Πράξη της ΕΕ για την κυβερνοασφάλεια

ΒΑΣΙΚΑ ΣΗΜΕΙΑ

Η εντολή του ENISA είναι:

• να προσφέρει ένα υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την ΕΕ·
• να υποστηρίζει τις εθνικές αρχές και τα θεσμικά όργανα, τα λοιπά όργανα και τους οργανισμούς της ΕΕ στη βελτίωση της κυβερνοασφάλειας·
• να χρησιμεύει ως σημείο αναφοράς για επιστημονικές και τεχνικές συμβουλές και εμπειρογνωμοσύνη σχετικά με την κυβερνοασφάλεια για τα θεσμικά όργανα, τα λοιπά όργανα και τους οργανισμούς της ΕΕ, καθώς και για άλλους ενδιαφερόμενους φορείς·
• να συμβάλει στη μείωση του κατακερματισμού της εσωτερικής αγοράς·
• να ενεργεί ανεξάρτητα, να αποφεύγει τις αλληλεπικαλύψεις εθνικών δραστηριοτήτων και να λαμβάνει υπόψη την εθνική εμπειρογνωσία·
• να αναπτύσσει τους δικούς του τεχνικούς και ανθρώπινους πόρους, και πόρους που αφορούν την ανάπτυξη ικανοτήτων.

Στα καθήκοντα του ENISA περιλαμβάνονται τα ακόλουθα:

• να συμβάλλει στη χάραξη και την εφαρμογή της πολιτικής και του δικαίου της ΕΕ·
• να προάγει την ανάπτυξη ικανοτήτων, για παράδειγμα μέσω της βελτίωσης της πρόληψης, ανίχνευσης και ανάλυσης των κυβερνοαπειλών¹ και της αντίδρασης σε αυτές και μέσω της συνδρομής στην ανάπτυξη εθνικών ομάδων παρέμβασης για συμβάντα που αφορούν την ασφάλεια των υπολογιστών (CSIRT) ή μέσω της διοργάνωσης ασκήσεων κυβερνοασφάλειας σε επίπεδο ΕΕ·
• να υποστηρίζει την επιχειρησιακή συνεργασία της ΕΕ μεταξύ όλων των εμπλεκόμενων φορέων, συμπεριλαμβανομένης της Υπηρεσίας Κυβερνοασφάλειας για τα Θεσμικά και Λοιπά Όργανα και Οργανισμούς της Ένωσης (CERT-EE), ιδίως μέσω της ανταλλαγής τεχνογνωσίας και βέλτιστων πρακτικών, της παροχής σχετικών κατευθυντήριων γραμμών και της εξυπηρέτησης του ενωσιακού και των εθνικών δικτύων CSIRT·
• να υποστηρίζει και να προωθεί την ανάπτυξη και την εφαρμογή της πιστοποίησης της κυβερνοασφάλειας της ΕΕ για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ και διαδικασίες ΤΠΕ, καθώς και διαχειριζόμενες υπηρεσίες ασφάλειας, στο πλαίσιο του ρόλου του στην προετοιμασία συστημάτων βάσει του νέου ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας·
• να συλλέγει και να αναλύει γνώσεις και πληροφορίες σχετικά με την κυβερνοασφάλεια, ιδίως σχετικά με τις αναδυόμενες τεχνολογίες, τις απειλές και τα περιστατικά στον κυβερνοχώρο, ώστε να παρέχει πληροφορίες και συμβουλές στις εθνικές αρχές, στους ενδιαφερόμενους φορείς και, μέσω ειδικής πύλης, στο κοινό (πολίτες, οργανώσεις και επιχειρήσεις)·
• να εγείρει την ευαισθητοποίηση του κοινού σχετικά με τους κινδύνους για την ασφάλεια στον κυβερνοχώρο, να παρέχει καθοδήγηση σχετικά με τις ορθές πρακτικές για μεμονωμένους χρήστες και να προωθεί την ευαισθητοποίηση και την εκπαίδευση στον κυβερνοχώρο γενικότερα·
• να παρέχει συμβουλές σχετικά με ερευνητικές ανάγκες και προτεραιότητες και να συνεισφέρει στο στρατηγικό θεματολόγιο της ΕΕ για την έρευνα και την καινοτομία όσον αφορά την κυβερνοασφάλεια·
• να συμβάλλει στις προσπάθειες της ΕΕ για συνεργασία με διεθνείς εταίρους και οργανισμούς στον τομέα της κυβερνοασφάλειας.

Η δομή διοίκησης και διαχείρισης του ENISA παρουσιάζεται παρακάτω.

• Το Διοικητικό Συμβούλιο, που απαρτίζεται από έναν εκπρόσωπο από κάθε κράτος μέλος της ΕΕ και δύο μέλη που διορίζονται από την Ευρωπαϊκή Επιτροπή, καθορίζει τη γενική κατεύθυνση των δραστηριοτήτων του οργανισμού και διασφαλίζει ότι ο οργανισμός εκτελεί τα καθήκοντά του υπό συνθήκες που του επιτρέπουν να υπηρετεί σύμφωνα με τον ιδρυτικό κανονισμό.
• Το πενταμελές Εκτελεστικό Συμβούλιο προετοιμάζει τις αποφάσεις που εκδίδονται από το Διοικητικό Συμβούλιο.
• Ένας ανεξάρτητος εκτελεστικός διευθυντής, ο οποίος λογοδοτεί στο Διοικητικό συμβούλιο και υποβάλλει εκθέσεις στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο της Ευρωπαϊκής Ένωσης όταν του ζητηθεί, είναι υπεύθυνος για τη διαχείριση του οργανισμού.
• Η Συμβουλευτική Ομάδα του ENISA, η οποία αποτελείται από αναγνωρισμένους εμπειρογνώμονες από τους σχετικούς ενδιαφερόμενους φορείς, όπως η βιομηχανία ΤΠΕ, οι πάροχοι δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών, οι μικρομεσαίες επιχειρήσεις, οι καταναλωτές, οι ακαδημαϊκοί και οι φορείς εκμετάλλευσης βασικών υπηρεσιών, καθώς και εκπρόσωποι των αρμόδιων αρχών που έχουν κοινοποιηθεί βάσει του Ευρωπαϊκού Κώδικα Ηλεκτρονικών Επικοινωνιών, οι οργανισμοί τυποποίησης, οι αρχές επιβολής του νόμου και οι εποπτικές αρχές προστασίας δεδομένων, επικεντρώνεται σε θέματα που αφορούν τους ενδιαφερόμενους φορείς και τα θέτει υπόψη του ENISA.
• Το Δίκτυο Εθνικών Υπαλλήλων-Συνδέσμων, που αποτελείται από εκπροσώπους όλων των κρατών μελών, διευκολύνει την ανταλλαγή πληροφοριών μεταξύ του ENISA και των κρατών μελών και υποστηρίζει τον ENISA στην ευρεία γνωστοποίηση των δραστηριοτήτων, των πορισμάτων και των συστάσεών του.

Ο κανονισμός συγκροτεί τις παρακάτω ομάδες.

• Μια Ομάδα Συμφεροντούχων για την Πιστοποίηση της Κυβερνοασφάλειας, η οποία αποτελείται από αναγνωρισμένους εμπειρογνώμονες και η οποία συμβουλεύει, μεταξύ άλλων, την Επιτροπή για στρατηγικά θέματα σχετικά με το πλαίσιο πιστοποίησης για την κυβερνοασφάλεια της ΕΕ και, κατόπιν αιτήματος, τον ENISA για γενικά και στρατηγικά θέματα που αφορούν τα σχετικά καθήκοντα του οργανισμού.
• Μια Ευρωπαϊκή Ομάδα Πιστοποίησης της Κυβερνοασφάλειας (ΕΟΠΙΚ), που αποτελείται από εθνικούς αντιπροσώπους, με σκοπό να συμβουλεύει και να επικουρεί από τη μια την Επιτροπή στην προσπάθειά της να διασφαλίσει τη συνεπή υλοποίηση και εφαρμογή της πράξης, και από την άλλη τον ENISA κατά την επεξεργασία υποψήφιου συστήματος πιστοποίησης της κυβερνοασφάλειας.

Ο ENISA:

• συστάθηκε για απεριόριστο χρονικό διάστημα από τις 27 Ιουνίου 2019·
• λειτουργεί σύμφωνα με το ενιαίο έγγραφο προγραμματισμού που περιέχει το ετήσιο και πολυετές πρόγραμμά του·
• τηρεί τους κανόνες ασφαλείας της Επιτροπής για την προστασία ευαίσθητων μη διαβαθμισμένων πληροφοριών και διαβαθμισμένων πληροφοριών της ΕΕ·
• δεν αποκαλύπτει σε τρίτους εμπιστευτικές πληροφορίες που επεξεργάζεται ή λαμβάνει·
• συμμετέχει πλήρως στην εφαρμογή των μέτρων της ΕΕ για την καταπολέμηση της απάτης, της διαφθοράς και άλλων παράνομων πράξεων·
• επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα σύμφωνα με τους αντίστοιχους κανόνες της ΕΕ.

Ο κανονισμός θεσπίζει ένα ευρωπαϊκό πλαίσιο πιστοποίησης για την κυβερνοασφάλεια με σκοπό:

• να βελτιώσει τη λειτουργία της εσωτερικής αγοράς αυξάνοντας το επίπεδο της κυβερνοασφάλειας στην ΕΕ και επιτρέποντας μια εναρμονισμένη προσέγγιση σε επίπεδο ΕΕ για τα ευρωπαϊκά συστήματα πιστοποίησης για την κυβερνοασφάλεια με σκοπό τη δημιουργία μιας ψηφιακής ενιαίας αγοράς για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ και διαδικασίες ΤΠΕ και διαχειριζόμενες υπηρεσίες ασφάλειας·
• να συσταθεί μηχανισμός μέσω του οποίου θα θεσπίζονται συστήματα πιστοποίησης που θα βεβαιώνουν ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ και οι διαχειριζόμενες υπηρεσίες ασφάλειας που έχουν αξιολογηθεί σύμφωνα με τα συγκεκριμένα συστήματα συμμορφώνονται με συγκεκριμένες απαιτήσεις ασφάλειας ώστε να διαφυλάσσεται η διαθεσιμότητα, η γνησιότητα, η ακεραιότητα και η εμπιστευτικότητα αποθηκευμένων, διαβιβαζόμενων ή επεξεργασμένων δεδομένων ή των σχετικών λειτουργιών ή υπηρεσιών που παρέχονται ή είναι προσβάσιμες μέσω αυτών των προϊόντων, υπηρεσιών και διαδικασιών σε όλη τη διάρκεια του κύκλου ζωής τους.

Σύμφωνα με το πλαίσιο:

• η Επιτροπή:
  • δημοσιεύει ένα κυλιόμενο πρόγραμμα εργασίας της ΕΕ για την ευρωπαϊκή πιστοποίηση για την κυβερνοασφάλεια, προσδιορίζοντας τις στρατηγικές προτεραιότητες και τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ και τις διαχειριζόμενες υπηρεσίες ασφάλειας ή κατηγορίες που θα μπορούσαν να επωφεληθούν από ένα σύστημα,
  • μπορεί να ζητήσει από τον ENISA να προετοιμάσει ένα υποψήφιο σύστημα πιστοποίησης ή να επανεξετάσει ένα υφιστάμενο·
• Ο ENISA:
  • προετοιμάζει κατάλληλα σχέδια συστημάτων, κατόπιν αιτήματος της Επιτροπής ή της Ευρωπαϊκής Ομάδας Πιστοποίησης της Κυβερνοασφάλειας,
  • αξιολογεί κάθε εγκεκριμένο σύστημα πιστοποίησης κάθε πέντε χρόνια, λαμβάνοντας υπόψη την ανατροφοδότηση που λαμβάνει,
  • διατηρεί ειδικό δικτυακό τόπο που παρέχει πληροφορίες σχετικά με τα συστήματα, τα πιστοποιητικά και τις δηλώσεις συμμόρφωσης.

Τα προαιρετικά ευρωπαϊκά συστήματα πιστοποίησης της κυβερνοασφάλειας:

• αποσκοπούν στην επίτευξη διάφορων στόχων ασφάλειας, όπως είναι η προστασία δεδομένων που έχουν αποθηκευτεί, διαβιβαστεί ή αποτελέσει αντικείμενο επεξεργασίας·
• χαρακτηρίζουν το επίπεδο ασφάλειας των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ και των διαχειριζόμενων υπηρεσιών ασφάλειας ως βασικό, σημαντικό ή υψηλό·
• επιτρέπουν σε κατασκευαστές και παρόχους προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ και διαχειριζόμενων υπηρεσιών ασφαλείας χαμηλού κινδύνου (δηλ. βασικού επιπέδου) να αξιολογούν οι ίδιοι τους εαυτούς τους (αυτοαξιολόγηση συμμόρφωσης)·
• πρέπει να περιλαμβάνουν ορισμένα χαρακτηριστικά, όπως σαφείς περιγραφές του σκοπού, του αντικειμένου και του πεδίου εφαρμογής, καθώς και των κριτηρίων και των μεθόδων αξιολόγησης που χρησιμοποιούνται·
• αντικαθιστούν παρόμοια εθνικά συστήματα, παρόλο που τα πιστοποιητικά εκείνα ισχύουν μέχρι την ημερομηνία λήξης τους.

Οι κατασκευαστές και οι πάροχοι πιστοποιημένων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ και διαχειριζόμενων υπηρεσιών ασφάλειας πρέπει να δημοσιοποιούν:

• καθοδήγηση και συστάσεις για να βοηθούν τους τελικούς χρήστες να εγκαθιστούν, να θέτουν σε λειτουργία και να συντηρούν τα προϊόντα ή τις υπηρεσίες τους·
• πληροφορίες σχετικά με τη διάρκεια για την οποία προσφέρουν υποστήριξη ασφαλείας·
• τα στοιχεία επικοινωνίας τους·
• παραπομπές σε επιγραμμικά αποθετήρια με πληροφορίες για γνωστά προβλήματα κυβερνοασφάλειας που αφορούν τα προϊόντα ή τις υπηρεσίες τους·

Τα κράτη μέλη διορίζουν μία ή περισσότερες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας με επαρκείς πόρους και εξουσίες για την παρακολούθηση, την εποπτεία και την επιβολή των κανόνων των ευρωπαϊκών συστημάτων πιστοποίησης για την κυβερνοασφάλεια.

Η Επιτροπή:

• αξιολογεί τακτικά την απόδοση και τη χρήση των εγκριθέντων συστημάτων πιστοποίησης και εξετάζει εάν κάποιο πρέπει να καταστεί υποχρεωτικό·
• έπρεπε να ολοκληρώσει την πρώτη της λεπτομερή αξιολόγηση το αργότερο έως τις 31 Δεκεμβρίου 2023, και εφεξής κάθε δύο χρόνια·
• έπρεπε να αξιολογήσει τον αντίκτυπο, την αποτελεσματικότητα και την αποδοτικότητα του ENISA το αργότερο έως τις 28 Ιουνίου 2024, και εφεξής κάθε πέντε χρόνια.

Ιδιώτες και νομικοί φορείς έχουν το δικαίωμα να υποβάλλουν καταγγελία προς τον εκδότη ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας και να επιδιώξουν πραγματική δικαστική προσφυγή.

Τροποποίηση — διαχειριζόμενες υπηρεσίες ασφάλειας

Τον Δεκέμβριο του 2024, ο κανονισμός (ΕΕ) 2025/37 για την τροποποίηση του κανονισμού όσον αφορά τις διαχειριζόμενες υπηρεσίες ασφάλειας. Αυτή η στοχοθετημένη τροποποίηση θεσπίζει τον ορισμό των διαχειριζόμενων υπηρεσιών ασφάλειας και διευρύνει το πεδίο εφαρμογής του ευρωπαϊκού πλαισίου πιστοποίησης για την κυβερνοασφάλεια συμπεριλαμβάνοντας διαχειριζόμενες υπηρεσίες ασφάλειας. Κατά συνέπεια, διευρύνει επίσης τη θητεία και τις αρμοδιότητες του ENISA όσον αφορά τις διαχειριζόμενες υπηρεσίες ασφάλειας.

Ο κανονισμός (ΕΕ) 2025/37 δημοσιεύτηκε στην Επίσημη Εφημερίδα στις 15 Ιανουαρίου 2025 και έχει τεθεί σε εφαρμογή από τις 4 Φεβρουαρίου 2025.

Κοινοποιήσεις οργανισμών αξιολόγησης της συμμόρφωσης

Τον Δεκέμβριο του 2024, η Επιτροπή εξέδωσε τον εκτελεστικό κανονισμό (ΕΕ) 2024/3143 για τις κοινοποιήσεις σύμφωνα με το άρθρο 61 παράγραφος 5 της πράξης για την κυβερνοασφάλεια. Η εκτελεστική πράξη καθορίζει τις συνθήκες, τη μορφή και τις διαδικασίες για κοινοποιήσεις αξιολόγησης της συμμόρφωσης οργάνων στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας μέσω του συστήματος πληροφόρησης των κοινοποιημένων και διαπιστευμένων οργανισμών νέας προσέγγισης (NANDO). Διευκρινίζει επίσης τις συνθήκες στις οποίες θα πρέπει να γίνουν αλλαγές στην κοινοποίηση και βάσει των οποίων η αρμοδιότητα των οργανισμών αξιολόγησης της συμμόρφωσης που λαμβάνουν την κοινοποίηση μπορεί να αμφισβητηθεί.

Ο εκτελεστικός κανονισμός 2024/3143 δημοσιεύτηκε στην Επίσημη Εφημερίδα στις 19 Δεκεμβρίου 2024 και έχει τεθεί σε εφαρμογή από τις 8 Ιανουαρίου 2025.

Ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC)

Τον Ιανουάριο του 2024, η Επιτροπή εξέδωσε τον εκτελεστικό κανονισμό (ΕΕ) 2024/482 (βλ. σύνοψη). Η εν λόγω πράξη θεσπίζει κανόνες για την εφαρμογή του κανονισμού (ΕΕ) 2019/881 όσον αφορά την υιοθέτηση του εθελοντικού ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC). Πρόκειται για το πρώτο σύστημα σε επίπεδο ΕΕ και αφορά πιστοποιητικά σε επίπεδο «ουσιαστικής» ή «υψηλής» διασφάλισης για προϊόντα ΤΠΕ, όπως υλικό και λογισμικό, συμπεριλαμβανομένων κατασκευαστικών στοιχείων όπως τσιπ και έξυπνες κάρτες. Ο κανονισμός περιλαμβάνει λεπτομερείς κανόνες σχετικά με πτυχές όπως:

• πρότυπα και απαιτήσεις για την αξιολόγηση και την έκδοση, ανανέωση και ανάκληση των πιστοποιητικών EUCC για προϊόντα και προφίλ προστασίας·
• τους φορείς αξιολόγησης της συμμόρφωσης που είναι διαπιστευμένοι για την έκδοση πιστοποιητικών ή την εκτέλεση δραστηριοτήτων αξιολόγησης·
• παρακολούθηση της συμμόρφωσης, μη εναρμόνιση και μη συμμόρφωση·
• διαδικασίες διαχείρισης τρωτών σημείων και γνωστοποίησης·
• διατήρηση αρχείων, αποκάλυψη και προστασία των πληροφοριών·
• συμφωνίες αμοιβαίας αναγνώρισης με χώρες εκτός ΕΕ·
• αξιολόγηση των φορέων πιστοποίησης από ομοτίμους·
• συντήρηση του συστήματος· και
• εθνικά συστήματα πιστοποίησης κυβερνοασφάλειας που καλύπτονται από το EUCC.

Ο εκτελεστικός κανονισμός για το EUCC έχει τεθεί σε εφαρμογή από τις 27 Φεβρουαρίου 2025.

Ο κανονισμός (ΕΕ) 2019/881 και ο σχετικός εκτελεστικός κανονισμός δεν επηρεάζουν τις αρμοδιότητες των κρατών μελών για τη δημόσια ασφάλεια, την άμυνα, την εθνική ασφάλεια και το ποινικό δίκαιο.

Ο κανονισμός καταργεί τον κανονισμό (ΕΕ) αριθ. 526/2013 από τις 27 Ιουνίου 2019.