EVROPSKA KOMISIJA

Bruselj, 22.3.2022

COM(2022) 122 final

2022/0085(COD)

Predlog

UREDBA EVROPSKEGA PARLAMENTA IN SVETA

o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije

{SWD(2022) 67 final} - {SWD(2022) 68 final}

OBRAZLOŽITVENI MEMORANDUM

1.OZADJE PREDLOGA

•Razlogi za predlog in njegovi cilji

•Skladnost z veljavnimi predpisi s področja zadevne politike

·Direktivo (EU) 2016/1148 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji. Skladen je tudi s predlogom Direktive (EU) XXXX/XXXX o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (predlog revidirane direktive o varnosti omrežij in informacijskih sistemov);

·Uredbo (EU) 2019/881 o Agenciji Evropske unije za kibernetsko varnost in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (Akt o kibernetski varnosti);

·predlogom Uredbe (EU) XXXX/XXXX o informacijski varnosti v institucijah, organih, uradih in agencijah Unije;

·priporočilom Komisije z dne 23. junija 2021 o vzpostavitvi skupne kibernetske enote;

·Priporočilom Komisije (EU) 2017/1584 z dne 13. septembra 2017 o usklajenem odzivu na velike kibernetske incidente in krize.

2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST

•Pravna podlaga

•Subsidiarnost

•Sorazmernost

•Izbira instrumenta

3.REZULTATI PREDHODNIH OCEN, POSVETOVANJ Z DELEŽNIKI IN OCEN UČINKA

•Predhodne ocene

·poskusi vdorov v infrastrukturo IT institucij, organov in agencij Unije (če so uspešni, se obravnavajo kot incidenti, v nasprotnem primeru pa se še vedno evidentirajo kot zaznani poskusi);

·grožnje, zaznane v bližini institucij, organov in agencij Unije (npr. v njihovih povezanih sektorjih, skupnostih njihovih deležnikov ali v Evropi);

·trendi velikih groženj, ugotovljeni na svetovni ravni.

·vse več dela na daljavo;

·migracijo sistemov v oblak;

·vse večje oddajanje storitev IT v zunanje izvajanje.

·zrelost kibernetske varnosti, velikost infrastrukture IT in ravni zmogljivosti se med ocenjenimi institucijami, organi in agencijami Unije močno razlikujejo;

·veliko institucij, organov in agencij Unije ima sicer na splošno zrele zmogljivosti za odkrivanje in odzivanje, vendar imajo v svojih zmogljivostih za upravljanje kibernetske varnosti različne ravni vgrajenega obvladovanja tveganj;

·okviri kibernetske varnosti (strategija, politika in baza pravil) ocenjenih institucij, organov in agencij Unije so na splošno dobro vzpostavljeni na ključnih področjih kibernetske varnosti, navedenih v Prilogi I k Uredbi, vendar nekatere institucije, organi in agencije Unije nimajo zrelega upravljanja neprekinjenega poslovanja, skladnosti, revizije in stalnega izboljševanja;

·ugotovljeno je bilo, da so ocenjene institucije, organi in agencije Unije neenakomerno uporabljali tehnične ukrepe, ki se štejejo za dobre prakse.

Doslej še nobena zakonodaja Unije ni bila osredotočena na kibernetsko varnost institucij, organov in agencij Unije ter ni celovito obravnavala okolja kibernetskih groženj in nastajajočih tveganj za IT, ki so posledica digitalizacije.

•Posvetovanja z deležniki

 •Ocena učinka

•Temeljne pravice

4.PRORAČUNSKE POSLEDICE

5.DRUGI ELEMENTI

·Ureditve izvajanja, spremljanja, ocenjevanja in poročanja

Medinstitucionalni odbor za kibernetsko varnost (IICB) bi moral ob pomoči CERT-EU pregledati delovanje te uredbe, izvesti ocene in Komisiji predložiti poročilo z ugotovitvami. Komisija bi morala zagotoviti redno poročanje Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij.

CERT-EU lahko pripravi predlog smernic ali priporočilo, ki ga lahko IICB, če se tako odloči, sprejme. Smernice so posvetovalni dokument, namenjen vsem institucijam, organom in agencijam Unije ali njihovi podskupini, priporočilo pa je namenjeno posameznim institucijam, organom in agencijam Unije. Poziv k ukrepanje je posvetovalni dokument CERT-EU, ki opisuje nujne varnostne ukrepe, ki naj bi jih institucije, organi in agencije Unije nujno sprejeli v določenem časovnem obdobju.

·Podrobnejša pojasnitev posameznih določb predloga

Splošne določbe

Uredba določa ukrepe za zagotavljanje visoke skupne ravni kibernetske varnosti ter se uporablja za institucije, organe in agencije Unije, da bi ti lahko svoje naloge opravljali odprto, učinkovito in neodvisno (členi 1 do 3 in členi 23 do 25).

Ukrepi za visoko skupno raven kibernetske varnosti

Institucije, organi in agencije Unije morajo vzpostaviti notranji okvir za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost, ki zagotavlja učinkovito in preudarno obvladovanje vseh tveganj za kibernetsko varnost. Poleg tega institucije, organi in agencije sprejmejo osnovne ukrepe za kibernetsko varnost za obravnavo tveganj, opredeljenih na podlagi okvira, izvajajo redne ocene zrelosti kibernetske varnosti in sprejmejo načrt za kibernetsko varnost (členi 4 do 8).

Medinstitucionalni odbor za kibernetsko varnost

Vzpostavi se Medinstitucionalni odbor za kibernetsko varnost, ki je odgovoren za spremljanje izvajanja te uredbe s strani institucij, organov in agencij Unije ter nadzor nad izvajanje splošnih prednostnih nalog in ciljev s strani CERT-EU, ki slednjemu zagotavlja tudi strateške usmeritve (členi 9 do 11).

CERT-EU

CERT-EU prispeva k varnosti okolja IT vseh institucij, organov in agencij Unije, tako da jim svetuje ter jim pomaga preprečiti, odkriti in ublažiti incidente in se odzivati nanje, deluje pa tudi kot njihovo vozlišče za izmenjavo informacij o kibernetski varnosti in za usklajevanje odzivanja na incidente (členi 12 do 17).

Obveznosti sodelovanja in poročanja

Uredba zagotavlja sodelovanje in izmenjavo informacij med CERT-EU ter institucijami, organi in agencijami Unije za ustvarjanje zaupanja. V ta namen lahko CERT-EU od institucij, organov in agencij Unije zahteva, naj mu zagotovijo ustrezne informacije, sam pa si lahko z incidenti povezane informacije izmenjuje z institucijami, organi in agencijami Unije za olajšanje odkrivanja podobnih kibernetskih groženj ali incidentov brez soglasja prizadetega udeleženca. CERT-EU si lahko z incidenti povezane informacije, ki razkrivajo identiteto tarče kibernetskega incidenta, izmenjuje le s soglasjem prizadetega udeleženca.

Zlasti institucije, organi in agencije Unije CERT-EU nemudoma obvestijo o pomembnih kibernetskih grožnjah, pomembnih ranljivostih in pomembnih incidentih, vsekakor pa najpozneje 24 ur po seznanitvi z njimi (členi 18 do 22).

2022/0085 (COD)

Predlog

UREDBA EVROPSKEGA PARLAMENTA IN SVETA

o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije

EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 298 Pogodbe,

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo in zlasti člena 106a Pogodbe,

ob upoštevanju predloga Evropske komisije,

po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom,

v skladu z rednim zakonodajnim postopkom,

ob upoštevanju naslednjega:

(1)V digitalni dobi je informacijska in komunikacijska tehnologija temelj odprte, učinkovite in neodvisne uprave Unije. Razvijajoča se tehnologija ter vse večja kompleksnost in medsebojna povezanost digitalnih sistemov povečujejo tveganja za kibernetsko varnost, zaradi česar je uprava Unije ranljivejša za kibernetske grožnje in incidente, kar posledično ogroža neprekinjeno poslovanje uprave in zmogljivost zaščite podatkov. Večja uporaba storitev v oblaku, vsesplošna uporaba informacijskih tehnologij, visoka stopnja digitalizacije, delo na daljavo ter razvijajoča se tehnologija in povezljivost so danes ključne značilnosti vseh dejavnosti subjektov uprave Unije, vendar digitalna odpornost še ni zadostno vgrajena.

(2)Okolje kibernetskih groženj, ki so mu izpostavljeni institucije, organi in agencije Unije, se nenehno razvija. Taktike, tehnike in postopki, ki jih uporabljajo akterji groženj, se nenehno razvijajo, očitni motivi za take napade pa se le malo spreminjajo in zajemajo krajo dragocenih nerazkritih informacij, služenje denarja, manipulacijo z javnim mnenjem ali ogrožanje digitalne infrastrukture. Akterji kibernetske napade izvajajo vse pogosteje, njihove kampanje pa so vse bolj izpopolnjene in avtomatizirane, usmerjene v izpostavljene napadne površine, ki se širijo, ter hitro izkoriščajo ranljivosti.

(3)Okolja IT institucij, organov in agencij Unije so medsebojno povezana in imajo vgrajene podatkovne tokove, njihovi uporabniki pa tesno sodelujejo. Ta medsebojna povezava pomeni, da lahko ima vsaka motnja, tudi če je sprva omejena na eno institucijo, organ ali agencijo Unije, širše kaskadne učinke, ki lahko imajo daljnosežne in dolgotrajne negativne posledice za druge. Poleg tega so okolja IT nekaterih institucij, organov in agencij povezana z okolji IT držav članic, kar pomeni, da incident v enem subjektu Unije ogroža kibernetsko varnost okolij IT držav članic in obratno.

(4)Institucije, organi in agencije Unije so privlačne tarče, ki jih ogrožajo visoko usposobljeni in dobro podprti akterji groženj in tudi druge grožnje. Hkrati pa se raven in zrelost kibernetske odpornosti ter sposobnost odkrivanja zlonamernih kibernetskih dejavnosti in odzivanja nanje med navedenimi subjekti močno razlikujejo. Zato je za delovanje evropske uprave nujno, da institucije, organi in agencije Unije dosežejo visoko skupno raven kibernetske varnosti z osnovnimi ukrepi za kibernetsko varnost (sklopom minimalnih pravil o kibernetski varnosti, ki jih morajo omrežja in informacijski sistemi ter njihovi upravljavci in uporabniki upoštevati, da čim bolj zmanjšajo tveganja za kibernetsko varnost), izmenjavo informacij in sodelovanjem.

(5)Cilj Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov] o ukrepih za visoko skupno raven kibernetske varnosti v Uniji je nadalje izboljšati kibernetsko odpornost in zmogljivosti za odzivanje na incidente javnih in zasebnih subjektov, nacionalnih pristojnih organov in teles ter Unije kot celote. Zato morajo institucije, organi in agencije Unije temu slediti in zagotoviti pravila, ki so skladna z Direktivo [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov] in izražajo njegovo raven ambicij.

(6)Za doseganje visoke skupne ravni kibernetske varnosti je nujno, da institucije, organi in agencije Unije vzpostavijo notranji okvir za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost, ki zagotavlja učinkovito in preudarno obvladovanje vseh tveganj za kibernetsko varnost ter upošteva neprekinjeno poslovanje in krizno upravljanje.

(7)Zaradi razlik med institucijami, organi in agencijami Unije je potrebna prožnost v izvajanju, saj ena rešitev ne bo primerna za vse. Ukrepi za visoko skupno raven kibernetske varnosti ne bi smeli vključevati obveznosti, ki bi neposredno posegale v opravljanje nalog institucij, organov in agencij Unije ali posegale v njihovo institucionalno avtonomijo. Zato bi institucije, organi in agencije morali vzpostaviti lastne okvire za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost ter sprejeti lastne osnovne ukrepe in načrte za kibernetsko varnost.

(8)Da institucijam, organom in agencijam Unije ne bi bilo naloženo nesorazmerno finančno in upravno breme, bi morale biti zahteve glede obvladovanja tveganj za kibernetsko varnost sorazmerne s tveganjem, ki ga pomenita zadevno omrežje in informacijski sistem, pri čemer bi bilo treba upoštevati dovršenost takih ukrepov. Institucije, organi in agencije Unije bi si morali za izboljšanje ravni kibernetske varnosti prizadevati za dodelitev ustreznega deleža proračuna za IT; dolgoročno bi si bilo treba prizadevati za cilj v višini 10 %.

(9)Za visoko skupno raven kibernetske varnosti mora imeti nadzor nad kibernetsko varnostjo najvišja raven upravljanja vsake institucije, organa in agencije Unije, ki bi morala odobriti osnovne ukrepe za kibernetsko varnost, ki bi morali obravnavati tveganja, opredeljena v okviru, ki ga vzpostavi vsaka institucija, organ in agencija. Obravnava kulture kibernetske varnosti, tj. dnevno izvajanje kibernetske varnosti, je sestavni del osnovnih ukrepov za kibernetsko varnost v vseh institucijah, organih in agencijah Unije.

(10)Institucije, organi in agencije Unije bi morali oceniti tveganja, povezana z odnosi z dobavitelji in ponudniki storitev, vključno s ponudniki shranjevanja podatkov, storitev obdelave ali upravljanih varnostnih storitev, ter sprejeti ustrezne ukrepe za njihovo obravnavo. Ti ukrepi bi morali biti del osnovnih ukrepov za kibernetsko varnost in podrobneje opredeljeni v smernicah ali priporočilih, ki jih izda CERT-EU. Pri pripravi ukrepov in smernic bi bilo treba ustrezno upoštevati zadevno zakonodajo in politike EU, vključno z ocenami tveganja in priporočili skupine za sodelovanje na področju varnosti omrežij in informacijskih sistemov, kot sta usklajena ocena tveganja v EU in nabor orodij EU za kibernetsko varnost omrežij 5G. Poleg tega bi lahko bilo potrebno certificiranje ustreznih proizvodov, storitev in postopkov IKT, na podlagi specifičnih certifikacijskih shem za kibernetsko varnost EU, sprejetih v skladu s členom 49 Uredbe (EU) 2019/881.

(11)Generalni sekretarji institucij in organov Unije so maja 2011 sklenili, da bodo ustanovili predkonfiguracijsko skupino za skupino za odzivanje na računalniške grožnje za institucije, organe in agencije Unije (CERT-EU), ki jo bo nadziral medinstitucionalni usmerjevalni odbor. Julija 2012 so generalni sekretarji potrdili praktično ureditev in se dogovorili, da ohranijo CERT-EU kot stalno enoto, ki naj še naprej pomaga izboljševati splošno stopnjo varnosti informacijske tehnologije v institucijah, organih in agencijah Unije kot primer vidnega medinstitucionalnega sodelovanja na področju kibernetske varnosti. CERT-EU je bil septembra 2012 vzpostavljen kot projektna skupina Evropske komisije z medinstitucionalnimi pooblastili. Institucije in organi Unije so decembra 2017 sklenili medinstitucionalni dogovor o organizaciji in delovanju CERT-EU 3 . Ta ureditev bi se morala še naprej razvijati v podporo izvajanju te uredbe.

(12)CERT-EU bi bilo treba iz „skupine za odzivanje na računalniške grožnje “ preimenovati v „center za kibernetsko varnost“ za institucije, organe in agencije Unije, skladno z razvojem v državah članicah in v svetu, kjer je veliko skupin CERT preimenovanih v centre za kibernetsko varnost, vendar bi bilo treba kratico „CERT-EU“ ohraniti zaradi prepoznavnosti imena.

(13)Veliko kibernetskih napadov je del širših kampanj, usmerjenih v skupine institucij, organov in agencij Unije ali interesnih skupnosti, ki vključujejo institucije, organe in agencije Unije. Da bi omogočili proaktivno odkrivanje, odzivanje na incidente ali blažilne ukrepe, bi morali institucije, organi in agencije Unije CERT-EU obvestiti o pomembnih kibernetskih grožnjah, pomembnih ranljivostih in pomembnih incidentih ter deliti ustrezne tehnične podrobnosti, ki omogočajo odkrivanje ali blaženje podobnih kibernetskih groženj, ranljivosti in incidentov ter odzivanje nanje v drugih institucijah, organih in agencijah Unije. V skladu s pristopom, enakim tistemu, ki je predviden v Direktivi [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov], bi morali subjekti, ko se seznanijo s pomembnim incidentom, v 24 urah CERT-EU predložiti začetno priglasitev. Taka izmenjava informacij bi morala CERT-EU omogočiti širjenje informacij drugim institucijam, organom in agencijam Unije ter tudi ustreznim sorodnim organom za pomoč pri zaščiti vseh okolij IT v Uniji in okolij IT sorodnih organov Unije pred podobnimi incidenti, grožnjami in ranljivostmi.

(14)Poleg tega, da se CERT-EU dodeli več nalog in razširjena vloga, bi moral biti ustanovljen tudi Medinstitucionalni odbor za kibernetsko varnost (IICB), ki bi moral olajšati doseganje visoke skupne ravni kibernetske varnosti med institucijami, organi in agencijami Unije s spremljanjem izvajanja te uredbe s strani institucij, organov in agencij Unije, nadzorovanjem izvajanja splošnih prednostnih nalog in ciljev s strani CERT-EU in zagotavljanjem strateških usmeritev CERT-EU. IICB bi moral zagotoviti zastopanost institucij ter vključevati predstavnike agencij in organov prek mreže agencij Unije.

(15)CERT-EU bi moral izvajanje ukrepov za visoko skupno raven kibernetske varnosti podpirati s predlogi za smernice in priporočila, naslovljenimi na IICB, ali z izdajo pozivov k ukrepanju. Take smernice in priporočila bi moral odobriti IICB. CERT-EU bi moral po potrebi izdati pozive k ukrepanju, ki opisujejo nujne varnostne ukrepe, ki naj bi jih institucije, organi in agencije Unije nujno sprejeli v določenem časovnem obdobju.

(16)IICB bi moral spremljati skladnost s to uredbo ter nadaljnje ukrepanje na podlagi smernic, priporočil in pozivov k ukrepanju, ki jih izda CERT-EU. V zvezi s tehničnimi vprašanji bi ga bilo treba podpreti s tehničnimi svetovalnimi skupinami, ki so sestavljene, kot se IICB zdi ustrezno, in ki bi morale tesno sodelovati s CERT-EU, institucijami, organi in agencijami Unije ter po potrebi z drugimi deležniki. IICB bi moral po potrebi izdati nezavezujoča opozorila in priporočiti revizije.

(17)CERT-EU bi moral imeti nalogo prispevati k varnosti okolja IT vseh institucij, organov in agencij Unije. Imeti bi moral vlogo, enakovredno imenovanemu koordinatorju za institucije, organe in agencije Unije, za namene usklajenega razkrivanja ranljivosti evropskemu registru ranljivosti iz člena 6 Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov].

(18)Leta 2020 je usmerjevalni odbor CERT-EU določil nov strateški cilj za CERT-EU, da bi se zagotovila celovita ter ustrezno obsežna in poglobljena raven kibernetske obrambe za vse institucije, organe in agencije Unije ter stalno prilagajanje sedanjim ali prihodnjim grožnjam, vključno z napadi na mobilne naprave, okolja v oblaku in naprave interneta stvari. Strateški cilj vključuje tudi zelo različne centre za varnostne operacije, ki spremljajo omrežja, in spremljanje 24 ur na dan, sedem dni v tednu, za zelo resne grožnje. V zvezi z večjimi institucijami, organi in agencijami Unije bi moral CERT-EU podpirati njihove ekipe za varnost IT, vključno s primarnim spremljanjem 24 ur na dan, sedem dni v tednu. Manjšim in nekaj srednjim institucijam, organom in agencijam Unije bi CERT-EU moral zagotavljati vse storitve.

(19)CERT-EU bi moral tudi izpolnjevati vlogo, ki je zanj predvidena v Direktivi [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov], v zvezi s sodelovanjem in izmenjavo informacij z mrežo skupin za odzivanje na incidente na področju računalniške varnosti (skupine CSIRT). Poleg tega bi moral CERT-EU v skladu s Priporočilom Komisije (EU) 2017/1584 4 sodelovati z zadevnimi deležniki in se z njimi usklajevati glede odzivanja. Za prispevanje k visoki ravni kibernetske varnosti v Uniji bi moral z nacionalnimi sorodnimi organi deliti informacije, povezane z incidenti. Prav tako bi moral sodelovati z drugimi javnimi in zasebnimi sorodnimi organi, tudi pri Natu, pri čemer sodelovanje predhodno odobri IICB.

(20)Pri podpori operativni kibernetski varnosti bi moral CERT-EU izkoriščati razpoložljivo strokovno znanje Agencije Evropske unije za kibernetsko varnost prek strukturiranega sodelovanja, kot je predvideno v Uredbi (EU) 2019/881 Evropskega parlamenta in Sveta 5 . Po potrebi bi bilo treba sprejeti posebne dogovore med tema dvema subjektoma, s katerimi bi določili praktično izvajanje takega sodelovanja in se izogibali podvajanju dejavnosti. CERT-EU bi moral z Agencijo Evropske unije za kibernetsko varnost sodelovati v zvezi z analizo groženj in ji redno posredovati svoje poročilo o grožnjah.

(21)V podporo skupni kibernetski enoti, vzpostavljeni v skladu s priporočilom Komisije z dne 23. junija 2021 6 , bi moral CERT-EU sodelovati z deležniki in si z njimi izmenjevati informacije, da bi se olajšalo operativno sodelovanje in se obstoječim mrežam omogočilo, da pri varovanju Unije uresničijo ves svoj potencial.

(22)Vsi osebni podatki, obdelani na podlagi te uredbe, bi se morali obdelovati v skladu z zakonodajo o varstvu podatkov, vključno z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta 7 .

(23)CERT-EU ter institucije, organi in agencije Unije bi morali z informacijami ravnati v skladu s pravili iz Uredbe [predlagana uredba o informacijski varnosti]. Za zagotavljanje usklajevanja glede varnostnih vprašanj bi bilo treba o vsakem stiku s CERT-EU, ki ga vzpostavijo ali nameravajo vzpostaviti nacionalne varnostne in obveščevalne službe, nemudoma obvestiti direktorat Evropske komisije za varnost in predsednika IICB.

(24)Ker so storitve in naloge CERT-EU v interesu vseh institucij, organov in agencij Unije, bi morala vsaka institucija, organ ali agencija Unije z izdatki za IT prispevati pravičen delež k tem storitvam in nalogam. Taki prispevki ne posegajo v proračunsko avtonomijo institucij, organov in agencij Unije.

(25)IICB bi moral ob pomoči CERT-EU pregledati in oceniti izvajanje te uredbe ter Komisiji poročati o svojih ugotovitvah. Na podlagi tega prispevka bi morala Komisija poročati Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij –

SPREJELA NASLEDNJO UREDBO:

Poglavje I 
SPLOŠNE DOLOČBE

Člen 1
Predmet urejanja

Ta uredba določa:

(a)obveznosti za institucije, organe in agencije Unije, v skladu s katerimi morajo vzpostaviti notranji okvir za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost;

(b)obveznosti za institucij, organe in agencije Unije glede obvladovanja tveganj za kibernetsko varnost in poročanja;

(c)pravila o organizaciji in delovanju centra za kibernetsko varnost za institucije, organe in agencije Unije (CERT-EU) ter o organizaciji in delovanju Medinstitucionalnega odbora za kibernetsko varnost.

Člen 2
Področje uporabe

Ta uredba se uporablja za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost, ki jih izvajajo vse institucije, organi in agencije Unije, ter za organizacijo in delovanje CERT-EU in Medinstitucionalnega odbora za kibernetsko varnost.

Člen 3
Opredelitev pojmov

V tej uredbi se uporabljajo naslednje opredelitve pojmov:

(1)„institucije, organi in agencije Unije“ pomeni institucije, organe in agencije Unije, ustanovljene s Pogodbo o Evropski uniji, Pogodbo o delovanju Evropske unije ali Pogodbo o ustanovitvi Evropske skupnosti za atomsko energijo ali na njihovi podlagi;

(2)„omrežje in informacijski sistem“ pomeni omrežje in informacijski sistem v smislu člena 4(1) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(3)„varnost omrežij in informacijskih sistemov“ pomeni varnost omrežij in informacijskih sistemov v smislu člena 4(2) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(4)„kibernetska varnost“ pomeni kibernetsko varnost v smislu člena 4(3) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(5)„najvišja raven upravljanja“ pomeni vodjo, vodstvo ali organ za usklajevanje in nadzor na najvišji upravni ravni, ob upoštevanju ureditev upravljanja na visoki ravni v vsaki institucij, organu ali agenciji Unije;

(6)„incident“ pomeni incident v smislu člena 4(5) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(7)„pomembni incident“ pomeni vsak incident, razen če ima omejen učinek in obstaja verjetnost, da je z vidika metode ali tehnologije že dobro razumljen;

(8)„večji napad“ pomeni vsak incident, ki zahteva več virov, kot jih imata na voljo prizadeta institucija, organ ali agencija Unije in CERT-EU;

(9)„obvladovanje incidentov“ pomeni obvladovanje incidenta v smislu člena 4(6) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(10)„kibernetska grožnja“ pomeni kibernetsko grožnjo v smislu člena 2(8) Uredbe (EU) 2019/881;

(11)„pomembna kibernetska grožnja“ pomeni kibernetsko grožnjo z namenom, priložnostjo in zmožnostjo povzročiti pomemben incident;

(12)„ranljivost“ pomeni šibko točko v smislu člena 4(8) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov];

(13)„pomembna ranljivost“ pomeni ranljivost, ki bo, če bo izkoriščena, po vsej verjetnosti vodila do pomembnega incidenta;

(14)„tveganje za kibernetsko varnost“ pomeni vsako razumno določljivo okoliščino ali dogodek, ki ima lahko negativen učinek na varnost omrežja in informacijskih sistemov;

(15)„skupna kibernetska enota“ pomeni virtualno in fizično sodelovalno platformo za različne skupnosti za kibernetsko varnost v Uniji, s poudarkom na operativnem in tehničnem usklajevanju zoper večje čezmejne kibernetske grožnje in incidente v smislu priporočila Komisije z dne 23. junija 2021;

(16)„osnovni ukrepi za kibernetsko varnost“ pomeni sklop minimalnih pravil o kibernetski varnosti, ki jih morajo omrežja in informacijski sistemi ter njihovi upravljavci in uporabniki upoštevati, da zmanjšajo tveganja za kibernetsko varnost.

Poglavje II 
UKREPI ZA VISOKO SKUPNO RAVEN KIBERNETSKE VARNOSTI

Člen 4
Obvladovanje, upravljanje in nadzor tveganj

1.Vsaka institucija, organ in agencija Unije vzpostavi lasten notranji okvir za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost (v nadaljnjem besedilu: okvir) v podporo poslanstvu subjekta in izvajanju njegove institucionalne avtonomije. To delo nadzoruje najvišja raven upravljanja subjekta, da se zagotovi učinkovito in preudarno obvladovanje vseh tveganj za kibernetsko varnost. Okvir se vzpostavi najpozneje do …. [15 mesecev po začetku veljavnosti te uredbe].

2.Okvir zajema celotno okolje IT zadevne institucije, organa ali agencije, vključno z morebitnim okoljem IT v njenih prostorih, sredstvi in storitvami v okoljih računalništva v oblaku, ki jih upravlja zunanji izvajalec ali gostijo tretje osebe, mobilnimi napravami, korporativnimi omrežji, poslovnimi omrežji, ki niso povezana z internetom, in vsemi napravami, povezanimi z okoljem IT. Okvir upošteva neprekinjeno poslovanje in krizno upravljanje ter varnost dobavne verige in obvladovanje človeških tveganj, ki bi lahko vplivali na kibernetsko varnost zadevne institucije, organa ali agencije Unije.

3.Najvišja raven upravljanja vsake institucije, organa in agencije Unije zagotavlja nadzor nad skladnostjo svoje organizacije z obveznostmi, povezanimi z obvladovanjem, upravljanjem in nadzorom tveganj za kibernetsko varnost brez poseganja v dolžnosti drugih ravni upravljanja glede skladnosti in obvladovanja tveganja na njihovih področjih pristojnosti.

4.Vse institucije, organi in agencije Unije imajo vzpostavljene učinkovite mehanizme za zagotavljanje, da se za kibernetsko varnost nameni ustrezen delež proračuna za IT.

5.Vsaka institucija, organ in agencija Unije imenuje lokalnega uradnika za kibernetsko varnost ali enakovredno funkcijo, ki deluje kot njegova enotna kontaktna točka v zvezi z vsemi vidiki kibernetske varnosti.

Člen 5
Osnovni ukrepi za kibernetsko varnost

1.Najvišja raven upravljanja vsake institucije, organa in agencije Unije odobri osnovne ukrepe subjekta za kibernetsko varnost za obravnavo tveganj, opredeljenih v okviru iz člena 4(1). To stori v podporo svojemu poslanstvu in pri izvajanju svoje institucionalne avtonomije. Osnovni ukrepi za kibernetsko varnost so vzpostavljeni najpozneje do ... [18 mesecev po začetku veljavnosti te uredbe] ter se nanašajo na področja iz Priloge I in ukrepe iz Priloge II.

2.Višje vodstvo vsake institucije, organa in agencije Unije redno opravlja posebno usposabljanje, da pridobi dovolj znanja in spretnosti za razumevanje in oceno tveganj za kibernetsko varnost in praks obvladovanja ter njihovega vpliva na delovanje organizacije.

Člen 6
Ocene zrelosti

Vsaka institucija, organ in agencija Unije najmanj vsaka tri leta izvede oceno kibernetskovarnostne zrelosti, ki vključuje vse elemente njenega okolja IT, kot je opisano v členu 4, ob upoštevanju ustreznih smernic in priporočil, sprejetih v skladu s členom 13.

Člen 7
Načrti za kibernetsko varnost

1.Najvišja raven upravljanja vsake institucije, organa in agencije Unije na podlagi sklepov ocene zrelosti in ob upoštevanju sredstev in tveganj, opredeljenih v skladu s členom 4, po vzpostavitvi okvira za obvladovanje, upravljanje in nadzor tveganj ter osnovnih ukrepov za kibernetsko varnost nemudoma odobri načrt za kibernetsko varnost. Cilj načrta je izboljšati splošno kibernetsko varnost zadevnega subjekta, s tem pa prispeva k doseganju ali zvišanju visoke skupne ravni kibernetske varnosti vseh institucij, organov in agencij Unije. V podporo poslanstvu subjekta na podlagi institucionalne avtonomije načrt vključuje najmanj področja, navedena v Prilogi I, ukrepe, navedene v Prilogi II, ter ukrepe v zvezi s pripravljenostjo na incidente, odzivanjem nanje in okrevanjem po njih, kot sta varnostno spremljanje in vodenje dnevnikov. Načrt se pregleda najmanj vsaka tri leta, in sicer na podlagi ocen zrelosti, izvedenih v skladu s členom 6.

2.Načrt za kibernetsko varnost vključuje vloge članov osebja in odgovornosti za njegovo izvajanje.

3.Načrt za kibernetsko varnost upošteva vse veljavne smernice in priporočila, ki jih izda CERT-EU.

Člen 8
Izvajanje

1.Institucije, organi in agencije Unije po zaključku ocen zrelosti te predložijo Medinstitucionalnemu odboru za kibernetsko varnost. Pripravijo varnostne načrte in Medinstitucionalni odbor za kibernetsko varnost obvestijo o njihovi pripravi. Na zahtevo odbora poročajo o posameznih vidikih tega poglavja.

2.Smernice in priporočila, izdani v skladu s členom 13, podpirajo izvajanje določb iz tega poglavja.

Poglavje III 
MEDINSTITUCIONALNI ODBOR ZA KIBERNETSKO VARNOST

Člen 9
Medinstitucionalni odbor za kibernetsko varnost

1.Vzpostavi se Medinstitucionalni odbor za kibernetsko varnost (IICB).

2.IICB je odgovoren za:

(a)spremljanje, kako institucije, organi in agencije Unije izvajajo to uredbo, ter

(b)nadzor nad tem, kako CERT-EU izvaja splošne prednostne naloge in cilje, pri čemer IICB CERT-EU zagotavlja strateške usmeritve.

3.IICB sestavljajo trije predstavniki, ki jih imenuje mreža agencij Unije (EUAN) na predlog svojega svetovalnega odbora za IKT in ki zastopajo interese agencij in organov, ki upravljajo svoje okolje IT, ter po en predstavnik, ki ga imenuje vsak od spodaj navedenih:

(a)Evropski parlament;

(b)Svet Evropske unije;

(c)Evropska komisija;

(d)Sodišče Evropske unije;

(e)Evropska centralna banka;

(f)Evropsko računsko sodišče;

(g)Evropska služba za zunanje delovanje;

(h)Evropski ekonomsko-socialni odbor;

(i)Evropski odbor regij;

(j)Evropska investicijska banka;

(k)Agencija Evropske unije za kibernetsko varnost.

Članom lahko pomaga namestnik. Predsednik lahko povabi druge predstavnike zgoraj navedenih organizacij ali drugih institucij, organov in agencij Unije, da se udeležijo sestankov IICB brez pravice do glasovanja.

4.IICB sprejme svoj notranji poslovnik.

5.IICB v skladu z notranjim poslovnikom med svojimi člani imenuje predsednika za obdobje štirih let. Njegov namestnik postane polnopravni član IICB za enako obdobje.

6.IICB se sestane na pobudo predsednika, na zahtevo CERT-EU ali na zahtevo katerega koli člana.

7.Vsak član IICB ima en glas. IICB odločitve sprejema z navadno večino, razen če je v tej uredbi določeno drugače. Predsednik ne glasuje, razen v primeru neodločenega izida glasovanja, ko ima odločilni glas.

8.IICB lahko deluje po poenostavljenem pisnem postopku, ki se začne v skladu z notranjim poslovnikom IICB. V skladu s tem postopkom se zadevna odločitev šteje za odobreno v roku, ki ga določi predsednik, razen v primeru ugovora člana.

9.Vodja CERT-EU ali njegov ali njen namestnik se udeležuje sestankov IICB, razen če IICB odloči drugače.

10.Sekretariat IICB zagotavlja Komisija.

11.Predstavniki, ki jih mreža agencij Unije imenuje na predlog svetovalnega odbora za IKT, odločitve IICB posredujejo agencijam Unije ter skupnim podjetjem. Vsaka agencija in organ Unije ima pravico, da na predstavnike ali predsednika IICB naslovi katero koli vprašanje, za katero meni, da bi ga IICB moral obravnavati.

12.IICB lahko deluje po poenostavljenem pisnem postopku, ki ga začne predsednik, v skladu s katerim se zadevna odločitev šteje za odobreno v roku, ki ga določi predsednik, razen v primeru ugovora člana.

13.IICB lahko imenuje izvršni odbor, ki mu pomaga pri delu ter na katerega prenese nekaj svojih nalog in pooblastil. IICB določi poslovnik izvršnega odbora, vključno z njegovimi nalogami in pooblastili, ter mandat njegovih članov.

Člen 10
Naloge IICB

IICB pri izvrševanju svojih obveznosti zlasti:

(a)prouči vsa poročila, ki se zahtevajo od CERT-EU, o stanju izvajanja te uredbe s strani institucij, organov in agencij Unije;

(b)na podlagi predloga vodje CERT-EU odobri letni delovni program za CERT-EU in spremlja njegovo izvajanje;

(c)na podlagi predloga vodje CERT-EU odobri katalog storitev CERT-EU;

(d)na podlagi predloga, ki ga predloži vodja CERT-EU, odobri letno finančno načrtovanje prihodkov in izdatkov, vključno z osebjem, za dejavnosti CERT-EU;

(e)na podlagi predloga vodje CERT-EU odobri načine izvajanja sporazumov o ravni storitev;

(f)preveri in odobri letno poročilo, ki ga pripravi vodja CERT-EU ter zajema dejavnosti CERT-EU in upravljanje njegovih sredstev;

(g)odobri in spremlja ključne kazalnike uspešnosti za CERT-EU, opredeljene na predlog vodje CERT-EU;

(h)odobri dogovore o sodelovanju ter ureditve ali pogodbe o ravni storitev med CERT-EU in drugimi subjekti v skladu s členom 17;

(i)vzpostavi toliko tehničnih svetovalnih skupin, kot je potrebno za pomoč IICB pri njegovem delu, odobri njihov mandat in imenuje njihove predsednike.

Člen 11
Skladnost

IICB spremlja, kako institucije, organi in agencije Unije izvajajo to uredbo ter sprejete smernice, priporočila in pozive k ukrepanju. Kadar IICB ugotovi, da institucije, organi ali agencije Unije niso učinkovito uporabljale ali izvajale te uredbe ali smernic, priporočil in pozivov k ukrepanju, izdanih na podlagi te uredbe, lahko brez poseganja v notranje postopke zadevne institucije, organa ali agencije Unije:

(a)izda opozorilo; po potrebi zaradi velikega tveganja za kibernetsko varnost je krog prejemnikov opozorila ustrezno omejen;

(b)ustrezni službi za reviziji predlaga izvedbo revizije.

Poglavje IV 
CERT-EU

Člen 12
Poslanstvo in naloge CERT-EU

1.Poslanstvo CERT-EU, samostojnega medinstitucionalnega centra za kibernetsko varnost za vse institucije, organe in agencije Unije, je prispevati k varnosti okolja netajnih podatkov IT vseh institucij, organov in agencij Unije, tako da jim svetuje glede kibernetske varnosti ter jim pomaga preprečiti, odkriti in ublažiti incidente ter se odzivati nanje, deluje pa tudi kot njihovo vozlišče za izmenjavo informacij o kibernetski varnosti in za usklajevanje odzivanja na incidente.

2.CERT-EU za institucije, organe in agencije Unije izvaja naslednje naloge:

(a)podpira jih pri izvajanju te uredbe in prispeva k usklajevanju uporabe te uredbe z ukrepi iz člena 13(1) ali ad hoc poročili, ki jih zahteva IICB;

(b)podpira jih s svežnjem storitev za kibernetsko varnost, opisanih v katalogu storitev CERT-EU (v nadaljnjem besedilu: osnovne storitve);

(c)vzdržuje mrežo podobnih institucij, organov in agencij ter partnerjev za podporo storitev, kot so navedene v členih 16 in 17;

(d)IICB opozori na katero koli vprašanje, ki se nanaša na izvajanje te uredbe ali smernic, priporočil in pozivov k ukrepanju;

(e)poroča o kibernetskih grožnjah, ki so jim izpostavljeni institucije, organi in agencije Unije, ter prispeva k situacijskem zavedanju na področju kibernetske varnosti v EU.

3.CERT-EU prispeva k skupni kibernetski enoti, vzpostavljeni v skladu s priporočilom Komisije z dne 23. junija 2021, vključno na naslednjih področjih:

(a)pripravljenost, obvladovanje incidentov, izmenjava informacij in odzivanje na krize na tehnični ravni v zvezi s primeri, povezanimi z institucijami, organi in agencijami Unije;

(b)operativno sodelovanje v zvezi z mrežo skupin za odzivanje na incidente na področju računalniške varnosti (skupine CSIRT), vključno z vzajemno pomočjo, in širšo skupnostjo za kibernetsko varnost;

(c)obveščevalni podatki o kibernetskih grožnjah, vključno s situacijskim zavedanjem;

(d)vsaka tema, ki zahteva tehnično strokovno znanje CERT-EU na področju kibernetske varnosti.

4.CERT-EU strukturirano sodeluje z Agencijo Evropske unije za kibernetsko varnost pri krepitvi zmogljivosti, operativnem sodelovanju in dolgoročnih strateških analizah kibernetskih groženj v skladu z Uredbo (EU) 2019/881 Evropskega parlamenta in Sveta.

5.CERT-EU lahko zagotavlja naslednje storitve, ki niso opisane v njegovem katalogu storitev (v nadaljnjem besedilu: storitve, ki se zaračunajo):

(a)storitve, ki podpirajo kibernetsko varnost okolja IT institucij, organov in agencij Unije, razen storitev iz odstavka 2, in sicer na podlagi sporazumov o ravni storitev in glede na razpoložljive vire;

(b)storitve, ki podpirajo operacije ali projekte institucij, organov in agencij Unije za kibernetsko varnost, razen tistih za zaščito njihovih okolij IT, in sicer na podlagi pisnih dogovorov in s predhodno odobritvijo IICB;

(c)storitve, ki podpirajo varnost okolja IT organizacij, ki niso institucije, organi in agencije Unije, ki tesno sodelujejo z institucijami, organi in agencijami Unije, ki so jim na primer bile dodeljene naloge ali odgovornosti v skladu s pravom Unije, na podlagi pisnih sporazumov in s predhodno odobritvijo IICB.

6.CERT-EU lahko organizira vaje na področju kibernetske varnosti ali priporoča udeležbo na obstoječih vajah, v tesnem sodelovanju z Agencijo Evropske unije za kibernetsko varnost, kadar se zdi primerno, da preizkusi raven kibernetske varnosti institucij, organov in agencij Unije.

7.CERT-EU lahko institucijam, organom in agencijam Unije zagotovi pomoč v zvezi z incidenti v tajnih okoljih IT, če to izrecno zahteva zadevni udeleženec.

Člen 13
Smernice, priporočila in pozivi k ukrepanju

1.CERT-EU podpira izvajanje te uredbe z izdajo:

(a)pozivov k ukrepanju, ki opisujejo nujne varnostne ukrepe, ki naj bi jih institucije, organi in agencije Unije nujno sprejeli v določenem časovnem obdobju;

(b)predlogov za IICB za smernice, naslovljene na vse ali podskupino institucij, organov in agencij Unije;

(c)predlogov za IICB za priporočila, naslovljena na posamezne institucije, organe in agencije Unije.

2.Smernice in priporočila lahko vključujejo:

(a)načine izvajanja obvladovanja tveganj za kibernetsko varnost in osnovnih ukrepov za kibernetsko varnost ali njihove izboljšave;

(b)načine izvajanja ocen zrelosti in načrtov za kibernetsko varnost ter

(c)kadar je primerno, uporabo skupne tehnologije, arhitekture in povezanih dobrih praks s ciljem doseganja interoperabilnosti in skupnih standardov v smislu člena 4(10) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov].

3.IICB lahko na predlog CERT-EU sprejme smernice ali priporočila.

4.IICB lahko CERT-EU naroči izdajo, umik ali spremembo predloga za smernice ali priporočila ali poziv k ukrepanju.

Člen 14
Vodja CERT-EU

Vodja CERT-EU IICB in njegovemu predsedniku redno posreduje poročila o delovanju CERT-EU, finančnem načrtovanju, prihodkih, izvrševanju proračuna, sporazumih o ravni storitev in sklenjenih pisnih sporazumih, sodelovanju s sorodnimi organi in partnerji ter službenih potovanjih osebja, vključno s poročili iz člena 10(1).

Člen 15
Finančne in kadrovske zadeve

1.Komisija po pridobitvi soglasne odobritve IICB imenuje vodjo CERT-EU. Posvetovanje z IICB se izvede v vseh fazah postopka pred imenovanjem vodje CERT-EU, zlasti pri pripravi razpisov prostega delovnega mesta, pregledovanju prijav in imenovanju izbirnih komisij v zvezi s tem delovnim mestom.

2.Pri uporabi upravnih in finančnih postopkov vodja CERT-EU deluje pod nadzorom Komisije.

3.Naloge in dejavnosti, vključno s storitvami, ki jih CERT-EU institucijam, organom in agencijam Unije zagotavlja v skladu s členom 12(2), (3), (4) in (6) ter členom 13(1) in so financirane iz razdelka večletnega finančnega okvira, namenjenega evropski javni upravi, se financirajo iz posebne proračunske vrstice proračuna Komisije. Delovna mesta, rezervirana za CERT-EU, se podrobneje opredelijo v opombi h kadrovskemu načrtu Komisije.

4.Institucije, organi in agencije Unije, razen tistih iz odstavka 3, CERT-EU zagotovijo letni finančni prispevek za kritje storitev, ki jih CERT-EU zagotavlja v skladu z odstavkom 3. Ustrezni prispevki temeljijo na usmeritvah IICB, o njih pa se vsak subjekt in CERT-EU dogovorita v sporazumih o ravni storitev. Prispevki pomenijo pravičen in sorazmeren delež skupnih stroškov zagotovljenih storitev. Zbirajo se na posebni proračunski vrstici iz odstavka 3 kot namenski prejemki, kot je določeno v členu 21(3), točka (c), Uredbe (EU, Euratom) 2018/1046 Evropskega parlamenta in Sveta 8 .

5.Stroške nalog, opredeljenih v členu 12(5), krijejo institucije, organi in agencije Unije, ki prejemajo storitve CERT-EU. Prihodki se dodelijo proračunskim vrsticam, ki krijejo stroške.

Člen 16
Sodelovanje CERT-EU s sorodnimi organi iz držav članic

1.CERT-EU sodeluje in si izmenjuje informacije z nacionalnimi sorodnimi organi v državah članicah, vključno s skupinami CERT, nacionalnimi centri za kibernetsko varnost, skupinami CSIRT in enotnimi kontaktnimi točkami iz člena 8 Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov], v zvezi s kibernetskimi grožnjami, ranljivostmi in incidenti, možnimi protiukrepi ter vsemi zadevami, pomembnimi za izboljšanje zaščite okolij IT institucij, organov in agencij Unije, vključno prek mreže skupin CSIRT iz člena 13 Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov].

2.CERT-EU si lahko za olajšanje odkrivanja podobnih kibernetskih groženj in incidentov z nacionalnimi sorodnimi organi v državah članicah izmenjuje z incidenti povezane informacije brez soglasja prizadetega udeleženca. CERT-EU si lahko z incidenti povezane informacije, ki razkrivajo identiteto tarče kibernetskega incidenta, izmenjuje le s soglasjem prizadetega udeleženca.

Člen 17
Sodelovanje CERT-EU s sorodnimi organi, ki niso iz držav članic

1.CERT-EU lahko s sorodnimi organi, ki niso iz držav članic, vključno s sorodnimi organi iz posameznih industrijskih sektorjev, sodeluje v zvezi z orodji in metodami, kot so tehnike, taktike, postopki in dobre prakse, ter v zvezi s kibernetskimi grožnjami in ranljivostmi. Za vse sodelovanje s takimi sorodnimi organi, tudi kadar sorodni organi, ki niso iz EU, sodelujejo z nacionalnimi sorodnimi organi držav članic, CERT-EU pridobi predhodno soglasje IICB.

2.CERT-EU lahko za zbiranje informacij o splošnih in specifičnih kibernetskih grožnjah, ranljivostih in možnih protiukrepih sodeluje z drugimi partnerji, kot so komercialni subjekti, mednarodne organizacije, nacionalni subjekti, ki ne prihajajo iz Evropske unije, ali posamezni strokovnjaki. Za širše sodelovanje s takimi partnerji si CERT-EU pridobi predhodno soglasje IICB.

3.CERT-EU lahko s soglasjem udeleženca, ki ga je incident prizadel, partnerjem, ki lahko prispevajo k njegovi analizi, zagotovi z incidentom povezane informacije.

Poglavje V 
OBVEZNOSTI SODELOVANJA IN POROČANJA

Člen 18
Ravnanje z informacijami

1.CERT-EU ter institucije, organi in agencije Unije spoštujejo obveznost varovanja poslovne skrivnosti v skladu s členom 339 Pogodbe o delovanju Evropske unije ali enakovrednimi veljavnimi okviri.

2.Določbe Uredbe (ES) št. 1049/2001 Evropskega parlamenta in Sveta 9 se uporabljajo v zvezi z zahtevami za dostop javnosti do dokumentov, ki jih ima CERT-EU, vključno z obveznostmi iz navedene Uredbe, da se je treba posvetovati z drugimi institucijami, organi in agencijami Unije, kadar se zahteva nanaša na njihove dokumente.

3.Obdelavo osebnih podatkov na podlagi te uredbe ureja Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta.

4.CERT-EU ter njegove institucije, organi in agencije Unije s podatki ravnajo v skladu s pravili iz [predlagane uredbe o informacijski varnosti].

5.O vsakem stiku s CERT-EU, ki ga vzpostavijo ali nameravajo vzpostaviti nacionalne varnostne in obveščevalne službe, se nemudoma obvestita direktorat Komisije za varnost in predsednik IICB.

Člen 19
Obveznosti izmenjave

1.Da bi CERT-EU lahko usklajeval obvladovanje ranljivosti in odzivanje na incidente, lahko institucije, organe in agencije Unije zaprosi za predložitev informacij iz njihovih zbirk sistemov IT, ki so pomembne za podporo CERT-EU. Zaprošena institucija, organ ali agencija nemudoma posreduje zahtevane informacije in vse njihove naknadne posodobitve.

2.Institucije, organi in agencije Unije na zahtevo CERT-EU nemudoma zagotovijo digitalne informacije, ustvarjene z elektronskimi napravami, uporabljenimi v zadevnih incidentih. CERT-EU lahko dodatno pojasni, katere vrste takih digitalnih informacij potrebuje za situacijsko zavedanje in odzivanje na incidente.

3.CERT-EU si lahko z incidenti povezane informacije, ki razkrivajo identiteto institucije, organa ali agencije Unije, ki jo je prizadel incident, izmenjuje le s soglasjem prizadetega subjekta. CERT-EU si lahko z incidenti povezane informacije, ki razkrivajo identiteto tarče kibernetskega incidenta, izmenjuje le s soglasjem subjekta, ki ga je prizadel incident.

4.Obveznosti izmenjave ne veljajo za tajne podatke EU in informacije, ki jih je institucija, organ ali agencija Unije prejela od varnostne ali obveščevalne službe ali organa kazenskega pregona države članice pod izrecnim pogojem, da se ne bodo delili s CERT-EU.

Člen 20
Obveznosti obveščanja

1.Vse institucije, organi in agencije Unije CERT-EU nemudoma predložijo začetno priglasitev o pomembnih kibernetskih grožnjah, pomembnih ranljivostih in pomembnih incidentih, vsekakor pa najpozneje 24 ur po seznanitvi z njimi.

V ustrezno utemeljenih primerih in v dogovoru s CERT-EU lahko zadevna institucija, organ ali agencija Unije odstopa od roka, določenega v prejšnjem odstavku.

2.Institucije, organi in agencije Unije nadalje nemudoma obvestijo CERT-EU o ustreznih tehničnih podrobnostih o kibernetskih grožnjah, ranljivostih in incidentih, ki omogočajo odkrivanje, odzivanje na incidente ali blažilne ukrepe. Obvestilo vsebuje naslednje, če so na voljo:

(a)ustrezne kazalnike ogroženosti;

(b)ustrezne mehanizme odkrivanja;

(c)možen učinek;

(d)ustrezne blažilne ukrepe.

3.CERT-EU agenciji ENISA vsak mesec predloži zbirno poročilo, vključno z anonimiziranimi in zbirnimi podatki o pomembnih kibernetskih grožnjah, pomembnih ranljivostih in pomembnih incidentih, priglašenih v skladu z odstavkom 1.

4.IICB lahko izda smernice ali priporočila v zvezi z načini in vsebino obvestila. CERT-EU razširi ustrezne tehnične podrobnosti, da se institucijam, organom in agencijam Unije omogočijo proaktivno odkrivanje, odzivanje na incidente ali blažilni ukrepi.

5.Obveznosti obveščanja ne veljajo za tajne podatke EU in informacije, ki jih je institucija, organ ali agencija Unije prejela od varnostne ali obveščevalne službe ali organa kazenskega pregona države članice pod izrecnim pogojem, da se ne bodo delili s CERT-EU.

Člen 21
Usklajevanje odzivanja na incidente in sodelovanje pri pomembnih incidentih

1.CERT-EU, ki deluje kot vozlišče za izmenjavo informacij o kibernetski varnosti in usklajevanje odzivanja na incidente, olajša izmenjavo informacij v zvezi s kibernetskimi grožnjami, ranljivostmi in incidenti med:

(a)institucijami, organi in agencijami Unije;

(b)sorodnimi organi iz členov 16 in 17.

2.CERT-EU olajša usklajevanje med institucijami, organi in agencijami Unije v zvezi z odzivanjem na incidente, vključno s:

(a)prispevkom k doslednemu zunanjemu komuniciranju;

(b)medsebojno pomočjo;

(c)optimalno uporabo operativnih virov;

(d)usklajevanjem z drugimi mehanizmi za odzivanje na krize na ravni Unije.

3.CERT-EU podpira institucije, organe in agencije Unije v zvezi s situacijskim zavedanjem o kibernetskih grožnjah, ranljivostih in incidentih.

4.IICB izda smernice o usklajevanju odzivanja na incidente in sodelovanju pri pomembnih incidentih. Kadar obstaja sum, da je incident kaznivo dejanje, CERT-EU zagotovi smernice o tem, kako incident prijaviti organom kazenskega pregona.

Člen 22
Večji napadi

1.CERT-EU usklajuje odzive na večje napade med institucijami, organi in agencijami Unije. Vzdržuje zbirko tehničnega strokovnega znanja, ki bi bilo potrebno za odzivanje na incidente v primeru takih napadov.

2.Institucije, organi in agencije Unije prispevajo v zbirko tehničnega strokovnega znanja, tako da zagotovijo letno posodobljen seznam strokovnjakov, ki so na voljo v njihovih organizacijah, z navedbo posebnih tehničnih znanj in spretnosti strokovnjakov.

3.CERT-EU lahko z odobritvijo zadevnih institucij, organov in agencij Unije strokovnjake, navedene na seznamu iz odstavka 2, pozove, naj prispevajo k odzivanju na večji napad v državi članici, v skladu z operativnimi postopki skupne kibernetske enote.

Poglavje VI 
KONČNE DOLOČBE

Člen 23
Začetne proračunske prerazporeditve

Komisija predlaga prerazporeditev osebja in finančnih virov iz zadevnih institucij, organov in agencij Unije v proračun Komisije. Prerazporeditev se izvede hkrati s sprejetjem prvega proračuna po začetku veljavnosti te uredbe.

Člen 24
Pregled

1.IICB ob pomoči CERT-EU redno poroča Komisiji o izvajanju te uredbe. IICB lahko Komisiji izda tudi priporočila, naj predlaga spremembe te uredbe.

2.Komisija poroča Evropskemu parlamentu in Svetu o izvajanju te uredbe najpozneje 48 mesecev po začetku veljavnosti te uredbe in nato vsaka tri leta.

3.Komisija oceni delovanje te uredbe in poroča Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij pet let po datumu začetka veljavnosti.

Člen 25
Začetek veljavnosti

Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

V Bruslju,

OCENA FINANČNIH POSLEDIC ZAKONODAJNEGA PREDLOGA

1.OKVIR PREDLOGA/POBUDE

1.1.Naslov predloga/pobude

1.2.Zadevna področja

1.3.Ukrep, na katerega se predlog/pobuda nanaša

1.4.Cilji

1.4.1.Splošni cilji

1.4.2.Specifični cilji

1.4.3.Pričakovani rezultati in posledice

1.4.4.Kazalniki smotrnosti

1.5.Utemeljitev predloga/pobude

1.5.1.Potrebe, ki jih je treba zadovoljiti kratkoročno ali dolgoročno, vključno s podrobno časovnico za uvajanje ustreznih ukrepov za izvajanje pobude

1.5.2.Dodana vrednost ukrepanja Unije (ki je lahko posledica različnih dejavnikov, npr. boljšega usklajevanja, pravne varnosti, večje učinkovitosti ali dopolnjevanja). Za namene te točke je „dodana vrednost ukrepanja Unije“ vrednost, ki izhaja iz ukrepanja Unije in predstavlja dodatno vrednost poleg tiste, ki bi jo sicer ustvarile države članice same.

1.5.3.Spoznanja iz podobnih izkušenj v preteklosti

1.5.4.Skladnost z večletnim finančnim okvirom in možne sinergije z drugimi ustreznimi instrumenti

1.5.5.Ocena različnih razpoložljivih možnosti financiranja, vključno z možnostmi za prerazporeditev

1.6.Trajanje predloga/pobude in finančnih posledic

1.7.Načrtovani načini upravljanja

2.UKREPI UPRAVLJANJA

2.1.Pravila o spremljanju in poročanju

2.2.Upravljavski in kontrolni sistemi

2.2.1.Utemeljitev načinov upravljanja, mehanizmov financiranja, načinov plačevanja in predlagane strategije kontrol

2.2.2.Podatki o ugotovljenih tveganjih in vzpostavljenih sistemih notranjih kontrol za njihovo zmanjševanje

2.2.3.Ocena in utemeljitev stroškovne učinkovitosti kontrol (razmerje „stroški kontrol ÷ vrednost z njimi povezanih upravljanih sredstev“) ter ocena pričakovane stopnje tveganja napake (ob plačilu in ob zaključku)

2.3.Ukrepi za preprečevanje goljufij in nepravilnosti

3.OCENA FINANČNIH POSLEDIC PREDLOGA/POBUDE

3.1.Zadevni razdelki večletnega finančnega okvira in odhodkovne proračunske vrstice

3.2.Ocenjene finančne posledice predloga za odobritve

3.2.1.Povzetek ocenjenih posledic za odobritve za poslovanje

3.2.2.Ocenjene realizacije, financirane z odobritvami za poslovanje

3.2.3.Povzetek ocenjenih posledic za upravne odobritve

3.2.4.Skladnost z veljavnim večletnim finančnim okvirom

3.2.5.Udeležba tretjih oseb pri financiranju

3.3.Ocenjene posledice za prihodke

OCENA FINANČNIH POSLEDIC ZAKONODAJNEGA PREDLOGA

1.OKVIR PREDLOGA/POBUDE 

1.1.Naslov predloga/pobude

1.2.Zadevna področja 

1.3.Ukrep, na katerega se predlog/pobuda nanaša 

Nov ukrep 

 Nov ukrep na podlagi pilotnega projekta / pripravljalnega ukrepa 10  

 Podaljšanje obstoječega ukrepa 

 Združitev ali preusmeritev enega ali več ukrepov v drug/nov ukrep 

1.4.Cilji

1.4.1.Splošni cilji

1.4.2.Specifični cilji

(1)Določiti obveznosti za institucije, organe in agencije Unije v zvezi z vzpostavitvijo notranjega okvira za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost. 

(2)Določiti obveznosti za institucije, organe in agencije Unije za poročanje o njihovih okvirih za obvladovanje, upravljanje in nadzor tveganj za kibernetsko varnost ter o kibernetskih incidentih.

(3)Določiti pravila o organizaciji in delovanju centra za kibernetsko varnost za institucije, organe in agencije Unije (CERT-EU) ter o organizaciji in delovanju Medinstitucionalnega odbora za kibernetsko varnost (IICB).

(4)Prispevati k skupni kibernetski enoti.

1.4.3.Pričakovani rezultati in posledice

Navedite, kakšne učinke naj bi imel(-a) predlog/pobuda za upravičence/ciljne skupine.

1.4.4.Kazalniki smotrnosti

Navedite, s katerimi kazalniki se bodo spremljali napredek in dosežki.

1.5.Utemeljitev predloga/pobude 

1.5.1.Potrebe, ki jih je treba zadovoljiti kratkoročno ali dolgoročno, vključno s podrobno časovnico za uvajanje ustreznih ukrepov za izvajanje pobude

1.5.2.Dodana vrednost ukrepanja Unije (ki je lahko posledica različnih dejavnikov, npr. boljšega usklajevanja, pravne varnosti, večje učinkovitosti ali dopolnjevanja). Za namene te točke je „dodana vrednost ukrepanja Unije“ vrednost, ki izhaja iz ukrepanja Unije in predstavlja dodatno vrednost poleg tiste, ki bi jo sicer ustvarile države članice same.

1.5.3.Spoznanja iz podobnih izkušenj v preteklosti

1.5.4.Skladnost z večletnim finančnim okvirom in možne sinergije z drugimi ustreznimi instrumenti

1.5.5.Ocena različnih razpoložljivih možnosti financiranja, vključno z možnostmi za prerazporeditev

1.6.Trajanje predloga/pobude in finančnih posledic

 Časovno omejeno

–    od [D. MMMM] LLLL do [D. MMMM] LLLL,

–    finančne posledice med letoma LLLL in LLLL za odobritve za prevzem obveznosti ter med letoma LLLL in LLLL za odobritve plačil.

 Časovno neomejeno

–Finančne posledice bi se morale začeti s sprejetjem prvega proračuna po začetku veljavnosti Uredbe. Prerazporeditev virov z institucij in glavnih organov Unije na Komisijo bi bila izvedena v prvem letu, ki se šteje za prehodno leto; ta in druge (pre)razporeditve virov bodo izvedene v okviru letnih proračunov. Če bo Uredba sprejeta leta 2022, bo proračunsko leto 2023 prehodno obdobje, proračunsko leto 2024 pa se bo izvajalo v polnem obsegu.

1.7.Načrtovani načini upravljanja 12   

 Neposredno upravljanje s strani Komisije ter vsake institucije, organa in agencije Unije

– z lastnimi službami, vključno s svojim osebjem v delegacijah Unije,

–    prek izvajalskih agencij.

 Deljeno upravljanje z državami članicami.

 Posredno upravljanje, tako da se naloge izvrševanja proračuna poverijo:

– tretjim državam ali organom, ki jih te imenujejo,

– mednarodnim organizacijam in njihovim agencijam (navedite),

– EIB in Evropskemu investicijskemu skladu,

– organom iz členov 70 in 71 finančne uredbe,

– subjektom javnega prava,

– subjektom zasebnega prava, ki opravljajo javne storitve, kolikor ti subjekti zagotavljajo ustrezna finančna jamstva,

– subjektom zasebnega prava države članice, ki so pooblaščeni za izvajanje javno-zasebnih partnerstev in ki zagotavljajo ustrezna finančna jamstva,

– osebam, pooblaščenim za izvajanje določenih ukrepov SZVP na podlagi naslova V PEU in opredeljenim v zadevnem temeljnem aktu.

–Pri navedbi več kot enega načina upravljanja je treba to natančneje obrazložiti v oddelku „opombe“.

Opombe

(a)za opravljanje nalog za institucije, organe in agencije Unije, podrobno opredeljenih v členu 12(2), točke (a), (b), (c) in (e): 13,75 EPDČ in 11,275 milijona EUR;

(b)za opravljanje nalog, podrobno opredeljenih v členu 12(3) (prispevek za skupno kibernetsko enoto): 2 EPDČ in 381 000 EUR;

(c)za opravljanje nalog, podrobno opredeljenih v členu 12(4) (strukturirano sodelovanje z ENISA): 0,25 EPDČ in 236 000 EUR;

(d)za opravljanje nalog, podrobno opredeljenih v členu 12(6) (vaje na področju kibernetske varnosti): 0,25 EPDČ in 79 000 EUR;

(e)za opravljanje nalog, podrobno opredeljenih v členu 12(2), točka (d), in členu 13 (analiza in poročanje o izvajanju Uredbe, priprava smernic, priporočil in pozivov k ukrepanju): 3,75 EPDČ in 2,079 milijona EUR;

(f)za opravljanje nalog v podporo sekretariatu Medinstitucionalnega odbora za kibernetsko varnost (IICB): 1 EPDČ.

2.UKREPI UPRAVLJANJA 

2.1.Pravila o spremljanju in poročanju 

Navedite pogostost in pogoje.

2.2.Upravljavski in kontrolni sistemi 

2.2.1.Utemeljitev načinov upravljanja, mehanizmov financiranja, načinov plačevanja in predlagane strategije kontrol

2.2.2.Podatki o ugotovljenih tveganjih in vzpostavljenih sistemih notranjih kontrol za njihovo zmanjševanje

2.2.3.Ocena in utemeljitev stroškovne učinkovitosti kontrol (razmerje „stroški kontrol ÷ vrednost z njimi povezanih upravljanih sredstev“) ter ocena pričakovane stopnje tveganja napake (ob plačilu in ob zaključku) 

2.3.Ukrepi za preprečevanje goljufij in nepravilnosti 

Navedite obstoječe ali načrtovane preprečevalne in zaščitne ukrepe, npr. iz strategije za boj proti goljufijam.

3.OCENA FINANČNIH POSLEDIC PREDLOGA/POBUDE 

3.1.Zadevni razdelki večletnega finančnega okvira in odhodkovne proračunske vrstice 

·Obstoječe proračunske vrstice

Po vrstnem redu razdelkov večletnega finančnega okvira in proračunskih vrstic

·Zahtevane nove proračunske vrstice

Po vrstnem redu razdelkov večletnega finančnega okvira in proračunskih vrstic

3.2.Ocenjene finančne posledice predloga za odobritve 

3.2.1.Povzetek ocenjenih posledic za odobritve za poslovanje 

–    Za predlog/pobudo niso potrebne odobritve za poslovanje.

–    Za predlog/pobudo so potrebne odobritve za poslovanje, kot je pojasnjeno v nadaljevanju:

v mio. EUR (na tri decimalna mesta natančno)

GD več				Leto  2023	Leto  2024	Leto  2025	Leto  2026	Leto  2027	SKUPAJ
□ Odobritve za poslovanje
Proračunske vrstice, ki zajemajo prispevke Unije za decentralizirane agencije (xx 10 xx xx) 16	obveznosti	(1a)		2,459	2,459	2,459	2,459	2,459	12,293
	plačila	(2a)		2,459	2,459	2,459	2,459	2,459	12,293
Odobritve za upravne zadeve, ki se financirajo iz sredstev določenih programov 17
Proračunska vrstica		(3)
Odobritve za GD <…….>  za GD: več, SKUPAJ	obveznosti	= 1a + 1b + 3		2,459	2,459	2,459	2,459	2,459	12,293
	plačila	= 2a + 2b + 3		2,459	2,459	2,459	2,459	2,459	12,293

Če ima predlog/pobuda posledice za več razdelkov za poslovanje, ponovite zgornji odsek:

Ta oddelek se izpolni s „proračunskimi podatki upravne narave“, ki jih je treba najprej vnesti v Prilogo k oceni finančnih posledic zakonodajnega predloga (Priloga V k notranjim pravilom), ki se prenese v sistem DECIDE za namene posvetovanj med službami.

v mio. EUR (na tri decimalna mesta natančno)

Odobritve iz RAZDELKA 7  večletnega finančnega okvira  SKUPAJ

(obveznosti skupaj = plačila skupaj)

9,122

11,047

11,675

12,146

12,146

56,136

v mio. EUR (na tri decimalna mesta natančno)

(*) Prispevki institucij, organov in agencij Unije, ki se financirajo sami, so ocenjeni na 2,670 milijona EUR na leto (skupaj za pet let 13,350 milijona EUR). Prispevki bodo pomenili namenske prejemke za CERT-EU. Zgornje preglednice vključujejo le ocenjene skupne posledice za proračun Unije in ne vključujejo navedenih prejemkov.

3.2.2.Ocenjene realizacije, financirane z odobritvami za poslovanje 

odobritve za prevzem obveznosti v mio. EUR (na tri decimalna mesta natančno)

3.2.3.Povzetek ocenjenih posledic za upravne odobritve 

–    Za predlog/pobudo niso potrebne odobritve za upravne zadeve.

–    Za predlog/pobudo so potrebne odobritve za upravne zadeve, kot je pojasnjeno v nadaljevanju:

v mio. EUR (na tri decimalna mesta natančno)

RAZDELEK 7  večletnega finančnega okvira
Človeški viri
Stalno osebje (razredi AD)	1,099	2,041	2,669	3,14	3,14	12,089
Pogodbeni uslužbenci	0,085	0,085	0,085	0,085	0,085	0,425
Drugi upravni odhodki	7,938	8,921	8,921	8,921	8,921	43,622
Seštevek za RAZDELEK 7  večletnega finančnega okvira	9,122	11,047	11,675	12,146	12,146	56,136

Odobritve zunaj RAZDELKA 7 20   večletnega finančnega okvira
Človeški viri
Drugi upravni odhodki
Seštevek za odobritve   zunaj RAZDELKA 7  večletnega finančnega okvira

SKUPAJ

9,122

11,047

11,675

12,146

12,146

56,136

Potrebe po odobritvah za človeške vire in druge upravne odhodke se krijejo z odobritvami GD, ki so že dodeljene za upravljanje ukrepa in/ali so bile prerazporejene znotraj GD, po potrebi skupaj z dodatnimi viri, ki se lahko pristojnemu GD dodelijo v postopku letne dodelitve virov glede na proračunske omejitve.

3.2.3.1.Ocenjene potrebe po človeških virih

–    Za predlog/pobudo niso potrebni človeški viri.

–    Za predlog/pobudo so potrebni človeški viri, kot je pojasnjeno v nadaljevanju:

ocena, izražena v ekvivalentu polnega delovnega časa

XX je zadevno področje ali naslov v proračunu.

Potrebe po človeških virih se krijejo z osebjem GD, ki je že dodeljeno za upravljanje ukrepa in/ali je bilo prerazporejeno znotraj GD, po potrebi skupaj z dodatnimi viri, ki se lahko pristojnemu GD dodelijo v postopku letne dodelitve virov glede na proračunske omejitve.

Opis nalog:

3.2.4.Skladnost z veljavnim večletnim finančnim okvirom 

Predlog/pobuda:

–    se lahko v celoti financira s prerazporeditvijo znotraj zadevnega razdelka večletnega finančnega okvira;

–    zahteva uporabo nedodeljene razlike do zgornje meje v zadevnem razdelku večletnega finančnega okvira in/ali uporabo posebnih instrumentov, kot so opredeljeni v uredbi o večletnem finančnem okviru;

–    zahteva spremembo večletnega finančnega okvira.

3.2.5.Udeležba tretjih oseb pri financiranju 

V predlogu/pobudi:

–    ni načrtovano sofinanciranje tretjih oseb 23

–    je načrtovano sofinanciranje, kot je ocenjeno v nadaljevanju:

odobritve v mio. EUR (na tri decimalna mesta natančno)

3.3.Ocenjene posledice za prihodke 

–    Predlog/pobuda nima finančnih posledic za prihodke.

–    Predlog/pobuda ima finančne posledice, kot je pojasnjeno v nadaljevanju:

–    za lastna sredstva,

–    za druge prihodke.

–navedite, ali so prihodki dodeljeni za odhodkovne vrstice     

v mio. EUR (na tri decimalna mesta natančno)

Za namenske prejemke navedite zadevne odhodkovne proračunske vrstice.

Druge opombe (npr. metoda/formula za izračun posledic za prihodke ali druge informacije).

(1)    „Pomembni incident“ pomeni vsak incident, razen če ima omejen učinek in obstaja verjetnost, da je z vidika metode ali tehnologije že dobro razumljen.

(2)    Vir: Gartner, „Identifying the Real Information Security Budget“ (Opredelitev dejanskega proračuna za informacijsko varnost) (2016). To je poleg posrednih izdatkov za varnost IT, na primer za varnost omrežja, kot so požarni zidovi, antivirusni programi in odgovornosti lastnika sistema, kot sta ocena tveganja in izvajanje varnostnih kontrol. V dokument iz leta 2020 je navedeno, da finančne institucij za kibernetsko varnost namenjajo 10–11 % porabe za IT, vir: DI_2020-FS-ISAC-Cybersecurity.pdf (deloitte.com) .

(3)    UL C 12, 13.1.2018, str. 1.

(4)    Priporočilo Komisije (EU) 2017/1584 z dne 13. septembra 2017 o usklajenem odzivu na velike kibernetske incidente in krize (UL L 239, 19.9.2017, str. 36).

(5)    Uredba (EU) 2019/881 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o Agenciji Evropske unije za kibernetsko varnost (ENISA) in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti ter razveljavitvi Uredbe (EU) št. 526/2013 (Akt o kibernetski varnosti) (UL L 151, 7.6.2019, str. 15).

(6)    Priporočilo Komisije C(2021) 4520 z dne 23. junija 2021 o vzpostavitvi skupne kibernetske enote.

(7)    Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).

(8)    Uredba (EU, Euratom) 2018/1046 Evropskega parlamenta in Sveta z dne 18. julija 2018 o finančnih pravilih, ki se uporabljajo za splošni proračun Unije, spremembi uredb (EU) št. 1296/2013, (EU) št. 1301/2013, (EU) št. 1303/2013, (EU) št. 1304/2013, (EU) št. 1309/2013, (EU) št. 1316/2013, (EU) št. 223/2014, (EU) št. 283/2014 in Sklepa št. 541/2014/EU ter razveljavitvi Uredbe (EU, Euratom) št. 966/2012 (UL L 193, 30.7.2018, str. 1).

(9)    Uredba (ES) št. 1049/2001 Evropskega parlamenta in Sveta z dne 30. maja 2001 o dostopu javnosti do dokumentov Evropskega parlamenta, Sveta in Komisije (UL L 145, 31.5.2001, str. 43).

(10)    Po členu 58(2)(a) oz. (b) finančne uredbe.

(11)    Sklic: [posebno poročilo Evropskega računskega sodišča o kibernetski varnosti v institucijah, organih in agencijah Unije].

(12)    Pojasnila o načinih upravljanja in sklici na finančno uredbo so na voljo na spletišču BudgWeb: https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx .

(13)    Dif. = diferencirana sredstva / nedif. = nediferencirana sredstva.

(14)    Efta: Evropsko združenje za prosto trgovino.

(15)    Države kandidatke in po potrebi potencialne kandidatke z Zahodnega Balkana.

(16)    Po uradni proračunski nomenklaturi.

(17)    Tehnična in/ali upravna pomoč ter odhodki za podporo izvajanja programov in/ali ukrepov EU (prej vrstice BA), posredne raziskave, neposredne raziskave.

(18)    Realizacije so dobavljeni proizvodi in opravljene storitve (npr. število financiranih izmenjav študentov, število kilometrov novozgrajenih cest …).

(19)    Kakor je opisan v točki 1.4.2 „Specifični cilji …“.

(20)    Tehnična in/ali upravna pomoč ter odhodki za podporo izvajanja programov in/ali ukrepov EU (prej vrstice BA), posredne raziskave, neposredne raziskave.

(21)    PU = pogodbeni uslužbenec; LU = lokalni uslužbenec; NNS = napoteni nacionalni strokovnjak; ZU = začasni uslužbenec; MSD = mladi strokovnjak na delegaciji.

(22)    Dodatna zgornja meja za zunanje sodelavce v okviru odobritev za poslovanje (prej vrstice BA).

(23)    Namenski prejemki, ki izhajajo iz občasnega zagotavljanja storitev organizacijam, ki niso udeleženci, kot so predvidene v členu 12(5), točka (c), niso bili ocenjeni, ker bi morali biti zanemarljivi.

(24)    Leto N je leto začetka izvajanja predloga/pobude. Nadomestite „N“ s pričakovanim prvim letom izvajanja (na primer: 2021). Naredite isto za naslednja leta.

(25)    Pri tradicionalnih lastnih sredstvih (carine, prelevmani na sladkor) se navedejo neto zneski, tj. bruto zneski po odbitku 20 % stroškov pobiranja.

EVROPSKA KOMISIJA

Bruselj, 22.3.2022

COM(2022) 122 final

PRILOGI

k

predlogu UREDBE EVROPSKEGA PARLAMENTA IN SVETA

o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije

{SWD(2022) 67 final} - {SWD(2022) 68 final}

PRILOGA I

V osnovnih ukrepih za kibernetsko varnost se obravnavajo naslednja področja:

(1)politika na področju kibernetske varnosti, vključno s cilji in prednostnimi nalogami za varnost omrežij in informacijskih sistemov, zlasti v zvezi z uporabo storitev računalništva v oblaku (smislu člena 4(19) Direktive [predlog revidirane direktive o varnosti omrežij in informacijskih sistemov]) in tehničnimi ureditvami za omogočanje dela na daljavo;

(2)organizacija kibernetske varnosti, vključno z opredelitvijo vlog in odgovornosti;

(3)upravljanje sredstev, vključno s popisom sredstev IT in kartografijo omrežja IT;

(4)nadzor dostopa;

(5)varnost operacij;

(6)varnost komunikacij;

(7)nakup, razvoj in vzdrževanje sistemov;

(8)odnosi z dobavitelji;

(9)obvladovanje incidentov, vključno s pristopi za izboljšanje pripravljenosti na incidente, odzivanje nanje in okrevanje po njih, ter s sodelovanjem s CERT-EU, kot je ohranjanje varnostnega spremljanja in vodenja dnevnikov;

(10)upravljanje neprekinjenega poslovanja in krizno upravljanje, ter

(11)izobraževanje, ozaveščanje in programi usposabljanja na področju kibernetske varnosti.

PRILOGA II

Institucije, organi in agencije Unije pri izvajanju osnovnih ukrepov za kibernetsko varnost in v svojih načrtih za kibernetsko varnost v skladu s smernicami in priporočili IICB obravnavajo vsaj naslednje specifične ukrepe za kibernetsko varnost:

(1)konkretne ukrepe za prehod na arhitekturo ničelnega zaupanja (ki pomeni varnostni model, sklop načel zasnove sistemov ter usklajeno strategijo za kibernetsko varnost in upravljanje sistema na podlagi zavedanja, da grožnje obstajajo znotraj tradicionalnih meja omrežja in zunaj njih);

(2)sprejetje večfaktorske avtentifikacije kot norme v omrežjih in informacijskih sistemih;

(3)vzpostavitev varnosti dobavne verige programske opreme z merili za varni razvoj in oceno programske opreme;

(4)okrepitev pravil o javnem naročanju za omogočanje visoke skupne ravni kibernetske varnosti:

(a)z odpravo pogodbenih ovir, ki omejujejo izmenjavo informacij med ponudniki storitev IT in CERT-EU o incidentih, šibkih točkah in kibernetskih grožnjah;

(b)s pogodbenimi obveznostmi glede poročanja o incidentih, šibkih točkah in kibernetskih grožnjah ter glede vzpostavitve ustreznega odzivanja na incidente in njihovega spremljanja.