11.1.2017   

PL

Dziennik Urzędowy Unii Europejskiej

L 6/40

(1)

Systemy teleinformatyczne Komisji są nieodłącznie związane z funkcjonowaniem Komisji, a incydenty związane z bezpieczeństwem systemów IT mogą mieć poważny wpływ na działania podejmowane przez Komisję, jak również na osoby trzecie, w tym osoby fizyczne, przedsiębiorstwa i państwa członkowskie.

(2)

Istnieje wiele zagrożeń, które mogą zaszkodzić poufności, integralności lub dostępności systemów teleinformatycznych Komisji oraz informacjom przechowywanym w tych systemach. Zagrożenia te obejmują wypadki, błędy, zamierzone ataki oraz zjawiska naturalne i należy je uznać za rodzaje ryzyka operacyjnego.

(3)

Systemom teleinformatycznym należy zapewnić poziom ochrony proporcjonalny do prawdopodobieństwa, wpływu i charakteru rodzajów ryzyka, na które są narażone.

(4)

Bezpieczeństwo IT w Komisji powinno zapewnić, by systemy teleinformatyczne Komisji chroniły informacje, które przetwarzają, i funkcjonowały stosownie do potrzeb, gdy zachodzi potrzeba, oraz pod kontrolą uprawnionych użytkowników.

(5)

Politykę w zakresie bezpieczeństwa IT Komisji należy wdrażać w sposób spójny z polityką dotyczącą bezpieczeństwa w Komisji.

(6)

Dyrekcja ds. Bezpieczeństwa Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa ponosi ogólną odpowiedzialność za bezpieczeństwo w Komisji z upoważnienia członka Komisji odpowiedzialnego za bezpieczeństwo i na jego odpowiedzialność.

(7)

Podejście Komisji powinno uwzględniać inicjatywy polityczne UE oraz przepisy dotyczące bezpieczeństwa sieci i informacji, normy branżowe i dobre praktyki, aby było zgodne ze wszystkimi odpowiednimi przepisami i umożliwiało interoperacyjność i kompatybilność.

(8)

Departamenty Komisji odpowiedzialne za systemy teleinformatyczne powinny opracować i wdrożyć odpowiednie środki, a środki bezpieczeństwa informatycznego mające na celu ochronę systemów teleinformatycznych powinny być koordynowane w całej Komisji, by zapewnić ich wydajność i skuteczność.

(9)

Przepisy i procedury w zakresie dostępu do informacji w kontekście bezpieczeństwa IT, w tym reagowania na incydenty związane z bezpieczeństwem informacji, powinny być proporcjonalne do zagrożenia dla Komisji lub jej personelu i zgodne z zasadami ustanowionymi w rozporządzeniu (WE) nr 45/2001 Parlamentu Europejskiego i Rady (1) o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy unijne i o swobodnym przepływie takich danych, a także uwzględniać kwestie tajemnicy zawodowej, jak przewidziano w art. 339 TFUE.

(10)

Polityka i przepisy dotyczące systemów teleinformatycznych przetwarzających informacje niejawne UE (EUCI), szczególnie chronione informacje jawne i informacje jawne muszą być w pełni zgodne z decyzjami Komisji (UE, Euratom) 2015/443 (2) i (UE, Euratom) 2015/444 (3).

(11)

Komisja powinna dokonać przeglądu swoich przepisów dotyczących bezpieczeństwa systemów teleinformatycznych wykorzystywanych przez Komisję oraz uaktualnić te przepisy.

(12)

Należy zatem uchylić decyzję Komisji C(2006) 3602,

1)

„rozliczany” oznacza odpowiadający za działania, decyzje i wyniki;

2)

„CERT–UE” oznacza zespół reagowania na incydenty komputerowe w instytucjach i agencjach UE. Jego zadaniem jest wspieranie instytucji europejskich w zakresie ochrony przed umyślnymi i złośliwymi atakami, które mogłyby naruszyć integralność ich aktywów IT i narazić na szkodę interesy UE. Zakres działań CERT–UE obejmuje zapobieganie, wykrywanie, reagowanie i przywracanie;

3)

„departament Komisji” oznacza każdą dyrekcję generalną lub służbę Komisji lub każdy gabinet członka Komisji;

4)

„organ ds. bezpieczeństwa Komisji” odnosi się do roli ustanowionej w decyzji (UE, Euratom) 2015/444;

5)

„system teleinformatyczny” lub „CIS” oznacza każdy system umożliwiający przetwarzanie informacji w formie elektronicznej, w tym wszystkie zasoby niezbędne do jego działania, a także infrastrukturę, organizację, pracowników i zasoby informatyczne. Definicja ta obejmuje aplikacje biznesowe, wspólne usługi IT, systemy obsługiwane na zewnątrz oraz urządzenia użytkownika końcowego;

6)

„Rada Zarządzania Korporacyjnego” zapewnia najwyższy poziom nadzoru zarządzania korporacyjnego w zakresie kwestii operacyjnych i administracyjnych w Komisji;

7)

„właściciel danych” oznacza osobę odpowiedzialną za zapewnienie ochrony i wykorzystania konkretnych danych przetwarzanych przez CIS;

8)

„zbiór danych” oznacza zbiór informacji przeznaczony do celów konkretnego procesu biznesowego lub działania Komisji;

9)

„procedura awaryjna” oznacza uprzednio określony zbiór metod i obowiązków na potrzeby reagowania na nagłe sytuacje, mających zapobiec istotnemu oddziaływaniu na Komisję;

10)

„polityka w zakresie bezpieczeństwa informacji” oznacza zbiór celów związanych z bezpieczeństwem informacji, które są lub mają zostać ustanowione, wdrożone i sprawdzone. Obejmuje ona między innymi decyzje (UE, Euratom) 2015/444 i (UE, Euratom) 2015/443;

11)

„Rada Sterująca ds. Bezpieczeństwa Informacji” oznacza organ zarządzający, który wspiera Radę Zarządzania Korporacyjnego w jej zadaniach związanych z bezpieczeństwem IT;

12)

„wewnętrzny dostawca usług IT” oznacza departament Komisji świadczący wspólne usługi IT;

13)

„bezpieczeństwo IT” lub „bezpieczeństwo CIS” oznacza zachowanie poufności, integralności i dostępności CIS oraz zbiorów danych, które są w nich przetwarzane;

14)

„wytyczne w sprawie bezpieczeństwa IT” obejmują zalecane, ale dobrowolne środki, które mają na celu wsparcie norm bezpieczeństwa IT lub służą jako odniesienie w przypadku, w którym nie została wprowadzona żadna norma;

15)

„incydent związany z bezpieczeństwem IT” oznacza każde zdarzenie, które mogłyby negatywnie wpłynąć na poufność, integralność lub dostępność CIS;

16)

„środek bezpieczeństwa IT” oznacza środek techniczny lub organizacyjny mający na celu ograniczanie ryzyka związanego z bezpieczeństwem IT;

17)

„potrzeba w zakresie bezpieczeństwa IT” oznacza dokładną i jednoznaczną definicję poziomów poufności, integralności i dostępności związanych z informacją lub systemem IT w celu określenia wymaganego poziomu ochrony;

18)

„cel związany z bezpieczeństwem IT” oznacza oświadczenie o zamiarze przeciwdziałania określonym zagrożeniom lub spełnienia określonych organizacyjnych wymogów lub założeń związanych z bezpieczeństwem;

19)

„plan bezpieczeństwa IT” oznacza dokumentację środków bezpieczeństwa IT, które są wymagane, by spełnić potrzeby CIS w zakresie bezpieczeństwa IT;

20)

„polityka w zakresie bezpieczeństwa IT” oznacza zbiór celów związanych z bezpieczeństwem IT, które są lub mają zostać ustanowione, wdrożone i sprawdzone. Obejmuje ona niniejszą decyzję i jej przepisy wykonawcze;

21)

„wymóg bezpieczeństwa IT” oznacza potrzebę w zakresie bezpieczeństwa IT sformalizowaną za pośrednictwem uprzednio zdefiniowanego procesu;

22)

„ryzyko związane z bezpieczeństwem IT” oznacza wpływ, jaki zagrożenie dla bezpieczeństwa IT może wywrzeć na CIS, wykorzystując jego podatność; ryzyko związane z bezpieczeństwem IT jako takie charakteryzują dwa czynniki: 1) niepewność, tj. prawdopodobieństwo, że zagrożenie związane z bezpieczeństwem IT spowoduje niepożądane zdarzenie; oraz 2) wpływ, tj. konsekwencje, jakie tego rodzaju niepożądane zdarzenie może mieć dla CIS;

23)

„normy bezpieczeństwa IT” oznaczają szczególne obowiązkowe środki bezpieczeństwa IT, które ułatwiają egzekwowanie i wspieranie polityki w zakresie bezpieczeństwa IT;

24)

„strategia bezpieczeństwa IT” oznacza zbiór projektów i działań, które mają ułatwić realizację celów Komisji i które muszą zostać ustanowione, wdrożone i sprawdzone;

25)

„zagrożenie związane z bezpieczeństwem IT” oznacza czynnik mogący potencjalnie doprowadzić do niepożądanego zdarzenia, które może zaszkodzić CIS; tego rodzaju zagrożenia mogą być przypadkowe lub zamierzone i obejmują elementy zagrażające, potencjalne cele i metody ataku;

26)

„lokalny pełnomocnik ds. bezpieczeństwa teleinformatycznego” oznacza urzędnika odpowiedzialnego za kontakty w zakresie bezpieczeństwa IT w danym departamencie Komisji;

27)

„dane osobowe”, „przetwarzanie danych osobowych”, „administrator danych” i „zbiór danych osobowych” mają takie samo znaczenie jak w rozporządzeniu (WE) nr 45/2001, w szczególności w jego art. 2;

28)

„przetwarzanie informacji” oznacza wszystkie funkcje CIS w odniesieniu do zbiorów danych, w tym tworzenie, modyfikację, wyświetlanie, przechowywanie, przesyłanie, usuwanie i archiwizowanie informacji; CIS może zapewniać przetwarzanie informacji jako zbiór funkcji na potrzeby użytkowników i jako usługi IT w stosunku do innych CIS;

29)

„tajemnica zawodowa” oznacza ochronę informacji związanych z danymi biznesowymi objętych ze względu na swój charakter tajemnicą zawodową, a zwłaszcza informacji dotyczących przedsiębiorstw i ich stosunków handlowych lub kosztów własnych zgodnie z art. 339 TFUE;

30)

„odpowiedzialny” oznacza zobowiązany do działania i podejmowania decyzji w celu osiągnięcia wymaganych wyników;

31)

„bezpieczeństwo w Komisji” oznacza bezpieczeństwo osób, mienia i informacji w Komisji, a w szczególności integralność fizyczną osób i mienia, integralność, poufność i dostępność informacji i systemów teleinformatycznych, jak również swobodne funkcjonowanie działań Komisji;

32)

„wspólna usługa IT” oznacza usługę świadczoną przez CIS na rzecz innych CIS w zakresie przetwarzania informacji;

33)

„właściciel systemu” oznacza jednostkę odpowiedzialną w ogólnym ujęciu za udzielenie zamówienia na CIS, jego opracowywanie, integrację, modyfikację, działanie, utrzymywanie i wycofanie;

34)

„użytkownik” oznacza każdą osobę wykorzystującą funkcję zapewnianą przez CIS zarówno w samej Komisji, jak i poza nią.

a)

autentyczności: gwarancja, że informacje są prawdziwe i pochodzą z rzetelnych źródeł;

b)

dostępności: cecha polegająca na tym, że informacje są dostępne i gotowe do wykorzystania na wniosek uprawnionego podmiotu;

c)

poufności: cecha polegająca na tym, że informacje nie są ujawniane nieupoważnionym osobom lub podmiotom ani do celów nieuprawnionego przetwarzania;

d)

integralności: cecha polegająca na zachowywaniu dokładności i kompletności zasobów i informacji;

e)

niezaprzeczalności: możliwość udowodnienia, że działanie lub zdarzenie miało miejsce, aby następnie nie można było zaprzeczyć wystąpieniu tego działania lub zdarzenia.

f)

ochrony danych osobowych: zapewnianie odpowiednich zabezpieczeń w odniesieniu do danych osobowych jest w pełni zgodne z rozporządzeniem (WE) nr 45/2001;

g)

tajemnicy zawodowej: ochrona informacji objętych ze względu na swój charakter tajemnicą zawodową, a zwłaszcza informacji dotyczących przedsiębiorstw i ich stosunków handlowych lub kosztów własnych zgodnie z art. 339 TFUE.

1)

zapewnia dostosowanie polityki w zakresie bezpieczeństwa IT i polityki Komisji w zakresie bezpieczeństwa informacji;

2)

ustanawia ramy na potrzeby upoważnienia do stosowania technologii szyfrujących w zakresie przechowywania i przekazywania informacji za pośrednictwem CIS;

3)

informuje Dyrekcję Generalną ds. Informatyki o konkretnych zagrożeniach, które mogą mieć istotny wpływ na bezpieczeństwo CIS i zbiorów danych, które są w nich przetwarzane;

4)

przeprowadza kontrole bezpieczeństwa IT, aby ocenić zgodność CIS Komisji z polityką w zakresie bezpieczeństwa, oraz przedstawia ich wyniki Radzie Sterującej ds. Bezpieczeństwa Informacji;

5)

ustanawia ramy w zakresie upoważnienia dostępu do CIS Komisji z sieci zewnętrznych oraz powiązanych odpowiednich przepisów bezpieczeństwa, a także opracowuje odpowiednie normy bezpieczeństwa IT i wytyczne w sprawie bezpieczeństwa IT w ścisłej współpracy z Dyrekcją Generalną ds. Informatyki;

6)

proponuje zasady i przepisy dotyczące outsourcingu CIS, aby utrzymać właściwą kontrolę bezpieczeństwa informacji;

7)

opracowuje odpowiednie normy bezpieczeństwa IT oraz wytyczne w sprawie bezpieczeństwa IT w związku z art. 6, w ścisłej współpracy z Dyrekcją Generalną ds. Informatyki.

1)

opracowuje normy bezpieczeństwa IT oraz wytyczne w sprawie bezpieczeństwa IT, z wyjątkiem przewidzianych w art. 6, w ścisłej współpracy z Dyrekcją Generalną ds. Zasobów Ludzkich i Bezpieczeństwa w celu zapewnienia spójności między polityką w zakresie bezpieczeństwa IT a polityką Komisji w zakresie bezpieczeństwa informacji oraz przedstawia je Radzie Sterującej ds. Bezpieczeństwa Informacji;

2)

ocenia metody, procesy i wyniki zarządzania rodzajami ryzyka związanego z bezpieczeństwem IT w odniesieniu do wszystkich departamentów Komisji i składa regularnie sprawozdania na ten temat Radzie Sterującej ds. Bezpieczeństwa Informacji;

3)

przedstawia bieżącą strategię bezpieczeństwa IT Radzie Sterującej ds. Bezpieczeństwa Informacji do przeglądu i zatwierdzenia, a następnie przyjęcia przez Radę Zarządzania Korporacyjnego, oraz przedstawia program, w tym planowanie projektów i działań mających na celu wdrożenie strategii bezpieczeństwa IT;

4)

monitoruje realizację strategii bezpieczeństwa IT Komisji i składa regularnie sprawozdania na ten temat Radzie Sterującej ds. Bezpieczeństwa Informacji;

5)

monitoruje rodzaje ryzyka związanego z bezpieczeństwem IT i środki bezpieczeństwa IT wdrożone w CIS oraz składa regularnie sprawozdania na ten temat Radzie Sterującej ds. Bezpieczeństwa Informacji;

6)

składa regularnie Radzie Sterującej ds. Bezpieczeństwa Informacji sprawozdania na temat ogólnego wykonania i przestrzegania niniejszej decyzji;

7)

po konsultacjach z Dyrekcją Generalną ds. Zasobów Ludzkich i Bezpieczeństwa wymaga od właścicieli systemów podjęcia określonych środków bezpieczeństwa IT w celu ograniczenia rodzajów ryzyka związanego z bezpieczeństwem IT, na jakie narażone są CIS Komisji;

8)

zapewnia, aby właściciele systemów i właściciele danych mieli dostęp do odpowiedniego katalogu usług w zakresie bezpieczeństwa IT Dyrekcji Generalnej ds. Informatyki, dzięki któremu będą mogli wywiązać się ze swoich obowiązków związanych z bezpieczeństwem IT oraz stosować się do polityki w zakresie bezpieczeństwa IT i norm bezpieczeństwa IT;

9)

zapewnia właścicielom systemu i właścicielom danych odpowiednią dokumentację oraz konsultuje się z nimi, w stosownych przypadkach, w sprawie środków bezpieczeństwa IT wdrażanych na potrzeby ich usług IT w celu ułatwienia im zachowania zgodności z polityką w zakresie bezpieczeństwa IT oraz wspierania właścicieli systemów w zarządzaniu ryzykiem w obszarze IT;

10)

organizuje regularne spotkania sieci lokalnych pełnomocników ds. bezpieczeństwa teleinformatycznego (LISO) i wspiera ich w wykonywaniu ich obowiązków;

11)

określa potrzeby szkoleniowe i koordynuje programy szkoleniowe w zakresie bezpieczeństwa IT we współpracy z departamentami Komisji oraz opracowuje, wdraża i koordynuje kampanie na rzecz poszerzania wiedzy w obszarze bezpieczeństwa IT w ścisłej współpracy z Dyrekcją Generalną ds. Zasobów Ludzkich i Bezpieczeństwa;

12)

zapewnia, aby właściciele systemów, właściciele danych oraz inne podmioty pełniące funkcje związane z bezpieczeństwem IT w departamentach Komisji zapoznali się z polityką w zakresie bezpieczeństwa IT;

13)

powiadamia Dyrekcję Generalną ds. Zasobów Ludzkich i Bezpieczeństwa o określonych zagrożeniach związanych z bezpieczeństwem IT, incydentach i wyjątkach dotyczących polityki Komisji w zakresie bezpieczeństwa IT zgłoszonych przez właścicieli systemów, które mogły znacząco wpłynąć na bezpieczeństwo w Komisji;

14)

w związku ze swoją rolą wewnętrznego dostawcy usług IT przekazuje Komisji katalog wspólnych usług IT, które zapewniają określone poziomy bezpieczeństwa. Odbywa się to poprzez systematyczne ocenianie rodzajów ryzyka związanego z bezpieczeństwem IT, zarządzanie nim i monitorowanie w celu wdrożenia środków bezpieczeństwa dla osiągnięcia określonego poziomu bezpieczeństwa.

1)

w odniesieniu do każdego CIS – formalnie wyznacza właściciela systemu, będącego urzędnikiem lub pracownikiem zatrudnionym na czas określony, który będzie odpowiadał za bezpieczeństwo IT tego systemu, a także w odniesieniu do każdego zbioru danych przechowywanego w CIS – formalnie wyznacza właściciela danych, który powinien należeć do tej samej jednostki administracyjnej będącej administratorem danych w odniesieniu do zbiorów danych podlegających rozporządzeniu (WE) nr 45/2001;

2)

formalnie wyznacza lokalnego pełnomocnika ds. bezpieczeństwa teleinformatycznego, który może pełnić obowiązki niezależnie od właścicieli systemów i właścicieli danych. Lokalnego pełnomocnika ds. bezpieczeństwa teleinformatycznego można przypisać do jednego lub kilku departamentów Komisji;

3)

zapewnia, aby opracowane i wdrożone zostały odpowiednie oceny rodzajów ryzyka związanego z bezpieczeństwem IT oraz plany bezpieczeństwa IT;

4)

zapewnia regularne przekazywanie Dyrekcji Generalnej ds. Informatyki podsumowania rodzajów ryzyka i środków związanych z bezpieczeństwem IT;

5)

zapewnia, przy wsparciu Dyrekcji Generalnej ds. Informatyki, wprowadzanie odpowiednich procesów, procedur i rozwiązań celem zapewnienia efektywnego wykrywania, zgłaszania i rozwiązywania incydentów związanych z bezpieczeństwem IT ich systemów teleinformatycznych;

6)

uruchamia procedury awaryjne w przypadku zagrożenia bezpieczeństwa IT;

7)

spoczywa na nim ostateczna odpowiedzialność za bezpieczeństwo IT, co obejmuje obowiązki właściciela systemu i właściciela danych;

8)

jest właściwy w odniesieniu do rodzajów ryzyka dotyczącego jego systemów teleinformatycznych i zbiorów danych;

9)

rozstrzyga wszystkie spory między właścicielami danych a właścicielami systemów, a w przypadku utrzymywania się sporu przekazuje sprawę Radzie Sterującej ds. Bezpieczeństwa Informacji do rozstrzygnięcia;

10)

zapewnia wdrożenie planów bezpieczeństwa IT i środków bezpieczeństwa IT oraz odpowiednie uwzględnienie zagrożeń.

a)

zapewnia zgodność CIS z polityką w zakresie bezpieczeństwa IT;

b)

zapewnia dokładne zarejestrowanie CIS w stosownym wykazie;

c)

ocenia rodzaje ryzyka związanego z bezpieczeństwem IT i określa potrzeby w zakresie bezpieczeństwa IT w odniesieniu do każdego CIS, we współpracy z właścicielami danych i w porozumieniu z Dyrekcją Generalną ds. Informatyki;

d)

przygotowuje plan bezpieczeństwa, w tym, w stosownych przypadkach, szczegółowe informacje na temat ocenionych rodzajów ryzyka oraz wszelkich dodatkowych wymaganych środków bezpieczeństwa;

e)

wdraża odpowiednie środki bezpieczeństwa IT, proporcjonalne do zidentyfikowanych rodzajów ryzyka związanego z bezpieczeństwem IT, i postępuje zgodnie z zaleceniami zatwierdzonymi przez Radę Sterującą ds. Bezpieczeństwa Informacji;

f)

określa wszelkie zależności od innych systemów teleinformatycznych lub wspólnych usług IT oraz, w stosownych przypadkach, wdraża środki bezpieczeństwa na podstawie poziomów bezpieczeństwa zaproponowanych przez te systemy teleinformatyczne lub wspólne usługi IT;

g)

zarządza rodzajami ryzyka związanego z bezpieczeństwem IT i je monitoruje;

h)

regularnie zgłasza szefowi departamentu Komisji profil ryzyka związanego z bezpieczeństwem IT swojego CIS oraz powiadamia Dyrekcję Generalną ds. Informatyki o powiązanych rodzajach ryzyka, działaniach z zakresu zarządzania ryzykiem oraz podjętych środkach bezpieczeństwa;

i)

konsultuje z lokalnym pełnomocnikiem ds. bezpieczeństwa teleinformatycznego z odpowiedniego departamentu Komisji kwestie związane z bezpieczeństwem IT;

j)

wydaje instrukcje dla użytkowników dotyczące korzystania z CIS i powiązanych danych oraz dotyczące obowiązków użytkowników związanych z CIS;

k)

działając jako organ ds. kryptograficznych, wymaga od Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa upoważnienia w odniesieniu do każdego CIS korzystającego z technologii szyfrowania;

l)

z wyprzedzeniem konsultuje się z organem ds. bezpieczeństwa Komisji w sprawie każdego systemu przetwarzania informacji niejawnych UE;

m)

zapewnia przechowywanie kopii zapasowych wszystkich kluczy deszyfrujących w depozycie. Odzyskiwanie zaszyfrowanych danych przeprowadza się tylko wtedy, gdy jest to dozwolone zgodnie z ramami określonymi przez Dyrekcję Generalną ds. Zasobów Ludzkich i Bezpieczeństwa;

n)

przestrzega przekazanych przez odpowiedniego administratora danych instrukcji, które dotyczą ochrony danych osobowych oraz stosowania przepisów o ochronie danych na temat bezpieczeństwa przetwarzania danych;

o)

powiadamia Dyrekcję Generalną ds. Informatyki o wszelkich odstępstwach od polityki Komisji w zakresie bezpieczeństwa IT, w tym o odpowiednich uzasadnieniach;

p)

zgłasza szefowi departamentu Komisji wszelkie nierozwiązywalne spory między właścicielem danych a właścicielem systemu oraz, stosownie do przypadku, powiadamia w odpowiednim czasie odpowiednie zainteresowane strony o incydentach związanych z bezpieczeństwem IT w zależności od ich stopnia zagrożenia zgodnie z art. 15;

q)

w odniesieniu do systemów zewnętrznych zapewnia uwzględnienie odpowiednich przepisów dotyczących bezpieczeństwa IT w umowach outsourcingowych oraz zgłoszenie incydentów związanych z bezpieczeństwem IT występujących w zewnętrznym CIS zgodnie z art. 15;

r)

w odniesieniu do CIS zapewniającego wspólne usługi IT zapewnia i jasno dokumentuje określony poziom bezpieczeństwa oraz zapewnia wdrożenie środków bezpieczeństwa w odniesieniu do tego CIS w celu osiągnięcia określonego poziomu bezpieczeństwa.

a)

zapewnia właściwą klasyfikację wszystkich zbiorów danych, za które odpowiada, zgodnie z decyzjami (UE, Euratom) 2015/443 i (UE, Euratom) 2015/444;

b)

określa potrzeby w zakresie bezpieczeństwa informacji i informuje odpowiednich właścicieli systemów o tych potrzebach;

c)

uczestniczy w ocenie ryzyka dotyczącej CIS;

d)

zgłasza szefowi departamentu Komisji wszelkie nierozwiązywalne spory między właścicielem danych a właścicielem systemu;

e)

zgłasza incydenty związane z bezpieczeństwem IT, jak przewidziano w art. 15.

a)

aktywnie identyfikuje właścicieli systemów, właścicieli danych i inne podmioty pełniące funkcje związane z bezpieczeństwem IT w departamentach Komisji oraz informuje ich o polityce w zakresie bezpieczeństwa IT;

b)

w ramach sieci lokalnych pełnomocników ds. bezpieczeństwa teleinformatycznego kontaktuje się z Dyrekcją Generalną ds. Informatyki w sprawach dotyczących bezpieczeństwa IT w departamentach Komisji;

c)

uczestniczy w organizowanych regularnie spotkaniach lokalnych pełnomocników ds. bezpieczeństwa teleinformatycznego;

d)

prowadzi przegląd procesu zarządzania ryzykiem związanym z bezpieczeństwem informacji oraz przegląd procesu opracowywania i wdrażania planów bezpieczeństwa w odniesieniu do systemów informatycznych;

e)

doradza właścicielom danych, właścicielom systemów i szefom departamentów Komisji w kwestiach związanych z bezpieczeństwem IT;

f)

wspólnie z Dyrekcją Generalną ds. Informatyki rozpowszechnia dobre praktyki w zakresie bezpieczeństwa IT oraz proponuje określone programy uświadamiające i szkoleniowe;

g)

przedkłada szefowi departamentu Komisji sprawozdania dotyczące bezpieczeństwa IT oraz określa braki i usprawnienia.

a)

postępują zgodnie z polityką w zakresie bezpieczeństwa IT i wydanymi przez właściciela systemu instrukcjami dotyczącymi korzystania z danego CIS;

b)

zgłaszają incydenty związane z bezpieczeństwem IT, jak przewidziano w art. 15.

a)

ma prawo dostępu do informacji zbiorczych zawartych we wszystkich rejestrach incydentów i pełnych rejestrów po złożeniu stosownego wniosku;

b)

uczestniczy w działaniach grup ds. zarządzania sytuacjami kryzysowymi obejmującymi incydenty związane z bezpieczeństwem IT oraz w procedurach awaryjnych związanych z bezpieczeństwem IT;

c)

odpowiada za kontakty z organami ścigania i służbami wywiadowczymi;

d)

wykonuje analizę kryminalistyczną dotyczącą bezpieczeństwa cybernetycznego zgodnie z art. 11 decyzji (UE, Euratom) 2015/443;

e)

podejmuje decyzje w sprawie wszczęcia formalnego postępowania;

f)

powiadamia Dyrekcję Generalną ds. Informatyki o wszelkich incydentach związanych z bezpieczeństwem IT, które mogą zagrażać innym CIS.

a)

niezwłocznie powiadamiają swoich szefów departamentów Komisji, Dyrekcję Generalną ds. Informatyki, Dyrekcję Generalną ds. Zasobów Ludzkich i Bezpieczeństwa, lokalnego pełnomocnika ds. bezpieczeństwa teleinformatycznego oraz, w stosownych przypadkach, właściciela danych o wszelkich poważnych incydentach związanych z bezpieczeństwem IT, w szczególności tych, które dotyczą naruszenia poufności danych;

b)

współpracują z odpowiednimi organami Komisji i przestrzegają ich instrukcji dotyczących zgłaszania incydentów, reagowania na nie i stosowania środków zaradczych.