31.1.2018   

SV

Europeiska unionens officiella tidning

L 26/48

(1)

Enligt direktiv (EU) 2016/1148 bör leverantörer av digitala tjänster fritt kunna vidta de tekniska och organisatoriska åtgärder som de anser lämpliga för att hantera risker för säkerheten i deras nät- och informationssystem, om dessa åtgärder säkerställer en lämplig säkerhetsnivå och tar hänsyn till de aspekter som föreskrivs i direktivet.

(2)

När leverantörer av digitala tjänster fastställer vilka tekniska och organisatoriska åtgärder som är ändamålsenliga och proportionella bör de ta ett systematiskt grepp på informationssäkerheten och tillämpa ett riskbaserat tillvägagångssätt.

(3)

För att garantera säkerheten för system och anläggningar bör leverantörer av digitala tjänster genomföra bedömnings- och analysförfaranden. Förfarandena bör omfatta en systematisk förvaltning av nät- och informationssystem, fysisk säkerhet och miljösäkerhet, försörjningstrygghet och åtkomstkontroll.

(4)

När leverantörer av digitala tjänster utför en riskanalys inom ramen för en systematisk förvaltning av nät- och informationssystem bör de uppmuntras att identifiera särskilda risker och kvantifiera deras betydelse, t.ex. genom att identifiera hot mot kritiska tillgångar och hur dessa hot påverkar driften och fastställa hur de bäst kan begränsas baserat på befintlig kapacitet och befintliga resurskrav.

(5)

Policyn för mänskliga resurser kan avse förvaltningen av kompetens, inklusive aspekter förbundna med utvecklingen av säkerhetsrelaterad kompetens och åtgärder för att öka medvetenheten. Vid fastställandet av ett antal ändamålsenliga policyer för driftssäkerhet bör leverantören av digitala tjänster uppmuntras att ta hänsyn till aspekter rörande förändringshantering, sårbarhetshantering, formaliserade drifts- och förvaltningsmetoder och systemmappning.

(6)

Policyerna för säkerhetsarkitektur kan i synnerhet omfatta segregering av nätverk och system liksom specifika säkerhetsåtgärder för kritisk drift såsom förvaltningsdrift. Segregeringen av nätverk och system kan göra det möjligt för en leverantör av digitala tjänster att skilja mellan element som dataflöden och datorresurser som hör till en kund, en grupp av kunder, leverantören av digitala tjänster eller tredje part.

(7)

De åtgärder som vidtas med tanke på den fysiska säkerheten och miljösäkerheten bör säkerställa att en organisations nät- och informationssystem skyddas från skador vid incidenter som stöld, brand, översvämning eller annan väderpåverkan samt telekommunikations- eller elavbrott.

(8)

Försörjningstryggheten avseende sådant som el, bränsle eller nedkylning bör omfatta säkerheten i försörjningskedjan, vilket i synnerhet innefattar säkerheten hos tredjeparter som är uppdragstagare eller underleverantörer samt deras ledning. Spårbarhet för kritiska insatsprodukter avser förmågan hos leverantören av digitala tjänster att identifiera och registrera källorna till dessa insatsprodukter.

(9)

Användare av digitala tjänster bör innefatta fysiska och juridiska personer som är kunder eller abonnenter till en internetbaserad marknadsplats eller en molntjänst eller som besöker en internetbaserad sökmotor för att göra sökningar på ord.

(10)

När det fastställs om en incident har en avsevärd inverkan bör de fall som anges i denna förordning anses som en icke-uttömmande förteckning över betydande incidenter. Lärdomar bör dras från genomförandet av denna förordning och från samarbetsgruppens arbete när det gäller insamling av information om bästa praxis avseende risker och incidenter och diskussioner om metoder för rapportering av incidenter enligt artikel 11.3 i och m i direktiv (EU) 2016/1148. Resultatet kan vara övergripande riktlinjer för kvantitativa trösklar för rapporteringsparametrar som kan utlösa rapporteringsskyldigheten för leverantörer av digitala tjänster enligt artikel 16.3 i direktiv (EU) 2016/1148. När så är lämpligt kan kommissionen också överväga att se över de trösklar som för närvarande fastställs i denna förordning.

(11)

För att de behöriga myndigheterna ska kunna hålla sig informerade om potentiella nya risker bör leverantörer av digitala tjänster uppmuntras att frivilligt rapportera alla incidenter med särdrag som tidigare varit okända för dem, t.ex. nya tillvägagångssätt, attackbärare eller hotaktörer, sårbarheter och faror.

(12)

Förordningen bör börja tillämpas dagen efter det att tidsfristen löpt ut för införlivande av direktiv (EU) 2016/1148.

(13)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté för säkerhet i nätverks- och informationssystem som avses i artikel 22 i direktiv (EU) 2016/1148.

a)

Systematisk förvaltning av nät- och informationssystem, vilket avser mappning av informationssystem och fastställande av ett antal ändamålsenliga policyer för hantering av informationssäkerheten, inklusive riskanalys, mänskliga resurser, driftssäkerhet, säkerhetsarkitektur, säker livscykelhantering av data och system och, i förekommande fall, kryptering och hantering av sådan kryptering.

b)

Fysisk säkerhet och miljösäkerhet, vilket avser tillgången till ett antal åtgärder för att skydda säkerheten för nät- och informationssystem hos leverantörer av digitala tjänster från skador med användning av en riskbaserad strategi som omfattar alla faror och som t.ex. omfattar systemfel, den mänskliga faktorn, avsiktligt skadliga handlingar eller naturfenomen.

c)

Försörjningstrygghet, vilket avser införande och upprätthållande av lämpliga policyer för att säkerställa tillgängligheten och i förekommande fall spårbarheten för kritiska insatsprodukter som används för tillhandahållandet av tjänsten.

d)

Åtkomstkontroll för nät- och informationssystem, vilket avser tillgången till en uppsättning åtgärder för att säkerställa att den fysiska och logiska åtkomsten till nät- och informationssystem, inklusive administrativ säkerhet för nät och informationssystem, tillåts och begränsas baserat på verksamhetskrav och säkerhetskrav.

a)

Processer och förfaranden för upptäckt som underhålls och testas för att säkerställa snabb och tillräcklig medvetenhet om avvikelser.

b)

Processer och metoder för rapportering av incidenter och kartläggning av brister och svagheter i deras informationssystem.

c)

Svarsåtgärder i enlighet med fastställda förfaranden och rapportering av resultaten av den vidtagna åtgärden.

d)

Bedömning av incidentens allvarlighetsgrad, dokumentation av kunskapen från incidentanalysen och insamling av relevant information som kan tjäna som bevis och bidra till en kontinuerlig förbättringsprocess.

a)

Upprättande och användning av beredskapsplaner baserade på driftskonsekvensanalys för att säkerställa kontinuiteten för de tjänster som tillhandahålls av leverantörer av digitala tjänster, vilka regelbundet ska bedömas och testas, t.ex. genom övningar.

b)

Kapacitet för katastrofberedskap, vilken regelbundet ska bedömas och testas, t.ex. genom övningar.

a)

Utförandet av en planerad sekvens av observationer och mätningar för att bedöma om nät- och informationssystemen fungerar som avsett.

b)

Inspektion och verifiering för att kontrollera om en standard eller en uppsättning riktlinjer följs, om registreringen är tillförlitlig och om effektivitets- och ändamålsenlighetsmål uppfylls.

c)

En process avsedd för att avslöja brister i ett nät- och informationssystems säkerhetsmekanismer som skyddar data och upprätthåller funktionerna som avsett. Sådana processer ska innefatta tekniska processer och personal som ingår i driftsflödet.

a)

antalet påverkade fysiska eller juridiska personer med vilka ett avtal om tillhandahållande av tjänsten har ingåtts, eller

b)

antalet påverkade användare som har använt tjänsten baserat på i första hand tidigare trafikdata.

a)

Den tjänst som tillhandahålls av en leverantör av digitala tjänster är otillgänglig under mer än 5 000 000 användartimmar, där begreppet användartimme avser antalet användare som påverkas i unionen under 60 minuter.

b)

Incidenten medför en förlust av riktighet, integritet eller konfidentialitet för lagrade, överförda eller behandlade data eller för de tillhörande tjänster som erbjuds eller är tillgängliga via leverantörens nät- och informationssystem och påverkar fler än 100 000 användare i unionen.

c)

Incidenten har gett upphov till en risk för allmän ordning, allmän säkerhet eller människoliv.

d)

Incidenten orsakar materiella skador för minst en användare i unionen och skadorna för denna användare uppgår till över EUR 1 000 000.