keyboard_tab Cyber Resilience Act 2023/2841 SK
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 2 Článok 8 Opatrenia na riadenie kybernetickobezpečnostných rizík
- 1 Článok 13 Poslanie a úlohy CERT-EU
- 1 Článok 14 Usmernenia, odporúčania a výzvy na činnosť
- 1 Článok 22 Koordinácia a spolupráca v rámci reakcie na incidenty
- 1 Článok 24 Počiatočné prerozdelenie rozpočtových prostriedkov
KAPITOLA I
VŠEOBECNÉ USTANOVENIA
KAPITOLA II
OPATRENIA NA ZABEZPEČENIE VYSOKEJ SPOLOČNEJ ÚROVNE KYBERNETICKEJ BEZPEČNOSTI
KAPITOLA III
MEDZIINŠTITUCIONÁLNA RADA PRE KYBERNETICKÚ BEZPEČNOSŤ
KAPITOLA IV
CERT-EU
KAPITOLA V
SPOLUPRÁCA A OZNAMOVACIE POVINNOSTI
KAPITOLA VI
ZÁVEREČNÉ USTANOVENIA
- Únie 47
- bezpečnosti 31
- kybernetickej 26
- cert-eu 18
- alebo 16
- cert-eu 13
- v oblasti 13
- subjektov 12
- služieb 12
- vrátane 11
- tohto 10
- prípadoch 10
- môže 10
- kybernetickobezpečnostných 10
- a to 9
- riadenie 9
- informácií 9
- subjektmi 9
- subjekty 9
- služby 8
- nariadenia 8
- rizík 8
- incidenty 8
- iicb 8
- prostredníctvom 7
- opatrenia 7
- reakcie 7
- informácie 7
- incidentov 7
- ktoré 6
- týkajúce 6
- základe 6
- subjektom 6
- opatrení 6
- subjektu 6
- Článok 6
- prerozdelenie 6
- s cieľom 6
- podľa 5
- s agentúrou 5
- podporu 5
- ods 5
- hrozbách 5
- tieto 5
- spolupráci 5
- sietí 5
- enisa 5
- písm 5
- a informačných 5
- systémov 5
Článok 24
Počiatočné prerozdelenie rozpočtových prostriedkov
S cieľom zabezpečiť riadne a stabilné fungovanie CERT-EU môže Komisia navrhnúť prerozdelenie zamestnancov a finančných zdrojov do rozpočtu Komisie na použitie na činnosti CERT-EU. Prerozdelenie nadobudne účinnosť súčasne s prvým ročným rozpočtom Únie prijatým po nadobudnutí účinnosti tohto nariadenia.
Článok 8
Opatrenia na riadenie kybernetickobezpečnostných rizík
1. Bez zbytočného odkladu a v každom prípade do 8. septembra 2025 prijme každý subjekt Únie pod dohľadom svojho manažmentu najvyššej úrovne vhodné a primerané technické, prevádzkové a organizačné opatrenia na riadenie kybernetickobezpečnostných rizík identifikovaných prostredníctvom rámca a na predchádzanie incidentom alebo minimalizáciu ich následkov. S ohľadom na najnovšie a v náležitých prípadoch relevantné európske a medzinárodné normy sa uvedenými opatreniami zabezpečí úroveň bezpečnosti sietí a informačných systémov v celom prostredí IKT zodpovedajúca identifikovaným kybernetickobezpečnostným rizikám. Pri posudzovaní primeranosti týchto opatrení sa náležite zohľadní stupeň vystavenia subjektu Únie kybernetickobezpečnostným rizikám, jeho veľkosť a pravdepodobnosť výskytu incidentov a ich závažnosť vrátane ich spoločenského, hospodárskeho a medziinštitucionálneho vplyvu.
2. Pri vykonávaní opatrení na riadenie kybernetickobezpečnostných rizík sa subjekty Únie zameriavajú aspoň na tieto oblasti:
a) | politiku kybernetickej bezpečnosti vrátane opatrení potrebných na dosiahnutie cieľov a priorít uvedených v článku 6 a v odseku 3 tohto článku; |
b) | zásady analýzy kybernetickobezpečnostných rizík a bezpečnosti informačných systémov; |
c) | ciele politiky týkajúce sa využívania služieb cloud computingu; |
d) | v náležitých prípadoch audit kybernetickej bezpečnosti, ktorý môže zahŕňať posúdenie kybernetickobezpečnostných rizík, zraniteľností a kybernetických hrozieb, a penetračné testovanie, ktoré pravidelne vykonáva dôveryhodný súkromný poskytovateľ; |
e) | vykonávanie odporúčaní vyplývajúcich z auditov kybernetickej bezpečnosti uvedených v písmene d) prostredníctvom aktualizácií kybernetickej bezpečnosti a politiky; |
f) | organizáciu kybernetickej bezpečnosti vrátane vymedzenia úloh a povinností; |
g) | správu aktív vrátane inventára aktív IKT a kartografie sietí IKT; |
h) | bezpečnosť ľudských zdrojov a kontrolu prístupu; |
i) | bezpečnosť operácií; |
j) | komunikačnú bezpečnosť; |
k) | nadobudnutie, vývoj a údržbu systému vrátane zásad riešenia a zverejňovania zraniteľností; |
l) | ak je to možné, zásady transparentnosti zdrojového kódu; |
m) | bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi každým subjektom Únie a jeho priamymi dodávateľmi alebo poskytovateľmi služieb; |
n) | riešenie incidentov a spoluprácu s CERT-EU, ako je napríklad údržba monitorovania bezpečnosti a logovania; |
o) | riadenie kontinuity činností, ako je napríklad riadenie zálohovania a obnova systému po havárii, a krízové riadenie; a |
p) | propagáciu a vývoj programov, pokiaľ ide o vzdelávanie, nadobúdanie zručností, zvyšovanie informovanosti, cvičenia a odbornú prípravu v oblasti kybernetickej bezpečnosti. |
Na účely prvého pododseku písm. m) subjekty Únie zohľadňujú zraniteľnosti špecifické pre každého priameho dodávateľa a poskytovateľa služieb a celkovú kvalitu produktov a postupy ich dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti vrátane ich postupov bezpečného vývoja.
3. Subjekty Únie prijmú aspoň tieto opatrenia na riadenie kybernetickobezpečnostných rizík:
a) | technické opatrenia na umožnenie a udržanie telepráce; |
b) | konkrétne kroky na prechod k zásadám nulovej dôvery; |
c) | používanie dvojstupňovej autentifikácie ako normy v sieťach a informačných systémoch; |
d) | používanie kryptografie a šifrovania, najmä šifrovania bez medzifáz, ako aj bezpečných digitálnych podpisov; |
e) | v náležitých prípadoch zavedenie zabezpečenej hlasovej, video a textovej komunikácie a zabezpečených systémov tiesňovej komunikácie v rámci subjektu Únie; |
f) | proaktívne opatrenia na odhaľovanie a odstraňovanie malvéru a špionážneho softvéru; |
g) | zavedenie bezpečnosti dodávateľského reťazca softvéru prostredníctvom kritérií bezpečného vývoja a hodnotenia softvéru; |
h) | vypracovanie a schválenie učebných plánov odbornej prípravy v oblasti kybernetickej bezpečnosti zodpovedajúce predpísaným úlohám a očakávaným spôsobilostiam manažmentu najvyššej úrovne a zamestnancov subjektu Únie poverených zaistením účinného vykonávania tohto nariadenia; |
i) | pravidelná odborná príprava zamestnancov v oblasti kybernetickej bezpečnosti; |
j) | v relevantných prípadoch účasť na analýzach rizík prepojení medzi subjektmi Únie; |
k) | posilnenie pravidiel obstarávania s cieľom uľahčiť dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti prostredníctvom:
|
Článok 13
Poslanie a úlohy CERT-EU
1. Poslaním CERT-EU je prispievať k bezpečnosti verejne prístupných prostredí IKT subjektov Únie tým, že im poskytuje poradenstvo v oblasti kybernetickej bezpečnosti, pomáha im predchádzať incidentom, odhaľovať ich, riešiť ich, zmierňovať ich účinky, reagovať na ne a zotaviť sa z nich a koná ako ich centrum na výmenu informácií a koordináciu reakcie na incidenty v oblasti kybernetickej bezpečnosti.
2. CERT-EU získava, spravuje a analyzuje informácie o kybernetických hrozbách, zraniteľnostiach a incidentoch týkajúcich sa verejne prístupných infraštruktúr IKT a zdieľa ich so subjektmi Únie. Koordinuje reakcie na incidenty na medziinštitucionálnej úrovni a na úrovni subjektov Únie, a to aj poskytovaním špecializovanej operačnej pomoci alebo koordináciou jej poskytovania.
3. Ako pomoc pre subjekty Únie vykonáva CERT-EU tieto úlohy:
a) | podporuje ich pri vykonávaní tohto nariadenia a prispieva ku koordinácii vykonávania tohto nariadenia prostredníctvom opatrení uvedených v článku 14 ods. 1 alebo prostredníctvom ad hoc správ požadovaných IICB; |
b) | ponúka štandardné služby jednotiek CSIRT subjektom Únie prostredníctvom balíka kybernetickobezpečnostných služieb opísaného vo svojom katalógu služieb (základné služby); |
c) | spravuje sieť partnerov na podporu služieb, ako sa uvádza v článkoch 17 a 18; |
d) | upozorňuje IICB na problémy súvisiace s vykonávaním tohto nariadenia a vykonávaním usmernení, odporúčaní a výziev na činnosť; |
e) | na základe informácií uvedených v odseku 2 prispieva v úzkej spolupráci s agentúrou ENISA k situačnej informovanosti o kybernetickej bezpečnosti v Únii. |
f) | koordinuje riadenie závažných incidentov; |
g) | v mene subjektov Únie koná ako ekvivalent koordinátora určeného na účely koordinovaného zverejňovania zraniteľností podľa článku 12 ods. 1 smernice (EÚ) 2022/2555. |
h) | na žiadosť subjektu Únie zabezpečuje proaktívne nerušivé skenovanie verejne prístupných sietí a informačných systémov tohto subjektu Únie. |
Informácie uvedené v prvom pododseku písm. e) sa zdieľajú s IICB, sieťou jednotiek CSIRT a v náležitých a vhodných prípadoch so Spravodajským a situačným centrom Európskej únie (ďalej len „EU INTCEN“), a to pri dodržaní primeraných podmienok dôvernosti.
4. CERT-EU môže v súlade s článkom 17 alebo 18 spolupracovať s príslušnými komunitami kybernetickej bezpečnosti v Únii a jej členských štátoch, a to aj v týchto oblastiach:
a) | pripravenosť, koordinácia pri incidentoch, výmena informácií a reakcia na krízu na technickej úrovni v prípadoch súvisiacich so subjektmi Únie; |
b) | operačná spolupráca týkajúca sa siete jednotiek CSIRT, a to aj pokiaľ ide o vzájomnú pomoc; |
c) | spravodajské informácie o kybernetických hrozbách vrátane situačnej informovanosti; |
d) | akákoľvek téma, ktorá si vyžaduje odborné technické znalosti CERT-EU v oblasti kybernetickej bezpečnosti. |
5. CERT-EU v rámci svojich právomocí štruktúrovane spolupracuje s agentúrou ENISA pri budovaní kapacít, operačnej spolupráci a dlhodobých strategických analýzach kybernetických hrozieb v súlade s nariadením (EÚ) 2019/881. CERT-EU môže spolupracovať a vymieňať si informácie s Európskym centrom boja proti počítačovej kriminalite pri Europole.
6. CERT-EU môže poskytovať tieto služby, ktoré nie sú opísané v jeho katalógu služieb (spoplatnené služby):
a) | iné služby na podporu kybernetickej bezpečnosti prostredia IKT subjektov Únie, než sú služby uvedené v odseku 3, na základe dohôd o úrovni poskytovaných služieb a podľa dostupných zdrojov, a to najmä širokospektrálne monitorovanie sietí vrátane bežného nepretržitého monitorovania kybernetických hrozieb s vysokou závažnosťou; |
b) | iné služby na podporu činností alebo projektov subjektov Únie v oblasti kybernetickej bezpečnosti, než sú služby na ochranu ich prostredia IKT, a to na základe písomných dohôd a s predchádzajúcim povolením IICB; |
c) | na požiadanie proaktívne skenovanie sietí a informačných systémov dotknutého subjektu Únie s cieľom odhaliť zraniteľnosti s potenciálnym významným vplyvom; |
d) | služby na podporu bezpečnosti prostredia IKT organizáciám, ktoré nie sú subjektmi Únie a ktoré so subjektmi Únie úzko spolupracujú, napríklad tak, že majú pridelené úlohy alebo povinnosti podľa práva Únie, a to na základe písomných dohôd a s predchádzajúcim povolením IICB. |
S ohľadom na prvý pododsek písm. d) CERT-EU môže výnimočne uzavrieť dohody o úrovni poskytovaných služieb s inými subjektmi, než sú subjekty Únie, a to s predchádzajúcim povolením IICB.
7. CERT-EU organizuje cvičenia v oblasti kybernetickej bezpečnosti a môže sa na nich zúčastňovať alebo odporúčať účasť na existujúcich cvičeniach, a to v náležitých prípadoch v úzkej spolupráci s agentúrou ENISA, s cieľom testovať úroveň kybernetickej bezpečnosti subjektov Únie.
8. CERT-EU môže subjektom Únie poskytovať pomoc s incidentmi v sieťach a informačných systémoch, v ktorých sa zaobchádza s utajovanými skutočnosťami EÚ, ak o to dotknuté subjekty Únie výslovne požiadajú v súlade so svojimi príslušnými postupmi. Poskytovaním pomoci zo strany CERT-EU podľa tohto odseku nie sú dotknuté príslušné pravidlá týkajúce sa ochrany utajovaných skutočností.
9. CERT-EU informuje subjekty Únie o svojich postupoch a procesoch riešenia incidentov.
10. Zachovávajúc vysokú mieru dôvernosti a spoľahlivosti CERT-EU prispieva prostredníctvom vhodných mechanizmov spolupráce a hierarchických vzťahov k relevantným a anonymizovaným informáciám o závažných incidentoch a o spôsobe, akým boli riešené. Uvedené informácie sa zahrnú do správy uvedenej v článku 10 ods. 14.
11. CERT-EU v spolupráci s európsky dozorným úradníkom pre ochranu osobných údajov podporuje dotknuté subjekty Únie pri riešení incidentov, ktoré majú za následok porušenie ochrany osobných údajov, bez toho, aby boli dotknuté kompetencie a úlohy európskeho dozorného úradníka pre ochranu osobných údajov ako orgánu dohľadu podľa nariadenia (EÚ) 2018/1725.
12. CERT-EU môže subjektom Únie poskytnúť technické poradenstvo alebo informácie o relevantných politických otázkach, ak o to politické oddelenia subjektov Únie výslovne požiadajú.
Článok 14
Usmernenia, odporúčania a výzvy na činnosť
1. CERT-EU podporuje vykonávanie tohto nariadenia vydávaním:
a) | výziev na činnosť s opisom naliehavých bezpečnostných opatrení, v ktorých sa subjekty Únie naliehavo vyzývajú, aby tieto opatrenia prijali v stanovenej lehote; |
b) | návrhov usmernení pre IICB adresovaných všetkým subjektom Únie alebo ich časti; |
c) | návrhov odporúčaní pre IICB adresovaných jednotlivým subjektom Únie. |
Pokiaľ ide o prvý pododsek písm. a), dotknutý subjekt Únie bez zbytočného odkladu po prijatí výzvy na činnosť informuje CERT-EU o tom, ako vykonal naliehavé bezpečnostné opatrenia.
2. Usmernenia a odporúčania môžu zahŕňať:
a) | spoločné metodiky a model posudzovania vyspelosti v oblasti kybernetickej bezpečnosti subjektov Únie vrátane zodpovedajúcich stupníc alebo kľúčových ukazovateľov výkonnosti, ktoré slúžia ako referencia na podporu neustáleho zlepšovania kybernetickej bezpečnosti naprieč subjektmi Únie a uľahčujú uprednostňovanie kybernetickobezpečnostných oblastí a opatrení s prihliadnutím na stav kybernetickej bezpečnosti subjektov; |
b) | postupy alebo zlepšenia týkajúce sa riadenia kybernetickobezpečnostných rizík alebo opatrení na riadenie kybernetickobezpečnostných rizík; |
c) | postupy týkajúce sa posudzovania vyspelosti v oblasti kybernetickej bezpečnosti a plánov kybernetickej bezpečnosti; |
d) | vo vhodných prípadoch využívanie spoločných technológií, architektúry, otvoreného zdrojového kódu a súvisiacich najlepších postupov s cieľom dosiahnuť interoperabilitu a spoločné normy vrátane koordinovaného prístupu k bezpečnosti dodávateľského reťazca; |
e) | vo vhodných prípadoch informácie na umožnenie využívania nástrojov spoločného obstarávania na nákup príslušných služieb a produktov kybernetickej bezpečnosti od dodávateľov, ktorí sú tretími stranami; |
f) | dohody o zdieľaní informácií podľa článku 20. |
Článok 22
Koordinácia a spolupráca v rámci reakcie na incidenty
1. CERT-EU ako centrum na výmenu informácií a koordináciu reakcie na incidenty v oblasti kybernetickej bezpečnosti uľahčuje výmenu informácií o incidentoch, kybernetických hrozbách, zraniteľnostiach a udalostiach odvrátených v poslednej chvíli medzi:
a) | subjektmi Únie; |
b) | náprotivkami uvedenými v článkoch 17 a 18. |
2. CERT-EU, v relevantných prípadoch v úzkej spolupráci s agentúrou ENISA, uľahčuje koordináciu reakcií subjektov Únie na incidenty vrátane:
a) | prispievania k sústavnej komunikácii navonok; |
b) | vzájomnej podpory, ako je napríklad zdieľanie relevantných informácií so subjektmi Únie, alebo v relevantných prípadoch poskytovania pomoci priamo na mieste; |
c) | optimálneho využívania operačných zdrojov; |
d) | koordinácie s inými mechanizmami reakcie na krízu na úrovni Únie. |
3. CERT-EU v úzkej spolupráci s agentúrou ENISA podporuje subjekty Únie, pokiaľ ide o situačnú informovanosť o incidentoch, kybernetických hrozbách, zraniteľnostiach a udalostiach odvrátených v poslednej chvíli, ako aj zdieľanie informácií o relevantnom vývoji v oblasti kybernetickej bezpečnosti.
4. IICB do 8. januára 2025 na základe návrhu CERT-EU vydá usmernenia alebo odporúčania týkajúce sa koordinácie a spolupráce v rámci reakcie na incidenty v prípade významných incidentov. V prípade podozrenia na trestnoprávnu povahu incidentu, CERT-EU bez zbytočného odkladu poskytne rady o spôsoboch oznamovania incidentu orgánom presadzovania práva.
5. Na základe osobitnej žiadosti členského štátu a so súhlasom dotknutých subjektov Únie môže CERT-EU vyzvať odborníkov zo zoznamu uvedeného v článku 23 ods. 4, aby prispeli k reakcii na závažný incident, ktorý má dosah v danom členskom štáte, alebo na rozsiahly kybernetický incident v súlade s článkom 15 ods. 3 písm. g) smernice (EÚ) 2022/2555. IICB schváli na návrh CERT-EU osobitné pravidlá týkajúce sa prístupu k technickým odborníkom zo subjektov Únie a ich využívania.
Článok 24
Počiatočné prerozdelenie rozpočtových prostriedkov
S cieľom zabezpečiť riadne a stabilné fungovanie CERT-EU môže Komisia navrhnúť prerozdelenie zamestnancov a finančných zdrojov do rozpočtu Komisie na použitie na činnosti CERT-EU. Prerozdelenie nadobudne účinnosť súčasne s prvým ročným rozpočtom Únie prijatým po nadobudnutí účinnosti tohto nariadenia.
whereas