EVROPSKA KOMISIJA

Strasbourg, 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Predlog

UREDBA EVROPSKEGA PARLAMENTA IN SVETA

o Agenciji Evropske unije za kibernetsko varnost (ENISA), evropskem certifikacijskem okviru za kibernetsko varnost in varnosti dobavne verige IKT ter razveljavitvi Uredbe (EU) 2019/881 (Akt o kibernetski varnosti 2)

(Besedilo velja za EGP)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

OBRAZLOŽITVENI MEMORANDUM

1.OZADJE PREDLOGA

•Razlogi za predlog in njegovi cilji

Glede na to ozadje si ta predlagana revizija akta o kibernetski varnosti prizadeva obravnavati štiri glavne težave: (i) neusklajenost med okvirom politike Unije za kibernetsko varnost in potrebami deležnikov v vse bolj sovražnem okolju groženj, (ii) zastalo izvajanje evropskega certifikacijskega okvira za kibernetsko varnost, (iii) zapletenost in raznolikost politik, povezanih s kibernetsko varnostjo, ki vplivajo na položaj kibernetske varnosti Unije, ter (iv) naraščajoča varnostna tveganja v dobavnih verigah IKT.

Glede na ugotovljene glavne težave sta splošna cilja tega posredovanja povečanje zmogljivosti in odpornosti na področju kibernetske varnosti ter preprečevanje razdrobljenosti na enotnem trgu s:

·prispevanjem h krepitvi upravljanja kibernetske varnosti Unije in pomočjo pri zagotavljanju, da so zadevne institucije, organi in drugi deležniki bolje pripravljeni na usklajeno in učinkovito preprečevanje in odkrivanje kibernetskih groženj ter odzivanje nanje, ter

·podpiranjem razvoja, izvajanja in uvajanja skupnih instrumentov Unije za kibernetsko varnost, kot so certifikacijske sheme, ter zagotavljanjem harmoniziranih okvirov, ki krepijo zaupanje in interoperabilnost med državami članicami.

Ta splošna cilja sta odziv na ključne izzive, ugotovljene v opredelitvi problema. Odražata krovni cilj politike, in sicer krepitev upravljanja kibernetske varnosti v Uniji ter podporo razvoju varnega, odpornega in konkurenčnega enotnega digitalnega trga.

Za pomoč pri doseganju zgoraj navedenih splošnih ciljev si to posredovanje prizadeva za naslednje specifične cilje:

·za odpravo neusklajenosti med okvirom politike Unije za kibernetsko varnost in potrebami deležnikov:

·specifični cilj 1: vzpostaviti zmogljivosti za učinkovito izvajanje politik Unije na področju kibernetske varnosti ter zagotoviti stalno operativno sodelovanje, ki omogoča bolj strukturirano sodelovanje med državami članicami;

·specifični cilj 2: razvijati in izvajati sredstva in mehanizme za učinkovito podporo potrebam držav članic, industrije in drugih deležnikov ter obravnavanje teh potreb;

·za reševanje omejenega uvajanja in učinkovitosti evropskega certifikacijskega okvira za kibernetsko varnost:

·specifični cilj 3: ustvariti pogoje za hitrejšo pripravo certifikacijskih shem za kibernetsko varnost, ki jih narekujejo potrebe trga, z razširitvijo področja uporabe evropskega certifikacijskega okvira za kibernetsko varnost, zagotavljanjem učinkovitega vzdrževanja in prožnih postopkov ter povečanjem preglednosti;

·za obravnavanje razdrobljenega okolja skladnosti in zapletenosti horizontalnih in sektorskih okvirov:

·specifični cilj 4: vzpostaviti mehanizme in pogoje za lažje izpolnjevanje zahtev glede kibernetske varnosti, s čimer bo njihovo izvajanje bolj usklajeno in učinkovitejše;

·za obravnavanje tveganj za kibernetsko varnost v dobavni verigi:

·specifični cilj 5: zmanjšati tveganja za kritične dobavne verige IKT zaradi subjektov s sedežem v tretjih državah, za katere obstajajo pomisleki glede kibernetske varnosti (dobavitelji z visokim tveganjem), ali subjektov pod nadzorom subjektov iz takih tretjih držav ter zmanjšati kritične odvisnosti z razvojem skladnega in učinkovitega okvira na ravni EU za obravnavanje tveganj za varnost dobavne verige IKT.

Revizija akta o kibernetski varnosti spada v okvir programa primernosti in uspešnosti predpisov. Močno prispeva k izboljšanju jasnosti, odpravi neučinkovitosti in uskladitvi postopkov v različnih pravnih okvirih. Revizija akta o kibernetski varnosti prispeva k pravilnemu delovanju notranjega trga, hkrati pa zagotavlja varnost in strateško avtonomijo Unije.

Natančneje, predlaga celovito reformo mandata Agencije Evropske unije za kibernetsko varnost (ENISA), ki zagotavlja učinkovito podporo izvajanju politik ter dodano vrednost pri podpori operativnemu sodelovanju med državami članicami.

Glede na vse večja tveganja in izzive na področju kibernetske varnosti, s katerimi se spopada Unija, je cilj predloga povečati finančne in človeške vire agencije ENISA, da bi ustrezali njeni okrepljeni vlogi, nalogam in njenemu kritičnemu položaju pri obrambi digitalnega ekosistema Unije, kar bi agenciji ENISA omogočilo učinkovito izvajanje nalog, ki so nanjo prenesene s tem predlogom.

Revizija bo prav tako pripomogla k odpravi razdrobljenih praks, izboljšanju usklajevanja ter dolgoročnemu znižanju stroškov izpolnjevanja obveznosti in operativnih stroškov. Predlog z razveljavitvijo sedanjega akta o kibernetski varnosti in uvedbo reformiranega evropskega certifikacijskega okvira za kibernetsko varnost zagotavlja učinkovitejše in uspešnejše orodje, ki spodbuja zaupanje med podjetji, splošno javnostjo in javnimi organi ter olajšuje skladnost z zadevno zakonodajo Unije. Učinkovitost povečuje z revizijo modela upravljanja in podporo bolj predvidljivim, skladnejšim in prožnejšim postopkom certificiranja, da se omogočita hitrejši razvoj in izvajanje sheme.

Večje sinergije z zadevnimi obstoječimi pravnimi okviri Unije bodo spodbujale certificiranje kot orodje za zagotavljanje skladnosti za podjetja ter zmanjšale upravno breme za organe za ugotavljanje skladnosti, ki delujejo na podlagi več zakonodajnih aktov o kibernetski varnosti. Poleg tega predlog z razširitvijo področja uporabe evropskega certifikacijskega okvira za kibernetsko varnost in omogočanjem razvoja sheme za položaj kibernetske varnosti v subjektih zmanjšuje stroške izpolnjevanja obveznosti za subjekte, za katere velja zadevna zakonodaja Unije o kibernetski varnosti, začenši s subjekti, ki so vključeni na področje uporabe revidirane direktive o varnosti omrežij in informacijskih sistemov (direktiva NIS 2). Ta pristop bo znatno poenostavil regulativne obveznosti za subjekte, za katere velja več zahtev glede skladnosti, in zagotovil učinkovitejšo uporabo virov nacionalnih organov. Poleg te revizije je cilj predloga direktive o uvedbi ciljno usmerjenih sprememb direktive NIS 2 poenostaviti izpolnjevanje obveznosti in zagotoviti racionalizirano ter usklajeno izvajanje posebnih vidikov okvira za kibernetsko varnost, tudi glede področja uporabe, opredelitev, poročanja o izsiljevalskem programju in nadzora subjektov, ki zagotavljajo čezmejne storitve.

Nova uredba vzpostavlja tudi harmoniziran okvir za obravnavanje netehničnih tveganj, ki vplivajo na dobavne verige IKT, s tem pa se zmanjšuje sedanja razdrobljenost pristopov v državah članicah. Ti vidiki skupaj pomenijo znatno poenostavitev in posodobitev pravnega okvira Unije za kibernetsko varnost, ki je v celoti usklajen z načeli programa primernosti in uspešnosti predpisov glede jasnosti, učinkovitosti in digitalne pripravljenosti.

•Skladnost z veljavnimi predpisi s področja zadevne politike

Unija je razširila svoja pravna orodja in orodja politike s sprejetjem številnih pravnih instrumentov in ukrepov politike: (i) direktiva NIS 2 krepi kibernetsko varnost kritične infrastrukture, (ii) ukrepi fizične varnosti so opredeljeni v sorodni direktivi, to je v direktivi o odpornosti kritičnih subjektov, (iii) akt o kibernetski odpornosti krepi kibernetsko varnost proizvodov, (iv) akt o kibernetski solidarnosti vzpostavlja zmogljivosti za odzivanje na ravni EU, (v) načrt EU za kibernetsko varnost 7 podpira sodelovanje na ravni EU na področju kriznega upravljanja, pri katerem imata Komisija in visoki predstavnik ključno vlogo pri pripravi na kibernetske incidente velikih razsežnosti in odzivanju nanje, (vi) nabor orodij za kibernetsko varnost omrežij 5G podpira kibernetsko varnost v omrežjih 5G, (vii) evropski akcijski načrt za kibernetsko varnost bolnišnic in izvajalcev zdravstvenih dejavnosti 8 si prizadeva izboljšati njihovo kibernetsko varnost in (viii) akademija za kibernetske veščine 9 obravnava vse večji izziv vrzeli talentov na področju kibernetske varnosti.

•Skladnost z drugimi politikami Unije

2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST

•Pravna podlaga

•Subsidiarnost (za neizključno pristojnost)

Ukrepi, ki jih zajema predlagana uredba, zagotavljajo jasno dodano vrednost, saj podpirajo harmonizacijo, pravno jasnost in usklajene odzive na izzive na področju kibernetske varnosti.

•Sorazmernost

•Izbira instrumenta

3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z DELEŽNIKI IN OCEN UČINKA

•Naknadne ocene/preverjanja primernosti obstoječe zakonodaje

·Ustreznost: pomen agencije ENISA na področju kibernetske varnosti potrjujeta njena odzivnost na nastajajoče potrebe deležnikov in prilagodljivost spreminjajočemu se okolju. Čeprav je zadovoljstvo deležnikov na splošno pozitivno, obstajajo priložnosti za povečanje učinka agencije ENISA. To je mogoče doseči z izboljšanjem podpore in prepoznavnosti različnih sektorjev, zlasti malih in srednjih podjetij, ki imajo pogosto težave z zahtevami glede kibernetske varnosti. Boljša organizacija virov in jasnejše usklajevanje z nacionalnimi organi sta bistvena. Ponovna prednostna razvrstitev dejavnosti in optimizacija obstoječih virov bosta agencijo ENISA bolje uskladili z dinamičnimi potrebami evropskega okolja kibernetske varnosti.

V zvezi z evropskim certifikacijskim okvirom za kibernetsko varnost se kljub obetavni zasnovi še vedno šteje, da ima okvir več potenciala kot dejanskega učinka, saj je pred kratkim začela delovati le ena shema certificiranja. Okvir je zasnovan tako, da se nemoteno povezuje z drugimi pravnimi akti Unije, da bi racionaliziral postopke in olajšal čezmejno trgovino. Njegov pomen je poudarjen na področjih z visoko stopnjo zanesljivosti, kot so storitve v oblaku in infrastrukture 5G.

·Uspešnost: agencija ENISA je uspešno izpolnila svoj mandat, saj je dosegla skoraj vse načrtovane rezultate ter izkazala prožnost in odpornost v kriznih razmerah, kot sta pandemija COVID-19 in vojna agresija Rusije proti Ukrajini. Vendar so za povečanje učinkovitosti potrebni boljše določanje prednostnih nalog, jasnejša osredotočenost in strateška razporeditev virov. Prožnejši pristop k notranjemu upravljanju je ključen za prilagajanje nastajajočim zahtevam na področju kibernetske varnosti in za zmanjšanje zamud.

Evropski certifikacijski okvir za kibernetsko varnost je bil namenjen harmonizaciji certificiranja kibernetske varnosti po vsej Uniji, vendar se je srečeval z velikimi izzivi, vključno s postopkovnimi omejitvami in razdrobljenostjo, kar je povzročilo zamude in neučinkovitosti, kot je zamuda pri sprejetju evropske certifikacijske sheme za kibernetsko varnost, ki temelji na skupnih merilih. Zunanji dejavniki, kot so geopolitične napetosti in pandemija COVID-19, so dodatno otežili doseganje ciljev evropskega certifikacijskega okvira za kibernetsko varnost, pri tem pa so poudarili potrebo po prilagodljivih ukrepih in doslednemu dodeljevanju virov med deležniki, da bi dosegli enotnost in učinkovitost certificiranja kibernetske varnosti. Kljub tem oviram so bili doseženi pozitivni rezultati, zlasti pri ozaveščanju držav članic o pomenu in zapletenosti certificiranja kibernetske varnosti.

·Učinkovitost: agencija ENISA je učinkovito delovala v skladu s svojim organizacijskim okvirom, ki temelji na matriki, ter spodbujala sodelovanje in prednostno razvrščanje nalog. Vendar se je srečevala z izzivi pri izpolnjevanju vse večjih zahtev in zapolnjevanju specializiranih delovnih mest, kar je še poslabšalo svetovno pomanjkanje strokovnjakov za IT, zaradi česar so nastajale zamude in velika delovna obremenitev. Za reševanje teh težav bi lahko agencija ENISA optimizirala svojo notranjo delovno silo in učinkovito prerazporedila vire, kot dokazujejo strateške prilagoditve, na primer preusmeritev virov v podporni ukrep za kibernetsko varnost leta 2022. Poleg tega bi se z izboljšanjem upravljanja proračuna in zmanjšanjem upravnih odhodkov dodatno izboljšala operativna učinkovitost agencije.

Učinkovitost evropskega certifikacijskega okvira za kibernetsko varnost je bila kritizirana zaradi podaljšanih rokov za sprejetje certifikacijskih shem za kibernetsko varnost in zapletenih postopkov, saj je bila prva shema sprejeta šele v začetku leta 2024, skoraj pet let po sprejetju akta o kibernetski varnosti. Politični in tehnični izzivi, kot so razprave o podatkovni suverenosti in težave pri prenosu osnutkov v pravne akte, so prispevali k zamudam. Politični izzivi in tehnične zahteve so ovirali napredek, kot je razvidno iz certifikacijske sheme EU za varnost v oblaku in sheme EU5G. Kljub tem neučinkovitostim ima okvir več pozitivnih vidikov. Še vedno pa je treba izboljšati vključevanje deležnikov in notranje upravljanje, da se zagotovita optimalno delovanje in strateški prispevek.

·Skladnost: skladnost agencije ENISA podpirata intenzivno sodelovanje deležnikov in usklajenost z nedavnimi zakonodajnimi okviri. Vendar je za povečanje skladnosti in učinkovitejšo razporeditev virov bistveno izboljšati sinergije z drugimi organi Unije, kot je Evropski industrijski, tehnološki in raziskovalni kompetenčni center za kibernetsko varnost (ECCC), ter nacionalnimi organi. Poleg tega je treba izboljšati notranjo komunikacijo in upravljanje virov v agenciji ENISA ter zagotoviti pregledno sodelovanje z zasebnimi deležniki. Jasna razmejitev nalog agencije ENISA, skladna z aktom o kibernetski varnosti in direktivo NIS 2, bo izboljšala tako učinkovitost kot regulativno skladnost.

Popolna skladnost evropskega certifikacijskega okvira za kibernetsko varnost z drugimi zakonodajnimi instrumenti Unije, vključno z direktivo NIS 2 ter aktom o kibernetski odpornosti, je ključna za zagotovitev enotnega pristopa h kibernetski varnosti. Čeprav evropski certifikacijski okvir za kibernetsko varnost kaže teoretično usklajenost s temi zakonodajnimi ukrepi, pa je integracija v realnih razmerah še vedno zapletena in zahteva skrben nadzor. Izvajanje sprejete evropske certifikacijske sheme za kibernetsko varnost v okviru akta o kibernetski odpornosti bo v zvezi s tem pomemben preizkus.

·Dodana vrednost EU: agencija ENISA je s spodbujanjem sodelovanja in usklajevanjem praks znatno prispevala k ekosistemu kibernetske varnosti Unije. Njena vloga pri spodbujanju nacionalnih prizadevanj in zagotavljanju vpogleda v nastajajoče grožnje je bila ključna. Vendar pa kritike deležnikov iz zasebnega sektorja glede potrebe po bolj prilagojeni podpori kažejo na potrebo po izboljšanem vključevanju deležnikov in sodelovanju z industrijo. Strateška ponovna ocena upravljanja virov bi agenciji ENISA omogočila, da se bolje prilagodi spreminjajočim se izzivom na področju kibernetske varnosti in učinkoviteje deluje v korist različnih deležnikov. Namen evropskega certifikacijskega okvira za kibernetsko varnost je bil uvesti harmonizirane postopke certificiranja, vendar se je zaradi daljših rokov in razdrobljenosti srečeval z izzivi pri izvajanju. Dodana vrednost evropskega certifikacijskega okvira za kibernetsko varnost je bila omejena zaradi pomanjkljivosti pri doseganju njegovih ciljev in pomanjkanja učinkovitosti. Kljub tem izzivom je evropski certifikacijski okvir za kibernetsko varnost izboljšal harmonizacijo med državami članicami in vzpostavil boljše priložnosti za sodelovanje, zlasti z vzpostavitvijo forumov za sodelovanje deležnikov, kot je evropska certifikacijska skupina za kibernetsko varnost.

•Posvetovanja z deležniki

V obdobju 2023–2025 je bilo izvedenih več posvetovanj z deležniki v okviru ocene akta o kibernetski varnosti in revizije akta o kibernetski varnosti, kot je navedeno v nadaljevanju.

–Leta 2023 je bilo opravljenih 65 intervjujev (od jih je bilo 52 bolj osredotočenih na agencijo ENISA, 13 pa predvsem na evropski certifikacijski okvir za kibernetsko varnost), izveden je bil program ankete, v okviru katerega je bilo prejetih 209 odgovorov (od tega 70 o evropskem certifikacijskem okviru za kibernetsko varnost), zaključeno je bilo javno posvetovanje, organizirani pa sta bili tudi dve delavnici o analizi SWOT (analiza prednosti, slabosti, priložnosti in nevarnosti) in priporočilih s 26 oziroma 70 udeleženci. Namen teh dejavnosti je bil zlasti zbrati mnenja deležnikov za oceno učinka, uspešnosti in učinkovitosti agencije ENISA. Končno poročilo študije v podporo oceni Agencije Evropske unije za kibernetsko varnost (ENISA) in evropskega certifikacijskega okvira za kibernetsko varnost, ki so jo za Komisijo izvedli PwC, Intellera Consulting in PPMI (2024) je bilo zaključeno decembra 2024. 

–Leta 2025 je Komisija objavila poziv k predložitvi dokazov. Deležnike je zlasti pozvala, naj predložijo pisne prispevke, vključno z dokumenti o stališčih, tehničnimi poročili ali pripombami na posamezne predloge reform.  Skupno je bilo prejetih 184 posameznih prispevkov iz najrazličnejših kategorij deležnikov, vključno z industrijskimi združenji, podjetji za kibernetsko varnost, malimi in srednjimi podjetji, akademskimi ustanovami in organizacijami v javnem interesu.

–Med aprilom in junijem 2025 je Komisija v okviru revizije akta o kibernetski varnosti organizirala javno posvetovanje in prejela 193 odgovorov. Posvetovanje je obsegalo 38 zaprtih in odprtih vprašanj, ki so se nanašala na mandat agencije ENISA, evropski certifikacijski okvir za kibernetsko varnost, varnost dobavne verige IKT in poenostavitve.

–Ciljno usmerjena posvetovanja (intervjuji): izvedenih je bilo več polstrukturiranih intervjujev z izbranimi deležniki. Med njimi so bili predstavniki agencije ENISA ter nacionalni javni organi, ki so razvili ali upravljajo nacionalne platforme za poročanje. Intervjuji so bili osredotočeni na vlogo in zmogljivosti agencije ENISA, operativno delovanje evropskega certifikacijskega okvira za kibernetsko varnost, praktične izzive pri usklajevanju postopkov certificiranja na nacionalni ravni in ravni Unije, bremena poročanja ter ovire pri izvajanju. Te razprave so zagotovile kvalitativna spoznanja, ki so obogatila razlago rezultatov javnega posvetovanja in podprla izboljšanje možnosti politike.

–Posvetovanje s predstavniki držav članic v okviru delovne skupine Sveta 19 in v dvostranskih pogovorih, na katerem so lahko države članice izrazile svoja stališča o pregledu akta o kibernetski varnosti.

–Ciljno usmerjeno posvetovanje (skupine evropskega certifikacijskega okvira za kibernetsko varnost – evropska certifikacijska skupina za kibernetsko varnost, certifikacijska skupina deležnikov za kibernetsko varnost): Komisija je kot predsedujoča obema skupinama na sejah evropske certifikacijske skupine za kibernetsko varnost 12. marca in 3. julija 2025 ter na seji certifikacijske skupine deležnikov za kibernetsko varnost 17. marca 2025 predstavila trenutno stanje glede revizije akta o kibernetski varnosti. Poleg tega so bila z vprašalniki zbrana dodatna strokovna mnenja članov evropske certifikacijske skupine za kibernetsko varnost.

·mandat in operativno vlogo agencije ENISA, vključno s podporo državam članicam in strokovnim znanjem na področju nastajajočih tehnologij,

·učinkovitost evropskega certifikacijskega okvira za kibernetsko varnost, vključno s postopki upravljanja in razvoja,

·zapletenost in razdrobljenost obveznosti na področju kibernetske varnosti, s poudarkom na bremenu poročanja in morebitni poenostavitvi,

·sorazmernost zahtev za mala in srednja podjetja ter možnosti za diferencirane poti skladnosti ter

·družbene in gospodarske vplive harmoniziranih pravil o kibernetski varnosti, vključno z vplivi na potrošnike, pravice, inovacije in konkurenčnost.

•Ocena učinka

Končni predlog glede politike ne odstopa od možnosti, ocenjenih v oceni učinka.

Možnosti za odpravo neusklajenosti okvira politike Unije za kibernetsko varnost in potrebami deležnikov v vse bolj sovražnem okolju

Možnosti za evropski certifikacijski okvir za kibernetsko varnost

Možnost B.1: pojasnitev področja uporabe, elementov in ciljev evropskega certifikacijskega okvira za kibernetsko varnost ter uvedba mehanizma vzdrževanja – ta možnost bi uvedla nov mehanizem vzdrževanja shem po njihovem sprejetju, ki bi ga izvajala agencija ENISA.

Možnost B.2: reforma evropskega certifikacijskega okvira za kibernetsko varnost z revizijo njegovih postopkov in razširitvijo področja uporabe za olajšanje poenostavitve regulativne skladnosti – ta možnost bi razveljavila akt o kibernetski varnosti in ga nadomestila z novo uredbo. Poleg možnosti B.1 bi se postopki v zvezi z zahtevo, razvojem in sprejetjem shem revidirali, da bi se izboljšali odgovornost in učinkovitost.

Možnost B.3: reforma evropskega certifikacijskega okvira za kibernetsko varnost, kot je predvidena v možnosti B.2, in uvedba obveznega certificiranja položaja kibernetske varnosti – ta možnost bi temeljila na možnosti B.2, vendar si prizadeva še dodatno povečati učinek okvira z uvedbo obveznega certificiranja bistvenih subjektov ob upoštevanju posebnih scenarijev tveganja, namesto zanašanja zgolj na prostovoljno certificiranje subjektov.

Možnosti za poenostavitev

Možnost C.1: sprejetje pristopa mehkega prava in nezakonodajnih instrumentov, vključno z uporabo obstoječih pooblastil (sprejetje izvedbenih aktov v skladu s členom 21(5) in členom 23(11) direktive NIS 2) – ta možnost predvideva sprejetje izvedbenih aktov z uporabo obstoječih pooblastil iz direktive NIS 2, da se zagotovi višja stopnja harmonizacije ukrepov za obvladovanje tveganj za kibernetsko varnost, pragov za poročanje o incidentih ter vrste informacij, oblik in postopka priglasitev. Predvideva tudi sprejetje sklopa smernic za izboljšanje pravne varnosti in usklajenega izvajanja.

Možnost C.2: ciljno usmerjeno posredovanje – nadaljnja poenostavitev skladnosti z zadevnim zakonodajnim okvirom Unije za kibernetsko varnost – ta možnost vključuje omejeno posredovanje s spremembami akta o kibernetski varnosti in direktive NIS 2 z namenom poenostavitve določenih vidikov okvira za kibernetsko varnost, vključno s prilagoditvami področja uporabe, čim večjo harmonizacijo za izvedbene akte, dokazovanjem skladnosti s certificiranjem ter sprejetjem sklopa smernic, kot je predvideno v možnosti C.1.  

Možnost D.1: uporaba pristopa mehkega prava za obravnavanje tveganj za kibernetsko varnost v dobavnih verigah IKT – ta možnost ne bi predvidevala regulativnega posredovanja na ravni EU. Namesto tega bi Komisija povečala število usklajenih ocen tveganja in prostovoljnih naborov orodij.

Možnost D.2: priložnostno regulativno posredovanje za kodifikacijo nabora orodij za kibernetsko varnost omrežij 5G – ta možnost bi kodificirala ukrepe iz nabora orodij za kibernetsko varnost omrežij 5G. Uvedla bi obveznost za države članice, da zagotovijo, da se komponente dobaviteljev z visokim tveganjem ne uporabljajo v ključnih sredstvih omrežja.

Ta kombinacija zagotavlja uravnotežen odziv na opredeljene izzive politike ter znatno povečuje uspešnost, učinkovitost in skladnost po vsej Uniji.

Hkrati naj bi racionalizirane in zmanjšane obveznosti glede skladnosti podjetjem v petih letih zagotovile prihranke pri stroških v višini do 15,3 milijarde EUR. Poleg tega bi izboljšanje splošnega položaja kibernetske varnosti in tehnološke suverenosti Unije ter spodbujanje inovacij in konkurenčnosti imela pomembne koristi za splošno javnost, javne organe in podjetja. Pričakuje se, da bo to dolgoročno v veliki meri izravnalo začetne izdatke.

Z zmanjšanjem razdrobljenosti trga in harmonizacijo regulativnih zahtev izbrane možnosti krepijo enake konkurenčne pogoje po vsej Uniji ter podjetjem zagotavljajo jasnejše poti do skladnosti in inovacij.

•Primernost in poenostavitev ureditve

•Temeljne pravice

Zakonodajni predlog je bil ocenjen glede na njegov potencial za krepitev ali ogrožanje temeljnih pravic ter spodbujanje enakosti in zaupanja, s posebnim poudarkom na družbenih učinkih in pravicah, vključno z zasebnostjo, varstvom podatkov ter zmožnostjo posameznikov, da razumejo, izvršujejo in uveljavljajo svoje pravice.

Razširitev mandata agencije ENISA bo prispevala k splošni večji kibernetski odpornosti v gospodarstvu in družbi, kar bo omogočilo boljše varstvo zasebnosti in osebnih podatkov ljudi. Predlog bo prav tako podprl izobraževanje in usposabljanje o kibernetski varnosti, saj pojasnjuje vlogo agencije ENISA pri razvoju spretnosti za delovno silo na področju kibernetske varnosti.

Poleg tega bo evropski certifikacijski okvir za kibernetsko varnost izboljšal zaupanje širše javnosti in podjetij v Uniji v certificirane rešitve IKT, ki podpirajo vsakdanje življenje. Vzpostavitev dodatnih shem bi povečala ta učinek.

4.PRORAČUNSKE POSLEDICE

5.DRUGI ELEMENTI

•Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja

•Obrazložitveni dokumenti (za direktive)

•Natančnejša pojasnitev posameznih določb predloga

Naslov II: AGENCIJA ENISA (AGENCIJA EVROPSKE UNIJE ZA KIBERNETSKO VARNOST)

Komisija lahko z izvedbenimi akti opredeli ključna sredstva IKT, ki se uporabljajo za proizvodnjo proizvodov in opravljanje storitev s strani vrst subjektov iz Priloge I in Priloge II k Direktivi (EU) 2022/2555. Člen 102 podrobneje določa elemente, ki jih je treba upoštevati pri opredelitvi ključnih sredstev IKT. Člen 103 določa morebitne blažilne ukrepe v dobavni verigi IKT. Komisija lahko z izvedbenimi akti odloči, da morajo za subjekte, ki delujejo v visoko kritičnih sektorjih in drugih kritičnih sektorjih, veljati posebni blažilni ukrepi, ki so podrobneje opredeljeni v členu.

Komisija po oceni sedeža, lastništva in nadzora z izvedbenimi akti določi sezname dobaviteljev z visokim tveganjem, za katere veljajo prepovedi iz izvedbenih aktov, sprejetih v skladu s členom 103(1), členom 103(7), ali prepoved iz člena 110(1). Posvetovati bi se morala z zadevnimi dobavitelji in pristojnimi organi (člen 104).

Subjekt s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti in ki je določena v skladu s členom 100, ali pod nadzorom subjektov iz take tretje države lahko zaprosi za dovoljenje za zagotavljanje komponent IKT v ključnih sredstvih IKT subjektov vrste iz prilog I in II k Direktivi (EU) 2022/2555 ter za sodelovanje pri javnem naročanju v zvezi z zagotavljanjem takih komponent IKT. Člen 105 določa, kaj mora vsebovati zahteva in kakšen je postopek za tako izjemo. Člen 106 določa pravice do obrambe zadevnega subjekta. Komisija vodi javno dostopen register odločitev o izjemah (člen 107). Člena 108 in 109 določata pravila o zaupnosti in pristojbine, povezane s postopkom za odločitev o izjemi.

Poglavje II določa uporabo zaupanja vrednega okvira za dobavne verige IKT za mobilna, fiksna in satelitska elektronska komunikacijska omrežja ter zagotavlja uskladitev s predlaganim aktom o digitalnih omrežjih.

Ključna sredstva IKT za mobilna, fiksna in satelitska elektronska komunikacijska omrežja so določena v Prilogi II. Prehodno obdobje za postopno izločanje komponent IKT dobaviteljev z visokim tveganjem za ključna sredstva IKT mobilnega elektronskega komunikacijskega omrežja ne sme presegati 36 mesecev od začetka veljavnosti te uredbe. Prehodna obdobja za fiksna in satelitska elektronska komunikacijska omrežja določi Komisija z izvedbenimi akti. Komisija je pooblaščena za sprejemanje delegiranih aktov za spremembo določenih ključnih sredstev IKT in prehodnih obdobij, tudi za prihodnje mobilne generacije (člen 110). Člen 111 določa, da ponudniki mobilnih, fiksnih in satelitskih elektronskih komunikacijskih omrežij ne smejo v nobeni obliki uporabljati, nameščati ali integrirati komponent IKT dobaviteljev z visokim tveganjem in jim ni mogoče izdati splošnega ali posameznega pooblastila.

Pristojni organi, nadzor in izvrševanje, pristojnost, pravice do obrambe (poglavje III)

Poglavje III nadalje določa pravila o pristojnih organih, nadzoru, izvrševanju in pristojnosti. 

Členi 112–114 določajo pooblastila, sredstva in odgovornosti držav članic pri zagotavljanju izvajanja in izvrševanja določb iz naslova IV. Države članice morajo imenovati enega ali več pristojnih organov in jih uradno priglasijo Komisiji. Člen 113 določa, da Komisija vzpostavi mrežo za sodelovanje pristojnih organov držav članic in Komisije za olajšanje skladnosti, člen 114 pa določa nadzorne in izvršilne ukrepe, ki jih lahko sprejmejo pristojni organi. Kazni v primeru kršitve določb iz naslova IV so določene v členu 115. Člen 116 podrobno določa možnost, da si države članice medsebojno pomagajo, kadar subjekti opravljajo čezmejne dejavnosti ali kadar se njihova ključna sredstva IKT nahajajo v več državah članicah. Člen 117 določa pravila o pristojnosti in teritorialnosti.

2026/0011 (COD)

Predlog

UREDBA EVROPSKEGA PARLAMENTA IN SVETA

o Agenciji Evropske unije za kibernetsko varnost (ENISA), evropskem certifikacijskem okviru za kibernetsko varnost in varnosti dobavne verige IKT ter razveljavitvi Uredbe (EU) 2019/881 (Akt o kibernetski varnosti 2)

(Besedilo velja za EGP)

EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe,

ob upoštevanju predloga Evropske komisije,

po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom,

ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora 24 ,

ob upoštevanju mnenja Odbora regij 25 ,

v skladu z rednim zakonodajnim postopkom,

ob upoštevanju naslednjega:

(1) Od sprejetja Uredbe (EU) 2019/881 Evropskega parlamenta in Sveta 26 so geopolitično, tehnološko in politično okolje doživeli pomembne spremembe. Kibernetski incidenti, ki jih povzročijo okvare sistemov, človeške napake, zlonamerna dejanja ali naravni pojavi, so se močno povečali, kibernetski napadi pa so postali bolj izpopolnjeni, kar vpliva na ključne subjekte, podjetja in splošno javnost. Ekosistem kibernetske kriminalitete se je razširil, v njegovem središču pa je dejavnost izsiljevalskega programja. Incidenti v dobavni verigi, ki jih povzročijo storilci kaznivih dejanj zaradi finančne koristi ali državni akterji zaradi motenj, vohunjenja, dezinformacij ali vojskovanja, so se okrepili. V okviru širše hibridne strategije se incidenti, ki so posledica zlonamernih kibernetskih dejavnosti in okvar sistemov, širijo navzven, motijo ključne storitve, spodkopavajo zaupanje v institucije ter vplivajo na družbeno in obrambno pripravljenost Unije. Taki incidenti so dokazali svoj potencial za vpliv na gospodarsko dejavnost, finančno stabilnost in življenja ljudi. Hkrati ranljivost kritične civilne infrastrukture in sistemov pomeni tveganje za obrambne zmogljivosti, kadar so te odvisne od njih.

(2)Vzporedno s tem imajo nastajajoče tehnologije, kot sta umetna inteligenca in kvantno računalništvo, moteč vpliv na kibernetsko varnost in kibernetsko obrambo. Preoblikujejo orodja obrambe in taktike nasprotnikov, predstavljajo grožnje kibernetski varnosti in kibernetski obrambi, hkrati pa ponujajo možnosti za tehnološki napredek. Čeprav lahko z izboljšanim zaznavanjem groženj ali avtomatiziranim odzivanjem na incidente prispevajo h kibernetski varnosti, povečujejo tudi skupno napadno površino za organizacije, so potencialne tarče manipulacije in lahko ogrozijo dolgoročno vzdržnost varnostnih ukrepov, kot je šifriranje.

(3)Unija je za obravnavanje tega razvoja okrepila svoja pravna orodja in orodja politike. Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta 27 krepi kibernetsko varnost kritične infrastrukture, kar dopolnjuje Direktiva (EU) 2022/2557 Evropskega parlamenta in Sveta 28 za fizično varnost. Uredba (EU) 2024/2847 Evropskega parlamenta in Sveta 29 izboljšuje kibernetsko varnost izdelkov z digitalnimi elementi. Uredba (EU) 2025/38 Evropskega parlamenta in Sveta 30 vzpostavlja zmogljivosti za odzivanje na ravni Unije, Priporočilo Sveta z dne 6. junija 2025 o načrtu EU za krizno upravljanje kibernetske varnosti 31 (v nadaljnjem besedilu: priporočilo o kibernetskem načrtu) pa podpira sodelovanje pri kriznem upravljanju na ravni Unije. Nabor orodij za kibernetsko varnost omrežij 5G 32 predstavlja prvi korak k usklajenemu pristopu na ravni Unije za zagotovitev varnosti omrežij 5G. Sporočilo Komisije o akademiji za kibernetske veščine 33 obravnava vse večji izziv vrzeli talentov na področju kibernetske varnosti. Poleg tega je bil okvir za kibernetsko varnost okrepljen s sektorsko zakonodajo, zlasti z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta 34 za finančni sektor, Delegirano uredbo Komisije (EU) 2024/1366 35 za podsektor električne energije, Delegirano uredbo Komisije (EU) 2022/1645 36 in Izvedbeno uredbo Komisije (EU) 2023/203 37 (del IS) ter zadevnimi pravili o varnosti v letalstvu iz Uredbe Komisije (EU) 2019/1583 38 za podsektor zračnega prometa ter drugimi dokumenti politike, kot je sporočilo Komisije o akcijskem načrtu EU za kibernetsko varnost bolnišnic in izvajalcev zdravstvenih dejavnosti 39 . Subjekte Unije podpira tudi Uredba (EU, Euratom) 2023/2841 Evropskega parlamenta in Sveta 40 , ki določa ukrepe za doseganje visoke skupne ravni kibernetske varnosti v institucijah, organih, uradih in agencijah Unije. Ta okrepljeni pravni okvir za kibernetsko varnost je dodatno opredelil naloge agencije ENISA.

(4)V tem okviru in kot je navedeno v sporočilu ProtectEU: evropska strategija notranje varnosti 41 in skupnem sporočilu o strategiji za unijo pripravljenosti 42 so za zagotavljanje pripravljenosti, varnosti in odpornosti družbe in gospodarstva Unije potrebni tesno evropsko usklajevanje, zaupanje in izmenjava informacij med deležniki, trdni okviri za zagotavljanje varnosti proizvodov IKT, storitev IKT, postopkov IKT in upravljanih varnostnih storitev ter povečanje in krepitev delovne sile na področju kibernetske varnosti. Poleg tega poziva h krepitvi dobavnih verig IKT z zagotavljanjem evropske tehnološke suverenosti nad ključnimi sredstvi, kar bi povečalo odpornost Unije in bi lahko koristilo prizadevanjem za kibernetsko obrambo. Poleg tega sporočilo o krepitvi gospodarske varnosti EU 43 kot prednostne cilje opredeljuje potrebo po preprečevanju dostopa do občutljivih informacij in podatkov, ki bi lahko ogrozili gospodarsko varnost EU, ter preprečevanju in blaženju motenj v kritični infrastrukturi EU, ki vplivajo na gospodarstvo EU. Priznava bistveno vlogo, ki jo imajo pri tem učinkoviti ukrepi za kibernetsko varnost.

(5)Kibernetski incidenti velikih razsežnosti, ki vplivajo na kritično infrastrukturo, digitalne storitve ali bistvene družbene funkcije, imajo lahko posledice za prebivalstvo, zaradi česar je potrebno usklajeno ukrepanje na področju civilne zaščite in kriznega upravljanja na ravni Unije. V skladu s pristopom, ki upošteva vse vrste nevarnosti, iz strategije za evropsko unijo pripravljenosti in Sklepom št. 1313/2013/EU o mehanizmu Unije na področju civilne zaščite bi morale ureditve za situacijsko zavedanje, odzivanje na incidente in vaje na podlagi te uredbe prispevati h kriznemu upravljanju Unije, zlasti prek Centra za usklajevanje nujnega odziva (ERCC).

(6)Ta predlog je skladen s in ga dopolnjujeta [predlog direktive, ki dopolnjuje [revizijo Uredbe (EU) 2019/881] in spreminja Direktivo (EU) 2022/2555 glede poenostavitve izvajanja ukrepov za visoko skupno raven kibernetske varnosti v Uniji] ter [predlog uredbe o poenostavitvi digitalne zakonodaje (zbirni sveženj za digitalno področje)] 44 , ki določa obveznost agencije ENISA, da razvije enotno vstopno točko za poročanje o incidentih, prek katere lahko subjekti hkrati izpolnjujejo svoje obveznosti poročanja o incidentih na podlagi več pravnih aktov.

(7)Z Uredbo (ES) št. 460/2004 Evropskega parlamenta in Sveta 45 je bila ustanovljena agencija ENISA s ciljem zagotavljanja visoke in učinkovite ravni varnosti omrežij in informacij v Uniji ter razvoja kulture varnosti omrežij in informacij v korist državljanov, potrošnikov, podjetij in javnih uprav. Mandat agencije ENISA je bil trikrat podaljšan, preden ji je bil z Uredbo (EU) 2019/881 podeljen stalen mandat. Da bi bolje naslovili potrebe, ki jih povzročata spreminjajoče se okolje groženj in tehnološko okolje, zlasti glede operativnega sodelovanja in povečane potrebe po strokovnjakih za kibernetsko varnost, bi bilo treba mandat agencije ENISA dodatno okrepiti. Zaradi pravne jasnosti bi bilo treba Uredbo (EU) 2019/881 nadomestiti.

(8)V spreminjajočem se okolju groženj, v katerem kibernetski incidenti postajajo vse pogostejši, je zagotavljanje zaupanja posameznikov, javnih organov in podjetij v njihovo vsakodnevno uporabo tehnologij še pomembnejše kot kdaj koli prej. Večje zaupanje je mogoče lažje doseči z okrepljenim certificiranjem v okviru evropskega certifikacijskega okvira za kibernetsko varnost na ravni Unije, ki bi zagotavljalo skupne zahteve in merila za ocenjevanje glede kibernetske varnosti za vse nacionalne trge in sektorje. Novi okvir bi moral določiti glavne horizontalne zahteve za evropske certifikacijske sheme za kibernetsko varnost ter omogočiti, da se evropski certifikati kibernetske varnosti in izjave EU o skladnosti priznavajo in uporabljajo v vseh državah članicah. Pri tem bi moral vzpostaviti postopek in okvir upravljanja, ki omogočata pravočasen in predvidljiv razvoj ter vzdrževanje evropskih certifikacijskih shem za kibernetsko varnost. Evropske certifikacijske sheme za kibernetsko varnost bi bilo treba uporabljati enotno v vseh državah članicah, da se zagotovi harmonizirano izvajanje zahtev glede kibernetske varnosti, izenačijo konkurenčni pogoji in prepreči praksa „nakupovanja certifikatov“ zaradi različnih ravni strogosti v različnih državah članicah. Agencija ENISA bi morala imeti ključno vlogo pri razvoju shem s tehničnimi specifikacijami in zagotavljanju, da te sheme ostanejo tehnično posodobljene. Poleg tega bi moral okvir za učinkovito izpolnjevanje potreb trga zagotoviti možnost certificiranja ukrepov za obvladovanje tveganj za kibernetsko varnost, namenjenih subjektom, in olajšati skladnost z drugo veljavno zakonodajo Unije na področju kibernetske varnosti. Uskladitev z obstoječim pravom Unije, kot sta Uredba (EU) 2024/2847 in Direktiva (EU) 2022/2555, je bistvena, da bi evropske certifikacijske sheme za kibernetsko varnost prispevale k zmanjšanju bremena zagotavljanja skladnosti za podjetja, povečale njihovo privlačnost in okrepile kibernetsko odpornost Unije.

(9)Naloga agencije ENISA bi morala biti podpirati države članice in subjekte Unije pri doseganju visoke ravni kibernetske varnosti, odpornosti in zaupanja v Uniji. V ta namen bi morala agencija ENISA delovati kot referenčna točka za svetovanje in strokovno znanje o kibernetski varnosti, njeno delo pa bi se moralo osredotočati predvsem na štiri ključna področja kibernetske varnosti na ravni Unije. Prvič, agencija ENISA bi morala podpirati države članice pri doslednem izvajanju politike in zakonodaje Unije na področju kibernetske varnosti ter jim pomagati z dejavnostmi krepitve zmogljivosti za stalno izboljševanje njihovih zmogljivosti na področju pripravljenosti, odpornosti in odzivanja. Drugič, agencija ENISA bi morala prispevati k operativnemu sodelovanju med državami članicami na ravni Unije ter k okrepljenemu skupnemu situacijskemu zavedanju o kibernetskih grožnjah in incidentih med državami članicami in subjekti Unije. Tretje ključno področje bi moralo biti certificiranje in standardizacija kibernetske varnosti, četrto pa izvajanje akademije za kibernetske veščine, ki bi morala prispevati k razvoju uspešne evropske delovne sile na področju kibernetske varnosti s spretnostmi, ki bi morale biti prenosljive med državami članicami.

(10)Uredba (EU, Euratom) 2023/2841 določa ukrepe za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije ter mandat CERT-EU in jo vzpostavlja kot službo za kibernetsko varnost za institucije, organe, urade in agencije Unije, ki prispeva k varnosti netajnega okolja IKT subjektov Unije, tako da jim svetuje glede kibernetske varnosti, jih podpira pri preprečevanju, odkrivanju, obvladovanju in blažitvi incidentov ter odzivanju nanje in okrevanju po njih ter deluje kot njihovo vozlišče za izmenjavo informacij o kibernetski varnosti in za usklajevanje odzivanja na incidente. Poleg tega je naloga CERT-EU, da subjektom Unije zagotavlja zadevne storitve na področju kibernetske varnosti. Agencija ENISA bi morala v okviru svojega poslanstva podpirati tudi subjekte Unije. To bi morala doseči zlasti s strukturiranim sodelovanjem s CERT-EU pri krepitvi zmogljivosti, operativnem sodelovanju in dolgoročnih strateških analizah kibernetskih groženj. Agencija ENISA lahko po potrebi izkoristi usklajeno strukturirano sodelovanje s CERT-EU za storitve ali podporo agencije ENISA na področju kibernetske varnosti, ki lahko subjektom Unije zagotovi dodano vrednost, da se zagotovijo sinergije prizadevanj CERT-EU.

(11)Ena od glavnih nalog agencije ENISA bi morala biti podpora državam članicam pri doslednem izvajanju politike in prava Unije na področju kibernetske varnosti, zlasti v zvezi z Direktivo (EU) 2022/2555, Uredbo (EU) 2024/2847 in Uredbo (EU) 2025/38. Da bi agencija ENISA pripomogla k doslednemu in učinkovitemu izvajanju pravnega reda Unije na področju kibernetske varnosti, bi morala izdajati tehnične smernice in poročila, zagotavljati nasvete in dobre prakse ter v ta namen olajšati izmenjavo dobrih praks med pristojnimi organi. Poleg tega agencija ENISA ocenjuje stanje kibernetske varnosti v Uniji in v ta namen sprejme poročilo v skladu s členom 18 Direktive (EU) 2022/2555. Agencija ENISA bi morala imeti tudi možnost, da se odzove na zahteve držav članic in, kjer je ustrezno, subjektov Unije po svetovanju in pomoči v zvezi z zadevami, ki spadajo v njeno pristojnost.

(12)Zaradi spodbujanja sodelovanja med javnim in zasebnim sektorjem ter znotraj zasebnega sektorja, zlasti pa, da bi pripomogla k zaščiti kritične infrastrukture, bi morala agencija ENISA podpirati znotrajsektorsko in medsektorsko izmenjavo informacij, zlasti v sektorjih iz prilog I in II k Direktivi (EU) 2022/2555, ter izmenjavo informacij o izdelkih z digitalnimi elementi, ki spadajo na področje uporabe Uredbe (EU) 2024/2847. Taka podpora je lahko v obliki zagotavljanja dobrih praks in smernic o razpoložljivih orodjih in postopkih ter smernic o tem, kako obravnavati regulativna vprašanja, povezana z izmenjavo informacij, na primer z olajšanjem vzpostavitve sektorskih centrov za izmenjavo in analizo informacij.

(13)Da bi podprla in olajšala strateško sodelovanje ter izmenjavo informacij, bi morala agencija ENISA prispevati k delu skupine za sodelovanje, ustanovljene z Direktivo (EU) 2022/2555 (v nadaljnjem besedilu: skupina za NIS), zlasti z zagotavljanjem strokovnega znanja, svetovanjem ter olajševanjem izmenjave dobrih praks, med drugim v zvezi s čezmejnimi odvisnostmi, tveganji in incidenti. Agencija ENISA bi morala prispevati tudi k delu skupine za sodelovanje na področju evropske digitalne identitete, ustanovljene z Uredbo (EU) št. 910/2014 Evropskega parlamenta in Sveta 46 , evropske certifikacijske skupine za kibernetsko varnost ter skupine za upravno sodelovanje (v nadaljnjem besedilu: skupina ADCO), ustanovljene z Uredbo (EU) 2024/2847.

(14)Javno jedro odprtega interneta, in sicer njegovi glavni protokoli in infrastruktura, ki so svetovno javno dobro, omogoča uporabo ključnih funkcij interneta kot celote in je podlaga za njegovo normalno delovanje. Agencija ENISA bi morala v okviru svojega mandata podpirati varnost in odpornost javnega jedra odprtega interneta ter stabilnost njegovega delovanja, med drugim varno uvedbo in delovanje ključnih protokolov (zlasti sistema domenskih imen, protokola mejnih usmerjevalnikov in internetnega protokola različice 6) ter delovanje sistema domenskih imen (kot je delovanje vseh vrhnjih domen), s spodbujanjem dobrih praks, smernic in sodelovanja, v skladu z uveljavljenimi svetovnimi ureditvami upravljanja interneta z več deležniki ter zadevnimi vlogami in odgovornostmi zadevnih mednarodnih tehničnih in operativnih organov.

(15)Agencija ENISA deluje kot referenčna točka za svetovanje in strokovno znanje o kibernetski varnosti. Zato bi morala agencija ENISA na zahtevo Komisije pomagati s strokovnim znanjem, tehničnim svetovanjem, informacijami, analizami, vključno s študijami izvedljivosti, mnenji in pripravljalnim delom v zvezi s katero koli posebno zadevo na področju kibernetske varnosti, da bi obveščala oblikovanje politik Komisije in Komisiji olajšala spremljanje izvajanja zakonodaje Unije o kibernetski varnosti.

(16)Podobno bi morala agencija ENISA ob upoštevanju svojega strokovnega znanja pomagati državam članicam pri njihovih prizadevanjih za vzpostavljanje in krepitev zmogljivosti in pripravljenosti za preprečevanje in odkrivanje kibernetskih groženj in incidentov in odzivanje nanje ter v zvezi z varnostjo omrežnih in informacijskih sistemov. Agencija ENISA bi morala zlasti podpirati razvoj in krepitev skupin za odzivanje na incidente na področju računalniške varnosti (v nadaljnjem besedilu: skupine CSIRT) iz Direktive (EU) 2022/2555 za doseganje visoke skupne ravni zrelosti skupin CSIRT v Uniji.

(17)Agencija ENISA je podpirala in bi morala še naprej podpirati države članice pri razvoju in izvajanju smernic za njihove nacionalne strategije za kibernetsko varnost, ki prispevajo k sprejetju in izvajanju strategij za kibernetsko varnost v vseh državah članicah. Agencija ENISA bi morala spodbujati razširjanje takih strategij prek interaktivnega zemljevida nacionalnih strategij za kibernetsko varnost in nadalje spremljati napredek pri njihovem izvajanju, vključno z zagotavljanjem podpore pri razvoju ključnih kazalnikov uspešnosti v zvezi s tem.

(18)Z Uredbo (EU, Euratom) 2023/2841 je bil Medinstitucionalni odbor za kibernetsko varnost zadolžen za podporo subjektom Unije pri izboljšanju njihovega položaja kibernetske varnosti, CERT-EU pa za prispevanje k varnosti netajnega okolja IKT vseh subjektov Unije. Agencija ENISA bi morala na podlagi svojih izkušenj na področju kibernetske varnosti podpirati Medinstitucionalni odbor za kibernetsko varnost in CERT-EU pri njunih nalogah v skladu z Uredbo (EU, Euratom) 2023/2841, tudi s prispevanjem k analizi kibernetskih groženj, situacijskemu zavedanju, vajam na področju kibernetske varnosti, usklajevanju odzivanja na incidente ter izmenjavi strokovnega znanja in dobrih praks.

(19)Agencija ENISA bi morala na podlagi svojega strokovnega znanja in za dopolnitev zmogljivosti nacionalnih javnih organov in javnih organov Unije izvajati usposabljanje na podlagi evropskega okvira za spretnosti na področju kibernetske varnosti, zlasti v podporo učinkovitemu izvajanju politik, operativnemu sodelovanju in ozaveščanju.

(20)Da bi zagotovili sinergije z Evropskim industrijskim, tehnološkim in raziskovalnim kompetenčnim centrom za kibernetsko varnost ter mrežo nacionalnih koordinacijskih centrov, vzpostavljenih na podlagi Uredbe (EU) 2021/887 Evropskega parlamenta in Sveta 47 , bi jih morala agencija ENISA podpirati z izmenjavo informacij o sedanjih in nastajajočih tveganjih ter kibernetskih grožnjah, vključno s tveganji in grožnjami v zvezi z informacijskimi in komunikacijskimi tehnologijami.

(21)Strategija za pripravljenost poudarja, da je digitalna pismenost, ki temelji na pridobivanju temeljnih digitalnih spretnosti, ključna za opolnomočenje odpornejših državljanov v primeru morebitnih kriz. Kot je poudarjeno v sporočilu Komisije o Uniji spretnosti 48 , pa skoraj polovica odraslih nima temeljnih digitalnih spretnosti, čeprav so te potrebne za več kot 90 % delovnih mest. Da bi zagotovili, da imata sedanja in potencialna prihodnja delovna sila potrebne spretnosti v hitro razvijajočem se digitalnem okolju, ter prispevali k razvoju evropskega nabora talentov na področju kibernetske varnosti, bi morala agencija ENISA podpirati dejavnosti ozaveščanja o kibernetski varnosti, katerih cilj je privabiti talente in pomagati pri obveščanju o izobraževanju in spretnostih, potrebnih na področju kibernetske varnosti, kot je evropski izziv na področju kibernetske varnosti. V zvezi s tem bi morala agencija ENISA usklajevati tekmovanja na področju kibernetske varnosti, dogodke „ujemite zastavo“ (capture the flag) in podobne praktične vaje kot način za razvoj spretnosti na področju kibernetske varnosti ter spodbujanje krepitve zmogljivosti po vsej Uniji. Agencija ENISA bi morala pri izvajanju dejavnosti ozaveščanja zagotoviti, da te dejavnosti obravnavajo potrebe nacionalnih javnih organov in subjektov Unije, pa tudi potrebe podjetij, zlasti malih in srednjih podjetij, ter ustanov za izobraževanje in usposabljanje, in sicer z ohranjanjem praktičnih okvirov in usposabljanj, kot so celovite dejavnosti za ozaveščanje na področju kibernetske varnosti. Agencija ENISA bi morala nadalje razvijati praktične in izvedljive smernice za podporo izvajanju politike in zakonodaje Unije na področju kibernetske varnosti. Agencija ENISA bi si morala prizadevati tudi za to, da bi zagotovila zadevne informacije o veljavnih certifikacijskih shemah, na primer z zagotavljanjem smernic in priporočil.

(22)Agencija ENISA bi morala v podporo podjetjem, ki poslujejo v sektorju kibernetske varnosti, uporabnikom rešitev kibernetske varnosti ter za zagotavljanje učinkovitega izvajanja naslova III te uredbe vzpostaviti in vzdrževati „tržni observatorij“ z izvajanjem rednih analiz in razširjanjem informacij o glavnih trendih na trgu kibernetske varnosti, tako na strani povpraševanja kot na strani ponudbe. Poleg tega bi morala agencija ENISA v podporo uporabnikom EU rezerve za kibernetsko varnost, vzpostavljene na podlagi Uredbe (EU) 2025/38, pripraviti pregled storitev, ki jih taki uporabniki potrebujejo, in razpoložljivosti takih storitev v skladu z navedeno uredbo.

(23)Kibernetske grožnje imajo svetovno razsežnost. Za izboljšanje kibernetske varnosti je potrebno tesnejše mednarodno sodelovanje, vključno z opredelitvijo skupnih pravil obnašanja in skupnih pristopov. V ta namen bi morala agencija ENISA podpirati sodelovanje Unije s tretjimi državami, s poudarkom na državah kandidatkah za pristop k Uniji, in mednarodnimi organizacijami, kot je NATO, tako da Komisiji in po potrebi zadevnim subjektom Unije zagotavlja potrebno strokovno znanje in analize. Dejavnosti agencije ENISA na mednarodnem področju bi morale biti vedno v skladu s prednostnimi nalogami Unije.

(24)Da bi pomagala doseči visoko raven kibernetske varnosti v Uniji, bi morala agencija ENISA v sodelovanju s CERT-EU podpirati operativno sodelovanje med državami članicami, med subjekti Unije in med deležniki. V ta namen bi bilo treba okrepiti vlogo agencije ENISA. Agencija ENISA bi morala postati članica mreže skupin CSIRT ter prispevati k izmenjavi in analizi informacij v tej mreži. Še naprej bi morala spodbujati in podpirati sodelovanje med zadevnimi skupinami CSIRT v primeru incidentov, napadov ali motenj v omrežjih ali infrastrukturi, ki jih upravljajo ali ščitijo skupine CSIRT. Dejavna podpora agencije ENISA delu mreže skupin CSIRT in Evropske organizacijske mreže za povezovanje v kibernetski krizi (EU-CyCLONe) bi morala tem mrežam omogočiti, da še naprej krepijo svojo raven zrelosti. Vloga agencije ENISA pri podpiranju takega sodelovanja vključuje boj proti grožnjam varnosti in celovitosti demokratičnih institucij, volitev in drugih procesov ter kritične infrastrukture, od katere so odvisni, v skladu z evropskim ščitom za demokracijo: spodbujanje močnejših in odpornejših demokracij 49 .

(25)Da bi agencija ENISA podprla krepitev zmogljivosti, operativno sodelovanje in dolgoročne strateške analize kibernetskih groženj, bi morala uporabiti razpoložljivo tehnično in operativno strokovno znanje skupine CERT-EU prek strukturiranega sodelovanja, na primer prek namenskih ureditev.

(26)Da bi okrepili kibernetsko varnost po vsej Uniji in zagotovili hiter ter učinkovit odziv na kibernetske grožnje, bi morala agencija ENISA na zahtevo držav članic te podpirati, tudi s svetovanjem o izboljšanju njihovih zmogljivosti za preprečevanje, odkrivanje in odzivanje na incidente ter okrevanje po njih, z olajševanjem tehničnega obravnavanja pomembnih incidentov v smislu Direktive (EU) 2022/2555, zlasti s podpiranjem prostovoljne izmenjave tehničnih rešitev med državami članicami, ali z zagotavljanjem analize kibernetskih groženj in incidentov. Agencija ENISA bi morala pomagati tudi mreži EU-CyCLONe pri pripravi poročil za politično raven Unije in držav članic.

(27)Za zmanjšanje izpostavljenosti tujemu vmešavanju, manipulaciji dobavne verige in strateški nepooblaščeni eksfiltraciji podatkov bi morala agencija ENISA v mreži skupin CSIRT in mreži EU-CyCLONe uporabljati varna komunikacijska orodja. Na podlagi priporočila o načrtu za kibernetsko varnost bi morali taka orodja zagotavljati pravni subjekti, ki imajo sedež v Uniji ali za katere se šteje, da imajo sedež v Uniji, in jih nadzorujejo države članice ali njihovi državljani.

(28)Da bi prispevala k pripravljenosti in odzivanju na ravni Unije v primeru kibernetskih incidentov velikih razsežnosti in kriz, bi morala agencija ENISA izvajati dejavnosti situacijskega zavedanja o kibernetski varnosti.

(29) Dostop do preverjenih in zanesljivih obveščevalnih podatkov o kibernetskih grožnjah v realnem času je ključen za vzpostavitev skupnega situacijskega zavedanja v Uniji. Agencija ENISA, Komisija, CERT-EU in Evropski center za boj proti kibernetski kriminaliteti (EC3) v okviru Europola so že razvili odložišča obveščevalnih podatkov o kibernetskih grožnjah, ki so prilagojena njihovim posebnim potrebam. Agencija ENISA in drugi zadevni subjekti Unije bi morali prostovoljno sodelovati pri razvoju odložišč preverjenih in zanesljivih obveščevalnih podatkov o kibernetskih grožnjah v realnem času ter si prizadevati za sinergije, da se zagotovi ekonomija obsega in okrepi dobro finančno poslovodenje. To delo bi moralo vključevati tudi sektorske subjekte Unije, kot je Agencija EU za vesoljski program. Izmenjevati bi morali le izpeljane analize, trende ter taktike, tehnike in postopke, ne pa surovih virov, ter spoštovati neodvisnost subjektov pri upravljanju lastnega življenjskega cikla obveščevalnih podatkov o kibernetskih grožnjah v skladu z njihovimi pooblastili in pravili o potrebi po seznanitvi.

(30)Da bi agencija ENISA prispevala k pravočasnemu in usklajenemu odzivu, bi morala imeti možnost, da zadevnim skupinam CSIRT ter, kadar je ustrezno, mreži skupin CSIRT in mreži EU-CyCLONe izda zgodnja opozorila o morebitnem ali obstoječem pomembnem incidentu ali incidentu velikih razsežnosti ali kibernetski grožnji morebitne čezmejne narave, zlasti v zvezi s subjekti iz prilog I in II k Direktivi (EU) 2022/2555. Informacije v takih zgodnjih opozorilih lahko vključujejo javno znane ranljivosti in informacije o tem, ali vplivajo na izdelke z digitalnimi elementi, ki jih zajema Uredba (EU) 2024/2847, ter tehnike in postopke, kazalnike ogroženosti, sovražne taktike, specifične informacije o grožnji in akterju ter priporočila o blažilnih ukrepih.

(31) Da bi ohranili zaupanje in ne ogrozili izmenjave informacij, je pomembno, da agencija ENISA uporabi vidne oznake, ki označujejo, v kolikšni meri se lahko dokument ali informacije, ki jih je pripravila ali prejela, nadalje delijo. Podobno bi morala agencija ENISA prejete dokumente ali informacije uporabljati za izvajanje svojih dejavnosti, pri čemer mora upoštevati morebitne omejitve, določene z vidno oznako, glede nadaljnjega razširjanja teh informacij.

(32)Da bi agencija ENISA pomagala povečati ozaveščenost o kazalnikih kibernetskih groženj in priporočilih o blažilnih ukrepih, bi morala subjektom, ki delujejo v sektorjih iz prilog I in II k Direktivi (EU) 2022/2555, omogočiti storitev zgodnjega opozarjanja. Taka splošna prostovoljna zgodnja opozorila bi morala koristiti zlasti malim in srednjim podjetjem ter bi morala biti na voljo v strojno berljivi obliki, ki je javno dostopna. V vsakem primeru je taka prostovoljna storitev ločena od vseh javno-zasebnih partnerstev, ki jih lahko vzpostavi ali jih je že vzpostavila agencija ENISA, in z njimi ni povezana.

(33)Za podporo skupnemu situacijskemu zavedanju v Uniji o kibernetski varnosti bi morala agencija ENISA v tesnem sodelovanju z državami članicami redno pripravljati poglobljeno tehnično poročilo o stanju na področju kibernetske varnosti v EU glede incidentov in kibernetskih groženj, ki bi temeljilo na javno dostopnih informacijah, lastni analizi ter poročilih, ki ji jih prostovoljno pošljejo skupine CSIRT držav članic ali nacionalne enotne kontaktne točke za varnost omrežnih in informacijskih sistemov (v nadaljnjem besedilu: enotne kontaktne točke) iz Direktive (EU) 2022/2555, pa tudi Europol in CERT-EU. To poročilo bi moralo biti na voljo Svetu, Evropski službi za zunanje delovanje, mreži EU-CyCLONe, mreži skupin CSIRT, Komisiji in Europolu.

(34)Da bi izboljšali skupno situacijsko zavedanje deležnikov o okolju kibernetskih groženj in incidentov, bi morala agencija ENISA analizirati trende kibernetskih groženj in incidentov. To bi moralo vključevati redno analizo, ki obravnava visoko kritične sektorje in druge kritične sektorje iz prilog I in II k Direktivi (EU) 2022/2555, vključno z zdravstvenim, energetskim in prometnim sektorjem. Taka analiza bi morala vključevati ravni zrelosti sektorjev in med drugim opredeliti morebitne izzive, značilne za posamezen sektor. Po potrebi in za opredelitev učinkov na dobavno verigo bi morala analiza prikazovati kibernetske grožnje in trende, povezane s kategorijami proizvodov, ki jih zajema Uredba (EU) 2024/2847. Agencija ENISA bi morala razviti strokovno znanje na področju kibernetske varnosti infrastruktur in njihovih kritičnih odvisnosti od dobavne verige, zlasti v podporo sektorjem iz prilog I in II k Direktivi (EU) 2022/2555 ter izvajanju Uredbe (EU) 2024/2847. V ta namen bi morala agencija ENISA po potrebi sodelovati tudi z drugimi zadevnimi subjekti Unije.

(35)Poleg tega mora agencija ENISA za boljše razumevanje izzivov na področju kibernetske varnosti analizirati sedanje in nastajajoče tehnologije ter zagotoviti tematske ocene o pričakovanih družbenih, pravnih, ekonomskih in regulativnih učinkih tehnoloških inovacij na kibernetsko varnost. Da se javnosti zagotovi lažji dostop do informacij o tveganjih za kibernetsko varnost in možnih rešitvah, lahko agencija ENISA na svojem spletnem mestu zagotovi zadevne informacije na uporabniku prijazen in dobro strukturiran način.

(36)Okrepljena vloga agencije ENISA pri spodbujanju situacijskega zavedanja, analiziranju groženj in zagotavljanju tehničnega svetovanja bo prispevala h krepitvi skupnih prizadevanj na področju kibernetske varnosti v zvezi z izdelki z digitalnimi elementi ter podprla izvajanje Uredbe (EU) 2024/2847. Agencija ENISA lahko v skladu z Uredbo (EU) 2024/2847 organom za nadzor trga predlaga skupne dejavnosti za preverjanje skladnosti izdelkov z digitalnimi elementi in opredeli kategorije izdelkov z digitalnimi elementi, za katere se lahko organizirajo usklajene preiskave. Informacije na podlagi analize kibernetskih groženj in zgodnjih opozoril bi morale okrepiti podporo, ki jo agencija ENISA zagotavlja navedenim organom, ter prispevati k učinkovitemu izvrševanju Uredbe (EU) 2024/2847 za preprečevanje učinkov kibernetskih napadov na dobavno verigo na notranjem trgu in izboljšanje splošne pripravljenosti Unije.

(37)Napadi z izsiljevalskim programjem so pomembna grožnja za kibernetsko varnost Unije. Za okrepitev kibernetske varnosti Unije in boj proti izsiljevalskemu programju bi morala agencija ENISA razviti zmogljivosti za situacijsko zavedanje ter podporo pri odzivanju na incidente in okrevanju po njih. Agencija ENISA bi morala pri pomoči posameznim bistvenim in pomembnim subjektom pri odzivanju na napade z izsiljevalskim programjem in okrevanju po njih tesno sodelovati z Europolom ter po potrebi s skupinami CSIRT ali pristojnimi organi, pri tem pa bi se morala opirati na izkušnje, ki jih je Europol pridobil v boju proti kriminalu, povezanemu z izsiljevalskim programjem. Taka pomoč bi morala dopolnjevati dejavnosti skupin CSIRT, ki podpirajo odzivanje na incidente. Da bi agencija ENISA dosegla sinergije pri svojem delu proti izsiljevalskemu programju, bi morala vzpostaviti službo za pomoč uporabnikom, v ta namen pa bi lahko združevala ustrezne zmogljivosti in storitve za boj proti izsiljevalskemu programju ter zagotavljala lahko dostopne informacije, smernice in orodja, ki lahko bistvenim in pomembnim subjektom pomagajo pri odzivanju na incidente z izsiljevalskim programjem in okrevanju po njih.

(38)Agencija ENISA bi morala Komisiji zagotoviti tehnično strokovno znanje in podporo pri pripravi letnega tekočega programa vaj na ravni Unije na področju kibernetske varnosti v skladu s priporočilom o načrtu za kibernetsko varnost, da bi se pripravili na kibernetske krize, preizkusili raven kibernetske varnosti v subjektih, ki sodelujejo pri takih vajah, in čim bolj zmanjšali podvajanje prizadevanj. Agencija ENISA bi morala na primer svetovati o ustreznih vrstah vaj, kot so simulacijske, hibridne ali v celoti žive vaje, pa tudi o ciljih, scenarijih in udeležbi.

(39)Dostop do točnih in pravočasnih informacij o ranljivostih ter učinkovito upravljanje ranljivosti sta nujna za zagotavljanje visoke ravni kibernetske varnosti na notranjem trgu. Zato bi morala agencija ENISA vzdrževati evropsko podatkovno zbirko ranljivosti v skladu z Direktivo (EU) 2022/2555 in vzpostaviti skupno zmogljivost Unije za upravljanje ranljivosti, s čimer bi zagotovila odporno in trajnostno raven storitev ter zmanjšala tveganje motenj. V ta namen bi morala agencija ENISA preučiti možnosti za poglobitev strukturiranega sodelovanja s programi, registri ali podatkovnimi zbirkami, podobnimi evropski podatkovni zbirki ranljivosti, da bi preprečila podvajanje prizadevanj in si po potrebi prizadevala za dopolnjevanje na mednarodni ravni. Poleg tega bi morala agencija ENISA podpirati večstransko usklajeno razkrivanje ranljivosti na ravni Unije in zagotavljati storitve z dodano vrednostjo, kot so priporočila glede ranljivosti, ocenjevanje resnosti in seznami proizvodov, ter zagotavljati izboljšan evropski katalog znanih izrabljenih ranljivosti, da bi subjektom pomagala pri njihovem upravljanju ranljivosti.

(40)Vloga agencije ENISA pri razvoju evropskega certifikacijskega okvira za kibernetsko varnost bi morala biti ključni vidik njenega mandata. Agencija ENISA bi morala zagotavljati svoje tehnično strokovno znanje v celotnem življenjskem ciklu evropskih certifikacijskih shem za kibernetsko varnost. V zvezi s prihodnjo shemo bi morala agencija ENISA opredeliti obstoječe standarde ali tehnične specifikacije, na katerih lahko taka shema temelji, in po potrebi sama pripraviti tehnične specifikacije, na katere se je mogoče sklicevati v shemi. Agencija ENISA bi morala biti zadolžena za pripravo predlog za shemo na zahtevo Komisije. Za vzdrževanje že vzpostavljenih shem bi morala biti odgovorna agencija ENISA. Pri tem bi morala agencija ENISA prispevati k vzpostavitvi in razvoju certifikacijskega ekosistema, v katerem se pridobivajo povratne informacije držav članic in zasebnih deležnikov ter krepijo njihove certifikacijske zmogljivosti. To bi moralo vključevati tudi upravljanje namenskega spletnega mesta za certificiranje, na katerem so zadevne informacije v zvezi s sprejetimi shemami, vključno s certifikati in izjavami o skladnosti, prosto in javno dostopne.

(41)Za podporo izvajanju zadevne zakonodaje Unije bi morala agencija ENISA oblikovati zadnje stanje tehničnega razvoja na področju kibernetske varnosti z določitvijo tehničnih specifikacij za podporo izvajanju zadevne zakonodaje Unije, tudi z vidika njihove morebitne vključitve v evropske certifikacijske sheme za kibernetsko varnost. Agencija ENISA bi morala tudi spremljati pripravo in razvoj standardov pri zadevnih organih za standardizacijo, da bi spremljala trende standardizacije na evropski in svetovni ravni ter po potrebi sooblikovala te standarde s sodelovanjem pri dejavnostih organizacij za standardizacijo, tudi s pripravo prispevkov, in vodenjem teh dejavnosti. Pri tem bi morala agencija ENISA ostati nepristranska. V nekaterih primerih bi se morala agencija ENISA umakniti iz zadevnih dejavnosti v organih za standardizacijo, če bi morala oceniti evropske standarde, ki jih je Komisija zahtevala v podporo zakonodaji Unije. Agencija ENISA ne bi smela prispevati k pripravi standardov, za katerih ocenjevanje je odgovorna.

(42)V podporo izvajanju politik Unije in pripravi morebitnih standardizacijskih dejavnosti bi morala agencija ENISA prispevati k razvoju in ocenjevanju kriptografskih algoritmov, zlasti na področju postkvantne kriptografije. V tem okviru lahko agencija ENISA na zahtevo Komisije in ob upoštevanju sporazuma o prispevku, kot je opredeljen v Uredbi (EU, Euratom) 2024/2509 Evropskega parlamenta in Sveta 50 , vzpostavi postopek za zbiranje in ocenjevanje algoritmov za kriptografske algoritme s strani zadevnih deležnikov, zlasti kriptografske, akademske in raziskovalne skupnosti, pa tudi proizvajalcev, skupin CSIRT, nacionalnih organov za certificiranje kibernetske varnosti in pristojnih organov v skladu z Direktivo (EU) 2022/2555. Kadar agencija ENISA prispeva k vzpostavitvi takih postopkov, bi morala spodbujati sodelovanje med zadevnimi deležniki in izvajati organizacijske vidike. Postopek bi moral biti formalen, odprt, pregleden in vključujoč, vključno s posvetovanjem z zadevnimi deležniki o osnutkih minimalnih zahtev ter o postopku in merilih ocenjevanja, zlasti glede varnosti in učinkovitosti ocenjevanj.

(43)V podporo izvajanju dejavnosti ugotavljanja skladnosti v okviru evropskih certifikacijskih shem za kibernetsko varnost in druge zadevne zakonodaje Unije lahko agencija ENISA zagotovi ustrezna tehnična preizkuševalna orodja za podporo državam članicam, podjetjem in organom za ugotavljanje skladnosti pri dejavnostih ocenjevanja. Namen takih orodij bi moral biti ustvarjanje sinergij na ravni Unije in učinkovito delovanje postopkov ugotavljanja skladnosti za izpolnjevanje potreb držav članic in trga. Take potrebe se lahko pojavijo na primer na področju vgrajene varnosti za podporo podjetjem, vključno z malimi in srednjimi podjetji, pri njihovih prizadevanjih za izvajanje v okviru Uredbe (EU) 2024/2847. V tem okviru bi morala agencija ENISA zaračunavati pristojbine za kritje zadevnih stroškov, povezanih z vzpostavitvijo, zasnovo, razvojem, vzdrževanjem in posodabljanjem potrebnih zmogljivosti programske in strojne opreme za taka preizkuševalna orodja.

(44)Da bi podprla države članice pri njihovih prizadevanjih za odpravo pomanjkanja strokovnjakov za kibernetsko varnost ter vse večje potrebe po usposobljeni, raznoliki, tudi z vidika uravnotežene zastopanosti spolov, in prilagodljivi delovni sili ter omogočila mobilnost in pripravljenost delovne sile v vseh državah članicah, bi morala agencija ENISA graditi na načelih in delu, začetih v okviru akademije za kibernetske veščine. Agencija ENISA bi morala zlasti vzpostaviti evropski okvir za spretnosti na področju kibernetske varnosti kot skupni okvir za profile vlog na področju kibernetske varnosti. Agencija ENISA bi morala še naprej podpirati države članice pri odpravljanju razlik med spoloma v poklicih na področju kibernetske varnosti. Ta pristop je skladen z vizijo, predstavljeno v sporočilu Komisije o uniji spretnosti, in bi prispeval k njenim ciljem. Dodatno bi bilo treba preučiti možnost uvedbe znaka kakovosti za evropska potrdila o osebnih spretnostih na področju kibernetske varnosti.

(45)Evropski okvir za spretnosti na področju kibernetske varnosti bi moral biti praktično in prožno orodje, ki se uporablja prostovoljno ter zagotavlja skupno razumevanje in terminologijo zadevnih vlog ter povezanih nalog, spretnosti in znanja, ki so večinoma potrebni v poklicih na področju kibernetske varnosti, z namenom podpore pri prepoznavanju ključnih naborov spretnosti, vključno s prečnimi spretnostmi, ki jih potrebuje delovna sila, ter omogočanja ponudnikom izobraževanja, vključno s podjetji, visokošolskimi ustanovami ali ponudniki poklicnega izobraževanja in usposabljanja, da oblikujejo programe, ter pomoči oblikovalcem politik pri razvoju pobud za odpravo vrzeli v spretnostih. Ker ima lahko vlogo referenčnega okvira za priznavanje spretnosti, bi moral biti interoperabilen tudi z evropsko klasifikacijo spretnosti in poklicev, da bi kadrovskim oddelkom pomagal razumeti zahteve za načrtovanje virov, zaposlovanje in karierni razvoj v podporo potrebam na področju kibernetske varnosti. Medtem ko okvir digitalnih kompetenc DigComp 3.0 opisuje znanje, spretnosti in odnose, ki so potrebni za digitalno kompetentnost v vsakdanjem življenju, udeležbo v družbi, delo in učenje ter jih lahko uporabljajo tako odrasli kot otroci, evropski okvir za spretnosti na področju kibernetske varnosti ponuja preprost okvir za opredelitev vlog na področju kibernetske varnosti in s tem povezanih nalog ter znanj in spretnosti, potrebnih za njihovo izvajanje. V zvezi s tem je namenjen specializiranemu občinstvu na področju kibernetske varnosti, od dejanskih ali potencialnih strokovnjakov za kibernetsko varnost, izobraževalnih ustanov do delodajalcev. Evropski okvir za spretnosti na področju kibernetske varnosti bi moral podpirati tudi razvoj evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti, saj je ključno orodje za razvoj shem, omogoča pojav novih udeležencev na trgu in podpira konkurenco na trgu v skupnem okviru. Evropski okvir za spretnosti na področju kibernetske varnosti bi bilo treba redno ocenjevati in posodabljati za zagotovitev, da ustrezno odraža potrebe trga dela na področju kibernetske varnosti ter tehnološki razvoj in razvoj politike. Agencija ENISA bi morala podpirati uporabo evropskega okvira za spretnosti na področju kibernetske varnosti v državah članicah in subjektih Unije ter zagotavljati ustrezno podporo, kadar je taka pomoč potrebna.

(46)Spretnosti in kvalifikacije na področju kibernetske varnosti bi morale biti primerljive, pregledne in zaupanja vredne na celotnem notranjem trgu. V ta namen bi morala evropska potrdila o osebnih spretnostih na področju kibernetske varnosti 51 podpirati delodajalce, vključno z malimi in srednjimi podjetji ter zagonskimi podjetji, pri učinkovitem zaposlovanju dejanskih ali potencialnih strokovnjakov za kibernetsko varnost znotraj držav članic in med njimi v skladu s cilji iz sporočila o uniji spretnosti. Za zagotovitev doslednega izvajanja v vseh državah članicah bi morala evropska potrdila o osebnih spretnostih na področju kibernetske varnosti temeljiti na skupnem razumevanju na ravni Unije o spretnostih, potrebnih za doseganje teh ciljev, na podlagi skupnega sklopa meril pa bi jih morali izdajati ponudniki, ki jih je pooblastila agencija ENISA. Ta pristop bi moral biti skladen s cilji prihodnje pobude za prenosljivost spretnosti ter k njim prispevati.

(47)Razvoj evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti bi moral dopolnjevati ukrepe držav članic, saj javnim organom in gospodarskim subjektom omogoča uporabo evropskega mehanizma potrjevanja, v skladu s podporno pristojnostjo Unije na področju izobraževanja in poklicnega usposabljanja, kot je določeno v členu 6, točka (e), ter členu 165(1) in členu 166(1) PDEU. Sheme so lahko skupaj z delom akademije za kibernetske veščine tudi podlaga za visokošolske programe, kot so sektorske evropske diplome, in za razvoj mikrokvalifikacij. Zato namen evropskih shem potrdil o posameznih kibernetskovarnostnih veščinah ne bi smel biti harmonizacija zakonodaje in predpisov v državah članicah, temveč bi jih bilo treba obravnavati kot dejavnik in priložnost, ki ju lahko države članice in gospodarski akterji izkoristijo in spodbujajo.

(48)Agencija ENISA bi morala zagotoviti, da evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti ostanejo usklajene s potrebami trga ter temeljijo na izkušnjah tako javnih kot zasebnih ponudnikov posameznih certifikatov, vključno z državami članicami, visokošolskimi ustanovami, ustanovami za poklicno izobraževanje in usposabljanje ter podjetji. Agencija ENISA bi se morala o določanju prednostnih nalog za evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti posvetovati s Komisijo ter pri tem ustrezno upoštevati izvajanje politike in potrebe trga.

(49)Za zagotovitev usklajenosti med evropskim okvirom za spretnosti na področju kibernetske varnosti in shemami bi morala revizija profila vloge evropskega okvira za spretnosti na področju kibernetske varnosti samodejno sprožiti oceno ustreznosti s tem povezanih evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti, kar bi lahko privedlo do njihovega pregleda.

(50)Ob upoštevanju raznolikosti profilov vlog na področju kibernetske varnosti ter z njimi povezanih nalog, spretnosti in znanja bo morda treba ocenjevanje posameznikov in metode ocenjevanja prilagoditi v vsaki evropski shemi potrdil o osebnih spretnostih na področju kibernetske varnosti. Vsaka shema bi morala zagotoviti, da se ocenjevanje posameznikovih zahtevanih spretnosti v smislu učnih izidov, po potrebi vključno z ocenjevanjem ravni usposobljenosti, sistematično izvaja glede na profil vloge ali podskupino profila vloge evropskega okvira za spretnosti na področju kibernetske varnosti. Metode ocenjevanja lahko vključujejo elemente, kot so preverjanje teoretičnega znanja, praktično preverjanje, osnovni pogoji in medsebojno strokovno ocenjevanje. Izkušnje posameznikov bi bilo treba ustrezno upoštevati.

(51)Za zagotovitev doslednega izvajanja evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti, zlasti glede ocenjevanja posameznikov, bi morala agencija ENISA zagotoviti obvezno usposabljanje za osebje, ki je odgovorno za izvajanje ocenjevanja posameznikov. Tako osebje bi moralo imeti izkušnje na področju kibernetske varnosti, ki bi jih lahko dokazalo z evropskim potrdilom o osebnih spretnostih na področju kibernetske varnosti za profil vloge, za katerega izvaja ocenjevanje, in na ravni usposobljenosti, ki je vsaj enakovredna ravni posameznikov, ki jih ocenjuje.

(52)Vloga pooblaščenih ponudnikov potrdil je potrditi znanje in kompetence posameznika, da lahko opravlja eno od vlog evropskega okvira za spretnosti na področju kibernetske varnosti, ter dati zagotovilo delodajalcem po vsej Uniji. Ker bi tudi delodajalci, ki upravljajo kritično infrastrukturo Unije, upoštevali zagotovilo o kakovosti spretnosti in kompetenc posameznikov, ki pridobijo evropsko potrdilo o osebnih spretnostih na področju kibernetske varnosti, bi morali biti pooblaščeni ponudniki, ki potrjujejo raven spretnosti in kompetenc, z vidika kibernetske varnosti zaupanja vredni in ne bi smeli biti pod neustreznim vplivom tretje države, ki bi lahko povzročila pomisleke glede kibernetske varnosti. Zato subjekti s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti, določeni v skladu s to uredbo, ali pod nadzorom take tretje države, subjekta s sedežem v taki tretji državi ali državljana take tretje države (dobavitelji z visokim tveganjem) v skladu s to uredbo ne bi smeli biti upravičeni postati pooblaščeni ponudniki za katero koli evropsko potrdilo o osebnih spretnostih na področju kibernetske varnosti v skladu z naslovom II, oddelek 4.

(53)Da bi zagotovili, da lahko posamezniki, ki imajo evropsko potrdilo o kibernetskovarnostnih spretnostih, to potrdilo enostavno uporabljajo in delijo ter da se lahko tako potrdilo uporablja v vseh državah članicah, morajo pooblaščeni ponudniki potrdil zagotoviti, da se elektronska potrdila evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti na zahtevo posameznika izdajo v evropsko denarnico za digitalno identiteto, vzpostavljeno z Uredbo (EU) št. 910/2014. Pooblaščene ponudnike potrdil bi bilo treba šteti za ponudnike storitev zaupanja, za katere velja ureditev nadzora in odgovornosti iz Uredbe (EU) št. 910/2014. Shemo za potrjevanje atributov, ki se uporablja v skladu z Izvedbeno uredbo Komisije (EU) 2025/1569 52 , bi bilo treba registrirati v katalogu shem za potrjevanje atributov, določenem v navedeni izvedbeni uredbi.

(54)Da bi agencija ENISA prispevala k razvoju delovne sile na področju kibernetske varnosti in prenosljivosti spretnosti po vsej Uniji, bi morala prek namenskega spletnega mesta javnosti dati na voljo evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti in seznam pooblaščenih ponudnikov potrdil.

(55)Agencija ENISA bi se morala voditi in bi morala delovati ob upoštevanju načel skupnega pristopa k decentraliziranim agencijam Unije, ki so ga 19. julija 2012 sprejeli Evropski parlament, Svet in Komisija 53 . Kakor je primerno, bi bilo prav tako treba odraziti priporočila iz skupnega pristopa v delovnih programih, ocenah ter poročanju in upravnih praksah agencije ENISA.

(56)Da bi lahko upravni odbor učinkovito opravljal svoje naloge, zlasti pri določanju splošne usmeritve dejavnosti agencije ENISA in določanju njenih strateških prednostnih nalog, je bistveno, da ga sestavljajo visoki predstavniki držav članic in Komisije. V ta namen bi morala vsaka država članica za člana upravnega odbora imenovati vodjo nacionalnega pristojnega organa te države članice, odgovornega za kibernetsko varnost, imenovanega v skladu s členom 8(1) Direktive (EU) 2022/2555.

(57)Da bi zagotovili, da lahko namestniki v upravnem odboru ustrezno opravljajo svoje naloge, bi morale države članice imenovati namestnike z ustreznim strokovnim znanjem in izkušnjami. Komisija in države članice bi si morale v zvezi z namestniki prizadevati za uravnoteženo zastopanost moških in žensk v upravnem odboru ter omejiti njihove menjave, da bi zagotovile neprekinjeno delovanje upravnega odbora.

(58)Da bi lahko agencija ENISA učinkovito izpolnjevala svoje poslanstvo, bi moral upravni odbor, ki ga sestavljajo predstavniki držav članic in Komisije, določiti splošno usmeritev dejavnosti agencije ENISA, vključno z njenimi strateškimi prednostnimi nalogami, in zagotavljati, da ta naloge opravlja v skladu s to uredbo. Na upravni odbor bi bilo treba prenesti pooblastila, potrebna za pripravo in preverjanje izvrševanja proračuna, sprejetje ustreznih finančnih pravil, uvedbo preglednih delovnih postopkov za sprejemanje odločitev agencije ENISA, sprejetje enotnega programskega dokumenta agencije ENISA, sprejetje lastnega poslovnika, imenovanje izvršnega direktorja, odločitev o podaljšanju in prenehanju mandata izvršnega direktorja ter odločitev o uvedbi funkcije namestnika izvršnega direktorja in, če se uvede taka funkcija, o njegovem imenovanju ter podaljšanju in prenehanju njegovega mandata. Vsako osebo, ki v agenciji ENISA opravlja izvršilno funkcijo, bi moral zato imenovati upravni odbor. Upravni odbor bi moral biti odgovoren tudi za imenovanje ali razrešitev članov odbora za pritožbe ter za določitev pravil za preprečevanje ali obvladovanje nasprotij interesov v zvezi s tem.

(59)Da bi zagotovili, da agencija ENISA določa in redno posodablja svoje strateške prednostne naloge, bi moral upravni odbor vsako leto organizirati vsaj eno sejo, namenjeno strateškim prednostnim nalogam agencije ENISA. Da bi bile seje upravnega odbora učinkovite in dobro informirane, lahko upravni odbor na svoje seje povabi katero koli osebo, katere mnenje bi lahko bilo pomembno in zanimivo za obravnavane teme, da zagotovi vpogled, strokovno znanje ali nasvet. Taka oseba bi bila priložnostna opazovalka brez glasovalne pravice.

(60)Upravni odbor bi moral odločitve sprejeti z absolutno večino svojih članov, ki imajo glasovalno pravico, razen če je v tej uredbi določeno drugače. Zaradi pomembnosti proračunskih in kadrovskih zadev, zlasti zadev v zvezi z letnim proračunom, letnim poročilom o dejavnostih, strategijo za boj proti goljufijam, izvedbenimi pravili za izvajanje kadrovskih predpisov, imenovanjem izvršnega direktorja, namestnika izvršnega direktorja in računovodje, ukrepanjem na podlagi ugotovitev Evropskega urada za boj proti goljufijam (OLAF) in Evropskega javnega tožilstva (EJT) ter sprejetjem finančnih pravil agencije ENISA, bi moral upravni odbor take odločitve sprejeti le, če predstavnik Komisije glasuje pozitivno. Za sprejetje odločitve o končnem enotnem programskem dokumentu po upoštevanju mnenja Komisije bi bilo treba pozitivni glas predstavnika Komisije zahtevati le za tiste elemente odločitve, ki niso povezani z letnim in večletnim delovnim programom agencije ENISA.

(61)Izvršni odbor bi moral prispevati k učinkovitemu delovanju upravnega odbora. V okviru pripravljalnega dela v zvezi z odločitvami upravnega odbora bi moral upravni odbor podrobno preučiti zadevne informacije, raziskati razpoložljive možnosti ter ponuditi nasvete in rešitve za pripravo odločitev upravnega odbora. Poleg tega bi moral pomagati in svetovati izvršnemu direktorju pri izvajanju odločitev upravnega odbora.

(62)Da bi agencija ENISA delovala nemoteno, je treba njenega izvršnega direktorja imenovati na podlagi zaslug ter dokazanih upravnih in vodstvenih sposobnosti ter ustrezne usposobljenosti in izkušenj s področja kibernetske varnosti. Izvršni direktor bi moral svoje naloge opravljati popolnoma neodvisno. Upravni odbor bi moral izvršnega direktorja imenovati s seznama kandidatov, ki ga pripravi Komisija, po odprtem in preglednem postopku, ki spoštuje načelo uravnotežene zastopanosti spolov.

(63)Izvršni direktor bi moral po predhodnem posvetovanju s Komisijo pripraviti predlog enotnega programskega dokumenta agencije ENISA ter sprejeti vse ukrepe, potrebne za zagotovitev nemotenega izvajanja tega enotnega programskega dokumenta. Izvršni direktor bi moral pripraviti letno poročilo, ki se predloži upravnemu odboru in zajema izvajanje letnega delovnega programa agencije ENISA, ter osnutek poročila o načrtu prihodkov in odhodkov za agencijo ENISA ter izvrševati proračun. Nadalje bi moral izvršni direktor imeti možnost, da ustanovi ad hoc delovne skupine, da preučijo posamezna vprašanja, zlasti vprašanja znanstvene, tehnološke, pravne ali socialno-ekonomske narave. Treba bi bilo ustanoviti ad hoc delovno skupino, zlasti v zvezi s pripravo posebne predloge za evropsko certifikacijsko shemo za kibernetsko varnost (v nadaljnjem besedilu: predloga za shemo). Ustanovitev ad hoc delovne skupine bi lahko bila potrebna tudi za dejavnosti vzdrževanja v zvezi s posameznimi sprejetimi evropskimi certifikacijskimi shemami za kibernetsko varnost. Ad hoc delovne skupine bi bilo treba ustanoviti tudi za razvoj in vzdrževanje evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti ter za pomoč agenciji pri upravljanju, izvajanju in razvoju evropskega okvira za spretnosti na področju kibernetske varnosti. Izvršni direktor bi moral zagotoviti, da so člani ad hoc delovnih skupin izbrani v skladu z najvišjimi strokovnimi standardi, pri čemer bi si moral prizadevati za uravnoteženo zastopanost spolov ter glede na posamezna vprašanja ustrezno uravnoteženost med javnimi upravami držav članic, subjekti Unije ter zasebnim sektorjem, vključno z industrijo, uporabniki in znanstveniki za varnost omrežij in informacij ter znanstveniki za izdelke z digitalnimi elementi.

(64)Upravni odbor se lahko odloči, da vzpostavi funkcijo namestnika izvršnega direktorja, ki pomaga izvršnemu direktorju, kadar meni, da je taka funkcija potrebna za zagotovitev ali ohranitev nemotenega delovanja agencije ENISA. Pri odločanju o vzpostavitvi te funkcije lahko upravni odbor upošteva mnenje izvršnega direktorja.

(65)Agencija ENISA bi morala imeti svetovalno skupino, da bi zagotovila reden dialog z zasebnim sektorjem, organizacijami potrošnikov in drugimi zadevnimi deležniki. Svetovalna skupina agencije ENISA, ki jo na predlog izvršnega direktorja ustanovi upravni odbor, bi morala obravnavati zadeve, ki so pomembne za deležnike, in o njih obvestiti agencijo ENISA. S svetovalno skupino agencije ENISA bi se bilo treba posvetovati zlasti v zvezi z osnutkom letnega delovnega programa agencije ENISA. Sestava svetovalne skupine agencije ENISA in naloge, dodeljene tej skupini, bi morale zagotoviti zadostno zastopanost deležnikov pri delu agencije ENISA. Predstavniki organov za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, organov za varstvo podatkov in organov za nadzor trga na ravni držav članic in na ravni Unije bi morali imeti možnost, da so zastopani v svetovalni skupini agencije ENISA.

(66)Vložnikom, ki želijo postati pooblaščeni ponudniki potrdil ali podaljšati svojo pooblastitev, bi bilo treba omogočiti dostop do potrebnih pravnih sredstev, kadar nanje vplivajo odločitve, ki jih sprejme agencija ENISA. Zato bi bilo treba vzpostaviti ustrezen pritožbeni mehanizem, da bi bilo mogoče povezane odločitve agencije ENISA izpodbijati pred odborom za pritožbe, katerega odločitve so lahko v skladu s Pogodbama predmet sodnega nadzora Sodišča Evropske unije. Zahteva po izčrpanju pritožbenega postopka v okviru agencije ENISA pred vložitvijo tožbe pri Sodišču Evropske unije velja le za osebe, ki imajo procesno upravičenje pred odborom za pritožbe.

(67)Da se agenciji ENISA zagotovita popolna samostojnost in neodvisnost ter se ji omogoči, da lahko opravlja naloge, bi ji bilo treba dodeliti zadostna lastna proračunska sredstva, ki bi se financirala predvsem s prispevkom Unije, pa tudi s prispevki tretjih držav, ki sodelujejo pri delu agencije ENISA, ter s pristojbinami, ki jih plačujejo pooblaščeni ponudniki potrdil in organi za ugotavljanje skladnosti, ki sodelujejo v shemah ter izdajajo evropske certifikate kibernetske varnosti in izjave EU o skladnosti. Državi članici gostiteljici in vsaki drugi državi članici bi moralo biti dovoljeno, da lahko prostovoljno prispeva k proračunu agencije ENISA. Noben finančni prispevek ali prispevek v naravi, ki ga agencija ENISA prejme od držav članic, tretjih držav ali drugih subjektov ali oseb, ne bi smel ogroziti njene neodvisnosti in nepristranskosti. Proračunski postopek Unije bi se moral uporabljati za prispevek Unije in vse druge subvencije v breme splošnega proračuna Unije. Revizijo zaključnih računov agencije ENISA bi moralo opraviti Računsko sodišče, da bi bili zagotovljeni preglednost in odgovornost. Da bi se Agenciji omogočilo sodelovanje v vseh zadevnih prihodnjih projektih, bi ji bilo treba zagotoviti možnost prejemanja nepovratnih sredstev.

(68)Da bi agencija ENISA lahko učinkovito odgovarjala na povpraševanje po dejavnostih, ki jih izvaja, zlasti glede odločitev o pooblastitvi ponudnikov za izdajanje evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti ter glede vzdrževanja evropskih certifikacijskih shem za kibernetsko varnost in preizkuševalnih orodij, bi morala imeti pooblastilo za zaračunavanje pristojbin. Pristojbine, povezane z obdelavo vlog za pridobitev statusa pooblaščenega ponudnika potrdil, bi bilo treba ustrezno določiti, da bi v zadostni meri prispevale h kritju ocenjenih stroškov razvoja in vzdrževanja evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti ter ocenjevanja, ali so zahteve in obveznosti za pridobitev in ohranitev statusa pooblaščenega ponudnika potrdil izpolnjene in ali se še naprej izpolnjujejo. Pristojbine, povezane s stroški izdaje in podaljšanja pooblastil pooblaščenim ponudnikom potrdil, bi morale vključevati stroške, povezane z ocenami, ki jih izvaja ali nadzira agencija ENISA. Pristojbine, povezane s sodelovanjem v evropskih certifikacijskih shemah za kibernetsko varnost in izdajo certifikatov v okviru takih shem, bi bilo treba ustrezno določiti, da bi v zadostni meri prispevale h kritju ocenjenih stroškov vzdrževanja takih shem. Plačilo takih pristojbin bi moralo priglašenim organom za ugotavljanje skladnosti in, kjer je ustrezno, imetnikom certifikatov v okviru sheme omogočiti sodelovanje v takih dejavnostih ter v zadevnih dejavnostih krepitve zmogljivosti in promocijskih dejavnostih za spodbujanje izmenjave dobrih praks ter širšo uporabo shem in certificiranih rešitev.

(69)Za zagotovitev sorazmernosti, preglednosti in pravne varnosti bi bilo treba pristojbine določiti na pregleden in pravičen način. Ti stroški bi morali zajemati vse odhodke agencije ENISA za osebje, ki opravlja dejavnosti, za katere se plačujejo pristojbine, zlasti sorazmerne prispevke delodajalca v pokojninsko shemo, ter stroške, povezane z odborom za pritožbe. Pristojbine ne smejo povzročiti nepotrebnih finančnih ali upravnih bremen za vložnike. Določiti bi bilo treba razumne roke za plačilo pristojbin.

(70)Določiti je treba sklop kazalnikov za merjenje delovne obremenitve, uspešnosti in učinkovitosti agencije v zvezi z dejavnostmi, ki se financirajo s pristojbinami. Ob upoštevanju teh kazalnikov bi morala agencija prilagoditi svoje kadrovsko načrtovanje in upravljanje sredstev, povezanih s pristojbinami, da bi se lahko ustrezno odzivala na take potrebe in na morebitna nihanja prihodkov iz pristojbin.

(71)Za določitev in pravilno upravljanje tveganja dejanskega ali domnevnega nasprotja interesov bi morala imeti agencija ENISA vzpostavljena pravila v zvezi s preprečevanjem in obvladovanjem nasprotij interesov. Agencija ENISA bi morala poleg tega uporabljati predpise o dostopu javnosti do dokumentov iz Uredbe Evropskega parlamenta in Sveta (ES) št. 1049/2001 54 . Agencija ENISA bi morala osebne podatke obdelovati v skladu z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta 55 . Agencija ENISA bi morala spoštovati določbe, ki veljajo za subjekte Unije, in nacionalno zakonodajo o ravnanju s podatki, zlasti občutljivimi netajnimi podatki in tajnimi podatki Evropske unije (EUCI).

(72)Agencija ENISA ima lahko pri opravljanju svojih nalog dostop do občutljivih informacij, kot so informacije o kibernetskih grožnjah in incidentih. Zato je bistveno, da agencija ENISA ohrani zaupnost informacij, s katerimi ravna. Zlasti v skladu s členom 339 Pogodbe o delovanju Evropske unije (PDEU) uradniki in drugi uslužbenci agencije ENISA tudi po prenehanju opravljanja svojih dolžnosti ne bi smeli razkriti informacij, za katere velja obveznost varovanja poslovne skrivnosti, zlasti informacij o podjetjih, njihovih poslovnih odnosih ali sestavinah stroškov.

(73)Da bi lahko agencija ENISA v celoti izpolnila svoje cilje, bi morala sodelovati z zadevnimi nadzornimi organi Unije in drugimi pristojnimi organi v Uniji, zadevnimi subjekti Unije, vključno s skupino CERT-EU, EC3 pri Europolu, Evropskim industrijskim, tehnološkim in raziskovalnim kompetenčnim centrom za kibernetsko varnost, Evropsko obrambno agencijo (EDA), Agencijo Evropske unije za vesoljski program (EUSPA), Organom evropskih regulatorjev za elektronske komunikacije (BEREC), Agencijo Evropske unije za operativno upravljanje obsežnih informacijskih sistemov s področja svobode, varnosti in pravice (eu-LISA), Evropsko centralno banko (ECB), Evropskim bančnim organom (EBA), Evropskim odborom za varstvo podatkov, Agencijo za sodelovanje energetskih regulatorjev (ACER), Agencijo Evropske unije za varnost v letalstvu (EASA) in vsemi drugimi subjekti Unije, ki se ukvarjajo s kibernetsko varnostjo. Agencija ENISA bi morala prav tako sodelovati s pristojnimi organi iz Direktive (EU) 2022/2555, organi za nadzor trga in organi, ki se ukvarjajo z varstvom podatkov, da bi izmenjevala tehnično znanje in izkušnje ter dobre prakse kot tudi nudila svetovanje glede vprašanj kibernetske varnosti, ki bi lahko vplivala na njihovo delo.

(74)Europol ima pomembno vlogo pri preprečevanju kibernetske kriminalitete in boju proti njej, vključno s kibernetsko kriminaliteto, povezano z incidenti na področju varnosti omrežij in informacij. Za ustvarjanje sinergij med zadevnimi nalogami vsake agencije bi morala agencija ENISA sodelovati z Europolom, zlasti z izmenjavo informacij o trendih tehnik, zahtevah in učinkih napadov z izsiljevalskim programjem. Tako sodelovanje lahko vključuje tudi prepoznavanje najpogostejših različic izsiljevalskega programja, ki ciljajo na subjekte iz prilog I in II k Direktivi (EU) 2022/2555, za podporo bistvenim in pomembnim subjektom pri odzivanju na incidente in okrevanju po njih.

(75)Za podporo operativnemu sodelovanju in skupnemu situacijskemu zavedanju o kibernetskih grožnjah in incidentih je bistveno, da agencija ENISA sodeluje z deležniki, zlasti s podjetji in organizacijami iz zasebnega sektorja, s katerimi lahko vzpostavi javno-zasebna partnerstva.

(76)Za učinkovito doseganje ciljev iz te uredbe lahko agencija ENISA sodeluje zlasti z akademskimi ustanovami, ki imajo raziskovalne pobude na zadevnih področjih, ter razvije ustrezne kanale za prispevke potrošniških organizacij in drugih organizacij.

(77)Glede na brezmejno naravo kibernetskih groženj in incidentov lahko raven kibernetske varnosti in pripravljenosti tretjih držav vpliva na subjekte v Uniji. Zato bi morala biti agencija ENISA zmožna zagotavljati dejavnosti krepitve zmogljivosti, vključno z usposabljanjem, krepitvijo zmogljivosti, dejavnostmi tesnega sodelovanja v tretjih državah ter zlasti prilagojene dejavnosti krepitve zmogljivosti za države kandidatke za pristop k Uniji ali druge partnerske države v skladu s prednostnimi nalogami Unije. Take dejavnosti bi bilo treba izvajati na podlagi posebne zahteve za zagotovitev ustrezne podpore, ob upoštevanju prednostnih nalog Unije, izvajati pa bi jih bilo treba s posebnimi ureditvami, vključno s sporazumi o prispevkih iz Uredbe (EU, Euratom) 2024/2509. Cilj evropskega certifikacijskega okvira za kibernetsko varnost je zaščititi pred kibernetskimi grožnjami, kot so zlonamerno izrabljene ranljivosti na področju kibernetske varnosti ali kibernetski incidenti, ki vplivajo na funkcionalnost (načrtovanje in delovanje) proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih. Z osredotočanjem na tehnična tveganja, povezana s proizvodi IKT, storitvami IKT, postopki IKT, upravljanimi varnostnimi storitvami ali položajem kibernetske varnosti v subjektih, bi moral evropski certifikacijski okvir za kibernetsko varnost dopolnjevati okvir za varnost dobavnih verig IKT, katerega cilj je zagotoviti harmoniziran pristop na ravni Unije za obravnavanje netehničnih tveganj v visoko kritičnih sektorjih in drugih kritičnih sektorjih.

(78)Države članice bi morale imeti možnost uporabiti evropsko certificiranje kibernetske varnosti v okviru javnega naročanja v skladu z Direktivo 2014/24/EU Evropskega parlamenta in Sveta 56 .

(79)Za lažjo poenostavitev izpolnjevanja zahtev glede skladnosti za subjekte bi moral evropski certifikacijski okvir za kibernetsko varnost zagotoviti možnost potrjevanja njihovega položaja kibernetske varnosti. Subjekti, zlasti tisti, ki zagotavljajo več vrst storitev v več državah članicah, se lahko srečujejo z različnimi obveznostmi glede kibernetske varnosti in varnosti podatkov v okviru horizontalnih instrumentov, kot sta Uredba (EU) 2016/679 Evropskega parlamenta in Sveta 57  in Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta 58 , pa tudi sektorskih instrumentov. Za racionalizacijo izvajanja celotnega regulativnega okvira za kibernetsko varnost in olajšanje skladnosti z njim bi morala zakonodaja Unije omogočiti, da subjekti dokažejo skladnost z zahtevami glede obvladovanja tveganj za kibernetsko varnost z evropskim certifikatom kibernetske varnosti. Ustrezna shema bi lahko prispevala k racionalizaciji zahtev glede skladnosti, ki izhajajo iz različnih regulativnih instrumentov, brez poseganja v njihove posebne zahteve glede certificiranja. Taki ukrepi za poenostavitev bi lahko zmanjšali upravno breme in sprostili vire za krepitev operativne pripravljenosti subjektov v kritičnih sektorjih Unije na področju kibernetske varnosti.

(80)Evropsko certificiranje zahtev za obvladovanje tveganj za kibernetsko varnost, razvito na podlagi evropskega certifikacijskega okvira za kibernetsko varnost, bi moralo subjektom omogočiti, da dokažejo skladnost z zadevno zakonodajo Unije, kadar shema zajema ustrezne pravne zahteve, določene v takem aktu, in kadar to določa. Na tej podlagi lahko pravni akt Unije določi tudi domnevo o skladnosti s temi zahtevami. Take sheme bi lahko prispevale k izboljšanju skladnega izvajanja zahtev zakonodaje Unije glede kibernetske varnosti, enakim konkurenčnim pogojem v vseh državah članicah in zmanjšanju bremena zagotavljanja skladnosti.

(81)Evropski certifikacijski okvir za kibernetsko varnost bi moral omogočati certificiranje postopkov IKT, opredeljenih kot sklop dejavnosti, ki se izvajajo za zasnovo, razvoj, dobavo ali vzdrževanje proizvoda IKT ali storitve IKT. Profil zaščite je primer postopka IKT, kot je določen v Izvedbeni uredbi Komisije (EU) 2024/482 59 . Drug primer postopka IKT je sklop dejavnosti, ki jih proizvajalec izvaja za varno zasnovo in razvoj proizvoda IKT, vključno s fizičnimi, logičnimi, postopkovnimi, kadrovskimi in drugimi varnostnimi ukrepi, ki so potrebni za zaščito zaupnosti in celovitosti zasnove in izvedbe proizvoda IKT v njegovem razvojnem okolju. Certificiranje takih dejavnosti se pogosto imenuje „certificiranje lokacije“ v okviru postopka certificiranja v skladu z Izvedbeno uredbo Komisije (EU) 2024/482.

(82)Opredelitev pojma upravljanih varnostnih storitev v tej uredbi bi morala biti skladna z opredelitvijo pojma ponudnikov upravljanih varnostnih storitev iz Direktive (EU) 2022/2555. Te storitve vključujejo izvajanje dejavnosti, povezanih z obvladovanjem tveganj za kibernetsko varnost za stranke teh storitev, ali zagotavljanje pomoči pri takih dejavnostih ter postajajo vse pomembnejše pri preprečevanju in blaženju incidentov. Zato se ponudniki teh storitev štejejo za bistvene ali pomembne subjekte, ki spadajo v visoko kritični sektor na podlagi Direktive (EU) 2022/2555. Ponudniki upravljanih varnostnih storitev imajo na področjih, kot so odzivanje na incidente, penetracijsko testiranje, revizije varnosti in svetovanje, še posebej pomembno vlogo pri zagotavljanju pomoči subjektom pri njihovih prizadevanjih za preprečevanje in odkrivanje incidentov ter odzivanje nanje ali okrevanje po njih. Vendar so ponudniki upravljanih varnostnih storitev tudi sami tarča kibernetskih napadov in predstavljajo posebno tveganje, saj so tesno vključeni v delovanje svojih strank. Zato je nujno, da so bistveni in pomembni subjekti v smislu Direktive (EU) 2022/2555 skrbnejši pri izbiri ponudnikov upravljanih varnostnih storitev.

(83)Evropske certifikacijske sheme za kibernetsko varnost so pomembne za široko skupnost deležnikov, kot so ponudniki rešitev IKT, organi za ugotavljanje skladnosti in uporabniki. Za spodbujanje obsežnega sodelovanja deležnikov bi bilo treba evropsko skupščino za certificiranje kibernetske varnosti (v nadaljnjem besedilu: skupščina) organizirati vsaj enkrat letno, z namenom spodbujanja sodelovanja med Komisijo, agencijo ENISA, državami članicami in zadevnimi deležniki. Imela bo ključno vlogo pri prepoznavanju in obravnavanju novih izzivov na področju kibernetske varnosti ter strateških prednostnih nalog za certificiranje ter zagotavljanju, da certifikacijske sheme olajšujejo varno vključevanje digitalnih tehnologij in ustrezajo potrebam uporabnikov. Skupščina bi morala spodbujati vodilno vlogo Unije pri dejavnostih certificiranja in podpirati zmožnost certifikacijskega okvira, da zagotavlja zaupanje podjetjem, javnim organom in javnosti.

(84)Komisija bi morala vzdrževati namensko spletno mesto, da bi zagotovila preglednost z objavo posodobljenih informacij o napredku pri izvajanju evropskega certifikacijskega okvira za kibernetsko varnost. Spletno mesto bi moralo vključevati informacije v zvezi s certifikacijskimi shemami v pripravi, strateškimi prednostnimi nalogami za prihodnje certifikacijske sheme, zahtevami agenciji ENISA za pripravo predlog za certifikacijskih sheme ter informacije o sprejetju certifikacijskih shem. Spletno mesto Komisije bo dopolnjevalo spletno mesto agencije ENISA o evropskih certifikacijskih shemah za kibernetsko varnost, ki bi moralo vsebovati izčrpne podrobnosti o tehnični pripravi predlog za sheme in vzdrževanju shem, s poudarkom na izdanih evropskih certifikatih kibernetske varnosti in izjavah EU o skladnosti.

(85)Da bi Komisija okrepila dialog med institucijami Unije in prispevala k formalnemu, odprtemu, preglednemu in vključujočemu postopku posvetovanja, bi morala pri ocenjevanju te uredbe upoštevati elemente na podlagi stališč, ki so jih izrazili Evropski parlament, Svet in evropska skupščina za certificiranje kibernetske varnosti.

(86)Študije izvedljivosti, ki jih izvaja agencija ENISA, naj bi pripomogle k pripravi načrtovanja in razvoja certifikacijskih shem za kibernetsko varnost. Študije bi morale vključevati vidike zadevnih deležnikov ter uskladiti prihodnje certifikacijske sheme s tekočimi dejavnostmi raziskav, razvoja in tehnološkega ocenjevanja, pri čemer je treba posebej priznati prispevke raziskovalnih pobud Unije in držav članic. Take študije lahko pomagajo prepoznati razpoložljive standarde in tehnične specifikacije. Izvajati bi jih bilo treba na zahtevo Komisije ali v skladu s strateškimi prednostnimi nalogami Unije, da se zagotovita ustrezna obravnava in upoštevanje spreminjajočega se tehnološkega okolja ter potreb po kibernetski varnosti pri pripravi in razvoju shem.

(87)Zasnova predloge za shemo in njeno zajetje varnostnih ciljev ter elementov morata biti sorazmerna s predmetom in obsegom predmeta certificiranja. Na primer, certifikacijska shema za storitve v oblaku bi lahko obravnavala varnostne cilje, ki so pomembni za storitve IKT in organizacijsko varnost. Kot drug primer varnostni cilj, povezan z nevključitvijo znanih ranljivosti, ki jih je mogoče izrabiti, verjetno ne bo pomemben za certificiranje postopkov IKT.

(88)Za zagotovitev harmoniziranega izvajanja evropskih certifikacijskih shem za kibernetsko varnost v vseh državah članicah je treba določiti pravila o vzdrževanju shem. Vzdrževalne dejavnosti so prav tako potrebne za zagotovitev, da sheme in njihova podporna dokumentacija ostanejo posodobljene, zlasti na področju kibernetske varnosti, kjer se okolje groženj in tehnologije nenehno razvijajo. Certifikacijske sheme bi bilo zato treba zasnovati in vzdrževati tako, da se prepreči tveganje, da bi hitro zastarele. Dejavnosti vzdrževanja bi morale običajno vključevati pripravo in posodabljanje podporne dokumentacije, vključno s tehničnimi specifikacijami in smernicami, ter opredelitev standardov ali tehničnih specifikacij, ki so pomembni za shemo. Del vzdrževalnih dejavnosti bi morala biti tudi analiza delovanja sheme, njenih morebitnih pomanjkljivosti in potrebnih izboljšav. Poleg tega bi morale dejavnosti vzdrževanja vključevati izmenjavo informacij med državami članicami glede izvajanja shem ter prispevke k mehanizmom medsebojnega strokovnega pregleda in ocenjevanja.

(89)Zaradi tehnične narave dejavnosti vzdrževanja bi morala ENISA te dejavnosti upravljati v sodelovanju s Komisijo ter ob podpori evropske certifikacijske skupine za kibernetsko varnost in njene zadevne podskupine za vzdrževanje. Ustanovitev podskupine za vzdrževanje pri evropski certifikacijski skupini za kibernetsko varnost omogoča zbiranje tehničnih prispevkov in spoznanj držav članic z namenom harmonizacije pristopov.

(90)Dejavnosti vzdrževanja bi morale vključevati sodelovanje z zadevnimi skupinami deležnikov, da se zagotovi, da sheme ostanejo primerne za trg in posodobljene, vključno z izmenjavo in prejemanjem tehničnih prispevkov. Take skupine deležnikov so lahko organizacije za standardizacijo, organi za ugotavljanje skladnosti, ponudniki, uporabniki, javni organi ali trgovinska združenja. Posebnosti vsake sheme, vključno z ustreznimi tehničnimi forumi in panogami, pomenijo, da je treba omogočiti zbiranje tehničnih prispevkov na različne načine pri posameznih shemah. Pri nekaterih shemah bi morala imeti agencija ENISA možnost, da se opre na ad hoc delovno skupino, ki združuje strokovnjake iz javnih uprav držav članic, subjektov Unije in zasebnega sektorja. Tehnične prispevke bi lahko zagotovili tudi centri za izmenjavo in analizo informacij ali organizacije za standardizacijo. Agencija ENISA bi morala analizirati, katera oblika je najprimernejša za posamezno shemo, in v vsako predlogo za shemo vključiti strategijo vzdrževanja.

(91)Evropske certifikacijske sheme za kibernetsko varnost bi se morale opirati na standarde ali tehnične specifikacije, zlasti za opredelitev varnostnih zahtev in metodologij ocenjevanja. Agencija ENISA bi morala imeti možnost priprave tehničnih specifikacij, da bi podprla pripravo in vzdrževanje shem, zlasti kadar rezultati organizacij za standardizacijo manjkajo ali niso primerni za izpolnjevanje ciljev sheme. Agencijo ENISA bi morala v okviru postopka priprave podpirati evropska certifikacijska skupina za kibernetsko varnost in, kjer je ustrezno, ad hoc delovna skupina, ustanovljena za zadevno shemo. Agencija ENISA bi morala za prispevke zaprositi tudi skupine deležnikov. Poleg tega bi morala agencija ENISA upoštevati tržno sprejemanje ter evropske in mednarodne standarde. Komisija bi morala ob upoštevanju kakovosti tehničnih specifikacij in ciljev sheme imeti možnost, da se v evropski certifikacijski shemi za kibernetsko varnost sklicuje na tehnične specifikacije, ki jih pripravi agencija ENISA.

(92)Tehnične specifikacije, ki jih razvije agencija ENISA in so navedene v shemi, morajo biti na voljo na spletnem mestu agencije ENISA o evropskih certifikacijskih shemah za kibernetsko varnost, da lahko do njih dostopajo vse zainteresirane strani. Vendar bi lahko v nekaterih posebnih primerih objava na spletnem mestu pomenila tveganje za kibernetsko varnost certificiranih proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaj kibernetske varnosti v subjektih ter posledično za javno varnost. Tehnične specifikacije bi lahko na primer vsebovale natančne informacije o novih napadnih poteh, katerih javna dostopnost bi zlonamernim akterjem omogočila njihovo uporabo. Tovrstne informacije bi bilo treba na podlagi potrebe po seznanitvi omejeno razširjati zadevnim deležnikom, kot so nacionalni certifikacijski organi za kibernetsko varnost, organi za ugotavljanje skladnosti in proizvajalci, ki se certificirajo. Zaradi omejene distribucije se take tehnične specifikacije ne bi smele navajati v evropskih certifikacijskih shemah za kibernetsko varnost in bi zato morale biti nezavezujoče.

(93)Certifikacijske sheme položaja kibernetske varnosti bi morale biti zasnovane modularno, da bi omogočile dokazovanje skladnosti in domnevo o skladnosti z zadevnimi zahtevami glede kibernetske varnosti, določenimi v drugi zakonodaji Unije, kadar ta zakonodaja to omogoča. Domneva o skladnosti z zahtevami teh pravnih aktov bo zato začela veljati le kot možen način za dokazovanje skladnosti, če zadevni pravni akti omogočajo tako domnevo o skladnosti. Podrobnosti take sheme, kot so namen, cilji ali elementi, se bodo zato verjetno razlikovale od podrobnosti drugih shem. Zlasti bi bilo treba razviti sheme za certificiranje položaja kibernetske varnosti v subjektih, da bi omogočile oceno stalne skladnosti subjekta z zakonodajo Unije. Zato ni nujno, da certifikacijske sheme položaja kibernetske varnosti zajemajo vse elemente evropskih certifikacijskih shem za kibernetsko varnost, kot so ravni zanesljivosti, kar bi se moralo odražati v pravilih za sheme.

(94)Okvir za certificiranje položaja kibernetske varnosti v evropskem certifikacijskem okviru za kibernetsko varnost omogoča razvoj sheme, ki subjektom, ki opravljajo storitve v več državah članicah, omogoča dokazovanje skladnosti z obveznostmi obvladovanja tveganj na področju kibernetske varnosti iz Direktive 2022/2555 Evropskega parlamenta in Sveta. Na tej podlagi lahko subjekti zmožnost dokazovanja skladnosti izkoristijo za bolj usklajene in manj obremenjujoče nadzorne pristope na notranjem trgu. Razvoj take sheme certificiranja bi bilo treba olajšati s sprejetjem izvedbenih aktov na podlagi Direktive (EU) 2022/2555. Certifikacijska shema položaja kibernetske varnosti lahko s profili razširitev dokaže skladnost z zahtevami, kadar je država članica sprejela ali ohranila določbe, ki zagotavljajo višjo raven kibernetske varnosti v skladu z Direktivo (EU) 2022/2555. Na tej podlagi lahko subjekt, ki opravlja storitve v več državah članicah, dokaže skladnost z vsemi zadevnimi profili razširitev z enotnim evropskim certifikatom kibernetske varnosti.

(95)Varnostni cilji in varnostne zahteve, ki so določeni v evropskih certifikacijskih shemah za kibernetsko varnost in se nanašajo na varnost proizvodov, morajo biti skladni z bistvenimi zahtevami glede kibernetske varnosti iz Priloge I k Uredbi (EU) 2024/2847. Ta skladnost je potrebna, da se proizvajalci, katerih proizvodi spadajo na področje uporabe Uredbe (EU) 2024/2847, pri certificiranju svojih proizvodov v okviru evropske certifikacijske sheme za kibernetsko varnost ne srečujejo z nasprotujočimi si zahtevami. Poleg tega doslednost zahtev olajšuje domnevo o skladnosti iz člena 27 Uredbe (EU) 2024/2847, pri čemer lahko proizvajalci izdelkov z digitalnimi elementi, ki so bili certificirani v okviru evropske certifikacijske sheme za kibernetsko varnost, pod nekaterimi pogoji izkoristijo domnevo o skladnosti z bistvenimi zahtevami glede kibernetske varnosti iz Priloge I k navedeni uredbi.

(96)V okviru evropske certifikacijske sheme za kibernetsko varnost bi moralo biti mogoče določiti profil razširitve z določitvijo dodatnih ali posebnih zahtev za primere uporabe, vključno z dodatnimi zmogljivostmi, kot so izboljšane značilnosti proizvodov, specializirane ponudbe storitev ali sredstva, optimizirani postopki in napredni varnostni ukrepi. Ker profili razširitve ne ustrezajo določeni ravni zanesljivosti, bi morali svoj namen podrobno opisati, vključno z obravnavanimi varnostnimi grožnjami. Profili razširitve so namenjeni zlasti dokazovanju skladnosti s posebnimi standardi in regulativnimi zahtevami, vključno po potrebi z zahtevami glede dodatnih ukrepov za obvladovanje tveganj za kibernetsko varnost, ki jih država članica določi na podlagi načela minimalne harmonizacije v skladu z Direktivo (EU) 2022/2555.

(97)Brez poseganja v splošni sistem medsebojnih strokovnih pregledov, ki bo vzpostavljen v vseh nacionalnih certifikacijskih organih za kibernetsko varnost na podlagi evropskega certifikacijskega okvira za kibernetsko varnost, bi moralo biti mogoče v evropske certifikacijske sheme za kibernetsko varnost vključiti mehanizem medsebojnega strokovnega ocenjevanja za organe, ki izdajajo evropske certifikate kibernetske varnosti za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih, zlasti za tiste organe, ki v okviru takih shem izdajajo certifikate z „visoko“ ravnjo zanesljivosti. Taki organi bi morali vključevati tudi certifikacijske organe nacionalnih certifikacijskih organov za kibernetsko varnost, ki izdajajo certifikate na „visoki“ ravni zanesljivosti. Evropska certifikacijska skupina za kibernetsko varnost bi morala podpirati izvajanje takšnih mehanizmov medsebojnega strokovnega ocenjevanja. Pri medsebojnem strokovnem ocenjevanju bi bilo treba zlasti oceniti, ali zadevni organi svoje naloge izvajajo harmonizirano, mehanizmi pa lahko vključujejo tudi pritožbene mehanizme.

(98)Krize, kot so vojne, naravne nesreče in pandemije, bi lahko negativno vplivale na dejavnosti certificiranja. V takih kriznih scenarijih morda ne bo mogoče zagotoviti varnosti lokacije zaradi uničenja infrastrukture, kibernetskih napadov, nedosegljivosti osebja in nedostopnosti lokacije. Evropska certifikacijska shema za kibernetsko varnost bi zato morala določiti začasna pravila o neprekinjenosti dejavnosti certificiranja v takih scenarijih.

(99)Za prenos tehničnih predlog za sheme v izvedbene akte je potrebno zapleteno tehnično in pravno znanje ter lahko povzroči znatno upravno breme. Poleg tega so nekateri elementi evropskih certifikacijskih shem za kibernetsko varnost, kot so obvladovanje ranljivosti ali pogoji, pod katerimi se lahko take oznake ali znaki uporabljajo, medsektorski in imajo lahko koristi od harmoniziranih referenčnih določb. Zaradi kakovosti sprejetih evropskih certifikacijskih shem za kibernetsko varnost in zmanjšanje bremena izpolnjevanja obveznosti za podjetja bi morala biti Komisija pooblaščena za sprejetje vzorčnih določb, ki zajemajo nekatere elemente evropskih certifikacijskih shem za kibernetsko varnost.

(100)Zaradi skladnosti evropskega certifikacijskega okvira za kibernetsko varnost bi moralo biti v okviru evropske certifikacijske sheme za kibernetsko varnost mogoče določati ravni zanesljivosti za evropske certifikate kibernetske varnosti in izjave EU o skladnosti, izdane v okviru te sheme. Evropski certifikat kibernetske varnosti bi se moral nanašati na eno od ravni zanesljivosti: „osnovno“, „znatno“ ali „visoko“, izjava EU o skladnosti pa bi se morala nanašati samo na „osnovno“ raven zanesljivosti. Ravni zanesljivosti bi morale določati ustrezno strogost in obseg ocene proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu in bi morale biti opredeljene s sklici na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je ublažiti ali preprečiti incidente. Vsaka raven zanesljivosti bi morala biti usklajena s posameznimi sektorskimi področji, v katerih se uporablja certificiranje.

(101)Uporabnik evropskega certifikata kibernetske varnosti bi moral izbrati ustrezno certifikacijo in z njo povezane varnostne zahteve na podlagi analize tveganja, povezanega z uporabo proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali okvirom certificiranja subjektov. V skladu s tem bi morala raven zanesljivosti ustrezati stopnji tveganja, povezani s predvideno uporabo proizvoda IKT, storitve IKT, postopka IKT, upravljanih varnostnih storitev ali operativnim okoljem in naravo subjekta, katerega položaj kibernetske varnosti je predmet certificiranja.

(102)Za „osnovno“ raven zanesljivosti bi morala ocena temeljiti na vsaj naslednjih elementih zanesljivosti: ocena bi morala vključevati vsaj pregled tehnične dokumentacije proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu, ki ga opravi organ za ugotavljanje skladnosti. Kadar certificiranje vključuje tudi postopke IKT, bi moral biti predmet tehničnega pregleda tudi postopek, ki se uporablja za zasnovo, razvoj in vzdrževanje proizvoda IKT, storitve IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu. Kadar evropska certifikacijska shema za kibernetsko varnost predvideva samoocenjevanje skladnosti, bi moralo zadostovati, da je proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja, izvedel samooceno skladnosti proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu s certifikacijsko shemo.

(103)Pri „znatni“ ravni zanesljivosti bi moralo biti vodilo ocenjevanja poleg zahtev iz „osnovne“ ravni zanesljivosti vsaj še preverjanje skladnosti varnostnih funkcionalnosti proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu s pripadajočo tehnično dokumentacijo.

(104)Pri „visoki“ ravni zanesljivosti bi moralo biti vodilo ocenjevanje poleg zahtev iz „znatne“ ravni zanesljivosti vsaj še preizkušanje učinkovitosti, s katerim se preveri odpornost varnostnih funkcionalnosti proti kompleksnim kibernetskim napadom, ki jih izvedejo osebe, ki imajo precejšnje znanje in vire. Dejavnosti ugotavljanja skladnosti bi bilo treba za „visoko“ raven zanesljivosti ali kadar je shema zasnovana tako, da dokazuje skladnost in zagotavlja domnevo o skladnosti z drugo zakonodajo Unije, izvajati v Evropskem gospodarskem prostoru. Ta zahteva je utemeljena z dejstvom, da dejavnosti ocenjevanja, ki potekajo zunaj Evropskega gospodarskega prostora, predstavljajo dodatne grožnje kibernetski varnosti, zlasti intelektualni lastnini ocenjenih proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali subjektov. Na primer, izvorna koda proizvoda IKT bi lahko bila pregledana ob prehodu meje tretje države, kar predstavlja tveganje za intelektualno lastnino. Poleg tega preizkuševalni laboratoriji s sedežem v tretjih državah ne delujejo v okolju, ki ga zadevajo ukrepi za kibernetsko varnost, ki jih zahteva zakonodaja EU, kot sta Direktiva (EU) 2022/2555 ali Uredba (EU) 2024/2847. Preizkuševalni laboratorij se lahko na primer zanaša na ponudnika storitev v oblaku tretje osebe, ki ne izpolnjuje zahtev glede kibernetske varnosti iz Direktive (EU) 2022/2555. Kljub temu bi morala certifikacijska shema omogočati določitev mehanizmov za odstopanja, na primer v zvezi s certificiranjem lokacije ali v drugih primerih, ko dejavnosti ugotavljanja skladnosti ni mogoče razumno izvajati v Evropskem gospodarskem prostoru.

(105)V nekaterih primerih so lahko morda potrebni različni pristopi za doseganje varnostnih ciljev določene ravni zanesljivosti, da bi se obravnavale posebnosti proizvoda IKT, storitve IKT, postopka IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih. Da bi omogočili bolj razčlenjen pristop, bi moralo biti v evropski certifikacijski shemi za kibernetsko varnost mogoče določiti eno ali več ravni ocenjevanja, ki ustrezajo eni od ravni zanesljivosti. To bo omogočilo razvoj shem, pri katerih bo več stopenj ocenjevanja, zasnovanih za različne namene, ustrezalo ravni varnosti, povezani z določeno ravnjo zanesljivosti.

(106)Evropske certifikacijske sheme za kibernetsko varnost bi morale omogočati, da se ugotavljanje skladnosti izvede na izključno odgovornost proizvajalca ali ponudnika proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev oziroma subjekta, katerega položaj kibernetske varnosti se certificira (v nadaljnjem besedilu: samoocenjevanje skladnosti). V takih primerih bi moralo zadostovati, da proizvajalec, ponudnik ali subjekt, katerega položaj kibernetske varnosti se certificira, sam izvede vse preglede, da bi zagotovil, da so proizvodi IKT, storitve IKT, postopki IKT, upravljana varnostna storitev ali položaj kibernetske varnosti v subjektu skladni z evropsko certifikacijsko shemo za kibernetsko varnost. Samoocenjevanje skladnosti bi se moralo šteti kot primerno za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektu, ki so manj kompleksni, pomenijo nizko tveganje za javni interes in imajo preprosto zasnovo ali preproste mehanizme proizvodnje.

(107)Kadar evropska certifikacijska shema za kibernetsko varnost omogoča samoocenjevanje skladnosti in certificiranje proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih, bi morala v takem primeru potrošnikom ali drugim uporabnikom zagotoviti jasna in razumljiva sredstva za razlikovanje med samoocenjenimi proizvodi IKT, storitvami IKT, postopki IKT, upravljanimi varnostnimi storitvami ali položajem kibernetske varnosti v subjektih in tistimi, ki jih certificira tretja oseba.

(108)Proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev oziroma subjekti, katerih položaj kibernetske varnosti se certificira, bi morali imeti možnost, da v okviru postopka ugotavljanja skladnosti izdajo in podpišejo izjavo EU o skladnosti. Izjava EU o skladnosti je dokument, v katerem je navedeno, da posamezen proizvod IKT, storitev IKT, postopek IKT, upravljana varnostna storitev ali položaj kibernetske varnosti v subjektu izpolnjuje zahteve evropske certifikacijske sheme za kibernetsko varnost. Proizvajalec ali ponudnik z izdajo in podpisom izjave EU o skladnosti proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev oziroma subjekt, katerega položaj kibernetske varnosti se certificira, prevzame odgovornost za skladnost proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu z varnostnimi zahtevami evropske certifikacijske sheme za kibernetsko varnost. Kopijo izjave EU o skladnosti bi bilo treba predložiti nacionalnemu certifikacijskemu organu za kibernetsko varnost in agenciji ENISA.

(109)Proizvajalci ali ponudniki proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev oziroma subjekti, katerih položaj kibernetske varnosti se certificira, bi morali izjavo EU o skladnosti, tehnično dokumentacijo in vse druge zadevne informacije v zvezi s skladnostjo z evropsko certifikacijsko shemo za kibernetsko varnost dati na voljo pristojnemu nacionalnemu certifikacijskemu organu za kibernetsko varnost za obdobje, določeno v zadevni evropski certifikacijski shemi za kibernetsko varnost, in v skladu z veljavno zakonodajo Unije. V tehnični dokumentaciji bi bilo treba določiti zahteve, ki se uporabljajo v okviru sheme, v obsegu, ki je pomemben za samoocenjevanje skladnosti. Tehnična dokumentacija bi morala biti pripravljena tako, da omogoča ugotavljanje, ali proizvod IKT, storitev IKT, postopek IKT ali upravljana varnostna storitev oziroma položaj kibernetske varnosti v subjektu izpolnjuje zahteve, ki se uporabljajo v okviru sheme.

(110)Evropski certifikati kibernetske varnosti in izjave EU o skladnosti bi morali pomagati uporabnikom pri sprejemanju ozaveščene odločitve. Zato bi bilo treba zadevne informacije objaviti na spletnem mestu, ki ga upravlja agencija ENISA. Poleg tega bi bilo treba proizvodom IKT, storitvam IKT in postopkom IKT, ki so bili certificirani ali za katere je bila izdana izjava EU o skladnosti, priložiti strukturirane informacije, prilagojene pričakovani tehnični ravni predvidenega uporabnika. Vsi uporabniki bi morali imeti dostop do informacij o referenčni številki certifikacijske sheme, organu izdajatelju in po potrebi ravni zanesljivosti, ali pa bi morali imeti možnost pridobiti kopijo evropskega certifikata kibernetske varnosti. Te informacije bi bilo treba redno posodabljati in jih objavljati na namenskem spletnem mestu o evropskih certifikacijskih shemah za kibernetsko varnost. Poleg tega bi bilo treba za zagotovitev stalne dostopnosti od proizvajalcev in ponudnikov zahtevati, da obvestijo zadevni certifikacijski organ, če se spremeni lokacija spletnih ali, kjer je ustrezno, fizičnih informacij.

(111)Ugotavljanje skladnosti je postopek ugotavljanja, ali so posebne zahteve glede proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali subjekta izpolnjene. Ta postopek izvaja neodvisna tretja oseba, ki ni proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev, ki se certificirajo, niti subjekt, katerega položaj kibernetske varnosti se ocenjuje. Evropski certifikat kibernetske varnosti bi bilo treba izdati po uspešni oceni proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu. Evropski certifikat kibernetske varnosti bi moral veljati kot potrdilo, da je bila ocena ustrezno opravljena.

(112)Stroga ločitev nadzornih dejavnosti in dejavnosti certificiranja je pomembna za preprečevanje izkrivljanj in motenj, ki lahko nastanejo v primerih, v katerih subjekt, ki nadzoruje trg, hkrati tudi konkurira na istem trgu. Zato se za dejavnosti, pri katerih nacionalni organi za kibernetsko varnost zgolj opravljajo svojo nadzorno vlogo, na primer s predhodno odobritvijo izdaje certifikata, ne bi smelo zahtevati dodatno notranje ločevanje od drugih nadzornih dejavnosti. To na primer vključuje situacijo, ko nacionalni organ za kibernetsko varnost dejavno zbira informacije v celotnem postopku certificiranja, ki ga izvajajo zasebni organi za ugotavljanje skladnosti, in nato poda mnenje o izdaji certifikata s strani teh organov (v nadaljnjem besedilu: model predhodne odobritve).

(113)Evropske certifikacijske sheme za kibernetsko varnost bi morale določiti pogoje, pod katerimi je treba ponovno certificirati proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektu oziroma pod katerimi je treba zmanjšati obseg določenega evropskega certifikata kibernetske varnosti. Poleg tega bi morale evropske certifikacijske sheme za kibernetsko varnost upoštevati vse morebitne škodljive učinke vseh naknadno odkritih ranljivosti ali neskladnosti v zvezi s certificiranim proizvodom IKT, storitvijo IKT, postopkom IKT, upravljano varnostno storitvijo ali položajem kibernetske varnosti v subjektu glede skladnosti z varnostnimi zahtevami tega certifikata.

(114)Harmonizacija ima ključno vlogo pri zagotavljanju zanesljive kibernetske varnosti in izboljšanju dostopa do trga za podjetja. Nasprotno pa razdrobljenost in pomanjkanje vzajemnega priznavanja certifikatov predstavljata pomembne ovire za nemoten pretok podatkov, s čimer povečujeta operativne stroške industrije Unije. Za ublažitev teh izzivov je bistveno preprečiti razdrobljenost tako na področju varnostnih kontrol kot tudi metod ugotavljanja skladnosti po vsej Uniji.

(115)Države članice bi morale Komisijo in evropsko certifikacijsko skupino za kibernetsko varnost obvestiti dovolj zgodaj pred sprejetjem novih nacionalnih certifikacijskih shem za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, da bi Komisiji in evropski certifikacijski skupini za kibernetsko varnost omogočile oceniti učinek nove nacionalne certifikacijske sheme za kibernetsko varnost na pravilno delovanje notranjega trga ter glede na morebitni strateški interes za zahtevo po evropski certifikacijski shemi za kibernetsko varnost.

(116)Sklici v nacionalni zakonodaji na nacionalne standarde, ki so prenehali učinkovati zaradi začetka veljavnosti evropske certifikacijske sheme za kibernetsko varnost, lahko povzročijo zmedo. Države članice bi morale zato po potrebi prilagoditi nacionalno zakonodajo, da se upošteva sprejetje evropske certifikacijske sheme za kibernetsko varnost.

(117)Z namenom spodbujanja rasti zanesljivega notranjega trga ter vzpostavljanja partnerstev s tretjimi državami bi bilo treba postopek certificiranja, vzpostavljen na podlagi evropskega certifikacijskega okvira za kibernetsko varnost, izvajati na način, ki omogoča mednarodno priznavanje, vzajemno priznavanje in usklajenost z mednarodnimi standardi.

(118)Glede na mednarodni značaj dobavnih verig IKT bi lahko Unija, da bi še bolj olajšala trgovino, v skladu s členom 218 PDEU sklepala sporazume o vzajemnem priznavanju glede evropskih certifikatov kibernetske varnosti. Na Komisijo bi bilo treba prenesti pooblastilo za sprejemanje izvedbenih aktov za enostransko priznavanje enakovrednosti certifikatov tretjih držav z evropskimi certifikati kibernetske varnosti. Omogočiti bi bilo treba določitev posebnih pogojev za tako priznavanje certifikatov tretjih držav.

(119)Da bi po vsej Uniji vzpostavili enakovredno izvajanje okvira, da bi olajšali vzajemno priznavanje ter spodbudili splošno sprejemanje evropskih certifikatov kibernetske varnosti in izjav EU o skladnosti, bi bilo treba vzpostaviti sistem medsebojnih strokovnih pregledov med nacionalnimi certifikacijskimi organi za kibernetsko varnost. Medsebojni strokovni pregled bi moral zajemati postopke za nadzor nad skladnostjo proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in položaja kibernetske varnosti v subjektih z evropskimi certifikati kibernetske varnosti, za spremljanje obveznosti proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in certificiranih subjektov, ki opravljajo samoocenjevanje skladnosti, za spremljanje organov za ugotavljanje skladnosti ter ustreznosti strokovnega znanja osebja v organih, ki izdajajo certifikate za „visoko“ raven zanesljivosti. Agencija ENISA bi morala pri medsebojnih strokovnih pregledih sodelovati kot opazovalka ter podpirati organizacijo mehanizma medsebojnih strokovnih pregledov in medsebojnih strokovnih pregledov, tudi s pripravo ustreznih smernic in predlog, v sodelovanju s Komisijo in evropsko certifikacijsko skupino za kibernetsko varnost. Agencija ENISA bi morala na svojem spletnem mestu o evropskih certifikacijskih shemah za kibernetsko varnost objaviti tudi informacije o časovnem razporedu medsebojnih strokovnih pregledov in seznam nacionalnih certifikacijskih organov za kibernetsko varnost, ki so bili predmet medsebojnega strokovnega pregleda in bodo izvajali ta razpored. Izvedbena uredba Komisije (EU) 2025/2540 60 , sprejeta na podlagi Uredbe (EU) 2019/881, določa načrt za medsebojne strokovne preglede, ki se uporablja v sprejetih evropskih certifikacijskih shemah za kibernetsko varnost. Zagotoviti je treba nadaljevanje medsebojnih strokovnih pregledov. Kljub temu bi morala Komisija imeti možnost, da po potrebi z izvedbenimi akti določi nov vsaj petletni načrt za medsebojne strokovne preglede ter merila in metodologijo za izvajanje medsebojnih strokovnih pregledov.

(120)Ko bo evropska certifikacijska shema za kibernetsko varnost sprejeta, bi morali proizvajalci ali ponudniki proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali subjekti, katerih položaj kibernetske varnosti je predmet certificiranja, imeti možnost, da vložijo vlogo za certificiranje svojih proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti pri organu za ugotavljanje skladnosti po lastni izbiri kjer koli v Uniji. Organe za ugotavljanje skladnosti bi moral akreditirati nacionalni akreditacijski organ, če izpolnjujejo zahteve iz te uredbe in po potrebi zahteve, ki jih določi Komisija v skladu s to uredbo. Sistem iz te uredbe bi bilo treba dopolniti s sistemom akreditacije iz Uredbe (ES) št. 765/2008 Evropskega parlamenta in Sveta 61 .

(121)Organi za ugotavljanje skladnosti, ki so bili akreditirani ali priglašeni na podlagi obstoječe zakonodaje Unije, zlasti Uredbe (EU) 2024/2847 ali Izvedbene uredbe (EU) 2024/482, bi lahko imeli kompetence, ki so pomembne za novo sprejete evropske certifikacijske sheme za kibernetsko varnost. Da bi se izognili nepotrebnemu finančnemu in upravnemu bremenu, je primerno ustvariti sinergije za akreditacijo organov za ugotavljanje skladnosti na podlagi te uredbe. Zato bi bilo treba zahteve za akreditacijo v shemah določiti tako, da bodo čim bolj usklajene z zahtevami v zvezi s priglašenimi organi iz Uredbe (EU) 2024/2847 in zahtevami za akreditacijo iz Izvedbene uredbe (EU) 2024/482. Poleg tega bi morali imeti organi za ugotavljanje skladnosti, ki so v postopku akreditacije v skladu s to uredbo, možnost, da se v primeru prekrivanja zahtev za akreditacijo oprejo na predhodne rezultate ocenjevanja svojih pristojnosti v skladu z drugo zakonodajo Unije.

(122)Da bi se olajšale harmonizirane storitve ugotavljanja skladnosti po vsej Uniji, bi moralo biti mogoče v evropski certifikacijski shemi za kibernetsko varnost določiti dodatne ali posebne zahteve za organe za ugotavljanje skladnosti. V okviru certificiranja bi bilo treba pooblastilo razumeti kot odločitev nacionalnega certifikacijskega organa za kibernetsko varnost, da organ za ugotavljanje skladnosti izpolnjuje posebne ali dodatne zahteve iz evropske certifikacijske sheme za kibernetsko varnost za izvajanje specifične dejavnosti ugotavljanja skladnosti.

(123)Kadar evropska certifikacijska shema za kibernetsko varnost določa dodatne ali posebne zahteve v skladu s to uredbo, bi morali nacionalni certifikacijski organi za kibernetsko varnost za izvajanje nalog iz take sheme pooblastiti organe za ugotavljanje skladnosti. Da se prepreči večkratnost pooblastila, poveča sprejemanje in priznavanje odločitev o izdaji pooblastil ter da se izvaja učinkovito spremljanje pooblaščenih organov za ugotavljanje skladnosti, bi morali organi za ugotavljanje skladnosti zaprositi za pooblastilo pri nacionalnem certifikacijskem organu za kibernetsko varnost države članice, v kateri imajo sedež. Kljub temu je treba zagotoviti, da ima organ za ugotavljanje skladnosti možnost zaprositi za pooblastilo v drugi državi članici, kadar v njegovi državi članici ni nacionalnega certifikacijskega organa za kibernetsko varnost ali kadar nacionalni certifikacijski organ za kibernetsko varnost ni usposobljen za opravljanje zahtevanih storitev izdaje pooblastil. V takih primerih bi bilo treba zagotoviti ustrezno sodelovanje in izmenjavo informacij med nacionalnimi certifikacijskimi organi za kibernetsko varnost. Na Komisijo bi bilo treba prenesti pooblastilo za sprejemanje izvedbenih aktov o določitvi postopkov za izdajo pooblastil, tudi za čezmejno sodelovanje v zvezi s pooblastili.

(124)Za ohranitev ravni zaščite, ki se zahteva za proizvod IKT, storitev IKT, postopek IKT, upravljano varnostno storitev ali položaj kibernetske varnosti v subjektu, je bistveno, da morajo podizvajalci in odvisna podjetja za ugotavljanje skladnosti v zvezi z izvajanjem nalog ugotavljanja skladnosti izpolnjevati enake zahteve kot priglašeni organi za ugotavljanje skladnosti. V skladu s tem bi moral biti organ za ugotavljanje skladnosti ustrezno usposobljen in zmožen preveriti, ali njegovi podizvajalci izpolnjujejo veljavne zahteve.

(125)Priglasitveni organ bi moral ustrezno oceniti, koliko se namerava organ za ugotavljanje skladnosti zanašati na podizvajalce s sedežem zunaj Unije ali imeti dostop do osebja ali zmogljivosti zunaj države članice priglasitve. Javni organ države članice bi moral imeti možnost, da se odloči, da kot nacionalni certifikacijski organ za kibernetsko varnost ne more prevzeti splošne odgovornosti za tako ureditev, in da umakne ali omeji obseg priglasitve.

(126)Za oceno zahtev glede kibernetske varnosti za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih bi morali nacionalni certifikacijski organi za kibernetsko varnost akreditirane organe za ugotavljanje skladnosti priglasiti Komisiji in drugim državam članicam. Priglasitev akreditiranih in po potrebi pooblaščenih organov za ugotavljanje skladnosti kaže, da je tem organom mogoče zaupati pri izvajanju dejavnosti ocenjevanja in certificiranja v skladu s to uredbo in evropsko certifikacijsko shemo za kibernetsko varnost, kar prispeva k splošnemu ugledu evropskega certificiranja kibernetske varnosti. Zato je bistveno zagotoviti, da priglašeni organi za ugotavljanje skladnosti sčasoma izpolnjujejo zahteve in obveznosti ter da se seznam priglašenih organov za ugotavljanje skladnosti posodablja.

(127)Izvedbena uredba Komisije (EU) 2024/3143 62 , sprejeta na podlagi Uredbe (EU) 2019/881, določa okoliščine, oblike in postopke za priglasitve organov za ugotavljanje skladnosti, ki se uporabljajo v sprejetih evropskih certifikacijskih shemah za kibernetsko varnost. Zato je treba zagotoviti nadaljevanje dejavnosti priglasitve. Kljub temu bi bilo treba na Komisijo prenesti pooblastilo za sprejemanje izvedbenih aktov za prilagoditev teh okoliščin, postopkov in oblik za priglasitev organov za ugotavljanje skladnosti. V zvezi s tem bi se morala Komisija opreti na izkušnje, pridobljene v okviru obstoječih shem, ter si prizadevati za uskladitev z drugo zadevno zakonodajo in okviri Unije, zlasti z Uredbo (EU) 2024/2847 in novim zakonodajnim okvirom, da bi zmanjšala breme zagotavljanja skladnosti za organe za ugotavljanje skladnosti, ki delujejo na podlagi različnih pravnih instrumentov.

(128) Dobavne verige informacijske in komunikacijske tehnologije (IKT) sestavljajo povezani viri in postopki med gospodarskimi subjekti. Dobavne verige IKT imajo ključno vlogo pri ohranjanju družbene stabilnosti in spodbujanju gospodarske dejavnosti po vsej Uniji. Prav tako imajo ključno vlogo pri omogočanju digitalne infrastrukture v Uniji ter podpirajo delovanje družbe in gospodarstva Unije. Dobavne verige IKT omogočajo proizvodnjo, distribucijo in vzdrževanje storitev IKT, sistemov IKT in proizvodov IKT, na katerih temeljijo različni kritični in zelo kritični sektorji, vključno z zdravstvenim varstvom, financami, prevozom, telekomunikacijami, energijo in carino. Varnost dobavnih verig IKT v teh kritičnih sektorjih lahko vpliva tudi na varnost obrambne in vojaške infrastrukture, kadar je ta infrastruktura odvisna od kritičnih civilnih sektorjev in njihovih dobavnih verig IKT. Vendar so glede na poročilo o stanju kibernetskih groženj, ki ga je izdala agencija ENISA (Poročilo agencije ENISA o naravi groženj za leto 2025) 63 , napadi na dobavne verige med petimi glavnimi grožnjami kibernetski varnosti, ki kažejo, da napadalci dejavno izkoriščajo posredne poti prek tretjih ponudnikov in odvisnosti. Motnje v dobavni verigi IKT lahko ovirajo gospodarske dejavnosti na notranjem trgu, ustvarjajo finančno izgubo, slabijo zaupanje uporabnikov ter povzročajo veliko škodo gospodarstvu in družbi Unije. Pripravljenost in učinkovitost na področju kibernetske varnosti sta zato pomembnejši za ustrezno delovanje notranjega trga kot kdaj koli prej.

(129)Poleg tehničnih tveganj, obravnavanih v Direktivi (EU) 2022/55 Evropskega parlamenta in Sveta 64 , Uredbi (EU) 2024/2847 Evropskega parlamenta in Sveta 65 in evropskem certifikacijskem okviru za kibernetsko varnost, vzpostavljenem z Uredbo (EU) 2019/881, so dobavne verige IKT vse bolj izpostavljene tveganjem netehnične narave. Taka netehnična tveganja so lahko med drugim povezana s pristojnostjo, ki velja za dobavitelja nekaterih komponent, zlasti kadar tretja država ali akterji groženj, ki so pod nadzorom te države, izvajajo gospodarsko vohunjenje, zlonamerne kibernetske dejavnosti ali kampanje proti Uniji ali njenim državam članicam ali kot država ravnajo neodgovorno v kibernetskem prostoru. Netehnična tveganja so lahko povezana tudi s prikritimi ranljivostmi ali stranskimi vrati ali morebitnimi sistemskimi motnjami v oskrbi, zlasti v primeru tehnološke vezanosti ali odvisnosti od dobaviteljev. Z izklopi v sili bi se lahko na primer negativno vplivalo na razpoložljivost komunikacijskih in električnih omrežij.

(130)V skupnem sporočilu o krepitvi gospodarske varnosti EU 66 je poudarjeno tveganje, da tretje države pridobijo dostop do občutljivih informacij in podatkov v Uniji ali njenih državah članicah, bodisi zaradi industrijskega vohunjenja, dobave strojne ali programske opreme, ki se uporablja v nekaterih proizvodih, bodisi zaradi lastništva nekaterih podjetij, ki imajo občutljive informacije in podatke, in nadzora nad njimi. Poudarjeno je tudi tveganje, da bi tuji akterji povzročili moteno delovanje kritične infrastrukture Unije, vključno s kritično prometno, vesoljsko, energetsko in komunikacijsko infrastrukturo, zlasti tisto, ki je opredeljena kot strateška za vojaško mobilnost, kar bi lahko imelo kaskadne učinke na gospodarstvo Unije. Do motenj lahko pride zaradi fizičnih, kibernetskih ali hibridnih napadov, vključno s sabotažo celotnih sistemov ali njihovih delov ali podkomponent. Lahko bi bili povezani tudi z dobavnimi verigami IKT, na katerih temeljijo kritične komponente ali storitve za kritične infrastrukture.

(131)Nekatere države članice so v odgovor na izzive v zvezi z varnostjo dobavne verige IKT, ki jih predstavljajo netehnična tveganja, sprejele regulativne ukrepe, vključno z imenovanjem dobaviteljev z visokim tveganjem, druge države članice pa bodo to verjetno še storile. To bi lahko povzročilo nadaljnje razlike v nacionalnih pristopih in navsezadnje večjo ranljivost nekaterih držav članic z morebitnimi učinki prelivanja po vsej Uniji. Zato je treba harmonizirati nekatere vidike, povezane z netehničnimi tveganji za kibernetsko varnost v dobavni verigi IKT. Tako posredovanje na ravni Unije je upravičeno tudi zaradi potrebe po zagotavljanju visoke ravni kibernetske varnosti po vsej Uniji. Namen določb o varnosti dobavne verige IKT je odpraviti tako velike razlike med državami članicami, zlasti z določitvijo pravil za mehanizme ocenjevanja tveganj za varnost dobavne verige IKT na ravni Unije in minimalnih standardov za zaščito pred tveganji v dobavni verigi IKT.

(132)Zaradi zmanjšanja kritičnih odvisnosti in ranljivosti je treba vzpostaviti zaupanja vreden okvir za dobavne verige IKT, ki bi moral obravnavati netehnična tveganja, povezana z dobavitelji z visokim tveganjem in odvisnostmi v visoko kritičnih sektorjih in drugih kritičnih sektorjih. Zato je treba na ravni Unije zagotoviti objektiven, na tveganju temelječ, za prihodnost primeren in tehnološko nevtralen okvir, da se opredelijo ključna sredstva IKT in zagotovi sklop sorazmernih blažilnih ukrepov za obravnavanje tveganj.

(133)Kibernetska tveganja, vključno s tveganji, povezanimi z odvisnostjo od dobaviteljev z visokim tveganjem, je mogoče opaziti v več kritičnih dobavnih verigah IKT v Uniji, vključno z opremo za odkrivanje, povezanimi in avtomatiziranimi vozili, sistemi oskrbe z električno energijo in shranjevanjem električne energije, sistemi oskrbe z vodo, droni in protidronskimi sistemi, storitvami računalništva v oblaku, medicinskimi pripomočki, opremo za nadzor, vesoljskimi storitvami in polprevodniki. Ranljivosti v varnostni opremi za odkrivanje bi lahko na primer omogočile dostop do sistemov IKT, ki zlonamernim akterjem omogočajo tako manipulacijo skenerjev, da bi se prepovedani predmeti lahko prepeljali skozi varnostno kontrolno točko, ne da bi jih odkrili, kar bi lahko imelo katastrofalne posledice.

(134)Ta uredba državam članicam ne bi smela preprečevati, da sprejmejo ali ohranijo določbe, ki zagotavljajo višjo raven kibernetske varnosti v zvezi z varnostjo dobavne verige IKT, pod pogojem, da so take določbe v skladu z obveznostmi držav članic, določenimi v pravu Unije. Take določbe bi lahko na primer vključevale uvedbo strožjih blažilnih ukrepov v zvezi s ključnimi sredstvi IKT.

(135)Za opredelitev morebitnih tveganj za kibernetsko varnost, ki vplivajo na določene dobavne verige IKT, lahko skupina za sodelovanje, ustanovljena s členom 14 Direktive (EU) 2022/2555 (skupina za NIS), oceni posamezne dobavne verige IKT z usklajenimi ocenami varnostnega tveganja na ravni Unije. Usklajene ocene varnostnega tveganja na ravni Unije bi morale med drugim obravnavati glavne akterje groženj, glavne grožnje in ranljivosti, ki vplivajo na ključna sredstva IKT. Z usklajenimi ocenami varnostnega tveganja na ravni Unije bi bilo treba pripraviti seznam scenarijev tveganj in seznam ukrepov za zmanjšanje tveganj. Usklajene ocene varnostnega tveganja na ravni Unije bi bilo treba zaključiti v šestih mesecih. V posebno nujnih primerih bi moralo biti mogoče skrajšati roke.

(136)Kadar ima Komisija zadostne razloge za domnevo, da obstaja znatna kibernetska grožnja za varnost Unije, povezana s kritičnimi dobavnimi verigami IKT, in bi lahko bil potreben ukrep za ohranitev pravilnega delovanja notranjega trga, bi se morala brez odlašanja posvetovati z državami članicami o potrebi po blažilnih ukrepih in izvesti oceno varnostnega tveganja, pri tem pa upoštevati posvetovanje z državami članicami.

(137)Kadar se na podlagi ocene varnostnega tveganja, ki jo izvede skupina za NIS ali Komisija, zdi, da določena tretja država predstavlja resna in strukturna netehnična tveganja za kibernetsko varnost dobavnih verig IKT, bi morala Komisija preveriti grožnjo, ki jo predstavlja ta država. Komisija lahko tako preverjanje začne tudi na podlagi drugih virov, kot je javna izjava v imenu Unije ali držav članic, v odziv na primere neodgovornega ravnanja države v kibernetskem prostoru, ki so povzročili kibernetski incident. Pri oceni stopnje ogroženosti bi morala Komisija upoštevati elemente, kot je obstoj zakonov ali praks v tretji državi, ki od subjektov v njeni pristojnosti zahtevajo, da organom te tretje države sporočijo informacije o ranljivostih programske ali strojne opreme, preden je znano, da so bile te ranljivosti izrabljene. Drug pomemben element je odsotnost učinkovitih pravnih sredstev ter neodvisnih in demokratičnih nadzornih mehanizmov, ki lahko odpravijo varnostne pomisleke, vključno z obstoječimi praksami, utemeljenimi informacijami o incidentih akterjev groženj, ki delujejo zunaj ozemlja te države in izvajajo zlonamerne kibernetske dejavnosti ali kampanje, ter pomanjkanjem zmožnosti ali pripravljenosti tretje države za sodelovanje s Komisijo ali državami članicami pri obravnavanju tveganja, ki izhaja iz delovanja takih akterjev groženj. Komisija bi morala upoštevati tudi informacije na podlagi usklajenih ocen varnostnega tveganja na ravni Unije ali poročil, ki jih izdajo države članice ali mednarodne organizacije, kot je NATO.

(138)Za namene te uredbe bi bilo treba pojem nadzora razumeti kot zmožnost neposrednega ali posrednega odločilnega vplivanja na pravni subjekt prek enega ali več vmesnih pravnih subjektov. Nadzor nad subjekti iz tretje države, za katere obstajajo pomisleki glede kibernetske varnosti, bi bilo treba vzpostaviti tudi v primerih, ko ima tak subjekt v tej državi izvršno upravno strukturo.

(139)Unija ne bi smela financirati projektov, ki vključujejo dobavitelje z visokim tveganjem in bi ogrozili varnost Unije ter interese in verodostojnost Unije. Dobavitelji z visokim tveganjem, opredeljeni na podlagi te uredbe, zato ne bi smeli biti upravičeni do sodelovanja v programih in instrumentih financiranja Unije, ki se izvajajo v okviru neposrednega in posrednega upravljanja v skladu s členom 136 Uredbe (EU/Euratom) 2024/2509 in pravili Unije za posamezni sektor, ter v vseh dejavnostih financiranja Unije, ki se izvajajo v okviru deljenega upravljanja, tudi v okviru naslednjega večletnega finančnega okvira, v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v opredeljenih ključnih sredstvih IKT. Izvajalski partnerji Unije, kot so skupina Evropske investicijske banke ter nacionalne spodbujevalne banke in institucije, ne bi smeli podpirati projektov, ki so v nasprotju z navedenim, tudi v operacijah na lastno odgovornost.

(140)Javna naročila so lahko močno orodje, s katerim lahko javni organi prispevajo k bolj inovativnemu, trajnostnemu in konkurenčnemu gospodarstvu ter strateško porabljajo javna sredstva. Javna naročila, povezana z dobavnimi verigami IKT, se ne bi smela uporabljati v korist dobaviteljev, ki ogrožajo varnost kritične infrastrukture Unije. Dobavitelji z visokim tveganjem, opredeljeni v tej uredbi, zato ne bi smeli biti upravičeni do sodelovanja pri javnem naročanju v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v opredeljenih ključnih sredstvih IKT.

(141)Certificiranje kibernetske varnosti ima vlogo pri krepitvi splošne varnosti in boju proti kibernetskim grožnjam ter je merilo zaupanja. To zaupanje bi se lahko spodkopalo, če bi potrdila o kibernetskovarnostnih spretnostih izdajali dobavitelji z visokim tveganjem, ki zato ne bi smeli imeti pravice, da postanejo pooblaščeni ponudniki kakršnih koli potrdil Unije o osebnih spretnostih na področju kibernetske varnosti. Podobno je tudi primerno dobavitelje z visokim tveganjem izključiti iz pridobitve certifikata kibernetske varnosti na podlagi evropskega certifikacijskega okvira za kibernetsko varnost in iz tega, da postanejo akreditirani organi za ugotavljanje skladnosti za izdajo takih certifikatov.

(142)Standardi kibernetske varnosti imajo ključno vlogo pri varnosti in zanesljivosti digitalnih infrastruktur. Sprejeti je treba ustrezne ukrepe za zagotovitev standardizacije na področju kibernetske varnosti. Vključenost subjektov s sedežem v državah, za katere je bilo ugotovljeno, da zanje obstajajo pomisleki glede kibernetske varnosti v dobavni verigi IKT v skladu s to uredbo, ali subjektov, ki so pod nadzorom takih držav, lahko vpliva na standarde kibernetske varnosti na način, ki ogroža njihovo varnost in zanesljivost.

(143)Komisija lahko na podlagi rezultatov ocen varnostnega tveganja z izvedbenimi akti opredeli, katera sredstva IKT bi bilo treba zaradi njihove kritičnosti in ob upoštevanju posebnih blažilnih ukrepov šteti za ključna sredstva IKT. Že sam obstoj možnosti povezljivosti sredstva bi moral zadostovati za upoštevanje njegovega tveganja za kibernetsko varnost.

(144)Kadar je to potrebno za zagotovitev visoke ravni kibernetske varnosti, kibernetske odpornosti in zaupanja v Uniji, se lahko blažilni ukrepi uporabijo za subjekte v zvezi z njihovo dobavno verigo IKT in zlasti za opredeljena ključna sredstva IKT. Predlagani blažilni ukrepi bi morali temeljiti na oceni morebitnih tveganj in odvisnosti, vključno z morebitnim gospodarskim in družbenim učinkom takih ukrepov na zadevne subjekte, ki delujejo v visoko kritičnih ali drugih kritičnih sektorjih, zlasti mala in srednja podjetja. Pri gospodarskem učinku bi bilo treba upoštevati stroške izvajanja blažilnih ukrepov, vključno s trajanjem življenjskega cikla zadevnih komponent v ključnih sredstvih IKT, če ukrepi vključujejo zamenjavo dobaviteljev. Oceniti bi bilo treba tudi razpoložljivost alternativnih dobaviteljev na trgu, da se zagotovi neprekinjeno opravljanje storitev.

(145)Ker bi lahko blažilni ukrepi omejevali mednarodno trgovino z blagom in storitvami, bi morali biti sorazmerni in ciljno usmerjeni v doseganje legitimnega cilja zagotavljanja kibernetske varnosti dobavnih verig IKT v zvezi s subjekti vrste iz prilog I in II k Direktivi (EU) 2022/2555 v skladu z mednarodnimi obveznostmi Unije.

(146)Uporaba, namestitev ali kakršna koli druga vključitev komponent, ki jih zagotavljajo dobavitelji z visokim tveganjem, v delovanje ključnih sredstev IKT je lahko povezana s tveganji poznejših prenosov podatkov v tretjo državo. Tveganja lahko zlasti predstavlja nezadostna raven varstva podatkov v tretji državi, na primer za varstvo temeljnih pravic, intelektualne lastnine ali poslovnih skrivnosti, ali nezakonit dostop do teh podatkov in njihovo izkoriščanje za morebitne prihodnje motnje v dobavni verigi in namene vohunjenja. Za zmanjšanje takih tveganj se lahko uporabijo omejitve v zvezi s prenosom specifičnih vrst podatkov v tretje države.

(147)Pomembne ranljivosti izhajajo iz pomanjkanja raznolikosti opreme, ki jo uporabljajo subjekti vrste iz prilog I in II k Direktivi (EU) 2022/2555. Zanašanje na enega samega dobavitelja ustvarja odvisnost od specifične opreme ali rešitev. Pomanjkanje raznolikosti dobaviteljev povečuje splošno ranljivost kritične infrastrukture, zlasti če subjekti svoje komponente IKT, ki se uporabljajo v občutljivih sredstvih IKT, pridobivajo od dobavitelja, ki predstavlja visoko stopnjo tveganja. Odvisnost znatno vpliva tudi na odpornost na nacionalni ravni in ravni Unije ter ustvarja enotne točke odpovedi. Za zmanjšanje takih tveganj se lahko uporabijo zahteve po več kot enem dobavitelju za specifična ključna sredstva IKT.

(148)Subjekti Unije lahko uporabljajo tudi ključna sredstva, kot so opredeljena v tej uredbi. Zato bi se morala pravila iz te uredbe v zvezi z varnostjo dobavne verige IKT uporabljati tudi zanje. Za zagotovitev, da se upošteva specifičnost subjektov Unije, je pomembno, da se pri izvajanju usklajenih ocen varnostnega tveganja na ravni Unije upoštevajo netehnična tveganja, ki izhajajo iz dobavnih verig IKT, v zvezi s subjekti Unije.

(149)V izjemnih okoliščinah, ki upravičujejo takojšnje posredovanje za ohranitev pravilnega delovanja notranjega trga, in kadar obstajajo jasni dokazi, ki dajejo Komisiji zadosten razlog za domnevo, da uporaba komponent IKT ali komponent, ki vključujejo komponente IKT, določenega dobavitelja pomeni pomembno kibernetsko grožnjo za gospodarske ali družbene dejavnosti vsaj treh držav članic, lahko Komisija v tesnem posvetovanju z državami članicami predlaga prepoved uporabe, namestitve ali vključevanja takih komponent tega dobavitelja za vrste subjektov iz prilog I in II k Direktivi (EU) 2022/2555.

(150)Za zagotovitev sorazmernosti uporabljenih ukrepov lahko subjekti s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti in ki je določena v skladu s to uredbo, pod nadzorom take tretje države, subjekta s sedežem v taki tretji državi ali državljana take tretje države zaprosijo za izvzetje iz prepovedi, da subjektom vrste iz prilog I in II k Direktivi (EU) 2022/2555 zagotovijo komponente IKT ali komponente, ki vključujejo komponente IKT, za njihovo uporabo, namestitev ali vključitev v ključna sredstva IKT navedenega subjekta, in sodelujejo v postopkih javnega naročanja, organiziranih v skladu z zakonodajo, s katero se preneseta direktivi 2014/24/EU 67 in 2014/25/EU Evropskega parlamenta in Sveta 68 , v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v opredeljenih ključnih sredstvih IKT.  V ta namen bi moral subjekt jasno dokazati, da uporablja učinkovite ukrepe za obravnavanje netehničnih tveganj in zagotavljanje, da se tretja država, za katero obstajajo pomisleki glede kibernetske varnosti, ne bo nikakor neupravičeno vmešavala.

(151)Elektronska komunikacijska omrežja so postala hrbtenica širokega nabora storitev, ki so bistvenega pomena za delovanje notranjega trga ter za vzdrževanje in delovanje ključnih družbenih in ekonomskih funkcij, kot so energija, promet, bančništvo, zdravje in obramba, pa tudi industrijskih kontrolnih sistemov. Zato so ta zelo kritična omrežja privlačne tarče za vse vrste kibernetskih napadov in hibridnih groženj, motnje, vohunjenje, zbiranje obveščevalnih podatkov ter goljufije in finančni kriminal. Skupina za NIS je v oceni tveganja za kibernetsko varnost in odpornost evropskih komunikacijskih infrastruktur in omrežij opredelila številna tveganja in grožnje strateškega pomena z vidika Unije, kot so napadi z brisalci/izsiljevalskim programjem, napadi v dobavni verigi, vdori v omrežje in porazdeljeni napadi za zavrnitev storitve.

(152)Zaradi medsebojne povezanosti in soodvisnosti različnih nacionalnih elektronskih komunikacijskih omrežij morajo vse države članice sprejeti ustrezne ukrepe za zagotovitev varnosti svojih omrežij. Iz istih razlogov je treba vzpostaviti učinkovit pravni okvir na ravni Unije, ki bo obravnaval tudi netehnična tveganja in celovito zagotavljal varnost medsebojno povezanih elektronskih komunikacijskih omrežij.

(153)Zlasti kibernetska varnost omrežij 5G je strateško pomembna za Unijo, saj so ta omrežja hrbtenica širokega nabora storitev, ki so bistvenega pomena za delovanje notranjega trga, ključna pa so tudi za vzpostavitev naše obrambne pripravljenosti, tudi v zvezi z vojaško mobilnostjo. Omrežja 5G lahko zagotovijo zanesljivo ultrahitro povezljivost, na primer za izmenjavo podatkov in informacij, odkrivanje dronov in usklajevanje na bojiščih v realnem času.

(154)Uvajanje 5G je sestavljeno predvsem iz nesamostojnih omrežij, pri katerih je na tehnologijo 5G nadgrajeno samo radijsko dostopovno omrežje, medtem ko je preostalo omrežje še vedno odvisno od obstoječega jedrnega omrežja 4G. Nesamostojna omrežja 5G temeljijo predvsem na že vzpostavljeni infrastrukturi, kar pomeni, da je varnost prihodnjih omrežij 5G do določene mere odvisna od že obstoječe omrežne opreme in konfiguracije take opreme. Zato bi morali blažilni ukrepi zajemati tudi omrežja 4G, od katerih je odvisna uvedba 5G.

(155)Da bi obravnavale pomembne varnostne izzive v omrežjih 5G, so države članice v okviru skupine za NIS skupaj s Komisijo in agencijo ENISA izvedle usklajeno oceno varnostnega tveganja omrežij 5G na ravni Unije, pri čemer so preučile tehnična in netehnična tveganja. V tej oceni je bilo opredeljenih več tveganj, vključno z morebitnim vmešavanjem tretjih držav ali akterjev iz tretjih držav prek dobavne verige, sredstva pa so bila razvrščena glede na njihovo kritičnost. Ta ocena bi morala biti podlaga za opredelitev ključnih sredstev IKT za komunikacijska omrežja 5G.

(156)Za zmanjšanje tveganj, ugotovljenih v usklajeni oceni varnostnega tveganja omrežij 5G na ravni Unije, je skupina za NIS sprejela nabor orodij EU za kibernetsko varnost omrežij 5G, v katerem so določeni strateški in tehnični ukrepi. Čeprav ima večina držav članic pravne okvire, ki omogočajo omejitve ali izključitve dobaviteljev z visokim tveganjem, kot je priporočeno v naboru orodij za kibernetsko varnost omrežij 5G, izvajanje teh okvirov ni bilo enotno. To pomeni, da dobavitelji z visokim tveganjem dobavljajo veliko število lokacij 5G po vsej Uniji, kot je navedeno v sporočilu Komisije o izvajanju nabora orodij za kibernetsko varnost omrežij 5G 69 . Te razmere ustvarjajo ranljivosti, vključno s strateško odvisnostjo in morebitno izpostavljenostjo vmešavanju tretjih držav, kar bi lahko vplivalo tudi na prihodnjo infrastrukturo 6G, zgrajeno na obstoječih omrežjih 5G. Razdrobljeno izvajanje priporočenih ukrepov iz nabora orodij za kibernetsko varnost omrežij 5G, zlasti glede obsega omejitev za dobavitelje z visokim tveganjem, je povzročilo razlike med državami članicami, kar povzroča neenake konkurenčne pogoje, ki razdvajajo notranji trg in slabijo splošno varnost omrežja. Evropsko računsko sodišče je poudarilo te razlike in opozorilo, da odsotnost usklajenega pristopa ogroža delovanje notranjega trga. Stalna odvisnost od dobaviteljev z visokim tveganjem pomeni resno tveganje za varnost kritične infrastrukture v Uniji in bi lahko spodkopala zaupanje v notranji trg, saj lahko nedosledne ravni varnosti potrošnike in podjetja odvrnejo od tega, da bi se po vsej Uniji zanašali na proizvode in storitve, ki temeljijo na 5G. Zato je bistveno, da se sprejmejo ukrepi na ravni Unije za zagotovitev harmoniziranega pristopa k varnosti omrežij 5G.

(157)Komisija bi morala za določitev obdobja postopnega opuščanja ključnih sredstev IKT fiksnih in satelitskih elektronskih komunikacijskih omrežij izvesti oceno, pri čemer bi morala ustrezno upoštevati stopnjo varnostnih tveganj, povezanih z vsakim posameznim ključnim sredstvom IKT fiksnih in satelitskih omrežij, življenjsko dobo zadevnih komponent in gospodarski učinek, ki bi ga odstranitev teh komponent imela na zadevne operaterje. Komisija lahko na podlagi rezultatov te ocene razmisli o določitvi različnih obdobij postopnega opuščanja za posamezna ključna sredstva IKT in njihove sestavne elemente.

(158)Za namene učinkovitega nadzora in izvrševanja obveznosti v zvezi s ponudniki mobilnih, fiksnih in satelitskih elektronskih komunikacijskih omrežij bi morali zadevni pristojni organi na podlagi te uredbe zagotoviti tesno sodelovanje s pristojnimi organi na podlagi [predloga akta o digitalnih omrežjih]. Nacionalni regulativni organi ali drugi pristojni organi za radiofrekvenčni spekter, kadar je ustrezno, bi morali na zahtevo pristojnega organa, imenovanega na podlagi te uredbe, odvzeti pravice iz členov 9 in 20 [predloga akta o digitalnih omrežjih], če ponudnik javnih elektronskih komunikacijskih omrežij ne izpolnjuje obveznosti iz te uredbe, tudi če ponudnik komponent IKT ali komponent, ki vključujejo komponente IKT, od dobaviteljev z visokim tveganjem ne ukine postopno pri upravljanju ključnih sredstev IKT v obdobju, določenem v skladu s to uredbo.

(159)Glede na razlike v nacionalnih strukturah upravljanja bi morale države članice imenovati ali ustanoviti enega ali več pristojnih organov, odgovornih za nadzorne in izvršilne ukrepe v skladu s to uredbo.

(160)Pristojni organi bi morali subjektom vrste iz prilog I in II k Direktivi (EU) 2022/2555 zagotavljati podporo pri izpolnjevanju njihovih obveznosti iz te uredbe. Zato bi morala Komisija oceniti, ali imajo dobavitelji, na katere bi lahko vplivale specifične prepovedi, sedež v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti, ali so pod nadzorom take tretje države ali subjekta s sedežem v taki tretji državi ali državljana take tretje države. Pristojni organi bi morali tesno sodelovati s Komisijo in drugimi pristojnimi organi v okviru mreže, vzpostavljene s to uredbo. Pristojni organi bi morali na podlagi ocene Komisije zadevne informacije o dobaviteljih z visokim tveganjem deliti z zadevnimi subjekti vrste iz prilog I in II k Direktivi (EU) 2022/2555. Od subjektov se ne pričakuje, da bodo preverili, ali je dobavitelj pod tujim nadzorom, vendar se lahko v celoti zanesejo na informacije, ki jih prejmejo od pristojnih organov. Pristojni organi bi morali zagotoviti, da se tem subjektom ne naloži nepotrebno upravno breme.

(161)Za zagotovitev učinkovite skladnosti bi bilo treba v tej uredbi določiti nadzorne in izvršilne ukrepe, s katerimi lahko pristojni organi nadzorujejo subjekte vrste iz prilog I in II k Direktivi (EU) 2022/2555. Kadar pristojni organi izvajajo svoje nadzorne in izvršilne naloge v zvezi s temi subjekti, ne bi smeli presegati tistega, kar je potrebno in sorazmerno z ugotovljenimi tveganji.

(162)Da bi bilo izvrševanje učinkovito in dosledno po vsej Uniji, je treba zagotoviti izvršilna pooblastila, ki jih lahko pristojni organi izvajajo v primeru kršitve obveznosti iz te uredbe. Pristojni organi bi morali pri izvajanju teh izvršilnih pooblastil ustrezno upoštevati več dejavnikov, vključno z naravo, težo in trajanjem kršitve, povzročeno premoženjsko ali nepremoženjsko škodo, ali je kršitev namerna ali posledica malomarnosti, ukrepe, sprejete za preprečevanje ali omilitev nastale premoženjske ali nepremoženjske škode, stopnjo odgovornosti ali vse zadevne predhodne kršitve, stopnjo sodelovanja s pristojnim organom in morebitne druge oteževalne ali olajševalne dejavnike. Izvršilni ukrepi, vključno s kaznimi, bi morali biti sorazmerni in za njihovo naložitev bi morali veljati ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listine Evropske unije o temeljnih pravicah, vključno s pravico do učinkovitega pravnega sredstva in nepristranskega sodišča, domnevo nedolžnosti in pravico do obrambe.

(163)Pomembno je tudi določiti pooblastila za naložitev periodičnih denarnih kazni, da se subjekt vrste iz Priloge I ali II k Direktivi (EU) 2022/2555 prisili, da preneha s kršitvijo te uredbe v skladu s predhodno odločitvijo pristojnega organa.

(164) Za zagotovitev učinkovitega izvrševanja obveznosti, določenih v tej uredbi, bi morali biti vsi pristojni organi pooblaščeni, da naložijo ali zahtevajo naložitev kazni.

(165)Za namene naložitve kazni subjektu vrste iz prilog I in II k Direktivi (EU) 2022/2555, ki je podjetje, bi bilo treba podjetje razumeti kot podjetje v skladu s členoma 101 in 102 PDEU. Kadar se globe naložijo osebam, ki niso podjetje, bi moral pristojni organ pri določanju ustreznega zneska te globe upoštevati splošno raven dohodka v državi članici in ekonomski položaj osebe. Države članice bi morale določiti, ali bi se morale kazni uporabljati tudi za javne organe in v kakšnem obsegu. Naložitev kazni ne bi smela vplivati na uporabo drugih pooblastil pristojnih organov.

(166)Zaradi zagotovitve enotnih pogojev izvajanja te uredbe bi bilo treba na Komisijo prenesti izvedbena pooblastila v zvezi s sprejetjem izvedbenih aktov, ki določajo podrobna pravila v zvezi s pristojbinami, ki jih zaračunava agencija ENISA, izvedbenih aktov, ki določajo evropsko certifikacijsko shemo za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, izvedbenih aktov, ki določajo skupna načela in referenčne določbe za določitev elementov v evropskih certifikacijskih shemah za kibernetsko varnost, izvedbenih aktov, ki določajo postopke za predhodno odobritev ali modele splošnega prenosa pooblastil, izvedbenih aktov o priznavanju certifikatov kibernetske varnosti tretje države ali mednarodne organizacije kot enakovrednih evropskim certifikatom kibernetske varnosti, izvedbenih aktov, ki določajo načrt za medsebojni strokovni pregled, izvedbenih aktov za določitev postopkov, vključno s čezmejnim sodelovanjem, za odobritev organov za ugotavljanje skladnosti, izvedbenih aktov za določitev okoliščin, oblik in postopkov za priglasitev organov za ugotavljanje skladnosti, izvedbenih aktov, s katerimi se tretja država imenuje za državo, za katero obstajajo pomisleki glede kibernetske varnosti v dobavnih verigah IKT, izvedbenih aktov, ki določajo ključna sredstva IKT, ki se uporabljajo za proizvodnjo proizvodov ali opravljanje storitev s strani subjektov vrste iz prilog I in II k Direktivi (EU) 2022/2555, izvedbenih aktov, ki določajo, da za subjekte, ki delujejo v visoko kritičnih sektorjih in drugih kritičnih sektorjih, veljajo posebni blažilni ukrepi, in določajo časovna obdobja za postopno opuščanje komponent IKT ali komponent, ki vključujejo komponente IKT, ki jih zagotavljajo dobavitelji z visokim tveganjem, izvedbenih aktov, ki podrobneje določajo pogoje v zvezi z izvzetjem subjektov s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti, ali pod nadzorom subjektov iz take tretje države, ter sprejetje izvedbenih aktov, ki določajo podrobna pravila v zvezi s pristojbinami, ki jih zaračunava Komisija. Ta pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta, uporabiti pa bi bilo treba tudi postopek pregleda. Zaradi zagotovitve enotnih pogojev izvajanja te uredbe bi bilo treba na Komisijo prenesti tudi izvedbena pooblastila v zvezi z oblikovanjem seznama dobaviteljev z visokim tveganjem, ki so pomembni za nekatere ukrepe iz te uredbe.

(167)Evropske certifikacijske sheme za kibernetsko varnost morajo upoštevati najnovejši tehnološki razvoj, s tem povezane nove grožnje in sprejetje nove zakonodaje Unije, ki določa dokazovanje skladnosti in domnevo o skladnosti z evropskim certificiranjem kibernetske varnosti z zadevnimi zahtevami glede kibernetske varnosti iz navedene zakonodaje. Zato bi bilo treba na Komisijo prenesti pooblastilo za sprejemanje aktov v skladu s členom 290 PDEU, da se dodajo ali spremenijo varnostni cilji, za katere si prizadevajo evropske certifikacijske sheme za kibernetsko varnost. Podobno bi bilo treba v interesu zaupanja vrednega okvira za dobavne verige IKT na Komisijo prenesti pooblastilo, da v skladu s členom 290 PDEU sprejme akte za spremembo Priloge II k tej uredbi, da se prilagodi tehnološkemu razvoju. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, vključno na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje. Za zagotovitev enakopravnega sodelovanja pri pripravi delegiranih aktov Evropski parlament in Svet zlasti prejmeta vse dokumente sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se sistematično lahko udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov.

(168)Dejavnosti agencije ENISA bi bilo treba redno in neodvisno ocenjevati. Pri tej oceni bi bilo treba upoštevati uspešnost agencije ENISA pri doseganju ciljev in relevantnost njenih nalog, zlasti tistih, ki so povezane z operativnim sodelovanjem na ravni Unije. V primeru pregleda bi morala Komisija oceniti, kako bi bilo mogoče okrepiti vlogo agencije ENISA kot referenčne točke za svetovanje in strokovno znanje.

(169)Izvedbena uredba Komisije (EU) 2024/482 določa pravila v zvezi s sprejetjem evropske certifikacijske sheme za kibernetsko varnost, ki temelji na skupnih merilih. Evropska certifikacijska shema za kibernetsko varnost, ki temelji na skupnih merilih, je prva in edina evropska certifikacijska shema za kibernetsko varnost, sprejeta na podlagi Uredbe (EU) 2019/881. Zadeva certificiranje proizvodov IKT, vključno s proizvodi, ki spadajo v tehnični domeni „pametne kartice in podobne naprave“ ter „naprave strojne opreme z varnostnimi napravami“, in profile zaščite (kot postopke IKT). Zato je treba zagotoviti nadaljevanje dejavnosti certificiranja in dejavnosti Agencije.

(170)V skladu s členom 42(2) Uredbe (EU) 2018/1725 70 je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov in Evropskim odborom za varstvo podatkov, ki sta predložila skupno mnenje dne [datum].

(171)Uredbo (EU) 2019/881 bi bilo treba razveljaviti.

(172)Ker ciljev te uredbe države članice ne morejo zadovoljivo doseči, temveč se ti cilji zaradi njenega obsega in učinkov lažje dosežejo na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji (PEU). V skladu z načelom sorazmernosti iz navedenega člena ta uredba ne presega tistega, kar je potrebno za doseganje navedenih ciljev –

SPREJELA NASLEDNJO UREDBO:

NASLOV I
SPLOŠNE DOLOČBE

Člen 1
Predmet urejanja in področje uporabe

1.Ta uredba določa:

(a)poslanstvo, cilje, naloge in organizacijske zadeve, povezane z Agencijo Evropske unije za kibernetsko varnost (v nadaljnjem besedilu: agencija ENISA);

(b)okvir za vzpostavitev evropskih certifikacijskih shem za kibernetsko varnost za namene zagotavljanja ustrezne ravni kibernetske varnosti za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih v Uniji, pa tudi za namene preprečevanja razdrobljenosti notranjega trga v zvezi s certifikacijskimi shemami za kibernetsko varnost v Uniji ter

(c)zaupanja vreden okvir za dobavne verige IKT.

2.Okvir iz odstavka 1, točka (b), se uporablja brez poseganja v posebne določbe v drugih pravnih aktih Unije glede prostovoljnega ali obveznega certificiranja.

3.Okvir iz prvega pododstavka, točka (c), se uporablja za javne ali zasebne subjekte iz Priloge I ali II k Direktivi (EU) 2022/2555, ki svoje storitve ali dejavnosti opravljajo v Uniji.

4.Ta uredba ne posega v temeljne državne funkcije držav članic, vključno z zagotavljanjem ozemeljske celovitosti države, vzdrževanjem javnega reda in miru ter varovanjem nacionalne varnosti. Zlasti nacionalna varnost ostaja v izključni pristojnosti vsake države članice.

Člen 2
Opredelitev pojmov

V tej uredbi se uporabljajo naslednje opredelitve pojmov:

(1)„kibernetska varnost“ pomeni dejavnosti, ki so potrebne za zaščito omrežnih in informacijskih sistemov, uporabnikov takih sistemov in drugih oseb, na katere vplivajo kibernetske grožnje;

(2)„subjekti Unije“ pomeni subjekte Unije, kot so opredeljeni v členu 3, točka 1, Uredbe (EU, Euratom) 2023/2841;

(3)„pooblaščeni ponudnik potrdil“ pomeni javni ali zasebni subjekt, ki ga je agencija ENISA s sprejetjem sklepa pooblastila, da izdaja evropska potrdila o osebnih spretnostih na področju kibernetske varnosti, kot je določeno v evropski shemi potrdil o osebnih spretnostih na področju kibernetske varnosti;

(4)„evropsko potrdilo o osebnih spretnostih na področju kibernetske varnosti“ pomeni evidenco v digitalni ali fizični obliki, ki potrjuje, da posameznik pozna, razume in je sposoben opravljati naloge, povezane s profilom vloge ali podsklopom profila vloge evropskega okvira za spretnosti na področju kibernetske varnosti, na podlagi ocene, kot je določena v evropski shemi potrdil o osebnih spretnostih na področju kibernetske varnosti;

(5)„evropska shema potrdil o osebnih spretnostih na področju kibernetske varnosti“ pomeni celovit sklop pravil, zahtev, standardov in postopkov, ki jih določi agencija ENISA in so povezani s profilom vloge evropskega okvira za spretnosti na področju kibernetske varnosti ali podsklopom profila vloge ter se uporabljajo za pooblaščene ponudnike potrdil in jih ti uporabljajo;

(6)„omrežni in informacijski sistem“ pomeni omrežni in informacijski sistem, kot je opredeljen v členu 6, točka 1, Direktive (EU) 2022/2555;

(7)„nacionalna strategija za kibernetsko varnost“ pomeni nacionalno strategijo za kibernetsko varnost, kot je opredeljena v členu 6, točka 4, Direktive (EU) 2022/2555;

(8)„incident“ pomeni incident, kot je opredeljen v členu 6, točka 6, Direktive (EU) 2022/2555;

(9)„kibernetski incident velikih razsežnosti“ pomeni kibernetski incident velikih razsežnosti, kot je opredeljen v členu 6, točka 7, Direktive (EU) 2022/2555;

(10)„obvladovanje incidentov“ pomeni obvladovanje incidentov, kot je opredeljeno v členu 6, točka 8, Direktive (EU) 2022/2555;

(11)„kibernetska grožnja“ pomeni vsako morebitno okoliščino, dogodek ali dejanje, ki bi lahko poškodovalo, prekinilo ali drugače škodljivo vplivalo na omrežne in informacijske sisteme, uporabnike takih sistemov in druge osebe;

(12)„evropska certifikacijska shema za kibernetsko varnost“ pomeni celovit sklop pravil, tehničnih zahtev, standardov in postopkov, ki so vzpostavljeni na ravni Unije in se uporabljajo za certificiranje ali ugotavljanje skladnosti posameznih proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih;

(13)„nacionalna certifikacijska shema za kibernetsko varnost“ pomeni celovit sklop pravil, tehničnih zahtev, standardov in postopkov, ki so jih oblikovali in sprejeli nacionalni javni organi in se uporabljajo za certificiranje ali ugotavljanje skladnosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih, ki spadajo na področje uporabe določene sheme;

(14)„evropski certifikat kibernetske varnosti“ pomeni dokument, ki ga izda zadevni organ in potrjuje, da je bil določen proizvod IKT, storitev IKT, postopek IKT, upravljana varnostna storitev ali položaj kibernetske varnosti v subjektu ocenjen glede skladnosti s posebnimi varnostnimi zahtevami, določenimi v evropski certifikacijski shemi za kibernetsko varnost;

(15)„izjava EU o skladnosti“ pomeni dokument, ki ga izda proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja, in v katerem je navedeno, da je bilo izpolnjevanje zahtev, ki ustrezajo „osnovni“ ravni zanesljivosti in so določene v evropski certifikacijski shemi za kibernetsko varnost, dokazano s samoocenjevanjem skladnosti;

(16)„proizvod IKT“ pomeni element ali skupino elementov omrežnega ali informacijskega sistema;

(17)„storitev IKT“ pomeni storitev, ki v celoti ali pretežno sestoji iz prenosa, shranjevanja, priklica ali obdelave informacij prek omrežnih in informacijskih sistemov;

(18)„postopek IKT“ pomeni sklop dejavnosti, ki se izvaja za zasnovo, razvoj, dobavo ali vzdrževanje proizvoda IKT ali storitve IKT;

(19)„upravljana varnostna storitev“ pomeni storitev, ki se zagotavlja tretji osebi in vključuje izvajanje dejavnosti, povezanih z obvladovanjem tveganj za kibernetsko varnost, ali zagotavljanje pomoči pri takih dejavnostih, kot so odzivanje na incidente, penetracijsko testiranje, varnostne presoje in svetovanje, vključno s strokovnim svetovanjem, povezanim s tehnično podporo;

(20)„akreditacija“ pomeni akreditacijo, kot je opredeljena v členu 2, točka 10, Uredbe (ES) št. 765/2008;

(21)„nacionalni akreditacijski organ“ pomeni nacionalni akreditacijski organ, kot je opredeljen v členu 2, točka 11, Uredbe (ES) št. 765/2008;

(22)„ugotavljanje skladnosti“ pomeni ugotavljanje skladnosti, kot je opredeljeno v členu 2, točka 12, Uredbe (ES) št. 765/2008;

(23)„organ za ugotavljanje skladnosti“ pomeni organ za ugotavljanje skladnosti, kot je opredeljen v členu 2, točka 13, Uredbe (ES) št. 765/2008;

(24)„standard“ pomeni standard, kot je opredeljen v členu 2, točka 1, Uredbe (EU) št. 1025/2012 Evropskega parlamenta in Sveta 71 ;

(25)„tehnična specifikacija“ pomeni tehnično specifikacijo, kot je opredeljena v členu 2, točka 4, Uredbe (EU) št. 1025/2012;

(26)„harmonizirani standard“ pomeni harmonizirani standard, kot je opredeljen v členu 2(1), točka (c), Uredbe (EU) št. 1025/2012;

(27)„raven zanesljivosti“ pomeni podlago za zaupanje, da proizvod IKT, storitev IKT, postopek IKT, upravljana varnostna storitev ali položaj kibernetske varnosti v subjektu izpolnjuje varnostne zahteve določene evropske certifikacijske sheme za kibernetsko varnost, navaja pa tudi raven, na kateri je bil proizvod IKT, storitev IKT, postopek IKT, upravljana varnostna storitev ali položaj kibernetske varnosti v subjektu ocenjen, vendar kot taka ne meri varnosti zadevnega proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti v subjektu;

(28)„samoocenjevanje skladnosti“ pomeni dejavnost proizvajalca ali ponudnika proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekta, katerega položaj kibernetske varnosti je predmet certificiranja, s katero se oceni, ali ti proizvodi IKT, storitve IKT, postopki IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih izpolnjujejo zahteve iz določene evropske certifikacijske sheme za kibernetsko varnost;

(29)„položaj kibernetske varnosti v subjektih“ pomeni raven kibernetske varnosti v subjektih glede na določene varnostne zahteve;

(30)„model predhodne odobritve“ pomeni model, po katerem lahko organ za ugotavljanje skladnosti izda evropski certifikat kibernetske varnosti na podlagi ocene nacionalnega certifikacijskega organa za kibernetsko varnost v okviru določenega certifikacijskega postopka v okviru zadevne sheme;

(31)„model splošnega prenosa“ pomeni model, po katerem lahko organ za ugotavljanje skladnosti izda evropski certifikat kibernetske varnosti na podlagi prenosa dejavnosti certificiranja s strani nacionalnega certifikacijskega organa za kibernetsko varnost;

(32)„skupina za odzivanje na incidente na področju računalniške varnosti“ ali „skupina CSIRT“ pomeni skupino CSIRT, določeno ali vzpostavljeno na podlagi člena 10 Direktive (EU) 2022/2555;

(33)„komponente IKT“ pomeni proizvode IKT, storitve IKT ali postopke IKT, ki se lahko uporabljajo pri upravljanju sredstev IKT;

(34)„sredstva IKT“ pomeni sredstva programske ali strojne opreme v omrežnih in informacijskih sistemih, ki jih uporablja subjekt vrste iz prilog I in II k Direktivi (EU) 2022/2555;

(35)„ključna sredstva IKT“ pomeni sredstva IKT, opredeljena v skladu s členom 102;

(36)„elektronsko komunikacijsko omrežje“ pomeni elektronsko komunikacijsko omrežje, kot je opredeljeno v členu 2, točka 1, Uredbe (EU) XX/XXXX [predlog akta o digitalnih omrežjih];

(37)„nadzor“ pomeni možnost neposrednega ali posrednega odločilnega vplivanja na pravni subjekt prek enega ali več vmesnih pravnih subjektov;

(38)„sedež“ pomeni dejansko opravljanje dejavnosti prek stabilnih ureditev v državi, v kateri ima subjekt glavno upravo ali glavni kraj poslovanja;

(39)„dobavitelj z visokim tveganjem“ pomeni eno od naslednjega:

(a)subjekt s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti in je določena v skladu s členom 100, ali pod nadzorom take tretje države, subjekta s sedežem v taki tretji državi ali državljana take tretje države;

(b)subjekt, določen v skladu s členom 103(7), in subjekte, ki jih ta subjekt nadzoruje;

(40)„dobavna veriga IKT“ pomeni sklop storitev IKT, proizvodov IKT in postopkov IKT, ki zajema dejavnosti in akterje, vključene v vseh fazah višje v verigi, preden se proizvod ali storitev da na trg;

(41)„tretja država“ pomeni tretjo državo, kot je opredeljena v členu 3(4) Uredbe (EU) 2023/2675 Evropskega parlamenta in Sveta 72 ;

(42)„netehnično tveganje“ pomeni verjetnost, da je dobavitelj pod vplivom tretje države, kar bi lahko povzročilo izgubo ali motnjo zagotovljene storitve, ogrozilo proizvod subjekta ali privedlo do eksfiltracije podatkov, vključno za namene vohunjenja ali ustvarjanja prihodka;

(43)„znatno netehnično tveganje za kibernetsko varnost“ pomeni netehnično tveganje za kibernetsko varnost, za katero se lahko domneva, da vključuje veliko verjetnost incidenta, ki bi lahko imel resen negativen učinek, vključno s povzročitvijo precejšnje materialne ali nematerialne izgube ali motnje;

(44)„funkcije jedrnega omrežja mobilnih elektronskih komunikacijskih omrežij“ pomeni osrednji arhitekturni element mobilnih elektronskih komunikacijskih omrežij, ki povezuje glavna omrežna vozlišča z internetom in upravlja bistvene sistemske funkcije, kar vključuje avtentikacijo uporabniške opreme, funkcije zakonitega prestrezanja (LI), varnostne prehode (SeGW) na robu omrežja, signalizacijske varnostne funkcije, upravljanje gostovanja in sej, prenos podatkov na uporabniški in krmilni ravnini, upravljanje politike dostopa, registracijo in odobritev omrežnih storitev, shranjevanje podatkov končnih uporabnikov in omrežnih podatkov, kritične omrežne storitve, vključno s sistemom domenskih imen (DNS), medomrežno povezovanje z mobilnimi omrežji tretjih oseb, izpostavljenost funkcij jedrnega omrežja zunanjim aplikacijam ter izbiro in upravljanje rezin omrežja;

(45)„virtualizacija omrežne funkcije (NFV) ter upravljanje in omrežna orkestracija (MANO) mobilnih elektronskih komunikacijskih omrežij“ pomeni programski in arhitekturni okvir, ki zagotavlja upravljanje življenjskega cikla, orkestracijo in avtomatizacijo virtualiziranih omrežnih funkcij (VNF), omrežnih funkcij, ki temeljijo na oblaku (CNFS), ter izbiro in upravljanje rezin omrežja v mobilnih elektronskih komunikacijskih omrežjih;

(46)„radijsko dostopovno omrežje (RAN) mobilnih elektronskih komunikacijskih omrežij“ pomeni omrežje, ki povezuje mobilno uporabniško opremo z jedrnim omrežjem, vključno z baznimi postajami (eNodeB za 4G, gNodeB za 5G), oddaljenimi radijskimi glavami (RRH) in enotami v osnovnem pasu (BBU), aktivnimi antenskimi sistemi (AAS) in, kadar je ustrezno, razčlenjenimi komponentami RAN, kot so centralizirane enote (CU) in porazdeljene enote (DU), ter inteligentnim krmilnikom RAN (RIC);

(47)„funkcije jedrnega omrežja fiksnih elektronskih komunikacijskih omrežij“ pomeni hrbtenično inteligenco omrežja, ki povezuje glavna vozlišča in opravlja vrsto bistvenih funkcij, vključno z uporabniško avtentikacijo in avtorizacijo (AAA), funkcijami zakonitega prestrezanja (LI), sistemom domenskih imen (DNS) in storitvami dodeljevanja naslovov IP (DHCP), upravljanjem politike dostopa, shranjevanjem podatkov o končnih uporabnikih in omrežnih podatkov, preklapljanjem in usmerjanjem IP ter mednarodnimi internetnimi prehodi (IIG);

(48)„sistem za upravljanje omrežja fiksnih elektronskih komunikacijskih omrežij“ pomeni vse centralizirane platforme in komponente programske opreme, potrebne za delovanje, upravljanje, vzdrževanje in zagotavljanje (OAM&P) omrežja ter spremljanje z omrežjem povezanih informacij;

(49)„transportne in prenosne funkcije fiksnih elektronskih komunikacijskih omrežij“ pomeni vse komponente, potrebne za vmesno povezovalno omrežje in združevanje prometa po omrežju, vključno z optično transportno opremo, mikrovalovnimi povezavami in podvodnimi kabelskimi sistemi, ki vključujejo podvodno opremo in tudi terminalsko opremo podvodnih vodov (SLTE) ter fizične objekte obalne sprejemne postaje;

(50)„dostopovno omrežje fiksnih elektronskih komunikacijskih omrežij“ pomeni omrežje, ki povezuje prostore končnega uporabnika z agregacijskim ali jedrnim omrežjem, vključno z optičnimi linijskimi terminali (OLT) in optičnimi omrežnimi terminali (ONT) za optična omrežja, terminalnim sistemom koaksialnih kabelskih modemov (CMTS) in kabelskimi modemi za koaksialna kabelska omrežja ter komponentami fiksnega brezžičnega dostopa, kadar se uporabljajo kot nadomestek za fiksno linijo.

NASLOV II
AGENCIJA EVROPSKE UNIJE ZA KIBERNETSKO VARNOST

Poglavje I
Poslanstvo in cilji

Člen 3
Poslanstvo agencije ENISA

1.Poslanstvo agencije ENISA je podpirati države članice in subjekte Unije pri doseganju visoke ravni kibernetske varnosti, kibernetske odpornosti in zaupanja v Uniji.

2.Agencija ENISA deluje kot referenčna točka za svetovanje in strokovno znanje v zvezi s kibernetsko varnostjo za države članice ter druge deležnike v Uniji.

3.Agencija ENISA z opravljanjem nalog, ki so ji dodeljene na podlagi te uredbe, prispeva k zmanjšanju razdrobljenosti notranjega trga.

4.Agencija ENISA opravlja naloge, ki so ji dodeljene s pravnimi akti Unije.

5.Agencija ENISA razvija lastne zmogljivosti, vključno s tehničnimi zmogljivostmi ter človeškimi sposobnostmi in spretnostmi, potrebnimi za opravljanje nalog, ki so ji dodeljene s to uredbo.

Člen 4
Cilji agencije ENISA

1.Agencija ENISA je središče strokovnega znanja na področju kibernetske varnosti zaradi svoje neodvisnosti, znanstvene in tehnične kakovosti svetovanja, prispevkov in pomoči, ki jih zagotavlja, informacij, ki jih zagotavlja, preglednosti svojih postopkov, načina delovanja ter skrbnosti pri izvajanju svojih nalog.

2.Agencija ENISA pomaga državam članicam in po potrebi subjektom Unije pri izvajanju horizontalnih in sektorskih politik in zakonodaje Unije, povezanih s kibernetsko varnostjo, vključno z dejavnostmi nadzora trga.

3.Agencija ENISA zagotavlja strokovno znanje in pomaga Komisiji pri razvoju politik in zakonodaje Unije v zvezi s kibernetsko varnostjo.

4.Agencija ENISA podpira krepitev zmogljivosti in pripravljenost po vsej Uniji tako, da državam članicam, subjektom Unije prek Službe za kibernetsko varnost za institucije, organe, urade in agencije Unije (v nadaljnjem besedilu: CERT-EU) iz poglavja IV Uredbe (EU, Euratom) 2023/2841 ter javnim in zasebnim deležnikom pomaga povečati zaščito njihovih omrežnih in informacijskih sistemov ter razviti in izboljšati kibernetsko odpornost in odzivne zmogljivosti.

5.Agencija ENISA prispeva k izvajanju akademije za spretnosti na področju kibernetske varnosti in rasti delovne sile na področju kibernetske varnosti v Uniji s podpiranjem prizadevanj za razvoj prenosljivosti spretnosti po vsej Uniji, tudi z vzdrževanjem in uvajanjem evropskega okvira za spretnosti na področju kibernetske varnosti ter razvojem, vzdrževanjem in uvajanjem evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti v skladu s poglavjem II, oddelek 4, tega naslova, ter zagotavljanjem usposabljanja v skladu s členom 6(8).

6.Agencija ENISA pri zadevah v zvezi s kibernetsko varnostjo spodbuja sodelovanje, vključno z izmenjavo informacij, in usklajevanje na ravni Unije med državami članicami, subjekti Unije v skladu z Uredbo (EU, Euratom) 2023/2841 ter zadevnimi zasebnimi in javnimi deležniki.

7.Agencija ENISA prispeva h krepitvi zmogljivosti na področju kibernetske varnosti na ravni Unije, da bi podprla dejavnosti držav članic pri preprečevanju kibernetskih groženj in odzivanju nanje.

8.Agencija ENISA podpira operativno sodelovanje na ravni Unije, tudi s prispevanjem k skupnemu situacijskemu zavedanju o kibernetskih grožnjah in incidentih med državami članicami ter, v sodelovanju s CERT-EU, med subjekti Unije.

9.Agencija ENISA tesno sodeluje z Europolom, skupinami CSIRT in drugimi zadevnimi nacionalnimi organi, da bi izboljšala pripravljenost na področju kibernetske varnosti in odzivanje na incidente z izsiljevalskim programjem.

10.Agencija ENISA prispeva k vzpostavitvi in vzdrževanju evropskega certifikacijskega okvira za kibernetsko varnost v skladu z naslovom III te uredbe. Agencija ENISA spodbuja uporabo evropskega certificiranja na področju kibernetske varnosti, da se prepreči razdrobljenost notranjega trga.

11.Agencija ENISA prispeva k harmonizaciji enotnega digitalnega trga s sodelovanjem pri standardizaciji, pomembni za politike Unije, povezane s kibernetsko varnostjo, in razvojem tehničnih specifikacij.

12.Agencija ENISA spodbuja visoko raven ozaveščenosti o kibernetski varnosti med organizacijami in podjetji.

Poglavje II
Naloge

Oddelek 1
Podpora izvajanju politike in prava Unije

Člen 5
Podpora izvajanju politike in prava Unije

1.Agencija ENISA prispeva k izvajanju politike in prava Unije tako, da:

(a)podpira države članice pri doslednem izvajanju politike in prava Unije na področju kibernetske varnosti, vključno z izdajanjem tehničnih smernic in poročil, svetovanjem in izmenjavo dobrih praks ter olajševanjem izmenjave dobrih praks med pristojnimi organi v zvezi s tem;

(b)podpira izmenjavo informacij znotraj sektorjev in med njimi, zlasti v zvezi s sektorji iz prilog I in II k Direktivi (EU) 2022/2555 ter izdelki z digitalnimi elementi, ki spadajo na področje uporabe Uredbe (EU) 2024/2847, z zagotavljanjem dobrih praks in smernic o razpoložljivih orodjih in postopkih;

(c)na zahtevo Komisije pomaga državam članicam z zagotavljanjem podpore, kot so tehnične smernice, vključno z ukrepi za obvladovanje tveganj za kibernetsko varnost, orodji za oceno kibernetskovarnostne zrelosti in priročniki za odzivanje na incidente, prilagojene sektorjem iz prilog I in II k Direktivi (EU) 2022/2555, ali podpore za izvajanje načel vgrajene varnosti za izdelke z digitalnimi elementi v skladu z Uredbo (EU) 2024/2847, da se olajšata izboljšanje ravni kibernetskovarnostne zrelosti in skladnost s pravom Unije na področju kibernetske varnosti;

(d)prispeva k delu skupine za sodelovanje, ustanovljene na podlagi člena 14(1) Direktive (EU) 2022/2555 (v nadaljnjem besedilu: skupina za NIS), skupine za sodelovanje na področju evropske digitalne identitete, ustanovljene na podlagi člena 46e(1) Uredbe (EU) št. 910/2014, evropske certifikacijske skupine za kibernetsko varnost iz člena 90 te uredbe in skupine za upravno sodelovanje, ustanovljene na podlagi člena 52(15) Uredbe (EU) 2024/2847;

(e)pomaga državam članicam in zadevnim subjektom Unije pri oblikovanju in spodbujanju politik kibernetske varnosti, povezanih z ohranjanjem splošne dostopnosti in celovitosti javnega jedra odprtega interneta;

(f)v skladu z Uredbo (EU) 2024/2847 zagotavlja tehnično svetovanje in podporo državam članicam in Komisiji pri zadevah, povezanih z izvajanjem navedene uredbe;

(g)pomaga državam članicam pri izvajanju medsebojne pomoči in olajševanju takih postopkov sodelovanja za bistvene in pomembne subjekte v skladu s [členom 37a Direktive (EU) 2022/2555];

(h)na zahtevo Evropskega odbora za varstvo podatkov svetuje o izvajanju določenih vidikov politike in prava Unije na področju kibernetske varnosti, povezanih z varstvom podatkov in zasebnostjo.

2.Agencija ENISA prispeva k usklajenim ocenam tveganja za kibernetsko varnost na ravni Unije, tudi tistim, ki se izvajajo na podlagi člena 22 Direktive (EU) 2022/2555.

3.Agencija ENISA izda smernice o interoperabilnosti omrežnih in informacijskih sistemov, ki se uporabljajo za izmenjavo informacij, tudi v zvezi s čezmejnimi kibernetskimi vozlišči iz člena 6(3) Uredbe (EU) 2025/38.

4.Agencija ENISA je članica skupine za NIS v skladu s členom 14(3) Direktive (EU) 2022/2555.

5.Agencija ENISA na zahtevo Komisije zagotovi strokovno znanje, tehnične nasvete, informacije ali analize ali opravi pripravljalno delo v zvezi z določenimi zadevami na področju kibernetske varnosti, da bi prispevala k oblikovanju politik Komisije in njenemu spremljanju izvajanja zakonodaje Unije.

Člen 6
Krepitev zmogljivosti

Agencija ENISA pomaga:

(1)državam članicam pri njihovih prizadevanjih za izboljšanje preprečevanja, odkrivanja in analiziranja kibernetskih groženj in incidentov ter zmogljivosti odzivanja nanje, tako da jim zagotavlja potrebno strokovno znanje in izkušnje;

(2)državam članicam, na njihovo zahtevo, pri vzpostavljanju in izvajanju politik razkrivanja ranljivosti na prostovoljni podlagi;

(3)CERT-EU in Medinstitucionalnemu odboru za kibernetsko varnost v skladu z Uredbo (EU, Euratom) 2023/2841 pri njunih prizadevanjih za podporo subjektom Unije pri krepitvi njihove kibernetske varnosti, izboljšanju preprečevanja, odkrivanja in analiziranja kibernetskih groženj in incidentov ter izboljšanju njihovih zmogljivosti odzivanja na take kibernetske grožnje in incidente;

(4)državam članicam pri oblikovanju nacionalnih skupin CSIRT, kadar za to zaprosijo na podlagi člena 10(10) Direktive (EU) 2022/2555;

(5)državam članicam pri oblikovanju ali posodabljanju nacionalne strategije za kibernetsko varnost in ključnih kazalnikov uspešnosti za oceno navedene strategije, kadar za to zaprosijo na podlagi člena 7(4) Direktive (EU) 2022/2555, ter spodbuja razširjanje teh strategij in se seznanja z napredkom pri njihovem izvajanju po vsej Uniji, da bi spodbujala najboljše prakse;

(6)institucijam Unije, na njihovo zahtevo, pri oblikovanju in pregledovanju strategij Unije na področju kibernetske varnosti s spodbujanjem razširjanja teh strategij in spremljanjem napredka pri njihovem izvajanju;

(7)nacionalnim skupinam CSIRT pri povečevanju ravni njihovih zmogljivosti, vključno s podpiranjem dialoga in izmenjave informacij, z namenom zagotavljanja, da ima vsaka skupina CSIRT v skladu s tehničnim razvojem skupni sklop minimalnih zmogljivosti in deluje skladno z najboljšimi praksami;

(8)državam članicam, subjektom Unije ter javnim in zasebnim deležnikom pri njihovih prizadevanjih za oceno, okrepitev in razvoj delovne sile na področju kibernetske varnosti, vključno z razvojem, vzdrževanjem in spodbujanjem uporabe ustreznih orodij, kot so evropski okvir za spretnosti na področju kibernetske varnosti in evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti v skladu z oddelkom 4 tega poglavja;

(9)zadevnim javnim organom in zasebnim deležnikom z izvajanjem ciljno usmerjenih usposabljanj, po potrebi v sodelovanju z deležniki;

(10)skupini za NIS pri izmenjavi dobrih praks in informacij, zlasti v zvezi z izvajanjem Direktive (EU) 2022/2555 na podlagi člena 14(4), točka (c), navedene direktive;

(11)organom za nadzor trga, imenovanim na podlagi Uredbe (EU) 2024/2847, pri njihovih dejavnostih, katerih cilj je zagotoviti učinkovito izvajanje navedene uredbe, vključno s podporo za usmerjanje in tehnično svetovanje gospodarskim subjektom, podporo za preverjanje skladnosti, oceno tveganj, skupnimi dejavnostmi ter usklajenimi preiskavami, kot je določeno v Uredbi (EU) 2024/2847;

(12)članom evropske certifikacijske skupine za kibernetsko varnost pri izmenjavi dobrih praks ter na zahtevo posameznih držav članic pomaga nacionalnim certifikacijskim organom za kibernetsko varnost pri izvajanju evropskih certifikacijskih shem za kibernetsko varnost na nacionalni ravni;

(13)javnim organom in zasebnim deležnikom v zvezi z dejavnostmi ugotavljanja skladnosti in ocenjevanja, vključno z organi za ugotavljanje skladnosti ter malimi in srednjimi podjetji, da bi podprla trden, konkurenčen, vključujoč in harmoniziran ekosistem za ugotavljanje skladnosti, ki podpira izvajanje Uredbe (EU) 2024/2847 in evropskega certifikacijskega okvira za kibernetsko varnost;

(14)Evropskemu industrijskemu, tehnološkemu in raziskovalnemu strokovnemu centru za kibernetsko varnost ter mreži nacionalnih koordinacijskih centrov, vzpostavljeni na podlagi Uredbe (EU) 2021/887, z izmenjavo informacij o trenutnih in nastajajočih tveganjih ter kibernetskih grožnjah, tudi v zvezi z novimi in nastajajočimi informacijskimi in komunikacijskimi tehnologijami;

(15)državam članicam z zagotavljanjem tehnične podpore, tudi za vzpostavitev in delovanje regulativnih peskovnikov na področju kibernetske varnosti v skladu z zadevno zakonodajo Unije.

Člen 7
Ozaveščanje in nabor talentov

Agencija ENISA pomaga državam članicam pri njihovih prizadevanjih za ozaveščanje o politikah in zakonodaji Unije na področju kibernetske varnosti ter spodbuja njihovo prepoznavnost z razvojem uporabnih orodij in smernic. Agencija ENISA podpira pobude za povečanje evropskega nabora talentov na področju kibernetske varnosti, zlasti z usklajevanjem natečajev.

Člen 8
Poznavanje in analize trga

1.Agencija ENISA izvaja in razširja analize glavnih trendov na trgu kibernetske varnosti na strani povpraševanja in ponudbe, zlasti v zvezi s področji, na katerih obstajajo ali se načrtujejo evropske certifikacijske sheme za kibernetsko varnost, sektorji iz prilog I in II k Direktivi (EU) 2022/2555 ter kategorijami izdelkov, ki jih zajema Uredba (EU) 2024/2847, vključno s prilogama III in IV k navedeni uredbi.

2.Agencija ENISA izvaja in razširja analize tehnoloških trendov na področju kibernetske varnosti, zlasti v zvezi z dejavnostmi in subjekti, ki spadajo na področje uporabe Direktive (EU) 2022/2555, ter izdelki z digitalnimi elementi, ki spadajo na področje uporabe Uredbe (EU) 2024/2847.

3.Agencija ENISA pridobiva znanje ter razširja tehnične nasvete in analize o najsodobnejših orodjih za kibernetsko varnost, okvirih, standardih in dobrih praksah.

Člen 9
Mednarodno sodelovanje

Agencija ENISA prispeva k prizadevanjem Unije za sodelovanje s tretjimi državami in mednarodnimi organizacijami, pa tudi znotraj zadevnih mednarodnih okvirov sodelovanja, ter tako spodbuja mednarodno sodelovanje o zadevah, ki se nanašajo na kibernetsko varnost, in sicer s:

(a)sodelovanjem v vlogi opazovalke pri organizaciji mednarodnih vaj ter analiziranjem in poročanjem o rezultatih teh vaj upravnemu odboru, kadar je to primerno;

(b)olajševanjem izmenjave najboljših praks na zahtevo Komisije s tretjimi državami in mednarodnimi organizacijami;

(c)zagotavljanjem strokovnega znanja Komisiji na njeno zahtevo;

(d)strokovnim svetovanjem in podporo Komisiji pri zadevah v zvezi z mednarodnim priznavanjem evropskih certifikatov kibernetske varnosti v skladu s členom 87;

(e)strokovnim svetovanjem in podporo Komisiji pri zadevah v zvezi z mednarodno standardizacijo in pri sodelovanju z zadevnimi mednarodnimi organizacijami za standardizacijo, kadar je primerno, v sodelovanju z evropsko certifikacijsko skupino za kibernetsko varnost, ustanovljeno na podlagi člena 90.

Oddelek 2

Operativno sodelovanje

Člen 10
Operativno sodelovanje na ravni Unije

1.Agencija ENISA podpira operativno sodelovanje med državami članicami, subjekti Unije prek CERT-EU ter drugimi deležniki.

2.Agencija ENISA je članica mreže nacionalnih skupin CSIRT, vzpostavljene na podlagi člena 15(1) Direktive (EU) 2022/2555, in zagotavlja sekretariat mreže skupin CSIRT na podlagi člena 15(2) Direktive (EU) 2022/2555.

3.Agencija ENISA zagotovi sekretariat Evropske organizacijske mreže za povezovanje v kibernetski krizi (v nadaljnjem besedilu: mreža EU-CyCLONe) na podlagi člena 16(2), drugi pododstavek, Direktive (EU) 2022/2555.

4.Agencija ENISA podpira tehnično in operativno sodelovanje med državami članicami, zlasti prek mreže skupin CSIRT in mreže EU-CyCLONe. Taka podpora vključuje:

(a)svetovanje o izboljšanju zmogljivosti za preprečevanje in odkrivanje incidentov ter odzivanje nanje in okrevanje po njih;

(b)svetovanje in ocenjevanje na zahtevo ene ali več držav članic v zvezi z določenimi morebitnimi ali obstoječimi incidenti ali kibernetskimi grožnjami, vključno z zagotavljanjem strokovnega znanja in omogočanjem lažjega tehničnega obvladovanja takih incidentov ter podpiranjem prostovoljne izmenjave zadevnih informacij in tehničnih rešitev med državami članicami;

(c)analiziranje ranljivosti, groženj in incidentov;

(d)zagotavljanje podpore na zahtevo ene ali več držav članic v zvezi z naknadnimi tehničnimi preiskavami pomembnih incidentov v smislu člena 23(3) Direktive (EU) 2022/2555;

(e)podpiranje usklajenega obvladovanja kibernetskih incidentov velikih razsežnosti in kriz na operativni ravni, zlasti s pomočjo mreži EU-CyCLONe pri pripravi poročil na politični ravni in omogočanjem pravočasne izmenjave informacij med mrežo skupin CSIRT in mrežo EU-CyCLONe.

5.Agencija ENISA na zahtevo države članice ali subjekta Unije v sodelovanju s CERT-EU podpira dosledno obveščanje javnosti v zvezi z incidentom ali kibernetsko grožnjo.

6.Agencija ENISA podpira sodelovanje med državami članicami in prek CERT-EU med subjekti Unije pri uvajanju varnih komunikacijskih orodij. Agencija ENISA v okviru mreže skupin CSIRT in mreže EU-CyCLONe uporablja varna komunikacijska orodja, ki jih zagotavljajo pravni subjekti s sedežem v Uniji ali za katere se šteje, da imajo sedež v Uniji, in jih nadzorujejo države članice ali njihovi državljani.

Člen 11
Skupno situacijsko zavedanje o kibernetski varnosti

1.Agencija ENISA za namene okrepljenega skupnega situacijskega zavedanja o kibernetskih grožnjah in incidentih med državami članicami in subjekti Unije:

(a)v sodelovanju z mrežo EU-CyCLONe, mrežo skupin CSIRT, Komisijo, CERT-EU, Europolom in drugimi zadevnimi subjekti Unije razvija odložišča preverjenih in zanesljivih obveščevalnih podatkov o kibernetskih grožnjah, vključno s trendi v zvezi z incidenti, taktikami, tehnikami in postopki;

(b)v skladu s členom 12 izdaja zgodnja opozorila o morebitnem ali obstoječem pomembnem incidentu ali incidentu velikih razsežnosti ali kibernetski grožnji morebitne čezmejne narave, zlasti v zvezi s sektorji iz prilog I in II k Direktivi (EU) 2022/2555;

(c)na zahtevo mreže skupin CSIRT, mreže EU-CyCLONe ali Komisije zagotovi pravočasne ad hoc analize novih trendov v zvezi z incidenti;

(d)na zahtevo držav članic ali Komisije zagotovi analizo ali druge informacije v zvezi z dejanskim ali zaznanim tveganjem ali grožnjo za kibernetsko varnost;

(e)zagotavlja analize in tehnično svetovanje v zvezi s tveganji za kibernetsko varnost pri izdelkih z digitalnimi elementi, tudi v podporo nadzoru trga in s pripravo dvoletnega tehničnega poročila o novih trendih v skladu s členom 17(3) Uredbe (EU) 2024/2847;

(f)pripravlja redna poglobljena tehnična poročila o stanju na področju kibernetske varnosti v EU v zvezi z incidenti in kibernetskimi grožnjami ter jih da na voljo Svetu, mreži EU-CyCLONe, mreži skupin CSIRT, Komisiji, Evropski službi za zunanje delovanje in Europolu;

(g)spremlja trende v zvezi s tehnikami, zahtevami in učinki napadov z izsiljevalskim programjem ter zagotavlja informacije o takih trendih Komisiji, mreži skupin CSIRT, mreži EU-CyCLONe in Europolu.

2.Agencija ENISA za namene okrepljenega skupnega situacijskega zavedanja o kibernetskih grožnjah in incidentih med deležniki:

(a)izvaja analize kibernetskih groženj, incidentov, trendov, nastajajočih tehnologij in njihovih učinkov, vključno z redno analizo sektorjev iz prilog I in II k Direktivi (EU) 2022/2555 in zadevnih kategorij izdelkov, ki jih zajema Uredba (EU) 2024/2847;

(b)v sodelovanju s Komisijo in po potrebi z mrežo skupin CSIRT izdaja nasvete, smernice in dobre prakse za varnost omrežnih in informacijskih sistemov, zlasti za varnost infrastruktur, ki podpirajo sektorje iz prilog I in II k Direktivi (EU) 2022/2555;

(c)izvaja dolgoročne strateške analize kibernetskih groženj in incidentov, da bi opredelila nove trende in pripomogla k preprečevanju incidentov.

3.Agencija ENISA lahko v dogovoru s prispevajočimi subjekti iz odstavka 2 javno objavi analize, nasvete, smernice, dobre prakse in poročila iz odstavka 2.

4.Agencija ENISA pri izvajanju dejavnosti iz odstavka 1, točke (a) do (d) in točka (f), ter odstavka 2 uporablja lastne analize in po potrebi informacije, ki jih prejme pri opravljanju svojih nalog, med drugim:

(a)informacije iz javno dostopnih virov, vključno z javno znanimi ranljivostmi proizvodov IKT ali storitev IKT, ki so na voljo v evropski podatkovni zbirki ranljivosti, vzpostavljeni na podlagi člena 12(2) Direktive (EU) 2022/2555;

(b)informacije, ki jih delijo države članice, subjekti Unije, CERT-EU, partnerji iz zasebnega sektorja ali nevladni partnerji ter tretje države in mednarodne organizacije, ob upoštevanju vseh omejitev z vidnim označevanjem nadaljnjega razširjanja teh informacij.

5.Agencija ENISA tesno sodeluje z državami članicami pri pripravi tehničnega poročila o stanju na področju kibernetske varnosti v EU iz odstavka 1, točka (e). Navedeno poročilo temelji na javno dostopnih informacij, lastnih analizah agencije ENISA in poročilih, ki jih med drugim predložijo skupine CSIRT držav članic ali enotne kontaktne točke, vzpostavljene z Direktivo (EU) 2022/2555, v obeh primerih na prostovoljni podlagi, Evropski center za boj proti kibernetski kriminaliteti ter CERT-EU. Agencija ENISA lahko v dogovoru s prispevajočimi subjekti javno objavi zbirno različico poročila.

Člen 12
Zgodnja opozorila

1.Zgodnja opozorila iz člena 11(1), prvi pododstavek, točka (b), te uredbe vsebujejo zadevne informacije v zvezi z morebitnim ali obstoječim pomembnim incidentom ali incidentom velikih razsežnosti ali kibernetsko grožnjo morebitne čezmejne narave, zlasti v zvezi s sektorji iz prilog I in II k Direktivi (EU) 2022/2555; Take informacije lahko vključujejo javno znane ranljivosti in informacije, ali vplivajo na izdelke z digitalnimi elementi, ki jih zajema Uredba (EU) 2024/2847, tehnike in postopke, kazalnike ogroženosti, sovražne taktike, specifične informacije o grožnji in akterju ter priporočila o blažilnih ukrepih.

2.Zgodnja opozorila iz člena 11(1), prvi pododstavek, točka (b), se čim prej izdajo zadevnim skupinam CSIRT ter, kadar je ustrezno, mreži skupin CSIRT in mreži EU-CyCLONe.

3.Agencija ENISA ponuja storitev zgodnjega opozarjanja subjektom, ki delujejo v sektorjih iz prilog I in II k Direktivi (EU) 2022/2555.

4.Storitev iz odstavka 3 se zagotovi na zahtevo subjekta in v strojno berljivi obliki, ki je javno dostopna. Ta storitev vključuje izmenjavo informacij o kazalnikih kibernetskih groženj in priporočil o blažilnih ukrepih.

5.Agencija ENISA vzpostavi postopek za posredovanje zgodnjih opozoril subjektom iz odstavka 3.

Člen 13
Podpora pri odzivanju na incidente in njihovem pregledu

1.Agencija ENISA v celoti ali delno skrbi za delovanje in upravljanje EU rezerve za kibernetsko varnost v skladu z Uredbo (EU) 2025/38.

2.Agencija ENISA na zahtevo Komisije ali mreže EU-CyCLONe ob podpori mreže skupin CSIRT ter z odobritvijo zadevne države članice pregleda in oceni pomembne kibernetske incidente ali kibernetske incidente velikih razsežnosti v skladu s členom 21 Uredbe (EU) 2025/38.

3.Agencija ENISA v sodelovanju z Europolom in skupinami CSIRT ali drugimi pristojnimi organi, kot je ustrezno, posameznim bistvenim in pomembnim subjektom iz prilog I in II k Direktivi (EU) 2022/2555 pomaga pri pripravi na incident z izsiljevalskim programjem, odzivanju nanj in okrevanju po njem. V ta namen agencija ENISA vzpostavi službo za pomoč uporabnikom in zlasti izkoristi okrepljeno skupno situacijsko zavedanje o kibernetskih grožnjah in incidentih na podlagi člena 11(1), prvi pododstavek, točki (a) in (g), te uredbe.

Člen 14
Vaje na področju kibernetske varnosti na ravni Unije

1.Agencija ENISA podpira Komisijo pri pripravi letnega tekočega programa vaj na področju kibernetske varnosti na ravni Unije.

2.Agencija ENISA vzdržuje odložišče izkušenj, pridobljenih pri vajah iz odstavka 1, ter državam članicam in, kadar je ustrezno, subjektom Unije priporoči, kako te izkušnje uspešno in učinkovito uporabiti.

3.Agencija ENISA na zahtevo mreže EU-CyCLONe ali Komisije organizira vaje na področju kibernetske varnosti na ravni Unije ali prispeva k njihovi organizaciji, vključno s preizkušanjem pripravljenosti za odzivanje na kibernetske incidente velikih razsežnosti in krize na ravni Unije.

4.Agencija ENISA državam članicam na njihovo zahtevo pomaga pri organizaciji nacionalnih vaj na področju kibernetske varnosti.

5.Agencija ENISA na zahtevo CERT-EU prispeva k organizaciji vaj na področju kibernetske varnosti, ki jih organizira CERT-EU na podlagi člena 13(7) Uredbe (EU, Euratom) 2023/2841.

Člen 15
Zagotavljanje orodij in platform

1.Agencija ENISA vzpostavi, zagotovi, upravlja, vzdržuje in po potrebi posodablja operativna tehnična orodja, vključno s platformami, povezanimi s kibernetsko varnostjo na ravni Unije, zlasti enotno platformo za poročanje, vzpostavljeno na podlagi člena 16(1) Uredbe (EU) 2024/2847 [in enotno vstopno točko za poročanje o incidentih, vzpostavljeno na podlagi člena 23a Direktive (EU) 2022/2555], ter preizkuševalna orodja za podporo izvajanju postopkov ugotavljanja skladnosti v skladu z zadevno zakonodajo Unije.

2.Kadar je to ustrezno za namene odstavka 1, agencija ENISA sodeluje in izmenjuje informacije z mrežo skupin CSIRT in po potrebi z organi za nadzor trga.

Člen 16
Storitve obvladovanja ranljivosti

Agencija ENISA razvije skupno zmogljivost Unije za storitve obvladovanja ranljivosti in deležnikom zagotavlja storitve obvladovanja ranljivosti z:

(a)vzdrževanjem evropske podatkovne zbirke ranljivosti, vzpostavljene v skladu s členom 12(2) Direktive (EU) 2022/2555;

(b)zagotavljanjem storitev obvladovanja ranljivosti deležnikom na podlagi evropske podatkovne zbirke ranljivosti in z uporabo zadevnih informacij, ki so ji na voljo;

(c)vzpostavitvijo strukturiranega sodelovanja, kadar je ustrezno, z organizacijami, ki zagotavljajo programe, registre ali podatkovne zbirke, podobne evropski podatkovni zbirki ranljivosti;

(d)dejavnim podpiranjem skupin CSIRT, ki so na podlagi člena 12(1) Direktive (EU) 2022(2555) imenovane za koordinatorje v zvezi z upravljanjem usklajenega razkrivanja ranljivosti, ki bi lahko pomembno vplivale na subjekte v več kot eni državi članici;

(e)razvijanjem in vzdrževanjem metodologij in mehanizmov upravljanja za prepoznavanje in usklajeno razkrivanje ranljivosti v sodelovanju s pristojnimi nacionalnimi organi, skupinami CSIRT, industrijo in raziskovalno skupnostjo.

Oddelek 3

Certificiranje kibernetske varnosti in standardizacija

Člen 17
Certificiranje kibernetske varnosti

1.Agencija ENISA prispeva k razvoju in izvajanju politike Unije o certificiranju kibernetske varnosti iz naslova III te uredbe ter ju spodbuja. Agencija ENISA je odgovorna za:

(a)pripravo predlog za evropske certifikacijske sheme za kibernetsko varnost (v nadaljnjem besedilu: predloge za sheme) za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih v skladu s členom 74 ter, kadar je ustrezno, pripravo tehničnih specifikacij v skladu s členom 77;

(b)vzdrževanje sprejetih evropskih certifikacijskih shem za kibernetsko varnost v skladu s členom 75, tudi zaradi njihovega morebitnega pregleda v skladu s členom 76;

(c)spodbujanje uporabe sprejetih shem in vzdrževanje namenskega spletnega mesta, ki zagotavlja informacije ter obvešča o evropskih certifikacijskih shemah za kibernetsko varnost, evropskih certifikatih kibernetske varnosti in izjavah EU o skladnosti v skladu s členom 79;

(d)organiziranje krepitve zmogljivosti v zvezi s postopki certificiranja, dejavnostmi vrednotenja ter medsebojnimi strokovnimi pregledi in ocenjevanji, vključno z zagotavljanjem podpore državam članicam na njihovo zahtevo v skladu s členom 6, točka 12.

2.Agencija ENISA podpira Komisijo pri naslednjih dejavnostih:

(a)upravljanju evropske certifikacijske skupine za kibernetsko varnost a podlagi člena 90;

(b)organizaciji evropske skupščine za certificiranje kibernetske varnosti v skladu s členom 72(1);

(c)dejavnostih v zvezi z mednarodnim priznavanjem evropskih certifikatov kibernetske varnosti v skladu s členom 87;

(d)organizaciji strokovnih pregledov na podlagi člena 89;

(e)pripravi vzorčnih določb, na katere se je treba sklicevati v evropskih certifikacijskih shemah za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih v skladu s členom 81(5).

Člen 18
Standardizacija, tehnične specifikacije in smernice

1.Agencija ENISA pripravi osnutke tehničnih specifikacij in smernic v podporo izvajanju zakonodaje Unije na področju kibernetske varnosti. Pri pripravi teh tehničnih specifikacij upošteva obstoječe evropske in mednarodne standarde ter druge zadevne tehnične specifikacije. Agencija ENISA zagotovi doslednost svojih tehničnih specifikacij in smernic.

2.Agencija ENISA v podporo politikam Unije, povezanih s kibernetsko varnostjo, spremlja dejavnosti razvoja standardizacije na ravni Unije in v skladu s členom 9 na mednarodni ravni ter, kadar je ustrezno, sodeluje pri teh dejavnostih in jih vodi.

3.Agencija ENISA podpira razvoj in ocenjevanje kriptografskih algoritmov. Kadar agencija ENISA kriptografski algoritem oceni pozitivno, v skladu z Uredbo (EU) št. 1025/2012 sodeluje z evropskimi organi za standardizacijo, da bi podprla njegovo standardizacijo.

4.Agencija ENISA Komisiji in, kadar je ustrezno, državam članicam zagotavlja tehnične nasvete o ustreznih standardih ali tehničnih specifikacijah v podporo politikam Unije v zvezi s kibernetsko varnostjo, vključno s harmonizacijsko zakonodajo Unije na tem področju, zlasti Uredbo (EU) 2024/2847, tehničnih področjih za namene člena 25 Direktive (EU) 2022/2555 in evropskih certifikacijskih shemah za kibernetsko varnost na podlagi člena 81(1), točka (d).

5.Agencija ENISA pomaga Komisiji pri ocenjevanju osnutkov harmoniziranih standardov v podporo izvajanju harmonizacijske zakonodaje Unije na področju kibernetske varnosti.

6.Agencija ENISA spodbuja uporabo evropskih in mednarodnih standardov za kibernetsko varnost.

7.Agencija ENISA naloge iz odstavkov 1 do 6 izvaja z ohranjanjem integritete, nepristranskosti in zaupnosti, kar vključuje dokončno ali začasno prekinitev sodelovanja v določenih tehničnih organih, kadar je tako sodelovanje v nasprotju z drugimi nalogami ali cilji.

Oddelek 4
Izvajanje akademije za spretnosti na področju kibernetske varnosti

Člen 19
Evropski okvir za spretnosti na področju kibernetske varnosti

1.Agencija ENISA razvije in javno objavi evropski okvir za spretnosti na področju kibernetske varnosti. Preden ga javno objavi ali posodobi v skladu z odstavkom 4, se posvetuje s Komisijo.

2.Evropski okvir za spretnosti na področju kibernetske varnosti opredeli profile strokovnjakov za kibernetsko varnost ter povezavo med posameznimi nalogami, spretnostmi, znanjem in določenim profilom vloge. Uporaba navedenega okvira je za javne in zasebne subjekte prostovoljna.

3.Agencija ENISA se lahko pri razvoju in uporabi evropskega okvira za spretnosti na področju kibernetske varnosti posvetuje z deležniki.

4.Agencija ENISA oceni, ali je treba evropski okvir za spretnosti na področju kibernetske varnosti redno posodabljati, in ga po potrebi posodablja.

Člen 20
Razvoj, sprejetje in vzdrževanje evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti

1.Agencija ENISA razvija, sprejema in vzdržuje evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti. Uporaba evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti je za nacionalne javne organe in zasebne subjekte prostovoljna, razen če je v nacionalnem pravu določeno drugače.

2.Agencija ENISA se pred uvedbo nove evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti posvetuje s Komisijo. Agencija ENISA tako shemo sprejme šele po pozitivnem mnenju Komisije. Agencija ENISA se lahko pri pripravi evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti posvetuje z zadevnimi deležniki.

3.Evropska shema potrdil o osebnih spretnostih na področju kibernetske varnosti vključuje naslednje:

(a)predmet urejanja in področje uporabe sheme potrdil na podlagi profilov vlog evropskega okvira za spretnosti na področju kibernetske varnosti ali njihovih podsklopov;

(b)zahteve, ki veljajo za posameznike, usposobljene za izvajanje ocenjevanj (v nadaljnjem besedilu: ocenjevalci) v skladu s členom 21, potrebne spretnosti, znanja in izkušnje ter metode usposabljanja;

(c)analizo uvajanja na trgu, specifično za vsako shemo potrdil;

(d)učne izide, metode ocenjevanja in pogoje, ki jih pooblaščeni ponudniki potrdil uporabljajo za ocenjevanje posameznikovega prikaza zahtevanih spretnosti v skladu s členom 21;

(e)eno ali več ravni usposobljenosti, kadar je ustrezno;

(f)pravila v zvezi s hrambo evidenc s strani pooblaščenih ponudnikov potrdil;

(g)vsebino in obliko posameznih evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti ob ustreznem upoštevanju člena 21(5), točka (e);

(h)najdaljši rok veljavnosti evropskega potrdila o osebnih spretnostih na področju kibernetske varnosti, izdanega v okviru sheme potrdil.

4.Evropska shema potrdil o osebnih spretnostih na področju kibernetske varnosti lahko vključuje okvirne stroške evropskega potrdila o osebnih spretnostih na področju kibernetske varnosti.

5.Agencija ENISA pri pripravi evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti tesno sodeluje z državami članicami.

6.Sprememba evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti ne vpliva na pooblastilo na podlagi člena 22(3), točka (a), ki ostane veljavno za obdobje, za katero je izdano.

Člen 21
Pooblaščeni ponudniki potrdil

1.Pooblaščeni ponudniki potrdil ocenijo, ali posamezniki izpolnjujejo zahteve evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti, in kadar so te zahteve izpolnjene, izdajo evropska potrdila o osebnih spretnostih na področju kibernetske varnosti. Ponudniki potrdil imajo lahko več pooblastil, od katerih je vsako izdano za eno evropsko shemo potrdil o osebnih spretnostih na področju kibernetske varnosti.

2.Agencija ENISA ocenjevalcem zagotovi smernice in izvaja obvezno usposabljanje v zvezi z zahtevami in metodami ocenjevanja, vključenimi v evropsko shemo potrdil o osebnih spretnostih na področju kibernetske varnosti iz člena 20(3), točka (b).

3.Subjekti, ki želijo postati pooblaščeni ponudniki potrdil ali obnoviti svoje pooblastilo (v nadaljnjem besedilu: vložniki), vložijo vlogo pri agenciji ENISA. Izpolnjujejo naslednje zahteve:

(a)so pravne osebe;

(b)sposobni so izvajati naloge iz te uredbe v zvezi z evropskimi potrdili o osebnih spretnostih na področju kibernetske varnosti, ne glede na to, ali oceno izvede pooblaščeni ponudnik potrdil sam ali se izvede v njegovem imenu in na njegovo odgovornost;

(c)imajo potrebna sredstva za ustrezno izvajanje tehničnih in upravnih nalog, povezanih z evropsko shemo potrdil o osebnih spretnostih na področju kibernetske varnosti, ter dostop do vse potrebne opreme in prostorov.

Za namene prvega pododstavka, točka (b), se vsako podizvajanje s strani zunanjega oseba ali posvetovanje z zunanjim osebjem ustrezno dokumentira, ne vključuje posrednikov in je predmet pisnega sporazuma, ki med drugim zajema zaupnost in nasprotja interesov.

4.Vložniki ne smejo biti dobavitelji z visokim tveganjem.

5.Pooblaščeni ponudniki potrdil izpolnjujejo naslednje obveznosti:

(a)za izvajanje vsake evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti:

(i)imajo na voljo potrebne ocenjevalce in osebje za pravočasno izvajanje svojih dejavnosti, kot so določene v zadevni shemi;

(ii)zagotovijo, da ocenjevalci spoštujejo poklicno skrivnost, so nepristranski ter opravljajo svoje delo neodvisno in z najvišjo stopnjo poklicne integritete;

(iii)imajo pisne postopke za izvajanje svojih dejavnosti v okviru sheme, za katero so pooblaščeni;

(b)ne ocenjujejo evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti lastnih ocenjevalcev niti jim jih ne izdajajo;

(c)po potrebi z vzpostavitvijo ustreznih zaščitnih ukrepov zagotovijo, da lahko njihovi ocenjevalci svoje delo opravljajo neodvisno, zlasti kadar taki posamezniki pripadajo lastni strukturi ali so zaposleni ali učeči se v taki strukturi;

(d)ne izvajajo nobene dejavnosti, ki bi lahko vplivala na neodvisnost presoje ali integriteto njihovih ocenjevalcev;

(e)zagotovijo, da se elektronska evropska potrdila o osebnih spretnostih na področju kibernetske varnosti na zahtevo posameznika izdajo kot elektronska potrdila o atributih v obliki, ki se lahko shrani v evropskih denarnicah za digitalno identiteto iz Uredbe (EU) št. 910/2014.

6.Pooblaščeni ponudniki potrdil agencijo ENISA nemudoma obvestijo, če katera koli od zahtev iz odstavkov 3 in 4 ali obveznosti iz odstavka 5 ni več izpolnjena ali če se pojavi kakršen koli dvom, da navedene zahteve ali obveznosti niso izpolnjene, tudi v zvezi z neodvisnostjo ocenjevalcev.

7.Pooblaščeni ponudniki potrdil lahko od posameznikov zahtevajo pristojbino za oceno in izdajo evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti, pri čemer upoštevajo okvirne stroške evropskega individualnega potrdila o spretnostih na področju kibernetske varnosti na podlagi člena 20(4) ter to pristojbino objavijo na namenskem spletnem mestu v skladu s členom 23, točka (d).

8.Vložniki in pooblaščeni ponudniki potrdil agenciji ENISA omogočijo ocenjevanje v okviru postopka vložitve vloge ali ohranjanja pooblastila in delijo vse zadevne informacije, da se zagotovi izpolnjevanje ali nadaljnje izpolnjevanje zahtev iz odstavkov 3 in 4 ali obveznosti iz odstavka 5 v skladu s členom 22(2).

Člen 22
Pregled vlog za pridobitev statusa pooblaščenega ponudnika potrdil in ohranjanje pooblastil

1.Vložniki agenciji ENISA plačajo pristojbino za preučitev njihove vloge. Pooblaščeni ponudniki potrdil agenciji ENISA plačajo pristojbino za ohranjanje njihovega pooblastila.

2.Agencija ENISA oceni, ali vložniki in pooblaščeni ponudniki potrdil izpolnjujejo ali še naprej izpolnjujejo zahteve iz člena 21(3) in (4) ter obveznosti iz člena 21(5).

3.Agencija ENISA lahko po preučitvi vloge glede na zahteve iz člena 21(3) in (4) izda eno od naslednjih odločitev:

(a)vložniku podeli ali obnovi status pooblaščenega ponudnika potrdil;

(b)zavrne vlogo za pridobitev ali obnovo statusa pooblaščenega ponudnika potrdil;

(c)zaključi obravnavo vloge zaradi neukrepanja vložnika po zahtevi agencije ENISA po dodatnih informacijah.

Agencija ENISA lahko take odločitve spremeni, začasno prekliče ali razveljavi na podlagi svoje ocene v skladu s členom 22(2) ali v primeru iz člena 21(6).

4.Agencija ENISA izda odločitev iz odstavka 3 v treh mesecih od datuma predložitve vloge v skladu s členom 21(3). Kadar agencija ENISA od vložnika zahteva dodatne informacije, izda odločitev iz odstavka 3 v enem mesecu po prejemu dodatnih informacij.

5.Odločitev iz odstavka 3, točka (a), velja največ tri leta, v njej pa je navedena pristojbina, povezana z letnim ohranjanjem pooblastila.

6.Agencija ENISA zagotovi, da so njene dejavnosti v zvezi z razvojem in sprejetjem evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti iz člena 20 strogo ločene in se izvajajo neodvisno od dejavnosti pregledovanja vlog in ocenjevanja iz odstavkov 2 in 3 tega člena.

Člen 23
Obveščanje javnosti

Agencija ENISA vzdržuje in redno posodablja namensko spletno mesto z javnimi informacijami o:

(a)evropskem okviru za spretnosti na področju kibernetske varnosti, vključno z okvirom in njegovo časovnico za posodobitev;

(b)evropskih shemah potrdil o osebnih spretnostih na področju kibernetske varnosti, njihovem napredku in časovnici njihovega razvoja;

(c)pristojbinah, povezanih z vsako evropsko shemo potrdil o osebnih spretnostih na področju kibernetske varnosti, sprejeto v skladu s členom 47 te uredbe;

(d)okvirnih stroških evropskega potrdila o osebnih spretnostih na področju kibernetske varnosti v skladu s členom 20(4);

(e)seznamu pooblaščenih ponudnikov potrdil.

Poglavje III
Organizacija agencije ENISA

Člen 24
Upravna in vodstvena struktura agencije ENISA

Upravno in vodstveno strukturo agencije ENISA sestavljajo:

(a)upravni odbor, ki izvaja funkcije iz člena 28;

(b)izvršni odbor, ki izvaja funkcije iz člena 30;

(c)izvršni direktor, ki izvaja odgovornosti iz člena 32;

(d)namestnik izvršnega direktorja, ki izvaja odgovornosti iz člena 34;

(e)svetovalna skupina agencije ENISA;

(f)odbor za pritožbe, ki izvaja funkcije iz členov 39 do 42.

Oddelek 1
Upravni odbor

Člen 25
Sestava upravnega odbora

1.Upravni odbor sestavljajo po en član, ki ga imenuje vsaka država članica, ter dva člana, ki ju imenuje Komisija. Vsi člani imajo glasovalno pravico.

2.Vsak član upravnega odbora ima namestnika. Namestniki zastopajo člane v primeru odsotnosti.

3.Vsaka država članica za člana upravnega odbora imenuje vodjo pristojnega nacionalnega organa, imenovanega v skladu s členom 8(1) Direktive (EU) 2022/2555. Kadar to ni izvedljivo, države članice za člana upravnega odbora imenujejo visokega predstavnika pristojnega nacionalnega organa, imenovanega v skladu s členom 8(1) Direktive (EU) 2022/2555.

4.Člani, ki jih imenuje Komisija, in namestniki upravnega odbora so imenovani ob upoštevanju njihovega znanja na področju kibernetske varnosti ter ob upoštevanju zadevnih vodstvenih, upravnih in proračunskih spretnosti. Komisija in države članice si v zvezi z namestniki prizadevajo doseči uravnoteženo zastopanost moških in žensk v upravnem odboru ter omejiti njihovo fluktuacijo, da bi zagotovile kontinuiteto dela upravnega odbora.

5.Mandat članov, ki jih imenujejo države članice, je enak mandatu njihovega položaja iz odstavka 3.

6.Mandat namestnikov in članov, ki jih imenuje Komisija, traja štiri leta. Ta mandat se lahko podaljša.

Člen 26
Predsednik upravnega odbora

1.Upravni odbor izmed svojih članov z glasovalno pravico izvoli predsednika in njegovega namestnika. Predsednika in njegovega namestnika z dvotretjinsko večino izvolijo člani upravnega odbora z glasovalno pravico.

2.Namestnik predsednika po uradni dolžnosti nadomešča predsednika, če predsednik ne more opravljati svojih dolžnosti.

3.Mandat predsednika in namestnika predsednika traja štiri leta in se lahko enkrat podaljša. Če njuno članstvo v upravnem odboru preneha kadar koli med njunim mandatom, na isti datum samodejno preneha tudi njun mandat.

Člen 27
Seje upravnega odbora

1.Seje upravnega odbora sklicuje predsednik.

2.Izvršni direktor se udeležuje sej upravnega odbora, vendar nima glasovalne pravice.

3.Upravni odbor ima vsaj dve redni seji na leto. Sestane se na pobudo svojega predsednika, na zahtevo Komisije ali na zahtevo vsaj tretjine svojih članov.

4.Predstavnik Evropskega industrijskega, tehnološkega in raziskovalnega kompetenčnega centra za kibernetsko varnost, ustanovljenega z Uredbo (EU) 2021/887, je stalni opazovalec brez glasovalne pravice na sejah upravnega odbora.

5.Upravni odbor lahko na sejo ali del seje kot ad hoc opazovalca povabi kogar koli, čigar mnenje bi lahko bilo koristno, vendar brez glasovalne pravice in v skladu s poslovnikom upravnega odbora.

6.Članom upravnega odbora in njihovim namestnikom lahko na sejah upravnega odbora pomagajo svetovalci ali strokovnjaki, če to omogoča poslovnik upravnega odbora.

Člen 28
Funkcije upravnega odbora

1.Upravni odbor:

(a)določa splošno usmeritev delovanja agencije ENISA in zagotavlja, da agencija deluje v skladu s pravili in načeli iz te uredbe; prav tako zagotavlja, da je delo agencije v skladu z dejavnostmi držav članic in dejavnostmi na ravni Unije;

(b)sprejme osnutek enotnega programskega dokumenta agencije ENISA iz člena 44, preden ga predloži Komisiji, ki o njem poda mnenje;

(c)ob upoštevanju mnenja Komisije sprejme enotni programski dokument agencije ENISA v skladu s členom 29(2), točka (a);

(d)nadzira izvajanje večletnega in letnega programa, vključenega v enotni programski dokument;

(e)sprejme letni proračun agencije ENISA v skladu s členom 29(2), točka (b), in izvaja druge funkcije, povezane s proračunom agencije, v skladu s poglavjem IV;

(f)oceni in sprejme konsolidirano letno poročilo o dejavnostih agencije ENISA, vključno z zaključnim računom in opisom, kako je agencija ENISA dosegla svoje kazalnike uspešnosti; letno poročilo in njegovo oceno do 1. julija naslednjega leta predloži Evropskemu parlamentu, Svetu, Komisiji in Evropskemu računskemu sodišču ter objavi letno poročilo;

(g)sprejme finančna pravila, ki se uporabljajo za agencijo ENISA v skladu s členom 50;

(h)sprejme strategijo za boj proti goljufijam, ki je sorazmerna s tveganji goljufije, ob upoštevanju analize stroškov in koristi ukrepov, ki jih je treba izvesti;

(i)zagotovi ustrezno nadaljnje ukrepanje na podlagi ugotovitev in priporočil, ki izhajajo iz notranjih ali zunanjih revizijskih poročil in ocen ter preiskav Evropskega urada za boj proti goljufijam (OLAF) in Evropskega javnega tožilstva (EJT);

(j)sprejme svoj poslovnik, vključno s pravili za začasne odločitve o prenosu posameznih nalog v skladu s členom 30(7);

(k)v skladu z odstavkom 2 tega člena v zvezi z osebjem agencije ENISA izvršuje pooblastila, podeljena s Kadrovskimi predpisi za uradnike Evropske unije (v nadaljnjem besedilu: Kadrovski predpisi) in Pogoji za zaposlitev drugih uslužbencev Evropske unije (v nadaljnjem besedilu: Pogoji za zaposlitev) iz Uredbe Sveta (EGS, Euratom, ESPJ) št. 259/68 73 organu za imenovanja oziroma organu, pristojnemu za sklepanje pogodb o zaposlitvi (v nadaljnjem besedilu: pooblastila organa za imenovanja);

(l)v skladu s členom 110(2) Kadrovskih predpisov sprejme izvedbena pravila za izvajanje Kadrovskih predpisov in Pogojev za zaposlitev;

(m)imenuje izvršnega direktorja in, če se odloči ustvariti funkcijo namestnika izvršnega direktorja, namestnika izvršnega direktorja ter po potrebi podaljša njun mandat ali ju razreši s položaja v skladu s členom 31;

(n)v skladu s Kadrovskimi predpisi in Pogoji za zaposlitev imenuje računovodjo, ki je pri opravljanju svojih dolžnosti neodvisen;

(o)sprejme vse odločitve glede vzpostavitve notranjih struktur agencije ENISA in po potrebi sprememb teh notranjih struktur, pri čemer upošteva potrebe pri dejavnostih agencije ENISA in dobro proračunsko upravljanje;

(p)odobri sklenitev delovnih dogovorov v zvezi s členom 68;

(q)odobri sklenitev delovnih dogovorov v skladu s členom 70;

(r)imenuje in razrešuje člane odbora za pritožbe v skladu s členom 29(2), točka (d);

(s)sprejme pravila za preprečevanje in upravljanje nasprotij interesov, ki se uporabljajo za člane odbora za pritožbe.

2.Upravni odbor v skladu s členom 110(2) Kadrovskih predpisov ter na podlagi člena 2(1) Kadrovskih predpisov in člena 6 Pogojev za zaposlitev sprejme odločitev o prenosu ustreznih pooblastil organa za imenovanja na izvršnega direktorja in določitvi pogojev, pod katerimi se lahko ta prenos pooblastil začasno prekliče. Izvršni direktor lahko nadalje prenese ta pooblastila.

3.Zaradi izjemnih okoliščin lahko upravni odbor sprejme odločitev o začasnem preklicu prenosa pooblastil organa za imenovanja na izvršnega direktorja in njegovega morebitnega nadaljnjega prenosa pooblastil organa za imenovanja ter jih namesto tega izvaja sam ali jih prenese na enega od svojih članov ali uslužbenca, ki ni izvršni direktor.

Člen 29
Pravila glasovanja v upravnem odboru

1.Upravni odbor sprejema odločitve z absolutno večino svojih članov, ki imajo glasovalno pravico, razen če je v tej uredbi določeno drugače.

2.Dvotretjinska večina članov upravnega odbora z glasovalno pravico je potrebna za:

(a)sprejetje enotnega programskega dokumenta iz člena 28(1), točka (c);

(b) sprejetje letnega proračuna iz člena 28(1), točka (e);

(c) imenovanje, podaljšanje mandata ali razrešitev izvršnega direktorja in namestnika izvršnega direktorja, kot je navedeno v členih 31 in 33;

(d)imenovanje in razrešitev članov odbora za pritožbe, kot je navedeno v členu 36.

3.Odločitve o zadevah v zvezi s proračunom ali človeškimi viri, zlasti o zadevah iz člena 28(1), točke (c), (e), (f), (g), (h), (i), (k), (l), (m) in (n), se sprejmejo le, če predstavniki Komisije glasujejo pozitivno. Za namene sprejetja odločitev iz člena 28(1), točka (c), v zvezi z enotnim programskim dokumentom agencije ENISA se pozitivno glasovanje predstavnika Komisije zahteva le za elemente odločitve, ki niso povezani z letnim in večletnim delovnim programom agencije ENISA.

4.Vsak član z glasovalno pravico ima en glas. V primeru odsotnosti člana z glasovalno pravico ima pravico do glasovanja v imenu člana njegov namestnik.

5.Predsednik upravnega odbora se udeleži glasovanja.

6.Izvršni direktor pri glasovanju ne sodeluje.

7.V poslovniku upravnega odbora se natančneje določijo pravila glasovanja, zlasti pogoji, pod katerimi lahko član deluje v imenu drugega člana.

Oddelek 2
Izvršni odbor

Člen 30
Izvršni odbor

1.Upravnemu odboru pomaga izvršni odbor.

2.Izvršni odbor:

(a)pripravlja odločitve, ki jih sprejme upravni odbor;

(b)skupaj z upravnim odborom zagotovi ustrezno nadaljnje ukrepanje na podlagi ugotovitev in priporočil, ki izhajajo iz notranjih ali zunanjih revizijskih poročil in ocen ter preiskav OLAF in EJT;

(c)izvršnemu direktorju, brez poseganja v njegove pristojnosti iz člena 32, pomaga in svetuje pri izvajanju odločitev upravnega odbora s ciljem okrepitve nadzora nad upravnim poslovodenjem in upravljanjem proračuna.

3.Izvršni odbor sestavljajo predsednik upravnega odbora, en predstavnik Komisije v upravnem odboru in trije drugi člani, ki jih upravni odbor imenuje izmed svojih članov z glasovalno pravico. Predsednik upravnega odbora je tudi predsednik izvršnega odbora. Pri imenovanju članov izvršnega odbora se prizadeva zagotoviti uravnoteženo zastopanost spolov v izvršnem odboru. Izvršni direktor sodeluje na sejah izvršnega odbora, nima pa glasovalne pravice.

4.Mandat članov izvršnega odbora traja štiri leta. Ta mandat se lahko podaljša. Mandat članov izvršnega odbora se konča s prenehanjem njihovega članstva v upravnem odboru.

5.Izvršni odbor ima redno sejo vsaj vsake tri mesece. Poleg tega se sestane na pobudo predsednika ali na zahtevo svojih članov.

6.Upravni odbor določi poslovnik izvršnega odbora.

7.Izvršni odbor lahko po potrebi v nujnih primerih sprejme določene začasne odločitve v imenu upravnega odbora, zlasti o zadevah v zvezi z upravnim poslovodenjem, vključno z začasnim preklicem prenosa pooblastil organa za imenovanja in proračunskimi zadevami. Vse takšne začasne odločitve se brez nepotrebnega odlašanja sporočijo upravnemu odboru. Upravni odbor se potem odloči, ali odobri oziroma zavrne začasno odločitev, najpozneje tri mesece po sprejetju odločitve. Izvršni odbor v imenu upravnega odbora ne sprejema odločitev, za sprejetje katerih je potrebna dvotretjinska večina članov upravnega odbora z glasovalnimi pravicami.

Oddelek 3
Izvršni direktor

Člen 31
Imenovanje, razrešitev in podaljšanje mandata

1.Izvršnega direktorja po odprtem in preglednem izbirnem postopku ter na podlagi dosežkov in spretnosti imenuje upravni odbor s seznama kandidatov, ki ga predlaga Komisija.

2.Kandidat, ki ga izbere upravni odbor, je pred imenovanjem pozvan, da pred zadevnim odborom Evropskega parlamenta poda izjavo in odgovarja na vprašanja poslancev.

3.Izvršni direktor se zaposli kot začasni uslužbenec agencije ENISA v skladu s členom 2(a) Pogojev za zaposlitev.

4.Predsednik upravnega odbora zastopa agencijo ENISA za sklenitev pogodbe z izvršnim direktorjem.

5.Mandat izvršnega direktorja traja pet let. Komisija pravočasno pred koncem tega obdobja opravi oceno, pri kateri upošteva oceno uspešnosti dela izvršnega direktorja ter prihodnje naloge in izzive agencije ENISA.

6.Upravni odbor lahko na predlog Komisije, ki upošteva oceno iz odstavka 5, izvršnemu direktorju enkrat podaljša mandat, in sicer za največ pet let.

7.Izvršni direktor s podaljšanim mandatom ob koncu skupnega obdobja zaposlitve ne sme sodelovati v drugem izbirnem postopku za isto delovno mesto.

8.Upravni odbor obvesti Evropski parlament, da namerava podaljšati mandat izvršnega direktorja v skladu z odstavkom 6. Izvršni direktor v treh mesecih pred vsakim takim podaljšanjem mandata na poziv poda izjavo pred zadevnim odborom Evropskega parlamenta in odgovarja na vprašanja poslancev.

9.Izvršni direktor je lahko odstavljen samo na podlagi odločitve, ki ga upravni odbor sprejme na predlog Komisije.

Člen 32
Naloge in odgovornosti izvršnega direktorja

1.Izvršni direktor vodi agencijo ENISA in odgovarja upravnemu odboru.

2.Izvršni direktor je pri opravljanju svojih nalog neodvisen in ne sme zahtevati ali sprejemati nikakršnih navodil od vlad ali drugih organov.

3.Izvršni direktor na poziv poroča Evropskemu parlamentu o opravljanju svojih nalog. Svet lahko izvršnega direktorja pozove, naj poroča o opravljanju svojih nalog.

4.Izvršni direktor je zakoniti zastopnik agencije ENISA.

5.Izvršni direktor je pristojen za izvajanje nalog, ki so agenciji ENISA podeljene s to uredbo. Izvršni direktor zlasti:

(a)zagotavlja vsakodnevno upravljanje agencije ENISA;

(b)izvaja odločitve upravnega odbora;

(c)zagotavlja skladnost s finančnimi pravili agencije ENISA;

(d)pripravi osnutek enotnega programskega dokumenta in ga predloži v odobritev upravnemu odboru, preden se predloži Komisiji, da o njem poda mnenje;

(e)izvaja enotni programski dokument in o tem poroča upravnemu odboru;

(f)pripravi konsolidirano letno poročilo o dejavnostih agencije ENISA, vključno z izvajanjem letnega delovnega programa agencije, ter ga predložiti v oceno in sprejetje upravnemu odboru;

(g)pripravi akcijski načrt ob upoštevanju zaključkov naknadnih ocen agencije ENISA iz člena 121 in poroča Komisiji o napredku vsaki dve leti;

(h)pripravi akcijski načrt ob upoštevanju ugotovitev notranjih ali zunanjih revizijskih poročil in ocen ter preiskav OLAF in EJT ter poroča Komisiji o napredku dvakrat letno, upravnemu odboru pa redno;

(i)pripravi osnutek finančnih pravil, ki se uporabljajo za agencijo ENISA, iz člena 50;

(j)pripravi osnutek poročila o oceni prihodkov in odhodkov agencije ENISA ter izvršuje njen proračun;

(k)ščiti finančne interese Unije z uporabo preventivnih ukrepov proti goljufijam, korupciji in drugim nezakonitim dejanjem, brez poseganja v preiskovalne pristojnosti OLAF in EJT, z učinkovitimi pregledi in, če se odkrijejo nepravilnosti, z izterjavo neupravičeno izplačanih zneskov ter po potrebi z naložitvijo učinkovitih, sorazmernih in odvračilnih upravnih in denarnih kazni;

(l)za agencijo ENISA pripravi strategijo za boj proti goljufijam, strategijo za povečanje učinkovitosti in sinergij, strategijo za sodelovanje s tretjimi državami ali mednarodnimi organizacijami ter strategijo za sisteme organizacijskega upravljanja in notranje kontrole ter jih predloži v odobritev upravnemu odboru;

(m)vzpostavlja in ohranja stik s poslovno skupnostjo in potrošniškimi organizacijami za zagotavljanje rednega dialoga z zadevnimi deležniki;

(n)redno izmenjuje mnenja in informacije z zadevnimi subjekti Unije v zvezi z njihovimi dejavnostmi, povezanimi s kibernetsko varnostjo, da se zagotovi skladnost pri izvajanju politike Unije na tem področju;

(o)spodbuja raznolikost in uravnoteženo zastopanost spolov pri zaposlovanju osebja agencije ENISA;

(p)sprejema evropske sheme potrdil o osebnih spretnostih na področju kibernetske varnosti iz člena 20(1);

(q)sprejema odločitve v zvezi z vložniki vlog za pridobitev statusa pooblaščenega ponudnika potrdil ali obnovo pooblastila, kot je navedeno v členu 22(3);

(r)izvaja druge naloge, ki so izvršnemu direktorju dodeljene s to uredbo.

6.Izvršni direktor lahko po potrebi ter v okviru s cilji in nalogami agencije ENISA ustanovi ad hoc delovne skupine, ki jih sestavljajo strokovnjaki, vključno s strokovnjaki iz pristojnih organov držav članic. Izvršni direktor o tem vnaprej obvesti upravni odbor. Postopki, ki se nanašajo zlasti na sestavo delovnih skupin, imenovanje strokovnjakov delovnih skupin s strani izvršnega direktorja in delovanje delovnih skupin, se določijo v statutu agencije ENISA.

7.Izvršni direktor lahko za učinkovito in uspešno izvajanje nalog agencije ENISA ter na podlagi ustrezne analize stroškov in koristi po potrebi odloči, da se ustanovi en ali več lokalnih uradov v eni ali več državah članicah. Izvršni direktor pred odločitvijo o ustanovitvi lokalnega urada zaprosi za mnenje zadevne države članice, vključno z državo članico, v kateri je sedež agencije ENISA, ter pridobi predhodno soglasje Komisije in upravnega odbora. V primeru nesoglasja v posvetovalnem postopku med izvršnim direktorjem in zadevnimi državami članicami o zadevi razpravlja Svet. Skupno število zaposlenih v vseh lokalnih uradih mora biti čim manjše in ne sme presegati 40 % skupnega števila osebja agencije ENISA v državi članici, v kateri je sedež agencije ENISA. Število zaposlenih v posameznem lokalnem uradu ne sme presegati 10 % skupnega števila osebja agencije ENISA v državi članici, v kateri je sedež agencije ENISA.

8.Z odločitvijo o ustanovitvi lokalnega urada se določi obseg dejavnosti, ki naj bi se izvajale v zadevnem lokalnem uradu, in sicer tako, da se preprečijo nepotrebni stroški in podvajanje upravnih funkcij agencije ENISA.

Oddelek 4
Namestnik izvršnega direktorja

Člen 33
Namestnik izvršnega direktorja

1.Upravni odbor se lahko odloči, da vzpostavi funkcijo namestnika izvršnega direktorja, ki pomaga izvršnemu direktorju.

2.Če se upravni odbor odloči vzpostaviti funkcijo namestnika izvršnega direktorja, se zanj ustrezno uporabljajo določbe člena 31.

Člen 34
Naloge in odgovornosti namestnika izvršnega direktorja

Namestnik izvršnega direktorja pomaga izvršnemu direktorju pri upravljanju agencije ENISA in izvajanju nalog iz člena 32. Če je izvršni direktor odsoten ali zadržan ali delovno mesto ni zasedeno, ga v času odsotnosti ali do zapolnitve delovnega mesta nadomešča namestnik izvršnega direktorja.

Oddelek 5
Svetovalna skupina agencije ENISA

Člen 35
Svetovalna skupina agencije ENISA

1.Upravni odbor na predlog izvršnega direktorja na pregleden način ustanovi svetovalno skupino agencije ENISA. Svetovalno skupino agencije ENISA sestavljajo priznani strokovnjaki, ki zastopajo zadevne deležnike, kot so industrija kibernetske varnosti, industrija IKT, MSP, subjekti, ki delujejo v sektorjih iz prilog I in II k Direktivi (EU) 2022/2555, proizvajalci izdelkov z digitalnimi elementi in upravljavci odprtokodne programske opreme v smislu Uredbe (EU) 2024/2847, organi za ugotavljanje skladnosti, priglašeni v okviru evropskega certifikacijskega okvira za kibernetsko varnost iz člena 93 in Uredbe (EU) 2024/2847, subjekti, ki delujejo na področju sredstev elektronske identifikacije, skupine potrošnikov, akademski strokovnjaki na področju kibernetske varnosti, evropske organizacije za standardizacijo, organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj ter nadzorni organi za varstvo podatkov. Navedeni priznani strokovnjaki so državljani držav članic. Upravni odbor si prizadeva zagotoviti uravnoteženo zastopanost spolov in geografskih območij, pa tudi ravnovesje med različnimi skupinami deležnikov.

2.Postopki svetovalne skupine agencije ENISA, ki se nanašajo zlasti na njeno sestavo, predlog s strani izvršnega direktorja iz odstavka 1, število in imenovanje njenih članov ter delovanje svetovalne skupine ENISA, se določijo v statutu agencije ENISA in objavijo.

3.Svetovalni skupini agencije ENISA predseduje izvršni direktor ali katera koli oseba, ki jo izvršni direktor imenuje za vsak primer posebej.

4.Mandat članov svetovalne skupine agencije ENISA traja dve leti in pol ter se lahko enkrat podaljša. Člani upravnega odbora ne smejo biti člani svetovalne skupine agencije ENISA. Strokovnjaki iz Komisije in držav članic imajo pravico biti prisotni na sejah svetovalne skupine agencije ENISA in sodelovati pri njenem delu. Izvršni direktor lahko na seje svetovalne skupine agencije ENISA in k sodelovanju pri njenem delu povabi predstavnike drugih organov, ki niso člani svetovalne skupine.

5.Svetovalna skupina agencije ENISA svetuje agenciji ENISA v zvezi z opravljanjem njenih nalog, razen glede uporabe določb naslovov III, IV in V te uredbe. Zlasti svetuje izvršnemu direktorju pri pripravi predloga letnega delovnega programa agencije ENISA in pri komuniciranju z zadevnimi deležniki o zadevah, ki se nanašajo na letni delovni program.

6.Svetovalna skupina agencije ENISA o svojih dejavnostih redno obvešča upravni odbor.

7.Agencija ENISA zagotavlja logistično podporo, potrebno za svetovalno skupino agencije ENISA, in zagotavlja sekretariat za seje skupine.

Oddelek 6
Odbor za pritožbe

Člen 36
Vzpostavitev in sestava odbora za pritožbe

1.Agencija ENISA ustanovi odbor za pritožbe z odločitvijo upravnega odbora.

2.Odbor za pritožbe sestavljajo predsednik in trije drugi člani. Vsak član odbora za pritožbe ima namestnika. Namestnik zastopa člana v primeru odsotnosti.

3.Upravni odbor s seznama usposobljenih kandidatov, ki ga pripravi Komisija, imenuje predsednika, druge člana ter njihove namestnike. Seznam usposobljenih kandidatov velja štiri leta. Upravni odbor lahko na predlog Komisije podaljša veljavnost navedenega seznama za dodatna štiriletna obdobja.

4.Če odbor za pritožbe meni, da narava pritožbe tako zahteva, lahko upravni odbor pozove k imenovanju dveh dodatnih članov in njunih namestnikov s seznama iz odstavka 3.

5.Odbor za pritožbe sprejme in objavi svoj poslovnik.

Člen 37
Člani odbora za pritožbe

1.Mandat članov odbora za pritožbe in njihovih namestnikov traja štiri leta. Upravni odbor lahko na predlog Komisije njihov mandat podaljša za dodatna štiriletna obdobja.

2.Člani odbora za pritožbe so neodvisni in ne smejo opravljati nobenih drugih dolžnosti znotraj ENISA. Pri sprejemanju odločitev ne zahtevajo ali sprejemajo navodil od vlad, drugih organov ali zasebnih subjektov.

3.Člani odbora za pritožbe se med mandatom ne odstavijo ali umaknejo s seznama usposobljenih kandidatov, razen če za takšno odstavitev ali umaknitev obstajajo utemeljeni razlogi in takšno odločitev na predlog Komisije sprejme upravni odbor.

Člen 38
Izločitev in ugovor

1.Člani odbora za pritožbe ne sodelujejo v nobenem pritožbenem postopku, če imajo v postopku kakršen koli osebni interes ali če so bili predhodno vpleteni v postopek kot zastopniki ene od strank ali če so sodelovali pri odločitvi, zoper katero je bila vložena pritožba.

2.Če član odbora za pritožbe zaradi enega od razlogov iz odstavka 1 ali zaradi kakršnih koli drugih razlogov meni, da ne bi smel sodelovati v pritožbenem postopku, mora o tem obvestiti odbor za pritožbe.

3.Stranka v pritožbenem postopku lahko ugovarja kateremu koli članu odbora za pritožbe zaradi katerega koli razloga iz odstavka 1 ali če obstaja sum, da član deluje pristransko. Tak ugovor ni dopusten, če je stranka v pritožbenem postopku kljub poznavanju razloga za ugovor naredila postopkovni korak. Noben ugovor ne sme temeljiti na državljanstvu članov odbora za pritožbe.

4.Odbor za pritožbe odloča o ukrepih, ki jih je treba sprejeti v primerih iz odstavkov 2 in 3, brez sodelovanja zadevnega člana. Pri takem odločanju zadevnega člana v odboru za pritožbe zamenja njegov namestnik.

Člen 39
Pritožbe zoper odločitve in neukrepanje

1.Pritožba se lahko vloži pri odboru za pritožbe zoper:

(a)odločitve, ki jih sprejme agencija ENISA na podlagi člena 22(3);

(b)neukrepanje agencije ENISA v veljavnih rokih iz člena 22(4).

2.Pritožba, vložena v skladu z odstavkom 1, je predmet vmesne revizije v skladu s členom 41, preden se predloži v preučitev odboru za pritožbe.

3.Pritožba, vložena v skladu z odstavkom 1, nima odložilnega učinka.

Člen 40
Osebe, ki imajo pravico do pritožbe, roki in oblika

1.Vložniki v smislu člena 21(3) se lahko pritožijo zoper:

(a)nanje naslovljeno odločitev agencije ENISA v skladu s členom 22(3);

(b)neukrepanje agencije ENISA v veljavnih rokih iz člena 22(4) v zvezi z vlogo, ki so jo vložili pri agenciji.

2.V primeru iz odstavka 1, točka (a), se pritožba skupaj z izjavo o razlogih zanjo vloži v pisni obliki v skladu s poslovnikom iz člena 36(5) v dveh mesecih po tem, ko je bil zadevni vložnik uradno obveščen o odločitvi, ali v primeru neobstoja takega uradnega obvestila v dveh mesecih po dnevu, ko je bil vložnik seznanjen z odločitvijo.

3.V primeru iz odstavka 1, točka (b), se pritožba vloži pri agenciji ENISA v pisni obliki v skladu s poslovnikom iz člena 36(5) v dveh mesecih po izteku roka iz člena 22(4).

Člen 41
Vmesna revizija

1.Če agencija ENISA meni, da je pritožba dopustna in utemeljena, temu ustrezno popravi odločitev ali neukrepanje iz člena 40(1).

2.Če agencija ENISA ne popravi odločitve v mesecu dni po prejemu pritožbe, nemudoma odloči o odložitvi izvajanja odločitve in predloži pritožbo odboru za pritožbe.

Člen 42
Preučitev odločitev o pritožbah

1.Odbor za pritožbe v treh mesecih od vložitve pritožbe odloči, ali bo pritožbi ugodil ali jo zavrnil. Pri preučevanju pritožbe odboru za pritožbe ukrepa v rokih, določenih v njegovem poslovniku. Kadar je potrebno, povabi stranke v pritožbenem postopku, da v določenih rokih predložijo pripombe na uradna obvestila odbora za pritožbe ali na sporočila drugih strank v pritožbenem postopku. Stranke v pritožbenih postopkih imajo pravico do ustnih izjav.

2.Kadar odbor za pritožbe ugotovi, da so razlogi za pritožbo utemeljeni, zadevo preda agenciji ENISA. Agencija ENISA končno odločitev sprejme v skladu z ugotovitvami odbora za pritožbe in jo obrazloži. Agencija ENISA o tem obvesti stranke v pritožbenem postopku.

Člen 43
Tožbe pred Sodiščem Evropske unije

1.Tožbe za razveljavitev odločitev agencije ENISA, sprejetih na podlagi člena 22(3), ali tožbe zaradi neukrepanja v veljavnih rokih na podlagi člena 22(4) se lahko vložijo pri Sodišču Evropske unije, potem ko je bil izčrpan pritožbeni postopek znotraj agencije ENISA iz členov 39 do 42 ali v primeru neukrepanja v veljavnem roku na podlagi člena 41(2).

2.Agencija ENISA sprejme vse potrebne ukrepe za izvršitev sodbe Sodišča Evropske unije.

Oddelek 7
Delovanje

Člen 44
Enotni programski dokument

1.Agencija ENISA deluje v skladu z enotnim programskim dokumentom, ki zajema letni in večletni delovni program ter vsebuje vse načrtovane dejavnosti.

2.Izvršni direktor vsako leto pripravi osnutek enotnega programskega dokumenta iz odstavka 1, ki zajema ustrezno načrtovanje finančnih in človeških virov v skladu s členom 32 Delegirane uredbe Komisije (EU) št. 2019/715 74 , pri čemer upošteva smernice Komisije.

3.Upravni odbor vsako leto do 30. novembra sprejme enotni programski dokument iz odstavka 1, pri čemer upošteva mnenje Komisije iz člena 32(7) Delegirane uredbe (EU) 2019/715. Če se upravni odbor odloči, da katerega koli od elementov iz mnenja Komisije ne bo upošteval, to izčrpno utemelji. Upravni odbor enotni programski dokument posreduje Evropskemu parlamentu, Svetu in Komisiji do 31. januarja naslednje leto, posreduje pa tudi morebitne pozneje posodobljene različice navedenega dokumenta.

4.Enotni programski dokument postane dokončen po dokončnem sprejetju splošnega proračuna Unije in se po potrebi prilagodi.

5.Letni delovni program vsebuje podrobne cilje in pričakovane rezultate, vključno s kazalniki uspešnosti. Vsebuje tudi opis ukrepov, ki se bodo financirali, ter navedbo finančnih in človeških virov, dodeljenih vsakemu ukrepu, v skladu z načeli oblikovanja in upravljanja proračuna po dejavnostih. Letni delovni program je skladen z večletnim delovnim programom iz odstavka 7. V njem so jasno navedene naloge, ki so bile v primerjavi s predhodnim proračunskim letom dodane, spremenjene ali črtane.

6.Upravni odbor spremeni sprejeti letni delovni program, kadar se agenciji ENISA dodeli nova naloga. Vse bistvene spremembe letnega delovnega programa se sprejmejo po enakem postopku kot prvotni letni delovni program. Upravni odbor lahko na izvršnega direktorja prenese pooblastilo, da v letni delovni program vnese nebistvene spremembe.

7.Večletni delovni program določa splošno strateško načrtovanje, vključno s cilji, pričakovanimi rezultati in kazalniki uspešnosti. Določa tudi načrtovanje virov, vključno z večletnim proračunom in osebjem.

8.Načrtovanje virov se letno posodablja. Strateško načrtovanje dejavnosti se posodablja po potrebi, zlasti zaradi upoštevanja rezultatov ocene iz člena 120.

POGLAVJE IV
Določitev in sestava proračuna agencije ENISA

Člen 45
Določitev proračuna agencije ENISA

1.Izvršni direktor vsako leto pripravi predhodni osnutek načrta proračunskih prihodkov in odhodkov agencije ENISA za naslednje proračunsko leto, vključno s kadrovskim načrtom, ter ga pošlje upravnemu odboru.

2.Predhodni osnutek načrta temelji na ciljih in pričakovanih rezultatih letnega delovnega programa ter v skladu z načelom dobrega finančnega poslovodenja in uspešnosti upošteva finančne vire, ki so potrebni za dosego teh ciljev in pričakovanih rezultatov.

3.Upravni odbor na podlagi začasnega osnutka načrta sprejme osnutek načrta prihodkov in odhodkov agencije ENISA za naslednje proračunsko leto ter ga vsako leto do 31. januarja pošlje Komisiji.

4.Komisija osnutek načrta skupaj s predlogom splošnega proračuna Unije pošlje proračunskemu organu. Osnutek načrta se da na voljo tudi agenciji ENISA.

5.Komisija na podlagi osnutka načrta v predlog splošnega proračuna Unije vključi načrte, ki se ji zdijo potrebni za kadrovski načrt, in znesek prispevka v breme splošnega proračuna, ter ga predloži proračunskemu organu v skladu s členoma 313 in 314 PDEU.

6.Proračunski organ odobri proračunska sredstva za prispevek za agencijo ENISA iz splošnega proračuna Unije.

7.Proračunski organ sprejme kadrovski načrt agencije ENISA.

8.Upravni odbor sprejme proračun agencije ENISA. Ta postane dokončen, ko je dokončno sprejet splošni proračun Unije, če je potrebno, pa se ustrezno prilagodi.

9.Za vsak gradbeni projekt, ki bi lahko imel znatne posledice za proračun agencije ENISA, se uporablja Delegirana uredba (EU) 2019/715.

Člen 46
Sestava proračuna agencije ENISA

1.Vsako proračunsko leto se ocenijo vsi prihodki in odhodki agencije ENISA ter se prikažejo v njenem proračunu. Poslovno leto je enako koledarskemu letu.

2.Proračun agencije ENISA je uravnotežen v smislu prihodkov in odhodkov.

3.Prihodki agencije ENISA brez poseganja v druge vire zajemajo:

(a)prispevek Unije iz splošnega proračuna Unije;

(b)prihodke, dodeljene za posebne odhodkovne postavke v skladu z njenimi finančnimi pravili iz člena 50;

(c)sredstva Unije, in sicer v obliki sporazumov o prispevku ali ad hoc dodelitev nepovratnih sredstev v skladu s finančnimi pravili agencije ENISA iz člena 50 ter določbami zadevnih instrumentov, ki podpirajo politike Unije;

(d)pristojbine, ki se zaračunajo vložnikom za dejavnosti, povezane s posameznimi evropskimi shemami potrdil o osebnih spretnostih na področju kibernetske varnosti iz člena 22(1);

(e)pristojbine, ki se zaračunajo organom za ugotavljanje skladnosti za sodelovanje pri evropskih certifikatih kibernetske varnosti v okviru evropske certifikacijske sheme za kibernetsko varnost iz člena 47(2) ter izdajo teh certifikatov;

(f)pristojbine, ki se zaračunavajo javnim ali zasebnim organom za preizkuševalna orodja iz člena 47(3);

(g)vse prispevke tretjih držav, ki sodelujejo pri delu agencije ENISA, kot je določeno v členu 70(4);

(h)vse prostovoljne prispevke držav članic, denarne ali v naravi.

4.Države članice, ki zagotovijo prostovoljne prispevke iz odstavka 3, točka (g), v zameno za to ne smejo zahtevati nobenih posebnih pravic ali storitev.

5.Odhodki agencije ENISA vključujejo prejemke osebja, upravne odhodke in odhodke za infrastrukturo ter odhodke iz poslovanja.

Člen 47
Pristojbine

1.V zvezi z vsako dejavnostjo evropske sheme potrdil iz člena 22(1) se vložnikom v smislu člena 21(3) ali pooblaščenim ponudnikom potrdil zaračunajo naslednje pristojbine, ki prispevajo h kritju celotnih stroškov dejavnosti agencije ENISA:

(a)izdaja pooblastil po pregledu zahtev iz člena 21(3) in (4), vključno z izvedbo ocenjevanj;

(b)letno ohranjanje pooblastila;

(c)obnova pooblastil za ponudnike evropskih potrdil o osebnih spretnostih na področju kibernetske varnosti, vključno z izvedbo ocenjevanj.

2.V zvezi s certificiranjem se organom za ugotavljanje skladnosti za vzdrževanje evropskih certifikacijskih shem za kibernetsko varnost, v okviru katerih se izdajajo evropski certifikati kibernetske varnosti, zaračunajo zlasti naslednje pristojbine:

(a)letna pristojbina za sodelovanje v evropski certifikacijski shemi za kibernetsko varnost;

(b)pristojbina za izdajo evropskih certifikatov kibernetske varnosti v okviru evropskih certifikacijskih shem za kibernetsko varnost.

Pristojbine iz točke (b) se zaračunajo, ko organ za ugotavljanje skladnosti agenciji ENISA predloži evropske certifikate kibernetske varnosti za objavo na njenem spletnem mestu v skladu s členom 79.

3.V zvezi s preizkuševalnimi orodji iz člena 15(1) se pristojbina za njihovo uporabo zaračuna kateremu koli javnemu ali zasebnemu organu.

4.Vse pristojbine so izražene in plačljive v eurih.

5.Komisija sprejme izvedbene akte, s katerimi določi podrobna pravila v zvezi z določitvijo pristojbin, ki jih zaračuna agencija ENISA, pri čemer določi zlasti ocenjene stroške, ki jih je mogoče pripisati vsaki zadevi, za katero se lahko zaračunajo pristojbine na podlagi odstavkov 1, 2 in 3, in posamezne zneske pristojbin, ki se lahko zaračunajo, ter načine in pogoje, pod katerimi je treba pristojbine plačati. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2). Komisija se pri pripravi navedenih osnutkov izvedbenih aktov posvetuje z agencijo ENISA.

6.Pristojbine, določene z izvedbenimi akti iz odstavka 5, se določijo vnaprej, da so sorazmerne z ocenjenimi stroški izvedenih dejavnosti ali zagotovljenih storitev, kot so določeni na stroškovno učinkovit način, in zadostujejo za kritje teh stroškov. V stroških, ki jih je treba kriti, se odražajo vsi odhodki agencije ENISA, pripisani osebju, vključenem v dejavnosti iz odstavkov 1, 2 in 3. Pristojbine so določene na taki ravni, da bi se izognili primanjkljaju ali znatnemu kopičenju presežka v proračunu agencije ENISA. Proračunski presežki iz pristojbin se prenesejo za financiranje dejavnosti agencije ENISA, zlasti prihodnjih dejavnosti, povezanih s pristojbinami, ali za izravnavo nastalih izgub. Če se znatno pozitivno stanje proračuna, ki je posledica dejavnosti, kritih s pristojbinami, ponavlja ali če je znatno negativno stanje posledica opravljanja storitev, kritih s pristojbinami, Komisija spremeni izvedbene akte iz odstavka 5, da revidira metodo za izračun pristojbin v skladu s členom 118(2).

Znesek pristojbin za naloge iz odstavka 1 se določi na taki ravni, da se zagotovi, da z njimi povezani prihodki v zadostni meri prispevajo h kritju stroškov dejavnosti, povezanih z razvojem in vzdrževanjem evropskih shem osebnih potrdil, obdelavo vlog, izdajo in obnovo pooblastil, ter stroškov za nadzorne dejavnosti agencije ENISA.

Znesek pristojbin za naloge iz odstavka 2 se določi na taki ravni, da se zagotovi, da z njimi povezani prihodki v zadostni meri prispevajo h kritju celotnih stroškov dejavnosti, povezanih z vzdrževanjem evropskih certifikacijskih shem za kibernetsko varnost iz člena 75.

Znesek pristojbin za naloge iz odstavka 3 se določi na taki ravni, da se zagotovi, da z njimi povezani prihodki v zadostni meri prispevajo h kritju stroškov dejavnosti, povezanih z zagotavljanjem preizkuševalnih orodij iz člena 15(1).

7.Agencija ENISA predloži poročilo o zaračunanih pristojbinah in njihovem vplivu na njen proračun v okviru postopka za predstavitev zaključnega računa iz člena 50.

8.Agencija ENISA vzpostavi sklop kazalnikov za merjenje delovne obremenitve, uspešnosti in učinkovitosti v zvezi z dejavnostmi, ki se financirajo s pristojbinami. Agencija ENISA ustrezno prilagodi svoje kadrovsko načrtovanje in upravljanje virov, povezanih s pristojbinami, da se lahko ustrezno odzove na tako povpraševanje in morebitna nihanja prihodkov iz pristojbin. Agencija ENISA poročilo posreduje Komisiji, ki ga lahko uporabi za namene ocene iz člena 120(1).

Člen 48
Izvrševanje proračuna agencije ENISA

1.Za izvrševanje proračuna agencije ENISA je odgovoren izvršni direktor, ki deluje kot odredbodajalec.

2.Notranji revizor Komisije ima za agencijo ENISA enaka pooblastila kot za oddelke Komisije.

3.Izvršni direktor proračunskemu organu vsako leto pošlje vse informacije, ki so zadevne za ugotovitve postopkov ocenjevanja.

Člen 49
Predstavitev zaključnega računa in razrešnica

1.Računovodja agencije ENISA do 1. marca po vsakem proračunskem letu (leto N + 1) računovodji Komisije in Računskemu sodišču pošlje začasni zaključni račun za proračunsko leto (leto N).

2.Računovodja agencije ENISA do 1. marca leta N + 1 računovodji Komisije na način ter v obliki, ki ju ta določi, predloži tudi zahtevane računovodske informacije za konsolidacijo.

3.Agencija ENISA do 31. marca leta N+1 pošlje poročilo o upravljanju proračuna in finančnem poslovodenju za leto N Evropskemu parlamentu, Svetu, Komisiji in Računskemu sodišču.

4.Računovodja agencije ENISA po prejemu pripomb Računskega sodišča v zvezi z začasnim zaključnim računom agencije za leto N pripravi končni zaključni račun agencije in zanj osebno odgovarja. Izvršni direktor ga predloži upravnemu odboru v mnenje.

5.Upravni odbor poda mnenje o končnem zaključnem računu agencije ENISA za leto N.

6.Računovodja agencije ENISA do 1. julija leta N + 1 Evropskemu parlamentu, Svetu, Komisiji in Računskemu sodišču pošlje končni zaključni račun za leto N, skupaj z mnenjem upravnega odbora.

7.Povezava do spletnih strani s končnimi zaključnimi računi agencije ENISA se do 15. novembra leta N + 1 objavi v Uradnem listu Evropske unije.

8.Izvršni direktor do 30. septembra leta N + 1 Računskemu sodišču pošlje odgovor na pripombe iz njegovega letnega poročila. Izvršni direktor navedeni odgovor pošlje tudi upravnemu odboru in Komisiji.

9.Izvršni direktor Evropskemu parlamentu na njegovo zahtevo predloži vse informacije, potrebne za nemoteno uporabo postopka razrešnice za leto N v skladu s členom 267(3) Uredbe (EU, Euratom) 2024/2509 Evropskega parlamenta in Sveta.

10.Na priporočilo Sveta, ki odloča s kvalificirano večino, Evropski parlament do 15. maja leta N + 2 izvršnemu direktorju podeli razrešnico v zvezi z izvrševanjem proračuna za leto N.

Člen 50
Finančna pravila

1.Finančna pravila, ki se uporabljajo za agencijo ENISA, sprejme upravni odbor po posvetovanju s Komisijo. Pravila ne odstopajo od Delegirane uredbe (EU) 2019/715, razen če je tako odstopanje posebej potrebno za delovanje agencije ENISA in je Komisija dala predhodno soglasje.

2.Agencija ENISA pripravi in izvaja svoj proračun v skladu s svojimi finančnimi pravili in Uredbo (EU, Euratom) 2024/2509.

Člen 51
Boj proti goljufijam

1.Za boj proti goljufijam, korupciji in drugim nezakonitim dejavnostim se za dejavnosti agencije ENISA brez omejitev uporabljajo določbe Uredbe (EU, Euratom) št. 883/2013 Evropskega parlamenta in Sveta 75 .

2.Agencija ENISA v šestih mesecih od [Urad za publikacije: vstaviti točen datum iz člena 127] pristopi k Medinstitucionalnemu sporazumu z dne 25. maja 1999 med Evropskim parlamentom, Svetom Evropske unije in Komisijo Evropskih skupnosti o notranjih preiskavah Evropskega urada za boj proti goljufijam (OLAF) 76 in sprejme ustrezne določbe, ki se uporabljajo za njeno osebje, z uporabo predloge, določene v Prilogi k navedenemu sporazumu.

3.Računsko sodišče je pooblaščeno za izvajanje revizij na podlagi dokumentacije in pregledov na kraju samem pri vseh upravičencih do nepovratnih sredstev, izvajalcih in podizvajalcih, ki so od agencije ENISA prejeli sredstva Unije.

4.OLAF lahko v skladu z določbami in postopki iz Uredbe (EU, Euratom) št. 883/2013 in Uredbe Sveta (Euratom, ES) št. 2185/96 77 , izvaja preiskave, vključno s pregledi in inšpekcijami na kraju samem, da bi ugotovi, ali je v povezavi s sporazumom ali sklepom o nepovratnih sredstvih ali pogodbo, financirano s strani agencije ENISA, prišlo do goljufije, korupcije ali drugih nezakonitih ravnanj, ki škodijo finančnim interesom Unije.

5.Brez poseganja v odstavke 1 do 4 delovni sporazumi s tretjimi državami in mednarodnimi organizacijami, pogodbe, sporazumi in sklepi o nepovratnih sredstvih agencije ENISA vsebujejo določbe, s katerimi Računsko sodišče in OLAF izrecno pooblaščajo za izvajanje takšnih revizij in preiskav v skladu z njunimi pristojnostmi.

6.V skladu z Uredbo Sveta (EU) 2017/1939 lahko EJT preiskuje in preganja goljufije ter druga nezakonita ravnanja, ki škodijo finančnim interesom Unije, kot je določeno v Direktivi (EU) 2017/1371 Evropskega parlamenta in Sveta 78 .

Člen 52
Izjava o interesih

1.Člani upravnega odbora, izvršni direktor, namestnik izvršnega direktorja in iz držav članic začasno napoteni uradniki podajo izjavo o zavezah in izjavo, v kateri navedejo, ali imajo ali nimajo neposrednih ali posrednih interesov, ki bi lahko ogrozili njihovo neodvisnost. Izjavi sta natančni in izčrpni, se pisno podata vsako leto in se po potrebi posodobita.

2.Člani upravnega odbora, izvršni direktor, namestnik izvršnega direktorja in zunanji strokovnjaki, ki sodelujejo v ad hoc delovnih skupinah, najpozneje na začetku vsake seje podajo natančno in izčrpno izjavo o kakršnih koli interesih, ki bi lahko ogrozili njihovo neodvisnost pri obravnavi točk dnevnega reda, ter se vzdržijo sodelovanja pri razpravah in glasovanja o takih točkah.

3.Agencija ENISA v statutu določi praktično ureditev za pravila o izjavah o interesih iz odstavkov 1 in 2.

Člen 53
Preglednost

1.Agencija ENISA svoje dejavnosti izvaja z visoko stopnjo preglednosti in v skladu s členom 55.

2.Agencija ENISA zagotovi, da javnost in vse zainteresirane strani dobijo ustrezne, objektivne, zanesljive in lahko dostopne informacije, zlasti glede rezultatov njenega dela. Javno objavi tudi izjave o interesih, ki so bile podane v skladu s členom 52.

3.Upravni odbor lahko na predlog izvršnega direktorja dovoli, da zainteresirane strani pri nekaterih dejavnostih agencije ENISA sodelujejo kot opazovalci.

4.Agencija ENISA v statutu določi praktično ureditev za izvajanje pravil o preglednosti iz odstavkov 1 in 2.

Člen 54
Zaupnost znotraj agencije ENISA

1.Brez poseganja v člen 55 agencija ENISA tretjim osebam ne razkrije informacij, ki jih obdeluje ali prejme in v zvezi s katerimi je bilo z obrazložitvijo zahtevano, da se z njimi ravna zaupno.

2.Člani upravnega odbora, izvršni direktor, namestnik izvršnega direktorja, člani svetovalne skupine agencije ENISA, zunanji strokovnjaki, ki sodelujejo v ad hoc delovnih skupinah, in osebje agencije ENISA, tudi iz držav članic začasno napoteni uradniki, upoštevajo zahteve glede zaupnosti v skladu s členom 339 PDEU, tudi po prenehanju opravljanja svojih dolžnosti.

3.Agencija ENISA v statutu določi praktično ureditev za izvajanje pravil o zaupnosti iz odstavkov 1 in 2.

Člen 55
Dostop do dokumentov

1.Za dokumente agencije ENISA se uporablja Uredba (ES) št. 1049/2001.

2.Upravni odbor sprejme ukrepe za izvajanje Uredbe (ES) št. 1049/2001.

3.Zoper odločitve, ki jih agencija ENISA sprejme na podlagi člena 8 Uredbe (ES) št. 1049/2001, je v skladu s členom 228 PDEU možna pritožba pri Evropskem varuhu človekovih pravic ali tožba pred Sodiščem Evropske unije v skladu s členom 263 PDEU.

POGLAVJE V
Osebje in uradniki za zvezo

Člen 56
Splošne določbe

1.Za osebje agencije ENISA veljajo Kadrovski predpisi za uradnike in Pogoji za zaposlitev drugih uslužbencev ter pravila za izvajanje Kadrovskih predpisov za uradnike in Pogojev za zaposlitev drugih uslužbencev, sprejeta z dogovorom med institucijami Unije.

2.Osebje agencije ENISA, uradniki za zvezo in napoteni nacionalni strokovnjaki opravijo ustrezen postopek varnostnega preverjanja.

Člen 57
Posebne pravice in imunitete

Za agencijo ENISA in njeno osebje se uporablja Protokol št. 7 o privilegijih in imunitetah Evropske unije, ki je priložen PDEU.

Člen 58
Uradniki za zvezo

1.Vsaka država članica imenuje najmanj dva uradnika za zvezo iz pristojnega nacionalnega organa, imenovanega na podlagi člena 8(1) Direktive (EU) 2022/2555, kot napotena nacionalna strokovnjaka pri agenciji ENISA za delo na njenem sedežu ali v njenem lokalnem uradu v skladu s členom 59(2). Tudi Komisija lahko imenuje uradnika za zvezo.

2.Uradniki za zvezo prispevajo k izvajanju nalog agencije ENISA, vključno z olajševanjem operativnega sodelovanja in izmenjave informacij iz člena 11. Uradniki za zvezo podpirajo agencijo ENISA tudi pri razširjanju informacij o njenih dejavnostih, ugotovitvah in priporočilih zadevnim deležnikom po vsej Uniji. Delujejo tudi kot nacionalne kontaktne točke za vprašanja iz njihovih držav članic in v zvezi z njihovimi državami članicami, tako da neposredno odgovarjajo na navedena vprašanja ali se povezujejo z nacionalnimi upravami.

3.Uradniki za zvezo, ki jih imenujejo njihove države članice, lahko zahtevajo in prejmejo vse zadevne informacije od svojih držav članic, kot določa ta uredba, pri čemer dosledno upoštevajo nacionalno pravo ali prakso svoje države članice, zlasti kar zadeva varstvo podatkov in zaupnost.

Člen 59
Napoteni nacionalni strokovnjaki in drugo osebje

1.Agencija ENISA lahko na katerem koli področju svojega dela uporabi napotene nacionalne strokovnjake ali drugo osebje, ki ni zaposleno v agenciji ENISA. Kadrovski predpisi in Pogoji za zaposlitev se zanje ne uporabljajo.

2.Upravni odbor sprejme odločitev, s katero določi pravila za napotitev nacionalnih strokovnjakov, vključno z uradniki za zvezo, na agencijo ENISA.

POGLAVJE VI
SPLOŠNE DOLOČBE V ZVEZI Z AGENCIJO ENISA

Člen 60
Pravni status agencije ENISA

1.Agencija ENISA je organ Unije in je pravna oseba.

2.Agencija ENISA ima v vseh državah članicah kar najširšo pravno in poslovno sposobnost, ki jo pravnim osebam priznava nacionalno pravo zadevne države članice. Zlasti lahko pridobiva premičnine in nepremičnine ali z njimi razpolaga ter je lahko stranka v sodnem postopku ali oboje.

3.Agencijo ENISA zastopa izvršni direktor.

Člen 61
Sedež

Agencija ENISA ima sedež v Atenah v Grčiji.

Člen 62
Sporazum o sedežu in pogoji delovanja

1.Potrebni dogovori glede namestitve, ki jo je treba agenciji ENISA zagotoviti v državi članici gostiteljici, in infrastrukture, ki ji jo navedena država članica da na voljo, ter posebni predpisi, ki v državi članici gostiteljici veljajo za izvršnega direktorja, člane upravnega odbora, osebje agencije ENISA in njihove družinske člane, so določeni v sporazumu o sedežu, ki ga agencija ENISA in država članica gostiteljica skleneta po pridobitvi odobritve upravnega odbora.

2.Država članica gostiteljica agencije ENISA zagotovi optimalne pogoje za zagotovitev uspešnega delovanja agencije ENISA, ob upoštevanju dostopnosti lokacije, obstoja ustreznih šol za otroke uslužbencev ter ustreznega dostopa do trga dela, socialne varnosti in zdravstvenega varstva za otroke in zakonce članov osebja.

Člen 63
Upravni nadzor

Delovanje agencije ENISA nadzoruje Evropski varuh človekovih pravic v skladu s členom 228 PDEU.

Člen 64
Odgovornost agencije ENISA

1.Pogodbeno odgovornost agencije ENISA ureja pravo, ki se uporablja za zadevno pogodbo.

2.Za odločanje na podlagi katere koli arbitražne klavzule iz pogodb, ki jih sklene agencija ENISA, je pristojno Sodišče Evropske unije.

3.Pri nepogodbeni odgovornosti agencija ENISA povrne vsakršno škodo, ki jo pri opravljanju nalog povzroči sama ali jo povzročijo njeni uslužbenci, v skladu s splošnimi načeli, ki so skupni zakonodaji držav članic.

4.Za reševanje odškodninskih sporov iz odstavka 3 je pristojno Sodišče Evropske unije.

5.Osebno odgovornost osebja agencije ENISA do same agencije urejajo določbe Kadrovskih predpisov ali Pogojev za zaposlitev, ki se zanje uporabljajo.

Člen 65
Jezikovna ureditev

1.Za agencijo ENISA se uporablja Uredba Sveta št. 1 79 . Države članice in drugi organi, ki jih imenujejo države članice, lahko pišejo agenciji ENISA in prejmejo odgovor v uradnem jeziku institucij Unije, ki ga izberejo.

2.Prevajalske in vse druge jezikovne storitve, potrebne za delovanje agencije ENISA, razen tolmačenja, zagotavlja Prevajalski center za organe Evropske unije.

Člen 66
Varstvo osebnih podatkov

1.Agencija ENISA obdeluje osebne podatke v skladu z Uredbo (EU) 2018/1725.

2.Upravni odbor sprejme izvedbena pravila iz člena 45(3) Uredbe (EU) 2018/1725. Upravni odbor lahko sprejme dodatne ukrepe, ki so potrebni, da agencija ENISA uporablja Uredbo (EU) 2018/1725.

Člen 67
Varnostni predpisi za varovanje občutljivih netajnih podatkov in tajnih podatkov

Agencija ENISA v dogovoru s Komisijo sprejme varnostne predpise, ki upoštevajo varnostna načela, vsebovana v varnostnih predpisih Komisije za varovanje občutljivih netajnih podatkov in tajnih podatkov Evropske unije, kot so določeni v sklepih (EU, Euratom) 2015/443 80 in 2015/444 81 . Navedeni varnostni predpisi vključujejo določbe o izmenjavi, obdelavi in hrambi takih podatkov.

Člen 68
Sodelovanje s subjekti Unije in nacionalnimi organi

1.Agencija ENISA za zagotavljanje skladnosti, ustvarjanje sinergij in obravnavanje vprašanj skupnega interesa pri zadevah, povezanih s kibernetsko varnostjo, sodeluje s CERT-EU in zadevnimi subjekti Unije, vključno z Europolom, Evropskim industrijskim, tehnološkim in raziskovalnim kompetenčnim centrom za kibernetsko varnost, ustanovljenim na podlagi Uredbe (EU) 2021/887, ter Evropskim odborom za varstvo podatkov, ustanovljenim na podlagi člena 68(1) Uredbe (EU) 2016/679.

2.Sodelovanje iz odstavka 1 lahko poteka v obliki:

(a)izmenjave znanja in izkušenj ter najboljših praks;

(b)zagotavljanja svetovanja in izdajanja smernic o vprašanjih glede kibernetske varnosti;

(c)oblikovanja praktičnih ureditev za izvajanje posebnih nalog po posvetovanju s Komisijo.

3.Agencija ENISA strukturirano sodeluje s CERT-EU, zlasti pri zadevah, povezanih s krepitvijo zmogljivosti, operativnim sodelovanjem in dolgoročnimi strateškimi analizami kibernetskih groženj.

4.Agencija ENISA sodeluje in izmenjuje informacije z zadevnimi organi za nadzor trga in nadzornimi organi, imenovanimi v skladu z zakonodajo Unije na področju kibernetske varnosti, vključno z Uredbo (EU) 2024/2847.

Člen 69
Sodelovanje z deležniki

1.Kadar je to potrebno za doseganje ciljev te uredbe, agencija ENISA sodeluje z zadevnimi deležniki, kot so industrija kibernetske varnosti, industrija IKT, MSP, subjekti, ki delujejo v sektorjih iz prilog I in II k Direktivi (EU) 2022/2555, proizvajalci, uvozniki ali distributerji izdelkov z digitalnimi elementi v smislu Uredbe (EU) 2024/2847, organi za ugotavljanje skladnosti, priglašeni v okviru evropskega certifikacijskega okvira za kibernetsko varnost in Uredbe (EU) 2024/2847, subjekti, ki delujejo na področju sredstev elektronske identifikacije, skupine potrošnikov in akademski strokovnjaki na področju kibernetske varnosti. V ta namen lahko agencija ENISA vzpostavi javno-zasebna partnerstva.

2.Agencija ENISA v posvetovanju s Komisijo podpira sodelovanje med priglašenimi organi za ugotavljanje skladnosti v skladu s členom 93. Zlasti lahko ustanovi skupino priglašenih organov za ugotavljanje skladnosti za izmenjavo dobrih praks in ustvarjanje sinergij z drugo zadevno zakonodajo Unije, zlasti Uredbo (EU) 2024/2847.

Člen 70
Sodelovanje s tretjimi državami in mednarodnimi organizacijami

1.Agencija ENISA lahko sodeluje s pristojnimi organi tretjih držav ali mednarodnimi organizacijami ali obojimi, kolikor je to potrebno za dosego ciljev iz te uredbe, v skladu s prednostnimi nalogami Unije. V ta namen lahko agencija ENISA na podlagi predhodne odobritve Komisije vzpostavi delovne dogovore z organi tretjih držav in mednarodnimi organizacijami. Ti delovni dogovori ne ustvarjajo novih pravnih obveznosti za Unijo in njene države članice.

2.Upravni odbor sprejme strategijo o odnosih s tretjimi državami in mednarodnimi organizacijami glede vprašanj, ki so v pristojnosti agencije ENISA, in v skladu s prednostnimi nalogami iz odstavka 1. Komisija zagotovi, da agencija ENISA deluje v skladu s svojim mandatom in veljavnim institucionalnim okvirom, tako da z izvršnim direktorjem sklene ustrezne delovne dogovore.

3.Da bi podprla sodelovanje s tretjimi državami, zlasti državami kandidatkami za pristop k Uniji, lahko agencija ENISA zagotovi svoje strokovno znanje in izkušnje na področju krepitve zmogljivosti, zlasti na naslednjih področjih:

(a)ocenjevanje ravni zrelosti zmogljivosti in virov na področju kibernetske varnosti;

(b)rast in krepitev delovne sile na področju kibernetske varnosti, vključno s spodbujanjem evropskega okvira za spretnosti na področju kibernetske varnosti in evropskih shem potrdil o osebnih spretnosti na področju kibernetske varnosti ter zagotavljanjem dejavnosti učenja in usposabljanja;

(c)podpiranje načrtovanja in izvajanja vaj na področju kibernetske varnosti.

4.Pri delu agencije ENISA lahko sodelujejo tretje države, ki so v ta namen z Unijo sklenile sporazume. Na podlagi zadevnih določb sporazumov med tretjimi državami in Unijo se po predhodni odobritvi Komisije vzpostavijo delovni dogovori, v katerih so določeni zlasti značaj, obseg in način udeležbe vsake izmed teh tretjih držav pri delu agencije ENISA, ter vključujejo določbe glede udeležbe pri pobudah agencije ENISA, finančnih prispevkov in osebja. Glede kadrovskih zadev so ti delovni dogovori v vseh pogledih skladni s Kadrovskimi predpisi in Pogoji za zaposlitev.

5.Agencija ENISA Svetu in Komisiji redno poroča o izvajanju delovnih dogovorov iz odstavkov 1 in 4.

NASLOV III

EVROPSKI CERTIFIKACIJSKI OKVIR ZA KIBERNETSKO VARNOST

POGLAVJE I
Cilji, področje uporabe in postopki

Člen 71
Cilji in področje uporabe evropskega certifikacijskega okvira za kibernetsko varnost

1.Evropski certifikacijski okvir za kibernetsko varnost se vzpostavi z namenom vzpostavitve enotnega digitalnega trga za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in subjekte. V ta namen povečuje raven kibernetske varnosti v Uniji in omogoča usklajen pristop k evropskim certifikacijskim shemam za kibernetsko varnost ter koristi certificiranje, da se olajša skladnost z veljavno zakonodajo Unije.

2.Evropski certifikacijski okvir za kibernetsko varnost določa mehanizem za vzpostavitev evropskih certifikacijskih shem za kibernetsko varnost in potrjevanje naslednjega:

(a)da proizvodi IKT, storitve IKT in postopki IKT, ki so bili ocenjeni v skladu s takimi shemami, izpolnjujejo določene varnostne zahteve, da se zaščitijo razpoložljivost, pristnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov, funkcij ali storitev, ki jih ti proizvodi, storitve in postopki ponujajo ali so prek njih dostopni v celotnem življenjskem ciklu.

(b)da upravljane varnostne storitve, ki so bile ocenjene v skladu s takimi shemami, izpolnjujejo določene varnostne zahteve, da se zaščitijo razpoložljivost, pristnost, celovitost in zaupnost podatkov, do katerih se dostopa ali ki se obdelujejo, shranjujejo ali prenašajo v zvezi z izvajanjem teh storitev, ter da te storitve vedno izvaja osebje z ustreznimi kompetencami, strokovnim znanjem in izkušnjami ter zadostno in primerno ravnjo ustreznega tehničnega znanja in poklicne integritete;

(c)da je položaj kibernetske varnosti v subjektu, ki je bil ocenjen v skladu s takimi shemami, skladen z določenimi zahtevami glede kibernetske varnosti.

3.Evropsko certificiranje kibernetske varnosti je prostovoljno, razen če je v pravu Unije ali nacionalnem pravu določeno drugače.

4.Evropski certifikat kibernetske varnosti in izjava EU o skladnosti, izdana na podlagi evropskega certifikacijskega okvira za kibernetsko varnost, se samodejno priznavata v vseh državah članicah.

Člen 72
Obveščanje javnosti in posvetovanje z njo

1.Komisija vsaj enkrat letno ob podpori agencije ENISA organizira evropsko skupščino za certificiranje kibernetske varnosti, na kateri so člani evropske certifikacijske skupine za kibernetsko varnost, drugi zadevni strokovnjaki iz držav članic in subjektov Unije ter zadevni deležniki povabljeni k razpravi o strateških prednostnih nalogah za harmonizacijo na področju certificiranja kibernetske varnosti.

2.Komisija vzdržuje in redno posodablja namensko spletno mesto z informacijami o naslednjih vidikih:

(a)evropskih certifikacijskih shemah za kibernetsko varnost, katerih razvoj se zahteva na podlagi člena 73;

(b)strateških prednostnih nalogah za harmonizacijo proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev, položaja kibernetske varnosti v subjektih ali varnostnih zahtev zakonodaje Unije, vključno z morebitnimi področji, za katera bi se lahko zahtevala evropska certifikacijska shema za kibernetsko varnost.

3.Komisija na spletnem mestu iz odstavka 2 tega člena objavi informacije o svoji zahtevi agenciji ENISA, naj pripravi predlogo za shemo iz člena 73, in odločitvi, da sprejme, zavrne ali umakne predlogo za shemo, ki jo je posredovala agencija ENISA, v skladu s členom 74(7).

4.V času, ko agencija ENISA na podlagi člena 74 pripravlja predlogo za shemo, lahko Evropski parlament ali Svet od Komisije kot predsedujoče evropski certifikacijski skupini za kibernetsko varnost in agencije ENISA zahtevata predstavitev zadevnih informacij o osnutku predloge za shemo. Agencija ENISA lahko na zahtevo Evropskega parlamenta ali Sveta v soglasju s Komisijo in brez poseganja v člen 54 Evropskemu parlamentu in Svetu da na voljo ustrezne dele osnutka predloge za shemo na način, ki ustreza zahtevani ravni zaupnosti, in, kadar je primerno, v omejenem obsegu.

5.Evropski parlament in Svet lahko Komisijo in agencijo ENISA pozoveta k razpravi glede izvajanja evropskih certifikacijskih shem za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih.

Člen 73
Zahteve za evropsko certifikacijsko shemo za kibernetsko varnost

1.Komisija lahko od agencije ENISA zahteva, naj pripravi predlogo za evropsko certifikacijsko shemo za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih.

2.V ustrezno utemeljenih primerih lahko evropska certifikacijska skupina za kibernetsko varnost Komisiji predlaga, naj predloži zahtevo iz odstavka 1.

3.V zahtevi iz odstavka 1 se podrobno navedejo namen, obseg in načini izpolnjevanja zadevnih varnostnih ciljev in elementov iz členov 80 in 81. V zahtevi se navedejo tudi razvojni načrt predloge za evropsko certifikacijsko shemo za kibernetsko varnost in zadevne tehnične specifikacije, na katere se je treba sklicevati ali ki jih je treba opredeliti v shemi.

4.Komisija se pri pripravi zahteve iz odstavka 1 ustrezno posvetuje z agencijo ENISA in evropsko certifikacijsko skupino za kibernetsko varnost ter upošteva mnenja vseh zadevnih deležnikov in drugih subjektov Unije, po potrebi tudi tistih, ki so zadevni v skladu z zakonodajo Unije, v kateri evropska certifikacijska shema za kibernetsko varnost dokazuje skladnost in zagotavlja domnevo o skladnosti.

Člen 74
Priprava in sprejetje evropskih certifikacijskih shem za kibernetsko varnost

1.Agencija ENISA najpozneje 12 mesecev po prejemu zahteve Komisije na podlagi člena 73, razen če je v zahtevi določeno drugače, pripravi predlogo za evropsko certifikacijsko shemo za kibernetsko varnost, ki izpolnjuje zahteve iz členov 80 in 81.

2.Agencija ENISA za pripravo vsake predloge za shemo ustanovi ad hoc delovno skupino v skladu s členom 32(6), da bi agenciji pomagala s strokovnim svetovanjem.

3.Agencija ENISA pri pripravi predloge za shemo tesno sodeluje z evropsko certifikacijsko skupino za kibernetsko varnost. Ta skupina agenciji ENISA zagotavlja pomoč in strokovno svetovanje pri pripravi predloge za shemo ter, kadar je ustrezno, podpornih tehničnih specifikacij.

4.Agencija ENISA se pri pripravi predloge za shemo, vključno s podpornimi tehničnimi specifikacijami, kadar je ustrezno, pravočasno posvetuje z deležniki v okviru formalnega, odprtega, preglednega in vključujočega posvetovalnega postopka. Sodeluje tudi z zadevnimi javnimi organi v državah članicah in zadevnimi subjekti Unije, da bi zbrala njihove strokovne nasvete v zvezi s pripravo predloge za shemo in, kadar je ustrezno, podpornimi tehničnimi specifikacijami. Agencija ENISA pri posredovanju predloge za shemo Komisiji na podlagi odstavka 6 opiše, kako je ravnala v skladu s tem odstavkom.

5.Preden agencija ENISA predlogo za shemo in, kadar je ustrezno, podporne tehnične specifikacije posreduje Komisiji, od članov evropske certifikacijske skupine za kibernetsko varnost zahteva, da predložijo pisna mnenja o predlogi za shemo. Mnenja se predložijo najpozneje v 30 dneh od datuma zahtevka. Agencija ENISA v največji možni meri upošteva mnenja članov evropske certifikacijske skupine za kibernetsko varnost. Če takih mnenj ni, to agenciji ENISA ne preprečuje, da predlogo za shemo posreduje Komisiji.

6.Agencija ENISA predlogo za shemo posreduje Komisiji najpozneje 60 dni od datuma zahteve iz odstavka 5.

7.Komisija po prejemu predloge za shemo oceni, ali ta ustreza zahtevi, predloženi v skladu s členom 73. Komisija v 30 dneh od datuma predložitve navedene predloge za shemo sprejme enega od naslednjih ukrepov:

(a)sprejme predlogo za shemo;

(b)predlogo za shemo vrne agenciji ENISA v revizijo, skupaj z utemeljitvijo za to vrnitev in rokom, ki ni daljši od 90 dni, v katerem agencija ENISA predloži revidirano predlogo za shemo;

(c)umakne predlogo za shemo.

8.Kadar Komisija predlogo za shemo vrne agenciji ENISA v revizijo v skladu z odstavkom 7, točka (b), se ustrezno uporabljajo odstavki 4, 5 in 7.

9.Komisija je na podlagi sprejete predloge za shemo, ki jo pripravi agencija ENISA, pooblaščena za sprejemanje izvedbenih aktov, ki določajo evropsko certifikacijsko shemo za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, ki izpolnjuje zahteve iz členov 80 in 81. Navedeni izvedbeni akt se sprejme v skladu s postopkom pregleda iz člena 118(2).

10.Komisija se lahko v skladu s členoma 18 in 77 v izvedbenih aktih iz odstavka 9 tega člena sklicuje na tehnične specifikacije, ki jih razvije agencija ENISA.

11.Komisija lahko v skladu s členom 87 v izvedbenih aktih iz odstavka 9 tega člena določi pogoje za mednarodno priznavanje evropskih certifikatov kibernetske varnosti.

Člen 75
Vzdrževanje evropske certifikacijske sheme za kibernetsko varnost

1.Vsaka evropska certifikacijska shema za kibernetsko varnost vzpostavi strategijo vzdrževanja. V strategiji vzdrževanja so opisana pričakovanja v zvezi z dejavnostmi vzdrževanja, zlasti tistimi, ki so povezane s standardi ali tehničnimi specifikacijami, navedenimi v shemi, in interakcijo z zadevnimi deležniki.

2.Agencija ENISA v sodelovanju s Komisijo ter ob podpori evropske certifikacijske skupine za kibernetsko varnost in njene zadevne podskupine za vzdrževanje zagotovi vzdrževanje evropskih certifikacijskih shem za kibernetsko varnost, tudi zaradi morebitnega pregleda takih shem s strani Komisije. Agencija ENISA sodeluje in izmenjuje informacije z zadevnimi subjekti in skupinami Unije v zvezi z dejavnostmi vzdrževanja.

3.Agencija ENISA lahko organizira sodelovanje zasebnega sektorja za vzdrževanje sheme v obliki ad hoc delovne skupine v skladu s strategijo vzdrževanja iz odstavka 1.

4.Dejavnosti vzdrževanja evropskih certifikacijskih shem za kibernetsko varnost vključujejo naslednje:

(a)pripravo, posodabljanje in odobritev tehničnih specifikacij in smernic v podporo usklajenemu in enotnemu delovanju shem;

(b)opredelitev standardov ali tehničnih specifikacij, ki so pomembni za shemo;

(c)interakcije in po potrebi vzpostavitev stikov z zadevnimi deležniki, vključno z evropskimi ali mednarodnimi organizacijami za standardizacijo, vključno za namene zagotavljanja ali prejemanja tehničnih prispevkov;

(d)izdajanje priporočil Komisiji o potrebnih izboljšavah in posodobitvah shem, tudi zaradi morebitnega pregleda shem;

(e)izmenjavo informacij v zvezi s praktičnim izvajanjem shem med državami članicami;

(f)prispevke k mehanizmom medsebojnega strokovnega pregledovanja in medsebojnega strokovnega ocenjevanja ter analize rezultatov takih ocenjevanj za izboljšanje delovanja shem in podporo njihovemu morebitnemu pregledu.

5.Evropska certifikacijska skupina za kibernetsko varnost lahko izda mnenje o vzdrževanju evropskih certifikacijskih shem za kibernetsko varnost.

Člen 76
Ocena, pregled in umik evropske certifikacijske sheme za kibernetsko varnost

1.Agencija ENISA vsaj vsaka štiri leta po začetku uporabe evropske certifikacijske sheme za kibernetsko varnost v sodelovanju z zadevno podskupino za vzdrževanje evropske certifikacijske skupine za kibernetsko varnost in ob upoštevanju povratnih informacij deležnikov oceni učinek in učinkovitost te sheme. Agencija ENISA izvede oceno z izvedbo tržne analize v skladu s členom 8(1).

2.Komisija lahko po oceni iz odstavka 1 pregleda ali umakne izvedbene akte, ki določajo evropsko certifikacijsko shemo za kibernetsko varnost na podlagi člena 74(9).

3.Komisija se pri pregledu ali umiku evropskih certifikacijskih shem za kibernetsko varnost posvetuje z agencijo ENISA, evropsko certifikacijsko skupino za kibernetsko varnost in njeno zadevno podskupino za vzdrževanje ter upošteva stališča zadevnih deležnikov in drugih subjektov Unije.

4.Evropska certifikacijska skupina za kibernetsko varnost lahko izda mnenje o pregledu ali umiku evropske certifikacijske sheme za kibernetsko varnost. Komisija to ustrezno upošteva pri pregledu ali umiku evropske certifikacijske sheme za kibernetsko varnost.

Člen 77
Tehnične specifikacije v evropskih certifikacijskih shemah za kibernetsko varnost

1.Agencija ENISA lahko razvije tehnične specifikacije za prihodnjo evropsko certifikacijsko shemo za kibernetsko varnost ali v podporo vzdrževanju evropske certifikacijske sheme za kibernetsko varnost.

2.Tehnične specifikacije iz odstavka 1 tega člena se pripravijo pravočasno ob podpori evropske certifikacijske skupine za kibernetsko varnost in njenih podskupin za vzdrževanje ter, kadar je ustrezno, ustrezne ad hoc delovne skupine iz člena 75(3). V ta namen agencija ENISA zaprosi za prispevke tudi zadevne skupine deležnikov, pri čemer upošteva strategijo vzdrževanja iz člena 75(1).

3.Kadar se evropska certifikacijska shema za kibernetsko varnost iz člena 74(10) sklicuje na tehnične specifikacije, se te dajo na voljo na spletnem mestu iz člena 79.

4.V ustrezno utemeljenih primerih, zlasti kadar tehnične specifikacije vsebujejo informacije, ki bi lahko ogrozile varnost certificiranih proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih, se posredujejo le tistim deležnikom, ki jih zadevajo zahteve sheme. Na take tehnične specifikacije se v evropski certifikacijski shemi za kibernetsko varnost ne sklicuje v skladu s členom 74(10).

Člen 78
Olajševanje skladnosti z zakonodajo Unije

1.Kadar tako določa določen pravni akt Unije, certifikat, izdan v okviru evropske certifikacijske sheme za kibernetsko varnost, dokazuje skladnost in zagotavlja domnevo o skladnosti z zadevnimi zahtevami navedenega pravnega akta.

2.Dejavnosti ocenjevanja v okviru evropske certifikacijske sheme za kibernetsko varnost so skladne z ustreznim pravnim aktom Unije, ki določa dokazovanje skladnosti in domnevo o skladnosti. Kadar take dejavnosti ocenjevanja niso določene v ustreznem pravnem aktu Unije, se določijo v shemi. Ugotavljanje skladnosti za certificiranje, ki zagotavlja domnevo o skladnosti z zahtevami iz zakonodaje Unije, izvede organ tretje osebe.

3.Če ni harmonizirane zakonodaje Unije, lahko nacionalno pravo določa tudi, da se evropska certifikacijska shema za kibernetsko varnost lahko uporabi za dokazovanje skladnosti in oblikovanje domneve o skladnosti z določenimi pravnimi zahtevami nacionalnega prava.

Člen 79
Uvajanje evropskih certifikacijskih shem za kibernetsko varnost, spletno mesto agencije ENISA in objava certifikatov

1.Agencija ENISA organizira dejavnosti za spodbujanje uvajanja sprejetih evropskih certifikacijskih shem za kibernetsko varnost, vključno z vzdrževanjem spletnega mesta iz odstavka 2 tega člena.

2.Agencija ENISA vzdržuje in redno posodablja namensko spletno mesto z javnimi informacijami o:

(a)evropskih certifikacijskih shemah za kibernetsko varnost;

(b)pristojbinah, povezanih z vzdrževanjem posamezne evropske certifikacijske sheme za kibernetsko varnost;

(c)zadevnih tehničnih specifikacijah agencije ENISA;

(d)evropskih certifikatih kibernetske varnosti in izjavah EU o skladnosti, vključno z informacijami v zvezi s takimi certifikati in izjavami, ki niso več veljavni ali ki so začasno preklicani, umaknjeni ali potekli;

(e)zadevnih dodatnih informacijah o kibernetski varnosti, zagotovljenih v skladu s členom 84;

(f)povzetkih medsebojnih strokovnih pregledov na podlagi člena 89(7);

(g)tehničnih specifikacijah, na katere se sklicuje evropska certifikacijska shema za kibernetsko varnost na podlagi člena 74(10).

3.Na spletnem mestu iz odstavka 2 so po potrebi navedene tudi nacionalne certifikacijske sheme za kibernetsko varnost, ki so bile nadomeščene z evropsko certifikacijsko shemo za kibernetsko varnost.

POGLAVJE II
Vsebina evropskih certifikacijskih shem za kibernetsko varnost

Člen 80
Varnostni cilji evropskih certifikacijskih shem za kibernetsko varnost

1.Evropska certifikacijska shema za kibernetsko varnost si, kot je ustrezno, prizadeva doseči naslednje varnostne cilje:

(a)zagotoviti, da so proizvodi IKT, storitve IKT, postopki IKT in upravljane varnostne storitve razviti v skladu z načelom privzete in vgrajene varnosti;

(b)zaščititi shranjene, prenesene ali kako drugače obdelane podatke pred naključno ali nepooblaščeno hrambo, obdelavo, dostopom ali razkritjem z uporabo ustreznih tehničnih sredstev ob upoštevanju celotnega življenjskega cikla proizvodov IKT, storitev IKT ali postopkov IKT;

(c)zaščititi celovitost shranjenih, prenesenih ali kako drugače obdelanih osebnih ali drugih podatkov, ukazov, programov in konfiguracij pred kakršnimi koli manipulacijami ali spremembami, ki jih ne odobri uporabnik, ter poročati o okvarah ob upoštevanju celotnega življenjskega cikla proizvodov IKT, storitev IKT ali postopkov IKT;

(d)z ustreznimi nadzornimi mehanizmi zagotoviti zaščito pred nepooblaščenim dostopom, med drugim tudi s sistemi avtentikacije, upravljanja identitete ali upravljanja dostopa, ter poročati o morebitnem nepooblaščenem dostopu;

(e)opredeliti in dokumentirati komponente in ranljivosti, kadar je ustrezno tudi s pripravo kosovnice za programsko opremo, ki zajema vsaj odvisnosti na najvišji ravni;

(f)zagotoviti informacije v zvezi z varnostjo, in sicer z beleženjem in spremljanjem zadevnih internih dejavnosti, vključno z dostopom do podatkov, storitev ali funkcij ali njihovim spreminjanjem, kadar je ustrezno, z mehanizmom odklonitve za uporabnika;

(g)preveriti, da proizvodi IKT, storitve IKT in postopki IKT ne vsebujejo znanih ranljivosti, ki bi se lahko izkoristile;

(h)varovati razpoložljivost ključnih in osnovnih funkcij, tudi po incidentu, vključno z odpornostjo proti napadom za zavrnitev storitve in blažilnimi ukrepi za zmanjšanje negativnih vplivov takih napadov;

(i)zmanjšati negativen vpliv na razpoložljivost storitev, ki jih zagotavljajo druga omrežja in naprave, v primeru fizičnega ali tehničnega incidenta;

(j)zagotoviti redno testiranje proizvodov IKT, storitev IKT in postopkov IKT ter pregledovanje njihove varnosti;

(k)zagotoviti, da se ranljivosti nemudoma obravnavajo in odpravijo, tudi z varnostnimi posodobitvami, ter da se informacije o odpravljenih ranljivostih delijo in javno razkrijejo, razen če tveganja objave prevladajo nad varnostnimi koristmi;

(l)zagotoviti, da je vzpostavljena politika o usklajenem razkrivanju ranljivosti;

(m)olajšati izmenjavo informacij o morebitnih ranljivostih proizvodov IKT, storitev IKT in postopkov IKT;

(n)zagotoviti takojšnje razširjanje varnostnih posodobitev, kadar so te na voljo za odpravo ugotovljenih varnostnih težav;

(o)zagotoviti, da se upravljane varnostne storitve izvajajo z ustreznimi kompetencami, strokovnim znanjem in izkušnjami, vključno s tem, da ima osebje, odgovorno za izvajanje teh storitev, zadostno in ustrezno raven tehničnega znanja in kompetenc na določenem področju, zadostne in ustrezne izkušnje ter najvišjo stopnjo poklicne integritete;

(p)zagotoviti, da so proizvodi IKT, storitve IKT in postopki IKT, ki se uporabljajo pri zagotavljanju upravljanih varnostnih storitev, razviti v skladu z načelom privzete in vgrajene varnosti, ter, kadar je ustrezno, vključujejo najnovejše varnostne posodobitve in ne vsebujejo javno znanih šibkih točk;

(q)zagotoviti, da ima certificirani subjekt vzpostavljene ustrezne notranje postopke za zagotovitev, da se storitve izvajajo na zadostni in ustrezni ravni kakovosti;

(r)zagotoviti, da je certificirani subjekt sposoben prepoznavati in odkrivati incidente, se pred njimi zaščititi, se nanje odzivati ter po njih okrevati;

(s)zagotoviti, da je certificirani subjekt sposoben obvladovati tveganja za varnost omrežnih in informacijskih sistemov, ki jih subjekt uporablja za delovanje ali zagotavljanje storitev ter za preprečevanje ali zmanjšanje vpliva incidentov na prejemnike svojih storitev in druge storitve;

(t)zagotoviti, da je certificirani subjekt sposoben vzpostaviti, zagotavljati in pregledovati svojo operativno celovitost in zanesljivost, tako da neposredno ali posredno z uporabo storitev tretjih ponudnikov storitev IKT zagotovi celoten sklop zmožnosti, povezanih z IKT, ki so potrebne za obravnavo varnosti omrežnih in informacijskih sistemov, ki jih uporablja subjekt in ki omogočajo nadaljnje zagotavljanje storitev in njihovo kakovost, tudi v primeru motenj;

(u)zagotoviti, da je certificirani subjekt sposoben izvajati in vzdrževati sistem za upravljanje informacijske varnosti;

(v)upreti se vsakršnemu dogodku, ki bi lahko ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih ponuja omrežni in informacijski sistem, ki ga uporablja subjekt, ali so prek njega dostopne, ter zagotavljati neprekinjeno zagotavljanje storitev in njihovo kakovost, tudi v primeru motenj;

(w)zagotoviti, da lahko subjekt zagotovi varnost obdelave osebnih podatkov.

2.Komisija je pooblaščena za sprejemanje delegiranih aktov v skladu s členom 119 za spremembo odstavka 1 tega člena z dodajanjem ali spreminjanjem varnostnih ciljev, da se zagotovi, da odražajo najnovejši tehnološki razvoj in nove povezane grožnje, ter s sprejemanjem nove zakonodaje Unije, ki določa dokazovanje skladnosti in domnevo o skladnosti z zadevnimi zahtevami glede kibernetske varnosti iz navedene zakonodaje z evropskim certificiranjem kibernetske varnosti.

3.Evropska certifikacijska shema za kibernetsko varnost, ki obravnava izdelke z digitalnimi elementi, kot so opredeljeni v členu 3, točka 1, Uredbe (EU) 2024/2847, je zasnovana v skladu z bistvenimi zahtevami glede kibernetske varnosti iz Priloge I k navedeni uredbi in upošteva razpoložljive harmonizirane standarde.

Člen 81
Elementi evropskih certifikacijskih shem za kibernetsko varnost

1.Evropska certifikacijska shema za kibernetsko varnost vključuje vsaj naslednje:

(a)predmet urejanja in področje uporabe certifikacijske sheme, vključno z vrsto ali kategorijami proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali sredstev, storitev in funkcij subjekta, zajetih v področju uporabe certificiranja;

(b)jasen opis namena sheme in, kadar je ustrezno, opredelitev zakonodaje Unije, ki določa zahteve, v zvezi s katerimi evropski certifikati kibernetske varnosti dokazujejo skladnost in zagotavljajo domnevo o skladnosti;

(c)strategijo vzdrževanja, ki določa pristop k dejavnostim vzdrževanja iz člena 75;

(d)specifične zahteve glede kibernetske varnosti, merila in metode za ocenjevanje proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih ter sklice na mednarodne, evropske ali nacionalne standarde, ki se uporabljajo pri ocenjevanju proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih, ali, kadar taki standardi niso na voljo ali ustrezni, na tehnične specifikacije, ki jih pripravi agencija ENISA na podlagi člena 77, ali, kadar take specifikacije niso na voljo, na druge tehnične specifikacije;

(e)najdaljši rok veljavnosti evropskih certifikatov kibernetske varnosti, izdanih v okviru sheme.

2.Evropska certifikacijska shema za kibernetsko varnost vključuje vsaj pravila in pogoje glede:

(a)spremljanja skladnosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti v subjektih z zahtevami evropskih certifikatov kibernetske varnosti ali izjave EU o skladnosti, vključno z mehanizmi za dokazovanje stalnega izpolnjevanja določenih zahtev glede kibernetske varnosti;

(b)izdajanja, potrjevanja, umikanja in obnavljanja evropskih certifikatov kibernetske varnosti, razširjanja ali zmanjšanja obsega certificiranja ter ponovnega certificiranja;

(c)posledic za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali subjekte, ki so bili certificirani ali za katere se je izdala izjava EU o skladnosti, vendar niso skladni z zahtevami sheme;

(d)prijavljanja in obravnave predhodno neodkritih ranljivosti proizvodov IKT, storitev IKT in postopkov IKT na področju kibernetske varnosti;

(e)vsebine in oblike evropskih certifikatov kibernetske varnosti in izjav EU o skladnosti, ki jih je treba izdati;

(f)obdobja razpoložljivosti izjave EU o skladnosti, tehnične dokumentacije in vseh drugih zadevnih informacij, ki jih da na voljo proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja;

(g)morebitnih mehanizmov medsebojnega strokovnega ocenjevanja, vzpostavljenih v okviru sheme za organe ali telesa, ki izdajajo evropske certifikate kibernetske varnosti na podlagi člena 85(4), ki ne posegajo v medsebojni strokovni pregled iz člena 90;

(h)zaupnosti informacij in podatkov, ki jih pridobijo vse strani pri izvajanju nalog in dejavnosti, povezanih z izvajanjem določb iz tega naslova;

(i)oblike in postopkov, ki jih morajo upoštevati proizvajalci in ponudniki proizvodov IKT, storitev IKT ali postopkov IKT pri zagotavljanju in posodabljanju dodatnih informacij o kibernetski varnosti v skladu s členom 84, ter

(j)neprekinjenosti dejavnosti certificiranja v izrednih kriznih razmerah, ki so neizogibne in ovirajo možnost uporabe pravil sheme certificiranja.

3.Evropska certifikacijska shema za kibernetsko varnost vključuje, kadar je primerno, tudi naslednje:

(a)eno ali več ravni zanesljivosti in ustrezne ravni ocenjevanja;

(b)profile zaščite za določitev varnostnih zahtev, ki se uporabljajo za določeno kategorijo proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev;

(c)profile razširitve za določitev dodatnih varnostnih zahtev, po potrebi vključno z varnostnimi zahtevami iz nacionalnih določb, s katerimi se prenaša pravo Unije;

(d)pojasnilo, katere dejavnosti ugotavljanja skladnosti, vključno s kalibriranjem, preizkušanjem, certificiranjem in pregledovanjem, za „visoko“ raven zanesljivosti ali za namene dokazovanja skladnosti in zagotavljanja domneve o skladnosti so dovoljene zunaj Evropskega gospodarskega prostora;

(e)opredelitev nacionalnih ali mednarodnih certifikacijskih shem za kibernetsko varnost, ki zadevajo isto vrsto ali kategorije proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaj kibernetske varnosti v subjektih;

(f)dodatne ali posebne zahteve, ki se uporabljajo za organe za ugotavljanje skladnosti, da se zagotovi njihova tehnična pristojnost za ocenjevanje zahtev glede kibernetske varnosti;

(g)informacije, ki so potrebne za certificiranje in ki jih mora vložnik predložiti ali kako drugače dati na voljo organom za ugotavljanje skladnosti;

(h)oznake ali znake ter pogoje, pod katerimi se te oznake ali znaki lahko uporabijo;

(i)pogoje za mednarodno priznavanje evropskih certifikatov kibernetske varnosti v skladu s členom 87.

4.Opredeljene zahteve evropske certifikacijske sheme za kibernetsko varnost so skladne z zahtevami zakonodaje Unije.

5.Komisija je pooblaščena za sprejemanje izvedbenih aktov o določitvi skupnih načel in vzorčnih določb za elemente iz odstavkov 1, 2 in 3 v evropskih certifikacijskih shemah za kibernetsko varnost. Kadar je to ustrezno in kadar so na voljo, lahko evropska certifikacijska shema za kibernetsko varnost vključuje sklicevanja na navedena načela in vzorčne določbe.

6.Izvedbeni akti iz odstavka 5 se sprejmejo v skladu s postopkom pregleda iz člena 118(2). Komisija se pri oblikovanju ali reviziji skupnih načel in vzorčnih določb za elemente evropskih certifikacijskih shem za kibernetsko varnost posvetuje z agencijo ENISA in po potrebi upošteva stališča, ki jih izrazijo evropska certifikacijska skupina za kibernetsko varnost, ustrezni deležniki in drugi zadevni organi.

Člen 82
Ravni zanesljivosti in ocenjevanja evropskih certifikacijskih shem za kibernetsko varnost

1.Evropska certifikacijska shema za kibernetsko varnost lahko določa eno ali več naslednjih ravni zanesljivosti za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih: „osnovno“, „znatno“ ali „visoko“. Navedene ravni zanesljivosti so sorazmerne s stopnjo tveganja, povezano s predvideno uporabo proizvoda IKT, storitve IKT, postopka IKT ali upravljane varnostne storitve ali z naravo subjektov, katerih položaj kibernetske varnosti je predmet certificiranja, in njihovim operativnim okoljem, v smislu verjetnosti in učinka incidenta.

2.Evropski certifikati kibernetske varnosti se nanašajo na katero koli raven zanesljivosti, določeno v evropski certifikacijski shemi za kibernetsko varnost, v okviru katere se navedeni certifikati izdajo. Izjave EU o skladnosti se nanašajo na „osnovno“ raven zanesljivosti.

3.Varnostne zahteve, ki ustrezajo vsaki ravni zanesljivosti, so določene v zadevni evropski certifikacijski shemi za kibernetsko varnost, vključno z ustreznimi varnostnimi kontrolami in ustreznim ocenjevanjem, ki se izvedejo za proizvod IKT, storitev IKT, postopek IKT, upravljano varnostno storitev ali položaj kibernetske varnosti v subjektu.

4.Evropski certifikat kibernetske varnosti ali izjava EU o skladnosti se nanaša na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je zmanjšati tveganje za incidente, povezane s kibernetsko varnostjo, ali jih preprečiti.

5.Evropski certifikat kibernetske varnosti ali izjava EU o skladnosti, ki se nanaša na „osnovno“ raven zanesljivost, zagotavlja, da proizvodi IKT, storitve IKT, postopki IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, za katere se izda navedeni certifikat ali izjava EU o skladnosti, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi kontrolami, in da so bili ocenjeni na ravni za kar najbolj zmanjšana znana osnovna tveganja incidentov in kibernetskih napadov. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo vsaj pregled tehnične dokumentacije. Kadar tak pregled ni primeren, se izvedejo nadomestne ocenjevalne dejavnosti z enakovrednim učinkom.

6.Evropski certifikat kibernetske varnosti, ki se nanaša na „znatno“ raven zanesljivosti, zagotavlja, da proizvodi IKT, storitve IKT, postopki IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, za katere se izda ta certifikat, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi kontrolami, in da so bili ocenjeni na ravni za kar najbolj zmanjšana znana tveganja incidentov in kibernetskih napadov ter tveganja kibernetskih napadov, ki jih izvajajo akterji z omejenim znanjem in viri. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo najmanj pregled za dokazovanje, da se javno znane šibke točke ne pojavljajo, in preizkušanje za dokazovanje, da se pri proizvodih IKT, storitvah IKT, postopkih IKT, upravljanih varnostnih storitvah ali subjektih pravilno izvajajo potrebne varnostne kontrole. Kadar katera izmed takih ocenjevalnih dejavnosti ni primerna, se izvedejo nadomestne ocenjevalne dejavnosti z enakovrednim učinkom.

7.Evropski certifikat kibernetske varnosti, ki se nanaša na „visoko“ raven zanesljivosti, zagotavlja, da proizvodi IKT, storitve IKT, postopki IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, za katere se izda ta certifikat, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi kontrolami, in da so bili ocenjeni na ravni za kar najbolj zmanjšana tveganja incidentov in naprednih kibernetskih napadov, ki jih izvajajo akterji z obsežnim znanjem in viri. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo najmanj naslednje:

(a)pregled za dokazovanje, da se javno znane ranljivosti ne pojavljajo;

(b)preizkušanje za dokazovanje, da se pri proizvodih IKT, storitvah IKT, postopkih IKT, upravljanih varnostnih storitvah ali subjektih pravilno izvajajo potrebne najsodobnejše varnostne kontrole;

(c)oceno odpornosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali subjektov na usposobljene napadalce, po potrebi z uporabo penetracijskega testiranja.

Kadar katera izmed takih ocenjevalnih dejavnosti ni primerna, se izvedejo nadomestne dejavnosti z enakovrednim učinkom. Vse dejavnosti ugotavljanja skladnosti, vključno s kalibriranjem, preizkušanjem, certificiranjem in pregledovanjem, za „visoko“ raven zanesljivosti se izvajajo v Evropskem gospodarskem prostoru, razen če je v evropski certifikacijski shemi za kibernetsko varnost določeno drugače.

8.Kadar je evropska certifikacijska shema za kibernetsko varnost zasnovana tako, da dokazuje skladnost in zagotavlja domnevo o skladnosti z določenim pravnim aktom Unije, evropski certifikat kibernetske varnosti zagotavlja, da certificirani proizvodi IKT, storitve IKT, postopki IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih izpolnjujejo ustrezne zahteve glede kibernetske varnosti iz navedenega pravnega akta. Vse dejavnosti ugotavljanja skladnosti, vključno s kalibriranjem, preizkušanjem, certificiranjem in pregledovanjem, za namene domneve o skladnosti se izvajajo v Evropskem gospodarskem prostoru, razen če je v evropski certifikacijski shemi za kibernetsko varnost določeno drugače.

9.Evropska certifikacijska shema za kibernetsko varnost lahko določa več ravni ocenjevanja za dano raven zanesljivosti. Vsaka raven ocenjevanja ustreza eni ravni zanesljivosti.

Člen 83
Samoocenjevanje skladnosti

1.V okviru evropske certifikacijske sheme za kibernetsko varnost se lahko dopusti samoocenjevanje skladnosti, za katero je v celoti odgovoren proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja. Samoocenjevanje skladnosti se dopusti samo v zvezi s proizvodi IKT, storitvami IKT, postopki IKT, upravljanimi varnostnimi storitvami ali položajem kibernetske varnosti v subjektih, ki predstavljajo nizko tveganje, ki ustreza „osnovni“ ravni zanesljivosti.

2.Proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja, lahko izda izjavo EU o skladnosti, v kateri je navedeno, da je dokazano izpolnjevanje zahtev iz evropske certifikacijske sheme za kibernetsko varnost. Z izdajo take izjave proizvajalec, ponudnik ali subjekt prevzame odgovornost za skladnost proizvoda IKT, storitve IKT, postopka IKT, upravljane varnostne storitve ali položaja kibernetske varnosti z zahtevami zadevne sheme.

3.Proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjekt, katerega položaj kibernetske varnosti je predmet certificiranja, za obdobje, določeno v zadevni evropski certifikacijski shemi za kibernetsko varnost, nacionalnemu certifikacijskemu organu za kibernetsko varnost, imenovanemu na podlagi člena 89, da na voljo izjavo EU o skladnosti, tehnično dokumentacijo in vse druge ustrezne informacije, ki se nanašajo na skladnost proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev ali položaja kibernetske varnosti z zadevno shemo. Kopija izjave EU o skladnosti se nemudoma predloži nacionalnemu certifikacijskemu organu za kibernetsko varnost in agenciji ENISA.

Člen 84
Dodatne informacije o kibernetski varnosti za certificirane proizvode IKT, storitve IKT in postopke IKT

1.Proizvajalec ali ponudnik proizvodov IKT, storitev IKT ali postopkov IKT, za katere je bila izdana izjava EU o skladnosti ali evropski certifikat kibernetske varnosti, uporabniku da na voljo naslednje dodatne informacije o kibernetski varnosti:

(a)predvideni namen zadevnega proizvoda IKT, storitve IKT ali postopka IKT, vključno z varnostnim okoljem, ki ga zagotavlja proizvajalec ali ponudnik;

(b)navodila in priporočila za pomoč uporabnikom pri varni konfiguraciji, namestitvi, uvajanju, delovanju in vzdrževanju proizvodov IKT ali storitev IKT;

(c)vrsto tehnične varnostne podpore, ki jo ponuja proizvajalec ali ponudnik, in končni datum obdobja podpore, v katerem lahko uporabniki pričakujejo odpravo ranljivosti in prejemanje varnostnih posodobitev;

(d)če se proizvajalec ali ponudnik odloči, da bo uporabniku dal na voljo kosovnico za programsko opremo, informacije o tem, kje je mogoče dobiti dostop do te kosovnice.

2.Proizvajalec ali ponudnik proizvodov IKT, storitev IKT ali postopkov IKT, za katere je bila izdana izjava EU o skladnosti ali evropski certifikat kibernetske varnosti, javno objavi naslednje dodatne informacije o kibernetski varnosti:

(a)enotno kontaktno točko, kjer je mogoče sporočiti in prejeti informacije o ranljivostih in kjer je mogoče najti politiko proizvajalca o usklajenem razkrivanju ranljivosti;

(b)informacije o odpravljenih ranljivostih, vključno z opisom ranljivosti, informacijami, ki uporabnikom omogočajo opredeliti prizadeti izdelek z digitalnimi elementi, učinki ranljivosti, njihovo resnostjo ter jasnimi in dostopnimi informacijami, ki uporabnikom omogočajo odpravo ranljivosti; v ustrezno utemeljenih primerih, kadar proizvajalci menijo, da varnostna tveganja razkritja prevladajo nad varnostnimi koristmi, lahko odložijo razkritje informacij o odpravljeni ranljivosti, dokler uporabniki ne dobijo možnosti, da uporabijo ustrezni popravek.

3.Informacije iz odstavkov 1 in 2 so na voljo v elektronski obliki ter ostanejo na voljo in se po potrebi posodabljajo med veljavnostjo in najmanj pet let po poteku ali umiku zadevnega evropskega certifikata kibernetske varnosti ali izjave EU o skladnosti.

4.Obveznosti iz odstavkov 1 in 2 se ne uporabljajo, kadar bi bila zaradi javne objave informacij lahko ogrožena varnost zadevnega proizvoda IKT, storitve IKT ali postopka IKT.

POGLAVJE III
Upravljanje evropskega certifikacijskega okvira za kibernetsko varnost

Oddelek 1
Splošna pravila in upravljanje evropskih certifikacijskih shem za kibernetsko varnost

Člen 85
Izdaja evropskih certifikatov kibernetske varnosti

1.Za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, ki so bili certificirani v okviru evropske certifikacijske sheme za kibernetsko varnost, se domneva, da izpolnjujejo zahteve take sheme.

2.Organi za ugotavljanje skladnosti iz člena 91 izdajo evropske certifikate kibernetske varnosti na podlagi meril, vključenih v evropsko certifikacijsko shemo za kibernetsko varnost, sprejeto na podlagi člena 74.

3.Z odstopanjem od odstavka 2 lahko evropska certifikacijska shema za kibernetsko varnost določa, da evropske certifikate kibernetske varnosti, ki izhajajo iz navedene sheme, izdaja le eden od naslednjih javnih organov:

(a)nacionalni certifikacijski organ za kibernetsko varnost iz člena 88, ki je akreditiran kot organ za ugotavljanje skladnosti na podlagi člena 91(1);

(b)javni organ, ki je akreditiran kot organ za ugotavljanje skladnosti na podlagi člena 91(1).

4.Kadar evropska certifikacijska shema za kibernetsko varnost, sprejeta na podlagi člena 74, določa „visoko“ raven zanesljivosti ali kadar taka shema določa drugače, evropski certifikat kibernetske varnosti v okviru navedene sheme izda le nacionalni certifikacijski organ za kibernetsko varnost iz člena 88, ki je akreditiran kot organ za ugotavljanje skladnosti na podlagi člena 91(1), ali kot sledi:

(a)organ za ugotavljanje skladnosti na podlagi modela predhodne odobritve ali

(b)organ za ugotavljanje skladnosti na podlagi modela splošnega prenosa.

5.Komisija je pooblaščena za sprejemanje izvedbenih aktov, ki določajo postopke za predhodno odobritev ali modele splošnega prenosa iz odstavka 4 tega člena. Komisija se pri pripravi navedenih izvedbenih aktov posvetuje z evropsko certifikacijsko skupino za kibernetsko varnost. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

6.Fizična ali pravna oseba, ki predloži proizvode IKT, storitve IKT, postopke IKT ali upravljane varnostne storitve za certifikacijo, ali subjekt, ki zaprosi za certifikacijo svojega položaja kibernetske varnosti, nacionalnemu certifikacijskemu organu za kibernetsko varnost, imenovanemu na podlagi člena 89, kadar je to organ, ki je izdal evropski certifikat kibernetske varnosti, ali organu za ugotavljanje skladnosti iz člena 91 da na voljo vse potrebne informacije za izvedbo certifikacije.

7.Organi za ugotavljanje skladnosti in, kadar je ustrezno, nacionalni certifikacijski organi za kibernetsko varnost brez nepotrebnega odlašanja obvestijo agencijo ENISA o svojih odločitvah, ki vplivajo na status evropskih certifikatov kibernetske varnosti in izjav EU o skladnosti v skladu s členom 94.

8.Imetnik evropskega certifikata kibernetske varnosti obvesti organ za ugotavljanje skladnosti in, kadar je ustrezno, nacionalni certifikacijski organ za kibernetsko varnost iz odstavka 7 o vseh naknadno odkritih ranljivostih ali neskladnostih v zvezi s certificiranim proizvodom IKT, storitvijo IKT, postopkom IKT, upravljano varnostno storitvijo ali položajem kibernetske varnosti v subjektih, ki bi lahko vplivale na skladnost s certifikatom. Navedeni organ te informacije brez nepotrebnega odlašanja posreduje zadevnemu nacionalnemu certifikacijskemu organu za kibernetsko varnost in oceni učinek na certifikat v skladu s pogoji sheme iz člena 81(2), točka (d).

9.Imetniki evropskega certifikata kibernetske varnosti za svoje certificirane proizvode IKT, storitve IKT, postopke IKT ali upravljane varnostne storitve, ki so v celoti ali delno opredeljeni kot ključna sredstva na podlagi člena 102, ne uporabljajo, nameščajo ali kako drugače vključujejo komponent IKT dobaviteljev z visokim tveganjem ali komponent, ki vključujejo komponente IKT dobaviteljev z visokim tveganjem, v certificiranih proizvodih IKT, storitvah IKT, postopkih IKT ali upravljanih varnostnih storitvah.

10.Evropski certifikat kibernetske varnosti se izda za obdobje, določeno v evropski certifikacijski shemi za kibernetsko varnost, in se lahko podaljša, če so zadevne zahteve še vedno izpolnjene.

11.Komisija sodeluje z državami članicami, da bi zagotovila uporabo določb v zvezi z izdajo evropskih certifikatov kibernetske varnosti tudi glede na uporabo člena 100(4), točka (b). Organ za ugotavljanje skladnosti in, kadar je ustrezno, nacionalni certifikacijski organ za kibernetsko varnost Komisiji na zahtevo in brez nepotrebnega odlašanja predložita vse informacije v zvezi z izdajo zadevnih evropskih certifikatov kibernetske varnosti ali izjav EU o skladnosti.

Člen 86
Nacionalne certifikacijske sheme za kibernetsko varnost in nacionalni certifikati kibernetske varnosti

1.Nacionalne certifikacijske sheme za kibernetsko varnost ter z njimi povezani postopki za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih, ki so predmet urejanja in zajeti v področju uporabe evropske certifikacijske sheme za kibernetsko varnost, prenehajo učinkovati z datumom, določenim v izvedbenem aktu, sprejetem na podlagi člena 74(9). Nacionalne certifikacijske sheme za kibernetsko varnost ter z njimi povezani postopki za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih, ki niso predmet urejanja in zajeti v področju uporabe evropske certifikacijske sheme za kibernetsko varnost, lahko še naprej obstajajo.

2.Države članice ne uvajajo novih nacionalnih certifikacijskih shem za kibernetsko varnost ali z njimi povezanih postopkov za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih, ki so že predmet urejanja in zajeti v področju uporabe evropske certifikacijske sheme za kibernetsko varnost.

3.Obstoječi certifikati, ki so bili izdani na podlagi nacionalnih certifikacijskih shem za kibernetsko varnost in so predmet urejanja ter zajeti področju uporabe evropske certifikacijske sheme za kibernetsko varnost, ostanejo veljavni do datuma izteka veljavnosti.

4.Države članice pred sprejetjem novih nacionalnih certifikacijskih shem za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih o tem uradno obvestijo Komisijo in evropsko certifikacijsko skupino za kibernetsko varnost.

5.Komisija lahko državi članici predlaga, naj umakne nacionalno certifikacijsko shemo za kibernetsko varnost za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali položaj kibernetske varnosti v subjektih, kadar se je razvoj evropske certifikacijske sheme za kibernetsko varnost, ki zajema take proizvode, storitve, postopke ali položaj kibernetske varnosti, že zahteval v skladu s členom 73, ob upoštevanju razvojnega načrta take sheme.

Člen 87
Mednarodno priznavanje evropskih certifikatov kibernetske varnosti

1.Certifikati tretjih držav za proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve in položaj kibernetske varnosti v subjektih se lahko z izvedbenim aktom ali s sklenitvijo sporazuma med Unijo in zadevno tretjo državo ali mednarodno organizacijo priznajo kot enakovredni evropskim certifikatom kibernetske varnosti, če se zahteve zadevne sheme tretje države ali sheme mednarodne organizacije štejejo za enakovredne zahtevam evropskih certifikacijskih shem za kibernetsko varnost. Komisija je pooblaščena za sprejemanje takih izvedbenih aktov. Izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

2.Izvedbeni akti in sporazumi iz odstavka 1 temeljijo na pogojih za mednarodno priznavanje evropskih certifikatov kibernetske varnosti, določenih v skladu s členom 74(11).

3.Sporazumi o priznavanju certifikatov tretjih držav ali certifikatov mednarodnih organizacij iz odstavka 1 se sklenejo le, če tudi evropske certifikate kibernetske varnosti priznavajo kot enakovredne certifikatom tretjih držav.

Člen 88
Nacionalni certifikacijski organi za kibernetsko varnost

1.Vsaka država članica na svojem ozemlju imenuje enega ali več nacionalnih certifikacijskih organov za kibernetsko varnost ali v dogovoru z drugo državo članico enega ali več nacionalnih certifikacijskih organov za kibernetsko varnost v tej drugi državi članici, ki so odgovorni za nadzorne naloge v državi članici, ki organe imenuje.

2.Vsaka država članica obvesti Komisijo o identiteti imenovanih nacionalnih certifikacijskih organov za kibernetsko varnost. Kadar država članica imenuje več kot en organ, pa Komisijo obvesti tudi o nalogah, ki so dodeljene vsakemu posameznemu organu.

3.Vsak nacionalni certifikacijski organ za kibernetsko varnost je neodvisen od subjektov, ki jih nadzoruje, kar zadeva njegovo organizacijo, odločitve o financiranju, pravno strukturo in odločanje.

4.Dejavnosti nacionalnih certifikacijskih organov za kibernetsko varnost, ki se nanašajo na izdajo evropskih certifikatov kibernetske varnosti na podlagi te uredbe, so strogo ločene od njihovih nadzornih dejavnosti iz tega člena in člena 85(4), točki (a) in (b), ter se izvajajo neodvisno druga od druge.

5.Države članice zagotovijo, da imajo nacionalni certifikacijski organi za kibernetsko varnost ustrezne vire za izvajanje svojih pooblastil ter učinkovito in uspešno izvajanje svojih nalog.

6.Nacionalni certifikacijski organi za kibernetsko varnost imajo naslednje naloge:

(a)sodelujejo v evropski certifikacijski skupini za kibernetsko varnost na podlagi člena 90(2);

(b)nadzorujejo in izvršujejo pravila, vključena v evropske certifikacijske sheme za kibernetsko varnost na podlagi člena 81(2), točka (a), da zagotovijo skladnost proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in položaja kibernetske varnosti v subjektih z zahtevami evropskih certifikatov kibernetske varnosti, ki so bili izdani na njihovem ozemlju, v sodelovanju z zadevnimi organi za nadzor trga ali nadzornimi organi, vključno s pristojnimi organi na podlagi Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta 82 ali Uredbe (EU) 2024/2847;

(c)v sodelovanju z zadevnimi organi za nadzor trga spremljajo izpolnjevanje in zagotavljajo izvrševanje obveznosti iz te uredbe proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjektov, katerih položaj kibernetske varnosti je certificiran, ki imajo sedež na njihovem ozemlju in samoocenjujejo skladnost v ustrezni evropski certifikacijski shemi za kibernetsko varnost;

(d)brez poseganja v člen 91(3) nacionalnim akreditacijskim organom ali drugim zadevnim organom dejavno pomagajo in jih podpirajo pri spremljanju in nadziranju dejavnosti organov za ugotavljanje skladnosti za namene te uredbe;

(e)sodelujejo s Komisijo, kadar se izpodbija pristojnost organa za ugotavljanje skladnosti v skladu s členom 94;

(f)spremljajo in nadzirajo dejavnosti javnih organov iz člena 85(3);

(g)kadar je ustrezno, pooblastijo organe za ugotavljanje skladnosti v skladu s členom 93, spremljajo skladnost z dodatnimi ali posebnimi zahtevami iz evropskih certifikacijskih shem za kibernetsko varnost na podlagi člena 81(3), točka (f), in zagotavljajo njihovo izvrševanje ter omejijo, začasno prekličejo ali odvzamejo obstoječe pooblastilo, kadar organi za ugotavljanje skladnosti ne izpolnjujejo zahtev iz te uredbe;

(h)obravnavajo pritožbe fizičnih ali pravnih oseb glede evropskih certifikatov kibernetske varnosti, ki jih izdajo nacionalni certifikacijski organi za kibernetsko varnost, ali glede evropskih certifikatov kibernetske varnosti, ki jih izdajo organi za ugotavljanje skladnosti v skladu s členom 85(4), ali glede izjav EU o skladnosti, izdanih na podlagi člena 83, v ustreznem obsegu preučijo vsebino takih pritožb ter pritožnika v razumnem roku obvestijo o napredku in izidih preiskave;

(i)Komisiji, agenciji ENISA in evropski certifikacijski skupini za kibernetsko varnost vsako leto do 31. marca [leto začetka veljavnosti +12 mesecev] predložijo letno poročilo o svojih glavnih dejavnostih ter ta poročila dajo na voljo skupini za medsebojne strokovne preglede, kadar je nacionalni certifikacijski organ za kibernetsko varnost predmet medsebojnega strokovnega pregleda v skladu s členom 89;

(j)sodelujejo z drugimi nacionalnimi certifikacijskimi organi za kibernetsko varnost, organi za nadzor trga ali drugimi javnimi organi, vključno z izmenjavo informacij o morebitni neskladnosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in položaja kibernetske varnosti v subjektih z zahtevami iz te uredbe ali z zahtevami posameznih evropskih certifikacijskih shem za kibernetsko varnost,

(k)spremljajo zadevni razvoj na področju certificiranja kibernetske varnosti.

7.Vsak nacionalni certifikacijski organ za kibernetsko varnost ima vsaj naslednja pooblastila:

(a)od organov za ugotavljanje skladnosti, imetnikov evropskih certifikatov kibernetske varnosti in izdajateljev izjav EU o skladnosti lahko zahteva vse informacije, ki jih potrebuje za opravljanje svojih nalog;

(b)v obliki revizij izvaja preiskave organov za ugotavljanje skladnosti, imetnikov evropskih certifikatov kibernetske varnosti in izdajateljev izjav EU o skladnosti, da preveri njihovo skladnost z zahtevami iz tega naslova;

(c)v skladu z nacionalnim pravom sprejme ustrezne ukrepe, da zagotovi, da organi za ugotavljanje skladnosti, imetniki evropskih certifikatov kibernetske varnosti certifikata in izdajatelji izjav EU o skladnosti izpolnjujejo zahteve iz te uredbe ali evropske certifikacijske sheme za kibernetsko varnost;

(d)pridobi dostop do prostorov organov za ugotavljanje skladnosti ali imetnikov evropskih certifikatov kibernetske varnosti, da izvede preiskave v skladu z zakonodajo Unije ali nacionalnim postopkovnim pravom;

(e)v skladu z nacionalnim pravom umakne evropske certifikate kibernetske varnosti, ki jih izdajo nacionalni certifikacijski organi za kibernetsko varnost ali organi za ugotavljanje skladnosti v skladu s členom 85(4), kadar taki certifikati niso skladni s to uredbo ali z evropsko certifikacijsko shemo za kibernetsko varnost;

(f)v skladu z nacionalnim pravom izreče kazni, kot je določeno v členu 97, in zahteva takojšnje prenehanje kršitev obveznosti iz te uredbe.

8.Nacionalni certifikacijski organi za kibernetsko varnost sodelujejo med seboj in s Komisijo, zlasti z izmenjavo informacij, izkušenj in dobrih praks glede certificiranja kibernetske varnosti in tehničnih vprašanj, ki zadevajo kibernetsko varnost proizvodov IKT, storitev IKT, postopkov IKT in upravljanih varnostnih storitev ter položaj kibernetske varnosti v subjektih.

9.Agencija ENISA do [začetek veljavnosti + 6 mesecev] v sodelovanju s Komisijo in evropsko certifikacijsko skupino za kibernetsko varnost pripravi predlogo za poročilo iz odstavka 6, točka (i), tega člena.

Člen 89
Medsebojni strokovni pregled

1.Nacionalni certifikacijski organi za kibernetsko varnost so predmet medsebojnega strokovnega pregleda.

2.Medsebojni strokovni pregled se izvede na podlagi zanesljivih in preglednih meril in postopkov vrednotenja, zlasti v zvezi z zahtevami glede strukture, človeških virov in postopkov, zaupnosti ter pritožb.

3.Z medsebojnim strokovnim pregledom se ocenjuje:

(a)kadar je ustrezno, ali so dejavnosti nacionalnih certifikacijskih organov za kibernetsko varnost, ki se nanašajo na izdajanje evropskih certifikatov kibernetske varnosti iz te uredbe, strogo ločene od njihovih nadzornih dejavnosti iz člena 88 ter ali se te dejavnosti izvajajo neodvisno druga od druge;

(b)postopke za nadziranje in uveljavljanje pravil za spremljanje skladnosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in položaja kibernetske varnosti v subjektih z evropskimi certifikati kibernetske varnosti na podlagi člena 88(7), točka (a);

(c)postopke za spremljanje in izvrševanje obveznosti proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev ali subjektov, katerih položaj kibernetske varnosti je certificiran, na podlagi člena 88(7), točka (b);

(d)postopke za spremljanje, odobritev in nadziranje dejavnosti organov za ugotavljanje skladnosti.

4.Medsebojni strokovni pregled vsaj enkrat vsakih pet let izvedeta najmanj dva nacionalna certifikacijska organa za kibernetsko varnost drugih držav članic in Komisija. Pri medsebojnem strokovnem pregledu kot opazovalka sodeluje tudi agencija ENISA. Skupina za medsebojni strokovni pregled pripravi končno poročilo in povzetek medsebojnega strokovnega pregleda.

5.Agencija ENISA v sodelovanju s Komisijo in evropsko certifikacijsko skupino za kibernetsko varnost podpira organizacijo medsebojnih strokovnih pregledov in mehanizma zanje, vključno s pripravo ustreznih smernic in predlog.

6.Komisija je pooblaščena za sprejemanje izvedbenih aktov za določitev načrta medsebojnih strokovnih pregledov, ki zajema vsaj petletno obdobje, ter določanje meril v zvezi s sestavo skupine za medsebojni strokovni pregled, zanj uporabljene metodologije, rokov, pogostosti in drugih nalog, povezanih z njim. Komisija se pri pripravi navedenih izvedbenih aktov posvetuje z evropsko certifikacijsko skupino za kibernetsko varnost in agencijo ENISA. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

7.Evropska certifikacijska skupina za kibernetsko varnost pregleda končno poročilo, vključno z morebitnimi smernicami ali priporočili, in povzetek medsebojnega strokovnega pregleda ter povzetek potrdi za objavo na spletnem mestu iz člena 79(2).

Člen 90
Evropska certifikacijska skupina za kibernetsko varnost

1.Ustanovi se evropska certifikacijska skupina za kibernetsko varnost.

2.Evropsko certifikacijsko skupino za kibernetsko varnost sestavljajo predstavniki nacionalnih certifikacijskih organov za kibernetsko varnost ali predstavniki drugih zadevnih nacionalnih organov. Član skupine ne sme zastopati več kot dveh držav članic.

3.Evropska certifikacijska skupina za kibernetsko varnost opravlja naslednje naloge:

(a)svetuje in pomaga Komisiji pri njenem delu za zagotovitev doslednega izvajanja in uporabe pravil iz tega naslova ter glede vprašanj politike certificiranja kibernetske varnosti in usklajevanja pristopov politike;

(b)svetuje in pomaga Komisiji pri pripravi zahtevkov za evropske certifikacijske sheme za kibernetsko varnost na podlagi člena 73;

(c)podpira in svetuje agenciji ENISA ter z njo sodeluje pri pripravi predloge za shemo na podlagi člena 74 in tehničnih specifikaciji na podlagi člena 77;

(d)podpira in svetuje agenciji ENISA in Komisiji ter z njima sodeluje pri dejavnostih vzdrževanja na podlagi člena 75;

(e)podpira in svetuje Komisiji ter z njo sodeluje pri pregledu ali umiku obstoječih evropskih certifikacijskih shem za kibernetsko varnost na podlagi člena 76;

(f)predlaga, da se Komisiji predloži zahteva v zvezi s pripravo predloge za evropsko certifikacijsko shemo za kibernetsko varnost v skladu s členom 73(2);

(g)sprejme mnenja, naslovljena na Komisijo, glede vzdrževanja, pregledovanja in umika obstoječih evropskih certifikacijskih shem za kibernetsko varnost;

(h)preuči zadevni razvoj na področju certificiranja kibernetske varnosti, tudi na nacionalni ravni na podlagi člena 86, ter izmenjuje informacije in primere dobrih praks na področju certifikacijskih shem za kibernetsko varnost;

(i)olajšuje sodelovanje med nacionalnimi certifikacijskimi organi za kibernetsko varnost v skladu s pravili iz tega naslova s krepitvijo zmogljivosti in izmenjavo informacij, zlasti v zvezi z vprašanji glede certificiranja kibernetske varnosti;

(j)podpira izvajanje mehanizma medsebojnega strokovnega pregledovanja na podlagi člena 89 in mehanizmov medsebojnega strokovnega ocenjevanja v skladu s pravili, določenimi v evropski certifikacijski shemi za kibernetsko varnost na podlagi člena 81(2), točka (g);

(k)pospešuje usklajevanje evropskih certifikacijskih shem za kibernetsko varnost z mednarodno priznanimi standardi, tudi kot del vzdrževanja obstoječih evropskih certifikacijskih shem za kibernetsko varnost, in po potrebi daje priporočila agenciji ENISA v zvezi s sodelovanjem z zadevnimi evropskimi ali mednarodnimi organizacijami za standardizacijo, da bi odpravili pomanjkljivosti ali vrzeli v razpoložljivih evropskih ali mednarodno priznanih standardih;

4.Komisija ob pomoči agencije ENISA predseduje evropski certifikacijski skupini za kibernetsko varnost in ji zagotovi sekretariat.

5.Komisija lahko ustanovi podskupine evropske certifikacijske skupine za kibernetsko varnost s katerim koli od naslednjih namenov:

(a)preučitev določenih vprašanj na podlagi mandata, ki ga določi Komisija;

(b)vzdrževanje in pregledovanje evropskih certifikacijskih shem v skladu s to uredbo in na podlagi mandata, ki ga določi Komisija.

6.Podskupine poročajo evropski certifikacijski skupini za kibernetsko varnost.

7.Podskupinam sopredsedujeta Komisija in agencija ENISA, sekretariat podskupin pa zagotovi agencija ENISA.

8.Evropska certifikacijska skupina za kibernetsko varnost in njene podskupine sprejmejo poslovnik z navadno večino svojih članov na podlagi predloga Komisije in v dogovoru z njo.

Oddelek 2
Organi za ugotavljanje skladnosti

Člen 91
Pristojnost organov za ugotavljanje skladnosti

1.Organe za ugotavljanje skladnosti akreditirajo nacionalni akreditacijski organi, imenovani na podlagi Uredbe (ES) št. 765/2008. Taka akreditacija se izda samo, kadar organ za ugotavljanje skladnosti izpolnjuje zahteve iz Priloge I k tej uredbi.

2.Kadar evropski certifikat kibernetske varnosti izda nacionalni certifikacijski organ za kibernetsko varnost na podlagi te uredbe, se certifikacijski organ nacionalnega certifikacijskega organa za kibernetsko varnost akreditira kot organ za ugotavljanje skladnosti na podlagi odstavka 1.

3.Akreditacija iz odstavka 1 se izda organom za ugotavljanje skladnosti za največ pet let in se lahko obnovi, če organ za ugotavljanje skladnosti izpolnjuje zahteve iz tega člena. Nacionalni akreditacijski organi sprejmejo vse ustrezne ukrepe, da v razumnem roku omejijo, začasno prekličejo ali razveljavijo akreditacijo organa za ugotavljanje skladnosti, izdano na podlagi odstavka 1, kadar pogoji za akreditacijo niso bili izpolnjeni ali niso več izpolnjeni ali kadar organ za ugotavljanje skladnosti ne izpolnjuje zahtev iz te uredbe.

4.Pri določanju dodatnih ali posebnih zahtev za akreditacijo za evropsko certifikacijsko shemo za kibernetsko varnost, ki zajema proizvode IKT, na podlagi člena 92 se po potrebi skušajo doseči sinergije z zahtevami v zvezi s priglašenimi organi na v okviru Uredbe (EU) 2024/2847 in zahtevami za akreditacijo v okviru že sprejetih certifikacijskih shem za kibernetsko varnost.

5.Kadar je organ za ugotavljanje skladnosti akreditiran v skladu z Uredbo (EU) 2024/2847, lahko zadevni organi med akreditacijskim postopkom na podlagi te uredbe rezultate iz prejšnjega akreditacijskega postopka ponovno uporabijo kot dokaz v zvezi z morebitnimi prekrivajočimi se zahtevami.

Člen 92
Dodatna uskladitev pristojnosti organov za ugotavljanje skladnosti

1.Kadar evropska certifikacijska shema za kibernetsko varnost določa dodatne ali posebne zahteve na podlagi člena 81(3), točka (f), nacionalni certifikacijski organ za kibernetsko varnost, imenovan na podlagi člena 88(1), pooblasti organe za ugotavljanje skladnosti za izvajanje nalog v okviru take sheme. Tako pooblastilo se izda le, če je bil organ za ugotavljanje skladnosti akreditiran in izpolnjuje dodatne ali posebne zahteve iz evropske certifikacijske sheme za kibernetsko varnost.

2.Kadar organ za ugotavljanje skladnosti zaprosi za pooblastilo na podlagi tega člena, zahtevo predloži nacionalnemu certifikacijskemu organu za kibernetsko varnost države članice, v kateri ima sedež, ali nacionalnemu certifikacijskemu organu za kibernetsko varnost, ki ga ta država članica uporablja v skladu s členom 88(1).

3.Organ za ugotavljanje skladnosti lahko zaprosi za pooblastilo nacionalni certifikacijski organi za kibernetsko varnost, ki ni naveden v odstavku 2, v katerem koli od naslednjih primerov:

(a)kadar nacionalni certifikacijski organ za kibernetsko varnost iz odstavka 1 ne izda pooblastila v zvezi z dejavnostmi ugotavljanja skladnosti, za katere se pooblastilo zahteva;

(b)kadar nacionalni certifikacijski organ za kibernetsko varnost iz odstavka 1 ni bil medsebojno strokovno pregledan v skladu s členom 89 v zvezi z dejavnostmi ugotavljanja skladnosti, za katere se pooblastilo zahteva.

4.Kadar nacionalni certifikacijski organ za kibernetsko varnost prejme zahtevo na podlagi odstavka 3, o tem obvesti nacionalni certifikacijski organ za kibernetsko varnost države članice, v kateri ima sedež organ za ugotavljanje skladnosti, ki je vložil zahtevo. V takih primerih lahko nacionalni certifikacijski organ za kibernetsko varnost navedene države članice sodeluje pri pooblastitvi kot opazovalec.

5.Nacionalni certifikacijski organ za kibernetsko varnost lahko od drugega nacionalnega certifikacijskega organa za kibernetsko varnost zahteva, da izvede dele ocenjevanja. V tem primeru certifikat o pooblastilu izda organ prosilec.

6.Pooblastilo iz odstavka 1 velja za obdobje, ki ni daljše od obdobja veljavnosti akreditacije, in se lahko obnovi, če organ za ugotavljanje skladnosti izpolnjuje zahteve iz odstavka 1 in je bila obnovljena tudi njegova akreditacija.

7.Nacionalni certifikacijski organi za kibernetsko varnost v razumnem roku sprejmejo vse ustrezne ukrepe, da omejijo, začasno prekličejo ali razveljavijo pooblastilo organa za ugotavljanje skladnosti, izdano na podlagi odstavka 1, kadar pogoji za avtorizacijo niso bili izpolnjeni ali niso več izpolnjeni ali kadar organ za ugotavljanje skladnosti ne izpolnjuje zahtev iz te uredbe.

8.Komisija je pooblaščena za sprejemanje izvedbenih aktov za določitev postopkov, tudi glede čezmejnega sodelovanja, za pooblastitev organov za ugotavljanje skladnosti. Komisija se pri pripravi izvedbenih aktov posvetuje z agencijo ENISA in evropsko certifikacijsko skupino za kibernetsko varnost. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

Člen 93
Priglasitev organov za ugotavljanje skladnosti

1.Nacionalni certifikacijski organi za kibernetsko varnost države članice za vsako evropsko certifikacijsko shemo za kibernetsko varnost Komisiji in drugim državam članicam priglasijo organe za ugotavljanje skladnosti, ki so bili akreditirani in po potrebi pooblaščeni na podlagi člena 92.

2.Nacionalni certifikacijski organi za kibernetsko varnost priglasitev iz odstavka 1 izvedejo z uporabo elektronskega orodja za priglasitev, ki ga je razvila in s katerim upravlja Komisija.

3.Komisija je pooblaščena za sprejemanje izvedbenih aktov za določitev okoliščin, oblik in postopkov za priglasitve iz odstavka 1 tega člena, vključno s postopkom ugovora drugih držav članic med priglasitvenim postopkom, edinstveno identifikacijo organov za ugotavljanje skladnosti ter okoliščinami za omejitev, začasni preklic ali umik priglasitve. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

Člen 94
Izpodbijanje pristojnosti organov za ugotavljanje skladnosti

1.Komisija razišče vse primere, v katerih dvomi oziroma je bila opozorjena na dvom v pristojnost organa za ugotavljanje skladnosti, da izpolnjuje ali še naprej izpolnjuje zahteve in obveznosti, ki veljajo zanj.

2.Nacionalni certifikacijski organ za kibernetsko varnost Komisiji na zahtevo predloži vse informacije v zvezi s podlago za priglasitev ali ohranjanje pristojnosti zadevnega organa za ugotavljanje skladnosti.

3.Komisija zagotovi, da se vse občutljive informacije, pridobljene v okviru njenih preiskav, obravnavajo zaupno.

4.Kadar Komisija ugotovi, da organ za ugotavljanje skladnosti ne izpolnjuje ali ne izpolnjuje več zahtev za priglasitev, o tem obvesti nacionalni certifikacijski organ za kibernetsko varnost in od njega zahteva, naj sprejme potrebne popravne ukrepe, vključno z umikom priglasitve, če je to potrebno.

5.Države članice zagotovijo, da je na voljo pritožbeni postopek zoper odločitve priglašenih organov.

Člen 95
Obveznost organov za ugotavljanje skladnosti glede obveščanja in hrambe

1.Organi za ugotavljanje skladnosti obvestijo nacionalni certifikacijski organ za kibernetsko varnost o:

(a)kakršni koli zavrnitvi, omejitvi, začasnem preklicu ali umiku certifikata;

(b)kakršnih koli okoliščinah, ki vplivajo na obseg priglasitve iz člena 93(1) in pogoje zanjo;

(c)kakršnih koli zahtevah po informacijah v zvezi z dejavnostmi ugotavljanja skladnosti, ki so jih prejeli od organov za nadzor trga;

(d)na zahtevo o dejavnostih ugotavljanja skladnosti, izvedenih v okviru njihove priglasitve, in o katerih koli drugih izvedenih dejavnostih, vključno s čezmejnimi dejavnostmi in sklepanjem pogodb s podizvajalci.

2.Organi za ugotavljanje skladnosti informacije iz odstavka 1, točka (a), zagotovijo tudi agenciji ENISA, da bi olajšali izvajanje njene naloge iz člena 79.

3.Organi za ugotavljanje skladnosti drugim organom za ugotavljanje skladnosti na podlagi te uredbe, ki izvajajo podobne dejavnosti ugotavljanja skladnosti, ki zajemajo iste proizvode IKT, storitve IKT, postopke IKT, upravljane varnostne storitve ali subjekte, katerih položaj kibernetske varnosti je certificiran, brez nepotrebnega odlašanja zagotovijo zadevne informacije o vprašanjih v zvezi z negativnimi in na zahtevo pozitivnimi rezultati ugotavljanja skladnosti.

4.Organi za ugotavljanje skladnosti vzdržujejo evidenčni sistem, ki vsebuje vse dokumente in dokazila, predložene ali prejete v zvezi z vsakim ocenjevanjem in certificiranjem, ki ga izvajajo. Evidenca se hrani na varen in dostopen način tako dolgo, kot je potrebno za namene certificiranja, in vsaj pet let po izteku veljavnosti ali umiku zadevnega evropskega certifikata kibernetske varnosti.

Oddelek 3
Druge določbe

Člen 96
Pravica do vložitve pritožbe in pravica do učinkovitega pravnega sredstva

1.Fizične in pravne osebe imajo pravico, da vložijo pritožbo pri izdajatelju evropskega certifikata kibernetske varnosti ali, kadar se pritožba nanaša na evropski certifikat kibernetske varnosti, ki ga je izdal organ za ugotavljanje skladnosti v skladu s členom 85(4), pri zadevnem nacionalnem certifikacijskem organu za kibernetsko varnost.

2.Organ, pri katerem je bila vložena pritožba, obvesti pritožnika o napredku postopka in sprejeti odločitvi ter pravici do učinkovitega pravnega sredstva iz odstavkov 3 in 4.

3.Ne glede na morebitna upravna ali druga izvensodna pravna sredstva imajo fizične in pravne osebe pravico do učinkovitega pravnega sredstva v zvezi z:

(a)odločitvami, ki jih sprejme organ iz odstavka 1, kadar je ustrezno tudi v zvezi z nepravilno izdajo, opustitvijo izdaje ali priznanjem evropskega certifikata kibernetske varnosti, ki ga imajo v lasti zadevne fizične ali pravne osebe;

(b)opustitvijo ukrepanja glede pritožbe, vložene pri organu iz odstavka 1.

4.Za postopke v skladu s tem členom so pristojna sodišča države članice, v kateri ima sedež organ, zoper katerega je bilo pravno sredstvo vloženo.

Člen 97
Kazni

Države članice določijo pravila o kaznih, ki se uporabljajo v primeru kršitev določb tega naslova in kršitev evropskih certifikacijskih shem za kibernetsko varnost, ter sprejmejo vse potrebne ukrepe za zagotovitev, da se te kazni izvajajo. Te kazni morajo biti učinkovite, sorazmerne in odvračilne. Države članice Komisiji nemudoma priglasijo navedena pravila in ukrepe ter morebitne poznejše spremembe, ki vplivajo nanje.

NASLOV IV
VARNOST DOBAVNIH VERIG IKT

POGLAVJE I
Zaupanja vreden okvir za dobavne verige IKT

Člen 98
Področje uporabe okvira

1.Zaupanja vreden okvir za dobavne verige IKT zagotavlja varnostni mehanizem na ravni Unije za obravnavanje netehničnih tveganj v visoko kritičnih sektorjih in drugih kritičnih sektorjih iz Direktive (EU) 2022/2555. Mehanizem opredeljuje ključna sredstva IKT v kritičnih dobavnih verigah IKT ter določa ustrezne in sorazmerne blažilne ukrepe za vrste subjektov iz prilog I in II k Direktivi (EU) 2022/2555.

2.Obveznosti iz tega naslova ne posegajo v obveznosti iz člena 13 Uredbe (EU) 2024/2847 in nacionalnih določb za prenos člena 21 Direktive (EU) 2022/2555.

3.Določbe iz tega poglavja ne preprečujejo državam članicam, da sprejmejo ali ohranijo določbe, ki zagotavljajo višjo raven kibernetske varnosti v dobavnih verigah IKT, pod pogojem, da so take določbe v skladu z obveznostmi držav članic po pravu Unije.

Člen 99
Ocene varnostnega tveganja

1.Komisija ali skupina vsaj treh držav članic lahko od skupine za sodelovanje, ustanovljene s členom 14 Direktive (EU) 2022/2555 (skupina za NIS), zahteva, da izvede usklajene ocene varnostnega tveganja na ravni Unije v skladu s členom 22 navedene direktive. Kadar se na podlagi take zahteve izvede ocena varnostnega tveganja, ta vključuje zlasti predlagano opredelitev ključnih sredstev IKT zadevne dobavne verige IKT ter glavnih akterjev groženj, tveganj in ranljivosti, ki vplivajo na ta sredstva. V usklajenih ocenah varnostnega tveganja na ravni Unije se pripravijo scenariji tveganja in predlagajo ukrepi za zmanjšanje ugotovljenih tveganj.

2.Usklajene ocene varnostnega tveganja na ravni Unije se zaključijo v šestih mesecih od zahteve iz odstavka 1. Skupina za NIS se lahko na zahtevo Komisije dogovori za krajši rok.

3.Kadar ima Komisija zadostne razloge za domnevo, da obstaja pomembna kibernetska grožnja za varnost Unije v zvezi z dobavno verigo IKT in da je potrebno ukrepanje za ohranitev pravilnega delovanja notranjega trga, se nemudoma:

(a)posvetuje z državami članicami o potrebi po sprejetju enega ali več blažilnih ukrepov iz člena 103 ter

(b)izvede oceno varnostnega tveganja, pri čemer upošteva posvetovanje z državami članicami. Ocena varnostnega tveganja vključuje predlagano opredelitev ključnih sredstev IKT ter glavne akterje groženj, tveganj in ranljivosti, ki vplivajo na ta sredstva. V usklajeni oceni varnostnega tveganja se pripravijo scenariji tveganja in predlagajo ukrepi za zmanjšanje ugotovljenih tveganj.

Člen 100
Določitev tretjih držav, za katere obstajajo pomisleki glede kibernetske varnosti

1.Kadar se na podlagi ocene varnostnega tveganja iz člena 99 ali drugih virov, kot je javna izjava v imenu Unije ali države članice, zdi, da tretja država predstavlja resno in strukturno netehnično tveganje za dobavne verige IKT, Komisija preveri tveganje, ki ga predstavlja ta država, pri čemer upošteva naslednje elemente:

(a)obstoj zakonov v tretji državi, ki od subjektov pod njihovo jurisdikcijo zahtevajo, da informacije o ranljivostih programske ali strojne opreme sporočijo organom te tretje države, preden je znano, da so bile te ranljivosti izkoriščene;

(b)obstoječe prakse v tretji državi, ki jih dokažejo neodvisni viri in ki od subjektov pod jurisdikcijo te tretje države zahtevajo, da informacije o ranljivostih programske ali strojne opreme sporočijo organom te tretje države, preden je znano, da so bile te ranljivosti izkoriščene;

(c)neobstoj učinkovitih pravnih sredstev ter neodvisnih in demokratičnih nadzornih mehanizmov, ki bi lahko odpravili ugotovljene varnostne pomisleke, tudi v zvezi z obstoječimi praksami iz točke (b);

(d)utemeljene informacije o enem ali več incidentih akterjev groženj, ki so nadzirani iz te države in delujejo z ozemlja te države ter izvajajo zlonamerne kibernetske dejavnosti ali kampanje, ter pomanjkanje sposobnosti ali pripravljenosti tretje države za sodelovanje s Komisijo ali državami članicami pri obravnavanju tveganja, ki izhaja iz delovanja takih akterjev groženj;

(e)zadevne informacije, ki izhajajo iz usklajenih ocen varnostnega tveganja na ravni Unije ali poročil držav članic ali mednarodnih organizacij.

2.Kadar Komisija po preverjanju iz odstavka 1 ugotovi, da tretja država predstavlja resna in strukturna netehnična tveganja za dobavne verige IKT, lahko z izvedbenim aktom to tretjo državo določi kot državo, za katero obstajajo pomisleki glede kibernetske varnosti v dobavnih verigah IKT. Navedeni izvedbeni akt se sprejme v skladu s postopkom pregleda iz člena 118(2).

3.Komisija redno pregleduje izvedbene akte, sprejete v skladu z odstavkom 2.

4.Dobavitelji z visokim tveganjem nimajo pravice:

(a)sodelovati pri razvoju, ocenjevanju, posvetovanju ali odločitvah v zvezi z evropskimi standardi in evropskimi standardizacijskimi dokumenti iz člena 10(1) Uredbe (EU) št. 1025/2012 ter skupnimi specifikacijami iz člena 27 Uredbe (EU) 2024/2847 na področju kibernetske varnosti;

(b)zaprositi za kakršen koli evropski certifikat kibernetske varnosti na podlagi naslova III ali biti njegovi imetniki;

(c)postati akreditirani organ za ugotavljanje skladnosti v skladu z naslovom III;

(d)zaprositi, da postanejo pooblaščeni ponudniki potrdil za kakršno koli evropsko potrdilo o osebnih spretnostih na področju kibernetske varnosti na podlagi naslova II, oddelek 4;

(e)sodelovati v postopkih javnega naročanja, organiziranih v skladu z zakonodajo, s katero sta bili preneseni direktivi 2014/24/EU in 2014/25/EU, v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v ključnih sredstvih IKT, kot so opredeljena v skladu s členom 102;

(f)sodelovati pri kakršnih koli dejavnostih v okviru programov in instrumentov financiranja Unije, ki se izvajajo v okviru neposrednega in posrednega upravljanja v skladu s členom 136 Uredbe (EU, Euratom) 2024/2509 in sektorskimi pravili Unije, ter pri kakršnih koli dejavnostih financiranja Unije, ki se izvajajo v okviru deljenega upravljanja, v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v ključnih sredstvih IKT, kot so opredeljena v skladu s členom 102.

Organi, pristojni za postopke iz točk (a) do (f), izvedejo potrebne ocene za namene tega odstavka. Organi se lahko v ta namen oprejo tudi na seznam iz člena 104.

5.Kadar je dobavitelj z visokim tveganjem že pridobil evropski certifikat kibernetske varnosti na podlagi naslova III, ga pristojni organ brez nepotrebnega odlašanja umakne.

Člen 101
Splošni mehanizem za varnost dobavne verige IKT

Kadar skupina za NIS izvede usklajeno oceno varnostnega tveganja na ravni Unije v skladu s členom 99(1) te uredbe ali po zaključku postopka v primeru pomembne kibernetske grožnje v skladu s členom 99(3) za dobavno verigo IKT, lahko Komisija sprejme ukrepe iz člena 102 in člena 103(1) in (2).

Člen 102
Opredelitev ključnih sredstev IKT

1.Kadar ocena tveganja, izvedena v skladu s členom 99(1) ali (3), pokaže pomembna tveganja za kibernetsko varnost v zvezi z dobavno verigo IKT, je Komisija pooblaščena za sprejemanje izvedbenih aktov, v katerih opredeli ključna sredstva IKT, ki se uporabljajo za proizvodnjo proizvodov ali opravljanje storitev s strani subjektov vrste iz prilog I in II k Direktivi (EU) 2022/2555. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2) te uredbe.

2.Pri opredelitvi ključnih sredstev IKT iz odstavka 1 Komisija upošteva naslednje elemente:

(a)ali imajo ta sredstva bistvene in občutljive funkcije za delovanje proizvodov ali storitev, ki jih proizvaja oziroma zagotavlja subjekt vrste iz prilog I in II k Direktivi (EU) 2022/2555;

(b)ali lahko incidenti, vključno s tistimi, ki jih povzročijo izkoriščene ranljivosti v zvezi s temi sredstvi, povzročijo resne motnje v dobavnih verigah IKT na notranjem trgu ali eksfiltracijo podatkov;

(c)ali obstaja odvisnost od omejenega števila dobaviteljev teh sredstev;

(d)rezultate ocen tveganja iz člena 99.

Člen 103
Blažilni ukrepi v dobavni verigi IKT

1.Komisija je pooblaščena za sprejemanje izvedbenih aktov, s katerimi določi, kadar je to potrebno za zagotovitev visoke ravni kibernetske varnosti, kibernetske odpornosti in zaupanja v Uniji, da se določeni vrsti subjektov iz prilog I in II k Direktivi (EU) 2022/2555 prepovejo kakršna koli uporaba, nameščanje ali vključevanje komponent IKT ali komponent, ki vključujejo komponente IKT, dobaviteljev z visokim tveganjem, kot so opredeljeni v skladu s členom 104, v ključnih sredstvih IKT, opredeljenih v skladu s členom 102. Taki izvedbeni akti določajo ustrezna prehodna obdobja, v katerih Komisija objavi seznam dobaviteljev z visokim tveganjem iz člena 104, ter dodatna obdobja za postopno opuščanje zadevnih komponent IKT in komponent, ki vključujejo komponente IKT. Tak izvedbeni akt lahko določa tudi zadevne komponente IKT ali komponente, ki vključujejo komponente IKT.

2.Komisija je pooblaščena za sprejemanje izvedbenih aktov, s katerimi določi, kadar je to potrebno za zagotovitev visoke ravni kibernetske varnosti, kibernetske odpornosti in zaupanja v Uniji, da se za določeno vrsto subjektov iz prilog I in II k Direktivi (EU) 2022/2555 uporablja en ali več naslednjih blažilnih ukrepov v zvezi z njihovo dobavno verigo IKT in zlasti ključnimi sredstvi IKT, opredeljenimi v skladu s členom 102, za zmanjšanje tveganj, opredeljenih v ocenah varnostnega tveganja na podlagi člena 99:

(a)uporaba zahtev glede preglednosti v zvezi z zagotavljanjem informacij pristojnemu organu o dobaviteljih v dobavni verigi IKT za ključna sredstva IKT, določena v skladu s členom 102;

(b)prepoved v zvezi s prenosi podatkov v tretje države in daljinsko obdelavo podatkov iz tretje države;

(c)tehnični ukrepi, ki jih mora revidirati tretja oseba, vključno z:

(i) uporabo obdelave na napravi;

(ii) specifično segmentacijo omrežnih sistemov;

(iii) onemogočanjem oddaljenega ali fizičnega dostopa do ključnih sredstev IKT;

(iv) onemogočanjem nebistvenih elementov;

(v) operativnim spremljanjem omrežja;

(vi) preizkušanjem strojne in programske opreme.

(d)omejitve v zvezi z operativnim nadzorom, vključno z oddajanjem organizacijskih funkcij v zunanje izvajanje ponudnikom upravljanih storitev;

(e)omejitve v zvezi s pogodbenimi razmerji subjekta z njegovimi dobavitelji;

(f)zahteva, da storitev upravlja, vodi, vzdržuje ali podpira osebje, ki ga preverijo zadevni pristojni nacionalni organi;

(g)diverzifikacija dobave komponent IKT ali komponent, vključenih v komponente IKT.

3.Pri uvedbi ukrepov iz odstavka 2 lahko Komisija določi tehnične in metodološke zahteve za ukrepe.

4.Komisija pred sprejetjem izvedbenih aktov iz odstavkov 1 in 2 oceni morebitna tveganja in odvisnosti ter zlasti:

(a)kadar je ustrezno, raven tveganja, povezanega s kakršno koli uporabo, nameščanjem ali vključevanjem komponent IKT ali komponent, ki vključujejo komponente IKT, dobaviteljev z visokim tveganjem v ključnih sredstvih IKT;

(b)morebitne gospodarske in družbene učinke, ki bi jih obveznost lahko imela na subjekte vrste iz prilog I in II k Direktivi (EU) 2022/2555;

(c)razpoložljivost dobaviteljev, ki niso dobavitelji z visokim tveganjem;

(d)morebitne motnje čezmejnih gospodarskih in družbenih dejavnosti, ki bi jih povzročil incident, ki bi vplival na dobavno verigo IKT subjekta.

5.Izvedbeni akti iz odstavkov 1 in 2 tega člena se sprejmejo v skladu s postopkom pregleda iz člena 118(2) ter pregledajo najmanj vsakih 36 mesecev.

6.Komisija se v izjemnih okoliščinah, ki upravičujejo posredovanje za ohranitev pravilnega delovanja notranjega trga, in kadar ima zadostne razloge za mnenje, da uporaba, nameščanje ali vključevanje komponent IKT ali komponent, ki vključujejo komponente IKT, določenega subjekta s sedežem v tretji državi ali pod nadzorom tretje države ali subjektov ali državljana iz tretje države pomeni znatno netehnično tveganje za kibernetsko varnost za gospodarske ali družbene dejavnosti vsaj treh držav članic, brez odlašanja posvetuje z državami članicami o potrebi po sprejetju ukrepov na ravni Unije.

7.Komisija je pooblaščena za sprejemanje izvedbenih aktov za določitev, da se določeni vrsti subjektov iz prilog I in II k Direktivi (EU) 2022/2555 prepove uporaba, nameščanje ali vključevanje komponent IKT ali komponent, ki vključujejo komponente IKT, subjekta iz odstavka 6. V ta namen se posvetuje z vrstami subjektov iz prilog I in II k Direktivi (EU) 2022/2555, ki bi jih prepoved lahko zadevala. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2). Po potrebi vključujejo ustrezna obdobja za postopno opuščanje teh komponent IKT ali komponent, ki vključujejo komponente IKT. Tak izvedbeni akt lahko tudi določa komponente IKT ali komponente, ki vključujejo komponente IKT, ki so predmet prepovedi. Ta prepoved se nanaša tudi na komponente IKT ali komponente, ki vključujejo komponente IKT, vseh subjektov, ki jih obvladuje določen subjekt iz odstavka 6.

8.V izvedbenih aktih iz odstavkov 1, 2 in 7 se lahko določi tudi, da se blažilni ukrepi uporabljajo samo za vrste subjektov iz prilog I in II k Direktivi (EU) 2022/2555 določene velikosti.

9.Člen 100(4) se uporablja za določen subjekt s sedežem v tretji državi ali pod nadzorom tretje države ali subjekta iz ali državljana iz tretje države iz odstavka 7. 

10.Izvedbeni akti, sprejeti v skladu z odstavki 1, 2 in 7, ki se uporabljajo za vrsto subjektov iz točke 10 Priloge I k Direktivi (EU) 2022/2555, se smiselno uporabljajo za evropske institucije, organe, urade in agencije.

Člen 104
Opredelitev dobaviteljev z visokim tveganjem

1.Komisija z izvedbenimi akti vzpostavi sezname dobaviteljev z visokim tveganjem, za katere veljajo prepovedi iz izvedbenih aktov, sprejetih v skladu s členom 103(1) in (7), ali prepoved iz člena 111(1).

2.V ta namen Komisija evidentira dobavitelje, ki zagotavljajo komponente IKT in komponente, ki vključujejo komponente IKT, zadevne za prepoved iz odstavka 1.

Na podlagi tega Komisija opravi začetno oceno, da ugotovi, kateri od evidentiranih dobaviteljev bi lahko imeli sedež v tretji državi, določeni v skladu s členom 100, ali bili pod nadzorom take tretje države, subjekta s sedežem v taki tretji državi ali državljana take tretje države. Komisija opravi tudi začetno evidentiranje dobaviteljev, ki bi lahko bili pod nadzorom subjekta iz člena 103(6).

3.Komisija oceni sedež ter lastniško in nadzorno strukturo dobaviteljev, ki so bili začetno opredeljeni v skladu z odstavkom 2, drugi pododstavek.

4.Komisija lahko za namene ocene iz odstavka 3 zahteva potrebne informacije od dobaviteljev. Če dobavitelj potrebnih informacij ne predloži v določenem roku, lahko Komisija sklene, da ima dobavitelj sedež v tretji državi, določeni v skladu s členom 100, ali je pod nadzorom take tretje države, subjektov iz take tretje države ali državljanov take tretje države. Kadar Komisija izvaja oceno za namene člena 103(7) in dobavitelj ne predloži potrebnih informacij v določenem roku, lahko Komisija sklene, da je dobavitelj pod nadzorom subjekta, določenega v skladu z navedenim členom. Tudi pristojni organi iz člena 112 Komisiji na zahtevo posredujejo zadevne informacije.

5.Komisija predhodne ugotovitve v zvezi z oceno sedeža, nadzora in lastništva posreduje zadevnemu dobavitelju. Komisija dobavitelju omogoči, da se izjavi o navedenih predhodnih ugotovitvah.

6.Komisija lahko od pristojnega organa zahteva, da izvede začetno oceno sedeža, lastništva in nadzora dobavitelja, kadar je to upravičeno glede na značilnosti poslovanja tega dobavitelja. Pristojni organ lahko ponudi izvedbo takšne začetne ocene. Komisija preveri te začetne ugotovitve, da bi se odločila, ali bi bilo treba dobavitelja vključiti na seznam dobaviteljev z visokim tveganjem.

7.Komisija redno posodablja seznam dobaviteljev z visokim tveganjem, da bi odstranila ali dodala dobavitelje z visokim tveganjem. Dobavitelji z visokim tveganjem, vključeni na seznam, lahko od Komisije zahtevajo, da ponovno oceni njihov sedež, nadzor in lastniško strukturo, če predložijo dokaze o zadevnih spremembah.

8.Kadar pristojni organ, tudi na podlagi informacij, ki jih zagotovi subjekt vrste iz prilog I in II k Direktivi (EU) 2022/2555, ugotovi, da bo morda treba dobavitelja vključiti na seznam dobaviteljev z visokim tveganjem, o tem brez nepotrebnega odlašanja obvesti Komisijo.

Člen 105
Izvzetje za subjekte s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti, ali pod nadzorom subjektov iz take tretje države

1.Subjekt s sedežem v tretji državi, za katero obstajajo pomisleke glede kibernetske varnosti, ali pod nadzorom subjektov iz take tretje države, določene v skladu s členom 100, lahko Komisiji predloži utemeljeno zahtevo za izvzetje:

(a)iz prepovedi za subjekte vrste iz prilog I in II k Direktivi (EU) 2022/2555, da v kakršni koli obliki uporabljajo, nameščajo ali vključujejo svoje komponente IKT ali komponente, ki vključujejo njihove komponente IKT, v ključnih sredstvih IKT teh subjektov, z odstopanjem od člena 111 ali izvedbenih aktov, sprejetih v skladu s členom 103(1);

(b)iz prepovedi sodelovanja v postopkih javnega naročanja, organiziranih v skladu z zakonodajo, s katero sta bili preneseni direktivi 2014/24/EU in 2014/25/EU, v zvezi z zagotavljanjem komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo v ključnih sredstvih IKT, kot so opredeljena v skladu s členom 102, z odstopanjem od člena 100(4);

2.V zahtevi iz odstavka 1 se:

(a)navede interes subjekta s sedežem v tretji državi, za katero obstajajo pomisleke glede kibernetske varnosti, ali pod nadzorom subjektov iz take tretje države, določene v skladu s členom 100, da se mu odobri izvzetje, kot je navedeno v odstavku 1 tega člena, ter

(b)z jasno dokaže, da bodo sprejeti učinkoviti blažilni ukrepi za obravnavanje netehničnih tveganj in zagotovitev, da se tretja država, določena na podlagi člena 100, ne bo nikakor neupravičeno vmešavala v zagotavljanje komponent IKT ali komponent, ki vključujejo komponente IKT, za uporabo, nameščanje ali vključevanje v ključnih sredstvih IKT subjekta vrste iz prilog I in II k Direktivi (EU) 2022/2555.

3.Komisija je pooblaščena za sprejemanje izvedbenih aktov za podrobnejšo opredelitev pogojev iz odstavka 2, točka (b), in določitev podrobnih pravil v zvezi s postopki iz tega člena. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

4.Komisija oceni zahtevo iz odstavka 1 s poštenim in preglednim postopkom, pri čemer upošteva:

(a)okoliščine in dodatne elemente iz člena 100(1) in (2) v zvezi z določeno državo, za katero obstajajo pomisleki glede kibernetske varnosti v dobavnih verigah IKT ter v kateri ima subjekt sedež ali iz katere se nadzira;

(b)učinkovitost blažilnih ukrepov iz odstavka 2, točka (b);

(c)ali bi izvzetje subjekta s sedežem v tretji državi, za katero obstajajo pomisleki glede kibernetske varnosti v dobavnih verigah IKT, ali pod nadzorom subjektov iz take tretje države škodovalo interesom Unije.

5.Kadar Komisija na podlagi ocene iz odstavka 3 ugotovi, da je izvzetje upravičeno, to izvzetje odobri s sklepom, o katerem uradno obvesti vložnika v devetih mesecih od prejema zahteve.

6.Komisija lahko pri sprejetju sklepa iz odstavka 4 izvzetje omeji na določeno obdobje in v zvezi z njim določi pogoje za subjekt, vključno s:

(a)časovnico za izvedbo blažilnih ukrepov iz odstavka 2, točka (b);

(b)rednimi revizijami, ki jih izvajajo tretje osebe, da se zagotovi učinkovito izvajanje blažilnih ukrepov;

(c)obveznostmi poročanja v zvezi s skladnostjo.

7.Kadar Komisija na podlagi ocene iz odstavka 3 ugotovi, da izvzetje ni upravičeno, to izvzetje zavrne s sklepom, o katerem uradno obvesti vložnike v devetih mesecih od prejema zahteve.

8.Komisija lahko na lastno pobudo umakne ali spremeni sklep iz odstavka 4 v enem ali več od naslednjih primerov:

(a)kadar se je bistveno spremenilo katero od dejstev, na katerih je temeljil sklep;

(b)kadar subjekt, ki je zaprosil za izvzetje, ravna v nasprotju s svojimi zavezami;

(c)kadar je izvzetje temeljilo na nepopolnih, netočnih ali zavajajočih informacijah, ki jih je predložil subjekt, ki je vložil zahtevek.

Člen 106
Pravica do obrambe

Komisija zagotovi, da ima zadevni subjekt pred sprejetjem izvedbenega akta v skladu s členom 103(7) ali pred sprejetjem sklepa o zavrnitvi izvzetja v skladu s členom 105(7) na podlagi elementov, ki jih vložnik ni predložil, ali pred umikom sklepa v skladu s členom 105(8) možnost zaslišanja, pri čemer se v nekaterih primerih upošteva potreba po nujnem postopku.

Člen 107
Register

Komisija vodi javno dostopen register svojih sklepov iz člena 105(5). V registru so navedena imena subjektov, ki so bili predmet takih sklepov. Komisija register redno posodablja.

Člen 108
Zaupnost

Informacije, ki jih Komisija prejme v skladu s členoma 105 in 106, se uporabijo samo za namen, za katerega so bile pridobljene.

Člen 109
Pristojbine

1.Komisija zaračuna pristojbine za zahtevke, predložene v skladu s členom 105(1).

2.Vse pristojbine so izražene in plačljive v eurih.

3.Pristojbine so sorazmerne s stroški, povezanimi z obdelavo zahtevkov iz člena 105(1), oceno meril in informacij iz člena 105(2) ter vzpostavitvijo, vzdrževanjem in delovanjem registra iz člena 107. V te stroške so vključeni vsi odhodki Komisije, povezani z osebjem, vključenim v navedene dejavnosti.

4.Komisija sprejme izvedbene akte, s katerimi določi podrobna pravila v zvezi s pristojbinami, pri čemer določi znesek pristojbin in način njihovega plačila. Navedeni izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 118(2).

POGLAVJE II
Dobavne verige IKT v elektronskih komunikacijskih omrežjih

Člen 110
Ključna sredstva IKT za mobilna, fiksna in satelitska elektronska komunikacijska omrežja

1.Ključna sredstva IKT za mobilna, fiksna in satelitska elektronska komunikacijska omrežja so določena v Prilogi II.

2.Komponente IKT ali komponente, ki vključujejo komponente IKT, ki jih zagotavljajo dobavitelji z visokim tveganjem, v ključnih sredstvih IKT mobilnih, fiksnih in satelitskih elektronskih komunikacijskih omrežij se postopoma opustijo.

3.Obdobje za postopno opuščanje komponent IKT ali komponent, ki vključujejo komponente IKT, ki jih v zvezi z mobilnimi elektronskimi komunikacijskimi omrežji zagotavljajo dobavitelji z visokim tveganjem, ni daljše od 36 mesecev od objave seznama dobaviteljev z visokim tveganjem iz člena 104 v zvezi z mobilnimi elektronskimi komunikacijskimi omrežji.

4.Komisija je pooblaščena za sprejemanje izvedbenih aktov v skladu s členom 118(2), da se določijo obdobja za postopno opuščanje komponent IKT ali komponent, ki vključujejo komponente IKT, ki jih v zvezi s fiksnimi in satelitskimi elektronskimi komunikacijskimi omrežji zagotavljajo dobavitelji z visokim tveganjem.

5.Komisija je pooblaščena za sprejemanje delegiranih aktov v skladu s členom 119 za spremembo Priloge II k tej uredbi, da se prilagodi tehnološkemu razvoju ob upoštevanju elementov iz člena 103(4).

Člen 111
Prepovedi za mobilna, fiksna in satelitska elektronska komunikacijska omrežja

1.Ponudniki mobilnih, fiksnih in satelitskih elektronskih komunikacijskih omrežij pri upravljanju ključnih sredstev IKT iz Priloge II v nobeni obliki ne uporabljajo, nameščajo ali vključujejo komponent IKT ali komponent, ki vključujejo komponente IKT, dobaviteljev z visokim tveganjem.

2.Kadar se pristojni organ v državi članici, imenovan v skladu s to uredbo, razlikuje od pristojnega organa v skladu z Uredbo (EU) XX/XXXX [predlog akta o digitalnih omrežjih], pristojni organ, imenovan v skladu s to uredbo, nemudoma obvesti pristojni organ v skladu z Uredbo (EU) XX/XXXX [predlog akta o digitalnih omrežjih] o ukrepih, naloženih ponudnikom mobilnih, fiksnih in satelitskih elektronskih komunikacijskih omrežij v skladu s členom 114. Organi zagotovijo tesno sodelovanje za namene učinkovitega nadzora in izvrševanja teh ukrepov.

POGLAVJE III
Pristojni organi, nadzor in izvrševanje, pristojnost, pravica do obrambe

Člen 112
Pristojni organi

1.Vsaka država članica imenuje pristojne organe iz člena 8 Direktive (EU) 2022/2555 kot organe, odgovorne za sprejemanje nadzornih in izvršilnih ukrepov iz člena 114.

2.Pristojni organi so strukturno in funkcionalno popolnoma nepristranski in niso pod neposrednim ali posrednim zunanjim vplivom; zlasti ne zahtevajo ali sprejemajo navodil od drugih javnih organov ali zasebnih strani.

3.Države članice zagotovijo, da imajo njihovi pristojni organi ustrezna pooblastila, zadostne človeške in tehnične vire ter ustrezno strokovno znanje za učinkovito izvajanje nadzornih in izvršilnih ukrepov iz člena 114.

4.Vsaka država članica Komisiji brez nepotrebnega odlašanja priglasi imena pristojnih organov, imenovanih v skladu z odstavkom 1, njihove naloge in vse naknadne spremembe v zvezi z njimi. Vsaka država članica imena pristojnih organov, imenovanih v skladu z odstavkom 1, tudi javno objavi.

Člen 113
Mreža za sodelovanje in podporne storitve Komisije

Za učinkovit nadzor Komisija vzpostavi mrežo za sodelovanje pristojnih organov držav članic iz člena 112 in Komisije, ki služi kot platforma za sodelovanje in izmenjavo informacij, zlasti za namene ocene sedeža, nadzora in lastništva iz člena 104. Komisija mreži zagotovi upravno podporo.

Člen 114
Nadzorni in izvršilni ukrepi

1.Pristojni organi iz člena 112 imajo pravico sprejeti nadzorne in izvršilne ukrepe za subjekte vrste iz prilog I in II k Direktivi (EU) 2022/2555. Države članice zagotovijo, da so navedeni ukrepi učinkoviti, sorazmerni in odvračilni, pri čemer upoštevajo okoliščine vsakega posameznega primera. Države članice Komisiji priglasijo predpise, sprejete v ta namen, in njihove naknadne spremembe.

2.Pristojni organi so pooblaščeni, da pri izvajanju nadzornih nalog v zvezi s subjekti iz prilog I in II k Direktivi (EU) 2022/2555 pri teh subjektih:

(a)zahtevajo podroben in posodobljen seznam njihovih zadevnih dobaviteljev in ponudnikov storitev;

(b)zahtevajo dostop do podatkov, dokumentov in informacij, potrebnih za preverjanje skladnosti s to uredbo;

(c)opravijo inšpekcijske preglede na kraju samem in nadzor na daljavo, vključno z naključnimi pregledi, ki jih izvedejo usposobljeni strokovnjaki;

(d)zahtevajo informacije glede sestave strojne ali programske opreme, ki je v kakršni koli obliki nameščena ali vključena v omrežje ali sistem, vključno s komponentami in prehodnimi odvisnostmi, v splošno uporabljani in strojno berljivi obliki.

3.Pristojni organi so pri izvajanju izvršilnih nalog v zvezi s subjekti vrste iz prilog I in II k Direktivi (EU) 2022/2555 pooblaščeni, da:

(a)izdajajo opozorila o kršitvah te uredbe s strani zadevnih subjektov, pri čemer navedejo zadevna dejstva in pravne vidike;

(b)sprejmejo odločitve, s katerimi od zadevnih subjektov zahtevajo odpravo kršitev te uredbe ali pomanjkljivosti, ugotovljenih pri izvajanju blažilnih ukrepov;

(c)zadevnim subjektom odredijo, naj prenehajo z dejavnostmi, ki kršijo to uredbo, in takih dejavnosti več ne ponovijo, ter

(d)naložijo kazni v skladu s pravili glede zneskov iz člena 115 ali zahtevajo, da take kazni naložijo zadevni organi ali sodišča v skladu z nacionalnim pravom.

4.Pristojni organi pri sprejemanju katerega koli izvršilnega ukrepa iz prejšnjega odstavka upoštevajo okoliščine vsakega posameznega primera in naslednje dejavnike:

(a)resnost kršitve in pomembnost kršenih določb;

(b)trajanje kršitve;

(c)zadevni promet subjekta;

(d)vse zadevne predhodne kršitve subjekta;

(e)kadar je ustrezno, vsako povzročeno premoženjsko ali nepremoženjsko škodo zaradi kršitve, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge subjekte in številom prizadetih uporabnikov;

(f)morebiten naklepnost ali malomarnost zadevnega subjekta;

(g)vse ukrepe, ki jih je subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;

(h)raven sodelovanja odgovornih fizičnih ali pravnih oseb s pristojnimi organi.

Za namene prvega pododstavka, točka (a), resno kršitev predstavljajo:

(i)ponavljajoče se kršitve;

(j)nepriglasitev ali neodprava pomembnih incidentov;

(k)neodprava pomanjkljivosti v skladu z zavezujočimi navodili pristojnih organov.

5.Pristojni organi pred sprejetjem izvršilnih ukrepov obvestijo zadevne subjekte o svojih predhodnih ugotovitvah. Zadevni subjekti imajo na voljo razumen rok za predložitev pripomb na predhodne ugotovitve. Pristojni organi podrobno utemeljijo svoje izvršilne ukrepe.

6.Pristojni organi spoštujejo načela zaupnosti ter poklicne in poslovne skrivnosti.

7.Pristojni organi sodelujejo med seboj in s Komisijo za namene nadzora in izvrševanja iz tega naslova v skladu s členom 116.

Člen 115
Kazni

1.Države članice določijo pravila o kaznih, ki se uporabljajo za kršitve te uredbe, in sprejmejo vse potrebne ukrepe za zagotovitev, da se te kazni izvajajo.

2.Te kazni morajo biti učinkovite, sorazmerne in odvračilne. Države članice ta pravila in ukrepe priglasijo Komisiji in ji brez odlašanja priglasijo vsakršne naknadne spremembe, ki nanje vplivajo.

3.Kazni se naložijo poleg katerega koli ukrepa iz člena 114(3), točke (a), (b) in (c).

4.Pri odločanju o naložitvi kazni in njeni višini se v vsakem posameznem primeru upoštevajo vsaj dejavniki iz člena 114(4), prvi pododstavek.

5.Za kršitve člena 103(2), točka (a), se v skladu z odstavkom 3 tega člena naložijo kazni v višini največ 1 % skupnega svetovnega letnega prometa podjetja, ki mu subjekt pripada, v predhodnem poslovnem letu.

6.Za kršitve člena 103(2), točke (b) do (g), se v skladu z odstavkom 3 tega člena naložijo kazni v višini največ 2 % skupnega svetovnega letnega prometa podjetja, ki mu subjekt pripada, v predhodnem poslovnem letu.

7.Za kršitve člena 103(1) in člena 111 se v skladu z odstavkom 3 tega člena naložijo kazni v višini največ 7 % skupnega svetovnega letnega prometa podjetja, ki mu subjekt pripada, v predhodnem poslovnem letu.

Člen 116
Medsebojna pomoč

1.Kadar subjekt vrste iz Priloge I ali II k Direktivi (EU) 2022/2555 zagotavlja storitve v več kot eni državi članici ali zagotavlja storitve v eni ali več državah članicah in se pri tem njegova ključna sredstva IKT nahajajo v eni ali več drugih državah članicah, pristojni organi zadevnih držav članic sodelujejo med seboj in s Komisijo ter drug drugemu in Komisiji pomagajo, da bi zagotovili uspešno in učinkovito uporabo Uredbe. V ta namen se uporabljajo vsaj naslednja pravila:

(a)pristojni organi, ki uporabljajo nadzorne ali izvršilne ukrepe v državi članici, obvestijo pristojne organe v drugih zadevnih državah članicah in se z njimi posvetujejo o sprejetih nadzornih in izvršilnih ukrepih;

(b)pristojni organ države članice lahko od drugega pristojnega organa v drugi državi članici zahteva, naj sprejme nadzorne ali izvršilne ukrepe;

(c)pristojni organ države članice po prejemu utemeljenega zahtevka drugega pristojnega organa druge države članice temu organu po najboljših močeh zagotovi medsebojno pomoč, da se lahko nadzorni ali izvršilni ukrepi izvajajo učinkovito, uspešno in dosledno.

2.Medsebojna pomoč iz odstavka 1, točka (c), lahko zajema zahtevke za informacije in nadzorne ukrepe, vključno z zahtevki za izvajanje inšpekcijskih pregledov na kraju samem ali nadzora na daljavo ali ciljno usmerjenih varnostnih presoj. Pristojni organ, na katerega je naslovljen zahtevek za pomoč, zahtevka ne zavrne, razen če se ugotovi, da organ ni pristojen za zagotavljanje zahtevane pomoči, da zahtevana pomoč ni sorazmerna z nadzornimi nalogami pristojnega organa ali da zahtevek zadeva informacije ali dejavnosti, ki bi bile, če bi bile razkrite ali izvedene, v nasprotju z bistvenimi interesi nacionalne varnosti, javno varnostjo ali obrambo te države članice. Preden pristojni organ zavrne takšen zahtevek, se posvetuje z drugimi zadevnimi pristojnimi organi, na zahtevo katere od zadevnih držav članic pa tudi s Komisijo.

3.Po potrebi in na podlagi skupnega dogovora lahko pristojni organi iz različnih držav članic izvajajo skupne nadzorne ukrepe.

4.Glede na obveznost spoštovanja načel zaupnosti ter poklicne in poslovne skrivnosti iz člena 114(6) se vse informacije, izmenjane v okviru prošnje za pomoč in zagotovljene v skladu s tem členom, uporabijo samo v zvezi z zadevo, za katero so bile zahtevane.

Člen 117
Pristojnost in teritorialnost

1.Za subjekte vrste iz prilog I in II k Direktivi (EU) 2022/2555, ki spadajo na področje uporabe te uredbe, se šteje, da spadajo v pristojnost države članice, kjer imajo sedež, razen v primeru:

(a)ponudnikov javnih elektronskih komunikacijskih omrežij ali ponudnikov javno dostopnih elektronskih komunikacijskih storitev, za katere se šteje, da spadajo v pristojnost države članice, v kateri zagotavljajo svoje storitve;

(b)ponudnikov storitev DNS, registrov vrhnjih domenskih imen, ponudnikov storitev računalništva v oblaku, ponudnikov storitev podatkovnih centrov, ponudnikov omrežij za dostavo vsebine, ponudnikov upravljanih storitev, ponudnikov upravljanih varnostnih storitev ter ponudnikov spletnih tržnic, spletnih brskalnikov ali platform za storitve družbenega mreženja, za katere se šteje, da spadajo v pristojnost države članice, v kateri imajo glavni sedež v Uniji v skladu z odstavkom 2;

(c)subjektov javne uprave, za katere se šteje, da spadajo v pristojnost države članice, ki ji pripadajo;

(d)letalskih prevoznikov, za katere se šteje, da spadajo v pristojnost države članice, katere organ, pristojen za izdajo licenc, je subjektu izdal operativno licenco v skladu z Uredbo (ES) št. 1008/2008 Evropskega parlamenta in Sveta 83 , ali, če operativna licenca ali enakovreden dokument ni bil izdan v skladu z navedeno uredbo, v pristojnost države članice, v kateri imajo glavni sedež v Uniji v skladu z odstavkom 2.

2.Za namene te uredbe se za subjekt iz odstavka 1, točka (b), šteje, da ima glavni sedež v Uniji v državi članici, kjer se sprejme večina odločitev v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost. Če take države članice ni mogoče določiti ali se take odločitve ne sprejemajo v Uniji, se šteje, da je glavni sedež v državi članici, kjer se izvaja večina operacij v zvezi s kibernetsko varnostjo. Če take države članice ni mogoče določiti, se šteje, da je glavni sedež v državi članici, kjer ima zadevni subjekt sedež z največjim številom zaposlenih v Uniji.

3.Če subjekt vrste iz prilog I in II Direktive (EU) 2022/2555 nima sedeža v Uniji, vendar v njej opravlja storitve, določi predstavnika v Uniji. Predstavnik ima sedež v eni od držav članic, v katerih se opravljajo storitve. Za tak subjekt se šteje, da je v pristojnosti države članice, v kateri ima predstavnik sedež. Kadar je tak subjekt subjekt iz odstavka 1, točka (a), se šteje, da spada v pristojnost države članice, v kateri zagotavlja storitve. Če ni imenovanega predstavnika v Uniji v skladu s tem odstavkom, lahko katera koli država članica, v kateri subjekt opravlja storitve, uvede sodne postopke proti subjektu zaradi kršitve te uredbe.

4.Imenovanje predstavnika s strani subjekta iz odstavka 1, točka (b), ne posega v sodne postopke, ki se lahko uvedejo proti samemu subjektu.

5.Države članice, ki so prejele zahtevek za medsebojno pomoč v zvezi s subjektom iz odstavka 1, točka (b), lahko v mejah zahtevka sprejmejo ustrezne nadzorne in izvršilne ukrepe v zvezi z zadevnim subjektom, kadar ta subjekt opravlja storitve ali ima omrežni in informacijski sistem na njihovem ozemlju.

NASLOV VI
KONČNE DOLOČBE

Člen 118
Postopek v odboru

1.Komisiji pomaga odbor. Ta odbor ima dve sestavi. V zvezi z naslovoma II in III Komisiji pomaga odbor v prvi sestavi, v zvezi z naslovom IV pa odbor v drugi sestavi. Ta odbor je odbor v smislu Uredbe (EU) št. 182/2011.

2.Pri sklicevanju na ta odstavek se uporablja člen 5 Uredbe (EU) št. 182/2011.

Člen 119
Izvajanje prenosa pooblastila

1.Pooblastilo za sprejemanje delegiranih aktov je preneseno na Komisijo pod pogoji, določenimi v tem členu.

2.Pooblastilo za sprejemanje delegiranih aktov v skladu s členom 80(2) in členom 110(5) se prenese na Komisijo za nedoločen čas od datuma začetka veljavnosti te uredbe.

3.Prenos pooblastila iz člena 80(2) in člena 110(5) lahko kadar koli prekliče Evropski parlament ali Svet. S sklepom o preklicu preneha veljati prenos pooblastila iz navedenega sklepa. Sklep začne učinkovati dan po njegovi objavi v Uradnem listu Evropske unije ali na poznejši dan, ki je določen v navedenem sklepu. Sklep ne vpliva na veljavnost že veljavnih delegiranih aktov. 

4.Komisija se pred sprejetjem delegiranega akta posvetuje s strokovnjaki, ki jih imenujejo države članice, v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje.

5.Komisija takoj po sprejetju delegiranega akta o njem sočasno uradno obvesti Evropski parlament in Svet.

6.Delegirani akt, sprejet na podlagi člena 80(2) in člena 110(5), začne veljati le, če mu niti Evropski parlament niti Svet ne nasprotuje v roku dveh mesecev od uradnega obvestila Evropskemu parlamentu in Svetu o tem aktu ali če pred iztekom tega roka tako Evropski parlament kot Svet obvestita Komisijo, da mu ne bosta nasprotovala. Ta rok se na pobudo Evropskega parlamenta ali Sveta podaljša za dva meseca. 

Člen 120
Ocena in pregled

1.Komisija do [DD MM YYYY] in nato vsakih pet let naroči oceno, ki se izvede v skladu z njenimi smernicami.

2.Ocena iz odstavka 1 vključuje oceno:

(a)uspešnosti agencije ENISA v zvezi z njenimi cilji, mandatom, poslanstvom, nalogami, upravljanjem in lokacijo;

(b)uspešnosti, učinkovitosti in dodane vrednosti EU evropskih shem potrdil o osebnih spretnostih na področju kibernetske varnosti iz naslova II, poglavje II, oddelek 4, te uredbe;

(c)vpliva, uspešnosti in učinkovitosti določb naslova III te uredbe glede ciljev zagotavljanja ustrezne ravni kibernetske varnosti proizvodov IKT, storitev IKT, postopkov IKT, upravljanih varnostnih storitev in subjektov v Uniji ter izboljšanja delovanja notranjega trga;

(d)vpliva, uspešnosti in učinkovitosti določb naslova IV te uredbe glede ciljev zaupanja vrednega okvira za dobavne verige IKT.

3.Ocena iz odstavka 1, točka (a), zlasti obravnava morebitno potrebo po spremembi mandata agencije ENISA in finančne posledice takšnih sprememb.

4.Pri vsaki drugi oceni iz odstavka 1, točka (a), Komisija oceni rezultate agencije ENISA glede na njene cilje, mandat, poslanstvo, upravljanje in naloge ter tudi, ali je nadaljnji obstoj agencije glede na te cilje, mandat, poslanstvo, upravljanje in naloge še naprej upravičen.

5.Komisija o ugotovitvah ocene poroča Evropskemu parlamentu, Svetu in upravnemu odboru. Ugotovitve ocene se objavijo.

Člen 121
Razveljavitev in nadaljevanje dejavnosti

1.Uredba (EU) 2019/881 Evropskega parlamenta in Sveta se razveljavi z učinkom od DDMMYYYY.

2.Sklici na Uredbo (EU) 2019/881, agencijo ENISA in evropske certifikacijske sheme za kibernetsko varnost, kot so vzpostavljene z navedeno uredbo, se štejejo za sklice na to uredbo in se berejo v skladu s korelacijsko tabelo iz Priloge III k tej uredbi.

3.Agencija ENISA, kot jo ureja ta uredba, nadaljuje poslovanje in dejavnosti agencije ENISA, kot je bila ustanovljena z Uredbo (EU) 2019/881, kar zadeva lastništvo, dogovore, pravne obveznosti, pogodbe o zaposlitvi, finančne obveznosti in odgovornosti. Vse obstoječe odločitve upravnega odbora in izvršnega odbora, sprejete v skladu z Uredbo (EU) 2019/881, ostanejo veljavne, če so skladne s to uredbo.

4.Izvršni direktor, imenovan na podlagi člena 15(1), točka (n), Uredbe (EU) 2019/881, ostane na položaju in izvaja svoje naloge in odgovornosti iz člena 32 te uredbe do konca svojega mandata. Ostali pogoji njegove pogodbe ostanejo nespremenjeni.

5.Za predloge za sheme, katerih priprava se je zahtevala v skladu s členom 49 Uredbe (EU) 2019/881, se šteje, da so se zahtevale v skladu z ustreznimi določbami te uredbe. Določbe naslova III te uredbe se ustrezno uporabljajo za navedene predloge za sheme.

6.Člani upravnega odbora, ki jih je imenovala Komisija, in namestniki članov, imenovani na podlagi člena 14 Uredbe (EU) 2019/881, ostanejo na položaju in izvajajo naloge upravnega odbora iz člena 27 te uredbe do konca svojega mandata. Člani upravnega odbora, ki so jih imenovale države članice na podlagi člena 14 Uredbe (EU) 2019/881, ostanejo na položaju in izvajajo naloge upravnega odbora iz člena 27 te uredbe, v kolikor opravljajo funkcije iz člena 24(3) te uredbe.

Člen 122
Začetek veljavnosti

Ta uredba začne veljati dan po objavi v Uradnem listu Evropske unije.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

V Strasbourgu,

OCENA FINANČNIH POSLEDIC IN DIGITALNIH RAZSEŽNOSTI ZAKONODAJNEGA PREDLOGA

1.OKVIR PREDLOGA/POBUDE3

1.1Naslov predloga/pobude3

1.2Zadevna področja3

1.3Cilji3

1.3.1Splošni cilji3

1.3.2Specifični cilji3

1.3.3Pričakovani rezultati in posledice3

1.3.4Kazalniki smotrnosti3

1.4Ukrep, na katerega se predlog/pobuda nanaša4

1.5Utemeljitev predloga/pobude4

1.5.1Potrebe, ki jih je treba zadovoljiti kratkoročno ali dolgoročno, vključno s podrobno časovnico za uvajanje ustreznih ukrepov za izvajanje pobude4

1.5.2Dodana vrednost ukrepanja EU (ki je lahko posledica različnih dejavnikov, npr. boljšega usklajevanja, pravne varnosti, večje učinkovitosti ali dopolnjevanja). Za namene tega oddelka je „dodana vrednost ukrepanja EU“ vrednost, ki izhaja iz ukrepanja EU in predstavlja dodatno vrednost poleg tiste, ki bi jo sicer ustvarile države članice same.4

1.5.3Spoznanja iz podobnih izkušenj v preteklosti4

1.5.4Skladnost z večletnim finančnim okvirom in možne sinergije z drugimi ustreznimi instrumenti5

1.5.5Ocena različnih razpoložljivih možnosti financiranja, vključno z možnostmi za prerazporeditev5

1.6Trajanje predloga/pobude in finančnih posledic6

1.7Načrtovani načini izvrševanja proračuna6

2.UKREPI UPRAVLJANJA8

2.1Pravila o spremljanju in poročanju8

2.2Upravljavski in kontrolni sistemi8

2.2.1Utemeljitev načinov izvrševanja proračuna, mehanizmov financiranja, načinov plačevanja in predlagane strategije kontrol8

2.2.2Podatki o ugotovljenih tveganjih in vzpostavljenih sistemih notranjih kontrol za njihovo zmanjševanje8

2.2.3Ocena in utemeljitev stroškovne učinkovitosti kontrol (razmerje med stroški kontrol in vrednostjo z njimi povezanih upravljanih sredstev) ter ocena pričakovane stopnje tveganja napake (ob plačilu in ob zaključku)8

2.3Ukrepi za preprečevanje goljufij in nepravilnosti9

3.OCENA FINANČNIH POSLEDIC PREDLOGA/POBUDE10

3.1Zadevni razdelki večletnega finančnega okvira in odhodkovne proračunske vrstice10

3.2Ocenjene finančne posledice predloga za odobritve12

3.2.1Povzetek ocenjenih posledic za odobritve za poslovanje12

3.2.1.1Odobritve iz izglasovanega proračuna12

3.2.1.2Odobritve iz zunanjih namenskih prejemkov17

3.2.2Ocenjene realizacije, financirane iz odobritev za poslovanje22

3.2.3Povzetek ocenjenih posledic za upravne odobritve24

3.2.3.1 Odobritve iz izglasovanega proračuna24

3.2.3.2Odobritve iz zunanjih namenskih prejemkov24

3.2.3.3Odobritve skupaj24

3.2.4Ocenjene potrebe po človeških virih25

3.2.4.1Financirano iz izglasovanega proračuna25

3.2.4.2Financirano iz zunanjih namenskih prejemkov26

3.2.4.3Potrebe po človeških virih skupaj26

3.2.5Pregled ocenjenih posledic za naložbe, povezane z digitalnimi tehnologijami28

3.2.6Skladnost z veljavnim večletnim finančnim okvirom28

3.2.7Udeležba tretjih oseb pri financiranju28

3.3Ocenjene posledice za prihodke29

4.Digitalne razsežnosti29

4.1Zahteve digitalnega pomena30

4.2Podatki30

4.3Digitalne rešitve31

4.4Ocena interoperabilnosti31

4.5Ukrepi v podporo digitalnemu izvajanju32

1.OKVIR PREDLOGA/POBUDE 

1.1Naslov predloga/pobude

1.2Zadevna področja 

1.3Cilji

1.3.1Splošni cilji

1.3.2Specifični cilji

1.3.3Pričakovani rezultati in posledice

Navedite, kakšne učinke naj bi imel(-a) predlog/pobuda za upravičence/ciljne skupine.

1.3.4Kazalniki smotrnosti

Navedite, s katerimi kazalniki se bodo spremljali napredek in dosežki.

1.4Ukrep, na katerega se predlog/pobuda nanaša 

 Nov ukrep (naslov IV Dobavna veriga, naslov V Poenostavitev)

 Nov ukrep na podlagi pilotnega projekta / pripravljalnega ukrepa 84  

 Podaljšanje obstoječega ukrepa (naslov II Mandat agencije ENISA in naslov III Certificiranje)

 Združitev ali preusmeritev enega ali več ukrepov v drug/nov ukrep

1.5Utemeljitev predloga/pobude 

1.5.1Potrebe, ki jih je treba zadovoljiti kratkoročno ali dolgoročno, vključno s podrobno časovnico za uvajanje ustreznih ukrepov za izvajanje pobude

1.5.2Dodana vrednost ukrepanja EU (ki je lahko posledica različnih dejavnikov, npr. boljšega usklajevanja, pravne varnosti, večje učinkovitosti ali dopolnjevanja). Za namene tega oddelka je „dodana vrednost ukrepanja EU“ vrednost, ki izhaja iz ukrepanja EU in predstavlja dodatno vrednost poleg tiste, ki bi jo sicer ustvarile države članice same.