Rozporządzenie 2023/2841 w sprawie ustanowienia środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii
Dz.U.UE.L.2023.2841
Akt obowiązującyROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE, Euratom) 2023/2841
z dnia 13 grudnia 2023 r.
w sprawie ustanowienia środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 298,
uwzględniając Traktat ustanawiający Europejską Wspólnotę Energii Atomowej, w szczególności jego art. 106a,
uwzględniając wniosek Komisji Europejskiej,
po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,
stanowiąc zgodnie ze zwykłą procedurą ustawodawczą 1 ,
(1) W epoce cyfrowej technologie informacyjno-komunikacyjne stanowią podstawę otwartej, efektywnej i niezależnej administracji europejskiej. Rozwój technologii oraz coraz większa złożoność i wzajemne powiązanie systemów cyfrowych zwiększają ryzyko w cyberprzestrzeni, sprawiając, że podmioty Unii są bardziej podatne na cyberzagrożenia i incydenty, co z kolei stanowi zagrożenie dla ciągłości ich działania i zdolności do zabezpieczenia ich danych. Mimo że coraz częstsze korzystanie z usług chmurowych, wszechobecne korzystanie z technologii informacyjno- komunikacyjnych (ICT), wysoki poziom cyfryzacji, praca zdalna oraz rozwój technologii i możliwości łączenia się z siecią stanowią trzon wszystkich działań podmiotów Unii, ich odporność cyfrowa nie rozwinęła się jeszcze w wystarczającym stopniu.
(2) Krajobraz cyberzagrożeń, z jakimi mierzą się podmioty Unii, podlega ciągłym zmianom. Stosowane przez agresorów taktyki, techniki i sposoby działania ciągle ewoluują, natomiast główne motywy takich ataków prawie się nie zmieniają - ich celem jest kradzież cennych, nieujawnionych informacji, osiągnięcie korzyści finansowych, manipulowanie opinią publiczną czy też osłabienie infrastruktury cyfrowej. Tempo, w jakim agresorzy przeprowadzają cyberataki, stale rośnie, a ich działania są coraz bardziej wyrafinowane i zautomatyzowane oraz ukierunkowane na obszary wystawione na ataki, które stale się powiększają, i mają na celu szybkie wykorzystanie luk i podatności.
(3) Środowiska ICT podmiotów Unii są współzależne i występują w nich zintegrowane przepływy danych, a ich użytkownicy ściśle ze sobą współpracują. Te powiązania oznaczają, że wszelkie zakłócenia, nawet początkowo ograniczone do jednego podmiotu Unii, mogą mieć szerszy efekt kaskadowy, potencjalnie powodując dalekosiężne i długotrwałe negatywne skutki dla pozostałych podmiotów Unii. Ponadto środowiska ICT niektórych podmiotów Unii są połączone ze środowiskami ICT państw członkowskich, co powoduje, że incydent w podmiocie unijnym może stanowić ryzyko w cyberprzestrzeni dla środowisk ICT państw członkowskich i odwrotnie. Dzielenie się informacjami dotyczącymi konkretnych incydentów może ułatwić wykrywanie podobnych cyberzagrożeń lub incydentów uderzających w państwa członkowskie.
(4) Podmioty Unii stanowią atrakcyjne cele i muszą stawiać czoła dysponującym wysokimi umiejętnościami i znaczącymi zasobami agresorom, a także innym zagrożeniom. Jednocześnie istnieją znaczne różnice między tymi podmiotami, jeżeli chodzi o poziom cyberodporności, dojrzałość systemów cyberodporności oraz zdolność do wykrywania szkodliwych działań w cyberprzestrzeni i reagowania na nie. Aby dobrze funkcjonować, podmioty Unii muszą zatem osiągnąć wysoki wspólny poziom cyberbezpieczeństwa dzięki wdrożeniu środków cyberbezpieczeństwa współmiernych do zidentyfikowanego ryzyka w cyberprzestrzeni, wymianie informacji i współpracy.
(5) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 2 ma na celu dalszą poprawę cyberodporności podmiotów publicznych i prywatnych, właściwych organów i instytucji, jak również całej Unii, a także dalsze zwiększenie ich zdolności reagowania na incydenty. Należy zatem zapewnić, by podobnymi środkami objęto podmioty Unii poprzez ustanowienie przepisów zgodnych z dyrektywą (UE) 2022/2555 i odzwierciedlających przewidziany w niej poziom ambicji.
(6) Aby osiągnąć wysoki wspólny poziom cyberbezpieczeństwa, konieczne jest aby każdy podmiot Unii ustanowił wewnętrzne ramy zarządzania ryzykiem w cyberprzestrzeni, jego nadzorowania i kontroli (zwane dalej "Ramami"), które umożliwią skuteczne i ostrożne zarządzanie wszelkiego rodzaju ryzykiem w cyberprzestrzeni, z uwzględnieniem ciągłości działania i zarządzania kryzysowego. w Ramach należy określić politykę w zakresie cyberbezpieczeństwa, w tym cele i priorytety, w odniesieniu do bezpieczeństwa sieci i systemów informatycznych, obejmującą całe jawne środowisko ICT. Ramy powinny być oparte na podejściu uwzględniającym wszystkie zagrożenia, które ma na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych sieci i systemów przed takimi zdarzeniami jak kradzież, pożar, powódź, awaria telekomunikacyjna bądź awaria zasilania lub nieuprawniony dostęp fizyczny do związanej z informacjami i przetwarzaniem informacji należącej do podmiotu Unii, jej uszkodzenie i ingerencja w nią, które to zdarzenia mogłyby naruszyć dostępność, autentyczność, integralność lub poufność danych przechowywanych, przekazywanych, przetwarzanych lub dostępnych za pośrednictwem sieci i systemów informatycznych.
(7) Do celów zarządzania ryzykiem w cyberprzestrzeni stwierdzonym dzięki Ramom każdy podmiot Unii powinien podjąć odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne. Środki te powinny dotyczyć poszczególnych dziedzin oraz środków zarządzania ryzykiem w cyberprzestrzeni określonych w niniejszym rozporządzeniu, aby wzmocnić cyberbezpieczeństwo każdego podmiotu Unii.
(8) Zasoby i ryzyko w cyberprzestrzeni zidentyfikowane dzięki Ramom, a także wnioski wyciągnięte z regularnych ocen
dojrzałości w zakresie cyberbezpieczeństwa powinny zostać odzwierciedlone w planie dotyczącym cyberbezpieczeństwa ustanowionym przez każdy podmiot Unii. Plan dotyczący cyberbezpieczeństwa powinien obejmować przyjęte środki zarządzania ryzykiem w cyberprzestrzeni.
(9) Z racji tego, że dbanie o cyberbezpieczeństwo jest procesem ciągłym, adekwatność i skuteczność środków podejmowanych na mocy niniejszego rozporządzenia powinna być regularnie oceniana w świetle zmieniającego się ryzyka w cyberprzestrzeni oraz zmieniających się zasobów i dojrzałości podmiotów Unii w zakresie cyberbezpieczeństwa. Ramy powinny być poddawane regularnemu przeglądowi, co najmniej co cztery lata, natomiast plan dotyczący cyberbezpieczeństwa powinien być poddawany przeglądowi co dwa lata lub, w razie potrzeby, częściej w następstwie ocen dojrzałości w zakresie cyberbezpieczeństwa lub każdej istotnej zmiany Ram.
(10) Środki zarządzania ryzykiem w cyberprzestrzeni wprowadzone przez podmioty Unii powinny obejmować strategie mające na celu zapewnienie w miarę możliwości przejrzystości kodu źródłowego, z uwzględnieniem ochrony praw osób trzecich lub podmiotów Unii. Strategie te powinny być współmierne do ryzyka w cyberprzestrzeni i mają ułatwiać analizę cyberzagrożeń, nie nakładając jednocześnie obowiązku ujawniania kodu osoby trzeciej ani nie przyznając praw dostępu do niego w zakresie wykraczającym poza mające zastosowanie warunki umowne.
(11) Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na otwartym oprogramowaniu mogą przyczynić się do większej otwartości. Otwarte standardy ułatwiają interoperacyjność między narzędziami bezpieczeństwa z korzyścią dla bezpieczeństwa zainteresowanych stron. Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na otwartym oprogramowaniu mogą umożliwić pozyskanie szerszej społeczności programistów, co pozwoli na dywersyfikację dostawców. Otwarte oprogramowanie może prowadzić do bardziej przejrzystego procesu weryfikacji narzędzi związanych z cyberbezpieczeństwem oraz do kierowanego przez społeczność procesu wykrywania podatności. Podmioty Unii powinny zatem móc promować wykorzystywanie otwartego oprogramowania i otwartych standardów przez prowadzenie polityki związanej z wykorzystywaniem otwartych danych i otwartego oprogramowania na zasadzie bezpieczeństwa dzięki przejrzystości.
(12) Zróżnicowanie podmiotów Unii wymaga elastyczności w procesie wdrażania niniejszego rozporządzenia. Środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa przewidziane w niniejszym rozporządzeniu nie powinny obejmować żadnych obowiązków bezpośrednio kolidujących z wykonywaniem przez podmioty Unii ich misji lub naruszających ich autonomię instytucjonalną. Dlatego podmioty te powinny ustanowić własne Ramy, a także przyjąć własne środki zarządzania ryzykiem w cyberprzestrzeni i plany dotyczące cyberbezpieczeństwa. Przy wdrażaniu takich środków należy odpowiednio uwzględnić istniejące synergie między podmiotami Unii, aby odpowiednio zarządzać zasobami oraz zoptymalizować koszty. Należy również zwrócić szczególną uwagę, by środki te nie oddziaływały negatywnie na sprawność wymiany informacji oraz współpracę między podmiotami Unii oraz między podmiotami Unii a ich odpowiednikami z państw członkowskich.
(13) Aby zoptymalizować wykorzystanie zasobów, w niniejszym rozporządzeniu należy przewidzieć możliwość współpracy dwóch lub większej liczby podmiotów Unii o podobnej strukturze przy przeprowadzaniu ich ocen dojrzałości w zakresie cyberbezpieczeństwa.
(14) Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na podmioty Unii, wymogi w zakresie zarządzania ryzykiem w cyberprzestrzeni powinny być proporcjonalne do ryzyka w cyberprzestrzeni dla danych sieci i systemów informatycznych oraz powinny uwzględniać najnowszy stan wiedzy na temat takich środków. Każdy podmiot Unii powinien dążyć do przeznaczenia odpowiedniego odsetka swojego budżetu przewidzianego na ICT na poprawę swojego poziomu cyberbezpieczeństwa. w dłuższej perspektywie należy dążyć do osiągnięcia orientacyjnego celu w wysokości co najmniej 10 %. w ocenie dojrzałości w zakresie cyberbezpieczeń- stwa należy przeanalizować, czy wydatki danego podmiotu Unii na cyberbezpieczeństwo są proporcjonalne do ryzyka w cyberprzestrzeni, z jakim ten podmiot się mierzy. Bez uszczerbku dla przepisów dotyczących rocznego budżetu Unii na mocy traktatów, w swoim wniosku dotyczącym pierwszego budżetu rocznego, który ma zostać przyjęty po wejściu w życie niniejszego rozporządzenia, przy ocenie potrzeb budżetowych i kadrowych podmiotów Unii wynikających z ich preliminarza wydatków Komisja powinna uwzględnić obowiązki wynikające z niniejszego rozporządzenia.
(15) W celu osiągnięcia wysokiego wspólnego poziomu cyberbezpieczeństwa konieczne jest, by cyberbezpieczeństwo było objęte nadzorem kierownictwa najwyższego szczebla każdego podmiotu Unii. Kierownictwo najwyższego szczebla podmiotu Unii powinno być odpowiedzialne za wdrożenie niniejszego rozporządzenia, w tym za ustanowienie Ram, podejmowanie środków zarządzania ryzykiem w cyberprzestrzeni oraz zatwierdzanie planu dotyczącego cyberbezpieczeństwa. Uwzględnienie kultury cyberbezpieczeństwa, tj. codziennej praktyki w dziedzinie cyber- bezpieczeństwa, jest nieodłączną częścią Ram oraz odpowiednich środków zarządzania ryzykiem w cyberprzestrzeni we wszystkich podmiotach Unii.
(16) Zasadnicze znaczenie ma bezpieczeństwo sieci i systemów informatycznych przetwarzających informacje niejawne UE (EUCI). Podmioty Unii, które przetwarzają EUCI, mają obowiązek stosowania kompleksowych ram regulacyjnych służących ochronie takich informacji, w tym szczególnych zasad zarządzania, polityk i procedur zarządzania ryzykiem. Sieci i systemy informatyczne przetwarzające EUCI muszą spełniać bardziej rygorystyczne normy bezpieczeństwa niż sieci i systemy i informatyczne przetwarzające informacje jawne. Dlatego sieci i systemy informatyczne przetwarzające EUCI są bardziej odporne na cyberzagrożenia i incydenty. w związku z tym, uznając potrzebę wspólnych ram w tym zakresie, niniejsze rozporządzenie nie powinno jednak mieć zastosowania do sieci i systemów informatycznych przetwarzających EUCI. Jednakże na wyraźny wniosek podmiotu Unii zespół reagowania na incydenty komputerowe w instytucjach, organach i agencjach UE (CERT-UE) powinien mieć możliwość udzielenia temu podmiotowi Unii pomocy w związku z incydentami w niejawnych środowiskach ICT.
(17) Podmioty Unii powinny przeprowadzić ocenę ryzyka w cyberprzestrzeni związanego z relacjami z dostawcami i usługodawcami, w tym dostawcami usług przechowywania i przetwarzania danych lub usług zarządzanych w zakresie bezpieczeństwa, oraz wprowadzić odpowiednie środki w celu wyeliminowania tego ryzyka. Środki w zakresie cyberbezpieczeństwa powinny być szczegółowo określane w wytycznych lub zaleceniach wydawanych przez CERT-UE. Przy określaniu środków i wytycznych powinno się należycie uwzględniać stan wiedzy oraz, w stosownych przypadkach, odpowiednie normy europejskie i międzynarodowe, a także odpowiednie prawo Unii i strategie unijne, w tym oceny ryzyka w cyberprzestrzeni i zalecenia wydane przez Grupę Współpracy ustanowioną na mocy art. 14 dyrektywy (UE) 2022/2555, takie jak unijna skoordynowana ocena ryzyka cyberbezpieczeństwa sieci 5G i unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G. Ponadto, biorąc pod uwagę krajobraz cybe- rzagrożeń i znaczenie budowania cyberodporności podmiotów Unii, można wprowadzić wymóg certyfikacji odpowiednich produktów, usług i procesów ICT zgodnie ze specjalnymi europejskimi programami certyfikacji cyberbez- pieczeństwa przyjętymi na podstawie art. 49 rozporządzenia (UE) 2019/881 Parlamentu Europejskiego i Rady 3 .
(18) W maju 2011 r. sekretarze generalni instytucji i organów Unii postanowili utworzyć zespół ds. wstępnej konfiguracji CERT-UE, pod nadzorem międzyinstytucjonalnej rady sterującej. w lipcu 2012 r. sekretarze generalni potwierdzili ustalenia praktyczne i zgodzili się co do utrzymania CERT-UE jako stałego podmiotu, tak aby dalej wspomagał poprawę ogólnego poziomu bezpieczeństwa technologii informacyjnej w instytucjach, organach i agencjach Unii jako przykład dostrzegalnej współpracy międzyinstytucjonalnej w dziedzinie cyberbezpieczeństwa. We wrześniu 2012 r. powołano CERT-UE jako grupę zadaniową Komisji z mandatem międzyinstytucjonalnym. w grudniu 2017 r. instytucje i organy Unii zawarły porozumienie międzyinstytucjonalne w sprawie organizacji i funkcjonowania CERT-UE 4 . Niniejsze rozporządzenie powinno przewidywać kompleksowy zestaw przepisów dotyczących organizacji, funkcjonowania i działania CERT-UE. Przepisy niniejszego rozporządzenia mają pierwszeństwo przed postanowieniami porozumienia międzyinstytucjonalnego w sprawie organizacji i funkcjonowania CERT-UE, które zostało zawarte w grudniu 2017 r.
(19) Należy zmienić nazwę CERT-UE na Służbę ds. Cyberbezpieczeństwa Instytucji, Organów i Jednostek Organizacyjnych Unii, zachowując jednak skrót "CERT-UE" ze względu na jego rozpoznawalność.
(20) Oprócz powierzenia CERT-UE większej liczby zadań i rozszerzenia jego roli niniejsze rozporządzenie ustanawia Międzyinstytucjonalną Radę ds. Cyberbezpieczeństwa (IICB), w celu ułatwienia osiągnięcia wysokiego wspólnego poziomu cyberbezpieczeństwa przez podmioty Unii. IICB powinno posiadać wyłączny mandat do monitorowania i wspierania wdrażania niniejszego rozporządzenia przez podmioty Unii oraz do sprawowania nadzoru nad realizacją ogólnych priorytetów i celów przez CERT-UE i zapewniania CERT-UE strategicznego kierunku działania. IICB powinno zatem zagwarantować, że instytucje Unii będą należycie reprezentowane, a w jej skład powinni wchodzić przedstawiciele organów i jednostek organizacyjnych Unii za pośrednictwem sieci agencji UE (EUAN). Organizacja i funkcjonowanie IICB powinny być dodatkowo uregulowane poprzez regulamin wewnętrzny, który może obejmować dalsze doprecyzowanie kwestii regularnych posiedzeń IICB, w tym corocznych zgromadzeń na poziomie politycznym, podczas których dzięki obecności przedstawicieli kierownictwa najwyższego szczebla każdego z członków IICB można by prowadzić dyskusje strategiczne dotyczące IICB i formułować strategiczne wskazówki dla IICB. IICB powinno ponadto móc ustanowić komitet wykonawczy, który będzie wspierał IICB w jego pracach, oraz przekazać mu niektóre z zadań i uprawnień IICB, zwłaszcza w przypadku zadań wymagających szczególnej wiedzy fachowej jego członków, na przykład zatwierdzanie katalogu usług i jego późniejszych aktualizacji, warunków umów o gwarantowanym poziomie usług, ocen dokumentów i sprawozdań przedkładanych IICB przez podmioty Unii zgodnie z niniejszym rozporządzeniem lub zadań związanych z przygotowywaniem wydawanych przez IICB decyzji dotyczących środków zapewniania zgodności oraz z monitorowaniem ich wdrażania. IICB powinno ustanowić regulamin wewnętrzny komitetu wykonawczego, w tym jego zadania i uprawnienia.
(21) Celem IICB jest wspieranie podmiotów Unii w poprawie stanu ich cyberbezpieczeństwa poprzez wdrażanie niniejszego rozporządzenia. Aby wspierać podmioty Unii, IICB powinno udzielać wskazówek szefowi CERT-UE, przyjmować wieloletnią strategię podnoszenia poziomu cyberbezpieczeństwa w podmiotach Unii, ustanowić metodykę i inne aspekty dobrowolnych wzajemnych ocen oraz ułatwić ustanowienie nieformalnej grupy lokalnych urzędników ds. cyberbezpieczeństwa, wspieranej przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), w celu wymiany najlepszych praktyk i informacji w związku z wdrażaniem niniejszego rozporządzenia.
(22) Aby osiągnąć wysoki poziom cyberbezpieczeństwa we wszystkich podmiotach Unii, interesy organów i jednostek organizacyjnych Unii, które posiadają własne środowisko ICT, powinny być reprezentowane w IICB przez trzech przedstawicieli wyznaczonych przez EUAN. Bezpieczeństwo przetwarzania danych osobowych, a tym samym również ich cyberbezpieczeństwo, stanowi podstawę ochrony danych. w świetle synergii między ochroną danych a cyberbezpieczeństwem Europejski Inspektor Ochrony Danych powinien być reprezentowany w IICB jako podmiot Unii podlegający niniejszemu rozporządzeniu, dysponujący szczególną wiedzą fachową w dziedzinie ochrony danych, w tym bezpieczeństwa sieci łączności elektronicznej. Biorąc pod uwagę znaczenie innowacji i konkurencyjności w dziedzinie cyberbezpieczeństwa, w IICB powinno być reprezentowane Europejskie Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa. z uwagi na rolę ENISA jako centrum wiedzy specjalistycznej w dziedzinie cyberbezpieczeństwa oraz wsparcie zapewniane przez ENISA, a także z uwagi na znaczenie cyberbezpieczeństwa unijnej infrastruktury kosmicznej i usług kosmicznych, w IICB powinny być reprezentowane ENISA i Agencja Unii Europejskiej ds. Programu Kosmicznego. w świetle roli przydzielonej CERT-UE na mocy niniejszego rozporządzenia szef CERT-UE powinien być zapraszany przez przewodniczącego IICB na wszystkie posiedzenia IICB, z wyjątkiem przypadków, w których IICB omawia kwestie związane bezpośrednio z szefem CERT-UE.
(23) IICB powinno monitorować przestrzeganie niniejszego rozporządzenia, jak również wdrażanie wytycznych i zaleceń oraz wezwań do działania. w kwestiach technicznych IICB powinny wspierać techniczne grupy doradcze działające w składzie, który IICB uzna za stosowny. Te techniczne grupy doradcze powinny ściśle współpracować z CERT-UE, podmiotami Unii oraz innymi zainteresowanymi stronami, jeżeli zajdzie taka potrzeba.
(24) W przypadku gdy IICB stwierdzi, że dany podmiot Unii nie wdrożył należycie niniejszego rozporządzenia lub wytycznych, zaleceń lub wezwań do działania wydanych na podstawie niniejszego rozporządzenia, IICB powinno mieć możliwość - bez uszczerbku dla wewnętrznych procedur danego podmiotu Unii - zastosowania środków zapewniania zgodności. IICB powinno stosować środki zapewniania zgodności stopniowo, tj. najpierw przyjąć najmniej surowy środek, mianowicie uzasadnioną opinię, oraz wyłącznie w razie potrzeby, przyjmować coraz bardziej rygorystyczne środki, aż po najpoważniejszy z nich, mianowicie zalecenie tymczasowego zawieszenia przepływu danych do danego podmiotu Unii. Takie zalecenie powinno być stosowane wyłącznie w wyjątkowych przypadkach długotrwałego, umyślnego, uporczywego lub poważnego naruszenia niniejszego rozporządzenia przez dany podmiot Unii.
(25) Uzasadniona opinia stanowi najmniej surowy środek zapewnienia zgodności mający na celu wyeliminowanie stwierdzonych luk we wdrażaniu niniejszego rozporządzenia. w nawiązaniu do uzasadnionej opinii IICB powinno mieć możliwość udzielenia wskazówek mających na celu wsparcie podmiotu Unii w zadbaniu o to, aby jego Ramy, środki zarządzania ryzykiem w cyberprzestrzeni, plan dotyczący cyberbezpieczeństwa i zgłaszanie incydentów były zgodne z niniejszym rozporządzeniem, a następnie wydania ostrzeżenia w celu wyeliminowania przez podmiot Unii stwierdzonych niedociągnięć w określonym terminie. Jeżeli niedociągnięcia wskazane w ostrzeżeniu nie zostaną w wystarczającym stopniu usunięte, IICB powinna mieć możliwość wydania uzasadnionego powiadomienia.
(26) IICB powinno móc zalecić przeprowadzenie audytu podmiotu Unii. Podmiot Unii powinien móc wykorzystać do tego celu własną jednostkę audytu wewnętrznego. IICB powinno również móc zażądać, by audyt został przeprowadzony przez zewnętrznego audytora, w tym przez wspólnie uzgodnionego dostawcę usług z sektora prywatnego.
(27) W wyjątkowych przypadkach długotrwałego, umyślnego, uporczywego lub poważnego naruszania niniejszego rozporządzenia przez podmiot Unii IICB powinno móc - jako ostateczny środek - wydać wszystkim państwom członkowskim i podmiotom Unii zalecenie, aby tymczasowo zawiesić przepływy danych do tego podmiotu Unii, dopóki nie zaprzestanie on tego naruszenia. Takie zalecenie powinno być przekazywane za pomocą odpowiednich i bezpiecznych kanałów komunikacji.
(28) Aby zapewnić prawidłowe wdrożenie niniejszego rozporządzenia, IICB powinno, jeżeli uzna, że naruszenie niniejszego rozporządzenia przez podmiot Unii, które miało charakter długotrwały, było spowodowane bezpośrednio działaniami lub zaniechaniami członka jego personelu, w tym członka kierownictwa najwyższego szczebla, zwrócić się do danego podmiotu Unii o podjęcie odpowiednich działań, w tym o rozważenie podjęcia działań o charakterze dyscyplinarnym, zgodnie z zasadami i procedurami określonymi w regulaminie pracowniczym urzędników Unii Europejskiej i warunkach zatrudnienia innych pracowników Unii Europejskiej, ustanowionym rozporządzeniem Rady (EWG, Euratom, EWWiS) nr 259/68 5 (zwanym dalej "regulaminem pracowniczym") oraz z innymi mającymi zastosowanie przepisami i procedurami.
(29) CERT-UE powinien przyczyniać się do bezpieczeństwa środowiska ICT wszystkich podmiotów Unii. Rozważając, czy na wniosek podmiotu Unii zapewnić doradztwo techniczne lub wkład techniczny w odpowiednich kwestiach dotyczących polityki, CERT-UE powinien zapewnić, że nie będzie to stanowić żadnej przeszkody dla realizacji innych zadań powierzonych mu na mocy niniejszego rozporządzenia. CERT-UE powinien działać po stronie podmiotów Unii jako odpowiednik koordynatora wyznaczonego na potrzeby skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1 dyrektywy (UE) 2022/2555.
(30) CERT-UE powinien wspierać realizację działań na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa, przedstawiając propozycje wytycznych i zaleceń dla IICB lub wydając wezwania do działania. Takie wytyczne i zalecenia powinny być zatwierdzane przez IICB. w razie potrzeby CERT-UE powinien wydawać wezwania do działania opisujące pilne środki w zakresie bezpieczeństwa, do których wprowadzenia w określonym terminie wzywa się podmioty Unii. IICB powinno polecać CERT-UE wydawanie, wycofywanie lub zmianę propozycji wytycznych lub zaleceń lub wezwań do działania.
(31) CERT-UE powinien również wypełniać przewidzianą dla niego w dyrektywie (UE) 2022/2555 rolę dotyczącą współpracy i wymiany informacji z siecią zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), ustanowioną na mocy art. 15 tej dyrektywy. Ponadto, zgodnie z zaleceniem Komisji (UE) 2017/1584 6 , CERT-UE powinien współpracować z odpowiednimi zainteresowanymi stronami przy prowadzeniu działań podejmowanych w reakcji na incydenty oraz koordynować te działania. Aby przyczynić się do wysokiego poziomu cyberbezpieczeń- stwa w całej Unii, CERT-UE powinien prowadzić wymianę informacji dotyczących konkretnych incydentów ze swoimi odpowiednikami z państw członkowskich. CERT-UE powinien również współpracować z innymi odpowiednikami, zarówno publicznymi, jak i prywatnymi, w tym z Organizacją Traktatu Północnoatlantyckiego, pod warunkiem uzyskania uprzedniej zgody IICB.
(32) Wspierając cyberbezpieczeństwo na poziomie operacyjnym, CERT-UE powinien korzystać z dostępnej wiedzy fachowej ENISA w ramach ustrukturyzowanej współpracy przewidzianej w rozporządzeniu (UE) 2019/881. w stosownych przypadkach należy poczynić specjalne ustalenia między oboma podmiotami, aby określić sposób praktycznej realizacji takiej współpracy i uniknąć powielania działań. CERT-UE powinien współpracować z ENISA w obszarze analizy cyberzagrożeń i regularnie udostępniać ENISA swoje sprawozdanie dotyczące krajobrazu zagrożeń.
(33) CERT-UE powinien móc współpracować i prowadzić wymianę informacji z zainteresowanymi społecznościami zajmującymi się cyberbezpieczeństwem w Unii i w jej państwach członkowskich, aby wzmocnić współpracę operacyjną i umożliwić istniejącym sieciom wykorzystanie ich pełnego potencjału w zakresie ochrony Unii.
(34) Ponieważ usługi i zadania CERT-UE leżą w interesie podmiotów Unii, każdy podmiot Unii, który ponosi wydatki na ICT, powinien wnosić odpowiedni wkład na poczet kosztów tych usług i zadań. Wkład ten pozostaje bez uszczerbku dla autonomii budżetowej podmiotów Unii.
(35) Wiele cyberataków jest częścią szerszych kampanii, których celem są grupy podmiotów Unii lub wspólnoty interesów, do których należą podmioty Unii. Aby umożliwić aktywne wykrywanie incydentów, reagowanie na nie lub wprowadzanie środków ograniczających ryzyko, a także usuwanie skutków incydentów, podmioty Unii powinny móc powiadamiać CERT-UE o incydentach, cyberzagrożeniach, podatnościach i potencjalnych zdarzeniach dla cyberbezpieczeństwa oraz przekazywać odpowiednie szczegółowe informacje techniczne, które umożliwiają wykrycie lub ograniczenie ryzyka wystąpienia podobnych incydentów, cyberzagrożeń, podatności i potencjalnych zdarzeń dla cyberbezpieczeństwa w innych podmiotach Unii, a także reagowanie na nie. Kierując się podejściem przewidzianym w dyrektywie (UE) 2022/2555, należy nałożyć na podmioty Unii obowiązek przekazywania wczesnego ostrzeżenia do CERT-UE w ciągu 24 godzin od powzięcia wiedzy o znaczącym incydencie. Taka wymiana informacji powinna umożliwić CERT-UE rozpowszechnienie tej informacji wśród innych podmiotów Unii, jak również wśród ich właściwych odpowiedników, aby pomóc w ochronie środowisk ICT podmiotów Unii i ich odpowiedników przed podobnymi incydentami.
(36) W niniejszym rozporządzeniu określono wieloetapowe podejście do zgłaszania znaczących incydentów, aby zapewnić odpowiednią równowagę między szybkim zgłaszaniem, które pomaga zahamować potencjalne rozprzestrzenienie się znaczących incydentów i pozwala podmiotom Unii zwrócić się o pomoc, a szczegółowym zgłaszaniem, które umożliwia wyciągnięcie cennych wniosków z poszczególnych incydentów i z czasem poprawia cyberodporność poszczególnych podmiotów Unii, a także przyczynia się do ogólnej poprawy stanu ich cyberbezpieczeństwa. w tym względzie niniejsze rozporządzenie powinno obejmować zgłaszanie incydentów, które - w oparciu o wstępną ocenę przeprowadzoną przez dany podmiot Unii - mogą doprowadzić do dotkliwych zakłóceń operacyjnych w fUnkcjonowaniu bądź do strat finansowych dla tego podmiotu Unii lub też dotknąć inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe. w takiej wstępnej ocenie należy wziąć pod uwagę między innymi sieci i systemy informatyczne, których dotyczy incydent, a w szczególności ich znaczenie dla funkcjonowania danego podmiotu Unii, dotkliwość i charakterystykę techniczną cyberzagrożenia oraz bazowe podatności, które są wykorzystywane, a także doświadczenie danego podmiotu Unii z podobnymi incydentami. Wskaźniki takie jak stopień, w jakim zakłócone jest funkcjonowanie podmiotu Unii, czas trwania incydentu lub liczba dotkniętych nim osób fizycznych lub prawnych, mogą odegrać ważną rolę w ustaleniu, czy zakłócenie operacyjne jest dotkliwe.
(37) Ponieważ infrastruktura oraz sieci i systemy informatyczne odpowiedniego podmiotu Unii i państwa członkowskiego, w którym znajduje się ten podmiot, są powiązane, kluczowe znaczenie ma, by to państwo członkowskie zostało bez zbędnej zwłoki poinformowane o wystąpieniu znaczącego incydentu w tym podmiocie Unii. w tym celu podmiot Unii, którego dotyczy incydent, powinien poinformować wszystkich właściwych odpowiedników z państw członkowskich wyznaczonych lub ustanowionych na podstawie art. 8 i 10 dyrektywy (UE) 2022/2555 o wystąpieniu znaczącego incydentu, który zgłasza on CERT-UE. w przypadku gdy CERT-UE dowie się o wystąpieniu znaczącego incydentu w danym państwie członkowskim, powinien on powiadomić właściwego odpowiednika w tym państwie członkowskim.
(38) Należy wdrożyć mechanizm zapewniający skuteczną wymianę informacji, koordynację i współpracę podmiotów Unii w przypadku poważnych incydentów, obejmujący wyraźne określenie ról i odpowiedzialności podmiotów Unii, których to dotyczy. Przedstawiciel Komisji w IICB powinien, z zastrzeżeniem planu zarządzania kryzysami w cyberprzestrzeni, być punktem kontaktowym ułatwiającym IICB wymianę istotnych informacji dotyczących poważnych incydentów z europejską siecią organizacji łącznikowych ds. kryzysów cyberbezpieczeństwa (EU-CyC- LONe), wnosząc wkład we wspólną orientację sytuacyjną. Rola przedstawiciela Komisji w IICB jako punktu kontaktowego powinna pozostawać bez uszczerbku dla odrębnej i szczególnej roli Komisji w EU-CyCLONe zgodnie z art. 16 ust. 2 dyrektywy (UE) 2022/2555.
(39) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 7 ma zastosowanie do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia. Przetwarzanie danych osobowych może odbywać się w związku ze środkami przyjętymi w kontekście zarządzania ryzykiem w cyberprzestrzeni, postępowania w przypadku podatności i obsługi incydentów, wymiany informacji na temat incydentów, cyberzagrożeń i podatności oraz koordynacji i współpracy w zakresie reagowania na incydenty. Takie środki mogą wymagać przetwarzania niektórych kategorii danych osobowych, takich jak adresy IP, adresy URL, nazwy domen, adresy poczty elektronicznej, role organizacyjne osoby, której dane dotyczą, znaczniki czasu, przedmioty korespondencji za pośrednictwem
poczty elektronicznej lub nazwy plików. Wszystkie środki podejmowane na podstawie niniejszego rozporządzenia powinny być zgodne z ramami ochrony danych i prywatności, a podmioty Unii, CERT-UE i, w stosownych przypadkach, IICB powinny wprowadzić wszelkie odpowiednie zabezpieczenia techniczne i organizacyjne w celu zapewnienia takiej zgodności w sposób rozliczalny.
(40) Niniejsze rozporządzenie ustanawia podstawę prawną przetwarzania danych osobowych przez podmioty Unii, CER- T-UE oraz, w stosownych przypadkach, IICB do celów wykonywania ich zadań i wypełniania obowiązków wynikających z niniejszego rozporządzenia, zgodnie z art. 5 ust. 1 lit. b) rozporządzenia (UE) 2018/1725. CERT-UE może działać jako podmiot przetwarzający lub administrator w zależności od zadań, które wykonuje na podstawie rozporządzenia (UE) 2018/1725.
(41) W niektórych przypadkach, aby wypełnić obowiązki wynikające z niniejszego rozporządzenia w celu zapewnienia wysokiego poziomu cyberbezpieczeństwa, w szczególności w kontekście postępowania w przypadku podatności i obsługi incydentów, podmioty Unii i CERT-UE mogą mieć obowiązek przetwarzania szczególnych kategorii danych osobowych, o których mowa w art. 10 ust. 1 rozporządzenia (UE) 2018/1725. Niniejsze rozporządzenie ustanawia podstawę prawną przetwarzania szczególnych kategorii danych osobowych przez podmioty Unii i CER- T-UE zgodnie z art. 10 ust. 2 lit. g) rozporządzenia (UE) 2018/1725. Przetwarzanie szczególnych kategorii danych osobowych na podstawie niniejszego rozporządzenia powinno być ściśle proporcjonalne do zamierzonego celu. z zastrzeżeniem warunków określonych w art. 10 ust. 2 lit. g) tego rozporządzenia podmioty Unii i CERT-UE powinny mieć możliwość przetwarzania takich danych wyłącznie w niezbędnym zakresie i w przypadkach wyraźnie przewidzianych w niniejszym rozporządzeniu. Przetwarzając szczególne kategorie danych osobowych, podmioty Unii i CERT-UE powinny przestrzegać istoty prawa do ochrony danych oraz przewidzieć odpowiednie i konkretne środki ochrony praw podstawowych i interesów osób, których dane dotyczą.
(42) Na mocy art. 33 rozporządzenia (UE) 2018/1725 podmioty Unii i CERT-UE powinny, uwzględniając stan wiedzy, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie i wadze, wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające odpowiedni poziom bezpieczeństwa danych osobowych, takie jak ograniczenie praw dostępu w oparciu o zasadę wiedzy koniecznej, stosowanie zasad ścieżki audytu, przyjęcie łańcucha kontroli, przechowywanie danych w kontrolowanym środowisku podlegającym audytowi, znormalizowane procedury operacyjne i środki ochrony prywatności, takie jak pseudonimizacja lub szyfrowanie. Środków tych nie należy wdrażać w sposób mający wpływ na cele obsługi incydentu i na rzetelność dowodów. w przypadku gdy podmiot Unii lub CERT-UE przekazuje dane osobowe związane z incydentem, w tym szczególne kategorie danych osobowych, odpowiednikowi lub partnerowi do celów niniejszego rozporządzenia, takie przekazywanie powinno być zgodne z rozporządzeniem (UE) 2018/1725. w przypadku gdy szczególne kategorie danych osobowych są przekazywane osobie trzeciej, podmioty Unii i CERT-UE powinny zapewnić stosowanie przez tę osobę trzecią środków dotyczących ochrony danych osobowych na poziomie równoważnym z rozporządzeniem (UE) 2018/1725.
(43) Dane osobowe przetwarzane do celów niniejszego rozporządzenia powinny być zatrzymywane jedynie tak długo, jak jest to konieczne zgodnie z rozporządzeniem (UE) 2018/1725. Podmioty Unii oraz, w stosownych przypadkach, CERT-UE, działając w roli administratora, powinny ustalić okresy zatrzymywania danych, które są ograniczone do tego, co jest konieczne do osiągnięcia określonych celów. w szczególności w odniesieniu do danych osobowych gromadzonych na potrzeby obsługi incydentów podmioty Unii i CERT-UE powinny dokonywać rozróżnienia między danymi osobowymi, które są gromadzone w celu wykrywania cyberzagrożeń w ich środowiskach ICT, aby zapobiec incydentowi, a danymi osobowymi, które są gromadzone w celu złagodzenia lub usunięcia skutków incydentu bądź zareagowania na niego. w przypadku wykrywania cyberzagrożeń należy wziąć pod uwagę czas, przez jaki agresor może pozostać niewykryty w systemie. w przypadku łagodzenia lub usuwania skutków incydentu bądź reagowania na niego należy rozważyć, czy dane osobowe są niezbędne do śledzenia i obsługi powtarzających się incydentów lub incydentów o podobnym charakterze, w przypadku których można wykazać korelację.
(44) Postępowanie z informacjami przez podmioty Unii oraz CERT-UE powinno być zgodne z mającymi zastosowanie przepisami dotyczącymi bezpieczeństwa informacji. Uwzględnienie bezpieczeństwa zasobów ludzkich wśród środków zarządzania ryzykiem w cyberprzestrzeni powinno być również zgodne z mającymi zastosowanie przepisami.
(45) Do celu udostępniania informacji stosuje się widoczne oznaczenia wskazujące, że odbiorcy tych informacji mają stosować granice udostępniania w oparciu, w szczególności, o umowy o zachowanie poufności lub nieformalne ustalenia dotyczące zachowania poufności, takie jak kod poufności TLP lub inne wyraźne oznaczenia ustalone przez źródło danych. Kod poufności TLP należy rozumieć jako narzędzie służące informowaniu o ograniczeniach w dalszym rozpowszechnianiu informacji. Jest on wykorzystywany niemal we wszystkich CSIRT oraz w niektórych ośrodkach analizy i wymiany informacji.
(46) Niniejsze rozporządzenie należy poddawać regularnej ocenie w świetle przyszłych negocjacji dotyczących wieloletnich ram finansowych umożliwiających podjęcie dalszych decyzji w odniesieniu do funkcjonowania i roli instytucjonalnej CERT-UE, w tym ewentualnego ustanowienia CERT-UE jako urzędu Unii.
(47) IICB, z pomocą CERT-UE, powinno dokonywać przeglądu i oceny wdrażania niniejszego rozporządzenia oraz przedkładać Komisji sprawozdania zawierające jej ustalenia. Na tej podstawie Komisja powinna przedkładać sprawozdania Parlamentowi Europejskiemu, Radzie, Europejskiemu Komitetowi Ekonomiczno-Społecznemu i Komitetowi Regionów. Sprawozdania te, przygotowywane przy udziale IICB, powinny zawierać ocenę stosowności włączenia sieci i systemów informatycznych przetwarzających EUCI, do zakresu stosowania niniejszego rozporządzenia, w szczególności w przypadku braku wspólnych dla podmiotów Unii przepisów dotyczących bezpieczeństwa informacji.
(48) Zgodnie z zasadą proporcjonalności konieczne i stosowne jest przyjęcie przepisów dotyczących cyberbezpieczeń- stwa dla podmiotów Unii, aby osiągnąć podstawowy cel, jakim jest osiągnięcie ogólnie wysokiego wspólnego poziomu cyberbezpieczeństwa w podmiotach Unii. Niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia założonego celu, zgodnie z art. 5 ust. 4 Traktatu o Unii Europejskiej.
(49) Niniejsze rozporządzenie odzwierciedla fakt, że podmioty Unii różnią się pod względem wielkości i zdolności, w tym pod względem zasobów finansowych i ludzkich.
(50) Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 17 maja 2022 r. 8 ,
PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE: