REGOLAMENT TA’ IMPLIMENTAZZJONI TAL-KUMMISSJONI (UE) 2024/2690 tas-17 ta’ Ottubru 2024 li jistabbilixxi regoli għall-applikazzjoni tad-Direttiva (UE) 2022/2555 fir-rigward tar-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà u speċifikazzjoni ulterjuri tal-każijiet meta inċident jitqies sinifikanti fir-rigward tal-fornituri tas-servizzi DNS, ir-reġistri tal-ismijiet tad-dominji tal-ogħla livell, il-fornituri tas-servizzi tal-cloud computing, il-fornituri tas-servizzi taċ-ċentri tad- data , il-fornituri tan-networks tat-twassil tal-kontenut, il-fornituri tas-servizzi ġestiti, il-fornituri tas-servizzi tas-sigurtà ġestiti, il-fornituri tas-swieq online, tal-magni tat-tiftix online u tal-pjattaformi tas-servizzi tan-networking soċjali, u l-fornituri tas-servizzi fiduċjarji (Test b’rilevanza għaż-ŻEE)

(1)

Fir-rigward tal-fornituri tas-servizzi DNS, ir-reġistri tal-ismijiet tad-dominji tal-ogħla livell, il-fornituri tas-servizzi tal-cloud computing, il-fornituri tas-servizzi taċ-ċentri tad-data, il-fornituri tan-networks tat-twassil tal-kontenut, il-fornituri tas-servizzi ġestiti, il-fornituri tas-servizzi tas-sigurtà ġestiti, il-fornituri tas-swieq online, tal-magni tat-tiftix online u tal-pjattaformi tas-servizzi tan-networking soċjali, u l-fornituri tas-servizzi fiduċjarji kif koperti bl-Artikolu 3 tad-Direttiva (UE) 2022/2555 (l-entitajiet rilevanti), dan ir-Regolament għandu l-għan li jistabbilixxi r-rekwiżiti tekniċi u metodoloġiċi tal-miżuri msemmija fl-Artikolu 21(2) tad-Direttiva (UE) 2022/2555 u li jispeċifika aktar il-każijiet meta inċident jenħtieġ li jitqies sinifikanti kif imsemmi fl-Artikolu 23(3) tad-Direttiva (UE) 2022/2555.

(2)

Filwaqt li titqies in-natura transfruntiera tal-attivitajiet tagħhom u biex ikun żgurat qafas koerenti għall-fornituri tas-servizzi fiduċjarji, dan ir-Regolament jenħtieġ li, fir-rigward tal-fornituri tas-servizzi fiduċjarji, jispeċifika aktar il-każijiet meta inċident jenħtieġ li jitqies sinifikanti, apparti li jistabbilixxi r-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà.

(3)

Skont l-Artikolu 21(5), it-tielet subparagrafu tad-Direttiva (UE) 2022/2555, ir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament huma bbażati fuq standards Ewropej u internazzjonali, bħall-ISO/IEC 27001, l-ISO/IEC 27002 u l-ETSI EN 319401, u speċifikazzjonijiet tekniċi, bħas-CEN/TS 18026:2024, rilevanti għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni.

(4)

Fir-rigward tal-implimentazzjoni u l-applikazzjoni tar-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament, bi qbil mal-prinċipju tal-proporzjonalità, jenħtieġ li titqies kif xieraq l-esponiment diverġenti għar-riskju tal-entitajiet rilevanti, bħall-kritikalità tal-entità rilevanti, ir-riskji li tkun esposta għalihom, id-daqs u l-istruttura tal-entità rilevanti, u l-probabbiltà li jseħħu inċidenti u s-severità tagħhom, inkluż l-impatt fuq is-soċjetà u l-ekonomija tagħhom, meta jikkonformaw mar-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament.

(5)

Bi qbil mal-prinċipju tal-proporzjonalità, meta l-entitajiet rilevanti ma jkunux jistgħu jimplimentaw uħud mir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà minħabba d-daqs tagħhom, dawk l-entitajiet jenħtieġ li jkunu jistgħu jieħdu miżuri oħra li jikkumpensaw u li jkunu xierqa biex jintlaħaq l-għan ta’ dawk ir-rekwiżiti. Pereżempju, meta jiġu definiti r-rwoli, ir-responsabbiltajiet u l-awtoritajiet għas-sigurtà tan-network u tas-sistema tal-informazzjoni fi ħdan l-entità rilevanti, l-entitajiet mikro jaf isibuha diffiċli biex jisseparaw id-doveri kunfliġġenti u l-oqsma tar-responsabbiltà kunfliġġenti. Dawn l-entitajiet jenħtieġ li jkunu jistgħu jikkunsidraw miżuri li jikkumpensaw, bħal sorveljanza mmirata mid-diriġenti tal-entità jew aktar monitoraġġ u rendikonti.

(6)

Ċerti rekwiżiti tekniċi u metodoloġiċi stabbiliti fl-Anness ta’ dan ir-Regolament jenħtieġ li jiġu applikati mill-entitajiet rilevanti meta xieraq, meta applikabbli, jew sa fejn ikun fattibbli. Meta entità rilevanti jidhirilha li ma jkunx xieraq, mhux applikabbli jew mhux fattibbli li l-entità rilevanti tapplika ċerti rekwiżiti tekniċi u metodoloġiċi kif previst fl-Anness għal dan ir-Regolament, l-entità rilevanti jenħtieġ li tiddokumenta b’mod komprensibbli r-raġunament tagħha għal dak il-għan. L-awtoritajiet nazzjonali kompetenti jistgħu, meta jeżerċitaw is-superviżjoni, iqisu ż-żmien xieraq meħtieġ biex l-entitajiet rilevanti jimplimentaw ir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà.

(7)

L-ENISA jew l-awtoritajiet kompetenti nazzjonali jistgħu jipprovdu gwida skont id-Direttiva (UE) 2022/2555 biex jappoġġaw lill-entitajiet rilevanti fl-identifikazzjoni, l-analiżi u l-valutazzjoni tar-riskji għall-fini tal-implimentazzjoni tar-rekwiżiti tekniċi u metodoloġiċi relatati mal-istabbiliment u t-tħaddim ta’ qafas xieraq għall-ġestjoni tar-riskji. Din il-gwida tista’ tinkludi, b’mod partikolari, valutazzjonijiet tar-riskji nazzjonali u settorjali kif ukoll valutazzjonijiet tar-riskji speċifiċi għal ċertu tip ta’ entità. Il-gwida tista’ tinkludi wkoll għodod jew mudelli għall-iżvilupp ta’ qafas tal-ġestjoni tar-riskji fil-livell tal-entitajiet rilevanti. Oqfsa, gwida jew mekkaniżmi oħra previsti fil-liġi nazzjonali tal-Istati Membri, kif ukoll standards Ewropej u internazzjonali rilevanti, jistgħu jappoġġaw ukoll lill-entitajiet rilevanti biex juru l-konformità ma’ dan ir-Regolament. Barra minn hekk, l-ENISA jew l-awtoritajiet kompetenti nazzjonali skont id-Direttiva (UE) 2022/2555 jistgħu jappoġġaw lill-entitajiet rilevanti fl-identifikazzjoni u fl-implimentazzjoni ta’ soluzzjonijiet xierqa li jindirizzaw ir-riskji identifikati f’dawn il-valutazzjonijiet tar-riskju. Din il-gwida jenħtieġ li tkun mingħajr preġudizzju għall-obbligu tal-entitajiet rilevanti li jidentifikaw u jiddokumentaw ir-riskji għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni, u għall-obbligu tal-entitajiet rilevanti li jimplimentaw ir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament skont il-ħtiġijiet u r-riżorsi tagħhom.

(8)

Miżuri tas-sigurtà tan-network fir-rigward ta’: (i) it-tranżizzjoni lejn protokolli tal-komunikazzjoni tas-saff tan-network tal-aħħar ġenerazzjoni, (ii) l-implimentazzjoni ta’ standards moderni interoperabbli u miftiehma b’mod internazzjonali għall-komunikazzjoni bl-email, u (iii) it-twettiq tal-aqwa prattiki għas-sigurtà tad-DNS, u għas-sigurtà tar-routing tal-Internet u l-iġjene tar-routing jinvolvu sfidi speċifiċi għall-identifikazzjoni tal-awqa standards u tekniki tal-varar disponibbli. Biex jinkiseb livell għoli komuni taċ-ċibersigurtà fin-networks kollha malajr kemm jista’ jkun, il-Kummissjoni, bl-għajnuna tal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) u b’kollaborazzjoni mal-awtoritajiet kompetenti, l-industrija – inkluż l-industrija tat-telekomunikazzjoni – u partijiet ikkonċernati oħra, jenħtieġ li tappoġġa l-iżvilupp ta’ forum għad-diversi partijiet ikkonċernati maħsub biex jidentifika dawn l-aqwa standards u tekniki tal-varar disponibbli. Din il-gwida b’diversi partijiet ikkonċernati jenħtieġ li tkun mingħajr preġudizzju għall-obbligu tal-entitajiet rilevanti li jimplimentaw ir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament.

(9)

Skont l-Artikolu 21(2), il-punt (a), tad-Direttiva (UE) 2022/2555, l-entitajiet essenzjali u importanti jenħtieġ li, minbarra l-politiki dwar l-analiżi tar-riskju, ikollhom politiki dwar is-sigurtà tas-sistema tal-informazzjoni. Għal dak il-għan, l-entitajiet rilevanti jenħtieġ li jistabbilixxu politika dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni kif ukoll politiki speċifiċi skont is-suġġett, bħal politiki dwar il-kontroll tal-aċċess, li jenħtieġ li jkunu koerenti mal-politika dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni. Il-politika dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni jenħtieġ li tkun id-dokument tal-ogħla livell li jistabbilixxi l-approċċ ġenerali tal-entitajiet rilevanti għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni tagħhom u jenħtieġ li jkollha l-approvazzjoni tal-korpi maniġerjali tal-entitajiet rilevanti. Jenħtieġ li l-politiki speċifiċi għas-suġġett jiġu approvati minn livell maniġerjali xieraq. Jenħtieġ li l-politika tistabbilixxi indikaturi u miżuri biex timmonitorja l-implimentazzjoni tagħha u l-istatus attwali tal-livell tal-maturità tas-sigurtà tan-networks u tal-informazzjoni tal-entitajiet rilevanti, b’mod partikolari biex tiffaċilita s-sorveljanza tal-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà permezz tal-korpi maniġerjali.

(10)

Għall-finijiet tar-rekwiżiti tekniċi u metodoloġiċi stabbiliti fl-Anness ta’ dan ir-Regolament, it-terminu “utent” jenħtieġ li jinkludi lill-persuni ġuridiċi u fiżiċi kollha li jkollhom aċċess għan-network u għas-sistemi tal-informazzjoni tal-entità.

(11)

Biex ikunu identifikati u indirizzati r-riskji għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni, l-entitajiet rilevanti jenħtieġ li jistabbilixxu u jħaddmu qafas xieraq tal-ġestjoni tar-riskji. Bħala parti mill-qafas tal-ġestjoni tar-riskji, l-entitajiet rilevanti jenħtieġ li jistabbilixxu, jimplimentaw u jimmonitorjaw pjan tat-trattament tar-riskji. L-entitajiet rilevanti jistgħu jużaw il-pjan tat-trattament tar-riskji biex jidentifikaw u jipprijoritizzaw l-alternattivi u l-miżuri tat-trattament tar-riskji. L-alternattivi għat-trattament tar-riskji jinkludu, b’mod partikolari, l-evitar, it-tnaqqis jew, f’każijiet eċċezzjonali, l-aċċettazzjoni tar-riskju. L-għażla tal-alternattivi tat-trattament tar-riskji jenħtieġ li tqis ir-riżultati tal-valutazzjoni tar-riskju mwettqa mill-entità rilevanti, u tkun konformi mal-politika tal-entità rilevanti dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni. Biex jagħtu effett lill-alternattivi tat-trattament tar-riskji magħżula, l-entitajiet rilevanti jenħtieġ li jieħdu l-miżuri xierqa tat-trattament tar-riskji.

(12)

Biex jaqbdu avvenimenti, kważi aċċidenti u inċidenti, l-entitajiet rilevanti jenħtieġ li jimmonitorjaw in-network u s-sistemi tal-informazzjoni tagħhom u jenħtieġ li jieħdu azzjonijiet biex jevalwaw l-avvenimenti, il-kważi aċċidenti u l-inċidenti. Dawk il-miżuri jenħtieġ li jkunu kapaċi jippermettu d-detezzjoni fil-ħin ta’ attakki fuq in-network minn xejriet anomali fit-traffiku ’l barra u ’l ġewwa u ta’ attakki li jwaqqfu s-servizz.

(13)

Meta l-entitajiet rilevanti jwettqu valutazzjoni tal-impatt fuq in-negozju, dawn huma mħeġġa jwettqu analiżi komprensiva li tistabbilixxi, kif xieraq, perjodu massimu tollerabbli ta’ qtugħ, objettivi tal-ħin tal-irkupru, objettivi tal-punt tal-irkupru u objettivi tal-għoti tas-servizz.

(14)

Biex itaffu r-riskji maħluqa mill-katina tal-provvista ta’ dik l-entità rilevanti u r-relazzjoni tagħha mal-fornituri tagħha, l-entitajiet rilevanti jenħtieġ li jistabbilixxu politika tas-sigurtà tal-katina tal-provvista li tirregola r-relazzjonijiet tagħhom mal-fornituri diretti u mal-fornituri tas-servizzi tagħhom. Fil-kuntratti mal-fornituri diretti jew mal-fornituri tas-servizzi tagħhom, dawn l-entitajiet jenħtieġ li jispeċifikaw klawżoli tas-sigurtà xierqa, pereżempju billi, meta xieraq, jeżiġu miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà skont l-Artikolu 21(2) tad-Direttiva (UE) 2022/2555 jew rekwiżiti legali simili oħra.

(15)

L-entitajiet rilevanti jenħtieġ li jwettqu testijiet tas-sigurtà regolari abbażi ta’ politika u proċeduri apposta biex jivverifikaw li l-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà huma implimentati u jaħdmu sew. It-testijiet tas-sigurtà jistgħu jsiru fuq networks u sistemi tal-informazzjoni speċifiċi jew fuq l-entità rilevanti kollha kemm hi u jistgħu jinkludu testijiet awtomatizzati jew manwali, testijiet tal-penetrazzjoni, skennjar għall-vulnerabbiltajiet, testijiet tas-sigurtà tal-applikazzjoni statika u dinamika, testijiet tal-konfigurazzjoni jew awditjar tas-sigurtà. L-entitajiet rilevanti jistgħu jagħmlu testijiet tas-sigurtà fuq in-network u s-sistemi tal-informazzjoni tagħhom meta jiġu stabbiliti, wara aġġornamenti jew modifiki fl-infrastruttura jew fl-applikazzjoni meqjusa sinifikanti, jew wara xi manutenzjoni. Is-sejbiet tat-testijiet tas-sigurtà jenħtieġ li jinfurmaw il-politiki u l-proċeduri tal-entitajiet rilevanti biex tiġi vvalutata l-effettività tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà, kif ukoll rieżamijiet indipendenti tal-politiki tagħhom dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni.

(16)

Biex jiġu evitati tfixkil u ħsara sinifikanti kkawżati mill-isfruttament tal-vulnerabbiltajiet mhux imsewwija fin-networks u fis-sistemi tal-informazzjoni, l-entitajiet rilevanti jenħtieġ li jistabbilixxu u japplikaw proċeduri xierqa tal-ġestjoni tal-patches tas-sigurtà li jkunu allinjati mal-proċeduri tal-ġestjoni tal-bidla, tal-ġestjoni tal-vulnerabbiltajiet, tal-ġestjoni tar-riskji u ta’ proċeduri rilevanti oħra tal-entitajiet rilevanti. L-entitajiet rilevanti jenħtieġ li jieħdu miżuri proporzjonati mar-riżorsi tagħhom biex jiżguraw li l-patches tas-sigurtà ma jintroduċux vulnerabbiltajiet jew instabbiltajiet addizzjonali. F’każ ta’ inaċċessibbiltà ppjanata għas-servizz ikkawżata bl-applikazzjoni ta’ patches tas-sigurtà, l-entitajiet rilevanti huma mħeġġa jinfurmaw kif xieraq lill-klijenti bil-quddiem.

(17)

L-entitajiet rilevanti jenħtieġ li jimmaniġġjaw ir-riskji maħluqa mill-akkwist ta’ prodotti tal-ICT jew servizzi tal-ICT mingħand fornituri jew fornituri tas-servizzi, u jenħtieġ li jiksbu assigurazzjoni li l-prodotti tal-ICT jew is-servizzi tal-ICT li jkunu se jiksbu jilħqu ċerti livelli ta’ protezzjoni taċ-ċibersigurtà, pereżempju jkollhom ċertifikati Ewropej taċ-ċibersigurtà u dikjarazzjonijiet tal-konformità tal-UE għall-prodotti tal-ICT jew għas-servizzi tal-ICT maħruġa skont skema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà adottata skont l-Artikolu 49 tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill (2). Meta l-entitajiet rilevanti jistabbilixxu rekwiżiti tas-sigurtà li japplikaw għall-prodotti tal-ICT li jkunu se jiksbu, dawn jenħtieġ li jqisu r-rekwiżiti essenzjali taċ-ċibersigurtà stabbiliti f’regolament tal-Parlament Ewropew u tal-Kunsill dwar rekwiżiti taċ-ċibersigurtà orizzontali għall-prodotti b’elementi diġitali.

(18)

Biex jitħarsu mit-theddid ċibernetiku u jappoġġaw il-prevenzjoni u t-trażżin ta’ xi ksur tad-data, l-entitajiet rilevanti jenħtieġ li jimplimentaw soluzzjonijiet għas-sigurtà tan-network. Is-soluzzjonijiet tipiċi għas-sigurtà tan-network jinkludu l-użu ta’ firewalls li jipproteġu n-networks interni tal-entitajiet rilevanti, il-limitazzjoni tal-konnessjonijiet u l-aċċess għas-servizzi li assolutament jeħtieġu konnessjonijiet u aċċess, u l-użu ta’ networks privati virtwali għal aċċess remot, u li l-konnessjonijiet tal-fornituri tas-servizzi jitħallew isiru biss wara talba għal awtorizzazzjoni u għal perjodu taż-żmien stabbilit bħal pereżempju sakemm tkun għaddejja operazzjoni tal-manutenzjoni.

(19)

Biex in-networks tal-entitajiet rilevanti u s-sistemi tal-informazzjoni tagħhom jitħarsu minn software malizzjuż u mhux awtorizzat, dawk l-entitajiet jenħtieġ li jimplimentaw kontrolli li jipprevjenu jew jidentifikaw l-użu ta’ software mhux awtorizzat u meta xieraq, jenħtieġ li jużaw software tad-detezzjoni u tar-rispons. L-entitajiet rilevanti jenħtieġ li jikkunsidraw ukoll miżuri tal-implimentazzjoni biex jċekknu kemm jista’ jkun il-wiċċ tal-attakki, inaqqsu l-vulnerabbiltajiet li jistgħu jiġu sfruttati mill-attakkanti, jikkontrollaw l-eżekuzzjoni ta’ applikazzjonijiet fuq il-punti finali, u jużaw filtri tal-email u tal-applikazzjonijiet tal-Internet biex inaqqsu l-esponiment għall-kontenut malizzjuż.

(20)

Skont l-Artikolu 21(2), il-punt (g), tad-Direttiva (UE) 2022/2555, l-Istati Membri huma obbligati jiżguraw li l-entitajiet essenzjali u importanti japplikaw prattiki bażiċi tal-iġjene ċibernetika u taħriġ dwar iċ-ċibersigurtà. Il-prattiki bażiċi tal-iġjene ċibernetika jistgħu jinkludu prinċipji ta’ fiduċja żero, aġġornamenti tas-software, konfigurazzjoni tal-apparati, segmentazzjoni tan-network, ġestjoni tal-identità u tal-aċċess, jew tixrid tal-għarfien fost l-utenti, jorganizzaw taħriġ għall-persunal tagħhom u jipprovdu tagħrif fuq it-theddid ċibernetiku, il-phishing jew it-tekniki tas-social engineering. Il-prattiki tal-iġjene ċibernetika huma parti minn rekwiżiti tekniċi u metodoloġiċi differenti tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti fl-Anness ta’ dan ir-Regolament. Fir-rigward tal-prattiki bażiċi tal-iġjene ċibernetika għall-utenti, l-entitajiet rilevanti jenħtieġ li jikkunsidraw prattiki bħal politiki ta’ desk u skrin vojta, l-użu ta’ multifatturi u mezzi oħra tal-awtentikazzjoni, l-użu sikur tal-emails u tal-ibbrawżjar fuq l-Internet, il-protezzjoni mill-phishing u mis-social engineering, prattiki siguri tax-xogħol remot.

(21)

Biex ikun evitat l-aċċess mhux awtorizzat għall-assi tal-entitajiet rilevanti, l-entitajiet rilevanti jenħtieġ li jistabbilixxu u jimplimentaw politika speċifika skont is-suġġett li tkun tindirizza l-aċċess minn persuni u minn networks u sistemi tal-informazzjoni, bħall-applikazzjonijiet.

(22)

Biex ikun evitat li l-impjegati jkunu jistgħu jużaw ħażin, pereżempju, id-drittijiet tal-aċċess fl-entità rilevanti biex jagħmlu ħsara u jikkawżaw danni, l-entitajiet rilevanti jenħtieġ li jikkunsidraw miżuri adegwati tal-ġestjoni tas-sigurtà tal-impjegati u jxerrdu tagħrif fost il-persunal dwar dawn ir-riskji. L-entitajiet rilevanti jenħtieġ li jistabbilixxu, jikkomunikaw u jħaddmu proċess dixxiplinari għat-trattament tal-ksur tal-politiki tas-sigurtà tan-networks u tas-sistemi tal-informazzjoni tal-entitajiet rilevanti, li jistgħu jiġu inkorporati fi proċessi dixxiplinari oħra stabbiliti mill-entitajiet rilevanti. Il-verifika tal-isfondi personali mwettqa għall-impjegati u meta applikabbli l-fornituri u l-fornituri tas-servizzi diretti tal-entitajiet rilevanti jenħtieġ li jikkontribwixxu għall-għan tas-sigurtà tar-riżorsi umani fl-entitajiet rilevanti, u jistgħu jinkludu miżuri bħal verifiki tar-rekord kriminali tal-persuna jew ta’ doveri professjonali tal-passat, kif xieraq skont id-doveri tal-persuna fl-entità rilevanti u skont il-politika tal-entità rilevanti dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni.

(23)

L-awtentikazzjoni b’diversi fatturi tista’ ttejjeb iċ-ċibersigurtà tal-entitajiet u jenħtieġ li titqies mill-entitajiet b’mod partikolari meta l-utenti jaċċessaw in-networks u s-sistemi tal-informazzjoni minn postijiet remoti, jew meta jaċċessaw informazzjoni sensittiva jew kontijiet privileġġati u kontijiet tal-amministrazzjoni tas-sistema. L-awtentikazzjoni b’diversi fatturi tista’ tiġi kkombinata ma’ tekniki oħra li jkunu jeħtieġu fatturi addizzjonali f’ċirkostanzi speċifiċi, abbażi ta’ regoli u xejriet definiti minn qabel, bħall-aċċess minn post mhux tas-soltu, minn apparat mhux tas-soltu jew f’ħin mhux tas-soltu.

(24)

L-entitajiet rilevanti jenħtieġ li jimmaniġġjaw u jipproteġu l-assi ta’ valur permezz ta’ ġestjoni tajba tal-assi li jenħtieġ li sservi wkoll bħala l-bażi għall-analiżi tar-riskji u għall-ġestjoni tal-kontinwità tal-operat. L-entitajiet rilevanti jenħtieġ li jimmaniġġjaw l-assi tanġibbli u intanġibbli, u jenħtieġ li joħolqu inventarju tal-assi, jassoċjaw l-assi b’livell definit ta’ klassifikazzjoni, jimmaniġġjaw u jżommu rendikonti tal-assi, u jieħdu passi biex jipproteġu l-assi tul iċ-ċiklu tal-ħajja tagħhom.

(25)

Il-ġestjoni tal-assi jenħtieġ li tinvolvi l-klassifikazzjoni tal-assi skont it-tip, is-sensittività, il-livell tar-riskju, u r-rekwiżiti tas-sigurtà tagħhom, u l-applikazzjoni ta’ miżuri u kontrolli xierqa biex ikunu żgurati d-disponibbiltà, l-integrità, il-kunfidenzjalità, u l-awtentiċità tagħhom. Billi jikklassifikaw l-assi skont il-livell tar-riskju, l-entitajiet rilevanti jenħtieġ li jkunu jistgħu japplikaw miżuri u kontrolli tas-sigurtà xierqa biex jipproteġu l-assi, fosthom il-kriptaġġ, il-kontroll tal-aċċess inkluż kontroll tal-aċċess fiżiku u loġiku u tal-perimetru, backups, rendikonti u monitoraġġ, żamma u disponiment. Meta jwettqu valutazzjoni tal-impatt fuq in-negozju, l-entitajiet rilevanti jistgħu jiddeterminaw il-livell tal-klassifikazzjoni abbażi tal-konsegwenzi tat-tfixkil tal-assi għall-entitajiet. L-impjegati kollha tal-entitajiet li jimmaniġġjaw l-assi jenħtieġ li jkunu midħla tal-politiki u tal-istruzzjonijiet tal-immaniġġjar tal-assi.

(26)

Il-granularità tal-inventarju tal-assi jenħtieġ li tkun xierqa għall-ħtiġijiet tal-entitajiet rilevanti. Inventarju komprensiv tal-assi jista’ jinkludi, għal kull assi, mill-inqas identifikatur uniku, is-sid tal-assi, deskrizzjoni tal-assi, il-post tal-assi, it-tip tal-assi, it-tip u l-klassifikazzjoni tal-informazzjoni pproċessata fl-assi, id-data tal-aħħar aġġornament jew patch tal-assi, il-klassifikazzjoni tal-assi f’valutazzjoni tar-riskju, u t-tmiem tal-ħajja tal-assi. Meta jidentifikaw is-sid ta’ assi, l-entitajiet rilevanti jenħtieġ li jidentifikaw ukoll il-persuna responsabbli għall-protezzjoni tal-assi msemmi.

(27)

L-allokazzjoni u l-organizzazzjoni tar-rwoli, ir-responsabbiltajiet u l-awtoritajiet taċ-ċibersigurtà jenħtieġ li jistabbilixxu struttura konsistenti għall-governanza u l-implimentazzjoni taċ-ċibersigurtà fl-entitajiet rilevanti, u jenħtieġ li jiżguraw komunikazzjoni effettiva f’każ ta’ inċidenti. Meta jiddefinixxu u jassenjaw ir-responsabbiltajiet għal ċerti rwoli, l-entitajiet rilevanti jenħtieġ li jikkunsidraw rwoli bħal uffiċjal kap tas-sigurtà tal-informazzjoni, uffiċjal tas-sigurtà tal-informazzjoni, uffiċjal għall-ġestjoni tal-inċidenti, awditur, jew ekwivalenti komparabbli. L-entitajiet rilevanti jistgħu jassenjaw rwoli u responsabbiltajiet lil partijiet esterni, bħal fornituri terzi ta’ servizzi tal-ICT.

(28)

F’konformità mal-Artikolu 21(2) tad-Direttiva (UE) 2022/2555, il-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà jridu jkunu bbażati fuq approċċ li jkopri l-perikli kollha bil-għan li jipproteġi n-networks u s-sistemi tal-informazzjoni u l-ambjent fiżiku ta’ dawk is-sistemi minn avvenimenti bħal serq, nar, għargħar, ħsarat fit-telekomunikazzjoni jew fl-elettriku, jew aċċess fiżiku mhux awtorizzat u danni fl-informazzjoni u fil-faċilitajiet tal-ipproċessar tal-informazzjoni ta’ entità essenzjali jew importanti, u interferenzi magħhom, li jistgħu jikkompromettu d-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data maħżuna, trażmessa jew ipproċessata jew tas-servizzi offruti min-networks u s-sistemi tal-informazzjoni, jew li huma aċċessibbli permezz tagħhom. Għalhekk, ir-rekwiżiti tekniċi u metodoloġiċi tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà jenħtieġ li jindirizzaw ukoll is-sigurtà fiżika u ambjentali tan-networks u tas-sistemi tal-informazzjoni billi jinkludu miżuri ħalli dawn is-sistemi jitħarsu minn fallimenti fis-sistemi, żbalji umani, atti malizzjużi jew fenomeni naturali. Eżempji oħra ta’ theddid fiżiku u ambjentali jistgħu jinkludu t-terremoti, splużjonijiet, sabotaġġ, theddid minn ġewwa, inkwiet ċivili, skart tossiku, u emissjonijiet ambjentali. Il-prevenzjoni ta’ telf, il-ħsarat jew kompromess tan-networks u tas-sistemi tal-informazzjoni jew ta’ interruzzjonijiet fl-operat tagħhom minħabba l-falliment u t-tfixkil tal-utilitajiet ta’ appoġġ jenħtieġ li tgħin għall-għan tal-kontinwità tal-operat tal-entitajiet rilevanti. Barra minn hekk, il-protezzjoni mit-theddid fiżiku u ambjentali jenħtieġ li tikkontribwixxi għas-sigurtà tal-manutenzjoni tan-networks u tas-sistemi tal-informazzjoni fl-entitajiet rilevanti.

(29)

L-entitajiet rilevanti jenħtieġ li jfasslu u jimplimentaw miżuri tal-protezzjoni mit-theddid fiżiku u ambjentali u jiddeterminaw il-limiti minimi u massimi tal-kontroll għat-theddid fiżiku u ambjentali u jimmonitorjaw il-parametri ambjentali. Pereżempju, dawn jenħtieġ li jikkunsidraw li jinstallaw sistemi biex jidentifikaw fi stadju bikri l-għargħar f’żoni fejn ikunu jinsabu n-networks u s-sistemi tal-informazzjoni. Fir-rigward tal-periklu tan-nar, l-entitajiet rilevanti jenħtieġ li jikkunsidraw l-istabbiliment ta’ kompartiment separat tan-nar għaċ-ċentru tad-data, l-użu ta’ materjali reżistenti għan-nar, sensuri għall-monitoraġġ tat-temperatura u l-umdità, il-konnessjoni tal-bini ma’ sistema tal-allarm tan-nirien b’notifika awtomatizzata lid-dipartiment lokali tat-tifi tan-nar, u sistemi tad-detezzjoni bikrija u tat-tifi tan-nar. L-entitajiet rilevanti jenħtieġ li jwettqu regolarment ukoll taħriġ kontra n-nirien u spezzjonijiet rigward in-nirien. Barra minn hekk, biex jiżguraw il-provvista tal-enerġija, l-entitajiet rilevanti jenħtieġ li jikkunsidraw il-protezzjoni mill-vultaġġ żejjed u l-provvista tal-enerġija f’każ ta’ emerġenza korrispondenti, f’konformità mal-istandards rilevanti. Barra minn hekk, billi t-tisħin żejjed joħloq riskju għad-disponibbiltà tan-network u tas-sistemi tal-informazzjoni, l-entitajiet rilevanti, b’mod partikolari l-fornituri tas-servizzi taċ-ċentri tad-data, jistgħu jikkunsidraw sistemi tal-arja kundizzjonata adegwati, kontinwi u ridonanti.

(30)

Dan ir-Regolament għandu l-obbligu li jispeċifika f’aktar dettall il-każijiet meta inċident jenħtieġ li jitqies sinifikanti għall-fini tal-Artikolu 23(3) tad-Direttiva (UE) 2022/2555. Il-kriterji jenħtieġ li jkunu tali li l-entitajiet rilevanti jkunu jistgħu jivvalutaw jekk inċident hux sinifikanti, biex jinnotifikaw l-inċident f’konformità mad-Direttiva (UE) 2022/2555. Barra minn hekk, il-kriterji stabbiliti f’dan ir-Regolament jenħtieġ li jitqiesu eżawrjenti, mingħajr preġudizzju għall-Artikolu 5 tad-Direttiva (UE) 2022/2555. Dan ir-Regolament jispeċifika l-każijiet meta inċident jenħtieġ li jitqies sinifikanti billi jistabbilixxi każijiet orizzontali u każijiet speċifiċi skont it-tip ta’ entità.

(31)

Skont l-Artikolu 23(4) tad-Direttiva (UE) 2022/2555, l-entitajiet rilevanti jenħtieġ li jkunu mitluba jinnotifikaw l-inċidenti sinifikanti sal-iskadenzi stabbiliti minn dik id-dispożizzjoni. Dawk l-iskadenzi għan-notifika jibdew jiddekorru mill-mument meta l-entità ssir taf b’inċidenti sinifikanti bħal dawn. Għalhekk, l-entità rilevanti jeħtieġ tirrapporta l-inċidenti li, abbażi tal-valutazzjoni inizjali tagħha, jistgħu jikkawżaw tfixkil operazzjonali serju tas-servizzi jew telf finanzjarju għal dik l-entità jew jaffettwaw lil persuni fiżiċi jew ġuridiċi oħra billi jikkawżaw dannu materjali jew mhux materjali konsiderevoli. Għalhekk, meta entità rilevanti tkun identifikat avveniment suspettuż, jew wara li inċident potenzjali jkun inġieb għall-attenzjoni tagħha minn parti terza, bħal individwu, klijent, entità, awtorità, organizzazzjoni tal-midja, jew sors ieħor, l-entità rilevanti jenħtieġ li tivvaluta fil-ħin l-avveniment suspettuż biex tiddetermina jekk jikkostitwixxix inċident u, jekk iva, tiddetermina n-natura u s-severità tiegħu. Għalhekk, l-entità rilevanti trid titqies li saret “konxja” tal-inċident sinifikanti meta, wara din il-valutazzjoni inizjali, dik l-entità jkollha grad raġonevoli ta’ ċertezza li jkun seħħ inċident sinifikanti.

(32)

Biex jiġi stabbilit jekk inċident hux sinifikanti, meta rilevanti, l-entitajiet rilevanti jenħtieġ li jgħoddu l-għadd ta’ utenti affettwati mill-inċident, filwaqt li jqisu l-klijenti kummerċjali u finali li magħhom l-entitajiet rilevanti jkollhom relazzjoni kuntrattwali, u l-persuni fiżiċi u ġuridiċi assoċjati mal-klijenti kummerċjali. Meta entità rilevanti ma tkunx tista’ tikkalkula l-għadd ta’ utenti affettwati, għall-fini tal-kalkolu tal-għadd totali ta’ utenti affettwati mill-inċident jenħtieġ li titqies l-istima tal-entità rilevanti tal-għadd massimu possibbli tal-utenti affettwati. Il-portata ta’ inċident li jinvolvi servizz fiduċjarju jenħtieġ li mhux biss jiġi ddeterminat mill-għadd ta’ utenti iżda anki mill-għadd ta’ partijiet dipendenti, għax dawn jistgħu jiġu affettwati bl-istess mod minn inċident sinifikanti li jinvolvi servizz fiduċjarju fir-rigward ta’ tfixkil operazzjonali u danni materjali jew mhux materjali. Għalhekk, meta jkunu qed jistabbilixxu jekk inċident hux sinifikanti, il-fornituri tas-servizzi fiduċjarji jenħtieġ li, meta applikabbli, iqisu wkoll l-għadd ta’ partijiet dipendenti. Għal dak il-għan, il-partijiet dipendenti jenħtieġ li jinftiehmu bħala persuni fiżiċi jew ġuridiċi li jiddependu fuq servizz fiduċjarju.

(33)

L-operazzjonijiet tal-manutenzjoni li jillimitaw jew iwaqqfu d-disponibbiltà tas-servizzi jenħtieġ li ma jitqisux bħala inċidenti sinifikanti jekk id-disponibbiltà limitata jew in-nuqqas ta’ disponibbiltà tas-servizz isiru skont operazzjoni tal-manutenzjoni skedata. Barra minn hekk, meta servizz ma jkunx disponibbli minħabba xi interruzzjonijiet ippjanati, bħal interruzzjonijiet jew nuqqas ta’ disponibbiltà skont ftehim kuntrattwali determinat minn qabel, dan jenħtieġ li ma jitqiesx bħala inċident sinifikanti.

(34)

It-tul taż-żmien ta’ inċident li jħalli impatt fuq id-disponibbiltà ta’ servizz jenħtieġ li jitkejjel minn meta jitfixkel il-forniment xieraq ta’ dak is-servizz sal-mument tal-irkupru. Meta entità rilevanti ma tkunx tista’ tiddetermina l-mument meta beda t-tfixkil, it-tul tal-ħin tal-inċident jenħtieġ li jitkejjel mill-mument meta jkun ġie identifikat l-inċident, jew mill-mument meta l-inċident ikun ġie rreġistrat fil-logs tan-network jew tas-sistema jew f’sorsi oħra tad-data, skont liema jseħħ l-ewwel.

(35)

Meta il-waqfien totali ta’ servizz jenħtieġ li jitkejjel mill-mument meta s-servizz ma jkunx disponibbli għall-utenti, sal-mument meta l-attivitajiet jew l-operazzjonijiet regolari jerġgħu lura għal-livell tas-servizz ipprovdut qabel l-inċident. Meta entità rilevanti ma tkunx tista’ tiddetermina l-ħin meta beda l-waqfien totali ta’ servizz, dan jenħtieġ li jibda jitkejjel mill-mument meta jkun ġie identifikat minn dik l-entità.

(36)

Biex jiddeterminaw it-telf finanzjarju dirett minħabba inċident, l-entitajiet rilevanti jenħtieġ li jqisu t-telf finanzjarju kollu li jkunu ġarrbu minħabba l-inċident, bħal kostijiet għas-sostituzzjoni jew ir-rilokazzjoni ta’ software, hardware jew infrastruttura, il-kostijiet tal-persunal, inkluż il-kostijiet assoċjati mas-sostituzzjoni jew ir-rilokazzjoni tal-persunal, ir-reklutaġġ ta’ persunal addizzjonali, ir-remunerazzjoni għal sigħat supplimentari u għal irkupru ta’ ħiliet mitlufa jew nieqsa, it-tariffi minħabba xi nonkonformità mal-obbligi kuntrattwali, il-kostijiet għal rimedju u kumpens lill-klijenti, id-dħul mitluf, il-kostijiet assoċjati mal-komunikazzjoni interna u esterna, il-kostijiet għall-konsulenza, inkluż il-kostijiet assoċjati mal-konsulenza legali, servizzi forensiċi u s-servizzi ta’ rimedju, u kostijiet oħra assoċjati mal-inċident. Madankollu, il-multi amministrattivi, kif ukoll il-kostijiet meħtieġa għall-operat ta’ kuljum tan-negozju jenħtieġ li ma jitqisux bħala telf finanzjarju minħabba inċident, inkluż il-kostijiet għall-manutenzjoni ġenerali tal-infrastruttura, tat-tagħmir, tal-hardware u tas-software, l-aġġornamenti tal-ħiliet tal-persunal, il-kostijiet interni jew esterni għat-tisħiħ tan-negozju wara l-inċident, inkluż l-aġġornamenti, it-titjib u l-inizjattivi ta’ valutazzjoni tar-riskji, u l-primjums tal-assigurazzjoni. L-entitajiet rilevanti jenħtieġ li jikkalkulaw l-ammonti tat-telf finanzjarju abbażi tad-data disponibbli u, meta l-ammonti attwali tat-telf finanzjarju ma jkunux jistgħu jiġu ddeterminati, l-entitajiet jenħtieġ li jagħmlu stima ta’ dawk l-ammonti.

(37)

L-entitajiet rilevanti jenħtieġ li jkunu obbligati wkoll jirrappurtaw l-inċidenti li kkawżaw jew li kapaċi jikkawżaw il-mewt ta’ persuni fiżiċi jew dannu konsiderevoli għas-saħħa ta’ persuni fiżiċi, bħal pereżempju inċidenti jkunu każijiet partikolarment serji li jikkawżaw danni materjali jew mhux materjali konsiderevoli. Pereżempju, inċident li jaffettwa entità rilevanti jista’ jikkawża nuqqas ta’ disponibbiltà ta’ servizzi tal-kura tas-saħħa jew ta’ emerġenza, jew it-telf ta’ kunfidenzjalità jew integrità tad-data b’effett fuq is-saħħa ta’ persuni fiżiċi. Biex jiddeterminaw jekk inċident ikkawżax jew hux kapaċi jikkawża dannu konsiderevoli għas-saħħa ta’ persuna fiżika, l-entitajiet rilevanti jenħtieġ li jqisu jekk l-inċident ikkawżax jew hux kapaċi jikkawża korrimenti serji u problemi tas-saħħa. Għal dak il-għan, l-entitajiet rilevanti jenħtieġ li ma jkunux meħtieġa jiġbru informazzjoni addizzjonali li ma jkollhomx aċċess għaliha.

(38)

Id-disponibbiltà limitata jenħtieġ li titqies li tiġri b’mod partikolari meta servizz ipprovdut minn entità rilevanti jkun konsiderevolment aktar bil-mod mill-ħin tar-rispons medju, jew meta ma jkunux disponibbli l-funzjonalitajiet kollha tas-servizz. Meta possibbli, biex jiġi vvalutat id-dewmien fil-ħin tar-rispons, jenħtieġ li jintużaw kriterji oġġettivi bbażati fuq il-ħinijiet tar-rispons medji tas-servizzi pprovduti mill-entitajiet rilevanti. Funzjonalità ta’ servizz tista’ tkun, pereżempju, funzjonalità ta’ chat jew funzjonalità ta’ tiftix tal-immaġni.

(39)

Aċċess ta’ suċċess, bla dubju malizzjuż u mhux awtorizzat għan-network u s-sistemi tal-informazzjoni ta’ entità rilevanti jenħtieġ li jitqies inċident sinifikanti, meta dak l-aċċess ikun kapaċi jikkawża tfixkil operazzjonali serju. Pereżempju, meta attur ta’ theddid ċibernetiku jipprepożizzjona lilu nnifsu f’network u sistemi tal-informazzjoni ta’ entità rilevanti biex jikkawża tfixkil tas-servizzi fil-futur, l-inċident jenħtieġ li jitqies sinifikanti.

(40)

Inċidenti rikorrenti li jkunu marbuta bl-istess kawża ewlenija apparenti, li individwalment ma jissodisfawx il-kriterji ta’ inċident sinifikanti, jenħtieġ li kollettivament jitqiesu bħala inċident sinifikanti, diment li kollettivament ikunu jissodisfaw il-kriterju ta’ telf finanzjarju, u li jkunu ġraw mill-inqas darbtejn fi żmien sitt xhur. Inċidenti rikorrenti bħal dawn jistgħu jindikaw nuqqasijiet u dgħufijiet sinifikanti fil-proċeduri tal-ġestjoni tar-riskji taċ-ċibersigurtà tal-entità rilevanti u l-livell tal-maturità taċ-ċibersigurtà tagħhom. Barra minn hekk, dawn l-inċidenti rikorrenti jistgħu jikkawżaw telf finanzjarju sinifikanti għall-entità rilevanti.

(41)

Il-Kummissjoni skambjat pariri u kkooperat mal-Grupp ta’ Kooperazzjoni u mal-ENISA dwar l-abbozz tal-att ta’ implimentazzjoni, f’konformità mal-Artikoli 21(5) u 23(11) tad-Direttiva (UE) 2022/2555.

(42)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (3), u ta l-opinjoni tiegħu fl-1 ta’ Settembru 2024.

(43)

Il-miżuri previsti f’dan ir-Regolament huma f’konformità mal-opinjoni tal-kumitat stabbilit f’konformità mal-Artikolu 39 tad-Direttiva (UE) 2022/2555,