31.1.2018   

LV

Eiropas Savienības Oficiālais Vēstnesis

L 26/48

(1)

Saskaņā ar Direktīvu (ES) 2016/1148 digitālo pakalpojumu sniedzēji saglabā rīcības brīvību veikt tehniskus un organizatoriskus pasākumus, kurus uzskata par atbilstīgiem un samērīgiem, lai pārvaldītu risku, kas tiek radīts to tīklu un informācijas sistēmu drošībai, ar nosacījumu, ka minētie pasākumi nodrošina pienācīgu drošības līmeni un tajos ņemti vērā minētajā direktīvā noteiktie elementi.

(2)

Nosakot atbilstīgus un samērīgus tehniskus un organizatoriskus pasākumus, digitālo pakalpojumu sniedzējam informācijas drošība būtu jāskata sistēmiski, izmantojot uz risku balstītu pieeju.

(3)

Lai nodrošinātu sistēmu un iekārtu drošību, digitālo pakalpojumu sniedzējiem būtu jāveic novērtēšanas un analīzes procedūras. Šīm darbībām būtu jāattiecas uz tīklu un informācijas sistēmu sistemātisku pārvaldību, fizisko un vides drošību, piegādes drošību un piekļuves kontroli.

(4)

Digitālo pakalpojumu sniedzēji būtu jāmudina, veicot riska analīzi tīklu un informācijas sistēmu sistemātiskā pārvaldībā, identificēt konkrētus riskus un skaitliski izmērīt to būtiskumu, piemēram, identificējot svarīgākajiem objektiem radītu apdraudējumu, nosakot, kā tas var ietekmēt darbības, kā arī to, kā labāk novērst minēto apdraudējumu, izmantojot pašreizējās spējas un vajadzīgos resursus.

(5)

Cilvēkresursu politika varētu attiekties uz prasmju pārvaldību, ieskaitot aspektus, kuri saistīti ar tādu prasmju pilnveidi, kas attiecas uz drošību, un informētības uzlabošanu. Digitālo pakalpojumu sniedzēji būtu jāmudina, lemjot par atbilstīgu politiku attiecībā uz darbības drošību, ņemt vērā izmaiņu pārvaldības, ievainojamības pārvaldības, darbības un administratīvās prakses formalizēšanas un sistēmas kartēšanas aspektus.

(6)

Politika, kas attiecas uz drošības arhitektūru, jo īpaši varētu aptvert tīklu un sistēmu nodalīšanu, kā arī konkrētus drošības pasākumus svarīgākajām darbībām, piemēram, administrēšanas darbībām. Tīklu un sistēmu nodalīšana varētu ļaut digitālo pakalpojumu sniedzējam tādus elementus kā datu plūsmas nošķirt no skaitļošanas resursiem, kas pieder klientam, klientu grupai, digitālo pakalpojumu sniedzējam vai trešām personām.

(7)

Pasākumiem, kas veikti attiecībā uz fizisko un vides drošību, būtu jānodrošina organizācijas tīklu un informācijas sistēmu drošība no kaitējuma, ko rada tādi incidenti kā zādzība, ugunsgrēks, plūdi vai cita laikapstākļu iedarbība, telesakaru vai elektroapgādes pārtraukumi.

(8)

Piegādes – piemēram, elektroenerģijas, degvielas vai dzesēšanas piegādes – drošībai būtu jāaptver piegādes ķēdes drošība, kas jo īpaši ietver ārējo darbuzņēmēju un apakšuzņēmēju drošību un to pārvaldības drošību. Svarīgāko piegāžu izsekojamība attiecas uz digitālo pakalpojumu sniedzēja spēju noteikt un reģistrēt minēto piegāžu avotus.

(9)

Digitālo pakalpojumu lietotāja jēdzienam būtu jāaptver fiziskas un juridiskas personas, kas ir tiešsaistes tirdzniecības vietas vai mākoņdatošanas pakalpojuma klienti vai abonenti vai kas apmeklē tiešsaistes meklētājprogrammas vietni, lai veiktu meklēšanu pēc atslēgvārdiem.

(10)

Nosakot incidenta ietekmes būtiskumu, šajā regulā izklāstītie gadījumi būtu jāuzskata par būtisku incidentu neizsmeļošu sarakstu. No šīs regulas īstenošanas un Sadarbības grupas darba būtu jāizdara secinājumi par Direktīvas (ES) 2016/1148 11. panta 3. punkta attiecīgi i) un m) apakšpunktā minēto tādas paraugprakses informācijas vākšanu, kas attiecas uz riskiem un incidentiem, un tādas kārtības apspriešanu, kas paredzēta ziņošanai par paziņojumiem par incidentiem. Pamatojoties uz šiem secinājumiem, varētu izstrādāt visaptverošas pamatnostādnes par paziņošanas rādītāju kvantitatīvām robežvērtībām, kuras sasniedzot digitālo pakalpojumu sniedzējiem būtu jāziņo saskaņā ar Direktīvas (ES) 2016/1148 16. panta 3. punktu. Komisija attiecīgā gadījumā var arī apsvērt šajā regulā noteikto robežvērtību pārskatīšanu.

(11)

Lai kompetentās iestādes varētu tikt informētas par potenciāliem jauniem riskiem, digitālo pakalpojumu sniedzēji būtu jāmudina brīvprātīgi ziņot par visiem incidentiem, kuru īpašības tiem iepriekš nav bijušas zināmas, piemēram, par jauniem mūķiem, uzbrukuma vektoriem vai apdraudējuma radītājiem, ievainojamību un apdraudējumiem.

(12)

Šī regula būtu jāpiemēro nākamajā dienā pēc Direktīvas (ES) 2016/1148 transponēšanas termiņa beigām.

(13)

Šajā regulā paredzētie pasākumi atbilst Direktīvas (ES) 2016/1148 22. pantā minētās Tīklu un informācijas sistēmu drošības komitejas atzinumam,

a)

tīklu un informācijas sistēmu sistemātiska pārvaldība – informācijas sistēmu kartēšana un tādu atbilstīgu politikas pasākumu kopuma izstrāde, kas attiecas uz informācijas drošības pārvaldību, ieskaitot riska analīzi, cilvēkresursus, darbību drošību, drošības arhitektūru, drošus datus un sistēmas dzīves cikla pārvaldību, kā arī attiecīgā gadījumā šifrēšanu un tās pārvaldību;

b)

fiziskā un vides drošība – tāda pasākumu kopuma pieejamība, kas ļauj aizsargāt digitālo pakalpojumu sniedzēju tīklu un informācijas sistēmu drošību no kaitējuma, izmantojot visus apdraudējumus aptverošu uz risku balstītu pieeju, kas ņem vērā, piemēram, sistēmas atteici, cilvēka kļūdu, ļaunprātīgu darbību vai dabas parādības;

c)

piegādes drošība – tādas atbilstīgas politikas izveide un uzturēšana, kuras mērķis ir nodrošināt svarīgāko piegāžu, kas tiek izmantotas pakalpojumu sniegšanā, pieejamību un attiecīgā gadījumā izsekojamību;

d)

piekļuves tīklu un informācijas sistēmām kontrole – tāda pasākumu kopuma pieejamība, kas nodrošina, lai fiziskā un loģiskā piekļuve tīklu un informācijas sistēmām, ieskaitot tīklu un informācijas sistēmu administratīvo drošību, būtu atļauta un ierobežota, pamatojoties uz darbības nodrošināšanas un drošības prasībām.

a)

atklāšanas procesus un procedūras, kas tiek uzturētas un testētas, lai nodrošinātu laicīgu un pienācīgu informētību par anomāliem notikumiem;

b)

procesus un politiku, kas attiecas uz ziņošanu par incidentiem un trūkumu un ievainojamības konstatēšanu tā informācijas sistēmā;

c)

reaģēšanu saskaņā ar noteiktajām procedūrām un veikto pasākumu rezultātu paziņošanu;

d)

incidenta smaguma pakāpes novērtējumu, incidenta analīzes rezultātā iegūto zināšanu dokumentēšanu un tādas attiecīgas informācijas vākšanu, kas var kalpot par pierādījumu un sekmēt nepārtrauktu uzlabojumu procesu.

a)

tādu ārkārtas rīcības plānu izstrādi un izmantošanu, kuru pamatā ir ietekmes uz darbību analīze, kuri paredzēti digitālo pakalpojumu sniedzēju sniegto pakalpojumu nepārtrauktības nodrošināšanai un kurus regulāri novērtē un testē, piemēram, mācību pasākumos;

b)

negadījuma seku novēršanas spējas, ko regulāri novērtē un testē, piemēram, mācību pasākumos.

a)

plānotu, secīgu novērojumu vai mērījumu veikšanu, lai novērtētu, vai tīklu un informācijas sistēmas darbojas tā, kā paredzēts;

b)

inspicēšanu un verificēšanu, lai pārbaudītu atbilstību standartam vai vadlīniju kopumam, uzskaites pareizību un efektivitātes un rezultativitātes mērķu izpildi;

c)

procesu, kas paredzēts, lai atklātu trūkumus tīklu un informācijas sistēmas drošības mehānismos, kas atbilstīgā veidā aizsargā datus un uztur funkcijas. Šādi procesi iekļauj tehniskos procesus un personālu, kas iesaistīts darba plūsmā.

a)

tādu incidenta skarto fizisko un juridisko personu skaitu, ar kurām ir noslēgts līgums par pakalpojuma sniegšanu; vai

b)

to incidenta skarto lietotāju skaitu, kuri ir izmantojuši attiecīgo pakalpojumu, un šo skaitu nosaka, galvenokārt pamatojoties uz iepriekšējās informācijas plūsmas datiem.

a)

digitālo pakalpojumu sniedzēja sniegtais pakalpojums nav bijis pieejams vairāk kā 5 000 000 lietotājstundu, un “lietotājstunda” šajā gadījumā ir sešdesmit minūšu laikā skarto lietotāju skaits Savienībā;

b)

incidenta rezultātā ir zudusi glabāto, nosūtīto vai apstrādāto datu vai saistīto pakalpojumu, kurus sniedz vai kam var piekļūt ar digitālo pakalpojumu sniedzēja tīklu un informācijas sistēmas palīdzību, integritāte, autentiskums vai konfidencialitāte, un tas ir ietekmējis vairāk nekā 100 000 lietotāju Savienībā;

c)

incidents ir radījis briesmas sabiedrībai, risku sabiedrības drošībai vai draudus dzīvībai;

d)

incidents ir radījis materiālus zaudējumus vismaz vienam lietotājam Savienībā, ja minētajam lietotājam radītie zaudējumi pārsniedz EUR 1 000 000.