Cyber Resilience Act 2023/2841 DA

1. Senest den 8. april 2025 fastlægger hver EU-enhed efter at have foretaget en indledende cybersikkerhedsgennemgang, såsom en revision, en intern ramme for styring, forvaltning og kontrol af cybersikkerhedsrisici (»rammen«). Fastlæggelsen af rammen overvåges af og under ansvar af EU-enhedens øverste ledelse.

2. Rammen skal dække hele den pågældende EU-enheds uklassificerede IKT-miljø, herunder lokale IKT-miljøer, lokale driftsteknologinet, udliciterede aktiver og tjenester i cloudcomputingmiljøer eller som hostes af tredjeparter, bærbare enheder, interne netværk, forretningsnetværk, der ikke er forbundet til internettet, og andre enheder, der er forbundet til disse miljøer (»IKT-miljøet«). Rammen skal være baseret på en tilgang, der omfatter alle farer.

3. Rammen skal sikre et højt cybersikkerhedsniveau. Rammen fastlægger interne cybersikkerhedspolitikker, herunder mål og prioriteter for sikkerheden i net- og informationssystemer og rollerne og ansvarsområderne for EU-enhedens personale, der har til opgave at sikre en effektiv gennemførelse af denne forordning. Rammen omfatter også mekanismer til måling af effektiviteten af gennemførelsen.

4. Rammen revideres regelmæssigt i lyset af cybersikkerhedsrisiciene, som hele tiden ændrer sig, og mindst hvert fjerde år. Hvor det er relevant, og efter anmodning fra Det Interinstitutionelle Råd for Cybersikkerhed, der er oprettet i henhold til artikel 10, kan en EU-enheds ramme ajourføres på grundlag af vejledning fra CERT-EU om påviste hændelser eller mulige mangler i gennemførelsen af denne forordning, som er konstateret.

5. Den øverste ledelse i hver EU-enhed er ansvarlig for gennemførelsen af denne forordning og fører tilsyn med sin organisations overholdelse af forpligtelserne i forbindelse med rammen.

6. Hvor det er relevant, og uden at det berører dens ansvar for gennemførelsen af denne forordning, kan den øverste ledelse i hver EU-enhed uddelegere specifikke forpligtelser i henhold til denne forordning til seniormanagere som omhandlet i artikel 29, stk. 2, i vedtægten for tjenestemænd eller andre tjenestemænd på tilsvarende niveau i den pågældende EU-enhed. Uanset en sådan delegering kan den øverste ledelse holdes ansvarlig for den pågældende EU-enheds overtrædelser af denne forordning.

7. Hver EU-enhed indfører effektive mekanismer til sikring af, at en passende procentdel af IKT-budgettet bruges på cybersikkerhed. Der skal tages behørigt hensyn til rammen ved fastlæggelsen af denne procentdel.

8. Hver EU-enhed udpeger en lokal cybersikkerhedsansvarlig eller en ækvivalent funktion, der fungerer som det centrale kontaktpunkt vedrørende alle aspekter af cybersikkerhed. Den lokale cybersikkerhedsansvarlige fremmer gennemførelsen af denne forordning og aflægger regelmæssigt rapport direkte til den øverste ledelse om status for gennemførelsen. Uden at det berører den omstændighed, at den lokale cybersikkerhedsansvarlige er det centrale kontaktpunkt i hver EU-enhed, kan en EU-enhed uddelegere visse af den lokale cybersikkerhedsansvarliges opgaver i relation til gennemførelsen af denne forordning til CERT-EU på grundlag af en serviceleveranceaftale, som indgås mellem den pågældende EU-enhed og CERT-EU, eller disse opgaver kan deles af flere EU-enheder. Hvis disse opgaver uddelegeres til CERT-EU, træffer Det Interinstitutionelle Råd for Cybersikkerhed, der er oprettet i henhold til artikel 10, afgørelse om, hvorvidt leveringen af denne tjeneste skal være en del af CERT-EU's basistjenester, under hensyntagen til den pågældende EU-enheds menneskelige og finansielle ressourcer. Hver EU-enhed underretter uden unødigt ophold CERT-EU om de udpegede lokale cybersikkerhedsansvarlige og alle senere ændringer af disse.

CERT-EU opretter en liste over udpegede lokale cybersikkerhedsansvarlige og holder den ajour.

9. Seniormanagere som omhandlet i artikel 29, stk. 2, i vedtægten for tjenestemænd eller andre tjenestemænd på tilsvarende niveau i hver EU-enhed samt alle relevante medarbejdere, der har til opgave at gennemføre foranstaltningerne for styring af cybersikkerhedsrisici og at opfylde forpligtelserne fastsat i denne forordning, følger regelmæssigt specifikke kurser for at tilegne sig tilstrækkelig viden og tilstrækkelige færdigheder til at forstå og vurdere cybersikkerhedsrisici- og cybersikkerhedsstyringspraksis samt virkningen heraf for EU-enhedens drift.

Artikel 7

Modenhedsvurderinger af cybersikkerheden

1. Senest den 8. juli 2025 og mindst hvert andet år derefter foretager hver EU-enhed en modenhedsvurdering af cybersikkerheden, der omfatter alle elementerne i dens IKT-miljø.

2. Modenhedsvurderingerne af cybersikkerheden foretages, hvor det er relevant, med bistand fra en specialiseret tredjepart.

3. EU-enheder med ensartede strukturer kan samarbejde om at foretage modenhedsvurderinger af cybersikkerheden for deres respektive enheder.

4. På grundlag af en anmodning fra Det Interinstitutionelle Råd for Cybersikkerhed, der er oprettet i henhold til artikel 10, og med den pågældende EU-enheds udtrykkelige samtykke kan resultaterne af en modenhedsvurdering af cybersikkerheden drøftes i ovennævnte råd eller i den uformelle gruppe af lokale cybersikkerhedsansvarlige med henblik på at lære af erfaringerne og udveksle bedste praksis.

Artikel 10

Det Interinstitutionelle Råd for Cybersikkerhed

1. Det Interinstitutionelle Råd for Cybersikkerhed (IICB) oprettes herved.

2. IICB er ansvarligt for:

a)	at overvåge og støtte EU-enhedernes gennemførelse af denne forordning

b)	at føre tilsyn med CERT-EU's gennemførelse af de generelle prioriteter og mål og udstikke den strategiske retning for CERT-EU.

3. IICB sammensættes af:

én repræsentant udpeget af hver af følgende:

i)	Europa-Parlamentet

ii)	Det Europæiske Råd

iii)	Rådet for Den Europæiske Union

iv)	Kommissionen

v)	Den Europæiske Unions Domstol

vi)	Den Europæiske Centralbank

vii)	Revisionsretten

viii)

Tjenesten for EU's Optræden Udadtil

ix)	Det Europæiske Økonomiske og Sociale Udvalg

x)	Regionsudvalget

xi)	Den Europæiske Investeringsbank

xii)	Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed

xiii)

ENISA

xiv)	Den Europæiske Tilsynsførende for Databeskyttelse (EDPS)

xv)	Den Europæiske Unions Agentur for Rumprogrammet.

b)	tre repræsentanter udpeget af EU-agenturernes netværk (EUAN) på grundlag af et forslag fra netværkets rådgivende IKT-udvalg til at repræsentere interesserne for Unionens organer, kontorer og agenturer, der har deres eget IKT-miljø, bortset fra dem, der er omhandlet i litra a).

De EU-enheder, der er repræsenteret i IICB, tilstræber at opnå en ligelig kønsfordeling blandt de udpegede repræsentanter.

4. Medlemmerne af IICB kan bistås af en suppleant. Formanden kan invitere andre repræsentanter for de i stk. 3 omhandlede EU-enheder eller for andre EU-enheder til at deltage i IICB's møder uden stemmeret.

5. Chefen for CERT-EU samt formændene for samarbejdsgruppen, CSIRT-netværket og EU-CyCLONe, der er oprettet i henhold til henholdsvis artikel 14, 15 og 16 i direktiv (EU) 2022/2555, eller deres suppleanter kan deltage i IICB's møder som observatører. I undtagelsestilfælde kan IICB i overensstemmelse med dets forretningsorden træffe en anden afgørelse.

6. IICB vedtager sin egen forretningsorden.

7. IICB udpeger en formand blandt medlemmerne i overensstemmelse med sin forretningsorden og for en periode på tre år. Formandens suppleant bliver fuldgyldigt medlem af IICB for samme periode.

8. IICB mødes mindst tre gange årligt på formandens initiativ, efter anmodning fra CERT-EU, eller efter anmodning fra et af medlemmerne.

9. Hvert medlem af IICB har én stemme. IICB's afgørelser træffes med simpelt flertal, såfremt intet andet er fastsat i denne forordning. Formanden for IICB har ikke stemmeret, undtagen i tilfælde af stemmelighed, hvor formanden kan afgive den afgørende stemme.

10. IICB kan handle ved hjælp af en forenklet skriftlig procedure, som indledes i overensstemmelse med dets forretningsorden. I henhold til denne procedure anses den relevante afgørelse for at være godkendt inden for den tidsfrist, som formanden har fastsat, medmindre et medlem gør indsigelse.

11. IICB's sekretariat stilles til rådighed af Kommissionen og refererer til IICB's formand.

12. De repræsentanter, der er udpeget af EUAN, formidler IICB's afgørelser til EUAN's medlemmer. Ethvert medlem af EUAN har ret til over for disse repræsentanter eller IICB's formand at rejse ethvert spørgsmål, som medlemmet mener, IICB bør gøres opmærksom på.

13. IICB kan nedsætte et forretningsudvalg til at bistå IICB i dets arbejde og delegere nogle af sine opgaver og beføjelser til samme. IICB fastsætter forretningsudvalgets forretningsorden, herunder dets opgaver og beføjelser, og dets medlemmers mandatperiode.

14. Senest den 8. januar 2025 og derefter hvert år forelægger IICB en rapport for Europa-Parlamentet og Rådet, som indeholder en detaljeret beskrivelse af de fremskridt, der er gjort med gennemførelsen af denne forordning, og som navnlig præciserer omfanget af CERT-EU's samarbejde med medlemsstatsmodparter i hver af medlemsstaterne. Rapporten udgør et input til den rapport, der kommer hvert andet år, om cybersikkerhedssituationen i Unionen, som vedtages i henhold til artikel 18 i direktiv (EU) 2022/2555.

Artikel 11

IICB's opgaver

Når det udfører sine forpligtelser, skal IICB navnlig:

a)	yde vejledning til CERT-EU's chef

b)	effektivt overvåge og føre tilsyn med gennemførelsen af denne forordning og støtte EU-enhederne i at styrke deres cybersikkerhed, herunder, hvor det er relevant, anmode om ad hoc-rapporter fra EU-enhederne og CERT-EU

c)	efter en strategisk drøftelse vedtage en flerårig strategi for forøgelse af cybersikkerhedsniveauet i EU-enhederne, vurdere denne strategi regelmæssigt og under alle omstændigheder hvert femte år og, hvor det er nødvendigt, ændre strategien

fastlægge metoden for og de organisatoriske aspekter af EU-enhedernes gennemførelse af frivillige peerevalueringer med henblik på at lære af fælles erfaringer, styrke den gensidige tillid, opnå et højt fælles cybersikkerhedsniveau og styrke EU-enhedernes cybersikkerhedskapacitet, idet det sikres, at sådanne peerevalueringer foretages af cybersikkerhedseksperter udpeget af en anden EU-enhed end den EU-enhed, der evalueres, og at metoden er baseret på artikel 19 i direktiv (EU) 2022/2555 og, hvor det er relevant, er tilpasset EU-enhederne

e)	godkende CERT-EU's årlige arbejdsprogram på grundlag af et forslag fra CERT-EU's chef og overvåge gennemførelsen heraf

f)	godkende CERT-EU's tjenestekatalog og eventuelle senere ajourføringer heraf på grundlag af et forslag fra CERT-EU's chef

g)	på grundlag af et forslag fra CERT-EU's chef godkende den årlige finansielle planlægning af indtægter og udgifter, herunder personale, i forbindelse med CERT-EU's aktiviteter

h)	godkende ordningerne for serviceleveranceaftaler på grundlag af et forslag fra CERT-EU's chef

i)	behandle og godkende den årsrapport, som udarbejdes af CERT-EU's chef, og som omfatter CERT-EU's aktiviteter og forvaltning af midler

j)	godkende og overvåge nøgleresultatindikatorer (KPI'er) for CERT-EU, der fastsættes på grundlag af et forslag fra CERT-EU's chef

k)	godkende samarbejdsaftaler, serviceleveranceaftaler eller kontrakter mellem CERT-EU og andre enheder, der indgås i medfør af artikel 18

l)	vedtage retningslinjer og henstillinger på grundlag af et forslag fra CERT-EU i overensstemmelse med artikel 14 og pålægge CERT-EU at udstede, tilbagekalde eller ændre et forslag til retningslinjer eller henstillinger eller en opfordring til tiltag

m)	nedsætte tekniske rådgivende grupper med specifikke opgaver til at bistå IICB i dets arbejde, godkende deres mandat og udpege deres respektive formænd

n)	modtage og vurdere dokumenter og rapporter, der forelægges af EU-enhederne i henhold til denne forordning, såsom modenhedsvurderinger af cybersikkerheden

o)	fremme nedsættelsen af en uformel gruppe bestående af EU-enhedernes lokale cybersikkerhedsansvarlige med støtte fra ENISA med henblik på udveksling af bedste praksis og oplysninger i forbindelse med gennemførelsen af denne forordning

p)	under hensyntagen til oplysningerne om de udpegede cybersikkerhedsrisici og de indhøstede erfaringer, der kommer fra CERT-EU, overvåge, om sammenkoblingsordningerne mellem EU-enhedernes IKT-miljøer er tilstrækkelige, og rådgive om mulige forbedringer

fastlægge en plan for cyberkrisestyring for på operationelt plan at støtte den koordinerede håndtering af større hændelser, der påvirker EU-enheder, og bidrage til regelmæssig udveksling af relevante oplysninger, navnlig med hensyn til virkningerne og alvoren af større hændelser og de mulige metoder til at afbøde virkningerne heraf

r)	koordinere vedtagelsen af de enkelte EU-enheders cyberkrisestyringsplaner, jf. artikel 9, stk. 2

vedtage henstillinger vedrørende forsyningskædesikkerhed som omhandlet i artikel 8, stk. 2, første afsnit, litra m), under hensyntagen til resultaterne af sikkerhedsrisikovurderinger koordineret på EU-niveau af kritiske forsyningskæder, jf. artikel 22 i direktiv (EU) 2022/2555, for at støtte EU-enhederne i at vedtage effektive og forholdsmæssige foranstaltninger til styring af cybersikkerhedsrisici.

Artikel 13

CERT-EU's mission og opgaver

1. CERT-EU's mission er at bidrage til det uklassificerede IKT-miljøs sikkerhed i alle EU-enheder ved at rådgive dem om cybersikkerhed, hjælpe dem med at forebygge, opdage, håndtere, afbøde, reagere på og reetablere sig efter hændelser og fungere som deres knudepunkt for udveksling af oplysninger vedrørende cybersikkerhed og for koordinering af reaktionen på hændelser.

2. CERT-EU indsamler, forvalter, analyserer og deler oplysninger med EU-enhederne om cybertrusler, sårbarheder og hændelser i uklassificeret IKT-infrastruktur. Det koordinerer beredskabet i forbindelse med hændelser på interinstitutionelt niveau og på EU-enhedsniveau, herunder ved at yde eller koordinere ydelsen af specialiseret operationel bistand.

3. CERT-EU udfører følgende opgaver for at bistå EU-enhederne:

a)	støtter dem i forbindelse med gennemførelsen af denne forordning og bidrager til koordineringen af gennemførelsen af denne forordning ved hjælp af de foranstaltninger, der er opført i artikel 14, stk. 1, eller ved hjælp af ad hoc-rapporter, som IICB har anmodet om

b)	tilbyder standardiserede CSIRT-tjenester til EU-enheder i form af en pakke af cybersikkerhedstjenester beskrevet i dets tjenestekatalog (»basistjenester«)

c)	vedligeholder et netværk af ligestillede og partnere til støtte for tjenesterne, jf. artikel 17 og 18

d)	gør IICB opmærksom på problemer, der vedrører gennemførelsen af denne forordning samt gennemførelsen af retningslinjer, henstillinger og opfordringer til tiltag

e)	bidrager på grundlag af de oplysninger, der er omhandlet i stk. 2, til Unionens cybersituationsbevidsthed i tæt samarbejde med ENISA

f)	koordinerer håndteringen af større hændelser

g)	agerer på vegne af EU-enhederne som ækvivalent med den koordinator, der er udpeget med henblik på koordineret offentliggørelse af sårbarheder, jf. artikel 12, stk. 1, i direktiv (EU) 2022/2555

h)	sørger efter anmodning fra en EU-enhed for en proaktiv, ikkeindgribende scanning af den pågældende EU-enheds offentligt tilgængelige net- og informationssystemer.

De oplysninger, der er omhandlet i første afsnit, litra e), deles med IICB, CSIRT-netværket og Den Europæiske Unions Efterretnings- og Situationscenter (EU INTCEN), hvor det er relevant og hensigtsmæssigt, og under overholdelse af passende fortrolighedsbetingelser.

4. CERT-EU kan i overensstemmelse med artikel 17 eller 18, alt efter hvad der er relevant, samarbejde med relevante cybersikkerhedsfællesskaber i Unionen og dens medlemsstater, herunder på følgende områder:

a)	beredskab, koordinering i forbindelse med hændelser, udveksling af oplysninger og reaktion på kriser på teknisk plan i forbindelse med sager, der har tilknytning til EU-enhederne

b)	operationelt samarbejde i forbindelse med CSIRT-netværket, herunder med hensyn til gensidig bistand

c)	efterretninger om cybertrusler, herunder situationsbevidsthed

d)	et hvilket som helst andet område, hvor CERT-EU's tekniske cybersikkerhedsekspertise er påkrævet.

5. CERT-EU indgår inden for sin kompetence i et struktureret samarbejde med ENISA om kapacitetsopbygning, operationelt samarbejde og langsigtede strategiske analyser af cybertrusler i overensstemmelse med forordning (EU) 2019/881. CERT-EU kan samarbejde og udveksle oplysninger med Europols Europæiske Center for Bekæmpelse af Cyberkriminalitet.

6. CERT-EU kan levere følgende tjenester, der ikke er beskrevet i dets tjenestekatalog (betalingspligtige tjenester):

tjenester til støtte for cybersikkerheden i relation til EU-enhedernes IKT-miljø ud over dem, der er omhandlet i stk. 3, i henhold til serviceleveranceaftaler og under forudsætning af, at der er ressourcer til rådighed, navnlig bredspektret overvågning af netværk, herunder 24/7-frontlinjeovervågning af meget alvorlige cybertrusler

b)	tjenester til støtte for EU-enhedernes cybersikkerhedsoperationer eller -projekter ud over dem, der beskytter deres IKT-miljø, i henhold til skriftlige aftaler og under forudsætning af forudgående godkendelse fra IICB

c)	efter anmodning en proaktiv scanning af den pågældende EU-enheds net- og informationssystemer for at opdage sårbarheder med en potentiel væsentlig virkning

tjenester til støtte for IKT-miljøers sikkerhed i andre organisationer end EU-enhederne, som arbejder tæt sammen med EU-enhederne, f.eks. fordi de er tildelt opgaver eller ansvarsområder i henhold til EU-retten, i henhold til skriftlige aftaler og under forudsætning af forudgående godkendelse fra IICB.

For så vidt angår første afsnit, litra d), kan CERT-EU undtagelsesvis indgå serviceleveranceaftaler med andre enheder end EU-enheder med forudgående godkendelse fra IICB.

7. CERT-EU arrangerer og kan deltage i cybersikkerhedsøvelser eller opfordre til deltagelse i eksisterende øvelser, hvor det er relevant i tæt samarbejde med ENISA, med henblik på at teste cybersikkerhedsniveauet i EU-enhederne.

8. CERT-EU kan yde bistand til EU-enhederne vedrørende hændelser i net- og informationssystemer, der håndterer EUCI, hvis de pågældende EU-enheder udtrykkeligt anmoder herom i overensstemmelse med deres respektive procedurer. CERT-EU's ydelse af bistand i henhold til dette stykke berører ikke gældende regler om beskyttelse af klassificerede informationer.

9. CERT-EU underretter EU-enhederne om sine procedurer og processer for håndtering af hændelser.

10. CERT-EU bidrager med en høj grad af fortrolighed og pålidelighed via de behørige samarbejdsmekanismer og rapporteringsveje til relevante og anonymiserede oplysninger om større hændelser og måden, hvorpå de blev håndteret. Disse oplysninger medtages i den rapport, der er omhandlet i artikel 10, stk. 14.

11. CERT-EU støtter i samarbejde med EDPS de pågældende EU-enheder, når de håndterer hændelser, der medfører brud på persondatasikkerheden, uden at dette berører EDPS' kompetencer og opgaver som tilsynsmyndighed i henhold til forordning (EU) 2018/1725.

12. CERT-EU kan, hvis EU-enhedernes politiske afdelinger udtrykkeligt anmoder herom, yde teknisk rådgivning eller input om relevante politiske spørgsmål.

Artikel 22

Koordinering af og samarbejde om reaktionen på hændelser

1. I sin funktion som knudepunkt for udveksling af oplysninger vedrørende cybersikkerhed og for koordinering af reaktionen på hændelser fremmer CERT-EU udvekslingen af oplysninger om hændelser, cybertrusler, sårbarheder og nærvedhændelser mellem:

a)	EU-enheder

b)	de i artikel 17 og 18 omhandlede modparter.

2. CERT-EU fremmer, hvor det er relevant i tæt samarbejde med ENISA, koordineringen mellem EU-enheder af reaktioner på hændelser, herunder:

a)	bidrag til konsekvent ekstern kommunikation

b)	gensidig støtte såsom udveksling af oplysninger, der er relevante for EU-enheder, eller ydelse af bistand direkte på stedet, hvor det er relevant

c)	optimal udnyttelse af operationelle ressourcer

d)	koordineringen med andre krisereaktionsmekanismer på EU-plan.

3. CERT-EU støtter, i tæt samarbejde med ENISA, EU-enhederne i relation til situationsbevidsthed i forbindelse med hændelser, cybertrusler, sårbarheder og nærvedhændelser og deler oplysninger om den seneste udvikling inden for cybersikkerhed.

4. IICB vedtager senest den 8. januar 2025 på grundlag af et forslag fra CERT-EU retningslinjer eller henstillinger om koordinering af reaktionen på hændelser og samarbejde om væsentlige hændelser. Hvis hændelsen mistænkes for at være af strafferetlig karakter, rådgiver CERT-EU også om, hvordan de retshåndhævende myndigheder underrettes om hændelsen, uden unødigt ophold.

5. Efter en specifik anmodning fra en medlemsstat og med de berørte EU-enheders godkendelse kan CERT-EU indkalde eksperter fra den liste, der er omhandlet i artikel 23, stk. 4, med henblik på at bidrage til reaktionen på en større hændelse, som har en virkning i den pågældende medlemsstat, eller en omfattende cybersikkerhedshændelse i overensstemmelse med artikel 15, stk. 3, litra g), i direktiv (EU) 2022/2555. Specifikke regler for adgangen til og brugen af tekniske eksperter fra EU-enheder skal godkendes af IICB på grundlag af et forslag fra CERT-EU.

whereas

keyboard_tab Cyber Resilience Act 2023/2841 DA

Cyber Resilience Act 2023/2841 DA