PROVEDBENA UREDBA KOMISIJE (EU) 2024/2690 оd 17. listopada 2024. o utvrđivanju pravila za primjenu Direktive (EU) 2022/2555 u pogledu tehničkih i metodoloških zahtjeva za mjere upravljanja kibernetičkosigurnosnim rizicima te dodatnih specifikacija slučajeva u kojima se incident smatra značajnim za pružatelje usluga DNS-a, registre naziva vršnih domena, pružatelje usluga računalstva u oblaku, pružatelje usluga podatkovnog centra, pružatelje mreža za isporuku sadržaja, pružatelje upravljanih usluga, pružatelje upravljanih sigurnosnih usluga, pružatelje internetskih tržišta, internetskih tražilica i platformi za usluge društvenih mreža te pružatelje usluga povjerenja (Tekst značajan za EGP)

(1)

Svrha je ove Uredbe utvrditi tehničke i metodološke zahtjeve za mjere iz članka 21. stavka 2. Direktive (EU) 2022/2555 i dodatno specificirati slučajeve iz članka 23. stavka 3. Direktive (EU) 2022/2555 u kojima bi se incident trebao smatrati značajnim za pružatelje usluga DNS-a, registre naziva vršnih domena, pružatelje usluga računalstva u oblaku, pružatelje usluga podatkovnog centra, pružatelje mreža za isporuku sadržaja, pružatelje upravljanih usluga, pružatelje upravljanih sigurnosnih usluga, pružatelje internetskih tržišta, internetskih tražilica i platformi za usluge društvenih mreža te pružatelje usluga povjerenja kako su obuhvaćeni člankom 3. Direktive (EU) 2022/2555 (relevantni subjekti).

(2)

S obzirom na prekograničnu prirodu aktivnosti pružatelja usluga povjerenja i kako bi se za njih uspostavio dosljedan okvir, ovom bi Uredbom, uz to što će se utvrditi tehnički i metodološki zahtjevi za mjere upravljanja kibernetičkosigurnosnim rizicima, trebalo dodatno specificirati slučajeve u kojima se incident smatra značajnim.

(3)

U skladu s člankom 21. stavkom 5. trećim podstavkom Direktive (EU) 2022/2555 tehnički i metodološki zahtjevi za mjere upravljanja kibernetičkosigurnosnim rizicima utvrđeni u Prilogu ovoj Uredbi temelje se na europskim i međunarodnim normama, kao što su ISO/IEC 27001, ISO/IEC 27002 i ETSI EN 319401, i tehničkim specifikacijama, kao što je CEN/TS 18026:2024, koje su bitne za sigurnost mrežnih i informacijskih sustava.

(4)

Kad je riječ o provedbi i primjeni tehničkih i metodoloških zahtjeva za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi, pri njihovu bi ispunjavanju, u skladu s načelom proporcionalnosti, u obzir bi trebalo uzeti razlike u izloženosti relevantnih subjekata riziku, kao što su kritičnost relevantnog subjekta, rizici kojima je izložen, veličina i struktura relevantnog subjekta te vjerojatnost pojave incidenata i njihova ozbiljnost, uključujući njihove društvene i gospodarske posljedice.

(5)

U skladu s načelom proporcionalnosti, ako relevantni subjekti zbog svoje veličine ne mogu provesti neke tehničke i metodološke zahtjeve za mjere upravljanja kibernetičkosigurnosnim rizicima, trebali bi moći poduzeti druge, nadomjesne mjere koje su prikladne za ostvarenje svrhe tih zahtjeva. Primjerice, pri definiranju uloga, odgovornosti i ovlasti za sigurnost mrežnih i informacijskih sustava unutar relevantnog subjekta mikrosubjektima bi moglo biti teško razdvojiti proturječne dužnosti i proturječna područja odgovornosti. Takvi bi subjekti trebali moći razmotriti nadomjesne mjere kao što su ciljani nadzor koji provodi uprava subjekta ili pojačano praćenje i evidentiranje.

(6)

Relevantni subjekti određene bi tehničke i metodološke zahtjeve iz Priloga ovoj Uredbi trebali ispunjavati prema potrebi, ako su primjenjivi ili u mjeri u kojoj je to izvedivo. Ako relevantni subjekt smatra da određene tehničke i metodološke zahtjeve iz Priloga ovoj Uredbi nema potrebe ispunjavati, da to nije izvedivo ili da se ti zahtjevi na njega ne primjenjuju, trebao bi jasno dokumentirati svoje razloge za to. Nacionalna nadležna tijela mogu pri obavljanju nadzora uzeti u obzir odgovarajuće vrijeme koje je relevantnim subjektima potrebno za ispunjavanje tehničkih i metodoloških zahtjeva mjera upravljanja kibernetičkosigurnosnim rizicima.

(7)

ENISA ili nacionalna nadležna tijela na temelju Direktive (EU) 2022/2555 mogu dati smjernice kako bi pomogli relevantnim subjektima da utvrde, analiziraju i procijene rizike za potrebe provedbe tehničkih i metodoloških zahtjeva koji se odnose na uspostavu i održavanje odgovarajućeg okvira za upravljanje rizicima. Takve smjernice mogu sadržavati nacionalne i sektorske procjene rizika te procjene rizika koje su specifične za određenu vrstu subjekta. Mogu sadržavati i alate ili predloške za izradu okvira za upravljanje rizicima na razini relevantnih subjekata. Okviri, smjernice ili drugi mehanizmi predviđeni nacionalnim pravom država članica i relevantne europske i međunarodne norme mogu državama članicama pomoći i u dokazivanju usklađenosti s ovom Uredbom. Nadalje, ENISA ili nacionalna nadležna tijela na temelju Direktive (EU) 2022/2555 mogu pomoći relevantnim subjektima da utvrde i primijene odgovarajuća rješenja za postupanje s rizicima utvrđenima u takvim procjenama rizika. Takvim smjernicama ne bi se trebala dovoditi u pitanje obveza relevantnih subjekata da utvrde i dokumentiraju rizike za sigurnost mrežnih i informacijskih sustava ni obveza relevantnih subjekata da tehničke i metodološke zahtjeve za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi provode u skladu sa svojim potrebama i mogućnostima.

(8)

Mjere za sigurnost mreže koje se odnose na i. prelazak na komunikacijske protokole mrežnog sloja najnovije generacije, ii. uvođenje međunarodno dogovorenih i interoperabilnih modernih komunikacijskih standarda e-pošte i iii. primjenu provjereno dobrih postupaka za sigurnost DNS-a i za sigurnost i higijenu usmjeravanja na internetu sa sobom donose specifične izazove u vezi s utvrđivanjem najboljih dostupnih standarda i tehnika uvođenja. Kako bi se što prije postigla visoka zajednička razina kibernetičke sigurnosti svih mreža, Komisija bi, uz pomoć Agencije Europske unije za kibersigurnost (ENISA) i u suradnji s nadležnim tijelima, industrijom, uključujući telekomunikacijski sektor, i drugim dionicima, trebala poduprijeti razvoj višedioničkog foruma čija bi zadaća bila utvrditi najbolje dostupne standarde i tehnike uvođenja. Takve višedioničke smjernice ne bi trebale dovoditi u pitanje obvezu relevantnih subjekata da provode tehničke i metodološke zahtjeve za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi.

(9)

Prema članku 21. stavku 2. točki (a) Direktive (EU) 2022/2555 ključni i važni subjekti trebali bi, uz politike analize rizika, imati politike sigurnosti informacijskih sustava. Radi toga bi relevantni subjekti trebali uspostaviti politiku sigurnosti mrežnih i informacijskih sustava te tematske politike, kao što su politike kontrole pristupa, koje bi trebale biti usklađene s politikom sigurnosti mrežnih i informacijskih sustava. Politika sigurnosti mrežnih i informacijskih sustava trebala bi biti krovni dokument u kojem se utvrđuje opći pristup relevantnih subjekata sigurnosti njihovih mrežnih i informacijskih sustava i trebala bi je odobriti upravljačka tijela relevantnih subjekata. Tematske politike trebala bi odobriti odgovarajuća rukovodeća razina. U takvim bi politikama trebalo utvrditi pokazatelje i mjere za praćenje njezine provedbe i trenutačne zrelosti mrežne i informacijske sigurnosti relevantnih subjekata, prije svega kako bi se olakšao nadzor provedbe mjera upravljanja kibernetičkosigurnosnim rizicima preko upravljačkih tijela.

(10)

Za potrebe tehničkih i metodoloških zahtjeva utvrđenih u Prilogu ovoj Uredbi pojam „korisnik” trebao bi obuhvaćati sve pravne i fizičke osobe koje imaju pristup mrežnim i informacijskim sustavima subjekta.

(11)

Relevantni subjekti trebali bi uspostaviti, primjenjivati i revidirati odgovarajući okvir za upravljanje rizicima u svrhu prepoznavanja i suzbijanja rizika za sigurnost mrežnih i informacijskih sustava. Kao dio tog okvira za upravljanje rizicima trebali bi uspostaviti, provoditi i pratiti plan postupanja s rizicima. U tom planu mogu utvrditi mogućnosti i mjere za postupanje s rizicima i njihov prioritet. Neke od mogućnosti postupanja s rizicima su, prije svega, izbjegavanje, smanjenje ili, u iznimnim slučajevima, prihvaćanje rizika. Relevantni subjekti trebali bi odabrati mogućnosti postupanja s rizicima uzimajući u obzir rezultate svoje procjene rizika i u skladu sa svojom politikom sigurnosti mrežnih i informacijskih sustava. Da bi odabrane mogućnosti postupanja s rizicima primijenili u praksi, trebali bi poduzeti odgovarajuće mjere za postupanje s rizicima.

(12)

Relevantni subjekti trebali bi pratiti svoje mrežne i informacijske sustave kako bi otkrili događaje, izbjegnute incidente i incidente te poduzimati korake da evaluiraju događaje, izbjegnute incidente i incidente. Te bi mjere trebale omogućivati da se na vrijeme otkriju mrežni napadi na temelju abnormalnih obrazaca ulaznog ili izlaznog prometa i napadi uskraćivanjem usluga.

(13)

Relevantni subjekti potiču se da uz analizu učinka na poslovanje provedu i sveobuhvatnu analizu kojom se, prema potrebi, utvrđuju najdulje prihvatljivo trajanje prekida rada, ciljana vremena oporavka, ciljane točke oporavka i ciljane razine usluge.

(14)

Za ublažavanje rizika koji proizlaze iz lanaca opskrbe relevantnih subjekata i njihovih odnosa s dobavljačima relevantni subjekti trebali bi uspostaviti politiku sigurnosti lanca opskrbe kojom će se voditi u odnosima sa svojim izravnim dobavljačima i pružateljima usluga. Ti bi subjekti u ugovore s izravnim dobavljačima ili pružateljima usluga trebali uvrstiti odgovarajuće sigurnosne klauzule u kojima bi se, primjerice, zahtijevale mjere upravljanja kibernetičkosigurnosnim rizicima navedene u članku 21. stavku 2. Direktive (EU) 2022/2555 ili drugim sličnim pravnim aktima.

(15)

Relevantni subjekti trebali bi redovito provoditi sigurnosne testove u skladu s namjenskom politikom i postupcima kako bi provjerili jesu li mjere upravljanja kibernetičkosigurnosnim rizicima uvedene i funkcioniraju li pravilno. Sigurnosni testovi mogu se provoditi na pojedinim mrežnim i informacijskim sustavima ili na cijelom relevantnom subjektu i mogu obuhvaćati automatizirane ili ručne testove, penetracijske testove, provjeru ranjivosti, statičke i dinamičke sigurnosne testove aplikacija, konfiguracijske testove ili revizije sigurnosti. Relevantni subjekti mogu provoditi sigurnosna testiranja svojih mrežnih i informacijskih sustava kad ih postavljaju, nakon poboljšanja ili izmjena infrastrukture ili aplikacija koje smatraju bitnima ili nakon održavanja. Rezultati sigurnosnih testova trebali bi biti podloga za politike i postupke relevantnih subjekata za procjenu djelotvornosti mjera upravljanja kibernetičkosigurnosnim rizicima te za neovisne revizije njihovih politika mrežne i informacijske sigurnosti.

(16)

Kako bi se izbjegli znatni poremećaji i šteta uslijed iskorištavanja neispravljenih ranjivosti u mrežnim i informacijskim sustavima, relevantni subjekti trebali bi utvrditi i primjenjivati odgovarajuće postupke upravljanja sigurnosnim zakrpama koji su usklađeni s njihovim postupcima za upravljanje promjenama, ranjivostima i rizicima te drugim relevantnim postupcima. Trebali bi poduzeti mjere razmjerne svojim mogućnostima kako sigurnosne zakrpe ne bi stvorile dodatne ranjivosti ili nestabilnosti. Relevantni subjekti potiču se da na primjeren način unaprijed obavješćuju korisnike o planiranim nedostupnostima usluge zbog primjene sigurnosnih zakrpa.

(17)

Relevantni subjekti trebali bi upravljati rizicima koji proizlaze iz nabave IKT proizvoda ili usluga od dobavljača ili pružatelja usluga i trebali bi dobiti jamstvo da IKT proizvodi ili usluge koje nabavljaju postižu određene razine zaštite kibernetičke sigurnosti, na primjer u obliku europskih certifikata kibernetičke sigurnosti i EU izjave o sukladnosti za IKT proizvode ili usluge izdane u okviru europskog programa kibernetičkosigurnosne certifikacije donesenog u skladu s člankom 49. Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća (2). Kad relevantni subjekti utvrđuju sigurnosne zahtjeve za IKT proizvode koje nabavljaju, trebali bi uzeti u obzir bitne zahtjeve za kibernetičku sigurnost utvrđene u Uredbi Europskog parlamenta i Vijeća o horizontalnim kibersigurnosnim zahtjevima za proizvode s digitalnim elementima.

(18)

Radi zaštite od kibernetičkih prijetnji i potpore sprečavanju i zaustavljanju povreda podataka, relevantni subjekti trebali bi uvesti rješenja za sigurnost mreže. Uobičajena rješenja za sigurnost mreže obuhvaćaju upotrebu vatrozidova za zaštitu unutarnjih mreža relevantnih subjekata, ograničavanje spajanja i pristupa uslugama na nužna spajanja i pristupe te korištenje virtualnih privatnih mreža za daljinski pristup i dopuštanje spajanja pružateljima usluga tek na zahtjev za odobrenje i na određeno razdoblje, npr. dok traje održavanje.

(19)

Radi zaštite svojih mreža i informacijskih sustava od zlonamjernog i neovlaštenog softvera, relevantni subjekti trebali bi provoditi kontrole kojima se sprečava ili otkriva korištenje neovlaštenog softvera te bi, prema potrebi, trebali koristiti softver za detekciju i odgovor. Trebali bi razmisliti i o uvođenju mjera za minimiziranje površine napada, smanjenje ranjivosti koje napadači mogu iskoristiti i kontrolu izvođenja aplikacija na krajnjim točkama te upotrebljavati filtre e-pošte i internetskih aplikacija kako bi se smanjila izloženost zlonamjernom sadržaju.

(20)

Prema članku 21. stavku 2. točki (g) Direktive (EU) 2022/2555 države članice dužne su osigurati da ključni i važni subjekti primjenjuju osnovne prakse kibernetičke higijene i provode osposobljavanja o kibernetičkoj sigurnosti. Osnovne prakse kibernetičke higijene mogu uključivati načela nulte stope povjerenja, ažuriranja softvera, konfiguraciju uređaja, segmentaciju mreže, upravljanje identitetom i pristupom ili informiranje korisnika, organizaciju osposobljavanja za vlastito osoblje i informiranje o kibernetičkim prijetnjama, phishingu ili tehnikama socijalnog inženjeringa. Prakse kibernetičke higijene uključene su u razne tehničke i metodološke zahtjeve za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi. Kad je riječ o osnovnim praksama kibernetičke higijene za korisnike, relevantni subjekti trebali bi razmisliti o praksama kao što su politika čistog stola i ekrana, upotreba višestruke provjere i drugih autentifikacijskih sredstava, sigurno korištenje e-pošte i pretraživanje interneta, zaštita od phishinga i socijalnog inženjeringa te sigurni načini rada na daljinu.

(21)

Kako bi spriječili neovlašten pristup imovini, relevantni subjekti trebali bi uspostaviti i provoditi tematsku politiku koja uređuje pristup osoba te mrežnih i informacijskih sustava, kao što su aplikacije.

(22)

Kako bi izbjegli da zaposlenici mogu zloupotrijebiti, primjerice, prava pristupa unutar relevantnog subjekta da naude ili uzrokuju štetu, relevantni subjekti trebali bi razmisliti o uvođenju odgovarajućih mjera upravljanja sigurnošću zaposlenika i informirati osoblje o takvim rizicima. Relevantni subjekti trebali bi uspostaviti, obznaniti i dosljedno primjenjivati disciplinski postupak za kršenje svojih politika sigurnosti mrežnih i informacijskih sustava; on može biti dio drugih disciplinskih postupaka koje su uspostavili. Provjera zaposlenika i, ako je to primjenjivo, izravnih dobavljača i pružatelja usluga relevantnih subjekata trebala bi doprinositi cilju sigurnosti ljudskih resursa subjekata i može obuhvaćati korake kao što su provjere kaznene evidencije ili prethodnih profesionalnih dužnosti osobe, ovisno o njezinim dužnostima u relevantnom subjektu i subjektovoj politici sigurnosti mrežnih i informacijskih sustava.

(23)

Višestruka autentifikacija može povećati kibernetičku sigurnost subjekata, pa bi oni trebali razmisliti o njezinu korištenju, i to osobito kad korisnici pristupaju mrežnim i informacijskim sustavima s udaljenih lokacija ili kad pristupaju osjetljivim informacijama ili povlaštenim računima i računima za administraciju sustava. Višestruka autentifikacija može se kombinirati s drugim tehnikama tako da se u posebnim okolnostima, npr. kod pristupa s neuobičajene lokacije, s neuobičajenog uređaja ili u neuobičajeno vrijeme, zahtijevaju dodatni načini provjere identiteta koji se temelje na unaprijed definiranim pravilima i uzorcima.

(24)

Imovinom koja im je vrijedna relevantni subjekti trebali bi upravljati i štititi je dobrim upravljanjem, koje bi također trebalo služiti kao osnova za analizu rizika i upravljanje kontinuitetom poslovanja. Trebali bi upravljati materijalnom i nematerijalnom imovinom, sastaviti popis imovine, povezati je s definiranom klasifikacijskom razinom, rukovati njome i pratiti je te poduzimati korake za zaštitu imovine tijekom njezina životnog ciklusa.

(25)

Upravljanje imovinom trebalo bi obuhvaćati klasificiranje imovine prema vrsti, osjetljivosti, razini rizika i sigurnosnim zahtjevima te primjenu odgovarajućih mjera i kontrola kako bi se osigurala njezina dostupnost, cjelovitost, povjerljivost i autentičnost. Klasificiranje imovine prema razini rizika trebalo bi relevantnim subjektima omogućiti da primjenjuju odgovarajuće sigurnosne mjere i kontrole za zaštitu imovine kao što su šifriranje, kontrola pristupa, uključujući nadzor okoline i fizičku i logičku kontrolu pristupa, sigurnosne kopije, evidentiranje i praćenje, zadržavanje i uklanjanje. Pri analizi učinka na poslovanje relevantni subjekti mogu odrediti klasifikacijsku razinu na temelju posljedica koje bi na njih imao poremećaj funkcioniranja imovine. Svi zaposlenici subjekata koji upravljaju imovinom trebali bi biti upućeni u politike i upute za postupanje s njom.

(26)

Detaljnost popisa imovine trebala bi biti primjerena potrebama relevantnih subjekata. Cjelovit popis mogao bi za svaku imovinu sadržavati barem jedinstvenu identifikacijsku oznaku, vlasnika imovine, opis imovine, lokaciju imovine, vrstu imovine, vrstu i klasifikaciju informacija koje se obrađuju imovinom, datum posljednjeg poboljšanja, ažuriranja ili zakrpe imovine, klasifikaciju imovine na temelju procjene rizika i kraj životnog vijeka imovine. Pri utvrđivanju vlasnika određene imovine relevantni subjekti trebali bi utvrditi i osobu odgovornu za njezinu zaštitu.

(27)

Raspodjelom i organizacijom uloga, odgovornosti i ovlasti za kibernetičku sigurnost trebala bi se uspostaviti usklađena struktura za vođenje i implementaciju kibernetičke sigurnosti u relevantnim subjektima i trebala bi se osigurati učinkovita komunikacija u slučaju incidenata. Pri definiranju i dodjeli odgovornosti za određene uloge relevantni subjekti trebali bi razmotriti uloge kao što su voditelj informacijske sigurnosti, stručnjak za informacijsku sigurnost, stručnjak za postupanje s incidentima i revizor ili usporedive ekvivalente. Relevantni subjekti mogu uloge i odgovornosti dodijeliti vanjskim suradnicima, primjerice vanjskim pružateljima IKT usluga.

(28)

Prema članku 21. stavku 2. Direktive (EU) 2022/2555 mjere upravljanja kibernetičkosigurnosnim rizicima trebale bi se temeljiti na pristupu kojim se uzimaju u obzir sve opasnosti i čiji je cilj zaštita mrežnih i informacijskih sustava i fizičkog okruženja tih sustava od događaja kao što su krađa, požar, poplava, prekid u telekomunikacijama ili prekid opskrbe električnom energijom ili od neovlaštenog fizičkog pristupa te oštećenja i ometanja podataka i objekata za obradu podataka ključnog ili važnog subjekta koji bi mogli ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koji se nude ili kojima se pristupa putem mrežnih i informacijskih sustava. Tehnički i metodološki zahtjevi za mjere upravljanja kibernetičkosigurnosnim rizicima stoga bi se trebali odnositi i na fizičku i okolišnu sigurnost mrežnih i informacijskih sustava i to tako da obuhvate mjere za zaštitu tih sustava od kvarova sustava, ljudske pogreške, zlonamjernih radnji ili prirodnih pojava. Još neki primjeri fizičkih i okolišnih prijetnji su potresi, eksplozije, sabotaže, unutarnje prijetnje, građanski nemiri, toksični otpad i emisije iz okoliša. Sprečavanje gubitka, oštećenja ili ugrožavanja mrežnih i informacijskih sustava ili prekida njihova rada zbog kvara i poremećaja u radu potpornih komunalnih usluga trebalo bi doprinijeti ostvarenju cilja kontinuiteta poslovanja relevantnih subjekata. Uz to, zaštita od fizičkih i okolišnih prijetnji trebala bi doprinijeti sigurnosti održavanja mrežnih i informacijskih sustava relevantnih subjekata.

(29)

Relevantni subjekti trebali bi osmisliti i primjenjivati mjere zaštite od fizičkih i okolišnih prijetnji i odrediti minimalne i maksimalne kontrolne pragove za te prijetnje te pratiti okolišne parametre. Trebali bi, primjerice, razmotriti ugradnju sustava za rano otkrivanje poplava u prostorima u kojima su smješteni mrežni i informacijski sustavi. Kad je riječ o opasnosti od požara, trebali bi razmisliti o izradi zasebnog požarnog odjeljka za podatkovni centar, upotrebi vatrootpornih materijala i senzora za praćenje temperature i vlažnosti, povezivanju zgrade s požarnim alarmnim sustavom s automatskim obavješćivanjem lokalne vatrogasne službe te sustavima za rano otkrivanje i gašenje požara. Relevantni subjekti također bi trebali provoditi redovite protupožarne vježbe i inspekcije protupožarne zaštite. Nadalje, kako bi osigurali izvor napajanja, relevantni subjekti trebali bi razmisliti o upotrebi prenaponske zaštite i odgovarajućeg izvora napajanja za slučaj nužde u skladu s relevantnim normama. Povrh toga, budući da je pregrijavanje rizik za dostupnost mrežnih i informacijskih sustava, relevantni subjekti, osobito pružatelji usluga podatkovnog centra, mogli bi razmotriti upotrebu odgovarajućih redundantnih klimatizacijskih sustava namijenjenih za neprekidan rad.

(30)

Ovom se Uredbom žele pobliže specificirati slučajevi u kojima bi se incident trebao smatrati značajnim za potrebe članka 23. stavka 3. Direktive (EU) 2022/2555. Kriteriji bi trebali biti takvi da relevantni subjekti mogu procijeniti je li incident značajan kako bi ga prijavili u skladu s Direktivom (EU) 2022/2555. Nadalje, kriterije utvrđene u ovoj Uredbi trebalo bi smatrati iscrpnima, ne dovodeći u pitanje članak 5. Direktive (EU) 2022/2555. U ovoj se Uredbi slučajevi u kojima bi se incident trebao smatrati značajnim specificiraju tako što se navode univerzalni slučajevi i slučajevi koji su specifični za određene subjekte.

(31)

Prema članku 23. stavku 4. Direktive (EU) 2022/2555 relevantni subjekti trebali bi biti dužni dojaviti značajni incident u rokovima utvrđenima tom odredbom. Ti rokovi za dojavu počinju teći od trenutka kad subjekt sazna za takve značajne incidente. Relevantni subjekt dužan je, dakle, javljati o incidentima koji bi, prema njegovoj početnoj procjeni, mogli uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za taj subjekt ili utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete. Prema tome, ako je relevantni subjekt otkrio sumnjiv događaj ili ako ga je treća strana, npr. neka osoba, klijent, subjekt, tijelo, medijska organizacija ili drugi izvor, upozorila na potencijalni incident, on bi trebao pravodobno procijeniti sumnjivi događaj da ustanovi je li riječ o incidentu i, ako jest, da utvrdi njegovu prirodu i ozbiljnost. Stoga se smatra da je relevantni subjekt „saznao” za značajni incident ako na temelju takve početne procjene može s razumnim stupnjem sigurnosti reći da se značajni incident dogodio.

(32)

Kad žele utvrditi je li neki incident značajan, relevantni subjekti trebali bi, prema potrebi, izračunati broj korisnika zahvaćenih incidentom, uzimajući pritom u obzir poslovne i krajnje klijente s kojima imaju ugovorni odnos te fizičke i pravne osobe koje su povezane s poslovnim klijentima. Ako relevantni subjekt ne može izračunati broj zahvaćenih korisnika, za potrebe izračuna ukupnog broja korisnika zahvaćenih incidentom trebalo bi uzeti u obzir njegovu procjenu mogućeg maksimalnog broja zahvaćenih korisnika. Značajnost incidenta koji uključuje uslugu povjerenja ne bi se trebala određivati samo prema broju korisnika nego i prema broju pouzdajućih strana jer njima takav incident može jednako poremetiti rad i nanijeti materijalnu ili nematerijalnu štetu. Dakle, kad utvrđuju značajnost incidenta, pružatelji usluga povjerenja trebali bi, ako je to primjenjivo, uzeti u obzir i broj pouzdajućih strana. U tu svrhu pouzdajuće strane trebalo bi tumačiti kao fizičke ili pravne osobe koje se pouzdaju u uslugu povjerenja.

(33)

Postupke održavanja koji uzrokuju ograničenu dostupnost ili nedostupnost usluge ne bi trebalo smatrati značajnim incidentima ako ograničena dostupnost ili nedostupnost usluge nastupi u skladu s planiranim postupkom održavanja. Nadalje, ako je usluga nedostupna zbog planiranih prekida kao što su prekidi ili nedostupnost na temelju unaprijed utvrđenog ugovornog sporazuma, to ne se bi trebalo smatrati značajnim incidentom.

(34)

Trajanje incidenta koji utječe na dostupnost usluge trebalo bi mjeriti od prekida normalnog pružanja te usluge do trenutka oporavka. Ako relevantni subjekt ne može ustanoviti trenutak početka poremećaja, trajanje incidenta trebalo bi mjeriti od trenutka otkrivanja incidenta ili od trenutka kad je incident zabilježen u evidenciji mrežnih ili sistemskih događaja ili u drugim izvorima podataka, ovisno o tome što nastupi prije.

(35)

Potpunu nedostupnost usluge trebalo bi mjeriti od trenutka kad usluga postane potpuno nedostupna korisnicima do trenutka ponovne uspostave redovitih aktivnosti ili operacija na razini usluge prije incidenta. Ako relevantni subjekt ne može ustanoviti kad je nastupila potpuna nedostupnost usluge, nedostupnost bi se trebala mjeriti od trenutka kad ju je taj subjekt otkrio.

(36)

Kad utvrđuju izravne financijske gubitke zbog incidenta, relevantni subjekti trebali bi uzeti u obzir sve financijske gubitke koje su pretrpjeli zbog incidenta, npr. troškove zamjene ili premještanja softvera, hardvera ili infrastrukture, troškove osoblja, uključujući troškove zamjene ili premještanja osoblja, zapošljavanja dodatnog osoblja, naknade za prekovremeni rad i povrat izgubljenih ili umanjenih vještina, naknade zbog neispunjavanja ugovornih obveza, troškove pravne zaštite i naknada klijentima, gubitke zbog izgubljenih prihoda, troškove unutarnje i vanjske komunikacije, troškove savjetovanja, uključujući troškove povezane s pravnim savjetovanjem, forenzičkim uslugama i uslugama sanacije te druge troškove povezane s incidentom. No novčane kazne i troškovi koji su nužni za svakodnevno poslovanje ne bi se trebali smatrati financijskim gubicima zbog incidenta; to obuhvaća, među ostalim, troškove općeg održavanja infrastrukture, opreme, hardvera i softvera, kontinuiranog unapređivanja vještina osoblja, unutarnje ili vanjske troškove unapređenja poslovanja nakon incidenta, uključujući ažuriranja, poboljšanja i inicijative za procjenu rizika, te premije osiguranja. Relevantni subjekti bi iznose financijskih gubitaka trebali izračunati iz dostupnih podataka, a ako se stvarni iznosi financijskih gubitaka ne mogu utvrditi, subjekti bi ih trebali procijeniti.

(37)

Relevantni subjekti također bi trebali biti dužni prijaviti incidente koji su uzrokovali ili mogu uzrokovati smrt osoba ili znatnu štetu zdravlju osoba jer takvi incidenti spadaju u posebno ozbiljne slučajeve sa znatnom materijalnom ili nematerijalnom štetom. Primjerice, incident koji utječe na relevantni subjekt mogao bi uzrokovati nedostupnost zdravstvenih ili hitnih službi ili gubitak povjerljivosti ili cjelovitosti podataka s učinkom na zdravlje pojedinaca. Kad utvrđuju je li incident uzrokovao ili može uzrokovati znatnu štetu zdravlju osobe, relevantni subjekti trebali bi razmotriti je li incident uzrokovao ili može uzrokovati teške ozljede i loše zdravlje. U tu svrhu ne bi trebali biti obvezni prikupljati dodatne informacije kojima nemaju pristup.

(38)

Trebalo bi smatrati da je nastupila ograničena dostupnost osobito u slučaju kad je vrijeme odgovora usluge relevantnog subjekta znatno dulje od prosječnog ili kad nisu dostupne sve funkcionalnosti usluge. Kad god je moguće, pri procjeni kašnjenja u vremenu odgovora trebalo bi primjenjivati objektivne kriterije koji se temelje na prosječnom vremenu odgovora u uslugama relevantnih subjekata. Funkcionalnost usluge može, naprimjer, biti funkcionalnost razgovora ili pretraživanja slika.

(39)

Uspješan, pretpostavljeno zlonamjeran i neovlašten pristup mrežnim i informacijskim sustavima relevantnog subjekta trebao bi se smatrati značajnim incidentom ako može uzrokovati ozbiljne poremećaje u radu. Primjerice, incident bi se trebao smatrati značajnim kad se akter kibernetičke prijetnje unaprijed pozicionira u mrežnim i informacijskim sustavima relevantnog subjekta s namjerom da uzrokuje poremećaj u pružanju usluga u budućnosti.

(40)

Incidenti koji se ponavljaju i povezuje ih isti očiti temeljni uzrok, ali pojedinačno ne ispunjavaju kriterije značajnog incidenta, trebali bi se skupno smatrati značajnim incidentom ako skupno ispunjavaju kriterij financijskog gubitka i dogodili su se najmanje dvaput u šest mjeseci. Takvi incidenti koji se ponavljaju mogu ukazivati na znatne nedostatke i slabosti u postupcima upravljanja kibernetičkosigurnosnim rizicima relevantnog subjekta i njihovoj kibernetičkosigurnosnoj zrelosti. Uz to, takvi incidenti koji se ponavljaju mogu relevantnom subjektu nanijeti znatan financijski gubitak.

(41)

U skladu s člankom 21. stavkom 5. i člankom 23. stavkom 11. Direktive (EU) 2022/2555 Komisija je pri izradi nacrta provedbenog akta razmijenila savjete i surađivala sa Skupinom za suradnju i ENISA-om.

(42)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (3) te je on dao mišljenje 1. rujna 2024.

(43)

Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem odbora osnovanog člankom 39. Direktive (EU) 2022/2555,