Atzinums

Noteikumu projektā jāparedz atsevišķs regulējums gadījumiem, kad subjekta informācijas sistēma tiek izvietota resora centralizētā tehnisko resursu turētāja datu centrā un subjektam nav iespējas izvēlēties citu datu centra pakalpojumu sniedzēju. Šādā gadījumā uz centralizēto tehnisko resursu turētāju būtu attiecināmi datu centra operatora pienākumi, bet starp subjektu un tehnisko resursu turētāju būtu obligāti nosakāms saistošs atbildību sadalījums par atbilstības nodrošināšanu, auditēšanu, incidentu ziņošanu, telemetrijas pieejamību, plānoto darbu paziņošanu, SLA rādītājiem un pierādījumu sniegšanu uzraugošajām iestādēm. Pretējā gadījumā subjektam saglabājas pilna atbildība par noteikumu izpildi, lai gan faktiskā kontrole pār datu centra infrastruktūru, incidentu informāciju un atbilstības pierādījumiem atrodas pie citas iestādes.

-

Rosinām vērtēt punktā minēto kopsakarā ar Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (Dokuments attiecas uz EEZ) 24. panta 1. punktā minēto, proti, datu pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu.
Punkta saturs paredz pretrunu ar Vispārīgās datu aizsardzības regulas 24. panta 1. punktā minēto.

Lai noteiktu Subjekta pienākumu darbībās ar personas datiem nav nepieciešams punkts noteikumos. Šis pienākums un atbildība noteikti Vispārīgajā datu aizsardzības regulā un, ievērojot Ministru kabineta 2009. gada 3. februāra noteikumu Nr.108 "Normatīvo aktu projektu sagatavošanas noteikumi" 3.3. apakšpunktā noteikto, nav nepieciešams dublēt augstāka spēka normatīvajā aktā noteikto.

-

Aizstāt “ārpakalpojuma līgumu” ar “ārpakalpojuma līgumu vai starpiestāžu vienošanos par tehnisko resursu turēšanu un datu centra pakalpojumu sniegšanu”.

-

Pievienot jaunu punktu: “Tehnisko resursu turētājs sniedz subjektam atbilstības pierādījumus, audita dokumentus, testu rezultātus un monitoringa datus pašvērtējuma ziņojuma sagatavošanai ne vēlāk kā 10 darbdienu laikā, bet incidenta vai uzraudzības pieprasījuma gadījumā — ne vēlāk kā vienas darbdienas laikā.”
 

-

Redakcija ar trīs līmeņiem: 15 minūtes sākotnējam brīdinājumam par A klases/kritisku ietekmi; 1 stunda sākotnējam ietekmes novērtējumam; 5 darbdienas tikai neakūtu atbilstības noviržu gadījumā.

-

Pievienot normu: “Ja sistēma izvietota tehnisko resursu turētāja datu centrā, subjekts un tehnisko resursu turētājs nodrošina telemetrijas pieejamību atbilstoši savas kontroles zonai; tehnisko resursu turētājs tieši atbild par koplietojamās infrastruktūras telemetriju.”

-

Pievienot normu: “Ja sistēma izvietota tehnisko resursu turētāja datu centrā, subjekts un tehnisko resursu turētājs nodrošina telemetrijas pieejamību atbilstoši savas kontroles zonai; tehnisko resursu turētājs tieši atbild par koplietojamās infrastruktūras telemetriju.”

-

Jauns punkts: “Tehnisko resursu turētājs bez subjekta rakstveida saskaņojuma neveic tādas plānotas izmaiņas, kas var ietekmēt subjekta A klases sistēmas pieejamību, integritāti, konfidencialitāti vai auditējamību, izņemot neatliekamus avārijas darbus.”

Jauns punkts par atbildību matricu: subjekts atbild par drošības klasifikāciju, datu klasifikāciju, lietotāju piekļuvi un ziņošanu; tehnisko resursu turētājs atbild par DC fizisko un koplietojamās infrastruktūras drošību, telemetriju, nestspēju, rezerves kopijām, biznesa nepārtrauktības plānu, avārijas atjaunošanas plānu un pierādījumu sniegšanu.

-

Noteikt, ka pielikuma V nodaļas prasības piemēro arī resora koplietošanas datu centra pakalpojuma līmeņa vienošanās dokumentam.

-