Kibernetinio solidarumo aktas

PAGRINDINIAI ASPEKTAI

Taikymo sritis ir tikslas

Šio reglamento bendrasis tikslas – stiprinti solidarumą ES lygmeniu, kartu stiprinant ES pramonės ir paslaugų konkurencinę padėtį visoje skaitmeninėje ekonomikoje ir prisidedant prie ES technologinio suverenumo bei atviro strateginio savarankiškumo kibernetinio saugumo srityje.

Šis tikslas įgyvendinamas pasitelkiant tris pagrindinius ramsčius.

1. Europos kibernetinio saugumo įspėjimų sistema

Ši sistema sukurta siekiant visoje ES beveik tikruoju laiku pagerinti informuotumą apie padėtį ir kibernetinių grėsmių aptikimą; ją sudaro:

• nacionaliniai kibernetinio saugumo centrai, kuriuos paskiria ES valstybės narės;
• tarpvalstybiniai kibernetinio saugumo centrai, kuriuos steigia konsorciumai, kuriuose dalyvauja ne mažiau kaip trys valstybės narės.

Šie kibernetinio saugumo centrai¹ aptinka, analizuoja žvalgybinę informaciją apie kibernetines grėsmes ir ja keičiasi, o jų veiklą palaiko pažangios priemonės, tokios kaip dirbtinis intelektas ir duomenų analizė. Finansavimą administruoja Europos kibernetinio saugumo kompetencijos centras (žr. santrauką) (bendras priemonių, infrastruktūros ir paslaugų pirkimas bei dotacijos jų veiklai).

Siekiant užtikrinti veiksmingą bendradarbiavimą, Europos Sąjungos kibernetinio saugumo agentūra (ENISA) turėjo parengti sąveikumo gaires, įskaitant bendrus formatus ir protokolus, iki 2026 m. vasario 5 d. Tarpvalstybinių kibernetinio saugumo centrų tarpusavyje sudaromi bendradarbiavimo susitarimai turi būti grindžiami šiomis gairėmis.

2. Reagavimo į kibernetinio saugumo krizes mechanizmas

Šis mechanizmas suteikia galimybę teikti koordinuotą ES paramą, kad būtų pasirengta reikšmingiems², didelio masto³ ir didelio masto incidentams prilygstantiems⁴ incidentams ir į juos reaguojama, taip stiprinant ES atsparumą ir valstybių narių solidarumą. Jam priklauso toliau nurodytos sritys.

1. Pasirengimo priemonės, pavyzdžiui:
   • koordinuotas subjektų, vykdančių veiklą ypatingos svarbos sektoriuose, parengties testavimas;
   • parama kitai pasirengimo veiklai subjektams, vykdantiems veiklą ypatingos svarbos ir kituose itin svarbiuose sektoriuose, įskaitant pažeidžiamumo stebėseną, rizikos vertinimus, pratybas ir mokymus.
2. ES kibernetinio saugumo rezervas, kurį sudaro reagavimo į incidentus paslaugos, kurias teikia patikimi valdomų saugumo paslaugų teikėjai, atrinkti pagal ES viešųjų pirkimų procedūras.

Rezervas padeda valstybėms narėms, ES institucijoms ir ES nepriklausančių šalių, prisijungusių prie Skaitmeninės Europos programos (SEP), kompetentingoms institucijoms spręsti tokius incidentus, jeigu jų SEP asociacijos susitarime numatyta tokia galimybė ir jeigu jų dalyvavimą turi patvirtinti Europos Sąjungos Taryba.

Prašymus dėl ES kibernetinio saugumo rezervo naudojimo gali pateikti:

• valstybių narių kibernetinių krizių valdymo institucijos ir nacionalinės reagavimo į kompiuterinius saugumo incidentus tarnybos;
• Sąjungos institucijų, įstaigų, organų ir agentūrų kibernetinio saugumo tarnyba (žr. santrauką);
• kompetentingos institucijos, pavyzdžiui, SEP asocijuotųjų ES nepriklausančių šalių reagavimo į kompiuterinius saugumo incidentus tarnybos ir kibernetinių krizių valdymo institucijos.

Europos Komisija prisiima bendrą atsakomybę už ES kibernetinio saugumo rezervo įgyvendinimą ir paveda ENISA administruoti bei eksploatuoti šį rezervą. Perkančioji organizacija (Komisija arba, kai taikytina, ENISA, kai prašymus pateikia valstybės narės ar ES institucijos, įstaigos ir agentūros) sprendžia, ar teikti paramą ir kokia apimtimi, atsižvelgdama į incidento mastą ir sunkumą, paveikto subjekto rūšį, galimą incidento poveikį valstybėms narėms ir naudotojams, tarpvalstybinį pobūdį ir išplitimo riziką bei jau taikytas rizikos mažinimo priemones. Perkančioji organizacija turi atsakyti per 48 val.

SEP asocijuotųjų ES nepriklausančių šalių prašymus vertina Komisija.

3. Savitarpio pagalba, pagal kurią valstybės narės, naudodamosi ES finansine parama, teikia viena kitai techninę pagalbą, reaguodamos į reikšmingus arba didelio masto kibernetinio saugumo incidentus.

3. Europos kibernetinio saugumo incidentų peržiūros mechanizmas

Po reikšmingų arba didelio masto kibernetinio saugumo incidentų Komisija arba Europos ryšių palaikymo dėl kibernetinių krizių organizacinis tinklas (EU-CyCLONe) gali prašyti atlikti struktūruotą peržiūrą, kad būtų įvertintos priežastys ir padariniai, atsakas ir išmoktos pamokos. Peržiūra:

• ją atlieka ENISA, padedama reagavimo į kompiuterinius saugumo incidentus tarnybų tinklo ir gavusi atitinkamų valstybių narių pritarimą;
• po jos parengiama ataskaita, kurioje pateikiamos išvados ir, kai tinkama, geriausios praktikos, išmoktos pamokos bei neprivalomos rekomendacijos ES kibernetinio saugumo padėčiai pagerinti.

Laikydamasi konfidencialumo taisyklių, ENISA gali paskelbti viešą incidento peržiūros ataskaitos versiją, kurioje pateikiama tik patikima vieša informacija arba, gavus paveiktų valstybių narių ar kitų šalių sutikimą, kitas turinys.

Įgyvendinimas ir vaidmenys

• Komisija prižiūri bendrą reglamento įgyvendinimą, įskaitant ES kibernetinio saugumo rezervą. Kalbant apie rezervą, ji turėtų visiškai arba iš dalies pavesti ENISA jo eksploatavimą ir administravimą pagal susitarimą dėl įnašo.
• Europos kibernetinio saugumo kompetencijos centras administruoja dotacijomis finansuojamas pasirengimo priemones ir nacionalinių bei tarpvalstybinių kibernetinio saugumo centrų diegimą. Jis turi atnaujinti būtinų priemonių, infrastruktūros ir paslaugų žemėlapį ne rečiau kaip kas dvejus metus.
• ENISA koordinuoja Europos kibernetinio saugumo incidentų peržiūros mechanizmą, jai visiškai arba iš dalies patikėtas ES kibernetinio saugumo rezervo administravimas ir eksploatavimas, be to, ji turėtų reguliariai sudaryti ES kibernetinio saugumo rezervui reikalingų paslaugų žemėlapį.

Finansavimas

Reglamentas finansuojamas pagal SEP 3 konkretų tikslą („Kibernetinis saugumas ir pasitikėjimas“).

Papildomos taisyklės

• Komisija gali priimti deleguotuosius aktus, kuriais būtų apibrėžiamos paslaugų, teiktinų naudojant ES kibernetinio saugumo rezervą, rūšys ir skaičius, atsižvelgiant į kintančias grėsmes ir turimus pajėgumus.
• Dalijimasis informacija pagal reglamentą turi atitikti konfidencialumo ir proporcingumo taisykles ir neturi prieštarauti esminiams valstybių narių interesams, susijusiems su nacionaliniu saugumu, viešuoju saugumu ir gynyba.
• Pirkimai iš subjektų, kurių nekontroliuoja ES, gali būti leidžiami tik griežtomis sąlygomis, kai nėra tinkamų alternatyvų ES ir užtikrinama saugumo interesų apsauga. SEP darbo programoje nustatytos tinkamumo sąlygos ir taisyklės.
• Iki 2027 m. vasario 5 d. Komisija turi pateikti ataskaitą Europos Parlamentui ir Tarybai dėl reglamento įgyvendinimo ir veiksmingumo.