РЕГЛАМЕНТ (ЕС) 2023-2841 определяне на мерки за високо общо ниво на киберсигурност в институциите
Регламент (ЕС) 2023/2841 относно определяне на мерки за високо общо ниво на киберсигурност в институциите
Консолидиран ТЕКСТ: 32023R2841 — BG — 18.12.2023
02023R2841 — BG — 18.12.2023 — 000.001
►B
РЕГЛАМЕНТ (ЕС, Евратом) 2023/2841 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 13 декември 2023 година
за определяне на мерки за високо общо ниво на киберсигурност в институциите, органите, службите и агенциите на Съюза
(ОВ L 2841, 18.12.2023 г., стр. 1)
Поправен със:
►C1
Поправка, ОВ L 90761, 30.9.2025, стр. 1 (2023/2841)
▼B
РЕГЛАМЕНТ (ЕС, Евратом) 2023/2841 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 13 декември 2023 година
за определяне на мерки за високо общо ниво на киберсигурност в институциите, органите, службите и агенциите на Съюза
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С настоящия регламент се определят мерки, които имат за цел постигането на високо общо ниво на киберсигурност в рамките на субектите на Съюза по отношение на:
a)
установяването от страна на всеки субект на Съюза на вътрешна
►C1
рамка за управление на рисковете, ръководство и контрол в областта на киберсигурността ◄ съгласно член 6;
б)
управление, докладване и обмен на информация за рисковете за киберсигурността;
в)
организацията, функционирането и дейността на Междуинституционалния съвет по киберсигурност, създаден съгласно член 10, както и организацията, функционирането и дейността на Службата за киберсигурност за институциите, органите, службите и агенциите на Съюза (CERT-EU);
г)
мониторинга на прилагането на настоящия регламент.
Член 2
Обхват
1.
Настоящият регламент се прилага за субектите на Съюза, за Междуинституционалния съвет по киберсигурност, създаден съгласно член 10, и за CERT-EU.
2.
Настоящият регламент се прилага, без да се засяга институционалната автономност съгласно Договорите.
3.
С изключение на член 13, параграф 8, настоящият регламент не се прилага за мрежови и информационни системи, работещи с класифицирана информация на ЕС (КИЕС).
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
1)
„субекти на Съюза“ означава институциите, органите, службите и агенциите на Съюза, създадени съгласно или въз основа на Договора за Европейския съюз, Договора за функционирането на Европейския съюз (ДФЕС) или Договора за създаване на Европейската общност за атомна енергия;
2)
„мрежова и информационна система“ означава мрежова и информационна система съгласно определението в член 6, точка 1 от Директива (ЕС) 2022/2555;
3)
„сигурност на мрежовите и информационните системи“ означава сигурност на мрежовите и информационните системи съгласно определението в член 6, точка 2 от Директива (ЕС) 2022/2555;
4)
„киберсигурност“ означава киберсигурност съгласно определението в член 2, точка 1 от Регламент (ЕС) 2019/881;
5)
„висше ръководство“ означава ръководител, ръководен орган или координационен и надзорен орган, отговарящ за функционирането на даден субект на Съюза, на най-високото административно равнище, с правомощия да приема или одобрява решения в съответствие с правилата за управление на високо равнище на съответния субект на Съюза, без да се засягат официалните отговорности на други равнища на управление за постигане на съответствие и управление на рисковете за киберсигурността в съответните им области на отговорност;
6)
„ситуация, близка до инцидент“ означава ситуация, близка до инцидент, съгласно определението в член 6, точка 5 от Директива (ЕС) 2022/2555;
7)
„инцидент“ означава инцидент съгласно определението в член 6, точка 6 от Директива (ЕС) 2022/2555;
8)
„съществен инцидент“ означава инцидент, водещ до смущение в мащаб, който надхвърля способността на даден субект на Съюза и на CERT-EU да реагират на съответния инцидент, или който има значително въздействие върху най-малко два субекта на Съюза;
9)
„мащабен киберинцидент“ означава мащабен киберинцидент съгласно определението в член 6, точка 7 от Директива (ЕС) 2022/2555;
10)
„действия при инцидент“ означава действия при инцидент съгласно определението в член 6, точка 8 от Директива (ЕС) 2022/2555;
11)
„киберзаплаха“ означава киберзаплаха съгласно определението в член 2, точка 8 от Регламент (ЕС) 2019/881;
12)
„значителна киберзаплаха“ означава значителна киберзаплаха съгласно определението в член 6, точка 11 от Директива (ЕС) 2022/2555;
13)
„уязвимост“ означава уязвимост съгласно определението в член 6, точка 15 от Директива (ЕС) 2022/2555;
14)
„риск за киберсигурността “ означава риск съгласно определението в член 6, точка 9 от Директива (ЕС) 2022/2555;
15)
„компютърна услуга „в облак“ означава компютърна услуга „в облак“ съгласно определението в член 6, точка 30 от Директива (ЕС) 2022/2555;
Член 4
Обработване на лични данни
1.
Обработването на лични данни съгласно настоящия регламент от страна на CERT-EU, Междуинституционалния съвет по киберсигурност, създаден съгласно член 10, и субекти на Съюза се извършва в съответствие с Регламент (ЕС) 2018/1725.
2.
Когато изпълняват задачи или задължения съгласно настоящия регламент, CERT-EU, Междуинституционалният съвет по киберсигурност, създаден съгласно член 10, и субектите на Съюза обработват и обменят лични данни само доколкото това е необходимо и единствено с цел изпълнение на тези задачи или задължения.
3.
Обработването на специални категории лични данни, посочени в член 10, параграф 1 от Регламент (ЕС) 2018/1725, се счита за необходимо на основание значим обществен интерес съгласно член 10, параграф 2, буква ж) от посочения регламент. Тези данни могат да бъдат обработвани само доколкото това е необходимо за прилагането на мерките за управление на рисковете за киберсигурността, посочени в членове 6 и 8, за предоставянето на услуги от CERT-EU съгласно член 13, за обмена на информация за конкретни инциденти съгласно член 17, параграф 3 и член 18, параграф 3, за обмена на информация съгласно член 20, за задълженията за докладване съгласно член 21, за координацията и сътрудничеството при реагиране на инциденти съгласно член 22 и за управлението на съществени инциденти съгласно член 23 от настоящия регламент. Когато действат като администратори на данни, субектите на Съюза и CERT-EU прилагат технически мерки за предотвратяване на обработването на специални категории лични данни за други цели и предвиждат подходящи и конкретни мерки за защита на основните права и на интересите на субектите на данни.
ГЛАВА II
МЕРКИ ЗА ВИСОКО ОБЩО НИВО НА КИБЕРСИГУРНОСТ
Член 5
Изпълнение на мерките
1.
В срок до 8 септември 2024 г. Междуинституционалният съвет по киберсигурност, създаден съгласно член 10, след като се консултира с Агенцията на Европейския съюз за киберсигурност (ENISA) и след като получи насоки от CERT-EU, отправя насоки към субектите на Съюза с цел извършване на първоначален преглед на киберсигурността и създаване на вътрешна
►C1
рамка за управление на рисковете, ръководство и контрол в областта на киберсигурността ◄ съгласно член 6, извършване на оценки на зрелостта по отношение на киберсигурността съгласно член 7, предприемане на мерки за управление на рисковете за киберсигурността съгласно член 8 и приемане на плана за киберсигурност съгласно член 9.
2.
При прилагането на членове 6- 9 субектите на Съюза вземат предвид насоките, посочени в параграф 1 от настоящия член, както и приложимите насоки и препоръки, приети съгласно членове 11 и 14.
Член 6
▼C1
Рамка за управление на рисковете, ръководство и контрол в областта на киберсигурността
▼B
В срок до 8 април 2025 г. всеки субект на Съюза, след като извърши първоначален преглед на киберсигурността, например одит, установява вътрешна
►C1
рамка за управление на рисковете, ръководство и контрол в областта на киберсигурността ◄ (наричана по-нататък „рамката“). Установяването на рамката се контролира от висшето ръководство на субекта на Съюза, което носи отговорност за нея.
2.
Рамката обхваща цялата некласифицирана ИКТ среда на съответния субект на Съюза, включително всяка локална ИКТ среда и оперативна технологична мрежа, активи и услуги в условията на компютърни услуги „в облак“, възложени на подизпълнители или хоствани от трети лица, мобилни устройства, корпоративни мрежи, бизнес мрежи, които не са свързани с интернет, и всякакви устройства, свързани с посочените среди (наричана по-нататък „ИКТ средата“). Рамката се основава на подход, обхващащ всички опасности.
3.
Рамката трябва да гарантира високо ниво на киберсигурност. С рамката се установяват вътрешни политики за киберсигурност, включително цели и приоритети, за сигурността на мрежовите и информационните системи, както и функциите и отговорностите на служителите на субекта на Съюза, на които е възложено да гарантират ефективното прилагане на настоящия регламент. Рамката включва и механизми за измерване на ефективността на прилагането.
4.
Рамката подлежи на редовен преглед, с оглед на променящите се рискове за киберсигурността, и най-малко на всеки четири години. Когато е целесъобразно и при искане на Междуинституционалния съвет по киберсигурност, създаден съгласно член 10, рамката на съответния субект на Съюза може да се актуализира въз основа на насоките на CERT-EU относно установени инциденти или евентуални пропуски, наблюдавани в рамките на прилагането на настоящия регламент.
5.
Висшето ръководство на всеки субект на Съюза отговаря за прилагането на настоящия регламент и следи за спазването от страна на неговата организация на задълженията, свързани с рамката.
6.
Когато е целесъобразно и без да се засяга отговорността му за прилагането на настоящия регламент, висшето ръководство на всеки субект на Съюза може да делегира конкретни задължения по настоящия регламент на висши длъжностни лица по смисъла на член 29, параграф 2 от Правилника за длъжностните лица или на други длъжностни лица на равностойно равнище в рамките на съответния субект на Съюза. Независимо от това делегиране, от висшето ръководство може да се търси отговорност за нарушения на настоящия регламент от страна на съответния субект на Съюза.
7.
Всеки субект на Съюза трябва да разполага с ефективни механизми, за да гарантира, че подходящ процент от ИКТ бюджета се изразходва за киберсигурност. При определянето на този процент надлежно се взема предвид рамката.
8.
Всеки субект на Съюза назначава местен служител по киберсигурността или служител на равностойна позиция, който действа като единно звено за контакт по отношение на всички аспекти на киберсигурността. Местният служител по киберсигурността улеснява прилагането на настоящия регламент и се отчита пряко и редовно пред висшето ръководство за напредъка по прилагането. Без да се засяга фактът, че местният служител по киберсигурността е единното звено за контакт във всеки субект на Съюза, даден субект на Съюза може да делегира на CERT-EU определени задачи на местния служител по киберсигурността във връзка с прилагането на настоящия регламент въз основа на споразумение за нивото на обслужване, сключено между съответния субект на Съюза и CERT-EU, или изпълнението на тези задачи може да се споделя от няколко субекта на Съюза. Когато тези задачи са делегирани на CERT-EU, Междуинституционалният съвет по киберсигурност, създаден съгласно член 10, решава дали предоставянето на съответната услуга трябва да бъде част от базовите услуги на CERT-EU, като взема предвид човешките и финансовите ресурси на съответния субект на Съюза. Всеки субект на Съюза уведомява без необосновано забавяне CERT-EU за назначените местни служители по киберсигурността и за всяка последваща промяна, свързана с тях.
CERT-EU изготвя и осигурява актуализирането на списък на назначените местни служители по киберсигурността.
9.
Висшите длъжностни лица по смисъла на член 29, параграф 2 от Правилника за длъжностните лица или други длъжностни лица на равностойно равнище в рамките на съответния субект на Съюза, както и съответните членове на персонала, на който е възложено изпълнението на мерките и задълженията за управление на рисковете за киберсигурността, предвидени в настоящия регламент, редовно преминават специално обучение, за да придобият достатъчно знания и умения с цел разбиране и оценка на практиките във връзка с рисковете за киберсигурността и управлението на рисковете за киберсигурността, както и на тяхното въздействие върху дейността на съответния субект на Съюза.
Член 7
Оценки на зрелостта по отношение на киберсигурността
1.
В срок до 8 юли 2025 г. и най-малко на всеки две години след това всеки субект на Съюза извършва оценка на зрелостта по отношение на киберсигурността, включваща всички елементи на неговата ИКТ среда.
2.
Оценките на зрелостта по отношение на киберсигурността се извършват, когато е целесъобразно, с помощта на трето лице специалист.
3.
Субектите на Съюза със сходни структури могат да си сътрудничат при извършването на оценки на зрелостта по отношение на киберсигурността за съответните си субекти.
4.
По искане на Междуинституционалния съвет по киберсигурност, създаден съгласно член 10, и с изричното съгласие на съответния субект на Съюза резултатите от оценката на зрелостта по отношение на киберсигурността могат да бъдат обсъдени в рамките на Междуинституционалния съвет по киберсигурност или в рамките на неформалната група на местните служители по киберсигурността с цел извличане на поуки от натрупания опит и споделяне на най-добри практики.
Член 8
Мерки за управление на рисковете за киберсигурността
1.
Всеки субект на Съюза предприема без необосновано забавяне и във всички случаи до 8 септември 2025 г., под надзора на своето висше ръководство, подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за киберсигурността, установени съгласно рамката, и за предотвратяване на инциденти или за свеждане до минимум на тяхното въздействие. Като се вземат предвид достиженията на техническия прогрес и когато е приложимо, съответните европейски и международни стандарти, посочените мерки трябва да гарантират ниво на сигурност на мрежовите и информационните системи в цялата ИКТ среда, съизмеримо с наличните рискове за киберсигурността. При оценката на пропорционалността на тези мерки надлежно се вземат предвид степента на изложеност на съответния субект на Съюза на рискове за киберсигурността, неговият размер, вероятността от настъпване на инциденти и тяхната сериозност, включително тяхното обществено, икономическо и междуинституционално въздействие.
2.
При изпълнението на мерките за управление на рисковете за киберсигурността субектите на Съюза предприемат действия най-малко в следните области:
a)
политиката в областта на киберсигурността, включително мерките, необходими за постигане на целите и приоритетите, посочени в член 6 и параграф 3 от настоящия член;
б)
политики за анализ на рисковете за киберсигурността и сигурност на информационните системи;
в)
цели на политиката по отношение на използването на компютърни услуги „в облак“;
г)
одит на киберсигурността, когато е целесъобразно, който може да включва оценка на рисковете за киберсигурността, уязвимостта и киберзаплахите, както и редовно тестване на проникването, извършвано от надежден частен доставчик;
д)
изпълнение на препоръките, произтичащи от одитите на киберсигурността, посочени в буква г), чрез актуализации на киберсигурността и на политиката;
e)
организация на киберсигурността, включително определяне на функциите и отговорностите;
ж)
управление на активите, включително инвентарен опис на ИКТ активите и картографиране на ИКТ мрежата;
з)
сигурност на човешките ресурси и контрол на достъпа;
и)
сигурност на операциите;
й)
сигурност на комуникациите;
к)
придобиване, разработване и поддържане на системите, включително политики за действията при уязвимости и тяхното оповестяване;
л)
когато е възможно, политики за прозрачността на изходния код;
м)
сигурност на веригата на доставки, включително аспектите, свързани със сигурността на отношенията между всеки субект на Съюза и неговите преки доставчици на стоки и услуги;
н)
действия при инциденти и сътрудничество със CERT-EU, като например извършване на мониторинг на сигурността и водене на регистри;
o)
управление на непрекъснатостта на дейността, като например управление на съхраняването на резервни копия на данните и възстановяване след бедствия, и управление на кризи; и
п)
насърчаване и развитие на образованието, уменията, повишаването на осведомеността, упражненията и програмите за обучение в областта на киберсигурността.
За целите на първа алинея, буква м) субектите на Съюза вземат предвид уязвимостите, присъщи на всеки пряк доставчик на стоки и услуги, и цялостното качество на продуктите и практиките в областта на киберсигурността на своите доставчици на стоки и услуги, включително техните процедури за сигурно разработване.
3.
Субектите на Съюза предприемат най-малко следните конкретни мерки за управление на рисковете за киберсигурността:
a)
технически правила за осигуряване и поддържане на възможност за дистанционна работа;
б)
конкретни стъпки за преминаване към принципи на нулево доверие;
в)
използване на многофакторни решения за удостоверяване на автентичността като норма в мрежовите и информационните системи;
г)
използване на криптография и криптиране, и по-специално криптиране от край до край, както и защитен цифров подпис;
д)
когато е целесъобразно, защитени гласови, видео и текстови съобщения и защитени системи за спешни повиквания в рамките на субекта на Съюза;
e)
изпреварващи мерки за откриване и отстраняване на зловреден софтуер и шпионски софтуер;
ж)
установяване на сигурността на веригите за доставка на софтуер чрез критерии за сигурно разработване и оценка на софтуера;
з)
изготвяне и приемане на програми за обучение в областта на киберсигурността, съизмерими с възложените задачи и очакваните способности за висшето ръководство и служителите на субекта на Съюза, на които е възложено да гарантират ефективното прилагане на настоящия регламент;
и)
редовно обучение на служителите в областта на киберсигурността;
й)
когато е приложимо, участие в анализи на риска от взаимосвързаността между субектите на Съюза;
к)
подобряване на правилата за възлагане на поръчки, за да се улесни постигането на високо общо ниво на киберсигурност чрез:
i)
премахване на договорните пречки, които ограничават доставчиците на ИКТ услуги да споделят информация със CERT-EU относно инциденти, уязвимости и киберзаплахи;
ii)
договорни задължения за докладване на инциденти, уязвимости и киберзаплахи, както и за въвеждане на подходящи механизми за реагиране и мониторинг на инцидентите.
Член 9
Планове за киберсигурност
1.
При отчитане на заключенията от оценката на зрелостта по отношение на киберсигурността, извършена съгласно член 7, и на активите и установените в рамката рискове за киберсигурността, както и мерките за управление на рисковете за киберсигурността, предприети съгласно член 8, висшето ръководство на всеки субект на Съюза одобрява план за киберсигурност без необосновано забавяне и във всеки случай до 8 януари 2026 г. Планът за киберсигурност цели повишаване на цялостната киберсигурност на субекта на Съюза, като по този начин допринася за утвърждаването на високо общо ниво на киберсигурност в рамките на субектите на Съюза. Планът за киберсигурност включва най-малко мерките за управление на рисковете за киберсигурността, предприети съгласно член 8. Планът за киберсигурност се преразглежда на всеки две години или по-често, когато е необходимо, след оценките на зрелостта по отношение на киберсигурността, които се извършват съгласно член 7, или след всеки съществен преглед на рамката.
2.
Планът за киберсигурност включва плана на субекта на Съюза за управление на киберкризи при съществени инциденти.
3.
Субектът на Съюза представя изготвения план за киберсигурност на Междуинституционалния съвет по киберсигурност, създаден съгласно член 10.
ГЛАВА III
МЕЖДУИНСТИТУЦИОНАЛЕН СЪВЕТ ПО КИБЕРСИГУРНОСТ
Член 10
Междуинституционален съвет по киберсигурност
1.
Създава се Междуинституционален съвет по киберсигурност (МСК).
2.
МСК отговаря за:
a)
мониторинга и подкрепата за целите на прилагането на настоящия регламент от страна на субектите на Съюза;
б)
надзора по отношение на изпълнението на общите приоритети и цели от страна на CERT-EU и даването на стратегически насоки на CERT-EU.
3.
МСК се състои от:
a)
по един представител, определен от всеки от посочените по-долу:
i)
Европейския парламент;
ii)
Европейския съвет;
iii)
Съвета на Европейския съюз;
iv)
Комисията;
v)
Съда на Европейския съюз;
vi)
Европейската централна банка;
vii)
Европейската сметна палата;
viii)
Европейската служба за външна дейност;
ix)
Европейския икономически и социален комитет;
x)
Европейския комитет на регионите;
xi)
Европейската инвестиционна банка;
xii)
Европейския център за промишлени, технологични и изследователски експертни познания в областта на киберсигурността;
xiii)
ENISA;
xiv)
Европейския надзорен орган по защита на данните (ЕНОЗД);
xv)
Агенцията на Европейския съюз за космическата програма;
б)
трима представители, определени от Мрежата от агенции на Съюза (EUAN) въз основа на предложение на нейния Консултативен комитет за ИКТ, за да представляват интересите на органите, службите и агенциите на Съюза, управляващи своя собствена ИКТ среда и различни от посочените в буква а).
Субектите на Съюза, които са представени в МСК, се стремят да постигнат баланс между половете сред определените представители.
4.
Членовете на МСК може да се подпомагат от заместник. Председателят може да покани и други представители на субектите на Съюза, посочени в параграф 3, или на други субекти на Съюза да присъстват на заседанията на МСК без право на глас.
5.
Ръководителят на CERT-EU и председателите на групата за сътрудничество, мрежата на ЕРИКС и EU-CyCLONe, създадени съответно съгласно членове 14, 15 и 16 от Директива (ЕС) 2022/2555, или техните заместници могат да участват в заседанията на МСК като наблюдатели. В изключителни случаи и в съответствие с вътрешния процедурен правилник на МСК той може да реши друго.
6.
МСК приема свой вътрешен процедурен правилник.
7.
МСК определя, съответствие със своя вътрешен процедурен правилник, председател измежду своите членове за срок от три години. Заместник-председателят става пълноправен член на МСК за същия срок.
8.
МСК провежда заседания най-малко три пъти годишно по инициатива на своя председател, по искане на CERT-EU или по искане на някой от своите членове.
9.
Всеки член на МСК има един глас. Решенията на МСК се вземат с обикновено мнозинство, освен ако в настоящия регламент не е предвидено друго. Председателят на МСК не гласува, освен при равен брой гласове, когато председателят може да участва в гласуването с решаващ глас.
10.
МСК може да предприема действия чрез опростена писмена процедура, която започва в съответствие със своя вътрешен процедурен правилник. Съгласно тази процедура съответното решение се счита за одобрено в определения от председателя срок, освен ако някой от членовете не направи възражение.
11.
Секретариатът на МСК се осигурява от Комисията и се отчита пред председателя на МСК.
12.
Представителите, определени от EUAN, предават решенията на МСК на членовете на EUAN. Всеки член на EUAN има право да отправя до тези представители или до председателя на МСК всякакви въпроси, които счита, че трябва да бъдат отнесени до МСК.
13.
МСК може да създаде изпълнителен комитет, който да го подпомага в неговата работа, и да му делегира някои от своите задачи и правомощия. МСК утвърждава процедурния правилник на изпълнителния комитет, включително неговите задачи и правомощия, както и мандата на неговите членове.
14.
До 8 януари 2025 г. и ежегодно след това МСК представя на Европейския парламент и на Съвета доклад, в който подробно се описва напредъкът, постигнат при прилагането на настоящия регламент, и се посочва по-специално степента на сътрудничество на CERT-EU с неговите партньори във всяка от държавите членки. Докладът представлява част от материалите за двугодишния доклад за състоянието на киберсигурността в Съюза, който се приема съгласно член 18 от Директива (ЕС) 2022/2555.
Член 11
Задачи на МСК
При изпълнение на своите отговорности МСК по-специално:
a)
дава насоки на ръководителя на CERT-EU;
б)
извършва ефективен мониторинг и надзор върху прилагането на настоящия регламент и оказва подкрепа на субектите на Съюза с цел укрепване на тяхната киберсигурност, включително, когато е целесъобразно, като изисква ad hoc доклади от субектите на Съюза и CERT-EU;
в)
след стратегическа дискусия приема многогодишна стратегия за повишаване на нивото на киберсигурност в субектите на Съюза, оценява тази стратегия редовно и във всеки случай на всеки пет години, и когато е необходимо, я изменя;
г)
установява методиката и организационните аспекти за извършването на доброволни партньорски проверки от субектите на Съюза с цел извличане на поуки от споделения опит, укрепване на взаимното доверие, постигане на високо общо ниво на киберсигурност, както и повишаване на способностите на субектите на Съюза в областта на киберсигурността, като се гарантира, че тези партньорски проверки се извършват от експерти в областта на киберсигурността, определени от субект на Съюза, различен от проверявания субект на Съюза, и че методиката се основава на член 19 от Директива (ЕС) 2022/2555 и, когато е целесъобразно, е адаптирана към субектите на Съюза;
д)
одобрява годишната работна програма на CERT-EU въз основа на предложение на ръководителя на CERT-EU и извършва мониторинг на нейното изпълнение;
e)
одобрява каталог на услугите на CERT-EU въз основа на предложение на ръководителя на CERT-EU и евентуалните му актуализации;
ж)
одобрява годишното финансово планиране на приходите и разходите за дейностите на CERT-EU, включително неговото щатно разписание, въз основа на предложение на ръководителя на CERT-EU;
з)
одобрява правилата за споразуменията за нивото на обслужване въз основа на предложение на ръководителя на CERT-EU;
и)
разглежда и одобрява годишния доклад, изготвен от ръководителя на CERT-EU, който обхваща дейностите на CERT-EU и управлението на средствата от страна на CERT-EU;
й)
одобрява на ключовите показатели за ефективност (КПЕ) по отношение на CERT-EU, които са установени въз основа на предложение на ръководителя на CERT-EU, и извършва мониторинг в тази връзка;
к)
одобрява договорености за сътрудничество, споразумения за нивото на обслужване или договори между CERT-EU и други субекти съгласно член 18;
л)
приема насоки и препоръки въз основа на предложение на CERT-EU съгласно член 14 и дава указания на CERT-EU за издаване, оттегляне или изменение на предложение за насоки или препоръки или за призив за действие;
м)
създава технически консултативни групи с конкретни задачи, които да подпомагат работата на МСК, одобрява техния мандат и определя съответните им председатели;
н)
получава и оценява документи и доклади, представени от субектите на Съюза съгласно настоящия регламент, като например оценките на зрелостта по отношение на киберсигурността;
o)
улеснява създаването на неформална група на местните служители по киберсигурността на субектите на Съюза, ползваща се с подкрепата на ENISA, с цел обмен на най-добри практики и информация във връзка с прилагането на настоящия регламент;
п)
като взема предвид предоставената от CERT-EU информация за установените рискове за киберсигурността и извлечените поуки, извършва мониторинг на адекватността на механизмите за взаимосвързаност между ИКТ средите на субектите на Съюза и дава консултации във връзка с възможни подобрения;
р)
изготвя план за управление на киберкризи с цел да окаже подкрепа на оперативно равнище при координираното управление на съществени инциденти, засягащи субекти на Съюза, и да допринесе за редовния обмен на съответна информация, по-специално по отношение на въздействието и тежестта на съществени инциденти и възможните начини за смекчаване на последиците от тях;
с)
координира приемането на плановете на отделните субекти на Съюза за управление на киберкризи, посочени в член 9, параграф 2;
т)
приема препоръки относно сигурността на веригата на доставки, посочени в член 8, параграф 2, първа алинея, буква м), като взема предвид резултатите от координираните на равнището на Съюза оценки на риска за сигурността на критичните вериги на доставка, посочени в член 22 от Директива (ЕС) 2022/2555, за да окаже подкрепа на субектите на Съюза при приемането на ефективни и пропорционални мерки за управление на рисковете за киберсигурността.
Член 12
Съответствие
1.
МСК извършва ефективен мониторинг съгласно член 10, параграф 2 и член 11 на прилагането на настоящия регламент и на приетите насоки, препоръки и призиви за действие от страна на субектите на Съюза. МСК може да поиска от субектите на Съюза информация или документация, необходими за тази цел. За целите на приемането на мерки за постигане на съответствие съгласно настоящия член, когато съответният субект на Съюза е пряко представляван в МСК, този субект на Съюза няма право на глас.
2.
Когато МСК установи, че субект на Съюза не прилага ефективно настоящия регламент или отправените съгласно него насоки, препоръки или призиви за действие, той може, без да се засягат вътрешните процедури на съответния субект на Съюза и след като даде на съответния субект на Съюза възможност да представи коментари:
a)
да изпрати мотивирано становище на съответния субект на Съюза, съдържащо наблюдаваните пропуски в прилагането на настоящия регламент;
б)
да даде насоки на съответния субект на Съюза, след консултация със CERT-EU, за да гарантира, че неговата рамка, мерки за управление на рисковете за киберсигурността, планове за киберсигурност и докладване се привеждат в съответствие с настоящия регламент в рамките на определен срок;
в)
да отправи предупреждение за отстраняване на установените недостатъци в рамките на определен срок, включително препоръки за изменение на мерките, приети от съответния субект на Съюза съгласно настоящия регламент;
г)
да отправи мотивирано уведомление до съответния субект на Съюза, в случай че недостатъците, установени в отправеното съгласно буква в) предупреждение, не са отстранени в достатъчна степен в рамките на определения срок;
д)
да отправи:
i)
препоръка за извършване на одит; или
ii)
искане за извършване на одит от служба за одит на трето лице;
e)
ако е приложимо, да информира Сметната палата, в съответствие с нейния мандат, за твърдяното нарушение;
ж)
да отправи препоръка всички държави членки и субекти на Съюза да спрат временно потоците от данни към съответния субект на Съюза.
За целите на първа алинея, буква в) адресатите на предупреждението се ограничават по подходящ начин, когато е необходимо предвид риска за киберсигурността.
Отправените съгласно първа алинея предупреждения и препоръки се насочват към висшето ръководство на съответния субект на Съюза.
3.
Когато МСК е приел мерки съгласно параграф 2, първа алинея, букви а) – ж), съответният субект на Съюза предоставя подробни сведения за мерките и действията, предприети за отстраняване на установените от МСК предполагаеми недостатъци. Субектът на Съюза представя тези подробни сведения в разумен срок, който се договаря с МСК.
4.
Когато МСК счете, че е налице трайно нарушение на настоящия регламент от страна на субект на Съюза, произтичащо пряко от действия или бездействия на длъжностно лице или друг служител на Съюза, включително на висшето ръководство, МСК изисква от съответния субект на Съюза да предприеме подходящи действия, включително изисква от него да разгледа възможността за предприемането на действия от дисциплинарен характер, в съответствие с правилата и процедурите, установени в Правилника за длъжностните лица, и всякакви други приложими правила и процедури. За тази цел МСК предава необходимата информация на съответния субект на Съюза.
5.
Когато субектите на Съюза уведомят, че не са в състояние да спазят сроковете, определени в член 6, параграф 1 и член 8, параграф 1, МСК може в надлежно обосновани случаи, като взема предвид размера на субекта на Съюза, да разреши удължаването на тези срокове.
ГЛАВА IV
CERT-EU
Член 13
Мисия и задачи на CERT-EU
1.
Мисията на CERT-EU е да допринася за сигурността на некласифицираната ИКТ среда на субектите на Съюза посредством предоставяне на консултации в областта на киберсигурността, осигуряване на подкрепа за предотвратяването, откриването, действията, смекчаването, реагирането и възстановяването от инциденти и извършването на дейност като техен координационен център за обмен на информация и реагиране при инциденти в областта на киберсигурността.
2.
CERT-EU събира, управлява, анализира и обменя информация със субектите на Съюза относно киберзаплахи, уязвимости и инциденти в некласифицираната ИКТ инфраструктура. Той координира реакцията при инциденти на междуинституционално равнище и на равнището на субекта на Съюза, включително като предоставя или координира предоставянето на специализирана оперативна помощ.
3.
CERT-EU изпълнява следните задачи с цел подпомагане на субектите на Съюза:
a)
оказва подкрепа при прилагането на настоящия регламент и допринася за координацията във връзка с прилагането на настоящия регламент чрез мерките, изброени в член 14, параграф 1, или чрез доклади ad-hoc, поискани от МСК;
б)
предлага стандартните услуги на ЕРИКС за субектите на Съюза посредством пакет от услуги за киберсигурност, описани в неговия каталог на услугите (базови услуги);
в)
поддържа мрежа от различни партньори с цел оказване подкрепа във връзка с услугите, посочени в членове 17 и 18;
г)
насочва вниманието на МСК към всички проблеми, свързани с прилагането на настоящия регламент и с изпълнението на насоките, препоръките и призивите за действие;
д)
въз основа на посочената в параграф 2 информация, допринася за ситуационната осведоменост на Съюза по отношение на киберпространството в тясно сътрудничество с ENISA.
e)
координира управлението на съществени инциденти;
ж)
действа от страна на субектите на Съюза като еквивалент на координатора, определен за целите на координираното оповестяване на уязвимости съгласно член 12, параграф 1 от Директива (ЕС) 2022/2555;
з)
извършва, по искане на субект на Съюза, изпреварващо неинвазивно сканиране на публично достъпните мрежови и информационни системи на субект на Съюза.
Информацията, посочена в първа алинея, буква д), се споделя с МСК, мрежата на ЕРИКС и Центъра на Европейския съюз за анализ на информация (EU INTCEN), когато е приложимо и целесъобразно, и при спазване на подходящи условия за поверителност.
4.
CERT-EU може в съответствие с член 17 или 18, в зависимост от случая, да си сътрудничи със съответните общности в областта на киберсигурността в рамките на Съюза и неговите държави членки, включително в следните области:
a)
готовност, координация при инциденти, обмен на информация и реагиране на техническо равнище при кризи в случаи, свързани със субекти на Съюза;
б)
оперативно сътрудничество във връзка с мрежата на ЕРИКС, включително по отношение на взаимопомощта;
в)
разузнавателни данни за киберзаплахи, включително ситуационна осведоменост;
г)
по всяка тема, за която се изисква експертният технически опит на CERT-EU в областта на киберсигурността.
5.
В рамките на своята област на компетентност CERT-EU участва в структурирано сътрудничество с ENISA с цел изграждане на капацитет, оперативно сътрудничество и дългосрочни стратегически анализи на киберзаплахите в съответствие с Регламент (ЕС) 2019/881. CERT-EU може да си сътрудничи и да обменя информация с Европейския център за борба с киберпрестъпността на Европол.
6.
CERT-EU може да предоставя следните услуги, които не са описани в неговия каталог на услугите (услуги, за които се събира такса):
a)
услуги за оказване на подкрепа във връзка с киберсигурността на ИКТ средата на субекти на Съюза, различни от посочените в параграф 3, въз основа на споразумения за нивото на обслужване и в зависимост от наличните ресурси, по-специално многостранен мониторинг на мрежите, включително 24-часов мониторинг 7 дни в седмицата на първа линия за киберзаплахи със сериозни последици;
б)
услуги за оказване на подкрепа във връзка със свързани с киберсигурността операции или проекти на субекти на Съюза, различни от насочените към защитата на тяхната ИКТ среда, въз основа на писмени споразумения и с предварителното одобрение на МСК;
в)
при поискване – изпреварващо сканиране на мрежовите и информационните системи на съответния субект на Съюза с цел откриване на уязвимости с възможно значително въздействие;
г)
услуги за оказване на подкрепа във връзка със сигурността на ИКТ средата на организации, различни от субектите на Съюза, които си сътрудничат тясно със субектите на Съюза, например чрез възлагане на задачи или отговорности съгласно правото на Съюза, въз основа на писмени споразумения и с предварителното одобрение на МСК.
По отношение на първа алинея, буква г) CERT-EU може по изключение да сключва споразумения за нивото на обслужване с образувания, различни от субектите на Съюза, с предварително одобрение от МСК.
7.
CERT-EU организира и може да участва в учения в областта на киберсигурността или да препоръчва участие в съществуващи учения, когато е целесъобразно - в тясно сътрудничество с ENISA, с цел проверка на нивото на киберсигурност на субектите на Съюза.
8.
CERT-EU може да предоставя помощ на субектите на Съюза във връзка с инциденти в мрежови и информационни системи, работещи с КИЕС, когато съответните субекти на Съюза изрично поискат това съгласно своите съответни процедури. Предоставянето на помощ от CERT-EU съгласно настоящия параграф не засяга приложимите правила относно защитата на класифицирана информация.
9.
CERT-EU уведомява субектите на Съюза за своите процедури и протоколи за действия при инциденти.
10.
CERT-EU представя, с висока степен на поверителност и надеждност и чрез подходящи механизми за сътрудничество и канали на докладване, относима и анонимизирана информация за съществените инциденти и начина, по който са третирани. Тази информация се включва в доклада, посочен в член 10, параграф 14.
11.
CERT-EU, в сътрудничество с ЕНОЗД, оказва подкрепа на съответните субекти на Съюза при справянето с инциденти, водещи до нарушаване на сигурността на личните данни, без да се засягат компетентността и задачите на ЕНОЗД като надзорен орган съгласно Регламент (ЕС) 2018/1725.
12.
CERT-EU може, ако това е изрично поискано от съответните отговарящи за политиката отдели на субектите на Съюза, да предоставя технически консултации или информация във връзка със съответните въпроси на политиката.
Член 14
Насоки, препоръки и призиви за действие
1.
CERT-EU оказва подкрепа при прилагането на настоящия регламент, като отправя:
a)
призиви за действие, в които се описват спешни мерки за сигурност, които субектите на Съюза настоятелно се призовават да предприемат в рамките на определен срок;
б)
предложения до МСК за насоки, насочени към всички субекти на Съюза или към част от тях;
в)
предложения до МСК за препоръки, насочени към отделни субекти на Съюза.
По отношение на първа алинея, буква а) след получаване на призива за действие съответният субект на Съюза без необосновано забавяне информира CERT-EU за начина, по който са приложени спешните мерки за сигурност.
2.
Насоките и препоръките може да включват:
a)
общи методики и модел за оценка на зрелостта по отношение на киберсигурността на субектите на Съюза, включително съответните скали или КПЕ, които служат като отправна точка в подкрепа на постоянното подобряване на киберсигурността във всички субекти на Съюза и улесняват определянето на приоритета на областите и мерките за киберсигурност, като се взема предвид състоянието на киберсигурността на субектите;
б)
правилата или подобренията във връзка с управлението на риска за киберсигурността, както и мерките за управление на рисковете за киберсигурността;
в)
правилата за оценките на зрелостта по отношение на киберсигурността и плановете за киберсигурност;
г)
когато е целесъобразно, използването на обща технология, отворен код и архитектура и свързаните с тях най-добри практики с цел постигане на оперативна съвместимост и общи стандарти, включително координиран подход към сигурността на веригите за доставка;
д)
когато е целесъобразно, информация за улесняване на използването на инструменти за съвместно възлагане на поръчки за закупуването на съответните услуги и продукти в областта на киберсигурността от доставчици, които са трети лица;
e)
правила за обмен на информация съгласно член 20.
Член 15
Ръководител на CERT-EU
1.
Комисията назначава ръководителя на CERT-EU, след като получи одобрението на мнозинство от две трети от членовете на МСК. На всички етапи на процедурата по назначаване на ръководителя на CERT-EU се провеждат консултации с МСК, по-специално по отношение на изготвянето на обявленията за свободна длъжност, разглеждането на кандидатурите и назначаването на комисии за подбор във връзка с длъжността. Процедурата за подбор, включително окончателният списък с кандидати, от който ще бъде назначен ръководителят на CERT-EU, трябва да гарантира справедлива представеност на всеки пол, като се вземат предвид подадените кандидатури.
2.
Ръководителят на CERT-EU отговаря за правилното функциониране на CERT-EU и действа в рамките на функциите си и под ръководството на МСК. Ръководителят на CERT-EU докладва редовно на председателя на МСК и представя ad hoc доклади на МСК по негово искане.
3.
Ръководителят на CERT-EU подпомага отговорния оправомощен разпоредител с бюджетни кредити при изготвянето на годишния отчет за дейността, съдържащ финансова информация и информация за управлението, включително резултатите от контрола, изготвян съгласно член 74, параграф 9 от Регламент (ЕС, Евратом) 2018/1046 на Европейския парламент и на Съвета (
1
), и редовно докладва на оправомощения разпоредител с бюджетни кредити за изпълнението на мерките, по отношение на които са били делегирани правомощия на ръководителя на CERT-EU.
4.
Ръководителят на CERT-EU изготвя ежегодно финансов план на административните приходи и разходи за дейностите му, предложение за годишна работна програма, предложение за каталог на услугите на CERT-EU, предложения за преразглеждане на каталога на услугите, предложение за правила за споразуменията за нивото на обслужване и предложение за КПЕ за CERT-EU, които се одобряват от МСК в съответствие с член 11. При преразглеждането на списъка на услугите в каталога на услугите на CERT-EU ръководителят на CERT-EU взема предвид разпределените на CERT-EU ресурси.
5.
Най-малко веднъж годишно ръководителят на CERT-EU представя на МСК и на председателя на МСК доклади относно дейността и резултатите от дейността на CERT-EU по време на референтния период, включително относно изпълнението на бюджета, сключените споразумения за нивото на обслужване и писмени споразумения, сътрудничеството с различни партньори и предприетите от персонала задания, включително докладите, посочени в член 11. Тези доклади включват работна програма за следващия период, финансово планиране на приходите и разходите, включително щатното разписание, планирани актуализации на каталога с услуги на CERT-EU и оценка на очакваното въздействие, което тези актуализации могат да окажат по отношение на финансовите и човешките ресурси.
Член 16
Финансови въпроси и въпроси, свързани с персонала
1.
CERT-EU се включва в административната структура на една от генералните дирекции на Комисията, за да се ползва от структурите на Комисията за подкрепа при административната дейност, финансовото управление и счетоводството, като същевременно запазва положението си на автономен междуинституционален доставчик на услуги за всички субекти на Съюза. Комисията информира МСК за мястото на CERT-EU в административната структура, както и за всички промени във връзка с това. Комисията прави редовен преглед на административните правила, свързани със CERT-EU, и във всеки случай преди установяването на всяка многогодишна финансова рамка съгласно член 312 ДФЕС, за да даде възможност за предприемане на подходящи действия. Прегледът включва разглеждане на възможността за учредяване на CERT-EU като служба на Съюза.
2.
По отношение на прилагането на административните и финансовите процедури ръководителят на CERT-EU действа под ръководството на Комисията и под надзора на МСК.
3.
Задачите и дейностите на CERT-EU, включително услугите, предоставяни на субектите на Съюза съгласно член 13, параграфи 3, 4, 5 и 7 и член 14, параграф 1, които се финансират по функцията на многогодишната финансова рамка, предназначена за европейската публична администрация, се финансират чрез отделен бюджетен ред от бюджета на Комисията. Определените за CERT-EU длъжности се описват подробно в бележка под линия към щатното разписание на Комисията.
4.
Субектите на Съюза, различни от посочените в параграф 3, правят годишни финансови вноски за дейността на CERT-EU с цел покриване на услугите, предоставяни от CERT-EU съгласно този параграф. Вноските се правят въз основа на насоките, дадени от МСК и договорени между всеки субект на Съюза и CERT-EU в споразуменията за нивото на обслужване. Вноските представляват справедлив и пропорционален дял от общите разходи за предоставените услуги. Те се получават по отделния бюджетен ред, посочен в параграф 3 от настоящия член, като целеви приходи съгласно член 21, параграф 3, буква в) от Регламент (ЕС, Евратом) 2018/1046.
5.
Разходите за услугите, предвидени в член 13, параграф 6, се възстановяват от субектите на Съюза, които използват услугите на CERT-EU. Приходите се разпределят по бюджетните редове в подкрепа на разходите.
Член 17
Сътрудничество между CERT-EU и партньори в държавите членки
1.
CERT-EU без необосновано забавяне си сътрудничи и обменя информация с партньорите си в държавите членки, по-специално ЕРИКС, определени или създадени съгласно член 10 от Директива (ЕС) 2022/2555, или когато е приложимо, компетентните органи и единните звена за контакт, определени или създадени съгласно член 8 от посочената директива, по отношение на инциденти, киберзаплахи, уязвимости, ситуации, близки до инцидент, евентуални мерки за противодействие, както и най-добри практики, и по всички въпроси от значение за подобряването на защитата на ИКТ средите на субектите на Съюза, включително чрез мрежата на ЕРИКС, посочена в член 15 от Директива (ЕС) 2022/2555. CERT-EU оказва на Комисията подкрепа в мрежата EU-CyCLONe, създадена съгласно член 16 от Директива (ЕС) 2022/2555, във връзка с координираното управление на мащабни киберинциденти и киберкризи.
2.
Когато CERT-EU узнае за настъпването на значим инцидент на територията на дадена държава членка, той без забавяне уведомява съответния партньор в тази държава членка в съответствие с параграф 1.
3.
При условие че личните данни са защитени в съответствие с приложимото право на Съюза за защита на данните, CERT-EU без необосновано забавяне обменя относима информация за конкретен инцидент с партньорите в държавите членки, за да се улесни откриването на подобни киберзаплахи или инциденти или за да допринесе за анализа на инцидента, без разрешението на засегнатия субект на Съюза. CERT-EU обменя информация за конкретен инцидент, от която става ясна мишената на инцидента, само в някой от следните случаи:
a)
засегнатият субект на Съюза дава съгласието си;
б)
засегнатият субект на Съюза не е дал съгласие съгласно буква а), но разкриването на това кой е засегнатият субект на Съюза би увеличило вероятността инцидентите другаде да бъдат избегнати или смекчени;
в)
засегнатият субект на Съюза вече е оповестил публично, че е бил засегнат.
Решенията за обмен на информация за конкретен инцидент, от която става ясна мишената на инцидента съгласно първа алинея, буква б), се одобряват от ръководителя на CERT-EU. Преди да приеме такова решение, CERT-EU се свързва писмено със засегнатия субект на Съюза, като обяснява ясно как разкриването на това кой е засегнатият субект на Съюза би спомогнало да бъдат избегнати или смекчени инцидентите другаде. Ръководителят на CERT-EU предоставя обяснението и изрично изисква от субекта на Съюза да посочи дали дава съгласието си в рамките на определен срок. Ръководителят на CERT-EU също така информира субекта на Съюза, че с оглед на предоставеното обяснение си запазва правото да разкрие информацията дори при липсата на съгласие. Засегнатият субект на Съюза се уведомява преди разкриването на информацията.
Член 18
Сътрудничество между CERT-EU и други партньори
1.
CERT-EU може да си сътрудничи с партньори в Съюза, различни от посочените в член 17, за които се прилагат изискванията на Съюза относно киберсигурността, включително с партньори от конкретни промишлени отрасли, във връзка с инструменти и методи, например техники, тактики, процедури и добри практики, както и във връзка с киберзаплахи и уязвимости. За всяко сътрудничество с такива партньори CERT-EU иска предварително одобрение от МСК във всеки отделен случай. Когато CERT-EU установява сътрудничество с такива партньори, той информира съответните посочени в член 17, параграф 1 партньори в държавата членка, в която се намира партньорът. Когато е приложимо и целесъобразно, това сътрудничество и съответните условия, включително по отношение на киберсигурността, защитата на данните и работата с информация, се установяват в специални договорености за поверителност, като например договори или административни договорености. За договореностите за поверителност не е необходимо предварително одобрение от МСК, но неговият председател трябва да бъде информиран за тях. В случай на спешна и непосредствена нужда от обмен на информация в областта на киберсигурността в интерес на субектите на Съюза или на друго лице, CERT-EU може да извърши такъв обмен със субект, от чиято специфична компетентност, капацитет и експертен опит съществува оправдана необходимост с оглед на получаване на помощ във връзка с такава спешна и непосредствена нужда, дори ако CERT-EU не е постигнал договореност за поверителност с този субект. В такива случаи CERT-EU незабавно информира председателя на МСК и докладва на МСК чрез редовни доклади или заседания.
2.
CERT-EU може да си сътрудничи с партньори, като например търговски субекти, включително субекти от конкретни промишлени отрасли, международни организации, национални субекти от държави извън Съюза или отделни експерти, с цел събиране на информация относно общи и конкретни киберзаплахи, ситуации, близки до инцидент, уязвимости и възможни мерки за противодействие. За по-широкообхватно сътрудничество с такива партньори CERT-EU иска предварително одобрение от МСК във всеки отделен случай.
3.
CERT-EU може, със съгласието на субекта на Съюза, който е засегнат от инцидент, и при условие че е налице договореност или договор за неразкриване на информация със съответния партньор или сътрудник, да предоставя информация във връзка с конкретния инцидент на различните партньори, посочени в параграфи 1 и 2, единствено с цел да допринесат за неговия анализ.
ГЛАВА V
ЗАДЪЛЖЕНИЯ ЗА СЪТРУДНИЧЕСТВО И ДОКЛАДВАНЕ
Член 19
Работа с информация
1.
Субектите на Съюза и CERT-EU спазват задължението за професионална тайна в съответствие с член 339 ДФЕС или равностойни приложими уредби.
2.
Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета (
2
) се прилага по отношение на исканията за публичен достъп до документи, съхранявани от CERT-EU, включително предвиденото в посочения регламент задължение за консултация с други субекти на Съюза или, когато е приложимо, с държави членки, когато дадено искане се отнася до техни документи.
3.
При работата с информация от страна на субектите на Съюза и CERT-EU се спазват приложимите правила относно информационната сигурност.
Член 20
Правила за обмен на информация в областта на киберсигурността
1.
Субектите на Съюза могат на доброволна основа да уведомяват CERT-EU и да му предоставят информация за инциденти, киберзаплахи, ситуации, близки до инциденти, и уязвимости, които ги засягат. CERT-EU осигурява наличието на ефикасни средства за комуникация с високо равнище на проследимост, поверителност и надеждност с цел улесняване на споделянето на информация със субектите на Съюза. При обработването на уведомленията CERT-EU може да обработва задължителните уведомления с предимство пред доброволните уведомления. Без да се засяга член 12, доброволното уведомяване не води до налагането на никакви допълнителни задължения за подалия уведомлението субект на Съюза, които той не би имал, ако не беше подал уведомлението.
2.
За да изпълнява мисията и задачите си, възложени съгласно член 13, CERT-EU може да поиска от субектите на Съюза да му предоставят информация от регистрите на съответните си ИКТ системи, включително информация, свързана с киберзаплахи, ситуации, близки до инциденти, уязвимости, показатели за нарушаване на сигурността, предупреждения във връзка с киберсигурността и препоръки относно конфигурацията на инструментите за киберсигурност за откриване на инциденти. Субектът на Съюза, към който е отправено искането, предава исканата информация и всички нейни последващи актуализации без необосновано забавяне.
3.
CERT-EU може да обменя със субектите на Съюза информация за конкретен инцидент, която разкрива кой е субектът на Съюза, засегнат от инцидента, при условие че засегнатият субект е дал съгласие за това. Когато субект на Съюза откаже да даде съгласието си, той представя на CERT-EU мотивите, обосноваващи това решение.
4.
При поискване субектите на Съюза споделят информация с Европейския парламент и Съвета относно изготвянето на плановете за киберсигурност.
5.
При поискване МСК или CERT-EU, в зависимост от случая, споделят насоки, препоръки и призиви за действие с Европейския парламент и Съвета.
6.
Задълженията за споделяне, предвидени в настоящия член, не обхващат:
a)
КИЕС;
б)
информация, чието по-нататъшно разпространение е изключено чрез видима маркировка, освен ако споделянето ѝ със CERT-EU не е било изрично разрешено.
Член 21
Задължения за докладване
1.
За значим се счита инцидент, който:
a)
е причинил или може да причини сериозно оперативно смущение във функционирането на съответния субект на Съюза или финансови щети за посочения субект;
б)
е засегнал или може да засегне други физически или юридически лица, като причини значителни имуществени или неимуществени вреди.
2.
Всички субекти на Съюза подават до CERT-EU:
a)
без необосновано забавяне и при всички случаи в рамките на 24 часа след узнаването за значимия инцидент – ранно предупреждение, в което, когато е приложимо, се посочва предположението, че значимият инцидент се дължи на незаконосъобразни или злонамерени действия или би могъл да има въздействие върху различни субекти или трансгранично въздействие;
б)
без необосновано забавяне и при всички случаи в рамките на 72 часа след узнаването за значимия инцидент – уведомление за инцидент, в което, когато е приложимо, се актуализира информацията, посочена в буква а), и се съдържа първоначална оценка на значимия инцидент, включително неговата тежест и въздействие, както и, когато има такива, показателите за нарушение на сигурността;
в)
по искане на CERT-EU – междинен доклад за съответните актуализации на положението;
г)
окончателен доклад не по-късно от един месец след подаването на уведомлението за инцидента по буква б), включващ следното:
i)
подробно описание на инцидента, включително неговата тежест и въздействие;
ii)
вида на заплахата или причината, която вероятно е породила инцидента;
iii)
приложените и текущите мерки за ограничаване;
iv)
когато е приложимо, трансграничното въздействие на инцидента или въздействието му върху различни субекти;
д)
в случай на продължаващ инцидент към момента на представяне на окончателния доклад, посочен в буква г), доклад за текущия напредък и окончателен доклад в рамките на един месец от предприемането на действия във връзка с инцидента.
3.
Без необосновано забавяне и при всички случаи в рамките на 24 часа от узнаването за значим инцидент субектът на Съюза информира всички съответни партньори в държавата членка, посочени в член 17, параграф 1, в държавата членка, в която се намира, че е възникнал значим инцидент.
4.
Субектите на Съюза уведомяват, наред с другото, за всяка информация, която дава възможност на CERT-EU да определи въздействието върху различните субекти, въздействието върху държавата членка домакин или трансграничното въздействие след значим инцидент. Без да се засяга член 12, актът на уведомяване сам по себе си не води до повишена отговорност за субекта на Съюза.
5.
Когато е приложимо, субектите на Съюза съобщават без необосновано забавяне на ползвателите на засегнатите мрежови и информационни системи или на други компоненти на ИКТ средата, че е възможно да са засегнати от значим инцидент или значителна киберзаплаха, и когато е целесъобразно, че трябва да предприемат смекчаващи мерки, всякакви други мерки или корективни мерки, които могат да предприемат в отговор на този инцидент или заплаха. Когато е целесъобразно, субектите на Съюза информират тези ползватели за самата значителна киберзаплаха.
6.
Когато значим инцидент или значителна киберзаплаха засяга мрежова и информационна система или компонент от ИКТ средата на субект на Съюза, за която е известно, че е свързана с ИКТ средата на друг субект на Съюза, CERT-EU отправя съответно предупреждение във връзка с киберсигурността.
7.
Субектите на Съюза предоставят на CERT-EU, по негово искане и без необосновано забавяне, цифрова информация, създадена чрез използването на електронните устройства, засегнати от съответните инциденти. CERT-EU може да предостави допълнителни подробни сведения за видовете информация, която му е необходима за постигане на ситуационна осведоменост и за реагиране при инциденти.
8.
На всеки три месеца CERT-EU представя на МСК, ENISA, EU INTCEN и мрежата на ЕРИКС обобщен доклад, включващ анонимизирани и обобщени данни относно значимите инциденти, инциденти, киберзаплахи, ситуации, близки до инциденти, и уязвимости съгласно член 20, и значимите инциденти, за които е уведомен съгласно параграф 2 от настоящия член. Обобщеният доклад представлява част от материалите за двугодишния доклад за състоянието на киберсигурността в Съюза, който се приема съгласно член 18 от Директива (ЕС) 2022/2555.
9.
До 8 юли 2024 г. МСК отправя насоки или препоръки, в които допълнително се конкретизират правилата, както и формата и съдържанието на докладването съгласно настоящия член. При изготвянето на тези насоки или препоръки МСК взема предвид всички актове за изпълнение, приети съгласно член 23, параграф 11 от Директива (ЕС) 2022/2555, в които се определят видът на информацията, форматът и процедурата за уведомленията. CERT-EU разпространява подходящите технически подробни сведения, които дават възможност за изпреварващо откриване и реагиране на инциденти или за предприемане на смекчаващи мерки от страна на субектите на Съюза.
10.
Задълженията за докладване, предвидени в настоящия член, не обхващат:
a)
КИЕС;
б)
информация, чието по-нататъшно разпространение е изключено чрез видима маркировка, освен ако споделянето ѝ със CERT-EU не е било изрично разрешено.
Член 22
Координация и сътрудничество при реагиране на инциденти
1.
При извършването на дейността му като координационен център за обмен на информация и реагиране при инциденти в областта на киберсигурността CERT-EU улеснява обмена на информация по отношение на инциденти, киберзаплахи, уязвимости и ситуации, близки до инциденти, между:
a)
субектите на Съюза;
б)
партньорите, посочени в членове 17 и 18.
2.
CERT-EU, когато е целесъобразно – в тясно сътрудничество с ENISA, улеснява координацията между субектите на Съюза във връзка с реагирането при инциденти, което включва:
a)
принос за съгласувани външни комуникации;
б)
взаимна подкрепа, като например споделяне на информация, която е от значение за субектите на Съюза, или предоставяне на помощ, когато е целесъобразно - пряко на място;
в)
оптимално използване на оперативните ресурси;
г)
координация с други механизми за реакция при кризи на равнището на Съюза.
3.
В тясно сътрудничество с ENISA CERT-EU оказва подкрепа на субектите на Съюза по отношение на ситуационната осведоменост във връзка с инциденти, киберзаплахи, уязвимости и ситуации, близки до инцидент, както и при споделяне на съответните промени в областта на киберсигурността.
4.
До 8 януари 2025 г., въз основа на предложение от CERT-EU, МСК приема насоки или препоръки относно координацията и сътрудничеството при реагиране на значими инциденти. Когато се подозира, че даден инцидент е престъпен по своя характер, CERT-EU предоставя консултации във връзка с начина за подаване на сигнал във връзка с инцидента на правоприлагащите органи без необосновано забавяне.
5.
След конкретно искане от държава членка и с одобрението на съответните субекти на Съюза CERT-EU може да се обърне към експертите от списъка, посочен в член 23, параграф 4, за да допринесат за реакцията при съществен инцидент с въздействие в тази държава членка или мащабен киберинцидент в съответствие с член 15, параграф 3, буква ж) от Директива (ЕС) 2022/2555. Специалните правила за достъп и използване на технически експерти от субектите на Съюза се одобряват от МСК въз основа на предложение на CERT-EU.
Член 23
Управление на съществени инциденти
1.
За да окаже подкрепа на оперативно равнище при координираното управление на съществени инциденти, засягащи субекти на Съюза, и да допринесе за редовния обмен на относима информация между субектите на Съюза и с държавите членки, МСК разработва съгласно член 11, буква р) план за управление на киберкризи въз основа на дейностите, описани в член 22, параграф 2, в тясно сътрудничество със CERT-EU и ENISA. Планът за управление на киберкризи включва най-малко следните елементи:
a)
правила относно координацията и информационния поток между субектите на Съюза за управлението на съществени инциденти на оперативно равнище;
б)
общи стандартни оперативни процедури (СОП);
в)
обща таксономия за тежестта на съществените инциденти и за точките, които могат да доведат до криза;
г)
редовни учения;
д)
сигурни канали за комуникация, които да се използват.
2.
В съответствие с плана за управление на киберкризи, изготвен съгласно параграф 1 от настоящия член, и без да се засяга член 16, параграф 2, първа алинея от Директива (ЕС) 2022/2555, представителят на Комисията в МСК е звеното за контакт за споделяне на относима информация във връзка със съществени инциденти с EU-CyCLONe.
3.
CERT-EU координира управлението на съществени инциденти от субектите на Съюза. Той поддържа опис на наличния технически експертен опит, който би бил необходим при реагиране на инциденти в случай на съществени инциденти, и подпомага МСК при координирането на плановете на субектите на Съюза за управление на киберкризи в случай на съществени инциденти, посочени в член 9, параграф 2.
4.
Субектите на Съюза допринасят за изготвянето на описа на техническия експертен опит, като предоставят ежегодно актуализиран списък на наличните в техните организации експерти с подробно описание на техните специфични технически умения.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 24
Първоначално преразпределяне на бюджета
За да се гарантира правилното и стабилно функциониране на CERT-EU, Комисията може да предложи преразпределяне на персонал и финансови ресурси към бюджета на Комисията, които да се използват за операции на CERT-EU. Преразпределянето се извършва едновременно с първия годишен бюджет на Съюза, който се приема след влизането в сила на настоящия регламент.
Член 25
Преглед
1.
До 8 януари 2025 г. и ежегодно след това МСК, със съдействието на CERT-EU, докладва на Комисията за прилагането на настоящия регламент. МСК може да отправя препоръки към Комисията във връзка с прегледа на настоящия регламент.
2.
До 8 януари 2027 г. и на всеки две години след това Комисията оценява прилагането на настоящия регламент и представя на Европейския парламент и на Съвета доклад за прилагането на настоящия регламент и за опита, придобит на стратегическо и оперативно равнище.
В доклада, посочен в първа алинея от настоящия параграф, се включват резултатите от прегледа, посочен в член 16, параграф 1, относно възможността за учредяване на CERT-EU като служба на Съюза.
3.
В срок до 8 януари 2029 г. Комисията извършва оценка на функционирането на настоящия регламент и докладва на Европейския парламент, Съвета, Европейския икономически и социален комитет и Комитета на регионите. Комисията оценява също така целесъобразността в обхвата на настоящия регламент да бъдат включени мрежовите и информационните системи, работещи с КИЕС, като взема предвид други законодателни актове на Съюза, приложими за тези системи. Ако е необходимо, докладът се придружава от законодателно предложение.
Член 26
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз .
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
(
1
) Регламент (ЕС, Евратом) 2018/1046 на Европейския парламент и на Съвета от 18 юли 2018 г. за финансовите правила, приложими за общия бюджет на Съюза, за изменение на регламенти (ЕС) № 1296/2013, (ЕС) № 1301/2013, (ЕС) № 1303/2013, (ЕС) № 1304/2013, (ЕС) № 1309/2013, (ЕС) № 1316/2013, (ЕС) № 223/2014 и (ЕС) № 283/2014 и на Решение № 541/2014/ЕС и за отмяна на Регламент (ЕС, Евратом) № 966/2012 (ОВ L 193, 30.7.2018 г., стр. 1).
(
2
) Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета от 30 май 2001 г. относно публичния достъп до документи на Европейския парламент, на Съвета и на Комисията (ОВ L 145, 31.5.2001 г., стр. 43).