ინფორმაციული უსაფრთხოების აუდიტის ან/და ინფორმაციულ სისტემაში შეღწევადობის (პენეტრაციის) ტესტის ჩატარებისთვის ავტორიზაციის მსურველი ორგანიზაციის ან/და შესაბამისი თანამშრომლის უსაფრთხოებაზე შემოწმების წესის დადგენის შესახებ

ინფორმაციული უსაფრთხოების აუდიტის ან/და ინფორმაციულ სისტემაში შეღწევადობის (პენეტრაციის) ტესტის ჩატარებისთვის ავტორიზაციის მსურველი ორგანიზაციის ან/და შესაბამისი თანამშრომლის უსაფრთხოებაზე შემოწმების წესი (შემდგომში – წესი) განსაზღვრავს უსაფრთხოების მოთხოვნებს, რომლებსაც უნდა აკმაყოფილებდნენ ინფორმაციული აუდიტის ჩატარებაზე ან/და შეღწევადობის ტესტის ჩატარებაზე ავტორიზაციის მსურველი ორგანიზაცია (შემდგომში – ორგანიზაცია), ასევე აღნიშნული ორგანიზაცის ან/და ინფორმაციული უსაფრთხოების აუდიტის ან შეღწევადობის (პენეტრაციის) ტესტის ჩატარებაზე უფლებამოსილი თანამშრომლის (შემდგომში – უფლებამოსილი თანამშრომელი) უსაფრთხოებაზე შემოწმებასთან დაკავშირებულ ორგანიზაციულ და პროცედურულ საკითხებს.

მუხლი 2. შემოწმების დაწყების საფუძველი

საქართველოს სახელმწიფო უსაფრთხოების სამსახურის (შემდგომში – სამსახური) მიერ ორგანიზაციის ან/და უფლებამოსილი თანამშრომლის შემოწმების განხორციელების დაწყების საფუძველია საქართველოს იუსტიციის სამინისტროს მმართველობის სფეროში შემავალი საჯარო სამართლის იურიდიული პირის – ციფრული მმართველობის სააგენტოს (შემდგომში – ციფრული მმართველობის სააგენტო) მომართვა სამსახურის მმართველობის სფეროში შემავალი საჯარო სამართლის იურიდიული პირის – საქართველოს ოპერატიულ-ტექნიკური სააგენტოსადმი (შემდგომში – ოპერატიულ-ტექნიკური სააგენტო) ორგანიზაციის ან/და უფლებამოსილი თანამშრომლის შემოწმების თაობაზე. წერილობით მომართვას თან უნდა ერთოდეს ავტორიზაციის პროცესში ციფრული მმართველობის სააგენტოსთვის მიწოდებული ინფორმაცია ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების შესახებ.

მუხლი 3. ორგანიზაციის უსაფრთხოების მოთხოვნები

ორგანიზაცია უნდა აკმაყოფილებდეს შემდეგ მოთხოვნებს:

ა) რეგისტრირებული იყოს საქართველოში, ჩრდილოატლანტიკური ხელშეკრულების ორგანიზაციის ან ევროკავშირის წევრ სახელმწიფოში;

ბ) მისი დამფუძნებელი ან მისი წილის მფლობელი არ უნდა იყოს „კრიტიკული ინფორმაციული სისტემის სუბიექტის მიერ მონაცემების მიღებისთვის, დამუშავებისთვის, შენახვისთვის ან/და გადაცემისთვის გამოყენებული აპარატული ან/და პროგრამული უზრუნველყოფის საშუალებების მწარმოებელ ქვეყნებთან დაკავშირებული დამატებითი მოთხოვნების განსაზღვრის შესახებ“ საქართველოს მთავრობის დადგენილებით გათვალისწინებულ ქვეყნაში რეგისტრირებული საწარმო ან ამ ქვეყნის მოქალაქე;

გ) საქართველოს კანონმდებლობის და სამსახურის საერთაშორისო ხელშეკრულებების შესაბამისად განხორციელებული უსაფრთხოებაზე შემოწმების შედეგად მიღებული მასალები არ უნდა იძლეოდეს ავტორიზაციის შესახებ განაცხადის დაკმაყოფილებაზე უარის თქმის რეკომენდაციის გაცემის საფუძველს.   

მუხლი 4. უსაფრთხოებაზე შემოწმების ეტაპები

1. ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმება ხორციელდება ორ ეტაპად.

2. პირველი ეტაპი მოიცავს ოპერატიულ-ტექნიკური სააგენტოს მიერ ორგანიზაციის ამ წესის მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ მოთხოვნებთან შესაბამისობის შემოწმებას. თუ ორგანიზაცია ვერ აკმაყოფილებს ამ წესის მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ უსაფრთხოების მოთხოვნებს, უსაფრთხოებაზე შემოწმების პროცედურა წყდება და ოპერატიულ-ტექნიკური სააგენტო უგზავნის ციფრული მმართველობის სააგენტოს ამ მუხლის მე-4 პუნქტით გათვალისწინებულ რეკომენდაციას ორგანიზაციის ავტორიზაციის შესახებ განაცხადის დაკმაყოფილებაზე უარის თქმის  შესახებ.  

3. თუ ორგანიზაცია აკმაყოფილებს ამ ბრძანების მე-3 მუხლის „ა“ და „ბ“ ქვეპუნქტებით გათვალისწინებულ მოთხოვნებს, იწყება უსაფრთხოებაზე შემოწმების პროცედურის მეორე ეტაპი, რაც მოიცავს ორგანიზაციის შემოწმებას ამ წესის მე-3 მუხლის „გ“ ქვეპუნქტით გათვალისწინებული მოთხოვნის დაკმაყოფილებაზე და ასევე უფლებამოსილი თანამშრომლების შემოწმებას. ამ მიზნით სააგენტო უზრუნველყოფს ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების შესახებ მიღებული ინფორმაციის გადაგზავნას სამსახურის დანაყოფებში, რომელთაც აქვთ ოპერატიულ-სამძებრო ან/და კონტრდაზვერვითი ღონისძიებების განხორციელების უფლებამოსილება (შემდგომში – უფლებამოსილი დანაყოფები). უფლებამოსილი დანაყოფები მიღებულ ინფორმაციას ამუშავებენ ამ ბრძანებით, საქართველოს მოქმედი კანონმდებლობითა და სამსახურის საერთაშორისო ხელშეკრულებებით გათვალისწინებული წესისა და პროცედურების შესაბამისად. სამსახურის უფლებამოსილი დანაყოფების მიერ განხორციელებული შემოწმების შედეგები იგზავნება ოპერატიულ-ტექნიკურ სააგენტოში.

4. ამ მუხლის მე-3 პუნქტის შესაბამისად მიღებული ინფორმაციის საფუძველზე სააგენტო ამზადებს პასუხს ორგანიზაციის ან/და მისი უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების შედეგების შესახებ და აწვდის ციფრული მმართველობის სააგენტოს რეკომენდაციას ორგანიზაციის ავტორიზაციის შესახებ განაცხადის დაკმაყოფილების ან დაკმაყოფილებაზე უარის თქმის  შესახებ ან/და უფლებამოსილი თანამშრომლისთვის აუდიტის ან პენეტრაციის ტესტის ჩატარებაზე უფლებამოსილ პირად რეგისტრაციის ან რეგისტრაციაზე უარის თქმის შესახებ.

მუხლი 5. შემოწმების ვადები

1. ოპერატიულ-ტექნიკური სააგენტოსა და უფლებამოსილი დანაყოფების მიერ ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების საერთო ვადა არ უნდა აღემატებოდეს 60 სამუშაო დღეს ციფრული მმართველობის სააგენტოს მომართვის დღიდან. აქედან:

ა) შემოწმების პირველი ეტაპის ვადა არ შეიძლება აღემატებოდეს 5 სამუშაო დღეს;

ბ) შემოწმების მეორე ეტაპის  ვადა არ შეიძლება აღემატებოდეს 55 სამუშაო დღეს.

2. თუ ამ მუხლის პირველი პუნქტის „ბ“ ქვეპუნქტით გათვალისწინებულ ვადაში უფლებამოსილი დანაყოფების მიერ ოპერატიულ-ტექნიკურ სააგენტოში არ იქნა წარმოდგენილი ინფორმაცია ორგანიზაციის ან/და უფლებამოსილი თანამშრომლების უსაფრთხოებაზე შემოწმების შედეგების შესახებ, მიიჩნევა, რომ უსაფრთხოების თვალსაზრისით ორგანიზაციის ავტორიზაციის, ხოლო ამ წესის მე-6 მუხლით გათვალისწინებულ შემთხვევაში, უფლებამოსილი თანამშრომლის მიერ აუდიტის ან პენეტრაციის ტესტის ჩატარების  დამაბრკოლებელი გარემოება არ არსებობს, რის შესახებაც ოპერატიულ-ტექნიკური სააგენტო ატყობინებს ციფრული მმართველობის სააგენტოს.

მუხლი 6. საგამონაკლისო რეგულაცია

„ინფორმაციული უსაფრთხოების შესახებ“ საქართველოს კანონის 6¹ მუხლის მე-4 პუნქტით გათვალისწინებულ გამონაკლის შემთხვევაში, არ გამოიყენება ორგანიზაციის უსაფრთხოებაზე შემოწმების ამ წესით გათვალისწინებული დებულებები. კომერციულ ბანკებში ინფორმაციული უსაფრთხოების აუდიტის ან/და პენეტრაციის ტესტის ჩატარებისთვის ავტორიზებული ორგანიზაციების უფლებამოსილი თანამშრომლის უსაფრთხოებაზე შემოწმების შესახებ ოპერატიულ-ტექნიკურ სააგენტოს მიმართავს საქართველოს ეროვნული ბანკი. ამ შემთხვევაში უფლებამოსილი  თანამშრომლის უსაფრთხოებაზე შემოწმების შედეგები ეცნობება საქართველოს ეროვნულ ბანკს.