+Članak 33. Nadzorne mjere i mjere izvršavanja u odnosu na važne subjekte
---+Članak 33. 1.
---+Članak 33. 2.
---+Članak 33. 3.
---+Članak 33. 4.
---+Članak 33. 5.
---+Članak 33. 6.

Članak 33. Nadzorne mjere i mjere izvršavanja u odnosu na važne subjekte

1. Pregled

,
Članak 33. 1.
Kada dobiju dokaz, naznaku ili informaciju da važan subjekt navodno ne poštuje ovu Direktivu, a posebno njezine članke 21. i 23., države članice osiguravaju da nadležna tijela, ako je potrebno, poduzmu ex post nadzorne mjere. Države članice osiguravaju da su te mjere učinkovite, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinačnog slučaja.
Članak 33. 2.

Države članice osiguravaju da nadležna tijela pri izvršavanju svojih nadzornih zadaća u odnosu na važne subjekte imaju ovlasti da te subjekte obvežu barem na sljedeće:

(a) 

inspekcije na lokaciji i neizravni ex post nadzor, koji provode osposobljeni stručnjaci;

(b) 

ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo;

(c) 

analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom;

(d) 

zahtjeve za informacije potrebne za ex post ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom dostavljanja informacija nadležnim tijelima u skladu s člankom 27.;

(e) 

zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća;

(f) 

zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi.

Ciljane revizije sigurnosti iz prvog podstavka točke (b) temelje se na procjenama rizika koje provodi nadležno tijelo ili subjekt revizije, ili na drugim dostupnim informacijama u vezi s rizikom.

Rezultati svake ciljane revizije sigurnosti stavljaju se na raspolaganje nadležnom tijelu. Troškove takve ciljane revizije sigurnosti koju provodi neovisno tijelo plaća subjekt nad kojim se provodi revizija, osim u propisno opravdanim slučajevima u kojima nadležno tijelo odluči drugačije.
Članak 33. 3.
Pri izvršavanju svojih ovlasti iz stavka 2. točkama (d), (e) ili (f), nadležna tijela navode svrhu zahtjeva i pobliže određuju tražene informacije.
Članak 33. 4.

Države članice osiguravaju da nadležna tijela pri izvršavanju svojih ovlasti izvršavanja u odnosu na važne subjekte imaju barem sljedeće ovlasti:

(a) 

izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata;

(b) 

donositi obvezujuće upute ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povredu ove Direktive;

(c) 

naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje;

(d) 

naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku;

(e) 

naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju;

(f) 

naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti;

(g) 

naložiti dotičnim subjektima da objave aspekte povrede ove Direktive na određeni način;

(h) 

izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (g) ovog stavka.
Članak 33. 5.
Članak 32. stavci 6., 7. i 8. primjenjuju se mutatis mutandis na nadzorne mjere i mjere izvršavanja predviđene ovim člankom za važne subjekte.
Članak 33. 6.
Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive surađuju s relevantnim nadležnim tijelima dotične države članice na temelju Uredbe (EU) 2022/2554. Posebno, države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju Nadzorni forum osnovan na temelju članka 32. stavka 1. Uredbe (EU) 2022/2554 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja usmjerenih na osiguravanje usklađenosti važnog subjekta koji je određen kao kritična treća strana pružatelj IKT usluga na temelju članka 31. (EU) 2022/2554 s ovom Direktivom.

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi