+16 artikla Keskitetyn raportointialustan perustaminen
---+16 artikla 1.
---+16 artikla 2.
---+16 artikla 3.
---+16 artikla 4.
---+16 artikla 5.
---+16 artikla 6.

16 artikla Keskitetyn raportointialustan perustaminen

-

1. Yleiskatsaus

,
16 artikla 1.
Edellä 14 artiklan 1 ja 3 kohdassa ja 15 artiklan 1 ja 2 kohdassa tarkoitettuja ilmoituksia varten ja valmistajien raportointivelvoitteiden yksinkertaistamiseksi ENISA perustaa keskitetyn raportointialustan. ENISA hallinnoi ja ylläpitää keskitetyn raportointialustan päivittäistä toimintaa. Keskitetyn raportointialustan rakenteen on mahdollistettava se, että jäsenvaltiot ja ENISA voivat ottaa käyttöön omat sähköiset ilmoituspalvelunsa.
16 artikla 2.
Koordinaattoriksi nimetyn CSIRT-yksikön, joka alun perin on saanut ilmoituksen, on ilmoituksen saamisen jälkeen ilman aiheetonta viivytystä välitettävä ilmoitus keskitetyn raportointialustan kautta koordinaattoreiksi nimetyille CSIRT-yksiköille alueella, jolla valmistaja on ilmoittanut asettaneensa digitaalisia elementtejä sisältävän tuotteen saataville.

Poikkeuksellisissa olosuhteissa ja erityisesti valmistajan pyynnöstä ja valmistajan tämän asetuksen 14 artiklan 2 kohdan a alakohdan mukaisesti toteaman ilmoitettujen tietojen arkaluonteisuuden perusteella ilmoituksen välittämistä voidaan lykätä perustelluista kyberturvallisuuteen liittyvistä syistä ehdottoman välttämättömän ajan, myös silloin, kun haavoittuvuuteen sovelletaan direktiivin (EU) 2022/2555 12 artiklan 1 kohdassa tarkoitettua koordinoitua haavoittuvuuden julkistamismenettelyä. Jos CSIRT-yksikkö päättää olla välittämättä ilmoitusta, sen on välittömästi ilmoitettava ENISAlle tästä päätöksestä ja annettava sekä perustelut ilmoituksen välittämättä jättämiselle että tieto siitä, milloin se aikoo välittää ilmoituksen tässä kohdassa säädetyn välittämismenettelyn mukaisesti. ENISA voi tukea CSIRT-yksikköä kyberturvallisuuteen liittyvien syiden soveltamisessa ilmoituksen välittämisen lykkäämisen yhteydessä.

Erityisen poikkeuksellisissa olosuhteissa, joissa valmistaja ilmoittaa 14 artiklan 2 kohdan b alakohdassa tarkoitetussa ilmoituksessa,

a) 

että pahantahtoinen toimija on aktiivisesti hyödyntänyt ilmoitettua haavoittuvuutta ja saatavilla olevien tietojen mukaan sitä on hyödynnetty ainoastaan sen koordinaattoriksi nimetyn CSIRT-yksikön jäsenvaltiossa, jolle valmistaja on ilmoittanut haavoittuvuudesta;

b) 

että ilmoitettua haavoittuvuutta koskevan tiedon välitön välittäminen johtaisi todennäköisesti sellaisten tietojen antamiseen, jotka olisivat kyseisen jäsenvaltion olennaisten etujen vastaisia; tai

c) 

että ilmoitettu haavoittuvuus aiheuttaa välittömän korkean kyberturvallisuusriskin, joka johtuu tiedon välittämisestä eteenpäin;

vain tieto siitä, että valmistaja on tehnyt ilmoituksen, yleiset tiedot tuotteesta, tiedot hyödyntämisen yleisestä luonteesta ja tieto siitä, että on vedottu turvallisuussyihin, on annettava samanaikaisesti ENISAn saataville, kunnes täydellinen ilmoitus toimitetaan asianomaisille CSIRT-yksiköille ja ENISAlle. Jos ENISA katsoo kyseisten tietojen perusteella, että on olemassa järjestelmäriski, joka vaikuttaa turvallisuuteen sisämarkkinoilla, ENISA suosittelee ilmoituksen vastaanottaneelle CSIRT-yksikölle, että se välittää täydellisen ilmoituksen muille koordinaattoreiksi nimetyille CSIRT-yksiköille ja ENISAlle itselleen.
16 artikla 3.
Saatuaan ilmoituksen aktiivisesti hyödynnetystä haavoittuvuudesta digitaalisia elementtejä sisältävässä tuotteessa tai digitaalisia elementtejä sisältävän tuotteen tietoturvaan vaikuttavasta vakavasta poikkeamasta, koordinaattoreiksi nimettyjen CSIRT-yksiköiden on annettava jäsenvaltioidensa markkinavalvontaviranomaisille ilmoitetut tiedot, joita markkinavalvontaviranomaiset tarvitsevat täyttääkseen tämän asetuksen mukaiset velvoitteensa.
16 artikla 4.
ENISA toteuttaa asianmukaiset ja oikeasuhtaiset tekniset, operatiiviset ja organisatoriset toimenpiteet hallitakseen keskitetyn raportointialustan ja sen kautta annettujen tai välitettyjen tietojen tietoturvaan kohdistuvia riskejä. Se ilmoittaa ilman aiheetonta viivytystä kaikista keskitettyyn raportointialustaan vaikuttavista tietoturvapoikkeamista CSIRT-verkostolle ja komissiolle.
16 artikla 5.
ENISA laatii ja panee täytäntöön yhteistyössä CSIRT-verkoston kanssa eritelmät teknisistä, operatiivisista ja organisatorisista toimenpiteistä, jotka koskevat 1 kohdassa tarkoitetun keskitetyn raportointialustan perustamista, ylläpitoa ja turvallista toimintaa, mukaan lukien ainakin keskitetyn raportointialustan perustamiseen, toimintaan ja ylläpitoon liittyvät tietoturvajärjestelyt, sekä kansallisella tasolla koordinaattoreiksi nimettyjen CSIRT-yksiköiden ja unionin tasolla ENISAn perustamia sähköisiä ilmoituspalveluja, mukaan lukien menettelyihin liittyvät näkökohdat sen varmistamiseksi, että jos ilmoitettuun haavoittuvuuteen ei ole saatavilla korjaavia tai lieventäviä toimenpiteitä, tiedot tästä haavoittuvuudesta jaetaan tiukkoja tietoturvakäytäntöjä noudattaen ja tiedonsaantitarpeen perusteella.
16 artikla 6.
Jos koordinaattoriksi nimetylle CSIRT-yksikölle on ilmoitettu aktiivisesti hyödynnetystä haavoittuvuudesta osana direktiivin (EU) 2022/2555 12 artiklan 1 kohdassa tarkoitettua koordinoitua haavoittuvuuksien julkistamismenettelyä, koordinaattoriksi nimetty CSIRT-yksikkö, joka alun perin on saanut ilmoituksen, voi perustelluista kyberturvallisuuteen liittyvistä syistä lykätä ilmoituksen välittämistä keskitetyn raportointialustan kautta ehdottoman välttämättömän ajan, kunnes koordinoidun haavoittuvuuden julkistamisen osapuolet ovat antaneet suostumuksensa julkistamiseen. Tämä vaatimus ei estä valmistajia ilmoittamasta tällaisesta haavoittuvuudesta vapaaehtoisesti tässä artiklassa säädettyä menettelyä noudattaen.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit