+16 straipsnis Bendros pranešimų teikimo platformos sukūrimas
---+16 straipsnis 1.
---+16 straipsnis 2.
---+16 straipsnis 3.
---+16 straipsnis 4.
---+16 straipsnis 5.
---+16 straipsnis 6.

16 straipsnis Bendros pranešimų teikimo platformos sukūrimas

-

1. Apžvalga

,
16 straipsnis 1.
14 straipsnio 1 ir 3 dalyse ir 15 straipsnio 1 ir 2 dalyse nurodytų pranešimų teikimo tikslais ir siekiant supaprastinti gamintojų pareigas teikti pranešimus, ENISA sukuria bendrą pranešimų teikimo platformą. Tos bendros pranešimų teikimo platformos kasdienę veiklą valdo ir prižiūri ENISA. Bendros pranešimų teikimo platformos struktūra sudaro sąlygas valstybėms narėms ir ENISA įdiegti savo elektroninio pranešimo galinius įrenginius.
16 straipsnis 2.
Gavusi pranešimą, koordinatore paskirta CSIRT, kuri pirmoji gavo pranešimą, nedelsdama jį išplatina per bendrą pranešimų teikimo platformą koordinatorėmis paskirtoms CSIRT, kurių teritorijoje, kaip nurodė gamintojas, yra prieinamas tas produktas su skaitmeniniais elementais.

Išimtinėmis aplinkybėmis ir, visų pirma, gamintojo prašymu bei atsižvelgiant į gamintojo pagal šio reglamento 14 straipsnio 2 dalies a punktą nurodytą pateiktos informacijos neskelbtinumo lygį, pranešimo platinimas dėl pagrįstų su kibernetiniu saugumu susijusių priežasčių gali būti atidėtas laikotarpiui, kuris yra tikrai būtinas, įskaitant atvejus, kai pažeidžiamumui taikoma suderinta pažeidžiamumo atskleidimo procedūra, kaip nurodyta Direktyvos (ES) 2022/2555 12 straipsnio 1 dalyje. Jei CSIRT nusprendžia atidėti pranešimą, ji nedelsdama informuoja ENISA apie sprendimą ir pateikia pranešimo atidėjimo pagrindimą, taip pat nurodo, kada ji išplatins pranešimą laikydamasi šioje dalyje nustatytos platinimo procedūros. ENISA gali teikti CSIRT pagalbą su kibernetiniu saugumu susijusių priežasčių nuostatų taikymo srityje, kiek tai susiję su pranešimo platinimo atidėjimu.

Ypatingais išimtiniais atvejais, kai gamintojas 14 straipsnio 2 dalies b punkte nurodytame pranešime nurodo, kad:

a) 

piktavalis subjektas aktyviai naudojasi pažeidžiamumu, apie kurį pranešta, ir, remiantis turima informacija, juo buvo pasinaudota tik valstybėje narėje, kurios CSIRT yra paskirta koordinatore, kuriai gamintojas pranešė apie pažeidžiamumą;

b) 

bet koks neatidėliotinas tolesnis pranešimo apie pažeidžiamumą platinimas greičiausiai lemtų informacijos, kurios atskleidimas prieštarautų tos valstybės narės esminiams interesams, teikimą, arba

c) 

pažeidžiamumas, apie kurį pranešta, kelia neišvengiamą didelę kibernetinio saugumo riziką, kylančią dėl tolesnio pranešimo platinimo,

tik informacija, kad gamintojas pateikė pranešimą, bendroji informacija apie produktą, informacija apie bendrą išnaudojimo pobūdį ir informacija, kad buvo nurodytos su saugumu susijusios priežastys, turi būti pateikta tuo pačiu metu ENISA, kol visas pranešimo tekstas bus išplatintas atitinkamoms CSIRT ir ENISA. Jei, remdamasi ta informacija, ENISA mano, kad esama sisteminės rizikos, turinčios poveikį vidaus rinkos saugumui, ji rekomenduoja pranešimą gavusiai CSIRT išplatinti visą pranešimo tekstą kitoms koordinatorėmis paskirtoms CSIRT ir pačiai ENISA.
16 straipsnis 3.
Gavusios pranešimą apie aktyviai išnaudojamą produkto su skaitmeniniais elementais pažeidžiamumą arba didelį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui, koordinatorėmis paskirtos CSIRT savo atitinkamų valstybių narių rinkos priežiūros institucijoms pateikia informaciją, apie kurią joms praneštą ir kurios reikia, kad rinkos priežiūros institucijos galėtų vykdyti savo pareigas pagal šį reglamentą.
16 straipsnis 4.
ENISA imasi tinkamų ir proporcingų techninių, operacinių ir organizacinių priemonių, kad būtų valdoma rizika, kylanti bendros pranešimų teikimo platformos ir per bendrą pranešimų teikimo platformą teikiamos arba platinamos informacijos saugumui. Ji nepagrįstai nedelsdama praneša CSIRT tinklui ir Komisijai apie visus saugumo incidentus, darančius poveikį bendrai pranešimų teikimo platformai.
16 straipsnis 5.
ENISA, bendradarbiaudama su CSIRT tinklu, pateikia ir įgyvendina techninių, operacinių ir organizacinių priemonių, susijusių su 1 dalyje nurodytos bendros pranešimų teikimo platformos sukūrimu, technine priežiūra ir saugiu eksploatavimu, įskaitant bent saugumo priemones, susijusias su bendros pranešimų teikimo platformos sukūrimu, eksploatavimu ir technine priežiūra, ir elektroninio pranešimo galinių įrenginių, kuriuos nustatė koordinatorėmis paskirtos CSIRT nacionaliniu lygmeniu, o Sąjungos lygmeniu – ENISA, specifikacijas, įskaitant procedūrinius aspektus, siekiant užtikrinti, kad tais atvejais, kai pažeidžiamumo, apie kurį pranešta, atžvilgiu nėra priimta jokių taisomųjų ar poveikio mažinimo priemonių, informacija apie tą pažeidžiamumą būtų dalijamasi laikantis griežtų saugumo protokolų ir remiantis būtinybės žinoti principu.
16 straipsnis 6.
Jei koordinatore paskirtai CSIRT, vykdant koordinuoto pažeidžiamumų atskleidimo procedūrą, nurodytą Direktyvos (ES) 2022/2555 12 straipsnio 1 dalyje, buvo pranešta apie aktyviai išnaudojamą pažeidžiamumą, koordinatore paskirta CSIRT, kuri pirmoji gavo pranešimą, gali atidėti atitinkamo pranešimo platinimą per bendrą pranešimų teikimo platformą remdamasi pagrįstomis su kibernetiniu saugumu susijusiomis priežastimis ne ilgesniam nei griežtai būtina laikotarpiui iki tol, kol susijusios koordinuoto pažeidžiamumų atskleidimo šalys duos sutikimą atskleisti informaciją. Tuo reikalavimu neužkertamas kelias gamintojams savanoriškai pranešti apie tokį pažeidžiamumą šiame straipsnyje nustatyta tvarka.

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję standartai

Standartai