UJEDNÁNÍ

mezi Evropským parlamentem, Evropskou radou, Radou Evropské unie, Evropskou komisí, Soudním dvorem Evropské unie, Evropskou centrální bankou, Evropským účetním dvorem, Evropskou službou pro vnější činnost, Evropským hospodářským a sociálním výborem, Evropským výborem regionů a Evropskou investiční bankou o organizaci a fungování týmu pro reakci na počítačové hrozby pro orgány, instituce a jiné subjekty Unie (CERT-EU)

(2018/C 12/01)

EVROPSKÝ PARLAMENT,

EVROPSKÁ RADA, RADA EVROPSKÉ UNIE,

EVROPSKÁ KOMISE,

SOUDNÍ DVŮR EVROPSKÉ UNIE,

EVROPSKÁ CENTRÁLNÍ BANKA,

EVROPSKÝ ÚČETNÍ DVŮR,

EVROPSKÁ SLUŽBA PRO VNĚJŠÍ ČINNOST,

EVROPSKÝ HOSPODÁŘSKÝ A SOCIÁLNÍ VÝBOR,

EVROPSKÝ VÝBOR REGIONŮ

A EVROPSKÁ INVESTIČNÍ BANKA,

vzhledem k těmto důvodům:

UZAVŘELY TOTO UJEDNÁNÍ:

Článek 1

Účel a poslání

1.   Účelem tohoto ujednání je stanovit pravidla pro fungování a organizaci interinstitucionálního týmu pro reakci na počítačové hrozby pro orgány, instituce a jiné subjekty Unie („tým CERT-EU“).

2.   Posláním týmu CERT-EU je přispívat k bezpečnosti infrastruktury IKT v rámci všech orgánů, institucí a jiných subjektů Unie („zúčastněné subjekty“) tím, že bude pomáhat předcházet kybernetickým útokům, odhalovat je a zmírňovat a reagovat na ně a že bude pro zúčastněné subjekty fungovat jako centrální bod pro výměnu informací v oblasti kybernetické bezpečnosti a pro koordinaci reakcí na incidenty.

Článek 2

Úkoly týmu CERT-EU

1.   Tým CERT-EU shromažďuje, spravuje, analyzuje a sdílí se zúčastněnými subjekty informace o hrozbách, zranitelných místech a incidentech týkajících se infrastruktury IKT pro neutajované informace. Koordinuje reakce na incidenty na interinstitucionální úrovni a na úrovni jednotlivých zúčastněných subjektů, a to i poskytováním specializované operativní pomoci či koordinací jejího poskytování.

2.   Tým CERT-EU nabízí všem zúčastněným subjektům standardní služby poskytované týmy pro reakci na počítačové hrozby („služby CERT“). Katalog obsahující podrobnou nabídku služeb poskytovaných týmem CERT-EU a případné aktualizace schvaluje řídící rada. Při revizi seznamu služeb vezme vedoucí týmu CERT-EU v úvahu zdroje, které jsou mu přiděleny.

3.   Tým CERT-EU může se souhlasem příslušného zúčastněného subjektu monitorovat provoz na síti zúčastněných subjektů.

4.   Tým CERT-EU může v případě, že je o to dotčeným zúčastněným subjektem výslovně požádán, poskytovat zúčastněným subjektům pomoc ohledně incidentů v rámci sítí a systémů IT pro utajované informace.

5.   Tým CERT-EU neiniciuje činnosti ani vědomě nezasahuje do žádných záležitostí, které spadají do pravomoci vnitrostátních bezpečnostních a zpravodajských služeb nebo specializovaných odborů v rámci zúčastněných subjektů. Ředitelství pro bezpečnost Komise a předseda řídící rady týmu CERT-EU jsou neprodleně informováni o jakýchkoli kontaktech s týmem CERT-EU, které iniciují nebo o jejichž navázání usilují vnitrostátní bezpečnostní a zpravodajské služby.

6.   Tým CERT-EU informuje zúčastněné subjekty o svých postupech a procesech pro řešení incidentů.

7.   Tým CERT-EU může v případě, že jej o to politické odbory zúčastněných subjektů výslovně požádají, přispívat poskytováním svého technického poradenství nebo vstupních informací týkajících se relevantních politických záležitostí.

Článek 3

Spolupráce mezi zúčastněnými subjekty a týmem CERT-EU

1.   Tým CERT-EU a zúčastněné subjekty pracují v souladu se zásadou „sdílet jen to nejnutnější“, s výhradou odstavce 3. Tým CERT-EU zajistí, aby v zájmu usnadnění sdílení informací se zúčastněnými subjekty byly k dispozici účinné komunikační prostředky.

2.   Zúčastněné subjekty poskytují týmu CERT-EU informace o hrozbách a zranitelných místech v oblasti kybernetické bezpečnosti, jež se jich dotýkají. Pokud se tým CERT-EU dozví o hrozbě nebo o zranitelném místě, jimiž je nebo by potenciálně mohl být zúčastněný subjekt dotčen, co nejdříve příslušný zúčastněný subjekt o této skutečnosti uvědomí poskytnutím veškerých relevantních informací, včetně míry kritičnosti, aby bylo možno provést ochranná či nápravná opatření. Tým CERT-EU může být při zajišťování těchto ochranných či nápravných opatření nápomocen. Další zúčastněné subjekty jsou informovány v případě, že by potenciálně mohly být danou hrozbou či zranitelným místem dotčeny.

3.   Zúčastněné subjekty bez zbytečného prodlení informují tým CERT-EU, jestliže u nich dojde k závažnému kybernetickému incidentu, a poskytnou veškeré relevantní technické podrobnosti, ledaže by jejich poskytnutí mohlo ohrozit bezpečnostní zájmy zúčastněného subjektu nebo třetí strany. Za závažný se považuje jakýkoli incident, pokud nemá opakovaný či nekomplikovaný charakter a není pravděpodobné, že je z hlediska metody a technologií již dobře pochopen. Netechnické informace je možno s týmem CERT-EU sdílet podle uvážení dotčeného zúčastněného subjektu. Informace o incidentu sdělené týmu CERT-EU nesmí být sdíleny se subjekty mimo tým CERT-EU, a to ani v anonymizované podobě, ledaže k tomu dá dotčený zúčastněný subjekt souhlas. S cílem připravit se na situace, kdy je v zájmu ochrany sítí a systémů zúčastněných subjektů zapotřebí informace sdílet urychleně, tým CERT-EU ve spolupráci se zúčastněnými subjekty v předstihu vypracuje postup, jak takové sdílení informací provádět.

4.   Tým CERT-EU na základě dialogu se zúčastněnými subjekty vede katalog odborných znalostí, které jsou mezi nimi k dispozici a jež by v případě závažného kybernetického incidentu, jímž by byl dotčen jeden nebo více zúčastněných subjektů, bylo potenciálně možno v rámci dostupných prostředků a schopností využít. Ve vhodných případech může tým CERT-EU za účelem řešení incidentu v oblasti kybernetické bezpečnosti organizovat a koordinovat sdílení informací a technickou podporu přímo mezi zúčastněnými subjekty.

5.   Tým CERT-EU v rámci svých pravomocí úzce spolupracuje s Agenturou Evropské unie pro bezpečnost sítí a informací (ENISA) a s Evropským centrem pro boj proti kyberkriminalitě, které je součástí Europolu.

6.   Informace o konkrétních incidentech tým CERT-EU sdílí s donucovacími orgány pouze s předchozím souhlasem příslušných pracovních útvarů relevantního zúčastněného subjektu či subjektů.

7.   Tým CERT-EU vede záznamy o všech informacích, jež byly sdíleny se zúčastněnými subjekty a vyměněny s dalšími stranami. Zúčastněné subjekty mohou tým CERT-EU požádat o podrobnosti týkající se jejich informací, jež byly sdíleny s dalšími stranami.

8.   V případě potřeby může tým CERT-EU s jakýmkoli zúčastněným subjektem uzavřít ujednání o úrovni služeb nebo o spolupráci týkající se poskytování služeb CERT. Tým CERT-EU může uzavřít rovněž ujednání o úrovni služeb nebo o spolupráci týkající se poskytování služeb CERT za úplatu pro civilní operace EU pro řešení krizí podle hlavy V kapitoly 2 Smlouvy o Evropské unii. V každém případě musí tato ujednání o úrovni služeb nebo o spolupráci schválit řídící rada.

Článek 4

Spolupráce týmu CERT-EU s týmy CERT členských států

1.   Tým CERT-EU spolupracuje s týmy CERT nebo týmy CSIRT členských států zřízenými na celostátní či vládní úrovni a vyměňuje si s nimi informace ohledně hrozeb, zranitelných míst a incidentů v oblasti kybernetické bezpečnosti, ohledně možných protiopatření a veškerých záležitostí relevantních pro zlepšení ochrany infrastruktury IKT v rámci zúčastněných subjektů, a to i prostřednictvím sítě CSIRT uvedené v článku 12 směrnice o bezpečnosti sítí a informací.

2.   Tým CERT-EU spolupracuje s týmy CERT členských států s cílem shromažďovat informace o obecných a konkrétních hrozbách ohrožujících zúčastněné subjekty a o nástrojích či metodách, včetně technik, taktik a postupů, o osvědčených postupech a obecných zranitelných místech za účelem šíření těchto informací svým zúčastněným subjektům. Tým CERT-EU si může s těmito týmy CERT vyměňovat informace o nástrojích či metodách, včetně technik, taktik a postupů, o osvědčených postupech a obecných hrozbách a zranitelných místech.

3.   Tým CERT-EU si s těmito týmy CERT může se souhlasem dotčeného zúčastněného subjektu vyměňovat informace týkající se konkrétních incidentů.

Článek 5

Spolupráce s týmy CERT třetích stran a dalšími partnery

1.   Tým CERT-EU může spolupracovat s týmy CERT zaměřenými na konkrétní průmyslová odvětví a s týmy CERT zemí mimo EU ohledně nástrojů a metod, jako například techniky, taktiky a postupů, a ohledně osvědčených postupů, jakož i ohledně obecných hrozeb a zranitelných míst. Pro účely veškeré spolupráce s těmito týmy CERT, včetně spolupráce na základě rámců, v nichž týmy CERT zemí mimo EU spolupracují s týmy CERT členských států, požádá tým CERT-EU řídící radu o předchozí souhlas.

2.   Tým CERT-EU může v zájmu shromažďování informací o obecných a konkrétních hrozbách, zranitelných místech a možných protiopatřeních spolupracovat s dalšími partnery, jako jsou komerční subjekty nebo jednotliví odborníci. Pro účely širší spolupráce s těmito partnery požádá tým CERT-EU řídící radu o předchozí souhlas.

3.   Pod podmínkou, že je s příslušným partnerem uzavřeno ujednání či smlouva o nezveřejňování informací, může tým CERT-EU se souhlasem dotčeného zúčastněného subjektu poskytnout těmto partnerům informace týkající se konkrétního incidentu v rámci zúčastněného subjektu, pokud tito partneři mohou přispět k jeho analýze. Tyto dohody či smlouvy o nezveřejňování informací musí být zákonně ověřeny v souladu s příslušnými vnitřními postupy Komise. Dohody či smlouvy o nezveřejňování informací nevyžadují předchozí souhlas řídící rady, ale její předseda musí být informován.

4.   Ve výjimečných případech může tým CERT-EU s předchozím souhlasem řídící rady uzavřít ujednání o úrovni služeb s jinými subjekty, než jsou zúčastněné subjekty.

Článek 6

Úkoly vedoucího týmu CERT-EU

1.   Vedoucí týmu CERT-EU je odpovědný za hladké fungování týmu CERT-EU, přičemž jedná v rámci svých pravomocí pod vedením řídící rady. Je odpovědný za plnění strategických směrnic, pokynů, cílů a priorit stanovených řídící radou a za řádné řízení týmu CERT-EU, a to i za řízení jeho finančních a lidských zdrojů. Podává pravidelné zprávy předsedovi řídící rady.

2.   Vedoucí týmu CERT-EU je vázán pravidly vztahujícími se na Komisi a jedná jako dále pověřená schvalující osoba při provádění obecného rozpočtu Evropské unie v souladu s příslušnými vnitřními pravidly Komise týkajícími se přenesení pravomocí a omezení v takových případech. Jedná z pověření Komise výlučně za účelem uplatňování administrativních a finančních pravidel a postupů.

3.   Vedoucí týmu CERT-EU předkládá řídící radě čtvrtletní zprávy o výsledcích činnosti týmu CERT-EU, provádění rozpočtu, uzavřených smlouvách či dalších ujednáních a o misích podniknutých jeho zaměstnanci. Vedoucí týmu CERT-EU rovněž každoročně předkládá řídící radě zprávu podle čl. 8 odst. 1 písm. e).

4.   Vedoucí týmu CERT-EU je nápomocný odpovědné pověřené schvalující osobě při vypracovávání každoroční zprávy o činnosti obsahující finanční a manažerské informace, včetně výsledků kontrol, vypracované v souladu s čl. 66 odst. 9 finančního nařízení, a podává jí pravidelně zprávu o provádění opatření, ohledně kterých mu byla dále svěřena pravomoc.

5.   Vedoucí týmu CERT-EU každoročně vypracuje finanční plán správních příjmů a výdajů pro svou činnost, který má schválit řídící rada v souladu s čl. 8 odst. 1 písm. c).

Článek 7

Řídící rada

1.   Řídící rada poskytuje týmu CERT-EU strategické směry a pokyny a sleduje plnění jeho obecných priorit a cílů. Jejími členy jsou zástupci vrcholného vedení jmenovaní jednotlivými signatáři tohoto ujednání a agenturou ENISA, kteří zastupují zájmy jiných subjektů uvedených na seznamu v příloze I, jež provozují svou vlastní infrastrukturu IKT. Členům může být nápomocen náhradník. Předseda může k účasti na zasedáních řídící rady přizvat další zástupce složek.

2.   Řídící rada z řad svých členů určí předsedu na období dvou let. Jeho náhradník se na stejně dlouhé období stane plným členem řídící rady.

3.   Řídící rada se schází z podnětu svého předsedy nebo na žádost kteréhokoli ze svých členů. Přijme vnitřní jednací řád.

4.   Každý signatář tohoto ujednání a agentura ENISA má jeden hlas, který uplatňuje příslušný člen nebo členové. Není-li stanoveno jinak, přijímají se rozhodnutí řídící rady prostou většinou. Předseda nehlasuje, s výjimkou případu rovnosti hlasů, kdy může uplatnit rozhodující hlas.

5.   Je-li z operativních důvodů zapotřebí přijmout rozhodnutí urychleně, řídící rada může ve výjimečných případech jednat se souhlasem předsedy a členů zastupujících Evropskou komisí, Radu, Evropský parlament a dotčený zúčastněný subjekt nebo subjekty.

6.   Řídící rada může jednat zjednodušeným písemným postupem zahájeným na podnět předsedy, na jehož základě se příslušné rozhodnutí ve lhůtě stanovené předsedou považuje za schválené, s výjimkou případů, kdy některý ze členů vznese námitku.

7.   Zasedání řídící rady se účastní vedoucí týmu CERT-EU, s výjimkou případů, kdy řídící rada rozhodne jinak.

8.   Sekretariát řídící rady zajistí orgán, jehož zástupce vrcholného vedení je předsedou.

9.   Sekretariát o rozhodnutích řídící rady informuje subjekty EU uvedené na seznamu v příloze I. Jakýkoli subjekt EU je oprávněn se na předsedu řídící rady obrátit s jakoukoli záležitostí, na niž by podle názoru daného subjektu měla být řídící rada upozorněna.

Článek 8

Úkoly řídící rady

1.   Při poskytování strategických směrů a pokynů týmu CERT-EU řídící rada zejména:

2.   Předseda může řídící radu zastupovat nebo jednat jejím jménem v souladu s ujednáními dohodnutými řídící radou.

Článek 9

Záležitosti týkající se personálního obsazení a finanční záležitosti

1.   Tým CERT-EU je zřízen jako samostatný interinstitucionální poskytovatel služeb všem orgánům, institucím a jiným subjektům Unie, je však začleněn do administrativní struktury generálního ředitelství Komise, aby mohl využívat podpůrné struktury Komise v oblasti administrativy, finančního řízení a účetnictví. Komise informuje řídící radu o administrativním umístění týmu CERT-EU a případných změnách tohoto umístění.

2.   Komise po obdržení jednomyslného schválení řídící radou jmenuje vedoucího týmu CERT-EU. Řídící rada je konzultována ve všech fázích postupu předcházejícího jmenování vedoucího týmu CERT-EU, a to zejména při vypracovávání oznámení o volném pracovním místě, posuzování žádostí a jmenování výběrových komisí v souvislosti s tímto pracovním místem.

3.   Úředníci všech orgánů a institucí Unie jsou informováni o jakémkoli oznámení o volném pracovním místě týkajícím se pracovních míst v týmu CERT-EU.

4.   Při respektování pravomocí rozpočtového orgánu Unie se orgány a instituce Unie, jež se tohoto ujednání účastní, s výjimkou Evropského účetního dvora, Evropské centrální banky a Evropské investiční banky, zavazují, že nejpozději do rozpočtového roku 2019, nebo jak je v příloze II stanoveno jinak, na tým CERT-EU převedou nebo mu přidělí počet pracovních míst uvedený v příloze II. Orgánům a institucím Unie, jež stanovený počet pracovních míst přidělí nebo převedou, poskytne tým CERT-EU služby v plném rozsahu. Počet míst uvedený v příloze II je revidován nejméně každých pět let.

5.   Tým CERT-EU se se zúčastněnými orgány a institucemi Unie může dohodnout na dočasném přidělení dalších pracovníků týmu CERT-EU.

6.   Evropský účetní dvůr, Evropská centrální banka a Evropská investiční banka uzavřou ujednání o úrovni služeb týkající se služeb nabízených týmem CERT-EU v souladu s jeho katalogem služeb a s jejich ročními finančními příspěvky, jež má každý z těchto subjektů poskytnout v souladu s přílohou II na začátku každého rozpočtového roku výměnou za služby poskytnuté týmem CERT-EU během předcházejícího finančního roku.

7.   Finanční příspěvky, jež mají jednotlivé jiné subjekty Unie poskytnout na pokrytí nákladů na služby nabízené týmem CERT-EU, musí být dohodnuty s příslušnými jinými subjekty Unie a zahrnuty do obecného administrativního rámce, jímž se poskytování služeb Komise jiným subjektům Unie řídí.

8.   Vedoucí týmu CERT-EU podává každý rok zprávu o výši ročního finančního příspěvku, který má být poskytnut zúčastněnými subjekty, jež uzavřely ujednání o úrovni služeb s týmem CERT-EU podle odstavce 6, a subjekty Unie podle odstavce 7. Řídící rada každý rok uvedenou částku ročního finančního příspěvku přezkoumá.

9.   Rozpočtové a finanční řízení činností týmu CERT-EU, včetně účelově vázaných příjmů od jiných orgánů nebo subjektů Unie, provádí Komise v souladu s nařízením Evropského parlamentu a Rady (EU, Euratom) č. 966/2012, kterým se stanoví finanční pravidla pro souhrnný rozpočet Unie (2) a s příslušnými pravidly a předpisy. Jakékoli rozpočtové prostředky nebo příjmy, jež tým CERT-EU prostřednictvím ujednání o úrovni služeb získá, budou v rámci jeho finančního plánování výslovně označeny.

Článek 10

Profesní důvěrnost

Tým CERT-EU a zúčastněné subjekty nakládají s veškerými informacemi od jiného zúčastněného subjektu nebo od třetí strany jako s informacemi podléhajícími povinnosti profesního tajemství v souladu s článkem 339 Smlouvy o fungování Evropské unie nebo s rovnocennými použitelnými rámci. Nesmějí žádné takové informace sdělit třetím stranám, ledaže je k tomu dotčený zúčastněný subjekt nebo třetí strana výslovně oprávní.

Článek 11

Ochrana osobních údajů

Zpracování osobních údajů prováděné podle tohoto ujednání se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3).

Článek 12

Audit, dotazy a přístup veřejnosti k dokumentům

1.   Funkci interního auditora plní Útvar interního auditu Komise při dodržení ustanovení článku 10. Řídící rada může Útvaru interního auditu Komise navrhovat audity, které mají být provedeny.

2.   Vedoucí týmu CERT-EU je odpovědný za zodpovídání dotazů evropského veřejného ochránce práv a evropského inspektora ochrany údajů v souladu s vnitřními postupy Komise.

3.   Postupy Komise podle nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 (4) se použijí ve vztahu k žádostem o přístup veřejnosti k dokumentům v držení týmu CERT-EU, přičemž se bere zřetel na povinnost podle uvedeného nařízení konzultovat jiné zúčastněné subjekty, kdykoli se žádost týká jejich dokumentů.

Článek 13

Přezkum

S ohledem na měnící se prostředí v oblasti kybernetických hrozeb a měnící se reakci Unie na tyto hrozby, včetně politických priorit stanovených ve strategii kybernetické bezpečnosti Evropské unie, řídící rada organizaci a fungování týmu CERT-EU pravidelně přezkoumává. Může zúčastněným orgánům a institucím vydávat doporučení k přezkumu nebo změně tohoto ujednání nebo jakákoli jiná doporučení týkající se efektivního fungování týmu CERT-EU.

Článek 14

Oblast působnosti a datum použitelnosti

1.   Toto ujednání se použije na orgány a instituce Unie, které jsou signatáři tohoto ujednání, a na jiné subjekty Unie, které provozují svoji vlastní infrastrukturu IKT, uvedené na seznamu v příloze I.

2.   Toto ujednání se použije ode dne podpisu. Bude zveřejněno v Úředním věstníku Evropské unie.

Toto ujednání je sepsáno v jazyce bulharském, chorvatském, českém, dánském, nizozemském, anglickém, estonském, finském, francouzském, německém, řeckém, maďarském, italském, lotyšském, litevském, maltském, polském, portugalském, rumunském, řeckém, slovenském, slovinském, španělském a švédském jazyce, v jediném vyhotovení, které bude uloženo u generálního sekretariátu Rady Evropské unie, který předá jeho ověřený opis všem signatářům.

(1)  Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).

(2)  Nařízení (EU, Euratom) č. 966/2012 Evropského parlamentu a Rady ze dne 25. října 2012, kterým se stanoví finanční pravidla pro souhrnný rozpočet Unie a kterým se zrušuje nařízení Rady (ES, Euratom) č. 1605/2002 (Úř. věst. L 298, 26.10.2012, s. 1).

(3)  Nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. L 8, 12.1.2001, s. 1).

(4)  Nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 ze dne 30. května 2001 o přístupu veřejnosti k dokumentům Evropského parlamentu, Rady a Komise (Úř. věst. L 145, 31.5.2001, s. 43).