EVROPSKA KOMISIJA
Bruselj, 23.6.2020
COM(2020) 255 final
PRILOGA
k
Predlogu Sklepa Sveta
o stališču, ki se v imenu Evropske unije zastopa v Skupnem odboru, ustanovljenem s Sporazumom med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov, glede sprejetja skupnih delovnih postopkov
SKLEP ŠT. 1/2020 SKUPNEGA ODBORA, USTANOVLJENEGA S SPORAZUMOM MED EVROPSKO UNIJO IN ŠVICARSKO KONFEDERACIJO O POVEZAVI NJUNIH SISTEMOV TRGOVANJA Z EMISIJAMI TOPLOGREDNIH PLINOV
z dne ...
o skupnih delovnih postopkih
SKUPNI ODBOR JE –
ob upoštevanju Sporazuma med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov 1 (v nadaljnjem besedilu: Sporazum) in zlasti člena 3 Sporazuma,
ob upoštevanju naslednjega:
(1)s Sklepom št. 2/2019 Skupnega odbora z dne 5. decembra 2019 sta se spremenili prilogi I in II k Sporazumu, s čimer so bili izpolnjeni pogoji za povezavo iz Sporazuma.
(2)Po sprejetju Sklepa št. 2/2019 Skupnega odbora in v skladu s členom 21(3) Sporazuma sta pogodbenici izmenjali listini o ratifikaciji ali odobritvi, saj sta menili, da so vsi pogoji za povezavo iz tega sporazuma izpolnjeni.
(3)V skladu s členom 21(4) Sporazuma je Sporazum začel veljati 1. januarja 2020.
(4)V skladu s členom 3(6) Sporazuma bi morala administrator švicarskega registra in centralni administrator Unije določiti skupne delovne postopke, povezane s tehničnimi ali drugimi zadevami, potrebnimi za delovanje povezave med evidenco transakcij Evropske unije (EUTL) registra Unije in švicarsko dopolnilno evidenco transakcij (SSTL) švicarskega registra, pri tem pa upoštevati prednostne naloge domače zakonodaje. Skupni delovni postopki bi morali začeti učinkovati, ko jih Skupni odbor sprejme s sklepom.
(5)V skladu s členom 13(1) Sporazuma bi moral Skupni odbor sprejeti tehnične smernice za zagotovitev pravilnega izvajanja Sporazuma, med drugim o tehničnih ali drugih zadevah, potrebnih za delovanje povezave, pri tem pa upoštevati prednostne naloge domače zakonodaje. Tehnične smernice lahko pripravi delovna skupina, ustanovljena v skladu s členom 12(5) Sporazuma. V delovno skupino bi morala biti vključena vsaj administrator švicarskega registra in centralni administrator registra Unije, pomagati pa bi morala Skupnemu odboru pri njegovih nalogah v skladu s členom 13 Sporazuma.
(6)Tehnične smernice, ki jih pripravita administrator švicarskega registra in centralni administrator Unije, bi bilo treba zaradi njihove tehnične narave in potrebe po njihovem prilagajanju nenehnemu razvoju predložiti Skupnemu odboru v vednost, ali kjer je to primerno, v odobritev –
SPREJEL NASLEDNJI SKLEP:
Člen 1
Sprejmejo se skupni delovni postopki, ki so priloženi temu sklepu.
Člen 2
S tem sklepom se v skladu s členom 12(5) Sporazuma ustanovi delovna skupina. Delovna skupina pomaga Skupnemu odboru zagotavljati ustrezno izvajanje Sporazuma, vključno s pripravo tehničnih smernic za izvajanje skupnih delovnih postopkov.
V delovno skupino sta vključena vsaj administrator švicarskega registra in centralni administrator registra Unije.
Člen 3
Ta sklep začne veljati na datum njegovega sprejetja.
Sestavljeno v angleščini, v Bruslju, XX 2020.
Za Skupni odbor
|
Sekretar/-ka za Evropsko unijo |
Predsednik/Predsednica |
Sekretar/-ka za Švico |
DODATEK
PRILOGA
SKUPNI DELOVNI POSTOPKI
v skladu s členom 3(6) Sporazuma med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov
– Postopki za začasno rešitev –
1.Glosar
Preglednica 1-1: Kratice in opredelitve pojmov
|
Kratica/pojem |
Opredelitev |
|
Overitelj potrdil |
Subjekt, ki izdaja digitalna potrdila |
|
CH |
Švicarska konfederacija |
|
ETS |
Sistem za trgovanje z emisijami |
|
EU |
Evropska unija |
|
IMT |
Skupina za obvladovanje incidentov |
|
Informacijska sredstva |
Informacije, ki imajo določeno vrednost za podjetje ali organizacijo |
|
IT |
Informacijska tehnologija |
|
ITIL |
Knjižnica infrastrukture informacijske tehnologije |
|
ITSM |
Upravljanje storitev IT |
|
LTS |
Tehnični standardi za povezavo |
|
Register |
Sistem obračunavanja za pravice, izdane v ETS, s katerim se vodi evidenca o lastništvu pravic na elektronskih računih |
|
RFC |
Zahtevek za spremembo |
|
SIL |
Seznam občutljivih informacij |
|
SR |
Zahtevek za storitev |
|
Wiki |
Spletno mesto, ki uporabnikom omogoča izmenjavo informacij in znanja z dodajanjem ali prilagajanjem vsebine neposredno prek spletnega brskalnika. |
2.Uvod
Sporazum med Evropsko unijo in Švicarsko konfederacijo o povezavi njunih sistemov trgovanja z emisijami toplogrednih plinov z dne 23. novembra 2017 (v nadaljnjem besedilu: Sporazum) določa medsebojno priznavanje pravic do emisije, ki se lahko uporabljajo za skladnost v okviru sistema Evropske unije za trgovanje z emisijami (v nadaljnjem besedilu: EU ETS) ali sistema Švice za trgovanje z emisijami (v nadaljnjem besedilu: švicarski ETS). Za operacionalizacijo povezave med EU ETS in švicarskim ETS se vzpostavi neposredna povezava med evidenco transakcij Evropske unije (EUTL) registra Unije in švicarsko dopolnilno evidenco transakcij (SSTL) švicarskega registra, s čimer bo omogočen prenos pravic do emisije, izdanih v katerem koli ETS, med registroma (člen 3(2) Sporazuma). Za operacionalizacijo povezave med EU ETS in švicarskim ETS bo maja 2020 ali čim prej po tem datumu vzpostavljena začasna rešitev. Pogodbenici sodelujeta, da začasno povezavo čim prej nadomestita s stalno povezavo med registroma (Priloga II k Sporazumu).
V skladu s členom 3(6) Sporazuma administrator švicarskega registra in centralni administrator Unije določita skupne delovne postopke, povezane s tehničnimi ali drugimi zadevami, potrebnimi za delovanje povezave, pri čemer upoštevata prednostne naloge domače zakonodaje. Skupni delovni postopki, ki jih določita administratorja, začnejo učinkovati, ko jih Skupni odbor sprejme s sklepom.
Skupni odbor sprejme skupne delovne postopke, navedene v tem dokumentu, s Sklepom št. 1/2020. Skupni odbor v skladu s tem sklepom zahteva od administratorja švicarskega registra in centralnega administratorja Unije, naj določita dodatne tehnične smernice za operacionalizacijo povezave in zagotovita, da se te smernice stalno prilagajajo tehničnemu napredku in novim zahtevam v zvezi z varnostjo in zaščito povezave ter njenim uspešnim in smotrnim delovanjem.
2.1.Področje uporabe
Ta dokument predstavlja skupno stališče pogodbenic Sporazuma v zvezi z vzpostavitvijo postopkovne podlage za povezavo med registroma EU ETS in švicarskega ETS. V njem so opisane splošne postopkovne zahteve v zvezi z dejavnostmi, za operacionalizacijo povezave pa bo treba pripraviti nekatere dodatne tehnične smernice.
Za zagotovitev pravilnega delovanja povezave bodo za nadaljnjo operacionalizacijo povezave potrebne tehnične specifikacije. V skladu s členom 3(7) Sporazuma so navedene zadeve podrobno opredeljene v dokumentu s tehničnimi standardi za povezavo (LTS), ki jih Skupni odbor ločeno sprejme s sklepom.
Cilj skupnih delovnih postopkov je zagotoviti, da se storitve IT, povezane z delovanjem povezave med registroma EU ETS in švicarskega ETS, izvajajo učinkovito in smotrno, zlasti v zvezi z izpolnjevanjem zahtevkov za storitve, reševanjem napak pri izvajanju storitve, odpravljanjem težav in izvajanjem rutinskih delovnih nalog v skladu z mednarodnimi standardi upravljanja storitev IT.
Za dogovorjeno začasno rešitev bodo potrebni samo naslednji skupni delovni postopki, ki so vključeni v ta dokument:
·obvladovanje incidentov,
·odpravljanje težav,
·izpolnjevanje zahtevkov,
·upravljanje sprememb,
·upravljanje izdaj,
·obvladovanje varnostnih incidentov,
·upravljanje informacijske varnosti.
Skupne delovne postopke je treba pri poznejši uvedbi stalne povezave med registroma po potrebi prilagoditi in dopolniti.
2.2.Naslovniki
Ciljna skupina teh skupnih delovnih postopkov sta podporni skupini registra EU in švicarskega registra.
3.Pristop in standardi
Za vse skupne delovne postopke se uporabljajo naslednja načela:
·EU in CH se strinjata, da bosta skupne delovne postopke opredelili na podlagi ITIL (knjižnice infrastrukture informacijske tehnologije, 3. različica). Prakse, ki jih določa ta standard, se ponovno uporabijo in prilagodijo posebnim potrebam, povezanim z začasno rešitvijo.
·Komunikacija in usklajevanje, ki sta potrebna za izvajanje skupnih delovnih postopkov med pogodbenicama, potekata prek storitvenih centrov registra CH in EU. Naloge se vedno dodelijo znotraj ene od pogodbenic.
·V primeru nesoglasja o izvedbi skupnega delovnega postopka to skupaj analizirata in rešujeta oba storitvena centra. Če soglasja ni mogoče doseči, se iskanje skupne rešitve prenese na naslednjo raven.
|
·Ravni prenosa |
·EU |
·CH |
|
·Prva raven |
·Storitveni center EU |
·Storitveni center CH |
|
·Druga raven |
·Vodja dejavnosti EU |
·Vodja uporabe registra CH |
|
·Tretja raven |
Skupni odbor (ki lahko prenese to odgovornost na podlagi člena 12(5) Sporazuma) |
|
|
·Četrta raven |
Skupni odbor, če tretja raven prenese odgovornost |
|
·Vsaka pogodbenica lahko določi postopke za delovanje svojega sistema registra ob upoštevanju zahtev in vmesnikov, povezanih s temi skupnimi delovnimi postopki.
·Kot podpora pri izvajanju skupnih delovnih postopkov, zlasti postopkov za obvladovanje incidentov, odpravljanje težav in izpolnjevanje zahtevkov, ter komunikaciji med pogodbenicama se uporablja orodje za upravljanje storitev IT (ITSM).
·Dovoljena je tudi izmenjava informacij po elektronski pošti.
·Pogodbenici zagotavljata, da so zahteve glede informacijske varnosti izpolnjene v skladu z navodili za ravnanje.
4.Obvladovanje incidentov
Cilj postopka obvladovanja incidentov je čim hitrejša vrnitev storitev IT na običajno raven storitve z minimalnimi motnjami poslovanja.
V okviru postopka obvladovanja incidentov bi bilo treba tudi voditi evidenco incidentov za namene poročanja, postopek pa povezati z drugimi postopki za spodbujanje nenehnega izboljševanja.
·S splošnega vidika postopek obvladovanja incidentov vključuje naslednje dejavnosti:
·odkrivanje in evidentiranje incidentov,
·razvrščanje in začetna podpora,
·preiskava in diagnoza,
·reševanje in obnovitev,
·zaključek incidenta.
Postopek obvladovanja incidentov ves čas trajanja incidenta obsega naloge obravnavanja lastništva, spremljanja, sledenja in komuniciranja.
4.1.Odkrivanje in evidentiranje incidentov
Incident lahko odkrije podporna skupina s pomočjo orodij za samodejno spremljanje ali tehnično osebje, ki izvaja rutinski nadzor.
Odkriti incident je treba evidentirati in mu dodeliti edinstveni identifikator za ustrezno sledenje in spremljanje incidenta. Edinstveni identifikator incidenta je identifikator, ki ga v skupnem sistemu označevanja dodeli storitveni center pogodbenice (EU ali CH), ki je opozorila na incident, in ga je treba navesti v vsakem sporočilu, povezanem s tem incidentom.
Kontaktna točka za vse incidente bi moral biti storitveni center pogodbenice, ki je incident zabeležil.
4.2.Razvrščanje in začetna podpora
Namen razvrščanja incidentov je razumeti in opredeliti, na kateri sistem in/ali storitev je incident vplival in kako močno. Da bi bilo razvrščanje učinkovito, bi bilo treba incident že v prvem poskusu usmeriti k primernemu viru, da bi se pospešilo reševanje incidenta.
V fazi razvrščanja bi bilo treba incident kategorizirati in prednostno razvrstiti v skladu z njegovim vplivom in nujnostjo, da bi ga bilo mogoče obravnavati v času, ki ustreza prednostni razvrstitvi.
Če incident lahko vpliva na zaupnost ali celovitost občutljivih podatkov in/ali razpoložljivost sistema, se opredeli tudi kot varnostni incident in nato obravnava v skladu s postopkom, opredeljenim v poglavju „Obvladovanje varnostnih incidentov“ tega dokumenta.
Če je mogoče, storitveni center, ki je incident zabeležil, opravi začetno diagnozo. Pri tem preveri, ali je incident znana napaka. Če je, sta postopek reševanja ali alternativna rešitev že znana in dokumentirana.
Če storitveni center uspešno reši incident, ga na tej točki tudi dejansko zaključi, saj je glavni namen obvladovanja incidentov dosežen (tj. hitra obnovitev storitve za končnega uporabnika). Če ga ne reši, ga prenese na višjo raven ustrezni skupini za reševanje, ta pa opravi nadaljnjo preiskavo in diagnozo.
4.3.Preiskava in diagnoza
Postopek preiskave in diagnoze incidenta se uporabi, kadar storitveni center ne more rešiti incidenta z začetno diagnozo, zato ga prenese na ustrezno višjo raven. Prenos incidenta na višjo raven je v celoti del postopka preiskave in diagnoze.
Običajna praksa v fazi preiskave in diagnoze je poskus poustvarjanja incidenta v nadzorovanih pogojih. Pri preiskavi in diagnozi incidenta je pomembno razumeti pravilen vrstni red dogodkov, ki so pripeljali do incidenta.
S prenosom na višjo raven se prizna, da incidenta na trenutni ravni podpore ni mogoče rešiti in da ga je treba posredovati podporni skupini na višji ravni ali drugi pogodbenici. Prenos na višjo raven lahko poteka na dva načina: horizontalno (t. i. funkcionalni prenos) ali vertikalno (t. i. hierarhični prenos).
Odgovornost storitvenega centra, ki je evidentiral in odprl postopek reševanja incidenta, je, da se incident prenese na višjo raven k primernemu viru ter zagotovi sledenje splošnemu statusu in dodeljevanju naloge reševanja incidenta.
Odgovornost pogodbenice, ki ji je bil incident dodeljen, je, da zagotovi pravočasno izvedbo zahtevanih dejanj in povratne informacije svojemu storitvenemu centru.
4.4.Reševanje in obnovitev
Reševanje incidenta in obnovitev se izvedeta, ko se incident v celoti razume. Iskanje rešitve za incident pomeni, da je bilo ugotovljeno, kako rešiti težavo. Sama uporaba rešitve pomeni fazo obnovitve.
Ko primeren vir odpravi napako pri izvajanju storitve, se incident preusmeri nazaj na ustrezen storitveni center, ki je zabeležil incident in ki skupaj z osebo, ki je odprla postopek za reševanje incidenta, potrdi, da je bila napaka popravljena in da se incident lahko zaključi. Ugotovitve, pridobljene pri obdelavi incidenta, se evidentirajo za prihodnjo uporabo.
Obnovitev lahko izvede osebje za podporo IT ali pa se končnemu uporabniku zagotovijo navodila, ki jih mora upoštevati.
4.5.Zaključek incidenta
Zaključek je zadnji korak v postopku obvladovanja incidentov in se izvede kmalu po rešitvi incidenta.
Na kontrolnem seznamu dejanj, ki jih je treba opraviti v fazi zaključka, je poudarjeno naslednje:
·preverjanje začetne kategorije, ki je bila dodeljena incidentu,
·ustrezno zajemanje vseh informacij v zvezi z incidentom,
·ustrezno dokumentiranje incidenta in posodobitev baze znanja,
·ustrezno obveščanje vseh zainteresiranih strani, na katere je incident neposredno ali posredno vplival.
Incident se uradno zaključi, ko storitveni center izvede fazo zaključka incidenta in o tem obvesti drugo pogodbenico.
Ko je incident zaključen, se ne bo več ponovno odprl. Če se incident kmalu ponovi, se prvotni incident ne odpre ponovno, temveč se zabeleži nov incident.
Če incident izsledita storitvena centra EU in CH, je za zaključek incidenta odgovoren tisti storitveni center, ki je incident zabeležil.
5.Odpravljanje težav
Postopek odpravljanja težav bi bilo treba uporabiti za vsako ugotovljeno težavo, zaradi katere se ta postopek tudi sproži. Odpravljanje težav je osredotočeno na povečanje kakovosti in zmanjšanje števila nastalih incidentov. Težava lahko povzroči enega ali več incidentov. Ko se poroča o incidentu, je cilj obvladovanja incidentov čim hitreje obnoviti delovanje storitve, po možnosti tudi z alternativnimi rešitvami. Ko nastane težava, je cilj preiskati temeljni vzrok zanjo, da bi se opredelila sprememba, ki bo zagotovila, da se težava in z njo povezani incidenti ne bodo ponovili.
5.1.Opredelitev in evidentiranje težave
Odvisno od tega, katera pogodbenica je težavo zabeležila, bo kontaktna točka za zadeve, povezane s težavo, storitveni center EU ali CH.
Edinstveni identifikator težave je identifikator, ki se dodeli z orodjem za upravljanje storitev IT (ITSM). Navesti ga je treba v vsakem sporočilu, povezanem s to težavo.
Postopek odpravljanja težav lahko sproži incident ali se lahko v kateri koli fazi začne kot dejanje na lastno pobudo zaradi odpravljanja ugotovljenih napak v sistemu.
5.2.Prednostno razvrščanje težav
Težave se lahko tako kot incidenti kategorizirajo glede na njihovo resnost in prednost, da bi jim bilo mogoče lažje slediti, pri tem pa se upoštevata vpliv z njimi povezanih incidentov in pogostost njihovega pojavljanja.
5.3.Preiskava in diagnoza težav
Vsaka pogodbenica lahko opozori na težavo, naloga storitvenega centra pogodbenice, ki je odprla postopek za odpravljanje težav, pa je zabeležiti težavo, njeno reševanje dodeliti primernemu viru in slediti njenemu splošnemu statusu.
Skupina za reševanje, na katero je bila težava prenesena, je odgovorna za pravočasno obravnavo težave in komuniciranje s storitvenim centrom.
Obe pogodbenici morata na zahtevo zagotoviti izvedbo dodeljenih nalog in povratne informacije svojemu storitvenemu centru.
5.4.Reševanje
Skupina za reševanje, ki ji je bila težava dodeljena, je odgovorna za rešitev težave in zagotavljanje ustreznih informacij svojemu storitvenemu centru.
Ugotovitve, pridobljene pri obdelavi težave, se evidentirajo za prihodnjo uporabo.
5.5.Zaključek težave
Težava se uradno zaključi, ko se odpravi z izvedbo spremembe. Fazo zaključka težave izvede storitveni center, ki je težavo zabeležil in o tem obvestil storitveni center druge pogodbenice.
6.Izpolnjevanje zahtevkov
Postopek izpolnjevanja zahtevkov je celovito upravljanje zahtevka za novo ali obstoječo storitev od trenutka, ko je evidentiran in odobren, do njegovega zaključka. Zahtevki za storitve so običajno majhni, vnaprej opredeljeni, ponavljajoči se, pogosti, vnaprej odobreni in postopkovni zahtevki.
Glavni koraki, ki jih je treba upoštevati, so opisani v nadaljevanju:
6.1.Vlaganje zahtevkov
Informacije v zvezi z zahtevkom za storitev se predložijo storitvenemu centru EU ali CH po elektronski pošti, telefonu ali z orodjem za upravljanje storitev IT (ITSM) oziroma po katerem koli drugem dogovorjenem komunikacijskem kanalu.
6.2.Evidentiranje in analiza zahtevkov
Kontaktna točka za vse zahtevke za storitve bi moral biti storitveni center EU ali CH, odvisno od tega, katera pogodbenica je vložila zahtevek za storitev. Ta storitveni center bo odgovoren za beleženje in primerno skrbno analizo zahtevka za storitev.
6.3.Odobritev zahtevkov
Zastopnik storitvenega centra pogodbenice, ki je vložila zahtevek za storitev, preveri, ali je potrebna kakršna koli odobritev druge pogodbenice, in če je, to odobritev pridobi. Če zahtevek za storitev ni odobren, storitveni center zabeležko posodobi in zapre.
6.4.Izpolnjevanje zahtevkov
Ta korak zajema učinkovito in uspešno obravnavo zahtevkov za storitve. Razlikovati je treba med naslednjimi primeri:
·izpolnjevanje zahtevka za storitev vpliva samo na eno pogodbenico. V tem primeru ta pogodbenica izdaja delovne naloge in usklajuje izvedbo.
·Izvajanje zahtevka za storitev vpliva na EU in CH. V tem primeru vsak storitveni center izdaja delovne naloge na svojem področju odgovornosti. Obravnava za izpolnitev zahtevka za storitev se usklajuje med obema storitvenima centroma. Splošno odgovornost nosi tisti storitveni center, ki je prejel zahtevek za storitev in sprožil postopek za njegovo reševanje.
Ko je zahtevek za storitev rešen, se mu mora dodeliti status rešenega zahtevka.
6.5.Prenos zahtevkov na višjo raven
Storitveni center lahko po potrebi prenese nerešeni zahtevek za storitev na višjo raven k primernemu viru (tretjo stran).
Zahtevki se prenesejo na višjo raven k ustreznim tretjim stranem, kar pomeni, da bo storitveni center EU moral prenos na švicarsko tretjo stran opraviti prek švicarskega storitvenega centra in obratno.
Tretja stran, na katero je bil zahtevek za storitev prenesen, je odgovorna za pravočasno obravnavo zahtevka za storitev in komuniciranje s storitvenim centrom, ki je prenesel zahtevek na višjo raven.
Storitveni center, ki je zabeležil zahtevek za storitev, je odgovoren za sledenje splošnemu statusu in dodeljevanju zahtevka za storitev.
6.6.Pregled izpolnjevanja zahtevkov
Preden se postopek zaključi, odgovorni storitveni center predloži dokumentacijo, povezano z zahtevkom za storitev, za končen nadzor kakovosti. Cilj je zagotoviti, da je zahtevek za storitev dejansko obdelan in da so zagotovljene dovolj podrobne informacije za opis celotnega poteka reševanja zahtevka. Poleg tega se ugotovitve, pridobljene pri obdelavi zahtevka, evidentirajo za prihodnjo uporabo.
6.7.Zaključek zahtevka
Če se strani, ki jim je bil zahtevek dodeljen, strinjajo, da je zahtevek za storitev izpolnjen, in če vlagatelj zahtevka meni, da je primer rešen, je naslednji status, ki se zahtevku določi, status „Zaključeno“.
Zahtevek za storitev je uradno zaključen, ko storitveni center, ki je zabeležil zahtevek za storitev, izvede fazo zaključka zahtevka in o tem obvesti storitveni center druge pogodbenice.
7.Upravljanje sprememb
Cilj je zagotoviti uporabo standardiziranih metod in postopkov za učinkovito in hitro obravnavo vseh sprememb za nadzor infrastrukture IT, da bi se čim bolj zmanjšala število in vpliv vseh povezanih incidentov na storitev. Spremembe infrastrukture IT se lahko pojavijo reaktivno kot odziv na težave ali zunanje zahteve, npr. zakonodajne spremembe, ali proaktivno v prizadevanju za boljšo učinkovitost in uspešnost oziroma da bi se omogočile ali upoštevale poslovne pobude.
Postopek upravljanja sprememb vključuje različne korake, ki zajemajo vsako podrobnost v zvezi z zahtevkom za spremembe za prihodnje sledenje. Ti postopki zagotavljajo, da se sprememba pred uvedbo potrdi in preskusi. Postopek upravljanja izdaj zagotavlja uspešno uvedbo.
7.1.Zahtevek za spremembo
Zahtevek za spremembo se predloži skupini za upravljanje sprememb v potrditev in odobritev. Kontaktna točka za vse zahtevke za spremembe bi moral biti storitveni center EU ali CH, odvisno od tega, katera pogodbenica je vložila zahtevek. Ta storitveni center bo odgovoren za beleženje in primerno skrbno analizo zahtevka za spremembo.
Zahtevki za spremembe lahko izvirajo iz:
·incidenta, ki povzroči spremembo,
·obstoječe težave, ki povzroči spremembo,
·zahtevka končnega uporabnika za novo spremembo,
·spremembe zaradi tekočega vzdrževanja,
·zakonodajne spremembe.
7.2.Ocenjevanje in načrtovanje spremembe
V tej fazi se izvajajo dejavnosti ocenjevanja in načrtovanja spremembe. Vključuje dejavnosti prednostnega razvrščanja in načrtovanja za zmanjšanje tveganja in vpliva.
Če izvajanje postopka obravnave zahtevka za spremembo vpliva na EU in CH, pogodbenica, ki je zabeležila zahtevek za spremembo, preveri ocenjevanje in načrtovanje spremembe skupaj z drugo pogodbenico.
7.3.Odobritve sprememb
Vsak evidentirani zahtevek za spremembo je treba potrditi na ustrezni ravni prenosa.
7.4.Izvedba sprememb
Spremembe se izvedejo v okviru postopka upravljanja izdaj. Skupini za upravljanje izdaj obeh pogodbenic upoštevata lastne postopke, ki vključujejo načrtovanje in preskušanje. Ko je izvedba končana, se spremembe pregledajo. Za zagotovitev, da je vse izvedeno v skladu z načrtom, se postopek upravljanja spremembe redno pregleduje in po potrebi posodablja.
8.Upravljanje izdaj
Izdaja predstavlja eno ali več sprememb storitve IT, zbranih v načrtu izdaje, ki jo bo treba odobriti, pripraviti, zgraditi, preskusiti in uvesti. Ena sama izdaja lahko predstavlja odpravljanje programske napake, spremembo strojne opreme ali drugih sestavnih delov, spremembe programske opreme, posodobitve različic aplikacij, spremembe dokumentacije in/ali postopkov. Vsebina vsake izdaje se upravlja, preskuša in uvede kot ena entiteta.
Namen upravljanja izdaj je načrtovati, zgraditi, preskusiti in odobriti ter uresničiti zmogljivost za zagotovitev načrtovanih storitev, s katero bodo izpolnjene zahteve zainteresiranih strani in doseženi zastavljeni cilji. Merila za sprejemljivost vseh sprememb storitve se opredelijo in dokumentirajo med usklajevanjem zasnove ter zagotovijo skupinama za upravljanje izdaj.
Izdaja običajno vsebuje več rešitev težav in izboljšav storitve. Vsebuje zahtevano novo ali spremenjeno programsko opremo in vso novo ali spremenjeno strojno opremo, potrebno za izvedbo odobrenih sprememb.
8.1.Načrtovanje izdaje
Prvi korak v postopku vsebuje dodelitev odobrenih sprememb svežnjem izdaj ter opredelitev obsega in vsebine izdaj. Na podlagi teh informacij se v okviru načrtovanja izdaje pripravi časovni razpored priprave, preskušanja in uvedbe izdaje.
Pri načrtovanju bi bilo treba opredeliti:
·obseg in vsebino izdaje,
·oceno in profil tveganja za izdajo,
·stranke/uporabnike, na katere izdaja vpliva,
·skupino, odgovorno za izdajo,
·strategijo izročitve in uvedbe,
·vire za izdajo in uvedbo.
Pogodbenici se medsebojno obvestita o načrtovanih izdajah in obdobjih vzdrževanja. Če izdaja vpliva na EU in CH, obe usklajujeta načrtovanje in določita skupno obdobje vzdrževanja.
8.2.Priprava in preskus svežnja izdaje
Med pripravo in preskusom v okviru postopka upravljanja izdaje se določi pristop izvajanja izdaje ali svežnja izdaje ter vzdrževanja nadzorovanih okolij pred spremembo produkcije in preskušanja vseh sprememb v vseh izdanih okoljih.
Če izdaja vpliva na EU in CH, obe usklajujeta načrte izročitve in preskuse. To vključuje naslednje vidike:
·kako in kdaj bodo izročene enote izdaje in sestavni deli storitve,
·kakšen je potreben čas za izvedbo, kaj se zgodi v primeru zamude,
·kako slediti napredku izročitve in pridobiti potrditev,
·metriko za spremljanje in določanje uspeha pri uvedbi izdaje,
·skupne primere preskušanja ustreznih funkcij in sprememb.
Na koncu tega dela postopka so vsi zahtevani sestavni deli izdaje pripravljeni na fazo dejanske uvedbe.
8.3.Priprava na uvedbo
V okviru postopka priprave se zagotavlja, da so komunikacijski načrti pravilno opredeljeni, da so obvestila pripravljena za pošiljanje vsem zainteresiranim stranem in končnim uporabnikom, na katere to vpliva, ter da je izdaja vključena v postopek upravljanja sprememb, s čimer se zagotovi, da se vse spremembe izvedejo nadzorovano in so odobrene v ustreznih forumih.
Če izdaja vpliva na EU in CH, obe usklajujeta naslednje dejavnosti:
·evidentiranje zahtevkov za spremembe za časovni razpored in pripravo uvedbe v produkcijskem okolju,
·pripravo načrta izvedbe,
·postopek povrnitve zaradi ponovne vzpostavitve prejšnjega stanja v primeru napake pri uvedbi,
·pošiljanje obvestil vsem zadevnim stranem,
·zahtevanje odobritve za izvedbo izdaje na ustrezni ravni prenosa.
8.4.Povrnitev izdaje
Če uvedba ni bila uspešno izvedena ali če je bilo pri preskušanju ugotovljeno, da ni bila uspešna ali da niso bila izpolnjena dogovorjena merila za sprejemljivost/kakovost, morata skupini za upravljanje izdaje obeh pogodbenic povrniti prejšnje stanje. Obvestiti je treba vse zadevne zainteresirane strani, vključno s končnimi uporabniki, na katere je to vplivalo/ki jim je bila izdaja namenjena. Postopek se lahko v čakanju na odobritev ponovno začne na kateri koli od prejšnjih ravni.
8.5.Pregled in zaključek izdaje
Pregled uvedbe bi moral vključevati naslednje dejavnosti:
·zajemanje povratnih informacij o zadovoljstvu stranke, uporabnika in dobavitelja storitve z uvedbo (zbiranje povratnih informacij in njihovo upoštevanje za nenehno izboljševanje storitve),
·pregled vseh meril kakovosti, ki niso bila izpolnjena,
·preverjanje, da so končane vse dejavnosti, potrebne odprave napak in spremembe,
·zagotavljanje, da ob koncu postavitve ni nobenih težav, povezanih z zmožnostjo, virom, zmogljivostjo ali učinkovitostjo,
·preverjanje, da so stranka, končni uporabniki, izvajalci operativne podpore in druge zadevne strani dokumentirali in sprejeli vse težave, znane napake in alternativne rešitve,
·spremljanje incidentov in težav, ki nastanejo zaradi uvedbe (zagotavljanje zgodnje podpore operativnim skupinam, kadar se zaradi izdaje poveča obseg dela),
·posodabljanje podporne dokumentacije (tj. dokumentov s tehničnimi informacijami),
·uraden prenos uvedbe izdaje na operativne naloge storitve,
·dokumentiranje pridobljenih izkušenj,
·pridobivanje zbirnih dokumentov o izdaji pri izvajalskih skupinah,
·uraden zaključek izdaje po preverjanju dokumentacije, povezane z zahtevkom za spremembe.
9.Obvladovanje varnostnih incidentov
Obvladovanje varnostnih incidentov je postopek za obravnavo varnostnih incidentov, da bi se omogočilo obveščanje vseh zainteresiranih strani, na katere bi incidenti lahko vplivali, o teh incidentih, ocenjevanje in prednostno razvrščanje incidentov ter odziv na incident za odpravo vseh dejanskih kršitev zaupnosti, razpoložljivosti ali celovitosti občutljivih informacijskih sredstev, suma teh kršitev ali potencialnih kršitev.
9.1.Kategorizacija incidentov v zvezi z informacijsko varnostjo
Za opredelitev možne kršitve zaupnosti, celovitosti ali razpoložljivosti katerih koli občutljivih informacij, evidentiranih v seznamu občutljivih informacij (SIL), se analizirajo vsi incidenti, ki vplivajo na povezavo med registrom Unije in švicarskim registrom.
V tem primeru se incident označi kot incident v zvezi z informacijsko varnostjo, nemudoma evidentira v orodju za upravljanje storitev IT (ITSM) ter obravnava kot tak.
9.2.Ravnanje v primeru incidentov v zvezi z informacijsko varnostjo
Odgovornost za varnostne incidente je na tretji ravni prenosa, za reševanje pa je pristojna posebna skupina za obvladovanje incidentov (IMT).
Skupina IMT je odgovorna za:
·izvedbo prve analize, kategorizacijo in oceno resnosti incidenta,
·usklajevanje ukrepov med vsemi zainteresiranimi stranmi, vključno s popolno dokumentacijo o analizi incidenta, sprejetimi odločitvami za obravnavo incidenta in možnimi opredeljenimi pomanjkljivostmi,
·odvisno od resnosti varnostnega incidenta, za pravočasen prenos na ustrezno raven v vednost in/ali za sprejetje odločitve.
V postopku obvladovanja incidentov v zvezi z informacijsko varnostjo se vse informacije o incidentih razvrstijo na najvišjo raven občutljivosti informacij, nikakor pa ne nižje od ETS OBČUTLJIVA.
V primeru preiskav, ki potekajo, in/ali pomanjkljivosti, ki bi jo bilo mogoče izkoristiti, se do njene odprave informacije označijo kot ETS KRITIČNA.
9.3.Opredelitev varnostnega incidenta
Na podlagi vrste varnostnega dogodka uradnik za informacijsko varnost določi ustrezne organizacije, ki se vključijo in so del skupine IMT.
9.4.Analiza varnostnega incidenta
Skupina IMT se za pregled incidenta poveže z vsemi vključenimi organizacijami in ustreznimi člani njihovih skupin, kakor je ustrezno. Med analizo se opredeli obseg izgube zaupnosti, celovitosti ali razpoložljivosti sredstev ter ocenijo posledice za vse organizacije, na katere je to vplivalo. Nato se opredelijo začetni in nadaljnji ukrepi za rešitev incidenta in obvladovanje njegovega vpliva, vključno z vplivom teh ukrepov na vir.
9.5.Ocenjevanje resnosti varnostnega incidenta, prenos na višjo raven in poročanje
Skupina IMT oceni resnost vseh novih varnostnih incidentov po njihovi opredelitvi in začne izvajati takojšnje potrebne ukrepe v skladu z resnostjo incidenta.
9.6.Poročanje o odzivu na varnostni incident
Skupina IMT v poročilo o odzivu na incident v zvezi z informacijsko varnostjo vključi rezultate zajezitve incidenta in obnovitve. Poročilo se tretji ravni reševanja pošlje po varni elektronski pošti ali z drugim medsebojno sprejetim sredstvom varnega komuniciranja.
Odgovorna pogodbenica pregleda rezultate zajezitve in obnovitve ter:
·ponovno vzpostavi povezavo med registroma v primeru predhodne prekinitve povezave,
·pošlje sporočila o incidentu skupinam registrov,
·zaključi incident.
Skupina IMT bi morala v poročilo o incidentu v zvezi z informacijsko varnostjo varno vključiti ustrezne podrobnosti, da bi zagotovila dosledno evidentiranje in komuniciranje ter omogočila hitro in ustrezno ukrepanje za zajezitev incidenta. Po zaključku postopka skupina IMT pravočasno pošlje končno poročilo o incidentu v zvezi z informacijsko varnostjo.
9.7.Spremljanje, krepitev zmogljivosti in nenehno izboljševanje
Skupina IMT bo zagotovila poročila o vseh varnostnih incidentih tretji ravni prenosa. Poročila bodo na tej ravni prenosa uporabljena za določitev:
·pomanjkljivosti v varnostnem nadzoru in/ali dejavnostih, ki jih je treba okrepiti,
·možnih potreb za okrepitev tega postopka, da bi se izboljšala njegova učinkovitost pri odzivanju na incidente,
·možnosti za usposabljanje in krepitev zmogljivosti za nadaljnjo krepitev odpornosti sistemov registra z vidika informacijske varnosti ter zmanjšanje tveganja prihodnjih incidentov in njihovega vpliva.
10.Upravljanje informacijske varnosti
Namen upravljanja informacijske varnosti je zagotoviti zaupnost, celovitost in razpoložljivost zaupnih informacij, podatkov in storitev IT organizacije. Poleg tehničnih sestavnih delov, vključno z njihovo zasnovo in preskušanjem (glej LTS), so za izpolnjevanje varnostnih zahtev za začasno rešitev potrebni naslednji skupni operativni postopki.
10.1.Opredelitev občutljivih informacij
Občutljivost informacij se oceni tako, da se določi, kakšen vpliv na podjetje (npr. finančne izgube, poslabšanje podobe, kršitev prava ...) bi lahko imela kršitev varnostnih predpisov, povezana s temi informacijami.
Občutljiva informacijska sredstva se opredelijo na podlagi njihovega vpliva na povezavo.
Raven občutljivosti teh informacij se oceni v skladu z lestvico občutljivosti, ki se uporablja za to povezavo, in opredeli v oddelku „Ravnanje v primeru incidentov v zvezi z informacijsko varnostjo“ tega dokumenta.
10.2.Ravni občutljivosti informacijskih sredstev
Informacijska sredstva se ob opredelitvi razvrstijo na podlagi naslednjih pravil:
·če je opredeljena vsaj ena VISOKA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS KRITIČNO,
·če je opredeljena vsaj ena SREDNJA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS OBČUTLJIVO,
·če je opredeljena samo NIZKA raven zaupnosti, celovitosti ali razpoložljivosti, se sredstvo označi kot ETS OMEJENO.
10.3.Določitev lastnika informacijskih sredstev
Vsa informacijska sredstva bi morala imeti določenega lastnika. Informacijska sredstva sistema za trgovanje z emisijami, ki pripadajo EUTL in SSTL ali so povezana s povezavo med EUTL in SSTL, bi morala biti vključena v skupni seznam sredstev, ki ga vodita obe pogodbenici. Informacijska sredstva sistema za trgovanje z emisijami zunaj povezave med EUTL in SSTL bi morala biti vključena v seznam sredstev, ki ga vodi zadevna pogodbenica.
Pogodbenici se dogovorita o lastništvu vseh informacijskih sredstev, ki pripadajo EUTL in SSTL ali so povezana s povezavo med EUTL in SSTL. Lastnik informacijskega sredstva je odgovoren za oceno njegove občutljivosti.
Lastnik bi moral imeti primerne izkušnje glede na vrednost dodeljenih sredstev. O odgovornosti lastnika za sredstva in obveznosti ohranjanja zahtevane ravni zaupnosti, celovitosti in razpoložljivosti bi se bilo treba dogovoriti in ta dogovor formalizirati.
10.4.Evidentiranje občutljivih informacij
Vse občutljive informacije se evidentirajo v seznamu občutljivih informacij (SIL).
Kjer je to ustrezno, se upošteva združevanje občutljivih informacij, ki bi lahko povzročilo večji vpliv od vpliva ene same informacije, to pa se nato evidentira v seznam SIL (npr. sklop informacij, shranjenih v podatkovni zbirki sistema).
Seznam SIL se nenehno spreminja. Grožnje, ranljivosti, verjetnost ali posledice varnostnih incidentov, povezanih s sredstvi, se lahko spremenijo brez kakršnega koli namiga, v delovanje sistemov registra pa se lahko vnesejo nova sredstva.
Zato se seznam SIL redno pregleduje, vse nove informacije, opredeljene kot občutljive, pa se nemudoma evidentirajo v seznamu SIL.
Seznam SIL za vsak vnos vsebuje vsaj naslednje informacije:
·opis informacije,
·lastnik informacije,
·raven občutljivosti,
·oznaka, če informacije vključujejo osebne podatke
·dodatne informacije, če se zahtevajo.
10.5.Ravnanje z občutljivimi informacijami
Kadar se občutljive informacije obdelujejo zunaj povezave med registrom Unije in švicarskim registrom, se z njimi ravna v skladu z navodili za ravnanje.
Z občutljivimi informacijami, ki se obdelujejo s povezavo med registrom Unije in švicarskim registrom, se ravna v skladu z varnostnimi zahtevami pogodbenic.
10.6.Upravljanje dostopa
Namen upravljanja dostopa je dodeliti pooblaščenim uporabnikom pravico do uporabe storitve in obenem preprečiti dostop nepooblaščenim uporabnikom. Upravljanje dostopa se včasih imenuje tudi „upravljanje pravic“ ali „upravljanje identitete“.
Za začasno rešitev in njeno izvedbo morata obe pogodbenici imeti dostop do naslednjih sestavnih delov:
·okolja Wiki: sodelovalno okolje za izmenjavo splošnih informacij, kot je načrtovanje izdaje,
·orodja za upravljanje storitve IT (ITSM) za obvladovanje incidentov in odpravljanje težav (glej poglavje „Pristopi in standardi“),
·sistema za izmenjavo sporočil: vsaka pogodbenica zagotovi varen sistem za prenos za izmenjavo sporočil, ki vsebujejo podatke o transakciji.
Administrator švicarskega registra in centralni administrator Unije zagotovita, da so dostopi posodobljeni in delujejo kot kontaktne točke za pogodbenici za dejavnosti upravljanja dostopa. Zahtevki za dostop se obravnavajo v skladu s postopki izpolnjevanja zahtevkov.
10.7.Upravljanje potrdil/ključev
Vsaka pogodbenica je odgovorna za svoje upravljanje potrdila/ključa (ustvarjanje, evidentiranje, hramba, namestitev, uporaba, obnovitev, preklic, varnostno kopijo in obnovitev potrdil/ključev). Kot je pojasnjeno v tehničnih standardih za povezavo (LTS), se uporabljajo samo digitalna potrdila, ki jih izda overitelj potrdil, ki mu zaupata obe pogodbenici. Pri ravnanju s potrdili/ključi in njihovi hrambi je treba upoštevati določbe iz navodil za ravnanje.
Vsak preklic in/ali obnovitev potrdil in ključev usklajujeta obe pogodbenici. Izvaja se v skladu s postopki izpolnjevanja zahtevkov.
Administrator švicarskega registra in centralni administrator Unije si bosta izmenjevala potrdila/ključe po varnih komunikacijskih sredstvih v skladu z določbami iz navodil za ravnanje.
Vsako preverjanje potrdil/ključev v katerem koli sredstvu med pogodbenicama se opravi po drugi poti.