UREDBA (EU, Euratom) 2023/2841 EVROPSKEGA PARLAMENTA IN SVETA z dne 13. decembra 2023 o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije

(1)

V digitalni dobi je informacijska in komunikacijska tehnologija temelj odprte, učinkovite in neodvisne evropske uprave. Razvijajoča se tehnologija ter vse večja kompleksnost in medsebojna povezanost digitalnih sistemov povečujejo tveganja za kibernetsko varnost, zaradi česar so subjekti Unije ranljivejši za kibernetske grožnje in incidente, kar ogroža njihovo neprekinjeno poslovanje in zmogljivost zaščite njihovih podatkov. Medtem ko so večja uporaba storitev v oblaku, vsesplošna uporaba informacijske in komunikacijske tehnologije (IKT), visoka stopnja digitalizacije, delo na daljavo ter razvijajoča se tehnologija in povezljivost ključne značilnosti vseh dejavnosti subjektov Unije, digitalna odpornost še ni zadostno vgrajena.

(2)

Okolje kibernetskih groženj, ki so mu izpostavljeni subjekti Unije, se nenehno razvija. Taktike, tehnike in postopki, ki jih uporabljajo akterji groženj, se nenehno razvijajo, ključni motivi za take napade pa se le malo spreminjajo in zajemajo krajo dragocenih nerazkritih informacij, služenje denarja, manipulacijo z javnim mnenjem ali ogrožanje digitalne infrastrukture. Akterji groženj svoje kibernetske napade izvajajo vse pogosteje, njihove kampanje pa so vse bolj izpopolnjene in avtomatizirane, usmerjene v izpostavljene napadne površine, ki se širijo, ter hitro izkoriščajo ranljivosti.

(3)

Okolja IKT subjektov Unije so soodvisna in imajo vgrajene podatkovne tokove, njihovi uporabniki pa tesno sodelujejo. Ta medsebojna povezava pomeni, da ima lahko vsaka motnja, tudi če je sprva omejena na en subjekt Unije, širše kaskadne učinke, ki imajo lahko daljnosežne in dolgotrajne negativne učinke na druge subjekte Unije. Poleg tega so okolja IKT nekaterih subjektov Unije povezana z okolji IKT držav članic, zaradi česar incident v subjektu Unije predstavlja tveganje za kibernetsko varnost okolij IKT držav članic in obratno. Izmenjava informacij o posameznem incidentu lahko olajša odkrivanje podobnih kibernetskih groženj ali incidentov, ki zadevajo države članice.

(4)

Subjekti Unije so privlačne tarče, ki jih ogrožajo visoko usposobljeni in dobro podprti akterji groženj in tudi druge grožnje. Hkrati pa se raven in zrelost kibernetske odpornosti ter sposobnost odkrivanja zlonamernih kibernetskih dejavnosti in odzivanja nanje med navedenimi subjekti močno razlikujejo. Zato je za delovanje subjektov Unije potrebno, da z izvajanjem ukrepov za kibernetsko varnost, ki so sorazmerni z ugotovljenimi tveganji za kibernetsko varnost, izmenjavo informacij in sodelovanjem dosežejo visoko skupno raven kibernetske varnosti.

(5)

Cilj Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta (2) je nadalje izboljšati kibernetsko odpornost in zmogljivosti za odzivanje na incidente javnih in zasebnih subjektov, pristojnih organov ter Unije kot celote. Zato je potrebno zagotoviti, da subjekti Unije temu sledijo in zagotovijo pravila, ki so skladna z Direktivo (EU) 2022/2555 in izražajo njeno raven ambicij.

(6)

Za doseganje visoke skupne ravni kibernetske varnosti je potrebno, da vsak subjekt Unije vzpostavi notranji okvir za obvladovanje tveganj, upravljanje in nadzor kibernetske varnosti (v nadaljnjem besedilu: okvir), ki zagotavlja učinkovito in preudarno obvladovanje vseh tveganj za kibernetsko varnost ter upošteva neprekinjeno poslovanje in krizno upravljanje. Z okvirom bi bilo treba oblikovati politike kibernetske varnosti, vključno s cilji in prednostnimi nalogami, za varnost omrežnih in informacijskih sistemov, ki zajemajo celotno netajno okolje IKT. Okvir bi moral temeljiti na pristopu, ki upošteva vse nevarnosti in katerega cilj je zaščititi omrežne in informacijske sisteme ter njihovo fizično okolje pred dogodki, kot so kraja, požar, poplave, izpadi telekomunikacij ali električne energije, ali pred nepooblaščenim fizičnim dostopom in poškodbami ter poseganjem v informacije subjekta Unije in njegovo opremo za obdelavo informacij, ki bi lahko ogrozili razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov, ki se shranjujejo, prenašajo, obdelujejo ali so dostopni prek omrežnih in informacijskih sistemov.

(7)

Za obvladovanje tveganj za kibernetsko varnost, opredeljenih v okviru, bi moral vsak subjekt Unije sprejeti ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe. Ti ukrepi bi morali obravnavati področja in ukrepe za obvladovanje tveganj za kibernetsko varnost, določene v tej uredbi, da se okrepi kibernetska varnost vsakega subjekta Unije.

(8)

Načrt za kibernetsko varnost, ki ga pripravi vsak subjekt Unije, bi moral odražati sredstva in tveganja za kibernetsko varnost, opredeljena v okviru, ter ugotovitve, ki izhajajo iz rednih ocen kibernetskovarnostne zrelosti. Načrt za kibernetsko varnost bi moral vključevati sprejete ukrepe za obvladovanje tveganj za kibernetsko varnost.

(9)

Ker je zagotavljanje kibernetske varnosti neprekinjen proces, bi bilo treba ustreznost in učinkovitost ukrepov, sprejetih na podlagi te uredbe, redno pregledovati glede na spreminjajoča se tveganja za kibernetsko varnost, sredstva in kibernetskovarnostno zrelost subjektov Unije. Okvir bi bilo treba pregledovati redno in vsaj vsaka štiri leta, načrt za kibernetsko varnost pa bi bilo treba revidirati vsaki dve leti ali bolj pogosto, kadar je to potrebno, in sicer na podlagi ocen kibernetskovarnostne zrelosti ali morebitnega vsebinskega pregleda okvira.

(10)

Ukrepi za obvladovanje tveganj za kibernetsko varnost, ki jih uvedejo subjekti Unije, bi morali vključevati politike, katerih cilj je, kadar je mogoče, da zagotovijo preglednost izvorne kode, pri tem pa upoštevajo zaščitne ukrepe za pravice tretjih oseb ali subjektov Unije. Te politike bi morale biti sorazmerne s tveganjem za kibernetsko varnost, njihov namen pa je olajšati analizo kibernetskih groženj, pri čemer pa ne ustvarjajo obveznosti razkritja ali pravic do dostopa do kod tretjih oseb, ki bi presegale veljavne pogodbene pogoje.

(11)

Odprtokodna orodja in aplikacije za kibernetsko varnost lahko prispevajo k večji odprtosti. Odprti standardi omogočajo interoperabilnost med orodji za varnost in koristijo varnosti deležnikov. Odprtokodna orodja in aplikacije za kibernetsko varnost lahko spodbudijo širšo skupnost razvijalcev, kar omogoča diverzifikacijo dobaviteljev. Odprta koda lahko vodi k preglednejšemu postopku preverjanja orodij, povezanih s kibernetsko varnostjo, in k procesu odkrivanja ranljivosti, ki ga vodi skupnost. Subjekti Unije bi zato morali imeti možnost, da spodbujajo uporabo odprtokodne programske opreme in odprtih standardov z izvajanjem politik v zvezi z uporabo odprtih podatkov in odprte kode kot dela varnosti prek preglednosti.

(12)

Zaradi razlik med subjekti Unije je potrebna prožnost v izvajanju te uredbe. Ukrepi za visoko skupno raven kibernetske varnosti, določeno v tej uredbi, ne bi smeli vključevati obveznosti, ki bi neposredno posegale v opravljanje nalog subjektov Unije ali posegale v njihovo institucionalno avtonomijo. Zato bi ti subjekti morali vzpostaviti lastne okvire ter sprejeti lastne ukrepe za obvladovanje tveganj za kibernetsko varnost in načrte za kibernetsko varnost. Pri izvajanju takih ukrepov bi bilo treba ustrezno upoštevati obstoječe sinergije med subjekti Unije, da bi zagotovili ustrezno upravljanje virov in optimizacijo stroškov. Ustrezno pozornost bi bilo treba nameniti tudi temu, da ukrepi ne bodo negativno vplivali na učinkovito izmenjavo informacij med subjekti Unije in njihovo sodelovanje ter izmenjavo informacij med subjekti Unije in sorodnimi organi držav članic in njihovo sodelovanje.

(13)

Zaradi optimizacije uporabe virov bi morala ta uredba omogočati, da dva ali več subjektov Unije s podobnimi strukturami sodeluje pri ocenjevanju kibernetskovarnostne zrelosti za svoje zadevne subjekte.

(14)

Da subjektom Unije ne bi bilo naloženo nesorazmerno finančno in upravno breme, bi morale biti zahteve glede obvladovanja tveganj za kibernetsko varnost sorazmerne s tveganjem za kibernetsko varnost zadevnih omrežnih in informacijskih sistemov, pri čemer bi bilo treba upoštevati dovršenost takih ukrepov. Vsak subjekt Unije bi moral za izboljšanje ravni kibernetske varnosti skušati dodeliti ustrezen delež svojega proračuna za IKT. Dolgoročno bi si bilo treba prizadevati za okvirni cilj v višini najmanj 10 %. Pri oceni kibernetskovarnostne zrelosti bi bilo treba oceniti, ali je izdatek, ki ga subjekt Unije nameni za kibernetsko varnost, sorazmeren s tveganji za kibernetsko varnost, s katerimi se sooča. Brez poseganja v pravila, ki se nanašajo na letni proračun Unije na podlagi Pogodb, bi morala Komisija v svojem predlogu prvega letnega proračuna, ki se sprejme po začetku veljavnosti te uredbe, pri oceni proračunskih in kadrovskih potreb subjektov Unije, ki izhajajo iz njihovih ocen odhodkov, upoštevati obveznosti, ki izhajajo iz te uredbe.

(15)

Za visoko skupno raven kibernetske varnosti mora imeti nadzor nad kibernetsko varnostjo najvišja raven vodenja vsakega subjekta Unije. Najvišja raven vodenja subjekta Unije bi morala biti odgovorna za izvajanje te uredbe, tudi za vzpostavitev okvira, sprejetje ukrepov za obvladovanje tveganj za kibernetsko varnost in odobritev načrta za kibernetsko varnost. Obravnava kulture kibernetske varnosti, in sicer dnevno izvajanje kibernetske varnosti, je sestavni del okvira in ustreznih ukrepov za obvladovanje tveganj za kibernetsko varnost v vseh subjektih Unije.

(16)

Varnost omrežnih in informacijskih sistemov, ki obravnavajo tajne podatki EU (EUCI), je bistvenega pomena. Subjekti Unije, ki ravnajo s tajnimi podatki EU, morajo uporabljati celovite regulativne okvire, vzpostavljene za varovanje takih informacij, vključno s posebnim upravljanjem, politikami in postopki za obvladovanje tveganj. Omrežni in informacijski sistemi, ki obravnavajo tajne podatke EU, morajo izpolnjevati strožje varnostne standarde kot netajni omrežni in informacijski sistemi. Zato so omrežni in informacijski sistemi, ki obravnavajo tajne podatke EU, odpornejši na kibernetske grožnje in incidente. Čeprav ta uredba priznava potrebo po skupnem okviru v zvezi s tem, se ne bi smela uporabljati za omrežne in informacijske sisteme, ki obravnavajo tajne podatke EU. Skupina za odzivanje na računalniške grožnje za institucije, organe in agencije Unije (CERT-EU) pa bi morala imeti možnost, da subjektu Unije, če slednji to izrecno zahteva, zagotovi pomoč v zvezi z incidenti v tajnih okoljih IKT.

(17)

Subjekti Unije bi morali oceniti tveganja za kibernetsko varnost, povezana z odnosi z dobavitelji in ponudniki storitev, vključno s ponudniki shranjevanja in obdelave podatkov ali upravljanih varnostnih storitev, ter sprejeti ustrezne ukrepe za njihovo obravnavo. Ukrepi za kibernetsko varnost bi morali biti podrobneje opredeljeni v smernicah ali priporočilih, ki jih izda CERT-EU. Pri pripravi ukrepov in smernic bi bilo treba ustrezno upoštevati najsodobnejše in po potrebi ustrezne evropske in mednarodne standarde ter ustrezno pravo in politike Unije, vključno z ocenami tveganja in priporočili skupine za sodelovanje, ustanovljene na podlagi člena 14 Direktive (EU) 2022/2555, kot sta usklajena ocena tveganja v EU za kibernetsko varnost omrežij 5G in nabor orodij EU za kibernetsko varnost omrežij 5G. Ob upoštevanju okolja kibernetskih groženj in pomena krepitve kibernetske odpornosti subjektov Unije bi lahko bilo poleg tega potrebno certificiranje ustreznih proizvodov IKT, storitev IKT in postopkov IKT, na podlagi specifičnih evropskih certifikacijskih shem za kibernetsko varnost EU, sprejetih na podlagi člena 49 Uredbe (EU) 2019/881 Evropskega parlamenta in Sveta (3).

(18)

Generalni sekretarji institucij in organov Unije so maja 2011 sklenili, da bodo ustanovili predkonfiguracijsko skupino CERT-EU, ki jo bo nadziral medinstitucionalni usmerjevalni odbor. Julija 2012 so generalni sekretarji potrdili praktično ureditev in se dogovorili, da ohranijo CERT-EU kot stalno enoto, ki naj še naprej pomaga izboljševati splošno stopnjo varnosti informacijske tehnologije v institucijah, organih in agencijah Unije kot primer vidnega medinstitucionalnega sodelovanja na področju kibernetske varnosti. CERT-EU je bil septembra 2012 vzpostavljen kot projektna skupina Komisije z medinstitucionalnimi pristojnostmi. Institucije in organi Unije so decembra 2017 sklenili medinstitucionalni dogovor o organizaciji in delovanju CERT-EU (4). Ta uredba bi morala zagotoviti celovit sklop pravil o organizaciji in delovanju CERT-EU. Določbe te uredbe prevladajo nad določbami medinstitucionalnega dogovora o organizaciji in delovanju CERT-EU, ki je bil sklenjen decembra 2017.

(19)

CERT-EU bi bilo treba preimenovati v službo za kibernetsko varnost za institucije, organe, urade in agencije Unije, vendar bi bilo treba kratico CERT-EU zaradi prepoznavnosti imena ohraniti.

(20)

Poleg tega, da se CERT-EU dodeli več nalog in razširjena vloga, ta uredba ustanavlja Medinstitucionalni odbor za kibernetsko varnost (IICB), da bi se olajšalo doseganje visoke skupne ravni kibernetske varnosti med subjekti Unije. IICB bi moral imeti izključno vlogo pri spremljanju in podpiranju izvajanja te uredbe s strani subjektov Unije ter pri nadzorovanju izvajanja splošnih prednostnih nalog in ciljev s strani CERT-EU in pri zagotavljanju njegovih strateških usmeritev. IICB bi zato moral zagotoviti zastopanost institucij Unije ter vključevati predstavnike organov, uradov in agencij Unije prek mreže agencij EU (EUAN). Organizacijo in delovanje IICB bi bilo treba dodatno urediti z notranjim poslovnikom, ki lahko vključuje podrobnejšo opredelitev rednih srečanj IICB, vključno z letnimi srečanji na politični ravni, na katerih bi predstavniki najvišje ravni vodenja vsakega člana IICB slednjemu omogočili, da opravi strateško razpravo in zagotovi strateške usmeritve za IICB. Poleg tega bi moral imeti IICB možnost, da ustanovi izvršni odbor, ki mu pomaga pri delu, ter nanj prenese nekatere naloge in pooblastila, zlasti v zvezi z nalogami, ki zahtevajo posebno strokovno znanje njegovih članov, na primer kar zadeva odobritev kataloga storitev in njegovih naknadnih posodobitev, ureditve izvajanja sporazumov o ravni storitev, ocene dokumentov in poročil, ki jih subjekti Unije predložijo IICB na podlagi te uredbe, ali naloge, povezane s pripravo odločitev o ukrepih za skladnost, ki jih izda IICB, in spremljanjem njihovega izvajanja. IICB bi moral določiti poslovnik izvršnega odbora, vključno z njegovimi nalogami in pooblastili.

(21)

IICB si prizadeva, da z izvajanjem te uredbe podpira subjekte Unije pri izboljšanju njihovega odnosa do kibernetske varnosti. Da bi podpiral subjekte Unije, bi moral IICB vodji CERT-EU zagotoviti usmeritve, sprejeti večletno strategijo za dvig ravni kibernetske varnosti v subjektih Unije, določiti metodologijo za prostovoljne medsebojne strokovne preglede in druge vidike teh pregledov ter spodbuditi ustanovitev neformalne skupine lokalnih uradnikov za kibernetsko varnost, ki bi jo podpirala Agencija Evropske unije za kibernetsko varnost (ENISA), namenjena pa bi bila izmenjavi dobrih praks in informacij v zvezi z izvajanjem te uredbe.

(22)

Da bi dosegli visoko raven kibernetske varnosti v vseh subjektih Unije, bi morali interese organov, uradov in agencij Unije, ki upravljajo svoja okolja IKT, v IICB zastopati trije predstavniki, ki jih imenuje mreža agencij EU. Varnost obdelave osebnih podatkov in s tem tudi njena kibernetska varnost je temelj varstva podatkov. Glede na sinergije med varstvom podatkov in kibernetsko varnostjo bi moral biti Evropski nadzornik za varstvo podatkov v IICB zastopan kot subjekt Unije, za katerega se uporablja ta uredba, s posebnim strokovnim znanjem na področju varstva podatkov, vključno z varnostjo elektronskih komunikacijskih omrežij. Zaradi pomena inovacij in konkurenčnosti na področju kibernetske varnosti bi moral biti v IICB zastopan Evropski industrijski, tehnološki in raziskovalni kompetenčni center za kibernetsko varnost. Glede na vlogo ENISA kot središča strokovnega znanja na področju kibernetske varnosti in podporo, ki jo ENISA zagotavlja, ter glede na pomen kibernetske varnosti vesoljske infrastrukture in storitev Unije bi morali biti v IICB zastopani ENISA in Agencija Evropske unije za vesoljski program. Glede na vlogo, ki jo ima na podlagi te uredbe CERT-EU, bi moral predsednik IICB povabiti vodjo CERT-EU na vse sestanke IICB, razen kadar IICB razpravlja o zadevah, ki se neposredno nanašajo na vodjo CERT-EU.

(23)

IICB bi moral spremljati skladnost s to uredbo ter izvajanje smernic in priporočil ter pozivov k ukrepanju. V zvezi s tehničnimi vprašanji bi ga bilo treba podpreti s tehničnimi svetovalnimi skupinami, ki so sestavljene, kot se IICB zdi ustrezno. Te tehnične svetovalne skupine bi morale tesno sodelovati s CERT-EU, subjekti Unije ter po potrebi z drugimi deležniki.

(24)

Kadar IICB ugotovi, da subjekt Unije ni učinkovito izvajal te uredbe ali smernic, priporočil ali pozivov k ukrepanju, izdanih na podlagi te uredbe, bi moral imeti možnost, da brez poseganja v notranje postopke zadevnega subjekta Unije sprejme ukrepe za skladnost. IICB bi moral ukrepe za skladnost uporabljati postopoma, kar pomeni, da bi moral najprej sprejeti najmanj strog ukrep, in sicer obrazloženo mnenje, ter le, če je potrebno, sprejemati vse strožje ukrepe, dokler ne pride do najstrožjega ukrepa, in sicer priporočila za začasno prekinitev prenosov podatkov zadevnemu subjektu Unije. Tako priporočilo bi bilo treba uporabiti le v izjemnih primerih, ko zadevni subjekt Unije dolgotrajno, namerno, ponavljajoče ali resno krši to uredbo.

(25)

Obrazloženo mnenje je najmanj strog ukrep za skladnost, s katerim se obravnavajo opažene vrzeli pri izvajanju te uredbe. IICB bi moral imeti možnost, da po izdaji obrazloženega mnenja sprejme usmeritve, s katerimi subjektu Unije pomaga zagotoviti, da so njegov okvir, ukrepi za obvladovanje tveganj za kibernetsko varnost, načrt za kibernetsko varnost in poročanje v skladu s to uredbo, ter nato izda opozorilo, da je treba ugotovljene pomanjkljivosti subjekta Unije v določenem roku odpraviti. Če pomanjkljivosti, ugotovljene v opozorilu, niso bile ustrezno odpravljene, bi moral imeti IICB možnost, da izda utemeljeno uradno obvestilo.

(26)

IICB bi moral imeti možnost, da priporoči izvedbo revizije subjekta Unije. Subjekt Unije bi moral imeti možnost, da v ta namen uporabi svojo funkcijo notranje revizije. IICB bi moral imeti tudi možnost, da zahteva, da revizijo izvede neodvisna revizijska služba, kar zajema tudi vzajemno dogovorjenega ponudnika storitev iz zasebnega sektorja.

(27)

V izrednih primerih dolgotrajnih, namernih, ponavljajočih se ali resnih kršitev te uredbe s strani subjekta Unije bi moral imeti IICB možnost, da kot skrajni ukrep priporoči vsem državam članicam in subjektom Unije, naj začasno prekinejo prenose podatkov subjektu Unije, kar ostane v veljavi, dokler subjekt Unije ne preneha s kršitvijo. Tako priporočilo bi bilo treba posredovati po ustreznih in varnih komunikacijskih kanalih.

(28)

Za zagotovitev pravilnega izvajanja te uredbe bi moral IICB, če meni, da je vztrajno kršenje te uredbe s strani subjekta Unije neposredna posledica dejanj ali opustitev dejanj člana njegovega osebja, tudi na najvišji ravni vodenja, od zadevnega subjekta Unije zahtevati, da sprejme ustrezne ukrepe, vključno z zahtevo, naj preuči možnost sprejetja disciplinskih ukrepov v skladu s pravili in postopki iz Kadrovskih predpisov za uradnike Evropske unije in pogojev za zaposlitev drugih uslužbencev Unije, določenih v Uredbi Sveta (EGS, Euratom, ESPJ) št. 259/68 (5) (v nadaljnjem besedilu: kadrovski predpisi), ter vsemi drugimi veljavnimi pravili in postopki.

(29)

CERT-EU bi moral prispevati k varnosti okolja IKT vseh subjektov Unije. CERT-EU bi moral pri odločanju, ali naj na prošnjo subjekta Unije zagotovi tehnično svetovanje ali prispevek o ustreznih zadevah politike, poskrbeti za to, da to ne bo oviralo izpolnjevanja drugih nalog, ki so mu bile dodeljene na podlagi te uredbe. CERT-EU bi moral delovati na strani subjektov Unije kot enakovreden koordinatorju, imenovanemu za usklajeno razkrivanje ranljivosti na podlagi člena 12(1) Direktive (EU) 2022/2555.

(30)

CERT-EU bi moral izvajanje ukrepov za visoko skupno raven kibernetske varnosti podpirati s predlogi za smernice in priporočila, naslovljenimi na IICB, ali z izdajo pozivov k ukrepanju. Take smernice in priporočila bi moral odobriti IICB. CERT-EU bi moral, kadar bi bilo potrebno, izdati pozive k ukrepanju, ki opisujejo nujne varnostne ukrepe, ki naj bi jih subjekti Unije nujno sprejeli v določenem časovnem obdobju. IICB bi moral naročiti CERT-EU, da izda, umakne ali spremeni predlog za smernice ali priporočilo ali poziv k ukrepanju.

(31)

CERT-EU bi moral tudi izpolnjevati vlogo, ki je zanj predvidena v Direktivi (EU) 2022/2555, v zvezi s sodelovanjem in izmenjavo informacij z mrežo skupin za odzivanje na incidente na področju računalniške varnosti (v nadaljnjem besedilu: skupine CSIRT), ustanovljeno na podlagi člena 15 navedene direktive. Poleg tega bi moral CERT-EU v skladu s Priporočilom Komisije (EU) 2017/1584 (6) sodelovati z zadevnimi deležniki in se z njimi usklajevati glede odzivanja. Za prispevanje k visoki ravni kibernetske varnosti v Uniji bi CERT-EU moral s sorodnimi organi držav članic deliti informacije, povezane z incidenti. Prav tako bi CERT-EU moral sodelovati z drugimi javnimi in zasebnimi sorodnimi organi, vključno z Natom, pri čemer sodelovanje predhodno odobri IICB.

(32)

Pri podpori operativni kibernetski varnosti bi moral CERT-EU prek strukturiranega sodelovanja izkoriščati razpoložljivo strokovno znanje ENISA, kot je predvideno v Uredbi (EU) 2019/881. Kadar je potrebno, bi bilo treba sprejeti posebne dogovore med tema dvema subjektoma, s katerimi bi opredelili praktično izvajanje takega sodelovanja in se izogibali podvajanju dejavnosti. CERT-EU bi moral z ENISA sodelovati v zvezi z analizo kibernetskih groženj in ENISA redno posredovati svoje poročilo o grožnjah.

(33)

CERT-EU bi moral imeti možnost sodelovanja in izmenjave informacij z ustreznimi skupnostmi za kibernetsko varnost v Uniji in njenih državah članicah, da bi se olajšalo operativno sodelovanje in se obstoječim mrežam omogočilo, da pri varovanju Unije uresničijo ves svoj potencial.

(34)

Ker so storitve in naloge CERT-EU v interesu subjektov Unije, bi moral vsak subjekt Unije, ki ima izdatke za IKT, prispevati pravičen delež k tem storitvam in nalogam. Ti prispevki ne posegajo v proračunsko avtonomijo subjektov Unije.

(35)

Veliko kibernetskih napadov je del širših kampanj, usmerjenih v skupine subjektov Unije ali interesne skupnosti, ki vključujejo subjekte Unije. Da bi omogočili proaktivno odkrivanje, odzivanje na incidente ali blažilne ukrepe in okrevanje po incidentih, bi morali imeti subjekti Unije možnost uradno obvestiti CERT-EU o incidentih, kibernetskih grožnjah, ranljivostih in skorajšnjih incidentih ter deliti ustrezne tehnične podrobnosti, ki omogočajo odkrivanje ali blaženje podobnih kibernetskih groženj, ranljivosti in skorajšnjih incidentov ter odzivanje nanje v drugih subjektih Unije. V skladu z enakim pristopom, kot je predviden v Direktivi (EU) 2022/2555, bi morali subjekti Unije v 24 urah po tem, ko se seznanijo s pomembnim incidentom, CERT-EU posredovati zgodnje opozorilo. Taka izmenjava informacij bi morala CERT-EU omogočiti, da informacije razširja drugim subjektom Unije ter ustreznim sorodnim organom in tako prispeva k zaščiti okolij IKT subjektov Unije in okolij IKT sorodnih organov subjektov Unije pred podobnimi incidenti.

(36)

Ta uredba določa večstopenjski pristop k poročanju o pomembnih incidentih, da bi se na eni strani vzpostavilo ustrezno ravnovesje med hitrim poročanjem, ki pomaga zajeziti morebitno širjenje pomembnih incidentov in omogoča subjektom Unije, da zaprosijo za pomoč, ter, na drugi strani, podrobnim poročanjem, ki omogoča pridobivanje dragocenih izkušenj iz posameznih incidentov ter sčasoma poveča kibernetsko odpornost posameznih subjektov Unije in prispeva k izboljšanju njihovega splošnega odnosa do kibernetske varnosti. V zvezi s tem bi morala ta uredba vključevati poročanje o incidentih, ki bi na podlagi začetne ocene, ki jo izvede zadevni subjekt Unije, lahko povzročili resne operativne motnje v delovanju ali finančno izgubo za zadevni subjekt Unije ali povzročili znatno premoženjsko ali nepremoženjsko škodo drugim fizičnim ali pravnim osebam. Pri taki začetni oceni bi bilo treba med drugim upoštevati prizadete omrežne in informacijske sisteme, zlasti njihov pomen za delovanje subjekta Unije, resnost in tehnične značilnosti kibernetske grožnje in vse s tem povezane ranljivosti, ki se izkoriščajo, ter izkušnje subjekta Unije s podobnimi incidenti. Kazalniki, kot so obseg prizadetosti delovanja subjekta Unije, trajanje incidenta ali število prizadetih fizičnih ali pravnih oseb, bi lahko imeli pomembno vlogo pri ugotavljanju, ali je operativna motnja resna.

(37)

Ker so infrastruktura ter omrežni in informacijski sistemi zadevnega subjekta Unije in države članice, v kateri se ta subjekt Unije nahaja, med seboj povezani, je bistveno, da je ta država članica brez nepotrebnega odlašanja obveščena o pomembnem incidentu znotraj tega subjekta Unije. V ta namen bi moral prizadeti subjekt Unije obvestiti vse ustrezne sorodne organe iz držav članic, imenovane ali ustanovljene na podlagi členov 8 in 10 Direktive (EU) 2022/2555, o pojavu pomembnega incidenta, o katerem poroča CERT-EU. Ko CERT-EU izve, da se je zgodil pomemben incident v državi članici, bi moral uradno obvestiti vsak ustrezni sorodni organ v tej državi članici.

(38)

Uvesti bi bilo treba mehanizem za zagotavljanje učinkovite izmenjave informacij, usklajevanja in sodelovanja subjektov Unije v primeru večjih incidentov, vključno z jasno opredelitvijo vlog in odgovornosti vključenih subjektov Unije. Predstavnik Komisije v IICB bi moral biti v skladu z načrtom za obvladovanje kibernetskih kriz kontaktna točka, da se IICB olajša izmenjavo ustreznih informacij v zvezi z večjimi incidenti z evropsko organizacijsko mrežo za povezovanje v kibernetski krizi (v nadaljnjem besedilu: mreža EU-CyCLONe), kar bi prispevalo k skupnemu situacijskemu zavedanju. Vloga predstavnika Komisije v IICB kot kontaktne točke ne bi smela posegati v ločeno in posebno vlogo Komisije v mreži EU-CyCLONe na podlagi člena 16(2) Direktive (EU) 2022/2555.

(39)

Za vsako obdelavo osebnih podatkov, ki se izvaja na podlagi te uredbe, se uporablja Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta (7). Obdelava osebnih podatkov bi lahko potekala v zvezi z ukrepi, sprejetimi v okviru obvladovanja tveganj za kibernetsko varnost, obvladovanja ranljivosti in incidentov, izmenjave informacij o incidentih, kibernetskih grožnjah in ranljivostih ter usklajevanja in sodelovanja pri odzivanju na incidente. Taki ukrepi bi lahko zahtevali obdelavo nekaterih kategorij osebnih podatkov, kot so naslovi IP, enotni naslovi virov (URL), domenska imena, elektronski naslovi, organizacijske vloge posameznika, na katerega se nanašajo osebni podatki, časovni žigi, zadeve elektronske pošte ali imena datotek. Vsi ukrepi, sprejeti na podlagi te uredbe, bi morali biti skladni z okvirom za varstvo podatkov in zasebnosti, subjekti Unije, CERT-EU in po potrebi IICB, pa bi morali sprejeti vse ustrezne tehnične in organizacijske zaščitne ukrepe za zagotovitev takšne skladnosti na odgovoren način.

(40)

Ta uredba določa pravno podlago za obdelavo osebnih podatkov, ki jo izvajajo subjekti Unije, CERT-EU in, kadar je ustrezno, IICB, za namene opravljanja njihovih nalog in izpolnjevanja obveznosti iz te uredbe v skladu s členom 5(1), točka (b), Uredbe (EU) 2018/1725. CERT-EU lahko deluje kot obdelovalec ali upravljavec glede na nalogo, ki jo opravlja na podlagi Uredbe (EU) 2018/1725.

(41)

V nekaterih primerih bodo subjekti Unije in CERT-EU zaradi izpolnjevanja svojih obveznosti iz te uredbe za zagotovitev visoke ravni kibernetske varnosti ter zlasti v okviru obvladovanja ranljivosti in incidentov morda morali obdelati posebne kategorije osebnih podatkov iz člena 10(1) Uredbe (EU) 2018/1725. Ta uredba določa pravno podlago za obdelavo posebnih vrst osebnih podatkov, ki jo izvajajo subjekti Unije in CERT-EU v skladu s členom 10(2), točka (g), Uredbe (EU) 2018/1725. Obdelava posebnih kategorij osebnih podatkov na podlagi te uredbe bi morala biti strogo sorazmerna z zastavljenim ciljem. Pod pogoji iz člena 10(2), točka (g), navedene uredbe bi morali imeti subjekti Unije in CERT-EU možnost obdelave takih podatkov le v obsegu, ki je potreben in kadar je to izrecno določeno v tej uredbi. Pri obdelavi posebnih kategorij osebnih podatkov bi morali subjekti Unije in CERT-EU spoštovati bistvo pravice do varstva podatkov ter določati ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznikov, na katere se podatki nanašajo.

(42)

Na podlagi člena 33 Uredbe (EU) 2018/1725 bi morali subjekti Unije in CERT-EU ob upoštevanju najnovejšega tehnološkega razvoja, stroškov izvajanja, narave, obsega, okoliščin in namenov obdelave ter tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvesti ustrezne tehnične in organizacijske ukrepe za zagotovitev ustrezne ravni varnosti osebnih podatkov, kot so zagotavljanje omejenih pravic dostopa na podlagi potrebe po seznanitvi, uporaba načel revizijske sledi, sprejetje nadzorne verige, shranjevanje podatkov v mirovanju v nadzorovanem in revidiranem okolju, standardizirani operativni postopki in ukrepi za ohranjanje zasebnosti, kot so psevdonimizacija ali šifriranje. Ti ukrepi se ne bi smeli izvajati na način, ki bi vplival na namene obvladovanja incidentov in celovitosti dokazov. Kadar subjekt Unije ali CERT-EU prenese osebne podatke, povezane z incidentom, vključno s posebnimi kategorijami osebnih podatkov, sorodnemu organu ali partnerju za namene te uredbe, bi morali biti taki prenosi skladni z Uredbo (EU) 2018/1725. Kadar se posebne vrste osebnih podatkov prenesejo tretji osebi, bi morali subjekti Unije in CERT-EU zagotoviti, da tretja oseba uporablja ukrepe v zvezi z varstvom osebnih podatkov na ravni, enakovredni Uredbi (EU) 2018/1725.

(43)

Osebne podatke, ki se obdelujejo za namene te uredbe, bi bilo treba hraniti le toliko časa, kolikor je potrebno v skladu z Uredbo (EU) 2018/1725. Subjekti Unije in po potrebi CERT-EU, ki delujejo kot upravljavec, bi morali določiti obdobja hrambe, ki so omejena na tisto, kar je potrebno za doseganje določenih namenov. Zlasti v zvezi z osebnimi podatki, zbranimi za obvladovanje incidentov, bi morali subjekti Unije in CERT-EU razlikovati med osebnimi podatki, ki se zbirajo za odkrivanje kibernetske grožnje v njihovih okoljih IKT, da bi preprečili incident, in osebnimi podatki, ki se zbirajo za ublažitev incidenta, odzivanje nanj in okrevanje po njem. Za odkrivanje kibernetskih groženj je pomembno upoštevati čas, v katerem lahko akter grožnje v sistemu ostane neodkrit. Za ublažitev incidenta, odziv nanj in okrevanje po njem je pomembno proučiti, ali so osebni podatki potrebni za sledenje in obravnavanje ponavljajočega se incidenta ali incidenta podobne narave, za katerega bi bilo mogoče dokazati korelacijo.

(44)

Subjekti Unije in CERT-EU bi morali pri ravnanju z informacijami upoštevati veljavna pravila o informacijski varnosti. Vključitev varnosti človeških virov kot ukrepa za obvladovanje tveganj za kibernetsko varnost bi tudi morala biti skladna z veljavnimi pravili.

(45)

Za izmenjavo informacij se uporabljajo vidne oznake, ki označujejo, da morajo prejemniki informacij zlasti na podlagi sporazumov o zaupnosti ali neformalnih sporazumov o zaupnosti, kot je semaforski protokol, ali na podlagi drugih jasnih navedb s strani vira, upoštevati omejitve pri izmenjavi informacij. Semaforski protokol je treba razumeti kot sredstvo za zagotavljanje informacij o kakršnih koli omejitvah v zvezi z nadaljnjim širjenjem informacij. Uporablja se v skoraj vseh skupinah CSIRT ter v nekaterih centrih za analizo in izmenjavo informacij.

(46)

To uredbo bi bilo treba redno ocenjevati glede na prihodnja pogajanja o večletnih finančnih okvirih, ki bodo omogočila nadaljnje odločitve glede delovanja in institucionalne vloge CERT-EU, vključno z morebitno ustanovitvijo CERT-EU kot urada Unije.

(47)

IICB bi moral ob pomoči CERT-EU pregledati in oceniti izvajanje te uredbe ter Komisiji poročati o svojih ugotovitvah. Na podlagi tega prispevka bi morala Komisija poročati Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij. V tem poročilu bi bilo treba ob prispevku IICB oceniti ustreznost vključitve omrežnih in informacijskih sistemov, ki obravnavajo tajne podatke EU, v področje uporabe te uredbe, zlasti ob odsotnosti pravil o informacijski varnosti, ki bi bila skupna subjektom Unije.

(48)

V skladu z načelom sorazmernosti je potrebno in primerno, da se za doseganje osnovnega cilja zagotovitve visoke skupne ravni kibernetske varnosti v subjektih Unije določijo pravila o kibernetski varnosti za subjekte Unije. V skladu s členom 5(4) Pogodbe o Evropski uniji ta uredba ne presega tistega, kar je potrebno za doseganje navedenega cilja.

(49)

Ta uredba odraža dejstvo, da se subjekti Unije razlikujejo po velikosti in zmogljivostih, tudi v smislu finančnih in človeških virov.

(50)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 17. maja 2022 (8) –