Artikel 17 Betrodda leverantörer av utlokaliserade säkerhetstjänster

Säkerställa att de tjänster som ingår i EU-cybersäkerhetsreserven som helhet innebär att EU-cybersäkerhetsreserven omfattar tjänster som kan användas i alla medlemsstater, med beaktande av i synnerhet nationella krav på tillhandahållandet av sådana tjänster, inbegripet i fråga om språk, certifiering eller ackreditering.

Säkerställa skyddet av unionens och dess medlemsstaters väsentliga säkerhetsintressen.

Säkerställa att EU-cybersäkerhetsreserven tillför unionsmervärde, genom att bidra till de mål som fastställs i artikel 3 i förordning (EU) 2021/694, inbegripet att främja utvecklingen av cybersäkerhetskompetens i unionen.

Leverantören ska visa att dess personal har högsta grad av yrkesmässig integritet, oberoende och ansvar och den tekniska kompetens som krävs för att utföra arbetet på sitt specifika område samt säkerställa expertisens varaktighet och kontinuitet och de tekniska resurser som krävs.

Leverantören och eventuella relevanta dotterföretag och underleverantörer ska följa tillämpliga regler om skydd av säkerhetsskyddsklassificerad information och ha lämpliga åtgärder, inbegripet, när så är lämpligt, avtal sinsemellan, för att skydda konfidentiell information som rör tjänsten, i synnerhet faktaunderlag, resultat och rapporter.

Leverantören ska på ett tillfredsställande sätt styrka att styrningsstrukturen är transparent och inte riskerar att undergräva dess opartiskhet och tjänstekvaliteten eller orsaka intressekonflikter.

Leverantören ska ha en lämplig säkerhetsprövning, åtminstone för personal som är avsedd för utförandet av tjänsterna, när medlemsstaterna kräver detta.

Leverantören ska ha den relevanta säkerhetsnivån för sina it-system.

Leverantören ska vara utrustad med den hårdvara och programvara som behövs för den efterfrågade tjänsten, och som inte får ha några kända sårbarheter som kan utnyttjas, som ska ha de senaste säkerhetsuppdateringarna och som under alla omständigheter ska vara förenlig med tillämpliga bestämmelser i Europaparlamentets och rådets förordning (EU) 2024/2847 ( 2 ).

Leverantören ska kunna visa att den har erfarenhet av att leverera liknande tjänster till relevanta nationella myndigheter, entiteter som är verksamma inom högkritiska sektorer eller entiteter som är verksamma inom andra kritiska sektorer.

Leverantören ska kunna tillhandahålla tjänsten inom en kort tidsram i den eller de medlemsstater där den kan tillhandahålla tjänsten.

Leverantören ska kunna tillhandahålla tjänsten på ett eller flera av unionens institutioners eller en medlemsstats officiella språk enligt vad som eventuellt efterfrågas av den eller de medlemsstater eller de användare enligt artikel 14.3 b och c där leverantören kan tillhandahålla tjänsten.

När en europeisk ordning för cybersäkerhetscertifiering för utlokaliserade säkerhetstjänster enligt förordning (EU) 2019/881 införts ska leverantören vara certifierad i enlighet med den ordningen inom två år från den dag då ordningen börjar tillämpas.

Leverantören ska i anbudet ange omvandlingsvillkoren för eventuella outnyttjade incidenthanteringstjänster som skulle kunna omvandlas till beredskapstjänster med nära anknytning till incidenthantering, såsom övningar eller fortbildning.