EIROPAS PARLAMENTA UN PADOMES REGULA (ES) 2025/37

(2024. gada 19. decembris),

ar ko groza Regulu (ES) 2019/881 attiecībā uz pārvaldītiem drošības pakalpojumiem

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (1),

pēc apspriešanās ar Reģionu komiteju,

saskaņā ar parasto likumdošanas procedūru (2),

tā kā:

(1)

Eiropas Parlamenta un Padomes Regula (ES) 2019/881 (3) nosaka satvaru, kurā jāizveido Eiropas kiberdrošības sertifikācijas shēmas, lai Savienībā informācijas un komunikācijas tehnoloģiju (IKT) produktiem, IKT pakalpojumiem un IKT procesiem nodrošinātu pietiekami augstu kiberdrošības līmeni, kā arī nolūkā izvairīties no iekšējā tirgus sadrumstalotības attiecībā uz kiberdrošības sertifikācijas shēmām Savienībā.

(2)

Lai nodrošinātu Savienības noturību pret kiberuzbrukumiem un novērstu jebkādu ievainojamību iekšējā tirgū, ar šo regulu ir paredzēts papildināt horizontālo tiesisko regulējumu, ar ko ievieš visaptverošas kiberdrošības prasības visiem produktiem ar digitāliem elementiem saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2024/2847 (4), paredzot drošības mērķus pārvaldītiem drošības pakalpojumiem, kā arī minēto pakalpojumu piemērošanai un uzticamībai.

(3)

Pārvaldīti drošības pakalpojumi ir pakalpojumi, ko sniedz pārvaldītu drošības pakalpojumu sniedzēji, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2022/2555 (5) 6. panta 40. punktā. Tādēļ pārvaldītu drošības pakalpojumu definīcijai šajā regulā būtu jāatbilst pārvaldītu drošības pakalpojumu sniedzēju definīcijai Direktīvā (ES) 2022/2555. Minētie pakalpojumi ietver tādu darbību veikšanu vai atbalstīšanu, kuras saistītas ar klientu kiberdrošības riska pārvaldību, un tie kļūst arvien nozīmīgāki kiberincidentu novēršanā un to seku mazināšanā. Līdz ar to minēto pakalpojumu sniedzēji, ievērojot Direktīvu (ES) 2022/2555, tiek uzskatīti par būtiskām vai svarīgām vienībām, kas ir piederīgas sevišķi kritiskai nozarei. Kā norādīts minētās direktīvas 86. apsvērumā, pārvaldītu drošības pakalpojumu sniedzējiem ir īpaši svarīga loma tādās jomās kā reaģēšana uz incidentiem, ielaušanās testēšana, drošības revīzijas un konsultācijas, palīdzot vienībām to centienos novērst un atklāt incidentus, reaģēt uz tiem vai atkopties no tiem. Tomēr arī pārvaldītu pakalpojumu sniedzēji ir bijuši kiberuzbrukumu mērķis un rada īpašu risku, jo ir cieši iesaistīti savu klientu darbībās. Tāpēc ir svarīgi, lai būtiskās un svarīgās vienības Direktīvas (ES) 2022/2555 nozīmē ievēro īpašu piesardzību, izvēloties pārvaldīta drošības pakalpojuma sniedzējus.

(4)

Pārvaldītu drošības pakalpojumu definīcija šīs regulas nozīmē ietver neizsmeļošu tādu pārvaldītu drošības pakalpojumu sarakstu, kuri var tikt iekļauti Eiropas kiberdrošības sertifikācijas shēmās un kuru vidū ir, piemēram, incidentu novēršana, ielaušanās testēšana, drošības revīzijas un konsultācijas saistībā ar tehnisko atbalstu. Pārvaldīti drošības pakalpojumi varētu ietvert kiberdrošības pakalpojumus, kas atbalsta sagatavotību incidentiem, to novēršanu, atklāšanu, analīzi un seku mazināšanu, reaģēšanu uz tiem un atkopšanos no tiem. Par pārvaldītiem drošības pakalpojumiem varētu uzskatīt arī kiberdraudu izlūkdatu sniegšanu un riska novērtējumu, kas saistīts ar tehnisko atbalstu. Dažādiem pārvaldītiem drošības pakalpojumiem varētu būt atsevišķas Eiropas kiberdrošības sertifikācijas shēmas. Eiropas kiberdrošības sertifikātiem, kas izdoti saskaņā ar šādām shēmām, būtu jāattiecas uz konkrētiem pārvaldītiem drošības pakalpojumiem, kurus sniedz konkrēts minēto pakalpojumu sniedzējs.

(5)

Pārvaldītu drošības pakalpojumu sniedzējiem var būt svarīga loma arī saistībā ar Savienības darbībām, ar kurām atbalsta reaģēšanu un sākotnēju atkopšanos ievērojamu incidentu un plaša mēroga kiberdrošības incidentu gadījumā, paļaujoties uz uzticamu privāto pakalpojumu sniedzēju pakalpojumiem un uz kritisko vienību testēšanu attiecībā uz iespējamām ievainojamībām, kuras pamatā ir Savienības līmenī koordinētie drošības riska novērtējumi. Pārvaldītu drošības pakalpojumu sertifikācijai varētu būt nozīme uzticamu pārvaldītu drošības pakalpojumu sniedzēju, kā definēts Eiropas Parlamenta un Padomes Regulā (ES) 2025/38 (6), atlasē.

(6)

Pārvaldītu drošības pakalpojumu sertifikācijai ir ne tikai būtiska nozīme ES kiberdrošības rezervju, kas izveidotas ar Regulu (ES) 2025/38, atlases procesā, bet tā ir arī īpaši svarīgs kvalitātes rādītājs privātām un publiskām struktūrām, kas plāno iegādāties šādus pakalpojumus. Ņemot vērā pārvaldīto drošības pakalpojumu kritiskumu un apstrādāto datu sensitivitāti, sertifikācija varētu potenciālajiem klientiem nodrošināt svarīgas norādes un pārliecību par minēto pakalpojumu uzticamību. Eiropas kiberdrošības sertifikācijas shēmas pārvaldītiem drošības pakalpojumiem ir paredzētas, lai palīdzētu nepieļaut iekšējā tirgus sadrumstalotību. Tādēļ šīs regulas mērķis ir uzlabot iekšējā tirgus darbību.

(7)

Eiropas kiberdrošības sertifikācijas shēmām pārvaldītiem drošības pakalpojumiem būtu jāveicina minēto pakalpojumu ieviešana un lielāka konkurence starp pārvaldītu drošības pakalpojumu sniedzējiem. Neskarot mērķi nodrošināt, ka šādu pakalpojumu sniedzējiem ir pietiekams un atbilstīgs attiecīgo tehnisko zināšanu līmenis un profesionālā integritāte, šādām sertifikācijas shēmām līdz ar to būtu jāveicina pārvaldītu drošības pakalpojumu ienākšana tirgū un piedāvājums, cik vien iespējams vienkāršojot iespējamo regulatīvo, administratīvo un finansiālo slogu, ar ko pakalpojumu sniedzēji, jo īpaši mazie un vidējie uzņēmumi (MVU), tostarp mikrouzņēmumi, varētu saskarties, piedāvājot pārvaldītus drošības pakalpojumus. Turklāt, lai veicinātu pārvaldītu drošības pakalpojumu ieviešanu un pieprasījumu pēc tiem, Eiropas kiberdrošības sertifikācijas shēmām būtu jāsekmē to pieejamība, jo īpaši mazākiem dalībniekiem, kā piemēram, MVU, tostarp mikrouzņēmumiem, kā arī vietējām un reģionālajām pašvaldībām, kam ir ierobežotas spējas un resursi, bet kuras ir vairāk pakļautas kiberdrošības pārkāpumiem, kuriem ir finansiālas un juridiskas sekas un kuri ietekmē reputāciju un darbību.

(8)

Ir svarīgi sniegt atbalstu MVU, tostarp mikrouzņēmumiem, šīs regulas īstenošanā un tādu darbinieku pieņemšanā darbā, kuriem ir specializētas kiberdrošības prasmes, un lietpratību, kas vajadzīga, lai sniegtu pārvaldītus drošības pakalpojumus saskaņā ar šīs regulas noteiktajām prasībām. Programma “Digitālā Eiropa”, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/694 (7), un citas attiecīgās Savienības programmas paredz, ka Komisijai nodrošina finansiālu un tehnisku atbalstu, kas ļautu minētajiem uzņēmumiem veicināt Savienības ekonomikas izaugsmi un uzlabot kiberdrošības līmeni Savienībā kopumā, tostarp racionalizējot finansiālo atbalstu no programmas “Digitālā Eiropa” un citām attiecīgām Savienības programmām un atbalstot MVU, tostarp mikrouzņēmumus.

(9)

Pārvaldītiem drošības pakalpojumiem paredzētai Eiropas kiberdrošības sertifikācijas shēmai būtu jāveicina tādu drošu un kvalitatīvu pakalpojumu pieejamība, kuri garantē drošu digitālo pārkārtošanos un palīdz sasniegt Digitālās desmitgades politikas programmā 2030. gadam, kas izveidota ar Eiropas Parlamenta un Padomes Lēmumu (ES) 2022/2481 (8), noteiktos mērķrādītājus, jo īpaši mērķi panākt, ka 75 % Savienības uzņēmumu sāk izmantot mākoņdatošanas pakalpojumus, lielos datus vai mākslīgo intelektu, ka vairāk nekā 90 % MVU, tostarp mikrouzņēmumu, sasniedz vismaz digitālās intensitātes pamatlīmeni un ka būtiskākie sabiedriskie pakalpojumi ir pieejami tiešsaistē.

(10)

Papildus IKT produktu, IKT pakalpojumu vai IKT procesu ieviešanai pārvaldītie drošības pakalpojumi bieži vien nodrošina pakalpojumu papildu elementus, kas balstās uz šādu pakalpojumu sniedzēju personāla kompetenci, lietpratību un pieredzi. Lai nodrošinātu pārvaldīto drošības pakalpojumu īpaši augstu kvalitāti, daļai no drošības mērķiem vajadzētu būt īpaši augstam minēto kompetenču, lietpratības un pieredzes līmenim, kā arī atbilstīgām iekšējām procedūrām. Tādēļ, lai nodrošinātu, ka īpašas Eiropas kiberdrošības sertifikācijas shēmas var aptvert visus pārvaldītu drošības pakalpojumu aspektus, ir jāgroza Regula (ES) 2019/881. Būtu jāņem vērā Regulā (ES) 2019/881 paredzētās izvērtēšanas un pārskatīšanas rezultāti un tajās sniegtie ieteikumi.

(11)

Lai veicinātu uzticama iekšējā tirgus izaugsmi un vienlaikus arī veidotu partnerības ar līdzīgi domājošām trešām valstīm, sertifikācijas process, kas izveidots Regulā (ES) 2019/881 paredzētajā Eiropas kiberdrošības sertifikācijas satvarā, būtu jāīsteno tā, lai atvieglotu starptautisku atzīšanu un saskaņošanu ar starptautiskajiem standartiem.

(12)

Savienība saskaras ar talantu trūkumu, ko raksturo kvalificētu speciālistu trūkums, un strauji mainīgu apdraudējumu ainu, kā atzīts Komisijas 2023. gada 18. aprīļa paziņojumā “Kiberdrošības talantu deficīta pārvarēšana ES konkurētspējas, izaugsmes un noturības vairošanai” (“Kiberdrošības prasmju akadēmija”). Izglītības resursi un formālās apmācības veidi atšķiras, un zināšanas var iegūt dažādi: formālā veidā, piemēram, augstskolā vai kursos, vai neformālā veidā, piemēram, saņemot apmācību darbavietā vai iegūstot darba pieredzi attiecīgajā jomā. Tāpēc, lai veicinātu kvalitatīvu pārvaldītu drošības pakalpojumu rašanos un gūtu labāku priekšstatu par Savienības kiberdrošības darbaspēka sastāvu, ir svarīgi stiprināt sadarbību starp dalībvalstīm, Komisiju, Eiropas Savienības Kiberdrošības aģentūru, kas izveidota ar Regulu (ES) 2019/881, (ENISA) un ieinteresētajām personām, tostarp no privātā sektora un akadēmiskajām aprindām, attīstot publiskā un privātā sektora partnerības, atbalstot pētniecības un inovācijas iniciatīvas un izstrādājot un savstarpēji atzīstot kopīgus standartus un kiberdrošības prasmju sertifikāciju, tostarp ar Eiropas kiberdrošības prasmju satvara starpniecību. Šāda sadarbība arī veicinātu kiberdrošības speciālistu mobilitāti Savienībā, kā arī zināšanu un apmācības kiberdrošības jomā iekļaušanu izglītības programmās, vienlaikus nodrošinot māceklības un stažēšanās iespējas jauniešiem, tostarp personām, kas dzīvo mazāk attīstītos reģionos, piemēram, salās un mazapdzīvotos, lauku un attālos apvidos. Ir svarīgi, lai šādas sadarbības mērķis būtu piesaistīt šajā nozarē vairāk sieviešu un meiteņu un palīdzēt novērst dzimumu nelīdztiesību zinātnes, tehnoloģiju, inženierzinātņu un matemātikas jomā un lai privātā sektora mērķis būtu nodrošināt apmācību darbavietā, pievēršoties vispieprasītākajām prasmēm ar valsts pārvaldes un jaunuzņēmumu, kā arī MVU, tostarp mikrouzņēmumu, līdzdalību. Ir arī svarīgi, lai pakalpojumu sniedzēji un dalībvalstis sadarbotos un sniegtu ieguldījumu datu vākšanā par kiberdrošības darba tirgus situāciju un attīstību.

(13)	ENISA ir svarīga loma Eiropas kiberdrošības sertifikācijas kandidātshēmu sagatavošanā. Sagatavojot Savienības vispārējā budžeta projektu, Komisijai būtu jānovērtē ENISA štatu sarakstam nepieciešamie budžeta resursi saskaņā ar Regulas (ES) 2019/881 29. pantā noteikto procedūru.

(14)

Šī regula paredz mērķtiecīgus grozījumus Regulā (ES) 2019/881, lai varētu izveidot pārvaldītu drošības pakalpojumu sniedzējiem paredzētas Eiropas kiberdrošības sertifikācijas shēmas. Šajā sakarā tajā arī ir paredzēti un precizēti minētās regulas konkrēti noteikumi par visu Eiropas kiberdrošības sertifikācijas shēmu sagatavošanu un darbību ar mērķi nodrošināt to pārredzamību un atvērtību. Pēdējiem minētajiem grozījumiem, kas attiecas vienīgi uz noteikumu paredzēšanu vai precizēšanu Regulā (ES) 2019/881, jo īpaši grozījumiem attiecībā uz informāciju, kas ENISA jāsniedz, nosūtot kandidātshēmu, ad hoc darba grupām, kas izveidotas katrai kandidātshēmai, un informēšanu un apspriešanos par Eiropas kiberdrošības sertifikācijas shēmām, nekādā veidā nebūtu jāskar minētās regulas plašāku izvērtēšanu un pārskatīšanu, kas jāveic, ievērojot minētās regulas 67. pantu, jo īpaši minētās regulas sadaļas par kiberdrošības sertifikācijas satvaru ietekmes, efektivitātes un lietderības izvērtēšanu. Minētās sadaļas izvērtēšana un pārskatīšana būtu jābalsta uz plašu apspriešanos ar ieinteresētajām personām un iesaistīto procedūru pilnīgu un rūpīgu analīzi.

(15)

Ņemot vērā to, ka šīs regulas mērķi, proti, ļaut izveidot pārvaldītiem drošības pakalpojumiem paredzētas Eiropas kiberdrošības sertifikācijas shēmas, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet mēroga vai iedarbības dēļ to var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minētā mērķa sasniegšanai.

(16)	Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (9) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2024. gada 10. janvārī sniedza atzinumu,

IR PIEŅĒMUŠI ŠO REGULU.

1. pants

Grozījumi Regulā (ES) 2019/881

Regulu (ES) 2019/881 groza šādi:

regulas 1. panta 1. punkta pirmās daļas b) apakšpunktu aizstāj ar šādu:

“b)

satvars, kurā jāizveido Eiropas kiberdrošības sertifikācijas shēmas, lai Savienībā IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem nodrošinātu pietiekamu kiberdrošības līmeni, kā arī lai nepieļautu iekšējā tirgus sadrumstalotību attiecībā uz kiberdrošības sertifikācijas shēmām Savienībā.”

;

regulas 2. pantu groza šādi:

panta 9., 10. un 11. punktu aizstāj ar šādiem:

“9)

“Eiropas kiberdrošības sertifikācijas shēma” ir visaptverošs noteikumu, tehnisko prasību, standartu un procedūru kopums, kas noteikts Savienības līmenī un kas attiecas uz konkrētu IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu sertifikāciju vai atbilstības novērtēšanu;

10)

“valsts kiberdrošības sertifikācijas shēma” ir visaptverošs noteikumu, tehnisko prasību, standartu un procedūru kopums, ko izstrādājusi un pieņēmusi valsts publiskā iestāde un kas attiecas uz to IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu sertifikāciju vai atbilstības novērtēšanu, kuri ietilpst konkrētās shēmas tvērumā;

11)

“Eiropas kiberdrošības sertifikāts” ir dokuments, ko izdevusi atbilstīga struktūra un kas apliecina, ka ir izvērtēta attiecīgā IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma atbilstība konkrētajām Eiropas kiberdrošības sertifikācijas shēmā noteiktajām drošības prasībām;”

;

iekļauj šādu punktu:

“14a)

“pārvaldīts drošības pakalpojums” ir pakalpojums, kas sniegts trešai pusei un kas ietver ar kiberdrošības riska pārvaldību saistītu darbību veikšanu vai atbalstīšanu, piemēram, incidentu novēršanu, ielaušanās testēšanu, drošības revīzijas un konsultācijas, tostarp ekspertu sniegtas konsultācijas, kas saistītas ar tehnisko atbalstu;”

;

panta 20., 21. un 22. punktu aizstāj ar šādiem:

“20)	“tehniskā specifikācija” ir dokuments, kurā noteiktas tehniskās prasības, kam IKT produktam, IKT pakalpojumam, IKT procesam vai pārvaldītam drošības pakalpojumam ir jāatbilst, vai atbilstības novērtēšanas procedūras, kas uz tiem attiecas;

21)

“apliecinājuma līmenis” ir pamats paļauties, ka IKT produkts, IKT pakalpojums, IKT process vai pārvaldīts drošības pakalpojums atbilst konkrētas Eiropas kiberdrošības sertifikācijas shēmas prasībām; “apliecinājuma līmenis” norāda to, kādā līmenī IKT produkts, IKT pakalpojums, IKT process vai pārvaldīts drošības pakalpojums ir izvērtēts, bet pats par sevi nemēra attiecīgā IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma drošību;

22)

“atbilstības pašnovērtējums” ir darbība, ko veic IKT produktu, IKT pakalpojumu vai IKT procesu, vai pārvaldītu drošības pakalpojumu ražotājs vai sniedzējs, kurš izvērtē, vai minētie IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldītie drošības pakalpojumi atbilst konkrētas Eiropas kiberdrošības sertifikācijas shēmas prasībām.”

;

regulas 4. panta 6. punktu aizstāj ar šādu:

“6. ENISA veicina Eiropas kiberdrošības sertifikācijas izmantošanu nolūkā nepieļaut iekšējā tirgus sadrumstalotību. ENISA palīdz izveidot un uzturēt Eiropas kiberdrošības sertifikācijas satvaru saskaņā ar šīs regulas III sadaļu, lai uzlabotu IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu kiberdrošības pārredzamību, tādējādi stiprinot uzticēšanos digitālajam iekšējam tirgum un tā konkurētspēju.”

;

regulas 8. pantu groza šādi:

panta 1. punktu groza šādi:

i)	ievadfrāzi aizstāj ar šādu: “1. ENISA atbalsta un veicina Savienības politikas IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu kiberdrošības sertifikācijas jomā izstrādi un īstenošanu, kā noteikts šīs regulas III sadaļā, proti:” ;

ii)

punkta b) apakšpunktu aizstāj ar šādu:

“b)	sagatavo IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem paredzētas Eiropas kiberdrošības sertifikācijas kandidātshēmas (“kandidātshēmas”) saskaņā ar 49. pantu;”

;

panta 3. punktu aizstāj ar šādu:

“3. ENISA sadarbībā ar valstu kiberdrošības sertifikācijas iestādēm un nozares pārstāvjiem oficiālā, strukturētā un pārredzamā veidā apkopo un publicē pamatnostādnes un izstrādā labu praksi attiecībā uz IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu kiberdrošības prasībām.”

;

c)	panta 5. punktu aizstāj ar šādu: “5. ENISA palīdz izstrādāt un ieviest Eiropas un starptautiskos riska pārvaldības un IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu drošības standartus.” ;

regulas 46. pantu aizstāj ar šādu:

“46. pants

Eiropas kiberdrošības sertifikācijas satvars

1. Eiropas kiberdrošības sertifikācijas satvaru izveido, lai uzlabotu iekšējā tirgus darbības nosacījumus, palielinot kiberdrošības līmeni Savienībā un dodot iespēju Savienības līmenī izmantot saskaņotu pieeju attiecībā uz Eiropas kiberdrošības sertifikācijas shēmām nolūkā izveidot IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu digitālu vienoto tirgu.

2. Eiropas kiberdrošības sertifikācijas satvars paredz mehānismu Eiropas kiberdrošības sertifikācijas shēmu izveidei un apliecinājumam, ka IKT produkti, IKT pakalpojumi un IKT procesi, kas ir izvērtēti saskaņā ar šādām shēmām, atbilst noteiktajām drošības prasībām nolūkā visā to dzīves ciklā aizsargāt tādu glabāto, pārsūtīto vai apstrādāto datu vai funkciju, vai pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, kurus piedāvā vai kuriem piekļūst, izmantojot minētos produktus, pakalpojumus un procesus. Turklāt tas apliecina, ka pārvaldītie drošības pakalpojumi, kas ir izvērtēti saskaņā ar šādām shēmām, atbilst noteiktajām drošības prasībām nolūkā aizsargāt tādu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, kuriem piekļūst un kurus apstrādā, glabā vai pārsūta saistībā ar minēto pakalpojumu sniegšanu, un ka minētos pakalpojumus nepārtraukti sniedz darbinieki, kuriem ir vajadzīgā kompetence, lietpratība un pieredze un pietiekams un pienācīgs attiecīgo tehnisko zināšanu un profesionālās integritātes līmenis.”

;

regulas 47. pantu groza šādi:

panta 2. punktu aizstāj ar šādu:

“2. Savienības mainīgajā darba programmā jo īpaši iekļauj tādu IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu vai to kategoriju sarakstu, kuri varētu gūt labumu no iekļaušanas Eiropas kiberdrošības sertifikācijas shēmas darbības jomā.”

;

panta 3. punktu groza šādi:

i)	ievadfrāzi aizstāj ar šādu: “3. Konkrētu IKT produktu, IKT pakalpojumu un IKT procesu vai pārvaldītu drošības pakalpojumu, vai to kategoriju iekļaušanu Savienības mainīgajā darba programmā pamato ar vienu vai vairākiem šādiem iemesliem:” ;

ii)

punkta a) apakšpunktu aizstāj ar šādu:

“a)	tādu valsts kiberdrošības sertifikācijas shēmu pieejamību un izstrādi, kuras aptver konkrētu IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu kategoriju, jo īpaši attiecībā uz sadrumstalotības risku;”

;

iii)

punktā iekļauj šādu punktu:

“ca)	tehnoloģiju attīstību un starptautisko kiberdrošības sertifikācijas shēmu un starptautisko standartu un rūpniecībā izmantoto standartu pieejamību un izstrādi;”

;

regulas 49. pantu groza šādi:

panta 1. līdz 4. punktu aizstāj ar šādiem:

“1. Pēc Komisijas pieprasījuma, ievērojot 48. pantu, ENISA sagatavo kandidātshēmu, kas atbilst 51., 51.a, 52. un 54. pantā noteiktajām piemērojamajām prasībām.

2. Pēc ECCG pieprasījuma, ievērojot 48. panta 2. punktu, ENISA var sagatavot kandidātshēmu, kas atbilst 51., 51.a, 52. un 54. pantā noteiktajām piemērojamajām prasībām. Ja ENISA šādu pieprasījumu noraida, tā norāda noraidīšanas iemeslus. Jebkuru lēmumu noraidīt šādu pieprasījumu pieņem Valde.

3. Sagatavojot kandidātshēmu, ENISA oficiālā, atklātā, pārredzamā un iekļaujošā apspriešanās procesā savlaicīgi apspriežas ar visām attiecīgajām ieinteresētajām personām. Nosūtot kandidātshēmu Komisijai, ievērojot 49. panta 6. punktu, ENISA sniedz informāciju par to, kā tā ir izpildījusi šo punktu.

4. Attiecībā uz katru kandidātshēmu ENISA saskaņā ar 20. panta 4. punktu izveido ad hoc darba grupu, lai nodrošinātu ENISA specializētas konsultācijas un lietpratību. Minētajās ad hoc darba grupās, ja nepieciešams un neskarot 20. panta 4. punktā noteiktās procedūras un rīcības brīvību, iekļauj ekspertus no dalībvalstu publiskās pārvaldes iestādēm, Savienības iestādēm, struktūrām, birojiem un aģentūrām un privātā sektora.”

;

panta 7. punktu aizstāj ar šādu:

“7. Pamatojoties uz ENISA sagatavoto kandidātshēmu, Komisija var pieņemt īstenošanas aktus, kuros paredzēta Eiropas kiberdrošības sertifikācijas shēma IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem, kas atbilst 51., 51.a, 52. un 54. pantā noteiktajām attiecīgajām prasībām. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 66. panta 2. punktā.”

;

iekļauj šādu pantu:

“49.a pants

Informēšana un apspriešanās par Eiropas kiberdrošības sertifikācijas shēmām

1. Komisija informāciju par savu pieprasījumu ENISA sagatavot kandidātshēmu vai pārskatīt esošu Eiropas kiberdrošības sertifikācijas shēmu, kā minēts 48. pantā, dara publiski pieejamu.

2. Kad ENISA sagatavo kandidātshēmu, ievērojot 49. pantu, Eiropas Parlaments, Padome vai abi var pieprasīt Komisijai kā ECCG priekšsēdētājai un ENISA reizi ceturksnī iesniegt attiecīgu informāciju par kandidātshēmas projektu. Pēc Eiropas Parlamenta vai Padomes pieprasījuma ENISA, vienojoties ar Komisiju un neskarot 27. pantu, var darīt pieejamas Eiropas Parlamentam un Padomei kandidātshēmas projekta attiecīgās daļas prasītajam konfidencialitātes līmenim atbilstošā veidā un attiecīgā gadījumā ierobežotā veidā.

3. Lai uzlabotu dialogu starp Savienības iestādēm un veicinātu oficiālu, atklātu, pārredzamu un iekļaujošu apspriešanās procesu, Eiropas Parlaments, Padome vai abi var aicināt Komisiju un ENISA apspriest jautājumus, kas skar IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem paredzētu Eiropas kiberdrošības sertifikācijas shēmu darbību.

4. Komisija, izvērtējot šo regulu saskaņā ar 67. pantu, attiecīgā gadījumā ņem vērā elementus, kas izriet no Eiropas Parlamenta un Padomes paustajiem viedokļiem par šā panta 3. punktā minētajiem jautājumiem.”

;

regulas 51. pantu groza šādi:

a)	virsrakstu aizstāj ar šādu: “Drošības mērķi: Eiropas kiberdrošības sertifikācijas shēmas IKT produktiem, IKT pakalpojumiem un IKT procesiem” ;

b)	ievadteikumu aizstāj ar šādu: “Eiropas kiberdrošības sertifikācijas shēmu IKT produktiem, IKT pakalpojumiem vai IKT procesiem izstrādā tā, lai attiecīgā gadījumā sasniegtu vismaz šādus drošības mērķus:” ;

10)

iekļauj šādu pantu:

“51.a pants

Drošības mērķi: Eiropas kiberdrošības sertifikācijas shēmas pārvaldītiem drošības pakalpojumiem

Eiropas kiberdrošības sertifikācijas shēmu pārvaldītiem drošības pakalpojumiem izstrādā tā, lai attiecīgā gadījumā sasniegtu vismaz šādus drošības mērķus:

pārvaldītu drošības pakalpojumu sniegšanā tiek nodrošināta vajadzīgā kompetence, lietpratība un pieredze, tostarp par minēto pakalpojumu sniegšanu atbildīgajam personālam ir pietiekama un pienācīga līmeņa tehniskās zināšanas un kompetence konkrētajā jomā, pietiekama un atbilstīga pieredze un augstākais profesionālās integritātes līmenis;

b)	pakalpojumu sniedzējs ir ieviesis pienācīgas iekšējās procedūras, kas nodrošina, ka pārvaldītie drošības pakalpojumi vienmēr tiek sniegti pietiekamā un pienācīgā kvalitātes līmenī;

c)	dati, kuriem piekļūst un kurus glabā, pārsūta vai citādi apstrādā saistībā ar pārvaldītu drošības pakalpojumu sniegšanu, tiek aizsargāti pret nejaušu vai neatļautu piekļuvi, glabāšanu, atklāšanu, iznīcināšanu, citu apstrādi, pazaudēšanu, pārveidošanu vai nepieejamību;

d)	fiziska vai tehniska incidenta gadījumos laikus tiek atjaunota datu, pakalpojumu un funkciju pieejamība un piekļūstamība;

e)	pilnvarotas personas, programmas vai iekārtas var piekļūt vienīgi tādiem datiem, pakalpojumiem vai funkcijām, attiecībā uz ko tām ir piekļuves tiesības;

f)	tiek reģistrēts un ir iespējams novērtēt, kuriem datiem, pakalpojumiem vai funkcijām ir piekļūts, kuru datu, pakalpojumu un funkciju izmantošana ir notikusi vai kuri dati ir citādi apstrādāti, kad tas ir noticis un kas to ir darījis;

g)	pārvaldīto drošības pakalpojumu sniegšanā izmantotie IKT produkti, IKT pakalpojumi un IKT procesi ir konstruēti tā, lai būtu droši, un ir droši pēc noklusējuma un attiecīgā gadījumā ietver jaunākos drošības atjauninājumus, taču neietver publiski zināmas ievainojamības.”

;

11)

regulas 52. pantu groza šādi:

panta 1. punktu aizstāj ar šādu:

“1. Eiropas kiberdrošības sertifikācijas shēmā var norādīt vienu vai vairākus šādus IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu apliecinājuma līmeņus: “pamata”, “būtisks” vai “augsts”. Apliecinājuma līmenis incidenta varbūtības un ietekmes ziņā atbilst riska līmenim, kas saistīts ar IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma paredzamo lietojumu.”

;

panta 3. punktu aizstāj ar šādu:

“3. Attiecīgajā Eiropas kiberdrošības sertifikācijas shēmā jānorāda katram apliecinājuma līmenim atbilstošās drošības prasības, tostarp atbilstošās drošības funkcijas un IKT produktam, IKT pakalpojumam, IKT procesam vai pārvaldītam drošības pakalpojumam veicamā izvērtējuma atbilstošā stingrības un detalizācijas pakāpe.”

;

panta 5., 6. un 7. punktu aizstāj ar šādiem:

“5. Ar Eiropas kiberdrošības sertifikātu vai ES atbilstības apliecinājumu, kam ir norāde uz apliecinājuma līmeni “pamata”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts vai minētais ES atbilstības apliecinājums, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu zināmos incidentu un kiberuzbrukumu pamata riskus. Veicamās izvērtēšanas darbības ietver vismaz tehniskās dokumentācijas pārskatīšanu. Ja šāda pārskatīšana nav pienācīga, ir jāveic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.

6. Ar Eiropas kiberdrošības sertifikātu, kam ir norāde uz apliecinājuma līmeni “būtisks”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu zināmos kiberdrošības riskus un tādu incidentu un kiberuzbrukumu risku, ko rada aktori ar ierobežotām prasmēm un resursiem. Veicamās izvērtēšanas darbības ietver vismaz: pārskatīšanu nolūkā apliecināt publiski zināmu ievainojamību neesamību un testēšanu nolūkā apliecināt to, ka ar IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem ir pareizi īstenotas vajadzīgās drošības funkcijas. Ja neviena šāda izvērtēšanas darbība nav pienācīga, veic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.

7. Ar Eiropas kiberdrošības sertifikātu, kam ir norāde uz apliecinājuma līmeni “augsts”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvadīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu sarežģītu kiberuzbrukumu risku, ko rada aktori ar attīstītām prasmēm un nozīmīgiem resursiem. Veicamās izvērtēšanas darbības ietver vismaz: pārskatīšanu nolūkā apliecināt publiski zināmu ievainojamību neesamību; testēšanu nolūkā apliecināt to, ka ar IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem ir augstākajā līmenī pareizi īstenotas vajadzīgās drošības funkcijas; un ar ielaušanās testēšanu veiktu izvērtējumu par to, ka tie ir noturīgi prasmīgi veiktu uzbrukumu gadījumā. Ja neviena šāda izvērtēšanas darbība nav pienācīga, veic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.”

;

12)

regulas 53. panta 1., 2. un 3. punktu aizstāj ar šādiem:

“1. Eiropas kiberdrošības sertifikācijas shēmā var atļaut veikt atbilstības pašnovērtējumu, par ko atbildīgs ir tikai pats IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājs vai sniedzējs. Šādu atbilstības pašnovērtējumu atļauj veikt tikai attiecībā uz IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem ar zemu risku, kas atbilst apliecinājuma līmenim “pamata”.

2. IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājs vai sniedzējs var izdot ES atbilstības apliecinājumu, kurā ir norādīts, ka atbilstība shēmā izklāstītajām prasībām ir pierādīta. Izdodot šādu apliecinājumu, IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājs vai sniedzējs uzņemas atbildību par IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma atbilstību minētajā shēmā izklāstītajām prasībām.

3. IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājs vai sniedzējs attiecīgajā Eiropas kiberdrošības sertifikācijas shēmā paredzētajā laikposmā valsts kiberdrošības sertifikācijas iestādei, kas izraudzīta, ievērojot 58. pantu, dara pieejamu ES atbilstības apliecinājumu, tehnisko dokumentāciju un visu pārējo būtisko informāciju, kas saistīta ar IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu atbilstību shēmai. ES atbilstības apliecinājuma kopiju iesniedz valsts kiberdrošības sertifikācijas iestādei un ENISA.”

;

13)

regulas 54. panta 1. punktu groza šādi:

punkta a) apakšpunktu aizstāj ar šādu:

“a)	sertifikācijas shēmas priekšmets un tvērums, tostarp shēmas aptverto IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu veidi vai kategorijas;”

;

punkta g) apakšpunktu aizstāj ar šādu:

“g)	izmantojamie konkrētie izvērtēšanas kritēriji un metodes, tostarp izvērtēšanas veidi nolūkā pierādīt, ka 51. un 51.a pantā minētie piemērojamie drošības mērķi ir sasniegti;”

;

punkta j) apakšpunktu aizstāj ar šādu:

“j)

noteikumi, kas vajadzīgi, lai pārraudzītu, vai IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldīti drošības pakalpojumi atbilst Eiropas kiberdrošības sertifikātu vai ES atbilstības apliecinājumu prasībām, tostarp mehānismi, kas izmantojami, lai pierādītu noteikto kiberdrošības prasību pastāvīgu ievērošanu;”

;

punkta l) apakšpunktu aizstāj ar šādu:

“l)	noteikumi par sekām attiecībā uz tādiem IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem, kuri ir sertificēti vai par kuriem ir izdots ES atbilstības apliecinājums, bet kuri neatbilst shēmas prasībām;”

;

punkta o) apakšpunktu aizstāj ar šādu:

“o)

to valsts vai starptautisko kiberdrošības sertifikācijas shēmu identifikācija, kuras attiecas uz viena un tā paša veida vai kategorijas IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem, drošības prasībām, izvērtēšanas kritērijiem un metodēm un apliecinājuma līmeņiem;”

;

punkta q) apakšpunktu aizstāj ar šādu:

“q)	pieejamības laikposms, kurā IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājam vai sniedzējam jādara pieejams ES atbilstības apliecinājums, tehniskā dokumentācija un visa pārējā attiecīgā informācija;”

;

14)

regulas 56. pantu groza šādi:

a)	panta 1. punktu aizstāj ar šādu: “1. IKT produktus, IKT pakalpojumus, IKT procesus un pārvaldītus drošības pakalpojumus, kuri ir sertificēti atbilstīgi Eiropas kiberdrošības sertifikācijas shēmai, kas pieņemta ievērojot 49. pantu, uzskata par atbilstīgiem minētās shēmas prasībām.” ;

panta 3. punktu groza šādi:

pirmo daļu aizstāj ar šādu:

“Komisija regulāri novērtē pieņemto Eiropas kiberdrošības sertifikācijas shēmu efektivitāti un izmantojumu un to, vai konkrēta Eiropas kiberdrošības sertifikācijas shēma ir jānosaka par obligātu ar attiecīgu Savienības tiesību aktu, lai nodrošinātu IKT produktu, IKT pakalpojumu, IKT procesu un no 2025. gada 4. februāra, pārvaldītu drošības pakalpojumu pienācīgi augstu kiberdrošības līmeni Savienībā un uzlabotu iekšējā tirgus darbību. Pirmais šāds novērtējums tiek veikts līdz 2023. gada 31. decembrim, un pēc tam turpmākie novērtējumi tiek veikti vismaz reizi divos gados. Komisija, balstoties uz minēto novērtējumu iznākumu, nosaka tos kādas esošas sertifikācijas shēmas aptvertus IKT produktus, IKT pakalpojumus, IKT procesus un pārvaldītus drošības pakalpojumus, uz kuriem jāattiecina obligāta sertificēšanas shēma.”

;

ii)

trešo daļu groza šādi:

—

daļas a) apakšpunktu aizstāj ar šādu:

“a)

ņem vērā minēto pasākumu ietekmi izmaksu ziņā uz šādu IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājiem vai sniedzējiem un lietotājiem un to, kādi sociāli vai ekonomiski ieguvumi izriet no paredzētās drošības līmeņa paaugstināšanas konkrētajiem IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem;”

;

—

daļas d) apakšpunktu aizstāj ar šādu:

“d)

ņem vērā jebkurus īstenošanas termiņus, pārejas pasākumus un laikposmus, jo īpaši attiecībā uz pasākuma iespējamo ietekmi uz IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājiem vai sniedzējiem, tostarp MVU, kā arī mikrouzņēmumu specifiskās intereses un vajadzības;”

;

panta 7. un 8. punktu aizstāj ar šādiem:

“7. Fiziska vai juridiska persona, kas iesniedz pieteikumu IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu sertifikācijai, dara pieejamu visu sertifikācijas veikšanai nepieciešamo informāciju valsts kiberdrošības sertifikācijas iestādei, kas izraudzīta, ievērojot 58. pantu, ja tā ir Eiropas kiberdrošības sertifikāta izdevēja struktūra, vai 60. pantā minētajai atbilstības novērtēšanas struktūrai.

8. Eiropas kiberdrošības sertifikāta turētājs 7. punktā minēto iestādi vai struktūru informē par jebkādām vēlāk atklātām IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma ievainojamībām vai neatbilstībām, kuras varētu ietekmēt tā atbilstību ar sertifikāciju saistītajām prasībām. Minētā iestāde vai struktūra saņemto informāciju bez liekas kavēšanās pārsūta attiecīgajai valsts kiberdrošības sertifikācijas iestādei.”

;

15)

regulas 57. panta 1. un 2. punktu aizstāj ar šādiem:

“1. Neskarot šā panta 3. punktu, valstu kiberdrošības sertifikācijas shēmas un saistītās procedūras, kas paredzētas IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem, uz kuriem attiecas Eiropas kiberdrošības sertifikācijas shēma, zaudē spēku no datuma, kas noteikts saskaņā ar 49. panta 7. punktu pieņemtajā īstenošanas aktā. Valstu kiberdrošības sertifikācijas shēmas un saistītās procedūras, kas paredzētas IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem, uz kuriem neattiecas Eiropas kiberdrošības sertifikācijas shēma, paliek spēkā arī turpmāk.

2. Dalībvalstis neievieš jaunas valsts kiberdrošības sertifikācijas shēmas IKT produktiem, IKT pakalpojumiem, IKT procesiem un pārvaldītiem drošības pakalpojumiem, uz kuriem jau attiecas spēkā esoša Eiropas kiberdrošības sertifikācijas shēma.”

;

16)

regulas 58. pantu groza šādi:

panta 7. punktu groza šādi:

punkta a) un b) apakšpunktu aizstāj ar šādiem:

“a)

sadarbībā ar citām attiecīgām tirgus uzraudzības iestādēm uzrauga noteikumus, kas, ievērojot 54. panta 1. punkta j) apakšpunktu, ietverti Eiropas kiberdrošības sertifikācijas shēmās nolūkā pārraudzīt IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu atbilstību to attiecīgajās teritorijās izdoto Eiropas kiberdrošības sertifikātu prasībām, un nodrošina minēto noteikumu izpildi;

pārrauga atbilstību tiem pienākumiem un panāk to pienākumu izpildi, kas piemērojami IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotājiem vai sniedzējiem, kuri ir iedibināti to attiecīgajās teritorijās un kuri veic atbilstības pašnovērtēšanu, un jo īpaši pārrauga šādu ražotāju vai sniedzēju atbilstību tiem pienākumiem un panāk to pienākumu izpildi, kas noteikti 53. panta 2. un 3. punktā un attiecīgajā Eiropas kiberdrošības sertifikācijas shēmā;”

;

ii)

punkta h) apakšpunktu aizstāj ar šādu:

“h)

sadarbojas ar citām valsts kiberdrošības sertifikācijas iestādēm vai citām publiskām iestādēm, piemēram, kopīgojot informāciju par IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu iespējamu neatbilstību šīs regulas vai konkrētu Eiropas kiberdrošības sertifikācijas shēmu prasībām; un”

;

panta 9. punktu aizstāj ar šādu:

“9. Valsts kiberdrošības sertifikācijas iestādes sadarbojas savā starpā un ar Komisiju, jo īpaši apmainoties ar informāciju, pieredzi un labu praksi attiecībā uz kiberdrošības sertifikācijas un tehniskiem jautājumiem, kas skar IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu kiberdrošību.”

;

17)

regulas 59. panta 3. punkta b) un c) apakšpunktu aizstāj ar šādiem:

“b)	uzraudzības un noteikumu izpildes panākšanas procedūras, ar ko paredz pārraudzīt IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu atbilstību Eiropas kiberdrošības sertifikātiem, ievērojot 58. panta 7. punkta a) apakšpunktu;

c)	procedūras, kas paredzētas IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu ražotāju vai sniedzēju pienākumu pārraudzībai un izpildes panākšanai, ievērojot 58. panta 7. punkta b) apakšpunktu;”

;

18)

regulas 67. panta 2. un 3. punktu aizstāj ar šādiem:

“2. Novērtējumā izvērtē arī šīs regulas III sadaļas noteikumu, tostarp procedūru, kuru rezultātā tiek pieņemtas Eiropas kiberdrošības sertifikācijas shēmas un to pierādījumu bāzes, ietekmi, rezultativitāti un efektivitāti attiecībā uz mērķiem nodrošināt IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu pienācīgu kiberdrošības līmeni Savienībā un uzlabot iekšējā tirgus darbību.

3. Novērtējumā izvērtē, vai ir nepieciešamas kiberdrošības pamatprasības attiecībā uz piekļuvi iekšējam tirgum, lai novērstu kiberdrošības pamatprasībām neatbilstošu IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu ienākšanu iekšējā tirgū.”

;

19)	pielikumu groza saskaņā ar šīs regulas pielikuma tekstu.

2. pants

Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.

Briselē, 2024. gada 19. decembris

Eiropas Parlamenta vārdā –

priekšsēdētāja

R. METSOLA

Padomes vārdā –

priekšsēdētājs

BÓKA J.

(1) OV C 349, 29.9.2023., 167. lpp.

(2) Eiropas Parlamenta 2024. gada 24. aprīļa nostāja (Oficiālajā Vēstnesī vēl nav publicēta) un Padomes 2024. gada 2. decembra lēmums.

(3) Eiropas Parlamenta un Padomes Regula (ES) 2019/881 (2019. gada 17. aprīlis) par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ Regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (OV L 151, 7.6.2019., 15. lpp.).

(4) Eiropas Parlamenta un Padomes Regula (ES) 2024/2847 (2024. gada 23. oktobris) par horizontālajām kiberdrošības prasībām produktiem ar digitāliem elementiem un ar ko groza Regulas (ES) Nr. 168/2013 un (ES) 2019/1020 un Direktīvu (ES) 2020/1828 (Kibernoturības akts) (OV L, 2024/2847, 20.11.2024., ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(5) Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2555 (2022. gada 14. decembris) par pasākumiem nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva) (OV L 333, 27.12.2022., 80. lpp.).

(6) Eiropas Parlamenta un Padomes Regula (ES) 2025/38 (2024. gada 19. decembris) kas nosaka pasākumus, kuri stiprina solidaritāti un spējas Savienībā atklāt kiberdraudus un incidentus, tiem sagatavoties un uz tiem reaģēt un ar ko groza Regulu (ES) 2021/694 (Kibersolidaritātes akts) (OV L, 2025/38, 15.1.2025., ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(7) Eiropas Parlamenta un Padomes Regula (ES) 2021/694 (2021. gada 29. aprīlis), ar ko izveido programmu “Digitālā Eiropa” un atceļ Lēmumu (ES) 2015/2240 (OV L 166, 11.5.2021., 1. lpp.).

(8) Eiropas Parlamenta un Padomes Lēmums (ES) 2022/2481 (2022. gada 14. decembris), ar ko izveido politikas programmu “Digitālās desmitgades ceļš” 2030. gadam (OV L 323, 19.12.2022., 4. lpp.).

(9) Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV L 295, 21.11.2018., 39. lpp.).