(1)

V zvezi s ponudniki storitev DNS, registri TLD imen, ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnega centra, ponudniki omrežij za dostavo vsebin, ponudniki upravljanih storitev, ponudniki upravljanih varnostnih storitev, ponudniki spletnih tržnic, spletnih iskalnikov in platform za storitve družbenega mreženja ter ponudniki storitev zaupanja, kot so zajeti v členu 3 Direktive (EU) 2022/2555 (v nadaljnjem besedilu: zadevni subjekti), je namen te uredbe določiti tehnične in metodološke zahteve ukrepov iz člena 21(2) Direktive (EU) 2022/2555 ter podrobneje opredeliti primere, v katerih bi bilo treba incident šteti za pomembnega, kot je navedeno v členu 23(3) Direktive (EU) 2022/2555.

(2)

Ob upoštevanju čezmejne narave njihovih dejavnosti in za zagotovitev skladnega okvira za ponudnike storitev zaupanja bi bilo treba v tej uredbi v zvezi s ponudniki storitev zaupanja poleg tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost podrobneje opredeliti primere, v katerih se incident šteje za pomembnega.

(3)

V skladu s členom 21(5), tretji pododstavek, Direktive (EU) 2022/2555 tehnične in metodološke zahteve ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi temeljijo na evropskih in mednarodnih standardih, kot so ISO/IEC 27001, ISO/IEC 27002 in ETSI EN 319401, ter tehničnih specifikacijah, kot je CEN/TS 18026:2024, ki so pomembni za varnost omrežnih in informacijskih sistemov.

(4)

Kar zadeva izvajanje in uporabo tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi, bi bilo treba pri izpolnjevanju teh zahtev v skladu z načelom sorazmernosti ustrezno upoštevati različno izpostavljenost zadevnih subjektov tveganjem, kot je kritičnost zadevnega subjekta, tveganja, ki so jim izpostavljeni, velikost in strukturo zadevnega subjekta ter verjetnost pojava incidentov in njihovo resnost, vključno z njihovim družbenim in gospodarskim vplivom.

(5)

V skladu z načelom sorazmernosti bi morali imeti zadevni subjekti, kadar zaradi svoje velikosti ne morejo izvajati nekaterih tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost, možnost, da sprejmejo druge izravnalne ukrepe, ki so primerni za doseganje namena navedenih zahtev. Mikrosubjekti imajo lahko na primer pri opredeljevanju vlog, odgovornosti in pooblastil za varnost omrežnih in informacijskih sistemov v zadevnem subjektu težave pri ločevanju nasprotujočih si nalog in nasprotujočih si področij odgovornosti. Taki subjekti bi morali imeti možnost, da razmislijo o izravnalnih ukrepih, kot so ciljno usmerjen nadzor s strani vodstva subjekta ali okrepljeno spremljanje in vodenje dnevnikov.

(6)

Zadevni subjekti bi morali, kadar je ustrezno ali relevantno ali kolikor je izvedljivo, uporabljati nekatere tehnične in metodološke zahteve iz Priloge k tej uredbi. Kadar zadevni subjekt meni, da uporaba nekaterih tehničnih in metodoloških zahtev iz Priloge k tej uredbi ni ustrezna, relevantna ali izvedljiva, bi moral v ta namen na razumljiv način dokumentirati svojo utemeljitev. Pristojni nacionalni organi lahko pri izvajanju nadzora upoštevajo ustrezen čas, ki ga zadevni subjekti potrebujejo za izvedbo tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost.

(7)

Agencija Evropske unije za kibernetsko varnost (v nadaljnjem besedilu: ENISA) ali pristojni nacionalni organi lahko v skladu z Direktivo (EU) 2022/2555 zagotovijo smernice za podporo zadevnim subjektom pri opredelitvi, analizi in oceni tveganj za namene izvajanja tehničnih in metodoloških zahtev v zvezi z vzpostavitvijo in vzdrževanjem ustreznega okvira za obvladovanje tveganj. Take smernice lahko vključujejo zlasti nacionalne in sektorske ocene tveganja ter ocene tveganja, specifične za določeno vrsto subjekta. Vključujejo lahko tudi orodja ali predloge za razvoj okvira za obvladovanje tveganj na ravni zadevnih subjektov. Zadevnim subjektom so lahko pri dokazovanju skladnosti s to uredbo v pomoč tudi okviri, smernice ali drugi mehanizmi, določeni v nacionalnem pravu držav članic, ter zadevni evropski in mednarodni standardi. Poleg tega lahko ENISA ali pristojni nacionalni organi v skladu z Direktivo (EU) 2022/2555 podpirajo zadevne subjekte pri opredeljevanju in izvajanju ustreznih rešitev za obravnavo tveganj, opredeljenih v takih ocenah tveganja. Take smernice ne bi smele posegati v obveznost zadevnih subjektov, da opredelijo in dokumentirajo tveganja za varnost omrežnih in informacijskih sistemov ter da izvajajo tehnične in metodološke zahteve ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi v skladu z njihovimi potrebami in viri.

(8)

Ukrepi za varnost omrežja, povezani s: (i) prehodom na komunikacijske protokole omrežne plasti zadnje generacije, (ii) uvedbo mednarodno dogovorjenih in interoperabilnih sodobnih standardov za elektronsko pošto ter (iii) uporabo najboljših praks za varnost DNS ter varnost in higieno internetnih storitev usmerjanja, prinašajo posebne izzive glede opredelitve najboljših razpoložljivih standardov in tehnik uvajanja. Da bi čim prej dosegli visoko skupno raven kibernetske varnosti v omrežjih, bi morala Komisija ob pomoči ENISA in v sodelovanju s pristojnimi organi, industrijo, vključno s telekomunikacijsko industrijo, in drugimi deležniki podpreti razvoj foruma različnih deležnikov, katerega naloga bi bila opredelitev teh najboljših razpoložljivih standardov in tehnik uvajanja. Take smernice različnih deležnikov ne bi smele posegati v obveznost zadevnih subjektov, da izvajajo tehnične in metodološke zahteve ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi.

(9)

V skladu s členom 21(2), točka (a), Direktive (EU) 2022/2555 bi morali imeti bistveni in pomembni subjekti poleg politik o analizi tveganja tudi politike o varnosti informacijskih sistemov. V ta namen bi morali zadevni subjekti vzpostaviti politiko o varnosti omrežnih in informacijskih sistemov ter politike za posamezne teme, kot je nadzor dostopa, ki bi morale biti skladne s politiko o varnosti omrežnih in informacijskih sistemov. Politika o varnosti omrežnih in informacijskih sistemov bi morala biti dokument na najvišji ravni, ki določa splošni pristop zadevnih subjektov k varnosti omrežnih in informacijskih sistemov, odobriti pa bi jo morali upravni organi zadevnih subjektov. Tematske politike bi se morale odobriti na ustrezni vodstveni ravni. Politika bi morala določati kazalnike in ukrepe za spremljanje njenega izvajanja in trenutno raven zrelosti varnosti omrežnih in informacijskih sistemov zadevnih subjektov, zlasti za olajšanje nadzora nad izvajanjem ukrepov za obvladovanje tveganj za kibernetsko varnost prek upravljalnih organov.

(10)

Za namene tehničnih in metodoloških zahtev iz Priloge k tej uredbi bi moral izraz „uporabnik“ zajemati vse pravne in fizične osebe, ki imajo dostop do omrežnih in informacijskih sistemov subjekta.

(11)

Za opredelitev in obravnavanje tveganj za varnost omrežnih in informacijskih sistemov bi morali zadevni subjekti vzpostaviti in vzdrževati ustrezen okvir za obvladovanje tveganj. Zadevni subjekti bi morali kot del okvira za obvladovanje tveganj vzpostaviti, izvajati in spremljati načrt za obravnavo tveganj. Zadevni subjekti lahko načrt za obravnavo tveganj uporabijo za opredelitev in prednostno razvrstitev možnosti in ukrepov za obravnavo tveganj. Možnosti za obravnavo tveganj vključujejo zlasti izogibanje tveganju, zmanjšanje tveganja ali v izjemnih primerih njegovo sprejemanje. Pri izbiri možnosti za obravnavo tveganj bi bilo treba upoštevati rezultate ocene tveganja, ki jo je izvedel zadevni subjekt, in politiko zadevnega subjekta o varnosti omrežnih in informacijskih sistemov. Za uveljavitev izbranih možnosti za obravnavo tveganj bi morali zadevni subjekti sprejeti ustrezne ukrepe za obravnavo tveganj.

(12)

Za odkrivanje dogodkov, skorajšnjih incidentov in incidentov bi morali zadevni subjekti spremljati svoje omrežne in informacijske sisteme ter sprejeti ukrepe za oceno dogodkov, skorajšnjih incidentov in incidentov. Ti ukrepi bi morali omogočati pravočasno odkrivanje omrežnih napadov, ki temeljijo na neobičajnih vhodnih ali izhodnih prometnih vzorcih in napadih za zavrnitev storitve.

(13)

Kadar zadevni subjekti izvedejo analizo poslovnega učinka, se jih spodbuja k izvedbi celovite analize, s katero po potrebi določijo najdaljše dopustno trajanje izpada ter cilje glede časa vnovične vzpostavitve delovanja, točke vnovične vzpostavitve delovanja in zagotavljanja storitev.

(14)

Za zmanjšanje tveganj, ki izhajajo iz dobavne verige zadevnega subjekta in njegovega odnosa z dobavitelji, bi morali zadevni subjekti vzpostaviti politiko varnosti dobavne verige, ki bi urejala njihove odnose z neposrednimi dobavitelji in ponudniki storitev. Ti subjekti bi morali v pogodbah s svojimi neposrednimi dobavitelji ali ponudniki storitev določiti ustrezne varnostne klavzule, ki bi na primer, kadar je ustrezno, zahtevale ukrepe za obvladovanje tveganj za kibernetsko varnost v skladu s členom 21(2) Direktive (EU) 2022/2555, ali druge podobne pravne zahteve.

(15)

Zadevni subjekti bi morali redno izvajati varnostno testiranje na podlagi namenske politike in postopkov, da bi preverili, ali se ukrepi za obvladovanje tveganj za kibernetsko varnost izvajajo in ali pravilno delujejo. Varnostni testi se lahko izvajajo na posebnih omrežnih in informacijskih sistemih ali zadevnem subjektu kot celoti ter lahko vključujejo avtomatizirane ali ročne teste, penetracijske teste, pregledovanje ranljivosti, statične in dinamične varnostne teste za aplikacije, konfiguracijske teste in revizije varnosti. Zadevni subjekti lahko varnostne teste na svojih omrežnih in informacijskih sistemih izvajajo ob njihovi vzpostavitvi, po nadgradnji ali spremembah infrastrukture ali aplikacij, za katere menijo, da so pomembne, ali po vzdrževanju. Ugotovitve varnostnih testov bi morale biti podlaga za politike in postopke zadevnih subjektov za oceno učinkovitosti ukrepov za obvladovanje tveganj za kibernetsko varnost ter za neodvisne preglede njihovih politik za varnost omrežnih in informacijskih sistemov.

(16)

Da bi se izognili znatnim motnjam in škodi, ki jih povzroči izkoriščanje neodpravljenih šibkih točk v omrežnih in informacijskih sistemih, bi morali zadevni subjekti določiti in uporabljati ustrezne postopke za upravljanje varnostih popravkov, ki so usklajeni s postopki zadevnih subjektov za upravljanje sprememb, ranljivosti in tveganj ter drugimi postopki. Zadevni subjekti bi morali sprejeti ukrepe, sorazmerne z njihovimi viri, da bi zagotovili, da varnostni popravki ne povzročajo dodatnih ranljivosti ali nestabilnosti. Zadevne subjekte se spodbuja, naj stranke vnaprej ustrezno obvestijo o načrtovani nedostopnosti storitve zaradi uporabe varnostnih popravkov.

(17)

Zadevni subjekti bi morali obvladovati tveganja, ki izhajajo iz pridobivanja proizvodov storitev IKT od dobaviteljev ali ponudnikov storitev, in pridobiti zagotovilo, da ti proizvodi ali storitve IKT dosegajo določene ravni zaščite kibernetske varnosti, na primer z evropskimi certifikati kibernetske varnosti in izjavami EU o skladnosti za proizvode ali storitve IKT, izdanimi v okviru evropske certifikacijske sheme za kibernetsko varnost, sprejete v skladu s členom 49 Uredbe (EU) 2019/881 Evropskega parlamenta in Sveta (2). Kadar zadevni subjekti določijo varnostne zahteve, ki se uporabljajo za izdelke IKT, ki jih nameravajo pridobiti, bi morali upoštevati bistvene zahteve glede kibernetske varnosti iz uredbe Evropskega parlamenta in Sveta o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi.

(18)

Zadevni subjekti bi morali za zaščito pred kibernetskimi grožnjami ter v podporo preprečevanju in omejevanju kršitev varstva podatkov izvajati rešitve za varnost omrežij. Tipične rešitve za varnost omrežja vključujejo uporabo požarnih zidov za zaščito notranjih omrežij zadevnih subjektov, omejitev povezav ter dostop do storitev, kadar so povezave in dostop nujno potrebni, ter uporabo navideznih zasebnih omrežij za oddaljeni dostop in omogočanje povezave ponudnikom storitev šele po vložitvi zahtevka za dovoljenje in za določeno obdobje, kot je trajanje vzdrževanja.

(19)

Za zaščito omrežij zadevnih subjektov in njihovih informacijskih sistemov pred zlonamerno in nepooblaščeno programsko opremo bi morali ti subjekti izvajati kontrole, ki preprečujejo ali odkrivajo uporabo nepooblaščene programske opreme, in, kadar je ustrezno, uporabljati programsko opremo za odkrivanje in odzivanje. Zadevni subjekti bi morali razmisliti tudi o izvajanju ukrepov za zmanjšanje napadne površine in ranljivosti, ki jih lahko izkoriščajo napadalci, in nadzor nad izvajanjem aplikacij na končnih točkah ter o uporabi filtrov elektronske pošte in spletnih aplikacij za zmanjšanje izpostavljenosti zlonamernim vsebinam.

(20)

V skladu s členom 21(2), točka (g), Direktive (EU) 2022/2555 morajo države članice zagotoviti, da bistveni in pomembni subjekti uporabljajo osnovne prakse kibernetske higiene in se usposabljajo na področju kibernetske varnosti. Osnovne prakse kibernetske higiene lahko vključujejo načela popolnega nezaupanja, posodobitve programske opreme, konfiguracijo naprav, segmentacijo omrežja, upravljanje identitete in dostopa ter ozaveščenost uporabnikov, organizacijo usposabljanja in ozaveščanje zaposlenih v zvezi s kibernetskimi grožnjami, lažnim predstavljanjem in tehnikami socialnega inženiringa. Prakse kibernetske higiene so del različnih tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi. V zvezi z osnovnimi praksami kibernetske higiene za uporabnike bi morali zadevni subjekti upoštevati prakse, kot so politika prazne mize in zaslona, uporaba večfaktorske avtentikacije in drugih sredstev za avtentikacijo, varna uporaba elektronske pošte in varno brskanje po spletu, zaščita pred lažnim predstavljanjem in socialnim inženiringom ter varne prakse dela na daljavo.

(21)

Za preprečitev nepooblaščenega dostopa do sredstev zadevnih subjektov bi ti morali vzpostaviti in izvajati tematsko politiko, ki obravnava dostopanje oseb ter omrežnih in informacijskih sistemov, kot so aplikacije.

(22)

V izogib, da bi zaposleni na primer zlorabili pravice dostopa v zadevnem subjektu za povzročitev škode, bi morali zadevni subjekti razmisliti o ustreznih ukrepih za upravljanje varnosti zaposlenih in ozaveščati zaposlene o takih tveganjih. Zadevni subjekti bi morali določiti, sporočiti in vzdrževati disciplinski postopek za obravnavanje kršitev varnostnih politik zadevnih subjektov na področju varnosti omrežnih in informacijskih sistemov, ki je lahko vključen v druge disciplinske postopke, ki jih določijo zadevni subjekti. Preverjanja preteklosti zaposlenih ter, kadar je relevantno, neposrednih dobaviteljev in ponudnikov storitev zadevnih subjektov bi morala prispevati k cilju varnosti človeških virov v zadevnih subjektih in lahko vključujejo ukrepe, kot so preverjanje kazenske evidence osebe ali preteklih poklicnih dolžnosti, kot je ustrezno za naloge osebe v zadevnem subjektu in v skladu s politiko zadevnega subjekta o varnosti omrežnih in informacijskih sistemov.

(23)

Večfaktorska avtentikacija lahko izboljša kibernetsko varnost subjektov in bi jo ti morali upoštevati zlasti, kadar uporabniki dostopajo do omrežnih in informacijskih sistemov z oddaljenih lokacij ali kadar dostopajo do občutljivih informacij ali privilegiranih računov in računov za upravljanje sistema. Večfaktorska avtentikacija se lahko kombinira z drugimi tehnikami, da se v posebnih okoliščinah zahtevajo dodatni faktorji na podlagi vnaprej določenih pravil in vzorcev, kot je dostop z neobičajne lokacije, z neobičajne naprave ali v neobičajnem času.

(24)

Zadevni subjekti bi morali upravljati in varovati sredstva, ki so zanje pomembna, z dobrim upravljanjem sredstev, ki bi moralo služiti tudi kot podlaga za analizo tveganja in upravljanje neprekinjenega poslovanja. Zadevna podjetja bi morala upravljati opredmetena in neopredmetena sredstva ter oblikovati evidenco sredstev, povezati sredstva z opredeljeno razvrstitveno ravnjo, upravljati in spremljati sredstva ter sprejeti ukrepe za zaščito sredstev v njihovem celotnem življenjskem ciklu.

(25)

Upravljanje sredstev bi moralo vključevati razvrščanje sredstev glede na njihovo vrsto, občutljivost, raven tveganja in varnostne zahteve ter uporabo ustreznih ukrepov in kontrol za zagotovitev njihove razpoložljivosti, celovitosti, zaupnosti in avtentičnosti. Z razvrstitvijo sredstev glede na raven tveganja bi morali imeti zadevni subjekti možnost, da uporabijo ustrezne varnostne ukrepe in nadzor za zaščito sredstev, kot so šifriranje, nadzor dostopa, vključno z nadzorom okolice ter fizičnega in logičnega dostopa, varnostne kopije, vodenje dnevnikov in spremljanje, zadržanje ter odstranjevanje. Pri izvajanju analize poslovnega učinka lahko zadevni subjekti določijo razvrstitveno raven na podlagi posledic motenj sredstev za subjekte. Vsi zaposleni v podjetjih, ki upravljajo sredstva, morajo biti seznanjeni s politikami in navodili za ravnanje s sredstvi.

(26)

Granularnost evidence sredstev bi morala ustrezati potrebam zadevnih subjektov. Celovita evidenca sredstev bi lahko za vsako sredstvo vključevala vsaj edinstveni identifikator, lastnika, opis, lokacijo, vrsto, vrsto in razvrstitev informacij, obdelanih v sredstvu, datum zadnje posodobitve ali popravka, razvrstitev glede na oceno tveganja ter konec življenjske dobe. Pri identifikaciji lastnika sredstva bi morali zadevni subjekti opredeliti tudi osebo, odgovorno za zaščito navedenega sredstva.

(27)

Z dodeljevanjem in organizacijo vlog, odgovornosti in pooblastil na področju kibernetske varnosti bi se morala vzpostaviti dosledna struktura za upravljanje in izvajanje kibernetske varnosti v zadevnih subjektih ter zagotoviti učinkovita komunikacija v primeru incidentov. Pri opredeljevanju in dodeljevanju odgovornosti za nekatere vloge bi morali zadevni subjekti upoštevati vloge, kot so vodilni uradnik za informacijsko varnost, uradnik za informacijsko varnost, uradnik za obvladovanje incidentov, revizor ali primerljive enakovredne vloge. Zadevni subjekti lahko vloge in odgovornosti dodelijo zunanjim osebam, kot so tretji ponudniki storitev IKT.

(28)

V skladu s členom 21(2) Direktive (EU) 2022/2555 bi morali ukrepi za obvladovanje tveganj za kibernetsko varnost temeljiti na pristopu upoštevanja vseh nevarnosti, katerega namen je zaščititi omrežne in informacijske sisteme ter njihovo fizično okolje pred dogodki, kot so kraja, požar, poplave in izpadi telekomunikacij ali električne energije, ter pred kakršnim koli nepooblaščenim fizičnim dostopom in poškodbami ali poseganjem v informacije bistvenega ali pomembnega subjekta in njegovo opremo za obdelavo informacij, ki bi lahko ogrozili razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki se ponujajo ali so dostopne prek omrežnih in informacijskih sistemov. Tehnične in metodološke zahteve ukrepov za obvladovanje tveganj za kibernetsko varnost bi zato morale obravnavati tudi fizično in okoljsko varnost omrežnih in informacijskih sistemov z vključitvijo ukrepov za zaščito tovrstnih sistemov pred okvarami sistemov, človeškimi napakami, zlonamernimi dejanji ali naravnimi pojavi. Primeri fizičnih in okoljskih groženj so lahko tudi potresi, eksplozije, sabotaže, notranje grožnje, državljanski nemiri, strupeni odpadki in okoljske emisije. Preprečevanje izgube, poškodovanja ali ogrožanja omrežnih in informacijskih sistemov ali prekinitve njihovega delovanja zaradi okvar in motenj v podpornih javnih službah bi moralo prispevati k cilju neprekinjenega poslovanja v zadevnih subjektih. Poleg tega bi morala zaščita pred fizičnimi in okoljskimi grožnjami prispevati k vzdrževanju varnosti omrežnih in informacijskih sistemov v zadevnih subjektih.

(29)

Zadevni subjekti bi morali oblikovati in izvajati zaščitne ukrepe pred fizičnimi in okoljskimi grožnjami, določiti najnižje in najvišje nadzorne pragove za fizične in okoljske grožnje ter spremljati okoljske parametre. Razmisliti bi morali na primer o namestitvi sistemov za zgodnje odkrivanje poplav na območij, kjer se nahajajo omrežni in informacijski sistemi. Kar zadeva požarno nevarnost, bi morali zadevni subjekti razmisliti o vzpostavitvi ločenega požarnega oddelka za podatkovni center, uporabi protipožarnih materialov ter senzorjev za spremljanje temperature in vlažnosti, povezavi stavbe s sistemom za javljanje požara s samodejnim obveščanjem lokalne gasilske enote ter sistemih za zgodnje odkrivanje in gašenje požara. Zadevni subjekti bi morali izvajati tudi redne protipožarne vaje in požarne inšpekcije. Poleg tega bi morali zadevni subjekti za zagotovitev oskrbe z električno energijo razmisliti o prenapetostni zaščiti in ustreznem zasilnem električnem napajanju v skladu z zadevnimi standardi. Ker pregretje predstavlja tveganje za razpoložljivost omrežnih in informacijskih sistemov, bi lahko zadevni subjekti, zlasti ponudniki storitve podatkovnega centra, razmislili o ustreznih, neprekinjenih in redundantnih klimatskih sistemih.

(30)

Ta uredba podrobneje opredeljuje primere, v katerih bi bilo treba incident šteti za pomembnega za namene člena 23(3) Direktive (EU) 2022/2555. Merila bi morala biti taka, da lahko zadevni subjekti ocenijo, ali je incident pomemben, da bi ga priglasili v skladu z Direktivo (EU) 2022/2555. Poleg tega bi bilo treba merila iz te uredbe šteti za izčrpna, brez poseganja v člen 5 Direktive (EU) 2022/2555. Ta uredba opredeljuje primere, v katerih bi bilo treba incident šteti za pomembnega, in sicer z določitvijo horizontalnih primerov in primerov, specifičnih za posamezne subjekte.

(31)

V skladu s členom 23(4) Direktive (EU) 2022/2555 bi bilo treba od zadevnih subjektov zahtevati, da priglasijo pomembne incidente v rokih, določenih v navedeni določbi. Ti roki za priglasitev začnejo teči od trenutka, ko subjekt izve za take pomembne incidente. Zadevni subjekt mora zato poročati o incidentih, ki bi lahko na podlagi njegove začetne ocene povzročili resno operativno motnjo storitev ali finančno izgubo zanj ali vplivali na druge fizične ali pravne osebe s povzročitvijo znatne materialne ali nematerialne škode. Zadevni subjekt bi moral ob zaznavi sumljivega dogodka ali opozorilu tretje osebe, kot je posameznik, stranka, subjekt, organ, medijska organizacija ali drug vir, o morebitnem incidentu pravočasno oceniti sumljivi dogodek, da bi ugotovil, ali gre za incident, ter v primeru slednjega določiti njegovo naravo in resnost. Zato je treba šteti, da je zadevni subjekt ugotovil pomemben incident, kadar po taki začetni oceni z razumno stopnjo gotovosti domneva, da se je zgodil pomemben incident.

(32)

Za določanje, ali je incident pomemben, bi morali zadevni subjekti po potrebi upoštevati število uporabnikov, na katere je incident vplival, pri čemer bi morali upoštevati poslovne in končne stranke, s katerimi so zadevni subjekti v pogodbenem razmerju, ter fizične in pravne osebe, ki so povezane s poslovnimi strankami. Kadar zadevni subjekt ne more izračunati števila prizadetih uporabnikov, bi bilo treba pri izračunu skupnega števila uporabnikov, ki jih je incident prizadel, upoštevati oceno zadevnega subjekta o največjem možnem številu prizadetih uporabnikov. Pomembnost incidenta, ki vključuje storitev zaupanja, ne bi smela biti določena le s številom uporabnikov, temveč tudi s številom zanašajočih se strank, saj jim lahko tak incident ravno tako povzroči operativne motnje ter materialno ali nematerialno škodo. Zato bi morali ponudniki storitev zaupanja, kadar je relevantno, pri ugotavljanju, ali je incident pomemben, upoštevati tudi število zanašajočih se strank. V ta namen bi bilo treba zanašajoče se stranke razumeti kot fizične ali pravne osebe, ki se zanašajo na storitev zaupanja.

(33)

Vzdrževalna dela, katerih posledica je omejena razpoložljivost ali nerazpoložljivost storitev, se ne bi smela šteti za pomembne incidente, če do omejene razpoložljivosti ali nerazpoložljivosti storitve pride v skladu z načrtovanim vzdrževanjem. Poleg tega se za pomemben incident ne bi smelo šteti, kadar storitev ni razpoložljiva zaradi načrtovanih prekinitev, kot so prekinitve ali nerazpoložljivost na podlagi vnaprej določenega pogodbenega dogovora.

(34)

Trajanje incidenta, ki vpliva na razpoložljivost storitve, bi bilo treba meriti od začetka motnje ustreznega zagotavljanja take storitve do vnovične vzpostavitve delovanja. Kadar zadevni subjekt ne more določiti trenutka začetka motnje, bi bilo treba trajanje incidenta meriti od trenutka odkritja incidenta ali od trenutka, ko je bil incident zabeležen v omrežnih ali sistemskih dnevnikih ali drugih virih podatkov, kar nastopi prej.

(35)

Popolno nerazpoložljivost storitve bi bilo treba meriti od trenutka, ko je storitev uporabnikom popolnoma nerazpoložljiva, do trenutka, ko so se redne dejavnosti ali operacije ponovno vzpostavile na raven storitve, ki je bila zagotovljena pred incidentom. Kadar zadevni subjekt ne more določiti trenutka začetka popolne nerazpoložljivosti storitve, bi bilo treba nerazpoložljivost meriti od trenutka, ko jo je ta subjekt odkril.

(36)

Pri določanju neposrednih finančnih izgub zaradi incidenta bi morali zadevni subjekti upoštevati vse finančne izgube, ki so jih imeli zaradi incidenta, kot so stroški zamenjave ali premestitve programske opreme, strojne opreme ali infrastrukture, stroški zaposlenih, vključno s stroški, povezanimi z zamenjavo ali premestitvijo zaposlenih, zaposlovanjem dodatnih zaposlenih, plačilom nadur in povračilom izgubljenih ali oslabljenih spretnosti, pristojbine zaradi neizpolnjevanja pogodbenih obveznosti, stroški za odpravo škode in nadomestila za stranke, izgube zaradi izpada prihodkov, stroški, povezani z notranjo in zunanjo komunikacijo, stroški svetovanja, vključno s stroški, povezanimi s pravnim svetovanjem, forenzičnimi storitvami in storitvami vnovične vzpostavitve delovanja, ter drugi stroški, povezani z incidentom. Vendar se za finančne izgube zaradi incidenta ne bi smele šteti upravne kazni in stroški, ki so potrebni za tekoče poslovanje podjetja, kot so stroški splošnega vzdrževanja infrastrukture, opreme, strojne in programske opreme ter posodabljanja spretnosti zaposlenih, notranji ali zunanji stroški za izboljšanje poslovanja po incidentu, vključno s pobudami za nadgradnje, izboljšave in ocene tveganja, ter zavarovalne premije. Zadevni subjekti bi morali zneske finančnih izgub izračunati na podlagi razpoložljivih podatkov, kadar pa dejanskih zneskov finančnih izgub ni mogoče določiti, bi morali te zneske oceniti.

(37)

Zadevni subjekti bi morali biti dolžni poročati tudi o incidentih, ki so ali bi lahko povzročili smrt fizičnih oseb ali znatno škodovali zdravju fizičnih oseb, saj so taki incidenti posebej resni primeri povzročitve znatne materialne ali nematerialne škode. Incident, ki vpliva na zadevni subjekt, bi lahko na primer povzročil nerazpoložljivost zdravstvenega varstva ali služb za nujno pomoč ali izgubo zaupnosti ali celovitosti podatkov, kar bi vplivalo na zdravje fizičnih oseb. Pri ugotavljanju, ali je incident znatno škodoval ali bi lahko znatno škodoval zdravju fizične osebe, bi morali zadevni subjekti upoštevati, ali je incident povzročil ali bi lahko povzročil hude poškodbe in slabo zdravje. V ta namen se od zadevnih subjektov ne bi smelo zahtevati, da zbirajo dodatne informacije, do katerih nimajo dostopa.

(38)

Razpoložljivost bi se morala šteti za omejeno zlasti, kadar je odzivni čas storitve, ki jo zagotavlja zadevni subjekt, precej počasnejši od povprečnega ali kadar niso razpoložljive vse funkcije storitve. Kadar je mogoče, bi bilo treba za oceno zamud v odzivnem času uporabiti objektivna merila, ki temeljijo na povprečnem odzivnem času storitev zadevnih subjektov. Funkcionalnost storitve je lahko na primer funkcija klepeta ali funkcija iskanja slik.

(39)

Uspešen, domnevno zlonameren in nepooblaščen dostop do omrežnih in informacijskih sistemov zadevnega subjekta bi bilo treba obravnavati kot pomemben incident, kadar lahko tak dostop povzroči resne operativne motnje. Za pomemben incident bi se na primer moralo na primer šteti, kadar se akter kibernetske grožnje vnaprej infilitrira v omrežne in informacijske sisteme zadevnega subjekta, da bi v prihodnosti povzročil motnje v storitvah.

(40)

Ponavljajoče se incidente, ki jih povezuje isti očiten temeljni vzrok in sami po sebi ne izpolnjujejo meril za pomemben incident, bi bilo treba skupaj šteti za pomemben incident, če skupaj izpolnjujejo merilo za finančno izgubo in so se zgodili vsaj dvakrat v šestih mesecih. Taki ponavljajoči se incidenti lahko kažejo na znatne pomanjkljivosti in slabosti v postopkih zadevnega subjekta za obvladovanje tveganj za kibernetsko varnost in njihovi ravni zrelosti na področju kibernetske varnosti. Poleg tega lahko taki ponavljajoči se incidenti zadevnemu subjektu povzročijo znatno finančno izgubo.

(41)

Komisija je izmenjala nasvete ter sodelovala s Skupino za sodelovanje in agencijo ENISA pri osnutku izvedbenega akta v skladu s členom 21(5) in členom 23(11) Direktive (EU) 2022/2555.

(42)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (3) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 1. septembra 2024.

(43)

Ukrepi iz te uredbe so usklajeni z mnenjem odbora, ustanovljenega s členom 39 Direktive (EU) 2022/2555 –

(a)

zgodili so se vsaj dvakrat v šestih mesecih;

(b)

imajo enak očiten temeljni vzrok;

(c)

skupaj izpolnjujejo merila iz člena 3(1), točka (a).

(a)

storitev rekurzivnega ali avtoritativnega razreševanja domenskih imen je popolnoma nerazpoložljiva dlje kot 30 minut;

(b)

v obdobju, ki je daljše od ene ure, je povprečni odzivni čas storitve rekurzivnega ali avtoritativnega razreševanja domenskih imen na zahteve DNS daljši od 10 sekund;

(c)

ogrožena je celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem storitve avtoritativnega razreševanja domenskih imen, razen v primerih, ko podatki o manj kot 1 000 domenskih imenih, ki jih upravlja ponudnik storitev DNS, kar ne presega 1 % vseh domenskih imen, ki jih upravlja ponudnik storitev DNS, niso pravilni zaradi napačne konfiguracije.

(a)

storitev avtoritativnega razreševanja domenskih imen je popolnoma nerazpoložljiva;

(b)

v obdobju, ki je daljše od ene ure, je povprečni odzivni čas storitve avtoritativnega razreševanja domenskih imen na zahteve DNS daljši od 10 sekund;

(c)

ogrožena je celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih s tehničnim delovanjem TLD.

(a)

ponujena storitev računalništva v oblaku je popolnoma nerazpoložljiva dlje kot 30 minut;

(b)

razpoložljivost ponudnikove storitve računalništva v oblaku je dlje kot eno uro omejena za najmanj 5 % oziroma milijon uporabnikov te storitve računalništva v oblaku v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem storitve računalništva v oblaku, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem storitve računalništva v oblaku, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov te storitve računalništva v oblaku v Uniji, kar je manj.

(a)

storitev podatkovnega centra, ki ga upravlja ponudnik, je popolnoma nerazpoložljiva;

(b)

razpoložljivost storitve podatkovnega centra, ki ga upravlja ponudnik, je omejena dlje kot eno uro;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem storitve podatkovnega centra, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

ogrožen je fizični dostop do podatkovnega centra, ki ga upravlja ponudnik.

(a)

omrežje za dostavo vsebin je popolnoma nerazpoložljivo dlje kot 30 minut;

(b)

razpoložljivost omrežja za dostavo vsebin je dlje kot eno uro omejena za najmanj 5 % oziroma milijon uporabnikov tega omrežja za dostavo vsebin v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem omrežja za dostavo vsebin, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem omrežja za dostavo vsebin, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov tega omrežja za dostavo vsebin v Uniji, kar je manj.

(a)

upravljana storitev ali upravljana varnostna storitev je popolnoma nerazpoložljiva dlje kot 30 minut;

(b)

razpoložljivost upravljane storitve ali upravljane varnostne storitve je dlje kot eno uro omejena za najmanj 5 % oziroma milijon uporabnikov te storitve v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem upravljane storitve ali upravljane varnostne storitve, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem upravljane storitve ali upravljane varnostne storitve, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov te upravljane storitve ali upravljane varnostne storitve v Uniji, kar je manj.

(a)

spletna tržnica je popolnoma nerazpoložljiva najmanj 5 % oziroma milijonu uporabnikov te spletne tržnice v Uniji, kar je manj;

(b)

omejena razpoložljivost spletne tržnice vpliva na najmanj 5 % oziroma milijon uporabnikov te spletne tržnice v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem spletne tržnice, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem spletne tržnice, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov te spletne tržnice v Uniji, kar je manj.

(a)

spletni iskalnik je popolnoma nerazpoložljiv najmanj 5 % oziroma milijonu uporabnikov tega spletnega iskalnika v Uniji, kar je manj;

(b)

omejena razpoložljivost spletnega iskalnika vpliva na najmanj 5 % oziroma milijon uporabnikov tega spletnega iskalnika v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem spletnega iskalnika, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem spletnega iskalnika, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov tega spletnega iskalnika v Uniji, kar je manj.

(a)

platforma za storitve družbenega mreženja je popolnoma nerazpoložljiva najmanj 5 % oziroma milijonu uporabnikov te platforme za storitve družbenega mreženja v Uniji, kar je manj;

(b)

omejena razpoložljivost platforme za storitve družbenega mreženja vpliva na najmanj 5 % oziroma milijon uporabnikov te platforme za storitve družbenega mreženja v Uniji, kar je manj;

(c)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem platforme za storitve družbenega mreženja, je ogrožena zaradi domnevno zlonamernega dejanja;

(d)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem platforme za storitve družbenega mreženja, je ogrožena in vpliva na najmanj 5 % oziroma milijon uporabnikov te platforme za storitve družbenega mreženja v Uniji, kar je manj.

(a)

storitev zaupanja je popolnoma nerazpoložljiva dlje kot 20 minut;

(b)

storitev zaupanja je uporabnikom ali zanašajočim se strankam popolnoma nerazpoložljiva dlje kot eno uro, izračunano na podlagi koledarskega tedna;

(c)

omejena razpoložljivost storitve zaupanja vpliva na najmanj 1 % oziroma 200 000 uporabnikov ali zanašajočih se strank v Uniji, kar je manj;

(d)

ogrožen je fizični dostop ali zaščita fizičnega dostopa do območja, kjer se nahajajo omrežni in informacijski sistemi in do katerega je dostop omejen na zaupanja vredne zaposlene ponudnika storitev zaupanja;

(e)

celovitost, zaupnost ali avtentičnost shranjenih, prenesenih ali obdelanih podatkov, povezanih z zagotavljanjem storitve zaupanja, je ogrožena in vpliva na najmanj 0,1 % oziroma 100 uporabnikov ali zanašajočih se strank storitve zaupanja v Uniji, kar je manj.