keyboard_tab Cyber Resilience Act 2023/2841 GA

1.   Faoin 8 Meán Fómhair 2024, déanfaidh an Bord Idirinstitiúideach um chibearshlándáil arna bhunú de bhun Airteagal 10, tar éis dó dul i gcomhairle le Gníomhaireacht an Aontais Eorpaigh um chibearshlándáil (ENISA) agus tar éis treoir a fháil ó CERT-EU, treoirlínte a eisiúint d’eintitis an Aontais chun críche athbhreithnithe tosaigh cibearshlándála a dhéanamh agus creat inmheánach bainistíochta riosca, rialachais agus rialaithe cibearshlándála a bhunú de bhun Airteagal 6, measúnuithe aibíochta cibearshlándála a dhéanamh de bhun Airteagal 7, bearta bainistíochta riosca cibearshlándála a dhéanamh de bhun Airteagal 8, agus an plean cibearshlándála a ghlacadh de bhun Airteagal 9.

2.   Agus Airteagail 6 go 9 á gcur chun feidhme acu, cuirfidh eintitis an Aontais san áireamh na treoirlínte dá dtagraítear i mír 1 den Airteagal seo, chomh maith le treoirlínte agus moltaí ábhartha arna nglacadh de bhun Airteagail 11 agus 14.

1.   Faoin 8 Aibreán 2025, déanfaidh eintitis uile an Aontais, tar éis dó athbhreithniú tosaigh cibearshlándála a dhéanamh, amhail iniúchadh, creat inmheánach bainistíochta riosca, rialachais agus rialaithe cibearshlándála (‘an Creat’) a bhunú. Is é an leibhéal bainistíochta is airde atá ag gach eintiteas de chuid an Aontais a dhéanfaidh maoirseacht ar bhunú an Chreata agus is faoi fhreagracht an eintitis sin a dhéanfar é.

2.   Sa Chreat, cumhdófar timpeallacht TFC neamh-rúnaicmithe eintiteas an Aontais lena mbaineann ina hiomláine, lena n-áirítear aon timpeallacht TFC san áitreabh, líonra teicneolaíochta oibríochtúla san áitreamh, sócmhainní seachfhoinsithe agus seirbhísí i dtimpeallachtaí néalríomhaireachta nó atá á n-óstáil ag tríú páirtithe, gairis mhóibíleacha, líonraí corparáideacha, líonraí gnó nach bhfuil nasctha leis an idirlíon agus aon ghaireas atá nasctha leis na timpeallachtaí sin (‘timpeallacht TFC’). Beidh an Creat bunaithe ar chur chuige uile-ghuaise.

3.   Leis an gCreat, áiritheofar ardleibhéal cibearshlándála. Leis an gCreat, bunófar beartais inmheánacha chibearshlándála, lena n-áirítear cuspóirí agus tosaíochtaí, maidir le slándáil córas gréasán agus faisnéise, agus róil agus freagrachtaí fhoireann eintiteas an Aontais a mbeidh sé de chúram orthu cur chun feidhme éifeachtach an Rialacháin seo a áirithiú. Áireofar sa Chreat freisin sásraí chun éifeachtacht an chur chun feidhme a thomhas.

4.   Déanfar an creat a athbhreithniú ar bhonn rialta, i bhfianaise na n-athruithe atá ag teacht ar rioscaí cibearshlándála, agus gach 4 bliana ar a laghad. I gcás inarb iomchuí agus tar éis iarraidh ón mBord Idirinstitiúideach um chibearshlándáil arna bhunú de bhun Airteagal 10, féadfar Creat eintitis de chuid an Aontais a thabhairt cothrom le dáta ar bhonn treoir a fháil ó CERT-EU maidir le teagmhais arna sainaithint nó maidir le bearnaí a d’fhéadfadh a bheith ann i gcur chun feidhme an Rialacháin seo.

5.   Beidh an leibhéal bainistíochta is airde i ngach eintiteas de chuid an Aontais freagrach as an Rialachán seo a chur chun feidhme agus déanfaidh sé maoirseacht ar chomhlíonadh a eagraíochta leis na hoibleagáidí a bhaineann leis an gCreat.

6.   I gcás inarb iomchuí agus gan dochar dá fhreagracht as cur chun feidhme an Rialacháin seo, féadfaidh an leibhéal bainistíochta is airde i ngach eintiteas de chuid an Aontais oibleagáidí sonracha faoin Rialachán seo a tharmligean chuig oifigigh shinsearacha de réir bhrí Airteagal 29(2) de na Rialacháin Foirne nó chuig oifigigh eile ar leibhéal coibhéiseach, laistigh d’eintiteas an Aontais lena mbaineann. Gan beann ar aon tarmligean den sórt sin, féadfaidh eintiteas an Aontais lena mbaineann an leibhéal bainistíochta is airde a chur faoi dhliteanas i leith sáruithe ar an Rialachán seo.

7.   Beidh sásraí éifeachtacha i bhfeidhm ag gach eintiteas de chuid an Aontais chun a áirithiú go gcaithfear céatadán leordhóthanach dá mbuiséad TFC ar chibearshlándáil. Tabharfar aird chuí ar an gCreat agus an céatadán sin á dheimhniú.

8.   Ceapfaidh gach eintiteas de chuid an Aontais oifigeach cibearshlándála áitiúil, nó feidhm choibhéiseach, a ghníomhóidh mar phointe aonair teagmhála maidir le gach gné den chibearshlándáil. Éascóidh an t-oifigeach cibearshlándála áitiúil cur chun feidhme an Rialacháin seo agus tuairisceoidh an t-oifigeach go díreach don leibhéal bainistíochta is airde ar bhonn rialta maidir le staid an chur chun feidhme. Gan dochar don oifigeach cibearshlándála áitiúil a bheith mar an bpointe teagmhála aonair in eintitis uile an Aontais, féadfaidh eintiteas de chuid an Aontais cúraimí áirithe den oifigeach cibearshlándála áitiúil maidir le cur chun feidhme an Rialacháin seo a tharmligean chuig CERT-EU ar bhonn comhaontú ar leibhéal seirbhíse arna thabhairt i gcrích idir an t-eintiteas sin de chuid an Aontais agus CERT-EU, nó féadfaidh roinnt eintiteas de chuid an Aontais na cúraimí sin a chomhroinnt. I gcás ina ndéanfar na cúraimí sin a tharmligean chuig CERT-EU, cinnfidh an Bord Idirinstitiúideach um chibearshlándáil arna bhunú de bhun Airteagal 10 an mbeidh nó nach mbeidh soláthar na seirbhíse sin mar chuid de sheirbhísí bonnlíne CERT-EU, agus acmhainní daonna agus airgeadais eintiteas an Aontais lena mbaineann á gcur san áireamh. Tabharfaidh gach eintiteas de chuid an Aontais, gan moill mhíchuí, fógra do CERT-EU maidir le hoifigigh chibearshlándála áitiúla arna gceapadh, agus aon athrú a dhéanfar orthu ina dhiaidh sin.

Bunóidh CERT-EU liosta d’oifigigh chibearshlándála áitiúla arna gceapadh agus coinneoidh sé cothrom le dáta é.

9.   Na hoifigigh shinsearacha de réir bhrí Airteagal 29(2) de na Rialacháin Foirne nó oifigigh eile ar leibhéal coibhéiseach le gach eintiteas de chuid an Aontais, mar aon leis na baill foirne ábhartha uile a bhfuil sé de chúram orthu na bearta a leagtar síos sa Rialachán seo a chur chun feidhme agus na hoibleagáidí bainistíochta riosca cibearshlándála a leagtar síos sa Rialachán seo a chomhlíonadh, leanfaidh siad cúrsa oiliúna sonrach, ar bhonn tráthrialta, d’fhonn eolas agus scileanna leordhóthanacha a fháil chun cleachtais bhainistíochta agus riosca cibearshlándála, chomh maith lena dtionchar ar oibríochtaí eintiteas an Aontais, a thabhairt chun grinnis agus measúnú a dhéanamh orthu.

1.   Faoin 8 Iúil 2025 agus gach 2 bhliain ina dhiaidh sin ar a laghad, déanfaidh gach eintiteas de chuid an Aontais measúnú aibíochta cibearshlándála ina mbeidh gnéithe uile a dtimpeallachta TFC.

2.   Déanfar na measúnuithe aibíochta cibearshlándála, i gcás inarb iomchuí, le cúnamh ó thríú páirtí speisialaithe.

3.   Féadfaidh eintitis an Aontais a bhfuil struchtúir chomhchosúla acu oibriú i gcomhar le chéile chun measúnuithe aibíochta cibearshlándála a dhéanamh dá n-eintitis faoi seach.

4.   Ar bhonn iarraidh ón mBord Idirinstitiúideach um chibearshlándáil arna bhunú de bhun Airteagal 10 agus le toiliú sainráite eintiteas an Aontais lena mbaineann, féadfar torthaí measúnaithe aibíochta cibearshlándála a phlé laistigh den Bhord sin nó laistigh den ghrúpa neamhfhoirmiúil d’oifigigh chibearshlándála áitiúla d’fhonn foghlaim ón taithí a fuarthas agus dea-chleachtais a chomhroinnt.

1.   Gan moill mhíchuí agus in aon chás faoin 8 Meán Fómhair 2025, déanfaidh gach eintiteas de chuid an Aontais, faoi fhormhaoirseacht an leibhéil is airde bainistíochta, bearta teicniúla, oibríochtúla agus eagraíochtúla atá iomchuí agus comhréireach chun na rioscaí cibearshlándála arna sainaithint faoin gCreat a bhainistiú, agus chun tionchar teagmhas a chosc nó a íoslaghdú. Agus na caighdeáin Eorpacha agus idirnáisiúnta úrscothacha agus, i gcás inarb infheidhme, ábhartha á gcur san áireamh, áiritheofar leis na bearta sin leibhéal slándála na gcóras gréasán agus faisnéise ar fud thimpeallacht TFC ina hiomláine i gcomhréir leis na rioscaí cibearshlándála a bhaineann leo. Agus measúnú á dhéanamh ar chomhréireacht na mbeart sin, tabharfar aird chuí ar a mhéid atá eintiteas an Aontais neamhchosanta ar rioscaí cibearshlándála, ar a mhéid agus ar an dóchúlacht go dtarlóidh teagmhais agus ar a thromchúisí a bheidís, lena n-áirítear a dtionchar sochaíoch, eacnamaíoch agus idirinstitiúideach.

2.   Tabharfaidh eintitis an Aontais aghaidh ar na réimsí seo a leanas ar a laghad i gcur chun feidhme na mbeart bainistíochta riosca cibearshlándála:

(a)	beartas cibearshlándála, lena n-áirítear na bearta is gá chun na cuspóirí agus na tosaíochtaí dá dtagraítear in Airteagal 6 agus i mír 3 den Airteagal seo a ghnóthú;

(b)	beartais maidir le hanailís riosca cibearshlándála agus slándáil an chórais faisnéise;

(c)	cuspóirí beartais maidir le húsáid seirbhísí néalríomhaireachta;

(d)	iniúchadh cibearshlándála, i gcás inarb iomchuí, a bhféadfadh measúnú ar riosca cibearshlándála, ar leochaileacht agus ar chibearbhagairtí a bheith san áireamh ann, agus tástáil treáite arna déanamh ag soláthraí príobháideach iontaofa ar bhonn rialta;

(e)	cur chun feidhme na moltaí a thagann as iniúchtaí cibearshlándála dá dtagraítear i bpointe (d) trí nuashonruithe cibearshlándála agus beartais;

(f)	an chibearshlándáil a eagrú, lena n-áirítear róil agus freagrachtaí a bhunú;

(g)	bainistíocht sócmhainní, lena n-áirítear fardal sócmhainní TFC agus logaimsiú líonra TFC;

(h)	slándáil acmhainní daonna agus rialú rochtana;

(i)	slándáil oibríochtaí;

(j)	slándáil chumarsáide;

(k)	fáil, forbairt agus cothabháil an chórais, lena n-áirítear beartais maidir le láimhseáil agus nochtadh leochaileachtaí;

(l)	i gcás inar féidir, beartais maidir le trédhearcacht an chóid fhoinsigh;

(m)	slándáil an tslabhra soláthair, lena n-áirítear gnéithe a bhaineann le slándáil maidir leis an gcaidreamh idir gach eintiteas an Aontais agus a sholáthróirí díreacha nó a sholáthraithe seirbhíse díreacha;

(n)	láimhseáil teagmhas agus comhar le CERT-EU, amhail faireachán agus logáil slándála a chothabháil;

(o)	bainistiú leanúnachais gnó, amhail bainistiú cúltaca agus téarnamh ó thubaistí, agus bainistiú géarchéime; agus

(p)	cláir oideachais, scileanna, múscailte feasachta, cleachtais agus oiliúna i réimse na cibearshlándála a chur chun cinn agus a fhorbairt.

Chun críocha na chéad fhomhíre, pointe (m), cuirfidh eintitis an Aontais san áireamh na leochaileachtaí a bhaineann go sonrach le gach soláthróir díreach agus soláthraí seirbhíse díreach agus cáilíocht fhoriomlán táirgí agus cleachtais chibearshlándála a soláthróirí agus a soláthraithe seirbhíse, lena n-áirítear a nósanna imeachta slána um fhorbairt.

3.   Déanfaidh eintitis an Aontais ar a laghad na bearta sonracha bainistíochta riosca cibearshlándála seo a leanas:

(a)	socruithe teicniúla chun teilea-obair a chumasú agus a choinneáil ar bun;

(b)	céimeanna nithiúla chun dul i dtreo prionsabail iontaoibhe nialasaí;

(c)	fíordheimhniú ilchéime a úsáid mar ghnáthchleachtas i ngach córas gréasán agus faisnéise;

(d)	cripteagrafaíocht agus criptiú a úsáid, agus go háirithe criptiú inn ar inn, mar aon le síniú digiteach slán;

(e)	i gcás inarb iomchuí, cumarsáid ghutha, físe agus téacs shlán, agus córais cumarsáide éigeandála shlána laistigh d’eintiteas an Aontais;

(f)	bearta réamhghníomhacha chun bogearraí mailíseacha agus earraí spiaireachta a bhrath agus a bhaint;

(g)	slándáil an tslabhra soláthair bogearraí a bhunú trí chritéir chun bogearraí a fhorbairt agus a mheas ar bhealach slán;

(h)

cláir oiliúna maidir leis an gcibearshlándáil a bhunú agus a ghlacadh i gcomhréir leis na cúraimí forordaithe agus na cumais a bhfuiltear ag dréim leo don leibhéal is airde bainistíochta agus do bhaill foirne an eintitis sin an Aontais a bhfuil de chúram orthu an Rialachán seo a chur chun feidhme go héifeachtach;

(i)	oiliúint rialta i ndáil leis an gcibearshlándáil do bhaill foirne;

(j)	i gcás inarb ábhartha, rannpháirtíocht in anailísí rioscaí idirnascachta idir eintitis an Aontais, i gcás inarb ábhartha;

(k)

feabhas a chur ar rialacha soláthair chun ardleibhéal comhchoiteann cibearshlándála a éascú tríd an méid seo a leanas: (i) deireadh a chur le bacainní conarthacha a chuireann srian le faisnéis ó sholáthraithe seirbhísí TFC faoi theagmhais, leochaileachtaí agus cibearbhagairtí a chomhroinnt le CERT-EU; (ii) oibleagáidí conarthacha i leith teagmhais, leochaileachtaí agus cibearbhagairtí a thuairisciú mar aon le sásraí iomchuí freagartha agus faireacháin ar theagmhais a bheith i bhfeidhm.

1.   Tar éis an mheasúnaithe aibíochta cibearshlándála arna dhéanamh de bhun Airteagal 7 a thabhairt i gcrích agus ag cur san áireamh na sócmhainní agus na rioscaí cibearshlándála a shainaithnítear sa Chreat mar aon leis na bearta bainistíochta riosca cibearshlándála arna ndéanamh de bhun Airteagal 8, déanfaidh an leibhéal bainistíochta is airde maidir le gach eintiteas an Aontais plean cibearshlándála a fhormheas gan moill mhíchuí agus in aon chás faoin 8 Eanáir 2026. Beidh sé d’aidhm ag an bplean cibearshlándála, cibearshlándáil fhoriomlán an eintitis de chuid an Aontais a mhéadú agus rannchuideofar, dá bhrí sin, le hardleibhéal comhchoiteann cibearshlándála a fheabhsú laistigh de na heintitis de chuid an Aontais. Áireofar sa phlean cibearshlándála ar a laghad na bearta bainistíochta riosca cibearshlándála arna ndéanamh de bhun Airteagal 8. Déanfar an plean cibearshlándála a athbhreithniú gach 2 bhliain, nó níos minice ná sin i gcás inar gá, tar éis na measúnuithe aibíochta cibearshlándála arna ndéanamh de bhun Airteagal 7 nó tar éis aon athbhreithniú substaintiúil ar an gCreat.

2.   Áiritheofar sa phlean cibearshlándála plean bainistithe cibirghéarcheime an eintitis de chuid an Aontais i gcás mórtheagmhas.

3.   Cuirfidh an t-eintiteas de chuid an Aontais an plean cibearshlándála críochnaithe faoi bhráid an Bhoird Idirinstitiúidigh um chibearshlándáil arna bhunú de bhun Airteagal 10.

1.   Leis seo, bunaítear Bord Idirinstitiúideach um chibearshlándáil (IICB).

2.   Beidh IICB freagrach as an méid seo a leanas:

(a)	faireachán a dhéanamh ar chur chun feidhme an Rialacháin seo ag eintitis an Aontais agus tacaíocht a thabhairt ina leith sin;

(b)	maoirseacht a dhéanamh ar na tosaíochtaí agus cuspóirí ginearálta arna gcur chun feidhme ag CERT-EU agus treoir straitéiseach a chur ar fáil do CERT-EU.

3.   Is éard a bheidh in IICB:

(a)

ionadaí amháin ainmnithe ag gach ceann díobh seo a leanas: (i) Parlaimint na hEorpa; (ii) an Chomhairle Eorpach; (iii) Comhairle an Aontais Eorpaigh; (iv) an Coimisiún; (v) Cúirt Bhreithiúnais an Aontais Eorpaigh; (vi) an Banc Ceannais Eorpach; (vii) an Chúirt Iniúchóirí; (viii) an tSeirbhís Eorpach Gníomhaíochta Seachtraí; (ix) Coiste Eacnamaíoch agus Sóisialta na hEorpa; (x) Coiste Eorpach na Réigiún; (xi) an Banc Eorpach Infheistíochta; (xii) an Lárionad Eorpach um Inniúlachtaí Tionsclaíochta Cibearshlándála, Teicneolaíochta Cibearshlándála agus Taighde Cibearshlándála; (xiii) ENISA; (xiv) an Maoirseoir Eorpach ar Chosaint Sonraí (MECS); (xv) Gníomhaireacht an Aontais Eorpaigh um an gClár Spáis.

(b)

triúr ionadaithe arna n-ainmniú ag Líonra Gníomhaireachtaí an Aontais (EUAN), ar bhonn moladh óna Choiste Comhairleach TFC, chun ionadaíocht a dhéanamh do leasanna na gcomhlachtaí, oifigí agus gníomhaireachtaí de chuid an Aontais a reáchtálann a dtimpeallacht TFC féin, cé is moite díobh siúd dá dtagraítear i bpointe (a).

Beidh sé d’aidhm ag eintitis an Aontais a bhfuil ionadaíocht acu ar IICB cothromaíocht inscne a bhaint amach i measc na n-ionadaithe ainmnithe.

4.   Féadfaidh comhaltaí IICB cúnamh a fháil ó chomhalta malartach. Féadfaidh an Cathaoirleach a iarraidh ar ionadaithe eile ó eintitis an Aontais dá dtagraítear i mír 3 nó ó eintitis eile an Aontais freastal ar chruinnithe IICB, gan cearta vótála a bheith acu.

5.   Féadfaidh Ceann CERT-AE agus Cathaoirligh an Ghrúpa Comhair, líonra CSIRT agus EU-CyCLONe arna mbunú faoi seach, de bhun Airteagail 14, 15 agus 16 de Threoir (AE) 2022/2555, nó a gcomhaltaí malartacha, a bheith rannpháirteach i gcruinnithe IICB mar bhreathnóirí. I gcásanna eisceachtúla, féadfaidh IICB a mhalairt a chinneadh, i gcomhréir le rialacha nós imeachta inmheánacha IICB.

6.   Glacfaidh IICB a rialacha nós imeachta inmheánacha.

7.   Ainmneoidh IICB Cathaoirleach, i gcomhréir lena rialacha nós imeachta inmheánacha, as measc a chomhaltaí ar feadh tréimhse 3 bliana. Beidh comhalta malartach an Chathaoirligh ina lánchomhalta de IICB ar feadh na tréimhse céanna.

8.   Tiocfaidh IICB le chéile ar a laghad trí huaire sa bhliain ar thionscnamh a Chathaoirligh, arna iarraidh sin do CERT-EU nó arna iarraidh sin d’aon cheann dá chomhaltaí.

9.   Beidh aon vóta amháin ag gach comhalta de IICB. Glacfar cinntí IICB le tromlach simplí ach amháin i gcás ina bhforáiltear a mhalairt sa Rialachán seo. Ní bheidh vóta ag Cathaoirleach IICB ach amháin i gcás comhionannas vótaí, féadfaidh an Cathaoirleach vóta réitigh a chaitheamh sa chás sin.

10.   Féadfaidh IICB gníomhú trí bhíthin nós imeachta simplithe i scríbhinn arna thionscnamh i gcomhréir le rialacha nós imeachta inmheánacha IICB. Faoin nós imeachta sin, measfar an cinneadh ábhartha a bheith formheasta laistigh den tréimhse ama arna socrú ag an gCathaoirleach, seachas i gcás ina gcuireann comhalta ina choinne.

11.   Is é an Coimisiún a chuirfidh an rúnaíocht ar fáil do IICB agus beidh sí cuntasach do Chathaoirleach IICB.

12.   Déanfaidh na hionadaithe arna n-ainmniú ag EUAN cinntí IICB a chur ar aghaidh chuig comhaltaí EUAN. Beidh aon chomhalta de EUAN i dteideal aon ábhar a tharraingt anuas leis na hionadaithe sin nó le Cathaoirleach IICB a measfaidh an comhalta ina leith gur cheart é a chur faoi bhráid IICB.

13.   Féadfaidh IICB coiste feidhmiúcháin a bhunú chun cúnamh a thabhairt dó ina chuid oibre agus féadfaidh sé roinnt dá chúraimí agus dá chumhachtaí a tharmligean chuige. Déanfaidh IICB rialacha nós imeachta an choiste feidhmiúcháin, lena n-áirítear a chúraimí agus a chumhachtaí agus téarmaí oifige a chomhaltaí a leagan síos.

14.   Faoin 8 Eanáir 2025 agus ar bhonn bliantúil ina dhiaidh sin, cuirfidh IICB tuarascáil faoi bhráid Pharlaimint na hEorpa agus na Comhairle ina sonrófar an dul chun cinn atá déanta maidir le cur chun feidhme an Rialacháin seo agus ina sonrófar go háirithe méid chomhar CERT-EU le contrapháirtithe ó na Ballstáit i ngach ceann de na Ballstáit. Beidh an tuarascáil sin ina hionchur sa tuarascáil dhébhliantúil ar staid na cibearshlándála san Aontas arna glacadh de bhun Airteagal 18 de Threoir (AE) 2022/2555.