keyboard_tab Cyber Resilience Act 2023/2841 HU
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 2. cikk Hatály
- 1 4. cikk A személyes adatok kezelése
- 1 13. cikk A CERT-EU küldetése és feladatai
- 1 25. cikk Felülvizsgálat
- 26. cikk Hatálybalépés
I. FEJEZET
ÁLTALÁNOS RENDELKEZÉSEK
II. FEJEZET
A KIBERBIZTONSÁG EGYSÉGESEN MAGAS SZINTJÉRE IRÁNYULÓ INTÉZKEDÉSEK
III. FEJEZET
INTÉZMÉNYKÖZI KIBERBIZTONSÁGI TESTÜLET
IV. FEJEZET
CERT-EU
V. FEJEZET
EGYÜTTMŰKÖDÉSI ÉS JELENTÉSTÉTELI KÖTELEZETTSÉGEK
VI. FEJEZET
ZÁRÓ RENDELKEZÉSEK
- uniós szervezetek
- hálózati és információs rendszer
- hálózati és információs rendszerek biztonsága
- kiberbiztonság
- legmagasabb vezetői szint
- majdnem bekövetkezett (near miss) esemény
- biztonsági esemény
- súlyos biztonsági esemény
- nagyszabású kiberbiztonsági esemény
- biztonsági esemény kezelése
- kiberfenyegetés
- jelentős kiberfenyegetés
- sérülékenység
- kiberbiztonsági kockázat
- felhőszolgáltatás
- cert-eu 22
- cikk 16
- a 15
- rendelet 14
- kiberbiztonsági 13
- uniós_szervezetek 12
- szerinti 9
- vagy 9
- alapján 9
- említett 9
- biztonsági_események 7
- kell 7
- iicb 7
- európai 7
- való 6
- uniós 6
- adatok 6
- személyes 6
- információkat 5
- szolgáltatások 5
- által 5
- adatokat 5
- alkalmazandó 5
- valamint 5
- technikai 5
- vonatkozó 4
- biztonsági_eseményekre 4
- súlyos 4
- operatív 4
- összhangban 4
- érdekében 4
- esetben 4
- hogy 4
- adott 4
- eu / 4
- kezelését 4
- intézményközi 4
- minősített 3
- ezeket 3
- amelyek 3
- rendelet 3
- létrehozott 3
- megállapodások 3
- szolgáltatási 3
- enisa-val 3
- releváns 3
- jóváhagyásával 3
- nyújtott 3
- kezelő 3
- bekezdése 3
2. cikk
Hatály
(1) Ez a rendelet az uniós_szervezetekre, a 10. cikk alapján létrehozott Intézményközi Kiberbiztonsági Testületre és a CERT-EU-ra alkalmazandó.
(2) Ez a rendelet a Szerződések szerinti intézményi autonómia sérelme nélkül alkalmazandó.
(3) A 13. cikk (8) bekezdésének kivételével ez a rendelet nem alkalmazandó az EU-minősített adatokat kezelő hálózati_és_információs_rendszerekre.
4. cikk
A személyes adatok kezelése
(1) A személyes adatok e rendelet szerinti, a CERT-EU, a 10. cikk alapján létrehozott Intézményközi Kiberbiztonsági Testület és az uniós_szervezetek általi kezelését az (EU) 2018/1725 rendelettel összhangban kell végezni.
(2) Amennyiben az e rendelet szerinti feladatokat látnak el vagy kötelezettségeket teljesítenek, a CERT-EU, a 10. cikk alapján létrehozott Intézményközi Kiberbiztonsági Testület és az uniós_szervezetek csak az említett feladatok ellátásához vagy kötelezettségek teljesítéséhez szükséges mértékben és kizárólag abból a célból kezelhetnek és cserélhetnek személyes adatokat.
(3) A személyes adatok különleges kategóriáinak az (EU) 2018/1725 rendelet 10. cikkének (1) bekezdésében említett kezelését az említett rendelet 10. cikke (2) bekezdésének g) pontja értelmében jelentős közérdek miatt szükségesnek kell tekinteni. Ezeket az adatokat csak a 6. és a 8. cikkben említett kiberbiztonsági kockázatkezelési intézkedések végrehajtásához, a CERT-EU által a 13. cikk alapján nyújtott szolgáltatásokhoz, a biztonsági_eseményekre vonatkozó információknak a 17. cikk (3) bekezdése és a 18. cikk (3) bekezdése szerinti megosztásához, a 20. cikk szerinti információmegosztáshoz, a 21. cikk szerinti jelentéstételi kötelezettségekhez, a biztonsági_eseményekre való reagálás 22. cikk szerinti koordinálásához és az ezzel kapcsolatos együttműködéshez, valamint a súlyos biztonsági_események e rendelet 23. cikke szerinti kezeléséhez szükséges mértékben lehet kezelni. Az uniós_szervezeteknek és a CERT-EU-nak, amikor adatkezelőként járnak el, technikai intézkedéseket kell alkalmazniuk a személyes adatok különleges kategóriái más célból történő kezelésének megelőzése érdekében, és megfelelő és konkrét intézkedésekről kell rendelkezniük az érintettek alapvető jogainak és érdekeinek védelme érdekében.
II. FEJEZET
A KIBERBIZTONSÁG EGYSÉGESEN MAGAS SZINTJÉRE IRÁNYULÓ INTÉZKEDÉSEK
13. cikk
A CERT-EU küldetése és feladatai
(1) A CERT-EU küldetése, hogy hozzájáruljon az uniós_szervezetek nem minősített IKT-környezetének biztonságához azáltal, hogy kiberbiztonsági tanácsadást nyújt számukra, segíti a biztonsági_események megelőzését, észlelését, kezelését, mérséklését, az azokra való reagálást és az azokat követő helyreállítást, valamint azáltal, hogy a kiberbiztonsági információcsere és a biztonsági_eseményekre való reagálás koordinációs központjaként működik.
(2) A CERT-EU információkat gyűjt a nem minősített IKT-infrastruktúrát érintő kiberfenyegetésekről, sérülékenységekről és biztonsági_eseményekről, ezeket az információkat kezeli és elemzi, valamint megosztja az uniós_szervezetekkel. Intézményközi szinten és az uniós_szervezetek szintjén koordinálja a biztonsági_eseményekre való reagálást, ideértve konkrét operatív segítségnyújtás biztosítását vagy koordinálását is.
(3) A CERT-EU a következő feladatokat látja el az uniós_szervezetek támogatása érdekében:
| a) | támogatja őket e rendelet végrehajtásában, és a 14. cikk (1) bekezdésében felsorolt intézkedések vagy az IICB által kért eseti jelentések révén hozzájárul e rendelet végrehajtásának koordinálásához; |
| b) | az uniós_szervezetek számára szabványos CSIRT-szolgáltatásokat kínál a szolgáltatási katalógusában ismertetett kiberbiztonsági szolgáltatáscsomag eszközei által (a továbbiakban: alapszolgáltatások); |
| c) | hálózatot tart fenn a hasonló szervezetekkel és partnerekkel a 17. és 18. cikkben vázolt szolgáltatások támogatása érdekében; |
| d) | felhívja az IICB figyelmét az e rendelet végrehajtásával, valamint az iránymutatások, ajánlások és cselekvési felhívások végrehajtásával kapcsolatos bármely problémára; |
| e) | a (2) bekezdésben említett információk alapján az ENISA-val szorosan együttműködve hozzájárul az Unió kiberbiztonsági helyzetismeretéhez; |
| f) | koordinálja a súlyos biztonsági_események kezelését; |
| g) | az (EU) 2022/2555 irányelv 12. cikkének (1) bekezdése szerint a sérülékenységek összehangolt közzététele céljából kijelölt koordinátorral egyenértékűként eljár az uniós_szervezetek részéről; |
| h) | valamely uniós szervezet kérésére proaktív, behatolásmentes átvilágítást végez az adott uniós szervezet nyilvánosan hozzáférhető hálózati_és_információs_rendszerein. |
Az első albekezdés e) pontjában említett információkat adott esetben, megfelelő titoktartási feltételek mellett kell megosztani az IICB-vel, a CSIRT-ek hálózatával és az Európai Unió Helyzetelemző Központjával (EU INTCEN).
(4) A CERT-EU a 17. vagy adott esetben a 18. cikkel összhangban együttműködhet az Unión és tagállamain belüli releváns kiberbiztonsági közösségekkel, többek között a következő területeken:
| a) | felkészültség, biztonsági_események koordinálása, információcsere és válságreagálás technikai szinten az uniós_szervezetekkel kapcsolatos ügyekben; |
| b) | operatív együttműködés a CSIRT-ek hálózatával, többek között a kölcsönös segítségnyújtással kapcsolatban; |
| c) | kiberfenyegetettségi információk, beleértve a helyzetismeretet; |
| d) | a CERT-EU technikai kiberbiztonsági szakértelmét igénylő bármely téma. |
(5) Hatáskörén belül a CERT-EU az (EU) 2019/881 rendelettel összhangban strukturált együttműködést folytat az ENISA-val a kapacitásépítés, az operatív együttműködés és a kiberfenyegetések hosszú távú stratégiai elemzése terén. A CERT-EU együttműködhet és információt cserélhet az Europol Kiberbűnözés Elleni Európai Központjával.
(6) A CERT-EU a szolgáltatáskatalógusában nem szereplő következő szolgáltatásokat (a továbbiakban: díjköteles szolgáltatások) nyújthatja:
| a) | a (3) bekezdésben említettektől eltérő, az uniós_szervezetek IKT-környezetének kiberbiztonságát támogató szolgáltatások, a szolgáltatási szintre vonatkozó megállapodások alapján és a rendelkezésre álló erőforrások függvényében, különösen a hálózatok széles spektrumú nyomon követése, beleértve a súlyos kiberfenyegetések a hét minden napján, napi 24 órában történő közvetlen nyomon követését is; |
| b) | olyan szolgáltatások, amelyek írásbeli megállapodások alapján és az IICB előzetes jóváhagyásával támogatják az uniós_szervezetek kiberbiztonsági műveleteit vagy projektjeit, kivéve azokat, amelyek IKT-környezetük védelmét szolgálják; |
| c) | kérésre az érintett uniós szervezet hálózati_és_információs_rendszereinek proaktív átvilágítása a potenciálisan jelentős hatással bíró sérülékenységek felderítése érdekében; |
| d) | írásbeli megállapodások alapján és az IICB előzetes jóváhagyásával az uniós_szervezetektől eltérő olyan szervezetek számára nyújtott, IKT-környezetük biztonságát támogató szolgáltatások, amelyek szorosan együttműködnek az uniós_szervezetekkel, például az uniós jog által rájuk ruházott feladatok vagy felelősségi körök teljesítése révén. |
Az első albekezdés d) pontja tekintetében a CERT-EU kivételes esetben, az IICB előzetes jóváhagyásával az uniós_szervezeteken kívüli egyéb szervezetekkel is köthet szolgáltatási szintre vonatkozó megállapodásokat.
(7) A CERT-EU – adott esetben az ENISA-val szoros együttműködésben – kiberbiztonsági gyakorlatokat szervez, és részt vehet azokban, vagy ajánlhatja a meglévő gyakorlatokban való részvételt az uniós_szervezetek kiberbiztonsági szintjének tesztelése céljából.
(8) A CERT-EU segítséget nyújthat az uniós_szervezeteknek az EU-minősített adatokat kezelő hálózati_és_információs_rendszerekben előforduló biztonsági_események tekintetében, amennyiben az érintett uniós_szervezetek erre saját eljárásaikkal összhangban kifejezetten felkérik. A CERT-EU által e bekezdés alapján nyújtott segítség nem érinti a minősített adatok védelmére vonatkozó alkalmazandó szabályokat.
(9) A CERT-EU tájékoztatja az uniós_szervezeteket a biztonsági_események kezelésére szolgáló eljárásairól és folyamatairól.
(10) A CERT-EU a megfelelő együttműködési mechanizmusokon és jelentési útvonalakon keresztül magas szintű titoktartás és megbízhatóság mellett szolgáltat releváns és anonimizált információkat a súlyos biztonsági_eseményekről és azok kezelésének módjáról. Ezeket az információkat bele kell foglalni a 10. cikk (14) bekezdésében említett jelentésbe.
(11) A CERT-EU az európai adatvédelmi biztossal együttműködve támogatja az érintett uniós_szervezeteket a személyes adatok megsértéséhez vezető biztonsági_események kezelésében, az európai adatvédelmi biztosnak az (EU) 2018/1725 rendelet szerinti felügyeleti hatóságként fennálló hatáskörének és feladatainak sérelme nélkül.
(12) Ha az uniós_szervezetek szakpolitikai részlegei azt kifejezetten kérik, a CERT-EU technikai tanácsot adhat vagy technikai véleményt nyilváníthat releváns szakpolitikai kérdésekben.
25. cikk
Felülvizsgálat
(1) 2025. január 8-ig, majd azt követően évente az IICB a CERT-EU segítségével jelentést tesz a Bizottságnak e rendelet végrehajtásáról. Az IICB ajánlásokat tehet a Bizottságnak e rendelet felülvizsgálatára.
(2) A Bizottság 2027. január 8-ig és azt követően kétévente értékeli e rendelet végrehajtását, valamint a stratégiai és operatív szinten szerzett tapasztalatokat, és jelentést nyújt be az Európai Parlamentnek és a Tanácsnak.
Az e bekezdés első albekezdésében említett jelentés tartalmazza a 16. cikk (1) bekezdésében említett felülvizsgálatot a CERT-EU uniós hivatalként való létrehozásának lehetőségéről.
(3) A Bizottság 2029. január 8-ig értékeli e rendelet működését, és jelentést nyújt be az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának. A Bizottság azt is értékeli, hogy helyénvaló-e e rendelet hatálya alá vonni az EU-minősített adatokat kezelő hálózati_és_információs_rendszereket, figyelembe véve az e rendszerekre alkalmazandó egyéb uniós jogalkotási aktusokat is. A jelentéshez szükség esetén jogalkotási javaslatot kell csatolni.
whereas