EUROPA-KOMMISSIONEN

Strasbourg, den 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Forslag til

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING

om Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), den europæiske ramme for cybersikkerhedscertificering og sikkerhed i IKT-forsyningskæden og om ophævelse af forordning (EU) 2019/881 (forordningen om cybersikkerhed 2)

(EØS-relevant tekst)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

BEGRUNDELSE

1.BAGGRUND FOR FORSLAGET

•Forslagets begrundelse og formål

På denne baggrund er der fire hovedproblemer, som denne foreslåede revision af forordningen om cybersikkerhed har til formål at tackle: i) den manglende overensstemmelse mellem Unionens cybersikkerhedspolitiske ramme og interessenternes behov i et stadig mere fjendtligt trusselsbillede, ii) den fastlåste gennemførelse af den europæiske ramme for cybersikkerhedscertificering (ECCF), iii) kompleksiteten og mangfoldigheden af de cybersikkerhedsrelaterede politikker, der påvirker Unionens cyberberedskab, og iv) stigende sikkerhedsrisici i IKT-forsyningskæder.

For at løse de vigtigste problemer, der er konstateret, er de to overordnede målsætninger med indsatsen at øge cybersikkerhedskapaciteten og modstandsdygtigheden samt at forhindre fragmentering på det indre marked ved at:

·bidrage til at styrke Unionens cybersikkerhedsforvaltning og medvirke til at sikre, at relevante institutioner, myndigheder og andre interessenter er bedre forberedt på at forebygge, opdage og reagere på cybersikkerhedstrusler på en koordineret og effektiv måde, og

·støtte udviklingen, gennemførelsen og udbredelsen af fælles EU-cybersikkerhedsinstrumenter, såsom certificeringsordninger, og at tilvejebringe harmoniserede rammer, der opbygger tillid og interoperabilitet på tværs af medlemsstaterne.

Disse generelle mål imødekommer de vigtigste udfordringer, der er identificeret i problemformuleringen. De afspejler det overordnede politiske mål om at styrke styringen af cybersikkerhed i Unionen og støtte udviklingen af et sikkert, modstandsdygtigt og konkurrencedygtigt digitalt indre marked.

For at bidrage til at opfylde de generelle mål, der er anført ovenfor, forfølger denne indsats følgende specifikke mål (SM):

·afhjælpe den manglende overensstemmelse mellem Unionens cybersikkerhedspolitiske ramme og interessenternes behov:

·SM1: skabe kapacitet til effektivt at gennemføre Unionens cybersikkerhedspolitikker og løbende operationelt samarbejde, der muliggør et mere struktureret samarbejde mellem medlemsstaterne

·SM2: udvikle og gennemføre midler og mekanismer til effektivt at støtte og imødekomme medlemsstaternes, industriens og andre interessenters behov

·afhjælpe den begrænsede anvendelse og effektivitet af ECCF:

·SM3: skabe forudsætningerne for hurtigere indførelse af cybersikkerhedscertificeringsordninger, der er drevet af markedsbehov, ved at udvide ECCF's anvendelsesområde, sikre effektiv vedligeholdelse og smidige procedurer samt øge gennemsigtigheden

·imødegå det fragmenterede overholdelseslandskab og kompleksiteten i de horisontale og sektorielle rammer:

·SM4: skabe mekanismer og betingelser, der letter overholdelsen af cybersikkerhedskrav og dermed gør gennemførelsen mere sammenhængende og effektiv

·håndtere cybersikkerhedsrisici i forsyningskæden:

·SM5: reducere risici i kritiske IKT-forsyningskæder fra enheder, der er etableret i eller kontrolleres af enheder fra tredjelande, som giver anledning til cybersikkerhedsproblemer (højrisikoleverandører), og mindske kritiske afhængigheder ved at udvikle en sammenhængende og effektiv ramme på EU-plan for at imødegå sikkerhedsrisici i IKT-forsyningskæden.

Revisionen af forordningen om cybersikkerhed falder ind under programmet for målrettet og effektiv regulering (REFIT). Den bidrager i høj grad til at forbedre klarheden, fjerne ineffektivitet og tilpasse procedurer på tværs af de retlige rammer. Revisionen af forordningen om cybersikkerhed bidrager til at sikre et velfungerende indre marked og samtidig Unionens sikkerhed og strategiske autonomi.

Mere konkret foreslås en fuldstændig reform af mandatet for Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), som skal yde effektiv støtte til gennemførelsen af politikker og skabe merværdi ved at støtte det operationelle samarbejde mellem medlemsstaterne.

I betragtning af de stadig større risici og udfordringer inden for cybersikkerhed, som Unionen står over for, sigter forslaget mod at øge ENISA's finansielle og menneskelige ressourcer i overensstemmelse med dets udvidede rolle og opgaver og dets kritiske position med hensyn til at forsvare Unionens digitale økosystem, således at ENISA effektivt kan udføre de opgaver, som det tillægges ved dette forslag.

Revisionen vil også bidrage til at udrydde den fragmenterede praksis, forbedre koordineringen og samtidig sænke overholdelses- og driftsomkostningerne på lang sigt. Ved at ophæve den nuværende forordning om cybersikkerhed og indføre en reformeret ECCF leverer forslaget et mere virkningsfuldt og effektivt redskab, der både fremmer tilliden blandt virksomheder, den brede offentlighed og offentlige myndigheder og letter overholdelsen af relevant EU-lovgivning. Det øger effektiviteten ved at revidere forvaltningsmodellen og støtte mere forudsigelige, sammenhængende og fleksible certificeringsprocedurer for at bane vejen for en hurtigere udvikling og implementering af ordningen.

Større synergier med relevante eksisterende EU-retlige rammer vil fremme certificering som et overholdelsesværktøj for virksomheder og mindske den administrative byrde for overensstemmelsesvurderingsorganer, der er omfattet af flere retsakter om cybersikkerhed. Ved at udvide anvendelsesområdet for ECCF og bane vejen for en ordning for enheders cybersikkerhedstilstand reducerer forslaget desuden overholdelsesomkostningerne for enheder, der er omfattet af relevant EU-lovgivning om cybersikkerhed, begyndende med enheder, der er omfattet af NIS 2-direktivet. Denne tilgang vil i væsentlig grad forenkle de reguleringsmæssige forpligtelser for enheder, der er underlagt flere overholdelseskrav, og sikre en mere effektiv anvendelse af ressourcerne på tværs af de nationale myndigheder. Ud over denne revision har et forslag til direktiv om indførelse af målrettede ændringer af NIS 2-direktivet til formål at forenkle overholdelsen af og sikre en strømlinet og sammenhængende gennemførelse af specifikke aspekter af cybersikkerhedsrammen, herunder med hensyn til anvendelsesområde, definitioner, indberetning af ransomware og tilsyn med enheder, der leverer grænseoverskridende tjenester.

Den nye forordning skaber også en harmoniseret ramme til håndtering af ikketekniske risici, der påvirker IKT-forsyningskæder, og reducerer den nuværende fragmentering af tilgange på tværs af medlemsstaterne. Tilsammen udgør disse aspekter en væsentlig forenkling og modernisering af Unionens retlige ramme for cybersikkerhed, som er fuldt ud i overensstemmelse med REFIT-principperne om klarhed, effektivitet og digital parathed.

•Sammenhæng med de gældende regler på samme område

Unionen har udvidet sine retlige og politiske værktøjer med vedtagelsen af en række retsakter og politiske foranstaltninger: i) NIS 2-direktivet har til formål at styrke cybersikkerheden for kritisk infrastruktur, ii) fysiske sikkerhedsforanstaltninger er fastlagt i "søsterdirektivet", direktivet om kritiske enheders modstandsdygtighed, iii) forordningen om cyberrobusthed styrker cybersikkerheden for produkter, iv) forordningen om cybersolidaritet opbygger indsatskapacitet for hele EU, v) EU's cyberplan 7 understøtter krisestyringssamarbejde på EU-niveau, hvor Kommissionen og den højtstående repræsentant spiller en nøglerolle i forberedelserne til og håndteringen af væsentlige cybersikkerhedshændelser, vi) EU-værktøjskassen til 5G-sikkerhed (5G-værktøjskassen) understøtter cybersikkerheden i 5G-netværk, vii) den europæiske handlingsplan for cybersikkerhed for hospitaler og sundhedstjenesteydere 8 bidrager til at forbedre deres cybersikkerhed, og viii) EU's akademi for cybersikkerhedsfærdigheder 9 omhandler den voksende udfordring med manglen på cybersikkerhedsfærdigheder.

•Sammenhæng med Unionens politik på andre områder

2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET

•Retsgrundlag

•Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence)

De foranstaltninger, der er omfattet af den foreslåede forordning, giver en klar merværdi ved at støtte harmonisering, juridisk klarhed og koordinerede reaktioner på cybersikkerhedsudfordringer.

•Proportionalitetsprincippet

•Valg af instrument

3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSENTER OG KONSEKVENSANALYSER

•Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning

·Relevans: ENISA's relevans på cybersikkerhedsområdet understreges af dets evne til at reagere på de skiftende behov hos interessenter og tilpasse sig et landskab under forandring. Selv om interessenterne generelt er tilfredse, er der muligheder for at øge ENISA's gennemslagskraft. Dette kan opnås ved at forbedre støtte og synlighed for forskellige sektorer, især små og mellemstore virksomheder (SMV'er), som ofte har vanskeligt ved at opfylde cybersikkerhedskravene. Bedre ressourcefordeling og klarere koordinering med nationale myndigheder er afgørende. Omprioritering af aktiviteter og optimering af eksisterende ressourcer vil i højere grad sikre, at ENISA er tilpasset de dynamiske behov i det europæiske cybersikkerhedslandskab.

Hvad angår ECCF, anses rammen, trods sit lovende udgangspunkt, stadig for at have mere potentiale end reel praktisk betydning, da kun én certificeringsordning er blevet etableret i den seneste periode. Rammen er udformet således, at den gnidningsløst kan integreres med andre EU-retsakter for at strømline procedurer og lette den grænseoverskridende handel. Dens betydning understreges i områder med høj sikkerhed, såsom cloudtjenester og 5G-infrastrukturer.

·Virkning: ENISA har opfyldt sit mandat ved at levere næsten alle planlagte output og udvise fleksibilitet og modstandsdygtighed under kriser som covid-19-pandemien og Ruslands angrebskrig mod Ukraine. Der er dog behov for bedre prioritering, et klart fokus og strategisk ressourcefordeling for at øge virkningen. En mere smidig tilgang til intern forvaltning er afgørende for at tilpasse sig de skiftende krav til cybersikkerhed og minimere forsinkelser.

ECCF havde til formål at harmonisere cybersikkerhedscertificering i hele Unionen, men stødte på betydelige udfordringer, herunder proceduremæssige begrænsninger og fragmentering, hvilket førte til forsinkelser og ineffektivitet, såsom forsinkelsen i vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC). Eksterne faktorer, såsom geopolitiske spændinger og covid-19-pandemien, komplicerede yderligere opfyldelsen af ECCF's mål og understregede behovet for fleksible foranstaltninger og konsekvent ressourcefordeling blandt interessenter for at opnå ensartethed og effektivitet i cybersikkerhedscertificeringen. På trods af disse hindringer har der været positive resultater – især med hensyn til at øge bevidstheden blandt medlemsstaterne om betydningen og kompleksiteten af cybersikkerhedscertificering.

·Effektivitet: ENISA har fungeret effektivt under sin matrixbaserede organisationsstruktur og har fremmet samarbejde og prioritering af opgaver. ENISA stod dog over for udfordringer med at imødekomme stigende krav og besætte specialiserede stillinger, hvilket blev forværret af en global mangel på IT-specialister og førte til forsinkelser og en stor arbejdsbyrde. For at imødegå disse udfordringer kan ENISA optimere sin interne arbejdsstyrke og omfordele ressourcer effektivt, som det ses ved strategiske tilpasninger som flytningen af ressourcer i 2022 mod støtteforanstaltningen for cybersikkerhed. Derudover vil forbedret budgetforvaltning og reduktion af de administrative udgifter yderligere styrke agenturets operationelle effektivitet.

ECCF's effektivitet er blevet kritiseret på grund af den lange tid, det har taget at vedtage cybersikkerhedscertificeringsordninger, og de dermed forbundne kompleksiteter, idet den første ordning først blev vedtaget i begyndelsen af 2024, næsten fem år efter vedtagelsen af forordningen om cybersikkerhed. Politiske og tekniske udfordringer, såsom debatter om datasuverænitet og vanskeligheder med at få omsat forslag til retsakter, bidrog til forsinkelser. Politiske udfordringer og tekniske krav har hindret fremskridt, som det ses med EU's cloudcertificeringsordning (EUCS) og EU5G-ordningen. På trods af denne manglende effektivitet har rammen haft flere positive effekter. Der er dog fortsat behov for forbedringer med hensyn til inddragelse af interessenter og intern forvaltning for at sikre optimal funktion og strategisk input.

·Sammenhæng: ENISA's sammenhæng understøttes af en betydelig inddragelse af interessenter og tilpasning til de seneste lovgivningsmæssige rammer. For at øge sammenhængen og ressourcefordelingen er det imidlertid afgørende at forbedre synergierne med andre EU-organer, såsom Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed (ECCC) og nationale myndigheder. Desuden skal ENISA's interne kommunikation og ressourceforvaltning samt en gennemsigtig interaktion med private interessenter forbedres. En klar afgrænsning af ENISA's opgaver, i overensstemmelse med forordningen om cyberrobusthed og NIS 2-direktivet, vil forbedre både effektiviteten og den reguleringsmæssige sammenhæng.

Med hensyn til ECCF er fuld overensstemmelse med andre EU-retsakter, herunder NIS 2-direktivet og forordningen om cyberrobusthed, afgørende for at sikre en ensartet tilgang til cybersikkerhed. Selv om ECCF i teorien er i overensstemmelse med disse lovgivningsmæssige foranstaltninger, er integrationen i praksis fortsat kompleks og kræver omhyggeligt tilsyn. Gennemførelsen af den vedtagne EUCC-ordning inden for rammerne af forordningen om cyberrobusthed vil være en vigtig test i denne henseende.

·EU-merværdi: ENISA har ydet væsentlige bidrag til Unionens cybersikkerhedsøkosystem ved at fremme samarbejde og ensrette praksis. Agenturets rolle i at lette den nationale indsats og give indsigt i nye trusler har været afgørende. Kritik fra interessenter i den private sektor om behovet for mere skræddersyet støtte viser imidlertid, at der er behov for forbedret inddragelse af interessenter og øget samarbejde med industrien. En strategisk revurdering af ressourceforvaltningen vil sætte ENISA i stand til bedre at tilpasse sig de skiftende cybersikkerhedsudfordringer og betjene forskellige interessenter mere effektivt. ECCF havde til formål at indføre harmoniserede certificeringsprocesser, men mødte gennemførelsesudfordringer på grund af lange behandlingstider og fragmentering. ECCF's merværdi har været begrænset på grund af dens manglende evne til at nå sine mål og dens manglende effektivitet. På trods af disse udfordringer forbedrede ECCF harmoniseringen mellem medlemsstaterne og skabte bedre samarbejdsmuligheder, navnlig ved at oprette interessentsamarbejdsfora såsom Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG).

•Høringer af interessenter

Mellem 2023 og 2025 blev der gennemført flere høringer af interessenter både i forbindelse med evalueringen af forordningen om cybersikkerhed og revisionen af den som beskrevet nedenfor.

–I 2023 blev der gennemført 65 interviews (hvoraf 52 fokuserede mere på ENISA og 13 primært på ECCF), der blev gennemført en undersøgelse med 209 svar (hvoraf 70 vedrørte ECCF), en offentlig høring blev afsluttet, og der blev afholdt to workshops om SWOT-analyse (styrker, svagheder, muligheder og trusler) og anbefalinger med henholdsvis 26 og 70 deltagere. Disse aktiviteter havde specifikt til formål at indsamle interessenternes synspunkter for at evaluere ENISA's virkning og effektivitet. Den endelige rapport fra undersøgelsen Study to Support the Evaluation of the European Union Agency for Cybersecurity (ENISA) and the European Cybersecurity Certification Framework, som PwC, Intellera Consulting og PPMI foretog for Kommissionen i 2024, blev færdiggjort i december 2024. 

–I 2025 iværksatte Kommissionen en indkaldelse af feedback. Interessenterne blev navnlig opfordret til at indsende skriftlige bidrag, herunder positionspapirer, tekniske rapporter eller bemærkninger til specifikke reformforslag.  Der blev modtaget i alt 184 individuelle bidrag fra en bred vifte af interessentkategorier, herunder industrisammenslutninger, cybersikkerhedsvirksomheder, SMV'er, akademiske institutioner og interesseorganisationer.

–Mellem april og juni 2025 organiserede Kommissionen en offentlig høring som led i revisionen af forordningen om cybersikkerhed og modtog 193 svar. Høringen bestod af 38 spørgsmål, både lukkede og åbne, der omhandlede ENISA's mandat, ECCF, sikkerhed i IKT-forsyningskæden og forenkling.

–Målrettet høring (interviews): Der blev gennemført en række semistrukturerede interviews med udvalgte interessenter. Disse omfattede ENISA's repræsentanter samt nationale offentlige myndigheder, der har udviklet eller forvalter nationale indberetningsplatforme. Interviewene fokuserede på ENISA's rolle og kapacitet, ECCF's operationelle funktion, praktiske udfordringer med at tilpasse certificeringsprocesserne på nationalt plan og EU-plan, rapporteringsbyrder og gennemførelseshindringer. Disse drøftelser gav kvalitativ indsigt, som berigede fortolkningen af resultaterne af den offentlige høring og understøttede en forbedring af de politiske løsningsmodeller.

–Høring af medlemsstaternes repræsentanter inden for rammerne af Rådets arbejdsgruppe 19 og i bilaterale drøftelser, hvor medlemsstaterne kunne give udtryk for deres synspunkter om revisionen af forordningen om cybersikkerhed.

–Målrettet høring (ECCF-grupper – ECCG, Cybersikkerhedscertificeringsgruppen for Interessenter (SCCG)): Kommissionen gjorde i sin egenskab af formand for begge grupper status over revisionen af forordningen om cybersikkerhed på møderne i ECCG den 12. marts og 3. juli 2025 samt på mødet i SCCG den 17. marts 2025. Derudover blev der indsamlet supplerende ekspertudtalelser fra medlemmer af ECCG ved hjælp af spørgeskemaer.

·ENISA's mandat og operationelle rolle, herunder støtte til medlemsstaterne og ekspertise inden for nye teknologier

·virkningen af den europæiske ramme for cybersikkerhedscertificering, herunder forvaltnings- og udviklingsprocesser

·kompleksitet og fragmentering af cybersikkerhedsforpligtelser med fokus på rapporteringsbyrder og mulig forenkling

·proportionaliteten af kravene til SMV'er og potentialet for differentierede overholdelsesveje

·samfundsmæssige og økonomiske virkninger af harmoniserede cybersikkerhedsregler, herunder virkninger for forbrugere, rettigheder, innovation og konkurrenceevne.

•Konsekvensanalyse

Det endelige politiske forslag afviger ikke fra de løsningsmodeller, der er vurderet i konsekvensanalysen.

Løsningsmodeller vedrørende afhjælpning af den manglende overensstemmelse mellem Unionens cybersikkerhedspolitiske ramme og interessenternes behov i et stadig mere fjendtligt miljø

Løsningsmodeller vedrørende ECCF

Løsningsmodel B.1: Præcisering af ECCF's anvendelsesområde, elementer og mål samt indførelse af en vedligeholdelsesmekanisme – Denne løsningsmodel vil indføre en ny vedligeholdelsesmekanisme for ordningerne, som efter deres vedtagelse skal gennemføres af ENISA.

Løsningsmodel B.2: Reform af ECCF ved at revidere dens procedurer og udvide anvendelsesområdet for at gøre det lettere at overholde lovgivningen – Denne løsningsmodel vil ophæve forordningen om cybersikkerhed og erstatte den med en ny forordning. Ud over løsningsmodel B.1 vil procedurerne i forbindelse med anmodning om, udvikling og vedtagelse af ordninger blive revideret for at forbedre ansvarlighed og effektivitet.

Løsningsmodel B.3: Reform af ECCF som under løsningsmodel B.2 og indførelse af obligatorisk cybersikkerhedstilstandscertificering – Denne løsningsmodel vil bygge videre på løsningsmodel B.2, men har til formål yderligere at øge rammens virkning ved at indføre obligatorisk certificering af væsentlige enheder under hensyntagen til specifikke risikoscenarier i stedet for udelukkende at basere sig på frivillig certificering af enheder.

Løsningsmodeller vedrørende forenkling

Løsningsmodel C.1: En tilgang med blød lovgivning og ikkelovgivningsmæssige instrumenter, herunder anvendelse af eksisterende beføjelser (vedtagelse af gennemførelsesretsakter i henhold til artikel 21, stk. 5, og artikel 23, stk. 11, i NIS 2-direktivet) – Denne løsningsmodel omfatter vedtagelse af gennemførelsesretsakter ved brug af de eksisterende beføjelser i henhold til NIS 2-direktivet for at sikre en højere grad af harmonisering af foranstaltninger til styring af cybersikkerhedsrisici, tærskler for indberetning af hændelser samt typen af oplysninger, formaterne og proceduren for underretninger. Det omfatter også vedtagelse af et sæt retningslinjer for at øge retssikkerheden og den harmoniserede gennemførelse.

Løsningsmodel C.2: Målrettet indsats – yderligere forenkling af overholdelsen af den relevante EU-lovgivningsramme for cybersikkerhed – Denne løsningsmodel indebærer en begrænset indsats gennem ændringer af forordningen om cybersikkerhed og NIS 2-direktivet med det formål at forenkle specifikke aspekter af cybersikkerhedsrammen, herunder tilpasning af anvendelsesområdet, maksimal harmonisering for gennemførelsesretsakter, dokumentation for overholdelse gennem certificering og vedtagelse af det sæt retningslinjer, der er omhandlet i løsningsmodel C.1.  

Løsningsmodel D.1: En tilgang med blød lovgivning til håndtering af cybersikkerhedsrisici for IKT-forsyningskæder – Denne løsningsmodel vil ikke indebære lovgivningsmæssige indgreb på EU-plan. I stedet vil Kommissionen øge antallet af koordinerede risikovurderinger og frivillige værktøjskasser.

Løsningsmodel D.2: Ad hoc-reguleringsindgreb, der kodificerer 5G-værktøjskassen – Denne løsningsmodel vil kodificere foranstaltningerne i 5G-værktøjskassen. Den vil indføre en forpligtelse for medlemsstaterne til at sikre, at komponenter fra højrisikoleverandører ikke anvendes i netværkets nøgleaktiver.

Denne kombination giver en velafbalanceret reaktion på identificerede politiske udfordringer og øger i væsentlig grad virkningen, effektiviteten og sammenhængen på tværs af Unionen.

Samtidig forventes strømlinede og reducerede overholdelsesforpligtelser at medføre omkostningsbesparelser på op til 15,3 mia. EUR for virksomheder over fem år. Desuden vil en forbedring af Unionens overordnede cybersikkerhedstilstand og teknologiske suverænitet samt stimulering af innovation og konkurrenceevne give betydelige fordele for den brede offentlighed, offentlige myndigheder og virksomheder. Dette forventes stort set at opveje de indledende udgifter på lang sigt.

Ved at mindske fragmenteringen på markedet og harmonisere de lovgivningsmæssige krav fremmer de foretrukne løsningsmodeller lige konkurrencevilkår i hele Unionen og giver virksomhederne klarere veje til overholdelse og innovation.

•Målrettet regulering og forenkling

•Grundlæggende rettigheder

Lovgivningsforslaget blev vurderet på grundlag af dets potentiale til at styrke eller bringe de grundlæggende rettigheder i fare samt fremme lighed og tillid, med særligt fokus på samfundsmæssige virkninger og rettigheder, herunder privatlivets fred, databeskyttelse og personers evne til at forstå, udøve og håndhæve deres rettigheder.

En udvidelse af ENISA's mandat vil bidrage til større cyberrobusthed i hele økonomien og samfundet generelt, hvilket vil føre til bedre beskyttelse af privatlivets fred og personoplysninger. Forslaget vil også støtte uddannelse og træning i cybersikkerhed, da det præciserer ENISA's rolle i udviklingen af kompetencer til arbejdsstyrken inden for cybersikkerhed.

Desuden vil ECCF forbedre tilliden blandt borgere og virksomheder i Unionen til certificerede IKT-løsninger, der kan hjælpe i hverdagen. Indførelse af yderligere ordninger vil øge denne virkning.

4.VIRKNINGER FOR BUDGETTET

5.ANDRE FORHOLD

•Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering

•Forklarende dokumenter (for direktiver)

•Nærmere redegørelse for de enkelte bestemmelser i forslaget

AFSNIT II: ENISA (DEN EUROPÆISKE UNIONS AGENTUR FOR CYBERSIKKERHED)

Kommissionen kan ved hjælp af gennemførelsesretsakter identificere centrale IKT-aktiver, der anvendes til produktion af produkter og levering af tjenester af de typer enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Artikel 102 uddyber de elementer, der skal tages i betragtning ved identifikationen af centrale IKT-aktiver. Artikel 103 fastsætter potentielle afbødende foranstaltninger i IKT-forsyningskæden. Kommissionen kan ved hjælp af gennemførelsesretsakter beslutte, at enheder, der opererer i sektorer med høj kritikalitet og andre kritiske sektorer, skal være underlagt specifikke afbødende foranstaltninger, der er nærmere beskrevet i artiklen.

Kommissionen fastsætter ved hjælp af gennemførelsesretsakter lister over højrisikoleverandører, der er relevante for de forbud, der er fastsat i de gennemførelsesretsakter, der er vedtaget i overensstemmelse med artikel 103, stk. 1, artikel 103, stk. 7, eller det forbud, der er omhandlet i artikel 110, stk. 1, efter at have foretaget en vurdering af etablering samt ejerskab og kontrol. Den bør høre de berørte leverandører og de kompetente myndigheder (artikel 104).

En enhed, der er etableret i eller kontrolleres af enheder fra et tredjeland, som giver anledning til cybersikkerhedsproblemer, og er udpeget i overensstemmelse med artikel 100, kan anmode om tilladelse til at levere IKT-komponenter til centrale IKT-aktiver i enheder af den type, der er nævnt i bilag I og II til direktiv (EU) 2022/2555, samt til at deltage i offentlige udbud i forbindelse med levering af sådanne IKT-komponenter. Artikel 105 angiver, hvad anmodningen skal indeholde, og hvad proceduren er for en sådan undtagelse. Artikel 106 fastsætter den pågældende enheds ret til forsvar. Kommissionen skal føre et offentligt tilgængeligt register over afgørelser vedrørende undtagelser (artikel 107). Artikel 108 og 109 fastsætter regler om fortrolighed og gebyrer i forbindelse med undtagelsesproceduren.

Kapitel II indeholder bestemmelser om anvendelse af rammen for pålidelige IKT-forsyningskæder på elektroniske mobil-, fastnet- og satellitkommunikationsnet og sikrer overensstemmelse med den foreslåede retsakt om digitale net.

De vigtigste IKT-aktiver for elektroniske mobil-, fastnet- og satellitkommunikationsnet er anført i bilag II. Overgangsperioden for udfasning af IKT-komponenter fra højrisikoleverandører for de vigtigste IKT-aktiver i det elektroniske mobilkommunikationsnet må ikke overstige 36 måneder fra denne forordnings ikrafttræden. Overgangsperioder for elektroniske fastnet- og satellitkommunikationsnet fastsættes af Kommissionen ved hjælp af gennemførelsesretsakter. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter for at ændre udpegede centrale IKT-aktiver og overgangsperioder, herunder for fremtidige mobilgenerationer (artikel 110). I artikel 111 fastsættes det, at udbydere af elektroniske mobil-, fastnet- og satellitkommunikationsnet ikke må anvende, installere eller integrere IKT-komponenter fra højrisikoleverandører i nogen form og ikke kan tildeles generel eller individuel autorisation.

Kompetente myndigheder, tilsyn og håndhævelse, jurisdiktion, ret til forsvar (kapitel III)

Kapitel III fastsætter desuden regler om kompetente myndigheder, tilsyn, håndhævelse og jurisdiktion. 

Artikel 112-114 fastlægger medlemsstaternes beføjelser, midler og ansvar for at sikre gennemførelsen og håndhævelsen af bestemmelserne i afsnit IV. Medlemsstaterne skal udpege en eller flere kompetente myndigheder, som skal meddeles Kommissionen. Artikel 113 fastsætter, at Kommissionen skal oprette et netværk for samarbejde mellem medlemsstaternes kompetente myndigheder og Kommissionen for at lette overholdelsen, mens artikel 114 fastlægger de tilsyns- og håndhævelsesforanstaltninger, som de kompetente myndigheder har ret til at træffe. Sanktioner i tilfælde af overtrædelse af bestemmelserne i afsnit IV er fastsat i artikel 115. Artikel 116 fastlægger muligheden for, at medlemsstaterne gensidigt kan bistå hinanden, når enheder har grænseoverskridende aktiviteter, eller når deres vigtigste IKT-aktiver befinder sig i flere medlemsstater. Artikel 117 fastsætter reglerne om jurisdiktion og territorialitet.

2026/0011 (COD)

Forslag til

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING

om Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), den europæiske ramme for cybersikkerhedscertificering og sikkerhed i IKT-forsyningskæden og om ophævelse af forordning (EU) 2019/881 (forordningen om cybersikkerhed 2)

(EØS-relevant tekst)

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 24 ,

under henvisning til udtalelse fra Regionsudvalget 25 ,

efter den almindelige lovgivningsprocedure, og

ud fra følgende betragtninger:

1) Siden vedtagelsen af Europa-Parlamentets og Rådets forordning (EU) 2019/881 26 har det geopolitiske, teknologiske og politiske landskab gennemgået betydelige forandringer. Cybersikkerhedshændelser, hvad end de skyldes systemsvigt, menneskelige fejl, ondsindede handlinger eller naturfænomener, er blevet hyppigere, og cyberangreb er blevet mere sofistikerede og påvirker væsentlige enheder, virksomheder og den brede offentlighed. Økosystemet for cyberkriminalitet har vokset sig større og har ransomwareaktiviteter som centrum. Hændelserne i forsyningskæder, uanset om de er forårsaget af kriminelle med økonomisk gevinst for øje eller af statslige aktører med henblik på forstyrrelser, spionage, desinformation eller krigsførelse, er intensiveret. Som en del af en bredere hybridstrategi spreder hændelser som følge af ondsindede cyberaktiviteter og systemsvigt sig som ringe i vandet og forstyrrer væsentlige tjenester, underminerer tilliden til institutioner og påvirker Unionens samfundsmæssige og forsvarsmæssige beredskab. Sådanne hændelser vist et potentiale til at påvirke den økonomiske aktivitet, den finansielle stabilitet og menneskers liv. Samtidig kan sårbarheden i kritisk civil infrastruktur og kritiske civile systemer udgøre en risiko for forsvarskapaciteter, når de er afhængige af dem.

2)Sideløbende vender fremspirende teknologi såsom kunstig intelligens og kvantecomputing op og ned på situationen inden for cybersikkerhed og cyberforsvar. Samtidig med at de giver mulighed for teknologiske fremskridt, ændrer de forsvarsværktøjerne og modstandernes taktikker, hvilket kan skabe trusler mod cybersikkerheden og cyberforsvaret. Selv om de kan bidrage til cybersikkerheden gennem forbedret trusselsdetektion eller automatiseret reaktion på hændelser, øger de også organisationernes samlede angrebsflade, og de er potentielle mål for manipulation og kan underminere den langsigtede levedygtighed for sikkerhedsforanstaltninger såsom kryptering.

3)For at gøre noget ved denne udvikling har Unionen styrket sine retlige og politiske værktøjer. Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 27 styrker cybersikkerheden for kritisk infrastruktur, suppleret af Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 28 for så vidt angår fysisk sikkerhed. Europa-Parlamentets og Rådets forordning (EU) 2024/2847 29 styrker cybersikkerheden i produkter med digitale elementer. Europa-Parlamentets og Rådets forordning (EU) 2025/38 30 opbygger EU-dækkende indsatskapaciteter, og Rådets henstilling af 6. juni 2025 om en EU-plan for cyberkrisestyring 31 ("henstillingen om cyberplanen") støtter krisestyringssamarbejdet på EU-plan. Værktøjskassen til cybersikkerhed i 5G-net 32 er et første skridt i retning af en koordineret tilgang på EU-plan til sikre 5G-net. Kommissionens meddelelse om akademiet for cybersikkerhedsfærdigheder 33 omhandler den voksende udfordring med manglen på cybersikkerhedskompetencer. Cybersikkerhedsrammen er desuden blevet styrket af sektorspecifik lovgivning, navnlig Europa-Parlamentets og Rådets forordning (EU) 2022/2554 34 for så vidt angår finanssektoren, Kommissionens delegerede forordning (EU) 2024/1366 35 for så vidt angår delsektoren for elektricitet, Kommissionens delegerede forordning (EU) 2022/1645 36 og Kommissionens gennemførelsesforordning (EU) 2023/203 37 (del-IS) og relevante luftfartssikkerhedsregler i Kommissionens forordning (EU) 2019/1583 38 for så vidt angår delsektoren for lufttransport samt andre politikdokumenter såsom Kommissionens meddelelse om en europæisk handlingsplan for cybersikkerhed for hospitaler og sundhedstjenesteydere 39 . EU-enhederne er også blevet styrket med Europa-Parlamentets og Rådets forordning (EU, Euratom) 2023/2841 40 , som fastsætter foranstaltninger, der har til formål at opnå et højt fælles cybersikkerhedsniveau i Unionens institutioner, organer, kontorer og agenturer. Denne styrkede retlige ramme for cybersikkerhed har yderligere præciseret ENISA's opgaver.

4)På denne baggrund, og som anført i meddelelsen om ProtectEU og en strategi for indre sikkerhed 41 og strategien for en beredskabsunion 42 , kræves der for at garantere beredskabet, sikkerheden og modstandsdygtigheden i Unionens samfund og økonomi en stærk europæisk koordinering, tillid og udveksling af oplysninger mellem interessenter, solide rammer til at garantere IKT-produkters, -tjenesters, -processers og administrerede sikkerhedstjenesters sikkerhed samt en voksende og styrket arbejdsstyrke inden for cybersikkerhed. Dette fordrer endvidere, at IKT-forsyningskæderne styrkes ved at sikre europæisk teknologisk suverænitet over centrale aktiver, hvilket vil øge Unionens modstandsdygtighed og kan gavne cyberforsvarsindsatsen. I meddelelsen om styrkelse af EU's økonomiske sikkerhed 43 er det desuden fremhævet som prioriterede målsætninger at forhindre adgang til følsomme oplysninger og data, der ville kunne underminere EU's økonomiske sikkerhed, og at forebygge og afhjælpe forstyrrelser af EU's kritiske infrastruktur, der påvirker EU's økonomi. I meddelelsen anerkendes den afgørende rolle, som effektive cybersikkerhedsforanstaltninger spiller i denne henseende.

5)Omfattende cybersikkerhedshændelser, der påvirker kritisk infrastruktur, digitale tjenester eller væsentlige samfundsmæssige funktioner, kan have konsekvenser for befolkningen og kræver en koordineret civilbeskyttelses- og krisestyringsindsats på EU-plan. I tråd med all hazards-tilgangen i EU-strategien for en beredskabsunion og afgørelse nr. 1313/2013/EU om EU-civilbeskyttelsesmekanismen bør ordninger for situationsbevidsthed, reaktion på hændelser og øvelser i henhold til denne forordning indgå i Unionens krisestyring, navnlig gennem Katastrofeberedskabskoordinationscentret (ERCC).

6)Dette forslag er i overensstemmelse med og suppleres af [forslaget til direktiv om supplering af revisionen af forordning (EU) 2019/881 og ændring af direktiv (EU) 2022/2555 for så vidt angår forenkling af gennemførelsen af foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen] samt i overensstemmelse med [forslaget til forordning om forenkling af den digitale lovgivning (den digitale omnibus)] 44 , som pålægger ENISA en forpligtelse til at udvikle et fælles kontaktpunkt for indberetning af hændelser, hvorigennem enheder kan opfylde deres forpligtelser vedrørende indberetning af hændelser i henhold til flere retsakter på samme tid.

7)Ved Europa-Parlamentets og Rådets forordning (EF) nr. 460/2004 45 blev ENISA oprettet med det formål at bidrage til at sikre et højt og effektivt net- og informationssikkerhedsniveau i Unionen og udvikle en net- og informationssikkerhedskultur til gavn for borgerne, forbrugerne, virksomhederne og de offentlige forvaltninger. ENISA's mandat blev forlænget tre gange, før det fik et permanent mandat ved forordning (EU) 2019/881. For bedre at kunne imødekomme de behov, der opstår som følge af det skiftende trusselsbillede og teknologiske landskab, navnlig med hensyn til operationelt samarbejde og det øgede behov for fagfolk inden for cybersikkerhed, bør ENISA's mandat styrkes yderligere. Af hensyn til retssikkerheden bør forordning (EU) 2019/881 erstattes.

8)Med et trusselsbillede, der er under konstant udvikling, og hvor cybersikkerhedshændelser bliver stadig mere omfattende, er det vigtigere end nogensinde før at skabe tillid hos enkeltpersoner, offentlige myndigheder og virksomheder i deres daglige brug af teknologi. Øget tillid kan fremmes ved hjælpe af en styrket certificering på EU-plan inden for den europæiske ramme for cybersikkerhedscertificering, hvor der anvendes fælles cybersikkerhedskrav og -evalueringskriterier på tværs af nationale markeder og sektorer. Den nye ramme bør fastsætte de vigtigste horisontale krav til europæiske cybersikkerhedscertificeringsordninger og muliggøre anerkendelse og anvendelse af europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer i alle medlemsstater. I den forbindelse bør rammen fastlægge en procedure og en styringsramme, der giver mulighed for rettidig og forudsigelig udvikling og vedligeholdelse af europæiske cybersikkerhedscertificeringsordninger. De europæiske cybersikkerhedscertificeringsordninger bør finde ensartet anvendelse i alle medlemsstater, så der sikres en harmoniseret gennemførelse af cybersikkerhedskravene, skabes lige vilkår, og "certificeringsshopping" som følge af forskellige strenghedsniveauer i forskellige medlemsstater forhindres. ENISA bør spille en central rolle med hensyn til at sørge for udviklingen af ordningerne gennem tekniske specifikationer og sikre, at ordningerne bliver ved med at være teknisk opdaterede. For at imødekomme markedets behov på effektiv vis bør rammen desuden give mulighed for certificering af foranstaltninger til styring af cybersikkerhedsrisici rettet mod enheder og lette overholdelsen af anden relevant EU-lovgivning på cybersikkerhedsområdet. Tilpasning til eksisterende EU-lovgivning såsom forordning (EU) 2024/2847 og direktiv (EU) 2022/2555 er afgørende for, at europæiske cybersikkerhedscertificeringsordninger kan bidrage til at mindske regelbyrden for virksomheder, øge deres tiltrækningskraft og styrke Unionens cyberrobusthed.

9)ENISA's mission bør være at støtte medlemsstaterne og EU-enheder i at opnå et højt niveau af cybersikkerhed, robusthed og tillid i Unionen. Med henblik herpå bør ENISA fungere som et referencepunkt for rådgivning og ekspertise inden for cybersikkerhed, og dets arbejde bør primært dreje sig om fire centrale cybersikkerhedsområder på EU-plan. For det første bør ENISA støtte medlemsstaterne i en konsekvent gennemførelse af Unionens politik og lovgivning vedrørende cybersikkerhed og bistå medlemsstaterne gennem kapacitetsopbygningsaktiviteter med løbende at forbedre deres kapaciteter med hensyn til beredskab, modstandsdygtighed og reaktion. For det andet bør ENISA bidrage til operationelt samarbejde på EU-plan mellem medlemsstaterne og til en øget fælles situationsbevidsthed om cybertrusler og -hændelser blandt medlemsstaterne og EU-enheder. Det tredje centrale område bør være cybersikkerhedscertificering og -standardisering, mens det fjerde bør være gennemførelsen af akademiet for cybersikkerhedsfærdigheder, som skal bidrage til at skabe en blomstrende europæisk arbejdsstyrke inden for cybersikkerhed med færdigheder, der kan bruges på tværs af medlemsstaterne.

10)Forordning (EU, Euratom) 2023/2841 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i Unionens institutioner, organer, kontorer og agenturer fastsætter CERT-EU's mandat til at fungere som cybersikkerhedstjenesten for Unionens institutioner, organer, kontorer og agenturer med henblik på at bidrage til sikkerheden i EU-enheders uklassificerede IKT-miljø ved at rådgive dem om cybersikkerhed, støtte dem i at forebygge, opdage, håndtere, afbøde, reagere på og genoprette efter hændelser samt fungere som deres knudepunkt for udveksling af cybersikkerhedsoplysninger og for koordinering af reaktionen på hændelser. CERT-EU har desuden til opgave at tilbyde relevante cybersikkerhedstjenester til EU-enheder. Som led i sin mission bør ENISA også støtte EU-enheder. Det bør navnlig gøre dette ved at indgå i et struktureret samarbejde med CERT-EU om kapacitetsopbygning, operationelt samarbejde og langsigtede strategiske analyser af cybertrusler. Når det er relevant, kan ENISA, på en koordineret måde for at sikre synergi med CERT-EU's indsats, udnytte det strukturerede samarbejde med CERT-EU til ENISA's cybersikkerhedstjenester eller støtte, der kan have en merværdi for EU-enhederne.

11)En af ENISA's kerneopgaver bør være at støtte medlemsstaterne med at gennemføre Unionens politik og lovgivning vedrørende cybersikkerhed på konsekvent vis, navnlig for så vidt angår direktiv (EU) 2022/2555, forordning (EU) 2024/2847 og forordning (EU) 2025/38. Med henblik herpå og for at bidrage til at opnå en konsekvent og effektiv gennemførelse af Unionens cybersikkerhedsregler bør ENISA udstede teknisk vejledning og rapporter, yde rådgivning, dele bedste praksis og facilitere udvekslingen af bedste praksis mellem kompetente myndigheder. ENISA vurderer desuden cybersikkerhedssituationen i Unionen og vedtager en rapport herom, jf. artikel 18 i direktiv (EU) 2022/2555. ENISA bør også kunne besvare anmodninger om rådgivning og bistand fra medlemsstaterne og, hvor det er relevant, EU-enheder i spørgsmål, der falder ind under ENISA's mandat.

12)Med henblik på at stimulere samarbejdet mellem den offentlige og den private sektor og inden for den private sektor, navnlig for at støtte beskyttelsen af kritisk infrastruktur, bør ENISA støtte udveksling af oplysninger inden for og mellem sektorer, navnlig de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, og oplysninger om produkter med digitale elementer, der er omfattet af forordning (EU) 2024/2847. Denne støtte kan tage form af deling af bedste praksis og vejledning om tilgængelige værktøjer og procedurer samt vejledning i, hvordan reguleringsmæssige spørgsmål vedrørende udveksling af oplysninger skal håndteres, f.eks. ved at lette oprettelsen af centre for informationsudveksling og -analyse (ISAC'er).

13)Med henblik på at støtte og facilitere det strategiske samarbejde og udvekslingen af oplysninger bør ENISA bidrage til arbejdet i den samarbejdsgruppe, der er nedsat ved direktiv (EU) 2022/2555 ("NIS-samarbejdsgruppen"), navnlig ved at yde ekspertise og rådgivning og lette udvekslingen af bedste praksis, bl.a. i forbindelse med grænseoverskridende afhængighedsforhold og vedrørende risici og hændelser. ENISA bør også bidrage til arbejdet i Den Europæiske Samarbejdsgruppe for Digital Identitet, der er nedsat ved Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 46 , Den Europæiske Cybersikkerhedscertificeringsgruppe og den administrative samarbejdsgruppe (ADCO), der er nedsat ved forordning (EU) 2024/2847.

14)Den offentligt tilgængelige kerne af det åbne internet, dvs. dets vigtigste protokoller og infrastruktur, som er et globalt offentligt gode, sikrer internettet som helhed dets grundlæggende funktioner og understøtter dets normale drift. ENISA bør inden for sit mandat støtte sikkerheden og modstandsdygtigheden i den offentlige kerne af det åbne internet og stabiliteten i dets funktion, herunder, men ikke kun, sikker udrulning og drift af centrale protokoller (navnlig domænenavnesystemet, Border Gateway-protokollen og internetprotokol, version 6) og driften af domænenavnssystemet (f.eks. driften af alle topdomæner) ved at fremme bedste praksis, vejledning og samarbejde i overensstemmelse med etablerede globale internetforvaltningsordninger med flere interessenter og de relevante internationale tekniske og operationelle organers respektive roller og ansvarsområder.

15)ENISA fungerer som et referencepunkt for rådgivning og ekspertise inden for cybersikkerhed. Derfor bør ENISA på Kommissionens anmodning bistå den ved hjælp af ekspertise, teknisk rådgivning, information, analyser, herunder gennemførlighedsundersøgelser, udtalelser og forberedende arbejde vedrørende ethvert specifikt spørgsmål inden for cybersikkerhed med henblik på at bidrage til grundlaget for Kommissionens politikudformning og lette Kommissionens overvågning af gennemførelsen af EU-lovgivningen om cybersikkerhed.

16)I betragtning af ENISA's ekspertise bør det ligeledes bistå medlemsstaterne i deres bestræbelser på at opbygge og forbedre deres kapacitet og beredskab med sigte på at forebygge, opdage og imødegå cybertrusler og -hændelser samt i forbindelse med sikkerheden af net- og informationssystemer. ENISA bør navnlig støtte udviklingen og forbedringen af de i direktiv (EU) 2022/2555 fastsatte enheder, der håndterer IT-sikkerhedshændelser ("CSIRT'er"), med sigte mod at opnå et højt fælles modenhedsniveau for CSIRT'er i Unionen.

17)ENISA har støttet og bør fortsat støtte medlemsstaterne i udviklingen og gennemførelsen af retningslinjer for deres nationale cybersikkerhedsstrategier ved at bidrage til, at alle medlemsstater vedtager og gennemfører cybersikkerhedsstrategier, og ENISA bør fremme formidlingen af disse strategier gennem det interaktive kort over nationale cybersikkerhedsstrategier (NCSS) og nærmere følge fremskridtene med deres gennemførelse, bl.a. ved at yde støtte til udviklingen af centrale resultatindikatorer i denne forbindelse.

18)Forordning (EU, Euratom) 2023/2841 har givet Det Interinstitutionelle Råd for Cybersikkerhed til opgave at støtte EU-enheder i at højne deres respektive cybersikkerhedstilstand og CERT-EU at bidrage til sikkerheden i alle EU-enheders uklassificerede IKT-miljø. ENISA bør på grundlag af sine erfaringer med cybersikkerhed støtte Det Interinstitutionelle Råd for Cybersikkerhed og CERT-EU i deres opgaver i overensstemmelse med forordning (EU, Euratom) 2023/2841, herunder ved at bidrage til analyse af cybertrusler, situationsbevidsthed, cybersikkerhedsøvelser, koordinering af reaktionen på hændelser og udveksling af knowhow og bedste praksis.

19)Med udgangspunkt i ENISA's ekspertise og med henblik på at supplere de nationale myndigheders og Unionens offentlige myndigheders kapacitet bør ENISA tilbyde uddannelse ved at bruge den europæiske ramme for cybersikkerhedsfærdigheder (ECSF) som grundlag, navnlig for at støtte en effektiv politikgennemførelse, operationelt samarbejde og bevidstgørelse.

20)For at sikre synergi med Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed (ECCC) og Netværket af Nationale Koordinationscentre, som er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/887 47 , bør ENISA støtte dem ved at dele oplysninger om nuværende og kommende risici og cybertrusler, herunder risici og trusler med hensyn til informations- og kommunikationsteknologi

21)I beredskabsstrategien fremhæves det, at digital kunnen, som afhænger af tilegnelse af grundlæggende digitale færdigheder, er afgørende for at styrke mere modstandsdygtige borgeres handlekraft over for potentielle kriser. Som fremhævet i Kommissionens meddelelse om færdighedsunionen 48 besidder næsten halvdelen af den voksne befolkning imidlertid ikke grundlæggende digitale færdigheder, selv om de er nødvendige for mere end 90 % af alle job. For at sikre, at den nuværende og den fremtidige arbejdsstyrke har de færdigheder, der er nødvendige i et digitalt miljø i hastig udvikling, og for at bidrage til udviklingen af den europæiske talentpipeline inden for cybersikkerhed bør ENISA støtte oplysningsaktiviteter om cybersikkerhed, som f.eks. den europæiske cybersikkerhedsudfordring, med sigte mod at tiltrække talent og bidrage til at oplyse om, hvilke uddannelser og færdigheder der er behov for på cybersikkerhedsområdet. I den forbindelse bør ENISA koordinere cybersikkerhedsturneringer, "capture-the-flag"-dyster og lignende praktiske øvelser som et middel til at udvikle cybersikkerhedsfærdigheder og fremme kapacitetsopbygningen i hele Unionen. Når ENISA gennemfører oplysningsaktiviteter, bør det sikre, at aktiviteterne imødekommer de nationale offentlige myndigheders og EU-enheders behov samt virksomhedernes, navnlig SMV'ers, og uddannelsesinstitutionernes behov ved at opretholde praktiske rammer og kurser såsom oplysningsaktiviteter i færdige pakker. ENISA bør videreudvikle praktisk og handlingsorienteret vejledning til støtte for gennemførelsen af Unionens cybersikkerhedspolitik og -lovgivning. ENISA bør også tilstræbe at give relevante oplysninger om gældende certificeringsordninger, f.eks. ved gennem vejledning og anbefalinger.

22)For at støtte virksomheder, der opererer i cybersikkerhedssektoren, og brugere af cybersikkerhedsløsninger samt for at sikre en effektiv gennemførelse af denne forordnings afsnit III bør ENISA udvikle og opretholde et "markedsobservatorium" ved at foretage regelmæssige analyser og formidle information om de vigtigste tendenser på cybersikkerhedsmarkedet, både på efterspørgsels- og udbudssiden. For at støtte brugerne af EU's cybersikkerhedsreserve, som er oprettet i henhold til forordning (EU) 2025/38, bør ENISA desuden udarbejde en kortlægning af, hvilke tjenester brugerne har brug for og disse tjenesters tilgængelighed, inden for rammerne af nævnte forordning.

23)Cybertrusler er en global problemstilling. Det er nødvendigt med et tættere internationalt samarbejde for at forbedre cybersikkerheden, herunder for at fastlægge fælles adfærdsnormer og fælles tilgange. Med henblik herpå bør ENISA støtte Unionens samarbejde med tredjelande, med fokus på lande, der er kandidater til tiltrædelse af Unionen, og internationale organisationer såsom NATO ved at stille den nødvendige ekspertise og analyser til rådighed for Kommissionen og relevante EU-enheder, hvor det er relevant. ENISA's aktiviteter på det internationale område bør altid være i overensstemmelse med Unionens prioriteter.

24)For at bidrage til at opnå et højt cybersikkerhedsniveau i Unionen bør ENISA støtte operationelt samarbejde mellem medlemsstaterne i samarbejde med CERT-EU og mellem EU-enheder og mellem interessenter. Med henblik herpå bør ENISA's rolle styrkes. ENISA bør blive medlem af CSIRT-netværket og bidrage til udveksling og analyse af oplysninger i netværket. ENISA bør yderligere fremme og støtte samarbejdet mellem de relevante CSIRT'er i tilfælde af hændelser i, angreb på eller forstyrrelser af net eller infrastruktur, der forvaltes eller beskyttes af CSIRT'erne. ENISA's aktive støtte til arbejdet i CSIRT-netværket og Det Europæiske Netværk af Forbindelsesorganisationer for Cyberkriser (EU-CyCLONe) bør sætte disse netværk i stand til fortsat at styrke deres modenhedsniveau. ENISA's rolle med hensyn til at støtte et sådant samarbejde omfatter bekæmpelse af trusler mod sikkerheden og integriteten af de demokratiske institutioner, valg og andre processer samt den kritiske infrastruktur, som de er afhængige af, i overensstemmelse med det europæiske demokratiskjold for styrkelse af stærke og modstandsdygtige demokratier 49 .

25)For at støtte kapacitetsopbygning, operationelt samarbejde og langsigtede strategiske analyser af cybertrusler bør ENISA gøre brug af CERT-EU's tilgængelige tekniske og operationelle ekspertise gennem struktureret samarbejde, f.eks. gennem særlige ordninger.

26)For at styrke cybersikkerheden i hele Unionen og sikre en hurtig og effektiv reaktion på cybertrusler bør ENISA støtte medlemsstaterne på deres anmodning, herunder ved at yde rådgivning om forbedring af deres kapacitet til at forebygge, opdage, reagere på og genoprette efter hændelser, ved at lette den tekniske håndtering af væsentlige hændelser som omhandlet i direktiv (EU) 2022/2555, navnlig ved at støtte frivillig deling af tekniske løsninger mellem medlemsstaterne, eller ved at sikre, at cybertrusler og -hændelser analyseres. ENISA bør også bistå EU-CyCLONe med at udarbejde rapporter til nationalt politisk niveau og EU-politisk niveau.

27)For at mindske eksponeringen for udenlandsk indblanding, manipulation af forsyningskæder og strategisk dataeksfiltrering bør ENISA inden for CSIRT-netværket og EU-CyCLONe benytte sikre kommunikationsværktøjer. Disse værktøjer bør tage udgangspunkt i henstillingen om cyberplanen og leveres af retlige enheder, der er etableret eller anses for etableret i Unionen og kontrolleres af en medlemsstat eller statsborgere i en medlemsstat.

28)For at bidrage til beredskab og indsats på EU-plan i tilfælde af omfattende cybersikkerhedshændelser og -kriser bør ENISA gennemføre aktiviteter vedrørende cybersikkerhedssituationsbevidsthed.

29) Adgang til verificerede, pålidelige efterretninger om cybertrusler (CTI) i realtid er afgørende for at opbygge fælles situationsbevidsthed i Unionen. ENISA, Kommissionen, CERT-EU og Det Europæiske Center for Bekæmpelse af Cyberkriminalitet (EC3) hos Europol har allerede udviklet registre over efterretninger om cybertrusler, der er skræddersyet til deres specifikke behov. ENISA og andre relevante EU-enheder bør samarbejde på frivillig basis om at udvikle registre over verificerede, pålidelige efterretninger om cybertrusler i realtid og efterstræbe synergi for at opnå stordriftsfordele og styrke en forsvarlig økonomisk forvaltning. Dette arbejde bør også omfatte sektorspecifikke EU-enheder såsom Den Europæiske Unions Agentur for Rumprogrammet. Kun afledte analyser, tendenser og taktikker, teknikker og procedurer (TTP) og ikke de rå kilder bør deles, og enhedernes uafhængighed til at forvalte deres egen CTI-livscyklus i overensstemmelse med deres mandat og "need-to-know"-regler bør respekteres.

30)For at bidrage til rettidig og koordineret reaktion bør ENISA kunne udsende tidlige varslinger om en potentiel eller igangværende væsentlig eller omfattende hændelse eller en cybertrussel af potentiel grænseoverskridende karakter til den eller de berørte CSIRT'er og, hvis det er relevant, til CSIRT-netværket og EU-CyCLONe, navnlig for så vidt angår enheder, der er opført i bilag I og II til direktiv (EU) 2022/2555. Informationen i sådanne tidlige varslinger kan omfatte offentligt kendte sårbarheder, og hvorvidt de har indvirkning på produkter med digitale elementer, der er omfattet af forordning (EU) 2024/2847, samt teknikker og procedurer, kompromitteringsindikatorer, fjendtlige taktikker, specifikke oplysninger vedrørende trusselsaktører og henstillinger om afbødende foranstaltninger.

31) For at bevare tilliden og ikke bringe informationsudvekslingen i fare er det vigtigt, at ENISA anvender synlige markeringer, der viser, i hvilket omfang et dokument eller oplysninger, som det har udarbejdet eller modtaget, må deles yderligere. ENISA bør ligeledes anvende dokumenter eller oplysninger, som det modtager, til at udføre sine aktiviteter, dog med forbehold af eventuelle begrænsninger for oplysningernes videre formidling som anført ved hjælp af synlige markeringer.

32)For at bidrage til en øget bevidsthed om cybertrusselsindikatorer og henstillinger om afbødende foranstaltninger bør ENISA stille en tidlig varslingstjeneste til rådighed for enheder, der opererer i de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555. Sådanne generiske, tidlige varslinger på frivillig basis bør navnlig være til gavn for SMV'er og bør stilles til rådighed i et maskinlæsbart format, der er offentligt tilgængeligt. Under alle omstændigheder er en sådan tjeneste på frivillig basis adskilt fra og ikke knyttet til de offentlig-private partnerskaber, som ENISA måtte etablere eller allerede har etableret.

33)For at støtte en fælles cybersikkerhedssituationsbevidsthed på EU-plan bør ENISA i tæt samarbejde med medlemsstaterne regelmæssigt udarbejde en dybdegående teknisk EU-cybersikkerhedsrapport om hændelser og cybertrusler på grundlag af offentligt tilgængelige oplysninger, ENISA's egen analyse og rapporter, som er blevet delt med det af medlemsstaternes CSIRT'er eller de ved direktivet (EU) 2022/2555 oprettede centrale nationale kontaktpunkter for sikkerheden af net- og informationssystemer ("centrale kontaktpunkter"), begge på frivillig basis, EC3 og CERT-EU. Rapporten bør stilles til rådighed for Rådet, Tjenesten for EU's Optræden Udadtil, EU-CyCLONe, CSIRT-netværket, Kommissionen og Europol.

34)For at øge den fælles situationsbevidsthed om cybertrussels- og -hændelsesbilledet blandt interessenter bør ENISA analysere tendenser inden for cybertrusler og -hændelser. Dette bør omfatte en regelmæssig analyse af de sektorer af særligt kritisk betydning og andre kritiske sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, herunder sundheds-, energi- og transportsektoren. En sådan analyse bør omfatte sektorernes modenhedsniveauer og bl.a. finde frem til mulige udfordringer, der er specifikke for en given sektor. Hvis det er relevant, og for at afdække virkninger på forsyningskæder, bør analysen dokumentere cybertrusler og -tendenser for produktkategorier, der er omfattet af forordning (EU) 2024/2847. ENISA bør udvikle ekspertise inden for cybersikkerhed i infrastrukturer og disses kritiske afhængighedsforhold i forsyningskæder, navnlig for at støtte de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, og med henblik på gennemførelsen af forordning (EU) 2024/2847. Med henblik herpå bør ENISA også, i det omfang det er relevant, samarbejde med andre relevante EU-enheder.

35)For bedre at forstå udfordringerne på cybersikkerhedsområdet er ENISA desuden nødt til at analysere nuværende og fremspirende teknologi og fremlægge emnespecifikke vurderinger af teknologiske innovationers forventede samfundsmæssige, retlige, økonomiske og lovgivningsmæssige virkninger på cybersikkerheden. For at give offentligheden lettere adgang til oplysninger om cybersikkerhedsrisici og mulige afhjælpende foranstaltninger kan ENISA stille relevante oplysninger til rådighed på sit websted på en brugervenlig og velstruktureret måde.

36)ENISA's styrkede rolle med hensyn til at fremme situationsbevidsthed, analysere trusler og yde teknisk rådgivning vil bidrage til at styrke den kollektive cybersikkerhedsindsats for produkter med digitale elementer og støtte gennemførelsen af forordning (EU) 2024/2847. I overensstemmelse med forordning (EU) 2024/2847 kan ENISA foreslå markedsovervågningsmyndighederne fælles aktiviteter for at kontrollere, at produkter med digitale elementer overholder reglerne, og identificere kategorier af produkter med digitale elementer, for hvilke der kan tilrettelægges kontrolaktioner. Oplysninger, der stammer fra cybertrusselsanalyser og tidlige varslinger, bør styrke den støtte, som ENISA yder til myndighederne, og bidrage til en effektiv håndhævelse af forordning (EU) 2024/2847 for at forebygge virkninger af cyberangreb på forsyningskæder i hele det indre marked og styrke Unionens overordnede beredskab.

37)Ransomwareangreb er en fremtrædende cybersikkerhedstrussel mod Unionen. For at styrke Unionens cybersikkerhed og bekæmpe ransomware bør ENISA udvikle kapacitet til situationsbevidsthed og støtte til reaktion på og genopretning efter hændelser. Når ENISA bistår individuelle væsentlige og vigtige enheder med at reagere på og genoprette efter et ransomwareangreb, bør det arbejde tæt sammen med Europol og med CSIRT'er eller kompetente myndigheder, alt efter hvad der er relevant, og derved trække på Europols etablerede erfaring med bekæmpelse af ransomwarekriminalitet. En sådan bistand bør supplere CSIRT'ernes aktiviteter til støtte for reaktion på hændelser. For at opnå synergi i sit arbejde med bekæmpelse af ransomware bør ENISA oprette en helpdesk, og det kan i denne forbindelse samle relevante kapaciteter og tjenester til bekæmpelse af ransomware og stille lettilgængelige oplysninger, vejledning og værktøjer til rådighed, som kan hjælpe væsentlige og vigtige enheder med at reagere på og genoprette efter en ransomwarehændelse.

38)ENISA bør yde teknisk ekspertise og støtte til Kommissionen i forbindelse med udarbejdelsen af et årligt rullende program for cybersikkerhedsøvelser på EU-plan i overensstemmelse med henstillingen om cyberplanen for at gøre forberedelser på cyberkriser, prøve cybersikkerhedsniveauet hos enheder, der deltager i øvelserne, og minimere dobbeltarbejde. ENISA bør f.eks. rådgive om, hvilke typer øvelser er mest hensigtsmæssige, f.eks. skrivebordsøvelser, hybridøvelser eller liveøvelser, samt om mål, scenarier og deltagelse.

39)Adgang til korrekte og rettidige oplysninger om sårbarheder og en robust sårbarhedsstyring er afgørende for at sikre et højt cybersikkerhedsniveau i det indre marked. Derfor bør ENISA føre en europæisk sårbarhedsdatabase i overensstemmelse med direktiv (EU) 2022/2555 og oprette en fælles EU-tjenestekapacitet til sårbarhedsstyring, så der sikres et modstandsdygtigt og holdbart tjenesteniveau, og risikoen for forstyrrelser mindskes. Med henblik herpå bør ENISA undersøge mulighederne for at uddybe det strukturerede samarbejde med programmer, registre eller databaser, der svarer til den europæiske sårbarhedsdatabase, for at undgå dobbeltarbejde og for at søge komplementaritet på internationalt plan, hvor det er relevant. ENISA bør desuden støtte en koordineret offentliggørelse af sårbarheder på EU-plan, der involverer flere parter, og tilbyde værdiforøgende tjenester såsom sårbarhedsrådgivning, alvorlighedsbedømmelse og produktlister samt tilvejebringe et forbedret europæisk katalog over kendte udnyttede sårbarheder for at hjælpe enheder med deres sårbarhedsstyring.

40)ENISA's rolle i udviklingen af den europæiske ramme for cybersikkerhedscertificering bør være et centralt aspekt af dets mandat. ENISA bør stille sin tekniske ekspertise til rådighed i hele livscyklussen for europæiske cybersikkerhedscertificeringsordninger. Med henblik på fremtidige ordninger bør ENISA finde frem til eksisterende standarder eller tekniske specifikationer, der kan ligge til grund for en eventuel ordning, og, hvis det er relevant, selv udarbejde udkast til tekniske specifikationer, som der kan henvises til i en ordning. ENISA bør være ansvarligt for at udarbejde forslag til ordninger efter anmodning fra Kommissionen. Med hensyn til ordninger, der allerede er indført, bør ENISA være ansvarligt for disses vedligeholdelse. I den forbindelse bør ENISA bidrage til at opbygge og udvikle et certificeringsøkosystem, hvor der indhentes feedback fra medlemsstaterne og private interessenter, og deres certificeringskapacitet styrkes. Dette bør også omfatte drift af et særligt certificeringswebsted, hvor relevante oplysninger om ordninger, der er vedtaget, herunder certifikater og overensstemmelseserklæringer, er frit og offentligt tilgængelige.

41)For at støtte gennemførelsen af relevant EU-lovgivning bør ENISA forme det aktuelle tekniske niveau inden for cybersikkerhed ved at tilvejebringe tekniske specifikationer til støtte for gennemførelsen af relevant EU-lovgivning, herunder med henblik på at der i europæiske cybersikkerhedscertificeringsordninger eventuelt kan henvises til de tekniske specifikationer. ENISA bør også overvåge, hvordan standarder fra relevante standardiseringsorganer udarbejdelse og udvikler sig, for at følge standardiseringstendenser på europæisk og globalt plan og være med til at forme standarderne, når det er nødvendigt, ved at deltage i, herunder gennem bidrag til udarbejdelse af udkast, og lede standardiseringsorganisationers aktiviteter. I den forbindelse bør ENISA forblive upartisk. Der kan f.eks. opstå situationer, hvor ENISA bør trække sig fra aktiviteter i standardiseringsorganer, hvis det anmodes om at vurdere europæiske standarder, som Kommissionen har anmodet om til støtte for EU-lovgivningen. ENISA bør ikke bidrage til udarbejdelsen af de standarder, som det har ansvaret for at vurdere.

42)For at støtte gennemførelsen af Unionens politi og forberedelsen af potentielle standardiseringsaktiviteter bør ENISA bidrage til udviklingen og evalueringen af kryptografiske algoritmer, navnlig inden for postkvantekryptografi. I den forbindelse kan ENISA efter anmodning fra Kommissionen og med forbehold af en bidragsaftale som defineret i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509 50 fastlægge en procedure for anmodning om og evaluering af algoritmer til kryptografiske algoritmer fra relevante interessenter, navnlig kredse inden for kryptografi og højere læreanstalter og forskning samt producenter, CSIRT'er, nationale cybersikkerhedscertificeringsmyndigheder og kompetente myndigheder i henhold til direktiv (EU) 2022/2555. Når ENISA bidrager til at etablere sådanne procedurer, bør det fremme samarbejdet mellem de relevante interessenter og gennemføre de organisatoriske aspekter. Proceduren bør være formel, åben, gennemsigtig og inklusiv og bl.a. omfatte høring af relevante interessenter om udkast til minimumskrav samt evalueringsprocessen og evalueringskriterierne, især med hensyn til sikkerhed og gennemførelsen af evalueringer.

43)For at støtte gennemførelsen af overensstemmelsesvurderingsaktiviteter i henhold til europæiske cybersikkerhedscertificeringsordninger og anden relevant EU-lovgivning kan ENISA stille relevante tekniske prøvningsværktøjer til rådighed for at støtte medlemsstaterne, virksomheder og overensstemmelsesvurderingsorganer i evalueringsaktiviteter. Værktøjerne bør sigte mod at skabe synergi på EU-plan og en effektiv anvendelse af overensstemmelsesvurderingsprocedurerne for at opfylde medlemsstaternes og markedets behov. Disse behov kan f.eks. opstå inden for indbygget sikkerhed for at støtte virksomheder, herunder små og mellemstore virksomheder, i deres gennemførelsesbestræbelser inden for rammerne af forordning 2024/2847. I den forbindelse bør ENISA opkræve gebyrer for at dække relevante omkostninger i forbindelse med etablering, udformning, udvikling, vedligeholdelse og opdatering af den nødvendige software- og hardwarekapacitet til sådanne prøvningsværktøjer.

44)For at støtte medlemsstaterne i deres bestræbelser på at afhjælpe manglen på fagfolk inden for cybersikkerhed og imødekomme det voksende behov for en kvalificeret, mangfoldig – også med hensyn til kønsbalance – og fleksibel arbejdsstyrke samt for at fremme arbejdsstyrkens mobilitet og beredskab i alle medlemsstater bør ENISA bygge på de principper og det arbejde, der er iværksat under akademiet for cybersikkerhedsfærdigheder. ENISA bør navnlig oprette den europæiske ramme for cybersikkerhedsfærdigheder ("ECSF") som en fælles ramme for rolleprofiler for cybersikkerhedsfagfolk. ENISA bør yderligere støtte medlemsstaterne i at imødegå kønsforskelle i cybersikkerhedsroller. Denne tilgang er i overensstemmelse med den vision, der er skitseret i Kommissionens meddelelse om færdighedsunionen, og vil bidrage til målsætningerne i meddelelsen. Et kvalitetsmærke for europæiske attesteringer af individuelle cybersikkerhedsfærdigheder bør undersøges nærmere.

45)ECSF bør være et praktisk og fleksibelt redskab, der kan anvendes på frivillig basis, og som giver en fælles forståelse af og terminologi til de relevante roller og de tilknyttede opgaver, færdigheder og viden, der oftest kræves i cybersikkerhedsroller, med henblik på at støtte kortlægningen af, hvilke kritiske færdigheder, herunder tværfaglige færdigheder, der er nødvendige for arbejdsstyrken, og gøre det muligt for læringsudbydere, herunder virksomheder, videregående uddannelsesinstitutioner eller erhvervsuddannelsesudbydere, at udforme programmer og hjælpe politiske beslutningstagere med at udvikle initiativer til at afhjælpe kvalifikationskløfter. Da rammen har potentiale til at kunne anvendes som referenceramme for anerkendelse af færdigheder, bør den også være interoperabel med den europæiske klassifikation af færdigheder og erhverv (ESCO), så HR-afdelinger bedre kan forstå kravene til ressourceplanlægning, rekruttering og karriereudvikling og imødekomme cybersikkerhedsbehov. Mens DigComp 3.0 beskriver viden, færdigheder og indstillinger, der er nødvendige for at være digitalt kompetent i dagligdagen, deltage i samfundet, arbejde og uddanne sig, og kan bruges af både voksne og børn, tilbyder ECSF en enkel ramme, der identificerer cybersikkerhedsroller og tilknyttede opgaver, viden og færdigheder, der er nødvendige for at kunne udføre dem. I den forbindelse henvender den sig til et specialiseret publikum inden for cybersikkerhed, der spænder over faktiske eller potentielle fagfolk inden for cybersikkerhed over uddannelsesinstitutioner til arbejdsgivere. ECSF bør også støtte udviklingen af europæiske attesteringer af individuelle cybersikkerhedsfærdigheder ved at fungere som det centrale instrument for udviklingen af ordningerne, så der åbnes op for nye markedsaktører og konkurrencen på markedet støttes inden for en fælles ramme. ECSF bør evalueres og ajourføres regelmæssigt for at sikre, at den i tilstrækkelig grad afspejler behovene på arbejdsmarkedet for cybersikkerhed og den teknologiske og politiske udvikling. ENISA bør støtte medlemsstaternes og EU-enheders anvendelse af ECSF og yde passende støtte, i det omfang der er behov bistand.

46)Cybersikkerhedsfærdigheder og -kvalifikationer bør gøres sammenlignelige, gennemsigtige og pålidelige i hele det indre marked. Med henblik herpå bør europæiske attesteringer af individuelle cybersikkerhedsfærdigheder 51 støtte arbejdsgivere, herunder SMV'er og nystartede virksomheder, i at rekruttere faktiske eller potentielle cybersikkerhedsfagfolk på en effektiv måde i og på tværs af medlemsstaterne i overensstemmelse med målsætningerne i meddelelsen om færdighedsunionen. For at sikre en konsekvent gennemførelse i alle medlemsstater bør europæiske attesteringer af individuelle cybersikkerhedsfærdigheder baseres på en fælles forståelse på EU-plan af, hvilke færdigheder der er nødvendige for at opfylde disse mål, og de bør leveres af udbydere, der er godkendt af ENISA ud fra et fælles sæt kriterier. Denne tilgang bør være i overensstemmelse med og bidrage til målsætningerne for det kommende initiativ vedrørende færdighedsportabilitet.

47)Udviklingen af europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder bør sigte mod at supplere medlemsstaternes tiltag ved at give offentlige myndigheder og økonomiske aktører mulighed for at gøre brug af en europæisk attesteringsmekanisme i overensstemmelse med Unionens understøttende kompetence på uddannelses- og erhvervsuddannelsesområdet som omhandlet i artikel 6, litra e), og artikel 165, stk. 1, og artikel 166, stk. 1, i TEUF. Ordningerne kan sammen med arbejdet i akademiet for cybersikkerhedsfærdigheder også udgøre grundlaget for videregående uddannelsesprogrammer såsom sektorspecifikke europæiske uddannelser og for udviklingen af mikroeksamensbeviser. De europæiske ordninger for individuelle cybersikkerhedsattesteringer bør derfor ikke have til formål at harmonisere love og bestemmelser i medlemsstaterne, men bør snarere betragtes som en katalysator og en mulighed, som medlemsstaterne og økonomiske aktører kan vælge at udnytte og fremme.

48)ENISA bør sikre, at europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder følger markedets behov tæt og bygger på erfaringer fra både offentlige og private udbydere af individuelle certificeringer, herunder medlemsstater, videregående uddannelsesinstitutioner, erhvervsuddannelsesinstitutioner og virksomheder. ENISA bør høre Kommissionen om prioriteringen af de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder under behørig hensyntagen til politikgennemførelsen og markedsbehovene.

49)For at sikre overensstemmelse mellem ECSF og ordningerne bør en revision af en ECSF-rolleprofil automatisk udløse en evaluering af egnetheden af den eller de tilknyttede europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder og eventuelt en revision af disse.

50)Under hensyntagen til mangfoldigheden af cybersikkerhedsrolleprofiler og de tilknyttede opgaver, færdigheder og viden kan det være nødvendigt at tilpasse vurderingen af enkeltpersoner og vurderingsmetoder i hver enkelt europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder. I hver ordning bør det sikres, at vurderingen af en persons krævede færdigheder med hensyn til læringsresultater, herunder, i det omfang det er relevant, evalueringen af færdighedsniveauet, systematisk evalueres i forhold til en ECSF-rolleprofil eller en del heraf. Vurderingsmetoderne kan omfatte elementer såsom prøvning af teoretisk viden, praktisk eksamination, betingelser og peerevaluering. Der bør tages behørigt hensyn til enkeltpersoners erfaringer.

51)For at sikre en konsekvent gennemførelse af europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder, navnlig med hensyn til vurderingen af enkeltpersoner, bør ENISA tilbyde obligatorisk uddannelse til personale, der er ansvarligt for at foretage vurderingen af enkeltpersoner. Et sådant personale bør have erfaring inden for cybersikkerhed, som kan dokumenteres med en europæisk attestering af individuelle cybersikkerhedsfærdigheder for den rolleprofil, som de foretager vurderingen for, og på et færdighedsniveau, der som minimum svarer til niveauet for de personer, de vurderer.

52)De autoriserede attesteringsudbyderes rolle er at attestere en persons viden og kompetencer til at kunne varetage en af ECSF-rollerne og give garantier til arbejdsgivere i hele Unionen. Da arbejdsgivere, der driver kritisk infrastruktur i Unionen, også vil se på garantien for kvaliteten af færdigheder og kompetencer hos enkeltpersoner, der har en europæisk attestering af individuelle cybersikkerhedsfærdigheder, bør de autoriserede udbydere, der attesterer niveauet af færdigheder og kompetencer, være pålidelige ud fra et cybersikkerhedsmæssigt synspunkt og ikke være genstand for utilbørlig påvirkning fra et tredjeland, der kan give anledning til cybersikkerhedsproblemer. Enheder, der er etableret i et tredjeland, der giver anledning til cybersikkerhedsproblemer, som udpeget i overensstemmelse med denne forordning, eller som kontrolleres af et sådant tredjeland, af en enhed etableret i et sådant tredjeland eller af en statsborger i et sådant tredjeland (højrisikoleverandører), jf. denne forordning, bør derfor ikke kunne blive autoriserede udbydere af nogen europæiske attesteringer af individuelle cybersikkerhedsfærdigheder i henhold til afsnit II, afdeling 4.

53) For at sikre, at personer, der er indehaver af en europæisk attestering af cybersikkerhedsfærdigheder, let kan anvende og dele den, og at en sådan attestering kan anvendes på tværs af medlemsstaterne, bør autoriserede attesteringsudbydere sikre, at elektroniske attesteringer af de europæiske attesteringer af individuelle cybersikkerhedsfærdigheder udstedes til den europæiske digitale identitetstegnebog, som er oprettet ved forordning (EU) nr. 910/2014, efter anmodning fra den pågældende person. Autoriserede attesteringsudbydere bør betragtes som tillidstjenesteudbydere og være omfattet af den tilsyns- og erstatningsansvarsordning, der er fastsat i forordning (EU) nr. 910/2014. Den ordning for attestering af attributter, der anvendes i henhold til Kommissionens gennemførelsesforordning (EU) 2025/1569 52 , bør registreres i kataloget over ordninger for attestering af attributter, der er fastsat i nævnte gennemførelsesforordning.

54)For at bidrage til udviklingen af arbejdsstyrken inden for cybersikkerhed og portabiliteten af færdigheder i hele Unionen bør ENISA gøre de europæiske ordninger for attesteringer af individuelle cybersikkerhedsfærdigheder og listen over autoriserede attesteringsudbydere tilgængelige for offentligheden via et særligt websted.

55)ENISA bør forvaltes og drives under hensyntagen til principperne i den fælles tilgang til decentrale EU-agenturer, som Europa-Parlamentet, Rådet og Kommissionen vedtog den 19. juli 2012 53 . Anbefalingerne i den fælles tilgang bør også afspejles, når det er relevant, i ENISA's arbejdsprogrammer, evalueringer og rapporterings- og administrationspraksis.

56)For at bestyrelsen kan udføre sine funktioner effektivt, navnlig med hensyn til at udstikke den overordnede retning for ENISA's aktiviteter og fastsætte dets strategiske prioriteter, er det afgørende, at bestyrelsen består af højtstående repræsentanter fra medlemsstaterne og Kommissionen. Med henblik herpå udnævner hver medlemsstat lederen af en national kompetent myndighed i den pågældende medlemsstat, der er ansvarlig for cybersikkerhed og udpeget i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, til medlem af bestyrelsen.

57)For at sikre, at suppleanter i bestyrelsen kan opfylde deres roller på behørig vis, bør medlemsstaterne udpege suppleanter med passende faglig ekspertise og erfaring. Kommissionen og medlemsstaterne bør for så vidt angår suppleanter tilstræbe at opnå en afbalanceret repræsentation af mænd og kvinder i bestyrelsen og begrænse udskiftningen for at sikre kontinuiteten i bestyrelsens arbejde.

58)For at sætte ENISA i stand til at opfylde sin mission på effektiv vis bør bestyrelsen, som består af repræsentanter for medlemsstaterne og Kommissionen, fastlægge den overordnede retning for ENISA's aktiviteter, herunder dets strategiske prioriteter, og sikre, at det udfører sine opgaver i overensstemmelse med denne forordning. Bestyrelsen bør have de nødvendige beføjelser til at fastlægge og kontrollere gennemførelsen af budgettet, vedtage passende finansielle bestemmelser, fastlægge gennemsigtige arbejdsprocedurer for ENISA's beslutningstagning, vedtage ENISA's samlede programmeringsdokument, vedtage sin egen forretningsorden, udnævne den administrerende direktør, træffe afgørelse om forlængelse og ophør af den administrerende direktørs mandatperiode og træffe afgørelse om, hvorvidt der skal oprettes en stilling som viceadministrerende direktør, og, hvis en sådan stilling oprettes, om dennes udnævnelse samt om forlængelse og afslutning af vedkommendes embedsperiode. Enhver, der udøver en direktørfunktion i ENISA, bør derfor udnævnes af bestyrelsen. Bestyrelsen bør også være ansvarlig for at udnævne eller afskedige medlemmer af klagenævnet samt for at fastsætte regler for forebyggelse eller håndtering af interessekonflikter i denne henseende.

59)Med henblik på at bidrage til at sikre, at ENISA fastlægger sine strategiske prioriteter og holder dem ajour, bør bestyrelsen afholde mindst ét møde om året om ENISA's strategiske prioriteter. For at sikre, at bestyrelsens møder forløber effektivt og på et velinformeret grundlag, kan bestyrelsen indbyde enhver person, hvis udtalelse kan være relevant og af interesse for de drøftede emner, til sine møder for at give indsigt, ekspertise eller rådgivning. En sådan person vil være en ad hoc-observatør uden stemmeret.

60)Bestyrelsen bør vedtage afgørelser med absolut flertal blandt sine stemmeberettigede medlemmer, medmindre andet er fastsat i denne forordning. På grund af betydningen af budget- og personalespørgsmål, navnlig spørgsmål vedrørende det årlige budget, årsberetningen, strategien for bekæmpelse af svig, gennemførelsesbestemmelser til personalevedtægten, udnævnelsen af den administrerende direktør, den viceadministrerende direktør og regnskabsføreren, opfølgning på resultater fra Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og Den Europæiske Anklagemyndighed (EPPO) og vedtagelsen af finansielle bestemmelser for ENISA, bør bestyrelsen kun vedtage afgørelser herom, hvis Kommissionens repræsentant stemmer for. For at træffe afgørelse om vedtagelse af et samlet programmeringsdokument efter hensyntagen til Kommissionens udtalelse bør det kun kræves, at Kommissionens repræsentant stemmer for de dele af afgørelsen, der ikke vedrører ENISA's årlige og flerårige arbejdsprogram.

61)Forretningsudvalget bør bidrage til en velfungerende bestyrelse. Som led i det forberedende arbejde i forbindelse med bestyrelsens afgørelser bør forretningsudvalget nøje undersøge relevante oplysninger, gennemgå mulighederne og tilbyde rådgivning og løsninger til forberedelse af bestyrelsens afgørelser. Det bør også bistå og rådgive den administrerende direktør i gennemførelsen af bestyrelsens afgørelser.

62)Et velfungerende ENISA kræver, at den administrerende direktør udnævnes på grundlag af kvalifikationer og dokumenterede administrative og ledelsesmæssige færdigheder samt kvalifikationer og erfaring, der er relevante for cybersikkerhed. Den administrerende direktørs opgaver bør udføres i fuld uafhængighed. Bestyrelsen bør udnævne den administrerende direktør fra den liste over kandidater, som Kommissionen har opstillet, efter en åben og gennemsigtig procedure, der respekterer princippet om kønsbalance.

63) Den administrerende direktør bør efter forudgående høring af Kommissionen udarbejde et forslag til ENISA's samlede programmeringsdokument og træffe alle nødvendige foranstaltninger til at sikre, at dette samlede programmeringsdokument gennemføres korrekt. Den administrerende direktør bør udarbejde en årsberetning, der skal forelægges bestyrelsen, og som omhandler gennemførelsen af ENISA's årlige arbejdsprogram, udfærdige et udkast til overslag over ENISA's indtægter og udgifter samt gennemføre budgettet. Den administrerende direktør bør endvidere kunne nedsætte ad hoc-arbejdsgrupper til at behandle specifikke spørgsmål, særlig af videnskabelig, teknisk, retlig eller socioøkonomisk art. Navnlig i forbindelse med udarbejdelsen af et specifikt forslag til europæisk cybersikkerhedscertificeringsordning ("forslag til ordning") anses det for nødvendigt at nedsætte en ad hoc-arbejdsgruppe. Det kan også være nødvendigt at nedsætte en ad hoc-arbejdsgruppe for vedligeholdelsesaktiviteter i forbindelse med specifikke europæiske cybersikkerhedscertificeringsordninger, der er vedtaget. Der bør også nedsættes ad hoc-arbejdsgrupper til at udvikle og vedligeholde europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder og bistå agenturet med forvaltningen, gennemførelsen og udviklingen af ECSF. Den administrerende direktør bør sikre, at medlemmerne af ad hoc-arbejdsgrupperne udvælges på grundlag af den højeste ekspertisestandard, og tage skridt til at sikre en jævn kønsfordeling og en passende balance, afhængigt af de specifikke spørgsmål, mellem medlemsstaternes offentlige forvaltninger, EU-enhederne og den private sektor, herunder industrien, brugerne og akademiske eksperter i net- og informationssikkerhed samt akademiske eksperter i produkter med digitale elementer.

64)Bestyrelsen kan beslutte at oprette en stilling som viceadministrerende direktør til at bistå den administrerende direktør, hvis bestyrelsen finder, at en sådan funktion er nødvendig for at sikre eller opretholde ENISA's gnidningsløse funktion. Når bestyrelsen træffer afgørelse om, hvorvidt der skal oprettes en sådan stilling, kan den tage hensyn til den administrerende direktørs udtalelse.

65)ENISA bør have en rådgivende gruppe for at sikre en regelmæssig dialog med den private sektor, forbrugerorganisationer og andre relevante interessenter. ENISA-Rådgivningsgruppen, som nedsættes af bestyrelsen efter forslag af den administrerende direktør, bør koncentrere sig om spørgsmål, der er relevante for interessenterne, og forelægge dem for ENISA. ENISA-Rådgivningsgruppen bør navnlig høres i forbindelse med udkastet til ENISA's årlige arbejdsprogram. Sammensætningen af ENISA-Rådgivningsgruppen og dens opgaver bør sikre en tilstrækkelig repræsentation af interessenter i ENISA's arbejde. Repræsentanter for de retshåndhævende myndigheder, databeskyttelsesmyndigheder og markedsovervågningsmyndigheder på nationalt plan og EU-plan bør kunne være repræsenteret i ENISA-Rådgivningsgruppen.

66)Ansøgere om at blive autoriserede attesteringsudbydere eller om at forny deres autorisation bør have adgang til de nødvendige retsmidler, hvis de berøres af afgørelser truffet af ENISA. Der bør derfor indføres en passende klageadgang, så ENISA's afgørelser kan anfægtes over for et klagenævn, hvis afgørelser kan underkastes domstolsprøvelse ved Den Europæiske Unions Domstol i henhold til traktaterne. Kravet om at udtømme klageproceduren inden for ENISA, inden der kan anlægges sag ved Den Europæiske Unions Domstol, finder kun anvendelse på personer, der har søgsmålskompetence ved klagenævnet.

67)For at sikre ENISA fuld autonomi og uafhængighed og sætte det i stand til at udføre sine opgaver bør ENISA tildeles et tilstrækkeligt og selvstændigt budget, der primært finansieres af et bidrag fra Unionen, men også af bidrag fra tredjelande, der deltager i ENISA's arbejde, samt af gebyrer, der betales af autoriserede attesteringsudbydere og af overensstemmelsesvurderingsorganer, der deltager i ordninger og udsteder europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer. Værtsmedlemsstaten og enhver anden medlemsstat bør kunne yde frivillige bidrag til ENISA's budget. Ingen bidrag, hverken finansielle eller i form af naturalier, som ENISA modtager fra medlemsstaterne, tredjelande eller andre enheder eller personer, må bringe dets uafhængighed og uvildighed i fare. Unionens budgetprocedure bør gælde for så vidt angår Unionens bidrag og enhver anden støtte, som ydes over Unionens almindelige budget. Revisionen af ENISA's regnskaber bør forestås af Revisionsretten for at sikre gennemsigtighed og ansvarlighed. For at give agenturet mulighed for at deltage i alle relevante fremtidige projekter bør det gives mulighed for at modtage tilskud.

68)For at sikre ENISA's kapacitet til at imødekomme efterspørgslen efter de aktiviteter, det udfører, navnlig for så vidt angår afgørelser om autorisation af udbydere til at levere europæiske attesteringer af individuelle cybersikkerhedsfærdigheder og for så vidt angår vedligeholdelsen af de europæiske cybersikkerhedscertificeringsordninger og prøvningsværktøjer, bør ENISA have beføjelse til at opkræve gebyrer. Gebyrerne for behandling af ansøgninger om at blive autoriseret attesteringsudbyder bør fastsættes på passende vis, så de i tilstrækkelig grad bidrager til at dække de anslåede omkostninger til udvikling og vedligeholdelse af de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder og til evaluering af, om de krav og forpligtelser, der er forbundet med at blive og fortsat være autoriseret attesteringsudbyder er og fortsat er opfyldt. De gebyrer, der knyttet til omkostningerne ved udstedelse og fornyelse af autorisationer til autoriserede attesteringsudbydere, bør omfatte omkostninger forbundet med evalueringer, der foretages af eller under tilsyn af ENISA. Gebyrerne for deltagelse i europæiske cybersikkerhedscertificeringsordninger og for udstedelse af attester i henhold til sådanne ordninger bør fastsættes på passende vis, så de i tilstrækkelig grad bidrager til at dække de anslåede omkostninger ved at opretholde ordningerne. Betalingen af disse gebyrer bør gøre det muligt for anmeldte overensstemmelsesvurderingsorganer og, i det omfang det er relevant, indehavere af attester i henhold til en ordning at tage del i sådanne aktiviteter samt muliggøre relevante kapacitetsopbygnings- og fremstødsaktiviteter for at fremme udvekslingen af bedste praksis og udbredelsen af ordninger og certificerede løsninger.

69)For at sikre proportionalitet, gennemsigtighed og retssikkerhed bør gebyrerne fastsættes på en gennemsigtig og retfærdig måde. Alle ENISA's udgifter til personale, der er involveret i aktiviteter omfattet af gebyrer, navnlig arbejdsgiverens pro rata-bidrag til pensionsordningen, og omkostninger i forbindelse med klagenævnet, bør afspejles i disse omkostninger. Gebyrerne må ikke føre til, at ansøgerne pålægges unødvendige finansielle eller administrative byrder. Der bør fastsættes rimelige frister for betaling af gebyrerne.

70)Det er nødvendigt at indføre et sæt indikatorer til måling af agenturets arbejdsbyrde og effektivitet med hensyn til aktiviteter, der finansieres ved hjælp af gebyrer. Med disse indikatorer for øje tilpasser agenturet sin personaleplanlægning og forvaltning af ressourcer vedrørende gebyrer for at kunne reagere hensigtsmæssigt på behov, der måtte opstå i denne sammenhæng, og eventuelle udsving i indtægterne fra gebyrer.

71)For at afdække risiciene for faktiske eller opfattede interessekonflikter og sikre, at de håndteres korrekt, bør ENISA have indført regler for forebyggelse og håndtering af interessekonflikter. ENISA bør også anvende de regler om aktindsigt, der er fastsat i Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 54 . ENISA's behandling af personoplysninger bør være underlagt Europa-Parlamentets og Rådets forordning (EU) 2018/1725 55 . ENISA bør overholde de bestemmelser, der gælder for EU-enheder, samt national lovgivning vedrørende behandling af oplysninger, navnlig følsomme ikkeklassificerede oplysninger og EU's klassificerede informationer (EUCI).

72)I udførelsen af sine opgaver kan ENISA have adgang til følsomme oplysninger såsom oplysninger om cybertrusler og -hændelser. Det er derfor vigtigt, at ENISA bevarer fortroligheden af de oplysninger, det håndterer. Navnlig må tjenestemænd og øvrige ansatte i ENISA i overensstemmelse med artikel 339 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) ikke videregive oplysninger om forhold, som ifølge deres natur er tjenestehemmeligheder, navnlig oplysninger om virksomheder og om deres forretningsforbindelser eller omkostningsforhold, heller ikke efter at deres hverv er ophørt.

73)For at sikre, at ENISA når sine mål fuldt ud, bør det pleje forbindelser med de relevante EU-tilsynsmyndigheder og andre kompetente myndigheder i Unionen, relevante EU-enheder, herunder CERT-EU, EC3 hos Europol, ECCC, Det Europæiske Forsvarsagentur (EDA), Den Europæiske Unions Agentur for Rumprogrammet (EUSPA), Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC), Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), Den Europæiske Centralbank (ECB), Den Europæiske Banktilsynsmyndighed (EBA), Det Europæiske Databeskyttelsesråd, Agenturet for Samarbejde mellem Energireguleringsmyndigheder (ACER), Det Europæiske Luftfartssikkerhedsagentur (EASA) og enhver anden EU-enhed, der er involveret i cybersikkerhed. ENISA bør også pleje forbindelser med de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, markedsovervågningsmyndigheder og myndigheder, der beskæftiger sig med databeskyttelse, med henblik på at udveksle knowhow og bedste praksis, og det bør yde rådgivning om cybersikkerhedsspørgsmål, der kan have indvirkning på deres arbejde.

74)Europol spiller en vigtig rolle i at forebygge og bekæmpe cyberkriminalitet, herunder cyberkriminalitet i forbindelse med net- og informationssikkerhedshændelser. For at skabe synergi mellem hvert agenturs respektive opgaver bør ENISA samarbejde med Europol, navnlig ved at dele oplysninger om tendenser med hensyn til teknikker bag, krav i forbindelse med og virkninger af ransomwareangreb. Et sådant samarbejde kan også bestå i at identificere de mest almindelige ransomwaretyper, der rettes mod enheder, der er opført i bilag I og II til direktiv (EU) 2022/2555, for at støtte væsentlige og vigtige enheder i reaktionen på og genopretning efter hændelser.

75)For at støtte operationelt samarbejde og fælles situationsbevidsthed om cybertrusler og -hændelser er det afgørende, at ENISA samarbejder med interessenter og navnlig virksomheder og organisationer fra den private sektor, som ENISA kan etablere offentlig-private partnerskaber med.

76)For effektivt at nå de målsætninger, der er beskrevet i denne forordning, kan ENISA navnlig samarbejde med akademiske institutioner, der har forskningsinitiativer på relevante områder, og oprette passende kanaler for input fra forbrugerorganisationer og andre organisationer.

77)I betragtning af den grænseløse karakter af cybertrusler og -hændelser kan tredjelandes cybersikkerhedsniveau og beredskab have indvirkning på enheder i Unionen. ENISA bør derfor kunne tilbyde kapacitetsopbygningsaktiviteter, herunder uddannelse, kapacitetsopbygning, venskabsaktiviteter i tredjelande og navnlig skræddersyede kapacitetsopbygningsaktiviteter for lande, der er kandidater til tiltrædelse af Unionen, eller andre partnerlande i overensstemmelse med Unionens prioriteter. Sådanne aktiviteter bør udføres efter en specifik anmodning om at yde tilstrækkelig støtte, under hensyntagen til Unionens prioriteter, og gennemføres ved hjælp af særlige ordninger, herunder gennem bidragsaftaler som omhandlet i forordning (EU, Euratom) 2024/2509. Den europæiske ramme for cybersikkerhedscertificering har til formål at beskytte mod cybertrusler såsom ondsindet udnyttelse af cybersikkerhedssårbarheder eller cybersikkerhedshændelser, der påvirker funktionen (udformningen og driften) af IKT-produkters, IKT-tjenesters, IKT-processers, administrerede sikkerhedstjenesters eller enheders cybersikkerhedstilstand. Ved at fokusere på tekniske risici i forbindelse med IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand bør den europæiske ramme for cybersikkerhedscertificering supplere sikkerheden af rammen for IKT-forsyningskæder, som sigter mod en harmoniseret tilgang på EU-plan til håndtering af ikketekniske risici i sektorer af særligt kritisk betydning og andre kritiske sektorer.

78)Medlemsstaterne bør kunne anvende europæisk cybersikkerhedscertificering i forbindelse med offentlige udbud i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2014/24/EU 56 .

79)For at lette forenklingen af enhedernes overholdelse af reglerne bør den europæiske ramme for cybersikkerhedscertificering gøre det muligt at certificere deres cybersikkerhedstilstand. Enheder, navnlig de, der leverer flere typer tjenester på tværs af flere medlemsstater, kan stå over for forskellige cybersikkerheds- og datasikkerhedsrelaterede forpligtelser under horisontale instrumenter såsom Europa-Parlamentets og Rådets forordning (EU) 2016/679 57 og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 58 , foruden sektorspecifikke instrumenter. For at strømline gennemførelsen af den overordnede lovgivningsmæssige ramme for cybersikkerhed og lette overholdelsen af reglerne inden for rammen bør EU-lovgivningen give enheder mulighed for at påvise deres overholdelse af kravene til styring af cybersikkerhedsrisici ved hjælp af en europæisk cybersikkerhedscertificeringsattest. En ordning kan bidrage til at strømline de overensstemmelseskrav, der følger af forskellige retlige instrumenter, uden at det berører deres specifikke certificeringskrav. Sådanne forenklingsforanstaltninger har potentiale til at mindske den administrative byrde og frigøre ressourcer til at styrke enhedernes operationelle cybersikkerhedsberedskab i kritiske sektorer i Unionen.

80)Europæisk certificering af krav til styring af cybersikkerhedsrisici, der er udviklet inden for den europæiske ramme for cybersikkerhedscertificering, bør sætte enheder i stand til at påvise overholdelse af relevant EU-lovgivning, når en ordning dækker de respektive retlige krav i en sådan retsakt, og dette er fastsat i ordningen. På det grundlag kan en EU-retsakt også indeholde bestemmelser om formodning om overensstemmelse med disse krav. Sådanne ordninger kan bidrage til at styrke en sammenhængende gennemførelse af cybersikkerhedskravene i EU-lovgivningen for at skabe lige vilkår i alle medlemsstater og lette overholdelsesbyrden.

81)Den europæiske ramme for cybersikkerhedscertificering bør give mulighed for at certificere IKT-processer, forstået som en række aktiviteter, der udføres for at udforme, udvikle, levere eller vedligeholde et IKT-produkt eller en IKT-tjeneste. En beskyttelsesprofil er et eksempel på en IKT-proces, jf. Kommissionens gennemførelsesforordning (EU) 2024/482 59 . Et andet eksempel på en IKT-proces er den række aktiviteter, som en producent udfører for på sikker vis at udforme og udvikle et IKT-produkt, herunder de fysiske, logiske, proceduremæssige, personalemæssige og andre sikkerhedsmæssige foranstaltninger, der er nødvendige for at beskytte fortroligheden og integriteten i udformningen og gennemførelsen af et IKT-produkt i dets udviklingsmiljø. Certificeringen af sådanne aktiviteter benævnes ofte "lokalitetscertificering" i forbindelse med en certificeringsproces i henhold til Kommissionens gennemførelsesforordning (EU) 2024/482.

82)Definitionen af administrerede sikkerhedstjenester i denne forordning bør være i overensstemmelse med definitionen af udbyder af administrerede sikkerhedstjenester i direktiv (EU) 2022/2555. Disse tjenester består i at udføre eller yde bistand til aktiviteter vedrørende kundernes styring af cybersikkerhedrisici og har fået stadig større betydning i forbindelse med forebyggelse og afbødning af hændelser. Udbydere af sådanne tjenester anses derfor for at være væsentlige eller vigtige enheder, der tilhører en sektor af særlig kritisk betydning i henhold til direktiv (EU) 2022/2555. Udbydere af administrerede sikkerhedstjenester på områder såsom reaktion på hændelser, penetrationstest, sikkerhedsaudits og konsulentbistand spiller en særlig vigtig rolle med hensyn til at bistå enheder i deres bestræbelser på at forebygge, opdage, reagere på eller genoprette efter hændelser. Imidlertid har udbydere af administrerede sikkerhedstjenester også selv været mål for cyberangreb og udgør en særlig risiko på grund af deres tætte integration i kundernes aktiviteter. Det er derfor nødvendigt, at væsentlige og vigtige enheder i henhold til direktiv (EU) 2022/2555 udviser forøget omhu ved udvælgelsen af en udbyder af administrerede sikkerhedstjenester.

83)Europæiske cybersikkerhedscertificeringsordninger er relevante for et bredt fællesskab af interessenter såsom udbydere af IKT-løsninger, overensstemmelsesvurderingsorganer og brugere. For at fremme en bred inddragelse af interessenterne bør der organiseres en europæisk forsamling vedrørende cybersikkerhedscertificering ("forsamlingen") mindst én gang om året med henblik på at fremme samarbejdet mellem Kommissionen, ENISA, medlemsstaterne og relevante interessenter. Forsamlingen vil spille en central rolle med hensyn til at afdække og håndtere nye cybersikkerhedsudfordringer og strategiske prioriteter for certificering og at sikre, at certificeringsordningerne fremmer en sikker integration af digital teknologi og er tilpasset brugernes behov. Forsamlingen bør fremme Unionens førerskab inden for certificeringsaktiviteter og cementere certificeringsrammens evne til at skabe tillid for virksomheder, offentlige myndigheder og offentligheden.

84)Kommissionen bør vedligeholde et særligt websted for at sikre gennemsigtighed ved at offentliggøre ajourførte oplysninger om fremskridtene med gennemførelsen af den europæiske ramme for cybersikkerhedscertificering. Webstedet bør indeholde oplysninger om certificeringsordninger under udarbejdelse, strategiske prioriteter for kommende certificeringsordninger, anmodninger til ENISA om at udarbejde forslag til certificeringsordninger og oplysninger om vedtagelse af certificeringsordninger. Kommissionens websted vil supplere ENISA's websted om europæiske cybersikkerhedscertificeringsordninger, som bør indeholde omfattende oplysninger om den tekniske udarbejdelse af forslag til ordninger og vedligeholdelsen af ordninger og have fokus på udstedte europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer.

85)For at styrke dialogen mellem EU-institutionerne og bidrage til en formel, åben, gennemsigtig og inklusiv høringsproces bør Kommissionen ved evalueringen af denne forordning tage hensyn til elementer, der udspringer af de synspunkter, som Europa-Parlamentet og Rådet og den europæiske forsamling vedrørende cybersikkerhedscertificering har givet udtryk for.

86)Gennemførlighedsundersøgelser foretaget af ENISA bør bidrage til at forberede planlægningen og udviklingen af cybersikkerhedscertificeringsordninger. Undersøgelserne bør inddrage relevante interessenters perspektiver og tilpasse de fremtidige certificeringsordninger til igangværende forsknings-, udviklings- og teknologivurderingsaktiviteter, idet navnlig bidrag fra Unionens og medlemsstaternes forskningsinitiativer tages i betragtning. Sådanne undersøgelser kan være med til at indkredse tilgængelige standarder og tekniske specifikationer. De bør gennemføres efter anmodning fra Kommissionen, eller i overensstemmelse med Unionens strategiske prioriteter, for at sikre, at der tages tilstrækkeligt hensyn til udviklingen i det teknologiske landskab og cybersikkerhedsbehovene, når der anmodes om og udvikles ordninger.

87)Udformningen af et forslag til ordning og dets dækning af sikkerhedsmålsætninger og -elementer bør stå i forhold til certificeringens genstand og omfang. F.eks. kan en certificeringsordning for cloudtjenester derfor omfatte sikkerhedsmålsætninger, der er relevante for IKT-tjenester og organisatorisk sikkerhed. Som et andet eksempel vil en sikkerhedsmålsætning om ikke at medtage kendte sårbarheder, der kan udnyttes, sandsynligvis ikke være relevant for certificering af IKT-processer.

88)For at sikre, at de europæiske cybersikkerhedscertificeringsordninger gennemføres på en harmoniseret måde i alle medlemsstater, er det nødvendigt at fastsætte regler for vedligeholdelsen af ordningerne. Vedligeholdelsesaktiviteter er også nødvendige for at sikre, at ordningerne og den tilhørende støttedokumentation holdes ajour, navnlig på cybersikkerhedsområdet, hvor trusselsbilledet og teknologien hele tiden udvikler sig. Certificeringsordningerne bør derfor udformes og vedligeholdes på en sådan måde, at risikoen for, at de hurtigt bliver forældede, undgås. Vedligeholdelsesaktiviteterne bør typisk omfatte udarbejdelse og ajourføring af støttedokumentation, herunder tekniske specifikationer og retningslinjer, samt fastlæggelse af standarder eller tekniske specifikationer, der er relevante for ordningen. En analyse af ordningens funktion, eventuelle utilstrækkeligheder og påkrævede forbedringer bør også være en del af vedligeholdelsesaktiviteterne. Derudover bør vedligeholdelsesaktiviteterne omfatte udveksling af oplysninger mellem medlemsstaterne med hensyn til gennemførelsen af ordningerne og bidrag til peerreview- og peervurderingsmekanismer

89)På grund af vedligeholdelsesaktiviteternes tekniske karakter bør ENISA forvalte sådanne aktiviteter i samarbejde med Kommissionen og med støtte fra Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG) og dennes relevante undergruppe vedrørende vedligeholdelse. Oprettelsen af ECCG-undergruppen vedrørende vedligeholdelse gør det muligt at indsamle tekniske bidrag og viden fra medlemsstaterne med henblik på at harmonisere tilgange.

90)Vedligeholdelsesaktiviteterne bør omfatte interaktioner med relevante interessentgrupper for at sikre, at ordningerne forbliver markedsrelevante og ajourførte, herunder ved at dele og modtage tekniske bidrag. Disse interessentgrupper kan være standardiseringsorganisationer, overensstemmelsesvurderingsorganer, forhandlere, brugere, offentlige myndigheder eller brancheorganisationer. De særlige forhold for hver ordning, herunder deres tilsvarende tekniske fora og brancher, indebærer, at det bør være muligt at indsamle tekniske bidrag på forskellige måder fra den ene ordning til den anden. For nogle ordninger bør ENISA kunne benytte en ad hoc-arbejdsgruppe, der bringer eksperter fra medlemsstaternes offentlige administrationer, EU-enheder og den private sektor sammen. Tekniske bidrag kan også komme fra centre for informationsudveksling og -analyse (ISAC'er) eller standardiseringsorganisationer. ENISA bør analysere, hvilket format der er bedst egnet for hver ordning, og lade en vedligeholdelsesstrategi indgå i hvert forslag til ordning.

91)De europæiske cybersikkerhedscertificeringsordninger bør bygge på standarder eller tekniske specifikationer, navnlig med hensyn til fastlæggelsen af sikkerhedskrav og evalueringsmetoder. ENISA bør have mulighed for at udarbejde tekniske specifikationer til støtte for udarbejdelsen og vedligeholdelsen af ordninger, navnlig hvis der mangler publikationer fra standardiseringsorganisationerne, eller de ikke er egnede til at opfylde ordningens mål. Som led i udarbejdelsesprocessen bør ENISA støttes af ECCG og, i det omfang det er relevant, den ad hoc-arbejdsgruppe, der er nedsat for den pågældende ordning. ENISA bør også søge bidrag fra interessentgrupper. ENISA bør desuden tage markedsaccepten samt europæiske og internationale standarder i betragtning. Under hensyntagen til kvaliteten af de tekniske specifikationer og målsætningerne for en ordning bør Kommissionen i en europæisk cybersikkerhedscertificeringsordning kunne henvise til tekniske specifikationer, der er udarbejdet af ENISA.

92)Tekniske specifikationer, der er udarbejdet af ENISA, og som der henvises til i en ordning, bør gøres tilgængelige på ENISA's websted om europæiske cybersikkerhedscertificeringsordninger, så alle interesserede parter kan få adgang til dem. I visse specifikke tilfælde kan offentliggørelse på webstedet imidlertid udgøre en risiko for cybersikkerheden af certificerede IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand og i forlængelse heraf for den offentlige sikkerhed. Tekniske specifikationer kan f.eks. indeholde præcise oplysninger om nye angrebsveje, som ondsindede aktører vil kunne bruge, hvis de gøre offentligt tilgængelige. Den type oplysninger bør formidles på en begrænset måde og på need-to-know-basis til relevante interessenter såsom nationale cybersikkerhedscertificeringsmyndigheder, overensstemmelsesvurderingsorganer og forhandlere, der certificeres. På grund af deres begrænsede formidling bør der ikke henvises til sådanne tekniske specifikationer i europæiske cybersikkerhedscertificeringsordninger, og de bør derfor være af ikkebindende karakter.

93)Certificeringsordningerne for cybersikkerhedstilstand bør udformes på en modulær måde med henblik på at gøre det muligt at påvise overholdelsen af og give formodning om overensstemmelse med relevante cybersikkerhedskrav, der er fastsat i anden EU-lovgivning, hvis denne lovgivning giver mulighed herfor. Formodningen om overensstemmelse med kravene i disse retsakter vil derfor kun have virkning som en mulighed for at påvise overholdelse, hvis de respektive retsakter giver mulighed for en sådan formodning om overensstemmelse. De nærmere detaljer i disse ordninger, dvs. formål, målsætninger eller elementer, vil derfor sandsynligvis afvige fra andre ordninger. Der bør navnlig udvikles ordninger for certificering af enheders cybersikkerhedstilstand for at gøre det muligt at vurdere en enheds fortsatte overensstemmelse med EU-lovgivningen. Det er derfor ikke nødvendigt, at certificeringsordninger for cybersikkerhedstilstand dækker alle elementer i de europæiske cybersikkerhedscertificeringsordninger, som f.eks. tillidsniveauer, og dette bør afspejles i reglerne for ordningerne.

94)En ramme for certificering af cybersikkerhedstilstand inden for den europæiske ramme for cybersikkerhedscertificering gør det muligt at udvikle en ordning, der sætter enheder, der leverer tjenester i flere medlemsstater, i stand til at påvise overholdelse af forpligtelserne til styring af cybersikkerhedsrisici i Europa-Parlamentets og Rådets direktiv 2022/2555. Med muligheden for at påvise overholdelse af reglerne som udgangspunkt kan enheder drage fordel af mere sammenhængende og mindre byrdefulde tilsynsmetoder i hele det indre marked. Udviklingen af en sådan certificeringsordning bør fremmes gennem vedtagelse af gennemførelsesretsakter i henhold til direktiv (EU) 2022/2555. Ved hjælp af udvidelsesprofiler kan en certificeringsordning for cybersikkerhedstilstand påvise overholdelse af krav, hvis en medlemsstat har vedtaget eller opretholdt bestemmelser, der sikrer et højere cybersikkerhedsniveau i overensstemmelse med direktiv (EU) 2022/2555. På det grundlag kan en enhed, der leverer tjenester i flere medlemsstater, påvise overensstemmelse med alle relevante udvidelsesprofiler ved hjælp af en enkelt europæisk cybersikkerhedsattest.

95)Sikkerhedsmålsætningerne og sikkerhedskravene i de europæiske cybersikkerhedscertificeringsordninger med hensyn til produktsikkerhed bør være i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I til forordning (EU) 2024/2847. Denne sammenhæng er nødvendig for at sikre, at producenter, hvis produkter er omfattet forordning (EU) 2024/2847, ikke stilles over for modstridende krav, når de certificerer deres produkter i henhold til en europæisk cybersikkerhedscertificeringsordning. Desuden letter sammenhængen i kravene formodningen om overensstemmelse i henhold til artikel 27 i forordning (EU) 2024/2847, hvorved fabrikanter af produkter med digitale elementer, der er certificeret i henhold til en europæisk cybersikkerhedscertificeringsordning, på visse betingelser kan drage fordel af en formodning om overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I til nævnte forordning.

96)Inden for en europæisk cybersikkerhedscertificeringsordning bør det være muligt at specificere en udvidelsesprofil ved at fastsætte yderligere eller specifikke krav til brugstilfælde, herunder yderligere kapaciteter såsom forbedrede produktegenskaber, specialiserede tjenestetilbud eller aktiver, optimerede processer og avancerede sikkerhedsforanstaltninger. Da udvidelsesprofiler ikke svarer til et specifikt tillidsniveau, bør der redegøres for deres formål i detaljer, herunder hvilke sikkerhedstrusler der imødegås. Udvidelsesprofiler har navnlig til formål at påvise overensstemmelse med specifikke standarder og reguleringsmæssige krav, herunder, hvor det er relevant, krav vedrørende yderligere foranstaltninger til styring af cybersikkerhedsrisici fastsat af en medlemsstat i overensstemmelse med princippet om minimumsharmonisering i overensstemmelse med direktiv (EU) 2022/2555.

97)Uden at det berører det generelle peerreviewsystem, der skal indføres på tværs af alle nationale cybersikkerhedscertificeringsmyndigheder inden for den europæiske ramme for cybersikkerhedscertificering, bør det være muligt i de europæiske cybersikkerhedscertificeringsordninger at medtage en peervurderingsmekanisme for organer, der udsteder europæiske cybersikkerhedsattester for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand, navnlig for organer, der udsteder attester med tillidsniveauet "højt" i henhold til sådanne ordninger. Disse organer bør også omfatte de nationale cybersikkerhedscertificeringsmyndigheders certificeringsorganer, der udsteder attester på tillidsniveauet "højt". ECCG bør støtte gennemførelsen af sådanne peervurderingsmekanismer. Peervurderingerne bør navnlig vurdere, om de pågældende organer udfører deres opgaver på en harmoniseret måde, og kan omfatte appelmekanismer.

98)Kriser såsom krige, naturkatastrofer og pandemier kan påvirke certificeringsaktiviteterne negativt. I krisescenarier af denne art er det måske ikke muligt at garantere sikkerheden på stedet på grund af ødelæggelse af infrastruktur, cyberangreb, personalemangel og manglende adgang til stedet. En europæisk cybersikkerhedscertificeringsordning bør derfor fastsætte midlertidige regler for certificeringsaktiviteternes kontinuitet i sådanne scenarier.

99)Omsætning af tekniske forslag til ordninger til gennemførelsesretsakter kræver kompleks teknisk og retlig viden og kan skabe en betydelig administrativ byrde. Desuden er visse elementer i europæiske cybersikkerhedscertificeringsordninger, som f.eks. sårbarhedsstyring eller betingelserne for at anvende mærker eller etiketter kan anvendes, tværsektorielle og kan drage fordel af harmoniserede referencebestemmelser. For at sikre kvaliteten af de vedtagne europæiske cybersikkerhedscertificeringsordninger og mindske overholdelsesbyrden for virksomhederne bør Kommissionen tillægges beføjelser til at vedtage modelbestemmelser, der dækker bestemte elementer i de europæiske cybersikkerhedscertificeringsordninger.

100)For at sikre sammenhæng i den europæiske ramme for cybersikkerhedscertificering bør det inden for en europæisk cybersikkerhedscertificeringsordning kunne lade sig gøre at specificere tillidsniveauer for europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, der udstedes i henhold til den pågældende ordning. Europæiske cybersikkerhedsattester bør henvise til et af tillidsniveauerne "grundlæggende", "betydeligt" eller "højt", mens EU-overensstemmelseserklæringer kun bør henvise til tillidsniveauet "grundlæggende". Tillidsniveauerne bør give den tilsvarende stringens og dybde i evalueringen af et IKT-produkt, en IKT-tjeneste, en IKT-proces, en administreret sikkerhedstjeneste eller en enheds cybersikkerhedstilstand og bør karakteriseres ved at henvise til tekniske specifikationer, standarder og dertil knyttede procedurer, herunder tekniske kontroller, som har til formål at afbøde eller forebygge hændelser. Hvert tillidsniveau bør være ensartet på tværs af de forskellige sektorspecifikke områder, hvor der anvendes certificering.

101)Når brugerne af europæiske cybersikkerhedsattester vælger den passende certificering og tilhørende sikkerhedskrav, bør det ske på grundlag af en analyse af de risici, der er forbundet med anvendelsen af IKT-produkterne, IKT-tjenesterne, IKT-processerne eller de administrerede sikkerhedstjenester, eller risiciene i forbindelse med certificeringen af enheder. Tillidsniveauet bør derfor afspejle det risikoniveau, der er forbundet med den tilsigtede anvendelse af IKT-produktet, IKT-tjenesten, IKT-processen eller en administrerede sikkerhedstjenester, eller driftsmiljøet for og karakteren af den enhed, hvis cybersikkerhedstilstand er genstand for certificering.

102)For tillidsniveauet "grundlæggende" bør evalueringen som minimum tage udgangspunkt i følgende tillidskomponenter: Evalueringen bør som minimum omfatte en gennemgang foretaget af overensstemmelsesvurderingsorganet af den tekniske dokumentation for IKT-produktet, IKT-tjenesten, IKT-processen, den administrerede sikkerhedstjeneste eller enhedens cybersikkerhedstilstand. Hvis certificeringen omfatter IKT-processer, bør den proces, der blev anvendt til at udforme, udvikle og vedligeholde et IKT-produkt, en IKT-tjeneste, en administreret sikkerhedstjeneste eller en enheds cybersikkerhedstilstand, også være omfattet af den tekniske gennemgang. Hvis en europæisk cybersikkerhedscertificeringsordning indeholder bestemmelser om selvvurdering af overensstemmelse, bør det være tilstrækkeligt, at producenten eller udbyderen af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller den enhed, hvis cybersikkerhedstilstand er genstand for certificering, har foretaget en selvvurdering af IKT-produktets, IKT-tjenestens, IKT-processens, den administrerede sikkerhedstjenestes eller enhedens cybersikkerhedstilstands overensstemmelse med certificeringsordningen.

103)For tillidsniveauet "betydeligt" bør evalueringen ud over kravene til tillidsniveauet "grundlæggende" som minimum tage udgangspunkt i en verifikation af, at sikkerhedsfunktionerne i IKT-produktet, IKT-tjenesten, IKT-processen, den administrerede sikkerhedstjeneste eller enhedens cybersikkerhedstilstand er i overensstemmelse med den tekniske dokumentation.

104)For tillidsniveauet "højt" bør evalueringen ud over kravene til tillidsniveauet "betydeligt" som minimum tage udgangspunkt i en effektivitetstest, der vurderer sikkerhedsfunktionernes modstandsdygtighed over for overlagte cyberangreb udført af personer med betydelige færdigheder og ressourcer. Overensstemmelsesvurderingsaktiviteterne bør udføres i Det Europæiske Økonomiske Samarbejdsområde for sikringsniveauet "høj", eller når en ordning er udformet med henblik på påvisning af overholdelse af og formodning om overensstemmelse med anden EU-lovgivning. Dette krav er begrundet i, at vurderingsaktiviteter, der finder sted uden for Det Europæiske Økonomiske Samarbejdsområde, giver anledning til yderligere trusler mod cybersikkerheden, navnlig den intellektuelle ejendomsret til de evaluerede IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheder. For eksempel kan et IKT-produkts kildekode blive gransket, når koden passerer grænsen til et tredjeland, hvilket udgør en risiko for den intellektuelle ejendomsret. Ydermere opererer prøvningslaboratorier, der er etableret i tredjelande, ikke i et miljø, der er berørt af de cybersikkerhedsforanstaltninger, der er fastsat i EU-lovgivningen, som f.eks. direktiv (EU) 2022/2555 eller forordning (EU) 2024/2847. For eksempel kan et prøvningslaboratorium benytte en tredjepartsudbyder af cloudtjenester, som ikke overholder cybersikkerhedskravene i direktiv (EU) 2022/2555. Ikke desto mindre bør en certificeringsordning kunne indeholde undtagelsesmekanismer, f.eks. i forbindelse med lokalitetscertificering eller i andre tilfælde, hvor overensstemmelsesvurderingsaktiviteterne ikke med rimelighed kan udføres i Det Europæiske Økonomiske Samarbejdsområde.

105)I nogle tilfælde kan der være behov for forskellige tilgange til at nå sikkerhedsmålsætningerne for et givet tillidsniveau, idet der tages højde for specifikke forhold i forbindelse med et IKT-produkt, en IKT-tjeneste, en IKT-proces, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand. For at muliggøre en mere detaljeret tilgang bør det i en europæisk cybersikkerhedscertificeringsordning være muligt at angive et eller flere evalueringsniveauer svarende til et af tillidsniveauerne. Det vil gøre det muligt at udvikle ordninger, hvor flere evalueringsniveauer, der er udformet til et andet formål, svarer til det sikkerhedsniveau, der er forbundet med et specifikt tillidsniveau.

106)Europæiske cybersikkerhedscertificeringsordninger bør give mulighed for, at der foretages en overensstemmelsesvurdering, som producenten eller udbyderen af IKT-produkterne, IKT-tjenesterne, IKT-processerne eller de administrerede sikkerhedstjenester eller den enhed, hvis cybersikkerhedstilstand er certificeret, har det fulde ansvar for ("selvvurdering af overensstemmelse"). I sådanne tilfælde bør det være tilstrækkeligt, at producenten, udbyderen eller den enhed, hvis cybersikkerhedstilstand er certificeret, selv udfører alle kontroller for at sikre, at IKT-produkterne, IKT-tjenesterne, IKT-processerne, de administrerede sikkerhedstjenester eller enhedens cybersikkerhedstilstand er i overensstemmelse med den europæiske cybersikkerhedscertificeringsordning. Selvvurdering af overensstemmelse bør anses for at være hensigtsmæssigt for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, som er af lav kompleksitet, som udgør en lav risiko for offentligheden, og som har en enkel udformning eller enkle produktionsmekanismer.

107)Hvis en europæisk cybersikkerhedscertificeringsordning giver mulighed for både selvvurderinger af overensstemmelse og certificeringer af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, bør certificeringsordningen i så fald give forbrugerne eller andre brugere klare og forståelige midler til at skelne mellem IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, der er selvvurderet og certificeret af en tredjepart.

108)Producenten eller udbyderen af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er certificeret, bør kunne udstede og underskrive en EU-overensstemmelseserklæring som led i overensstemmelsesvurderingsproceduren. En EU-overensstemmelseserklæring er et dokument, hvoraf det fremgår, at et bestemt IKT-produkt, en bestemt IKT-tjeneste, en bestemt IKT-proces, en bestemt administreret sikkerhedstjeneste eller en enheds cybersikkerhedstilstand er i overensstemmelse med kravene i den europæiske cybersikkerhedscertificeringsordning. Ved at udstede og underskrive EU-overensstemmelseserklæringen påtager producenten eller udbyderen af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller den enhed, hvis cybersikkerhedstilstand er certificeret, sig ansvaret for IKT-produktets, IKT-tjenestens, IKT-processens, den administrerede sikkerhedstjenestes eller enhedens cybersikkerhedstilstands overensstemmelse med kravene i den europæiske cybersikkerhedscertificeringsordning. En kopi af EU-overensstemmelseserklæringen bør indgives til den nationale cybersikkerhedscertificeringsmyndighed og ENISA.

109)Producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er certificeret, bør stille EU-overensstemmelseserklæringen, den tekniske dokumentation og alle andre relevante oplysninger vedrørende overensstemmelsen med en europæisk cybersikkerhedscertificeringsordning til rådighed for den kompetente nationale cybersikkerhedscertificeringsmyndighed i en periode, der er fastsat i den pågældende europæiske cybersikkerhedscertificeringsordning og i overensstemmelse med gældende EU-lovgivning. Den tekniske dokumentation bør specificere, hvilke krav der gælder i henhold til ordningen, i det omfang det er relevant for selvvurderingen af overensstemmelsen. Den tekniske dokumentation bør udarbejdes på en sådan måde, at det er muligt at vurdere, om et IKT-produkt, en IKT-tjeneste, en IKT-proces eller en administreret sikkerhedstjeneste eller enhedens cybersikkerhedstilstand opfylder de krav, der gælder i henhold til ordningen.

110)Europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer bør hjælpe brugerne med at træffe informerede valg. Relevante oplysninger bør derfor offentliggøres på et websted, der vedligeholdes af ENISA. IKT-produkter, IKT-tjenester og IKT-processer, der er certificeret, eller for hvilke der er udstedt en EU-overensstemmelseserklæring, bør desuden ledsages af strukturerede oplysninger, der er tilpasset det forventede tekniske niveau hos den tilsigtede bruger. Alle brugere bør have adgang til oplysninger om certificeringsordningens referencenummer, den udstedende myndighed eller det udstedende organ og, hvis det er relevant, tillidsniveauet eller bør kunne få en kopi af den europæiske cybersikkerhedsattest. Disse oplysninger bør ajourføres regelmæssigt og gøres tilgængelige på et særligt websted om europæiske cybersikkerhedscertificeringsordninger. For at sikre fortsat tilgængelighed bør producenter og udbydere desuden forpligtes til at underrette det relevante certificeringsorgan, hvis placeringen af oplysningerne – online såvel som fysisk, alt efter hvad der relevant – ændrer sig.

111)En overensstemmelsesvurdering er en procedure for evaluering af, om specifikke krav vedrørende et IKT-produkt, en IKT-tjeneste, en IKT-proces, en administreret sikkerhedstjeneste eller en enhed er opfyldt. Proceduren udføres af en uafhængig tredjepart, som hverken er producenten eller udbyderen af de IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester, der certificeres, eller den enhed, hvis cybersikkerhedstilstand vurderes. Der bør udstedes en europæisk cybersikkerhedsattest efter en vellykket evaluering af et IKT-produkt, en IKT-tjeneste, en IKT-proces, en administreret sikkerhedstjeneste eller af enhedens cybersikkerhedstilstand. En europæisk cybersikkerhedsattest bør anses som en bekræftelse af, at evalueringen er foretaget korrekt.

112)En streng adskillelse af tilsyns- og certificeringsaktiviteterne er vigtig for at undgå forvridninger og indgreb, der kan opstå i situationer, hvor den enhed, der fører tilsyn med markedet, også konkurrerer på det samme marked. Aktiviteter, hvor de nationale cybersikkerhedscertificeringsmyndigheder blot udfører deres tilsynsrolle, f.eks. ved at give forudgående godkendelse til udstedelse af en attest, bør derfor ikke kræve yderligere intern adskillelse fra andre tilsynsaktiviteter. Dette omfatter f.eks. situationer, hvor den nationale cybersikkerhedscertificeringsmyndighed aktivt indsamler oplysninger under hele den certificeringsproces, der udføres af private overensstemmelsesvurderingsorganer, og derefter afgiver udtalelse om disse organers udstedelse af attesten ("model for forudgående godkendelse").

113)De europæiske cybersikkerhedscertificeringsordninger bør specificere, under hvilke omstændigheder det kan være nødvendigt at foretage en recertificering af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller en enheds cybersikkerhedstilstand, eller under hvilke omstændigheder det kan være nødvendigt at begrænse omfanget af en specifik europæisk cybersikkerhedsattest. Desuden bør de europæiske cybersikkerhedscertificeringsordninger tage hensyn til eventuelle negative virkninger af alle efterfølgende opdagede sårbarheder eller uoverensstemmelser vedrørende det certificerede IKT-produkt, den certificerede IKT-tjeneste, den certificerede IKT-proces, den certificerede administrerede sikkerhedstjeneste eller en enheds certificerede cybersikkerhedstilstand for så vidt angår overensstemmelse med sikkerhedskravene i den pågældende attest.

114)Harmonisering spiller en afgørende rolle med hensyn til at garantere en robust cybersikkerhed og forbedre markedsadgangen for virksomheder. Fragmentering og manglende gensidig anerkendelse af attester udgør derimod betydelige hindringer for den gnidningsløse strøm af data og øger dermed driftsomkostningerne for industrien i EU. For at afbøde disse udfordringer er det afgørende at undgå fragmentering både med hensyn til sikkerhedskontrollernes omfang og metoderne til overensstemmelsesvurdering i hele Unionen.

115)Medlemsstaterne bør underrette Kommissionen og ECCG i tilstrækkelig god tid, inden de vedtager nye nationale cybersikkerhedscertificeringsordninger for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, for at hjælpe Kommissionen og ECCG med at evaluere den nye nationale cybersikkerhedscertificeringsordnings indvirkning på det indre markeds funktion og i lyset af enhver strategisk interesse i at anmode om en europæisk cybersikkerhedscertificeringsordning.

116)Henvisninger i national lovgivning til nationale standarder, der er ophørt med at have virkning som følge af ikrafttrædelsen af en europæisk cybersikkerhedscertificeringsordning, kan være en kilde til forvirring. Hvor det er relevant, bør medlemsstaterne derfor afspejle vedtagelsen af en europæisk cybersikkerhedscertificeringsordning i deres nationale lovgivning.

117)Med henblik på at fremme væksten i et pålideligt indre marked og samtidig skabe partnerskaber med tredjelande bør den certificeringsprocedure, der er etableret inden for den europæiske ramme for cybersikkerhedscertificering, gennemføres på en måde, der fremmer international anerkendelse, gensidig anerkendelse og tilpasning til internationale standarder.

118)For yderligere at fremme handelen, og i erkendelse af, at IKT-forsyningskæder er internationale, kan Unionen indgå aftaler om gensidig anerkendelse vedrørende europæiske cybersikkerhedsattester i overensstemmelse med artikel 218 i TEUF. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter med henblik på ensidigt at anerkende tredjelandscertifikater som svarende til europæiske cybersikkerhedsattester. Det bør være muligt at fastsætte specifikke betingelser for en sådan anerkendelse af tredjelandscertifikater.

119)For at sikre en ensartet gennemførelse af rammen i hele Unionen, lette gensidig anerkendelse og fremme den generelle accept af europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer er det nødvendigt at indføre et peerreviewsystem mellem de nationale cybersikkerhedscertificeringsmyndigheder. Peerreview bør omfatte procedurer for tilsyn med IKT-produkters, IKT-tjenesters, IKT-processers, administrerede sikkerhedstjenesters og enheders cybersikkerhedstilstands overensstemmelse med europæiske cybersikkerhedsattester, for overvågning af de forpligtelser, der påhviler producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester og certificerede enheder, der foretager selvvurdering af overensstemmelse, for overvågning af overensstemmelsesvurderingsorganer samt for hensigtsmæssigheden af ekspertisen hos personalet i organer, der udsteder attester på tillidsniveauet "højt". ENISA bør tage del i peerreviewene som observatør og støtte tilrettelæggelsen af peerreviewmekanismen og peerreviewene, herunder ved at udarbejde relevante vejledningsdokumenter og skabeloner, i samarbejde med Kommissionen og ECCG. ENISA bør på sit websted om europæiske cybersikkerhedscertificeringsordninger også offentliggøre oplysninger om tidsplanen for peerreviews og listen over nationale cybersikkerhedscertificeringsmyndigheder, der har gennemgået peerreview, og som skal gennemføre tidsplanen. Ved Kommissionens gennemførelsesforordning (EU) 2025/2540 60 , som blev vedtaget i henhold til forordning (EU) 2019/881, er planen for peerreviews, som anvendes af de vedtagne europæiske cybersikkerhedscertificeringsordninger, fastlagt. Det er nødvendigt at sikre videreførelsen af peerreviewene. Ikke desto mindre bør Kommissionen ved hjælp af gennemførelsesretsakter, i det omfang det er nødvendigt, kunne fastlægge en ny plan for peerreviews for mindst fem år samt fastsætte kriterier og metoder for driften af peerreviewsystemet.

120) Når en europæisk cybersikkerhedscertificeringsordning er vedtaget, bør producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er genstand for certificering, kunne indgive ansøgninger om certificering af deres IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller cybersikkerhedstilstand til et overensstemmelsesvurderingsorgan efter eget valg overalt i Unionen. Overensstemmelsesvurderingsorganerne bør være akkrediteret af et nationalt akkrediteringsorgan, hvis de opfylder kravene i denne forordning og, hvis det er relevant, de krav, der er fastsat af Kommissionen i overensstemmelse med denne forordning. Det system, der fastsættes i denne forordning, bør suppleres af det akkrediteringssystem, der er fastsat i Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 61 .

121) Overensstemmelsesvurderingsorganer, der er akkrediteret eller anmeldt i henhold til eksisterende EU-lovgivning, navnlig forordning (EU) 2024/2847 eller gennemførelsesforordning (EU) 2024/482, kan have kompetencer, der er relevante for nyligt vedtagne europæiske cybersikkerhedscertificeringsordninger. For at undgå unødvendige finansielle og administrative byrder bør der skabes synergi med henblik på akkreditering af overensstemmelsesvurderingsorganer i henhold til nærværende forordning. Derfor bør akkrediteringskravene i ordningerne fastsættes på en sådan måde, at der er størst mulig overensstemmelse med kravene vedrørende bemyndigede organer i forordning (EU) 2024/2847 og akkrediteringskravene i gennemførelsesforordning (EU) 2024/482. Desuden bør overensstemmelsesvurderingsorganer, der underkastes en akkrediteringsproces i henhold til nærværende forordning, kunne benytte tidligere resultater af evalueringer af deres kompetencer i henhold til anden EU-lovgivning, når der er overlap mellem akkrediteringskravene.

122)Med henblik på at fremme harmoniserede overensstemmelsesvurderingstjenester i hele Unionen bør det være muligt i en europæisk cybersikkerhedscertificeringsordning at fastsætte yderligere eller specifikke krav til overensstemmelsesvurderingsorganer. I forbindelse med certificering bør en autorisation forstås som en afgørelse truffet af en national cybersikkerhedscertificeringsmyndighed om, at et overensstemmelsesvurderingsorgan opfylder de specifikke eller yderligere krav fastsat i en europæisk cybersikkerhedscertificeringsordning til at kunne udføre en specifik overensstemmelsesvurderingsaktivitet.

123)Når en europæisk cybersikkerhedscertificeringsordning fastsætter yderligere eller specifikke krav i overensstemmelse med denne forordning, bør overensstemmelsesvurderingsorganerne autoriseres af de nationale cybersikkerhedscertificeringsmyndigheder til at udføre opgaver i henhold til ordningen. For at undgå dobbeltautorisation, styrke accepten og anerkendelsen af autorisationsafgørelser og føre et effektivt tilsyn med autoriserede overensstemmelsesvurderingsorganer bør disse søge om autorisation hos den nationale cybersikkerhedscertificeringsmyndighed i den medlemsstat, hvor de er etableret. Det er dog nødvendigt at sikre, at et overensstemmelsesvurderingsorgan kan søge om autorisation i en anden medlemsstat, i tilfælde hvor der i det pågældende organs egen medlemsstat ikke findes nogen cybersikkerhedscertificeringsmyndighed, eller hvor den nationale cybersikkerhedscertificeringsmyndighed ikke har kompetence til at yde de ønskede autoriseringstjenester. For sådanne tilfældes skyld bør der etableres en procedure for samarbejde og udveksling af oplysninger mellem nationale cybersikkerhedscertificeringsmyndigheder. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter, der fastlægger procedurerne for autorisation, herunder for grænseoverskridende samarbejde med hensyn til autorisation.

124)For at garantere det krævede beskyttelsesniveau for et IKT-produkt, en IKT-tjeneste, en IKT-proces, en administreret sikkerhedstjeneste eller en enheds cybersikkerhedstilstand er det afgørende, at underleverandører og datterselskaber i forbindelse med overensstemmelsesvurdering skal opfylde de samme krav som de anmeldte overensstemmelsesvurderingsorganer for så vidt angår udførelsen af overensstemmelsesvurderingsopgaver. Et overensstemmelsesvurderingsorgan bør derfor have den fornødne kompetence og være i stand til at verificere, at dets underleverandører opfylder de gældende krav.

125)Den bemyndigende myndighed skal vurdere, i hvilket omfang det bemyndigede organ agter at forlade sig på underleverandører (herunder uden for EU) eller have adgang til personale eller faciliteter uden for notifikationsmedlemsstaten. En medlemsstats offentlige myndighed bør have mulighed for at beslutte, at den ikke kan påtage sig det overordnede ansvar som national cybersikkerhedscertificeringsmyndighed for en sådan ordning, og for at trække anmeldelsen tilbage eller begrænse dens omfang.

126)For at evaluere cybersikkerhedskravene til IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhed bør akkrediterede overensstemmelsesvurderingsorganer anmeldes til Kommissionen og de øvrige medlemsstater af de nationale cybersikkerhedscertificeringsmyndigheder. Anmeldelse af akkrediterede og, hvis det er relevant, autoriserede overensstemmelsesvurderingsorganer viser, at disse organer kan betros evaluerings- og certificeringsaktiviteter i overensstemmelse med denne forordning og den europæiske cybersikkerhedscertificeringsordning, hvilket bidrager til den europæiske cybersikkerhedscertificerings overordnede omdømme. Det er derfor afgørende at sikre, at anmeldte overensstemmelsesvurderingsorganer opfylder deres krav og forpligtelser over tid, og at listen over anmeldte overensstemmelsesvurderingsorganer holdes ajourført.

127)Ved Kommissionens gennemførelsesforordning (EU) 2024/3143 62 , som blev vedtaget i henhold til forordning (EU) 2019/881, er de vilkår, formater og procedurer for anmeldelser af overensstemmelsesvurderingsorganer, som anvendes af vedtagne europæiske cybersikkerhedscertificeringsordninger, fastlagt. Det er derfor nødvendigt at sikre videreførelsen af anmeldelsesaktiviteterne. Alligevel bør Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter for at tilpasse disse vilkår, procedurer og formater for anmeldelse af overensstemmelsesvurderingsorganer. I den forbindelse bør Kommissionen trække på de erfaringer, der er gjort med eksisterende ordninger, og tilstræbe tilpasning til anden relevant EU-lovgivning og andre EU-rammer, navnlig forordning (EU) 2024/2847 og den nye lovgivningsmæssige ramme, med henblik på at mindske overholdelsesbyrden for overensstemmelsesvurderingsorganer, der er aktive i henhold til forskellige retlige instrumenter.

128) Forsyningskæder for informations- og kommunikationsteknologi (IKT) består af et forbundet sæt ressourcer og processer mellem økonomiske aktører. IKT-forsyningskæder spiller en afgørende rolle med hensyn til at opretholde samfundsmæssig stabilitet og fremme økonomisk aktivitet i hele Unionen. De spiller også en afgørende rolle med hensyn til at muliggøre den digitale infrastruktur i Unionen og understøtte et velfungerende samfund og en velfungerende økonomi i Unionen. IKT-forsyningskæder muliggør fremstilling, produktion, distribution og vedligeholdelse af IKT-tjenester, IKT-systemer og IKT-produkter, der understøtter flere kritiske og meget kritiske sektorer, herunder sundhed, finans, transport, telekommunikation, energi og told. Sikkerheden af IKT-forsyningskæderne i disse kritiske sektorer kan også have indvirkning på sikkerheden af forsvars- og militærinfrastrukturen, hvis denne infrastruktur er afhængig af civile kritiske sektorer og deres IKT-forsyningskæder. Ifølge ENISA's rapport om cybersikkerhedstrusselssituationen (ENISA's rapport om trusselsbilledet 2025) 63 er angreb mod forsyningskæder imidlertid blandt de fem primære trusler mod cybersikkerheden og viser, at angriberne aktivt udnytter indirekte veje gennem tredjepartsudbydere og -afhængighedsforhold. Forstyrrelser af IKT-forsyningskæder kan hindre udøvelsen af økonomiske aktiviteter i det indre marked, medføre økonomiske tab, underminere brugernes tillid og forårsage store skader på Unionens økonomi og samfund. Cybersikkerhedsberedskab og -effektivitet er derfor mere afgørende for et velfungerende indre marked end nogensinde før.

129)Ud over de tekniske risici, der er omhandlet i Europa-Parlamentets og Rådets direktiv (EU) 2022/55 64 , Europa-Parlamentets og Rådets forordning (EU) 2024/2847 65 og den europæiske ramme for cybersikkerhedscertificering, der er oprettet ved forordning (EU) 2019/881, er IKT-forsyningskæder i stigende grad eksponeret for risici af ikketeknisk karakter. Sådanne ikketekniske risici kan være knyttet til, men er ikke begrænset til, den jurisdiktion, som en leverandør af bestemte komponenter er underlagt, navnlig hvis et tredjeland eller trusselsaktører, der kontrolleres fra dette land, deltager i økonomisk spionage, udfører ondsindede cyberaktiviteter eller -kampagner mod Unionen eller dens medlemsstater eller tager del i uansvarlig statslig adfærd i cyberspace. Ikketekniske risici kan også være forbundet med skjulte sårbarheder eller bagdøre eller eventuelle systemiske forsyningsafbrydelser, navnlig i tilfælde af teknologisk fastlåsning eller leverandørafhængighed. For eksempel kan kill-switches bruges til at påvirke tilgængeligheden af kommunikationsnet og elnet negativt.

130)I den fælles meddelelse om styrkelse af EU's økonomiske sikkerhed 66 fremhævedes risikoen for, at tredjelande får adgang til følsomme oplysninger og data i Unionen eller dens medlemsstater, enten som følge af industrispionage, deres levering af hardware eller software, der anvendes i visse produkter, eller på grund af deres ejerskab af og kontrol med visse virksomheder, der besidder følsomme oplysninger og data. I meddelelsen blev der også sat streg under risikoen for, at EU's kritiske infrastruktur – herunder kritisk transport-, rumsystem-, energi- og kommunikationsinfrastruktur, navnlig den, der er udpeget som strategisk for militær mobilitet – forstyrres af udenlandske aktører, hvilket kan medføre kaskadevirkninger for Unionens økonomi. Forstyrrelser kan ske via fysiske angreb, cyberangreb eller hybridangreb, herunder sabotage af hele anlæg eller dele/delkomponenter heraf. De kan også være knyttet til IKT-forsyningskæder, som danner grundlag for kritiske komponenter eller tjenester til kritisk infrastruktur.

131)Som reaktion på de udfordringer for IKT-forsyningskædernes sikkerhed, som ikketekniske risici udgør, har nogle medlemsstater truffet lovgivningsmæssige foranstaltninger, bl.a. udpegelse af højrisikoleverandører, mens andre medlemsstater sandsynligvis vil gøre det. Dette kan føre til yderligere forskelle i de nationale tilgange og i sidste ende til større sårbarhed i nogle medlemsstater, med potentielle afsmittende virkninger i hele Unionen til følge. Det er derfor nødvendigt at harmonisere visse aspekter vedrørende de ikketekniske cybersikkerhedsrisici for IKT-forsyningskæder. En sådan indgriben på EU-plan er også berettiget i lyset af behovet for at sikre et højt cybersikkerhedsniveau i hele Unionen. Bestemmelserne om sikkerhed i IKT-forsyningskæderne har til formål at fjerne sådanne store forskelle mellem medlemsstaterne, navnlig ved at fastsætte regler for risikovurderingsmekanismer for sikkerhedsrisici i IKT-forsyningskæder på EU-plan og minimumsstandarder for beskyttelse mod risici i IKT-forsyningskæder.

132)For at mindske kritiske afhængigheder og sårbarheder er det nødvendigt at etablere en ramme for pålidelige IKT-forsyningskæder, som bør imødegå ikketekniske risici i forbindelse med højrisikoleverandører og afhængighedsforhold i sektorer af særligt kritisk betydning og andre kritiske sektorer. Det er derfor nødvendigt at skabe en objektiv, risikobaseret, fremtidssikret og teknologineutral ramme på EU-plan for at identificere centrale IKT-aktiver og fastsætte en række forholdsmæssige afbødende foranstaltninger til at imødegå risiciene.

133)Cybersikkerhedsrisici, herunder risici i forbindelse med afhængighed af højrisikoleverandører, kan konstateres i flere kritiske IKT-forsyningskæder i Unionen, herunder detektionsudstyr, opkoblede og automatiserede køretøjer, elforsyningssystemer og ellagring, vandforsyningssystemer, droner og dronebekæmpelsessystemer, cloudcomputingtjenester, medicinsk udstyr, overvågningsudstyr, rumtjenester og halvledere. For eksempel kan sårbarheder i sikkerhedsdetektionsudstyr give adgang til IKT-systemer, der gør det muligt for ondsindede aktører at manipulere scannere på en sådan måde, at forbudte genstande kan bringes gennem sikkerhedskontrolstedet uden at blive opdaget, med potentielle katastrofale konsekvenser til følge.

134)Denne forordning bør ikke være til hinder for, at medlemsstaterne vedtager eller opretholder bestemmelser, der sikrer et højere cybersikkerhedsniveau med hensyn til sikkerheden af IKT-forsyningskæder, forudsat at disse bestemmelser er i overensstemmelse med medlemsstaternes forpligtelser, der er fastsat i EU-retten. Bestemmelserne kan f.eks. omfatte indførelse af strengere afbødende foranstaltninger for så vidt angår centrale IKT-aktiver.

135)Med henblik på at afdække potentielle cybersikkerhedsrisici, der påvirker specifikke IKT-forsyningskæder, kan den samarbejdsgruppe, der er nedsat ved artikel 14 i direktiv (EU) 2022/2555 ("NIS-samarbejdsgruppen"), vurdere specifikke IKT-forsyningskæder ved hjælp af koordinerede sikkerhedsrisikovurderinger på EU-plan. De koordinerede sikkerhedsrisikovurderinger på EU-plan bør bl.a. se på de vigtigste trusselsaktører, de vigtigste trusler og sårbarheder, der påvirker centrale IKT-aktiver. I de koordinerede sikkerhedsrisikovurderinger på EU-plan bør der opstilles en liste over risikoscenarier og en liste over foranstaltninger til afbødning af risiciene. Koordinerede sikkerhedsrisikovurderinger på EU-plan bør afsluttes inden for seks måneder. I særligt hastende tilfælde bør det være muligt at afkorte fristerne.

136)I tilfælde, hvor Kommissionen har tilstrækkelig grund til at antage, at der er en væsentlig cybertrussel mod Unionens sikkerhed for så vidt angår kritiske IKT-forsyningskæder, og at tiltag kan være nødvendige for at bevare et velfungerende indre marked, bør den uden ophold høre medlemsstaterne om behovet for afbødende foranstaltninger og foretage en sikkerhedsrisikovurdering under hensyntagen til høringen af medlemsstaterne.

137)Hvis det som følge af en sikkerhedsrisikovurdering foretaget af NIS-samarbejdsgruppen eller Kommissionen virker til, at et specifikt tredjeland udgør alvorlige og strukturelle ikketekniske cybersikkerhedsrisici for IKT-forsyningskæder, bør Kommissionen efterprøve den trussel, som det pågældende land udgør. Kommissionen kan også indlede en sådan efterprøvning på grundlag af andre kilder såsom en offentlig erklæring på vegne af Unionen eller en medlemsstat som reaktion på tilfælde af utilbørlig statslig adfærd i cyberspace, der har ført til en cybersikkerhedshændelse. For at vurdere trusselsniveauet bør Kommissionen tage hensyn til elementer som f.eks. eksisterende retsforskrifter i tredjelandet, som kræver, at enheder under dets jurisdiktion skal indberette oplysninger om sårbarheder i software eller hardware til myndighederne i det pågældende tredjeland, før det bliver kendt, at disse sårbarheder er blevet udnyttet. Et andet relevant element er manglen på effektive retsmidler og uafhængige og demokratiske kontrolmekanismer, der kan afhjælpe sikkerhedsproblemer, herunder med hensyn til eksisterende praksis, underbyggede oplysninger om hændelser, hvor trusselsaktører, der opererer fra det pågældende lands område, har udført ondsindede cyberaktiviteter eller -kampagner, og tredjelandets manglende evne eller vilje til at samarbejde med Kommissionen eller medlemsstaterne om at imødegå risikoen fra sådanne trusselsaktørers operationer. Kommissionen bør også tage hensyn til oplysninger fra koordinerede sikkerhedsrisikovurderinger på EU-plan eller rapporter fra medlemsstaterne eller internationale organisationer såsom NATO.

138)Med henblik på denne forordning bør begrebet kontrol forstås som evnen til at udøve afgørende indflydelse på en retlig enhed, direkte såvel som indirekte gennem en eller flere mellemliggende retlige enheder. Kontrol over enheder fra et tredjeland, der giver anledning til cybersikkerhedsproblemer, bør også fastslås i situationer, hvor enheden har ledelsesstrukturer i det pågældende land.

139)Unionen bør ikke finansiere projekter, der involverer højrisikoleverandører, da det ville bringe den sikkerhed i fare og underminere den interesser og troværdighed. Højrisikoleverandører, der er identificeret i henhold til nærværende forordning, bør derfor ikke have ret til at tage del i nogen af Unionens finansieringsprogrammer og -instrumenter, der gennemføres ved direkte og indirekte forvaltning i overensstemmelse med artikel 136 i forordning (EU/Eurotom) 2024/2509 og sektorspecifikke EU-regler, eller i nogen af Unionens finansieringsaktiviteter, der gennemføres ved delt forvaltning, herunder inden for den næste flerårige finansielle ramme, for så vidt angår levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i identificerede centrale IKT-aktiver. Unionens gennemførelsespartnere, som f.eks. Den Europæiske Investeringsbank-Gruppen og nationale erhvervsfremmende banker og pengeinstitutter bør afholde sig fra at støtte projekter, der er i modstrid med ovenstående, inklusive i transaktioner på egen risiko.

140)Offentlige udbud kan være et stærkt redskab for de offentlige myndigheder til at bidrage til en mere innovativ, bæredygtig og konkurrencedygtig økonomi og til at bruge offentlige midler på en strategisk måde. Offentlige indkøb vedrørende IKT-forsyningskæder bør ikke bruges til gavn for leverandører, der truer sikkerheden af Unionens kritiske infrastruktur. Højrisikoleverandører, der er identificeret i henhold til nærværende forordning, bør derfor ikke have ret til at tage del i offentlige udbud vedrørende levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i identificerede centrale IKT-aktiver.

141)Cybersikkerhedscertificering spiller en rolle med hensyn til at styrke den overordnede sikkerhed og imødegå cybertrusler og fungerer som benchmark hvad angår tillid. Denne tillid kan blive udhulet hvis attesteringer af cybersikkerhedsfærdigheder leveres af højrisikoleverandører, som derfor ikke bør have ret til at ansøge om at blive autoriseret udbyder af EU-attesteringer af individuelle cybersikkerhedsfærdigheder. På samme måde bør højrisikoleverandører udelukkes fra at opnå cybersikkerhedscertificering i henhold til den europæiske ramme for cybersikkerhedscertificering og fra at blive overensstemmelsesvurderingsorganer, der er akkrediteret til at udstede sådanne attester.

142)Cybersikkerhedsstandarder spiller en kritisk rolle for sikkerheden og pålideligheden af digital infrastrukturer. Det er nødvendigt at træffe passende foranstaltninger for at sikre standardisering på cybersikkerhedsområdet. Inddragelse af enheder, der er etableret i eller kontrolleres fra lande, som er blevet identificeret som lande, der giver anledning til cybersikkerhedsproblemer for IKT-forsyningskæder, i overensstemmelse med denne forordning, kan have indvirkning på cybersikkerhedsstandarderne på en måde, der underminerer deres sikkerhed og troværdighed.

143)På grundlag af resultaterne af sikkerhedsrisikovurderingerne kan Kommissionen ved hjælp af gennemførelsesretsakter udpege, hvilke IKT-aktiver der bør betragtes som centrale IKT-aktiver på grund af deres kritiske betydning og være omfattet af specifikke afbødende foranstaltninger. Alene et aktivs mulighed for konnektivitet bør være tilstrækkelig til at tage den cybersikkerhedsrisiko, de medfører, i betragtning.

144)I det omfang det er nødvendigt for at sikre et højt niveau af cybersikkerhed, cyberrobusthed og tillid i Unionen, kan de afbødende foranstaltninger anvendes på enheder i forbindelse med deres IKT-forsyningskæde og navnlig på identificerede centrale IKT-aktiver. De foreslåede afbødende foranstaltninger bør bygge på en vurdering af potentielle risici og afhængighedsforhold, herunder foranstaltningernes potentielle økonomiske og samfundsmæssige indvirkning på de berørte enheder, der opererer i meget kritiske eller andre kritiske sektorer, og navnlig SMV'er. Med hensyn til den økonomiske indvirkning bør der ses på omkostningerne ved gennemførelsen af de afbødende foranstaltninger, herunder varigheden af livscyklussen for de pågældende komponenter i de centrale IKT-aktiver, hvis foranstaltningerne omfatter udskiftning af leverandører. Tilgængeligheden af alternative leverandører på markedet bør også vurderes for at sikre tjenesternes fortsatte levering.

145)Da afbødende foranstaltninger potentielt kan have en restriktiv virkning på den internationale handel med varer og tjenesteydelser, bør de være forholdsmæssige og rettet mod at forfølge det legitime mål om at garantere IKT-forsyningskæders cybersikkerhed for så vidt angår enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, i overensstemmelse med Unionens internationale forpligtelser.

146)Anvendelse, installation eller enhver anden form for integration af komponenter, der leveres af højrisikoleverandører, i driften af centrale IKT-aktiver, kan være forbundet med risici for efterfølgende overførsler af data til et tredjeland. Navnlig kan der opstå risici som følge af et utilstrækkeligt niveau af beskyttelse for dataene i tredjelandet, f.eks. med hensyn til beskyttelse af grundlæggende rettigheder, intellektuel ejendomsret eller forretningshemmeligheder, eller ulovlig adgang til og udnyttelse af dataene med eventuelle fremtidige forstyrrelser i forsyningskæder og spionage for øje. For at afbøde sådanne risici kan der anvendes begrænsninger med hensyn til overførsel af specifikke typer data til tredjelande.

147)Store sårbarheder bunder i en mangel på mangfoldighed i det udstyr, der anvendes af enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Benyttes den samme leverandør for meget, skabes der en afhængighed af specifikt udstyr eller specifikke løsninger. Mangel på mangfoldighed blandt leverandørerne øger den kritiske infrastrukturs generelle sårbarhed, navnlig hvis enhederne indkøber de af deres IKT-komponenter, der anvendes i følsomme IKT-aktiver, fra en leverandør med en høj grad af risiko. Afhængighedsforhold påvirker også i væsentlig grad modstandsdygtigheden på nationalt plan og EU-plan og skaber enkeltfejlspunkter. For at afbøde sådanne risici kan der anvendes krav om at have mere end én leverandør af specifikke centrale IKT-aktiver.

148)EU-enheder kan også anvende centrale aktiver som defineret i denne forordning. Derfor bør de regler, der fastsættes i denne forordning vedrørende sikkerhed i IKT-forsyningskæder, også finde anvendelse på dem. For at sikre, at der tages hensyn til EU-enhedernes særlige karakter, er det vigtigt at tage ikketekniske risici i forbindelse med IKT-forsyningskæder for så vidt angår EU-enheder i betragtning, når der foretages koordinerede sikkerhedsrisikovurderinger på EU-plan.

149)I ekstraordinære tilfælde, der berettiger et øjeblikkeligt indgreb for at bevare et velfungerende indre marked, og hvor der foreligger klar dokumentation, der giver Kommissionen tilstrækkelig grund til at antage, at anvendelsen af IKT-komponenter fra en bestemt leverandør eller komponenter, der indeholder sådanne IKT-komponenter, udgør en væsentlig cybersikkerhedstrussel mod de økonomiske eller samfundsmæssige aktiviteter i mindst tre medlemsstater, kan Kommissionen i tæt samråd med medlemsstaterne foreslå at forbyde den type af enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, at anvende, installere eller integrere sådanne komponenter fra den pågældende leverandør.

150)For at sikre proportionaliteten af de foranstaltninger, der anvendes, kan enheder, der er etableret i et tredjeland, der giver anledning til cybersikkerhedsproblemer, som udpeget i overensstemmelse med denne forordning, eller som kontrolleres af et sådant tredjeland, af en enhed etableret i et sådant tredjeland eller af en statsborger i et sådant tredjeland, ansøge om at blive undtaget fra forbuddet mod at levere IKT-komponenter eller komponenter, der indeholder IKT-komponenter, til enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, til anvendelse, installation eller integration i den pågældende enheds centrale IKT-aktiver og mod at tage del i offentlige udbudsprocedurer, der er tilrettelagt i overensstemmelse med lovgivning til gennemførelse af Europa-Parlamentets og Rådets direktiv 2014/24/EU 67 og 2014/25/EU 68 for så vidt angår levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i identificerede centrale IKT-aktiver. Med henblik herpå bør enheden med tydeligt dokumentere, at den anvender effektive foranstaltninger til at imødegå de ikketekniske risici og sikre, at der ikke sker nogen utilbørlig indblanding fra et tredjeland, der giver anledning til cybersikkerhedsproblemer.

151)Elektronisk kommunikationsnet udgør rygraden i en lang række tjenester, som er afgørende for det indre markeds funktion og for opretholdelsen og driften af vitale samfundsmæssige og økonomiske funktioner – f.eks. energi, transport, bankvæsen, sundhed og forsvar samt industrielle kontrolsystemer. Disse meget kritiske net er derfor attraktive mål for alle typer cyberangreb og hybridtrusler, for afbrydelser, spionage, indsamling af efterretninger samt for svig og økonomisk kriminalitet. I NIS-samarbejdsgruppens risikovurdering af cybersikkerheden og modstandsdygtigheden af Europas kommunikationsinfrastrukturer og -net blev der konstateret en række risici og trusler af strategisk betydning ud fra et EU-perspektiv, f.eks. wiper/ransomware, angreb, angreb i forsyningskæder, netindtrængning og distributed denial-of-service-angreb (DDoS-angreb).

152)I betragtning af sammenkoblingen og den indbyrdes afhængighed mellem de forskellige nationale elektroniske kommunikationsnet er det nødvendigt, at alle medlemsstater træffer passende foranstaltninger til at garantere sikkerheden i deres net. Af samme grund er der behov for en effektiv retlig ramme på EU-plan, der også imødegår ikketekniske risici og garanterer sikkerheden i sammenkoblede elektroniske kommunikationsnet på en omfattende måde.

153)Cybersikkerheden i 5G-net er navnlig et spørgsmål af strategisk betydning for Unionen, da disse net udgør rygraden for en bred vifte af tjenester af afgørende betydning for det indre markeds funktion og også er afgørende for at opbygge EU's forsvarsberedskab, herunder i forbindelse med militær mobilitet. 5G-net kan give pålidelig og ultrahurtig konnektivitet, f.eks. til data- og informationsudveksling, detektion af droner og koordinering på slagmarker i realtid.

154)5G-udrulningen består primært i ikkeselvstændige net, hvor kun radioadgangsnettet opgraderes til 5G-teknologi, mens resten af nettet stadig er afhængigt af et eksisterende 4G-kernenet. Ikkeselvstændige 5G-net bygger primært på allerede eksisterende infrastruktur, hvilket betyder, at sikkerheden af fremtidige 5G-net til en vis grad bestemmes af det allerede eksisterende netudstyr og konfigurationen af det. Derfor bør afbødende foranstaltninger også omfatte 4G-net, som 5G-udrulningen er afhængig af.

155)Med henblik på at gøre noget ved store sikkerhedsudfordringer i 5G-net har medlemsstaterne i NIS-samarbejdsgruppen sammen med Kommissionen og ENISA gennemført en koordineret sikkerhedsrisikovurdering af 5G-net på EU-plan, hvor der blev set på både tekniske og ikketekniske risici. Vurderingen konstaterede flere risici, herunder potentiel indblanding fra tredjelande eller tredjelandsaktører via forsyningskæden, og kategoriserede aktiver efter deres kritiske betydning. Denne vurdering bør danne grundlag for fastlæggelsen af centrale IKT-aktiver for 5G-kommunikationsnet.

156)For at afbøde de risici, der er konstateret i den koordinerede sikkerhedsrisikovurdering af 5G-net på EU-plan, har NIS-samarbejdsgruppen vedtaget EU-værktøjskassen til 5G-cybersikkerhed, hvori der er fastsat strategiske og tekniske foranstaltninger. Selv om et flertal af medlemsstaterne har retlige rammer, der giver mulighed for at begrænse eller udelukke højrisikoleverandører som anbefalet i 5G-værktøjskassen, har gennemførelsen af disse rammer ikke været ensartet. Det resulterer i, at et betydeligt antal 5G-lokaliteter på tværs af Unionen forsynes af højrisikoleverandører som omhandlet i Kommissionens meddelelse om gennemførelsen af 5G-værktøjskassen 69 . Denne situation skaber sårbarheder, herunder strategisk afhængighed og potentiel eksponering for tredjelandes indblanding, som også kan påvirke fremtidig 6G-infrastruktur, der bygger på eksisterende 5G-net. Den fragmenterede gennemførelse af de anbefalede foranstaltninger i 5G-værktøjskassen, navnlig med hensyn til omfanget af restriktioner for højrisikoleverandører, har ført til forskelle mellem medlemsstaterne, hvilket giver ulige vilkår, der deler det indre marked og svækker den overordnede netsikkerhed. Den Europæiske Revisionsret har fremhævet disse forskelle og advaret om, at fraværet af en koordineret tilgang undergraver det indre markeds funktion. Vedvarende afhængighed af højrisikoleverandører udgør en alvorlig risiko for sikkerheden af kritisk infrastruktur i Unionen og kan undergrave tilliden til det indre marked, da inkonsekvente sikkerhedsniveauer kan afskrække forbrugere og virksomheder fra at benytte 5G-baserede produkter og tjeneste i hele Unionen. Det er derfor afgørende med foranstaltninger på EU-plan for at sikre en harmoniseret tilgang til sikkerheden af 5G-net.

157)Med henblik på at fastsætte en udfasningsperiode for centrale IKT-aktiver i faste elektroniske kommunikationsnet og satellitkommunikationsnet bør Kommissionen foretage en vurdering under behørig hensyntagen til graden af de sikkerhedsrisici, der er forbundet med de enkelte specifikke centrale IKT-aktiver i faste net og satellitnet, de relevante komponenters levetid og de økonomiske konsekvenser, som det vil have for de berørte operatører at fjerne disse komponenter. På grundlag af resultaterne af denne vurdering kan Kommissionen overveje at indføre forskellige udfasningsperioder for specifikke centrale IKT-aktiver og deres integrerende elementer.

158)Med henblik på effektivt tilsyn med og håndhævelse af forpligtelserne vedrørende udbydere af elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet bør de relevante kompetente myndigheder i henhold til nærværende forordning sikre et tæt samarbejde med de kompetente myndigheder i henhold til [forslaget til forordning om digitale net (DNA)]. Efter anmodning fra en kompetent myndighed, der er udpeget i henhold til nærværende forordning, bør de nationale regulerende myndigheder eller andre kompetente myndigheder for så vidt angår radiospektret, i det omfang det er relevant, trække de rettigheder, der er omhandlet i artikel 9 og artikel 20 i [forslaget til forordning om digitale net (DNA)] tilbage, hvis udbyderen af offentlige elektroniske kommunikationsnet ikke opfylder forpligtelserne i henhold til nærværende forordning, herunder hvis udbyderen ikke udfaser IKT-komponenter fra højrisikoleverandører eller komponenter, der indeholder sådanne IKT-komponenter, fra driften af centrale IKT-aktiver inden for den periode, der er fastsat i overensstemmelse med nærværende forordning.

159)I betragtning af forskellene i de nationale styringsstrukturer bør medlemsstaterne udpege eller oprette en eller flere kompetente myndigheder med ansvar for tilsyns- og håndhævelsesforanstaltningerne i henhold til denne forordning.

160)De kompetente myndigheder bør yde støtte til enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, med henblik på overholdelse af deres forpligtelser i henhold til denne forordning. Med henblik herpå bør Kommissionen vurdere, om leverandører, der kan blive berørt af specifikke forbud, er etableret i et tredjeland, der giver anledning til cybersikkerhedsproblemer, eller kontrolleres af et sådant tredjeland eller af en enhed etableret i et sådant tredjeland eller af en statsborger fra et sådant tredjeland. De kompetente myndigheder bør arbejde tæt sammen med Kommissionen og andre kompetente myndigheder inden for det netværk, der oprettes i henhold til denne forordning. På grundlag af Kommissionens vurdering bør de kompetente myndigheder dele relevante oplysninger om højrisikoleverandører med relevante enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Enhederne forventes ikke at verificere, om en leverandør er under udenlandsk kontrol, men kan fuldt ud forlade sig på oplysningerne fra de kompetente myndigheder. De kompetente myndigheder bør sikre, at enhederne ikke pålægges unødvendige administrative byrder.

161)For at sikre effektiv overholdelse bør denne forordning indeholde bestemmelser om tilsyns- og håndhævelsesforanstaltninger, hvormed de kompetente myndigheder kan føre tilsyn med enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Når de kompetente myndigheder udfører deres tilsyns- og håndhævelsesopgaver over for disse enheder, bør de ikke gå videre end, hvad der er nødvendigt og står i et rimeligt forhold til de konstaterede risici.

162)For at gøre håndhævelsen effektiv og konsekvent i hele Unionen er det nødvendigt at fastsætte håndhævelsesbeføjelser, som de kompetente myndigheder kan udøve i tilfælde af overtrædelse af de forpligtelser, der er fastsat i denne forordning. Når de kompetente myndigheder udøver disse håndhævelsesbeføjelser, bør de tage behørigt hensyn en række faktorer, herunder overtrædelsens art, grovhed og varighed, den forvoldte materielle eller immaterielle skade, hvorvidt overtrædelsen var forsætlig eller uagtsom, tiltag truffet for at forebygge eller afbøde den materielle eller immaterielle skade, graden af ansvar eller eventuelle relevante tidligere overtrædelser, graden af samarbejde med den kompetente myndighed og enhver anden skærpende eller formildende omstændighed. Håndhævelsesforanstaltningerne, herunder sanktioner, bør være forholdsmæssige, og pålæggelsen heraf bør være underlagt passende proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og Den Europæiske Unions charter om grundlæggende rettigheder, herunder adgangen til effektive retsmidler og retten til en retfærdig rettergang, uskyldsformodningen og retten til et forsvar.

163)Det er også vigtigt at fastsætte beføjelser til at pålægge tvangsbøder for at tvinge en enhed af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, til at bringe en overtrædelse af denne forordning til ophør i overensstemmelse med en forudgående afgørelse truffet af den kompetente myndighed.

164) For at sikre en effektiv håndhævelse af de forpligtelser, der fastsættes i denne forordning, bør hver kompetent myndighed have beføjelse til at pålægge eller anmode om pålæggelse af sanktioner.

165)Med henblik på at pålægge en enhed af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, og som er en virksomhed, sanktioner, bør en virksomhed forstås som en virksomhed i overensstemmelse med artikel 101 og 102 i TEUF. Når en bøde pålægges en person, der ikke er en virksomhed, bør den kompetente myndighed ved fastsættelsen af en passende sanktionsstørrelse tage hensyn til det generelle indkomstniveau i den pågældende medlemsstat og personens økonomiske stilling. Det bør derfor være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges sanktioner. Pålæggelse af en sanktion bør ikke berøre anvendelsen af andre af de kompetente myndigheders beføjelser.

166)For at sikre ensartede betingelser for gennemførelsen af nærværende forordning bør Kommissionen tillægges gennemførelsesbeføjelser for så vidt angår vedtagelse af gennemførelsesretsakter, der fastsætter detaljerede regler vedrørende gebyrer, der opkræves af ENISA, gennemførelsesretsakter, der fastsætter en europæisk cybersikkerhedscertificeringsordning for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, gennemførelsesretsakter, der fastsætter fælles principper og referencebestemmelser med henblik på elementer i alle europæiske cybersikkerhedscertificeringsordninger, gennemførelsesretsakter, der præciserer procedurerne for modeller for forudgående godkendelse eller generel delegering, gennemførelsesretsakter om anerkendelse af et tredjelands eller en international organisations cybersikkerhedsattester som svarende til europæiske cybersikkerhedsattester, gennemførelsesretsakter, der fastlægger en plan for peerreview, gennemførelsesretsakter, der fastsætter procedurer, herunder for grænseoverskridende samarbejde, for godkendelse af overensstemmelsesvurderingsorganer, gennemførelsesretsakter, der fastsætter vilkår, formater og procedurer for anmeldelse af overensstemmelsesvurderingsorganer, gennemførelsesretsakter, der udpeger et tredjeland som et land, der giver anledning til cybersikkerhedsproblemer for IKT-forsyningskæder, gennemførelsesretsakter, der identificerer centrale IKT-aktiver, som anvendes til fremstilling af produkter eller levering af tjenester af enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, gennemførelsesretsakter, der fastsætter, at enheder, der opererer i sektorer af særligt kritisk betydning og andre kritiske sektorer, er omfattet af specifikke afbødende foranstaltninger, og som specificerer perioderne for udfasning af IKT-komponenter, der leveres af højrisikoleverandører, eller komponenter, der indeholder sådanne IKT-komponenter, gennemførelsesretsakter, der yderligere præciserer betingelserne for undtagelse af enheder, der er etableret i eller kontrolleres af enheder fra et tredjeland, der giver anledning til cybersikkerhedsproblemer, samt for så vidt angår vedtagelse af gennemførelsesretsakter, der fastsætter detaljerede regler vedrørende gebyrer, som opkræves af Kommissionen. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011, og undersøgelsesproceduren bør anvendes. For at sikre ensartede betingelser for gennemførelsen af nærværende forordning bør Kommissionen også tillægges gennemførelsesbeføjelser for så vidt angår opstilling af en liste over højrisikoleverandører, der er relevante for visse bestemmelser i nærværende forordning.

167)Det er nødvendigt, at de europæiske cybersikkerhedscertificeringsordninger afspejler den seneste teknologiske udvikling, nye relaterede trusler og vedtagelsen af ny EU-lovgivning, der fastsætter bestemmelser om påvisning af overholdelse af og formodning om overensstemmelse med de relevante cybersikkerhedskrav i denne lovgivning gennem europæisk cybersikkerhedscertificering. Af disse grunde bør beføjelsen til at vedtage retsakter i overensstemmelse med artikel 290 i TEUF delegeres til Kommissionen med henblik på at tilføje eller ændre de sikkerhedsmålsætninger, som de europæiske cybersikkerhedscertificeringsordninger forfølger. Af hensyn til en pålidelig ramme for IKT-forsyningskæder bør beføjelsen til at vedtage retsakter i overensstemmelse med artikel 290 i TEUF ligeledes delegeres til Kommissionen med henblik på at ændre bilag II til denne forordning for at tilpasse det til den teknologiske udvikling. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. For at sikre lige deltagelse i forberedelsen af delegerede retsakter bør Europa-Parlamentet og Rådet navnlig modtage alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter bør have systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.

168)Der bør foretages regelmæssig og uafhængig evaluering af ENISA's arbejde. Evalueringen bør tage hensyn til ENISA's mål og til, om dets opgaver er relevante, navnlig dets opgaver vedrørende operationelt samarbejde på EU-plan. I tilfælde af en revision bør Kommissionen vurdere, hvordan ENISA's rolle som referencepunkt for rådgivning og ekspertise kan styrkes.

169)Ved Kommissionens gennemførelsesforordning (EU) 2024/482 er der fastsat regler for vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC). EUCC er den første og eneste europæiske cybersikkerhedscertificeringsordning, der er vedtaget i henhold til forordning (EU) 2019/881. Den vedrører certificering af IKT-produkter, herunder produkter, der hører under de tekniske områder "smartcards og lignende enheder" og "hardwareenheder med sikkerhedsbokse" samt beskyttelsesprofiler (som IKT-processer). Det er derfor nødvendigt at sikre videreførelsen af certificeringsaktiviteterne og agenturets aktiviteter.

170)Den Europæiske Tilsynsførende for Databeskyttelse og Det Europæiske Databeskyttelsesråd er blevet hørt i overensstemmelse med artikel 42, stk. 2, i forordning (EU) 2018/1725 70 og afgav en fælles udtalelse den [dato].

171)Forordning (EU) 2019/881 bør ophæves.

172)Målene for denne forordning kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af deres omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål –

VEDTAGET DENNE FORORDNING:

AFSNIT I 
ALMINDELIGE BESTEMMELSER

Artikel 1
Genstand og anvendelsesområde

1.Ved denne forordning fastsættes:

a)mission, mål, opgaver og organisatoriske forhold vedrørende Den Europæiske Unions Agentur for Cybersikkerhed (ENISA)

b)en ramme for etablering af europæiske cybersikkerhedscertificeringsordninger, der har til formål at sikre et tilstrækkeligt cybersikkerhedsniveau for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand i Unionen, og med det formål at undgå fragmentering af det indre marked med hensyn til cybersikkerhedscertificeringsordninger i Unionen

c)en pålidelig ramme for IKT-forsyningskæden.

2.Den ramme, der er omhandlet i stk. 1, litra b), finder anvendelse, uden at det berører specifikke bestemmelser i andre EU-retsakter vedrørende frivillig eller obligatorisk certificering.

3.Den ramme, der er omhandlet i første afsnit, litra c), finder anvendelse på offentlige eller private enheder af en type omhandlet i bilag I eller II til direktiv (EU) 2022/2555, som leverer tjenester eller udfører aktiviteter i Unionen.

4.Denne forordning berører ikke medlemsstaternes væsentlige statslige funktioner, herunder sikring af statens territoriale integritet, opretholdelse af lov og orden og beskyttelse af den nationale sikkerhed. Navnlig forbliver den nationale sikkerhed den enkelte medlemsstats eneansvar.

Artikel 2
Definitioner

I denne forordning forstås ved:

1)"cybersikkerhed": de aktiviteter, der er nødvendige for at beskytte net- og informationssystemer, brugerne af sådanne systemer og andre personer berørt af cybertrusler

2)"EU-enheder": EU-enheder som defineret i artikel 3, nr. 1), i forordning (EU, Euratom) 2023/2841

3)"autoriseret attesteringsudbyder": en offentlig eller privat enhed, for hvilken ENISA har vedtaget en afgørelse om autorisation af den pågældende enhed til at tildele europæiske attesteringer af individuelle cybersikkerhedsfærdigheder som fastsat i en europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder

4)"europæisk attestering af individuelle cybersikkerhedsfærdigheder": en fortegnelse i digital eller fysisk form, der attesterer, at en person har kendskab til, forstår og er i stand til at udføre de opgaver, der er knyttet til en rolleprofil eller en del af en rolleprofil i den europæiske ramme for cybersikkerhedsfærdigheder ("ECSF"), efter en vurdering som fastsat i en europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder

5)"europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder": et omfattende sæt regler, krav, standarder og procedurer, der er fastsat af ENISA og knyttet til en rolleprofil i ECSF eller en del heraf, og som finder anvendelse på og anvendes af autoriserede attesteringsudbydere

6)"net- og informationssystem": et net- og informationssystem som defineret i artikel 6, nr. 1), i direktiv (EU) 2022/2555

7)"national cybersikkerhedsstrategi": en national cybersikkerhedsstrategi som defineret i artikel 6, nr. 4), i direktiv (EU) 2022/2555

8)"hændelse": en hændelse som defineret i artikel 6, nr. 6), i direktiv (EU) 2022/2555

9)"omfattende cybersikkerhedshændelse": en omfattende cybersikkerhedshændelse som defineret i artikel 6, nr. 7), i direktiv (EU) 2022/2555

10)"håndtering af hændelser": håndtering af hændelser som defineret i artikel 6, nr. 8), i direktiv (EU) 2022/2555

11)"cybertrussel": enhver potentiel omstændighed, begivenhed eller handling, som kan skade, forstyrre eller på anden måde have en negativ indvirkning på net- og informationssystemer, brugerne af sådanne systemer og andre personer

12)"europæisk cybersikkerhedscertificeringsordning": et sammenhængende sæt regler, tekniske krav, standarder og procedurer, der er fastsat på EU-plan, og som finder anvendelse på certificeringen eller overensstemmelsesvurderingen af specifikke IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand

13)"national cybersikkerhedscertificeringsordning": et sammenhængende sæt regler, tekniske krav, standarder og procedurer, der er udviklet og vedtaget af en national offentlig myndighed, og som finder anvendelse på certificeringen eller overensstemmelsesvurderingen af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand som omfattet af den pågældende ordning

14)"europæisk cybersikkerhedsattest": et dokument udstedt af et relevant organ, som attesterer, at et givet IKT-produkt, en given IKT-tjeneste eller IKT-proces eller administrerede sikkerhedstjenester eller en enheds cybersikkerhedstilstand er blevet evalueret med henblik på overensstemmelse med specifikke sikkerhedskrav fastsat i en europæisk cybersikkerhedscertificeringsordning

15)"EU-overensstemmelseserklæring": et dokument udstedt af en producent eller udbyder af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller af en enhed, hvis cybersikkerhedstilstand er genstand for certificering, hvoraf det fremgår, at opfyldelsen af de krav, der svarer til tillidsniveauet "grundlæggende", som fastsat i den europæiske cybersikkerhedscertificeringsordning, er blevet påvist ved selvvurdering af overensstemmelse

16)"IKT-produkt": et element eller en gruppe af elementer i et net eller et informationssystem

17)"IKT-tjeneste": en tjeneste, der helt eller hovedsagelig består i overførsel, lagring, indhentning eller behandling af oplysninger ved hjælp af net- og informationssystemer

18)"IKT-proces": et sæt aktiviteter, der udføres for at udforme, udvikle, levere eller vedligeholde et IKT-produkt eller en IKT-tjeneste

19)"administreret sikkerhedstjeneste": en tjeneste ydet til en tredjepart bestående i at udføre eller yde bistand til aktiviteter vedrørende styring af cybersikkerhedsrisici, såsom håndtering af hændelser, penetrationstest, sikkerhedsrevisioner og konsulentbistand, herunder ekspertrådgivning vedrørende teknisk støtte

20)"akkreditering": akkreditering som defineret i artikel 2, nr. 10), i forordning (EF) nr. 765/2008

21)"nationalt akkrediteringsorgan": et nationalt akkrediteringsorgan som defineret i artikel 2, nr. 11), i forordning (EF) nr. 765/2008

22)"overensstemmelsesvurdering": en overensstemmelsesvurdering som defineret i artikel 2, nr. 12), i forordning (EF) nr. 765/2008

23)"overensstemmelsesvurderingsorgan": et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008

24)"standard": en standard som defineret i artikel 2, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 71

25)"teknisk specifikation": en teknisk specifikation som defineret i artikel 2, nr. 4), i forordning (EU) nr. 1025/2012

26)"harmoniseret standard": en harmoniseret standard som defineret i artikel 2, nr. 1), litra c), i forordning (EU) nr. 1025/2012

27)"tillidsniveau": et grundlag for tillid til, at et IKT-produkt, en IKT-tjeneste, en IKT-proces, administrerede sikkerhedstjenester eller en enheds cybersikkerhedstilstand opfylder sikkerhedskravene i en bestemt europæisk cybersikkerhedscertificeringsordning, og en angivelse af, på hvilket niveau et IKT-produkt, en IKT-tjeneste, en IKT-proces, administrerede sikkerhedstjenester eller en enheds cybersikkerhedstilstand er blevet evalueret, uden som sådan at være et mål af sikkerheden af IKT-produktet, IKT-tjenesten, IKT-processen, de administrerede sikkerhedstjenester eller enhedens cybersikkerhedstilstand

28)"selvvurdering af overensstemmelse": en handling foretaget af en producent eller udbyder af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller en enhed, hvis cybersikkerhedstilstand er genstand for certificering, og som evaluerer, hvorvidt IKT-produkterne, IKT-tjenesterne, IKT-processerne, de administrerede sikkerhedstjenester eller enhedens cybersikkerhedstilstand opfylder kravene i en specifik europæisk cybersikkerhedscertificeringsordning

29)"enheders cybersikkerhedstilstand": enheders cybersikkerhedsniveau med hensyn til de specifikke sikkerhedskrav

30)"model for forudgående godkendelse": en model, hvor et overensstemmelsesvurderingsorgan kan udstede en europæisk cybersikkerhedsattest på grundlag af en national cybersikkerhedscertificeringsmyndigheds vurdering i forbindelse med en specifik certificeringsproces under en relevant ordning

31)"model for generel delegering": en model, hvor et overensstemmelsesvurderingsorgan kan udstede en europæisk cybersikkerhedsattest på grundlag af en national cybersikkerhedscertificeringsmyndigheds delegering af certificeringsaktiviteter

32)"enhed, der håndterer IT-sikkerhedshændelser" eller "CSIRT": en CSIRT som udpeget eller oprettet i henhold til artikel 10 i direktiv (EU) 2022/2555

33)"IKT-komponenter": IKT-produkter, IKT-tjenester eller IKT-processer, der kan bruges i driften af IKT-aktiver

34)"IKT-aktiver": software- eller hardwareaktiver i de net- og informationssystemer, der anvendes af en enhed af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555

35)"centrale IKT-aktiver": IKT-aktiver, der er identificeret i overensstemmelse med artikel 102

36)"elektronisk kommunikationsnet": et elektronisk kommunikationsnet som defineret i artikel 2, nr. 1), i forordning (EU) XX/XXXX [forslaget til forordning om digitale net (DNA)]

37)"kontrol": muligheden for direkte, eller indirekte gennem en eller flere mellemliggende retlige enheder, at udøve afgørende indflydelse på en retlig enhed

38)"etablering": den faktiske udøvelse af virksomhed gennem faste ordninger i det land, hvor enheden har sit hovedkontor eller hovedforretningssted

39)"højrisikoleverandør": et af følgende:

a)en enhed, der er etableret i et tredjeland, der giver anledning til cybersikkerhedsproblemer, og som er udpeget i overensstemmelse med artikel 100, eller kontrolleres af et sådant tredjeland, af en enhed etableret i et sådant tredjeland eller af en statsborger fra et sådant tredjeland

b)en enhed, der er udpeget i overensstemmelse med artikel 103, stk. 7, og enheder, som kontrolleres af denne enhed

40)"IKT-forsyningskæde": en mængde IKT-tjenester, IKT-produkter og IKT-processer, der omfatter aktiviteter og aktører, der er involveret i alle faser opstrøms for et produkt, der gøres tilgængeligt på markedet, eller en tjeneste, der leveres på markedet

41)"tredjeland": et tredjeland som defineret i artikel 3, nr. 4), i Europa-Parlamentets og Rådets forordning (EU) 2023/2675 72

42)"ikketeknisk risiko": sandsynligheden for, at leverandøren udsættes for påvirkning af et tredjeland, der kan forårsage tab eller forstyrrelse af den tjeneste, der leveres, eller kompromittere det produkt, som en enhed producerer, eller føre til eksfiltrering af data, herunder med henblik på spionage eller økonomisk fortjeneste

43)"væsentlig ikketeknisk cybersikkerhedsrisiko": en ikketeknisk cybersikkerhedsrisiko, som kan antages at have stor sandsynlighed for at forårsage en hændelse, der kan have en alvorlig negativ indvirkning, herunder ved at forårsage betydelige materielle eller immaterielle tab eller forstyrrelser

44)"kernenetfunktioner i elektroniske mobilkommunikationsnet": det centrale arkitekturelement i de elektroniske mobilkommunikationsnet, der forbinder store netknudepunkter med internettet og forvalter væsentlige systemfunktioner, som omfatter autentifikation af brugerudstyr, lovlige aflytningsfunktioner (LI-funktioner), sikkerhedsgateways (SeGW) i nettets periferi, signalsikkerhedsfunktioner, roaming og sessionsstyring, transport af bruger- og kontrolplansdata, forvaltning af adgangspolitik, registrering og godkendelse af nettjenester, lagring af slutbruger- og netdata, kritiske nettjenester, herunder domænenavnesystemer (DNS), sammenkobling med tredjeparters mobilnet, eksponering af kernenetfunktioner for eksterne applikationer samt udvælgelse og forvaltning af netopdelinger

45)"netfunktionsvirtualisering (NFV) i og forvaltning og netorganisering (MANO) af elektroniske mobilkommunikationsnet": den software- og arkitekturramme, der sikrer livscyklusstyring, organisering og automatisering af virtualiserede netfunktioner (VNF'er), cloud-native netfunktioner (CNF'er) og udvælgelse og forvaltning af netopdelinger inden for elektroniske mobilkommunikationsnet

46)"radio access network (RAN) i elektroniske mobilkommunikationsnet": det net, der forbinder mobilt brugerudstyr med kernenettet, herunder basisstationer (eNodeB for 4G og gNodeB for 5G), remote radio heads (RRH) og basisbåndenheder (BBU), aktive antennesystemer (AAS) og, hvor det er relevant, disaggregerede RAN-komponenter såsom centraliserede enheder (CU) og distribuerede enheder (DU) og den intelligente RAN-controller (RIC)

47)"kernenetfunktioner i faste elektroniske kommunikationsnet": nettets backbone-intelligens, som forbinder de store knudepunkter og håndterer en række væsentlige funktioner, herunder brugerautentifikation og -godkendelse (AAA), lovlige aflytningsfunktioner (LI-funktioner), domænenavnesystemer (DNS) og IP-adressetjenester (DHCP), forvaltning af adgangspolitik, lagring af slutbruger- og netdata, IP-kobling og -routing og internationale internetgateways (IIG)

48)"netstyringssystem i faste elektroniske kommunikationsnet": alle centraliserede platforme og softwarekomponenter, der er nødvendige for drift, administration, vedligeholdelse og levering (OAMP) af nettet og overvågningen af netrelaterede oplysninger

49)"transport- og transmissionsfunktioner i faste elektroniske kommunikationsnet": alle komponenter, der er nødvendige for backhaul og aggregering af trafik på tværs af nettet, herunder optisk transportudstyr, mikrobølgeforbindelser og undersøiske kabelsystemer, hvilket omfatter undervandsudstyr samt undersøisk linjetermineringsudstyr (SLTE) og fysiske landingsstationsanlæg

50)"adgangsnet i faste elektroniske kommunikationsnet": det net, der forbinder slutbrugerlokaliteter med aggregerings- eller kernenettet, herunder optisk linjeterminering (OLT) og optisk netterminering (ONT) for fibernet, koaksialkabelmodemtermineringssystemer (CMTS) og kabelmodemmer for koaksialkabelnet og faste trådløse adgangskomponenter, når de anvendes som erstatning for faste linjer.

AFSNIT II 
DEN EUROPÆISKE UNIONS AGENTUR FOR CYBERSIKKERHED

Kapitel I 
Mission og formål

Artikel 3
ENISA's mission

1.ENISA's mission er at støtte medlemsstaterne og EU-enheder i at opnå et højt niveau af cybersikkerhed, cyberrobusthed og tillid i Unionen.

2.ENISA fungerer som et referencepunkt for rådgivning om og ekspertise i cybersikkerhed for medlemsstaterne samt for andre interessenter i Unionen.

3.ENISA bidrager til at mindske fragmenteringen af det indre marked ved at udføre de opgaver, det tillægges i henhold til denne forordning.

4.ENISA udfører de opgaver, det pålægges ved EU-retsakter.

5.ENISA udvikler sine egne nødvendige kapaciteter, herunder teknisk og menneskelig kapacitet og færdigheder, for at udføre de opgaver, det har fået tillagt i henhold til denne forordning.

Artikel 4
ENISA's formål

1.ENISA fungerer som et ekspertisecenter for cybersikkerhed i kraft af sin uafhængighed, den videnskabelige og tekniske kvalitet af den rådgivning og bistand og de bidrag, det yder, de oplysninger, det leverer, den gennemsigtighed, der er forbundet med dets procedurer, dets driftsmetoder og dets omhu ved udførelsen af sine opgaver.

2.ENISA bistår medlemsstaterne og, hvor det er relevant, EU-enheder med at gennemføre horisontale og sektorspecifikke EU-politikker og -lovgivning vedrørende cybersikkerhed, herunder markedsovervågningsaktiviteter.

3.ENISA stiller sin ekspertise til rådighed og bistår Kommissionen med at udvikle EU-politikker og -lovgivning vedrørende cybersikkerhed.

4.ENISA støtter kapacitetsopbygning og beredskab i hele Unionen ved at bistå medlemsstaterne, EU-enheder gennem Cybersikkerhedstjenesten for Unionens Institutioner, Organer, Kontorer og Agenturer (CERT-EU), jf. kapitel IV i forordning (EU, Euratom) 2023/2841, og offentlige og private interessenter med at øge beskyttelsen af deres net- og informationssystemer og udvikle og forbedre deres cyberrobusthed og reaktionskapacitet.

5.ENISA bidrager til at gennemføre akademiet for cybersikkerhedsfærdigheder og øge arbejdsstyrken inden for cybersikkerhed i Unionen ved at støtte bestræbelserne på at udvikle færdighedsportabilitet i hele Unionen, herunder gennem vedligeholdelse og udbredelse af ECSF og udvikling, vedligeholdelse og udbredelse af europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder i overensstemmelse med dette afsnits kapitel II, afdeling 4, og ved at sikre udbud af uddannelse i overensstemmelse med artikel 6, stk. 8.

6.ENISA fremmer samarbejde, herunder informationsudveksling og koordinering på EU-plan, mellem medlemsstaterne, EU-enheder i overensstemmelse med forordning (EU, Euratom) 2023/2841 og relevante private og offentlige interessenter for så vidt angår spørgsmål vedrørende cybersikkerhed.

7.ENISA bidrager til øget cybersikkerhedskapacitet på EU-plan for at støtte medlemsstaternes tiltag til at forebygge og reagere på cybertrusler.

8.ENISA støtter operationelt samarbejde på EU-plan, herunder ved at bidrage til en fælles situationsbevidsthed om cybertrussels- og -hændelsesbilledet blandt medlemsstaterne og, i samarbejde med CERT-EU, blandt EU-enheder.

9.ENISA arbejder tæt sammen med Europol, CSIRT'er og andre relevante nationale myndigheder for at forbedre cybersikkerhedsberedskabet over for og reaktionen på ransomwarehændelser.

10.ENISA bidrager til etableringen og vedligeholdelsen af en europæisk ramme for cybersikkerhedscertificering i overensstemmelse med denne forordnings afsnit III. ENISA fremmer brugen af europæisk cybersikkerhedscertificering med henblik på at undgå fragmentering af det indre marked.

11.ENISA bidrager til harmoniseringen af det digitale indre marked ved at deltage i standardiseringsarbejde, der er relevant for EU-politikker vedrørende cybersikkerhed, og ved at udarbejde tekniske specifikationer.

12.ENISA fremmer en høj grad af cybersikkerhedsbevidsthed blandt organisationer og virksomheder.

Kapitel II 
Opgaver

Afdeling 1 
Støtte til gennemførelse af Unionens politikker og lovgivning

Artikel 5
Støtte til gennemførelse af Unionens politikker og lovgivning

1.ENISA bidrager til at gennemføre Unionens politikker og lovgivning ved:

a)at bistå medlemsstaterne med at gennemføre Unionens politikker og lovgivning vedrørende cybersikkerhed på konsekvent vis, herunder ved at udstede teknisk vejledning og rapporter, yde rådgivning og dele bedste praksis og ved at facilitere udvekslingen af bedste praksis mellem de kompetente myndigheder i denne henseende

b)at støtte informationsudveksling i og mellem sektorer, navnlig for så vidt angår de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, og produkter med digitale elementer, der er omfattet af forordning (EU) 2024/2847, ved at stille bedste praksis til rådighed og give vejledning om tilgængelige værktøjer og procedurer

c)på Kommissionens anmodning at bistå medlemsstaterne ved at yde støtte såsom teknisk vejledning, herunder om foranstaltninger til styring af cybersikkerhedsrisici, værktøjer til modenhedsvurdering af cybersikkerheden og drejebøger for reaktion på hændelser, der er skræddersyet til de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, eller støtte til gennemførelsen af principper om indbygget sikkerhed for produkter med digitale elementer i overensstemmelse med forordning (EU) 2024/2847 med henblik på at fremme forbedringen af cybersikkerhedsmodenhedsniveauerne og overholdelsen af EU-lovgivningen vedrørende cybersikkerhed

d)at bidrage til arbejdet i den samarbejdsgruppe, der er nedsat i henhold til artikel 14, stk. 1, i direktiv (EU) 2022/2555 ("NIS-samarbejdsgruppen"), Den Europæiske Samarbejdsgruppe for Digital Identitet, som er nedsat i henhold til artikel 46e, stk. 1, i forordning (EU) nr. 910/2014, Den Europæiske Cybersikkerhedscertificeringsgruppe ("ECCG") som omhandlet i nærværende forordnings artikel 90 og den administrative samarbejdsgruppe (ADCO), der er oprettet i henhold til artikel 52, stk. 15, i forordning (EU) 2024/2847

e)at bistå medlemsstaterne og relevante EU-enheder med at udvikle og fremme cybersikkerhedspolitikker, der er forbundet med at understøtte den generelle tilgængelighed og integritet af den offentligt tilgængelige kerne af det åbne internet

f)i overensstemmelse med forordning (EU) 2024/2847 at yde teknisk rådgivning og støtte til medlemsstaterne og Kommissionen i spørgsmål vedrørende gennemførelsen af nævnte forordning

g)at bistå medlemsstaterne med at yde gensidig bistand og med at facilitere sådanne samarbejdsprocesser for væsentlige og vigtige enheder, jf. [artikel 37a i direktiv (EU) 2022/2555]

h)efter anmodning fra Det Europæiske Databeskyttelsesråd at yde rådgivning om gennemførelsen af specifikke cybersikkerhedsaspekter af Unionens politikker og lovgivning vedrørende databeskyttelse og privatlivets fred.

2.ENISA bidrager til koordinerede cybersikkerhedsrisikovurderinger på EU-plan, herunder dem, der foretages i henhold til artikel 22 i direktiv (EU) 2022/2555.

3.ENISA udsteder retningslinjer for interoperabiliteten af net- og informationssystemer, der anvendes til informationsudveksling, herunder med hensyn til grænseoverskridende cyberknudepunkter som omhandlet i artikel 6, stk. 3, i forordning (EU) 2025/38.

4.ENISA er medlem af NIS-samarbejdsgruppen, jf. artikel 14, stk. 3, i direktiv (EU) 2022/2555.

5.På Kommissionens anmodning yder ENISA ekspertise og teknisk rådgivning, stiller oplysninger eller analyser til rådighed eller udfører forberedende arbejde med hensyn til specifikke cybersikkerhedsspørgsmål som input til Kommissionens politikudformning og overvågning af gennemførelsen af EU-lovgivningen.

Artikel 6
Kapacitetsopbygning

ENISA bistår:

1)medlemsstaterne i deres bestræbelser på at forbedre forebyggelse, opdagelse og analyse af og kapaciteten til at reagere på cybertrusler og -hændelser ved at stille viden og ekspertise til rådighed for dem

2)medlemsstaterne på deres anmodning med at etablere og gennemføre politikker for offentliggørelse af sårbarheder på frivillig basis

3)i overensstemmelse med forordning (EU, Euratom) 2023/2841 CERT-EU og Det Interinstitutionelle Råd for Cybersikkerhed i deres bestræbelser på at støtte EU-enheder i at styrke deres cybersikkerhed, forbedre forebyggelsen, opdagelsen og analysen af cybertrusler og -hændelser samt forbedre deres kapacitet til at reagere på sådanne cybertrusler og -hændelser

4)medlemsstaterne med udviklingen af nationale CSIRT'er, når der anmodes herom i henhold til artikel 10, stk. 10, i direktiv (EU) 2022/2555

5)medlemsstaterne med udviklingen eller ajourføringen af en national cybersikkerhedsstrategi og centrale præstationsindikatorer for vurdering af en sådan strategi, når der anmodes herom i henhold til artikel 7, stk. 4, i direktiv (EU) 2022/2555, og fremmer deres udbredelse og noterer fremskridtene med hensyn til deres gennemførelse i hele Unionen med henblik på at fremme bedste praksis

6)Unionens institutioner på deres anmodning med udviklingen og revisionen af Unionens strategier vedrørende cybersikkerhed og fremmer deres udbredelse og følger fremskridtene med hensyn til deres gennemførelse

7)de nationale CSIRT'er i deres kapacitetsudbygning, herunder ved at fremme dialog og udveksling af oplysninger for at sikre, at hver CSIRT har et fælles sæt af minimumskapaciteter med hensyn til det aktuelle tekniske niveau og opererer i overensstemmelse med bedste praksis

8)medlemsstaterne, EU-enheder og offentlige og private interessenter i deres bestræbelser på at vurdere, øge og styrke arbejdsstyrken inden for cybersikkerhed, herunder ved at udvikle, vedligeholde og fremme udbredelsen af relevante værktøjer såsom ECSF og europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder i overensstemmelse med dette kapitels afdeling 4

9)relevante offentlige organer og private interessenter ved at afholde målrettede kurser, hvor det er relevant i samarbejde med interessenter

10)NIS-samarbejdsgruppen i udvekslingen af bedste praksis og oplysninger, navnlig i forbindelse med gennemførelsen af direktiv (EU) 2022/2555 i henhold til nævnte direktivs artikel 14, stk. 4, litra c)

11)de markedsovervågningsmyndigheder, der er udpeget i henhold til forordning (EU) 2024/2847, i deres aktiviteter, der har til formål at sikre en effektiv gennemførelse af nævnte forordning, herunder støtte til vejledning af og teknisk rådgivning til erhvervsdrivende, støtte til overensstemmelseskontrol, vurdering af risici, fælles aktiviteter og kontrolaktioner som fastsat i forordning (EU) 2024/2847

12)ECCG's medlemmer i udvekslingen af bedste praksis og efter anmodning fra de enkelte medlemsstater de nationale cybersikkerhedscertificeringsmyndigheder i forbindelse med gennemførelsen af de europæiske cybersikkerhedscertificeringsordninger på nationalt plan

13)offentlige myndigheder og private interessenter i forbindelse med overensstemmelsesvurderings- og evalueringsaktiviteter, herunder overensstemmelsesvurderingsorganer og små og mellemstore virksomheder, for at støtte et robust, konkurrencepræget, inklusivt og harmoniseret økosystem for overensstemmelsesvurdering til støtte for gennemførelsen af forordning (EU) 2024/2847 og den europæiske ramme for cybersikkerhedscertificering

14)Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre, som er oprettet ved forordning (EU) 2021/887, ved at dele oplysninger om nuværende og kommende risici og cybertrusler, herunder med hensyn til ny og fremspirende informations- og kommunikationsteknologi

15)medlemsstaterne ved at yde teknisk støtte, herunder til oprettelse og drift af reguleringsmæssige sandkasser på cybersikkerhedsområdet i overensstemmelse med relevant EU-lovgivning.

Artikel 7
Bevidstgørelse og talentmasse

ENISA bistår medlemsstaterne i deres bestræbelser på at øge bevidstheden om Unionens politikker og lovgivning vedrørende cybersikkerhed og fremme deres synlighed ved at tilvejebringe værktøjer og vejledning, der kan anvendes i praksis. ENISA støtter initiativer, der har til formål at øge den europæiske talentmasse inden for cybersikkerhed, navnlig ved at koordinere udvælgelsesprøver.

Artikel 8
Markedskendskab og -analyser

1.ENISA foretager og formidler analyser af de vigtigste markedstendenser på cybersikkerhedsmarkedet på både efterspørgsels- og udbudssiden, navnlig med hensyn til områder, hvor der findes eller planlægges europæiske cybersikkerhedscertificeringsordninger, de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, og de produktkategorier, der er omfattet af forordning (EU) 2024/2847, herunder bilag III og IV til nævnte forordning.

2.ENISA foretager og formidler analyser af teknologiske cybersikkerhedstendenser, navnlig med hensyn til aktiviteter og enheder, der er omfattet af direktiv (EU) 2022/2555, og produkter med digitale elementer, der er omfattet af forordning (EU) 2024/2847.

3.ENISA opbygger viden og formidler teknisk rådgivning og analyser om de nyeste værktøjer, rammer, standarder og bedste praksis inden for cybersikkerhed.

Artikel 9
Internationalt samarbejde

ENISA bidrager til Unionens indsats for at samarbejde med tredjelande og internationale organisationer samt inden for relevante internationale samarbejdsrammer med henblik på at fremme internationalt samarbejde om cybersikkerhed ved:

a)hvor det er relevant, at deltage som observatør i tilrettelæggelsen af internationale øvelser og analysere og rapportere om resultatet af sådanne øvelser til bestyrelsen

b)på Kommissionens anmodning at fremme udvekslingen af bedste praksis med tredjelande og internationale organisationer

c)på Kommissionens anmodning at stille ekspertise til rådighed for Kommissionen

d)at yde ekspertrådgivning og støtte til Kommissionen i spørgsmål vedrørende international anerkendelse af europæiske cybersikkerhedsattester i overensstemmelse med artikel 87

e)at yde ekspertrådgivning og støtte til Kommissionen i spørgsmål vedrørende international standardisering og gå i dialog med relevante internationale standardiseringsorganisationer, i det omfang det er relevant, i samarbejde med ECCG, som er nedsat i henhold til artikel 90.

Afdeling 2

Operationelt samarbejde

Artikel 10
Operationelt samarbejde på EU-plan

1.ENISA understøtter operationelt samarbejde mellem medlemsstaterne, EU-enheder gennem CERT-EU og mellem andre interessenter.

2.ENISA er medlem af det netværk af nationale CSIRT'er, der er oprettet i henhold til artikel 15, stk. 1, i direktiv (EU) 2022/2555, og varetager sekretariatsfunktionen for CSIRT-netværket i henhold til artikel 15, stk. 2, i direktiv (EU) 2022/2555.

3.ENISA varetager sekretariatsfunktionen for Det Europæiske Netværk af Forbindelsesorganisationer for Cyberkriser (EU-CyCLONe) i henhold til artikel 16, stk. 2, andet afsnit, i direktiv (EU) 2022/2555.

4.ENISA støtter teknisk og operationelt samarbejde mellem medlemsstaterne, navnlig gennem CSIRT-netværket og EU-CyCLONe. Denne støtte omfatter:

a)at rådgive om, hvordan kapaciteten til at forebygge, opdage og reagere på hændelser og evnen til at genoprette efter dem kan forbedres

b)efter anmodning fra en eller flere medlemsstater at yde rådgivning og foretage vurderinger med hensyn til en specifik potentiel eller aktuel hændelse eller cybertrussel, herunder ved at yde ekspertise og lette den tekniske håndtering af sådanne hændelser og ved at støtte frivillig udveksling af relevante oplysninger og tekniske løsninger mellem medlemsstaterne

c)at analysere sårbarheder, trusler og hændelser

d)efter anmodning fra en eller flere medlemsstater at yde støtte i forbindelse med efterfølgende tekniske undersøgelser af væsentlige hændelser som omhandlet i artikel 23, stk. 3, i direktiv (EU) 2022/2555

e)at bidrage til at støtte den koordinerede styring af omfattende cybersikkerhedshændelser og -kriser på operationelt plan, navnlig ved at bistå EU-CyCLONe med at udarbejde rapporter til politisk plan og ved at facilitere rettidig udveksling af oplysninger mellem CSIRT-netværket og EU-CyCLONe.

5.Efter anmodning fra en medlemsstat eller en EU-enhed i samarbejde med CERT-EU støtter ENISA konsistent offentlig kommunikation vedrørende en hændelse eller en cybertrussel.

6.ENISA støtter samarbejdet mellem medlemsstaterne og gennem CERT-EU mellem EU-enheder med hensyn til anvendelsen af sikre kommunikationsværktøjer. ENISA benytter i CSIRT-netværket og EU-CyCLONe sikre kommunikationsværktøjer fra retlige enheder, der er etableret eller anses for etableret i Unionen og kontrolleres af en medlemsstat eller statsborgere i en medlemsstat.

Artikel 11
Fælles cybersikkerhedssituationsbevidsthed

1.Med henblik på en øget fælles situationsbevidsthed om cybertrussels- og -hændelsesbilledet blandt medlemsstaterne og blandt EU-enheder gør ENISA følgende:

a)udvikler i samarbejde med EU-CyCLONe, CSIRT-netværket, Kommissionen, CERT-EU, Europol og andre relevante EU-enheder registre over verificerede, pålidelige efterretninger om cybertrusler, herunder tendenser med hensyn til hændelser, taktikker, teknikker og procedurer

b)udsender i overensstemmelse med artikel 12 tidlige varslinger om en potentiel eller aktuel væsentlig eller omfattende hændelse eller en cybertrussel af potentiel grænseoverskridende karakter, navnlig med hensyn til de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555

c)foretager rettidige ad hoc-analyser af nye tendenser med hensyn til hændelser efter anmodning fra CSIRT-netværket, EU-CyCLONe eller Kommissionen

d)foretager analyser eller giver andre oplysninger vedrørende en faktisk eller opfattet cybersikkerhedsrisiko eller -trussel efter anmodning fra medlemsstaterne eller Kommissionen

e)foretager analyser og yder teknisk rådgivning vedrørende cybersikkerhedsrisici i produkter med digitale elementer, herunder for at støtte markedsovervågningen og ved hvert andet år at udarbejde en teknisk rapport om nye tendenser i overensstemmelse med artikel 17, stk. 3, i forordning (EU) 2024/2847

f)udarbejder en regelmæssig, dybdegående teknisk EU-cybersikkerhedsrapport om hændelser og cybertrusler og stiller rapporten til rådighed for Rådet, EU-CyCLONe, CSIRT-netværket, Kommissionen, Tjenesten for EU's Optræden Udadtil og Europol

g)overvåger tendenser inden for teknikker, krav og virkninger for så vidt angår ransomwareangreb og giver oplysninger om sådanne tendenser til Kommissionen, CSIRT-netværket og EU-CyCLONe og Europol.

2.Med henblik på en øget fælles situationsbevidsthed om cybertrussels- og -hændelsesbilledet blandt interessenter gør ENISA følgende:

a)foretager analyser af cybertrusler, hændelser, tendenser, fremspirende teknologier og deres indvirkninger, herunder en regelmæssig analyse af de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, og relevante produktkategorier, der er omfattet af forordning (EU) 2024/2847

b)stiller i samarbejde med Kommissionen og, hvor det er relevant, CSIRT-netværket rådgivning og vejledning om samt bedste praksis for sikkerheden i net- og informationssystemer til rådighed, navnlig sikkerheden i infrastruktur, der understøtter de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555

c)foretager langsigtede strategiske analyser af cybertrusler og -hændelser for at identificere nye tendenser og bidrage til at forebygge hændelser.

3.ENISA kan efter aftale med de bidragydende enheder, der er omhandlet i stk. 2, offentliggøre de analyser, den rådgivning, den bedste praksis og de vejledninger og rapporter, der er omhandlet i stk. 2.

4.Ved udførelsen af de aktiviteter, der er anført i stk. 1, litra a)-d) og f), og stk. 2, anvender ENISA sine egne analyser og, i det omfang det er relevant, oplysninger, som det opnår i forbindelse med udførelsen af sine opgaver, herunder:

a)oplysninger fra offentligt tilgængelige kilder, herunder offentligt kendte sårbarheder i IKT-produkter eller IKT-tjenester, der er tilgængelige i den europæiske sårbarhedsdatabase, der er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555

b)oplysninger delt af medlemsstaterne, EU-enheder, CERT-EU, partnere i den private sektor eller ikkestatslige partnere samt tredjelande og internationale organisationer, med forbehold af eventuelle begrænsninger for videre formidling af disse oplysninger ved hjælp af synlige markeringer.

5.ENISA arbejder tæt sammen med medlemsstaterne om udarbejdelsen af den tekniske EU-cybersikkerhedsrapport, der er omhandlet i stk. 1, litra e). Rapporten baseres på offentligt tilgængelige oplysninger, ENISA's egen analyse samt rapporter, som deles af bl.a. medlemsstaternes CSIRT'er eller de ved direktivet (EU) 2022/2555 oprettede centrale kontaktpunkter, begge på frivillig basis, EC3 og CERT-EU. Efter aftale med de bidragydende enheder kan ENISA gøre en aggregeret udgave af rapporten offentligt tilgængelig.

Artikel 12
Tidlige varslinger

1.Tidlige varslinger som omhandlet i nærværende forordnings artikel 11, stk. 1, første afsnit, litra b), skal indeholde relevante oplysninger om en potentiel eller aktuel væsentlig eller omfattende hændelse eller en cybertrussel af potentiel grænseoverskridende karakter med hensyn til de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555. Disse oplysninger kan omfatte offentligt kendte sårbarheder, og hvorvidt de har indvirkning på produkter med digitale elementer, der er omfattet af forordning (EU) 2024/2847, teknikker og procedurer, kompromitteringsindikatorer, fjendtlige taktikker, specifikke oplysninger vedrørende trusselsaktører og henstillinger om afbødende foranstaltninger.

2.Tidlige varslinger som omhandlet i artikel 11, stk. 1, første afsnit, litra b), udsendes så hurtigt som muligt til den eller de berørte CSIRT'er og, hvis det er relevant, til CSIRT-netværket og EU-CyCLONe.

3.ENISA tilbyder en tidlig varslingstjeneste til enheder, der opererer i de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555.

4.Den tjeneste, der er omhandlet i stk. 3, leveres efter anmodning fra enheden og i et maskinlæsbart format, der er gjort offentligt tilgængeligt. Tjenesten skal omfatte udveksling af oplysninger om cybertrusselsindikatorer og henstillinger om afbødende foranstaltninger.

5.ENISA indfører en procedure for formidling af tidlige varslinger til de enheder, der er omhandlet i stk. 3.

Artikel 13
Støtte til reaktion på og gennemgang af hændelser

1.ENISA driver og forvalter EU's cybersikkerhedsreserve, helt eller delvist, i overensstemmelse med forordning (EU) 2025/38.

2.Efter anmodning fra Kommissionen eller EU-CyCLONe gennemgår og vurderer ENISA med støtte fra CSIRT-netværket og med den berørte medlemsstats godkendelse væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser i overensstemmelse med artikel 21 i forordning (EU) 2025/38.

3.ENISA bistår i samarbejde med Europol og CSIRT'er eller andre kompetente myndigheder, alt efter hvad der er relevant, individuelle væsentlige og vigtige enheder, der er opført i bilag I og II til direktiv (EU) 2022/2555, med at forberede sig på, reagere på og genoprette efter en ransomwarehændelse. Med henblik herpå opretter ENISA en helpdesk og gør navnlig brug af den øgede fælles situationsbevidsthed om cybertrussels- og -hændelsesbilledet, jf. nærværende forordnings artikel 11, stk. 1, første afsnit, litra a) og g).

Artikel 14
Cybersikkerhedsøvelser på EU-plan

1.ENISA støtter Kommissionen i sammensætningen af et årligt rullende program for cybersikkerhedsøvelser på EU-plan.

2.ENISA fører et register over indhøstede erfaringer fra de øvelser, der er omhandlet i stk. 1, og fremsætter henstillinger til medlemsstaterne og, hvor det er relevant, EU-enheder om, hvordan de indhøstede erfaringer effektivt kan omsættes.

3.ENISA tilrettelægger eller bidrager til tilrettelæggelsen af cybersikkerhedsøvelser på EU-plan, herunder afprøvning af beredskabet over for omfattende cybersikkerhedshændelser og -kriser på EU-plan, efter anmodning fra EU-CyCLONe og Kommissionen.

4.Efter anmodning fra medlemsstaterne støtter ENISA dem i tilrettelæggelsen af nationale cybersikkerhedsøvelser.

5.Efter anmodning fra CERT-EU bidrager ENISA til tilrettelæggelsen af cybersikkerhedsøvelser, der arrangeres af CERT-EU, jf. artikel 13, stk. 7, i forordning (EU, Euratom) 2023/2841.

Artikel 15
Tilvejebringelse af værktøjer og platforme

1.ENISA opretter, leverer, driver, vedligeholder og ajourfører efter behov operationelle tekniske værktøjer, herunder platforme vedrørende cybersikkerhed på EU-plan, navnlig den fælles indberetningsplatform i henhold til artikel 16, stk. 1, i forordning (EU) 2024/2847 [og det centrale kontaktpunkt for indberetning af hændelser i henhold til artikel 23a i direktiv (EU) 2022/2555], og afprøvningsværktøjer til støtte for gennemførelsen af overensstemmelsesvurderingsprocedurer i overensstemmelse med den relevante EU-lovgivning.

2.Hvor det er relevant med henblik på stk. 1, samarbejder ENISA med CSIRT-netværket og, i det omfang det er relevant, markedsovervågningsmyndighederne og udveksler oplysninger med dem.

Artikel 16
Tjenester til sårbarhedsstyring

ENISA udvikler en fælles EU-tjenestekapacitet til sårbarhedsstyring og leverer sårbarhedsstyringstjenester til interessenter ved:

a)at vedligeholde den europæiske sårbarhedsdatabase, der er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555

b)at levere sårbarhedsstyringstjenester til interessenter på grundlag af den europæiske sårbarhedsdatabase og ved at gøre brug af relevante oplysninger, der er tilgængelige for ENISA

c)hvor det er relevant, at indgå et struktureret samarbejde med organisationer, der leverer programmer, registre eller databaser, der svarer til den europæiske sårbarhedsdatabase

d)aktivt at støtte de CSIRT'er, der er udpeget som koordinatorer i henhold til artikel 12, stk. 1, i direktiv (EU) 2022/2555, med hensyn til forvaltningen af den koordinerede offentliggørelse af sårbarheder, som kan have væsentlig indvirkning på enheder i mere end én medlemsstat

e)i samarbejde med nationale kompetente myndigheder, CSIRT'er, erhvervslivet og forskersamfundet at udvikle og vedligeholde metoder og styringsmekanismer til sårbarhedsidentifikation og koordineret offentliggørelse.

Afdeling 3

Cybersikkerhedscertificering og -standardisering

Artikel 17
Cybersikkerhedscertificering

1.ENISA bidrager til og fremmer udviklingen og gennemførelsen af Unionens politik for cybersikkerhedscertificering som fastsat i denne forordnings afsnit III. ENISA har ansvaret for:

a)at forberede forslag til europæiske cybersikkerhedscertificeringsordninger ("forslag til ordninger") for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand i overensstemmelse med artikel 74 og, hvor det er relevant, at udvikle tekniske specifikationer i overensstemmelse med artikel 77

b)at vedligeholde vedtagne europæiske cybersikkerhedscertificeringsordninger i overensstemmelse med artikel 75, herunder med henblik på en eventuel revision af de vedtagne europæiske cybersikkerhedscertificeringsordninger i overensstemmelse med artikel 76

c)at fremme udbredelsen af vedtagne ordninger og vedligeholde et særligt websted med oplysninger om og offentliggørelse af europæiske cybersikkerhedscertificeringsordninger, europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer i overensstemmelse med artikel 79

d)at tilrettelægge kapacitetsopbygning vedrørende certificeringsprocesser, evalueringsaktiviteter, peerreview og peervurdering, herunder ved at yde støtte til medlemsstaterne efter deres anmodning i overensstemmelse med artikel 6, punkt 12.

2.ENISA støtter Kommissionen i følgende aktiviteter:

a)styring af ECCG i henhold til artikel 90

b)organisering af en europæisk forsamling vedrørende cybersikkerhedscertificering i overensstemmelse med artikel 72, stk. 1

c)aktiviteter vedrørende international anerkendelse af europæiske cybersikkerhedsattester i overensstemmelse med artikel 87

d)organisering af peerreviews i henhold til artikel 89

e)udarbejdelse af modelbestemmelser, som der skal henvises til i de europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand, i overensstemmelse med artikel 81, stk. 5.

Artikel 18
Standardisering, tekniske specifikationer og vejledning

1.ENISA udarbejder tekniske specifikationer og vejledning til støtte for gennemførelsen af EU-lovgivningen på cybersikkerhedsområdet. I udarbejdelsen af disse tekniske specifikationer tager ENISA hensyn til eksisterende europæiske og internationale standarder samt andre relevante tekniske specifikationer. ENISA sikrer sammenhæng i sine tekniske specifikationer og vejledninger.

2.ENISA overvåger og, i det omfang det er relevant, deltager i og leder standardiseringsaktiviteter på EU-plan og, i overensstemmelse med artikel 9, på internationalt plan med henblik på at støtte Unionens politikker vedrørende cybersikkerhed.

3.ENISA støtter udviklingen og evalueringen af kryptografiske algoritmer. Når en kryptografisk algoritme får en positiv evaluering af ENISA, samarbejder ENISA i overensstemmelse med forordning (EU) nr. 1025/2012 med de europæiske standardiseringsorganer for at støtte standardiseringen af algoritmen.

4.ENISA yder teknisk rådgivning til Kommissionen og, hvor det er relevant, medlemsstaterne om passende standarder eller tekniske specifikationer til støtte for Unionens politikker vedrørende cybersikkerhed, herunder EU-harmoniseringslovgivningen på cybersikkerhedsområdet, navnlig forordning (EU) 2024/2847, tekniske områder med henblik på artikel 25 i direktiv (EU) 2022/2555 og europæiske cybersikkerhedscertificeringsordninger i henhold til artikel 81, stk. 1, litra d).

5.ENISA bistår Kommissionen med vurderingen af udkast til harmoniserede standarder til støtte for gennemførelsen af EU-harmoniseringslovgivningen på cybersikkerhedsområdet.

6.ENISA fremmer udbredelsen af europæiske og internationale standarder for cybersikkerhed.

7.ENISA udfører de opgaver, der er omhandlet i stk. 1-6, med integritet, upartiskhed og fortrolighed, herunder ved at trække sin deltagelse i specifikke tekniske organer tilbage eller sætte den på pause, når en sådan deltagelse er i strid med andre opgaver eller mål.

Afdeling 4 
Gennemførelse af akademiet for cybersikkerhedsfærdigheder

Artikel 19
En europæisk ramme for cybersikkerhedscertificering

1.ENISA udvikler en europæisk ramme for cybersikkerhedsfærdigheder ("ECSF") og gør den offentligt tilgængelig. Inden ENISA gør ECSF offentligt tilgængelig eller ajourfører den i henhold til stk. 4, hører det Kommissionen.

2.I ECSF fastlægges der profiler for cybersikkerhedsfagfolk, og specifikke opgaver, færdigheder og viden knyttes til en given rolleprofil. Det er frivilligt for offentlige og private enheder at gøre brug af ECSF.

3.ENISA kan høre interessenter i forbindelse med udviklingen og udbredelsen af ECSF.

4.ENISA vurderer regelmæssigt behovet for at ajourføre ECSF og foretager ajourføringer, når det er relevant.

Artikel 20
Udvikling, vedtagelse og vedligeholdelse af europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder

1.ENISA udvikler, vedtager og vedligeholder europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder. Det er frivilligt for nationale offentlige organer og private enheder at anvende europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder, medmindre andet er fastsat i national ret.

2.Forud for iværksættelsen af en ny europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder hører ENISA Kommissionen. ENISA vedtager først en sådan ordning efter en positiv udtalelse fra Kommissionen. Ved udarbejdelsen af en europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder kan ENISA høre relevante interessenter.

3.En europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder skal omfatte følgende:

a)attesteringsordningens genstand og anvendelsesområde på grundlag af ECSF's rolleprofiler eller dele heraf

b)krav til personer, der er uddannet til at foretage vurderinger ("bedømmere") i overensstemmelse med artikel 21, de nødvendige færdigheder, den nødvendige viden og erfaring samt uddannelsesmetoder

c)en analyse af markedsudbredelsen specifikt for hver attesteringsordning

d)hvilke læringsresultater, vurderingsmetoder og betingelser som autoriserede attesteringsudbydere skal anvende for at evaluere en persons demonstration af de krævede færdigheder i overensstemmelse med artikel 21

e)et eller flere færdighedsniveauer, hvis det er relevant

f)regler for autoriserede attesteringsudbyderes opbevaring af fortegnelser

g)indholdet af og formatet for de europæiske attesteringer af individuelle cybersikkerhedsfærdigheder under behørig hensyntagen til artikel 21, stk. 5, litra e)

h)den maksimale gyldighedsperiode for en europæisk attestering af individuelle cybersikkerhedsfærdigheder udstedt under attesteringsordningen.

4.En europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder kan omfatte de vejledende omkostninger ved en europæisk attestering af individuelle cybersikkerhedsfærdigheder.

5.ENISA sørger for et tæt samarbejde med medlemsstaterne under hele udarbejdelsen af de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder.

6.Ændring af en europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder berører ikke den autorisation, der er udstedt i medfør af artikel 22, stk. 3, litra a), og denne forbliver gyldig i den periode, den er udstedt for.

Artikel 21
Autoriserede attesteringsudbydere

1.Autoriserede attesteringsudbydere vurderer, om personer opfylder kravene i en europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder, og udsteder, hvis disse krav er opfyldt, europæiske attesteringer af individuelle cybersikkerhedsfærdigheder. Attesteringsudbydere kan have flere autorisationer, som hver især er udstedt for én europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder.

2.ENISA yder vejledning til og afholder obligatorisk uddannelse af bedømmere med hensyn til de krav og vurderingsmetoder, der indgår i den europæiske ordning for attestering af individuelle cybersikkerhedsfærdigheder, jf. artikel 20, stk. 3, litra b).

3.Enheder, der ønsker at blive autoriserede attesteringsudbydere eller forny deres autorisation ("ansøgere"), indgiver en ansøgning til ENISA. De skal opfylde følgende krav:

a)de skal have status som juridisk person

b)de skal være i stand til at udføre de opgaver, der er fastsat i denne forordning, vedrørende europæiske attesteringer af individuelle cybersikkerhedsfærdigheder, uanset om vurderingen foretages af den autoriserede attesteringsudbyder selv eller på dennes vegne og under dennes ansvar

c)de skal have de fornødne midler til at udføre de tekniske og administrative opgaver, der er forbundet med den europæiske ordning for attestering af individuelle cybersikkerhedsfærdigheder, på en egnet måde og have adgang til alt nødvendigt udstyr og alle nødvendige faciliteter.

Med henblik på første afsnit, litra b), skal enhver underentreprise til eller høring af eksternt personale behørigt dokumenteres og må ikke omfatte mellemmænd og skal være genstand for en skriftlig aftale, som blandt andet dækker fortrolighed og interessekonflikter.

4.Ansøgere må ikke være højrisikoleverandører.

5.Autoriserede attesteringsudbydere skal opfylde følgende forpligtelser:

a)med henblik på gennemførelsen af hver enkelt europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder:

i)råde over de nødvendige bedømmere og det nødvendige personale til rettidigt at udføre deres aktiviteter som fastsat i denne ordning

ii)sikre, at bedømmerne overholder tavshedspligten, er upartiske og udfører deres arbejde uafhængigt og med den højeste grad af faglig integritet

iii)have skriftlige procedurer for udførelsen af deres aktiviteter under den ordning, som de er autoriseret til

b)ikke vurdere eller udstede europæiske attesteringer af individuelle cybersikkerhedsfærdigheder til deres egne bedømmere

c)sørge for, hvor det er relevant og ved at indføre passende sikkerhedsforanstaltninger, at deres bedømmere er i stand til udføre deres arbejde uafhængigt, navnlig hvis de tilhører deres egen struktur eller er ansatte eller under oplæring i en sådan struktur

d)ikke deltage i aktiviteter, der kan være i strid med deres bedømmeres objektivitet eller integritet

e)sikre, at elektroniske attesteringer af europæiske attesteringer af individuelle cybersikkerhedsfærdigheder efter anmodning fra den enkelte udstedes som elektroniske attesteringer af attributter i et format, der kan lagres i de europæiske digitale identitetstegnebøger som fastsat i forordning (EU) nr. 910/2014.

6.Autoriserede attesteringsudbydere underretter omgående ENISA, hvis et eller flere af kravene i stk. 3 og 4 eller en eller flere af forpligtelserne i stk. 5 ikke længere er opfyldt, eller hvis der opstår tvivl om, hvorvidt disse krav eller forpligtelser er opfyldt, herunder med hensyn til bedømmernes uafhængighed.

7.Autoriserede attesteringsudbydere kan opkræve et gebyr fra enkeltpersoner for at vurdere og udstede europæiske attesteringer af individuelle cybersikkerhedsfærdigheder, under hensyntagen til de vejledende omkostninger ved en europæisk attestering af individuelle cybersikkerhedsfærdigheder, jf. artikel 20, stk. 4, som offentliggjort på et særligt websted i overensstemmelse med artikel 23, litra d).

8.Ansøgere og autoriserede attesteringsudbydere giver ENISA mulighed for at foretage evalueringer som led i ansøgningsprocessen eller opretholdelsen af autorisationen og deler alle relevante oplysninger for at sikre, at kravene i stk. 3 og 4 eller forpligtelserne i stk. 5 er opfyldt eller fortsat opfyldes i overensstemmelse med artikel 22, stk. 2.

Artikel 22
Behandling af ansøgninger om at blive autoriseret attesteringsudbyder og om opretholdelse af autorisationer

1.Ansøgere betaler et gebyr til ENISA for behandlingen af deres ansøgning. Autoriserede attesteringsudbydere betaler et gebyr til ENISA for at opretholde deres autorisation.

2.ENISA vurderer, om de krav, der er fastsat i artikel 21, stk. 3 og 4, og de forpligtelser, der er fastsat i artikel 21, stk. 5, er opfyldt eller fortsat opfyldes af ansøgerne og de autoriserede attesteringsudbydere.

3.Efter at have behandlet en ansøgning ud fra de krav, der er fastsat i artikel 21, stk. 3 og 4, kan ENISA træffe en af følgende afgørelser:

a)ansøgeren gives status som autoriseret attesteringsudbyder, eller autorisationen fornyes

b)ansøgningen om at blive autoriseret attesteringsudbyder afvises, eller autorisationen fornyes ikke

c)behandlingen af ansøgningen lukkes på grund af manglende handling fra ansøgerens side efter en anmodning om yderligere oplysninger fra ENISA.

ENISA kan ændre, suspendere eller tilbagetrække afgørelser på grundlag af sin vurdering i henhold til artikel 22, stk. 2, eller i det tilfælde, der er omhandlet i artikel 21, stk. 6.

4.ENISA træffer den i stk. 3 omhandlede afgørelse senest tre måneder efter datoen for indgivelse af en ansøgning i overensstemmelse med artikel 21, stk. 3. Hvis ENISA har anmodet ansøgeren om yderligere oplysninger, træffer ENISA den i stk. 3 omhandlede afgørelse senest en måned efter modtagelsen af de yderligere oplysninger.

5.Den afgørelse, der er omhandlet i stk. 3, litra a), har en maksimal gyldighed på tre år og skal angive gebyret for den årlige opretholdelse af autorisationen.

6.ENISA sikrer, at dets aktiviteter i forbindelse med udvikling og vedtagelse af europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder som fastsat i artikel 20 er strengt adskilt fra og udføres uafhængigt af de aktiviteter vedrørende behandling af ansøgninger og vurderinger, der er fastsat i nærværende artikels stk. 2 og 3.

Artikel 23
Oplysninger til offentligheden

ENISA vedligeholder og ajourfører regelmæssigt et særligt websted med offentlige oplysninger om:

a)ECSF, herunder rammen og tidsplanen for ajourføring af den

b)de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder, hvilke fremskridt der gøres med dem, og tidsplanerne for deres udvikling

c)de gebyrer, der er forbundet med hver enkelt europæisk ordning for attestering af individuelle cybersikkerhedsfærdigheder, som vedtaget efter denne forordnings artikel 47

d)de vejledende omkostninger ved en europæisk attestering af individuelle cybersikkerhedsfærdigheder, jf. artikel 20, stk. 4

e)listen over autoriserede attesteringsudbydere.

Kapitel III 
ENISA's organisation

Artikel 24
ENISA's administrative og ledelsesmæssige struktur

ENISA's administrative og ledelsesmæssige struktur består af:

a)en bestyrelse, der varetager de funktioner, der er fastsat i artikel 28

b)et forretningsudvalg, der varetager de funktioner, der er fastsat i artikel 30

c)en administrerende direktør, der varetager de ansvarsområder, der er fastsat i artikel 32

d)en viceadministrerende direktør, der varetager de ansvarsområder, der er fastsat i artikel 34

e)en ENISA-rådgivningsgruppe

f)et klagenævn, der varetager de funktioner, der er fastsat i artikel 39-42.

Afdeling 1 
Bestyrelsen

Artikel 25
Bestyrelsens sammensætning

1.Bestyrelsen består af ét medlem udnævnt af hver medlemsstat og to medlemmer, der udnævnes af Kommissionen. Alle medlemmer har stemmeret.

2.Hvert bestyrelsesmedlem har en suppleant. Suppleanterne er medlemmernes stedfortrædere i deres fravær.

3.Hver medlemsstat udnævner lederen af en national kompetent myndighed, der er udpeget i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, til medlem af bestyrelsen. Hvis dette ikke er muligt, udnævner medlemsstaterne en repræsentant på højt niveau for en national kompetent myndighed, der er udpeget i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, til medlem af bestyrelsen.

4.Medlemmer, der udnævnes af Kommissionen, og suppleanterne i bestyrelsen udnævnes på grundlag af deres viden på cybersikkerhedsområdet og under hensyntagen til deres relevante ledelsesmæssige, administrative og budgetmæssige kompetencer. Kommissionen og medlemsstaterne tilstræber for så vidt angår suppleanter at opnå en afbalanceret repræsentation af mænd og kvinder i bestyrelsen og bestræber sig på at begrænse deres udskiftning for at sikre kontinuiteten i bestyrelsens arbejde.

5.Mandatperioden for medlemmer, der udnævnes af medlemsstaterne, svarer til deres funktionsperiode, jf. stk. 3.

6.Mandatperioden for suppleanterne og medlemmer, der udnævnes af Kommissionen, er fire år. Mandatperioden kan fornyes.

Artikel 26
Bestyrelsens forperson

1.Bestyrelsen vælger blandt sine stemmeberettigede medlemmer en forperson og en næstforperson. Forpersonen og næstforpersonen vælges med et flertal på to tredjedele af de stemmeberettigede bestyrelsesmedlemmer.

2.Næstforpersonen træder automatisk i stedet for forpersonen, hvis forpersonen er forhindret i at udøve sit hverv.

3.Forpersonen og næstforpersonen har en mandatperiode på fire år, og mandatet kan fornyes én gang. Hvis en forperson eller næstforperson ophører med at være medlem af bestyrelsen under sin mandatperiode, ophører mandatperioden dog automatisk samtidig.

Artikel 27
Bestyrelsens møder

1.Forpersonen indkalder til bestyrelsesmøder.

2.Den administrerende direktør deltager i bestyrelsens møder, men uden stemmeret.

3.Bestyrelsen holder mindst to ordinære møder om året. Bestyrelsen mødes desuden på initiativ af forpersonen, efter anmodning fra Kommissionen eller efter anmodning fra mindst en tredjedel af bestyrelsesmedlemmerne.

4.En repræsentant for Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed, som er oprettet ved forordning (EU) 2021/887, er permanent observatør uden stemmeret på bestyrelsens møder.

5.Bestyrelsen kan invitere enhver, hvis synspunkter kan være af interesse, til at deltage i et møde eller en del af et møde som ad hoc-observatør uden stemmeret og under overholdelse af bestyrelsens forretningsorden.

6.Bestyrelsesmedlemmerne og deres suppleanter kan under bestyrelsesmøderne bistås af rådgivere eller eksperter under overholdelse af bestyrelsens forretningsorden.

Artikel 28
Bestyrelsens funktioner

1.Bestyrelsen:

a)fastlægger de overordnede retningslinjer for ENISA's drift og sørger for, at ENISA arbejder i overensstemmelse med de regler og principper, der er fastsat i denne forordning; sikrer endvidere, at der er sammenhæng mellem ENISA's arbejde og aktiviteter, der udføres af medlemsstaterne og på EU-plan

b)vedtager ENISA's udkast til det samlede programmeringsdokument, der er omhandlet i artikel 44, før det forelægges for Kommissionen med henblik på en udtalelse

c)vedtager under hensyntagen til Kommissionens udtalelse ENISA's samlede programmeringsdokument i overensstemmelse med artikel 29, stk. 2, litra a)

d)fører tilsyn med gennemførelsen af det flerårige og det årlige arbejdsprogram, der er omfattet af det samlede programmeringsdokument

e)vedtager ENISA's årsbudget i overensstemmelse med artikel 29, stk. 2, litra b), og varetager andre funktioner i relation til ENISA's budget i overensstemmelse med kapitel IV

f)vurderer og vedtager den konsoliderede årsberetning om ENISA's aktiviteter, herunder regnskaberne og en redegørelse for, hvordan ENISA har opfyldt sine resultatindikatorer; forelægger både årsberetningen og vurderingen heraf senest den 1. juli i det følgende år for Europa-Parlamentet, Rådet, Kommissionen og Den Europæiske Revisionsret; offentliggør årsberetningen

g)vedtager de finansielle bestemmelser for ENISA, jf. artikel 50

h)vedtager en strategi for bekæmpelse af svig, som står i forhold til risikoen for svig, under hensyn til en cost-benefit-analyse af de foranstaltninger, der skal gennemføres

i)sikrer en passende opfølgning på resultater og henstillinger fra forskellige interne eller eksterne auditrapporter og evalueringer samt fra undersøgelser foretaget af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og Den Europæiske Anklagemyndighed (EPPO)

j)vedtager sin forretningsorden, herunder regler for foreløbige afgørelser om delegation af specifikke opgaver i henhold til artikel 30, stk. 7

k)udøver i overensstemmelse med denne artikels stk. 2 over for ENISA's personale de beføjelser, som ved vedtægten for tjenestemænd i Den Europæiske Union ("tjenestemandsvedtægten") og ansættelsesvilkårene for Unionens øvrige ansatte i Den Europæiske Union ("ansættelsesvilkårene"), som fastlagt i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 73 , er tillagt henholdsvis ansættelsesmyndigheden og den myndighed, der har beføjelse til at indgå ansættelseskontrakter ("beføjelser som ansættelsesmyndighed")

l)vedtager gennemførelsesbestemmelser til tjenestemandsvedtægten og ansættelsesvilkårene i overensstemmelse med proceduren i tjenestemandsvedtægtens artikel 110, stk. 2

m)udnævner den administrerende direktør og, hvis den beslutter at oprette denne stilling, den viceadministrerende direktør og, i det omfang det er relevant, forlænger deres mandatperiode eller afskediger dem i overensstemmelse med artikel 31

n)udnævner en regnskabsfører, som er underlagt tjenestemandsvedtægten og ansættelsesvilkårene, og som er uafhængig i udøvelsen af sit hverv

o)træffer alle afgørelser vedrørende etablering af ENISA's interne strukturer og om nødvendigt ændring heraf under hensyntagen til ENISA's aktivitetsbehov og til forsvarlig budgetforvaltning

p)bemyndiger indgåelse af samarbejdsordninger med henblik på artikel 68

q)bemyndiger indgåelse af samarbejdsordninger i overensstemmelse med artikel 70

r)udnævner og afskediger medlemmer af klagenævnet, jf. artikel 29, stk. 2, litra d)

s)vedtager regler for forebyggelse og håndtering af interessekonflikter i forhold til medlemmerne af klagenævnet.

2.Bestyrelsen vedtager i overensstemmelse med tjenestemandsvedtægtens artikel 110, stk. 2, en afgørelse baseret på tjenestemandsvedtægtens artikel 2, stk. 1, og ansættelsesvilkårenes artikel 6 om delegation af de relevante beføjelser som ansættelsesmyndighed til den administrerende direktør og fastlæggelse af betingelserne for at suspendere denne delegation af beføjelser. Den administrerende direktør kan videredelegere disse beføjelser.

3.Under helt særlige omstændigheder kan bestyrelsen vedtage en afgørelse om midlertidigt at suspendere delegationen af beføjelser som ansættelsesmyndighed til den administrerende direktør samt eventuelle beføjelser som ansættelsesmyndighed, som den administrerende direktør måtte have videredelegeret, og i stedet selv udøve dem eller delegere dem til et af sine medlemmer eller til en anden ansat end den administrerende direktør.

Artikel 29
Bestyrelsens afstemningsregler

1.Bestyrelsen vedtager afgørelser med absolut flertal blandt sine stemmeberettigede medlemmer, medmindre andet er fastsat i denne forordning.

2.Der kræves et flertal på to tredjedele af de stemmeberettigede bestyrelsesmedlemmer for at:

a)vedtage det samlede programmeringsdokument, jf. artikel 28, stk. 1, litra c)

b) vedtage årsbudgettet, jf. artikel 28, stk. 1, litra e)

c) udnævne eller afskedige den administrerende direktør og den viceadministrerende direktør eller forlænge deres mandatperiode, jf. artikel 31 og 33

d)udnævne eller afskedige medlemmer af klagenævnet, jf. artikel 36.

3.Afgørelser vedrørende budget- eller personalespørgsmål, navnlig de spørgsmål, der er omhandlet i artikel 28, stk. 1, litra c), e), f), g), h), i), k), l), m) og n), kan kun vedtages, hvis Kommissionens repræsentanter stemmer for. For vedtagelse af afgørelser som omhandlet i artikel 28, stk. 1, litra c), vedrørende ENISA's samlede programmeringsdokument kræves det kun, at Kommissionens repræsentant stemmer for de dele af afgørelsen, der ikke vedrører ENISA's årlige og flerårige arbejdsprogram.

4.Hvert stemmeberettiget medlem har én stemme. Hvis et stemmeberettiget medlem ikke er til stede, har dennes suppleant stemmeretten.

5.Bestyrelsens forperson deltager i afstemningen.

6.Den administrerende direktør deltager ikke i afstemningen.

7.I bestyrelsens forretningsorden fastsættes mere detaljerede afstemningsregler, navnlig regler om, hvornår et medlem kan handle på et andet medlems vegne.

Afdeling 2 
Forretningsudvalget

Artikel 30
Forretningsudvalget

1.Bestyrelsen bistås af et forretningsudvalg.

2.Forretningsudvalget:

a)forbereder afgørelser, der skal vedtages af bestyrelsen

b)sørger sammen med bestyrelsen for passende opfølgning på resultater og henstillinger fra interne eller eksterne auditrapporter og evalueringer samt fra undersøgelser foretaget af OLAF og EPPO

c)bistår og rådgiver den administrerende direktør i gennemførelsen af bestyrelsens afgørelser med henblik på at styrke overvågningen af den administrative og budgetmæssige forvaltning, dog uden at det berører den administrerende direktørs ansvarsområder, jf. artikel 32.

3.Forretningsudvalget består af bestyrelsens forperson, en repræsentant for Kommissionen i bestyrelsen og tre andre medlemmer, som udpeges af bestyrelsen blandt dens medlemmer med stemmeret. Bestyrelsens forperson er også forperson for forretningsudvalget. Ved udpegelsen af medlemmerne af forretningsudvalget tilstræbes det at sikre en ligevægt mellem kønnene i forretningsudvalget. Den administrerende direktør deltager i forretningsudvalgets møder uden stemmeret.

4.Forretningsudvalgets medlemmer har en mandatperiode på fire år. Mandatperioden kan fornyes. Mandatperioden for forretningsudvalgets medlemmer udløber, når deres medlemskab af bestyrelsen ophører.

5.Forretningsudvalget holder mindst ét ordinært møde hver tredje måned. Det træder desuden sammen på forpersonens initiativ eller efter anmodning fra dets medlemmer.

6.Bestyrelsen fastsætter forretningsudvalgets forretningsorden.

7.Hvis det er nødvendigt i hastende tilfælde, kan forretningsudvalget træffe visse foreløbige afgørelser på bestyrelsens vegne, navnlig i spørgsmål vedrørende den administrative forvaltning, herunder suspendering af delegationen af beføjelser som ansættelsesmyndighed og budgetanliggender. En sådan foreløbig afgørelse meddeles bestyrelsen uden unødigt ophold. Bestyrelsen afgør herefter, om den foreløbige afgørelse skal godkendes eller afvises, senest tre måneder efter at afgørelsen blev truffet. Forretningsudvalget træffer ikke afgørelser på bestyrelsens vegne, som kræver godkendelse af et flertal på to tredjedele af bestyrelsens stemmeberettigede medlemmer.

Afdeling 3 
Den administrerende direktør

Artikel 31
Udnævnelse, afskedigelse og forlængelse af mandatperioden

1.Den administrerende direktør udnævnes af bestyrelsen på grundlag af sine kvalifikationer og kompetencer ud fra en liste over kandidater, som Kommissionen foreslår, efter en åben og gennemsigtig udvælgelsesprocedure.

2.Før udnævnelsen indbydes den ansøger, bestyrelsen har valgt, til at afgive en redegørelse for Europa-Parlamentets relevante udvalg og besvare spørgsmål fra medlemmerne.

3.Den administrerende direktør ansættes i en stilling som midlertidigt ansat ved ENISA efter ansættelsesvilkårenes artikel 2, litra a).

4.Med henblik på indgåelsen af kontrakten med den administrerende direktør repræsenteres ENISA af forpersonen for bestyrelsen.

5.Den administrerende direktørs mandatperiode er på fem år. I god tid inden udløbet af denne periode foretager Kommissionen en vurdering, hvori en evaluering af den administrerende direktørs præstationer og ENISA's fremtidige opgaver og udfordringer tages i betragtning.

6.Bestyrelsen kan efter forslag fra Kommissionen, som tager udgangspunkt i den i stk. 5 omhandlede vurdering, forlænge den administrerende direktørs mandatperiode én gang, dog højst for en periode på fem år.

7.En administrerende direktør, hvis mandatperiode er blevet forlænget, kan ikke deltage i endnu en udvælgelsesprocedure for den samme stilling ved udløbet af den samlede periode.

8.Bestyrelsen underretter Europa-Parlamentet, hvis den har til hensigt at forlænge den administrerende direktørs mandatperiode, jf. stk. 6. Inden for tre måneder inden forlængelsen afgiver den administrerende direktør, såfremt denne indbydes hertil, en redegørelse for Europa-Parlamentets relevante udvalg og besvarer spørgsmål fra medlemmerne.

9.Den administrerende direktør kan kun afskediges ved en afgørelse truffet af bestyrelsen efter forslag fra Kommissionen.

Artikel 32
Den administrerende direktørs opgaver og ansvarsområder

1.Den administrerende direktør leder ENISA og står til ansvar over for bestyrelsen.

2.Den administrerende direktør varetager sit hverv i uafhængighed og må hverken søge eller modtage instruktioner fra nogen regering eller noget andet organ.

3.Den administrerende direktør aflægger efter anmodning rapport til Europa-Parlamentet om udførelsen af sine opgaver. Rådet kan anmode den administrerende direktør om at aflægge rapport om udførelsen af sine opgaver.

4.Den administrerende direktør er ENISA's repræsentant i retlig henseende.

5.Den administrerende direktør er ansvarlig for udførelsen af de opgaver, der pålægges ENISA ved denne forordning. Den administrerende direktør skal navnlig:

a)sørge for den daglige administration af ENISA

b)gennemføre afgørelser, der er vedtaget af bestyrelsen

c)sikre overholdelse af de finansielle bestemmelser for ENISA

d)udarbejde udkastet til samlet programmeringsdokument og forelægge det for bestyrelsen til godkendelse før dets fremsendelse til Kommissionen med henblik på en udtalelse

e)gennemføre det samlede programmeringsdokument og aflægge rapport til bestyrelsen om dets gennemførelse

f)udarbejde den konsoliderede årsberetning om ENISA's aktiviteter, herunder om gennemførelsen af ENISA's årlige arbejdsprogram, og forelægge denne for bestyrelsen med henblik på vurdering og godkendelse

g)udarbejde en handlingsplan som opfølgning på konklusionerne fra retrospektive evalueringer af ENISA, jf. artikel 121, og aflægge en statusrapport til Kommissionen hvert andet år

h)udarbejde en handlingsplan som opfølgning på konklusionerne i interne eller eksterne auditrapporter og evalueringer samt fra undersøgelser foretaget af OLAF og EPPO og aflægge en statusrapport hvert andet år til Kommissionen og regelmæssigt til bestyrelsen

i)udarbejde udkastet til finansielle bestemmelser for ENISA, jf. artikel 50

j)udarbejde ENISA's udkast til overslag over indtægter og udgifter og gennemføre dets budget

k)beskytte Unionens finansielle interesser gennem anvendelse af foranstaltninger til forebyggelse af svig, korruption og enhver anden ulovlig aktivitet, dog uden at det berører EPPO's og OLAF's undersøgelsesbeføjelser, gennem effektiv kontrol og, hvis der konstateres uregelmæssigheder, gennem inddrivelse af uretmæssigt udbetalte beløb og, alt efter omstændighederne, gennem pålæggelse af administrative og finansielle sanktioner, der er effektive, står i et rimeligt forhold til uregelmæssigheden og har en afskrækkende virkning

l)udarbejde en strategi for bekæmpelse af svig, en strategi for effektivitetsgevinster og synergier, en strategi for samarbejde med tredjelande eller internationale organisationer og en strategi for de organisatoriske forvaltningssystemer og interne kontrolsystemer for ENISA og forelægge dem for bestyrelsen til godkendelse

m)etablere og opretholde kontakt med erhvervslivet og forbrugerorganisationer med henblik på at sikre en løbende dialog med relevante interessenter

n)regelmæssigt udveksle synspunkter og oplysninger med relevante EU-enheder om deres aktiviteter vedrørende cybersikkerhed for at sikre sammenhæng i gennemførelsen af Unionens politik på området

o)fremme diversitet og kønsbalance i rekrutteringen af ENISA's personale

p)vedtage europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder som omhandlet i artikel 20, stk. 1

q)træffe afgørelser med hensyn til ansøgere, der ønsker at blive autoriserede attesteringsudbydere eller forny deres autorisation, jf. artikel 22, stk. 3

r)udføre andre opgaver, som den administrerende direktør pålægges ved denne forordning.

6.Hvis det er nødvendigt og ligger inden for rammerne af ENISA's formål og opgaver, kan den administrerende direktør nedsætte ad hoc-arbejdsgrupper bestående af eksperter, herunder eksperter fra medlemsstaternes kompetente myndigheder. Den administrerende direktør underretter bestyrelsen herom på forhånd. Procedurerne vedrørende navnlig sammensætningen af arbejdsgrupperne, den administrerende direktørs udnævnelse af eksperterne til arbejdsgrupperne og arbejdsgruppernes virke fastsættes i ENISA's interne forretningsgange.

7.På grundlag af en hensigtsmæssig cost-benefit-analyse, og hvis det er nødvendigt med henblik på at udføre ENISA's opgaver på en effektiv og virkningsfuld måde, kan den administrerende direktør beslutte at etablere et eller flere lokale kontorer i en eller flere medlemsstater. Inden det besluttes at oprette et lokalt kontor, anmoder den administrerende direktør om en udtalelse fra den eller de berørte medlemsstater, herunder den medlemsstat, hvor ENISA's hovedsæde er beliggende, og indhenter forudgående samtykke fra Kommissionen og bestyrelsen. I tilfælde af uenighed under høringsprocessen mellem den administrerende direktør og de berørte medlemsstater, forelægges spørgsmålet for Rådet til drøftelse. Det samlede antal ansatte på alle lokale kontorer skal begrænses til et minimum og må ikke udgøre mere end 40 % af ENISA's samlede antal ansatte i den medlemsstat, hvor ENISA's hovedsæde er beliggende. Antallet af ansatte på det enkelte lokale kontor må ikke udgøre mere end 10 % af ENISA's samlede antal ansatte i den medlemsstat, hvor ENISA's hovedsæde er beliggende.

8.I afgørelsen om oprettelse af et lokalt kontor fastsættes omfanget af de aktiviteter, der skal udføres af det lokale kontor, således at der undgås unødige omkostninger og overlap af ENISA's administrative funktioner.

Afdeling 4 
Den viceadministrerende direktør

Artikel 33
Den viceadministrerende direktør

1.Bestyrelsen kan beslutte at oprette en stilling som viceadministrerende direktør til at bistå den administrerende direktør.

2.Hvis bestyrelsen beslutter at oprette en stilling som viceadministrerende direktør, finder bestemmelserne i artikel 31 tilsvarende anvendelse på den viceadministrerende direktør.

Artikel 34
Den viceadministrerende direktørs opgaver og ansvarsområder

Den viceadministrerende direktør bistår den administrerende direktør med at lede ENISA og udføre de opgaver, der er omhandlet i artikel 32. Hvis den administrerende direktør er fraværende eller forhindret, eller stillingen er ledig, træder den viceadministrerende direktør i dennes sted i fraværsperioden, eller indtil stillingen er besat.

Afdeling 5 
ENISA-Rådgivningsgruppen

Artikel 35
ENISA-Rådgivningsgruppen

1.Bestyrelsen nedsætter ENISA-Rådgivningsgruppen på gennemsigtig vis og efter forslag fra den administrerende direktør. ENISA-Rådgivningsgruppen består af anerkendte eksperter, der repræsenterer relevante interessenter såsom cybersikkerhedsindustrien, IKT-industrien, SMV'er, enheder, der opererer i de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, producenter af produkter med digitale elementer og open source software-forvaltere som omhandlet i forordning (EU) 2024/2847, overensstemmelsesvurderingsorganer, der er anmeldt i henhold til den europæiske ramme for cybersikkerhedscertificering, jf. artikel 93 og forordning (EU) 2024/2847, enheder, der opererer på området for elektroniske identifikationsmidler, forbrugergrupper, akademiske eksperter inden for cybersikkerhed, europæiske standardiseringsorganisationer samt retshåndhævende myndigheder og databeskyttelsestilsynsmyndigheder. Disse anerkendte eksperter skal være statsborgere i medlemsstater. Bestyrelsen bestræber sig på at sikre en passende kønsmæssig og geografisk balance samt balance mellem de forskellige interessentgrupper.

2.Procedurerne for ENISA-Rådgivningsgruppen, navnlig vedrørende navnlig gruppens sammensætning, den administrerende direktørs forslag, jf. stk. 1, antal og udpegelse af gruppens medlemmer og dens virke, fastsættes i ENISA's interne forretningsgange og offentliggøres.

3.ENISA-Rådgivningsgruppen ledes af den administrerende direktør eller af en person udpeget af den administrerende direktør fra sag til sag.

4.Mandatperioden for medlemmerne af ENISA-Rådgivningsgruppen er på to og et halvt år og kan fornyes én gang. Medlemmer af bestyrelsen kan ikke være medlemmer af ENISA-Rådgivningsgruppen. Eksperter fra Kommissionen og eksperter fra medlemsstaterne har ret til at være til stede på ENISA-Rådgivningsgruppens møder og deltage i dens arbejde. Den administrerende direktør kan indbyde repræsentanter for andre organer, der ikke er medlem af ENISA-Rådgivningsgruppen, til at være til stede på ENISA-Rådgivningsgruppens møder og deltage i dens arbejde.

5.ENISA-Rådgivningsgruppen rådgiver ENISA med hensyn til udførelsen af ENISA's opgaver, bortset fra anvendelsen af bestemmelserne i denne forordnings afsnit III, IV og V. Gruppen rådgiver navnlig den administrerende direktør om udarbejdelsen af forslag til ENISA's årlige arbejdsprogram samt om varetagelse af kommunikation med de relevante interessenter om spørgsmål, der vedrører det årlige arbejdsprogram.

6.ENISA-Rådgivningsgruppen underretter regelmæssigt bestyrelsen om sine aktiviteter.

7.ENISA yder den nødvendige praktiske bistand til ENISA-Rådgivningsgruppen og varetager sekretariatsfunktionen i forbindelse med gruppens møder.

Afdeling 6 
Klagenævnet

Artikel 36
Klagenævnets oprettelse og sammensætning

1.ENISA nedsætter et klagenævn ved en afgørelse truffet af bestyrelsen.

2.Klagenævnet består af en forperson og tre andre medlemmer Hvert medlem af klagenævnet har en suppleant. Suppleanterne er medlemmernes stedfortrædere i deres fravær.

3.Bestyrelsen udpeger forpersonen, de øvrige medlemmer og deres suppleanter ud fra en liste over kvalificerede kandidater, som Kommissionen opstiller. Listen over kvalificerede ansøgere er gyldig i fire år. Bestyrelsen kan forlænge listens gyldighed med yderligere perioder på fire år efter forslag fra Kommissionen.

4.Når klagenævnet skønner, at en klage tilsiger det, kan det anmode bestyrelsen om at udpege yderligere to medlemmer og disses suppleanter fra den liste, der er omhandlet i stk. 3.

5.Klagenævnet vedtager og offentliggør sin forretningsorden.

Artikel 37
Klagenævnets medlemmer

1.Mandatperioden for klagenævnets medlemmer og deres suppleanter er på fire år. Mandatperioden kan fornyes af bestyrelsen med yderligere perioder på fire år efter forslag fra Kommissionen.

2.Klagenævnets medlemmer skal være uafhængige og må ikke udføre andre opgaver i ENISA. Når de træffer afgørelse, må de hverken søge eller modtage instruktioner fra nogen regering, noget andet organ eller nogen privat enhed.

3.Klagenævnets medlemmer må ikke fratages deres hverv eller fjernes fra listen over kvalificerede kandidater i mandatperioden, medmindre der er vægtige grunde dertil, og bestyrelsen træffer en afgørelse herom efter forslag fra Kommissionen.

Artikel 38
Udelukkelse og indsigelse

1.Klagenævnets medlemmer deltager ikke i klagesager, hvis de har en personlig interesse i disse sager, hvis de tidligere har optrådt som repræsentanter for en af sagens parter, eller hvis de har været med til at træffe den påklagede afgørelse.

2.Hvis et medlem af et klagenævn af en af de i stk. 1 anførte grunde eller af andre grunde mener, at det ikke bør deltage i en klagesag, underretter den pågældende klagenævnet herom.

3.En part i en klagesag kan gøre indsigelse mod et hvilken som helst medlem af et klagenævn med henvisning til en hvilken som helst af de i stk. 1 anførte grunde, eller hvis medlemmet mistænkes for partiskhed. En sådan indsigelse tages ikke til følge, hvis den pågældende part i klagesagen har indledt proceduren vel vidende, at der forelå en indsigelsesgrund. Der kan ikke gøres indsigelse på grundlag af klagenævnets medlemmers nationalitet.

4.Klagenævnet afgør uden det pågældende medlems medvirken, hvad der skal ske i de i stk. 2 og 3 omhandlede tilfælde. Med henblik på denne afgørelse erstattes det pågældende medlem i klagenævnet af den pågældendes suppleant.

Artikel 39
Klagemuligheder vedrørende afgørelser og manglende handling

1.Der kan indgives klager til klagenævnet over:

a)afgørelser vedtaget af ENISA, jf. artikel 22, stk. 3

b)manglende handling fra ENISA's side inden for de gældende frister, der er fastsat i artikel 22, stk. 4.

2.En klage, der indgives i henhold til stk. 1, underkastes berigtigelsesproceduren i artikel 41, inden den forelægges klagenævnet til behandling.

3.En klage, der indgives i henhold til stk. 1, har ikke opsættende virkning.

Artikel 40
Klageberettigede, frister og formkrav

1.Ansøgere som omhandlet i artikel 21, stk. 3, kan påklage

a)en afgørelse fra ENISA rettet til dem, jf. artikel 22, stk. 3

b)manglende handling fra ENISA's side med hensyn til en ansøgning indgivet af ansøgeren til ENISA inden for de gældende frister, der er fastsat i artikel 22, stk. 4.

2.I det tilfælde, der er omhandlet i stk. 1, litra a), indgives klagen sammen med begrundelsen herfor skriftligt i overensstemmelse med forretningsordenen, jf. artikel 36, stk. 5, senest to måneder efter at afgørelsen er meddelt den pågældende ansøger, eller i modsat fald senest to måneder efter at ansøgeren har fået kendskab til afgørelsen.

3.I det tilfælde, der er omhandlet i stk. 1, litra b), indgives klagen skriftligt til ENISA i overensstemmelse med forretningsordenen, jf. artikel 36, stk. 5, senest to måneder efter datoen for udløbet af den frist, der er fastsat i artikel 22, stk. 4.

Artikel 41
Berigtigelse af afgørelser

1.Hvis ENISA finder, at en klage kan behandles og er begrundet, berigtiger det afgørelsen eller afhjælper den manglende handling, jf. artikel 40, stk. 1.

2.Hvis ENISA ikke berigtiger afgørelsen senest en måned efter modtagelsen af klagen, afgør det omgående, om gennemførelsen af afgørelsen suspenderes, og henviser klagen til klagenævnet.

Artikel 42
Behandling af afgørelser i klagesager

1.Klagenævnet træffer inden for tre måneder efter indgivelse af en klage afgørelse om at godtage eller afvise klagen. Ved behandlingen af en klage handler klagenævnet inden for de frister, der er fastsat i dets forretningsorden. Det skal, så ofte det er påkrævet, opfordre klagesagens parter til inden for en fastsat frist at fremsætte deres bemærkninger til dets meddelelser eller til meddelelser fra de øvrige parter i klagesagen. Parterne i klagesager har ret til at fremlægge deres synspunkter mundtligt.

2.Hvis klagenævnet finder, at en klage er begrundet, henviser det sagen til ENISA. ENISA træffer endelige afgørelse i overensstemmelse med klagenævnets konklusioner og forelægger en begrundelse for afgørelsen. ENISA underretter klagesagens parter herom.

Artikel 43
Indbringelse af sager for Den Europæiske Unions Domstol

1.Søgsmål med påstand om annullation af afgørelser vedtaget af ENISA, jf. artikel 22, stk. 3, eller søgsmål vedrørende manglende handling inden for de gældende frister, jf. artikel 22, stk. 4, kan indbringes for Den Europæiske Unions Domstol, efter at klageproceduren hos ENISA, jf. artikel 39-42, er udtømt, eller i tilfælde af manglende handling inden for den gældende frist i henhold til artikel 41, stk. 2.

2.ENISA træffer de foranstaltninger, der er nødvendige for at efterkomme Den Europæiske Unions Domstols dom.

Afdeling 7 
Drift

Artikel 44
Samlet programmeringsdokument

1.ENISA virker i overensstemmelse med et samlet programmeringsdokument, som omfatter dets årlige og flerårige arbejdsprogram, og som skal indeholde alle planlagte aktiviteter.

2.Hvert år udarbejder den administrerende direktør under hensyntagen til Kommissionens retningslinjer det samlede programmeringsdokument, der er omhandlet i stk. 1, med de modsvarende planer for økonomiske og menneskelige ressourcer, jf. artikel 32 i Kommissionens delegerede forordning (EU) 2019/715 74 .

3.Senest den 30. november hvert år vedtager bestyrelsen det samlede programmeringsdokument, der er omhandlet i stk. 1, idet den tager Kommissionens udtalelse, jf. artikel 32, stk. 7, i delegeret forordning (EU) 2019/715, i betragtning. Hvis bestyrelsen beslutter ikke at tage hensyn til nogen elementer i Kommissionens udtalelse, giver den en udførlig begrundelse herfor. Bestyrelsen fremsender det samlede programmeringsdokument til Europa-Parlamentet, Rådet og Kommissionen senest den 31. januar i det følgende år, samt eventuelle efterfølgende ajourførte udgaver af dokumentet.

4.Det samlede programmeringsdokument bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget og justeres om nødvendigt.

5.Det årlige arbejdsprogram skal indeholde detaljerede mål og forventede resultater, herunder resultatindikatorer. Det skal også indeholde en beskrivelse af de foranstaltninger, der skal finansieres, og oplysninger om de økonomiske og menneskelige ressourcer, der afsættes til hver foranstaltning, i overensstemmelse med principperne om aktivitetsbaseret budgetlægning og -forvaltning. Det årlige arbejdsprogram skal være i overensstemmelse med det i stk. 7 omhandlede flerårige arbejdsprogram. Det skal klart anføres i programmet, hvilke opgaver der er blevet tilføjet, ændret eller slettet i forhold til det foregående regnskabsår.

6.Bestyrelsen ændrer det vedtagne årlige arbejdsprogram, hvis ENISA tillægges nye opgaver. Væsentlige ændringer af det årlige arbejdsprogram vedtages efter samme procedure som det oprindelige årlige arbejdsprogram. Bestyrelsen kan delegere beføjelsen til at foretage ikkevæsentlige ændringer i det årlige arbejdsprogram til den administrerende direktør.

7.Det flerårige arbejdsprogram skal angive den overordnede strategiske programmering, herunder mål, forventede resultater og resultatindikatorer. Det skal også indeholde ressourceprogrammeringen, herunder det flerårige budget og personale.

8.Ressourceprogrammeringen ajourføres hvert år. Den strategiske programmering ajourføres efter behov, og navnlig når det er nødvendigt for at tage højde for resultatet af den evaluering, der er omhandlet i artikel 120.

KAPITEL IV 
Opstilling af og struktur for ENISA's budget

Artikel 45
Opstilling af ENISA's budget

1.Hvert år udarbejder den administrerende direktør et foreløbigt udkast til overslag over ENISA's indtægter og udgifter for det følgende regnskabsår, herunder stillingsfortegnelsen, og sender det til bestyrelsen.

2.Det foreløbige udkast til overslag baseres på målene og de forventede resultater i det årlige arbejdsprogram og tager hensyn til de finansielle ressourcer, der er nødvendige for at nå disse mål og forventede resultater, i overensstemmelse med princippet om forsvarlig økonomisk forvaltning og præstation.

3.På grundlag af det foreløbige udkast til overslag vedtager bestyrelsen et udkast til overslag over ENISA's indtægter og udgifter for det følgende regnskabsår og sender det til Kommissionen senest den 31. januar hvert år.

4.Kommissionen sender udkastet til overslag til budgetmyndigheden sammen med forslaget til Unionens almindelige budget. Udkastet til overslag gøres også tilgængeligt for ENISA.

5.På grundlag af udkastet til overslag opfører Kommissionen de beløb, som den anser for nødvendige på baggrund af stillingsfortegnelsen, og det tilskud, der skal ydes over Unionens almindelige budget, i forslaget til Unionens almindelige budget, som forelægges for budgetmyndigheden i henhold til artikel 313 og 314 i TEUF.

6.Budgetmyndigheden godkender bevillingerne til bidraget fra Unionens almindelige budget til ENISA.

7.Budgetmyndigheden godkender ENISA's stillingsfortegnelse.

8.Bestyrelsen vedtager ENISA's budget. Budgettet bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget og justeres om nødvendigt i overensstemmelse hermed.

9.For ethvert byggeprojekt, der sandsynligvis vil få betydelige konsekvenser for ENISA's budget, finder delegeret forordning (EU) 2019/715 anvendelse.

Artikel 46
Struktur for ENISA's budget

1.Der udarbejdes hvert regnskabsår et overslag over alle ENISA's indtægter og udgifter, og de opføres i ENISA's budget. Regnskabsåret følger kalenderåret.

2.Der skal være ligevægt mellem indtægter og udgifter i ENISA' budget.

3.Uden at det berører andre ressourcer, udgøres ENISA's indtægter af:

a)et tilskud fra Unionen, som opføres på Unionens almindelige budget

b)formålsbestemte indtægter med henblik på specifikke udgiftsposter i overensstemmelse med de finansielle bestemmelser omhandlet i artikel 50

c)EU-finansiering i form af tilskudsaftaler eller ad hoc-tilskud i overensstemmelse med de finansielle bestemmelser for ENISA omhandlet i artikel 50 og med bestemmelserne i de relevante instrumenter til gennemførelse af Unionens politikker

d)gebyrer, der opkræves af ansøgere for aktiviteter i forbindelse med europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder, jf. artikel 22, stk. 1

e)gebyrer, der opkræves af overensstemmelsesvurderingsorganer for deltagelse i og udstedelse af europæiske cybersikkerhedsattester i henhold til en europæisk cybersikkerhedscertificeringsordning, jf. artikel 47, stk. 2

f)gebyrer, der opkræves af offentlige myndigheder eller private organer for afprøvningsværktøjer, jf. artikel 47, stk. 3

g)eventuelle bidrag fra tredjelande, der deltager i ENISA's arbejde i henhold til artikel 70, stk. 4

h)eventuelle frivillige bidrag fra medlemsstaterne i form af pengebeløb eller naturalier.

4.Medlemsstater, der yder frivillige bidrag som omhandlet i stk. 3, litra g), kan ikke påberåbe sig nogen specifikke rettigheder eller tjenester som følge heraf.

5.ENISA's udgifter omfatter vederlag til personale, administrations- og infrastrukturudgifter samt driftsudgifter.

Artikel 47
Gebyrer

1.For hver aktivitet i forbindelse med europæiske attesteringsordninger, jf. artikel 22, stk. 1, opkræves følgende gebyrer af ansøgere som omhandlet i artikel 21, stk. 3, eller af autoriserede attesteringsudbydere med henblik på at bidrage til at dække de fulde omkostninger ved de aktiviteter, som ENISA udfører:

a)udstedelse af autorisationer efter vurdering af kravene i artikel 21, stk. 3 og 4, herunder gennemførelse af evalueringer

b)årlig opretholdelse af autorisationer

c)fornyelse af autorisationer for udbydere af individuelle europæiske attesteringer af cybersikkerhedsfærdigheder, herunder gennemførelse af evalueringer.

2.For så vidt angår certificering opkræves følgende gebyrer af overensstemmelsesvurderingsorganer for vedligeholdelse af europæiske cybersikkerhedscertificeringsordninger, i henhold til hvilke der udstedes europæiske cybersikkerhedsattester, navnlig:

a)et årligt gebyr for deltagelse i en europæisk cybersikkerhedscertificeringsordning

b)et gebyr for udstedelse af europæiske cybersikkerhedsattester i henhold til europæiske cybersikkerhedscertificeringsordninger.

De gebyrer, der er omhandlet i litra b), opkræves, når overensstemmelsesvurderingsorganet sender europæiske cybersikkerhedsattester til ENISA med henblik på offentliggørelse på dets websted, jf. artikel 79.

3.For så vidt angår de afprøvningsværktøjer, der er omhandlet i artikel 15, stk. 1, opkræves der et gebyr af enhver offentlig myndighed eller ethvert privat organ for deres anvendelse.

4.Gebyrerne angives og betales i euro.

5.Kommissionen vedtager gennemførelsesretsakter, der indeholder detaljerede regler vedrørende fastsættelsen af de gebyrer, som ENISA skal opkræve, og som navnlig specificerer de anslåede omkostninger for hvert af de områder, for hvilke der kan opkræves gebyrer efter stk. 1, 2 og 3, samt de individuelle gebyrbeløb og de måder og betingelser, hvorpå gebyrerne skal betales. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2. Kommissionen hører ENISA, når den udarbejder disse udkast til gennemførelsesretsakter.

6.De gebyrer, der fastsættes ved de gennemførelsesretsakter, der er omhandlet i stk. 5, fastsættes på forhånd, så de står i et rimeligt forhold til de anslåede omkostninger ved de udførte aktiviteter eller leverede tjenester, som fastlagt på en omkostningseffektiv måde, og er tilstrækkelige til at dække disse omkostninger. Alle ENISA's udgifter til personale, der er involveret i de aktiviteter, der er omhandlet i stk. 1, 2 og 3, afspejles i de omkostninger, der skal dækkes. Gebyrerne fastsættes på et niveau, der forhindrer et underskud eller en betydelig akkumulering af overskud i ENISA's budget. Budgetoverskud som følge af gebyrer fremføres til finansiering af ENISA's aktiviteter, navnlig fremtidige aktiviteter vedrørende gebyrer, eller til kompensation for tab. Hvis der opstår en tilbagevendende betydelig positiv balance i budgettet som følge af aktiviteter, der dækkes af gebyrer, eller hvis der opstår en betydelig negativ balance som følge af leveringen af tjenester, der dækkes af gebyrer, ændrer Kommissionen de gennemførelsesretsakter, der er omhandlet i stk. 5, for at revidere metoden til beregning af gebyrerne i overensstemmelse med artikel 118, stk. 2.

Gebyrbeløbene for de opgaver, der er omhandlet i stk. 1, fastsættes på et niveau, hvor det sikres, at indtægterne i tilstrækkelig grad bidrager til at dække omkostningerne ved aktiviteterne i forbindelse med udvikling og vedligeholdelse af europæiske ordninger for individuelle attesteringer, behandling af ansøgninger og udstedelse og fornyelse af autorisationer samt de nødvendige modsvarende tilsynsaktiviteter fra ENISA's side.

Gebyrbeløbene for de opgaver, der er omhandlet i stk. 2, fastsættes på et niveau, hvor det sikres, at indtægterne i tilstrækkelig grad bidrager til at dække de fulde omkostninger ved aktiviteterne i forbindelse med vedligeholdelse af europæiske cybersikkerhedscertificeringsordninger, jf. artikel 75.

Gebyrbeløbene for de opgaver, der er omhandlet i stk. 3, fastsættes på et niveau, hvor det sikres, at indtægterne i tilstrækkelig grad bidrager til at dække omkostningerne ved aktiviteterne i forbindelse med levering af afprøvningsværktøjer, jf. artikel 15, stk. 1.

7.ENISA aflægger rapport om de opkrævede gebyrer og deres indvirkning på dets budget som led i den procedure for regnskabsaflæggelse, der er fastsat i artikel 50.

8.ENISA indfører et sæt indikatorer til måling af arbejdsbyrden og effektiviteten med hensyn til aktiviteter, der finansieres ved hjælp af gebyrer. I overensstemmelse hermed tilpasser ENISA sin personaleplanlægning og forvaltning af ressourcer vedrørende gebyrer for at kunne reagere hensigtsmæssigt på behov, der måtte opstå i denne sammenhæng, og eventuelle udsving i indtægterne fra gebyrer. ENISA deler rapporten med Kommissionen, og Kommissionen kan gøre brug af den med henblik på den evaluering, der er omhandlet i artikel 120, stk. 1.

Artikel 48
Gennemførelse af ENISA's budget

1.Den administrerende direktør er ansvarlig for gennemførelsen af ENISA's budget og varetager opgaverne som anvisningsberettiget.

2.Kommissionens interne revisor varetager i forhold til ENISA de samme funktioner, som er tildelt denne i forhold til Kommissionens tjenestegrene.

3.Den administrerende direktør sender hvert år budgetmyndigheden alle relevante oplysninger om resultaterne af evalueringsprocedurerne.

Artikel 49
Regnskabsaflæggelse og decharge

1.ENISA's regnskabsfører sender det foreløbige årsregnskab (år N) til Kommissionens regnskabsfører og Revisionsretten senest den 1. marts i det følgende regnskabsår (år N+1).

2.ENISA's regnskabsfører sender også de regnskabsoplysninger, som er nødvendige med henblik på konsolidering, til Kommissionens regnskabsfører senest den 1. marts i år N+1 på den måde og i det format, som sidstnævnte kræver.

3.ENISA sender en beretning om den budgetmæssige og økonomiske forvaltning for år N til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten senest den 31. marts i år N+1.

4.Ved modtagelsen af Revisionsrettens bemærkninger til ENISA's foreløbige årsregnskab for år N opstiller ENISA's regnskabsfører under eget ansvar ENISA's endelige årsregnskab. Den administrerende direktør forelægger disse for bestyrelsen med henblik på en udtalelse.

5.Bestyrelsen afgiver udtalelse om ENISA's endelige årsregnskab for år N.

6.ENISA's regnskabsfører sender det endelige årsregnskab for år N sammen med bestyrelsens udtalelse til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten senest den 1. juli i år N+1.

7.Et link til de websider, der indeholder ENISA's endelige årsregnskab, offentliggøres i Den Europæiske Unions Tidende senest den 15. november i år N+1.

8.Den administrerende direktør sender senest den 30. september i år N+1 Revisionsretten et svar på de bemærkninger, som denne har fremsat i sin årsberetning. Den administrerende direktør sender ligeledes dette svar til bestyrelsen og Kommissionen.

9.Hvis Europa-Parlamentet anmoder om det, forelægger den administrerende direktør alle oplysninger, der er nødvendige for, at dechargeproceduren for år N kan forløbe tilfredsstillende, for Europa-Parlamentet, jf. artikel 267, stk. 3, i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509.

10.Efter henstilling fra Rådet, der træffer afgørelse med kvalificeret flertal, meddeler Europa-Parlamentet inden den 15. maj i år N+2 den administrerende direktør decharge for gennemførelsen af budgettet for år N.

Artikel 50
Finansielle bestemmelser

1.De finansielle bestemmelser, der gælder for ENISA, vedtages af bestyrelsen efter høring af Kommissionen. Disse finansielle bestemmelser må kun afvige fra delegeret forordning (EU) 2019/715, hvis dette er særligt nødvendigt for ENISA's drift, og Kommissionen på forhånd har givet sit samtykke.

2.ENISA udarbejder og gennemfører sit budget i overensstemmelse med sine finansielle bestemmelser og forordning (EU, Euratom) 2024/2509.

Artikel 51
Bekæmpelse af svig

1.Med henblik på bekæmpelse af svig, korruption og andre retsstridige handlinger finder bestemmelserne i Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 75 ubegrænset anvendelse på ENISA's aktiviteter.

2.ENISA tiltræder den interinstitutionelle aftale af 25. maj 1999 mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Kommissionen for De Europæiske Fællesskaber om de interne undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) 76 , inden for seks måneder efter [OP: indsæt den nøjagtige dato, der henvises til i artikel 127] og vedtager de tilsvarende bestemmelser, som finder anvendelse på agenturets personale, ved hjælp af skabelonen i bilaget til aftalen.

3.Revisionsretten har beføjelse til gennem bilagskontrol og kontrol på stedet at kontrollere alle tilskudsmodtagere, kontrahenter og underkontrahenter, som har modtaget EU-midler gennem ENISA.

4.OLAF kan efter bestemmelserne og procedurerne i forordning (EU, Euratom) nr. 883/2013 og Rådets forordning (Euratom, EF) nr. 2185/96 77 foretage undersøgelser, herunder kontrol og inspektion på stedet, for at klarlægge, om der er begået svig, bestikkelse eller andre ulovlige aktiviteter, der berører Unionens finansielle interesser, i forbindelse med tilskud eller kontrakter, der finansieres af ENISA.

5.Uden at det berører stk. 1-4, skal ENISA's samarbejdsaftaler med tredjelande og internationale organisationer, kontrakter, tilskudsaftaler og afgørelser om ydelse af tilskud indeholde bestemmelser, der udtrykkeligt giver Revisionsretten og OLAF beføjelse til at foretage denne kontrol og disse undersøgelser i overensstemmelse med deres respektive beføjelser.

6.EPPO kan, i overensstemmelse med Rådets forordning (EU) 2017/1939, efterforske og retsforfølge svig og andre ulovlige aktiviteter, der skader Unionens finansielle interesser som nævnt i Europa-Parlamentets og Rådets direktiv (EU) 2017/1371 78 .

Artikel 52
Interesseerklæringer

1.Bestyrelsesmedlemmerne, den administrerende direktør, den viceadministrerende direktør og embedsmænd, der midlertidigt er udstationeret fra medlemsstaterne, afgiver hver især en loyalitetserklæring og en erklæring, hvori de anfører, hvorvidt der foreligger direkte eller indirekte interesser, der kan anses for at berøre deres uafhængighed. Erklæringerne skal være præcise og fuldstændige og afgives skriftligt hvert år og ajourføres, når det er nødvendigt.

2.Bestyrelsesmedlemmerne, den administrerende direktør, den viceadministrerende direktør og eksterne eksperter, der deltager i ad hoc-arbejdsgrupper, gør hver især på præcis og fyldestgørende vis senest ved hvert mødes start opmærksom på eventuelle interesser, som kan anses for at berøre deres uafhængighed med hensyn til de punkter, der er på dagsordenen, og afholder sig fra at deltage i drøftelserne af og afstemningen om sådanne punkter.

3.ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om interesseerklæringer gennemføres i praksis.

Artikel 53
Gennemsigtighed

1.ENISA sikrer, at der er en høj grad af gennemsigtighed i dets aktiviteter i overensstemmelse med artikel 55.

2.ENISA sikrer, at offentligheden og eventuelle interesserede parter får passende, objektive, pålidelige og let tilgængelige oplysninger, især vedrørende resultaterne af dets arbejde. Det gør også interesseerklæringer afgivet i overensstemmelse med artikel 52 offentligt tilgængelige.

3.Bestyrelsen kan på forslag af den administrerende direktør give interesserede parter tilladelse til at følge procedurerne i forbindelse med nogle af ENISA's aktiviteter.

4.ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om gennemsigtighed gennemføres i praksis.

Artikel 54
Fortrolighed inden for ENISA

1.Uden at det berører artikel 55, må ENISA ikke videregive oplysninger, som det behandler eller modtager, og for hvilke der foreligger en begrundet begæring om, at de holdes fortrolige, til tredjemand.

2.Bestyrelsesmedlemmerne, den administrerende direktør, den viceadministrerende direktør, medlemmerne af ENISA-Rådgivningsgruppen, eksterne eksperter, der deltager i ad hoc-arbejdsgrupperne, samt ENISA's personale, herunder embedsmænd, der midlertidigt er udstationeret fra medlemsstaterne, skal, selv efter at deres hverv er ophørt, overholde forpligtelsen til fortrolighed som fastsat i artikel 339 i TEUF.

3.ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om fortrolighed gennemføres i praksis.

Artikel 55
Aktindsigt

1.Forordning (EF) nr. 1049/2001 finder anvendelse på ENISA's dokumenter.

2.Bestyrelsen vedtager de praktiske bestemmelser til gennemførelse af forordning (EF) nr. 1049/2001.

3.De beslutninger, som ENISA træffer efter artikel 8 i forordning (EF) nr. 1049/2001, kan gøres til genstand for en klage til Den Europæiske Ombudsmand i henhold til artikel 228 i TEUF eller en klage indbragt for Den Europæiske Unions Domstol i henhold til artikel 263 i TEUF.

KAPITEL V 
Personale og forbindelsesofficerer

Artikel 56
Generelle bestemmelser

1.Tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte samt de regler, som EU-institutionerne i fællesskab har vedtaget for anvendelsen af tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte, gælder for ENISA's personale.

2.ENISA's personale, forbindelsesofficerer og udstationerede nationale eksperter i ENISA underkastes en passende sikkerhedsgodkendelsesprocedure.

Artikel 57
Privilegier og immuniteter

Protokol nr. 7 vedrørende Den Europæiske Unions privilegier og immuniteter, der er knyttet som bilag til TEUF, finder anvendelse på ENISA og dets personale.

Artikel 58
Forbindelsesofficerer

1.Hver medlemsstat udpeger mindst to forbindelsesofficerer fra en national kompetent myndighed, der er udpeget i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, som udstationerede nationale eksperter i ENISA til at arbejde i dets hovedsæde eller lokale kontor i overensstemmelse med artikel 59, stk. 2. Kommissionen kan også udpege en forbindelsesofficer.

2.Forbindelsesofficererne bidrager til udførelsen af ENISA's opgaver, herunder ved at facilitere det operationelle samarbejde og udvekslingen af oplysninger som omhandlet i artikel 11. Forbindelsesofficererne bistår også ENISA med at formidle oplysninger om dets aktiviteter, resultater og henstillinger til relevante interessenter i hele Unionen. De fungerer også som nationale kontaktpunkter for spørgsmål fra deres medlemsstater og vedrørende deres medlemsstater, enten ved at besvare disse spørgsmål direkte eller ved at samarbejde med deres nationale myndigheder.

3.Forbindelsesofficerer, der er udpeget af medlemsstaterne, har ret til at anmode om og modtage alle relevante oplysninger fra deres medlemsstater, som fastsat i denne forordning, idet de respekterer medlemsstaternes nationale ret og praksis fuldt ud, navnlig for så vidt angår databeskyttelse og fortrolighed.

Artikel 59
Udstationerede nationale eksperter og andet personale

1.ENISA kan inden for alle felter af sit arbejde gøre brug af udstationerede nationale eksperter og andet personale, der ikke er ansat af ENISA. Personalevedtægten og ansættelsesvilkårene gælder ikke for dette personale.

2.Bestyrelsen vedtager en afgørelse, der fastlægger regler for udstationering af nationale eksperter, herunder forbindelsesofficerer, i ENISA.

KAPITEL VI 
GENERELLE BESTEMMELSER VEDRØRENDE ENISA

Artikel 60
ENISA's retlige status

1.ENISA er et EU-organ, der har status som juridisk person.

2.ENISA har i hver medlemsstat den videstgående rets- og handleevne, som den pågældende medlemsstat nationale ret tillægger juridiske personer. Det kan navnlig erhverve og afhænde fast ejendom og løsøre og optræde som part i retssager.

3.ENISA repræsenteres af den administrerende direktør.

Artikel 61
Hovedsæde

ENISA har hovedsæde i Athen i Grækenland.

Artikel 62
Hjemstedsaftale og driftsvilkår

1.De nødvendige bestemmelser vedrørende de lokaler, der skal stilles til rådighed for ENISA i værtsmedlemsstaten, og de faciliteter, der skal stilles til rådighed af værtsmedlemsstaten, samt de særlige regler i værtsmedlemsstaten, der finder anvendelse på ENISA's administrerende direktør, bestyrelsesmedlemmerne, ENISA's personale og deres familiemedlemmer, fastsættes i en hjemstedsaftale mellem ENISA og værtsmedlemsstaten, der indgås, efter at bestyrelsen har godkendt den.

2.ENISA's værtsmedlemsstat sikrer de bedst mulige betingelser for, at ENISA kan fungere efter hensigten, idet der tages hensyn til stedets tilgængelighed, tilbud om tilstrækkelige uddannelsesfaciliteter for personalets børn, tilstrækkelig adgang til arbejdsmarkedet, social sikring og lægebehandling for personalets børn og ægtefæller.

Artikel 63
Administrativ kontrol

ENISA's virke er underlagt Den Europæiske Ombudsmands tilsyn i overensstemmelse med artikel 228 i TEUF.

Artikel 64
ENISA's ansvar

1.ENISA's ansvar i kontraktforhold reguleres af den lovgivning, der finder anvendelse på den pågældende kontrakt.

2.Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i henhold til en voldgiftsbestemmelse i en kontrakt, som ENISA har indgået.

3.For så vidt angår ansvar uden for kontraktforhold skal ENISA erstatte skader, der er forvoldt af ENISA eller af dets ansatte under udøvelsen af deres hverv, i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer.

4.Den Europæiske Unions Domstol har kompetence til at afgøre tvister vedrørende erstatning for skader som omhandlet i stk. 3.

5.ENISA's ansattes personlige ansvar over for agenturet er omfattet af bestemmelserne i tjenestemandsvedtægten eller ansættelsesvilkårene som gældende for dem.

Artikel 65
Sprogordning

1.Rådets forordning nr. 1 79 finder anvendelse på ENISA. Medlemsstaterne og andre organer, der er udpeget af medlemsstaterne, kan henvende sig til ENISA og modtage svar på det af EU-institutionernes officielle sprog, de ønsker.

2.Oversættelse og alle andre sprogtjenester, der er nødvendige for ENISA's drift, bortset fra tolkning, leveres af Oversættelsescentret for Den Europæiske Unions Organer.

Artikel 66
Beskyttelse af personoplysninger

1.ENISA's behandling af personoplysninger er omfattet af forordning (EU) 2018/1725.

2.Bestyrelsen vedtager gennemførelsesbestemmelser som omhandlet i artikel 45, stk. 3, i forordning (EU) 2018/1725. Bestyrelsen kan vedtage yderligere foranstaltninger, der er nødvendige med henblik på ENISA's anvendelse af forordning (EU) 2018/1725.

Artikel 67
Sikkerhedsregler for beskyttelse af følsomme ikkeklassificerede oplysninger og klassificerede oplysninger

Efter aftale med Kommissionen vedtager ENISA sikkerhedsregler, der bygger på sikkerhedsprincipperne i Kommissionens sikkerhedsforskrifter til beskyttelse af følsomme ikkeklassificerede oplysninger og EUCI som fastsat i afgørelse (EU, Euratom) 2015/443 80 og (EU, Euratom) 2015/444 81 . Disse sikkerhedsregler skal omfatte bestemmelser om udveksling, behandling og lagring af sådanne oplysninger.

Artikel 68
Samarbejde med EU-enheder og nationale myndigheder

1.Med henblik på at sikre sammenhæng, skabe synergi og behandle spørgsmål af fælles interesse samarbejder ENISA om spørgsmål vedrørende cybersikkerhed med CERT-EU og relevante EU-enheder, herunder Europol, Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed, som er oprettet ved forordning (EU) 2021/887, og Det Europæiske Databeskyttelsesråd, som er oprettet ved artikel 68, stk. 1, i forordning (EU) 2016/679.

2.Samarbejdet i stk. 1 kan sikres gennem:

a)udveksling af knowhow og bedste praksis

b)ydelse af rådgivning og vejledning om spørgsmål vedrørende cybersikkerhed

c)indførelse af praktiske ordninger for udførelse af bestemte opgaver efter høring af Kommissionen.

3.ENISA indgår i et struktureret samarbejde med CERT-EU, navnlig om spørgsmål vedrørende kapacitetsopbygning, operationelt samarbejde og langsigtede strategiske analyser af cybertrusler.

4.ENISA samarbejder og udveksler oplysninger med relevante markedsovervågningsmyndigheder og tilsynsmyndigheder, der er udpeget i henhold til EU-lovgivningen på cybersikkerhedsområdet, herunder forordning (EU) 2024/2847.

Artikel 69
Samarbejde med interessenter

1.Hvor det er nødvendigt for at nå målene i nærværende forordning, samarbejder ENISA med relevante interessenter såsom cybersikkerhedsindustrien, IKT-industrien, SMV'er, enheder, der opererer i de sektorer, der er opført i bilag I og II til direktiv (EU) 2022/2555, producenter, importører eller distributører af produkter med digitale elementer som omhandlet i forordning (EU) 2024/2847, overensstemmelsesvurderingsorganer, der er anmeldt i henhold til den europæiske ramme for cybersikkerhedscertificering og forordning (EU) 2024/2847, enheder, der opererer på området for elektroniske identifikationsmidler, forbrugergrupper og akademiske eksperter inden for cybersikkerhed. Med henblik herpå kan ENISA etablere offentlig-private partnerskaber.

2.ENISA støtter i samråd med Kommissionen samarbejdet mellem anmeldte overensstemmelsesvurderingsorganer, jf. artikel 93. Det kan navnlig nedsætte en gruppe af anmeldte overensstemmelsesvurderingsorganer med henblik på udveksling af bedste praksis og for at skabe synergi med anden relevant EU-lovgivning, navnlig forordning (EU) 2024/2847.

Artikel 70
Samarbejde med tredjelande og internationale organisationer

1.I det omfang det er nødvendigt for at nå målene i denne forordning, kan ENISA samarbejde med kompetente myndigheder i tredjelande, internationale organisationer eller begge i overensstemmelse med Unionens prioriteter. I det øjemed kan ENISA etablere samarbejdsordninger med myndigheder i tredjelande og internationale organisationer på betingelse af Kommissionens forudgående godkendelse. Disse samarbejdsordninger må ikke skabe retlige forpligtelser for Unionen og dens medlemsstater.

2.Bestyrelsen vedtager en strategi for forbindelser med tredjelande og internationale organisationer for så vidt angår spørgsmål under ENISA's kompetenceområde og i overensstemmelse med de i stk. 1 nævnte prioriteter. Kommissionen sikrer, at ENISA arbejder inden for sit mandat og den eksisterende institutionelle ramme, ved at indgå passende samarbejdsordninger med den administrerende direktør.

3.For at støtte samarbejdet med tredjelande, navnlig lande, der er kandidater til tiltrædelse af Unionen, kan ENISA stille sin kapacitetsopbygningsekspertise til rådighed, navnlig på følgende områder:

a)vurdering af modenhedsniveauet for cybersikkerhedskapaciteter og -ressourcer

b)forøgelse og styrkelse af arbejdsstyrken inden for cybersikkerhed, herunder ved at fremme ECSF og de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder og tilbyde lærings- og uddannelsesaktiviteter

c)støtte til planlægning og gennemførelse af cybersikkerhedsøvelser.

4.Tredjelande, som har indgået aftaler med Unionen herom, kan deltage i ENISA's arbejde. Der fastlægges i henhold til de relevante bestemmelser i de aftaler, der er indgået mellem tredjelandene og Unionen, og på betingelse af Kommissionens forudgående godkendelse, samarbejdsordninger, hvori navnlig arten og omfanget af disse landes deltagelse i ENISA's arbejde fastsættes, samt på hvilken måde deltagelsen i ENISA's arbejde skal ske, og der fastsættes bestemmelser om deltagelse i initiativer iværksat af ENISA, om økonomiske bidrag og om personale. Hvad angår personaleanliggender skal disse samarbejdsordninger under alle omstændigheder overholde tjenestemandsvedtægten og ansættelsesvilkårene.

5.ENISA aflægger regelmæssigt rapport til Rådet og Kommissionen om gennemførelsen af de samarbejdsordninger, der er omhandlet i stk. 1 og 4.

AFSNIT III

EUROPÆISK RAMME FOR CYBERSIKKERHEDSCERTIFICERING

KAPITEL I 
Formål, omfang og procedurer

Artikel 71
Formål med og omfang af den europæisk ramme for cybersikkerhedscertificering

1.Den europæiske ramme for cybersikkerhedscertificering etableres med henblik på at skabe et digitalt indre marked for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheder. Den skal med henblik herpå øge cybersikkerhedsniveauet i Unionen og muliggøre en harmoniseret tilgang til europæiske cybersikkerhedscertificeringsordninger samt fremme certificering for at lette overholdelsen af den gældende EU-lovgivning.

2.Den europæiske ramme for cybersikkerhedscertificering skal omfatte en mekanisme til etablering af europæiske cybersikkerhedscertificeringsordninger og attestering af følgende:

a)at IKT-produkter, IKT-tjenester og IKT-processer, der er blevet evalueret i overensstemmelse med sådanne ordninger, opfylder de fastlagte sikkerhedskrav med henblik på at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data, der lagres, overføres eller behandles, eller de funktioner eller tjenester, der tilbydes i eller er tilgængelige via disse produkter, tjenester og processer, i hele deres livscyklus

b)at administrerede sikkerhedstjenester, der er blevet evalueret i overensstemmelse med sådanne ordninger, opfylder de fastlagte sikkerhedskrav med henblik på at beskytte tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, der tilgås, behandles, lagres eller overføres i forbindelse med leveringen af disse tjenester, og at disse tjenester løbende leveres med den nødvendige kompetence, ekspertise og erfaring af personale med et tilstrækkeligt og passende niveau af relevant teknisk viden og faglig integritet

c)at en enheds cybersikkerhedstilstand, der er blevet evalueret i overensstemmelse med sådanne ordninger, opfylder de fastlagte cybersikkerhedskrav.

3.Den europæiske cybersikkerhedscertificering er frivillig, medmindre andet er fastsat i EU-retten eller i national ret.

4.Europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, der er udstedt i henhold til den europæiske ramme for cybersikkerhedscertificering, anerkendes automatisk i alle medlemsstater.

Artikel 72
Offentlig oplysning og høring

1.Mindst en gang om året tilrettelægger Kommissionen med støtte fra ENISA en europæisk forsamling vedrørende cybersikkerhedscertificering og indbyder ECCG-medlemmer og andre relevante eksperter fra medlemsstaterne, relevante eksperter fra EU-enheder og relevante interessenter til at drøfte strategiske prioriteter for harmoniseringen inden for cybersikkerhedscertificering.

2.Kommissionen vedligeholder og ajourfører regelmæssigt et særligt websted med oplysninger om følgende aspekter:

a)europæiske cybersikkerhedscertificeringsordninger, som er anmodet udviklet, jf. artikel 73

b)strategiske prioriteter for harmoniseringen af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester, enheders cybersikkerhedstilstand eller sikkerhedskrav i EU-lovgivningen, herunder potentielle områder, for hvilke der kan anmodes om en europæisk cybersikkerhedscertificeringsordning.

3.Kommissionen offentliggør på det websted, der er omhandlet i denne artikels stk. 2, oplysninger om sine anmodninger til ENISA om at udarbejde forslag til ordninger, jf. artikel 73, og sine afgørelser om at acceptere, afvise eller ikke gå videre med et forslag til ordning, som ENISA har fremsendt, jf. artikel 74, stk. 7.

4.Under ENISA's udarbejdelse af et forslag til ordning, jf. artikel 74, kan Europa-Parlamentet og Rådet anmode Kommissionen, i dens egenskab af formand for ECCG, og ENISA om at fremlægge relevante oplysninger om udkastet til forslag til ordning. Efter anmodning fra Europa-Parlamentet eller Rådet kan ENISA efter aftale med Kommissionen og med forbehold af artikel 54 stille relevante dele af udkastet til forslag til ordning til rådighed for Europa-Parlamentet og Rådet på en måde, der svarer til det krævede fortrolighedsniveau, og, hvis det er relevant, på en begrænset måde.

5.Europa-Parlamentet og Rådet kan opfordre Kommissionen og ENISA til at drøfte spørgsmål vedrørende gennemførelsen af europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand.

Artikel 73
Anmodninger om europæiske cybersikkerhedscertificeringsordninger

1.Kommissionen kan anmode ENISA om at udarbejde et forslag til en europæisk cybersikkerhedscertificeringsordning for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand.

2.I behørigt begrundede tilfælde kan ECCG foreslå Kommissionen at fremsætte en anmodning som omhandlet i stk. 1.

3.Anmodningen i stk. 1 skal indeholde en detaljeret beskrivelse af formålet med, omfanget af og de nærmere bestemmelser for opfyldelsen af de relevante krav om sikkerhedsmålsætninger og elementer, der er fastsat i artikel 80 og 81. Anmodningen skal også angive udviklingsplanen for forslaget til europæisk cybersikkerhedscertificeringsordning og de relevante tekniske specifikationer, der skal henvises til eller defineres i ordningen.

4.Ved udarbejdelsen af anmodningen i stk. 1 hører Kommissionen på behørig vis ENISA og ECCG samt tager hensyn til synspunkterne hos alle relevante interessenter og andre EU-enheder, herunder i påkommende tilfælde dem, der er relevante i henhold til EU-lovgivning, efter hvilken en europæisk cybersikkerhedscertificeringsordning påviser overholdelse og giver formodning om overensstemmelse.

Artikel 74
Udarbejdelse og vedtagelse af europæiske cybersikkerhedscertificeringsordninger

1.Senest 12 måneder efter modtagelsen af en anmodning fra Kommissionen i henhold til artikel 73, medmindre andet fremgår af anmodningen, udarbejder ENISA et forslag til europæisk cybersikkerhedscertificeringsordning, der opfylder de krav, der er fastsat i artikel 80 og 81.

2.Til udarbejdelsen af hvert forslag til ordning nedsætter ENISA en ad hoc-arbejdsgruppe i overensstemmelse med artikel 32, stk. 6, som skal stille ekspertrådgivning til rådighed for ENISA.

3.Under udarbejdelsen af forslaget til ordning arbejder ENISA tæt sammen med ECCG. ECCG yder ENISA bistand og ekspertrådgivning i forbindelse med udarbejdelsen af forslaget til ordning og, hvis det er relevant, understøttende tekniske specifikationer.

4.Under udarbejdelsen af forslaget til ordning og herunder, hvis det er relevant, understøttende tekniske specifikationer hører ENISA rettidigt interessenterne ved hjælp af en formel, åben, gennemsigtig og inklusiv høringsproces. ENISA samarbejder også med relevante offentlige myndigheder i medlemsstaterne og med relevante EU-enheder for at indhente deres ekspertrådgivning i forbindelse med udarbejdelsen af forslaget til ordning og, hvis det er relevant, understøttende tekniske specifikationer. Når ENISA fremsender forslaget til ordning til Kommissionen, jf. stk. 6, redegør det for, på hvilken måde det har opfyldt nærværende stykke.

5.Inden ENISA fremsender forslaget til ordning og, hvis det er relevant, de understøttende tekniske specifikationer til Kommissionen, anmoder det medlemmerne af ECCG om at afgive skriftlige udtalelser om forslaget til ordning. Udtalelserne afgives senest 30 dage efter datoen for anmodningen. ENISA tager størst muligt hensyn til ECCG-medlemmernes udtalelser. Fraværet af sådanne udtalelser forhindrer ikke ENISA i at fremsende forslaget til ordning til Kommissionen.

6.ENISA fremsender forslaget til ordning til Kommissionen senest 60 dage efter datoen for den anmodning, der er omhandlet i stk. 5.

7.Når Kommissionen modtager forslaget til ordning, vurderer den, om ordningen svarer til den anmodning, der er fremsat i henhold til artikel 73. Senest 30 dage efter datoen for fremsendelsen af forslaget til ordning gør Kommissionen ét af følgende:

a)accepterer forslaget til ordning

b)sender forslaget til ordning tilbage til ENISA med henblik på revision sammen med en begrundelse for tilbagesendelsen og en frist på højst 90 dage, inden for hvilken ENISA skal forelægge et revideret forslag til ordning

c)går ikke videre med forslaget til ordning.

8.Hvis Kommissionen sender et forslag til ordning tilbage til ENISA med henblik på revision, jf. stk. 7, litra b), finder stk. 4, 5 og 7 tilsvarende anvendelse.

9.Kommissionen tillægges beføjelser til på grundlag af det accepterede forslag til ordning, som ENISA har udarbejdet, at vedtage gennemførelsesretsakter om en europæisk cybersikkerhedscertificeringsordning for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, der opfylder kravene i artikel 80 og 81. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

10.Kommissionen kan henvise til tekniske specifikationer, der er udarbejdet af ENISA, i de gennemførelsesretsakter, der er omhandlet i denne artikels stk. 9, i overensstemmelse med artikel 18 og 77.

11.Kommissionen kan fastsætte betingelserne for international anerkendelse af europæiske cybersikkerhedsattester i de gennemførelsesretsakter, der er omhandlet i denne artikels stk. 9, i overensstemmelse med artikel 87.

Artikel 75
Vedligeholdelse af europæiske cybersikkerhedscertificeringsordninger

1.I hver europæisk cybersikkerhedscertificeringsordning fastlægges en vedligeholdelsesstrategi. Vedligeholdelsesstrategien skal skitsere forventningerne med hensyn til vedligeholdelsesaktiviteter, navnlig dem, der vedrører de standarder eller tekniske specifikationer, som der henvises til i ordningen, og interaktionen med relevante interessenter.

2.ENISA sikrer i samarbejde med Kommissionen og med støtte fra ECCG og dennes relevante vedligeholdelsesundergruppe, at europæiske cybersikkerhedscertificeringsordninger vedligeholdes, herunder med henblik på Kommissionens eventuelle revision af ordningerne. ENISA samarbejder og udveksler oplysninger med relevante EU-enheder og grupper i forbindelse med vedligeholdelsesaktiviteter.

3.ENISA kan tilrettelægge, at den private sektor inddrages i vedligeholdelsen af en ordning i form af en ad hoc-arbejdsgruppe i overensstemmelse med den i stk. 1 omhandlede vedligeholdelsesstrategi.

4.Vedligeholdelsesaktiviteterne for europæiske cybersikkerhedscertificeringsordninger omfatter følgende:

a)udarbejdelse, ajourføring og godkendelse af tekniske specifikationer og retningslinjer til støtte for en harmoniseret og ensartet anvendelse af ordningerne

b)angivelse af standarder eller tekniske specifikationer, der er relevante for ordningen

c)interaktion og, hvor det er relevant, etablering af forbindelser med relevante interessenter, inklusive europæiske eller internationale standardiseringsorganisationer, herunder med henblik på at yde eller modtage tekniske bidrag

d)udstedelse af anbefalinger til Kommissionen om nødvendige forbedringer og ajourføringer af ordningerne, herunder med henblik på en eventuel revision af ordningerne

e)udveksling af oplysninger om den praktiske gennemførelse af ordningerne mellem medlemsstaterne

f)bidrag til peerreview- og peervurderingsmekanismer og analyser af resultatet af sådanne vurderinger med henblik på at forbedre ordningernes funktion og støtte en eventuel revision af dem.

5.ECCG kan afgive en udtalelse om vedligeholdelsen af europæiske cybersikkerhedscertificeringsordninger.

Artikel 76
Evaluering, revision og tilbagetrækning af europæiske cybersikkerhedscertificeringsordninger

1.Mindst hvert fjerde år efter at en europæisk cybersikkerhedscertificeringsordning begynder at finde anvendelse, evaluerer ENISA ordningens virkning og effektivitet i samarbejde med ECCG's relevante vedligeholdelsesundergruppe og under hensyntagen til den feedback, der er modtaget fra interessenterne. ENISA udfører evalueringen ved at foretage en markedsanalyse i overensstemmelse med artikel 8, stk. 1.

2.Efter evalueringen i stk. 1 kan Kommissionen revidere eller tilbagetrække gennemførelsesretsakterne om den europæiske cybersikkerhedscertificeringsordning, jf. artikel 74, stk. 9.

3.Når Kommissionen reviderer eller trækker europæiske cybersikkerhedscertificeringsordninger tilbage, hører den ENISA, ECCG og dennes relevante vedligeholdelsesundergruppe og tager hensyn til de relevante interessenters og andre EU-enheders synspunkter.

4.ECCG kan afgive en udtalelse om revisionen eller tilbagetrækningen af en europæisk cybersikkerhedscertificeringsordning. Kommissionen tager behørigt hensyn til udtalelsen, når den reviderer eller trækker den europæiske cybersikkerhedscertificeringsordning tilbage.

Artikel 77
Tekniske specifikationer i europæiske cybersikkerhedscertificeringsordninger

1.ENISA kan udarbejde tekniske specifikationer med henblik på en fremtidig europæisk cybersikkerhedscertificeringsordning eller til støtte for vedligeholdelsen af en europæisk cybersikkerhedscertificeringsordning.

2.De tekniske specifikationer, der er omhandlet i denne artikels stk. 1, udarbejdes rettidigt med støtte fra ECCG og dennes vedligeholdelsesundergrupper og, hvis det er relevant, den tilsvarende ad hoc-arbejdsgruppe, jf. artikel 75, stk. 3. Med henblik herpå indhenter ENISA også bidrag fra relevante interessentgrupper under hensyntagen til den vedligeholdelsesstrategi, der er omhandlet i artikel 75, stk. 1.

3.Når der henvises til tekniske specifikationer i en europæisk cybersikkerhedscertificeringsordning som beskrevet i artikel 74, stk. 10, gøres de tilgængelige på det websted, der er omhandlet i artikel 79.

4.I behørigt begrundede tilfælde, navnlig hvis de tekniske specifikationer indeholder oplysninger, der kan kompromittere sikkerheden af certificerede IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, må de kun deles med de interessenter, der er berørt af kravene i ordningen. Der må ikke henvises til sådanne tekniske specifikationer i en europæisk cybersikkerhedscertificeringsordning som beskrevet i artikel 74, stk. 10.

Artikel 78 
Fremme af overholdelsen af EU-lovgivningen

1.Hvis det er fastsat i en specifik EU-retsakt, skal en attest udstedt i henhold til en europæisk cybersikkerhedscertificeringsordning påvise overholdelse af og give formodning om overensstemmelse med de tilsvarende krav i den pågældende retsakt.

2.Evalueringsaktiviteter under en europæisk cybersikkerhedscertificeringsordning skal være i overensstemmelse med den tilsvarende EU-retsakt, der fastsætter bestemmelser om påvisning af overholdelse og formodning om overensstemmelse. Hvis sådanne evalueringsaktiviteter ikke er specificeret i den pågældende EU-retsakt, skal de fremgå af ordningen. En overensstemmelsesvurdering med henblik på certificering, der giver formodning om overensstemmelse med kravene i EU-lovgivningen, foretages af et tredjepartsorgan.

3.I mangel af harmoniseret EU-lovgivning kan national lovgivning også fastsætte, at en europæisk cybersikkerhedscertificeringsordning kan anvendes til at påvise overholdelse af og skabe en formodning om overensstemmelse med specifikke retlige krav i national ret.

Artikel 79
Udbredelse af europæiske cybersikkerhedscertificeringsordninger, ENISA's websted og offentliggørelse af attester

1.ENISA tilrettelægger aktiviteter for at fremme udbredelsen af vedtagne europæiske cybersikkerhedscertificeringsordninger, herunder ved at vedligeholde det websted, der er omhandlet i denne artikels stk. 2.

2.ENISA vedligeholder og ajourfører regelmæssigt et særligt websted med offentlige oplysninger om:

a)europæiske cybersikkerhedscertificeringsordninger

b)de gebyrer, der er forbundet med vedligeholdelsen af hver enkelt europæisk cybersikkerhedscertificeringsordning

c)relevante tekniske specifikationer fra ENISA

d)europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, herunder oplysninger om sådanne attester og erklæringer, der ikke længere er gyldige, eller som er suspenderet, trukket tilbage eller udløbet

e)relevante supplerende cybersikkerhedsoplysninger givet i overensstemmelse med artikel 84

f)sammenfatninger af peerreviews, jf. artikel 89, stk. 7

g)tekniske specifikationer, som der henvises til i en europæisk cybersikkerhedscertificeringsordning, jf. artikel 74, stk. 10.

3.Hvor det er relevant, skal det i stk. 2 omhandlede websted også angive de nationale cybersikkerhedscertificeringsordninger, som er blevet erstattet af en europæisk cybersikkerhedscertificeringsordning.

KAPITEL II 
Europæiske cybersikkerhedscertificeringsordningers indhold

Artikel 80
Sikkerhedsmålsætninger for europæiske cybersikkerhedscertificeringsordninger

1.En europæisk cybersikkerhedscertificeringsordning skal forfølge følgende sikkerhedsmålsætninger, alt efter hvad der er relevant:

a)at garantere, at IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester er sikre som følge af standardindstillinger og indbygget sikkerhed

b)at beskytte data, som lagres, overføres eller på anden måde behandles, mod utilsigtet eller uautoriseret lagring, behandling, adgang eller offentliggørelse ved hjælp af passende tekniske midler, idet hele IKT-produkternes, IKT-tjenesternes eller IKT-processernes livscyklus tages i betragtning

c)at beskytte integriteten af lagrede, overførte eller på anden måde behandlede personoplysninger eller andre data, kommandoer, programmer og konfigurationer mod enhver manipulation eller ændring, som brugeren ikke har givet tilladelse til, og give melding om korruption, idet hele IKT-produkternes, IKT-tjenesternes eller IKT-processernes livscyklus tages i betragtning

d)at sikre beskyttelse mod uautoriseret adgang ved hjælp af passende kontrolmekanismer, herunder, men ikke begrænset til, autentifikations-, identitets- eller adgangsstyringssystemer, og give melding om mulig ikkeautoriseret adgang

e)at identificere og dokumentere komponenter og sårbarheder, herunder, hvis det er relevant, ved at udarbejde en softwarekomponentliste, der som minimum dækker de vigtigste afhængighedsforhold

f)at levere sikkerhedsrelaterede oplysninger ved at registrere og overvåge relevant intern aktivitet, herunder adgang til eller ændring af data, tjenester eller funktioner, alt efter hvad der er relevant, med en fravalgsmekanisme for brugeren

g)at verificere, at IKT-produkter, IKT-tjenester og IKT-processer ikke indeholder kendte sårbarheder, der kan udnyttes

h)at beskytte tilgængeligheden af væsentlige og grundlæggende funktioner, også efter en hændelse, herunder gennem modstandsdygtigheds- og afbødningsforanstaltninger mod denial of service-angreb

i)at minimere den negative indvirkning på tilgængeligheden af tjenester, der leveres af andre net og enheder, i tilfælde af en fysisk eller teknisk hændelse

j)at sikre, at IKT-produkter, IKT-tjenester og IKT-processer prøves regelmæssigt, og at deres sikkerhed gennemgås

k)at sikre, at sårbarheder behandles og afhjælpes uden ophold, herunder gennem sikkerhedsopdateringer, og at oplysninger om afhjulpne sårbarheder deles og offentliggøres, medmindre risiciene ved offentliggørelse vejer tungere end de sikkerhedsmæssige fordele

l)at sikre, at der er indført en politik for koordineret offentliggørelse af sårbarheder

m)at lette udvekslingen af oplysninger om potentielle sårbarheder i IKT-produkter, IKT-tjenester og IKT-processer

n)at sikre, at når der foreligger sikkerhedsopdateringer til håndtering af konstaterede sikkerhedsproblemer, formidles disse sikkerhedsopdateringer uden ophold

o)at sikre, at den nødvendige kompetence, ekspertise og erfaring er til rådighed for de administrerede sikkerhedstjenester, herunder at det personale, der har til opgave at levere disse tjenester, har et tilstrækkeligt og passende niveau af teknisk viden og kompetence på det specifikke område, tilstrækkelig og relevant erfaring og den højeste grad af faglig integritet

p)at sikre, at de IKT-produkter, IKT-tjenester og IKT-processer, der anvendes til levering af administrerede sikkerhedstjenester, er sikre som følge af indbygget sikkerhed og standardindstillinger, og, hvor det er relevant, omfatter de seneste sikkerhedsopdateringer og ikke har kendte sårbarheder.

q)at sikre, at den certificerede enhed har indført passende interne procedurer til at sikre, at tjenester leveres på et tilstrækkeligt og passende kvalitetsniveau

r)at sikre, at den certificerede enhed er i stand til at identificere, beskytte mod, opdage, reagere på og genoprette efter hændelser

s)at sikre, at den certificerede enhed er i stand til at styre risiciene for sikkerheden i de net- og informationssystemer, som enheden anvender til sine operationer eller til at levere sine tjenester, samt til at forhindre hændelser eller minimere deres indvirkning på modtagere af enhedens tjenester og på andre tjenester

t)at sikre, at den certificerede enhed er i stand til at opbygge, garantere og gennemgå sin driftsmæssige integritet og pålidelighed ved, enten direkte eller indirekte gennem anvendelse af tjenester, der leveres af en tredjepartsudbyder af IKT-tjenester, at sikre, at enheden har det fulde spektrum af nødvendige IKT-relaterede kapaciteter til at varetage sikkerheden i de net- og informationssystemer, som anvendes af enheden, og som understøtter den løbende levering af tjenester og disses kvalitet, herunder under forstyrrelser

u)at sikre, at den certificerede enhed er i stand til at gennemføre og vedligeholde et system til styring af informationssikkerhed

v)at modstå enhver begivenhed, der kan kompromittere tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data, der lagres, overføres eller behandles, eller af de tjenester, der tilbydes i eller er tilgængelige via de net- og informationssystemer, som enheden anvender, samt at sikre den fortsatte levering af tjenester og disses kvalitet, herunder under afbrydelser

w)at sikre, at enheden er i stand til at garantere sikkerheden i forbindelse med behandling af personoplysninger.

2.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 119 med henblik på at ændre denne artikels stk. 1 ved at tilføje eller ændre sikkerhedsmålsætninger, så de afspejler den seneste teknologiske udvikling og nye relaterede trusler samt vedtagelsen af ny EU-lovgivning, der fastsætter bestemmelser om påvisning af overholdelse af og formodning om overensstemmelse med relevante cybersikkerhedskrav i nævnte lovgivning gennem europæisk cybersikkerhedscertificering.

3.En europæisk cybersikkerhedscertificeringsordning, der vedrører produkter med digitale elementer som defineret i artikel 3, nr. 1), i forordning (EU) 2024/2847, udformes i overensstemmelse med de væsentlige cybersikkerhedskrav i nævnte forordnings bilag I og under hensyntagen til de tilgængelige harmoniserede standarder.

Artikel 81
Elementer i europæiske cybersikkerhedscertificeringsordninger

1.En europæisk cybersikkerhedscertificeringsordning skal som minimum omfatte følgende elementer:

a)certificeringsordningens genstand og omfang, herunder de typer eller kategorier af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller enhedens aktiver, tjenester og funktioner, der er omfattet af certificeringen

b)en klar beskrivelse af ordningens formål og, hvis det er relevant, en angivelse af den EU-lovgivning, der fastsætter krav, som de europæiske cybersikkerhedsattester påviser overholdelse af og giver formodning om overensstemmelse med

c)vedligeholdelsesstrategien med en angivelse af tilgangen til vedligeholdelsesaktiviteterne, jf. artikel 75

d)de specifikke cybersikkerhedskrav, evalueringskriterier og metoder, der skal anvendes til evaluering af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, samt henvisninger til de internationale, europæiske eller nationale standarder, der anvendes i evalueringen af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, eller, hvis sådanne standarder ikke foreligger eller ikke er hensigtsmæssige, til tekniske specifikationer udarbejdet af ENISA, jf. artikel 77, eller, hvis sådanne specifikationer ikke foreligger, til andre tekniske specifikationer

e)den maksimale gyldighedsperiode for europæiske cybersikkerhedsattester udstedt i henhold til ordningen.

2.En europæisk cybersikkerhedscertificeringsordning skal som minimum omfatte regler og betingelser vedrørende følgende:

a)overvågning af IKT-produkters, IKT-tjenesters, IKT-processers, administrerede sikkerhedstjenesters eller enheders cybersikkerhedstilstands overholdelse af kravene i de europæiske cybersikkerhedsattester eller EU-overensstemmelseserklæringerne, herunder mekanismerne til at påvise den fortsatte overholdelse af de angivne cybersikkerhedskrav

b)udstedelse, bekræftelse, tilbagetrækning og fornyelse af de europæiske cybersikkerhedsattester, udvidelse eller indskrænkning af certificeringens omfang og recertificering

c)følgerne for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheder, som er blevet certificeret, eller for hvilke en EU-overensstemmelseserklæring er udstedt, men som ikke overholder kravene i ordningen

d)hvordan hidtil uopdagede cybersikkerhedssårbarheder i IKT-produkter, IKT-tjenester og IKT-processer skal indberettes og håndteres

e)indholdet af og formatet for de europæiske cybersikkerhedsattester og de EU-overensstemmelseserklæringer, der skal udstedes

f)tilgængelighedsperioden for EU-overensstemmelseserklæringen, den tekniske dokumentation og alle de øvrige relevante oplysninger, der skal stilles til rådighed af producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller af enheder, hvis cybersikkerhedstilstand er genstand for certificering

g)alle peervurderingsmekanismer oprettet under ordningen for myndigheder eller organer, der udsteder europæiske cybersikkerhedsattester i henhold til artikel 85, stk. 4, uden at det berører det peerreview, der er omhandlet i artikel 90

h)fortroligheden af oplysninger og data, som enhver part kommer i besiddelse af ved udførelsen af opgaver og aktiviteter i forbindelse med gennemførelsen af bestemmelserne i dette afsnit

i)det format og de procedurer, der skal følges af producenter eller udbydere af IKT-produkter, IKT-tjenester eller IKT-processer, når de giver og ajourfører de supplerende cybersikkerhedsoplysninger, jf. artikel 84, og

j)kontinuiteten i certificeringsaktiviteterne i ekstraordinære krisesituationer, som er uundgåelige og hindrer muligheden for at anvende certificeringsordningens regler.

3.En europæisk cybersikkerhedscertificeringsordning skal, i det omfang det er relevant, også omfatte følgende:

a)et eller flere tillidsniveauer og tilsvarende evalueringsniveauer

b)beskyttelsesprofiler med henblik på at præcisere, hvilke sikkerhedskrav der gælder for en given kategori af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester

c)udvidelsesprofiler med henblik på at fastsætte yderligere sikkerhedskrav, herunder, hvis det er relevant, sikkerhedskrav fastsat i nationale bestemmelser til gennemførelse af EU-retten

d)en præcisering af, hvilke overensstemmelsesvurderingsaktiviteter, herunder kalibrering, prøvning, certificering og kontrol, der for tillidsniveauet "højt" eller med henblik på at påvise overholdelse og give formodning om overensstemmelse er tilladt uden for Det Europæiske Økonomiske Samarbejdsområde (EØS)

e)en angivelse af nationale eller internationale cybersikkerhedscertificeringsordninger, som dækker samme type eller kategorier af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand

f)yderligere eller specifikke krav, der gælder for overensstemmelsesvurderingsorganerne for at sikre deres tekniske kompetence til at evaluere cybersikkerhedskravene

g)de oplysninger, der er nødvendige for certificeringen, og som en ansøger skal give eller på anden måde stille til rådighed for overensstemmelsesvurderingsorganerne

h)mærker eller etiketter, samt under hvilke omstændigheder sådanne mærker eller etiketter kan anvendes

i)betingelser for international anerkendelse af europæiske cybersikkerhedsattester, jf. artikel 87.

4.De angivne krav i den europæiske cybersikkerhedscertificeringsordning skal være i overensstemmelse med kravene i EU-lovgivningen.

5.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter, der fastsætter fælles principper og modelbestemmelser for elementerne i stk. 1, 2 og 3 på tværs af europæiske cybersikkerhedscertificeringsordninger. En europæisk cybersikkerhedscertificeringsordning kan omfatte henvisninger til disse principper og standardbestemmelser, hvis de foreligger, og det er relevant.

6.De i stk. 5 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2. Når Kommissionen udarbejder eller reviderer de fælles principper og modelbestemmelser for elementerne i europæiske cybersikkerhedscertificeringsordninger, hører den ENISA og tager, hvor det er relevant, hensyn til de synspunkter, som ECCG, relevante interessenter og andre relevante organer har givet udtryk for.

Artikel 82
Tillids- og evalueringsniveauer for europæiske cybersikkerhedscertificeringsordninger

1.En europæisk cybersikkerhedscertificeringsordning kan angive et eller flere af følgende tillidsniveauer for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand: "grundlæggende", "betydeligt" eller "højt". Disse tillidsniveauer skal stå i forhold til sandsynligheden for og virkningen af en hændelse og det risikoniveau, der er forbundet med den tilsigtede anvendelse af IKT-produktet, IKT-tjenesten, IKT-processen, den administrerede sikkerhedstjeneste eller karakteren af de enheder, hvis cybersikkerhedstilstand er genstand for certificering, og deres driftsmiljø.

2.Europæiske cybersikkerhedsattester skal henvise til et tillidsniveau, der er angivet i den europæiske cybersikkerhedscertificeringsordning, i henhold til hvilken attesterne er udstedt. EU-overensstemmelseserklæringer skal henvise til tillidsniveauet "grundlæggende".

3.De sikkerhedskrav, som svarer til hvert tillidsniveau, skal fremgå af den pågældende europæiske cybersikkerhedscertificeringsordning, herunder de tilsvarende sikkerhedskontroller og den tilsvarende evaluering, som IKT-produktet, IKT-tjenesten, IKT-processen, den administrerede sikkerhedstjeneste eller enhedens cybersikkerhedstilstand skal undergå.

4.Den europæisk cybersikkerhedsattest eller EU-overensstemmelseserklæringen skal henvise til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for eller forhindre cybersikkerhedshændelser.

5.En europæisk cybersikkerhedsattest eller EU-overensstemmelseserklæring, der henviser til tillidsniveauet "grundlæggende", skal give sikkerhed for, at de IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, som attesten eller EU-overensstemmelseserklæringen er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedskontroller, og at de er blevet evalueret på et niveau, der har til formål at minimere de kendte grundlæggende risici for hændelser og cyberangreb. De evalueringsaktiviteter, der skal foretages, skal som minimum omfatte en gennemgang af den tekniske dokumentation. Hvis en sådan gennemgang ikke er hensigtsmæssig, anvendes andre evalueringsaktiviteter med tilsvarende virkning.

6.En europæisk cybersikkerhedsattest, der henviser til tillidsniveauet "betydeligt", skal give sikkerhed for, at de IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, som attesten er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedskontroller, og at de er blevet evalueret på et niveau, der har til formål at minimere kendte risici for hændelser og risikoen for cyberangreb udført af aktører med begrænsede færdigheder og ressourcer. De evalueringsaktiviteter, der skal gennemføres, skal som minimum omfatte en gennemgang for at påvise, at der ikke er offentligt kendte sårbarheder, og prøvning for at påvise, at IKT-produkterne, IKT-tjenesterne, IKT-processerne, de administrerede sikkerhedstjenester eller enhederne gennemfører de nødvendige sikkerhedskontroller på korrekt vis. Hvis sådanne evalueringsaktiviteter ikke er hensigtsmæssige, anvendes andre evalueringsaktiviteter med tilsvarende virkning.

7.En europæisk cybersikkerhedsattest, der henviser til tillidsniveauet "højt", skal give sikkerhed for, at de IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, som attesten er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedskontroller, og at de er blevet evalueret på et niveau, der har til formål at minimere risikoen for hændelser og risikoen for avancerede cyberangreb udført af aktører med betydelige færdigheder og ressourcer. De evalueringsaktiviteter, der skal gennemføres, skal som minimum omfatte følgende:

a)en gennemgang for at påvise, at der ikke er offentligt kendte sårbarheder

b)prøvning for at påvise, at IKT-produkterne, IKT-tjenesterne, IKT-processerne, de administrerede sikkerhedstjenester eller enhederne gennemfører de nødvendige sikkerhedskontroller på avanceret niveau

c)en vurdering af IKT-produkternes, IKT-tjenesternes, IKT-processernes, de administrerede sikkerhedstjenesters eller enhedernes modstandsdygtighed over for drevne angribere, eventuelt ved hjælp af penetrationstest.

Hvis sådanne evalueringsaktiviteter ikke er hensigtsmæssige, anvendes andre aktiviteter med tilsvarende virkning. Alle overensstemmelsesvurderingsaktiviteter, herunder kalibrering, prøvning, certificering og kontrol, for tillidsniveauet "højt" skal udføres i Det Europæiske Økonomiske Samarbejdsområde, medmindre andet er fastsat i en europæisk cybersikkerhedscertificeringsordning.

8.Hvis en europæisk cybersikkerhedscertificeringsordning er udformet med henblik på at påvise overholdelse af og give formodning om overensstemmelse med en specifik EU-retsakt, skal en europæisk cybersikkerhedsattest give sikkerhed for, at de certificerede IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand opfylder de tilsvarende cybersikkerhedskrav i den pågældende retsakt. Alle overensstemmelsesvurderingsaktiviteter, herunder kalibrering, prøvning, certificering og kontrol, med henblik på overensstemmelsesformodning skal udføres i Det Europæiske Økonomiske Samarbejdsområde, medmindre andet er fastsat i en europæisk cybersikkerhedscertificeringsordning.

9.En europæisk cybersikkerhedscertificeringsordning kan angive flere evalueringsniveauer for et givet tillidsniveau. Hvert evalueringsniveau skal svare til et af sikkerhedsniveauerne.

Artikel 83
Selvvurdering af overensstemmelse

1.En europæisk cybersikkerhedscertificeringsordning kan tillade, at der foretages selvvurdering af overensstemmelse, som producenterne eller udbyderne af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller den enhed, hvis cybersikkerhedstilstand er genstand for certificering, har det fulde ansvar for. Selvvurdering af overensstemmelse er kun tilladt i forbindelse med IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand med lav risiko, svarende til tillidsniveauet "grundlæggende".

2.Producenter og udbydere af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er genstand for certificering, kan udstede en EU-overensstemmelseserklæring, hvoraf det fremgår, at det er blevet påvist, at de krav, som er fastsat i den europæiske cybersikkerhedscertificeringsordning, er opfyldt. Ved at udstede en sådan erklæring står producenten eller udbyderen eller enheden inde for, at IKT-produktet, IKT-tjenesten, IKT-processen, den administrerede sikkerhedstjeneste eller cybersikkerhedstilstanden er i overensstemmelse med den pågældende ordnings krav.

3.Producenter og udbydere af IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller den enhed, hvis cybersikkerhedstilstand er genstand for certificering, stiller EU-overensstemmelseserklæringen, den tekniske dokumentation og alle andre relevante oplysninger vedrørende overholdelsen af IKT-produkterne, IKT-tjenesterne, IKT-processerne, de administrerede sikkerhedstjenester eller cybersikkerhedstilstand med den europæiske cybersikkerhedscertificeringsordning til rådighed for den nationale cybersikkerhedscertificeringsmyndighed, der er udpeget i henhold til artikel 89, i den periode, der er fastsat i den pågældende ordning. En kopi af EU-overensstemmelseserklæringen indgives uden unødigt ophold til den nationale cybersikkerhedscertificeringsmyndighed og til ENISA.

Artikel 84
Supplerende cybersikkerhedsoplysninger for certificerede IKT-produkter, IKT-tjenester og IKT-processer

1.Producenter eller udbydere af IKT-produkter, IKT-tjenester eller IKT-processer, for hvilke der er udstedt en EU-overensstemmelseserklæring eller en europæisk cybersikkerhedsattest, stiller følgende supplerende cybersikkerhedsoplysninger til rådighed for brugeren:

a)det tilsigtede formål med det pågældende IKT-produkt, den pågældende IKT-tjeneste eller den pågældende IKT-proces, herunder hvilket sikkerhedsmiljø producenten eller udbyderen leverer

b)vejledning og anbefalinger for at bistå brugerne med sikker konfiguration, installation, ibrugtagning, drift og vedligeholdelse af IKT-produkterne eller IKT-tjenesterne

c)hvilken type teknisk sikkerhedsstøtte producenten eller udbyderen tilbyder, og slutdatoen for den supportperiode, hvor brugerne kan forvente, at sårbarheder håndteres, og at modtage sikkerhedsopdateringer

d)hvis producenten eller udbyderen beslutter at stille softwarekomponentlisten til rådighed for brugeren, oplysninger om, hvor den kan tilgås.

2.Producenter eller udbydere af IKT-produkter, IKT-tjenester eller IKT-processer, for hvilke der er udstedt en EU-overensstemmelseserklæring eller en europæisk cybersikkerhedsattest, gør følgende supplerende cybersikkerhedsoplysninger offentligt tilgængelige:

a)det centrale kontaktpunkt, hvor oplysninger om sårbarheder kan indberettes og modtages, og hvor producentens politik for koordineret offentliggørelse af sårbarheder kan findes

b)oplysninger om afhjulpne sårbarheder, herunder en beskrivelse af sårbarhederne, inklusive oplysninger, der gør det muligt for brugerne at identificere det berørte produkt med digitale elementer, sårbarhedernes indvirkning og alvor, samt tydelige og tilgængelige oplysninger, der gør det lettere for brugerne at afhjælpe sårbarhederne; i behørigt begrundede tilfælde, hvor producenterne mener, at sikkerhedsrisiciene ved offentliggørelse vejer tungere end de sikkerhedsmæssige fordele, kan de udsætte offentliggørelsen af oplysninger om en afhjulpen sårbarhed, indtil brugerne har fået mulighed for at anvende den relevante rettelse.

3.De oplysninger, der er omhandlet i stk. 1 og 2, skal være tilgængelige i elektronisk form og forblive tilgængelige og opdateres, i det omfang det er nødvendigt, i gyldighedsperioden og som minimum i en periode på fem år efter udløbet eller tilbagetrækningen af den pågældende europæiske cybersikkerhedsattest eller EU-overensstemmelseserklæring.

4.Forpligtelserne i stk. 1 og 2 finder ikke anvendelse, hvis sikkerheden af det pågældende IKT-produkt, den pågældende IKT-tjeneste eller den pågældende IKT-proces kan kompromitteres, hvis oplysningerne gøres offentligt tilgængelige.

KAPITEL III 
Styring af den europæiske ramme for cybersikkerhedscertificering

Afdeling 1 
Generelle bestemmelser og forvaltning af europæiske cybersikkerhedscertificeringsordninger

Artikel 85
Udstedelse af europæiske cybersikkerhedsattester

1.IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, der er blevet certificeret i henhold til en europæisk cybersikkerhedscertificeringsordning, formodes at overholde kravene i ordningen.

2.De overensstemmelsesvurderingsorganer, der er omhandlet i artikel 91, udsteder europæiske cybersikkerhedsattester på grundlag af de kriterier, der fremgår af den europæiske cybersikkerhedscertificeringsordning, som er vedtaget i medfør af artikel 74.

3.Uanset stk. 2 kan det fastsættes i en europæisk cybersikkerhedscertificeringsordning, at europæiske cybersikkerhedsattester i medfør af den pågældende ordning kun må udstedes af ét af følgende offentlige organer:

a)en national cybersikkerhedscertificeringsmyndighed som omhandlet i artikel 88, der er akkrediteret som overensstemmelsesvurderingsorgan i medfør af artikel 91, stk. 1

b)et offentligt organ, der er akkrediteret som overensstemmelsesvurderingsorgan i medfør af artikel 91, stk. 1.

4.Hvis en europæisk cybersikkerhedscertificeringsordning, der er vedtaget i medfør af artikel 74, fastsætter tillidsniveauet "højt", eller hvis andet er fastsat i ordningen, må den europæiske cybersikkerhedsattest i henhold til denne ordning kun udstedes af en national cybersikkerhedscertificeringsmyndighed som omhandlet i artikel 88, der er akkrediteret som overensstemmelsesvurderingsorgan i medfør af artikel 91, stk. 1, eller i følgende tilfælde:

a)af et overensstemmelsesvurderingsorgan på grundlag af en model for forudgående godkendelse eller

b)af et overensstemmelsesvurderingsorgan på grundlag af en model for generel delegering.

5.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter, der præciserer procedurerne for de modeller for forudgående godkendelse eller generel delegering, der er omhandlet i denne artikels stk. 4. I forberedelsesarbejdet til gennemførelsesretsakterne hører Kommissionen ECCG. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

6.Den fysiske eller juridiske person, der indgiver IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester til certificering, eller den enhed, der ansøger om certificering af sin cybersikkerhedstilstand, stiller alle oplysninger, der er nødvendige for at gennemføre certificeringen, til rådighed for den i henhold til artikel 89 udpegede nationale cybersikkerhedscertificeringsmyndighed, hvis denne myndighed er det organ, der udsteder den europæiske cybersikkerhedsattest, eller for det i artikel 91 omhandlede overensstemmelsesvurderingsorgan.

7.Overensstemmelsesvurderingsorganerne og, hvis det er relevant, de nationale cybersikkerhedscertificeringsmyndigheder underretter uden unødigt ophold ENISA om deres afgørelser, der påvirker status for europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, i overensstemmelse med artikel 94.

8.Indehaveren af en europæisk cybersikkerhedsattest underretter overensstemmelsesvurderingsorganet og, hvis det er relevant, den nationale cybersikkerhedscertificeringsmyndighed, der er omhandlet i stk. 7, om eventuelle efterfølgende opdagede sårbarheder eller uoverensstemmelser vedrørende det certificerede IKT-produkt, den certificerede IKT-tjeneste, den certificerede IKT-proces, den certificerede administrerede sikkerhedstjeneste eller enhedens certificerede cybersikkerhedstilstand, som sandsynligvis har indvirkning på overensstemmelsen med attesten. Organet videresender uden unødigt ophold disse oplysninger til den pågældende nationale cybersikkerhedscertificeringsmyndighed og vurderer indvirkningen på attesten ud fra ordningens betingelser, jf. artikel 81, stk. 2, litra d).

9.Indehavere af en europæisk cybersikkerhedsattest må, for så vidt angår certificerede IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester, der i deres helhed eller delvist er identificeret som centrale aktiver i medfør af artikel 102, ikke anvende, installere eller på anden måde integrere IKT-komponenter fra højrisikoleverandører eller komponenter, der indeholder sådanne IKT-komponenter, i deres certificerede IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester.

10.En europæisk cybersikkerhedsattest udstedes for den periode, som er fastsat i den pågældende europæiske cybersikkerhedscertificeringsordning, og kan fornyes, såfremt de relevante krav fortsat er opfyldt.

11.Kommissionen samarbejder med medlemsstaterne om at sikre anvendelsen af bestemmelserne vedrørende udstedelse af europæiske cybersikkerhedsattester, herunder med henblik på anvendelsen af artikel 100, stk. 4, litra b). Overensstemmelsesvurderingsorganet og, hvis det er relevant, den nationale cybersikkerhedscertificeringsmyndighed giver efter anmodning og uden unødigt ophold Kommissionen alle oplysninger vedrørende udstedelsen af de relevante europæiske cybersikkerhedsattester eller EU-overensstemmelseserklæringer.

Artikel 86
Nationale cybersikkerhedscertificeringsordninger og cybersikkerhedsattester

1.Nationale cybersikkerhedscertificeringsordninger og de tilknyttede procedurer for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand, der er omfattet af en europæisk cybersikkerhedscertificeringsordnings genstand og anvendelsesområde, ophører med at have virkning fra den dato, der fastsættes i den gennemførelsesretsakt, som vedtages i medfør af artikel 74, stk. 9. Nationale cybersikkerhedscertificeringsordninger og de tilknyttede procedurer for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand, der ikke er omfattet af en europæisk cybersikkerhedscertificeringsordnings genstand og anvendelsesområde, består fortsat.

2.Medlemsstaterne må ikke indføre nye nationale cybersikkerhedscertificeringsordninger eller tilknyttede procedurer for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand, som allerede er omfattet af en europæisk cybersikkerhedscertificeringsordnings genstand og anvendelsesområde.

3.Eksisterende attester, som blev udstedt i henhold til nationale cybersikkerhedscertificeringsordninger og er omfattet af en europæisk cybersikkerhedscertificeringsordnings genstand og anvendelsesområde, forbliver gyldige indtil deres udløbsdato.

4.Medlemsstaterne underretter Kommissionen og ECCG, inden de vedtager nye nationale cybersikkerhedscertificeringsordninger for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand.

5.Kommissionen kan foreslå en medlemsstat at trække en national cybersikkerhedscertificeringsordning for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheders cybersikkerhedstilstand tilbage, hvis der allerede er anmodet om, at der udvikles en europæisk cybersikkerhedscertificeringsordning, der omfatter disse produkter, tjenester, processer eller denne cybersikkerhedstilstand, jf. artikel 73, under hensyntagen til udviklingsplanen for denne ordning.

Artikel 87
International anerkendelse af europæiske cybersikkerhedsattester

1.Attester fra tredjelande for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand kan ved hjælp af en gennemførelsesretsakt eller ved indgåelse af en aftale mellem Unionen og det pågældende tredjeland eller en international organisation anerkendes som svarende til europæiske cybersikkerhedsattester, hvis kravene i tredjelandets eller den internationale organisations ordning anses for at svare til kravene i europæiske cybersikkerhedscertificeringsordninger. Kommissionen tillægges beføjelser til at vedtage sådanne gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

2.De gennemførelsesretsakter og aftaler, der er omhandlet i stk. 1, baseres på de betingelser for international anerkendelse af europæiske cybersikkerhedsattester, der er fastsat i medfør af artikel 74, stk. 11.

3.Aftaler om anerkendelse af attester fra tredjelande eller attester fra internationale organisationer som omhandlet i stk. 1 indgås kun, hvis de også anerkender europæiske cybersikkerhedsattester som svarende til tredjelandsattesterne.

Artikel 88 
Nationale cybersikkerhedscertificeringsmyndigheder

1.Hver medlemsstat udpeger en eller flere nationale cybersikkerhedscertificeringsmyndigheder på sit område eller efter aftale med en anden medlemsstat en eller flere nationale cybersikkerhedscertificeringsmyndigheder i denne anden medlemsstat, som ansvarlig for tilsynsopgaverne i den udpegende medlemsstat.

2.Hver medlemsstat underretter Kommissionen om de udpegede nationale cybersikkerhedscertificeringsmyndigheders identitet. Hvis en medlemsstat udpeger mere end én myndighed, underretter den også Kommissionen om, hvilke opgaver hver af disse myndigheder er blevet pålagt.

3.Hver national cybersikkerhedscertificeringsmyndighed skal med hensyn til organisation, finansieringsbeslutninger, retlig struktur og beslutningstagning være uafhængig af de enheder, den fører tilsyn med.

4.De nationale cybersikkerhedscertificeringsmyndigheders aktiviteter vedrørende udstedelse af europæiske cybersikkerhedsattester i henhold til denne forordning skal være strengt adskilt fra myndighedernes tilsynsaktiviteter som fastsat i nærværende artikel og i artikel 85, stk. 4, litra a) og b), og disse aktiviteter udføres uafhængigt af hinanden.

5.Medlemsstaterne sikrer, at de nationale cybersikkerhedscertificeringsmyndigheder har tilstrækkelige ressourcer til at udøve deres beføjelser og udføre deres opgaver på en virkningsfuld og effektiv måde.

6.De nationale cybersikkerhedscertificeringsmyndigheder pålægges følgende opgaver:

a)at deltage i ECCG, jf. artikel 90, stk. 2

b)at føre tilsyn med og håndhæve regler i europæiske cybersikkerhedscertificeringsordninger, jf. artikel 81, stk. 2, litra a), for at sikre, at IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand opfylder kravene i de europæiske cybersikkerhedsattester, der er udstedt på deres respektive områder, i samarbejde med de relevante markedsovervågningsmyndigheder eller tilsynsmyndigheder, herunder kompetente myndigheder i henhold til Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 82 eller forordning (EU) 2024/2847

c)i samarbejde med de relevante markedsovervågningsmyndigheder at overvåge opfyldelsen af og håndhæve de i denne forordning fastsatte forpligtelser for producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester og enheder, hvis cybersikkerhedstilstand er certificeret, som er etableret på deres respektive områder, og som foretager selvvurdering af overensstemmelse med den pågældende europæiske cybersikkerhedscertificeringsordning

d)aktivt at bistå og støtte de nationale akkrediteringsorganer eller andre relevante myndigheder med overvågning af og tilsyn med overensstemmelsesvurderingsorganers aktiviteter med henblik på denne forordning, uden at det berører artikel 91, stk. 3

e)at samarbejde med Kommissionen, hvis et overensstemmelsesvurderingsorgans kompetence anfægtes, jf. artikel 94

f)at overvåge og føre tilsyn med de aktiviteter, der udføres af de i artikel 85, stk. 3, omhandlede offentlige organer

g)hvis det er relevant, at godkende overensstemmelsesvurderingsorganer i overensstemmelse med artikel 93, overvåge opfyldelsen af og håndhæve overensstemmelsesvurderingsorganernes forpligtelser, tillige med de yderligere eller specifikke krav fastsat i europæiske cybersikkerhedscertificeringsordninger, jf. artikel 81, stk. 3, litra f), og begrænse, suspendere eller tilbagetrække eksisterende godkendelser, hvis overensstemmelsesvurderingsorganerne ikke opfylder kravene i denne forordning

h)at behandle klager fra fysiske eller juridiske personer i forbindelse med europæiske cybersikkerhedsattester udstedt af nationale cybersikkerhedscertificeringsmyndigheder eller europæiske cybersikkerhedsattester udstedt af overensstemmelsesvurderingsorganer i overensstemmelse med artikel 85, stk. 4, eller i forbindelse med EU-overensstemmelseserklæringer udstedt i henhold til artikel 83 samt undersøge genstanden for sådanne klager i relevant omfang og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist

i)at forelægge Kommissionen, ENISA og ECCG en årlig rapport om deres vigtigste aktiviteter senest den 31. marts [ikrafttrædelsesåret + 12 måneder] hvert år og stille disse rapporter til rådighed for peerreviewholdet, når den nationale cybersikkerhedscertificeringsmyndighed er genstand for peerreview, jf. artikel 89

j)at samarbejde med andre nationale cybersikkerhedscertificeringsmyndigheder, markedsovervågningsmyndigheder eller andre offentlige myndigheder, herunder ved at dele oplysninger om mulige tilfælde af IKT-produkters, IKT-tjenesters, IKT-processers, administrerede sikkerhedstjenesters eller enheders cybersikkerhedstilstands manglende overholdelse af kravene i denne forordning eller i specifikke europæiske cybersikkerhedscertificeringsordninger

k)at overvåge den relevante udvikling på cybersikkerhedscertificeringsområdet.

7.Hver national cybersikkerhedscertificeringsmyndighed skal mindst have følgende beføjelser:

a)at kunne anmode overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer om at forelægge alle oplysninger, som er nødvendige for udførelsen af dens opgaver

b)at kunne udføre undersøgelser i form af audit af overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer med henblik på at verificere deres opfyldelse af kravene i dette afsnit

c)i overensstemmelse med national ret at kunne træffe passende foranstaltninger til at sikre, at overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer overholder bestemmelserne i denne forordning eller en europæisk cybersikkerhedscertificeringsordning

d)at kunne få adgang til alle lokaler hos overensstemmelsesvurderingsorganer eller indehavere af en europæisk cybersikkerhedsattest med henblik på at udføre undersøgelser i overensstemmelse med EU-retten eller nationale processuelle regler

e)i overensstemmelse med national ret at kunne tilbagetrække europæiske cybersikkerhedsattester, der er udstedt af de nationale cybersikkerhedscertificeringsmyndigheder eller overensstemmelsesvurderingsorganer, jf. artikel 85, stk. 4, hvis attesterne ikke overholder bestemmelserne i denne forordning eller i en europæisk cybersikkerhedscertificeringsordning

f)at kunne pålægge sanktioner i overensstemmelse med national ret, jf. artikel 97, og at kunne kræve øjeblikkeligt ophør af overtrædelser af de forpligtelser, der er fastsat i denne forordning.

8.De nationale cybersikkerhedscertificeringsmyndigheder samarbejder med hinanden og med Kommissionen ved navnlig at udveksle oplysninger, erfaringer og god praksis med hensyn til cybersikkerhedscertificering og tekniske spørgsmål vedrørende cybersikkerheden i IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand.

9.Senest den [ikrafttrædelsen + 6 måneder] udarbejder ENISA en skabelon for den rapport, der er omhandlet i denne artikels stk. 6, litra i), i samarbejde med Kommissionen og ECCG.

Artikel 89
Peerreview

1.De nationale cybersikkerhedscertificeringsmyndigheder er underlagt peerreview.

2.Peerreviews skal foregå på grundlag af fornuftige og gennemsigtige evalueringskriterier og -procedurer, navnlig med hensyn til strukturelle krav, krav til menneskelige ressourcer og proceskrav samt fortrolighed og klager.

3.Ved peerreviews vurderes:

a)hvis det er relevant, hvorvidt de nationale cybersikkerhedscertificeringsmyndigheders aktiviteter vedrørende udstedelse af europæiske cybersikkerhedsattester som omhandlet i denne forordning er strengt adskilt fra myndighedernes tilsynsaktiviteter i artikel 88, og hvorvidt aktiviteterne udføres uafhængigt af hinanden

b)procedurerne for tilsyn med og håndhævelse af reglerne for overvågning af, at IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheders cybersikkerhedstilstand er i overensstemmelse med europæiske cybersikkerhedsattester, jf. artikel 88, stk. 7, litra a)

c)procedurerne for overvågning og håndhævelse af forpligtelserne for producenter eller udbydere af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er certificeret, jf. artikel 88, stk. 7, litra b)

d)procedurerne for overvågning og godkendelse af og tilsyn med overensstemmelsesvurderingsorganernes aktiviteter.

4.Peerreview foretages som minimum hvert femte år af mindst to nationale cybersikkerhedscertificeringsmyndigheder i andre medlemsstater og af Kommissionen. ENISA deltager også i peerreviewene som observatør. Peerreviewholdet udarbejder den endelige rapport og sammenfatningen af peerreviewet.

5.ENISA støtter tilrettelæggelsen af peerreviewmekanismen og peerreviewene, herunder ved at udarbejde relevante vejledningsdokumenter og skabeloner, i samarbejde med Kommissionen og ECCG.

6.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter, der fastlægger en plan for peerreviews, som omfatter en periode på mindst fem år, og kriterierne for sammensætning af peerreviewhold, metoden til peerreviews samt tidsplanen, hyppigheden og andre opgaver i forbindelse med peerreview. Ved udarbejdelsen af gennemførelsesretsakterne hører Kommissionen ECCG og ENISA. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

7.Den endelige rapport, herunder eventuelle retningslinjer eller henstillinger, og sammenfatningen af peerreviewet gennemgås af ECCG, som godkender sammenfatningen med henblik på offentliggørelse på det websted, der er omhandlet i artikel 79, stk. 2.

Artikel 90
Den Europæiske Cybersikkerhedscertificeringsgruppe

1.Den Europæiske Cybersikkerhedscertificeringsgruppe ("ECCG") oprettes.

2.ECCG sammensættes af repræsentanter for nationale cybersikkerhedscertificeringsmyndigheder eller repræsentanter for andre relevante nationale myndigheder. Et medlem af ECCG kan ikke repræsentere mere end to medlemsstater.

3.ECCG har følgende opgaver:

a)at rådgive og bistå Kommissionen i dens arbejde med at sikre en konsekvent gennemførelse og anvendelse af reglerne i dette afsnit, politiske spørgsmål vedrørende cybersikkerhedscertificering og koordinering af politiske tilgange

b)at rådgive og bistå Kommissionen i udarbejdelsen af anmodninger om europæiske cybersikkerhedscertificeringsordninger, jf. artikel 73

c)at bistå, rådgive og samarbejde med ENISA i forbindelse med udarbejdelsen af forslag til ordninger, jf. artikel 74, og tekniske specifikationer, jf. artikel 77

d)at bistå, rådgive og samarbejde med ENISA og Kommissionen i forbindelse med vedligeholdelsesaktiviteter, jf. artikel 75

e)at bistå, rådgive og samarbejde med Kommissionen i forbindelse med revision eller tilbagetrækning af eksisterende europæiske cybersikkerhedscertificeringsordninger, jf. artikel 76

f)at foreslå, at der indgives en anmodning til Kommissionen om udarbejdelse af et forslag til europæisk cybersikkerhedscertificeringsordning, jf. artikel 73, stk. 2

g)at vedtage udtalelser til Kommissionen vedrørende vedligeholdelse, revision og tilbagetrækning af eksisterende europæiske cybersikkerhedscertificeringsordninger

h)at undersøge relevante udviklinger inden for cybersikkerhedscertificering, herunder på nationalt plan, jf. artikel 86, og udveksle oplysninger og god praksis vedrørende cybersikkerhedscertificeringsordninger

i)at lette samarbejdet mellem nationale cybersikkerhedscertificeringsmyndigheder inden for rammerne af reglerne i dette afsnit gennem kapacitetsopbygning og udveksling af oplysninger, navnlig i forbindelse med spørgsmål vedrørende cybersikkerhedscertificering

j)at støtte gennemførelsen af peerreviewmekanismen, jf. artikel 89, og peervurderingsmekanismer i overensstemmelse med de regler, som er fastsat i en europæisk cybersikkerhedscertificeringsordning, jf. artikel 81, stk. 2, litra g)

k)at lette europæiske cybersikkerhedscertificeringsordningers tilpasning til internationalt anerkendte standarder, herunder som led i vedligeholdelsen af eksisterende europæiske cybersikkerhedscertificeringsordninger og, hvis det er relevant, fremsætte henstillinger til ENISA om at indlede dialog med relevante europæiske eller internationale standardiseringsorganisationer for at afhjælpe utilstrækkeligheder eller mangler i de tilgængelige europæiske eller internationalt anerkendte standarder.

4.Med bistand fra ENISA varetager Kommissionen ECCG's formandskab og sekretariatsfunktionen for ECCG.

5.Kommissionen kan nedsætte ECCG-undergrupper med følgende formål:

a)at undersøge specifikke spørgsmål på grundlag af et mandat fra Kommissionen

b)at vedligeholde og gennemgå de europæiske certificeringsordninger i overensstemmelse med denne forordning og på grundlag af et mandat fra Kommissionen.

6.Undergrupperne aflægger rapport til ECCG.

7.Kommissionen og ENISA varetager i fællesskab undergruppernes formandskab, mens sekretariatsfunktionen for undergrupperne varetages af ENISA.

8.ECCG og dennes undergrupper vedtager en forretningsorden med simpelt flertal blandt deres medlemmer på grundlag af et forslag fra og efter aftale med Kommissionen.

Afdeling 2 
Overensstemmelsesvurderingsorganer

Artikel 91
Overensstemmelsesvurderingsorganers kompetence

1.Overensstemmelsesvurderingsorganerne akkrediteres af nationale akkrediteringsorganer, der er udpeget i henhold til forordning (EF) nr. 765/2008. En sådan akkreditering udstedes kun, hvis overensstemmelsesvurderingsorganet opfylder kravene i bilag I til nærværende forordning.

2.I tilfælde, hvor en europæisk cybersikkerhedsattest udstedes af en national cybersikkerhedscertificeringsmyndighed i henhold til denne forordning, akkrediteres den nationale cybersikkerhedscertificeringsmyndigheds certificeringsorgan som et overensstemmelsesvurderingsorgan i henhold til stk. 1.

3.Akkreditering som omhandlet i stk. 1 udstedes til overensstemmelsesvurderingsorganerne for en periode på højst fem år og kan fornyes, forudsat at overensstemmelsesvurderingsorganet opfylder de i denne artikel fastsatte krav. Nationale akkrediteringsorganer træffer inden for en rimelig tidsfrist alle passende foranstaltninger med henblik på at begrænse, suspendere eller tilbagekalde akkrediteringen af et overensstemmelsesvurderingsorgan udstedt i henhold til stk. 1, hvis betingelserne for akkrediteringen ikke eller ikke længere er opfyldt, eller hvis overensstemmelsesvurderingsorganet ikke er i overensstemmelse med denne forordning.

4.Når der fastsættes yderligere eller specifikke akkrediteringskrav for en europæisk cybersikkerhedscertificeringsordning, der omfatter IKT-produkter, jf. artikel 92, skal der, hvor det er relevant, tilstræbes synergi med kravene vedrørende bemyndigede organer i henhold til forordning (EU) 2024/2847 og akkrediteringskravene i de cybersikkerhedscertificeringsordninger, der allerede er vedtaget.

5.Hvis et overensstemmelsesvurderingsorgan er akkrediteret i overensstemmelse med forordning (EU) 2024/2847, kan de relevante myndigheder genbruge resultatet fra tidligere akkrediteringsprocesser for så vidt angår eventuelle overlappende krav som dokumentation i akkrediteringsprocessen i henhold til nærværende forordning.

Artikel 92
Yderligere harmonisering af overensstemmelsesvurderingsorganers kompetence

1.Når en europæisk cybersikkerhedscertificeringsordning fastsætter yderligere eller specifikke krav, jf. artikel 81, stk. 3, litra f), godkendes overensstemmelsesvurderingsorganerne af en national cybersikkerhedscertificeringsmyndighed, der er udpeget i henhold til artikel 88, stk. 1, til at udføre opgaver i henhold til denne ordning. En sådan godkendelse udstedes kun, hvis overensstemmelsesvurderingsorganet er akkrediteret og opfylder de yderligere eller specifikke krav, der er fastsat i den europæiske cybersikkerhedscertificeringsordning.

2.Når et overensstemmelsesvurderingsorgan anmoder om godkendelse i henhold til nærværende artikel, indgiver det anmodningen til den nationale cybersikkerhedscertificeringsmyndighed i den hvor medlemsstat, hvor det er etableret, eller den nationale cybersikkerhedscertificeringsmyndighed, som medlemsstaten har adgang til at benytte i overensstemmelse med artikel 88, stk. 1.

3.Et overensstemmelsesvurderingsorgan kan anmode om godkendelse fra en anden national cybersikkerhedscertificeringsmyndighed end den, der er nævnt i stk. 2, i følgende situationer:

a)hvis den nationale cybersikkerhedscertificeringsmyndighed, der er nævnt i stk. 1, ikke giver godkendelse for så vidt angår de overensstemmelsesvurderingsaktiviteter, som der anmodes om godkendelse til

b)hvis den nationale cybersikkerhedscertificeringsmyndighed, der er nævnt i stk. 1, ikke har været underlagt peerreview i overensstemmelse med artikel 89 for så vidt angår de overensstemmelsesvurderingsaktiviteter, som der anmodes om godkendelse til.

4.Når en national cybersikkerhedscertificeringsmyndighed modtager en anmodning efter stk. 3, informerer det den nationale cybersikkerhedscertificeringsmyndighed i den medlemsstat, hvor det anmodende overensstemmelsesvurderingsorgan er etableret. I disse tilfælde kan den nationale cybersikkerhedscertificeringsmyndighed i den pågældende medlemsstat deltage i godkendelsen som observatør.

5.En national cybersikkerhedscertificeringsmyndighed kan anmode en anden national cybersikkerhedscertificeringsmyndighed om at udføre en del af evalueringsaktiviteten. I så fald udstedes godkendelsesattesten af den anmodende myndighed.

6.Den i stk. 1 omhandlede godkendelse er gyldig i en periode, der ikke overstiger akkrediteringens gyldighedsperiode, og kan fornyes, forudsat at overensstemmelsesvurderingsorganet opfylder kravene i stk. 1, og at dets akkreditering også er blevet fornyet.

7.De nationale cybersikkerhedscertificeringsmyndigheder træffer inden for en rimelig tidsfrist alle passende foranstaltninger med henblik på at begrænse, suspendere eller tilbagekalde godkendelsen af et overensstemmelsesvurderingsorgan udstedt i henhold til stk. 1, hvis betingelserne for godkendelsen ikke eller ikke længere er opfyldt, eller hvis overensstemmelsesvurderingsorganet ikke er i overensstemmelse med denne forordning.

8.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter med henblik på at fastsætte procedurerne, herunder for grænseoverskridende samarbejde, for godkendelse af overensstemmelsesvurderingsorganer. I forberedelsesarbejdet til gennemførelsesretsakterne hører Kommissionen ENISA og ECCG. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

Artikel 93
Anmeldelse af overensstemmelsesvurderingsorganer

1.For hver europæisk cybersikkerhedscertificeringsordning anmelder en medlemsstats nationale cybersikkerhedscertificeringsmyndigheder de overensstemmelsesvurderingsorganer, der er blevet akkrediteret og, hvis det er relevant, godkendt i henhold til artikel 92, til Kommissionen og de øvrige medlemsstater.

2.De nationale cybersikkerhedscertificeringsmyndigheder foretager anmeldelsen i stk. 1 ved hjælp af det elektroniske anmeldelsesværktøj, der er udviklet og forvaltes af Kommissionen.

3.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter med henblik på at fastlægge vilkår, formater og procedurer for de anmeldelser, der er omhandlet i denne artikels stk. 1, herunder proceduren for andre medlemsstaters indsigelse under anmeldelsesprocessen, den unikke identifikation af overensstemmelsesvurderingsorganerne samt vilkårene for begrænsning, suspension eller tilbagetrækning af anmeldelsen. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

Artikel 94
Anfægtelse af overensstemmelsesvurderingsorganers kompetence

1.Kommissionen undersøger alle tilfælde, hvor den tvivler på eller gøres opmærksom på, at der er tvivl om et overensstemmelsesvurderingsorgans kompetence til at opfylde, eller hvorvidt et overensstemmelsesvurderingsorgan fortsat opfylder, de krav og forpligtelser, som det er underlagt.

2.De nationale cybersikkerhedscertificeringsmyndighed forelægger efter anmodning Kommissionen alle oplysninger om grundlaget for anmeldelsen eller opretholdelsen af det pågældende overensstemmelsesvurderingsorgans kompetence.

3.Kommissionen sikrer, at alle følsomme oplysninger, som den kommer i besiddelse af som led i sine undersøgelser, behandles fortroligt.

4.Hvis Kommissionen konstaterer, at et overensstemmelsesvurderingsorgan ikke eller ikke længere opfylder betingelserne for dets anmeldelse, underretter Kommissionen den nationale cybersikkerhedscertificeringsmyndighed herom og anmoder den om at træffe de nødvendige korrigerende foranstaltninger, herunder om nødvendigt at trække anmeldelsen tilbage.

5.Medlemsstaterne sikrer, at anmeldte organers afgørelser kan appelleres.

Artikel 95
Overensstemmelsesvurderingsorganers informations- og opbevaringsforpligtelse

1.Overensstemmelsesvurderingsorganerne underretter den nationale cybersikkerhedscertificeringsmyndighed om følgende:

a)ethvert afslag på udstedelse eller enhver begrænsning, suspension eller tilbagetrækning af en attest

b)alle omstændigheder, der påvirker omfanget af og betingelserne for den anmeldelse, der er omhandlet i artikel 93, stk. 1

c)enhver anmodning om oplysninger, som de har modtaget fra markedsovervågningsmyndigheder vedrørende overensstemmelsesvurderingsaktiviteter

d)efter anmodning alle på deres område udførte overensstemmelsesvurderingsaktiviteter, som deres anmeldelse gælder for, og enhver anden udført aktivitet, herunder grænseoverskridende aktiviteter og underentreprise.

2.Overensstemmelsesvurderingsorganerne giver også ENISA de oplysninger, der er omhandlet i stk. 1, litra a), med henblik på at lette udførelsen af dets opgaver efter artikel 79.

3.Overensstemmelsesvurderingsorganerne giver uden unødigt ophold de øvrige overensstemmelsesvurderingsorganer i henhold til denne forordning, der udfører lignende overensstemmelsesvurderingsaktiviteter, som omfatter de samme IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester eller enheder, hvis cybersikkerhedstilstand er certificeret, relevante oplysninger om spørgsmål vedrørende negative og, efter anmodning, positive resultater af overensstemmelsesvurderinger.

4.Overensstemmelsesvurderingsorganerne fører et registreringssystem, der indeholder alle de dokumenter og al den dokumentation, der udarbejdes eller modtages i forbindelse med hver evaluering og certificering, som de foretager. Registret opbevares på en sikker og tilgængelig måde i den periode, det er nødvendigt med henblik på certificering, og i mindst fem år efter udløbet eller tilbagetrækningen af en given europæisk cybersikkerhedsattest.

Afdeling 3 
Andre bestemmelser

Artikel 96
Ret til at indgive klage og ret til effektive retsmidler

1.Fysiske og juridiske personer har ret til at indgive klage til udstederen af en europæisk cybersikkerhedsattest eller, når klagen vedrører en europæisk cybersikkerhedsattest udstedt af et overensstemmelsesvurderingsorgan i overensstemmelse med artikel 85, stk. 4, til den relevante nationale cybersikkerhedscertificeringsmyndighed.

2.Den myndighed eller det organ, som klagen er indgivet til, underretter klageren om forløbet af sagen, om den trufne afgørelse samt om retten til effektive retsmidler, jf. stk. 3 og 4.

3.Uanset eventuelle administrative eller andre udenretslige midler har fysiske og juridiske personer ret til effektive retsmidler med hensyn til:

a)afgørelser truffet af den myndighed eller det organ, der er omhandlet i stk. 1, herunder, hvis det er relevant, vedrørende uretmæssig udstedelse, manglende udstedelse eller anerkendelse af en europæisk cybersikkerhedsattest, som de pågældende fysiske eller juridiske personer er indehaver af

b)manglende handling i forbindelse med en klage, der er indgivet til den myndighed eller det organ, der er omhandlet i stk. 1.

4.En sag i medfør af denne artikel anlægges ved domstolene i den medlemsstat, hvor den myndighed eller det organ, mod hvem retsmidlet søges, er beliggende.

Artikel 97
Sanktioner

Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelse af bestemmelserne i dette afsnit og i tilfælde af overtrædelser af europæiske cybersikkerhedscertificeringsordninger, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver uden ophold Kommissionen meddelelse om disse regler og foranstaltninger og underretter den om alle senere ændringer, der berører dem.

AFSNIT IV 
SIKKERHED I IKT-FORSYNINGSKÆDER

KAPITEL I 
En pålidelig ramme for IKT-forsyningskæder

Artikel 98
Rammens omfang

1.Den pålidelige ramme for IKT-forsyningskæder skal omfatte en sikkerhedsmekanisme på EU-plan til imødegåelse af ikketekniske risici i sektorer af særligt kritisk betydning og andre kritiske sektorer som omhandlet i direktiv (EU) 2022/2555. Mekanismen skal identificere centrale IKT-aktiver i kritiske IKT-forsyningskæder og fastsætte passende og forholdsmæssige afbødende foranstaltninger for enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555.

2.Forpligtelserne i dette afsnit berører ikke forpligtelserne i artikel 13 i forordning (EU) 2024/2847 og i nationale bestemmelser til gennemførelse af artikel 21 i direktiv (EU) 2022/2555.

3.Bestemmelserne i dette kapital er ikke til hinder for, at medlemsstaterne kan vedtage eller opretholde bestemmelser, der sikrer et højere cybersikkerhedsniveau i IKT-forsyningskæder, forudsat at disse bestemmelser er i overensstemmelse med medlemsstaternes forpligtelser i henhold til EU-retten.

Artikel 99
Sikkerhedsrisikovurderinger

1.Kommissionen eller en gruppe bestående af mindst tre medlemsstater kan anmode den samarbejdsgruppe, der er nedsat ved artikel 14 i direktiv (EU) 2022/2555 ("NIS-samarbejdsgruppen"), om at foretage koordinerede sikkerhedsrisikovurderinger på EU-plan i overensstemmelse med nævnte direktivs artikel 22. Når der foretages en sikkerhedsrisikovurdering efter en sådan anmodning, skal den navnlig omfatte den foreslåede identifikation af centrale IKT-aktiver i den pågældende IKT-forsyningskæde samt de vigtigste trusselsaktører, risici og sårbarheder, der påvirker disse aktiver. I de koordinerede sikkerhedsrisikovurderinger på EU-plan skal der opstilles risikoscenarier og foreslås foranstaltninger til afbødning af de konstaterede risici.

2.De koordinerede sikkerhedsrisikovurderinger på EU-plan skal være afsluttet senest seks måneder efter den i stk. 1 omhandlede anmodning. Efter anmodning fra Kommissionen kan NIS-samarbejdsgruppen indvillige i en kortere periode.

3.Hvis Kommissionen har tilstrækkelig grund til at antage, at der er en væsentlig cybertrussel mod Unionens sikkerhed for så vidt angår en IKT-forsyningskæde, og at det er nødvendigt at handle for at bevare et velfungerende indre marked, gør Kommissionen uden ophold følgende:

a)hører medlemsstaterne om behovet for at træffe en eller flere af de afbødende foranstaltninger, der er omhandlet i artikel 103, og

b)foretager en sikkerhedsrisikovurdering under hensyntagen til høringen af medlemsstaterne. Sikkerhedsrisikovurderingen skal omfatte den foreslåede identifikation af centrale IKT-aktiver samt de vigtigste trusselsaktører, risici og sårbarheder, der påvirker disse aktiver. I sikkerhedsrisikovurderingen skal der opstilles risikoscenarier og foreslås foranstaltninger til afbødning af de konstaterede risici.

Artikel 100
Udpegelse af tredjelande, der giver anledning til cybersikkerhedsproblemer

1.Hvis det som følge af den sikkerhedsrisikovurdering, der er omhandlet i artikel 99, eller på grundlag af andre kilder såsom en offentlig erklæring på Unionens eller en medlemsstats vegne virker til, at et tredjeland udgør en alvorlig og strukturel ikketeknisk risiko for IKT-forsyningskæder, efterprøver Kommissionen den risiko, som det pågældende land udgør, under hensyntagen til følgende elementer:

a)eksisterende retsforskrifter i tredjelandet, som kræver, at enheder under dets jurisdiktion skal indberette oplysninger om sårbarheder i software eller hardware til myndighederne i det pågældende tredjeland, før det bliver kendt, at disse sårbarheder er blevet udnyttet

b)eksisterende og af uafhængige kilder dokumenteret praksis i tredjelandet, som kræver, at enheder under tredjelandets jurisdiktion skal indberette oplysninger om sårbarheder i software eller hardware til myndighederne i det pågældende tredjeland, før det bliver kendt, at disse sårbarheder er blevet udnyttet

c)manglen på effektive retsmidler og uafhængige og demokratiske kontrolmekanismer, der kan afhjælpe de konstaterede sikkerhedsproblemer, herunder med hensyn til eksisterende praksis som omhandlet i litra b)

d)underbyggede oplysninger om en eller flere hændelser, hvor trusselsaktører, der kontrolleres fra det pågældende land og opererer fra af dets område, har udført ondsindede cyberaktiviteter eller -kampagner, og tredjelandets manglende evne eller vilje til at samarbejde med Kommissionen eller medlemsstaterne om at imødegå risikoen fra sådanne trusselsaktørers operationer

e)relevante oplysninger fra koordinerede sikkerhedsrisikovurderinger på EU-plan eller rapporter fra medlemsstaterne eller internationale organisationer.

2.Hvis Kommissionen efter den i stk. 1 omhandlede efterprøvning konkluderer, at et tredjeland udgør en alvorlig og strukturel ikketeknisk risiko for IKT-forsyningskæder, kan den ved hjælp af en gennemførelsesretsakt udpege det pågældende tredjeland som et land, der giver anledning til cybersikkerhedsproblemer for IKT-forsyningskæder. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

3.Kommissionen reviderer regelmæssigt de gennemførelsesretsakter, der vedtages i medfør af stk. 2.

4.Højrisikoleverandører har ikke ret til:

a)at tage del i udviklings-, vurderings-, hørings- eller beslutningsprocesser vedrørende europæiske standarder og europæiske standardiseringspublikationer som omhandlet i artikel 10, stk. 1, i forordning (EU) nr. 1025/2012 og fælles specifikationer som omhandlet i artikel 27 i forordning (EU) 2024/2847 på cybersikkerhedsområdet

b)at ansøge om eller være indehaver af en europæisk cybersikkerhedsattest i henhold til afsnit III

c)at blive et akkrediteret overensstemmelsesvurderingsorgan i henhold til afsnit III

d)at ansøge om at blive autoriseret udbyder af attesteringer af nogen europæiske attesteringer af individuelle cybersikkerhedsfærdigheder i henhold til afsnit II, afdeling 4

e)at tage del i offentlige udbudsprocedurer, der er tilrettelagt i overensstemmelse med lovgivning til gennemførelse af direktiv 2014/24/EU og 2014/25/EU for så vidt angår levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102

f)at tage del i nogen aktiviteter inden for rammerne af Unionens finansieringsprogrammer og -instrumenter, der gennemføres ved direkte og indirekte forvaltning i overensstemmelse med artikel 136 i forordning (EU, Euratom) 2024/2509 og sektorspecifikke EU-regler, eller i nogen EU-finansieringsaktiviteter, der gennemføres ved delt forvaltning for så vidt angår levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102.

De myndigheder, der er ansvarlige for de procedurer, der er omhandlet i litra a)-f), foretager de nødvendige vurderinger med henblik på dette stykke. Myndighederne kan i dette øjemed også tage udgangspunkt i den liste, der er omhandlet i artikel 104.

5.I tilfælde, hvor en højrisikoleverandør allerede har opnået en europæisk cybersikkerhedsattest i henhold til afsnit III, trækker den kompetente myndighed den tilbage uden unødigt ophold.

Artikel 101
Generel mekanisme til sikkerhed i IKT-forsyningskæder

Når NIS-samarbejdsgruppen har foretaget en koordineret sikkerhedsrisikovurdering på EU-plan efter denne forordnings artikel 99, stk. 1, eller ved afslutningen af proceduren i tilfælde af en væsentlig cybertrussel i henhold til artikel 99, stk. 3, mod en IKT-forsyningskæde, kan Kommissionen træffe foranstaltninger i medfør af artikel 102 og 103, stk. 1 og 2.

Artikel 102
Identifikation af centrale IKT-aktiver

1.I tilfælde, hvor den risikovurdering, der er foretaget efter artikel 99, stk. 1 eller 3, viser væsentlige cybersikkerhedsrisici for så vidt angår en IKT-forsyningskæde, tillægges Kommissionen beføjelser til at vedtage gennemførelsesretsakter, der identificerer centrale IKT-aktiver, som enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, anvender til fremstilling af produkter eller levering af tjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. denne forordnings artikel 118, stk. 2.

2.Når Kommissionen identificerer de centrale IKT-aktiver, der er omhandlet i stk. 1, tager den hensyn til følgende elementer:

a)om disse aktiver har væsentlige og følsomme funktioner med betydning for funktionen af de produkter eller tjenester, som enheden af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, fremstiller eller leverer

b)om hændelser, herunder hændelser forårsaget af udnyttede sårbarheder vedrørende disse aktiver, kan føre til alvorlige forstyrrelser i IKT-forsyningskæderne på tværs af det indre marked eller til eksfiltrering af data

c)om der er en afhængighed af et begrænset antal leverandører af disse aktiver

d)resultatet af den risikoevaluering, der er omhandlet i artikel 99.

Artikel 103
Afbødende foranstaltninger i IKT-forsyningskæden

1.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter, der, hvor det er nødvendigt for at sikre et højt niveau af cybersikkerhed, cyberrobusthed og tillid i Unionen, fastsætter, at en specifik type enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, har forbud mod på nogen måde at anvende, installere eller integrere IKT-komponenter fra højrisikoleverandører som identificeret i overensstemmelse med artikel 104 eller komponenter, der indeholder sådanne IKT-komponenter, i centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102. Disse gennemførelsesretsakter skal fastsætte passende overgangsperioder, hvor Kommissionen offentliggør den i artikel 104 omhandlede liste over højrisikoleverandører, foruden yderligere perioder for udfasning af de pågældende IKT-komponenter og komponenter, der indeholder sådanne IKT-komponenter. Gennemførelsesretsakterne kan også præcisere den eller de IKT-komponenter eller komponenter, der indeholder sådanne IKT-komponenter.

2.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter, der, hvor det er nødvendigt for at sikre et højt niveau af cybersikkerhed, cyberrobusthed og tillid i Unionen, fastsætter, at en specifik type enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, er underlagt en eller flere af følgende afbødende foranstaltninger for så vidt angår deres IKT-forsyningskæde, og navnlig centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102, med henblik på at reducere risici, der er konstateret i de sikkerhedsrisikovurderinger, der er foretaget efter artikel 99:

a)anvendelse af gennemsigtighedskrav med hensyn til leveringen af oplysninger til den kompetente myndighed om leverandørerne i IKT-forsyningskæden for så vidt angår centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102

b)forbud med hensyn til overførsel af oplysninger til tredjelande og fjernbehandling af oplysninger fra et tredjeland

c)tekniske foranstaltninger, som underlægges audit fra en tredjepart, herunder:

i) anvendelse af behandling på enheden

ii) specifik segmentering af netsystemer

iii) deaktivering af enhver form for fjernadgang eller fysisk adgang til centrale IKT-aktiver

iv) deaktivering af ikkevæsentlige funktioner

v) overvågning af driftsnet

vi) prøvning af hardware og software

d)begrænsninger med hensyn til driftsmæssig kontrol, herunder outsourcing af organisatoriske funktioner til udbydere af administrerede tjenester

e)begrænsninger med hensyn til enhedens kontraktlige forbindelser over for sine leverandører

f)krav om, at tjenesten drives, forvaltes, vedligeholdes eller understøttes af personale, der er godkendt af de relevante nationale kompetente myndigheder

g)diversificering af forsyningen af IKT-komponenter eller komponenter, der indgår i IKT-komponenter.

3.Når Kommissionen indfører foranstaltninger, der er omhandlet i stk. 2, kan den fastsætte tekniske og metodologiske krav til foranstaltningerne.

4.Inden Kommissionen vedtager de i stk. 1 og 2 omhandlede gennemførelsesretsakter, vurderer den potentielle risici og afhængighedsforhold og navnlig:

a)hvis det er relevant, det risikoniveau, der er forbundet med anvendelse, installation eller integration i enhver form af IKT-komponenter fra højrisikoleverandører eller komponenter, der indeholder sådanne IKT-komponenter, i centrale IKT-aktiver

b)de potentielle økonomiske og samfundsmæssige virkninger, som forpligtelsen kan have for enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555

c)tilgængeligheden af alternative leverandører til højrisikoleverandører

d)den potentielle forstyrrelse af grænseoverskridende økonomiske og samfundsmæssige aktiviteter som følge af en hændelse, der påvirker en enheds IKT-forsyningskæde.

5.De i nærværende artikels stk. 1 og 2 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2, og fornyes som minimum hver 36. måned

6.I ekstraordinære tilfælde, der berettiger et indgreb for at bevare et velfungerende indre marked, og hvor Kommissionen har tilstrækkelig grund til at antage, at anvendelsen, installationen eller integrationen af IKT-komponenter fra en specifik enhed, der er etableret i eller kontrolleres af et tredjeland eller enheder fra et tredjeland eller en statsborger fra et tredjeland, eller komponenter, der indeholder sådanne IKT-komponenter, udgør en væsentlig ikketeknisk cybersikkerhedsrisiko for mindst tre medlemsstaters økonomiske eller samfundsmæssige aktiviteter, hører Kommissionen uden ophold medlemsstaterne om behovet for at træffe foranstaltninger på EU-plan.

7.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter med henblik på at fastsætte, at en specifik type enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, har forbud mod at anvende, installere eller integrere IKT-komponenter fra en enhed som omhandlet i stk. 6 eller komponenter, der indeholder sådanne IKT-komponenter. Med henblik herpå hører Kommissionen de enheder af de typer, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, som potentielt kan blive berørt af forbuddet. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2. I det omfang det er relevant, skal de omfatte passende perioder for udfasning af disse IKT-komponenter eller komponenter, der indeholder sådanne IKT-komponenter. Gennemførelsesretsakterne kan også præcisere den eller de IKT-komponenter eller komponenter, der indeholder sådanne IKT-komponenter. Forbuddet skal også gælde for IKT-komponenter fra enhver enhed, der kontrolleres af den specifikke enhed som omhandlet i stk. 6, eller komponenter, der indeholder sådanne IKT-komponenter.

8.De i stk. 1, 2 og 7 omhandlede gennemførelsesretsakter kan også præcisere, at de afbødende foranstaltninger kun finder anvendelse på typer af enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, af en bestemt størrelse.

9.Artikel 100, stk. 4, finder anvendelse på den specifikke enhed, der er etableret i eller kontrolleres af et tredjeland eller en enhed fra et tredjeland eller en statsborger fra et tredjeland som omhandlet i stk. 7. 

10.Gennemførelsesretsakter, der vedtages i medfør af stk. 1, 2 og 7 og finder anvendelse på den type enheder, der er omhandlet i punkt 10 i bilag I til direktiv (EU) 2022/2555, finder tilsvarende anvendelse på EU's institutioner, organer, kontorer og agenturer.

Artikel 104
Identifikation af højrisikoleverandører

1.Ved hjælp af gennemførelsesretsakter opstiller Kommissionen lister over højrisikoleverandører, der er relevante for de forbud, der fastsættes i gennemførelsesretsakter vedtaget i medfør af artikel 103, stk. 1, og artikel 103, stk. 7, eller for forbuddet i artikel 111, stk. 1.

2.Med henblik herpå kortlægger Kommissionen de leverandører, der leverer IKT-komponenter og komponenter, der indeholder IKT-komponenter, som er relevante for det forbud, der er omhandlet i stk. 1.

På dette grundlag foretager Kommissionen en indledende vurdering for at indkredse de af de kortlagte leverandører, der potentielt er etableret i et tredjeland udpeget i overensstemmelse med artikel 100 eller kontrolleres af et sådant tredjeland, af en enhed etableret i et sådant tredjeland eller af en statsborger fra et sådant tredjeland. Kommissionen foretager også en indledende kortlægning af de leverandører, der potentielt kontrolleres af en enhed som omhandlet i artikel 103, stk. 6.

3.Kommissionen vurderer etableringsstedet og ejer- og kontrolstrukturen for de leverandører, der indledningsvist er blevet identificeret i overensstemmelse med stk. 2, andet afsnit.

4.Med henblik på den vurdering, der er omhandlet i stk. 3, har Kommissionen ret til at anmode leverandørerne om de nødvendige oplysninger. Hvis leverandøren ikke fremlægger de nødvendige oplysninger inden for den fastsatte frist, kan Kommissionen konkludere, at leverandøren er etableret i et tredjeland, der er udpeget i overensstemmelse med artikel 100, eller kontrolleres af et sådant tredjeland, af enheder fra et sådant tredjeland eller af statsborgere fra et sådant tredjeland. Hvis Kommissionen foretager en vurdering med henblik på artikel 103, stk. 7, og leverandøren ikke fremlægger de nødvendige oplysninger inden for den fastsatte frist, kan Kommissionen konkludere, at leverandøren kontrolleres af en enhed, der er udpeget i overensstemmelse med nævnte artikel. De kompetente myndigheder, der er omhandlet i artikel 112, deler også relevante oplysninger med Kommissionen efter anmodning.

5.Kommissionen deler de foreløbige resultater af vurderingen af etableringsstedet og ejer- og kontrolstrukturen med den pågældende leverandør. Kommissionen giver leverandøren mulighed for at blive hørt om disse foreløbige resultater.

6.Kommissionen kan anmode en kompetent myndighed om at foretage den indledende vurdering af en leverandørs etableringssted og ejer- og kontrolstruktur, hvis det er berettiget i betragtning af karakteren af leverandørens aktiviteter. En kompetent myndighed kan tilbyde at foretage den indledende vurdering. Kommissionen verificerer de første resultater med henblik på at afgøre, om leverandøren skal opføres på listen over højrisikoleverandører.

7.Kommissionen ajourfører regelmæssigt listen over højrisikoleverandører for at fjerne eller tilføje højrisikoleverandører. Højrisikoleverandører, der er opført på listen, kan anmode Kommissionen om at revurdere deres etableringssted og ejer- og kontrolstruktur ved at fremlægge dokumentation for, at der er sket relevante ændringer.

8.Når en kompetent myndighed bliver opmærksom på, herunder på grundlag af oplysninger fra en enhed af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, at det kan være nødvendigt at opføre en leverandør på en liste over højrisikoleverandører, underretter den uden unødigt ophold Kommissionen herom.

Artikel 105
Undtagelse for enheder, der er etableret i eller kontrolleres af enheder fra et tredjeland, som giver anledning til cybersikkerhedsproblemer

1.En enhed, der er etableret i eller kontrolleres af enheder fra et tredjeland, der giver anledning til cybersikkerhedsproblemer, som udpeget i overensstemmelse med artikel 100, kan fremsætte en begrundet anmodning til Kommissionen om at blive undtaget:

a)fra at være omfattet af forbuddet for enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, mod på nogen måde at anvende, installere eller integrere dens IKT-komponenter eller komponenter, der indeholder dens IKT-komponenter, i centrale IKT-aktiver tilhørende disse enheder, uanset artikel 111 eller gennemførelsesretsakter vedtaget i medfør af artikel 103, stk. 1

b)fra at være omfattet af forbuddet mod at tage del i offentlige udbudsprocedurer, der er tilrettelagt i overensstemmelse med lovgivning til gennemførelse af direktiv 2014/24/EU og 2014/25/EU for så vidt angår levering af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, som skal anvendes i centrale IKT-aktiver som identificeret i overensstemmelse med artikel 102, uanset artikel 100, stk. 4.

2.Den i stk. 1 omhandlede anmodning skal:

a)angive, hvilken interesse den enhed, der er etableret i eller kontrolleres af enheder fra et tredjeland, der giver anledning til cybersikkerhedsproblemer, som udpeget i overensstemmelse med artikel 100, har i at blive indrømmet den i nærværende artikels stk. 1 omhandlede undtagelse, og

b)tydeligt dokumentere, at der vil blive truffet effektive afbødende foranstaltninger til at imødegå ikketekniske risici og sikre, at det tredjeland, der er udpeget i overensstemmelse med artikel 100, ikke udøver utilbørlig indblanding med hensyn til leveringen af IKT-komponenter eller komponenter, der indeholder IKT-komponenter, til anvendelse, installation eller integration i centrale IKT-aktiver tilhørende en enhed af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555.

3.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter med henblik på yderligere at præcisere de betingelser, der er omhandlet i stk. 2, litra b), og fastsætte detaljerede regler med hensyn til de procedurer, der er omhandlet i denne artikel. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

4.Kommissionen vurderer den i stk. 1 omhandlede anmodning i en retfærdig og gennemsigtig proces under hensyntagen til:

a)de omstændigheder og yderligere elementer, der er omhandlet i artikel 100, stk. 1 og 2, vedrørende det udpegede land, der giver anledning til cybersikkerhedsproblemer for IKT-forsyningskæder, og hvor enheden er etableret, eller hvorfra den kontrolleres

b)effektiviteten af de afbødende foranstaltninger, der er omhandlet i stk. 2, litra b)

c)om undtagelsen af den enhed, der er etableret i eller kontrolleres af enheder fra et tredjeland, der giver anledning til cybersikkerhedsproblemer for IKT-forsyningskæder, ikke vil være til skade for Unionens interesser.

5.Når Kommissionen efter vurderingen i stk. 3 konkluderer, at det er berettiget at indrømme en undtagelse, træffer den afgørelse herom og underretter ansøgeren senest 9 måneder efter modtagelsen af anmodningen.

6.Når Kommissionen vedtager en afgørelse som omhandlet i stk. 4, kan den begrænse undtagelsen til en bestemt periode og lade undtagelsen være omfattet af betingelser for enheden, herunder:

a)en tidslinje for gennemførelsen af de afbødende foranstaltninger, der er omhandlet i stk. 2, litra b)

b)regelmæssig audit fra tredjeparter for at sikre en effektiv gennemførelse af afbødende foranstaltninger

c)rapporteringsforpligtelser vedrørende overholdelse.

7.Når Kommissionen efter vurderingen i stk. 3 konkluderer, at det ikke er berettiget at indrømme en undtagelse, træffer den afgørelse herom og underretter ansøgeren senest 9 måneder efter modtagelsen af anmodningen.

8.Kommissionen kan på eget initiativ trække den i stk. 4 omhandlede afgørelse tilbage eller ændre den i en eller flere af følgende situationer:

a)der er sket væsentlige ændringer af de faktiske forhold, som lå til grund for afgørelsen

b)den enhed, der har anmodet om undtagelsen, handler i strid med sine forpligtelser

c)undtagelsen var baseret på ufuldstændige, ukorrekte eller vildledende oplysninger fra den enhed, der fremsatte anmodningen.

Artikel 106
Ret til forsvar

Kommissionen sikrer, inden den vedtager en gennemførelsesretsakt i medfør af artikel 103, stk. 7, eller inden den vedtager en afgørelse om afslag på undtagelse i henhold til artikel 105, stk. 7, på grundlag af elementer, som ansøgeren ikke har fremlagt, eller inden den trækker en afgørelse tilbage i henhold til artikel 105, stk. 8, at den pågældende enhed får mulighed for at blive hørt, under hensyntagen til behovet i visse tilfælde for en hasteprocedure.

Artikel 107
Registret

Kommissionen fører et offentligt tilgængeligt register over sine afgørelser som omhandlet i artikel 105, stk. 5. Registret skal indeholde navnene på de enheder, der har været genstand for sådanne afgørelser. Kommissionen ajourfører regelmæssigt registret.

Artikel 108
Fortrolighed

Oplysninger, som Kommissionen modtager i forbindelse med artikel 105 og 106, må kun anvendes til det formål, hvortil de er indhentet.

Artikel 109
Gebyrer

1.Kommissionen opkræver gebyrer for anmodninger, der indgives efter artikel 105, stk. 1.

2.Gebyrerne angives og betales i euro.

3.Gebyrerne skal stå i forhold til de omkostninger, der er forbundet med behandlingen af de anmodninger, der er omhandlet i artikel 105, stk. 1, vurderingen af de kriterier og oplysninger, der er omhandlet i artikel 105, stk. 2, og oprettelsen, vedligeholdelsen og driften af det register, der er omhandlet i artikel 107. Alle Kommissionens udgifter til personale, der er involveret i disse aktiviteter, medregnes i omkostningerne.

4.Kommissionen vedtager gennemførelsesretsakter, der fastsætter detaljerede regler vedrørende gebyrerne og præciserer gebyrernes størrelse, og hvordan de skal betales. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 118, stk. 2.

KAPITEL II 
IKT-forsyningskæder i elektroniske kommunikationsnet

Artikel 110
Centrale IKT-aktiver til elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet

1.De centrale IKT-aktiver til elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet fastsættes i bilag II.

2.IKT-komponenter, der leveres af højrisikoleverandører, eller komponenter, der indeholder sådanne IKT-komponenter, udfases fra de centrale IKT-aktiver i elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet.

3.Tidsrammen for udfasningen af IKT-komponenter, der leveres af højrisikoleverandører, eller komponenter, der indeholder sådanne IKT-komponenter, fra elektroniske mobilkommunikationsnet må ikke overstige 36 måneder fra offentliggørelsen af den i artikel 104 omhandlede liste over højrisikoleverandører, der er relevante for elektroniske mobilkommunikationsnet.

4.Kommissionen tillægges beføjelser til at vedtage gennemførelsesretsakter i overensstemmelse med artikel 118, stk. 2, med henblik på at præcisere tidsrammerne for udfasning af IKT-komponenter, der leveres af højrisikoleverandører, eller komponenter, der indeholder sådanne IKT-komponenter, fra elektroniske faste kommunikationsnet og satellitkommunikationsnet.

5.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 119 med henblik på at ændre bilag II til denne forordning for at tilpasse det til den teknologiske udvikling under hensyntagen til de elementer, der er omhandlet i artikel 103, stk. 4.

Artikel 111
Forbud for elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet

1.Udbydere af elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet må ikke på nogen måde anvende, installere eller integrere IKT-komponenter fra højrisikoleverandører eller komponenter, der indeholder sådanne IKT-komponenter, i driften af de centrale IKT-aktiver i bilag II.

2.I tilfælde, hvor den kompetente myndighed, der er udpeget i henhold til denne forordning i en medlemsstat, er en anden end den kompetente myndighed i henhold til forordning (EU) XX/XXXX [forslag til forordning om digitale net (DNA)], underretter den kompetente myndighed, der er udpeget i henhold til denne forordning, uden ophold den kompetente myndighed i henhold til forordning (EU) XX/XXXX [forslaget til forordning om digitale net (DNA)] om de foranstaltninger, der pålægges udbydere af elektroniske mobilkommunikationsnet, faste kommunikationsnet og satellitkommunikationsnet i overensstemmelse med artikel 114. Myndighederne sikrer et tæt samarbejde med henblik på et effektivt tilsyn med og en effektiv håndhævelse af disse foranstaltninger.

KAPITEL III 
Kompetente myndigheder, tilsyn og håndhævelse, jurisdiktion og ret til forsvar

Artikel 112
De kompetente myndigheder

1.Hver medlemsstat udpeger de kompetente myndigheder, der er omhandlet i artikel 8 i direktiv (EU) 2022/2555, som myndigheder med ansvar for at træffe de tilsyns- og håndhævelsesforanstaltninger, der er omhandlet i artikel 114.

2.De kompetente myndigheder skal være strukturelt og funktionelt fuldstændig upartiske og frie for udefrakommende indflydelse, det være sig direkte eller indirekte; navnlig må de, når de træffer afgørelse, hverken søge eller modtage instruktioner fra nogen anden offentlig myndighed eller nogen privat part.

3.Medlemsstaterne sikrer, at deres kompetente myndigheder har passende beføjelser, tilstrækkelige menneskelige og tekniske ressourcer og den relevante ekspertise til effektivt at gennemføre de tilsyns- og håndhævelsesforanstaltninger, der er omhandlet i artikel 114.

4.Hver medlemsstat meddeler uden unødigt ophold Kommissionen navnene på de kompetente myndigheder, der er udpeget i overensstemmelse med stk. 1, disse myndigheders respektive opgaver og eventuelle efterfølgende ændringer heraf. Hver medlemsstat offentliggør også navnene på de kompetente myndigheder, der er udpeget i overensstemmelse med stk. 1.

Artikel 113
Netværk for Kommissionens samarbejds- og støttetjenester

Med henblik på et effektivt tilsyn opretter Kommissionen et netværk for samarbejdet mellem medlemsstaternes kompetente myndigheder, jf. artikel 112, og Kommissionen, der skal fungere som en platform for samarbejde og udveksling af oplysninger, navnlig med henblik på vurdering af etableringssted og ejer- og kontrolstruktur, jf. artikel 104. Kommissionen yder administrativ støtte til netværket.

Artikel 114
Tilsyns- og håndhævelsesforanstaltninger

1.De kompetente myndigheder, der er omhandlet i artikel 112, har ret til at træffe tilsyns- og håndhævelsesforanstaltninger over for enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Medlemsstaterne sikrer, at førnævnte foranstaltninger er effektive, forholdsmæssige og har afskrækkende virkning under hensyntagen til omstændighederne i hvert enkelt tilfælde. Medlemsstaterne meddeler Kommissionen de regler, der er vedtaget med henblik herpå, samt efterfølgende ændringer heraf.

2.Når de kompetente myndigheder udfører deres tilsynsopgaver med hensyn til de enheder, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, har de ret til at underkaste disse enheder følgende:

a)anmodninger om en detaljeret og ajourført liste over deres relevante leverandører og tjenesteydere

b)anmodninger om adgang til data, dokumenter og oplysninger, der er nødvendige for at verificere overholdelsen af denne forordning

c)kontrol på stedet og eksternt tilsyn, herunder stikprøvekontrol udført af uddannede fagfolk

d)anmodninger vedrørende sammensætningen af hardware- eller softwareprodukter, der er installeret eller integreret i en hvilken som helst form i nettet eller systemet, herunder komponenter og transitive afhængighedsforhold, i et almindeligt anvendt og maskinlæsbart format.

3.Når de kompetente myndigheder udøver deres håndhævelsesbeføjelser med hensyn til enheder af den type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, har de ret til at:

a)udstede advarsler om de pågældende enheders overtrædelser af denne forordning med angivelse af de relevante faktiske omstændigheder og retlige betragtninger

b)vedtage afgørelser, der pålægger de pågældende enheder at afhjælpe overtrædelsen af denne forordning eller de mangler, der er konstateret i gennemførelsen af afbødende foranstaltninger

c)pålægge de pågældende enheder at indstille aktiviteter, der overtræder denne forordning, og afstå fra at gentage dem og

d)pålægge sanktioner i overensstemmelse med reglerne for beløbsstørrelse, jf. artikel 115, eller anmode de relevante organer, domstole eller voldgiftsretter om at pålægge sådanne sanktioner i overensstemmelse med national ret.

4.Når de kompetente myndigheder træffer en af de håndhævelsesforanstaltninger, der er omhandlet i foregående stykke, tager de omstændighederne i hvert enkelt tilfælde i betragtning og tager behørigt hensyn til følgende faktorer:

a)overtrædelsens grovhed og betydningen af de tilsidesatte bestemmelser

b)overtrædelsens varighed

c)den pågældende enheds relevante omsætning

d)eventuelle tidligere relevante overtrædelser begået af den pågældende enhed

e)hvis det er relevant, enhver materiel eller immateriel skade forårsaget af overtrædelsen, herunder ethvert finansielt eller økonomisk tab, virkninger for andre enheder og antallet af brugere, der er berørt

f)om den pågældende enhed har handlet forsætligt eller uagtsomt

g)enhver foranstaltning truffet af enheden for at forebygge eller afbøde den materielle eller immaterielle skade

h)omfanget af samarbejde mellem de kompetente myndigheder og de fysiske eller juridiske personer, der holdes ansvarlige.

Med henblik på første afsnit, litra a), udgør følgende en grov overtrædelse:

i)gentagne overtrædelser

j)manglende underretning om eller afhjælpning af væsentlige hændelser

k)manglende afhjælpning af mangler efter bindende instrukser fra kompetente myndigheder.

5.De kompetente myndigheder underretter de pågældende enheder om de foreløbige konklusioner, inden de træffer håndhævelsesforanstaltninger. De pågældende enheder gives en rimelig frist til at fremsætte bemærkninger til de foreløbige konklusioner. De kompetente myndigheder giver en detaljeret begrundelse for deres håndhævelsesforanstaltninger.

6.De kompetente myndigheder respekterer fortrolighedsprincippet, tavshedspligten og forretningshemmeligheder.

7.De kompetente myndigheder samarbejder med hinanden og med Kommissionen med henblik på tilsyn og håndhævelse i henhold til dette afsnit i overensstemmelse med artikel 116.

Artikel 115
Sanktioner

1.Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes.

2.Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne meddeler Kommissionen disse regler og foranstaltninger og underretter den uden ophold om eventuelle senere ændringer, der berører dem.

3.Sanktioner pålægges i tillæg til en hvilken som helst af de foranstaltninger, der er omhandlet i artikel 114, stk. 3, litra a), b) og c).

4.Når det i hvert enkelt tilfælde besluttes, om der skal pålægges sanktioner, og der træffes afgørelse om deres størrelse, tages der som minimum behørigt hensyn til de faktorer, der er omhandlet i artikel 114, stk. 4, første afsnit.

5.Overtrædelser af artikel 103, stk. 2, litra a), er i overensstemmelse med nærværende artikels stk. 3 omfattet af sanktioner på højst 1 % af den samlede årlige omsætning på verdensplan i det foregående regnskabsår i den virksomhed, som enheden tilhører.

6.Overtrædelser af artikel 103, stk. 2, litra b)-g), er i overensstemmelse med nærværende artikels stk. 3 omfattet af sanktioner på højst 2 % af den samlede årlige omsætning på verdensplan i det foregående regnskabsår i den virksomhed, som enheden tilhører.

7.Overtrædelser af artikel 103, stk. 1, og artikel 111 er i overensstemmelse med nærværende artikels stk. 3 omfattet af sanktioner på højst 7 % af den samlede årlige omsætning på verdensplan i det foregående regnskabsår i den virksomhed, som enheden tilhører.

Artikel 116
Gensidig bistand

1.Hvis en enhed af den type, der er omhandlet i bilag I eller II til direktiv (EU) 2022/2555, leverer tjenester i mere end én medlemsstat, eller hvis den leverer tjenester i en eller flere medlemsstater, og dens centrale IKT-aktiver befinder sig i en eller flere andre medlemsstater, samarbejder de kompetente myndigheder i de pågældende medlemsstater med hinanden og med Kommissionen og bistår hinanden og Kommissionen med henblik på at sikre en effektiv anvendelse af forordningen. Med henblik herpå finder som minimum følgende regler anvendelse:

a)de kompetente myndigheder, der anvender tilsyns- eller håndhævelsesforanstaltninger i en medlemsstat, underretter og hører de kompetente myndigheder i de øvrige berørte medlemsstater om de tilsyns- og håndhævelsesforanstaltninger, der er truffet

b)en kompetent myndighed i en medlemsstat kan anmode en anden kompetent myndighed i en anden medlemsstat om at træffe tilsyns- eller håndhævelsesforanstaltninger

c)en kompetent myndighed i en medlemsstat yder efter modtagelse af en begrundet anmodning fra en anden kompetent myndighed i en anden medlemsstat bistand til denne anden kompetente myndighed efter bedste evne, så tilsyns- eller håndhævelsesforanstaltningerne kan gennemføres på en effektiv, virkningsfuld og konsekvent måde.

2.Den gensidige bistand, der er omhandlet i stk. 1, litra c), kan omfatte anmodninger om oplysninger og tilsynsforanstaltninger, herunder anmodninger om at foretage inspektioner på stedet eller eksternt tilsyn eller målrettede sikkerhedskontroller. En kompetent myndighed, som en anmodning om bistand er rettet til, må ikke afvise anmodningen, medmindre det er fastslået, at den ikke er kompetent til at yde den ønskede bistand, eller at den bistand, der anmodes om, ikke står i et rimeligt forhold til den kompetente myndigheds tilsynsopgaver, eller anmodningen vedrører oplysninger eller indebærer aktiviteter, som, hvis de blev videregivet eller udført, ville stride mod den medlemsstats væsentlige interesser med hensyn til national sikkerhed, offentlig sikkerhed eller forsvar. Før den kompetente myndighed afviser en sådan anmodning, hører den de øvrige berørte kompetente myndigheder samt, efter anmodning fra en af de berørte medlemsstater, Kommissionen.

3.Hvor det er hensigtsmæssigt og efter fælles overenskomst, kan de kompetente myndigheder i forskellige medlemsstater gennemføre fælles tilsynstiltag.

4.I betragtning af forpligtelsen til at respektere fortrolighedsprincippet, tavshedspligten og forretningshemmeligheder, jf. artikel 114, stk. 6, må enhver oplysning, der udveksles i forbindelse med en anmodning om bistand, og som gives i henhold til nærværende artikel, kun anvendes i forbindelse med den sag, til hvilken den er indhentet.

Artikel 117
Jurisdiktion og territorialitet

1.Enheder af en type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, og som er omfattet af denne forordnings anvendelsesområde, anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de er etableret, med undtagelse af:

a)udbydere af offentlige elektroniske kommunikationsnet eller udbydere af offentligt tilgængelige elektroniske kommunikationstjenester, som anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de leverer deres tjenester

b)DNS-tjenesteudbydere, topdomænenavneadministratorer (TLD-administratorer), udbydere af cloudcomputingtjenester, udbydere af datacentertjenester, udbydere af indholdsleveringsnetværk, udbydere af administrerede tjenester, udbydere af administrerede sikkerhedstjenester og udbydere af onlinemarkedspladser, onlinesøgemaskiner eller platforme for sociale netværkstjenester, som anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de har deres hovedforretningssted i Unionen i henhold til stk. 2

c)offentlige forvaltningsenheder, som anses for at henhøre under jurisdiktionen i den medlemsstat, som de tilhører

d)luftfartsselskaber, som anses for at henhøre under jurisdiktionen i den medlemsstat, hvis kompetente licensudstedende myndighed har udstedt licensen til enheden i henhold til Europa-Parlamentets og Rådets forordning (EF) nr. 1008/2008 83 , eller som, hvis licensen eller tilsvarende ikke er udstedt i overensstemmelse med nævnte forordning, anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de har deres hovedforretningssted i Unionen i henhold til stk. 2.

2.Med henblik på denne forordning anses en enhed som omhandlet i stk. 1, litra b), for at have sit hovedforretningssted i Unionen i den medlemsstat, hvor beslutningerne vedrørende foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes. Hvis en sådan medlemsstat ikke kan fastslås, eller hvis sådanne beslutninger ikke træffes i Unionen, anses hovedforretningsstedet for at være i den medlemsstat, hvor de fleste af cybersikkerhedsoperationerne udføres. Hvis en sådan medlemsstat ikke kan fastslås, anses hovedforretningsstedet for at være i den medlemsstat, hvor den pågældende enheds forretningssted med det største antal ansatte i Unionen er beliggende.

3.Hvis en enhed af en type, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555, ikke er etableret i Unionen, men udbyder tjenester inden for Unionen, skal den udpege en repræsentant i Unionen. Repræsentanten skal være etableret i en af de medlemsstater, hvor tjenesterne udbydes. En sådan enhed anses for at høre under jurisdiktionen i den medlemsstat, hvor repræsentanten er etableret. Hvis enheden er en enhed som omhandlet i stk. 1, litra a), anses den for at høre under jurisdiktionen i den medlemsstat, hvor den leverer sine tjenester. Hvis der ikke findes en repræsentant i Unionen, der er udpeget i henhold til dette stykke, kan enhver medlemsstat, hvor enheden leverer tjenester, tage retlige skridt mod enheden for overtrædelse af denne forordning.

4.Det forhold, at en enhed som omhandlet i stk. 1, litra b), har udpeget en repræsentant, forhindrer ikke, at der kan tages retlige skridt mod enheden selv.

5.Medlemsstater, der har modtaget en anmodning om gensidig bistand vedrørende en enhed som omhandlet i stk. 1, litra b), kan inden for rammerne af denne anmodning træffe passende tilsyns- og håndhævelsesforanstaltninger over for den pågældende enhed, hvis enheden leverer tjenester eller har et net- og informationssystem på deres område.

AFSNIT VI 
AFSLUTTENDE BESTEMMELSER

Artikel 118
Udvalgsprocedure

1.Kommissionen bistås af et udvalg. Dette udvalg har to sammensætninger. For så vidt angår afsnit II og III bistås Kommissionen af et udvalg i den første sammensætning, mens Kommissionen for så vidt angår afsnit IV bistås af et udvalg i den anden sammensætning. Udvalget er et udvalg som omhandlet i forordning (EU) nr. 182/2011.

2.Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.

Artikel 119
Udøvelse af delegerede beføjelser

1.Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.

2.Beføjelsen til at vedtage delegerede retsakter i overensstemmelse med artikel 80, stk. 2, og artikel 110, stk. 5, tillægges Kommissionen for en ubegrænset periode fra datoen for denne forordnings ikrafttræden.

3.Den i artikel 80, stk. 2, og artikel 110, stk. 5, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er nævnt i afgørelsen, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i Den Europæiske Unions Tidende eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft. 

4.Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.

5.Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.

6.En delegeret retsakt vedtaget i henhold til artikel 80, stk. 2, og artikel 110, stk. 5, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ. 

Artikel 120
Evaluering og revision

1.Senest den [DD MM ÅÅÅÅ] og derefter hvert femte år bestiller Kommissionen en evaluering, som gennemføres i overensstemmelse med Kommissionens retningslinjer.

2.Evalueringen i stk. 1 skal omfatte en vurdering af følgende:

a)ENISA's resultater i forhold til dets formål, mandat, mission, opgaver, forvaltning og beliggenhed

b)effektiviteten og EU-merværdien af de europæiske ordninger for attestering af individuelle cybersikkerhedsfærdigheder som fastsat i denne forordnings afsnit II, kapitel II, afdeling 4

c)virkningen og effektiviteten af bestemmelserne i denne forordnings afsnit III med hensyn til målsætningerne om at sikre et tilstrækkeligt niveau af cybersikkerhed for IKT-produkter, IKT-tjenester, IKT-processer, administrerede sikkerhedstjenester og enheder i Unionen og forbedre det indre markeds funktion

d)virkningen og effektiviteten af bestemmelserne i denne forordnings afsnit IV med hensyn til formålet med den pålidelige ramme for IKT-forsyningskæder.

3.Den i stk. 1, litra a), omhandlede evaluering skal navnlig undersøge eventuelle behov for at ændre ENISA's mandat og de finansielle følger af en sådan ændring.

4.Ved hver anden evaluering, jf. stk. 1, litra a), vurderer Kommissionen ENISA's resultater i forhold til dets formål, mandat, mission, forvaltning og opgaver, herunder en vurdering af, hvorvidt det stadig er berettiget, at ENISA fortsætter med samme formål, mandat, mission, forvaltning og opgaver.

5.Kommissionen aflægger rapport til Europa-Parlamentet, Rådet og bestyrelsen om resultatet af evalueringen. Resultatet af evalueringen offentliggøres.

Artikel 121
Ophævelse og videreførelse af aktiviteter

1.Europa-Parlamentets og Rådets forordning (EU) 2019/881 ophæves med virkning fra den DDMMÅÅÅÅ.

2.Henvisninger til forordning (EU) 2019/881, ENISA og europæiske cybersikkerhedscertificeringsordninger som etableret ved nævnte forordning gælder som henvisninger til nærværende forordning og læses efter sammenligningstabellen i bilag III til nærværende forordning.

3.ENISA som reguleret ved nærværende forordning fortsætter sin drift og sine aktiviteter som ENISA som oprettet ved forordning (EU) 2019/881 med hensyn til ethvert ejendomsforhold, enhver aftale, enhver retlig forpligtelse, enhver ansættelseskontrakt, enhver økonomisk forpligtelse og ethvert økonomisk ansvar. Alle afgørelser vedtaget af bestyrelsen og forretningsudvalget i overensstemmelse med forordning (EU) 2019/881 forbliver gyldige, forudsat at de er i overensstemmelse med nærværende forordning.

4.Den administrerende direktør, der er udpeget i henhold til artikel 15, stk. 1, litra n), i forordning (EU) 2019/881, fortsætter som og udfører sine opgaver og varetager sine ansvarsområder som administrerende direktør, jf. nærværende forordnings artikel 32, for den resterende del af vedkommendes mandatperiode. De øvrige betingelser i vedkommendes kontrakt forbliver uændrede.

5.Forslag til ordninger, som der er anmodet om udarbejdelse af i henhold til artikel 49 i forordning (EU) 2019/881, anses for at være blevet anmodet i henhold til de tilsvarende bestemmelser i nærværende forordning. Bestemmelserne i nærværende forordnings afsnit III finder tilsvarende anvendelse på disse forslag til ordninger.

6.De af Kommissionen udnævnte medlemmer af bestyrelsen og deres stedfortrædere, jf. artikel 14 i forordning (EU) 2019/881, forsætter som og udøver deres funktioner som bestyrelse, jf. nærværende forordnings artikel 27, for den resterende del af deres mandatperiode. De af medlemsstaterne udnævnte medlemmer af bestyrelsen og deres stedfortrædere, jf. artikel 14 i forordning (EU) 2019/881, forsætter som og udøver deres funktioner som bestyrelse, jf. nærværende forordnings artikel 27, forudsat at de varetager funktioner som omhandlet i nærværende forordnings artikel 24, stk. 3.

Artikel 122
Ikrafttræden

Denne forordning træder i kraft på […]dagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Strasbourg, den […].

OVERSIGT OVER FINANSIELLE OG DIGITALE VIRKNINGER

1.FORSLAGETS/INITIATIVETS RAMME3

1.1.Forslagets/initiativets betegnelse3

1.2.Berørt(e) politikområde(r)3

1.3.Mål3

1.3.1.Generelt/generelle mål3

1.3.2.Specifikt/specifikke mål3

1.3.3.Forventet/forventede resultat(er) og virkning(er)3

1.3.4.Resultatindikatorer3

1.4.Forslaget/initiativet vedrører4

1.5.Begrundelse for forslaget/initiativet4

1.5.1.Behov, der skal opfyldes på kort eller lang sigt, herunder en detaljeret tidsplan for iværksættelsen af initiativet4

1.5.2.Merværdien af et EU-tiltag (f.eks. som følge af koordineringsfordele, retssikkerhed, større effekt eller komplementaritet). Ved "merværdien af et EU-tiltag" forstås her merværdien af en indsats på EU-plan i forhold til den værdi, som medlemsstaterne ville have skabt enkeltvis4

1.5.3.Erfaringer fra tidligere foranstaltninger af lignende art4

1.5.4.Forenelighed med den flerårige finansielle ramme og mulige synergivirkninger med andre relevante instrumenter5

1.5.5.Vurdering af de forskellige finansieringsmuligheder, der er til rådighed, herunder muligheden for omfordeling5

1.6.Varigheden af forslaget/initiativet og af dets finansielle virkninger6

1.7.Planlagt(e) budgetgennemførelsesmetode(r)6

2.FORVALTNINGSFORANSTALTNINGER8

2.1.Bestemmelser om overvågning og rapportering8

2.2.Forvaltnings- og kontrolsystem(er)8

2.2.1.Begrundelse for den/de foreslåede budgetgennemførelsesmetode(r), finansieringsmekanisme(r), betalingsvilkår og kontrolstrategi8

2.2.2.Oplysninger om de konstaterede risici og det/de interne kontrolsystem(er), der etableres for at afbøde dem8

2.2.3.Vurdering af og begrundelse for kontrolforanstaltningernes omkostningseffektivitet (forholdet mellem kontrolomkostningerne og værdien af de forvaltede midler) samt vurdering af den forventede risiko for fejl (ved betaling og ved afslutning)8

2.3.Foranstaltninger til forebyggelse af svig og uregelmæssigheder9

3.FORSLAGETS/INITIATIVETS ANSLÅEDE FINANSIELLE VIRKNINGER10

3.1.Berørt(e) udgiftsområde(r) i den flerårige finansielle ramme og udgiftspost(er) på budgettet10

3.2.Forslagets anslåede finansielle virkninger for bevillingerne12

3.2.1.Sammenfatning af de anslåede virkninger for aktionsbevillingerne12

3.2.1.1.Bevillinger fra vedtaget budget12

3.2.1.2.Bevillinger fra eksterne formålsbestemte indtægter17

3.2.2.Anslåede resultater finansieret med aktionsbevillinger22

3.2.3.Sammenfatning af de anslåede virkninger for administrationsbevillingerne24

3.2.3.1. Bevillinger fra vedtaget budget24

3.2.3.2.Bevillinger fra eksterne formålsbestemte indtægter24

3.2.3.3.Bevillinger i alt24

3.2.4.Anslået behov for menneskelige ressourcer25

3.2.4.1.Finansieret over vedtaget budget25

3.2.4.2.Finansieret over eksterne formålsbestemte indtægter26

3.2.4.3.Samlet behov for menneskelige ressourcer26

3.2.5.Oversigt over de anslåede virkninger for de digitale teknologirelaterede investeringer28

3.2.6.Forenelighed med indeværende flerårige finansielle ramme28

3.2.7.Bidrag fra tredjemand28

3.3.Anslåede virkninger for indtægterne29

4.Digitale dimensioner29

4.1.Krav af digital relevans30

4.2.Data30

4.3.Digitale løsninger31

4.4.Vurdering af interoperabilitet31

4.5.Foranstaltninger til støtte for digital gennemførelse32

1.FORSLAGETS/INITIATIVETS RAMME 

1.1.Forslagets/initiativets betegnelse

1.2.Berørt(e) politikområde(r) 

1.3.Mål

1.3.1.Generelt/generelle mål

1.3.2.Specifikt/specifikke mål

1.3.3.Forventet/forventede resultat(er) og virkning(er)

Angiv, hvilke virkninger forslaget/initiativet forventes at få for modtagerne/målgrupperne.

1.3.4.Resultatindikatorer

Angiv indikatorerne til overvågning af fremskridt og resultater.

1.4.Forslaget/initiativet vedrører 

 en ny foranstaltning (Afsnit IV Forsyningskæde, Afsnit V Forenkling)

 en ny foranstaltning som opfølgning på et pilotprojekt/en forberedende foranstaltning 84  

 en forlængelse af en eksisterende foranstaltning (Afsnit II ENISA's mandat og afsnit III Certificering)

 en sammenlægning eller en omlægning af en eller flere foranstaltninger til en anden/en ny foranstaltning

1.5.Begrundelse for forslaget/initiativet 

1.5.1.Behov, der skal opfyldes på kort eller lang sigt, herunder en detaljeret tidsplan for iværksættelsen af initiativet

1.5.2.Merværdien af et EU-tiltag (f.eks. som følge af koordineringsfordele, retssikkerhed, større effekt eller komplementaritet). Ved "merværdien af et EU-tiltag" forstås her merværdien af en indsats på EU-plan i forhold til den værdi, som medlemsstaterne ville have skabt enkeltvis

1.5.3.Erfaringer fra tidligere foranstaltninger af lignende art

1.5.4.Forenelighed med den flerårige finansielle ramme og mulige synergivirkninger med andre relevante instrumenter

1.5.5.Vurdering af de forskellige finansieringsmuligheder, der er til rådighed, herunder muligheden for omfordeling

1.6.Varigheden af forslaget/initiativet og af dets finansielle virkninger

 Begrænset varighed

–    gældende fra [DD/MM]ÅÅÅÅ til [DD/MM]ÅÅÅÅ

–    finansielle virkninger fra ÅÅÅÅ til ÅÅÅÅ for forpligtelsesbevillinger og fra ÅÅÅÅ til ÅÅÅÅ for betalingsbevillinger.

 Ubegrænset varighed

–iværksættelse med en indkøringsperiode fra ÅÅÅÅ til ÅÅÅÅ

–derefter gennemførelse i fuldt omfang.

1.7.Planlagt(e) budgetgennemførelsesmetode(r) 

 Direkte forvaltning ved Kommissionen

– i dens tjenestegrene, herunder ved dens personale i EU's delegationer

–    i forvaltningsorganerne

 Delt forvaltning i samarbejde med medlemsstaterne

 Indirekte forvaltning ved at overdrage budgetgennemførelsesopgaver til:

– tredjelande eller organer, som tredjelande har udpeget

– internationale organisationer og deres agenturer (angives nærmere)

– Den Europæiske Investeringsbank og Den Europæiske Investeringsfond

– de organer, der er omhandlet i finansforordningens artikel 70 og 71

– offentligretlige organer

– privatretlige organer, der har fået overdraget offentlige tjenesteydelsesopgaver, i det omfang de har fået stillet tilstrækkelige finansielle garantier

– privatretlige organer, undergivet lovgivningen i en medlemsstat, som har fået overdraget gennemførelsen af et offentlig-privat partnerskab, og som har fået stillet tilstrækkelige finansielle garantier

– organer eller personer, der har fået overdraget gennemførelsen af specifikke aktioner i den fælles udenrigs- og sikkerhedspolitik i henhold til afsnit V i traktaten om Den Europæiske Union, og som er anført i den relevante basisretsakt

– organer, der er etableret i en medlemsstat og undergivet lovgivningen i en medlemsstat eller EU-lovgivningen, og som i overensstemmelse med sektorspecifikke regler kan få overdraget gennemførelsen af EU-midler eller budgetgarantier, i det omfang de kontrolleres af offentligretlige organer eller af privatretlige organer, der har fået overdraget offentlige tjenesteydelsesopgaver, og har fået stillet tilstrækkelige finansielle garantier i form af kontrolorganernes solidariske hæftelse eller ækvivalente finansielle garantier, som for hver foranstaltning kan begrænses til EU-støttens maksimale beløb.

Bemærkninger

2.FORVALTNINGSFORANSTALTNINGER 

2.1.Bestemmelser om overvågning og rapportering 

2.2.Forvaltnings- og kontrolsystem(er) 

2.2.1.Begrundelse for den/de foreslåede budgetgennemførelsesmetode(r), finansieringsmekanisme(r), betalingsvilkår og kontrolstrategi

2.2.2.Oplysninger om de konstaterede risici og det/de interne kontrolsystem(er), der etableres for at afbøde dem

2.2.3.Vurdering af og begrundelse for kontrolforanstaltningernes omkostningseffektivitet (forholdet mellem kontrolomkostningerne og værdien af de forvaltede midler) samt vurdering af den forventede risiko for fejl (ved betaling og ved afslutning) 

2.3.Foranstaltninger til forebyggelse af svig og uregelmæssigheder 

3.FORSLAGETS/INITIATIVETS ANSLÅEDE FINANSIELLE VIRKNINGER 

3.1.Berørt(e) udgiftsområde(r) i den flerårige finansielle ramme og udgiftspost(er) på budgettet 

·Eksisterende budgetposter

I samme rækkefølge som udgiftsområderne i den flerårige finansielle ramme og budgetposterne