17 artikla Luotetut tietoturvapalveluntarjoajat

varmistetaan, että EU:n kyberturvallisuusreserviin sisältyvät palvelut ovat kokonaisuutena tarkasteltuna sellaisia, että EU:n kyberturvallisuusreserviin sisältyy palveluja, jotka voidaan ottaa käyttöön kaikissa jäsenvaltioissa, ottaen huomioon erityisesti tällaisten palvelujen tarjoamista koskevat kansalliset vaatimukset, mukaan lukien kieliä, sertifiointia tai akkreditointia koskevat vaatimukset;

varmistetaan unionin ja sen jäsenvaltioiden keskeisten turvallisuusetujen suojelu;

varmistetaan, että EU:n kyberturvallisuusreservi tuo unionille lisäarvoa edistämällä asetuksen (EU) 2021/694 3 artiklassa vahvistettujen tavoitteiden saavuttamista, mukaan lukien kyberturvallisuustaitojen kehittämisen edistäminen unionissa.

palveluntarjoajan on osoitettava, että sen henkilöstön ammatillinen luotettavuus, riippumattomuus ja vastuullisuus ovat mahdollisimman korkealla tasolla ja että henkilöstöllä on oman erityisalansa tehtävien suorittamiseen tarvittava tekninen pätevyys, sekä varmistettava asiantuntemuksen pysyvyys ja jatkuvuus ja tarvittavat tekniset resurssit;

palveluntarjoajan ja sen mahdollisten tytäryritysten ja alihankkijoiden on noudatettava turvallisuusluokiteltujen tietojen suojaamista koskevia sovellettavia sääntöjä, ja niillä on oltava käytössään asianmukaiset toimenpiteet, mukaan lukien tarvittaessa keskinäiset sopimukset, palveluun liittyvien luottamuksellisten tietojen, erityisesti todisteiden, havaintojen ja raporttien, suojaamiseksi;

palveluntarjoajan on esitettävä riittävää näyttöä siitä, että sen hallintorakenne on läpinäkyvä, ei todennäköisesti vaaranna sen puolueettomuutta eikä sen palvelujen laatua eikä aiheuta eturistiriitoja;

palveluntarjoajalla on oltava todistus asianmukaisesta turvallisuusselvityksestä ainakin palvelujen käyttöönottoon tarkoitetun henkilöstön osalta, jos jokin jäsenvaltio vaatii sitä;

palveluntarjoajan tietoteknisissä järjestelmissä on oltava asiaankuuluva turvallisuustaso;

palveluntarjoajalla on oltava pyydetyn palvelun tukemiseen tarvittavat laitteistot ja ohjelmistot, jotka eivät saa sisältää tiedossa olevia hyödynnettävissä olevia haavoittuvuuksia, joiden on sisällettävä viimeisimmät turvallisuuspäivitykset ja joka tapauksessa oltava Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/2847 ( 2 ) sovellettavien säännösten mukaisia;

palveluntarjoajan on pystyttävä osoittamaan, että sillä on kokemusta vastaavien palvelujen tarjoamisesta asiaankuuluville kansallisille viranomaisille, erittäin kriittisten toimialojen toimijoille tai muiden kriittisten toimialojen toimijoille;

palveluntarjoajan on pystyttävä tarjoamaan palvelu lyhyessä ajassa niissä jäsenvaltioissa, joissa se voi tarjota palvelun;

palveluntarjoajan on pystyttävä tarjoamaan palvelu yhdellä tai useammalla unionin toimielinten tai jäsenvaltion virallisella kielellä, jos jäsenvaltiot, joissa palveluntarjoaja voi tarjota palvelun, tai 14 artiklan 3 kohdan b ja c alakohdassa tarkoitetut käyttäjät sitä edellyttävät;

kun asetuksen (EU) 2019/881 mukainen tietoturvapalveluntarjoajia koskeva eurooppalainen kyberturvallisuuden sertifiointijärjestelmä on otettu käyttöön, palveluntarjoaja on sertifioitava kyseisen järjestelmän mukaisesti kahden vuoden kuluessa siitä, kun järjestelmän soveltaminen on alkanut;

palveluntarjoajan on sisällytettävä tarjoukseen muuntamista koskevat ehdot käyttämättömille poikkeamiin reagointia koskeville palveluille, jotka voitaisiin muuntaa varautumispalveluiksi, jotka liittyvät läheisesti poikkeamiin reagointiin, kuten harjoituksiin tai koulutukseen.