keyboard_tab Cyber Resilience Act 2023/2841 HR
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 Članak 4. Obrada osobnih podataka
- 1 Članak 7. Procjene zrelosti kibernetičke sigurnosti
- 2 Članak 11. Zadaće IICB-a
- 1 Članak 12. Usklađenost
POGLAVLJE I.
OPĆE ODREDBE
POGLAVLJE II.
MJERE ZA VISOKU ZAJEDNIČKU RAZINU KIBERNETIČKE SIGURNOSTI
POGLAVLJE III.
MEĐUINSTITUCIJSKI ODBOR ZA KIBERNETIČKU SIGURNOST
POGLAVLJE IV.
CERT-EU
POGLAVLJE V.
OBVEZE SURADNJE I IZVJESCIVANJA
POGLAVLJE VI.
ZAVRSNE ODREDBE
- unije 42
- cert-eu-a 17
- skladu 16
- temelju 12
- subjekt 11
- člankom 11
- iicb 10
- sigurnosti 10
- kibernetičke 9
- uredbe 9
- sigurnost 8
- odobrava 8
- subjekti 8
- preporuke 7
- subjekata 7
- kibernetičku 7
- zrelosti 6
- koje 6
- prijedloga 6
- razini 6
- dotičnom 6
- podataka 6
- subjektu 6
- mjere 6
- kibernetičkim 6
- koji 5
- članka 5
- prati 5
- voditelja 5
- smjernice 5
- ako 5
- provode 5
- cert-eu 5
- kako 4
- potrebi 4
- nakon 4
- subjekta 4
- može 4
- uključujući 4
- mjera 4
- upravljanje 4
- sigurnosnim 4
- rizicima 4
- ciljem 4
- usluga 4
- informacija 4
- roku 4
- upravljanja 4
- prema 4
- dotični 4
Članak 4.
Obrada osobnih podataka
1. Obrada osobnih podataka koju na temelju ove Uredbe provode CERT-EU, Međuinstitucijski odbor za kibernetičku sigurnost osnovan člankom 10. i subjekti Unije provodi se u skladu s Uredbom (EU) 2018/1725.
2. Ako obavljaju zadaće ili ispunjavaju obveze na temelju ove Uredbe, CERT-EU, Međuinstitucijski odbor za kibernetičku sigurnost osnovan člankom 10. i subjekti Unije obrađuju i razmjenjuju osobne podatke samo u mjeri u kojoj je to potrebno i isključivo u svrhu obavljanja tih zadaća ili ispunjavanja tih obveza.
3. Obrada posebnih kategorija osobnih podataka iz članka 10. stavka 1. Uredbe (EU) 2018/1725 smatra se potrebnom ako postoji značajan javni interes u skladu s člankom 10. stavkom 2. točkom (g) te uredbe. Takvi se podatci mogu obrađivati samo u mjeri u kojoj je to potrebno za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima iz članaka 6. i 8., za pružanje usluga CERT-EU-a u skladu s člankom 13., za razmjenu informacija specifičnih za određeni incident u skladu s člankom 17. stavkom 3. i člankom 18. stavkom 3., za razmjenu informacija u skladu s člankom 20., za obveze izvješćivanja u skladu s člankom 21., za koordinaciju odgovora na incidente i za suradnju u skladu s člankom 22. te za upravljanje velikim incidentima u skladu s člankom 23. ove Uredbe. Kada djeluju kao voditelji obrade podataka, subjekti Unije i CERT-EU primjenjuju tehničke mjere za sprečavanje obrade posebnih kategorija osobnih podataka u druge svrhe te osiguravaju odgovarajuće i posebne mjere za zaštitu temeljnih prava i interesa ispitanika.
POGLAVLJE II.
MJERE ZA VISOKU ZAJEDNIČKU RAZINU KIBERNETIČKE SIGURNOSTI
Članak 7.
Procjene zrelosti kibernetičke sigurnosti
1. Do 8. srpnja 2025. i najmanje svake dvije godine nakon tog datuma svaki subjekt Unije provodi procjenu zrelosti kibernetičke sigurnosti koja uključuje sve elemente njegova IKT okruženja.
2. Procjene zrelosti kibernetičke sigurnosti provode se, prema potrebi, uz pomoć specijalizirane treće strane.
3. Subjekti Unije sa sličnim strukturama mogu surađivati u provedbi procjena zrelosti kibernetičke sigurnosti za svoje subjekte.
4. Na temelju zahtjeva Međuinstitucijskog odbora za kibernetičku sigurnost osnovanog člankom 10. i uz izričitu suglasnost dotičnog subjekta Unije, o rezultatima procjene zrelosti kibernetičke sigurnosti može se raspravljati u okviru tog Odbora ili u okviru neformalne skupine lokalnih službenika za kibernetičku sigurnost kako bi se izvukle pouke iz iskustava i razmijenila najbolja praksa.
Članak 11.
Zadaće IICB-a
Pri obavljanju svojih dužnosti IICB posebno:
| (a) | pruža smjernice voditelju CERT-EU-a; |
| (b) | djelotvorno prati i nadzire provedbu ove Uredbe te podupire subjekte Unije u jačanju njihove kibernetičke sigurnosti, uključujući, prema potrebi, traženjem izrade ad hoc izvješća od subjekata Unije i CERT-EU-a; |
| (c) | nakon strateške rasprave donosi višegodišnju strategiju za podizanje razine kibernetičke sigurnosti u subjektima Unije, redovito ocjenjuje tu strategiju, a u svakom slučaju svakih pet godina, te je prema potrebi mijenja; |
| (d) | utvrđuje metodologiju i organizacijske aspekte za dobrovoljna istorazinska ocjenjivanja koja provode subjekti Unije s ciljem učenja iz zajedničkih iskustava, jačanja uzajamnog povjerenja, postizanja visoke zajedničke razine kibernetičke sigurnosti te jačanja kibernetičkih sigurnosnih kapaciteta subjekata Unije, osiguravanja da takva istorazinska ocjenjivanja provode stručnjaci za kibernetičku sigurnost koje je imenovao subjekt Unije koji nije subjekt Unije koji se ocjenjuje te da se metodologija temelji na članku 19. Direktive (EU) 2022/2555 i da je, prema potrebi, prilagođena subjektima Unije; |
| (e) | na temelju prijedloga voditelja CERT-EU-a odobrava godišnji program rada CERT-EU-a i prati njegovu provedbu; |
| (f) | na temelju prijedloga voditelja CERT-EU-a odobrava katalog usluga CERT-EU-a i sva ažuriranja tog kataloga; |
| (g) | na temelju prijedloga voditelja CERT-EU-a odobrava godišnji financijski plan prihoda i rashoda, uključujući za osoblje, za aktivnosti CERT-EU-a; |
| (h) | na temelju prijedloga voditelja CERT-EU-a odobrava dogovore o sporazumima o razini usluga; |
| (i) | pregledava i odobrava godišnje izvješće koje sastavlja voditelj CERT-EU-a, a kojim su obuhvaćene aktivnosti CERT-EU-a i upravljanje njegovim sredstvima; |
| (j) | odobrava i prati ključne pokazatelje uspješnosti CERT-EU-a utvrđene na temelju prijedloga voditelja CERT-EU-a; |
| (k) | odobrava aranžmane za suradnju te dogovore ili ugovore o razini usluga između CERT-EU-a i drugih subjekata na temelju članka 18.; |
| (l) | donosi smjernice i preporuke na temelju prijedloga CERT-EU-a u skladu s člankom 14. i upućuje CERT-EU da izda, povuče ili izmijeni prijedlog smjernica ili preporuke ili poziv na djelovanje; |
| (m) | osniva tehničke savjetodavne skupine sa specifičnim zadaćama za pomoć u radu IICB-a, odobrava opise njihovih poslova i imenuje njihove predsjednike; |
| (n) | prima i ocjenjuje dokumente i izvješća koje podnose subjekti Unije u skladu s ovom Uredbom, kao što su procjene zrelosti kibernetičke sigurnosti; |
| (o) | podupire osnivanje neformalne skupine lokalnih službenika za kibernetičku sigurnost subjekata Unije, uz potporu ENISA-e, s ciljem razmjene najbolje prakse i informacija u vezi s provedbom ove Uredbe; |
| (p) | uzimajući u obzir informacije CERT-EU-a o utvrđenim kibernetičkim sigurnosnim rizicima i stečenim iskustvima, prati primjerenost aranžmana međupovezanosti IKT okruženja subjekata Unije i savjetuje o mogućim poboljšanjima; |
| (q) | uspostavlja plan za upravljanje kibernetičkim krizama s ciljem podupiranja, na operativnoj razini, koordiniranog upravljanja velikim incidentima koji utječu na subjekte Unije i s ciljem doprinošenja redovitoj razmjeni relevantnih informacija, posebno u pogledu učinaka i ozbiljnosti velikih incidenata te mogućih načina ublažavanja njihovih učinaka; |
| (r) | koordinira donošenje pojedinačnih planova subjekata Unije za upravljanje kibernetičkim krizama iz članka 9. stavka 2.; |
| (s) | donosi preporuke koje se odnose na sigurnost lanca opskrbe iz članka 8. stavka 2. prvog podstavka točke (m) uzimajući u obzir rezultate koordiniranih procjena sigurnosnih rizika ključnih lanaca opskrbe na razini Unije iz članka 22. Direktive (EU) 2022/2555 kako bi subjektima Unije pomogao u donošenju djelotvornih i razmjernih mjera upravljanja kibernetičkim sigurnosnim rizicima. |
Članak 12.
Usklađenost
1. IICB u skladu člankom 10. stavkom 2. i člankom 11. djelotvorno prati kako subjekti Unije provode ovu Uredbu i donesene smjernice, preporuke i pozive na djelovanje. IICB može od subjekata Unije zatražiti informacije ili dokumentaciju koji su potrebni u tu svrhu. Za potrebe donošenja mjera usklađivanja na temelju ovog članka, ako je dotični subjekt Unije izravno zastupljen u IICB-u, taj subjekt Unije nema glasačka prava.
2. Ako IICB utvrdi da subjekt Unije ne provodi djelotvorno ovu Uredbu ili smjernice, preporuke ili pozive na djelovanje izdane na temelju ove Uredbe, IICB može, ne dovodeći u pitanje interne postupke dotičnog subjekta Unije i nakon što dotičnom subjektu Unije omogući da se očituje:
| (a) | dostaviti obrazloženo mišljenje dotičnom subjektu Unije u kojem navodi uočene nedostatke u provedbi ove Uredbe; |
| (b) | nakon savjetovanja s CERT-EU-om dati smjernice dotičnom subjektu Unije kako bi osigurao da se njegov Okvir, njegove mjere upravljanja kibernetičkim sigurnosnim rizicima, njegov plan za kibernetičku sigurnost i njegovo izvješćivanje usklade s ovom Uredbom u utvrđenom roku; |
| (c) | izdati upozorenje radi rješavanja utvrđenih nedostataka u utvrđenom roku, uključujući preporuke za izmjenu mjera koje je dotični subjekt Unije donio u skladu s ovom Uredbom; |
| (d) | izdati obrazloženu obavijest dotičnom subjektu Unije u slučaju da nedostatci utvrđeni u upozorenju izdanom u skladu s točkom (c) nisu riješeni u dovoljnoj mjeri u utvrđenom roku; |
| (e) | izdati:
|
| (f) | ako je primjenjivo, obavijestiti Revizorski sud, u okviru svojih ovlasti, o navodnoj neusklađenosti; |
| (g) | izdati preporuku da sve države članice i subjekti Unije provedu privremenu suspenziju protokâ podataka dotičnom subjektu Unije. |
Za potrebe prvog podstavka točke (c) broj primatelja upozorenja primjereno se ograničava ako je to potrebno s obzirom na kibernetički sigurnosni rizik.
Upozorenja i preporuke izdani u skladu s prvim podstavkom upućuju se najvišoj rukovodećoj razini dotičnog subjekta Unije.
3. Ako je IICB donio mjere u skladu sa stavkom 2. prvim podstavkom točkama od (a) do (g), dotični subjekt Unije dostavlja pojedinosti o mjerama i djelovanjima poduzetima radi otklanjanja navodnih nedostataka koje je utvrdio IICB. Subjekt Unije dostavlja te pojedinosti u razumnom roku koji treba dogovoriti s IICB-om.
4. Ako IICB smatra da subjekt Unije ustrajno krši ovu Uredbu, što je izravna posljedica radnji ili propusta dužnosnika ili drugog službenika Unije, među ostalim na najvišoj rukovodećoj razini, IICB zahtijeva da dotični subjekt poduzme odgovarajuće mjere, uključujući stegovne prirode, u skladu s pravilima i postupcima utvrđenima u Pravilniku o osoblju i drugim primjenjivim pravilima i postupcima. U tu svrhu IICB prenosi potrebne informacije dotičnom subjektu Unije.
5. Ako subjekti Unije obavijeste da nisu u mogućnosti poštovati rokove utvrđene u članku 6. stavku 1. i članku 8. stavku 1., IICB može u opravdanim slučajevima odobriti njihovo produljenje, uzimajući u obzir veličinu subjekta Unije.
POGLAVLJE IV.
CERT-EU
whereas