РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2024/2690 НА КОМИСИЯТА от 17 октомври 2024 година за определяне на правила за прилагане на Директива (ЕС) 2022/2555 по отношение на техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността и за доуточняване на случаите, в които даден инцидент се счита за значителен по отношение на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги (текст от значение за ЕИП)

(1)

по отношение на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги, обхванати от член 3 от Директива (ЕС) 2022/2555 („съответните субекти“), с настоящия регламент се цели определяне на техническите и методологичните изисквания относно мерките, посочени в член 21, параграф 2 от Директива (ЕС) 2022/2555, и доуточняване на случаите, в които даден инцидент следва да се счита за значителен, както е посочено в член 23, параграф 3 от Директива (ЕС) 2022/2555.

(2)

Предвид трансграничния характер на техните дейности и с цел да се осигури съгласувана рамка за доставчиците на удостоверителни услуги, с настоящия регламент следва, по отношение на доставчиците на удостоверителни услуги, да бъдат доуточнени случаите, в които даден инцидент се счита за значителен, и заедно с това да се определят техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността.

(3)

В съответствие с член 21, параграф 5, трета алинея от Директива (ЕС) 2022/2555 техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, се основават на европейски и международни стандарти, като ISO/IEC 27001, ISO/IEC 27002 и ETSI EN 319401, както и на технически спецификации, като CEN/TS 18026:2024, свързани със сигурността на мрежовите и информационните системи.

(4)

Що се отнася до изпълнението и прилагането на техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, в съответствие с принципа на пропорционалност следва да се отчита надлежно различната експозиция на риск на съответните субекти, като например критичността на съответния субект, рисковете, на които е изложен, размера и структурата на съответния субект, както и вероятността от възникване на инциденти и тяхната сериозност, включително тяхното обществено и икономическо въздействие, когато въпросните субекти спазват техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент.

(5)

В съответствие с принципа на пропорционалност, когато съответните субекти не могат да изпълнят някои от техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността поради своя размер, тези субекти следва да могат да предприемат други компенсаторни мерки, които са подходящи за постигане на целта на тези изисквания. Например при определянето на ролите, отговорностите и правомощията за сигурността на мрежовите и информационните системи в рамките на съответния субект, микросубектите могат да срещнат трудности при разделянето на конфликтните задължения и конфликтните области на компетентност. Тези субекти следва да могат да обмислят компенсаторни мерки, като например целенасочен надзор от страна на ръководството на субекта или засилен мониторинг и водене на регистри.

(6)

Някои технически и методологични изисквания, посочени в приложението към настоящия регламент, следва да бъдат прилагани от съответните субекти, когато е целесъобразно, когато е приложимо или доколкото е осъществимо. Когато съответният субект счита, че за него не е целесъобразно, приложимо или осъществимо да прилага определени технически и методологични изисквания, предвидени в приложението към настоящия регламент, съответният субект следва да документира по разбираем начин мотивите си за това. Когато упражняват надзор, националните компетентни органи могат да вземат предвид подходящия срок, необходим на съответните субекти да изпълнят техническите и методологичните изисквания на мерките за управление на риска в областта на киберсигурността.

(7)

Съгласно Директива (ЕС) 2022/2555 ENISA или националните компетентни органи могат да предоставят насоки в подкрепа на съответните субекти при установяването, анализа и оценката на рисковете с цел изпълнение на техническите и методологичните изисквания относно създаването и поддържането на подходяща рамка за управление на риска. Такива насоки могат да включват по-специално национални и секторни оценки на риска, както и оценки на риска, специфични за определен вид субекти. Насоките могат също така да включват инструменти или образци за разработване на рамка за управление на риска на равнището на съответните субекти. Рамките, насоките или други механизми, предвидени в националното законодателство на държавите членки, също могат да подпомогнат съответните субекти при доказването на съответствие с настоящия регламент. Освен това съгласно Директива (ЕС) 2022/2555 ENISA или националните компетентни органи могат да подпомагат съответните субекти при намирането и прилагането на подходящи решения въздействие върху рисковете, установени в тези оценки на риска. Подобни насоки не бива да засягат задължението на съответните субекти да установяват и документират рисковете, свързани със сигурността на мрежовите и информационните системи, както и задължението им да прилагат техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, съобразно своите нужди и ресурси.

(8)

Мерките за мрежова сигурност по отношение на: i) прехода към комуникационни протоколи за мрежовия слой от последно поколение, ii) внедряването на международно съгласувани и оперативно съвместими съвременни стандарти за комуникация по електронна поща, и iii) прилагането на най-добри практики за сигурността на DNS, както и за сигурността на интернет маршрутизацията и хигиената на маршрутизацията, са свързани със специфични предизвикателства по отношение на определянето на най-добрите налични стандарти и техники за внедряване. За да се постигне възможно най-скоро високо общо ниво на киберсигурност в мрежите, Комисията, със съдействието на Агенцията на Европейския съюз за киберсигурност (ENISA) и в сътрудничество с компетентните органи, промишлеността, включително сектора на телекомуникациите, и други заинтересовани страни, следва да подкрепи разработването на форум с участието на множество заинтересовани страни, натоварен със задачата да определи тези най-добри налични стандарти и техники за внедряване. Подобни насоки с участието на множество заинтересовани страни не следва да засягат задължението на съответните субекти да прилагат техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент.

(9)

Съгласно член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555 съществените и важните субекти следва да имат освен политики за анализ на риска и политики за сигурност на информационните системи. За тази цел съответните субекти следва да създадат политика за сигурност на мрежовите и информационните системи, както и специфични тематични политики, като например политики за контрол на достъпа, които следва да бъдат съгласувани с политиката за сигурност на мрежовите и информационните системи. Политиката за сигурност на мрежовите и информационните системи следва да бъде документът от най-високо равнище, в който се определя цялостният подход на съответните субекти към сигурността на мрежовите и информационните им системи, и следва да бъде одобрена от управителните органи на съответните субекти. Специфичните тематични политики следва да бъдат одобрени от подходящо равнище на управление. В политиката следва да се определят показатели и мерки за мониторинг на нейното изпълнение и на текущото състояние на степента на зрялост на съответните субекти по отношение на мрежовата и информационната сигурност, по-специално за да се улесни надзорът върху изпълнението на мерките за управление на риска в областта на киберсигурността чрез управителните органи.

(10)

За целите на техническите и методологичните изисквания, установени в приложението към настоящия регламент, терминът „ползвател“ следва да обхваща всички юридически и физически лица, които имат достъп до мрежовите и информационните системи на субекта.

(11)

За да установят и да реагират на рисковете, свързани със сигурността на мрежовите и информационните системи, съответните субекти следва да създадат и да поддържат подходяща рамка за управление на риска. Като част от рамката за управление на риска съответните субекти следва да изготвят, прилагат и наблюдават план за въздействие върху риска. Съответните субекти могат да използват плана за въздействие върху риска, за да определят и приоритизират варианти и мерки за въздействие върху риска. Вариантите за въздействие върху риска включват по-специално избягване, намаляване или, в изключителни случаи, приемане на риска. При избора на варианти за въздействие върху риска следва да се вземат предвид резултатите от оценката на риска, извършена от съответния субект, и този избор да бъде в съответствие с политиката на съответния субект по отношение на сигурността на мрежовите и информационните системи. За да приведат в действие избраните варианти за въздействие върху риска, съответните субекти следва да предприемат подходящи мерки за въздействие върху риска.

(12)

За да откриват събития, ситуации, близки до инцидент, и инциденти, съответните субекти следва да извършват мониторинг на своите мрежови и информационни системи, както и да предприемат действия за оценка на събития, ситуации, близки до инцидент, и инциденти. Тези мерки следва да могат да позволяват своевременно откриване на атаки, насочени към мрежите, въз основа на необичайни модели на входящия или изходящия трафик, както и на атаки тип „отказ на услуга“.

(13)

При извършването на оценка на въздействието върху стопанската дейност от страна на съответните субекти, същите се насърчават оценката да бъде цялостна, като в нея бъдат установени, по целесъобразност, максималното допустимо време на престой, целите по отношение на времето за възстановяване, целите по отношение на точката на възстановяване и целите по отношение на предоставянето на услуги.

(14)

С цел намаляване на рисковете, произтичащи от веригата на доставки на съответния субект и отношенията му с доставчиците, съответните субекти следва да създадат политика за сигурност на веригата на доставки, в която да бъдат уредени отношенията им с преките им снабдители и доставчици на услуги. Тези субекти следва да посочат в договорите със своите преки снабдители или доставчици на услуги подходящи клаузи за сигурност, например като изискват, когато е целесъобразно, мерки за управление на риска в областта на киберсигурността в съответствие с член 21, параграф 2 от Директива (ЕС) 2022/2555, или с други подобни правни изисквания.

(15)

Съответните субекти следва редовно да извършват изпитвания на сигурността въз основа на специална политика и процедури, за да проверяват дали мерките за управление на риска в областта на киберсигурността се прилагат и функционират правилно. Изпитванията на сигурността могат да се извършват за конкретни мрежови и информационни системи или за съответния субект като цяло и могат да включват автоматични или ръчни изпитвания, изпитвания за пробив, внимателно изследване за уязвимости, статични и динамични изпитвания на сигурността на приложенията, изпитвания на конфигурацията или одити на сигурността. Съответните субекти могат да провеждат изпитвания на сигурността на своите мрежови и информационни системи при създаването им, след значителна според тях актуализация или промяна на инфраструктурата или приложенията или след поддръжка. Констатациите от изпитванията на сигурността следва да послужат като основа за политиките и процедурите на съответните субекти за оценка на ефективността на мерките за управление на риска в областта на киберсигурността, както и за независими прегледи на техните политики за мрежова и информационна сигурност.

(16)

За да се избегнат значителни смущения и вреди, причинени от използването на некоригирани уязвимости в мрежовите и информационните системи, съответните субекти следва да определят и прилагат подходящи процедури за управление на корекциите за сигурност, които са съгласувани с процедурите на съответните субекти за управление на промените, управление на уязвимостите, управление на риска и други съответни процедури. Съответните субекти следва да предприемат мерки, съразмерни на техните ресурси, за да гарантират, че с корекциите за сигурността не се въвеждат допълнителни уязвимости или нестабилности. В случай на планирана невъзможност за ползване на услугата, причинена от прилагането на корекции за сигурност, съответните субекти се насърчават да информират клиентите предварително.

(17)

Съответните субекти следва да управляват рисковете, произтичащи от придобиването на ИКТ продукти или ИКТ услуги от снабдители или доставчици на услуги, и следва да получат уверение, че ИКТ продуктите или ИКТ услугите, които ще придобият, покриват определени нива на защита на киберсигурността, например чрез европейски сертификати за киберсигурност и ЕС декларации за съответствие за ИКТ продукти или ИКТ услуги, издадени по европейска схема за сертифициране на киберсигурността, приета съгласно член 49 от Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета (2). Когато съответните субекти определят изисквания за сигурност спрямо ИКТ продуктите, които ще бъдат придобити, те следва да вземат предвид съществените изисквания за киберсигурност, определени в регламент на Европейския парламент и на Съвета относно хоризонталните изисквания за киберсигурност за продукти с цифрови елементи.

(18)

За да се предпазят от киберзаплахи и да подпомогнат предотвратяването и ограничаването на нарушенията на сигурността на данните, съответните субекти следва да прилагат решения за мрежова сигурност. Типичните решения за мрежова сигурност включват използването на защитни стени за защита на вътрешните мрежи на съответните субекти, ограничаване на връзките и достъпа до услуги, когато тези връзки и достъп са абсолютно необходими, както и използването на виртуални частни мрежи за достъп от разстояние и разрешаване на свързването на доставчиците на услуги само след искане за разрешение и за определен период от време, например докато трае операция по поддръжка.

(19)

За да се защитят мрежите на съответните субекти и техните информационни системи от зловреден и неразрешен софтуер, тези субекти следва да въведат контрол, чрез който да се предотвратява или открива използването на неразрешен софтуер, и, когато е целесъобразно, те следва да използват софтуер за откриване и реагиране. Съответните субекти следва също така да обмислят прилагането на мерки за минимизиране на повърхността, уязвима на атаки, намаляване на уязвимостите, които могат да бъдат използвани от извършителите на атаки, контрол на изпълнението на приложенията в крайните точки и внедряване на филтри за електронна поща и уеб приложения, за да се намали излагането на зловредно съдържание.

(20)

Съгласно член 21, параграф 2, буква ж) от Директива (ЕС) 2022/2555 държавите членки трябва да гарантират, че съществените и важните субекти прилагат основни киберхигиенни практики и обучение в областта на киберсигурността. Основните киберхигиенни практики могат да включват принципи на нулево доверие, актуализации на софтуера, конфигурация на устройствата, сегментиране на мрежата, управление на самоличностите и достъпа или осведоменост на ползвателите, организиране на обучение за персонала и повишаване на осведомеността относно киберзаплахите, фишинга или техниките за социално инженерство. Киберхигиенните практики са част от различните технически и методологични изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент. Що се отнася до основните киберхигиенни практики за ползвателите, съответните субекти следва да обмислят практики, като например политика на изчистен работен плот и изчистен екран, използване на многофакторни решения и други средства за удостоверяване, безопасно използване на електронна поща и сърфиране в интернет, защита от фишинг и социално инженерство, сигурни практики за дистанционна работа.

(21)

За да се предотврати непозволеният достъп до активите на съответните субекти, те следва да създадат и приложат специфична тематична политика, насочена към достъпа на лица и на мрежови и информационни системи, като например приложения.

(22)

За да се избегне възможността служителите да злоупотребяват, например с права на достъп в рамките на съответния субект, за да навредят и да причинят щети, съответните субекти следва да обмислят подходящи мерки за управление на сигурността по отношение на служителите и да повишат осведомеността на персонала относно тези рискове. Съответните субекти следва да установят, разгласят и поддържат дисциплинарна процедура за разглеждане на нарушения на политиките за сигурност на мрежовите и информационните системи на съответните субекти, която може да бъде включена в други дисциплинарни процедури, установени от съответните субекти. Цялостната проверка на служителите и, когато е приложимо, на преките снабдители и доставчиците на услуги на съответните субекти, следва да допринасят за постигането на целта за сигурност на човешките ресурси в съответните субекти и могат да включват мерки като проверки на данните за съдимост на лицето или на предишни професионални задължения, в зависимост от задълженията на лицето в съответния субект и в съответствие с политиката на съответния субект за сигурност на мрежовите и информационните системи.

(23)

Многофакторното удостоверяване на автентичността може да повиши киберсигурността на субектите и те следва да го обмислят, по-специално когато ползвателите имат достъп до мрежови и информационни системи от отдалечени места или когато имат достъп до чувствителна информация или до привилегировани профили и профили за системно администриране. Многофакторното удостоверяване на автентичността може да се комбинира с други техники за изискване на допълнителни фактори при определени обстоятелства въз основа на предварително определени правила и модели, като например достъп от необичайно място, от необичайно устройство или в необичайно време.

(24)

Съответните субекти следва да управляват и защитават активите, които са ценни за тях, чрез надеждно управление, което следва да служи и като основа за анализ на риска и управление на непрекъснатостта на стопанската дейност. Съответните субекти следва да управляват както материални, така и нематериални активи и да създадат техен опис, да ги свързват с определено ниво чрез класификация, да боравят с тях и да ги проследяват, както и да предприемат стъпки за тяхната защита през целия им жизнен цикъл.

(25)

Управлението на активите следва да включва класификация на активите по вид, чувствителност, ниво на риск и изисквания за сигурност и прилагане на подходящи мерки и контрол, за да се гарантира тяхната разполагаемост, цялостност, поверителност и автентичност. Чрез класификацията на активите по ниво на риска съответните субекти следва да могат да прилагат подходящи мерки за сигурност и контрол за защита на активите, като например криптиране, контрол на достъпа, включително контрол на достъпа до периметъра и на физическия и логическия достъп, резервни копия, водене на регистри и мониторинг, съхранение и унищожаване. Когато извършват оценка на въздействието върху стопанската дейност, съответните субекти могат да определят нивото на класификация въз основа на последиците за субектите от прекъсването на функционирането на активите. Всички служители на субектите, боравещи с активи, следва да са запознати с политиките и инструкциите за работа с активи.

(26)

Степента на подробност на описа на активите следва да бъде съобразена с нуждите на съответните субекти. Изчерпателният опис на активите може да включва за всеки актив най-малко уникален идентификатор, собственика на актива, описание на актива, местоположението на актива, вида на актива, вида и класификацията на информацията, обработвана в актива, датата на последната актуализация или корекция на актива, класификацията на актива съгласно оценката на риска и края на жизнения цикъл на актива. Когато идентифицират собственика на даден актив, съответните субекти следва да идентифицират и лицето, отговорно за защитата на този актив.

(27)

С разпределението и организацията на ролите, отговорностите и правомощията в областта на киберсигурността следва да се установи последователна структура за управление и внедряване на киберсигурността в рамките на съответните субекти и да се гарантира ефективна комуникация в случай на инциденти. При определянето и възлагането на отговорности за определени роли съответните субекти следва да разгледат възможни роли като главен служител по въпросите на информационната сигурност, служител по въпросите на информационната сигурност, служител по действията при инцидент, одитор или сравними еквивалентни длъжности. Съответните субекти могат да възлагат роли и отговорности на външни страни, като например трети страни доставчици на услуги в областта на ИКТ.

(28)

В съответствие с член 21, параграф 2 от Директива (ЕС) 2022/2555 мерките за управление на риска в областта на киберсигурността следва да се основават на подход, обхващащ всички опасности, който има за цел да защити мрежовите и информационните системи и физическото обкръжение на тези системи от събития като кражба, пожар, наводнение, телекомуникационни повреди или прекъсване на захранването, или от всякакъв непозволен физически достъп и щети и намеса в информацията на съществения или важния субект и неговите съоръжения за обработка на информация, които биха могли да засегнат отрицателно разполагаемостта, автентичността, цялостността или поверителността на съхраняваните, пренасяните или обработваните данни или на услугите, предлагани от мрежови и информационни системи или достъпни чрез тях. Поради това техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността следва да вземат предвид и физическата сигурност и опасностите от природен характер на мрежовите и информационните системи, като включват мерки за защита на тези системи от системни повреди, човешки грешки, злонамерени действия или природни явления. Ето някои допълнителни примери за физически и природни заплахи: земетресения, експлозии, саботаж, вътрешна заплаха, граждански размирици, токсични отпадъци и емисии в околната среда. Предотвратяването на загуба, повреда или компрометиране на мрежовите и информационните системи или прекъсването на техните операции поради авария и прекъсване на поддържащите комунални услуги следва да допринесе за постигането на целта за непрекъснатост на стопанската дейност в съответните субекти. Освен това защитата срещу физически и природни заплахи следва да допринесе за сигурността на поддръжката на мрежовите и информационните системи в съответните субекти.

(29)

Те разработват и прилагат мерки за защита срещу физически и природни заплахи и определят минимални и максимални прагове за контрол на физическите и екологичните заплахи и следят екологичните параметри. Например те следва да обмислят инсталирането на системи, които да откриват на ранен етап наводняването на зони, в които са разположени мрежови и информационни системи. Що се отнася до опасността от пожар, съответните субекти следва да обмислят създаването на отделно пожарообезопасено помещение за центъра за данни, използването на огнеустойчиви материали, датчици за следене на температурата и влажността, свързването на сградата с пожароизвестителна система с автоматизирано уведомяване на местната противопожарна служба и системи за ранно засичане и пожарогасене. Съответните субекти следва също така да провеждат редовни противопожарни тренировки и противопожарни обследвания. Освен това, за да се гарантира електрозахранването, съответните субекти следва да вземат мерки за защита от пренапрежение и за съответното аварийно електрозахранване съгласно съответните стандарти. Също така, тъй като прегряването представлява риск за разполагаемостта на мрежовите и информационните системи, съответните субекти, по-специално доставчиците на услуги на центрове за данни, биха могли да помислят за подходящи, непрекъснато функциониращи и резервирани климатични инсталации.

(30)

Настоящият регламент има за цел да се уточнят допълнително случаите, в които даден инцидент следва да се счита за значителен за целите на член 23, параграф 3 от Директива (ЕС) 2022/2555. Критериите следва да позволяват на съответните субекти да преценят дали даден инцидент е значителен, за да уведомят за него в съответствие с Директива (ЕС) 2022/2555. Освен това критериите, посочени в настоящия регламент, следва да се считат за изчерпателни, без да се засяга член 5 от Директива (ЕС) 2022/2555. С настоящия регламент се определят случаите, в които даден инцидент следва да се счита за значителен, като се посочват хоризонтални случаи, както и случаи, специфични за типа субект.

(31)

Съгласно член 23, параграф 4 от Директива (ЕС) 2022/2555 от съответните субекти следва да се изисква да уведомяват за значителни инциденти в сроковете, определени в тази разпоредба. Тези срокове за уведомяване започват да текат от момента, в който субектът узнае за подобни значителни инциденти. Поради това от съответния субект се изисква да докладва за инциденти, които въз основа на първоначалната му оценка биха могли да причинят сериозни оперативни смущения на услугите или финансови загуби за този субект или да засегнат други физически или юридически лица, като причинят значителни имуществени или неимуществени вреди. Ето защо, когато съответният субект е открил подозрително събитие или след като потенциален инцидент е бил доведен до знанието му от трета страна, като например физическо лице, клиент, субект, орган, медийна организация или друг източник, съответният субект следва своевременно да направи оценка на подозрителното събитие, за да определи дали то представлява инцидент и, ако е така, да определи неговото естество и тежест. Следователно следва да се счита, че съответният субект е „узнал“ за значителния инцидент, когато след такава първоначална оценка той e установил с достатъчна степен на сигурност, че е настъпил значителен инцидент.

(32)

За целите на установяването дали даден инцидент е значителен, когато е уместно, съответните субекти следва да изчислят броя на потребителите, засегнати от инцидента, като вземат предвид бизнес клиентите и крайните клиенти, с които съответните субекти имат договорни отношения, както и физическите и юридическите лица, които са свързани с бизнес клиентите. Когато съответният субект не е в състояние да изчисли броя на засегнатите ползватели, за целите на изчисляването на техния общ брой се взема предвид приблизителната оценка на съответния субект за възможния максимален брой ползватели, засегнати от инцидента. Значимостта на даден инцидент, свързан с удостоверителна услуга, следва да се определя не само от броя на ползвателите, но и от броя на доверяващите се страни, тъй като те могат да бъдат еднакво засегнати от значителен инцидент, свързан с удостоверителна услуга, по отношение на прекъсване на работата и имуществени или неимуществени щети. Поради това доставчиците на удостоверителни услуги следва, когато е приложимо, да вземат предвид и броя на доверяващите се страни, когато установяват дали даден инцидент е значителен. За тази цел под доверяващи се страни следва да се разбира физически или юридически лица, които разчитат на дадена удостоверителна услуга.

(33)

Дейности по поддръжка, които водят до ограничена достъпност или недостъпност на услугите, не следва да се считат за значими инциденти, ако ограничената достъпност или недостъпността на услугата е в съответствие с планирана дейност по поддръжка. Освен това случаите, в които услугата не е достъпна поради планирани прекъсвания, като например прекъсвания или недостъпност въз основа на предварително определено договорно споразумение, не следва да се считат за значителен инцидент.

(34)

Продължителността на инцидента, който оказва влияние върху наличността на дадена услуга, следва да се измерва от момента на прекъсване на надлежното предоставяне на тази услуга до момента на възстановяване. Когато съответният субект не е в състояние да определи момента, в който е започнало прекъсването, продължителността на инцидента следва да се измерва от момента, в който инцидентът е бил засечен, или от момента, в който инцидентът е бил вписан в мрежовите или системните регистри или в други източници на данни, в зависимост от това кое от двете събития е настъпило първо.

(35)

Пълната недостъпност на дадена услуга следва да се измерва от момента, в който услугата е напълно недостъпна за ползвателите, до момента, в който редовните дейности или операции са възстановени до нивото на обслужване, предоставяно преди инцидента. Когато съответният субект не е в състояние да определи кога е започнала пълната недостъпност на услугата, недостъпността следва да се измерва от момента, в който тя е била установена от този субект.

(36)

За целите на определянето на преките финансови загуби, произтичащи от инцидент, съответните субекти следва да вземат предвид всички финансови загуби, които са понесли в резултат на инцидента, като например разходи за замяна или преместване на софтуер, хардуер или инфраструктура, разходи за персонал, включително разходи, свързани със замяна или преместване на персонал, наемане на допълнителен персонал, възнаграждение за извънреден труд и възстановяване на изгубени или нарушени умения, такси поради неспазване на договорни задължения, разходи за правна защита и обезщетение на клиенти, загуби поради пропуснати приходи, разходи, свързани с вътрешна и външна комуникация, разходи за консултации, включително разходи, свързани с правни консултации, криминалистични анализи и услуги за възстановяване, както и други разходи, свързани с инцидента. Същевременно административните глоби, както и разходите, които са необходими за ежедневното функциониране на предприятието, не следва да се считат за финансови загуби в резултат на инцидент, включително разходите за обща поддръжка на инфраструктурата, оборудването, хардуера и софтуера, за поддържане на актуални умения на персонала, вътрешните или външните разходи за подобряване на дейността след инцидента, включително за модернизация, подобрения и инициативи за оценка на риска, както и за застрахователни премии. Съответните субекти следва да изчислят размера на финансовите загуби въз основа на наличните данни, а когато действителният размер на тези загуби не може да бъде определен, субектите следва да направят приблизителна оценка.

(37)

Съответните субекти следва също така да бъдат задължени да докладват за инциденти, които са причинили или могат да причинят смърт на физически лица или значително увреждане на здравето на физически лица, тъй като такива инциденти съставляват особено сериозни случаи на причиняване на значителни имуществени или неимуществени вреди. Например инцидент, засягащ съответен субект, може да доведе до недостъпност на здравни или спешни услуги или до загуба на поверителността или целостта на данни с последици за здравето на физически лица. За целите на определянето на това дали даден инцидент е причинил или е в състояние да причини значително увреждане на здравето на физическо лице, съответните субекти следва да вземат предвид дали инцидентът е причинил или е в състояние да причини тежки наранявания и влошаване на здравето. За тази цел от съответните субекти не следва да се изисква да събират допълнителна информация, до която нямат достъп.

(38)

За ограничена достъпност следва да се счита по-специално, когато услуга, предоставяна от съответния субект, е значително по-бавна от средното време за отговор или когато не всички функционалности на услугата са достъпни. Когато е възможно, за оценка на закъсненията във времето за отговор следва да се използват обективни критерии, основани на средното време за отговор на услугите, предоставяни от съответните субекти. Функционалност на услугата може да бъде например функция за чат или функция за търсене на изображения.

(39)

Успешно осъществен непозволен достъп до мрежовите и информационните системи на съответния субект, за който има подозрение, че е злонамерен, следва да се счита за значителен инцидент, когато може да причини сериозно нарушение на дейността. Например, когато участник в киберзаплаха се позиционира предварително в мрежовите и информационните системи на съответния субект с цел да предизвика прекъсване на услугите в бъдеще, инцидентът следва да се счита за значителен.

(40)

Повтарящи се инциденти, които са свързани с една и съща видима първопричина, които поотделно не отговарят на критериите за значителен инцидент, следва да се считат за значителен инцидент заедно, при условие че заедно отговарят на критерия за финансова загуба и че са възникнали поне два пъти в рамките на шест месеца. Такива повтарящи се инциденти могат да свидетелстват за значителни недостатъци и слабости в процедурите за управление на риска в областта на киберсигурността на съответния субект и за тяхната степен на зрялост по отношение на киберсигурността. Освен това такива повтарящи се инциденти могат да причинят значителни финансови загуби на съответния субект.

(41)

Комисията обмени становища и си сътрудничи с групата за сътрудничество и ENISA по проекта на акта за изпълнение в съответствие с член 21, параграф 5 и член 23, параграф 11 от Директива (ЕС) 2022/2555.

(42)

Европейския надзорен орган по защита на данните беше консултиран в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (3) и прие своето становище на 1 септември 2024 г.

(43)

Мерките, предвидени в настоящия регламент, са в съответствие със становището на комитета, създаден в съответствие с член 39 от Директива (ЕС) 2022/2555,