Artykuł 17 Zaufani dostawcy usług zarządzanych w zakresie bezpieczeństwa

zapewnienie, aby usługi w ramach rezerwy cyberbezpieczeństwa UE, traktowane jako całość, obejmowały usługi, które mogą być wprowadzone we wszystkich państwach członkowskich, z uwzględnieniem w szczególności krajowych wymogów dotyczących świadczenia takich usług, w tym języków, certyfikacji lub akredytacji;

zapewnienie ochrony podstawowych interesów Unii i jej państw członkowskich w zakresie bezpieczeństwa;

zapewnienie, aby rezerwa cyberbezpieczeństwa UE wnosiła unijną wartość dodaną poprzez wkład w osiągnięcie celów określonych w art. 3 rozporządzenia (UE) 2021/694, w tym promowanie rozwoju umiejętności w dziedzinie cyberbezpieczeństwa w Unii.

dostawca musi wykazać, że jego personel charakteryzuje się najwyższym stopniem uczciwości zawodowej, niezależności, odpowiedzialności i kompetencji technicznych niezbędnych do wykonywania działań w danej dziedzinie oraz zapewnia trwałość i ciągłość wiedzy fachowej, a także wymagane zasoby techniczne;

dostawca oraz wszelkie odpowiednie jednostki zależne i podwykonawcy muszą przestrzegać mających zastosowanie przepisów dotyczących ochrony informacji niejawnych oraz dysponować odpowiednimi środkami, w tym, w stosownych przypadkach, wzajemnymi umowami, w celu ochrony informacji poufnych dotyczących usług, a w szczególności dowodów, ustaleń i sprawozdań;

dostawca musi dostarczyć wystarczające dowody na to, że jego struktura zarządzania jest przejrzysta, nie zagraża jego bezstronności i jakości świadczonych przez niego usług ani nie powoduje konfliktów interesów;

dostawca musi posiadać odpowiednie poświadczenie bezpieczeństwa, przynajmniej w odniesieniu do personelu mającego wprowadzać usługi, jeżeli wymaga tego państwo członkowskie;

dostawca musi dysponować odpowiednim poziomem bezpieczeństwa swoich systemów informatycznych;

dostawca musi być wyposażony w sprzęt i oprogramowanie niezbędne do obsługi żądanej usługi, które nie zawiera znanych możliwych do wykorzystania podatności, obejmuje najnowsze aktualizacje zabezpieczeń i w każdym przypadku jest zgodne z wszelkimi mającymi zastosowanie przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847 ( 2 );

dostawca musi być w stanie wykazać, że ma doświadczenie w świadczeniu podobnych usług odpowiednim organom krajowym lub podmiotom działającym w sektorach kluczowych lub podmiotom działającym w innych sektorach krytycznych;

dostawca musi być w stanie zapewnić usługę w krótkim terminie w państwach członkowskich, w których może świadczyć tę usługę;

dostawca musi być w stanie zapewnić usługę w co najmniej jednym języku urzędowym instytucji Unii lub państwa członkowskiego, zgodnie z wszelkimi wymogami państw członkowskich lub użytkowników, o których mowa w art. 14 ust. 3 lit. b) i c), w których dostawca może świadczyć tę usługę;

po wprowadzeniu europejskiego programu certyfikacji cyberbezpieczeństwa usług zarządzanych w zakresie bezpieczeństwa zgodnie z rozporządzeniem (UE) 2019/881 dostawca musi być certyfikowany zgodnie z tym programem w okresie 2 lat od dnia rozpoczęcia stosowania programu;

dostawca musi uwzględniać w ofercie przetargowej warunki przekształcenia wszelkich niewykorzystanych usług reagowania na incydenty, które mogłyby zostać przekształcone w usługi w zakresie gotowości ściśle związane z reagowaniem na incydenty, takie jak ćwiczenia lub szkolenia.