KOMISJONI RAKENDUSMÄÄRUS (EL) 2024/2690, 17. oktoober 2024, millega kehtestatakse seoses domeeninimede süsteemi teenuse osutajate, tippdomeeninimede registrite, pilvandmetöötlusteenuse osutajate, andmekeskusteenuse osutajate, sisulevivõrgu pakkujate, hallatud teenuse osutajate, turbetarnijate ning internetipõhiste kauplemiskohtade, internetipõhiste otsingumootorite, sotsiaalvõrguteenuse platvormide ja usaldusteenuse pakkujatega direktiivi (EL) 2022/2555 kohaldamise eeskirjad, mis puudutavad küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid ja selliste juhtude täpsemat kindlaksmääramist, mille korral peetakse intsidenti oluliseks (EMPs kohaldatav tekst)

(1)

Käesoleva määruse eesmärk on kehtestada direktiivi (EL) 2022/2555 artiklis 3 käsitletud domeeninimede süsteemi teenuse osutajate, tippdomeeninimede registrite, pilvandmetöötlusteenuse osutajate, andmekeskusteenuse osutajate, sisulevivõrgu pakkujate, hallatud teenuse osutajate, turbetarnijate ning internetipõhiste kauplemiskohtade, internetipõhiste otsingumootorite, sotsiaalvõrguteenuse platvormide ja usaldusteenuse pakkujate (asjaomased üksused) suhtes direktiivi (EL) 2022/2555 artikli 21 lõikes 2 osutatud meetmete tehnilised ja metoodilised nõuded ja määrata täpsemalt kindlaks juhud, mille korral tuleks intsidenti pidada oluliseks direktiivi (EL) 2022/2555 artikli 23 lõike 3 tähenduses.

(2)

Võttes arvesse usaldusteenuse osutajate tegevuse piiriülest iseloomu ja selleks, et tagada neile sidus raamistik, tuleks käesolevas määruses lisaks küberturvalisuse riskijuhtimismeetmete tehniliste ja metoodiliste nõuete kehtestamisele määrata usaldusteenuse osutajate jaoks täpsemalt kindlaks juhud, mille korral peetakse intsidenti oluliseks.

(3)

Tulenevalt direktiivi (EL) 2022/2555 artikli 21 lõike 5 kolmandast lõigust põhinevad käesoleva määruse lisas esitatud küberturvalisuse riskijuhtimismeetmete tehnilised ja metoodilised nõuded Euroopa ja rahvusvahelistel standarditel, nagu ISO/IEC 27001, ISO/IEC 27002 ja ETSI EN 319401, ja tehnilistel nõuetel, nagu CEN/TS 18026:2024, mis puudutavad võrgu- ja infosüsteemide turvalisust.

(4)

Mis puudutab käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete tehniliste ja metoodiliste nõuete rakendamist ja kohaldamist, siis tuleb nende nõuete järgimisel võtta kooskõlas proportsionaalsuse põhimõttega nõuetekohaselt arvesse asjaomaste üksuste erinevat kokkupuudet riskidega, näiteks asjaomase üksuse olulisust, riske, millega ta kokku puutub, asjaomase üksuse suurust ja struktuuri ning intsidentide esinemise tõenäosust ja intsidentide tõsidust, kaasa arvatud nende ühiskondlikku ja majanduslikku mõju.

(5)

Kui asjaomased üksused ei saa mõningaid küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid rakendada oma suuruse tõttu, peaks neil üksustel olema võimalus võtta kooskõlas proportsionaalsuse põhimõttega muid kompenseerivaid meetmeid, mis sobivad nende nõuete eesmärgi saavutamiseks. Näiteks asjaomase üksuse sees võrgu- ja infosüsteemide turvalisusega seotud rollide, vastutusalade ja volituste kindlaksmääramisel võib mikroüksustel olla keeruline vastuolus olevaid ülesandeid ja vastutusvaldkondi lahus hoida. Sellistel üksustel peaks olema võimalik kaaluda kompenseerivaid meetmeid, nagu üksuse juhtkonna poolne sihipärane järelevalve või ulatuslikum seire ja logimine.

(6)

Teatavaid käesoleva määruse lisas sätestatud tehnilisi ja metoodilisi nõudeid tuleks asjaomaste üksuste suhtes kohaldada, kui see on otstarbekas, kui see on kohaldatav või niivõrd, kui see on teostatav. Kui asjaomane üksus leiab, et käesoleva määruse lisas sätestatud tehniliste ja metoodiliste nõuete kohaldamine ei ole tema jaoks otstarbekas, kohaldatav või teostatav, peaks ta oma sellekohased põhjendused arusaadavalt dokumenteerima. Riikide pädevad asutused võivad järelevalvet tehes arvesse võtta, kui palju aega on asjaomastel üksustel küberturvalisuse riskijuhtimismeetmete tehniliste ja metoodiliste nõuete rakendamiseks vaja.

(7)

ENISA või direktiivi (EL) 2022/2555 alusel pädevad riiklikud asutused võivad anda juhiseid, et toetada asjaomaseid üksusi riskide kindlakstegemisel, analüüsimisel ja hindamisel, et rakendada tehnilisi ja metoodilisi nõudeid seoses asjakohase riskijuhtimisraamistiku loomise ja haldamisega. Sellised juhised võivad muu hulgas sisaldada eeskätt riiklikke ja sektoripõhiseid riskihindamisi ning konkreetset üksuse liiki puudutavaid riskihindamisi. Juhised võivad sisaldada ka töövahendeid või malle, mille põhjal töötada välja riskijuhtimisraamistik asjaomase üksuse tasandil. Lisaks asjaomastele Euroopa ja rahvusvahelistele standarditele võivad asjaomastel üksustel aidata käesoleva määruse nõuete täitmist tõendada ka liikmesriikide siseriikliku õigusega ettenähtud raamistikud, juhised või muud mehhanismid. Peale selle võivad ENISA ja direktiivi (EL) 2022/2555 alusel pädevad riiklikud asutused toetada asjaomaseid üksusi selliste riskihindamiste käigus kindlaks tehtud riskide käsitlemiseks sobivate lahenduste leidmisel ja rakendamisel. Sellised juhised ei tohiks piirata asjaomaste üksuste kohustust teha kindlaks võrgu- ja infosüsteemide turvalisust ohustavad riskid ja need dokumenteerida ega asjaomaste üksuste kohustust rakendada käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid vastavalt oma vajadustele ja ressurssidele.

(8)

Võrguturbemeetmed, mis puudutavad: i) üleminekut võrgukihi viimase põlvkonna sideprotokollidele, ii) rahvusvaheliselt kokkulepitud ja koostalitlusvõimeliste nüüdisaegsete meiliedastusstandardite kasutuselevõttu ning iii) parimate tavade rakendamist domeeninimede süsteemi turvalisuse, internetimarsruutide turvalisuse ja marsruutimishügieeni vallas, on seotud spetsiifiliste probleemidega parimate olemasolevate standardite ja kasutuselevõtumooduste kindlakstegemisel. Selleks, et saavutada kõigis võrkudes võimalikult kiiresti küberturvalisuse ühtlaselt kõrge tase, peaks komisjon Euroopa Liidu Küberturvalisuse Ameti (ENISA) abiga ning koostöös pädevate asutuste, tööstuse (sh telekommunikatsioonitööstuse) ja muude sidusrühmadega toetama eri huvirühmi ühendava foorumi väljatöötamist, et anda sellele foorumile ülesanne teha kindlaks parimad kasutatavad standardid ja kasutuselevõtumoodused. Sellised mitme sidusrühma antavad juhised ei tohiks piirata asjaomaste üksuste kohustust rakendada käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid.

(9)

Vastavalt direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktile a peaksid elutähtsatel ja olulistel üksustel olema lisaks riskianalüüsi põhimõtetele ka infosüsteemide turvalisuse põhimõtted. Selleks peaksid asjaomased üksused kehtestama võrgu- ja infosüsteemide turvalisuse põhimõtted ning temaatilised põhimõtted, näiteks pääsukontrolli põhimõtted, mis peaksid olema võrgu- ja infosüsteemide turvalisuse põhimõtetega kooskõlas. Võrgu- ja infosüsteemide turvalisuse põhimõtete näol peaks olema tegemist kõrgeima tasandi dokumendiga, milles sätestatakse asjaomaste üksuste üldine lähenemisviis nende võrgu- ja infosüsteemide turvalisusele ja mille peaksid heaks kiitma asjaomaste üksuste juhtorganid. Temaatilised põhimõtted tuleks heaks kiita asjakohasel juhtimistasandil. Süsteemide turvalisuse põhimõtetes tuleks kehtestada näitajad ja meetmed, et hoida silma peal põhimõtete rakendamisel ning asjaomaste üksuste võrgu- ja infoturbe selle hetke küpsuse tasemel, eeskätt selleks, et hõlbustada küberturvalisuse riskijuhtimismeetmete rakendamise järelevalvet juhtorganite kaudu.

(10)

Käesoleva määruse lisas sätestatud tehniliste ja metoodiliste nõuete kohaldamisel peaks mõiste „kasutaja“ hõlmama kõiki juriidilisi ja füüsilisi isikuid, kellel on juurdepääs üksuse võrgu- ja infosüsteemidele.

(11)

Selleks, et teha kindlaks võrgu- ja infosüsteemide riskid ja nendega tegeleda, peaksid asjaomased üksused kehtestama asjakohase riskijuhtimisraamistiku ja seda haldama. Riskijuhtimisraamistiku ühe osana peaksid asjaomased üksused kehtestama riskikäsitluskava ning seda rakendama ja tegema selle seiret. Asjaomased üksused võivad kasutada riskikäsitluskava, et riskikäsitlusvõimalusi ja -meetmeid kindlaks määrata ja prioriseerida. Riskikäsitlusvõimaluste hulka kuuluvad näiteks riski vältimine, vähendamine või erandjuhtudel aktsepteerimine. Riskikäsitlusvõimaluste valikul tuleks arvesse võtta asjaomase üksuse tehtud riskihindamise tulemusi ning see peaks olema kooskõlas asjaomase üksuse võrgu- ja infosüsteemide turvalisuse põhimõtetega. Valitud riskikäsitlusvõimaluste rakendamiseks peaksid asjaomased üksused võtma asjakohaseid riskikäsitlusmeetmeid.

(12)

Asjaomased üksused peaksid tegema oma võrgu- ja infosüsteemide seiret, et avastada sündmusi, intsidendiohte ja intsidente, ning võtma meetmeid nende sündmuste, intsidendiohtude ja intsidentide hindamiseks. Need meetmed peaksid võimaldama õigeaegselt avastada võrgupõhiseid ründeid, tuginedes siseneva ja väljuva võrguliikluse mustrites esinevatele anomaaliatele, ja teenusetõkestusründeid.

(13)

Kui asjaomased üksused teevad äritoime analüüsi, julgustatakse neid põhjaliku analüüsi käigus kindlaks määrama maksimaalse talutava seisuaja, taaste sihtkestused, taaste sihtseisud ja teenusesihid, olenevalt sellest, mis on asjakohane.

(14)

Leevendamaks riske, mis johtuvad asjaomase üksuse tarneahelast ja tema suhtest oma tarnijatega, peaksid asjaomased üksused kehtestama tarneahela turvalisuse põhimõtted, mis reguleerivad nende suhteid nende otseste tarnijate ja teenuseosutajatega. Need üksused peaksid oma otseste tarnijate või teenuseosutajatega sõlmitavates lepingutes sätestama piisavad turvaklauslid, milles nõutakse, kui see on asjakohane, küberturvalisuse riskijuhtimismeetmeid vastavalt direktiivi (EL) 2022/2555 artikli 21 lõikele 2 või muudele samalaadsetele õiguslikele nõuetele.

(15)

Asjaomased üksused peaksid sellekohastele põhimõtetele ja protseduuridele tuginedes tegema korrapäraselt turvalisuse teste, et kontrollida, kas küberturvalisuse riskijuhtimismeetmeid rakendatakse ja kas need toimivad nõuetekohaselt. Turvalisuse teste võib teha konkreetsete võrgu- ja infosüsteemide või asjaomase üksuse kui terviku kohta ning need võivad sisaldada automatiseeritud või käsiteste, läbistusteste, nõrkuseotsinguid, rakenduste turvalisuse staatilisi ja dünaamilisi teste, konfiguratsiooniteste ja turvaauditeid. Asjaomased üksused võivad teha oma võrgu- ja infosüsteemides teste nende rajamise ajal, pärast taristu või rakenduste oluliseks peetavat uuendamist või muutmist või pärast hooldust. Turvalisuse testide tulemusi tuleks kasutada asjaomase üksuse põhimõtetes ja protseduurides, et hinnata küberturvalisuse riskijuhtimismeetmete toimivust, aga ka nende võrgu- ja infoturbepõhimõtete sõltumatutes läbivaatamistes.

(16)

Hoidmaks ära võrgu- ja infosüsteemide paikamata nõrkuste ärakasutamisest tulenevaid märkimisväärseid katkestusi ja kahju, peaksid asjaomased üksused kehtestama asjakohased turbepaikade haldamise protseduurid, mis on kooskõlas asjaomase üksuse muudatustehalduse, nõrkusehalduse, riskijuhtimise ja muude asjakohaste protseduuridega, ja neid rakendama. Asjaomased üksused peaksid võtma oma ressursside seisukohast proportsionaalseid meetmeid tagamaks, et turbepaikadega ei tekitata täiendavaid nõrkusi või ebastabiilsust. Kui turbepaiga rakendamise tõttu on teenus plaanitult kättesaamatu, soovitatakse asjaomastel üksustel klientidele sellest eelnevalt teada anda.

(17)

Asjaomased üksused peaksid juhtima riske, mis tulenevad IKT-toodete või IKT-teenuste hankimisest tarnijatelt või teenusepakkujatelt, ning saama kinnituse, et hangitavad IKT-tooted või IKT-teenused vastavad teatavale küberturvalisuse kaitse tasemele, näiteks Euroopa küberturvalisuse sertifikaadi või ELi vastavusdeklaratsiooni näol, mis on IKT-toodetele või IKT-teenustele väljastatud Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 (2) artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kava alusel. Kui asjaomased üksused kehtestavad hangitavate IKT-toodete suhtes kohaldatavad turvanõuded, peaksid nad arvesse võtma olulisi küberturvalisuse nõudeid, mis on sätestatud Euroopa Parlamendi ja nõukogu määruses, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid.

(18)

Asjaomased üksused peaksid rakendama võrguturbelahendusi, et kaitsta küberohtude eest ning toetada andmetega seotud rikkumiste ennetamist ja ohjeldamist. Tavapäraste võrguturbelahenduste hulka kuuluvad tulemüüride kasutamine asjaomase üksuse sisevõrgu kaitsmiseks, ühenduste ja teenustele juurdepääsu piiramine üksnes nende teenustega, mille puhul on ühendused ja juurdepääs ilmtingimata vajalikud, ning virtuaalsete privaatvõrkude kasutamine kaugjuurdepääsuks ja teenuseosutajate ühenduste lubamine alles pärast volitustaotlust ja kindlaksmääratud aja jooksul, näiteks hooldustoimingu kestel.

(19)

Et kaitsta oma võrke ja infosüsteeme kuritahtliku ja loata tarkvara eest, peaksid asjaomased üksused rakendama kontrollimeetmeid, mis hoiavad ära loata tarkvara kasutamise või suudavad selle avastada, ning vajaduse korral peaksid nad kasutama avastamise ja reageerimise tarkvara. Asjaomased üksused peaksid kaaluma ka selliste meetmete rakendamist, mis aitaksid ründepinna võimalikult väikeseks muuta, vähendaksid nõrkusi, mida ründajad saavad ära kasutada, juhiksid rakenduste käitamist lõppseadmetes ning võtaksid kasutusele e-posti ja veebirakenduste filtrid, et vähendada kokkupuuteid kuritahtliku sisuga.

(20)

Vastavalt direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktile g peavad liikmesriigid tagama, et elutähtsad ja olulised üksused kasutavad küberhügieeni põhitavasid ja küberturvalisuse koolitusi. Küberhügieeni põhitavade hulka võivad kuuluda usaldamatuse põhimõte, tarkvarauuendused, seadmete konfiguratsioon, võrgu segmentimine, identiteedi ja juurdepääsu haldus ning kasutajateadlikkus, oma töötajatele koolituste korraldamine ning teadlikkuse suurendamine küberohtude, andmepüügi ja inimestega manipuleerimise meetodite kohta. Küberhügieeni tavad on käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete mitmesuguste tehniliste ja metoodiliste nõuete üks osa. Kasutajate küberhügieeni põhitavade osas peaksid asjaomased üksused kaaluma selliseid tavasid nagu puhta laua ja puhta ekraani poliitika, mitmikautentimise ja muude autentimisvahendite kasutamine, turvaline e-posti kasutamine ja veebi brausimine, kaitse andmepüügi ja sotsiaalse manipulatsiooni eest ning kaugtöö turvalised tavad.

(21)

Selleks, et hoida ära loata juurdepääs oma varadele, peaksid asjaomased üksused kehtestama isikute ning võrgu- ja infosüsteemide, näiteks rakenduste juurdepääsu käsitlevad temaatilised põhimõtted ja neid rakendama.

(22)

Hoidmaks ära seda, et kasutajad saavad kuritarvitada näiteks juurdepääsuõigusi asjaomase üksuse sees kahju tegemise eesmärgil, peaksid asjaomased üksused kaaluma asjakohaseid töötajatega seotud turvalisuse haldamise meetmeid ning suurendama töötajate teadlikkust sellistest riskidest. Asjaomased üksused peaksid kehtestama oma võrgu- ja infosüsteemi turvalisuse põhimõtete rikkumiste käsitlemiseks distsiplinaarmenetluse, mis võib olla nende üksuste kehtestatud muude distsiplinaarmenetluste osa, ning sellest menetlusest teatama ja seda haldama. Asjaomase üksuse töötajate ja vajaduse korral otseste tarnijate ja teenuseosutajate tausta kontrollimine peaks toetama asjaomaste üksuste personalialase turvalisuse eesmärki ning see võib sisaldada selliseid meetmeid nagu isiku karistusregistri andmete või varasemate ametikohustuste kontrollimine vastavalt isiku ülesannetele asjaomases üksuses ja kooskõlas asjaomase üksuse võrgu- ja infosüsteemide turvalisuse põhimõtetega.

(23)

Mitmikautentimine võib parandada üksuste küberturvalisust ja üksused peaksid seda kaaluma eeskätt siis, kui kasutajatel on võrgu- ja infosüsteemidele kaugjuurdepääs või kui neil on juurdepääs tundlikule teabele või eeliskontodele ja süsteemihalduskontodele. Mitmikautentimist võib kasutada koos muude meetoditega, et nõuda konkreetsete asjaolude korral täiendavaid tegureid, tuginedes eelnevalt kindlaks määratud reeglitele ja mustritele, nagu juurdepääs ebatavalisest kohast, ebatavalisest seadmest või ebatavalisel ajal.

(24)

Asjaomased üksused peaksid haldama ja kaitsma nende jaoks väärtuslikke varasid usaldusväärse varade haldamisega, millest tuleks ühtlasi lähtuda riski analüüsimisel ja talitluspidevuse juhtimisel. Asjaomased üksused peaksid haldama nii materiaalset kui ka immateriaalset vara ning nad peaksid looma varaloendi, seostama varad kindlaksmääratud liigitustasemega, varasid käitlema ja jälgima ning võtma meetmeid varade kaitsmiseks kogu nende elutsükli jooksul.

(25)

Varade haldamine peaks hõlmama varade liigitamist vastavalt nende liigile, tundlikkusele, riskitasemele ja turvanõuetele ning asjakohaste meetmete ja kontrollide kohaldamist, et tagada nende käideldavus, terviklus, konfidentsiaalsus ja autentsus. Kui asjaomane üksus liigitab varad vastavalt riskitasemele, peaks tal olema võimalik kasutada varade kaitsmiseks asjakohaseid turvameetmeid ja -kontrolle, nagu krüpteerimine, juurdepääsukontroll, sealhulgas perimeetri kontroll ning füüsilise ja loogilise juurdepääsu meetmed, varukoopiad, logimine ja seire, säilitamine ja kõrvaldamine. Ärimõju analüüsi tehes võivad asjaomased üksused määrata liigitustaseme kindaks selle põhjal, millised oleksid varaga seotud katkestuse tagajärjed üksuste jaoks. Kõik üksuse töötajad, kes tegelevad varade käitlemisega, peaksid olema tuttavad varade käitlemise põhimõtete ja juhistega.

(26)

Varaloendi detailsuse tase peaks vastama asjaomaste üksuste vajadustele. Põhjalikku varaloendisse võiks iga vara kohta olla kantud vähemalt kordumatu tunnus, vara omanik, vara kirjeldus, vara asukoht, vara liik, varas töödeldava teabe liik ja liigitus, vara viimase uuendamise või paikamise kuupäev, vara liigitus vastavalt riskihindamisele ja vara ealõpp. Vara omaniku nimetamisel peaksid asjaomased üksused nimetama ka kõnealuse vara kaitsmise eest vastutava isiku.

(27)

Küberturvalisuse rollide, ülesannete ja volituste määramine peaks tekitama asjaomastes üksustes küberturvalisuse juhtimise ja rakendamise ühtse struktuuri ning tagama intsidentide korral tulemusliku suhtluse. Teatavate rollide vastutusalade määratlemisel ja määramisel peaksid asjaomased üksused kaaluma selliseid rolle nagu infoturbejuht, infoturbeametnik, intsidendikäsitlusega tegelev ametnik, audiitor või võrreldavad ametikohad. Asjaomased üksused võivad määrata rolle ja ülesandeid ka välistele isikutele, näiteks kolmandast isikust IKT-teenuse osutajatele.

(28)

Vastavalt direktiivi (EL) 2022/2555 artikli 21 lõikele 2 peavad küberturvalisuse riskijuhtimismeetmed põhinema kõiki ohte hõlmaval lähenemisviisil, mille eesmärk on kaitsta võrgu- ja infosüsteeme ning nende süsteemide füüsilist keskkonda selliste olukordade eest nagu vargus, tulekahju, üleujutus, telekommunikatsiooni- või elektrikatkestus või loata füüsiline juurdepääs elutähtsa või olulise üksuse teabe- ja teabetöötlusrajatistele ning nende kahjustamine ja häirimine, mis võib ohustada võrgu- ja infosüsteemides salvestatud, edastatud või töödeldud andmete või nende süsteemide pakutavate või nende kaudu juurdepääsetavate teenuste käideldavust, autentsust, terviklust või konfidentsiaalsust. Seepärast tuleks küberturvalisuse riskijuhtimismeetmete tehnilistes ja metoodilistes nõuetes pöörata tähelepanu ka võrgu- ja infosüsteemide füüsilisele turvalisusele ja nende keskkonna turvalisusele ning lisada tuleks meetmed, et kaitsta selliseid süsteeme tõrgete, inimlike eksimuste, kuritahtliku tegevuse või loodusnähtuste eest. Füüsiliste- ja keskkonnaohtude hulka võivad kuuluda veel maavärinad, plahvatused, sabotaaž, siseoht, rahvarahutused, toksilised jäätmed ja heitmed. Kui hoida ära võrgu- ja infosüsteemide kahju, kahjustusi või rikkumisi või nende süsteemide töö katkemist, mille põhjustab toetavate kommunaalteenuste tõrge või katkestus, peaks see toetama asjaomaste üksuste talitluspidevuse eesmärki. Peale selle peaks asjaomaste üksuste võrgu- ja infosüsteemide hoolduse turvalisust toetama ka kaitse füüsiliste ja keskkonnaohtude eest.

(29)

Asjaomased üksused peaksid kavandama ja rakendama kaitsemeetmeid füüsiliste ja keskkonnaohtude vastu, määrama kindlaks füüsiliste ja keskkonnaohtude kontrolli miinimum- ja maksimumkünnised ja tegema keskkonnaparameetrite seiret. Näiteks peaksid nad kaaluma süsteemide paigaldamist, et avastada võrgu- ja infosüsteemide asukohas üleujutused varakult. Tuleohtu silmas pidades peaksid asjaomased üksused kaaluma eraldi tuletõkkesektsiooni loomist andmekeskuse jaoks, tulekindlate materjalide kasutamist, temperatuuri- ja niiskusandureid, hoone ühendamist tulekahjuhäiresüsteemiga, mis edastaks teabe automaatselt kohalikule tuletõrje- ja päästeteenistusele, ning tulekahju varase avastamise ja kustutamise süsteeme. Samuti peaksid asjaomased üksused korraldama korrapäraseid tuletõrjeharjutusi ja kontrollima tuleohutust. Elektrivarustuse tagamiseks peaksid asjaomased üksused kaaluma ülepingekaitset ja vastavat avariitoiteallikat kooskõlas asjakohaste standarditega. Kuna ülekuumenemine ohustab võrgu- ja infosüsteemide käideldavust, võiksid asjaomased üksused, eelkõige andmekeskusteenuse osutajad, kaaluda piisavate, pidevate ja liiaste kliimaseadmesüsteemide kasutamist.

(30)

Käesolevas määruses tuleb täpsemalt kindlaks määrata juhud, mil intsidenti tuleks käsitada olulisena direktiivi (EL) 2022/2555 artikli 23 lõike 3 kohaldamisel. Kriteeriumid peaksid olema sellised, et asjaomased üksused suudaksid hinnata, kas intsident on oluline, et sellest intsidendist vastavalt direktiivile (EL) 2022/2555 teatada. Ühtlasi tuleks käesolevas määruses sätestatud kriteeriume käsitada ammendavatena ilma, et see piiraks direktiivi (EL) 2022/2555 artikli 5 kohaldamist. Käesolevas määruses määratakse kindlaks juhud, mil intsidenti tuleks käsitada olulisena, ning selleks nähakse ette nii horisontaalsed kui ka üksuse- või liigipõhised juhud.

(31)

Vastavalt direktiivi (EL) 2022/2555 artikli 23 lõikele 4 peaksid asjaomased üksused olema kohustatud teatama olulistest intsidentidest nimetatud lõikes sätestatud tähtaegade jooksul. Sellise teatamistähtaja alguseks loetakse hetk, mil üksus saab sellisest olulisest intsidendist teadlikuks. Seega on asjaomane üksus kohustatud teatama sellistest intsidentidest, mis tema esialgse hinnangu kohaselt võivad põhjustada asjaomase üksuse teenustele tõsiseid tegevushäireid või kõnealusele üksusele rahalist kahju või mõjutada teisi füüsilisi või juriidilisi isikuid, põhjustades märkimisväärset varalist või mittevaralist kahju. Kui asjaomane üksus on avastanud kahtlase sündmuse või kui kolmas isik, näiteks üksikisik, klient, üksus, ametiasutus, meediaorganisatsioon või muu allikas, on juhtinud tema tähelepanu võimalikule intsidendile, peaks asjaomane üksus seega kahtlast sündmust õigeaegselt hindama, et teha kindlaks, kas see kujutab endast intsidenti, ning kui see on nii, siis tegema kindlaks selle laadi ja tõsiduse. Seega tuleb asjaomast üksust käsitada olulisest intsidendist teadlikuna siis, kui see üksus on pärast sellist esialgset hindamist piisavalt kindel, et toimunud on oluline intsident.

(32)

Kui see on asjakohane, peaksid asjaomased üksused intsidendi olulisuse kindlakstegemiseks loendama, kui paljusid kasutajaid intsident mõjutas, võttes arvesse äri- ja lõppkliente, kellega neil asjaomastel üksustel on lepinguline suhe, aga ka äriklientidega seotud füüsilisi ja juriidilisi isikuid. Kui asjaomane üksus ei suuda mõjutatud kasutajaid kokku arvutada, tuleks intsidendist mõjutatud kasutajate koguarvu arvutamiseks kasutada asjaomase üksuse hinnangut sellele, kui paljusid kasutajaid intsident maksimaalselt mõjutada võis. Kui intsidendiga on seotud usaldusteenus, tuleks selle olulisuse kindlaksmääramisel kasutada lisaks mõjutatud kasutajate arvule ka tuginevate isikute arvu, sest usaldusteenusega seotud oluline intsident võib tegevushäirete ning materiaalse ja immateriaalse kahju näol samavõrra mõjutada ka neid. Seepärast peaksid usaldusteenuse osutajad võtma intsidendi olulisuse kindlaksmääramisel arvesse ka tuginevate isikute arvu, kui see on asjakohane, Seepärast tuleks tuginevateks isikuteks pidada füüsilisi ja juriidilisi isikuid, kes tuginevad usaldusteenusele.

(33)

Kui teenuse käideldavus on hooldustööde tõttu piiratud või kui teenus on käideldamatu, ei tuleks seda käsitada olulise intsidendina, kui teenuse piiratud käideldavus või käideldamatus on seotud plaaniliste hooldustöödega. Kui teenuse käideldamatuse põhjuseks on plaaniline katkestus, näiteks eelnevalt kindlaksmääratud lepingujärgse kokkuleppe kohane katkestus või käideldamatus, ei tohiks seda pidada oluliseks intsidendiks.

(34)

Teenuse käideldavust mõjutava intsidendi kestust tuleks mõõta alates sellise teenuse nõuetekohase osutamise katkemisest kuni selle taastumiseni. Kui asjaomane üksus ei suuda kindlaks teha teenuse katkemise hetke, tuleks intsidendi kestust mõõta alates intsidendi avastamise hetkest või hetkest, mil võrgu või süsteemi logidesse või muudesse andmeallikatesse tekib intsidendi kohta kanne, olenevalt sellest, kumb leidis aset varem.

(35)

Teenuse täielikku käideldamatust tuleks mõõta alates hetkest, mil teenus on kasutaja jaoks täiesti käideldamatu, kuni hetkeni, mil tavapärane tegevus või töö taastatakse enne intsidenti pakutud teenuse tasemel. Kui asjaomane üksus ei suuda kindlaks teha, millal teenuse täielik käideldamatus algas, tuleks käideldamatust mõõta alates hetkest, mil kõnealune üksus selle avastas.

(36)

Selleks, et teha kindlaks otseselt intsidendist tulenev rahaline kahju, peaksid asjaomased üksused arvesse võtma kogu rahalist kahju, mis neil intsidendi tulemusena tekkis, näiteks tarkvara, riistvara või taristu asendamise või teisaldamise kulusid, personalikulusid, kaasa arvatud kulusid, mis on seotud töötajate asendamise või ümberpaigutamise, lisatöötajate värbamise, ületunnitöö tasustamise ning kaotatud või vähenenud oskuste taastamisega, lepinguliste kohustuste täitmata jätmisest tulenevaid tasusid; kahju heastamise ja klientidele hüvitamise kulusid, saamata jäänud tulust tulenevat kahju, sise- ja välissuhtlusega seotud kulusid, nõustamiskulusid, sealhulgas õigusnõustamise, kohtuekspertiisi ja parandusteenustega seotud kulusid, ning muid intsidendiga seotud kulusid. Intsidendist tuleneva rahalise kahjuna ei tohiks siiski käsitada haldustrahve ja igapäevaseks äritegevuseks vajalikke kulusid, kaasa arvatud taristu, seadmete, riist- ja tarkvara üldise hoolduse kulud, personali oskuste täiendamise kulud, sise- ja väliskulud, mis on seotud äritegevuse edendamisega pärast intsidenti, sealhulgas ajakohastamised, täiustused ja riskihindamise algatused, ning kindlustusmaksed. Asjaomased üksused peaksid arvutama finantskahju summad kättesaadavate andmete põhjal ja kui finantskahju tegelikke summasid ei ole võimalik kindlaks teha, siis peaksid üksused andma oma hinnangu, millised need summad võiksid olla.

(37)

Ühtlasi peaks asjaomastel üksustel olema kohustus teatada intsidentidest, mis on põhjustanud või võivad põhjustada füüsiliste isikute surma või märkimisväärset kahju füüsiliste isikute tervisele, sest selliste intsidentide puhul on tegemist märkimisväärse varalise või mittevaralise kahju tekitamise eriti tõsiste juhtudega. Asjaomast üksust mõjutav intsident võib tuua kaasa näiteks tervishoiu- või hädaabiteenistuste käideldamatuse või andmete konfidentsiaalsuse või tervikluse kadumise, mis mõjutab füüsiliste isikute tervist. Et teha kindlaks, kas intsident on põhjustanud või võib põhjustada märkimisväärset kahju füüsilise isiku tervisele, peaksid asjaomased üksused võtma arvesse, kas intsident põhjustas või võib põhjustada raskeid vigastusi või terviseprobleeme. Selleks ei tohiks asjaomaseid üksusi kohustada koguma täiendavat teavet, millele neil ei ole juurdepääsu.

(38)

Piiratud käideldavusena tuleks eeskätt käsitada seda, kui asjaomase üksuse osutatava teenuse reageerimisaeg on keskmisest märkimisväärselt aeglasem või kui teenuse kõik funktsioonid ei ole käideldavad. Reageerimisajas esinevate viivituste hindamiseks tuleks võimaluse korral kasutada objektiivseid kriteeriume, mis põhinevad asjaomaste üksuste osutatud teenuste keskmistel reageerimisaegadel. Teenuse funktsioon võib olla näiteks jutuside või pildiotsingu funktsioon.

(39)

Kui kellelgi õnnestub asjaomase üksuse võrgu- ja infosüsteemidele loata ja arvatavalt kuritahtlikult juurde pääseda, tuleks seda käsitada olulise intsidendina, kui selline juurdepääs võib põhjustada tõsiseid tegevushäireid. Näiteks juhul, kui küberohu subjekt seab ennast asjaomase üksuse võrgu- ja infosüsteemides sisse, et edaspidi teenuste katkemist põhjustada, tuleks seda intsidenti käsitada olulisena.

(40)

Korduvaid intsidente, millel näib olevat sama algpõhjus ja mis üksikuna võttes ei vastaks olulise intsidendi kriteeriumidele, tuleks koos käsitada olulise intsidendina, kui nad koos vastavad finantskahju kriteeriumile ja kui selliseid intsidente on viimase kuue kuu jooksul leidnud aset vähemalt kaks korda. Sellised korduvad intsidendid võivad osutada märkimisväärsetele puudustele ja nõrkustele asjaomase üksuse küberturvalisuse riskijuhtimisprotseduurides ja nende küberturvalisuse küpsuse tasemes. Pealegi võivad sellised korduvad intsidendid põhjustada asjaomasele üksusele märkimisväärset rahalist kahju.

(41)

Komisjon on pidanud rakendusakti eelnõu asjus nõu ja teinud koostööd koostöörühma ja ENISAga kooskõlas direktiivi (EL) 2022/2555 artikli 21 lõikega 5 ja artikli 23 lõikega 11.

(42)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (3) artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 1. septembril 2024.

(43)

Käesoleva määrusega ettenähtud meetmed on kooskõlas direktiivi (EL) 2022/2555 artikli 39 alusel moodustatud komitee arvamusega,