(1)

Euroopa Parlamendi ja nõukogu määruses (EL) 2019/881 (3) on sätestatud Euroopa küberturvalisuse sertifitseerimise kavade kehtestamise raamistik, et kindlustada liidus info- ja kommunikatsioonitehnoloogiatoodete (IKT-toodete), -teenuste ja -protsesside küberturvalisuse piisav tase ning vältida siseturu killustatust seoses küberturvalisuse sertifitseerimise kavadega liidus.

(2)

Et tagada liidu kerksus küberrünnete suhtes ja vältida siseturu kaitsetust, on käesoleva määruse eesmärk täiendada Euroopa Parlamendi ja nõukogu määruse (EL) 2024/2847 (4) kohast horisontaalset õigusraamistikku, millega kehtestatakse digielemente sisaldavate toodete kohta põhjalikud küberturvalisuse nõuded, sätestades turvalisusega seotud eesmärgid hallatud turbeteenuste ning kõnealuste teenuste kasutamise ja usaldusväärsuse kohta.

(3)

Hallatud turbeteenuseid osutavad Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (5) artikli 6 punktis 40 määratletud hallatud turbeteenuse osutajad. Seetõttu peaks käesolevas määruses sätestatud mõiste „hallatud turbeteenused“ määratlus olema kooskõlas direktiivis (EL) 2022/2555 kasutatava mõiste „hallatud turbeteenuse osutaja“ määratlusega. Kõnealused teenused seisnevad nende klientide küberturvalisuse riskihaldusega seotud tegevuse korraldamises või selleks toe pakkumises, ning need on intsidentide ennetamisel ja leevendamisel muutunud üha olulisemaks. Seega käsitatakse selliste teenuste pakkujaid elutähtsate või oluliste üksustena, mis kuuluvad direktiivi (EL) 2022/2555 kohaselt kriitilise tähtsusega sektorisse. Nagu on märgitud kõnealuse direktiivi põhjenduses 86, on hallatud turbeteenuse osutajatel intsidentide ennetamisel, tuvastamisel, lahendamisel ja neist taastumisel üksuste jaoks eriti oluline tugiroll sellistes teenusevaldkondades nagu intsidentidele reageerimine, läbistustestimine, turvaaudit ja konsultatsioonid. Hallatud turbeteenuse osutajad on aga olnud ka ise küberrünnete sihtmärgiks ja kuna nad on oma klientide tegevusse tihedalt lõimitud, kaasneb nendega eriline risk. Seega on tähtis, et direktiivi (EL) 2022/2555 tähenduses elutähtsad ja olulised üksused oleksid hallatud turbeteenuse osutajate valimisel iseäranis hoolikad.

(4)

Käesolevas määruses kasutatav hallatud turbeteenuste määratlus sisaldab Euroopa küberturvalisuse sertifitseerimise kavade jaoks kvalifitseeruda võivate hallatud turbeteenuste mittetäielikku loetelu, näiteks intsidentide käsitlemine, läbistustestimine, turvaauditid ja tehnilise toega seotud konsultatsioonid. Hallatud turbeteenused võiksid hõlmata küberturvalisuse teenuseid, mis toetavad intsidentideks valmisolekut, nende ennetamist, tuvastamist, analüüsi, leevendamist, neile reageerimist ja nendest taastumist. Hallatud turbeteenustena võiks käsitada ka küberohuteadmuse esitamist ja tehnilise toega seotud riskide hindamist. Erinevate hallatud turbeteenuste puhul võiks kasutada eraldi Euroopa küberturvalisuse sertifitseerimise kavasid. Kooskõlas selliste kavadega välja antud Euroopa küberturvalisuse sertifikaadid peaksid viitama hallatud turbeteenuse osutajate pakutavatele konkreetsetele hallatud turbeteenustele.

(5)

Hallatud turbeteenuse osutajatel võib olla oluline roll ka seoses liidu tegevusega, mis toetab oluliste ja ulatuslike intsidentide korral reageerimist ja esmast taastumist, tuginedes usaldusväärsete erasektori teenuseosutajate teenustele ning sellele, et elutähtsa teenuse osutajaid testitakse võimalike turvanõrkuste suhtes liidu tasandi koordineeritud turberiski hindamise alusel. Hallatud turbeteenuste sertifitseerimisel võiks olla oma osa Euroopa Parlamendi ja nõukogu määruses (EL) 2025/38 (6) määratletud usaldusväärsete teenuseosutajate valimisel.

(6)

Hallatud turbeteenuste sertifitseerimine ei ole oluline mitte ainult määrusega (EL) 2025/38 loodud ELi küberreservi valikumenetluses, vaid see on ka tähtis kvaliteedinäitaja selliste era- ja avaliku sektori üksuste jaoks, kes kavatsevad neid teenuseid osta. Võttes arvesse hallatud turbeteenuste kriitilist tähtsust ja töödeldavate andmete tundlikkust, võib sertifitseerimine anda potentsiaalsetele klientidele olulisi suuniseid ja kindlust kõnealuste teenuste usaldusväärsuse kohta. Hallatud turbeteenuste Euroopa küberturvalisuse sertifitseerimise kavade eesmärk on aidata vältida siseturu killustumist. Seega on käesoleva määruse eesmärk tõhustada siseturu toimimist.

(7)

Hallatud turbeteenuste Euroopa küberturvalisuse sertifitseerimise kavad peaksid aitama neid teenuseid kasutusele võtta ja suurendada hallatud turbeteenuse osutajate vahelist konkurentsi. Ilma et see piiraks eesmärki tagada hallatud turbeteenuse osutajate tehnilised teadmised ning erialane kohusetunne piisaval ja sobival tasemel, peaksid sertifitseerimise kavad seetõttu hõlbustama turule sisenemist ja hallatud turbeteenuste osutamist, lihtsustades võimalikult suurel määral potentsiaalset regulatiivset, haldus- ja finantskoormust, millega teenuseosutajad, eelkõige väikesed ja keskmise suurusega ettevõtjad (VKEd), sealhulgas mikroettevõtjad, võivad hallatud turbeteenuste osutamisel silmitsi seista. Selleks et soodustada hallatud turbeteenuste kasutusele võtmist ja stimuleerida nõudlust nende järele, peaksid Euroopa küberturvalisuse sertifitseerimise kavad aitama muuta sellised teenused kättesaadavamaks eelkõige väiksematele osalejatele, näiteks VKEdele, sealhulgas mikroettevõtjatele, samuti kohalikele ja piirkondlikele omavalitsustele, kelle suutlikkus ja ressursid on väiksemad, kuid kelle puhul on tõenäolisem, et esineb küberturvalisuse rikkumisi, millel on rahaline, õiguslik ning nende mainet ja tegevust puudutav mõju.

(8)

Oluline on anda VKEdele, sealhulgas mikroettevõtjatele käesoleva määruse rakendamisel ning küberturvalisuse alaste erioskuste ja erialateadmistega töötajate tööle võtmisel sellist toetust, mida on vaja hallatud turbeteenuste osutamiseks vastavalt käesolevas määruses sätestatud nõuetele. Euroopa Parlamendi ja nõukogu määrusega (EL) 2021/694 (7) loodud programmis „Digitaalne Euroopa“ ja muudes asjakohastes liidu programmides on ette nähtud, et komisjon peaks andma kõnealustele ettevõtjatele rahalist ja tehnilist toetust, et nad saaksid panustada liidu majanduskasvu ja küberturvalisuse ühtlase taseme tugevdamisesse liidus, sealhulgas ühtlustades programmi „Digitaalne Euroopa“ ja muude asjakohaste liidu programmide raames antavaid rahalisi toetusi ning toetades VKEsid, sealhulgas mikroettevõtjaid.

(9)

Hallatud turbeteenuste Euroopa küberturvalisuse sertifitseerimise kavad peaksid aitama saavutada selliste turvaliste ja kvaliteetsete teenuste kättesaadavust, mis tagavad turvalise digipöörde, samuti peaks see aitama saavutada Euroopa Parlamendi ja nõukogu otsusega (EL) 2022/2481 (8) loodud digikümnendi poliitikaprogrammis 2030 seatud eesmärke, eelkõige seoses eesmärgiga, mille kohaselt peaks 75 % liidu ettevõtjatest hakkama kasutama pilvandmetöötlust, suurandmeid või tehisintellekti, et enam kui 90 % VKEdest, sealhulgas mikroettevõtjatest saavutaks vähemalt digimahukuse algtaseme ja et peamised avalikud teenused oleks internetis kättesaadavad.

(10)

Lisaks IKT-toodete, -teenuste või -protsesside kasutuselevõtule võimaldavad hallatud turbeteenused sageli osutada lisateenuseid, mis tuginevad selliste teenuste pakkujate töötajate pädevusele, erialateadmistele ja kogemustele. Turvalisusega seotud eesmärkide hulka peaksid kuuluma nimetatud pädevuse, erialateadmiste ja kogemuste väga kõrge taseme saavutamine ning asjakohased sisemenetlused, et tagada pakutavate hallatud turbeteenuste tipptasemel kvaliteet. Selleks et tagada kõikide hallatud turbeteenuste aspektide kuulumine sihipärastesse Euroopa küberturvalisuse sertifitseerimise kavadesse, on vaja muuta määrust (EL) 2019/881. Arvesse tuleks võtta määruses (EL) 2019/881 ette nähtud hindamise ja läbivaatamise tulemusi ning nende raames antud soovitusi.

(11)

Selleks et hõlbustada usaldusväärse siseturu kasvu ja luua samal ajal partnerlusi sarnaselt meelestatud kolmandate riikidega, tuleks määruses (EL) 2019/881 sätestatud Euroopa küberturvalisuse sertifitseerimise raamistikus loodud sertifitseerimise protsessi rakendada viisil, mis hõlbustab rahvusvahelist tunnustamist ja kooskõla rahvusvaheliste standarditega.

(12)

Liidus on talendinappus ehk kvalifitseeritud spetsialistide puudus ja liit seisab silmitsi kiiresti muutuvate ohtudega, nagu tunnistati komisjoni 18. aprilli 2023. aasta teatises „Korvata küberturvalisuse valdkonna talendinappus edendamaks ELi konkurentsivõimet, majanduskasvu ja kerksust („Küberturbeoskuste akadeemia“)“. Leidub palju erinevaid õppematerjale ja ametlikke koolitusvõimalusi ning teadmisi on võimalik omandada mitmel viisil: ametlikult, näiteks kõrgkoolis või kursustel õppides, või mitteametlikult, näiteks töökohapõhise õppe või asjaomases valdkonnas saadud töökogemuse kaudu. Et hõlbustada kvaliteetsete hallatud turbeteenuste pakkumist ja saada liidu küberturvalisuse valdkonna töötajate koosseisust parem ülevaade, on seega oluline tugevdada liikmesriikide, komisjoni, määrusega (EL) 2019/881 loodud Euroopa Liidu Küberturvalisuse Ameti (ENISA) ja sidusrühmade, sealhulgas erasektori ja akadeemiliste ringkondade vahelist koostööd avaliku ja erasektori partnerluste arendamise, teadus- ja innovatsioonialgatuste toetamise, ühiste standardite väljatöötamise ja nende vastastikuse tunnustamise ning küberturvalisuse oskuste sertifitseerimise kaudu, sealhulgas Euroopa küberturvalisuse oskuste raamistiku kaudu. Niisugune koostöö hõlbustaks ühtlasi küberturvalisusspetsialistide liikuvust liidus ning küberturvalisusalaste teadmiste ja õppe integreerimist haridusprogrammidesse, tagades samal ajal noortele, sealhulgas ebasoodsas olukorras olevates piirkondades, näiteks saartel, hõredalt asustatud aladel, maapiirkondades ja äärealadel elavatele inimestele võimaluse osaleda töökohapõhises õppes ja praktikal. On oluline, et sellise koostöö eesmärk oleks meelitada sellesse valdkonda rohkem naisi ja tütarlapsi ning aidata kaasa soolise ebavõrdsuse vähendamisele teaduses, tehnoloogias, inseneerias ja matemaatikas, ning et erasektor pakuks töökohapõhist õpet, milles käsitletakse kõige nõutavamaid oskusi, kaasates avaliku halduse asutusi ja idufirmasid ning VKEsid, sealhulgas mikroettevõtjaid. Samuti on oluline, et teenuseosutajad ja liikmesriigid teeksid koostööd ning aitaksid koguda küberturvalisuse tööturu olukorda ja arengut käsitlevaid andmeid.

(13)

ENISA-l on oluline roll Euroopa küberturvalisuse sertifitseerimise ettevalmistavate kavade koostamisel. Komisjon peaks liidu üldeelarve projekti ettevalmistamisel hindama ENISA ametikohtade loetelu põhjal vajalikke eelarvevahendeid kooskõlas määruse (EL) 2019/881 artiklis 29 sätestatud menetlusega.

(14)

Käesoleva määrusega nähakse ette määruse (EL) 2019/881 sihipärased muudatused, et võimaldada võtta kasutusele Euroopa küberturvalisuse sertifitseerimise kavad hallatud turbeteenuse jaoks. Sellega täpsustatakse ja selgitatakse ka nimetatud määruse teatavaid sätteid, mis käsitlevad kõigi Euroopa küberturvalisuse sertifitseerimise kavade koostamist ja toimimist, et tagada nende läbipaistvus ja avatus. Kõnealused muudatused, mis piirduvad määruse (EL) 2019/881 täpsustamise või selgitamisega, eelkõige muudatused seoses teabega, mida ENISA peab esitama ettevalmistava kava edastamisel, iga ettevalmistava kava jaoks loodud ajutiste töörühmadega ning Euroopa küberturvalisuse sertifitseerimise kavadega seonduva teavitamise ja konsulteerimisega, ei tohiks mingil viisil piirata kõnealuse määruse artikli 67 kohaselt nõutavat laiemat hindamist ja läbivaatamist, eelkõige kõnealuse määruse küberturvalisuse sertifitseerimise raamistikku käsitleva jaotise mõju, tulemuslikkuse ja tõhususe hindamist. Kõnealuse jaotise hindamine ja läbivaatamine peaks põhinema ulatuslikul konsulteerimisel sidusrühmadega ning asjaomaste menetluste täielikul ja põhjalikul analüüsil.

(15)

Kuna käesoleva määruse eesmärki, milleks on võimaldada Euroopa küberturvalisuse sertifitseerimise kavade kasutuselevõttu hallatud turbeteenuste jaoks, ei suuda liikmesriigid piisavalt saavutada, küll aga saab seda meetme ulatuse ja toime tõttu paremini saavutada liidu tasandil, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kõnealuses artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev määrus nimetatud eesmärgi saavutamiseks vajalikust kaugemale.

(16)

Euroopa Andmekaitseinspektoriga konsulteeriti kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (9) artikli 42 lõikega 1 ning ta esitas arvamuse 10. jaanuaril 2024,

1)

Artikli 1 lõike 1 esimese lõigu punkt b asendatakse järgmisega:

2)

Artiklit 2 muudetakse järgmiselt:

3)

Artikli 4 lõige 6 asendatakse järgmisega:

4)

Artiklit 8 muudetakse järgmiselt:

5)

Artikkel 46 asendatakse järgmisega:

6)

Artiklit 47 muudetakse järgmiselt:

7)

Artiklit 49 muudetakse järgmiselt:

8)

Lisatakse järgmine artikkel:

9)

Artiklit 51 muudetakse järgmiselt:

10)

Lisatakse järgmine artikkel:

11)

Artiklit 52 muudetakse järgmiselt:

12)

Artikli 53 lõiked 1, 2 ja 3 asendatakse järgmisega:

13)

Artikli 54 lõiget 1 muudetakse järgmiselt:

14)

Artiklit 56 muudetakse järgmiselt:

15)

Artikli 57 lõiked 1 ja 2 asendatakse järgmisega:

16)

Artiklit 58 muudetakse järgmiselt:

17)

Artikli 59 lõike 3 punktid b ja c asendatakse järgmisega:

18)

Artikli 67 lõiked 2 ja 3 asendatakse järgmisega:

19)

Lisa muudetakse kooskõlas käesoleva määruse lisaga.