Uredba o usposabljanju odgovornih oseb na področju obvladovanja tveganj informacijske in kibernetske varnosti

Ta uredba določa program in način usposabljanja odgovornih oseb bistvenih ali pomembnih subjektov iz prvega odstavka 20. člena Zakona o informacijski varnosti (Uradni list RS, št. 40/25; v nadaljnjem besedilu: ZInfV-1) na področju obvladovanja tveganj informacijske in kibernetske varnosti ter njihovega vpliva na dejavnosti oziroma storitve, ki jih izvaja subjekt, z namenom zagotavljanja visoke ravni varnosti omrežij in informacijskih sistemov ter zaščite pred kibernetskimi grožnjami.

Cilji usposabljanja so: 1. povečanje ozaveščenosti o tveganjih na področju informacijske in kibernetske varnosti; 2. pridobitev temeljnega znanja o ključnih grožnjah in ranljivostih, ki vplivajo na omrežja, informacijske sisteme in podatke; 3. izboljšanje znanja in veščin za prepoznavanje, ocenjevanje in obvladovanje varnostnih tveganj na področju informacijske in kibernetske varnosti; 4. pridobitev temeljnega znanja o načrtovanju in izvajanju neprekinjenega poslovanja; 5. seznanitev z obveznostmi glede varnosti dobavnih verig; 6. seznanitev s postopki za izvajanje dolžnega nadzorstva nad izvajanjem varnostnih ukrepov in postopkov za obvladovanje tveganj informacijske in kibernetske varnosti za zagotavljanje skladnosti z zakonodajo in predpisi na področju informacijske varnosti.

(1)Program usposabljanja obsega naslednje vsebine: 1. uvod v informacijsko in kibernetsko varnost, pravna ureditev ter mednarodni standardi na področju informacijske in kibernetske varnosti; 2. upravljanje sredstev in upravljanje tveganj; 3. ocena vplivov na poslovanje in neprekinjeno poslovanje; 4. odzivanje na incidente informacijske varnosti; 5. varnost dobavnih verig; 6. izvajanje dolžnega nadzorstva in pogoste ugotovitve neskladja s predpisi iz inšpekcijskih nadzorov.

(2)Usposabljanje se izvede po Programu usposabljanja iz Priloge 1, ki je kot priloga sestavni del te uredbe.

(1)Usposabljanje izvajajo uslužbenci pristojnega nacionalnega organa za informacijsko varnost (v nadaljnjem besedilu: izvajalec usposabljanja), ki imajo ustrezne strokovne kompetence in jih s sklepom imenuje predstojnik izvajalca usposabljanja.

(2)Za izvedbo posameznih vsebin usposabljanja lahko sodelujejo tudi uslužbenci skupin za odzivanje na incidente na področju računalniške varnosti (skupine CSIRT).

(1)Usposabljanje, ki je za udeležence brezplačno, traja najmanj osem pedagoških ur in se izvaja v obliki predavanja oziroma delavnice. Del usposabljanja se lahko izvede tudi na daljavo.

(2)Izvajalec usposabljanja vsako koledarsko leto razpiše termine usposabljanj ter navede tudi način izvedbe prijave na usposabljanje.

(3)Prijave na ponovno usposabljanje je mogoče oddati šest mesecev pred potekom veljavnosti izdanega potrdila o usposobljenosti.

(4)Pogoj za uspešno opravljeno usposabljanje in pridobitev potrdila o usposobljenosti je prisotnost na celotnem predpisanem usposabljanju.

(1)Potrdilo o usposobljenosti izda izvajalec usposabljanja praviloma v tridesetih delovnih dneh po končanem usposabljanju. Potrdilo se izda v elektronski obliki.

(2)Potrdilo iz prejšnjega odstavka velja štiri leta. Po štirih letih je treba znova opraviti usposabljanje.

(1)Izvajalec usposabljanja vodi elektronsko evidenco izdanih potrdil o usposobljenosti, ki vsebuje podatke o udeležencih, datum usposabljanja ter številko in veljavnost potrdila.

(2)V evidenci izdanih potrdil o usposobljenosti se vodijo naslednji podatki: – ime in priimek udeleženca usposabljanja, – enotna matična številka občana za državljane Republike Slovenije ali datum rojstva za tuje državljane, – datum uspešno opravljenega usposabljanja in – evidenčna številka izdanega potrdila.

(3)Upravljavec evidence izdanih potrdil o usposobljenosti mora zagotoviti nepovratno brisanje pretečenih potrdil in pripadajočih podatkov iz evidence v letu, ki sledi letu, v katerem je potekla veljavnost potrdil.

(4)Za pripravo letnih poročil o delovanju izvajalca usposabljanja se podatki, ki izhajajo iz evidence potrdil o usposobljenosti, lahko obdelujejo samo v anonimizirani obliki.

Ta uredba začne veljati petnajsti dan po objavi v Uradnem listu Republike Slovenije. Št. 00704-291/2025 Ljubljana, dne 9. oktobra 2025 EVA 2025-1544-0002 Vlada Republike Slovenije Priloga: Program usposabljanja