+Člen 32 Nadzorni in izvršilni ukrepi v zvezi z bistvenimi subjekti
---+Člen 32 1.
---+Člen 32 2.
---+Člen 32 3.
---+Člen 32 4.
---+Člen 32 5.
---+Člen 32 6.
---+Člen 32 7.
---+Člen 32 8.
---+Člen 32 9.
---+Člen 32 10.

Člen 32 Nadzorni in izvršilni ukrepi v zvezi z bistvenimi subjekti

-

1. Pregled

,
Člen 32 1.
Države članice zagotovijo, da so nadzorni in izvršilni ukrepi, naloženi bistvenim subjektom v zvezi z obveznostmi iz te direktive, učinkoviti, sorazmerni in odvračilni, pri čemer upoštevajo okoliščine posameznega primera.
Člen 32 2.

Države članice zagotovijo, da so pristojni organi pri izvajanju svojih nadzornih nalog v zvezi z bistvenimi subjekti pooblaščeni vsaj za to, da pri teh subjektih:

(a) 

opravijo inšpekcijske preglede na kraju samem in nadzor na daljavo, vključno z naključnimi pregledi, ki jih izvedejo usposobljeni strokovnjaki;

(b) 

opravijo redne in ciljno usmerjene revizije varnosti, ki jih izvede neodvisni subjekt ali pristojni organ;

(c) 

opravijo priložnostne revizije, tudi ko je to utemeljeno zaradi pomembnega incidenta ali kršitve te direktive s strani bistvenega subjekta;

(d) 

opravijo varnostne preglede, ki temeljijo na objektivnih, nediskriminatornih, poštenih in preglednih merilih za oceno tveganja, pri čemer po potrebi sodelujejo z zadevnim subjektom;

(e) 

zahtevajo informacije, ki jih potrebujejo za oceno ukrepov za obvladovanje tveganj za kibernetsko varnost, ki jih je sprejel zadevni subjekt, vključno z dokumentiranimi politikami na področju kibernetske varnosti, in izpolnjevanje obveznosti predložitve informacij pristojnim organom v skladu s členom 27;

(f) 

zahtevajo dostop do podatkov, dokumentov in informacij, potrebnih za opravljanje njihovih nadzornih nalog;

(g) 

zahtevajo dokaze o izvajanju politik na področju kibernetske varnosti, kot so rezultati revizij varnosti, ki jih izvede usposobljen revizor, in ustrezni dokazi v zvezi z njimi.

Ciljno usmerjene revizije varnosti iz prvega pododstavka, točka (b), temeljijo na ocenah tveganja, ki jih izvedejo pristojni organi ali subjekt, ki je predmet presoje, ali na drugih razpoložljivih informacijah o tveganju.

Rezultati ciljno usmerjene revizije varnosti se dajo na voljo pristojnemu organu. Stroške ciljno usmerjene revizije varnosti, ki jo opravi neodvisni organ, krije revidirani subjekt, razen v ustrezno utemeljenih primerih, ko pristojni organ odloči drugače.
Člen 32 3.
Pristojni organi pri izvajanju svojih pooblastil iz odstavka 2, točka (e), (f) ali (g), navedejo namen zahteve in opredelijo zahtevane informacije.
Člen 32 4.

Države članice zagotovijo, da so njihovi pristojni organi pri izvajanju svojih izvršilnih pooblastil v zvezi z bistvenimi subjekti pooblaščeni vsaj za to, da:

(a) 

izdajo opozorila o kršitvah te direktive s strani zadevnih subjektov;

(b) 

sprejmejo zavezujoča navodila, tudi v zvezi z ukrepi za preprečitev ali odpravo incidenta, roki za njihovo izvedbo in poročanjem o tem, ali odredbo, s katero od zadevnih subjektov zahtevajo, da odpravijo ugotovljene pomanjkljivosti ali kršitve te direktive

(c) 

zadevnim subjektom odredijo, naj prenehajo z ravnanjem, ki krši to direktivo, in naj tega ravnanja ne ponovijo več;

(d) 

zadevnim subjektom odredijo, naj na določen način in v določenem roku poskrbijo, da bodo njihovi ukrepi za obvladovanje tveganj za kibernetsko varnost v skladu s členom 21, oz. naj izpolnijo obveznosti poročanja iz člena 23;

(e) 

zadevnim subjektom odredijo, naj obvestijo fizične ali pravne osebe, v zvezi s katerimi opravljajo storitve ali izvajajo dejavnosti, na katere bi lahko vplivala pomembna kibernetska grožnja, o naravi grožnje, pa tudi o vseh mogočih zaščitnih ali popravnih ukrepih, ki jih lahko te fizične ali pravne osebe sprejmejo v odziv na to grožnjo;

(f) 

zadevnim subjektom odredijo, naj v razumnem roku izvedejo priporočila, dana na podlagi revizije varnosti;

(g) 

imenujejo uradnika za spremljanje z natančno opredeljenimi nalogami v določenem obdobju, ki spremlja izpolnjevanje členov 21 in 23 s strani zadevnih subjektov;

(h) 

zadevnim subjektom odredijo, naj na določen način objavijo kršitve te direktive;

(i) 

naložijo ali zahtevajo, naj ustrezni organi ali sodišča v skladu z nacionalnim pravom naložijo upravno globo na podlagi člena 34, poleg katerega koli od ukrepov iz točk (a) do (h) tega odstavka.
Člen 32 5.

Kadar se izvršilni ukrepi, sprejeti v skladu z odstavkom 4, točke (a) do (d) in (f), izkažejo za neučinkovite, države članice zagotovijo, da so njihovi pristojni organi pooblaščeni za določitev roka, v katerem mora bistveni subjekt sprejeti potrebne ukrepe za odpravo pomanjkljivosti ali izpolnitev zahtev teh organov. Če se zahtevani ukrepi ne sprejmejo v določenem roku, države članice zagotovijo, da so njihovi pristojni organi pooblaščeni, da:

(a) 

začasno prekličejo ali od certifikacijskega organa, organa, pristojnega za izdajo dovoljenj, ali od sodišča v skladu z nacionalnim pravom zahtevajo, naj začasno prekliče certifikat ali dovoljenje za del ustreznih storitev ali dejavnosti ali vse storitve ali dejavnosti, ki jih opravlja bistveni subjekt;

(b) 

zahtevajo, naj ustrezni organi ali sodišča v skladu z nacionalnim pravom začasno prepovejo opravljanje vodstvenih funkcij vsem osebam, ki za bistveni subjekt opravljajo poslovodne naloge na ravni glavnega izvršnega direktorja ali pravnega zastopnika.

Začasni preklic ali prepoved, naložena na podlagi tega odstavka, se uporabljata samo, dokler zadevni subjekt ne sprejme potrebnih ukrepov za odpravo pomanjkljivosti ali izpolni zahtev pristojnega organa, zaradi katerih je bil tak izvršilni ukrep uporabljen. Za uvedbo začasnega preklica ali prepovedi veljajo ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listino, vključno s pravico do učinkovitega pravnega sredstva in poštenega sojenja, domnevo nedolžnosti in pravico do obrambe.

Izvršilni ukrepi iz tega odstavka se ne uporabljajo za subjekte javne uprave, za katere velja ta direktiva.
Člen 32 6.
Države članice zagotovijo, da ima vsaka fizična oseba, ki je odgovorna za bistveni subjekt ali deluje kot pravni zastopnik bistvenega subjekta na podlagi pooblastila za njegovo zastopanje, odločanje v njegovem imenu ali izvajanje nadzora nad njim, pooblastilo za zagotavljanje skladnosti s to direktivo. Države članice zagotovijo, da lahko te fizične osebe odgovarjajo za kršitev svojih dolžnosti, da bi zagotovile skladnost s to direktivo.

Kar zadeva subjekte javne uprave, ta odstavek ne posega v nacionalno pravo v zvezi z odgovornostjo javnih uslužbencev ter izvoljenih ali imenovanih uradnikov.
Člen 32 7.

Pristojni organi pri sprejemanju izvršilnih ukrepov iz odstavka 4 ali 5 spoštujejo pravico do obrambe in upoštevajo okoliščine vsakega posameznega primera ter ustrezno upoštevajo vsaj naslednje:

(a) 

resnost kršitve in pomembnost kršenih določb, pri čemer se morajo za resne kršitve med drugim v vsakem primeru šteti:

(i) 

ponavljajoče se kršitve;

(ii) 

nepriglasitev ali neodprava pomembnih incidentov;

(iii) 

neodprava pomanjkljivosti v skladu z zavezujočimi navodili pristojnih organov;

(iv) 

oviranje revizij ali dejavnosti spremljanja, ki jih je odredil pristojni organ po ugotovitvi kršitve;

(v) 

predložitev napačnih in zelo netočnih informacij v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost ali obveznostmi poročanja iz členov 21 in 23;

(b) 

trajanje kršitve;

(c) 

vse relevantne predhodne kršitve zadevnega subjekta;

(d) 

vsako povzročeno premoženjsko ali nepremoženjsko škodo, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge storitve in številom prizadetih uporabnikov;

(e) 

morebitno naklepnost ali malomarnost storilca kršitve;

(f) 

vse ukrepe, ki jih je subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;

(g) 

vsako upoštevanje odobrenih kodeksov ravnanja ali odobrenih mehanizmov certificiranja;

(h) 

raven sodelovanja fizičnih ali pravnih oseb, ki se štejejo za odgovorne, s pristojnimi organi.
Člen 32 8.
Pristojni organi podrobno utemeljijo svoje izvršilne ukrepe. Pred sprejetjem teh ukrepov zadevne subjekte obvestijo o svojih predhodnih ugotovitvah. Tem subjektom tudi dajo na voljo dovolj časa za predložitev pripomb, razen v ustrezno utemeljenih primerih, ko bi to oviralo takojšnje ukrepanje za preprečitev incidentov ali odziv nanje.
Člen 32 9.
Države članice zagotovijo, da njihovi pristojni organi iz te direktive obvestijo ustrezne pristojne organe iste države članice iz Direktive (EU) 2022/2557, kadar izvajajo nadzorna in izvršilna pooblastila, namenjena zagotavljanju, da subjekt, ki je na podlagi Direktive (EU) 2022/2557 identificiran kot kritičen, izpolnjuje obveznosti v skladu s to direktivo. Kadar je ustrezno, lahko pristojni organi iz Direktive (EU) 2022/2557 od pristojnih organov iz te direktive zahtevajo, da izvajajo nadzorna in izvršilna pooblastila v zvezi s subjektom, ki je na podlagi Direktive (EU) 2022/2557 identificiran kot kritičen subjekt.
Člen 32 10.
Države članice zagotovijo, da njihovi pristojni organi iz te direktive sodelujejo z ustreznimi pristojnimi organi zadevne države članice iz Uredbe (EU) 2022/2554. Države članice zlasti poskrbijo, da njihovi pristojni organi iz te direktive pri izvajanju nadzornih in izvršilnih pooblastil, katerih cilj je zagotoviti, da obveznosti iz te direktive izpolnjuje bistveni subjekt, ki je imenovan za ključnega tretjega ponudnika storitev IKT na podlagi člena 31 Uredbe (EU) 2022/2554, o tem obvestijo nadzorniški forum, ustanovljen na podlagi člena 32(1) Uredbe (EU) 2022/2554.

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi