Članak 17. Pouzdani pružatelji upravljanih sigurnosnih usluga

osigurava da su usluge obuhvaćene pričuvom EU-a za kibernetičku sigurnost u cjelini takve da pričuva EU-a za kibernetičku sigurnost obuhvaća usluge koje se mogu pružati u svim državama članicama, uzimajući osobito u obzir posebne nacionalne zahtjeve za pružanje takvih usluga, među ostalim u pogledu jezika, certifikacije ili akreditacije;

osigurava da su ključni sigurnosni interesi Unije i njezinih država članica zaštićeni;

osigurava da pričuva EU-a za kibernetičku sigurnost donosi dodanu vrijednost Uniji tako što doprinosi ciljevima iz članka 3. Uredbe (EU) 2021/694, među ostalim poticanju razvoja vještina u području kibernetičke sigurnosti u Uniji.

pružatelj mora dokazati da njegovo osoblje ima najviši stupanj profesionalnog integriteta, neovisnosti, odgovornosti i potrebne tehničke stručnosti za obavljanje aktivnosti u svojem području te osigurava trajnost i kontinuitet stručnosti kao i potrebne tehničke resurse;

pružatelj i sva relevantna društva kćeri i podugovaratelji poštuju primjenjiva pravila o zaštiti klasificiranih podataka i imaju uspostavljene odgovarajuće mjere, uključujući, prema potrebi, međusobne sporazume za zaštitu povjerljivih informacija koje se odnose na uslugu, a posebno dokaze, nalaze i izvješća;

pružatelj mora dati dostatan dokaz da je njegova upravljačka struktura transparentna i da nije vjerojatno da će ugroziti njegovu nepristranost i kvalitetu njegovih usluga ili dovesti do sukoba interesa;

pružatelj mora imati odgovarajuće uvjerenje o sigurnosnoj provjeri, barem za osoblje koje će pružati usluge, ako tako zahtijeva država članica;

sigurnost pružateljevih IT sustava mora biti na odgovarajućoj razini;

pružatelj mora biti opremljen hardverom i softverom koji omogućuju traženu uslugu i ne sadržavaju poznate iskoristive ranjivosti, obuhvaćaju najnovija sigurnosna ažuriranja i u svakom slučaju su usklađeni s relevantnim odredbama Uredbe (EU) 2024/2847 Europskog parlamenta i Vijeća ( 2 );

pružatelj mora moći dokazati da ima iskustvo u pružanju sličnih usluga relevantnim nacionalnim tijelima, subjektima koji djeluju u sektorima visoke kritičnosti ili subjektima koji djeluju u drugim kritičnim sektorima;

pružatelj mora moći u kratkom roku pružiti uslugu u državama članicama u kojima može pružati uslugu;

pružatelj mora moći pružati uslugu na jednom ili više službenih jezika institucija Unije ili države članice, ako tako zahtijevaju države članice ili korisnici iz članka 14. stavka 3. točaka (b) i (c) u kojima pružatelj može isporučiti uslugu.

nakon što se uspostavi europski program kibernetičke sigurnosne certifikacije za upravljane sigurnosne usluge na temelju Uredbe (EU) 2019/881, pružatelj mora biti certificiran u skladu s tim programom u roku od dvije godine od datuma početka primjene tog programa.

pružatelj u ponudu mora uključiti uvjete pretvorbe za sve neiskorištene usluge odgovora na incidente koje bi se mogle pretvoriti u usluge pripravnosti koje su usko povezane s odgovorom na incidente, kao što su vježbe ili osposobljavanja.