KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2024/2690 2024 m. spalio 17 d. kuriuo nustatomos Direktyvos (ES) 2022/2555 taikymo taisyklės, susijusios su kibernetinio saugumo rizikos valdymo priemonių techniniais ir metodiniais reikalavimais ir išsamesniu atvejų, kuriais incidentas laikomas dideliu, apibūdinimu, skirtais DNS paslaugų teikėjams, aukščiausio lygio domenų vardų registrams, debesijos kompiuterijos paslaugų teikėjams, duomenų centrų paslaugų teikėjams, turinio teikimo tinklų teikėjams, valdomų paslaugų teikėjams, valdomų saugumo paslaugų teikėjams, elektroninių prekyviečių, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų teikėjams ir patikimumo užtikrinimo paslaugų teikėjams (Tekstas svarbus EEE)

(1)

šiuo reglamentu siekiama nustatyti Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje nurodytų priemonių techninius ir metodinius reikalavimus ir pateikti išsamesnį atvejų, kuriais incidentas pagal Direktyvos (ES) 2022/2555 23 straipsnio 3 dalį turėtų būti laikomas dideliu, apibūdinimą, skirtus į Direktyvos (ES) 2022/2555 3 straipsnio aprėptį patenkantiems DNS paslaugų teikėjams, aukščiausio lygio domenų vardų registrams, debesijos kompiuterijos paslaugų teikėjams, duomenų centrų paslaugų teikėjams, turinio teikimo tinklų teikėjams, valdomų paslaugų teikėjams, valdomų saugumo paslaugų teikėjams, elektroninių prekyviečių, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų teikėjams ir patikimumo užtikrinimo paslaugų teikėjams (atitinkamiems subjektams);

(2)

atsižvelgiant į tarpvalstybinį patikimumo užtikrinimo paslaugų teikėjų veiklos pobūdį ir siekiant užtikrinti, kad jiems būtų taikoma nuosekli sistema, šiame reglamente turėtų būti ne tik nustatyti jiems skirti kibernetinio saugumo rizikos valdymo priemonių techniniai ir metodiniai reikalavimai, bet ir pateiktas jiems skirtas išsamesnis atvejų, kuriais incidentas turi būti laikomas dideliu, apibūdinimas;

(3)

vadovaujantis Direktyvos (ES) 2022/2555 21 straipsnio 5 dalies trečia pastraipa, šio reglamento priede nustatyti kibernetinio saugumo rizikos valdymo priemonių techniniai ir metodiniai reikalavimai yra pagrįsti su tinklų ir informacinių sistemų saugumu susijusiais Europos bei tarptautiniais standartais, kaip antai ISO/IEC 27001, ISO/IEC 27002 ir ETSI EN 319401, ir techninėmis specifikacijomis, kaip antai CEN/TS 18026:2024;

(4)

įgyvendinant ir taikant šio reglamento priede nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus, reikėtų pagal proporcingumo principą deramai atsižvelgti į nevienodą atitinkamiems subjektams kylančią riziką, pavyzdžiui, į atitinkamo subjekto svarbą, į tai, kokia rizika jam kyla, į jo dydį ir struktūrą, taip pat į incidentų tikimybę ir sunkumą, be kita ko, jų socialinį ir ekonominį poveikį, kai laikomasi šio reglamento priede nustatytų kibernetinio saugumo rizikos valdymo priemonių techninių ir metodinių reikalavimų;

(5)

tais atvejais, kai atitinkami subjektai dėl savo dydžio kai kurių kibernetinio saugumo rizikos valdymo priemonių techninių ir metodinių reikalavimų įgyvendinti negali, jie pagal proporcingumo principą turėtų turėti galimybę imtis kitų kompensacinių priemonių, tinkamų tų reikalavimų tikslui pasiekti. Pavyzdžiui, savo viduje apibrėžiant su tinklų ir informacinių sistemų saugumu susijusias funkcijas, pareigas ir organus, labai mažiems atitinkamiems subjektams gali būti sunku nustatyti aiškiai atskirtas prieštaringas pareigas ir atsakomybės sritis. Tokie subjektai turėtų galėti svarstyti galimybę imtis kompensacinių priemonių, tokių kaip tikslinė priežiūra, vykdoma subjekto vadovybės, arba intensyvesnė stebėsena ir registravimas;

(6)

tam tikrus šio reglamento priede nustatytus techninius ir metodinius reikalavimus atitinkami subjektai turėtų taikyti, kai tikslinga, kai taikytina ir tiek, kiek įmanoma. Tais atvejais, kai atitinkamas subjektas mano, kad taikyti tam tikrus šio reglamento priede nustatytus techninius ir metodinius reikalavimus jo atveju nėra tikslinga, taikytina ar įmanoma, jis turėtų dokumentuose suprantamai užfiksuoti su tuo susijusius savo argumentus. Vykdydamos priežiūrą, nacionalinės kompetentingos institucijos gali atsižvelgti į tai, kiek laiko atitinkamiems subjektams reikia kibernetinio saugumo rizikos valdymo priemonių techniniams ir metodiniams reikalavimams įgyvendinti;

(7)

ENISA arba pagal Direktyvą (ES) 2022/2555 kompetentingos nacionalinės institucijos gali teikti gaires, padedančias atitinkamiems subjektams nustatyti, analizuoti ir vertinti riziką siekiant įgyvendinti techninius ir metodinius reikalavimus, susijusius su tinkamos rizikos valdymo sistemos sukūrimu ir išlaikymu. Tokios gairės visų pirma gali apimti nacionalinių ir sektorinių rizikos vertinimų ir su tam tikros rūšies subjektais susijusių rizikos vertinimų gaires. Jose taip pat gali būti numatytos atitinkamų subjektų lygmens rizikos valdymo sistemos kūrimo priemonės ar modeliai. Padėti atitinkamiems subjektams įrodyti atitiktį šiam reglamentui gali ir valstybių narių nacionalinėje teisėje numatytos sistemos, gairės ar kiti mechanizmai, taip pat atitinkami europiniai ir tarptautiniai standartai. Be to, ENISA arba pagal Direktyvą (ES) 2022/2555 kompetentingos nacionalinės institucijos gali padėti atitinkamiems subjektams surasti ir įgyvendinti tinkamus rizikos, nustatytos atliekant tuos rizikos vertinimus, valdymo sprendimus. Tokios gairės neturėtų daryti poveikio atitinkamų subjektų pareigai nustatyti ir dokumentuoti tinklų ir informacinių sistemų saugumui kylančią riziką ir atitinkamų subjektų pareigai įgyvendinti šio reglamento priede nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus, atsižvelgiant į savo poreikius ir išteklius;

(8)

tinklo saugumo priemonės, susijusios su i) perėjimu prie naujausios kartos tinklo lygmens ryšių protokolų, ii) tarptautiniu mastu sutartų ir sąveikių šiuolaikinių e. pašto ryšio standartų diegimu ir iii) DNS saugumo, interneto maršruto parinkimo saugumo ir maršruto parinkimo higienos užtikrinimo geriausios praktikos taikymu, kelia specifinių sunkumų, susijusių su geriausių esamų standartų ir diegimo metodų nustatymu. Kad būtų kuo greičiau užtikrintas aukštas bendras visų tinklų kibernetinio saugumo lygis, Komisija, padedama Europos Sąjungos kibernetinio saugumo agentūros (ENISA) ir bendradarbiaudama su kompetentingomis institucijomis, pramonės, be kita ko, telekomunikacijų sektoriaus, atstovais ir kitais suinteresuotaisiais subjektais, turėtų padėti sukurti įvairių suinteresuotųjų subjektų forumą, turintį nustatyti tuos geriausius esamus standartus ir diegimo metodus. Tų įvairių suinteresuotųjų subjektų teikiamos gairės neturėtų daryti poveikio atitinkamų subjektų pareigai įgyvendinti šio reglamento priede nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus;

(9)

vadovaujantis Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies a punktu, esminiai ir svarbūs subjektai turėtų taikyti ne tik rizikos analizės, bet ir informacinių sistemų saugumo politiką. Tuo tikslu atitinkami subjektai turėtų nustatyti tinklų ir informacinių sistemų saugumo politiką ir su konkrečiais klausimais, pavyzdžiui, prieigos kontrole, susijusią politiką, kuri turėtų derėti su tinklų ir informacinių sistemų saugumo politika. Tinklų ir informacinių sistemų saugumo politika turėtų būti išdėstyta atitinkamo subjekto valdymo organų patvirtintame aukščiausio lygio dokumente, išreiškiančiame to subjekto bendrą požiūrį į savo tinklų ir informacinių sistemų saugumą. Su konkrečiais klausimais susijusią politiką turėtų patvirtinti tinkamo lygmens valdymo organai. Politikoje turėtų būti nustatyti rodikliai ir priemonės, skirti jos įgyvendinimui ir esamam atitinkamo subjekto tinklų ir informacinių sistemų saugumo brandos lygiui stebėti, visų pirma tam, kad valdymo organams būtų lengviau prižiūrėti kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą;

(10)

taikant šio reglamento priede nustatytus techninius ir metodinius reikalavimus, terminas „naudotojas“ turėtų apimti visus juridinius ir fizinius asmenis, turinčius prieigą prie subjekto tinklų ir informacinių sistemų;

(11)

siekdami nustatyti ir mažinti tinklų ir informacinių sistemų saugumui kylančią riziką, atitinkami subjektai turėtų sukurti ir išlaikyti tinkamą rizikos valdymo sistemą. Taikydami rizikos valdymo sistemą, atitinkami subjektai turėtų parengti ir įgyvendinti rizikos priežiūros planą ir stebėti jo vykdymą. Šiame plane atitinkami subjektai gali nustatyti ir pagal svarbą išrikiuoti rizikos priežiūros būdus ir priemones. Rizikos priežiūros būdai visų pirma apima rizikos vengimą, mažinimą arba išimtiniais atvejais prisiėmimą. Renkantis rizikos priežiūros būdus, reikėtų atsižvelgti į atitinkamo subjekto atlikto rizikos vertinimo rezultatus ir to subjekto tinklų ir informacinių sistemų saugumo politiką. Siekdami įgyvendinti pasirinktus rizikos priežiūros būdus, atitinkami subjektai turėtų imtis tinkamų rizikos priežiūros priemonių;

(12)

kad aptiktų įvykius, vos neįvykusius incidentus ir incidentus, atitinkami subjektai turėtų stebėti savo tinklų ir informacines sistemas ir imtis įvykių, vos neįvykusių incidentų ir incidentų vertinimo veiksmų. Tos priemonės turėtų sudaryti sąlygas laiku aptikti tinklo atakas, remiantis įeinančio ir išeinančio srauto anomalijomis, ir paslaugos trikdymo atakas;

(13)

atitinkami subjektai raginami, nagrinėdami poveikį veiklai, atlikti nuodugnią analizę, kuria atitinkamais atvejais būtų nustatytas ilgiausias priimtinas neveikimo laikas ir tikslai, susiję su veikimo atkūrimo laiku, priimtinu prarasti duomenų kiekiu ir paslaugų teikimu;

(14)

kad sumažintų riziką, susijusią su savo tiekimo grandine ir savo ryšiais su tiekėjais, atitinkami subjektai turėtų nustatyti tiekimo grandinės saugumo politiką, reglamentuojančią jų ryšius su tiesioginiais tiekėjais ir paslaugų teikėjais. Šie subjektai sutartyse su savo tiesioginiais tiekėjais ar paslaugų teikėjais turėtų nustatyti tinkamas su saugumu susijusias sąlygas, pavyzdžiui, reikalauti, kai tikslinga, pagal Direktyvos (ES) 2022/2555 21 straipsnio 2 dalį arba panašius teisinius reikalavimus taikyti kibernetinio saugumo rizikos valdymo priemones;

(15)

atitinkami subjektai turėtų, remdamiesi specialia politika ir procedūromis, reguliariai atlikti saugumo testavimą, skirtą patikrinti, ar kibernetinio saugumo rizikos valdymo priemonės yra įgyvendinamos ir veikia tinkamai. Šis saugumo testavimas, kuriuo gali būti tikrinamos konkrečios tinklų ir informacinės sistemos arba visas atitinkamas subjektas, gali apimti automatinį arba rankinį testavimą, skverbimosi testavimą, pažeidžiamumų skenavimą, statinį ir dinaminį taikomųjų programų saugumo testavimą, konfigūracijų testavimą arba saugumo auditus. Savo tinklų ir informacinių sistemų saugumą atitinkami subjektai gali testuoti, kai šios sistemos kuriamos, po infrastruktūros ar taikomųjų programų naujovinimo ar pakeitimų, kuriuos jie laiko reikšmingais, arba po techninės priežiūros veiksmų. Per saugumo testavimą nustatytais faktais atitinkami subjektai turėtų remtis plėtodami savo kibernetinio saugumo rizikos valdymo priemonių veiksmingumo vertinimo politiką bei procedūras; be to, jais turėtų būti remiamasi per nepriklausomas jų tinklų ir informacinių sistemų saugumo politikos peržiūras;

(16)

kad išvengtų didelių sutrikimų ir žalos, kuriuos gali sukelti pasinaudojimas neištaisytais tinklų ir informacinių sistemų pažeidžiamumais, atitinkami subjektai turėtų nustatyti ir taikyti tinkamas saugumo pataisų valdymo procedūras, suderintas su jų pakeitimų valdymo, pažeidžiamumų valdymo, rizikos valdymo ir kitomis atitinkamomis procedūromis. Atitinkami subjektai turėtų imtis jų ištekliams proporcingų priemonių, padedančių užtikrinti, kad dėl saugumo pataisų neatsirastų papildomų pažeidžiamumo ar nestabilumo problemų. Atitinkami subjektai raginami apie planuojamus pataisų diegimo laikotarpius, kuriais paslauga bus neprieinama, iš anksto tinkamai informuoti klientus;

(17)

atitinkami subjektai turėtų valdyti riziką, susijusią su IRT produktų ar IRT paslaugų įsigijimu iš tiekėjų ar paslaugų teikėjų, ir turėtų gauti patikinimą, kad ketinamų įsigyti IRT produktų ar IRT paslaugų kibernetinis saugumas siekia tam tikrą lygį, pavyzdžiui, tie IRT produktai ar IRT paslaugos turėtų turėti Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus, išduotus pagal Europos kibernetinio saugumo sertifikavimo schemą, priimtą pagal Europos Parlamento ir Tarybos reglamento (ES) 2019/881 (2) 49 straipsnį. Nustatydami ketinamiems įsigyti IRT produktams taikytinus saugumo reikalavimus, atitinkami subjektai turėtų atsižvelgti į Europos Parlamento ir Tarybos reglamente dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų skaitmeninių elementų turintiems produktams, nustatytus pagrindinius kibernetinio saugumo reikalavimus;

(18)

atitinkami subjektai turėtų diegti tinklo saugumo sprendimus, padedančius užtikrinti apsaugą nuo kibernetinių grėsmių ir išvengti duomenų saugumo pažeidimų bei apriboti jų mastą. Įprasti tinklo saugumo sprendimai yra, be kita ko, užkardų naudojimas atitinkamų subjektų vidaus tinklams apsaugoti, jungimosi prie paslaugų ir naudojimosi jomis apribojimas iki atvejų, kuriais to būtinai reikia, virtualiųjų privačiųjų tinklų naudojimas nuotolinei prieigai ir galimybės prisijungti paslaugų teikėjams suteikimas tik po to, kai paprašoma leidimo, ir tik nustatytam, pavyzdžiui, techninės priežiūros operacijos trukmei lygiam, laikui;

(19)

siekdami apsaugoti savo tinklus ir informacines sistemas nuo neleistinos ir kenkimo programinės įrangos, atitinkami subjektai turėtų įdiegti kontrolės priemones, neleidžiančias naudoti neleistinos programinės įrangos arba aptikti jos naudojimo atvejus, ir, kai tikslinga, naudoti aptikimo ir reagavimo programinę įrangą. Atitinkami subjektai taip pat turėtų apsvarstyti galimybę įdiegti priemones, padedančias kuo labiau sumažinti išpuolių perimetrą, sumažinti pažeidžiamumų, kuriais gali pasinaudoti išpuolių vykdytojai, kontroliuoti taikomųjų programų vykdymą galiniuose įrenginiuose, taip pat diegti e. pašto ar interneto taikomųjų programų filtrus, mažinančius riziką susidurti su kenkėjišku turiniu;

(20)

vadovaujantis Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies g punktu, valstybės narės turi užtikrinti, kad esminiai ir svarbūs subjektai taikytų pagrindinius kibernetinės higienos principus ir organizuotų kibernetinio saugumo mokymus. Pagrindiniai kibernetinės higienos principai gali apimti nulinio pasitikėjimo principus, programinės įrangos naujinimą, įrenginių konfigūravimą, tinklo segmentavimą, tapatumo ir prieigos valdymą arba naudotojų informuotumo didinimą, darbuotojams skirtų mokymų organizavimą ir informuotumo apie kibernetines grėsmes, duomenų viliojimą ar socialinę inžineriją didinimą. Kibernetinės higienos principai yra viena iš šio reglamento priede nustatytų kibernetinio saugumo rizikos valdymo priemonių techninių ir metodinių reikalavimų sudedamųjų dalių. Atitinkamų subjektų svarstymai dėl pagrindinių kibernetinės higienos principų, skirtų naudotojams, turėtų apimti tokius principus kaip tuščio darbo stalo ir ekrano politika, daugiaelemenčio ir kitų tapatumo nustatymo priemonių naudojimas, saugus e. pašto naudojimas ir naršymas internete, apsauga nuo duomenų viliojimo ir socialinės inžinerijos, saugūs nuotolinio darbo metodai;

(21)

siekdami užkirsti kelią neteisėtai prieigai prie jų turto, atitinkami subjektai turėtų nustatyti ir įgyvendinti su šiuo klausimu susijusią politiką, reglamentuojančią prieigą pagal asmenis ir pagal tinklų ir informacines sistemas, kaip antai taikomąsias programas;

(22)

siekdami užtikrinti, kad darbuotojai negalėtų, pavyzdžiui, pakenkti ir padaryti žalos netinkamai naudodamiesi prieigos teisėmis paties subjekto viduje, atitinkami subjektai turėtų apsvarstyti galimybę taikyti tinkamas darbuotojų patikimumo valdymo priemones ir didinti darbuotojų informuotumą apie tokią riziką. Atitinkami subjektai turėtų nustatyti drausminę procedūrą, taikytiną jų tinklų ir informacinių sistemų saugumo politikos pažeidimų atvejais, apie ją informuoti ir ją išlaikyti; ši procedūra galėtų būti integruota į kitas atitinkamų subjektų nustatytas drausmines procedūras. Užtikrinti atitinkamų subjektų žmogiškųjų išteklių patikimumą turėtų padėti atitinkamų subjektų darbuotojų ir, kai taikytina, tiesioginių tiekėjų ir paslaugų teikėjų patikimumo patikrinimai, galintys apimti tokias priemones kaip patikrinimas, ar asmuo neteistas arba kokias pareigas jis anksčiau ėjo, priklausomai nuo to, kas aktualu atsižvelgiant į asmens pareigas atitinkamame subjekte, ir laikantis atitinkamo subjekto tinklų ir informacinių sistemų saugumo politikos;

(23)

subjektai turėtų apsvarstyti galimybę taikyti jų kibernetinį saugumą galinčias padidinti daugiaelemenčio tapatumo nustatymo priemones, ypač jei naudotojai prie tinklų ir informacinių sistemų jungiasi nuotoliniu būdu arba jei jie turi prieigą prie neskelbtinos informacijos ar privilegijuotų paskyrų ir sistemų administravimo paskyrų. Daugiaelemenčio tapatumo nustatymo priemonės gali būti derinamos su kitais metodais, kad tam tikromis aplinkybėmis, remiantis iš anksto nustatytomis taisyklėmis ir požymiais, pavyzdžiui, kai jungiamasi neįprastu laiku, esant neįprastoje vietoje arba naudojantis neįprastu įrenginiu, būtų reikalaujama naudoti papildomus elementus;

(24)

siekdami valdyti ir saugoti jiems vertingą turtą atitinkami subjektai turėtų užtikrinti patikimą jo valdymą, kuris taip pat turėtų padėti atlikti rizikos analizę ir valdyti veiklos tęstinumą. Atitinkami subjektai turėtų valdyti ir materialųjį, ir nematerialųjį turtą, sudaryti jo inventorių, priskirti jį prie apibrėžtų slaptumo lygmenų, jį tvarkyti bei stebėti ir imtis veiksmų jam apsaugoti visu jo gyvavimo ciklu;

(25)

turto valdymas turėtų apimti jo klasifikavimą pagal jo rūšį, jautrumą, rizikos lygį ir saugumo reikalavimus ir tinkamų kontrolės bei kitų priemonių taikymą siekiant užtikrinti turto prieinamumą, vientisumą, konfidencialumą ir autentiškumą. Turto klasifikavimas pagal rizikos lygį turėtų suteikti atitinkamiems subjektams galimybę taikyti tinkamas turtui apsaugoti skirtas saugumo ir kontrolės priemones, tokias kaip šifravimas, prieigos kontrolė (įskaitant perimetro ir fizinės bei loginės prieigos kontrolę), atsarginių kopijų darymas, veiksmų registravimas, stebėjimas, saugojimas ir sunaikinimas. Atlikdami poveikio veiklai analizę, atitinkami subjektai klasifikavimo lygmenį gali nustatyti atsižvelgdami į tai, kokių padarinių jiems sukeltų žala turtui. Visi turtą tvarkantys subjektų darbuotojai turėtų būti susipažinę su turto tvarkymo politika ir instrukcijomis;

(26)

turto inventoriaus detalumas turėtų atitikti atitinkamų subjektų poreikius. Išsamiame turto inventoriuje apie kiekvieną turto objektą galėtų būti pateikiama bent ši informacija: unikalus jo identifikatorius, jo savininkas, aprašymas, buvimo vieta, rūšis, jame tvarkomos informacijos rūšis ir kategorija, naujausio jo naujinimo ar taisymo data, jo kategorija rizikos vertinimo požiūriu ir jo gyvavimo ciklo pabaiga. Nustatydami turto objekto savininką, atitinkami subjektai turėtų nustatyti ir asmenį, atsakingą už to turto objekto apsaugą;

(27)

nustatant ir organizuojant su kibernetiniu saugumu susijusias funkcijas, pareigas ir organus, atitinkamuose subjektuose turėtų būti sukurta nuosekli kibernetinio saugumo valdymo ir užtikrinimo struktūra ir užtikrinta veiksminga komunikacija incidentų atveju. Apibrėždami konkrečias funkcijas ir joms priskirtas pareigas, atitinkami subjektai turėtų apsvarstyti galimybę nustatyti tokias funkcijas kaip vyriausiasis informacijos saugumo pareigūnas, informacijos saugumo pareigūnas, incidentų valdymo pareigūnas, auditorius ar panašias atitinkamas funkcijas. Funkcijas ir pareigas atitinkami subjektai gali pavesti išorės subjektams, kaip antai IRT paslaugas teikiančioms trečiosioms šalims;

(28)

vadovaujantis Direktyvos (ES) 2022/2555 21 straipsnio 2 dalimi, kibernetinio saugumo rizikos valdymo priemonės turi būti grindžiamos visus pavojus apimančiu požiūriu, kurio tikslas – apsaugoti tinklų ir informacines sistemas bei jų fizinę aplinką nuo tokių įvykių kaip vagystė, gaisras, potvynis, telekomunikacijų ar elektros energijos tiekimo triktys arba nuo neteisėtos fizinės prieigos prie esminio ar svarbaus subjekto informacijos ir informacijos tvarkymo įrenginių, žalos jiems ir jų sutrikdymo, kurie galėtų kelti pavojų saugomų, perduodamų ar tvarkomų duomenų arba per tinklų ir informacines sistemas teikiamų ar prieinamų paslaugų prieinamumui, autentiškumui, vientisumui arba konfidencialumui. Todėl kibernetinio saugumo rizikos valdymo priemonių techniniais ir metodiniais reikalavimais taip pat turėtų būti užtikrinamas tinklų ir informacinių sistemų fizinis ir aplinkos saugumas, t. y. jie turėtų apimti priemones, padedančias apsaugoti tokias sistemas nuo sistemos gedimų, žmogiškųjų klaidų, piktavališkų veiksmų ar gamtos reiškinių. Kitos fizinės ir aplinkos grėsmės gali būti, pavyzdžiui, žemės drebėjimai, sprogimai, sabotažas, vidaus subjektų keliama grėsmė, pilietiniai neramumai, nuodingosios atliekos ir į aplinką išmetami teršalai. Užtikrinimas, kad, nutrūkus arba sutrikus pagrindinių komunalinių paslaugų tiekimui, tinklų ir informacinės sistemos nebūtų prarastos, sugadintos ar pažeistos ir nenustotų veikti, turėtų padėti atitinkamiems subjektams užtikrinti veiklos tęstinumą. Be to, apsauga nuo fizinių ir aplinkos grėsmių turėtų prisidėti prie atitinkamų subjektų tinklų ir informacinių sistemų techninės priežiūros saugumo;

(29)

atitinkami subjektai turėtų rengti ir įgyvendinti apsaugos nuo fizinių ir aplinkos grėsmių priemones, nustatyti su fizinėmis ir aplinkos grėsmėmis susijusias mažiausias ir didžiausias kontrolines vertes ir stebėti aplinkos parametrus. Pavyzdžiui, jie turėtų apsvarstyti galimybę įdiegti sistemas, padedančias vietose, kuriose yra tinklų ir informacinės sistemos, anksti aptikti potvynius. Rūpindamiesi apsauga nuo gaisro, atitinkami subjektai turėtų apsvarstyti galimybę duomenų centrą įrengti atskirame gaisriniame skyriuje, naudoti ugniai atsparias medžiagas ir temperatūrai bei drėgniui stebėti skirtus jutiklius ir pastatą sujungti su gaisro signalizavimo sistema, siunčiančia automatinius pranešimus vietos priešgaisrinei tarnybai, ir ankstyvo gaisro aptikimo bei gesinimo sistemomis. Atitinkami subjektai taip pat turėtų reguliariai vykdyti gaisrinės saugos pratybas ir gaisrinės saugos patikrinimus. Be to, kad užtikrintų maitinimą, atitinkami subjektai turėtų apsvarstyti galimybę pasirūpinti apsauga nuo viršįtampio ir susijusiu avariniu maitinimu pagal atitinkamus standartus. Tinklų ir informacinės sistemos gali tapti neprieinamos ir dėl perkaitimo, todėl atitinkami subjektai, ypač duomenų centrų paslaugų teikėjai, turėtų apsvarstyti galimybę įdiegti tinkamas, nuolat veikiančias ir viena kitą dubliuojančias oro kondicionavimo sistemas;

(30)

šiame reglamente turi būti pateiktas išsamesnis atvejų, kuriais incidentas taikant Direktyvos (ES) 2022/2555 23 straipsnio 3 dalį turėtų būti laikomas dideliu, apibūdinimas. Kriterijai turėtų būti tokie, kad atitinkami subjektai galėtų nustatyti, ar incidentas yra didelis, kad apie jį praneštų pagal Direktyvą (ES) 2022/2555. Be to, nedarant poveikio Direktyvos (ES) 2022/2555 5 straipsniui, šiame reglamente nustatyti kriterijai turėtų būti laikomi išsamiais. Šiame reglamente nurodomi tiek horizontalieji, tiek su konkrečių rūšių subjektais susiję atvejai, kuriais incidentas turėtų būti laikomas dideliu;

(31)

vadovaujantis Direktyvos (ES) 2022/2555 23 straipsnio 4 dalimi, turėtų būti reikalaujama, kad atitinkami subjektai praneštų apie didelius incidentus per toje dalyje nustatytus terminus. Tie pranešimo terminai pradedami skaičiuoti nuo momento, kurį subjektas sužino apie tuos didelius incidentus. Taigi atitinkamas subjektas privalo pranešti apie incidentus, dėl kurių, remiantis jo pradiniu vertinimu, jis gali patirti didelių paslaugų teikimo sutrikimų arba finansinių nuostolių arba kurie gali paveikti kitus fizinius ar juridinius asmenis sukeldami didelę turtinę arba neturtinę žalą. Todėl, kai atitinkamas subjektas nustato įtartiną įvykį arba kai apie galimą incidentą jam praneša trečiasis asmuo, kaip antai fizinis asmuo, klientas, subjektas, institucija, žiniasklaidos organizacija ar kitas šaltinis, jis turėtų laiku įvertinti įtartiną įvykį, kad nustatytų, ar tai incidentas ir, jei taip, koks yra jo pobūdis ir sunkumas. Todėl laikoma, kad apie didelį incidentą atitinkamas subjektas sužino tada, kai atlikęs tą pradinį vertinimą tampa pakankamai tikras, kad įvyko didelis incidentas;

(32)

siekdami nustatyti, ar incidentas didelis, atitinkami subjektai, kai aktualu, turėtų suskaičiuoti, kiek naudotojų jis paveiks, atsižvelgdami į verslo ir galutinius klientus, su kuriais jie yra užmezgę sutartinius santykius, ir į fizinius bei juridinius asmenis, susijusius su verslo klientais. Tais atvejais, kai atitinkamas subjektas suskaičiuoti paveiktų naudotojų negali, bendram incidento paveiktų naudotojų skaičiui nustatyti turėtų būti naudojamas atitinkamo subjekto įvertis, kiek daugiausiai gali būti paveiktų naudotojų. Su patikimumo užtikrinimo paslauga susijusio incidento dydis turėtų būti nustatomas remiantis ne vien naudotojų, bet ir pasikliaujančiųjų šalių skaičiumi, nes su patikimumo užtikrinimo paslauga susijęs didelis incidentas lygiai taip pat gali sutrikdyti ir pastarųjų veiklą bei joms padaryti turtinės arba neturtinės žalos. Todėl patikimumo užtikrinimo paslaugų teikėjai, nustatydami, ar incidentas didelis, turėtų, kai taikytina, atsižvelgti ir į pasikliaujančiųjų šalių skaičių. Šiuo tikslu pasikliaujančiosiomis šalimis turėtų būti laikomi patikimumo užtikrinimo paslauga pasikliaujantys fiziniai ar juridiniai asmenys;

(33)

techninės priežiūros operacijos, per kurias paslaugos tampa tik iš dalies prieinamos arba neprieinamos, neturėtų būti laikomos dideliais incidentais, jei tos paslaugos tokiomis tampa pagal techninės priežiūros operacijos planą. Be to, dideliais incidentais neturėtų būti laikomi atvejai, kai paslauga neprieinama tampa dėl planinių pertrūkių, pavyzdžiui, kai jos teikimas pertraukiamas arba ji neprieinama tampa pagal iš anksto sudarytą susitarimą;

(34)

incidento, paveikiančio paslaugos prieinamumą, trukmė turėtų būti skaičiuojama nuo tada, kai tinkamas tokios paslaugos veikimas sutrinka, iki tada, kai jis atkuriamas. Tais atvejais, kai atitinkamas subjektas sutrikimo pradžios momento nustatyti negali, incidento trukmė turėtų būti skaičiuojama nuo ankstesnio iš šių momentų: incidento nustatymo momento arba incidento užregistravimo tinklo ar sistemos žurnaluose arba kituose duomenų šaltiniuose momento;

(35)

visiško paslaugos neprieinamumo trukmė turėtų būti skaičiuojama nuo momento, kurį paslauga tampa visiškai neprieinama naudotojams, iki momento, kurį įprasta veikla ar operacijos atkuriamos iki tokio paslaugų lygio, koks buvo užtikrinamas iki incidento. Tais atvejais, kai atitinkamas subjektas negali nustatyti, kada paslauga tapo visiškai neprieinama, neprieinamumo trukmė turėtų būti skaičiuojama nuo momento, kurį tas subjektas nustatė, kad paslauga neprieinama;

(36)

nustatydami incidento sukeltus tiesioginius finansinius nuostolius, atitinkami subjektai turėtų atsižvelgti į visus dėl jo patirtus finansinius nuostolius, tokius kaip programinės įrangos, aparatinės įrangos ar infrastruktūros keitimo ar perkėlimo išlaidos, išlaidos darbuotojams, įskaitant išlaidas, susijusias su darbuotojų keitimu ar perkėlimu, papildomų darbuotojų įdarbinimu, atlyginimu už viršvalandžius ir prarastų arba pablogėjusių įgūdžių atgavimu, mokesčiai, mokėtini dėl sutartinių įsipareigojimų nevykdymo, žalos atlyginimo ir kompensacijų klientams išlaidos, nuostoliai dėl negautų pajamų, su vidaus ir išorės komunikacija susijusios išlaidos, konsultavimosi išlaidos, įskaitant išlaidas, susijusias su teisinėmis konsultacijomis, teismo ekspertizės paslaugomis ir teisinės gynybos paslaugomis, ir kitos su incidentu susijusios išlaidos. Tačiau incidento sukeltais finansiniais nuostoliais neturėtų būti laikomos administracinės baudos ir kasdienei veiklai vykdyti būtinos išlaidos, be kita ko, infrastruktūros, įrenginių, aparatinės įrangos ir programinės įrangos bendrosios techninės priežiūros išlaidos, darbuotojų įgūdžių atnaujinimo išlaidos, vidaus ar išorės išlaidos veiklai po incidento pagerinti, įskaitant naujovinimų, patobulinimų ir rizikos vertinimo iniciatyvų išlaidas, ir draudimo įmokos. Finansinių nuostolių sumas atitinkami subjektai turėtų apskaičiuoti remdamiesi turimais duomenimis, o tais atvejais, kai faktinių finansinių nuostolių sumų nustatyti neįmanoma, subjektai turėtų apskaičiuoti tų sumų įverčius;

(37)

atitinkami subjektai taip pat turėtų privalėti pranešti apie incidentus, dėl kurių mirė arba gali mirti arba didelę žalą sveikatai patyrė arba gali patirti fiziniai asmenys, nes tokie incidentai yra itin sunkūs atvejai, kuriais padaroma didelė turtinė ar neturtinė žala. Pavyzdžiui, dėl atitinkamą subjektą paveikusio incidento gali tapti neprieinamos sveikatos priežiūros ar skubiosios pagalbos paslaugos arba būti pažeistas duomenų konfidencialumas ar vientisumas ir taip padarytas poveikis fizinių asmenų sveikatai. Nustatydami, ar incidentas padarė arba gali padaryti didelę žalą fizinio asmens sveikatai, atitinkami subjektai turėtų atsižvelgti į tai, ar jis sukėlė arba gali sukelti sunkių sužalojimų ir sveikatos sutrikimų. Atitinkami subjektai neturėtų būti įpareigoti tuo tikslu rinkti papildomą informaciją, prie kurios jie neturi prieigos;

(38)

atitinkamo subjekto teikiama paslauga tik iš dalies prieinama turėtų būti laikoma visų pirma tada, kai ji veikia daug lėčiau, palyginti su vidutine atsako trukme, arba kai veikia ne visos jos funkcijos. Atsako delsai įvertinti, kai įmanoma, turėtų būti taikomi objektyvūs kriterijai, pagrįsti vidutine atitinkamų subjektų teikiamų paslaugų atsako trukme. Paslaugos funkcijų pavyzdžiai – pokalbių funkcija arba vaizdų paieškos funkcija;

(39)

sėkminga, kaip įtariama, piktavališka ir neteisėta prieiga prie atitinkamo subjekto tinklų ir informacinių sistemų turėtų būti laikoma dideliu incidentu, jei naudojantis ta prieiga galima smarkiai sutrikdyti veiklą. Pavyzdžiui, jei kibernetinis užpuolikas iš anksto įsiskverbia į atitinkamo subjekto tinklų ir informacines sistemas siekdamas sutrikdyti paslaugų teikimą ateityje, incidentas turėtų būti laikomas dideliu;

(40)

tos pačios akivaizdžios pagrindinės priežasties siejami pasikartojantys incidentai, kurie atskirai neatitinka didelio incidento kriterijaus, sudėti kartu turėtų būti laikomi dideliu incidentu, jei sudėti kartu jie atitinka su finansiniais nuostoliais susijusį kriterijų ir jei per šešis mėnesius jie įvyko bent dukart. Tokie pasikartojantys incidentai gali rodyti didelius atitinkamo subjekto kibernetinio saugumo rizikos valdymo procedūrų trūkumus bei spragas ir kibernetinio saugumo brandos lygį. Be to, dėl tokių pasikartojančių incidentų atitinkamas subjektas gali patirti didelių finansinių nuostolių;

(41)

vadovaudamasi Direktyvos (ES) 2022/2555 21 straipsnio 5 dalimi ir 23 straipsnio 11 dalimi, Komisija dėl įgyvendinimo akto projekto keitėsi rekomendacijomis ir bendradarbiavo su Bendradarbiavimo grupe ir ENISA;

(42)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (3) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir 2024 m. rugsėjo 1 d. jis pateikė nuomonę;

(43)

šiame reglamente nustatytos priemonės atitinka pagal Direktyvos (ES) 2022/2555 39 straipsnį įsteigto komiteto nuomonę,