EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS (ES, Euratomas) 2023/2841 2023 m. gruodžio 13 d. kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti

(1)

skaitmeniniame amžiuje informacinės ir ryšių technologijos yra atviros, veiksmingos ir nepriklausomos Europos administracijos kertinis akmuo. Dėl technologijų raidos ir didesnio skaitmeninių sistemų sudėtingumo bei tarpusavio sąsajų didėja kibernetinio saugumo rizika, todėl Sąjungos subjektai tampa labiau pažeidžiami dėl kibernetinių grėsmių ir incidentų, o tai kelia grėsmę jų veiklos tęstinumui ir pajėgumui apsaugoti savo duomenis. Nors visai Sąjungos subjektų veiklai būdingas platus debesijos paslaugų naudojimas, visapusiškas informacinių ir ryšių technologijų (IRT) naudojimas, aukštas skaitmeninimo lygis, nuotolinis darbas ir besivystantys technologijos bei junglumas, skaitmeninis atsparumas vis dar užtikrintas nepakankamai;

(2)

kibernetinių grėsmių, su kuriomis susiduria Sąjungos subjektai, padėtis nuolat kinta. Grėsmę keliančių subjektų naudojama taktika, metodai ir procedūros nuolat vystosi, tačiau aiškūs tokių išpuolių motyvai vargiai kinta: nuo vertingos konfidencialios informacijos vagystės iki pinigų pritraukimo, manipuliavimo viešąja nuomone ar kenkimo skaitmeninei infrastruktūrai. Grėsmę keliančių subjektų kibernetinių išpuolių vykdymo tempas vis didėja, o jų kampanijos tampa vis sudėtingesnės ir automatizuotos ir yra nukreiptos į matomą išpuolių perimetrą, kuris toliau plečiasi ir kuriame greitai išnaudojamas pažeidžiamumas;

(3)

Sąjungos subjektų IRT aplinkose yra tarpusavyje priklausomų elementų ir integruotų duomenų srautų, o jų naudotojai glaudžiai bendradarbiauja. Tas tarpusavio ryšys reiškia, kad bet koks sutrikimas, net jei iš pradžių jis susijęs tik su vienu Sąjungos subjektu, gali turėti platesnį pakopinį poveikį, o šis gali turėti plataus masto ir ilgalaikių neigiamų padarinių kitiems Sąjungos subjektams. Be to, tam tikros Sąjungos subjektų IRT aplinkos yra susijusios su valstybių narių IRT aplinkomis, todėl incidentas viename Sąjungos subjekte kelia pavojų valstybių narių IRT aplinkos kibernetiniam saugumui ir atvirkščiai. Dalijimasis su incidentais susijusia informacija gali padėti aptikti panašias kibernetines grėsmes ar incidentus, darančius poveikį valstybėms narėms;

(4)

Sąjungos subjektai yra patrauklūs taikiniai, kurie susiduria su aukštos kvalifikacijos ir išteklių turinčiais grėsmę keliančiais subjektais ir kitomis grėsmėmis. Tuo pačiu metu tų subjektų kibernetinio atsparumo lygis ir branda, gebėjimas aptikti kibernetinę kenkimo veiklą ir į ją reaguoti labai skiriasi. Todėl tam, kad Sąjungos subjektai veiktų, būtina, kad jie užtikrintų aukštą bendrą kibernetinio saugumo lygį, įgyvendindami kibernetinio saugumo priemones, kurios būtų proporcingos nustatytai atitinkamai kibernetinio saugumo rizikai, keisdamiesi informacija ir bendradarbiaudami;

(5)

Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 (2) siekiama toliau didinti viešųjų ir privačiųjų subjektų, kompetentingų institucijų ir įstaigų ir visos Sąjungos kibernetinį atsparumą ir reagavimo į incidentus pajėgumus. Todėl būtina užtikrinti, kad Sąjungos subjektai to laikytųsi, nustatydami taisykles, kurios atitiktų Direktyvą (ES) 2022/2555 ir atspindėtų jos užmojų mastą;

(6)

aukštam bendram kibernetinio saugumo lygiui pasiekti būtina, kad kiekvienas Sąjungos subjektas nustatytų vidaus kibernetinio saugumo rizikos valdymo, administravimo ir kontrolės sistemą (toliau – Sistema), kuria būtų užtikrinamas veiksmingas ir apdairus visų kibernetinio saugumo rizikos veiksnių valdymas ir atsižvelgiama į veiklos tęstinumą ir krizių valdymą. Sistemoje turėtų būti nustatyta tinklo ir informacinių sistemų, kurios apima visą neįslaptintą IRT aplinką, kibernetinio saugumo politika, įskaitant tikslus ir prioritetus. Sistema turėtų būti grindžiama visus pavojus apimančiu požiūriu, kuriuo siekiama apsaugoti tinklų ir informacines sistemas bei tų sistemų fizinę aplinką nuo tokių įvykių kaip vagystė, gaisras, potvynis, telekomunikacijų ar energijos tiekimo triktys arba nuo neleistinos fizinės prieigos prie Sąjungos subjekto informacijos ir informacijos tvarkymo objektų ir žalos jiems ir jų trikdžių, kurie galėtų kelti pavojų saugomų, perduodamų, tvarkomų arba per tinklų ir informacines sistemas prieinamų duomenų prieinamumui, autentiškumui, vientisumui ar konfidencialumui;

(7)

kad galėtų valdyti pagal Sistemą nustatytą kibernetinio saugumo riziką, kiekvienas Sąjungos subjektas turėtų imtis tinkamų ir proporcingų techninių, operacinių ir organizacinių priemonių. Tos priemonės turėtų apimti šiame reglamente nustatytas sritis ir kibernetinio saugumo rizikos valdymo priemones, kuriomis siekiama stiprinti kiekvieno Sąjungos subjekto kibernetinį saugumą;

(8)

Sistemoje nustatytas turtas ir kibernetinio saugumo rizika, taip pat reguliarių kibernetinio saugumo brandos vertinimų išvados turėtų atsispindėti kiekvieno Sąjungos subjekto parengtame kibernetinio saugumo plane. Į kibernetinio saugumo planą turėtų būti įtrauktos priimtos kibernetinio saugumo rizikos valdymo priemonės;

(9)

kadangi kibernetinio saugumo užtikrinimas yra nuolatinis procesas, turėtų būti reguliariai peržiūrimas visų priemonių, kurių imamasi pagal šį reglamentą, tinkamumas ir veiksmingumas, atsižvelgiant į kintančią Sąjungos subjektams kylančią kibernetinio saugumo riziką, jų kintantį turtą ir kibernetinio saugumo brandą. Sistema turėtų būti reguliariai, bent kas ketverius metus, peržiūrima, o kibernetinio saugumo planas turėtų būti peržiūrimas kas dvejus metus arba, prireikus – dažniau, po kibernetinio saugumo brandos vertinimų ar po bet kokios esminės Sistemos peržiūros;

(10)

Sąjungos subjektų įdiegtos kibernetinio saugumo rizikos valdymo priemonės turėtų apimti politiką, kuria siekiama, kai įmanoma, užtikrinti pirminio kodo skaidrumą, atsižvelgiant į trečiųjų šalių arba Sąjungos subjektų teisių apsaugos priemones. Ta politika turėtų būti proporcinga kibernetinio saugumo rizikai ir ja turėtų būti siekiama palengvinti kibernetinių grėsmių analizę, kartu nesukuriant kitų pareigų, nenumatytų taikomose sutarčių sąlygose, atskleisti trečiosios šalies kodą arba suteikti prieigos prie jo teises;

(11)

atvirojo kodo kibernetinio saugumo priemonėmis ir taikomosiomis programomis gali būti prisidedama prie didesnio atvirumo. Atviraisiais standartais sudaromos palankesnės sąlygos saugumo priemonių sąveikumui, o tai yra naudinga suinteresuotųjų subjektų saugumo požiūriu. Atvirojo kodo kibernetinio saugumo priemonėmis ir taikomosiomis programomis gali būti daromas sverto poveikis platesnei technologijų kūrėjų bendruomenei, sudarant galimybes tiekėjų diversifikacijai. Atvirasis kodas gali paskatinti skaidresnį su kibernetiniu saugumu susijusių priemonių tikrinimo procesą ir bendruomenės inicijuotą pažeidžiamumų nustatymo procesą. Todėl Sąjungos subjektai turėtų turėti galimybę skatinti atvirojo kodo programinės įrangos ir atvirųjų standartų naudojimą, vykdydami politiką, susijusią su atvirųjų duomenų ir atvirojo kodo naudojimu, kad skaidrumu būtų prisidėta prie saugumo užtikrinimo;

(12)

dėl Sąjungos subjektų skirtumų šio reglamento įgyvendinimo srityje reikia lankstumo. Šiame reglamente numatytos priemonės aukštam bendram kibernetinio saugumo lygiui užtikrinti neturėtų apimti jokių pareigų, kuriomis būtų tiesiogiai kišamasi į Sąjungos subjektų užduočių vykdymą arba kėsinamasi į jų institucinį savarankiškumą. Todėl tie subjektai turėtų sukurti savo Sistemas ir patvirtinti savo kibernetinio saugumo rizikos valdymo priemones ir kibernetinio saugumo planus. Įgyvendinant tokias priemones turėtų būti tinkamai atsižvelgiama į esamas Sąjungos subjektų tarpusavio sinergijas, kad būtų tinkamai valdomi ištekliai ir optimizuotos išlaidos. Taip pat reikėtų tinkamai atsižvelgti į tai, kad priemonės nedarytų neigiamo poveikio veiksmingam keitimuisi informacija ir bendradarbiavimui tarp Sąjungos subjektų ir tarp Sąjungos subjektų ir analogiškų valstybių narių subjektų;

(13)

siekiant optimizuoti išteklių naudojimą, šiame reglamente turėtų būti numatyta galimybė dviem ar daugiau panašią struktūrą turinčių Sąjungos subjektų bendradarbiauti atliekant savo atitinkamų subjektų kibernetinio saugumo brandos vertinimus;

(14)

siekiant neužkrauti Sąjungos subjektams neproporcingos finansinės ir administracinės naštos, kibernetinio saugumo rizikos valdymo reikalavimai turėtų būti proporcingi kibernetinio saugumo rizikai, kuri kyla atitinkamai tinklų ir informacinei sistemai, atsižvelgiant į tokių priemonių modernumą. Kiekvienas Sąjungos subjektas turėtų siekti skirti tinkamą savo IRT biudžeto procentinę dalį siekiant padidinti savo kibernetinio saugumo lygį. Ilguoju laikotarpiu tam turėtų būti siekiama orientacinio tikslo skirti bent 10 proc. IRT biudžeto. Kibernetinio saugumo brandos vertinime turėtų būti įvertinta, ar Sąjungos subjekto išlaidos kibernetiniam saugumui yra proporcingos jo patiriamai kibernetinio saugumo rizikai. Nedarant poveikio taisyklėms, susijusioms su Sąjungos metiniu biudžetu pagal Sutartis, pasiūlyme dėl pirmojo metinio biudžeto, kuris turi būti priimtas po šio reglamento įsigaliojimo, Komisija, vertindama Sąjungos subjektų biudžeto ir personalo poreikius, susijusius su jų išlaidų sąmatomis, turėtų atsižvelgti į iš šio reglamento kylančias pareigas;

(15)

siekiant užtikrinti aukštą bendrą kibernetinio saugumo lygį kibernetinį saugumą turi prižiūrėti kiekvieno Sąjungos subjekto aukščiausias valdymo lygmuo. Sąjungos subjekto aukščiausio lygmens vadovybė turėtų būti atsakinga už šio reglamento įgyvendinimą, be kita ko, už Sistemos sukūrimą, kibernetinio saugumo rizikos valdymo priemonių taikymą ir kibernetinio saugumo plano patvirtinimą. Kibernetinio saugumo kultūra, t. y. kasdienė kibernetinio saugumo praktika, yra neatsiejama Sistemos ir atitinkamų kibernetinio saugumo rizikos valdymo priemonių visuose Sąjungos subjektuose dalis;

(16)

yra itin svarbu užtikrinti tinklų ir informacinių sistemų, kuriose tvarkoma ES įslaptinta informacija (ESĮI), saugumą. ESĮI tvarkantys Sąjungos subjektai privalo taikyti nustatytas išsamias tokios informacijos apsaugos reguliavimo sistemas, įskaitant konkretų valdymą, politiką ir rizikos valdymo procedūras. Būtina, kad tinklų ir informacinės sistemos, kuriose tvarkoma ESĮI, atitiktų griežtesnius saugumo standartus nei neįslaptintų tinklų ir informacinių sistemų standartai. Taigi, tinklų ir informacinės sistemos, kuriose tvarkoma ESĮI, yra atsparesnės kibernetinėms grėsmėms ir incidentams. Todėl, pripažįstant, kad šiuo atžvilgiu reikia bendros sistemos, šis reglamentas neturėtų būti taikomas tinklų ir informacinėms sistemoms, kuriose tvarkoma ESĮI. Tačiau, jei to aiškiai paprašo Sąjungos subjektas, ES institucijų, įstaigų ir agentūrų kompiuterinių incidentų tyrimo tarnyba (CERT-EU) turėtų galėti teikti pagalbą tam Sąjungos subjektui dėl incidentų įslaptintoje IRT aplinkoje.

(17)

Sąjungos subjektai turėtų įvertinti kibernetinio saugumo riziką, susijusią su santykiais su tiekėjais ir paslaugų teikėjais, įskaitant duomenų saugojimo ir tvarkymo paslaugų teikėjus arba valdomas saugumo paslaugas, ir imtis tinkamų priemonių jai sumažinti. Kibernetinio saugumo priemonės turėtų būti išsamiau išdėstytos CERT-EU parengtose gairėse arba rekomendacijose. Nustatant priemones ir gaires reikėtų tinkamai atsižvelgti į moderniausius ir, kai taikytina, aktualius Europos ir tarptautinius standartus, taip pat atitinkamus Sąjungos teisės aktus ir politiką, įskaitant Bendradarbiavimo grupės, įsteigtos pagal Direktyvos (ES) 2022/2555 14 straipsnį, pateiktus rizikos vertinimus ir rekomendacijas, pavyzdžiui, ES suderintą rizikos 5G tinklų kibernetiniam saugumui vertinimą ir ES 5G kibernetinio saugumo priemonių rinkinį. Be to, atsižvelgiant į grėsmių kibernetiniam saugumui padėtį ir tai, kaip svarbu didinti Sąjungos subjektų kibernetinį atsparumą, pagal konkrečias Europos kibernetinio saugumo sertifikavimo schemas, priimtas pagal Europos Parlamento ir Tarybos reglamento (ES) 2019/881 (3) 49 straipsnį, galėtų būti reikalaujama sertifikuoti atitinkamus IRT produktus, IRT paslaugas ir IRT procesus;

(18)

2011 m. gegužės mėn. Sąjungos institucijų ir įstaigų generaliniai sekretoriai nusprendė įsteigti CERT-EU, kurią prižiūri tarpinstitucinė valdančioji taryba. 2012 m. liepos mėn. generaliniai sekretoriai patvirtino praktinę tvarką ir sutarė išlaikyti CERT-EU kaip nuolatinį subjektą, kuris toliau padėtų gerinti bendrą Sąjungos institucijų, įstaigų ir agentūrų informacinių technologijų saugumo lygį, kaip matomo tarpinstitucinio bendradarbiavimo kibernetinio saugumo srityje pavyzdį. 2012 m. rugsėjo mėn. CERT-EU buvo įsteigta kaip Komisijos darbo grupė, kuriai suteikti tarpinstituciniai įgaliojimai. 2017 m. gruodžio mėn. Sąjungos institucijos ir įstaigos sudarė tarpinstitucinį susitarimą dėl CERT-EU organizavimo ir veiklos (4). Šiuo reglamentu turėtų būti nustatytos išsamios taisyklės dėl CERT-EU darbo organizavimo, veikimo ir valdymo. Šio reglamento nuostatos yra viršesnės už 2017 m. gruodžio mėn. sudaryto Tarpinstitucinio susitarimo dėl CERT-EU darbo organizavimo ir veiklos nuostatas;

(19)

CERT-EU turėtų būti pervadinta į Sąjungos institucijų, įstaigų, organų ir agentūrų kibernetinio saugumo tarnybą, tačiau dėl pavadinimo atpažinimo turėtų būti paliktas trumpasis pavadinimas CERT-EU;

(20)

be to, kad CERT-EU pavedama daugiau užduočių ir išplečiamas jos vaidmuo, šiuo reglamentu įsteigiama Tarpinstitucinė kibernetinio saugumo taryba (toliau – TKST), siekiant sudaryti palankesnes sąlygas aukštam bendram Sąjungos subjektų kibernetinio saugumo lygiui užtikrinti. TKST turėtų būti suteiktas išskirtinis vaidmuo stebint, kaip Sąjungos subjektai įgyvendina šį reglamentą, padedant jiems jį įgyvendinti ir prižiūrint, kaip įgyvendinami bendrieji CERT-EU prioritetai ir tikslai, bei numatant CERT-EU strateginę kryptį. Todėl TKST turėtų užtikrinti atstovavimą Sąjungos institucijoms ir į ją turėtų būti įtraukta Sąjungos įstaigų, organų ir agentūrų atstovų, vykdančių veiklą per ES agentūrų tinklą. TKST veiklos organizavimas ir veikimas turėtų būti išsamiau reglamentuojami jos vidaus darbo tvarkos taisyklėmis, kurios gali apimti išsamesnį reguliarių TKST posėdžių, įskaitant metinius politinio lygmens susirinkimus, kuriuose kiekvieno TKST nario aukščiausio valdymo lygmens atstovai sudarytų sąlygas TKST surengti strategines diskusijas ir teikti strategines gaires TKST, apibūdinimą. Be to, TKST turėtų galėti įsteigti vykdomąjį komitetą, kuris padėtų jai atlikti savo darbą, ir deleguoti jam kai kurias savo užduotis ir įgaliojimus, visų pirma užduotis, kurioms atlikti reikia specialių jo narių ekspertinių žinių, pavyzdžiui, paslaugų katalogo ir visų vėlesnių jo atnaujinimų patvirtinimą, susitarimų dėl paslaugų lygio sąlygų patvirtinimą, Sąjungos subjektų TKST pagal šį reglamentą pateiktų dokumentų ir ataskaitų vertinimą, arba užduotis, susijusias su sprendimų dėl TKST patvirtintų atitikties užtikrinimo priemonių rengimu ir jų įgyvendinimo stebėsena. TKST turėtų nustatyti vykdomojo komiteto darbo tvarkos taisykles, įskaitant jo užduotis bei įgaliojimus;

(21)

TKST tikslas – padėti Sąjungos subjektams pagerinti atitinkamą savo kibernetinio saugumo padėtį įgyvendinant šį reglamentą. Siekdama padėti Sąjungos subjektams, TKST turėtų teikti rekomendacijas CERT-EU vadovui, priimti daugiametę strategiją dėl Sąjungos subjektų kibernetinio saugumo lygio didinimo, nustatyti savanoriškų tarpusavio vertinimų metodiką ir kitus jų aspektus ir sudaryti palankesnes sąlygas įsteigti neformalią vietos kibernetinio saugumo pareigūnų grupę, kuriai padėtų Europos Sąjungos kibernetinio saugumo agentūra (ENISA) ir kurios tikslas būtų keistis geriausios praktikos pavyzdžiais ir informacija, susijusiais su šio reglamento įgyvendinimu;

(22)

siekiant užtikrinti aukštą visų Sąjungos subjektų kibernetinio saugumo lygį, savo IRT aplinką valdančių Sąjungos įstaigų, organų ir agentūrų interesams TKST turėtų atstovauti trys ES agentūrų tinklo paskirti atstovai. Asmens duomenų tvarkymo saugumas, taigi ir jo kibernetinis saugumas, yra duomenų apsaugos kertinis akmuo. Atsižvelgiant į duomenų apsaugos ir kibernetinio saugumo sinergiją, Europos duomenų apsaugos priežiūros pareigūnui turėtų būti atstovaujama TKST kaip Sąjungos subjektui, kuriam taikomas šis reglamentas ir kuris turi specialių ekspertinių žinių duomenų apsaugos srityje, įskaitant elektroninių ryšių tinklų saugumą. Atsižvelgiant į inovacijų ir konkurencingumo svarbą kibernetinio saugumo srityje, Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centrui turėtų būti atstovaujama TKST. Atsižvelgiant į ENISA, kaip ekspertinių žinių kibernetinio saugumo srityje centro, vaidmenį ir ENISA teikiamą paramą, taip pat į Sąjungos kosmoso infrastruktūros ir paslaugų kibernetinio saugumo svarbą, TKST turėtų būti atstovaujama ENISA ir Europos Sąjungos kosmoso programos agentūrai. Atsižvelgiant į CERT-EU pagal šį reglamentą pavestas funkcijas, TKST pirmininkas turėtų pakviesti CERT-EU vadovą į visus TKST posėdžius, išskyrus atvejus, kai TKST aptaria klausimus, tiesiogiai susijusius su CERT-EU vadovu;

(23)

TKST turėtų stebėti, kaip laikomasi šio reglamento ir kaip įgyvendinamos gairės ir rekomendacijos bei raginimai imtis veiksmų. TKST techniniais klausimais turėtų padėti jos savo nuožiūra nustatytos sudėties techninės patariamosios grupės. Tos techninės patariamosios grupės prireikus turėtų glaudžiai bendradarbiauti su CERT-EU, Sąjungos subjektais bei kitais atitinkamais suinteresuotaisiais subjektais.

(24)

jei TKST nustato, kad Sąjungos subjektas veiksmingai neįgyvendino šio reglamento arba pagal jį priimtų gairių, rekomendacijų ar raginimų imtis veiksmų, TKST turėtų galėti imtis atitikties užtikrinimo priemonių, nedarant poveikio atitinkamo Sąjungos subjekto vidaus procedūrų taikymui. TKST atitikties užtikrinimo priemones turėtų taikyti laipsniškai, kitaip tariant, TKST pirmiausia turėtų priimti mažiausiai griežtą priemonę, t. y. pagrįstą nuomonę ir prireikus priimti vis griežtesnes priemones, kurių paskutinė būtų griežčiausia, t. y. rekomendacija laikinai sustabdyti duomenų srautus į atitinkamą Sąjungos subjektą. Tokia rekomendacija turėtų būti taikoma tik išimtiniais atvejais, kai atitinkamas Sąjungos subjektas padaro ilgalaikius, tyčinius, pakartotinius ar sunkius šio reglamento pažeidimus;

(25)

pagrįsta nuomonė yra mažiausiai griežta atitikties užtikrinimo priemonė, kuria šalinamos pastebėtos šio reglamento įgyvendinimo spragos. TKST turėtų galėti imtis tolesnių veiksmų, susijusių su pagrįsta nuomone, pateikdama gaires, kad padėtų Sąjungos subjektui užtikrinti, jog jo Sistema, kibernetinio saugumo rizikos valdymo priemonės, kibernetinio saugumo planas ir pranešimų teikimas atitiktų šį reglamentą, o tada per nustatytą laikotarpį pateikti perspėjimą, kaip pašalinti nustatytus Sąjungos subjekto trūkumus. Jei perspėjime nurodyti trūkumai pakankamai nepašalinami, TKST turėtų galėti pateikti pagrįstą pranešimą;

(26)

TKST turėtų galėti rekomenduoti atlikti Sąjungos subjekto auditą. Tuo tikslu Sąjungos subjektas turėtų galėti naudotis savo vidaus audito funkcija. TKST taip pat turėtų galėti prašyti, kad auditą atliktų trečiosios šalies audito tarnyba, įskaitant abipusiai sutartą privačiojo sektoriaus paslaugų teikėją;

(27)

išimtiniais atvejais, kai Sąjungos subjektas padaro ilgalaikius, tyčinius, pakartotinius ar sunkius šio reglamento pažeidimus, TKST turėtų galėti kaip kraštutinę priemonę rekomenduoti visoms valstybėms narėms ir Sąjungos subjektams laikinai sustabdyti duomenų srautus į tą Sąjungos subjektą, kuri būtų taikoma tol, kol Sąjungos subjektas nenustos daryti pažeidimo. Tokia rekomendacija turėtų būti perduodama tinkamais ir saugiais ryšių kanalais;

(28)

siekiant užtikrinti teisingą šio reglamento įgyvendinimą, TKST, jei mano, kad nuolatinį šio reglamento pažeidimą, kurį daro Sąjungos subjektas, tiesiogiai sukėlė to subjekto darbuotojo, įskaitant aukščiausią valdymo lygmenį, veiksmai ar neveikimas, turėtų prašyti atitinkamo Sąjungos subjekto imtis tinkamų veiksmų, įskaitant prašymą, kad jis apsvarstytų galimybę imtis drausminio pobūdžio veiksmų, laikantis taisyklių ir procedūrų, nustatytų Europos Sąjungos pareigūnų tarnybos nuostatuose ir kitų Sąjungos tarnautojų įdarbinimo sąlygose, nustatytuose Tarybos reglamente (EEB, Euratomas, EAPB) Nr. 259/68 (5) (toliau – Tarnybos nuostatai), ir kitų taikytinų taisyklių ir procedūrų;

(29)

CERT-EU turėtų prisidėti prie visų Sąjungos subjektų IRT aplinkos saugumo. Svarstydama, ar Sąjungos subjekto prašymu teikti technines konsultacijas ar informaciją atitinkamais politikos klausimais, CERT-EU turėtų užtikrinti, kad tai jai netrukdytų vykdyti kitų šiuo reglamentu jai pavestų vykdyti užduočių. CERT-EU turėtų veikti Sąjungos subjektų vardu kaip koordinatoriaus, paskirto koordinuoto pažeidžiamumų atskleidimo tikslais pagal Direktyvos (ES) 2022/2555 12 straipsnio 1 dalį, atitikmuo;

(30)

CERT-EU turėtų padėti įgyvendinti priemones, skirtas aukštam bendram kibernetinio saugumo lygiui užtikrinti, teikdama pasiūlymus dėl gairių ir rekomendacijų TKST arba skelbdama raginimus imtis veiksmų. Tokias gaires ir rekomendacijas turėtų tvirtinti TKST. Prireikus CERT-EU turėtų priimti raginimus imtis veiksmų, kuriuose aprašomos skubios saugumo priemonės, kurių Sąjungos subjektai raginami imtis per nustatytą laikotarpį. TKST turėtų nurodyti CERT-EU paskelbti, atsiimti arba pakeisti pasiūlymą dėl gairių, rekomendacijos arba kvietimo imtis veiksmų;

(31)

CERT-EU taip pat turėtų atlikti Direktyvoje (ES) 2022/2555 numatytą vaidmenį, susijusį su bendradarbiavimu ir keitimusi informacija su reagavimo į kompiuterių saugumo incidentus tarnybų (CSIRT) tinklu, įsteigtu pagal tos direktyvos 15 straipsnį. Be to, pagal Komisijos rekomendaciją (ES) 2017/1584 (6) CERT-EU turėtų bendradarbiauti ir koordinuoti reagavimo veiksmus su atitinkamais suinteresuotaisiais subjektais. Siekdama prisidėti prie aukšto kibernetinio saugumo lygio visoje Sąjungoje, CERT-EU turėtų dalytis su incidentais susijusia informacija su analogiškais valstybių narių centrais. Gavusi išankstinį TKST pritarimą CERT-EU taip pat turėtų bendradarbiauti su kitais viešaisiais ir privačiaisiais partneriais, įskaitant Šiaurės Atlanto sutarties organizaciją;

(32)

siekdama remti operatyvinį kibernetinį saugumą CERT-EU turėtų pasinaudoti ENISA ekspertinėmis žiniomis, vykdydama Reglamente (ES) 2019/881 numatytą struktūrinį bendradarbiavimą. Kai tinkama, turėtų būti sudaryti specialūs šių dviejų subjektų susitarimai, siekiant nustatyti, kaip toks bendradarbiavimas bus įgyvendinamas praktiškai, ir išvengti veiklos dubliavimo. CERT-EU turėtų bendradarbiauti su ENISA kibernetinių grėsmių analizės srityje ir reguliariai dalytis su ENISA grėsmių padėties ataskaita;

(33)

CERT-EU turėtų galėti bendradarbiauti ir keistis informacija su atitinkamomis kibernetinio saugumo bendruomenėmis Sąjungoje ir jos valstybėse narėse, kad būtų skatinamas operatyvinis bendradarbiavimas ir sudarytos sąlygos esamiems tinklams išnaudoti visą savo potencialą apsaugant Sąjungą.

(34)

kadangi CERT-EU paslaugos ir užduotys atitinka Sąjungos subjektų interesus, kiekvienas IRT išlaidų turintis Sąjungos subjektas turėtų sąžiningai prisidėti prie tų paslaugų teikimo ir užduočių vykdymo. Tie įnašai nedaro poveikio Sąjungos subjektų biudžetiniam savarankiškumui;

(35)

daugelis kibernetinių išpuolių yra platesnių kampanijų, nukreiptų prieš Sąjungos subjektų grupes arba interesų bendruomenes, įskaitant Sąjungos subjektus, dalis. Kad būtų galima imtis aktyvaus atskleidimo, reagavimo į incidentus, rizikos mažinimo priemonių ir veiklos atstatymo po incidentų, Sąjungos subjektai turėtų galėti pranešti CERT-EU apie incidentus, kibernetines grėsmes ir vos neįvykusius incidentus ir dalytis tinkama technine informacija, kad būtų galima atskleisti arba sumažinti panašius incidentus, kibernetines grėsmes, pažeidžiamumą ir vos neįvykusius incidentus kituose Sąjungos subjektuose ir į juos reaguoti. Vadovaujantis tokiu pačiu požiūriu, koks yra nustatytas Direktyvoje (ES) 2022/2555, Sąjungos subjektai turėtų privalėti per 24 valandas nuo tada, kai sužinojo apie reikšmingą incidentą, pateikti ankstyvąjį perspėjimą CERT-EU. Toks keitimasis informacija turėtų sudaryti sąlygas CERT-EU skleisti informaciją kitiems Sąjungos subjektams, taip pat atitinkamiems analogiškiems partneriams, siekiant padėti apsaugoti Sąjungos subjektų IRT aplinką ir Sąjungos subjektų analogiškų partnerių IRT aplinką nuo panašių incidentų;

(36)

šiuo reglamentu nustatomas kelių etapų pranešimų apie reikšmingus incidentus teikimo metodas, siekiant užtikrinti tinkamą pusiausvyrą tarp, viena vertus, greito pranešimų teikimo, kuris padeda sumažinti galimą reikšmingų incidentų plitimą ir suteikia galimybę Sąjungos subjektams prašyti pagalbos, ir, kita vertus, išsamių pranešimų, kuriuose atsižvelgiama į vertingą su pavieniais incidentais susijusią patirtį ir kuriais ilgainiui didinamas atskirų Sąjungos subjektų kibernetinis atsparumas bei prisidedama prie bendros jų kibernetinio saugumo būklės gerinimo. Tuo atžvilgiu į šį reglamentą turėtų būti įtraukti pranešimai apie incidentus, kurie, remiantis atitinkamo Sąjungos subjekto atliktu pradiniu vertinimu, galėtų sukelti didelių veikimo sutrikdymų arba padaryti finansinių nuostolių atitinkamam Sąjungos subjektui, arba padaryti poveikį kitiems fiziniams ar juridiniams asmenims, sukeldami didelę turtinę ar neturtinę žalą. Atliekant tokį pradinį vertinimą turėtų būti atsižvelgiama, inter alia, į paveiktas tinklų ir informacines sistemas, visų pirma į jų svarbą Sąjungos subjekto veikimui, kibernetinės grėsmės rimtumą bei technines charakteristikas ir bet kokį pagrindinį pažeidžiamumą, kuriuo pasinaudojama, taip pat į Sąjungos subjekto patirtį, įgytą panašių incidentų metu. Nustatant, ar veiklos sutrikdymas yra didelis, svarbus vaidmuo galėtų tekti tokiems rodikliams kaip poveikio Sąjungos subjekto veikimui mastas, incidento trukmė arba paveiktų fizinių ar juridinių asmenų skaičius;

(37)

kadangi atitinkamo Sąjungos subjekto ir valstybės narės, kurioje yra tas Sąjungos subjektas, infrastruktūra ir tinklų ir informacinės sistemos yra tarpusavyje susijusios, labai svarbu, kad ta valstybė narė būtų nepagrįstai nedelsiant informuojama apie reikšmingą incidentą tame Sąjungos subjekte. Tuo tikslu paveiktas Sąjungos subjektas apie įvykusį reikšmingą incidentą, apie kurį jis praneša CERT-EU, turėtų informuoti visus atitinkamus analogiškus valstybių narių subjektus, paskirtus ar įsteigtus pagal Direktyvos (ES) 2022/2555 8 ir 10 straipsnius. Kai CERT-EU sužino apie reikšmingą incidentą, vykstantį valstybėje narėje, ji apie tą reikšmingą incidentą turėtų pranešti visiems atitinkamiems analogiškiems tos valstybės narės centrams;

(38)

turėtų būti įgyvendintas mechanizmas, kuriuo būtų užtikrinamas veiksmingas Sąjungos subjektų keitimasis informacija, veiksmų koordinavimas ir bendradarbiavimas didelių incidentų atveju, įskaitant aiškų susijusių Sąjungos subjektų funkcijų ir pareigų nustatymą. Siekiant palengvinti TKST keitimąsi svarbia informacija su Europos ryšių palaikymo dėl kibernetinių krizių organizaciniu tinklu (EU-CyCLONe), susijusia su dideliais incidentais, kontaktinis asmuo, laikantis kibernetinių krizių valdymo plano, turėtų būti Komisijos atstovas TKST, taip prisidedant prie bendro informuotumo apie esamą padėtį. Komisijos atstovo TKST, kaip kontaktinio asmens, vaidmuo neturėtų daryti poveikio atskiram ir konkrečiam Komisijos vaidmeniui, kurį jis atlieka EU-CyCLONe pagal Direktyvos (ES) 2022/2555 16 straipsnio 2 dalį;

(39)

tvarkant asmens duomenis pagal šį reglamentą, taikomas Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 (7). Asmens duomenys galėtų būti tvarkomi įgyvendinant priemones, priimtas kibernetinio saugumo rizikos valdymo, pažeidžiamumų ir incidentų valdymo, dalijimosi informacija apie incidentus, kibernetines grėsmes ir pažeidžiamumą, taip pat reagavimo į incidentus koordinavimo ir bendradarbiavimo srityse. Dėl tokių priemonių galėtų prireikti tvarkyti tam tikrų kategorijų asmens duomenis, pavyzdžiui, IP adresus, universaliuosius išteklių adresus (URL), domenų vardus, e. pašto adresus, duomenų subjekto organizacinius vaidmenis, laiko žymas, e. pašto laiškų temas arba rinkmenų pavadinimus. Visos priemonės, kurių imamasi pagal šį reglamentą, turėtų atitikti duomenų apsaugos ir privatumo sistemą, o Sąjungos subjektai, CERT-EU ir, kai aktualu, TKST turėtų imtis visų atitinkamų techninių ir organizacinių apsaugos priemonių, kad atskaitingai užtikrintų tokį reikalavimų laikymąsi;

(40)

šiuo reglamentu nustatomas Sąjungos subjektų, CERT-EU ir, kai aktualu, TKST atliekamo asmens duomenų tvarkymo pagal Reglamento (ES) 2018/1725 5 straipsnio 1 dalies b punktą jų užduočių ir pareigų pagal šį reglamentą vykdymo tikslais teisinis pagrindas. CERT-EU gali veikti kaip duomenų tvarkytoja arba duomenų valdytoja, priklausomai nuo užduočių, kurias ji atlieka pagal Reglamentą (ES) 2018/1725.

(41)

tam tikrais atvejais, savo pareigų pagal šį reglamentą užtikrinti aukštą kibernetinio saugumo lygį vykdymo tikslais, visų pirma pažeidžiamumo ir incidentų valdymo kontekste, Sąjungos subjektams ir CERT-EU gali prireikti tvarkyti specialių kategorijų asmens duomenis, kaip nurodyta Reglamento (ES) 2018/1725 10 straipsnio 1 dalyje. Šiuo reglamentu nustatomas Sąjungos subjektų ir CERT-EU atliekamo specialių kategorijų asmens duomenų tvarkymo pagal Reglamento (ES) 2018/1725 10 straipsnio 2 dalies g punktą teisinis pagrindas. Specialių kategorijų asmens duomenų tvarkymas pagal šį reglamentą turėtų būti griežtai proporcingas siekiamam tikslui. Laikantis to reglamento 10 straipsnio 2 dalies g punkte nustatytų sąlygų, Sąjungos subjektai ir CERT-EU turėtų galėti tvarkyti tokius duomenis tik tiek, kiek tai būtina ir kai tai aiškiai numatyta šiame reglamente. Tvarkydami specialių kategorijų asmens duomenis Sąjungos subjektai ir CERT-EU turėtų paisyti esminių teisės į duomenų apsaugą nuostatų ir numatyti tinkamas ir konkrečias priemones asmenų pagrindinėms teisėms ir interesams apsaugoti;

(42)

pagal Reglamento (ES) 2018/1725 33 straipsnį Sąjungos subjektai ir CERT-EU, atsižvelgdami į naujausias technologijas, įgyvendinimo sąnaudas ir duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į įvairios tikimybės ir sunkumo riziką, kylančią fizinių asmenų teisėms ir laisvėms, turėtų įgyvendinti tinkamas technines ir organizacines priemones, kad užtikrintų tinkamo lygmens asmens duomenų apsaugą, pavyzdžiui, ribotų prieigos teisių suteikimą vadovaujantis principu „būtina žinoti“, taikytų audito sekos principus, naudotų duomenų saugojimo grandinę, nenaudojamus duomenis saugotų kontroliuojamoje ir patikrinamoje aplinkoje, taikytų standartizuotas veiklos procedūras ir privatumo apsaugos priemones, pavyzdžiui, pseudoniminimą ar šifravimą. Tos priemonės neturėtų būti įgyvendinamos taip, kad būtų daromas poveikis incidentų valdymo ir įrodymų vientisumo tikslų įgyvendinimui. Kai Sąjungos subjektas arba CERT-EU perduoda su incidentu susijusius asmens duomenis, įskaitant specialių kategorijų asmens duomenis, analogiškam subjektui arba partneriui šio reglamento tikslais, vykdant tokį perdavimą turėtų būti laikomasi Reglamento (ES) 2018/1725. Kai specialių kategorijų asmens duomenys perduodami trečiajai šaliai, Sąjungos subjektai ir CERT-EU turėtų užtikrinti, kad trečioji šalis taikytų asmens duomenų apsaugos priemones, kurių lygmuo būtų lygiavertis priemonių pagal Reglamentą (ES) 2018/1725 lygmeniui;

(43)

šio reglamento tikslais tvarkomi asmens duomenys turėtų būti saugomi tik tiek laiko, kiek tai būtina pagal Reglamentą (ES) 2018/1725. Sąjungos subjektai ir, kai taikytina, CERT-EU, veikdami kaip duomenų valdytojai, turėtų nustatyti saugojimo laikotarpius, kurie neviršija to, kas būtina nurodytiems tikslams pasiekti. Visų pirma, kiek tai susiję su incidentų valdymo tikslais surinktais asmens duomenimis, Sąjungos subjektai ir CERT-EU turėtų atskirti asmens duomenis, kurie renkami siekiant nustatyti kibernetinę grėsmę jų IRT aplinkoje, kad būtų užkirstas kelias incidentui, ir asmens duomenis, kurie renkami incidento padarinių švelninimo, reagavimo į jį ir veiklos atstatymo įvykus incidentui tikslais. Nustatant kibernetinę grėsmę svarbu atsižvelgti į tai, kiek laiko grėsmę keliantis subjektas gali likti sistemoje neaptiktas. Švelninant incidento padarinius, į jį reaguojant ir atstatant veiklą įvykus incidentui svarbu apsvarstyti, ar asmens duomenys yra būtini pasikartojančiam incidentui ar panašaus pobūdžio incidentui, dėl kurio būtų galima įrodyti egzistuojančią koreliaciją, atsekti ir valdyti;

(44)

CERT-EU ir Sąjungos subjektai informaciją turėtų tvarkyti pagal taikomas taisykles dėl informacijos saugumo. Žmogiškųjų išteklių saugumo įtraukimas į kibernetinio saugumo rizikos valdymo priemonę taip pat turėtų atitikti taikytinas taisykles.

(45)

dalijimosi informacija tikslais matomomis žymomis nurodoma, kad informacijos gavėjai turi dalytis informacija laikydamiesi tam tikrų ribų, visų pirma remdamiesi informacijos neatskleidimo susitarimais arba neoficialiais informacijos neatskleidimo susitarimais, pavyzdžiui, srauto kontrolės protokolu arba kitais aiškiais šaltinio nurodymais. Srauto kontrolės protokolas turi būti suprantamas kaip būdas teikti informaciją kaip priemonė informacijai apie bet kokius apribojimus, taikomus tolesnei informacijos sklaidai, teikti. Jį naudoja beveik visos CSIRT ir kai kurie informacijos analizės ir dalijimosi ja centrai;

(46)

šis reglamentas turėtų būti reguliariai vertinamas atsižvelgiant į būsimas derybas dėl daugiamečių finansinių programų, suteikiant galimybę tolesnius sprendimus priimti atsižvelgiant į CERT-EU veikimą ir institucinį vaidmenį, įskaitant galimą CERT-EU, kaip Sąjungos tarnybos, steigimą;

(47)

TKST, padedant CERT-EU, turėtų peržiūrėti ir įvertinti šio reglamento įgyvendinimą ir pateikti savo išvadas Komisijai. Remdamasi tuo indėliu Komisija turėtų teikti ataskaitą Europos Parlamentui, Tarybai, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui. Toje ataskaitoje, TKST pateikus indėlį, turėtų būti įvertinta, ar tikslinga į šio reglamento taikymo sritį įtraukti tinklų ir informacines sistemas, kuriose tvarkoma ESĮI, visų pirma tais atvejais, kai nėra nustatyta Sąjungos subjektams bendrų informacijos saugumo taisyklių;

(48)

vadovaujantis proporcingumo principu ir siekiant pagrindinio tikslo – užtikrinti aukštą bendrą kibernetinio saugumo lygį Sąjungos subjektuose, – būtina ir dera nustatyti kibernetinio saugumo taisykles, taikomas Sąjungos subjektams. Šiuo reglamentu remiantis Europos Sąjungos sutarties 5 straipsnio 4 dalimi neviršijama to, kas būtina nurodytam tikslui pasiekti;

(49)

šiame reglamente atsižvelgiama į tai, kad Sąjungos subjektų dydis ir pajėgumai, įskaitant finansinius ir žmogiškuosius išteklius, yra skirtingi;

(50)

vadovaujantis Reglamento (ES) 2018/1725 42 straipsnio 1 dalimi buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu, ir jis pateikė nuomonę 2022 m. gegužės 17 d. (8),