31.1.2018   

LT

Europos Sąjungos oficialusis leidinys

L 26/48

(1)

pagal Direktyvą (ES) 2016/1148 skaitmeninių paslaugų teikėjai išlaiko teisę imtis techninių ir organizacinių priemonių, kurios, jų nuomone, yra tinkamos ir proporcingos siekiant valdyti jų tinklų ir informacinių sistemų saugumui kylančią riziką, jei jomis užtikrinamas tinkamas saugumo lygis ir atsižvelgiama į toje direktyvoje nustatytus elementus;

(2)

nustatydamas tinkamas ir proporcingas technines ir organizacines priemones skaitmeninių paslaugų teikėjas informacijos saugumą turėtų vertinti sistemingai ir jį grįsti rizikos vertinimu;

(3)

siekdami užtikrinti sistemų ir įrenginių saugumą, skaitmeninių paslaugų teikėjai turėtų atlikti vertinimo ir analizės procedūras. Jos turėtų apimti sistemingą tinklų ir informacinių sistemų valdymą, fizinį ir aplinkos saugumą, tiekimo saugumą ir prieigos kontrolę;

(4)

skaitmeninių paslaugų teikėjai, atlikdami su sistemingu tinklų ir informacinių sistemų valdymu susijusią rizikos analizę, turėtų visų pirma identifikuoti konkrečią riziką ir įvertinti jos dydį, pavyzdžiui, nustatyti grėsmę ypatingos svarbos objektams ir kaip ji gali paveikti jų veikimą, ir geriausius tos grėsmės mažinimo būdus remiantis turimu pajėgumu ir išteklių poreikiais;

(5)

žmogiškųjų išteklių politika galėtų būti orientuojama į įgūdžių valdymą, apimantį saugumui reikiamų įgūdžių ugdymą ir informuotumo didinimą. Skaitmeninių paslaugų teikėjai turėtų būti skatinami sprendžiant dėl tinkamų veiklos saugumo taisyklių atsižvelgti į pakeitimų valdymą, pažeidžiamumo valdymą, veiklos ir administravimo praktikos formalizavimą ir sistemų schemų sudarymą;

(6)

architektūros saugumo taisyklėse galėtų būti nustatytas visų pirma tinklų ir sistemų atskyrimas, taip pat konkrečios ypatingos svarbos operacijų, kaip antai administravimo operacijų, saugumo priemonės. Atskyręs tinklus ir sistemas skaitmeninių paslaugų teikėjas atskirtų vienus elementus nuo kitų, pavyzdžiui, duomenų srautus ir skaičiavimo išteklius, priklausančius klientui, klientų grupei, skaitmeninių paslaugų teikėjui arba trečiosioms šalims;

(7)

priemonėmis, kurių imamasi dėl fizinio ir aplinkos saugumo, organizacijos tinklų ir informacinės sistemos turėtų būti apsaugotos nuo žalos, kuria gali padaryti tokie incidentai, kaip vagystė, gaisras, potvynis ar kiti meteorologiniai reiškiniai, sutrikęs ryšys ar elektros energijos tiekimas;

(8)

tiekimo saugumas, kaip antai elektros energijos ar kuro tiekimo arba aušinimo išteklių saugumas, galėtų apimti tiekimo grandinės saugumą, visų pirma trečiųjų šalių rangovų ir subrangovų saugumą ir jų valdymą. Ypatingos svarbos išteklių atsekamumas yra skaitmeninių paslaugų teikėjo gebėjimas identifikuoti ir registruoti jų tiekimo šaltinius;

(9)

skaitmeninių paslaugų naudotojų sąvoka turėtų apimti fizinius ir juridinius asmenis, kurie yra elektroninės prekyvietės klientai ar debesijos kompiuterijos paslaugos abonentai arba lankosi interneto paieškos sistemos svetainėje norėdami atlikti paiešką pagal raktinius žodžius;

(10)

nustatant, ar incidentas daro didelį poveikį, turėtų būti laikoma, kad šiame reglamente aptarti atvejai yra iš nebaigtinio didelių incidentų sąrašo. Reikėtų sukaupti patirties įgyvendinant šį reglamentą ir Bendradarbiavimo grupei atliekant darbą, nurodytą Direktyvos (ES) 2016/1148 11 straipsnio 3 dalies i ir m punktuose – renkant geriausios praktikos, susijusios su rizika ir incidentais, pavyzdžius ir aptariant pranešimų apie incidentus teikimo tvarką. Rezultatas galėtų būti išsamios gairės dėl parametrų kiekybinių ribų, kurias pasiekus skaitmeninių paslaugų teikėjai privalėtų pranešti apie incidentą pagal Direktyvos (ES) 2016/1148 16 straipsnio 3 dalį. Prireikus Komisija galėtų apsvarstyti galimybę peržiūrėti šiame reglamente nustatytas ribas;

(11)

kad kompetentingos institucijos žinotų apie galimą naują riziką, skaitmeninių paslaugų teikėjai turėtų būti skatinami savanoriškai pranešti apie incidentus, pasižyminčius savybėmis, apie kurias anksčiau nežinota, tokiomis kaip nauji brovimosi į sistemas būdai, išpuolių kryptys ar užpuolikai, pažeidžiamos vietos ir pavojai;

(12)

šis reglamentas turėtų būti taikomas nuo dienos, einančios po Direktyvos (ES) 2016/1148 perkėlimo į nacionalinę teisę termino;

(13)

šiame reglamente nustatytos priemonės atitinka Direktyvos (ES) 2016/1148 22 straipsnyje nurodyto Tinklų ir informacinių sistemų saugumo komiteto nuomonę,

a)

sistemingas tinklų ir informacinių sistemų valdymas, t. y. parengtos informacinių sistemų schemos ir nustatytos tinkamos taisyklės, kuriomis reglamentuojamas informacijos saugumo valdymas, įskaitant rizikos analizę, žmogiškuosius išteklius, operacijų saugumą, saugumo architektūrą, saugų viso duomenų ir sistemų ciklo valdymą ir, kai tinkama, šifravimą bei jo valdymą;

b)

fizinis ir aplinkos saugumas, t. y. rinkinys priemonių, kuriomis skaitmeninių paslaugų teikėjų tinklų ir informacinės sistemos nuo žalos apsaugomos taikant visų pavojų rizikos vertinimu pagrįstą metodą, pavyzdžiui, saugantis nuo pavojų dėl sistemos gedimo, žmogaus klaidos, piktavališko veiksmo ar gamtos reiškinių;

c)

tiekimo saugumas, t. y. nustatytos ir taikomos tinkamos taisyklės, kad būtų užtikrinamas paslaugoms teikti reikiamų ypatingos svarbos išteklių prieinamumas ir prireikus atsekamumas;

d)

prieigos prie tinklų ir informacinių sistemų kontrolė, t. y. rinkinys priemonių, kuriomis užtikrinama, kad fizinė ir loginė prieiga prie tinklų ir informacinių sistemų, įskaitant tinklų ir informacinių sistemų administravimo saugumą, būtų leidžiama ir ribojama laikantis veiklos ir saugumo reikalavimų.

a)

įtvirtintus ir išbandytus incidentų nustatymo procesus ir procedūras, kad neįprasti įvykiai būtų laiku pastebėti ir apie juos būtų žinoma;

b)

pranešimų apie incidentus teikimo ir informacinių sistemų silpnų ir pažeidžiamų vietų nustatymo procesus ir taisykles;

c)

reagavimą laikantis nustatytų procedūrų ir pranešimų apie priemonių taikymo rezultatus teikimą;

d)

incidento sunkumo įvertinimą, analizuojant incidentą sukauptų žinių dokumentavimą ir aktualios informacijos rinkimą siekiant gauti įrodymų ir nuolat tobulinti priemones.

a)

nenumatytų atvejų plano sudarymą remiantis poveikio veiklai analize ir taikymą siekiant užtikrinti skaitmeninių paslaugų teikėjų teikiamų paslaugų tęstinumą; planas reguliariai tikrinamas ir išbandomas, pavyzdžiui, per pratybas;

b)

veiklos atkūrimo po ekstremaliųjų įvykių pajėgumą, kuris reguliariai tikrinamas ir išbandomas, pavyzdžiui, per pratybas.

a)

suplanuota seka atliekamas stebėjimas arba matavimai siekiant įvertinti, ar tinklų ir informacinės sistemos veikia taip, kaip numatyta;

b)

inspektuojama ir tikrinama, ar laikomasi standarto arba gairių rinkinio, ar įrašai tikslūs, ar pasiekti veiksmingumo ir efektyvumo tikslai;

c)

vykdomas procesas tinklų ir informacinės sistemos saugumo mechanizmų, naudojamų duomenims apsaugoti ir funkcionalumui išlaikyti, ydoms išsiaiškinti. Toks procesas apima techninius procesus ir personalą, atliekantį operacijas.

a)

paveiktų fizinių ir juridinių asmenų, su kuriais sudaryta paslaugos teikimo sutartis, skaičių arba

b)

paveiktų naudotojų, pasinaudojusių paslauga, skaičių, pagrįstą visų pirma ankstesniais srauto duomenimis.

a)

skaitmeninių paslaugų teikėjo teikiama paslauga buvo neprieinama ilgiau nei 5 000 000 naudotojo valandų, o naudotojo valanda yra šešiasdešimt minučių paslauga negalėjusių naudotis naudotojų Sąjungoje skaičius;

b)

dėl incidento nukentėjo saugomų, perduodamų ar tvarkomų duomenų arba atitinkamų paslaugų, teikiamų skaitmeninių paslaugų teikėjo ar gaunamų per jo tinklų ir informacinę sistemą, prieinamumas, autentiškumas, vientisumas ar konfidencialumas ir tai paveikė daugiau kaip 100 000 naudotojų Sąjungoje;

c)

dėl incidento kilo rizika viešajam saugumui ir saugai arba gyvybei;

d)

incidentas padarė turtinę žalą bent vienam naudotojui Sąjungoje, jeigu tam naudotojui padaryta žala viršija 1 000 000 EUR.