(1)

по отношение на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги, обхванати от член 3 от Директива (ЕС) 2022/2555 („съответните субекти“), с настоящия регламент се цели определяне на техническите и методологичните изисквания относно мерките, посочени в член 21, параграф 2 от Директива (ЕС) 2022/2555, и доуточняване на случаите, в които даден инцидент следва да се счита за значителен, както е посочено в член 23, параграф 3 от Директива (ЕС) 2022/2555.

(2)

Предвид трансграничния характер на техните дейности и с цел да се осигури съгласувана рамка за доставчиците на удостоверителни услуги, с настоящия регламент следва, по отношение на доставчиците на удостоверителни услуги, да бъдат доуточнени случаите, в които даден инцидент се счита за значителен, и заедно с това да се определят техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността.

(3)

В съответствие с член 21, параграф 5, трета алинея от Директива (ЕС) 2022/2555 техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, се основават на европейски и международни стандарти, като ISO/IEC 27001, ISO/IEC 27002 и ETSI EN 319401, както и на технически спецификации, като CEN/TS 18026:2024, свързани със сигурността на мрежовите и информационните системи.

(4)

Що се отнася до изпълнението и прилагането на техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, в съответствие с принципа на пропорционалност следва да се отчита надлежно различната експозиция на риск на съответните субекти, като например критичността на съответния субект, рисковете, на които е изложен, размера и структурата на съответния субект, както и вероятността от възникване на инциденти и тяхната сериозност, включително тяхното обществено и икономическо въздействие, когато въпросните субекти спазват техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент.

(5)

В съответствие с принципа на пропорционалност, когато съответните субекти не могат да изпълнят някои от техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността поради своя размер, тези субекти следва да могат да предприемат други компенсаторни мерки, които са подходящи за постигане на целта на тези изисквания. Например при определянето на ролите, отговорностите и правомощията за сигурността на мрежовите и информационните системи в рамките на съответния субект, микросубектите могат да срещнат трудности при разделянето на конфликтните задължения и конфликтните области на компетентност. Тези субекти следва да могат да обмислят компенсаторни мерки, като например целенасочен надзор от страна на ръководството на субекта или засилен мониторинг и водене на регистри.

(6)

Някои технически и методологични изисквания, посочени в приложението към настоящия регламент, следва да бъдат прилагани от съответните субекти, когато е целесъобразно, когато е приложимо или доколкото е осъществимо. Когато съответният субект счита, че за него не е целесъобразно, приложимо или осъществимо да прилага определени технически и методологични изисквания, предвидени в приложението към настоящия регламент, съответният субект следва да документира по разбираем начин мотивите си за това. Когато упражняват надзор, националните компетентни органи могат да вземат предвид подходящия срок, необходим на съответните субекти да изпълнят техническите и методологичните изисквания на мерките за управление на риска в областта на киберсигурността.

(7)

Съгласно Директива (ЕС) 2022/2555 ENISA или националните компетентни органи могат да предоставят насоки в подкрепа на съответните субекти при установяването, анализа и оценката на рисковете с цел изпълнение на техническите и методологичните изисквания относно създаването и поддържането на подходяща рамка за управление на риска. Такива насоки могат да включват по-специално национални и секторни оценки на риска, както и оценки на риска, специфични за определен вид субекти. Насоките могат също така да включват инструменти или образци за разработване на рамка за управление на риска на равнището на съответните субекти. Рамките, насоките или други механизми, предвидени в националното законодателство на държавите членки, също могат да подпомогнат съответните субекти при доказването на съответствие с настоящия регламент. Освен това съгласно Директива (ЕС) 2022/2555 ENISA или националните компетентни органи могат да подпомагат съответните субекти при намирането и прилагането на подходящи решения въздействие върху рисковете, установени в тези оценки на риска. Подобни насоки не бива да засягат задължението на съответните субекти да установяват и документират рисковете, свързани със сигурността на мрежовите и информационните системи, както и задължението им да прилагат техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, съобразно своите нужди и ресурси.

(8)

Мерките за мрежова сигурност по отношение на: i) прехода към комуникационни протоколи за мрежовия слой от последно поколение, ii) внедряването на международно съгласувани и оперативно съвместими съвременни стандарти за комуникация по електронна поща, и iii) прилагането на най-добри практики за сигурността на DNS, както и за сигурността на интернет маршрутизацията и хигиената на маршрутизацията, са свързани със специфични предизвикателства по отношение на определянето на най-добрите налични стандарти и техники за внедряване. За да се постигне възможно най-скоро високо общо ниво на киберсигурност в мрежите, Комисията, със съдействието на Агенцията на Европейския съюз за киберсигурност (ENISA) и в сътрудничество с компетентните органи, промишлеността, включително сектора на телекомуникациите, и други заинтересовани страни, следва да подкрепи разработването на форум с участието на множество заинтересовани страни, натоварен със задачата да определи тези най-добри налични стандарти и техники за внедряване. Подобни насоки с участието на множество заинтересовани страни не следва да засягат задължението на съответните субекти да прилагат техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент.

(9)

Съгласно член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555 съществените и важните субекти следва да имат освен политики за анализ на риска и политики за сигурност на информационните системи. За тази цел съответните субекти следва да създадат политика за сигурност на мрежовите и информационните системи, както и специфични тематични политики, като например политики за контрол на достъпа, които следва да бъдат съгласувани с политиката за сигурност на мрежовите и информационните системи. Политиката за сигурност на мрежовите и информационните системи следва да бъде документът от най-високо равнище, в който се определя цялостният подход на съответните субекти към сигурността на мрежовите и информационните им системи, и следва да бъде одобрена от управителните органи на съответните субекти. Специфичните тематични политики следва да бъдат одобрени от подходящо равнище на управление. В политиката следва да се определят показатели и мерки за мониторинг на нейното изпълнение и на текущото състояние на степента на зрялост на съответните субекти по отношение на мрежовата и информационната сигурност, по-специално за да се улесни надзорът върху изпълнението на мерките за управление на риска в областта на киберсигурността чрез управителните органи.

(10)

За целите на техническите и методологичните изисквания, установени в приложението към настоящия регламент, терминът „ползвател“ следва да обхваща всички юридически и физически лица, които имат достъп до мрежовите и информационните системи на субекта.

(11)

За да установят и да реагират на рисковете, свързани със сигурността на мрежовите и информационните системи, съответните субекти следва да създадат и да поддържат подходяща рамка за управление на риска. Като част от рамката за управление на риска съответните субекти следва да изготвят, прилагат и наблюдават план за въздействие върху риска. Съответните субекти могат да използват плана за въздействие върху риска, за да определят и приоритизират варианти и мерки за въздействие върху риска. Вариантите за въздействие върху риска включват по-специално избягване, намаляване или, в изключителни случаи, приемане на риска. При избора на варианти за въздействие върху риска следва да се вземат предвид резултатите от оценката на риска, извършена от съответния субект, и този избор да бъде в съответствие с политиката на съответния субект по отношение на сигурността на мрежовите и информационните системи. За да приведат в действие избраните варианти за въздействие върху риска, съответните субекти следва да предприемат подходящи мерки за въздействие върху риска.

(12)

За да откриват събития, ситуации, близки до инцидент, и инциденти, съответните субекти следва да извършват мониторинг на своите мрежови и информационни системи, както и да предприемат действия за оценка на събития, ситуации, близки до инцидент, и инциденти. Тези мерки следва да могат да позволяват своевременно откриване на атаки, насочени към мрежите, въз основа на необичайни модели на входящия или изходящия трафик, както и на атаки тип „отказ на услуга“.

(13)

При извършването на оценка на въздействието върху стопанската дейност от страна на съответните субекти, същите се насърчават оценката да бъде цялостна, като в нея бъдат установени, по целесъобразност, максималното допустимо време на престой, целите по отношение на времето за възстановяване, целите по отношение на точката на възстановяване и целите по отношение на предоставянето на услуги.

(14)

С цел намаляване на рисковете, произтичащи от веригата на доставки на съответния субект и отношенията му с доставчиците, съответните субекти следва да създадат политика за сигурност на веригата на доставки, в която да бъдат уредени отношенията им с преките им снабдители и доставчици на услуги. Тези субекти следва да посочат в договорите със своите преки снабдители или доставчици на услуги подходящи клаузи за сигурност, например като изискват, когато е целесъобразно, мерки за управление на риска в областта на киберсигурността в съответствие с член 21, параграф 2 от Директива (ЕС) 2022/2555, или с други подобни правни изисквания.

(15)

Съответните субекти следва редовно да извършват изпитвания на сигурността въз основа на специална политика и процедури, за да проверяват дали мерките за управление на риска в областта на киберсигурността се прилагат и функционират правилно. Изпитванията на сигурността могат да се извършват за конкретни мрежови и информационни системи или за съответния субект като цяло и могат да включват автоматични или ръчни изпитвания, изпитвания за пробив, внимателно изследване за уязвимости, статични и динамични изпитвания на сигурността на приложенията, изпитвания на конфигурацията или одити на сигурността. Съответните субекти могат да провеждат изпитвания на сигурността на своите мрежови и информационни системи при създаването им, след значителна според тях актуализация или промяна на инфраструктурата или приложенията или след поддръжка. Констатациите от изпитванията на сигурността следва да послужат като основа за политиките и процедурите на съответните субекти за оценка на ефективността на мерките за управление на риска в областта на киберсигурността, както и за независими прегледи на техните политики за мрежова и информационна сигурност.

(16)

За да се избегнат значителни смущения и вреди, причинени от използването на некоригирани уязвимости в мрежовите и информационните системи, съответните субекти следва да определят и прилагат подходящи процедури за управление на корекциите за сигурност, които са съгласувани с процедурите на съответните субекти за управление на промените, управление на уязвимостите, управление на риска и други съответни процедури. Съответните субекти следва да предприемат мерки, съразмерни на техните ресурси, за да гарантират, че с корекциите за сигурността не се въвеждат допълнителни уязвимости или нестабилности. В случай на планирана невъзможност за ползване на услугата, причинена от прилагането на корекции за сигурност, съответните субекти се насърчават да информират клиентите предварително.

(17)

Съответните субекти следва да управляват рисковете, произтичащи от придобиването на ИКТ продукти или ИКТ услуги от снабдители или доставчици на услуги, и следва да получат уверение, че ИКТ продуктите или ИКТ услугите, които ще придобият, покриват определени нива на защита на киберсигурността, например чрез европейски сертификати за киберсигурност и ЕС декларации за съответствие за ИКТ продукти или ИКТ услуги, издадени по европейска схема за сертифициране на киберсигурността, приета съгласно член 49 от Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета (2). Когато съответните субекти определят изисквания за сигурност спрямо ИКТ продуктите, които ще бъдат придобити, те следва да вземат предвид съществените изисквания за киберсигурност, определени в регламент на Европейския парламент и на Съвета относно хоризонталните изисквания за киберсигурност за продукти с цифрови елементи.

(18)

За да се предпазят от киберзаплахи и да подпомогнат предотвратяването и ограничаването на нарушенията на сигурността на данните, съответните субекти следва да прилагат решения за мрежова сигурност. Типичните решения за мрежова сигурност включват използването на защитни стени за защита на вътрешните мрежи на съответните субекти, ограничаване на връзките и достъпа до услуги, когато тези връзки и достъп са абсолютно необходими, както и използването на виртуални частни мрежи за достъп от разстояние и разрешаване на свързването на доставчиците на услуги само след искане за разрешение и за определен период от време, например докато трае операция по поддръжка.

(19)

За да се защитят мрежите на съответните субекти и техните информационни системи от зловреден и неразрешен софтуер, тези субекти следва да въведат контрол, чрез който да се предотвратява или открива използването на неразрешен софтуер, и, когато е целесъобразно, те следва да използват софтуер за откриване и реагиране. Съответните субекти следва също така да обмислят прилагането на мерки за минимизиране на повърхността, уязвима на атаки, намаляване на уязвимостите, които могат да бъдат използвани от извършителите на атаки, контрол на изпълнението на приложенията в крайните точки и внедряване на филтри за електронна поща и уеб приложения, за да се намали излагането на зловредно съдържание.

(20)

Съгласно член 21, параграф 2, буква ж) от Директива (ЕС) 2022/2555 държавите членки трябва да гарантират, че съществените и важните субекти прилагат основни киберхигиенни практики и обучение в областта на киберсигурността. Основните киберхигиенни практики могат да включват принципи на нулево доверие, актуализации на софтуера, конфигурация на устройствата, сегментиране на мрежата, управление на самоличностите и достъпа или осведоменост на ползвателите, организиране на обучение за персонала и повишаване на осведомеността относно киберзаплахите, фишинга или техниките за социално инженерство. Киберхигиенните практики са част от различните технически и методологични изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент. Що се отнася до основните киберхигиенни практики за ползвателите, съответните субекти следва да обмислят практики, като например политика на изчистен работен плот и изчистен екран, използване на многофакторни решения и други средства за удостоверяване, безопасно използване на електронна поща и сърфиране в интернет, защита от фишинг и социално инженерство, сигурни практики за дистанционна работа.

(21)

За да се предотврати непозволеният достъп до активите на съответните субекти, те следва да създадат и приложат специфична тематична политика, насочена към достъпа на лица и на мрежови и информационни системи, като например приложения.

(22)

За да се избегне възможността служителите да злоупотребяват, например с права на достъп в рамките на съответния субект, за да навредят и да причинят щети, съответните субекти следва да обмислят подходящи мерки за управление на сигурността по отношение на служителите и да повишат осведомеността на персонала относно тези рискове. Съответните субекти следва да установят, разгласят и поддържат дисциплинарна процедура за разглеждане на нарушения на политиките за сигурност на мрежовите и информационните системи на съответните субекти, която може да бъде включена в други дисциплинарни процедури, установени от съответните субекти. Цялостната проверка на служителите и, когато е приложимо, на преките снабдители и доставчиците на услуги на съответните субекти, следва да допринасят за постигането на целта за сигурност на човешките ресурси в съответните субекти и могат да включват мерки като проверки на данните за съдимост на лицето или на предишни професионални задължения, в зависимост от задълженията на лицето в съответния субект и в съответствие с политиката на съответния субект за сигурност на мрежовите и информационните системи.

(23)

Многофакторното удостоверяване на автентичността може да повиши киберсигурността на субектите и те следва да го обмислят, по-специално когато ползвателите имат достъп до мрежови и информационни системи от отдалечени места или когато имат достъп до чувствителна информация или до привилегировани профили и профили за системно администриране. Многофакторното удостоверяване на автентичността може да се комбинира с други техники за изискване на допълнителни фактори при определени обстоятелства въз основа на предварително определени правила и модели, като например достъп от необичайно място, от необичайно устройство или в необичайно време.

(24)

Съответните субекти следва да управляват и защитават активите, които са ценни за тях, чрез надеждно управление, което следва да служи и като основа за анализ на риска и управление на непрекъснатостта на стопанската дейност. Съответните субекти следва да управляват както материални, така и нематериални активи и да създадат техен опис, да ги свързват с определено ниво чрез класификация, да боравят с тях и да ги проследяват, както и да предприемат стъпки за тяхната защита през целия им жизнен цикъл.

(25)

Управлението на активите следва да включва класификация на активите по вид, чувствителност, ниво на риск и изисквания за сигурност и прилагане на подходящи мерки и контрол, за да се гарантира тяхната разполагаемост, цялостност, поверителност и автентичност. Чрез класификацията на активите по ниво на риска съответните субекти следва да могат да прилагат подходящи мерки за сигурност и контрол за защита на активите, като например криптиране, контрол на достъпа, включително контрол на достъпа до периметъра и на физическия и логическия достъп, резервни копия, водене на регистри и мониторинг, съхранение и унищожаване. Когато извършват оценка на въздействието върху стопанската дейност, съответните субекти могат да определят нивото на класификация въз основа на последиците за субектите от прекъсването на функционирането на активите. Всички служители на субектите, боравещи с активи, следва да са запознати с политиките и инструкциите за работа с активи.

(26)

Степента на подробност на описа на активите следва да бъде съобразена с нуждите на съответните субекти. Изчерпателният опис на активите може да включва за всеки актив най-малко уникален идентификатор, собственика на актива, описание на актива, местоположението на актива, вида на актива, вида и класификацията на информацията, обработвана в актива, датата на последната актуализация или корекция на актива, класификацията на актива съгласно оценката на риска и края на жизнения цикъл на актива. Когато идентифицират собственика на даден актив, съответните субекти следва да идентифицират и лицето, отговорно за защитата на този актив.

(27)

С разпределението и организацията на ролите, отговорностите и правомощията в областта на киберсигурността следва да се установи последователна структура за управление и внедряване на киберсигурността в рамките на съответните субекти и да се гарантира ефективна комуникация в случай на инциденти. При определянето и възлагането на отговорности за определени роли съответните субекти следва да разгледат възможни роли като главен служител по въпросите на информационната сигурност, служител по въпросите на информационната сигурност, служител по действията при инцидент, одитор или сравними еквивалентни длъжности. Съответните субекти могат да възлагат роли и отговорности на външни страни, като например трети страни доставчици на услуги в областта на ИКТ.

(28)

В съответствие с член 21, параграф 2 от Директива (ЕС) 2022/2555 мерките за управление на риска в областта на киберсигурността следва да се основават на подход, обхващащ всички опасности, който има за цел да защити мрежовите и информационните системи и физическото обкръжение на тези системи от събития като кражба, пожар, наводнение, телекомуникационни повреди или прекъсване на захранването, или от всякакъв непозволен физически достъп и щети и намеса в информацията на съществения или важния субект и неговите съоръжения за обработка на информация, които биха могли да засегнат отрицателно разполагаемостта, автентичността, цялостността или поверителността на съхраняваните, пренасяните или обработваните данни или на услугите, предлагани от мрежови и информационни системи или достъпни чрез тях. Поради това техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността следва да вземат предвид и физическата сигурност и опасностите от природен характер на мрежовите и информационните системи, като включват мерки за защита на тези системи от системни повреди, човешки грешки, злонамерени действия или природни явления. Ето някои допълнителни примери за физически и природни заплахи: земетресения, експлозии, саботаж, вътрешна заплаха, граждански размирици, токсични отпадъци и емисии в околната среда. Предотвратяването на загуба, повреда или компрометиране на мрежовите и информационните системи или прекъсването на техните операции поради авария и прекъсване на поддържащите комунални услуги следва да допринесе за постигането на целта за непрекъснатост на стопанската дейност в съответните субекти. Освен това защитата срещу физически и природни заплахи следва да допринесе за сигурността на поддръжката на мрежовите и информационните системи в съответните субекти.

(29)

Те разработват и прилагат мерки за защита срещу физически и природни заплахи и определят минимални и максимални прагове за контрол на физическите и екологичните заплахи и следят екологичните параметри. Например те следва да обмислят инсталирането на системи, които да откриват на ранен етап наводняването на зони, в които са разположени мрежови и информационни системи. Що се отнася до опасността от пожар, съответните субекти следва да обмислят създаването на отделно пожарообезопасено помещение за центъра за данни, използването на огнеустойчиви материали, датчици за следене на температурата и влажността, свързването на сградата с пожароизвестителна система с автоматизирано уведомяване на местната противопожарна служба и системи за ранно засичане и пожарогасене. Съответните субекти следва също така да провеждат редовни противопожарни тренировки и противопожарни обследвания. Освен това, за да се гарантира електрозахранването, съответните субекти следва да вземат мерки за защита от пренапрежение и за съответното аварийно електрозахранване съгласно съответните стандарти. Също така, тъй като прегряването представлява риск за разполагаемостта на мрежовите и информационните системи, съответните субекти, по-специално доставчиците на услуги на центрове за данни, биха могли да помислят за подходящи, непрекъснато функциониращи и резервирани климатични инсталации.

(30)

Настоящият регламент има за цел да се уточнят допълнително случаите, в които даден инцидент следва да се счита за значителен за целите на член 23, параграф 3 от Директива (ЕС) 2022/2555. Критериите следва да позволяват на съответните субекти да преценят дали даден инцидент е значителен, за да уведомят за него в съответствие с Директива (ЕС) 2022/2555. Освен това критериите, посочени в настоящия регламент, следва да се считат за изчерпателни, без да се засяга член 5 от Директива (ЕС) 2022/2555. С настоящия регламент се определят случаите, в които даден инцидент следва да се счита за значителен, като се посочват хоризонтални случаи, както и случаи, специфични за типа субект.

(31)

Съгласно член 23, параграф 4 от Директива (ЕС) 2022/2555 от съответните субекти следва да се изисква да уведомяват за значителни инциденти в сроковете, определени в тази разпоредба. Тези срокове за уведомяване започват да текат от момента, в който субектът узнае за подобни значителни инциденти. Поради това от съответния субект се изисква да докладва за инциденти, които въз основа на първоначалната му оценка биха могли да причинят сериозни оперативни смущения на услугите или финансови загуби за този субект или да засегнат други физически или юридически лица, като причинят значителни имуществени или неимуществени вреди. Ето защо, когато съответният субект е открил подозрително събитие или след като потенциален инцидент е бил доведен до знанието му от трета страна, като например физическо лице, клиент, субект, орган, медийна организация или друг източник, съответният субект следва своевременно да направи оценка на подозрителното събитие, за да определи дали то представлява инцидент и, ако е така, да определи неговото естество и тежест. Следователно следва да се счита, че съответният субект е „узнал“ за значителния инцидент, когато след такава първоначална оценка той e установил с достатъчна степен на сигурност, че е настъпил значителен инцидент.

(32)

За целите на установяването дали даден инцидент е значителен, когато е уместно, съответните субекти следва да изчислят броя на потребителите, засегнати от инцидента, като вземат предвид бизнес клиентите и крайните клиенти, с които съответните субекти имат договорни отношения, както и физическите и юридическите лица, които са свързани с бизнес клиентите. Когато съответният субект не е в състояние да изчисли броя на засегнатите ползватели, за целите на изчисляването на техния общ брой се взема предвид приблизителната оценка на съответния субект за възможния максимален брой ползватели, засегнати от инцидента. Значимостта на даден инцидент, свързан с удостоверителна услуга, следва да се определя не само от броя на ползвателите, но и от броя на доверяващите се страни, тъй като те могат да бъдат еднакво засегнати от значителен инцидент, свързан с удостоверителна услуга, по отношение на прекъсване на работата и имуществени или неимуществени щети. Поради това доставчиците на удостоверителни услуги следва, когато е приложимо, да вземат предвид и броя на доверяващите се страни, когато установяват дали даден инцидент е значителен. За тази цел под доверяващи се страни следва да се разбира физически или юридически лица, които разчитат на дадена удостоверителна услуга.

(33)

Дейности по поддръжка, които водят до ограничена достъпност или недостъпност на услугите, не следва да се считат за значими инциденти, ако ограничената достъпност или недостъпността на услугата е в съответствие с планирана дейност по поддръжка. Освен това случаите, в които услугата не е достъпна поради планирани прекъсвания, като например прекъсвания или недостъпност въз основа на предварително определено договорно споразумение, не следва да се считат за значителен инцидент.

(34)

Продължителността на инцидента, който оказва влияние върху наличността на дадена услуга, следва да се измерва от момента на прекъсване на надлежното предоставяне на тази услуга до момента на възстановяване. Когато съответният субект не е в състояние да определи момента, в който е започнало прекъсването, продължителността на инцидента следва да се измерва от момента, в който инцидентът е бил засечен, или от момента, в който инцидентът е бил вписан в мрежовите или системните регистри или в други източници на данни, в зависимост от това кое от двете събития е настъпило първо.

(35)

Пълната недостъпност на дадена услуга следва да се измерва от момента, в който услугата е напълно недостъпна за ползвателите, до момента, в който редовните дейности или операции са възстановени до нивото на обслужване, предоставяно преди инцидента. Когато съответният субект не е в състояние да определи кога е започнала пълната недостъпност на услугата, недостъпността следва да се измерва от момента, в който тя е била установена от този субект.

(36)

За целите на определянето на преките финансови загуби, произтичащи от инцидент, съответните субекти следва да вземат предвид всички финансови загуби, които са понесли в резултат на инцидента, като например разходи за замяна или преместване на софтуер, хардуер или инфраструктура, разходи за персонал, включително разходи, свързани със замяна или преместване на персонал, наемане на допълнителен персонал, възнаграждение за извънреден труд и възстановяване на изгубени или нарушени умения, такси поради неспазване на договорни задължения, разходи за правна защита и обезщетение на клиенти, загуби поради пропуснати приходи, разходи, свързани с вътрешна и външна комуникация, разходи за консултации, включително разходи, свързани с правни консултации, криминалистични анализи и услуги за възстановяване, както и други разходи, свързани с инцидента. Същевременно административните глоби, както и разходите, които са необходими за ежедневното функциониране на предприятието, не следва да се считат за финансови загуби в резултат на инцидент, включително разходите за обща поддръжка на инфраструктурата, оборудването, хардуера и софтуера, за поддържане на актуални умения на персонала, вътрешните или външните разходи за подобряване на дейността след инцидента, включително за модернизация, подобрения и инициативи за оценка на риска, както и за застрахователни премии. Съответните субекти следва да изчислят размера на финансовите загуби въз основа на наличните данни, а когато действителният размер на тези загуби не може да бъде определен, субектите следва да направят приблизителна оценка.

(37)

Съответните субекти следва също така да бъдат задължени да докладват за инциденти, които са причинили или могат да причинят смърт на физически лица или значително увреждане на здравето на физически лица, тъй като такива инциденти съставляват особено сериозни случаи на причиняване на значителни имуществени или неимуществени вреди. Например инцидент, засягащ съответен субект, може да доведе до недостъпност на здравни или спешни услуги или до загуба на поверителността или целостта на данни с последици за здравето на физически лица. За целите на определянето на това дали даден инцидент е причинил или е в състояние да причини значително увреждане на здравето на физическо лице, съответните субекти следва да вземат предвид дали инцидентът е причинил или е в състояние да причини тежки наранявания и влошаване на здравето. За тази цел от съответните субекти не следва да се изисква да събират допълнителна информация, до която нямат достъп.

(38)

За ограничена достъпност следва да се счита по-специално, когато услуга, предоставяна от съответния субект, е значително по-бавна от средното време за отговор или когато не всички функционалности на услугата са достъпни. Когато е възможно, за оценка на закъсненията във времето за отговор следва да се използват обективни критерии, основани на средното време за отговор на услугите, предоставяни от съответните субекти. Функционалност на услугата може да бъде например функция за чат или функция за търсене на изображения.

(39)

Успешно осъществен непозволен достъп до мрежовите и информационните системи на съответния субект, за който има подозрение, че е злонамерен, следва да се счита за значителен инцидент, когато може да причини сериозно нарушение на дейността. Например, когато участник в киберзаплаха се позиционира предварително в мрежовите и информационните системи на съответния субект с цел да предизвика прекъсване на услугите в бъдеще, инцидентът следва да се счита за значителен.

(40)

Повтарящи се инциденти, които са свързани с една и съща видима първопричина, които поотделно не отговарят на критериите за значителен инцидент, следва да се считат за значителен инцидент заедно, при условие че заедно отговарят на критерия за финансова загуба и че са възникнали поне два пъти в рамките на шест месеца. Такива повтарящи се инциденти могат да свидетелстват за значителни недостатъци и слабости в процедурите за управление на риска в областта на киберсигурността на съответния субект и за тяхната степен на зрялост по отношение на киберсигурността. Освен това такива повтарящи се инциденти могат да причинят значителни финансови загуби на съответния субект.

(41)

Комисията обмени становища и си сътрудничи с групата за сътрудничество и ENISA по проекта на акта за изпълнение в съответствие с член 21, параграф 5 и член 23, параграф 11 от Директива (ЕС) 2022/2555.

(42)

Европейския надзорен орган по защита на данните беше консултиран в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (3) и прие своето становище на 1 септември 2024 г.

(43)

Мерките, предвидени в настоящия регламент, са в съответствие със становището на комитета, създаден в съответствие с член 39 от Директива (ЕС) 2022/2555,

а)

възникнали са поне два пъти в рамките на 6 месеца;

б)

първопричината за възникването им е видимо една и съща;

в)

заедно отговарят на критериите, посочени в член 3, параграф 1, буква а).

а)

услуга по преобразуване на имена на домейни чрез рекурсивен или овластен сървър е напълно недостъпна за повече от 30 минути;

б)

за период, по-дълъг от един час, средното време за отговор на услуга по преобразуване на имена на домейни чрез рекурсивен или овластен сървър на DNS заявки е повече от 10 секунди;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на услугата по преобразуване на имена на домейни чрез овластен сървър, е нарушена, освен в случаите, когато данните за по-малко от 1 000 имена на домейни, управлявани от доставчика на DNS услугата, възлизащи на не повече от 1 % от имената на домейни, управлявани от доставчика на DNS услугата, не са верни поради неправилна конфигурация.

а)

услуга по преобразуване на имена на домейни чрез овластен сървър е напълно недостъпна;

б)

за период, по-дълъг от един час, средното време за отговор на услуга по преобразуване на имена на домейни чрез овластен сървър на DNS заявки е повече от 10 секунди;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с техническото функциониране на регистрите на имена на домейни от първо ниво, е нарушена.

а)

предоставяна компютърна услуга „в облак“ е напълно недостъпна за повече от 30 минути;

б)

достъпността на компютърна услуга „в облак“ на даден доставчик е ограничена за повече от 5 % от ползвателите на услугата в Съюза или за повече от 1 милион ползватели на услугата в Съюза, в зависимост от това кое от двете числа е по-малко, за повече от един час;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на компютърна услуга „в облак“, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на компютърна услуга „в облак“, е нарушена, което засяга над 5 % от ползвателите на услугата в Съюза или над 1 милион ползватели на услугата в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

услуга на център за данни, управляван от доставчика, е напълно недостъпна;

б)

достъпността на услуга на център за данни, управляван от доставчика, е ограничена за повече от един час;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на услуга на център за данни, е нарушена в резултат на предполагаемо злонамерено действие;

г)

физическият достъп до център за данни, управляван от доставчика, е нарушен.

а)

мрежата за доставяне на съдържание е изцяло неразполагаема за повече от 30 минути;

б)

разполагаемостта на мрежата за доставяне на съдържание е ограничена за повече от един час за над 5 % от ползвателите на тази мрежа в Съюза или за над 1 милион ползватели на тази мрежа в Съюза, в зависимост от това кое от двете числа е по-малко;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на мрежа за доставяне на съдържание, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на мрежа за доставяне на съдържание, е нарушена и това засяга над 5 % от ползвателите на мрежата в Съюза или над 1 милион ползватели на мрежата в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

управлявана услуга или управлявана услуга за сигурност е напълно недостъпна за повече от 30 минути;

б)

достъпността на управлявана услуга или на управлявана услуга за сигурност е ограничена за повече от един час за над 5 % от ползвателите на услугата в Съюза или за над 1 милион ползватели на услугата в Съюза, в зависимост от това кое от двете числа е по-малко;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на управлявана услуга или управлявана услуга за сигурност, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на управлявана услуга или управлявана услуга за сигурност, е нарушена, което засяга над 5 % от ползвателите на управляваната услуга или управляваната услуга за сигурност в Съюза или над 1 милион ползватели на услугата в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

онлайн място за търговия е напълно недостъпно за над 5 % от ползвателите на онлайн мястото за търговия в Съюза или за над 1 милион ползватели на онлайн мястото за търговия в Съюза, в зависимост от това кое от двете числа е по-малко;

б)

над 5 % от ползвателите на онлайн място за търговия в Съюза или над 1 милион ползватели на онлайн място за търговия в Съюза, в зависимост от това кое от двете числа е по-малко, са засегнати от ограничената достъпност на онлайн мястото за търговия;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на онлайн място за търговия, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на онлайн място за търговия, е нарушена, което засяга над 5 % от ползвателите на онлайн мястото за търговия в Съюза или над 1 милион ползватели на онлайн мястото за търговия в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

онлайн търсачка е напълно недостъпна за над 5 % от ползвателите на онлайн търсачката в Съюза или за над 1 милион ползвателите на онлайн търсачката в Съюза, в зависимост от това кое от двете числа е по-малко;

б)

над 5 % от ползвателите на онлайн търсачка в Съюза или над 1 милион ползватели на онлайн търсачка в Съюза, в зависимост от това кое от двете числа е по-малко, са засегнати от ограничената достъпност на онлайн търсачката;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на онлайн търсачка, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на онлайн търсачка, е нарушена, което засяга над 5 % от ползвателите на онлайн търсачката в Съюза или над 1 милион ползватели на онлайн търсачката в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

платформа на услуги за социални мрежи е напълно недостъпна за над 5 % от ползвателите на платформата в Съюза или за над 1 милион от ползвателите на платформата в Съюза, в зависимост от това кое от двете числа е по-малко;

б)

над 5 % от ползвателите на платформа на услуги за социални мрежи в Съюза или над 1 милион ползватели на платформа на услуги за социални мрежи в Съюза, в зависимост от това кое от двете числа е по-малко, са засегнати от ограничената достъпност на платформата;

в)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на платформа на услуги за социални мрежи, е нарушена в резултат на предполагаемо злонамерено действие;

г)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на платформа на услуги за социални мрежи, е нарушена, което засяга над 5 % от ползвателите на платформата в Съюза или над 1 милион ползватели на платформата в Съюза, в зависимост от това кое от двете числа е по-малко.

а)

удостоверителна услуга е напълно недостъпна за повече от 20 минути;

б)

удостоверителна услуга е недостъпна за ползвателите или доверяващите се страни за повече от един час, изчислен на база календарна седмица;

в)

над 1 % от ползвателите или доверяващите се страни в Съюза или над 200 000 ползватели или доверяващи се страни в Съюза, в зависимост от това кое от двете числа е по-малко, са засегнати от ограничената достъпност на удостоверителна услуга;

г)

физическият достъп до зона, в която се намират мрежови и информационни системи и до която достъпът е ограничен до доверения персонал на доставчика на удостоверителни услуги, или защитата на този физически достъп са нарушени;

д)

целостта, поверителността или автентичността на съхраняваните, предаваните или обработваните данни, свързани с предоставянето на удостоверителна услуга, е нарушена, което засяга над 0,1 % от ползвателите или доверяващите се страни или над 100 ползватели или доверяващи се страни, ползващи тази удостоверителна услуга в Съюза, в зависимост от това кое от двете числа е по-малко.