+Članak 32. Nadzorne mjere i mjere izvršavanja u odnosu na ključne subjekte
---+Članak 32. 1.
---+Članak 32. 2.
---+Članak 32. 3.
---+Članak 32. 4.
---+Članak 32. 5.
---+Članak 32. 6.
---+Članak 32. 7.
---+Članak 32. 8.
---+Članak 32. 9.
---+Članak 32. 10.

Članak 32. Nadzorne mjere i mjere izvršavanja u odnosu na ključne subjekte

1. Pregled

,
Članak 32. 1.
Države članice osiguravaju da su nadzorne mjere ili mjere izvršavanja određene ključnim subjektima u pogledu obveza utvrđenih u ovoj Direktivi učinkovite, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinog slučaja.
Članak 32. 2.

Države članice osiguravaju da nadležna tijela pri izvršavanju svojih nadzornih zadaća u odnosu na ključne subjekte imaju ovlasti da te subjekte obvežu barem na sljedeće:

(a) 

inspekcije na lokaciji i neizravni nadzor, uključujući nasumične provjere, koji provode osposobljeni stručnjaci;

(b) 

redovite i ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo;

(c) 

ad hoc revizije, među ostalim i u slučajevima kad je to opravdano na temelju značajnog incidenta ili povrede ove Direktive od strane ključnog subjekta;

(d) 

analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom;

(e) 

zahtjeve za informacije potrebne za ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom podnošenja informacija nadležnim tijelima u skladu s člankom 27. ;

(f) 

zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća;

(g) 

zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi.

Ciljane revizije sigurnosti iz prvog podstavka točke (b) temelje se na procjenama rizika koje provodi nadležno tijelo ili subjekt revizije, ili na drugim dostupnim informacijama u vezi s rizikom.

Rezultati svake ciljane revizije sigurnosti stavljaju se na raspolaganje nadležnom tijelu. Troškove takve ciljane revizije sigurnosti koju provodi neovisno tijelo plaća subjekt nad kojim se provodi revizija, osim u propisno opravdanim slučajevima u kojima nadležno tijelo odluči drugačije.
Članak 32. 3.
Pri izvršavanju svojih ovlasti iz stavka 2. točaka od (e), (f) ili (g), nadležna tijela navode svrhu zahtjeva i pobliže određuju tražene informacije.
Članak 32. 4.

Države članice osiguravaju da njihova nadležna tijela pri izvršavanju svojih ovlasti izvršavanja u odnosu na ključne subjekte imaju barem sljedeće ovlasti:

(a) 

izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata;

(b) 

donositi obvezujuće upute, među ostalim u vezi s mjerama potrebnim za sprečavanje ili otklanjanje incidenta, kao i rokove za provedbu takvih mjera i za izvješćivanje o njihovoj provedbi, ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povrede ove Direktive;

(c) 

naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje;

(d) 

naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku;

(e) 

naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju;

(f) 

naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti;

(g) 

imenovati službenika za praćenje s precizno definiranim zadaćama na određeno razdoblje kako bi nadgledao usklađenost dotičnih subjekata s člancima 21. i 23.;

(h) 

naložiti dotičnim subjektima da objave aspekte povreda ove Direktive na određeni način;

(i) 

izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (h) ovog stavka.
Članak 32. 5.

Ako su mjere izvršavanja donesene u skladu sa stavkom 4. točkama od (a) do (d) i točkom (f) neučinkovite, države članice osiguravaju da njihova nadležna tijela imaju ovlast utvrditi rok u kojem se od ključnog subjekta zahtijeva da poduzme mjere potrebne za ispravljanje nedostataka ili da ispuni zahtjeve tih tijela. Ako zatražena mjera nije poduzeta u zadanom roku, države članice osiguravaju da nadležna tijela imaju ovlasti:

(a) 

privremeno suspendirati ili zahtijevati od certifikacijskog tijela ili tijela koje izdaje ovlaštenja ili od suda, u skladu s nacionalnim pravom, da privremeno suspendira certifikat ili ovlaštenje za dio relevantnih usluga ili sve relevantne usluge koje ključni subjekt pruža ili djelatnosti koje obavlja;

(b) 

zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom privremeno zabrane obavljanje upravljačkih dužnosti u ključnom subjektu svakoj fizičkoj osobi koja upravljačke dužnosti obavlja na razini glavnog izvršnog direktora ili pravnog zastupnika u tom ključnom subjektu.

Privremene suspenzije ili zabrane izrečene u skladu s ovim stavkom primjenjuju se samo dok dotični subjekt ne poduzme potrebne mjere za otklanjanje nedostataka ili dok ne ispuni zahtjeve nadležnog tijela za koje su takve mjere izvršavanja primijenjene. Izricanje takvih privremenih suspenzija ili zabrana podliježe odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu.

Mjere izvršavanja predviđene u ovom stavku ne primjenjuju se na subjekte javne uprave koji podliježu ovoj Direktivi.
Članak 32. 6.
Države članice osiguravaju da svaka fizička osoba koja je odgovorna za ključni subjekt ili djeluje kao njegov pravni predstavnik na temelju ovlasti za zastupanje, ovlasti za donošenje odluka u njegovo ime ili ovlasti za izvršavanje kontrole nad tim subjektom ima ovlast osigurati njegovu usklađenost s ovom Direktivom. Države članice osiguravaju da se takve fizičke osobe mogu smatrati odgovornima za kršenje svojih dužnosti da osiguraju usklađenost s ovom Direktivom.

U pogledu subjekata javne uprave, ovim stavkom ne dovodi se u pitanje nacionalno pravo država članica u pogledu odgovornosti javnih službenika te izabranih ili imenovanih dužnosnika.
Članak 32. 7.

Kada poduzimaju bilo koju mjeru izvršavanja iz stavka 4. ili 5., nadležna tijela poštuju prava na obranu i uzimaju u obzir okolnosti svakog pojedinačnog slučaja te propisno uzimaju u obzir barem:

(a) 

ozbiljnost povrede i važnost prekršenih odredaba, pri čemu se ozbiljnim povredama, među ostalim, smatra sljedeće:

i. 

opetovane povrede;

ii. 

neprijavljivanje ili neispravljanje značajnih incidenata;

iii. 

neuklanjanje nedostataka u skladu s obvezujućim uputama nadležnih tijela;

iv. 

ometanje revizija ili aktivnosti praćenja koje je naložilo nadležno tijelo nakon utvrđivanja povrede;

v. 

pružanje lažnih ili izrazito netočnih informacija povezanih s mjerama upravljanja kibersigurnosnim rizicima ili obvezama izvješćivanja utvrđenim u člancima 21. i 23.;

(b) 

trajanje povrede;

(c) 

sve relevantne prethodne povrede koje je počinio dotični subjekt;

(d) 

svaku materijalnu ili nematerijalnu štetu koja je uzrokovana, uključujući sve financijske ili gospodarske gubitke, učinke na druge usluge i broj pogođenih korisnika;

(e) 

je li počinitelj povrede djelovao s namjerom ili nepažnjom;

(f) 

sve mjere koje je subjekt poduzeo radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete;

(g) 

svako poštovanje odobrenih kodeksa ponašanja ili odobrenih mehanizama certificiranja;

(h) 

razinu suradnje fizičkih ili pravnih osoba koje se smatraju odgovornima s nadležnim tijelima.
Članak 32. 8.
Nadležna tijela detaljno obrazlažu svoje mjere izvršavanja. Prije donošenja takvih mjera nadležna tijela obavješćuju predmetne subjekte o svojim preliminarnim nalazima. Ona tim subjektima također daju razuman rok za podnošenje primjedaba, osim u valjano obrazloženim slučajevima u kojima bi inače bile spriječene hitne mjere za sprečavanje incidenata ili odgovor na njih.
Članak 32. 9.
Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju relevantna nadležna tijela unutar iste države članice na temelju Direktive 2022/2557 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja kojima je cilj osigurati usklađenost subjekta koji je utvrđen kao kritični subjekt na temelju Direktive (EU) 2022/2557 s ovom Direktivom. Prema potrebi, nadležna tijela na temelju Direktive (EU) 2022/2557 mogu zatražiti od nadležnih tijela na temelju ove Direktive da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s subjektom koji je utvrđen kao kritičan subjekt na temelju Direktive (EU) 2022/2557.
Članak 32. 10.
Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive surađuju s relevantnim nadležnim tijelima dotične države članice na temelju Uredbe (EU) 2022/2554. Posebno, države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju Nadzorni forum osnovan na temelju članka 32. stavka 1. Uredbe (EU) 2022/2554 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja usmjerenih na osiguravanje usklađenosti ključnog subjekta koji je određen kao kritična treća strana pružatelj IKT usluga na temelju članka 31. (EU) 2022/2554 s ovom Direktivom.

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi