IL-KUMMISSJONI EWROPEA

Brussell, 16.12.2020

COM(2020) 823 final

2020/0359(COD)

Proposta għal

DIRETTIVA TAL-PARLAMENT EWROPEW U TAL-KUNSILL

dwar miżuri għal livell għoli komuni ta’ ċibersigurtà madwar l-Unjoni kollha, li tħassar id-Direttiva (UE) 2016/1148

(Test b’rilevanza għaż-ŻEE)

{SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}

MEMORANDUM TA’ SPJEGAZZJONI

1.KUNTEST TAL-PROPOSTA

•Raġunijiet u objettivi tal-proposta

Din il-proposta hija parti minn pakkett ta’ miżuri biex jittejbu aktar il-kapaċitajiet ta’ reżiljenza u ta’ rispons għall-inċidenti tal-entitajiet pubbliċi u privati, tal-awtoritajiet kompetenti u tal-Unjoni kollha fil-qasam taċ-ċibersigurtà u l-protezzjoni tal-infrastruttura kritika. Hija konformi mal-prijoritajiet tal-Kummissjoni biex l-Ewropa tkun lesta għall-era diġitali u biex tinbena ekonomija lesta għall-ġejjieni li taħdem għan-nies. Iċ-ċibersigurtà hija prijorità fir-rispons tal-Kummissjoni għall-kriżi tal-COVID-19. Il-pakkett jinkludi Strateġija ġdida dwar iċ-Ċibersigurtà bl-għan li tissaħħaħ l-awtonomija strateġika tal-Unjoni għat-titjib tar-reżiljenza u tar-rispons kollettiv tagħha u biex jinbena internet miftuħ u globali. Fl-aħħar nett, il-pakkett fih proposta għal direttiva dwar ir-reżiljenza tal-operaturi kritiċi tas-servizzi essenzjali, li għandha l-għan li timmitiga t-theddid fiżiku kontra dawn l-operaturi.

Din il-proposta tibni fuq id-Direttiva (UE) 2016/1148 dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni madwar l-Unjoni (id-Direttiva NIS) u tħassarha, li hija l-ewwel leġiżlazzjoni tal-UE kollha dwar iċ-ċibersigurtà u tipprevedi miżuri legali li jsaħħu l-livell ġenerali taċ-ċibersigurtà fl-Unjoni. Id-Direttiva NIS (1) ikkontribwiet għat-titjib tal-kapaċitajiet taċ-ċibersigurtà fil-livell nazzjonali billi talbet lill-Istati Membri jadottaw strateġiji nazzjonali dwar iċ-ċibersigurtà u jaħtru awtoritajiet taċ-ċibersigurtà; (2) żiedet il-kooperazzjoni bejn l-Istati Membri fil-livell tal-Unjoni billi stabbiliet diversi fora li jiffaċilitaw l-iskambju tal-informazzjoni strateġika u operazzjonali; u (3) tejbet ir-reżiljenza ċibernetika tal-entitajiet pubbliċi u privati f’seba’ setturi speċifiċi (tal-enerġija, tat-trasport, dak bankarju, tal-infrastrutturi tas-swieq finanzjarji, tal-kura tas-saħħa, tal-forniment u d-distribuzzjoni tal-ilma tax-xorb, u tal-infrastrutturi diġitali) u tul tliet servizzi diġitali (is-swieq online, il-magni tat-tiftix online u s-servizzi tal-cloud computing) billi talbet lill-Istati Membri jiżguraw li l-operaturi tas-servizzi essenzjali u l-fornituri tas-servizzi diġitali jistabbilixxu rekwiżiti taċ-ċibersigurtà u jirrappurtaw l-inċidenti.

Il-proposta timmodernizza l-qafas legali eżistenti u tqis iż-żieda fid-diġitalizzazzjoni tas-suq intern fis-snin riċenti u x-xenarju dejjem jevolvi tat-theddid taċ-ċibersigurtà. Iż-żewġ żviluppi ġew amplifikati ulterjorment mill-bidu tal-kriżi tal-COVID-19. Il-proposta tindirizza wkoll diversi nuqqasijiet li żammew lura lid-Direttiva NIS milli tilħaq il-potenzjal kollu tagħha.

Minkejja l-kisbiet notevoli tagħha, id-Direttiva NIS, li wittiet it-triq għal bidla sinifikanti fil-mentalità fir-rigward tal-approċċ istituzzjonali u regolatorju għaċ-ċibersigurtà f’ħafna Stati Membri, uriet ukoll li għandha l-limiti tagħha. It-trasformazzjoni diġitali tas-soċjetà (intensifikata mill-kriżi tal-COVID-19) estendiet ix-xenarju tat-theddid u qed toħloq sfidi ġodda li jeħtieġu rispons adattat u innovattiv. L-għadd ta’ attakki ċibernetiċi qed ikompli jiżdied, b’attakki dejjem aktar sofistikati minn firxa wiesgħa ta’ sorsi kemm mill-UE kif ukoll minn barra l-UE.

L-evalwazzjoni dwar il-funzjonament tad-Direttiva NIS, imwettqa għall-finijiet tal-Valutazzjoni tal-Impatt, identifikat il-kwistjonijiet li ġejjin: (1) il-livell baxx ta’ reżiljenza ċibernetika tan-negozji li joperaw fl-UE; (2) ir-reżiljenza inkonsistenti fost l-Istati Membri u s-setturi; u (3) il-livell baxx ta’ għarfien konġunt tas-sitwazzjoni u n-nuqqas ta’ rispons konġunt għall-kriżijiet. Pereżempju, xi sptarijiet ewlenin fi Stat Membru ma jaqgħux fil-kamp ta’ applikazzjoni tad-Direttiva NIS u għalhekk mhumiex meħtieġa jimplimentaw il-miżuri ta’ sigurtà li jirriżultaw, filwaqt li fi Stat Membru ieħor, kważi kull fornitur tal-kura tas-saħħa fil-pajjiż hu kopert mir-rekwiżiti tas-sigurtà tal-NIS.

Peress li hija inizjattiva fi ħdan il-Programm dwar l-Idoneità u l-Prestazzjoni tar-Regolamentazzjoni (REFIT), il-proposta għandha l-għan li tnaqqas il-piż regolatorju għall-awtoritajiet kompetenti u l-kostijiet tal-konformità għall-entitajiet pubbliċi u privati. B’mod partikolari, dan jinkiseb billi jitneħħa l-obbligu tal-awtoritajiet kompetenti li jidentifikaw l-operaturi tas-servizzi essenzjali u billi jiżdied il-livell ta’ armonizzazzjoni tar-rekwiżiti tas-sigurtà u tar-rapportar biex tiġi faċilitata l-konformità regolatorja għall-entitajiet li jipprovdu servizzi transfruntieri. Fl-istess ħin, l-awtoritajiet kompetenti se jingħataw ukoll għadd ta’ kompiti ġodda, inkluż is-superviżjoni tal-entitajiet fis-setturi li s’issa mhumiex koperti mid-Direttiva NIS.

•Konsistenza mad-dispożizzjonijiet eżistenti fil-qasam ta’ politika

Din il-proposta hija parti minn sett usa’ ta’ strumenti legali eżistenti u inizjattivi futuri fil-livell tal-Unjoni li għandhom l-għan li jżidu r-reżiljenza tal-entitajiet pubbliċi u privati kontra t-theddid.

Fil-qasam taċ-ċibersigurtà, b’mod partikolari dawn huma d-Direttiva (UE) 2018/1972 li tistabbilixxi l-Kodiċi Ewropew għall-Komunikazzjonijiet Elettroniċi (id-dispożizzjonijiet marbuta maċ-ċibersigurtà li se jiġu sostitwiti mid-dispożizzjonijiet ta’ din il-proposta) u l-proposta għal Regolament dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju (COM(2020) 595 final), li se titqies bħala lex specialis ta’ din il-proposta ladarba ż-żewġ atti jidħlu fis-seħħ.

Fil-qasam tas-sigurtà fiżika, il-proposta tikkumplimenta l-proposta għal Direttiva dwar ir-reżiljenza tal-entitajiet kritiċi, li tirrevedi d-Direttiva 2008/114/KE dwar l-identifikazzjoni u l-indikazzjoni tal-Infrastruttura Kritika Ewropea u l-valutazzjoni tal-ħtieġa għat-titjib tal-ħarsien tagħhom (id-Direttiva ECI), li tistabbilixxi proċess tal-Unjoni għall-identifikazzjoni u d-deżinjazzjoni tal-infrastrutturi kritiċi Ewropej, u tistabbilixxi approċċ għat-titjib tal-protezzjoni tagħhom. F’Lulju 2020, il-Kummissjoni adottat Strateġija tal-UE dwar l-Unjoni tas-Sigurtà 1 , li kkonfermat l-interkonnessjoni u l-interdipendenza li dejjem qed jiżdiedu bejn l-infrastrutturi fiżiċi u diġitali. Enfasizzat il-ħtieġa għal approċċ aktar koerenti u konsistenti bejn id-Direttiva ECI u d-Direttiva (UE) 2016/1148 dwar miżuri għal livell għoli komuni ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni madwar l-Unjoni.

Għalhekk, il-proposta hija allinjata mill-qrib mal-proposta għal Direttiva dwar ir-reżiljenza tal-entitajiet kritiċi, li għandha l-għan li ssaħħaħ ir-reżiljenza tal-entitajiet kritiċi kontra t-theddid fiżiku f’għadd kbir ta’ setturi. Il-proposta għandha l-għan li tiżgura li l-awtoritajiet kompetenti taħt iż-żewġ atti legali, jieħdu miżuri kumplimentari u jiskambjaw l-informazzjoni kif meħtieġ dwar ir-reżiljenza ċibernetika u mhux ċibernetika, u li l-operaturi partikolarment kritiċi fis-setturi meqjusa “essenzjali” skont din il-proposta, ikunu wkoll soġġetti għal obbligi aktar ġenerali li jsaħħu r-reżiljenza b’enfasi fuq ir-riskji mhux ċibernetiċi.

•Konsistenza ma’ politiki oħra tal-Unjoni

Kif stabbilit fil-Komunikazzjoni “Insawru l-futur diġitali tal-Ewropa” 2 , huwa kruċjali għall-Ewropa li tibbenefika bis-sħiħ mill-era diġitali u li ssaħħaħ l-industrija u l-kapaċità tal-innovazzjoni tagħha, f’limiti sikuri u etiċi. L-istrateġija Ewropea għad-data tistabbilixxi erba’ pilastri – il-protezzjoni tad-data, id-drittijiet fundamentali, is-sikurezza, u ċ-ċibersigurtà – bħala prerekwiżiti essenzjali għal soċjetà emanċipata bl-użu tad-data.

F’riżoluzzjoni tat-12 ta’ Marzu 2019, il-Parlament Ewropew stieden “[...] lill-Kummissjoni tivvaluta l-ħtieġa li jitwessa’ l-kamp ta’ applikazzjoni tad-Direttiva NIS għal setturi u servizzi kritiċi oħrajn li mhumiex koperti minn leġiżlazzjoni speċifika għas-settur” 3 . Il-Kunsill, fil-konklużjonijiet tiegħu tad-9 ta’ Ġunju 2020, laqa’ [...] l-pjanijiet tal-Kummissjoni li tiżgura regoli konsistenti għall-operaturi tas-suq u li tiffaċilita kondiviżjoni ta’ informazzjoni sigura, robusta u xierqa dwar it-theddid kif ukoll l-inċidenti, inkluż permezz ta’ rieżami tad-Direttiva dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni (id-Direttiva dwar iċ-Ċibersigurtà), biex tkompli l-ħidma fuq opzjonijiet għal reżiljenza ċibernetika mtejba u risponsi aktar effettivi għall-attakki ċibernetiċi, b’mod partikolari dwar attivitajiet ekonomiċi u soċjetali essenzjali, filwaqt li jiġu rispettati l-kompetenzi tal-Istati Membri, inkluż ir-responsabbiltà għas-sigurtà nazzjonali tagħhom” 4 . Barra minn hekk, l-att legali propost huwa mingħajr preġudizzju għall-applikazzjoni tar-regoli tal-kompetizzjoni stabbiliti fit-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (TFUE).

Peress li parti sinifikanti mit-theddid taċ-ċibersigurtà toriġina minn barra l-UE, hemm bżonn approċċ koerenti għal kooperazzjoni internazzjonali. Din id-Direttiva għandha tikkostitwixxi mudell ta’ referenza li jeħtieġ jiġi promoss fil-kuntest tal-kooperazzjoni tal-UE ma’ partijiet terzi, b’mod partikolari meta tingħata l-assistenza teknika esterna.

2.BAŻI ĠURIDIKA, SUSSIDJARJETÀ U PROPORZJONALITÀ

•Bażi ġuridika

Il-bażi ġuridika tad-Direttiva NIS hija l-Artikolu 114 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, li l-għan tiegħu huwa l-istabbiliment u l-funzjonament tas-suq intern billi jissaħħu l-miżuri għall-approssimazzjoni tar-regoli nazzjonali. Kif iddikjarat il-Qorti tal-Ġustizzja tal-UE fis-sentenza tagħha fil-Kawża C-58/08 Vodafone u oħrajn, li wieħed jirrikorri għall-Artikolu 114 tat-TFUE huwa ġġustifikat meta jkun hemm differenzi bejn ir-regoli nazzjonali li jkollhom effett dirett fuq il-funzjonament tas-suq intern. Bl-istess mod, il-Qorti ddikjarat li meta att bażiku bbażat fuq l-Artikolu 114 tat-TFUE jkun diġà neħħa kwalunkwe ostaklu għall-kummerċ fil-qasam li dan jarmonizza, il-leġiżlatura tal-Unjoni ma tistax tiġi rrifjutata l-possibbiltà li tadatta dak l-att għal kwalunkwe bidla fiċ-ċirkostanzi jew żvilupp tal-għarfien filwaqt li jitqies il-kompitu tagħha li tissalvagwardja l-interessi ġenerali rikonoxxuti mit-Trattat. Fl-aħħar nett, il-Qorti ddikjarat li l-miżuri għall-approssimazzjoni koperti mill-Artikolu 114 tat-TFUE huma maħsuba biex jippermettu marġni ta’ diskrezzjoni, skont il-kuntest ġenerali u ċ-ċirkostanzi speċifiċi tal-kwistjoni li jeħtieġ tiġi armonizzata, bħala l-aktar metodu ta’ approssimazzjoni xieraq biex jinkiseb ir-riżultat mixtieq. L-att legali propost ineħħi l-ostakli għall-istabbiliment u l-funzjonament tas-suq intern għall-entitajiet essenzjali u importanti, u jtejjibhom, billi: jistabbilixxi regoli ċari u ġeneralment applikabbli dwar il-kamp ta’ applikazzjoni tad-Direttiva NIS, u jarmonizza r-regoli applikabbli fil-qasam tal-ġestjoni tar-riskji taċ-ċibersigurtà u r-rapportar tal-inċidenti. Id-diskrepanzi attwali f’dan il-qasam, kemm fil-livell leġiżlattiv u dak superviżorju, kif ukoll fil-livell nazzjonali u dak tal-UE, huma ostakli għas-suq intern minħabba li l-entitajiet li jinvolvu ruħhom f’attivitajiet transfruntieri jħabbtu wiċċhom ma’ rekwiżiti regolatorji differenti u possibbilment sovrastanti u/jew l-applikazzjoni tagħhom, għad-detriment tal-eżerċitar tal-libertajiet tagħhom tal-istabbiliment u l-forniment tas-servizzi. Regoli differenti għandhom ukoll impatt negattiv fuq il-kondizzjonijiet tal-kompetizzjoni fis-suq intern fir-rigward tal-entitajiet tal-istess tip fi Stati Membri differenti.

•Sussidjarjetà (għall-kompetenza mhux esklużiva) 

Ir-reżiljenza taċ-ċibersigurtà madwar l-Unjoni ma tistax tkun effettiva jekk nippruvaw naslu għaliha b’manjieri differenti permezz ta’ sistemi iżolati nazzjonali jew reġjonali. Id-Direttiva NIS indirizzat parzjalment dan in-nuqqas billi stabbiliet qafas għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni fil-livell nazzjonali u dak tal-Unjoni. Madankollu, it-traspożizzjoni u l-implimentazzjoni tagħha wasslet għal nuqqasijiet inerenti żgħar u limiti ta’ ċerti dispożizzjonijiet jew approċċi, bħal delimitazzjoni mhux ċara tal-kamp ta’ applikazzjoni tad-Direttiva li twassal għal differenzi sinifikanti fil-firxa u l-profondità tal-intervent de facto tal-UE fil-livell tal-Istati Membri. Barra minn hekk, minħabba l-kriżi tal-COVID-19, l-ekonomija Ewropea saret iktar dipendenti minn qatt qabel fuq in-networks u s-sistemi tal-informazzjoni u s-setturi u s-servizzi qed kulma jmur isiru iktar interkonnessi. L-intervent tal-UE li jmur lil hinn mill-miżuri attwali tad-Direttiva NIS huwa ġġustifikat prinċipalment permezz: (i) tan-natura dejjem iktar transfruntiera tat-theddid u l-isfidi marbuta mas-sigurtà tan-networks u tas-sistemi tal-informazzjoni; (ii) tal-potenzjal tal-azzjoni tal-Unjoni li ttejjeb u tiffaċilita politiki nazzjonali effettivi u kkoordinati; u (iii) tal-kontribut ta’ azzjonijiet politiċi miftiehma u kollaborattivi għal protezzjoni effettiva tal-protezzjoni tad-data u tal-privatezza.

•Proporzjonalità

Ir-regoli proposti f’din id-Direttiva ma jmorrux lil hinn minn dak meħtieġ biex l-objettivi speċifiċi jintlaħqu b’mod sodisfaċenti. L-allinjament u s-simplifikazzjoni previsti tal-miżuri tas-sigurtà u tal-obbligi tar-rapportar huma relatati mat-talbiet tal-Istati Membri u tan-negozji biex jittejjeb il-qafas attwali.

Il-proposta tqis il-prattiki diġà eżistenti fl-Istati Membri. Livell ta’ protezzjoni msaħħaħ miksub permezz tat-tali rekwiżiti simplifikati u kkoordinati huwa proporzjonat mar-riskji dejjem akbar iffaċċjati, inkluż dawk li jippreżentaw element transfruntier; huma raġjonevoli u ġeneralment jikkorrispondu mal-interess tal-entitajiet involuti fl-iżgurar tal-kontinwità u l-kwalità tas-servizzi tagħhom. Il-kostijiet għall-iżgurar ta’ kooperazzjoni sistematika fost l-Istati Membri jkunu ftit meta mqabbla mat-telf ekonomiku u soċjetali u d-danni kkawżati mill-inċidenti taċ-ċibersigurtà. Barra minn hekk, il-konsultazzjonijiet mal-partijiet ikkonċernati li twettqu fil-kuntest tar-rieżami tad-Direttiva NIS, inkluż ir-riżultati tal-Konsultazzjoni Pubblika Miftuħa u l-istħarriġiet immirati, juru appoġġ għar-reviżjoni tad-Direttiva NIS simili għal dak imsemmi hawn fuq.

•Għażla tal-istrument

Il-proposta se tissimplifika aktar l-obbligi imposti fuq in-negozji u tiżgura livell ogħla tal-armonizzazzjoni tagħhom. Fl-istess ħin, il-proposta għandha l-għan li tipprovdi l-flessibbiltà meħtieġa lill-Istati Membri biex jitqiesu l-ispeċifiċitajiet nazzjonali (bħall-possibbiltà li jiġu identifikati entitajiet essenzjali jew importanti addizzjonali li jmorru lil hinn mil-linja bażi stabbilita mill-att legali). Għalhekk, jenħtieġ li l-istrument legali futur ikun Direttiva, peress li dan l-istrument legali jippermetti armonizzazzjoni mmirata mtejba kif ukoll ċerta flessibbiltà lill-awtoritajiet kompetenti.

3.RIŻULTATI TAL-EVALWAZZJONIJIET EX POST, TAL-KONSULTAZZJONIJIET MAL-PARTIJIET IKKONĊERNATI U TAL-VALUTAZZJONIJIET TAL-IMPATT

•Evalwazzjonijiet ex post/kontrolli tal-idoneità tal-leġiżlazzjoni eżistenti

Il-Kummissjoni wettqet evalwazzjoni tal-funzjonament tad-Direttiva NIS. 5 Analizzat ir-rilevanza, il-valur miżjud tal-UE, il-koerenza, l-effettività u l-effiċjenza tagħha. Is-sejbiet ewlenin ta’ din l-analiżi huma:

·Il-kamp ta’ applikazzjoni tad-Direttiva NIS huwa limitat wisq mil-lat tas-setturi koperti, prinċipalment minħabba: (i) iż-żieda fid-diġitalizzazzjoni fis-snin riċenti u livell ogħla ta’ interkonnessjoni, (ii) il-kamp ta’ applikazzjoni tad-Direttiva NIS ma għadux jirrifletti s-setturi diġitalizzati kollha li jipprovdu servizzi ewlenin għall-ekonomija u s-soċjetà kollha.

·Id-Direttiva NIS mhijiex biżżejjed ċara fir-rigward tal-kamp ta’ applikazzjoni għall-operaturi tas-servizzi essenzjali u d-dispożizzjonijiet tagħha ma jipprovdux biżżejjed ċarezza dwar il-kompetenza nazzjonali fir-rigward tal-fornituri tas-servizzi diġitali. Dan wassal għal sitwazzjoni fejn ċerti tipi ta’ entitajiet ma ġewx identifikati fl-Istati Membri kollha u għalhekk mhumiex meħtieġa jdaħħlu miżuri ta’ sigurtà u jirrapportaw l-inċidenti.

·Id-Direttiva NIS ippermettiet diskrezzjoni lill-Istati Membri meta jistabbilixxu r-rekwiżiti tas-sigurtà u tar-rapportar tal-inċidenti għall-operaturi tas-servizzi essenzjali (minn issa ’l quddiem imsejħa “OES(s)”). L-evalwazzjoni turi li f’ċerti istanzi l-Istati Membri implimentaw dawn ir-rekwiżiti b’modi differenti ħafna, u ħolqu piż addizzjonali għall-kumpaniji li joperaw f’iktar minn Stat Membru wieħed.

·Ir-reġim ta’ superviżjoni u infurzar tad-Direttiva NIS huwa ineffettiv. Pereżempju, l-Istati Membri żammew lura ħafna milli japplikaw penali lill-entitajiet li naqsu milli jdaħħlu rekwiżiti tas-sigurtà jew jirrapportaw l-inċidenti. Dan jista’ jkollu konsegwenzi negattivi għar-reżiljenza ċibernetika tal-entitajiet individwali.

·Ir-riżorsi finanzjarji u umani allokati mill-Istati Membri biex jissodisfaw il-kompiti tagħhom (bħall-identifikazzjoni jew is-superviżjoni tal-OES), u konsegwentement il-livelli differenti ta’ maturità fl-ittrattar tar-riskji taċ-ċibersigurtà, ivarjaw ferm. Dan ikompli jżid id-differenzi fir-reżiljenza ċibernetika bejn l-Istati Membri.

·L-Istati Membri ma jikkondividux bejniethom l-informazzjoni b’mod sistematiku, b’konsegwenzi negattivi b’mod partikolari għall-effettività tal-miżuri taċ-ċibersigurtà u għal-livell tal-għarfien konġunt tas-sitwazzjoni fil-livell tal-UE. Dan huwa l-każ ukoll għall-kondiviżjoni tal-informazzjoni fost l-entitajiet privati, u għall-interazzjoni bejn l-istrutturi u l-entitajiet privati li jikkooperaw fil-livell tal-UE.

•Konsultazzjonijiet mal-partijiet ikkonċernati

Il-Kummissjoni kkonsultat firxa wiesgħa ta’ partijiet ikkonċernati. L-Istati Membri u l-partijiet ikkonċernati ġew mistiedna jieħdu sehem f’Konsultazzjoni Pubblika Miftuħa u fl-istħarriġiet u s-sessjonijiet ta’ ħidma organizzati minn Wavestone, CEPS u ICF, li l-Kummissjoni kkuntrattat biex iwettqu studju li jappoġġa r-rieżami tad-Direttiva NIS. Il-partijiet ikkonċernati, inkluż l-awtoritajiet kompetenti, il-korpi tal-Unjoni li jittrattaw iċ-ċibersigurtà, l-operaturi tas-servizzi essenzjali, il-fornituri tas-servizzi diġitali, l-entitajiet li jipprovdu servizzi barra mill-kamp ta’ applikazzjoni tad-Direttiva NIS, l-assoċjazzjonijiet tal-kummerċ u l-organizzazzjonijiet tal-konsumatur, u ċ-ċittadini.

Barra minn hekk, il-Kummissjoni kienet f’kuntatt kostanti mal-awtoritajiet kompetenti responsabbli mill-implimentazzjoni tad-Direttiva NIS. Il-Grupp ta’ Kooperazzjoni kopra b’mod estensiv diversi aspetti tal-implimentazzjoni trażversali u settorjali. Fl-aħħar nett, matul iż-żjarat tagħha fil-pajjiżi b’rabta mal-NIS fl-2019 u fl-2020, il-Kummissjoni intervistat lil 154 entità pubblika u privata, kif ukoll lil 117-il awtorità kompetenti.

•Ġbir u użu tal-għarfien espert

Il-Kummissjoni kkuntrattat lil konsorzju ta’ Wavestone, CEPS u ICF biex jappoġġa lill-Kummissjoni fir-rieżami tad-Direttiva NIS 6 . Il-kuntrattur mhux talli laħaq lill-partijiet ikkonċernati affettwati direttament mid-Direttiva NIS permezz tal-istħarriġiet u s-sessjonijiet ta’ ħidma mmirati, iżda kkonsulta wkoll ma’ firxa wiesgħa ta’ esperti fil-qasam taċ-ċibersigurtà, bħal riċerkaturi taċ-ċibersigurtà u professjonisti fl-industrija taċ-ċibersigurtà.

•Valutazzjoni tal-impatt

Din il-proposta hija akkumpanjata minn valutazzjoni tal-impatt 7 , li ġiet sottomessa lill-Bord tal-Iskrutinju Regolatorju (RSB) fit-23 ta’ Ottubru 2020 u rċeviet opinjoni pożittiva b’kummenti mill-RSB fl-20 ta’ Novembru 2020. L-RSB irrakkomanda titjib f’xi oqsma bil-ħsieb li: (1) jiġi rifless aħjar ir-rwol tar-riperkussjonijiet transfruntieri fl-analiżi tal-problema; (2) jiġi spjegat aħjar kif ikun is-suċċess għall-inizjattiva; (3) tiġi ġġustifikata ulterjorment il-lista tal-għażliet politiċi; (4) jiġu elaborati ulterjorment il-kostijiet tal-miżuri proposti. Il-valutazzjoni tal-impatt ġiet aġġustata biex jiġu indirizzati dawn il-punti kif ukoll iktar kummenti dettaljati mill-RSB. Issa tinkludi aktar spjegazzjonijiet dettaljati tar-rwol tar-riperkussjonijiet transfruntieri fil-qasam taċ-ċibersigurtà, ħarsa ġenerali aktar ċara dwar kif jista’ jitkejjel is-suċċess, spjegazzjoni aktar dettaljata tat-tfassil u l-loġika wara l-għażliet u l-azzjonijiet politiċi differenti meqjusa fi ħdan dawn l-għażliet, spjegazzjoni aktar dettaljata tal-aspetti analizzati fir-rigward tal-kamp ta’ applikazzjoni settorjali tad-Direttiva NIS u kjarifiki ulterjuri dwar il-kostijiet.

Il-Kummissjoni qieset għadd ta’ għażliet politiċi biex jittejjeb il-qafas legali fil-qasam tar-reżiljenza ċibernetika u r-rispons għall-inċidenti:

·“Ma jsir xejn”: Id-Direttiva NIS tibqa’ l-istess u ma tiddaħħal l-ebda miżura oħra ta’ natura mhux leġiżlattiva biex jiġu indirizzati l-problemi identifikati mill-evalwazzjoni tad-Direttiva NIS.

·Għażla 1: Ma jkun hemm l-ebda bidla fil-livell leġiżlattiv. Minflok, il-Kummissjoni toħroġ rakkomandazzjonijiet u linji gwida (pereżempju dwar l-identifikazzjoni tal-operaturi tas-servizzi essenzjali, ir-rekwiżiti tas-sigurtà, il-proċeduri ta’ notifika tal-inċidenti u s-superviżjoni), wara konsultazzjoni mal-Grupp ta’ Kooperazzjoni, l-Aġenzija tal-UE għaċ-Ċibersigurtà (ENISA) u meta applikabbli, in-network tal-iskwadri ta’ rispons għal inċidenti relatati mas-sigurtà tal-kompjuters (CSIRTs).

·Għażla 2: Din l-għażla tikkonsisti f’emendi mmirati għad-Direttiva NIS, inkluż l-estensjoni tal-kamp ta’ applikazzjoni u diversi emendi oħra li l-għan tagħhom ikun li jiġu garantiti ċerti soluzzjonijiet immedjati għall-problemi identifikati, u jiġu pprovduti aktar ċarezza u armonizzazzjoni ulterjuri (bħal dispożizzjonijiet biex jiġu armonizzati l-livelli limitu ta’ identifikazzjoni). Madankollu, id-Direttiva NIS emendata żżomm l-elementi kostitwenti, l-approċċ u r-raġunament ewlenin.

·Għażla 3: Dan ix-xenarju jinvolvi tibdil sistemiku u strutturali tad-Direttiva NIS (permezz ta’ direttiva ġdida) li jipprevedi bidla aktar fundamentali tal-approċċ biex jiġi kopert segment usa’ tal-ekonomiji madwar l-UE, iżda fl-istess ħin b’superviżjoni aktar iffukata li timmira għal atturi kbar u ewlenin. Jissimplifika wkoll l-obbligi imposti fuq in-negozji u jiżgura livell ogħla tal-armonizzazzjoni tagħha, joħloq xenarju iktar effettiv għall-aspetti operazzjonali, kif ukoll jistabbilixxi bażi ċara għal responsabbiltajiet kondiviżi u akkontabbiltà msaħħin ta’ diversi partijiet ikkonċernati dwar il-miżuri taċ-ċibersigurtà.

Il-Valutazzjoni tal-Impatt ikkonkludiet li l-għażla preferuta hija l-Għażla 3 (jiġifieri, tibdil sistemiku u strutturali tal-qafas tal-NIS). Mil-lat tal-effettività, l-għażla preferuta tiddetermina b’mod ċar il-kamp ta’ applikazzjoni tad-Direttiva NIS, estiż għal frazzjoni iktar rappreżentattiva tal-ekonomiji u s-soċjetajiet tal-UE, u s-simplifikazzjoni tar-rekwiżiti, flimkien ma’ qafas iktar definit għas-superviżjoni u l-infurzar bl-għan li jiżdied il-livell ta’ konformità. Tinvolvi wkoll miżuri mmirati għat-titjib tal-approċċi li jibnu l-politiki fil-livell tal-Istati Membri u t-tibdil tax-xejra tagħhom, filwaqt li jiġu promossi oqfsa ġodda għall-ġestjoni tar-riskji tar-relazzjonijiet tal-fornitur u d-divulgazzjoni kkoordinata tal-vulnerabbiltajiet. Fl-istess ħin, l-għażla politika preferuta tistabbilixxi bażi ċara għar-responsabbiltajiet kondiviżi u l-akkontabbiltà u tipprevedi mekkaniżmi mmirati għat-trawwim ta’ aktar fiduċja fost l-Istati Membri, kemm l-awtoritajiet kif ukoll l-industrija, filwaqt li tiġi inċentivata l-kondiviżjoni tal-informazzjoni u jiġi żgurat approċċ aktar operazzjonali, bħall-assistenza reċiproka u l-mekkaniżmi tar-rieżami bejn il-pari. Din l-għażla tipprevedi wkoll qafas tal-UE għall-ġestjoni tal-kriżijiet, li jibni fuq in-network operazzjonali tal-UE li tnieda reċentement, u tiżgura iktar involviment tal-ENISA, fi ħdan il-mandat attwali tagħha, fiż-żamma ta’ ħarsa ġenerali preċiża tal-istat taċ-ċibersigurtà tal-Unjoni.

Mil-lat tal-effiċjenza, filwaqt li l-għażla preferuta tinvolvi kostijiet addizzjonali ta’ konformità u infurzar għan-negozji u l-Istati Membri, twassal ukoll għal kompromessi u sinerġiji effiċjenti, bl-aħjar potenzjal mill-għażliet politiċi kollha analizzati biex jiġi żgurat livell akbar u konsistenti ta’ reżiljenza ċibernetika tal-entitajiet ewlenin madwar l-Unjoni li fl-aħħar mill-aħħar se jwassal għal iffrankar tal-kostijiet kemm għan-negozji kif ukoll għas-soċjetà. Din l-għażla politika se twassal għal ċertu piż amministrattiv u kostijiet ta’ konformità addizzjonali għall-awtoritajiet tal-Istati Membri. Madankollu, bħala bilanċ, fit-terminu medju u twil se twassal ukoll għal benefiċċji sostanzjali permezz ta’ żieda fil-kooperazzjoni fost l-Istati Membri, inkluż fil-livell operazzjonali, kif ukoll inċentivar taż-żieda ġenerali fil-kapaċitajiet taċ-ċibersigurtà fil-livell nazzjonali u reġjonali, permezz ta’ assistenza reċiproka, mekkaniżmi ta’ rieżami bejn il-pari u ħarsa ġenerali aħjar tan-negozji ewlenin u interazzjoni aħjar magħhom. L-għażla politika preferuta se tiżgura ferm ukoll il-koerenza ma’ leġiżlazzjonijiet, inizjattivi jew miżuri politiċi oħra, inkluż il-lex specialis speċifiċi għas-settur.

L-indirizzar tal-insuffiċjenza persistenti attwali fit-tħejjija għaċ-ċibersigurtà fil-livell tal-Istati Membri u fil-livell tal-kumpaniji u ta’ organizzazzjonijiet oħra, jista’ jwassal għal titjib fl-effiċjenza u tnaqqis tal-kostijiet addizzjonali li jirriżultaw mill-inċidenti taċ-ċibersigurtà.

·Għall-entitajiet essenzjali u importanti, iż-żieda fil-livell tat-tħejjija għaċ-ċibersigurtà jista’ jwassal għall-mitigazzjoni tat-telf potenzjali tad-dħul minħabba tfixkil – inkluż mill-ispjunaġġ industrijali – u jista’ jnaqqas l-ispejjeż kbar għall-mitigazzjoni ad-hoc tat-theddid. It-tali titjib aktarx li jegħleb il-kostijiet tal-investiment meħtieġ. It-tnaqqis tal-frammentazzjoni fis-suq intern itejjeb ukoll il-kundizzjonijiet ekwivalenti ta’ kompetizzjoni fost l-operaturi.

·Għall-Istati Membri, jista’ jnaqqas ukoll ir-riskju ta’ spejjeż baġitarji dejjem akbar għall-mitigazzjoni ad-hoc tat-theddid u l-kostijiet addizzjonali fil-każ ta’ emerġenzi relatati mal-inċidenti taċ-ċibersigurtà.

·Għaċ-ċittadini, l-indirizzar tal-inċidenti taċ-ċibersigurtà mistenni jwassal għal tnaqqis fit-telf mill-introjtu minħabba tfixkil ekonomiku.

Iż-żieda fil-livelli taċ-ċibersigurtà madwar l-Istati Membri u l-kapaċità tal-kumpaniji u tal-awtoritajiet li jirreaġixxu malajr għal inċident u jimmitigaw l-impatt tiegħu, aktarx se jirriżultaw f’żieda fil-fiduċja ġenerali taċ-ċittadini fl-ekonomija diġitali, li jista’ jkollha impatt pożittiv fuq it-tkabbir u l-investiment.

Iż-żieda fil-livell ġenerali taċ-ċibersigurtà aktarx twassal għal żieda ġenerali fis-sigurtà u funzjonament bla interruzzjoni u bla tfixkil tas-servizzi essenzjali, li huma kritiċi għas-soċjetà. L-inizjattiva tista’ tikkontribwixxi wkoll għal impatti soċjali oħra, bħal tnaqqis fil-livelli tal-kriminalità u t-terroriżmu ċibernetiċi u żieda fil-protezzjoni ċivili. Iż-żieda fil-livell tat-tħejjija ċibernetika għan-negozji u organizzazzjonijiet oħra tista’ tevita telf finanzjarju potenzjali bħala riżultat ta’ attakki ċibernetiċi u b’hekk jiġi evitat il-bżonn li l-impjegati jingħataw is-sensja.

Iż-żieda fil-livell ġenerali taċ-ċibersigurtà tista’ twassal ukoll għal prevenzjoni tar-riskji/tad-danni ambjentali fil-każ ta’ attakk fuq xi servizz essenzjali. Dan jista’ jkun partikolarment validu għas-setturi tal-enerġija, tal-forniment u d-distribuzzjoni tal-ilma, jew tat-trasport. Billi ssaħħaħ l-kapaċitajiet taċ-ċibersigurtà, l-inizjattiva tista’ twassal għal iktar użu tal-infrastrutturi u s-servizzi tal-ICT tal-aħħar ġenerazzjoni li huma wkoll ambjentalment aktar sostenibbli u għal sostituzzjoni tal-infrastrutturi tal-legat ineffiċjenti u inqas siguri. Dan mistenni jikkontribwixxi wkoll għal tnaqqis fl-għadd ta’ ċiberinċidenti għaljin, li jillibera r-riżorsi disponibbli għal investimenti sostenibbli.

•Idoneità regolatorja u simplifikazzjoni

Il-proposta tipprevedi esklużjoni ġenerali tal-entitajiet mikro u żgħar mill-kamp ta’ applikazzjoni tal-NIS u reġim superviżorju ex post eħfef, applikat għal għadd kbir ta’ entitajiet ġodda skont il-kamp ta’ applikazzjoni rivedut (l-hekk imsejħa entitajiet importanti). Dawn il-miżuri għandhom l-għan li jimminimizzaw u jibbilanċjaw il-piż fuq il-kumpaniji u l-amministrazzjonijiet pubbliċi. Barra minn hekk, il-proposta tissostitwixxi s-sistema ta’ identifikazzjoni kumplessa għall-operaturi tas-servizzi essenzjali b’obbligu applikabbli ġeneralment u tintroduċi livell ogħla ta’ armonizzazzjoni tal-obbligi tas-sigurtà u tar-rapportar, li jnaqqsu l-piż tal-konformità, speċjalment għall-entitajiet li jipprovdu servizzi transfruntieri.

Il-proposta timminimizza l-kostijiet tal-konformità għall-SMEs, peress li l-entitajiet huma meħtieġa jieħdu biss dawk il-miżuri neċessarji biex jiġi żgurat livell ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni xieraq għar-riskju ffaċċjat.

•Drittijiet fundamentali

L-UE impenjat ruħha li tiżgura standards għoljin għall-protezzjoni tad-drittijiet fundamentali. L-arranġamenti volontarji kollha tal-kondiviżjoni tal-informazzjoni bejn l-entitajiet li tippromwovi din id-Direttiva se jitwettqu f’ambjenti fdati b’rispett sħiħ tar-regoli tal-Unjoni dwar il-protezzjoni tad-data, b’mod partikolari r-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill 8 .

4.IMPLIKAZZJONIJIET BAĠITARJI

Ara l-fiche finanzjarja

5.ELEMENTI OĦRA

•Pjanijiet ta’ implimentazzjoni u arranġamenti dwar il-monitoraġġ, l-evalwazzjoni u r-rapportar

Il-proposta tinkludi pjan ġenerali għall-monitoraġġ u l-evalwazzjoni tal-impatt fuq l-objettivi speċifiċi, li jirrikjedi li l-Kummissjoni twettaq rieżami wara mill-inqas [54 xahar] mid-data tad-dħul fis-seħħ, u tirrapporta s-sejbiet ewlenin tagħha lill-Parlament Ewropew u lill-Kunsill.

Ir-rieżami jeħtieġ jitwettaq skont il-Linji Gwida tal-Kummissjoni għal Regolamentazzjoni Aħjar.

•Spjegazzjoni fid-dettall tad-dispożizzjonijiet speċifiċi tal-proposta

Il-proposta hija strutturata madwar diversi oqsma ewlenin ta’ politika, li huma interrelatati u għandhom l-għan li jżidu l-livell taċ-ċibersigurtà fl-Unjoni.

Suġġett u kamp ta’ applikazzjoni (l-Artikolu 1 u l-Artikolu 2)

B’mod partikolari, id-Direttiva: (a) tistabbilixxi l-obbligi għall-Istati Membri biex jadottaw strateġija nazzjonali għaċ-ċibersigurtà, jiddeżinjaw awtoritajiet kompetenti nazzjonali, punti uniċi ta’ kuntatt u CSIRTs; (b) tipprevedi li l-Istati Membri għandhom jistabbilixxu l-ġestjoni tar-riskji taċ-ċibersigurtà u l-obbligi tar-rapportar għall-entitajiet msemmija bħala entitajiet essenzjali fl-Anness I u entitajiet importanti fl-Anness II; (c) tipprevedi li l-Istati Membri għandhom jistabbilixxu obbligi fir-rigward tal-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà.

Tapplika għal ċerti entitajiet essenzjali pubbliċi jew privati li joperaw fis-setturi elenkati fl-Anness I (tal-enerġija; tat-trasport; dak bankarju; tal-infrastrutturi tas-swieq finanzjarji; tal-ilma tax-xorb tajjeb għas-saħħa; tal-ilma mormi; tal-infrastruttura diġitali; tal-amministrazzjoni pubblika u tal-ispazju) u ċerti entitajiet importanti li joperaw fis-setturi elenkati fl-Anness II (tas-servizzi postali u tal-kurrier; tal-immaniġġjar tal-iskart; tal-manifattura, il-produzzjoni u d-distribuzzjoni tas-sustanzi kimiċi; tal-produzzjoni, l-ipproċessar u d-distribuzzjoni tal-ikel; tal-manifattura u tal-fornituri diġitali). L-entitajiet mikro u żgħar skont it-tifsira tar-Rakkomandazzjoni tal-Kummissjoni 2003/361/KE tas-6 ta’ Mejju 2003 huma esklużi mill-kamp ta’ applikazzjoni tad-Direttiva ħlief għall-fornituri tan-networks tal-komunikazzjoni elettronika jew tas-servizzi tal-komunikazzjoni elettronika disponibbli għall-pubbliku, il-fornituri ta’ servizzi fiduċjarji, ir-reġistri ta’ ismijiet ta’ dominji tal-ogħla livell (TLD) u l-amministrazzjoni pubblika, u ċerti entitajiet oħra, bħall-uniku fornitur ta’ servizz fi Stat Membru.

Oqfsa nazzjonali taċ-ċibersigurtà (l-Artikoli 5 sa 11)

L-Istati Membri huma meħtieġa jadottaw strateġija nazzjonali għaċ-ċibersigurtà li tiddefinixxi l-objettivi strateġiċi u l-miżuri politiċi u regolatorji xierqa bil-ħsieb li jinkiseb u jinżamm livell għoli ta’ ċibersigurtà.

Id-Direttiva tistabbilixxi wkoll qafas għad-divulgazzjoni kkoordinata tal-vulnerabbiltajiet u tirrikjedi lill-Istati Membri jiddeżinjaw CSIRTs biex jaġixxu bħala intermedjarji fdati u jiffaċilitaw l-interazzjoni bejn l-entitajiet li jirrapportaw u l-manifatturi jew il-fornituri tal-prodotti tal-ICT u tas-servizzi tal-ICT. L-ENISA hija meħtieġa tiżviluppa u żżomm reġistru Ewropew tal-vulnerabbiltà għall-vulnerabbiltajiet skoperti.

L-Istati Membri huma meħtieġa jistabbilixxu Oqfsa Nazzjonali għall-Ġestjoni tal-Kriżijiet taċ-Ċibersigurtà, inter alia billi jaħtru awtoritajiet kompetenti nazzjonali responsabbli għall-ġestjoni ta’ inċidenti u kriżijiet taċ-ċibersigurtà fuq skala kbira.

L-Istati Membri huma meħtieġa wkoll jiddeżinjaw awtorità kompetenti waħda jew aktar dwar iċ-ċibersigurtà għall-kompiti superviżorji skont din id-Direttiva u punt uniku ta’ kuntatt nazzjonali dwar iċ-ċibersigurtà (SPOC) biex jeżerċita l-funzjoni ta’ kollegament ħalli tiġi żgurata l-kooperazzjoni transfruntiera tal-awtoritajiet tal-Istati Membri. L-Istati Membri huma wkoll meħtieġa jiddeżinjaw CSIRTs.

Kooperazzjoni (l-Artikoli 12 sa 16)

Id-Direttiva tistabbilixxi Grupp ta’ Kooperazzjoni biex jappoġġa u jiffaċilita l-kooperazzjoni strateġika u l-iskambju ta’ informazzjoni fost l-Istati Membri u jibni l-fiduċja u l-kunfidenza. Tistabbilixxi wkoll network ta’ CSIRTs biex jikkontribwixxi għall-bini tal-kunfidenza u l-fiduċja bejn l-Istati Membri u biex tiġi promossa b’ritmu mgħaġġel u b’mod effettiv il-kooperazzjoni operazzjonali.

Twaqqaf Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (UE - CyCLONe) biex jappoġġa l-ġestjoni ikkoordinata ta’ inċidenti u kriżijiet taċ-ċibersigurtà fuq skala kbira u biex jiżgura skambju regolari tal-informazzjoni fost l-Istati Membri u l-istituzzjonijiet tal-UE.

L-ENISA, b’kooperazzjoni mal-Kummissjoni, hija meħtieġa toħroġ rapport kull sentejn dwar l-istat taċ-ċibersigurtà fl-Unjoni.

Il-Kummissjoni hija meħtieġa tistabbilixxi sistema ta’ rieżami bejn il-pari li tippermetti rieżamijiet bejn il-pari regolari tal-effettività tal-politiki dwar iċ-ċibersigurtà tal-Istati Membri.

Ġestjoni tar-riskji taċ-ċibersigurtà u obbligi tar-rapportar (l-Artikoli 17 sa 23)

Id-Direttiva tirrikjedi lill-Istati Membri jipprevedu li l-korpi tal-ġestjoni tal-entitajiet kollha taħt il-kamp ta’ applikazzjoni, japprovaw il-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà meħuda mill-entitajiet rispettivi u li jsegwu taħriġ speċifiku relatat maċ-ċibersigurtà.

L-Istati Membri huma meħtieġa jiżguraw li l-entitajiet taħt il-kamp ta’ applikazzjoni jieħdu miżuri tekniċi u organizzazzjonali xierqa u proporzjonati għall-ġestjoni tar-riskji taċ-ċibersigurtà li jkun hemm għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni. Huma meħtieġa wkoll jiżguraw li l-entitajiet jinnotifikaw lill-awtoritajiet nazzjonali kompetenti jew lis-CSIRTs bi kwalunkwe inċident taċ-ċibersigurtà li jkollu impatt sinifikanti fuq il-forniment tas-servizz li jipprovdu.

Ir-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni tal-ismijiet ta’ dominji għat-TLD għandhom jiġbru u jżommu data tar-reġistrazzjoni tal-ismijiet ta’ dominji preċiża u kompleta. Barra minn hekk, dawn l-entitajiet huma meħtieġa jipprovdu aċċess effiċjenti għad-data tar-reġistrazzjoni ta’ dominji għal dawk li jfittxu aċċess leġittimu.

Ġurisdizzjoni u Reġistrazzjoni (l-Artikoli 24 u 25)

Bħala regola, l-entitajiet essenzjali u importanti jitqiesu li huma taħt il-ġurisdizzjoni tal-Istat Membru fejn jipprovdu s-servizzi tagħhom. Madankollu, ċerti tipi ta’ entitajiet (fornituri ta’ servizzi DNS, reġistri ta’ ismijiet ta’ TLD, fornituri tas-servizzi ta’ cloud computing, fornituri ta’ servizz ta’ ċentru tad-data u fornituri ta’ networks ta’ twassil tal-kontenut, kif ukoll ċerti fornituri diġitali) jitqiesu li huma taħt il-ġurisdizzjoni tal-Istat Membru fejn għandhom is-sede prinċipali tagħhom fl-Unjoni. Dan biex jiġi żgurat li dawn l-entitajiet ma jħabbtux wiċċhom ma’ bosta rekwiżiti legali differenti peress li jipprovdu livell sinifikanti ta’ servizzi transfruntieri. L-ENISA hija meħtieġa toħloq u żżomm reġistru għal dawn it-tipi ta’ entitajiet tal-aħħar.

Kondiviżjoni tal-informazzjoni (l-Artikoli 26 u 27)

L-Istati Membri għandhom jipprovdu regoli li jippermettu lill-entitajiet jinvolvu ruħhom fil-kondiviżjoni tal-informazzjoni relatata maċ-ċibersigurtà fil-qafas tal-arranġamenti speċifiċi għall-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà, f’konformità mal-Artikolu 101 tat-TFUE. Barra minn hekk, l-Istati Membri għandhom jippermettu lill-entitajiet barra mill-kamp ta’ applikazzjoni ta’ din id-Direttiva, li fuq bażi volontarja jirrapportaw inċidenti, theddid ċibernetiku jew avvenimenti li ġew evitati bil-ftit li kienu sinifikanti.

Superviżjoni u infurzar (l-Artikoli 28 sa 34)

L-Awtoritajiet kompetenti huma meħtieġa jissuperviżjonaw l-entitajiet taħt il-kamp ta’ applikazzjoni tad-Direttiva, u b’mod partikolari jiżguraw il-konformità tagħhom mar-rekwiżiti tas-sigurtà u ta’ notifika tal-inċidenti. Tiddistingwi bejn reġim superviżorju ex ante għall-entitajiet essenzjali u reġim superviżorju ex post għall-entitajiet importanti, b’dawn tal-aħħar jirrikjedu li l-awtoritajiet kompetenti jieħdu azzjoni meta fornuti b’evidenza jew indikazzjoni li entità importanti ma tissodisfax ir-rekwiżiti tas-sigurtà u ta’ notifika tal-inċidenti.

Id-Direttiva tirrikjedi wkoll li Istati Membri jimponu multi amministrattivi lill-entitajiet essenzjali u importanti u tiddefinixxi ċerti multi massimi.

L-Istati Membri huma meħtieġa jikkooperaw u jassistu lil xulxin kif meħtieġ meta l-entitajiet jipprovdu servizzi f’iktar minn Stat Membru wieħed jew meta s-sede prinċipali ta’ entità jew ir-rappreżentant tagħha jkunu jinsabu fi Stat Membru partikolari iżda n-network u s-sistema tal-informazzjoni tagħha jkunu jinsabu fi Stat Membru wieħed jew aktar.

2020/0359 (COD)

Proposta għal

DIRETTIVA TAL-PARLAMENT EWROPEW U TAL-KUNSILL

dwar miżuri għal livell għoli komuni ta’ ċibersigurtà madwar l-Unjoni kollha, li tħassar id-Direttiva (UE) 2016/1148

(Test b’rilevanza għaż-ŻEE)

IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,

Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, u b’mod partikolari l-Artikolu 114 tiegħu,

Wara li kkunsidraw il-proposta tal-Kummissjoni Ewropea,

Wara li l-abbozz tal-att leġiżlattiv intbagħat lill-parlamenti nazzjonali,

Wara li kkunsidraw l-opinjoni tal-Kumitat Ekonomiku u Soċjali Ewropew 9 ,

Wara li kkunsidraw l-opinjoni tal-Kumitat tar-Reġjuni 10 ,

Filwaqt li jaġixxu f’konformità mal-proċedura leġiżlattiva ordinarja,

Billi:

(1)Id-Direttiva (UE) 2016/1148 tal-Parlament Ewropew u tal-Kunsill 11 kellha l-għan li tibni l-kapaċitajiet taċ-ċibersigurtà madwar l-Unjoni, li timmitiga t-theddid għan-network u s-sistemi tal-informazzjoni użati biex jipprovdu servizzi essenzjali f’setturi ewlenin, u li tiżgura l-kontinwità ta’ tali servizzi meta jiffaċċjaw inċidenti taċ-ċibersigurtà, u b’hekk tikkontribwixxi għall-ekonomija u s-soċjetà tal-Unjoni biex jiffunzjonaw b’mod effettiv.

(2)Mid-dħul fis-seħħ tad-Direttiva (UE) 2016/1148 sar progress sinifikanti biex jiżdied il-livell tar-reżiljenza taċ-ċibersigurtà tal-Unjoni. Ir-rieżami ta’ dik id-Direttiva wera li serviet ta’ katalist għall-approċċ istituzzjonali u regolatorju għaċ-ċibersigurtà fl-Unjoni, u b’hekk wittiet it-triq għal bidla sinifikanti fil-mentalità. Dik id-Direttiva żgurat it-tlestija tal-oqfsa nazzjonali billi ddefiniet l-istrateġiji nazzjonali taċ-ċibersigurtà, stabbiliet kapaċitajiet nazzjonali, u implimentat miżuri regolatorji li jkopru infrastrutturi u atturi essenzjali identifikati minn kull Stat Membru. Ikkontribwiet ukoll għall-kooperazzjoni fil-livell tal-Unjoni permezz tal-istabbiliment tal-Grupp ta’ Kooperazzjoni 12 u network ta’ Skwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters (“in-network tas-CSIRTs”) 13 . Minkejja dawk il-kisbiet, ir-rieżami tad-Direttiva (UE) 2016/1148 żvela nuqqasijiet inerenti li jostakolawha milli tindirizza b’mod effettiv l-isfidi kontemporanji u emerġenti taċ-ċibersigurtà.

(3)In-network u s-sistemi tal-informazzjoni żviluppaw f’karatteristika ċentrali tal-ħajja ta’ kuljum bit-trasformazzjoni diġitali rapida u l-interkonnettività tas-soċjetà, inkluż fi skambji transfruntieri. Dak l-iżvilupp wassal għal espansjoni tax-xenarju tat-theddid taċ-ċibersigurtà, li rriżulta fi sfidi ġodda, li jeħtieġu risponsi adattati, ikkoordinati u innovattivi fl-Istati Membri kollha. L-għadd, id-daqs, is-sofistikazzjoni, il-frekwenza u l-impatt tal-inċidenti taċ-ċibersigurtà qed jiżdiedu, u qed jippreżentaw theddida kbira għall-funzjonament tan-network u s-sistemi tal-informazzjoni. B’riżultat ta’ dan, l-inċidenti ċibernetiċi jistgħu jostakolaw it-twettiq ta’ attivitajiet ekonomiċi fis-suq intern, jiġġeneraw telf finanzjarju, jimminaw il-kunfidenza tal-utenti u jikkawżaw ħsara kbira lill-ekonomija u lis-soċjetà tal-Unjoni. Għalhekk, it-tħejjija u l-effettività taċ-ċibersigurtà issa huma essenzjali aktar minn qatt qabel għall-funzjonament tajjeb tas-suq intern.

(4)Il-bażi ġuridika tad-Direttiva (UE) 1148/2016 kienet l-Artikolu 114 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (TFUE), li l-objettiv tiegħu huwa l-istabbiliment u l-funzjonament tas-suq intern permezz tat-tisħiħ tal-miżuri għall-approssimazzjoni tar-regoli nazzjonali. Ir-rekwiżiti taċ-ċibersigurtà imposti fuq l-entitajiet li jipprovdu servizzi jew attivitajiet ekonomikament rilevanti jvarjaw b’mod konsiderevoli fost l-Istati Membri mil-lat ta’ tip ta’ rekwiżit, il-livell ta’ dettall tagħhom u l-metodu tas-superviżjoni. Dawk id-differenzi jinvolvu kostijiet addizzjonali u joħolqu diffikultajiet għall-impriżi li joffru prodotti jew servizzi transfruntieri. Rekwiżiti imposti minn Stat Membru li huma differenti minn dawk imposti minn Stat Membru ieħor, jew saħansitra f’kunflitt magħhom, jistgħu jaffettwaw b’mod sostanzjali dawk l-attivitajiet transfruntieri. Barra minn hekk, il-possibbiltà ta’ tfassil jew implimentazzjoni subottimali ta’ standards taċ-ċibersigurtà fi Stat Membru wieħed aktarx ikollha riperkussjonijiet fuq il-livell taċ-ċibersigurtà ta’ Stati Membri oħra, b’mod partikolari minħabba l-iskambji transfruntieri intensi. Ir-rieżami tad-Direttiva (UE) 2016/1148 wera diverġenza wiesgħa fl-implimentazzjoni tagħha mill-Istati Membri, inkluż fir-rigward tal-kamp ta’ applikazzjoni tagħha, minħabba li l-Istati Membri ngħataw livell għoli ta’ diskrezzjoni dwar id-delimitazzjoni tiegħu. Id-Direttiva (UE) 2016/1148 tat ukoll diskrezzjoni wiesgħa ħafna lill-Istati Membri fir-rigward tal-implimentazzjoni tal-obbligi ta’ rapportar dwar is-sigurtà u l-inċidenti, stabbiliti fiha. Għalhekk, dawk l-obbligi ġew implimentati b’modi ferm differenti fil-livell nazzjonali. Kien hemm diverġenza simili fl-implimentazzjoni fir-rigward tad-dispożizzjonijiet ta’ dik id-Direttiva dwar is-superviżjoni u l-infurzar.

(5)Dawk id-diverġenzi kollha jinvolvu frammentazzjoni tas-suq intern u aktarx iħallu effett preġudizzjarju fuq il-funzjonament tiegħu, li jaffettwa b’mod partikolari l-forniment transfruntier ta’ servizzi u l-livell ta’ reżiljenza taċ-ċibersigurtà minħabba l-applikazzjoni ta’ standards differenti. Din id-Direttiva għandha l-għan li telimina dawn id-diverġenzi wiesgħa fost l-Istati Membri, b’mod partikolari billi tistabbilixxi regoli minimi dwar il-funzjonament ta’ qafas regolatorju kkoordinat, billi tistabbilixxi mekkaniżmi għall-kooperazzjoni effettiva fost l-awtoritajiet responsabbli f’kull Stat Membru, billi taġġorna l-lista ta’ setturi u attivitajiet soġġetti għall-obbligi taċ-ċibersigurtà u billi tipprovdi rimedji u sanzjonijiet effettivi li huma strumentali għall-infurzar effettiv ta’ dawk l-obbligi. Għalhekk, id-Direttiva (UE) 2016/1148 jenħtieġ titħassar u tiġi sostitwita b’din id-Direttiva.

(6)Din id-Direttiva ma taffettwax l-abbiltà tal-Istati Membri li jieħdu l-miżuri meħtieġa biex jiżguraw il-protezzjoni tal-interessi essenzjali tas-sigurtà tagħhom, jissalvagwardjaw l-ordni pubbliku u s-sigurtà pubblika, u jippermettu l-investigazzjoni, id-detezzjoni u l-prosekuzzjoni ta’ reati kriminali, f’konformità mal-liġi tal-Unjoni. F’konformità mal-Artikolu 346 tat-TFUE, l-ebda Stat Membru ma għandu jkun obbligat jipprovdi informazzjoni li d-divulgazzjoni tagħha tista’ tmur kontra l-interessi essenzjali tas-sigurtà pubblika tiegħu. F’dan il-kuntest, ir-regoli nazzjonali u tal-Unjoni li jipproteġu l-informazzjoni klassifikata, il-ftehimiet ta’ nondivulgazzjoni, jew il-ftehimiet ta’ nondivulgazzjoni informali bħall-Protokoll dwar il-Kondiviżjoni tal-Informazzjoni 14 , huma rilevanti.

(7)Bir-revoka tad-Direttiva (UE) 2016/1148, il-kamp ta’ applikazzjoni skont is-setturi jenħtieġ jiġi estiż għal parti akbar tal-ekonomija fid-dawl tal-kunsiderazzjonijiet stabbiliti fil-premessi (4) sa (6). Għalhekk jenħtieġ jiġu estiżi s-setturi koperti mid-Direttiva (UE) 2016/1148 biex ikun jipprovdu kopertura komprensiva tas-setturi u s-servizzi ta’ importanza vitali għall-attivitajiet soċjetali u ekonomiċi ewlenin fis-suq intern. Jenħtieġ li r-regoli ma jvarjawx skont jekk l-entitajiet ikunux operaturi ta’ servizzi essenzjali jew fornituri ta’ servizzi diġitali. Intwera b’mod ċar li dak id-divrenzjar huwa obsolit għax ma jirriflettix l-importanza reali tas-setturi jew tas-servizzi għall-attivitajiet soċjetali u ekonomiċi fis-suq intern.

(8)F’konformità mad-Direttiva (UE) 2016/1148, l-Istati Membri kienu responsabbli biex jiddeterminaw liema entitajiet jissodisfaw il-kriterji biex jikkwalifikaw bħala operaturi ta’ servizzi essenzjali (“proċess ta’ identifikazzjoni”). Biex jiġu eliminati d-diverġenzi wiesgħa fost l-Istati Membri f’dak ir-rigward u tiġi żgurata ċ-ċertezza legali għar-rekwiżiti tal-ġestjoni tar-riskji u l-obbligi ta’ rapportar għall-entitajiet rilevanti kollha, jenħtieġ jiġi stabbilit kriterju uniformi li jiddetermina l-entitajiet li jkunu fil-kamp ta’ applikazzjoni ta’ din id-Direttiva. Dak il-kriterju jenħtieġ jikkonsisti fl-applikazzjoni tar-regola dwar id-daqs massimu, fejn l-intrapriżi medji u kbar kollha, kif definit fir-Rakkomandazzjoni tal-Kummissjoni 2003/361/KE 15 , li joperaw fis-setturi jew jipprovdu t-tip ta’ servizzi koperti minn din id-Direttiva, ikunu fil-kamp ta’ applikazzjoni tagħha. Jenħtieġ li l-Istati Membri ma jkunux meħtieġa jistabbilixxu lista tal-entitajiet li jissodisfaw dan il-kriterju ġeneralment applikabbli relatat mad-daqs.

(9)Madankollu, jenħtieġ li anki l-entitajiet żgħar jew mikro li jissodisfaw ċerti kriterji li jindikaw rwol ewlieni għall-ekonomiji jew is-soċjetajiet tal-Istati Membri jew għal setturi jew tipi ta’ servizzi partikolari, ikunu koperti minn din id-Direttiva. L-Istati Membri jenħtieġ ikunu responsabbli għall-istabbiliment ta’ lista ta’ dawn l-entitajiet, u jippreżentawha lill-Kummissjoni.

(10)Il-Kummissjoni, f’kooperazzjoni mal-Grupp ta’ Kooperazzjoni, tista’ toħroġ linji gwida dwar l-implimentazzjoni tal-kriterji applikabbli għall-intrapriżi mikro u żgħar.

(11)Skont is-settur li joperaw fih jew it-tip ta’ servizz li jipprovdu, l-entitajiet li huma fil-kamp ta’ applikazzjoni ta’ din id-Direttiva jenħtieġ jiġu kklassifikati f’żewġ kategoriji: essenzjali u importanti. Jenħtieġ li dik il-kategorizzazzjoni tqis il-livell ta’ kritikalità tas-settur jew tat-tip ta’ servizz, kif ukoll il-livell ta’ dipendenza ta’ setturi jew tipi oħra ta’ servizzi. Kemm l-entitajiet essenzjali kif ukoll dawk importanti jenħtieġ ikunu soġġetti għall-istess rekwiżiti tal-ġestjoni tar-riskji u obbligi ta’ rapportar. Ir-reġimi superviżorji u tal-pieni bejn dawn iż-żewġ kategoriji ta’ entitajiet jenħtieġ jiġu divrenzjati biex jiġi żgurat bilanċ ġust bejn ir-rekwiżiti u l-obbligi minn naħa, u l-piż amministrattiv li jirriżulta mis-superviżjoni tal-konformità min-naħa l-oħra.

(12)Il-leġiżlazzjoni u l-istrumenti speċifiċi għas-settur jistgħu jikkontribwixxu biex jiġu żgurati livelli għoljin ta’ ċibersigurtà, filwaqt li jitqiesu bis-sħiħ l-ispeċifiċitajiet u l-kumplessitajiet ta’ dawk is-setturi. Meta att legali tal-Unjoni speċifiku għas-settur jeżiġi li entitajiet essenzjali jew importanti jadottaw miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà jew jinnotifikaw inċidenti jew theddid ċibernetiku sinifikanti ta’ mill-inqas effett ekwivalenti għall-obbligi stabbiliti f’din id-Direttiva, jenħtieġ ikunu japplikaw dawk id-dispożizzjonijiet speċifiċi għas-settur, inkluż dwar is-superviżjoni u l-infurzar. Il-Kummissjoni tista’ toħroġ linji gwida fir-rigward tal-implimentazzjoni tal-lex specialis. Din id-Direttiva ma tipprekludix l-adozzjoni ta’ atti addizzjonali tal-Unjoni speċifiċi għas-settur li jindirizzaw miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà u notifiki tal-inċidenti. Din id-Direttiva hija mingħajr preġudizzju għas-setgħat ta’ implimentazzjoni eżistenti li ngħataw lill-Kummissjoni f’għadd ta’ setturi, inkluż it-trasport u l-enerġija.

(13)Ir-Regolament XX/XX tal-Parlament Ewropew u tal-Kunsill 16 jenħtieġ jitqies bħala att legali tal-Unjoni speċifiku għas-settur b’relazzjoni ma’ din id-Direttiva fir-rigward tal-entitajiet tas-settur finanzjarju. Jenħtieġ li minflok dawk stabbiliti f’din id-Direttiva, japplikaw id-dispożizzjonijiet tar-Regolament XX/XX relatati mal-miżuri ta’ ġestjoni tar-riskji tat-teknoloġija tal-informazzjoni u tal-komunikazzjoni (ICT), il-ġestjoni ta’ inċidenti relatati mal-ICT u b’mod partikolari r-rapportar tal-inċidenti, kif ukoll dwar l-ittestjar tar-reżiljenza operazzjonali diġitali, l-arranġamenti għall-kondiviżjoni tal-informazzjoni u r-riskju ta’ parti terza tal-ICT. Għalhekk jenħtieġ li l-Istati Membri ma japplikawx id-dispożizzjonijiet ta’ din id-Direttiva dwar il-ġestjoni tar-riskji taċ-ċibersigurtà u l-obbligi ta’ rapportar, il-kondiviżjoni tal-informazzjoni u s-superviżjoni u l-infurzar għall-entitajiet finanzjarji koperti mir-Regolament XX/XX. Fl-istess ħin, huwa importanti li tinżamm relazzjoni b’saħħitha u li jsir l-iskambju ta’ informazzjoni mas-settur finanzjarju skont din id-Direttiva. Għal dak il-għan, ir-Regolament XX/XX jippermetti lis-superviżuri finanzjarji kollha, lill-Awtoritajiet Superviżorji Ewropej (ASE) għas-settur finanzjarju u lill-awtoritajiet kompetenti nazzjonali skont ir-Regolament XX/XX, biex jipparteċipaw f’diskussjonijiet ta’ politika strateġika u ħidmiet tekniċi tal-Grupp ta’ Kooperazzjoni, u jiskambjaw informazzjoni u jikkooperaw mal-punti uniċi ta’ kuntatt iddeżinjati skont din id-Direttiva u mas-CSIRTs nazzjonali. L-awtoritajiet kompetenti skont ir-Regolament XX/XX jenħtieġ jittrażmettu d-dettalji ta’ inċidenti kbar relatati mal-ICT anke lill-punti uniċi ta’ kuntatt iddeżinjati skont din id-Direttiva. Barra minn hekk, jenħtieġ li l-Istati Membri jkomplu jinkludu lis-settur finanzjarju fl-istrateġiji taċ-ċibersigurtà tagħhom u s-CSIRTs nazzjonali jistgħu jkopru s-settur finanzjarju fl-attivitajiet tagħhom.

(14)Fid-dawl tal-interkonnessjonijiet bejn iċ-ċibersigurtà u s-sigurtà fiżika tal-entitajiet, jenħtieġ jiġi żgurat approċċ koerenti bejn id-Direttiva (UE) XX/XX tal-Parlament Ewropew u tal-Kunsill 17 u din id-Direttiva. Biex jinkiseb dan, l-Istati Membri jenħtieġ jiżguraw li l-entitajiet kritiċi u l-entitajiet ekwivalenti, skont id-Direttiva (UE) XX/XX jitqiesu bħala entitajiet essenzjali skont din id-Direttiva. Jenħtieġ li l-Istati Membri jiżguraw ukoll li l-istrateġiji taċ-ċibersigurtà tagħhom jipprevedu qafas ta’ politika għal koordinazzjoni msaħħa bejn l-awtorità kompetenti skont din id-Direttiva u dik skont id-Direttiva (UE) XX/XX fil-kuntest tal-kondiviżjoni tal-informazzjoni dwar inċidenti u theddid ċibernetiku u l-eżerċizzju ta’ kompiti superviżorji. L-awtoritajiet taż-żewġ Direttivi jenħtieġ jikkooperaw u jiskambjaw informazzjoni, b’mod partikolari fir-rigward tal-identifikazzjoni ta’ entitajiet kritiċi, theddid ċibernetiku, riskji taċ-ċibersigurtà, inċidenti li jaffettwaw entitajiet kritiċi kif ukoll dwar il-miżuri taċ-ċibersigurtà meħuda mill-entitajiet kritiċi. Fuq talba tal-awtoritajiet kompetenti skont id-Direttiva (UE) XX/XX, l-awtoritajiet kompetenti skont din id-Direttiva jenħtieġ jitħallew jeżerċitaw is-setgħat superviżorji u ta’ infurzar tagħhom fuq entità essenzjali identifikata bħala kritika. Iż-żewġ awtoritajiet jenħtieġ jikkooperaw u jiskambjaw informazzjoni bejniethom għal dan il-għan.

(15)Iż-żamma u l-preservazzjoni ta’ sistema tal-ismijiet ta’ dominji (DNS) affidabbli, reżiljenti u sigura huma fattur ewlieni fiż-żamma tal-integrità tal-internet u huma essenzjali għat-tħaddim kontinwu u stabbli tiegħu, li fuqu jiddependu l-ekonomija u s-soċjetà diġitali. Għalhekk, jenħtieġ li din id-Direttiva tapplika għall-fornituri kollha ta’ servizzi tad-DNS tul il-katina tar-riżoluzzjoni tad-DNS, inkluż l-operaturi tar-root name servers, is-servers tal-ismijiet ta’ dominji tal-ogħla livell (TLD), is-servers tal-ismijiet awtorevoli għall-ismijiet ta’ dominji u r-riżolvaturi rikursivi.

(16)Is-servizzi tal-cloud computing jenħtieġ ikopru s-servizzi li jippermettu amministrazzjoni on-demand u aċċess remot wiesa’ għal ġabra skalabbli u elastika ta’ riżorsi tal-computing kondiviżabbli u distribwiti. Dawk ir-riżorsi tal-computing jinkludu riżorsi bħal networks, servers jew infrastruttura oħra, sistemi operatorji, software, ħżin, applikazzjonijiet u servizzi. Il-mudelli ta’ implimentazzjoni tal-cloud computing jenħtieġ jinkludu cloud privata, komunitarja, pubblika u ibrida. Il-mudelli ta’ servizz u ta’ implimentazzjoni msemmija hawn fuq għandhom l-istess tifsira bħat-termini ta’ mudelli ta’ servizz u ta’ implimentazzjoni definiti skont l-istandard ISO/IEC 17788: 2014. Il-kapaċità tal-utent tal-cloud computing li unilateralment jipprovdi l-kapaċitajiet tal-computing, bħall-ħin tas-server jew il-ħżin tan-network, mingħajr interazzjoni umana mill-fornitur ta’ servizz tal-cloud computing, tista’ tiġi deskritta bħala amministrazzjoni on-demand. It-terminu “aċċess remot wiesa’” jintuża biex jiddeskrivi li l-kapaċitajiet tal-cloud ikunu pprovduti fuq in-network u aċċessati permezz ta’ mekkaniżmi li jippromwovu l-użu ta’ pjattaformi tal-klijenti rqaq jew ħoxnin eteroġeni (inkluż telefowns ċellulari, tablets, laptops, stazzjonijiet tax-xogħol). It-terminu “skalabbli” jirreferi għar-riżorsi tal-computing li jiġu allokati b’mod flessibbli mill-fornitur tas-servizz tal-cloud, irrispettivament mill-pożizzjoni ġeografika tar-riżorsi, biex ir-riżorsi pprovduti jlaħħqu mad-domanda. It-terminu “ġabra elastika” jintuża biex jiddeskrivi dawk ir-riżorsi tal-computing li jingħataw u jiġu rilaxxati skont id-domanda biex iżidu u jnaqqsu malajr ir-riżorsi disponibbli skont l-ammont ta’ xogħol. It-terminu “kondiviżabbli” jintuża biex jiddeskrivi dawk ir-riżorsi tal-computing li jingħataw lil diversi utenti li għandhom aċċess komuni għas-servizzi,, iżda meta l-ipproċessar isir b’mod separat għal kull utent, għalkemm is-servizz jingħata mill-istess tagħmir elettroniku. It-terminu “distribwit” jintuża biex jiddeskrivi dawk ir-riżorsi tal-computing li jinsabu fuq kompjuters jew apparati differenti mqabbda ma’ network u li jikkomunikaw u jikkoordinaw bejniethom billi jgħaddu l-messaġġi.

(17)Minħabba l-emerġenza ta’ teknoloġiji innovattivi u mudelli ta’ negozju ġodda, il-mudelli ġodda ta’ implimentazzjoni u ta’ servizz tal-cloud computing huma mistennija jidhru fis-suq bħala rispons għall-ħtiġijiet tal-klijenti li qed jevolvu. F’dak il-kuntest, is-servizzi tal-cloud computing jistgħu jitwasslu f’forma distribwita ħafna, anki eqreb għal fejn tkun qed tiġi ġġenerata jew miġbura d-data, u b’hekk jimxu mill-mudell tradizzjonali għal wieħed distribwit ħafna (“edge computing”).

(18)Is-servizzi offruti mill-fornituri tas-servizzi ta’ ċentru tad-data mhux dejjem jistgħu jiġu pprovduti f’forma ta’ servizz tal-cloud computing. Għaldaqstant, iċ-ċentri tad-data mhux dejjem ikunu jikkostitwixxu parti mill-infrastruttura tal-cloud computing. Biex jiġu ġestiti r-riskji kollha għas-sigurtà tan-network u s-sistemi tal-informazzjoni, jenħtieġ li din id-Direttiva tkopri wkoll il-fornituri ta’ tali servizzi ta’ ċentri tad-data li mhumiex servizzi tal-cloud computing. Għall-fini ta’ din id-Direttiva, it-terminu “servizz ta’ ċentru tad-data” jenħtieġ ikopri l-forniment ta’ servizz li jinkludi strutturi, jew gruppi ta’ strutturi, iddedikati għall-akkomodazzjoni ċentralizzata, l-interkonnessjoni u t-tħaddim ta’ tagħmir tat-teknoloġija tal-informazzjoni u tan-network li jipprovdi servizzi ta’ ħżin, ipproċessar u trasport tad-data flimkien mal-faċilitajiet u l-infrastrutturi kollha għad-distribuzzjoni tal-enerġija u l-kontroll ambjentali. It-terminu “servizz ta’ ċentru tad-data” ma japplikax għaċ-ċentri tad-data korporattivi interni li jkunu proprjetà tal-entità kkonċernata u operati għall-finijiet tagħha stess.

(19)Il-fornituri tas-servizzi postali skont it-tifsira tad-Direttiva 97/67/KE tal-Parlament Ewropew u tal-Kunsill 18 , kif ukoll il-fornituri tas-servizzi ta’ twassil express u tal-kurrier, jenħtieġ ikunu soġġetti għal din id-Direttiva jekk jipprovdu mill-inqas wieħed mill-istadji fil-katina tat-twassil postali u b’mod partikolari l-ikklerjar, l-issortjar jew id-distribuzzjoni, inkluż is-servizzi tal-ġbir. Is-servizzi tat-trasport li ma jitwettqux flimkien ma’ wieħed minn dawk il-passi jenħtieġ ma jkunux fl-ambitu tas-servizzi postali.

(20)Dawk l-interdipendenzi li qed jikbru huma r-riżultat ta’ network dejjem aktar transfruntier u interdipendenti ta’ forniment ta’ servizzi li juża infrastrutturi ewlenin madwar l-Unjoni fis-settur tal-enerġija, tat-trasport, tal-infrastruttura diġitali, tal-ilma tax-xorb u mormi, tas-saħħa, ċerti aspetti tal-amministrazzjoni pubblika, kif ukoll tal-ispazju fejn jidħol il-forniment ta’ ċerti servizzi dipendenti fuq infrastrutturi bbażati fuq l-art li huma proprjetà tal-Istati Membru u ġestiti u operati minnhom jew minn partijiet privati, u għalhekk ma jkoprux infrastrutturi li huma proprjetà tal-Unjoni, ġestiti jew operati minnha jew f’isimha bħala parti mill-programmi spazjali tagħha. Dawk l-interdipendenzi jfissru li kull tfixkil, anke wieħed inizjalment limitat għal entità waħda jew għal settur wieħed, jista’ jkollhom effetti kaskata b’mod aktar wiesa’, li potenzjalment joħolqu impatti negattivi estensivi u dejjiema fit-twassil ta’ servizzi madwar is-suq intern kollu. Il-pandemija tal-COVID-19 ħarġet fid-dieher il-vulnerabbiltà tas-soċjetajiet tagħna li qed isiru dejjem aktar interdipendenti fid-dawl ta’ riskji ta’ probabbiltà baxxa.

(21)Fid-dawl tad-differenzi fl-istrutturi nazzjonali ta’ governanza u biex jiġu salvagwardjati l-arranġamenti settorjali jew il-korpi superviżorji u regolatorji tal-Unjoni diġà eżistenti, l-Istati Membri jenħtieġ ikunu jistgħu jiddeżinjaw aktar minn awtorità kompetenti nazzjonali waħda responsabbli għat-twettiq tal-kompiti marbuta mas-sigurtà tan-network u s-sistemi tal-informazzjoni tal-entitajiet essenzjali u importanti skont din id-Direttiva. L-Istati Membri jenħtieġ ikunu jistgħu jassenjaw dan ir-rwol lil awtorità eżistenti.

(22)Biex jiġu ffaċilitati l-kooperazzjoni u l-komunikazzjoni transfruntieri fost l-awtoritajiet u biex din id-Direttiva tiġi implimentata b’mod effettiv, huwa meħtieġ li kull Stat Membru jiddeżinja punt uniku ta’ kuntatt nazzjonali responsabbli biex jikkoordina kwistjonijiet relatati mas-sigurtà tan-network u s-sistemi tal-informazzjoni u l-kooperazzjoni transfruntiera fil-livell tal-Unjoni.

(23)L-awtoritajiet kompetenti jew is-CSIRTs jenħtieġ jirċievu notifiki tal-inċidenti mingħand l-entitajiet b’mod effettiv u effiċjenti. Il-punti uniċi ta’ kuntatt jenħtieġ jingħataw il-kompitu li jibagħtu n-notifiki tal-inċidenti lill-punti uniċi ta’ kuntatt ta’ Stati Membri oħra affettwati. Fil-livell tal-awtoritajiet tal-Istati Membri, biex jiġi żgurat punt uniku ta’ dħul f’kull Stat Membru, jenħtieġ li l-punti uniċi ta’ kuntatt ikunu wkoll id-destinatarji ta’ informazzjoni rilevanti dwar inċidenti li jikkonċernaw lil entitajiet tas-settur finanzjarju mill-awtoritajiet kompetenti skont ir-Regolament XX/XX li jenħtieġ ikunu jistgħu jibagħtu, kif xieraq, lill-awtoritajiet kompetenti nazzjonali rilevanti jew lis-CSIRTs skont din id-Direttiva.

(24)L-Istati Membri jenħtieġ ikunu mgħammra kif xieraq, fejn jidħlu l-kapaċitajiet tekniċi u organizzattivi, biex jipprevjenu, jiddetettaw, jirrispondu u jnaqqsu l-inċidenti u r-riskji tan-network u s-sistemi tal-informazzjoni. L-Istati Membri jenħtieġ li għalhekk jiżguraw li jkollhom CSIRTs, magħrufa wkoll bħala skwadri ta’ rispons għal inċidenti relatati mas-sigurtà tal-kompjuters (“CERTs”), li jiffunzjonaw tajjeb u li huma konformi mar-rekwiżiti essenzjali biex ikunu jiżguraw kapaċitajiet effettivi u kompatibbli li jindirizzaw l-inċidenti u r-riskji u jiżguraw kooperazzjoni effiċjenti fil-livell tal-Unjoni. Fid-dawl tat-titjib tar-relazzjoni ta’ fiduċja bejn l-entitajiet u s-CSIRTs, meta CSIRT tkun parti mill-awtorità kompetenti, l-Istati Membri jenħtieġ jikkunsidraw is-separazzjoni funzjonali bejn il-kompiti operazzjonali pprovduti mis-CSIRTs, b’mod partikolari fir-rigward tal-kondiviżjoni tal-informazzjoni u l-appoġġ lill-entitajiet, u l-attivitajiet superviżorji tal-awtoritajiet kompetenti.

(25)Fir-rigward tad-data personali, is-CSIRTs jenħtieġ ikunu jistgħu jipprovdu, f’konformità mar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill 19 fir-rigward tad-data personali, f’isem u fuq talba minn entità skont din id-Direttiva, skennjar proattiv tan-network u s-sistemi tal-informazzjoni użati għall-forniment tas-servizzi tagħhom. Jenħtieġ li l-Istati Membri jimmiraw li jiżguraw livell ugwali ta’ kapaċitajiet tekniċi għas-CSIRTs settorjali kollha. L-Istati Membri jistgħu jitolbu l-assistenza tal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) fl-iżvilupp tas-CSIRTs nazzjonali.

(26)Minħabba l-importanza tal-kooperazzjoni internazzjonali dwar iċ-ċibersigurtà, is-CSIRTs jenħtieġ ikunu jistgħu jipparteċipaw f’networks ta’ kooperazzjoni internazzjonali, apparti n-network tas-CSIRTs stabbilit b’din id-Direttiva.

(27)F’konformità mal-Anness tar-Rakkomandazzjoni tal-Kummissjoni (UE) 2017/1548 dwar Rispons Koordinat għal Inċidenti u Kriżijiet taċ-Ċibersigurtà fuq Skala Kbira (“Blueprint”) 20 , inċident fuq skala kbira jenħtieġ ifisser inċident b’impatt sinifikanti fuq mill-inqas żewġ Stati Membri jew li t-tfixkil tiegħu jaqbeż il-kapaċità ta’ Stat Membru li jirrispondi għalih. Skont il-kawża u l-impatt tagħhom, inċidenti fuq skala kbira jistgħu jeskalaw u jinbidlu fi kriżijiet sħaħ li ma jippermettux il-funzjonament tajjeb tas-suq intern. Minħabba l-ambitu wiesa’ u, fil-biċċa l-kbira tal-każijiet, in-natura transfruntiera ta’ inċidenti bħal dawn, jenħtieġ li l-Istati Membri u l-istituzzjonijiet, il-korpi u l-aġenziji rilevanti tal-Unjoni jikkooperaw fil-livell tekniku, operazzjonali u politiku biex jikkoordinaw sew ir-rispons madwar l-Unjoni.

(28)Peress li l-isfruttament tal-vulnerabbiltajiet fin-network u s-sistemi tal-informazzjoni jista’ jikkawża tfixkil u ħsara sinifikanti, l-identifikazzjoni u r-rimedju malajr ta’ dawk il-vulnerabbiltajiet huma fattur importanti biex jonqos ir-riskju taċ-ċibersigurtà. Għalhekk jenħtieġ li l-entitajiet li jiżviluppaw sistemi bħal dawn jistabbilixxu proċeduri xierqa biex jittrattaw il-vulnerabbiltajiet meta jiġu skoperti. Peress li l-vulnerabbiltajiet spiss jiġu skoperti u rrapportati (żvelati) minn partijiet terzi (entitajiet relatriċi), il-manifattur jew il-fornitur ta’ prodotti jew servizzi tal-ICT jenħtieġ jistabbilixxi wkoll il-proċeduri meħtieġa biex jirċievi informazzjoni dwar il-vulnerabbiltà mingħand partijiet terzi. F’dan ir-rigward, l-istandards internazzjonali ISO/IEC 30111 u ISO/IEC 29417 jipprovdu gwida dwar it-trattament tal-vulnerabbiltajiet u d-divulgazzjoni tal-vulnerabbiltajiet rispettivament. Fir-rigward tad-divulgazzjoni tal-vulnerabbiltajiet, il-koordinazzjoni bejn l-entitajiet relatriċi u l-manifatturi jew il-fornituri ta’ prodotti jew servizzi tal-ICT hija partikolarment importanti. Id-divulgazzjoni kkoordinata tal-vulnerabbiltajiet tispeċifika proċess strutturat għar-rapportar tal-vulnerabbiltajiet lill-organizzazzjonijiet b’tali mod li l-organizzazzjoni tkun tista’ twettaq dijanjostika u rimedju għall-vulnerabbiltà qabel ma tiġi żvelata informazzjoni dettaljata dwar il-vulnerabbiltà lil partijiet terzi jew lill-pubbliku. Id-divulgazzjoni kkoordinata tal-vulnerabbiltajiet jenħtieġ tinkludi wkoll koordinazzjoni bejn l-entità relatriċi u l-organizzazzjoni fir-rigward tat-twaqqit tar-rimedju u l-pubblikazzjoni tal-vulnerabbiltajiet.

(29)Għalhekk jenħtieġ li l-Istati Membri jieħdu miżuri biex jiffaċilitaw id-divulgazzjoni kkoordinata tal-vulnerabbiltajiet billi jistabbilixxu politika nazzjonali rilevanti. F’dan ir-rigward, jenħtieġ li l-Istati Membri jiddeżinjaw CSIRT li jkollha r-rwol ta’ “koordinatur” biex taġixxi bħala intermedjarju bejn l-entitajiet relatriċi u l-manifatturi jew il-fornituri ta’ prodotti jew servizzi tal-ICT meta meħtieġ. Il-kompiti tal-koordinatur tas-CSIRT jenħtieġ jinkludu b’mod partikolari l-identifikazzjoni u l-kuntatt tal-entitajiet ikkonċernati, l-appoġġ lill-entitajiet relatriċi, in-negozjar tal-iskedi ta’ żmien tad-divulgazzjoni, u l-ġestjoni tal-vulnerabbiltajiet li jaffettwaw organizzazzjonijiet multipli (divulgazzjoni ta’ vulnerabbiltajiet multipartitiċi). Meta l-vulnerabbiltajiet jaffettwaw diversi manifatturi jew fornituri ta’ prodotti jew servizzi tal-ICT stabbiliti f’aktar minn Stat Membru wieħed, is-CSIRTs iddeżinjati minn kull Stat Membru affettwat jenħtieġ jikkooperaw fin-Network tas-CSIRTs.

(30)L-aċċess għal informazzjoni korretta u fil-ħin dwar il-vulnerabbiltajiet li jaffettwaw il-prodotti u s-servizzi tal-ICT jikkontribwixxi għal ġestjoni mtejba tar-riskji taċ-ċibersigurtà. F’dak ir-rigward, is-sorsi tal-informazzjoni disponibbli pubblikament dwar il-vulnerabbiltajiet huma għodda importanti għall-entitajiet u għall-utenti tagħhom, iżda wkoll għall-awtoritajiet kompetenti nazzjonali u għas-CSIRTs. Għal din ir-raġuni, l-ENISA jenħtieġ tistabbilixxi reġistru tal-vulnerabbiltajiet meta, l-entitajiet essenzjali u importanti u l-fornituri tagħhom, kif ukoll l-entitajiet li ma jkunux fil-kamp ta’ applikazzjoni ta’ din id-Direttiva jistgħu, b’mod volontarju, jiżvelaw vulnerabbiltajiet u jipprovdu l-informazzjoni dwar il-vulnerabbiltajiet li tippermetti lill-utenti jieħdu miżuri xierqa ta’ mitigazzjoni.

(31)Għalkemm jeżistu reġistri jew bażijiet tad-data simili tal-vulnerabbiltajiet, dawn huma ospitati u miżmuma minn entitajiet li mhumiex stabbiliti fl-Unjoni. Reġistru Ewropew tal-vulnerabbiltajiet miżmum mill-ENISA jipprovdi trasparenza mtejba fir-rigward tal-proċess tal-pubblikazzjoni qabel ma l-vulnerabbiltà tiġi żvelata uffiċjalment, u reżiljenza f’każijiet ta’ tfixkil jew interruzzjonijiet fil-forniment ta’ servizzi simili. Biex tevita d-duplikazzjoni tal-isforzi u tfittex il-kumplimentarjetà sa fejn ikun possibbli, jenħtieġ li l-ENISA tesplora l-possibbiltà li tidħol fi ftehimiet ta’ kooperazzjoni strutturati ma’ reġistri simili f’ġurisdizzjonijiet ta’ pajjiżi terzi.

(32)Il-Grupp ta’ Kooperazzjoni jenħtieġ jistabbilixxi programm ta’ ħidma kull sentejn li jinkludi l-azzjonijiet li jridu jittieħdu mill-Grupp biex jimplimenta l-objettivi u l-kompiti tiegħu. Il-perjodu ta’ żmien tal-ewwel programm adottat skont din id-Direttiva jenħtieġ jiġi allinjat mal-perjodu ta’ żmien tal-aħħar programm adottat skont id-Direttiva (UE) 2016/1148 biex jiġi evitat tfixkil potenzjali fil-ħidma tal-Grupp.

(33)Meta jiżviluppa dokumenti ta’ gwida, il-Grupp ta’ Kooperazzjoni jenħtieġ li konsistentement: jimmeppja s-soluzzjonijiet u l-esperjenzi nazzjonali, jivvaluta l-impatt tar-riżultati tanġibbli tal-Grupp ta’ Kooperazzjoni fuq l-approċċi nazzjonali, jiddiskuti l-isfidi tal-implimentazzjoni u jifformula rakkomandazzjonijiet speċifiċi li jridu jiġu indirizzati b’implimentazzjoni aħjar tar-regoli eżistenti.

(34)Il-Grupp ta’ Kooperazzjoni jenħtieġ jibqa’ forum flessibbli u jkun jista’ jirreaġixxi għal prijoritajiet u sfidi ta’ politika ġodda u li qed jinbidlu filwaqt li jqis id-disponibbiltà tar-riżorsi. Jenħtieġ jorganizza laqgħat konġunti regolari ma’ partijiet ikkonċernati privati rilevanti minn madwar l-Unjoni biex jiddiskuti l-attivitajiet imwettqa mill-Grupp u jiġbor kontribut dwar l-isfidi emerġenti tal-politika. Biex tissaħħaħ il-kooperazzjoni fil-livell tal-Unjoni, il-Grupp jenħtieġ jikkunsidra li jistieden lil korpi u aġenziji tal-Unjoni involuti fil-politika taċ-ċibersigurtà, bħaċ-Ċentru Ewropew taċ-Ċiberkriminalità (EC3), l-Aġenzija tas-Sikurezza tal-Avjazzjoni tal-Unjoni Ewropea (EASA) u l-Aġenzija tal-Unjoni Ewropea għall-Programm Spazjali (EUSPA) biex jipparteċipaw fil-ħidma tiegħu.

(35)L-awtoritajiet kompetenti u s-CSIRTs jenħtieġ jingħataw is-setgħa li jipparteċipaw fi skemi ta’ skambju lill-uffiċjali minn Stati Membri oħra biex titjieb il-kooperazzjoni. L-awtoritajiet kompetenti jenħtieġ jieħdu l-miżuri meħtieġa biex uffiċjali minn Stati Membri oħra jkunu jistgħu jaqdu rwol effettiv fl-attivitajiet tal-awtorità kompetenti.

(36)Jenħtieġ li meta jkun xieraq, l-Unjoni tkun tista’ tikkonkludi ftehimiet internazzjonali f’konformità mal-Artikolu 218 tat-TFUE ma’ pajjiżi terzi jew organizzazzjonijiet internazzjonali li jippermettu u jorganizzaw il-parteċipazzjoni tagħhom f’xi attivitajiet tal-Grupp ta’ Kooperazzjoni u n-network tas-CSIRTs. Ftehimiet bħal dawn jenħtieġ jiżguraw protezzjoni adegwata tad-data.

(37)L-Istati Membri jenħtieġ jikkontribwixxu għall-istabbiliment tal-Qafas ta’ Rispons għall-Kriżijiet taċ-Ċibersigurtà tal-UE stabbilit fir-Rakkomandazzjoni (UE) 2017/1584 permezz tan-networks ta’ kooperazzjoni eżistenti, b’mod partikolari n-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe), in-network tas-CSIRTs u l-Grupp ta’ Kooperazzjoni. Jenħtieġ li n-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) u n-network tas-CSIRTs jikkooperaw abbażi ta’ arranġamenti proċedurali li jiddefinixxu l-modalitajiet ta’ dik il-kooperazzjoni. Ir-regoli ta’ proċedura tan-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) jenħtieġ jispeċifikaw aktar il-modalitajiet li permezz tagħhom in-network jenħtieġ jiffunzjona, inkluż għal rwoli, modi ta’ kooperazzjoni, interazzjonijiet ma’ atturi rilevanti oħra u mudelli għall-kondiviżjoni tal-informazzjoni, kif ukoll mezzi ta’ komunikazzjoni iżda mhux limitat għalihom. Għall-ġestjoni tal-kriżijiet fil-livell tal-Unjoni, il-partijiet rilevanti jenħtieġ ikunu jiddependu fuq l-Arranġamenti Integrati tal-UE għal Rispons Politiku f’Sitwazzjonijiet ta’ Kriżi (IPCR). Il-Kummissjoni jenħtieġ tuża l-proċess transsettorjali ta’ livell għoli ARGUS għall-koordinazzjoni f’sitwazzjonijiet ta’ kriżi għal dan il-għan. Jekk il-kriżi tinvolvi dimensjoni esterna importanti jew waħda marbuta mal-Politika ta’ Sigurtà u ta’ Difiża Komuni (PSDK), jenħtieġ jiġi attivat il-Mekkaniżmu ta’ Rispons għall-Kriżijiet (CRM) tas-Servizz Ewropew għall-Azzjoni Esterna (SEAE).

(38)Għall-finijiet ta’ din id-Direttiva, it-terminu “riskju” jenħtieġ jirreferi għall-potenzjal ta’ telf jew tfixkil ikkawżat minn inċident taċ-ċibersigurtà u jenħtieġ jiġi espress bħala kombinament tad-daqs ta’ dan it-telf jew it-tfixkil, u l-probabbiltà li dan l-inċident iseħħ.

(39)Għall-finijiet ta’ din id-Direttiva, it-terminu “kważi aċċidenti” jenħtieġ jirreferi għal avveniment li potenzjalment seta’ kkawża ħsara, iżda li ġie evitat b’suċċess milli jseħħ kompletament.

(40)Jenħtieġ li l-miżuri ta’ ġestjoni tar-riskji jinkludu miżuri biex jiġu identifikati r-riskji ta’ inċidenti, biex jipprevjenu, jiddetettaw u jittrattaw l-inċidenti u jnaqqsu l-impatt tagħhom. Is-sigurtà tan-network u s-sistemi tal-informazzjoni jenħtieġ tinkludi s-sigurtà tad-data maħżuna, trażmessa u pproċessata.

(41)Biex tiġi evitata l-impożizzjoni ta’ piż finanzjarju u amministrattiv sproporzjonat fuq l-entitajiet essenzjali u importanti, ir-rekwiżiti ta’ ġestjoni tar-riskji taċ-ċibersigurtà jenħtieġ ikunu proporzjonati għar-riskju ppreżentat min-network u s-sistema tal-informazzjoni kkonċernati, filwaqt li jitqies l-avvanz ta’ dawn il-miżuri.

(42)L-entitajiet essenzjali u importanti jenħtieġ jiżguraw is-sigurtà tan-network u s-sistemi tal-informazzjoni li jużaw fl-attivitajiet tagħhom. Dawk huma primarjament network u sistemi tal-informazzjoni privati li jkunu ġestiti mill-persunal intern tagħhom tal-IT jew li s-sigurtà tagħhom tkun ġiet esternalizzata. Ir-rekwiżiti ta’ ġestjoni tar-riskji taċ-ċibersigurtà u ta’ rapportar skont din id-Direttiva jenħtieġ japplikaw għall-entitajiet essenzjali u importanti rilevanti irrispettivament minn jekk iwettqux il-manutenzjoni tan-network u s-sistemi tal-informazzjoni tagħhom internament jew jesternalizzawha.

(43)L-indirizzar tar-riskji taċ-ċibersigurtà li jirriżultaw mill-katina tal-provvista ta’ entità u r-relazzjoni tagħha mal-fornituri tagħha huwa partikolarment importanti minħabba l-prevalenza ta’ inċidenti meta l-entitajiet ikunu sfaw vittmi ta’ attakki ċibernetiċi u meta atturi malizzjużi setgħu jikkompromettu s-sigurtà tan-network u s-sistemi tal-informazzjoni ta’ entità billi jisfruttaw il-vulnerabbiltajiet li jaffettwaw prodotti u servizzi ta’ parti terza. Għalhekk, jenħtieġ li l-entitajiet jivvalutaw u jqisu l-kwalità ġenerali tal-prodotti u l-prattiki taċ-ċibersigurtà tal-fornituri u l-fornituri tas-servizzi tagħhom, inkluż il-proċeduri tal-iżvilupp siguri tagħhom.

(44)Fost il-fornituri tas-servizzi, il-fornituri tas-servizzi tas-sigurtà ġestiti (MSSPs) f’oqsma bħar-rispons għall-inċidenti, l-ittestjar tal-penetrazzjoni, il-verifiki tas-sigurtà u l-konsulenza għandhom rwol partikolarment importanti li jassistu lill-entitajiet fl-isforzi tagħhom biex jiddetettaw u jirrispondu għall-inċidenti. Iżda anki dawk l-MSSPs kienu fil-mira ta’ attakki ċibernetiċi u permezz tal-integrazzjoni mill-qrib tagħhom fl-operazzjonijiet tal-operaturi joħolqu riskju partikolari għaċ-ċibersigurtà. Għalhekk jenħtieġ li l-entitajiet jeżerċitaw aktar diliġenza fl-għażla ta’ MSSP.

(45)L-entitajiet jenħtieġ jindirizzaw ukoll ir-riskji taċ-ċibersigurtà li jirriżultaw mill-interazzjonijiet u r-relazzjonijiet tagħhom ma’ partijiet ikkonċernati oħra f’ekosistema usa’. B’mod partikolari, l-entitajiet jenħtieġ jieħdu miżuri xierqa biex jiżguraw li l-kooperazzjoni tagħhom mal-istituzzjonijiet akkademiċi u tar-riċerka ssir f’konformità mal-politiki tagħhom dwar iċ-ċibersigurtà u timxi skont prattiki tajba relatati mal-aċċess u d-disseminazzjoni siguri tal-informazzjoni b’mod ġenerali u l-protezzjoni tal-proprjetà intellettwali b’mod partikolari. Bl-istess mod, minħabba l-importanza u l-valur tad-data għall-attivitajiet tal-entitajiet, meta jiddependu fuq servizzi ta’ trasformazzjoni tad-data u ta’ analitika tad-data minn partijiet terzi, jenħtieġ li l-entitajiet jieħdu l-miżuri xierqa kollha taċ-ċibersigurtà.

(46)Biex ikompli jindirizza r-riskji ewlenin fil-katina tal-provvista u jassisti lill-entitajiet li joperaw fis-setturi koperti minn din id-Direttiva biex jimmaniġġjaw b’mod xieraq ir-riskji taċ-ċibersigurtà relatati mal-katina tal-provvista u l-fornituri, il-Grupp ta’ Kooperazzjoni li jinvolvi l-awtoritajiet nazzjonali rilevanti, f’kooperazzjoni mal-Kummissjoni u l-ENISA, jenħtieġ iwettaq valutazzjonijiet tar-riskju kkoordinati tal-katina tal-provvista settorjali, kif kien diġà sar għan-networks 5G skont ir-Rakkomandazzjoni (UE) 2019/534 dwar iċ-Ċibersigurtà tan-networks 5G 21 , biex jiġi identifikat għal kull settur liema huma s-servizzi, is-sistemi jew il-prodotti kritiċi tal-ICT, u t-theddid u l-vulnerabbiltajiet rilevanti.

(47)Il-valutazzjonijiet tar-riskju tal-katina tal-provvista, fid-dawl tal-karatteristiċi tas-settur ikkonċernat, jenħtieġ iqisu l-fatturi tekniċi u, meta rilevanti, l-fatturi mhux tekniċi, inkluż dawk definiti fir-Rakkomandazzjoni (UE) 2019/534, fil-valutazzjoni tar-riskju kkoordinata mal-UE kollha tas-sigurtà tan-networks 5G u fis-Sett ta’ Għodod tal-UE dwar iċ-ċibersigurtà 5G maqbula mill-Grupp ta’ Kooperazzjoni. Biex jiġu identifikati l-ktajjen tal-provvista li jenħtieġ ikunu soġġetti għal valutazzjoni tar-riskju kkoordinata, jenħtieġ jitqiesu l-kriterji li ġejjin: (i) il-punt sa fejn l-entitajiet essenzjali u importanti jużaw u jiddependu fuq servizzi, sistemi jew prodotti kritiċi speċifiċi tal-ICT; (ii) ir-rilevanza ta’ servizzi, sistemi jew prodotti kritiċi speċifiċi tal-ICT għat-twettiq ta’ funzjonijiet kritiċi jew sensittivi, inkluż l-ipproċessar ta’ data personali; (iii) id-disponibbiltà ta’ servizzi, sistemi u prodotti tal-ICT alternattivi; (iv) ir-reżiljenza tal-katina tal-provvista ġenerali tas-servizzi, tas-sistemi jew tal-prodotti tal-ICT kontra avvenimenti ta’ tfixkil; u (v) għas-servizzi, is-sistemi jew il-prodotti tal-ICT emerġenti, is-sinifikat futur potenzjali tagħhom għall-attivitajiet tal-entitajiet.

(48)Biex jiġu ssimplifikati l-obbligi legali imposti fuq il-fornituri ta’ networks pubbliċi tal-komunikazzjoni elettronika jew tas-servizzi tal-komunikazzjoni elettronika disponibbli għall-pubbliku, u fuq il-fornituri ta’ servizzi fiduċjarji relatati mas-sigurtà tan-network u s-sistemi tal-informazzjoni tagħhom, kif ukoll biex dawk l-entitajiet u l-awtoritajiet kompetenti rispettivi tagħhom ikunu jistgħu jibbenefikaw mill-qafas legali stabbilit minn din id-Direttiva (inkluż id-deżinjazzjoni ta’ CSIRT responsabbli għat-trattament tar-riskji u tal-inċidenti, għall-parteċipazzjoni tal-awtoritajiet u tal-korpi kompetenti fil-ħidma tal-Grupp ta’ Kooperazzjoni u n-network tas-CSIRT), jenħtieġ li dawn jiġu inklużi fil-kamp ta’ applikazzjoni ta’ din id-Direttiva. Għalhekk jenħtieġ jitħassru d-dispożizzjonijiet korrispondenti stabbiliti fir-Regolament (UE) Nru 910/2014 tal-Parlament Ewropew u tal-Kunsill 22 u fid-Direttiva (UE) 2018/1972 tal-Parlament Ewropew u tal-Kunsill 23 relatati mal-impożizzjoni ta’ rekwiżit tas-sigurtà u n-notifika fuq dawn it-tipi ta’ entitajiet. Ir-regoli dwar l-obbligi ta’ rapportar jenħtieġ ikunu mingħajr preġudizzju għar-Regolament (UE) 2016/679 u għad-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill 24 .

(49)Meta jkun xieraq u biex jiġi evitat tfixkil bla bżonn, il-linji gwida nazzjonali eżistenti u l-leġislazzjoni nazzjonali adottati għat-traspożizzjoni tar-regoli relatati mal-miżuri tas-sigurtà stabbiliti fl-Artikolu 40(1) tad-Direttiva (UE) 2018/1972, kif ukoll tar-rekwiżiti tal-Artikolu 40(2) ta’ dik id-Direttiva dwar il-parametri relatati mas-sinifikat ta’ inċident, jenħtieġ ikomplu jintużaw mill-awtoritajiet kompetenti responsabbli għas-superviżjoni u l-infurzar għall-finijiet ta’ din id-Direttiva.

(50)Minħabba l-importanza li qed tikber tas-servizzi ta’ komunikazzjoni interpersonali indipendenti min-numri, jeħtieġ jiġi żgurat li s-servizzi ta’ dan it-tip ikunu wkoll soġġetti għal rekwiżiti xierqa tas-sigurtà fid-dawl tan-natura speċifika u l-importanza ekonomika tagħhom. Għalhekk jenħtieġ li l-fornituri ta’ servizzi bħal dawn jiżguraw ukoll livell ta’ sigurtà tan-network u s-sistemi tal-informazzjoni li jkun xieraq għar-riskju maħluq. Peress li l-fornituri tas-servizzi tal-komunikazzjoni interpersonali indipendenti min-numri normalment ma jeżerċitawx kontroll effettiv fuq it-trażmissjoni tas-sinjali fuq in-networks, il-livell tar-riskju għal dawn is-servizzi jista’ jitqies, f’ċerti aspetti, li huwa inqas minn dak għas-servizzi tal-komunikazzjoni elettronika tradizzjonali. L-istess japplika għas-servizzi tal-komunikazzjoni interpersonali li jużaw in-numri u li ma jeżerċitawx kontroll effettiv fuq it-trażmissjoni tas-sinjali.

(51)Is-suq intern jiddependi aktar minn qatt qabel fuq il-funzjonament tal-internet. Is-servizzi ta’ kważi l-entitajiet essenzjali u importanti kollha jiddependu fuq is-servizzi pprovduti fuq l-internet. Biex jiġi żgurat il-forniment bla xkiel tas-servizzi pprovduti mill-entitajiet essenzjali u importanti, huwa importanti li n-networks pubbliċi tal-komunikazzjoni elettronika, bħal pereżempju l-backbones tal-internet jew il-kejbils tal-komunikazzjoni taħt il-baħar, ikollhom miżuri xierqa taċ-ċibersigurtà u jirrapportaw l-inċidenti relatati magħhom.

(52)Meta jkun xieraq, l-entitajiet jenħtieġ jinfurmaw lir-riċevituri tas-servizz tagħhom dwar theddid partikolari u sinifikanti u dwar miżuri li jistgħu jieħdu biex itaffu r-riskju li jirriżulta għalihom. Ir-rekwiżit li r-riċevituri ta’ theddid bħal dan jiġu infurmati, jenħtieġ li ma jeħlisx lill-fornitur tas-servizz mill-obbligu li jieħu, bi spejjeż tiegħu, miżuri adattati u immedjati biex jipprevjeni jew jirrimedja kwalunkwe theddid għas-sigurtà u jistabbilixxi mill-ġdid il-livell ta’ sigurtà normali tas-servizz. Jenħtieġ li l-għoti ta’ informazzjoni bħal din dwar it-theddid għas-sigurtà tkun mingħajr ħlas għar-riċevituri.

(53)B’mod partikolari, jenħtieġ li l-fornituri ta’ networks pubbliċi tal-komunikazzjoni elettronika jew tas-servizzi tal-komunikazzjoni elettronika disponibbli għall-pubbliku jinformaw lir-riċevituri tas-servizz dwar theddid ċibernetiku partikolari u sinifikanti u dwar il-miżuri li jistgħu jieħdu biex jipproteġu s-sigurtà tal-komunikazzjoni tagħhom, pereżempju billi jużaw tipi speċifiċi ta’ software jew teknoloġiji ta’ kriptaġġ.

(54)Biex titħares is-sigurtà tan-networks u s-servizzi tal-komunikazzjoni elettronika, jenħtieġ jiġi promoss l-użu tal-kriptaġġ, u b’mod partikolari l-kriptaġġ minn tarf sa tarf u, meta meħtieġ, jenħtieġ li dan ikun obbligatorju għall-fornituri ta’ tali servizzi u networks f’konformità mal-prinċipji tas-sigurtà u tal-privatezza b’mod awtomatiku u b’mod maħsub għall-finijiet tal-Artikolu 18. L-użu ta’ kriptaġġ minn tarf sa tarf jenħtieġ jiġi rikonċiljat mas-setgħat tal-Istat Membru li jiżgura l-protezzjoni tal-interessi essenzjali tas-sigurtà u tas-sigurtà pubblika tiegħu, u li jippermetti l-investigazzjoni, id-detezzjoni u l-prosekuzzjoni ta’ reati kriminali f’konformità mal-liġi tal-Unjoni. Is-soluzzjonijiet għal aċċess legali għall-informazzjoni f’komunikazzjoni kriptata minn tarf sa tarf jenħtieġ iżommu l-effettività tal-kriptaġġ fil-protezzjoni tal-privatezza u s-sigurtà tal-komunikazzjoni, filwaqt li jipprovdu rispons effettiv għall-kriminalità. 

(55)Din id-Direttiva tistabbilixxi approċċ f’żewġ stadji għar-rapportar tal-inċidenti biex jinstab il-bilanċ it-tajjeb bejn ir-rapportar rapidu, minn naħa, li jgħin biex itaffi l-firxa potenzjali ta’ inċidenti u jippermetti lill-entitajiet ifittxu appoġġ, u r-rapportar approfondit, min-naħa l-oħra, li jislet tagħlimiet siewja minn inċidenti individwali u li maż-żmien itejjeb ir-reżiljenza għat-theddid ċibernetiku ta’ kumpaniji individwali u setturi sħaħ. Meta l-entitajiet isiru jafu b’xi inċident, jenħtieġ li dawn ikunu meħtieġa jippreżentaw notifika inizjali fi żmien 24 siegħa, u mbagħad rapport finali sa xahar wara. In-notifika inizjali jenħtieġ tinkludi biss l-informazzjoni strettament meħtieġa biex l-awtoritajiet kompetenti jsiru jafu bl-inċident u tippermetti lill-entità tfittex assistenza, jekk ikun meħtieġ. Tali notifika, meta applikabbli, jenħtieġ tindika jekk l-inċident hux preżumibbilment ikkawżat minn azzjoni illegali jew malizzjuża. Jenħtieġ li l-Istati Membri jiżguraw li r-rekwiżit li tiġi ppreżentata din in-notifika inizjali ma jiddevjax ir-riżorsi tal-entità relatriċi minn attivitajiet relatati mat-trattament tal-inċidenti li jenħtieġ jiġu prijoritizzati. Biex jiġi evitat ukoll li l-obbligi ta’ rapportar tal-inċidenti jew jiddevjaw ir-riżorsi mit-trattament tar-rispons għal inċidenti jew inkella jikkompromettu l-isforzi tal-entitajiet f’dak ir-rigward, jenħtieġ li l-Istati Membri jipprevedu wkoll li, f’każijiet debitament ġustifikati u bi qbil mal-awtoritajiet kompetenti jew is-CSIRT, l-entità kkonċernata tista’ tiddevja mill-iskadenzi ta’ 24 siegħa għan-notifika inizjali u ta’ xahar għar-rapport finali.

(56)L-entitajiet essenzjali u importanti ta’ spiss ikollhom jirraportaw inċident partikolari, minħabba l-karatteristiċi tiegħu, lil diversi awtoritajiet minħabba l-obbligi ta’ notifika inklużi f’diversi strumenti legali. Dawn l-istanzi joħolqu piżijiet addizzjonali u jistgħu jwasslu wkoll għal inċertezzi rigward il-format u l-proċeduri ta’ dawn in-notifiki. Fid-dawl ta’ dan, u għall-finijiet tas-simplifikazzjoni tar-rapportar tal-inċidenti tas-sigurtà, l-Istati Membri jenħtieġ jistabbilixxu punt uniku ta’ dħul għan-notifiki kollha meħtieġa skont din id-Direttiva u skont liġi oħra tal-Unjoni bħar-Regolament (UE) 2016/679 u d-Direttiva 2002/58/KE. Jenħtieġ li l-ENISA, f’kooperazzjoni mal-Grupp ta’ Kooperazzjoni, tiżviluppa mudelli ta’ notifika komuni permezz ta’ linji gwida li jissimplifikaw u jirrazzjonalizzaw l-informazzjoni tar-rapportar mitluba mil-liġi tal-Unjoni u jnaqqsu l-piżijiet għall-kumpaniji.

(57)Meta jkun suspettat li inċident huwa relatat ma’ attivitajiet kriminali serji skont il-liġi tal-Unjoni jew nazzjonali, l-Istati Membri jenħtieġ jinkoraġġixxu lill-entitajiet essenzjali u importanti, skont ir-regoli tal-proċedimenti kriminali applikabbli f’konformità mal-liġi tal-Unjoni, biex l-inċidenti suspettati li għandhom natura kriminali serja jirrapportawhom lill-awtoritajiet tal-infurzar tal-liġi rilevanti. Meta jkun xieraq, u mingħajr preġudizzju għar-regoli dwar il-protezzjoni tad-data personali li japplikaw għall-Europol, huwa mixtieq li l-koordinazzjoni bejn l-awtoritajiet kompetenti u l-awtoritajiet tal-infurzar tal-liġi ta’ Stati Membri differenti tiġi ffaċilitata mill-EC3 u l-ENISA.

(58)Ħafna drabi, id-data personali tiġi kompromessa minħabba l-inċidenti. F’dan il-kuntest, l-awtoritajiet kompetenti jenħtieġ jikkooperaw u jiskambjaw informazzjoni dwar il-kwistjonijiet rilevanti kollha mal-awtoritajiet tal-protezzjoni tad-data u mal-awtoritajiet superviżorji skont id-Direttiva 2002/58/KE.

(59)Iż-żamma ta’ bażijiet tad-data preċiżi u kompleti tal-ismijiet ta’ dominji u tad-data tar-reġistrazzjoni (l-hekk imsejħa “data WHOIS”) u l-għoti ta’ aċċess legali għal tali data huma essenzjali biex jiġu żgurati s-sigurtà, l-istabbiltà u r-reżiljenza tad-DNS, li min-naħa tagħha tikkontribwixxi għal livell komuni għoli ta’ ċibersigurtà fl-Unjoni. Meta l-ipproċessar ikun jinkludi data personali, dan l-ipproċessar jenħtieġ ikun konformi mal-liġi tal-Unjoni dwar il-protezzjoni tad-data. 

(60)Id-disponibbiltà u l-aċċessibbiltà fil-ħin ta’ din id-data għall-awtoritajiet pubbliċi, inkluż l-awtoritajiet kompetenti skont il-liġi tal-Unjoni jew nazzjonali għall-prevenzjoni, l-investigazzjoni jew il-prosekuzzjoni ta’ reati kriminali, is-CERTs (is-CSIRTs, u fir-rigward tad-data tal-klijenti tagħhom lil fornituri ta’ networks u ta’ servizzi tal-komunikazzjoni elettronika u lil fornituri ta’ teknoloġiji u ta’ servizzi taċ-ċibersigurtà li jaġixxu f’isem dawk il-klijenti, huma essenzjali għall-prevenzjoni u l-ġlieda kontra l-abbuż tas-Sistema tal-Ismijiet ta’ Dominji, b’mod partikolari għall-prevenzjoni, id-detezzjoni u r-rispons għall-inċidenti taċ-ċibersigurtà. Jenħtieġ li tali aċċess ikun konformi mal-liġi tal-Unjoni dwar il-protezzjoni tad-data sa fejn dan ikun relatat mad-data personali.

(61)Biex tiġi żgurata d-disponibbiltà ta’ data preċiża u kompleta dwar ir-reġistrazzjoni tal-ismijiet ta’ dominji, ir-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni tal-ismijiet ta’ dominji għat-TLD (l-hekk imsejħa reġistraturi) jenħtieġ jiġbru u jiżguraw l-integrità u d-disponibbiltà tad-data tar-reġistrazzjoni tal-ismijiet ta’ dominji. B’mod partikolari, jenħtieġ li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni tal-ismijiet ta’ dominji għat-TLD jistabbilixxu politiki u proċeduri biex jiġbru u jżommu data tar-reġistrazzjoni preċiża u kompleta, u biex jipprevjenu u jikkoreġu d-data tar-reġistrazzjoni li ma tkunx preċiża f’konformità mar-regoli tal-Unjoni dwar il-protezzjoni tad-data.

(62)Jenħtieġ li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni tal-ismijiet ta’ dominji għalihom jagħmlu disponibbli għall-pubbliku d-data tar-reġistrazzjoni tal-ismijiet ta’ dominji li mhix fil-kamp ta’ applikazzjoni tar-regoli tal-Unjoni dwar il-protezzjoni tad-data, bħal data li tikkonċerna persuni ġuridiċi 25 . Jenħtieġ li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi tar-reġistrazzjoni tal-ismijiet ta’ dominji għat-TLD jippermettu wkoll aċċess legali għal data speċifika tar-reġistrazzjoni tal-ismijiet ta’ dominji li tikkonċerna persuni fiżiċi, lil persuni li jridu aċċess leġittimu, f’konformità mal-liġi tal-Unjoni dwar il-protezzjoni tad-data. L-Istati Membri jenħtieġ jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdulhom servizzi ta’ reġistrazzjoni tal-ismijiet ta’ dominji jirrispondu mingħajr dewmien żejjed it-talbiet ta’ dawk li jridu aċċess leġittimu għad-divulgazzjoni tad-data tar-reġistrazzjoni tal-ismijiet ta’ dominji. Ir-reġistri tat-TLD u l-entitajiet li jipprovdulhom servizzi tar-reġistrazzjoni tal-ismijiet ta’ dominji jenħtieġ jistabbilixxu politiki u proċeduri għall-pubblikazzjoni u d-divulgazzjoni tad-data tar-reġistrazzjoni, inkluż ftehimiet fil-livell ta’ servizz biex jittrattaw it-talbiet għal aċċess mingħand dawk li jridu aċċess leġittimu. Il-proċedura tal-aċċess tista’ tinkludi wkoll l-użu ta’ interfaċċa, portal jew għodda teknika oħra biex tiġi pprovduta sistema effiċjenti għal talbiet u aċċess għal data tar-reġistrazzjoni. Bil-ħsieb li tippromwovi prattiki armonizzati fis-suq intern kollu, il-Kummissjoni tista’ tadotta linji gwida dwar tali proċeduri mingħajr preġudizzju għall-kompetenzi tal-Bord Ewropew għall-Protezzjoni tad-Data.

(63)Jenħtieġ li meta jipprovdu s-servizzi tagħhom, l-entitajiet essenzjali u importanti kollha ta’ din id-Direttiva jkunu fil-ġurisdizzjoni tal-Istat Membru. Jekk l-entità tipprovdi servizzi f’aktar minn Stat Membru wieħed, din jenħtieġ tkun fil-ġurisdizzjoni separata u konkorrenti ta’ kull wieħed minn dawn l-Istati Membri. L-awtoritajiet kompetenti ta’ dawn l-Istati Membri jenħtieġ jikkooperaw, jipprovdu assistenza reċiproka lil xulxin u meta jkun xieraq, iwettqu azzjonijiet superviżorji konġunti.

(64)Biex titqies in-natura transfruntiera tas-servizzi u l-operazzjonijiet tal-fornituri ta’ servizzi tad-DNS, ir-reġistri tal-ismijiet tat-TLD, il-fornituri ta’ network tal-konsenja tal-kontenut, il-fornituri ta’ servizzi tal-cloud computing, il-fornituri ta’ servizzi ta’ ċentri tad-data u l-fornituri diġitali, Stat Membru wieħed biss jenħtieġ ikollu ġurisdizzjoni fuq dawn l-entitajiet. Jenħtieġ li l-ġurisdizzjoni tiġi attribwita lill-Istat Membru fejn l-entità rispettiva jkollha l-istabbiliment ewlieni tagħha fl-Unjoni. Il-kriterju tal-istabbiliment għall-finijiet ta’ din id-Direttiva jimplika l-eżerċizzju effettiv ta’ attività permezz ta’ arranġamenti stabbli. Il-forma legali ta’ dawn l-arranġamenti, sew jekk permezz ta’ fergħa jew sussidjarja b’personalità ġuridika, mhix il-fattur determinanti f’dak ir-rigward. Il-konformità ma’ dan il-kriterju jenħtieġ ma tkunx tiddependi fuq jekk in-network u s-sistemi tal-informazzjoni jkunux jinsabu fiżikament f’post partikolari; il-preżenza u l-użu ta’ tali sistemi, fihom infushom, ma jikkostitwux tali stabbiliment ewlieni u għalhekk mhumiex kriterji deċiżivi għad-determinazzjoni tal-istabbiliment ewlieni. Jenħtieġ li l-istabbiliment ewlieni jkun il-post fejn jittieħdu d-deċiżjonijiet relatati mal-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà fl-Unjoni. Tipikament, dan jikkorrispondi għall-post tal-amministrazzjoni ċentrali tal-kumpaniji fl-Unjoni. Jekk tali deċiżjonijiet ma jittiħdux fl-Unjoni, l-istabbiliment ewlieni jenħtieġ jitqies li jinsab fl-Istati Membri fejn l-entità jkollha stabbiliment bl-akbar numru ta’ impjegati fl-Unjoni. Meta s-servizzi jitwettqu minn grupp ta’ impriżi, l-istabbiliment ewlieni tal-impriża li tikkontrolla jenħtieġ jitqies bħala l-istabbiliment ewlieni tal-grupp ta’ impriżi.

(65)Meta fornitur ta’ servizzi tad-DNS, reġistru tal-ismijiet tat-TLD, fornitur ta’ network tal-konsenja tal-kontenut, fornitur ta’ servizzi tal-cloud computing, fornitur ta’ servizzi ta’ ċentru tad-data u fornitur diġitali mhux stabbilit fl-Unjoni jkunu joffru servizzi fl-Unjoni, dawn jenħtieġ jiddeżinjaw rappreżentant. Biex jiġi ddeterminat jekk tali entità hix qed toffri servizzi fl-Unjoni, jenħtieġ jiġi aċċertat jekk ikunx evidenti li l-entità qed tippjana li toffri servizzi lil persuni fi Stat Membru wieħed jew aktar. Is-sempliċi aċċessibbiltà fl-Unjoni tas-sit web tal-entita jew ta’ intermedjarju jew ta’ indirizz tal-email u ta’ dettalji ta’ kuntatt oħrajn, jew l-użu ta’ lingwa użata b’mod ġenerali f’pajjiż terz fejn tkun stabbilita l-entità, mhumiex biżżejjed biex tiġi aċċertata tali intenzjoni. Madankollu, fatturi bħall-użu ta’ lingwa jew ta’ munita użati b’mod ġenerali fi Stat Membru wieħed jew aktar bil-possibbiltà li jiġu ordnati servizzi b’dik il-lingwa, jew ir-referenza għal klijenti jew utenti li jinsabu fl-Unjoni, jistgħu juru li l-entità qed tippjana li toffri servizzi fl-Unjoni. Ir-rappreżentant jenħtieġ jaġixxi f’isem l-entità u jenħtieġ ikun possibbli li l-awtoritajiet kompetenti jew is-CSIRTs jikkuntattjaw lir-rappreżentant. Ir-rappreżentant jenħtieġ jiġi ddeżinjat espliċitament b’mandat bil-miktub tal-entità biex jaġixxi f’isem din tal-aħħar fir-rigward tal-obbligi ta’ din tal-aħħar skont din id-Direttiva, inkluż ir-rapportar tal-inċidenti.

(66)Meta tiġi skambjata, irrapportata jew kondiviża b’xi mod ieħor informazzjoni li titqies klassifikata skont il-liġi nazzjonali jew tal-Unjoni skont id-dispożizzjonijiet ta’ din id-Direttiva, jenħtieġ jiġu applikati r-regoli speċifiċi korrispondenti dwar it-trattament tal-informazzjoni klassifikata.

(67)It-theddid ċibernetiku qed isir aktar kumpless u sofistikat, u għalhekk miżuri tajba ta’ detezzjoni u prevenzjoni jiddependu ferm fuq il-kondiviżjoni regolari ta’ intelligence dwar it-theddid u l-vulnerabbiltà bejn l-entitajiet. Il-kondiviżjoni tal-informazzjoni tikkontribwixxi għal aktar għarfien dwar it-theddid ċibernetiku li, min-naħa tiegħu, isaħħaħ il-kapaċità tal-entitajiet li jipprevjenu t-theddid milli jissarraf f’inċidenti reali u jippermetti lill-entitajiet biex itaffu aħjar l-effetti tal-inċidenti u jirkupraw b’aktar effiċjenza. Fin-nuqqas ta’ gwida fil-livell tal-Unjoni, jidher li hemm bosta fatturi li jfixklu tali kondiviżjoni ta’ intelligence, b’mod partikolari l-inċertezza dwar il-kompatibbiltà mar-regoli tal-kompetizzjoni u tar-responsabbiltà.

(68)L-entitajiet jenħtieġ jitħeġġu jisfruttaw kollettivament l-għarfien individwali u l-esperjenza prattika tagħhom f’livelli strateġiċi, tattiċi u operazzjonali bil-ħsieb li jsaħħu l-kapaċitajiet tagħhom biex jivvalutaw, jimmonitorjaw, jiddefendu kontra t-theddid ċibernetiku u jirrispondu għalih kif xieraq. Għalhekk jeħtieġ ikun possibbli li fil-livell tal-Unjoni jitfaċċaw mekkaniżmi għal arranġamenti volontarji ta’ kondiviżjoni tal-informazzjoni. Għal dan il-għan, l-Istati Membri jenħtieġ jappoġġaw b’mod attiv u jinkoraġġixxu wkoll lill-entitajiet rilevanti mhux koperti mill-kamp ta’ applikazzjoni ta’ din id-Direttiva biex jipparteċipaw f’dawn il-mekkaniżmi ta’ kondiviżjoni tal-informazzjoni. Dawk il-mekkaniżmi jenħtieġ jitwettqu f’konformità sħiħa mar-regoli tal-kompetizzjoni tal-Unjoni kif ukoll mar-regoli tal-liġi tal-Unjoni dwar il-protezzjoni tad-data.

(69)Jenħtieġ li l-ipproċessar tad-data personali, sa fejn ikun strettament meħtieġ u proporzjonat għall-finijiet tal-iżgurar tas-sigurtà tan-network u s-sistemi tal-informazzjoni minn entitajiet, awtoritajiet pubbliċi, CERTs, CSIRTs, u fornituri ta’ teknoloġiji u servizzi tas-sigurtà, ikun jikkostitwixxi interess leġittimu tal-kontrollur tad-data kkonċernat, kif imsemmi fir-Regolament (UE) 2016/679. Jenħtieġ li dan jinkludi miżuri relatati mal-prevenzjoni, id-detezzjoni, l-analiżi u r-rispons għall-inċidenti, miżuri għal għarfien dwar theddid ċibernetiku speċifiku, l-iskambju ta’ informazzjoni fil-kuntest tar-rimedju tal-vulnerabbiltà u d-divulgazzjoni ikkoordinata, kif ukoll l-iskambju volontarju ta’ informazzjoni dwar dawk l-inċidenti, kif ukoll it-theddid ċibernetiku u l-vulnerabbiltajiet, l-indikaturi ta’ kompromess, tattiċi, tekniki u proċeduri, it-twissijiet taċ-ċibersigurtà u l-għodod ta’ konfigurazzjoni. Dawn il-miżuri jistgħu jeżiġu l-ipproċessar tat-tipi ta’ data personali li ġejjin: Indirizzi IP, lokalizzaturi uniformi tar-riżorsi (URLs), ismijiet ta’ dominji, u indirizzi tal-email.

(70)Biex jissaħħu s-setgħat u l-azzjonijiet superviżorji li jgħinu biex tiġi żgurata konformità effettiva, din id-Direttiva jenħtieġ tipprevedi lista minima ta’ azzjonijiet u mezzi superviżorji li permezz tagħhom l-awtoritajiet kompetenti jistgħu jissorveljaw lill-entitajiet essenzjali u importanti. Barra minn hekk, din id-Direttiva jenħtieġ tistabbilixxi divrenzjar tar-reġim superviżorju bejn l-entitajiet essenzjali u importanti biex jiġi żgurat bilanċ ġust tal-obbligi kemm għall-entitajiet kif ukoll għall-awtoritajiet kompetenti. Għalhekk, l-entitajiet essenzjali jenħtieġ ikunu soġġetti għal reġim superviżorju sħiħ (ex-ante u ex-post), filwaqt li l-entitajiet importanti jenħtieġ ikunu soġġetti għal reġim superviżorju ħafif u ex-post biss. Għal dan tal-aħħar, dan ifisser li l-entitajiet importanti jenħtieġ ma jiddokumentawx b’mod sistematiku l-konformità mar-rekwiżiti ta’ ġestjoni tar-riskji taċ-ċibersigurtà, filwaqt li l-awtoritajiet kompetenti jenħtieġ jimplimentaw approċċ reattiv ex post għas-superviżjoni u b’hekk ma jkollhomx obbligu ġenerali li jissorveljaw lil dawk l-entitajiet.

(71)Għal infurzar effettiv, jenħtieġ tiġi stabbilita lista minima ta’ sanzjonijiet amministrattivi għall-ksur tal-ġestjoni tar-riskji taċ-ċibersigurtà u tal-obbligi tar-rapportar previsti f’din id-Direttiva, u din tistabbilixxi qafas ċar u konsistenti għal tali sanzjonijiet madwar l-Unjoni. Jenħtieġ jitqiesu kif xieraq in-natura, il-gravità u t-tul tal-ksur, id-dannu reali kkawżat jew it-telf imġarrab, jew id-dannu jew it-telf potenzjali li setgħu ġew skattati, il-karattru intenzjonali jew negliġenti tal-ksur, l-azzjonijiet meħuda għall-prevenzjoni jew il-mitigazzjoni tad-dannu u/jew it-telf imġarrab, il-grad ta’ responsabbiltà jew kwalunkwe ksur preċedenti rilevanti, il-grad ta’ kooperazzjoni mal-awtorità kompetenti u kwalunkwe fattur aggravanti jew mitiganti ieħor. L-impożizzjoni ta’ pieni, inkluż multi amministrattivi, jenħtieġ tkun soġġetta għal salvagwardji proċedurali xierqa f’konformità mal-prinċipji ġenerali tal-liġi tal-Unjoni u tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, inkluż protezzjoni ġudizzjarja effettiva u proċess ġust.

(72)Biex jiġi żgurat infurzar effettiv tal-obbligi stabbiliti f’din id-Direttiva, kull awtorità kompetenti jenħtieġ ikollha s-setgħa timponi jew titlob l-impożizzjoni ta’ multi amministrattivi.

(73)Meta l-multi amministrattivi jiġu imposti fuq impriża, it-terminu “impriża” jenħtieġ ifisser impriża f’konformità mal-Artikoli 101 u 102 tat-TFUE għal dawk il-finijiet. Meta jiġu imposti multi amministrattivi fuq persuni li mhumiex impiża, l-awtorità superviżorja jenħtieġ tqis il-livell ġenerali ta’ introjtu fl-Istat Membru u s-sitwazzjoni ekonomika tal-persuna meta tkun qed tistabbilixxi l-ammont xieraq tal-multa. Jenħtieġ ikunu l-Istati Membri li jiddeterminaw jekk l-awtoritajiet pubbliċi jenħtieġx ikunu soġġetti għal multi amministrattivi u sa liema punt. L-impożizzjoni ta’ multa amministrattiva ma taffettwax l-applikazzjoni ta’ setgħat oħra mill-awtoritajiet kompetenti jew ta’ pieni oħra stabbiliti fir-regoli nazzjonali li jittrasponu din id-Direttiva.

(74)Jenħtieġ li l-Istati Membri jkunu jistgħu jistabbilixxu r-regoli dwar il-pieni kriminali għall-ksur tar-regoli nazzjonali li jittrasponu din id-Direttiva. Madankollu, jenħtieġ li l-impożizzjoni ta’ pieni kriminali għall-ksur ta’ dawn regoli nazzjonali u ta’ pieni amministrattivi ma twassalx għal ksur tal-prinċipju ta’ ne bis in idem, kif interpretat mill-Qorti tal-Ġustizzja.

(75)Meta din id-Direttiva ma tarmonizzax il-pieni amministrattivi jew, meta meħtieġ, f’każijiet oħra pereżempju f’każijiet ta’ ksur serju tal-obbligi stabbiliti f’din id-Direttiva, l-Istati Membri jenħtieġ jimplimentaw sistema li tipprevedi pieni effettivi, proporzjonati u dissważivi. In-natura ta’ dawn il-pieni, kriminali jew amministrattivi, jenħtieġ tiġi ddeterminata mil-liġi tal-Istat Membru.

(76)Biex ikomplu jissaħħu l-effettività u d-dissważività tal-pieni applikabbli għall-ksur tal-obbligi stabbiliti skont din id-Direttiva, l-awtoritajiet kompetenti jenħtieġ ikollhom is-setgħa japplikaw sanzjonijiet li jikkonsistu fis-sospensjoni ta’ ċertifikazzjoni jew awtorizzazzjoni b’rabta mas-servizzi kollha jew ma’ parti minnhom ipprovduti minn entità essenzjali u fl-impożizzjoni ta’ projbizzjoni temporanja mill-eżerċizzju tal-funzjonijiet maniġerjali ta’ persuna fiżika. Minħabba s-severità u l-impatt tagħhom fuq l-attivitajiet tal-entitajiet u fl-aħħar mill-aħħar fuq il-konsumaturi tagħhom, tali sanzjonijiet jenħtieġ jiġu applikati biss b’mod proporzjonali għas-severità tal-ksur u b’kont meħud taċ-ċirkostanzi speċifiċi ta’ kull każ, inkluż il-karattru intenzjonali jew negliġenti tal-ksur, l-azzjonijiet meħuda għall-prevenzjoni jew il-mitigazzjoni tad-dannu u/jew it-telf imġarrab. Tali sanzjonijiet jenħtieġ jiġu applikati biss bħala ultima ratio, jiġifieri diment li jkunu ġew eżawriti l-azzjonijiet ta’ infurzar rilevanti l-oħra stabbiliti f’din id-Direttiva; u jenħtieġ jiġu applikati diment li l-entitajiet li japplikaw għalihom jieħdu l-azzjoni meħtieġa biex jirrimedjaw in-nuqqasijiet jew jikkonformaw mar-rekwiżiti tal-awtorità kompetenti li għalihom ikunu ġew applikati tali sanzjonijiet. L-impożizzjoni ta’ dawn is-sanzjonijiet għandha tkun soġġetta għal salvagwardji proċedurali xierqa f’konformità mal-prinċipji ġenerali tal-liġi tal-Unjoni u l-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, inkluż il-protezzjoni ġudizzjarja effettiva, il-proċess ġust, il-preżunzjoni tal-innoċenza u d-dritt għal difiża.

(77)Din id-Direttiva jenħtieġ tistabbilixxi regoli ta’ kooperazzjoni bejn l-awtoritajiet kompetenti u l-awtoritajiet superviżorji f’konformità mar-Regolament (UE) 2016/679 biex jiġi indirizzat il-ksur relatat mad-data personali.

(78)Din id-Direttiva jenħtieġ ikollha l-għan li tiżgura livell għoli ta’ responsabbiltà għall-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà u l-obbligi ta’ rapportar fil-livell tal-organizzazzjonijiet. Għal dawn ir-raġunijiet, jenħtieġ li l-korpi maniġerjali tal-entitajiet li huma fil-kamp ta’ applikazzjoni ta’ din id-Direttiva japprovaw il-miżuri tar-riskju taċ-ċibersigurtà u jissorveljaw l-implimentazzjoni tagħhom.

(79)Jenħtieġ jiġi introdott mekkaniżmu ta’ evalwazzjoni bejn il-pari li jippermetti l-valutazzjoni mill-esperti ddeżinjati mill-Istati Membri tal-implimentazzjoni tal-politiki dwar iċ-ċibersigurtà, inkluż il-livell tal-kapaċitajiet tal-Istati Membri u r-riżorsi disponibbli.

(80)Biex jitqiesu t-theddid ċibernetiku, l-iżviluppi teknoloġiċi jew speċifiċitajiet settorjali ġodda, is-setgħa li jiġu adottati atti f’konformità mal-Artikolu 290 tat-TFUE jenħtieġ tiġi ddelegata lill-Kummissjoni fir-rigward tal-elementi relatati mal-miżuri ta’ ġestjoni tar-riskji meħtieġa minn din id-Direttiva. Il-Kummissjoni jenħtieġ ukoll tingħata s-setgħa li tadotta atti delegati li jistabbilixxu liema kategoriji ta’ entitajiet essenzjali għandhom ikunu meħtieġa jiksbu ċertifikat u b’liema skemi speċifiċi Ewropej taċ-ċertifikazzjoni taċ-ċibersigurtà. Huwa partikolarment importanti li l-Kummissjoni twettaq konsultazzjonijiet xierqa tul ix-xogħol preparatorju tagħha, inkluż fil-livell ta’ esperti, u li dawk il-konsultazzjonijiet isiru f’konformità mal-prinċipji stabbiliti fil-Ftehim Interistituzzjonali tat-13 ta’ April 2016 dwar it-Tfassil Aħjar tal-Liġijiet 26 . B’mod partikolari, biex tiġi żgurata parteċipazzjoni ugwali fit-tħejjija tal-atti delegati, il-Parlament Ewropew u l-Kunsill jirċievu d-dokumenti kollha fl-istess ħin li jirċevuhom l-esperti tal-Istati Membri, u l-esperti tagħhom ikollhom aċċess sistematiku għal-laqgħat tal-gruppi tal-esperti tal-Kummissjoni li jittrattaw it-tħejjija tal-atti delegati.

(81)Biex jiġu żgurati kundizzjonijiet uniformi għall-implimentazzjoni tad-dispożizzjonijiet rilevanti ta’ din id-Direttiva dwar l-arranġamenti proċedurali meħtieġa għall-funzjonament tal-Grupp ta’ Kooperazzjoni, l-elementi tekniċi relatati mal-miżuri ta’ ġestjoni tar-riskji jew mat-tip ta’ informazzjoni, il-format u l-proċedura tan-notifiki tal-inċidenti, jenħtieġ li l-Kummissjoni tingħata setgħat ta' implimentazzjoni. Jenħtieġ li dawk is-setgħat ikunu eżerċitati f’konformità mar-Regolament (UE) Nru 182/2011 tal-Parlament Ewropew u tal-Kunsill 27 .

(82)Il-Kummissjoni jenħtieġ twettaq rieżami ta’ din id-Direttiva perjodikament, f’konsultazzjoni mal-partijiet interessati, b’mod partikolari biex tiddetermina l-ħtieġa ta’ modifika fid-dawl ta’ bidliet fil-kundizzjonijiet soċjetali, politiċi, teknoloġiċi jew tas-suq.

(83)Peress li l-objettiv ta’ din id-Direttiva, prinċipalment li jinkiseb livell komuni għoli ta’ ċibersigurtà fl-Unjoni, ma jistax jinkiseb b’mod suffiċjenti mill-Istati Membri iżda jista’, bis-saħħa tal-effetti tal-azzjoni, jinkiseb aħjar fil-livell tal-Unjoni, l-Unjoni tista’ tadotta miżuri, f’konformità mal-prinċipju tas-sussidjarjetà kif stipulat fl-Artikolu 5 tat-Trattat tal-Unjoni Ewropea. F’konformità mal-prinċipju tal-proporzjonalità kif stabbilit f’dak l-Artikolu, din id-Direttiva ma tmurx lil hinn minn dak meħtieġ biex jintlaħaq dak l-objettiv.

(84)Din id-Direttiva tirrispetta d-drittijiet fundamentali u tosserva l-prinċipji rikonoxxuti mill-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, b’mod partikolari d-dritt ta’ rispett għall-ħajja privata u d-dritt tal-komunikazzjoni, il-protezzjoni tad-data personali, il-libertà ta’ intrapriża, id-dritt għal proprjetà, id-dritt għal rimedju effettiv quddiem qorti u d-dritt ta’ smigħ. Din id-Direttiva jenħtieġ tiġi implimentata f’konformità ma’ dawk id-drittijiet u l-prinċipji,

ADOTTAW DIN ID-DIRETTIVA:

KAPITOLU I
Dispożizzjonijiet ġenerali

Artikolu 1
Suġġett

1.Din id-Direttiva tistabbilixxi miżuri biex fl-Unjoni jkun żgurat livell għoli komuni ta’ ċibersigurtà.

2.Għal dan il-għan, din id-Direttiva:

(a)tistabbilixxi obbligi għall-Istati Membri biex jadottaw strateġiji nazzjonali taċ-ċibersigurtà, jiddeżinjaw awtoritajiet nazzjonali kompetenti, punti uniċi ta’ kuntatt u Skwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters (CSIRTs);

(b)tistabbilixxi l-ġestjoni tar-riskji taċ-ċibersigurtà u obbligi ta’ rapportar għall-entitajiet tat-tip imsejjaħ entitajiet essenzjali fl-Anness I u entitajiet importanti fl-Anness II;

(c)tistabbilixxi obbligi dwar il-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà.

Artikolu 2
Kamp ta’ applikazzjoni

1.Din id-Direttiva tapplika għall-entitajiet pubbliċi u privati tat-tip magħrufa bħala entitajiet essenzjali fl-Anness I u bħala entitajiet importanti fl-Anness II. Din id-Direttiva ma tapplikax għall-entitajiet li jikkwalifikaw bħala intrapriżi mikro u żgħar skont it-tifsira tar-Rakkomandazzjoni tal-Kummissjoni 2003/361/KE 28 .

2.Iżda, irrispettivament mid-daqs tagħhom, din id-Direttiva tapplika wkoll għall-entitajiet imsemmija fl-Annessi I u II, meta:

(a)is-servizzi jiġu pprovduti minn waħda mill-entitajiet li ġejjin:

(i)networks pubbliċi tal-komunikazzjoni elettronika jew servizzi tal-komunikazzjoni elettronika disponibbli għall-pubbliku msemmija fil-punt 8 tal-Anness I;

(ii)fornituri ta’ servizzi fiduċjarji msemmija fil-punt 8 tal-Anness I;

(iii)reġistri ta’ ismijiet ta’ dominji tal-ogħla livell u fornituri ta’ servizzi tas-sistema tal-ismijiet ta’ dominji (DNS) imsemmija fil-punt 8 tal-Anness I;

(b)l-entità tkun entità tal-amministrazzjoni pubblika kif definit fil-punt 23 tal-Artikolu 4;

(c)l-entità tkun l-uniku fornitur ta’ servizz fi Stat Membru;

(d)tfixkil potenzjali tas-servizz ipprovdut mill-entità jista’ jħalli impatt fuq is-sikurezza pubblika, is-sigurtà pubblika jew is-saħħa pubblika;

(e)tfixkil potenzjali tas-servizz ipprovdut mill-entità jista’ jwassal għal riskji sistemiċi, b’mod partikolari għas-setturi meta dan it-tfixkil jista’ jħalli impatt transfruntier;

(f)l-entità tkun kritika minħabba l-importanza speċifika tagħha fil-livell reġjonali jew nazzjonali għas-settur partikolari jew it-tip ta’ servizz, jew għal setturi interdipendenti oħra fl-Istat Membru;

(g)l-entità tkun identifikata bħala entità kritika skont id-Direttiva (UE) XX/XX tal-Parlament Ewropew u tal-Kunsill 29 [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi], jew bħala entità ekwivalenti għal entità kritika skont l-Artikolu 7 ta’ dik id-Direttiva.

L-Istati Membri għandhom jistabbilixxu lista ta’ entitajiet identifikati skont il-punti (b) sa (f) u jippreżentawha lill-Kummissjoni sa [6 xhur wara l-iskadenza tat-traspożizzjoni]. L-Istati Membri għandhom iwettqu rieżami tal-lista b’mod regolari, u mbagħad mill-inqas kull sentejn u, meta jkun xieraq, jaġġornawha.

3.Din id-Direttiva hija mingħajr preġudizzju għall-kompetenzi tal-Istati Membri dwar iż-żamma tas-sigurtà pubblika, id-difiża u s-sigurtà nazzjonali f’konformità mal-liġi tal-Unjoni.

4.Din id-Direttiva tapplika mingħajr preġudizzju għad-Direttiva tal-Kunsill 2008/114/KE 30 u għad-Direttivi 2011/93/UE 31 u 2013/40/UE 32 tal-Parlament Ewropew u tal-Kunsill.

5.Mingħajr preġudizzju għall-Artikolu 346 tat-TFUE, l-informazzjoni li tkun kunfidenzjali skont ir-regoli tal-Unjoni u nazzjonali, bħar-regoli dwar il-kunfidenzjalità tan-negozju, għandha tiġi skambjata mal-Kummissjoni u ma’ awtoritajiet rilevanti oħra biss meta dan l-iskambju jkun meħtieġ għall-applikazzjoni ta’ din id-Direttiva. L-informazzjoni skambjata għandha tkun limitata għal dak li huwa rilevanti u proporzjonat għall-fini ta’ dak l-iskambju. L-iskambju tal-informazzjoni għandu jżomm il-kunfidenzjalità ta’ dik l-informazzjoni u jipproteġi l-interessi tas-sigurtà u kummerċjali tal-entitajiet essenzjali jew importanti.

6.Meta d-dispożizzjonijiet ta’ atti tal-liġi tal-Unjoni speċifiċi għas-settur ikunu jeżiġu li l-entitajiet essenzjali jew importanti jadottaw miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà jew jinnotifikaw l-inċidenti jew it-theddid ċibernetiku sinifikanti, u meta dawk ir-rekwiżiti jkunu tal-inqas ekwivalenti fl-effett għall-obbligi stabbiliti f’din id-Direttiva, id-dispożizzjonijiet rilevanti ta’ din id-Direttiva, inkluż id-dispożizzjoni dwar is-superviżjoni u l-infurzar stabbilita fil-Kapitolu VI, ma għandhomx japplikaw.

Artikolu 3
Armonizzazzjoni minima

Mingħajr preġudizzju għall-obbligi l-oħra tagħhom skont il-liġi tal-Unjoni, l-Istati Membri jistgħu, f’konformità ma’ din id-Direttiva, jadottaw jew iżommu dispożizzjonijiet li jiżguraw livell ogħla ta’ ċibersigurtà.

Artikolu 4
Definizzjonijiet

Għall-finijiet ta’ din id-Direttiva, japplikaw id-definizzjonijiet li ġejjin:

(1)“network u sistema tal-informazzjoni” tfisser:

(a)network tal-komunikazzjoni elettronika skont it-tifsira tal-Artikolu 2(1) tad-Direttiva (UE) 2018/1972;

(b)kwalunkwe apparat jew grupp ta’ apparati interkonnessi jew relatati, li wieħed minnhom jew aktar, skont programm, iwettqu pproċessar awtomatiku ta’ data diġitali;

(c)data diġitali maħżuna, ipproċessata, miġbura jew trażmessa minn elementi koperti fil-punti (a) u (b) għall-finijiet tal-operazzjoni, l-użu, il-protezzjoni u ż-żamma tagħhom;

(2)“sigurtà tan-network u tas-sistemi tal-informazzjoni” tfisser l-abbiltà ta’ network u ta’ sistemi tal-informazzjoni li jirreżistu, f’livell partikolari ta’ kunfidenza, kwalunkwe azzjoni li tikkomprometti d-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data maħżuna, trażmessa jew ipproċessata, jew is-servizzi relatati offruti minn, jew aċċessibbli permezz ta’ dak in-network u s-sistemi tal-informazzjoni;

(3)“ċibersigurtà” tfisser ċibersigurtà skont it-tifsira tal-Artikolu 2(1) tar-Regolament (UE) Nru 2019/881 tal-Parlament Ewropew u tal-Kunsill 33 ;

(4)“strateġija nazzjonali taċ-ċibersigurtà” tfisser qafas koerenti ta’ Stat Membru li jipprovdi objettivi u prijoritajiet strateġiċi dwar is-sigurtà tan-network u s-sistemi tal-informazzjoni f’dak l-Istat Membru;

(5)“inċident” tfisser kwalunkwe avveniment li jikkomprometti d-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data maħżuna, trażmessa jew ipproċessata jew tas-servizzi relatati offruti minn network u sistemi tal-informazzjoni, jew aċċessibbli permezz tagħhom;

(6)“trattament tal-inċidenti” tfisser l-azzjonijiet u l-proċeduri kollha mmirati għad-detezzjoni, l-analiżi u t-trażżin ta’ inċident u r-rispons għalih;

(7)“theddida ċibernetika” tfisser theddida ċibernetika skont it-tifsira tal-Artikolu 2(8) tar-Regolament (UE) 2019/881;

(8)“vulnerabbiltà” tfisser dgħjufija, suxxettibbiltà jew difett ta’ assi, sistema, proċess jew kontroll li jistgħu jiġu sfruttati minn theddida ċibernetika;

(9)“ rappreżentant” tfisser kwalunkwe persuna fiżika jew ġuridika stabbilita fl-Unjoni ddeżinjata b’mod espliċitu biex taġixxi f’isem (i) fornitur ta’ servizzi tad-DNS, reġistru tal-ismijiet ta’ dominji tal-ogħla livell (TLD), fornitur ta’ servizz tal-cloud computing, fornitur ta’ servizz ta’ ċentru tad-data, fornitur ta’ network tal-konsenja tal-kontenut kif imsemmi fil-punt 8 tal-Anness I jew (ii) l-entitajiet imsemmija fil-punt 6 tal-Anness II li mhumiex stabbiliti fl-Unjoni, li jistgħu jiġu indirizzati minn awtorità kompetenti nazzjonali jew minn CSIRT minflok dik l-entità fir-rigward tal-obbligi ta’ dik l-entità skont din id-Direttiva;

(10)“standard” tfisser standard skont it-tifsira tal-Artikolu 2(1) tar-Regolament (UE) Nru 1025/2012 tal-Parlament Ewropew u tal-Kunsill 34 ;

(11)“speċifikazzjoni teknika” tfisser speċifikazzjoni teknika skont it-tifsira tal-Artikolu 2(4) tar-Regolament (UE) Nru 1025/2012;

(12)“punt ta’ skambju fuq l-internet (IXP)” tfisser faċilità ta’ network li tippermetti l-interkonnessjoni ta’ aktar minn żewġ networks indipendenti (sistemi awtonomi), primarjament għall-fini li jiġi ffaċilitat l-iskambju tat-traffiku tal-internet; IXP jipprovdi interkonnessjoni għal sistemi awtonomi biss; IXP ma jeħtieġx li t-traffiku tal-internet, li jgħaddi bejn par ta’ sistemi awtonomi parteċipanti, jgħaddi minn sistema awtonoma terza, u lanqas ma jibdel dan it-traffiku jew jinterferixxi mod ieħor miegħu;

(13)“sistema tal-ismijiet ta’ dominji (DNS)” tfisser sistema ta’ ismijiet distribwiti ġerarkikament li tippermetti lill-utenti finali jilħqu servizzi u riżorsi fuq l-internet;

(14)“fornitur ta’ servizzi tad-DNS” tfisser entità li tipprovdi servizzi ta’ riżoluzzjoni ta’ ismijiet ta’ dominji rekursivi jew awtoritattivi lil utenti finali tal-internet u lil fornituri oħra ta’ servizz tad-DNS;

(15)“reġistru ta’ ismijiet ta’ dominji tal-ogħla livell” tfisser entità li tkun ġiet iddelegata b’TLD speċifiku u li tkun responsabbli għall-amministrazzjoni tat-TLD, inkluż ir-reġistrazzjoni ta’ ismijiet ta’ dominji taħt it-TLD u l-operat tekniku tat-TLD, inkluż it-tħaddim tas-servers tal-isem tagħha, il-manutenzjoni tal-bażijiet tad-data tagħha u d-distribuzzjoni tal-fajls taż-żona tat-TLD fost is-servers tal-ismijiet;

(16)“servizz diġitali” tfisser servizz skont it-tifsira tal-Artikolu 1(1)(b) tad-Direttiva (UE) 2015/1535 tal-Parlament Ewropew u tal-Kunsill 35 ;

(17)“post tas-suq online” tfisser servizz skont it-tifsira tal-Artikolu 2(n) tad-Direttiva 2005/29/KE tal-Parlament Ewropew u tal-Kunsill 36 ;

(18)“magna tat-tiftix online” tfisser sustanza skont it-tifsira tal-Artikolu 2(5) tar-Regolament (UE) 2019/1150 tal-Parlament Ewropew u tal-Kunsill 37 ;

(19)“servizz tal-cloud computing” tfisser servizz diġitali li jippermetti amministrazzjoni on-demand u aċċess remot wiesa’għal ġabra skalabbli u elastika ta’ riżorsi tal-computing kondiviżabbli u distribwiti;

(20)“servizz ta’ ċentru tad-data” tfisser servizz li jinkludi strutturi, jew gruppi ta’ strutturi, iddedikati għall-akkomodazzjoni ċentralizzata, għall-interkonnessjoni u għat-tħaddim ta’ tagħmir tat-teknoloġija tal-informazzjoni u tan-network li jipprovdi servizzi ta’ ħżin, ipproċessar u trasport tad-data flimkien mal-faċilitajiet u l-infrastrutturi kollha għad-distribuzzjoni tal-enerġija u l-kontroll ambjentali;

(21)“network ta’ twassil tal-kontenut” tfisser network ta’ servers distribwiti ġeografikament bil-għan li jiġu żgurati disponibbiltà għolja, aċċessibbiltà jew twassil malajr ta’ kontenut u servizzi diġitali lil utenti tal-internet f’isem il-fornituri ta’ kontenut u ta’ servizzi;

(22)“pjattaforma ta’ servizzi ta’ networking soċjali” tfisser pjattaforma li tippermetti lill-utenti finali jikkonnettjaw, jikkondividu, jiskopru u jikkomunikaw bejniethom b’diversi apparati u b’mod partikolari b’chats, posts, videos u rakkomandazzjonijiet);

(23)“entità tal-amministrazzjoni pubblika” tfisser entità fi Stat Membru li tikkonforma mal-kriterji li ġejjin: 

(a)tkun stabbilita għall-fini speċifiku li tissodisfa l-ħtiġijiet fl-interess ġenerali, u ma jkollhiex karattru industrijali jew kummerċjali;

(b)għandha personalità ġuridika;

(c)tkun iffinanzjata, fil-biċċa l-kbira, mill-Istat, minn awtorità reġjonali, jew minn korpi oħra regolati mil-liġi pubblika; jew tkun soġġetta għal superviżjoni maniġerjali minn dawk l-awtoritajiet jew il-korpi; jew ikollha bord amministrattiv, maniġerjali jew superviżorju, li aktar minn nofs il-membri tiegħu jinħatru mill-Istat, mill-awtoritajiet reġjonali, jew minn korpi oħra regolati mil-liġi pubblika;

(d)ikollha s-setgħa li tindirizza deċiżjonijiet amministrattivi jew regolatorji lil persuni fiżiċi jew ġuridiċi li jaffettwaw id-drittijiet tagħhom fil-moviment transfruntier ta’ persuni, oġġetti, servizzi jew kapital.

L-entitajiet tal-amministrazzjoni pubblika li jwettqu attivitajiet fl-oqsma tas-sigurtà pubblika, l-infurzar tal-liġi, id-difiża jew is-sigurtà nazzjonali huma esklużi.

(24)“entità ” tfisser kwalunkwe persuna fiżika jew ġuridika maħluqa u rikonoxxuta bħala tali skont il-liġi nazzjonali tal-post tal-istabbiliment tagħha, li filwaqt li taġixxi f’isimha stess tista’ teżerċita drittijiet u tkun soġġetta għal obbligi;

(25)“entità essenzjali” tfisser kwalunkwe entità tat-tip imsejjaħ bħala entità essenzjali fl-Anness I;

(26)“entità importanti” tfisser kwalunkwe entità tat-tip imsejjaħ bħala entità importanti fl-Anness II.

KAPITOLU II
Oqfsa regolatorji taċ-ċibersigurtà kkoordinati

Artikolu 5
Strateġija nazzjonali taċ-ċibersigurtà

1.Kull Stat Membru jenħtieġ jadotta strateġija nazzjonali taċ-ċibersigurtà li tiddefinixxi l-objettivi strateġiċi u l-miżuri regolatorji u politiċi xierqa biex jinkiseb u jinżamm livell għoli ta’ ċibersigurtà. L-istrateġija nazzjonali taċ-ċibersigurtà għandha tinkludi, b’mod partikolari, dan li ġej:

(a)definizzjoni tal-objettivi u l-prijoritajiet tal-istrateġija tal-Istati Membri b’rabta maċ-ċibersigurtà;

(b)qafas ta’ governanza biex jintlaħqu dawk l-objettivi u jitwettqu dawk il-prijoritajiet, inkluż il-politiki msemmija fil-paragrafu 2 u r-rwoli u r-responsabbiltajiet tal-korpi u l-entitajiet pubbliċi kif ukoll ta’ atturi rilevanti oħra;

(c)valutazzjoni biex jiġu identifikati l-assi rilevanti u r-riskji taċ-ċibersigurtà f’dak l-Istat Membru;

(d)identifikazzjoni tal-miżuri relatati mat-tħejjija, ir-rispons u l-irkupru fir-rigward tal-inċidenti, inkluż il-kooperazzjoni bejn is-settur pubbliku u privat;

(e)lista tad-diversi awtoritajiet u atturi involuti fl-implimentazzjoni tal-istrateġija nazzjonali taċ-ċibersigurtà;

(f)qafas ta’ politika għal koordinazzjoni msaħħa bejn l-awtoritajiet kompetenti skont din id-Direttiva u d-Direttiva (UE) XX/XX tal-Parlament Ewropew u tal-Kunsill 38 [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] għall-finijiet ta’ kondiviżjoni tal-informazzjoni dwar l-inċidenti u t-theddid ċibernetiku u t-twettiq tal-kompiti superviżorji.

2.Bħala parti mill-istrateġija nazzjonali taċ-ċibersigurtà, l-Istati Membri għandhom b’mod partikolari jadottaw il-politiki li ġejjin:

(a)politika li tindirizza ċ-ċibersigurtà fil-katina tal-provvista għall-prodotti u s-servizzi tal-ICT użati mill-entitajiet essenzjali u importanti għall-forniment tas-servizzi tagħhom;

(b)linji gwida dwar l-inklużjoni u l-ispeċifikazzjoni ta’ rekwiżiti relatati maċ-ċibersigurtà għall-prodotti u s-servizzi tal-ICT fl-akkwist pubbliku;

(c)politika li tippromwovi u tiffaċilita d-divulgazzjoni kkoordinata tal-vulnerabbiltajiet skont it-tifsira tal-Artikolu 6;

(d)politika relatata mas-sostenn tad-disponibbiltà u l-integrità ġenerali tal-qalba pubblika tal-internet miftuħ;

(e)politika dwar il-promozzjoni u l-iżvilupp ta’ ħiliet taċ-ċibersigurtà, sensibilizzazzjoni u inizjattivi ta’ riċerka u żvilupp;

(f)politika dwar l-appoġġ għall-istituzzjonijiet akkademiċi u tar-riċerka biex jiġu żviluppati għodod taċ-ċibersigurtà u infrastruttura tan-network sigura;

(g)politika, proċeduri rilevanti u għodod xierqa għall-kondiviżjoni tal-informazzjoni biex jappoġġaw il-kondiviżjoni volontarja tal-informazzjoni dwar iċ-ċibersigurtà bejn il-kumpaniji f’konformità mal-liġi tal-Unjoni;

(h)politika li tindirizza l-ħtiġijiet speċifiċi tal-SMEs, b’mod partikolari dawk esklużi mill-kamp ta’ applikazzjoni ta’ din id-Direttiva, fir-rigward ta’ gwida u appoġġ biex titjieb ir-reżiljenza tagħhom għat-theddid taċ-ċibersigurtà.

3.L-Istati Membri għandhom jinnotifikaw l-istrateġiji nazzjonali tagħhom taċ-ċibersigurtà lill-Kummissjoni fi żmien tliet xhur mill-adozzjoni tagħhom. L-Istati Membri jistgħu jeskludu informazzjoni speċifika min-notifika meta u sa fejn din tkun strettament meħtieġa biex titħares is-sigurtà nazzjonali.

4.L-Istati Membri għandhom jivvalutaw l-istrateġiji nazzjonali tagħhom taċ-ċibersigurtà mill-inqas kull erba’ snin abbażi ta’ indikaturi ewlenin tal-prestazzjoni u, meta meħtieġ, jemendawhom. L-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) għandha tassisti lill-Istati Membri, meta tintalab, fl-iżvilupp ta’ strateġija nazzjonali u ta’ indikaturi ewlenin tal-prestazzjoni għall-valutazzjoni tal-istrateġija.

Artikolu 6
Divulgazzjoni kkoordinata tal-vulnerabbiltajiet u reġistru Ewropew tal-vulnerabbiltajiet

1.Kull Stat Membru għandu jiddeżinja waħda mis-CSIRTs tiegħu kif imsemmi fl-Artikolu 9 bħala koordinatur għall-fini ta’ divulgazzjoni kkoordinata tal-vulnerabbiltajiet. Is-CSIRT iddeżinjata għandha taġixxi bħala intermedjarju fdat u tiffaċilita, meta meħtieġ, l-interazzjoni bejn l-entità relatriċi u l-manifattur jew il-fornitur ta’ prodotti ICT jew servizzi ICT. Meta l-vulnerabbiltà rrapportata tikkonċerna diversi manifatturi jew fornituri ta’ prodotti ICT jew servizzi tal-ICT madwar l-Unjoni, is-CSIRT iddeżinjata ta’ kull Stat Membru kkonċernat għandha tikkoopera man-network tas-CSIRTs.

2.L-ENISA għandha tiżviluppa u żżomm reġistru Ewropew tal-vulnerabbiltajiet. Għal dak il-għan, l-ENISA għandha tistabbilixxi u żżomm sistemi tal-informazzjoni, politiki u proċeduri xierqa biex, b’mod partikolari, tippermetti li l-entitajiet importanti u essenzjali u l-fornituri tagħhom tan-network u s-sistemi tal-informazzjoni jiżvelaw u jirreġistraw il-vulnerabbiltajiet preżenti fil-prodotti tal-ICT jew fis-servizzi tal-ICT, u li jipprovdu aċċess għall-informazzjoni dwar il-vulnerabbiltajiet li jkun hemm fir-reġistru lill-partijiet interessati kollha. Ir-reġistru għandu, b’mod partikolari, jinkludi informazzjoni li tiddeskrivi l-vulnerabbiltà, il-prodott tal-ICT jew is-servizz tal-ICT affettwati u s-severità tal-vulnerabbiltà mil-lat taċ-ċirkostanzi li fihom tista’ tiġi sfruttata, id-disponibbiltà ta’ patches relatati u, fin-nuqqas ta’ patches disponibbli, gwida indirizzata lill-utenti ta’ prodotti u servizzi vulnerabbli dwar kif jistgħu jittaffew ir-riskji li jirriżultaw mill-vulnerabbiltajiet divulgati.

Artikolu 7
Oqfsa nazzjonali għall-ġestjoni tal-kriżijiet taċ-ċibersigurtà

1.Kull Stat Membru għandu jiddeżinja awtorità kompetenti waħda jew aktar responsabbli għall-ġestjoni ta’ inċidenti u kriżijiet fuq skala kbira. L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti jkollhom riżorsi adegwati biex iwettqu l-kompiti assenjati lilhom b’mod effettiv u effiċjenti.

2.Kull Stat Membru għandu jidentifika l-kapaċitajiet, l-assi u l-proċeduri li jistgħu jiġu implimentati f’każ ta’ kriżi għall-finijiet ta’ din id-Direttiva.

3.Kull Stat Membru għandu jadotta pjan nazzjonali ta’ rispons għall-inċidenti u l-kriżijiet taċ-ċibersigurtà, u fih jistabbilixxi l-objettivi u l-modalitajiet fil-ġestjoni tal-inċidenti u l-kriżijiet taċ-ċibersigurtà fuq skala kbira. Il-pjan għandu jistabbilixxi, b’mod partikolari, dan li ġej:

(a)l-objettivi tal-miżuri u l-attivitajiet nazzjonali ta’ tħejjija;

(b)il-kompiti u r-responsabbiltajiet tal-awtoritajiet kompetenti nazzjonali;

(c)il-proċeduri tal-ġestjoni tal-kriżijiet u l-kanali tal-iskambju tal-informazzjoni;

(d)il-miżuri ta’ tħejjija, inkluż l-eżerċizzji u l-attivitajiet ta’ taħriġ;

(e)il-partijiet interessati pubbliċi u privati rilevanti u l-infrastruttura involuta;

(f)il-proċeduri u l-arranġamenti nazzjonali bejn l-awtoritajiet u l-korpi nazzjonali rilevanti biex jiġu żgurati l-parteċipazzjoni u l-appoġġ effettivi tal-Istat Membru fil-ġestjoni kkoordinata tal-inċidenti u l-kriżijiet taċ-ċibersigurtà fuq skala kbira fil-livell tal-Unjoni.

4.L-Istati Membri għandhom jikkomunikaw lill-Kummissjoni d-deżinjazzjoni tal-awtoritajiet kompetenti tagħhom imsemmija fil-paragrafu 1 u jippreżentaw il-pjanijiet nazzjonali tagħhom għall-inċidenti taċ-ċibersigurtà u r-rispons għall-kriżijiet kif imsemmi fil-paragrafu 3 fi żmien tliet xhur minn dik id-deżinjazzjoni u l-adozzjoni ta’ dawk il-pjanijiet. L-Istati Membri jistgħu jeskludu informazzjoni speċifika mill-pjan meta u sa fejn din tkun strettament meħtieġa għas-sigurtà nazzjonali tagħhom.

Artikolu 8
Awtoritajiet nazzjonali kompetenti u punt uniku ta’ kuntatt

1.Kull Stat Membru għandu jiddeżinja awtorità kompetenti waħda jew aktar responsabbli għaċ-ċibersigurtà u għall-kompiti superviżorji msemmija fil-Kapitolu VI ta’ din id-Direttiva. Għal dak il-għan, l-Istati Membri jistgħu jiddeżinjaw awtorità jew awtoritajiet eżistenti.

2.L-awtoritajiet kompetenti msemmija fil-paragrafu 1 għandhom jimmonitorjaw l-applikazzjoni ta’ din id-Direttiva fil-livell nazzjonali.

3.Kull Stat Membru għandu jiddeżinja punt uniku nazzjonali ta’ kuntatt dwar iċ-ċibersigurtà (“punt uniku ta’ kuntatt”). Meta Stat Membru jiddeżinja awtorità kompetenti waħda biss, dik l-awtorità kompetenti għandha tkun ukoll il-punt uniku ta’ kuntatt għal dak l-Istat Membru.

4.Kull punt uniku ta’ kuntatt għandu jeżerċita funzjoni ta’ kollegament biex jiżgura l-kooperazzjoni transfruntiera tal-awtoritajiet tal-Istat Membru tiegħu mal-awtoritajiet rilevanti ta’ Stati Membri oħra, kif ukoll biex jiżgura kooperazzjoni transsettorjali ma’ awtoritajiet kompetenti nazzjonali oħra fl-Istat Membru tiegħu.

5.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti msemmija fil-paragrafu 1 u l-punti uniċi ta’ kuntatt ikollhom riżorsi adegwati biex iwettqu l-kompiti assenjati lilhom b’mod effettiv u effiċjenti, u b’hekk jilħqu l-objettivi ta’ din id-Direttiva. L-Istati Membri għandu jiżgura kooperazzjoni effettiva, effiċjenti u sigura tar-rappreżentanti ddeżinjati fil-Grupp ta’ Kooperazzjoni u msemmija fl-Artikolu 12.

6.Kull Stat Membru għandu jinnotifika lill-Kummissjoni mingħajr dewmien żejjed, id-deżinjazzjoni tal-awtorità kompetenti msemmija fil-paragrafu 1 u l-punt uniku ta’ kuntatt imsemmi fil-paragrafu 3, il-kompiti tagħhom, u kull bidla sussegwenti fihom. Kull Stat Membru għandu jippubblika d-deżinjazzjoni tiegħu. Il-Kummissjoni għandha tippubblika l-lista tal-punti uniċi ta’ kuntatt iddeżinjati.

Artikolu 9
Skwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters (CSIRTs)

1.Kull Stat Membru għandu jiddeżinja CSIRT waħda jew aktar li għandhom jikkonformaw mar-rekwiżiti stabbiliti fl-Artikolu 10(1), li jkopru tal-anqas is-setturi, is-subsetturi jew l-entitajiet imsemmija fl-Annessi I u II, u li jkunu responsabbli għat-trattament tal-inċidenti u r-riskji bi proċess definit sew. Tista’ tiġi stabbilita CSIRT fi ħdan awtorità kompetenti msemmija fl-Artikolu 8.

2.L-Istati Membri għandhom jiżguraw li kull CSIRT ikollha riżorsi adegwati biex twettaq il-kompiti tagħha b’mod effettiv kif stipulat fl-Artikolu 10(2).

3.L-Istati Membri għandhom jiżguraw li kull CSIRT ikollha għad-dispożizzjoni tagħha infrastruttura ta’ komunikazzjoni u informazzjoni xierqa, sigura u reżiljenti biex tiskambja informazzjoni ma’ entitajiet essenzjali u importanti u ma’ partijiet interessati rilevanti oħra. Għal dan il-għan, l-Istati Membri għandhom jiżguraw li s-CSIRTs jikkontribwixxu għall-implimentazzjoni ta’ għodod siguri tal-kondiviżjoni tal-informazzjoni.

4.Is-CSIRTs għandhom jikkooperaw u, meta jkun xieraq, jiskambjaw informazzjoni rilevanti f’konformità mal-Artikolu 26 ma’ komunitajiet settorjali jew transsettorjali fdati ta’ entitajiet essenzjali u importanti.

5.Is-CSIRTs għandhom jipparteċipaw fl-evalwazzjonijiet bejn il-pari organizzati f’konformità mal-Artikolu 16.

6.L-Istati Membri għandhom jiżguraw kooperazzjoni effettiva, effiċjenti u sigura tas-CSIRTs tagħhom fin-network tas-CSIRTs imsemmi fl-Artikolu 13.

7.L-Istati Membri għandhom jikkomunikaw lill-Kummissjoni mingħajr dewmien żejjed is-CSIRTs iddeżinjati f’konformità mal-paragrafu 1, il-koordinatur tas-CSIRTs iddeżinjat skont l-Artikolu 6(1), u l-kompiti rispettivi tagħhom fir-rigward tal-entitajiet imsemmija fl-Annessi I u II.

8.L-Istati Membri jistgħu jitolbu l-assistenza tal-ENISA fl-iżvilupp tas-CSIRTs nazzjonali.

Artikolu 10
Rekwiżiti u kompiti tas-CSIRTs

1.Is-CSIRTs għandhom jikkonformaw mar-rekwiżiti li ġejjin:

(a)Is-CSIRTs għandhom jiżguraw livell għoli ta’ disponibbiltà tas-servizzi tal-komunikazzjoni tagħhom billi jevitaw punti uniċi ta’ falliment, u għandu jkollhom diversi mezzi biex jiġu kkuntattjati u biex jikkuntattjaw lil oħrajn f’kull ħin. Is-CSIRTs għandhom jispeċifikaw b’mod ċar il-kanali tal-komunikazzjoni u jgħarrfuhom lis-sħab tal-kostitwenzi u kooperattivi;

(b)L-uffiċċji tas-CSIRT u s-sistemi tal-informazzjoni ta’ appoġġ għandhom ikunu f’siti siguri;

(c)Is-CSIRTs għandhom ikunu mgħammrin b’sistema adegwata għall-ġestjoni u t-trażmissjoni tat-talbiet, b’mod partikolari li tiffaċilita trasferimenti effettivi u effiċjenti;

(d)Is-CSIRTs għandu jkollhom persunal adegwat li jiżgura d-disponibbiltà f’kull ħin;

(e)Is-CSIRTs għandhom ikunu mgħammra b’sistemi addizzjonali u bi spazju ta’ ħidma ta’ riżerva biex tiġi żgurata l-kontinwità tas-servizzi tagħhom;

(f)Is-CSIRTs għandu jkollhom il-possibbiltà li jieħdu sehem, jekk ikunu jixtiequ, f’networks ta’ kooperazzjoni internazzjonali.

2.Is-CSIRTs għandu jkollhom il-kompiti li ġejjin:

(a)il-monitoraġġ tat-theddid, tal-vulnerabbiltajiet u tal-inċidenti ċibernetiċi fil-livell nazzjonali;

(b)l-għoti ta’ twissija bikrija, twissijiet, avviżi u disseminazzjoni tal-informazzjoni lill-entitajiet essenzjali u importanti kif ukoll lil partijiet interessati rilevanti oħra dwar theddid, vulnerabbiltajiet u inċidenti ċibernetiċi;

(c)ir-rispons għall-inċidenti;

(d)l-għoti ta’ analiżi dinamika tar-riskji u tal-inċidenti u għarfien dwar is-sitwazzjoni fir-rigward taċ-ċibersigurtà;

(e)meta jintalbu minn entità, l-għoti ta’ skennjar proattiv tan-network u s-sistemi tal-informazzjoni użati għall-forniment tas-servizzi tagħhom;

(f)il-parteċipazzjoni fin-network tas-CSIRTs u l-għoti ta’ assistenza reċiproka lil membri oħra tan-network meta jintalbu minnhom.

3.Is-CSIRTs għandhom jistabbilixxu relazzjonijiet ta’ kooperazzjoni ma’ atturi rilevanti fis-settur privat, biex jintlaħqu aħjar l-objettivi tad-Direttiva.

4.Biex teħfief il-kooperazzjoni, is-CSIRTs għandhom jippromwovu l-adozzjoni u l-użu ta’ prattiki komuni jew standardizzati, skemi ta’ klassifikazzjoni u tassonomiji fir-rigward ta’ dawn li ġejjin:

(a)proċeduri tat-trattament tal-inċidenti;

(b)ġestjoni tal-kriżijiet taċ-ċibersigurtà;

(c)divulgazzjoni kkoordinata tal-vulnerabbiltajiet.

Artikolu 11
Kooperazzjoni fil-livell nazzjonali

1.Meta jkunu separati, l-awtoritajiet kompetenti msemmija fl-Artikolu 8, il-punt uniku ta’ kuntatt u s-CSIRT(s) tal-istess Stat Membru għandhom jikkooperaw bejniethom fejn jidħol it-twettiq tal-obbligi stabbiliti f’din id-Direttiva.

2.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti tagħhom jew is-CSIRTs tagħhom jirċievu notifiki dwar inċidenti, u theddid ċibernetiku sinifikanti u kważi aċċidenti ppreżentati skont din id-Direttiva. Meta Stat Membru jiddeċiedi li s-CSIRTs tiegħu ma għandhomx jirċievu dawk in-notifiki, is-CSIRTs għandhom, sa fejn ikun meħtieġ biex iwettqu l-kompiti tagħhom, jingħataw aċċess għad-data dwar l-inċidenti notifikati mill-entitajiet essenzjali jew importanti, skont l-Artikolu 20.

3.Kull Stat Membru għandu jiżgura li l-awtoritajiet kompetenti jew is-CSIRTs tiegħu jinformaw lill-punt uniku ta’ kuntatt tiegħu dwar in-notifiki tal-inċidenti, it-theddid ċibernetiku sinifikanti u l-kważi aċċidenti ppreżentati skont din id-Direttiva.

4.Sa fejn ikun meħtieġ biex jitwettqu b’mod effettiv il-kompiti u l-obbligi stabbiliti f’din id-Direttiva, l-Istati Membri għandhom jiżguraw kooperazzjoni xierqa bejn l-awtoritajiet kompetenti u l-punti uniċi ta’ kuntatt u l-awtoritajiet tal-infurzar tal-liġi, l-awtoritajiet tal-protezzjoni tad-data, u l-awtoritajiet responsabbli għall-infrastruttura kritika skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] u l-awtoritajiet finanzjarji nazzjonali ddeżinjati f’konformità mar-Regolament (UE) XXXX/XXXX tal-Parlament Ewropew u tal-Kunsill 39 [ir-Regolament DORA] f’dak l-Istat Membru.

5.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti tagħhom jipprovdu informazzjoni b’mod regolari lill-awtoritajiet kompetenti ddeżinjati skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] dwar ir-riskji taċ-ċibersigurtà, it-theddid u l-inċidenti ċibernetiċi li jaffettwaw lill-entitajiet essenzjali identifikati bħala kritiċi, jew bħala entitajiet ekwivalenti għall-entitajiet kritiċi, skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi], kif ukoll il-miżuri meħuda mill-awtoritajiet kompetenti bħala rispons għal dawk ir-riskji u l-inċidenti.

KAPITOLU III
Kooperazzjoni

Artikolu 12
Grupp ta’ Kooperazzjoni

1.Biex jappoġġa u jiffaċilita l-kooperazzjoni strateġika u l-iskambju tal-informazzjoni bejn l-Istati Membri fil-qasam tal-applikazzjoni tad-Direttiva, qed jiġi stabbilit Grupp ta’ Kooperazzjoni. 

2.Il-Grupp ta' Kooperazzjoni għandu jwettaq il-kompiti tiegħu abbażi tal-programmi ta’ ħidma biennali msemmija fil-paragrafu 6.

3.Il-Grupp ta’ Kooperazzjoni għandu jkun magħmul minn rappreżentanti tal-Istati Membri, il-Kummissjoni u l-ENISA. Is-servizz Ewropew għall-Azzjoni Esterna għandu jipparteċipa fl-attivitajiet tal-Grupp ta’ Kooperazzjoni bħala osservatur. L-Awtoritajiet Superviżorji Ewropej (ASE) f’konformità mal-Artikolu 17(5)(c) tar-Regolament (UE) XX/XX [ir-Regolament DORA] jistgħu jipparteċipaw fl-attivitajiet tal-Grupp ta’ Kooperazzjoni.

Meta jkun xieraq, il-Grupp ta' Kooperazzjoni jista’ jistieden lil rappreżentanti ta’ partijiet ikkonċernati rilevanti biex jieħdu sehem fil-ħidma tiegħu.

Il-Kummissjoni għandha tipprovdi s-segretarjat.

4.Il-Grupp ta' Kooperazzjoni għandu jwettaq il-kompiti li ġejjin:

(a)jipprovdi gwida lill-awtoritajiet kompetenti fir-rigward tat-traspożizzjoni u l-implimentazzjoni ta’ din id-Direttiva;

(b)jiskambja l-aqwa prattiki u informazzjoni fir-rigward tal-implimentazzjoni ta’ din id-Direttiva, inkluż fir-rigward ta’ theddid ċibernetiku, inċidenti, vulnerabbiltajiet, kważi aċċidenti, inizjattivi ta’ sensibilizzazzjoni, taħriġ, eżerċizzji u ħiliet, il-bini tal-kapaċitajiet kif ukoll standards u speċifikazzjonijiet tekniċi;

(c)jiskambja pariri u jikkoopera mal-Kummissjoni dwar inizjattivi emerġenti ta’ politika taċ-ċibersigurtà;

(d)jiskambja pariri u jikkoopera mal-Kummissjoni dwar abbozzi ta’ atti delegati jew ta’ implimentazzjoni tal-Kummissjoni adottati skont din id-Direttiva;

(e)jiskambja l-aqwa prattiki u informazzjoni ma’ istituzzjonijiet, korpi, uffiċċji u aġenziji rilevanti tal-Unjoni;

(f)jiddiskuti r-rapporti tal-evalwazzjonijiet bejn il-pari msemmija fl-Artikolu 16(7);

(g)jiddiskuti r-riżultati ta’ attivitajiet superviżorji konġunti f’każijiet transfruntieri kif imsemmi fl-Artikolu 34;

(h)jagħti gwida strateġika lin-network tas-CSIRTs dwar kwistjonijiet emerġenti speċifiċi;

(i)jikkontribwixxi għall-kapaċitajiet taċ-ċibersigurtà madwar l-Unjoni billi jiffaċilita l-iskambju ta’ uffiċjali nazzjonali permezz ta’ programm ta’ bini tal-kapaċitajiet li jinvolvi persunal mill-awtoritajiet kompetenti tal-Istati Membri jew mis-CSIRTs;

(j)jorganizza laqgħat konġunti regolari ma’ partijiet interessati privati rilevanti minn madwar l-Unjoni biex jiġu diskussi l-attivitajiet imwettqa mill-Grupp u jinkiseb tagħrif dwar sfidi emerġenti ta’ politika;

(k)jiddiskuti l-ħidma mwettqa b’rabta mal-eżerċizzji taċ-ċibersigurtà, inkluż il-ħidma mwettqa mill-ENISA.

5.Il-Grupp ta’ Kooperazzjoni jista’ jitlob lin-network tas-CSIRTs għal rapport tekniku dwar suġġetti magħżula.

6.Sa... 24 xahar wara d-data tad-dħul fis-seħħ ta’ din id-Direttiva u kull sentejn wara dan, il-Grupp ta’ Kooperazzjoni għandu jistabbilixxi programm ta’ ħidma fir-rigward tal-azzjonijiet li jridu jittieħdu biex jiġu implimentati l-objettivi u l-kompiti tiegħu. Il-perjodu ta’ żmien tal-ewwel programm adottat skont din id-Direttiva għandu jkun allinjat mal-perjodu ta’ żmien tal-aħħar programm adottat skont id-Direttiva (UE) 2016/1148.

7.Il-Kummissjoni tista’ tadotta atti ta’ implimentazzjoni li jistabbilixxu arranġamenti ta’ proċedura meħtieġa għall-funzjonament tal-Grupp ta’ Kooperazzjoni. Dawk l-atti ta’ implimentazzjoni għandhom jiġu adottati f’konformità mal-proċedura ta’ eżami msemmija fl-Artikolu 37(2).

8.Il-grupp ta’ Kooperazzjoni għandu jiltaqa’ regolarment u mill-inqas darba fis-sena mal-Grupp ta’ Reżiljenza ta’ Entitajiet Kritiċi stabbilit skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] biex jippromwovi l-kooperazzjoni strateġika u l-iskambju tal-informazzjoni.

Artikolu 13
Network tas-CSIRTs

1.Biex jikkontribwixxi għall-iżvilupp tal-kunfidenza u tal-fiduċja u biex jippromwovi kooperazzjoni operazzjonali rapida u effettiva fost l-Istati Membri, ġie stabbilit network tas-CSIRTs nazzjonali.

2.In-network tas-CSIRTs għandu jkun magħmul minn rappreżentanti tal-CSIRTs tal-Istati Membri u s-CERT-UE. Il-Kummissjoni għandha tieħu sehem fin-network tas-CSIRTs bħala osservatur. L-ENISA għandha tipprovdi s-segretarjat u għandha tappoġġa b’mod attiv il-kooperazzjoni fost is-CSIRTs.

3.In-network tas-CSIRTs għandu jwettaq il-kompiti li ġejjin:

(a)l-iskambju tal-informazzjoni dwar il-kapaċitajiet tas-CSIRTs;

(b)l-iskambju tal-informazzjoni rilevanti dwar inċidenti, kważi aċċidenti, theddid ċibernetiku, riskji u vulnerabbiltajiet;

(c)meta jintalab minn rappreżentant tan-network tas-CSIRTs potenzjalment affettwat minn inċident, l-iskambju u d-diskussjoni ta’ informazzjoni fir-rigward ta’ dak l-inċident u t-theddid ċibernetiku, ir-riskji u l-vulnerabbiltajiet assoċjati;

(d)meta jintalab minn rappreżentant tan-network tas-CSIRTs, jiddiskuti u, meta possibbli, jimplimenta rispons ikkoordinat għal inċident li jkun ġie identifikat fil-ġurisdizzjoni ta’ dak l-Istat Membru;

(e)jipprovdi appoġġ lill-Istati Membri biex jiġu indirizzati inċidenti transfruntieri skont din id-Direttiva;

(f)jikkoopera u jassisti lis-CSIRTs iddeżinjati msemmija fl-Artikolu 6 fir-rigward tal-ġestjoni tad-divulgazzjoni kkoordinata multipartitika tal-vulnerabbiltajiet li jaffettwaw lil diversi manifatturi jew fornituri ta’ prodotti tal-ICT, servizzi tal-ICT u proċessi tal-ICT stabbiliti fi Stati Membri differenti;

(g)jiddiskuti u jidentifika aktar forom ta’ kooperazzjoni operazzjonali, inkluż fir-rigward ta':

(i)kategoriji ta’ theddid u inċidenti ċibernetiċi;

(ii)twissijiet bikrija;

(iii)assistenza reċiproka;

(iv)prinċipji u modi għall-koordinazzjoni, bħala rispons għal riskji u inċidenti transfruntieri;

(v)il-kontribut għall-inċidenti nazzjonali taċ-ċibersigurtà u l-pjan ta’ rispons għall-kriżijiet imsemmi fl-Artikolu 7(3);

(h)jinforma lill-Grupp ta’ Kooperazzjoni dwar l-attivitajiet tiegħu u dwar forom ulterjuri ta’ kooperazzjoni operazzjonali diskussi skont il-punt (g), u meta meħtieġ, jitlob gwida f’dak ir-rigward;

(i)jagħti rendikont tal-eżerċizzji taċ-ċibersigurtà, inkluż ta’ dawk organizzati mill-ENISA;

(j)meta jintalab minn CSIRT individwali, jiddiskuti l-kapaċitajiet u t-tħejjija ta’ dik is-CSIRT;

(k)jikkoopera u jiskambja informazzjoni maċ-Ċentri tal-Operazzjonijiet tas-Sigurtà (SOCs) fil-livell reġjonali u tal-Unjoni biex jitjieb l-għarfien komuni tas-sitwazzjoni dwar inċidenti u theddid madwar l-Unjoni;

(l)jiddiskuti r-rapporti tal-evalwazzjonijiet bejn il-pari msemmija fl-Artikolu 16(7);

(m)joħroġ linji gwida biex jiffaċilita l-konverġenza ta’ prattiki operazzjonali fir-rigward tal-applikazzjoni tad-dispożizzjonijiet ta’ dan l-Artikolu li jikkonċernaw il-kooperazzjoni operazzjonali.

4.Għall-fini tar-rieżami msemmi fl-Artikolu 35 u sa 24-il xahar wara d-data tad-dħul fis-seħħ ta’ din id-Direttiva, u kull sentejn wara dan, in-network tas-CSIRTs għandu jivvaluta l-progress li jkun sar bil-kooperazzjoni operazzjonali u jipproduċi rapport. Ir-rapport għandu, b’mod partikolari, jasal għal konklużjonijiet dwar l-eżiti tal-evalwazzjonijiet bejn il-pari msemmija fl-Artikolu 16 u mwettqa fir-rigward tas-CSIRTs nazzjonali, inkluż konklużjonijiet u rakkomandazzjonijiet, segwiti skont dan l-Artikolu. Dak ir-rapport għandu jiġi ppreżentat ukoll lill-Grupp ta’ Kooperazzjoni.

5.In-network tas-CSIRTs għandu jadotta r-regoli ta’ proċedura tiegħu stess.

Artikolu 14
In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe)

1.Biex tiġi appoġġata l-ġestjoni kkoordinata tal-inċidenti u l-kriżijiet taċ-ċibersigurtà fuq skala kbira fil-livell operazzjonali u biex jiġi żgurat l-iskambju regolari ta’ informazzjoni bejn l-Istati Membri u l-istituzzjonijiet, il-korpi u l-aġenziji tal-Unjoni, in-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) huwa b’dan stabbilit.

2.In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) għandu jkun magħmul minn rappreżentanti tal-awtoritajiet għall-ġestjoni tal-kriżijiet tal-Istati Membri ddeżinjati f’konformità mal-Artikolu 7, il-Kummissjoni u l-ENISA. L-ENISA għandha tipprovdi s-segretarjat tan-network u tappoġġa l-iskambju sigur tal-informazzjoni.

3.In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) għandu jwettaq il-kompiti li ġejjin:

(a)iż-żieda fil-livell ta’ tħejjija tal-ġestjoni tal-inċidenti u l-kriżijiet fuq skala kbira;

(b)l-iżvilupp ta’ għarfien komuni dwar is-sitwazzjoni tal-avvenimenti rilevanti taċ-ċibersigurtà;

(c)il-koordinazzjoni tal-inċidenti fuq skala kbira u l-ġestjoni tal-kriżijiet u l-appoġġ għat-teħid ta’ deċiżjonijiet fil-livell politiku fir-rigward ta’ inċidenti u kriżijiet bħal dawn;

(d)jiddiskuti l-pjanijiet nazzjonali tal-inċidenti taċ-ċibersigurtà u r-rispons imsemmija fl-Artikolu 7(2).

4.In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) għandu jadotta r-regoli ta’ proċedura tiegħu.

5.In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) għandu jirrapporta regolarment lill-Grupp ta’ Kooperazzjoni dwar it-theddid ċibernetiku, l-inċidenti u x-xejriet, filwaqt li jiffoka b’mod partikolari fuq l-impatt tagħhom fuq l-entitajiet essenzjali u importanti.

6.In-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU - CyCLONe) għandu jikkoopera man-network tas-CSIRTs abbażi ta’ arranġamenti proċedurali maqbula.

Artikolu 15
Rapport dwar l-istat taċ-ċibersigurtà fl-Unjoni

1.F’kooperazzjoni mal-Kummissjoni, l-ENISA għandha tipprepara rapport biennali dwar l-istat taċ-ċibersigurtà fl-Unjoni. B’mod partikolari, ir-rapport għandu jinkludi valutazzjoni ta’ dan li ġej:

(a)l-iżvilupp tal-kapaċitajiet taċ-ċibersigurtà madwar l-Unjoni;

(b)ir-riżorsi tekniċi, finanzjarji u umani disponibbli għall-awtoritajiet kompetenti u l-politiki taċ-ċibersigurtà, u l-implimentazzjoni ta’ miżuri superviżorji u azzjonijiet ta’ infurzar fid-dawl tal-eżiti tal-evalwazzjonijiet bejn il-pari msemmija fl-Artikolu 16;

(c)indiċi taċ-ċibersigurtà li jipprovdi valutazzjoni aggregata tal-livell ta’ maturità tal-kapaċitajiet taċ-ċibersigurtà.

2.Ir-rapport għandu jinkludi rakkomandazzjonijiet ta’ politika partikolari biex jiżdied il-livell taċ-ċibersigurtà madwar l-Unjoni u sommarju tas-sejbiet għall-perjodu partikolari mir-Rapporti dwar is-Sitwazzjoni Teknika taċ-Ċibersigurtà tal-UE tal-Aġenzija maħruġin mill-ENISA f’konformità mal-Artikolu 7(6) tar-Regolament (UE) 2019/881.

Artikolu 16
Evalwazzjonijiet bejn il-pari

1.Il-Kummissjoni għandha tistabbilixxi, wara konsultazzjoni mal-Grupp ta’ Kooperazzjoni u l-ENISA, u sa mhux aktar tard minn 18-il xahar wara d-dħul fis-seħħ ta’ din id-Direttiva, il-metodoloġija u l-kontenut ta’ sistema ta’ evalwazzjonijiet bejn il-pari għal valutazzjoni tal-effettività tal-politiki tal-Istati Membri dwar iċ-ċibersigurtà. L-evalwazzjonijiet għandhom jitwettqu minn esperti tekniċi taċ-ċibersigurtà magħżula minn Stati Membri li jkunu differenti minn dak evalwat u għandhom ikopru mill-inqas dan li ġej:

(i)l-effettività tal-implimentazzjoni tar-rekwiżiti ta’ ġestjoni tar-riskji taċ-ċibersigurtà u tal-obbligi ta’ rapportar imsemmija fl-Artikoli 18 u 20;

(ii)il-livell tal-kapaċitajiet, inkluż ir-riżorsi finanzjarji, tekniċi u umani disponibbli, u l-effettività tat-twettiq tal-kompiti tal-awtoritajiet kompetenti nazzjonali;

(iii)il-kapaċitajiet operazzjonali u l-effettività tas-CSIRTs;

(iv) l-effettività tal-assistenza reċiproka msemmija fl-Artikolu 34;

(v) l-effettività tal-qafas tal-kondiviżjoni tal-informazzjoni msemmi fl-Artikolu 26 ta’ din id-Direttiva.

2.Il-metodoloġija għandha tinkludi kriterji oġġettivi, nondiskriminatorji, ġusti u trasparenti li abbażi tagħhom l-Istati Membri għandhom jiddeżinjaw esperti eliġibbli biex iwettqu l-evalwazzjonijiet bejn il-pari. L-ENISA u l-Kummissjoni għandhom jiddeżinjaw esperti biex jipparteċipaw bħala osservaturi fl-evalwazzjonijiet bejn il-pari. Fi ħdan il-metodoloġija kif imsemmi fil-paragrafu 1, il-Kummissjoni bl-appoġġ tal-ENISA, għandha tistabbilixxi sistema oġġettiva, mhux diskriminatorja, ġusta u trasparenti għall-għażla u l-allokazzjoni aleatorja tal-esperti għal kull evalwazzjoni bejn il-pari.

3.L-aspetti organizzattivi tal-evalwazzjonijiet bejn il-pari għandhom jiġu deċiżi mill-Kummissjoni, bl-appoġġ tal-ENISA, u wara konsultazzjoni tal-Grupp ta’ Kooperazzjoni għandhom ikunu bbażati fuq kriterji definiti fil-metodoloġija msemmija fil-paragrafu 1. L-evalwazzjonijiet bejn il-pari għandhom jivvalutaw l-aspetti msemmija fil-paragrafu 1 għall-Istati Membri u s-setturi kollha, inkluż kwistjonijiet immirati speċifiċi għal Stat Membru wieħed jew diversi Stati Membri jew għal settur wieħed jew diversi setturi.

4.L-evalwazzjonijiet bejn il-pari għandhom jinvolvu żjarat fuq il-post reali jew virtwali u skambji mhux fuq il-post. Fid-dawl tal-prinċipju ta’ kooperazzjoni tajba, l-Istati Membri li jkunu qed jiġu evalwati għandhom jipprovdu l-informazzjoni meħtieġa lill-esperti ddeżinjati għall-valutazzjoni tal-aspetti evalwati. Kull informazzjoni miksuba waqt il-proċess tal-evalwazzjoni bejn il-pari għandha tintuża biss għal dak l-iskop. L-esperti li jipparteċipaw fl-evalwazzjoni bejn il-pari ma għandhom jiżvelaw l-ebda informazzjoni sensittiva jew kunfidenzjali miksuba waqt dik l-evalwazzjoni lil partijiet terzi.

5.Ladarba jiġu evalwati fi Stat Membru, l-istess aspetti ma għandhomx ikunu soġġetti għal evalwazzjoni ulterjuri bejn il-pari f’dak l-Istat Membru tul is-sentejn ta’ wara l-konklużjoni ta’ evalwazzjoni bejn il-pari, sakemm ma jiġix deċiż mod ieħor mill-Kummissjoni, wara konsultazzjoni mal-ENISA u l-Grupp ta’ Kooperazzjoni.

6.L-Istat Membru għandu jiżgura li kwalunkwe riskju ta’ kunflitt ta’ interess li jikkonċerna l-esperti ddeżinjati jiġi żvelat lill-Istati Membri l-oħra, lill-Kummissjoni u lill-ENISA mingħajr dewmien żejjed.

7.L-esperti li jipparteċipaw fl-evalwazzjonijiet bejn il-pari għandhom jabbozzaw rapporti dwar is-sejbiet u l-konklużjonijiet tal-evalwazzjonijiet. Ir-rapporti għandhom jiġu ppreżentati lill-Kummissjoni, lill-Grupp ta’ Kooperazzjoni, lin-network tas-CSIRTs u lill-ENISA. Ir-rapporti għandhom jiġu diskussi fil-Grupp ta’ Kooperazzjoni u fin-network tas-CSIRTs. Ir-rapporti jistgħu jiġu ppubblikati fuq is-sit web dedikat tal-Grupp ta’ Kooperazzjoni.

KAPITOLU IV
Ġestjoni tar-riskji taċ-ċibersigurtà u obbligi ta’ rapportar

TAQSIMA I
Ġestjoni tar-riskji taċ-ċibersigurtà u rapportar

Artikolu 17
Governanza

1.L-Istati Membri għandhom jiżguraw li l-korpi maniġerjali tal-entitajiet essenzjali u importanti japprovaw il-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà meħuda minn dawk l-entitajiet biex jikkonformaw mal-Artikolu 18, jissorveljaw l-implimentazzjoni tiegħu u jkunu responsabbli għan-nuqqas ta’ konformità mill-entitajiet mal-obbligi skont dan l-Artikolu.

2.L-Istati Membri għandhom jiżguraw li l-membri tal-korp maniġerjali jsegwu taħriġ speċifiku, b’mod regolari, biex jiksbu għarfien u ħiliet suffiċjenti ħalli jifhmu u jivvalutaw ir-riskji u l-prattiki ta’ ġestjoni taċ-ċibersigurtà u l-impatt tagħhom fuq l-operazzjonijiet tal-entità.

Artikolu 18
Miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà

1.L-Istati Membri għandhom jiżguraw li l-entitajiet essenzjali u importanti jieħdu l-miżuri tekniċi u organizzattivi xierqa u proporzjonati biex jimmaniġġjaw ir-riskji li jinħolqu għas-sigurtà tan-network u s-sistemi tal-informazzjoni li l-entitajiet jużaw fil-forniment tas-servizzi tagħhom. Wara li jikkunsidraw l-aktar teknoloġiji avvanzati, dawk il-miżuri għandhom jiżguraw livell xieraq ta’ sigurtà tan-network u s-sistemi tal-informazzjoni skont ir-riskju maħluq.

2.Il-miżuri msemmija fil-paragrafu 1 għandhom jinkludu għall-inqas dan li ġej:

(a)analiżi tar-riskji u politiki tas-sigurtà tas-sistema tal-informazzjoni;

(b)trattament tal-inċidenti (prevenzjoni, detezzjoni u rispons għall-inċidenti);

(c)kontinwità tal-operat u ġestjoni tal-kriżijiet;

(d)is-sigurtà tal-katina tal-provvista, inkluż aspetti relatati mas-sigurtà li jikkonċernaw ir-relazzjonijiet bejn kull entità u l-fornituri jew il-fornituri tas-servizzi tagħha bħall-fornituri ta’ servizzi ta’ ħżin u pproċessar tad-data jew servizzi ta’ sigurtà ġestiti;

(e)is-sigurtà fl-akkwiżizzjoni, l-iżvilupp u l-manutenzjoni tan-network u s-sistemi tal-informazzjoni, inkluż it-trattament u d-divulgazzjoni tal-vulnerabbiltajiet;

(f)politiki u proċeduri (ittestjar u awditjar) biex tiġi vvalutata l-effettività tal-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà;

(g)l-użu tal-kriptografija u l-kriptaġġ.

3.L-Istati Membri għandhom jiżguraw li meta jikkunsidraw il-miżuri xierqa msemmija fil-punt (d) tal-paragrafu 2, l-entitajiet għandhom iqisu l-vulnerabbiltajiet speċifiċi għal kull fornitur u fornitur tas-servizzi u l-kwalità ġenerali tal-prodotti u l-prattiki taċ-ċibersigurtà tal-fornituri u l-fornituri tas-servizzi tagħhom, inkluż il-proċeduri tal-iżvilupp siguri tagħhom.

4.L-Istati Membri għandhom jiżguraw li meta entità ssib li s-servizzi jew il-kompiti tagħha rispettivament ma jkunux konformi mar-rekwiżiti stabbiliti fil-paragrafu 2, din għandha, mingħajr dewmien żejjed, tieħu l-miżuri korrettivi kollha meħtieġa biex is-servizz ikkonċernat jiġi konformi.

5.Il-Kummissjoni tista’ tadotta atti ta’ implimentazzjoni biex tistabbilixxi l-ispeċifikazzjonijiet tekniċi u metodoloġiċi tal-elementi msemmija fil-paragrafu 2. Meta tħejji dawk l-atti, il-Kummissjoni għandha tipproċedi f’konformità mal-proċedura ta’ eżami msemmija fl-Artikolu 37(2) u ssegwi, kemm jista’ jkun, standards internazzjonali u Ewropej, kif ukoll speċifikazzjonijiet tekniċi rilevanti.

6.Il-Kummissjoni għandha s-setgħa li tadotta atti delegati f’konformità mal-Artikolu 36 biex tissupplimenta l-elementi stabbiliti fil-paragrafu 2 biex jitqiesu t-theddid ċibernetiku, l-iżviluppi teknoloġiċi jew speċifiċitajiet settorjali ġodda.

Artikolu 19
Valutazzjonijiet tar-riskju kkoordinati tal-UE ta’ ktajjen tal-provvista kritiċi

1.Il-Grupp ta’ Kooperazzjoni, f’kooperazzjoni mal-Kummissjoni u l-ENISA, jista’ jwettaq valutazzjonijiet tar-riskju kkoordinati għas-sigurtà ta’ servizzi, sistemi jew ktajjen tal-provvista kritiċi speċifiċi tal-ICT, filwaqt li jqis fatturi tar-riskju tekniċi u, meta jkun rilevanti, fatturi tar-riskju mhux tekniċi.

2.Il-Kummissjoni, wara konsultazzjoni mal-Grupp ta’ Kooperazzjoni u mal-ENISA, għandha tidentifika s-servizzi, is-sistemi jew il-prodotti kritiċi speċifiċi tal-ICT li jistgħu jkunu soġġetti għall-valutazzjoni tar-riskju kkoordinata msemmija fil-paragrafu 1.

Artikolu 20
Obbligi ta’ rapportar

1.L-Istati Membri għandhom jiżguraw li l-entitajiet essenzjali u importanti jinnotifikaw, mingħajr dewmien żejjed, lill-awtoritajiet kompetenti jew lis-CSIRT f’konformità mal-paragrafi 3 u 4 dwar kull inċident li jħalli impatt sinifikanti fuq il-forniment tas-servizzi tagħhom. Meta xieraq, dawk l-entitajiet għandhom jinnotifikaw, mingħajr dewmien żejjed, lir-riċevituri tas-servizzi tagħhom dwar inċidenti li aktarx jaffettwaw ħażin il-forniment ta’ dak is-servizz. L-Istati Membri għandhom jiżguraw li dawk l-entitajiet jirrapportaw, fost l-oħrajn, kull informazzjoni li tippermetti lill-awtoritajiet kompetenti jew lis-CSIRT jiddeterminaw kwalunkwe impatt transfruntier tal-inċident.

2.L-Istati Membri għandhom jiżguraw li l-entitajiet essenzjali u importanti jinnotifikaw, mingħajr dewmien żejjed, lill-awtoritajiet kompetenti jew lis-CSIRT dwar kull theddida ċibernetika sinifikanti li dawk l-entitajiet jidentifikaw li setgħet potenzjalment tirriżulta f’inċident sinifikanti.

Meta applikabbli, dawk l-entitajiet għandhom jinnotifikaw, mingħajr dewmien żejjed, lir-riċevituri tas-servizzi tagħhom affettwati potenzjalment minn theddida ċibernetika sinifikanti dwar kull miżura jew rimedju li dawk ir-riċevituri jistgħu jieħdu bħala rispons għal dik it-theddida. Meta xieraq, l-entitajiet għandhom jinnotifikaw ukoll lil dawk ir-riċevituri bit-theddida nnifisha. In-notifika ma għandhiex tissoġġetta lill-entità notifikanti għal aktar responsabbiltà.

3.Inċident għandu jitqies sinifikanti jekk:

(a)l-inċident ikun ikkawża jew għandu l-potenzjal li jikkawża tfixkil operazzjonali sostanzjali jew telf finanzjarju lill-entità kkonċernata;

(b)l-inċident ikun affettwa jew għandu l-potenzjal li jaffettwa lil persuni fiżiċi jew ġuridiċi oħra billi jikkawża telf materjali jew mhux materjali konsiderevoli.

4.L-Istati Membri għandhom jiżguraw li, għall-fini tan-notifika skont il-paragrafu 1, l-entitajiet ikkonċernati għandhom jissottomettu lill-awtoritajiet kompetenti jew lis-CSIRT:

(a)mingħajr dewmien żejjed u fi kwalunkwe każ fi żmien 24 siegħa wara li jkun saru jafu bl-inċident, notifika inizjali li, meta applikabbli, għandha tindika jekk l-inċident hux preżumibbilment ikkawżat minn azzjoni illegali jew malizzjuża;

(b)meta jintalab minn awtorità kompetenti jew CSIRT, rapport intermedju dwar aġġornamenti rilevanti tal-istatus;

(c)rapport finali sa mhux aktar tard minn xahar wara s-sottomissjoni tar-rapport imsemmi fil-punt (a), li jinkludi mill-inqas dan li ġej:

(i)deskrizzjoni dettaljata tal-inċident, is-severità u l-impatt tiegħu;

(ii)it-tip ta’ theddida jew il-kawża ewlenija li aktarx skattat l-inċident;

(iii)il-miżuri applikati u li għadhom fis-seħħ.

L-Istati Membri għandhom jipprevedu li f’każijiet debitament ġustifikati u bi qbil mal-awtoritajiet kompetenti jew mas-CSIRT, l-entità kkonċernata tista’ tiddevja mill-iskadenzi stabbiliti fil-punti (a) u (c).

5.L-awtoritajiet nazzjonali kompetenti jew is-CSIRT għandhom jipprovdu, fi żmien 24 siegħa wara li jirċievu n-notifika inizjali msemmija fil-punt (a) tal-paragrafu 4, rispons lill-entità notifikanti, inkluż rispons inizjali dwar l-inċident u, meta tintalab mill-entità, gwida dwar l-implimentazzjoni ta’ miżuri possibbli ta’ mitigazzjoni. Meta s-CSIRT ma tkunx irċeviet in-notifika msemmija fil-paragrafu 1, il-gwida għandha tingħata mill-awtorità kompetenti b’kollaborazzjoni mas-CSIRT. Is-CSIRT għandha tipprovdi appoġġ tekniku addizzjonali meta l-entità kkonċernata titlob dan. Jekk ikun hemm suspett li l-inċident għandu natura kriminali, l-awtoritajiet nazzjonali kompetenti jew is-CSIRT għandhom jipprovdu wkoll gwida dwar ir-rapportar tal-inċident lill-awtoritajiet tal-infurzar tal-liġi.

6.Meta xieraq, u b’mod partikolari meta l-inċident imsemmi fil-paragrafu 1 ikun jikkonċerna żewġ Stati Membri jew aktar, l-awtorità kompetenti jew is-CSIRT għandhom jinformaw lill-Istati Membri l-oħra affettwati u lill-ENISA dwar l-inċident. Meta jagħmlu dan, l-awtoritajiet kompetenti, is-CSIRT jew il-punti uniċi ta’ kuntatt, f’konformità mal-liġi tal-Unjoni jew mal-leġiżlazzjoni nazzjonali li tikkonforma mal-liġi tal-Unjoni, għandhom iħarsu l-interessi tas-sigurtà u kummerċjali tal-entità u l-kunfidenzjalità tal-informazzjoni pprovduta.

7.Meta l-għarfien tal-pubbliku jkun meħtieġ għall-prevenzjoni ta’ inċident jew għat-trattament ta’ inċident li jkun għaddej, jew meta d-divulgazzjoni tal-inċident tkun b’xi mod ieħor fl-interess pubbliku, l-awtorità kompetenti jew is-CSIRT, u meta xieraq l-awtoritajiet jew is-CSIRTs ta’ Stati Membri oħra kkonċernati jistgħu, wara konsultazzjoni mal-entità kkonċernata, jinformaw lill-pubbliku dwar l-inċident jew jitolbu lill-entità tagħmel dan.

8.Meta jintalab mill-awtorità kompetenti jew mis-CSIRTs, il-punt uniku ta' kuntatt għandu jibgħat in-notifiki li jkun irċieva skont il-paragrafi 1 u 2 lill-punti uniċi ta’ kuntatt tal-Istati Membri l-oħra affettwati.

9.Kull xahar, il-punt uniku ta’ kuntatt għandu jippreżenta rapport sommarju lill-ENISA li jkun fih data anonimizzata u aggregata dwar l-inċidenti, it-theddid ċibernetiku sinifikanti u l-kważi aċċidenti notifikati f’konformità mal-paragrafi 1 u 2 u f’konformità mal-Artikolu 27. Biex tikkontribwixxi għall-għoti ta’ informazzjoni komparabbli, l-ENISA tista’ toħroġ gwida teknika dwar il-parametri tal-informazzjoni inkluża fir-rapport sommarju.

10.L-awtoritajiet kompetenti għandhom jipprovdu informazzjoni lill-awtoritajiet kompetenti ddeżinjati skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] dwar l-inċidenti u t-theddid ċibernetiku notifikati f’konformità mal-paragrafi 1 u 2 mill-entitajiet essenzjali identifikati bħala entitajiet kritiċi, jew bħala entitajiet ekwivalenti għall-entitajiet kritiċi, skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi].

11.Il-Kummissjoni tista’ tadotta atti ta’ implimentazzjoni li jispeċifikaw aktar it-tip ta’ informazzjoni, il-format u l-proċedura ta’ notifika ppreżentata skont il-paragrafi 1 u 2. Il-Kummissjoni tista’ wkoll tadotta atti ta’ implimentazzjoni biex tispeċifika aktar il-każijiet meta inċident għandu jitqies sinifikanti kif imsemmi fil-paragrafu 3. Dawk l-atti ta’ implimentazzjoni għandhom jiġu adottati f’konformità mal-proċedura ta' eżami msemmija fl-Artikolu 37(2).

Artikolu 21
Użu tal-iskemi Ewropej taċ-ċertifikazzjoni taċ-ċibersigurtà

1.Biex juru l-konformità ma’ ċerti rekwiżiti tal-Artikolu 18, l-Istati Membri jistgħu jeżiġu li l-entitajiet essenzjali u importanti jiċċertifikaw ċerti prodotti tal-ICT, servizzi tal-ICT u proċessi tal-ICT bi skemi speċifiċi Ewropej taċ-ċertifikazzjoni taċ-ċibersigurtà adottati skont l-Artikolu 49 tar-Regolament (UE) 2019/881. Il-prodotti, is-servizzi u l-proċessi soġġetti għaċ-ċertifikazzjoni jistgħu jiġu żviluppati minn entità essenzjali jew importanti jew akkwistati mingħand partijiet terzi.

2.Il-Kummissjoni għandha tingħata s-setgħa li tadotta atti delegati li jispeċifikaw liema kategoriji ta’ entitajiet essenzjali għandhom ikunu meħtieġa jiksbu ċertifikat u b’liema skemi speċifiċi Ewropej taċ-ċertifikazzjoni taċ-ċibersigurtà skont il-paragrafu 1. Dawk l-atti delegati għandhom jiġu adottati f’konformità mal-Artikolu 36.

3.Il-Kummissjoni tista’ titlob lill-ENISA tħejji skema kandidat skont l-Artikolu 48(2) tar-Regolament (UE) 2019/881 f’każijiet meta ma tkun disponibbli l-ebda skema Ewropea xierqa taċ-ċertifikazzjoni taċ-ċibersigurtà għall-finijiet tal-paragrafu 2.

Artikolu 22
Standardizzazzjoni

1.Biex jippromwovu l-implimentazzjoni konverġenti tal-Artikolu 18(1) u (2), l-Istati Membri għandhom, mingħajr ma jimponu jew jiddiskriminaw favur l-użu ta’ xi tip ta’ teknoloġija partikolari, jinkoraġġixxu l-użu ta’ standards u speċifikazzjonijiet aċċettati fil-livell Ewropew jew internazzjonali li jkunu rilevanti għas-sigurtà tan-network u s-sistemi tal-informazzjoni.

2.L-ENISA, b’kollaborazzjoni mal-Istati Membri, għandha tagħti pariri u tfassal linji gwida dwar l-oqsma tekniċi li jridu jiġu kkunsidrati fir-rigward tal-paragrafu 1 kif ukoll fir-rigward tal-istandards li jeżistu diġà, inkluż standards nazzjonali tal-Istati Membri, li jippermettu li dawk l-oqsma jiġu koperti.

Artikolu 23
Bażijiet tad-data tal-ismijiet ta’ dominji u tad-data tar-reġistrazzjoni

1.Biex jikkontribwixxu għas-sigurtà, l-istabbiltà u r-reżiljenza tad-DNS, l-Istati Membri għandhom jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji għat-TLD għandhom jiġbru u jżommu data preċiża u kompleta tar-reġistrazzjoni ta’ ismijiet ta’ dominji f’faċilità ta’ bażi tad-data ddedikata bid-diliġenza dovuta soġġetta għal-liġi tal-Unjoni dwar il-protezzjoni tad-data fir-rigward tad-data li hija data personali.

2.L-Istati Membri għandhom jiżguraw li l-bażijiet tad-data tar-reġistrazzjoni ta’ ismijiet ta’ dominji msemmija fil-paragrafu 1 ikun fihom informazzjoni rilevanti biex jiġu identifikati u kkuntattjati d-detenturi ta’ ismijiet ta’ dominji u l-punti ta’ kuntatt li jamministraw l-ismijiet ta’ dominji skont it-TLDs.

3.L-Istati Membri għandhom jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji għat-TLD ikollhom fis-seħħ politiki u proċeduri biex jiżguraw li l-bażijiet tad-data jinkludu informazzjoni preċiża u kompleta. L-Istati Membri għandhom jiżguraw li dawn il-politiki u l-proċeduri jkunu disponibbli għall-pubbliku.

4.L-Istati Membri għandhom jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji għat-TLD jippubblikaw, mingħajr dewmien żejjed wara r-reġistrazzjoni ta’ isem ta’ dominji, id-data tar-reġistrazzjoni ta’ dominji li mhix data personali.

5.L-Istati Membri għandhom jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji għat-TLD jipprovdu aċċess għal data speċifika tar-reġistrazzjoni ta’ ismijiet ta’ dominji meta jsiru talbiet legali u debitament ġustifikati minn persuni li jridu aċċess leġittimu, f’konformità mal-liġi tal-Unjoni dwar il-protezzjoni tad-data. L-Istati Membri għandhom jiżguraw li r-reġistri tat-TLD u l-entitajiet li jipprovdu servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji tat-TLD jirrispondu t-talbiet kollha għal aċċess, mingħajr dewmien żejjed. L-Istati Membri għandhom jiżguraw li l-politiki u l-proċeduri għad-divulgazzjoni ta’ din id-data jkunu disponibbli għall-pubbliku.

Taqsima II
Ġurisdizzjoni u Reġistrazzjoni

Artikolu 24
Ġurisdizzjoni u territorjalità

1.Il-fornituri ta’ servizzi tad-DNS, ir-reġistri ta’ ismijiet tat-TLD, il-fornituri ta’ servizzi tal-cloud computing, il-fornituri ta’ servizzi ta’ ċentri tad-data u l-fornituri ta’ networks tal-konsenja tal-kontenut imsemmija fil-punt 8 tal-Anness I, kif ukoll il-fornituri diġitali msemmija fil-punt 6 tal-Anness II għandhom jitqiesu li huma fil-ġurisdizzjoni tal-Istat Membru fejn għandhom l-istabbiliment ewlieni tagħhom fl-Unjoni.

2.Għall-finijiet ta’ din id-Direttiva, għandu jitqies li l-entitajiet imsemmija fil-paragrafu 1 għandhom l-istabbiliment ewlieni tagħhom fl-Unjoni, fl-Istat Membru fejn jittieħdu d-deċiżjonijiet relatati mal-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà. Jekk dawn id-deċiżjonijiet ma jittieħdux fi stabbiliment fl-Unjoni, l-istabbiliment ewlieni għandu jitqies li jkun fl-Istat Membru fejn l-entitajiet għandhom l-istabbiliment bl-akbar numru ta’ impjegati fl-Unjoni.

3.Jekk entità msemmija fil-paragrafu 1 ma tkunx stabbilita fl-Unjoni, iżda toffri servizzi fl-Unjoni, din għandha tiddeżinja rappreżentant fl-Unjoni. Ir-rappreżentant għandu jkun stabbilit f’wieħed minn dawk l-Istati Membri fejn huma offruti s-servizzi. Din l-entità għandha titqies li hija fil-ġurisdizzjoni tal-Istat Membru fejn ikun stabbilit ir-rappreżentant. Fin-nuqqas ta’ rappreżentant iddeżinjat fl-Unjoni skont dan l-Artikolu, kwalunkwe Stat Membru fejn l-entità tipprovdi s-servizzi jista’ jieħu azzjonijiet legali kontriha għal nuqqas ta’ konformità mal-obbligi skont din id-Direttiva.

4.Id-deżinjazzjoni ta’ rappreżentant minn entità msemmija fil-paragrafu 1 għandha tkun mingħajr preġudizzju għal azzjonijiet legali li jistgħu jinbdew kontra l-entità nnifisha.

Artikolu 25
Reġistru għall-entitajiet essenzjali u importanti

1.L-ENISA għandha toħloq u żżomm reġistru għall-entitajiet essenzjali u importanti msemmija fl-Artikolu 24(1). L-entitajiet għandhom jippreżentaw l-informazzjoni li ġejja lill-ENISA sa [mhux aktar tard minn 12-il xahar wara d-dħul fis-seħħ tad-Direttiva]:

(a)isem l-entità;

(b)l-indirizz tal-istabbiliment ewlieni tagħha u tal-istabbilimenti legali l-oħra tagħha fl-Unjoni jew, jekk mhux stabbiliti fl-Unjoni, tar-rappreżentant tagħha ddeżinjat skont l-Artikolu 24(3);

(c)dettalji aġġornati ta’ kuntatt, inkluż l-indirizzi tal-email u n-numri tat-telefown tal-entitajiet.

2.L-entitajiet imsemmija fil-paragrafu 1 għandhom jinnotifikaw lill-ENISA dwar kull bidla fid-dettalji li ppreżentaw skont il-paragrafu 1 mingħajr dewmien, u fi kwalunkwe każ, fi żmien tliet xhur mid-data meta l-bidla tidħol fis-seħħ.

3.Malli tirċievi l-informazzjoni skont il-paragrafu 1, l-ENISA għandha tgħaddiha lill-punti uniċi ta’ kuntatt skont il-post indikat tal-istabbiliment ewlieni ta’ kull entità jew, jekk din ma tkunx stabbilita fl-Unjoni, tar-rappreżentant iddeżinjat tagħha. Meta minbarra l-istabbiliment ewlieni tagħha fl-Unjoni, l-entità msemmija fil-paragrafu 1 ikollha aktar stabbilimenti fi Stati Membri oħra, l-ENISA għandha tinforma wkoll lill-punti uniċi ta’ kuntatt ta’ dawk l-Istati Membri.

4.Meta l-entità tonqos milli tirreġistra l-attività tagħha jew milli tipprovdi l-informazzjoni rilevanti sal-iskadenza stabbilita fil-paragrafu 1, kull Stat Membru fejn l-entità tipprovdi s-servizzi għandu jkun kompetenti biex jiżgura l-konformità ta’ dik l-entità mal-obbligi stabbiliti f’din id-Direttiva.

KAPITOLU V
Kondiviżjoni tal-informazzjoni

Artikolu 26
Arranġamenti għall-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà

1.Mingħajr preġudizzju għar-Regolament (UE) 2016/679, l-Istati Membri għandhom jiżguraw li l-entitajiet essenzjali u importanti jkunu jistgħu jiskambjaw bejniethom l-informazzjoni rilevanti dwar iċ-ċibersigurtà, inkluż l-informazzjoni relatata ma’ theddid ċibernetiku, vulnerabbiltajiet, indikaturi ta’ kompromess, tattiċi, tekniki u proċeduri, twissijiet taċ-ċibersigurtà u għodod ta’ konfigurazzjoni, meta din il-kondiviżjoni tal-informazzjoni:

(a)ikollha l-għan li tipprevjeni, tiddetetta, tirrispondi jew timmitiga inċidenti;

(b)ittejjeb il-livell taċ-ċibersigurtà, b’mod partikolari billi tgħarraf dwar it-theddid ċibernetiku, tillimita jew timpedixxi l-propensità li dan it-theddid jinfirex, tappoġġa firxa ta’ kapaċitajiet difensivi, rimedju u divulgazzjoni tal-vulnerabbiltajiet, tekniki ta’ detezzjoni tat-theddid, strateġiji ta’ mitigazzjoni, jew stadji ta’ rispons u rkupru.

2.L-Istati Membri għandhom jiżguraw li l-iskambju tal-informazzjoni jsir fi ħdan komunitajiet fdati ta’ entitajiet essenzjali u importanti. Dan l-iskambju għandu jiġi implimentat b’arranġamenti tal-kondiviżjoni tal-informazzjoni fir-rigward tan-natura potenzjalment sensittiva tal-informazzjoni kondiviża u f’konformità mar-regoli tal-liġi tal-Unjoni msemmija fil-paragrafu 1.

3.L-Istati Membri għandhom jistabbilixxu regoli li jispeċifikaw il-proċedura, l-elementi operazzjonali (inkluż l-użu ta’ pjattaformi tal-ICT iddedikati) u l-kontenut u l-kundizzjonijiet tal-arranġamenti tal-kondiviżjoni tal-informazzjoni msemmija fil-paragrafu 2. Dawn ir-regoli għandhom jistabbilixxu wkoll id-dettalji tal-involviment tal-awtoritajiet pubbliċi f’dawn l-arranġamenti, kif ukoll l-elementi operazzjonali, inkluż l-użu ta’ pjattaformi tal-IT apposta. L-Istati Membri għandhom joffru appoġġ għall-applikazzjoni ta’ dawn l-arranġamenti f’konformità mal-politiki tagħhom imsemmija fl-Artikolu 5(2)(g).

4.L-entitajiet essenzjali u importanti għandhom jinnotifikaw lill-awtoritajiet kompetenti dwar il-parteċipazzjoni tagħhom fl-arranġamenti tal-kondiviżjoni tal-informazzjoni msemmija fil-paragrafu 2 malli jidħlu f’dawn l-arranġamenti jew, kif applikabbli, bl-irtirat tagħhom minn dawn l-arranġamenti malli jidħol fis-seħħ l-irtirar.

5.F’konformità mal-liġi tal-Unjoni, l-ENISA għandha tappoġġa l-istabbiliment tal-arranġamenti tal-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà msemmija fil-paragrafu 2 billi tipprovdi l-aqwa prattiki u gwida.

Artikolu 27
Notifika volontarja ta’ informazzjoni rilevanti

L-Istati Membri għandhom jiżguraw li, mingħajr preġudizzju għall-Artikolu 3, l-entitajiet li mhumiex fil-kamp ta’ applikazzjoni ta’ din id-Direttiva jistgħu jippreżentaw notifiki, b’mod volontarju, ta’ inċidenti sinifikanti, theddid ċibernetiku jew kważi aċċidenti. Meta jipproċessaw in-notifiki, l-Istati Membri għandhom jaġixxu f’konformità mal-proċedura stabbilita fl-Artikolu 20. L-Istati Membri jistgħu jagħtu prijorità lill-ipproċessar tan-notifiki obbligatorji fuq in-notifiki volontarji. Ir-rapportar volontarju ma għandux jirriżulta fl-impożizzjoni ta’ xi obbligu fuq l-entità relatriċi li ma kinitx tkun soġġetta għalih kieku ma saritx dik in-notifika.

KAPITOLU VI
Superviżjoni u infurzar

Artikolu 28
Aspetti ġenerali dwar is-superviżjoni u l-infurzar

1.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti jimmonitorjaw b’mod effettiv u jieħdu l-miżuri meħtieġa biex jiżguraw il-konformità ma’ din id-Direttiva, b’mod partikolari l-obbligi stabbiliti fl-Artikoli 18 u 20.

2.L-awtoritajiet kompetenti għandhom jaħdmu mill-qrib mal-awtoritajiet għall-protezzjoni tad-data meta jindirizzaw inċidenti li jirriżultaw fi vjolazzjoni ta' data personali.

Artikolu 29
Superviżjoni u infurzar għall-entitajiet essenzjali

1.L-Istati Membri għandhom jiżguraw li l-miżuri superviżorji jew ta’ infurzar imposti fuq l-entitajiet essenzjali fir-rigward tal-obbligi stabbiliti f’din id-Direttiva jkunu effettivi, proporzjonati u dissważivi, b’kont meħud taċ-ċirkostanzi ta’ kull każ individwali.

2.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti, meta jwettqu l-kompiti superviżorji tagħhom fir-rigward tal-entitajiet essenzjali, ikollhom is-setgħa li jissoġġettaw lil dawk l-entitajiet għal:

(a)spezzjonijiet fuq il-post u superviżjoni mhux fuq il-post, inkluż kontrolli aleatorji;

(b)verifiki regolari;

(c)verifiki tas-sigurtà mmirati bbażati fuq valutazzjonijiet tar-riskju jew informazzjoni disponibbli relatata mar-riskju;

(d)skennjar tas-sigurtà bbażat fuq kriterji ta’ valutazzjoni tar-riskju oġġettivi, mhux diskriminatorji, ġusti u trasparenti;

(e)talbiet għall-informazzjoni meħtieġa biex jiġu vvalutati l-miżuri taċ-ċibersigurtà adottati mill-entità, inkluż politiki taċ-ċibersigurtà dokumentati, kif ukoll konformità mal-obbligu li tiġi nnotifikata l-ENISA skont l-Artikolu 25(1) u (2);

(f)talbiet għal aċċess għal data, dokumenti jew kwalunkwe informazzjoni meħtieġa għat-twettiq tal-kompiti superviżorji tagħhom;

(g)talbiet għal evidenza tal-implimentazzjoni tal-politiki taċ-ċibersigurtà, bħar-riżultati tal-verifiki tas-sigurtà mwettqa minn awditur kwalifikat u l-evidenza sottostanti rispettiva.

3.Meta jeżerċitaw is-setgħat tagħhom skont il-punti (e) sa (g) tal-paragrafu 2, l-awtoritajiet kompetenti għandhom jiddikjaraw l-għan tat-talba u jispeċifikaw l-informazzjoni mitluba.

4.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti, meta jeżerċitaw is-setgħat tal-infurzar tagħhom fir-rigward tal-entitajiet essenzjali, ikollhom is-setgħa li:

(a)joħorġu twissijiet dwar nuqqas ta’ konformità tal-entitajiet mal-obbligi stabbiliti f’din id-Direttiva;

(b)joħorġu struzzjonijiet vinkolanti jew ordni li teżiġi li dawk l-entitajiet jirrimedjaw in-nuqqasijiet identifikati jew il-ksur tal-obbligi stabbiliti f’din id-Direttiva;

(c)jordnaw lil dawk l-entitajiet iwaqqfu mġiba li ma tkunx konformi mal-obbligi stabbiliti f’din id-Direttiva u ma jirrepetuhiex;

(d)jordnaw lil dawk l-entitajiet biex iġibu l-miżuri ta’ ġestjoni tar-riskji u/jew l-obbligi ta’ rapportar tagħhom f’konformità mal-obbligi stabbiliti fl-Artikoli 18 u 20 b’mod speċifikat u f’perjodu ta’ żmien speċifikat;

(e)jordnaw lil dawk l-entitajiet jinfurmaw lill-persuni fiżiċi jew ġuridiċi li lilhom jipprovdu servizzi jew attivitajiet li huma potenzjalment affettwati minn theddida ċibernetika sinifikanti dwar kull miżura protettiva jew ta’ rimedju possibbli li tista’ tittieħed minn dawk il-persuni fiżiċi jew ġuridiċi bħala rispons għal dik it-theddida;

(f)jordnaw lil dawk l-entitajiet jimplimentaw ir-rakkomandazzjonijiet ipprovduti bħala riżultat ta’ verifika tas-sigurtà fi żmien skadenza raġonevoli;

(g)jiddeżinjaw uffiċjal ta’ monitoraġġ b’kompiti definiti sew fuq perjodu ta’ żmien determinat biex jissorvelja l-konformità mal-obbligi tagħhom previsti fl-Artikoli 18 u 20;

(h)jordnaw lil dawk l-entitajiet jippubblikaw aspetti ta’ nuqqas ta’ konformità mal-obbligi stabbiliti f’din id-Direttiva b’mod speċifikat;

(i)jagħmlu dikjarazzjoni pubblika li tidentifika l-persuni fiżiċi jew ġuridiċi responsabbli għall-ksur ta’ obbligu stabbilit f’din id-Direttiva u n-natura ta’ dak il-ksur;

(j)jimponu jew jitolbu l-impożizzjoni mill-korpi jew il-qrati rilevanti f’konformità mal-liġijiet nazzjonali ta’ multa amministrattiva skont l-Artikolu 31 flimkien ma’, jew minflok, il-miżuri msemmija fil-punti (a) sa (i) ta’ dan il-paragrafu, skont iċ-ċirkostanzi ta’ kull każ individwali.

5.Meta l-azzjonijiet ta’ infurzar adottati skont il-punti (a) sa (d) u (f) tal-paragrafu (4) ma jkunux effettivi, l-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti jkollhom is-setgħa li jistabbilixxu skadenza biex sa dik id-data, l-entità essenzjali tintalab tieħu l-azzjoni meħtieġa biex tirrimedja n-nuqqasijiet jew tikkonforma mar-rekwiżiti ta’ dawk l-awtoritajiet. Jekk l-azzjoni mitluba ma titteħidx sal-iskadenza stabbilita, l-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti jkollhom is-setgħa li:

(a)jissospendu jew jitolbu korp ta’ ċertifikazzjoni jew awtorizzazzjoni biex jissospendu ċertifikazzjoni jew awtorizzazzjoni li tikkonċerna parti mis-servizzi jew l-attivitajiet kollha pprovduti minn entità essenzjali;

(b)jimponu jew jitolbu l-impożizzjoni mill-korpi jew mill-qrati rilevanti skont il-liġijiet nazzjonali ta’ projbizzjoni temporanja kontra kwalunkwe persuna li twettaq responsabbiltajiet maniġerjali fil-livell ta’ kap eżekuttiv jew ta’ rappreżentant legali f’dik l-entità essenzjali, u ta’ kwalunkwe persuna fiżika oħra li tinżamm responsabbli għall-ksur, milli teżerċita funzjonijiet maniġerjali f’dik l-entità.

Dawn is-sanzjonijiet għandhom jiġu applikati biss sakemm l-entità tieħu l-azzjoni meħtieġa biex tirrimedja n-nuqqasijiet jew tikkonforma mar-rekwiżiti tal-awtorità kompetenti li għaliha jkunu ġew applikati tali sanzjonijiet.

6.L-Istati Membri għandhom jiżguraw li kwalunkwe persuna fiżika responsabbli għal entità essenzjali jew li taġixxi bħala rappreżentant tagħha abbażi tas-setgħa li tirrappreżentaha, l-awtorità li tieħu deċiżjonijiet f’isimha jew l-awtorità li teżerċita kontroll fuqha jkollha s-setgħat li tiżgura l-konformità tagħha mal-obbligi stabbiliti f’din id-Direttiva. L-Istati Membri għandhom jiżguraw li dawk il-persuni fiżiċi jkunu jistgħu jinżammu responsabbli għall-ksur tad-dmirijiet tagħhom biex jiżguraw konformità mal-obbligi stabbiliti f’din id-Direttiva.

7.Meta jieħdu xi waħda mill-azzjonijiet ta’ infurzar jew japplikaw xi sanzjoni skont il-paragrafi 4 u 5, l-awtoritajiet kompetenti għandhom jikkonformaw mad-drittijiet ta’ difiża u jqisu ċ-ċirkostanzi ta’ kull każ individwali u, bħala minimu, iqisu kif xieraq:

(a)is-serjetà tal-ksur u l-importanza tad-dispożizzjonijiet miksura. Fost il-ksur li għandu jitqies bħala serju: ksur ripetut, nuqqas ta’ notifika jew rimedju ta’ inċidenti b’effett ta’ tfixkil sinifikanti, nuqqas ta’ rimedju għan-nuqqasijiet wara struzzjonijiet vinkolanti mill-awtoritajiet kompetenti li jostakolaw il-verifiki jew l-attivitajiet ta’ monitoraġġ ordnati mill-awtorità kompetenti wara s-sejbien ta’ ksur, l-għoti ta’ informazzjoni falza jew verament impreċiża fir-rigward tar-rekwiżiti ta’ ġestjoni tar-riskji jew l-obbligi ta’ rapportar stabbiliti fl-Artikoli 18 u 20.

(b)it-tul tal-ksur, inkluż l-element ta’ ksur ripetut;

(c)id-dannu attwali kkawżat jew it-telf imġarrab jew id-dannu jew it-telf potenzjali li setgħu ġew skattati, sa fejn dawn ikunu jistgħu jiġu ddeterminati. Meta jiġi evalwat dan l-aspett, għandhom jitqiesu, fost l-oħrajn, it-telf finanzjarju jew ekonomiku attwali jew potenzjali, l-effetti fuq servizzi oħra, l-għadd ta’ utenti affettwati jew potenzjalment affettwati;

(d)il-karattru intenzjonali jew negliġenti tal-ksur;

(e)miżuri meħuda mill-entità biex tipprevjeni jew ittaffi d-dannu u/jew it-telf;

(f)aderenza ma’ kodiċijiet ta’ kondotta approvati jew mekkaniżmi ta’ ċertifikazzjoni approvati;

(g)il-livell ta' kooperazzjoni tal-persuni fiżiċi jew ġuridiċi li jinżammu responsabbli mal-awtoritajiet kompetenti.

8.L-awtoritajiet kompetenti għandhom jistabbilixxu raġunament dettaljat għad-deċiżjonijiet tal-infurzar tagħhom. Qabel ma jieħdu tali deċiżjonijiet, l-awtoritajiet kompetenti għandhom jinnotifikaw lill-entitajiet ikkonċernati dwar is-sejbiet preliminari tagħhom u jallokaw żmien raġonevoli biex dawk l-entitajiet jippreżentaw l-osservazzjonijiet tagħhom.

9.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti tagħhom jinfurmaw lill-awtoritajiet kompetenti rilevanti tal-Istat Membru kkonċernat iddeżinjati skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] meta jeżerċitaw is-setgħat superviżorji u ta’ infurzar tagħhom bil-għan li jiżguraw il-konformità ta’ entità essenzjali identifikata bħala kritika, jew bħala entità ekwivalenti għal entità kritika, skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi] mal-obbligi skont din id-Direttiva. Fuq talba tal-awtoritajiet kompetenti skont id-Direttiva (UE) XX/XX [id-Direttiva dwar ir-Reżiljenza ta’ Entitajiet Kritiċi], l-awtoritajiet kompetenti jistgħu jeżerċitaw is-setgħat superviżorji u ta’ infurzar tagħhom fuq entità essenzjali identifikata bħala kritika jew ekwivalenti.

Artikolu 30
Superviżjoni u infurzar għall-entitajiet importanti

1.Meta jingħataw evidenza jew indikazzjoni li entità importanti mhix konformi mal-obbligi stabbiliti f’din id-Direttiva, u b’mod partikolari fl-Artikoli 18 u 20, l-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti jieħdu azzjoni, meta meħtieġ, permezz ta’ miżuri superviżorji ex post.

2.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti, meta jeżerċitaw il-kompiti superviżorji tagħhom fir-rigward tal-entitajiet importanti, ikollhom is-setgħa li jissoġġettaw lil dawk l-entitajiet għal:

(a)spezzjonijiet fuq il-post u superviżjoni ex post mhux fuq il-post;

(b)verifiki tas-sigurtà mmirati bbażati fuq valutazzjonijiet tar-riskju jew informazzjoni disponibbli relatata mar-riskju;

(c)skennjar tas-sigurtà bbażat fuq kriterji ta’ valutazzjoni tar-riskju oġġettivi, ġusti u trasparenti;

(d)talbiet għal kwalunkwe informazzjoni meħtieġa biex jiġu vvalutati ex post il-miżuri taċ-ċibersigurtà, inkluż politiki taċ-ċibersigurtà dokumentati, kif ukoll konformità mal-obbligu li tiġi nnotifikata l-ENISA skont l-Artikolu 25(1) u (2);

(e)talbiet għal aċċess għal data, dokumenti u/jew informazzjoni meħtieġa għat-twettiq tal-kompiti superviżorji.

3.Meta jeżerċitaw is-setgħat tagħhom skont il-punti (d) jew (e) tal-paragrafu 2, l-awtoritajiet kompetenti għandhom jiddikjaraw l-għan tat-talba u jispeċifikaw l-informazzjoni mitluba.

4.L-Istati Membri għandhom jiżguraw li l-awtoritajiet kompetenti, meta jeżerċitaw is-setgħat tal-infurzar tagħhom fir-rigward tal-entitajiet importanti, ikollhom is-setgħa li:

(a)joħorġu twissijiet dwar in-nuqqas ta’ konformità tal-entitajiet mal-obbligi stabbiliti f’din id-Direttiva;

(b)joħorġu struzzjonijiet vinkolanti jew ordni li tirrikjedi li dawk l-entitajiet jirrimedjaw in-nuqqasijiet identifikati jew il-ksur tal-obbligi stabbiliti f’din id-Direttiva;

(c)jordnaw lil dawk l-entitajiet iwaqqfu mġiba li ma tkunx konformi mal-obbligi stabbiliti f’din id-Direttiva u ma jirrepetuhiex;

(d)jordnaw lil dawk l-entitajiet jallinjaw il-miżuri ta’ ġestjoni tar-riskji jew l-obbligi ta’ rapportar tagħhom mal-obbligi stabbiliti fl-Artikoli 18 u 20 b’mod speċifikat u fi ħdan perijodu speċifikat;

(e)jordnaw lil dawk l-entitajiet jinfurmaw lill-persuni fiżiċi jew ġuridiċi li lilhom jipprovdu servizzi jew attivitajiet li huma potenzjalment affettwati minn theddida ċibernetika sinifikanti dwar kull miżura protettiva jew ta’ rimedju possibbli li tista’ tittieħed minn dawk il-persuni fiżiċi jew ġuridiċi bħala rispons għal dik it-theddida;

(f)jordnaw lil dawk l-entitajiet jimplimentaw ir-rakkomandazzjonijiet ipprovduti bħala riżultat ta’ verifika tas-sigurtà fi żmien skadenza raġonevoli;

(g)jordnaw lil dawk l-entitajiet jippubblikaw aspetti ta’ nuqqas ta’ konformità mal-obbligi tagħhom stabbiliti f’din id-Direttiva b’mod speċifikat;

(h)jagħmlu dikjarazzjoni pubblika li tidentifika l-persuni fiżiċi jew ġuridiċi responsabbli għall-ksur ta’ obbligu stabbilit f’din id-Direttiva u n-natura ta’ dak il-ksur;

(i)jimponu jew jitolbu l-impożizzjoni mill-korpi jew mill-qrati rilevanti skont il-liġijiet nazzjonali ta’ multa amministrattiva skont l-Artikolu 31 flimkien mal-miżuri msemmija fil-punti (a) sa (h) ta’ dan il-paragrafu jew minflokhom, skont iċ-ċirkostanzi ta’ kull każ individwali.

5.L-Artikolu 29(6) sa (8) għandu japplika wkoll għall-miżuri superviżorji u ta’ infurzar previsti f’dan l-Artikolu għall-entitajiet importanti elenkati fl-Anness II.

Artikolu 31
Kundizzjonijiet ġenerali għall-impożizzjoni tal-multi amministrattivi fuq l-entitajiet essenzjali u importanti

1.L-Istati Membri għandhom jiżguraw li l-impożizzjoni tal-multi amministrattivi fuq l-entitajiet essenzjali u importanti skont dan l-Artikolu fir-rigward ta’ ksur tal-obbligi stabbiliti f’din id-Direttiva jkunu effettivi, proporzjonati u dissważivi, f’kull każ individwali.

2.Il-multi amministrattivi għandhom, skont iċ-ċirkostanzi ta’ kull każ individwali, jiġu imposti flimkien ma’, jew minflok, il-miżuri msemmija fil-punti (a) sa (i) tal-Artikolu 29(4), l-Artikolu 29(5) u l-punti (a) sa (h) tal-Artikolu 30(4).

3.Meta jkun qed jiġi deċiż jekk għandhiex tiġi imposta multa amministrattiva u tkun qed tittieħed deċiżjoni dwar l-ammont tagħha f’kull każ individwali mill-inqas għandha tingħata attenzjoni għall-elementi previsti fl-Artikolu 29(7).

4.L-Istati Membri għandhom jiżguraw li l-ksur tal-obbligi stabbiliti fl-Artikolu 18 jew l-Artikolu 20 għandu, f’konformità mal-paragrafi 2 u 3 ta’ dan l-Artikolu, ikun soġġett għal multi amministrattivi li jammontaw għal massimu ta’ EUR 10 000 000 jew sa 2 % tal-fatturat annwali dinji totali tal-impriża li l-entità essenzjali jew importanti tappartjeni għaliha fis-sena finanzjarja preċedenti, skont liema minnhom tkun l-iżjed.

5.L-Istati Membri jistgħu jipprevedu s-setgħa li jimponu ħlasijiet perjodiċi ta’ pieni biex iġiegħlu lil entità essenzjali jew importanti twaqqaf ksur f’konformità ma’ deċiżjoni minn qabel tal-awtorità kompetenti.

6.Mingħajr preġudizzju għas-setgħat tal-awtoritajiet kompetenti skont l-Artikoli 29 u 30, kull Stat Membru jista’ jistabbilixxi r-regoli dwar jekk u sa fejn il-multi amministrattivi jistgħu jiġu imposti fuq entitajiet tal-amministrazzjoni pubblika msemmija fl-Artikolu 4(23) soġġetti għall-obbligi previsti minn din id-Direttiva.

Artikolu 32
Ksur li jinvolvi ksur ta’ data personali

1.Meta l-awtoritajiet kompetenti jkollhom indikazzjonijiet li l-ksur minn entità essenzjali jew importanti tal-obbligi stabbiliti fl-Artikoli 18 u 20 jinvolvi ksur ta’ data personali, kif definit mill-Artikolu 4(12) tar-Regolament (UE) Nru 2016/679 li għandu jiġi nnotifikat skont l-Artikolu 33 ta’ dak ir-Regolament, huma għandhom jinformaw lill-awtoritajiet superviżorji kompetenti skont l-Artikoli 55 u 56 ta’ dak ir-Regolament fi ħdan perijodu ta’ żmien raġonevoli.

2.Meta l-awtoritajiet superviżorji kompetenti skont l-Artikoli 55 u 56 tar-Regolament (UE) 2016/679 jiddeċiedu li jeżerċitaw is-setgħat tagħhom skont l-Artikolu 58(i) ta’ dak ir-Regolament u jimponu multa amministrattiva, l-awtoritajiet kompetenti ma għandhomx jimponu multa amministrattiva għall-istess ksur f’konformità mal-Artikolu 31 ta’ din id-Direttiva. L-awtoritajiet kompetenti jistgħu, madankollu, japplikaw l-azzjonijiet ta’ infurzar jew jeżerċitaw is-setgħat ta’ sanzjonar previsti fil-punti (a) sa (i) tal-Artikolu 29(4), l-Artikolu 29(5), u l-punti (a) sa (h) tal-Artikolu 30(4) ta’ din id-Direttiva.

3.Meta l-awtorità superviżorja kompetenti skont ir-Regolament (UE) 2016/679 tkun stabbilita fi Stat Membru ieħor għajr l-awtorità kompetenti, l-awtorità kompetenti tista’ tinforma lill-awtorità superviżorja stabbilita fl-istess Stat Membru.

Artikolu 33
Pieni

1.L-Istati Membri għandhom jistabbilixxu regoli dwar il-pieni applikabbli għall-ksur ta’ dispożizzjonijiet nazzjonali adottati skont din id-Direttiva, u għandhom jieħdu l-miżuri kollha meħtieġa biex jiżguraw li dawn jiġu implimentati. Il-pieni previsti għandhom ikunu effettivi, proporzjonati u dissważivi.

2.L-Istati Membri għandhom jinnotifikaw lill-Kummissjoni b’dawk ir-regoli u dawk il-miżuri u għandhom jinnotifikawha mingħajr dewmien dwar kull emenda sussegwenti li taffettwahom, sa [sentejn] wara d-data tad-dħul fis-seħħ ta’ din id-Direttiva.

Artikolu 34
Assistenza reċiproka

1.Meta entità essenzjali jew importanti tipprovdi servizzi f’aktar minn Stat Membru wieħed, jew ikollha l-istabbiliment ewlieni tagħha jew rappreżentant fi Stat Membru, iżda n-network u s-sistemi tal-informazzjoni tagħha jkunu fi Stat Membru ieħor jew fi Stati Membri oħra, l-awtorità kompetenti tal-Istat Membru tal-istabbiliment ewlieni jew ta’ stabbiliment ieħor jew tar-rappreżentant, u l-awtoritajiet kompetenti ta’ dawk l-Istati Membri l-oħra għandhom jikkooperaw bejniethom u jassistu lil xulxin kif ikun meħtieġ. Permezz ta’ dik il-kooperazzjoni, tal-anqas:

(a)l-awtoritajiet kompetenti li japplikaw miżuri superviżorji jew ta’ infurzar fi Stat Membru għandhom, permezz tal-punt uniku ta’ kuntatt, jinformaw u jikkonsultaw lill-awtoritajiet kompetenti fl-Istati Membri l-oħra kkonċernati dwar il-miżuri superviżorji u ta’ infurzar meħuda u s-segwitu tagħhom, f’konformità mal-Artikoli 29 u 30;

(b)awtorità kompetenti tista’ titlob lil awtorità kompetenti oħra biex tieħu l-miżuri superviżorji jew ta’ infurzar imsemmija fl-Artikoli 29 u 30;

(c)malli tirċievi talba ġustifikata mingħand awtorità kompetenti oħra, awtorità kompetenti għandha tipprovdi assistenza lill-awtorità kompetenti l-oħra biex l-azzjonijiet superviżorji jew ta’ infurzar imsemmija fl-Artikoli 29 u 30 ikunu jistgħu jiġu implimentati b’mod effettiv, effiċjenti u konsistenti. Din l-assistenza reċiproka tista’ tkopri talbiet għal informazzjoni u miżuri superviżorji, inkluż talbiet biex isiru spezzjonijiet fuq il-post jew superviżjoni mhux fuq il-post jew verifiki tas-sigurtà mmirati. Awtorità kompetenti li tirċievi talba għal assistenza ma tistax tirrifjuta dik it-talba sakemm, wara skambju mal-awtoritajiet ikkonċernati l-oħra, l-ENISA u l-Kummissjoni, ma jkunx stabbilit li l-awtorità mhix kompetenti biex tipprovdi l-assistenza mitluba jew li l-assistenza mitluba mhix proporzjonata mal-kompiti superviżorji tal-awtorità kompetenti mwettqa f’konformità mal-Artikolu 29 jew mal-Artikolu 30.

2.Meta jkun xieraq u bi qbil komuni, l-awtoritajiet kompetenti ta’ Stati Membri differenti jistgħu jwettqu l-azzjonijiet superviżorji konġunti msemmija fl-Artikoli 29 u 30.

KAPITOLU VII
Dispożizzjonijiet tranżizzjonali u finali

Artikolu 35
Rieżami

Perjodikament, il-Kummissjoni għandha tagħmel rieżami tal-funzjonament ta’ din id-Direttiva u tirrapporta lill-Parlament Ewropew u lill-Kunsill. Ir-rapport għandu b’mod partikolari jivvaluta r-rilevanza tas-setturi, is-subsetturi, id-daqs u t-tip tal-entitajiet imsemmija fl-Annessi I u II għall-funzjonament tal-ekonomija u tas-soċjetà fir-rigward taċ-ċibersigurtà. Għal dan il-għan u bil-ħsieb li tkompli tiġi avvanzata l-kooperazzjoni strateġika u operazzjonali, il-Kummissjoni għandha tikkunsidra r-rapporti tal-Grupp ta’ Kooperazzjoni u tan-network tas-CSIRTs dwar l-esperjenza miksuba f’livell strateġiku u operazzjonali. L-ewwel rapport għandu jiġi ppreżentat sa... 54 xahar wara d-data tad-dħul fis-seħħ ta’ din id-Direttiva.

Artikolu 36
Eżerċizzju tad-delega

1.Is-setgħa ta’ adozzjoni ta’ atti delegati tingħata lill-Kummissjoni soġġetta għall-kundizzjonijiet stabbiliti f’dan l-Artikolu.

2.Is-setgħa ta’ adozzjoni ta’ atti delegati msemmija fl-Artikoli 18(6) u 21(2) għandha tingħata lill-Kummissjoni għal perjodu ta’ ħames snin minn […]

3.Id-delega tas-setgħa msemmija fl-Artikoli 18(6) u 21(2) tista’ tiġi revokata fi kwalunkwe mument mill-Parlament Ewropew jew mill-Kunsill. Deċiżjoni li tirrevoka għandha ttemm id-delega tas-setgħa speċifikata f’dik id-deċiżjoni. Din għandha ssir effettiva fil-jum wara dak tal-pubblikazzjoni tad-deċiżjoni f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea jew f’data aktar tard speċifikata fiha. Ma għandha taffettwa l-validità tal-ebda att delegat li jkun diġà fis-seħħ.

4.Qabel ma tadotta att delegat, il-Kummissjoni għandha tikkonsulta lill-esperti ddeżinjati minn kull Stat Membru f’konformità mal-prinċipji stabbiliti fil-Ftehim Interistituzzjonali tat-13 ta’ April 2016 dwar it-Tfassil Aħjar tal-Liġijiet.

5.Malli tadotta att delegat, il-Kummissjoni għandha tinnotifikah fl-istess ħin lill-Parlament Ewropew u lill-Kunsill.

6.Att delegat adottat skont l-Artikoli 18(6) u 21(2) għandu jidħol fis-seħħ biss jekk ma tiġix espressa oġġezzjoni mill-Parlament Ewropew jew mill-Kunsill fi żmien xahrejn min-notifika ta’ dak l-att lill-Parlament Ewropew u lill-Kunsill jew jekk, qabel ma jiskadi dak il-perjodu, il-Parlament Ewropew u l-Kunsill ikunu t-tnejn infurmaw lill-Kummissjoni li mhux se joġġezzjonaw. Dak il-perjodu għandu jiġi estiż b’xahrejn b’inizjattiva tal-Parlament Ewropew jew tal-Kunsill.

Artikolu 37
Proċedura ta’ kumitat

1.Il-Kummissjoni għandha tiġi assistita minn kumitat. Dak il-kumitat għandu jkun kumitat skont it-tifsira tar-Regolament (UE) Nru 182/2011.

2.Meta ssir referenza għal dan il-paragrafu, għandu japplika l-Artikolu 5 tar-Regolament (UE) Nru 182/2011.

3.Meta l-opinjoni tal-kumitat tkun trid tinkiseb bi proċedura bil-miktub, dik il-proċedura għandha tintemm mingħajr riżultat meta, sal-limitu ta’ żmien għall-għoti tal-opinjoni, il-president tal-kumitat jiddeċiedi hekk jew membru tal-kumitat jitlob li jsir hekk.

Artikolu 38
Traspożizzjoni

1.L-Istati Membri għandhom jadottaw u jippubblikaw, sa... 18-il xahar wara d-data tad-dħul fis-seħħ ta’ din id-Direttiva, il-liġijiet, ir-regolamenti u d-dispożizzjonijiet amministrattivi meħtieġa biex jikkonformaw ma’ din id-Direttiva. Dawn għandhom jgħarrfu minnufih lill-Kummissjoni dwar dan. Għandhom japplikaw dawk il-miżuri minn... [jum wara d-data msemmija fl-ewwel subparagrafu].

2.Meta l-Istati Membri jadottaw dawk il-miżuri, dawn għandhom jinkludu referenza għal din id-Direttiva jew għandhom jinkludu dik ir-referenza meta jiġu ppubblikati uffiċjalment. Il-metodi kif issir dik ir-referenza għandhom jiġu stabbiliti mill-Istati Membri.

Artikolu 39
Emenda għar-Regolament (UE) Nru 910/2014

L-Artikolu 19 tar-Regolament (UE) Nru 910/2014 jitħassar.

Artikolu 40
Emenda għad-Direttiva (UE) 2018/1972

L-Artikoli 40 u 41 tad-Direttiva (UE) 2018/1972 jitħassru.

Artikolu 41
Revoka

Id-Direttiva (UE) 2016/1148 hija mħassra b’effett minn ... [id-data tal-iskadenza tat-traspożizzjoni tad-Direttiva].

Ir-referenzi għad-Direttiva (UE) 2016/1148 għandhom jinftiehmu bħala referenzi għal din id-Direttiva u jinqraw f’konformità mat-tabella ta’ korrelazzjoni stabbilita fl-Anness III.

Artikolu 42
Dħul fis-seħħ

Din id-Direttiva għandha tidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tagħha f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.

Artikolu 43
Destinatarji

Din id-Direttiva hija indirizzata lill-Istati Membri.

Magħmul fi Brussell,

DIKJARAZZJONI FINANZJARJA LEĠIŻLATTIVA

Werrej

1.KUNTEST TAL-PROPOSTA

•Raġunijiet u objettivi tal-proposta

•Konsistenza mad-dispożizzjonijiet eżistenti fil-qasam ta’ politika

•Konsistenza ma’ politiki oħra tal-Unjoni

2.BAŻI ĠURIDIKA, SUSSIDJARJETÀ U PROPORZJONALITÀ

•Bażi ġuridika

•Sussidjarjetà (għall-kompetenza mhux esklużiva)

•Proporzjonalità

•Għażla tal-istrument

3.RIŻULTATI TAL-EVALWAZZJONIJIET EX POST, TAL-KONSULTAZZJONIJIET MAL-PARTIJIET IKKONĊERNATI U TAL-VALUTAZZJONIJIET TAL-IMPATT

•Evalwazzjonijiet ex post/kontrolli tal-idoneità tal-leġiżlazzjoni eżistenti

•Konsultazzjonijiet mal-partijiet ikkonċernati

•Ġbir u użu tal-għarfien espert

•Valutazzjoni tal-impatt

•Idoneità regolatorja u simplifikazzjoni

•Drittijiet fundamentali

4.IMPLIKAZZJONIJIET BAĠITARJI

5.ELEMENTI OĦRA

•Pjanijiet ta’ implimentazzjoni u arranġamenti dwar il-monitoraġġ, l-evalwazzjoni u r-rapportar

•Spjegazzjoni fid-dettall tad-dispożizzjonijiet speċifiċi tal-proposta

1.QAFAS TAL-PROPOSTA/TAL-INIZJATTIVA

1.1.Titolu tal-proposta/tal-inizjattiva

1.2.Oqsma ta’ politika kkonċernati (Cluster tal-programm)

1.3.Il-proposta/l-inizjattiva hija dwar:

1.4.Raġunijiet għall-proposta/għall-inizjattiva

1.4.1.Rekwiżiti li jridu jiġu ssodisfati fuq terminu qasir jew twil inkluż kronoloġija dettaljata għat-tnedija tal-implimentazzjoni tal-inizjattiva

1.4.2.Valur miżjud tal-involviment tal-Unjoni (jista’ jirriżulta minn fatturi differenti, eż. gwadann mill-koordinazzjoni, ċertezza tad-dritt, aktar effettività jew komplementaritajiet). Għall-finijiet ta’ dan il-punt, “valur miżjud tal-involviment tal-Unjoni” huwa l-valur li jirriżulta mill-intervent tal-Unjoni li huwa addizzjonali għall-valur li kieku kien jinħoloq minn Stat Membru waħdu.

1.4.3.Tagħlimiet meħuda minn esperjenzi simili fl-imgħoddi

1.4.4.Kompatibbiltà u sinerġija possibbli ma’ strumenti xierqa oħra

1.5.Durata u impatt finanzjarju

1.6.Modi ta’ ġestjoni ppjanati

2.MIŻURI TA’ ĠESTJONI

2.1.Regoli ta’ monitoraġġ u ta’ rapportar

2.2.Sistemi ta’ ġestjoni u ta’ kontroll

2.2.1.Ġustifikazzjoni tal-modi tal-ġestjoni, il-mekkaniżmi ta’ finanzjament tal-implimentazzjoni, il-modalitajiet ta’ pagament u l-istrateġija ta’ kontroll proposta

2.2.2.Informazzjoni dwar ir-riskji identifikati u s-sistemi ta’ kontroll intern stabbiliti biex jimmitigawhom

2.2.3.Stima u ġustifikazzjoni tal-kosteffettività tal-kontrolli (proporzjon ta’ “kostijiet ta’ kontroll ÷ valur tal-fondi relatati ġestiti”), u valutazzjoni tal-livelli ta’ riskju mistennija tal-errur (waqt il-pagament u waqt l-għeluq)

2.3.Miżuri għall-prevenzjoni ta’ frodi u ta’ irregolaritajiet

3.IMPATT FINANZJARJU STMAT TAL-PROPOSTA/TAL-INIZJATTIVA

3.1.Intestatura tal-qafas finanzjarju pluriennali u l-linji baġitarji ġodda tan-nefqa proposta

3.2.Impatt stmat fuq in-nefqa

3.2.1.Sommarju tal-impatt stmat fuq in-nefqa

3.2.2.Sommarju tal-impatt stmat fuq l-approprjazzjonijiet ta’ natura amministrattiva

3.2.3.Kontribuzzjonijiet ta’ partijiet terzi

3.3.Impatt stmat fuq id-dħul

Impatt stmat fuq ir-riżorsi umani tal-ENISA

1.QAFAS TAL-PROPOSTA/TAL-INIZJATTIVA

1.1.Titolu tal-proposta/tal-inizjattiva

1.2.Oqsma ta’ politika kkonċernati

1.3.Il-proposta hija dwar

1.4.Objettivi

1.4.1.Objettivi ġenerali

1.4.2.Objettivi speċifiċi

1.4.3.Riżultati mistennija u impatt

1.4.4.Indikaturi tal-prestazzjoni

1.5.Raġunijiet għall-proposta/għall-inizjattiva

1.5.1.Rekwiżiti li jridu jiġu ssodisfati fuq terminu qasir jew twil inkluż kronoloġija dettaljata għat-tnedija tal-implimentazzjoni tal-inizjattiva

1.5.2.Valur miżjud tal-involviment tal-Unjoni (jista’ jirriżulta minn fatturi differenti, eż. gwadann mill-koordinazzjoni, ċertezza tad-dritt, aktar effettività jew komplementaritajiet). Għall-finijiet ta’ dan il-punt, “valur miżjud tal-involviment tal-Unjoni” huwa l-valur li jirriżulta mill-intervent tal-Unjoni li huwa addizzjonali għall-valur li kieku kien jinħoloq minn Stat Membru waħdu.

1.5.3.Tagħlimiet meħuda minn esperjenzi simili fl-imgħoddi

1.5.4.Kompatibbiltà mal-Qafas Finanzjarju Pluriennali u sinerġiji possibbli ma’ strumenti xierqa oħra

1.5.5.Valutazzjoni tal-għażliet finanzjarji differenti possibbli inkluż il-kamp ta’ applikazzjoni għar-riallokazzjoni

1.6.Durata u impatt finanzjarju tal-proposta/tal-inizjattiva

1.7.Modi ta’ ġestjoni ppjanati

2.MIŻURI TA’ ĠESTJONI

2.1.Regoli ta’ monitoraġġ u ta’ rapportar

2.2.Sistemi ta’ ġestjoni u ta’ kontroll

2.2.1.Ġustifikazzjoni tal-modi tal-ġestjoni, il-mekkaniżmi ta’ finanzjament tal-implimentazzjoni, il-modalitajiet ta’ pagament u l-istrateġija ta’ kontroll proposta

2.2.2.Informazzjoni dwar ir-riskji identifikati u s-sistemi ta’ kontroll intern stabbiliti biex jimmitigawhom

2.2.3.Stima u ġustifikazzjoni tal-kosteffettività tal-kontrolli (proporzjon ta’ “kostijiet ta’ kontroll ÷ valur tal-fondi relatati ġestiti”), u valutazzjoni tal-livelli ta’ riskju mistennija tal-errur (waqt il-pagament u waqt l-għeluq)

2.3.Miżuri għall-prevenzjoni ta’ frodi u ta’ irregolaritajiet

3.IMPATT FINANZJARJU STMAT TAL-PROPOSTA/TAL-INIZJATTIVA

3.1.Intestaturi tal-qafas finanzjarju pluriennali u l-linji baġitarji tan-nefqa affettwati

3.2.Impatt stmat fuq in-nefqa

3.2.1.Sommarju tal-impatt stmat fuq in-nefqa

3.2.2.Impatt stmat fuq l-approprjazzjonijiet [tal-korp]

3.2.3.Impatt stmat fuq ir-riżorsi umani tal-ENISA

3.2.4.Kompatibbiltà mal-qafas finanzjarju pluriennali attwali

3.2.5.Kontribuzzjonijiet ta’ partijiet terzi

3.3.Impatt stmat fuq id-dħul

1.QAFAS TAL-PROPOSTA/TAL-INIZJATTIVA 

1.1.Titolu tal-proposta/tal-inizjattiva 

Proposta għal Direttiva dwar miżuri għal livell għoli komuni taċ-ċibersigurtà madwar l-Unjoni, u li tirrevoka d-Direttiva (UE) 2016/1148

1.2.Oqsma ta’ politika kkonċernati (Cluster tal-programm)

1.3.Il-proposta/l-inizjattiva hija dwar: 

◻ azzjoni ġdida 

◻ azzjoni ġdida b’segwitu għal proġett pilota/azzjoni preparatorja 40  

☒ l-estensjoni ta’ azzjoni eżistenti 

◻ fużjoni jew ridirezzjoni ta’ azzjoni waħda jew aktar lejn azzjoni oħra/ġdida 

1.4.Raġunijiet għall-proposta/għall-inizjattiva 

1.4.1.Rekwiżiti li jridu jiġu ssodisfati fuq terminu qasir jew twil inkluż kronoloġija dettaljata għat-tnedija tal-implimentazzjoni tal-inizjattiva

1.4.2.Valur miżjud tal-involviment tal-Unjoni (jista’ jirriżulta minn fatturi differenti, eż. gwadann mill-koordinazzjoni, ċertezza tad-dritt, aktar effettività jew komplementaritajiet). Għall-finijiet ta’ dan il-punt, “valur miżjud tal-involviment tal-Unjoni” huwa l-valur li jirriżulta mill-intervent tal-Unjoni li huwa addizzjonali għall-valur li kieku kien jinħoloq minn Stat Membru waħdu.

1.4.3.Tagħlimiet meħuda minn esperjenzi simili fl-imgħoddi

Id-Direttiva NIS hija l-ewwel strument orizzontali tas-suq intern bl-għan li tittejjeb ir-reżiljenza tan-networks u tas-sistemi fl-Unjoni kontra r-riskji taċ-ċibersigurtà. Diġà kkontribwiet ferm biex jogħla l-livell komuni taċ-ċibersigurtà fost l-Istati Membri. Madankollu, ir-rieżami tal-funzjonament u l-implimentazzjoni tad-Direttiva indika għadd ta’ nuqqasijiet, li minbarra d-diġitalizzazzjoni dejjem tiżdied u l-ħtieġa għal rispons aktar aġġornat, jeħtieġ jiġu indirizzati f’att legali rivedut.

1.4.4.Kompatibbiltà u sinerġija possibbli ma’ strumenti xierqa oħra

Il-proposta l-ġdida hija konsistenti u koerenti bis-sħiħ ma’ inizjattivi relatati oħra bħall-proposta għal Regolament dwar Reżiljenza Operazzjonali Diġitali għas-settur finanzjarju (“DORA”) u l-proposta għal Direttiva dwar ir-reżiljenza tal-operaturi kritiċi tas-servizzi essenzjali. Hija konsistenti wkoll mal-Kodiċi Ewropew għall-Komunikazzjonijiet Elettroniċi, ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data u r-Regolament eIDAS.

Il-proposta hija parti essenzjali mill-Istrateġija tal-UE dwar l-Unjoni tas-Sigurtà.

1.5.Durata u impatt finanzjarju 

◻ durata limitata

–◻    fis-seħħ minn [JJ/XX]SSSS sa [JJ/XX]SSSS

–◻    Impatt finanzjarju minn SSSS sa SSSS għall-approprjazzjonijiet ta’ impenn u minn SSSS sa SSSS għall-approprjazzjonijiet ta’ pagament.

☒ durata mhux limitata

–Implimentazzjoni b’perjodu ta’ tnedija mill-2022 sal-2025

–segwita b’operazzjoni fuq skala sħiħa.

1.6.Modi ta’ ġestjoni ppjanati 41   

 Ġestjoni diretta mill-Kummissjoni

–☒ mid-dipartimenti tagħha, inkluż mill-persunal tagħha fid-delegazzjonijiet tal-Unjoni;

–◻ mill-aġenziji eżekuttivi

◻ Ġestjoni kondiviża mal-Istati Membri

◻ Ġestjoni indiretta billi jiġu fdati kompiti ta’ implimentazzjoni baġitarja:

–◻ lill-pajjiżi terzi jew lill-korpi ddeżinjati minnhom;

–◻ lill-organizzazzjonijiet internazzjonali u lill-aġenziji tagħhom (iridu jiġu speċifikati);

–◻ lill-BEI u lill-Fond Ewropew tal-Investiment;

–X◻    lill-korpi msemmija fl-Artikoli 70 u 71 tar-Regolament Finanzjarju;

–◻ lill-korpi tal-liġi pubblika;

–◻ lill-korpi rregolati mil-liġi privata b’missjoni ta’ servizz pubbliku sakemm dawn jipprovdu garanziji finanzjarji adegwati;

–◻ lill-korpi rregolati mil-liġi privata ta’ Stat Membru li jkunu fdati bl-implimentazzjoni ta’ sħubija pubblika-privata u li jipprovdu garanziji finanzjarji adegwati;

–◻ lill-persuni fdati bl-implimentazzjoni ta’ azzjonijiet speċifiċi fil-PESK skont it-Titolu V tat-TUE, u identifikati fl-att bażiku rilevanti.

–Jekk jiġi indikat iżjed minn mod ta’ ġestjoni wieħed, jekk jogħġbok ipprovdi d-dettalji fit-taqsima “Kummenti”.

Kummenti

2.MIŻURI TA’ ĠESTJONI 

2.1.Regoli ta’ monitoraġġ u ta’ rapportar 

Speċifika l-frekwenza u l-kundizzjonijiet.

2.2.Sistemi ta’ ġestjoni u ta’ kontroll 

2.2.1.Ġustifikazzjoni tal-modi tal-ġestjoni, il-mekkaniżmi ta’ finanzjament tal-implimentazzjoni, il-modalitajiet ta’ pagament u l-istrateġija ta’ kontroll proposta

2.2.2.Informazzjoni dwar ir-riskji identifikati u s-sistemi ta’ kontroll intern stabbiliti biex jimmitigawhom

2.2.3.Stima u ġustifikazzjoni tal-kosteffettività tal-kontrolli (proporzjon ta’ “kostijiet ta’ kontroll ÷ valur tal-fondi relatati ġestiti”), u valutazzjoni tal-livelli ta’ riskju mistennija tal-errur (waqt il-pagament u waqt l-għeluq) 

2.3.Miżuri għall-prevenzjoni ta’ frodi u ta’ irregolaritajiet 

Speċifika l-miżuri ta’ prevenzjoni u ta’ protezzjoni eżistenti jew previsti, e.ż. mill-Istrateġija Kontra l-Frodi.

3.IMPATT FINANZJARJU STMAT TAL-PROPOSTA/TAL-INIZJATTIVA 

3.1.Intestatura tal-qafas finanzjarju pluriennali u l-linji baġitarji ġodda tan-nefqa proposta 

3.2.Impatt stmat fuq in-nefqa

3.2.1.Sommarju tal-impatt stmat fuq in-nefqa 

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

Jenħtieġ li din it-taqsima timtela billi tintuża “id-data baġitarja ta’ natura amministrattiva” li l-ewwel nett għandha tiġi introdotta fl-Anness tad- Dikjarazzjoni Finanzjarja Leġiżlattiva , u tittella’ fid-DECIDE għal finijiet tal-konsultazzjoni interservizz.

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

3.2.2.Sommarju tal-impatt stmat fuq l-approprjazzjonijiet ta’ natura amministrattiva

–◻    Il-proposta/l-inizjattiva ma teħtieġx l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva

–◻X    Il-proposta/l-inizjattiva teħtieġ l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva, kif spjegat hawn taħt:

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

L-approprjazzjonijiet meħtieġa għar-riżorsi umani u għal nefqa oħra ta’ natura amministrattiva se jiġu koperti mill-approprjazzjonijiet tad-DĠ li diġà jkunu assenjati għall-ġestjoni tal-azzjoni u/jew li diġà jkunu ġew riassenjati fid-DĠ, flimkien, jekk ikun meħtieġ, ma’ kwalunkwe allokazzjoni addizzjonali li tista’ tingħata lid-DĠ tal-ġestjoni skont il-proċedura annwali ta’ allokazzjoni u fid-dawl tal-limitazzjonijiet baġitarji.

3.2.2.1.Rekwiżiti stmati ta’ riżorsi umani

–◻    Il-proposta/l-inizjattiva ma teħtieġx l-użu ta’ riżorsi umani.

–X◻    Il-proposta/l-inizjattiva teħtieġ l-użu ta’ riżorsi umani, kif spjegat hawn taħt:

L-istima trid tiġi espressa f’unitajiet ekwivalenti għall-full-time

Ir-riżorsi umani meħtieġa se jiġu koperti mill-persunal tad-DĠ li diġà jkun assenjat għall-ġestjoni tal-azzjoni u/jew li diġà jkun ġie riassenjat fid-DĠ, flimkien, jekk ikun meħtieġ, ma’ kwalunkwe allokazzjoni addizzjonali li tista’ tingħata lid-DĠ tal-ġestjoni skont il-proċedura annwali ta’ allokazzjoni u fid-dawl tal-limitazzjonijiet baġitarji.

Deskrizzjoni tal-kompiti li jridu jitwettqu:

3.2.3.Kontribuzzjonijiet ta’ partijiet terzi 

Il-proposta/l-inizjattiva:

–X◻    ma tipprevedix kofinanzjament minn pajjiżi terzi

–◻    tipprevedi l-kofinanzjament minn pajjiżi terzi stmat hawn taħt:

Approprjazzjonijiet f’miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

3.3.Impatt stmat fuq id-dħul 

–◻X    Il-proposta/l-inizjattiva ma għandha l-ebda impatt finanzjarju fuq id-dħul.

–◻    Il-proposta/l-inizjattiva għandha l-impatt finanzjarju li ġej:

fuq ir-riżorsi proprji

fuq dħul ieħor

jekk jogħġbok indika jekk id-dħul hux assenjat lil-linji tan-nefqa ◻    

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

Għad-dħul assenjat, speċifika l-linji baġitarji tan-nefqa affettwati.

Rimarki oħra (eż. il-metodu/il-formula li ntużaw għall-kalkolu tal-impatt fuq id-dħul jew kwalunkwe informazzjoni oħra). 

ANNESS
tad-DIKJARAZZJONI FINANZJARJA LEĠIŻLATTIVA

Isem il-proposta/l-inizjattiva:

1.NUMRU u KOST tar-RIŻORSI UMANI MEQJUSA MEĦTIEĠA

2.KOST ta’ NEFQA AMMINISTRATTIVA OĦRA

3.METODI tal-KALKOLU UŻAT għall-ISTIMA TAL-KOSTIJIET

3.1Riżorsi umani

3.2Nefqa amministrattiva oħra

1.Kost tar-riżorsi umani meqjusa meħtieġa

Il-proposta/l-inizjattiva ma teħtieġx l-użu ta’ riżorsi umani.

X◻    Il-proposta/l-inizjattiva teħtieġ l-użu ta’ riżorsi umani, kif spjegat hawn taħt:

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

Ir-riżorsi umani meħtieġa se jiġu koperti mill-persunal tad-DĠ li diġà jkun assenjat għall-ġestjoni tal-azzjoni u/jew li diġà jkun ġie riassenjat fid-DĠ, flimkien, jekk ikun meħtieġ, ma’ kwalunkwe allokazzjoni addizzjonali li tista’ tingħata lid-DĠ tal-ġestjoni skont il-proċedura annwali ta’ allokazzjoni u fid-dawl tal-limitazzjonijiet baġitarji.    

Ir-riżorsi umani meħtieġa se jiġu koperti mill-persunal tad-DĠ li diġà jkun assenjat għall-ġestjoni tal-azzjoni u/jew li diġà jkun ġie riassenjat fid-DĠ, flimkien, jekk ikun meħtieġ, ma’ kwalunkwe allokazzjoni addizzjonali li tista’ tingħata lid-DĠ tal-ġestjoni skont il-proċedura annwali ta’ allokazzjoni u fid-dawl tal-limitazzjonijiet baġitarji.

Impatt stmat fuq ir-riżorsi umani tal-ENISA

Għalhekk, mill-2022 se jintalbu 5 FTEs supplimentari b’baġit korrispondenti biex jiġu koperti dawn il-pożizzjonijiet il-ġodda.

◻    Il-proposta/l-inizjattiva ma teħtieġx l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva

◻X    Il-proposta/l-inizjattiva teħtieġ l-użu ta’ approprjazzjonijiet ta’ natura amministrattiva, kif spjegat hawn taħt:

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)

Rekwiżiti tal-persunal (FTE):

2.Kost ta’ nefqa amministrattiva oħra

Il-proposta/l-inizjattiva ma teħtieġx l-użu ta’ approprjazzjonijiet amministrattivi.

X◻    Il-proposta/l-inizjattiva teħtieġ l-użu ta’ approprjazzjonijiet amministrattivi, kif spjegat hawn taħt:

miljuni ta’ EUR (aġġustati ’l fuq għal tliet pożizzjonijiet deċimali)