um öryggi net - og upplýsingakerfa mikilvægra innviða . ( Eftir 2. umræðu , 7. júní . ) Gildissvið . veiting þjónustu er háð net - og upplýsingakerfum og c . atvik hefðu verulega skerðandi áhrif á veitingu þjónustu . Stefna um net - og upplýsingaöryggi . Hlutverk ráðsins er einkum að fylgja eftir framkvæmd stefnu stjórnvalda á sviði net - og upplýsingaöryggis . Tengsl við önnur lög . Í lögum þessum merkir : 1 . 3 . Bankastarfsemi : Lánastofnun í skilningi laga um fjármálafyrirtæki . 4 . Flutningar á vegum ; þ.e. vegamálayfirvöld sem bera ábyrgð á skipulagningu , eftirliti með eða rekstri vega sem falla undir lögsögu þeirra samkvæmt vegalögum og rekstraraðilar skynvæddra flutningakerfa , þ.e. rekstraraðilar kerfa þar sem upplýsinga - og fjarskiptatækni er beitt á sviði flutninga á vegum , þ.m.t. grunnvirki , ökutæki og notendur , og á sviði umferðarstjórnunar og hreyfanleikastjórnunar og á sviði tenginga við aðra flutningsmáta . 8 . Hitaveitur : Hitaveitur samkvæmt orkulögum . 11 . 14 . Netmarkaður : Stafræn þjónusta sem leyfir neytendum og / eða seljendum , eins og þeir eru skilgreindir í a - og b-lið 1. mgr. 4. gr. tilskipunar 2013 / 11 / ESB , að gera sölu - og þjónustusamninga á netinu við seljendur , annaðhvort á vef netmarkaðar eða á vef seljanda sem notar þjónustu á sviði gagnaumferðar í gegnum netmarkaðinn . Olía ; rekstraraðilar flutningsleiðslna fyrir olíu og rekstraraðilar olíuframleiðslu , olíuhreinsunar - og meðhöndlunarstöðva , olíugeymslu og olíuflutnings . Samhæfingarstjórnvald : Stjórnvald sem gegnir samhæfingarhlutverki við eftirlit með framkvæmd laga þessara , sbr. 13. gr. 19 . Skráningarstofa höfuðléna : Aðili sem annast og vinnur að skráningu lénsheita á netinu undir sérstöku höfuðléni . 20 . 23 . Tengi - og skiptipunkturinn veitir einungis samtengingu fyrir sjálfstýrð kerfi og gerir ekki kröfu um að netumferð sem fer á milli tveggja hlutaðeigandi sjálfstýrðra kerfa fari í gegnum þriðja sjálfstýrða kerfið , né breytir hún eða truflar slíka umferð . Veitandi stafrænnar þjónustu : Sérhver lögaðili með höfuðstöðvar , þ.e. aðalskrifstofu eða staðfestu , hérlendis sem veitir stafræna þjónustu í skilningi laga þessara eða fulltrúi hans með staðfestu hérlendis . Lágmarkskröfur um áhættustýringu og viðbúnað . Verkferlum og viðbrögðum við atvikum í eða tengdum rekstri net - og upplýsingakerfa mikilvægra innviða skulu gerð skil í áætlunum , þar á meðal skráningu atvika . Við mat á alvarleika atviks eða áhættu skv. 1. mgr. skal einkum horft til : a . Í tilkynningu skal m.a. upplýst um mögulegt útvistunarfyrirkomulag , svo sem ef mikilvægir innviðir reiða sig á þjónustu veitanda stafrænnar þjónustu í rekstri sínum , og hugsanleg smitáhrif , jafnvel yfir landamæri . Netöryggissveit skal án tafar hvetja mikilvæga innviði til að tilkynna um atvik til lögreglu leiki grunur á um refsiverða háttsemi . Upplýsingar veittar almenningi . Eftirlit með mikilvægum innviðum . Eftirlitsstjórnvald ákveður hvaða aðilar teljast til rekstraraðila nauðsynlegrar þjónustu á sínu sviði skv. 3. gr. og miðlar tilkynningu þar um til Póst - og fjarskiptastofnunar eftir því sem tilefni er til og a.m.k. á tveggja ára fresti . Eftirlitsstjórnvald getur kallað til skýrslugjafar einstaklinga sem það telur búa yfir upplýsingum um tiltekið mál . Komi í ljós að mikilvægir innviðir fylgi ekki lögum þessum eða öðrum reglum sem um net - og upplýsingakerfi þeirra gilda skal eftirlitsstjórnvald krefjast þess að úr sé bætt innan hæfilegs frests , svo sem um tilteknar lágmarksöryggisráðstafanir . Póst - og fjarskiptastofnun skal gegna ráðgefandi samhæfingarhlutverki gagnvart eftirlitsstjórnvöldum í því skyni að stuðla að samræmdri framkvæmd laga þessara . Netöryggissveit er heimilt að tilkynna ríkislögreglustjóra um alvarleg eða útbreidd atvik og áhættu sem ógnar net - og upplýsingaöryggi og skal , eftir því sem við kann að eiga , viðhafa samstarf við embættið um varnir og viðbrögð . Ef áhrifa atviks sem netöryggissveit berst tilkynning um gætir yfir landamæri skal netöryggissveitin miðla tilkynningu þar um til útnefndra tengiliða í viðkomandi ríki . Netöryggissveit vaktar og greinir atvik og áhættu tengda öryggi net - og upplýsingakerfa og mótar stöðumynd vegna netógna á hverjum tíma eftir því sem við kann að eiga . Ráðherra getur sett nánari fyrirmæli í reglugerð um tilkynningar til netöryggissveitar samkvæmt ákvæði þessu . Stjórnarráð Íslands skal njóta þjónustu Póst - og fjarskiptastofnunar á sviði netöryggismála skv. 1. og 2. mgr. , án sérstaks endurgjalds . Til að greina og meta ógnir og áhættu við net - og upplýsingakerfi mikilvægra innviða getur Póst - og fjarskiptastofnun óskað eftir að komið skuli upp sjálfvirkri upplýsingamiðlun á milli kerfa hlutaðeigandi mikilvægra innviða og netöryggissveitar . Netöryggissveit er jafnframt heimilt að setja á fót sviðshópa til samráðs fyrir hvert svið nauðsynlegrar þjónustu skv. 1. mgr. 2. gr. , fyrir hverja tegund veitenda stafrænnar þjónustu og opinberar stofnanir . Þagnarskylda . Starfsmenn netöryggissveitar Póst - og fjarskiptastofnunar eru bundnir þagnarskyldu um þau gögn og upplýsingar sem netöryggissveitin hefur undir höndum , hefur aðgang að eða vinnur með og sem þeir fá vitneskju um í starfi . Um trúnað upplýsinga frá Atlantshafsbandalaginu , öryggisdeild aðalskrifstofu ráðs Evrópusambandsins ( GSCSO ) og sambærilegum erlendum öryggisstofnunum fer skv. 2. mgr. 24. gr. varnarmálalaga , nr. 34 / 2008 . Sveitinni er einnig heimilt að miðla þeim upplýsingum til viðeigandi þriðju aðila , án samþykkis hins skráða , ef hún metur það nauðsynlegt í þágu almannahagsmuna eða í þágu hagsmuna hins skráða til að koma í veg fyrir eða takmarka mögulegt tjón sem viðkomandi getur orðið fyrir . Öll vinnsla persónuupplýsinga á grundvelli laga þessara skal vera í samræmi við ákvæði laga um persónuvernd og vinnslu persónuupplýsinga , nr. 90 / 2018 , og reglna settra á grundvelli þeirra . Ákvæði 17. og 20. – 23. gr. laga nr. 90 / 2018 , sbr. 12. – 22. og 34. gr. reglugerðar Evrópuþingsins og ráðsins ( ESB ) 2016 / 679 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95 / 46 / EB , gilda þó ekki um starfsemi netöryggissveitar samkvæmt lögum þessum . Ef ákvörðun um dagsektir skv. 1. mgr. er skotið til dómstóla byrja dagsektir ekki að falla á fyrr en dómur er endanlegur . Dagsektir renna í ríkissjóð og má gera aðför til fullnustu þeirra án undangengins dóms eða sáttar . Við ákvörðun um fjárhæð stjórnvaldssektar samkvæmt ákvæði þessu skal eftirlitsstjórnvald taka tillit til allra atvika sem máli skipta , þ.m.t. hafa hliðsjón af alvarleika brots , hversu lengi það hefur staðið og hvort um ítrekað brot sé að ræða . Stjórnvaldssektum verður beitt óháð því hvort lögbrot eru framin af ásetningi eða gáleysi . Í máli sem beinist að einstaklingi og lokið getur með álagningu stjórnvaldssekta eða kæru til lögreglu hefur sá sem rökstuddur grunur leikur á að hafi gerst sekur um lögbrot rétt til að neita að svara spurningum eða afhenda gögn eða muni nema hægt sé að útiloka að það geti haft þýðingu fyrir ákvörðun um brot hans . Brot telst meiri háttar ef það lýtur að verulegum fjárhæðum , ef verknaður er framinn með sérstaklega vítaverðum hætti eða við aðstæður sem auka mjög á saknæmi brotsins . Jafnframt getur eftirlitsstjórnvald á hvaða stigi rannsóknar sem er vísað máli vegna brota á lögum þessum til rannsóknar lögreglu . Lögreglu og ákæruvaldi er heimilt að láta eftirlitsstjórnvaldi í té upplýsingar og gögn sem hún hefur aflað og tengjast þeim brotum sem tilgreind eru í 2. mgr . Hver sá sem uppvís er að því að gefa af ásetningi eða stórkostlegu gáleysi ranga tilkynningu til netöryggissveitar skv. 8. eða 15. gr. skal sæta refsingu skv. 120. gr. og 120. gr. a almennra hegningarlaga . Ákvæði 4. gr. öðlast þó þegar gildi . 2. mgr. 1. gr. laganna orðast svo : Póst - og fjarskiptastofnun er sjálfstæð stofnun sem heyrir stjórnarfarslega undir ráðherra . b . Við 6. tölul. 1. mgr. bætist : svo og hvað varðar öryggi net - og upplýsingakerfa . 4 . c . Á eftir 4. gr. laganna kemur ný grein , 4. gr. a , ásamt fyrirsögn , svohljóðandi : Netöryggissveit Póst - og fjarskiptastofnunar gegnir hlutverki landsbundins öryggis - og viðbragðsteymis vegna atvika og áhættu er varðar net - og upplýsingaöryggi , ógnir , hættur og atvik á netinu hér á landi , CSIRT-teymis fyrir Ísland . Netöryggissveit samhæfir aðgerðir aðila varðandi viðbrögð við ógnum og atvikum , í samstarfi við ríkislögreglustjóra þegar við á . Takmarka má , synja um eða afturkalla aðgangsheimild af öryggisástæðum eða ef allsherjarregla krefst þess . meðferð upplýsinga og viðeigandi öryggisráðstafanir , þar á meðal gagnvart erlendum samstarfsaðilum , d. ráðstafanir til að tryggja öryggi og eyðingu gagna og aðrar ráðstafanir til að tryggja friðhelgi einkalífs , e. viðbúnaðaræfingar , f. samstarf við önnur stjórnvöld og stofnanir , og g. skýrslugjöf um starfsemi netöryggissveitar . d. Eftirfarandi breytingar verða á 5. gr. laganna : 1 . e. Eftirfarandi breytingar verða á 8. gr. laganna : 1 . 2 . 3. 24. tölul. fellur brott . Við 43. tölul. bætist : og atvik í skilningi laga um öryggi net - og upplýsingakerfa mikilvægra innviða . b . Í stað 47. gr. a laganna koma fjórar nýjar greinar , 47. gr. a – 47. gr. d , ásamt fyrirsögnum , svohljóðandi : a . Um tilkynningar til netöryggissveitar samkvæmt ákvæði þessu fer skv. 8. og 14. gr. laga um öryggi net - og upplýsingakerfa mikilvægra innviða . Netöryggissveit skal greina og meðhöndla ógnir , hættur og atvik í net - og upplýsingakerfum fjarskiptafyrirtækja og fyrirbyggja og draga úr hættu á öryggisatvikum eins og kostur er og sporna við og lágmarka tjón aðila sem af slíku kann að hljótast . Netöryggissveit veitir ráðgjöf um varnir og viðbúnað og kemur upplýsingum á framfæri við almenning ef þurfa þykir , eftir atvikum í samráði við önnur stjórnvöld . Netöryggissveit skal setja á laggirnar samstarfshóp með fjarskiptafyrirtækjum fyrir tæknilegt samráð og upplýsingaskipti á sviði net - og upplýsingaöryggis , m.a. til að greina ógnir og samræma viðbrögð . Ef Póst - og fjarskiptastofnun metur það nauðsynlegt skulu fjarskiptafyrirtæki og netöryggissveit gera með sér samning um uppsetningu og rekstur tæknilegrar vöktunarþjónustu fyrir net - og upplýsingakerfi fjarskiptafyrirtækisins í þeim tilgangi að greina hættur og ummerki um árásir , spillikóða og aðrar vísbendingar um aðstæður sem gætu skapað hættu fyrir öryggi net - og upplýsingakerfa fjarskiptafyrirtækja . Samningar skv. 1. mgr. skulu a.m.k. innihalda ákvæði er varða : a . Hvorki er heimilt að persónugreina netumferð né skima einstaka netpakka eða flæði sem netöryggissveitin kann að nema í almennum netkerfum fjarskiptafyrirtækja . Netöryggissveit er þó heimilt að móttaka upplýsingar um almenna netumferð án dómsúrskurðar , þ.m.t. á samtengipunktum og í útlandagáttum , enda séu þær upplýsingar ópersónugreinanlegar . Ákvæði til bráðabirgða . Ráðherra birtir skrá yfir rekstraraðila nauðsynlegrar þjónustu í samræmi við 3. gr. laga þessara fyrir gildistöku þeirra .