RIALACHÁN CUR CHUN FEIDHME (AE) 2024/2690 ÓN gCOIMISIÚN an 17 Deireadh Fómhair 2024 lena leagtar síos na rialacha maidir le cur i bhfeidhm Threoir (AE) 2022/2555 a mhéid a bhaineann le ceanglais theicniúla agus mhodheolaíochta maidir le bearta bainistíochta riosca cibearshlándála agus sonrú breise ar na cásanna ina meastar teagmhas a bheith suntasach a mhéid a bhaineann le soláthraithe seirbhísí DNS, clárlanna ainmneacha TLD, soláthraithe seirbhísí néalríomhaireachta, soláthraithe seirbhísí lárionad sonraí, soláthraithe gréasán soláthair ábhair, soláthraithe seirbhísí bainistithe, soláthraithe seirbhísí slándála bainistithe, soláthraithe margaí ar líne, soláthraithe inneall cuardaigh ar líne agus soláthraithe ardán seirbhísí líonraithe shóisialta, agus soláthraithe seirbhísí iontaoibhe (Téacs atá ábhartha maidir le LEE)

(1)

Maidir le soláthraithe seirbhísí DNS, clárlanna ainmneacha TLD, soláthraithe seirbhísí néalríomhaireachta, soláthraithe seirbhísí lárionad sonraí, soláthraithe gréasán soláthair ábhair, soláthraithe seirbhísí bainistithe, soláthraithe seirbhísí slándála bainistithe, soláthraithe margaí ar líne, soláthraithe inneall cuardaigh ar líne agus soláthraithe ardán seirbhísí líonraithe shóisialta, agus soláthraithe seirbhísí iontaoibhe mar a chumhdaítear le hAirteagal 3 de Threoir (AE) 2022/2555 (na heintitis ábhartha), is é is aidhm don Rialachán seo ceanglais theicniúla agus mhodheolaíochta na mbeart dá dtagraítear in Airteagal 21(3) de Threoir (AE) 2022/2555 a leagan síos agus na cásanna inar cheart teagmhas a mheas a bheith suntasach é dá dtagraítear in Airteagal 23(3) de Threoir (AE) 2022/2555.

(2)

Trí chineál trasteorann a ngníomhaíochtaí á chur san áireamh agus chun creat comhleanúnach a áirithiú do sholáthraithe seirbhísí iontaoibhe, ba cheart a shonrú a thuilleadh sa Rialachán, maidir le soláthraithe seirbhísí iontaoibhe, na cásanna ina measfar teagmhas a bheith suntasach, chomh maith le ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagan síos ann.

(3)

I gcomhréir le hAirteagal 21(5), an tríú fomhír de Threoir (AE) 2022/2555, tá ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagtar síos san Iarscríbhinn a ghabhann leis an Rialachán seo bunaithe ar chaighdeáin Eorpacha agus idirnáisiúnta, amhail ISO/IEC 27001, ISO/IEC 27002 agus ETSI EN 319401, agus sonraíochtaí teicniúla, amhail CEN/TS 18026:2024, atá ábhartha do shlándáil córas gréasán agus faisnéise.

(4)

A mhéid a bhaineann le cur chun feidhme agus cur i bhfeidhm cheanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo, i gcomhréir le prionsabal na comhréireachta, ba cheart aird chuí a thabhairt ar neamhchosaint éagsúil na n-eintiteas ábhartha ar riosca, amhail criticiúlacht an eintitis ábhartha, na rioscaí a bhfuil sé neamhchosanta orthu, méid agus struchtúr an eintitis ábhartha chomh maith leis an dóchúlacht go dtarlóidh teagmhais agus a thromchúisí a bheidh siad, lena n-áirítear a dtionchar sochaíoch agus eacnamaíoch, agus ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo á gcomhlíonadh.

(5)

I gcomhréir le prionsabal na comhréireachta, i gcás nach féidir le heintitis ábhartha roinnt de cheanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a chur chun feidhme mar gheall ar a méid, ba cheart do na heintitis sin a bheith in ann bearta cúiteacha eile a dhéanamh atá oiriúnach chun cuspóir na gceanglas sin a bhaint amach. Agus róil, freagrachtaí agus údaráis á sainiú maidir le slándáil córas gréasán agus faisnéise laistigh den eintiteas ábhartha, mar shampla, d’fhéadfadh sé a bheith deacair d’eintitis mhicreamhéide dualgais chontrártha agus réimsí freagrachta contrártha a dheighilt. Ba cheart na heintitis sin a bheith in ann bearta cúiteacha a mheas amhail formhaoirseacht spriocdhírithe ag bainistíocht an eintitis, nó faireachán méadaithe agus logáil mhéadaithe.

(6)

Ba cheart do na heintitis ábhartha ceanglais theicniúla agus mhodheolaíochta áirithe a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo a chur i bhfeidhm i gcás inarb iomchuí, i gcás inarb infheidhme, nó a mhéid is féidir. I gcás ina measann eintiteas ábhartha nach iomchuí, nach infheidhme nó nach indéanta don eintiteas ábhartha ceanglais theicniúla agus mhodheolaíochta áirithe dá bhforáiltear san Iarscríbhinn a ghabhann leis an Rialachán seo a chur i bhfeidhm, ba cheart don eintiteas ábhartha an réasúnú atá aige chuige sin a dhoiciméadú ar bhealach sothuigthe. Agus maoirseacht á déanamh acu, féadfaidh na húdaráis inniúla náisiúnta a chur san áireamh an t-am iomchuí a theastaíonn ó na heintitis ábhartha chun ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a chur chun feidhme.

(7)

Faoi Threoir (AE) 2022/2555, is féidir le Gníomhaireacht an Aontais Eorpaigh um Chibearshlándáil nó leis na húdaráis inniúla treoraíocht a sholáthar chun tacú leis na heintitis ábhartha i ndáil le rioscaí a shainaithint, a anailísiú agus a mheasúnú chun na ceanglais theicniúla agus mhodheolaíochta a bhaineann le bunú agus coinneáil ar bun creata bainistíochta riosca a chur chun feidhme. D’fhéadfaí a chuimsiú sa treoraíocht sin, go háirithe, measúnuithe riosca náisiúnta agus earnála chomh maith le measúnuithe riosca a bhaineann go sonrach le cineál áirithe eintitis. Féadfar uirlisí nó teimpléid a chuimsiú sa treoraíocht freisin chun creat bainistíochta riosca a fhorbairt ar leibhéal na n-eintiteas ábhartha. Is féidir le creataí, treoir nó sásraí eile dá bhforáiltear le dlí náisiúnta na mBallstát, chomh maith le caighdeáin ábhartha Eorpacha agus idirnáisiúnta, tacú le heintitis ábhartha freisin chun comhlíonadh an Rialacháin seo a léiriú. Thairis sin, is féidir le Gníomhaireacht an Aontais Eorpaigh um Chibearshlándáil nó na húdaráis inniúla náisiúnta faoi Threoir (AE) 2022/2555 tacú le heintitis ábhartha i dtaca le réitigh iomchuí a shainaithint agus a chur chun feidhme chun déileáil le rioscaí a shainaithnítear sna measúnuithe riosca sin. Ba cheart an treoraíocht sin a bheith gan dochar d’oibleagáid na n-eintiteas ábhartha na rioscaí a bhaineann le slándáil córas gréasán agus faisnéise a shainaithint agus a dhoiciméadú, agus d’oibleagáid na n-eintiteas ábhartha ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo a chur chun feidhme de réir a riachtanas agus a n-acmhainní.

(8)

Bearta slándála gréasán i ndáil leis an méid seo a leanas: (i) an t-aistriú i dtreo na glúine is déanaí de phrótacail chumarsáide ar shraith an ghréasáin, (ii) imlonnú caighdeán cumarsáide ríomhphoist nua-aimseartha idir-inoibritheach arna gcomhaontú go hidirnáisiúnta, agus (iii) dea-chleachtais maidir le slándáil DNS a chur i bhfeidhm, agus maidir le slándáil ródaithe idirlín agus sláinteachas ródaithe, baineann dúshláin shonracha leis sin maidir leis na caighdeáin agus na teicnící imlonnaithe is fearr atá ar fáil a shainaithint. Chun ardleibhéal cibearshlándála coiteann a bhaint amach ar fud gréasán a luaithe is féidir, ba cheart don Choimisiún, le cúnamh ó Ghníomhaireacht an Aontais Eorpaigh um Chibearshlándáil agus i gcomhar leis na húdaráis inniúla, leis an tionscal, lena n-áirítear an tionscal teileachumarsáide, agus leis na páirtithe leasmhara, tacú le fóram il-pháirtithe leasmhara a fhorbairt a mbeidh sé de chúram air na caighdeáin agus na teicnící imlonnaithe is fearr atá ar fáil a shainaithint. Ba cheart an treoraíocht il-pháirtithe leasmhara sin a bheith gan dochar d’oibleagáid na n-eintiteas ábhartha ceanglais theicniúla agus mhodheolaíochta na mbeart bainistíochta riosca cibearshlándála a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo a chur chun feidhme.

(9)

De bhun Airteagal 21(2), pointe (a), de Threoir (AE) 2022/2555, ba cheart beartais maidir le slándáil córas faisnéise, cé is moite de bheartais maidir le hanailís riosca, a bheith ag eintitis fhíor-riachtanacha agus thábhachtacha. Chun na críche sin, ba cheart do na heintitis ábhartha beartas maidir le slándáil córas gréasán agus faisnéise a bhunú, chomh maith le beartais a bhaineann go sonrach le topaic ar leith, amhail beartais rialaithe rochtana ba cheart a bheith comhleanúnach leis an mbeartas maidir le slándáil córas gréasán agus faisnéise. Ba cheart an beartas maidir le slándáil córas gréasán agus faisnéise a bheith ar an doiciméad ar an leibhéal is airde ina leagtar amach cur chuige foriomlán na n-eintiteas ábhartha maidir lena slándáil córas gréasán agus faisnéise, agus ba cheart do chomhlachtaí bainistíochta na n-eintiteas ábhartha é a fhormheas. Ba cheart na beartais a bhaineann go sonrach le topaic ar leith a bheith formheasta ag leibhéal iomchuí bainistíochta. Ba cheart táscairí agus bearta a leagan síos sa bheartas chun faireachán a dhéanamh ar a chur chun feidhme agus ar stádas leibhéal aibíochta na n-eintiteas ábhartha atá ann faoi láthair maidir le slándáil gréasáin agus faisnéise, go háirithe chun formhaoirseacht chur chun feidhme na mbeart bainistíochta riosca cibearshlándála trí na comhlachtaí bainistíochta a éascú.

(10)

Chun críocha na gceanglas teicniúil agus modheolaíochta a leagtar síos san Iarscríbhinn a ghabhann leis an Rialachán seo, ba cheart a chuimsiú leis an téarma ‘úsáideoir’ na daoine dlítheanacha agus nádúrtha a bhfuil rochtain acu ar chórais gréasán agus faisnéise an eintitis.

(11)

Chun na rioscaí atá ann do shlándáil córas gréasán agus faisnéise a shainaithint agus chun aghaidh a thabhairt orthu, ba cheart do na heintitis ábhartha creat bainistíochta riosca iomchuí a bhunú agus a choinneáil ar bun. Mar chuid den chreat bainistíochta riosca, ba cheart do na heintitis ábhartha plean láimhseála riosca a bhunú, a chur chun feidhme agus faireachán a dhéanamh air. Féadfaidh na heintitis ábhartha an plean láimhseála riosca a úsáid chun roghanna agus bearta láimhseála riosca a shainaithint agus a chur in ord tosaíochta. Cuimsítear sna roghanna chun rioscaí a láimhseáil, go háirithe, an riosca a sheachaint, a laghdú nó, i gcásanna eisceachtúla, glacadh leis. Agus na roghanna láimhseála riosca á roghnú, ba cheart torthaí an mheasúnaithe riosca arna dhéanamh ag an eintiteas ábhartha a chur san áireamh, agus ba cheart iad a bheith i gcomhréir le beartas an eintitis ábhartha maidir le slándáil córas gréasán agus faisnéise. Chun éifeacht a thabhairt do na roghanna roghnaithe láimhseála riosca, ba cheart do na heintitis ábhartha na bearta iomchuí láimhseála riosca a dhéanamh.

(12)

Chun imeachtaí, neasteagmhais agus teagmhais a bhrath, ba cheart do na heintitis ábhartha faireachán a dhéanamh ar a gcórais gréasán agus faisnéise agus ba cheart dóibh bearta a dhéanamh chun meastóireacht a dhéanamh ar imeachtaí, neasteagmhais agus teagmhais. Leis na bearta sin, ba cheart a bheith in ann ionsaithe gréasánbhunaithe a bhrath go tráthúil bunaithe ar phatrúin tráchta aimhrialta amach nó isteach agus ar ionsaithe diúltaithe seirbhíse.

(13)

Nuair a dhéanann na heintitis ábhartha anailís tionchair gnó, moltar dóibh anailís chuimsitheach a dhéanamh lena mbunófar, de réir mar is iomchuí, iamh-aga uasta infhulaingthe, cuspóirí aga athshlánaithe, cuspóirí pointe athshlánaithe agus cuspóirí seachadta seirbhíse.

(14)

Chun rioscaí a eascraíonn ó shlabhra soláthair eintitis ábhartha agus óna chaidreamh lena sholáthróirí a mhaolú, ba cheart do na heintitis ábhartha beartas maidir le slándáil an tslabhra soláthair a bhunú lena rialófar a gcaidreamh lena soláthróirí díreacha agus lena soláthraithe seirbhíse díreacha. Ba cheart do na heintitis sin clásail slándála leordhóthanacha a shonrú sna conarthaí lena soláthróirí díreacha nó lena soláthraithe seirbhíse, mar shampla trí cheangal a chur, i gcás inarb iomchuí, ar bhearta bainistíochta riosca cibearshlándála de réir Airteagal 21(2) de Threoir (AE) 2022/2555 nó ceanglais dhlíthiúla chomhchosúla eile.

(15)

Ba cheart do na heintitis ábhartha tástálacha slándála a dhéanamh go tráthrialta bunaithe ar bheartas agus nósanna imeachta tiomnaithe chun a fhíorú an bhfuil na bearta bainistíochta riosca cibearshlándála á gcur chun feidhme agus ag feidhmiú i gceart. Féadfar tástálacha slándála a dhéanamh ar chórais shonracha gréasán agus faisnéise nó ar an eintiteas ábhartha ina iomláine agus féadfar tástálacha uathoibrithe nó de láimh, tástálacha treáite, scanadh leochaileachta, tástálacha slándála ar fheidhmchláir statacha agus dhinimiciúla, tástálacha cumraíochta nó iniúchtaí slándála a bheith iontu. Féadfaidh na heintitis ábhartha tástálacha slándála a dhéanamh ar a gcórais gréasán agus faisnéise tráth a chuirfear ar bun iad, tar éis uasghráduithe nó modhnuithe a mheasfaidh siad a bheith suntasach ar an mbonneagar nó ar an bhfeidhmchlár, nó tar éis a gcothabhála. Ba cheart torthaí na dtástálacha slándála a bheith ina mbonn eolais do bheartais agus nósanna imeachta na n-eintiteas ábhartha chun measúnú a dhéanamh ar éifeachtacht na mbeart bainistíochta riosca cibearshlándála, chomh maith le hathbhreithnithe neamhspleácha ar a mbeartais maidir le slándáil gréasán agus faisnéise.

(16)

Chun suaitheadh agus díobháil suntasach de dheasca shaothrú na leochaileachtaí neamhphaisteáilte i gcórais gréasán agus faisnéise a sheachaint, ba cheart do na heintitis ábhartha nósanna imeachta iomchuí um bainistiú paistí slándála a leagan amach agus a chur i bhfeidhm, ar nósanna imeachta iad atá ailínithe le bainistiú athruithe, bainistiú leochaileachta, bainistiú riosca agus nósanna imeachta ábhartha eile na n-eintiteas ábhartha. Ba cheart d’eintitis ábhartha bearta a dhéanamh atá comhréireach lena n-acmhainní chun a áirithiú nach dtabharfaidh paistí slándála leochaileachtaí ná neamhchobhsaíochtaí breise isteach. I gcás neamh-inrochtaineacht phleanáilte ar an tseirbhís de bharr cur i bhfeidhm paistí slándála, moltar do na heintitis ábhartha custaiméirí a chur ar an eolas go cuí roimh ré.

(17)

Ba cheart do na heintitis ábhartha na rioscaí a eascraíonn as táirgí TFC nó seirbhísí TFC a fháil ó sholáthróirí nó ó sholáthraithe seirbhíse a bhainistiú agus ba cheart dóibh dearbhú a fháil go mbaineann na táirgí TFC nó na seirbhísí TFC atá le fáil leibhéil áirithe cosanta cibearshlándála amach, mar shampla trí dheimhnithe Eorpacha cibearshlándála agus trí ráitis chomhréireachta ón Aontas le haghaidh táirgí TFC nó seirbhísí TFC arna n-eisiúint faoi scéim Eorpach um dheimhniú cibearshlándála arna glacadh de bhun Airteagal 49 de Rialachán (AE) 2019/881 ó Pharlaimint na hEorpa agus ón gComhairle (2). I gcás ina leagfaidh na heintitis ábhartha ceanglais slándála amach a mbeidh feidhm acu maidir leis na táirgí TFC atá le fáil, ba cheart dóibh a chur san áireamh na ceanglais chibearshlándála fhíor-riachtanacha a leagtar amach i rialachán ó Pharlaimint na hEorpa agus ón gComhairle maidir le ceanglais chothrománacha chibearshlándála le haghaidh táirgí ag a bhfuil eilimintí digiteacha.

(18)

Chun cosaint a thabhairt ar chibearbhagairtí agus chun tacú le sáruithe ar shonraí a chosc agus a shrianadh, ba cheart do na heintitis ábhartha réitigh slándála gréasán a chur chun feidhme. Cuimsítear sna réitigh thipiciúla do shlándáil gréasán úsáid ballaí dóiteáin chun gréasáin inmheánacha na n-eintiteas ábhartha a chosaint, naisc agus rochtain ar sheirbhísí a theorannú i gcás ina bhfuil géarghá le naisc agus rochtain, agus gréasáin phríobháideacha fhíorúla a úsáid le haghaidh cianrochtana, agus gan naisc soláthraithe seirbhíse a cheadú ach amháin tar éis iarraidh ar údarú a fháil agus ar feadh tréimhse shocraithe ama amhail fad oibríochta cothabhála.

(19)

Chun gréasáin na n-eintiteas ábhartha agus a gcórais faisnéise a chosaint ar bhogearraí mailíseacha agus neamhúdaraithe, ba cheart do na heintitis sin rialuithe a chur chun feidhme lena gcoisctear nó lena mbraitear úsáid bogearraí neamhúdaraithe agus ba cheart dóibh, i gcás inarb iomchuí, bogearraí braite agus freagartha a úsáid. Ba cheart do na heintitis ábhartha cuimhneamh freisin ar bhearta cur chun feidhme chun raonta inionsaithe a íoslaghdú, leochaileachtaí ar féidir le hionsaitheoirí teacht i dtír orthu a laghdú, feidhmiú feidhmchlár ar chríochphointí a rialú, agus scagairí feidhmchláir ríomhphoist agus gréasáin a imlonnú chun neamhchosaint ar ábhar mailíseach a laghdú.

(20)

De bhun Airteagal 21(2), pointe (g), de Threoir (AE) 2022/2555, tá na Ballstáit le háirithiú go gcuirfidh eintitis fhíor-riachtanacha agus thábhachtacha cleachtais bhunúsacha chibearshláinteachais agus oiliúint chibearshlándála i bhfeidhm. D’fhéadfaí a chuimsiú sna cleachtais bhunúsacha chibearshláinteachais, prionsabail iontaoibhe nialasaí, nuashonruithe bogearraí, cumrú feistí, deighilt gréasáin, bainistiú céannachta agus rochtana nó feasacht úsáideoirí, oiliúint a eagrú dá bhfoireann agus feasacht a mhúscailt maidir le cibearbhagairtí, fioscaireacht nó teicnící innealtóireachta sóisialta. Tá cleachtais chibearshláinteachais ina gcuid de cheanglais theicniúla agus mhodheolaíocha éagsúla na mbeart bainistíochta riosca cibearshlándála a leagtar amach san Iarscríbhinn a ghabhann leis an Rialachán seo. Maidir le cleachtais bhunúsacha chibearshláinteachais d’úsáideoirí, ba cheart do na heintitis ábhartha cuimhneamh ar chleachtais amhail beartas deasc agus scáileán glan, úsáid fíordheimhniú ilfhachtóra agus modhanna fíordheimhnithe eile, úsáid shábháilte ríomhphoist agus brabhsála gréasáin, cosaint ar fhioscaireacht agus ar innealtóireacht shóisialta, cleachtais shlána chianoibre.

(21)

Chun rochtain neamhúdaraithe ar shócmhainní na n-eintiteas ábhartha a chosc, ba cheart do na heintitis ábhartha beartas a bhaineann go sonrach le topaic ar leith a bhunú agus a chur chun feidhme lena dtabharfar aghaidh ar rochtain a bhíonn ag daoine agus córais gréasán agus faisnéise, amhail feidhmchláir.

(22)

Chun nach bhféadfaidh fostaithe mí-úsáid a bhaint, mar shampla, as cearta rochtana laistigh den eintiteas ábhartha chun díobháil agus damáiste a dhéanamh, ba cheart d’eintitis ábhartha bearta leordhóthanacha bainistíochta slándála fostaithe a mheas agus feasacht a mhúscailt i measc pearsanra faoi na rioscaí sin. Ba cheart do na heintitis ábhartha próiseas araíonachta a bhunú, a chur in iúl agus a choinneáil ar bun chun sáruithe ar bheartais slándála córas gréasán agus faisnéise na n-eintiteas ábhartha a láimhseáil, ar sáruithe iad a d’fhéadfaí a leabú i bpróisis araíonachta eile arna mbunú ag na heintitis ábhartha. An fíorú ar chúlra na bhfostaithe agus, i gcás inarb infheidhme, ar chúlra sholáthróirí díreacha agus sholáthraithe seirbhíse díreacha na n-eintiteas ábhartha, ba cheart dóibh rannchuidiú le sprioc na slándála acmhainní daonna sna heintitis ábhartha, agus féadfar a chuimsiú iontu bearta amhail seiceálacha ar thaifead coiriúil an duine nó dualgais ghairmiúla roimhe seo, de réir mar is iomchuí i leith dhualgais an duine san eintiteas ábhartha agus i gcomhréir le beartas an eintitis ábhartha maidir le slándáil córas gréasán agus faisnéise.

(23)

Is féidir le fíordheimhniú ilfhachtóra cibearshlándáil na n-eintiteas a fheabhsú agus ba cheart do na heintitis é a chur san áireamh go háirithe i gcás ina mbeidh rochtain ag úsáideoirí ar chórais gréasán agus faisnéise ó shuíomhanna iargúlta, nó i gcás ina mbeidh rochtain acu ar fhaisnéis íogair nó ar chuntais phribhléideacha agus ar chuntais riaracháin córas. Is féidir fíordheimhniú ilfhachtóra a chomhcheangal le teicnící eile chun tosca breise a éileamh faoi imthosca sonracha, bunaithe ar rialacha agus ar phatrúin réamhshainithe, amhail rochtain ó shuíomh neamhghnách, ó ghléas neamhghnách nó ag am neamhghnách.

(24)

Ba cheart do na heintitis ábhartha na sócmhainní a bhfuil luach ag baint leo a bhainistiú agus a chosaint trí bhainistiú fónta sócmhainní ba cheart a bheith ina mbonn freisin don anailís riosca agus do bhainistiú leanúnachais gnó. Ba cheart do na heintitis ábhartha sócmhainní inláimhsithe agus doláimhsithe araon a bhainistiú agus fardal sócmhainní a chruthú, na sócmhainní a cheangal le leibhéal aicmiúcháin sainithe, na sócmhainní a láimhseáil agus a rianú, agus bearta a dhéanamh chun na sócmhainní a chosaint ar feadh a saolré.

(25)

Ba cheart a bheith i gceist le bainistiú sócmhainní sócmhainní a aicmiú de réir a gcineáil, a n-íogaireachta, a leibhéil riosca agus a gceanglas slándála, agus bearta agus rialuithe iomchuí a chur i bhfeidhm chun a n-infhaighteacht, a sláine, a mbarántúlacht agus a rúndacht a áirithiú. Trí shócmhainní a aicmiú de réir leibhéil riosca, ba cheart do na heintitis ábhartha a bheith in ann bearta agus rialuithe slándála iomchuí a chur i bhfeidhm chun sócmhainní a chosaint amhail criptiú, rialú rochtana lena n-áirítear rialú imlíne agus rochtana fisiciúla agus loighciúla, cúltacaí, logáil agus faireachán, coinneáil agus diúscairt. Agus anailís tionchair gnó á déanamh ag na heintitis ábhartha, féadfaidh siad an leibhéal aicmiúcháin a chinneadh bunaithe ar na hiarmhairtí a bheadh ann do na heintitis de bharr suaitheadh sócmhainní. Ba cheart d’fhostaithe uile na n-eintiteas a láimhseálann sócmhainní a bheith eolach ar na beartais agus na treoracha maidir le láimhseáil sócmhainní.

(26)

Ba cheart gráinneacht an fhardail sócmhainní a bheith iomchuí do riachtanais na n-eintiteas ábhartha. D’fhéadfaí a chuimsiú i bhfardal cuimsitheach sócmhainní, i gcás gach sócmhainne, aitheantóir uathúil ar a laghad, úinéir na sócmhainne, tuairisc ar an tsócmhainn, suíomh na sócmhainne, cineál na sócmhainne, cineál agus aicmiú na faisnéise a phróiseáiltear sa tsócmhainn, dáta an nuashonraithe dheireanaigh nó an phaiste dheireanaigh den tsócmhainn, aicmiú na sócmhainne faoin measúnú riosca, agus deireadh shaolré na sócmhainne. Agus úinéir sócmhainne á shainaithint, ba cheart do na heintitis ábhartha an duine atá freagrach as an tsócmhainn sin a chosaint a shainaithint freisin.

(27)

Le leithdháileadh agus eagrú na ról, na bhfreagrachtaí agus na n-údarás cibearshlándála, ba cheart struchtúr comhsheasmhach a bhunú le haghaidh rialachas agus chur chun feidhme na cibearshlándála laistigh de na heintitis ábhartha, agus ba cheart cumarsáid éifeachtach a áirithiú i gcás teagmhas. Agus freagrachtaí maidir le róil áirithe á sainiú agus á sannadh ag na heintitis ábhartha, ba cheart dóibh róil amhail príomhoifigeach slándála faisnéise, oifigeach slándála faisnéise, oifigeach láimhseála teagmhas, iniúchóir, nó a gcoibhéisí inchomparáide a mheas. Féadfaidh eintitis ábhartha róil agus freagrachtaí a shannadh do pháirtithe seachtracha, amhail soláthraithe seirbhíse TFC tríú páirtí.

(28)

I gcomhréir le hAirteagal 21(2) de Threoir 2022/2555, tá na bearta bainistíochta riosca cibearshlándála le bheith bunaithe ar chur chuige uile-ghuaise arb é is aidhm dó córais gréasán agus faisnéise agus timpeallacht fhisiciúil na gcóras sin a chosaint ar theagmhais amhail gadaíocht, dóiteán, tuilte, teipeanna teileachumarsáide nó cumhachta, nó ar rochtain fhisiciúil neamhúdaraithe ar shaoráidí faisnéise agus próiseála faisnéise de chuid eintitis fhíor-riachtanaigh nó thábhachtaigh, nó ar aon damáiste do na saoráidí sin nó ar aon chur isteach orthu, a d’fhéadfadh infhaighteacht, barántúlacht, sláine nó rúndacht sonraí stóráilte, tarchurtha nó próiseáilte nó na seirbhísí a thairgeann córais gréasán agus faisnéise nó atá inrochtana tríothu a chur i mbaol; Dá bhrí sin, le ceanglais theicniúla agus mhodheolaíocha na mbeart bainistíochta riosca cibearshlándála, ba cheart aghaidh a thabhairt freisin ar shlándáil fhisiciúil agus comhshaoil córas gréasán agus faisnéise trí bhearta a chuimsiú chun na córais sin a chosaint ar theipeanna córais, ar earráid dhaonna, ar ghníomhartha mailíseacha nó ar fheiniméin nádúrtha. D’fhéadfaí a chuimsiú sna samplaí eile de bhagairtí fisiciúla agus comhshaoil creathanna talún, pléascanna, sabaitéireacht, bagairt chos istigh, corraíl shibhialta, dramhaíl thocsaineach, agus astaíochtaí comhshaoil. Cosc a chur ar chaillteanas, ar dhamáiste nó ar chur i mbaol córas gréasán agus faisnéise nó ar bhriseadh ina n-oibríochtaí i ngeall ar theip agus ar shuaitheadh fóntas tacaíochta, ba cheart go rannchuideodh sé sin le baint amach sprioc an leanúnachais gnó sna heintitis ábhartha. Thairis sin, leis an gcosaint ar bhagairtí fisiciúla agus comhshaoil, ba cheart rannchuidiú le slándáil córas gréasán agus faisnéise a choinneáil ar bun sna heintitis ábhartha.

(29)

Ba cheart d’eintitis ábhartha bearta cosanta in aghaidh bagairtí fisiceacha agus comhshaoil a dhearadh agus a chur chun feidhme agus nuair a chinneann siad tairseacha rialaithe íosta agus uasta le haghaidh bagairtí fisiceacha agus comhshaoil, agus nuair a dhéanann siad faireachán ar pharaiméadair chomhshaoil. Mar shampla, ba cheart dóibh cuimhneamh ar chórais a shuiteáil chun tuilte limistéar ina bhfuil córais gréasán agus faisnéise lonnaithe a bhrath go luath. Maidir le guais dóiteáin, ba cheart do na heintitis ábhartha cuimhneamh ar urrann dóiteáin a bhunú don lárionad sonraí, ar ábhair dhófhriotaíocha a úsáid, ar bhraiteoirí chun faireachán a dhéanamh ar theocht agus ar bhogthaise, ar an bhfoirgneamh a nascadh le córas aláraim dóiteáin lena dtugtar fógra uathoibrithe don tseirbhís dóiteáin áitiúil, agus ar chórais luathbhraite dóiteáin agus múchta dóiteáin. Ba cheart do na heintitis ábhartha druileanna dóiteáin agus cigireachtaí sábháilteachta dóiteáin rialta a dhéanamh freisin. Thairis sin, chun soláthar cumhachta a áirithiú, ba cheart do na heintitis ábhartha cosaint róvoltais agus soláthar cumhachta éigeandála comhfhreagrach a mheas, i gcomhréir leis na caighdeáin ábhartha. Thairis sin, ós rud é go mbaineann riosca leis an róthéamh maidir le hinfhaighteacht córas gréasán agus faisnéise, eintitis ábhartha, go háirithe soláthraithe seirbhísí lárionaid sonraí, d’fhéadfadh siad córais aerchóiriúcháin leordhóthanacha, leanúnacha agus sealaíochta péire a chur san áireamh.

(30)

Leis an Rialachán seo, sonrófar a thuilleadh na cásanna inar cheart a mheas go bhfuil teagmhas suntasach chun críoch Airteagal 23(3) de Threoir (AE) 2022/2555. Ba cheart na critéir a bheith de chineál a d’fhágfadh go mbeadh eintitis ábhartha in ann a mheas an teagmhas suntasach atá ann, chun fógra a thabhairt faoin teagmhas i gcomhréir le Treoir (AE) 2022/2555. Thairis sin, ba cheart na critéir a leagtar amach sa Rialachán seo a mheas mar chritéir uileghabhálacha, gan dochar d’Airteagal 5 de Threoir (AE) 2022/2555. Sonraítear sa rialachán seo na cásanna inar cheart teagmhas a mheas a bheith suntasach trí chásanna cothrománacha chomh maith le cásanna sonracha de chineál aonáin a leagan amach.

(31)

De bhun Airteagal 23(4) de Threoir (AE) 2022/2555, ba cheart a cheangal ar eintitis ábhartha fógra a thabhairt faoi theagmhais shuntasacha laistigh de na sprioc-amanna a leagtar síos leis an bhforáil sin. Beidh feidhm ag na sprioc-amanna sin chun fógra a thabhairt ón uair a thiocfaidh an t-eintiteas ar an eolas faoi theagmhais shuntasacha den sórt sin. Ceanglaítear ar an eintiteas ábhartha, dá bhrí sin, teagmhais a thuairisciú a d’fhéadfadh, bunaithe ar a mheasúnú tosaigh, a bheith ina gcúis le mórshuaitheadh oibríochtúil ar na seirbhísí nó le caillteanas airgeadais don eintiteas sin nó a d’fhéadfadh difear a dhéanamh do dhaoine nádúrtha nó dlítheanacha eile trí dhamáiste suntasach ábhartha nó neamhábhartha a dhéanamh. Dá bhrí sin, nuair a bhraitheann eintiteas ábhartha teagmhas amhrasach, nó tar éis do thríú páirtí, amhail duine aonair, custaiméir, eintiteas, údarás, eagraíocht meán, nó foinse eile, teagmhas féideartha a thabhairt ar aird dó, ba cheart don eintiteas ábhartha measúnú a dhéanamh go tráthúil ar an imeacht amhrasach chun a chinneadh an teagmhas atá ann agus, más amhlaidh gurb ea, chun cineál agus déine an teagmhais a chinneadh. Dá bhrí sin, measfar go bhfuil an t-eintiteas ábhartha ‘ar an eolas’ faoin teagmhas suntasach i gcás ina bhfuil leibhéal réasúnta cinnteachta ag an eintiteas sin, tar éis an mheasúnaithe tosaigh sin, gur tharla teagmhas suntasach.

(32)

D’fhonn a shuí an teagmhas suntasach atá ann, i gcás inarb ábhartha, ba cheart d’eintitis ábhartha an líon úsáideoirí a mbíonn tionchar ag an teagmhas orthu a chomhaireamh, agus custaiméirí gnó agus custaiméirí deiridh a bhfuil caidreamh conarthach ag na heintitis ábhartha leo á gcur san áireamh, chomh maith le daoine nádúrtha agus dlítheanacha a bhfuil baint acu le custaiméirí gnó. I gcás nach féidir le heintiteas ábhartha an líon úsáideoirí a ndéantar dóibh difear a ríomh, ba cheart meastachán an eintitis ábhartha ar an líon uasta féideartha úsáideoirí a ndéantar difear dóibh a mheas chun an líon iomlán úsáideoirí a ndéantar difear dóibh a ríomh. Ba cheart tábhacht an teagmhais lena mbaineann seirbhís iontaoibhe a chinneadh ní hamháin de réir an lín úsáideoirí ach de réir an lín úsáideoirí deimhnithe freisin, ós rud é go bhféadfadh teagmhas suntasach lena mbaineann seirbhís iontaoibhe difear a dhéanamh dóibh ar an gcaoi chéanna maidir le suaitheadh oibríochtúil agus damáiste ábhartha nó neamhábhartha. Dá bhrí sin, ba cheart do sholáthraithe seirbhísí iontaoibhe, i gcás inarb infheidhme, an líon úsáideoirí deimhnithe a chur san áireamh freisin agus é á shuí acu an teagmhas suntasach atá ann. Chun na críche sin, ba cheart a thuiscint gur daoine nádúrtha nó dlítheanacha iad úsáideoirí deimhnithe a bhraitheann ar sheirbhís iontaoibhe.

(33)

Níor cheart oibríochtaí cothabhála a mbíonn infhaighteacht theoranta nó neamh-infhaighteacht theoranta na seirbhísí mar thoradh orthu a mheas mar theagmhais shuntasacha má tharlaíonn infhaighteacht theoranta nó neamh-infhaighteacht theoranta na seirbhíse de réir oibríocht chothabhála sceidealta. Thairis sin, i gcás nach bhfuil seirbhís ar fáil mar gheall ar bhristeacha sceidealta amhail bristeacha nó neamh-infhaighteacht bunaithe ar chomhaontú conarthach réamhchinntithe, níor cheart a mheas gur teagmhas suntasach í.

(34)

Ba cheart fad teagmhais a mbíonn tionchar aige ar infhaighteacht seirbhíse a thomhas ón uair a chuirtear isteach ar sholáthar cuí na seirbhíse sin go dtí tráth an athshlánaithe. I gcás nach féidir le heintiteas ábhartha a chinneadh cén uair a thosaigh an suaitheadh, ba cheart fad an teagmhais a thomhas ón tráth a braitheadh an teagmhas, nó ón tráth a taifeadadh an teagmhas i logaí gréasán nó córas nó i bhfoinsí sonraí eile, cibé acu is túisce.

(35)

Ba cheart neamh-infhaighteacht iomlán seirbhíse a thomhas ón tráth nach bhfuil an tseirbhís ina hiomláine ar fáil d’úsáideoirí, go dtí tráth a dhéantar gníomhaíochtaí nó oibríochtaí rialta a athbhunú go dtí an leibhéal seirbhíse a soláthraíodh roimh an teagmhas. I gcás nach féidir le heintiteas ábhartha a chinneadh cén uair a thosaigh an neamh-infhaighteacht iomlán seirbhíse, ba cheart an neamh-infhaighteacht a thomhas ón tráth a bhraith an t-eintiteas sin í.

(36)

Chun na caillteanais airgeadais a eascraíonn as teagmhas a chinneadh, ba cheart d’eintitis ábhartha na caillteanais dhíreacha airgeadais uile a thabhaigh siad de thoradh an teagmhais a chur san áireamh, amhail costais a bhaineann le bogearraí, crua-earraí nó bonneagar a athsholáthar nó a athlonnú, costais foirne, lena n-áirítear costais a bhaineann le hathsholáthar nó athlonnú foirne, foireann bhreise a earcú, luach saothair ragoibre agus scileanna caillte nó lagaithe a athshlánú, táillí mar gheall ar neamhchomhlíonadh oibleagáidí conarthacha, costais a bhaineann le sásamh agus cúiteamh do chustaiméirí, caillteanais mar gheall ar ioncam ligthe thar ceal, costais a bhaineann le cumarsáid inmheánach agus sheachtrach, costais chomhairleacha, lena n-áirítear costais a bhaineann le comhairleoireacht dhlíthiúil, seirbhísí fóiréinseacha agus seirbhísí réitigh, agus costais eile a bhaineann leis an teagmhas. Mar sin féin, níor cheart a mheas gur caillteanais airgeadais de thoradh teagmhais iad na fíneálacha riaracháin, mar aon leis na costais is gá chun an gnólacht a oibriú ó lá go lá, lena n-áirítear costais chun bonneagar, trealamh, crua-earraí agus bogearraí a chothabháil go ginearálta, scileanna na foirne a choinneáil cothrom le dáta, costais inmheánacha nó sheachtracha chun an gnó a fheabhsú tar éis an teagmhais, lena n-áirítear uasghráduithe, feabhsuithe agus tionscnaimh measúnaithe riosca, agus préimheanna árachais. Ba cheart do na heintitis ábhartha méideanna na gcaillteanas airgeadais a ríomh bunaithe ar na sonraí atá ar fáil agus, i gcás nach féidir méideanna iarbhír na gcaillteanas airgeadais a chinneadh, ba cheart do na heintitis meastachán a dhéanamh ar na méideanna sin.

(37)

Ba cheart oibleagáid a bheith ar eintitis ábhartha freisin teagmhais a thuairisciú a bhí ina gcúis le bás daoine nádúrtha nó a d’fhéadfadh a bheith ina gcúis le bás daoine nádúrtha nó le damáiste suntasach do shláinte daoine nádúrtha, ós rud é gur cásanna fíorthromchúiseacha iad na teagmhais sin ina ndéantar damáiste suntasach ábhartha nó neamhábhartha. Mar shampla, d’fhéadfadh teagmhas a dhéanann difear d’eintiteas ábhartha a bheith ina chúis le neamh-infhaighteacht cúraim sláinte nó seirbhísí éigeandála, nó le cailliúint rúndachta nó sláine sonraí a mbeadh tionchar aige ar shláinte daoine nádúrtha. Chun a chinneadh an raibh teagmhas ina chúis le damáiste suntasach do shláinte duine nádúrtha nó an bhféadfadh sé a bheith ina chúis le damáiste suntasach do shláinte duine nádúrtha, ba cheart d’eintitis ábhartha a chur san áireamh an raibh an teagmhas ina chúis le gortuithe tromchúiseacha agus drochshláinte nó an bhféadfadh an teagmhas a bheith ina chúis le gortuithe tromchúiseacha agus drochshláinte. Chun na críche sin, níor cheart a cheangal ar na heintitis ábhartha faisnéis bhreise a bhailiú nach bhfuil rochtain acu uirthi.

(38)

Ba cheart a mheas go bhfuil infhaighteacht theoranta ann go háirithe i gcás ina bhfuil seirbhís a sholáthraíonn eintiteas ábhartha i bhfad níos moille ná an meán-aga freagartha, nó i gcás nach bhfuil na feidhmiúlachtaí uile seirbhíse ar fáil. I gcás inar féidir, ba cheart critéir oibiachtúla atá bunaithe ar mheán-agaí freagartha na seirbhísí a sholáthraíonn na heintitis ábhartha a úsáid chun measúnú a dhéanamh ar mhoilleanna san aga freagartha. D’fhéadfadh feidhmiúlacht comhrá nó feidhmiúlacht cuardaigh íomhá, mar shampla, a bheith i bhfeidhmiúlacht seirbhíse.

(39)

Ba cheart rochtain rathúil, a mheastar a bheith mailíseach agus neamhúdaraithe ar chórais gréasán agus faisnéise eintitis ábhartha a mheas mar theagmhas suntasach, i gcás ina bhféadfadh an rochtain sin a bheith ina cúis le mórshuaitheadh oibríochtúil. Mar shampla, i gcás ina ndéanann gníomhaí cibearbhagairtí é féin a réamhshuíomh i gcórais gréasán agus faisnéise eintitis ábhartha d’fhonn cur isteach ar sheirbhísí amach anseo, ba cheart an teagmhas a mheas a bheith suntasach.

(40)

Maidir le teagmhais athfhillteacha atá nasctha leis an mbunchúis dhealraitheach chéanna, nach gcomhlíonann na critéir maidir le teagmhas suntasach ina n-aonar, ba cheart iad a mheas i dteannta a chéile mar theagmhas suntasach, ar choinníoll go gcomhlíonann siad i dteannta a chéile an critéar maidir le caillteanas airgeadais, agus gur tharla siad faoi dhó ar a laghad laistigh de 6 mhí. Is féidir le teagmhais athfhillteacha den sórt sin easnaimh agus laigí suntasacha i nósanna imeachta um bainistiú riosca cibearshlándála an eintitis ábhartha agus a leibhéal aibíochta cibearshlándála a léiriú. Thairis sin, d’fhéadfadh teagmhais athfhillteacha den sórt sin a bheith ina gcúis le caillteanas suntasach airgeadais don eintiteas ábhartha.

(41)

Rinne an Coimisiún comhairle a mhalartú agus chuaigh sé i gcomhar leis an nGrúpa Comhair agus le Gníomhaireacht an Aontais Eorpaigh um Chibearshlándáil maidir leis an dréachtghníomh cur chun feidhme i gcomhréir le hAirteagal 21(5), pointe (e).

(42)

Chuathas i gcomhairle leis an Maoirseoir Eorpach ar Chosaint Sonraí i gcomhréir le hAirteagal 42(1) de Rialachán (AE) 2018/1725 ó Pharlaimint na hEorpa agus ón gComhairle (3) agus thug an Maoirseoir tuairim an 01 Meán Fómhair 2024.

(43)

Tá na bearta dá bhforáiltear sa Rialachán seo i gcomhréir le tuairim an Choiste a bunaíodh i gcomhréir le hAirteagal 39 de Threoir (AE) 2022/2555,