4. člen

(1)Operater mora glede varnostnega incidenta v obvestilu navesti vse podatke, s katerimi razpolaga in se nanašajo na konkretni varnostni incident, in sicer:

1.naziv operaterja,

2.identifikacijsko oznako, pod katero operater sam vodi varnostni incident,

3.kontaktne podatke odgovorne osebe na strani operaterja v zvezi z varnostnim incidentom,

4.datum in čas nastanka varnostnega incidenta,

5.celotno trajanje od nastanka oziroma prepoznave varnostnega incidenta do obnove normalnega delovanja,

6.kateri ključni elementi varnosti so bili kršeni oziroma ogroženi v skladu s prvim odstavkom tretjega člena tega splošnega akta,

7.oceno števila prizadetih oziroma potencialno prizadetih uporabnikov po posameznih storitvah iz 10. točke tega odstavka,

8.skupno ocenjeno število vseh prizadetih uporabnikov,

9.skupno ocenjeno število vseh prizadetih uporabnikov zaradi razlogov, navedenih v 2. točki tega odstavka,

10.opredelitev storitev, na katere je varnostni incident negativno vplival: a)    zagotavljanje medosebne komunikacijske storitve na podlagi številke, b)    zagotavljanje medosebne komunikacijske storitve, neodvisne od številke (OTT storitve), c)    zagotavljanje storitev dostopa do interneta, č)    zagotavljanje storitev komunikacij stroj – stroj (M2M/IoT), d)    zagotavljanje storitev komunikacij v sili, e)    zagotavljanje ali uporaba storitev medomrežne povezave (npr. z drugimi operaterji, lastne ali najete povezave med vozlišči, tranzit), f)     zagotavljanje storitev domenskih imen (avtoritativni ali rekurzivni DNS strežniki),

11.oceno geografske razširjenosti območja, ki ga je prizadel varnostni incident (vsaj na nivoju prizadete statistične regije, po možnosti s pripadajočimi kraji in ulicami, kjer je to primerno),

12.opredelitev primarnega vzroka varnostnega incidenta: naravna nesreča, človeška napaka na strani operaterja, zlonamerne aktivnosti, sistemska okvara ali napaka osebe izven neposrednega nadzora operaterja,

13.vrsto omrežja (fiksno, mobilno) in sredstva oziroma podatke, na katere je dogodek negativno vplival,

14.vpliv varnostnega incidenta na: a)    storitve komunikacij v sili, b)    upravljalce kritične infrastrukture, ki so določeni v skladu s predpisi, ki urejajo kritično infrastrukturo, če mu je to poznano, c)    ključne dele sistema varnosti države, č)   IBS ali ODU, kot so določeni v skladu z zakonom, ki ureja informacijsko varnost, če so mu poznani, d)    zagotavljanje storitev drugim operaterjem, e)    na zagotavljanje storitev v drugih državah Evropske unije,

15.opis in analizo varnostnega incidenta, vključno z navedbo dejavnikov oziroma zaznanih aktivnosti, ki bi lahko ali so privedle do zlorabe javnih komunikacijskih omrežij oziroma javnih komunikacijskih storitev operaterja (angl. »IoC-Indicators of Compromise«) in druge tehnične podrobnosti o dogodku, če obstajajo,

16.izvedene ukrepe po varnostnem incidentu z namenom vzpostavitve normalnega stanja ter predlog ukrepov, da se dogodek ne ponovi,

17.pomembnost varnostnega incidenta v skladu z lastno klasifikacijo operaterja,

18.navedbo, ali so bili zaradi posebne in resne grožnje varnostnega incidenta obveščeni uporabniki in na kakšen način,

19.navedbo, ali, kdaj in na kakšen način so bili o varnostnem incidentu obveščeni drugi prizadeti operaterji,

20.navedbo, ali je bila zaradi varnostnega incidenta obveščena splošna javnost (navedba spletnega mesta ali drugi način obveščanja),

21.navedbo, ali operater potrebuje oziroma je potreboval pomoč nacionalnega CSIRT,

22.dolgoročne pomembne ugotovitve v zvezi z varnostnim incidentom.

(2)Kjer je to zahtevano v skladu s tem splošnim aktom, operater obvesti agencijo in nacionalni CSIRT o oceni števila prizadetih oziroma potencialno prizadetih uporabnikov posamezne storitve ob upoštevanju razpoložljivih podatkov. Če to ni izvedljivo ali če bi bilo povezano z dolgotrajnimi postopki ali večjimi stroški, število prizadetih operater obvešča na podlagi ocene iz lastnih historičnih (statističnih) podatkov (npr. povprečno število uporabnikov, ki je uporabljalo izpadlo storitev v času dogodka v zadnjih treh mesecih).