PRILOGA

Skupni delovni postopki v skladu s členom 3(6) Sporazuma med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov

POSTOPKI ZA ZAČASNO REŠITEV

1. Glosar

Preglednica 1-1

Kratice in opredelitve pojmov

Kratica/pojem Opredelitev Overitelj potrdil Subjekt, ki izdaja digitalna potrdila. CH Švicarska konfederacija ETS Sistem za trgovanje z emisijami EU Evropska unija IMT Skupina za obvladovanje incidentov Informacijska sredstva Informacije, ki imajo določeno vrednost za podjetje ali organizacijo. IT Informacijska tehnologija ITIL Knjižnica infrastrukture informacijske tehnologije ITSM Upravljanje storitev IT LTS Tehnični standardi za povezavo Register Sistem obračunavanja za pravice, izdane v ETS, s katerim se vodi evidenca o lastništvu pravic na elektronskih računih RFC Zahtevek za spremembo SIL Seznam občutljivih informacij SR Zahtevek za storitev Wiki Spletno mesto, ki uporabnikom omogoča izmenjavo informacij in znanja z dodajanjem ali prilagajanjem vsebine neposredno prek spletnega brskalnika.

2. Uvod

Sporazum med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov z dne 23. novembra 2017 (v nadaljnjem besedilu: Sporazum) določa medsebojno priznavanje pravic do emisije, ki se lahko uporabljajo za skladnost v okviru sistema Evropske unije za trgovanje z emisijami (v nadaljnjem besedilu: EU ETS) ali sistema Švice za trgovanje z emisijami (v nadaljnjem besedilu: švicarski ETS). Za operacionalizacijo povezave med EU ETS in švicarskim ETS bo vzpostavljena neposredna povezava med evidenco transakcij Evropske unije (EUTL) registra Unije in švicarsko dopolnilno evidenco transakcij (SSTL) švicarskega registra, s čimer bo omogočen prenos pravic do emisije, izdanih v katerem koli ETS, med registroma (člen 3(2) Sporazuma). Za operacionalizacijo povezave med EU ETS in švicarskim ETS bo maja 2020 ali čim prej po tem datumu vzpostavljena začasna rešitev. Pogodbenici sodelujeta, da začasno povezavo čim prej nadomestita s stalno povezavo med registroma (Priloga II k Sporazumu).

V skladu s členom 3(6) Sporazuma administrator švicarskega registra in centralni administrator Unije določita skupne delovne postopke, povezane s tehničnimi ali drugimi zadevami, potrebnimi za delovanje povezave, pri čemer upoštevata prednostne naloge domače zakonodaje. Skupni delovni postopki, ki jih določita administratorja, začnejo učinkovati, ko jih Skupni odbor sprejme s sklepom.

Skupni odbor sprejme skupne delovne postopke, navedene v tem dokumentu, s Sklepom št. 1/2020. Skupni odbor v skladu s tem sklepom zahteva od administratorja švicarskega registra in centralnega administratorja Unije, naj določita dodatne tehnične smernice za operacionalizacijo povezave in zagotovita, da se te smernice stalno prilagajajo tehničnemu napredku in novim zahtevam v zvezi z varnostjo in zaščito povezave ter njenim uspešnim in smotrnim delovanjem.

2.1 Področje uporabe

Ta dokument predstavlja skupno stališče pogodbenic Sporazuma v zvezi z vzpostavitvijo postopkovne podlage za povezavo med registroma EU ETS in švicarskega ETS. V njem so opisane splošne postopkovne zahteve v zvezi z dejavnostmi, za operacionalizacijo povezave pa bo treba pripraviti nekatere dodatne tehnične smernice.

Za zagotovitev pravilnega delovanja povezave bodo za njeno nadaljnjo operacionalizacijo potrebne tehnične specifikacije. V skladu s členom 3(7) Sporazuma so navedene zadeve podrobno opredeljene v dokumentu s tehničnimi standardi za povezavo (LTS), ki jih Skupni odbor ločeno sprejme s sklepom.

Cilj skupnih delovnih postopkov je zagotoviti, da se storitve IT, povezane z delovanjem povezave med registroma EU ETS in švicarskega ETS, izvajajo učinkovito in smotrno, zlasti v zvezi z izpolnjevanjem zahtevkov za storitve, reševanjem napak pri izvajanju storitve, odpravljanjem težav in izvajanjem rutinskih delovnih nalog v skladu z mednarodnimi standardi upravljanja storitev IT.

Za dogovorjeno začasno rešitev bodo potrebni samo naslednji skupni delovni postopki, ki so vključeni v ta dokument:

— obvladovanje incidentov,

— odpravljanje težav,

— izpolnjevanje zahtevkov,

— upravljanje sprememb,

— upravljanje izdaj,

— obvladovanje varnostnih incidentov,

— upravljanje informacijske varnosti.

Skupne delovne postopke je treba pri poznejši uvedbi stalne povezave med registroma po potrebi prilagoditi in dopolniti.

2.2 Naslovniki

Ciljna skupina teh skupnih delovnih postopkov sta podporni skupini registra EU in švicarskega registra.

3. Pristop in standardi

Za vse skupne delovne postopke se uporabljajo naslednja načela:

— EU in CH se strinjata, da bosta skupne delovne postopke opredelili na podlagi ITIL (knjižnice infrastrukture informacijske tehnologije, 3. različica). Prakse, ki jih določa ta standard, se ponovno uporabijo in prilagodijo posebnim potrebam, povezanim z začasno rešitvijo;

— komunikacija in usklajevanje, ki sta potrebna za izvajanje skupnih delovnih postopkov med pogodbenicama, potekata prek storitvenih centrov registra CH in EU. Naloge se vedno dodelijo znotraj ene od pogodbenic;

— v primeru nesoglasja o izvedbi skupnega delovnega postopka to skupaj analizirata in rešujeta oba storitvena centra. Če soglasja ni mogoče doseči, se iskanje skupne rešitve prenese na naslednjo raven. Ravni prenosa EU CH Prva raven Storitveni center EU Storitveni center CH Druga raven Vodja dejavnosti EU Vodja uporabe registra CH Tretja raven Skupni odbor (ki lahko prenese to odgovornost na podlagi člena 12(5) Sporazuma) Četrta raven Skupni odbor, če tretja raven prenese odgovornost

;

— vsaka pogodbenica lahko določi postopke za delovanje svojega sistema registra ob upoštevanju zahtev in vmesnikov, povezanih s temi skupnimi delovnimi postopki;

— kot podpora pri izvajanju skupnih delovnih postopkov, zlasti postopkov za obvladovanje incidentov, odpravljanje težav in izpolnjevanje zahtevkov, ter komunikaciji med pogodbenicama se uporablja orodje za upravljanje storitev IT (ITSM);

— dovoljena je tudi izmenjava informacij po elektronski pošti;

— pogodbenici zagotavljata, da so zahteve glede informacijske varnosti izpolnjene v skladu z navodili za ravnanje.

4. Obvladovanje incidentov

Cilj postopka obvladovanja incidentov je, da se po incidentu storitve IT čim prej povrnejo na običajno raven z minimalnimi motnjami poslovanja.

V okviru postopka obvladovanja incidentov bi bilo treba tudi voditi evidenco incidentov za namene poročanja, postopek pa povezati z drugimi postopki za spodbujanje nenehnega izboljševanja.

S splošnega vidika postopek obvladovanja incidentov vključuje naslednje dejavnosti:

— odkrivanje in evidentiranje incidentov,

— razvrščanje in začetna podpora,

— preiskava in diagnoza,

— reševanje in obnovitev,

— zaključek incidenta.

Postopek obvladovanja incidentov ves čas trajanja incidenta obsega naloge obravnavanja lastništva, spremljanja, sledenja in komuniciranja.

4.1 Odkrivanje in evidentiranje incidentov

Incident lahko odkrije podporna skupina s pomočjo orodij za samodejno spremljanje ali tehnično osebje, ki izvaja rutinski nadzor.

Odkriti incident je treba evidentirati in mu dodeliti edinstveni identifikator za ustrezno sledenje in spremljanje incidenta. Edinstveni identifikator incidenta je identifikator, ki ga v skupnem sistemu označevanja dodeli storitveni center pogodbenice (EU ali CH), ki je opozorila na incident, in ga je treba navesti v vsakem sporočilu, povezanem s tem incidentom.

Kontaktna točka za vse incidente bi moral biti storitveni center pogodbenice, ki je incident zabeležil.

4.2 Razvrščanje in začetna podpora

Namen razvrščanja incidentov je razumeti in opredeliti, na kateri sistem in/ali storitev je incident vplival in kako močno. Da bi bilo razvrščanje učinkovito, bi bilo treba incident že v prvem poskusu usmeriti k primernemu viru, da bi se pospešilo reševanje incidenta.

V fazi razvrščanja bi bilo treba incident kategorizirati in prednostno razvrstiti v skladu z njegovim vplivom in nujnostjo, da bi ga bilo mogoče obravnavati v času, ki ustreza prednostni razvrstitvi.

Če incident lahko vpliva na zaupnost ali celovitost občutljivih podatkov in/ali razpoložljivost sistema, se opredeli tudi kot varnostni incident in nato obravnava v skladu s postopkom, opredeljenim v poglavju „Obvladovanje varnostnih incidentov“ tega dokumenta.

Če je mogoče, storitveni center, ki je incident zabeležil, opravi začetno diagnozo. Pri tem preveri, ali je incident znana napaka. Če je, sta postopek reševanja ali alternativna rešitev že znana in dokumentirana.

Če storitveni center uspešno reši incident, ga na tej točki tudi dejansko zaključi, saj je glavni namen obvladovanja incidentov dosežen (tj. hitra obnovitev storitve za končnega uporabnika). Če ga ne reši, ga prenese na višjo raven ustrezni skupini za reševanje, ta pa opravi nadaljnjo preiskavo in diagnozo.

4.3 Preiskava in diagnoza

Postopek preiskave in diagnoze incidenta se uporabi, kadar storitveni center ne more rešiti incidenta z začetno diagnozo, zato ga prenese na ustrezno višjo raven. Prenos incidenta na višjo raven je v celoti del postopka preiskave in diagnoze.

Običajna praksa v fazi preiskave in diagnoze je poskus poustvarjanja incidenta v nadzorovanih pogojih. Pri preiskavi in diagnozi incidenta je pomembno razumeti pravilen vrstni red dogodkov, ki so pripeljali do incidenta.

S prenosom na višjo raven se prizna, da incidenta na trenutni ravni podpore ni mogoče rešiti in da ga je treba posredovati podporni skupini na višji ravni ali drugi pogodbenici. Prenos na višjo raven lahko poteka na dva načina: horizontalno (t. i. funkcionalni prenos) ali vertikalno (t. i. hierarhični prenos).

Odgovornost storitvenega centra, ki je evidentiral in odprl postopek reševanja incidenta, je, da se incident prenese na višjo raven k primernemu viru ter zagotovi sledenje splošnemu statusu in dodeljevanju naloge reševanja incidenta.

Odgovornost pogodbenice, ki ji je bil incident dodeljen, je, da zagotovi pravočasno izvedbo zahtevanih dejanj in povratne informacije svojemu storitvenemu centru.

4.4 Reševanje in obnovitev

Reševanje incidenta in obnovitev se izvedeta, ko se incident v celoti razume. Iskanje rešitve za incident pomeni, da je bilo ugotovljeno, kako rešiti težavo. Sama uporaba rešitve pomeni fazo obnovitve.

Ko primeren vir odpravi napako pri izvajanju storitve, se incident preusmeri nazaj na ustrezen storitveni center, ki je zabeležil incident in ki skupaj z osebo, ki je odprla postopek za reševanje incidenta, potrdi, da je bila napaka popravljena in da se incident lahko zaključi. Ugotovitve, pridobljene pri obdelavi incidenta, se evidentirajo za prihodnjo uporabo.

Obnovitev lahko izvede osebje za podporo IT ali pa se končnemu uporabniku zagotovijo navodila, ki jih mora upoštevati.

4.5 Zaključek incidenta

Zaključek je zadnji korak v postopku obvladovanja incidentov in se izvede kmalu po rešitvi incidenta.

Na kontrolnem seznamu dejanj, ki jih je treba opraviti v fazi zaključka, je poudarjeno naslednje:

— preverjanje začetne kategorije, ki je bila dodeljena incidentu,

— ustrezno zajemanje vseh informacij v zvezi z incidentom,

— ustrezno dokumentiranje incidenta in posodobitev baze znanja,

— ustrezno obveščanje vseh deležnikov, na katere je incident neposredno ali posredno vplival.

Incident se uradno zaključi, ko storitveni center izvede fazo zaključka incidenta in o tem obvesti drugo pogodbenico.

Ko je incident zaključen, se ne bo več ponovno odprl. Če se incident kmalu ponovi, se prvotni incident ne odpre ponovno, temveč se zabeleži nov incident.

Če incident izsledita storitvena centra EU in CH, je za zaključek incidenta odgovoren tisti storitveni center, ki je incident zabeležil.

5. Odpravljanje težav

Postopek odpravljanja težav bi bilo treba uporabiti za vsako ugotovljeno težavo, zaradi katere se ta postopek tudi sproži. Odpravljanje težav je osredotočeno na povečanje kakovosti in zmanjšanje števila nastalih incidentov. Težava lahko povzroči enega ali več incidentov. Ko se poroča o incidentu, je cilj obvladovanja incidentov čim hitreje obnoviti delovanje storitve, po možnosti tudi z alternativnimi rešitvami. Ko nastane težava, je cilj preiskati temeljni vzrok zanjo, da bi se opredelila sprememba, ki bo zagotovila, da se težava in z njo povezani incidenti ne bodo ponovili.

5.1 Opredelitev in evidentiranje težave

Odvisno od tega, katera pogodbenica je težavo zabeležila, bo kontaktna točka za zadeve, povezane s težavo, storitveni center EU ali CH.

Edinstveni identifikator težave je identifikator, ki se dodeli z orodjem za upravljanje storitev IT (ITSM). Navesti ga je treba v vsakem sporočilu, povezanem s to težavo.

Postopek odpravljanja težav lahko sproži incident ali se lahko kadar koli začne kot dejanje na lastno pobudo zaradi odpravljanja ugotovljenih napak v sistemu.

5.2 Prednostno razvrščanje težav

Težave se lahko tako kot incidenti kategorizirajo glede na njihovo resnost in prednost, da bi jim bilo mogoče lažje slediti, pri tem pa se upoštevata vpliv z njimi povezanih incidentov in pogostost njihovega pojavljanja.

5.3 Preiskava in diagnoza težav

Vsaka pogodbenica lahko opozori na težavo, naloga storitvenega centra pogodbenice, ki je odprla postopek za odpravljanje težav, pa je zabeležiti težavo, njeno reševanje dodeliti primernemu viru in slediti njenemu splošnemu statusu.

Skupina za reševanje, na katero je bila težava prenesena, je odgovorna za pravočasno obravnavo težave in komuniciranje s storitvenim centrom.

Obe pogodbenici morata na zahtevo zagotoviti izvedbo dodeljenih nalog in povratne informacije svojemu storitvenemu centru.

5.4 Reševanje

Skupina za reševanje, ki ji je bila težava dodeljena, je odgovorna za rešitev težave in zagotavljanje ustreznih informacij svojemu storitvenemu centru.

Ugotovitve, pridobljene pri obdelavi težave, se evidentirajo za prihodnjo uporabo.

5.5 Zaključek težave

Težava se uradno zaključi, ko se odpravi z izvedbo spremembe. Fazo zaključka težave izvede storitveni center, ki je težavo zabeležil in o tem obvestil storitveni center druge pogodbenice.

6. Izpolnjevanje zahtevkov

Postopek izpolnjevanja zahtevkov je celovito upravljanje zahtevka za novo ali obstoječo storitev od trenutka, ko je evidentiran in odobren, do njegovega zaključka. Zahtevki za storitve so običajno majhni, vnaprej opredeljeni, ponavljajoči se, pogosti, vnaprej odobreni in postopkovni zahtevki.

Glavni koraki, ki jih je treba upoštevati, so opisani v nadaljevanju:

6.1 Vlaganje zahtevkov

Informacije v zvezi z zahtevkom za storitev se predložijo storitvenemu centru EU ali CH po elektronski pošti, telefonu ali z orodjem za upravljanje storitev IT (ITSM) oziroma po katerem koli drugem dogovorjenem komunikacijskem kanalu.

6.2 Evidentiranje in analiza zahtevkov

Kontaktna točka za vse zahtevke za storitve bi moral biti storitveni center EU ali CH, odvisno od tega, katera pogodbenica je vložila zahtevek za storitev. Ta storitveni center bo odgovoren za beleženje in primerno skrbno analizo zahtevka za storitev.

6.3 Odobritev zahtevkov

Zastopnik storitvenega centra pogodbenice, ki je vložila zahtevek za storitev, preveri, ali je potrebna kakršna koli odobritev druge pogodbenice, in če je, to odobritev pridobi. Če zahtevek za storitev ni odobren, storitveni center zabeležko posodobi in zapre.

6.4 Izpolnjevanje zahtevkov

Ta korak zajema učinkovito in uspešno obravnavo zahtevkov za storitve. Razlikovati je treba med naslednjimi primeri:

— izpolnjevanje zahtevka za storitev vpliva samo na eno pogodbenico. V tem primeru ta pogodbenica izdaja delovne naloge in usklajuje izvedbo.

— Izpolnitev zahtevka za storitev vpliva na EU in CH. V tem primeru vsak storitveni center izdaja delovne naloge na svojem področju odgovornosti. Obravnava za izpolnitev zahtevka za storitev se usklajuje med obema storitvenima centroma. Splošno odgovornost nosi tisti storitveni center, ki je prejel zahtevek za storitev in sprožil postopek za njegovo reševanje.

Ko je zahtevek za storitev izpolnjen, se mu mora dodeliti status rešenega zahtevka.

6.5 Prenos zahtevkov na višjo raven

Storitveni center lahko po potrebi prenese nerešeni zahtevek za storitev na višjo raven k primernemu viru (tretjo stran).

Zahtevki se prenesejo na višjo raven k ustreznim tretjim stranem, kar pomeni, da bo storitveni center EU moral prenos na švicarsko tretjo stran opraviti prek švicarskega storitvenega centra in obratno.

Tretja stran, na katero je bil zahtevek za storitev prenesen, je odgovorna za pravočasno obravnavo zahtevka za storitev in komuniciranje s storitvenim centrom, ki je prenesel zahtevek na višjo raven.

Storitveni center, ki je zabeležil zahtevek za storitev, je odgovoren za sledenje splošnemu statusu in dodeljevanju zahtevka za storitev.

6.6 Pregled izpolnjevanja zahtevkov

Preden se postopek zaključi, odgovorni storitveni center predloži dokumentacijo, povezano z zahtevkom za storitev, za končen nadzor kakovosti. Cilj je zagotoviti, da je zahtevek za storitev dejansko obdelan in da so zagotovljene dovolj podrobne informacije za opis celotnega poteka reševanja zahtevka. Poleg tega se ugotovitve, pridobljene pri obdelavi zahtevka, evidentirajo za prihodnjo uporabo.

6.7 Zaključek zahtevka

Če se strani, ki jim je bil zahtevek dodeljen, strinjajo, da je zahtevek za storitev izpolnjen, in če vlagatelj zahtevka meni, da je primer rešen, je naslednji status, ki se zahtevku določi, status „Zaključeno“.

Zahtevek za storitev je uradno zaključen, ko storitveni center, ki je zabeležil zahtevek za storitev, izvede fazo zaključka zahtevka in o tem obvesti storitveni center druge pogodbenice.

7. Upravljanje sprememb

Cilj je zagotoviti uporabo standardiziranih metod in postopkov za učinkovito in hitro obravnavo vseh sprememb za nadzor infrastrukture IT, da bi se čim bolj zmanjšala število in vpliv vseh povezanih incidentov na storitev. Spremembe infrastrukture IT se lahko pojavijo reaktivno kot odziv na težave ali zunanje zahteve, npr. zakonodajne spremembe, ali proaktivno v prizadevanju za boljšo učinkovitost in uspešnost oziroma da bi se omogočile ali upoštevale poslovne pobude.

Postopek upravljanja sprememb vključuje različne korake, ki zajemajo vsako podrobnost v zvezi z zahtevkom za spremembe za prihodnje sledenje. Ti postopki zagotavljajo, da se sprememba pred uvedbo potrdi in preskusi. Postopek upravljanja izdaj zagotavlja uspešno uvedbo.

7.1 Zahtevek za spremembo

Zahtevek za spremembo se predloži skupini za upravljanje sprememb v potrditev in odobritev. Kontaktna točka za vse zahtevke za spremembe bi moral biti storitveni center EU ali CH, odvisno od tega, katera pogodbenica je vložila zahtevek. Ta storitveni center bo odgovoren za beleženje in primerno skrbno analizo zahtevka za spremembo.

Zahtevki za spremembe lahko izvirajo iz:

— incidenta, ki povzroči spremembo,

— obstoječe težave, ki povzroči spremembo,

— zahtevka končnega uporabnika za novo spremembo,

— spremembe zaradi tekočega vzdrževanja,

— zakonodajne spremembe.

7.2 Ocenjevanje in načrtovanje spremembe

V tej fazi se izvajajo dejavnosti ocenjevanja in načrtovanja spremembe. Vključuje dejavnosti prednostnega razvrščanja in načrtovanja za zmanjšanje tveganja in vpliva.

Če izvajanje postopka obravnave zahtevka za spremembo vpliva na EU in CH, pogodbenica, ki je zabeležila zahtevek za spremembo, preveri ocenjevanje in načrtovanje spremembe skupaj z drugo pogodbenico.

7.3 Odobritve sprememb

Vsak evidentirani zahtevek za spremembo je treba potrditi na ustrezni ravni prenosa.

7.4 Izvedba sprememb

Spremembe se izvedejo v okviru postopka upravljanja izdaj. Skupini za upravljanje izdaj obeh pogodbenic upoštevata lastne postopke, ki vključujejo načrtovanje in preskušanje. Ko je izvedba končana, se spremembe pregledajo. Za zagotovitev, da je vse izvedeno v skladu z načrtom, se postopek upravljanja spremembe redno pregleduje in po potrebi posodablja.

8. Upravljanje izdaj

Izdaja predstavlja eno ali več sprememb storitve IT, zbranih v načrtu izdaje, ki jo bo treba odobriti, pripraviti, zgraditi, preskusiti in uvesti. Izdaja lahko predstavlja odpravljanje programske napake, spremembo strojne opreme ali drugih sestavnih delov, spremembe programske opreme, posodobitve različic aplikacij, spremembe dokumentacije in/ali postopkov. Vsebina vsake izdaje se upravlja, preskuša in uvede kot ena entiteta.

Namen upravljanja izdaj je načrtovati, zgraditi, preskusiti in odobriti ter uresničiti zmogljivost za zagotovitev načrtovanih storitev, s katero bodo izpolnjene zahteve deležnikov in doseženi zastavljeni cilji. Merila za sprejemljivost vseh sprememb storitve se opredelijo in dokumentirajo med usklajevanjem zasnove ter zagotovijo skupinama za upravljanje izdaj.

Izdaja običajno vsebuje več rešitev težav in izboljšav storitve. Vsebuje zahtevano novo ali spremenjeno programsko opremo in vso novo ali spremenjeno strojno opremo, potrebno za izvedbo odobrenih sprememb.

8.1 Načrtovanje izdaje

Prvi korak v postopku vsebuje dodelitev odobrenih sprememb svežnjem izdaj ter opredelitev obsega in vsebine izdaj. Na podlagi teh informacij se v okviru načrtovanja izdaje pripravi časovni razpored priprave, preskušanja in uvedbe izdaje.

Pri načrtovanju bi bilo treba opredeliti:

— obseg in vsebino izdaje,

— oceno in profil tveganja za izdajo,

— stranke/uporabnike, na katere izdaja vpliva,

— skupino, odgovorno za izdajo,

— strategijo izročitve in uvedbe,

— vire za izdajo in njihovo uvedbo.

Pogodbenici se medsebojno obvestita o načrtovanih izdajah in obdobjih vzdrževanja. Če izdaja vpliva na EU in CH, obe usklajujeta načrtovanje in določita skupno obdobje vzdrževanja.

8.2 Priprava in preskus svežnja izdaje

Med pripravo in preskusom v okviru postopka upravljanja izdaje se določi pristop izvajanja izdaje ali svežnja izdaje ter vzdrževanja nadzorovanih okolij pred spremembo produkcije in preskušanja vseh sprememb v vseh izdanih okoljih.

Če izdaja vpliva na EU in CH, obe usklajujeta načrte izročitve in preskuse. To vključuje naslednje vidike:

— kako in kdaj bodo izročene enote izdaje in sestavni deli storitve,

— kakšen je potreben čas za izvedbo, kaj se zgodi v primeru zamude,

— kako slediti napredku izročitve in pridobiti potrditev,

— metriko za spremljanje in določanje uspeha pri uvedbi izdaje,

— skupne primere preskušanja ustreznih funkcij in sprememb.

Na koncu tega dela postopka so vsi zahtevani sestavni deli izdaje pripravljeni na fazo dejanske uvedbe.

8.3 Priprava na uvedbo

V okviru postopka priprave se zagotavlja, da so komunikacijski načrti pravilno opredeljeni, da so obvestila pripravljena za pošiljanje vsem deležnikom in končnim uporabnikom, na katere to vpliva, ter da je izdaja vključena v postopek upravljanja sprememb, s čimer se zagotovi, da se vse spremembe izvedejo nadzorovano in so odobrene v ustreznih forumih.

Če izdaja vpliva na EU in CH, obe usklajujeta naslednje dejavnosti:

— evidentiranje zahtevkov za spremembe za časovni razpored in pripravo uvedbe v produkcijskem okolju,

— pripravo načrta izvedbe,

— postopek povrnitve zaradi ponovne vzpostavitve prejšnjega stanja v primeru napake pri uvedbi,

— pošiljanje obvestil vsem zadevnim stranem,

— zahtevanje odobritve za izvedbo izdaje na ustrezni ravni prenosa.

8.4 Povrnitev izdaje

Če uvedba ni bila uspešno izvedena ali če je bilo pri preskušanju ugotovljeno, da ni bila uspešna ali da niso bila izpolnjena dogovorjena merila za sprejemljivost/kakovost, morata skupini za upravljanje izdaje obeh pogodbenic povrniti prejšnje stanje. Obvestiti je treba vse zadevne deležnike, vključno s končnimi uporabniki, na katere je to vplivalo/ki jim je bila izdaja namenjena. Postopek se lahko v čakanju na odobritev ponovno začne na kateri koli od prejšnjih ravni.

8.5 Pregled in zaključek izdaje

Pregled uvedbe bi moral vključevati naslednje dejavnosti:

— zajemanje povratnih informacij o zadovoljstvu stranke, uporabnika in dobavitelja storitve z uvedbo (zbiranje povratnih informacij in njihovo upoštevanje za nenehno izboljševanje storitve),

— pregled vseh meril kakovosti, ki niso bila izpolnjena,

— preverjanje, da so končane vse dejavnosti, potrebne odprave napak in spremembe,

— zagotavljanje, da ob koncu postavitve ni nobenih težav, povezanih z zmožnostjo, virom, zmogljivostjo ali učinkovitostjo,

— preverjanje, da so stranka, končni uporabniki, izvajalci operativne podpore in druge zadevne strani dokumentirali in sprejeli vse težave, znane napake in alternativne rešitve,

— spremljanje incidentov in težav, ki nastanejo zaradi uvedbe (zagotavljanje zgodnje podpore operativnim skupinam, kadar se zaradi izdaje poveča obseg dela),

— posodabljanje podporne dokumentacije (tj. dokumentov s tehničnimi informacijami),

— uraden prenos uvedbe izdaje na operativne naloge storitve,

— dokumentiranje pridobljenih izkušenj,

— pridobivanje zbirnih dokumentov o izdaji pri izvajalskih skupinah,

— uraden zaključek izdaje po preverjanju dokumentacije, povezane z zahtevkom za spremembe.

9. Obvladovanje varnostnih incidentov

Obvladovanje varnostnih incidentov je postopek za obravnavo varnostnih incidentov, da bi se omogočilo obveščanje vseh deležnikov, na katere bi incidenti lahko vplivali, o teh incidentih, ocenjevanje in prednostno razvrščanje incidentov ter odziv na incident za odpravo vseh dejanskih kršitev zaupnosti, razpoložljivosti ali celovitosti občutljivih informacijskih sredstev, suma teh kršitev ali potencialnih kršitev.

9.1 Kategorizacija incidentov v zvezi z informacijsko varnostjo

Za opredelitev možne kršitve zaupnosti, celovitosti ali razpoložljivosti katerih koli občutljivih informacij, evidentiranih v seznamu občutljivih informacij (SIL), se analizirajo vsi incidenti, ki vplivajo na povezavo med registrom Unije in švicarskim registrom.

V tem primeru se incident označi kot incident v zvezi z informacijsko varnostjo, nemudoma evidentira v orodju za upravljanje storitev IT (ITSM) ter obravnava kot tak.

9.2 Ravnanje v primeru incidentov v zvezi z informacijsko varnostjo

Odgovornost za varnostne incidente je na tretji ravni prenosa, za reševanje pa je pristojna posebna skupina za obvladovanje incidentov (IMT).

Skupina IMT je odgovorna za:

— izvedbo prve analize, kategorizacijo in oceno resnosti incidenta,

— usklajevanje ukrepov med vsemi zainteresiranimi stranmi, vključno s popolno dokumentacijo o analizi incidenta, sprejetimi odločitvami za obravnavo incidenta in katerimi koli možnimi opredeljenimi pomanjkljivostmi,

— odvisno od resnosti varnostnega incidenta, pravočasen prenos incidenta na primerno raven v vednost in/ali za sprejetje odločitve.

V postopku obvladovanja incidentov v zvezi z informacijsko varnostjo se vse informacije o incidentih razvrstijo na najvišjo raven občutljivosti informacij, nikakor pa ne nižje od ETS OBČUTLJIVA.

V primeru preiskav, ki potekajo, in/ali pomanjkljivosti, ki bi jo bilo mogoče izkoristiti, se do njene odprave informacije označijo kot ETS KRITIČNA.

9.3 Opredelitev varnostnega incidenta

Na podlagi vrste varnostnega dogodka uradnik za informacijsko varnost določi ustrezne organizacije, ki se vključijo in so del skupine IMT.

9.4 Analiza varnostnega incidenta

Skupina IMT se za pregled incidenta poveže z vsemi vključenimi organizacijami in ustreznimi člani njihovih skupin, kakor je ustrezno. Med analizo se opredeli obseg izgube zaupnosti, celovitosti ali razpoložljivosti sredstva ter ocenijo posledice za vse organizacije, na katere je to vplivalo. Nato se opredelijo začetni in nadaljnji ukrepi za rešitev incidenta in obvladovanje njegovega vpliva, vključno z vplivom teh ukrepov na vir.

9.5 Ocenjevanje resnosti varnostnega incidenta, prenos na višjo raven in poročanje

Skupina IMT oceni resnost vseh novih varnostnih incidentov po njihovi opredelitvi kot varnostih incidentov in začne izvajati takojšnje potrebne ukrepe v skladu z resnostjo incidenta.

9.6 Poročanje o odzivu na varnostni incident

Skupina IMT v poročilo o odzivu na incident v zvezi z informacijsko varnostjo vključi rezultate zajezitve incidenta in obnovitve. Poročilo se tretji ravni reševanja pošlje po varni elektronski pošti ali z drugim medsebojno sprejetim sredstvom varnega komuniciranja.

Odgovorna pogodbenica pregleda rezultate zajezitve in obnovitve ter:

— ponovno vzpostavi povezavo med registroma v primeru predhodne prekinitve povezave,

— pošlje sporočila o incidentu skupinam registrov,

— zaključi incident.

Skupina IMT bi morala v poročilo o incidentu v zvezi z informacijsko varnostjo varno vključiti ustrezne podrobnosti, da bi zagotovila dosledno evidentiranje in komuniciranje ter omogočila hitro in ustrezno ukrepanje za zajezitev incidenta. Po zaključku postopka skupina IMT pravočasno pošlje končno poročilo o incidentu v zvezi z informacijsko varnostjo.

9.7 Spremljanje, krepitev zmogljivosti in nenehno izboljševanje

Skupina IMT bo zagotovila poročila o vseh varnostnih incidentih tretji ravni prenosa. Poročila bodo na tej ravni prenosa uporabljena za določitev:

— pomanjkljivosti v varnostnem nadzoru in/ali dejavnostih, ki jih je treba okrepiti,

— možne potrebe po okrepitvi tega postopka, da bi se izboljšala učinkovitost pri odzivanju na incidente,

— možnosti za usposabljanje in krepitev zmogljivosti za nadaljnjo krepitev odpornosti sistemov registra z vidika informacijske varnosti ter zmanjšanje tveganja prihodnjih incidentov in njihovega vpliva.

10. Upravljanje informacijske varnosti

Namen upravljanja informacijske varnosti je zagotoviti zaupnost, celovitost in razpoložljivost zaupnih informacij, podatkov in storitev IT organizacije. Poleg tehničnih sestavnih delov, vključno z njihovo zasnovo in preskušanjem (glej LTS), so za izpolnjevanje varnostnih zahtev za začasno rešitev potrebni naslednji skupni operativni postopki.

10.1 Opredelitev občutljivih informacij

Občutljivost informacije se oceni tako, da se določi, kakšen vpliv na podjetje (npr. finančne izgube, poslabšanje podobe, kršitev prava ...) bi lahko imela kršitev varnostnih predpisov, povezana s to informacijo.

Občutljiva informacijska sredstva se opredelijo na podlagi njihovega vpliva na povezavo.

Raven občutljivosti teh informacij se oceni v skladu z lestvico občutljivosti, ki se uporablja za to povezavo, in opredeli v oddelku „Ravnanje v primeru incidentov v zvezi z informacijsko varnostjo“ tega dokumenta.

10.2 Ravni občutljivosti informacijskih sredstev

Informacijska sredstva se ob opredelitvi razvrstijo na podlagi naslednjih pravil:

— če je opredeljena vsaj ena VISOKA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS KRITIČNO,

— če je opredeljena vsaj ena SREDNJA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS OBČUTLJIVO,

— če je opredeljena samo NIZKA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS OMEJENO.

10.3 Določitev lastnika informacijskih sredstev

Vsa informacijska sredstva bi morala imeti določenega lastnika. Informacijska sredstva sistema za trgovanje z emisijami, ki pripadajo EUTL in SSTL ali so povezana s povezavo med EUTL in SSTL, bi morala biti vključena v skupni seznam sredstev, ki ga vodita obe pogodbenici. Informacijska sredstva sistema za trgovanje z emisijami zunaj povezave med EUTL in SSTL bi morala biti vključena v seznam sredstev, ki ga vodi zadevna pogodbenica.

Pogodbenici se dogovorita o lastništvu vseh informacijskih sredstev, ki pripadajo EUTL in SSTL ali so povezana s povezavo med EUTL in SSTL. Lastnik informacijskega sredstva je odgovoren za oceno njegove občutljivosti.

Lastnik bi moral imeti primerne izkušnje glede na vrednost dodeljenih sredstev. O odgovornosti lastnika za sredstva in njegovi obveznosti ohranjanja zahtevane ravni zaupnosti, celovitosti in razpoložljivosti bi se bilo treba dogovoriti in ta dogovor formalizirati.

10.4 Evidentiranje občutljivih informacij

Vse občutljive informacije se evidentirajo v seznamu občutljivih informacij (SIL).

Kjer je to ustrezno, se upošteva združevanje občutljivih informacij, ki bi lahko povzročilo večji vpliv od vpliva ene same informacije, to pa se nato evidentira v seznam SIL (npr. sklop informacij, shranjenih v podatkovni zbirki sistema).

Seznam SIL se nenehno spreminja. Grožnje, ranljivosti, verjetnost ali posledice varnostnih incidentov, povezanih s sredstvi, se lahko spremenijo brez kakršnega koli namiga, v delovanje sistemov registra pa se lahko vnesejo nova sredstva.

Zato se seznam SIL redno pregleduje, vse nove informacije, opredeljene kot občutljive, pa se nemudoma evidentirajo v seznamu SIL.

Seznam SIL za vsak vnos vsebuje vsaj naslednje informacije:

— opis informacije,

— lastnik informacije,

— raven občutljivosti,

— oznaka, če informacije vključujejo osebne podatke

— dodatne informacije, če se zahtevajo.

10.5 Ravnanje z občutljivimi informacijami

Kadar se občutljive informacije obdelujejo zunaj povezave med registrom Unije in švicarskim registrom, se z njimi ravna v skladu z navodili za ravnanje.

Z občutljivimi informacijami, ki se obdelujejo s povezavo med registrom Unije in švicarskim registrom, se ravna v skladu z varnostnimi zahtevami pogodbenic.

10.6 Upravljanje dostopa

Namen upravljanja dostopa je dodeliti pooblaščenim uporabnikom pravico do uporabe storitve in obenem preprečiti dostop nepooblaščenim uporabnikom. Upravljanje dostopa se včasih imenuje tudi „upravljanje pravic“ ali „upravljanje identitete“.

Za začasno rešitev in njeno izvedbo morata obe pogodbenici imeti dostop do naslednjih sestavnih delov:

— okolja Wiki: sodelovalno okolje za izmenjavo splošnih informacij, kot je načrtovanje izdaje,

— orodja za upravljanje storitve IT (ITSM) za obvladovanje incidentov in odpravljanje težav (glej poglavje 3 „Pristopi in standardi“),

— sistema za izmenjavo sporočil: vsaka pogodbenica zagotovi varen sistem za prenos za izmenjavo sporočil, ki vsebujejo podatke o transakciji.

Administrator švicarskega registra in centralni administrator Unije zagotovita, da so dostopi posodobljeni in delujejo kot kontaktne točke za pogodbenici za dejavnosti upravljanja dostopa. Zahtevki za dostop se obravnavajo v skladu s postopki izpolnjevanja zahtevkov.

10.7 Upravljanje potrdil/ključev

Vsaka pogodbenica je odgovorna za svoje upravljanje potrdila/ključa (ustvarjanje, evidentiranje, hramba, namestitev, uporaba, obnovitev, preklic, varnostno kopijo in obnovitev potrdil/ključev). Kot je pojasnjeno v tehničnih standardih za povezavo (LTS), se uporabljajo samo digitalna potrdila, ki jih izda overitelj potrdil, ki mu zaupata obe pogodbenici. Pri ravnanju s potrdili/ključi in njihovi hrambi je treba upoštevati določbe iz navodil za ravnanje.

Vsak preklic in/ali obnovitev potrdil in ključev usklajujeta obe pogodbenici. Izvaja se v skladu s postopki izpolnjevanja zahtevkov.

Administrator švicarskega registra in centralni administrator Unije si bosta izmenjevala potrdila/ključe po varnih komunikacijskih sredstvih v skladu z določbami iz navodil za ravnanje.

Vsako preverjanje potrdil/ključev v katerem koli sredstvu med pogodbenicama se opravi po drugi poti.