definicije

                        Pokrata/termin

                        Definicija

                        Certifikacijsko tijelo

                        Subjekt koji izdaje digitalne certifikate

                        CH

                        Švicarska Konfederacija

                        ETS

                        Sustav trgovanja emisijama

                        EN

                        Europska unija

                        IMT

                        Tim za upravljanje incidentima (eng. Incident Management Team)

                        Informacijska imovina

                        Informacija koja je vrijedna poduzeću ili organizaciji

                        IT

                        Informacijska tehnologija

                        ITIL

                        Popis infrastrukture informacijskih tehnologija (eng. Information Technology Infrastructure Library)

                        ITSM

                        Upravljanje IT uslugama

                        LTS

                        Tehnički standardi za povezivanje (eng. Linking Technical Standards)

                        Registar

                        Sustav za obračunavanje emisijskih jedinica izdanih u okviru ETS-a, u kojem se prati vlasništvo nad emisijskim jedinicama koje se drže na elektroničkim računima

                        RFC

                        Zahtjev za promjenu (eng. Request For Change)

                        SIL

                        Popis osjetljivih informacija (eng. Sensitive Information List)

                        SR

                        Zahtjev za uslugu (eng. Service Request)

                        Wiki

                        Internetska stranica koja korisnicima omogućava razmjenu informacija i znanja dodavanjem ili prilagođavanjem sadržaja izravno putem internetskog preglednika

               2.Uvod

               Sporazumom između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova od 23. studenoga 2017. (dalje u tekstu „Sporazum”) omogućava se međusobno priznavanje emisijskih jedinica koje se mogu iskoristiti za ispunjenje obveze u okviru sustava trgovanja emisijskim jedinicama stakleničkih plinova Europske unije (ETS EU-a) ili sustava trgovanja emisijskim jedinicama Švicarske (ETS Švicarske). Kako bi veza između ETS-a EU-a i ETS-a Švicarske postala operativna, uspostavlja se izravna veza između Dnevnika transakcija Europske unije (EUTL) u okviru registra Unije i Švicarskog dopunskog dnevnika transakcija (SSTL) u okviru švicarskog registra, čime će se omogućiti prijenos emisijskih jedinica izdanih u okviru tih ETS-ova iz jednog registra u drugi (članak 3. stavak 2. Sporazuma). Kako bi veza između ETS-a EU-a i ETS-a Švicarske postala operativna, od svibnja 2020. ili što je prije moguće nakon toga primjenjuje se privremeno rješenje. Stranke surađuju kako bi privremeno rješenje što prije zamijenile trajnom vezom između registara (Prilog II. Sporazumu).

               U skladu s člankom 3. stavkom 6. Sporazuma administrator švicarskog registra i središnji administrator Unije utvrđuju zajedničke operativne postupke povezane s tehničkim i drugim pitanjima potrebnima za funkcioniranje povezivanja, uzimajući pri tom u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci koje izrade administratori počinju proizvoditi učinke kad se donesu odlukom Zajedničkog odbora.

               Kako je navedeno u ovom dokumentu, zajedničke operativne postupke donosi Zajednički odbor Odlukom br. 1/2020. Tom odlukom Zajednički odbor zatražit će da administrator švicarskog registra i središnji administrator Unije izrade daljnje tehničke smjernice kako bi veza postala operativna i kako bi se osiguralo da se zajednički operativni postupci stalno prilagođavaju tehničkom napretku i novim zahtjevima u pogledu sigurnosti i zaštite veze te njezina djelotvornog i učinkovitog funkcioniranja.

               2.1.Područje primjene

               Ovaj dokument predstavlja zajednički dogovor stranaka Sporazuma u pogledu utvrđivanja proceduralnih temelja veze između registara ETS-a EU-a i ETS-a Švicarske. Iako se u njemu navode opći postupovni zahtjevi u pogledu rada, bit će potrebne dodatne tehničke smjernice kako bi veza postala operativna.

               Za pravilno funkcioniranje bit će potrebne tehničke specifikacije za bolju operativnost veze. U skladu s člankom 3. stavkom 7. Sporazuma ta su pitanja detaljno razrađena u dokumentu o tehničkim standardima za povezivanje, koji treba biti zasebno donesen odlukom Zajedničkog odbora.

               Cilj je zajedničkih operativnih postupaka osigurati da se IT usluge povezane s funkcioniranjem veze između registara ETS-a EU-a i ETS-a Švicarske pružaju djelotvorno i učinkovito, posebno za ispunjavanje zahtjeva za uslugu, rješavanje propusta u pružanju usluga, rješavanje problema te obavljanje rutinskih operativnih zadaća u skladu s međunarodnim standardima za upravljanje IT uslugama.

               Za dogovoreno privremeno rješenje bit će potrebni samo sljedeći zajednički operativni postupci, koji su dio ovog dokumenta:

               ·upravljanje incidentima,

               ·upravljanje problemima,

               ·ispunjavanje zahtjeva,

               ·upravljanje izmjenama,

               ·upravljanje izdanjima,

               ·upravljanje incidentima u području sigurnosti,

               ·upravljanje sigurnošću informacija.

               S obzirom na kasniju uspostavu trajne veze između registara, zajednički operativni postupci morat će se prema potrebi prilagoditi i dopuniti.

               2.2.Adresati

               Ovi zajednički operativni postupci namijenjeni su timovima za potporu registara EU-a i Švicarske.

               3.Pristup i standardi

               Sljedeće se načelo primjenjuje na sve zajedničke operativne postupke:

               ·EU i Švicarska suglasni su utvrditi zajedničke operativne postupke na temelju Popisa infrastrukture informacijskih tehnologija (ITIL, verzija 3.) Prakse iz tog standarda ponovno se upotrebljavaju i prilagođavaju posebnim potrebama povezanima s privremenim rješenjem.

               ·Komunikacija i koordinacija potrebne za obradu zajedničkih operativnih postupaka između dviju stranaka provode se putem službi za podršku u okviru registara Švicarske i EU-a. Zadaće se uvijek dodjeljuju unutar jedne stranke.

               ·Slučajeve neslaganja o postupanju u okviru određenog zajedničkog operativnog postupka analiziraju i rješavaju obje službe za podršku. Ako se ne može postići dogovor, zajedničko rješenje traži se na sljedećoj razini.

                        ·Razine upućivanja (eskalacije)

                        ·EU

                        ·CH

                        ·1. razina

                        ·EU-ova služba za podršku

                        ·Švicarska služba za podršku

                        ·2. razina

                        ·EU-ov upravitelj operacija

                        ·Švicarski upravitelj za primjenu registra

                        ·3. razina

                        Zajednički odbor (koji može delegirati tu odgovornost uzimajući u obzir članak 12. stavak 5. Sporazuma)

                        ·4. razina

                        Zajednički odbor, u slučaju delegiranja s 3. razine

               ·Svaka stranka može utvrditi postupke za rad svojeg sustava registra, uzimajući u obzir zahtjeve i sučelja povezane s navedenim zajedničkim operativnim postupcima.

               ·Alat za upravljanje IT uslugama (ITSM) upotrebljava se za potporu zajedničkim operativnim postupcima, posebno za upravljanje incidentima, upravljanje problemima i ispunjavanje zahtjeva te komunikaciju između stranaka.

               ·Osim toga, dopuštena je i razmjena informacija e-poštom.

               ·Obje stranke osiguravaju ispunjavanje zahtjeva u pogledu sigurnosti informacija u skladu s uputama o postupanju.

               4.Upravljanje incidentima

               Cilj je postupka za upravljanje incidentima vratiti IT usluge na uobičajenu razinu što je brže moguće i uz minimalan prekid poslovanja.

               U okviru upravljanja incidentima također bi trebalo voditi evidenciju incidenata za potrebe izvješćivanja te bi se taj postupak trebao integrirati s drugim procesima kako bi se potaknulo stalno poboljšanje.

               ·Upravljanje incidentima općenito obuhvaća sljedeće aktivnosti:

               ·otkrivanje i bilježenje incidenata,

               ·klasifikaciju i početnu potporu,

               ·istraživanje i dijagnosticiranje,

               ·rješenje i oporavak,

               ·zatvaranje incidenata.

               Tijekom životnog ciklusa incidenta na temelju postupka za upravljanje incidentima utvrđuje se odgovornost u svakom trenutku te način nadzora, praćenja i komunikacije.

               4.1.Otkrivanje i bilježenje incidenata

               Incident mogu otkriti skupina za podršku, automatizirani alati za praćenje ili tehničko osoblje koje provodi rutinski nadzor.

               Nakon što se incident otkrije, mora se zabilježiti i mora mu se dodijeliti jedinstvena identifikacijska oznaka kako bi se omogućilo pravilno praćenje i nadzor incidenta. Jedinstvena identifikacijska oznaka incidenta identifikacijska je oznaka koju je u zajedničkom sustavu za otvaranje zahtjeva dodijelila služba za podršku stranke koja je prijavila incident (EU ili CH) i mora se upotrebljavati u svakoj komunikaciji povezanoj s tim incidentom.

               Kontaktna točka za svaki incident trebala bi biti služba za podršku stranke koja je prijavila incident.

               4.2.Klasifikacija i početna potpora

               Cilj klasifikacije incidenta jest razumjeti i utvrditi na koji se sustav i/ili uslugu odnosi i u kojoj su mjeri pogođeni. Djelotvornom klasifikacijom incident bi se odmah trebao usmjeriti do odgovarajućeg resursa kako bi se što brže riješio.

               U fazi klasifikacije incident bi se trebao kategorizirati i trebalo bi mu odrediti prioritet u skladu s njegovim učinkom i hitnošću kako bi se riješio u odgovarajućem vremenskom okviru.

               Ako bi incident mogao utjecati na povjerljivost ili cjelovitost osjetljivih podataka i/ili na dostupnost sustava, incident se proglašava i sigurnosnim incidentom te se njime nadalje upravlja u skladu s postupkom definiranim u poglavlju „Upravljanje incidentima u području sigurnosti” ovog dokumenta.

               Ako je moguće, početnu dijagnozu obavlja služba za podršku koja je prijavila incident. Tijekom tog postupka ta će služba za podršku vidjeti radi li se o već poznatoj pogrešci. U tom će slučaju način rješavanja ili zaobilaženja incidenta već biti poznat i dokumentiran.

               Ako služba za podršku u toj fazi uspješno riješi incident, zatvorit će ga jer je glavna svrha upravljanja incidentima (brza ponovna uspostava usluge za krajnjeg korisnika) ispunjena. Ako ga ne riješi, proslijedit će ga odgovarajućoj skupini za rješavanje incidenata radi daljnjeg istraživanja i dijagnosticiranja.

               4.3.Istraživanje i dijagnosticiranje

               Istraživanje i dijagnosticiranje incidenata provode se kad služba za podršku ne može riješiti incident u okviru početne dijagnoze te ga stoga upućuje na odgovarajuću razinu. Upućivanje incidenata sastavni je dio postupka istraživanja i dijagnosticiranja.

               Uobičajena je praksa u fazi istraživanja i dijagnosticiranja pokušati ponoviti incident u kontroliranim uvjetima. Tijekom istraživanja i dijagnosticiranja važno je razumjeti točan redoslijed događaja koji su doveli do incidenta.

               Upućivanje je priznanje da se incident ne može riješiti na trenutačnoj razini potpore i da se mora proslijediti skupini za potporu na višoj razini ili drugoj stranci. Incident se može uputiti na dva načina: horizontalno (funkcionalno) ili vertikalno (hijerarhijski).

               Služba za podršku koja je zabilježila i aktivirala incident odgovorna je za upućivanje incidenta prema odgovarajućem resursu te za praćenje općeg statusa i dodjele incidenta.

               Stranka kojoj je incident dodijeljen odgovorna je za osiguravanje pravovremene provedbe traženih mjera i pružanje povratnih informacija svojoj službi za podršku.

               4.4.Rješenje i oporavak

               Rješavanje incidenata i oporavak provode se nakon postizanja potpunog razumijevanja incidenta. Pronalaženje rješenja incidenta znači da je utvrđen način da se taj problem ukloni. Čin rješavanja faza je oporavka.

               Nakon što odgovarajući resursi riješe propust u pružanju usluge, incident se vraća u relevantnu službu za podršku koja je prijavila incident te ta služba s pokretačem incidenta potvrđuje da je pogreška ispravljena i da se incident može zatvoriti. Rezultati obrade incidenta bilježe se za buduću uporabu.

               Oporavak može obaviti osoblje za informatičku podršku ili se krajnjem korisniku daju upute koje treba slijediti.

               4.5.Zatvaranje incidenta

               Zatvaranje je završni korak u postupku upravljanja incidentima i odvija se ubrzo nakon rješavanja incidenta.

               Među radnjama koje treba obaviti u fazi zatvaranja ističu se sljedeće:

               ·provjera početne kategorizacije incidenta,

               ·pravilno bilježenje svih informacija povezanih s incidentom,

               ·odgovarajuće dokumentiranje incidenta i ažuriranje baze znanja,

               ·odgovarajuća komunikacija sa svim dionicima na koje incident izravno ili neizravno utječe.

               Incident se službeno zatvara nakon što služba za podršku završi fazu zatvaranja incidenta i o tome obavijesti drugu stranku.

               Nakon što se incident zatvori, više se ne otvara. Ako se incident uskoro ponovi, prvotni se incident ne otvara nego se prijavljuje novi.

               Ako incident prate službe za podršku EU-a i Švicarske, konačno zatvaranje odgovornost je službe za podršku koja ga je prijavila.

               5.Upravljanje problemima

               Taj bi postupak trebalo slijediti kad god se utvrdi problem i stoga pokrene postupak za upravljanje problemima. Upravljanje problemima usmjereno je na poboljšanje kvalitete i smanjenje broja zabilježenih incidenata. Problem može biti uzrok jednog ili više incidenata. Kad se prijavi incident, cilj je upravljanja incidentima što brže ponovno uspostaviti uslugu, među ostalim zaobilaženjem problema. Kad se pojavi problem, cilj je pronaći njegov uzrok kako bi se utvrdilo što je potrebno promijeniti kako bi se osiguralo da više ne dođe do takvog problema i povezanih incidenata.

               5.1.Identifikacija i bilježenje problema

               Ovisno o tome koja je stranka prijavila problem, kontaktna točka za pitanja povezana s tim problemom bit će služba za podršku EU-a ili Švicarske.

               Jedinstvena identifikacijska oznaka problema identifikacijska je oznaka koju dodjeljuje služba za upravljanje IT uslugama (ITSM) i mora se upotrebljavati u svakoj komunikaciji povezanoj s tim problemom.

               Problem može biti uzrokovan incidentom ili može u bilo kojoj fazi biti pokrenut na vlastitu inicijativu kako bi se otklonile poteškoće otkrivene u sustavu.

               5.2.Određivanje prioriteta problema

               Kako bi se olakšalo njihovo praćenje, problemi se mogu kategorizirati prema ozbiljnosti i prioritetu na isti način kao i incidenti, uzimajući u obzir učinak povezanih incidenata i njihovu učestalost.

               5.3.Istraživanje i dijagnosticiranje problema

               Svaka stranka može prijaviti problem. Služba za podršku stranke koja je prijavila problem bit će odgovorna za evidentiranje problema, dodjeljivanje problema odgovarajućem resursu i praćenje općeg statusa.

               Skupina za rješavanje problema kojoj je određeni problem upućen odgovorna je za njegovo pravovremeno rješavanje i komunikaciju sa službom za podršku.

               Obje su stranke odgovorne za izvršavanje dodijeljenih radnji i pružanje povratnih informacija svojoj službi za podršku na zahtjev.

               5.4.Rješavanje problema

               Skupina za rješavanje problema kojoj je problem dodijeljen odgovorna je za njegovo rješavanje i pružanje relevantnih informacija službi za podršku svoje stranke.

               Rezultati obrade problema bilježe se za buduću uporabu.

               5.5.Zatvaranje problema

               Problem se službeno zatvara nakon što se riješi unošenjem potrebnih promjena. Fazu zatvaranja problema provodi služba za podršku koja je evidentirala problem i obavijestila službu za podršku druge stranke.

               6.Ispunjavanje zahtjeva

               Postupak ispunjavanja zahtjeva je sveobuhvatno upravljanje zahtjevom za novu ili postojeću uslugu od trenutka registracije zahtjeva, preko njegova odobrenja do zatvaranja. Zahtjevi za usluge obično su mali, unaprijed definirani, ponovljivi, česti, prethodno odobreni i postupovni zahtjevi.

               Glavni koraci koje treba slijediti navedeni su u nastavku.

               6.1.Aktivacija zahtjeva

               Informacije povezane sa zahtjevom za uslugu dostavljaju se službi za podršku EU-a ili Švicarske e-poštom, telefonski, putem alata za upravljanje IT uslugama (ITSM) ili nekim drugim dogovorenim komunikacijskim kanalom.

               6.2.Evidentiranje i analiza zahtjeva

               Kontaktna točka za sve zahtjeve za usluge trebala bi biti služba za podršku EU-a ili Švicarske, ovisno o tome koja je stranka uputila zahtjev za uslugu. Služba za podršku bit će odgovorna za evidentiranje i analizu zahtjeva za uslugu s dužnom pažnjom.

               6.3.Zahtjev za odobrenje

               Zaposlenik službe za podršku stranke koja je uputila zahtjev za uslugu provjerava treba li druga stranka dati kakva odobrenja te, ako je to slučaj, počinje ishoditi ta odobrenja. Ako zahtjev za uslugu nije odobren, služba za podršku ažurira i zatvara taj zahtjev.

               6.4.Ispunjavanje zahtjeva

               Tim se korakom omogućuje djelotvorno i učinkovito postupanje sa zahtjevima za usluge. Potrebno je razlikovati sljedeće slučajeve:

               ·ispunjavanje zahtjeva za uslugu odnosi se samo na jednu stranku: u tom slučaju ta stranka izdaje radne naloge i koordinira izvršenje,

               ·u ispunjavanje zahtjeva za uslugu uključene su obje stranke (i EU i Švicarska): u tom slučaju službe za podršku izdaju radne naloge u područjima za koja su nadležne. Provedba zahtjeva za uslugu koordinira se između obiju službi za podršku. Sveukupnu odgovornost snosi služba za podršku koja je primila i aktivirala zahtjev za uslugu.

               Nakon što je zahtjev za uslugu riješen, mora mu se dodijeliti status „Riješeno”.

               6.5.Upućivanje zahtjeva na višu razinu (eskalacija)

               Služba za podršku može neriješeni zahtjev za uslugu prema potrebi uputiti odgovarajućem resursu (treća strana).

               Zahtjevi se upućuju odgovarajućoj trećoj strani, tj. služba za podršku EU-a morat će se za upućivanje trećoj strani u Švicarskoj konzultirati sa službom za podršku Švicarske, i obrnuto.

               Treća strana kojoj je upućen zahtjev za uslugu odgovorna je za pravovremenu obradu tog zahtjeva i komunikaciju sa službom za podršku koja ga je uputila.

               Služba za podršku koja je evidentirala zahtjev za uslugu odgovorna je za njegovu dodjelu i praćenje njegova općeg statusa.

               6.6.Preispitivanje ispunjavanja zahtjeva

               Prije zatvaranja zahtjeva za uslugu nadležna služba za podršku podnosi njegovu evidenciju na završnu kontrolu kvalitete. Cilj je osigurati da se zahtjev za uslugu u potpunosti obradi i da sve informacije potrebne za opis životnog ciklusa zahtjeva budu dovoljno detaljne. Osim toga, potrebno je zabilježiti i rezultate obrade zahtjeva za buduću uporabu.

               6.7.Zatvaranje zahtjeva

               Ako su stranke suglasne da je zahtjev za uslugu ispunjen i podnositelj zahtjeva smatra da je predmet riješen, zahtjev dobiva status „Zatvoreno”.

               Zahtjev za uslugu službeno se zatvara nakon što služba za podršku koja je zahtjev evidentirala završi fazu zatvaranja i o tome obavijesti službu za podršku druge stranke.

               7.Upravljanje izmjenama

               Cilj je osigurati primjenu standardiziranih metoda i postupaka za učinkovitu i brzu provedbu svih promjena u kontroli IT infrastrukture kako bi se smanjio broj i učinak svih povezanih incidenata na uslugu. Promjene u IT infrastrukturi mogu se pojaviti reaktivno – kao odgovor na probleme ili vanjske zahtjeve, npr. zakonodavne promjene, ili proaktivno – kao rezultat rada na poboljšanju učinkovitosti i djelotvornosti ili radi omogućavanja ili provedbe poslovnih inicijativa.

               Postupak upravljanja promjenama uključuje različite korake, koji obuhvaćaju sve pojedinosti o zahtjevu za promjenu radi budućeg praćenja. Tim se postupcima osigurava da se promjena prije uvođenja potvrdi i testira. Postupak upravljanja izdanjima primjenjuje se za uspješno uvođenje.

               7.1.Zahtjev za promjenu

               Zahtjev za promjenu podnosi se timu za upravljanje promjenama na potvrdu i odobrenje. Kontaktna točka za sve zahtjeve za promjenu trebala bi biti služba za podršku EU-a ili Švicarske, ovisno o tome koja je stranka podnijela zahtjev. Služba za podršku bit će odgovorna za evidentiranje i analizu zahtjeva s dužnom pažnjom.

               Izvori zahtjeva za promjenu mogu biti sljedeći:

               ·incident koji uzrokuje promjenu,

               ·postojeći problem koji dovodi do promjene,

               ·krajnji korisnik koji traži novu promjenu,

               ·promjena koja je posljedica tekućeg održavanja,

               ·zakonodavne promjene.

               7.2.Evaluacija i planiranje promjene

               Ta faza uključuje aktivnosti procjene i planiranja promjene. Ona obuhvaća utvrđivanje prioriteta i aktivnosti planiranja kako bi se minimizirali rizik i posljedice.

               Ako izvršavanje zahtjeva za promjenu utječe i na EU i na Švicarsku, stranka koja je evidentirala taj zahtjev s drugom strankom provjerava evaluaciju i planiranje promjene.

               7.3.Odobrenje promjene

               Svaki registrirani zahtjev za promjenu mora biti odobren na odgovarajućoj razini.

               7.4.Provedba promjene

               Promjene se provode u okviru postupka upravljanja izdanjima. Timovi za upravljanje izdanjima obiju stranaka slijede vlastite procese koji uključuju planiranje i ispitivanje. Promjene se preispituju nakon dovršetka provedbe. Kako bi se osiguralo da je sve izvršeno u skladu s planom, postojeći postupak upravljanja promjenama stalno se preispituje i ažurira kad god je to potrebno.

               8.Upravljanje izdanjima

               Izdanje predstavlja jednu ili više promjena IT usluge, objedinjenih u planu izdanja, koje će trebati zajedno odobriti, pripremiti, izraditi, testirati i uvesti. Jedno izdanje može biti popravak buga, promjena hardvera ili drugih komponenti, promjena softvera, nadogradnja ili verzija aplikacije te promjena dokumentacije i/ili postupaka. Sadržajem svakog izdanja upravlja se, testira ga se i uvodi kao jedinstvenu cjelinu.

               Cilj je upravljanja izdanjima planirati, izraditi, testirati, potvrditi i omogućiti pružanje osmišljenih usluga kojima će se ispuniti zahtjevi dionika i postići željeni ciljevi. Kriteriji prihvatljivosti za sve promjene usluge definiraju se i dokumentiraju tijekom koordinacije projektiranja te se dostavljaju timovima za upravljanje izdanjima.

               Izdanje se obično sastoji od niza rješenja za probleme i poboljšanja određene usluge. Sadržava i novi ili izmijenjeni potrebni softver te novi ili izmijenjeni hardver potreban za provedbu odobrenih izmjena.

               8.1.Planiranje izdanja

               U prvom koraku postupka odobrene se promjene raspoređuju u pakete izdanja te se utvrđuju opseg i sadržaj izdanja. Na temelju tih informacija, u potpostupku planiranja izdanja utvrđuje se vremenski raspored za izradu, testiranje i uvođenje izdanja.

               Planiranjem bi trebalo utvrditi:

               ·opseg i sadržaj izdanja,

               ·procjenu rizika i profil rizika za predmetno izdanje,

               ·klijente/korisnike na koje utječe predmetno izdanje,

               ·tim odgovoran za predmetno izdanje,

               ·strategiju isporuke i uvođenja,

               ·resurse za isporuku i uvođenje.

               Svaka stranka obavješćuje drugu stranku o svojim planovima za nova izdanja i razdobljima održavanja. Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju planiranje i utvrđuju zajedničko razdoblje održavanja.

               8.2.Izrada i testiranje paketa izdanja

               U fazi izrade i testiranja u postupku upravljanja izdanjima utvrđuje se pristup provedbi izdanja ili paketa izdanja te održavanju kontroliranih okruženja prije promjene proizvodnje, kao i testiranju svih promjena u svim okruženjima novog izdanja.

               Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju planove isporuke i testiranja. To uključuje sljedeće aspekte:

               ·način i vrijeme isporuke dijelova izdanja i komponenti usluge,

               ·uobičajene rokove isporuke, što se događa u slučaju kašnjenja,

               ·način praćenja napretka isporuke i dobivanja potvrde,

               ·parametre za praćenje i utvrđivanje uspjeha uvođenja novog izdanja,

               ·uobičajene testne slučajeve za relevantne funkcije i promjene.

               Na kraju tog potpostupka sve potrebne komponente za novo izdanje spremne su za fazu uvođenja u praksi.

               8.3.Priprema uvođenja

               Potpostupkom pripreme osigurava se da komunikacijski planovi budu ispravno utvrđeni i da obavijesti budu spremne za slanje svim dionicima i krajnjim korisnicima za koje su bitne te da izdanje bude integrirano u postupak upravljanja promjenama kako bi se osiguralo da se sve promjene provode na kontroliran način i da ih odobravaju odgovarajući forumi.

               Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju sljedeće aktivnosti:

               ·evidentiranje zahtjeva za promjenu za potrebe utvrđivanja rasporeda i pripreme uvođenja u proizvodno okruženje,

               ·izradu plana provedbe,

               ·pristup uklanjanju novog izdanja kako bi se u slučaju neuspjelog uvođenja moglo ponovno uvesti prethodno stanje,

               ·slanje obavijesti svim potrebnim strankama,

               ·traženje odobrenja za provedbu izdanja od relevantne razine.

               8.4.Uklanjanje novog izdanja

               Ako uvođenje ne uspije ili ako se testiranjem utvrdi da je uvođenje bilo neuspješno ili da nije ispunilo dogovorene kriterije prihvatljivosti/kvalitete, timovi za upravljanje izdanjima obiju stranaka morat će vratiti sustav u prethodno stanje. Trebat će obavijestiti sve potrebne dionike, uključujući krajnje korisnike na koje je novo izdanje utjecalo ili bilo usmjereno. Dok se čeka odobrenje, postupak može biti ponovno započet u bilo kojoj od prethodnih faza.

               8.5.Preispitivanje i zaključenje izdanja

               U preispitivanje novog izdanja trebalo bi uključiti sljedeće radnje:

               ·prikupljanje povratnih informacija o tome koliko su klijenti, korisnici i služba zadovoljni isporukom i uvođenjem (prikupljanje povratnih informacija i njihovo razmatranje u svrhu trajnog poboljšanja usluge),

               ·preispitivanje svih kriterija kvalitete koji nisu ispunjeni,

               ·provjeravanje jesu li izvršene sve radnje, potrebni popravci i promjene,

               ·osiguravanje da nakon završetka uvođenja nema nikakvih problema u pogledu sposobnosti, resursa, kapaciteta ili rada,

               ·provjeravanje da su klijenti, krajnji korisnici, operativna podrška i druge stranke na koje utječe novo izdanje registrirali i prihvatili eventualne probleme, utvrđene pogreške i metode zaobilaženja problema,

               ·praćenje incidenata i problema uzrokovanih uvođenjem novog izdanja (operativnim timovima pružiti ranu potporu ako je izdanje prouzročilo povećanje opsega rada),

               ·ažuriranje popratne dokumentacije (tj. dokumenata s tehničkim informacijama),

               ·službeno prepuštanje uvođenja novog izdanja timu za provedbu usluga,

               ·dokumentiranje stečenih iskustava,

               ·dobivanje dokumenta sa sažetkom izdanja od provedbenih timova,

               ·službeno zaključenje izdanja nakon provjere evidencije zahtjeva za promjenu.

               9.Upravljanje incidentima u području sigurnosti

               Upravljanje incidentima u području sigurnosti postupak je za rješavanje incidenata u području sigurnosti kako bi se omogućila komunikacija o incidentima s dionicima na koje bi oni mogli utjecati, evaluacija incidenata i određivanje prioriteta te odgovor na incidente radi saniranja svake povrede povjerljivosti, dostupnosti ili cjelovitosti osjetljive informacijske imovine do koje je stvarno došlo, na koju se sumnja ili do koje bi moglo doći.

               9.1.Kategorizacija incidenata u području sigurnosti informacija

               Svi incidenti koji utječu na vezu između registra Unije i švicarskog registra analiziraju se kako bi se utvrdila moguća povreda povjerljivosti, cjelovitosti ili dostupnosti svih osjetljivih informacija zabilježenih na popisu osjetljivih informacija (SIL).

               U tom se slučaju incident smatra incidentom u području sigurnosti informacija i odmah se kao takav registrira u alatu za upravljanje IT uslugama (ITSM) te se njime upravlja na odgovarajući način.

               9.2.Upravljanje incidentima u području sigurnosti informacija

               Za incidente u području sigurnosti odgovorna je 3. razina eskalacije, a rješavat će ih poseban tim za upravljanje incidentima (IMT).

               IMT je odgovoran za:

               ·provođenje prve analize, kategorizaciju i ocjenu težine incidenta,

               ·koordiniranje mjera među svim dionicima, uključujući potpunu dokumentaciju o analizi incidenta, odlukama donesenima za rješavanje incidenta i eventualnim utvrđenim nedostacima,

               ·ovisno o težini incidenta u području sigurnosti, pravovremeno upućivanje na odgovarajuću razinu radi informiranja i/ili donošenja odluke.

               U postupku upravljanja sigurnošću informacija svim informacijama koje se odnose na incidente dodijeljen je najviši stupanj osjetljivosti, koji u svakom slučaju ne smije biti niži od „ETS OSJETLJIVO”.

               Za istraživanje koje je u tijeku i/ili nedostatak koji bi se mogao zloupotrijebiti, sve do njegova otklanjanja, informacije se klasificiraju kao „ETS KRITIČNO”.

               9.3.Identifikacija incidenata u području sigurnosti

               Na temelju vrste događaja u području sigurnosti službenik za sigurnost informacija utvrđuje odgovarajuće organizacije koje će sudjelovati i biti dio IMT-a.

               9.4.Analiza incidenata u području sigurnosti

               IMT se radi preispitivanja incidenta povezuje sa svim uključenim organizacijama i relevantnim članovima njihovih timova, prema potrebi. Tijekom analize utvrđuje se opseg gubitka povjerljivosti, cjelovitosti ili dostupnosti imovine te se procjenjuju posljedice za sve pogođene organizacije. Zatim se definiraju početne i naknadne mjere za rješavanje incidenta i upravljanje njegovim učinkom, uključujući učinak tih mjera na resurse.

               9.5.Procjena težine, upućivanje na više razine i izvješćivanje o incidentima u području sigurnosti

               Nakon karakterizacije svakog novog incidenta u području sigurnosti IMT procjenjuje njegovu težinu i u skladu s tim započinje s hitnim potrebnim mjerama.

               9.6.Izvješćivanje o sigurnosnom odgovoru

               U izvješće o odgovoru na incident u području sigurnosti informacija IMT uključuje rezultate postupka zaustavljanja i oporavka od incidenta. To se izvješće dostavlja na 3. razinu eskalacije putem sigurne elektroničke pošte ili drugih obostrano prihvaćenih sredstava sigurne komunikacije.

               Odgovorna stranka preispituje rezultate postupka zaustavljanja i oporavka te:

               ·ponovno povezuje registar ako je veza prethodno bila prekinuta,

               ·timovima u okviru registara dostavlja komunikaciju o incidentu,

               ·zaključuje incident.

               IMT bi u izvješće o odgovoru na incident u području sigurnosti informacija trebao na siguran način uključiti relevantne pojedinosti kako bi se osiguralo dosljedno evidentiranje i komunikacija te kako bi se omogućilo brzo i primjereno djelovanje za zaustavljanje incidenta. Nakon dovršetka izvješća o odgovoru na incident u području sigurnosti informacija, IMT ga pravovremeno dostavlja.

               9.7.Praćenje, izgradnja kapaciteta i stalno poboljšanje

               Izvješća o svim incidentima u području sigurnosti IMT dostavlja 3. razini eskalacije, koja će ta izvješća upotrijebiti za utvrđivanje:

               ·slabih točaka u sigurnosnim kontrolama i/ili operacijama koje je potrebno ojačati,

               ·eventualne potrebe za poboljšanjem navedenog postupka kako bi se omogućio djelotvorniji odgovor na incidente,

               ·prilika za osposobljavanje i izgradnju kapaciteta kako bi se povećala otpornost sustava registara u pogledu sigurnosti informacija, smanjio rizik od budućih incidenata i minimizirao njihov učinak.

               10.Upravljanje sigurnošću informacija

               Cilj je upravljanja sigurnošću informacija osigurati povjerljivost, cjelovitost i dostupnost klasificiranih informacija, podataka i IT usluga organizacije. Kako bi se ispunili sigurnosni zahtjevi za privremeno rješenje, osim tehničkih komponenti, uključujući konstrukciju i testiranje (vidjeti LTS), potrebni su zajednički operativni postupci navedeni u nastavku.

               10.1.Identifikacija osjetljivih informacija

               Osjetljivost određene informacije procjenjuje se utvrđivanjem razine učinka koji bi povreda sigurnosti povezana s tom informacijom mogla imati na poduzeće (npr. financijski gubici, pad ugleda, kršenje zakona...).

               Imovina osjetljivih informacija utvrđuje se na temelju njihova utjecaja na povezivanje.

               Stupanj osjetljivosti tih informacija procjenjuje se u skladu s ljestvicom osjetljivosti koja se primjenjuje na to povezivanje i detaljno se opisuje u odjeljku „Upravljanje incidentima u području sigurnosti informacija” ovog dokumenta.

               10.2.Stupnjevi osjetljivosti informacijske imovine

               Informacijska se imovina nakon identifikacije klasificira na temelju sljedećih pravila:

               ·ako se identificira najmanje jedan VISOKI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS KRITIČNO”,

               ·ako se identificira najmanje jedan SREDNJI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS OSJETLJIVO”,

               ·ako se identificira najmanje jedan NISKI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS OGRANIČENO”.

               10.3.Određivanje vlasnika informacijske imovine

               Za svaku informacijsku imovinu trebao bi biti određen vlasnik. Informacijska imovina ETS-a koja pripada vezi između EUTL-a i SSTL-a ili je s njom povezana trebala bi biti uključena u zajednički popis imovine, koji vode obje stranke. Informacijska imovina ETS-a izvan veze između EUTL-a i SSTL-a trebala bi biti uključena u popis imovine koji vodi predmetna stranka.

               Stranke se dogovaraju o vlasništvu nad svakom informacijskom imovinom koja pripada vezi između EUTL-a i SSTL-a ili je s njom povezana. Vlasnik informacijske imovine odgovoran je za procjenu njezine osjetljivosti.

               Vlasnik bi trebao imati odgovarajuću razinu funkcije u odnosu na vrijednost dodijeljene imovine. Trebalo bi dogovoriti i formalizirati vlasnikovu odgovornost za imovinu i obvezu održavanja potrebnog stupnja povjerljivosti, cjelovitosti i dostupnosti.

               10.4.Registracija osjetljivih informacija

               Sve osjetljive informacije upisuju se na popis osjetljivih informacija (SIL).

               Skup osjetljivih informacija koji bi mogao imati veće posljedice nego jedna informacija sama uzima se u obzir i bilježi u SIL-u (npr. skup informacija pohranjenih u bazi podataka sustava).

               SIL nije statičan. Prijetnje, slabosti, vjerojatnost ili posljedice incidenata u području sigurnosti imovine mogu se promijeniti bez ikakve obavijesti, a u rad sustava registara može se uvesti nova imovina.

               Stoga se SIL redovito preispituje, a svi novi podaci koji se identificiraju kao osjetljivi odmah se u njega upisuju.

               U SIL-u se za svaki unos navode barem sljedeći podaci:

               ·opis informacije,

               ·vlasnik informacije,

               ·stupanj osjetljivosti,

               ·naznaka o tome sadržava li informacija osobne podatke,

               ·dodatne informacije po potrebi.

               10.5.Postupanje s osjetljivim informacijama

               Ako se obrađuju izvan veze između registra Unije i švicarskog registra, s osjetljivim informacijama postupa se u skladu s uputama o postupanju.

               Osjetljive informacije koje se obrađuju u vezi između registra Unije i švicarskog registra stranke obrađuju u skladu sa sigurnosnim zahtjevima.

               10.6.Upravljanje pristupom

               Cilj je upravljanja pristupom ovlaštenim korisnicima dodijeliti pravo korištenja usluge, a neovlaštenim korisnicima onemogućiti pristup. Upravljanje pristupom ponekad se naziva i „upravljanje pravima” ili „upravljanje identitetom”.

               Za privremeno rješenje i njegovo funkcioniranje obje stranke trebaju imati pristup sljedećim komponentama:

               ·Wikiju – suradničkom okruženju za razmjenu zajedničkih informacija, primjerice o planiranju izdanja,

               ·alatu za upravljanje IT uslugama (ITSM) za upravljanje incidentima i problemima (vidjeti poglavlje „Pristup i standardi”),

               ·sustavu za razmjenu poruka: svaka stranka osigurava siguran sustav za razmjenu poruka koje sadržavaju podatke o transakcijama.

               Administrator švicarskog registra i središnji administrator Unije osiguravaju ažurnost prava pristupa i svojim strankama djeluju kao kontaktne točke za upravljanje pristupom. Zahtjevi za pristup obrađuju se u skladu s postupcima za ispunjavanje zahtjeva.

               10.7.Upravljanje certifikatima/ključevima

               Svaka je stranka odgovorna za upravljanje svojim certifikatima/ključevima (generiranje, registracija, pohrana, instalacija, uporaba, obnavljanje, ukidanje, sigurnosna kopija i povrat certifikata/ključeva). Kako je navedeno u tehničkim standardima za povezivanje (LTS), upotrebljavaju se samo digitalni certifikati koje je izdalo certifikacijsko tijelo koje ima povjerenje obiju stranaka. Postupanje s certifikatima/ključevima i njihova pohrana moraju biti u skladu s odredbama iz uputa o postupanju.

               Obje stranke koordiniraju svako ukidanje i/ili obnavljanje certifikata i ključeva. To se odvija u skladu s postupcima za ispunjavanje zahtjeva.

               Administrator švicarskog registra i središnji administrator Unije razmjenjivat će certifikate/ključeve sigurnim sredstvima komunikacije u skladu s odredbama utvrđenima u uputama o postupanju

               Svaka provjera certifikata/ključeva na bilo koji način između stranaka provodit će se drugim putem (out of band).

                     (1)

                        SL L 322, 7.12.2017., str. 3.