Cyber Resilience Act 2023/2841 ET

1. Hiljemalt 8. septembriks 2024 annab artikli 10 kohaselt loodud institutsioonidevaheline küberturvalisuse nõukoda pärast Euroopa Liidu Küberturvalisuse Ametiga (ENISA) konsulteerimist ja CERT-EU-lt juhiste saamist liidu üksustele suunised, et viia läbi esialgne küberturvalisuse alane läbivaatamine ning luua sisemise küberturvalisusriskide juhtimis-, haldamis- ja kontrollraamistik vastavalt artiklile 6, hinnata küberturvalisuse küpsustaset vastavalt artiklile 7, võtta küberturvalisuse riskijuhtimismeetmeid vastavalt artiklile 8 ja võtta vastu küberturvalisuse kava vastavalt artiklile 9.

2. Artiklite 6–9 rakendamisel võtavad liidu üksused arvesse käesoleva artikli lõikes 1 osutatud suuniseid ning vastavalt artiklitele 11 ja 14 vastu võetud asjakohaseid suuniseid ja soovitusi.

Artikkel 11

IICB ülesanded

Oma kohustuste täitmisel teeb IICB eeskätt järgmist:

a)	annab CERT-EU juhile juhiseid;

b)	seirab tõhusalt käesoleva määruse rakendamist ja teeb selle üle järelevalvet ning toetab liidu üksusi nende küberturvalisuse parandamisel, sealhulgas nõuab asjakohasel juhul liidu üksustelt ja CERT-EU-lt ad hoc aruandeid;

c)	võtab pärast strateegilist arutelu vastu mitmeaastase strateegia liidu üksustes küberturvalisuse taseme tõstmiseks, hindab seda strateegiat korrapäraselt, ent vähemalt iga viie aasta tagant, ning muudab seda vajaduse korral;

töötab välja metoodika ja korralduslikud aspektid liidu üksuste vabatahtlike vastastikuste hindamiste tegemiseks, et õppida jagatud kogemustest, tugevdada vastastikust usaldust, saavutada küberturvalisuse ühtlaselt kõrge tase ja suurendada liidu üksuste küberturvalisuse alast suutlikkust, tagades, et selliseid vastastikuseid hindamisi teevad küberturvalisuse valdkonna eksperdid, kelle on määranud liidu üksus, mis ei ole hinnatav liidu üksus, ning et metoodika põhineb direktiivi (EL) 2022/2555 artiklil 19 ja on asjakohasel juhul kohandatud liidu üksustele;

e)	kiidab CERT-EU juhi ettepaneku põhjal heaks CERT-EU iga-aastase tööprogrammi ja seirab selle rakendamist;

f)	kiidab CERT-EU juhi ettepaneku põhjal heaks CERT-EU teenuste kataloogi ja kõik selle ajakohastused;

g)	kiidab CERT-EU juhi ettepaneku põhjal heaks CERT-EU tegevuse iga-aastase tulude ja kulude finantskalkulatsiooni, sealhulgas seoses personaliga;

h)	kiidab CERT-EU juhi ettepaneku põhjal heaks CERT-EU teenustaseme kokkulepete korra;

i)	vaatab läbi ja kiidab heaks CERT-EU juhi koostatud aastaaruande, milles käsitletakse CERT-EU tegevust ja rahaliste vahendite haldamist;

j)	kiidab heaks CERT-EU juhi ettepaneku põhjal kehtestatud CERT-EU põhilised tulemusnäitajad ja seirab neid;

k)	kiidab heaks CERT-EU ja muude üksuste vahelised artikli 18 kohaselt sõlmitud koostöökokkulepped, teenustaseme kokkulepped ja lepingud;

l)	võtab CERT-EU artikli 14 kohase ettepaneku alusel vastu suuniseid ja soovitusi ning annab CERT-EU-le korralduse esitada suuniste või soovituste ettepanek või üleskutse, see tagasi võtta või seda muuta;

m)	loob spetsiifilisi ülesandeid täitvaid tehnilisi nõuanderühmi, et abistada IICBd tema töös, kiidab heaks nende pädevuse ja määrab nende juhatajad;

n)	võtab vastu ja hindab liidu üksuste poolt käesoleva määruse alusel esitatud dokumente ja aruandeid, näiteks küberturvalisuse küpsustaseme hinnanguid;

o)	hõlbustab ENISA toetatava, liidu üksuste kohalike küberturvalisuse ametnike mitteametliku rühma loomist, et vahetada käesoleva määruse rakendamisega seotud parimaid tavasid ja teavet;

p)	seirab liidu üksuste IKT-keskkondade omavahelise ühendatuse korra asjakohasust ja annab nõuandeid võimalike paranduste tegemiseks, võttes arvesse CERT-EU esitatud teavet kindlaks tehtud küberturvalisusriskide ja saadud kogemuste kohta;

töötab välja küberkriiside haldamise kava, et toetada tegevuse tasandil liidu üksusi mõjutavate tõsiste intsidentide koordineeritud haldamist ja aidata kaasa asjakohase teabe korrapärasele vahetamisele, eelkõige seoses tõsiste intsidentide mõju ja raskusega ning nende mõju vähendamise võimalike viisidega;

r)	koordineerib liidu eri üksuste artikli 9 lõikes 2 osutatud küberkriiside haldamise kavade vastuvõtmist;

võtab vastu artikli 8 lõike 2 esimese lõigu punkti m kohase tarneahela turvalisusega seotud soovitused, võttes arvesse direktiivi (EL) 2022/2555 artiklis 22 osutatud liidu tasandil kriitilise tähtsusega tarneahelate koordineeritud turberiski hindamise tulemusi, et toetada liidu üksusi tulemuslike ja proportsionaalsete küberturvalisuse riskijuhtimismeetmete vastuvõtmisel.

Artikkel 12

Nõuete järgimine

1. IICB teeb kooskõlas artikli 10 lõikega 2 ja artikliga 11 tulemuslikku seiret selle üle, kuidas liidu üksused rakendavad käesolevat määrust ning vastuvõetud suuniseid, soovitusi ja üleskutseid. IICB võib nõuda liidu üksustelt selleks vajalikku teavet või dokumente. Käesoleva artikli kohaste nõuete järgimise meetmete vastuvõtmisel ei ole liidu üksusel hääleõigust, kui asjaomane liidu üksus on otseselt esindatud IICBs.

2. Kui IICB leiab, et liidu üksus ei ole käesolevat määrust või käesoleva määruse alusel esitatud suuniseid, soovitusi või üleskutseid tulemuslikult järginud, võib ta pärast asjaomasele liidu üksusele võimaluse andmist tähelepanekute esitamiseks ja ilma, et see piiraks asjaomase liidu üksuse sisemenetlusi, teha järgmist:

a)	edastada asjaomasele liidu üksusele põhjendatud arvamuse, milles juhitakse tähelepanu käesoleva määruse rakendamisel täheldatud puudustele;

b)	anda pärast CERT-EUga konsulteerimist asjaomasele liidu üksusele suuniseid, tagamaks et selle raamistik, küberturvalisuse riskijuhtimismeetmed, küberturvalisuse kava ja aruandlus oleksid kindlaksmääratud aja jooksul käesoleva määrusega kooskõlas;

c)	anda hoiatuse tuvastatud puuduste käsitlemiseks kindlaksmääratud aja jooksul, sealhulgas soovitused muuta asjaomase liidu üksuse poolt käesoleva määruse kohaselt vastu võetud meetmeid;

d)	esitada asjaomasele liidu üksusele põhjendatud teate, kui punkti c kohaselt antud hoiatuses tuvastatud puudusi ei ole kindlaksmääratud aja jooksul piisavalt käsitletud;

esitada

i)	soovituse viia läbi audit või

ii)	nõude, et auditi teeks kolmandast isikust audiitor;

f)	teavitada oma volituste piires kontrollikoda väidetavast nõuetele mittevastavusest, kui see on asjakohane;

g)	esitada kõigile liikmesriikidele ja liidu üksustele soovituse peatada ajutiselt asjaomasele liidu üksusele suunatud andmevood.

Esimese lõigu punkti c kohaldamisel piiratakse hoiatuse sihtrühma asjakohaselt, kui see on vajalik küberturvalisusriski tõttu.

Esimese lõigu kohaselt esitatud hoiatused ja soovitused suunatakse asjaomase liidu üksuse kõrgeimale juhtimistasandile.

3. Kui IICB on võtnud lõike 2 esimese lõigu punktide a–g kohaseid meetmeid, esitab asjaomane liidu üksus IICB tuvastatud väidetavate puuduste kõrvaldamiseks võetud meetmete üksikasjad. Liidu üksus esitab need üksikasjad IICBga kokku lepitud mõistliku aja jooksul.

4. Kui IICB leiab, et liidu üksus rikub järjepidevalt käesolevat määrust, tingituna otseselt liidu ametniku või muu teenistuja tegevusest või tegevusetusest, sealhulgas kõrgeimal juhtimistasandil, nõuab IICB, et asjaomane liidu üksus võtaks asjakohased meetmed, sealhulgas nõuab, et üksus kaaluks distsiplinaarmeetmete võtmist kooskõlas personalieeskirjades sätestatud normide ja menetlustega ning muude kohaldatavate normide ja menetlustega. Selleks edastab IICB asjaomasele liidu üksusele vajaliku teabe.

5. Kui liidu üksus teatab, et ta ei suuda artikli 6 lõikes 1 ja artikli 8 lõikes 1 sätestatud tähtaegadest kinni pidada, võib IICB anda igakülgselt põhjendatud juhtudel ja liidu üksuse suurust arvesse võttes loa tähtaegu pikendada.

IV PEATÜKK

CERT-EU

Artikkel 13

CERT-EU missioon ja ülesanded

1. CERT-EU missioon on aidata kaasa kõigi liidu üksuste salastamata IKT-keskkonna turvalisusele, andes neile küberturvalisuse alast nõu, aidates neil intsidente ära hoida, tuvastada, neid käsitleda ja leevendada, intsidentidele reageerida ja neist taastuda ning tegutsedes nende küberturvalisuse alase teabevahetuse ja intsidentidele reageerimise koordineerimise keskusena.

2. CERT-EU kogub, haldab, analüüsib ja jagab liidu üksustega teavet, mis käsitleb salastamata IKT-taristu küberohte, nõrkusi ja sellega seotud intsidente. CERT-EU koordineerib intsidentidele reageerimist institutsioonidevahelisel ja liidu üksuste tasandil, andes muu hulgas operatiivset eriabi või koordineerides seda.

3. CERT-EU täidab liidu üksuste jaoks järgmisi ülesandeid:

a)	toetab neid käesoleva määruse rakendamisel ja aitab seda koordineerida artikli 14 lõikes 1 loetletud meetmetega või IICB nõutud ad hoc aruannetega;

b)	pakub kõigile liidu üksustele standardseid CSIRT-teenuseid teenustekataloogis kirjeldatud küberturvalisuse teenuste paketiga (edaspidi „baasteenused“);

c)	hoiab alal samalaadsete organisatsioonide ja partnerite võrgustikku, et toetada teenuseid, nagu on kirjeldatud artiklites 17 ja 18;

d)	juhib IICB tähelepanu probleemidele, mis on seotud käesoleva määruse rakendamisega ning suuniste, soovituste ja üleskutsete rakendamisega;

e)	aitab lõikes 2 osutatud teabe põhjal ja tihedas koostöös ENISAga suurendada liidu küberolukorrateadlikkust;

f)	koordineerib tõsiste intsidentide haldamist;

g)	tegutseb liidu üksuste nimel samaväärsena koordinaatoriga, kes on määratud nõrkuste koordineeritud avalikustamise koordinaatoriks vastavalt direktiivi (EL) 2022/2555 artikli 12 lõikele 1;

h)	tagab liidu üksuse taotlusel kõnealuse liidu üksuse üldkasutatavate võrgu- ja infosüsteemide ennetava välise kontrollimise.

Kui see on kohaldatav ja asjakohane, jagatakse esimese lõigu punktis e osutatud teavet IICB, CSIRTide võrgustiku ning Euroopa Liidu luure- ja situatsioonikeskusega (EU INTCEN), järgides seejuures asjakohaseid konfidentsiaalsusnõudeid.

4. CERT-EU võib asjakohasel juhul teha liidus ja selle liikmesriikides koostööd asjaomaste küberturvalisuse kogukondadega vastavalt artiklile 17 või 18, muuhulgas järgmistes valdkondades:

a)	valmisolek, intsidentide koordineerimine, teabevahetus ja kriisidele reageerimine tehnilisel tasandil liidu üksustega seotud juhtumite puhul;

b)	operatiivkoostöö seoses CSIRTide võrgustikuga, k.a vastastikuse abi valdkonnas;

c)	küberohuteadmus, sh olukorrateadlikkus;

d)	kõik teemad, milleks on vaja CERT-EU tehnilist küberturvalisuse alast oskusteavet.

5. CERT-EU teeb enda pädevusse kuuluvates küsimustes struktureeritud koostööd ENISAga suutlikkuse suurendamise, operatiivkoostöö ja küberohtude pikaajalise strateegilise analüüsi vallas kooskõlas määrusega (EL) 2019/881. CERT-EU võib teha koostööd ja vahetada teavet Europoli küberkuritegevuse vastase võitluse Euroopa keskusega.

6. CERT-EU võib pakkuda järgmisi teenuseid, mida ei ole kirjeldatud tema teenuste kataloogis (edaspidi „tasulised teenused“):

a)	muud kui lõikes 3 osutatud teenused, mis toetavad liidu üksuste IKT-keskkonna küberturvalisust, teenustaseme kokkulepete põhjal ja vastavalt olemasolevatele ressurssidele, eelkõige ulatuslik võrkude seire, sealhulgas tõsiste küberohtude esmatasandi pidev seire;

b)	teenused, mis toetavad liidu üksuste küberturvalisuse toiminguid või projekte, välja arvatud nende IKT-keskkonna kaitsmiseks mõeldud teenused, kirjaliku lepingu põhjal ja IICB eelneval heakskiidul;

c)	taotluse korral asjaomase liidu üksuse võrgu- ja infosüsteemide ennetav kontrollimine, et tuvastada võimalikke olulise mõjuga nõrkusi;

d)	teenused, mis toetavad selliste organisatsioonide IKT-keskkonna turvalisust, mis ei ole liidu üksused, kuid teevad liidu üksustega tihedat koostööd, näiteks kui neile on liidu õiguse alusel määratud ülesandeid või kohustusi, kirjaliku lepingu põhjal ja IICB eelneval heakskiidul.

Võttes arvesse esimese lõigu punkti d, võib CERT-EU erandkorras sõlmida teenustaseme kokkuleppeid muude üksustega kui liidu üksused, kui IICB on selle eelnevalt heaks kiitnud.

7. CERT-EU korraldab küberturvalisuse õppusi ja võib neil osaleda või soovitada osaleda olemasolevatel õppustel, tehes seda tihedas koostöös ENISAga alati, kui see on asjakohane, et kontrollida liidu üksuste küberturvalisuse taset.

8. CERT-EU võib pakkuda liidu üksustele abi ELi salastatud teavet käitlevate võrgu- ja infosüsteemide intsidentide puhul, kui asjaomased liidu üksused seda temalt oma vastavate menetluste kohaselt sõnaselgelt taotlevad. CERT-EU poolt käesoleva lõike alusel abi osutamine ei piira salastatud teabe kaitseks kehtestatud reeglite järgimist.

9. CERT-EU teavitab liidu üksusi oma intsidendi käsitlemise menetlustest ja protsessidest.

10. CERT-EU edastab asjakohaste koostöömehhanismide ja aruandlusahelate kaudu olulise ja anonüümitud teabe tõsiste intsidentide ja nende käsitlemisviisi kohta, tagades seejuures konfidentsiaalsuse ja usaldusväärsuse kõrge taseme. See teave lisatakse artikli 10 lõikes 14 osutatud aruandesse.

11. CERT-EU toetab koostöös Euroopa Andmekaitseinspektoriga liidu üksusi selliste intsidentide käsitlemisel, millega kaasneb isikuandmetega seotud rikkumine, ilma et see piiraks Euroopa Andmekaitseinspektori kui järelevalveasutuse ülesandeid ja pädevust määruse (EL) 2018/1725 alusel.

12. CERT-EU võib asjakohastes poliitikaküsimustes anda tehnilist nõu või sisendit, kui liidu üksuste poliitikaosakonnad on seda sõnaselgelt taotlenud.

Artikkel 14

Suunised, soovitused ja üleskutsed

1. CERT-EU toetab käesoleva määruse rakendamist sellega, et annab välja järgmisi dokumente:

a)	üleskutsed, milles kirjeldatakse kiireloomulisi turbemeetmeid, mida liidu üksused peaksid võtma kindlaksmääratud aja jooksul;

b)	ettepanekud IICB-le suuniste kohta, mis on adresseeritud kõigile liidu üksustele või mõnedele nende hulgast;

c)	ettepanekud IICB-le soovituste kohta, mis on adresseeritud konkreetsetele liidu üksustele.

Võttes arvesse esimese lõigu punkti a, annab asjaomane liidu üksus põhjendamatu viivituseta pärast üleskutse saamist CERT-EU-le teada, kuidas kiireloomulisi turbemeetmeid rakendati.

2. Suunised ja soovitused võivad sisaldada:

ühtset metoodikat ja mudelit liidu üksuste küberturvalisuse küpsustaseme hindamiseks, sealhulgas vastavaid skaalasid või peamisi tulemusnäitajaid, mida kasutatakse võrdlusalusena küberturvalisuse pideva suurendamise toetamisel kõigis liidu üksustes ning küberturvalisuse valdkondade ja meetmete prioriseerimise hõlbustamisel, võttes arvesse üksuste turvaoleku taset kübervaldkonnas;

b)	küberturvalisuse riskijuhtimise ja küberturvalisuse riskijuhtimismeetmete üksikasju või parendusi;

c)	küberturvalisuse küpsustaseme hindamise ja küberturvalisuse kavade üksikasju;

d)	kui see on asjakohane, ühise tehnoloogia, arhitektuuri, avatud lähtekoodi ja nendega seotud heade tavade kasutamist, et saavutada koostalitlusvõime ja ühised standardid, sealhulgas koordineeritud lähenemisviis tarneahela turvalisusele;

e)	kui see on asjakohane, teavet, mis hõlbustaks ühishankevahendite kasutamist asjaomaste küberturvalisuse teenuste ja toodete ostmiseks kolmandast isikust tarnijatelt;

f)	artikli 20 kohast teabevahetuskorda.

Artikkel 16

Personali- ja finantsküsimused

1. CERT-EU integreeritakse komisjoni ühe peadirektoraadi haldusstruktuuri, et kasutada ära komisjoni haldus- ja finantsjuhtimis- ning raamatupidamisalaste tugistruktuuride eeliseid, kuid samal ajal säilitatakse selle staatus autonoomse institutsioonidevahelise teenuseosutajana kõigile liidu üksustele. Komisjon teavitab IICBd CERT-EU halduslikust asukohast ja selle mis tahes muudatustest. Komisjon vaatab CERT-EUga seotud halduskokkulepped korrapäraselt ja igal juhul enne ELi toimimise lepingu artikli 312 kohase mitmeaastase finantsraamistiku kehtestamist läbi, et võimaldada asjakohaste meetmete võtmist. Läbivaatamine käsitleb ka võimalust muuta CERT-EU liidu ametiks.

2. Haldus- ja finantsmenetluste kohaldamisel tegutseb CERT-EU juht komisjoni alluvuses ja IICB järelevalve all.

3. CERT-EU ülesandeid ja tegevusi, sh teenuseid, mida CERT-EU osutab artikli 13 lõigete 3, 4, 5 ja 7 ning artikli 14 lõike 1 alusel liidu üksustele, mille tegevust rahastatakse mitmeaastase finantsraamistiku rubriigist „Euroopa avalik haldus“, rahastatakse komisjoni eelarve eraldi eelarverealt. CERT-EU-le ettenähtud ametikohti täpsustatakse komisjoni ametikohtade loetelu joonealuses märkuses.

4. Muud kui käesoleva artikli lõikes 3 osutatud liidu üksused teevad CERT-EU-le igal aastal rahalise eraldise teenuste eest, mida CERT-EU osutab vastavalt nimetatud lõikele. Eraldised põhinevad orientiiridel, mille on andnud IICB ja milles iga liidu üksus ja CERT-EU on kokku leppinud teenustaseme kokkulepetes. Eraldised peavad moodustama õiglase ja proportsionaalse osa osutatud teenuste kogukuludest. Need kantakse käesoleva artikli lõikes 3 osutatud eraldi eelarvereale sihtotstarbelise sisetuluna vastavalt määruse (EL, Euratom) 2018/1046 artikli 21 lõike 3 punktile c.

5. Artikli 13 lõikes 6 määratletud teenustega seotud kulud katavad liidu üksused, kes CERT-EU teenuseid tarbivad. Tulu kantakse eelarvereale, millelt kulusid kaetakse.

Artikkel 22

Intsidentidele reageerimise koordineerimine ja koostöö

1. Küberturvalisuse alase teabevahetuse ja intsidentidele reageerimise koordineerimise keskusena hõlbustab CERT-EU intsidentide, küberohtude, nõrkuste ja ohuolukordadega seotud teabevahetust järgnevalt nimetatute vahel:

a)	liidu üksused;

b)	artiklites 17 ja 18 osutatud samalaadsed asutused.

2. CERT-EU hõlbustab asjakohasel juhul ja tihedas koostöös ENISAga intsidentidele reageerimise alast koordineerimist liidu üksuste vahel, sealhulgas:

a)	panustamist järjepidevasse välissuhtlusesse;

b)	vastastikust toetust, nagu liidu üksustele olulise teabe jagamine või abistamine vahetult kohapeal, kui see on asjakohane;

c)	operatiivressursside optimaalset kasutamist;

d)	koordineerimist muude kriisidele reageerimise mehhanismidega liidu tasandil.

3. CERT-EU toetab tihedas koostöös ENISAga liidu üksusi intsidentide, küberohtude, nõrkuste ja ohuolukordade alase olukorrateadlikkuse vallas, samuti küberturvalisuse valdkonna asjakohaste arengusuundumuste alase teabe jagamise vallas.

4. Hiljemalt 8. jaanuariks 2025 võtab IICB CERT-EU ettepaneku alusel vastu suunised või soovitused intsidentidele reageerimise koordineerimise ja koostöö kohta oluliste intsidentide korral. Kui kahtlustatakse, et intsident on kuritegelik, annab CERT-EU nõu selle kohta, kuidas teatada intsidendist põhjendamatu viivituseta õiguskaitseasutustele.

5. Liikmesriigi konkreetse taotluse alusel ja asjaomaste liidu üksuste nõusolekul võib CERT-EU kutsuda artikli 23 lõikes 4 osutatud nimekirjast eksperte, et aidata reageerida kõnealust liikmesriiki mõjutavale tõsisele intsidendile või ulatuslikule küberturbeintsidendile kooskõlas direktiivi (EL) 2022/2555 artikli 15 lõike 3 punktiga g. Konkreetsed reeglid, mille alusel saab liidu üksustest tehnilisi eksperte kutsuda ja nende teadmisi kasutada, kiidab CERT-EU ettepaneku alusel heaks IICB.

whereas

keyboard_tab Cyber Resilience Act 2023/2841 ET

Cyber Resilience Act 2023/2841 ET