84/2007. (IV. 25.) Korm. rendelet

a Központi Elektronikus Szolgáltató Rendszer és a kapcsolódó rendszerek biztonsági követelményeiről

A Kormány az Alkotmány 35. § (2) bekezdésében megállapított eredeti jogalkotói hatáskörben, az Alkotmány 35. § (1) bekezdés a) és i) pontjaiban foglalt feladatkörében eljárva, valamint a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló 2004. évi CXL. törvény 174. § (1) bekezdés e) pontjában foglalt felhatalmazás alapján a következőket rendeli el:
1. § E rendelet alkalmazásában a Központi Elektronikus Szolgáltató Rendszer (a továbbiakban: Központi Rendszer) olyan elektronikus rendszer, amely együttesen magában foglalja az elektronikus kormányzati gerinchálózatot, a kormányzati portált, az ügyfélkaput, a kormányzati ügyfél-tájékoztató központot, valamint az ezeken megjelenő, ezeken keresztül elérhető elektronikus szolgáltatásokat.
A Központi Rendszer működtetője a Miniszterelnöki Hivatal.
2. § (1) A Központi Rendszer üzembiztonsága és a kezelt adatok biztonsága érdekében a Központi Rendszer és a kapcsolódó rendszerek egységes informatikai biztonsági követelményrendszerét az 1. melléklet, a Központi Rendszer Informatikai Katasztrófa-elhárítási Tervének alapelveit a 2. melléklet határozza meg.
(2) A biztonsági követelményrendszert a következő dokumentumtípusokban kell érvényesíteni:
a) biztonsági irányelv, mely meghatározza az informatikai infrastruktúra teljes életciklusára (tervezésnél, beszerzésénél, fejlesztésénél, üzemeltetésénél és selejtezésénél) alkalmazandó általános biztonsági elvárásokat;
b) biztonsági szabályzat, mely leírja a biztonsági intézkedéseket, azok dokumentálásának és ellenőrzésének feladatait, a végrehajtás felelősét és végrehajtás gyakoriságát vagy idejét;
c) végrehajtási eljárásrendek, melyek részletesen leírják a szabályzatban meghatározott feladatok végrehajtásának, ellenőrzésének módját, folyamatát.
(3) A (2) bekezdés szerinti dokumentumokat a Központi Rendszert működtető, illetve üzemeltető szervezetek, valamint a Központi Rendszeren keresztül elektronikus szolgáltatást nyújtó (a továbbiakban: szolgáltató) szervezetek készítik el, továbbá gondoskodnak azok karbantartásáról.
3. § (1) A biztonsági követelményrendszertől, illetve az informatikai katasztrófaelhárítási terv alapelveitől akkor lehet eltérni, ha a követelmény nem értelmezhető vagy nem alkalmazható. Ebben az esetben az eltérést indokolni és a dokumentumokban rögzíteni kell.
(2) A biztonsági követelményrendszerben, illetve az informatikai katasztrófaelhárítási terv alapelveiben meghatározott követelményeknél kockázatarányosan akkor lehet magasabb követelményszintet megállapítani, ha a kezelt adatok érzékenysége, vagy a felhasználók bizalmának megerősítése ezt szükségessé teszi. A többletkövetelmények alkalmazása esetén az újabb követelményeket a megadott struktúrába kell illeszteni.
(3) A (2) bekezdés szerinti többletelőírások a Központi Rendszer szolgáltatásait igénybe vevő felhasználó számára csak úgy jelentenek többletfeladatot, többletkövetelményt, ha annak teljesítését önkéntesen vállalja saját biztonsága érdekében.
4. § (1) A Miniszterelnöki Hivatalt vezető miniszter a közvetlen irányítása alá tartozó informatikai biztonsági felügyelőt nevez ki vagy bíz meg. Az informatikai biztonsági felügyelő tevékenysége a Központi Rendszert működtető, illetve üzemeltető szervezetekre, valamint a szolgáltató szervezetekre is kiterjed.
(2) Az informatikai biztonsági felügyelő e rendeletben meghatározott biztonsági követelmények érvényesítése érdekében
a) folyamatosan figyelemmel kíséri a Központi Rendszert üzemeltető (a továbbiakban: üzemeltető) szervezetekkel, valamint a szolgáltató szervezetekkel kötött megállapodásokat;
b) állást foglal a Központi Rendszerhez csatlakozni kívánó szervezetek és szolgáltatások biztonságáról;
c) határidő tűzésével felhívja az érintett szervezetek vezetőit az eltérések felszámolására, ellenőrzi a követelmények megvalósítását;
d) jóváhagyja az üzemeltető, valamint a szolgáltató szervezetek Központi Rendszerre vonatkozó biztonsági irányelveit, szabályzatait és eljárásrendjeit;
e) ellenőrzi a biztonságirányítási rendszer működtetésének megvalósítását;
f) biztonsági kockázat, illetve a d) pont szerinti jóváhagyás megtagadása esetén kezdeményezheti a szolgáltatás felfüggesztését a kockázat elhárításáig.
5. § (1) A Központi Rendszer működési és adatbiztonságáért a Központi Rendszert működtető szervezet felel.
(2) A Központi Rendszert működtető szervezet a Központi Rendszer vonatkozásában
a) kialakítja az informatikai biztonságirányítási rendszert;
b) rendszeresen, de legalább évente felülvizsgálja a meglévő informatikai biztonsági irányelveket és szabályzatokat, szükség esetén javaslatot tesz azok módosítására;
c) véleményezi a Központi Rendszert és szolgáltatásait érintő üzemeltetői és szolgáltatói biztonsági irányelveket, szabályzatokat, eljárásrendeket;
d) kidolgozza a biztonsági szabályok alkalmazására és ellenőrzésére szolgáló eljárásrendeket, illetve a meglévőket rendszeresen aktualizálja;
e) ellenőrzi az üzemeltető, valamint a szolgáltató szervezetek biztonsági megfelelőségét, a velük kötött szerződésekben és megállapodásokban érvényesíti a Központi Rendszerrel kapcsolatos biztonsági elvárásokat;
f) jogosult bekérni az üzemeltető, valamint a szolgáltató szervezetektől a jelen rendeletben meghatározott biztonsági követelmények teljesítésének értékeléséhez szükséges adatokat és dokumentumokat;
g) szakmai segítséget nyújt a biztonsági dokumentumok kialakításában.
6. § (1) Az üzemeltető szervezet felelős a Központi Rendszer általa üzemeltetett alrendszereinek biztonságáért, és tevékenységével nem veszélyeztetheti a Központi Rendszer más elemeinek biztonságát.
(2) Az üzemeltető szervezet az üzemeltetést megvalósító szervezeti egységétől független, az üzemeltető szervezet vezetőjének közvetlen irányítása alá tartozó informatikai biztonsági felelőst jelöl ki, aki személyesen felel a biztonsági követelmények megvalósulásáért, és e feladatának ellátása körében nem utasítható.
(3) Az üzemeltető szervezet a Központi Rendszer általa üzemeltetett alrendszere vonatkozásában a következő biztonsági dokumentumokat készíti el:
a) a biztonsági irányelv;
b) az egyes szolgáltatásokra vonatkozó biztonsági szabályzatok;
c) a biztonsági szabályzatok végrehajtásához szükséges eljárásrendek.
(4) Az üzemeltető szervezet a (3) bekezdésben meghatározott dokumentumok tervezetét véleményezésre megküldi a Központi Rendszert működtető szervezetnek, majd a véglegesített tervezetet jóváhagyásra megküldi az informatikai biztonsági felügyelőnek.
(5) A biztonsági szabályzatok betartásának ellenőrzésére az üzemeltető szervezet eljárásrendeket dolgoz ki.
(6) Az üzemeltető szervezet
a) félévente tájékoztatást nyújt az informatikai biztonsági eljárásrendek működéséről az informatikai biztonsági felügyelőnek;
b) a 2. melléklet 3.17.1 pontja szerinti I. és II. kategóriájú biztonsági esemény esetén haladéktalanul jelentést tesz az informatikai biztonsági felügyelőnek;
c) a Központi Rendszert működtető szervezet kérésére adatokat szolgáltat a biztonsági követelmények teljesítésének ellenőrzésére;
d) legalább évente egyszer felülvizsgálja a biztonsági irányelveket, a biztonsági szabályzatokat és eljárásrendeket.
(7) Üzemeltetéssel kapcsolatos szervezeti és műszaki változások, illetve biztonsági esemény esetén a (3) bekezdés szerinti dokumentumokat soron kívül kell felülvizsgálni.
7. § (1) A szolgáltató szervezet felelős azért, hogy az általa nyújtott szolgáltatáson keresztül történő igénybevétel ne veszélyeztesse a Központi Rendszer biztonságát.
(2) A szolgáltató szervezet a szolgáltatásainak kialakításánál és működtetésénél a kockázatarányos védelem követelményrendszere szerint köteles eljárni, e követelményeknek megfelelő biztonsági irányelvet, szabályzatot, és szükség esetén ezek megvalósítását szolgáló eljárásrendeket kell elfogadnia.
(3) A szolgáltató szervezet a szolgáltatást működtető szervezeti egységétől független, a szolgáltató szervezet vezetőjének közvetlen irányítása alá tartozó informatikai biztonsági felelőst jelöl ki, aki személyesen felel a biztonsági követelmények megvalósulásáért, és e feladatának ellátása körében nem utasítható.
(4) A szolgáltató szervezet évente felülvizsgálja a biztonsági irányelveket, a biztonsági szabályzatokat és eljárásrendeket.
(5) A szolgáltatással kapcsolatos szervezeti és műszaki változások, illetve biztonsági esemény esetén soron kívüli felülvizsgálatot valósít meg, és a tervezetet jóváhagyásra megküldi az informatikai biztonsági felügyelőnek.
(6) A szolgáltató szervezet a Központi Rendszert működtető szervezet kérésére adatokat szolgáltat a biztonsági követelmények teljesítésének ellenőrzésére.
8. § A Központi Rendszer szolgáltatásai biztonságos igénybevételének követelményeit a 3. melléklet határozza meg. A szolgáltatások biztonsági követelményeinek a felhasználó általi megszegése következtében bekövetkező károkozás esetén az üzemeltető és a szolgáltató szervezet - ha ezt igazolja - mentesül a felelősség alól.
9. § (1) Ez a rendelet 2007. július 1-jén lép hatályba.
(2) A Központi Rendszert működtető, valamint az üzemeltető és a szolgáltató szervezeteknek szabályzataikat 2008. június 30-ig kell e rendelet rendelkezéseivel összhangba hozniuk.
10. § E rendelet hatálybalépésével egyidejűleg az elektronikus ügyintézést lehetővé tevő informatikai rendszerek biztonságáról, együttműködési képességéről és egységes használatáról szóló 195/2005. (IX. 22.) Korm. rendelet 5. § (1) bekezdése helyébe a következő rendelkezés lép:
„5. § (1) A közigazgatási szervek informatikai biztonságának felügyeletét a közigazgatási informatikáért felelős miniszter látja el az általa kinevezett informatikai biztonsági felügyelő útján.”