20-8.1. CERT-lər və SOC-lar tərəfindən göstərilən xidmətlərin dairəsi bu Qanunun tələbləri nəzərə alınmaqla, onların əsasnaməsi (nizamnaməsi) və ya bu Qanunun 20-7.1-ci və 20-7.6-cı maddələrində qeyd edilən müqavilə ilə müəyyən olunur.
20-8.2. Qurumlar müvafiq CERT-i və SOC-u yaratdıqdan və ya müəyyən etdikdən sonra 10 (on) iş günü ərzində onların reyestrə daxil edilməsi üçün müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqana (quruma) elektron qaydada müraciət etməlidir. CERT-lər və SOC-lar reyestrə daxil edilmədən fəaliyyət göstərə bilməzlər. Bu Qanunun 20-7.8-ci və 20-7.12-ci maddələrində nəzərdə tutulan CERT-lər və SOC-lar onların elektron müraciəti əsasında hər hansı bir icraat aparılmadan reyestrə daxil edilmiş hesab olunurlar.
20-8.3. Müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) tərəfindən CERT-lərin və SOC-ların reyestri elektron formada aparılır.
20-8.4 CERT-lər reyestrə daxil edilməsi üçün aşağıdakı minimal tələblərə cavab verməlidir:
20-8.4.1. işçi heyəti kibertəhlükəsizlik sahəsində ixtisasa və peşə hazırlığına malik olmalı;
20-8.4.2. kiberinsidentlərin və kiberhücumların real vaxt rejimində fasiləsiz monitorinqi və onlara qarşı operativ cavab tədbirlərinin həyata keçirilməsi üçün SOC-a, həmçinin kiberhücumların və kibertəhdidlərin aşkarlanması, aidiyyəti qurumlarla koordinasiya fəaliyyətinin, kiberinsidentlərə yol aça biləcək halların erkən mərhələdə müəyyən edilməsinin təmin edilməsi üzrə texnoloji infrastruktura malik olmalı;
20-8.4.3. kiberinsidentlərin qeydiyyatı və identifikasiyası, onların prioritetləşdirilməsi və təsnifatı, cavab tədbirlərinin planlaşdırılması və icrasının izlənilməsi, həyata keçirilən fəaliyyətin sənədləşdirilməsi, hesabatlılığın və statistik məlumatların formalaşdırılması, habelə Milli CERT tərəfindən müəyyən edilmiş sistemlərə inteqrasiya funksiyalarına malik mərkəzləşdirilmiş insident idarəetmə sistemi və insident idarəetmə təlimatı mövcud olmalı;
20-8.4.4. kibertəhdidlərin aşkarlanmasını təmin edən proaktiv kibertəhlükəsizlik tədqiqatının aparılması, bu fəaliyyət çərçivəsində zərərli fəaliyyət göstəricilərinin toplanması və təhlili, milli və beynəlxalq mənbələrdən məlumatların əldə edilməsi və emalı, potensial təhdidlər üzrə erkən xəbərdarlıq mexanizmlərinin tətbiqi və əldə edilmiş məlumatların aidiyyəti üzrə paylaşılması üçün texniki infrastruktura malik olmalı;
20-8.4.5. kibertəhlükəsizlik, məlumat mübadiləsi və məlumatların mühafizəsi üzrə siyasət sənədlərinə malik olmalı.
20-8.5. SOC-lar reyestrə daxil edilməsi üçün aşağıdakı minimal tələblərə cavab verməlidir:
20-8.5.1. kiberinsidentlərin və kiberhücumların real vaxt rejimində fasiləsiz monitorinqinin və onlara qarşı ilkin texniki cavab tədbirlərinin həyata keçirilməsi, eləcə də belə fəaliyyətlər nəticəsində əldə edilən məlumatların dərhal Milli SOC-a ötürülməsi üçün texniki infrastruktura malik olmalı;
20-8.5.2. işçi heyəti kibertəhlükəsizlik sahəsində ixtisasa və peşə hazırlığına malik olmalı;
20-8.5.3. fasiləsiz monitorinq zamanı fasiləsiz rejimində fəaliyyət göstərməli, fəaliyyət göstərdiyi sahə üzrə informasiya ehtiyatlarından və sistemlərindən məlumatların (loqların) toplanması, sistemləşdirilməsi və real vaxt rejimində təhlili üçün zəruri texniki və proqram təminatına malik olmalı;
20-8.5.4. kiberinsidentlərin qeydiyyatı və identifikasiyası, onların prioritetləşdirilməsi və təsnifatı, cavab tədbirlərinin planlaşdırılması və icrasının izlənilməsi, həyata keçirilən fəaliyyətin sənədləşdirilməsi, hesabatlılığın və statistik məlumatların formalaşdırılması, habelə Milli CERT tərəfindən müəyyən edilmiş sistemlərə inteqrasiya funksiyalarına malik mərkəzləşdirilmiş insident idarəetmə sistemi və insident idarəetmə təlimatı mövcud olmalı;
20-8.5.5. kibertəhlükəsizlik, məlumat mübadiləsi və məlumatların mühafizəsi üzrə siyasət sənədlərinə malik olmalı.
20-8.6. Bu Qanunun 20-8.2-ci maddəsində qeyd edilən müraciətə aşağıdakı sənədlər və məlumatlar əlavə edilməlidir:
20-8.6.1. CERT-in və ya SOC-un hüquqi şəxslərin dövlət reyestrindən çıxarışının surəti (rezident hüquqi şəxs olduqda);
20-8.6.2. CERT-in və ya SOC-un əsasnaməsinin və ya nizamnaməsinin surəti;
20-8.6.3. CERT-in və ya SOC-un infrastrukturunun yerləşdiyi ünvan və əlaqə məlumatları (telefon nömrəsi, elektron poçt);
20-8.6.4. CERT-in və ya SOC-un kibertəhlükəsizlik, məlumat mübadiləsi və məlumatların mühafizəsi üzrə siyasət sənədləri, habelə insident idarəetmə təlimatı;
20-8.6.5. CERT-in və ya SOC-un işçilərinin kibertəhlükəsizlik sahəsində peşə hazırlığına və ixtisasa malik olduğunu təsdiq edən sənədlərin surəti (təhsil haqqında sənəd və ya beynəlxalq səviyyədə tanınan sertifikat);
20-8.6.6. texniki-texnoloji infrastrukturu barədə məlumatlar.
20-8.7. Bu Qanunun 20-8.6-cı maddəsinə əsasən tələb olunan sənədlərin və məlumatların Elektron Hökumət İnformasiya Sistemi vasitəsilə müvafiq dövlət qurumundan əldə edilməsi mümkün olduqda, həmin sənədlər və məlumatlar qurumdan tələb edilmir. Belə sənədlərin və məlumatların Elektron Hökumət İnformasiya Sistemi vasitəsilə əldə edilməsi mümkün olmadığı hallarda onların təqdim edilməsi qurumun razılığı ilə sorğu əsasında müvafiq dövlət qurumundan tələb olunur və ya qurum tərəfindən təmin edilir.
20-8.8. Qurumun bu Qanunun 20-8.6-cı maddəsinə uyğun təqdim etdiyi sənədlər və məlumatlar müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) tərəfindən 15 (on beş) iş günü müddətində yoxlanılır. Həmin sənədlərdə və məlumatlarda aradan qaldırılması mümkün olan çatışmazlıqlar (bu Qanunun 20-8.7-ci maddəsinin tələbi nəzərə alınmaqla) aşkar edildikdə, müraciətin qeydiyyata alındığı tarixdən 20 (iyirmi) iş günündən gec olmayaraq onların aradan qaldırılması barədə məlumat quruma təqdim edilir, habelə formal tələblərə əməl olunmamasının hüquqi nəticələri ona izah edilir. Bütün çatışmazlıqlar quruma eyni zamanda bildirilməlidir.
20-8.9. Qurum həmin çatışmazlıqları məlumatı aldığı vaxtdan ən geci 20 iş günü müddətində aradan qaldırmalıdır.
20-8.10. Qurum müraciətə əlavə edilmiş sənədlərdə və məlumatlarda aşkar olunmuş çatışmazlıqları bu Qanunun 20-8.9-cu maddəsində nəzərdə tutulmuş müddətdə aradan qaldırmadıqda müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) müraciəti baxılmamış saxlayır və bu barədə qərarı 5 iş günü müddətində onlara təqdim edir.
20-8.11. Müraciətə əlavə edilmiş sənədlərdə və məlumatlarda çatışmazlıqlar aşkar edilmədikdə və ya aşkar olunmuş çatışmazlıqlar aradan qaldırıldıqdan sonra müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) tərəfindən CERT və ya SOC barədə məlumatlar 10 iş günü müddətində reyestrə daxil edilir və bu barədə məlumat 2 iş günü müddətində aidiyyəti quruma təqdim edilir.
20-8.12. Reyestrə daxil edilən məlumatlarda dəyişikliklər baş verdikdə və ya CERT və SOC ləğv edildikdə, müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqana (quruma) 5 iş günü müddətində elektron qaydada məlumat verilir. Məlumat daxil olduqdan sonra 5 iş günündən gec olmayaraq, müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) tərəfindən reyestrdə müvafiq dəyişikliklər edilir (ləğv edilən CERT-ə və ya SOC-a dair məlumatlar reyestrdə arxivləşdirilir).
20-8.13. CERT-lərin və SOC-ların fəaliyyətinin bu Qanunun 20-8.4-cü və 20-8.5-ci maddələrində qeyd edilən tələblərə uyğunluğunun yoxlanılması məqsədilə Milli CERT tərəfindən ildə bir dəfədən az olmayaraq monitorinqlər həyata keçirilir. Monitorinqlər CERT və ya SOC-un fəaliyyət göstərdiyi yerlərə getməklə və ya getmədən (hesabatlar, sorğular və digər məlumatlar əsasında) aparılır. Monitorinqin keçirilməsinə ən geci 5 iş günü qalanadək aidiyyəti CERT-ə və ya SOC-a bu barədə məlumat verilir. Monitorinq nəticəsində aşkar edilən çatışmazlıqlar Milli CERT tərəfindən müəyyən edilən müddətlərdə aradan qaldırılmalıdır.
20-8.14. Bu Qanunun 20-8.4-cü və 20-8.5-ci maddələrində qeyd edilən tələblərə sahibkarlıq subyekti olan CERT və ya SOC tərəfindən riayət olunmasının monitorinqi həmin sahibkarlıq fəaliyyətinin həyata keçirildiyi obyektlərə gəlmədən aparılır. Milli CERT-in və Milli SOC mütəxəssisləri informasiya infrastrukturunun kibertəhlükəsizliyi ilə bağlı metodiki köməklik göstərilməsi, məsləhət verilməsi və vəziyyətin qiymətləndirilməsi üçün həmin CERT-in və ya SOC-un dəvəti ilə onun informasiya infrastrukturu obyektlərinə gələ bilərlər.
20-8.15. CERT-lərin və SOC-ların işçi heyəti fəaliyyəti zamanı informasiya infrastrukturu subyekti, onun texnoloji infrastrukturu, informasiya ehtiyatları və onlarda olan informasiya barədə əldə olunmuş məlumatların konfidensiallığını təmin etməlidir.
20-8.16. CERT və SOC-un işçi heyəti kibertəhlükəsizlik sahəsində bilik və bacarıqlarının artırılması üçün davamlı təlimlərə cəlb edilməli, eləcə də onların bilik və bacarıqlarının artırılması, habelə sertifikatlaşdırılması təmin edilməlidir.
20-8.17. Milli SOC tərəfindən aparılan monitorinq kritik informasiya infrastrukturuna, dövlət orqanlarına (qurumlarına) məxsus, habelə mühafizə olunan şəxslərin, qorunan və strateji obyektlərin informasiya infrastrukturuna, Azərbaycan Respublikasının Mərkəzi Bankına və maliyyə bazarlarında fəaliyyətinə nəzarət edilən subyektlərə, eləcə də aidiyyəti üzrə müvafiq icra hakimiyyəti orqanının müəyyən etdiyi orqan (qurum) və Azərbaycan Respublikasının Mərkəzi Bankı tərəfindən yaradılmış SOC-ların fəaliyyətinə şamil olunmur. Kritik informasiya infrastrukturu obyektlərinə münasibətdə fəaliyyət göstərən SOC-ların Milli SOC-la əlaqələndirilməsi və məlumat mübadiləsi kritik informasiya infrastrukturunun təhlükəsizliyinin təmin edilməsi üzrə səlahiyyətli orqan, maliyyə bazarlarında fəaliyyətinə nəzarət edilən subyektlərdə SOC-ların Milli SOC-la əlaqələndirilməsi və məlumat mübadiləsi Azərbaycan Respublikasının Mərkəzi Bankı tərəfindən həyata keçirilir.