keyboard_tab Cyber Resilience Act 2023/2841 DA
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 2 Art. 8 Foranstaltninger til styring af cybersikkerhedsrisici
- 1 Art. 11 IICB's opgaver
- 1 Art. 14 Retningslinjer, henstillinger og opfordringer til tiltag
KAPITEL I
ALMINDELIGE BESTEMMELSER
KAPITEL II
FORANSTALTNINGER TIL SIKRING AF ET HØJT FÆLLES CYBERSIKKERHEDSNIVEAU
KAPITEL III
DET INTERINSTITUTIONELLE RÅD FOR CYBERSIKKERHED
KAPITEL IV
CERT-EU
KAPITEL V
SAMARBEJDE OG RAPPORTERINGSFORPLIGTELSER
KAPITEL VI
AFSLUTTENDE BESTEMMELSER
- cert-eu 20
- artikel 11
- herunder 11
- eu-enhederne 9
- eller 9
- hvor 9
- forslag 9
- cybersikkerhedsrisici 8
- hændelser 8
- godkende 8
- foranstaltninger 8
- under 7
- henstillinger 7
- relevant 7
- chef 7
- fælles 7
- henblik 7
- deres 7
- grundlag 6
- denne 6
- styring 6
- forordning 5
- eu-enhed 5
- støtte 5
- iicb 5
- eu-enhedernes 5
- oplysninger 5
- cybersikkerhed 5
- gennemførelsen 5
- cybersikkerheden 4
- mellem 4
- udveksling 4
- forsyningskædesikkerhed 4
- sårbarheder 4
- litra 4
- eu-enheder 4
- overvåge 4
- vedtage 4
- hensyn 4
- hensyntagen 4
- tiltag 4
- retningslinjer 4
- fremme 3
- efter 3
- såsom 3
- forbindelse 3
- opgaver 3
- heraf 3
- virkningerne 3
- forbedringer 3
Artikel 8
Foranstaltninger til styring af cybersikkerhedsrisici
1. Uden unødigt ophold og under alle omstændigheder senest den 8. september 2025 træffer hver EU-enhed under tilsyn af sin øverste ledelse passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre de cybersikkerhedsrisici, der konstateres inden for rammen, og for at forebygge eller minimere virkningerne af hændelser. Under hensyntagen til det aktuelle teknologiske stade og i givet fald til relevante europæiske og internationale standarder skal disse foranstaltninger tilvejebringe et sikkerhedsniveau i net- og informationssystemer i hele IKT-miljøet, som står mål med de cybersikkerhedsrisici, der truer dem. Ved vurderingen af proportionaliteten af disse foranstaltninger tages der behørigt hensyn til graden af EU-enhedens eksponering for cybersikkerhedsrisici, dens størrelse og sandsynligheden for hændelser og deres alvor, herunder deres samfundsmæssige, økonomiske og interinstitutionelle indvirkning.
2. EU-enheder tager som minimum fat på følgende områder i gennemførelsen af foranstaltningerne til styring af cybersikkerhedsrisici:
| a) | cybersikkerhedspolitikken, herunder foranstaltninger, der er nødvendige for at nå de mål og prioriteter, der er omhandlet i artikel 6 og nærværende artikels stk. 3 |
| b) | politikker for cybersikkerhedsrisikoanalyse og informationssystemsikkerhed |
| c) | politikmål for brugen af cloudcomputingtjenester |
| d) | cybersikkerhedsrevision, hvor det er relevant, som kan omfatte en cybersikkerhedsrisiko-, sårbarheds- og cybertrusselsvurdering og en penetrationstest, der udføres regelmæssigt af en betroet privat udbyder |
| e) | gennemførelse af henstillinger som følge af cybersikkerhedsrevisioner, jf. litra d), gennem cybersikkerheds- og politikopdateringer |
| f) | organisering af cybersikkerheden, herunder fastlæggelse af roller og ansvarsområder |
| g) | forvaltning af aktiver, herunder en liste over IKT-aktiver og en kortlægning af IKT-netværket |
| h) | personalesikkerhed og adgangskontrol |
| i) | driftssikkerhed |
| j) | kommunikationssikkerhed |
| k) | erhvervelse, udvikling og vedligeholdelse af systemer, herunder politikker for håndtering og offentliggørelse af sårbarheder |
| l) | hvor det er muligt, politikker for kildekodens gennemsigtighed |
| m) | forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte EU-enhed og dens direkte leverandører eller tjenesteudbydere |
| n) | håndtering af hændelser og samarbejde med CERT-EU, såsom vedligeholdelse af sikkerhedsovervågning og -logning |
| o) | styring af driftskontinuitet, såsom backup-styring og reetablering efter en katastrofe, og krisestyring, og |
| p) | fremme og udvikling af uddannelse, færdigheder, bevidstgørelse, øvelses- og undervisningsprogrammer i forbindelse med cybersikkerhed. |
Med henblik på første afsnit, litra m), tager EU-enheder hensyn til de sårbarheder, der er specifikke for hver direkte leverandør og tjenesteudbyder, og den samlede kvalitet af deres leverandørers og tjenesteudbyderes produkter og cybersikkerhedspraksis, herunder deres sikre udviklingsprocedurer.
3. EU-enhederne træffer som minimum følgende foranstaltninger til styring af cybersikkerhedsrisici:
| a) | tekniske konfigurationer med henblik på at muliggøre og opretholde telearbejde |
| b) | konkrete skridt til at bevæge sig i retning af »zero trust«-principper |
| c) | anvendelse af multifaktorgodkendelse som standard for alle net- og informationssystemer |
| d) | anvendelse af kryptografi og kryptering, navnlig end-to-end-kryptering, og sikker digital underskrift |
| e) | hvor det er relevant, anvendelse af sikker tale-, video- og tekstkommunikation og sikre nødkommunikationssystemer internt i EU-enheden |
| f) | proaktive foranstaltninger til opdagelse og fjernelse af malware og spyware |
| g) | etablering af forsyningskædesikkerhed for så vidt angår software ved hjælp af kriterier for sikker udvikling og evaluering af software |
| h) | fastlæggelse og indførelse af uddannelsesprogrammer om cybersikkerhed, som svarer til de foreskrevne opgaver og den forventede kapacitet, for den øverste ledelse og medarbejdere i EU-enheden, der har til opgave at sikre den effektive gennemførelse af denne forordning |
| i) | regelmæssig uddannelse af medarbejdere i cybersikkerhed |
| j) | hvor det er relevant, deltagelse i risikoanalyser af sammenkoblingsordningerne mellem EU-enhederne |
| k) | forbedring af indkøbsprocedurerne med henblik på at fremme et højt fælles cybersikkerhedsniveau ved hjælp af:
|
Artikel 11
IICB's opgaver
Når det udfører sine forpligtelser, skal IICB navnlig:
| a) | yde vejledning til CERT-EU's chef |
| b) | effektivt overvåge og føre tilsyn med gennemførelsen af denne forordning og støtte EU-enhederne i at styrke deres cybersikkerhed, herunder, hvor det er relevant, anmode om ad hoc-rapporter fra EU-enhederne og CERT-EU |
| c) | efter en strategisk drøftelse vedtage en flerårig strategi for forøgelse af cybersikkerhedsniveauet i EU-enhederne, vurdere denne strategi regelmæssigt og under alle omstændigheder hvert femte år og, hvor det er nødvendigt, ændre strategien |
| d) | fastlægge metoden for og de organisatoriske aspekter af EU-enhedernes gennemførelse af frivillige peerevalueringer med henblik på at lære af fælles erfaringer, styrke den gensidige tillid, opnå et højt fælles cybersikkerhedsniveau og styrke EU-enhedernes cybersikkerhedskapacitet, idet det sikres, at sådanne peerevalueringer foretages af cybersikkerhedseksperter udpeget af en anden EU-enhed end den EU-enhed, der evalueres, og at metoden er baseret på artikel 19 i direktiv (EU) 2022/2555 og, hvor det er relevant, er tilpasset EU-enhederne |
| e) | godkende CERT-EU's årlige arbejdsprogram på grundlag af et forslag fra CERT-EU's chef og overvåge gennemførelsen heraf |
| f) | godkende CERT-EU's tjenestekatalog og eventuelle senere ajourføringer heraf på grundlag af et forslag fra CERT-EU's chef |
| g) | på grundlag af et forslag fra CERT-EU's chef godkende den årlige finansielle planlægning af indtægter og udgifter, herunder personale, i forbindelse med CERT-EU's aktiviteter |
| h) | godkende ordningerne for serviceleveranceaftaler på grundlag af et forslag fra CERT-EU's chef |
| i) | behandle og godkende den årsrapport, som udarbejdes af CERT-EU's chef, og som omfatter CERT-EU's aktiviteter og forvaltning af midler |
| j) | godkende og overvåge nøgleresultatindikatorer (KPI'er) for CERT-EU, der fastsættes på grundlag af et forslag fra CERT-EU's chef |
| k) | godkende samarbejdsaftaler, serviceleveranceaftaler eller kontrakter mellem CERT-EU og andre enheder, der indgås i medfør af artikel 18 |
| l) | vedtage retningslinjer og henstillinger på grundlag af et forslag fra CERT-EU i overensstemmelse med artikel 14 og pålægge CERT-EU at udstede, tilbagekalde eller ændre et forslag til retningslinjer eller henstillinger eller en opfordring til tiltag |
| m) | nedsætte tekniske rådgivende grupper med specifikke opgaver til at bistå IICB i dets arbejde, godkende deres mandat og udpege deres respektive formænd |
| n) | modtage og vurdere dokumenter og rapporter, der forelægges af EU-enhederne i henhold til denne forordning, såsom modenhedsvurderinger af cybersikkerheden |
| o) | fremme nedsættelsen af en uformel gruppe bestående af EU-enhedernes lokale cybersikkerhedsansvarlige med støtte fra ENISA med henblik på udveksling af bedste praksis og oplysninger i forbindelse med gennemførelsen af denne forordning |
| p) | under hensyntagen til oplysningerne om de udpegede cybersikkerhedsrisici og de indhøstede erfaringer, der kommer fra CERT-EU, overvåge, om sammenkoblingsordningerne mellem EU-enhedernes IKT-miljøer er tilstrækkelige, og rådgive om mulige forbedringer |
| q) | fastlægge en plan for cyberkrisestyring for på operationelt plan at støtte den koordinerede håndtering af større hændelser, der påvirker EU-enheder, og bidrage til regelmæssig udveksling af relevante oplysninger, navnlig med hensyn til virkningerne og alvoren af større hændelser og de mulige metoder til at afbøde virkningerne heraf |
| r) | koordinere vedtagelsen af de enkelte EU-enheders cyberkrisestyringsplaner, jf. artikel 9, stk. 2 |
| s) | vedtage henstillinger vedrørende forsyningskædesikkerhed som omhandlet i artikel 8, stk. 2, første afsnit, litra m), under hensyntagen til resultaterne af sikkerhedsrisikovurderinger koordineret på EU-niveau af kritiske forsyningskæder, jf. artikel 22 i direktiv (EU) 2022/2555, for at støtte EU-enhederne i at vedtage effektive og forholdsmæssige foranstaltninger til styring af cybersikkerhedsrisici. |
Artikel 14
Retningslinjer, henstillinger og opfordringer til tiltag
1. CERT-EU støtter gennemførelsen af denne forordning ved at udstede:
| a) | opfordringer til tiltag, der beskriver hastende sikkerhedsforanstaltninger, som EU-enhederne kraftigt opfordres til at træffe inden udløbet af en fastsat frist |
| b) | forslag til IICB om retningslinjer rettet til alle eller en delgruppe af EU-enheder |
| c) | forslag til IICB om henstillinger rettet til individuelle EU-enheder. |
Med hensyn til første afsnit, litra a), underretter den pågældende EU-enhed uden unødigt ophold efter modtagelsen af opfordringen til tiltag CERT-EU om, hvordan de hastende sikkerhedsforanstaltninger er blevet anvendt.
2. Retningslinjer og henstillinger kan omfatte:
| a) | fælles metoder og en model for modenhedsvurdering af EU-enhedernes cybersikkerhed, herunder de tilhørende skalaer eller KPI'er, der tjener som reference til støtte for løbende forbedringer af cybersikkerheden i alle EU-enhederne og letter prioriteringen af cybersikkerhedsområder og -foranstaltninger under hensyntagen til enhedernes cybersikkerhedstilstand |
| b) | ordninger for eller forbedringer af styringen af cybersikkerhedsrisici og foranstaltningerne til styring af cybersikkerhedsrisici |
| c) | ordninger for modenhedsvurderinger af cybersikkerheden og cybersikkerhedsplaner |
| d) | hvor det er relevant, brugen af fælles teknologi, arkitektur, open source og dertil knyttet bedste praksis med henblik på at opnå interoperabilitet og fælles standarder, herunder en koordineret tilgang til forsyningskædesikkerhed |
| e) | hvor det er relevant, oplysninger med henblik på at lette anvendelsen af fælles udbudsinstrumenter til indkøb af relevante cybersikkerhedstjenester og -produkter fra tredjepartsleverandører |
| f) | ordninger for udveksling af oplysninger i henhold til artikel 20. |
whereas