+Článok 16 Zriadenie jednotnej oznamovacej platformy
---+Článok 16 1.
---+Článok 16 2.
---+Článok 16 3.
---+Článok 16 4.
---+Článok 16 5.
---+Článok 16 6.

Článok 16 Zriadenie jednotnej oznamovacej platformy

-

1. Prehľad

,
Článok 16 1.
Na účely oznámení uvedených v článku 14 ods. 1 a 3 a článku 15 ods. 1 a 2 a s cieľom zjednodušiť oznamovacie povinnosti výrobcov zriadi agentúra ENISA jednotnú oznamovaciu platformu. Agentúra ENISA spravuje každodennú prevádzku tejto jednotnej oznamovacej platformy a vykonáva jej údržbu. Architektúra jednotnej oznamovacej platformy umožňuje členským štátom a agentúre ENISA zriadiť si vlastné koncové body na elektronické oznamovanie.
Článok 16 2.
Jednotka CSIRT určená za koordinátora, ktorá na začiatku prijme oznámenie, po jeho prijatí bezodkladne rozošle oznámenie prostredníctvom jednotnej oznamovacej platformy jednotkám CSIRT určeným za koordinátorov, na území ktorých bol produkt s digitálnymi prvkami podľa informácií výrobcu sprístupnený.

Za výnimočných okolností, a najmä na žiadosť výrobcu a vzhľadom na úroveň citlivosti oznámených informácií, ako uvádza výrobca podľa článku 14 ods. 2 písm. a) tohto nariadenia, sa rozosielanie oznámenia môže odložiť z opodstatnených dôvodov súvisiacich s kybernetickou bezpečnosťou na nevyhnutne potrebné obdobie, a to aj vtedy, keď sa na zraniteľnosť vzťahuje koordinovaný postup zverejňovania zraniteľností, ako sa uvádza v článku 12 ods. 1 smernice (EÚ) 2022/2555. Ak sa jednotka CSIRT rozhodne oznámenie nevydať, bezodkladne o svojom rozhodnutí informuje agentúru ENISA a nevydanie oznámenia odôvodní s uvedením, kedy oznámenie rozošle v súlade s postupom rozosielania stanoveným v tomto odseku. Jednotku CSIRT môže pri uplatňovaní dôvodov súvisiacich s kybernetickou bezpečnosťou v súvislosti s odloženým rozosielaním oznámenia podporovať agentúra ENISA.

Za obzvlášť výnimočných okolností, keď výrobca v oznámení uvedenom v článku 14 ods. 2 písm. b) uvedie:

a) 

že oznámenú zraniteľnosť aktívne zneužil škodlivý subjekt a podľa dostupných informácií nebola zneužitá v žiadnom inom členskom štáte, než je členský štát jednotky CSIRT určenej za koordinátora, ktorej výrobca zraniteľnosť oznámil;

b) 

že akékoľvek okamžité ďalšie rozosielanie informácií o oznámenej zraniteľnosti by pravdepodobne viedlo k poskytnutiu informácií, ktorých zverejnenie by bolo v rozpore so základnými záujmami tohto členského štátu; alebo

c) 

že oznámená zraniteľnosť predstavuje vysoké bezprostredné kybernetickobezpečnostné riziko vyplývajúce z ďalšieho rozosielania informácií o nej;

agentúre ENISA sa súčasne sprístupnia len informácie o tom, že oznámenie poskytol výrobca, všeobecné informácie o produkte, informácie o všeobecnej povahe zneužitia a informácie o tom, že sa vyskytli dôvody súvisiace s bezpečnosťou, a to až do rozoslania úplného oznámenia dotknutým jednotkám CSIRT a agentúre ENISA. Ak sa agentúra ENISA na základe týchto informácií domnieva, že existuje systémové riziko ovplyvňujúce bezpečnosť na vnútornom trhu, odporučí prijímajúcej jednotke CSIRT, aby rozoslala úplné oznámenie ostatným jednotkám CSIRT určeným za koordinátorov a samotnej agentúre ENISA.
Článok 16 3.
Po doručení oznámenia o aktívnom zneužití zraniteľnosti produktu s digitálnymi prvkami alebo o závažnom incidente, ktorý má vplyv na bezpečnosť produktu s digitálnymi prvkami, jednotky CSIRT určené za koordinátorov poskytnú orgánom dohľadu nad trhom svojich príslušných členských štátov oznámené informácie, ktoré orgány dohľadu nad trhom potrebujú na plnenie svojich povinností podľa tohto nariadenia.
Článok 16 4.
Agentúra ENISA prijme vhodné a primerané technické, prevádzkové a organizačné opatrenia na riadenie rizík pre bezpečnosť jednotnej oznamovacej platformy a informácií podávaných alebo šírených prostredníctvom jednotnej oznamovacej platformy. Každý bezpečnostný incident, ktorý má vplyv na jednotnú oznamovaciu platformu, bez zbytočného odkladu oznámi sieti jednotiek CSIRT, ako aj Komisii.
Článok 16 5.
Agentúra ENISA v spolupráci so sieťou jednotiek CSIRT poskytuje a vykonáva špecifikácie technických, prevádzkových a organizačných opatrení na zriadenie, údržbu a bezpečnú prevádzku jednotnej oznamovacej platformy uvedenej v odseku 1, a to aspoň vrátane bezpečnostných opatrení týkajúcich sa zriadenia, prevádzky a údržby jednotnej oznamovacej platformy, ako aj koncových bodov na elektronické oznamovanie zriadených jednotkami CSIRT určenými za koordinátorov na vnútroštátnej úrovni a agentúrou ENISA na úrovni Únie vrátane procesných aspektov na zabezpečenie toho, aby sa v prípade, že pre oznámenú zraniteľnosť nie sú nápravné alebo zmierňujúce opatrenia, vymieňali informácie o tejto zraniteľnosti podľa prísnych bezpečnostných protokolov a podľa zásady „need-to-know“.
Článok 16 6.
Ak jednotka CSIRT určená za koordinátora bola informovaná o aktívne zneužitej zraniteľnosti v rámci koordinovaného postupu zverejňovania zraniteľností, ako sa uvádza v článku 12 ods. 1 smernice (EÚ) 2022/2555, jednotka CSIRT určená za koordinátora, ktorá na začiatku prijme oznámenie, môže odložiť rozosielanie príslušného oznámenia cez jednotnú oznamovaciu platformu z opodstatnených dôvodov súvisiacich s kybernetickou bezpečnosťou na obdobie, ktoré nie je dlhšie, než je nevyhnutne potrebné, a až do získania súhlasu zúčastnených strán poskytujúcich koordinované informácie o zraniteľnostiach so zverejnením. Táto požiadavka nebráni výrobcom, aby dobrovoľne oznamovali takúto zraniteľnosť v súlade s postupom stanoveným v tomto článku.

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy