+Članak 16. Uspostava jedinstvene platforme za izvješćivanje
---+Članak 16. 1.
---+Članak 16. 2.
---+Članak 16. 3.
---+Članak 16. 4.
---+Članak 16. 5.
---+Članak 16. 6.
|
Članak 16. Uspostava jedinstvene platforme za izvješćivanje
-
1. Pregled
| Naslov |
Regulativa |
|
Članak 16. 1.
|
Za potrebe obavješćivanja iz članka 14. stavaka 1. i 3. i članka 15. stavaka 1. i 2. te kako bi se pojednostavnile obveze proizvođača u pogledu izvješćivanja, ENISA uspostavlja jedinstvenu platformu za izvješćivanje. ENISA upravlja svakodnevnim radom jedinstvene platforme za izvješćivanje i održava je. Arhitektura jedinstvene platforme za izvješćivanje omogućuje državama članicama i ENISA-i da uspostave vlastite krajnje točke za elektroničko obavješćivanje.
|
|
Članak 16. 2.
|
Po primitku obavijesti, CSIRT koji je imenovan koordinatorom koji je prvotno primio obavijest bez odgode putem jedinstvene platforme za izvješćivanje dijeli obavijest s CSIRT-ovima koji su imenovani koordinatorima na državnim područjima za koja je proizvođač naveo da je proizvod s digitalnim elementima na njima stavljen na raspolaganje. U iznimnim okolnostima, a posebno na zahtjev proizvođača i s obzirom na stupanj osjetljivosti prijavljenih informacija koji je proizvođač naveo u skladu s člankom 14. stavkom 2. točkom (a) ove Uredbe, dijeljenje obavijesti može se odgoditi na temelju opravdanih razloga povezanih s kibernetičkom sigurnošću na razdoblje koje je nužno, među ostalim ako ranjivost podliježe postupku koordiniranog otkrivanja ranjivosti iz članka 12. stavka 1. Direktive (EU) 2022/2555. Ako CSIRT odluči uskratiti obavijest, odmah obavješćuje ENISA-u o toj odluci i dostavlja obrazloženje za uskraćivanje obavijesti, kao i naznaku o tome kada će podijeliti obavijest u skladu s postupkom dijeljenja utvrđenim u ovom stavku. ENISA može podržati CSIRT pogledu primjene razloga povezanih s kibernetičkom sigurnošću u vezi s odgodom dijeljenja obavijesti. U posebno iznimnim okolnostima, ako proizvođač u obavijesti iz članka 14. stavka 2. točke (b) navede:
(a)
da je zlonamjerni akter aktivno iskoristio prijavljenu ranjivost i da, prema dostupnim informacijama, nije iskorištena ni u jednoj državi članici osim u onoj CSIRT-a koji je imenovan koordinatorom i kojemu je proizvođač prijavio ranjivost;
(b)
da bi svako neposredno daljnje dijeljenje prijavljene ranjivosti vjerojatno dovelo do dostave informacija čije bi otkrivanje bilo u suprotnosti s ključnim interesima te države članice; ili
(c)
prijavljena ranjivost predstavlja neposredan visok kibernetički sigurnosni rizik koji proizlazi iz daljnjeg dijeljenja;
dok se s predmetnim CSIRT-ovima i ENISA-i ne podijeli potpuna obavijest, ENISA-i se istodobno stavljaju na raspolaganje samo informacija da je proizvođač podnio obavijest, opće informacije o proizvodu, informacije o općoj prirodi iskorištavanja i informacija o tome da su istaknuti razlozi povezani sa sigurnošću. Ako na temelju tih informacija ENISA smatra da postoji sistemski rizik koji utječe na sigurnost unutarnjeg tržišta, ENISA preporučuje CSIRT-u primatelju da potpunu obavijest podijeli s drugim CSIRT-ovima koji su imenovani koordinatorima i samoj ENISA-i.
|
|
Članak 16. 3.
|
Nakon primitka obavijesti o aktivno iskorištenoj ranjivosti proizvoda s digitalnim elementima ili o značajnom incidentu koji utječe na sigurnost proizvoda s digitalnim elementima, CSIRT-ovi koji su imenovani koordinatorima tijelima za nadzor tržišta svojih država članica pružaju prijavljene informacije koje su tijelima za nadzor tržišta potrebne za ispunjavanje njihovih obveza na temelju ove Uredbe.
|
|
Članak 16. 4.
|
ENISA poduzima odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima kojima su izložene sigurnost jedinstvene platforme za izvješćivanje i informacije koje se dostavljaju ili šire putem jedinstvene platforme za izvješćivanje. ENISA bez nepotrebne odgode obavješćuje mrežu CSIRT-ova i Komisiju o svakom sigurnosnom incidentu koji utječe na jedinstvenu platformu za izvješćivanje.
|
|
Članak 16. 5.
|
ENISA u suradnji s mrežom CSIRT-ova pruža i implementira specifikacije o tehničkim, operativnim i organizacijskim mjerama u pogledu uspostave, održavanja i sigurnog rada jedinstvene platforme za izvješćivanje iz stavka 1., uključujući barem sigurnosne aranžmane povezane s uspostavom, radom i održavanjem jedinstvene platforme za izvješćivanje, kao i s krajnjim točkama za elektroničko obavješćivanje koje su uspostavili CSIRT-ovi koji su imenovani koordinatorima, na nacionalnoj razini, i ENISA, na razini Unije, uključujući postupovne aspekte kako bi se osiguralo da se, ako za prijavljenu ranjivost nema dostupnih korektivnih mjera ili mjera ublažavanja, informacije o toj ranjivosti razmjenjuju u skladu sa strogim sigurnosnim protokolima i prema načelu nužnog pristupa.
|
|
Članak 16. 6.
|
Ako je CSIRT koji je imenovan koordinatorom obaviješten o aktivno iskorištenoj ranjivosti u okviru postupka koordiniranog otkrivanja ranjivosti iz članka 12. stavka 1. Direktive (EU) 2022/2555, CSIRT koji je imenovan koordinatorom i koji je prvotno primio obavijest može odgoditi dijeljenje relevantne obavijesti putem jedinstvene platforme za izvješćivanje na temelju opravdanih razloga povezanih s kibernetičkom sigurnošću na razdoblje koje nije dulje nego što je nužno i sve dok strane uključene u koordinirano otkrivanje ranjivosti ne daju suglasnost za otkrivanje. Taj zahtjev ne sprečava proizvođače da na dobrovoljnoj osnovi obavijeste o takvoj ranjivosti u skladu s postupkom utvrđenim u ovom članku.
|
,
1.1 Reference
1.2 Utvrđeni zahtjevi
1.3 Povezani standardi
2. Utvrđeni zahtjevi
3. Povezani standardi
|