Ovaj je tekst namijenjen isključivo dokumentiranju i nema pravni učinak. Institucije Unije nisu odgovorne za njegov sadržaj. Vjerodostojne inačice relevantnih akata, uključujući njihove preambule, one su koje su objavljene u Službenom listu Europske unije i dostupne u EUR-Lexu. Tim službenim tekstovima može se izravno pristupiti putem poveznica sadržanih u ovom dokumentu.

UREDBA (EU) 2019/881EUROPSKOG PARLAMENTA I VIJEĆA

od 17. travnja 2019.

o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti)

(Tekst značajan za EGP)

GLAVA I.

OPĆE ODREDBE

Članak 1.

Predmet i područje primjene

S ciljem osiguravanja pravilnog funkcioniranja unutarnjeg tržišta uz istodobno postizanje visoke razine kibersigurnosti, kiberotpornosti i povjerenja u Uniji, ovom se Uredbom utvrđuju:

(a)

ciljevi, zadaće i organizacijska pitanja ENISA-e (Agencija Europske unije za kibersigurnost), i

▼M1

(b)

okvir za uspostavu europskih programa kibersigurnosne certifikacije za potrebe osiguranja prikladne razine kibersigurnosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga u Uniji kao i za potrebe izbjegavanja fragmentacije unutarnjeg tržišta u pogledu programâ kibersigurnosne certifikacije u Uniji.

▼B

Okvir iz prvog podstavka točke (b) primjenjuje se ne dovodeći u pitanje posebne odredbe u drugim pravnim aktima Unije o dobrovoljnoj ili obveznoj certifikaciji.

Ovom Uredbom ne dovode se u pitanje nadležnosti država članica u pogledu aktivnosti koje se odnose na javnu sigurnost, obranu, nacionalnu sigurnost i aktivnosti države u područjima kaznenog prava.

Članak 2.

Definicije

Za potrebe ove Uredbe primjenjuju se sljedeće definicije:

„kibersigurnost” znači sve aktivnosti koje su nužne za zaštitu od kiberprijetnji mrežnih i informacijskih sustava, korisnika tih sustava i drugih osoba na koje one utječu;

„mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definirano u članku 4. točki 1. Direktive (EU) 2016/1148;

„nacionalna strategija za sigurnost mrežnih i informacijskih sustava” znači nacionalna strategija za sigurnost mrežnih i informacijskih sustava kako je definirano u članku 4. točki 3. Direktive (EU) 2016/1148;

„operator ključne usluge” znači operator ključne usluge kako je definirano u članku 4. točki 4. Direktive (EU) 2016/1148;

„pružatelj digitalnih usluga” znači pružatelj digitalnih usluga kako je definirano u članku 4. točki 6. Direktive (EU) 2016/1148;

„incident” znači incident kako je definirano u članku 4. točki 7. Direktive (EU) 2016/1148;

„rješavanje incidenta” znači rješavanje incidenta kako je definirano u članku 4. točki 8. Direktive (EU) 2016/1148;

„kiberprijetnja” znači svaka moguća okolnost, događaj ili djelovanje koji bi mogli oštetiti, poremetiti ili na drugi način negativno utjecati na mrežne i informacijske sustave, korisnike tih sustava i druge osobe;

▼M1

„europski program kibersigurnosne certifikacije” znači sveobuhvatni skup pravila, tehničkih zahtjeva, normi i postupaka, koji su utvrđeni na razini Unije i koji se primjenjuju na certifikaciju ili ocjenjivanje sukladnosti određenih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga;

10.

„nacionalni program kibersigurnosne certifikacije” znači sveobuhvatan skup pravila, tehničkih zahtjeva, normi i procedura koje je razvilo i donijelo nacionalno javno tijelo i koji se primjenjuju na certifikaciju ili ocjenjivanje sukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga obuhvaćenih područjem primjene tog konkretnog programa;

11.

„europski kibersigurnosni certifikat” znači dokument koji je izdalo relevantno tijelo i kojim se potvrđuje da su određeni IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga evaluirani u pogledu toga jesu li u skladu sa specifičnim sigurnosnim zahtjevima utvrđenima u europskom programu kibersigurnosne certifikacije;

▼B

12.

„IKT proizvod” znači element ili skupina elemenata mrežnih i informacijskih sustava;

13.

„IKT usluga” znači usluga koja se u cijelosti ili uglavnom sastoji od prijenosa, pohranjivanja, preuzimanja ili obrade informacija s pomoću mrežnih i informacijskih sustava;

14.

„IKT proces” znači skup aktivnosti koje se provode radi oblikovanja, razvoja, ostvarivanja ili održavanja IKT proizvoda ili IKT usluge;

▼M1

14.a

„upravljana sigurnosna usluga” znači usluga koja se pruža trećoj strani te se sastoji od obavljanja aktivnosti povezanih s upravljanjem kibersigurnosnim rizicima, kao što su rješavanje incidenata, penetracijska testiranja, revizije sigurnosti i savjetovanje, uključujući stručno savjetovanje, povezano s tehničkom potporom, ili pružanje pomoći u obavljanju tih aktivnosti;

▼B

15.

„akreditacija” znači akreditacija kako je definirana u članku 2. točki 10. Uredbe (EZ) br. 765/2008;

16.

„nacionalno akreditacijsko tijelo” znači nacionalno akreditacijsko tijelo kako je definirano u članku 2. točki 11. Uredbe (EZ) br. 765/2008;

17.

„ocjenjivanje sukladnosti” znači ocjenjivanje sukladnosti kako je definirano u članku 2. točki 12. Uredbe (EZ) br. 765/2008;

18.

„tijelo za ocjenjivanje sukladnosti” znači tijelo koje obavlja poslove ocjenjivanja sukladnosti kako je definirano u članku 2. točki 13. Uredbe (EZ) br. 765/2008;

19.

„norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012;

▼M1

20.

„tehnička specifikacija” znači dokument kojim se propisuju tehnički zahtjevi koje IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga trebaju ispunjavati ili postupci ocjenjivanja sukladnosti koji se na njih odnose;

21.

„jamstvena razina” znači osnova za povjerenje u to da IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga zadovoljavaju sigurnosne zahtjeve određenog europskog programa kibersigurnosne certifikacije, navodi razinu na kojoj su IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga evaluirani, ali kao takav ne mjeri sigurnost dotičnog IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge;

22.

„samoocjenjivanje sukladnosti” znači djelovanje koje provodi proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga kojim se ocjenjuje ispunjavaju li ti IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge zahtjeve utvrđene u određenom europskom programu kibersigurnosne certifikacije.

▼B

GLAVA II.

ENISA (AGENCIJA EUROPSKE UNIJE ZA KIBERSIGURNOST)

POGLAVLJE I.

Mandat i ciljevi

Članak 3.

Mandat

ENISA obavlja zadaće koje su joj dodijeljene ovom Uredbom u svrhu postizanja visoke zajedničke razine kibersigurnosti diljem Unije, među ostalim aktivnim podupiranjem država članica te institucija, tijela, ureda i agencija Unije u poboljšanju kibersigurnosti. ENISA djeluje kao referentna točka za pružanje savjeta i stručnog znanja o kibersigurnosti institucijama, tijelima, uredima i agencijama Unije te drugim relevantnim dionicima Unije.

ENISA obavljanjem zadaća koje su joj dodijeljene ovom Uredbom doprinosi smanjenju fragmentacije na unutarnjem tržištu.

ENISA obavlja zadaće koje su joj dodijeljene pravnim aktima Unije kojima su utvrđene mjere za usklađivanje zakona i drugih propisa država članica koji se odnose na kibersigurnost.

Pri obavljanju svojih zadaća ENISA djeluje neovisno te pritom izbjegava udvostručivanje aktivnosti države članice uzimajući u obzir već postojeća stručna znanja države članice.

ENISA razvija vlastite resurse, uključujući tehničke i ljudske sposobnosti i vještine koji su joj potrebni za obavljanje zadaća koje su joj dodijeljene ovom Uredbom.

Članak 4.

Ciljevi

ENISA djeluje kao centar za stručno znanje u području kibersigurnosti zahvaljujući svojoj neovisnosti, znanstvenoj i tehničkoj kvaliteti savjeta i pomoći koje pruža i informacija koje stavlja na raspolaganje, transparentnosti svojih operativnih postupaka i načina rada te revnosti u obavljanju zadaća.

ENISA pomaže institucijama, tijelima, uredima i agencijama Unije te državama članicama u razvoju i provedbi politika Unije povezanih s kibersigurnošću, uključujući sektorske politike o kibersigurnosti.

ENISA podupire jačanje kapaciteta i pripravnosti u cijeloj Uniji na način da institucijama, tijelima, uredima i agencijama Unije, kao i državama članicama te javnim i privatnim dionicima pomaže da povećaju zaštitu svojih mrežnih i informacijskih sustava, razviju i poboljšaju kiberotpornost i kapacitete za odgovor te razviju vještine i sposobnosti u području kibersigurnosti.

ENISA promiče suradnju, uključujući razmjenu informacija, i koordinaciju na razini Unije među državama članicama, institucijama, tijelima, uredima i agencijama Unije te relevantnim privatnim i javnim dionicima u pitanjima povezanima s kibersigurnošću.

ENISA doprinosi povećanju kibersigurnosne sposobnosti na razini Unije kako bi poduprla djelovanja država članica u sprečavanju kiberprijetnji i odgovoru na njih, posebno u slučaju prekograničnih incidenata.

▼M1

ENISA promiče upotrebu europske kibersigurnosne certifikacije radi izbjegavanja fragmentacije unutarnjeg tržišta. ENISA doprinosi uspostavi i održavanju europskog okvira za kibersigurnosnu certifikaciju na razini Unije u skladu s glavom III. ove Uredbe s ciljem povećanja transparentnosti kibersigurnosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga, jačajući time povjerenje u digitalno unutarnje tržište i njegovu konkurentnost.

▼B

ENISA promiče visoku razinu osviještenosti u pogledu kibersigurnosti, uključujući kiberhigijenu i kiberpismenost građana, organizacija i poduzeća.

POGLAVLJE II.

Zadaće

Članak 5.

Razvoj i provedba politike i prava Unije

ENISA doprinosi razvoju i provedbi politika i prava Unije na sljedeći način:

pružanjem pomoći i savjeta za razvoj i preispitivanje politike i prava Unije u području kibersigurnosti te sektorskih inicijativa politike i sektorskih zakonodavnih inicijativa koje uključuju pitanja povezana s kibersigurnošću, osobito pružanjem svojeg neovisnog mišljenja i analize te obavljanjem pripremih radnji;

pružanjem pomoći državama članicama u dosljednoj provedbi politika i prava Unije u području kibersigurnosti, posebno u vezi s Direktivom (EU) 2016/1148, među ostalim s pomoću izdavanja mišljenja, smjernica, pružanja savjeta i najbolje prakse o temama kao što su upravljanje rizikom, izvješćivanje o incidentima i razmjena informacija, te olakšavanjem razmjene najbolje prakse među nadležnim tijelima u tom pogledu;

pružanjem pomoći državama članicama te institucijama, tijelima, uredima i agencijama Unije u razvoju i promicanju politika kibersigurnosti povezanih s održavanjem općenite dostupnosti ili cjelovitosti javne jezgre otvorenog interneta;

doprinosom radu Skupine za suradnju u skladu s člankom 11. Direktive (EU) 2016/1148 pružanjem stručnih savjeta i pomoći;

podupiranjem:

(a)

razvoja i provedbe politike Unije u području elektroničkog identiteta i usluga povjerenja, posebno pružanjem savjeta i izdavanjem tehničkih smjernica te olakšavanjem razmjene najbolje prakse među nadležnim tijelima;

(b)

promicanja pojačane razine sigurnosti elektroničkih komunikacija, među ostalim pružanjem savjeta i stručnog znanja te olakšavanjem razmjene najbolje prakse među nadležnim tijelima;

(c)

država članica u provedbi posebnih kibersigurnosnih aspekata politike i prava Unije u vezi sa zaštitom podataka i privatnošću, među ostalim, pružanjem savjeta Europskom odboru za zaštitu podataka na zahtjev;

podupiranjem redovitog preispitivanja aktivnosti u okviru politika Unije pripremom godišnjeg izvješća o stanju provedbe pravnog okvira u pogledu sljedećeg:

(a)

informacija o obavijestima država članica o incidentima koje jedinstvene kontaktne točke dostavljaju Skupini za suradnju u skladu s člankom 10. stavkom 3. Direktive (EU) 2016/1148;

(b)

sažecima obavijesti o povredi sigurnosti ili gubitku cjelovitosti zaprimljenih od pružatelja usluga povjerenja koje nadzorna tijela dostavljaju ENISA-i na temelju članka 19. stavka 3. Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća ( 1 );

(c)

obavijesti o sigurnosnim incidentima koje dostavljaju pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga, a koje nadležna tijela dostavljaju Agenciji, na temelju članka 40. Direktive(EU) 2018/1972.

Članak 6.

Izgradnja kapaciteta

ENISA pomaže:

(a)

državama članicama u njihovim nastojanjima da poboljšaju sprečavanje, otkrivanje i analizu kiberprijetnji i kiberincidenata te sposobnost za odgovor na njih osiguravanjem potrebnih znanja i stručnjaka;

(b)

državama članicama i institucijama, tijelima, uredima i agencijama Unije u uspostavi i provedbi politika otkrivanja ranjivosti na dobrovoljnoj osnovi;

(c)

institucijama, tijelima, uredima i agencijama Unije u njihovim nastojanjima da poboljšaju sprečavanje, otkrivanje i analizu kiberprijetnji i kiberincidenata te da poboljšaju svoje sposobnosti za odgovor na te kiberprijetnje i kiberincidente, osobito pružanjem odgovarajuće potpore CERT- -EU-u;

(d)

državama članicama u razvoju CSIRT-ova, ako to zatraže na temelju članka 9. stavka 5. Direktive (EU) 2016/1148;

(e)

državama članicama u razvoju nacionalnih strategija za sigurnost mrežnih i informacijskih sustava, ako to zatraže na temelju članka 7. stavka 2. Direktive (EU) 2016/1148 te promiče širenje tih strategija i bilježi napredak njihove provedbe u cijeloj Uniji s ciljem promicanja najbolje prakse;

(f)

institucijama Unije u razvoju i preispitivanju strategija Unije u pogledu kibersigurnosti promicanjem njihova širenja i praćenjem napretka u njihovoj provedbi;

(g)

nacionalnim CSIRT-ovima i CSIRT-ovima Unije u podizanju njihove razine sposobnosti, među ostalim poticanjem dijaloga i razmjene informacija s ciljem osiguravanja da, s obzirom na najnovija tehnička dostignuća, svaki CSIRT zadovoljava zajednički skup minimalnih sposobnosti i djeluje u skladu s najboljim praksama;

(h)

državama članicama redovitim organiziranjem vježbi u području kibersigurnosti na razini Unije iz članka 7. stavka 5. barem svake dvije godine i pružanjem preporuka politike na temelju postupka evaluacije vježbi i stečenog iskustva tijekom tih vježbi;

(i)

relevantnim javnim tijelima pružanjem osposobljavanja u području kibersigurnosti, prema potrebi u suradnji s dionicima;

(j)

Skupini za suradnju, pri razmjeni najbolje prakse posebno u pogledu identifikacije od strane država članica operatora ključnih usluga na temelju članka 11. stavka 3. točke 1. Direktive (EU) 2016/1148, među ostalim u vezi s prekograničnim ovisnostima u pogledu rizika i incidenata.

ENISA podupire razmjenu informacija u i među sektorima, posebno u sektorima navedenima u Prilogu II. Direktivi (EU) 2016/1148, pružanjem najbolje prakse i smjernica o dostupnim alatima, postupku i načinu rješavanja regulatornih pitanja povezanih s razmjenom informacija.

Članak 7.

Operativna suradnja na razini Unije

ENISA podupire operativnu suradnju među državama članicama, institucijama, tijelima, uredima i agencijama Unije te među dionicima.

ENISA surađuje na operativnoj razini i uspostavlja sinergije s institucijama, tijelima, uredima i agencijama Unije, uključujući CERT-EU, službama koje se bave kiberkriminalitetom i s nadzornim tijelima koja se bave zaštitom privatnosti i osobnih podataka, s ciljem rješavanja pitanja od zajedničkog interesa, među ostalim:

(a)

razmjenom znanja i iskustava te najbolje prakse;

(b)

pružanjem savjeta i izdavanjem smjernica o relevantnim pitanjima povezanima s kibersigurnošću;

(c)

uspostavom praktičnih mehanizama za izvršenje određenih zadaća, nakon savjetovanja s Komisijom.

ENISA osigurava tajništvo mreže CSIRT-ova u skladu s člankom 12. stavkom 2. Direktive (EU) 2016/1148 i u tom svojstvu aktivno podupire razmjenu informacija i suradnju među njezinim članovima.

ENISA podupire države članice u pogledu operativne suradnje unutar mreže CSIRT-ova:

(a)

savjetovanjem o tome kako poboljšati sposobnosti za sprečavanje i otkrivanje incidenata i odgovor na njih te, na zahtjev jedne ili više država članica, pružanjem savjetovanja u vezi s određenom kiberprijetnjom;

(b)

pružanjem pomoći, na zahtjev jedne ili više država članica, pri ocjeni incidenata sa značajnim ili bitnim učinkom pružanjem stručnog znanja i olakšavanjem tehničkog rješavanja takvih incidenata, među ostalim posebice podupiranjem dobrovoljne razmjene relevantnih informacija i tehničkih rješenja među državama članicama;

(c)

analiziranjem ranjivosti i incidenata na temelju javno dostupnih informacija ili informacija koje su države članice dobrovoljno dostavile u tu svrhu; i

(d)

na zahtjev jedne ili više država članica, pružanjem potpore u vezi s ex post tehničkim istragama u pogledu incidenata sa značajnim ili bitnim učinkom u smislu Direktive (EU) 2016/1148.

Pri obavljaju tih zadaća ENISA i CERT-EU uspostavljaju strukturiranu suradnju kako bi ostvarili koristi od sinergija i izbjegli udvostručavanje aktivnosti.

ENISA redovito organizira vježbe u području kibersigurnosti na razini Unije i, na njihov zahtjev, podupire države članice i institucije, tijela, ureda i agencije Unije pri organizaciji tih vježbi. Takve vježbe u području kibersigurnosti na razini Unije mogu uključivati tehničke, operativne ili strateške elemente. Jednom u dvije godine ENISA organizira sveobuhvatnu vježba velikog opsega.

Kada je to prikladno, ENISA doprinosi i pomaže u organizaciji sektorskih vježbi u području kibersigurnosti u suradnji s relevantnim organizacijama koje mogu i sudjelovati u vježbama u području kibersigurnosti na razini Unije.

ENISA u bliskoj suradnji s državama članicama sastavlja redovito detaljno tehničko izvješće o stanju kibersigurnosti u EU-u u pogledu incidenata i kiberprijetnji na temelju javno dostupnih informacija, vlastite analize i izvješća koje dostavljaju, među ostalim, CSIRT-ovi država članica ili jedinstvene kontaktne točke iz Direktive (EU) 2016/1148, u oba slučaja na dobrovoljnoj osnovi, EC3 te CERT-EU.

ENISA doprinosi razvoju zajedničkog odgovora na razini Unije i država članica na prekogranične incidente ili krize velikih razmjera povezane s kibersigurnošću, posebno na sljedeće načine:

(a)

objedinjavanjem i analiziranjem izvješća iz nacionalnih izvora koja su dostupna javnosti ili se razmjenjuju na dobrovoljnoj osnovi radi doprinosa zajedničkoj informiranosti o stanju;

(b)

osiguravanjem učinkovitog protoka informacija i osiguravanjem mehanizama eskalacije između mreže CSIRT-ova i oblikovatelja tehničkih i političkih odluka na razini Unije;

(c)

na zahtjev, olakšavanjem tehničkog rješavanja takvih incidenta ili kriza, uključujući, osobito, podupiranjem dobrovoljne razmjene tehničkih rješenja među državama članicama;

(d)

potporom institucijama, tijelima, uredima i agencijama Unije te, na njihov zahtjev, državama članicama u javnoj komunikaciji u vezi s takvim incidentom ili krizom;

(e)

ispitivanjem planova suradnje za odgovor na takve incidente i krize na razini Unije i, na njihov zahtjev, podupiranjem država članica u ispitivanju takvih planova na nacionalnoj razini.

Članak 8.

Tržište, kibersigurnosna certifikacija i normizacija

▼M1

ENISA podupire i promiče razvoj i provedbu politike Unije o kibersigurnosnoj certifikaciji IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga, kako je utvrđeno u glavi III. ove Uredbe, na sljedeće načine:

▼B

(a)

stalnim praćenjem razvoja u povezanim područjima normizacije i preporukom odgovarajućih tehničkih specifikacija za uporabu pri razvoju europskih programa kibersigurnosne certifikacije na temelju članka 54. stavka 1. točke (c)ako norme nisu dostupne;

▼M1

(b)

izradom prijedloga europskih programa kibersigurnosne certifikacije („prijedlozi programa certifikacije”) za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge u skladu s člankom 49.;

▼B

(c)

evaluacijom donesenih europskih programa kibersigurnosne certifikacije u skladu s člankom 49. stavkom 8.;

(d)

sudjelovanjem u istorazinskim ocjenjivanjima na temelju članka 59. stavka 4.;

(e)

pomaganjem Komisiji u osiguravanju tajništva ECCG-a na temelju članka 62. stavka 5. ove Uredbe.

ENISA osigurava tajništvo interesne skupine za kibersigurnosnu certifikaciju na temelju članka 22. stavka 4.

▼M1

ENISA sastavlja i objavljuje smjernice i razvija dobru praksu u pogledu kibersigurnosnih zahtjeva za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge, u suradnji s nacionalnim tijelima za kibersigurnosnu certifikaciju i industrijom na formalan, strukturiran i transparentan način.

▼B

ENISA doprinosi izgradnji kapaciteta u vezi s postupcima evaluacije i certifikacije sastavljanjem i izdavanjem smjernica te pružanjem potpore državama članicama na njihov zahtjev.

▼M1

ENISA olakšava uspostavu i prihvaćanje europskih i međunarodnih normi za upravljanje rizikom i za sigurnost IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga.

▼B

ENISA izrađuje, u suradnji s državama članicama i industrijom, savjeta i smjernica o tehničkim područjima povezanima sa sigurnosnim zahtjevima za operatore ključnih usluga i pružatelje digitalnih usluga, te u pogledu već postojećih normi, uključujući nacionalne norme država članica, u skladu s člankom 19. stavkom 2. Direktive (EU) 2016/1148.

ENISA provodi i distribuira redovite analize glavnih trendova na kibersigurnosnom tržištu i na strani ponude i na strani potražnje s ciljem poticanja kibersigurnosnog tržišta u Uniji.

Članak 9.

Znanje i informiranje

ENISA:

(a)

provodi analize novih tehnologija i daje tematske procjene očekivanog društvenog, pravnog, gospodarskog i regulatornog učinka tehnoloških inovacija na kibersigurnost;

(b)

provodi dugoročne strateške analize kiberprijetnji i incidenata kako bi utvrdila nove trendove i pomogla spriječiti incidente;

(c)

u suradnji sa stručnjacima iz tijela država članica i relevantnim dionicima, pruža savjete, smjernice i najbolju praksu za sigurnost mrežnih i informacijskih sustava, posebno za sigurnost infrastruktura kojima se podupiru sektori navedeni u Prilogu II. Direktivi (EU) 2016/1148 te onih kojima se koriste pružatelji digitalnih usluga iz Priloga III. toj Direktivi;

(d)

putem posebnog portala objedinjuje, organizira i stavlja na raspolaganje javnosti koje su dostavile institucije, tijela, uredi i agencije Unije te informacije o kibersigurnosti koje su dobrovoljno na raspolaganje stavile države članice i javni i privatni dionici;

(e)

prikuplja i analizira javno dostupne informacije o značajnim incidentima i sastavlja izvješća s ciljem pružanja smjernica građanima, organizacijama i poduzećima u cijeloj Uniji.

Članak 10.

Podizanje razine osviještenosti i obrazovanje

ENISA:

(a)

podiže razinu osviještenosti javnosti o rizicima povezanima s kibersigurnošću i daje smjernice o dobroj praksi za pojedinačne korisnike usmjerene na građane, organizacije i poduzeća, uključujući kiberhigijenu i kiberpismenost;

(b)

u suradnji s državama članicama i institucijama, tijelima, uredima i agencijama Unije te industrijom, organizira redovite informativne kampanje s ciljem povećanja kibersigurnosti i svoje vidljivosti u Uniji te potiče široku javnu raspravu;

(c)

pomaže državama članicama u njihovim naporima za podizanje razine osviještenosti o kibersigurnosti i promicanje obrazovanja u području kibersigurnosti;

(d)

podupire bliskiju koordinaciju i razmjenu najbolje prakse među državama članicama u pogledu podizanja razine osviještenosti i obrazovanja u vezi s kibersigurnošću.

Članak 11.

Istraživanja i inovacije

U pogledu istraživanja i inovacija, ENISA:

(a)

savjetuje institucije, tijela, urede i agencije Unije i države članice o istraživačkim potrebama i prioritetima u području kibersigurnosti kako bi se omogućili učinkoviti odgovori na postojeće i nove rizike i kiberprijetnje, među ostalim i u pogledu novih informacijskih i komunikacijskih tehnologija te onih u nastajanju, te kako bi se učinkovito upotrebljavale tehnologije za sprečavanje rizika;

(b)

ako joj je Komisija prenijela relevantne ovlasti, sudjeluje u fazi provedbe programa za financiranje istraživanja i inovacija ili kao korisnik;

(c)

doprinosi strateškoj agendi za istraživanja i inovacije na razini Unije u području kibersigurnosti.

Članak 12.

Međunarodna suradnja

ENISA doprinosi nastojanjima Unije da uspostavi suradnju s trećim zemljama i međunarodnim organizacijama kao i u relevantnim okvirima međunarodne suradnje s ciljem promicanja međunarodne suradnje u području kibersigurnosti:

(a)

sudjelovanjem, prema potrebi, u ulozi promatrača u organizaciji međunarodnih vježbi, analiziranjem ishoda takvih vježbi i izvješćivanjem Upravljačkog odbora o njihovu ishodu;

(b)

na zahtjev Komisije, olakšavanjem razmjene najbolje prakse;

(c)

na zahtjev Komisije, pružanjem stručnih savjeta Komisiji;

(d)

pružanjem savjeta i potpore Komisiji o pitanjima koja se odnose na sporazume o uzajamnom priznavanju kibersigurnosnih certifikata s trećim zemljama u suradnji sa ECCG-om uspostavljenom na temelju članka 62.

POGLAVLJE III.

Organizacija ENISA-e

Članak 13.

Struktura ENISA-e

Administrativna i upravljačka struktura ENISA-e sastoji se od sljedećeg:

(a)

Upravljačkog odbora;

(b)

Izvršnog odbora;

(c)

izvršnog direktora;

(d)

Savjetodavne skupine ENISA-e;

(e)

Mreže nacionalnih časnika za vezu.

Odjeljak 1.

Upravljački Odbor

Članak 14.

Sastav Upravljačkog odbora

Upravljački odbor sastoji se od po jednog člana imenovanog od strane svake države članice te dva člana koje imenuje Komisija. Svi članovi imaju pravo glasa.

Svaki član Upravljačkog odbora ima zamjenika. Taj zamjenik predstavlja člana u slučaju odsutnosti člana.

Članove Upravljačkog odbora i njihove zamjenike imenuje se na temelju njihovog znanja u području kibersigurnosti i relevantnih upravljačkih i administrativnih vještina te vještina upravljanja proračunom. Komisija i države članice nastoje ograničiti fluktuaciju svojih predstavnika u Upravljačkom odboru kako bi se osigurao kontinuitet njegova rada. Komisija i države članice nastoje postići rodnu ravnoteža u Upravljačkom odboru.

Mandat članova Upravljačkog odbora i njihovih zamjenika traje četiri godine. Taj se mandat može produljiti.

Članak 15.

Funkcije Upravljačkog odbora

Upravljački odbor obavlja sljedeće:

(a)

utvrđuje opći smjer djelovanja ENISA-e i osigurava da ENISA djeluje u skladu s pravilima i načelima iz ove Uredbe; također osigurava usklađenost rada ENISA-e s aktivnostima koje provode države članice i s onima koje se provode na razini Unije;

(b)

donosi nacrt jedinstvenog programskog dokumenta ENISA-e iz članka 24. prije nego što ga podnese Komisiji radi dobivanja mišljenja;

(c)

donosi jedinstveni programski dokument ENISA-e, uzimajući u obzir mišljenje Komisije;

(d)

nadzire provedbu višegodišnjih i godišnjih programa sadržanih u jedinstvenom programskom dokumentu;

(e)

donosi godišnji proračun ENISA-e i izvršava druge funkcije povezane s proračunom ENISA-e u skladu s poglavljem IV.;

(f)

ocjenjuje i donosi konsolidirano godišnje izvješće o aktivnostima ENISA-e, u što je uključena računovodstvena dokumentacija i opis ENISA-inog ostvarenja pokazatelja uspješnosti, i do 1. srpnja sljedeće godine dostavlja godišnje izvješće i njegovu ocjenu Europskom parlamentu, Vijeću, Komisiji i Revizorskom sudu te ga objavljuje;

(g)

donosi financijska pravila koja se primjenjuju na ENISA-u u skladu s člankom 32.;

(h)

donosi strategiju za suzbijanje prijevara koja je razmjerna rizicima od prijevare, uzimajući u obzir analizu troškova i koristi mjera koje će se provoditi;

(i)

donosi pravila o sprečavanju sukoba interesa u pogledu svojih članova i o postupanju u slučaju sukoba interesa;

(j)

osigurava odgovarajuće daljnje postupanje u vezi s nalazima i preporukama proizišlim iz istraga Europskog ureda za borbu protiv prijevara (OLAF) i različitih unutarnjih ili vanjskih izvješća o reviziji i evaluacija;

(k)

donosi svoj poslovnik, uključujući pravila za privremene odluke o delegiranju posebnih zadaća na temelju članka 19. stavka 7.;

(l)

u odnosu na osoblje ENISA-e izvršava ovlasti koje su Pravilnikom o osoblju za dužnosnike („Pravilnik o osoblju za dužnosnike”) i Uvjetima zaposlenja ostalih službenika Europske unije („Uvjeti zaposlenja ostalih službenika”) utvrđenima Uredbom Vijeća (EEZ, Euratom, EZUČ) br. 259/68 ( 2 ) dodijeljene tijelu nadležnom za imenovanja i tijelu ovlaštenom za sklapanje ugovora o radu („ovlasti tijela nadležnog za imenovanja”) u skladu sa stavkom 2. ovog članka;

(m)

donosi pravila za provedbu Pravilnika o osoblju za dužnosnike i Uvjeta zaposlenja ostalih službenika u skladu s postupkom iz članka 110. Pravilnika o osoblju za dužnosnike;

(n)

imenuje izvršnog direktora i, po potrebi, produljuje njegov mandat ili ga razrješava dužnosti u skladu s člankom 36.;

(o)

imenuje računovodstvenog službenika, koji može biti računovodstveni službenik Komisije, koji svoje dužnosti obavlja potpuno neovisno;

(p)

donosi sve odluke koje se tiču unutarnjeg ustrojstva ENISA-e te, prema potrebi, o izmjenama tog unutarnjeg ustrojstva, uzimajući u obzir potrebe ENISA-e u pogledu aktivnosti te razumno financijsko upravljanje;

(q)

odobrava uspostavu radnih aranžmana u odnosu na Članak 7.;

(r)

odobrava uspostavu ili sklapanje radnih aranžmana u skladu s člankom 42.

U skladu s člankom 110. Pravilnika o osoblju, upravljački odbor donosi odluku na temelju članka 2. stavka 1. Pravilnika o osoblju za dužnosnike i članka 6. Uvjeta zaposlenja ostalih službenika kojom se odgovarajuće ovlasti tijela nadležnog za imenovanja delegiraju izvršnom direktoru i utvrđuju uvjeti pod kojima se to delegiranje ovlasti može suspendirati. Izvršni direktor ovlašten je dalje delegirati te ovlasti.

U iznimnim okolnostima Upravljački odbor može donijeti odluku o privremenoj suspenziji delegiranja ovlasti tijela nadležnog za imenovanja na izvršnog direktora i svih ovlasti i tijela nadležnog za imenovanja koje je izvršni direktor dalje delegirao te ih umjesto toga izvršavati sam ili ih delegirati jednom od svojih članova ili zaposlenika koji nije izvršni direktor.

Članak 16.

Predsjednik Upravljačkog odbora

Upravljački odbor bira svojeg predsjednika i zamjenika predsjednika iz redova svojih članova dvotrećinskom većinom glasova. Njihov mandat traje četiri godine s mogućnošću jednog produljenja. Međutim, ako njihovo članstvo u Upravljačkom odboru prestane u bilo kojem trenutku trajanja njihova mandata, toga datuma automatski prestaje i njihov mandat. Zamjenik predsjednika po službenoj dužnosti zamjenjuje predsjednika ako predsjednik nije u mogućnosti obavljati svoje zadaće.

Članak 17.

Sastanci Upravljačkog odbora

Sastanke Upravljačkog odbora saziva njegov predsjednik.

Upravljački odbor održava najmanje dva redovita sastanka godišnje. Održava i izvanredne sastanke na zahtjev predsjednika, Komisije ili najmanje jedne trećine svojih članova.

Izvršni direktor sudjeluje na sastancima Upravljačkog odbora ali nema pravo glasa.

Članovi Savjetodavne skupine ENISA-e mogu na poziv predsjednika sudjelovati na sastancima Upravljačkog odbora, ali nemaju pravo glasa.

Članovima Upravljačkog odbora i njihovim zamjenicima na sastancima Upravljačkog odbora mogu pomagati savjetnici ili stručnjaci, podložno Poslovniku Upravljačkog odbora,.

ENISA Upravljačkom odboru osigurava tajništvo.

Članak 18.

Pravila o glasovanju Upravljačkog odbora

Upravljački odbor donosi svoje odluke većinom glasova svojih članova.

Dvotrećinska većina glasova članova Upravljačkog odbora potrebna je za donošenje jedinstvenog programskog dokumenta, godišnjeg proračuna, imenovanje izvršnog direktora te za produljenje njegova mandata ili njegovo razrješenje s dužnosti.

Svaki član ima jedan glas. U odsutnosti člana pravo glasa izvršava zamjenik člana.

Predsjednik Upravljačkog odbora sudjeluje u glasovanju.

Izvršni direktor ne sudjeluje u glasovanju.

Poslovnikom Upravljačkog odbora utvrđuju se detaljnija pravila glasovanja, osobito okolnosti u kojima jedan član može djelovati u ime drugog člana.

Odjeljak 2.

Izvršni Odbore

Članak 19.

Izvršni odbor

Izvršni odbor pomaže Upravljačkom odboru.

Izvršni odbor obavlja sljedeće:

(a)

priprema odluke koje donosi Upravljački odbor;

(b)

zajedno s Upravljačkim odborom osigurava prikladno daljnje postupanje u vezi s nalazima i preporukama proizišlim iz istraga OLAF-a i različitih unutarnjih ili vanjskih izvješća o reviziji i evaluacija;

(c)

ne dovodeći u pitanje odgovornosti izvršnog direktora utvrđene u članku 20., pruža pomoć i savjete izvršnom direktoru u provedbi odluka Upravljačkog odbora o upravnim i proračunskim pitanjima, u skladu s člankom 20.

Izvršni odbor sastavljen je od pet članova. Članovi Izvršnog odbora imenuju se iz redova članova Upravljačkog odbora. Jedan od članova je predsjednik Upravljačkog odbora, a može predsjedati i Izvršnim odborom, jedan od članova je predstavnik Komisije. Pri imenovanjima članova Izvršnog odbora nastoji se postići rodna ravnoteža u Izvršnom odboru. Izvršni direktor sudjeluje na sastancima Izvršnog odbora, ali nema pravo glasa.

Mandat članova Izvršnog odbora traje četiri godine. Taj se mandat može produljiti.

Izvršni se odbor sastaje najmanje jednom u tri mjeseca. Predsjednik Izvršnog odbora saziva dodatne sastanke na zahtjev članova Izvršnog odbora.

Upravljački odbor donosi poslovnik Izvršnog odbora.

Prema potrebi, Izvršni odbor može u slučaju hitnosti donijeti određene privremene odluke u ime Upravljačkog odbora, osobito o pitanjima povezanima s administrativnim upravljanjem, uključujući suspenziju delegiranja ovlasti tijela nadležnog za imenovanja, i o proračunskim pitanjima. O svim se takvim privremenim odlukama bez nepotrebne odgode obavješćuje Upravljački odbor. Upravljački odbor zatim, najkasnije tri mjeseca nakon njezina donošenja, odlučuje treba li privremenu odluku odobriti ili odbiti. Izvršni odbor ne može u ime Upravljačkog odbora donositi odluke za koje je potrebna dvotrećinska većina članova Upravljačkog odbora.

Odjeljak 3.

Izvršni Direktor

Članak 20.

Dužnosti izvršnog direktora

ENISA-om upravlja izvršni direktor koji je neovisan u obavljanju svojih dužnosti. Izvršni direktor odgovara Upravljačkom odboru.

Izvršni direktor izvješćuje Europski parlament o izvršavanju svojih dužnosti kada ga se pozove da to učini. Vijeće može pozvati izvršnog direktora da ga izvijesti o izvršavanju svojih dužnosti.

Izvršni direktor odgovoran je za sljedeće:

(a)

svakodnevno upravljanje ENISA-om;

(b)

provedbu odluka koje je donio Upravljački odbor;

(c)

izradu nacrta jedinstvenog programskog dokumenta i njegovo podnošenje Upravljačkom odboru na odobrenje prije podnošenja Komisiji;

(d)

provedbu jedinstvenog programskog dokumenta i izvješćivanje Upravljačkog odbora o njegovoj provedbi;

(e)

izradu konsolidiranog godišnjeg izvješća o aktivnostima ENISA-e uključujući provedbu godišnjeg programa rada ENISA-e i njegovo dostavljanje Upravljačkom odboru na ocjenjivanje i donošenje;

(f)

izradu akcijskog plana koji se nadovezuje na zaključke naknadnih evaluacija i izvješćivanje Komisije o napretku svake dvije godine;

(g)

izradu akcijskog plana koji se nadovezuje na zaključke iz izvješća o unutarnjoj ili vanjskoj reviziji i istraga OLAF-a i izvješćivanje Komisije o napretku dva puta godišnje te redovito izvješćivanje Upravljačkog odbora;

(h)

izradu nacrta financijskih pravila iz članka 32. koja se primjenjuju na ENISA-u;

(i)

izradu nacrta izvješća ENISA-e o procjeni prihoda i rashoda i izvršavanje njezina proračuna;

(j)

zaštitu financijskih interesa Unije primjenom preventivnih mjera za borbu protiv prijevara, korupcije i drugih nezakonitih aktivnosti, izvršavanjem djelotvornih provjera i, ako se otkriju nepravilnosti, povratom nepropisno isplaćenih iznosa i, prema potrebi, izricanjem učinkovitih, proporcionalnih i odvraćajućih administrativnih i novčanih kazni;

(k)

izradu strategije ENISA-e za borbu protiv prijevara i njezino podnošenje Upravljačkom odboru na odobrenje;

(l)

uspostavljanje i održavanje kontakta s poslovnom zajednicom i organizacijama potrošača radi osiguravanja redovitog dijaloga s relevantnim dionicima;

(m)

redovitu razmjenu informacija s institucijama, tijelima, uredima i agencijama Unije u pogledu svojih aktivnosti povezanih sa kibersigurnošću kako bi se osigurala usklađenost u razvoju i provedbi politike Unije;

(n)

obavljanje drugih zadaća dodijeljenih izvršnom direktoru ovom Uredbom.

Prema potrebi i u okviru mandata ENISA-e te u skladu s ciljevima i zadaćama ENISA-e, izvršni direktor može osnovati ad hoc radne skupine sastavljene od stručnjaka, uključujući stručnjake iz nadležnih tijela država članica. Izvršni direktor o tome unaprijed obavješćuje Upravljački odbor. Postupci koji se odnose posebno na sastav radnih skupina, imenovanje stručnjaka u radne skupine koje obavlja izvršni direktor i rad radnih skupina utvrđuju se unutarnjim pravilnikom o radu ENISA-e.

Prema potrebi, u svrhu obavljanja zadaća ENISA-e na učinkovit i djelotvoran način i na temelju odgovarajuće analize troškova i koristi, izvršni direktor može odlučiti osnovati jedan ili više lokalnih ureda u jednoj ili više država članica. Prije odluke o osnivanju lokalnog ureda izvršni direktor traži mišljenje dotične države članice ili više njih, uključujući državu članicu u kojoj se nalazi sjedište ENISA-e te mora dobiti prethodnu suglasnost Komisije i Upravljačkog odbora. U slučaju neslaganja tijekom postupka savjetovanja između izvršnog direktora i dotičnih država članica to se pitanje podnosi Vijeću na raspravu. Ukupan broj osoblja u svim lokalnim uredima svodi se na najmanju moguću mjeru i ne smije prelaziti 40 % ukupnog broja osoblja ENISA-e koje se nalazi u državi članici u kojoj se nalazi sjedište ENISA-e. Broj osoblja u svakom lokalnom uredu ne prelazi 10 % ukupnog broja osoblja ENISA-e koje se nalazi u državi članici u kojoj se nalazi sjedište ENISA-e.

U odluci o osnivanju lokalnog ureda utvrđuje se opseg aktivnosti koje će obavljati taj lokalni ured na način da se izbjegnu nepotrebni troškovi i udvostručavanje administrativnih zadaća ENISA-e.

Odjeljak 4.

Savjetodavna Skupina ENISA-e, Interesna Skupina za Kibersigurnosnu Certifikaciju i Mreža Nacionalnih Časnika za Vezu

Članak 21.

Savjetodavna skupina ENISA-e

Upravljački odbor, djelujući na prijedlog izvršnog direktora, na transparentan način osniva Savjetodavnu skupinu ENISA-e sastavljenu od priznatih stručnjaka koji zastupaju relevantne interesne skupine, kao što su IKT industrija, pružatelji elektroničkih komunikacijskih mreža ili usluga dostupnih javnosti, MSP-ovi, operatori ključnih usluga, skupine potrošača, akademski stručnjaci za kibersigurnost i predstavnici nadležnih tijela prijavljenih u skladu s Direktivom (EU) 2018/1972 i europskih organizacija za normizaciju te od tijela za izvršavanje zakonodavstva i tijela za nadzor zaštite podataka. Upravljački odbor nastoji osigurati odgovarajuću rodnu i geografsku ravnotežu te ravnotežu među različitim interesnim skupinama.

Postupci koji se odnose na Savjetodavnu skupinu ENISA-e, posebno u pogledu njezina sastava, prijedloga izvršnog direktora iz stavka 1., broja i imenovanja njezinih članova i rada Savjetodavne skupine ENISA-e utvrđuju se u unutarnjem pravilniku o radu ENISA-e te se objavljuju.

Savjetodavnom skupinom ENISA-e predsjeda izvršni direktor ili bilo koja osoba koju, zasebno za svaki slučaj, imenuje izvršni direktor.

Mandat članova Savjetodavne skupine ENISA-e traje dvije i pol godine. Članovi Upravljačkog odbora ne mogu biti članovi Savjetodavne skupine ENISA-e. Stručnjaci Komisije i država članica imaju pravo nazočiti sjednicama Savjetodavne skupine ENISA-e i sudjelovati u njezinu radu. Na sastanke Savjetodavne skupine ENISA-e i sudjelovanje u njezinu radu mogu se pozvati predstavnici drugih tijela koja izvršni direktor smatra relevantnima i koji nisu članovi Savjetodavne skupine ENISA-e.

Savjetodavna skupina ENISA-e savjetuje Agenciju u vezi s obavljanjem aktivnosti ENISA-e, osim u pogledu primjene odredbi glave III. ove Uredbe. Ona posebno savjetuje izvršnog direktora u vezi s izradom prijedloga godišnjeg programa rada ENISA-e i osiguravanjem komunikacije s relevantnim interesnim skupinama o pitanjima koja se odnose na godišnji program rada.

Savjetodavna skupina ENISA-e redovito obavještava Upravljački odbor o svojim aktivnostima.

Članak 22.

Interesna skupina za kibersigurnosnu certifikaciju

Osniva se interesna skupina za kibersigurnosnu certifikaciju.

Interesna skupina za kibersigurnosnu certifikaciju sastoji se od članova odabranih među priznatim stručnjacima koji predstavljaju relevantne dionike. Komisija nakon transparentnog i otvorenog poziva, na prijedlog ENISA-a odabire članove Interesne skupine za kibersigurnosnu certifikaciju osiguravajući ravnotežu među različitim interesnim skupinama kao i odgovarajuću rodnu i geografsku ravnotežu.

Interesna skupina za kibersigurnosnu certifikaciju:

(a)

pruža savjete Komisiji o strateškim pitanjima u vezi s europskim okvirom za kibersigurnosnu certifikaciju;

(b)

na zahtjev, pruža savjete Agenciji o općim i strateškim pitanjima koja se odnose na zadaće ENISA-e u vezi s tržištem, kibersigurnosnom certifikacijom i normizacijom;

(c)

pruža pomoć Komisiji u pripremi kontinuiranog programa rada Unije iz članka 47.;

(d)

izdaje mišljenja o kontinuiranom programu rada Unije na temelju članka 47. stavka 4. i

(e)

u hitnim slučajevima, daje savjete Komisiji i ECCG-u o potrebi za dodatnim programima certifikacije koji nisu uključeni u kontinuirani program rada Unije, kako je navedeno u člancima 47. i 48.

Interesnom skupinom za kibersigurnosnu certifikaciju supredsjedaju Komisija i ENISA, a tajništvo joj osigurava ENISA.

Članak 23.

Mreža nacionalnih časnika za vezu

Upravljački odbor, odlučujući na prijedlog izvršnog direktora, uspostavlja mrežu nacionalnih časnika za vezu sastavljenu od svih država članica (nacionalni časnici za vezu). Svaka država članica imenuje jednog predstavnika u mrežu nacionalnih časnika za vezu. Sastanci mreže nacionalnih časnika za vezu mogu se održavati u različitim sastavima stručnjaka.

Mreža nacionalnih časnika za vezu posebice olakšava razmjenu informacija između ENISA-e i država članica te podržava ENISA-u u širenju njezinih aktivnosti, nalaza i preporuka relevantnim dionicima diljem Unije.

Nacionalni časnici za vezu djeluju kao kontaktna točka na nacionalnoj razini kako bi se olakšala suradnja između ENISA-e i nacionalnih stručnjaka u kontekstu provedbe godišnjeg programa rada ENISA-e.

Iako nacionalni časnici za vezu usko surađuju s predstavnicima svojih država članica u Upravljačkom odboru, radom mreže nacionalnih časnika za vezu ne udvostručuje se rad Upravljačkog odbora ni drugih foruma Unije.

Funkcije i postupci za mrežu nacionalnih časnika za vezu utvrđuju se u unutarnjem pravilniku o radu ENISA-e i javno obznanjuju.

Odjeljak 5.

Djelovanje

Članak 24.

Jedinstveni programski dokument

ENISA djeluje u skladu s jedinstvenim programskim dokumentom koji sadržava njezine godišnje i višegodišnje programe koji uključuju sve njezine planirane aktivnosti.

Izvršni direktor svake godine izrađuje nacrt jedinstvenog programskog dokumenta koji sadržava godišnje i višegodišnje programe s odgovarajućim planovima u pogledu financijskih i ljudskih resursa u skladu s člankom 32. Delegirane uredbe Komisije (EU) br. 1271/2013 ( 3 ) i uzimajući u obzir smjernice koje je utvrdila Komisija.

Do 30. studenoga svake godine Upravljački odbor donosi jedinstveni programski dokument iz stavka 1. te ga do 31. siječnja sljedeće godine šalje Europskom parlamentu, Vijeću i Komisiji, kao i sve naknadne ažurirane verzije tog dokumenta.

Jedinstveni programski dokument postaje konačan nakon konačnog donošenja općeg proračuna Unije te se odgovarajuće prilagođava.

Godišnji program rada obuhvaća detaljne ciljeve i očekivane rezultate, uključujući pokazatelje uspješnosti. Sadržava i opis aktivnosti koje je potrebno financirati i podatke o financijskim i ljudskim resursima dodijeljenima svakoj aktivnosti, u skladu s načelima pripreme proračuna i upravljanja na temelju aktivnosti. Godišnji program rada usklađen je s višegodišnjim programom rada iz stavka 7. U njemu su jasno navedene zadaće koje su dodane, izmijenjene ili izbrisane u odnosu na prethodnu financijsku godinu.

Upravljački odbor mijenja doneseni godišnji program rada ako je ENISA-i dodijeljena nova zadaća. Sve znatne izmjene godišnjeg programa rada donose se po istom postupku kao i početni godišnji program rada. Upravljački odbor može ovlast za donošenje manjih izmjena godišnjeg programa rada delegirati izvršnom direktoru.

U višegodišnjem programu rada utvrđuje se opći strateški program, među ostalim i ciljevi, očekivani rezultati i pokazatelji uspješnosti. Sadržava i programiranje resursa, uključujući višegodišnji proračun i osoblje.

Programiranje resursa ažurira se svake godine. Strateški program ažurira se prema potrebi, a posebno kada je to nužno kako bi se uzeo u obzir ishod evaluacije iz članka 67.

Članak 25.

Izjava o interesu

Članovi Upravljačkog odbora, izvršni direktor i službenici koje su države članice privremeno uputile daju izjavu o obvezama i izjavu o nepostojanju ili postojanju bilo kakvog izravnog ili neizravnog interesa za koji bi se moglo smatrati da dovodi u pitanje njihovu neovisnost. Izjave su točne i potpune, daju se svake godine u pisanom obliku i ažuriraju se prema potrebi.

Članovi Upravljačkog odbora, izvršni direktor i vanjski stručnjaci koji sudjeluju u ad hoc radnim skupinama daju, najkasnije na početku svakog sastanka, točnu i potpunu izjavu o svim interesima za koje bi se moglo smatrati da dovode u pitanje njihovu neovisnost u pogledu točaka dnevnog reda i suzdržavaju se od sudjelovanja u raspravi i glasovanja o takvim točkama.

ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za pravila o izjavama o interesima iz stavaka 1. i 2.

Članak 26.

Transparentnost

ENISA obavlja svoje aktivnosti uz visok stupanj transparentnosti i u skladu s člankom 28.

ENISA osigurava da javnost i sve zainteresirane strane dobiju odgovarajuće, objektivne, pouzdane i lako dostupne informacije, posebno u pogledu rezultata njezina rada. Ona javno obznanjuje i izjave o interesima dane u skladu s člankom 25.

Upravljački odbor na prijedlog izvršnog direktora može zainteresiranim stranama odobriti da u svojstvu promatrača sudjeluju u određenim aktivnostima ENISA-e.

ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za provedbu pravila o transparentnosti iz stavaka 1. i 2.

Članak 27.

Povjerljivost

Ne dovodeći u pitanje Članak 28., ENISA trećim stranama ne otkriva informacije koje obrađuje ili prima, a za koje je podnesen opravdan zahtjev da s njima postupa kao s povjerljivim informacijama.

Članovi Upravljačkog odbora, izvršni direktor, članovi Savjetodavne skupine ENISA-e, vanjski stručnjaci koji sudjeluju u radu ad hoc radnih skupina i članovi osoblja ENISA-e, uključujući službenike koje privremeno upućuju države članice, poštuju zahtjeve u pogledu povjerljivosti iz članka 339. UFEU-a čak i nakon prestanka njihovih dužnosti.

ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za provedbu pravila o povjerljivosti iz stavaka 1. i 2.

Ako je to potrebno za obavljanje zadaća ENISA-e, Upravljački odbor donosi odluku kojom ENISA-i dopušta obradu klasificiranih podataka. U tom slučaju ENISA u dogovoru sa službama Komisije donosi sigurnosna pravila primjenjujući načela sigurnosti utvrđena odlukama Komisije (EU, Euratom) 2015/443 ( 4 ) i 2015/444 ( 5 ). Ta sigurnosna pravila uključuju odredbe o razmjeni, obradi i pohrani klasificiranih podataka.

Članak 28.

Pristup dokumentima

Na dokumente koje posjeduje ENISA primjenjuje se Uredba (EZ) br. 1049/2001.

Upravljački odbor donosi pravila za provedbu Uredbe (EZ) br. 1049/2001 do 28. prosinca 2019.

Odluke koje ENISA donosi u skladu s člankom 8. Uredbe (EZ) br. 1049/2001 mogu biti predmetom pritužbe Europskom ombudsmanu u skladu s člankom 228. UFEU-a ili tužbe pred Sudom Europske unije u skladu s člankom 263. UFEU-a.

POGLAVLJE IV.

Donošenje i struktura proračuna ENISA-e

Članak 29.

Donošenje proračuna ENISA-e

Izvršni direktor svake godine izrađuje nacrt izvješća o procjenama prihoda i rashoda ENISA-e za sljedeću financijsku godinu te ga prosljeđuje Upravljačkom odboru zajedno s nacrtom plana radnih mjesta. Prihodi i rashodi moraju biti u ravnoteži.

Upravljački odbor svake godine, na temelju nacrta izvješća o procjenama, sastavlja izvješće o procjenama prihoda i rashoda ENISA-e za sljedeću financijsku godinu.

Upravljački odbor svake godine do 31. siječnja Komisiji i trećim zemljama s kojima je Unija sklopila sporazume u skladu s člankom 42. stavkom 2. šalje izvješće o procjenama koje je dio nacrta jedinstvenog programskog dokumenta.

Na temelju navedenog izvješća o procjenama Komisija procjene koje smatra potrebnima za plan radnih mjesta i iznos doprinosa na teret općeg proračuna Unije unosi u nacrt općeg proračuna Unije, koji podnosi Europskom parlamentu i Vijeću u skladu s člankom 314. UFEU-a.

Europski parlament i Vijeće odobravaju dodjelu sredstava za doprinose Unije ENISA-i.

Europski parlament i Vijeće donose plan radnih mjesta ENISA-e.

Upravljački odbor donosi proračun ENISA-e zajedno s jedinstvenim programskim dokumentom. Proračun ENISA-e postaje konačan nakon konačnog donošenja općeg proračuna Unije. Upravljački odbor prema potrebi prilagođava proračun i jedinstveni programski dokument ENISA-e u skladu s općim proračunom Unije.

Članak 30.

Struktura proračuna ENISA-e

Ne dovodeći u pitanje druge izvore, prihodi ENISA-e uključuju sljedeće:

(a)

doprinos iz općeg proračuna Unije;

(b)

namjenske prihode za određene stavke rashoda u skladu s financijskim pravilima iz članka 32.;

(c)

financijska sredstva Unije u obliku sporazuma o delegiranju ili ad hoc bespovratnih sredstava u skladu s njezinim financijskim pravilima iz članka 32. i u skladu s odredbama relevantnih instrumenata kojima se podupiru politike Unije;

(d)

doprinose trećih zemalja koje sudjeluju u radu ENISA-e kako je predviđeno u članku 42.;

(e)

sve dobrovoljne doprinose država članica u novcu ili naravi.

Države članice koje daju dobrovoljne doprinose iz prvog podstavka točke (e) ne mogu na temelju toga zahtijevati nikakva posebna prava ili usluge.

Rashodi ENISA-e uključuju troškove osoblja, troškove administrativne i tehničke podrške, infrastrukturne i operativne troškove te troškove proizišle iz ugovora s trećim stranama.

Članak 31.

Izvršenje proračuna ENISA-e

Izvršni direktor odgovoran je za izvršenje proračuna ENISA-e.

Unutarnji revizor Komisije ima iste ovlasti u odnosu na ENISA-u kao i u odnosu na službe Komisije.

Računovodstveni službenik ENISA-e dostavlja privremenu računovodstvenu dokumentaciju za financijsku godinu (godina N) računovodstvenom službeniku Komisije i Revizorskom sudu do 1. ožujka sljedeće financijske godine (godina N + 1).

Po primitku opažanja Revizorskog suda o privremenoj računovodstvenoj dokumentaciji ENISA-e na temelju članka 246. Uredbe (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća ( 6 ), računovodstveni službenik ENISA-e izrađuje završnu računovodstvenu dokumentaciju ENISA-e pod vlastitom odgovornošću i šalje je Upravljačkom odboru radi mišljenja.

Upravljački odbor donosi mišljenje o završnoj računovodstvenoj dokumentaciji ENISA-e.

Do 31. ožujka godine N + 1, izvršni direktor prosljeđuje izvješće o proračunskom i financijskom upravljanju Europskom parlamentu, Vijeću, Komisiji i Revizorskom sudu.

Do 1. srpnja godine N + 1 računovodstveni službenik ENISA-e podnosi završnu računovodstvenu dokumentaciju ENISA-e zajedno s mišljenjem Upravljačkog odbora Europskom parlamentu, Vijeću, računovodstvenom službeniku Komisije i Revizorskom sudu.

Na dan slanja završne računovodstvene dokumentacije ENISA-e računovodstveni službenik ENISA-e Revizorskom sudu šalje i izjavu povezanu s tom završnom računovodstvenom dokumentacijom, a presliku šalje i računovodstvenom službeniku Komisije.

Do 15. studenoga godine N + 1 izvršni direktor objavljuje završnu računovodstvenu dokumentaciju ENISA-e u Službenom listu Europske unije.

10.

Do 30. rujna godine N + 1 izvršni direktor Revizorskom sudu šalje odgovor na njegova opažanja, a presliku tog odgovora šalje i Upravljačkom odboru i Komisiji.

11.

Izvršni direktor dostavlja Europskom parlamentu, na njegov zahtjev, sve informacije potrebne za nesmetanu primjenu postupka davanja razrješnice za dotičnu financijsku godinu u skladu s člankom 261. stavkom 3. Uredbe (EU, Euratom) 2018/1046.

12.

Na preporuku Vijeća Europski parlament prije 15. svibnja godine N + 2 daje razrješnicu izvršnom direktoru u vezi s izvršenjem proračuna za godinu N.

Članak 32.

Financijska pravila

Financijska pravila koja se primjenjuju na ENISA-u donosi Upravljački odbor nakon savjetovanja s Komisijom. Ona ne odstupaju od Delegirane uredbe (EU) br. 1271/2013, osim ako je to odstupanje posebno potrebno za rad ENISA-e i ako je Komisija prethodno dala suglasnost.

Članak 33.

Borba protiv prijevara

Kako bi se olakšala borba protiv prijevara, korupcije i drugih nezakonitih aktivnosti u skladu s Uredbom (EU, Euratom) br. 883/2013 Europskog parlamenta i Vijeća ( 7 ), ENISA do 28. prosinca 2019. pristupa Međuinstitucionalnom sporazumu od 25. svibnja 1999. između Europskog parlamenta, Vijeća Europske unije i Komisije Europskih zajednica u vezi s internim istragama koje provodi Europski ured za borbu protiv prijevara (OLAF) ( 8 ). ENISA donosi odgovarajuće odredbe primjenjive na sve zaposlenike ENISA-e, koristeći se obrascem utvrđenim u prilogu tom Sporazumu.

Revizorski sud ovlašten je provoditi reviziju, na temelju dokumenata i inspekcija na terenu, svih korisnika bespovratnih sredstava, ugovaratelja i podugovaratelja koji su primili sredstva Unije od ENISA-e.

OLAF može provoditi istrage, među ostalim provjere i inspekcije na terenu, u skladu s odredbama i postupcima propisanima Uredbom (EU, Euratom) br. 883/2013 i Uredbom Vijeća (Euratom, EZ) br. 2185/96 ( 9 ), kako bi utvrdio je li došlo do prijevare, korupcije ili bilo koje druge nezakonite aktivnosti koja utječe na financijske interese Unije u vezi s bespovratnim sredstvima ili ugovorom koji financira ENISA.

Ne dovodeći u pitanje stavke 1., 2. i 3., sporazumi o suradnji s trećim zemljama i međunarodnim organizacijama, ugovori, sporazumi o bespovratnim sredstvima i odluke ENISA-e o bespovratnim sredstvima sadržavaju odredbe kojima se Revizorskom sudu i OLAF-u daje izričita ovlast za provođenje tih revizija i istraga u skladu s njihovim nadležnostima.

POGLAVLJE V.

Osoblje

Članak 34.

Opće odredbe

Na osoblje ENISE-e primjenjuju se Pravilnik o osoblju za dužnosnike i Uvjeti zaposlenja ostalih službenika te pravila koja su na temelju zajedničkog dogovora donijele institucije Unije radi primjene Pravilnika o osoblju za dužnosnike i Uvjeta zaposlenja ostalih službenika.

Članak 35.

Povlastice i imuniteti

Na ENISA-u i njezino osoblje primjenjuje se Protokol br. 7 o povlasticama i imunitetima Europske unije, koji je priložen UEU-u i UFEU-u.

Članak 36.

Izvršni direktor

Izvršni direktor zapošljava se kao privremeni djelatnik ENISA-e u skladu s člankom 2. točkom (a) Uvjeta zaposlenja ostalih službenika.

Izvršnog direktora imenuje Upravljački odbor nakon otvorenog i transparentnog postupka odabira s popisa kandidata koje je predložila Komisija.

Za potrebe sklapanja ugovora o radu s izvršnim direktorom ENISA-u zastupa predsjednik Upravljačkog odbora.

Kandidat kojeg je odabrao Upravljački odbor poziva se prije imenovanja da pred relevantnim odborom Europskog parlamenta da izjavu i odgovori na pitanja njegovih članova.

Mandat izvršnoga direktora traje pet godina. Do kraja tog razdoblja Komisija provodi procjenu uspješnosti izvršnog direktora te budućih izazova i zadaća ENISA-e.

Upravljački odbor donosi odluku o imenovanju, produljenju mandata ili razrješenju dužnosti izvršnoga direktora u skladu s člankom 18. stavkom 2.

Upravljački odbor, na prijedlog Komisije kojim se uzima u obzir procjena iz stavka 5., može jedanput produljiti mandat izvršnoga direktora za razdoblje od pet godina.

Upravljački odbor obavješćuje Europski parlament o svojoj namjeri da produlji mandat izvršnoga direktora. U roku od tri mjeseca prije takvog produljenja izvršni direktor, ako ga se na to pozove, daje izjavu pred relevantnim odborom Europskog parlamenta i odgovara na pitanja njegovih članova.

Izvršni direktor čiji je mandat produljen ne smije sudjelovati u još jednom postupku odabira za isto radno mjesto.

10.

Izvršni direktor može biti razriješen dužnosti samo na temelju odluke Upravljačkog odbora, koji djeluje na prijedlog Komisije.

Članak 37.

Upućeni nacionalni stručnjaci i ostalo osoblje

ENISA može angažirati upućene nacionalne stručnjake ili drugo osoblje koje nije zaposleno u ENISA-i. Na to se osoblje ne primjenjuju Pravilnik o osoblju za dužnosnike i Uvjeti zaposlenja ostalih službenika.

Upravljački odbor donosi odluku o utvrđivanju pravila za upućivanje nacionalnih stručnjaka u ENISA-u.

POGLAVLJE VI.

Opće odredbe o ENISA-i

Članak 38.

Pravni status ENISA-e

ENISA je tijelo Unije i ima pravnu osobnost.

ENISA u svakoj državi članici ima najširu pravnu sposobnost koja se pravnim osobama priznaje nacionalnim pravom. ENISA konkretno može stjecati ili otuđivati pokretnu i nepokretnu imovinu te biti stranka u sudskom postupku.

ENISA-u zastupa izvršni direktor.

Članak 39.

Odgovornost ENISA-e

Ugovorna odgovornost ENISA-e uređena je pravom koje se primjenjuje na dotični ugovor.

Sud Europske unije nadležan je za donošenje presuda na temelju bilo koje odredbe o arbitraži sadržane u ugovoru koji je sklopila ENISA.

U slučaju izvanugovorne odgovornosti ENISA je dužna nadoknaditi svaku štetu koju ENISA ili njezini službenici prouzroče pri obavljanju svojih dužnosti, u skladu s općim načelima koja su zajednička zakonodavstvima država članica.

Sud Europske unije nadležan je za sve sporove o naknadi štete iz stavka 3.

Osobna odgovornost službenika prema ENISA-i podliježe odgovarajućim uvjetima koji se primjenjuju na osoblje ENISA-e.

Članak 40.

Pravila o jezicima

Uredba Vijeća br. 1 ( 10 ) primjenjuje se na ENISA-u. Države članice i druga tijela koja su imenovale države članice mogu se obratiti ENISA-i i dobiti odgovor na službenom jeziku institucija Unije po svom izboru.

Prevoditeljske usluge potrebne za funkcioniranje ENISA-e pruža Prevoditeljski centar za tijela Europske unije.

Članak 41.

Zaštita osobnih podataka

ENISA obrađuje osobne podatke u skladu s Uredbom (EU) 2018/1725.

Upravljački odbor donosi provedbena pravila iz članka 45. stavka 3. Uredbe (EU) 2018/1725. Upravljački odbor može donijeti dodatne mjere koje su potrebne kako bi ENISA primjenjivala Uredbu (EU) 2018/1725.

Članak 42.

Suradnja s trećim zemljama i međunarodnim organizacijama

U mjeri u kojoj je to nužno za ostvarivanje ciljeva utvrđenih u ovoj Uredbi, ENISA može surađivati s nadležnim tijelima trećih zemalja ili s međunarodnim organizacijama ili i s jedinima i s drugima. U tu svrhu ENISA može, uz prethodno odobrenje Komisije, utvrditi radne aranžmane s tijelima trećih zemalja i međunarodnim organizacijama. Tim se radnim aranžmanima ne stvaraju pravne obveze za Uniju i njezine države članice.

ENISA je otvorena za sudjelovanje trećih zemalja koje su u tu svrhu s Unijom sklopile sporazume. U skladu s relevantnim odredbama tih sporazuma utvrđuju se radni aranžmani kojima se posebno određuju priroda, opseg i način sudjelovanja tih trećih zemalja u radu ENISA-e te oni uključuju odredbe koje se odnose na sudjelovanje u inicijativama koje poduzima ENISA, na financijske doprinose i na osoblje. U pogledu pitanja koja se odnose na osoblje, ti radni aranžmani u svakom slučaju moraju biti u skladu s Pravilnikom o osoblju za dužnosnike i Uvjetima zaposlenja ostalih službenika.

Upravljački odbor donosi strategiju za odnose s trećim zemljama i međunarodnim organizacijama u pogledu pitanja za koja je ENISA nadležna. Komisija osigurava da ENISA djeluje u okviru svojeg mandata i postojećeg institucijskog okvira sklapanjem odgovarajućih radnih aranžmana s izvršnim direktorom ENISA-e.

Članak 43.

Sigurnosna pravila za zaštitu osjetljivih neklasificiranih podataka i klasificiranih podataka

ENISA nakon savjetovanja s Komisijom donosi sigurnosna pravila primjenjujući sigurnosna načela iz sigurnosnih pravila Komisije za zaštitu osjetljivih neklasificiranih podataka i klasificiranih podataka Europske unije, kako je utvrđeno u odlukama (EU, Euratom) 2015/443 i 2015/444. Sigurnosna pravila ENISA-e uključuju i odredbe o razmjeni, obradi i pohrani takvih podataka.

Članak 44.

Sporazum o sjedištu i uvjeti rada

Potrebni dogovori o smještaju ENISA-e u državi članici domaćinu i objektima koje ta država članica daje na raspolaganje, zajedno s posebnim pravilima koja se u državi članici domaćinu primjenjuju na izvršnog direktora, članove Upravljačkog odbora, osoblje ENISA-e i članove njihovih obitelji, utvrđuju se sporazumom o sjedištu između ENISA-e i države članice domaćina, koji se sklapa nakon dobivanja odobrenja Upravljačkog odbora.

Država članica domaćin ENISA-e osigurava najbolje moguće uvjete za osiguravanje pravilnog funkcioniranja ENISA-e, vodeći računa o dostupnosti lokacije, postojanju odgovarajućih obrazovnih objekata za djecu članova osoblja, odgovarajućem pristupu tržištu rada, socijalnoj sigurnosti i zdravstvenoj zaštiti za djecu i supružnike članova osoblja.

Članak 45.

Upravna kontrola

Rad ENISA-e nadzire Europski ombudsman u skladu s člankom 228. UFEU-a.

GLAVA III.

OKVIR ZA KIBERSIGURNOSNU CERTIFIKACIJU

▼M1

Članak 46

Europski okvir za kibersigurnosnu certifikaciju

Europski okvir za kibersigurnosnu certifikaciju uspostavlja se kako bi se poboljšali uvjeti za funkcioniranje unutarnjeg tržišta povećanjem razine kibersigurnosti u Uniji i omogućavanjem usklađenog pristupa na razini Unije za europske programe kibersigurnosne certifikacije s ciljem stvaranja jedinstvenog digitalnog tržišta IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga.

Europskim okvirom za kibersigurnosnu certifikaciju pruža se mehanizam za uspostavu europskih programa kibersigurnosne certifikacije i potvrđivanje toga da IKT proizvodi, IKT usluge i IKT procesi koji su evaluirani u skladu s takvim programima ispunjavaju utvrđene sigurnosne zahtjeve za potrebe zaštite dostupnosti, izvornosti, cjelovitosti i povjerljivosti pohranjenih, poslanih ili obrađenih podataka ili funkcija ili usluga koje se nude s pomoću tih proizvoda, usluga i procesa ili kojima se s pomoću njih može pristupiti tijekom njihova cijelog životnog ciklusa. Uz to, njime se potvrđuje da upravljane sigurnosne usluge koje su evaluirane u skladu s takvim programima ispunjavaju utvrđene sigurnosne zahtjeve za potrebe zaštite dostupnosti, izvornosti, cjelovitosti i povjerljivosti podataka kojima se pristupa ili koji se obrađuju, pohranjuju ili prenose u vezi s pružanjem tih usluga te se potvrđuje da te usluge na potrebnoj razini kompetentnosti, stručnosti i iskustva kontinuirano pruža osoblje s dostatnom i odgovarajućom razinom relevantnog tehničkog znanja i profesionalnog integriteta.

▼B

Članak 47.

Kontinuirani program rada Unije za europsku kibersigurnosnu certifikaciju

Komisija objavljuje kontinuirani program rada Unije za europsku kibersigurnosnu certifikaciju („kontinuirani program rada Unije”), kojim se utvrđuju strateški prioriteti za buduće europske programe kibersigurnosne certifikacije.

▼M1

Kontinuirani program rada Unije osobito uključuje popis IKT proizvoda, IKT usluga i IKT procesa ili njihovih kategorija, te upravljanih sigurnosnih usluga, koji mogu imati koristi od uključivanja u područje primjene europskog programa kibersigurnosne certifikacije.

Uključivanje kontinuiranog programa rada Unije određenih IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga, ili njihovih kategorija u opravdano je na temelju jednog ili više od sljedećih razloga:

(a)

dostupnosti i razvoja nacionalnih programa kibersigurnosne certifikacije koji obuhvaćaju određene kategorije IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga, a posebno u pogledu rizika od fragmentacije;

▼B

(b)

relevantno pravo ili politike Unije ili država članica;

(c)

tržišne potražnje;

▼M1

(ca)

tehnološkog razvoja te dostupnosti i razvoja međunarodnih programa kibersigurnosne certifikacije te međunarodnih normi i normi koje upotrebljava industrija;

▼B

(d)

razvoja kiberprijetnji;

(e)

zahtjeva za pripremu posebnog prijedloga programa certifikacije koji je predložio ECCG.

Komisija uzima u obzir mišljenja ECCG-a i Interesne skupine za certifikaciju o nacrtu kontinuiranog programa rada Unije.

Prvi kontinuirani program rada Unije objavljuje se do 28. lipnja 2020. Kontinuirani program rada Unije ažurira se najmanje svake tri godine, a po potrebi i češće.

Članak 48.

Zahtjev za europski program kibersigurnosne certifikacije

Komisija može zatražiti od ENISA-e da izradi prijedlog programa certifikacije ili da preispita postojeći program na temelju kontinuiranog programa rada Unije.

U propisno opravdanim slučajevima Komisija ili ECCG mogu zatražiti od ENISA-e da pripremi prijedlog programa certifikacije ili da preispita postojeći europski program programa kibersigurnosne certifikacije koji nije uključen u kontinuirani program rada Unije. Kontinuirani program rada Unije ažurirat će se u skladu s time.

Članak 49.

Izrada, donošenje i preispitivanje europskih programa kibersigurnosne certifikacije

▼M1

Na temelju zahtjeva Komisije u skladu s člankom 48., ENISA izrađuje prijedlog programa certifikacije koji je u skladu sa primjenjivim zahtjevima iz članaka 51., 51.a, 52. i 54.

Na temelju zahtjeva ECCG-a u skladu s člankom 48. stavkom 2., ENISA može izraditi prijedlog programa certifikacije koji je u skladu s primjenjivim zahtjevima iz članaka 51., 51.a, 52. i 54. Ako ENISA odbije takav zahtjev, dužna je dati obrazloženje. Svaku odluku o odbijanju takva zahtjeva donosi Upravljački odbor.

Pri izradi prijedloga programa certifikacije ENISA se pravodobno savjetuje sa svim relevantnim dionicima putem formalnih, otvorenih, transparentnih i uključivih postupaka savjetovanja. Pri prosljeđivanju prijedloga programa certifikacije Komisiji, u skladu sa stavkom 6., ENISA dostavlja informacije o tome kako je postupila u skladu s ovim stavkom.

Za svaki prijedlog programa certifikacije ENISA uspostavlja ad hoc radnu skupinu u skladu s člankom 20. stavkom 4. radi pružanja posebnih savjeta i stručnog znanja ENISA-i. Te ad hoc radne skupine, prema potrebi i ne dovodeći u pitanje postupke i diskrecijsko pravo iz članka 20. stavka 4., uključuju stručnjake iz javnih uprava država članica, institucija, tijela, ureda i agencija Unije te privatnog sektora.

▼B

ENISA blisko surađuje s ECCG-om. ECCG pruža ENISA-i pomoć i stručne savjete u vezi s izradom prijedloga programa certifikacije i donosi mišljenje o prijedlogu programa certifikacije.

ENISA u najvećoj mogućoj mjeri uzima u obzir mišljenje ECCG-a prije nego što Komisiji podnese prijedlog programa izrađen u skladu sa stavcima 3., 4. i 5. Mišljenje ECCG-a nije obvezujuće za ENISA-u niti njegov izostanak sprečava ENISA-u da proslijedi prijedlog programa certifikacije Komisiji.

▼M1

Komisija, na temelju prijedloga programa certifikacije koji je izradila ENISA, može donositi provedbene akte kojima se predviđaju europski programi kibersigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge koji ispunjavaju zahtjeve određene u člancima 51., 51.a, 52. i 54. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 66. stavka 2.

▼B

ENISA najmanje svakih pet godina evaluira svaki doneseni europski program kibersigurnosne certifikacije, uzimajući u obzir povratne informacije primljene od zainteresiranih strana. Prema potrebi, Komisija ili ECCG mogu od ENISA-e zatražiti da pokrene postupak izrade revidiranog prijedloga programa certifikacije u skladu s člankom 48. i ovim člankom.

▼M1

Članak 49.a

Informacije i savjetovanje o europskim programima kibersigurnosne certifikacije

Komisija objavljuje informacije o svojem zahtjevu ENISA-i da izradi prijedlog programa certifikacije ili da preispita postojeći europski program kibersigurnosne certifikacije iz članka 48.

Tijekom izrade prijedloga programa certifikacije koji provodi ENISA na temelju članka 49. Europski parlament, Vijeće, ili oboje mogu zatražiti od Komisije u svojstvu predsjednika ECCG-a i ENISA-e da svaka tri mjeseca dostave relevantne informacije o nacrtu prijedloga programa certifikacije. Na zahtjev Europskog parlamenta ili Vijeća, ENISA može, u dogovoru s Komisijom i ne dovodeći u pitanje članak 27., staviti na raspolaganje Europskom parlamentu i Vijeću relevantne dijelove nacrta prijedloga programa certifikacije na način primjeren potrebnoj razini povjerljivosti i, prema potrebi, na ograničen način.

Kako bi se poboljšao dijalog među institucijama Unije i doprinijelo formalnom, otvorenom, transparentnom i uključivom postupku savjetovanja, Europski parlament, Vijeće, ili oboje, mogu pozvati Komisiju i ENISA-u da rasprave o pitanjima u vezi s funkcioniranjem europskih programa kibersigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge.

Komisija prema potrebi uzima u obzir elemente koji proizlaze iz stajališta Europskog parlamenta i iz stajališta Vijeća o pitanjima iz stavka 3. ovog članka pri evaluaciji ove Uredbe na temelju članka 67.

▼B

Članak 50.

Internetske stranice o europskim programima kibersigurnosne certifikacije

ENISA održava posebne internetske stranice na kojima se pružaju informacije i daje vidljivost europskim programima kibersigurnosne certifikacije, europskim kibersigurnosnim certifikatima i EU izjavama o sukladnosti, uključujući informacije u pogledu programa kibersigurnosne certifikacije koji više nisu važeći, u pogledu povučenih i isteklih europskih kibersigurnosnih certifikata i EU izjava o sukladnosti te u pogledu repozitorija poveznica na informacije o kibersigurnosti koje se pružaju u skladu s člankom 55.

Kada je to primjenjivo, na internetskim stranicama iz stavka 1. navode se i oni nacionalni programi kibersigurnosne certifikacije koji su zamijenjeni europskim programom kibersigurnosne certifikacije.

Članak 51.

▼M1

Sigurnosni ciljevi europskih programa kibersigurnosne certifikacije za IKT proizvode, IKT usluge i IKT procese

Europski program kibersigurnosne certifikacije za IKT proizvode, IKT usluge ili IKT procese mora se oblikovati tako da se njime postignu, ovisno o slučaju, barem sljedeći sigurnosni ciljevi:

▼B

(a)

zaštita pohranjenih, poslanih ili na drugačiji način obrađenih podataka od slučajnog ili neovlaštenog pohranjivanja, obrade, pristupa ili objave tijekom cijelog životnog ciklusa IKT proizvoda, IKT usluge ili IKT procesa;

(b)

zaštita pohranjenih, poslanih ili na drugačiji način obrađenih podataka od slučajnog ili neovlaštenog uništavanja, gubitka ili izmjene ili nedostatka dostupnosti tijekom cijelog životnog ciklusa IKT proizvoda, IKT usluge ili IKT procesa;

(c)

da ovlaštene osobe, programi ili strojevi mogu pristupiti isključivo podacima, uslugama ili funkcijama na koje se odnose njihova prava pristupa;

(d)

utvrđivanje i dokumentacija poznatih ovisnosti i ranjivosti;

(e)

evidentiranje kojim se podacima, uslugama ili funkcijama pristupilo i koji su podaci, usluge ili funkcije upotrijebljeni ili na drugi način obrađeni, kada i tko je to učinio;

(f)

da je moguće provjeriti kojim se podacima, uslugama ili funkcijama pristupilo i koji su podaci, usluge ili funkcije upotrijebljeni ili na drugi način obrađeni, kada i tko je to učinio;

(g)

provjera toga da IKT proizvodi, IKT usluge i IKT procesi ne sadrže poznate ranjivosti;

(h)

pravodobno osiguravanje ponovne dostupnosti podataka i pristup podacima, uslugama i funkcijama u slučaju fizičkog ili tehničkog incidenta;

(i)

da su IKT proizvodi, IKT usluge i IKT procesi zadanim postavkama i dizajnom sigurni;

(j)

da IKT proizvodi, IKT usluge i IKT procesi imaju osiguran ažuriran softver i hardver koji ne sadrže javno poznate ranjivosti te imaju osigurane mehanizme za sigurno ažuriranje.

▼M1

Članak 51.a

Sigurnosni ciljevi europskih programa kibersigurnosne certifikacije za upravljane sigurnosne usluge

Europski program kibersigurnosne certifikacije za upravljane sigurnosne usluge mora se oblikovati tako da se njime postignu, ovisno o slučaju, barem sljedeći sigurnosni ciljevi:

(a)

da se upravljane sigurnosne usluge pružaju na potrebnoj razini kompetentnosti, stručnosti i iskustva, među ostalim da osoblje zaduženo za pružanje tih usluga ima dostatnu i odgovarajuću razinu tehničkog znanja i stručnosti u tom području, dostatno i primjereno iskustvo te najviši stupanj profesionalnog integriteta;

(b)

da pružatelj ima uspostavljene primjerene interne postupke kojima jamči da se upravljane sigurnosne usluge u svakom trenutku pružaju na dostatnoj i odgovarajućoj razini kvalitete;

(c)

da se zaštite podaci kojima se pristupa ili koji se pohranjuju, šalju ili na drugi način obrađuju u vezi s pružanjem upravljanih sigurnosnih usluga od slučajnog ili neovlaštenog pristupa, pohranjivanja, objave, uništavanja, druge obrade, gubitka, izmjene ili nedostatka dostupnosti;

(d)

da podaci, usluge i funkcije te pristup podacima, uslugama i funkcijama pravodobno budu ponovno dostupni u slučaju fizičkog ili tehničkog incidenta;

(e)

da ovlaštene osobe, programi ili strojevi mogu pristupati isključivo podacima, uslugama ili funkcijama na koje se odnose njihova prava pristupa;

(f)

da se vodi evidencija podataka, usluga ili funkcija kojima se pristupilo, koje su se koristile ili na drugi način obrađivale, u koje vrijeme i od strane koga, te da je dostupna za procjenu;

(g)

da su IKT proizvodi, IKT usluge i IKT procesi koji se koriste za pružanje upravljanih sigurnosnih usluga sigurni dizajnom i po zadanim postavkama i da, prema potrebi, imaju najnovija sigurnosna ažuriranja te da ne sadrže poznate ranjivosti.

▼B

Članak 52.

Jamstvene razine europskih programa kibersigurnosne certifikacije

▼M1

Europskim programom kibersigurnosne certifikacije može se za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge utvrditi jedna od sljedećih jamstvenih razina ili više njih: „osnovna”, „znatna” ili „visoka”. Jamstvena razina razmjerna je razini rizika povezanog s predviđenom uporabom IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge, u smislu vjerojatnosti i učinka incidenta.

▼B

U europskim kibersigurnosnim certifikatima i EU izjavama o sukladnosti navodi se jamstvena razina određena u europskom programu kibersigurnosne certifikacije u okviru kojeg je izdan Europski kibersigurnosni certifikat lii EU izjava o sukladnosti.

▼M1

Sigurnosni zahtjevi koji odgovaraju svakoj jamstvenoj razini moraju biti predviđeni u relevantnom europskom programu kibersigurnosne certifikacije uključujući odgovarajuće sigurnosne funkcionalnosti i odgovarajuću razinu strogoće i opsežnosti evaluacije kojoj IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga moraju biti podvrgnuti.

▼B

Certifikat ili EU izjava o sukladnosti mora upućivati na odgovarajuće, s njime povezane, tehničke specifikacije, norme i procedure, uključujući tehničke kontrole, čija je svrha smanjiti rizik od kibersigurnosnih incidenata ili ih spriječiti.

▼M1

Europskim kibersigurnosnim certifikatom ili EU izjavom o sukladnosti koji se odnose na „osnovnu” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge za koje su taj certifikat ili ta EU izjava o sukladnosti izdani ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih osnovnih rizika za incidente i kibernapade. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem preispitivanje tehničke dokumentacije. Ako takvo preispitivanje nije odgovarajuće, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

Europskim kibersigurnosnim certifikatom koji se odnosi na „znatnu” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih kibersigurnosnih rizika te rizika od incidenata i kibernapada koje provode subjekti ograničenih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti i testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge na ispravan način primjenjuju potrebne sigurnosne funkcionalnosti. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

Europskim kibersigurnosnim certifikatom koji se odnosi na „visoku” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi i upravljane sigurnosne usluge za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru rizika od najsuvremenijih kibernapada koje provode subjekti znatnih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti; testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge na ispravan način i na najsuvremenijoj razini primjenjuju potrebne sigurnosne funkcionalnosti; procjenu njihove otpornosti na napad vještih napadača, za koju se koristi penetracijsko testiranje. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti s istovjetnim učinkom.

▼B

U okviru europskog programa kibersigurnosne certifikacije može se utvrditi nekoliko razina evaluacije ovisno o strogoći i opsežnosti upotrijebljene metodologije evaluacije. Svaka od razina evaluacije odgovara jednoj od jamstvenih razina i definira se odgovarajućom kombinacijom sastavnica jamstva.

Članak 53.

Samoocjenjivanje sukladnosti

▼M1

Europskim programom kibersigurnosne certifikacije može se omogućiti da se samoocjenjivanje sukladnosti provodi pod isključivom odgovornošću proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga. Samoocjenjivanje sukladnosti primjenjuje se samo na IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge koji predstavljaju niski rizik koji odgovara „osnovnoj” jamstvenoj razini.

Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga može izdati EU izjavu o sukladnosti u kojoj se navodi da je dokazano ispunjenje zahtjeva utvrđenih u programu. Izdavanjem takve izjave proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga preuzima odgovornost za sukladnost IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge sa zahtjevima utvrđenima u tom programu.

Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga EU izjavu o sukladnosti, tehničku dokumentaciju i sve druge relevantne informacije o sukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga s programom stavlja na raspolaganje nacionalnom tijelu za kibersigurnosnu certifikaciju imenovano na temelju članka 58. za razdoblje utvrđeno u odgovarajućem europskom programu kibersigurnosne certifikacije. Preslika EU izjave o sukladnosti podnosi se nacionalnom tijelu za kibersigurnosnu certifikaciju i ENISA-i.

▼B

Izdavanje EU izjave o sukladnosti dobrovoljno je, osim ako nije drukčije navedeno u pravu Unije ili u pravu država članica.

EU izjave o sukladnosti izdane u skladu s ovim člankom priznaju se u svim državama članicama.

Članak 54.

Elementi europskih programa kibersigurnosne certifikacije

Europski program kibersigurnosne certifikacije uključuje barem sljedeće elemente:

▼M1

(a)

predmet i opseg programa certifikacije, uključujući vrstu ili kategorije obuhvaćenih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga;

▼B

(b)

jasan opis svrhe programa i način na koji odabrane norme, metode evaluacije i jamstvene razine odgovaraju potrebama predviđenih korisnika programa;

(c)

upućivanje na međunarodne, europske ili nacionalne norme koje se primjenjuju pri evaluaciji ili, ako te norme nisu dostupne ili odgovarajuće, upućivanje na tehničke specifikacije koje ispunjavaju zahtjeve određene u Prilogu II. Uredbi (EU) br. 1025/2012 ili, ako te specifikacije nisu dostupne, na tehničke specifikacije ili druge kibersigurnosne zahtjeve definirane u europskom programm kibersigurnosne certifikacije;

(d)

jednu ili više jamstvenih razina, ako je primjenjivo;

(e)

naznaku o tome je li samoocjenjivanje sukladnosti dopušteno u okviru programa;

(f)

ako je primjenjivo, posebne ili dodatne zahtjeve kojima podliježu tijela za ocjenjivanje sukladnosti s ciljem jamčenja njihove tehničke stručnosti za evaluaciju kibersigurnosnih zahtjeva;

▼M1

(g)

posebne kriterije i metode evaluacije, uključujući vrste evaluacije, koje treba upotrijebiti za dokazivanje da su ostvareni primjenjivi sigurnosni ciljevi iz članaka 51. i 51.a;

▼B

(h)

ako je primjenjivo, informacije koje su potrebne za certifikaciju i koje podnositelj zahtjeva treba dostaviti ili na drugi način staviti na raspolaganje tijelima za ocjenjivanje sukladnosti;

(i)

ako su programom predviđeni oznake ili znakovi, uvjete pod kojim se te oznake ili znakovi mogu upotrebljavati;

▼M1

(j)

pravila za praćenje sukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga sa zahtjevima europskih kibersigurnosnih certifikata ili EU izjava o sukladnosti, uključujući mehanizme za dokazivanje trajne sukladnosti s navedenim kibersigurnosnim zahtjevima;

▼B

(k)

ako je primjenjivo, uvjete za izdavanje, održavanje, nastavak i obnavljanje europskih kibersigurnosnih certifikata, kao i uvjete za proširenje ili smanjenje opsega certifikacije;

▼M1

(l)

pravila u vezi s posljedicama nesukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koji su certificirani ili za koje je izdana EU izjava o sukladnosti, ali koji ne ispunjavaju zahtjeve programa;

▼B

(m)

pravila o tome kako prijaviti prethodno neotkrivene kibersigurnosne ranjivosti IKT proizvoda, IKT usluga i IKT procesa i postupiti u slučaju njihova otkrivanja;

(n)

ako je primjenjivo, pravila o čuvanju evidencije tijelâ za ocjenjivanje sukladnosti;

▼M1

(o)

utvrđivanje nacionalnih ili međunarodnih programa kibersigurnosne certifikacije koji obuhvaćaju iste vrste ili kategorije IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga, sigurnosne zahtjeve, kriterije i metode evaluacije te jamstvene razine;

▼B

(p)

sadržaj i format europskih kibersigurnosnih certifikata i EU izjava o sukladnosti koje treba izdati;

▼M1

(q)

razdoblje u kojem proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga treba staviti na raspolaganje EU izjavu o sukladnosti, tehničku dokumentaciju i sve relevantne informacije;

▼B

(r)

maksimalno razdoblje valjanosti europskih kibersigurnosnih certifikata koji se izdaju u okviru programa;

(s)

politiku objavljivanja za europske kibersigurnosne certifikate koji su dodijeljeni, izmijenjeni ili povučeni u okviru programa;

(t)

uvjete za uzajamno priznavanje programa certifikacije s trećim zemljama;

(u)

ako je primjenjivo, pravila koja se odnose na mehanizam istorazinske ocjene utvrđen u programu za tijela koja izdaju europske kibersigurnosne certifikate za visoku jamstvenu razinu na temelju članka 56. stavka 6. Takvim se mehanizmom ne dovodi u pitanje istorazinsko ocjenjivanje iz članka 59.;

(v)

format i procedure kojih se proizvođači ili pružatelji IKT proizvoda, IKT usluga i IKT procesa moraju pridržavati pri dostavljanju i ažuriranju dodatnih informacija o kibersigurnosti u skladu s člankom 55. (EP).

Navedeni zahtjevi europskog programa kibersigurnosne certifikacije moraju biti usklađeni sa svim primjenjivim pravnim zahtjevima, posebno zahtjevima koji proizlaze iz usklađenog prava Unije.

Ako je tako predviđeno posebnim pravnim aktom Unije, certifikat ili EU izjava o sukladnosti koji se izdaje uokviru europskog programa kibersigurnosne certifikacije može se upotrijebiti za dokazivanje pretpostavke sukladnosti sa zahtjevima tog pravnog akta.

U slučaju nepostojanja usklađenog prava Unije i prava država članica može se predvidjeti da se europski program kibersigurnosne certifikacije može upotrijebiti za utvrđivanje pretpostavke sukladnosti s pravnim zahtjevima.

Članak 55.

Dodatne informacije o kibersigurnosti za certificirane IKT proizvode, IKT usluge i IKT procese

Proizvođač ili pružatelj certificiranih IKT proizvoda, IKT usluga ili IKT procesa ili IKT proizvoda, IKT usluga ili IKT procesa za koje je izdana EU izjava o sukladnosti stavlja na raspolaganje javnosti sljedeće dopunske informacije o kibersigurnosti:

(a)

smjernice i preporuke za pomoć krajnjim korisnicima pri sigurnoj konfiguraciji, instalaciji, uvođenju, upotrebi i održavanju IKT proizvoda ili IKT usluga;

(b)

razdoblje tijekom kojeg će se pružati sigurnosna potpora krajnjim korisnicima, posebno kad je riječ o dostupnosti ažuriranja povezanih s kibersigurnošću;

(c)

informacije za kontakt proizvođača ili pružatelja i prihvaćene metode za primanje informacija o ranjivostima od krajnjih korisnika i istraživača u području sigurnosti;

(d)

upućivanje na popis internetskih repozitorija s popisom javno obznanjenih ranjivosti povezanih s IKT proizvodom, IKT uslugom ili IKT procesom i na sve relevantne kibersigurnosne preporuke.

Informacije iz stavka 1. dostupne su u elektroničkom obliku te bivaju dostupne i ažuriraju se prema potrebi barem do isteka odgovarajućeg europskog kibersigurnosnog certifikata ili EU izjave o sukladnosti.

Članak 56.

Kibersigurnosna certifikacija

▼M1

Smatra se da su IKT proizvodi, IKT usluge, IKT procesi i upravljane sigurnosne usluge koji su certificirani u okviru europskog programa kibersigurnosne certifikacije donesenog u skladu s člankom 49. sukladni sa zahtjevima tog programa.

▼B

Kibersigurnosna certifikacija je dobrovoljna, osim ako je drugačije određeno pravom Unije ili pravom država članica.

►M1 Komisija redovito ocjenjuje učinkovitost i upotrebu donesenih europskih programa kibersigurnosne certifikacije te treba li određeni europski program kibersigurnosne certifikacije učiniti obveznim putem relevantnog prava Unije kako bi se osigurala odgovarajuća razina kibersigurnosti IKT proizvoda, IKT usluga, IKT procesa i, od 4. veljače 2025., upravljanih sigurnosnih usluga u Uniji i poboljšalo funkcioniranje unutarnjeg tržišta. Prva takva ocjena provodi se do 31. prosinca 2023., a daljnje ocjene provode se najmanje svake dvije godine nakon toga. Komisija na temelju rezultata tog ocjenjivanja određuje IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge obuhvaćene postojećim programom certifikacije koji trebaju biti obuhvaćeni obveznim programom certifikacije. ◄

Komisija se u prvom redu usredotočuje na sektore navedene u Prilogu II. Direktivi (EU) 2016/1148, koji se ocjenjuju najkasnije dvije godine nakon donošenja prvog europskog programa kibersigurnosne certifikacije.

Prilikom pripreme ocjenjivanja Komisija:

▼M1

(a)

uzima u obzir utjecaj mjera na proizvođače ili pružatelje takvih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga te na korisnike u smislu troška tih mjera, kao i društvenih ili gospodarskih koristi koje proizlaze iz očekivane poboljšane razine sigurnosti ciljanih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga;

▼B

(b)

uzima u obzir postojanje i provedbu relevantnog prava u državama članicama i trećim zemljama;

(c)

provodi otvoren, transparentan i uključiv postupak savjetovanja sa svim relevantnim dionicima i državama članicama;

▼M1

(d)

uzima u obzir sve rokove za provedbu, prijelazne mjere i razdoblja, posebno vodeći računa o mogućem učinku mjere na proizvođače ili pružatelje IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga, uključujući posebne interese i potrebe MSP-ova, uključujući mikropoduzeća;

▼B

(e)

predlaže najbrži i najučinkovitiji način provedbe prelaska s dobrovoljnih programa certifikacije na one obvezne.

Tijela za ocjenjivanje sukladnosti iz članka 60. europski kibersigurnosni certifikat koji se odnosi na osnovnu ili znatnu jamstvenu razinu izdaju u skladu s ovim člankom na temelju kriterija uključenih u europski program kibersigurnosne certifikacije koji je Komisija donijela u skladu s člankom 49.

Odstupajući od stavka 4., u propisno opravdanim slučajevima u europskom programu kibersigurnosne certifikacije može se predvidjeti da europske kibersigurnosne certifikate koji proizlaze iz tog programa može izdati samo javno tijelo. To tijelo može biti:

(a)

nacionalno tijelo za kibersigurnosnu certifikaciju iz članka 58. stavka 1.; ili

(b)

javno tijelo koje je akreditirano kao tijelo za ocjenjivanje sukladnosti u skladu s člankom 60. stavkom 1..

Kada europski program kibersigurnosne certifikacije donesen na temelju članka 49. zahtijeva visoku jamstvenu razinu, europski kibersigurnosni certifikat može izdati samo nacionalno tijelo za kibersigurnosnu certifikaciju ili, u sljedećim slučajevima, tijelo za ocjenjivanje sukladnosti:

(a)

uz prethodno odobrenje nacionalnog tijela za kibersigurnosnu certifikaciju za svaki pojedini europski kibersigurnosni certifikat koji izdaje tijelo za ocjenjivanje sukladnosti; ili

(b)

na temelju općeg delegiranja zadaće izdavanja tih europskih kibersigurnosnih certifikata tijelu za ocjenjivanje sukladnosti od strane nacionalnog tijela za kibersigurnosnu certifikaciju.

▼M1

Fizička ili pravna osoba koja podnosi IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge na certifikaciju stavlja na raspolaganje sve informacije nužne za provođenje certifikacije nacionalnom tijelu za kibersigurnosnu certifikaciju imenovanom na temelju članka 58., ako je to tijelo ono koje izdaje europski kibersigurnosni certifikat, ili tijelu za ocjenjivanje sukladnosti iz članka 60.

Nositelj europskog kibersigurnosnog certifikata obavješćuje tijelo iz stavka 7. o svim naknadno otkrivenim ranjivostima ili nepravilnostima koje se odnose na sigurnost certificiranog IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge i koje bi mogle imati učinak na njegovu usklađenost sa zahtjevima u vezi s certifikacijom. To tijelo bez nepotrebne odgode prosljeđuje te informacije dotičnom nacionalnom tijelu za kibersigurnosnu certifikaciju.

▼B

Europski kibersigurnosni certifikati izdaju se na razdoblje predviđeno europskim programom kibersigurnosne certifikacije te se mogu obnoviti pod uvjetom da su i dalje ispunjeni relevantni zahtjevi.

10.

Europski kibersigurnosni certifikat izdan u skladu s ovim člankom priznaje se u svim državama članicama.

Članak 57.

Nacionalni programi kibersigurnosne certifikacije i certifikati

▼M1

Ne dovodeći u pitanje stavak 3. ovog članka, nacionalni programi kibersigurnosne certifikacije i povezani postupci za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge koji su obuhvaćeni europskim programom kibersigurnosne certifikacije prestaju proizvoditi učinke od datuma utvrđenog u provedbenom aktu donesenom u skladu s člankom 49. stavkom 7. Nacionalni programi kibersigurnosne certifikacije i povezani postupci za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge koji nisu obuhvaćeni europskim programom kibersigurnosne certifikacije i dalje postoje.

Države članice ne uvode nove nacionalne programe kibersigurnosne certifikacije IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga koji su već obuhvaćeni europskim programom kibersigurnosne certifikacije koji je na snazi.

▼B

Postojeći certifikati koji su bili izdani u okviru nacionalnih programa kibersigurnosne certifikacije, a obuhvaćeni su europskim programom kibersigurnosne certifikacije ostaju na snazi do svojeg datuma isteka.

S ciljem izbjegavanja fragmentacije unutarnjeg tržišta države članice obavješćuju Komisiju i ECCG o svakoj namjeri izrade novih nacionalnih programa kibersigurnosne certifikacije.

Članak 58.

Nacionalna tijela za kibersigurnosnu certifikaciju

Svaka država članica imenuje jedno ili više nacionalnih tijela za kibersigurnosnu certifikaciju na svojem državnom području ili, uz pristanak druge države članice, određuje da jedno ili više nacionalnih tijela za kibersigurnosnu certifikaciju s poslovnim nastanom u toj drugoj državi članici bude odgovorno za zadaće nadzora u državi članici koja ga imenuje.

Svaka država članica obavješćuje Komisiju o imenovanim nacionalnim tijelima za kibersigurnosnu certifikaciju. Ako država članica imenuje više od jednog tijela, također obavješćuje Komisiju o zadaćama koje su dodijeljene svakome od tih tijela.

Ne dovodeći u pitanje Članak 56. stavak 5. točku (a) i Članak 56. stavak 6., svako nacionalno tijelo za kibersigurnosnu certifikaciju neovisno je od subjekata koje nadzire u pogledu svojeg ustrojstva, odluka o financiranju, pravne strukture i odlučivanja.

Države članice osiguravaju da aktivnosti nacionalnih tijela za kibersigurnosnu certifikaciju koje se odnose na izdavanje europskih kibersigurnosnih certifikata iz s članka 56. stavka 5. točke (a) i članka 56. stavka 6. budu strogo razdvojene od njihovih nadzornih aktivnosti određenih u ovom članku i da se te aktivnosti provode neovisno jedne o drugima.

Države članice osiguravaju da nacionalna tijela za kibersigurnosnu certifikaciju imaju odgovarajuće resurse za djelotvorno i učinkovito izvršavanje svojih ovlasti i provođenje svojih.

Kako bi se ova Uredba mogla djelotvorno provoditi, primjereno je da tijela za kibersigurnosnu certifikaciju bi na aktivan, djelotvoran, učinkovit i siguran način sudjeluju u ECCG-u.

Nacionalna tijela za kibersigurnosnu certifikaciju:

▼M1

(a)

nadziru i zahtijevaju ispunjavanje pravila iz europskih programa kibersigurnosne certifikacije u skladu s člankom 54. stavkom 1. točkom (j) za praćenje sukladnosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga sa zahtjevima iz europskih kibersigurnosnih certifikata izdanih na njihovim državnim područjima, u suradnji s drugim relevantnim tijelima za nadzor tržišta;

(b)

prate usklađenost i zahtijevaju ispunjavanje obveza proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koji imaju poslovni nastan na njihovim državnim područjima i koji provode samoocjenjivanje sukladnosti, te posebno prate usklađenost i zahtijevaju ispunjavanje obveza tih proizvođača ili pružatelja iz članka 53. stavaka 2. i 3. te odgovarajućeg europskog programa kibersigurnosne certifikacije;

▼B

(c)

ne dovodeći u pitanje Članak 60. stavak 3., aktivno pomažu nacionalnim akreditacijskim tijelima i podupiru ih u praćenju i nadzoru aktivnosti tijela za ocjenjivanje sukladnosti za potrebe ove Uredbe;

(d)

prate i nadziru aktivnosti javnih tijela iz članka 56. stavka 5.;

(e)

ako je primjenjivo, ovlašćuju tijela za ocjenjivanje sukladnosti u skladu s člankom 60. stavkom 3. i ograničavaju, suspendiraju ili povlače postojeće odobrenje kada tijela za ocjenjivanje sukladnosti krše zahtjeve iz ove Uredbe;

(f)

obrađuju pritužbe fizičkih ili pravnih osoba u pogledu europskih kibersigurnosnih certifikata koje su izdala nacionalna tijela za kibersigurnosnu certifikaciju ili u pogledu europskih kibersigurnosnih certifikata koje su izdala tijela za ocjenjivanje sukladnosti izdanih u skladu s člankom 56. stavkom 6. ili u pogledu EU izjava o sukladnosti izdanih na temelju članka 53. te u odgovarajućoj mjeri istražuju predmet tih pritužbi i u razumnom roku obavješćuju podnositelja pritužbe o napretku i rezultatu istrage;

(g)

ENISA-i i ECCG-u dostavljaju godišnje sažeto izvješće o provedenim aktivnostima u skladu s točkama (b), (c) i (d) ovog stavka ili sa stavkom 8.;

▼M1

(h)

surađuju s drugim nacionalnim tijelima za kibersigurnosnu certifikaciju ili s drugim javnim tijelima, među ostalim razmjenom informacija o mogućoj neusklađenosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga sa zahtjevima iz ove Uredbe ili sa zahtjevima pojedinih europskih programa kibersigurnosne certifikacije; i;

▼B

(i)

prate relevantne promjene u području kibersigurnosne certifikacije.

Svako nacionalno tijelo za kibersigurnosnu certifikaciju ima barem sljedeće ovlasti:

(a)

zatražiti od tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibersigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti da dostave sve informacije koje su mu potrebne za obavljanje njegovih zadaća;

(b)

provoditi istrage, u obliku revizija, tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibersigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti za potrebe provjere njihove usklađenosti s ovom glaveom;

(c)

poduzimati odgovarajuće mjere, u skladu s nacionalnim pravom, radi osiguranja usklađenosti tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibersigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti s ovom Uredbom ili europskim programom kibersigurnosne certifikacije;

(d)

osigurati pristup prostorijama svakog tijela za ocjenjivanje sukladnosti ili nositelja europskog kibersigurnosnog certifikata za potrebe provedbe istraga u skladu s postupovnim pravom Unije ili države članice;

(e)

povući, u skladu s nacionalnim pravom, europske kibersigurnosne certifikate koje su izdala nacionalna tijela za kibersigurnosnu certifikaciju ili europske kibersigurnosne certifikate koje su izdala tijela za ocjenjivanje sukladnosti, u skladu s člankom 56. stavkom 6. ako ti certifikati nisu u skladu s ovom Uredbom ili s europskim programom kibersigurnosne certifikacije;

(f)

izreći sankcije, kako je predviđeno člankom 65., u skladu s nacionalnim pravom i zatražiti hitan prestanak kršenja obveza koje su određene ovom Uredbom.

▼M1

Nacionalna tijela za kibersigurnosnu certifikaciju surađuju međusobno i s Komisijom, osobito razmjenom informacija, iskustava i dobre prakse u području kibersigurnosne certifikacije i tehničkih pitanja povezanih s kibersigurnošću IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga.

▼B

Članak 59.

Istorazinsko ocjenjivanje

S ciljem postizanja istovjetnih normi u cijeloj Uniji u pogledu izdanih europskih kibersigurnosnih certifikata i EU izjava o sukladnosti, nacionalna tijela za kibersigurnosnu certifikaciju podliježu istorazinskom ocjenjivanju.

Istorazinsko ocjenjivanje provodi se na temelju dobrih i jasnih kriterija i postupaka evaluacije, posebno što se tiče zahtjeva u pogledu strukture, ljudskih resursa i postupaka, povjerljivosti i pritužbi.

Istorazinsko ocjenjivanje obuhvaća procjene:

(a)

ako je primjenjivo, toga jesu li aktivnosti nacionalnih tijela za kibersigurnosnu certifikaciju koje su povezane s izdavanjem certifikata iz članka 56. stavka 5. točke (a) i članka 56. stavka 6. strogo razdvojene odnjihovih nadzornih aktivnosti određenih u članku 58. i toga provode li se te aktivnosti neovisno jedne o drugima;

▼M1

(b)

postupaka za nadzor i provedbu pravila o praćenju sukladnosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga s europskim kibersigurnosnim certifikatima na temelju članka 58. stavka 7. točke (a);

(c)

postupaka za praćenje i izvršenje obveza proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga u skladu s člankom 58. stavkom 7. točkom (b);

▼B

(d)

postupaka za praćenje, odobravanje i nadzor aktivnosti tijela za ocjenjivanje sukladnosti;

(e)

ako je primjenjivo, toga posjeduje li osoblje tijela koja izdaju certifikate za visoku jamstvenu razinu u skladu s člankom 56. stavkom 6. odgovarajuće stručno znanje.

Istorazinsko ocjenjivanje provode najmanje dva nacionalna tijela za kibersigurnosnu certifikaciju iz drugih država članica i Komisija te se ona provodi najmanje jednom svakih pet godina. ENISA može sudjelovati u istorazinskom ocjenjivanju.

Komisija može donijeti provedbene akte kojima se utvrđuje plan za istorazinsko ocjenjivanje kojim se obuhvaća razdoblje od najmanje pet godina, definiraju kriteriji za sastav tima za istorazinsko ocjenjivanje, metodologija koja se primjenjuje za istorazinsko ocjenjivanje te raspored, učestalost i druge zadaće povezane s njime. Pri donošenju tih provedbenih akata Komisija u obzir uzima mišljenja ECCG-a. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 66. stavka 2.

Rezultate istorazinskih ocjenjivanja ispituje ECCG te izrađuje sažetke koji mogu biti javno dostupni i, prema potrebi, izdaje smjernice ili preporuke o djelovanjima ili mjerama koje subjekti o kojima je riječ trebaju poduzeti.

Članak 60.

Tijela za ocjenjivanje sukladnosti

Tijela za ocjenjivanje sukladnosti moraju imati akreditaciju nacionalnih akreditacijskih tijela u skladu s Uredbom (EZ) br. 765/2008. Takva se akreditacija izdaje samo ako tijelo za ocjenjivanje sukladnosti ispunjava zahtjeve utvrđene u Prilogu ovoj Uredbi.

Ako je europski kibersigurnosni certifikat izdalo nacionalno tijelo za kibersigurnosnu certifikaciju u skladu s člankom 56. stavkom 5. točkom (a) i člankom 56. stavkom 6., tijelo za izdavanje certifikata nacionalnog tijela za kibersigurnosnu certifikaciju akreditira se kao tijelo za ocjenjivanje sukladnosti u skladu sa stavkom 1. ovog članka.

Ako su europskim programima kibersigurnosne certifikacije utvrđeni posebni ili dodatni zahtjevi u skladu s člankom 54. stavkom 1. točkom (f), za obavljanje zadaća u okviru tih programa nacionalno tijelo za kibersigurnosnu certifikaciju ovlašćuje samo tijela za ocjenjivanje sukladnosti koja ispunjavaju te zahtjeve.

Akreditacija iz stavka 1. tijelima za ocjenjivanje sukladnosti izdaje se na najviše pet godina i može se obnoviti pod istim uvjetima ako tijelo za ocjenjivanje sukladnosti i dalje ispunjava zahtjeve iz ovog članka. Nacionalna akreditacijska tijela poduzimaju sve odgovarajuće mjere u razumnom roku kako bi ograničila, suspendirala ili povukla akreditaciju tijela za ocjenjivanje sukladnosti izdanu u skladu sa stavkom 1. ako uvjeti za akreditaciju nisu ili više nisu ispunjeni ili ako tijelo za ocjenjivanje sukladnosti krši ovu Uredbu.

Članak 61.

Prijavljivanje

Za svaki europski program kibersigurnosne certifikacije nacionalna tijela za kibersigurnosnu certifikaciju Komisiji prijavljuju tijela za ocjenjivanje sukladnosti koja su akreditirana i, ako je primjenjivo, ovlaštena u skladu s člankom 60. stavkom 3. za izdavanje europskih kibersigurnosnih certifikata određene jamstvene razine iz članka 52. Nacionalna tijela za kibersigurnosnu certifikaciju bez nepotrebne odgode prijavljuju Komisiji sve naknadne promjene u vezi s tim tijelima.

Godinu dana nakon stupanja na snagu europskog programa kibersigurnosne certifikacije Komisija u Službenom listu Europske unije objavljuje popis tijela za ocjenjivanje sukladnosti prijavljenih u okviru programa.

Ako Komisija zaprimi prijavu nakon isteka razdoblja iz stavka 2., ona u Službenom listu Europske unije objavljuje izmjene popisa prijavljenih tijela za ocjenjivanje sukladnosti u roku od dva mjeseca od datuma primitka te prijave.

Nacionalno tijelo za kibersigurnosnu certifikaciju može Komisiji podnijeti zahtjev da se tijelo za ocjenjivanje sukladnosti koje je to nacionalno tijelo prijavilo ukloni s popisa iz stavka 2. Komisija objavljuje odgovarajuće izmjene tog popisa u Službenom listu Europske unije u roku od jednog mjeseca od primitka zahtjeva nacionalnog tijela za kibersigurnosnu certifikaciju.

Komisija može donijeti provedbene akte kojima utvrđuje okolnosti, formate i postupke za prijave iz stavka 1. ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 66. stavka 2.

Članak 62.

Europska skupina za kibersigurnosnu certifikaciju

Osniva se Europska skupina za kibersigurnosnu certifikaciju („ECCG”).

ECCG se sastoji od predstavnika nacionalnih tijela za kibersigurnosnu certifikaciju ili predstavnika drugih relevantnih nacionalnih tijela.Član ECCG-a ne može predstavljati više od dvije države članice.

Dionici i relevantne treće strane mogu biti pozvani da prisustvuju sastancima ECCG-a i sudjelovati u njezinu radu.

ECCG ima sljedeće zadaće:

(a)

savjetovati Komisiju i pomagati joj u radu s ciljem osiguravanja usklađene provedbe i primjene ove glave, posebno u pogledu kontinuiranog programa rada Unije, pitanja politike kibersigurnosne certifikacije, koordinacije pristupa politike i izrade europskih programa kibersigurnosne certifikacije;

(b)

pomagati ENISA-i, savjetovati je i surađivati s njome u pogledu izrade prijedloga programa certifikacije na temelju članka 49. ove Uredbe;

(c)

donijeti mišljenje o prijedlogu programa certifikacije koji je pripremila ENISA u skladu s člankom 49. ove Uredbe;

(d)

zatražiti od ENISA-e da izradi prijedlog programa certifikacije na temelju članka 48. stavka 2.;

(e)

donositi mišljenja upućena Komisiji koja se odnose na održavanje i preispitivanje postojećih europskih programa kibersigurnosne certifikacije;

(f)

analizirati relevantne promjene u području kibersigurnosne certifikacije i razmjenjivati informacije i dobru praksu o programima kibersigurnosne certifikacije;

(g)

olakšavati suradnju između nacionalnih tijela za kibersigurnosnu certifikaciju iz ove glave izgradnjom kapaciteta i razmjenom informacija, posebno uspostavom načina za učinkovitu razmjenu informacija povezanih sa svim pitanjima koja se odnose na kibersigurnosnu certifikaciju;

(h)

pružati potporu provedbi mehanizama istorazinske ocjene u skladu s pravilima utvrđenima u europskom programu kibersigurnosne certifikacije u skladu s člankom 54. stavkom 1. točkom (u);

(i)

olakšavati usklađivanje europskih programa kibersigurnosne certifikacije s međunarodno priznatim normama, uključujući preispitivanjem postojećih europskih programa kibersigurnosne certifikacije te, prema potrebi, davanjem preporuka ENISA-i u pogledu suradnje s relevantnim međunarodnim organizacijama za normizacijuradi rješavanja nedostatakaili manjkavosti u dostupnim međunarodno priznatim normama.

Uz pomoć ENISA-e Komisija predsjeda ECCG-om i osigurava mu tajništvo u skladu s člankom 8. stavkom 1. točki (e).

Članak 63.

Pravo na podnošenje pritužbe

Fizičke i pravne osobe imaju pravo podnijeti pritužbu izdavatelju europskog kibersigurnosnog certifikata ili, ako se pritužba odnosi na europski kibersigurnosni certifikat koji je izdalo tijelo za ocjenjivanje sukladnosti djelujući u skladu s člankom 56. stavkom 6., relevantnom nacionalnom tijelu za kibersigurnosnu certifikaciju.

Tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku postupka i donesenoj odluci te obavješćuje podnositelja o pravu na učinkovit pravni lijek iz članka 64.

Članak 64.

Pravo na učinkovit pravni lijek

Neovisno o bilo kakvim administrativnim ili drugim izvansudskim pravnim lijekovima, fizičke i pravne osobe imaju pravo na učinkovit pravni lijek u pogledu:

(a)

odluka koje donesu tijela iz članka 63. stavka 1., među ostalim prema potrebi u vezi s nepravilnim izdavanjem, neizdavanjem ili priznavanjem europskog kibersigurnosnog certifikata koji imaju te fizičke i pravne osobe;

(b)

propuštanja postupanja u vezi s pritužbom podnesenom tijelu iz članka 63. stavka 1.

Postupci na temelju ovog članka pokreću se pred sudovima države članice u kojoj se nalazi tijelo protiv kojeg je pravni lijek upućen.

Članak 65.

Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na povrede ove glave i povrede europskih programa kibersigurnosne certifikacije te poduzimaju sve potrebne mjere kako bi osigurale njihovo izvršenje. Predviđene kazne moraju biti učinkovite, proporcionalne i odvraćajuće. Države članice bez odgode obavješćuju Komisiju o tim pravilima i mjerama te o svim njihovim naknadnim izmjenama.

GLAVA IV.

ZAVRŠNE ODREDBE

Članak 66.

Postupak odbora

Komisiji pomaže odbor. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

Pri upućivanju na ovaj stavak primjenjuje se Članak 5. stavak 4. točka (b) Uredbe (EU) br. 182/2011.

Članak 67.

Ocjenjivanje i revizija

Do 28. lipnja 2024., a nakon toga svakih pet godina Komisija ocjenjuje učinak, djelotvornost i učinkovitost ENISA-e i njezina načina rada kao i moguću potrebu za izmjenom mandata ENISA-e te financijske posljedice takve izmjene. Ocjenjivanjem se uzimaju u obzir sve povratne informacije pružene ENISA-i kao odgovor na njezine aktivnosti. Ako Komisija smatra da daljnje postojanje ENISA-e više nije opravdano u svijetlu dodijeljenih joj ciljeva, mandata i zadaća, ona može predložiti izmjenu odredaba ove Uredbe koje se odnose na ENISA-u.

▼M1

Ocjenjivanjem se procjenjuje i učinak, djelotvornost i učinkovitost odredaba iz glave III. ove Uredbe, uključujući postupke koji dovode do donošenja europskih programa kibersigurnosne certifikacije i njihove baze dokaza, u pogledu ciljeva osiguranja prikladne razine kibersigurnosti IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga u Uniji i poboljšanja funkcioniranja unutarnjeg tržišta.

Ocjenjivanjem se procjenjuje jesu li ključni zahtjevi kibersigurnosti za pristup unutarnjem tržištu potrebni kako bi se spriječilo da IKT proizvodi, IKT usluge, IKT procesi i upravljane sigurnosne usluge koji ne ispunjavaju temeljne zahtjeve u pogledu kibersigurnosti uđu na unutarnje tržište.

▼B

Do 28. lipnja 2024. i svakih pet godina nakon toga Komisija prosljeđuje izvješće o ocjenjivanju zajedno sa svojim zaključcima Europskom parlamentu, Vijeću i Upravljačkom odboru. Nalazi tog izvješća javno se obznanjuju.

Članak 68.

Stavljanje izvan snage i sljedništvo

Uredba (EU) br. 526/2013 stavlja se izvan snage od 27. lipnja 2019.

Upućivanja na Uredbu (EU) br. 526/2013 i na ENISA-u osnovanu tom uredbom smatraju se upućivanjima na ovu Uredbu i na ENISA-u osnovanu ovom Uredbom.

ENISA osnovana ovom Uredbom pravni je sljednik ENISA-e osnovane Uredbom (EU) br. 526/2013 u pogledu cjelokupnog vlasništva, svih sporazuma, pravnih obveza, ugovora o radu, financijskih obveza i odgovornosti. Sve odluke Upravljačkog odbora i Izvršnog odbora donesene u skladu s Uredbom (EU) br. 526/2013 ostaju na snazi ako su u skladu s ovom Uredbom.

ENISA se osniva na neodređeno razdoblje počevši od 27. lipnja 2019.

Izvršni direktor imenovan u skladu s člankom 24. stavkom 4. Uredbe (EU) br. 526/2013 ostaje na dužnosti i djeluje kao izvršni direktor iz članka 20. ove Uredbe za preostalo razdoblje mandata izvršnog direktora. Ostali uvjeti njegovog ugovora ostaju neizmijenjeni.

Članovi Upravljačkog odbora i njihovi zamjenici imenovani u skladu s člankom 6. Uredbe (EU) br. 526/2013 ostaju na dužnosti i djeluju u Upravljačkom odboru u skladu s člankom 15. ove Uredbe za preostalo razdoblje svojeg mandata.

Članak 69.

Stupanje na snagu

Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Članci 58., 60., 61., 63., 64. i 65. primjenjuju se od 28. lipnja 2021.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

PRILOG

ZAHTJEVI KOJE MORAJU ISPUNITI TIJELA ZA OCJENJIVANJE SUKLADNOSTI

Tijela za ocjenjivanje sukladnosti koja žele biti akreditirana moraju ispuniti sljedeće zahtjeve:

Tijelo za ocjenjivanje sukladnosti osniva se u skladu s nacionalnim pravom i ima pravnu osobnost.

▼M1

Tijelo za ocjenjivanje sukladnosti tijelo je koje ima svojstvo treće strane neovisne o organizaciji ili IKT proizvodima, IKT uslugama, IKT procesima ili upravljanim sigurnosnim uslugama koje ocjenjuje.

Tijelo koje je dio poslovnog udruženja ili strukovnog saveza koji zastupaju poduzeća uključena u projektiranje, proizvodnju, nabavu, sastavljanje, uporabu ili održavanje IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koje ono ocjenjuje može se smatrati tijelom za ocjenjivanje sukladnosti pod uvjetom da je dokazana njegova neovisnost i nepostojanje svakog oblika sukoba interesa.

Tijela za ocjenjivanje sukladnosti, njihovo visoko rukovodstvo i osoblje zaduženo za provedbu zadaća ocjenjivanja sukladnosti ne smiju biti projektant, proizvođač, dobavljač, ugraditelj, kupac, vlasnik, korisnik ili održavatelj IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge koje ocjenjuju, ili ovlašteni zastupnik bilo koje od tih strana. Tom se zabranom ne isključuje upotreba ocijenjenih IKT proizvoda koji su potrebni za rad tijela za ocjenjivanje sukladnosti ili upotrebu takvih IKT proizvoda u osobne svrhe.

Tijela za ocjenjivanje sukladnosti, njihovo visoko rukovodstvo i osoblje zaduženo za provedbu zadaća ocjenjivanja sukladnosti ne smiju izravno sudjelovati u projektiranju, proizvodnji ili izradi, stavljanju na tržište, ugradnji, uporabi ili održavanju IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koji se ocjenjuju ni zastupati strane uključene u te djelatnosti. Tijela za ocjenjivanje sukladnosti, njihovo visoko rukovodstvo i osoblje zaduženo za provedbu zadaća ocjenjivanja sukladnosti ne smiju sudjelovati ni u kakvoj djelatnosti koja može ugroziti neovisnost njihove prosudbe ili integritet u odnosu na njihove aktivnosti ocjenjivanja sukladnosti. Ta se zabrana posebno odnosi na usluge savjetovanja.

▼B

Ako je tijelo za ocjenjivanje sukladnosti u vlasništvu javnog subjekta ili institucije ili takav subjekt ili institucija njime upravljaju, osigurava se neovisnost i nepostojanje sukoba interesa između nacionalnog tijela za kibersigurnosnu certifikaciju i tijela za ocjenjivanje sukladnosti te se dokumentira.

Tijela za ocjenjivanje sukladnosti osiguravaju da djelatnosti njihovih društava kćeri i podizvođača ne utječu na povjerljivost, objektivnost ili nepristranost njihovih aktivnosti ocjenjivanja sukladnosti.

Tijela za ocjenjivanje sukladnosti i njihovo osoblje provode aktivnosti ocjenjivanja sukladnosti na najvišem stupnju profesionalnog integriteta i potrebne tehničke stručnosti u određenom području, bez pritisaka i poticaja koji bi mogli utjecati na njihovu prosudbu ili rezultate njihovih aktivnosti ocjenjivanja sukladnosti, uključujući pritiske i poticaje financijske prirode, posebno u vezi s osobama ili skupinama osoba kojima su rezultati tih aktivnosti važni.

Tijelo za ocjenjivanje sukladnosti u stanju je obavljati sve zadaće ocjenjivanja sukladnosti koje su mu dodijeljene u skladu s ovom Uredbom, bez obzira na to obavlja li te zadaće samo ili se one obavljaju u njegovo ime i pod njegovom odgovornošću. Svako podugovaranje ili savjetovanje s vanjskim osobljem uredno se dokumentira, ne uključuje nikakve posrednike, i predmetom je pisanog sporazuma kojim su obuhvaćeni, među ostalim, povjerljivost i sukobi interesa. Dotično tijelo za ocjenjivanje sukladnosti preuzima punu odgovornost za zadaće koje obavlja.

10.

▼M1

U bilo kojem trenutku i za bilo koji postupak ocjenjivanja sukladnosti te za svaku vrstu, kategoriju ili potkategoriju IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga tijelo za ocjenjivanje sukladnosti raspolaže potrebnim:

▼B

(a)

osobljem koje posjeduje tehničko znanje te dostatno i primjereno iskustvo za obavljanje zadaća ocjenjivanja sukladnosti;

(b)

opisima postupaka u skladu s kojima se provodi ocjenjivanje sukladnosti, radi osiguranja transparentnost tih postupaka i mogućnost njihova ponavljanja. Ima i uspostavljenu primjerenu politiku i postupke za razlikovanje između zadaća koje provodi kao tijelo prijavljeno u skladu s člankom 61. i svojih drugih aktivnosti;

▼M1

(c)

postupcima za obavljanje aktivnosti kojima se vodi računa o veličini poduzeća, sektoru u kojemu ono djeluje, njegovoj strukturi, stupnju složenosti tehnologije dotičnog IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge te masovnom ili serijskom karakteru proizvodnog procesa.

▼B

11.

Tijelo za ocjenjivanje sukladnosti raspolaže potrebnim sredstvima za primjereno obavljanje tehničkih i administrativnih zadaća povezanih s aktivnostima ocjenjivanja sukladnosti te ima pristup svoj potrebnoj opremi i objektima.

12.

Osobe zadužene za aktivnosti ocjenjivanja sukladnosti imaju:

(a)

dobru tehničku i strukovnu osposobljenost za sve aktivnosti ocjenjivanja sukladnosti;

(b)

dostatno znanje o zahtjevima koji se odnose na ocjenjivanja sukladnosti koja provode i odgovarajuće ovlaštenje za provedbu tih ocjenjivanja;

(c)

primjereno poznavanje i razumijevanje primjenjivih zahtjeva i ispitnih normi;

(d)

sposobnost za sastavljanje certifikata, vođenje evidencije i pripremu izvješća kojima se dokazuje da su ocjenjivanja sukladnosti provedena.

13.

Nepristranost tijela za ocjenjivanje sukladnosti, njihova visokog rukovodstva i osoba zaduženih za aktivnosti ocjenjivanja sukladnosti te podugovaratelja, ako ih ima, mora biti zajamčena.

14.

Naknada za rad visokog rukovodstva i osoba zaduženih za aktivnosti ocjenjivanja sukladnosti ne ovisi o broju provedenih ocjenjivanja sukladnosti ni o rezultatima tih ocjenjivanja.

15.

Tijela za ocjenjivanje sukladnosti sklapaju osiguranje od odgovornosti osim ako je odgovornost preuzela država članica u skladu sa svojim nacionalnim pravom ili je sama država članica izravno odgovorna za ocjenjivanje sukladnosti.

16.

Tijelo za ocjenjivanje sukladnosti i njegovo osoblje, odbori, ovisni subjekti, podugovoratelji i sva povezana tijela ili osoblje vanjskih tijela postupaju u skladu s načelima povjerljivosti i čuvaju poslovnu tajnu koja se odnosi na sve informacije prikupljene pri obavljanju zadaća ocjenjivanja sukladnosti u skladu s ovom Uredbom ili na temelju bilo koje odredbe nacionalnoga prava kojom se ova Direktiva provodi, osim u slučajevima kada se otkrivanje informacija zahtijeva pravom Unije ili države članice koje je mjerodavno za te osobe i osim u pogledu nadležnih tijela država članica u kojoj se provode njegove aktivnosti. Prava intelektualnog vlasništva zaštićena su. Tijelo za ocjenjivanje sukladnosti ima uspostavljene dokumentirane postupke u pogledu zahtjeva iz ove točke.

17.

Uz iznimku točke 16., zahtjevi iz ovog Priloga ni na koji način ne isključuju razmjenu tehničkih informacija i regulatornih smjernica između tijela za ocjenjivanje sukladnosti i osobe koja podnosi zahtjev za certifikaciju ili koja razmatra mogućnost podnošenja zahtjeva.

18.

Tijela za ocjenjivanje sukladnosti djeluju u skladu s nizom dosljednih, pravednih i razumnih uvjeta, uzimajući u vezi s naknadama u obzir interese MSP-ova.

▼M1

19.

Tijela za ocjenjivanje sukladnosti ispunjavaju zahtjeve relevantne usklađene norme kako je definirana u članku 2. točki 9. Uredbe (EZ) br. 765/2008 za akreditaciju tijela za ocjenjivanje sukladnosti koja obavljaju certifikaciju IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga.

20.

Tijela za ocjenjivanje sukladnosti osiguravaju da ispitni laboratoriji koji se upotrebljavaju za potrebe ocjenjivanja sukladnosti ispunjavaju zahtjeve relevantne usklađene norme kako je definirana u članku 2. točki 9. Uredbe (EZ) br. 765/2008 za akreditaciju laboratorija koji obavljaju ispitivanje.

( 1 ) Uredba (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (SL L 257, 28.8.2014., str. 73.).

( 3 ) Delegirana uredba Komisije (EU) br. 1271/2013 od 30. rujna 2013. o Okvirnoj financijskoj uredbi za tijela iz članka 208. Uredbe (EU, Euratom) br. 966/2012 Europskog parlamenta i Vijeća (SL L 328, 7.12.2013., str. 42.).

( 4 ) Odluka Komisije (EU, Euratom) 2015/443 od 13. ožujka 2015. o sigurnosti u Komisiji (SL L 72, 17.3.2015., str. 41.).

( 5 ) Odluka Komisije (EU, Euratom) 2015/444 оd 13. ožujka 2015. o sigurnosnim propisima za zaštitu klasificiranih podataka EU-a (SL L 72, 17.3.2015., str. 53.).

( 6 ) Uredba (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća od 18. srpnja 2018. o financijskim pravilima koja se primjenjuju na opći proračun Unije, o izmjeni uredaba (EU) br. 1296/2013, (EU) br. 1301/2013, (EU) br. 1303/2013, (EU) br. 1304/2013, (EU) br. 1309/2013, (EU) br. 1316/2013, (EU) br. 223/2014, (EU) br. 283/2014 i Odluke br. 541/2014/EU te o stavljanju izvan snage Uredbe (EU, Euratom) br. 966/2012 (SL L 193, 30.7.2018., str. 1.).

( 7 ) Uredba (EU, Euratom) br. 883/2013 Europskog parlamenta i Vijeća od 11. rujna 2013. o istragama koje provodi Europski ured za borbu protiv prijevara (OLAF) i stavljanju izvan snage Uredbe (EZ) br. 1073/1999 Europskog parlamenta i Vijeća te Uredbe Vijeća (Euratom) br. 1074/1999 (SL L 248, 18.9.2013., str. 1.).

( 9 ) Uredba Vijeća (Euratom, EZ) br. 2185/96 od 11. studenoga 1996. o provjerama i inspekcijama na terenu koje provodi Komisija s ciljem zaštite financijskih interesa Europskih zajednica od prijevara i ostalih nepravilnosti (SL L 292, 15.11.1996., str. 2.).

( 10 ) Uredba br. 1 o utvrđivanju jezika koji se koriste u Europskoj ekonomskoj zajednici (SL 17, 6.10.1958., str. 385.).


		br.	stranica	datum
►M1	UREDBA (EU) 2025/37 EUROPSKOG PARLAMENTA I VIJEĆA od 19. prosinca 2024.	L 37	1	15.1.2025