+Člen 16 Vzpostavitev enotne platforme za poročanje
---+Člen 16 1.
---+Člen 16 2.
---+Člen 16 3.
---+Člen 16 4.
---+Člen 16 5.
---+Člen 16 6.

Člen 16 Vzpostavitev enotne platforme za poročanje

-

1. Pregled

,
Člen 16 1.
Za namene obvestil iz člena 14(1) in (3) ter člena 15(1) in (2) in za poenostavitev obveznosti poročanja za proizvajalce agencija ENISA vzpostavi enotno platformo za poročanje. Vsakodnevno delovanje enotne platforme za poročanje upravlja in vzdržuje agencija ENISA. Struktura enotne platforme za poročanje omogoča državam članicam in agenciji ENISA, da vzpostavijo svoje lastne končne točke za elektronsko obveščanje.
Člen 16 2.
Po prejemu obvestila skupina CSIRT, ki je imenovana za koordinatorja, ki je prvotno prejela obvestilo, to obvestilo prek enotne platforme za poročanje brez odlašanja posreduje skupinam CSIRT, ki so imenovane za koordinatorje na ozemlju, za katerega je proizvajalec navedel, da je izdelek z digitalnimi elementi bil dan na voljo.

V izjemnih okoliščinah in zlasti na zahtevo proizvajalca ter ob upoštevanju stopnje občutljivosti sporočenih informacij, kot jih je navedel proizvajalec na podlagi člena 14(2), točka (a), te uredbe, se posredovanje obvestila na podlagi utemeljenih razlogov v zvezi s kibernetsko varnostjo lahko odloži za obdobje, ki je nujno potrebno, tudi, kadar je ranljivost vključena v postopek usklajenega razkrivanja ranljivosti, kot je navedeno v členu 12(1) Direktive (EU) 2022/2555. Kadar se skupina CSIRT odloči zadržati obvestilo, o odločitvi nemudoma obvesti agencijo ENISA in predloži utemeljitev za zadržanje obvestila ter navede, kdaj bo posredovala obvestilo v skladu s postopkom posredovanja iz tega odstavka. Agencija ENISA lahko skupino CSIRT podpre v zvezi z razlogi glede kibernetske varnosti, ki jih ta uporabi za odložitev posredovanja obvestila.

V izjemnih okoliščinah, kadar proizvajalec v obvestilu iz člena 14(2), točka (b), navede:

(a) 

da je sporočeno ranljivost aktivno izrabljal zlonamerni akter in da je bila glede na razpoložljive informacije izrabljena samo v državi članici skupine CSIRT, ki je imenovana za koordinatorja, ki ji je proizvajalec sporočil ranljivost, in v nobeni drugi državi članici;

(b) 

da bi vsako takojšnje nadaljnje razširjanje sporočene ranljivosti verjetno imelo za posledico posredovanje informacij, katerih razkritje bi bilo v nasprotju z bistvenimi interesi te države članice, ali

(c) 

da sporočena ranljivost predstavlja neposredno visoko tveganje za kibernetsko varnost, ki izhaja iz nadaljnjega posredovanja;

samo informacije, da je proizvajalec predložil obvestilo, splošne informacije o izdelku, informacije o splošni naravi izrabljene ranljivosti in informacije, da se proizvajalec sklicuje na varnostne razloge, se sočasno predložijo agenciji ENISA, dokler se celotno obvestilo ne posreduje zadevnim skupinam CSIRT in agenciji ENISA. Kadar agencija ENISA na podlagi informacij meni, da obstaja sistemsko tveganje, ki vpliva na varnost notranjega trga, skupini CSIRT, ki je obvestilo prejela, priporoči, naj celotno obvestilo posreduje drugim skupinam CSIRT, ki so imenovane za koordinatorje, in agenciji ENISA.
Člen 16 3.
Potem ko so prejele obvestilo o aktivno izrabljeni ranljivosti izdelka z digitalnimi elementi ali resnem incidentu, ki vpliva na varnost izdelka z digitalnimi elementi, skupine CSIRT, ki so imenovane za koordinatorje, posredujejo organom za nadzor trga svojih držav članic sporočene informacije, ki jih ti potrebujejo za izpolnjevanje svojih obveznosti na podlagi te uredbe.
Člen 16 4.
Agencija ENISA sprejme ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za varnost enotne platforme za poročanje in informacij, ki se predložijo ali posredujejo prek enotne platforme za poročanje. O vsakem varnostnem incidentu, ki je prizadel enotno platformo za poročanje, brez nepotrebnega odlašanja obvesti mrežo skupin CSIRT ter Komisijo.
Člen 16 5.
Agencija ENISA v sodelovanju z mrežo skupin CSIRT zagotovi in izvaja specifikacije o tehničnih, operativnih in organizacijskih ukrepih v zvezi z vzpostavitvijo, vzdrževanjem in varnim delovanjem enotne platforme za poročanje iz odstavka 1, ki vključujejo vsaj varnostne ureditve, povezane z vzpostavitvijo, delovanjem in vzdrževanjem enotne platforme za poročanje, ter končne točke za elektronsko obveščanje, ki so jih vzpostavile skupine CSIRT, imenovane za koordinatorje na nacionalni ravni, in agencija ENISA na ravni Unije, vključno s postopkovnimi vidiki, s katerimi se zagotovi, da sporočena ranljivost nima na voljo korektivnih ali blažilnih ukrepov, da se informacije o tej ranljivosti izmenjujejo v skladu s strogimi varnostnimi protokoli in na podlagi potrebe po seznanitvi.
Člen 16 6.
Kadar je bila skupina CSIRT, ki je imenovana za koordinatorja, obveščena o aktivno izrabljeni ranljivosti kot del postopka usklajenega razkrivanja ranljivosti iz člena 12(1) Direktive (EU) 2022/2555, skupina CSIRT, ki je imenovana za koordinatorja, ki je prvotno prejela obvestilo, lahko odloži posredovanje zadevnega obvestila preko enotne platforme za poročanje na podlagi utemeljenih razlogov v zvezi s kibernetsko varnostjo za obdobje, ki ni daljše od nujno potrebnega, in dokler strani, vpletene v politiko usklajenega razkrivanja ranljivosti, ne podajo soglasja za razkritje. Ta zahteva proizvajalcem ne preprečuje, da prostovoljno sporočijo tako ranljivost v skladu s postopkom iz tega člena.

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi