search

keyboard_tab Cyber Resilience Act 2023/2841 HR

 BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf

2023/2841 HR cercato: 'prioriteta' . Output generated live by software developed by IusOnDemand srl


expand index prioriteta:


whereas prioriteta:


definitions:


cloud tag: and the number of total unique words without stopwords is: 601

 

Članak 8.

Mjere upravljanja kibernetičkim sigurnosnim rizicima

1.   Svaki subjekt Unije bez nepotrebne odgode i u svakom slučaju do 8. rujna 2025., pod nadzorom najviše rukovodeće razine, poduzima odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje kibernetičkim sigurnosnim rizicima utvrđenima u Okviru i za sprečavanje učinaka incidenata ili za svođenje učinaka incidenata na najmanju moguću mjeru. Uzimajući u obzir najnovija dostignuća i, ako je to primjenjivo, relevantne europske i međunarodne norme, tim se mjerama osigurava razina sigurnosti mrežnih i informacijskih sustava u cjelokupnom IKT okruženju koja je razmjerna nastalim kibernetičkim sigurnosnim rizicima. Pri procjeni razmjernosti tih mjera na odgovarajući se način uzima u obzir stupanj izloženosti subjekta Unije kibernetičkim sigurnosnim rizicima, njegova veličina, vjerojatnost pojave incidenata i njihova ozbiljnost, uključujući njihov društveni, gospodarski i međuinstitucijski učinak.

2.   Subjekti Unije prilikom provedbe mjera upravljanja kibernetičkim sigurnosnim rizicima razmatraju barem sljedeća pitanja:

(a)

politiku kibernetičke sigurnosti, uključujući mjere potrebne za postizanje ciljeva i prioriteta iz članka 6. i stavka 3. ovog članka;

(b)

politike analize kibernetičkih sigurnosnih rizika i sigurnosti informacijskih sustava;

(c)

ciljeve politike u pogledu korištenja usluga računalstva u oblaku;

(d)

prema potrebi, reviziju kibernetičke sigurnosti koja može uključivati procjenu kibernetičkih sigurnosnih rizika, ranjivosti i kibernetičkih prijetnji te penetracijska testiranja, koja redovito provodi pouzdani privatni pružatelj usluga;

(e)

provedbu preporuka koje proizlaze iz revizija kibernetičke sigurnosti iz točke (d) putem ažuriranja stanja kibernetičke sigurnosti i politika;

(f)

organizaciju kibernetičke sigurnosti, uključujući utvrđivanje uloga i odgovornosti;

(g)

upravljanje imovinom, uključujući popis IKT imovine i kartografiju IKT mreže;

(h)

sigurnost ljudskih resursa i kontrolu pristupa;

(i)

sigurnost operacija;

(j)

sigurnost komunikacija;

(k)

nabavu, razvoj i održavanj sustavâ, uključujući politike za postupanje s ranjivostima i njihovo otkrivanje;

(l)

ako je moguće, politike o transparentnosti izvornog koda;

(m)

sigurnost lanca opskrbe, uključujući sigurnosne aspekte povezane s odnosima između svakog subjekta Unije i njegovih izravnih dobavljača ili pružatelja usluga;

(n)

postupanje s incidentima i suradnji s CERT-EU-om, na primjer održavanju sustava sigurnosnog nadzora i bilježenju dnevničkih zapisa;

(o)

upravljanje kontinuitetom poslovanja, na primjer upravljanju sigurnosnim kopijama i oporavku od katastrofe te upravljanju krizama; i

(p)

promicanje i razvoj programâ obrazovanja, vještina, podizanja svijesti, vježbi i osposobljavanja u području kibernetičke sigurnosti.

Za potrebe prvog podstavka točke (m) subjekti Unije uzimaju u obzir ranjivosti specifične za svakog izravnog dobavljača i pružatelja usluga te ukupnu kvalitetu proizvoda i kibernetičke sigurnosne prakse svojih dobavljača i pružatelja usluga, uključujući njihove sigurne razvojne postupke.

3.   Subjekti Unije poduzimaju barem sljedeće posebne mjere upravljanja kibernetičkim sigurnosnim rizicima:

(a)

tehničke aranžmane za omogućavanje i održavanje rada na daljinu;

(b)

konkretne korake za prijelaz na načela nultog povjerenja;

(c)

upotrebu višefaktorske autentifikacije kao norme u svim mrežnim i informacijskim sustavima;

(d)

upotrebu kriptografije i kriptiranja, a posebno prolaznog kriptiranja, te sigurnih digitalnih potpisa;

(e)

prema potrebi, sigurne glasovne, video- i tekstualne komunikacije te sigurni komunikacijski sustav u hitnim slučajevima unutar subjekta Unije;

(f)

proaktivne mjere za otkrivanje i uklanjanje zlonamjernog softvera i špijunskog softvera;

(g)

uspostavljanje sigurnosti lanca opskrbe softverom s pomoću kriterija za siguran razvoj i evaluaciju softvera;

(h)

izrada i donošenje programa za osposobljavanje u području kibernetičke sigurnosti koji odgovara predviđenim zadaćama i očekivanim sposobnostima najviše rukovodeće razine i osoblja subjekta Unije čija je zadaća osiguravanje djelotvorne provedbe ove Uredbe;

(i)

redovito osposobljavanje osoblja u području kibernetičke sigurnosti;

(j)

ako je to relevantno, sudjelovanje u analizama rizika s obzirom na međupovezanosti subjekata Unije;

(k)

poboljšanje pravila javne nabave kako bi se olakšalo postizanje visoke zajedničke razine kibernetičke sigurnosti:

i.

uklanjanjem ugovornih prepreka koje pružateljima IKT usluga otežavaju razmjenu informacija o incidentima, ranjivostima i kibernetičkim prijetnjama s CERT-EU-om;

ii.

ugovornim obvezama prijavljivanja incidenata, ranjivosti i kibernetičkih prijetnji te uspostavljanjem primjerenih mehanizama odgovora na incidente i praćenja incidenata.

Članak 10.

Međuinstitucijski odbor za kibernetičku sigurnost

1.   Osniva se Međuinstitucijski odbor za kibernetičku sigurnost (IICB).

2.   IICB je odgovoran za:

(a)

praćenje provedbe ove Uredbe od strane subjekata Unije i pružanje potpore u provedbi;

(b)

nadzor nad provedbom općih prioriteta i ciljeva CERT-EU-a i strateško usmjeravanje CERT-EU-a.

3.   IICB se sastoji od:

(a)

po jednog predstavnika kojeg imenuje svako od sljedećih tijela:

i.

Europski parlament,

ii.

Europsko vijeće,

iii.

Vijeće Europske unije,

iv.

Komisija,

v.

Sud Europske unije,

vi.

Europska središnja banka,

vii.

Revizorski sud,

viii.

Europska služba za vanjsko djelovanje,

ix.

Europski gospodarski i socijalni odbor,

x.

Europski odbor regija,

xi.

Europska investicijska banka,

xii.

Europski stručni centar za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti,

xiii.

ENISA,

xiv.

Europski nadzornik za zaštitu podataka,

xv.

Agencija Europske unije za svemirski program.

(b)

tri predstavnika koje Mreža agencija EU-a (EUAN) imenuje na temelju prijedloga svojeg savjetodavnog odbora za IKT kako bi zastupali interese tijela, ureda i agencija Unije koji upravljaju vlastitim IKT okruženjem, osim onih iz točke (a).

Subjekti Unije zastupljeni u IICB-u nastoje postići rodnu ravnotežu među imenovanim predstavnicima.

4.   Članovima IICB-a može pomagati zamjenik. Predsjednik može pozvati druge predstavnike subjekata Unije navedenih u stavku 3. ili drugih subjekata Unije da prisustvuju sastancima IICB-a bez prava glasa.

5.   Voditelj CERT-EU-a i predsjednici Skupine za suradnju, mreže CSIRT-ova i EU-CyCLONe-a osnovanih člancima 14., 15. odnosno 16. Direktive (EU) 2022/2555 ili njihovi zamjenici mogu sudjelovati na sastancima IICB-a kao promatrači. U iznimnim slučajevima IICB može odlučiti drukčije, u skladu sa svojim internim poslovnikom.

6.   IICB donosi svoj interni poslovnik.

7.   U skladu sa svojim internim poslovnikom IICB iz redova svojih članova imenuje predsjednika na razdoblje od tri godine. Zamjenik predsjednika postaje punopravni član IICB-a na isto razdoblje.

8.   IICB se sastaje najmanje triput godišnje na inicijativu svojeg predsjednika, na zahtjev CERT-EU-a ili na zahtjev bilo kojeg od svojih članova.

9.   Svaki član IICB-a ima jedan glas. Odluke IICB-a donose se običnom većinom, osim ako je u ovoj Uredbi predviđeno drugačije. Predsjednik IICB-a ne smije glasovati, osim u slučaju izjednačenog broja glasova kad predsjednik može dati odlučujući glas.

10.   IICB može donositi odluke u pojednostavnjenom pisanom postupku pokrenutom u skladu sa svojim internim poslovnikom. U okviru tog postupka relevantna odluka smatra se odobrenom u roku koji odredi predsjednik, osim ako se neki član protivi.

11.   Poslove tajništva za IICB obavlja Komisija i ona odgovara predsjedniku IICB-a.

12.   Predstavnici koje imenuje EUAN prosljeđuju odluke IICB-a članovima EUAN-a. Svaki član EUAN-a ima pravo tim predstavnicima ili predsjedniku IICB-a postaviti sva pitanja za koja smatra da bi na njih trebalo upozoriti IICB.

13.   IICB može osnovati izvršni odbor da mu pomaže u radu i delegirati mu neke od svojih zadaća i ovlasti. IICB utvrđuje poslovnik izvršnog odbora, uključujući zadaće i ovlasti izvršnog odbora te mandat njegovih članova.

14.   Do 8. siječnja 2025., a nakon tog datuma jednom godišnje, IICB podnosi izvješće Europskom parlamentu i Vijeću u kojem detaljno opisuje napredak u provedbi ove Uredbe i posebno navodi opseg suradnje CERT-EU-a s partnerima iz država članica u svakoj od država članica. Izvješće je doprinos dvogodišnjem izvješću o stanju kibernetičke sigurnosti u Uniji donesenom na temelju članka 18. Direktive (EU) 2022/2555.

Članak 14.

Smjernice, preporuke i pozivi na djelovanje

1.   CERT-EU podupire provedbu ove Uredbe:

(a)

izdavanjem poziva na djelovanje u kojima se opisuju hitne sigurnosne mjere koje subjekti Unije trebaju poduzeti u zadanom roku;

(b)

podnošenjem prijedloga IICB-u za smjernice upućene svim subjektima Unije ili nekoj njihovoj podskupini;

(c)

podnošenjem prijedloga IICB-u za preporuke upućene pojedinačnim subjektima Unije.

U pogledu prvog podstavka točke (a), dotični subjekt Unije bez nepotrebne odgode nakon primitka poziva na djelovanje obavješćuje CERT-EU o načinu primjene hitnih sigurnosnih mjera.

2.   Smjernice i preporuke mogu sadržavati:

(a)

zajedničke metodologije i model za procjenu zrelosti kibernetičke sigurnosti subjekata Unije, uključujući odgovarajuće ljestvice ili ključne pokazatelje uspješnosti, koji služe kao referenca za potporu kontinuiranom poboljšanju kibernetičke sigurnosti u svim subjektima Unije i olakšavaju određivanje prioriteta među područjima i mjerama kibernetičke sigurnosti uzimajući u obzir razinu kibernetičke sigurnosti subjekata;

(b)

aranžmane za upravljanje kibernetičkim sigurnosnim rizicima i mjere za upravljanje kibernetičkim sigurnosnim rizicima ili za njihovo poboljšanje;

(c)

aranžmane za procjenu zrelosti kibernetičke sigurnosti i planove za kibernetičku sigurnost

(d)

prema potrebi, upotrebu zajedničke tehnologije, arhitekture, otvorenog koda i povezane najbolje prakse radi postizanja interoperabilnosti i zajedničkih standarda, uključujući koordinirani pristup sigurnosti lanca opskrbe;

(e)

prema potrebi, informacije kojima se olakšava upotreba instrumenata zajedničke nabave za kupnju relevantnih kibernetičkih sigurnosnih usluga i proizvoda od vanjskih dobavljača;

(f)

aranžmani za razmjenu informacija u skladu s člankom 20.

whereas
keyboard_arrow_down