A BIZOTTSÁG (EU) 2024/2690 VÉGREHAJTÁSI RENDELETE (2024. október 17.) az (EU) 2022/2555 irányelvnek a kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményei, valamint a DNS-szolgáltatók, a legfelső szintű doménnév-nyilvántartók, a felhőszolgáltatók, az adatközpont-szolgáltatók, a tartalomszolgáltató hálózati szolgáltatók, az irányított szolgáltatók, az irányított biztonsági szolgáltatók, az online piacterek, online keresőprogramok vagy közösségimédia-szolgáltatási platformok szolgáltatói és a bizalmi szolgáltatók tekintetében jelentősnek minősülő biztonsági események eseteinek további pontosítása tekintetében történő alkalmazására vonatkozó szabályok megállapításáról (EGT-vonatkozású szöveg)

(1)

E rendelet célja, hogy az (EU) 2022/2555 irányelv 3. cikkének hatálya alá tartozó DNS-szolgáltatók, legfelső szintű doménnév-nyilvántartók, felhőszolgáltatók, adatközpont-szolgáltatók, tartalomszolgáltató hálózati szolgáltatók, irányított szolgáltatók, irányított biztonsági szolgáltatók, az online piacterek, online keresőprogramok vagy közösségimédia-szolgáltatási platformok szolgáltatói és a bizalmi szolgáltatók (a továbbiakban: érintett szervezetek) tekintetében meghatározza az (EU) 2022/2555 irányelv 21. cikke (2) bekezdésében említett intézkedések technikai és módszertani követelményeit, valamint hogy tovább pontosítsa azokat az eseteket, amelyekben egy biztonsági esemény az (EU) 2022/2555 irányelv 23. cikke (3) bekezdésének értelmében vett jelentős biztonsági eseménynek tekintendő.

(2)

Figyelembe véve tevékenységeik határokon átnyúló jellegét, valamint a bizalmi szolgáltatók számára a koherens keretek megteremtése érdekében e rendeletnek a megbízható szolgáltatók tekintetében – a kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeinek meghatározása mellett – tovább kell pontosítania azokat az eseteket, amikor egy biztonsági eseményt jelentősnek kell tekinteni.

(3)

Az (EU) 2022/2555 irányelv 21. cikke (5) bekezdésének harmadik albekezdésének megfelelően a kiberbiztonsági kockázatkezelési intézkedések e rendelet mellékletében meghatározott technikai és módszertani követelményei olyan európai és nemzetközi szabványokon alapulnak, mint az ISO/IEC 27001, az ISO/IEC 27002 és az ETSI EN 319401 szabvány, valamint a hálózati és információs rendszerek biztonsága szempontjából releváns műszaki előírások, például a CEN/TS 18026:2024.

(4)

Ami az e rendelet mellékletében meghatározott kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeinek végrehajtását és alkalmazását illeti, az arányosság elvével összhangban kellően figyelembe kell venni az érintett szervezetek eltérő kockázati kitettségét, például az érintett szervezet kritikusságát, a kockázatokat, amelyeknek a szervezet ki van téve, a szervezet méretét és szerkezetét, valamint a biztonsági események előfordulásának valószínűségét és súlyosságát, beleértve azok társadalmi és gazdasági hatását, amennyiben a szervezet megfelel a kiberbiztonsági kockázatkezelési intézkedések e rendelet mellékletében meghatározott technikai és módszertani követelményeinek.

(5)

Az arányosság elvével összhangban, amennyiben az érintett szervezetek méretük miatt nem tudják végrehajtani a kiberbiztonsági kockázatkezelési intézkedések bizonyos technikai és módszertani követelményeit, e szervezetek számára lehetővé kell tenni, hogy az említett követelmények céljának elérésére alkalmas egyéb kompenzációs intézkedéseket hozzanak. Például az érintett szervezeten belüli hálózati és információs rendszer biztonságával kapcsolatos szerepkörök, felelősségi körök és hatóságok meghatározásakor a mikrovállalkozások számára nehézséget okozhat az összeférhetetlen feladatok és az összeférhetetlen felelősségi területek elkülönítése. Az ilyen szervezetek számára lehetővé kell tenni, hogy adott esetben kompenzációs intézkedéseket vezessenek be, például a szervezet vezetése általi célzott felügyeletet vagy fokozott nyomon követést és naplózást.

(6)

Az e rendelet mellékletében meghatározott bizonyos technikai és módszertani követelményeket az érintett szervezeteknek akkor kell alkalmazniuk, ha indokolt, ha releváns vagy ha megvalósítható. Amennyiben az érintett szervezet úgy ítéli meg, hogy az e rendelet mellékletében előírt bizonyos technikai és módszertani követelmények alkalmazása nem indokolt, nem releváns vagy nem megvalósítható, az érintett szervezetnek érthető módon dokumentálnia kell az erre vonatkozó érvelését. Az illetékes nemzeti hatóságok a felügyelet gyakorlása során figyelembe vehetik az érintett szervezetek számára mennyi idő szükséges a kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeinek végrehajtásához.

(7)

Az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) vagy az (EU) 2022/2555 irányelv szerinti illetékes nemzeti hatóságok iránymutatásukkal támogathatják az érintett szervezeteket a kockázatoknak a megfelelő kockázatkezelési keret létrehozására és fenntartására vonatkozó technikai és módszertani követelmények végrehajtása céljából végzett azonosításában, elemzésében és értékelésében. Ez az iránymutatás konkrétan magában foglalhatja a nemzeti és ágazati kockázatértékeléseket, valamint az adott típusú szervezetre vonatkozó kockázatértékeléseket. Az iránymutatás a kockázatkezelési keretrendszernek az érintett szervezetek szintjén történő kidolgozására szolgáló eszközöket vagy sablonokat is tartalmazhat. A tagállamok nemzeti joga által biztosított keretek, iránymutatások vagy egyéb mechanizmusok, valamint a vonatkozó európai és nemzetközi szabványok szintén támogathatják az érintett szervezeteket az e végrehajtási rendeletnek, valamint a vonatkozó európai és nemzetközi szabványoknak való megfelelés igazolásában. Emellett az ENISA vagy az (EU) 2022/2555 irányelv szerinti illetékes nemzeti hatóságok támogathatják az érintett szervezeteket az említett kockázatértékelések során azonosított kockázatok kezelésére szolgáló megfelelő megoldások azonosításában és végrehajtásában. Ez az iránymutatás nem korlátozhatja az érintett szervezetek azon kötelezettségét, hogy azonosítsák és dokumentálják a hálózati és információs rendszerek biztonságát fenyegető kockázatokat, valamint azon kötelezettségét, hogy szükségleteiknek és erőforrásaiknak megfelelően végrehajtsák az e rendelet mellékletében meghatározott kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeit.

(8)

A hálózatbiztonsági intézkedések esetében sajátos kihívásokat jelent i. a legújabb generációs, hálózati rétegbeli kommunikációs protokollokra való átállás, ii. az elektronikus levelezésre vonatkozó, nemzetközileg elfogadott és interoperábilis, modern kommunikációs szabványok bevezetése, továbbá iii. a DNS-biztonsággal, valamint az internetes útvonal-meghatározás biztonságával és az útvonal-meghatározási higiéniával kapcsolatos bevált gyakorlatok alkalmazása tekintetben az elérhető legjobb szabványok és bevezetési technikák azonosítása. Annak érdekében, hogy az egységesen magas szintű kiberbiztonság valamennyi hálózatra kiterjedően a lehető leghamarabb biztosított legyen, a Bizottságnak az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) segítségével, valamint az illetékes hatóságokkal, az ágazattal – többek között a távközlési ágazattal – és más érdekelt felekkel együttműködve támogatnia kell egy több érdekelt felet tömörítő fórum létrehozását, amelynek feladata az említett, rendelkezésre álló legjobb szabványok és bevezetési technikák azonosítása. Az említett érdekelt felektől származó iránymutatás nem korlátozhatja az érintett szervezetek azon kötelezettségét, hogy végrehajtsák az e rendelet mellékletében meghatározott kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeit.

(9)

Az (EU) 2022/2555 irányelv 21. cikke (2) bekezdésének a) pontja értelmében az alapvető és fontos szervezeteknek a kockázatelemzési szabályzatok mellett az információs rendszerek biztonságára vonatkozó szabályzatokkal is rendelkezniük kell. E célból az érintett szervezeteknek ki kell dolgozniuk a hálózati és információs rendszerek biztonságára vonatkozó szabályzatokat, valamint olyan tematikus – például hozzáférés-ellenőrzési – szabályzatokat, amelyek összhangban vannak a hálózati és információs rendszerek biztonságára vonatkozó szabályzatokkal. A hálózati és információs rendszerek biztonságára vonatkozó szabályzatnak a legmagasabb szintű dokumentumnak kell lennie, amely meghatározza az érintett szervezeteknek a hálózati és információs rendszerek biztonságára vonatkozó általános megközelítését, és azt az érintett szervezetek vezető testületeinek kell jóváhagyniuk. A témaspecifikus szabályzatokat a megfelelő vezetői szinten kell jóváhagyni. A szabályzatnak mutatókat és intézkedéseket kell meghatároznia a szabályzat végrehajtásának, valamint az érintett szervezetek hálózat- és információbiztonsága aktuális kiforrottsági szintjének nyomon követésére, különösen a kiberbiztonsági kockázatkezelési intézkedések végrehajtásának a vezető testületek általi felügyeletének megkönnyítése érdekében.

(10)

Az e rendelet mellékletében meghatározott technikai és módszertani követelmények alkalmazásában a „felhasználó” kifejezés magában foglal minden olyan jogi és természetes személyt, aki vagy amely hozzáféréssel rendelkezik a szervezet hálózati és információs rendszereihez.

(11)

A hálózati és információs rendszerek biztonságát fenyegető kockázatok azonosítása és kezelése érdekében az érintett szervezeteknek megfelelő kockázatkezelési keretet kell létrehozniuk és fenntartaniuk. A kockázatkezelési keret részeként az érintett szervezeteknek ki kell dolgozniuk, végre kell hajtaniuk és nyomon kell követniük egy kockázatkezelési tervet. Az érintett szervezetek a kockázatkezelési terv alapján azonosíthatják és rangsorolhatják a kockázatkezelési lehetőségeket és intézkedéseket. A kockázatkezelési lehetőségek közé tartozik különösen a kockázat elkerülése, csökkentése vagy – kivételes esetekben – elfogadása. A kockázatkezelési lehetőségek kiválasztásakor figyelembe kell venni az érintett szervezet által végzett kockázatértékelés eredményeit, és a kiválasztásnak összhangban kell lennie az érintett szervezetnek a hálózati és információs rendszerek biztonságára vonatkozó szabályzatával. A kiválasztott kockázatkezelési lehetőségek végrehajtása érdekében az érintett szervezeteknek meg kell hozniuk a megfelelő kockázatkezelési intézkedéseket.

(12)

Az események, a majdnem bekövetkezett biztonsági események és a biztonsági események észlelése érdekében az érintett szervezeteknek nyomon kell követniük hálózati és információs rendszereiket, és intézkedéseket kell hozniuk az események, a majdnem bekövetkezett biztonsági események és a biztonsági események értékelésére. Ezeknek az intézkedéseknek lehetővé kell tenniük, hogy a hálózati alapú támadásokat – a rendellenes bejövő vagy kimenő adatforgalmi minták alapján –, valamint a szolgáltatásmegtagadással járó támadásokat időben észleljék.

(13)

Amennyiben az érintett szervezetek üzleti hatásvizsgálatot végeznek, ajánlott, hogy olyan átfogó elemzést végezzenek, amelyben adott esetben meghatározzák a maximális elfogadható leállási időt, a helyreállítási időre vonatkozó célkitűzéseket, a helyreállítási pontra vonatkozó célkitűzéseket és a szolgáltatásnyújtási célkitűzéseket.

(14)

Az érintett szervezeteknek az ellátási láncukból és beszállítóihoz fűződő kapcsolatukból eredő kockázatok csökkentése érdekében ki kell dolgozniuk az ellátási lánc védelmére vonatkozó szabályzatukat, amely szabályozza a közvetlen beszállítóikkal és szolgáltatóival fennálló kapcsolataikat. E szervezeteknek a közvetlen beszállítóikkal vagy szolgáltatókkal kötött szerződésekben megfelelő biztonsági záradékokat kell meghatározniuk, például adott esetben az (EU) 2022/2555 irányelv 21. cikkének (2) bekezdése szerinti kiberbiztonsági kockázatkezelési intézkedések meghozatalát vagy más hasonló jogi követelményeknek való megfelelést kell előírniuk.

(15)

Az érintett szervezeteknek erre a célra kidolgozott szabályzat és eljárások alapján rendszeresen biztonsági teszteket kell végezniük annak ellenőrzésére, hogy a kiberbiztonsági kockázatkezelési intézkedéseket végrehajtják-e és azok megfelelően működnek-e. A biztonsági tesztek elvégezhetők adott hálózati és információs rendszereken vagy az érintett szervezet egészén, és magukban foglalhatnak automatizált vagy manuális teszteket, behatolási teszteket, sérülékenységfelmérést, statikus és dinamikus alkalmazásbiztonsági teszteket, konfigurációs teszteket vagy biztonsági ellenőrzéseket. Az érintett szervezetek biztonsági teszteket végezhetnek hálózati és információs rendszereiken azok telepítésekor, az infrastruktúra vagy az alkalmazások általuk jelentősnek ítélt korszerűsítése vagy módosítása után, illetve karbantartás után. A biztonsági tesztek eredményeinek információkkal kell szolgálniuk az érintett szervezetek számára a kiberbiztonsági kockázatkezelési intézkedések hatékonyságának értékelésére vonatkozó szabályzatok és eljárások alakításához, valamint hálózat- és információbiztonsági szabályzatok független felülvizsgálatához.

(16)

A hálózati és információs rendszerek javítatlan sebezhetőségeinek kihasználása révén okozott jelentős zavarok és károk elkerülése érdekében az érintett szervezeteknek olyan megfelelő biztonsági javításkezelési eljárásokat kell meghatározniuk és alkalmazniuk, amelyek összhangban vannak az érintett szervezetek változáskezelési, sebezhetőségkezelési, kockázatkezelési és egyéb vonatkozó eljárásaival. Az érintett szervezeteknek erőforrásaikkal arányos intézkedéseket kell hozniuk annak biztosítására, hogy a biztonsági javítások ne okozzanak további sebezhetőségeket vagy instabilitásokat. Amennyiben a biztonsági javítások alkalmazása a szolgáltatás tervezett kiesésével jár, az érintett szervezeteket arra ösztönzik, hogy ügyfeleiket előzetesen megfelelően tájékoztassák.

(17)

Az érintett szervezeteknek kezelniük kell az IKT-termékek vagy IKT-szolgáltatások beszállítóktól vagy szolgáltatóktól történő beszerzéséből eredő kockázatokat, és bizonyosságot kell szerezniük arról, hogy a beszerzendő IKT-termékek vagy IKT-szolgáltatások elérnek bizonyos kiberbiztonsági védelmi szinteket, például rendelkeznek az (EU) 2019/881 európai parlamenti és tanácsi rendelet (2) 49. cikke alapján elfogadott európai kiberbiztonsági tanúsítási rendszer keretében kibocsátott, IKT-termékekre vagy IKT-szolgáltatásokra vonatkozó európai kiberbiztonsági tanúsítvánnyal és uniós megfelelőségi nyilatkozattal. Amennyiben az érintett szervezetek a beszerzendő IKT-termékekre alkalmazandó biztonsági követelményeket határoznak meg, figyelembe kell venniük a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről szóló európai parlamenti és tanácsi rendeletben meghatározott alapvető kiberbiztonsági követelményeket.

(18)

A kiberfenyegetésekkel szembeni védelem, valamint az adatvédelmi incidensek megelőzésének és megfékezésének támogatása érdekében az érintett szervezeteknek hálózatbiztonsági megoldásokat kell alkalmazniuk. A tipikus hálózatbiztonsági megoldások közé tartoznak többek között a következők: az érintett szervezetek belső hálózatainak védelmére szolgáló tűzfalak használata; ahol feltétlenül szükség van csatlakozásra és hozzáférésre, ott a csatlakozások és a szolgáltatásokhoz való hozzáférés korlátozása; virtuális magánhálózatok használata távoli hozzáférés céljára; és a szolgáltatók általi csatlakozásnak csak engedélykérés utáni és meghatározott ideig tartó – például a karbantartási művelet időtartamára való – lehetővé tétele.

(19)

Annak érdekében, hogy az érintett szervezetek megvédjék hálózataikat és információs rendszereiket a rosszindulatú és nem engedélyezett szoftverektől, olyan ellenőrzéseket kell végrehajtaniuk, amelyek megakadályozzák vagy felderítik a nem engedélyezett szoftverek használatát, továbbá adott esetben az ilyen szoftvereket észlelő és azokra reagáló szoftvereket kell használniuk. Az érintett szervezeteknek fontolóra kell venniük a támadási felület minimalizálására, a támadók által kihasználható sebezhetőségek mérséklésére, az alkalmazások végpontokon történő végrehajtásának ellenőrzésére, valamint a rosszindulatú tartalmaknak való kitettség csökkentése érdekében e-mail- és webalkalmazás-szűrők telepítésére irányuló végrehajtási intézkedések meghozatalát is.

(20)

Az (EU) 2022/2555 irányelv 21. cikke (2) bekezdésének g) pontja értelmében a tagállamoknak biztosítaniuk kell, hogy az alapvető és fontos szervezetek alkalmazzák az alapvető kiberhigiéniai gyakorlatokat és kiberbiztonsági képzést nyújtsanak. Az alapvető kiberhigiéniai gyakorlatok közé tartoznak többek között a következők: a zéró bizalom elve, a szoftverfrissítések, az eszközök megfelelő konfigurálása, a hálózati szegmentáció, a személyazonosság- és hozzáférés-kezelés, illetve a felhasználói tudatosság, valamint a személyzet képzése és a kiberfenyegetésekkel, az adathalászattal vagy a pszichológiai manipulációval kapcsolatos tudatosság növelése. A kiberhigiéniai gyakorlatok alkalmazása az e rendelet mellékletében meghatározott kiberbiztonsági kockázatkezelési intézkedések különböző technikai és módszertani követelményeinek részét képezik. A felhasználókra vonatkozó alapvető kiberhigiéniai gyakorlatok tekintetében az érintett szervezeteknek olyan gyakorlatokat kell figyelembe venniük, mint az íróasztal és képernyő áttekinthetőségére vonatkozó szabály, a többfaktoros és egyéb hitelesítési eszközök használata, a biztonságos e-mail-használat és webböngészés, az adathalászattal és a pszichológiai manipulációval szembeni védelem, valamint a távmunka biztonságossá tételére vonatkozó gyakorlatok.

(21)

Az érintett szervezetek eszközeihez való jogosulatlan hozzáférés megakadályozása érdekében az érintett szervezeteknek témaspecifikus szabályzatot kell kidolgozniuk és alkalmazniuk, amely a személyek, valamint a hálózati és információs rendszerek, például az alkalmazások általi hozzáférésre is kiterjed.

(22)

Annak elkerülése érdekében, hogy a munkavállalók sérelem- vagy károkozás céljából visszaélhessenek például az érintett szervezeten belüli hozzáférési jogokkal, az érintett szervezeteknek mérlegelniük kell a munkavállalókra vonatkozó, megfelelő biztonsági intézkedések meghozatalát, és fel kell hívniuk a személyzet figyelmét az ilyen kockázatokra. Az érintett szervezeteknek fegyelmi eljárást kell létrehozniuk, közzé tenniük és fenntartaniuk a hálózati és információs rendszerükre vonatkozó biztonsági szabályzat megsértésének kezelésére, amely eljárás beágyazható az adott érintett szervezet által létrehozott egyéb fegyelmi eljárásokba. Az érintett szervezetek alkalmazottai és adott esetben közvetlen beszállítói és szolgáltatói tekintetében elvégzett háttérellenőrzéseknek hozzá kell járulniuk az érintett szervezetek humánerőforrás-biztonsági célkitűzéséhez, és magukban foglalhatnak olyan intézkedéseket, mint például a személy bűnügyi előéletének vagy múltbeli szakmai feladatkörének – a személy érintett szervezeten belüli feladatainak megfelelően és az érintett szervezet hálózat- és információbiztonsági szabályzatával összhangban történő – ellenőrzése.

(23)

A többfaktoros hitelesítés javíthatja a szervezetek kiberbiztonságát, és annak alkalmazását a szervezeteknek különösen akkor kell mérlegelnie, ha a felhasználók távoli helyekről férnek hozzá hálózati és információs rendszerekhez, vagy amikor érzékeny információkhoz vagy különleges jogosultságú vagy rendszeradminisztrátori felhasználói fiókokhoz férnek hozzá. A többfaktoros hitelesítés más technikákkal is kombinálható, melyek meghatározott körülmények között, előre meghatározott szabályok és minták alapján – például szokatlan helyről, szokatlan eszközről vagy szokatlan időben történő hozzáférés esetén – további faktorok alkalmazását követelik meg.

(24)

Az érintett szervezeteknek megbízható eszközkezelési gyakorlatok alkalmazásával kell kezelniük és védeniük a számukra értékes eszközöket, mely eszközkezelési gyakorlatok a kockázatelemzés és az üzletmenetfolytonosság-menedzsment alapjául is kell szolgálniuk. Az érintett szervezeteknek mind a tárgyi eszközöket, mind az immateriális javakat kezelniük kell, eszközleltárt kell létrehozniuk, az eszközöket meghatározott besorolási szinthez kell társítaniuk, kezelniük kell és nyomon kell követniük az eszközöket, továbbá lépéseket kell tenniük az eszközök teljes életciklusuk alatti védelme érdekében.

(25)

Az eszközkezelésnek magában kell foglalnia az eszközök típusuk, érzékenységük, kockázati szintjük és biztonsági követelményeik szerinti besorolását, valamint megfelelő intézkedések és ellenőrzések alkalmazását az eszközök rendelkezésre állásának, integritásának, bizalmas jellegének és hitelességének biztosítására. Az eszközök kockázati szint szerinti besorolása lehetővé kell tegye az érintett szervezetek számára, hogy olyan, megfelelő biztonsági intézkedéseket és ellenőrzéseket alkalmazzanak az eszközök védelme érdekében, mint a titkosítás, a hozzáférés – többek között a külső határok, illetőleg a fizikai és logikai hozzáférés – ellenőrzése, a biztonsági másolatok készítése, a naplózás és a nyomon követés, valamint a megőrzés és a megsemmisítés. Az üzleti hatásvizsgálat elvégzésekor az érintett szervezetek az eszközök zavarának a szervezetre gyakorolt következményei alapján határozhatják meg az adott eszköz besorolási szintjét. A szervezet valamennyi, eszközöket kezelő alkalmazottjának ismernie kell az eszközkezelési szabályzatokat és utasításokat.

(26)

Az eszközleltár részletességének az érintett szervezetek igényeihez kell igazodnia. Egy átfogó eszközleltár a következő adatokat tartalmazhatja eszközönként: legalább egy egyedi azonosító, az eszköz tulajdonosa, az eszköz leírása, az eszköz helye, az eszköz típusa, az eszközzel kezelt információk típusa és besorolása, az eszköz legutóbbi szoftverfrissítésének időpontja vagy a legutóbbi hibajavító csomag telepítésének időpontja, az eszköz kockázatértékelés szerinti besorolása, valamint az eszköz élettartamának vége. Az eszköz tulajdonosának meghatározásakor az érintett szervezeteknek az adott eszköz védelméért felelős személyt is meg kell határoznia.

(27)

A kiberbiztonsági szerepköröket, felelősségi köröket és hatásköröket úgy kell kiosztani és megszervezni, hogy olyan következetes struktúra jöjjön létre, amely lehetővé teszi a kiberbiztonság irányítását és végrehajtását az érintett szervezeteken belül, valamint biztosított legyen a hatékony kommunikáció biztonsági események esetén. Az egyes szerepkörökhöz kapcsolódó feladatok meghatározásakor és kijelölésekor az érintett szervezetek többek között az olyan szerepekörök feladatait kell mérlegelniük, mint az információbiztonsági vezető, az információbiztonsági tisztviselő, a biztonsági események kezelésével foglalkozó tisztviselő, az ellenőr vagy ezekhez hasonló szerepkörök. Az érintett szervezetek külső felekre, például harmadik fél IKT-szolgáltatókra ruházhatnak szerepköröket és feladatokat.

(28)

Az (EU) 2022/2555 irányelv 21. cikkének (2) bekezdése értelmében a kiberbiztonsági kockázatkezelési intézkedéseknek minden veszélyre kiterjedő megközelítésen kell alapulniuk, amelynek célja a hálózati és információs rendszereknek és azok fizikai környezetének a védelme minden olyan esemény ellen, mint például a lopás, a tűz, az árvíz, a távközlési és áramellátási zavarok, vagy valamely alapvető vagy fontos szervezet információs és információfeldolgozó létesítményeihez való jogosulatlan fizikai hozzáférés ellen, valamint az azokban keletkezett kár és az azokon végrehajtott beavatkozás ellen, amely veszélyeztetheti a tárolt, továbbított vagy kezelt adatok vagy a hálózati és információs rendszerek által kínált vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását, hitelességét, integritását vagy bizalmas jellegét. A kiberbiztonsági kockázatkezelési intézkedések technikai és módszertani követelményeinek ezért a hálózati és információs rendszerek fizikai és környezeti biztonságával is foglalkozniuk kell olyan intézkedések révén, amelyek megvédik az említett rendszereket a rendszerhibáktól, az emberi hibától, a rosszindulatú cselekményektől vagy a természeti jelenségektől. További példák a fizikai és környezeti fenyegetésekre a földrengések, a robbanások, a szabotázs, a belső fenyegetés, a polgári zavargások, a mérgező hulladékok és a környezeti kibocsátások. A hálózati és információs rendszerek elvesztésének, károsodásának vagy megfertőződésének, illetve a rendszerek működésében az őket ellátó közművek meghibásodása vagy zavara miatt bekövetkező kiesésnek a megelőzése az érintett szervezetek üzletmenet-folytonossági célkitűzéseinek részét kell képezze. Emellett a fizikai és környezeti fenyegetésekkel szembeni védelemnek hozzá kell járulnia a hálózati és információs rendszerek karbantartás alatti biztonságához az érintett szervezeteknél.

(29)

Az érintett szervezeteknek védelmi intézkedéseket kell kidolgozniuk és végrehajtaniuk a fizikai és környezeti fenyegetésekkel szemben, meg kell határozniuk a fizikai és környezeti fenyegetésekre vonatkozó minimális és maximális ellenőrzési küszöbértékeket, valamint nyomon kell követniük a környezeti paramétereket. Fontolóra kell venniük például olyan rendszerek telepítését, amelyek időben észlelik azon területek víz alá kerülését, ahol a hálózati és információs rendszerek találhatók. Ami a tűzveszélyt illeti, az érintett szervezeteknek mérlegelniük kell egy külön tűzszakasz kialakítását az adatközpont védelmére, tűzálló anyagok használatát, a hőmérséklet és a páratartalom nyomon követésére szolgáló érzékelők alkalmazását, az épületnek egy olyan tűzjelző rendszerrel való összekapcsolását, amely képes automatikus értesíteni a helyi tűzoltóságot, valamint gyors reagálású tűzérzékelő és -oltó rendszerek telepítését. Emellett az érintett szervezeteknek rendszeresen tűzvédelmi gyakorlatokat és ellenőrzéseket kell végezniük. Az áramellátás biztosításával kapcsolatosan az érintett szervezeteknek számolniuk kell a vonatkozó szabványoknak megfelelő túlfeszültség elleni védelem és vészhelyzeti áramellátás telepítésének lehetőségével is. Továbbá, mivel a túlmelegedés kockázatot jelent a hálózati és információs rendszerek rendelkezésre állására nézve, az érintett szervezetek, különösen az adatközpont-szolgáltatók mérlegelhetik a megfelelő, folyamatos és redundáns légkondicionáló rendszerek használatát.

(30)

E rendeletnek tovább kell pontosítania azokat az eseteket, amikor egy biztonsági eseményt az (EU) 2022/2555 irányelv 23. cikke (3) bekezdésének alkalmazásában jelentősnek kell tekinteni. A kritériumokat úgy kell meghatározni, hogy – a biztonsági eseményeknek az (EU) 2022/2555 irányelvvel összhangban történő bejelentése céljából – az érintett szervezetek számára lehetővé tegye annak értékelését, hogy egy biztonsági esemény jelentősnek minősül-e. Ezenkívül – az (EU) 2022/2555 irányelv 5. cikkének sérelme nélkül – az e rendeletben meghatározott kritériumokat kimerítőnek kell tekinteni. Ez a rendelet horizontális, illetve szervezettípusú egyedi eseteket meghatározásra révén megállapítja azokat az eseteket, amikor egy biztonsági eseményt jelentősnek kell tekinteni.

(31)

Az (EU) 2022/2555 irányelv 23. cikkének (4) bekezdése értelmében az érintett szervezetek számára elő kell írni, hogy az említett rendelkezésben meghatározott határidőkön belül jelentsék be a jelentős biztonsági eseményeket. A bejelentésre vonatkozó, említett határidők attól a pillanattól számítandók, amikor a szervezet tudomást szerez a szóban forgó jelentős biztonsági eseményekről. Az érintett szervezetnek ezért be kell jelentenie azokat a biztonsági eseményeket, amelyek az első értékelés alapján súlyos működési zavart vagy pénzügyi veszteséget okozhatnak a szervezet számára, vagy jelentős vagyoni vagy nem vagyoni kárt okozásával más természetes vagy jogi személyt érinthet. Ezért ha az érintett szervezet gyanús eseményt észlelt, vagy azt követően, hogy egy harmadik fél – például magánszemély, ügyfél, szervezet, hatóság, médiaszervezet vagy más forrás – potenciális biztonsági eseményt hozott a tudomására, az érintett szervezetnek kellő időben értékelnie kell a gyanús eseményt annak megállapítása érdekében, hogy az biztonsági eseménynek minősül-e, és ha igen, meg kell határoznia annak jellegét és súlyosságát. Ezért ha az első értékelést követően az érintett szervezet kellő bizonyossággal rendelkezik arról, hogy jelentős biztonsági esemény történt, úgy kell tekinteni, hogy az érintett szervezet „tudomást szerzett” a jelentős biztonsági eseményről.

(32)

Annak megállapítása érdekében, hogy egy biztonsági esemény jelentős-e, az érintett szervezeteknek adott esetben meg kell határozniuk a biztonsági esemény által érintett felhasználók számát, figyelembe véve azokat az üzleti és végfelhasználókat, akikkel az érintett szervezet szerződéses viszonyban van, valamint az üzleti ügyfelekkel kapcsolatban álló természetes és jogi személyeket. Amennyiben az érintett szervezet nem tudja kiszámítani az érintett felhasználók számát, a biztonsági esemény által érintett felhasználók teljes számának kiszámításához az érintett szervezetnek az érintett felhasználók lehetséges maximális számára vonatkozó becslését kell figyelembe venni. A bizalmi szolgáltatásokat érintő biztonsági események jelentőségének megállapításához nemcsak a felhasználók, hanem az igénybe vevő felek számát is meg kell határozni, mivel a bizalmi szolgáltatásokat érintő jelentős biztonsági események által okozott működési zavarok és a vagyoni vagy nem vagyoni károk őket is ugyanúgy érinthetik. Ezért a bizalmi szolgáltatóknak adott esetben az igénybe vevő felek számát is figyelembe kell venniük annak megállapításakor, hogy egy biztonsági esemény jelentős-e. E célból igénybe vevő feleken olyan természetes vagy jogi személyeket kell érteni, akik vagy amelyek igénybe veszik az adott bizalmi szolgáltatást.

(33)

Azok a karbantartási műveletek, amelyek a szolgáltatások korlátozott rendelkezésre állásával vagy rendelkezésre állásának szünetelésével járnak, nem tekintendők jelentős biztonsági eseménynek, ha a szolgáltatás korlátozott rendelkezésre állása vagy rendelkezésre állásának szünetelése tervezett karbantartási művelet következtében történik. Továbbá nem tekinthető jelentős biztonsági eseménynek, ha egy szolgáltatás tervezett üzemszünet – például előre meghatározott szerződéses megállapodáson alapuló üzemszünet vagy a rendelkezésre állás ilyen megállapodáson alapuló szünetelése – miatt nem érhető el.

(34)

A szolgáltatás rendelkezésre állását befolyásoló biztonsági esemény időtartamának az érintett szolgáltatás megfelelő nyújtásának zavarától a helyreállás időpontjáig terjedő időtartamot kell tekinteni. Amennyiben az érintett szervezet nem tudja meghatározni a zavar kezdetének időpontját, a biztonsági esemény időtartamát vagy attól az időponttól kell mérni, amikor a biztonsági eseményt észlelték, vagy pedig attól az időponttól, amikor a biztonsági eseményt a hálózati vagy rendszernaplókban vagy más adatforrásokban rögzítették, attól függően, hogy melyik időpont a korábbi.

(35)

Az az időtartam, amely alatt a szolgáltatás rendelkezésre állása teljesen szünetel, attól a pillanattól kezdődik, amikor a szolgáltatás teljes mértékben elérhetetlenné válik a felhasználók számára, és addig a pillanatig tart, amikor a szokásos tevékenységek vagy műveletek visszaállnak a szolgáltatás biztonsági eseményt megelőző színvonalára. Amennyiben az érintett szervezet nem tudja meghatározni, hogy mikortól szűnt meg teljesen a szolgáltatás rendelkezésre állása, a rendelkezésre állás szünetelését attól az időponttól kell mérni, amikor azt az adott szervezet észlelte.

(36)

A biztonsági eseményekből eredő közvetlen pénzügyi veszteségek meghatározása céljából az érintett szervezetnek figyelembe kell vennie az adott biztonsági esemény következtében elszenvedett valamennyi pénzügyi veszteséget, például a szoftver, hardver vagy infrastruktúra cseréjével vagy áthelyezésével kapcsolatos költségeket, a személyzeti költségeket, beleértve a személyzet leváltásával vagy áthelyezésével, a további személyzet felvételével, a túlórák díjazásával és az elveszett vagy csökkent készségek helyreállításával kapcsolatos költségeket, a szerződéses kötelezettségek be nem tartása következtében fizetendő díjakat, az ügyfeleknek nyújtott jogorvoslat és kártérítés költségeit, az elmaradt bevételekből eredő veszteségeket, a belső és külső kommunikációval kapcsolatos költségeket, a tanácsadásért fizetett költségeket, beleértve a jogi tanácsadással, az igazságügyi szakértői szolgáltatásokkal és a helyreállításra irányuló szolgáltatásokkal összefüggő költségeket, valamint a biztonsági eseményhez kapcsolódó egyéb költségeket. A közigazgatási bírságok, valamint a napi ügyvitel költségei – többek között az infrastruktúra, a berendezések, a hardver és a szoftver általános karbantartásának költségei, a személyzet készségeinek naprakészen tartásához kapcsolódó költségek, az üzleti tevékenységnek a biztonsági eseményt követő megerősítéséhez kapcsolódó belső vagy külső költségek, beleértve a fejlesztéseket, a javításokat és a kockázatértékelési kezdeményezéseket, valamint a biztosítási díjak – azonban nem tekinthetők biztonsági eseményből eredő pénzügyi veszteségnek. Az érintett szervezetnek a rendelkezésre álló adatok alapján kell kiszámítania a pénzügyi veszteségek összegét, és amennyiben a pénzügyi veszteségek tényleges összege nem határozható meg, ezeket az összegeket meg kell becsülnie.

(37)

Az érintett szervezetet továbbá azon biztonsági események jelentésére is kötelezni kell, amelyek természetes személyek halálát vagy jelentős egészségkárosodását okozták vagy okozhatják, mivel az ilyen biztonsági események a jelentős vagyoni vagy nem vagyoni kár okozásának különösen súlyos eseteit képezik. Például előfordulhat, hogy az érintett szervezetnél bekövetkező biztonsági esemény hatására az egészségügyi ellátás vagy a segélyhívó szolgálatok elérhetetlenné válnak, illetve sérül bizonyos adatok bizalmas jellege vagy integritása, ami hatással lehet természetes személyek egészségére. Annak meghatározása céljából, hogy egy biztonsági esemény valamely természetes személy egészségkárosodását okozta-e vagy okozhatja-e, az érintett szervezetnek figyelembe kell vennie, hogy az adott biztonsági esemény okozott-e vagy okozhat-e súlyos sérüléseket és megbetegedést. E célból az érintett szervezet nem kötelezhető olyan további információk gyűjtésére, amelyekhez nem fér hozzá.

(38)

Korlátozott rendelkezésre állásnak tekintendő különösen az az eset, amikor az érintett szervezet által nyújtott szolgáltatás válaszideje jelentősen lassabb az átlagosnál, vagy ha egy szolgáltatás nem minden funkciója áll rendelkezésre. Amennyiben lehetséges, a válaszidőben jelentkező késés értékelésére az érintett szervezet által nyújtott szolgáltatások átlagos válaszidején alapuló, objektív kritériumokat kell alkalmazni. Szolgáltatás által nyújtott funkció lehet például csevegőfunkció vagy képkeresési funkció.

(39)

Az érintett szervezet hálózati és információs rendszereihez való sikeres, gyaníthatóan rosszindulatú és jogosulatlan hozzáférést jelentős biztonsági eseménynek kell tekinteni, amennyiben az ilyen hozzáférés súlyos működési zavart okozhat. Jelentős biztonsági eseménynek tekintendő például, hogy egy kiberbiztonsági fenyegetést jelentő szereplő előre hozzáférést biztosít magának az érintett szervezet hálózati és információs rendszereihez azzal a céllal, hogy a jövőben zavart okozzon a szolgáltatásokban.

(40)

Azokat az ismétlődő biztonsági eseményeket, amelyek ugyanahhoz a nyilvánvaló kiváltó okhoz kapcsolódnak, de amelyek külön-külön nem minősülnének jelentős biztonsági eseménynek, együttesen jelentős biztonsági eseménynek kell tekinteni, amennyiben együttesen megfelelnek a pénzügyi veszteségre vonatkozó kritériumnak, és hat hónapon belül legalább kétszer bekövetkeztek. Az ilyen ismétlődő biztonsági események jelentős hiányosságokra és gyengeségekre utalhatnak az érintett szervezet kiberbiztonsági kockázatkezelési eljárásaiban és kiberbiztonsági kiforrottsági szintjében. Továbbá a szóban forgó ismétlődő események jelentős pénzügyi veszteséget okozhatnak az érintett szervezetnek.

(41)

A Bizottság az (EU) 2022/2555 irányelv 21. cikkének (5) bekezdésével és 23. cikkének (11) bekezdésével összhangban megosztotta a szakértelmet és együttműködött az együttműködési csoporttal és az ENISA-val a végrehajtási jogi aktus tervezetével kapcsolatban.

(42)

Az európai adatvédelmi biztossal az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (3) 42. cikkének (1) bekezdésével összhangban konzultációra került sor, és a biztos 2024. szeptember 1-jén véleményt nyilvánított.

(43)

Az e rendeletben előírt intézkedések összhangban vannak az (EU) 2022/2555 irányelv 39. cikke szerint létrehozott bizottság véleményével,