Článek 21 Evropský mechanismus přezkumu kybernetických bezpečnostních incidentů

Na žádost Komise nebo sítě EU-CyCLONe agentura ENISA s podporou sítě CSIRT a se souhlasem dotčených členských států přezkoumá a posoudí kybernetické hrozby, známé zneužitelné zranitelnosti a opatření ke zmírnění dopadů v souvislosti s konkrétním významným kybernetickým bezpečnostním incidentem nebo rozsáhlým kybernetickým bezpečnostním incidentem. Po dokončení přezkumu a posouzení incidentu předá agentura ENISA síti EU-CyCLONe, síti CSIRT, dotčeným členským státům a Komisi zprávu o přezkumu incidentu s cílem vyvodit poučení, a zabránit tak budoucím incidentům nebo je zmírnit, aby je podpořila při plnění jejich úkolů, zejména s ohledem na úkoly stanovené v článcích 15 a 16 směrnice (EU) 2022/2555. Má-li incident dopad na třetí zemi přidruženou k programu Digitální Evropa, poskytne agentura ENISA tuto zprávu Radě. V takových případech Komise poskytne dotčenou zprávu vysokému představiteli.

Při přípravě zprávy o přezkumu incidentu podle odstavce 1 tohoto článku spolupracuje agentura ENISA se všemi příslušnými zúčastněnými stranami, včetně zástupců členských států, Komise, dalších příslušných orgánů, institucí a jiných subjektů Unie, průmyslu, včetně poskytovatelů řízených bezpečnostních služeb a uživatelů služeb kybernetické bezpečnosti, a získává od nich zpětnou vazbu. Ve vhodných případech agentura ENISA ve spolupráci s týmy CSIRT a případně s příslušnými orgány určenými nebo zřízenými podle čl. 8 odst. 1 směrnice (EU) 2022/2555 spolupracuje také se subjekty zasaženými významnými kybernetickými bezpečnostními incidenty nebo rozsáhlými kybernetickými bezpečnostními incidenty. Konzultovaní zástupci oznámí jakýkoli případný střet zájmů.

Zpráva o přezkumu incidentu podle odstavce 1 tohoto článku zahrnuje přezkum a analýzu konkrétního významného kybernetického bezpečnostního incidentu nebo rozsáhlého kybernetického bezpečnostního incidentu, včetně hlavních příčin, známých zneužitelných zranitelností a vyvozených poučení. Agentura ENISA zajistí, aby byla zpráva v souladu s právem Unie nebo vnitrostátním právem týkajícím se ochrany citlivých či utajovaných informací. Pokud o to příslušné členské státy nebo jiní uživatelé uvedení v čl. 14 odst. 3, jež byli zasaženi incidentem, požádají, údaje a informace obsažené ve zprávě se anonymizují. Nesmí obsahovat žádné podrobnosti o aktivně zneužívaných zranitelnostech, které zůstávají neopravené.

Dle potřeby se ve zprávě o přezkumu incidentu uvedou doporučení ke zlepšení pozice Unie v oblasti kybernetické bezpečnosti a mohou v ní být uvedeny osvědčené postupy a poučení získané od příslušných zúčastněných stran.

Agentura ENISA může vydat veřejně přístupnou verzi zprávy o přezkumu incidentu. Tato verze zprávy obsahuje výhradně spolehlivé veřejné informace, nebo i další spolehlivé informace, pokud s tím souhlasily dotčené členské státy, a pokud jde o informace týkající se uživatele podle čl. 14 odst. 3 písm. b) nebo c), pokud s tím souhlasil tento uživatel.