Preamble: 1

(1)

For så vidt DNS-tjenesteudbydere, topdomænenavneadministratorer og udbydere af cloudcomputingtjenester, af datacentertjenester, af indholdsleveringsnetværk, af administrerede tjenester, af administrerede sikkerhedstjenester, af onlinemarkedspladser, af onlinesøgemaskiner og af platforme for sociale netværkstjenester og af tillidstjenester som omfattet af artikel 3 i direktiv (EU) 2022/2555 (de relevante enheder) har denne forordning til formål at fastsætte de tekniske og metodologiske krav til de foranstaltninger, der er omhandlet i artikel 21, stk. 2, i direktiv (EU) 2022/2555, og yderligere at præcisere de tilfælde, hvor en hændelse skal anses for at være væsentlig, jf. artikel 23, stk. 3, i direktiv (EU) 2022/2555.

(2)

For så vidt angår tillidstjenesteudbydere bør denne forordning under hensyntagen til den grænseoverskridende karakter af disse udbyderes aktiviteter og for at sikre en sammenhængende ramme yderligere præcisere de tilfælde, hvor en hændelse skal anses for at være væsentlig, og desuden fastsætte de tekniske og metodologiske krav til foranstaltningerne til styring af cybersikkerhedsrisici.

(3)

I overensstemmelse med artikel 21, stk. 5, tredje afsnit, i direktiv (EU) 2022/2555 er de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning, baseret på europæiske og internationale standarder, som f.eks. ISO/IEC 27001, ISO/IEC 27002 og ETSI EN 319401, og tekniske specifikationer, som f.eks. CEN/TS 18026:2024, der er relevante for sikkerheden i net- og informationssystemer.

(4)

Med hensyn til gennemførelsen og anvendelsen af de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning, bør der i forbindelse med overholdelsen af disse krav i overensstemmelse med proportionalitetsprincippet tages behørigt hensyn til de relevante enheders forskellige risikoeksponering, herunder hvorvidt den pågældende enhed er af kritisk betydning, de risici, som den er eksponeret for, enhedens størrelse og struktur samt sandsynligheden for hændelser og deres alvor, herunder deres samfundsmæssige og økonomiske indvirkning.

(5)

I overensstemmelse med proportionalitetsprincippet bør de relevante enheder, hvis de ikke kan gennemføre nogle af de tekniske og metodologiske krav til foranstaltningerne til styring af cybersikkerhedsrisici på grund af deres størrelse, kunne træffe andre, kompenserende foranstaltninger, der kan opfylde formålet med kravene. Når der f.eks. fastlægges roller, ansvarsområder og bemyndigelser for net- og informationssystemernes sikkerhed inden for en relevant enhed, kan mikroenheder finde det vanskeligt at adskille modstridende forpligtelser og modstridende ansvarsområder. Sådanne enheder bør kunne overveje kompenserende foranstaltninger såsom målrettet tilsyn fra enhedens ledelses side eller øget overvågning og logning.

(6)

Visse tekniske og metodologiske krav i bilaget til denne forordning bør anvendes af de relevante enheder, hvor det er relevant, hvis det er relevant, eller i det omfang, det er muligt. Hvis en relevant enhed finder, at det ikke er relevant eller muligt for den at anvende visse tekniske og metodologiske krav som fastsat i bilaget til denne forordning, bør den på en forståelig måde dokumentere sin begrundelse herfor. De nationale kompetente myndigheder kan, når de fører tilsyn, tage hensyn til den tid, der er nødvendig for, at de relevante enheder kan gennemføre de tekniske og metodologiske krav til foranstaltningerne til styring af cybersikkerhedsrisici.

(7)

ENISA eller de nationale kompetente myndigheder i henhold til direktiv (EU) 2022/2555 kan give vejledning for at støtte de relevante enheder i deres afdækning, analyse og vurdering af risici med henblik på at gennemføre de tekniske og metodologiske krav vedrørende etablering og opretholdelse af en passende risikostyringsramme. Denne vejledning kan navnlig omfatte nationale og sektorspecifikke risikovurderinger samt risikovurderinger, der er specifikke for en bestemt type enhed. Vejledningen kan også omfatte værktøjer eller skabeloner til udvikling af risikostyringsrammer på enhedsniveau for de relevante enheder. Rammer, vejledning eller andre mekanismer i medlemsstaternes nationale lovgivning kan også støtte de relevante enheder med hensyn til at påvise, at de overholder denne forordning Desuden kan ENISA eller de nationale kompetente myndigheder i henhold til direktiv (EU) 2022/2555 bistå de relevante enheder med at finde frem til og gennemføre passende løsninger for at behandle risici, der er afdækket i risikovurderingerne. Denne vejledning bør ikke berøre de relevante enheders forpligtelse til at afdække og dokumentere risici, der påvirker sikkerheden i net- og informationssystemer, eller de relevante enheders forpligtelse til at gennemføre de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning, i overensstemmelse med deres behov og ressourcer.

(8)

Netsikkerhedsforanstaltninger i forbindelse med i) overgangen til den seneste generation af kommunikationsprotokoller i netværkslaget, ii) udbredelsen af internationalt aftalte og interoperable moderne e-mailkommunikationsstandarder og iii) anvendelsen af bedste praksis for DNS-sikkerhed og for internetroutingsikkerhed og routingshygiejne medfører særlige udfordringer med hensyn til udpegelse af de bedste tilgængelige standarder og implementeringsteknikker. For at opnå et højt fælles cybersikkerhedsniveau på tværs af net så hurtigt som muligt bør Kommissionen med bistand fra Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) og i samarbejde med de kompetente myndigheder, erhvervslivet — herunder telekommunikationsbranchen — og andre interessenter støtte udviklingen af et multiinteressentforum med den opgave at udpege de bedste tilgængelige standarder og implementeringsteknikker. Denne multiinteressentvejledning bør ikke berøre de relevante enheders forpligtelse til at gennemføre de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning.

(9)

I henhold til artikel 21, stk. 2, litra a), i direktiv (EU) 2022/2555 skal væsentlige og vigtige enheder ud over politikker for risikoanalyse have politikker for informationssystemsikkerhed. Med henblik herpå bør de relevante enheder fastlægge en politik for sikkerheden i net- og informationssystemer samt emnespecifikke politikker, som f.eks. politikker for adgangskontrol, som bør være i overensstemmelse med politikken for sikkerheden i net- og informationssystemer. Politikken for sikkerheden i net- og informationssystemer bør være det dokument på højeste niveau, der fastlægger de relevante enheders overordnede tilgang til sikkerheden i net- og informationssystemer, og bør godkendes af de relevante enheders ledelsesorganer. De emnespecifikke politikker bør godkendes på et passende ledelsesniveau. I politikken bør der fastsættes indikatorer og foranstaltninger med henblik på overvågning af politikkens gennemførelse og den aktuelle status for de relevante enheders modenhedsniveau for net- og informationssikkerhed, navnlig for at lette tilsynet med gennemførelsen af foranstaltningerne til styring af cybersikkerhedsrisici gennem ledelsesorganerne.

(10)

Med henblik på de tekniske og metodologiske krav, der er fastsat i bilaget til denne forordning, bør begrebet »bruger« omfatte alle juridiske og fysiske personer, der har adgang til enhedens net- og informationssystemer.

(11)

Med henblik på at afdække og håndtere risici, der påvirker sikkerheden i net- og informationssystemer, bør de relevante enheder etablere og opretholde en passende risikostyringsramme. Som led i risikostyringsrammen bør de relevante enheder udarbejde, gennemføre og overvåge en risikobehandlingsplan. De relevante enheder kan benytte risikobehandlingsplanen til at afdække og prioritere forskellige valgmuligheder og foranstaltninger for at behandle risici. Valgmulighederne for risikobehandling omfatter navnlig at undgå, mindske eller i exceptionelle tilfælde acceptere en risiko. Valget af en bestemt risikobehandlingsløsning bør ske under hensyntagen til resultaterne af den risikovurdering, som den relevante enhed har foretaget, og i overensstemmelse med den relevante enheds politik for sikkerheden i net- og informationssystemer. For at gennemføre de valgte risikobehandlingsløsninger bør de relevante enheder træffe passende risikobehandlingsforanstaltninger.

(12)

For at opdage begivenheder, nærvedhændelser og hændelser bør de relevante enheder overvåge deres net- og informationssystemer og træffe foranstaltninger til at evaluere begivenheder, nærvedhændelser og hændelser. Disse foranstaltninger bør gøre det muligt rettidigt at opdage netbaserede angreb på grundlag af unormale indgående og udgående trafikmønstre og denial of service-angreb.

(13)

Når de relevante enheder foretager en forretningskonsekvensanalyse, opfordres de til at foretage en omfattende analyse, der fastlægger, i det omfang det er relevant, den maksimale acceptable nedetid, mål for genopretningstid, mål for genopretningspunkter og mål for tjenestelevering.

(14)

For at afbøde risici, der hidrører fra en relevant enheds forsyningskæde og dens forbindelser med leverandørerne, bør de relevante enheder fastlægge en politik for sikkerheden i forsyningskæden, der regulerer deres forbindelser med direkte leverandører og tjenesteudbydere. Disse enheder bør i kontrakterne med deres direkte leverandører eller tjenesteudbydere anføre passende sikkerhedsklausuler, f.eks. ved at kræve foranstaltninger til styring af cybersikkerhedsrisici i henhold til artikel 21, stk. 2, i direktiv (EU) 2022/2555 eller andre lignende retlige krav, hvor det er relevant.

(15)

De relevante enheder bør regelmæssigt udføre sikkerhedstest på grundlag af en særlig politik og særlige procedurer for at kontrollere, om foranstaltningerne til styring af cybersikkerhedsrisici er gennemført og fungerer korrekt. Der kan udføres sikkerhedstest af specifikke net- og informationssystemer eller af den relevante enhed som helhed, og testene kan omfatte automatiserede eller manuelle test, penetrationstest, sårbarhedsscanning, statiske og dynamiske applikationssikkerhedstest, konfigurationstest eller sikkerhedsaudits. De relevante enheder kan udføre sikkerhedstest af deres net- og informationssystemer ved etableringen, efter opgraderinger af infrastruktur eller applikationer eller ændringer, som de anser for væsentlige, eller efter vedligeholdelse. Resultaterne af sikkerhedstestene bør danne grundlag for de relevante enheders politik for og procedurer til at vurdere, hvor effektive foranstaltningerne til styring af cybersikkerhedsrisici er, samt for uafhængige gennemgange af enhedernes net- og informationssikkerhedspolitik.

(16)

For at undgå væsentlige forstyrrelser og skader forårsaget af udnyttelse af uafhjulpne sårbarheder i net- og informationssystemer bør de relevante enheder fastlægge og anvende passende procedurer for sikkerhedspatchstyring, som er i overensstemmelse med de relevante enheders ændringsstyring, sårbarhedsstyring, risikostyring og andre relevante procedurer. De relevante enheder bør træffe foranstaltninger, der står i et rimeligt forhold til deres ressourcer, for at sikre, at sikkerhedspatches ikke medfører yderligere sårbarheder eller ustabilitet. I tilfælde af planlagt utilgængelighed af en tjeneste som følge af anvendelse af sikkerhedspatches opfordres de relevante enheder til at informere kunderne behørigt på forhånd.

(17)

De relevante enheder bør styre de risici, der hidrører fra erhvervelse af IKT-produkter eller -tjenester fra leverandører eller tjenesteudbydere, og bør opnå sikkerhed for, at de IKT-produkter eller -tjenester, der skal erhverves, opfylder visse cybersikkerhedsbeskyttelsesniveauer, f.eks. ved hjælp af europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer for IKT-produkter og -tjenester, der er udstedt i henhold til en europæisk cybersikkerhedscertificeringsordning, der er vedtaget i henhold til artikel 49 i Europa-Parlamentets og Rådets forordning (EU) 2019/881 (2). Hvis de relevante enheder fastsætter sikkerhedskrav, der skal gælde for de IKT-produkter, der skal erhverves, bør de tage hensyn til de væsentlige cybersikkerhedskrav, der er fastsat i en EU-forordning om horisontale cybersikkerhedskrav til produkter med digitale elementer.

(18)

For at beskytte mod cybertrusler og støtte forebyggelse og inddæmning af brud på datasikkerheden bør de relevante enheder gennemføre netsikkerhedsløsninger. Typiske netsikkerhedsløsninger omfatter anvendelse af firewalls til at beskytte de relevante enheders interne net, begrænsning af tilslutninger og adgang til tjenester til tilfælde, hvor tilslutning og adgang er absolut nødvendigt, og anvendelse af virtuelle private net til fjernadgang og for kun at tillade, at tjenesteudbydere tilslutter sig efter at have anmodet herom og i en bestemt periode, f.eks. den tid, en vedligeholdelsesaktivitet varer.

(19)

De relevante enheder bør for at beskytte deres net og deres informationssystemer mod skadelig og uautoriseret software indføre kontroller, der forhindrer eller opdager brugen af uautoriseret software, og bør, i det omfang det er relevant, anvende detection and response-software. De relevante enheder bør også overveje at gennemføre foranstaltninger til at minimere angrebsfladen, mindske sårbarheder, der kan udnyttes af angribere, kontrollere eksekveringen af applikationer i endepunkter og indføre e-mail- og webapplikationsfiltre for at mindske eksponeringen for skadeligt indhold.

(20)

I henhold til artikel 21, stk. 2, litra g), i direktiv (EU) 2022/2555 skal medlemsstaterne sikre, at væsentlige og vigtige enheder anvender grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse. Grundlæggende cyberhygiejnepraksisser kan omfatte zero trust-principper, softwareopdateringer, enhedskonfiguration, netværkssegmentering, identitets- og adgangsstyring eller brugerbevidsthed, personalekurser og oplysning om cybertrusler, phishing og social engineering-teknikker. Cyberhygiejnepraksisser er en del af forskellige tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning. Med hensyn til grundlæggende cyberhygiejnepraksisser for brugere bør de relevante enheder overveje praksisser såsom en politik om et ryddet skrivebord og en ryddet skærm, anvendelse af multifaktor- og andre godkendelsesmetoder, sikker brug af e-mail og webbrowsing, beskyttelse mod phishing og social engineering og sikre fjernarbejdspraksisser.

(21)

De relevante enheder bør fastlægge og indføre en emnespecifik politik vedrørende adgang for personer og net- og informationssystemer, som f.eks. applikationer, for at forhindre uautoriseret adgang til deres aktiver.

(22)

For at undgå, at ansatte kan misbruge f.eks. deres adgangsrettigheder i en relevant enhed til at forårsage skade, bør de relevante enheder overveje passende foranstaltninger til personalesikkerhedsstyring og højne de ansattes bevidsthed om sådanne risici. De relevante enheder bør indføre, oplyse om og vedligeholde en disciplinærprocedure for at håndtere overtrædelser af deres sikkerhedspolitik for net- og informationssystemer, som kan indgå i andre disciplinærprocedurer, som de relevante enheder har indført. Baggrundskontrol af de relevante enheders ansatte og, hvor det er relevant, direkte leverandører og tjenesteudbydere, bør bidrage til målet om personalesikkerhed i de relevante enheder og kan omfatte foranstaltninger som f.eks. kontrol af en persons straffeattest eller tidligere arbejdsopgaver, alt efter hvad der er relevant for vedkommendes opgaver i den relevante enhed og i overensstemmelse med den relevante enheds politik for sikkerheden i net- og informationssystemer.

(23)

Multifaktorgodkendelse kan forbedre enhedernes cybersikkerhed og bør tages i betragtning af enhederne, navnlig når brugerne tilgår net- og informationssystemer fra fjerntliggende lokationer, eller når de tilgår følsomme oplysninger eller privilegerede konti og systemadministrationskonti. Multifaktorgodkendelse kan kombineres med andre teknikker for at kræve flere faktorer under særlige omstændigheder på grundlag af foruddefinerede regler og mønstre, som f.eks. adgang fra en usædvanlig lokation, fra en usædvanlig enhed eller på et usædvanligt tidspunkt.

(24)

De relevante enheder bør forvalte og beskytte de aktiver, der har værdi for dem, gennem en forsvarlig forvaltning af aktiver, som også bør danne grundlag for risikoanalysen og styringen af driftskontinuiteten. De relevante enheder bør forvalte både materielle og immaterielle aktiver og bør oprette en fortegnelse over aktiverne, tildele aktiverne en defineret klassifikationsgrad, håndtere og spore aktiverne og tage skridt til at beskytte aktiverne i hele deres livscyklus.

(25)

Forvaltningen af aktiver bør omfatte at klassificere aktiver efter type, følsomhed, risikoniveau og sikkerhedskrav og at anvende passende foranstaltninger og kontroller for at sikre deres tilgængelighed, integritet, fortrolighed og autenticitet. Ved at klassificere aktiver efter risikoniveau bør de relevante enheder kunne anvende passende sikkerhedsforanstaltninger og -kontroller for at beskytte aktiverne, som f.eks. kryptering, adgangskontrol, herunder perimeterkontrol og fysisk og logisk adgangskontrol, sikkerhedskopier, logning og overvågning, lagring og bortskaffelse. Når de relevante enheder foretager en forretningskonsekvensanalyse, kan de bestemme klassifikationsgraden på grundlag af konsekvenserne for enheden, hvis aktiverne forstyrres. Alle ansatte, der håndterer aktiver, i enhederne bør være bekendt med politikkerne for og instrukserne om håndtering af aktiver.

(26)

Detaljeringsgraden af fortegnelsen over aktiver bør modsvare de relevante enheders behov. En omfattende fortegnelse over aktiver kan for hvert aktiv som minimum omfatte en entydig identifikator, aktivets ejer, en beskrivelse af aktivet, aktivets lokation, aktivets type, typen og klassificeringen af de oplysninger, der behandles i aktivet, datoen for den seneste opdatering af eller patch til aktivet, klassificeringen af aktivet i risikovurderingen, og hvornår aktivets livscyklus ender. Når et aktivs ejer identificeres, bør de relevante enheder også identificere den person, der er ansvarlig for at beskytte det pågældende aktiv.

(27)

Tildelingen og tilrettelæggelsen af cybersikkerhedsmæssige roller, ansvarsområder og bemyndigelser bør etablere en konsekvent struktur for styring og gennemførelse af cybersikkerhed i de relevante enheder og sikre effektiv kommunikation i tilfælde af hændelser. Ved fastlæggelsen og tildelingen af ansvarsområder for bestemte roller bør de relevante enheder tage roller såsom chef for informationssikkerhed, informationssikkerhedsansvarlig, ansvarlig for håndtering af hændelser, revisor eller tilsvarende i betragtning. De relevante enheder kan tildele roller og ansvarsområder til eksterne parter, som f.eks. tredjepartsudbydere af IKT-tjenester.

(28)

I henhold til artikel 21, stk. 2, i direktiv (EU) 2022/2555 skal foranstaltninger til styring af cybersikkerhedsrisici baseres på en tilgang, der omfatter alle farer og sigter på at beskytte net- og informationssystemer og disse systemers fysiske miljø mod hændelser såsom tyveri, brand, oversvømmelse, telekommunikations- eller strømsvigt, eller uautoriseret fysisk adgang til, beskadigelse af eller indgreb i en væsentlig eller vigtig enheds informations- og informationsbehandlingsfaciliteter, som kan kompromittere tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller de tjenester, der tilbydes af eller er tilgængelige via net- og informationssystemer. De tekniske og metodologiske krav til foranstaltningerne til styring af cybersikkerhedsrisici bør derfor også omhandle net- og informationssystemernes fysiske og miljømæssige sikkerhed ved også at omfatte foranstaltninger til at beskytte sådanne systemer mod systemsvigt, menneskelige fejl, ondsindede handlinger eller naturfænomener. Andre eksempler på fysiske og miljømæssige trusler kan omfatte jordskælv, eksplosioner, sabotage, insidertrusler, civil uro, giftigt affald og miljøemissioner. Forebyggelse af tab, beskadigelse eller kompromittering af net- og informationssystemer eller afbrydelse af deres drift som følge af svigt og afbrydelse af den understøttende forsyning bør bidrage til målet om driftskontinuitet i de relevante enheder. Desuden bør beskyttelse mod fysiske og miljømæssige trusler bidrage til sikkerheden i forbindelse med vedligeholdelse af net- og informationssystemer i de relevante enheder.

(29)

De relevante enheder bør udforme og gennemføre beskyttelsesforanstaltninger mod fysiske og miljømæssige trusler og fastsætte minimums- og maksimumskontroltærskler for fysiske og miljømæssige trusler og overvåge miljøparametre. De bør f.eks. overveje at installere systemer til på et tidligt tidspunkt at opdage oversvømmelser i områder, hvor net- og informationssystemer er placeret. Med hensyn til brandfare bør de relevante enheder overveje at oprette en separat brandcelle til datacentret, anvende brandhæmmende materialer og sensorer til overvågning af temperatur og fugtighed, tilslutte bygningen til et brandalarmsystem med automatisk underretning af det lokale brandvæsen samt anvende anlæg til tidlig brandopdagelse og -slukning. De relevante enheder bør også foretage regelmæssige brandøvelser og brandinspektioner. For at sikre strømforsyningen bør de relevante enheder desuden overveje overspændingsbeskyttelse og tilsvarende nødstrømforsyning i overensstemmelse med de relevante standarder. Da overophedning udgør en risiko med hensyn til tilgængeligheden af net- og informationssystemer, kan de relevante enheder, navnlig udbydere af datacentertjenester, desuden overveje tilstrækkelige og kontinuerlige klimaanlæg med redundans.

(30)

Denne forordning skal yderligere præcisere de tilfælde, hvor en hændelse skal anses for at være væsentlig med henblik på artikel 23, stk. 3, i direktiv (EU) 2022/2555. Kriterierne bør være af en sådan art, at de relevante enheder er i stand til at vurdere, om en hændelse er væsentlig, med henblik på at underrette om hændelsen i overensstemmelse med direktiv (EU) 2022/2555. Kriterierne i denne forordning bør desuden betragtes som udtømmende, jf. dog artikel 5 i direktiv (EU) 2022/2555. I denne forordning præciseres de tilfælde, hvor en hændelse skal anses for at være væsentlig, idet der fastlægges horisontale og enhedstypespecifikke tilfælde.

(31)

I henhold til artikel 23, stk. 4, i direktiv (EU) 2022/2555 skal relevante enheder være forpligtede til at underrette om væsentlige hændelser inden for de frister, der er fastsat i nævnte bestemmelse. Disse underretningsfrister løber fra det tidspunkt, hvor enheden får kendskab til den væsentlige hændelse. Den relevante enhed er derfor forpligtet til at indberette hændelser, der ud fra den pågældende enheds indledende vurdering kan forårsage alvorlige driftsmæssige forstyrrelser af enhedens tjenester eller forårsage økonomiske tab for enheden eller påvirke andre fysiske eller juridiske personer ved at forvolde dem betydelig materiel eller immateriel skade. Når en relevant enhed har opdaget en mistænkelig begivenhed, eller er blevet gjort opmærksom på en potentiel hændelse af en tredjepart, som f.eks. en enkeltperson, en kunde, en enhed, en myndighed, en medieorganisation eller en anden kilde, bør den relevante enhed derfor rettidigt vurdere den mistænkelige begivenhed for at vurdere, om der er tale om en hændelse, og i så fald fastslå dens art og alvor. Den relevante enhed skal derfor anses for at have fået »kendskab« til den væsentlige hændelse, når den efter en sådan indledende vurdering har en rimelig grad af sikkerhed for, at der er indtruffet en væsentlig hændelse.

(32)

Med henblik på at fastslå, om en hændelse er væsentlig, bør de relevante enheder, hvis det er relevant, tælle antallet af brugere, der er påvirket af hændelsen, under hensyntagen til de erhvervs- og slutkunder, som de relevante enheder har et kontraktforhold med, samt fysiske og juridiske personer med tilknytning til erhvervskunder. Hvis en relevant enhed ikke er i stand til at beregne antallet af berørte brugere, bør den relevante enheds skøn over det mulige maksimale antal berørte brugere tages i betragtning i beregningen af det samlede antal brugere, der er påvirket af hændelsen. Betydningen af en hændelse, der involverer en tillidstjeneste, bør ikke kun bestemmes af antallet af brugere, men også af antallet af tilknyttede parter, da disse også kan blive berørt af en væsentlig hændelse, der involverer en tillidstjeneste, for så vidt angår driftsforstyrrelser og materiel eller immateriel skade. Tillidstjenesteudbydere bør derfor, hvis det er relevant, også tage antallet af tilknyttede parter i betragtning, når de vurderer, om en hændelse er væsentlig. Med henblik herpå bør tilknyttede parter forstås som fysiske eller juridiske personer, der er afhængige af en tillidstjeneste.

(33)

Vedligeholdelsesarbejde, der resulterer i en begrænset tilgængelighed af tjenesterne, eller at tjenesterne er utilgængelige, bør ikke betragtes som væsentlige hændelser, hvis den begrænsede tilgængelighed eller utilgængeligheden af tjenesten sker i overensstemmelse med planlagt vedligeholdelsesarbejde. Desuden bør det ikke betragtes som en væsentlig hændelse, at en tjeneste er utilgængelig på grund af planlagte afbrydelser, som f.eks. afbrydelser eller utilgængelighed som følge af en forudindgået kontraktlig aftale.

(34)

Varigheden af en hændelse, der påvirker en tjenestes tilgængelighed, bør måles fra forstyrrelsen af den korrekte levering af tjenesten til genopretningstidspunktet. Hvis en relevant enhed ikke er i stand til at fastslå, hvornår forstyrrelsen indtraf, bør hændelsens varighed måles fra det tidspunkt, hvor hændelsen blev opdaget, eller fra det tidspunkt, hvor hændelsen blev registreret i net- eller systemlogfiler eller andre datakilder, alt efter hvad der indtraf først.

(35)

Fuldstændig utilgængelighed af en tjeneste bør måles fra det tidspunkt, hvor tjenesten er helt utilgængelig for brugerne, til det tidspunkt, hvor regelmæssige aktiviteter eller regelmæssig drift genoprettes til det serviceniveau, der blev leveret forud for hændelsen. Hvis en relevant enhed ikke er i stand til at fastslå, hvornår den fuldstændige utilgængelighed af en tjeneste indtraf, bør utilgængeligheden måles fra det tidspunkt, hvor den pågældende enhed opdagede den.

(36)

Med henblik på at fastslå de direkte økonomiske tab som følge af en hændelse bør de relevante enheder tage hensyn til alle de finansielle tab, som de har lidt som følge af hændelsen, som f.eks. omkostninger til udskiftning eller flytning af software, hardware eller infrastruktur, personaleomkostninger, herunder omkostninger i forbindelse med udskiftning eller flytning af personale, ansættelse af ekstra personale, aflønning af overarbejde og genopretning af mistede eller forringede færdigheder, gebyrer som følge af manglende overholdelse af kontraktlige forpligtelser, omkostninger i forbindelse med klager og kompensation til kunder, tab som følge af mistede indtægter, omkostninger i forbindelse med intern og ekstern kommunikation, rådgivningsomkostninger, herunder omkostninger i forbindelse med juridisk rådgivning, kriminaltekniske tjenester, oprydningstjenester og andre omkostninger i forbindelse med hændelsen. Administrative bøder samt omkostninger, der er nødvendige for virksomhedens daglige drift, bør imidlertid ikke betragtes som økonomiske tab som følge af en hændelse, herunder omkostninger til almindelig vedligeholdelse af infrastruktur, udstyr, hardware og software, ajourføring af personalets færdigheder, interne og eksterne omkostninger i forbindelse med forbedring af virksomheden efter hændelsen, herunder opgraderinger, forbedringer og risikovurderingsinitiativer, og forsikringspræmier. De relevante enheder bør beregne størrelsen af de økonomiske tab på grundlag af de tilgængelige data, og hvis de faktiske økonomiske tab ikke kan fastslås, bør enhederne anslå beløbene.

(37)

De relevante enheder bør også være forpligtede til at indberette hændelser, der har forårsaget eller er i stand til at forårsage fysiske personers død eller betydelig skade på fysiske personers helbred, da sådanne hændelser udgør særlig alvorlige tilfælde af materiel eller immateriel skadeforvoldelse. F.eks. kan en hændelse, der påvirker en relevant enhed, forårsage, at sundhedsydelser eller beredskabstjenester er utilgængelige, eller forårsage tab af datafortrolighed eller -integritet, der har indvirkning på fysiske personers helbred. For at fastslå, om en hændelse har forårsaget eller kan forårsage betydelig skade på en fysisk persons helbred, bør de relevante enheder tage i betragtning, om hændelsen har forårsaget eller kan forårsage alvorlige skader og dårligt helbred. Med henblik herpå bør de relevante enheder ikke være forpligtede til at indsamle yderligere oplysninger, som de ikke har adgang til.

(38)

Det bør navnlig betragtes som begrænset tilgængelighed, når en tjeneste, der leveres af en relevant enhed, er betydeligt langsommere end den gennemsnitlige svartid, eller hvis ikke alle en tjenestes funktionaliteter er tilgængelige. Hvis det er muligt, bør der til at vurdere forsinkelser i svartiden anvendes objektive kriterier baseret på de gennemsnitlige svartider for de tjenester, der leveres af de relevante enheder. En funktionalitet hos en tjeneste kan f.eks. være en chatfunktion eller en billedsøgefunktion.

(39)

Hvis der opnås formodet ondsindet og uautoriseret adgang til en relevant enheds net- og informationssystemer, bør det betragtes som en væsentlig hændelse, hvis denne adgang kan forårsage alvorlige driftsforstyrrelser. Hvis en cybertrusselsaktør f.eks. forlods placerer sig i en relevant enheds net- og informationssystemer med den hensigt at forårsage forstyrrelser af tjenester i fremtiden, bør hændelsen anses for at være væsentlig.

(40)

Tilbagevendende hændelser, der er forbundet via den samme åbenlyse grundlæggende årsag, og som ikke hver for sig opfylder kriterierne for en væsentlig hændelse, bør samlet anses for at være en væsentlig hændelse, forudsat at de tilsammen opfylder kriteriet for økonomisk tab, og hvis de er indtruffet mindst to gange inden for seks måneder. Sådanne tilbagevendende hændelser kan indikere væsentlige mangler og svagheder i den relevante enheds procedurer for styring af cybersikkerhedsrisici og modenhedsniveau for cybersikkerhed. Desuden er sådanne tilbagevendende hændelser i stand til at forårsage betydelige økonomiske tab for den relevante enhed.

(41)

Kommissionen har udvekslet rådgivning og samarbejdet med samarbejdsgruppen og ENISA om udkastene til gennemførelsesretsakter i overensstemmelse med artikel 21, stk. 5, og artikel 23, stk. 11, i direktiv (EU) 2022/2555.

(42)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (3) og afgav udtalelse den 1. september 2024.

(43)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 39 i direktiv (EU) 2022/2555 —