|
+Artigo 16.o 2. |
Artigo 16.o 2.Após receber uma notificação, a CSIRT designada como coordenadora que inicialmente recebeu a notificação deve divulgar, sem demora, a notificação através da plataforma única de comunicação de informações às CSIRT designadas como coordenadoras em cujo território o fabricante tenha indicado que o produto com elementos digitais foi disponibilizado. Em circunstâncias excecionais e especialmente a pedido do fabricante e tendo em conta o grau de sensibilidade das informações notificadas – tal como indicado pelo fabricante nos termos do artigo 14.o, n.o 2, alínea a), do presente regulamento –, a divulgação da notificação pode ser adiada com base em motivos fundamentados relacionados com a cibersegurança durante um período de tempo estritamente necessário, incluindo nos casos em que uma vulnerabilidade esteja sujeita a um procedimento de divulgação coordenada de vulnerabilidades a que se refere o artigo 12.o, n.o 1, da Diretiva (UE) 2022/2555. Caso uma CSIRT decida reter uma notificação, deve informar imediatamente a ENISA da decisão e apresentar uma justificação para a mesma, bem como indicar quando irá divulgar a notificação em conformidade com o procedimento de divulgação previsto no presente número. A ENISA pode apoiar a CSIRT na invocação de motivos relacionados com a cibersegurança para o adiamento da divulgação da notificação. Em circunstâncias particularmente excecionais, se na notificação referida no artigo 14.o, n.o 2, alínea b), o fabricante indicar:
a)
Que a vulnerabilidade notificada foi ativamente explorada por um agente mal-intencionado e que, de acordo com as informações disponíveis, não foi explorada em nenhum outro Estado-Membro além do da CSIRT designada como coordenadora à qual o fabricante notificou a vulnerabilidade;
b)
Que qualquer nova divulgação imediata da vulnerabilidade notificada é suscetível de resultar na prestação de informações cuja divulgação seria contrária aos interesses essenciais desse Estado-Membro; ou
c)
Que a vulnerabilidade notificada representa um elevado risco iminente de cibersegurança decorrente de uma maior divulgação; apenas são disponibilizadas simultaneamente à ENISA a informação de que o fabricante efetuou uma notificação, informações gerais sobre o produto, a informação sobre a natureza geral da exploração e a informação de que foram invocados motivos relacionados com a segurança, até que a notificação completa seja divulgada às CSIRT em causa e à ENISA. Se a ENISA, com base nessas informações, considerar que existe um risco sistémico que afeta a segurança no mercado interno, ela recomenda à CSIRT destinatária que divulgue a notificação completa às outras CSIRT designadas como coordenadoras e à própria ENISA. 1. Visão geral
1.1 Referências1.2 Requisitos identificados1.3 Normas relacionadas2. Requisitos identificados
3. Normas relacionadas
|