EVROPSKÁ KOMISE

Ve Štrasburku dne 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Návrh

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY

o Agentuře Evropské unie pro kybernetickou bezpečnost (ENISA), evropském rámci pro certifikaci kybernetické bezpečnosti, bezpečnosti dodavatelského řetězce IKT a zrušení nařízení (EU) 2019/881 (akt o kybernetické bezpečnosti 2)

(Text s významem pro EHP)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

DŮVODOVÁ ZPRÁVA

1.SOUVISLOSTI NÁVRHU

•Odůvodnění a cíle návrhu

V této souvislosti existují čtyři hlavní problémy, které má tato navrhovaná revize aktu o kybernetické bezpečnosti řešit: i) nesoulad mezi rámcem politiky kybernetické bezpečnosti Unie a potřebami zúčastněných stran ve stále nepřátelštějším prostředí hrozeb; ii) pozastavené provádění evropského rámce pro certifikaci kybernetické bezpečnosti; iii) složitost a rozmanitost politik souvisejících s kybernetickou bezpečností, které mají dopad na kybernetickou pozici Unie; a iv) zvyšující se bezpečnostní rizika dodavatelských řetězců IKT.

Na základě hlavních zjištěných problémů má intervence dva obecné cíle, a to zvýšit schopnosti a odolnost v oblasti kybernetické bezpečnosti a zabránit roztříštěnosti jednotného trhu tím, že:

·přispěje k posílení správy oblasti kybernetické bezpečnosti v Unii a pomůže zajistit, aby byly příslušné instituce, orgány a další zúčastněné strany lépe připraveny koordinovaně a účinně předcházet kybernetickým bezpečnostním hrozbám, odhalovat je a reagovat na ně, a

·podpoří vývoj, zavádění a využívání společných nástrojů kybernetické bezpečnosti Unie, jako jsou certifikační schémata, a poskytne harmonizované rámce, které budují důvěru a interoperabilitu mezi všemi členskými státy.

Tyto obecné cíle odpovídají klíčovým výzvám určeným v definici problému. Odrážejí zastřešující politický cíl posílit správu kybernetické bezpečnosti v Unii a podpořit rozvoj bezpečného, odolného a konkurenceschopného jednotného digitálního trhu.

Aby pomohla dosáhnout výše uvedených obecných cílů, sleduje intervence tyto specifické cíle (SPC):

·řešit nesoulad mezi rámcem politiky kybernetické bezpečnosti Unie a potřebami zúčastněných stran:

·SPC1: vytvořit kapacitu pro účinné provádění politik Unie v oblasti kybernetické bezpečnosti a nepřetržitou operativní spolupráci, která umožní strukturovanější spolupráci mezi členskými státy,

·SPC2: vyvinout a zavést prostředky a mechanismy pro účinnou podporu a řešení potřeb členských států, odvětví a dalších zúčastněných stran,

·řešit omezené využívání a účinnost evropského rámce pro certifikaci kybernetické bezpečnosti:

·SPC3: vytvořit předpoklady pro rychlejší zavádění schémat certifikace kybernetické bezpečnosti na základě potřeb trhu, a to rozšířením oblasti působnosti evropského rámce pro certifikaci kybernetické bezpečnosti, zajištěním účinného udržování a pružných postupů a zvýšením transparentnosti,

·řešit otázku roztříštěného prostředí z hlediska dodržování předpisů a složitosti horizontálních a odvětvových rámců:

·SPC4: vytvořit mechanismy a podmínky, které usnadní dodržování požadavků na kybernetickou bezpečnost, a učinit tak jejich provádění soudržnější a účinnější,

·řešit kybernetická bezpečnostní rizika v dodavatelském řetězci:

·SPC5: odstranit rizika u kritických dodavatelských řetězců IKT plynoucí ze strany subjektů usazených ve třetích zemích nebo kontrolovaných subjekty ze třetích zemí, které vzbuzují obavy z hlediska kybernetické bezpečnosti (vysoce rizikoví dodavatelé), a snížit kritické závislosti vytvořením soudržného a účinného rámce na úrovni EU pro řešení bezpečnostních rizik dodavatelských řetězců IKT.

Revize aktu o kybernetické bezpečnosti spadá do působnosti Programu pro účelnost a účinnost právních předpisů (REFIT). Výrazně přispívá ke zvýšení srozumitelnosti, odstranění neefektivních prvků a sladění postupů napříč právními rámci. Revize aktu o kybernetické bezpečnosti přispívá k řádnému fungování vnitřního trhu a zároveň zajišťuje bezpečnost a strategickou autonomii Unie.

Konkrétně navrhuje úplnou reformu mandátu Agentury Evropské unie pro kybernetickou bezpečnost (ENISA), která poskytne účinnou podporu provádění politik a přidanou hodnotu v podobě podpory operativní spolupráce mezi členskými státy.

Vzhledem k nárůstu kybernetických bezpečnostních rizik a výzev, kterým Unie čelí, je cílem návrhu navýšit finanční a lidské zdroje agentury ENISA, aby odrážely její posílenou úlohu, úkoly a její zásadní postavení při obraně digitálního ekosystému Unie a umožnily jí, aby účinně plnila úkoly, které jí jsou tímto návrhem svěřeny.

Revize rovněž pomůže odstranit roztříštěné postupy, zlepší koordinaci a zároveň v dlouhodobém výhledu sníží náklady na dodržování předpisů a provoz. Zrušením stávajícího aktu o kybernetické bezpečnosti a zavedením reformovaného evropského rámce pro certifikaci kybernetické bezpečnosti návrh přináší účelnější a účinnější nástroj, který podporuje důvěru mezi podniky, širokou veřejností a veřejnými orgány a zároveň usnadňuje dodržování příslušných právních předpisů Unie. Zvyšuje efektivitu, neboť reviduje model správy a řízení a podporuje předvídatelnější, soudržnější a pružnější postupy certifikace, které umožní rychlejší vývoj a provádění schémat.

Větší synergie s příslušnými stávajícími právními rámci Unie podpoří certifikaci jako nástroj pro zajištění souladu s požadavky pro podniky a sníží administrativní zátěž subjektů posuzování shody, jejichž činnost upravují četné právní předpisy v oblasti kybernetické bezpečnosti. Rozšířením oblasti působnosti evropského rámce pro certifikaci kybernetické bezpečnosti a umožněním vývoje schématu pro kybernetickou pozici subjektů návrh dále snižuje náklady na dodržování předpisů pro subjekty, na které se vztahují příslušné právní předpisy Unie v oblasti kybernetické bezpečnosti, počínaje subjekty v oblasti působnosti směrnice o bezpečnosti sítí a informací 2 (NIS 2). Tento přístup významně zjednoduší regulační povinnosti subjektů, na které se vztahuje větší počet požadavků v oblasti dodržování předpisů, a zajistí efektivnější využívání zdrojů vnitrostátních orgánů. Tuto revizi doplňuje návrh směrnice, který zavádí cílené změny směrnice NIS 2 s cílem zjednodušit dodržování a zajistit efektivní a soudržné provádění konkrétních aspektů rámce pro kybernetickou bezpečnost, a to i pokud jde o oblast působnosti, definice, hlášení ransomwaru a dohled nad subjekty poskytujícími přeshraniční služby.

Nové nařízení rovněž vytváří harmonizovaný rámec pro řešení netechnických rizik, která ovlivňují dodavatelské řetězce IKT, a snižuje tak současnou roztříštěnost přístupů mezi členskými státy. Tyto aspekty společně představují podstatné zjednodušení a modernizaci právního rámce Unie pro kybernetickou bezpečnost, které jsou plně v souladu se zásadami srozumitelnosti, efektivnosti a digitální připravenosti podle programu REFIT.

•Soulad s platnými předpisy v této oblasti politiky

Unie rozšířila své právní a politické prostředky přijetím řady právních nástrojů a opatření politiky: i) směrnice NIS 2 slouží k posílení kybernetické bezpečnosti kritické infrastruktury; ii) opatření týkající se fyzické bezpečnosti jsou definována v „sesterské směrnici“, konkrétně ve směrnici o odolnosti kritických subjektů; iii) akt o kybernetické odolnosti zvyšuje kybernetickou bezpečnost produktů; iv) nařízení o kybernetické solidaritě buduje kapacity reakce na úrovni celé EU; v) kybernetický plán EU 7 podporuje spolupráci na úrovni EU při řešení krizí, přičemž Komise a úřad vysoké představitelky či vysokého představitele hrají klíčovou roli při přípravě na rozsáhlé kybernetické bezpečnostní incidenty a reakci na ně; vi) soubor opatření EU pro kybernetickou bezpečnost sítí 5G („soubor opatření pro sítě 5G“) podporuje kybernetickou bezpečnost sítí 5G; vii) evropský akční plán pro kybernetickou bezpečnost nemocnic a poskytovatelů zdravotní péče 8 pomáhá zvýšit kybernetickou bezpečnost těchto subjektů a viii) Akademie dovedností v oblasti kybernetické bezpečnosti 9 se zabývá narůstajícím problémem nedostatku talentů v oblasti kybernetické bezpečnosti.

•Soulad s ostatními politikami Unie

2.PRÁVNÍ ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA

•Právní základ

•Subsidiarita (v případě nevýlučné pravomoci)

Opatření, na která se navrhované nařízení vztahuje, nabízejí jasnou přidanou hodnotu, neboť podporují harmonizaci, právní jasnost a koordinované reakce na výzvy v oblasti kybernetické bezpečnosti.

•Proporcionalita

•Volba nástroje

3.VÝSLEDKY HODNOCENÍ EX POST, KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ

•Hodnocení ex post / kontroly účelnosti platných právních předpisů

·Relevantnost: Relevantnost agentury ENISA v oblasti kybernetické bezpečnosti je především spojena se schopností agentury reagovat na vyvíjející se potřeby zúčastněných stran a přizpůsobovat se měnícímu se prostředí. Přestože spokojenost zúčastněných stran je obecně kladná, existují příležitosti ke zvýšení dopadu agentury. Lze jej dosáhnout zlepšením podpory a zviditelněním různých odvětví, zejména malých a středních podniků, pro které je často splnění požadavků na kybernetickou bezpečnost velmi náročné. Zásadní význam má lepší organizace zdrojů a jasnější koordinace s vnitrostátními orgány. Nové stanovení priorit činností a optimalizace stávajících zdrojů umožní agentuře ENISA lépe reagovat na dynamické potřeby v oblasti evropské kybernetické bezpečnosti.

Pokud jde o evropský rámec pro certifikaci kybernetické bezpečnosti, navzdory jeho slibným předpokladům se má za to, že potenciál tohoto rámce je stále větší než jeho praktický dopad, neboť v poslední době začalo fungovat pouze jedno schéma certifikace. Rámec je navržen tak, aby se bez problémů propojil s ostatními právními akty Unie, a tím zefektivnil postupy a usnadnil přeshraniční obchod. Jeho význam je zdůrazněn v oblastech vyžadujících vysokou úroveň záruky, jako jsou cloudové služby a infrastruktury sítí 5G.

·Účelnost: Agentura ENISA úspěšně naplnila svůj mandát, neboť dosáhla téměř všech plánovaných výstupů a prokázala flexibilitu a odolnost v krizových situacích, jako byla pandemie COVID-19 a ruská útočná válka proti Ukrajině. Pro zvýšení účinnosti je však třeba zlepšit stanovování priorit, mít jasné zaměření a uplatňovat strategické přidělování zdrojů. Pro přizpůsobení se vyvíjejícím se požadavkům v oblasti kybernetické bezpečnosti a pro minimalizaci zpoždění je nezbytný pružnější přístup k interní správě a řízení.

Cílem evropského rámce pro certifikaci kybernetické bezpečnosti bylo harmonizovat certifikaci kybernetické bezpečnosti v celé Unii, rámec však narazil na značné problémy, včetně procesních omezení a roztříštěnosti, což vedlo ke zpožděním a neefektivitě, například k prodlení při přijímání evropského schématu certifikace kybernetické bezpečnosti založeného na společných kritériích („EUCC“). Dosažení cílů evropského rámce pro certifikaci kybernetické bezpečnosti ztížily také vnější faktory, například geopolitické napětí a pandemie COVID-19, které upozornily na potřebu přizpůsobitelných opatření a konzistentního rozdělování zdrojů mezi zúčastněné strany, aby bylo dosaženo jednotnosti a účinnosti certifikace kybernetické bezpečnosti. Navzdory těmto překážkám se podařilo dosáhnout i pozitivních výsledků, zejména v oblasti zvyšování povědomí členských států o významu a složitostech certifikace kybernetické bezpečnosti.

·Účinnost: Agentura ENISA fungovala v rámci svého maticového organizačního rámce, který podporuje spolupráci a určování priorit úkolů, efektivně. Potýkala se však s problémy při plnění rostoucích požadavků a obsazování specializovaných pozic, což se ještě zhoršilo v důsledku celosvětového nedostatku IT odborníků. To vedlo ke zpožděním a velkému pracovnímu zatížení. Aby tyto problémy vyřešila, podařilo se jí optimalizovat své interní pracovní síly a přerozdělit zdroje efektivním způsobem, což prokazují strategické úpravy, jako byl přesun zdrojů ve prospěch opatření na podporu kybernetické bezpečnosti v roce 2022. Její provozní efektivnost by se kromě toho dále zlepšila zkvalitněním rozpočtového řízení a snížením administrativních výdajů.

Efektivnost evropského rámce pro certifikaci kybernetické bezpečnosti byla kritizována kvůli dlouhým lhůtám pro přijetí schémat certifikace kybernetické bezpečnosti a s tím spojeným složitým procesům, neboť první schéma bylo přijato až počátkem roku 2024, téměř pět let po přijetí aktu o kybernetické bezpečnosti. Ke zpoždění přispěly politické a technické problémy, například debaty o svrchovanosti v oblasti údajů a obtíže při převádění návrhů do podoby právních aktů. Pokroku brání politické problémy a technické požadavky, jak je vidět na příkladu unijního schématu certifikace kybernetické bezpečnosti pro cloudové služby (EUCS) a schématu EU5G. Navzdory těmto neefektivnostem přinesl rámec několik pozitivních aspektů. Stále je však třeba zlepšit zapojení zúčastněných stran a vnitřní správu a řízení, aby bylo zajištěno optimální fungování a strategické přínosy.

·Soudržnost: Soudržnost agentury ENISA je podpořena významným zapojením zúčastněných stran a sladěním s nejnovějšími legislativními rámci. Pro zvýšení soudržnosti a přidělování zdrojů je však nezbytné zlepšit součinnost s dalšími subjekty Unie, jako je Evropské průmyslové, technologické a výzkumné centrum kompetencí pro kybernetickou bezpečnost (ECCC), a s vnitrostátními orgány. Kromě toho je třeba zdokonalit vnitřní komunikaci a řízení zdrojů v rámci agentury ENISA a transparentní interakci se soukromými zúčastněnými stranami. Jasné vymezení úkolů agentury ENISA v souladu s aktem o kybernetické odolnosti a směrnicí NIS 2 zlepší účinnost, jakož i soudržnost právních předpisů.

Pokud jde o evropský rámec pro certifikaci kybernetické bezpečnosti, je pro zajištění jednotného přístupu ke kybernetické bezpečnosti zásadní plný soulad s ostatními legislativními nástroji Unie, včetně směrnice NIS 2 a aktu o kybernetické odolnosti. Ačkoli evropský rámec pro certifikaci kybernetické bezpečnosti vykazuje teoretický soulad s těmito legislativními opatřeními, skutečná integrace je nadále složitá a vyžaduje pečlivý dohled. Významnou zkouškou v tomto ohledu bude provádění přijatého evropského schématu certifikace kybernetické bezpečnosti založeného na společných kritériích v rámci aktu o kybernetické odolnosti.

·Přidaná hodnota EU: Agentura ENISA významně přispěla k ekosystému kybernetické bezpečnosti Unie podporou spolupráce a sjednocováním postupů. Její úloha při usnadňování vnitrostátního úsilí a poskytování informací o vznikajících hrozbách je zásadní. Kritika zúčastněných stran ze soukromého sektoru ohledně potřeby více individuálně přizpůsobené podpory však naznačuje potřebu lepšího zapojení zúčastněných stran a spolupráce odvětví. Strategické přehodnocení řízení zdrojů by agentuře ENISA umožnilo lépe se přizpůsobit vyvíjejícím se výzvám v oblasti kybernetické bezpečnosti a účinněji sloužit rozmanitým zúčastněným stranám. Cílem evropského rámce pro certifikaci kybernetické bezpečnosti bylo zavést harmonizované certifikační procesy, kvůli prodlouženým lhůtám a roztříštěnosti se však potýkal s problémy při provádění. Přidaná hodnota evropského rámce pro certifikaci kybernetické bezpečnosti byla omezená kvůli nedostatkům při dosahování cílů a nedostatečné účinnosti. Navzdory těmto výzvám evropský rámec pro certifikaci kybernetické bezpečnosti zlepšil harmonizaci mezi členskými státy a vytvořil lepší možnosti spolupráce, zejména zřízením fór pro spolupráci zúčastněných stran, jako je Evropská skupina pro certifikaci kybernetické bezpečnosti.

•Konzultace se zúčastněnými stranami

V letech 2023 až 2025 proběhlo několik konzultací se zúčastněnými stranami v souvislosti s hodnocením aktu o kybernetické bezpečnosti i s revizí aktu o kybernetické bezpečnosti, jak je uvedeno níže.

–V roce 2023 se uskutečnilo 65 rozhovorů (52 z nich bylo zaměřeno spíše na agenturu ENISA a 13 zejména na evropský rámec pro certifikaci kybernetické bezpečnosti), byl proveden program šetření, který získal 209 odpovědí (z nichž 70 se týkalo evropského rámce pro certifikaci kybernetické bezpečnosti), byla ukončena veřejná konzultace a byly uspořádány dva workshopy s 26 a 70 účastníky zaměřené na analýzu SWOT (silných a slabých stránek, příležitostí a hrozeb) a na doporučení. Cílem těchto činností bylo zejména shromáždit názory zúčastněných stran na hodnocení dopadu, účelnosti a účinnosti agentury ENISA. Závěrečná zpráva studie na podporu hodnocení Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) a evropského rámce pro certifikaci kybernetické bezpečnosti, kterou pro Komisi vypracovaly společnosti PwC, Intellera Consulting a PPMI v roce 2024, byla dokončena v prosinci 2024. 

–V roce 2025 zveřejnila Komise výzvu k předložení faktických podkladů. Konkrétně byly zúčastněné strany vyzvány, aby předložily písemné příspěvky, včetně stanovisek, technických zpráv nebo připomínek ke konkrétním návrhům reforem.  Celkem bylo obdrženo 184 jednotlivých příspěvků od široké škály kategorií zúčastněných stran, včetně odvětvových sdružení, firem zabývajících se kybernetickou bezpečností, malých a středních podniků, akademických institucí a organizací veřejného zájmu.

–V období od dubna do června 2025 uspořádala Komise v rámci revize aktu o kybernetické bezpečnosti veřejnou konzultaci a obdržela 193 odpovědí. Konzultace se skládala z 38 uzavřených i otevřených otázek, které se týkaly mandátu agentury ENISA, evropského rámce pro certifikaci kybernetické bezpečnosti, bezpečnosti dodavatelského řetězce IKT a zjednodušení.

–Cílené konzultace (rozhovory): S vybranými zúčastněnými stranami byla provedena řada polostrukturovaných rozhovorů. Těchto rozhovorů se zúčastnili zástupci agentury ENISA i vnitrostátních orgánů veřejné správy, které vyvinuly nebo spravují vnitrostátní platformy pro podávání zpráv. Rozhovory se zaměřily na úlohu a kapacitu agentury ENISA, operativní fungování evropského rámce pro certifikaci kybernetické bezpečnosti, praktické problémy při slaďování certifikačních procesů na vnitrostátní a unijní úrovni, zátěž spojenou s podáváním zpráv a na překážky při provádění. Tyto diskuse poskytly kvalitativní poznatky, které obohatily interpretaci výsledků veřejné konzultace a podpořily upřesnění možností politiky.

–Konzultace se zástupci členských států v rámci pracovní skupiny Rady 19 a v rámci dvoustranných diskusí, v nichž členské státy mohly vyjádřit své názory na přezkum aktu o kybernetické bezpečnosti.

–Cílené konzultace (skupiny zabývající se evropským rámcem pro certifikaci kybernetické bezpečnosti – Evropská skupina pro certifikaci kybernetické bezpečnosti (dále také „ECCG“), Skupina zúčastněných stran pro certifikaci kybernetické bezpečnosti (dále také „SCCG“)): Komise jako předsedkyně obou skupin představila současný stav revize aktu o kybernetické bezpečnosti na zasedáních skupiny ECCG ve dnech 12. března a 3. července 2025 a na zasedání skupiny SCCG dne 17. března 2025. Kromě toho byly prostřednictvím dotazníků shromážděny doplňující odborné názory členů skupiny ECCG.

·mandát a operativní úloha agentury ENISA, včetně podpory členských států a odborných znalostí v oblasti nově vznikajících technologií,

·účinnost evropského rámce pro certifikaci kybernetické bezpečnosti, včetně procesů správy a řízení a vývoje,

·složitost a roztříštěnost povinností v oblasti kybernetické bezpečnosti s důrazem na zátěž spojenou s podáváním zpráv a možné zjednodušení,

·přiměřenost požadavků pro malé a střední podniky a možnost diferencovaných způsobů dosažení souladu, a

·společenské a hospodářské dopady harmonizovaných pravidel kybernetické bezpečnosti, včetně dopadů na spotřebitele, práva, inovace a konkurenceschopnost.

•Posouzení dopadů

Konečný návrh politiky se neodchyluje od možností posuzovaných v posouzení dopadů.

Možnosti řešení nesouladu mezi rámcem politiky kybernetické bezpečnosti Unie a potřebami zúčastněných stran ve stále nepřátelštějším prostředí

Možnosti týkající se evropského rámce pro certifikaci kybernetické bezpečnosti

Možnost B.1: Vyjasnění oblasti působnosti, prvků a cílů evropského rámce pro certifikaci kybernetické bezpečnosti a zavedení mechanismu udržování – Tato možnost by stanovila nový mechanismus udržování schémat, který by po jejich přijetí prováděla agentura ENISA.

Možnost B.2: Reforma evropského rámce pro certifikaci kybernetické bezpečnosti prostřednictvím revize jeho postupů a rozšířením oblasti působnosti s cílem zjednodušit dodržování právních předpisů – Tato možnost by zrušila akt o kybernetické bezpečnosti a nahradila jej novým nařízením. Nad rámec možnosti B.1 by byly také revidovány postupy týkající se žádostí, vývoje a přijímání schémat, aby se zlepšila odpovědnost a účinnost.

Možnost B.3: Reforma evropského rámce pro certifikaci kybernetické bezpečnosti podle možnosti B.2 a zavedení povinné certifikace kybernetické pozice – Tato možnost by navazovala na možnost B.2, jejím cílem je však dále zvýšit dopad rámce zavedením povinné certifikace základních subjektů s ohledem na konkrétní rizikové scénáře, namísto uplatňování pouze dobrovolné certifikace subjektů.

Možnosti týkající se zjednodušení

Možnost C.1: Uplatnění přístupu založeného na „soft law“ (právně nezávazných doporučeních) a nelegislativních nástrojích, včetně využití stávajících zmocnění (přijetí prováděcích aktů podle čl. 21 odst. 5 a čl. 23 odst. 11 směrnice NIS 2) – Tato možnost předpokládá přijetí prováděcích aktů s využitím stávajících zmocnění podle směrnice NIS 2 s cílem zajistit vyšší míru harmonizace opatření pro řízení kybernetických bezpečnostních rizik, prahových hodnot pro hlášení incidentů, jakož i typu údajů, formátů a postupu podávání oznámení. Předpokládá rovněž přijetí souboru pokynů pro posílení právní jistoty a harmonizovaného provádění.

Možnost C.2: Cílená intervence – další zjednodušení dodržování příslušného legislativního rámce Unie pro kybernetickou bezpečnost – Tato možnost zahrnuje omezenou intervenci prostřednictvím změn aktu o kybernetické bezpečnosti a směrnice NIS 2 s cílem zjednodušit konkrétní aspekty rámce pro kybernetickou bezpečnost, včetně úprav oblasti působnosti, maximální harmonizace prováděcích aktů, prokázání souladu prostřednictvím certifikace a přijetí souboru pokynů, jak se předpokládá v rámci možnosti C.1.  

Možnost D.1: Přístup k řešení kybernetických bezpečnostních rizik v dodavatelských řetězcích IKT na základě „soft law“ (právně nezávazných doporučení) – Tato možnost by neumožňovala regulační intervenci na úrovni EU. Namísto toho by Komise zvýšila počet koordinovaných posouzení rizik a dobrovolných souborů nástrojů.

Možnost D.2: Regulační intervence ad hoc kodifikující soubor opatření pro sítě 5G – Tato možnost by kodifikovala opatření obsažená v souboru opatření pro sítě 5G. Zavedla by povinnost členských států zajistit, aby v klíčových aktivech sítě nebyly používány komponenty od vysoce rizikových dodavatelů.

Tato kombinace nabízí dobře vyváženou reakci na zjištěné politické výzvy a výrazně zvyšuje účelnost, účinnost a soudržnost v celé Unii.

Současně se očekává, že zjednodušení a omezení povinností týkajících se dodržování předpisů přinese podnikům během pěti let úspory nákladů ve výši až 15,3 miliardy EUR. Kromě toho by zlepšení celkové kybernetické pozice a technologické suverenity Unie a podnícení inovací a konkurenceschopnosti přineslo značné výhody pro širokou veřejnost, veřejné orgány a podniky. Předpokládá se, že v dlouhodobém horizontu by se tím do značné míry vyrovnaly počáteční výdaje.

Upřednostňované možnosti snižují roztříštěnost trhu a harmonizují regulatorní požadavky, a tím zvyšují rovnost v hospodářské soutěži v celé Unii a poskytují podnikům jasnější cesty k dodržování předpisů a inovacím.

•Účelnost právních předpisů a zjednodušení

•Základní práva

Legislativní návrh byl posouzen na základě jeho potenciálu posílit nebo ohrozit základní práva a podpořit rovnost a důvěru, přičemž zvláštní pozornost byla věnována společenským dopadům a právům, včetně ochrany soukromí, ochrany údajů a schopnosti jednotlivců porozumět svým právům, uplatňovat je a vymáhat.

Rozšíření mandátu agentury ENISA přispěje k větší kybernetické odolnosti celé ekonomiky a společnosti obecně, což povede k lepší ochraně soukromí a osobních údajů. Návrh rovněž podpoří vzdělávání a odbornou přípravu v oblasti kybernetické bezpečnosti, neboť vyjasňuje úlohu agentury ENISA při rozvoji dovedností pracovních sil v oblasti kybernetické bezpečnosti.

Kromě toho evropský rámec pro certifikaci kybernetické bezpečnosti zvýší důvěru široké veřejnosti a podniků v Unii v certifikovaná řešení IKT, která podporují každodenní život. Zavedení dalších schémat by tento dopad ještě zvýšilo.

4.ROZPOČTOVÉ DŮSLEDKY

5.OSTATNÍ PRVKY

•Plány provádění a způsoby monitorování, hodnocení a podávání zpráv

•Informativní dokumenty (u směrnic)

•Podrobné vysvětlení konkrétních ustanovení návrhu

Hlava II: ENISA (AGENTURA EVROPSKÉ UNIE PRO KYBERNETICKOU BEZPEČNOST)

Komise může prostřednictvím prováděcích aktů určit klíčová aktiva IKT používaná pro výrobu produktů a poskytování služeb subjekty, jejichž druh je uveden v příloze I a II směrnice (EU) 2022/2555. Článek 102 dále podrobně popisuje prvky, které je třeba při určování klíčových aktiv IKT zohlednit. Článek 103 stanoví možná zmírňující opatření v dodavatelském řetězci IKT. Komise může prostřednictvím prováděcích aktů rozhodnout, že subjekty působící ve vysoce kritických odvětvích a v dalších kritických odvětvích musí podléhat zvláštním zmírňujícím opatřením, která jsou v článku dále podrobněji popsána.

Komise prostřednictvím prováděcích aktů vypracuje seznamy vysoce rizikových dodavatelů relevantní z hlediska zákazů stanovených v prováděcích aktech přijatých v souladu s čl. 103 odst. 1 a 7 nebo z hlediska zákazu podle čl. 110 odst. 1, a to po provedení posouzení místa usazení, vlastnictví a kontroly. Měla by konzultovat dotčené dodavatele a příslušné orgány (článek 104).

Subjekt usazený ve třetí zemi nebo kontrolovaný subjekty ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti a byla určena v souladu s článkem 100, může požádat o povolení dodávat komponenty IKT klíčových aktiv IKT subjektů, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555 a účastnit se zadávání veřejných zakázek v souvislosti s poskytováním těchto komponent IKT. Článek 105 upřesňuje, co by měla žádost obsahovat a jaký je postup pro udělení takové výjimky. Článek 106 stanoví práva dotčeného subjektu na obhajobu. Komise vede veřejně přístupný rejstřík rozhodnutí o výjimkách (článek 107). Články 108 a 109 stanoví pravidla důvěrnosti a poplatky související s postupem udělování výjimky.

Kapitola II stanoví použití rámce pro důvěryhodné dodavatelské řetězce IKT na mobilní, pevné a družicové sítě elektronických komunikací, což zajistí soulad s navrhovaným aktem o digitálních sítích.

Klíčová aktiva IKT pro mobilní, pevné a družicové sítě elektronických komunikací jsou uvedena v příloze II. Přechodné období postupného vyřazování komponent IKT od vysoce rizikových dodavatelů u klíčových aktiv IKT v mobilní síti elektronických komunikací nepřesáhne 36 měsíců od vstupu tohoto nařízení v platnost. Přechodná období pro pevné a družicové sítě elektronických komunikací stanoví Komise prostřednictvím prováděcích aktů. Komise je zmocněna přijímat akty v přenesené pravomoci za účelem změny určených klíčových aktiv IKT a přechodných období, včetně budoucích generací mobilních technologií (článek 110). Článek 111 stanoví, že poskytovatelé mobilních, pevných a družicových sítí elektronických komunikací nemohou v žádné podobě používat, instalovat nebo integrovat komponenty IKT od vysoce rizikových dodavatelů a nelze jim udělit všeobecné nebo individuální oprávnění.

Příslušné orgány, dohled a vymáhání, jurisdikce, práva na obhajobu (kapitola III)

Kapitola III dále stanoví pravidla pro příslušné orgány, dohled a vymáhání a jurisdikci. 

Články 112–114 upřesňují pravomoci, prostředky a povinnosti členských států při zajišťování provádění a prosazování ustanovení hlavy IV. Členské státy musí určit jeden nebo více příslušných orgánů, které oznámí Komisi. Článek 113 stanoví, že Komise zřídí síť pro spolupráci příslušných orgánů členských států a Komise s cílem usnadnit dodržování pravidel, a článek 114 upřesňuje opatření v oblasti dohledu a prosazování, která jsou příslušné orgány oprávněny přijmout. Sankce v případě porušení ustanovení hlavy IV jsou uvedeny v článku 115. Článek 116 podrobně popisuje možnost členských států vzájemně si pomáhat, pokud subjekty vykonávají přeshraniční činnosti nebo se jejich klíčová aktiva IKT nacházejí v několika členských státech. Článek 117 stanoví pravidla pro jurisdikci a územní působnost.

2026/0011 (COD)

Návrh

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY

o Agentuře Evropské unie pro kybernetickou bezpečnost (ENISA), evropském rámci pro certifikaci kybernetické bezpečnosti, bezpečnosti dodavatelského řetězce IKT a zrušení nařízení (EU) 2019/881 (akt o kybernetické bezpečnosti 2)

(Text s významem pro EHP)

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropského hospodářského a sociálního výboru 24 ,

s ohledem na stanovisko Výboru regionů 25 ,

v souladu s řádným legislativním postupem,

vzhledem k těmto důvodům:

(1) Od přijetí nařízení Evropského parlamentu a Rady (EU) 2019/881 26 došlo k významným proměnám geopolitického, technologického a politického prostředí. Prudce vzrostl počet kybernetických bezpečnostních incidentů, ať už způsobených selháním systému, lidskou chybou, zlovolnými činy nebo přírodními jevy, a kybernetické útoky se staly sofistikovanější a zasahují základní subjekty, podniky i širokou veřejnost. Ekosystém kybernetické kriminality se rozšířil a jeho jádrem je využívání ransomwaru. Zintenzivnily se incidenty v dodavatelském řetězci, ať už způsobené pachateli trestné činnosti za účelem finančního zisku nebo státními aktéry za účelem narušení, špionáže, dezinformací nebo vedení války. V rámci širší hybridní strategie se incidenty způsobené nepřátelskými kybernetickými činnostmi a selháními systémů šíří dále, narušují základní služby, podkopávají důvěru v instituce a ovlivňují společenskou a obrannou připravenost Unie. Ukázalo se, že takové incidenty mohou mít dopad na hospodářskou činnost, finanční stabilitu a životy lidí. Zranitelnost kritické civilní infrastruktury a systémů zároveň představuje riziko pro obranné schopnosti, pokud se o tuto infrastrukturu a systémy opírají.

(2)Souběžně s tím mají na kybernetickou bezpečnost a kybernetickou obranu narušující vliv nově vznikající technologie, jako je umělá inteligence a kvantová výpočetní technika. Přetvářejí nástroje obrany a taktiku protivníků, představují hrozbu pro kybernetickou bezpečnost a kybernetickou obranu a zároveň nabízejí možnosti technologického pokroku. Ačkoli mohou přispět ke kybernetické bezpečnosti díky lepšímu odhalování hrozeb nebo automatizované reakci na incidenty, zvětšují také celkový prostor pro útoky v organizacích, jsou potenciálním cílem manipulace a mohou narušit dlouhodobou životaschopnost bezpečnostních opatření, jako je šifrování.

(3)V reakci na tento vývoj Unie posílila své právní a politické nástroje. Směrnice Evropského parlamentu a Rady (EU) 2022/2555 27 posiluje kybernetickou bezpečnost kritické infrastruktury a je doplněna směrnicí Evropského parlamentu a Rady (EU) 2022/2557 28 , pokud jde o fyzickou bezpečnost. Nařízení Evropského parlamentu a Rady (EU) 2024/2847 29 zvyšuje kybernetickou bezpečnost produktů s digitálními prvky. Nařízení Evropského parlamentu a Rady (EU) 2025/38 30 buduje schopnosti reakce v rámci celé Unie a doporučení Rady ze dne 6. června 2025 o plánu EU pro řešení kybernetických bezpečnostních krizí 31 („kybernetický plán“) podporuje spolupráci v oblasti řešení krizí na úrovni Unie. Soubor opatření pro kybernetickou bezpečnost sítí 5G 32 představuje první krok ke koordinovanému přístupu k zabezpečení sítí 5G na úrovni Unie. Sdělení Komise o Akademii dovedností v oblasti kybernetické bezpečnosti 33 se zabývá narůstajícím problémem nedostatku talentů v oblasti kybernetické bezpečnosti. Kromě toho rámec pro kybernetickou bezpečnost posílily odvětvové právní předpisy, zejména nařízení Evropského parlamentu a Rady (EU) 2022/2554 34 pro finanční sektor, nařízení Komise v přenesené pravomoci (EU) 2024/1366 35 pro pododvětví elektrické energie, nařízení Komise v přenesené pravomoci (EU) 2022/1645 36 a prováděcí nařízení Komise (EU) 2023/203 37 (ČÁST IS), jakož i příslušná pravidla pro bezpečnost letectví stanovená v nařízení Komise (EU) 2019/1583 38 pro pododvětví letecké dopravy a další dokumenty politiky, jako je sdělení Komise o evropském akčním plánu pro kybernetickou bezpečnost nemocnic a poskytovatelů zdravotní péče 39 . Subjekty v Unii mají podporu rovněž v nařízení Evropského parlamentu a Rady (EU, Euratom) 2023/2841 40 , které stanoví opatření, jejichž cílem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie. Tento posílený právní rámec pro kybernetickou bezpečnost dále upřesnil úkoly agentury ENISA.

(4)V tomto kontextu, jak je také uvedeno ve sdělení ProtectEU: Evropská strategie vnitřní bezpečnosti 41 a ve Strategii unie připravenosti 42 , vyžaduje zajištění připravenosti, bezpečnosti a odolnosti společnosti a hospodářství Unie silnou evropskou koordinaci, důvěru a sdílení informací mezi zúčastněnými stranami, spolehlivé rámce pro zajištění bezpečnosti produktů, služeb a procesů IKT a řízených bezpečnostních služeb, jakož i růst a posilování počtu pracovních sil v oblasti kybernetické bezpečnosti. Dále by měly být posíleny dodavatelské řetězce IKT, a to zajištěním evropské technologické suverenity v oblasti klíčových aktiv, která by zvýšila odolnost Unie a mohla by být přínosem pro úsilí v oblasti kybernetické obrany. Kromě toho sdělení o posílení hospodářské bezpečnosti EU 43 uvádí jako prioritní cíle nutnost zamezit přístupu k citlivým informacím a údajům, který by mohl ohrozit hospodářskou bezpečnost EU, a předcházet narušením kritické infrastruktury EU, která mají vliv na hospodářství EU, a zmírňovat jejich důsledky. Sdělení uznává, že v tomto ohledu hrají zásadní úlohu účinná opatření v oblasti kybernetické bezpečnosti.

(5)Rozsáhlé kybernetické bezpečnostní incidenty, které mají vliv na kritickou infrastrukturu, digitální služby nebo základní společenské funkce, mohou mít dopad na obyvatelstvo, což vyžaduje koordinovanou civilní ochranu a opatření v oblasti řešení krizí na úrovni Unie. V souladu s přístupem zohledňujícím všechna rizika podle Strategie unie připravenosti a rozhodnutí č. 1313/2013/EU o mechanismu civilní ochrany Unie by opatření pro situační povědomí, reakci na incidenty a cvičení podle tohoto nařízení měla být součástí unijního řešení krizí, zejména prostřednictvím Střediska pro koordinaci odezvy na mimořádné události.

(6)Tento návrh je v souladu s [návrhem směrnice, kterou se doplňuje [revize nařízení (EU) 2019/881] a mění směrnice (EU) 2022/2555, pokud jde o zjednodušení provádění opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii], a uvedený návrh doplňuje, jakož i v souladu s [návrhem nařízení o zjednodušení digitálního právního rámce (souhrnný balíček pro digitální oblast)] 44 , který agentuře ENISA ukládá povinnost vytvořit jednotné kontaktní místo pro hlášení incidentů, které subjektům umožní splnit současně své povinnosti hlášení incidentů plynoucí jim z více právních předpisů.

(7)Nařízení Evropského parlamentu a Rady (ES) č. 460/2004 45 zřídilo agenturu ENISA s cílem přispět k zajištění vysoké a účinné úrovně bezpečnosti sítí a informací v Unii a vytvořit kulturu bezpečnosti sítí a informací v zájmu občanů, spotřebitelů, podniků a veřejné správy. Mandát agentury ENISA byl třikrát prodloužen, než jí byl nařízením (EU) 2019/881 udělen mandát trvalý. Aby mohla agentura ENISA lépe reagovat na potřeby vyplývající z vyvíjejícího se prostředí hrozeb a technologií, zejména pokud jde o operativní spolupráci a zvýšenou potřebu odborníků v oblasti kybernetické bezpečnosti, měl by být její mandát dále posílen. Nařízení (EU) 2019/881 by v zájmu právní jistoty mělo být nahrazeno.

(8)Ve vyvíjejícím se prostředí hrozeb, kde jsou kybernetické bezpečnostní incidenty stále závažnější, je zajištění důvěry při každodenním používání technologií pro jednotlivce, veřejné orgány a podniky ještě důležitější než kdykoli předtím. Zvýšení důvěry lze usnadnit posílením certifikace v celé Unii na základě evropského rámce pro certifikaci kybernetické bezpečnosti, který bude zajišťovat společné požadavky na kybernetickou bezpečnost a kritéria jejího hodnocení napříč vnitrostátními trhy a odvětvími. Nový rámec by měl stanovit hlavní horizontální požadavky na evropská schémata certifikace kybernetické bezpečnosti a umožnit uznávání a používání evropských certifikátů kybernetické bezpečnosti a EU prohlášení o shodě ve všech členských státech. Přitom by měl stanovit postup a rámec správy a řízení, který umožní včasný a předvídatelný vývoj a udržování evropských schémat certifikace kybernetické bezpečnosti. Evropská schémata certifikace kybernetické bezpečnosti by měla být ve všech členských státech uplatňována jednotně, aby se zajistilo harmonizované provádění požadavků na kybernetickou bezpečnost, vyrovnaly se podmínky a zabránilo se „spekulativnímu výběru místa pro certifikaci“ v závislosti na rozdílné přísnosti požadavků v různých členských státech. Agentura ENISA by měla hrát klíčovou úlohu při zajišťování rozvoje schémat prostřednictvím technických specifikací a při zabezpečování průběžných technických aktualizací těchto schémat. Aby bylo možné účinně reagovat na potřeby trhu, měl by rámec dále umožnit certifikaci opatření k řízení kybernetických bezpečnostních rizik určených subjektům a usnadnit soulad s dalšími použitelnými právními předpisy Unie v oblasti kybernetické bezpečnosti. Sladění se stávajícími právními předpisy Unie, jako je nařízení (EU) 2024/2847 a směrnice (EU) 2022/2555, je zásadní pro přínos evropských schémat certifikace kybernetické bezpečnosti ke snížení zátěže podniků spojené s dodržováním předpisů, zvýšení jejich atraktivity a posílení kybernetické odolnosti Unie.

(9)Posláním agentury ENISA by měla být podpora členských států a subjektů Unie při dosahování vysoké úrovně kybernetické bezpečnosti, odolnosti a důvěry v Unii. Za tímto účelem by agentura ENISA měla působit jako referenční subjekt poskytující poradenství a odborné znalosti v oblasti kybernetické bezpečnosti a její činnost by se měla věnovat především čtyřem klíčovým oblastem kybernetické bezpečnosti na úrovni Unie. Za prvé by agentura ENISA měla podporovat členské státy v důsledném provádění politiky a právních předpisů Unie týkajících se kybernetické bezpečnosti a prostřednictvím činností v oblasti budování kapacit pomáhat členským státům, aby neustále zlepšovaly své schopnosti, pokud jde o připravenost, odolnost a reakci. Za druhé by agentura ENISA měla přispívat k operativní spolupráci na úrovni Unie, mezi členskými státy a k lepšímu sdílení situačního povědomí o kybernetických hrozbách a incidentech mezi členskými státy a subjekty Unie. Třetí klíčovou oblastí by měla být certifikace a normalizace kybernetické bezpečnosti, čtvrtou pak zavedení Akademie dovedností v oblasti kybernetické bezpečnosti, která by měla přispět k rozvoji prosperujících evropských pracovních sil v této oblasti vybavených dovednostmi, které by měly být přenositelné mezi členskými státy.

(10)Nařízení (EU, Euratom) 2023/2841, kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie, stanoví mandát služby kybernetické bezpečnosti pro orgány, instituce a jiné subjekty Unie (CERT-EU), která má přispívat k bezpečnosti neutajovaného IKT prostředí subjektů Unie, a to tak, že jim poskytuje poradenství v oblasti kybernetické bezpečnosti, pomáhá jim předcházet incidentům, odhalovat je, řešit, zmírňovat, reagovat na ně a zotavovat se z nich a působí jako středisko pro výměnu informací v oblasti kybernetické bezpečnosti a pro koordinaci reakcí na incident. Kromě toho má CERT-EU za úkol nabízet subjektům Unie příslušné služby v oblasti kybernetické bezpečnosti. V rámci svého poslání by agentura ENISA měla podporovat také subjekty Unie. Měla by tak činit zejména prostřednictvím strukturované spolupráce s CERT-EU v oblasti budování kapacit, operativní spolupráce a dlouhodobých strategických analýz kybernetických hrozeb. Dle potřeby může agentura ENISA využít strukturovanou spolupráci s CERT-EU pro své služby nebo podporu v oblasti kybernetické bezpečnosti, které mohou mít pro subjekty Unie přidanou hodnotu, a to koordinovaným způsobem, aby byla zajištěna synergie s činností CERT-EU.

(11)Jedním z hlavních úkolů agentury ENISA by měla být podpora členských států při důsledném provádění politiky a práva Unie v oblasti kybernetické bezpečnosti, zejména pokud jde o směrnici (EU) 2022/2555, nařízení (EU) 2024/2847 a nařízení (EU) 2025/38. Aby agentura ENISA pomohla dosáhnout jednotného a účinného provádění acquis Unie v oblasti kybernetické bezpečnosti, měla by v této oblasti vydávat technické pokyny a zprávy, poskytovat poradenství a osvědčené postupy a usnadňovat výměnu osvědčených postupů mezi příslušnými orgány. Agentura ENISA dále posuzuje stav kybernetické bezpečnosti v Unii a za tímto účelem přijímá zprávu v souladu s článkem 18 směrnice (EU) 2022/2555. Agentura ENISA by rovněž měla být schopna reagovat na žádosti o poradenství a pomoc od členských států, případně subjektů Unie, které se týkají záležitostí spadajících do jejího mandátu.

(12)S cílem podněcovat spolupráci mezi veřejným a soukromým sektorem a v rámci soukromého sektoru, zejména podporovat ochranu kritické infrastruktury, by agentura ENISA měla napomáhat sdílení informací v rámci odvětví a mezi odvětvími, zejména pokud jde o odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555, a informací týkajících se produktů s digitálními prvky, které spadají do oblasti působnosti nařízení (EU) 2024/2847. Tato podpora může mít podobu poskytování osvědčených postupů a pokynů k dostupným nástrojům a postupům, jakož i pokynů k řešení regulačních otázek týkajících se sdílení informací, například usnadněním zřizování odvětvových středisek pro sdílení a analýzu informací (ISAC).

(13)S ohledem na podporu a usnadnění strategické spolupráce a výměny informací by agentura ENISA měla přispívat k práci skupiny pro spolupráci zřízené směrnicí (EU) 2022/2555 („skupina pro spolupráci v oblasti bezpečnosti sítí a informací“), zejména poskytováním odborných znalostí, poradenství a usnadňováním výměny osvědčených postupů, mimo jiné v souvislosti s přeshraničními závislostmi, pokud jde o rizika a incidenty. Agentura ENISA by měla rovněž přispívat k práci Skupiny pro evropskou spolupráci v oblasti digitální identity zřízené nařízením Evropského parlamentu a Rady (EU) č. 910/2014 46 , Evropské skupiny pro certifikaci kybernetické bezpečnosti a skupiny pro správní spolupráci zřízené nařízením (EU) 2024/2847.

(14)Veřejné jádro otevřeného internetu, tedy jeho hlavní protokoly a infrastruktura, jež jsou globálním veřejným statkem, zajišťuje základní funkci internetu jako celku a je základem pro jeho běžný provoz. V rámci svého mandátu by měla agentura ENISA podporovat bezpečnost a odolnost veřejného jádra otevřeného internetu a stabilitu jeho fungování, mimo jiné včetně bezpečného zavádění a provozu klíčových protokolů (zejména DNS, BGP a IPv6) a provozu systému překladu doménových jmen (například provozu všech domén nejvyšší úrovně), a to prosazováním osvědčených postupů, pokynů a spolupráce v souladu se zavedenými globálními mnohostrannými ujednáními o správě internetu a příslušnými úlohami a povinnostmi příslušných mezinárodních technických a operativních subjektů.

(15)Agentura ENISA působí jako referenční subjekt pro poradenství a odborné znalosti v oblasti kybernetické bezpečnosti. Z toho důvodu by měla být agentura na žádost Komise nápomocna Komisi prostřednictvím odborných znalostí, technického poradenství, informací, analýz, včetně studií proveditelnosti, stanovisek a přípravných prací týkajících se jakékoli konkrétní záležitosti v oblasti kybernetické bezpečnosti s cílem dodávat Komisi podklady pro tvorbu politik a usnadnit jí sledování provádění právních předpisů Unie týkajících se kybernetické bezpečnosti.

(16)Obdobně by s ohledem na svou odbornost měla být agentura ENISA nápomocna členským státům v jejich úsilí o vytváření a rozvoj schopností a připravenosti předcházet kybernetickým hrozbám a incidentům, odhalovat je a reagovat na ně, a také v souvislosti s bezpečností sítí a informačních systémů. Agentura ENISA by zejména měla podporovat rozvoj a posilování týmů pro reakce na počítačové bezpečnostní incidenty („CSIRT“) podle směrnice (EU) 2022/2555 s cílem dosáhnout v Unii vysoké společné úrovně vyspělosti týmů CSIRT.

(17)Agentura ENISA podporovala a měla by i nadále podporovat členské státy při vypracovávání a provádění pokynů pro jejich národní strategie kybernetické bezpečnosti, a přispívat tak k přijetí a provádění strategií kybernetické bezpečnosti všemi členskými státy. Měla by šíření těchto strategií podporovat prostřednictvím interaktivní mapy národních strategií kybernetické bezpečnosti a měla by dále sledovat pokrok v jejich provádění, mimo jiné poskytováním podpory při vypracování klíčových ukazatelů výkonnosti.

(18)Nařízení (EU, Euratom) 2023/2841 pověřilo Interinstitucionální výbor pro kybernetickou bezpečnost podporou subjektů Unie při zlepšování jejich kybernetických pozic, a službu CERT-EU úkolem přispívat k bezpečnosti neutajovaného IKT prostředí všech subjektů Unie. Agentura ENISA by na základě svých zkušeností v oblasti kybernetické bezpečnosti měla podporovat Interinstitucionální výbor pro kybernetickou bezpečnost a CERT-EU při plnění jejich úkolů v souladu s nařízením (EU, Euratom) 2023/2841 mimo jiné tím, že bude přispívat k analýze kybernetických hrozeb, zvyšování situačního povědomí, cvičením v oblasti kybernetické bezpečnosti, koordinaci reakce na incidenty a k výměně know-how a osvědčených postupů.

(19)Na základě svých odborných znalostí a s cílem doplnit schopnosti vnitrostátních a unijních veřejných orgánů by agentura ENISA měla poskytovat odbornou přípravu s využitím Evropského rámce dovedností v oblasti kybernetické bezpečnosti (ECSF) jako základu, zejména na podporu účinného provádění politik, operativní spolupráce a zvyšování povědomí.

(20)Aby byla zajištěna součinnost s Evropským průmyslovým, technologickým a výzkumným centrem kompetencí pro kybernetickou bezpečnost („ECCC“) a sítí národních koordinačních center zřízenými podle nařízení Evropského parlamentu a Rady (EU) 2021/887 47 , měla by jim agentura ENISA poskytovat podporu sdílením informací o stávajících a vznikajících rizicích a kybernetických hrozbách, včetně rizik a hrozeb týkajících se informačních a komunikačních technologií.

(21)Strategie připravenosti zdůrazňuje, že digitální gramotnost, která spočívá v osvojení základních digitálních dovedností, má zásadní význam pro posílení odolnosti občanů vůči případným krizím. Jak však upozornilo sdělení Komise o unii dovedností 48 , téměř polovina dospělé populace nemá základní digitální dovednosti, přestože je vyžaduje více než 90 % pracovních míst. S cílem zajistit, aby současné a potenciální budoucí pracovní síly měly potřebné dovednosti v rychle se vyvíjejícím digitálním prostředí, a přispět k rozvoji evropské rezervy talentů v oblasti kybernetické bezpečnosti, by agentura ENISA měla podporovat činnosti zaměřené na zvyšování povědomí o kybernetické bezpečnosti, jejichž cílem je přilákat talenty a pomoci informovat o vzdělávání a dovednostech potřebných v oblasti kybernetické bezpečnosti, například prostřednictvím Evropské výzvy pro kybernetickou bezpečnost. V tomto ohledu by agentura ENISA měla koordinovat soutěže v oblasti kybernetické bezpečnosti, akce typu „soutěž o vlajku“ a podobná praktická cvičení jako prostředek rozvoje dovedností v oblasti kybernetické bezpečnosti a podpory budování kapacit v celé Unii. Při provádění činností v oblasti zvyšování povědomí by agentura ENISA měla zajistit, aby tyto činnosti odpovídaly potřebám vnitrostátních orgánů veřejné správy a subjektů Unie, jakož i potřebám podniků, zejména malých a středních podniků, a institucí v oblasti vzdělávání a odborné přípravy, a to udržováním praktických rámců a školení, například agenturou vypracovaného souboru nástrojů pro zvyšování povědomí. Agentura ENISA by měla dále vypracovávat praktické a realizovatelné pokyny na podporu provádění politiky a právních předpisů Unie v oblasti kybernetické bezpečnosti. Měla by se rovněž snažit poskytovat příslušné informace o platných schématech certifikace, například formou pokynů a doporučení.

(22)Za účelem podpory podniků působících v odvětví kybernetické bezpečnosti a uživatelů řešení v oblasti kybernetické bezpečnosti a s cílem zajistit účinné provádění hlavy III tohoto nařízení by agentura ENISA měla vytvořit a provozovat „středisko pro sledování trhu“ prostřednictvím provádění pravidelných analýz a šíření informací o hlavních trendech na trhu kybernetické bezpečnosti, a to jak na straně poptávky, tak na straně nabídky. Kromě toho by agentura ENISA měla v zájmu podpory uživatelů rezervy EU pro kybernetickou bezpečnost vytvořené podle nařízení (EU) 2025/38 připravit mapování služeb, které tito uživatelé potřebují, a dostupnosti těchto služeb podle uvedeného nařízení.

(23)Kybernetické hrozby jsou globální záležitostí. Pro zlepšení kybernetické bezpečnosti je nezbytná užší mezinárodní spolupráce, včetně spolupráce při vymezení společných norem chování a společných přístupů. Za tímto účelem by agentura ENISA měla podporovat spolupráci Unie se třetími zeměmi, zejména se zaměřením na země, které jsou kandidáty na přistoupení k Unii, a s mezinárodními organizacemi, jako je NATO, a v případě potřeby poskytovat Komisi a příslušným subjektům Unie potřebné odborné znalosti a analýzy. Činnost agentury ENISA v mezinárodní oblasti by měla být vždy v souladu s prioritami Unie.

(24)Aby agentura ENISA pomohla dosáhnout vysoké úrovně kybernetické bezpečnosti v Unii, měla by ve spolupráci s CERT-EU podporovat operativní spolupráci mezi členskými státy, mezi subjekty Unie a mezi zúčastněnými stranami. Je tudíž třeba posílit její úlohu. Měla by se stát členem sítě CSIRT a přispívat k výměně a analýze informací v síti. Měla by dále prosazovat a podporovat spolupráci mezi příslušnými týmy CSIRT v případě incidentů, útoků nebo narušení sítí či infrastruktury provozovaných nebo chráněných těmito týmy. Aktivní podpora agentury ENISA pro činnost sítě CSIRT a Evropské sítě styčných organizací pro řešení kybernetických krizí („EU-CyCLONe“) by měla těmto sítím umožnit další posilování úrovně jejich vyspělosti. Úloha agentury ENISA při podpoře této spolupráce zahrnuje boj proti hrozbám pro bezpečnost a integritu demokratických institucí, voleb a dalších procesů a kritické infrastruktury, na níž jsou závislé, v souladu se sdělením „Evropský štít pro demokracii: podpora silných a odolných demokracií“ 49 .

(25)Na podporu budování kapacit, operativní spolupráce a dlouhodobých strategických analýz kybernetických hrozeb by agentura ENISA měla využívat dostupné technické a operativní odborné znalosti CERT-EU prostřednictvím strukturované spolupráce, například formou zvláštních ujednání.

(26)V zájmu posílení kybernetické bezpečnosti v celé Unii a zajištění rychlé a účinné reakce na kybernetické hrozby by agentura ENISA měla na požádání poskytovat členským státům podporu, mimo jiné zajišťováním poradenství ohledně zlepšení jejich schopností předcházet incidentům, odhalovat je, reagovat na ně a zotavovat se z nich, usnadňováním technického řešení významných incidentů ve smyslu směrnice (EU) 2022/2555, a to zejména podporou dobrovolného sdílení technických řešení mezi členskými státy, nebo zajišťováním analýz kybernetických hrozeb a incidentů. Agentura ENISA by rovněž měla být nápomocna síti EU-CyCLONe při přípravě zpráv pro tvůrce politik na úrovni Unie a členských států.

(27)Aby agentura ENISA snížila riziko zahraničních interferencí, manipulace s dodavatelským řetězcem a exfiltrace strategických dat, měla by v rámci sítě CSIRT a sítě EU-CyCLONe využívat zabezpečené komunikační nástroje. V návaznosti na doporučení o kybernetickém plánu by měly tyto nástroje poskytovat právní subjekty usazené nebo považované za usazené v Unii a kontrolované členskými státy nebo státními příslušníky členských států.

(28)Aby agentura ENISA přispěla k připravenosti a reakci na úrovni Unie v případě rozsáhlých kybernetických bezpečnostních incidentů a krizí, měla by provádět činnosti týkající se povědomí o situaci v oblasti kybernetické bezpečnosti.

(29) Přístup k ověřeným a spolehlivým operativním informacím o kybernetických hrozbách v reálném čase je zásadní pro budování sdíleného situačního povědomí v Unii. Agentura ENISA, Komise, CERT-EU a Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu již vytvořily úložiště operativních informací o kybernetických hrozbách, která jsou přizpůsobena jejich konkrétním potřebám. Agentura ENISA a další příslušné subjekty Unie by měly dobrovolně spolupracovat na vytváření úložišť ověřených a spolehlivých operativních informací o kybernetických hrozbách v reálném čase a usilovat o součinnost s cílem zajistit úspory z rozsahu a posílit řádné finanční řízení. Tato práce by měla zahrnovat i odvětvové subjekty Unie, jako je Agentura Evropské unie pro Kosmický program. Subjekty by měly sdílet pouze odvozené analýzy, trendy a taktiky, techniky a postupy, nikoli nezpracované zdroje, a měly by respektovat nezávislost subjektů při řízení vlastního životního cyklu operativních informací o kybernetických hrozbách v souladu s jejich mandáty a pravidlem „vědět jen to nejnutnější“.

(30)S cílem přispět k včasné a koordinované reakci by agentura ENISA měla být schopna vydávat včasná varování týkající se potenciálního nebo probíhajícího významného nebo rozsáhlého incidentu nebo kybernetické hrozby potenciálně přeshraniční povahy dotčenému(ým) týmu(ům) CSIRT a případně síti CSIRT a síti EU-CyCLONe, zejména ve vztahu k subjektům uvedeným v přílohách I a II směrnice (EU) 2022/2555. Informace v těchto včasných varováních mohou zahrnovat veřejně známé zranitelnosti a údaje o tom, zda mají vliv na produkty s digitálními prvky, na které se vztahuje nařízení (EU) 2024/2847, jakož i techniky a postupy, indikátory kompromitace, nepřátelské taktiky, informace o konkrétních aktérech hrozeb a doporučení týkající se opatření ke zmírnění následků.

(31) Aby byla zachována důvěra a nebylo ohroženo sdílení informací, je důležité, aby agentura ENISA používala viditelná označení udávající rozsah, v němž lze dokument nebo informace, které vytvořila nebo obdržela, dále sdílet. Podobně by agentura ENISA měla nakládat s dokumenty nebo informacemi, které obdrží k provádění svých činností a které podléhají případným omezením, a používat viditelné označení týkající se dalšího šíření těchto informací.

(32)Aby agentura ENISA pomohla zvýšit povědomí o indikátorech kybernetických hrozeb a doporučeních ohledně opatření k jejich zmírnění, měla by subjektům působícím v odvětvích uvedených v přílohách I a II směrnice (EU) 2022/2555 zpřístupnit službu včasného varování. Tato obecná a dobrovolná včasná varování by měla být přínosem zejména pro malé a střední podniky a měla by být poskytována ve veřejně dostupném strojově čitelném formátu. V každém případě je tato dobrovolná služba oddělena od partnerství veřejného a soukromého sektoru, které agentura ENISA může navázat nebo již navázala, a s takovým partnerstvím nesouvisí.

(33)Na podporu sdíleného situačního povědomí Unie v oblasti kybernetické bezpečnosti by agentura ENISA měla v úzké spolupráci s členskými státy připravovat pravidelnou podrobnou technickou situační zprávu EU v oblasti kybernetické bezpečnosti týkající se incidentů a kybernetických hrozeb, a to na základě veřejně dostupných informací, svých vlastních analýz a zpráv, které s ní dobrovolně sdílejí týmy CSIRT členských států nebo vnitrostátní jednotná kontaktní místa pro oblast bezpečnosti sítí a informačních systémů („jednotná kontaktní místa“) zřízená podle směrnice (EU) 2022/2555, Europol a CERT-EU. Tato zpráva by měla být k dispozici Radě, Evropské službě pro vnější činnost, síti EU-CyCLONe, síti CSIRT, Komisi a Europolu.

(34)S cílem zlepšit sdílené situační povědomí zúčastněných stran o kybernetických hrozbách a incidentech by agentura ENISA měla analyzovat trendy v oblasti kybernetických hrozeb a incidentů. Tato činnost by měla zahrnovat pravidelnou analýzu zaměřenou na vysoce kritická odvětví a další kritická odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555, včetně odvětví zdravotnictví, energetiky a dopravy. Analýza by měla zahrnovat úrovně vyspělosti jednotlivých odvětví a mimo jiné identifikovat možné problémy specifické pro dané odvětví. V příslušných případech a za účelem určení dopadů na dodavatelský řetězec by analýza měla doložit kybernetické hrozby a trendy související s kategoriemi produktů, na které se vztahuje nařízení (EU) 2024/2847. Agentura ENISA by měla rozvíjet odborné znalosti v oblasti kybernetické bezpečnosti infrastruktur a závislostí jejich kritických dodavatelských řetězců, zejména na podporu odvětví uvedených v přílohách I a II směrnice (EU) 2022/2555 a na podporu provádění nařízení (EU) 2024/2847. Za tímto účelem by agentura ENISA měla dle potřeby spolupracovat i s dalšími příslušnými subjekty Unie.

(35)Aby agentura ENISA lépe porozuměla výzvám v oblasti kybernetické bezpečnosti, musí dále analyzovat současné a nově vznikající technologie a poskytovat tematická posouzení očekávaného společenského, právního, ekonomického a regulačního dopadu technologických inovací na kybernetickou bezpečnost. Aby byl zajištěn snadnější přístup veřejnosti k informacím o kybernetických bezpečnostních rizicích a možných nápravných opatřeních, může agentura ENISA poskytovat příslušné informace na svých internetových stránkách, a to uživatelsky vstřícným a dobře strukturovaným způsobem.

(36)Posílená úloha agentury ENISA při podpoře situačního povědomí, analýze hrozeb a poskytování technického poradenství přispěje k posílení společného úsilí v oblasti kybernetické bezpečnosti týkajícího se produktů s digitálními prvky a podpoří provádění nařízení (EU) 2024/2847. V souladu s nařízením (EU) 2024/2847 může agentura ENISA navrhnout orgánům dozoru nad trhem společné činnosti pro kontrolu souladu produktů s digitálními prvky a určit kategorie produktů s digitálními prvky, pro které lze uspořádat společné kontrolní akce. Informace vyplývající z analýzy kybernetických hrozeb a včasných varování by měly posílit podporu, kterou agentura ENISA poskytuje těmto orgánům, a přispět k účinnému prosazování nařízení (EU) 2024/2847 s cílem zabránit dopadům kybernetických útoků na dodavatelský řetězec na celém vnitřním trhu a zvýšit celkovou připravenost Unie.

(37)Ransomwarové útoky představují pro Unii významnou kybernetickou bezpečnostní hrozbu. V zájmu zvýšení kybernetické bezpečnosti Unie a boje proti ransomwaru by agentura ENISA měla rozvíjet schopnosti pro situační povědomí a podporu reakce na incidenty a obnovy po incidentech. Při poskytování pomoci jednotlivým základním a důležitým subjektům při reakci na ransomwarový útok a při obnově po takovém útoku by agentura ENISA měla úzce spolupracovat s Europolem a případně s týmy CSIRT nebo příslušnými orgány, a využívat tak zkušeností Europolu získaných v oblasti boje proti trestné činnosti související s ransomwarem. Tato pomoc by měla doplňovat činnosti týmů CSIRT podporující reakci na incidenty. Aby agentura ENISA dosáhla synergií ve svém boji proti ransomwaru, měla by zřídit asistenční službu a za tím účelem by mohla sdružit příslušné kapacity a služby pro boj proti ransomwaru a zajistit snadný přístup k informacím, pokynům a nástrojům, které mohou základním a důležitým subjektům pomoci reagovat na ransomwarový incident a zotavit se z něj.

(38)Agentura ENISA by měla Komisi poskytovat technické odborné znalosti a podporu při přípravě každoročního průběžného programu cvičení v oblasti kybernetické bezpečnosti na úrovni Unie v souladu s doporučením o kybernetickém plánu s cílem připravit se na kybernetické krize, otestovat úroveň kybernetické bezpečnosti subjektů, které se takových cvičení účastní, a minimalizovat zdvojování úsilí. Agentura ENISA by měla například poskytovat poradenství ohledně vhodných typů cvičení, jako jsou diskusní „table-top“ cvičení, hybridní cvičení nebo plně reálná cvičení, a také ohledně cílů, scénářů a účasti.

(39)Pro zajištění vysoké úrovně kybernetické bezpečnosti na vnitřním trhu je nezbytný přístup ke správným a včasným informacím o zranitelnostech a důkladné řízení zranitelností. Z tohoto důvodu by agentura ENISA měla spravovat Evropskou databázi zranitelností podle směrnice (EU) 2022/2555 a vytvořit společnou kapacitu služeb Unie pro řízení zranitelností, kterou se zajistí odolná a udržitelná úroveň služeb a sníží se riziko narušení. Za tímto účelem by agentura ENISA měla prozkoumat možnosti prohloubení strukturované spolupráce s programy, registry nebo databázemi podobnými Evropské databázi zranitelností, aby předešla zdvojování úsilí a usilovala o případnou doplňkovost na mezinárodní úrovni. Agentura ENISA by dále měla podporovat mnohostranné koordinované zveřejňování zranitelností na úrovni Unie a poskytovat služby s přidanou hodnotou, například upozornění na zranitelnosti, hodnocení závažnosti a seznamy produktů, a také zajišťovat rozšířený evropský katalog známých zneužívaných zranitelností, který subjektům pomůže při řízení zranitelností.

(40)Úloha agentury ENISA při vytváření evropského rámce pro certifikaci kybernetické bezpečnosti by měla být klíčovým aspektem jejího mandátu. Agentura by měla poskytovat své technické odborné znalosti v průběhu celého životního cyklu evropských schémat certifikace kybernetické bezpečnosti. S ohledem na budoucí schéma by agentura ENISA měla určit stávající normy nebo technické specifikace, které mohou být základem takového schématu, a případně navrhnout samotné technické specifikace, na které lze ve schématu odkazovat. Měla by být pověřena přípravou návrhu schématu na základě žádosti Komise. V případě již zavedených schémat by měla odpovídat za jejich udržování. Měla by tak přispívat k budování a rozvoji ekosystému certifikace, v jehož rámci by se získávala zpětná vazba od členských států a soukromých zúčastněných stran a posilovaly by se jejich certifikační kapacity. To by mělo zahrnovat i provozování vyhrazených internetových stránek věnovaných certifikaci, na nichž by byly volně a veřejně přístupné příslušné informace týkající se přijatých schémat, včetně certifikátů a prohlášení o shodě.

(41)S cílem podpořit provádění příslušných právních předpisů Unie by agentura ENISA měla utvářet nejmodernější podobu kybernetické bezpečnosti zajišťováním technických specifikací na podporu provádění příslušných právních předpisů Unie, a to i s ohledem na případné odkazy na tyto specifikace v evropských schématech certifikace kybernetické bezpečnosti. Agentura ENISA by měla rovněž sledovat tvorbu a vývoj norem ze strany příslušných normalizačních orgánů s cílem sledovat trendy v oblasti normalizace na evropské a celosvětové úrovni a v případě potřeby tyto normy utvářet prostřednictvím své účasti a vedoucího postavení v rámci činností normalizačních organizací, a to i formou přípravy návrhů. Agentura ENISA by přitom měla zůstat nestranná. Mohou například nastat situace, kdy by agentura měla odstoupit z příslušných činností v normalizačních orgánech, je-li požádána o posouzení evropských norem, které si vyžádala Komise na podporu právních předpisů Unie. Agentura ENISA by se neměla podílet na přípravě norem, jejichž posuzováním je pověřena.

(42)S cílem podpořit provádění politik Unie a přípravu potenciálních normalizačních činností by agentura ENISA měla přispívat k vývoji a hodnocení kryptografických algoritmů, zejména v oblasti postkvantové kryptografie. V této souvislosti může agentura ENISA na žádost Komise a na základě dohody o přiznání příspěvku podle nařízení Evropského parlamentu a Rady (EU, Euratom) 2024/2509 50 zavést postup pro získávání a hodnocení algoritmů pro kryptografické algoritmy příslušnými zúčastněnými stranami, zejména kryptografickou, akademickou a výzkumnou obcí, jakož i výrobci, týmy CSIRT, vnitrostátními orgány certifikace kybernetické bezpečnosti a příslušnými orgány podle směrnice (EU) 2022/2555. Pokud agentura ENISA přispívá k zavedení těchto procesů, měla by podporovat spolupráci mezi příslušnými zúčastněnými stranami a zajistit organizační aspekty. Proces by měl být formální, otevřený, transparentní a inkluzivní, včetně konzultací s příslušnými zúčastněnými stranami o návrhu minimálních požadavků a procesu hodnocení a hodnotících kritériích, zejména pokud jde o bezpečnost a provádění hodnocení.

(43)Na podporu provádění činností posuzování shody podle evropských schémat certifikace kybernetické bezpečnosti a dalších příslušných právních předpisů Unie může agentura ENISA poskytovat příslušné technické testovací nástroje, které pomohou členským státům, podnikům a subjektům posuzování shody při hodnotících činnostech. Cílem těchto nástrojů by mělo být vytvoření synergií na úrovni Unie a efektivní fungování postupů posuzování shody, které by odpovídaly potřebám členských států a potřebám trhu. Takové potřeby mohou vzniknout například v oblasti bezpečnosti již od fáze návrhu, aby se podpořily podniky, včetně malých a středních podniků, v jejich úsilí o provádění požadavků v kontextu nařízení (EU) 2024/2847. V této souvislosti by agentura ENISA měla vybírat poplatky na pokrytí příslušných nákladů spojených s vytvořením, návrhem, vývojem, údržbou a aktualizací potřebného softwaru a hardwaru pro tyto testovací nástroje.

(44)Aby agentura ENISA podpořila členské státy v jejich úsilí o řešení nedostatku odborníků v oblasti kybernetické bezpečnosti a rostoucí potřeby kvalifikovaných, různorodých (i s ohledem na genderovou vyváženost) a pružných pracovních sil a umožnila mobilitu a připravenost pracovních sil ve všech členských státech, měla by navázat na zásady a činnosti iniciované v rámci Akademie dovedností v oblasti kybernetické bezpečnosti. Agentura ENISA by měla zejména vytvořit Evropský rámec dovedností v oblasti kybernetické bezpečnosti („ECSF“) jako společný rámec profilů rolí v oblasti kybernetické bezpečnosti. Agentura ENISA by měla dále podporovat členské státy při řešení genderových rozdílů v oblasti kybernetické bezpečnosti. Tento přístup je v souladu s vizí nastíněnou ve sdělení Komise o unii dovedností a přispěl by k dosažení jeho cílů. Mělo by se dále zkoumat zavedení značky kvality pro evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti.

(45)Evropský rámec dovedností v oblasti kybernetické bezpečnosti by měl být praktickým a flexibilním nástrojem, který se bude využívat dobrovolně a bude zajišťovat společné chápání a terminologii příslušných rolí a souvisejících úkolů, dovedností a znalostí, které jsou většinou vyžadovány pro role v oblasti kybernetické bezpečnosti, s cílem podpořit určení souborů kritických dovedností, včetně průřezových dovedností, které jsou potřebné pro pracovní síly, a umožnit poskytovatelům vzdělávání včetně společností, vysokoškolských institucí nebo poskytovatelů odborného vzdělávání a přípravy navrhovat programy a pomáhat tvůrcům politik rozvíjet iniciativy zaměřené na řešení nedostatku dovedností. Jelikož má potenciál být používán jako referenční rámec pro uznávání dovedností, měl by být rovněž interoperabilní s klasifikací evropských dovedností, kompetencí, kvalifikací a povolání (ESCO), aby pomáhal útvarům lidských zdrojů porozumět požadavkům v oblasti plánování zdrojů, náboru a kariérního rozvoje na podporu potřeb kybernetické bezpečnosti. Zatímco rámec digitálních kompetencí DigComp 3.0 popisuje znalosti, dovednosti a postoje potřebné k digitální kompetenci pro běžný život, účast ve společnosti, práci a učení a mohou jej využívat dospělí i děti, Evropský rámec dovedností v oblasti kybernetické bezpečnosti nabízí jednoduchý rámec určující role v oblasti kybernetické bezpečnosti a související úkoly, znalosti a dovednosti potřebné k jejich plnění. V tomto ohledu se obrací na specializované publikum v oblasti kybernetické bezpečnosti, od současných nebo potenciálních odborníků na kybernetickou bezpečnost, přes vzdělávací instituce až po zaměstnavatele. Evropský rámec dovedností v oblasti kybernetické bezpečnosti by měl rovněž podpořit zavedení evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti tím, že bude klíčovým nástrojem používaným k vývoji schémat, umožní vznik nových subjektů na trhu a podpoří hospodářskou soutěž ve společném rámci. Evropský rámec dovedností v oblasti kybernetické bezpečnosti by měl být pravidelně vyhodnocován a aktualizován, aby se zajistilo, že bude náležitě odrážet potřeby trhu práce v oblasti kybernetické bezpečnosti a vývoj technologií a politiky. Agentura ENISA by měla podporovat zavádění tohoto rámce členskými státy a subjekty Unie a v případě potřeby poskytovat odpovídající podporu.

(46)Dovednosti a kvalifikace v oblasti kybernetické bezpečnosti by měly být na celém vnitřním trhu srovnatelné, transparentní a důvěryhodné. Za tímto účelem by evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti 51 měla v souladu s cíli stanovenými ve sdělení o unii dovedností účinně podporovat zaměstnavatele, včetně malých a středních podniků a startupů, při náboru stávajících nebo budoucích odborníků v oblasti kybernetické bezpečnosti v rámci členských států i napříč členskými státy. Aby bylo zajištěno jednotné provádění ve všech členských státech, měla by být evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti založena na společném chápání dovedností potřebných k dosažení těchto cílů na úrovni Unie a měli by je na základě společného souboru kritérií vydávat poskytovatelé autorizovaní agenturou ENISA. Tento přístup by měl být v souladu s cíli budoucí iniciativy pro přenositelnost dovedností a měl by k nim přispívat.

(47)Cílem rozvoje evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti by mělo být doplnit opatření členských států tím, že nabídnou veřejným orgánům a hospodářským subjektům možnost využít evropský mechanismus potvrzování v souladu s podpůrnou pravomocí Unie v oblasti vzdělávání a odborné přípravy ve smyslu čl. 6 písm. e) a čl. 165 odst. 1 a čl. 166 odst. 1 SFEU. Tato schémata mohou spolu s prací Akademie kybernetických dovedností představovat také základ pro programy vysokoškolského vzdělávání, jako jsou oborové evropské diplomy, a pro rozvoj mikrocertifikátů. Cílem evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti by proto neměla být harmonizace právních předpisů v členských státech, ale spíše by měla být považována za podpůrný nástroj a příležitost, které mohou členské státy a hospodářské subjekty využít a prosazovat.

(48)Agentura ENISA by měla zajistit, aby evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti byla i nadále blízká potřebám trhu a vycházela ze zkušeností veřejných i soukromých poskytovatelů individuálních potvrzení, včetně členských států, vysokoškolských institucí, institucí odborného vzdělávání a přípravy a podniků. Agentura ENISA by měla konzultovat Komisi ohledně stanovení priorit evropských schémat potvrzování individuálních dovedností, přičemž by měla náležitě zohlednit provádění politiky a potřeby trhu.

(49)Aby se zajistil soulad mezi Evropským rámcem dovedností v oblasti kybernetické bezpečnosti (ECSF) a schématy, měla by případná revize profilu role podle ECSF automaticky vést k hodnocení vhodnosti souvisejícího evropského schématu nebo schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti, které by následně mohlo vést k jejich přezkumu.

(50)S ohledem na různorodost profilů rolí v oblasti kybernetické bezpečnosti a souvisejících úkolů, dovedností a znalostí může být nutné v každém evropském schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti přizpůsobit posouzení jednotlivců a metody posouzení. Každé schéma by mělo zajistit, aby posouzení požadovaných dovedností jednotlivce z hlediska výsledků učení, včetně případného hodnocení úrovně odborné způsobilosti, bylo systematicky hodnoceno na základě profilu role podle ECSF nebo jeho podmnožiny. Metody posouzení mohou zahrnovat prvky, jako je testování teoretických znalostí, praktická zkouška, povinné předpoklady a vzájemné posouzení. Řádně zohledněna by měla být praxe jednotlivců.

(51)Aby bylo zajištěno jednotné provádění evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti, zejména pokud jde o posuzování jednotlivců, měla by agentura ENISA zajistit povinné školení pracovníků pověřených provádění posouzení jednotlivců. Tito pracovníci by měli mít zkušenosti v oblasti kybernetické bezpečnosti, které by mohli prokázat držením evropského potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti pro profil role, pro který provádějí posouzení, a to na úrovni znalostí minimálně rovnocenné úrovni znalostí osob, které posuzují.

(52)Úkolem autorizovaných poskytovatelů potvrzení je osvědčit znalosti a kompetence jednotlivce, které mu dávají schopnosti plnit jednu z rolí podle ECSF, a zaměstnavatelům v celé Unii poskytnout záruku. Vzhledem k tomu, že i zaměstnavatelé provozující kritickou infrastrukturu Unie budou dbát na záruku kvality dovedností a kompetencí osob, které získávají evropské potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti, měli by být autorizovaní poskytovatelé, kteří osvědčují úroveň dovedností a kompetencí, důvěryhodní z hlediska kybernetické bezpečnosti a neměli by podléhat nepatřičnému vlivu třetí země, která může vzbuzovat obavy z hlediska kybernetické bezpečnosti. Subjekty usazené ve třetí zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti a je jako taková určena v souladu s tímto nařízením, nebo kontrolované takovou třetí zemí, subjektem usazeným v takové třetí zemi nebo státním příslušníkem takové třetí země (vysoce rizikoví dodavatelé) v souladu s tímto nařízením by proto neměly být způsobilé stát se autorizovanými poskytovateli jakýchkoli evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti podle hlavy II oddílu 4.

(53) Aby bylo zajištěno, že fyzické osoby, které jsou držiteli evropského potvrzení o dovednostech v oblasti kybernetické bezpečnosti, budou moci toto potvrzení snadno používat a sdílet a že takové potvrzení bude možné používat ve všech členských státech, měli by autorizovaní poskytovatelé potvrzení zajistit, aby elektronická evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti byla na žádost fyzické osoby vydávána do evropské peněženky digitální identity zavedené nařízením (EU) č. 910/2014. Autorizovaní poskytovatelé potvrzení by měli být považováni za poskytovatele služeb vytvářejících důvěru a podléhat režimu dohledu a odpovědnosti stanovenému v nařízení (EU) č. 910/2014. Schéma pro potvrzování atributů používané podle prováděcího nařízení Komise (EU) 2025/1569 52 by mělo být zapsáno v katalogu schémat pro potvrzování atributů stanoveném v uvedeném prováděcím nařízení.

(54)Aby agentura ENISA přispěla k rozvoji pracovních sil v oblasti kybernetické bezpečnosti a k přenositelnosti dovedností v rámci Unie, měla by prostřednictvím vyhrazených internetových stránek zpřístupnit veřejnosti evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti a seznam autorizovaných poskytovatelů potvrzení.

(55)Agentura by měla být řízena a provozována s ohledem na zásady společného přístupu k decentralizovaným agenturám Unie, který dne 19. července 2012 přijaly Evropský parlament, Rada a Komise 53 . Doporučení ze společného přístupu by rovněž měla být odpovídajícím způsobem zohledněna v pracovních programech agentury ENISA, hodnoceních agentury ENISA a v postupech, které agentura ENISA používá pro podávání zpráv a v administrativě.

(56)Aby správní rada mohla účinně vykonávat své funkce, zejména při řízení celkového směřování činností agentury ENISA a stanovování jejích strategických priorit, je nezbytné, aby se skládala ze zástupců členských států a Komise na vysoké úrovni. Za tímto účelem by měl každý členský stát jmenovat členem správní rady ředitele příslušného vnitrostátního orgánu tohoto členského státu odpovědného za kybernetickou bezpečnost, který je určen podle čl. 8 odst. 1 směrnice (EU) 2022/2555.

(57)Aby bylo zajištěno, že náhradníci ve správní radě budou moci řádně plnit své úkoly, měly by členské státy jmenovat náhradníky, kteří mají odpovídající odborné znalosti a zkušenosti. Pokud jde o náhradníky, Komise a členské státy by měly usilovat o dosažení vyváženého zastoupení mužů a žen ve správní radě a měly by omezit jejich fluktuaci, aby byla zajištěna kontinuita práce správní rady.

(58)Aby mohla agentura ENISA účinně plnit své poslání, měla by správní rada složená ze zástupců členských států a Komise vymezit obecné směry činnosti agentury, včetně jejích strategických priorit, a zaručit, že bude své úkoly plnit v souladu s tímto nařízením. Správní radě by měly být svěřeny pravomoci potřebné pro sestavování rozpočtu a ověřování jeho plnění, schvalování příslušných finančních pravidel, stanovení transparentních pracovních postupů pro přijímání rozhodnutí agentury, schvalování jednotného programového dokumentu agentury, přijímání jejího jednacího řádu, jmenování výkonného ředitele, rozhodování o prodloužení a ukončení funkčního období výkonného ředitele a rozhodování o tom, zda zřídit funkci zástupce výkonného ředitele a o jmenování zástupce výkonného ředitele, bude-li tato funkce zřízena, a o prodloužení a ukončení jeho funkčního období. Každou osobu, která v agentuře ENISA vykonává výkonnou funkci, by proto měla jmenovat správní rada. Správní rada by měla být rovněž odpovědná za jmenování nebo odvolání členů odvolacího senátu a za stanovení pravidel pro předcházení střetům zájmů v tomto ohledu nebo pro jejich řešení.

(59)Aby bylo zajištěno, že agentura ENISA stanoví své strategické priority a bude je průběžně aktualizovat, měla by správní rada uspořádat alespoň jedno zasedání ročně věnované strategickým prioritám agentury. Aby byla zasedání správní rady účelná a vycházela z kvalitních podkladů, může správní rada na svá zasedání pozvat kteroukoli osobu, jejíž názor by mohl být z hlediska projednávaných témat relevantní a zajímavý, aby poskytla své poznatky, odborné znalosti nebo rady. Taková osoba by byla pozorovatelem ad hoc bez hlasovacího práva.

(60)Správní rada by měla přijímat rozhodnutí nadpoloviční většinou hlasů svých členů s hlasovacím právem, není-li v tomto nařízení stanoveno jinak. Vzhledem k důležitosti rozpočtových a personálních záležitostí, zejména záležitostí týkajících se ročního rozpočtu, výroční zprávy o činnosti, strategie boje proti podvodům, prováděcích pravidel, kterými se provádí služební řád, jmenování výkonného ředitele, zástupce výkonného ředitele a účetního, opatření v návaznosti na zjištění Evropského úřadu pro boj proti podvodům (OLAF) a Úřadu evropského veřejného žalobce (EPPO) a přijetí finančních pravidel agentury ENISA, by správní rada měla taková rozhodnutí přijímat pouze v případě, že zástupce Komise hlasuje pro rozhodnutí. Pro účely vydání rozhodnutí o přijetí konečného jednotného programového dokumentu po zohlednění stanoviska Komise by měl být kladný hlas zástupce Komise vyžadován pouze u těch prvků rozhodnutí, které se netýkají ročního a víceletého pracovního programu agentury ENISA.

(61)Výkonná rada by měla přispívat k účinnému fungování správní rady. Jako součást své přípravné činnosti související s rozhodnutími správní rady by výkonná rada měla podrobně prověřit příslušné informace, prozkoumat dostupné možnosti a nabídnout poradenství a řešení pro přípravu rozhodnutí správní rady. Měla by rovněž poskytovat pomoc a poradenství výkonnému řediteli při provádění rozhodnutí správní rady.

(62)Řádné fungování agentury ENISA vyžaduje, aby byl její výkonný ředitel jmenován na základě projevených kvalit a doložených administrativních a řídicích schopností a rovněž způsobilosti a zkušeností v oblasti kybernetické bezpečnosti. Výkonný ředitel by měl své povinnosti vykonávat zcela nezávisle. Správní rada by měla jmenovat výkonného ředitele ze seznamu kandidátů vypracovaného Komisí, a to na základě otevřeného a transparentního řízení, které dodržuje zásadu genderové vyváženosti.

(63) Výkonný ředitel by měl po předchozích konzultacích s Komisí připravit návrh jednotného programového dokumentu agentury ENISA a učinit veškeré kroky nezbytné k zajištění jeho řádného plnění. Výkonný ředitel by měl vypracovávat výroční zprávy o provádění ročního pracovního programu agentury ENISA, které předkládá správní radě, a návrh odhadu příjmů a výdajů agentury ENISA a měl by plnit rozpočet. Výkonný ředitel by měl mít dále možnost sestavovat ad hoc pracovní skupiny, které by se věnovaly konkrétním otázkám, zejména otázkám vědecké, technické nebo právní či socioekonomické povahy. Zřízení ad hoc pracovní skupiny je považováno za nezbytné zejména v souvislosti s vypracováním konkrétního návrhu evropského schématu certifikace kybernetické bezpečnosti („návrh schématu“). Zřízení ad hoc pracovní skupiny může být nezbytné také pro činnosti udržování v souvislosti s konkrétními přijatými evropskými schématy certifikace kybernetické bezpečnosti. Měly by být rovněž zřízeny ad hoc pracovní skupiny, které budou vyvíjet a udržovat evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti a pomáhat agentuře při řízení, provádění a vývoji Evropského rámce dovedností v oblasti kybernetické bezpečnosti. Výkonný ředitel by měl zajistit, aby členové ad hoc pracovních skupin byli vybíráni na základě nejvyšších standardů odborných znalostí a s cílem řádně zohlednit genderovou vyváženost a rovnovážné zastoupení podle konkrétního obsahu činnosti, a to ze zástupců veřejné správy členských států, subjektů Unie a soukromého sektoru, včetně průmyslu, uživatelů a vědeckých odborníků v oblasti bezpečnosti sítí a informací, jakož i vědeckých odborníků v oblasti produktů s digitálními prvky.

(64)Správní rada může rozhodnout o zřízení funkce zástupce výkonného ředitele, který bude výkonnému řediteli nápomocen, pokud má správní rada za to, že je taková funkce nezbytná pro zajištění nebo zachování hladkého fungování agentury ENISA. Při rozhodování o vytvoření této funkce může správní rada zohlednit stanovisko výkonného ředitele.

(65)Pro zajištění pravidelného dialogu se soukromým sektorem, organizacemi spotřebitelů a ostatními významnými zúčastněnými stranami by agentura ENISA měla mít poradní skupinu. Tato skupina, ustavená správní radou na návrh výkonného ředitele, by se měla věnovat otázkám, které mají význam pro zúčastněné strany, a měla by je předkládat agentuře ENISA. Poradní skupina agentury ENISA by měla být zejména konzultována k návrhu ročního pracovního programu agentury. Složení poradní skupiny agentury ENISA a úkoly, jimiž je pověřena, by měly zajistit dostatečné zastoupení zúčastněných stran na činnosti agentury. Účast v poradní skupině agentury ENISA by měla být umožněna zástupcům vnitrostátních a unijních donucovacích orgánů, orgánů na ochranu údajů a orgánů dozoru nad trhem.

(66)Žadatelé, kteří se chtějí stát autorizovanými poskytovateli potvrzení nebo chtějí svou autorizaci obnovit, by měli mít přístup k nezbytným opravným prostředkům v případech, kdy jsou dotčeni rozhodnutími agentury ENISA. Proto by měl být stanoven vhodný odvolací mechanismus, aby související rozhodnutí agentury mohla být napadena u odvolacího senátu, jehož rozhodnutí mohou být následně předmětem soudního přezkumu před Soudním dvorem Evropské unie v souladu se Smlouvami. Požadavek na plné využití odvolacího řízení v rámci agentury ENISA před podáním žaloby k Soudnímu dvoru Evropské unie se vztahuje pouze na osoby, které mají právo obrátit se na odvolací senát.

(67)Aby byla zaručena plná samostatnost a nezávislost agentury ENISA a aby agentura mohla plnit své úkoly, měla by mít dostatečný a samostatný rozpočet financovaný především z příspěvku Unie, ale také z příspěvků třetích zemí, které se podílejí na práci agentury, a z poplatků placených autorizovanými poskytovateli potvrzení a subjekty posuzování shody, kteří se účastní schémat a vydávají evropské certifikáty kybernetické bezpečnosti a EU prohlášení o shodě. Hostitelský a jakýkoli jiný členský stát by měl mít možnost poskytnout dobrovolné příspěvky do rozpočtu agentury ENISA. Žádné příspěvky, ani finanční, ani věcné povahy, které agentura obdrží od členských států, třetích zemí nebo jiných subjektů či osob, by neměly ohrožovat její nezávislost a nestrannost. Na příspěvek Unie a veškeré jiné subvence ze souhrnného rozpočtu Unie by se měl vztahovat rozpočtový proces Unie. Účetní dvůr by měl provádět audit účetnictví agentury ENISA s cílem zajistit transparentnost a odpovědnost. Aby byla agentuře umožněna účast na veškerých relevantních budoucích projektech, měla by mít možnost získat granty.

(68)Aby byla agentura ENISA schopna reagovat na poptávku po činnostech, které vykonává, zejména pokud jde o rozhodnutí o autorizaci poskytovatelů evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti a pokud jde o udržování evropských schémat certifikace kybernetické bezpečnosti a testovacích nástrojů, měla by jí být svěřena pravomoc vybírat poplatky. Poplatky spojené se zpracováním žádostí o získání autorizace poskytovatele potvrzení by měly být stanoveny odpovídajícím způsobem tak, aby dostatečně přispívaly k pokrytí odhadovaných nákladů na vývoj a údržbu evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti a na hodnocení toho, zda jsou a nadále budou plněny požadavky a povinnosti týkající se získání a udržení statusu autorizovaného poskytovatele potvrzení. Poplatky spojené s náklady na vydávání a obnovování autorizací autorizovaných poskytovatelů potvrzení by měly zahrnovat náklady spojené s hodnocením prováděným agenturou ENISA nebo pod jejím dohledem. Poplatky spojené s účastí v evropských schématech certifikace kybernetické bezpečnosti a s vydáváním certifikátů v rámci těchto schémat by měly být vhodně stanoveny tak, aby dostatečně přispívaly na pokrytí odhadovaných nákladů na udržování těchto schémat. Úhrada těchto poplatků by měla umožnit oznámeným subjektům posuzování shody a případně držitelům certifikátů v rámci schématu účast na těchto činnostech, jakož i příslušné budování kapacit a propagační činnosti na podporu výměny osvědčených postupů a na prosazování zavádění schémat a certifikovaných řešení.

(69)Pro zajištění proporcionality, transparentnosti a právní jistoty by poplatky měly být stanoveny transparentně a spravedlivě. Uvedené náklady by měly zohledňovat všechny výdaje agentury ENISA související se zaměstnanci podílejícími se na činnostech, které podléhají poplatkům, zejména poměrný příspěvek zaměstnavatele do systému důchodového pojištění, a náklady související s odvolacím senátem. Poplatky nesmí žadatelům způsobovat zbytečnou finanční nebo administrativní zátěž. Pro zaplacení poplatků by měly být stanoveny přiměřené lhůty.

(70)Je nezbytné zavést soubor ukazatelů pro měření pracovního zatížení, účinnosti a efektivnosti agentury ve vztahu k činnostem financovaným z poplatků. S ohledem na tyto ukazatele by agentura měla přizpůsobit plánování počtu svých zaměstnanců a řízení svých zdrojů souvisejících s poplatky tak, aby mohla adekvátně reagovat na tuto poptávku a jakékoli výkyvy výnosů z poplatků.

(71)Aby agentura ENISA dokázala identifikovat a správně řídit riziko skutečného nebo domnělého střetu zájmů, měla by mít zavedena pravidla pro prevenci a řešení střetů zájmů. Rovněž by měla uplatňovat pravidla pro přístup k dokumentům podle nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 54 . Osobní údaje by měly být agenturou ENISA zpracovávány v souladu s nařízením Evropského parlamentu a Rady (EU) 2018/1725 55 . Agentura ENISA by měla dodržovat předpisy vztahující se na subjekty Unie a rovněž vnitrostátní předpisy o nakládání s informacemi, zejména s citlivými neutajovanými informacemi a utajovanými informacemi Evropské unie.

(72)Při plnění svých úkolů může mít agentura ENISA přístup k citlivým informacím, jako jsou informace o kybernetických hrozbách a incidentech. Proto je pro ni zásadní, aby zachovávala důvěrnost informací, s nimiž nakládá. V souladu s článkem 339 Smlouvy o fungování Evropské unie by úředníci a ostatní zaměstnanci agentury ENISA neměli zejména zveřejňovat žádné informace, na které se vztahuje povinnost zachovávat profesní tajemství, zejména informace o podnicích, jejich obchodních vztazích nebo složkách jejich nákladů, a to ani po skončení výkonu funkce.

(73)Aby bylo zajištěno, že agentura ENISA plně dosahuje svých cílů, měla by spolupracovat s příslušnými orgány dohledu Unie a jinými příslušnými orgány v Unii, s příslušnými subjekty Unie, včetně Služby kybernetické bezpečnosti pro orgány, instituce a jiné subjekty Unie (CERT-EU), Evropského centra pro boj proti kyberkriminalitě (EC3) zřízeného při Europolu, Evropského průmyslového, technologického a výzkumného centra kompetencí pro kybernetickou bezpečnost (ECCC), Evropské obranné agentury (EDA), Agentury Evropské unie pro Kosmický program (EUSPA), Sdružení evropských regulačních orgánů v oblasti elektronických komunikací (BEREC), Agentury Evropské unie pro provozní řízení rozsáhlých informačních systémů v oblasti svobody, bezpečnosti a práva (eu-LISA), Evropské centrální banky (ECB), Evropského orgánu pro bankovnictví (EBA), Evropského sboru pro ochranu osobních údajů, Agentury pro spolupráci energetických regulačních orgánů (ACER), Agentury Evropské unie pro bezpečnost letectví (EASA) a všech dalších subjektů Unie zapojených do kybernetické bezpečnosti. Agentura ENISA by měla rovněž spolupracovat s příslušnými orgány podle směrnice (EU) 2022/2555, s orgány dozoru nad trhem a orgány zabývajícími se ochranou údajů za účelem výměny know-how a osvědčených postupů a měla by poskytovat poradenství ohledně otázek kybernetické bezpečnosti, které mohou mít dopad na práci těchto orgánů.

(74)Europol hraje důležitou roli při prevenci a potírání kyberkriminality, včetně kyberkriminality související s bezpečnostními incidenty v oblasti sítí a informací. Aby dosáhla synergií mezi příslušnými úkoly jednotlivých agentur, měla by agentura ENISA spolupracovat s Europolem, zejména prostřednictvím sdílení informací o trendech v technikách, požadavcích a dopadech ransomwarových útoků. Taková spolupráce může spočívat také v identifikaci nejčastějších typů ransomwaru, které cílí na subjekty uvedené v přílohách I a II směrnice (EU) 2022/2555, s cílem podpořit základní a důležité subjekty při reakci na incidenty a obnově po nich.

(75)Pro podporu operativní spolupráce a sdíleného situačního povědomí o kybernetických hrozbách a incidentech je nezbytné, aby agentura ENISA spolupracovala se zúčastněnými stranami, především se společnostmi a organizacemi ze soukromého sektoru, s nimiž může navázat partnerství veřejného a soukromého sektoru.

(76)Aby agentura ENISA účinně plnila cíle uvedené v tomto nařízení, může spolupracovat zejména s akademickými institucemi, které mají výzkumné iniciativy v příslušných oblastech, a rozvíjet vhodné cesty k zajištění přínosu od spotřebitelských organizací a dalších organizací.

(77)Vzhledem k tomu, že kybernetické hrozby a incidenty se neřídí hranicemi států, může mít úroveň kybernetické bezpečnosti a připravenosti třetích zemí dopad na subjekty v Unii. Agentura ENISA by proto měla být schopna zajišťovat činnosti v oblasti budování kapacit, včetně odborné přípravy, budování kapacit, twinningových činností ve třetích zemích, a zejména činnosti v oblasti budování kapacit přizpůsobené zemím, které jsou kandidáty na přistoupení k Unii, nebo jiným partnerským zemím v souladu s prioritami Unie. Tyto činnosti by se měly uskutečňovat na základě konkrétní žádosti o poskytnutí přiměřené podpory s přihlédnutím k prioritám Unie a měly by být prováděny prostřednictvím zvláštních ujednání, včetně dohod o přiznání příspěvku podle nařízení (EU, Euratom) 2024/2509. Cílem evropského rámce pro certifikaci kybernetické bezpečnosti je ochrana před kybernetickými hrozbami, jako jsou zlovolná zneužití zranitelností v oblasti kybernetické bezpečnosti nebo kybernetické bezpečnostní incidenty, které ovlivňují funkčnost (návrh a provoz) produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetickou pozici subjektů. Zaměřením na technická rizika související s produkty, službami a procesy IKT, řízenými bezpečnostními službami nebo kybernetickou pozicí subjektů by měl evropský rámec pro certifikaci kybernetické bezpečnosti doplnit rámec pro bezpečnost dodavatelských řetězců IKT, jehož cílem je zajistit harmonizovaný přístup na úrovni Unie k řešení netechnických rizik ve vysoce kritických odvětvích a v dalších kritických odvětvích.

(78)Členské státy by měly mít možnost využít evropské certifikace kybernetické bezpečnosti v souvislosti se zadáváním veřejných zakázek v souladu se směrnicí Evropského parlamentu a Rady 2014/24/EU 56 .

(79)Aby se subjektům zjednodušilo dodržování předpisů, měl by evropský rámec pro certifikaci kybernetické bezpečnosti umožnit certifikaci jejich kybernetické pozice. Subjekty, a to zejména ty, které poskytují více druhů služeb v několika členských státech, mohou čelit různým povinnostem souvisejícím s kybernetickou bezpečností a zabezpečením údajů podle horizontálních nástrojů, jako je nařízení Evropského parlamentu a Rady (EU) 2016/679 57  a směrnice Evropského parlamentu a Rady (EU) 2022/2555 58 , jakož i odvětvových nástrojů. V zájmu efektivního provádění celkového regulačního rámce pro kybernetickou bezpečnost a usnadnění jeho dodržování by mělo být možné, aby právní předpisy Unie umožňovaly subjektům prokázat soulad s požadavky na řízení kybernetických bezpečnostních rizik prostřednictvím evropského certifikátu kybernetické bezpečnosti. Příslušné schéma by mohlo přispět ke zjednodušení požadavků na dodržování předpisů vyplývajících z různých regulačních nástrojů, aniž by byly dotčeny jejich specifické požadavky v oblasti certifikace. Tato zjednodušující opatření mají potenciál snížit administrativní zátěž a uvolnit zdroje pro posílení operativní připravenosti subjektů v kritických odvětvích Unie v oblasti kybernetické bezpečnosti.

(80)Evropská certifikace požadavků na řízení kybernetických bezpečnostních rizik vypracovaná na základě evropského rámce pro certifikaci kybernetické bezpečnosti by měla subjektům umožnit prokázat soulad s příslušnými právními předpisy Unie, pokud určité schéma pokrývá příslušné právní požadavky stanovené v takovém aktu a pokud to stanoví. Na tomto základě může právní akt Unie rovněž stanovit předpoklad shody s těmito požadavky. Taková schémata by mohla přispět ke zlepšení soudržného provádění požadavků na kybernetickou bezpečnost v právních předpisech Unie, aby se vyrovnaly podmínky ve všech členských státech a snížila se zátěž spojená s dodržováním předpisů.

(81)Evropský rámec pro certifikaci kybernetické bezpečnosti by měl umožnit certifikaci procesů IKT, které jsou definovány jako soubor činností prováděných za účelem navrhování, vývoje, poskytování nebo údržby produktu nebo služby IKT. Příkladem procesu IKT je profil ochrany ve smyslu prováděcího nařízení Komise (EU) 2024/482 59 . Dalším příkladem procesu IKT je soubor činností prováděných výrobcem za účelem bezpečného návrhu a vývoje produktu IKT, včetně fyzických, logických, procesních, personálních a dalších bezpečnostních opatření, která jsou nezbytná k ochraně důvěrnosti a integrity návrhu a zavádění produktu IKT v jeho vývojovém prostředí. Certifikace těchto činností se v kontextu procesu certifikace podle prováděcího nařízení Komise (EU) 2024/482 často označuje jako „certifikace místa“.

(82)Definice řízených bezpečnostních služeb v tomto nařízení by měla být v souladu s definicí poskytovatelů řízených bezpečnostních služeb ve směrnici (EU) 2022/2555. Tyto služby spočívají v provádění činností souvisejících s řízením kybernetických bezpečnostních rizik zákazníků nebo v poskytování pomoci s těmito činnostmi a mají stále větší význam při prevenci a zmírňování incidentů. Poskytovatelé těchto služeb jsou proto považováni za základní nebo důležité subjekty náležející do vysoce kritického odvětví podle směrnice (EU) 2022/2555. Poskytovatelé řízených bezpečnostních služeb mají v oblastech, jako jsou reakce na incidenty, penetrační testování, bezpečnostní audity a konzultační činnost, zvlášť důležitou úlohu při pomoci subjektům v jejich úsilí předcházet incidentům, odhalovat je, reagovat na ně nebo se z nich zotavovat. Poskytovatelé řízených bezpečnostních služeb se však také sami stávají terčem kybernetických útoků a představují zvláštní riziko vzhledem k úzkému zapojení do činností svých zákazníků. Je proto nezbytné, aby základní a důležité subjekty ve smyslu směrnice (EU) 2022/2555 postupovaly při výběru poskytovatelů řízených bezpečnostních služeb s náležitou péčí.

(83)Evropská schémata certifikace kybernetické bezpečnosti jsou důležitá pro širokou komunitu zúčastněných stran, jako jsou poskytovatelé řešení IKT, subjekty posuzování shody a uživatelé. Na podporu širokého zapojení zúčastněných stran by mělo být alespoň jednou ročně uspořádáno zasedání Evropského shromáždění k certifikaci kybernetické bezpečnosti (dále také „shromáždění“) s cílem podpořit spolupráci mezi Komisí, agenturou ENISA, členskými státy a příslušnými zúčastněnými stranami. Shromáždění bude hrát klíčovou roli při určování a řešení nových výzev v oblasti kybernetické bezpečnosti a strategických priorit v oblasti certifikace a při zajišťování toho, aby schémata certifikace usnadňovala bezpečnou integraci digitálních technologií a odpovídala potřebám uživatelů. Shromáždění by mělo podporovat vedoucí úlohu Unie v certifikačních činnostech a podporovat schopnost rámce pro certifikaci poskytovat důvěru podnikům, veřejným orgánům a veřejnosti.

(84)Komise by měla udržovat vyhrazené internetové stránky, aby zajistila transparentnost zveřejňováním aktuálních informací o pokroku v provádění evropského rámce pro certifikaci kybernetické bezpečnosti. Tyto internetové stránky by měly obsahovat informace týkající se připravovaných schémat certifikace, strategických priorit pro připravovaná schémata certifikace, žádostí předložených agentuře ENISA o vypracování návrhů schémat certifikace a informací o přijetí schémat certifikace. Internetové stránky Komise doplní internetové stránky agentury ENISA týkající se evropských schémat certifikace kybernetické bezpečnosti, které by měly nabízet komplexní informace o technické přípravě návrhů schémat a o udržování schémat se zaměřením na vydané evropské certifikáty kybernetické bezpečnosti a EU prohlášení o shodě.

(85)S cílem posílit dialog mezi orgány Unie a přispět k formálnímu, otevřenému, transparentnímu a inkluzivnímu procesu konzultací by Komise měla při hodnocení tohoto nařízení zohlednit prvky vyplývající ze stanovisek vyjádřených Evropským parlamentem, Radou a Evropským shromážděním k certifikaci kybernetické bezpečnosti.

(86)Studie proveditelnosti prováděné agenturou ENISA by měly pomoci připravit plánování a rozvoj schémat certifikace kybernetické bezpečnosti. Studie by měly zahrnout názory příslušných zúčastněných stran a sladit budoucí schémata certifikace s probíhajícím výzkumem, vývojem a technologickým hodnocením, zejména s ohledem na přínos výzkumných iniciativ Unie a členských států. Tyto studie mohou pomoci určit normy a technické specifikace, které jsou k dispozici. Měly by být prováděny na žádost Komise nebo v souladu se strategickými prioritami Unie, aby se zajistilo, že se při podávání žádostí a vývoji schémat bude náležitě projednávat a zohledňovat vyvíjející se technologické prostředí a potřeby v oblasti kybernetické bezpečnosti.

(87)Koncepce návrhu schématu a jeho pokrytí bezpečnostních cílů a prvků by měly odpovídat tématu a rozsahu předmětu certifikace. Například schéma certifikace cloudových služeb by se proto mohlo zabývat bezpečnostními cíli, které jsou relevantní pro služby IKT a organizační bezpečnost. Dalším příkladem může být bezpečnostní cíl související s nezahrnutím známých zneužitelných zranitelností, který pravděpodobně nebude relevantní pro certifikaci procesů IKT.

(88)Aby bylo zajištěno, že evropská schémata certifikace kybernetické bezpečnosti budou ve všech členských státech prováděna harmonizovaným způsobem, je nezbytné stanovit pravidla pro jejich udržování. Udržování je nezbytné i k zajištění aktuálnosti schémat a jejich podpůrné dokumentace, zejména v oblasti kybernetické bezpečnosti, kde se prostředí hrozeb a technologie neustále vyvíjejí. Schémata certifikace by proto měla být navržena a udržována tak, aby se zabránilo riziku jejich rychlého zastarání. Činnosti v oblasti udržování by měly obvykle zahrnovat návrh a aktualizaci podpůrné dokumentace, včetně technických specifikací a pokynů, a také určení norem nebo technických specifikací, které jsou pro dané schéma relevantní. Součástí udržování by měla být také analýza fungování schématu, jeho případných nedostatků a potřebných zlepšení. Kromě toho by udržovací činnosti měly zahrnovat sdílení informací mezi členskými státy o provádění schémat a příspěvky k mechanismům vzájemného hodnocení a vzájemného posouzení.

(89)Vzhledem k technické povaze činností v oblasti udržování by agentura ENISA měla tyto činnosti řídit ve spolupráci s Komisí a s podporou Evropské skupiny pro certifikaci kybernetické bezpečnosti („ECCG“) a její příslušné podskupiny pro udržování. Zřízení podskupiny ECCG pro udržování umožňuje shromažďovat technické příspěvky a poznatky členských států s cílem harmonizovat přístupy.

(90)Činnosti v oblasti udržování by měly zahrnovat interakce s příslušnými skupinami zúčastněných stran, a to včetně sdílení a přijímání technických příspěvků, aby se zajistilo, že schémata zůstanou z hlediska trhu relevantní a aktuální. Takovými skupinami zúčastněných stran mohou být normalizační organizace, subjekty posuzování shody, prodejci, uživatelé, veřejné orgány nebo obchodní sdružení. Specifičnost jednotlivých schémat, včetně odpovídajících technických fór a odvětví, vyžaduje, aby bylo možné shromažďovat technické příspěvky způsoby, které se mezi jednotlivými schématy budou lišit. U některých schémat by měla mít agentura ENISA možnost využít ad hoc pracovní skupinu sdružující odborníky z oblasti veřejné správy členských států, subjektů Unie a soukromého sektoru. Technické příspěvky by mohly pocházet také od středisek pro sdílení a analýzu informací nebo normalizačních organizací. Agentura ENISA by měla analyzovat, který formát je pro každé schéma nejvhodnější, a do každého návrhu schématu zahrnout strategii udržování.

(91)Evropská schémata certifikace kybernetické bezpečnosti by se měla opírat o normy nebo technické specifikace, zejména pokud jde o definici bezpečnostních požadavků a metodik hodnocení. Agentura ENISA by měla mít možnost navrhovat technické specifikace na podporu přípravy a udržování schémat, především pokud chybí výstupy z činnosti normalizačních organizací nebo pokud nejsou vhodné pro splnění cílů schématu. V rámci procesu přípravy návrhu by agenturu ENISA měla podporovat Evropská skupina pro certifikaci kybernetické bezpečnosti a případně ad hoc pracovní skupina zřízená pro příslušné schéma. Agentura ENISA by si měla rovněž vyžádat příspěvky skupin zúčastněných stran. Kromě toho by agentura ENISA měla vzít v úvahu přijetí na trhu, jakož i evropské a mezinárodní normy. S ohledem na kvalitu technických specifikací a cíle schématu by Komise měla mít možnost odkazovat na technické specifikace vypracované agenturou ENISA v rámci evropského schématu certifikace kybernetické bezpečnosti.

(92)Technické specifikace vypracované agenturou ENISA, na které se ve schématu odkazuje, by měly být zpřístupněny na internetových stránkách agentury ENISA věnovaných evropským schématům certifikace kybernetické bezpečnosti, aby k nim měly přístup všechny zainteresované strany. V některých konkrétních případech by však zveřejnění na internetových stránkách mohlo představovat riziko pro kybernetickou bezpečnost certifikovaných produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo pro kybernetickou pozici subjektů, a tím i pro veřejnou bezpečnost. Technické specifikace by například mohly obsahovat přesné informace o nových cestách útoků, jejichž veřejná dostupnost by umožnila jejich využití nepřátelskými aktéry. Tento typ informací by měl být distribuován omezeným způsobem na základě zásady „vědět jen to nejnutnější“ příslušným zúčastněným stranám, jako jsou vnitrostátní orgány certifikace kybernetické bezpečnosti, subjekty posuzování shody a certifikovaní prodejci. Vzhledem k jejich omezenému šíření by se na tyto technické specifikace nemělo odkazovat v evropských schématech certifikace kybernetické bezpečnosti, a proto by měly mít nezávaznou povahu.

(93)Schémata certifikace kybernetické pozice by měla být koncipována modulárně, aby bylo možné prokázat soulad a předpoklad shody s příslušnými požadavky na kybernetickou bezpečnost stanovenými v jiných právních předpisech Unie, pokud tyto právní předpisy tuto možnost stanoví. Předpoklad shody s požadavky těchto právních aktů se proto uplatní jako možná cesta k prokázání souladu pouze tehdy, pokud příslušné právní akty takový předpoklad shody umožňují. Podrobnosti takového schématu, konkrétně účel, cíle nebo prvky, se proto budou pravděpodobně lišit od podrobností jiných schémat. Zejména by měla být vytvořena schémata certifikace kybernetické pozice subjektů, která by umožnila posuzovat průběžnou shodu subjektu s právními předpisy Unie. Není proto nutné, aby schémata certifikace kybernetické pozice zahrnovala všechny prvky evropských schémat certifikace kybernetické bezpečnosti, jako jsou úrovně záruky, což by se mělo odrazit v pravidlech pro tato schémata.

(94)Rámec pro certifikaci kybernetické pozice v evropském rámci pro certifikaci kybernetické bezpečnosti umožňuje vyvinout schéma, které subjektům poskytujícím služby v několika členských státech umožní prokázat splnění povinností v oblasti řízení kybernetických bezpečnostních rizik, které stanoví směrnice Evropského parlamentu a Rady (EU) 2022/2555. Na tomto základě mohou subjekty schopné prokázat soulad těžit z ucelenějších a méně zatěžujících přístupů dohledu na celém vnitřním trhu. Vývoj takového schématu certifikace by mělo usnadnit přijetí prováděcích aktů podle směrnice (EU) 2022/2555. Prostřednictvím profilů rozšíření může schéma certifikace kybernetické pozice prokázat splnění požadavků, pokud členský stát přijal nebo zachoval ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti v souladu se směrnicí (EU) 2022/2555. Na tomto základě může subjekt poskytující služby v několika členských státech prokázat soulad se všemi příslušnými profily rozšíření prostřednictvím jediného evropského certifikátu kybernetické bezpečnosti.

(95)Cíle a požadavky v oblasti bezpečnosti stanovené v evropských schématech certifikace kybernetické bezpečnosti pro složky bezpečnosti produktů by měly být v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I nařízení (EU) 2024/2847. Tato soudržnost je nezbytná k zajištění toho, aby výrobci, jejichž výrobky spadají do oblasti působnosti nařízení (EU) 2024/2847, nemuseli při certifikaci svých výrobků podle určitého evropského schématu certifikace kybernetické bezpečnosti čelit protichůdným požadavkům. Jednotnost požadavků navíc usnadňuje předpoklad shody podle článku 27 nařízení (EU) 2024/2847, na jehož základě mohou výrobci produktů s digitálními prvky, které jsou certifikovány podle evropského schématu certifikace kybernetické bezpečnosti, za určitých podmínek využít předpokladu shody se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I uvedeného nařízení.

(96)V rámci evropského schématu certifikace kybernetické bezpečnosti by mělo být možné specifikovat profil rozšíření stanovením dodatečných nebo zvláštních požadavků na případy použití, včetně dodatečných funkcí, jako jsou rozšířené funkce produktů, specializované nabídky služeb nebo aktiv, optimalizované procesy a pokročilá bezpečnostní opatření. Vzhledem k tomu, že profily rozšíření neodpovídají konkrétní úrovni záruky, měly by podrobně popisovat svůj účel, včetně řešených bezpečnostních hrozeb. Profily rozšíření jsou určeny zejména k prokázání souladu s konkrétními normami a regulatorními požadavky, včetně případných požadavků týkajících se dodatečných opatření k řízení kybernetických bezpečnostních rizik, která stanoví členský stát v souladu se zásadou minimální harmonizace podle směrnice (EU) 2022/2555.

(97)Aniž je dotčen obecný systém vzájemného hodnocení, jenž má být zaveden u všech vnitrostátních orgánů certifikace kybernetické bezpečnosti v evropském rámci pro certifikaci kybernetické bezpečnosti, mělo by být možné, aby některá evropská schémata certifikace kybernetické bezpečnosti zahrnovala mechanismy vzájemného posouzení pro subjekty, které vydávají evropské certifikáty kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů, a to zejména pro subjekty, které v rámci těchto schémat vydávají certifikáty s úrovní záruky „vysoká“. Mezi tyto subjekty by měly patřit také certifikační subjekty vnitrostátních orgánů certifikace kybernetické bezpečnosti, které vydávají certifikáty na úrovni záruky „vysoká“. Evropská skupina pro certifikaci kybernetické bezpečnosti by měla podporovat provádění takových mechanismů vzájemného posouzení. Vzájemná posouzení by měla především posoudit, zda dotčené subjekty plní své úkoly harmonizovaně, a mohou zahrnovat mechanismy odvolání.

(98)Krize, jako jsou války, přírodní katastrofy a pandemie, mohou certifikační činnosti nepříznivě ovlivnit. V krizových scénářích tohoto druhu nemusí být například proveditelné zajistit bezpečnost místa z důvodu zničení infrastruktury, kybernetických útoků, nedostupnosti personálu a nepřístupnosti místa. Evropské schéma certifikace kybernetické bezpečnosti by proto mělo stanovit dočasná pravidla pro kontinuitu certifikačních činností během takových scénářů.

(99)Převod technických návrhů schémat do prováděcích aktů vyžaduje komplexní technické a právní znalosti a může vyvolat značnou administrativní zátěž. Některé prvky evropských schémat certifikace kybernetické bezpečnosti, jako je řízení zranitelností nebo podmínky, za nichž lze takové značky nebo označení používat, jsou navíc meziodvětvové a mohou využívat harmonizovaných referenčních ustanovení. Aby se zajistila kvalita přijatých evropských schémat certifikace kybernetické bezpečnosti a snížila se zátěž podniků spojená s dodržováním předpisů, měla by být Komise zmocněna přijmout vzorová ustanovení týkající se určitých prvků evropských schémat certifikace kybernetické bezpečnosti.

(100)V zájmu zajištění soudržnosti evropského rámce pro certifikaci kybernetické bezpečnosti by mělo být možné stanovit v evropském schématu certifikace kybernetické bezpečnosti úrovně záruky evropských certifikátů kybernetické bezpečnosti a EU prohlášení o shodě vydávaných v rámci tohoto schématu. Evropský certifikát kybernetické bezpečnosti by měl uvádět jednu z úrovní záruky: „základní“, „významná“ či „vysoká“, zatímco EU prohlášení o shodě by se mělo vztahovat pouze na úroveň záruky „základní“. Úrovně záruky by měly odrážet odpovídající náročnost a podrobnost hodnocení produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu a měly by být charakterizovány odkazem na související technické specifikace, normy a postupy včetně technických kontrol, jejichž účelem je zmírnit dopady incidentů nebo jim zabránit. Každá úroveň záruky by měla být konzistentní v rámci jednotlivých odvětvových oblastí, v nichž se certifikace používá.

(101)Uživatelé evropských certifikátů kybernetické bezpečnosti by měli vybírat odpovídající certifikaci a s ní spojené bezpečnostní požadavky na základě analýzy rizik souvisejících s použitím produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kontextu certifikace subjektů. Úroveň záruky by tedy měla být přiměřená úrovni rizika, jež je spojeno se zamýšleným použitím produktu, služby či procesu IKT, řízených bezpečnostních služeb nebo s provozním prostředím a povahou subjektu, jehož kybernetická pozice podléhá certifikaci.

(102)Pro úroveň záruky „základní“ by se hodnocení mělo řídit alespoň těmito složkami záruky: hodnocení by mělo zahrnovat alespoň přezkum technické dokumentace produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu, který provede subjekt posuzování shody. Zahrnuje-li certifikace procesy IKT, měl by do předmětu technického přezkumu spadat též proces použitý k návrhu, vývoji a údržbě produktu či služby IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu. Pokud evropské schéma certifikace kybernetické bezpečnosti stanoví vlastní posuzování shody, mělo by postačovat, že výrobce nebo poskytovatel produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb nebo subjekt, jehož kybernetická pozice podléhá certifikaci, provedl vlastní posouzení shody produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu se schématem certifikace.

(103)Pro úroveň záruky „významná“ by hodnocení mělo navíc k požadavkům na úroveň záruky „základní“ vycházet přinejmenším z ověření souladu bezpečnostních funkcí produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu s příslušnou technickou dokumentací.

(104)Pro úroveň záruky „vysoká“ by hodnocení mělo navíc k požadavkům na úroveň záruky „významná“ vycházet přinejmenším ze zkoušky účinnosti, která hodnotí odolnost bezpečnostních funkcí vůči propracovaným kybernetickým útokům vedeným osobami se značnými dovednostmi a zdroji. Činnosti posuzování shody by měly být prováděny v Evropském hospodářském prostoru pro úroveň záruky „vysoká“ nebo v případech, kdy je schéma navrženo tak, aby prokázalo soulad a stanovilo předpoklad shody s jinými právními předpisy Unie. Tento požadavek je odůvodněn skutečností, že činnosti posouzení probíhající mimo Evropský hospodářský prostor zakládají další hrozby pro kybernetickou bezpečnost, zejména pro duševní vlastnictví hodnocených produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo subjektů. Například zdrojový kód produktu IKT by mohl být kontrolován při překročení hranic třetí země, což představuje riziko pro duševní vlastnictví. Zkušební laboratoře usazené ve třetích zemích navíc nepůsobí v prostředí, na které se vztahují opatření v oblasti kybernetické bezpečnosti stanovená právními předpisy EU, jako je směrnice (EU) 2022/2555 nebo nařízení (EU) 2024/2847. Zkušební laboratoř například může využívat poskytovatele cloudových služeb, který je třetí stranou a který nedodržuje požadavky na kybernetickou bezpečnost podle směrnice (EU) 2022/2555. Nicméně certifikačnímu schématu by mělo být umožněno stanovit mechanismy výjimek, například v souvislosti s certifikací místa nebo v jiných případech, kdy činnosti posuzování shody nemohou být s přiměřeným úsilím prováděny v Evropském hospodářském prostoru.

(105)V některých případech mohou být pro splnění bezpečnostních cílů dané úrovně záruky zapotřebí odlišné přístupy, které se týkají specifik produktu, služby nebo procesu IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů. Aby bylo možné uplatnit podrobnější přístup, mělo by být možné v evropském schématu certifikace kybernetické bezpečnosti určit jednu nebo více úrovní hodnocení odpovídajících jedné z úrovní záruky. Tím se umožní vývoj schémat, v nichž bude úrovni bezpečnosti spojené s určitou úrovní záruky odpovídat více úrovní hodnocení určených pro různé účely.

(106)Evropská schémata certifikace kybernetické bezpečnosti by měla mít možnost stanovit posuzování shody, které bude provedeno na výhradní odpovědnost výrobce nebo poskytovatele produktu, služby či procesu IKT nebo řízených bezpečnostních služeb nebo subjektu, jehož kybernetická pozice je předmětem certifikace („vlastní posuzování shody“). V takových případech by mělo být postačující, že výrobce, poskytovatel nebo subjekt, jehož kybernetická pozice je předmětem certifikace, provede sám všechny kontroly pro zajištění shody produktů, služeb nebo procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektu s evropským schématem certifikace kybernetické bezpečnosti. Vlastní posuzování shody by mělo být považováno za vhodné pro produkty, služby nebo procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektu, které vykazují nízkou složitost, představují nízké riziko pro veřejnost a mají jednoduchý návrh nebo jednoduché výrobní mechanismy.

(107)Pokud evropské schéma certifikace kybernetické bezpečnosti umožňuje vlastní posuzování shody i certifikaci produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, mělo by schéma certifikace stanovit jasné a srozumitelné prostředky, které spotřebitelům nebo jiným uživatelům umožní rozlišit mezi vlastním posuzováním produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů a jejich certifikací, kterou udělí třetí strana.

(108)Výrobce nebo poskytovatel produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb nebo subjekty s certifikovanou kybernetickou pozicí by měli mít možnost v rámci postupu posuzování shody vydat a podepsat EU prohlášení o shodě. EU prohlášení o shodě je dokumentem, který uvádí, že určitý produkt, služba nebo proces IKT, řízená bezpečnostní služba nebo kybernetická pozice subjektu splňuje požadavky evropského schématu certifikace kybernetické bezpečnosti. Vydáním a podpisem EU prohlášení o shodě přebírá výrobce nebo poskytovatel produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb nebo subjekt s certifikovanou kybernetickou pozicí odpovědnost za soulad produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu s bezpečnostními požadavky evropského schématu certifikace kybernetické bezpečnosti. Kopie EU prohlášení o shodě by měla být předložena vnitrostátnímu orgánu certifikace kybernetické bezpečnosti a agentuře ENISA.

(109)Výrobci nebo poskytovatelé produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb nebo subjekty s certifikovanou kybernetickou pozicí by měli příslušnému vnitrostátnímu orgánu certifikace kybernetické bezpečnosti zpřístupnit EU prohlášení o shodě, technickou dokumentaci a veškeré další příslušné informace související se shodou s evropským schématem certifikace kybernetické bezpečnosti, a to po dobu stanovenou v příslušném evropském schématu certifikace kybernetické bezpečnosti a v souladu s platnými právními předpisy Unie. Technická dokumentace by měla specifikovat požadavky použitelné podle schématu v rozsahu relevantním pro vlastní posuzování shody. Složení technické dokumentace by mělo být takové, aby umožnilo posoudit, zda produkt, služba nebo proces IKT nebo řízená bezpečnostní služba nebo kybernetická pozice subjektu splňuje požadavky použitelné podle daného schématu.

(110)Evropské certifikáty kybernetické bezpečnosti a EU prohlášení o shodě by měly napomoci uživatelům činit informované volby. Příslušné informace by proto měly být zveřejňovány na internetových stránkách spravovaných agenturou ENISA. Kromě toho by produkty, služby a procesy IKT, které byly certifikovány nebo pro které bylo vydáno EU prohlášení o shodě, měly být doplněny o strukturované informace upravené podle předpokládané úrovně technické odbornosti zamýšleného uživatele. Všichni uživatelé by měli mít přístup k údajům o referenčním čísle schématu certifikace, vydávajícím orgánu nebo subjektu a případně o úrovni záruky nebo by měli mít možnost získat kopii evropského certifikátu kybernetické bezpečnosti. Tyto informace by měly být pravidelně aktualizovány a zpřístupňovány na vyhrazených internetových stránkách věnovaných evropským schématům certifikace kybernetické bezpečnosti. V zájmu zajištění nepřetržité dostupnosti by se navíc mělo od výrobců a poskytovatelů vyžadovat, aby informovali příslušný certifikační subjekt, pokud se změní umístění online poskytovaných nebo případně fyzických informací.

(111)Posuzování shody je procesem hodnocení toho, zda jsou splněny stanovené požadavky týkající se produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo subjektu. Tento postup provádí nezávislá třetí strana, která není výrobcem ani poskytovatelem produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb, které jsou předmětem certifikace, ani subjektem, jehož kybernetická pozice je posuzována. Evropský certifikát kybernetické bezpečnosti by měl být vydán na základě úspěšného hodnocení produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu. Evropský certifikát kybernetické bezpečnosti je třeba považovat za potvrzení toho, že hodnocení bylo řádně provedeno.

(112)Přísné oddělení dohledových a certifikačních činností je důležité, aby se zabránilo narušením a interferencím, k nimž může docházet v situacích, kdy subjekt vykonávající dohled nad trhem zároveň soutěží na stejném trhu. Proto by činnosti, při nichž vnitrostátní orgány certifikace kybernetické bezpečnosti vykonávají pouze svou úlohu dohledu, například udělují předchozí souhlas s vydáním certifikátu, neměly vyžadovat další vnitřní oddělení od ostatních dohledových činností. To zahrnuje například situaci, kdy vnitrostátní orgán certifikace kybernetické bezpečnosti aktivně shromažďuje informace v průběhu celého procesu certifikace prováděného soukromými subjekty posuzování shody a poté k vydání certifikátu těmito subjekty vydává své stanovisko („model předchozího schválení“).

(113)Evropská schémata certifikace kybernetické bezpečnosti by měla stanovit podmínky, za kterých může být nutné znovu certifikovat produkty, služby nebo procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektu nebo omezit rozsah konkrétního evropského certifikátu kybernetické bezpečnosti. Evropská schémata certifikace kybernetické bezpečnosti by navíc měla zohlednit případné nepříznivé dopady následně zjištěných zranitelností nebo neshod týkajících se certifikovaného produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu s ohledem na shodu s bezpečnostními požadavky daného certifikátu.

(114)Při zajišťování spolehlivé kybernetické bezpečnosti a zlepšování přístupu podniků na trh má zásadní úlohu harmonizace. Naproti tomu roztříštěnost a nedostatečné vzájemné uznávání certifikátů představují významné překážky pro bezproblémový tok dat, a tím zvyšují provozní náklady pro odvětví Unie. Aby se tyto problémy zmírnily, je nezbytné zabránit roztříštěnosti z hlediska rozsahu bezpečnostních kontrol i z hlediska metod posuzování shody v celé Unii.

(115)Členské státy by měly před přijetím nových vnitrostátních schémat certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů v dostatečném předstihu informovat Komisi a Evropskou skupinu pro certifikaci kybernetické bezpečnosti, aby Komisi a této skupině pomohly vyhodnotit dopad nového vnitrostátního schématu certifikace kybernetické bezpečnosti na řádné fungování vnitřního trhu, rovněž s ohledem na případný strategický zájem zadat požadavek na evropské schéma certifikace kybernetické bezpečnosti.

(116)Odkazy ve vnitrostátních právních předpisech na vnitrostátní normy, které v důsledku vstupu evropského schématu certifikace kybernetické bezpečnosti v platnost přestaly být účinné, by mohly způsobovat nejasnosti. Členské státy by proto měly v příslušných případech přijetí evropského schématu certifikace kybernetické bezpečnosti zohlednit ve svých vnitrostátních právních předpisech.

(117)S cílem usnadnit růst spolehlivého vnitřního trhu a zároveň navázat partnerství se třetími zeměmi by měl být proces certifikace zavedený v oblasti působnosti evropského rámce pro certifikaci kybernetické bezpečnosti nastaven tak, aby se usnadnilo mezinárodní uznávání, vzájemné uznávání a soulad s mezinárodními normami.

(118)V zájmu dalšího usnadnění obchodu a s vědomím, že dodavatelské řetězce IKT mají mezinárodní povahu, může Unie v souladu s článkem 218 Smlouvy o fungování EU uzavírat dohody o vzájemném uznávání týkající se evropských certifikátů kybernetické bezpečnosti. Komisi by měla být svěřena pravomoc přijímat prováděcí akty k jednostrannému uznávání rovnocennosti certifikátů třetích zemí s evropskými certifikáty kybernetické bezpečnosti. Mělo by být možné stanovit pro takové uznávání certifikátů třetích zemí zvláštní podmínky.

(119)S cílem dosáhnout rovnocenného provádění rámce v celé Unii, usnadnit vzájemné uznávání a podpořit celkové přijímání evropských certifikátů kybernetické bezpečnosti a EU prohlášení o shodě je nezbytné zavést systém pro vzájemné hodnocení mezi vnitrostátními orgány certifikace kybernetické bezpečnosti. Vzájemná hodnocení by se měla vztahovat na postupy pro dohled nad souladem produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů s evropskými certifikáty kybernetické bezpečnosti, na monitorování povinností výrobců nebo poskytovatelů produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb a certifikovaných subjektů, které provádějí vlastní posuzování shody, na monitorování subjektů posuzování shody, jakož i na přiměřenost odborných znalostí zaměstnanců subjektů, které vydávají certifikáty pro úroveň záruky „vysoká“. Agentura ENISA by se měla účastnit vzájemných hodnocení jako pozorovatel a podporovat organizaci mechanismu vzájemného hodnocení a vzájemných hodnocení jako takových, mimo jiné vypracováním příslušných pokynů a vzorů ve spolupráci s Komisí a Evropskou skupinou pro certifikaci kybernetické bezpečnosti. Agentura ENISA by také měla na svých internetových stránkách o evropských schématech certifikace kybernetické bezpečnosti zveřejnit informace o harmonogramu vzájemných hodnocení a seznam dotčených vnitrostátních orgánů certifikace kybernetické bezpečnosti, kterých se harmonogram týká. Prováděcí nařízení Komise (EU) 2025/2540 60 , přijaté podle nařízení (EU) 2019/881, stanoví plán vzájemného hodnocení, který využívají přijatá evropská schémata certifikace kybernetické bezpečnosti. Je nutné zajistit, aby vzájemná hodnocení pokračovala. Komise by nicméně měla mít možnost prostřednictvím prováděcích aktů dle potřeby stanovit nový plán vzájemného hodnocení na dobu alespoň pěti let, jakož i stanovit kritéria a metodiky pro fungování systému vzájemného hodnocení.

(120) Jakmile bude určité evropské schéma certifikace kybernetické bezpečnosti přijato, měli by mít výrobci nebo poskytovatelé produktů, služeb a procesů IKT a řízených bezpečnostních služeb nebo subjekty, jejichž kybernetická pozice je předmětem certifikace, možnost předložit žádost o certifikaci svých produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektu posuzování shody podle své volby kdekoli v Unii. Subjekty posuzování shody by měly být akreditovány vnitrostátním akreditačním orgánem, pokud splňují požadavky stanovené v tomto nařízení a případně požadavky stanovené Komisí v souladu s tímto nařízením. Systém stanovený v tomto nařízení by měl být doplněn akreditačním systémem stanoveným v nařízení Evropského parlamentu a Rady (ES) č. 765/2008 61 .

(121) Subjekty posuzování shody, které jsou akreditovány nebo oznámeny podle stávajících právních předpisů Unie, zejména nařízení (EU) 2024/2847 nebo prováděcího nařízení (EU) 2024/482, mohou mít kompetence, které jsou relevantní pro nově přijatá evropská schémata certifikace kybernetické bezpečnosti. Aby se předešlo zbytečné finanční a administrativní zátěži, je vhodné vytvořit synergie pro akreditaci subjektů posuzování shody podle tohoto nařízení. Z tohoto důvodu by měly být akreditační požadavky týkající se schémat stanoveny tak, aby byly co nejvíce v souladu s požadavky týkajícími se oznámených subjektů podle nařízení (EU) 2024/2847 a akreditačními požadavky podle prováděcího nařízení (EU) 2024/482. Kromě toho by subjekty posuzování shody, které procházejí akreditačním procesem podle tohoto nařízení, měly mít možnost využít předchozích výsledků hodnocení svých kompetencí podle jiných právních předpisů Unie, kdykoli se akreditační požadavky překrývají.

(122)S cílem usnadnit harmonizované služby posuzování shody v celé Unii by mělo být možné stanovit v evropském schématu certifikace kybernetické bezpečnosti dodatečné nebo zvláštní požadavky na subjekty posuzování shody. V souvislosti s certifikací by se autorizací mělo rozumět rozhodnutí vnitrostátního orgánu certifikace kybernetické bezpečnosti, podle kterého subjekt posuzování shody splňuje zvláštní nebo dodatečné požadavky stanovené v evropském schématu certifikace kybernetické bezpečnosti, aby mohl provádět konkrétní činnost posuzování shody.

(123)Stanoví-li evropské schéma certifikace kybernetické bezpečnosti zvláštní nebo dodatečné požadavky v souladu s tímto nařízením, měly by být subjekty posuzování shody vnitrostátním orgánem certifikace kybernetické bezpečnosti autorizovány k plnění úkolů v rámci takového schématu. Aby se předešlo vícenásobné autorizaci, zlepšilo se přijímání a uznávání rozhodnutí o autorizaci a aby byly autorizované subjekty posuzování shody účinně sledovány, měly by subjekty posuzování shody žádat o akreditaci u vnitrostátního akreditačního orgánu členského státu, v němž jsou usazeny. Je však nezbytné zajistit, aby subjekt posuzování shody měl možnost žádat o autorizaci v jiném členském státě, pokud v jeho členském státě neexistuje vnitrostátní orgán certifikace kybernetické bezpečnosti nebo pokud vnitrostátní orgán certifikace kybernetické bezpečnosti není oprávněn poskytovat požadované autorizační služby. V takových případech je třeba zajistit mezi vnitrostátními orgány certifikace kybernetické bezpečnosti náležitou spolupráci a výměnu informací. Komisi by měla být svěřena pravomoc přijímat prováděcí akty, kterými stanoví postupy autorizace, včetně přeshraniční spolupráce v oblasti autorizace.

(124)V zájmu zachování úrovně ochrany požadované pro produkt, službu nebo proces IKT, řízenou bezpečnostní službu nebo kybernetickou pozici subjektu je nezbytné, aby subdodavatelé a dceřiné společnosti provádějící posuzování shody splňovali při provádění úkolů posuzování shody stejné požadavky jako oznámené subjekty posuzování shody. Subjekt posuzování shody by proto měl mít příslušnou způsobilost a měl by být schopen ověřit, zda jeho subdodavatelé splňují příslušné požadavky.

(125)Oznamující orgán by měl náležitě posoudit, do jaké míry má subjekt posuzování shody v úmyslu spoléhat se na subdodavatele usazené mimo Unii nebo mít přístup k zaměstnancům nebo zařízením mimo členský stát oznámení. Veřejný orgán členského státu by měl mít možnost rozhodnout, že jakožto vnitrostátní orgán certifikace kybernetické bezpečnosti nemůže převzít celkovou odpovědnost za takové ujednání, a oznámení zrušit nebo omezit jeho rozsah.

(126)Za účelem hodnocení požadavků na kybernetickou bezpečnost produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů by vnitrostátní orgány certifikace kybernetické bezpečnosti měly Komisi a ostatním členským státům oznámit akreditované subjekty posuzování shody. Z oznámení akreditovaných a případně autorizovaných subjektů posuzování shody vyplývá, že těmto subjektům lze v oblasti provádění hodnotících a certifikačních činností v souladu s tímto nařízením a evropským schématem certifikace kybernetické bezpečnosti důvěřovat, což přispívá k celkové pověsti evropské certifikace kybernetické bezpečnosti. Je proto nezbytné zajistit, aby oznámené subjekty posuzování shody trvale plnily příslušné požadavky a povinnosti a aby byl seznam oznámených subjektů posuzování shody průběžně aktualizován.

(127)Prováděcí nařízení Komise (EU) 2024/3143 62 přijaté podle nařízení (EU) 2019/881 stanoví okolnosti, formáty a postupy pro oznámení subjektů posuzování shody, které jsou používány přijatými evropskými schématy certifikace kybernetické bezpečnosti. Je proto nutné zajistit pokračování oznamovacích činností. Komisi by však měla být svěřena pravomoc přijímat prováděcí akty, kterými tyto okolnosti, postupy a formáty pro oznamování subjektů posuzování shody upraví. V této souvislosti by Komise měla vycházet ze zkušeností získaných v souvislosti se stávajícími schématy a usilovat o sladění s ostatními příslušnými právními předpisy a rámci Unie, zejména s nařízením (EU) 2024/2847 a s novým legislativním rámcem, aby se snížila zátěž spojená s dodržováním předpisů pro subjekty posuzování shody, které působí na základě různých právních nástrojů.

(128) Dodavatelské řetězce informačních a komunikačních technologií (IKT) se skládají z propojeného souboru zdrojů a procesů mezi hospodářskými subjekty. Dodavatelské řetězce IKT hrají klíčovou roli při udržování společenské stability a jsou hnací silou hospodářské činnosti v celé Unii. Mají také kritickou úlohu při podpoře digitální infrastruktury v Unii a jsou základem fungování společnosti a hospodářství Unie. Dodavatelské řetězce IKT umožňují výrobu, produkci, distribuci a udržování služeb, systémů a produktů IKT, které jsou základem různých kritických a vysoce kritických odvětví, včetně zdravotnictví, financí, dopravy, telekomunikací, energetiky a celního odvětví. Bezpečnost dodavatelských řetězců IKT těchto kritických odvětví může mít dopad i na bezpečnost obranné a vojenské infrastruktury, pokud tato infrastruktura závisí na civilních kritických odvětvích a jejich dodavatelských řetězcích IKT. Podle zprávy o situaci v oblasti kybernetických bezpečnostních hrozeb vydané agenturou ENISA (ENISA Threat Landscape 2025) 63 však útoky na dodavatelské řetězce patří mezi pět hlavních kybernetických bezpečnostních hrozeb, což ukazuje, že útočníci aktivně využívají nepřímé cesty prostřednictvím třetích stran jakožto dodavatelů a závislostí na těchto dodavatelích. Narušení dodavatelských řetězců IKT může brzdit provádění hospodářských činností na vnitřním trhu, způsobovat finanční ztráty, narušovat důvěru uživatelů a způsobovat velké škody hospodářství a společnosti Unie. Připravenost a účinnost v oblasti kybernetické bezpečnosti jsou proto pro řádné fungování vnitřního trhu důležitější než kdy předtím.

(129)Vedle technických rizik, kterým se věnuje směrnice Evropského parlamentu a Rady (EU) 2022/55 64 , nařízení Evropského parlamentu a Rady (EU) 2024/2847 65 a evropský rámec pro certifikaci kybernetické bezpečnosti stanovený nařízením (EU) 2019/881, jsou dodavatelské řetězce IKT stále větší měrou vystaveny netechnickým rizikům. Taková netechnická rizika mohou souviset mimo jiné s jurisdikcí, které podléhá dodavatel určitých komponent, zejména pokud se třetí země nebo aktéři hrozby řízení z této země dopouštějí průmyslové špionáže, provádějí nepřátelské kybernetické činnosti nebo kampaně namířené proti Unii nebo jejím členským státům nebo se podílejí na nezodpovědném chování státu v kyberprostoru. Netechnická rizika mohou být také spojena se skrytými zranitelnostmi nebo tzv. zadními vrátky („backdoors“) nebo s možným systémovým narušením dodávek, zejména v případě technologické závislosti nebo závislosti na dodavateli. Například tzv. vypínače („kill switches“) by mohly být použity k negativnímu ovlivnění dostupnosti komunikačních sítí a elektrických rozvodných sítí.

(130)Společné sdělení o posílení hospodářské bezpečnosti EU 66 zdůraznilo riziko, že třetí země získají přístup k citlivým informacím a údajům v Unii nebo jejích členských státech, a to buď v důsledku průmyslové špionáže, dodávek hardwaru nebo softwaru používaného v určitých produktech, nebo v důsledku vlastnictví a kontroly určitých podniků, které disponují citlivými informacemi a údaji. Zdůraznila rovněž riziko narušení kritické infrastruktury EU (včetně kritické dopravní, kosmické, energetické a komunikační infrastruktury, zejména pokud jsou označeny za strategické pro vojenskou mobilitu) zahraničními aktéry, což by mohlo vést k řetězovým dopadům na hospodářství Unie. K narušením by mohlo dojít fyzickými, kybernetickými nebo hybridními útoky, včetně sabotáže celých zařízení nebo jejich částí nebo dílčích komponent. Mohla by být také spjata s dodavatelskými řetězci IKT, které jsou základem kritických komponent nebo služeb pro kritické infrastruktury.

(131)V reakci na problémy, které pro bezpečnost dodavatelského řetězce IKT představují netechnická rizika, přijaly některé členské státy regulační opatření, včetně určení vysoce rizikových dodavatelů, a jiné členské státy tak pravděpodobně učiní též. To by mohlo vést k dalším rozdílům ve vnitrostátních přístupech a v konečném důsledku k větší zranitelnosti některých členských států s možnými vedlejšími účinky v celé Unii. Proto je nutné harmonizovat určité aspekty související s netechnickými kybernetickými bezpečnostními riziky pro dodavatelský řetězec IKT. Takový zásah na úrovni Unie je opodstatněný i s ohledem na potřebu zajistit vysokou úroveň kybernetické bezpečnosti v celé Unii. Cílem ustanovení o bezpečnosti dodavatelského řetězce IKT je odstranit tyto velké rozdíly mezi členskými státy, zejména stanovením pravidel pro mechanismy posuzování bezpečnostních rizik dodavatelského řetězce IKT na úrovni Unie a minimálních standardů ochrany před riziky dodavatelského řetězce IKT.

(132)Pro snížení kritických závislostí a zranitelností je nutné vytvořit rámec pro důvěryhodné dodavatelské řetězce IKT, který by měl řešit netechnická rizika související s vysoce rizikovými dodavateli a závislostmi ve vysoce kritických a dalších kritických odvětvích. Proto je nezbytné stanovit objektivní, na rizicích založený, na budoucnost připravený a technologicky neutrální rámec na úrovni Unie, který určí klíčová aktiva IKT a stanoví soubor přiměřených zmírňujících opatření k řešení rizik.

(133)Kybernetická bezpečnostní rizika včetně rizik souvisejících se závislostí na vysoce rizikových dodavatelích lze v Unii pozorovat u několika kritických dodavatelských řetězců IKT, mezi něž patří oblast detekčních zařízení, propojených a automatizovaných vozidel, systémů dodávek elektřiny a skladování elektřiny, systémů dodávek vody, dronů a protidronových systémů, služeb cloud computingu, zdravotnických prostředků, sledovacích zařízení, vesmírných služeb a polovodičů. Například zranitelnosti v oblasti bezpečnostních detekčních zařízení by mohly umožnit přístup k systémům IKT, což by nepřátelským aktérům umožnilo manipulovat se skenery tak, aby mohly být zakázané předměty bez odhalení proneseny přes bezpečnostní kontrolu, což by mohlo mít katastrofální následky.

(134)Toto nařízení nebrání členským státům v tom, aby přijaly nebo ponechaly v platnosti ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti v oblasti související s dodavatelským řetězcem IKT, jsou-li tato ustanovení v souladu s jejich povinnostmi stanovenými v právu Unie. Tato ustanovení mohou například zahrnovat uložení přísnějších zmírňujících opatření, pokud jde o klíčová aktiva IKT.

(135)Za účelem identifikace potenciálních kybernetických bezpečnostních rizik, která ovlivňují konkrétní dodavatelské řetězce IKT, může skupina pro spolupráci zřízená článkem 14 směrnice (EU) 2022/2555 („skupina pro spolupráci v oblasti bezpečnosti sítí a informací“) posuzovat konkrétní dodavatelské řetězce IKT prostřednictvím posouzení bezpečnostních rizik, která jsou koordinována na úrovni Unie. Posouzení bezpečnostních rizik koordinovaná na úrovni Unie by se měla mimo jiné zabývat hlavními aktéry hrozeb, hlavními hrozbami a zranitelnostmi, které ovlivňují klíčová aktiva IKT. V rámci těchto koordinovaných posouzení bezpečnostních rizik by měl být vypracován seznam rizikových scénářů a seznam opatření ke zmírnění rizik. Posouzení by měla být dokončena do šesti měsíců. V případě zvláštní naléhavosti by mělo být možné lhůty zkrátit.

(136)V případech, kdy má Komise dostatečné důvody se domnívat, že existuje významná kybernetická hrozba pro bezpečnost Unie související s kritickými dodavatelskými řetězci IKT a že by mohlo být nezbytné přijmout opatření k zachování řádného fungování vnitřního trhu, měla by neprodleně konzultovat členské státy ohledně potřeby zmírňujících opatření a provést posouzení bezpečnostních rizik, v němž tyto konzultace s členskými státy zohlední.

(137)Pokud se na základě posouzení bezpečnostních rizik provedeného skupinou pro spolupráci v oblasti bezpečnosti sítí a informací nebo Komisí ukáže, že určitá třetí země představuje pro dodavatelské řetězce IKT závažná a strukturální netechnická kybernetická bezpečnostní rizika, měla by Komise hrozbu, kterou tato země představuje, ověřit. Komise může takové ověření zahájit i na základě jiných zdrojů, jako je veřejné prohlášení jménem Unie nebo členského státu v reakci na případy nezodpovědného chování státu v kyberprostoru, které vedlo ke kybernetickému bezpečnostnímu incidentu. Aby posoudila úroveň hrozby, měla by Komise zohlednit prvky, jako je existence právních předpisů nebo postupů ve třetí zemi, které vyžadují, aby subjekty spadající do oblasti jejich působnosti oznamovaly informace o zranitelnostech softwaru nebo hardwaru orgánům této třetí země dříve, než bude známo, že tyto zranitelnosti byly zneužity. Dalším významným prvkem je neexistence účinné soudní ochrany a nezávislých a demokratických kontrolních mechanismů, které by mohly vyvrátit obavy týkající se bezpečnosti, i v souvislosti s existujícími postupy, nedostatek podložených informací o incidentech, kdy aktéři hrozeb působící mimo území dané země provádějí nepřátelské kybernetické činnosti nebo kampaně, a nedostatečná schopnost nebo ochota třetí země spolupracovat s Komisí nebo členskými státy při řešení rizik vyplývajících z působení těchto aktérů hrozeb. Komise by měla rovněž zohlednit informace vyplývající z posouzení bezpečnostních rizik koordinovaných na úrovni Unie nebo ze zpráv vydaných členskými státy nebo mezinárodními organizacemi, jako je NATO.

(138)Pro účely tohoto nařízení by měl být pojem kontroly chápán jako schopnost přímo nebo nepřímo vykonávat rozhodující vliv na právní subjekt prostřednictvím jednoho nebo více zprostředkujících právních subjektů. Kontrola subjektů ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti, by měla být zjišťována také v situacích, kdy má takový subjekt v dané zemi výkonné řídicí struktury.

(139)Unie by neměla financovat projekty, v nichž jsou zapojeni vysoce rizikoví dodavatelé a jež by ohrozily bezpečnost Unie a narušily její zájmy a důvěryhodnost. Vysoce rizikoví dodavatelé určení podle tohoto nařízení by proto neměli být oprávněni účastnit se žádných programů a nástrojů financování z Unie prováděných v přímém nebo nepřímém řízení v souladu s článkem 136 nařízení (EU/Euratom) 2024/2509 a odvětvovými pravidly Unie, ani žádných činností financování Unie prováděných ve sdíleném řízení, včetně činností spadajících do příštího víceletého finančního rámce v souvislosti s dodávkami komponent IKT nebo součástí zahrnujících komponenty IKT, jež mají být použity v určených klíčových aktivech IKT. Prováděcí partneři Unie, jako je skupina Evropské investiční banky a národní podpůrné banky a instituce, by se měli zdržet podpory projektů, které jsou v rozporu s výše uvedeným, a to i v operacích na vlastní riziko.

(140)Zadávání veřejných zakázek může být silným nástrojem veřejných orgánů, který přispívá k inovativnější, udržitelnější a konkurenceschopnější ekonomice, jakož i silným nástrojem strategického vynakládání veřejných prostředků. Veřejné zakázky týkající se dodavatelských řetězců IKT by neměly být využívány ve prospěch dodavatelů, kteří ohrožují bezpečnost kritické infrastruktury Unie. Vysoce rizikoví dodavatelé určení podle tohoto nařízení by proto neměli být oprávněni účastnit se veřejných zakázek týkajících se dodávek komponent IKT nebo součástí zahrnujících komponenty IKT, jež mají být použity v určených klíčových aktivech IKT.

(141)Certifikace kybernetické bezpečnosti hraje svou úlohu v posilování celkové bezpečnosti a v boji proti kybernetickým hrozbám a slouží jako měřítko důvěry. Tato důvěra by mohla být narušena, pokud by potvrzení o dovednostech v oblasti kybernetické bezpečnosti vydávali vysoce rizikoví dodavatelé, kteří by proto neměli být oprávněni podat žádost o to, aby se stali autorizovanými poskytovateli jakýchkoli potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti v Unii. V podobném duchu je rovněž vhodné vyloučit vysoce rizikové dodavatele z možnosti získat certifikaci kybernetické bezpečnosti podle evropského rámce pro certifikaci kybernetické bezpečnosti a stát se akreditovanými subjekty posuzování shody, které tyto certifikáty vydávají.

(142)Normy kybernetické bezpečnosti hrají zásadní roli v oblasti bezpečnosti a důvěryhodnosti digitálních infrastruktur. Je nezbytné přijmout vhodná opatření k zajištění normalizace v oblasti kybernetické bezpečnosti. Zapojení subjektů usazených v zemích nebo kontrolovaných ze zemí, které jsou v souladu s tímto nařízením určeny jako země vzbuzující obavy z hlediska kybernetické bezpečnosti dodavatelského řetězce IKT, může vést k ovlivňování norem kybernetické bezpečnosti způsobem, který oslabuje jejich bezpečnost a důvěryhodnost.

(143)Na základě výsledků posouzení bezpečnostních rizik může Komise prostřednictvím prováděcích aktů určit, která aktiva IKT by měla být vzhledem ke svému kritickému významu považována za klíčová aktiva IKT a podléhat zvláštním zmírňujícím opatřením. Pouhá existence možnosti propojení aktiva by měla být dostatečná pro zvážení jeho kybernetického bezpečnostního rizika.

(144)Je-li to nezbytné k zajištění vysoké úrovně kybernetické bezpečnosti, kybernetické odolnosti a důvěry v Unii, mohou být zmírňující opatření uplatněna na subjekty v souvislosti s jejich dodavatelským řetězcem IKT, a zejména určenými klíčovými aktivy IKT. Navrhovaná zmírňující opatření by měla vycházet z posouzení potenciálních rizik a závislostí, včetně potenciálního hospodářského a společenského dopadu těchto opatření na dotčené subjekty působící ve vysoce kritických nebo dalších kritických odvětvích a zejména na malé a střední podniky. Hospodářský dopad by měl zohledňovat náklady na provedení zmírňujících opatření, včetně délky životního cyklu příslušných komponent klíčových aktiv IKT v případě, že opatření zahrnují výměnu dodavatelů. Měla by být rovněž posouzena dostupnost alternativních dodavatelů na trhu, aby bylo zajištěno nepřerušené poskytování služeb.

(145)Jelikož by zmírňující opatření potenciálně mohla mít omezující účinek na mezinárodní obchod se zbožím a službami, měla by být přiměřená a cílená tak, aby sledovala legitimní cíl zajistit kybernetickou bezpečnost dodavatelských řetězců IKT ve vztahu k subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, v souladu s mezinárodními závazky Unie.

(146)Používání, instalace nebo jakýkoli jiný druh integrace komponent dodávaných vysoce rizikovými dodavateli do provozu klíčových aktiv IKT mohou být spojeny s riziky následného předávání údajů do třetí země. Riziko může představovat zejména nedostatečná úroveň ochrany údajů ve třetí zemi, například z hlediska ochrany základních práv, duševního vlastnictví nebo obchodního tajemství, nebo nezákonný přístup k těmto údajům a jejich zneužití pro možná budoucí narušení dodavatelského řetězce a špionážní účely. Ke zmírnění těchto rizik mohou být uplatněna omezení týkající se předávání určitých typů údajů do třetích zemí.

(147)Důležité zranitelnosti vyplývají z nedostatečné rozmanitosti zařízení používaných subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555. Využívání jediného dodavatele vytváří závislost na konkrétním vybavení nebo řešeních. Nedostatečná rozmanitost dodavatelů zvyšuje celkovou zranitelnost kritické infrastruktury, zejména pokud subjekty získávají komponenty IKT používané v citlivých aktivech IKT od dodavatele, který představuje vysokou míru rizika. Závislost rovněž významně ovlivňuje odolnost na vnitrostátní úrovni a na úrovni celé Unie a vytváří kritická místa. Pro zmírnění těchto rizik lze uplatnit požadavek mít více než jednoho dodavatele pro konkrétní klíčová aktiva IKT.

(148)Subjekty Unie mohou rovněž využívat klíčová aktiva ve smyslu tohoto nařízení. Proto by se i na ně měla vztahovat pravidla stanovená v tomto nařízení týkající se bezpečnosti dodavatelského řetězce IKT. Aby se zajistilo zohlednění specifičnosti subjektů Unie, je důležité při provádění posouzení bezpečnostních rizik koordinovaných na úrovni Unie zohlednit netechnická rizika vyplývající z dodavatelských řetězců IKT s ohledem na subjekty Unie.

(149)Za výjimečných okolností, které odůvodňují okamžitou intervenci s cílem zachovat řádné fungování vnitřního trhu, a pokud existují jasné důkazy, které Komisi poskytují dostatečný důvod se domnívat, že používání komponent IKT nebo součástí zahrnujících komponenty IKT od konkrétního dodavatele představuje významnou kybernetickou bezpečnostní hrozbu pro hospodářské nebo společenské činnosti nejméně tří členských států, může Komise v úzké spolupráci s členskými státy navrhnout pro subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, zákaz používání, instalace nebo integrace takových komponent od tohoto dodavatele.

(150)V zájmu zajištění proporcionality uplatňovaných opatření mohou subjekty usazené ve třetí zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti a je určena v souladu s tímto nařízením, nebo kontrolované takovou třetí zemí, subjektem usazeným v takové třetí zemi nebo státním příslušníkem takové třetí země požádat o výjimku ze zákazu dodávat subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, komponenty IKT nebo součásti zahrnující komponenty IKT pro účely použití, instalace nebo integrace do klíčových aktiv IKT uvedených subjektů a účastnit se zadávacích řízení organizovaných v souladu s právními předpisy, kterými se provádějí směrnice Evropského parlamentu a Rady 2014/24/EU 67 a 2014/25/EU 68 , souvisejících s dodávkami komponent IKT nebo součástí zahrnujících komponenty IKT, které mají být použity v určených klíčových aktivech IKT.  Za tímto účelem by měl subjekt jednoznačně prokázat, že uplatňuje účinná opatření, která řeší netechnická rizika a zajišťují, že nedochází k žádné případné nepatřičné interferenci ze strany třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti.

(151)Sítě elektronických komunikací tvoří páteř pro širokou škálu služeb, které jsou nezbytné pro fungování vnitřního trhu a zachování a provoz životně důležitých společenských a ekonomických funkcí – jako jsou energetika, doprava, bankovnictví, zdravotnictví, obrana, jakož i průmyslové řídicí systémy. Z toho důvodu jsou tyto vysoce kritické sítě atraktivním cílem pro všechny druhy kybernetických útoků a hybridních hrozeb za účelem narušení provozu, špionáže, shromažďování zpravodajských informací, ale i podvodů a finanční trestné činnosti. Posouzení rizik provedené skupinou pro spolupráci v oblasti bezpečnosti sítí a informací v oblasti kybernetické bezpečnosti a odolnosti evropských komunikačních infrastruktur a sítí zjistilo řadu rizik a hrozeb strategického významu z hlediska Unie, jako jsou útoky pomocí wiperu/ransomwaru, útoky na dodavatelské řetězce, proniknutí do sítí a útoky DDoS (útoky distribuovaným odmítnutím služby).

(152)Vzhledem k propojení a vzájemné závislosti jednotlivých vnitrostátních sítí elektronických komunikací je nezbytné, aby všechny členské státy přijaly vhodná opatření k zajištění bezpečnosti svých sítí. Z týchž důvodů je třeba zavést účinný právní rámec na úrovni Unie, který se bude zabývat i netechnickými riziky a komplexně zajišťovat bezpečnost propojených sítí elektronických komunikací.

(153)Zejména kybernetická bezpečnost sítí 5G je pro Unii strategicky důležitá, neboť tyto sítě tvoří páteř pro širokou škálu služeb se zásadním významem pro fungování vnitřního trhu a jsou také klíčové pro nastavení naší obranné připravenosti, včetně vojenské mobility. Sítě 5G jsou schopny zajistit spolehlivou ultrarychlou konektivitu, například pro sdílení dat a informací, detekci dronů a koordinaci na bojišti v reálném čase.

(154)Zavádění sítí 5G spočívá především na bázi nesamostatných sítí, v nichž je na využití technologie 5G modernizována pouze rádiová přístupová síť, zatímco zbytek sítě stále využívá stávající páteřní síť 4G. Nesamostatné sítě 5G staví především na již existující infrastruktuře, což znamená, že bezpečnost budoucích sítí 5G je do jisté míry dána již existujícím síťovým vybavením a konfigurací tohoto vybavení. Zmírňující opatření by se proto měla vztahovat i na sítě 4G, o které se zavádění sítí 5G opírá.

(155)V zájmu řešení důležitých bezpečnostních výzev v sítích 5G provedly členské státy v rámci skupiny pro spolupráci v oblasti bezpečnosti sítí a informací společně s Komisí a agenturou ENISA koordinované posouzení bezpečnostních rizik sítí 5G na úrovni Unie, v němž zkoumaly technická i netechnická rizika. Toto posouzení zjistilo několik rizik, včetně možných interferencí ze strany třetích zemí nebo aktérů ze třetích zemí prostřednictvím dodavatelského řetězce, a klasifikovalo aktiva do kategorií podle jejich kritičnosti. Toto posouzení by mělo být základem pro definování klíčových aktiv IKT pro komunikační sítě 5G.

(156)S cílem zmírnit rizika zjištěná při koordinovaném posouzení bezpečnostních rizik sítí 5G na úrovni Unie přijala skupina pro spolupráci v oblasti bezpečnosti sítí a informací soubor opatření EU pro kybernetickou bezpečnost sítí 5G, který stanoví strategická a technická opatření. Přestože většina členských států má právní rámce, které umožňují omezení nebo vyloučení vysoce rizikových dodavatelů, jak je doporučeno v souboru opatření pro sítě 5G, jejich uplatňování není jednotné. To vede k tomu, že dodávky pro významný počet míst v sítích 5G v celé Unii zajišťují vysoce rizikoví dodavatelé, jak je uvedeno ve sdělení Komise o provádění souboru opatření pro sítě 5G 69 . Tato situace vytváří zranitelnosti, včetně strategické závislosti a potenciální expozice vůči interferencím ze strany třetích zemí, což by mohlo ovlivnit i budoucí infrastrukturu sítí 6G vybudovanou na stávajících sítích 5G. Roztříštěné provádění doporučeného souboru opatření pro sítě 5G, zejména pokud jde o rozsah omezení pro vysoce rizikové dodavatele, vedlo k rozdílům mezi členskými státy, z nichž vyplývají nerovné podmínky, které rozdělují vnitřní trh a oslabují celkovou bezpečnost sítí. Evropský účetní dvůr na tyto rozdíly upozornil a varoval, že neexistence koordinovaného přístupu narušuje fungování vnitřního trhu. Přetrvávající závislost na vysoce rizikových dodavatelích představuje vážná rizika pro bezpečnost kritické infrastruktury v Unii a mohla by narušit důvěru ve vnitřní trh, neboť nejednotná úroveň bezpečnosti může spotřebitele a podniky odrazovat od využívání produktů a služeb založených na sítích 5G v celé Unii. Je tudíž nezbytné zavést opatření na úrovni Unie, která zajistí harmonizovaný přístup k bezpečnosti sítí 5G.

(157)Pro účely stanovení období postupného vyřazování klíčových aktiv IKT v pevných a družicových sítích elektronických komunikací by Komise měla provést posouzení, v němž zohlední míru bezpečnostních rizik spojených s jednotlivými klíčovými aktivy IKT pevných a družicových sítí, životnost příslušných komponent a hospodářský dopad, který by odstranění těchto komponent mělo na dotčené provozovatele. Na základě výsledků tohoto posouzení může Komise zvážit stanovení různých období postupného vyřazování pro jednotlivá klíčová aktiva IKT a jejich nedílné součásti.

(158)Pro účely účinného dohledu a vymáhání povinností týkajících se poskytovatelů mobilních, pevných a družicových sítí elektronických komunikací by relevantní příslušné orgány podle tohoto nařízení měly zajistit úzkou spolupráci s příslušnými orgány podle [návrhu aktu o digitálních sítích]. Na žádost příslušného orgánu určeného podle tohoto nařízení by měly vnitrostátní regulační orgány nebo případně jiné příslušné orgány pro rádiové spektrum odejmout práva uvedená v článku 9 a článku 20 [návrhu aktu o digitálních sítích], pokud poskytovatel veřejných sítí elektronických komunikací neplní povinnosti podle tohoto nařízení, včetně případů, kdy poskytovatel ve lhůtě stanovené v souladu s tímto nařízením postupně nevyřadí z provozu klíčových aktiv IKT komponenty IKT nebo součásti zahrnující komponenty IKT od vysoce rizikových dodavatelů.

(159)Vzhledem k rozdílům ve vnitrostátních strukturách správy a řízení by členské státy měly určit nebo zřídit jeden nebo více příslušných orgánů odpovědných za opatření v oblasti dohledu a prosazování pravidel podle tohoto nařízení.

(160)Příslušné orgány by měly poskytovat podporu subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, při plnění jejich povinností podle tohoto nařízení. Za tímto účelem by Komise měla posoudit, zda jsou dodavatelé, na které se mohou vztahovat konkrétní zákazy, usazeni ve třetí zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti, nebo zda jsou kontrolováni takovou třetí zemí nebo subjektem usazeným v takové třetí zemi nebo státním příslušníkem takové třetí země. Příslušné orgány by měly úzce spolupracovat s Komisí a dalšími příslušnými orgány v rámci sítě zřízené podle tohoto nařízení. Na základě posouzení Komise by příslušné orgány měly sdílet relevantní informace týkající se vysoce rizikových dodavatelů s příslušnými subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555. Od subjektů se neočekává, že budou ověřovat, zda je dodavatel pod zahraniční kontrolou, ale mohou se plně spolehnout na informace obdržené od příslušných orgánů. Příslušné orgány by měly zajistit, aby těmto subjektům nevznikla zbytečná administrativní zátěž.

(161)Aby bylo zajištěno účinné dodržování předpisů, mělo by toto nařízení stanovit opatření v oblasti dohledu a prosazování, jejichž prostřednictvím mohou příslušné orgány vykonávat dohled nad subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555. Pokud příslušné orgány vykonávají své úkoly v oblasti dohledu a prosazování pravidel ve vztahu k těmto subjektům, neměly by překračovat rámec toho, co je nezbytné, a měly by postupovat přiměřeně zjištěným rizikům.

(162)Aby bylo prosazování účinné a jednotné v celé Unii, je nezbytné stanovit vymáhací pravomoci, které mohou příslušné orgány vykonávat v případě porušení povinností stanovených v tomto nařízení. Při výkonu těchto vymáhacích pravomocí by měly příslušné orgány věnovat náležitou pozornost řadě faktorů včetně povahy, závažnosti a doby trvání porušení povinností, způsobené hmotné či nehmotné újmy, úmyslné nebo nedbalostní povahy porušení povinností, opatření přijatých za účelem zamezení nebo zmírnění způsobené hmotné či nehmotné újmy, míry odpovědnosti nebo jakéhokoli relevantního porušení v minulosti, míry spolupráce s příslušným orgánem a jakýchkoli jiných přitěžujících nebo polehčujících okolností. Opatření v oblasti vymáhání, včetně sankcí, by měla být přiměřená a jejich uložení by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listiny základních práv Evropské unie, včetně práva na účinnou právní ochranu a spravedlivý proces, presumpce neviny a práv na obhajobu.

(163)Je důležité rovněž stanovit pravomoc ukládat penále s cílem přimět subjekt, jehož druh je uveden v přílohách I nebo II směrnice (EU) 2022/2555, aby přestal porušovat toto nařízení v souladu s předchozím rozhodnutím příslušného orgánu.

(164) S cílem zajistit účinné prosazování povinností stanovených v tomto nařízení by každý příslušný orgán měl mít pravomoc ukládat nebo požadovat uložení sankcí.

(165)Pro účely uložení sankcí subjektu, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555 a který je podnikem, by se podnikem měl rozumět podnik v souladu s články 101 a 102 Smlouvy o fungování EU. Je-li pokuta uložena osobě, která není podnikem, měl by příslušný orgán při rozhodování o odpovídající výši sankcí zohlednit obecnou úroveň příjmů v daném členském státě, jakož i ekonomickou situaci dané osoby. Zda a do jaké míry by se měly sankce vztahovat na veřejné orgány, by měl určit členský stát. Uložením sankce by nemělo být dotčeno uplatňování jiných pravomocí příslušných orgánů.

(166)Za účelem zajištění jednotných podmínek pro provádění tohoto nařízení by měly být Komisi svěřeny prováděcí pravomoci, pokud jde o přijímání prováděcích aktů, kterými se stanoví podrobná pravidla týkající se poplatků vybíraných agenturou ENISA, prováděcích aktů, kterými se stanoví evropské schéma certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů, prováděcích aktů, kterými se stanoví společné zásady a referenční ustanovení určená ke stanovení prvků napříč evropskými schématy certifikace kybernetické bezpečnosti, prováděcích aktů, kterými se stanoví postupy pro modely předchozího schválení nebo obecného pověření, prováděcích aktů o uznávání certifikátů kybernetické bezpečnosti třetí země nebo mezinárodní organizace za rovnocenné evropským certifikátům kybernetické bezpečnosti, prováděcích aktů, kterými se stanoví plán vzájemného hodnocení, prováděcích aktů, kterými se stanoví postupy, včetně postupů v oblasti přeshraniční spolupráce, pro autorizaci subjektů posuzování shody, prováděcích aktů, kterými se stanoví okolnosti, formáty a postupy pro oznamování subjektů posuzování shody, prováděcích aktů, kterými se třetí země označuje za zemi vzbuzující obavy z hlediska kybernetické bezpečnosti dodavatelských řetězců IKT, prováděcích aktů, kterými se určují klíčová aktiva IKT používaná pro výrobu produktů nebo poskytování služeb subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, prováděcích aktů, kterými se stanoví, že subjekty působící ve vysoce kritických odvětvích a v dalších kritických odvětvích podléhají zvláštním zmírňujícím opatřením, a kterými se stanoví lhůty pro postupné vyřazování komponent IKT nebo součástí zahrnujících komponenty IKT dodávaných vysoce rizikovými dodavateli, prováděcích aktů, kterými se dále upřesňují podmínky týkající se výjimky pro subjekty usazené ve třetí zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti, nebo kontrolované subjekty z takové třetí země, jakož i příjímání prováděcích aktů, kterými se stanoví podrobná pravidla týkající se poplatků vybíraných Komisí. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 a měl by být použit přezkumný postup. Za účelem zajištění jednotných podmínek pro provádění tohoto nařízení by měly být Komisi svěřeny prováděcí pravomoci, pokud jde o sestavení seznamu vysoce rizikových dodavatelů relevantního pro některá opatření stanovená v tomto nařízení.

(167)Je nezbytné, aby evropská schémata certifikace kybernetické bezpečnosti odrážela nejnovější technologický vývoj, nové související hrozby a přijetí nových právních předpisů Unie, které stanoví prokazování shody a předpoklad shody s příslušnými požadavky těchto právních předpisů na kybernetickou bezpečnost prostřednictvím evropské certifikace kybernetické bezpečnosti. Z těchto důvodů by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU za účelem doplnění nebo změny cílů v oblasti bezpečnosti, které evropská schémata certifikace kybernetické bezpečnosti sledují. Podobně by v zájmu rámce pro důvěryhodné dodavatelské řetězce IKT měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU za účelem změny přílohy II tohoto nařízení s cílem přizpůsobit ji technologickému vývoji. Je obzvláště důležité, aby Komise vedla v rámci přípravné činnosti odpovídající konzultace, mimo jiné na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů. Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci by Evropský parlament a Rada měly obdržet veškeré dokumenty současně s odborníky z členských států a jejich odborníci by měli mít automaticky přístup na zasedání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

(168)Působení agentury ENISA by mělo podléhat pravidelnému a nezávislému hodnocení. Toto hodnocení by mělo zohledňovat cíle agentury ENISA a relevantnost jejích úkolů, zejména pak jejích úkolů souvisejících s operativní spoluprací na úrovni Unie. V případě přezkumu by Komise měla vyhodnotit, jakým způsobem lze posílit úlohu agentury ENISA jako referenčního subjektu pro poradenství a odborné znalosti.

(169)Prováděcí nařízení Komise (EU) 2024/482 stanoví pravidla pro přijetí evropského schématu certifikace kybernetické bezpečnosti založeného na společných kritériích („EUCC“). EUCC je první a jediné evropské schéma certifikace kybernetické bezpečnosti přijaté podle nařízení (EU) 2019/881. Týká se certifikace produktů IKT, včetně produktů patřících do technických oblastí „čipové karty a podobná zařízení“ a „hardwarová zařízení s bezpečnostními schránkami“, a profilů ochrany (jako procesů IKT). Je proto nezbytné zajistit pokračování certifikačních činností i činností agentury.

(170)V souladu s čl. 42 odst. 2 nařízení (EU) 2018/1725 70 byl konzultován evropský inspektor ochrany údajů a Evropský sbor pro ochranu osobních údajů a dne [datum] bylo vydáno jejich společné stanovisko.

(171)Nařízení (EU) 2019/881 by mělo být zrušeno.

(172)Jelikož cílů tohoto nařízení nemůže být dosaženo uspokojivě členskými státy, ale spíše jich, z důvodu jejich rozsahu a účinků, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení těchto cílů,

PŘIJALY TOTO NAŘÍZENÍ:

HLAVA I 
OBECNÁ USTANOVENÍ

Článek 1
Předmět a oblast působnosti

1.Toto nařízení stanoví:

a)poslání, cíle, úkoly a organizační aspekty agentury Agentury Evropské unie pro kybernetickou bezpečnost (dále také „ENISA“);

b)rámec pro zavedení evropských schémat certifikace kybernetické bezpečnosti, jehož účelem je zajistit odpovídající úroveň kybernetické bezpečnosti produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů v Unii a zabránit roztříštění vnitřního trhu v oblasti schémat certifikace kybernetické bezpečnosti v Unii, a

c)rámec pro důvěryhodné dodavatelské řetězce IKT.

2.Rámec uvedený v odst. 1 písm. b) se použije, aniž jsou dotčena zvláštní ustanovení v jiných právních aktech Unie týkající se dobrovolné nebo povinné certifikace.

3.Rámec uvedený v odst. 1 písm. c) se použije na veřejné nebo soukromé subjekty, jejichž druh je uveden v příloze I nebo II směrnice (EU) 2022/2555, které poskytují své služby nebo vykonávají své činnosti v Unii.

4.Tímto nařízením nejsou dotčeny základní funkce členských států, včetně zajištění územní celistvosti státu, udržování veřejného pořádku a ochrany národní bezpečnosti. Zejména národní bezpečnost zůstává výhradní odpovědností každého členského státu.

Článek 2
Definice

Pro účely tohoto nařízení se rozumí:

1)„kybernetickou bezpečností“ činnosti nezbytné k ochraně sítě a informačních systémů, uživatelů těchto systémů a jiných osob dotčených kybernetickými hrozbami;

2)„subjekty Unie“ subjekty Unie ve smyslu čl. 3 odst. 1 nařízení (EU, Euratom) 2023/2841;

3)„autorizovaným poskytovatelem potvrzení“ veřejný nebo soukromý subjekt, pro který agentura ENISA přijala rozhodnutí opravňující tento subjekt k vydávání evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti, jak je stanoveno v evropském schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti;

4)„evropským potvrzením o individuálních dovednostech v oblasti kybernetické bezpečnosti“ záznam v digitální nebo fyzické podobě, který potvrzuje, že daná fyzická osoba zná, chápe a je schopna plnit úkoly spojené s profilem role nebo podmnožinou profilu role podle Evropského rámce dovedností v oblasti kybernetické bezpečnosti (dále také „ECSF“), a to na základě posouzení stanoveného v evropském schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti;

5)„evropským schématem potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti“ komplexní soubor pravidel, požadavků, norem a postupů stanovených agenturou ENISA a souvisejících s profilem role podle Evropského rámce dovedností v oblasti kybernetické bezpečnosti nebo s jeho podmnožinou, které se vztahují na autorizované poskytovatele potvrzení a jsou jimi uplatňovány;

6)„sítí a informačním systémem“ síť a informační systém ve smyslu čl. 6 bodu 1 směrnice (EU) 2022/2555;

7)„národní strategií kybernetické bezpečnosti“ národní strategie kybernetické bezpečnosti ve smyslu čl. 6 bodu 4 směrnice (EU) 2022/2555;

8)„incidentem“ incident ve smyslu čl. 6 bodu 6 směrnice (EU) 2022/2555;

9)„rozsáhlým kybernetickým bezpečnostním incidentem“ rozsáhlý kybernetický bezpečnostní incident ve smyslu čl. 6 bodu 7 směrnice (EU) 2022/2555;

10)„řešením incidentu“ řešení incidentu ve smyslu čl. 6 odst. 8 směrnice (EU) 2022/2555;

11)„kybernetickou hrozbou“ jakákoli potenciální okolnost, událost nebo čin, které by mohly poškodit, narušit nebo jinak nepříznivě ovlivnit síť a informační systémy, jejich uživatele a další osoby;

12)„evropským schématem certifikace kybernetické bezpečnosti“ komplexní soubor pravidel, technických požadavků, norem a postupů, které jsou stanoveny na úrovni Unie a které se uplatňují na certifikaci nebo posuzování shody určitých produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů;

13)„vnitrostátním schématem certifikace kybernetické bezpečnosti“ komplexní soubor pravidel, technických požadavků, norem a postupů, které vyvinuly a přijaly vnitrostátní veřejné orgány a které se uplatňují na certifikaci nebo na posuzování shody produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů spadajících do oblasti působnosti konkrétního schématu;

14)„evropským certifikátem kybernetické bezpečnosti“ dokument vydaný příslušným orgánem potvrzující, že byl hodnocen soulad daného produktu, služby nebo procesu IKT nebo řízených bezpečnostních služeb nebo kybernetické pozice subjektu s konkrétními bezpečnostními požadavky stanovenými v evropském schématu certifikace kybernetické bezpečnosti;

15)„EU prohlášením o shodě“ dokument vydaný výrobcem nebo poskytovatelem produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb nebo subjektem, jehož kybernetická pozice podléhá certifikaci, v němž se uvádí, že splnění požadavků odpovídajících úrovni záruky „základní“ stanovené v evropském schématu certifikace kybernetické bezpečnosti bylo prokázáno prostřednictvím vlastního posuzování shody;

16)„produktem IKT“ prvek nebo skupina prvků sítě nebo informačního systému;

17)„službou IKT“ služba spočívající plně nebo převážně v přenosu, ukládání, získávání či zpracovávání informací prostřednictvím sítí a informačních systémů;

18)„procesem IKT“ soubor činností prováděných za účelem navrhování, vývoje, poskytování nebo údržby produktu nebo služby IKT;

19)„řízenou bezpečnostní službou“ služba poskytovaná třetí straně spočívající v provádění činností souvisejících s řízením kybernetických bezpečnostních rizik nebo v poskytování pomoci při takových činnostech, jako je řešení incidentů, penetrační testování, bezpečnostní audity a konzultační činnost, včetně odborného poradenství, které souvisí s technickou podporou;

20)„akreditací“ akreditace ve smyslu čl. 2 bodu 10 nařízení (ES) č. 765/2008;

21)„vnitrostátním akreditačním orgánem“ vnitrostátní akreditační orgán ve smyslu čl. 2 bodu 11 nařízení (ES) č. 765/2008;

22)„posuzováním shody“ posuzování shody ve smyslu čl. 2 bodu 12 nařízení (ES) č. 765/2008;

23)„subjektem posuzování shody“ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008;

24)„normou“ norma ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 71 ;

25)„technickou specifikací“ technická specifikace ve smyslu čl. 2 bodu 4 nařízení (EU) č. 1025/2012;

26)„harmonizovanou normou“ harmonizovaná norma ve smyslu čl. 2 bodu 1 písm. c) nařízení (EU) č. 1025/2012;

27)„úrovní záruky“ podklad pro důvěru, že produkt, služba nebo proces IKT, řízená bezpečnostní služba nebo kybernetická pozice subjektu splňuje bezpečnostní požadavky konkrétního evropského schématu certifikace kybernetické bezpečnosti, přičemž uvádí, na jakou úroveň bylo hodnocení produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu provedeno, avšak jako taková neměří bezpečnost dotčeného produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu;

28)„vlastním posuzováním shody“ úkon prováděný výrobcem nebo poskytovatelem produktů, služeb nebo procesů IKT, řízených bezpečnostních služeb nebo subjektem, jehož kybernetická pozice podléhá certifikaci, jímž se vyhodnocuje, zda tyto produkty, služby nebo procesy IKT, řízené bezpečnostní služby nebo kybernetická pozice subjektu splňují požadavky konkrétního evropského schématu certifikace kybernetické bezpečnosti;

29)„kybernetickou pozicí subjektů“ úroveň kybernetické bezpečnosti subjektů s ohledem na konkrétní bezpečnostní požadavky;

30)„modelem předchozího schválení“ model, podle kterého může subjekt posuzování shody vydat evropský certifikát kybernetické bezpečnosti na základě posouzení vnitrostátním orgánem certifikace kybernetické bezpečnosti v rámci konkrétního procesu certifikace podle příslušného schématu;

31)„modelem obecného pověření“ model, podle kterého může subjekt posuzování shody vydat evropský certifikát kybernetické bezpečnosti na základě toho, že jej vnitrostátní orgán certifikace kybernetické bezpečnosti pověří certifikačními činnostmi;

32)„týmem pro reakce na počítačové bezpečnostní incidenty“ nebo „CSIRT“ tým CSIRT určený nebo zřízený podle článku 10 směrnice (EU) 2022/2555;

33)„komponentami IKT“ produkty, služby nebo procesy IKT, které mohou být použity při provozu aktiv IKT;

34)„aktivy IKT“ softwarová nebo hardwarová aktiva v síti a informačních systémech používaná subjektem, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555;

35)„klíčovými aktivy IKT“ aktiva IKT určená v souladu s článkem 102;

36)„sítí elektronických komunikací“ síť elektronických komunikací ve smyslu čl. 2 bodu 1 nařízení (EU) XX/XXXX [návrh aktu o digitálních sítích];

37)„kontrolou“ schopnost přímo nebo nepřímo vykonávat rozhodující vliv na právní subjekt prostřednictvím jednoho nebo více zprostředkujících právních subjektů;

38)„provozovnou“ účinný výkon činnosti prostřednictvím stálých struktur v zemi, kde má subjekt ústřední správu nebo hlavní místo podnikání;

39)„vysoce rizikovým dodavatelem“ kterýkoli z těchto subjektů:

a)subjekt usazený ve třetí zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti, určené v souladu s článkem 100, nebo kontrolovaný takovou třetí zemí, subjektem usazeným v takové třetí zemi nebo státním příslušníkem takové třetí země;

b)subjekt určený v souladu s čl. 103 odst. 7 a subjekty tímto subjektem kontrolované;

40)„dodavatelským řetězcem IKT“ souhrn služeb, produktů a procesů IKT, které zahrnují činnosti a aktéry zapojené do všech fází před zpřístupněním produktu nebo poskytnutím služby na trhu;

41)„třetí zemí“ třetí země ve smyslu čl. 3 bodu 4 nařízení Evropského parlamentu a Rady (EU) 2023/2675 72 ;

42)„netechnickým rizikem“ pravděpodobnost, že dodavatel bude vystaven vlivu třetí země, který může způsobit ztrátu nebo narušení poskytované služby nebo ohrozit produkt vyrobený subjektem nebo vést k exfiltraci dat, a to i za účelem špionáže nebo generování příjmů;

43)„významným netechnickým kybernetickým bezpečnostním rizikem“ netechnické kybernetické bezpečnostní riziko, o němž lze předpokládat, že u něj existuje vysoká pravděpodobnost vzniku incidentu, který by mohl vést k závažnému negativnímu dopadu, mimo jiné způsobením značné hmotné nebo nehmotné ztráty nebo narušení;

44)„funkcemi jádra mobilních sítí elektronických komunikací“ ústřední prvek architektury mobilních sítí elektronických komunikací, který propojuje hlavní síťové uzly s internetem a řídí základní systémové funkce zahrnující autentizaci uživatelských zařízení, funkce zákonného odposlechu, bezpečnostní brány (SeGW) na okraji sítě, signalizační bezpečnostní funkce, roaming a správu relací, přenos dat v uživatelské a řídicí rovině, správu politik přístupu, registraci a autorizaci síťových služeb, ukládání dat koncových uživatelů a síťových dat, kritické síťové služby včetně systému překladu doménových jmen (DNS), propojení s mobilními sítěmi třetích stran, vystavení funkcí jádra sítě externím aplikacím a výběr a správu slicingu;

45)„virtualizací síťových funkcí (NFV) a správou a orchestrací sítě (MANO) mobilních sítí elektronických komunikací“ softwarový a architektonický rámec zajišťující řízení životního cyklu, orchestraci a automatizaci virtualizovaných síťových funkcí (VNF), cloudově nativních síťových funkcí (CNF) a výběr a správu slicingu v rámci mobilních sítí elektronických komunikací;

46)„rádiovou přístupovou sítí (RAN) mobilních sítí elektronických komunikací“ síť, která připojuje mobilní uživatelská zařízení k jádru sítě, zahrnuje základnové stanice (eNodeB pro 4G, gNodeB pro 5G), jednotky „remote radio heads“ (RRH) a jednotky základního pásma (BBU), aktivní anténní systémy (AAS) a případně disagregované komponenty rádiové přístupové sítě (RAN), jako jsou centralizované jednotky (CU), distribuované jednotky (DU), a software RAN intelligent controller (RIC);

47)„funkcemi jádra pevných sítí elektronických komunikací“ páteřní inteligence sítě, která propojuje hlavní uzly a zajišťuje řadu základních funkcí, včetně autentizace a autorizace uživatelů (AAA), funkcí zákonného odposlechu (LI), systému překladu doménových jmen (DNS) a služeb přidělování IP adres (DHCP), správy politik přístupu, ukládání dat koncových uživatelů a síťových informací, přepínání a směrování IP a mezinárodních internetových bran (IIG);

48)„systémem správy sítě pevných sítí elektronických komunikací“ všechny centralizované platformy a softwarové komponenty nezbytné pro provoz, správu, údržbu a konfiguraci (OAM&P) sítě a sledování informací souvisejících se sítí;

49)„transportními a přenosovými funkcemi pevných sítí elektronických komunikací“ všechny komponenty nezbytné pro připojení k páteřní síti a agregaci provozu v celé síti, včetně optických přenosových zařízení, mikrovlnných spojů a podmořských kabelových systémů, které zahrnují podvodní zařízení, jakož i koncová zařízení podmořských linek (SLTE) a fyzická zařízení pozemních stanic;

50)„přístupovou sítí pevných sítí elektronických komunikací“ síť propojující prostory koncového uživatele s agregační nebo páteřní sítí, včetně optického linkového zakončení (OLT) a optického síťového zakončení (ONT) u optických sítí; modemového koncového systému pro koaxiální rozvod (CMTS) a kabelových modemů pro koaxiální kabelové sítě a komponent pevného bezdrátového přístupu, pokud se používají jako náhrada pevné linky.

HLAVA II 
AGENTURA EVROPSKÉ UNIE PRO KYBERNETICKOU BEZPEČNOST

Kapitola I 
Poslání a cíle

Článek 3
Poslání agentury ENISA

1.Posláním agentury ENISA je podpora členských států a subjektů Unie při dosahování vysoké úrovně kybernetické bezpečnosti, kybernetické odolnosti a důvěry v rámci Unie.

2.Agentura ENISA funguje jako referenční bod pro poradenství a odborné znalosti v oblasti kybernetické bezpečnosti pro členské státy i další zúčastněné strany v Unii.

3.Agentura ENISA přispívá plněním úkolů, které jsou jí uloženy tímto nařízením, ke snížení roztříštěnosti vnitřního trhu.

4.Agentura ENISA plní úkoly, které jí byly svěřeny právními akty Unie.

5.Agentura ENISA rozvíjí vlastní schopnosti, včetně technických a lidských schopností a dovedností, které jsou nezbytné k plnění úkolů, které jsou jí uloženy tímto nařízením.

Článek 4
Cíle agentury ENISA

1.Agentura ENISA je odborným střediskem pro kybernetickou bezpečnost díky své nezávislosti, vědecké a technické kvalitě poradenství, příspěvků a pomoci, které poskytuje, a informací, které šíří, transparentnosti svých operativních postupů a metod práce a náležité péči při plnění svých úkolů.

2.Agentura ENISA členským státům a případně subjektům Unie napomáhá při provádění horizontálních a odvětvových politik a právních předpisů Unie týkajících se kybernetické bezpečnosti, včetně činností v oblasti dozoru nad trhem.

3.Agentura ENISA poskytuje Komisi své odborné znalosti a je jí nápomocna při vytváření politik a právních předpisů Unie týkajících se kybernetické bezpečnosti.

4.Agentura ENISA podporuje budování kapacit a připravenost v celé Unii tím, že členským státům a subjektům Unie napomáhá prostřednictvím Služby kybernetické bezpečnosti pro orgány, instituce a jiné subjekty Unie (dále jen „CERT-EU“) uvedené v kapitole IV nařízení (EU, Euratom) 2023/2841 a veřejným a soukromým zúčastněným stranám při zvyšování ochrany jejich sítí a informačních systémů, rozvoji a zlepšování kybernetické odolnosti a schopností reakce.

5.Agentura ENISA přispívá k provádění Akademie dovedností v oblasti kybernetické bezpečnosti a k růstu pracovních sil v oboru kybernetické bezpečnosti v Unii podporou úsilí o rozvoj přenositelnosti dovedností v celé Unii, mimo jiné prostřednictvím udržování a využívání ECSF a vývoje, udržování a využívání evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti v souladu s kapitolou II oddílem 4 této hlavy, a zajištěním poskytování odborné přípravy v souladu s čl. 6 odst. 8.

6.Agentura ENISA podporuje spolupráci v záležitostech týkajících se kybernetické bezpečnosti, včetně sdílení informací a koordinace na úrovni Unie mezi členskými státy, subjekty Unie ve smyslu nařízení (EU, Euratom) 2023/2841 a příslušnými zúčastněnými stranami ze soukromého i veřejného sektoru.

7.Agentura ENISA přispívá ke zvyšování schopností v oblasti kybernetické bezpečnosti na úrovni Unie s cílem podporovat opatření členských států v oblasti předcházení kybernetickým hrozbám a reakce na ně.

8.Agentura ENISA podporuje operativní spolupráci na úrovni Unie, mimo jiné tím, že přispívá ke sdílenému povědomí o situaci v oblasti kybernetických hrozeb a incidentů mezi členskými státy a ve spolupráci se službou CERT-EU mezi subjekty Unie.

9.Agentura ENISA úzce spolupracuje s Europolem, týmy CSIRT a dalšími příslušnými vnitrostátními orgány s cílem zlepšit připravenost v oblasti kybernetické bezpečnosti a reakci na ransomwarové incidenty.

10.Agentura ENISA přispívá k vytvoření a udržování evropského rámce pro certifikaci kybernetické bezpečnosti v souladu s hlavou III tohoto nařízení. Agentura ENISA prosazuje využívání evropské certifikace kybernetické bezpečnosti, aby se zabránilo roztříštěnosti vnitřního trhu.

11.Agentura ENISA přispívá k harmonizaci jednotného digitálního trhu tím, že se podílí na normalizační činnosti související s politikami Unie v oblasti kybernetické bezpečnosti a vypracovává technické specifikace.

12.Agentura ENISA prosazuje vysokou úroveň informovanosti o kybernetické bezpečnosti mezi organizacemi a podniky.

Kapitola II 
Úkoly

Oddíl 1 
Podpora provádění politiky a práva Unie

Článek 5
Podpora provádění politiky a práva Unie

1.Agentura ENISA přispívá k provádění politiky a práva Unie tím, že:

a)členským státům napomáhá soudržně provádět politiky a právo Unie v oblasti kybernetické bezpečnosti, mimo jiné vydáváním technických pokynů a zpráv, poskytováním poradenství a sdílením osvědčených postupů a usnadňováním výměny osvědčených postupů mezi orgány příslušnými pro tuto oblast;

b)podporuje sdílení informací uvnitř jednotlivých odvětví a mezi odvětvími, zejména pokud jde o odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555 a o produkty s digitálními prvky, které spadají do oblasti působnosti nařízení (EU) 2024/2847, a to poskytováním osvědčených postupů a pokynů k dostupným nástrojům a postupům;

c)na žádost Komise je členským státům nápomocna poskytováním podpory konkrétně navržené pro odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555, například poskytováním technických pokynů, včetně pokynů k opatřením pro řízení kybernetických bezpečnostních rizik, nástrojů pro hodnocení vyspělosti kybernetické bezpečnosti a příruček pro reakci na incidenty, nebo podpory při zavádění zásad „bezpečnosti již od fáze návrhu“ pro produkty s digitálními prvky v souladu s nařízením (EU) 2024/2847 s cílem usnadnit zlepšování úrovně vyspělosti kybernetické bezpečnosti a dodržování právních předpisů Unie týkajících se kybernetické bezpečnosti;

d)přispívá k práci skupiny pro spolupráci zřízené podle čl. 14 odst. 1 směrnice (EU) 2022/2555 (dále jen „skupina pro spolupráci v oblasti bezpečnosti sítí a informací“), skupiny pro evropskou spolupráci v oblasti digitální identity zřízené podle čl. 46e odst. 1 nařízení (EU) č. 910/2014, Evropské skupiny pro certifikaci kybernetické bezpečnosti (dále také „ECCG“) uvedené v článku 90 tohoto nařízení a skupiny pro správní spolupráci zřízené podle čl. 52 odst. 15 nařízení (EU) 2024/2847;

e)je členským státům a příslušným subjektům Unie nápomocna při tvorbě a prosazování politik kybernetické bezpečnosti souvisejících se zachováním obecné dostupnosti a integrity veřejného jádra otevřeného internetu;

f)v souladu s nařízením (EU) 2024/2847 poskytuje členským státům a Komisi technické poradenství a podporu v záležitostech souvisejících s prováděním uvedeného nařízení;

g)je členským státům nápomocna při provádění vzájemné pomoci a při usnadňování takových postupů spolupráce pro základní a důležité subjekty podle [článku 37a směrnice (EU) 2022/2555];

h)na žádost Evropského sboru pro ochranu osobních údajů poskytuje poradenství ohledně provádění konkrétních aspektů politiky a práva Unie v oblasti kybernetické bezpečnosti týkajících se ochrany údajů a soukromí.

2.Agentura ENISA přispívá ke koordinovaným posouzením kybernetických bezpečnostních rizik na úrovni Unie, včetně posouzení prováděných podle článku 22 směrnice (EU) 2022/2555.

3.Agentura ENISA vydává pokyny týkající se interoperability síťových a informačních systémů používaných pro sdílení informací, a to i s ohledem na přeshraniční kybernetická centra podle čl. 6 odst. 3 nařízení (EU) 2025/38.

4.Agentura ENISA je členem skupiny pro spolupráci v oblasti bezpečnosti sítí a informací podle čl. 14 odst. 3 směrnice (EU) 2022/2555.

5.Agentura ENISA na žádost Komise poskytuje odborné znalosti, technické poradenství, informace nebo analýzy nebo provádí přípravné práce v konkrétních otázkách kybernetické bezpečnosti s cílem poskytovat Komisi informace pro tvorbu politik a monitorování provádění právních předpisů Unie.

Článek 6
Budování kapacit

Agentura ENISA je nápomocna:

1)členským státům v jejich úsilí o zdokonalování prevence, odhalování a analýzy kybernetických hrozeb a incidentů a schopnosti na ně reagovat, a to tím, že jim poskytuje poznatky a odborné znalosti;

2)členským státům, na jejich žádost, při dobrovolném vytváření a provádění politik zveřejňování zranitelností;

3)v souladu s nařízením (EU, Euratom) 2023/2841 službě CERT-EU a interinstitucionálnímu výboru pro kybernetickou bezpečnost v jejich úsilí o podporu subjektů Unie při posilování jejich kybernetické bezpečnosti, zlepšování prevence, odhalování a analýzy kybernetických hrozeb a incidentů a zlepšování jejich schopnosti reagovat na tyto kybernetické hrozby a incidenty;

4)členským státům na jejich žádost při budování národních týmů CSIRT podle čl. 10 odst. 10 směrnice (EU) 2022/2555;

5)členským státům na jejich žádost při vypracovávání nebo aktualizování národní strategie kybernetické bezpečnosti a klíčových ukazatelů výkonnosti pro posuzování této strategie v případech, v nichž to vyžaduje čl. 7 odst. 4 směrnice (EU) 2022/2555, a za účelem prosazování osvědčených postupů podporuje šíření těchto strategií a bere na vědomí pokrok při jejich provádění v Unii;

6)orgánům Unie na jejich žádost při tvorbě a přezkumu strategií Unie týkajících se kybernetické bezpečnosti tím, že podporuje jejich šíření a sleduje pokrok při jejich provádění;

7)vnitrostátním týmům CSIRT při zvyšování úrovně jejich schopností, mimo jiné podporou dialogu a výměnou informací za účelem zajištění toho, aby s ohledem na aktuální stav znalostí každý tým CSIRT vykazoval společný soubor minimálních schopností a pracoval v souladu s osvědčenými postupy;

8)členským státům, subjektům Unie a zúčastněným stranám z veřejného a soukromého sektoru v jejich úsilí o posuzování, růst a zdokonalování pracovních sil v oblasti kybernetické bezpečnosti, a to i rozvíjením, udržováním a podporou využívání příslušných nástrojů, jako je ECSF a evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti v souladu s oddílem 4 této kapitoly;

9)příslušným veřejným subjektům i zúčastněným stranám ze soukromého sektoru prostřednictvím cílených školení, případně ve spolupráci se zúčastněnými stranami;

10)skupině pro spolupráci v oblasti bezpečnosti sítí a informací při výměně osvědčených postupů a informací, zejména v souvislosti s prováděním směrnice (EU) 2022/2555 podle čl. 14 odst. 4 písm. c) uvedené směrnice;

11)orgánům dozoru nad trhem určeným podle nařízení (EU) 2024/2847 při jejich činnostech, jejichž cílem je zajistit účinné provádění uvedeného nařízení, včetně podpory při poskytování pokynů a technického poradenství hospodářským subjektům, podpory při kontrolách dodržování předpisů, hodnocení rizik, společných činnostech a společných kontrolních akcích, jak je stanoveno v nařízení (EU) 2024/2847;

12)členům Evropské skupiny pro certifikaci kybernetické bezpečnosti při výměně osvědčených postupů a na žádost jednotlivých členských států pomáhá vnitrostátním orgánům certifikace kybernetické bezpečnosti v souvislosti s prováděním evropských schémat certifikace kybernetické bezpečnosti na vnitrostátní úrovni;

13)veřejným orgánům a zúčastněným stranám ze soukromého sektoru v souvislosti s činnostmi posuzování shody a hodnocení, včetně subjektů posuzování shody a malých a středních podniků, s cílem podpořit spolehlivý, konkurenceschopný, inkluzivní a harmonizovaný ekosystém posuzování shody podporující provádění nařízení (EU) 2024/2847 a evropský rámec pro certifikaci kybernetické bezpečnosti;

14)Evropskému průmyslovému, technologickému a výzkumnému centru kompetencí pro kybernetickou bezpečnost (ECCC) a síti národních koordinačních center zřízeným podle nařízení (EU) 2021/887, a to sdílením informací o stávajících a vznikajících rizicích a kybernetických hrozbách, včetně rizik a hrozeb spojených s novými a vznikajícími informačními a komunikačními technologiemi;

15)členským státům poskytováním technické podpory, a to i pro zřizování a provozování regulačních sandboxů v oblasti kybernetické bezpečnosti v souladu s příslušnými právními předpisy Unie.

Článek 7
Zvyšování povědomí a rezervoár talentů

Agentura ENISA napomáhá členským státům v jejich úsilí o zvyšování povědomí o politikách a právních předpisech Unie týkajících se kybernetické bezpečnosti a podporuje jejich viditelnost tím, že vyvíjí použitelné nástroje a pokyny. Agentura ENISA podporuje iniciativy zaměřené na rozšíření evropského rezervoáru talentů v oblasti kybernetické bezpečnosti, zejména koordinací výběrových řízení.

Článek 8
Znalost a analýzy trhu

1.Agentura ENISA provádí a šíří analýzy hlavních tržních trendů poptávky i nabídky na trhu kybernetické bezpečnosti, zejména v souvislosti s oblastmi, v nichž existují nebo se plánují evropská schémata certifikace kybernetické bezpečnosti, s odvětvími uvedenými v přílohách I a II směrnice (EU) 2022/2555 a s kategoriemi produktů, na něž se vztahuje nařízení (EU) 2024/2847, včetně příloh III a IV uvedeného nařízení.

2.Agentura ENISA provádí a šíří analýzy technologických trendů v oblasti kybernetické bezpečnosti, zejména pokud jde o činnosti a subjekty spadající do oblasti působnosti směrnice (EU) 2022/2555 a produkty s digitálními prvky spadající do oblasti působnosti nařízení (EU) 2024/2847.

3.Agentura ENISA buduje znalosti a šíří technické poradenství a analýzy týkající se nejmodernějších nástrojů kybernetické bezpečnosti, rámcových norem a osvědčených postupů.

Článek 9
Mezinárodní spolupráce

Agentura ENISA přispívá k úsilí Unie zaměřenému na spolupráci se třetími zeměmi a mezinárodními organizacemi, jakož i na spolupráci v příslušných rámcích mezinárodní spolupráce s cílem prosazovat mezinárodní spolupráci v otázkách týkajících se kybernetické bezpečnosti tím, že:

a)se případně angažuje jako pozorovatel při organizování mezinárodních cvičení, provádí analýzu jejich výsledků a předkládá o nich zprávu správní radě;

b)na žádost Komise usnadňuje výměnu osvědčených postupů se třetími zeměmi a mezinárodními organizacemi;

c)na žádost Komise jí poskytuje odborné znalosti;

d)poskytuje odborné poradenství a podporu Komisi v záležitostech týkajících se mezinárodního uznávání evropských certifikátů kybernetické bezpečnosti v souladu s článkem 87;

e)poskytuje odborné poradenství a podporu Komisi v otázkách týkajících se mezinárodní normalizace a případné spolupráce s příslušnými mezinárodními normalizačními organizacemi ve spolupráci s Evropskou skupinou pro certifikaci kybernetické bezpečnosti zřízenou podle článku 90.

Oddíl 2

Operativní spolupráce

Článek 10
Operativní spolupráce na úrovni Unie

1.Agentura ENISA podporuje operativní spolupráci mezi členskými státy, subjekty Unie prostřednictvím služby CERT-EU, jakož i mezi dalšími zúčastněnými stranami.

2.Agentura ENISA je členem sítě národních týmů CSIRT zřízené podle čl. 15 odst. 1 směrnice (EU) 2022/2555 a zajišťuje sekretariát sítě CSIRT podle čl. 15 odst. 2 směrnice (EU) 2022/2555.

3.Agentura ENISA zajišťuje sekretariát sítě Evropské sítě styčných organizací pro řešení kybernetických krizí (EU-CyCLONe) podle čl. 16 odst. 2 druhého pododstavce směrnice (EU) 2022/2555.

4.Agentura ENISA podporuje technickou a operativní spolupráci mezi členskými státy, zejména prostřednictvím sítě CSIRT a sítě EU-CyCLONe. Tato podpora zahrnuje:

a)poskytování poradenství ohledně zlepšování schopností předcházet incidentům, odhalovat je, reagovat na ně a zotavovat se z nich;

b)na žádost jednoho nebo více členských států poskytování poradenství a posouzení v souvislosti s konkrétním potenciálním nebo probíhajícím incidentem nebo kybernetickou hrozbou, a to i poskytováním odborných znalostí a usnadňováním technického řešení těchto incidentů a podporou dobrovolného sdílení příslušných informací a technických řešení mezi členskými státy;

c)provádění analýz zranitelností, hrozeb a incidentů;

d)na žádost jednoho nebo více členských států poskytování podpory ve vztahu k následným technickým šetřením významných incidentů ve smyslu čl. 23 odst. 3 směrnice (EU) 2022/2555;

e)příspěvek k podpoře koordinovaného řízení rozsáhlých kybernetických bezpečnostních incidentů a krizí na operativní úrovni, zejména formou pomoci síti EU-CyCLONe při přípravě zpráv pro úroveň, na níž se přijímají politická rozhodnutí, a usnadňování včasného sdílení informací mezi sítí CSIRT a sítí EU-CyCLONe.

5.Na žádost členského státu nebo subjektu Unie ve spolupráci se službou CERT-EU podporuje agentura ENISA jednotnou komunikaci s veřejností v souvislosti s incidentem nebo kybernetickou hrozbou.

6.Agentura ENISA podporuje spolupráci mezi členskými státy a prostřednictvím služby CERT-EU mezi subjekty Unie při zavádění nástrojů pro bezpečnou komunikaci. Agentura ENISA používá v rámci sítě CSIRT a sítě EU-CyCLONe nástroje pro bezpečnou komunikaci, které poskytují právní subjekty usazené nebo považované za usazené v Unii a kontrolované členskými státy nebo státními příslušníky členských států.

Článek 11
Sdílené povědomí o situaci v oblasti kybernetické bezpečnosti

1.Pro účely posíleného sdíleného povědomí o situaci v prostředí kybernetických hrozeb a incidentů mezi členskými státy a subjekty Unie agentura ENISA:

a)ve spolupráci se sítí EU-CyCLONe, sítí CSIRT, Komisí, službou CERT-EU, Europolem a dalšími příslušnými subjekty Unie vybuduje úložiště ověřených a spolehlivých operativních informací o kybernetických hrozbách, včetně trendů v oblasti incidentů, taktik, technik a postupů;

b)v souladu s článkem 12 vydává včasná varování týkající se potenciálního nebo probíhajícího významného nebo rozsáhlého incidentu nebo kybernetické hrozby potenciálně přeshraniční povahy, zejména ve vztahu k odvětvím uvedeným v přílohách I a II směrnice (EU) 2022/2555;

c)na žádost sítě CSIRT, sítě EU-CyCLONe nebo Komise poskytuje včasné ad hoc analýzy nových trendů v oblasti incidentů;

d)na žádost členských států nebo Komise poskytuje analýzu nebo jiné informace týkající se skutečného nebo domnělého rizika nebo hrozby v oblasti kybernetické bezpečnosti;

e)poskytuje analýzy a technické poradenství týkající se kybernetických bezpečnostních rizik u produktů s digitálními prvky, mimo jiné na podporu dozoru nad trhem a vypracováním dvouleté odborné zprávy o nových trendech v souladu s čl. 17 odst. 3 nařízení (EU) 2024/2847;

f)vypracovává pravidelnou hloubkovou technickou zprávu o kybernetické bezpečnosti v EU týkající se incidentů a kybernetických hrozeb a poskytuje tuto zprávu Radě, síti EU-CyCLONe, síti CSIRT, Komisi, Evropské službě pro vnější činnost a Europolu;

g)sleduje trendy v oblasti technik, požadavků a dopadu ransomwarových útoků a poskytuje informace o těchto trendech Komisi, síti CSIRT, síti EU-CyCLONe a Europolu.

2.Pro účely posíleného sdíleného povědomí o situaci v prostředí kybernetických hrozeb a incidentů mezi zúčastněnými stranami agentura ENISA:

a)provádí analýzy kybernetických hrozeb, incidentů, trendů, nových technologií a jejich dopadů, včetně pravidelné analýzy zaměřené na odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555 a na příslušné kategorie produktů, na které se vztahuje nařízení (EU) 2024/2847;

b)ve spolupráci s Komisí a případně se sítí CSIRT vydává poradenství, pokyny a osvědčené postupy týkající se bezpečnosti sítí a informačních systémů, zejména bezpečnosti infrastruktur podporujících odvětví uvedená v přílohách I a II směrnice (EU) 2022/2555;

c)provádí dlouhodobé strategické analýzy kybernetických hrozeb a incidentů za účelem odhalení nových trendů a pomoci při předcházení incidentům.

3.Agentura ENISA může po dohodě s přispívajícími subjekty uvedenými v odstavci 2 zveřejňovat analýzy, rady, pokyny, osvědčené postupy a zprávy uvedené v odstavci 2.

4.Při provádění činností uvedených v odst. 1 písm. a) až d) a f) a v odstavci 2 agentura ENISA využívá vlastní analýzy a případně informace, které získá při plnění svých úkolů, včetně:

a)informací poskytnutých z veřejně dostupných zdrojů, včetně veřejně známých zranitelností produktů nebo služeb IKT, které jsou k dispozici v Evropské databázi zranitelností zřízené podle čl. 12 odst. 2 směrnice (EU) 2022/2555;

b)informací sdílených členskými státy, subjekty Unie, službou CERT-EU, soukromým sektorem nebo nevládními partnery a třetími zeměmi a mezinárodními organizacemi, s výhradou případných omezení dalšího šíření těchto informací uvedených formou viditelného označení.

5.Agentura ENISA úzce spolupracuje s členskými státy při přípravě odborné zprávy o kybernetické bezpečnosti EU uvedené v odst. 1 písm. e). Zpráva vychází z veřejně dostupných informací, vlastní analýzy agentury ENISA a zpráv, které s agenturou dobrovolně sdílejí mimo jiné týmy CSIRT členských států nebo jednotná kontaktní místa určená podle směrnice (EU) 2022/2555 nebo které jí poskytly Evropské centrum pro boj proti kyberkriminalitě (EC3) a CERT-EU. Po dohodě s přispívajícími subjekty může agentura ENISA zveřejnit souhrnnou verzi zprávy.

Článek 12
Včasná varování

1.Včasná varování uvedená v čl. 11 odst. 1 prvním pododstavci písm. b) tohoto nařízení obsahují příslušné informace týkající se potenciálního nebo probíhajícího významného nebo rozsáhlého incidentu nebo kybernetické hrozby potenciálně přeshraniční povahy, zejména ve vztahu k odvětvím uvedeným v přílohách I a II směrnice (EU) 2022/2555. Tyto informace mohou zahrnovat veřejně známé zranitelnosti a údaje o tom, zda mají vliv na produkty s digitálními prvky, na které se vztahuje nařízení (EU) 2024/2847, techniky a postupy, indikátory narušení, nepřátelské taktiky, informace o konkrétních aktérech hrozeb a doporučení týkající se opatření ke zmírnění následků.

2.Včasná varování uvedená v čl. 11 odst. 1 prvním pododstavci písm. b) se co nejdříve vydají dotčenému týmu nebo dotčeným týmům CSIRT a případně síti CSIRT a síti EU-CyCLONe.

3.Agentura ENISA nabízí službu včasného varování subjektům působícím v odvětvích uvedených v přílohách I a II směrnice (EU) 2022/2555.

4.Služba uvedená v odstavci 3 se poskytuje na žádost subjektu a ve strojově čitelném formátu, který je veřejně dostupný. Tato služba zahrnuje sdílení informací o indikátorech kybernetických hrozeb a doporučení ohledně zmírňujících opatření.

5.Agentura ENISA stanoví postup pro šíření včasných varování subjektům uvedeným v odstavci 3.

Článek 13
Podpora reakce na incidenty a jejich přezkumu

1.Agentura ENISA provozuje a spravuje rezervu EU pro kybernetickou bezpečnost, a to zcela nebo zčásti, v souladu s nařízením (EU) 2025/38.

2.Na žádost Komise nebo sítě EU-CyCLONe agentura ENISA s podporou sítě CSIRT a se souhlasem dotčeného členského státu přezkoumá a vyhodnotí významné kybernetické bezpečnostní incidenty nebo rozsáhlé kybernetické bezpečnostní incidenty v souladu s článkem 21 nařízení (EU) 2025/38.

3.Agentura ENISA je ve spolupráci s Europolem a týmy CSIRT nebo případně jinými příslušnými orgány nápomocna jednotlivým základním a důležitým subjektům uvedeným v přílohách I a II směrnice (EU) 2022/2555 při přípravě na ransomwarové incidenty, při reakci na ně a při obnově po těchto incidentech. Za tímto účelem agentura ENISA zřídí asistenční službu a zejména využije posílené sdílené povědomí o situaci v oblasti kybernetických hrozeb a incidentů podle čl. 11 odst. 1 prvního pododstavce písm. a) a g) tohoto nařízení.

Článek 14
Cvičení v oblasti kybernetické bezpečnosti na úrovni Unie

1.Agentura ENISA podporuje Komisi při sestavování ročního průběžného programu cvičení v oblasti kybernetické bezpečnosti na úrovni Unie

2.Agentura ENISA vede úložiště poznatků získaných při cvičeních uvedených v odstavci 1 a doporučuje členským státům a případně subjektům Unie, jak získané poznatky účinně a efektivně uplatňovat.

3.Na žádost sítě EU-CyCLONe nebo Komise, agentura ENISA organizuje cvičení v oblasti kybernetické bezpečnosti na úrovni Unie nebo se podílí na jejich organizaci, včetně testování připravenosti reagovat na rozsáhlé kybernetické bezpečnostní incidenty a krize na úrovni Unie.

4.Na žádost členských států jim agentura ENISA poskytuje podporu při pořádání vnitrostátních cvičení v oblasti kybernetické bezpečnosti.

5.Na žádost služby CERT-EU se agentura ENISA podílí na pořádání cvičení v oblasti kybernetické bezpečnosti, která CERT-EU organizuje podle čl. 13 odst. 7 nařízení (EU, Euratom) 2023/2841.

Článek 15
Poskytování nástrojů a platforem

1.Agentura ENISA zřizuje, poskytuje, provozuje, udržuje a podle potřeby aktualizuje operativní technické nástroje, včetně platforem týkajících se kybernetické bezpečnosti na úrovni Unie, zejména jednotnou platformu pro podávání zpráv zřízenou podle čl. 16 odst. 1 nařízení (EU) 2024/2847 [a jednotné kontaktní místo pro oznamování incidentů zřízené podle článku 23a směrnice (EU) 2022/2555], a testovací nástroje na podporu provádění postupů posuzování shody v souladu s příslušnými právními předpisy Unie.

2.Je-li to pro účely odstavce 1 vhodné, agentura ENISA spolupracuje a vyměňuje si informace se sítí CSIRT a případně s orgány dozoru nad trhem.

Článek 16
Služby řízení zranitelností

Agentura ENISA vytvoří společnou kapacitu služeb Unie pro řízení zranitelností a poskytuje služby řízení zranitelností zúčastněným stranám prostřednictvím:

a)vedení Evropské databáze zranitelností zřízené podle čl. 12 odst. 2 směrnice (EU) 2022/2555;

b)poskytování služeb řízení zranitelností zúčastněným stranám na základě Evropské databáze zranitelností a využívání příslušných informací, které má agentura ENISA k dispozici;

c)případného navázání strukturované spolupráce s organizacemi, které poskytují programy, registry nebo databáze podobné Evropské databázi zranitelností;

d)aktivní podpory týmů CSIRT určených jakožto koordinátoři podle čl. 12 odst. 1 směrnice (EU) 2022/2555, pokud jde o řízení koordinovaného zveřejňování zranitelností, které mohou mít významný dopad na subjekty ve více než jednom členském státě;

e)vypracování a udržování metodik a mechanismů řízení pro určování zranitelností a jejich koordinované zveřejňování ve spolupráci s příslušnými vnitrostátními orgány, týmy CSIRT, průmyslem a výzkumnou komunitou.

Oddíl 3

Certifikace a normalizace kybernetické bezpečnosti

Článek 17
Certifikace kybernetické bezpečnosti

1.Agentura ENISA přispívá k rozvoji a provádění politiky Unie v oblasti certifikace kybernetické bezpečnosti ve smyslu hlavy III tohoto nařízení a tento rozvoj a provádění podporuje. Agentura ENISA odpovídá za:

a)přípravu návrhů evropských schémat certifikace kybernetické bezpečnosti (dále jen „návrhy schémat“) pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů v souladu s článkem 74 a případné vypracování technických specifikací v souladu s článkem 77;

b)udržování přijatých evropských schémat certifikace kybernetické bezpečnosti v souladu s článkem 75, a to i s ohledem na případný přezkum přijatých evropských schémat certifikace kybernetické bezpečnosti v souladu s článkem 76;

c)podporu využívání přijatých schémat a vedení specializovaných internetových stránek poskytujících a zveřejňujících informace o evropských schématech certifikace kybernetické bezpečnosti, evropských certifikátech kybernetické bezpečnosti a EU prohlášeních o shodě v souladu s článkem 79;

d)organizaci budování kapacit v souvislosti s procesy certifikace, hodnotícími činnostmi, vzájemným hodnocením a vzájemným posouzením, včetně poskytování podpory členským státům na jejich žádost v souladu s čl. 6 bodem 12.

2.Agentura ENISA podporuje Komisi při těchto činnostech:

a)správa a řízení Evropské skupiny pro certifikaci kybernetické bezpečnosti podle článku 90;

b)organizace Evropského shromáždění k certifikaci kybernetické bezpečnosti v souladu s čl. 72 odst. 1;

c)činnosti související s mezinárodním uznáváním evropských certifikátů kybernetické bezpečnosti v souladu s článkem 87;

d)organizace vzájemných hodnocení podle článku 89;

e)příprava vzorových ustanovení, na něž se budou odkazovat evropská schémata certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů v souladu s čl. 81 odst. 5.

Článek 18
Normalizace, technické specifikace a pokyny

1.Agentura ENISA vypracovává technické specifikace a pokyny na podporu provádění právních předpisů Unie v oblasti kybernetické bezpečnosti. Při přípravě těchto technických specifikací agentura ENISA zohlední stávající evropské a mezinárodní normy i další příslušné technické specifikace. Agentura ENISA zajišťuje jednotnost svých technických specifikací a pokynů.

2.Agentura ENISA sleduje činnosti v oblasti normalizace na úrovni Unie a v souladu s článkem 9 na mezinárodní úrovni a případně se těchto činností účastní a vede je s cílem podpořit politiky Unie týkající se kybernetické bezpečnosti.

3.Agentura ENISA podporuje vývoj a hodnocení kryptografických algoritmů. Pokud agentura ENISA vyhodnotí kryptografický algoritmus kladně, spolupracuje v souladu s nařízením (EU) č. 1025/2012 s evropskými normalizačními orgány, aby podpořila jeho normalizaci.

4.Agentura ENISA poskytuje Komisi a případně členským státům technické poradenství ohledně vhodných norem nebo technických specifikací na podporu politik Unie týkajících se kybernetické bezpečnosti, včetně harmonizačních právních předpisů Unie v oblasti kybernetické bezpečnosti, zejména nařízení (EU) 2024/2847, u technických oblastí pro účely článku 25 směrnice (EU) 2022/2555 a evropských schémat certifikace kybernetické bezpečnosti podle čl. 81 odst. 1 písm. d).

5.Agentura ENISA je Komisi nápomocna při posuzování návrhů harmonizovaných norem na podporu provádění harmonizačních právních předpisů Unie v oblasti kybernetické bezpečnosti.

6.Agentura ENISA podporuje využívání evropských a mezinárodních norem v oblasti kybernetické bezpečnosti.

7.Agentura ENISA vykonává úkoly uvedené v odstavcích 1 až 6 bezúhonně, nestranně a důvěrně, včetně toho, že se vzdá své účasti v konkrétních technických orgánech nebo účast pozastaví, pokud je tato účast v rozporu s jinými úkoly nebo cíli.

Oddíl 4 
Provádění Akademie dovedností v oblasti kybernetické bezpečnosti

Článek 19
Evropský rámec dovedností v oblasti kybernetické bezpečnosti

1.Agentura ENISA vypracuje a zveřejní Evropský rámec dovedností v oblasti kybernetické bezpečnosti (dále také „ECSF“). Před zveřejněním ECSF nebo jeho aktualizací podle odstavce 4 konzultuje agentura ENISA Komisi.

2.Evropský rámec dovedností v oblasti kybernetické bezpečnosti definuje profily odborníků v oboru kybernetické bezpečnosti a přiřazení konkrétních úkolů, dovedností a znalostí danému profilu role. Využívání ECSF je pro subjekty z veřejného i soukromého sektoru dobrovolné.

3.Agentura ENISA může při vývoji a zavádění ECSF konzultovat zúčastněné strany.

4.Agentura ENISA pravidelně posuzuje potřebu aktualizace ECSF a v případě potřeby jej aktualizuje.

Článek 20
Vývoj, přijetí a udržování evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti

1.Agentura ENISA vyvíjí, přijímá a udržuje evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti. Používání evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti je pro vnitrostátní subjekty veřejného a soukromého sektoru dobrovolné, pokud vnitrostátní právní předpisy nestanoví jinak.

2.Před zahájením nového evropského schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti konzultuje agentura ENISA Komisi. Agentura ENISA přijme takové schéma pouze na základě kladného stanoviska Komise. Při přípravě evropského schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti může agentura ENISA konzultovat příslušné zúčastněné strany.

3.Evropské schéma potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti zahrnuje:

a)předmět a rozsah schématu potvrzení na základě profilů rolí v ECSF nebo jejich podmnožin;

b)požadavky na osoby vyškolené k provádění posouzení (dále jen „posuzovatelé“) podle článku 21, nezbytné dovednosti, znalosti a zkušenosti, jakož i metody odborné přípravy;

c)analýzu tržního využití specifickou pro každé schéma potvrzování;

d)výsledky učení, metody posuzování a podmínky, které autorizovaní poskytovatelé potvrzení použijí, aby zhodnotili prokázání požadovaných dovedností jednotlivce v souladu s článkem 21;

e)v příslušných případech jednu nebo více úrovní záruky;

f)pravidla týkající se uchovávání záznamů autorizovanými poskytovateli potvrzení;

g)obsah a formát evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti s náležitým přihlédnutím k čl. 21 odst. 5 písm. e);

h)maximální dobu platnosti evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti vydaných v rámci schématu potvrzování.

4.Evropské schéma potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti může zahrnovat orientační náklady na evropské potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti.

5.Agentura ENISA zajišťuje úzkou spolupráci s členskými státy v průběhu přípravy evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti.

6.Změnou evropského schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti není dotčena autorizace udělená podle čl. 22 odst. 3 písm. a), jež zůstává v platnosti po dobu, na kterou byla udělena.

Článek 21
Autorizovaní poskytovatelé potvrzení

1.Autorizovaní poskytovatelé potvrzení posoudí, zda fyzické osoby splňují požadavky evropského schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti, a pokud jsou tyto požadavky splněny, vydají evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti. Poskytovatelé potvrzení mohou být držiteli několika autorizací, z nichž každá je udělena pro jedno evropské schéma potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti.

2.Agentura ENISA poskytuje posuzovatelům pokyny a zajišťuje jejich povinnou odbornou přípravu týkající se požadavků a metod posuzování zahrnutých do evropského schématu potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti podle čl. 20 odst. 3 písm. b).

3.Subjekty, které se chtějí stát autorizovanými poskytovateli potvrzení nebo obnovit svou autorizaci (dále jen „žadatelé“), podávají žádost agentuře ENISA. Splňují tyto požadavky:

a)mají právní subjektivitu;

b)jsou schopni plnit úkoly stanovené v tomto nařízení v souvislosti s evropskými potvrzeními o individuálních dovednostech v oblasti kybernetické bezpečnosti bez ohledu na to, zda posouzení provádí autorizovaný poskytovatel potvrzení sám nebo je prováděno jeho jménem a na jeho odpovědnost;

c)mají prostředky nezbytné k vhodnému provedení technických a administrativních úkolů spojených s evropským schématem potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti, a přístup k veškerému nezbytnému vybavení a zařízení.

Pro účely prvního pododstavce písm. b) jsou veškeré subdodávky nebo konzultace s externími pracovníky řádně zdokumentovány, nezahrnují žádné zprostředkovatele a podléhají písemné dohodě týkající se mimo jiné důvěrnosti a střetu zájmů.

4.Žadatelé nejsou vysoce rizikovými dodavateli.

5.Autorizovaní poskytovatelé potvrzení splňují tyto povinnosti:

a)pro provádění jednotlivých evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti:

i)mají k dispozici potřebné posuzovatele a pracovníky, aby mohli včas vykonávat své činnosti stanovené v daném schématu;

ii)zajistí, aby posuzovatelé zachovávali profesní tajemství, byli nestranní a vykonávali svou práci nezávisle a s nejvyšší mírou profesní bezúhonnosti;

iii)mají písemné postupy provádění svých činností v rámci schématu, pro které jsou autorizováni;

b)neposuzují své vlastní posuzovatele ani jim nevydávají evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti;

c)zajistí, dle potřeby zavedením vhodných ochranných opatření, aby jejich posuzovatelé mohli vykonávat svou práci nezávisle, zejména pokud tyto osoby patří k jejich vlastní struktuře nebo jsou v takové struktuře zaměstnanci nebo účastníky vzdělávání;

d)nezapojují se do žádné činnosti, která by mohla být v rozporu s nezávislostí úsudku nebo bezúhonností jejich posuzovatelů;

e)zajistí, aby se na žádost fyzické osoby elektronická evropská potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti vydávala jako elektronická potvrzení atributů ve formátu, který lze uložit v evropských peněženkách digitální identity stanovených v nařízení (EU) č. 910/2014.

6.Autorizovaní poskytovatelé potvrzení neprodleně informují agenturu ENISA, pokud přestanou splňovat kterýkoli z požadavků uvedených v odstavcích 3 a 4 nebo kteroukoli z povinností uvedených v odstavci 5 nebo pokud vznikne jakákoli pochybnost, že tyto požadavky nebo povinnosti nejsou splněny, včetně pochybností o nezávislosti posuzovatelů.

7.Autorizovaní poskytovatelé potvrzení mohou od fyzických osob požadovat poplatek za posouzení a za vydání evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti, který zohledňuje orientační náklady na evropské potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti podle čl. 20 odst. 4 a je zveřejněn na specializovaných internetových stránkách v souladu s čl. 23 písm. d).

8.Žadatelé a autorizovaní poskytovatelé potvrzení umožní agentuře ENISA provádět hodnocení v rámci procesu podávání žádostí nebo zachování autorizace a sdílejí veškeré příslušné informace, aby bylo zajištěno splnění požadavků stanovených v odstavcích 3 a 4 nebo povinností stanovených v odstavci 5 nebo jejich další plnění v souladu s čl. 22 odst. 2.

Článek 22
Přezkoumání žádostí o udělení statusu autorizovaného poskytovatele potvrzení a zachování autorizace

1.Žadatelé zaplatí agentuře ENISA poplatek za posouzení žádosti. Autorizovaní poskytovatelé potvrzení platí agentuře ENISA poplatek za zachování autorizace.

2.Agentura ENISA hodnotí, zda žadatelé a autorizovaní poskytovatelé potvrzení splnili nebo nadále splňují požadavky stanovené v čl. 21 odst. 3 a 4 a povinnosti stanovené v čl. 21 odst. 5.

3.Po přezkoumání žádosti z hlediska požadavků stanovených v čl. 21 odst. 3 a 4 může agentura ENISA vydat jedno z těchto rozhodnutí:

a)rozhodnutí, kterým se žadateli uděluje status autorizovaného poskytovatele potvrzení nebo se tento status obnovuje;

b)rozhodnutí, kterým se zamítá žádost o udělení statusu autorizovaného poskytovatele potvrzení nebo se tento status neobnovuje;

c)rozhodnutí, kterým se ukončuje zpracování žádosti z důvodu nečinnosti žadatele po žádosti agentury ENISA o doplňující informace.

Agentura ENISA může tato rozhodnutí změnit, pozastavit nebo zrušit na základě svého hodnocení podle čl. 22 odst. 2 nebo v případě uvedeném v čl. 21 odst. 6.

4.Agentura ENISA vydá rozhodnutí uvedené v odstavci 3 do tří měsíců ode dne podání žádosti v souladu s čl. 21 odst. 3. Pokud agentura ENISA požádala žadatele o doplňující informace, vydá rozhodnutí uvedené v odstavci 3 do jednoho měsíce od obdržení doplňujících informací.

5.Rozhodnutí uvedené v odst. 3 písm. a) je platné po dobu nejvýše tří let a uvádí poplatek za roční zachování autorizace.

6.Agentura ENISA zajistí, aby její činnosti související s vývojem a přijetím evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti podle článku 20 byly striktně odděleny od činností týkajících se zkoumání žádostí a hodnocení stanovených v odstavcích 2 a 3 tohoto článku a byly prováděny nezávisle na těchto činnostech.

Článek 23
Informování veřejnosti

Agentura ENISA udržuje a pravidelně aktualizuje zvláštní internetové stránky, které poskytují veřejné informace o:

a)ECSF, včetně rámce a časového plánu jeho aktualizace;

b)evropských schématech potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti, jejich pokroku a harmonogramech jejich vývoje;

c)poplatcích spojených s každým evropským schématem potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti přijatým podle článku 47 tohoto nařízení;

d)orientačních nákladech na evropské potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti v souladu s čl. 20 odst. 4;

e)seznamu autorizovaných poskytovatelů potvrzení.

Kapitola III 
Organizace agentury ENISA

Článek 24
Správní a řídicí struktura agentury ENISA

Správní a řídicí strukturu agentury ENISA tvoří:

a)správní rada, která vykonává funkce stanovené v článku 28;

b)výkonná rada, která vykonává funkce stanovené v článku 30;

c)výkonný ředitel, který vykonává povinnosti stanovené v článku 32;

d)zástupce výkonného ředitele, který vykonává povinnosti stanovené v článku 34;

e)poradní skupina agentury ENISA;

f)odvolací senát, který vykonává funkce stanovené v článcích 39 až 42.

Oddíl 1 
Správní rada

Článek 25
Složení správní rady

1.Správní rada se skládá z jednoho člena jmenovaného každým členským státem a dvou členů jmenovaných Komisí. Všichni členové mají hlasovací právo.

2.Každý člen správní rady má náhradníka. Náhradníci zastupují členy v jejich nepřítomnosti.

3.Každý členský stát jmenuje členem správní rady ředitele příslušného vnitrostátního orgánu určeného podle čl. 8 odst. 1 směrnice (EU) 2022/2555. Pokud se ukáže, že to není možné, jmenují členské státy členem správní rady vysokého představitele příslušného vnitrostátního orgánu určeného podle čl. 8 odst. 1 směrnice (EU) 2022/2555.

4.Členové správní rady jmenovaní Komisí a jejich náhradníci jsou jmenováni na základě svých znalostí v oblasti kybernetické bezpečnosti, přičemž se přihlédne k jejich relevantním dovednostem v oblasti řízení, správy a rozpočtu. Pokud jde o náhradníky, Komise a členské státy se snaží dosáhnout vyváženého zastoupení mužů a žen ve správní radě a usilují o omezení jejich fluktuace, aby byla zajištěna kontinuita práce správní rady.

5.Funkční období členů jmenovaných členskými státy se rovná době výkonu jejich funkce uvedené v odstavci 3.

6.Funkční období náhradníků a členů jmenovaných Komisí je čtyři roky. Toto období lze prodloužit.

Článek 26
Předseda správní rady

1.Správní rada volí ze svých členů s hlasovacím právem předsedu a místopředsedu. Předseda a místopředseda jsou voleni dvoutřetinovou většinou členů správní rady, kteří mají hlasovací právo.

2.Nemůže-li předseda plnit své povinnosti, automaticky ho nahradí místopředseda.

3.Funkční období předsedy a místopředsedy trvá tři roky a lze je jednou prodloužit. Pokud však v průběhu jejich funkčního období skončí jejich členství ve správní radě, zanikne týmž dnem automaticky i jejich funkce předsedy či místopředsedy.

Článek 27
Zasedání správní rady

1.Zasedání správní rady svolává předseda.

2.Výkonný ředitel se účastní zasedání správní rady, avšak bez hlasovacího práva.

3.Řádná zasedání správní rady se konají alespoň dvakrát za rok. Správní rada se schází rovněž z podnětu předsedy, na žádost Komise nebo na žádost alespoň třetiny svých členů.

4.Zástupce Evropského průmyslového, technologického a výzkumného centra kompetencí pro kybernetickou bezpečnost zřízeného nařízením (EU) 2021/887 je na zasedáních správní rady stálým pozorovatelem bez hlasovacího práva.

5.Správní rada může přizvat jakoukoli osobu, jejíž názor pro ni může být přínosný, aby se zasedání nebo jeho části zúčastnila jako pozorovatel ad hoc, bez hlasovacího práva a s výhradou ustanovení jednacího řádu správní rady.

6.Členům správní rady a jejich náhradníkům mohou být s výhradou ustanovení jednacího řádu správní rady na jejích zasedáních nápomocni poradci nebo odborníci.

Článek 28
Funkce správní rady

1.Správní rada:

a)stanoví obecné směry činnosti agentury ENISA a zajišťuje, aby agentura ENISA působila v souladu s pravidly a zásadami stanovenými v tomto nařízení; rovněž zajišťuje, aby činnost agentury ENISA byla v souladu s činnostmi členských států a činnostmi na úrovni Unie;

b)přijímá návrh jednotného programového dokumentu agentury ENISA podle článku 44, který je poté předložen Komisi k vyjádření stanoviska;

c)s ohledem na stanovisko Komise přijímá jednotný programový dokument agentury ENISA v souladu s čl. 29 odst. 2 písm. a);

d)dohlíží na provádění víceletých a ročních programů obsažených v jednotném programovém dokumentu;

e)přijímá roční rozpočet agentury ENISA v souladu s čl. 29 odst. 2 písm. b) a vykonává další funkce ve vztahu k rozpočtu agentury ENISA podle kapitoly IV;

f)posuzuje a přijímá souhrnnou výroční zprávu o činnosti agentury ENISA obsahující účetní výkaz a popis toho, jak agentura ENISA naplnila své ukazatele výkonnosti; do 1. července následujícího roku zprávu a její posouzení zasílá Evropskému parlamentu, Radě, Komisi a Evropskému účetnímu dvoru; výroční zprávu zveřejňuje;

g)přijímá finanční pravidla použitelná na agenturu ENISA v souladu s článkem 50;

h)přijímá strategii proti podvodům, která je úměrná rizikům podvodu s ohledem na analýzy nákladů a přínosů opatření, jež mají být provedena;

i)zajišťuje náležitá opatření v návaznosti na zjištění a doporučení vyplývající z interních či externích auditních zpráv a hodnocení a z vyšetřování Evropského úřadu pro boj proti podvodům (OLAF) a Úřadu evropského veřejného žalobce (EPPO);

j)přijímá svůj jednací řád včetně pravidel pro prozatímní rozhodnutí o přenesení pravomocí k provádění zvláštních úkolů podle čl. 30 odst. 7;

k)v souladu s odstavcem 2 tohoto článku vykonává ve vztahu k zaměstnancům agentury ENISA pravomoci, které služební řád úředníků Evropské unie (dále jen „služební řád“) a pracovní řád ostatních zaměstnanců Evropské unie (dále jen „pracovní řád“), jak jsou stanoveny v nařízení Rady (EHS, Euratom, ESUO) č. 259/68 73 , svěřují orgánu oprávněnému ke jmenování a orgánu oprávněnému uzavírat pracovní smlouvy (dále jen „pravomoci orgánu oprávněného ke jmenování“);

l)přijímá prováděcí pravidla ke služebnímu řádu a pracovnímu řádu v souladu v souladu s čl. 110 odst. 2 služebního řádu;

m)jmenuje výkonného ředitele, a pokud se rozhodne zřídit funkci zástupce výkonného ředitele, i zástupce výkonného ředitele, a případně prodlužuje jejich funkční období nebo je odvolává z funkce v souladu s článkem 31;

n)jmenuje účetního, na něhož se vztahuje služební řád a pracovní řád a který je při výkonu svých funkcí nezávislý;

o)přijímá veškerá rozhodnutí o zřízení vnitřních struktur agentury ENISA a o jejich nezbytných změnách s ohledem na potřeby činností agentury ENISA a na řádné rozpočtové řízení;

p)povoluje uzavírání pracovní ujednání, pokud jde o článek 68;

q)schvaluje uzavírání pracovních ujednání v souladu s článkem 70;

r)jmenuje a odvolává členy odvolacího senátu v souladu s čl. 29 odst. 2 písm. d);

s)přijímá pravidla pro předcházení střetům zájmů a řešení těchto střetů u členů odvolacího senátu.

2.Správní rada přijme v souladu s čl. 110 odst. 2 služebního řádu rozhodnutí na základě čl. 2 odst. 1 služebního řádu a článku 6 pracovního řádu, kterým přenese příslušné pravomoci orgánu oprávněného ke jmenování na výkonného ředitele a kterým vymezí podmínky, za nichž může být toto přenesení pravomocí pozastaveno. Výkonný ředitel může přenést tyto pravomoci na další osoby.

3.Vyžadují-li to výjimečné okolnosti, může správní rada přijmout rozhodnutí o dočasném pozastavení přenesení pravomocí orgánu oprávněného ke jmenování na výkonného ředitele a jakýchkoli takových pravomocí jím přenesených na další osoby a vykonávat je sama nebo je přenést na jednoho ze svých členů nebo na zaměstnance, který není výkonným ředitelem.

Článek 29
Pravidla hlasování ve správní radě

1.Správní rada přijímá rozhodnutí nadpoloviční většinou hlasů svých členů s hlasovacím právem, není-li v tomto nařízení stanoveno jinak.

2.Dvoutřetinové většiny členů správní rady s hlasovacím právem je zapotřebí k:

a)přijetí jednotného programového dokumentu podle čl. 28 odst. 1 písm. c);

b) přijetí ročního rozpočtu podle čl. 28 odst. 1 písm. e);

c) jmenování, prodloužení funkčního období nebo odvolání výkonného ředitele a zástupce výkonného ředitele podle článků 31 a 33;

d)jmenování a odvolání členů odvolacího senátu podle článku 36.

3.Rozhodnutí o rozpočtových nebo personálních záležitostech, zejména o záležitostech uvedených v čl. 28 odst. 1 písm. c), e), f), g), h), i), k), l), m) a n), se přijímají pouze tehdy, hlasují-li zástupci Komise kladně. Pro účely přijetí rozhodnutí uvedených v čl. 28 odst. 1 písm. c) týkajících se jednotného programového dokumentu agentury ENISA se vyžaduje kladný hlas zástupce Komise pouze pro ty prvky rozhodnutí, které se netýkají ročního a víceletého pracovního programu agentury ENISA.

4.Každý člen s hlasovacím právem má jeden hlas. V případě nepřítomnosti člena s hlasovacím právem je k výkonu hlasovacího práva tohoto člena oprávněn jeho náhradník.

5.Předseda správní rady se hlasování účastní.

6.Výkonný ředitel se hlasování neúčastní.

7.Jednací řád správní rady stanoví podrobnější pravidla hlasování, zejména podmínky, za nichž může člen zastupovat jiného člena.

Oddíl 2 
Výkonná rada

Článek 30
Výkonná rada

1.Správní radě je nápomocna výkonná rada.

2.Výkonná rada:

a)připravuje rozhodnutí přijímaná správní radou;

b)v součinnosti se správní radou zajišťuje vhodná následná opatření na základě zjištění a doporučení plynoucích z interních či externích auditních zpráv a hodnocení, jakož i z vyšetřování úřadů OLAF a EPPO;

c)aniž jsou dotčeny povinnosti výkonného ředitele stanovené v článku 32, je s cílem posílit dohled nad správním a rozpočtovým řízením nápomocna výkonnému řediteli a radí mu při provádění rozhodnutí správní rady.

3.Výkonnou radu tvoří předseda výkonné rady, jeden zástupce Komise ve správní radě a tři další členové jmenovaní správní radou z jejích členů s hlasovacím právem. Předseda správní rady je zároveň předsedou výkonné rady. Při jmenováních členů výkonné rady se usiluje o zajištění genderové vyváženosti. Výkonný ředitel se účastní schůzí výkonné rady, avšak bez hlasovacího práva.

4.Funkční období členů výkonné rady je čtyři roky. Toto období lze prodloužit. Funkční období členů výkonné rady skončí v okamžiku, kdy skončí jejich členství ve správní radě.

5.Řádná zasedání výkonné rady se konají alespoň jednou za tři měsíce. Kromě toho se výkonná rada schází z podnětu svého předsedy nebo na žádost svých členů.

6.Správní rada stanoví jednací řád výkonné rady.

7.Je-li to z naléhavých důvodů nezbytné, může výkonná rada přijímat některá prozatímní rozhodnutí jménem správní rady, zejména ve věcech správního řízení, včetně pozastavení přenesení pravomocí orgánu oprávněného ke jmenování, a v rozpočtových záležitostech. Taková prozatímní rozhodnutí se bez zbytečného prodlení oznámí správní radě. Správní rada prozatímní rozhodnutí schválí, nebo zamítne do tří měsíců od přijetí daného rozhodnutí. Výkonná rada nepřijme jménem správní rady žádná rozhodnutí, která vyžadují schválení dvoutřetinovou většinou hlasů členů správní rady s hlasovacím právem.

Oddíl 3 
Výkonný ředitel

Článek 31
Jmenování, odvolání a prodloužení funkčního období

1.Výkonného ředitele jmenuje po otevřeném a transparentním výběrovém řízení na základě jeho zásluh a dovedností správní rada ze seznamu kandidátů navržených Komisí.

2.Před jmenováním je kandidát zvolený správní radou vyzván, aby vystoupil před příslušným výborem Evropského parlamentu a zodpověděl otázky jeho členů.

3.Výkonný ředitel je zaměstnán jako dočasný zaměstnanec agentury ENISA podle čl. 2 písm. a) pracovního řádu.

4.Pro účely uzavření smlouvy s výkonným ředitelem je agentura ENISA zastoupena předsedou správní rady.

5.Funkční období výkonného ředitele činí pět let. V dostatečném předstihu před koncem tohoto období Komise provede posouzení, které zohlední hodnocení výsledků výkonného ředitele a budoucí úkoly a výzvy agentury ENISA.

6.Správní rada může na návrh Komise, který zohlední posouzení uvedené v odstavci 5, funkční období výkonného ředitele jednou prodloužit, a to na dobu nepřesahující pět let.

7.Výkonný ředitel, jehož funkční období bylo prodlouženo, se po skončení celého funkčního období nesmí zúčastnit dalšího výběrového řízení na tutéž pozici.

8.Správní rada informuje o svém záměru prodloužit funkční období výkonného ředitele v souladu s odstavcem 6 Evropský parlament. Do tří měsíců před tímto prodloužením výkonný ředitel, je-li k tomu vyzván, vystoupí před příslušným výborem Evropského parlamentu a zodpoví otázky jeho členů.

9.Výkonný ředitel může být odvolán z funkce pouze na základě rozhodnutí správní rady jednající na návrh Komise.

Článek 32
Úkoly a povinnosti výkonného ředitele

1.Výkonný ředitel řídí agenturu ENISA a zodpovídá se správní radě.

2.Výkonný ředitel je při výkonu svých úkolů nezávislý a nevyžaduje si ani nepřijímá pokyny žádné vlády ani jiného subjektu.

3.Výkonný ředitel předkládá Evropskému parlamentu na jeho výzvu zprávu o plnění svých úkolů. Výkonného ředitele může k podání zprávy o plnění jeho úkolů vyzvat také Rada.

4.Výkonný ředitel je právním zástupcem agentury ENISA.

5.Výkonný ředitel odpovídá za plnění úkolů svěřených agentuře ENISA tímto nařízením. Výkonný ředitel zejména:

a)zajišťuje běžnou správu agentury ENISA;

b)provádí rozhodnutí správní rady;

c)zajišťuje dodržování finančních pravidel agentury ENISA;

d)vypracovává návrh jednotného programového dokumentu a předkládá jej správní radě ke schválení před jeho předložením Komisi k vyjádření stanoviska;

e)provádí jednotný programový dokument a podává zprávy o jeho provádění správní radě;

f)vypracovává konsolidovanou výroční zprávu o činnosti agentury ENISA, včetně provádění ročního pracovního programu agentury ENISA, a předkládá tuto zprávu správní radě k posouzení a přijetí;

g)vypracovává akční plán v návaznosti na závěry zpětných hodnocení agentury ENISA podle článku 121 a každé dva roky předkládá Komisi zprávu o pokroku;

h)vypracovává akční plán pro provádění opatření v návaznosti na závěry zpráv o interním nebo externím auditu a hodnocení, jakož i šetření úřadu OLAF a úřadu EPPO, a dvakrát ročně podává zprávu o pokroku Komisi a pravidelně správní radě;

i)vypracovává návrh finančních pravidel použitelných na agenturu ENISA podle článku 50;

j)vypracovává návrh odhadu příjmů a výdajů agentury ENISA a plní její rozpočet;

k)chrání finanční zájmy Unie uplatňováním preventivních opatření proti podvodům, korupci a jinému protiprávnímu jednání, aniž by byla dotčena vyšetřovací pravomoc úřadu OLAF a úřadu EPPO, účinnými kontrolami, a jsou-li zjištěny nesrovnalosti, zpětným získáním neoprávněně vyplacených částek a případně uložením účinných, přiměřených a odrazujících správních a finančních sankcí;

l)vypracovává strategii pro boj proti podvodům, strategii pro dosahování úspor z důvodu zvýšení efektivity a synergie, strategii pro spolupráci se třetími zeměmi nebo mezinárodními organizacemi a strategii pro organizační řízení a systémy vnitřní kontroly agentury ENISA a předkládá je správní radě ke schválení;

m)rozvíjí a udržuje styky s podnikatelským sektorem a organizacemi spotřebitelů pro zajištění pravidelného dialogu s příslušnými zúčastněnými stranami;

n)pravidelně si s příslušnými subjekty Unie vyměňuje názory a informace ohledně jejich činností souvisejících s kybernetickou bezpečností s cílem zajistit soudržnost při provádění politiky Unie v této oblasti;

o)prosazuje rozmanitost a genderovou vyváženost při náboru zaměstnanců agentury ENISA;

p)přijímá evropská schémata potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti podle čl. 20 odst. 1;

q)přijímá rozhodnutí týkající se žadatelů o autorizaci k vydávání potvrzení nebo o obnovení jejich autorizace podle čl. 22 odst. 3;

r)provádí jiné úkoly, které jsou výkonnému řediteli uloženy tímto nařízením.

6.Výkonný ředitel může v případě potřeby a v souladu s cíli a úkoly agentury ENISA zřizovat ad hoc pracovní skupiny složené z odborníků, mimo jiné z odborníků příslušných orgánů členských států. Výkonný ředitel o tom v předstihu informuje správní radu. Postupy týkající se zejména složení pracovních skupin, jmenování odborníků pracovních skupin výkonným ředitelem a činnosti pracovních skupin jsou stanoveny ve vnitřních organizačních předpisech agentury ENISA.

7.Je-li to nezbytné, může výkonný ředitel za účelem účinného a efektivního plnění úkolů agentury ENISA a na základě náležité analýzy nákladů a přínosů rozhodnout o zřízení jednoho nebo více místních úřadů v jednom nebo více členských státech. Před rozhodnutím o zřízení místního úřadu si výkonný ředitel vyžádá stanovisko dotčených členských států, včetně členského státu, v němž se nachází sídlo agentury ENISA, a získá předchozí souhlas Komise a správní rady. Nedojde-li během konzultačního procesu mezi výkonným ředitelem a dotčenými členskými státy ke shodě, předá se věc k projednání Radě. Celkový počet zaměstnanců ve všech místních úřadech je omezen na minimum a nepřekročí 40 % celkového počtu zaměstnanců agentury ENISA umístěných v členském státě, v němž se nachází její sídlo. Počet zaměstnanců v každém místním úřadu nepřekročí 10 % celkového počtu zaměstnanců agentury ENISA umístěných v členském státě, v němž se nachází její sídlo.

8.Rozhodnutí o zřízení místního úřadu určí rozsah činností, jež mají být v daném místním úřadu prováděny, způsobem, který zabrání zbytečným nákladům a zdvojování správních funkcí agentury ENISA.

Oddíl 4 
Zástupce výkonného ředitele

Článek 33
Zástupce výkonného ředitele

1.Správní rada může rozhodnout o zřízení funkce zástupce výkonného ředitele, který bude výkonnému řediteli nápomocen.

2.Rozhodne-li správní rada o zřízení funkce zástupce výkonného ředitele, vztahují se na něj odpovídajícím způsobem ustanovení článku 31.

Článek 34
Úkoly a povinnosti zástupce výkonného ředitele

Zástupce výkonného ředitele je výkonnému řediteli nápomocen při řízení agentury ENISA a při plnění úkolů uvedených v článku 32. Pokud je výkonný ředitel nepřítomen, je indisponován nebo je jeho funkce neobsazena, nahradí jej po dobu nepřítomnosti nebo do obsazení funkce zástupce výkonného ředitele.

Oddíl 5 
Poradní skupina agentury ENISA

Článek 35
Poradní skupina agentury ENISA

1.Správní rada na návrh výkonného ředitele zřídí transparentním způsobem poradní skupinu agentury ENISA. Poradní skupina agentury ENISA je složena z uznávaných odborníků zastupujících příslušné zúčastněné strany, jako jsou odvětví kybernetické bezpečnosti, odvětví informačních a komunikačních technologií, malé a střední podniky, subjekty působící v odvětvích uvedených v přílohách I a II směrnice (EU) 2022/2555, výrobci produktů s digitálními prvky a správci softwaru s otevřeným zdrojovým kódem ve smyslu nařízení (EU) 2024/2847, subjekty posuzování shody oznámené podle evropského rámce pro certifikaci kybernetické bezpečnosti uvedeného v článku 93 a nařízení (EU) 2024/2847, subjekty působící v oblasti prostředků pro elektronickou identifikaci, skupiny spotřebitelů, akademičtí odborníci v oblasti kybernetické bezpečnosti, evropské normalizační organizace, jakož i donucovací orgány a orgány dohledu nad ochranou údajů. Tito uznávaní odborníci jsou státními příslušníky členských států. Správní rada usiluje o zajištění patřičné genderové a zeměpisné vyváženosti a o zajištění vyváženého zastoupení různých skupin zúčastněných stran.

2.Postupy týkající se poradní skupiny agentury ENISA, zejména jejího složení, návrhu výkonného ředitele podle odstavce 1, počtu a jmenování jejích členů a činnosti poradní skupiny agentury ENISA jsou stanoveny ve vnitřních organizačních předpisech agentury ENISA a jsou zveřejňovány.

3.Poradní skupině agentury ENISA předsedá výkonný ředitel nebo osoba, kterou výkonný ředitel pro danou záležitost určí.

4.Funkční období členů poradní skupiny agentury ENISA je dva a půl roku a lze je jednou prodloužit. Členy poradní skupiny agentury ENISA nesmí být členové správní rady. Odborníci z řad Komise a odborníci z členských států jsou oprávněni účastnit se zasedání a podílet se na činnosti poradní skupiny agentury ENISA. Výkonný ředitel může přizvat zástupce jiných subjektů, které nejsou členy poradní skupiny ENISA, aby se účastnili zasedání poradní skupiny ENISA a podíleli se na její práci.

5.Poradní skupina agentury ENISA poskytuje agentuře ENISA poradenství ohledně plnění jejích úkolů, s výjimkou případů, kdy se použijí ustanovení hlav III, IV a V tohoto nařízení. Poskytuje poradenství zejména výkonnému řediteli při vypracovávání návrhu ročního pracovního programu agentury ENISA a při zajišťování komunikace s příslušnými zúčastněnými stranami v otázkách souvisejících s ročním pracovním programem.

6.Poradní skupina agentury ENISA o své činnosti pravidelně informuje správní radu.

7.Agentura ENISA poskytuje poradní skupině agentury ENISA nezbytnou logistickou podporu a zajišťuje sekretariát pro její zasedání.

Oddíl 6 
Odvolací senát

Článek 36
Vytvoření a složení odvolacího senátu

1.Agentura ENISA zřídí rozhodnutím správní rady odvolací senát.

2.Odvolací senát se skládá z předsedy a tří dalších členů. Každý člen odvolacího senátu má náhradníka. Náhradník zastupuje člena v jeho nepřítomnosti.

3.Správní rada jmenuje předsedu, ostatní členy a náhradníky ze seznamu způsobilých uchazečů, který vyhotovila Komise. Seznam způsobilých uchazečů je platný po dobu čtyř let. Platnost tohoto seznamu může správní rada na návrh Komise prodlužovat o další čtyřletá období.

4.Odvolací senát může správní radu požádat, aby jmenovala dva další členy a jejich náhradníky ze seznamu uvedeného v odstavci 3, pokud se domnívá, že to vyžaduje povaha odvolání.

5.Odvolací senát přijme a zveřejní svůj jednací řád.

Článek 37
Členové odvolacího senátu

1.Funkční období řádných členů a náhradníků odvolacího senátu je čtyřleté. Jejich funkční období může správní rada na návrh Komise prodlužovat o další čtyřletá období.

2.Členové odvolacího senátu jsou nezávislí a v rámci agentury ENISA nevykonávají žádné jiné funkce. Při svém rozhodování nevyžadují ani nepřijímají pokyny od žádné vlády, jiného subjektu nebo subjektu ze soukromého sektoru.

3.Členové odvolacího senátu nesmí být během funkčního období odvoláni ze své funkce ani vyškrtnuti ze seznamu způsobilých uchazečů, nejsou-li pro odvolání závažné důvody, a správní rada tak nerozhodne na návrh Komise.

Článek 38
Vyloučení a námitky

1.Členové odvolacího senátu se nesmí účastnit žádného odvolacího řízení, mají-li na něm osobní zájem nebo jestliže dříve vystupovali jako zástupci jednoho z účastníků tohoto řízení nebo jestliže se podíleli na přijetí rozhodnutí, které je předmětem odvolání.

2.Pokud se člen odvolacího senátu na základě některého z důvodů uvedených v odstavci 1 nebo z jakéhokoli jiného důvodu domnívá, že by se neměl zúčastnit určitého odvolacího řízení, uvědomí o tom odvolací senát.

3.Kterýkoli z účastníků odvolacího řízení může proti kterémukoli členu odvolacího senátu vznést námitku na základě některého z důvodů uvedených v odstavci 1 nebo z důvodu podezření z podjatosti tohoto člena. Námitka není přípustná, jestliže účastník odvolacího řízení již učinil procesní úkon, ačkoli mu byl znám důvod pro námitku. Žádná námitka nesmí být založena na státní příslušnosti členů odvolacího senátu.

4.V případech uvedených v odstavcích 2 a 3 odvolací senát rozhodne o opatřeních, která mají být přijata, bez účasti daného člena. Pro účely přijetí takového rozhodnutí je dotyčný člen v odvolacím senátu nahrazen svým náhradníkem.

Článek 39
Odvolání proti rozhodnutím a nečinnosti

1.Odvolání lze k odvolacímu senátu podat proti:

a)rozhodnutím přijatým agenturou ENISA podle čl. 22 odst. 3;

b)nečinnosti agentury ENISA v příslušných lhůtách stanovených v čl. 22 odst. 4.

2.Odvolání podané podle odstavce 1 podléhá před předložením odvolacímu senátu k posouzení předběžné revizi podle článku 41.

3.Odvolání podané podle odstavce 1 nemá odkladný účinek.

Článek 40
Osoby oprávněné podat odvolání, lhůta a způsob podání

1.Žadatelé ve smyslu čl. 21 odst. 3 mohou podat odvolání proti

a)rozhodnutí agentury ENISA, které je jim určeno, podle čl. 22 odst. 3;

b)nečinnosti agentury ENISA v souvislosti se žádostí, kterou agentuře ENISA předložili, v příslušných lhůtách stanovených v čl. 22 odst. 4.

2.V případě uvedeném v odst. 1 písm. a) se odvolání spolu s odůvodněním podává písemně v souladu s jednacím řádem uvedeným v čl. 36 odst. 5 do dvou měsíců od oznámení rozhodnutí dotčenému žadateli, nebo pokud k oznámení nedošlo, ode dne, kdy se žadatel o rozhodnutí dozvěděl.

3.V případě uvedeném v odst. 1 písm. b) se odvolání podává agentuře ENISA písemně v souladu s jednacím řádem uvedeným v čl. 36 odst. 5 do dvou měsíců ode dne uplynutí lhůty stanovené v čl. 22 odst. 4.

Článek 41
Předběžná revize

1.Považuje-li agentura ENISA odvolání za přípustné a opodstatněné, zjedná nápravu rozhodnutí nebo nečinnosti uvedených v čl. 40 odst. 1.

2.Pokud agentura ENISA rozhodnutí neopraví do jednoho měsíce po obdržení odvolání, bezodkladně rozhodne, zda pozastaví uplatňování svého rozhodnutí a postoupí odvolání odvolacímu senátu.

Článek 42
Přezkum rozhodnutí o odvolání

1.Odvolací senát rozhodne do tří měsíců od podání odvolání o tom, zda mu vyhoví, či nikoli. Při přezkumu odvolání jedná odvolací senát ve lhůtách stanovených v jeho jednacím řádu. Tak často, jak je to nutné, vyzývá strany odvolacího řízení, aby ve stanovených lhůtách podaly připomínky k jeho oznámením nebo ke sdělením ostatních stran odvolacího řízení. Účastníci odvolacího řízení mají právo na ústní vyjádření.

2.Jestliže odvolací senát zjistí, že odvolání je odůvodněné, postoupí věc agentuře. Agentura ENISA přijme konečné rozhodnutí v souladu se zjištěními odvolacího senátu a odůvodní je. Agentura ENISA odpovídajícím způsobem informuje strany odvolacího řízení.

Článek 43
Žaloby podané k Soudnímu dvoru Evropské unie

1.Žaloby na neplatnost rozhodnutí agentury ENISA přijatých podle čl. 22 odst. 3 nebo žaloby pro nečinnost v příslušných lhůtách podle čl. 22 odst. 4 lze k Soudnímu dvoru Evropské unie podat až po vyčerpání všech možnosti odvolání v rámci agentury ENISA stanovených v článcích 39 až 42 nebo v případě nečinnosti v příslušné lhůtě podle čl. 41 odst. 2.

2.Agentura ENISA přijme všechna nezbytná opatření vyplývající z rozsudku Soudního dvora Evropské unie.

Oddíl 7 
Činnost

Článek 44
Jednotný programový dokument

1.Agentura ENISA vykonává svou činnost v souladu s jednotným programovým dokumentem obsahujícím její roční a víceletý pracovní program, které obsahují všechny plánované aktivity.

2.Výkonný ředitel každý rok vypracuje návrh jednotného programového dokumentu uvedeného v odstavci 1, spolu s odpovídajícím plánem finančních a lidských zdrojů v souladu s článkem 32 nařízení Komise v přenesené pravomoci (EU) 2019/715 74 , přičemž zohlední pokyny stanovené Komisí.

3.Do 30. listopadu každého roku přijme správní rada jednotný programový dokument uvedený v odstavci 1, přičemž zohlední stanovisko Komise uvedené v čl. 32 odst. 7 nařízení v přenesené pravomoci (EU) 2019/715. Rozhodne-li se výkonná rada nezohlednit kterékoli prvky stanoviska Komise, důkladně své rozhodnutí odůvodní. Správní rada předá jednotný programový dokument Evropskému parlamentu, Radě a Komisi do 31. ledna následujícího roku; to se týká i všech pozdějších aktualizovaných verzí tohoto dokumentu.

4.Jednotný programový dokument nabývá konečné podoby po přijetí souhrnného rozpočtu Unie s konečnou platností a podle potřeby se upraví.

5.Roční pracovní program obsahuje podrobné cíle a očekávané výsledky včetně ukazatelů výkonnosti. Obsahuje rovněž popis financovaných činností a vymezuje finanční a lidské zdroje přidělené na každou činnost podle zásad sestavování a řízení rozpočtu podle činností. Roční pracovní program je v souladu s víceletým pracovním programem uvedeným v odstavci 7. Jasně uvádí, které úkoly byly oproti předcházejícímu rozpočtovému roku přidány, změněny nebo zrušeny.

6.Je-li agentuře ENISA uložen nový úkol, správní rada přijatý roční pracovní program změní. Každá podstatná změna ročního pracovního programu se přijme stejným postupem jako původní roční pracovní program. Správní rada může přenést pravomoc k provádění nepodstatných změn ročního pracovního programu na výkonného ředitele.

7.Víceletý pracovní program stanoví celkový strategický plán včetně cílů, očekávaných výsledků a ukazatelů výkonnosti. Stanoví rovněž plán zdrojů včetně víceletého rozpočtu a zaměstnanců.

8.Plán zdrojů je každoročně aktualizován. Strategický plán je aktualizován podle potřeby, a zejména je-li nutno zohlednit výsledek hodnocení uvedeného v článku 120.

KAPITOLA IV 
Sestavování a skladba rozpočtu agentury ENISA

Článek 45
Sestavování rozpočtu agentury ENISA

1.Výkonný ředitel sestaví každoročně předběžný návrh odhadu příjmů a výdajů agentury ENISA pro následující rozpočtový rok, včetně plánu pracovních míst, a zašle jej správní radě.

2.Předběžný návrh odhadu příjmů a výdajů se zakládá na cílech a očekávaných výsledcích ročního pracovního programu a zohledňuje finanční prostředky potřebné pro dosažení těchto cílů a očekávaných výsledků v souladu se zásadou řádného finančního řízení a výkonnosti.

3.Správní rada na základě předběžného návrhu odhadu přijme návrh odhadu příjmů a výdajů agentury ENISA pro následující rozpočtový rok a zašle jej Komisi do 31. ledna každého roku.

4.Komise zašle návrh odhadu příjmů a výdajů rozpočtovému orgánu spolu s návrhem souhrnného rozpočtu Unie. Návrh odhadu zpřístupní i agentuře ENISA.

5.Na základě návrhu odhadu zapíše Komise do návrhu souhrnného rozpočtu Unie odhady, které považuje za nezbytné pro plán pracovních míst, a výši příspěvku ze souhrnného rozpočtu Unie a předloží je rozpočtovému orgánu v souladu s články 313 a 314 Smlouvy o fungování EU.

6.Rozpočtový orgán schvaluje prostředky na příspěvek pro agenturu ENISA ze souhrnného rozpočtu Unie.

7.Rozpočtový orgán přijme plán pracovních míst agentury ENISA.

8.Rozpočet agentury ENISA schvaluje správní rada. Rozpočet se stává konečným po konečném přijetí souhrnného rozpočtu Unie a v případě potřeby se odpovídajícím způsobem upraví.

9.V případě projektů výstavby, u nichž je pravděpodobné, že budou mít významný dopad na rozpočet agentury ENISA, se použije nařízení Komise v přenesené pravomoci (EU) 2019/715.

Článek 46
Skladba rozpočtu agentury ENISA

1.Odhady všech příjmů a výdajů agentury ENISA se vypracují pro každý rozpočtový rok a zanesou se do jejího rozpočtu. Rozpočtový rok odpovídá kalendářnímu roku.

2.Rozpočet agentury ENISA je vyrovnaný co do příjmů a výdajů.

3.Aniž jsou dotčeny jiné zdroje, příjmy agentury ENISA zahrnují:

a)příspěvek Unie zapsaný v souhrnném rozpočtu Unie;

b)příjmy účelově vázané na konkrétní položky výdajů v souladu s finančními pravidly uvedenými v článku 50;

c)finanční prostředky Unie ve formě dohod o přiznání příspěvku nebo grantů ad hoc v souladu s finančními pravidly agentury ENISA uvedenými v článku 50 a ustanoveními příslušných nástrojů na podporu politik Unie;

d)poplatky vybírané od žadatelů za činnosti související s evropskými schématy potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti podle čl. 22 odst. 1;

e)poplatky vybírané od subjektů posuzování shody za účast a vydávání evropských certifikátů kybernetické bezpečnosti v rámci evropského schématu certifikace kybernetické bezpečnosti podle čl. 47 odst. 2;

f)poplatky vybírané od veřejných orgánů nebo soukromých subjektů za testovací nástroje podle čl. 47 odst. 3;

g)jakékoli příspěvky třetích zemí, které se podílejí na činnosti agentury ENISA podle čl. 70 odst. 4;

h)dobrovolné finanční či věcné příspěvky členských států.

4.Členské státy, které poskytují dobrovolné příspěvky podle odst. 3 písm. g) nepožadují na základě tohoto příspěvku žádné zvláštní právo nebo službu.

5.Výdaje agentury ENISA zahrnují odměny zaměstnanců, správní výdaje, výdaje na infrastrukturu a provozní výdaje.

Článek 47
Poplatky

1.V souvislosti s činností každého evropského schématu potvrzování podle čl. 22 odst. 1 se od žadatelů ve smyslu čl. 21 odst. 3 nebo od autorizovaných poskytovatelů potvrzení vybírají tyto poplatky, které přispívají k pokrytí veškerých nákladů na tyto činnosti prováděné agenturou ENISA:

a)vydávání autorizací po přezkoumání požadavků stanovených v čl. 21 odst. 3 a 4, včetně provádění hodnocení;

b)každoroční zachování autorizace;

c)obnovení autorizací poskytovatelů evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti, včetně provádění hodnocení.

2.V souvislosti s certifikací se od subjektů posuzování shody vybírají zejména tyto poplatky za udržování evropských schémat certifikace kybernetické bezpečnosti, v jejichž rámci se vydávají evropské certifikáty kybernetické bezpečnosti:

a)roční poplatek za účast v evropském schématu certifikace kybernetické bezpečnosti;

b)poplatek za vydávání evropských certifikátů kybernetické bezpečnosti v rámci evropských schémat certifikace kybernetické bezpečnosti.

Poplatky uvedené v písmenu b) se vybírají v okamžiku, kdy subjekt posuzování shody předkládá agentuře ENISA evropské certifikáty kybernetické bezpečnosti ke zveřejnění na jejích internetových stránkách podle článku 79.

3.Pokud jde o testovací nástroje uvedené v čl. 15 odst. 1, poplatek za jejich použití se vybírá od každého veřejného orgánu nebo soukromého subjektu.

4.Poplatky jsou vyjádřeny a hrazeny v eurech.

5.Komise přijme prováděcí akty, v nichž stanoví podrobná pravidla výpočtu poplatků, které má agentura ENISA vybírat, zejména s uvedením odhadovaných nákladů na každou ze zpoplatněných činností podle odstavců 1, 2 a 3 a s uvedením jednotlivých částek ukládaných poplatků, jakož i způsobů a podmínek, za nichž by měly být poplatky hrazeny. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2. Komise při přípravě těchto návrhů prováděcích aktů konzultuje agenturu ENISA.

6.Poplatky stanovené prováděcími akty podle odstavce 5 se stanoví předem tak, aby byly přiměřené odhadovaným nákladům na prováděné činnosti nebo poskytované služby, které byly stanoveny nákladově efektivním způsobem, a jsou dostatečné k pokrytí těchto nákladů. Veškeré výdaje agentury ENISA připadající na zaměstnance zapojené do činností uvedených v odstavcích 1, 2 a 3 se zohlední v nákladech, které mají být pokryty. Poplatky se stanoví v takové výši, aby se zabránilo schodku nebo značnému hromadění přebytku v rozpočtu agentury ENISA. Rozpočtové přebytky vzniklé z poplatků se přenášejí do dalšího roku za účelem financování činností agentury ENISA, zejména budoucích činností souvisejících s poplatky, nebo vyrovnání vzniklých ztrát. Pokud se výrazné kladné saldo v rozpočtu vyplývající z činností hrazených z poplatků začne opakovat nebo pokud z poskytování služeb hrazených z poplatků vyplyne výrazné záporné saldo, změní Komise prováděcí akty uvedené v odstavci 5 s cílem revidovat metodu výpočtu poplatků v souladu s čl. 118 odst. 2.

Výše poplatků za úkoly uvedené v odstavci 1 se stanoví v takové výši, aby bylo zajištěno, že příjmy z nich dostatečně přispívají k pokrytí nákladů na činnosti spojené s vývojem a udržováním evropských schémat potvrzování individuálních dovedností, zpracováním žádostí a vydáváním a obnovováním autorizací a nezbytné činnosti agentury ENISA v oblasti dohledu.

Výše poplatků za úkoly uvedené v odstavci 2 se stanoví v takové výši, aby bylo zajištěno, že příjmy z nich dostatečně přispívají k pokrytí veškerých nákladů na činnosti související s udržováním evropských schémat certifikace kybernetické bezpečnosti uvedených v článku 75.

Výše poplatků za úkoly uvedené v odstavci 3 se stanoví v takové výši, aby bylo zajištěno, že příjmy z nich dostatečně přispívají k pokrytí nákladů na činnosti spojené s poskytováním testovacích nástrojů stanovených v čl. 15 odst. 1.

7.Agentura ENISA předloží zprávu o vybraných poplatcích a jejich dopadu na svůj rozpočet v rámci postupu předkládání účetní závěrky stanoveného v článku 50.

8.Agentura ENISA zavede soubor ukazatelů pro měření pracovního zatížení, účinnosti a efektivnosti ve vztahu k činnostem financovaným z poplatků. Agentura ENISA přizpůsobí plánování počtu svých zaměstnanců a řízení svých zdrojů související s poplatky tak, aby mohla adekvátně reagovat na tuto poptávku a jakékoli výkyvy výnosů z poplatků. Agentura ENISA bude s Komisí sdílet zprávu, kterou může Komise použít pro účely hodnocení uvedeného v čl. 120 odst. 1.

Článek 48
Plnění rozpočtu agentury ENISA

1.Za plnění rozpočtu agentury ENISA je odpovědný výkonný ředitel, který jedná jako schvalující osoba.

2.Interní auditor Komise vykonává ve vztahu k agentuře ENISA stejné pravomoci jako ve vztahu k útvarům Komise.

3.Výkonný ředitel každoročně zasílá rozpočtovému orgánu veškeré významné informace o zjištěních, která vyplynula z postupů hodnocení.

Článek 49
Předkládání účetní závěrky a absolutorium

1.Účetní agentury ENISA zašle do 1. března následujícího rozpočtového roku (rok N + 1) předběžnou účetní závěrku za rozpočtový rok (rok N) účetnímu Komise a Účetnímu dvoru.

2.Do 1. března roku N + 1 poskytne účetní agentury ENISA účetnímu Komise také požadované účetní informace pro účely konsolidace, a to způsobem a ve formátu, který požaduje účetní Komise.

3.Agentura ENISA zašle zprávu o rozpočtovém a finančním řízení za rok N Evropskému parlamentu, Radě, Komisi a Účetnímu dvoru do 31. března roku N + 1.

4.Po obdržení připomínek Účetního dvora k prozatímní účetní závěrce agentury ENISA za rok N sestaví účetní agentury ENISA na vlastní odpovědnost konečnou účetní závěrku agentury ENISA. Výkonný ředitel předloží tuto účetní závěrku k vyjádření správní radě.

5.Správní rada zaujme ke konečné účetní závěrce agentury ENISA za rok N stanovisko.

6.Účetní agentury ENISA zašle konečnou účetní závěrku za rok N spolu se stanoviskem správní rady do 1. července roku N+1 Evropskému parlamentu, Radě, Komisi a Účetnímu dvoru.

7.Do 15. listopadu roku N + 1 se v Úředním věstníku Evropské unie zveřejní odkaz na internetové stránky obsahující konečnou účetní závěrku agentury ENISA.

8.Výkonný ředitel zašle Účetnímu dvoru odpověď na připomínky uvedené v jeho výroční zprávě do 30. září roku N + 1. Výkonný ředitel zároveň zašle tuto odpověď správní radě a Komisi.

9.Výkonný ředitel předloží Evropskému parlamentu na jeho žádost veškeré informace nezbytné pro řádný průběh udělení absolutoria za rok N v souladu s čl. 267 odst. 3 nařízení Evropského parlamentu a Rady (EU, Euratom) 2024/2509.

10.Evropský parlament udělí výkonnému řediteli absolutorium za plnění rozpočtu za rok N na základě doporučení Rady přijatého kvalifikovanou většinou před 15. květnem roku N + 2.

Článek 50
Finanční pravidla

1.Finanční pravidla platná pro agenturu ENISA přijme správní rada po konzultaci s Komisí. Pravidla se neodchýlí od nařízení v přenesené pravomoci (EU) 2019/715, ledaže je odchylka zvláště vyžádaná pro provoz agentury ENISA a Komise s ní předem souhlasila.

2.Agentura ENISA sestavuje a plní svůj rozpočet v souladu se svými finančními pravidly a nařízením (EU, Euratom) 2024/2509.

Článek 51
Boj proti podvodům

1.V zájmu boje proti podvodům, úplatkářství a jinému protiprávnímu jednání se na činnosti agentury ENISA bez omezení vztahují ustanovení nařízení Evropského parlamentu a Rady (EU, Euratom) č. 883/2013 75 .

2.Agentura ENISA do šesti měsíců ode dne [Úřad pro publikace:vložte přesné datum podle článku 127] přistoupí k interinstitucionální dohodě ze dne 25. května 1999 mezi Evropským parlamentem, Radou Evropské unie a Komisí Evropských společenství o vnitřním vyšetřování prováděném Evropským úřadem pro boj proti podvodům (OLAF) 76 a s použitím vzoru uvedeného v příloze uvedené dohody přijme vhodné předpisy použitelné na její zaměstnance.

3.Účetní dvůr má pravomoc provádět na základě dokumentů a kontrol na místě audit u všech příjemců grantů, zhotovitelů, dodavatelů nebo poskytovatelů a subdodavatelů, kteří od agentury ENISA obdrželi finanční prostředky Unie.

4.Úřad OLAF může provádět šetření, včetně kontrol a inspekcí na místě, v souladu s pravidly a postupy stanovenými v nařízení (EU, Euratom) č. 883/2013 a v nařízení Rady (Euratom, ES) č. 2185/96 77 s cílem zjistit, zda v souvislosti s grantem nebo zakázkou financovanou agenturou ENISA nedošlo k podvodu, korupci či jinému protiprávnímu jednání poškozujícímu nebo ohrožujícímu finanční zájmy Unie.

5.Aniž jsou dotčeny odstavce 1 až 4, pracovní ujednání se třetími zeměmi a mezinárodními organizacemi, smlouvy, grantové dohody a rozhodnutí o grantu přijaté agenturou ENISA obsahují ustanovení, která výslovně zmocňují Účetní dvůr a úřad OLAF k provádění těchto auditů a vyšetřování v souladu s jejich příslušnými pravomocemi.

6.V souladu s nařízením Rady (EU) 2017/1939 může úřad EPPO vyšetřovat a stíhat podvody a jiné protiprávní jednání poškozující finanční zájmy Unie, jak je stanoveno ve směrnici Evropského parlamentu a Rady (EU) 2017/1371 78 .

Článek 52
Prohlášení o zájmech

1.Členové správní rady, výkonný ředitel, zástupce výkonného ředitele a úředníci dočasně přidělení členskými státy učiní prohlášení o závazcích a prohlášení, z něhož vyplývá, že neexistují, nebo naopak existují přímé či nepřímé zájmy, které by bylo možné považovat za zájmy ovlivňující jejich nezávislost. Tato prohlášení musí být správná a úplná, podávají se každoročně písemnou formou a v případě potřeby se aktualizují.

2.Členové správní rady, výkonný ředitel, zástupce výkonného ředitele a externí odborníci, kteří se účastní činnosti ad hoc pracovních skupin, učiní nejpozději na začátku každého zasedání pravdivé a úplné prohlášení o zájmech, které by bylo možné považovat za zájmy ovlivňující jejich nezávislost vzhledem k bodům na pořadu jednání, a neúčastní se jednání a hlasování o těchto bodech.

3.Agentura ENISA ve svých vnitřních organizačních předpisech stanoví praktická opatření upravující pravidla týkající se prohlášení o zájmech podle odstavců 1 a 2.

Článek 53
Transparentnost

1.Agentura ENISA vykonává své činnosti s vysokou mírou transparentnosti a v souladu s článkem 55.

2.Agentura ENISA zajistí, aby veřejnost a všechny zainteresované strany měly k dispozici náležité, objektivní, spolehlivé a snadno dostupné informace, zejména pokud jde o výsledky její činnosti. Zveřejní rovněž prohlášení o zájmech učiněná v souladu s článkem 52.

3.Správní rada může na návrh výkonného ředitele zainteresovaným stranám umožnit, aby se účastnily projednání některých činností agentury ENISA jako pozorovatelé.

4.Agentura ENISA ve svých vnitřních organizačních předpisech stanoví praktická opatření pro provádění pravidel transparentnosti podle odstavců 1 a 2.

Článek 54
Důvěrnost v rámci agentury ENISA

1.Aniž je dotčen článek 55, agentura ENISA nezpřístupňuje třetím osobám informace, které zpracovává nebo které obdržela a pro které bylo odůvodněně vyžádáno zcela či částečně důvěrné zacházení.

2.Členové správní rady, výkonný ředitel, zástupce výkonného ředitele, členové poradní skupiny agentury ENISA, externí odborníci účastnící se ad hoc pracovních skupin a zaměstnanci agentury ENISA, včetně úředníků dočasně přidělených členskými státy, jsou povinni i po skončení svých funkcí dodržovat požadavky na důvěrnost podle článku 339 Smlouvy o fungování EU.

3.Agentura ENISA ve svých vnitřních organizačních předpisech stanoví praktická opatření pro provádění pravidel důvěrnosti podle odstavců 1 a 2.

Článek 55
Přístup k dokumentům

1.Na dokumenty, které má agentura ENISA v držení, se vztahuje nařízení (ES) č. 1049/2001.

2.Správní rada přijme prováděcí pravidla k nařízení (ES) č. 1049/2001.

3.Proti rozhodnutím přijatým agenturou ENISA podle článku 8 nařízení (ES) č. 1049/2001 lze podat stížnost evropskému veřejnému ochránci práv podle článku 228 Smlouvy o fungování EU nebo žalobu k Soudnímu dvoru Evropské unie podle článku 263 Smlouvy o fungování EU.

KAPITOLA V 
Zaměstnanci a styční úředníci

Článek 56
Obecná ustanovení

1.Na zaměstnance agentury ENISA se vztahuje služební řád úředníků a pracovní řád ostatních zaměstnanců a pravidla přijatá na základě dohody mezi orgány Unie k provedení služebního a pracovního řádu.

2.Zaměstnanci agentury ENISA, styční úředníci a vyslaní národní odborníci v agentuře ENISA podstupují odpovídající bezpečnostní prověrku.

Článek 57
Výsady a imunity

Na agenturu ENISA a její zaměstnance se vztahuje Protokol č. 7 o výsadách a imunitách Evropské unie, připojený ke Smlouvě o fungování EU.

Článek 58
Styční úředníci

1.Každý členský stát určí nejméně dva styčné úředníky z příslušného vnitrostátního orgánu určeného podle čl. 8 odst. 1 směrnice (EU) 2022/2555 jako vyslané národní odborníky pro agenturu ENISA, kteří budou pracovat v jejím sídle nebo v jejím místním úřadu v souladu s čl. 59 odst. 2. Komise může rovněž určit styčného úředníka.

2.Styční úředníci přispívají k plnění úkolů agentury ENISA, mimo jiné usnadňováním operativní spolupráce a výměny informací podle článku 11. Styční úředníci rovněž podporují agenturu ENISA při šíření informací o jejích činnostech, zjištěních a doporučeních příslušným zúčastněným stranám v celé Unii. Rovněž působí jako národní kontaktní místa v případě dotazů, které položily jejich členské státy a které se jejich členských států týkají, přičemž buď odpovídají na uvedené dotazy přímo, nebo úzce spolupracují se svými vnitrostátními správními orgány.

3.Styční úředníci určení svými členskými státy jsou oprávněni požadovat a získat od svých členských států všechny relevantní informace podle tohoto nařízení, přičemž plně dodržují vnitrostátní právo a zvyklosti daného členského státu, zejména pokud jde o ochranu údajů a důvěrnost.

Článek 59
Vyslaní národní odborníci a další pracovníci

1.Agentura ENISA může v kterékoli oblasti své práce využívat vyslané národní odborníky nebo jiné pracovníky, kteří nejsou v agentuře ENISA zaměstnáni. Na tyto zaměstnance se nevztahuje služební řád, ani pracovní řád.

2.Správní rada přijme rozhodnutí, kterým stanoví pravidla pro vysílání národních odborníků včetně styčných úředníků do agentury ENISA.

KAPITOLA VI 
OBECNÁ USTANOVENÍ TÝKAJÍCÍ SE AGENTURY ENISA

Článek 60
Právní status agentury ENISA

1.Agentura ENISA je subjektem Unie s právní subjektivitou.

2.Agentura ENISA má v každém členském státě nejširší způsobilost k právním úkonům, kterou vnitrostátní právo daného členského státu přiznává právnickým osobám. Zejména může nabývat a zcizovat movitý a nemovitý majetek a vystupovat před soudem.

3.Agenturu ENISA zastupuje výkonný ředitel.

Článek 61
Sídlo

Agentura ENISA sídlí v Aténách v Řecku.

Článek 62
Dohoda o sídle a provozní podmínky

1.Nezbytná ujednání související s umístěním agentury ENISA v hostitelském členském státě a s prostory, které má tento členský stát dát k dispozici, a zvláštní pravidla, která se v hostitelském členském státě vztahují na výkonného ředitele, členy správní rady, zaměstnance agentury ENISA a jejich rodinné příslušníky, se stanoví v dohodě o sídle mezi agenturou ENISA a hostitelským členským státem uzavřené poté, co k tomu správní rada udělí souhlas.

2.Hostitelský členský stát agentury ENISA poskytuje pro zajištění řádného fungování agentury ENISA nejlepší možné podmínky, přičemž bere v úvahu přístupnost lokality, existenci vhodných vzdělávacích zařízení pro děti zaměstnanců, patřičný přístup na pracovní trh, sociální zabezpečení a zdravotní péči pro děti i pro manžely a manželky zaměstnanců.

Článek 63
Správní kontrola

Na činnost agentury ENISA dohlíží evropský veřejný ochránce práv v souladu s článkem 228 Smlouvy o fungování EU.

Článek 64
Odpovědnost agentury ENISA

1.Smluvní odpovědnost agentury ENISA se řídí právem rozhodným pro danou smlouvu.

2.Soudní dvůr Evropské unie má pravomoc rozhodovat na základě jakékoli rozhodčí doložky obsažené ve smlouvě uzavřené agenturou ENISA.

3.V případě mimosmluvní odpovědnosti nahradí agentura ENISA v souladu s obecnými zásadami, které jsou společné právním řádům členských států, škodu, kterou způsobí ona nebo její zaměstnanci při výkonu svých povinností.

4.Soudní dvůr Evropské unie je příslušný pro spory vztahující se k náhradě škody podle odstavce 3.

5.Osobní odpovědnost zaměstnanců agentury ENISA vůči agentuře ENISA je upravena služebním řádem nebo pracovním řádem vztahujícím se na tyto zaměstnance.

Článek 65
Jazykový režim

1.Na agenturu ENISA se vztahuje nařízení Rady č. 1 79 . Členské státy a ostatní jimi určené subjekty se mohou na agenturu ENISA obracet a přijímat odpovědi v libovolném úředním jazyce orgánů Unie.

2.Překladatelské a veškeré další jazykové služby nezbytné pro fungování agentury ENISA, kromě tlumočení, zajišťuje Překladatelské středisko pro instituce Evropské unie.

Článek 66
Ochrana osobních údajů

1.Zpracování osobních údajů agenturou ENISA se řídí nařízením (EU) 2018/1725.

2.Správní rada přijme prováděcí pravidla uvedená v čl. 45 odst. 3 nařízení (EU) 2018/1725. Správní rada může přijmout další opatření nezbytná pro uplatňování nařízení (EU) 2018/1725 ze strany agentury ENISA.

Článek 67
Bezpečnostní pravidla týkající se ochrany citlivých neutajovaných informací a utajovaných informací

Po dohodě s Komisí agentura ENISA přijme svá bezpečnostní pravidla uplatňující bezpečnostní zásady obsažené v bezpečnostních pravidlech Komise pro ochranu citlivých neutajovaných informací a utajovaných informací Evropské unie, jak jsou obsažena v rozhodnutích (EU, Euratom) 2015/443 80 a 2015/444 81 . Tato bezpečnostní pravidla zahrnují ustanovení o výměně, zpracování a ukládání takových informací.

Článek 68
Spolupráce se subjekty Unie a vnitrostátními orgány

1.V zájmu zajištění jednotnosti, vytváření synergií a řešení otázek společného zájmu spolupracuje agentura ENISA v záležitostech týkajících se kybernetické bezpečnosti se službou CERT-EU a příslušnými subjekty Unie, včetně Europolu, Evropského průmyslového, technologického a výzkumného centra kompetencí pro kybernetickou bezpečnost zřízeného podle nařízení (EU) 2021/887 a Evropského sboru pro ochranu osobních údajů zřízeného podle čl. 68 odst. 1 nařízení (EU) 2016/679.

2.Spolupráce uvedená v odstavci 1 může být zajištěna:

a)výměnou know-how a osvědčených postupů;

b)poskytováním poradenství a vydáváním pokynů týkajících se otázek souvisejících s kybernetickou bezpečností;

c)uzavíráním praktických ujednání pro výkon konkrétních úkolů, po konzultaci s Komisí.

3.Agentura ENISA naváže strukturovanou spolupráci se službou CERT-EU, zejména v otázkách týkajících se budování kapacit, operativní spolupráce a dlouhodobých strategických analýz kybernetických hrozeb.

4.Agentura ENISA spolupracuje a vyměňuje si informace s příslušnými orgány dozoru nad trhem a orgány dohledu určenými podle právních předpisů Unie v oblasti kybernetické bezpečnosti, včetně nařízení (EU) 2024/2847.

Článek 69
Spolupráce se zúčastněnými stranami

1.Je-li to nezbytné k dosažení cílů tohoto nařízení, spolupracuje agentura ENISA s příslušnými zúčastněnými stranami, jako jsou odvětví kybernetické bezpečnosti, odvětví informačních a komunikačních technologií, malé a střední podniky, subjekty působící v odvětvích uvedených v přílohách I a II směrnice (EU) 2022/2555, výrobci, dovozci nebo distributoři produktů s digitálními prvky ve smyslu nařízení (EU) 2024/2847, subjekty posuzování shody oznámené podle evropského rámce pro certifikaci kybernetické bezpečnosti a nařízení (EU) 2024/2847, subjekty působící v oblasti prostředků pro elektronickou identifikaci, skupiny spotřebitelů a akademičtí odborníci v oblasti kybernetické bezpečnosti. Za tímto účelem může agentura ENISA vytvářet partnerství veřejného a soukromého sektoru.

2.Agentura ENISA po konzultaci s Komisí podporuje spolupráci mezi oznámenými subjekty posuzování shody podle článku 93. Zejména může zřídit skupinu oznámených subjektů posuzování shody za účelem sdílení osvědčených postupů a vytváření synergií s dalšími příslušnými právními předpisy Unie, zejména s nařízením (EU) 2024/2847.

Článek 70
Spolupráce s třetími zeměmi a mezinárodními organizacemi

1.V rozsahu nezbytném pro dosažení cílů tohoto nařízení může agentura ENISA v souladu s prioritami Unie spolupracovat s příslušnými orgány třetích zemí nebo s mezinárodními organizacemi. Za tímto účelem může agentura ENISA s výhradou předchozího schválení Komisí uzavřít s orgány třetích zemí a s mezinárodními organizacemi pracovní ujednání. Z těchto pracovních ujednání nevyplývají pro Unii ani její členské státy žádné právní závazky.

2.Správní rada přijme strategii pro vztahy se třetími zeměmi a mezinárodními organizacemi v otázkách, které spadají do oblasti působnosti agentury ENISA a jsou v souladu s prioritami uvedenými v odstavci 1. Komise zajistí, aby agentura ENISA působila v mezích svého mandátu a stávajícího institucionálního rámce tím, že s výkonným ředitelem uzavře příslušná pracovní ujednání.

3.Na podporu spolupráce se třetími zeměmi, zejména se zeměmi, které jsou kandidáty na přistoupení k Unii, může agentura ENISA poskytovat své odborné znalosti v oblasti budování kapacit, zejména v těchto oblastech:

a)posouzení úrovně vyspělosti schopností a zdrojů v oblasti kybernetické bezpečnosti;

b)růst a zvyšování kvalifikace pracovních sil v oblasti kybernetické bezpečnosti, mimo jiné prosazováním ECSF a evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti a zajišťováním činností v oblasti učení a odborné přípravy;

c)podpora plánování a provádění cvičení v oblasti kybernetické bezpečnosti.

4.Agentura ENISA je otevřena účasti třetích zemí, které za tímto účelem uzavřely dohody s Unií, na činnosti agentury. Na základě příslušných ustanovení dohod uzavřených mezi třetími zeměmi a Unií se s výhradou předchozího schválení Komisí uzavírají pracovní ujednání, která vymezují zejména povahu, rozsah a způsob účasti těchto třetích zemí na činnosti agentury ENISA a zahrnují ustanovení o účasti na iniciativách agentury ENISA, finančních příspěvcích a zaměstnancích. Pokud jde o záležitosti týkající se zaměstnanců, jsou tato pracovní ujednání v každém případě v souladu se služebním řádem a pracovním řádem.

5.Agentura ENISA pravidelně podává Radě a Komisi zprávy o provádění pracovních ujednání uvedených v odstavcích 1 a 4.

HLAVA III

EVROPSKÝ RÁMEC PRO CERTIFIKACI KYBERNETICKÉ BEZPEČNOSTI

KAPITOLA I 
Cíle, oblast působnosti a postupy

Článek 71
Cíle a oblast působnosti evropského rámce pro certifikaci kybernetické bezpečnosti

1.Evropský rámec pro certifikaci kybernetické bezpečnosti se zřizuje s cílem vytvořit jednotný digitální trh pro produkty, služby a procesy IKT, řízené bezpečnostní služby a subjekty. Za tímto účelem rámec zvýší úroveň kybernetické bezpečnosti v Unii a umožní harmonizovaný přístup k evropským schématům certifikace kybernetické bezpečnosti, jakož i využití certifikace k usnadnění souladu s platnými právními předpisy Unie.

2.Evropský rámec pro certifikaci kybernetické bezpečnosti stanoví mechanismus pro zřízení evropských schémat certifikace kybernetické bezpečnosti a pro potvrzování toho, že:

a)produkty, služby a procesy IKT, které byly hodnoceny v souladu s takovými schématy, splňují stanovené bezpečnostní požadavky, pokud jde o ochranu dostupnosti, autentičnosti, integrity nebo důvěrnosti uchovávaných, předávaných či zpracovávaných údajů nebo funkcí či služeb nabízených nebo přístupných prostřednictvím těchto produktů, služeb a procesů během celého jejich životního cyklu;

b)řízené bezpečnostní služby, které byly hodnoceny v souladu s těmito schématy, splňují stanovené bezpečnostní požadavky, pokud jde o ochranu dostupnosti, autenticity, integrity a důvěrnosti údajů, které jsou v souvislosti s poskytováním těchto služeb předmětem přístupu, zpracování, ukládání či předávání, a že tyto služby jsou trvale poskytovány s nezbytnými kompetencemi, odborností a zkušenostmi, a to zaměstnanci s dostatečnou a odpovídající úrovní příslušných technických znalostí a profesní integrity;

c)kybernetická pozice subjektu, který byl hodnocen v souladu s těmito schématy, splňuje stanovené požadavky na kybernetickou bezpečnost.

3.Evropská certifikace kybernetické bezpečnosti je dobrovolná, nestanoví-li unijní nebo vnitrostátní právo jinak.

4.Evropský certifikát kybernetické bezpečnosti a EU prohlášení o shodě vydané podle evropského rámce pro certifikaci kybernetické bezpečnosti jsou automaticky uznávány ve všech členských státech.

Článek 72
Informování veřejnosti a konzultace

1.Nejméně jednou ročně Komise s podporou agentury ENISA uspořádá Evropské shromáždění k certifikaci kybernetické bezpečnosti, na které pozve členy Evropské skupiny pro certifikaci kybernetické bezpečnosti a další příslušné odborníky z členských států, příslušné odborníky ze subjektů Unie a příslušné zúčastněné strany, aby projednali strategické priority harmonizace v oblasti certifikace kybernetické bezpečnosti.

2.Komise udržuje a pravidelně aktualizuje zvláštní internetové stránky, které poskytují informace o:

a)evropských schématech certifikace kybernetické bezpečnosti, jejichž vývoj je požadován podle článku 73;

b)strategických prioritách pro harmonizaci produktů, služeb a procesů IKT, řízených bezpečnostních služeb, kybernetické pozice subjektů nebo bezpečnostních požadavků právních předpisů Unie, včetně potenciálních oblastí, pro které by mohlo být požadováno evropské schéma certifikace kybernetické bezpečnosti.

3.Komise zveřejní na internetových stránkách uvedených v odstavci 2 tohoto článku informace o své žádosti agentuře ENISA o vypracování návrhu schématu podle článku 73 a o svém rozhodnutí přijmout, zamítnout nebo ukončit návrh schématu zaslaný agenturou ENISA v souladu s čl. 74 odst. 7.

4.V průběhu vypracovávání návrhu schématu agenturou ENISA podle článku 74 mohou Evropský parlament a Rada požádat Komisi coby předsedu Evropské skupiny pro certifikaci kybernetické bezpečnosti a agenturu ENISA, aby předložily příslušné informace o návrhu schématu. Na žádost Evropského parlamentu nebo Rady může agentura ENISA po dohodě s Komisí, a aniž je dotčen článek 54, zpřístupnit Evropskému parlamentu a Radě příslušné části návrhu schématu způsobem, který odpovídá požadované úrovni důvěrnosti, a případně omezeným způsobem.

5.Evropský parlament a Rada mohou vyzvat Komisi a agenturu ENISA k projednání záležitostí týkajících se provádění evropských schémat certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů.

Článek 73
Žádosti o evropské schéma certifikace kybernetické bezpečnosti

1.Komise může požádat agenturu ENISA, aby připravila návrh evropského schématu certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů.

2.V řádně odůvodněných případech může k předložení žádosti uvedené v odstavci 1 Komisi vyzvat Evropská skupina pro certifikaci kybernetické bezpečnosti.

3.V žádosti uvedené v odstavci 1 se podrobně uvede účel, rozsah a způsoby plnění příslušných cílů a prvků v oblasti bezpečnosti stanovených v článcích 80 a 81. V žádosti se rovněž uvede plán vývoje návrhu evropského schématu certifikace kybernetické bezpečnosti a příslušné technické specifikace, na které má schéma odkazovat nebo které v něm mají být definovány.

4.Při přípravě žádosti uvedené v odstavci 1 Komise náležitě konzultuje agenturu ENISA a Evropskou skupinu pro certifikaci kybernetické bezpečnosti a rovněž zohlední názory všech příslušných zúčastněných stran a dalších subjektů Unie, případně včetně těch, které jsou relevantní podle právních předpisů Unie, v nichž je prokazování shody a poskytování předpokladu shody zajištěno evropským schématem certifikace kybernetické bezpečnosti.

Článek 74
Vypracování a přijetí evropského schématu certifikace kybernetické bezpečnosti

1.Nejpozději do 12 měsíců od obdržení žádosti Komise podle článku 73, není-li v žádosti uvedeno jinak, vypracuje agentura ENISA návrh evropského schématu certifikace kybernetické bezpečnosti, který splňuje požadavky stanovené v článcích 80 a 81.

2.Pro každý návrh schématu agentura ENISA zřídí ad hoc pracovní skupinu v souladu s čl. 32 odst. 6, která agentuře ENISA poskytuje odborné poradenství.

3.Při přípravě návrhu schématu agentura ENISA úzce spolupracuje s Evropskou skupinou pro certifikaci kybernetické bezpečnosti. Skupina poskytuje agentuře ENISA pomoc a odborné poradenství v souvislosti s vypracováním návrhu schématu a případných podpůrných technických specifikací.

4.Při přípravě návrhu schématu, včetně případných podpůrných technických specifikací, agentura ENISA včas konzultuje zúčastněné strany prostřednictvím formálních, otevřených, transparentních a inkluzivních konzultačních postupů. Agentura ENISA rovněž spolupracuje s příslušnými veřejnými orgány v členských státech a s příslušnými subjekty Unie s cílem získat jejich odborné poradenství při vypracování návrhu schématu a případných podpůrných technických specifikací. Při předávání návrhu schématu Komisi podle odstavce 6 agentura ENISA popíše, jak zajistila soulad s tímto odstavcem.

5.Před předáním návrhu schématu a případných podpůrných technických specifikací Komisi požádá agentura ENISA členy Evropské skupiny pro certifikaci kybernetické bezpečnosti o písemná stanoviska k návrhu schématu. Stanoviska se poskytují nejpozději do 30 dnů ode dne podání žádosti. Komise připomínky členů Evropské skupiny pro certifikaci kybernetické bezpečnosti zohlední v maximální možné míře. Neposkytnutí těchto stanovisek nebrání agentuře ENISA v předání návrhu schématu Komisi.

6.Agentura ENISA předá návrh schématu Komisi nejpozději do 60 dnů ode dne podání žádosti podle odstavce 5.

7.Po obdržení návrhu schématu Komise vyhodnotí, zda schéma odpovídá žádosti podané v souladu s článkem 73. Do 30 dnů ode dne předání daného návrhu schématu přijme Komise jedno z těchto opatření:

a)přijme návrh schématu;

b)vrátí návrh schématu agentuře ENISA k revizi a uvede odůvodnění tohoto vrácení a lhůtu nepřesahující 90 dnů, ve které agentura ENISA předloží revidovaný návrh schématu;

c)ukončí navrhování schématu.

8.Pokud Komise vrátí agentuře ENISA návrh schématu k revizi podle odst. 7 písm. b), použijí se odpovídajícím způsobem odstavce 4, 5 a 7.

9.Komisi je svěřena pravomoc přijmout na základě schváleného návrhu schématu vypracovaného agenturou ENISA prováděcí akty, kterými stanoví evropské schéma certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů splňující požadavky stanovené v článcích 80 a 81. Tento prováděcí akt se přijme přezkumným postupem uvedeným v čl. 118 odst. 2.

10.Komise může v prováděcích aktech uvedených v odstavci 9 tohoto článku v souladu s články 18 a 77 odkazovat na technické specifikace vypracované agenturou ENISA.

11.Komise může v prováděcích aktech uvedených v odstavci 9 tohoto článku v souladu s článkem 87 stanovit podmínky pro mezinárodní uznávání evropských certifikátů kybernetické bezpečnosti.

Článek 75
Udržování evropského schématu certifikace kybernetické bezpečnosti

1.Každé evropské schéma certifikace kybernetické bezpečnosti stanoví strategii udržování. Strategie udržování vymezí očekávání týkající se činností v oblasti udržování, zejména těch, které se vztahují k normám nebo technickým specifikacím, ke kterým schéma odkazuje, a k interakci s příslušnými zúčastněnými stranami.

2.Agentura ENISA ve spolupráci s Komisí a s podporou Evropské skupiny pro certifikaci kybernetické bezpečnosti a její příslušné podskupiny pro udržování schémat zajišťuje udržování evropských schémat certifikace kybernetické bezpečnosti, a to i s ohledem na jejich možný přezkum ze strany Komise. Agentura ENISA spolupracuje s příslušnými subjekty Unie a skupinami a vyměňuje si s nimi informace týkající se činností v oblasti udržování.

3.Agentura ENISA může organizovat zapojení soukromého sektoru do udržování schématu formou ad hoc pracovní skupiny v souladu se strategií udržování uvedenou v odstavci 1.

4.Činnosti v oblasti udržování evropských schémat certifikace kybernetické bezpečnosti zahrnují:

a)přípravu, aktualizaci a schvalování technických specifikací a pokynů na podporu harmonizovaného a jednotného provozu schémat;

b)určení norem nebo technických specifikací, které jsou pro schéma relevantní;

c)interakce a případně navázání spolupráce s příslušnými zúčastněnými stranami, včetně evropských nebo mezinárodních normalizačních organizací, a to i za účelem poskytování nebo přijímání technických příspěvků;

d)vydávání doporučení Komisi ohledně nezbytných zlepšení a aktualizací schémat, a to i s ohledem na možný přezkum schémat;

e)výměnu informací týkajících se praktického provádění schémat mezi členskými státy;

f)příspěvky k mechanismům vzájemného hodnocení a vzájemného posouzení a analýzy výsledků těchto hodnocení s cílem zlepšit provoz schémat a podpořit jejich případný přezkum.

5.Evropská skupina pro certifikaci kybernetické bezpečnosti může vydat stanovisko k udržování evropských schémat certifikace kybernetické bezpečnosti.

Článek 76
Hodnocení, přezkum a zrušení evropského schématu certifikace kybernetické bezpečnosti

1.Nejméně každé čtyři roky po začátku použitelnosti evropského schématu certifikace kybernetické bezpečnosti agentura ENISA ve spolupráci s příslušnou podskupinou Evropské skupiny pro certifikaci kybernetické bezpečnosti pro udržování schémat a s přihlédnutím ke zpětné vazbě obdržené od zúčastněných stran vyhodnotí dopad a účinnost tohoto schématu. Agentura ENISA provede hodnocení prostřednictvím analýzy trhu v souladu s čl. 8 odst. 1.

2.Po hodnocení uvedeném v odstavci 1 může Komise přezkoumat nebo zrušit prováděcí akty, kterými se stanoví evropské schéma certifikace kybernetické bezpečnosti podle čl. 74 odst. 9.

3.Při přezkumu nebo rušení evropských schémat certifikace kybernetické bezpečnosti Komise konzultuje agenturu ENISA, Evropskou skupinu pro certifikaci kybernetické bezpečnosti a její příslušnou podskupinu pro udržování schémat, a zohledňuje i názory příslušných zúčastněných stran a dalších subjektů Unie.

4.Evropská skupina pro certifikaci kybernetické bezpečnosti může vydat stanovisko k přezkumu nebo zrušení evropského schématu certifikace kybernetické bezpečnosti. Komise toto stanovisko náležitě zohlední při přezkumu nebo rušení evropského schématu certifikace kybernetické bezpečnosti.

Článek 77 
Technické specifikace v evropských schématech certifikace kybernetické bezpečnosti

1.Agentura ENISA může vypracovat technické specifikace s ohledem na budoucí evropské schéma certifikace kybernetické bezpečnosti nebo na podporu udržování evropského schématu certifikace kybernetické bezpečnosti.

2.Technické specifikace uvedené v odstavci 1 tohoto článku se vypracovávají včas a za podpory Evropské skupiny pro certifikaci kybernetické bezpečnosti a jejích podskupin pro udržování schémat a případně odpovídající ad hoc pracovní skupiny podle čl. 75 odst. 3. Za tímto účelem si agentura ENISA rovněž vyžádá příspěvky od příslušných skupin zúčastněných stran s ohledem na strategii udržování uvedenou v čl. 75 odst. 1.

3.Pokud se v evropském schématu certifikace kybernetické bezpečnosti odkazuje na technické specifikace podle čl. 74 odst. 10, zpřístupní se tyto specifikace na internetových stránkách uvedených v článku 79.

4.V řádně odůvodněných případech, zejména pokud technické specifikace obsahují informace, které by mohly ohrozit bezpečnost certifikovaných produktů, služeb nebo procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, se tyto technické specifikace distribuují pouze těm zúčastněným stranám, kterých se požadavky schématu týkají. Na tyto technické specifikace se neodkazuje v evropském schématu certifikace kybernetické bezpečnosti podle čl. 74 odst. 10.

Článek 78 
Usnadnění souladu s právními předpisy Unie

1.Pokud tak konkrétní právní akt Unie stanoví, certifikát vydaný v rámci evropského schématu certifikace kybernetické bezpečnosti prokazuje soulad a zakládá předpoklad shody s odpovídajícími požadavky stanovenými v daném právním aktu.

2.Hodnotící činnosti v rámci evropského schématu certifikace kybernetické bezpečnosti musí být v souladu s příslušným právním aktem Unie, který stanoví prokazování souladu a předpoklad shody. Pokud tyto hodnotící činnosti nejsou v příslušném právním aktu Unie upřesněny, stanoví je dané schéma. Posuzování shody pro účely certifikace, které poskytuje předpoklad shody s požadavky stanovenými v právních předpisech Unie, provádí třetí strana.

3.Pokud harmonizované právní předpisy Unie neexistují, mohou vnitrostátní právní předpisy rovněž stanovit, že evropské schéma certifikace kybernetické bezpečnosti lze použít k prokázání souladu a vyslovení předpokladu shody s konkrétními právními požadavky stanovenými ve vnitrostátních právních předpisech.

Článek 79
Využívání evropských schémat certifikace kybernetické bezpečnosti, internetové stránky agentury ENISA a zveřejňování certifikátů

1.Agentura ENISA organizuje činnosti na podporu zavádění přijatých evropských schémat certifikace kybernetické bezpečnosti, včetně správy internetových stránek uvedených v odstavci 2 tohoto článku.

2.Agentura ENISA udržuje a pravidelně aktualizuje zvláštní internetové stránky, které poskytují veřejné informace o:

a)evropských schématech certifikace kybernetické bezpečnosti;

b)poplatcích spojených s udržováním jednotlivých evropských schémat certifikace kybernetické bezpečnosti;

c)příslušných technických specifikacích agentury ENISA;

d)evropských certifikátech kybernetické bezpečnosti a EU prohlášeních o shodě, včetně informací o certifikátech a prohlášeních, které již nejsou platné nebo jejichž platnost byla pozastavena, byly zrušeny nebo jejich doba platnosti uplynula;

e)příslušných doplňujících informacích o kybernetické bezpečnosti poskytnutých v souladu s článkem 84;

f)souhrnech vzájemných hodnocení podle čl. 89 odst. 7;

g)technických specifikacích, na které odkazuje evropské schéma certifikace kybernetické bezpečnosti podle čl. 74 odst. 10.

3.V příslušných případech internetové stránky uvedené v odstavci 2 rovněž uvádějí ta vnitrostátní schémata certifikace kybernetické bezpečnosti, která byla nahrazena evropským schématem certifikace kybernetické bezpečnosti.

KAPITOLA II 
Obsah evropských schémat certifikace kybernetické bezpečnosti

Článek 80
Bezpečnostní cíle evropských schémat certifikace kybernetické bezpečnosti

1.Evropské schéma certifikace kybernetické bezpečnosti dle potřeby sleduje tyto bezpečnostní cíle:

a)zajistit, aby produkty, služby a procesy IKT a řízené bezpečnostní služby byly zabezpečeny na úrovni standardního nastavení a výchozího návrhu;

b)vhodnými technickými prostředky chránit uložené, předávané nebo jinak zpracovávané údaje proti náhodnému nebo neoprávněnému uložení, zpracování, přístupu nebo sdělování, a to s ohledem na celý životní cyklus produktů, služeb nebo procesů IKT;

c)chránit integritu uložených, předávaných nebo jinak zpracovávaných osobních nebo jiných údajů, příkazů, programů a konfigurací před jakoukoli manipulací nebo změnou, kterou uživatel nepovolil, a podávat zprávy o narušeních s ohledem na celý životní cyklus produktů, služeb nebo procesů IKT;

d)zajistit ochranu před neoprávněným přístupem vhodnými kontrolními mechanismy, mimo jiné systémy správy autentizace, identity nebo přístupu, a podávat zprávy o možném neoprávněném přístupu;

e)určit a zdokumentovat komponenty a zranitelnosti, případně i vypracováním softwarového kusovníku zahrnujícího přinejmenším závislosti na nejvyšší úrovni;

f)poskytovat informace související s bezpečností prostřednictvím zaznamenávání a monitorování příslušné interní činnosti, a to i přístupem k údajům, službám nebo funkcím, případně jejich pozměňováním, s mechanismem, který uživateli umožňuje toto odmítnout;

g)ověřit, že produkty, služby a procesy IKT neobsahují žádné známé zneužitelné zranitelnosti;

h)chránit dostupnost základních a klíčových funkcí, a to i po incidentu, mimo jiné opatřeními ke zvýšení odolnosti vůči útokům, které mají podobu odmítnutí služby, a opatřeními ke zmírňování těchto útoků;

i)minimalizovat negativní dopad na dostupnost služeb poskytovaných jinými sítěmi a zařízeními v případě fyzického nebo technického incidentu;

j)zajistit pravidelné testování produktů, služeb a procesů IKT a revizi jejich bezpečnosti;

k)zajistit, aby byly zranitelnosti neprodleně řešeny a opravovány, a to i prostřednictvím bezpečnostních aktualizací, a aby byly informace o opravených zranitelnostech sdíleny a zveřejňovány, pokud rizika zveřejnění nepřevažují nad bezpečnostními přínosy;

l)zajistit, aby byla zavedena politika koordinovaného zveřejňování zranitelností;

m)usnadnit sdílení informací o možných zranitelnostech produktů, služeb a procesů IKT;

n)zajistit, aby v případě, že jsou k dispozici bezpečnostní aktualizace, které řeší zjištěné bezpečnostní problémy, byly tyto bezpečnostní aktualizace neprodleně šířeny;

o)zajistit, aby řízené bezpečnostní služby byly poskytovány s nezbytnými kompetencemi, odborností a zkušenostmi, včetně toho, že zaměstnanci odpovědní za poskytování těchto služeb mají dostatečnou a odpovídající úroveň technických znalostí a kompetencí v dané oblasti, dostatečné a odpovídající zkušenosti a nejvyšší úroveň profesní integrity;

p)zajistit, aby produkty, služby a procesy IKT zaváděné v rámci poskytování řízených bezpečnostních služeb byly bezpečné na úrovni výchozího návrhu a výchozího nastavení („secure by design“ a „secure by default“) a aby v příslušných případech zahrnovaly nejnovější bezpečnostní aktualizace a neobsahovaly veřejně známé zranitelnosti;

q)zajistit, aby certifikovaný subjekt používal vhodné vnitřní procesy k zajištění poskytování řízených bezpečnostních služeb na dostatečné a odpovídající úrovni kvality;

r)zajistit, aby certifikovaný subjekt byl schopen identifikovat incidenty, chránit se před nimi, odhalovat je, reagovat na ně a zotavovat se z nich;

s)zajistit, aby byl certifikovaný subjekt schopen řídit bezpečnostní rizika, jimž čelí sítě a informační systémy, jež tento subjekt používá pro svůj provoz nebo poskytování svých služeb, a předcházet incidentům nebo minimalizovat dopad incidentů na příjemce jeho služeb a na další služby;

t)zajistit, aby byl certifikovaný subjekt schopen budovat, zajišťovat a revidovat svoji provozní integritu a spolehlivost tím, že si, ať již přímo, či nepřímo s využitím služeb poskytovaných poskytovateli služeb IKT z řad třetích stran, zajistí veškeré schopnosti související s IKT a nezbytné k řešení otázek bezpečnosti sítí a informačních systémů, které používá a které přispívají k nepřetržitému poskytování služeb a k jejich kvalitě, mimo jiné i během narušení;

u)zajistit, aby byl certifikovaný subjekt schopen zavést a udržovat systém řízení bezpečnosti informací;

v)odolávat všem událostem, které by mohly ohrozit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných či zpracovávaných údajů nebo služeb nabízených nebo přístupných prostřednictvím sítě a informačního systému, které subjekt používá, a zajistit nepřetržité poskytování služeb a jejich kvalitu, mimo jiné i během narušení;

w)zajistit, aby byl subjekt schopen zaručit bezpečnost zpracování osobních údajů.

2.Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 119 za účelem změny odstavce 1 tohoto článku doplněním nebo úpravou bezpečnostních cílů, aby se zajistilo, že se do nich promítne nejnovější technologický vývoj a nové související hrozby i přijetí nových právních předpisů Unie, které vyžadují prokázání souladu a předpokladu shody s příslušnými požadavky na kybernetickou bezpečnost, které jsou v těchto předpisech uvedeny, prostřednictvím evropské certifikace kybernetické bezpečnosti.

3.Evropské schéma certifikace kybernetické bezpečnosti týkající se produktů s digitálními prvky ve smyslu čl. 3 bodu 1 nařízení (EU) 2024/2847 je navrženo v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I uvedeného nařízení a zohledňuje dostupné harmonizované normy.

Článek 81
Prvky evropských schémat certifikace kybernetické bezpečnosti

1.Evropské schéma certifikace kybernetické bezpečnosti zahrnuje alespoň tyto prvky:

a)předmět a oblast působnosti schématu certifikace včetně druhu nebo kategorií produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb nebo aktiv, služeb a funkcí subjektu, na které se certifikace vztahuje;

b)jasný popis účelu schématu a případně určení právních předpisů Unie, které stanoví požadavky, pro které evropské certifikáty kybernetické bezpečnosti prokazují soulad a zakládají předpoklad shody;

c)strategii udržování, která upřesňuje přístup k činnostem udržování podle článku 75;

d)konkrétní požadavky na kybernetickou bezpečnost, kritéria hodnocení a metody, které se mají používat pro hodnocení produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, a odkazy na mezinárodní, evropské nebo vnitrostátní normy používané při hodnocení produktů, služeb nebo procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, nebo pokud takové normy nejsou k dispozici nebo nejsou vhodné, na technické specifikace vypracované agenturou ENISA podle článku 77, nebo pokud takové specifikace nejsou k dispozici, na jiné technické specifikace;

e)maximální dobu platnosti evropských certifikátů kybernetické bezpečnosti vydaných v rámci schématu.

2.Evropské schéma certifikace kybernetické bezpečnosti zahrnuje alespoň pravidla a podmínky týkající se:

a)monitorování souladu produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů s požadavky evropských certifikátů kybernetické bezpečnosti nebo EU prohlášení o shodě, včetně mechanismů prokázání pokračujícího plnění specifikovaných požadavků na kybernetickou bezpečnost;

b)vydávání, potvrzování, rušení a obnovování evropských certifikátů kybernetické bezpečnosti, rozšiřování nebo omezování rozsahu certifikace a opětovné certifikace;

c)důsledků pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo subjekty, jež jsou certifikovány nebo pro něž bylo vydáno EU prohlášení o shodě, avšak nesplňují požadavky schématu;

d)způsobu oznamování a řešení dříve nezjištěných zranitelností v kybernetické bezpečnosti produktů, služeb a procesů IKT;

e)obsahu a formátu vydávaných evropských certifikátů kybernetické bezpečnosti a EU prohlášení o shodě;

f)doby dostupnosti EU prohlášení o shodě, technické dokumentace a veškerých dalších relevantních informací, které má zpřístupňovat výrobce nebo poskytovatel produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb nebo subjekt, jehož kybernetická pozice podléhá certifikaci;

g)veškerých mechanismů vzájemného posouzení zřízených v rámci schématu pro orgány nebo subjekty vydávající evropské certifikáty kybernetické bezpečnosti podle čl. 85 odst. 4, aniž je dotčeno vzájemné hodnocení podle článku 90;

h)důvěrnosti informací a údajů získaných všemi stranami při plnění úkolů a činností souvisejících s prováděním ustanovení této hlavy;

i)formátu a postupů, jež výrobci a poskytovatelé produktů, služeb či procesů IKT musejí dodržovat při poskytování a aktualizaci doplňujících informací o kybernetické bezpečnosti podle článku 84 a

j)kontinuity certifikačních činností během mimořádných krizových situací, které jsou nevyhnutelné a brání možnosti uplatnit pravidla schématu certifikace.

3.Evropské schéma certifikace kybernetické bezpečnosti ve vhodných případech zahrnuje také:

a)jednu nebo více úrovní záruky a odpovídající úrovně hodnocení;

b)profily ochrany, které upřesňují bezpečnostní požadavky platné pro danou kategorii produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb;

c)profily rozšíření pro stanovení dalších bezpečnostních požadavků, včetně případných bezpečnostních požadavků stanovených ve vnitrostátních předpisech, kterými se provádí právní předpisy Unie ve vnitrostátním právu;

d)objasnění, které činnosti posuzování shody, včetně kalibrace, zkoušení, certifikace a inspekce, jsou pro úroveň záruky „vysoká“ nebo pro účely prokázání souladu a stanovení předpokladu shody povoleny mimo Evropský hospodářský prostor (EHP);

e)identifikaci vnitrostátních nebo mezinárodních schémat certifikace kybernetické bezpečnosti zahrnující stejné druhy nebo kategorie produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů;

f)dodatečné nebo konkrétní požadavky na subjekty posuzování shody, s cílem zajistit jejich technickou způsobilost k hodnocení požadavků na kybernetickou bezpečnost;

g)informace, které jsou nezbytné pro certifikaci a které má žadatel poskytnout nebo jinak zpřístupnit subjektům posuzování shody;

h)známky nebo označení a podmínky používání těchto známek nebo označení;

i)podmínky pro mezinárodní uznávání evropských certifikátů kybernetické bezpečnosti v souladu s článkem 87.

4.Specifikované požadavky evropského schématu certifikace kybernetické bezpečnosti jsou v souladu s požadavky právních předpisů Unie.

5.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými stanoví společné zásady a vzorová ustanovení pro prvky uvedené v odstavcích 1, 2 a 3 pro všechna evropská schémata certifikace kybernetické bezpečnosti. Jsou-li vhodné a dostupné, může evropské schéma certifikace kybernetické bezpečnosti obsahovat odkazy na tyto zásady a vzorová ustanovení.

6.Prováděcí akty uvedené v odstavci 5 se přijímají přezkumným postupem podle čl. 118 odst. 2. Při vypracovávání nebo revizi společných zásad a vzorových ustanovení pro prvky evropských schémat certifikace kybernetické bezpečnosti Komise konzultuje agenturu ENISA a případně zohlední názory Evropské skupiny pro certifikaci kybernetické bezpečnosti, příslušných zúčastněných stran a dalších příslušných subjektů.

Článek 82
Úrovně záruky a hodnocení evropských schémat certifikace kybernetické bezpečnosti

1.Evropské schéma certifikace kybernetické bezpečnosti může u produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů určit jednu nebo více těchto úrovní záruky: „základní“, „významná“ nebo „vysoká“. Tyto úrovně záruky jsou přiměřené úrovni rizika z hlediska pravděpodobnosti a dopadu incidentu, jež je spojeno se zamýšleným použitím produktu, služby či procesu IKT, řízené bezpečnostní služby nebo s povahou subjektů, jejichž kybernetická pozice podléhá certifikaci, a jejich provozního prostředí.

2.Evropské certifikáty kybernetické bezpečnosti odkazují na úroveň záruky uvedenou v evropském schématu certifikace kybernetické bezpečnosti, v jehož rámci byly dotyčné certifikáty vydány. EU prohlášení o shodě se vztahují na úroveň záruky „základní“.

3.Evropské schéma certifikace kybernetické bezpečnosti stanoví bezpečnostní požadavky, které odpovídají každé úrovni záruky, včetně odpovídajících bezpečnostních kontrol a odpovídajícího hodnocení, kterým má produkt, služba nebo proces IKT, řízená bezpečnostní služba nebo kybernetická pozice subjektu projít.

4.Evropský certifikát kybernetické bezpečnosti nebo EU prohlášení o shodě odkazují na technické specifikace, normy a procesy s nimi související, včetně technických kontrol, jejichž účelem je snížit riziko kybernetických bezpečnostních incidentů nebo jim předcházet.

5.Evropský certifikát kybernetické bezpečnosti nebo EU prohlášení o shodě, které odkazují na úroveň záruky „základní“, poskytují záruku, že produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetická pozice subjektu, pro něž jsou tento certifikát nebo toto EU prohlášení o shodě vydány, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních kontrol a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat známá základní rizika incidentů a kybernetických útoků. Prováděné hodnotící činnosti zahrnují alespoň přezkum technické dokumentace. Pokud takový přezkum není vhodný, provedou se náhradní hodnotící činnosti s rovnocenným účinkem.

6.Evropský certifikát kybernetické bezpečnosti, který odkazuje na úroveň záruky „významná“, poskytuje záruku, že produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetická pozice subjektu, pro něž je tento certifikát vydán, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních kontrol a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat známá rizika incidentů a kybernetických útoků a riziko kybernetických útoků prováděných subjekty s omezenými dovednostmi a zdroji. Prováděné hodnotící činnosti zahrnují alespoň přezkum s cílem prokázat neexistenci veřejně známých zranitelností a zkoušku k prokázání toho, že produkty, služby a procesy IKT, řízené bezpečnostní služby nebo subjekty náležitě uplatňují nezbytné bezpečnostní kontroly. Pokud některá z těchto hodnotících činností není vhodná, provedou se náhradní hodnotící činnosti s rovnocenným účinkem.

7.Evropský certifikát kybernetické bezpečnosti, který odkazuje na úroveň záruky „vysoká“, poskytuje záruku, že produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetická pozice subjektů, pro něž je tento certifikát vydán, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních kontrol a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat rizika incidentů a sofistikovaných kybernetických útoků prováděných subjekty s významnými dovednostmi a zdroji. Prováděné hodnotící činnosti zahrnují alespoň:

a)přezkum s cílem prokázat neexistenci veřejně známých zranitelností;

b)zkoušku k prokázání toho, že produkty, služby a procesy IKT, řízené bezpečnostní služby nebo subjekty náležitě uplatňují nezbytné nejnovější bezpečnostní kontroly;

c)posouzení odolnosti produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo subjektů vůči zručným útočníkům, případně s využitím penetračního testování.

Pokud některá z těchto hodnotících činností není vhodná, provedou se náhradní hodnotící činnosti s rovnocenným účinkem. Veškeré činnosti posuzování shody, včetně kalibrace, zkoušení, certifikace a inspekce, pro úroveň záruky „vysoká“ se provádějí v Evropském hospodářském prostoru, pokud evropské schéma certifikace kybernetické bezpečnosti nestanoví jinak.

8.Pokud je účelem evropského schématu certifikace kybernetické bezpečnosti prokazovat soulad s konkrétním právním aktem Unie a stanovovat předpoklad shody s takovým právním aktem Unie, poskytuje evropský certifikát kybernetické bezpečnosti záruku, že certifikované produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetická pozice subjektů splňují odpovídající požadavky na kybernetickou bezpečnost stanovené v tomto právním aktu. Veškeré činnosti posuzování shody, včetně kalibrace, zkoušení, certifikace a inspekce, pro účely předpokladu shody se provádějí v Evropském hospodářském prostoru, pokud evropské schéma certifikace kybernetické bezpečnosti nestanoví jinak.

9.Evropské schéma certifikace kybernetické bezpečnosti může pro danou úroveň záruky stanovit několik úrovní hodnocení. Každá z úrovní hodnocení odpovídá jedné z úrovní záruky.

Článek 83
Vlastní posuzování shody

1.Evropské schéma certifikace kybernetické bezpečnosti může stanovit možnost vlastního posuzování shody, které bude provedeno v rámci výhradní odpovědnosti výrobce nebo poskytovatele produktů, služeb či procesů IKT, řízených bezpečnostních služeb nebo subjektu, jehož kybernetická pozice podléhá certifikaci. Vlastní posuzování shody je přípustné pouze u produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, které vykazují nízké riziko odpovídající úrovni záruky ‚základní‘.

2.Výrobce nebo poskytovatel produktů, služeb či procesů IKT, řízených bezpečnostních služeb nebo subjekt, jehož kybernetická pozice podléhá certifikaci, může vydat EU prohlášení o shodě, v němž uvede, že bylo prokázáno splnění požadavků stanovených v evropském schématu certifikace kybernetické bezpečnosti. Vydáním tohoto prohlášení výrobce nebo poskytovatel nebo subjekt přebírá odpovědnost za soulad produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice s požadavky stanovenými v daném schématu.

3.Výrobce nebo poskytovatel produktů, služeb či procesů IKT, řízených bezpečnostních služeb nebo subjekt, jehož kybernetická pozice podléhá certifikaci, zpřístupní EU prohlášení o shodě, technickou dokumentaci a veškeré ostatní příslušné informace související se shodou produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice s evropským schématem certifikace kybernetické bezpečnosti k dispozici vnitrostátního orgánu certifikace kybernetické bezpečnosti určenému podle v článku 89 po dobu stanovenou v tomto schématu. Jedno vyhotovení EU prohlášení o shodě se bez zbytečného prodlení předkládá vnitrostátnímu orgánu certifikace kybernetické bezpečnosti a jedno vyhotovení agentuře ENISA.

Článek 84
Doplňující informace o kybernetické bezpečnosti týkající se certifikovaných produktů, služeb a procesů IKT

1.Výrobce nebo poskytovatel produktů, služeb nebo procesů IKT, pro které bylo vydáno EU prohlášení o shodě nebo evropský certifikát kybernetické bezpečnosti, zpřístupní uživateli tyto doplňující informace o kybernetické bezpečnosti:

a)informace o zamýšleném účelu příslušného produktu, služby nebo procesu IKT, včetně bezpečnostního prostředí zajišťovaného výrobcem nebo poskytovatelem;

b)pokyny a doporučení, jež uživatelům usnadní bezpečné nastavení, instalaci, uvedení do provozu, provoz samotný a údržbu produktů či služeb IKT;

c)informace o druhu technické bezpečnostní podpory, kterou výrobce nebo poskytovatel nabízí, a datum skončení doby podpory, během níž uživatelé mohou očekávat, že budou řešeny zranitelnosti a že obdrží bezpečnostní aktualizace;

d)pokud se výrobce nebo poskytovatel rozhodne, že uživateli zpřístupní softwarový kusovník, informace o tom, kde je kusovník k dispozici.

2.Výrobce nebo poskytovatel produktů, služeb či procesů IKT, pro něž bylo vydáno EU prohlášení o shodě nebo evropský certifikát kybernetické bezpečnosti, zpřístupní veřejnosti tyto doplňující informace o kybernetické bezpečnosti:

a)jednotné kontaktní místo, kde lze oznámit a obdržet informace o zranitelnostech a kde lze nalézt výrobcovu politiku koordinovaného zveřejňování zranitelností;

b)informace o opravených zranitelnostech, včetně popisu těchto zranitelností, informací umožňujících uživatelům zjistit dotčený produkt s digitálními prvky, dopadu zranitelností, jejich závažnosti a jasných a přístupných informací, které uživatelům pomáhají tyto zranitelnosti opravit; v řádně odůvodněných případech, pokud se výrobci domnívají, že bezpečnostní rizika spojená se zveřejněním převažují nad bezpečnostními přínosy, mohou oddálit zveřejnění informací týkajících se opravené zranitelnosti až do doby, kdy budou mít uživatelé možnost příslušnou softwarovou opravu použít.

3.Informace uvedené v odstavcích 1 a 2 se poskytují v elektronické podobě, přičemž zůstávají k dispozici a jsou podle potřeby aktualizovány během doby platnosti a přinejmenším po dobu pěti let do pozbytí platnosti nebo zrušení odpovídajícího evropského certifikátu kybernetické bezpečnosti nebo EU prohlášení o shodě.

4.Povinnosti stanovené v odstavcích 1 a 2 se nepoužijí, pokud by zveřejněním informací mohla být ohrožena bezpečnost příslušného produktu, služby nebo procesu IKT.

KAPITOLA III 
Správa evropského rámce pro certifikaci kybernetické bezpečnosti

Oddíl 1 
Obecná pravidla a správa evropských schémat certifikace kybernetické bezpečnosti

Článek 85
Vydávání evropských certifikátů kybernetické bezpečnosti

1.U produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo kybernetické pozice subjektů, které byly certifikovány v rámci evropského schématu certifikace kybernetické bezpečnosti, se předpokládá, že splňují požadavky tohoto schématu.

2.Subjekty posuzování shody uvedené v článku 91 vydávají evropské certifikáty kybernetické bezpečnosti na základě kritérií obsažených v evropském schématu certifikace kybernetické bezpečnosti přijatém podle článku 74.

3.Odchylně od odstavce 2 může evropské schéma certifikace kybernetické bezpečnosti stanovit, že evropské certifikáty kybernetické bezpečnosti vyplývající z daného schématu může vydávat pouze jeden z těchto veřejných subjektů:

a)vnitrostátní orgán certifikace kybernetické bezpečnosti uvedený v článku 88, který je akreditován jako subjekt posuzování shody podle čl. 91 odst. 1;

b)veřejný subjekt, který je akreditován jako subjekt posuzování shody podle čl. 91 odst. 1.

4.Pokud evropské schéma certifikace kybernetické bezpečnosti přijaté podle článku 74 stanoví úroveň záruky „vysoká“ nebo pokud toto schéma stanoví jinak, může evropský certifikát kybernetické bezpečnosti v rámci tohoto schématu vydat pouze vnitrostátní orgán certifikace kybernetické bezpečnosti uvedený v článku 88, který je akreditován jako subjekt posuzování shody podle čl. 91 odst. 1, nebo v následujících případech:

a)subjekt posuzování shody na základě modelu předchozího schválení; nebo

b)subjekt posuzování shody na základě modelu obecného pověření.

5.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými stanoví postupy pro modely předchozího schválení nebo obecného pověření uvedené v odstavci 4 tohoto článku. Během přípravy těchto prováděcích aktů Komise konzultuje Evropskou skupinu pro certifikaci kybernetické bezpečnosti. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

6.Fyzická nebo právnická osoba, která předkládá produkty, služby nebo procesy IKT nebo řízené bezpečnostní služby k certifikaci, nebo subjekt, který žádá o certifikaci své kybernetické pozice, zpřístupní vnitrostátnímu orgánu certifikace kybernetické bezpečnosti určenému podle článku 89, pokud je tento orgán subjektem vydávajícím evropský certifikát kybernetické bezpečnosti, nebo subjektu posuzování shody uvedenému v článku 91 veškeré informace nezbytné pro provedení certifikace.

7.Subjekty posuzování shody a případně vnitrostátní orgány certifikace kybernetické bezpečnosti bez zbytečného prodlení informují agenturu ENISA o svých rozhodnutích, která mají vliv na status evropských certifikátů kybernetické bezpečnosti a EU prohlášení o shodě v souladu s článkem 94.

8.Držitel evropského certifikátu kybernetické bezpečnosti informuje subjekt posuzování shody a případně vnitrostátní orgán certifikace kybernetické bezpečnosti uvedený v odstavci 7 o všech následně zjištěných zranitelnostech nebo neshodách týkajících se certifikovaného produktu, služby nebo procesu IKT, řízené bezpečnostní služby nebo kybernetické pozice subjektu, které mají pravděpodobný dopad na jejich shodu s certifikátem. Tento subjekt bez zbytečného prodlení předá tyto informace příslušnému vnitrostátnímu orgánu certifikace kybernetické bezpečnosti a posoudí dopad na certifikát v souladu s podmínkami schématu uvedenými v čl. 81 odst. 2 písm. d).

9.Držitelé evropského certifikátu kybernetické bezpečnosti nesmí u svých certifikovaných produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb, které jsou v plném nebo částečném rozsahu určeny jako klíčová aktiva podle článku 102, používat, instalovat nebo jinak integrovat komponenty IKT nebo součásti zahrnující komponenty IKT od vysoce rizikových dodavatelů v certifikovaných produktech, službách a procesech IKT nebo řízených bezpečnostních službách.

10.Evropský certifikát kybernetické bezpečnosti se vydává na dobu určenou evropským schématem certifikace kybernetické bezpečnosti a může být obnoven, budou-li nadále plněny příslušné požadavky.

11.Komise spolupracuje s členskými státy s cílem zajistit uplatňování ustanovení týkajících se vydávání evropských certifikátů kybernetické bezpečnosti, a to i s ohledem na uplatňování čl. 100 odst. 4 písm. b). Subjekt posuzování shody a případně vnitrostátní orgán certifikace kybernetické bezpečnosti poskytne Komisi na její žádost a bez zbytečného prodlení veškeré informace týkající se vydání příslušných evropských certifikátů kybernetické bezpečnosti nebo EU prohlášení o shodě.

Článek 86
Vnitrostátní schémata certifikace a certifikáty kybernetické bezpečnosti

1.Vnitrostátní schémata certifikace kybernetické bezpečnosti a související postupy pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů, na které se vztahuje předmět a oblast působnosti evropského schématu certifikace kybernetické bezpečnosti, pozbývají účinnosti ode dne stanoveného v prováděcím aktu přijatém podle čl. 74 odst. 9. Vnitrostátní schémata certifikace kybernetické bezpečnosti a související postupy pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů, na které se předmět a oblast působnosti evropského schématu certifikace kybernetické bezpečnosti nevztahuje, mohou zůstat v platnosti.

2.Členské státy nezavádějí nová vnitrostátní schémata certifikace kybernetické bezpečnosti nebo související postupy pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů, na které se již vztahuje předmět a oblast působnosti evropského schématu certifikace kybernetické bezpečnosti.

3.Stávající certifikáty vydané v rámci vnitrostátních schémat certifikace kybernetické bezpečnosti, na něž se vztahuje předmět a oblast působnosti evropského schématu certifikace kybernetické bezpečnosti, zůstávají platné až do data skončení své platnosti.

4.Před přijetím nových vnitrostátních schémat certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby a kybernetickou pozici subjektů členské státy vyrozumí Komisi a Evropskou skupinu pro certifikaci kybernetické bezpečnosti.

5.Komise může členskému státu navrhnout, aby zrušil vnitrostátní schéma certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT, řízené bezpečnostní služby nebo kybernetickou pozici subjektů, pokud již bylo v souladu s článkem 73 požádáno o vytvoření evropského schématu certifikace kybernetické bezpečnosti, které by se na tyto produkty, služby, procesy nebo kybernetickou pozici vztahovalo, s přihlédnutím k plánu vývoje takového schématu.

Článek 87
Mezinárodní uznávání evropských certifikátů kybernetické bezpečnosti

1.Certifikáty produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů vydané ve třetí zemi mohou být prostřednictvím prováděcího aktu nebo uzavřením dohody mezi Unií a příslušnou třetí zemí nebo mezinárodní organizací uznány za rovnocenné evropským certifikátům kybernetické bezpečnosti, pokud jsou požadavky příslušného schématu třetí země nebo schématu mezinárodní organizace považovány za rovnocenné požadavkům evropských schémat certifikace kybernetické bezpečnosti. Komisi je svěřena pravomoc přijímat takové prováděcí akty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

2.Prováděcí akty a dohody uvedené v odstavci 1 vycházejí z podmínek pro mezinárodní uznávání evropských certifikátů kybernetické bezpečnosti stanovených v souladu s čl. 74 odst. 11.

3.Dohody o uznávání certifikátů vydaných ve třetí zemi nebo certifikátů vydaných mezinárodní organizací podle odstavce 1 se uzavírají pouze tehdy, pokud také uznávají evropské certifikáty kybernetické bezpečnosti jako rovnocenné certifikátům vydaným danou třetí zemí.

Článek 88 
Vnitrostátní orgány certifikace kybernetické bezpečnosti

1.Každý členský stát určí jeden nebo více vnitrostátních orgánů certifikace kybernetické bezpečnosti na svém území nebo se souhlasem jiného členského státu jeden nebo více vnitrostátních orgánů certifikace kybernetické bezpečnosti zřízených v tomto jiném členském státě, které budou v určujícím členském státě odpovídat za dohled.

2.Každý členský stát informuje Komisi o určených vnitrostátních orgánech certifikace kybernetické bezpečnosti. Členský stát, jenž určí více než jeden orgán, informuje Komisi rovněž o úkolech, které byly každému z orgánů přiděleny.

3.Každý vnitrostátní orgán certifikace kybernetické bezpečnosti je ve své organizaci, finančních rozhodnutích, právní struktuře a rozhodovacím procesu nezávislý na subjektech, nad nimiž vykonává dohled.

4.Činnosti vnitrostátních orgánů certifikace kybernetické bezpečnosti související s vydáváním evropských certifikátů kybernetické bezpečnosti podle tohoto nařízení jsou striktně odděleny od činností v oblasti dohledu stanovených v tomto článku a v čl. 85 odst. 4 písm. a) a b) a tyto činnosti jsou vykonávány na sobě nezávisle.

5.Členské státy zajistí, aby vnitrostátní orgány certifikace kybernetické bezpečnosti měly odpovídající zdroje pro výkon svých pravomocí a pro efektivní a účinné provádění svých úkolů.

6.Vnitrostátní orgány certifikace kybernetické bezpečnosti mají tyto úkoly:

a)účastní se Evropské skupiny pro certifikaci kybernetické bezpečnosti podle čl. 90 odst. 2;

b)dohlíží na dodržování pravidel zahrnutých do evropských schémat certifikace kybernetické bezpečnosti podle čl. 81 odst. 2 písm. a) s cílem zajistit soulad produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů s požadavky evropských certifikátů kybernetické bezpečnosti, které byly vydány na jejich příslušných územích, a dodržování těchto pravidel vymáhají, a to ve spolupráci s příslušnými orgány dozoru nad trhem nebo orgány dohledu, včetně příslušných orgánů podle směrnice Evropského parlamentu a Rady (EU) 2022/2555 82 nebo nařízení (EU) 2024/2847;

c)ve spolupráci s příslušnými orgány dozoru nad trhem sledují dodržování povinností výrobců nebo poskytovatelů produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo subjektů, jejichž kybernetická pozice je certifikována, stanovených v tomto nařízení, kteří jsou usazeni na jejich příslušných územích, a provádějí vlastní posuzování shody v rámci příslušného evropského schématu certifikace kybernetické bezpečnosti, a dodržování těchto povinností vymáhají;

d)aniž je dotčen čl. 91 odst. 3, pro účely tohoto nařízení aktivně napomáhají vnitrostátním akreditačním orgánům nebo jiným relevantním orgánům při monitorování činnosti subjektů posuzování shody a při dohledu nad touto činností a poskytují uvedeným akreditačním orgánům podporu;

e)spolupracují s Komisí v případě, že je zpochybněna způsobilost subjektu posuzování shody podle článku 94;

f)sledují činnost veřejných subjektů uvedených v čl. 85 odst. 3 a dohlížejí na tyto aktivity;

g)případně autorizují subjekty posuzování shody v souladu s článkem 93, sledují dodržování povinností subjektů posuzování shody, pokud jde o dodatečné nebo zvláštní požadavky stanovené v evropských schématech certifikace kybernetické bezpečnosti podle čl. 81 odst. 3 písm. f), a dodržování těchto povinností vymáhají, a omezí, pozastaví nebo zruší stávající autorizaci, pokud subjekty posuzování shody nesplňují požadavky tohoto nařízení;

h)řeší stížnosti podané fyzickými nebo právnickými osobami v souvislosti s evropskými certifikáty kybernetické bezpečnosti vydanými vnitrostátními orgány certifikace kybernetické bezpečnosti či subjekty posuzování shody v souladu s čl. 85 odst. 4 nebo v souvislosti s EU prohlášeními o shodě vydanými podle článku 83, v přiměřeném rozsahu šetří předmět těchto stížností a v přiměřené lhůtě informují stěžovatele o průběhu a výsledku šetření;

i)každoročně do 31. března [rok vstupu v platnost + 12 měsíců] předkládají Komisi, agentuře ENISA a Evropské skupině pro certifikaci kybernetické bezpečnosti výroční zprávu o svých hlavních činnostech a zpřístupňují tyto zprávy týmu pro vzájemné hodnocení, pokud vnitrostátní orgán certifikace kybernetické bezpečnosti podléhá vzájemnému hodnocení v souladu s článkem 89;

j)spolupracují s dalšími vnitrostátními orgány certifikace kybernetické bezpečnosti, orgány dozoru nad trhem nebo jinými veřejnými orgány, mimo jiné prostřednictvím sdílení informací o možných případech nesouladu produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů s požadavky tohoto nařízení nebo s požadavky konkrétních evropských schémat certifikace kybernetické bezpečnosti;

k)sledují příslušný vývoj v oblasti certifikace kybernetické bezpečnosti.

7.Každý vnitrostátní orgán certifikace kybernetické bezpečnosti má alespoň tyto pravomoci:

a)požadovat po subjektech posuzování shody, držitelích evropských certifikátů kybernetické bezpečnosti a vydavatelích EU prohlášení o shodě, aby poskytovali veškeré informace, které orgán potřebuje pro plnění svých úkolů;

b)za účelem ověření souladu s touto hlavou provádět šetření v podobě auditů u subjektů posuzování shody, držitelů evropských certifikátů kybernetické bezpečnosti a vydavatelů EU prohlášení o shodě za účelem ověřování jejich souladu s požadavky stanovenými v této hlavě;

c)v souladu s vnitrostátním právem přijímat vhodná opatření k zajištění toho, aby subjekty posuzování shody, držitelé evropských certifikátů kybernetické bezpečnosti a vydavatelé EU prohlášení o shodě dodržovali toto nařízení nebo některé evropské schéma certifikace kybernetické bezpečnosti;

d)získat přístup do prostor subjektů posuzování shody nebo držitelů evropských certifikátů kybernetické bezpečnosti za účelem provádění šetření v souladu s právními předpisy Unie nebo procesním právem členských států;

e)zrušit v souladu s vnitrostátním právem evropské certifikáty kybernetické bezpečnosti vydané vnitrostátními orgány certifikace kybernetické bezpečnosti nebo subjekty posuzování shody v souladu s čl. 85 odst. 4, pokud tyto certifikáty nejsou v souladu s tímto nařízením nebo s některým evropským schématem certifikace kybernetické bezpečnosti;

f)v souladu s vnitrostátním právem ukládat sankce podle článku 97 a požadovat okamžité zastavení porušování povinností stanovených v tomto nařízení.

8.Vnitrostátní orgány certifikace kybernetické bezpečnosti spolupracují mezi sebou a s Komisí, a zejména si vyměňují informace, zkušenosti a osvědčené postupy týkající se certifikace kybernetické bezpečnosti a technických otázek v oblasti kybernetické bezpečnosti produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů.

9.Do [datum vstupu v platnost + 6 měsíců] vypracuje agentura ENISA ve spolupráci s Komisí a Evropskou skupinou pro certifikaci kybernetické bezpečnosti vzor zprávy uvedené v odst. 6 písm. i) tohoto článku.

Článek 89
Vzájemné hodnocení

1.Vnitrostátní orgány certifikace kybernetické bezpečnosti podléhají vzájemnému hodnocení.

2.Vzájemné hodnocení se provádí na základě řádných a transparentních hodnotících kritérií a postupů, zejména pokud jde o požadavky na strukturu, lidské zdroje a o procedurální otázky, otázky důvěrnosti a stížnosti.

3.Vzájemné hodnocení posuzuje:

a)zda jsou v příslušných případech činnosti vnitrostátních orgánů certifikace kybernetické bezpečnosti související s vydáváním evropských certifikátů kybernetické bezpečnosti podle tohoto nařízení striktně odděleny od jejich činnosti dohledu podle článku 88 a zda jsou obě činnosti vykonávány na sobě nezávisle;

b)postupy dohledu nad pravidly pro monitorování souladu produktů, služeb a procesů IKT, řízených bezpečnostních služeb a kybernetické pozice subjektů s evropskými certifikáty kybernetické bezpečnosti a vymáhání těchto pravidel, v souladu čl. 88 odst. 7 písm. a);

c)postupy pro sledování povinností výrobců nebo poskytovatelů produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb nebo subjektů, jejichž kybernetická pozice je certifikována, v souladu s čl. 88 odst. 7 písm. b);

d)postupy pro sledování a autorizaci činností subjektů posuzování shody a pro dohled nad nimi.

4.Vzájemné hodnocení provádějí nejméně jednou za pět let alespoň dva vnitrostátní orgány certifikace kybernetické bezpečnosti z jiných členských států a Komise. Agentura ENISA se může vzájemného hodnocení také účastnit jako pozorovatel. Tým pro vzájemné hodnocení vypracuje závěrečnou zprávu a shrnutí vzájemného hodnocení.

5.Agentura ENISA podporuje organizaci mechanismu vzájemného hodnocení a vzájemných hodnocení, mimo jiné tím, že ve spolupráci s Komisí a Evropskou skupinu pro certifikaci kybernetické bezpečnosti vypracovává příslušné pokyny a vzory.

6.Komisi je svěřena pravomoc přijímat prováděcí akty, jimiž stanoví plán vzájemného hodnocení na dobu nejméně pěti let, který stanoví kritéria týkající se složení týmu provádějícího vzájemné hodnocení, metodiku používanou pro vzájemné hodnocení, harmonogram, periodicitu a další úkoly související se vzájemným hodnocením. Při přípravě uvedených prováděcích aktů Komise konzultuje Evropskou skupinu pro certifikaci kybernetické bezpečnosti a agenturu ENISA. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

7.Závěrečnou zprávu, včetně případných pokynů nebo doporučení, a shrnutí vzájemného hodnocení přezkoumá Evropská skupina pro certifikaci kybernetické bezpečnosti, která shrnutí schválí ke zveřejnění na internetových stránkách uvedených v čl. 79 odst. 2.

Článek 90
Evropská skupina pro certifikaci kybernetické bezpečnosti

1.Zřizuje se Evropská skupina pro certifikaci kybernetické bezpečnosti.

2.Evropská skupina pro certifikaci kybernetické bezpečnosti se skládá ze zástupců vnitrostátních orgánů certifikace kybernetické bezpečnosti nebo zástupců jiných příslušných vnitrostátních orgánů. Žádný člen Evropské skupiny pro certifikaci kybernetické bezpečnosti nesmí zastupovat více než dva členské státy.

3.Evropská skupina pro certifikaci kybernetické bezpečnosti má tyto úkoly:

a)poskytovat Komisi poradenství a být ji nápomocna při zajišťování soudržného provádění a uplatňování pravidel stanovených v této hlavě, v záležitostech politiky v oblasti certifikace kybernetické bezpečnosti a při koordinaci politických přístupů;

b)poskytovat Komisi poradenství a být jí nápomocna při přípravě žádostí o evropská schémata certifikace kybernetické bezpečnosti podle článku 73;

c)napomáhat agentuře ENISA, poskytovat jí poradenství a spolupracovat s ní v souvislosti s vypracováním návrhu schématu podle článku 74 a technických specifikací podle článku 77;

d)napomáhat agentuře ENISA a Komisi, poskytovat jim poradenství a spolupracovat s nimi v souvislosti s činnostmi udržování podle článku 75;

e)napomáhat Komisi, poskytovat jí poradenství a spolupracovat s ní v souvislosti s přezkumem nebo zrušením stávajících evropských schémat certifikace kybernetické bezpečnosti podle článku 76;

f)navrhovat předložení žádosti Komisi ve věci vypracování návrhu evropského schématu certifikace kybernetické bezpečnosti podle čl. 73 odst. 2;

g)přijímat stanoviska určená Komisi v souvislosti se zachováním, přezkumem a rušením stávajících evropských schémat certifikace kybernetické bezpečnosti;

h)zkoumat relevantní vývoj v oblasti certifikace kybernetické bezpečnosti, a to i na vnitrostátní úrovni podle článku 86, a sdílet informace a osvědčené postupy týkající se schémat certifikace kybernetické bezpečnosti;

i)usnadňovat spolupráci mezi vnitrostátními orgány certifikace kybernetické bezpečnosti podle pravidel stanovených v této hlavě prostřednictvím budování kapacit a výměny informací, zejména pokud jde o otázky týkající se certifikace kybernetické bezpečnosti;

j)podporovat provádění mechanismu vzájemného hodnocení podle článku 89 a mechanismů vzájemného posouzení v souladu s pravidly stanovenými v evropském schématu certifikace kybernetické bezpečnosti podle čl. 81 odst. 2 písm. g);

k)usnadňovat sbližování evropských schémat kybernetické bezpečnosti s mezinárodně uznávanými normami, a to v rámci zachování stávajících evropských schémat certifikace kybernetické bezpečnosti, a případně podávat doporučení agentuře ENISA, aby navázala dialog s příslušnými evropskými nebo mezinárodními normalizačními organizacemi s cílem společně řešit nedostatky nebo mezery v dostupných evropských nebo mezinárodně uznávaných normách.

4.Komise s pomocí agentury ENISA předsedá Evropské skupině pro certifikaci kybernetické bezpečnosti a zajišťuje této skupině služby sekretariátu.

5.Komise může zřídit podskupiny Evropské skupiny pro certifikaci kybernetické bezpečnosti pro některý z těchto účelů:

a)prozkoumat konkrétní otázky na základě mandátu stanoveného Komisí;

b)udržovat a přezkoumávat evropská schémata certifikace v souladu s tímto nařízením a na základě mandátu stanoveného Komisí.

6.Podskupiny podávají zprávy Evropské skupině pro certifikaci kybernetické bezpečnosti.

7.Podskupinám společně předsedají Komise a agentura ENISA a sekretariát podskupin zajišťuje agentura ENISA.

8.Evropská skupina pro certifikaci kybernetické bezpečnosti a její podskupiny přijímají jednací řád prostou většinou svých členů na základě návrhu Komise a po dohodě s Komisí.

Oddíl 2 
Subjekty posuzování shody

Článek 91
Pravomoci subjektů posuzování shody

1.Subjekty posuzování shody jsou akreditovány vnitrostátními akreditačními orgány stanovenými podle nařízení (ES) č. 765/2008. Akreditace se vydá, pouze pokud subjekt posuzování shody splňuje požadavky stanovené v příloze I tohoto nařízení.

2.Je-li evropský certifikát kybernetické bezpečnosti vydán vnitrostátním orgánem certifikace kybernetické bezpečnosti podle tohoto nařízení, je třeba, aby byl certifikační subjekt daného vnitrostátního orgánu certifikace kybernetické bezpečnosti akreditován jako subjekt posuzování shody podle odstavce 1.

3.Akreditace uvedená v odstavci 1 se vydává subjektům posuzování shody na období nejvýše pěti let a lze ji obnovit, pokud daný subjekt posuzování shody stále splňuje požadavky stanovené v tomto článku. Vnitrostátní akreditační orgány přijmou v přiměřené lhůtě veškerá odpovídající opatření s cílem omezit, pozastavit nebo zrušit akreditaci subjektu posuzování shody vydanou podle odstavce 1, pokud podmínky pro udělení akreditace nebyly nebo již nejsou splněny nebo subjekt posuzování shody nedodržuje toto nařízení.

4.Při stanovování dodatečných nebo zvláštních akreditačních požadavků na evropské schéma certifikace kybernetické bezpečnosti vztahující se na produkty IKT podle článku 92 se případně usiluje o synergie s požadavky týkajícími se oznámených subjektů podle nařízení (EU) 2024/2847 a s akreditačními požadavky již přijatých schémat certifikace kybernetické bezpečnosti.

5.Pokud je subjekt posuzování shody akreditován v souladu s nařízením (EU) 2024/2847, mohou příslušné orgány znovu použít výsledky předchozího akreditačního procesu týkající se překrývajících se požadavků jako důkazy během akreditačního procesu podle tohoto nařízení.

Článek 92
Další harmonizace pravomocí subjektů posuzování shody

1.Stanoví-li evropské schéma certifikace kybernetické bezpečnosti dodatečné nebo zvláštní požadavky podle čl. 81 odst. 3 písm. f), vnitrostátní orgán certifikace kybernetické bezpečnosti určený podle čl. 88 odst. 1 autorizuje subjekty posuzování shody k plnění úkolů v rámci takového schématu. Tato autorizace se vydává pouze v případě, že subjekt posuzování shody je akreditován a splňuje dodatečné nebo zvláštní požadavky stanovené v rámci evropského schématu certifikace kybernetické bezpečnosti.

2.Pokud subjekt posuzování shody žádá o autorizaci podle tohoto článku, podá žádost u vnitrostátního orgánu certifikace kybernetické bezpečnosti členského státu, v němž je usazen, nebo u vnitrostátního orgánu certifikace kybernetické bezpečnosti, který uvedený členský stát požádal o pomoc podle čl. 88 odst. 1.

3.Subjekt posuzování shody však může požádat o autorizaci ze strany jiného vnitrostátního orgánu certifikace kybernetické bezpečnosti, než je uveden v odstavci 2, v kterékoli z těchto situací:

a)pokud vnitrostátní orgán certifikace kybernetické bezpečnosti uvedený v odstavci 1 neprovádí autorizaci pro činnosti posuzování shody, pro které se o autorizaci žádá;

b)pokud se vnitrostátní orgán certifikace kybernetické bezpečnosti uvedený v odstavci 1 nepodrobil vzájemnému hodnocení podle článku 89, pokud jde o činnosti posuzování shody, pro které se o autorizaci žádá.

4.Pokud vnitrostátní orgán certifikace kybernetické bezpečnosti obdrží žádost podle odstavce 3, uvědomí vnitrostátní orgán certifikace kybernetické bezpečnosti členského státu, v němž je usazen žádající subjekt posuzování shody. V takových případech se může vnitrostátní orgán certifikace kybernetické bezpečnosti daného členského státu účastnit autorizace jako pozorovatel.

5.Vnitrostátní orgán certifikace kybernetické bezpečnosti může požádat jiný vnitrostátní orgán certifikace kybernetické bezpečnosti, aby provedl části činnosti posuzování. V takovém případě osvědčení o autorizaci vydává žádající orgán.

6.Autorizace uvedená v odstavci 1 je platná po dobu, která není delší než doba platnosti akreditace, a může být obnovena za předpokladu, že subjekt posuzování shody splňuje požadavky stanovené v odstavci 1 a jeho akreditace byla rovněž obnovena.

7.Vnitrostátní orgány certifikace kybernetické bezpečnosti přijmou v přiměřené lhůtě veškerá odpovídající opatření s cílem omezit, pozastavit nebo zrušit autorizaci subjektu posuzování shody vydanou podle odstavce 1, pokud podmínky pro udělení autorizace nebyly nebo již nejsou splněny nebo subjekt posuzování shody nedodržuje toto nařízení.

8.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými stanoví postupy pro autorizaci subjektů posuzování shody, včetně přeshraniční spolupráce. Během přípravy prováděcích aktů Komise konzultuje agenturu ENISA a Evropskou skupinu pro certifikaci kybernetické bezpečnosti. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

Článek 93
Oznámení subjektů posuzování shody

1.Pro každé evropské schéma certifikace kybernetické bezpečnosti oznámí vnitrostátní orgány certifikace kybernetické bezpečnosti členského státu Komisi a ostatním členským státům subjekty posuzování shody, které jsou akreditovány a případně autorizovány podle článku 92.

2.Vnitrostátní orgány certifikace kybernetické bezpečnosti podávají oznámení podle odstavce 1 pomocí elektronického nástroje pro oznamování vyvinutého a spravovaného Komisí.

3.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými stanoví okolnosti, formáty a postupy pro oznámení uvedená v odstavci 1 tohoto článku, včetně postupu vznášení námitek ze strany ostatních členských států během oznamovacího postupu, jednoznačné identifikace subjektů posuzování shody, jakož i okolností pro omezení, pozastavení nebo zrušení oznámení. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

Článek 94
Zpochybnění způsobilosti subjektů posuzování shody

1.Komise vyšetří všechny případy, v nichž má pochybnosti nebo je upozorněna na pochybnosti o způsobilosti subjektu posuzování shody splnit nebo nadále plnit požadavky a povinnosti, které jsou mu uloženy.

2.Vnitrostátní orgán certifikace kybernetické bezpečnosti předloží Komisi na požádání všechny informace týkající se podkladů pro oznámení nebo zachování způsobilosti dotčeného subjektu posuzování shody.

3.Komise zajistí, aby se se všemi citlivými informacemi získanými v průběhu tohoto šetření nakládalo jako s důvěrnými.

4.Pokud Komise zjistí, že oznámený subjekt posuzování shody nesplňuje nebo přestal splňovat požadavky pro své oznámení, informuje o tom vnitrostátní orgán certifikace kybernetické bezpečnosti a vyzve ho, aby přijal nezbytná nápravná opatření, včetně případného zrušení oznámení.

5.Členské státy zajistí, aby bylo možné se proti rozhodnutím oznámených subjektů odvolat.

Článek 95
Informační a uchovávací povinnost subjektů posuzování shody

1.Subjekty posuzování shody informují vnitrostátní orgán certifikace kybernetické bezpečnosti:

a)o každém zamítnutí, omezení, pozastavení nebo zrušení certifikátu;

b)o všech okolnostech, které mají vliv na rozsah a podmínky oznámení podle čl. 93 odst. 1;

c)o každé žádosti o informace týkající se činností posuzování shody, kterou obdržely od orgánů dozoru nad trhem;

d)na požádání o veškerých činnostech posuzování shody vykonaných v rámci působnosti jejich oznámení a o jakékoli jiné vykonané činnosti, včetně přeshraničních činností a zadávání subdodávek.

2.Subjekty posuzování shody rovněž poskytují agentuře ENISA informace uvedené v odst. 1 písm. a) s cílem usnadnit jí plnění jejích úkolů podle článku 79.

3.Subjekty posuzování shody poskytnou ostatním subjektům posuzování shody podle tohoto nařízení, které provádějí obdobné činnosti posuzování shody týkající se stejných produktů, služeb a procesů IKT, řízených bezpečnostních služeb nebo subjektů, jejichž kybernetická pozice je certifikována, bez zbytečného odkladu příslušné informace o otázkách týkajících se negativních a na požádání i pozitivních výsledků posuzování shody.

4.Subjekty posuzování shody vedou systém záznamů, který obsahuje všechny dokumenty a důkazy předložené nebo obdržené v souvislosti s každým hodnocením a každou certifikací, které provádějí. Záznam se uchovává bezpečným a přístupným způsobem po dobu nezbytnou pro účely certifikace a nejméně po dobu pěti let po skončení platnosti nebo po zrušení příslušného evropského certifikátu kybernetické bezpečnosti.

Oddíl 3 
Další ustanovení

Článek 96
Právo podat stížnost a právo na účinnou soudní ochranu

1.Fyzické a právnické osoby mají právo podat stížnost u vydavatele evropského certifikátu kybernetické bezpečnosti, nebo týká-li se stížnost evropského certifikátu kybernetické bezpečnosti vydaného subjektem posuzování shody jednajícím podle čl. 85 odst. 4, u příslušného vnitrostátního orgánu certifikace kybernetické bezpečnosti.

2.Orgán nebo subjekt, u něhož byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti, o přijatém rozhodnutí a o právu na účinnou soudní ochranu podle odstavců 3 a 4.

3.Bez ohledu na jakékoli správní nebo jiné mimosoudní opravné prostředky mají fyzické i právnické osoby právo na účinnou soudní ochranu, pokud jde o:

a)rozhodnutí orgánu nebo subjektu uvedeného v odstavci 1, a to i pokud jde o případné chybné vydání či nečinnost ve vztahu k vydání nebo uznání evropského certifikátu kybernetické bezpečnosti, jehož jsou tyto fyzické či právnické osoby držiteli;

b)nečinnost v řešení stížnosti podané u orgánu nebo subjektu uvedeného v odstavci 1.

4.Řízení podle tohoto článku se zahajuje u soudu členského státu, v němž se nachází orgán nebo subjekt, vůči kterému opravný prostředek směřuje.

Článek 97
Sankce

Členské státy stanoví sankce za porušení této hlavy a evropských schémat certifikace kybernetické bezpečnosti a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování. Stanovené sankce jsou účinné, přiměřené a odrazující. Členské státy neprodleně uvědomí o těchto pravidlech a o těchto opatřeních Komisi a informují ji o veškerých jejich pozdějších změnách.

HLAVA IV 
BEZPEČNOST DODAVATELSKÝCH ŘETĚZCŮ IKT

KAPITOLA I 
Rámec pro důvěryhodné dodavatelské řetězce IKT

Článek 98
Oblast působnosti rámce

1.Rámec pro důvěryhodné dodavatelské řetězce IKT stanoví bezpečnostní mechanismus na úrovni Unie pro řešení netechnických rizik ve vysoce kritických odvětvích a dalších kritických odvětvích podle směrnice (EU) 2022/2555. Mechanismus určí klíčová aktiva IKT v kritických dodavatelských řetězcích IKT a stanoví vhodná a přiměřená zmírňující opatření pro subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555.

2.Povinnostmi stanovenými v této hlavě nejsou dotčeny povinnosti stanovené v článku 13 nařízení (EU) 2024/2847 a ve vnitrostátních předpisech, kterými se ve vnitrostátním právu provádí článek 21 směrnice (EU) 2022/2555.

3.Ustanovení této kapitoly nebrání členským státům v tom, aby přijímaly nebo ponechaly v platnosti ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti v dodavatelských řetězcích IKT, jsou-li tato ustanovení v souladu s jejich povinnostmi stanovenými v právu Unie.

Článek 99
Posouzení bezpečnostních rizik

1.Komise nebo skupina nejméně tří členských států může požádat skupinu pro spolupráci zřízenou článkem 14 směrnice (EU) 2022/2555 (dále jen „skupina pro spolupráci v oblasti bezpečnosti sítí a informací“), aby provedla koordinované posouzení bezpečnostních rizik na úrovni Unie v souladu s článkem 22 uvedené směrnice. Pokud je na základě takové žádosti provedeno posouzení bezpečnostních rizik, zahrnuje zejména návrh určení klíčových aktiv IKT příslušného dodavatelského řetězce IKT, jakož i hlavních aktérů hrozeb, rizik a zranitelností, které tato aktiva ovlivňují. Při koordinovaných posouzeních bezpečnostních rizik na úrovni Unie se vypracují rizikové scénáře a navrhnou opatření ke zmírnění rizik.

2.Koordinované posouzení bezpečnostních rizik na úrovni Unie se dokončí do šesti měsíců od podání žádosti uvedené v odstavci 1. Na žádost Komise může skupina pro spolupráci v oblasti bezpečnosti sítí a informací souhlasit s kratší lhůtou.

3.Pokud má Komise dostatečné důvody se domnívat, že pro bezpečnost Unie existuje významná kybernetická hrozba související s dodavatelským řetězcem IKT a že je třeba přijmout opatření k zachování řádného fungování vnitřního trhu, neprodleně:

a)konzultuje s členskými státy nutnost přijmout jedno nebo více zmírňujících opatření uvedených v článku 103; a

b)provede posouzení bezpečnostních rizik s přihlédnutím ke konzultacím s členskými státy. Posouzení bezpečnostních rizik zahrnuje návrh určení klíčových aktiv IKT, jakož i hlavních aktérů hrozeb, rizik a zranitelností, které tato aktiva ovlivňují. Při koordinovaném posouzení bezpečnostních rizik na úrovni Unie se vypracují rizikové scénáře a navrhnou opatření ke zmírnění rizik.

Článek 100
Určení třetích zemí, které vzbuzují obavy z hlediska kybernetické bezpečnosti

1.Pokud se na základě posouzení rizik podle článku 99 nebo na základě jiných zdrojů, jako je veřejné prohlášení jménem Unie nebo členského státu, jeví, že třetí země představuje závažné a strukturální netechnické riziko pro dodavatelské řetězce IKT, Komise ověří riziko, které tato země představuje, přičemž zohlední tyto prvky:

a)existenci právních předpisů ve třetí zemi, které vyžadují, aby subjekty podléhající její pravomoci oznamovaly informace o zranitelnostech softwaru nebo hardwaru orgánům této třetí země dříve, než bude známo, že tyto zranitelnosti byly zneužity;

b)existenci nezávislými zdroji prokázaných postupů ve třetí zemi, které vyžadují, aby subjekty podléhající její pravomoci oznamovaly informace o zranitelnostech softwaru nebo hardwaru orgánům této třetí země dříve, než bude známo, že tyto zranitelnosti byly zneužity;

c)neexistenci účinné soudní ochrany a nezávislých a demokratických kontrolních mechanismů, které by mohly napravit zjištěné obavy v oblasti bezpečnosti, a to i pokud jde o stávající postupy uvedené v písmenu b);

d)podložené informace o jednom nebo více případech, kdy aktéři hrozeb kontrolovaní z této země a působící mimo území dané země provádějí škodlivé kybernetické činnosti nebo kampaně, a nedostatečnou schopnost nebo ochotu třetí země spolupracovat s Komisí nebo členskými státy při řešení rizik vyplývajících z působení těchto aktérů hrozeb;

e)příslušné informace vyplývající z koordinovaných posouzení bezpečnostních rizik na úrovni Unie nebo ze zpráv členských států či mezinárodních organizací.

2.Pokud Komise po ověření uvedeném v odstavci 1 dospěje k závěru, že třetí země představuje závažné a strukturální netechnické riziko pro dodavatelské řetězce IKT, může prostřednictvím prováděcího aktu označit tuto třetí zemi za zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti dodavatelských řetězců IKT. Tento prováděcí akt se přijme přezkumným postupem uvedeným v čl. 118 odst. 2.

3.Komise pravidelně přezkoumává prováděcí akty přijaté v souladu s odstavcem 2.

4.Vysoce rizikoví dodavatelé nejsou oprávněni:

a)podílet se na vývoji a posuzování evropských norem a produktů evropské normalizace uvedených v čl. 10 odst. 1 nařízení (EU) 1025/2012 a společných specifikací uvedených v článku 27 nařízení (EU) 2024/2847 v oblasti kybernetické bezpečnosti a na konzultacích nebo rozhodování o těchto normách, produktech a specifikacích;

b)podat žádost o evropské certifikáty kybernetické bezpečnosti podle hlavy III nebo být jejich držitelem;

c)stát se akreditovaným subjektem posuzování shody podle hlavy III;

d)podat žádost stát se autorizovaným poskytovatelem jakýchkoli evropských potvrzení o individuálních dovednostech v oblasti kybernetické bezpečnosti podle hlavy II oddílu 4;

e)účastnit se zadávacích řízení organizovaných v souladu s právními předpisy, kterými se ve vnitrostátním právu provádějí směrnice 2014/24/EU a 2014/25/EU, pokud jde o dodávky komponent IKT nebo součástí zahrnujících komponenty IKT, jež mají být použity v klíčových aktivech IKT určených v souladu s článkem 102;

f)podílet se na jakýchkoli činnostech v rámci programů a nástrojů financování z Unie prováděných v přímém a nepřímém řízení v souladu s článkem 136 nařízení (EU, Euratom) 2024/2509 a s odvětvovými pravidly Unie, jakož i na jakýchkoli činnostech financování z Unie prováděných ve sdíleném řízení v souvislosti s dodávkami komponent IKT nebo součástí zahrnujících komponenty IKT, jež mají být použity v klíčových aktivech IKT určených v souladu s článkem 102.

Orgány odpovědné za postupy uvedené v písmenech a) až f) provedou nezbytná posouzení pro účely tohoto odstavce. Tyto orgány mohou za tímto účelem vycházet také ze seznamu uvedeného v článku 104.

5.V případech, kdy vysoce rizikový dodavatel již získal evropský certifikát kybernetické bezpečnosti podle hlavy III, příslušný orgán tento certifikát bez zbytečného prodlení zruší.

Článek 101
Obecný mechanismus zabezpečení dodavatelského řetězce IKT

Pokud skupina pro spolupráci v oblasti bezpečnosti sítí a informací provedla koordinované posouzení bezpečnostních rizik na úrovni Unie podle čl. 99 odst. 1 tohoto nařízení nebo po ukončení postupu v případě významné kybernetické hrozby podle čl. 99 odst. 3 pro dodavatelský řetězec IKT, může Komise přijmout opatření stanovená v článku 102 a v čl. 103 odst. 1 a 2.

Článek 102
Určení klíčových aktiv IKT

1.Pokud posouzení rizik provedené v souladu s čl. 99 odst. 1 nebo 3 poukazuje na významná kybernetická bezpečnostní rizika ve vztahu k dodavatelskému řetězci IKT, je Komisi svěřena pravomoc přijímat prováděcí akty, kterými určí klíčová aktiva IKT používaná k výrobě produktů nebo k poskytování služeb subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2 tohoto nařízení.

2.Při určování klíčových aktiv IKT podle odstavce 1 Komise zohlední tyto prvky:

a)zda tato aktiva mají zásadní a citlivé funkce pro fungování produktů vyráběných nebo služeb poskytovaných subjektem, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555;

b)zda incidenty, včetně incidentů způsobených zneužitím zranitelností týkajících se těchto aktiv, mohou vést k závažnému narušení dodavatelských řetězců IKT na vnitřním trhu nebo k exfiltraci dat;

c)zda existuje závislost na omezeném počtu dodavatelů těchto aktiv;

d)výsledky posouzení rizik uvedených v článku 99.

Článek 103
Zmírňující opatření v dodavatelském řetězci IKT

1.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými v případě potřeby v zájmu zajištění vysoké úrovně kybernetické bezpečnosti, kybernetické odolnosti a důvěry v Unii stanoví, že určitým subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, se zakazuje používat, instalovat nebo integrovat v jakékoli formě komponenty IKT nebo součásti zahrnující komponenty IKT pocházející od vysoce rizikových dodavatelů určených v souladu s článkem 104 v klíčových aktivech IKT určených v souladu s článkem 102. Tyto prováděcí akty stanoví vhodná přechodná období, během nichž Komise zveřejní seznam vysoce rizikových dodavatelů podle článku 104, jakož i dodatečné lhůty pro postupné vyřazení příslušných komponent IKT a součástí zahrnujících komponenty IKT. Takový prováděcí akt může rovněž upřesnit tyto komponenty IKT nebo součásti zahrnující komponenty IKT.

2.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými v případě potřeby v zájmu zajištění vysoké úrovně kybernetické bezpečnosti, kybernetické odolnosti a důvěry v Unii stanoví, že určité subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, podléhají jednomu nebo více z následujících zmírňujících opatření týkajících se jejich dodavatelského řetězce IKT, a zejména klíčových aktiv IKT určených v souladu s článkem 102, která mají zmírnit rizika zjištěná při posouzeních bezpečnostních rizik provedených v souladu s článkem 99:

a)uplatnění požadavků na transparentnost, pokud jde o poskytování informací příslušnému orgánu o dodavatelích v dodavatelském řetězci IKT pro klíčová aktiva IKT určená v souladu s článkem 102;

b)zákaz týkající se předávání údajů do třetích zemí a dálkového zpracování údajů ze třetí země;

c)technická opatření, jejichž audit provede třetí strana, včetně:

i) použití zpracování přímo na zařízení;

ii) specifické segmentace síťových systémů;

iii) znemožnění jakéhokoli vzdáleného nebo fyzického přístupu ke klíčovým aktivům IKT;

iv) vypnutí jiných než základních funkcí;

v) monitorování provozu sítě;

vi) testování hardwaru a softwaru.

d)omezení související s provozní kontrolou, včetně outsourcingu organizačních funkcí poskytovatelům řízených služeb;

e)omezení související se smluvními vztahy subjektu s jeho dodavateli;

f)požadavek, aby službu provozoval, řídil, udržoval nebo podporoval personál prověřený relevantními příslušnými vnitrostátními orgány;

g)diverzifikace dodávek komponent IKT nebo součástí začleněných do komponent IKT.

3.Při zavádění opatření uvedených v odstavci 2 může Komise stanovit technické a metodické požadavky na tato opatření.

4.Před přijetím prováděcích aktů uvedených v odstavcích 1 a 2 Komise posoudí možná rizika a závislosti, a zejména:

a)v příslušných případech úroveň rizika spojeného s používáním, instalací nebo integrací, a to v jakékoli formě, komponenty IKT nebo součásti zahrnující komponenty IKT od vysoce rizikových dodavatelů v klíčových aktivech IKT;

b)potenciální hospodářské a společenské dopady, které může mít daná povinnost na subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555;

c)dostupnost alternativních dodavatelů nahrazujících rizikové dodavatele;

d)potenciální narušení přeshraničních hospodářských a společenských činností způsobené incidentem, který má dopad na dodavatelský řetězec IKT určitého subjektu.

5.Prováděcí akty uvedené v odstavcích 1 a 2 tohoto článku se přijímají přezkumným postupem podle čl. 118 odst. 2 a přezkoumávají se alespoň jednou za 36 měsíců.

6.Za výjimečných okolností, které odůvodňují intervenci za účelem zachování řádného fungování vnitřního trhu a kdy má Komise dostatečné důvody se domnívat, že používání, instalace nebo integrace komponent IKT nebo součástí zahrnujících komponenty IKT, které pocházejí od určitého subjektu usazeného ve třetí zemi nebo kontrolovaného třetí zemí nebo subjekty ze třetí země nebo státním příslušníkem třetí země, představují významné netechnické kybernetické bezpečnostní riziko pro hospodářské nebo společenské činností nejméně tří členských států, Komise neprodleně konzultuje s členskými státy potřebu přijmout opatření na úrovni Unie.

7.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými stanoví, že určitý druh subjektů uvedený v přílohách I a II směrnice (EU) 2022/2555 nesmí používat, instalovat nebo integrovat komponenty IKT nebo součásti zahrnující komponenty IKT pocházející od subjektu uvedeného v odstavci 6. Za tímto účelem konzultuje subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, kterých se zákaz potenciálně týká. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2. V příslušných případech zahrnují vhodné lhůty pro postupné vyřazení těchto komponent IKT nebo součástí zahrnujících komponenty IKT. Takový prováděcí akt může rovněž upřesnit tyto komponenty IKT nebo součásti zahrnující komponenty IKT, které podléhají zákazu. Tento zákaz se vztahuje rovněž na komponenty nebo součásti IKT včetně obsahující komponenty IKT, které pocházejí od všech subjektů kontrolovaných konkrétním subjektem uvedeným v odstavci 6.

8.Prováděcí akty uvedené v odstavcích 1, 2 a 7 mohou rovněž stanovit, že zmírňující opatření se vztahují pouze na druhy subjektů uvedené v přílohách I a II směrnice (EU) 2022/2555, a to o určité velikosti.

9.Ustanovení čl. 100 odst. 4 se použije na konkrétní subjekt usazený ve třetí zemi nebo kontrolovaný třetí zemí nebo subjektem ze třetí země nebo státním příslušníkem třetí země uvedeným v odstavci 7. 

10.Prováděcí akty přijaté v souladu s odstavci 1, 2 a 7, které se vztahují na druhy subjektů uvedené v bodě 10 přílohy I směrnice (EU) 2022/2555, se obdobně použijí na evropský orgán, subjekty, úřady a agentury.

Článek 104
Určení vysoce rizikových dodavatelů

1.Komise prostřednictvím prováděcích aktů vypracuje seznamy vysoce rizikových dodavatelů relevantní z hlediska zákazů stanovených v prováděcích aktech přijatých v souladu s čl. 103 odst. 1 a 7 nebo z hlediska zákazu podle čl. 111 odst. 1.

2.Za tímto účelem Komise zmapuje dodavatele, kteří dodávají komponenty IKT nebo součásti zahrnující komponenty IKT relevantní z hlediska zákazu podle odstavce 1.

Na tomto základě Komise provede počáteční posouzení, aby zjistila, kteří ze zmapovaných dodavatelů jsou potenciálně usazeni ve třetí zemi určené v souladu s článkem 100 nebo kontrolováni takovou třetí zemí, subjektem usazeným v takové třetí zemi nebo státním příslušníkem takové třetí země. Komise rovněž provede prvotní zmapování dodavatelů potenciálně kontrolovaných subjektem uvedeným v čl. 103 odst. 6.

3.Komise posoudí místo usazení, jakož i vlastnickou a kontrolní strukturu dodavatelů, kteří byli původně identifikováni v souladu s odst. 2 druhým pododstavcem.

4.Pro účely posouzení uvedeného v odstavci 3 je Komise oprávněna vyžádat si od dodavatelů nezbytné informace. Pokud dodavatel neposkytne potřebné informace ve stanovené lhůtě, může Komise dojít k závěru, že dodavatel je usazen ve třetí zemi určené v souladu s článkem 100 nebo je kontrolován takovou třetí zemí, subjekty z této třetí země nebo státními příslušníky takové třetí země. Pokud Komise provádí posouzení pro účely čl. 103 odst. 7 a dodavatel neposkytne potřebné informace ve stanovené lhůtě, může Komise dojít k závěru, že dodavatel je kontrolován subjektem určeným v souladu s uvedeným článkem. Příslušné orgány uvedené v článku 112 sdílejí na požádání příslušné informace také s Komisí.

5.Komise sdělí dotčenému dodavateli předběžná zjištění týkající se posouzení místa usazení, kontroly a vlastnictví. Komise poskytne dodavateli možnost vyjádřit se k těmto předběžným zjištěním.

6.Komise může požádat příslušný orgán, aby provedl počáteční posouzení místa usazení, vlastnictví a kontroly dodavatele, pokud je to odůvodněné vzhledem k charakteristice činnosti tohoto dodavatele. Příslušný orgán může nabídnout provedení takového počátečního posouzení. Komise tato prvotní zjištění ověří s cílem rozhodnout, zda by měl být dodavatel zařazen na seznam vysoce rizikových dodavatelů.

7.Komise pravidelně aktualizuje seznam vysoce rizikových dodavatelů s cílem vyškrtnout nebo doplnit vysoce rizikové dodavatele. Vysoce rizikoví dodavatelé uvedení na seznamu mohou požádat Komisi o nové posouzení jejich místa usazení, kontroly a vlastnické struktury po předložení důkazů to tom, že došlo k příslušným změnám.

8.Pokud se příslušný orgán dozví, a to i na základě informací poskytnutých subjektem, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555, že může být nutné zařadit dodavatele na seznam vysoce rizikových dodavatelů, informuje o tom bez zbytečného odkladu Komisi.

Článek 105
Výjimka pro subjekty usazené ve třetí zemi nebo kontrolované subjekty ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti

1.Subjekt usazený ve třetí zemi nebo kontrolovaný subjekty ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti a byla určena v souladu s článkem 100, může Komisi předložit odůvodněnou žádost o výjimku:

a)ze zákazu uloženého subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555, používat, instalovat nebo integrovat v jakékoli formě své komponenty IKT nebo součásti zahrnující komponenty IKT do klíčových aktiv IKT těchto subjektů odchylně od článku 111 nebo prováděcích aktů přijatých podle čl. 103 odst. 1;

b)ze zákazu účasti v zadávacích řízeních organizovaných v souladu s právními předpisy, kterými se ve vnitrostátním právu provádějí směrnice 2014/24/EU a 2014/25/EU, pokud jde o dodávky komponent IKT nebo součástí zahrnujících komponenty IKT, jež mají být použity v klíčových aktivech IKT určených v souladu s článkem 102, odchylně od čl. 100 odst. 4.

2.Žádost podle odstavce 1:

a)upřesňuje zájem subjektu usazeného ve třetí zemi nebo kontrolovaného subjekty ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti a byla určena v souladu s článkem 100, na udělení výjimky podle odstavce 1 tohoto článku; a

b)jasně dokládá, že budou zavedena účinná zmírňující opatření k řešení netechnických rizik a k zajištění toho, že třetí země určená podle článku 100 v souvislosti s dodávkami komponent IKT nebo součástí zahrnujících komponenty IKT pro použití, instalaci nebo integraci do klíčových aktiv IKT subjektu, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555, nebude provádět žádné nepřípustné zásahy.

3.Komisi je svěřena pravomoc přijímat prováděcí akty, kterými blíže určí podmínky uvedené v odst. 2 písm. b) a stanoví podrobná pravidla týkající se postupů uvedených v tomto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

4.Komise spravedlivým a transparentním postupem posoudí žádost uvedenou v odstavci 1, přičemž zohlední:

a)okolnosti a další prvky uvedené v čl. 100 odst. 1 a 2 ve vztahu k určené zemi, která vzbuzuje obavy z hlediska kybernetické bezpečnosti dodavatelských řetězců IKT a v níž je subjekt usazen nebo z níž je kontrolován;

b)účinnost zmírňujících opatření uvedených v odst. 2 písm. b);

c)zda by výjimka pro subjekt usazený ve třetí zemi nebo kontrolovaný subjekty ze třetí země, která vzbuzuje obavy z hlediska kybernetické bezpečnosti dodavatelských řetězců IKT, nebyla na újmu zájmům Unie.

5.Pokud Komise po posouzení podle odstavce 3 dospěje k závěru, že udělení výjimky je odůvodněné, učiní tak rozhodnutím, které oznámí žadateli do devíti měsíců od obdržení žádosti.

6.Při přijímání rozhodnutí uvedeného v odstavci 4 může Komise omezit výjimku na určité časové období a může pro výjimku stanovit podmínky týkající se daného subjektu, včetně:

a)lhůty k provedení zmírňujících opatření uvedených v odst. 2 písm. b);

b)pravidelných auditů, které provedou třetí strany, aby se zajistilo účinné provádění zmírňujících opatření;

c)oznamovacích povinností týkajících se souladu s předpisy.

7.Pokud Komise po posouzení podle odstavce 3 dospěje k závěru, že udělení výjimky není odůvodněné, učiní tak rozhodnutím, které oznámí žadateli do devíti měsíců od obdržení žádosti.

8.Komise může z vlastního podnětu zrušit nebo změnit rozhodnutí uvedené v odstavci 4 v jedné nebo více z těchto situací:

a)došlo k podstatné změně kterékoli ze skutečností, na nichž bylo rozhodnutí založeno;

b)subjekt, který požádal o výjimku, jedná v rozporu se svými závazky;

c)výjimka byla založena na neúplných, nesprávných nebo zavádějících informacích poskytnutých subjektem, který podal žádost.

Článek 106
Práva na obhajobu

Komise zajistí, aby předtím, než přijme prováděcí akt podle čl. 103 odst. 7 nebo než přijme rozhodnutí, kterým zamítne zamítnutí udělení výjimky podle čl. 105 odst. 7 na základě údajů, které žadatel nepředložil, nebo než zruší rozhodnutí podle čl. 105 odst. 8, byla dotčenému subjektu poskytnuta možnost být slyšen, přičemž v některých případech je třeba zvážit nezbytnost postupu pro naléhavé případy.

Článek 107
Rejstřík

Komise vede veřejně přístupný rejstřík svých rozhodnutí podle čl. 105 odst. 5. V rejstříku se uvedou názvy subjektů, na které se tato rozhodnutí vztahují. Komise rejstřík pravidelně aktualizuje.

Článek 108
Zachování důvěrnosti

Informace získané Komisí podle článků 105 a 106 se použijí pouze pro účel, pro který byly získány.

Článek 109
Poplatky

1.Komise vybírá poplatky za žádosti podané v souladu s čl. 105 odst. 1.

2.Poplatky jsou vyjádřeny a hrazeny v eurech.

3.Poplatky odpovídají nákladům spojeným se zpracováním žádostí podle čl. 105 odst. 1, s posouzením kritérií a informací podle čl. 105 odst. 2 a se zřízením, vedením a provozem rejstříku podle článku 107. Do těchto nákladů se zahrnují veškeré výdaje Komise připadající na zaměstnance zapojené do těchto činností.

4.Komise přijme prováděcí akty, kterými stanoví podrobná pravidla týkající se poplatků, upřesní výši poplatků a způsob jejich úhrady. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 118 odst. 2.

KAPITOLA II 
Dodavatelské řetězce IKT v sítích elektronických komunikací

Článek 110
Klíčová aktiva IKT pro mobilní, pevné a družicové sítě elektronických komunikací

1.Klíčová aktiva IKT pro mobilní, pevné a družicové sítě elektronických komunikací jsou uvedena v příloze II.

2.Z klíčových aktiv IKT mobilních, pevných a družicových sítí elektronických komunikací budou postupně vyřazeny komponenty IKT nebo součásti zahrnující komponenty IKT dodávané vysoce rizikovými dodavateli.

3.Lhůta pro postupné vyřazení komponent IKT nebo součástí zahrnujících komponenty IKT, které dodávají vysoce rizikoví dodavatelé, pokud jde o mobilní sítě elektronických komunikací, nepřesáhne 36 měsíců od zveřejnění seznamu vysoce rizikových dodavatelů uvedeného v článku 104, který je relevantní pro mobilní sítě elektronických komunikací.

4.Komisi je svěřena pravomoc přijímat prováděcí akty v souladu s čl. 118 odst. 2, kterými stanoví lhůty pro postupné vyřazování komponent IKT nebo součástí zahrnujících komponenty IKT dodávané vysoce rizikovými dodavateli, pokud jde o pevné a družicové sítě elektronických komunikací.

5.Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 119, kterými změní přílohu II tohoto nařízení, aby ji přizpůsobila technologickému vývoji s přihlédnutím k prvkům uvedeným v čl. 103 odst. 4.

Článek 111
Zákazy pro mobilní, pevné a družicové sítě elektronických komunikací

1.Poskytovatelé mobilních, pevných a družicových sítí elektronických komunikací nesmí při provozu klíčových aktiv IKT uvedených v příloze II v žádné podobě používat, instalovat ani integrovat komponenty IKT nebo součásti zahrnující komponenty IKT pocházející od vysoce rizikových dodavatelů.

2.V případech, kdy se příslušný orgán určený podle tohoto nařízení v členském státě liší od příslušného orgánu podle nařízení (EU) XX/XXXX [návrhu aktu o digitálních sítích], informuje příslušný orgán určený podle tohoto nařízení neprodleně příslušný orgán podle nařízení (EU) XX/XXXX [návrhu aktu o digitálních sítích] o opatřeních uložených poskytovatelům mobilních, pevných a družicových sítí elektronických komunikací v souladu s článkem 114. Orgány zajistí úzkou spolupráci za účelem účinného dohledu a vymáhání týkajících se těchto opatření.

KAPITOLA III 
Příslušné orgány, dohled a vymáhání, pravomoc, právo na obhajobu

Článek 112
Příslušné orgány

1.Každý členský stát určí příslušné orgány uvedené v článku 8 směrnice (EU) 2022/2555 jako orgány odpovědné za přijímání opatření v oblasti dohledu a vymáhání uvedených v článku 114.

2.Příslušné orgány jsou strukturálně a funkčně zcela nestranné a nepodléhají žádnému přímému ani nepřímému vnějšímu vlivu; zejména nevyžadují ani nepřijímají pokyny od žádného jiného veřejného orgánu nebo soukromé osoby.

3.Členské státy zajistí, aby jejich příslušné orgány měly odpovídající pravomoci, dostatečné lidské a technické zdroje a příslušné odborné znalosti k účinnému provádění opatření v oblasti dohledu a vymáhání uvedených v článku 114.

4.Každý členský stát bez zbytečného odkladu oznámí Komisi názvy příslušných orgánů určených v souladu s odstavcem 1, příslušné úkoly těchto orgánů a jakékoli jejich následné změny. Každý členský stát rovněž zveřejní názvy příslušných orgánů určených v souladu s odstavcem 1.

Článek 113
Síť pro spolupráci a podpůrné služby Komise

Pro zajištění účinnosti dohledu zřídí Komise síť pro spolupráci příslušných orgánů členských států uvedených v článku 112 a Komise jako platformu pro spolupráci a výměnu informací, zejména pro účely posouzení místa usazení, kontroly a vlastnictví podle článku 104. Komise poskytuje síti správní podporu.

Článek 114
Opatření v oblasti dohledu a vymáhání

1.Příslušné orgány uvedené v článku 112 jsou oprávněny přijímat opatření v oblasti dohledu a vymáhání vůči subjektům, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555. Členské státy zajistí, aby výše uvedená opatření byla účinná, přiměřená a odrazující, přičemž zohlední okolnosti každého jednotlivého případu. Členské státy oznámí Komisi pravidla přijatá za tímto účelem a jejich následné změny.

2.Při výkonu svých úkolů v oblasti dohledu nad subjekty uvedenými v přílohách I a II směrnice (EU) 2022/2555 jsou příslušné orgány vůči těmto subjektům oprávněny:

a)vyžádat si podrobný a aktuální seznam jejich příslušných dodavatelů a poskytovatelů služeb;

b)vyžádat si přístup k údajům, dokumentům a informacím potřebným k ověření souladu s tímto nařízením;

c)podrobit je kontrolám na místě a dohledu na dálku, včetně namátkových kontrol, které provádí vyškolení odborníci;

d)vyžádat si údaje týkající se složení hardwarových nebo softwarových produktů instalovaných nebo integrovaných v jakékoli podobě do sítě nebo systému, včetně komponent a přechodných závislostí, v běžně používaném a strojově čitelném formátu.

3.Při výkonu svých úkolů v oblasti dohledu nad subjekty uvedenými v přílohách I a II směrnice (EU) 2022/2555 jsou příslušné orgány oprávněny:

a)vydávat upozornění na porušení tohoto nařízení dotčenými subjekty, v nichž uvedou příslušné skutečnosti a právní hlediska;

b)přijímat rozhodnutí, kterými se dotčeným subjektům ukládá, aby napravily porušení tohoto nařízení nebo nedostatky zjištěné při provádění zmírňujících opatření;

c)nařídit dotčeným subjektům, aby ukončily činnosti, které porušují toto nařízení, a zdržely se jejich opakování; a

d)ukládat sankce v souladu s pravidly týkajícími se výše sankcí stanovenými v článku 115 nebo požádat o uložení těchto sankcí příslušnými orgány, soudy nebo tribunály v souladu s vnitrostátními právními předpisy.

4.Při přijímání jakýchkoli opatření v oblasti vymáhání podle předchozího odstavce zváží příslušné orgány okolnosti každého jednotlivého případu a náležitě zohlední následující faktory:

a)závažnost porušení a významnost porušených ustanovení;

b)dobu trvání porušení;

c)obrat relevantní pro daný subjekt;

d)veškerá relevantní porušení, kterých se dotčený subjekt dopustil v minulosti;

e)případně jakoukoli daným porušením způsobenou hmotnou nebo nehmotnou újmu, včetně jakékoli finanční nebo ekonomické ztráty, účinků na jiné subjekty a počtu postižených uživatelů;

f)jakýkoli úmysl nebo nedbalost dotčeného subjektu;

g)jakákoli opatření přijatá subjektem za účelem zamezení nebo zmírnění hmotné nebo nehmotné újmy;

h)úroveň spolupráce s příslušnými orgány odpovědných fyzických nebo právnických osob.

Pro účely prvního pododstavce písm. a) se následující porušení považují za závažná:

i)opakovaná porušení;

j)neoznámení nebo nezajištění nápravy významných incidentů;

k)nenapravení nedostatků podle závazných pokynů příslušných orgánů.

5.Před přijetím opatření v oblasti vymáhání oznámí příslušné orgány dotčeným subjektům svá předběžná zjištění. Dotčeným subjektům se poskytne přiměřená lhůta k podání připomínek k předběžným zjištěním. Příslušné orgány svá opatření v oblasti vymáhání podrobně odůvodní.

6.Příslušné orgány dodržují zásady důvěrnosti a profesního a obchodního tajemství.

7.Příslušné orgány spolupracují mezi sebou a s Komisí pro účely dohledu a vymáhání podle této hlavy v souladu s článkem 116.

Článek 115
Sankce

1.Členské státy stanoví sankce za porušení tohoto nařízení a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování.

2.Stanovené sankce jsou účinné, přiměřené a odrazující. Členské státy oznámí uvedená pravidla a opatření Komisi a neprodleně jí oznámí i veškeré jejich následné změny.

3.Sankce se ukládají spolu s kterýmkoli z opatření uvedených v čl. 114 odst. 3 písm. a), b) a c).

4.Při rozhodování o uložení sankce a při rozhodování o její výši se v každém jednotlivém případě náležitě přihlédne alespoň k prvkům uvedeným v čl. 114 odst. 4 prvním pododstavci.

5.Porušení čl. 103 odst. 2 písm. a) podléhají v souladu s odstavcem 3 tohoto článku sankcím v maximální výši 1 % celkového celosvětového ročního obratu podniku, k němuž subjekt náleží, za předchozí účetní období.

6.Porušení čl. 103 odst. 2 písm. b) až g) podléhají v souladu s odstavcem 3 tohoto článku sankcím v maximální výši 2 % celkového celosvětového ročního obratu podniku, k němuž subjekt náleží, za předchozí účetní období.

7.Porušení čl. 103 odst. 1 a článku 111 podléhají v souladu s odstavcem 3 tohoto článku sankcím v maximální výši 7 % celkového celosvětového ročního obratu podniku, k němuž subjekt náleží, za předchozí účetní období.

Článek 116
Vzájemná pomoc

1.Pokud subjekt, jehož druh je uveden v přílohách I nebo II směrnice (EU) 2022/2555, poskytuje služby ve více než jednom členském státě nebo poskytuje služby v jednom či více členských státech a jeho klíčová aktiva IKT se nacházejí v jednom či více jiných členských státech, příslušné orgány dotčených členských států spolupracují mezi sebou a s Komisí a jsou si navzájem a s Komisí nápomocny s cílem zajistit účinné a efektivní uplatňování tohoto nařízení. Za tímto účelem se použijí alespoň tato pravidla:

a)příslušné orgány uplatňující opatření v oblasti dohledu nebo vymáhání v členském státě informují a konzultují příslušné orgány v ostatních dotčených členských státech ohledně opatření přijatých v oblasti dohledu a vymáhání;

b)příslušný orgán v členském státě může požádat jiný příslušný orgán v jiném členském státě o přijetí opatření v oblasti dohledu nebo vymáhání;

c)příslušný orgán v jednom členském státě po obdržení odůvodněné žádosti od jiného příslušného orgánu v jiném členském státě poskytne tomuto druhému příslušnému orgánu s maximálním možným úsilím vzájemnou pomoc, aby bylo možné provést opatření v oblasti dohledu nebo vymáhání účinně, účelně a důsledně.

2.Vzájemná pomoc uvedená v odst. 1 písm. c) může zahrnovat žádosti o informace a opatření v oblasti dohledu, včetně žádostí o provedení kontrol na místě nebo dohledu na dílku nebo cílených bezpečnostních auditů. Příslušný orgán, kterému je určena žádost o pomoc, nemůže tuto žádost odmítnout, ledaže se prokáže, že tento orgán není příslušný k poskytnutí požadované pomoci nebo požadovaná pomoc není úměrná úkolům dohledu příslušného orgánu nebo že se žádost týká informací nebo zahrnuje činnosti, které by v případě zveřejnění nebo provedení byly v rozporu se zásadními zájmy v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany daného členského státu. Před zamítnutím takové žádosti konzultuje příslušný orgán ostatní dotčené příslušné orgány a na žádost jednoho z dotčených členských států také Komisi.

3.Je-li to vhodné, mohou se příslušné orgány z různých členských států vzájemně dohodnout, že budou provádět společné činnosti v oblasti dohledu.

4.S ohledem na povinnost dodržovat zásady důvěrnosti a profesního a obchodního tajemství podle čl. 114 odst. 6 se veškeré informace vyměněné v rámci žádosti o pomoc a poskytnuté podle tohoto článku použijí pouze v záležitosti, pro kterou byly vyžádány.

Článek 117
Pravomoc a územní působnost

1.Má se za to, že subjekty, jejichž druh je uveden v přílohách I a II směrnice (EU) 2022/2555 a na něž se vztahuje oblast působnosti tohoto nařízení, podléhají pravomoci členského státu, v němž jsou usazeny, přičemž výjimku představují:

a)poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé veřejně dostupných služeb elektronických komunikací, u nichž se má za to, že podléhají pravomoci členského státu, v němž poskytují své služby;

b)provozovatelé DNS, registry domén nejvyšší úrovně, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, jakož i poskytovatelé on-line tržišť, internetových vyhledávačů nebo služeb platforem sociálních sítí, u nichž se má za to, že podléhají pravomoci členského státu, ve kterém mají hlavní provozovnu v Unii podle odstavce 2;

c)subjekty veřejné správy, u nichž se má za to, že podléhají pravomoci členského státu, k němuž náleží;

d)letečtí dopravci, u nichž se má za to, že spadají do pravomoci členského státu, jehož příslušný orgán vydávající licenci vydal subjektu provozní licenci podle nařízení Evropského parlamentu a Rady (ES) č. 1008/2008 83 , nebo pokud provozní licence nebo rovnocenná licence nebyla vydána v souladu s uvedeným nařízením, se má za to, že spadají do pravomoci členského státu, v němž mají hlavní provozovnu v Unii podle odstavce 2.

2.Pro účely tohoto nařízení se má za to, že hlavní provozovna subjektu podle odst. 1 písm. b) v Unii je umístěna v členském státě, v němž jsou převážně přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. Nelze-li takový členský stát určit, nebo nejsou-li tato rozhodnutí přijímána v Unii, má se za to, že hlavní provozovna je v členském státě, v němž daný subjekt provádí většinu činností k zajištění kybernetické bezpečnosti. Nelze-li takový členský stát určit, má se za to, že dotčený subjekt má hlavní provozovnu v členském státě, v němž má provozovnu s nejvyšším počtem zaměstnanců v Unii.

3.Jestliže subjekt, jehož druh je uveden v přílohách I a II směrnice (EU) 2022/2555, není v Unii usazen, ale nabízí v Unii služby, určí svého zástupce v Unii. Tento zástupce je usazen v jednom z členských států, v němž jsou služby nabízeny. Má se za to, že tento subjekt podléhá pravomoci členského státu místa usazení zástupce. Pokud je takový subjekt subjektem uvedeným v odst. 1 písm. a), má se za to, že spadá do pravomoci členského státu, ve kterém poskytuje své služby. Neexistuje-li zástupce v Unii určený podle tohoto odstavce, může právní kroky proti subjektu za porušení tohoto nařízení podniknout kterýkoli členský stát, v němž tento subjekt poskytuje služby.

4.Tím, že subjekt uvedený v odst. 1 písm. b) určí svého zástupce, nejsou dotčeny právní kroky, které by mohly být podniknuty proti subjektu samotnému.

5.Členské státy, které obdržely žádost o vzájemnou pomoc týkající se subjektu podle odst. 1 písm. b), mohou v mezích této žádosti přijmout vůči dotčenému subjektu odpovídající opatření v oblasti dohledu a vymáhání, pokud subjekt poskytuje služby nebo má síť a informační systém na jejich území.

HLAVA VI 
ZÁVĚREČNÁ USTANOVENÍ

Článek 118
Postup projednávání ve výboru

1.Komisi je nápomocen výbor. Tento výbor má dvě složení. Pokud jde o hlavy II a III, je Komisi nápomocen výbor v prvním složení, zatímco pokud jde o hlavu IV, je Komisi nápomocen výbor ve druhém složení. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.

2.Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.

Článek 119
Výkon přenesení pravomoci

1.Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.

2.Pravomoc přijímat akty v přenesené pravomoci uvedené v čl. 80 odst. 2 a čl. 110 odst. 5 je Komisi svěřena na dobu neurčitou ode dne vstupu tohoto nařízení v platnost.

3.Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 80 odst. 2 a čl. 110 odst. 5 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm blíže určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění rozhodnutí v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci. 

4.Před přijetím aktu v přenesené pravomoci Komise vede konzultace s odborníky, které určí jednotlivé členské státy v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů.

5.Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.

6.Akt v přenesené pravomoci přijatý podle čl. 80 odst. 2 a čl. 110 odst. 5 vstoupí v platnost, pouze pokud proti němu Evropský parlament nebo Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce. 

Článek 120
Hodnocení a přezkum

1.Do [DD MM RRRR] a poté každých pět let Komise zadá hodnocení, které se provede v souladu s pokyny Komise.

2.Hodnocení uvedené v odstavci 1 zahrnuje posouzení:

a)výkonnosti agentury ENISA ve vztahu k jejím cílům, mandátu, poslání, úkolům, správě a umístění;

b)efektivnosti, účinnosti a přidané hodnoty EU evropských schémat potvrzování individuálních dovedností v oblasti kybernetické bezpečnosti stanovených v hlavě II kapitole II oddílu 4 tohoto nařízení;

c)dopadu, efektivnosti a účinnosti ustanovení hlavy III tohoto nařízení s ohledem na cíle zajištění odpovídající úrovně kybernetické bezpečnosti produktů, služeb a procesů IKT, řízených služeb a subjektů v Unii a zlepšení fungování vnitřního trhu;

d)dopadu, efektivnosti a účinnosti ustanovení hlavy IV tohoto nařízení s ohledem na cíle rámce pro důvěryhodné dodavatelské řetězce IKT.

3.Hodnocení uvedené v odst. 1 písm. a) se zejména zabývá případnou potřebou upravit mandát agentury ENISA a finančními dopady jakékoli takové úpravy.

4.Při každém druhém hodnocení podle odst. 1 písm. a) Komise posoudí výsledky dosažené agenturou ENISA s ohledem na její cíle, mandát, poslání, řízení a úkoly, včetně posouzení, zda je další fungování agentury ENISA s ohledem na tyto cíle, mandát, poslání, řízení a úkoly stále odůvodněné.

5.Komise podá Evropskému parlamentu, Radě a správní radě zprávu o zjištěních, která z hodnocení vyplynou. Zjištění tohoto hodnocení se zveřejní.

Článek 121
Zrušení a pokračování činností

1.Nařízení Evropského parlamentu a Rady (EU) 2019/881 se zrušuje s účinkem ode dne DDMMYYYY.

2.Odkazy na nařízení (EU) 2019/881, agenturu ENISA a evropská schémata certifikace kybernetické bezpečnosti zřízené uvedeným nařízením se považují za odkazy na toto nařízení v souladu se srovnávací tabulkou obsaženou v příloze III tohoto nařízení.

3.Agentura ENISA podle tohoto nařízení pokračuje v provozu a činnostech agentury ENISA zřízené nařízením (EU) 2019/881, pokud jde o veškeré vlastnictví, dohody, právní závazky, pracovní smlouvy, finanční závazky a odpovědnost. Všechna rozhodnutí správní a výkonné rady přijatá v souladu s nařízením (EU) 2019/881 zůstávají v platnosti, jsou-li v souladu s tímto nařízením.

4.Výkonný ředitel jmenovaný podle čl. 15 odst. 1 písm. n) nařízení (EU) 2019/881 zůstává ve funkci a vykonává úkoly a povinnosti výkonného ředitele, jak jsou uvedeny v článku 32 tohoto nařízení, po zbývající část svého funkčního období. Ostatní podmínky jeho smlouvy se nemění.

5.Návrhy schémat, o jejichž přípravu bylo požádáno podle článku 49 nařízení (EU) 2019/881, se považují za schémata, o jejichž přípravu bylo požádáno podle odpovídajících ustanovení tohoto nařízení. Na tyto návrhy schémat se tudíž použijí ustanovení hlavy III tohoto nařízení.

6.Členové správní rady jmenovaní Komisí a jejich náhradníci jmenovaní podle článku 14 nařízení (EU) 2019/881 zůstávají ve funkci a vykonávají pravomoci správní rady, jak jsou uvedeny v článku 27 tohoto nařízení, po zbývající část svého funkčního období. Členové správní rady jmenovaní členskými státy podle článku 14 nařízení (EU) 2019/881 zůstávají ve funkci a vykonávají pravomoci správní rady, jak jsou uvedeny v článku 27 tohoto nařízení, po zbývající část svého funkčního období, pokud vykonávají funkce uvedené v čl. 24 odst. 3 tohoto nařízení.

Článek 122
Vstup v platnost

Toto nařízení vstupuje v platnost […] dnem po vyhlášení v Úředním věstníku Evropské unie.

Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

Ve Štrasburku dne

LEGISLATIVNÍ FINANČNÍ A DIGITÁLNÍ VÝKAZ

1.RÁMEC NÁVRHU/PODNĚTU3

1.1.Název návrhu/podnětu3

1.2.Příslušné oblasti politik3

1.3.Cíle3

1.3.1.Obecné cíle3

1.3.2.Specifické cíle3

1.3.3.Očekávané výsledky a dopady3

1.3.4.Ukazatele výkonnosti3

1.4.Návrh/podnět se týká:4

1.5.Odůvodnění návrhu/podnětu4

1.5.1.Potřeby, které mají být uspokojeny v krátkodobém nebo dlouhodobém horizontu, včetně podrobného harmonogramu pro zahajovací fázi provádění podnětu4

1.5.2.Přidaná hodnota ze zapojení EU (může být důsledkem různých faktorů, např. přínosů z koordinace, právní jistoty, vyšší účinnosti nebo doplňkovosti). Pro účely tohoto oddílu se „přidanou hodnotou ze zapojení EU“ rozumí hodnota plynoucí z akce Unie, jež doplňuje hodnotu, která by jinak vznikla činností samotných členských států.4

1.5.3.Závěry vyvozené z podobných zkušeností v minulosti4

1.5.4.Slučitelnost s víceletým finančním rámcem a možné synergie s dalšími vhodnými nástroji5

1.5.5.Posouzení různých dostupných možností financování, včetně prostoru pro přerozdělení prostředků5

1.6.Doba trvání návrhu/podnětu a jeho finančního dopadu6

1.7.Předpokládaný způsob plnění rozpočtu6

2.SPRÁVNÍ OPATŘENÍ8

2.1.Pravidla pro sledování a podávání zpráv8

2.2.Systémy řízení a kontroly8

2.2.1.Odůvodnění navrhovaných způsobů plnění rozpočtu, mechanismů provádění financování, způsobů plateb a kontrolní strategie8

2.2.2.Informace o zjištěných rizicích a systémech vnitřní kontroly zřízených k jejich zmírnění8

2.2.3.Odhad a odůvodnění nákladové efektivnosti kontrol (poměr mezi náklady na kontroly a hodnotou souvisejících spravovaných finančních prostředků) a posouzení očekávané míry rizika výskytu chyb (při platbě a při uzávěrce)8

2.3.Opatření k zamezení podvodů a nesrovnalostí9

3.ODHADOVANÝ FINANČNÍ DOPAD NÁVRHU/PODNĚTU10

3.1.Okruhy víceletého finančního rámce a dotčené výdajové rozpočtové položky10

3.2.Odhadovaný finanční dopad návrhu na prostředky12

3.2.1.Odhadovaný souhrnný dopad na operační prostředky12

3.2.1.1.Prostředky ze schváleného rozpočtu12

3.2.1.2.Prostředky z vnějších účelově vázaných příjmů17

3.2.2.Odhadovaný výstup financovaný z operačních prostředků22

3.2.3.Odhadovaný souhrnný dopad na správní prostředky24

3.2.3.1. Prostředky ze schváleného rozpočtu24

3.2.3.2.Prostředky z vnějších účelově vázaných příjmů24

3.2.3.3.Prostředky celkem24

3.2.4.Odhadované potřeby v oblasti lidských zdrojů25

3.2.4.1.Financované ze schváleného rozpočtu25

3.2.4.2.Financované z vnějších účelově vázaných příjmů26

3.2.4.3.Potřeby v oblasti lidských zdrojů celkem26

3.2.5.Odhadovaný dopad na investice související s digitálními technologiemi28

3.2.6.Slučitelnost se stávajícím víceletým finančním rámcem28

3.2.7.Příspěvky třetích stran28

3.3.Odhadovaný dopad na příjmy29

4.Digitální rozměr29

4.1.Požadavky digitálního významu30

4.2.Data30

4.3.Digitální řešení31

4.4.Posouzení interoperability31

4.5.Opatření na podporu digitálního provádění32

1.RÁMEC NÁVRHU/PODNĚTU 

1.1.Název návrhu/podnětu

1.2.Příslušné oblasti politik 

1.3.Cíle

1.3.1.Obecné cíle

1.3.2.Specifické cíle

1.3.3.Očekávané výsledky a dopady

Upřesněte účinky, které by návrh/podnět měl mít na příjemce / cílové skupiny.

1.3.4.Ukazatele výkonnosti

Upřesněte ukazatele pro sledování pokroku a dosažených výsledků.

1.4.Návrh/podnět se týká: 

 nové akce (hlava IV Dodavatelský řetězec, hlava V Zjednodušení)

 nové akce následující po pilotním projektu / přípravné akci 84  

 rozšíření stávající akce (hlava II Mandát agentury ENISA a hlava III Certifikace)

 sloučení jedné či více akcí v jinou/novou akci nebo přesměrování jedné či více akcí na jinou/novou akci

1.5.Odůvodnění návrhu/podnětu 

1.5.1.Potřeby, které mají být uspokojeny v krátkodobém nebo dlouhodobém horizontu, včetně podrobného harmonogramu pro zahajovací fázi provádění podnětu

1.5.2.Přidaná hodnota ze zapojení EU (může být důsledkem různých faktorů, např. přínosů z koordinace, právní jistoty, vyšší účinnosti nebo doplňkovosti). Pro účely tohoto oddílu se „přidanou hodnotou ze zapojení EU“ rozumí hodnota plynoucí z akce Unie, jež doplňuje hodnotu, která by jinak vznikla činností samotných členských států.

1.5.3.Závěry vyvozené z podobných zkušeností v minulosti

1.5.4.Slučitelnost s víceletým finančním rámcem a možné synergie s dalšími vhodnými nástroji

1.5.5.Posouzení různých dostupných možností financování, včetně prostoru pro přerozdělení prostředků

1.6.Doba trvání návrhu/podnětu a jeho finančního dopadu

 Časově omezená doba trvání

–    s platností od [DD.MM.]RRRR do [DD.MM.]RRRR,

–    finanční dopad od RRRR do RRRR u prostředků na závazky a od RRRR do RRRR u prostředků na platby.

 Časově neomezená doba trvání

–Provádění s obdobím rozběhu od RRRR do RRRR,

–poté plné fungování.

1.7.Předpokládaný způsob plnění rozpočtu 

 Přímé řízení Komisí

– prostřednictvím jejích útvarů, včetně jejích zaměstnanců v delegacích Unie,

–    prostřednictvím výkonných agentur.

 Sdílené řízení s členskými státy

 Nepřímé řízení, při kterém jsou úkoly souvisejícími s plněním rozpočtu pověřeny:

– třetí země nebo subjekty určené těmito zeměmi,

– mezinárodní organizace a jejich agentury (upřesněte),

– Evropská investiční banka a Evropský investiční fond,

– subjekty uvedené v článcích 70 a 71 finančního nařízení,

– veřejnoprávní subjekty,

– soukromoprávní subjekty pověřené výkonem veřejné služby v rozsahu, v jakém jim byly poskytnuty dostatečné finanční záruky,

– soukromoprávní subjekty členského státu pověřené uskutečňováním partnerství veřejného a soukromého sektoru, kterým byly poskytnuty dostatečné finanční záruky,

– subjekty nebo osoby pověřené prováděním specifických akcí v rámci společné zahraniční a bezpečnostní politiky podle hlavy V Smlouvy o Evropské unii a určené v příslušném základním právním aktu,

–subjekty usazené v členském státě, které se řídí soukromým právem členského státu nebo právem Unie a které mohou být v souladu s odvětvovými pravidly pověřeny vynakládáním finančních prostředků Unie nebo využíváním rozpočtových záruk Unie, pokud jsou tyto subjekty ovládány veřejnoprávními subjekty nebo soukromoprávními subjekty pověřenými výkonem veřejné služby a byly jim poskytnuty dostatečné finanční záruky ve formě společné a nerozdílné odpovědnosti kontrolních subjektů nebo rovnocenné finanční záruky, jež mohou být pro každou akci omezeny na maximální výši podpory Unie.

Poznámky

2.SPRÁVNÍ OPATŘENÍ 

2.1.Pravidla pro sledování a podávání zpráv