ES kibernetinio saugumo aktas

PAGRINDINIAI ASPEKTAI

ENISA turi šiuos įgaliojimus:

• pasiekti aukštą bendrą kibernetinio saugumo lygį visoje ES;
• padėti valdžios institucijoms ir ES institucijoms, įstaigoms, organams ir agentūroms gerinti kibernetinį saugumą;
• veikti kaip informacinis centras, kuris teikia mokslines ir technines rekomendacijas bei ekspertines žinias kibernetinio saugumo klausimais ES institucijoms, įstaigoms, organams ir agentūroms, bei kitiems atitinkamiems suinteresuotiesiems subjektams;
• prisidėti prie vidaus rinkos susiskaidymo mažinimo;
• veikti nepriklausomai, vengti veiklos dubliavimo su nacionaline veikla ir atsižvelgti į šalių jau turimas ekspertines žinias;
• formuoti savo techninius ir žmogiškuosius pajėgumus bei įgūdžius.

ENISA užduotys:

• plėtoti ir įgyvendinti ES politiką bei teisę;
• skatinti pajėgumų stiprinimą, pavyzdžiui, tobulinant kibernetinių grėsmių¹ prevenciją, nustatymą bei analizę ir reagavimo į jas pajėgumus ir padedant plėtoti nacionalines reagavimo į kompiuterių saugumo incidentus tarnybas (CSIRT) arba rengiant kibernetinio saugumo pratybas ES lygmeniu;
• remti ES operatyvinį bendradarbiavimą tarp visų suinteresuotų subjektų, įskaitant ES institucijų, įstaigų, organų ir agentūrų kibernetinio saugumo tarnybą (CERT-EU), visų pirma keičiantis praktine patirtimi ir geriausia praktika, teikiant atitinkamas gaires ir aptarnaujant ES bei nacionalinus CSIRT tinklus;
• remti ir skatinti IRT produktų, IRT paslaugų ir IRT procesų kibernetinio saugumo sertifikavimo ES plėtojimą ir įgyvendinimą, ir valdomas saugumo paslaugas padedant rengti schemas pagal naująją Europos kibernetinio sertifikavimo sistemą;
• rinkti ir analizuoti žinias bei informaciją apie kibernetinį saugumą, visų pirma apie naujausias technologijas, kibernetines grėsmes ir incidentus, teikti informaciją ir patarimus nacionalinėms valdžios institucijoms, susijusioms suinteresuotosioms šalims ir per tam skirtą portalą visuomenei (piliečiams, organizacijoms ir įmonėms);
• didinti visuomenės informuotumą apie kibernetiniam saugumui kylančią riziką, teikti individualių naudotojų gerosios praktikos konsultacijas ir skatinti kibernetinio saugumo supratimą ir švietimą apskritai;
• patarti dėl mokslinių tyrimų poreikių bei prioritetų ir prisidėti prie ES strateginės kibernetinio saugumo tyrimų ir inovacijų darbotvarkės;
• prisidėti prie ES pastangų bendradarbiauti kibernetinio saugumo srityje su savo tarptautiniais partneriais ir organizacijomis.

ENISA turi toliau nurodytą administracinę ir valdymo struktūrą.

• Valdančioji taryba, kurią sudaro po vieną atstovą iš kiekvienos ES valstybės narės ir du Europos Komisijos paskirti nariai, nustato bendrąją agentūros veiklos kryptį ir užtikrina, kad agentūra vykdytų savo užduotis tokiomis sąlygomis, kurios leistų jai veikti pagal steigimo reglamentą.
• Vykdomoji valdyba, kurią sudaro penki nariai ir kuri rengia Valdančiosios tarybos priimamus sprendimus.
• Nepriklausomas vykdomasis direktorius, kuris yra atskaitingas Vykdomajai valdybai ir atsiskaito Europos Parlamentui bei Europos Sąjungos Tarybai, kai to paprašoma. Jis atsako už agentūros valdymą.
• ENISA patariamoji grupė, sudaryta iš pripažintų specialistų, atstovaujančių atitinkamiems suinteresuotiesiems subjektams, pavyzdžiui, IRT sektoriui, elektroninių ryšių tinklų ar paslaugų teikėjams, mažosioms ir vidutinėms įmonėms, vartotojams, akademikams, esminių paslaugų operatoriams, taip pat kompetentingų institucijų, apie kurias pranešta pagal Europos elektroninių ryšių kodeksą, standartizacijos organizacijų ir teisėsaugos bei duomenų apsaugos priežiūros institucijų atstovų. Daugiausia dėmesio ji skiria suinteresuotosioms šalims aktualiems klausimams ir atkreipia į juos ENISA dėmesį;
• Nacionalinių švietimo informacinių centrų tinklas, kurį sudaro visų valstybių narių atstovai ir kuris palengvina keitimąsi informacija tarp ENISA ir valstybių narių ir palaiko ENISA, kad jos veikla, išvados ir rekomendacijos būtų plačiai žinomos.

Reglamentu sukuriama:

• suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupė, sudaryta iš pripažintų specialistų, kurie, be kita ko, pataria Komisijai strateginiais klausimais, susijusiais su ES kibernetinio saugumo sertifikavimo sistema, ir, gavę prašymą, konsultuoja ENISA bendrais ir strateginiais klausimais, susijusiais su atitinkamomis agentūros užduotimis;
• Europos kibernetinio saugumo sertifikavimo grupė (EKSSG), sudaryta iš nacionalinių atstovų, kurie pataria ir padeda Komisijai užtikrinti nuoseklų Akto įgyvendinimą ir taikymą, o ENISA – rengiant potencialias kibernetinio saugumo sertifikavimo schemas.

ENISA:

• įsteigiama neribotam laikui nuo 2019 m. birželio 27 d.;
• vykdo veiklą pagal bendrąjį programavimo dokumentą, į kurį įtraukiamos jos metinė bei daugiametė programos;
• laikosi Komisijos saugumo taisyklių dėl neskelbtinos neįstretiesiems laptintos informacijos ir ES įslaptintos informacijos apsaugos;
• tretiesiems asmenims neatskleidžia konfidencialios informacijos, kurią tvarko ar gauna;
• visapusiškai dalyvauja ES kovos su sukčiavimu, korupcija ir kita neteisėta veikla priemonėse;
• tvarko asmens duomenis pagal atitinkamas ES taisykles.

Reglamentu sukuriama Europos kibernetinio saugumo sertifikavimo sistema, skirta:

• gerinti vidaus rinkos veikimo sąlygas didinant kibernetinio saugumo lygį ES ir sudarant sąlygas ES lygmeniu suderintai taikyti Europos kibernetinio saugumo sertifikavimo schemas, kad būtų sukurta IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų bendroji skaitmeninė rinka;
• nustatyti mechanizmą, skirtą sertifikavimo schemoms sukurti ir patvirtinti, kad pagal tokias schemas įvertinti IRT produktai, IRT paslaugos, IRT procesai ir valdomos saugumo paslaugos atitinka nustatytus saugumo reikalavimus, siekiant apsaugoti saugomų, perduodamų ar tvarkomų duomenų arba tais produktais, paslaugomis ir procesais arba per juos prieinamų funkcijų ar paslaugų prieinamumą, autentiškumą, vientisumą ar konfidencialumą viso jų gyvavimo ciklo metu.

Pagal šią sistemą:

• Komisija:
  • paskelbia tęstinę ES darbo programą Europos kibernetinio saugumo sertifikavimo srityje, kurioje nustatomi strateginiai prioritetai ir IRT produktai, IRT paslaugos, IRT procesai ir valdomos saugumo paslaugos arba jų kategorijos, kurioms schema būtų naudinga;
  • gali prašyti, kad ENISA parengtų potencialią schemą arba peržiūrėti esamą;
• ENISA:
  • gavusi Komisijos ar Europos kibernetinio saugumo sertifikavimo grupė prašymą, parengia tinkamus schemų projektus;
  • kas penkerius metus vertina kiekvieną patvirtintą sertifikavimo schemą, atsižvelgdama į gautus atsiliepimus;
  • tvarko specialią interneto svetainę, kurioje pateikiama informacija apie schemas, sertifikatus ir atitikties pareiškimus.

Savanoriškos Europos kibernetinio saugumo sertifikavimo schemos:

• siekia įvairių saugumo tikslų, pavyzdžiui, saugoti saugomus, perduotus ir tvarkomus duomenis;
• žymi IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų saugumo lygį: bazinis, pakankamai aukštas arba aukštas;
• leidžia mažos rizikos (t. y. bazinių) IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų gamintojams ir teikėjams patiems juos įvertinti (savarankiškas atitikties vertinimas);
• turi pasižymėti tam tikromis savybėmis, tokiomis kaip aiškūs tikslo, dalyko bei apimties aprašymai ir naudojami vertinimo kriterijai bei metodai;
• pakeičia panašius nacionalinius, nors tie sertifikatai galioja iki jų galiojimo pabaigos.

Sertifikuotų IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų gamintojai ir teikėjai privalo viešai pateikti:

• gaires ir rekomendacijas, skirtas padėti galutiniams naudotojams produktus ar paslaugas instaliuoti, naudoti ir prižiūrėti;
• informaciją apie tai, kiek laiko jie siūlo saugumo užtikrinimą;
• savo kontaktinius duomenis;
• nuorodas į internetines duomenų saugyklas, kuriose yra informacijos apie žinomas kibernetinio saugumo spragas, susijusias su jų produktais ar paslaugomis.

Valstybės narės paskiria vieną ar daugiau nacionalinių kibernetinio saugumo sertifikavimo institucijų, turinčių pakankamai išteklių ir įgaliojimų stebėti, prižiūrėti ir vykdyti Europos kibernetinio saugumo sertifikavimo schemų taisykles.

Komisija:

• reguliariai vertina patvirtintų sertifikavimo schemų veiksmingumą bei naudojimą ir svarsto, ar kuri nors sistema turėtų būti privaloma;
• pirmąjį išsamų vertinimą turėjo atlikti ne vėliau kaip 2023 m. gruodžio 31 d., o po to – kas dvejus metus;
• turėjo įvertinti ENISA poveikį, veiksmingumą ir efektyvumą ne vėliau kaip 2024 m. birželio 28 d., o po to – kas penkerius metus.

Fiziniai ir juridiniai asmenys turi teisę pateikti skundą Europos kibernetinio saugumo sertifikato išdavėjui ir imtis veiksmingų teisminių teisių gynimo priemonių.

Pakeitimas – valdomos saugumo paslaugos

2024 m. gruodžio mėn. priimtas Reglamentas (ES) 2025/37, kuriuo iš dalies keičiamas reglamentas dėl valdomų saugumo paslaugų. Šiuo tiksliniu pakeitimu nustatoma valdomų saugumo paslaugų apibrėžtis ir išplečiama Europos kibernetinio saugumo sertifikavimo sistemos taikymo sritis, įtraukiant valdomas saugumo paslaugas. Todėl juo taip pat atitinkamai išplečiami ENISA įgaliojimai ir užduotys, susijusios su valdomomis saugumo paslaugomis.

Reglamentas (ES) 2025/37 buvo paskelbtas Oficialiajame leidinyje 2025 m. sausio 15 d. ir taikomas nuo 2025 m. vasario 4 d.

Atitikties vertinimo įstaigų pranešimai

2024 m. gruodžio mėn. Komisija priėmė Įgyvendinimo reglamentą (ES) 2024/3143 dėl pranešimų pagal Kibernetinio saugumo įstatymo 61 straipsnio 5 dalį. Įgyvendinimo akte nustatomos atitikties vertinimo įstaigų notifikavimo aplinkybės, formatai ir procedūros, susijusios su Europos kibernetinio saugumo sertifikavimo schemų atitikties vertinimo įstaigų notifikavimu per „naujo požiūrio notifikuotųjų ir paskirtųjų organizacijų“ (NANDO) informacinę sistemą. Jame taip pat paaiškinamos aplinkybės, kuriomis turėtų būti daromi pranešimo pakeitimai ir kuriomis remiantis gali būti ginčijama notifikuotųjų atitikties vertinimo įstaigų kompetencija.

Įgyvendinimo reglamentas (ES) 2024/3143 buvo paskelbtas Oficialiajame leidinyje 2024 m. gruodžio 19 d. ir taikomas nuo 2025 m. sausio 8 d.

Bendraisiais kriterijais grindžiama Europos kibernetinio saugumo sertifikavimo schema (EKSSS)

2024 m. sausio mėn. Komisija priėmė Įgyvendinimo reglamentą (ES) 2024/482 (žr. santrauką). Šiuo teisės aktu nustatomos Kibernetinio saugumo akto taikymo taisyklės, susijusios su savanoriškos Europos bendraisiais kriterijais grindžiamos Europos kibernetinio saugumo sertifikavimo schemos (EUCC) priėmimu. Tai pirmoji ES lygmens schema, susijusi su IRT produktų, pavyzdžiui, techninės ir programinės įrangos, įskaitant tokius komponentus kaip mikroschemos ir lustai bei lustinės kortelės, „didelio“ arba „esminio“ patikimumo lygio sertifikatais. Reglamentu išsamiai aprašomos taisyklės, skirtos:

• produktų ir apsaugos profilių EKSSS sertifikatų vertinimo, išdavimo, atnaujinimo ir panaikinimo standartams ir reikalavimams;
• atitikties vertinimo įstaigoms, akredituotoms išduoti sertifikatus arba vykdyti vertinimo veiklą;
• atitikties stebėsenai, neatitikimui ir nesilaikymui;
• pažeidžiamumų valdymo ir atskleidimo procedūroms;
• įrašų saugojimui, informacijos atskleidimui ir apsaugai;
• abipusio pripažinimo susitarimams su ES nepriklausančiomis šalimis;
• sertifikavimo įstaigų tarpusavio vertinimui;
• sistemos priežiūrai; nacionalinėms kibernetinio saugumo sertifikavimo schemoms, kurioms taikoma EKSSS.

EKSSS įgyvendinimo reglamentas taikomas nuo 2025 m. vasario 27 d.

Reglamentas (ES) 2019/881 ir su juo susijęs įgyvendinimo reglamentas nedaro poveikio valstybių narių atsakomybei už viešąjį saugumą, gynybą, nacionalinį saugumą ir baudžiamąją teisę.

Nacionalinių kibernetinio saugumo sertifikavimo institucijų tarpusavio peržiūra

2025 m. gruodžio mėn. Komisija priėmė Įgyvendinimo reglamentą (ES) 2025/2540, kuriuo nustatomos Kibernetinio saugumo akto taikymo taisyklės, susijusios su nacionalinių kibernetinio saugumo sertifikavimo institucijų (NKSSI) tarpusavio peržiūros plano nustatymu pagal šio akto 59 straipsnio 5 dalį.

Įgyvendinimo reglamente nustatomas privalomas tarpusavio peržiūrų tvarkaraštis ir numatoma reguliariai, kas penkerius metus, atlikti kiekvienos NKSSI tarpusavio peržiūrą, taip pat nustatomos bendros procedūros ir ataskaitų teikimo tvarka. Tarpusavio peržiūras atlieka dvi kitų valstybių narių NKSSI ir Komisija. Kitų valstybių narių NKSSI ir ENISA taip pat gali dalyvauti stebėtojų teisėmis. Atlikus kiekvieną tarpusavio peržiūrą parengiama ataskaita ir viešai skelbiama santrauka, kurią patvirtina EKSSG.

Įgyvendinimo reglamentas (ES) 2025/2540 buvo paskelbtas Oficialiajame leidinyje 2025 m. gruodžio 12 d. ir taikomas nuo 2026 m. sausio 1 d.

Panaikinimas

Nuo 2019 m. birželio 27 d. šiuo reglamentu panaikinamas Reglamentas (EB) Nr. 526/2013.