+Artikkel 32 Järelevalve- ja täitemeetmed seoses elutähtsate üksustega
---+Artikkel 32 1.
---+Artikkel 32 2.
---+Artikkel 32 3.
---+Artikkel 32 4.
---+Artikkel 32 5.
---+Artikkel 32 6.
---+Artikkel 32 7.
---+Artikkel 32 8.
---+Artikkel 32 9.
---+Artikkel 32 10.

Artikkel 32 Järelevalve- ja täitemeetmed seoses elutähtsate üksustega

-

1. Ülevaade

,
Artikkel 32 1.
Liikmesriigid tagavad, et elutähtsate üksuste suhtes seoses käesolevas direktiivis sätestatud kohustustega kohaldatavad järelevalve- või täitemeetmed on mõjusad, proportsionaalsed ja heidutavad ning et nende puhul võetakse arvesse iga üksikjuhtumi asjaolusid.
Artikkel 32 2.

Liikmesriigid tagavad, et pädevatel asutustel on elutähtsate üksustega seotud järelevalveülesannete täitmisel nende üksuste suhtes vähemalt järgmised õigused:

a) 

teha kohapealset kontrolli ja kaugjärelevalvet, sealhulgas pistelisi kontrolle, mida teevad eriväljaõppe saanud spetsialistid;

b) 

teha korrapäraseid ja sihipäraseid turvaauditeid, mida teeb sõltumatu organ või pädev asutus;

c) 

teha ad hoc auditeid, sealhulgas juhul, kui see on põhjendatud olulise intsidendi või käesoleva direktiivi rikkumisega elutähtsa üksuse poolt;

d) 

teha vajaduse korral koostöös asjaomase üksusega objektiivsetel, mittediskrimineerivatel, õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle;

e) 

esitada teabenõudeid, mis on vajalikud üksuse võetud küberturvalisuse riskijuhtimismeetmete, sealhulgas tema dokumenteeritud küberturvalisuse põhimõtete hindamiseks ning samuti artikli 27 kohase pädevatele asutustele teabe edastamise kohustuse täitmise hindamiseks;

f) 

taotleda juurdepääsu andmetele, dokumentidele ja teabele, mis on vajalik järelevalveülesannete täitmiseks;

g) 

nõuda küberturvalisuse poliitika rakendamise tõendamist, näiteks kvalifitseeritud audiitori tehtud turvaauditite tulemusi ja nende aluseks olevaid tõendavaid dokumente.

Esimese lõigu punktis b osutatud sihipärased turvaauditid põhinevad pädeva asutuse või auditeeritava üksuse tehtud riskihindamisel või muul kättesaadaval riskialasel teabel.

Sihipärase turvaauditi tulemused tehakse kättesaadavaks pädevale asutusele. Sõltumatu organi poolt läbi viidava sihipärase turvaauditi kulud tasub auditeeritud üksus, välja arvatud igakülgselt põhjendatud juhtudel, kui pädev asutus otsustab teisiti.
Artikkel 32 3.
Lõike 2 punktis e, f või g sätestatud volituste rakendamisel märgivad pädevad asutused ära taotluse eesmärgi ja täpsustavad, millist teavet nõutakse.
Artikkel 32 4.

Liikmesriigid tagavad, et nende pädevatel asutustel on elutähtsate üksustega seotud täitmise tagamise volituste rakendamisel vähemalt järgmised õigused:

a) 

teha hoiatusi käesoleva direktiivi rikkumiste kohta asjaomaste üksuste poolt;

b) 

võtta vastu siduvaid juhiseid, sealhulgas meetmete kohta, mis on vajalikud intsidendi ennetamiseks või heastamiseks, nende meetmete rakendamise tähtaegade ja rakendamisest aruandmise kohta, või korraldusi, millega nõutakse, et asjaomased üksused kõrvaldaksid tuvastatud puudused või heastaksid käesoleva direktiivi rikkumised;

c) 

anda asjaomastele üksustele korraldus lõpetada tegevus, mis rikub käesolevat direktiivi, ja hoiduda sellist tegevust kordamast;

d) 

kohustada asjaomaseid üksusi tagama, et nende riskijuhtimismeetmed vastavad artiklis 21 sätestatud nõuetele ning et nad täidavad artiklis 23 sätestatud teatamiskohustust kindlaksmääratud viisil ja kindlaksmääratud ajavahemiku jooksul;

e) 

kohustada asjaomaseid üksusi teavitama füüsilisi või juriidilisi isikuid, kellele nad osutavad teenuseid või pakuvad tegevusi, mida võib mõjutada oluline küberoht, ohu laadist ning võimalikest kaitse- või parandusmeetmetest, mida need füüsilised või juriidilised isikud võivad vastavale ohule reageerimiseks võtta;

f) 

kohustada asjaomaseid üksusi rakendama mõistliku aja jooksul turvaauditi tulemuste alusel tehtud soovitusi;

g) 

määrata kindlaks ajavahemikuks seireametniku, kelle ülesanded on täpselt kindlaks määratud ning kes jälgib, kas asjaomased üksused täidavad artiklite 21 ja 23 nõudeid;

h) 

kohustada asjaomaseid üksusi avalikustama kindlaksmääratud viisil käesoleva direktiivi rikkumiste aspektid;

i) 

määrata või taotleda, et asjaomased organid või kohtud määraksid vastavalt liikmesriigi õigusele lisaks käesoleva lõike punktides a–h osutatud meetmele artikli 34 kohase haldustrahvi.
Artikkel 32 5.

Kui lõike 4 punktide a–d ja f kohaselt võetud täitemeetmed ei anna tulemust, tagavad liikmesriigid, et nende pädevatel asutustel on õigus kehtestada tähtaeg, milleks peab elutähtis üksus võtma vajalikud meetmed puuduste kõrvaldamiseks või nende asutuste esitatud nõuete täitmise tagamiseks. Liikmesriigid tagavad, et kui nõutavat meedet ettenähtud tähtajaks ei võeta, on pädevatel asutustel õigus:

a) 

ajutiselt peatada, või nõuda, et sertifikaate või lube väljastav organ või kohus peataks kooskõlas liikmesriigi õigusega ajutiselt elutähtsa üksuse kõigi või mõnede osutatavate asjaomaste teenuste või läviviidavate tegevuste sertifikaadi või loa;

b) 

taotleda, et asjaomased organid või kohtud keelaksid kooskõlas liikmesriigi õigusega füüsilisel isikul, kes täidab selles elutähtsas üksuses tegevjuhina või seadusliku esindajana juhtimisülesandeid, selles üksuses ajutiselt juhtimisülesannete täitmise.

Vastavalt käesolevale lõikele kehtestatud ajutist peatamist või keeldu kohaldatakse ainult seni, kuni asjaomane üksus võtab vajalikud meetmed puuduste kõrvaldamiseks või pädeva asutuse nõuete täitmiseks, mille tõttu selliseid täitemeetmeid kohaldati. Sellise ajutise peatamise või keelu kehtestamise suhtes kohaldatakse kooskõlas liidu õiguse üldpõhimõtete ja hartaga asjakohaseid menetluslikke tagatisi, sealhulgas õigust tõhusale õiguskaitsevahendile ja õiglasele kohtumenetlusele, süütuse presumptsiooni ja kaitseõigust.

Käesolevas lõikes sätestatud täitemeetmeid ei kohaldata nende avaliku halduse üksuste suhtes, kelle suhtes kohaldatakse käesolevat direktiivi.
Artikkel 32 6.
Liikmesriigid tagavad, et elutähtsa üksuse eest vastutaval või seda seaduslikult esindaval füüsilisel isikul, keda on volitatud üksust esindama, üksuse nimel otsuseid tegema või üksuse tegevust kontrollima, on pädevus tagada käesoleva direktiivi täitmine. Liikmesriigid tagavad, et selliseid füüsilisi isikuid on võimalik käesoleva direktiivi täitmata jätmise eest vastutusele võtta.

Avaliku halduse üksuste puhul ei piira käesolev lõige liikmesriigi õiguse kohaldamist seoses avalike teenistujate ning valitud ja ametisse nimetatud ametnike vastutusega.
Artikkel 32 7.

Lõikes 4 või 5 osutatud täitemeetmete võtmisekorral järgivad pädevad asutused kaitseõigust ning arvestavad iga üksikjuhtumi asjaolusid, võttes nõuetekohaselt arvesse vähemalt järgmist:

a) 

rikkumise raskus ja rikutud sätete olulisus; raske rikkumisena käsitatakse muu hulgas alati järgmist:

i) 

korduv rikkumine;

ii) 

olulistest intsidentidest teatamata jätmine või parandusmeetmete võtmata jätmine;

iii) 

pädevatelt asutustelt saadud siduvate juhiste järgi puuduste kõrvaldamata jätmine;

iv) 

rikkumise tuvastamise järel pädevate asutuste tellitud auditite või järelevalvetegevuse takistamine;

v) 

valeandmete või lubamatult ebatäpsete andmete esitamine seoses artiklites 21 ja 23 sätestatud küberturvalisuse riskijuhtimismeetmete või teatamiskohustusega;

b) 

rikkumise kestus;

c) 

asjaomase üksuse varasemad asjassepuutuvad rikkumised;

d) 

põhjustatud varaline või mittevaraline kahju, sealhulgas rahaline või majanduslik kahju, mõju teistele teenustele ja mõjutatud kasutajate arv;

e) 

rikkumise toimepanija tahtlus või hooletus;

f) 

meetmed, mida üksus on võtnud varalise või mittevaralise kahju ennetamiseks või vähendamiseks;

g) 

kinnitatud tegevusjuhendite järgimine või kinnitatud sertifitseerimismehhanismide rakendamine;

h) 

vastutavate füüsiliste või juriidiliste isikute ja pädevate asutuste koostöö tase.
Artikkel 32 8.
Pädevad asutused esitavad oma täitemeetmete üksikasjaliku põhjenduse. Enne selliste meetmete võtmist teavitavad pädevad asutused asjaomaseid üksusi oma esialgsetest järeldustest. Samuti jätavad nad kõnealustele üksustele mõistliku aja märkuste esitamiseks, välja arvatud igakülgselt põhjendatud juhtudel, kui see takistaks intsidentide ennetamiseks või nendele reageerimiseks vajalikku vahetut tegevust.
Artikkel 32 9.
Liikmesriigid tagavad, et nende käesoleva direktiivi kohased pädevad asutused teavitavad oma liikmesriigi direktiivi (EL) 2022/2557 kohaseid asjaomaseid pädevaid asutusi, kui nad kasutavad oma järelevalve- ja täitmise tagamise volitusi, et tagada direktiivi (EL) 2022/2557 kohaselt elutähtsa teenuse osutajana käsitatava üksuse vastavus käesolevale direktiivile. Kui see on asjakohane, võivad direktiivi (EL) 2022/2557 kohased pädevad asutused taotleda käesoleva direktiivi kohastelt pädevatelt asutustelt, et nad kasutaksid oma järelevalve- ja täitmise tagamise volitusi üksuse suhtes, mida käsitatakse direktiivi (EL) 2022/2557 kohaselt elutähtsa teenuse osutajana.
Artikkel 32 10.
Liikmesriigid tagavad, et nende käesoleva direktiivi kohased pädevad asutused teevad asjaomase liikmesriigi määruse (EL) 2022/2554 kohaste pädevate asutustega koostööd. Eelkõige tagavad liikmesriigid, et nende käesoleva direktiivi kohased pädevad asutused teavitavad määruse (EL) 2022/2554 artikli 32 lõike 1 kohaselt järelevaatamise foorumit, kui nad kasutavad oma järelevalve- ja täitmise tagamise volitusi, et tagada määruse (EL) 2022/2554 artikli 31 kohaselt kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajana käsitatava ja käesoleva direktiivi kohaldamisalasse kuuluva elutähtsa üksuse vastavus käesolevale direktiivile.

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid