jftLVªh laö Mhö ,yö&33004@99

REGD. NO. D. L.-33004/99

vlk/kj.k

EXTRAORDINARY

Hkkx II—[k.M 3—mi&[k.M (i)

PART II—Section 3—Sub-section (i)

izkf/dkj ls izdkf'kr

PUBLISHED BY AUTHORITY

la. 15]

ubZ fnYyh] c`gLifrokj] tuojh 16] 2014@ikS"k 26]1935

No. 15]

NEW DELHI, THURSDAY, JANUARY 16, 2014/PAUSHA 26, 1935

संचार और सूचना ौोिगक मंालय

(इलेॉिनक और सूचना ौोिगक िवभाग)

अिधसूचना

नई िदली, 16 जनवरी, 2014

सा. का.िन. 18(अ). – के ीय सरकार सूचना ौोिगक अिधिनयम, 2000 (2000 का 21) क धारा 70 क क उपधारा (1), )ारा द*

शि,य- का योग करते ह0ए, रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के, 9लाक-III, जेएनयू कै=पस, नई िदली 110067, जोिक रा23ीय

तकनीक अनुसंधान संगठन के अंतग6त एक संगठन है, को मह4वपूण6 सूचना अवसंरचना संर8ण के संबंध मA रा23ीय नोडल अिभकरण/अिभिहत

करती है ।

[फा. सं. 9(16)/2004-ई.सी.]

आर.के. गोयल, संयु, सिचव

MINISTRY OF COMMUNICATIONS AND INFORMATION TECHNOLOGY

(Department of Electronics and Information Technology)

NOTIFICATION

New Delhi, the 16th January, 2014

G.S.R 18(E). – In exercise of the powers conferred by sub-section (1) of Section 70A of the Information

Technology Act, 2000 (21 of 2000), the Central Government hereby designates the National Critical Information

Infrastructure Protection Centre, Block-III, JNU Campus, New Delhi-110067, an organisation under the National

Technical Research Organisation, as the national nodal agency in respect of Critical Information Infrastructure

Protection.

[No. 9(16)/2004-EC]

R.K. GOYAL, Jt. Secy.

186 GI/2014

(1)

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

अिधसूचना

नई िदली, 16 जनवरी, 2014

सा.का.िन.19(अ).- केीय सरकार सूचना ौोिगक अिधिनयम, 2000 (2000 का 21) क धारा 70क क उपधारा (3) के साथ पिठत धारा

87 क उपधारा (2) के खPड (यग) )ारा द4 त शि,य- का योग करते ह0ए िन=निलिखत िनयम बनाती है, अथा6त:-

1. संि'( नाम और ार)भ— (1) इन िनयम- का संि8S त नाम सूचना ौोिगक (रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के और कायU तथा

दािय4 व- के िनव6हन क रीित) िनयम, 2013 है ।

(2) ये राजपV से उनके काशन क तारीख से वृ* ह-गे ।

2. प-रभाषाएं— (1) इन िनयम- से जब तक अयथा संदभ6 अपेि8त न हो, -

(क) “अिधिनयम” से सूचना ौोिगक अिधिनयम, 2000 (2000 का 21) अिभेत है;

(ख) “उपयु, सरकार” से अिधिनयम क धारा 2 क उपधारा (1) के खPड (ङ) मA प]रभािषत अनुसार उपयुक्त सरकार अिभेत है;

(ग)

“िनगिमत िनकाय” से अिधिनयम क धारा 43क के `पaीकरण (1) मA प]रभािषत िनगिमत िनकाय अिभेत है;

(घ)

“मह4वपूण6 सूचना अवसंरचना” से अिधिनयम क धारा 70 के उपखPड के `पaीकरण मA प]रभािषत मह4वपूण6 सूचना अवसंरचना अिभेत है;

(ङ)

“मह4वपूण6 सेcटर” से ऐसे सेcटर अिभेत हf, जो रा23 के िलए मह4वपूण6 हf और िजनके अ8म बनाने या िवनाश से रा23ीय सुर8ा,

अथ6gयव`था, लोक `वा`hय या सुर8ा पर ितकूल भाव पड़ेगा ;

(च)

“भारतीय क=Sयूटर आपात ितिjया दल” से अिधिनयम क धारा 70ख क उपधारा (1) के अंतग6त अिधसूिचत भारतीय क=Sयूटर आपात

ितिjया दल अिभेत है;

(छ)

“मlयवतm” से अिधिनयम क धारा 2 क उपधारा (1) के खPड (ब) मA प]रभािषत “मlयवतm” अिभेत है;

(ज)

“नोडल अिधका]रय-” से समुिचत सरकार (सरकार-) और उसके अिभकरण-, िनगिमत िनकाय- और मह4वपूण6 8ेV- मA अिभिहत िनकाय- के

नामिनिद62 ट अिधकारी अिभेत हf, जो अिभिहत नोडल अिभकरण या उसक इकाइय- को जब भी आवn यक हो, मह4वपूण6 सूचना अवसरं

चना

और संबo संरि8त णािलय- के संर8ण के िलए सूिचत करAगे, सहयोग दAगे और सहायता दान करAगे ;

(झ)

“तकनीक के” से रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के या उिचत सरकार- और इसक एजAिसय- क तकनीक इकाइयां

अिभेत हf, जो मह4वपूण6 सूचना अवसंरचना क संर8ा के िलए रा23ीय मह4वपूण6 सूचना अवसंरचना के साथ ससंजक और सहयोग से काय6

करेगा ।

(2) इन िनयम- मA यु, श9द और अिभgयि, जो प]रभािषत नही हf परतु अिधिनयम मA प]रभािषत है, का वही अथ6 होगा जो अिधिनयम मA है ।

3. (1) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण कA अधीन अिभिहत (इसके पqात एनसीआईआईपीसी कहा गया है) मह4वपूण6 सूचना अवसरं

चना के

संर8ण के संबंध मA अिधिनयम क धारा 70क के अधीन अिभिहत रा23ीय नोडल अिभकरण होगा और अिधसूिचत िकए जाने वाले पते मA से काय6

करेगा ।

(2) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के रा23ीय तकनीक अनुसंधान संगठन (एनटीआरओ) का भाग होगा और एनटीआरओ के

शासिनक िनयंVाधीन होगा ।

(3) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के सरकारी छु]sय- सिहत वष6 के सभी िदन चौबीस घंटे काय6 करेगा । एनसीआईआईपीसी का पता

और अय संपक6 िववरण इसक वेबसाइट पर कािशत िकया जाएगा ।

(4) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के का 8ेV भारतीय मह4वपूण6 सूचना अवसंरचना होगा जैसा िक र8ा मंVालय के अधीन अिधसूिचत

को छोड़कर सरकार )ारा समय-समय पर अिधसूिचत िकया जाए ।

4. रा0ीय मह3वपूण5 सूचना अवसंरचना संर'ण के67 के काय5 और क859य— रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के के काय6 और

क*6gय िन=निलिखत ह-गे, अथा6त:-

(1) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के रा23 क मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए सभी उपाय करने के िलए रा23ीय

नोडल अिभकरण के tप मA काय6 करेगा ।

(2) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के साइबर आतंकवाद, साइबर वारफेयर और अय खतर- के िवto मह4वपूण6 सूचना अवसंरचना

क भेता कम करने के उuेnय से अिनवाय6त: संर8ण करेगा और परामश6 देगा ।

(3) अिधसूिचत करने के िलए उपयु, सरकार )ारा अनुमोदन हेतु सभी मह4वपूण6 सूचना अवसंरचना घटक- क पहचान करना ।

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

(4) अिभिनधा6]रत मह4वपूण6 सूचना अवसंरचना के िवvo साइबर सुर8ा खतर- का सामना करने के िलए सरकार- को भी साम]रक नेतृ4व और

सामंज`य दान करना ।

(5) पूव6 चेतावनी या सतक6 ता के िलए नीित माग6दश6न िवशेषxता-िह`सेदारी तथा ि`थितजय जागtकता के िलए मह4वपूण6 सूचना अवसंरचना को

रा2 3ीय `तरीय खतर- के समवय, भागीदारी, मानीटरी, एकVण, िवyेषण और भिव2यवाणी करना । रा23ीय मह4वपूण6 सूचना अवसंरचना णाली के

संर8ण का आधारभूत दािय4व उस मह4वपूण6 सूचना अवसंरचना को चलाने वाले अिभकरण का है ।

(6) मह4वपूण6 सूचना अवसंरचना के संर8ण क बावत उपयु, योजनाएं

तैयार करने, मानक अपनाने, सवz*म पoितय- को साझा करने और ापण

jम- के प]रमाज6न मA सहायता करना ।

(7) मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए उनके चार-सार और काया6वयन हेतु संर8ा रणनीितय-, नीितयां, भेता आकलन और लेखा

परी8ण णािलयां और योजनाएं

तैयार करना ।

(8) मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए अतररा23ीय भागीदा]रय- के साथ gयापक साव6जिनक 8ेV के उोग-, शैि8क सं`थाओं

के साथ

घिनa tप से काय6 करने के िलए कौशल िवकास करने और उसे समथ6 बनाने के िलए नवीन भावी ौोिगक के सृजन, सहयोग करने के िलए

अनुसंधान और िवकास तथा अय काय6कलाप करना, सहायता अनुदान सिहत िनिधयां दान करना ।

(9) मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए िश8ण और जागtकता काय6jम तैयार करना अथवा आयोिजत करना साथ ही लेखापरी8ा और

माणन अिभकरण- का िवकास और िश8ण ।

(10) मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए रा23ीय और अतररा23ीय सहयोग काय6नीितयां तैयार करना और उनका िन2पादन करना ।

(11) भारतीय क=Sयूटर आपात ितिjया दल और इस 8ेV तथा सुसंगत 8ेV- मA काय6रत अय संगठन- के घिन{ समवय मA पणधा]रय- के परामश6 से

मह4वपूण6 सूचना अवसंरचना क सुर8ा और पoितयां, िjयां, िनवारण एवं 4यु*र से संबंिधत िदशािनद|श, परामश6 और सुमदयता या लेखा-परी8ा

आिद जारी करना ।

(12) भारतीय क=Sयूटर आपात दल तथा 8ेV मA संबंिधत अय संगठन- के साथ हमल- तथा अय भेताओं

से संबंिधत साइबर घटनाओं

और अय

सूचना का आदान-दान ।

(13) मह4वपूण6 सूचना अवसंरचना को कोई खतरा होने क ि`थित मA रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के सूचना मंगा सकता है और

मह4 वपूण6 8ेV- या मह4वपूण6 सूचना अवसंरचना के संबंध मA सूचना देने वाले या सूचना रखने वाले gयि,य- को िनदेश देगा ।

5. कृ3 य; और क859य; के िनव5हन क रीित—

(1) (क) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के अिनवाय6 tप से मह4वपूण6 8ेV- के संबंिधत नोडल अिधका]रय-, भारतीय क=Sयूटर आपात

ितिjया दल और 8ेV मA तथा सुसंगत 8ेV- मA काय6रत अय संगठन- के साथ घिन{ सहयोग या समवय से अपने कायU को करेगा और

दािय4व- का िनव6हन करेगा ।

(ख) खतर- या भेताओं

के िवvo कार6वाई करने क ाथिमकता साधारणत: अवरोहण jम मA ाथिमकता देने के िलए खतरे के कार, कठोरता,

भािवत िनकाय तथा संसाधन- क उपल9 धता और रीित पर होगी, अथा6त :-

(i)

खतरा या भेता से रा23ीय मह4वपूण6 सूचना अवसंरचना को मह4 वपूण6 भौितक या आिथ6क या अ य नुकसान हो सकता है;

(ii)

मह4वपूण6 सूचना अवसंरचना के अधीन शािमल सरकारी संपि* को खतरा है;

(iii)

रा23ीय मह4वपूण6 सूचना अवसंरचना के पया6S त सं~ या मA 8ेV को खतरा है;

(iv)

रा23ीय मह4वपूण6 सूचना अवसंरचना का एक िविश2 ट 8ेV खतरे मA है ।

(2)

रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के के साथ संपक6

(क) िविभन मह4वपूण6 8ेV- मA संबंिधत नोडल अिधकारी रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के के साथ संचार के सभी उपयु, या

उपल9ध साधन- का योग करके स= पक6 करAगे ।

(ख) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के अपने lयान मA आने वाली िकसी भेताओं

/खतरे, और जो रा23 क मह4वपूण6 सूचना

अवसंरचना को भािवत करते हf या कर सकते हf, का `व: ेरणा से संxान लेगा और उपयु, उपाय करेगा ।

(ग) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के घटनाओं

क ]रपोिट€ग के िलए 24X7 हेप डे`क रखेगा ।

(3) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के – चालन और अनुिjया

(क) रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के, संबंिधत नोडल अिधका]रय- और अय अिभकरण- जैसे इस 8ेV मA काय6रत

क=Sयूटर आपात ितिjया दल के के साथ संयुc त tप से सहयोग से परामश6 या चेताविनयां जारी करेगा और मह4वपूण6 सूचना

अवसंरचना के संर8ण के िलए खतरे/भेताओं

का समाधान करने मA माग6दश6न और िवशेषxता का योगदान करेगा ।

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

(ख)

संभािवत/वा`तिवक रा2 3 `तरीय खतरे क दशा मA यह िनणा6यक भूिमका िनभाएगा और मह4वपूण6 सूचना अवसंरचना के 8ेV मA

भारतीय क=Sयूटर आपात ितिjया दल के घिन2 ठ सहयोग से िविभन पणधा]रय- क ितिjया का समवय करेगा ।

(ग)

रा2 3ीय मह4वपूण6 सूचना अवसंरचना कA , मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए 3ैिफक डाटा क मानीटरी और संƒहण

के िलए मह4वपूण6 सूचना अवसंरचना िविनिद62 ट और केवल उनक साइबर संर8ण आवnयकताओं

से सुसंगत अिधिनयम क धारा

69ख और तदधीन अिधसूिचत िनयम- का आवलंब ले सकेगा ।

(घ)

मह4वपूण6 सूचना अवसंरचना के संर8ण के योजन के िलए साइबर सूचना के अवरोधन/मानीटरी/उसे िडिjS ट करने तथा 9लाक

करने के िलए रा2 3ीय मह4 वपूण6 अवसंरचना कA क शि,यां गृह मंVालय तथा एनटीआरओ )ारा संयु, tप से तैयार कानून और

मानक प]रचालन िjयाओं

/पoितय- के अनुसार ह-गी ।

6. सलाहकार सिमित—

(क) रा2 3ीय मह4वपूण6 सूचना अवसंरचना कA को अिधदेिशत कत6g य- और भूिमका को पूरा करने के िल ए नीित िवषय- और मह4वपूण6 सूचना

अवसंरचना के संर8ण के से संबंिधत उपाय- पर परामश6 देने के िलए एक परामश6दाता सिमित होगी ।

(ख) सलाहकार सिमित का गठन िन=निलिखत से िमलकर होगा :-

(I)

अlय8/वैxािनक सलाहकार, एनटीआरओ

- अlय8

(II)

गृह मंVालय का ितिनिध

- सद`य

(III)

िविध एवं याय मंVालय का ितिनिध

- सद`य

(IV)

दूर संचार िवभाग का ितिनिध

- सद`य

(V)

इलेc3ॉिनक और सूचना ौोिगक िवभाग का ितिनिध

- सद`य

(VI)

gयय िवभाग का ितिनिध

- सद`य

(VII)

र8ा मंVालय का ितिनिध

- सद`य

(VIII)

महािनदेशक, सट6-इन

- सद`य

(IX)

रा23ीय सुर8ा प]रषद सिचवालय का ितिनिध

- सद`य

(X)

मंिVमंडल सिचवालय का ितिनिध

- सद`य

(XI)

िवषय/डोमेन िवशेषx (अlय8 )ारा नामािनिद62 ट)

- सद`य

(XII)

एनटीआरओ के दो ितिनिध

- सद`य

(XIII)

आसूचना 9यूरो का ितिनिध

- सद`य

(XIV)

यथाअपेि8त िकसी अय मंVालय का ितिनिध

- िवशेष आमंिVत

(XV)

(क) उोग (ख) िनगिमत िनकाय (ग) मह4 वपूण6 8ेV- के ितिनिध

- िवशेष आमंिVत

(XVI)

रा† य सरकार- के ितिनिध (चjानुjम के आधार पर)

- िवशेष आमंिVत

(XVII)

महािनदेशक, रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के

-सद`य-संयोजक

(ग) यथाअपेि8त अनुसार सलाहकार सिमित क बैठक होगी ।

(घ) एनसीआईआईपीसी के काय6करण से संबंिधत िकसी िविशa मुuे का समाधान करने के िलए सलाहकार सिमित उप-सिमितय- का गठन कर

सकेगी ।

7. अनुसंधान और िवकास—

रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के इस संबंध मA सरकार के िनयम- और िjयाओं

के अनुसार अनुसंधान और िवकास मA सहयोग

(4य8 या अ4य8) के िलए िन= निलिखत से सहयोग क मांग तथा अनुरोध कर सकेगा -

(i) सरकारी संगठन अथवा िनकाय, सं`थान, िवकास, अिभकरण या सोसायिटयां आिद;

(ii) भारत मA या भारत से बाहर के िव~ यात सं`थान;

(iii) िनगिमत िनकाय तथा उोग संघ; तथा

(iv) िवषय या डोमेन िवशेषx

[फा. सं. 9(16)/2004-ई.सी.]

आर.के. गोयल, संयु, सिचव

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

NOTIFICATION

New Delhi, the 16th January, 2014

G.S.R. 19(E).- In exercise of the powers conferred by clause (zc) of sub-section (2) of Section 87, read with

sub-section (3) of section 70A of the Information Technology Act, 2000 (21 of 2000), the Central Government hereby

makes the following rules, namely:-

1. Short title and Commencement.— (1) These rules may be called the Information Technology (National Critical

Information Infrastructure Protection Centre and Manner of Performing Functions and Duties) Rules, 2013.

(2) They shall come into force on the date of their publication in the Official Gazette.

2. Definitions.— (1) In these rules, unless the context otherwise requires, -

(a) “Act” means Information Technology Act, 2000 (21 of 2000);

(b) “Appropriate Government” means appropriate Government as defined in clause (e) of sub-section (1) of

section 2 of the Act;

(d) “Critical Information Infrastructure” means Critical Information Infrastructure as defined in Explanation to

sub-section (1) of section 70 of the Act;

(e) “Critical Sector” means sectors, which are critical to the nation and whose incapacitation or destruction

will have a debilitating impact on national security, economy, public health or safety;

(f)

“Indian Computer Emergency response Team” means the Indian Computer Emergency Response Team

notified under sub-section (1) of section 70B of the Act;

(g) “Intermediary” means an intermediary as defined in clause (w) of sub-section (1) of section 2 of the Act;

(h) “Nodal Officers” means officer(s) nominated by the appropriate Government(s) and its agencies, body

corporates, and other entities in the designated critical sectors, who shall inform, cooperate with and

support the designated Nodal Agency or its units as and when required for the protection of Critical

Information Infrastructure and associated protected systems;

(i)

“Technical Centre” means technical units of the National Critical Information Infrastructure Protection

Centre or critical sector(s) or of the appropriate Governments and its agencies, which shall work cohesively

in synergistic manner with the National Critical Information Infrastructure Protection Centre for the

protection of Critical Information Infrastructure.

(2) Words and expressions used in these rules but not defined and defined in the Act shall have the same meaning as

is assigned to them in the Act.

3. (1) National Critical Information Infrastructure Protection Centre (hereinafter referred to as NCIIPC) shall be the

national nodal agency designated under section 70A of the Act in respect of Critical Information Infrastructure

Protection and shall function at the address to be notified.

(2) National Critical Information Infrastructure Protection Centre shall be a part of and under the administrative

control of the National Technical Research Organisation (NTRO),

(3) National Critical Information Infrastructure Protection Centre shall function on a twenty-four-hour basis on all

days of the year including Government holidays. The address and other contact details of NCIIPC shall be

published on its website.

(4) National Critical Information Infrastructure Protection Centre constituency shall be the Indian critical

information infrastructure as notified by the Government from time to time and excluding those notified under the

Ministry of Defence.

4. Functions and duties of the National Critical Information Infrastructure Protection Centre.— The functions

and duties of the National Critical Information Infrastructure Protection Centre shall be the following, namely:-

(1) National Critical Information Infrastructure Protection Centre shall function as the national nodal agency for all

measures to protect nation’s critical information infrastructure.

(2) The National Critical Information Infrastructure Protection Centre shall essentially protect and deliver advice

that aims to reduce the vulnerabilities of critical information infrastructure, against cyber terrorism, cyber warfare

and other threats.

(3) Identification of all critical information infrastructure elements for approval by the appropriate Government for

notifying the same.

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

(4) Provide strategic leadership and coherence across Government to respond to cyber security threats against the

identified critical information infrastructure.

(5) Coordinating, sharing, monitoring, collecting, analysing and forecasting, national-level threats to critical

information infrastructure for policy guidance, expertise-sharing and situational awareness for early warning or

alerts. The basic responsibility for protecting critical information infrastructure system shall lie with the agency

running that critical information infrastructure.

(6) Assisting in the development of appropriate plans, adoption of standards, sharing of best practices and

refinement of procurement processes in respect of protection of Critical Information Infrastructure.

(7) Evolving protection strategies, policies, vulnerability assessment and auditing methodologies and plans for

their dissemination and implementation for protection of Critical Information Infrastructure.

(8) Undertaking research and development and allied activities, providing funding (including grants-in-aid) for

creating, collaborating and development of innovative future technology for developing and enabling the growth of

skills, working closely with wider public sector industries, academia et al and with international partners for

protection of Critical Information Infrastructure.

(9) Developing or organising training and awareness programs as also nurturing and development of audit and

certification agencies for protection of Critical Information Infrastructure.

(10) Developing and executing national and international cooperation strategies for protection of Critical

Information Infrastructure.

(11) Issuing guidelines, advisories and vulnerability or audit notes etc. relating to protection of critical information

infrastructure and practices, procedures, prevention and response in consultation with the stake holders, in close

coordination with Indian Computer Emergency Response Team and other organisations working in the field or

related fields.

(12) Exchanging cyber incidents and other information relating to attacks and vulnerabilities with Indian Computer

Emergency Response Team and other concerned organisations in the field.

(13) In the event of any threat to critical information infrastructure the National Critical Information Infrastructure

Protection Centre may call for information and give directions to the critical sectors or persons serving or having a

critical impact on Critical Information Infrastructure.

5. Manner of performing functions and duties.—

(1) (a) The National Critical Information Infrastructure Protection Centre shall essentially undertake its task and

discharge its responsibilities in close association or coordination with the respective nodal officers of the

critical sectors, Indian Computer Emergency Response Team and other organisations working in the field or

related fields.

(b) Prioritisation of actions against threats or vulnerabilities shall generally be based on the type, severity,

affected entity and availability of resources and the methodology for prioritization in descending order shall be

as follows, namely:-

(i)

the threat or vulnerability could result in significant physical or economic or other damage to

the national critical information infrastructure;

(ii)

Government property covered under critical information infrastructure, is in danger;

(iii)

a significant number of sector(s) of the national critical information infrastructure are in

danger;

(iv)

a particular sector of the national critical information infrastructure is endangered.

(2)

Communication with National Critical Information Infrastructure Protection Centre

(a)

The respective nodal officers in the various critical sectors shall communicate with the National Critical

Information Infrastructure Protection Centre using all appropriate or available means of communication.

(b)

The National Critical Information Infrastructure Protection Centre may also take suo moto cognizance of

any vulnerability/threat that comes to its notice and that affects, or can affect, the nation’s Critical

Information Infrastructure, and initiate suitable measures.

(c)

The National Critical Information Infrastructure Protection Centre shall maintain a 24X7 help desk to

facilitate reporting of incidents.

(3) National Critical Information Infrastructure Protection Centre – Operations and Response

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

(a)

National Critical Information Infrastructure Protection Centre shall, in conjunction with the respective nodal

officers and other agencies like Indian Computer Emergency Response Team working in the field, issue

advisories or alerts and provide guidance and expertise-sharing in addressing the threats/vulnerabilities for

protection of Critical Information Infrastructure.

(b)

It shall, in the event of a likely/actual national-level threat, play a pivotal role and coordinate the response of

the various stake-holders in the area of critical information infrastructure in close cooperation with Indian

Computer Emergency Response Team.

(c)

For protection of critical information infrastructure, the National Critical Information Infrastructure

Protection Centre may take recourse for monitoring and collection of traffic data in accordance with the

provisions of section 69B of the Act and the rules notified thereunder specific to critical information

infrastructure and relevant to their cyber protection needs only.

(d)

The

powers

the

National

Critical

Information

Infrastructure

Protection

Centre

for

interception/monitoring/decryption and blocking of cyber information for the purpose of protection of

critical information infrastructure shall be in accordance with the law and as per the Standard Operating

Procedures/modalities to be jointly developed by Ministry of Home Affairs and NTRO.

6. Advisory Committee.—

(a) There shall be Advisory Committee to advise the National Critical Information Infrastructure Protection

Centre on policy matters and measures relating to the protection of critical information infrastructure to

enable it to fulfil its mandated role and functions.

(b) The Advisory Committee shall consist of the following:-

(i)

Chairman/Scientific Advisor, NTRO

- Chairman

(ii)

Representative of Ministry of Home Affairs

- Member

(iii)

Representative of Ministry of Law & Justice

- Member

(iv)

Representative of Department of Telecommunications

- Member

(v)

Representative of Department of Electronics & IT

- Member

(vi)

Representative of Department of Expenditure

- Member

(vii)

Representative of Ministry of Defence

- Member

(viii) Director General, CERT-IN

- Member

(ix)

Representative of National Security Council Secretariat

- Member

(x)

Representative of Cabinet Secretariat

- Member

(xi)

Subject/Domain Experts (Nominated by the Chairman)

- Member(s)

(xii)

Two Representatives from NTRO

- Member(s)

(xiii) Representative of Intelligence Bureau

- Member

(xiv) Representative of any other Ministry as and when required

- Special Invitee

(xv)

Representatives from (a) Industry (b) body corporate

- Special Invitee

(xvi) Representative of State Governments (by rotation)

- Special Invitee

(xvii) Director General, National Critical Information Infrastructure

Protection Centre

- Member Convener

(d) The Advisory Committee may constitute Sub-committees to address any specific issue relating to functioning

of NCIIPC.

7. Research and development.—

The National Critical Information Infrastructure Protection Centre may seek collaboration and support research

and development (direct or indirect) in accordance with rules and procedures of Government in this regard from-

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

(i) Government organisations or bodies, institutes, Departments, agencies or societies etc.;

(ii) institutes of eminence within and/or outside India;

(iii) body corporates and industry associations; and

(iv) subject or domain experts.

[F. No. 9(16)/2004-EC]

R.K. GOYAL, Jt. Secy.

अिधसूचना

नई िदली, 16 जनवरी, 2014

सा.का.िन. 20(अ).- केीय सरकार सूचना ौोिगक अिधिनयम, 2000 (2000 का 21) क धारा 70ख क उपधारा (5) के साथ पिठत

धारा 87 क उपधारा (2) के खPड (यच) )ारा द4 त शि,य- का योग करते ह0ए िन=निलिखत िनयम बनाती है, अथा6त:-

1. संि'( नाम और ार)भ— (1) इन िनयम- का संि8S त नाम सूचना ौोिगक (भारतीय क= S यूटर आपात ितिjया दल और कायU और

दािय4 व- के िनव6हन क रीित) िनयम, 2013 है ।

(2) ये राजपV मA उनके काशन क तारीख से वृ* ह-गे ।

2. प-रभाषाएं.— (1) इन िनयम- मA जब तक संदभ6 अयथा से अपेि8त न हो, -

(क) “अिधिनयम” से सूचना ौोिगक अिधिनयम, 2000 (2000 का 21) अिभेत है;

(ख) “क=Sयूटर संदूषण” से सूचना ौोिगक अिधिनयम, 2000 क धारा 43 (i) मA प]रभािषत क=Sयूटर संदूषण अिभेत है;

(ग) “क=Sयूटर आपात ितिjया” से साइबर सुर8ा आपातकाल के दौरान समवय करना, यो,ाओं

को घटना 4यु4 तर सेवाएं

दान करना,

भेताओं

और खतर- से संबंिधत चेताविनयां कािशत करना और साइबर सुर8ा मA सुधार करने मA सहायता के िलए सूचना क ` तावना

करना अिभेत है;

(घ) “क=Sयूटर संसाधन” से सूचना ौोिगक अिधिनयम, 2000 क धारा 2(1) (ट) मA प]रभािषत क=Sयूटर संसाधन अिभेत है;

(ङ) “क=Sयूटर सुर8ा घटना” से साइबर सुर8ा घटना अिभेत है;

(च) “साइबर सुर8ा” से सूचना ौोिगक अिधिनयम, 2000 क धारा 2(1) (ढख) मA यथा प]रभािषत साइबर सुर8ा अिभेत है;

(छ) “साइबर घटना” से कोई वा`तिवक या संभािवत ितकूल घटना अिभेत है िजससे गोपनीयता, स4यिन{ा या इलेc3ॉिनक सूचना णािलय-,

सेवाओं

या नेटवक6 को हािन पह0ंचाकर साव6जिनक तथा िनजी 8ेV- के मह4वपूण6 कायU तथा सेवाओं

के ित अपराध या उलंघन होने या हािन

क संभावना है, िजसके फल`वtप अनिधकृत पह0ंच, सेवा क मनाही या बाधा, क=Sयूटर साधन का अनिधकृत उपयोग, ािधकार के िबना

डेटा या सूचना मA प]रवत6न, या साव6जिनक सुर8ा को खतरा, जनता के िवˆास को 8ित पह0ंचाना, रा23ीय अथ6gयव`था पर नकारा4मक भाव

या रा23 क सुर8ा कम होती है;

(ज) “साइबर सुर8ा घटना” से साइबर सुर8ा से संबंिधत कोई वा` तिवक अथवा संभािवत ितकूल घटना अिभेत है िजससे अनिधकृत पह0ंच,

सेवा क मनाही अथवा g यवधान, सूचना के संसाधन अथवा भP डारण के िलए िकसी कंS यूटर ‰ोत के अनिधकृत योग अथवा डेटा मA

प]रवत6न, ािधकार के िबना सूचना ाS त करने के प]रणाम` वtप लागू सुर8ा नीित के िनहताथ6 अथवा ` प2 ट का उ लंघन होता है ।

(झ) “साइबर सुर8ा भंग” मA िकसी g यक् ित तथा अि`त4 व और अनुरि8त स4 यिन2 ठा या िकसी कंS यूटर संसाधन मA अनुरि8त सूचना क उपल9धता

का अनिधकृत ापण या अनिधकृत उपयोग अिभेत है;

(ञ) “महािनदेशक” से भारतीय क=Sयूटर आपात ितिjया दल का महािनदेशक अिभेत है;

(ट) “भारतीय क=Sयूटर आपात ितिjया दल” से अिधिनयम क धारा 70(ख) क उप-धारा (1) के अधीन `थािपत भारतीय क=Sयूटर आपात

ितिjया दल अिभेत है;

(ठ) “सूचना” से सूचना ौोिगक अिधिनयम, 2000 क धारा 2(1)(v) मA प]रभािषत सूचना अिभेत है;

(ड) “सूचना सुर8ा णािलय-” से साइबर सुर8ा घटनाओं

और उलंघनाओं

को यूनतम करने के उuेnय से सुर8ा नीितय- और मानक- का

काया6वयन अिभेत है;

(ढ) “रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के ” से अिधिनयम क धारा 70(ख) क उपधारा (1) के अंतग6त `थािपत मह4वपूण6 सूचना

अवसंरचना क सुर8ा के िलए रा23ीय नोडल अिभकरण अिभेत है;

(ण) “सुरा नीित” से सूचना और कयूटर संसाधन क सुरा के िलए लेिखत यवसाय िनयम और ियाएं अिभेत है;

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

(त) “भेता” से िकसी क=Sयूटर सॉ‹टवेयर संसाधन मA मौजूद खराबी या हाड6वेयर अथवा सॉ‹टवेयर मA Vुिट अिभेत है िजसका दुvपयोग िकया

जा सकता है और फल`वtप इंिगत कायU के बजाए उनके ितकूल या िविभन काय6करण पर भाव पड़ सकता है ।

(2) इन िनयम- मA यु, श9द और अिभg यिc त जो प]रभािषत नही हf लेिकन िजहA अिधिनयम मA प]रभािषत िकया गया है, का वही अथ6 होगा जो उनका

अिधिनयम मA है ।

3. अविBथित— भारतीय क=Sयूटर आपात ितिjया दल (िजसे इसके पqात इन िनयम- मA सट6-इन कहा गया है) इलेc 3ॉिनक और सूचना ौोिगक

िवभाग, संचार और सूचना ौोिगक मंVालय से काय6 करेगा और “इलेc3ॉिनc स िनकेतन”, 6, सीजीओ कॉ=Sलेcस, लोदी रोड़, नई िदली – 110003 मA

अवि`थत होगा ।

4. ािधकार— सट6-इन इलेc3ॉिनक और सूचना ौोिगक िवभाग, संचार और सूचना ौोिगक मंVालय का एक अंग होगा और इसके िनयंVाधीन होगा ।

5. 24- घंटे आधार पर काय5 करना— सट6-इन सरकारी तथा अय छुsी के िदन- सिहत वष6 के सभी िदन- मA 24-घंटे काय6 करेगा और सट6-इन का संपक6

िववरण इसक वेबसाइट www.cert-in.org.in पर कािशत िकया जाएगा िजसे समय-समय पर अतन िकया जाएगा ।

6. सलाहकार सिमित— एक सलाहकार सिमित सट6-इन को साइबर सुर8ा से संबंिधत नीित के मामल- और सेवाओं

पर सलाह देगी तािक यह अिधदेिशत

भूिमका और क*6gय- को पूरा करने मA समथ6 हो । सलाहकार सिमित का गठन िन=निलिखत से िमलकर होगा :

(I) सिचव, इलेc3ॉिनक और सूचना ौोिगक िवभाग

….

अlय8;

(II) र8ा मंVालय का ितिनिध

….

सद`य;

(III) गृह मंVालय का ितिनिध

….

सद`य;

(IV) िविध और याय मंVालय का ितिनिध

….

सद`य;

(V) दूर संचार िवभाग का ितिनिध

…. सद`य;

(VI) रा23ीय सुर8ा प]रषद सिचवालय का ितिनिध

….

सद`य;

(VII) रा23ीय मह4वपूण6 सूचना अवसंचरना संर8ण के का ितिनिध

….

सद`य;

(VIII) इंिडयन इं`टीट्यूट ऑफ साइंस बंगलुt का ितिनिध

…. सद`य;

(IX)

िविभन भारतीय उोग संघ- से ठीक पूव6वतm वष6 मA प]रषद का ितिनिध4 व करने वाले उोग संघ- से पुनिन6युिc त के िबना ितवष6 बारी-बारी से

चयिनत भारतीय उोग संघ का ितिनिध,

….

सद`य;

(X) यथाअपेि8त िकसी अय मंVालय का ितिनिध

…. िवशेष आमंिVत;

(XI) रा† य सरकार- के ितिनिध (चjानुjम के आधार पर)

…. िवशेष आमंिVत;

(XII) महािनदेशक, सट6-इन

.… सद`य संयोजक

7. काय5'े— सट6-इन का काय68ेV भारतीय साइबर समुदाय होगा ।

8. सट5-इन के क859य और दािय3व— अिधिनयम क धारा 70 ख मA यथािविहत के काय6 ह-गे । यह साइबर सुर8ा घटनाओं

क अनुिjया के िलए भारत मA

साइबर यो,ाओं

के िलए िवˆ`त अिभकरण और समय-समय पर इसे स–पे गए काय6 सट6-इन पर काय6 करेगा और साइबर सुर8ा घटनाओं

के जोिखम को

कम करने के उपाय काया6िवत करने मA देश मA साइबर यो,ाओं

क सहायता करेगा ।

9. सेवाएं— सट6-इन g यापc त: िन=निलिखत सेवाएं

दान करेगा:—

• साइबर सुर8ा घटनाओं

पर अनुिjया;

• साइबर सुर8ा घटनाओं

क भिव2यवाणी और िनवारण;

• साइबर सुर8ा घटनाओं

का िवyेषण और आपरािधक जांच;

• सूचना सुर8ा आˆासन और आिडट;

• साइबर सुर8ा के 8ेV मA जागtकता और ौोिगक भावन;

• िनयम 10 और िनयम 11 के उपिनयम (2) के अंतग6त आने वाले िनकाय- के िलए तकनीक जानकारी के िलए िश8ण अथवा उसका

उ नयन;

• साइबर सुर8ा मA भेताओं

के भंग होने पर िव)ेषपूण6 काय6कलाप- के संबंध मA साइबर ` पेस क `कैिनंग ।

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

10. पणधारी — सट6-इन सूचना संƒहण उसमA भागीदारी और चार-—सार और साथ ही साइबर सुर8ा घटनाओं

क अनुिjया और िनवारण के िलए

िन=निलिखत पणधा]रय- से संपक6 और सहायता ा˜ करेगा, अथा6त:—

(क) सेcटोरल क=Sयूटर आपात ितिjया दल;

(ख) मlयवतm;

(ग) इंटरनेट रिज`3ी तथा डोमेन रिज`3ार;

(घ) उोग;

(ङ) सुर8ा उ4पाद- और सेवाओं

सिहत सूचना ौोिगक उ4पाद- के िवjेता;

(च) शैि8क सं`थान, अनुसंधान और िवकास संगठन;

(छ) सुर8ा तथा कानून वत6न अिभकरण;

(ज) g यिa या g यिaय- का समूह;

(झ) अतररा23ीय क=Sयूटर आपात ितिjया दल, मंच और िवशेषx समूह;

(ञ) मह4वपूण6 सूचना अवसंरचना के संर8ण के िलए संल™ न अिभकरण;

(ट) दूरसंचार िवभाग ।

11. नीितयां और िJयाएं

(1) घटनाओं क िकBम और सहायता का Bतर—

(क) सट6-इन ऐसी सभी साइबर सुर8ा घटनाओं

एवं साइबर घटनाओं

का समाधान करेगा जो देश मA घटती ह- या िजनके घिटत होने क संभावना हो

लेिकन सट6-इन )ारा दी गई सहायता का `तर घटना क िक`म तथा गंभीरता, भािवत िनकाय, g यिa िवशेष अथवा g यिaय- के समूह, सरकार के

संगठन, साव6जिनक तथा िनजी डोमेन और सट6-इन के पास उस समय उपल9ध संसाधन पर अलग-अलग होगा, यिप सभी मामल- मA भािवत िनकाय

को और आगे सूचना क िकसी 8ित या हािन को यूनतम करने के उuेnय से यथासंभव कम से कम समय मA अनुिjया दान क जाएगी । अवरोही jम

मA सूचीबo िन=निलिखत ाथिमकताओं

के अनुसार संसाधन िनयिमत िकए जाएं

गे:—

(I) साइबर सुर8ा घटनाओं

और साइबर घटनाओं

के कारण मानव क भौितक सुर8ा को खतरा;

(II) बैकबोन नेटवक6 अवसंरचना सिहत साव6जिनक सूचना अवसंरचना के भाग मA गंभीर कृित क साइबर घटनाएं

तथा साइबर सुर8ा

घटनाएं

(जैसे सेवा क मनाही, सेवा क िवत]रत मनाही, घुसपैठ, क=Sयूटर संदूषण फैलाना);

(III) बड़े-पैमाने पर या बार-बार होने वाली घटनाएं

जैसे पहचान चोरी, क=Sयूटर संसाधन मA घुसपैठ, वेबसाइट- को िवकृत करना आिद;

(IV) बह0योc ता णािलय- पर g यिc त िवशेष के योc ता खात- के साथ छेड़-छाड़;

(V) ऊपर विण6त घटनाओं

के अलावा घटनाओं

क कृित को उनक `पa गंभीरता तथा माVा के अनुसार ाथिमकता दी जाएगी ।

(ख) सट6-इन साइबर सुर8ा घटनाओं

से उिचत tप से िनपटने के िलए भािवत िनकाय- को अनुिjया दान करने और सूचना तथा सहायता दान

करने का यास करेगा तथा क=Sयूटर संसाधन क सुर8ा का अंितम दािय4व क=Sयूटर संसाधन के `वामी का होगा ।

(2) सहयोग एवं भागीदारी — सट6-इन िन= निलिखत के साथ सहयोग करेगा:—

(I)

साइबर सुर8ा घटनाओं

क सुर8ा और उनक अनुिjया मA िवशेषx 8ेV- मA देश के भीतर तथा देश के बाहर रत संगठन;

(II)

साधारणत: कानून वत6न, जांच और आपरािधक जांच मA आसूचना एकV करने मA लगे संगठन;

(III)

शैि8क सं`थान, सेवा दाता तथा अनुसंधान और िवकास सं`थान;

(IV)

g यिc त िवशेष अथवा g यिc तय- के समूह ।

(3) सट5-इन के साथ संपक5 और अिध माणन— पणधारी और जनता टेलीफोन, फैcस, ई-मेल, डाक पV- जैसे संपक6 साधन- से सट6-इन के साथ संपक6

कर सकते हf । समय-समय पर इसक वेबसाइट के ज]रए उपयु, िjयाओं

का चार िकया जाएगा ।

12. सट5-इन के चालन—

(1) घटनाओं क सूचना देना, 3यु8र और सूचना का चार- सार— साइबर सुर8ा घटनाओं

क सूचना को सुकर बनाने के िलए सट6-इन सरकारी और

अ›य साव6जिनक छु]sय- के िदन सिहत सभी िदन मA 24 घंटे एक घटना अनुिjया हेप डे`क का चालन करेगा ।

(क) घटनाओं क सूचना देना: साइबर सुर8ा घटनाओं

)ारा भािवत कोई gयि, िवशेष, संगठन या िनगिमत िनकाय घटना क सूचना सट6-इन को दे

सकता है । अनुबंध मA िचिœत अनुसार साइबर सुर8ा घटनाओं

के कार के बारे मA कार6वाई हेतु यथाशी सट6-इन को ]रपोट6 करना अिनवाय6

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

होगा । सेवा दाता, मl यवतm डेटा के और िनगम िनकाय घटना होने या lयान मA आने के यथोिचत समय के अदर इसक जानकारी सट6-इन

को देगा िजससे िक समय से कार6वाई क जा सके ।

साइबर सुर8ा घटनाओं

को सूिचत करने क पoित और ाtप, भेता क सूचना और समाधान, घटना 4यु*र िjयाओं

और साइबर सुर8ा

संबंधी सूचना के सार के बारे मA िववरण सट6-इन क वेबसाइट www.cert-in.org.in पर कािशत िकया जाएगा और उसे समय-समय पर

अतन िकया जाएगा ।

(2) सट6-इन मह4वपूण6 8ेV- के संबंध मA हमल-, भेता तथा समाधान से संबंिधत संगत सूचना का रा23ीय मह4वपूण6 सूचना अवसंरचना संर8ण के के

साथ आदान-दान करेगा ।

13. सूचना का कटन.—

(1) योc ता समुदाय के साथ स=पक6 और अपने क*6gय- के िनव6हन के दौरान सट6-इन अलग-अलग gयि,य-, संगठन- और क=Sयूटर संसाधन से साइबर

सुर8ा घटनाओं

से संबंिधत सूचना एकV करके उसका िवyेषण करेगा । सट6-इन सूचना के कटन के बारे मA स8म भारतीय यायालय- और लागू नीित-

िवषयक आदेश- के कानूनी ितबंध-, का पालन करेगा और इस कार क सूचना क गोपनीयता बनाए रखने के िलए यथोिचत िनयंVण बनाए रखेगा और

आंत]रक जांच करेगा ।

(2) सट6-इन भारतीय स8म यायालय- क `पa िलिखत सहमित या आदेश- के िबना िकसी ऐसी सूचना का कटन नहž करेगा िजससे साइबर घटनाओं

और

साइबर सुर8ा )ारा भािवत िकसी gयि,, gयि,य- के समूह तथा संगठन- क पहचान होती हो । सट6-इन स8म भारतीय यायालय- क `पa िलिखत

सहमित या आदेश- के िबना इस कार क सूचना क सुर8ा के िलए उपयु, उपाय करेगा और सूचना मA भागीदार gयि,य-, gयि,य- के समूह तथा संगठन-

क पहचान और इसे साइबर सुर8ा घटनाओं

क सूचना का कटन नहž करेगा ।

(3) सट6-इन साइबर घटनाओं

और साइबर सुर8ा घटनाओं

के समाधान और िनवारण तथा जागtकता को बढ़ावा देने के योजन से आम जनता क

सहायता हेतु सुर8ा घटनाओं

क सामाय वृि*, साइबर सुर8ा उलंघन- के बारे मA जानकारी दे सकता है और इनका कटन कर सकता है ।

(4) िनयम 13 के उपिनयम (1), (2) और (3) मA यथा उपबिधत के िसवाय सट6-इन के िलए भारत क संभुता, भारत क र8ा, रा23 क सुर8ा, िवदेश- के

साथ िमVता या साव6जिनक g यव` था संxेय अपराध करने के िलए े]रत करने से रोकने या देश मA साइबर सुर8ा बढ़ाने के िहत मA पणधा]रय- को सभी

सुसंगत सूचना का कटन आवnयक या उिचत हो सकता है ।

14. अिधिनयम क धारा 70 (ख) क उप-धारा (6) के अनुसार सूचना मांगना, क859य; का िनव5हन और अनुपालन—

(1) ािधकार—सट6-इन का कोई अिधकारी िजसका रfक भारत सरकार के उप-सिचव के रfक से अ यून न हो, अिधिनयम क धारा 70(ख) क उपधारा (4)

के िनव6हन के िलए सेवा दाताओं

, मlयवित6य-, डेटा के-, िनगिमत िनकाय- तथा िकसी अय gयि, से सूचना मांग सकेगा ।

(2) सट6-इन, सूचना ौोिगक अिधिनयम, 2000 और तदधीन अिधसूिचत िनयम- का साइबर सुर8ा के िलए 3ैिफक डाटा क मानीटरी और संƒहण का

अवल= ब ले सकेगा ।

(3) सूचना B तुत करने के िलए प- सट6-इन )ारा मांगी गयी सूचना िनधा6]रत अविध मA और सूचना ` तुत करने के िलए भेजे गए पV के साथ संल™ न

पV मA ` तुत क जाएगी ।

(4 ) सूचना मांगने एवं सूचना Bतुत करने का ढंग —सट6-इन अंक य tप से ह`ता8]रत ई-मेल, फैcस या पंजीकृत डाक )ारा सूचना मांग सकेगा । सूचना

सट6-इन को िकसी उपयु, संचार माlयम जैसे अंक य tप से ह`ता8]रत ई-मेल, फैcस, पंजीकृत डाक पV-, रीड केवल का=पेcट िड`क या रीड केवल

िडिजटल वस|टाइल िड`क, सट6-इन )ारा िनिद6a िकए अनुसार माVा पर िनभ6रता के आधार पर `तुत क जाएगी । जैसा िक िनयम 17 मA प]रभािषत िकया

गया है, सट6-इन इनसे स= पक6 करने के िलए अपने सव6र पर एक सुरि8त अपलोड सुिवधा दान कर सकता है ।

15. अनुपालन के िलए िनदेश— अिधिनयम क धारा 70(ख) क उपधारा (6) मA भी यथा द* अनुसार इसक अिधदेिशत भूिमका और क*6gय- के

अनुसरण मA और देश मA सूचना अवसंरचना क साइबर सुर8ा बढ़ाने के उuेnय से महािनदेशक, सट6-इन सेवा दाताओं

, मlयवित6य-, डेटा के-, िनगिमत

िनकाय तथा िकसी अय gयि, को िनदेश या परामश6 जारी करने के िलए िकसी अिधकारी का नाम िनिद62 ट कर सकेगा िजसका रfक भारत सरकार के

िनदेशक से नीचे ` तर का न हो । अनुपालन के िलए ऐसे िनदेश या परामश6 इलेc3ॉिनक ह`ता8रयुc त ई-मेल, फैcस या पंजीकृत डाक से जारी िकए जाएं

गे ।

सेवा दाता, मlयवतm, डेटा के, िनगिमत िनकाय तथा कोई अय gयि, इस कार के अनुदेश- या परामशU का पालन करेगा और िनदेश या परामश6 के

अनुसार िनधा6]रत समय मA तथा रीित से सट6-इन को सूिचत करेगा ।

16. अननुपालन -रपोट5— समय अविध के अंतग6त ऐसे िकसी सेवा दाताओं

, मl यवित6य-, डेटा केन्-, िनगिमत िनकाय और अ य िकसी g यि, के )ारा

समयाविध के अंदर िनदेश- के िकसी भी अननुपालन के मामले मA संबंधी उपयु6c त अिधकारी ऐसे िनदेश- क समाि˜ क ितिथ से 2 िदन- के भीतर ऐसे

अननुपालन क जानकारी देते ह0ए महािनदेशक को अननुपालन ]रपोट6 स् तुत करेगा ।

17. संपक5 िबंदु— सट6- इन के साथ संपक6 करने के िलए सेवा दाता, मl यवतm, डेटा कA और िनगिमत िनकाय एक संपक6 िबंदु िनधा6]रत करAगे । संपक6 िबंदु

से संबंिधत सूचना सट6-इन को, सट6-इन )ारा िनधा6]रत िकए गए ाtप मA भेजी जाएगी और समय-समय पर उसे उतन िकया जाएगा । सूचना ाS त करने

और उसके अनुपालन हेतु िनदेश ाS त करने के िलए सट6-इन से सभी कार का पVाचार उसी संपक6 िबंदु के साथ िकया जाएगा ।

18. अननुपालन से िनपटना — िनयम 14 के अधीन जानकारी ाS त करने के िलए िकए गए पVाचार के संबंध मA अननुपालन के सभी मामले और िनयम 15

के अंतग6त अननुपालन के िलए जारी िनद|श िनयम 19 के अंतग6त गिठत पुनिव6लोकन सिमित को ` तुत िकए जाएं

गे ।.

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

19. पुनिव5लोकन सिमित —

(1) िन= निलिखत का पुनिव6लोकन करने के िलए कA सरकार )ारा एक पुनिव6लोकन सिमित गिठत क जाएगी -

(क) िनयम 14 के अधीन जानकारी ाS त करने के िलए सेवा दाताओं

, मl यवित6य-, डेटा कA -, िनगिमत िनकाय- और अ य िकसी g यि, के पVाचार

का अननुपालन;

(ख) िनयम 15; के अंतग6त सेवा दाताओं

, मl यवित6य-, डेटा के -, िनगम िनकाय और अ य िकसी g यि, को जारी िनदेश- का अननुपालन;

(ग) ऐसे नाम िनिद62 ट सेवा दाताओं

, मl यवित6य-, डेटा कA -, िनगिमत िनकाय और िकसी अ य g यि, )ारा िनयम 15 के अधीन िविनिद62 ट समयाविध

के भीतर िनदेश- का अननुपालन अिधिनयम क धारा 70ख क उपधारा (7) के अंतग6त अपराध माना जाएगा ।

(2) पुनिव6लोकन सिमित िन= निलिखत से िमलकर बनेगी:—

(I) सिचव, इलेc 3ॉिनक और सूचना ौोिगक िवभाग

…. अ य8;

(II) संयुc त सिचव, िविध और याय मंVालय

…. सद` य;

(III) संयुc त सिचव स्तर का कोई अिधकारी, दूरसंचार िवभाग

….सद` य;

(IV) संयुc त सिचव, गृह मंVालय

…. सद` य;

(V) समूह मुख (साइबर कानून और ई-सुर8ा), इलेc 3ॉिनक और सूचना ौोिगक िवभाग

…. सद` य- संयोजक

पुनिव6लोकन सिमित क बैठक आवn यकतानुसार आयोिजत होगी ।

20. िनदेश; के अननुपालन के िलए कार5वाई— िनयम 16 के अधीन पूवzc त संबंिधत अिधकारी )ारा ` तुत अननुपालन ]रपोट6 के आधार पर िनयम 19 के

अधीन पुनिव6लोकन सिमित के ऐसे िनदेश के आधार पर महािनदेशक, सट6-इन को अिधिनयम क धारा 70 (ख) क उपधारा (8) से यथाउपबंिधत अनुसार

यायालय के सम8 िशकायत करने के िलए िकसी अिधकारी को ािधकृत करेगा ।

[फा. सं. 9(16)/2004-ई.सी.]

आर.के. गोयल, संयु, सिचव

NOTIFICATION

New Delhi, the 16^th January, 2014

G.S.R 20(E).- In exercise of the powers conferred by clause (zf) of sub-section (2) of section 87, read with

sub-section (5) of section 70B of the Information Technology Act, 2000 (21 of 2000), the Central Government hereby

makes the following rules, namely :—

1. Short title and commencement.— (1) These Rules may be called the Information Technology (The Indian

Computer Emergency Response Team and Manner of Performing Functions and Duties) Rules, 2013.

(2) They shall come into force on the date of their publication in the Official Gazette.

2. Definitions.— (1) In these rules, unless the context otherwise requires,--

(a) “Act” means the Information Technology Act, 2000 (21 of 2000);

(b) “Computer contaminant” means computer contaminant as defined in section 43 (i) of the Information

Technology Act, 2000;

incident response services to users, publish alerts concerning vulnerabilities and threats, and offer

information to help improve cyber security

(d) “Computer resource” means computer resource as defined in section 2(1)(k) of the Information

Technology Act, 2000;

(e) “Computer security incident” means cyber security incident;

(f) “Cyber security” means cyber security as defined in section 2(1)(nb) of the Information Technology Act,

2000;

(g) "Cyber incident" means any real or suspected adverse event that is likely to cause or causes an offence or

contravention, harm to critical functions and services across the public and private sectors by impairing

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

the confidentiality, integrity, or availability of electronic information, systems, services or networks

resulting in unauthorised access, denial of service or disruption, unauthorised use of a computer resource,

changes to data or information without authorisation; or threatens public safety, undermines public

confidence, have a negative effect on the national economy, or diminishes the security posture of the

nation;

(h) “Cyber security incident” means any real or suspected adverse event in relation to cyber security that

violates an explicitly or implicitly applicable security policy resulting in unauthorized access, denial of

service or disruption, unauthorised use of a computer resource for processing or storage of information or

changes to data, information without authorisation;

(i) “Cyber security breaches” means unauthorised acquisition or unauthorised use by a person as well as an

entity of data or information that compromises the confidentiality, integrity or availability of information

maintained in a computer resource;

(j) “Director General” means the Director General of the Indian Computer Emergency Response Team;

(k) “Indian Computer Emergency Response Team” means the Indian Computer Emergency Response Team

set up under sub-section (1) of section 70(B) of the Act;

(l) “Information” means information as defined in section 2(1)(v) of the Information Technology Act,

2000;

(m) “Information security practices” means implementation of security policies and standards in order to

minimise the cyber security incidents and breaches;

(n) “National Critical Information Infrastructure Protection Centre” means the national nodal agency for

protection of Critical Information Infrastructure set up under sub- section (1) of Section 70(B) of the Act;

(o) “Security policy” means documented business rules and processes for protecting information and the

computer resource;

(p) “Vulnerability” means the existence of a flaw or weakness in hardware or software of a computer

resource that can be exploited resulting in their adverse or different functioning other than the intended

functions.

(2) Words and expressions used in these rules but not defined and defined in the Act shall have the same meaning

as is assigned to them in the Act.

3. Location.— The Indian Computer Emergency Response Team (hereinafter referred in these Rules as CERT-In)

shall function at Department of Electronics and Information Technology, Ministry of Communications and

Information Technology and shall be located at “Electronics Niketan”, 6, CGO Complex, Lodhi Road, New Delhi –

110003.

4. Authority.— CERT-In shall be a part and under the administrative control of the Department of Electronics and

Information Technology, Ministry of Communications and Information Technology.

5. Functioning on 24-hour basis.— CERT-In shall function on 24-hours basis on all days of the year including

Government and other holidays and the contact details of CERT-In shall be published on its website www.cert-

in.org.in and are updated from time to time.

6. Advisory Committee.— An Advisory Committee shall advise CERT-In on policy matters and services related to

cyber security to enable it to fulfill its mandated roles and functions. The Advisory Committee shall have the following

composition:

(i)

Secretary, Department of Electronics and Information Technology

…Chairman;

(ii)

Representative from the Ministry of Defence

…Member;

(iii)

Representative of the Ministry of Home Affairs

… Member;

(iv)

Representative of the Ministry of Law and justice

….Member;

(v)

Representative of the Department of Telecommunications

….Member;

(vi)

Representative of the National Security Council Secretariat

….Member;

(vii)

Representative of National Critical Information Infrastructure Protection Centre ... Member;

(viii) Representative of Indian Institute of Science (IISc), Bengaluru

…. Member;

(ix)

Representative of an Indian Industry Association, selected by yearly rotation

amongst different Indian Industry Associations, without reappointment from

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

the same Industry Association having a representative on the Council in the

immediately preceding year

….Member;

(x)

Representative of any other Ministry as and when required

…Special Invitee;

(xi)

Representative of State Governments (by rotation)

… Special Invitee;

(xii)

Director General, CERT-In

....Member Convener.

7. Constituency.— CERT-In constituency shall be the Indian cyber community.

8. Functions and responsibilities of CERT-In.— CERT-In shall have functions as prescribed in section 70B of the

Act and those which may be assigned to it from time to time. It shall function as the trusted referral agency for cyber

users in India for responding to cyber security incidents and will assist cyber users in the country in implementing

measures to reduce the risk of cyber security incidents.

9. Services.— CERT-In shall broadly provide following services:—

•

response to cyber security incidents;

•

prediction and prevention of cyber security incidents;

•

analysis and forensics of cyber security incidents;

•

information security assurance and audits;

•

awareness and technology exposition in the area of cyber security;

•

training or upgrade of technical know-how for the entities covered under Rule 10 and sub-rule(2) of

Rule11;

•

scanning of cyber space with respect to cyber security vulnerabilities, breaches and malicious

activities.

10. Stakeholders.— CERT-In shall interact with and seek assistance from the following stakeholders to collect, share

and disseminate information and also to respond and prevent cyber security incidents, namely: :—

(a)

Sectoral Computer Emergency Response Teams;

(b)

Intermediaries;

(c)

Internet Registry and Domain Registrars;

(d)

Industry;

(e)

Vendors of Information Technology products including security products and services;

(f)

Academia, Research and Development Organizations;

(g)

Security and Law Enforcement Agencies;

(h)

Individuals or group of individuals;

(i)

International Computer Emergency Response Teams, Forums and expert groups;

(j)

Agency engaged for the protection of Critical Information Infrastructure;

(k)

Department of Telecommunications.

11. Policies and procedures.—

(1) Types of incidents and level of support.—

(a) CERT-In shall address all types of cyber security incidents cyber incidents which occur or are expected to

occur in the country but the level of support given by CERT-In will vary depending on the type and severity of the

incident, affected entity, be it individual or group of individuals, organisations in the Government, public and

private domain, and the resources available with CERT-In at that time, though in all cases a quick response with an

aim to minimize any further damage or loss of information to the affected entity will be made in a shortest possible

time. Resources will be assigned according to the following priorities listed in decreasing order:—

(I)

threats to the physical safety of human beings due to cyber security incidents;

(II)

cyber incidents and cyber security incidents of severe nature (such as denial of service, distributed

denial of service, intrusion, spread of computer contaminant,) on any part of the public information

infrastructure including backbone network infrastructure;

(III)

large-scale or most frequent incidents such as identity theft, intrusion into computer resource,

defacement of websites etc.;

(IV)

compromise of individual user accounts on multi-user systems;

(V)

types of incidents other than those mentioned above will be prioritised according to their apparent

severity and extent.

¹Hkkx IIµ[k.M 3(i)º

Hkkjr dk jkti=k % vlk/kj.k

(b) CERT-In shall endeavour to respond and present information and assistance to the affected entities to deal with

cyber security incidents as appropriate and the ultimate responsibility of the security of the computer resource

shall rest with owner of the computer resource.

(2) Cooperation and collaboration.— CERT-In shall collaborate with:—

(I)

organisations within and outside the country engaged in the specialised areas in protecting and

responding to cyber security incidents;

(II)

organisations engaged in collection of intelligence in general, law enforcement, investigation and

forensics;

(III)

academia, industry, service providers and research and development institutions;

(IV)

individuals or group of individuals.

(3) Communication and authentication with CERT-In.— The stakeholders and public at large can communicate

with the CERT-In through communication systems ranging from telephone, fax, email and postal letters. The

appropriate procedures will be disseminated through its website from time to time.

12. CERT-In operations.—

(1) Incident reporting, response and Information dissemination.— CERT-In shall operate an Incident Response

Help Desk on 24 hours basis on all days including Government and other public holidays to facilitate reporting of cyber

security incidents.

(a) Reporting of incidents: Any individual, organisation or corporate entity affected by cyber security incidents

may report the incident to CERT-In. The type of cyber security incidents as identified in Annexure shall

be mandatorily reported to CERT-In as early as possible to leave scope for action. Service providers,

intermediaries, data centers and body corporate shall report the cyber security incidents to CERT-In

within a reasonable time of occurrence or noticing the incident to have scope for timely action.

The details regarding methods and formats for reporting cyber security incidents, vulnerability reporting and

remediation, incident response procedures and dissemination of information on cyber security shall be

published on the website of CERT-In www.cert-in.org.in and will be updated from time to time.

(2) CERT-In shall exchange relevant information relating to attacks, vulnerabilities and solutions in respect of

critical sector with National Critical Information Infrastructure Protection Centre.

13. Disclosure of information.—

(1) During the course of interaction with user community and discharging its functions CERT-In may collect and

analyse information relating to cyber security incidents from individuals, organisations and computer resource. CERT-

In shall follow applicable legal restrictions, orders of competent Indian courts and ethical practices with regard to

disclosure of information and shall maintain reasonable controls and internal checks to maintain confidentiality of such

information.

(2) CERT-In shall not disclose any information which may lead to identification of individual, group of individuals or

organizations affected by cyber security incidents without their explicit written consent or orders of Indian competent

courts. CERT-In shall take appropriate measures to protect such information and shall also not disclose the identity of

individuals, group of individuals and organisations sharing the information and reporting cyber security incidents to it,

without their explicit written consent or orders of Indian competent courts.

(3) CERT-In may share or disclose the general trends of cyber security incidents, cyber security breaches freely to

assist general public for the purpose of resolving and preventing cyber security incidents and promoting awareness.

(4) Save as provided in sub-rules (1), (2) and (3) of Rule 13, it may be necessary or expedient so to do, for CERT-In to

disclose all relevant information to the stakeholders, in the interest of sovereignty or integrity of India, defence of India,

security of the State, friendly relations with foreign States or public order or for preventing incitement to the

commission of an offence relating to cognizable offences or enhancing cyber security in the country.

14. Seeking information, carrying out functions and for compliance in terms of sub-section (6) of section 70 (B)

of the Act.—

(1) Authority.— Any officer of CERT-In, not below the rank of Deputy Secretary to the Government of India may

seek information from service providers, intermediaries, data centres, body corporate and any other person for carrying

out the functions provided in sub-section (4) of section 70(B) of the Act.

(2) For cyber security, CERT-In may take recourse for monitoring and collection of traffic data in accordance with the

provisions of section 69B of the Information Technology Act, 2000 and Rules notified thereunder.

(3) Format for submission of information.— The information sought by CERT-In shall be submitted within the

duration and in the format provided alongwith the communication sent for seeking the information.

(4) Manner of seeking and submission of information.— CERT-In may seek the information through digitally

signed email, fax or registered postal mail. The information shall be submitted to CERT-In through any suitable

THE GAZETTE OF INDIA : EXTRAORDINARY

[PART II—SEC. 3(i)]

communication channel such as digitally signed email, fax, registered postal letters, Read only Compact Disc or Read

only Digital Versatile Disc, depending upon the volume of information and as specified by CERT-In. CERT-In may

also provide a secure upload facility on their server to the individual Point of Contact as defined in Rule 17.

15. Directions for compliance.— In pursuance of its mandated roles and functions as provided in sub-section(4) of

section 70(B) of the Act and with a view to enhancing cyber security of the information infrastructure in the country,

Director General, CERT-In shall designate, an officer not below the rank of Director to the Government of India, to

issue directions or advisory to service providers, intermediaries, data centres, body corporate and any other person.

Such directions or advisory for compliance shall be issued by email signed with electronic signature, fax or registered

postal mail. The service providers, intermediaries, data centres, body corporate and any other person shall comply with

such directions or advisories and also report to CERT-In, within the time period and the manner as provided in the

direction or advisory.

16. Report of non-compliance.— In case of any non-compliance of directions within the time period by any such

named service providers, intermediaries, data centres, body corporate and any other person, the concerned aforesaid

officer shall submit a non-compliance report to the Director General providing details of such non-compliance within

two days from the date of expiry of such directions.

17. Point of Contact.— The service providers, intermediaries, data centres and body corporate shall designate a Point

of Contact to interface with CERT-In. The information relating to a Point of Contact shall be sent to CERT-In in the

format specified by it and shall be updated from time to time. All communications from CERT-In seeking information

and providing directions for compliance shall be sent to the said Point of Contact.

18. Dealing with non-compliance.— All cases of non-compliance with respect to the communications seeking

information under Rule 14 and directions issued for compliance under Rule 15 shall be submitted to the Review

Committee constituted under Rule 19.

19. Review Committee.—

(1) A Review Committee shall be constituted by the Central Government to review the —

(a) non-compliance of the communication, seeking information under Rule 14, issued to the service providers,

intermediaries, data centres, body corporate and any other person;

(b) non-compliance of the directions issued to the service providers, intermediaries, data centres, body

corporate and any other person under Rule 15;

service providers, intermediaries, data centres, body corporate and any other person as an offence under

sub-section (7) of section 70B of the Act.

(2) The Review Committee shall consist of the following:—

(I) Secretary, Department of Electronics and Information Technology

….

Chairman;

(II) Joint Secretary, Ministry of Law and Justice

….

Member;

(III) Joint Secretary Level Officer, Department of Telecommunications

….

Member;

(IV) Joint Secretary, Ministry of Home Affairs

….

Member;

(V) Group Coordinator (Cyber Law and e-Security), Department

… Member-Convenor

of Electronics & Information Technology

The Review Committee shall meet as often as necessary.

20. Action for non-compliance of direction.— Based on the non-compliance report as submitted by the concerned

aforesaid officer under Rule 16 and such direction of the Review Committee under Rule 19, the Director General shall

authorise an officer of CERT-In to file a complaint before the court as provided under sub-section (8) section 70B of

the Act

[F. No. 9(16)/2004-EC]

R.K. GOYAL, Jt. Secy.

Printed by the Manager, Government of India Press, Ring Road, Mayapuri, New Delhi-110064

and Published by the Controller of Publications, Delhi-110054.