Άρθρο 21 Ευρωπαϊκός μηχανισμός εξέτασης περιστατικών κυβερνοασφάλειας

Κατόπιν αιτήματος της Επιτροπής ή του EU-CyCLONe, ο ENISA, με την υποστήριξη του δικτύου CSIRT και με την έγκριση του οικείου κράτους μέλους, εξετάζει και αξιολογεί κυβερνοαπειλές, γνωστές εκμεταλλεύσιμες ευπάθειες και δράσεις μετριασμού σε σχέση με συγκεκριμένο σημαντικό περιστατικό κυβερνοασφάλειας ή περιστατικό κυβερνοασφάλειας μεγάλης κλίμακας. Μετά την ολοκλήρωση της εξέτασης και της αξιολόγησης ενός περιστατικού και με στόχο την άντληση διδαγμάτων για την αποφυγή ή τον μετριασμό μελλοντικών περιστατικών, ο ENISA υποβάλλει έκθεση εξέτασης περιστατικού στο EU-CyCLONe, στο δίκτυο CSIRT, στο οικείο κράτος μέλος και στην Επιτροπή για να τους στηρίξει κατά την εκτέλεση των καθηκόντων τους, ιδίως όσον αφορά τα καθήκοντα που ορίζονται στα άρθρα 15 και 16 της οδηγίας (ΕΕ) 2022/2555. Όταν ένα συμβάν έχει αντίκτυπο σε τρίτη χώρα συνδεδεμένη με το πρόγραμμα «Ψηφιακή Ευρώπη», ο ENISA κοινοποιεί την έκθεση στο Συμβούλιο. Σε τέτοιες περιπτώσεις, η Επιτροπή κοινοποιεί την έκθεση στον Ύπατο Εκπρόσωπο.

Για την εκπόνηση της έκθεσης εξέτασης περιστατικού που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου, ο ENISA συνεργάζεται με όλα τα σχετικά ενδιαφερόμενα μέρη και συγκεντρώνει τις παρατηρήσεις τους, συμπεριλαμβανομένων εκπροσώπων των κρατών μελών, της Επιτροπής, άλλων σχετικών θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης, καθώς και εκπροσώπων του κλάδου, συμπεριλαμβανομένων των παρόχων διαχειριζόμενων υπηρεσιών ασφάλειας και των χρηστών υπηρεσιών κυβερνοασφάλειας. Κατά περίπτωση, ο ENISA, σε συνεργασία με τις CSIRT και, όπου ενδείκνυται, τις αρμόδιες αρχές που έχουν οριστεί ή έχουν θεσπιστεί δυνάμει του άρθρου 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555, συνεργάζεται επίσης με οντότητες που επηρεάζονται από σημαντικά περιστατικά κυβερνοασφάλειας ή περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας. Οι εκπρόσωποι των οποίων ζητείται η γνώμη γνωστοποιούν κάθε πιθανή σύγκρουση συμφερόντων.

Η αρχική έκθεση εξέτασης που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου καλύπτει εξέταση και ανάλυση του συγκεκριμένου σημαντικού περιστατικού κυβερνοασφάλειας ή περιστατικού κυβερνοασφάλειας μεγάλης κλίμακας, συμπεριλαμβανομένων των κύριων αιτίων, των γνωστών εκμεταλλεύσιμων ευπαθειών και των διδαγμάτων που αντλήθηκαν. Ο ENISA διασφαλίζει ότι η έκθεση συμμορφώνεται με το ενωσιακό ή το εθνικό δίκαιο σχετικά με την προστασία ευαίσθητων ή διαβαθμισμένων πληροφοριών. Εάν το ζητήσουν τα οικεία κράτη μέλη ή άλλοι χρήστες που αναφέρονται στο άρθρο 14 παράγραφος 3 που επηρεάζονται από το περιστατικό, τα δεδομένα και οι πληροφορίες που περιέχονται στην έκθεση ανωνυμοποιούνται. Δεν περιλαμβάνει λεπτομέρειες σχετικά με ευπάθειες που αποτελούν αντικείμενο ενεργού εκμετάλλευσης και δεν έχουν ακόμα αρθεί.

Κατά περίπτωση, η έκθεση εξέτασης περιστατικού διατυπώνει συστάσεις για τη βελτίωση της κατάστασης κυβερνοασφάλειας της Ένωσης και μπορεί να περιλαμβάνει βέλτιστες πρακτικές και διδάγματα που αντλήθηκαν από τα σχετικά ενδιαφερόμενα μέρη.

Ο ENISA μπορεί να εκδώσει δημόσια διαθέσιμη έκδοση της έκθεσης εξέτασης περιστατικού. Η εν λόγω έκδοση της έκθεσης περιλαμβάνει μόνο αξιόπιστες δημόσιες πληροφορίες, ή άλλες αξιόπιστες πληροφορίες με τη συγκατάθεση των οικείων κρατών μελών και, όσον αφορά τις πληροφορίες σε σχέση με χρήστη όπως αναφέρεται στο άρθρο 14 παράγραφος 3 στοιχείο β) ή γ), με τη συγκατάθεση του εν λόγω χρήστη.