CELEX: 22021D1033
Language: hr
Date: 2020-11-05 00:00:00
Title: Odluka br. 1/2020 Zajedničkog odbora osnovanog na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova od 5. studenoga 2020. o donošenju zajedničkih operativnih postupaka [2021/1033]

25.6.2021   
               
               
                  HR
               
               
                  Službeni list Europske unije
               
               
                  L 226/2
               
            
         ODLUKA br. 1/2020 ZAJEDNIČKOG ODBORA OSNOVANOG NA TEMELJU SPORAZUMA IZMEĐU EUROPSKE UNIJE I ŠVICARSKE KONFEDERACIJE O POVEZIVANJU NJIHOVIH SUSTAVA TRGOVANJA EMISIJAMA STAKLENIČKIH PLINOVA
         od 5. studenoga 2020.
         o donošenju zajedničkih operativnih postupaka [2021/1033]
         ZAJEDNIČKI ODBOR,
         uzimajući u obzir Sporazum između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova (1) („Sporazum”), a posebno njegov članak 3. stavak 6.,
         budući da:
         
                     (1)
                  
                  
                     Odlukom br. 2/2019 Zajedničkog odbora od 5. prosinca 2019. (2) izmijenjeni su prilozi I. i II. Sporazumu, čime su ispunjeni uvjeti za povezivanje kako je utvrđeno u Sporazumu.
                  
               
                     (2)
                  
                  
                     Nakon donošenja Odluke br. 2/2019 Zajedničkog odbora i u skladu s člankom 21. stavkom 3. Sporazuma stranke su razmijenile svoje isprave o ratifikaciji ili odobrenju jer smatraju da su ispunjeni svi uvjeti za povezivanje kako je utvrđeno u Sporazumu.
                  
               
                     (3)
                  
                  
                     Sporazum je stupio na snagu 1. siječnja 2020. u skladu sa svojim člankom 21. stavkom 4.
                  
               
                     (4)
                  
                  
                     U skladu s člankom 3. stavkom 6. Sporazuma administrator švicarskog registra i središnji administrator Unije trebali bi utvrditi zajedničke operativne postupke povezane s tehničkim i drugim pitanjima bitnima za funkcioniranje veze između Dnevnika transakcija Europske unije (EUTL) u okviru registra Unije i Švicarskog dopunskog dnevnika transakcija (SSTL) u okviru švicarskog registra uzimajući u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci trebali bi stupiti na snagu kad se donesu odlukom Zajedničkog odbora.
                  
               
                     (5)
                  
                  
                     U skladu s člankom 13. stavkom 1. Sporazuma Zajednički odbor trebao bi dogovoriti tehničke smjernice kako bi se osigurala pravilna provedba Sporazuma, uključujući tehnička i druga pitanja potrebna za funkcioniranje povezivanja, uzimajući u obzir prioritete domaćeg zakonodavstva. Tehničke smjernice može oblikovati radna skupina osnovana u skladu s člankom 12. stavkom 5. Sporazuma. Radna skupina trebala bi uključivati barem administratora švicarskog registra i središnjeg administratora Unije te bi trebala pomagati Zajedničkom odboru u njegovim funkcijama u skladu s člankom 13. Sporazuma.
                  
               
                     (6)
                  
                  
                     S obzirom na tehničku prirodu smjernica i potrebu da se prilagođavaju aktualnom razvoju događaja, tehničke smjernice koje su izradili administrator švicarskog registra i središnji administrator Unije trebalo bi dostaviti Zajedničkom odboru radi obavijesti ili, prema potrebi, odobrenja,
                  
               DONIO JE OVU ODLUKU:
         
            Članak 1.
            Donose se zajednički operativni postupci priloženi ovoj Odluci.
         
         
            Članak 2.
            Osniva se radna skupina u skladu s člankom 12. stavkom 5. Sporazuma. Ona pomaže Zajedničkom odboru u osiguravanju pravilne provedbe Sporazuma, uključujući izradu tehničkih smjernica za provedbu zajedničkih operativnih postupaka.
            U radnoj skupini sudjeluju barem administrator švicarskog registra i središnji administrator Unije.
         
         
            Članak 3.
            Ova Odluka stupa na snagu na dan donošenja.
         
         
            Sastavljeno u Bruxellesu 5. studenoga 2020.
            
               
                  Za Zajednički odbor
               
               
                  Tajnica za Europsku uniju
               
               Maja-Alexandra DITTEL
            
            
               
                  Predsjednica
               
               Beatriz YORDI
            
            
               
                  Tajnica za Švicarsku
               
               Caroline BAUMANN
            
         
         
            (1)  SL L 322, 7.12.2017., str. 3.
         
         
            (2)  Odluka br. 2/2019 Zajedničkog odbora osnovanog na temelju Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova od 5. prosinca 2019. o izmjeni priloga I. i II. Sporazumu između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova (SL L 314, 29.9.2020., str. 68.).
      
      
         
            PRILOG
            Zajednički operativni postupci u skladu s člankom 3. stavkom 6. Sporazuma između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova
            POSTUPCI ZA PRIVREMENO RJEŠENJE
            1.   Pojmovnik
            
            
               Tablica 1-1
            
            
               Pokrate i definicije
            
            
                        Pokrata/termin
                     
                     
                        Definicija
                     
                  
                        Certifikacijsko tijelo
                     
                     
                        Subjekt koji izdaje digitalne certifikate
                     
                  
                        CH
                     
                     
                        Švicarska Konfederacija
                     
                  
                        ETS
                     
                     
                        Sustav trgovanja emisijama
                     
                  
                        EU
                     
                     
                        Europska unija
                     
                  
                        IMT
                     
                     
                        Tim za upravljanje incidentima (eng. Incident Management Team)
                     
                  
                        Informacijska imovina
                     
                     
                        Informacija koja je vrijedna poduzeću ili organizaciji
                     
                  
                        IT
                     
                     
                        Informacijska tehnologija
                     
                  
                        ITIL
                     
                     
                        Popis infrastrukture informacijskih tehnologija (eng. Information Technology Infrastructure Library)
                     
                  
                        ITSM
                     
                     
                        Upravljanje IT uslugama
                     
                  
                        LTS
                     
                     
                        Tehnički standardi za povezivanje (eng. Linking Technical Standards)
                     
                  
                        Registar
                     
                     
                        Sustav za obračunavanje emisijskih jedinica izdanih u okviru ETS-a, u kojem se prati vlasništvo nad emisijskim jedinicama koje se drže na elektroničkim računima
                     
                  
                        RFC
                     
                     
                        Zahtjev za promjenu (eng. Request For Change)
                     
                  
                        SIL
                     
                     
                        Popis osjetljivih informacija (eng. Sensitive Information List)
                     
                  
                        SR
                     
                     
                        Zahtjev za uslugu (eng. Service Request)
                     
                  
                        Wiki
                     
                     
                        Internetska stranica koja korisnicima omogućava razmjenu informacija i znanja dodavanjem ili prilagođavanjem sadržaja izravno putem internetskog preglednika
                     
                  2.   Uvod
            
            Sporazumom između Europske unije i Švicarske Konfederacije o povezivanju njihovih sustava trgovanja emisijama stakleničkih plinova od 23. studenoga 2017. („Sporazum”) omogućava se međusobno priznavanje emisijskih jedinica koje se mogu iskoristiti za ispunjenje obveze u okviru sustava trgovanja emisijskim jedinicama stakleničkih plinova Europske unije („ETS EU-a”) ili sustava trgovanja emisijskim jedinicama Švicarske („ETS Švicarske”). Kako bi veza između ETS-a EU-a i ETS-a Švicarske postala operativna, uspostavlja se izravna veza između Dnevnika transakcija Europske unije (EUTL) u okviru registra Unije i Švicarskog dopunskog dnevnika transakcija (SSTL) u okviru švicarskog registra, čime će se omogućiti prijenos emisijskih jedinica izdanih u okviru tih ETS-ova iz jednog registra u drugi (članak 3. stavak 2. Sporazuma). Kako bi veza između ETS-a EU-a i ETS-a Švicarske postala operativna, do svibnja 2020. ili što je prije moguće nakon toga uvodi se privremeno rješenje. Stranke surađuju kako bi privremeno rješenje što prije zamijenile trajnom vezom između registara (Prilog II. Sporazumu).
            U skladu s člankom 3. stavkom 6. Sporazuma administrator švicarskog registra i središnji administrator Unije utvrđuju zajedničke operativne postupke povezane s tehničkim i drugim pitanjima potrebnima za funkcioniranje povezivanja, uzimajući pri tom u obzir prioritete domaćeg zakonodavstva. Zajednički operativni postupci koje utvrde administratori počinju proizvoditi učinke kad se donesu odlukom Zajedničkog odbora.
            Kako je navedeno u ovom dokumentu, zajedničke operativne postupke donosi Zajednički odbor Odlukom br. 1/2020. U skladu s tom odlukom Zajednički odbor traži da administrator švicarskog registra i središnji administrator Unije izrade daljnje tehničke smjernice kako bi veza postala operativna i kako bi se osiguralo da se zajednički operativni postupci stalno prilagođavaju tehničkom napretku i novim zahtjevima u pogledu sigurnosti i zaštite veze te njezina djelotvornog i učinkovitog funkcioniranja.
            2.1.   Područje primjene
            
            Ovaj dokument predstavlja zajednički dogovor stranaka Sporazuma u pogledu utvrđivanja proceduralnih temelja veze između registara ETS-a EU-a i ETS-a Švicarske. Iako se u njemu navode opći postupovni zahtjevi u pogledu rada, bit će potrebne dodatne tehničke smjernice kako bi veza postala operativna.
            Za njezino pravilno funkcioniranje bit će potrebne tehničke specifikacije za bolju operativnost. U skladu s člankom 3. stavkom 7. Sporazuma ta su pitanja detaljno razrađena u dokumentu o tehničkim standardima za povezivanje, koji treba biti zasebno donesen odlukom Zajedničkog odbora.
            Cilj je zajedničkih operativnih postupaka osigurati da se IT usluge povezane s funkcioniranjem veze između registara ETS-a EU-a i ETS-a Švicarske pružaju djelotvorno i učinkovito, posebno za ispunjavanje zahtjeva za uslugu, rješavanje propusta u pružanju usluga, rješavanje problema te obavljanje rutinskih operativnih zadaća u skladu s međunarodnim standardima za upravljanje IT uslugama.
            Za dogovoreno privremeno rješenje bit će potrebni samo sljedeći zajednički operativni postupci, koji su dio ovog dokumenta:
            
                        —
                     
                     
                        upravljanje incidentima,
                     
                  
                        —
                     
                     
                        upravljanje problemima,
                     
                  
                        —
                     
                     
                        ispunjavanje zahtjeva,
                     
                  
                        —
                     
                     
                        upravljanje promjenama,
                     
                  
                        —
                     
                     
                        upravljanje izdanjima,
                     
                  
                        —
                     
                     
                        upravljanje incidentima u području sigurnosti,
                     
                  
                        —
                     
                     
                        upravljanje sigurnošću informacija.
                     
                  Kad se kasnije uspostavi trajna veza između registara, zajednički operativni postupci morat će se prema potrebi prilagoditi i dopuniti.
            2.2.   Adresati
            
            Ovi zajednički operativni postupci namijenjeni su timovima za potporu registara EU-a i Švicarske.
            3.   Pristup i standardi
            
            Sljedeće se načelo primjenjuje na sve zajedničke operativne postupke:
            
                        —
                     
                     
                        EU i Švicarska suglasni su utvrditi zajedničke operativne postupke na temelju Popisa infrastrukture informacijskih tehnologija (ITIL, verzija 3.). Prakse iz tog standarda ponovno se upotrebljavaju i prilagođavaju posebnim potrebama povezanima s privremenim rješenjem,
                     
                  
                        —
                     
                     
                        komunikacija i koordinacija potrebne za obradu zajedničkih operativnih postupaka između dviju stranaka provode se putem službi za podršku u okviru registara Švicarske i EU-a. Zadaće se uvijek dodjeljuju unutar jedne stranke,
                     
                  
                        —
                     
                     
                        slučajeve neslaganja o postupanju u okviru određenog zajedničkog operativnog postupka analiziraju i rješavaju obje službe za podršku. Ako se ne može postići dogovor, zajedničko rješenje traži se na sljedećoj razini:
                        
                                    Razine upućivanja
                                 
                                 
                                    EU
                                 
                                 
                                    CH
                                 
                              
                                    1. razina
                                 
                                 
                                    EU-ova služba za podršku
                                 
                                 
                                    Švicarska služba za podršku
                                 
                              
                                    2. razina
                                 
                                 
                                    EU-ov upravitelj operacija
                                 
                                 
                                    Švicarski upravitelj za primjenu registra
                                 
                              
                                    3. razina
                                 
                                 
                                    Zajednički odbor (koji može delegirati tu odgovornost uzimajući u obzir članak 12. stavak 5. Sporazuma)
                                 
                              
                                    4. razina
                                 
                                 
                                    Zajednički odbor, u slučaju delegiranja s 3. razine
                                 
                              
                  ,
            
                        —
                     
                     
                        svaka stranka može utvrditi postupke za rad svojeg sustava registra, uzimajući u obzir zahtjeve i sučelja povezane s navedenim zajedničkim operativnim postupcima,
                     
                  
                        —
                     
                     
                        alat za upravljanje IT uslugama (ITSM) upotrebljava se za potporu zajedničkim operativnim postupcima, posebno za upravljanje incidentima, upravljanje problemima i ispunjavanje zahtjeva te komunikaciju između stranaka,
                     
                  
                        —
                     
                     
                        osim toga, dopuštena je i razmjena informacija e-poštom,
                     
                  
                        —
                     
                     
                        obje stranke osiguravaju ispunjavanje zahtjeva u pogledu sigurnosti informacija u skladu s uputama o postupanju.
                     
                  4.   Upravljanje incidentima
            
            Cilj je postupka za upravljanje incidentima vratiti IT usluge na uobičajenu razinu što je brže moguće nakon incidenta i uz minimalan prekid poslovanja.
            U okviru upravljanja incidentima također bi trebalo voditi evidenciju incidenata za potrebe izvješćivanja te bi se taj postupak trebao integrirati s drugim procesima kako bi se potaknulo stalno poboljšavanje.
            Upravljanje incidentima općenito obuhvaća sljedeće aktivnosti:
            
                        —
                     
                     
                        otkrivanje i bilježenje incidenata,
                     
                  
                        —
                     
                     
                        klasifikaciju i početnu potporu,
                     
                  
                        —
                     
                     
                        istraživanje i dijagnosticiranje,
                     
                  
                        —
                     
                     
                        rješavanje i oporavak,
                     
                  
                        —
                     
                     
                        zatvaranje incidenata.
                     
                  Tijekom životnog ciklusa incidenta na temelju postupka za upravljanje incidentima utvrđuje se odgovornost u svakom trenutku te način nadzora, praćenja i komunikacije.
            4.1.   Otkrivanje i bilježenje incidenata
            
            Incident može otkriti skupina za podršku, automatizirani alat za praćenje ili tehničko osoblje koje provodi rutinski nadzor.
            Nakon što se incident otkrije, mora se zabilježiti i mora mu se dodijeliti jedinstvena identifikacijska oznaka kako bi se omogućilo pravilno praćenje i nadzor incidenta. Jedinstvena identifikacijska oznaka incidenta identifikacijska je oznaka koju je u zajedničkom sustavu za otvaranje zahtjeva dodijelila služba za podršku stranke koja je prijavila incident (EU ili Švicarska) i mora se upotrebljavati u svoj komunikaciji povezanoj s tim incidentom.
            Kontaktna točka za svaki incident trebala bi biti služba za podršku stranke koja je prijavila incident.
            4.2.   Klasifikacija i početna potpora
            
            Cilj klasifikacije incidenta jest razumjeti i utvrditi koji su sustav i/ili usluga pogođeni i u kojoj mjeri. Djelotvornom klasifikacijom incident bi se odmah trebao usmjeriti do odgovarajućeg resursa kako bi se što brže riješio.
            U fazi klasifikacije incident bi se trebao kategorizirati i trebalo bi mu odrediti prioritet u skladu s njegovim učinkom i hitnošću kako bi se riješio u odgovarajućem vremenskom okviru.
            Ako bi incident mogao utjecati na povjerljivost ili cjelovitost osjetljivih podataka i/ili na dostupnost sustava, proglašava se i sigurnosnim incidentom te se njime nadalje upravlja u skladu s postupkom definiranim u poglavlju „Upravljanje incidentima u području sigurnosti” ovog dokumenta.
            Ako je moguće, početnu dijagnozu obavlja služba za podršku koja je prijavila incident. Tijekom tog postupka ta će služba za podršku vidjeti radi li se o već poznatoj pogrešci. U tom će slučaju način rješavanja ili zaobilaženja incidenta već biti poznat i dokumentiran.
            Ako služba za podršku u toj fazi uspješno riješi incident, zatvorit će ga jer je glavna svrha upravljanja incidentima (brza ponovna uspostava usluge za krajnjeg korisnika) ispunjena. Ako ga ne riješi, proslijedit će ga odgovarajućoj skupini za rješavanje incidenata radi daljnjeg istraživanja i dijagnosticiranja.
            4.3.   Istraživanje i dijagnosticiranje
            
            Istraživanje i dijagnosticiranje incidenata provode se kad služba za podršku ne može riješiti incident u okviru početne dijagnoze te ga stoga upućuje na odgovarajuću razinu. Upućivanje incidenata sastavni je dio postupka istraživanja i dijagnosticiranja.
            Uobičajena je praksa u fazi istraživanja i dijagnosticiranja pokušati ponoviti incident u kontroliranim uvjetima. Tijekom istraživanja i dijagnosticiranja važno je razumjeti točan redoslijed događaja koji su doveli do incidenta.
            Upućivanje znači uviđanje da se incident ne može riješiti na trenutačnoj razini potpore i da se mora proslijediti skupini za potporu na višoj razini ili drugoj stranci. Incident se može uputiti na dva načina: horizontalno (funkcionalno) ili vertikalno (hijerarhijski).
            Služba za podršku koja je zabilježila i otvorila incident odgovorna je za upućivanje incidenta prema odgovarajućem resursu te za praćenje općeg statusa i dodjele incidenta.
            Stranka kojoj je incident dodijeljen odgovorna je za osiguravanje pravovremene provedbe traženih mjera i pružanje povratnih informacija svojoj službi za podršku.
            4.4.   Rješavanje i oporavak
            
            Rješavanje incidenata i oporavak provode se nakon postizanja potpunog razumijevanja incidenta. Pronalaženje rješenja incidenta znači da je utvrđen način da se taj problem ukloni. Čin rješavanja faza je oporavka.
            Nakon što odgovarajući resursi riješe propust u pružanju usluge, incident se vraća u relevantnu službu za podršku koja je prijavila incident te ta služba s pokretačem incidenta potvrđuje da je pogreška ispravljena i da se incident može zatvoriti. Rezultati obrade incidenta bilježe se za buduću uporabu.
            Oporavak može obaviti osoblje za informatičku podršku ili se krajnjem korisniku daju upute koje treba slijediti.
            4.5.   Zatvaranje incidenta
            
            Zatvaranje je završni korak u postupku upravljanja incidentima i odvija se ubrzo nakon rješavanja incidenta.
            Među radnjama koje treba obaviti u fazi zatvaranja ističu se sljedeće:
            
                        —
                     
                     
                        provjera početne kategorizacije incidenta,
                     
                  
                        —
                     
                     
                        pravilno bilježenje svih informacija povezanih s incidentom,
                     
                  
                        —
                     
                     
                        odgovarajuće dokumentiranje incidenta i ažuriranje baze znanja,
                     
                  
                        —
                     
                     
                        odgovarajuća komunikacija sa svim dionicima na koje incident izravno ili neizravno utječe.
                     
                  Incident se službeno zatvara nakon što služba za podršku završi fazu zatvaranja incidenta i o tome obavijesti drugu stranku.
            Nakon što se incident zatvori, više se ne otvara. Ako se incident uskoro ponovi, ne otvara se prvotni incident nego se prijavljuje novi.
            Ako incident prate službe za podršku EU-a i Švicarske, konačno zatvaranje odgovornost je službe za podršku koja ga je prijavila.
            5.   Upravljanje problemima
            
            Taj bi postupak trebalo slijediti kad god se utvrdi problem i stoga pokrene postupak za upravljanje problemima. Upravljanje problemima usmjereno je na poboljšanje kvalitete i smanjenje broja zabilježenih incidenata. Problem može biti uzrok jednog ili više incidenata. Kad se prijavi incident, cilj je upravljanja incidentima što brže ponovno uspostaviti uslugu, među ostalim zaobilaženjem problema. Kad se pojavi problem, cilj je pronaći njegov uzrok kako bi se utvrdilo što je potrebno promijeniti kako bi se osiguralo da više ne dođe do tog problema ni povezanih incidenata.
            5.1.   Identifikacija i bilježenje problema
            
            Ovisno o tome koja je stranka prijavila problem, kontaktna točka za pitanja povezana s tim problemom bit će služba za podršku EU-a ili Švicarske.
            Jedinstvena identifikacijska oznaka problema identifikacijska je oznaka koju dodjeljuje služba za upravljanje IT uslugama (ITSM) i mora se upotrebljavati u svoj komunikaciji povezanoj s tim problemom.
            Problem može biti uzrokovan incidentom ili može u bilo kojem trenutku biti pokrenut na vlastitu inicijativu kako bi se otklonile poteškoće otkrivene u sustavu.
            5.2.   Određivanje prioriteta problema
            
            Kako bi se olakšalo njihovo praćenje, problemi se mogu kategorizirati prema ozbiljnosti i prioritetu na isti način kao i incidenti, uzimajući u obzir učinak povezanih incidenata i njihovu učestalost.
            5.3.   Istraživanje i dijagnosticiranje problema
            
            Svaka stranka može prijaviti problem. Služba za podršku stranke koja je prijavila problem bit će odgovorna za evidentiranje problema, dodjeljivanje problema odgovarajućem resursu i praćenje općeg statusa problema.
            Skupina za rješavanje problema kojoj je određeni problem upućen odgovorna je za njegovo pravovremeno rješavanje i komunikaciju sa službom za podršku.
            Obje su stranke odgovorne za izvršavanje dodijeljenih radnji i pružanje povratnih informacija svojoj službi za podršku na zahtjev.
            5.4.   Rješavanje problema
            
            Skupina za rješavanje problema kojoj je problem dodijeljen odgovorna je za njegovo rješavanje i pružanje relevantnih informacija službi za podršku svoje stranke.
            Rezultati obrade problema bilježe se za buduću uporabu.
            5.5.   Zatvaranje problema
            
            Problem se službeno zatvara nakon što se riješi unošenjem potrebnih promjena. Fazu zatvaranja problema provodi služba za podršku koja je evidentirala problem i obavijestila službu za podršku druge stranke.
            6.   Ispunjavanje zahtjeva
            
            Postupak ispunjavanja zahtjeva je sveobuhvatno upravljanje zahtjevom za novu ili postojeću uslugu od trenutka registracije zahtjeva, preko njegova odobrenja do zatvaranja. Zahtjevi za usluge obično su mali, unaprijed definirani, ponovljivi, česti, prethodno odobreni i postupovni zahtjevi.
            Glavni koraci koje treba slijediti navedeni su u nastavku.
            6.1.   Aktivacija zahtjeva
            
            Informacije povezane sa zahtjevom za uslugu dostavljaju se službi za podršku EU-a ili Švicarske e-poštom, telefonski, putem alata za upravljanje IT uslugama (ITSM) ili nekim drugim dogovorenim komunikacijskim kanalom.
            6.2.   Evidentiranje i analiza zahtjeva
            
            Kontaktna točka za sve zahtjeve za usluge trebala bi biti služba za podršku EU-a ili Švicarske, ovisno o tome koja je stranka uputila zahtjev za uslugu. Ta služba za podršku bit će odgovorna za evidentiranje i analizu zahtjeva za uslugu s dužnom pažnjom.
            6.3.   Odobrenje zahtjeva
            
            Zaposlenik službe za podršku stranke koja je uputila zahtjev za uslugu provjerava treba li druga stranka dati kakva odobrenja te, ako je to slučaj, počinje ishoditi ta odobrenja. Ako zahtjev za uslugu nije odobren, služba za podršku ažurira i zatvara taj zahtjev.
            6.4.   Ispunjavanje zahtjeva
            
            Tim se korakom omogućuje djelotvorno i učinkovito postupanje sa zahtjevima za usluge. Potrebno je razlikovati sljedeće slučajeve:
            
                        —
                     
                     
                        ispunjavanje zahtjeva za uslugu odnosi se samo na jednu stranku: u tom slučaju ta stranka izdaje radne naloge i koordinira izvršenje,
                     
                  
                        —
                     
                     
                        u ispunjavanje zahtjeva za uslugu uključene su obje stranke (i EU i Švicarska): u tom slučaju službe za podršku izdaju radne naloge u područjima za koja su nadležne. Provedba zahtjeva za uslugu koordinira se između obiju službi za podršku. Sveukupnu odgovornost snosi služba za podršku koja je primila i aktivirala zahtjev za uslugu.
                     
                  Nakon što je zahtjev za uslugu ispunjen, mora mu se dodijeliti status „Riješeno”.
            6.5.   Upućivanje zahtjeva na višu razinu
            
            Služba za podršku može neriješeni zahtjev za uslugu prema potrebi uputiti odgovarajućem resursu (trećoj strani).
            Zahtjevi se upućuju odgovarajućoj trećoj strani, tj. služba za podršku EU-a morat će se za upućivanje trećoj strani u Švicarskoj konzultirati sa službom za podršku Švicarske, i obrnuto.
            Treća strana kojoj je upućen zahtjev za uslugu odgovorna je za pravovremenu obradu tog zahtjeva i komunikaciju sa službom za podršku koja ga je uputila.
            Služba za podršku koja je evidentirala zahtjev za uslugu odgovorna je za njegovu dodjelu i praćenje njegova općeg statusa.
            6.6.   Preispitivanje ispunjavanja zahtjeva
            
            Prije zatvaranja zahtjeva za uslugu nadležna služba za podršku podnosi njegovu evidenciju na završnu kontrolu kvalitete. Cilj je osigurati da se zahtjev za uslugu u potpunosti obradi i da sve informacije potrebne za opis životnog ciklusa zahtjeva budu dovoljno detaljne. Osim toga, potrebno je zabilježiti i rezultate obrade zahtjeva za buduću uporabu.
            6.7.   Zatvaranje zahtjeva
            
            Ako su stranke suglasne da je zahtjev za uslugu ispunjen i podnositelj zahtjeva smatra da je predmet riješen, zahtjev dobiva status „Zatvoreno”.
            Zahtjev za uslugu službeno se zatvara nakon što služba za podršku koja je zahtjev evidentirala završi fazu zatvaranja i o tome obavijesti službu za podršku druge stranke.
            7.   Upravljanje promjenama
            
            Cilj je osigurati primjenu standardiziranih metoda i postupaka za učinkovitu i brzu provedbu svih promjena u kontroli IT infrastrukture kako bi se smanjio broj i učinak svih povezanih incidenata na uslugu. Promjene u IT infrastrukturi mogu se pojaviti reaktivno – kao odgovor na probleme ili vanjske zahtjeve, npr. zakonodavne promjene, ili proaktivno – kao rezultat rada na poboljšanju učinkovitosti i djelotvornosti ili radi omogućavanja ili provedbe poslovnih inicijativa.
            Postupak upravljanja promjenama uključuje više koraka, koji obuhvaćaju sve pojedinosti o zahtjevu za promjenu radi budućeg praćenja. Tim se postupcima osigurava da se promjena prije uvođenja potvrdi i testira. Postupak upravljanja izdanjima primjenjuje se radi uspješnog uvođenja.
            7.1.   Zahtjev za promjenu
            
            Zahtjev za promjenu podnosi se timu za upravljanje promjenama na potvrdu i odobrenje. Kontaktna točka za sve zahtjeve za promjenu trebala bi biti služba za podršku EU-a ili Švicarske, ovisno o tome koja je stranka podnijela zahtjev. Služba za podršku bit će odgovorna za evidentiranje i analizu zahtjeva s dužnom pažnjom.
            Izvori zahtjeva za promjenu mogu biti sljedeći:
            
                        —
                     
                     
                        incident koji uzrokuje promjenu,
                     
                  
                        —
                     
                     
                        postojeći problem koji dovodi do promjene,
                     
                  
                        —
                     
                     
                        krajnji korisnik koji traži novu promjenu,
                     
                  
                        —
                     
                     
                        promjena koja je posljedica tekućeg održavanja,
                     
                  
                        —
                     
                     
                        zakonodavne promjene.
                     
                  7.2.   Evaluacija i planiranje promjene
            
            Ta faza uključuje aktivnosti procjene i planiranja promjene. Ona obuhvaća utvrđivanje prioriteta i aktivnosti planiranja kako bi se minimizirali rizik i posljedice.
            Ako izvršavanje zahtjeva za promjenu utječe i na EU i na Švicarsku, stranka koja je evidentirala taj zahtjev s drugom strankom provjerava evaluaciju i planiranje promjene.
            7.3.   Odobrenje promjene
            
            Svaki registrirani zahtjev za promjenu mora biti odobren na odgovarajućoj razini.
            7.4.   Provedba promjene
            
            Promjene se provode u okviru postupka upravljanja izdanjima. Timovi za upravljanje izdanjima obiju stranaka slijede vlastite postupke koji uključuju planiranje i ispitivanje. Promjene se preispituju nakon dovršetka provedbe. Kako bi se osiguralo da je sve izvršeno u skladu s planom, postojeći postupak upravljanja promjenama stalno se preispituje i ažurira kad god je to potrebno.
            8.   Upravljanje izdanjima
            
            Izdanje predstavlja jednu ili više promjena IT usluge, objedinjenih u planu izdanja, koje će trebati zajedno odobriti, pripremiti, izraditi, testirati i uvesti. Jedno izdanje može biti popravak buga, promjena hardvera ili drugih komponenti, promjena softvera, nadogradnja verzija aplikacije te promjena dokumentacije i/ili postupaka. Sadržajem svakog izdanja upravlja se, testira ga se i uvodi kao jedinstvenu cjelinu.
            Cilj je upravljanja izdanjima planirati, izraditi, testirati, potvrditi i omogućiti pružanje osmišljenih usluga kojima će se ispuniti zahtjevi dionika i postići željeni ciljevi. Kriteriji prihvatljivosti za sve promjene usluge definiraju se i dokumentiraju tijekom koordinacije projektiranja te se dostavljaju timovima za upravljanje izdanjima.
            Izdanje se obično sastoji od niza rješenja za probleme i poboljšanja određene usluge. Sadržava novi ili izmijenjeni potrebni softver te novi ili izmijenjeni hardver potreban za provedbu odobrenih promjena.
            8.1.   Planiranje izdanja
            
            U prvom koraku postupka odobrene se promjene raspoređuju u pakete izdanja te se utvrđuju opseg i sadržaj izdanja. Na temelju tih informacija u potpostupku planiranja izdanja utvrđuje se vremenski raspored za izradu, testiranje i uvođenje izdanja.
            Tijekom planiranja trebalo bi utvrditi:
            
                        —
                     
                     
                        opseg i sadržaj izdanja,
                     
                  
                        —
                     
                     
                        procjenu rizika i profil rizika za predmetno izdanje,
                     
                  
                        —
                     
                     
                        klijente/korisnike na koje utječe predmetno izdanje,
                     
                  
                        —
                     
                     
                        tim odgovoran za predmetno izdanje,
                     
                  
                        —
                     
                     
                        strategiju isporuke i uvođenja,
                     
                  
                        —
                     
                     
                        resurse za izdanje i njegovo uvođenje.
                     
                  Svaka stranka obavješćuje drugu stranku o svojim planovima za nova izdanja i razdobljima održavanja. Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju planiranje i utvrđuju zajedničko razdoblje održavanja.
            8.2.   Izrada i testiranje paketa izdanja
            
            U fazi izrade i testiranja u postupku upravljanja izdanjima utvrđuje se pristup provedbi izdanja ili paketa izdanja te održavanju kontroliranih okruženja prije promjene proizvodnje, kao i testiranju svih promjena u svim okruženjima novog izdanja.
            Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju planove isporuke i testiranja. To uključuje sljedeće aspekte:
            
                        —
                     
                     
                        način i vrijeme isporuke dijelova izdanja i komponenti usluge,
                     
                  
                        —
                     
                     
                        uobičajene rokove isporuke, što se događa u slučaju kašnjenja,
                     
                  
                        —
                     
                     
                        način praćenja napretka isporuke i dobivanja potvrde,
                     
                  
                        —
                     
                     
                        parametre za praćenje i utvrđivanje uspjeha uvođenja novog izdanja,
                     
                  
                        —
                     
                     
                        uobičajene testne slučajeve za relevantne funkcije i promjene.
                     
                  Na kraju tog potpostupka sve potrebne komponente za novo izdanje spremne su za fazu uvođenja u praksi.
            8.3.   Priprema uvođenja
            
            Potpostupkom pripreme osigurava se da komunikacijski planovi budu ispravno utvrđeni i da obavijesti budu spremne za slanje svim dionicima i krajnjim korisnicima za koje su bitne te da izdanje bude integrirano u postupak upravljanja promjenama kako bi se osiguralo da se sve promjene provode na kontroliran način i da ih odobravaju odgovarajući forumi.
            Ako novo izdanje utječe i na EU i na Švicarsku, oni koordiniraju sljedeće aktivnosti:
            
                        —
                     
                     
                        evidentiranje zahtjeva za promjenu za potrebe utvrđivanja rasporeda i pripreme uvođenja u proizvodno okruženje,
                     
                  
                        —
                     
                     
                        izradu plana provedbe,
                     
                  
                        —
                     
                     
                        pristup uklanjanju novog izdanja kako bi se u slučaju neuspjelog uvođenja moglo ponovno uvesti prethodno stanje,
                     
                  
                        —
                     
                     
                        slanje obavijesti svim potrebnim strankama,
                     
                  
                        —
                     
                     
                        traženje odobrenja za provedbu izdanja od relevantne razine.
                     
                  8.4.   Uklanjanje novog izdanja
            
            Ako uvođenje ne uspije ili ako se testiranjem utvrdi da je uvođenje bilo neuspješno ili da nije ispunilo dogovorene kriterije prihvatljivosti/kvalitete, timovi za upravljanje izdanjima obiju stranaka morat će vratiti sustav u prethodno stanje. Trebat će obavijestiti sve potrebne dionike, uključujući krajnje korisnike na koje je novo izdanje utjecalo ili bilo usmjereno. Dok se čeka odobrenje, postupak može biti ponovno započet u bilo kojoj od prethodnih faza.
            8.5.   Preispitivanje i zaključenje izdanja
            
            U preispitivanje novog izdanja trebalo bi uključiti sljedeće radnje:
            
                        —
                     
                     
                        prikupljanje povratnih informacija o zadovoljstvu klijenata i korisnika odnosno o kvaliteti usluge uvođenja (prikupljanje povratnih informacija i njihovo razmatranje u svrhu stalnog poboljšavanja usluge),
                     
                  
                        —
                     
                     
                        preispitivanje svih kriterija kvalitete koji nisu ispunjeni,
                     
                  
                        —
                     
                     
                        provjeravanje jesu li izvršene sve radnje, potrebni popravci i promjene,
                     
                  
                        —
                     
                     
                        osiguravanje da nakon završetka uvođenja nema nikakvih problema u pogledu sposobnosti, resursa, kapaciteta ili rada,
                     
                  
                        —
                     
                     
                        provjeravanje da su klijenti, krajnji korisnici, operativna podrška i druge stranke na koje utječe novo izdanje registrirali i prihvatili eventualne probleme, utvrđene pogreške i metode zaobilaženja problema,
                     
                  
                        —
                     
                     
                        praćenje incidenata i problema uzrokovanih uvođenjem novog izdanja (operativnim timovima pružiti ranu potporu ako je izdanje prouzročilo povećanje opsega rada),
                     
                  
                        —
                     
                     
                        ažuriranje popratne dokumentacije (tj. dokumenata s tehničkim informacijama),
                     
                  
                        —
                     
                     
                        službeno prepuštanje uvođenja novog izdanja timu za provedbu usluga,
                     
                  
                        —
                     
                     
                        dokumentiranje stečenih iskustava,
                     
                  
                        —
                     
                     
                        dobivanje dokumenta sa sažetkom izdanja od provedbenih timova,
                     
                  
                        —
                     
                     
                        službeno zaključenje izdanja nakon provjere evidencije zahtjeva za promjenu.
                     
                  9.   Upravljanje incidentima u području sigurnosti
            
            Upravljanje incidentima u području sigurnosti postupak je za rješavanje incidenata u području sigurnosti kako bi se omogućila komunikacija o incidentima s dionicima na koje bi oni mogli utjecati, evaluacija incidenata i određivanje prioriteta te odgovor na incidente radi saniranja svake povrede povjerljivosti, dostupnosti ili cjelovitosti osjetljive informacijske imovine do koje je stvarno došlo, na koju se sumnja ili do koje bi moglo doći.
            9.1.   Kategorizacija incidenata u području sigurnosti informacija
            
            Svi incidenti koji utječu na vezu između registra Unije i švicarskog registra analiziraju se kako bi se utvrdila moguća povreda povjerljivosti, cjelovitosti ili dostupnosti svih osjetljivih informacija zabilježenih na popisu osjetljivih informacija (SIL).
            U tom se slučaju incident smatra incidentom u području sigurnosti informacija i odmah se kao takav registrira u alatu za upravljanje IT uslugama (ITSM) te se njime upravlja na odgovarajući način.
            9.2.   Upravljanje incidentima u području sigurnosti informacija
            
            Za incidente u području sigurnosti odgovorna je 3. razina upućivanja, a rješava ih poseban tim za upravljanje incidentima (IMT).
            IMT je odgovoran za:
            
                        —
                     
                     
                        provođenje prve analize, kategorizaciju i ocjenu težine incidenta,
                     
                  
                        —
                     
                     
                        koordiniranje mjera među svim dionicima, uključujući potpunu dokumentaciju o analizi incidenta, odlukama donesenima za rješavanje incidenta i eventualnim utvrđenim nedostacima,
                     
                  
                        —
                     
                     
                        ovisno o težini incidenta u području sigurnosti, njegovo pravovremeno upućivanje na odgovarajuću razinu radi informiranja i/ili donošenja odluke.
                     
                  U postupku upravljanja sigurnošću informacija svim informacijama koje se odnose na incidente dodjeljuje se najviši stupanj osjetljivosti, koji u svakom slučaju ne smije biti niži od „ETS OSJETLJIVO”.
            Za istraživanje koje je u tijeku i/ili nedostatak koji bi se mogao zloupotrijebiti, sve do njegova otklanjanja, informacije se klasificiraju kao „ETS KRITIČNO”.
            9.3.   Identifikacija incidenata u području sigurnosti
            
            Na temelju vrste događaja u području sigurnosti službenik za sigurnost informacija utvrđuje odgovarajuće organizacije koje će sudjelovati i biti dio IMT-a.
            9.4.   Analiza incidenata u području sigurnosti
            
            IMT se radi preispitivanja incidenta povezuje sa svim uključenim organizacijama i relevantnim članovima njihovih timova, ovisno o slučaju. Tijekom analize utvrđuje se opseg gubitka povjerljivosti, cjelovitosti ili dostupnosti imovine te se procjenjuju posljedice za sve pogođene organizacije. Zatim se definiraju početne i naknadne mjere za rješavanje incidenta i upravljanje njegovim učinkom, uključujući učinak tih mjera na resurse.
            9.5.   Procjena težine, upućivanje na više razine i izvješćivanje o incidentima u području sigurnosti
            
            Nakon što se za novi incident utvrdi da je incident u području sigurnosti, IMT procjenjuje njegovu težinu i u skladu s tim započinje s hitnim potrebnim mjerama.
            9.6.   Izvješćivanje o sigurnosnom odgovoru
            
            U izvješće o odgovoru na incident u području sigurnosti informacija IMT uključuje rezultate postupka zaustavljanja i oporavka nakon incidenta. To se izvješće dostavlja na 3. razinu upućivanja sigurnom e-poštom ili drugim obostrano prihvaćenim sredstvom sigurne komunikacije.
            Odgovorna stranka preispituje rezultate postupka zaustavljanja i oporavka te:
            
                        —
                     
                     
                        ponovno povezuje registar ako je veza prethodno bila prekinuta,
                     
                  
                        —
                     
                     
                        timovima u okviru registara dostavlja komunikaciju o incidentu,
                     
                  
                        —
                     
                     
                        zatvara incident.
                     
                  IMT bi u izvješće o odgovoru na incident u području sigurnosti informacija trebao na siguran način uključiti relevantne pojedinosti kako bi se osiguralo dosljedno evidentiranje i komunikacija te kako bi se omogućilo brzo i primjereno djelovanje za zaustavljanje incidenta. Nakon dovršetka izvješća o odgovoru na incident u području sigurnosti informacija, IMT ga pravovremeno dostavlja.
            9.7.   Praćenje, izgradnja kapaciteta i stalno poboljšavanje
            
            Izvješća o svim incidentima u području sigurnosti IMT dostavlja 3. razini upućivanja, koja će ta izvješća upotrijebiti za utvrđivanje:
            
                        —
                     
                     
                        slabih točaka u sigurnosnim kontrolama i/ili operacijama koje je potrebno ojačati,
                     
                  
                        —
                     
                     
                        eventualne potrebe za poboljšanjem navedenog postupka kako bi se omogućio djelotvorniji odgovor na incidente,
                     
                  
                        —
                     
                     
                        prilika za osposobljavanje i izgradnju kapaciteta kako bi se dodatno povećala otpornost sustava registara u pogledu sigurnosti informacija, smanjio rizik od budućih incidenata i minimizirao njihov učinak.
                     
                  10.   Upravljanje sigurnošću informacija
            
            Cilj je upravljanja sigurnošću informacija osigurati povjerljivost, cjelovitost i dostupnost klasificiranih informacija, podataka i IT usluga organizacije. Kako bi se ispunili sigurnosni zahtjevi za privremeno rješenje, osim tehničkih komponenti, uključujući konstrukciju i testiranje (vidjeti LTS), potrebni su zajednički operativni postupci navedeni u nastavku.
            10.1.   Identifikacija osjetljivih informacija
            
            Osjetljivost određene informacije procjenjuje se utvrđivanjem razine učinka koji bi povreda sigurnosti povezana s tom informacijom mogla imati na poduzeće (npr. financijski gubici, pad ugleda, kršenje zakona...).
            Osjetljivost informacijske imovine utvrđuje se na temelju njezina utjecaja na povezivanje.
            Stupanj osjetljivosti tih informacija procjenjuje se u skladu s ljestvicom osjetljivosti koja se primjenjuje na to povezivanje i detaljno se opisuje u odjeljku „Upravljanje incidentima u području sigurnosti informacija” ovog dokumenta.
            10.2.   Stupnjevi osjetljivosti informacijske imovine
            
            Informacijska se imovina nakon identifikacije klasificira na temelju sljedećih pravila:
            
                        —
                     
                     
                        ako se identificira najmanje jedan VISOKI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS KRITIČNO”,
                     
                  
                        —
                     
                     
                        ako se identificira najmanje jedan SREDNJI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS OSJETLJIVO”,
                     
                  
                        —
                     
                     
                        ako se identificira najmanje jedan NISKI stupanj povjerljivosti, cjelovitosti ili dostupnosti, imovina se klasificira kao „ETS OGRANIČENO”.
                     
                  10.3.   Određivanje vlasnika informacijske imovine
            
            Za svaku informacijsku imovinu trebao bi biti određen vlasnik. Informacijska imovina ETS-a koja pripada vezi između EUTL-a i SSTL-a ili je s njom povezana trebala bi biti uključena u zajednički popis imovine, koji vode obje stranke. Informacijska imovina ETS-a izvan veze između EUTL-a i SSTL-a trebala bi biti uključena u popis imovine koji vodi predmetna stranka.
            Stranke se dogovaraju o vlasništvu nad svakom informacijskom imovinom koja pripada vezi između EUTL-a i SSTL-a ili je s njom povezana. Vlasnik informacijske imovine odgovoran je za procjenu njezine osjetljivosti.
            Vlasnik bi trebao imati odgovarajuću razinu funkcije koja odgovara vrijednosti dodijeljene imovine. Trebalo bi dogovoriti i formalizirati vlasnikovu odgovornost za imovinu i obvezu održavanja potrebne razine povjerljivosti, cjelovitosti i dostupnosti.
            10.4.   Registracija osjetljivih informacija
            
            Sve osjetljive informacije upisuju se na popis osjetljivih informacija (SIL).
            Skup osjetljivih informacija koji bi mogao imati veće posljedice nego jedna informacija sama uzima se u obzir i bilježi u SIL-u (npr. skup informacija pohranjenih u bazi podataka sustava).
            SIL nije statičan. Prijetnje, slabosti, vjerojatnost ili posljedice incidenata u području sigurnosti imovine mogu se promijeniti bez ikakve obavijesti, a u rad sustava registara može se uvesti nova imovina.
            Stoga se SIL redovito preispituje, a svi novi podaci koji se identificiraju kao osjetljivi odmah se u njega upisuju.
            U SIL-u se za svaki unos navode barem sljedeći podaci:
            
                        —
                     
                     
                        opis informacije,
                     
                  
                        —
                     
                     
                        vlasnik informacije,
                     
                  
                        —
                     
                     
                        stupanj osjetljivosti,
                     
                  
                        —
                     
                     
                        naznaka sadržava li informacija osobne podatke,
                     
                  
                        —
                     
                     
                        dodatne informacije po potrebi.
                     
                  10.5.   Postupanje s osjetljivim informacijama
            
            S osjetljivim informacijama koje se obrađuju izvan veze između registra Unije i švicarskog registra postupa se u skladu s uputama o postupanju.
            S osjetljivim informacijama koje se obrađuju u vezi između registra Unije i švicarskog registra stranke postupaju u skladu sa sigurnosnim zahtjevima stranaka.
            10.6.   Upravljanje pristupom
            
            Cilj je upravljanja pristupom ovlaštenim korisnicima dodijeliti pravo korištenja usluge, a neovlaštenim korisnicima onemogućiti pristup. Upravljanje pristupom ponekad se naziva i „upravljanje pravima” ili „upravljanje identitetom”.
            Za privremeno rješenje i njegovo funkcioniranje obje stranke trebaju imati pristup sljedećim komponentama:
            
                        —
                     
                     
                        Wikiju – suradničkom okruženju za razmjenu zajedničkih informacija, primjerice o planiranju izdanja,
                     
                  
                        —
                     
                     
                        alatu za upravljanje IT uslugama (ITSM) radi upravljanja incidentima i problemima (vidjeti poglavlje 3. „Pristup i standardi”),
                     
                  
                        —
                     
                     
                        sustavu za razmjenu poruka: svaka stranka osigurava siguran sustav za razmjenu poruka koje sadržavaju podatke o transakcijama.
                     
                  Administrator švicarskog registra i središnji administrator Unije osiguravaju ažuriranost prava pristupa i svojim strankama djeluju kao kontaktne točke za upravljanje pristupom. Zahtjevi za pristup obrađuju se u skladu s postupcima za ispunjavanje zahtjeva.
            10.7.   Upravljanje certifikatima/ključevima
            
            Svaka je stranka odgovorna za upravljanje svojim certifikatima/ključevima (generiranje, registracija, pohrana, instalacija, uporaba, obnavljanje, ukidanje, sigurnosna kopija i povrat certifikata/ključeva). Kako je navedeno u tehničkim standardima za povezivanje (LTS), upotrebljavaju se samo digitalni certifikati koje je izdalo certifikacijsko tijelo koje ima povjerenje obiju stranaka. Postupanje s certifikatima/ključevima i njihova pohrana moraju biti u skladu s odredbama iz uputa o postupanju.
            Obje stranke koordiniraju svako ukidanje i/ili obnavljanje certifikata i ključeva. To se odvija u skladu s postupcima za ispunjavanje zahtjeva.
            Administrator švicarskog registra i središnji administrator Unije razmjenjivat će certifikate/ključeve sigurnim sredstvima komunikacije u skladu s odredbama utvrđenima u uputama o postupanju.
            Svaka provjera certifikata/ključeva bilo kojim sredstvom komunikacije između stranaka provodit će se drugim putem.