Artigo 17.o Prestadores de serviços de segurança geridos de confiança

Assegurar que os serviços incluídos na Reserva de Cibersegurança da UE, no seu conjunto, sejam de molde a permitir que a Reserva de Cibersegurança da UE inclua serviços que podem ser disponibilizados em todos os Estados-Membros, tendo em conta, em especial, os requisitos nacionais para a prestação desses serviços, incluindo os relativos às línguas, à certificação ou à acreditação;

Assegurar a proteção dos interesses essenciais de segurança da União e dos seus Estados-Membros;

Assegurar que a Reserva de Cibersegurança da UE proporciona à União valor acrescentado, contribuindo para a consecução dos objetivos determinados no artigo 3.o do Regulamento (UE) 2021/694, incluindo a promoção do desenvolvimento de competências em matéria de cibersegurança na União.

O prestador deve demonstrar que o seu pessoal possui o mais elevado grau de integridade profissional, independência, responsabilidade e a competência técnica necessária para realizar as atividades no seu domínio específico, e assegura a permanência e continuidade dos conhecimentos especializados, bem como os recursos técnicos necessários;

O prestador e quaisquer filiais e subcontratantes relevantes devem cumprir as regras aplicáveis em matéria de proteção das informações classificadas e devem dispor de medidas adequadas, incluindo, se for caso disso, acordos entre si, para proteger as informações confidenciais relacionadas com o serviço e, em especial, elementos de prova, conclusões e relatórios;

O prestador deve apresentar provas suficientes de que a sua estrutura de governação é transparente, não suscetível de comprometer a sua imparcialidade e a qualidade dos seus serviços ou de causar conflitos de interesses;

O prestador deve dispor de uma credenciação de segurança adequada, pelo menos para o pessoal destinado à disponibilização dos serviços, quando tal seja exigido pelo Estado-Membro;

O prestador deve ter o nível de segurança pertinente para os seus sistemas informáticos;

O prestador deve estar equipado com o hardware e o software necessários para apoiar o serviço solicitado, que não devem conter vulnerabilidades conhecidas que possam ser exploradas, devem ter as últimas atualizações de segurança e, em qualquer caso, devem cumprir todas as disposições aplicáveis do Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho ( 2 );

O prestador deve ser capaz de demonstrar que possui experiência na prestação de serviços semelhantes às autoridades nacionais competentes, às entidades que operam em sectores de importância crítica ou às entidades que operam noutros sectores críticos;

O prestador deve ser capaz de prestar o serviço num curto espaço de tempo nos Estados-Membros onde pode prestar o serviço;

O prestador deve poder prestar o serviço numa ou mais línguas oficiais das instituições da União ou de um Estado-Membro, conforme exigido, se for caso disso, pelos Estados-Membros ou pelos utilizadores referidos no artigo 14.o, n.o 3, alíneas b) e c), onde o prestador pode prestar o serviço;

Quando estiver em vigor um sistema europeu de certificação da cibersegurança para os serviços de segurança geridos nos termos do Regulamento (UE) 2019/881, o prestador deve obter certificação em conformidade com esse sistema, no prazo de dois anos a contar da entrada de aplicação do sistema;

O prestador de serviços deve incluir no concurso as condições de conversão para qualquer serviço de resposta a incidentes não utilizado que possa ser convertido em serviços de preparação estreitamente relacionados com a resposta a incidentes, como exercícios ou ações de formação.