KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2024/2690, annettu 17 päivänä lokakuuta 2024, direktiivin (EU) 2022/2555 soveltamista koskevista säännöistä DNS-palveluntarjoajia, aluetunnusrekistereitä, pilvipalvelujen tarjoajia, datakeskuspalvelujen tarjoajia, sisällönjakeluverkkojen tarjoajia, hallintapalvelun tarjoajia, tietoturvapalveluntarjoajia, verkossa toimivien markkinapaikkojen tarjoajia, verkossa toimivien hakukoneiden tarjoajia, verkkoyhteisöalustojen tarjoajia ja luottamuspalvelun tarjoajia varten siltä osin kuin on kyse kyberturvallisuusriskien hallintatoimenpiteiden teknisistä ja menetelmiin liittyvistä vaatimuksista ja sellaisten tapausten täsmentämisestä, joissa poikkeama katsotaan merkittäväksi (ETA:n kannalta merkityksellinen teksti)

(1)

Tämän asetuksen tarkoituksena on vahvistaa direktiivin (EU) 2022/2555 3 artiklan soveltamisalaan kuuluvien DNS-palveluntarjoajien, aluetunnusrekisterien, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien, sisällönjakeluverkkojen tarjoajien, hallintapalvelun tarjoajien, tietoturvapalveluntarjoajien, verkossa toimivien markkinapaikkojen, verkossa toimivien hakukoneiden tarjoajien, verkkoyhteisöalustojen tarjoajien ja luottamuspalvelun tarjoajien, jäljempänä ’asianomaiset toimijat’, osalta direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa tarkoitettujen toimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset sekä täsmentää tapaukset, joissa poikkeama olisi katsottava merkittäväksi direktiivin (EU) 2022/2555 23 artiklan 3 kohdan mukaisesti.

(2)

Kun otetaan huomioon niiden toiminnan rajat ylittävä luonne ja jotta voidaan varmistaa johdonmukainen kehys luottamuspalvelun tarjoajille, tässä asetuksessa olisi luottamuspalvelun tarjoajien osalta täsmennettävä tapaukset, joissa poikkeama katsotaan merkittäväksi, sen lisäksi, että siinä vahvistetaan kyberturvallisuusriskien hallintatoimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset.

(3)

Direktiivin (EU) 2022/2555 21 artiklan 5 kohdan kolmannen alakohdan mukaisesti tämän asetuksen liitteessä vahvistettujen kyberturvallisuusriskien hallintatoimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset perustuvat verkko- ja tietojärjestelmien turvallisuuden kannalta merkityksellisiin eurooppalaisiin ja kansainvälisiin standardeihin, kuten ISO/IEC 27001, ISO/IEC 27002 ja ETSI EN 319401, ja teknisiin eritelmiin, kuten CEN/TS 18026:2024.

(4)

Tämän asetuksen liitteessä vahvistettujen kyberturvallisuusriskien hallintatoimenpiteiden teknisten ja menetelmiin liittyvien vaatimusten täytäntöönpanon ja soveltamisen osalta olisi suhteellisuusperiaatteen mukaisesti otettava asianmukaisesti huomioon asianomaisten toimijoiden erilainen altistuminen riskeille, kuten asianomaisen toimijan kriittisyys, ne riskit, joille se altistuu, asianomaisen toimijan koko ja rakenne sekä poikkeamien esiintymisen todennäköisyys ja niiden vakavuus, mukaan lukien niiden yhteiskunnalliset ja taloudelliset vaikutukset, kun noudatetaan tämän asetuksen liitteessä vahvistettuja kyberturvallisuusriskien hallintatoimenpiteiden teknisiä ja menetelmiin liittyviä vaatimuksia.

(5)

Jos asianomaiset toimijat eivät kokonsa vuoksi pysty panemaan täytäntöön joitakin kyberturvallisuusriskien hallintatoimenpiteiden teknisiä ja menetelmiin liittyviä vaatimuksia, niiden olisi suhteellisuusperiaatteen mukaisesti voitava toteuttaa muita korvaavia toimenpiteitä, jotka soveltuvat kyseisten vaatimusten tarkoituksen saavuttamiseen. Esimerkiksi määriteltäessä asianomaisen toimijan verkko- ja tietojärjestelmien turvallisuuteen liittyviä rooleja, vastuita ja valtuuksia mikrokokoluokan toimijoilla voi olla vaikeuksia erottaa toisistaan keskenään ristiriidassa olevia tehtäviä ja vastuualueita. Tällaisten toimijoiden olisi voitava harkita korvaavia toimenpiteitä, kuten asianomaisen toimijan johdon suorittamaa kohdennettua valvontaa tai tehostettua seurantaa ja lokikirjanpitoa.

(6)

Asianomaisten toimijoiden olisi tarvittaessa, tapauksen mukaan tai mahdollisuuksien mukaan sovellettava tiettyjä tämän asetuksen liitteessä vahvistettuja teknisiä ja menetelmiin liittyviä vaatimuksia. Jos asianomainen toimija katsoo, että tällaisten tiettyjen teknisten ja menetelmiin liittyvien vaatimusten soveltaminen ei ole tarpeellista, asianmukaista tai mahdollista, sen olisi dokumentoitava tätä koskevat perustelunsa ymmärrettävällä tavalla. Kansalliset toimivaltaiset viranomaiset voivat valvontaa suorittaessaan ottaa huomioon asianmukaisen ajan, jonka asianomaiset toimijat tarvitsevat pannakseen täytäntöön kyberturvallisuusriskien hallintatoimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset.

(7)

ENISA tai direktiivin (EU) 2022/2555 mukaiset kansalliset toimivaltaiset viranomaiset voivat antaa ohjeita asianomaisten toimijoiden tukemiseksi riskien tunnistamisessa, analysoinnissa ja arvioinnissa, jotta toimijat voivat panna täytäntöön asianmukaisen riskinhallintakehyksen luomista ja ylläpitoa koskevat tekniset ja menetelmiin liittyvät vaatimukset. Tällaisissa ohjeissa voidaan käsitellä esimerkiksi kansallisia ja alakohtaisia riskinarviointeja sekä tietyntyyppisiä toimijoita koskevia riskinarviointeja. Ohjeisiin voi sisältyä myös välineitä tai malleja riskinhallintakehyksen luomiseksi asianomaisten toimijoiden tasolla. Myös jäsenvaltioiden kansalliseen lainsäädäntöön perustuvat kehykset, ohjeistukset tai muut mekanismit sekä asiaankuuluvat eurooppalaiset ja kansainväliset standardit voivat olla hyödyksi asianomaisten toimijoiden osoittaessa, että ne täyttävät tämän asetuksen vaatimukset. Lisäksi ENISA tai direktiivin (EU) 2022/2555 mukaiset kansalliset toimivaltaiset viranomaiset voivat tukea asianomaisia toimijoita tunnistamaan ja toteuttamaan asianmukaisia ratkaisuja riskinarvioinneissa yksilöityjen riskien käsittelemiseksi. Tällaiset ohjeistukset eivät saisi vaikuttaa asianomaisten toimijoiden velvollisuuteen tunnistaa ja dokumentoida verkko- ja tietojärjestelmien turvallisuuteen kohdistuvat riskit eivätkä asianomaisten toimijoiden velvollisuuteen täyttää tämän asetuksen liitteessä vahvistetut kyberturvallisuusriskien hallintatoimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset tarpeidensa ja resurssiensa mukaisesti.

(8)

Verkkoturvallisuustoimenpiteet, jotka liittyvät i) siirtymiseen kohti uusimpia verkkokerroksen viestintäprotokollia, ii) kansainvälisesti sovittujen ja yhteentoimivien nykyaikaisten sähköpostiviestintästandardien käyttöönottoon ja iii) DNS-järjestelmän turvallisuutta ja internetreitityksen turvallisuutta ja hygieniaa koskevien parhaiden käytäntöjen soveltamiseen, aiheuttavat erityisiä haasteita parhaiden mahdollisten standardien ja käyttöönottotekniikoiden määrittämisen suhteen. Jotta verkkojen kyberturvallisuuden yhteinen korkea taso saavutetaan mahdollisimman pian, komission olisi Euroopan unionin kyberturvallisuusviraston (ENISA) avustuksella ja yhteistyössä toimivaltaisten viranomaisten, toimialan, myös televiestintäalan, ja muiden sidosryhmien kanssa tuettava sellaisen sidosryhmien foorumin kehittämistä, jonka tehtävänä on määrittää tällaiset parhaat mahdolliset standardit ja käyttöönottotekniikat. Tällainen eri sidosryhmien yhteistyössä laatima ohjeistus ei saisi vaikuttaa asianomaisten toimijoiden velvollisuuteen täyttää tämän asetuksen liitteessä vahvistetut kyberturvallisuusriskien hallintatoimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset.

(9)

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan a alakohdan mukaan keskeisillä ja tärkeillä toimijoilla olisi riskianalyysejä koskevan politiikan lisäksi oltava tietojärjestelmien turvallisuutta koskeva politiikka. Tätä varten asianomaisten toimijoiden olisi laadittava verkko- ja tietojärjestelmien turvallisuutta koskeva politiikka sekä aihekohtaisia politiikkoja, kuten pääsynhallintaperiaatteet, joiden olisi oltava johdonmukaisia verkko- ja tietojärjestelmien turvallisuutta koskevan politiikan kanssa. Verkko- ja tietojärjestelmien turvallisuutta koskevan politiikan olisi oltava korkeimman tason asiakirja, jossa esitetään asianomaisten toimijoiden yleinen lähestymistapa niiden verkko- ja tietojärjestelmien turvallisuuteen, ja sen olisi oltava asianomaisten toimijoiden hallintoelinten hyväksymä. Aihekohtaiset politiikat olisi hyväksyttävä asianmukaisella hallinnon tasolla. Niissä olisi vahvistettava indikaattorit ja toimenpiteet, joilla seurataan politiikan täytäntöönpanoa ja asianomaisen toimijan verkko- ja tietoturvan kehitystason tilannetta, jotta voidaan esimerkiksi helpottaa kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanon valvontaa hallintoelinten kautta.

(10)

Tämän asetuksen liitteessä vahvistettujen teknisten ja menetelmiin liittyvien vaatimusten soveltamiseksi termin ’käyttäjä’ olisi katettava kaikki oikeushenkilöt ja luonnolliset henkilöt, joilla on pääsy asianomaisen toimijan verkko- ja tietojärjestelmiin.

(11)

Asianomaisten toimijoiden olisi luotava asianmukainen riskinhallintakehys verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien tunnistamiseksi ja käsittelemiseksi ja ylläpidettävä sitä. Osana riskinhallintakehystä asianomaisten toimijoiden olisi laadittava riskinkäsittelysuunnitelma, toteutettava se ja seurattava sitä. Asianomaiset toimijat voivat hyödyntää riskinkäsittelysuunnitelmaa myös eri riskinkäsittelyvaihtoehtojen ja -toimenpiteiden yksilöimisessä ja niiden asettamisessa tärkeysjärjestykseen. Riskinkäsittelyvaihtoehtoja ovat varsinkin riskien välttäminen, riskien vähentäminen tai poikkeustapauksissa riskin hyväksyminen. Riskinkäsittelyvaihtoehtojen valinnassa olisi otettava huomioon asianomaisen toimijan suorittaman riskinarvioinnin tulokset ja noudatettava asianomaisen toimijan verkko- ja tietojärjestelmien turvallisuutta koskevaa politiikkaa. Asianomaisten toimijoiden olisi myös toteutettava asianmukaiset riskinkäsittelytoimenpiteet valittujen riskinkäsittelyvaihtoehtojen toteuttamiseksi.

(12)

Asianomaisten toimijoiden olisi seurattava verkko- ja tietojärjestelmiään tapahtumien, läheltä piti -tilanteiden ja poikkeamien havaitsemiseksi ja toteutettava toimia niiden analysoimiseksi. Näiden toimenpiteiden avulla olisi voitava havaita ajoissa verkkohyökkäykset poikkeavien saapuvan ja lähtevän liikenteen virtojen perusteella sekä myös palvelunestohyökkäykset.

(13)

Kun asianomaiset toimijat tekevät liiketoimintavaikutusten analyysin, niitä kannustetaan tekemään kattava analyysi, jossa määritetään tarvittaessa suurin sallittu häiriöaika sekä palautumisaikaa, palautumispistettä ja palvelun toimittamista koskevat tavoitteet.

(14)

Jotta voidaan vähentää riskejä, jotka johtuvat asianomaisen toimijan toimitusketjusta ja sen suhteista toimittajiinsa, asianomaisten toimijoiden olisi laadittava toimitusketjun turvallisuuskäytäntö, jolla säännellään niiden suhteita suoriin tavarantoimittajiinsa ja palveluntarjoajiinsa. Toimijoiden olisi täsmennettävä suorien tavarantoimittajiensa tai palveluntarjoajiensa kanssa tekemissään sopimuksissa asianmukaiset tietoturvalausekkeet esimerkiksi edellyttämällä tarvittaessa direktiivin (EU) 2022/2555 21 artiklan 2 kohdan mukaisia kyberturvallisuusriskien hallintatoimenpiteitä tai asettamalla muita vastaavia oikeudellisia vaatimuksia.

(15)

Asianomaisten toimijoiden olisi tehtävä säännöllisesti erityisiin toimintaperiaatteisiin ja menettelyihin perustuvia turvallisuustestejä, jotta voidaan todentaa, että kyberturvallisuusriskien hallintatoimenpiteet on toteutettu ja että ne toimivat asianmukaisesti. Turvallisuustestejä voidaan tehdä tietyille verkko- ja tietojärjestelmille tai asianomaisen toimijan koko organisaatiolle, ja niihin voi sisältyä automaattisia tai manuaalisia testejä, tunkeutumistestejä, haavoittuvuustarkastuksia, staattisia ja dynaamisia sovellusturvallisuustestejä, konfiguraatiotestejä tai tietoturva-auditointeja. Asianomaiset toimijat voivat suorittaa verkko- ja tietojärjestelmiensä turvallisuustestejä järjestelmien käyttöönoton yhteydessä, merkittäviksi katsomiensa infrastruktuurien tai sovellusten päivitysten tai muutosten jälkeen tai huoltotoimien jälkeen. Turvallisuustestien tuloksia olisi hyödynnettävä asianomaisten toimijoiden toimintaperiaatteissa ja menettelyissä, joilla arvioidaan kyberturvallisuusriskien hallintatoimenpiteiden tehokkuutta, sekä toimijoiden verkko- ja tietoturvapolitiikan riippumattomissa arvioinneissa.

(16)

Jotta voidaan välttää verkko- ja tietojärjestelmien paikkaamattomien haavoittuvuuksien hyödyntämisestä aiheutuvat merkittävät häiriöt ja haitat, asianomaisten toimijoiden on otettava käyttöön asianmukaiset tietoturvapaikkausten hallintamenettelyt, jotka on sovitettu yhteen asianomaisten toimijoiden muutostenhallinnan, haavoittuvuuksien hallinnan, riskienhallinnan ja muiden asiaankuuluvien menettelyjen kanssa. Asianomaisten toimijoiden olisi toteutettava resursseihinsa nähden oikeasuhteisia toimenpiteitä sen varmistamiseksi, että tietoturvapaikkaukset eivät lisää haavoittuvuuksia tai epävakautta. Jos palvelussa toteutetaan suunniteltu käyttökatkos tietoturvapaikkausten suorittamisen vuoksi, asianomaisia toimijoita kannustetaan ilmoittamaan siitä asiakkailleen etukäteen.

(17)

Asianomaisten toimijoiden olisi hallittava riskejä, jotka johtuvat tieto- ja viestintätekniikan (TVT) tuotteiden tai palvelujen hankkimisesta tavarantoimittajilta tai palveluntarjoajilta, ja niiden olisi saatava varmuus siitä, että hankittavat TVT-tuotteet tai -palvelut saavuttavat tietyt kyberturvallisuuden tasot. Tämä voidaan osoittaa esimerkiksi Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 (2) 49 artiklan mukaisesti hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien myöntämillä TVT-tuotteiden tai -palvelujen eurooppalaisilla kyberturvallisuussertifikaateilla ja EU-vaatimustenmukaisuusilmoituksilla. Kun asianomaiset toimijat määrittävät hankittaville TVT-tuotteille asetettavia turvallisuusvaatimuksia, niiden olisi otettava huomioon digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvavaatimuksista annetussa Euroopan parlamentin ja neuvoston asetuksessa vahvistetut olennaiset kyberturvavaatimukset.

(18)

asianomaisten toimijoiden olisi toteutettava verkkoturvaratkaisuja suojautuakseen kyberuhkilta ja tukeakseen tietoturvaloukkausten ehkäisemistä ja rajoittamista. Tyypillisiä verkkoturvaratkaisuja ovat palomuurien käyttö asianomaisten toimijoiden sisäisten verkkojen suojaamiseksi, yhteyksien ja pääsyn rajoittaminen ainoastaan sellaisiin palveluihin, joiden osalta yhteydet ja pääsy ovat ehdottoman tarpeellisia, virtuaalisten yksityisverkkojen käyttö etäyhteyksiä varten sekä palveluntarjoajien yhteyksien salliminen ainoastaan pyynnön perusteella ja tietyksi ajaksi, kuten huoltotöiden ajaksi.

(19)

Suojatakseen verkkojaan ja tietojärjestelmiään haitallisilta ja luvattomilta ohjelmistoilta asianomaisten toimijoiden olisi toteutettava valvontatoimia, joilla estetään tai havaitaan luvattomien ohjelmistojen käyttö. Tarvittaessa olisi käytettävä myös haittaohjelmien havaitsemis- ja hallintaohjelmistoa. Asianomaisten toimijoiden olisi myös harkittava toimenpiteitä, joilla minimoidaan hyökkäyspinta, vähennetään hyökkääjien hyödynnettävissä olevia haavoittuvuuksia, hallitaan sovellusten suorittamista päätelaitteissa sekä otetaan käyttöön sähköposti- ja verkkosovellussuodattimia, jotta voidaan vähentää altistumista haitalliselle sisällölle.

(20)

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan g alakohdan mukaan jäsenvaltioiden on varmistettava, että keskeiset ja tärkeät toimijat soveltavat perustason kyberhygieniakäytäntöjä ja järjestävät kyberturvallisuuskoulutusta. Perustason kyberhygieniakäytäntöihin voivat kuulua esimerkiksi nollaluottamuksen periaate, ohjelmistopäivitykset, laitteiden konfigurointi, verkon segmentointi ja, identiteetin- ja pääsynhallinta tai käyttäjien tietoisuuden lisääminen, koulutuksen järjestäminen henkilöstölle ja tiedottaminen kyberuhkista, verkkourkinnasta ja käyttäjän manipuloinnista. Kyberhygieniakäytännöt ovat osa tämän asetuksen liitteessä vahvistettuja kyberturvallisuusriskien hallintatoimenpiteiden teknisiä ja menetelmiin liittyviä vaatimuksia. Käyttäjiä koskevien perustason kyberhygieniakäytäntöjen osalta asianomaisten toimijoiden olisi harkittava sellaisia käytäntöjä kuin selkeät työpöytä- ja näyttökäytännöt, monivaiheisen todennuksen ja muiden todentamiskeinojen käyttö, sähköpostin ja verkkoselaimen turvallinen käyttö, verkkourkinnalta ja käyttäjien manipuloinnilta suojautuminen sekä turvalliset etätyökäytännöt.

(21)

Estääkseen luvattoman pääsyn omaisuuteensa asianomaisten toimijoiden olisi laadittava ja toteutettava henkilöiden sekä verkko- ja tietojärjestelmien, kuten sovellusten, pääsykäytäntöjä koskeva aihekohtainen politiikka.

(22)

Jotta työntekijät eivät voisi väärinkäyttää esimerkiksi käyttöoikeuksiaan asianomaisessa toimijassa aiheuttaakseen haittaa tai vahinkoa, asianomaisten toimijoiden olisi harkittava asianmukaisia henkilöstöturvallisuuden hallintatoimenpiteitä ja lisättävä henkilöstön tietoisuutta tällaisista riskeistä. Asianomaisten toimijoiden olisi otettava käyttöön kurinpitomenettely, jolla käsitellään niiden verkko- ja tietojärjestelmien turvallisuutta koskevan politiikan rikkomuksia, sekä tiedotettava siitä ja ylläpidettävä sitä. Se voidaan sisällyttää myös asianomaisten toimijoiden muihin kurinpitoprosesseihin. Asianomaisten toimijoiden työntekijöille ja tapauksen mukaan suorille tavarantoimittajille ja palveluntarjoajille tehtävien taustan tarkistusten olisi edistettävä henkilöstöturvallisuuden tavoitetta asianomaisen toimijan organisaatiossa ja niihin voi sisältyä esimerkiksi henkilön rikosrekisterin tai aiempien työtehtävien selvittäminen, kun se on asianmukaista henkilön tehtävien kannalta asianomaisen toimijan palveluksessa ja linjassa asianomaisen toimijan verkko- ja tietojärjestelmien turvallisuutta koskevan politiikan kanssa.

(23)

Monivaiheinen todennus voi parantaa asianomaisten toimijoiden kyberturvallisuutta, ja toimijoiden olisi harkittava sitä esimerkiksi silloin, kun käyttäjät käyttävät verkko- ja tietojärjestelmiä etäyhteyksien avulla tai kun heillä on pääsy arkaluonteisiin tietoihin tai etuoikeutettuihin tileihin ja järjestelmänhallintatileihin. Monivaiheinen todennus voidaan yhdistää myös muihin tekniikoihin, jotta voidaan edellyttää lisätodentamista tietyissä olosuhteissa ennalta määritettyjen sääntöjen ja mallien perusteella, kuten silloin, kun pääsyä pyydetään epätavallisesta sijainnista, epätavallisesta laitteesta tai epätavalliseen aikaan.

(24)

Asianomaisten toimijoiden olisi hallinnoitava ja suojattava niille arvokasta omaisuutta moitteettomalla omaisuudenhallinnalla, johon myös riskianalyysien ja toiminnan jatkuvuuden hallinnan olisi perustuttava. Asianomaisten toimijoiden olisi hallinnoitava sekä aineellista että aineetonta omaisuutta, laadittava omaisuusluettelo, osoitettava omaisuuserille tietty turvallisuusluokitustaso, käsiteltävä ja seurattava omaisuuseriä sekä toteutettava toimia omaisuuserien suojaamiseksi niiden koko elinkaaren ajan.

(25)

Omaisuudenhallintaan olisi kuuluttava omaisuuserien luokittelu niiden tyypin, arkaluonteisuuden, riskitason ja turvallisuusvaatimusten mukaan sekä asianmukaisten toimenpiteiden ja valvontatoimien soveltaminen omaisuuserien saatavuuden, eheyden, luottamuksellisuuden ja aitouden varmistamiseksi. Luokittelemalla omaisuuserät riskitason mukaan asianomaiset toimijat voivat soveltaa asianmukaisia turvatoimenpiteitä ja valvontatoimia omaisuuserien suojaamiseksi, kuten salausta, pääsynhallintaa, mukaan lukien aluevalvonta sekä fyysinen että looginen pääsynhallinta, varmuuskopiointia, lokikirjanpitoa ja seurantaa sekä säilyttämis- ja hävittämiskäytäntöjä. Asianomaiset toimijat voivat liiketoimintavaikutusten analyysiä laatiessaan määrittää luokitustason sen perusteella, millaisia seurauksia omaisuuserien toimintahäiriöistä aiheutuu toimijalle. Kaikkien asianomaisen toimijan omaisuutta käsittelevien työntekijöiden olisi tunnettava omaisuuden käsittelyä koskevat toimintaperiaatteet ja ohjeet.

(26)

Omaisuusluettelo olisi laadittava asianomaisten toimijoiden tarpeisiin nähden riittävän yksityiskohtaisella tasolla. Kattava omaisuusluettelo voisi sisältää kunkin omaisuuserän osalta ainakin sellaiset tiedot kuin yksilöllinen tunniste, omaisuuserän omistaja, kuvaus, sijainti ja tyyppi, omaisuuserän yhteydessä käsiteltävien tietojen tyyppi ja turvallisuusluokitus, omaisuuserän viimeisimmän päivityksen tai paikkauksen päivämäärä, riskinarvioinnin perusteella määritetty omaisuuserän turvallisuusluokitus sekä omaisuuserän käyttöiän päättyminen. Omaisuuserän omistajan määrittämisen yhteydessä asianomaisten toimijoiden olisi myös yksilöitävä henkilö, joka vastaa kyseisen omaisuuserän suojaamisesta.

(27)

Kyberturvallisuuteen liittyvien roolien, vastuiden ja valtuuksien jakamisella ja organisoinnilla olisi luotava johdonmukainen rakenne asianomaisten toimijoiden sisäiselle kyberturvallisuuden hallinnalle ja täytäntöönpanolle sekä varmistettava tehokas tiedottaminen poikkeamien sattuessa. Tiettyjä tehtäviä koskevia vastuita määritellessään ja jakaessaan asianomaisten toimijoiden olisi harkittava sellaisia rooleja kuin tietoturvapäällikkö, tietoturvavastaava, poikkeamien käsittelystä vastaava henkilö ja tarkastaja taikka vastaavia rooleja. Asianomaiset toimijat voivat osoittaa rooleja ja vastuita myös ulkopuolisille osapuolille, kuten TVT-palveluntarjoajina oleville kolmansille osapuolille.

(28)

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan mukaisesti kyberturvallisuusriskien hallintatoimenpiteiden on perustuttava kaikki vaaratekijät huomioivaan toimintamalliin, jolla pyritään suojaamaan verkko- ja tietojärjestelmät ja näiden järjestelmien fyysinen ympäristö sellaisilta tapahtumilta kuin varkaus, tulipalo, tulva, televiestintä- tai sähkökatko sekä luvattomalta fyysiseltä pääsyltä keskeisen tai tärkeän toimijan tietoihin tai tietojenkäsittely-ympäristöön ja niille aiheutuvalta vahingolta ja häirinnältä, jotka saattaisivat vaarantaa verkko- ja tietojärjestelmissä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen taikka palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden. Kyberturvallisuusriskien hallintatoimenpiteiden teknisissä ja menetelmiin liittyvissä vaatimuksissa olisi sen vuoksi käsiteltävä myös verkko- ja tietojärjestelmien fyysistä ja ympäristön turvallisuutta sisällyttämällä niihin toimenpiteitä, joilla suojataan tällaiset järjestelmät järjestelmähäiriöiltä, inhimillisiltä virheiltä, vihamielisiltä teoilta tai luonnonilmiöiltä. Muita esimerkkejä fyysisistä ja ympäristöuhkista voivat olla maanjäristykset, räjähdykset, sabotaasi, sisäpiiriuhka, yhteiskunnalliset levottomuudet, myrkylliset jätteet ja ympäristöpäästöt. Verkko- ja tietojärjestelmien menettäminen, vahingoittuminen tai vaarantuminen tai niiden toiminnan keskeytyminen yhdyskuntapalvelujen vikaantumisen tai häiriöiden takia olisi estettävä tavalla, joka edistää asianomaisten toimijoiden toiminnan jatkuvuutta. Lisäksi fyysisiltä ja ympäristöuhkilta suojautumisen olisi edistettävä asianomaisten toimijoiden verkko- ja tietojärjestelmien ylläpidon turvallisuutta.

(29)

Asianomaisten toimijoiden olisi suunniteltava ja toteutettava suojatoimenpiteitä fyysisiä ja ympäristöuhkia vastaan, määritettävä fyysisiä ja ympäristöuhkia varten hyväksyttävät vähimmäis- ja enimmäiskynnysarvot sekä seurattava ympäristöparametreja. Niiden olisi esimerkiksi harkittava sellaisten järjestelmien asentamista, joilla voidaan jo varhaisessa vaiheessa havaita tulvat verkko- ja tietojärjestelmien sijaintialueilla. Palovaaran osalta asianomaisten toimijoiden olisi harkittava erillisen palo-osaston käyttöönottoa datakeskusta varten, palonkestävien materiaalien käyttöä, lämpötila- ja kosteusantureita, rakennuksen kytkemistä palohälytysjärjestelmään, joka ilmoittaa palosta automaattisesti paikalliselle palolaitokselle, sekä palon varhaishavaitsemis- ja sammutusjärjestelmiä. Asianomaisten toimijoiden olisi myös toteutettava säännöllisesti paloharjoituksia ja palotarkastuksia. Virransyötön varmistamiseksi asianomaisten toimijoiden olisi lisäksi harkittava ylijännitesuojausta ja vastaavaa varavoimanlähdettä asiaankuuluvien standardien mukaisesti. Koska ylikuumeneminen aiheuttaa riskin verkko- ja tietojärjestelmien saatavuudelle, asianomaiset toimijat, erityisesti datakeskuspalvelujen tarjoajat, voisivat harkita asianmukaisia, jatkuvatoimisia ja ylimääräisiä ilmastointijärjestelmiä.

(30)

Tässä asetuksessa täsmennetään tapaukset, joissa poikkeama olisi katsottava merkittäväksi direktiivin (EU) 2022/2555 23 artiklan 3 kohdassa tarkoitetulla tavalla. Kriteerien olisi oltava sellaiset, että asianomaiset toimijat voivat arvioida, onko kyseessä merkittävä poikkeama, josta on ilmoitettava direktiivin (EU) 2022/2555 mukaisesti. Lisäksi tässä asetuksessa vahvistettuja kriteerejä olisi pidettävä tyhjentävinä, sanotun kuitenkaan rajoittamatta direktiivin (EU) 2022/2555 5 artiklan soveltamista. Asetuksessa täsmennetään tapaukset, joissa poikkeama olisi katsottava merkittäväksi, vahvistamalla sekä horisontaaliset tapaukset että toimijakohtaiset erityistapaukset.

(31)

Direktiivin (EU) 2022/2555 23 artiklan 4 kohdan mukaan asianomaisten toimijoiden olisi ilmoitettava merkittävistä poikkeamista kyseisessä säännöksessä asetetuissa määräajoissa. Ilmoittamisen määräajat alkavat kulua siitä hetkestä, kun toimija tulee tietoiseksi tällaisesta merkittävästä poikkeamasta. Asianomaisen toimijan on sen vuoksi raportoitava poikkeamista, jotka voivat toimijan alustavan arvioinnin perusteella johtaa vakaviin palvelun toimintahäiriöihin tai aiheuttaa kyseiselle toimijalle suuria taloudellisia tappioita tai vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista ja aineetonta vahinkoa. Näin ollen kun asianomainen toimija on havainnut epäilyttävän tapahtuman tai kun kolmas osapuoli, kuten yksityishenkilö, asiakas, yhteisö, viranomainen, mediaorganisaatio tai muu lähde, on saattanut mahdollisen poikkeaman toimijan tietoon, asianomaisen toimijan olisi arvioitava epäilyttävä tapahtuma viipymättä sen määrittämiseksi, onko kyseessä poikkeama, ja jos on, määritettävä myös sen luonne ja vakavuus. Asianomaisen toimijan katsotaan näin ollen ”tulleen tietoiseksi” merkittävästä poikkeamasta, kun kyseinen toimija on tällaisen alustavan arvioinnin perusteella saanut kohtuullisen varmuuden siitä, että kyseessä on merkittävä poikkeama.

(32)

Sen määrittämiseksi, onko poikkeama merkittävä, asianomaisten toimijoiden olisi tarvittaessa laskettava niiden käyttäjien lukumäärä, joihin poikkeama vaikuttaa, ottaen huomioon kaikki yritys- ja loppukäyttäjät, joiden kanssa asianomaisilla toimijoilla on sopimussuhde, sekä kaikki yritysasiakkaisiin liittyvät luonnolliset henkilöt ja oikeushenkilöt. Jos asianomainen toimija ei pysty laskemaan niiden käyttäjien lukumäärää, joihin poikkeama vaikuttaa, poikkeaman vaikutusten kohteena olevien käyttäjien kokonaismäärän laskennassa olisi otettava huomioon asianomaisen toimijan arvio niiden käyttäjien enimmäismäärästä, joihin poikkeama vaikuttaa. Luottamuspalveluun liittyvän poikkeaman merkittävyys olisi määritettävä paitsi käyttäjien lukumäärän myös luottavien osapuolten lukumäärän perusteella, koska luottamuspalveluun liittyvä merkittävä poikkeama voi yhtä lailla aiheuttaa näille osapuolille toimintahäiriöitä ja aineellista tai aineetonta vahinkoa. Sen vuoksi luottamuspalvelun tarjoajien olisi tapauksen mukaan otettava huomioon myös luottavien osapuolten lukumäärä poikkeaman merkittävyyttä määrittäessään. Tässä yhteydessä luottavilla osapuolilla tarkoitetaan luonnollisia henkilöitä tai oikeushenkilöitä, jotka luottavat luottamuspalveluun.

(33)

Huoltotöistä johtuvia palvelun rajoitettua käytettävyyttä tai käyttökatkoksia ei pitäisi katsoa merkittäviksi poikkeamiksi, jos palvelun rajoitettu käytettävyys tai käyttökatkos tapahtuu määräaikaishuollon yhteydessä. Merkittäviksi poikkeamiksi ei pitäisi katsoa myöskään tapauksia, joissa palvelu ei ole käytettävissä suunniteltujen keskeytysten, kuten sopimukseen perustuvien ennalta määritettyjen keskeytysten tai käyttökatkosten, vuoksi.

(34)

Palvelun saatavuuteen vaikuttavan poikkeaman kesto olisi mitattava palvelun asianmukaisen tarjoamisen keskeytymisestä palvelun palautumishetkeen. Jos asianomainen toimija ei pysty määrittämään poikkeaman alkamishetkeä, poikkeaman kesto olisi mitattava siitä hetkestä alkaen, kun poikkeama havaittiin tai kun poikkeama on kirjattu verkko- tai järjestelmälokeihin tai muihin tietolähteisiin, sen mukaan, kumpi ajankohta on aikaisempi.

(35)

Palvelun täydellinen käyttökatkos olisi mitattava siitä hetkestä alkaen, kun palvelu ei ollut enää käyttäjien saatavilla, siihen hetkeen asti, kun säännöllinen toiminta tai toiminnot on palautettu poikkeamaa edeltävälle palvelutasolle. Jos asianomainen toimija ei pysty määrittämään palvelun täydellisen käyttökatkoksen alkamishetkeä, käyttökatkoksen kesto olisi mitattava siitä hetkestä alkaen, kun kyseinen toimija havaitsi käyttökatkoksen.

(36)

Määrittäessään poikkeamasta aiheutuneita välittömiä taloudellisia menetyksiä asianomaisten toimijoiden olisi otettava huomioon kaikki poikkeamasta aiheutuneet taloudelliset tappiot, kuten ohjelmistojen, laitteistojen tai infrastruktuurin korvaamisesta tai siirtämisestä aiheutuneet kustannukset, henkilöstökustannukset, mukaan lukien kustannukset, jotka liittyvät henkilöstön korvaamiseen tai siirtämiseen, lisähenkilöstön palkkaamiseen, ylityökorvauksiin sekä menetettyjen tai heikentyneiden taitojen palauttamiseen, sopimusvelvoitteiden noudattamatta jättämisestä aiheutuneet maksut, asiakkaille maksettavista hyvityksistä ja korvauksista aiheutuneet kustannukset, menetetyistä tuloista aiheutuneet tappiot, sisäiseen ja ulkoiseen tiedottamiseen liittyvät kustannukset, neuvontakustannukset, mukaan lukien oikeudelliseen neuvontaan, rikosteknisiin palveluihin ja korjauspalveluihin liittyvät kustannukset, sekä muut poikkeukseen liittyvät kustannukset. Hallinnollisia sakkoja ja päivittäisen liiketoiminnan kannalta välttämättömiä kustannuksia ei kuitenkaan pitäisi katsoa poikkeamasta johtuviksi taloudellisiksi tappioiksi. Tällaisia kustannuksia ovat muun muassa infrastruktuurin, laitteiden, laitteistojen ja ohjelmistojen yleisestä ylläpidosta aiheutuvat kustannukset sekä henkilöstön taitojen ylläpidosta aiheutuvat kustannukset, sisäiset tai ulkoiset kustannukset, joita aiheutuu liiketoiminnan parantamisesta poikkeaman jälkeen, mukaan lukien päivitykset, parannukset ja riskinarviointihankkeet, sekä vakuutusmaksut. Asianomaisten toimijoiden olisi laskettava taloudellisten tappioiden määrät saatavilla olevien tietojen perusteella, ja jos taloudellisten tappioiden tosiasiallisia määriä ei voida määrittää, toimijoiden olisi arvioitava kyseiset määrät.

(37)

Asianomaiset toimijat olisi myös velvoitettava ilmoittamaan poikkeamista, jotka ovat aiheuttaneet tai voivat aiheuttaa luonnollisten henkilöiden kuoleman tai huomattavaa vahinkoa luonnollisten henkilöiden terveydelle, koska tällaiset vaaratilanteet ovat erityisen vakavia tapauksia, joissa aiheutuu huomattavaa aineellista tai aineetonta vahinkoa. Asianomaiseen toimijaan vaikuttava poikkeama voi esimerkiksi aiheuttaa terveydenhuolto- tai hätäpalvelujen käyttökatkoksen tai vaikuttaa tietojen luottamuksellisuuteen tai eheyteen ja sitä kautta myös luonnollisten henkilöiden terveyteen. Sen määrittämiseksi, onko poikkeama aiheuttanut tai voiko se aiheuttaa huomattavaa vahinkoa luonnollisen henkilön terveydelle, asianomaisten toimijoiden olisi selvitettävä, onko poikkeama aiheuttanut tai voiko se aiheuttaa vakavia vammoja ja terveysongelmia. Tätä varten asianomaisia toimijoita ei kuitenkaan pitäisi vaatia keräämään lisätietoja, joihin niillä ei ole pääsyä.

(38)

Palvelun olisi katsottava olevan rajoitetusti käytettävissä esimerkiksi silloin, kun asianomaisen toimijan tarjoama palvelu toimii huomattavasti keskimääräistä vasteaikaa hitaammin tai kun kaikki palvelun toiminnot eivät ole käytettävissä. Vasteaikaviiveiden arvioinnin olisi mahdollisuuksien mukaan perustuttava objektiivisiin kriteereihin, jotka perustuvat asianomaisten toimijoiden tarjoamien palvelujen keskimääräisiin vasteaikoihin. Palvelun toimintoja voivat olla esimerkiksi chat-toiminto tai kuvahakutoiminto.

(39)

Onnistunut, epäilty vihamielinen ja luvaton pääsy asianomaisen toimijan verkko- ja tietojärjestelmiin on katsottava merkittäväksi poikkeamaksi, jos tällainen pääsy voi aiheuttaa vakavia toimintahäiriöitä. Poikkeamaa olisi pidettävä merkittävänä, jos esimerkiksi kyberuhan aiheuttaja on etukäteen sijoittautunut asianomaisen toimijan verkko- ja tietojärjestelmiin tarkoituksenaan aiheuttaa häiriöitä palveluissa tulevaisuudessa.

(40)

Toistuvat poikkeamat, jotka liittyvät samaan ilmeiseen perimmäiseen syyhyn mutta jotka yksittäin eivät täytä merkittävän poikkeaman kriteerejä, olisi katsottava yhdeksi merkittäväksi poikkeamaksi edellyttäen, että ne yhdessä täyttävät taloudellisten tappioiden kriteerin ja että niitä on tapahtunut vähintään kaksi kuuden kuukauden sisällä. Tällaiset toistuvat poikkeamat voivat viitata merkittäviin puutteisiin ja heikkouksiin asianomaisen toimijan kyberturvallisuusriskien hallintamenettelyissä ja kyberturvallisuuden kehitystasossa. Lisäksi toistuvat poikkeamat voivat aiheuttaa merkittäviä taloudellisia tappioita asianomaiselle toimijalle.

(41)

Komissio on vaihtanut neuvoja ja tehnyt yhteistyötä yhteistyöryhmän ja ENISAn kanssa ehdotuksista täytäntöönpanosäädöksiksi direktiivin (EU) 2022/2555 21 artiklan 5 kohdan ja 23 artiklan 11 kohdan mukaisesti.

(42)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (3) 42 artiklan 1 kohdan mukaisesti, ja hän antoi lausuntonsa 1 päivänä syyskuuta 2024.

(43)

Tässä asetuksessa säädetyt toimenpiteet ovat direktiivin (EU) 2022/2555 39 artiklan mukaisesti perustetun komitean lausunnon mukaiset,