31.1.2018   

DA

Den Europæiske Unions Tidende

L 26/48

(1)

I henhold til direktiv (EU) 2016/1148 kan udbydere af digitale tjenester frit træffe de tekniske og organisatoriske foranstaltninger, som de finder passende og forholdsmæssige for at styre risiciene i forhold til sikkerheden i net- og informationssystemerne, for så vidt som disse foranstaltninger sikrer et passende sikkerhedsniveau under hensyntagen til de elementer, der kræves ifølge direktivet.

(2)

Når udbydere af digitale tjenester fastlægger passende og forholdsmæssige tekniske og organisatoriske foranstaltninger, bør de gribe informationssikkerhed an på en systematisk måde ved hjælp af en risikobaseret tilgang.

(3)

For at garantere systemers og faciliteters sikkerhed bør udbydere af digitale tjenester gennemføre vurderings- og analyseprocedurer. Disse aktiviteter bør omfatte systematisk forvaltning af net- og informationssystemer, fysisk og miljømæssig sikkerhed, forsyningssikkerhed og adgangskontrol.

(4)

Når udbydere af digitale tjenester gennemfører en risikoanalyse som led i den systematiske forvaltning af net- og informationssystemer, bør de tilskyndes til at kortlægge de specifikke risici og kvantificere deres betydning, f.eks. ved at påpege trusler mod kritiske aktiver og fastslå, hvordan truslerne kan påvirke driften, og de bør afgøre, hvordan man bedst kan imødegå disse trusler i betragtning af den disponible kapacitet og ressourcebehovene.

(5)

Personalepolitik kan f.eks. omfatte forvaltning af kvalifikationer, herunder aspekter vedrørende udvikling af sikkerhedsrelaterede kvalifikationer og bevidstgørelse. Når udbydere af digitale tjenester træffer beslutning om et passende sæt politikker for driftssikkerhed, bør de tilskyndes til at tage hensyn til aspekter som ændringsstyring, sårbarhedsstyring, formalisering af drifts- og administrationspraksis og systemkortlægning.

(6)

Politikker for sikkerhedsarkitektur kan f.eks. omfatte adskillelse af net og systemer samt særlige sikkerhedsforanstaltninger for kritiske funktioner såsom administrative funktioner. Adskillelse af net og systemer kan gøre det muligt for en udbyder af digitale tjenester at skelne mellem elementer såsom datastrømme og IT-ressourcer, der tilhører henholdsvis en kunde, en gruppe af kunder, udbyderen af digitale tjenester eller en tredjepart.

(7)

De foranstaltninger, der træffes vedrørende fysisk og miljømæssig sikkerhed, bør sikre en organisations net- og informationssystemer mod skader forårsaget af hændelser som f.eks. tyveri, brand, oversvømmelse eller andre ugunstige vejrforhold, telekommunikations- eller strømafbrydelser.

(8)

Forsyningssikkerheden med hensyn til bl.a. elektricitet, brændstof eller køling kan f.eks. dække sikkerhed i forsyningskæden, der navnlig omfatter sikkerheden i forbindelse med tredjepartsleverandører og underkontrahenter samt disses forvaltning. Kritiske forsyningers sporbarhed vedrører tjenesteudbyderens evne til at udpege og dokumentere kilderne til disse forsyninger.

(9)

Brugerne af digitale tjenester bør omfatte fysiske og juridiske personer, der er kunder eller abonnenter på en onlinemarkedsplads eller en cloud computing-tjeneste, eller som besøger en onlinesøgemaskines websted for at foretage søgninger på nøgleord.

(10)

Ved bestemmelsen af, om en hændelses konsekvenser er betydelige, bør de tilfælde, der er fastsat i denne forordning, betragtes som en ikke-udtømmende liste over hændelser med betydelige konsekvenser. Der bør drages lære af gennemførelsen af denne forordning og af arbejdet i samarbejdsgruppen, for så vidt angår indsamlingen af oplysninger om bedste praksis i forbindelse med risici og hændelser og drøftelserne om metoder til rapportering af underretning om hændelser, jf. artikel 11, stk. 3, litra i) og m), i direktiv (EU) 2016/1148. Dette kan f.eks. udmunde i omfattende retningslinjer vedrørende kvantitative grænseværdier for underretningsparametre, der kan udløse underretningspligten for udbydere af digitale tjenester i henhold til artikel 16, stk. 3, i direktiv (EU) 2016/1148. Hvor det er relevant, kunne Kommissionen også overveje at tage de grænseværdier, der er fastsat i denne forordning, op til fornyet overvejelse.

(11)

For at de kompetente myndigheder kan blive underrettet om potentielle nye risici, bør udbyderne af digitale tjenester tilskyndes til frivilligt at rapportere om enhver hændelse med kendetegn, der hidtil har været ukendte for dem, såsom nye angrebsværktøjer (»exploits«), angrebsvektorer eller trusselsaktører, sårbarheder og risici.

(12)

Denne forordning bør anvendes fra og med dagen efter udløbet af fristen for gennemførelse af direktiv (EU) 2016/1148.

(13)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra Udvalget for Sikkerhed i Net- og Informationssystemer, jf. artikel 22 i direktiv (EU) 2016/1148 —

a)

systematisk forvaltning af net- og informationssystemer, hvilket indebærer en kortlægning af informationssystemerne og fastlæggelse af et sæt passende politikker til styring af informationssikkerhed, herunder risikoanalyse, personaleressourcer, driftssikkerhed, sikkerhedsarkitektur, sikre data og livscyklusstyring af systemer og, hvor det er relevant, kryptering og styring af en sådan kryptering

b)

fysisk og miljømæssig sikkerhed, hvilket betyder, at der skal træffes en række foranstaltninger for at beskytte sikkerheden i de net- og informationssystemer, som udbydere af digitale tjenester anvender, mod skader gennem en risikobaseret tilgang, der dækker alle risici, herunder systemsvigt, menneskelige fejl, handlinger i ond hensigt og naturfænomener

c)

forsyningssikkerhed, hvilket betyder, at der skal fastlægges og ajourføres passende politikker for at sikre adgang til kritiske forsyninger, der anvendes i forbindelse med levering af tjenesterne, og hvor det er relevant, sikre disse forsyningers sporbarhed

d)

kontrol af adgangen til net- og informationssystemer, hvilket betyder, at der skal træffes en række foranstaltninger for at sikre, at fysisk og logisk adgang til net- og informationssystemer, herunder den administrative sikkerhed i net- og informationssystemer, tillades og begrænses på grundlag af forretnings- og sikkerhedsmæssige krav.

a)

opretholdelse og afprøvning af detekteringssprocesser og -procedurer, der sikrer rettidig og tilstrækkelig bevidsthed om unormale begivenheder

b)

processer og politikker for rapportering af hændelser og konstatering af svagheder og sårbarheder i deres informationssystemer

c)

reaktion på hændelser i overensstemmelse med fastlagte procedurer og rapportering om resultaterne af de trufne foranstaltninger

d)

vurdering af hændelsernes alvor og redegørelse for den viden, der er opnået ved analyse af hændelserne, og indsamling af relevante oplysninger, som kan tjene som dokumentation og fremme en vedvarende forbedringsproces.

a)

udarbejdelse og anvendelse af beredskabsplaner på grundlag af en konsekvensanalyse for at sikre kontinuiteten i de tjenester, der leveres af udbydere af digitale tjenester; planerne skal vurderes og afprøves regelmæssigt, f.eks. gennem øvelser

b)

katastrofeberedskabskapacitet, der skal vurderes og afprøves regelmæssigt, f.eks. gennem øvelser.

a)

gennemførelse af en planlagt sekvens af observationer eller målinger med henblik på at vurdere, om net- og informationssystemerne fungerer efter hensigten

b)

inspektion og verifikation med henblik på at kontrollere, om en standard eller et sæt retningslinjer følges, om registreringerne er nøjagtige, og om målene for effektivitet og virkningsfuldhed opfyldes

c)

en proces med henblik på at afsløre mangler i et net- og informationssystems sikkerhedsmekanismer til beskyttelse af data og opretholdelse af den tilsigtede funktionalitet. En sådan proces skal omfatte de tekniske processer og det personale, der indgår i driften.

a)

antallet af berørte fysiske og juridiske personer, med hvem der er indgået kontrakt om levering af tjenesten eller

b)

antallet af berørte brugere, der har benyttet tjenesten, navnlig baseret på tidligere trafikdata.

a)

tjenesten, der leveres af en udbyder af digitale tjenester, var ikke tilgængelig i over 5 000 000 brugertimer, idet udtrykket »brugertime« henviser til antallet af berørte brugere i Unionen i en periode på 60 minutter

b)

hændelsen har ført til tab af integritet, autenticitet eller fortrolighed i forbindelse med arkiverede, overførte eller behandlede data eller dermed forbundne tjenester, der tilbydes af udbyderen eller er tilgængelige via udbyderens net- og informationssystem, og dette tab berører mere end 100 000 brugere i Unionen

c)

hændelsen har medført risiko for den offentlige sikkerhed eller tab af menneskeliv

d)

hændelsen har forårsaget materiel skade på over 1 000 000 EUR for mindst én bruger i Unionen.