Uredba (EU, Euratom) 2023/2841 Europskog parlamenta i Vijeća od 13. prosinca 2023. o utvrđivanju mjera za visoku zajedničku razinu kibernetičke sigurnosti u institucijama, tijelima, uredima i agencijama Unije

(1)

U digitalnom dobu informacijska i komunikacijska tehnologija okosnica je otvorene, učinkovite i neovisne europske uprave. Zbog napretka tehnologije te povećane složenosti i međusobne povezanosti digitalnih sustava kibernetički sigurnosni rizici sve su veći čineći subjekte Unije osjetljivijima na kibernetičke prijetnje i kibernetičke incidente, što predstavlja prijetnju njihovu poslovnom kontinuitetu i sposobnosti da osiguraju svoje podatke. Iako su povećana upotreba usluga u oblaku, sveprisutna upotreba informacijske i komunikacijske tehnologije (IKT), visok stupanj digitalizacije, rad na daljinu te napredak tehnologije kao i povezanosti osnovne značajke svih aktivnosti subjekata Unije, digitalna otpornost još nije dovoljno integrirana u njihov rad.

(2)

Kontekst kibernetičkih prijetnji s kojima se suočavaju subjekti Unije stalno se mijenja. Taktike, tehnike i postupci koje primjenjuju prijeteći akteri neprestano se razvijaju, dok se glavni motivi takvih napada, od krađe vrijednih neobjavljenih informacija do zarade, manipuliranja javnim mnijenjem ili ugrožavanja digitalne infrastrukture, ne mijenjaju mnogo. Tempo kojim prijeteći akteri provode svoje kibernetičke napade stalno se ubrzava, a njihove su kampanje sve sofisticiranije i automatiziranije, usmjerene na prostore izložene napadu kojih je sve više, te brzo iskorištavaju ranjivosti.

(3)

IKT okruženja subjekata Unije međuovisna su i imaju integrirane protoke podataka, a njihovi korisnici blisko surađuju. Ta međupovezanost znači da svaki poremećaj, čak i onaj koji je prvotno ograničen na jednog subjekta Unije, može imati šire kaskadne učinke, što može dovesti do dalekosežnih i dugotrajnih negativnih učinaka na druge subjekte Unije. Osim toga, IKT okruženja pojedinih subjekata Unije povezana su s IKT okruženjima država članica, zbog čega incident u jednom subjektu Unije predstavlja kibernetički sigurnosni rizik za IKT okruženja država članica i obratno. Razmjena informacija specifičnih za određeni incident može olakšati otkrivanje sličnih kibernetičkih prijetnji ili incidenata koji pogađaju države članice.

(4)

Subjekti Unije privlačne su mete koje se suočavaju s vrlo vještim i dobro opremljenim prijetećim akterima i drugim prijetnjama. Istodobno, razina i razvijenost kibernetičke otpornosti te sposobnost otkrivanja zlonamjernih kibernetičkih aktivnosti i odgovora na njih znatno se razlikuju od subjekta do subjekta. Stoga je za funkcioniranje subjekata Unije potrebno da oni postignu visoku zajedničku razinu kibernetičke sigurnosti provedbom mjera kibernetičke sigurnosti koje su razmjerne utvrđenim kibernetičkim sigurnosnim rizicima, razmjenom informacija i suradnjom.

(5)

Cilj je Direktive (EU) 2022/2555 Europskog parlamenta i Vijeća (2) daljnje poboljšanje kibernetičke otpornosti javnih i privatnih subjekata, nadležnih tijela i institucija te Unije u cjelini, kao i njihove sposobnosti odgovora na incidente. Stoga je potrebno osigurati da se subjekti Unije prilagode utvrđivanjem pravila koja su u skladu s Direktivom (EU) 2022/2555 i koja odražavaju njezinu razinu ambicije.

(6)

Kako bi se postigla visoka zajednička razina kibernetičke sigurnosti, potrebno je da svaki subjekt Unije uspostavi unutarnji okvir za upravljanje kibernetičkim sigurnosnim rizicima, opće upravljanje njima i njihovu kontrolu („Okvir”), kojim se osigurava djelotvorno i razborito upravljanje svim kibernetičkim sigurnosnim rizicima te uzimaju u obzir kontinuitet poslovanja i upravljanje krizama. Okvirom bi trebalo uspostaviti politike kibernetičke sigurnosti, uključujući ciljeve i prioritete, za sigurnost mrežnih i informacijskih sustava koji obuhvaćaju cjelokupno neklasificirano IKT okruženje. Okvir bi se trebao temeljiti na pristupu kojim se uzimaju u obzir sve opasnosti čiji je cilj zaštita mrežnih i informacijskih sustava i fizičkog okruženja tih sustava od događaja poput krađe, požara, poplave, prekida u telekomunikacijama ili prekida opskrbe električnom energijom ili od neovlaštenog fizičkog pristupa te oštećenja i ometanja podataka i objekata za obradu podataka subjekta Unije, koji bi mogli ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili podataka kojima se pristupa putem mrežnih i informacijskih sustava.

(7)

Kako bi se upravljalo kibernetičkim sigurnosnim rizicima utvrđenima u Okviru, svaki subjekt Unije trebao bi poduzeti odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere. Te bi se mjere trebale odnositi na područja i mjere upravljanja kibernetičkim sigurnosnim rizicima predviđene u ovoj Uredbi kako bi se ojačala kibernetička sigurnost svakog subjekta Unije.

(8)

Plan za kibernetičku sigurnost, koji utvrđuje svaki subjekt Unije, trebao bi obuhvaćati imovinu i kibernetičke sigurnosne rizike utvrđene u Okviru te zaključke koji proizlaze iz redovitih procjena zrelosti kibernetičke sigurnosti. Plan za kibernetičku sigurnost trebao bi uključivati usvojene mjere upravljanja kibernetičkim sigurnosnim rizicima.

(9)

Budući da je osiguravanje kibernetičke sigurnosti kontinuirani proces, prikladnost i djelotvornost mjera poduzetih na temelju ove Uredbe trebalo bi redovito revidirati s obzirom na promjene kibernetičkih sigurnosnih rizika, imovine i zrelosti kibernetičke sigurnosti subjekata Unije. Okvir bi trebalo preispitivati redovito, a najmanje svake četiri godine, dok bi plan za kibernetičku sigurnost trebalo revidirati svake dvije godine ili učestalije, prema potrebi, nakon procjena zrelosti kibernetičke sigurnosti ili svakog značajnog preispitivanja Okvira.

(10)

Mjere upravljanja kibernetičkim sigurnosnim rizicima koje su uspostavili subjekti Unije trebale bi uključivati politike čiji je cilj, kad god je to moguće, učiniti izvorni kod transparentnim, uzimajući u obzir zaštitne mjere za prava trećih strana ili subjekata Unije. Te bi politike trebale biti razmjerne kibernetičkom sigurnosnom riziku i namijenjene su olakšavanju analize kibernetičkih prijetnji, a pritom ne stvaraju obveze otkrivanja koda treće strane ili prava na pristup kodu treće strane koja prelaze okvire primjenjivih ugovornih uvjeta.

(11)

Alati i aplikacije za kibernetičku sigurnost otvorenog koda mogu doprinijeti većem stupnju otvorenosti. Otvoreni standardi olakšavaju interoperabilnost između sigurnosnih alata, pogodujući time sigurnosti dionika. Alati i aplikacije za kibernetičku sigurnost otvorenog koda mogu utjecati na širu zajednicu programera, omogućujući time diversifikaciju dobavljača. Otvoreni kod može dovesti do transparentnijeg procesa provjere alata koji se odnose na kibernetičku sigurnost i procesa otkrivanja ranjivosti koji pokreće zajednica. Subjekti Unije trebali bi, stoga, moći promicati upotrebu softvera otvorenog koda i otvorenih standarda provođenjem politika koje se odnose na korištenje otvorenih podataka i otvorenog koda kao dijela sigurnosti pomoću transparentnosti.

(12)

Zbog razlika među subjektima Unije pri provedbi ove Uredbe potrebna je fleksibilnost. Mjere za visoku zajedničku razinu kibernetičke sigurnosti koje su predviđene u ovoj Uredbi ne bi trebale uključivati obveze koje izravno ometaju izvršavanje zadaća subjekata Unije ili zadiru u njihovu institucijsku autonomiju. Stoga bi ti subjekti trebali uspostaviti vlastite okvire i donijeti vlastite mjere upravljanja kibernetičkim sigurnosnim rizicima i planove za kibernetičku sigurnost. Pri provedbi takvih mjera trebalo bi na odgovarajući način uzeti u obzir postojeće sinergije među subjektima Unije, s ciljem pravilnog upravljanja resursima i optimizacije troškova. Trebalo bi na odgovarajući način uzeti u obzir i to da se mjerama ne utječe negativno na učinkovitu razmjenu informacija i suradnju među subjektima Unije te između subjekata Unije i partnera iz država članica.

(13)

U interesu optimizacije upotrebe resursa ovom bi Uredbom trebalo predvidjeti mogućnost da dva ili više subjekata Unije sa sličnim strukturama surađuju u procjenjivanju zrelosti kibernetičke sigurnosti za svoje subjekte.

(14)

Da bi se izbjeglo nerazmjerno financijsko i administrativno opterećenje za subjekte Unije, zahtjevi u pogledu upravljanja kibernetičkim sigurnosnim rizicima trebali bi biti razmjerni kibernetičkom sigurnosnom riziku kojem je izložen dotični mrežni i informacijski sustav, uzimajući u obzir najsuvremenije mjere upravljanja kibernetičkim sigurnosnim rizicima. Svaki subjekt Unije trebao bi nastojati dodijeliti odgovarajući postotak svojeg proračuna za IKT poboljšanju svoje razine kibernetičke sigurnosti. Dugoročno bi trebalo težiti okvirnom cilju od najmanje 10 %. Procjenom zrelosti kibernetičke sigurnosti trebalo bi utvrditi jesu li rashodi subjekta Unije za kibernetičku sigurnost razmjerni kibernetičkim sigurnosnim rizicima s kojima se taj subjekt suočava. Ne dovodeći u pitanje pravila koja se odnose na godišnji proračun Unije u skladu s Ugovorima, Komisija bi u svojem prijedlogu prvoga godišnjeg proračuna koji treba donijeti nakon stupanja na snagu ove Uredbe trebala uzeti u obzir obveze koje proizlaze iz ove Uredbe pri procjeni proračunskih potreba i potreba za osobljem subjekata Unije koje proizlaze iz njihovih procjena rashoda.

(15)

Visoka zajednička razina kibernetičke sigurnosti zahtijeva da kibernetička sigurnost bude pod nadzorom najviše rukovodeće razine svakog subjekta Unije. Najviša rukovodeća razina subjekta Unije trebala bi biti odgovorna za provedbu ove Uredbe, među ostalim i za uspostavu Okvira, poduzimanje mjera upravljanja kibernetičkim sigurnosnim rizicima i odobravanje plana za kibernetičku sigurnost. Posvećivanje pozornosti kulturi kibernetičke sigurnosti, odnosno svakodnevna primjena kibernetičke sigurnosti, sastavni je dio Okvira te odgovarajućih mjera za upravljanje kibernetičkim sigurnosnim rizicima u svim subjektima Unije.

(16)

Sigurnost mrežnih i informacijskih sustava u kojima se postupa s klasificiranim podatcima EU-a od ključne je važnosti. Subjekti Unije koji postupaju s klasificiranim podatcima EU-a dužni su primjenjivati sveobuhvatne regulatorne okvire za zaštitu takvih podataka, uključujući posebne postupke upravljanja, politike i postupke upravljanja rizicima. Potrebno je da mrežni i informacijski sustavi u kojima se postupa s klasificiranim podatcima EU-a ispunjavaju strože sigurnosne standarde od neklasificiranih mrežnih i informacijskih sustava. Stoga su mrežni i informacijski sustavi u kojima se postupa s klasificiranim podatcima EU-a otporniji na kibernertičke prijetnje i incidente. Slijedom toga, iako se prepoznaje potreba za zajedničkim okvirom u tom pogledu, ova se Uredba ne bi trebala primjenjivati na mrežne i informacijske sustave u kojima se postupa s klasificiranim podatcima EU-a. Međutim, ako to izričito zatraži subjekt Unije, tim za hitne računalne intervencije institucija, tijela i agencija EU-a (CERT-EU) trebao bi moći pružiti pomoć tom subjektu Unije u vezi s incidentima u klasificiranim IKT okruženjima.

(17)

Subjekti Unije trebali bi procijeniti kibernetičke sigurnosne rizike povezane s odnosima s dobavljačima i pružateljima usluga, uključujući pružatelje usluga pohrane i obrade podataka ili upravljanih sigurnosnih usluga, te poduzeti odgovarajuće mjere za njihovo suzbijanje. Mjere kibernetičke sigurnosti trebalo bi pobliže utvrditi u smjernicama ili preporukama koje izdaje CERT-EU. Pri utvrđivanju mjera i smjernica trebalo bi uzeti u obzir najnovija dostignuća i, ako je to primjenjivo, relevantne europske i međunarodne norme, kao i relevantno pravo i politike Unije, uključujući procjene kibernetičkih sigurnosnih rizika i preporuke koje izdaje skupina za suradnju osnovana na temelju članka 14. Direktive (EU) 2022/2555, kao što su koordinirana procjena rizika kibernetičke sigurnosti 5G mreža na razini EU-a i paket instrumenata EU-a za kibernetičku sigurnost 5G mreža. Osim toga, uzimajući u obzir kontekst kibernetičkih prijetnji i važnost jačanja kibernetičke otpornosti za subjekte Unije, može se zahtijevati certificiranje relevantnih IKT proizvoda, usluga i procesa u okviru posebnih europskih programa kibernetičke sigurnosne certifikacije donesenih na temelju članka 49. Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća (3).

(18)

U svibnju 2011. glavni tajnici institucija i tijela Unije odlučili su osnovati pretkonfiguracijski tim za CERT-EU pod nadzorom međuinstitucijskog upravljačkog odbora. U srpnju 2012. glavni tajnici potvrdili su praktične aranžmane i dogovorili se da će zadržati CERT-EU u obliku trajnog subjekta radi daljnjeg doprinosa poboljšanju ukupne razine sigurnosti informacijskih tehnologija u institucijama, tijelima i agencijama Unije kao primjer vidljive međuinstitucijske suradnje u području kibernetičke sigurnosti. U rujnu 2012. osnovan je CERT-EU kao radna skupina Komisije s međuinstitucijskim ovlastima. U prosincu 2017. institucije i tijela Unije sklopili su Međuinstitucijski dogovor o organizaciji i radu CERT-EU-a (4). Ovom Uredbom trebalo bi predvidjeti sveobuhvatan skup pravila o organizaciji, funkcioniranju i radu CERT-EU-a. Odredbe ove Uredbe imaju prednost pred odredbama Međuinstitucijskog dogovora o organizaciji i radu CERT-EU-a, koji je sklopljen u prosincu 2017.

(19)

CERT-EU trebalo bi preimenovati u Službu za kibernetičku sigurnost institucija, tijela, ureda i agencija Unije, ali bi zbog prepoznatljivosti trebalo zadržati skraćeni naziv CERT-EU.

(20)

Uz davanje većeg broja zadaća CERT-EU-u i povećanje njegove uloge, ovom Uredbom osniva se Međuinstitucijski odbor za kibernetičku sigurnost (IICB) kako bi se olakšalo postizanje visoke zajedničke razine kibernetičke sigurnosti među subjektima Unije. IICB trebao bi imati kao isključivi zadatak praćenje provedbe ove Uredbe te pružanje podrške u provedbi ove Uredbe od strane subjekata Unije kao i nadzor provedbe općih prioriteta i ciljeva CERT-EU-a i pružanje strateškog usmjeravanja CERT-EU-u. IICB bi stoga trebao osigurati zastupljenost institucija Unije te bi trebao uključiti predstavnike tijela, ureda i agencija Unije putem Mreže agencija EU-a (EUAN). Organizaciju i funkcioniranje IICB-a trebalo bi dodatno urediti internim poslovnikom, koji može uključivati podrobnije određivanje redovitih sastanaka IICB-a, uključujući godišnja okupljanja na političkoj razini na kojima bi predstavnici najviše rukovodeće razine svakog člana IICB-a omogućili IICB-u da održi stratešku raspravu i da se pruže strateške smjernice IICB-u. Nadalje, IICB bi trebao imati mogućnost osnivanja izvršnog odbora koji bi mu pomogao u radu i kojem bi delegirao neke od svojih zadaća i ovlasti, osobito zadaće za koje je potrebno posebno stručno znanje njegovih članova, na primjer odobrenja kataloga usluga i svih njegovih naknadnih ažuriranja, dogovori o sporazumima o razini usluga, procjene dokumenata i izvješća koje subjekti Unije podnose IICB-u na temelju ove Uredbe ili zadaće povezane s pripremom odluka o mjerama usklađivanja koje izdaje IICB i s praćenjem njihove provedbe. IICB bi trebao utvrditi poslovnik izvršnog odbora, uključujući njegove zadaće i ovlasti.

(21)

Cilj je IICB-a poduprijeti subjekte Unije u podizanju njihovih razina kibernetičke sigurnosti provedbom ove Uredbe. Kako bi pružio potporu subjektima Unije, IICB bi trebao voditelju CERT-EU-a pružati smjernice, donijeti višegodišnju strategiju za podizanje razine kibernetičke sigurnosti u subjektima Unije, utvrditi metodologiju i druge aspekte dobrovoljnih istorazinskih ocjenjivanja te poduprijeti uspostavu neformalne skupine lokalnih službenika za kibernetičku sigurnost, uz potporu Agencije Europske unije za kibersigurnost (ENISA), s ciljem razmjene najbolje prakse i informacija u vezi s provedbom ove Uredbe.

(22)

Kako bi se postigla visoka razina kibernetičke sigurnosti u svim subjektima Unije, interese tijela, ureda i agencija Unije koji upravljaju vlastitim IKT okruženjem trebala bi u IICB-u zastupati tri predstavnika koje imenuje EUAN. Sigurnost obrade osobnih podataka, a time i njezina kibernetička sigurnost, okosnica je zaštite podataka. S obzirom na sinergije između zaštite podataka i kibernetičke sigurnosti, Europski nadzornik za zaštitu podataka trebao bi biti zastupljen u IICB-u u svojstvu subjekta Unije koji podliježe ovoj Uredbi, s posebnim stručnim znanjem u području zaštite podataka, uključujući sigurnost elektroničkih komunikacijskih mreža. S obzirom na važnost inovacija i konkurentnosti u području kibernetičke sigurnosti, Europski stručni centar za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti trebao bi biti zastupljen u IICB-u. S obzirom na ulogu ENISA-e kao centra stručnosti u području kibernetičke sigurnosti i potporu koju ENISA pruža te s obzirom na važnost kibernetičke sigurnosti svemirske infrastrukture i usluga Unije, ENISA i Agencija Europske unije za svemirski program trebale bi biti zastupljene u IICB-u. S obzirom na ulogu dodijeljenu CERT-EU-u na temelju ove Uredbe, predsjednik IICB-a trebao bi pozvati voditelja CERT-EU-a na sve sastanke IICB-a, osim ako IICB raspravlja o pitanjima koja se izravno odnose na voditelja CERT-EU-a.

(23)

IICB bi trebao pratiti usklađenost s ovom Uredbom kao i provedbu smjernica, preporuka i pozivâ na djelovanje. IICB bi u tehničkim pitanjima trebao imati potporu tehničkih savjetodavnih skupina čiji sastav IICB određuje prema vlastitu nahođenju. Te tehničke savjetodavne skupine trebale bi prema potrebi blisko surađivati s CERT-EU-om, subjektima Unije te drugim dionicima.

(24)

Ako IICB utvrdi da subjekt Unije nije djelotvorno proveo ovu Uredbu ili smjernice, preporuke ili pozive na djelovanje izdane u skladu s ovom Uredbom, IICB bi trebao moći, ne dovodeći u pitanje interne postupke dotičnog subjekta Unije, poduzeti mjere usklađivanja. IICB bi trebao postupno primjenjivati mjere usklađivanja, drugim riječima, IICB bi najprije trebao donijeti najblažu mjeru, odnosno obrazloženo mišljenje te, samo ako je potrebno, donijeti sve strože mjere, što dovodi do najstrože mjere, odnosno preporuke o privremenoj suspenziji protokâ podataka prema dotičnom subjektu Unije. Takvu preporuku trebalo bi primjenjivati samo u iznimnim slučajevima u kojima dotični subjekt Unije čini dugoročna, namjerna, opetovana ili teška kršenja ove Uredbe.

(25)

Obrazloženo mišljenje najblaža je mjera usklađivanja kojom se uklanjaju uočeni nedostatci u provedbi ove Uredbe. IICB bi nakon obrazloženog mišljenja trebao moći izdati smjernice kako bi pomogao subjektu Unije u osiguravanju usklađenosti njegova Okvira, njegovih mjera upravljanja kibernetičkim sigurnosnim rizicima, njegova plana za kibernetičku sigurnost i njegova izvješćivanja s ovom Uredbom, a zatim i upozorenje kako bi se u utvrđenom roku uklonili utvrđeni nedostatci subjekta Unije. Ako nedostatci utvrđeni u upozorenju nisu uklonjeni u dovoljnoj mjeri, IICB bi trebao moći izdati obrazloženu obavijest.

(26)

IICB bi trebao moći preporučiti provedbu revizije subjekta Unije. Subjekt Unije trebao bi se moći koristiti svojom funkcijom unutarnje revizije u tu svrhu. IICB bi također trebao moći zatražiti da reviziju provede služba za reviziju treće strane, među ostalim pružatelj usluga iz privatnog sektora koji je zajednički dogovoren.

(27)

U iznimnim slučajevima dugotrajnih, namjernih, opetovanih ili teških kršenja ove Uredbe od strane subjekta Unije, IICB bi trebao moći, kao krajnju mjeru, svim državama članicama i subjektima Unije preporučiti privremenu suspenziju protokâ podataka prema subjektu Unije, koja treba proizvoditi učinke sve dok subjekt Unije ne prestane s kršenjem. Takvu preporuku trebalo bi priopćiti odgovarajućim i sigurnim komunikacijskim kanalima.

(28)

Kako bi se osigurala pravilna provedba ove Uredbe, IICB bi trebao, ako smatra da je ustrajno kršenje ove Uredbe od strane subjekta Unije izravno uzrokovano radnjama ili propustima člana njegova osoblja, među ostalim na najvišoj rukovodećoj razini, zatražiti od dotičnog subjekta Unije da poduzme odgovarajuću mjeru, među ostalim zatražiti od tog subjekta Unije da razmotri poduzimanje stegovne mjere, u skladu s pravilima i postupcima utvrđenima u Pravilniku o osoblju za dužnosnike Europske unije i Uvjetima zaposlenja ostalih službenika Unije, utvrđenima u Uredbi Vijeća (EEZ, Euratom, EZUČ) br. 259/68 (5) („Pravilnik o osoblju”) i svim drugim primjenjivim pravilima i postupcima.

(29)

CERT-EU trebao bi doprinositi sigurnosti IKT okruženja svih subjekata Unije. Pri razmatranju hoće li pružiti tehničke savjete ili tehnička mišljenja o relevantnim pitanjima politika slijedom zahtjeva subjekta Unije, CERT-EU trebao bi se pobrinuti da se time ne sprečava ispunjavanje drugih zadaća koje su mu povjerene na temelju ove Uredbe. CERT-EU bi u odnosu na subjekte Unije trebao djelovati kao ekvivalent koordinatora imenovanog za potrebe koordiniranog otkrivanja ranjivosti u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555.

(30)

CERT-EU trebao bi poduprijeti provedbu mjera za visoku zajedničku razinu kibernetičke sigurnosti prijedlozima za smjernice i preporuke IICB-u ili izdavanjem poziva na djelovanje. IICB bi trebao odobriti takve smjernice i preporuke. Prema potrebi, CERT-EU trebao bi izdavati pozive na djelovanje u kojima se opisuju hitne sigurnosne mjere u odnosu na koje se subjekte Unije potiče da ih poduzmu u zadanom roku. IICB bi trebao uputiti CERT-EU da izda, povuče ili izmijeni prijedlog smjernica ili preporuke ili poziv na djelovanje.

(31)

CERT-EU trebao bi obavljati i ulogu koja mu je određena u Direktivi (EU) 2022/2555, a koja se odnosi na suradnju i razmjenu informacija s mrežom timova za odgovor na računalne sigurnosne incidente (CSIRT) uspostavljenom na temelju članka 15. te direktive. Nadalje, u skladu s Preporukom Komisije (EU) 2017/1584 (6) CERT-EU trebao bi surađivati i koordinirati odgovor s relevantnim dionicima. Kako bi doprinio visokoj razini kibernetičke sigurnosti u cijeloj Uniji, CERT-EU trebao bi s partnerima iz država članica dijeliti informacije specifične za određeni incident. CERT-EU trebao bi surađivati i s drugim javnim i privatnim partnerima, uključujući Organizaciju Sjevernoatlantskog ugovora (NATO), uz prethodno odobrenje IICB-a.

(32)

Pri pružanju potpore operativnoj kibernetičkoj sigurnosti CERT-EU trebao bi se koristiti raspoloživim stručnim znanjem ENISA-e u okviru strukturirane suradnje, kako je predviđeno u Uredbi (EU) 2019/881. Prema potrebi trebalo bi uspostaviti posebne namjenske aranžmane između tih dvaju subjekata kako bi se utvrdila praktična provedba takve suradnje i izbjeglo udvostručivanje aktivnosti. CERT-EU trebao bi surađivati s ENISA-om na analizi kibernetičkih prijetnji i s ENISA-om redovito dijeliti svoje izvješće o stanju kibernetičkih prijetnji.

(33)

CERT-EU trebao bi moći surađivati i razmjenjivati informacije s relevantnim zajednicama u području kibernetičke sigurnosti u Uniji i njezinim državama članicama kako bi se potaknula operativna suradnja i omogućilo postojećim mrežama da ostvare svoj puni potencijal za zaštitu Unije.

(34)

Budući da su usluge i zadaće CERT-EU-a u interesu subjekata Unije, svaki subjekt Unije s rashodima za IKT trebao bi razmjerno doprinositi tim uslugama i zadaćama. Tim doprinosima ne dovodi se u pitanje proračunska autonomija subjekata Unije.

(35)

Mnogi kibernetički napadi dio su širih kampanja usmjerenih na skupine subjekata Unije ili na interesne zajednice koje uključuju subjekte Unije. Kako bi omogućili proaktivno otkrivanje incidenata, odgovor na incidente ili mjere ublažavanje, te oporavak od incidenata, subjekti Unije trebali bi moći obavijestiti CERT-EU o incidentima, kibernetičkim prijetnjama, ranjivostima i izbjegnutim incidentima te podijeliti odgovarajuće tehničke pojedinosti koje omogućuju otkrivanje ili ublažavanje sličnih incidenata, kibernetičkih prijetnji, ranjivosti i izbjegnutih incidenata u drugim subjektima Unije, kao i odgovor na njih. Na temelju istog pristupa kao u Direktivi (EU) 2022/2555 subjekti Unije trebali bi biti dužni dostaviti rano upozorenje CERT-EU-u u roku od 24 sata nakon što su saznali za značajni incident. Tom razmjenom informacija trebalo bi se omogućiti CERT-EU-u da te informacije proslijedi drugim subjektima Unije, kao i odgovarajućim partnerima, kako bi se pomoglo zaštititi IKT okruženja subjekata Unije i njihovih partnera od sličnih incidenata.

(36)

Ovom se Uredbom utvrđuje pristup izvješćivanju o značajnim incidentima u više faza kako bi se uspostavila prava ravnoteža između, s jedne strane, brzog izvješćivanja koje doprinosi ublažavanju potencijalnog širenja značajnih incidenata i omogućuje subjektima Unije da traže pomoć te, s druge strane, detaljnog izvješćivanja kojim se iz pojedinačnih incidenata izvlače vrijedne pouke i s vremenom poboljšava kibernetička otpornost pojedinačnih subjekata Unije te doprinosi povećanju njihove opće razine kibernetičke sigurnosti. U tom bi pogledu ova Uredba trebala uključivati izvješćivanje o incidentima koji bi, na temelju početne procjene koju je proveo subjekt Unije, mogli uzrokovati ozbiljne poremećaje u funkcioniranju dotičnog subjekta Unije ili financijski gubitak dotičnom subjektu Unije ili, bi mogli utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete. U takvoj početnoj procjeni trebalo bi uzeti u obzir, među ostalim, pogođene mrežne i informacijske sustave, posebno njihovu važnost za funkcioniranje subjekta Unije, ozbiljnost i tehničke značajke kibernetičke prijetnje i sve temeljne ranjivosti koje se iskorištavaju, kao i iskustvo subjekta Unije sa sličnim incidentima. Pokazatelji kao što su mjera u kojoj je ugroženo funkcioniranje subjekta Unije, trajanje incidenta ili broj pogođenih fizičkih ili pravnih osoba mogli bi imati važnu ulogu u utvrđivanju je li poremećaja u radu ozbiljan.

(37)

Budući da su infrastruktura te mrežni i informacijski sustavi relevantnog subjekta Unije i države članice u kojoj se nalazi taj subjekt Unije međusobno povezani, ključno je da se tu državu članicu bez nepotrebne odgode obavijesti o značajnom incidentu unutar tog subjekta Unije. U tu bi svrhu pogođeni subjekt Unije trebao obavijestiti sve relevantne partnere iz država članica, koji su imenovani ili uspostavljeni u skladu s člancima 8. i 10. Direktive (EU) 2022/2555, o pojavi značajnog incidenta o kojem subjekt Unije izvješćuje CERT-EU. Ako CERT-EU sazna za značajni incident do kojeg je došlo u državi članici, trebao bi obavijestiti svakog relevantnog partnera iz te države članice.

(38)

Trebalo bi uvesti mehanizam za osiguravanje djelotvorne razmjene informacija, koordinaciju i suradnju subjekata Unije u slučaju velikih incidenata, koji obuhvaća jasno utvrđivanje uloga i odgovornosti uključenih subjekata Unije. Predstavnik Komisije u IICB-u trebao bi, podložno planu za upravljanje kibernetičkim krizama, biti kontaktna točka za olakšavanje razmjene relevantnih informacija o većim incidentima koju IICB provodi s Europskom mrežom organizacija za vezu za kibernetičke krize (EU-CyCLONe) kao doprinos zajedničkoj informiranosti o stanju. Ulogom predstavnika Komisije u IICB-u kao kontaktne točke ne bi se trebala dovoditi u pitanje odvojena i posebna uloga Komisije u mreži EU-CyCLONe u skladu s člankom 16. stavkom 2. Direktive (EU) 2022/2555.

(39)

Na svaku obradu osobnih podataka na temelju ove Uredbe primjenjuje se Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća (7). Obrada osobnih podataka mogla bi se odvijati u vezi s mjerama donesenima u kontekstu upravljanja kibernetičkim sigurnosnim rizicima, postupanja s ranjivostima i incidentima, razmjene informacija o incidentima, kibernetičkim prijetnjama i ranjivostima te koordinacije i suradnje u odgovoru na incidente. Takve bi mjere mogle zahtijevati obradu određenih kategorija osobnih podataka, kao što su IP adrese, jedinstveni lokatori resursa (URL-ovi), nazivi domena, adrese e-pošte, organizacijske uloge ispitanika, vremenski žigovi, predmeti e-pošte ili nazivi datoteka. Sve mjere poduzete na temelju ove Uredbe trebale bi biti u skladu s okvirom za zaštitu podataka i privatnost, a subjekti Unije, CERT-EU i, ako je relevantno, IICB trebali bi poduzeti sve relevantne tehničke i organizacijske zaštitne mjere kako bi se na odgovoran način osigurala takva usklađenost.

(40)

Ovom se Uredbom utvrđuje pravna osnova za obradu osobnih podataka koju provode subjekti Unije, CERT-EU i, ako je relevantno, IICB, za potrebe obavljanja svojih zadaća i ispunjavanja svojih obveza na temelju ove Uredbe, u skladu s člankom 5. stavkom 1. točkom (b) Uredbe (EU) 2018/1725. CERT-EU može djelovati kao izvršitelj obrade ili voditelj obrade ovisno o zadaći koju obavlja u skladu s Uredbom (EU) 2018/1725.

(41)

U određenim slučajevima, u svrhu ispunjavanja svojih obveza na temelju ove Uredbe kako bi se osigurala visoka razina kibernetičke sigurnosti, a posebno u kontekstu postupanja s ranjivostima i incidentima, može biti potrebno da subjekti Unije i CERT-EU obrađuju posebne kategorije osobnih podataka kako je navedeno u članku 10. stavku 1. Uredbe (EU) 2018/1725. Ovom se Uredbom utvrđuje pravna osnova za obradu posebnih kategorija osobnih podataka koju provode subjekti Unije i CERT-EU u skladu s člankom 10. stavkom 2. točkom (g) Uredbe (EU) 2018/1725. Obrada posebnih kategorija osobnih podataka na temelju ove Uredbe trebala bi biti strogo razmjerna cilju koji se želi postići. Podložno uvjetima iz članka 10. stavka 2. točke (g) te uredbe, subjekti Unije i CERT-EU trebali bi moći obrađivati takve podatke samo u mjeri u kojoj je to potrebno i ako je to izričito predviđeno u ovoj Uredbi. Subjekti Unije i CERT-EU trebali bi prilikom obrade posebnih kategorija osobnih podataka poštovati bit prava na zaštitu podataka i predvidjeti odgovarajuće i posebne mjere za zaštitu temeljnih prava i interesa ispitanika.

(42)

U skladu s člankom 33. Uredbe (EU) 2018/1725 subjekti Unije i CERT-EU trebali bi, uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode fizičkih osoba, provesti odgovarajuće tehničke i organizacijske mjere kako bi se osigurala odgovarajuća razina sigurnosti osobnih podataka, kao što su pružanje prava ograničenog pristupa na temelju nužnosti pristupa, primjena načela postojanja revizijskog traga, utvrđivanje nadzornog lanca, pohrana podataka u mirovanju u kontroliranom i provjerljivom okruženju, standardizirani operativni postupci i mjere za očuvanje privatnosti, kao što su pseudonimizacija ili kriptiranje. Te bi se mjere trebale provoditi tako da ne utječu na svrhu postupanja s incidentom ni na cjelovitost dokaza. Ako subjekt Unije ili CERT-EU prenosi osobne podatke povezane s incidentom, uključujući posebne kategorije osobnih podataka, partneru ili suradniku za potrebe ove Uredbe, takvi prijenosi trebali bi biti u skladu s Uredbom (EU) 2018/1725. Ako se posebne kategorije osobnih podataka prenose trećoj strani, subjekti Unije i CERT-EU trebali bi osigurati da treća strana primjenjuje mjere koje se odnose na zaštitu osobnih podataka na razini istovjetnoj Uredbi (EU) 2018/1725.

(43)

Osobne podatke koji se obrađuju za potrebe ove Uredbe trebalo bi čuvati samo onoliko dugo koliko je potrebno u skladu s Uredbom (EU) 2018/1725. Subjekti Unije i, ako je to primjenjivo, CERT-EU koji djeluje kao voditelj obrade, trebali bi utvrditi razdoblja pohrane koja su ograničena na ono što je potrebno za postizanje utvrđenih svrha. Kad je riječ osobito o osobnim podatcima prikupljenima za postupanje s incidentom, subjekti Unije i CERT-EU trebali bi razlikovati osobne podatke koji se prikupljaju za otkrivanje kibernetičke prijetnje u svojim IKT okruženjima kako bi se spriječio incident i osobne podatke koji se prikupljaju radi ublažavanja incidenta, odgovora na njega i oporavka od njega. Za otkrivanje kibernetičke prijetnje važno je uzeti u obzir koliko dugo prijeteći akter može ostati neotkriven u sustavu. Radi ublažavanja incidenta, odgovora na njega i oporavka od njega važno je razmotriti jesu li osobni podatci potrebni za otkrivanje incidenta i postupanje s incidentom koji se ponavlja ili incidenta slične prirode za koji bi se mogla dokazati korelacija.

(44)

Postupanje subjekata Unije i CERT-EU-a s podatcima trebalo bi biti u skladu s primjenjivim pravilima o sigurnosti podataka. Uključivanje sigurnosti ljudskih resursa kao mjere upravljanja kibernetičkim sigurnosnim rizicima trebalo bi također biti u skladu s primjenjivim pravilima.

(45)

Za potrebe razmjene informacija upotrebljavaju se vidljive oznake kako bi se naznačilo da primatelji informacija moraju primjenjivati ograničenja u njihovoj razmjeni, osobito ona na temelju sporazumâ o povjerljivosti podataka ili neformalnih dogovora o povjerljivosti podataka, kao što je Protokol o semaforu (eng. the traffic light protocol) ili druge jasne oznake koje je naveo izvor. Protokol o semaforu treba shvatiti kao sredstvo za pružanje informacija o svim ograničenjima u pogledu daljnjeg širenja informacija. Upotrebljava se u gotovo svim CSIRT-ovima i u pojedinim centrima za analizu i razmjenu informacija.

(46)

Ovu bi Uredbu trebalo redovito evaluirati s obzirom na buduće pregovore o višegodišnjim financijskim okvirima, kojima će se omogućiti donošenje daljnjih odluka u pogledu funkcioniranja i institucionalne uloge CERT-EU-a, uključujući moguću uspostavu CERT-EU-a kao ureda Unije.

(47)

IICB bi trebao, uz pomoć CERT-EU-a, preispitati i evaluirati provedbu ove Uredbe te podnijeti izvješće Komisiji o svojim zaključcima. Na temelju tih informacija Komisija bi trebala izvijestiti Europski parlament, Vijeće, Europski gospodarski i socijalni odbor i Odbor regija. U tom bi izvješću, uz doprinos IICB-a, trebalo evaluirati primjerenost uključivanja mrežnih i informacijskih sustava u kojima se postupa s klasificiranim podatcima EU-a u područje primjene ove Uredbe, osobito ako ne postoje pravila o informacijskoj sigurnosti koja su zajednička subjektima Unije.

(48)

U skladu s načelom proporcionalnosti, radi ostvarenja temeljnog cilja postizanja visoke zajedničke razine kibernetičkoj sigurnosti u subjektima Unije potrebno je i primjereno utvrditi pravila o kibernetičkoj sigurnosti za subjekte Unije. Ova Uredba ne prelazi ono što je potrebno za ostvarivanje cilja u skladu s člankom 5. stavkom 4. Ugovora o Europskoj uniji.

(49)

Ovom Uredbom odražava se činjenica da se subjekti Unije razlikuju po veličini i kapacitetima, među ostalim u pogledu financijskih i ljudskih resursa.

(50)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 te je on dao mišljenje 17. svibnja 2022. (8),

(a)

uspostavu unutarnjeg okvira za upravljanje kibernetičkim sigurnosnim rizicima, opće upravljanje njima i njihovu kontrolu od strane svakog subjekta Unije u skladu s člankom 6.;

(b)

upravljanje kibernetičkim sigurnosnim rizicima, izvješćivanje o njima i razmjenu informacija o njima;

(c)

organizaciju, funkcioniranje i rad Međuinstitucijskog odbora za kibernetičku sigurnost osnovanog člankom 10. te organizaciju, funkcioniranje i rad Službe za kibernetičku sigurnost institucija, tijela, ureda i agencija Unije (CERT-EU);

(d)

praćenje provedbe ove Uredbe.

1.

„subjekti Unije” znači institucije, tijela, uredi i agencije Unije koji su osnovani Ugovorom o Europskoj uniji, Ugovorom o funkcioniranju Europske unije (TFEU) ili Ugovorom o osnivanju Europske zajednice za atomsku energiju ili na temelju tih ugovora;

2.

„mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definiran u članku 6. točki 1. Direktive (EU) 2022/2555;

3.

„sigurnost mrežnih i informacijskih sustava” znači sigurnost mrežnih i informacijskih sustava kako je definirana u članku 6. točki 2. Direktive (EU) 2022/2555;

4.

„kibernetička sigurnost” znači kibernetička sigurnost kako je definirana u članku 2. točki 1. Uredbe (EU) 2019/881;

5.

„najviša rukovodeća razina” znači rukovoditelj, rukovodeće tijelo ili koordinacijsko i nadzorno tijelo koji su odgovorni za funkcioniranje subjekta Unije, na najvišoj upravnoj razini, s mandatom za donošenje ili odobravanje odluka u skladu s upravljačkim aranžmanima na visokoj razini tog subjekta Unije, ne dovodeći u pitanje formalne odgovornosti drugih rukovodećih razina u pogledu usklađenosti i upravljanja kibernetičkim sigurnosnim rizikom u njihovim područjima odgovornosti;

6.

„izbjegnuti incident” znači izbjegnuti incident kako je definiran u članku 6. točki 5. Direktive (EU) 2022/2555;

7.

„incident” znači incident kako je definiran u članku 6. točki 6. Direktive (EU) 2022/2555;

8.

„veliki incident” znači svaki incident koji uzrokuje razinu poremećaja koja premašuje sposobnost subjekta Unije i CERT-EU-a da na njega odgovore ili koji ima znatan učinak na najmanje dva subjekta Unije;

9.

„kibernetički sigurnosni incident velikih razmjera” znači kibernetički sigurnosni incident velikih razmjera kako je definiran u članku 6. točki 7. Direktive (EU) 2022/2555;

10.

„postupanje s incidentom” znači postupanje s incidentom kako je definirano u članku 6. točki 8. Direktive (EU) 2022/2555;

11.

„kibernetička prijetnja” znači kibernetička prijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881;

12.

„ozbiljna kibernetička prijetnja” znači ozbiljna kibernetička prijetnja kako je definirana u članku 6. točki 11. Direktive (EU) 2022/2555;

13.

„ranjivost” znači ranjivost kako je definirana u članku 6. točki 15. Direktive (EU) 2022/2555;

14.

„kibernetički sigurnosni rizik” znači rizik kako je definiran u članku 6. točki 9. Direktive (EU) 2022/2555;

15.

„usluga računalstva u oblaku” znači usluga računalstva u oblaku kako je definirana u članku 6. točki 30. Direktive (EU) 2022/2555.

(a)

politiku kibernetičke sigurnosti, uključujući mjere potrebne za postizanje ciljeva i prioriteta iz članka 6. i stavka 3. ovog članka;

(b)

politike analize kibernetičkih sigurnosnih rizika i sigurnosti informacijskih sustava;

(c)

ciljeve politike u pogledu korištenja usluga računalstva u oblaku;

(d)

prema potrebi, reviziju kibernetičke sigurnosti koja može uključivati procjenu kibernetičkih sigurnosnih rizika, ranjivosti i kibernetičkih prijetnji te penetracijska testiranja, koja redovito provodi pouzdani privatni pružatelj usluga;

(e)

provedbu preporuka koje proizlaze iz revizija kibernetičke sigurnosti iz točke (d) putem ažuriranja stanja kibernetičke sigurnosti i politika;

(f)

organizaciju kibernetičke sigurnosti, uključujući utvrđivanje uloga i odgovornosti;

(g)

upravljanje imovinom, uključujući popis IKT imovine i kartografiju IKT mreže;

(h)

sigurnost ljudskih resursa i kontrolu pristupa;

(i)

sigurnost operacija;

(j)

sigurnost komunikacija;

(k)

nabavu, razvoj i održavanj sustavâ, uključujući politike za postupanje s ranjivostima i njihovo otkrivanje;

(l)

ako je moguće, politike o transparentnosti izvornog koda;

(m)

sigurnost lanca opskrbe, uključujući sigurnosne aspekte povezane s odnosima između svakog subjekta Unije i njegovih izravnih dobavljača ili pružatelja usluga;

(n)

postupanje s incidentima i suradnji s CERT-EU-om, na primjer održavanju sustava sigurnosnog nadzora i bilježenju dnevničkih zapisa;

(o)

upravljanje kontinuitetom poslovanja, na primjer upravljanju sigurnosnim kopijama i oporavku od katastrofe te upravljanju krizama; i

(p)

promicanje i razvoj programâ obrazovanja, vještina, podizanja svijesti, vježbi i osposobljavanja u području kibernetičke sigurnosti.

(a)

tehničke aranžmane za omogućavanje i održavanje rada na daljinu;

(b)

konkretne korake za prijelaz na načela nultog povjerenja;

(c)

upotrebu višefaktorske autentifikacije kao norme u svim mrežnim i informacijskim sustavima;

(d)

upotrebu kriptografije i kriptiranja, a posebno prolaznog kriptiranja, te sigurnih digitalnih potpisa;

(e)

prema potrebi, sigurne glasovne, video- i tekstualne komunikacije te sigurni komunikacijski sustav u hitnim slučajevima unutar subjekta Unije;

(f)

proaktivne mjere za otkrivanje i uklanjanje zlonamjernog softvera i špijunskog softvera;

(g)

uspostavljanje sigurnosti lanca opskrbe softverom s pomoću kriterija za siguran razvoj i evaluaciju softvera;

(h)

izrada i donošenje programa za osposobljavanje u području kibernetičke sigurnosti koji odgovara predviđenim zadaćama i očekivanim sposobnostima najviše rukovodeće razine i osoblja subjekta Unije čija je zadaća osiguravanje djelotvorne provedbe ove Uredbe;

(i)

redovito osposobljavanje osoblja u području kibernetičke sigurnosti;

(j)

ako je to relevantno, sudjelovanje u analizama rizika s obzirom na međupovezanosti subjekata Unije;

(k)

poboljšanje pravila javne nabave kako bi se olakšalo postizanje visoke zajedničke razine kibernetičke sigurnosti:

(a)

praćenje provedbe ove Uredbe od strane subjekata Unije i pružanje potpore u provedbi;

(b)

nadzor nad provedbom općih prioriteta i ciljeva CERT-EU-a i strateško usmjeravanje CERT-EU-a.

(a)

po jednog predstavnika kojeg imenuje svako od sljedećih tijela:

(b)

tri predstavnika koje Mreža agencija EU-a (EUAN) imenuje na temelju prijedloga svojeg savjetodavnog odbora za IKT kako bi zastupali interese tijela, ureda i agencija Unije koji upravljaju vlastitim IKT okruženjem, osim onih iz točke (a).

(a)

pruža smjernice voditelju CERT-EU-a;

(b)

djelotvorno prati i nadzire provedbu ove Uredbe te podupire subjekte Unije u jačanju njihove kibernetičke sigurnosti, uključujući, prema potrebi, traženjem izrade ad hoc izvješća od subjekata Unije i CERT-EU-a;

(c)

nakon strateške rasprave donosi višegodišnju strategiju za podizanje razine kibernetičke sigurnosti u subjektima Unije, redovito ocjenjuje tu strategiju, a u svakom slučaju svakih pet godina, te je prema potrebi mijenja;

(d)

utvrđuje metodologiju i organizacijske aspekte za dobrovoljna istorazinska ocjenjivanja koja provode subjekti Unije s ciljem učenja iz zajedničkih iskustava, jačanja uzajamnog povjerenja, postizanja visoke zajedničke razine kibernetičke sigurnosti te jačanja kibernetičkih sigurnosnih kapaciteta subjekata Unije, osiguravanja da takva istorazinska ocjenjivanja provode stručnjaci za kibernetičku sigurnost koje je imenovao subjekt Unije koji nije subjekt Unije koji se ocjenjuje te da se metodologija temelji na članku 19. Direktive (EU) 2022/2555 i da je, prema potrebi, prilagođena subjektima Unije;

(e)

na temelju prijedloga voditelja CERT-EU-a odobrava godišnji program rada CERT-EU-a i prati njegovu provedbu;

(f)

na temelju prijedloga voditelja CERT-EU-a odobrava katalog usluga CERT-EU-a i sva ažuriranja tog kataloga;

(g)

na temelju prijedloga voditelja CERT-EU-a odobrava godišnji financijski plan prihoda i rashoda, uključujući za osoblje, za aktivnosti CERT-EU-a;

(h)

na temelju prijedloga voditelja CERT-EU-a odobrava dogovore o sporazumima o razini usluga;

(i)

pregledava i odobrava godišnje izvješće koje sastavlja voditelj CERT-EU-a, a kojim su obuhvaćene aktivnosti CERT-EU-a i upravljanje njegovim sredstvima;

(j)

odobrava i prati ključne pokazatelje uspješnosti CERT-EU-a utvrđene na temelju prijedloga voditelja CERT-EU-a;

(k)

odobrava aranžmane za suradnju te dogovore ili ugovore o razini usluga između CERT-EU-a i drugih subjekata na temelju članka 18.;

(l)

donosi smjernice i preporuke na temelju prijedloga CERT-EU-a u skladu s člankom 14. i upućuje CERT-EU da izda, povuče ili izmijeni prijedlog smjernica ili preporuke ili poziv na djelovanje;

(m)

osniva tehničke savjetodavne skupine sa specifičnim zadaćama za pomoć u radu IICB-a, odobrava opise njihovih poslova i imenuje njihove predsjednike;

(n)

prima i ocjenjuje dokumente i izvješća koje podnose subjekti Unije u skladu s ovom Uredbom, kao što su procjene zrelosti kibernetičke sigurnosti;

(o)

podupire osnivanje neformalne skupine lokalnih službenika za kibernetičku sigurnost subjekata Unije, uz potporu ENISA-e, s ciljem razmjene najbolje prakse i informacija u vezi s provedbom ove Uredbe;

(p)

uzimajući u obzir informacije CERT-EU-a o utvrđenim kibernetičkim sigurnosnim rizicima i stečenim iskustvima, prati primjerenost aranžmana međupovezanosti IKT okruženja subjekata Unije i savjetuje o mogućim poboljšanjima;

(q)

uspostavlja plan za upravljanje kibernetičkim krizama s ciljem podupiranja, na operativnoj razini, koordiniranog upravljanja velikim incidentima koji utječu na subjekte Unije i s ciljem doprinošenja redovitoj razmjeni relevantnih informacija, posebno u pogledu učinaka i ozbiljnosti velikih incidenata te mogućih načina ublažavanja njihovih učinaka;

(r)

koordinira donošenje pojedinačnih planova subjekata Unije za upravljanje kibernetičkim krizama iz članka 9. stavka 2.;

(s)

donosi preporuke koje se odnose na sigurnost lanca opskrbe iz članka 8. stavka 2. prvog podstavka točke (m) uzimajući u obzir rezultate koordiniranih procjena sigurnosnih rizika ključnih lanaca opskrbe na razini Unije iz članka 22. Direktive (EU) 2022/2555 kako bi subjektima Unije pomogao u donošenju djelotvornih i razmjernih mjera upravljanja kibernetičkim sigurnosnim rizicima.

(a)

dostaviti obrazloženo mišljenje dotičnom subjektu Unije u kojem navodi uočene nedostatke u provedbi ove Uredbe;

(b)

nakon savjetovanja s CERT-EU-om dati smjernice dotičnom subjektu Unije kako bi osigurao da se njegov Okvir, njegove mjere upravljanja kibernetičkim sigurnosnim rizicima, njegov plan za kibernetičku sigurnost i njegovo izvješćivanje usklade s ovom Uredbom u utvrđenom roku;

(c)

izdati upozorenje radi rješavanja utvrđenih nedostataka u utvrđenom roku, uključujući preporuke za izmjenu mjera koje je dotični subjekt Unije donio u skladu s ovom Uredbom;

(d)

izdati obrazloženu obavijest dotičnom subjektu Unije u slučaju da nedostatci utvrđeni u upozorenju izdanom u skladu s točkom (c) nisu riješeni u dovoljnoj mjeri u utvrđenom roku;

(e)

izdati:

(f)

ako je primjenjivo, obavijestiti Revizorski sud, u okviru svojih ovlasti, o navodnoj neusklađenosti;

(g)

izdati preporuku da sve države članice i subjekti Unije provedu privremenu suspenziju protokâ podataka dotičnom subjektu Unije.

(a)

pruža im potporu u provedbi ove Uredbe i doprinosi koordinaciji provedbe ove Uredbe putem mjera navedenih u članku 14. stavku 1. ili putem ad hoc izvješća koja je zatražio IICB;

(b)

nudi standardne usluge CSIRT-ova za subjekte Unije putem paketa kibernetičkih sigurnosnih usluga opisanih u njegovu katalogu usluga („osnovne usluge”);

(c)

održava mrežu kolega i suradnika radi pružanja potpore uslugama, kako je navedeno u člancima 17. i 18.;

(d)

skreće pozornost IICB-a na sve probleme koji se odnose na provedbu ove Uredbe i provedbu smjernica, preporuka i pozivâ na djelovanje;

(e)

na temelju informacija iz stavka 2. doprinosi informiranosti o stanju kibernetičke sigurnosti situaciji u Uniji u bliskoj suradnji s ENISA-om;

(f)

koordinira upravljanje velikim incidentima;

(g)

u ime subjekata Unije djeluje kao ekvivalent koordinatora imenovanog za potrebe koordiniranog otkrivanja ranjivosti u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555;

(h)

na zahtjev subjekta Unije osigurava proaktivno neinvazivno skeniranje javno dostupnih mrežnih i informacijskih sustava tog subjekta Unije.

(a)

pripravnost, koordinacija incidenata, razmjena informacija i odgovor na krize na tehničkoj razini u slučajevima povezanima sa subjektima Unije;

(b)

operativna suradnja u pogledu mreže CSIRT-ova, među ostalim u pogledu uzajamne pomoći;

(c)

saznanja o kibernetičkim prijetnjama, uključujući informiranost o stanju;

(d)

sve teme za koje je potrebna tehnička stručnost CERT-EU-a u području kibernetičke sigurnosti.

(a)

usluge kojima se podupire kibernetička sigurnost IKT okruženja subjekata Unije, osim onih iz stavka 3., na temelju sporazumâ o razini usluga i ovisno o dostupnim resursima, osobito praćenje mreža širokog spektra, uključujući prvu liniju nadzora za vrlo ozbiljne kibernetičke prijetnje 24 sata dnevno sedam dana u tjednu;

(b)

usluge kojima se podupiru kibernetičke sigurnosne operacije ili kibernetički sigurnosni projekti subjekata Unije koje ne služe za zaštitu njihova IKT okruženja, na temelju pisanih sporazuma i uz prethodno odobrenje IICB-a;

(c)

na zahtjev, proaktivno skeniranje mrežnih i informacijskih sustava dotičnog subjekta Unije kako bi se otkrile ranjivosti koje bi mogle imati znatan učinak;

(d)

usluge kojima se podupire sigurnost IKT okruženja organizacija koje nisu subjekti Unije, a koje blisko surađuju sa subjektima Unije, na primjer zbog zadaća ili dužnosti koje su im dodijeljene na temelju prava Unije, na temelju pisanih sporazuma i uz prethodno odobrenje IICB-a.

(a)

izdavanjem poziva na djelovanje u kojima se opisuju hitne sigurnosne mjere koje subjekti Unije trebaju poduzeti u zadanom roku;

(b)

podnošenjem prijedloga IICB-u za smjernice upućene svim subjektima Unije ili nekoj njihovoj podskupini;

(c)

podnošenjem prijedloga IICB-u za preporuke upućene pojedinačnim subjektima Unije.

(a)

zajedničke metodologije i model za procjenu zrelosti kibernetičke sigurnosti subjekata Unije, uključujući odgovarajuće ljestvice ili ključne pokazatelje uspješnosti, koji služe kao referenca za potporu kontinuiranom poboljšanju kibernetičke sigurnosti u svim subjektima Unije i olakšavaju određivanje prioriteta među područjima i mjerama kibernetičke sigurnosti uzimajući u obzir razinu kibernetičke sigurnosti subjekata;

(b)

aranžmane za upravljanje kibernetičkim sigurnosnim rizicima i mjere za upravljanje kibernetičkim sigurnosnim rizicima ili za njihovo poboljšanje;

(c)

aranžmane za procjenu zrelosti kibernetičke sigurnosti i planove za kibernetičku sigurnost

(d)

prema potrebi, upotrebu zajedničke tehnologije, arhitekture, otvorenog koda i povezane najbolje prakse radi postizanja interoperabilnosti i zajedničkih standarda, uključujući koordinirani pristup sigurnosti lanca opskrbe;

(e)

prema potrebi, informacije kojima se olakšava upotreba instrumenata zajedničke nabave za kupnju relevantnih kibernetičkih sigurnosnih usluga i proizvoda od vanjskih dobavljača;

(f)

aranžmani za razmjenu informacija u skladu s člankom 20.

(a)

pogođeni subjekt Unije dao je suglasnost;

(b)

pogođeni subjekt Unije nije dao suglasnost u skladu s točkom (a), ali bi se otkrivanjem identiteta pogođenog subjekta Unije povećala vjerojatnost da bi se incidenti drugdje izbjegli ili da bi se ublažili njihovi učinci;

(c)

pogođeni subjekt Unije već je objavio da je bio pogođen incidentom.

(a)

klasificirane podatke EU-a,

(b)

informacije čija je daljnja distribucija isključena vidljivom oznakom, osim ako je njihova razmjena s CERT-EU-om izričito dopuštena.

(a)

ako je uzrokovao ili može uzrokovati ozbiljne poremećaje u funkcioniranju dotičnog subjekta Unije ili financijski gubitak dotičnom subjektu Unije;

(b)

ako je utjecao ili može utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete.

(a)

bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata od kad su saznali za značajan incident, rano upozorenje u kojem se, ako je to primjenjivo, navodi da se sumnja da je značajan incident uzrokovan nezakonitim ili zlonamjernim djelovanjem te da bi mogao imati učinak na ostale subjekte ili prekogranični učinak;

(b)

bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata od kad su saznali za značajan incident, obavijest o incidentu kojom se, ako je to primjenjivo, ažuriraju informacije iz točke (a) i navode početna procjena značajnog incidenta, kao i njegove ozbiljnosti i njegova učinka te, ako su dostupni, pokazatelji ugroženosti;

(c)

na zahtjev CERT-EU-a, privremeno izvješće o relevantnim ažuriranjima statusa;

(d)

završno izvješće najkasnije mjesec dana nakon podnošenja obavijesti o incidentu iz točke (b), koje uključuje sljedeće:

(e)

u slučaju incidenta koji je u tijeku u trenutku podnošenja završnog izvješća iz točke (d), izvješće o napretku u tom trenutku i završno izvješće u roku od mjesec dana od postupanja u vezi s incidentom.

(a)

klasificirane podatke EU-a;

(b)

informacije čija je daljnja distribucija isključena vidljivom oznakom, osim ako je njihova razmjena s CERT-EU-om izričito dopuštena.

(a)

subjektima Unije;

(b)

partnerima iz članaka 17. i 18.

(a)

doprinos dosljednoj vanjskoj komunikaciji;

(b)

uzajamnu potporu, kao što je razmjena informacija relevantnih za subjekte Unije ili pružanje pomoći, prema potrebi izravno na licu mjesta;

(c)

optimalnu upotrebu operativnih resursa;

(d)

koordinaciju s drugim mehanizmima za odgovor na krize na razini Unije.

(a)

aranžmane koji se odnose na koordinaciju i protok informacija među subjektima Unije za upravljanje velikim incidentima na operativnoj razini;

(b)

zajedničke standardne operativne postupke;

(c)

zajedničku taksonomiju ozbiljnosti velikih incidenata i pokretačkih točaka krize;

(d)

redovite vježbe;

(e)

sigurne komunikacijske kanale koje treba upotrebljavati.