keyboard_tab Cyber Resilience Act 2023/2841 LV
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 2 3. pants Definīcijas
- 3 17. pants
- 1 18. pants
- 5 21. pants Ziņošanas pienākumi
- 1 22. pants Reaģēšanas uz incidentu koordinēšana un sadarbība
I NODAĻA
VISPĀRĪGI NOTEIKUMI
II NODAĻA
VIENĀDA AUGSTA KIBERDROŠĪBAS LĪMEŅA PANĀKŠANAS PASĀKUMI
III NODAĻA
IESTĀŽU KIBERDROŠĪBAS PADOME
IV NODAĻA
CERT-EU
V NODAĻA
SADARBĪBA UN ZIŅOŠANAS PIENĀKUMI
VI NODAĻA
NOBEIGUMA NOTEIKUMI
- savienības 34
- cert-eu 32
- incidentu 18
- direktīvas 17
- vienības 17
- gadījumā 14
- informācijas 14
- informāciju 13
- saskaņā 12
- es / panta punktā 12
- definēts 12
- partneriem 12
- incidenta 11
- kiberdrošības 11
- vienību 10
- kavēšanās 9
- incidentiem 9
- arī 8
- attiecīgā 8
- laikā 7
- liekas 7
- incidents 7
- informē 7
- gandrīz 6
- attiecībā 6
- pēc 6
- ietekmi 6
- minēto 5
- kiberdraudiem 5
- ziņojumu 5
- būtisks 5
- pants 5
- tīklu 5
- ievainojamībām 5
- būtisku 5
- raksturojošu 4
- reaģēšanas 4
- savienības 4
- noticis 4
- vienībām 4
- dalībvalstī 4
- šādiem 4
- cert-eu 4
- kurā 4
- notikušiem 4
- piemēram 4
- tās 4
- vienība 4
- katrā 4
- būtisko 4
3. pants
Definīcijas
Šajā regulā piemēro šādas definīcijas:
| 1) | “Savienības vienības” ir Savienības iestādes, struktūras, biroji un aģentūras, kas izveidotas ar vai saskaņā ar Līgumu par Eiropas Savienību, Līgumu par Eiropas Savienības darbību (LESD) vai Eiropas Atomenerģijas kopienas dibināšanas līgumu; |
| 2) | “tīklu un informācijas sistēma” ir tīklu un informācijas sistēma, kā definēts Direktīvas (ES) 2022/2555 6. panta 1) punktā; |
| 3) | “tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu drošība, kā definēts Direktīvas (ES) 2022/2555 6. panta 2) punktā; |
| 4) | “kiberdrošība” ir kiberdrošība, kā definēts Regulas (ES) 2019/881 2. panta 1) punktā; |
| 5) | “visaugstākā līmeņa vadība” ir visaugstākā administratīvā līmeņa vadītājs, vadības struktūra vai koordinācijas un uzraudzības struktūra, kas atbild par Savienības vienības funkcionēšanu un kam ir pilnvaras pieņemt vai atļaut lēmumus atbilstoši minētās Savienības vienības augsta līmeņa pārvaldības kārtībai, neskarot citu vadības līmeņu oficiālos pienākumus attiecībā uz atbilstību un kiberdrošības riska pārvaldību attiecīgajās atbildības jomās; |
| 6) | “gandrīz noticis notikums” ir gandrīz noticis notikums, kā definēts Direktīvas (ES) 2022/2555 6. panta 5) punktā; |
| 7) | “incidents” ir incidents, kā definēts Direktīvas (ES) 2022/2555 6. panta 6) punktā; |
| 8) | “liels incidents” ir incidents, kura radītais traucējumu līmenis pārsniedz Savienības vienības un CERT-EU spēju uz to reaģēt vai kurš būtiski ietekmē vismaz divas Savienības vienības; |
| 9) | “plašapmēra kiberdrošības incidents” ir plašapmēra kiberdrošības incidents, kā definēts Direktīvas (ES) 2022/2555 6. panta 7) punktā; |
| 10) | “incidenta risināšana” ir incidenta risināšana, kā definēts Direktīvas (ES) 2022/2555 6. panta 8) punktā; |
| 11) | ”kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8) punktā; |
| 12) | “būtiski kiberdraudi” ir būtiski kiberdraudi, kā definēts Direktīvas (ES) 2022/2555 6. panta 11) punktā; |
| 13) | “ievainojamība” ir ievainojamība, kā definēts Direktīvas (ES) 2022/2555 6. panta 15) punktā; |
| 14) | “kiberdrošības risks” ir risks, kā definēts Direktīvas (ES) 2022/2555 6. panta 9) punktā; |
| 15) | “mākoņdatošanas pakalpojums” ir mākoņdatošanas pakalpojums, kā definēts Direktīvas (ES) 2022/2555 6. panta 30) punktā. |
17. pants
1. CERT-EU bez liekas kavēšanās sadarbojas un apmainās ar informāciju ar partneriem dalībvalstīs, jo īpaši CSIRT, kas ieceltas vai izveidotas saskaņā ar Direktīvas (ES) 2022/2555 10. pantu, vai attiecīgā gadījumā kompetentajām iestādēm un vienotajiem kontaktpunktiem, kas iecelti vai izveidoti saskaņā ar minētās direktīvas 8. pantu, attiecībā uz incidentiem, kiberdraudiem, ievainojamībām, gandrīz notikušiem notikumiem, iespējamajiem pretpasākumiem, kā arī paraugpraksēm un attiecībā uz visiem jautājumiem, kas ir relevanti Savienības vienību IKT vižu aizsardzībai, arī izmantojot Direktīvas (ES) 2022/2555 15. pantā minēto CSIRT tīklu. CERT-EU atbalsta Komisiju saskaņā ar Direktīvas (ES) 2022/2555 16. pantu izveidotajā EU-CyCLONe koordinētas lielu kiberdrošības incidentu un krīžu pārvaldības jomā.
2. Kad CERT-EU uzzina par būtisku incidentu, kas noticis kādas dalībvalsts teritorijā, tā bez kavēšanās saskaņā ar 1. punktu ziņo visiem relevantajiem partneriem minētajā dalībvalstī.
3. Ar noteikumu, ka personas dati tiek aizsargāti saskaņā ar piemērojamajiem Savienības datu aizsardzības tiesību aktiem, CERT-EU bez nepamatotas kavēšanās bez skartās Savienības vienības atļaujas apmainās ar attiecīgo incidentu raksturojošu informāciju ar partneriem dalībvalstīs, kas ir relevanta nolūkā atvieglot līdzīgu kiberdraudu vai incidentu atklāšanu vai veicināt incidenta analīzi. CERT-EU apmainās ar incidentu raksturojošu informāciju, kas atklāj incidenta mērķa identitāti, tikai kādā no šādiem gadījumiem:
| a) | skartā Savienības vienība tam piekrīt; |
| b) | skartā Savienības vienība nesniedz a) apakšpunktā paredzēto piekrišanu, bet skartās Savienības vienības identitātes izpaušana palielinātu varbūtību, ka tiks novērsti vai mitigēti incidenti citviet; |
| c) | skartā Savienības vienība jau ir publiski izpaudusi, ka tā ir skarta. |
Lēmumus apmainīties ar incidentu raksturojošu informāciju, kas izpauž incidenta mērķa identitāti saskaņā ar pirmās daļas b) apakšpunktu, apstiprina CERT-EU vadītājs. Pirms šāda lēmuma izdošanas CERT-EU rakstiski sazinās ar skarto Savienības vienību, skaidri paskaidrojot, kā tās identitātes izpaušana palīdzētu novērst vai mitigēt incidentus citviet. CERT-EU vadītājs sniedz paskaidrojumu un skaidri lūdz Savienības vienībai noteiktā laikā norādīt, vai tā piekrīt. CERT-EU vadītājs informē Savienības vienību arī par to, ka, ņemot vērā sniegto paskaidrojumu, viņš patur tiesības informāciju izpaust pat bez piekrišanas. Pirms informācijas izpaušanas informē skarto Savienības vienību.
18. pants
1. Attiecībā uz rīkiem un metodēm, piemēram, paņēmieniem, taktiku, procedūrām un paraugpraksēm, kā arī kiberdraudiem un ievainojamībām CERT-EU var sadarboties ar partneriem Savienībā, kas nav 17. pantā minētie partneri un uz ko attiecas Savienības kiberdrošības prasības, tostarp nozarspecifiskiem industrijas partneriem. Lai sadarbotos ar šādiem partneriem, CERT-EU katrā atsevišķā gadījumā iepriekš saņem IKP apstiprinājumu. Ja CERT-EU iedibina sadarbību ar šādiem partneriem, tā informē visus relevantos 17. panta 1. punktā minētos partnerus tajā dalībvalstī, kurā partneris atrodas. Attiecīgā un piemērotā gadījumā šādu sadarbību un tās nosacījumus, arī attiecībā uz kiberdrošību, datu aizsardzību un informācijas apstrādi, nosaka ar īpašiem konfidencialitātes pasākumiem, piemēram, līgumu vai administratīvu vienošanos. Konfidencialitātes pasākumi IKP nav iepriekš jāapstiprina, tomēr IKP priekšsēdētāju par tiem informē. Ja ir steidzama un neatliekama vajadzība apmainīties ar kiberdrošības informāciju Savienības vienību vai citas puses interesēs, CERT-EU var to darīt ar vienību, kuras konkrētā kompetence, spējas un lietpratība ir pamatoti nepieciešamas, lai palīdzētu risināt šādu steidzamu un neatliekamu vajadzību, pat ja CERT-EU ar minēto vienību nav vienojusies par konfidencialitāti. Šādos gadījumos CERT-EU nekavējoties informē IKP priekšsēdētāju un ziņo IKP, izmantojot regulārus ziņojumus vai sanāksmes.
2. CERT-EU var sadarboties ar partneriem, piemēram, komercuzņēmumiem, tostarp nozarspecifiskām industrijas vienībām, starptautiskām organizācijām, trešo valstu nacionālām vienībām un atsevišķiem ekspertiem, lai vāktu informāciju par vispārējiem un konkrētiem kiberdraudiem, gandrīz notikušiem notikumiem, ievainojamībām un iespējamiem pretpasākumiem. Lai plašāk sadarbotos ar šādiem partneriem, CERT-EU katrā atsevišķā gadījumā iepriekš saņem IKP apstiprinājumu.
3. Ar incidenta skartās Savienības vienības piekrišanu un ar noteikumu, ka ir noslēgta informācijas neizpaušanas vienošanās vai līgums ar relevanto partneri, CERT-EU var sniegt incidentu raksturojošu informāciju partneriem, kas minēti 1. un 2. punktā, vienīgi nolūkā no tiem saņemt palīdzību tās analīzē.
V NODAĻA
SADARBĪBA UN ZIŅOŠANAS PIENĀKUMI
21. pants
Ziņošanas pienākumi
1. Incidentu uzskata par būtisku, ja:
| a) | tas ir izraisījis vai spēj izraisīt smagus attiecīgās Savienības vienības funkcionēšanas traucējumus vai finansiālus zaudējumus; |
| b) | tas ir ietekmējis vai spēj ietekmēt citas fiziskas vai juridiskas personas, radot būtisku materiālu vai nemateriālu kaitējumu. |
2. Savienības vienības iesniedz CERT-EU:
| a) | bez liekas kavēšanās un katrā ziņā 24 stundu laikā no brīža, kad uzzinājušas par būtisko incidentu, – agrīnu brīdinājumu, kurā attiecīgā gadījumā norāda, ka būtisko incidentu ir izraisījusi, domājams, nelikumīga vai ļaunprātīga rīcība un vai tam varētu būt pārvienību vai pārrobežu ietekme; |
| b) | bez liekas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc tam, kad uzzinājušas par būtisko incidentu, – paziņojumu par incidentu, kurā attiecīgā gadījumā atjaunina a) apakšpunktā minēto informāciju un norāda būtiskā incidenta sākotnējo novērtējumu, tostarp tā smagumu un ietekmi, kā arī, ja pieejami, aizskāruma rādītājus; |
| c) | pēc CERT-EU pieprasījuma – starpposma ziņojumu par relevantajiem statusa atjauninājumiem; |
| d) | galīgu ziņojumu ne vēlāk kā mēnesi pēc b) apakšpunktā minētā paziņojuma par incidentu iesniegšanas, un tajā iekļauj:
|
| e) | ja šā punkta d) apakšpunktā minētā galīgā ziņojuma iesniegšanas laikā incidents vēl notiek – progresa ziņojumu tajā laikā, savukārt viena mēneša laikā pēc rīkošanās incidenta sakarā –– galīgo ziņojumu. |
3. Savienības vienība bez liekas kavēšanās un katrā ziņā 24 stundu laikā pēc tam, kad uzzinājusi par būtisku incidentu, informē visus relevantos 17. panta 1. punktā minētos partnerus dalībvalstī, kurā tā atrodas, par to, ka ir noticis būtisks incidents.
4. Savienības vienības cita starpā ziņo jebkādu informāciju, kas CERT-EU dod iespēju noteikt jebkādu būtiska incidenta pārvienību ietekmi, ietekmi uz uzņēmēju dalībvalsti vai pārrobežu ietekmi. Neskarot 12. pantu, paziņošana pati par sevi neuzliek Savienības vienībai lielāku atbildību.
5. Attiecīgā gadījumā Savienības vienības skarto tīklu un informācijas sistēmu vai citu IKT vides komponentu lietotājiem, kurus potenciāli var skart būtisks incidents vai būtisks kiberdrauds un kuriem attiecīga gadījumā jāveic mitigācijas pasākumi, bez liekas kavēšanās paziņo par jebkādiem pasākumiem vai korektīvajām darbībām, ko var veikt, reaģējot uz minēto incidentu vai draudu. Attiecīgā gadījumā Savienības vienības informē minētos lietotājus par pašu būtisko kiberdraudu.
6. Ja būtisks incidents vai būtisks kiberdrauds skar Savienības vienības tādas IKT vides tīklu un informācijas sistēmu vai komponentu, kas ir ar nolūku savienota ar citas Savienības vienības IKT vidi, CERT-EU izdod relevantu kiberdrošības brīdinājumu.
7. Savienības vienības pēc CERT-EU pieprasījuma un bez liekas kavēšanās sniedz tai digitālo informāciju, kas radusies attiecīgajos incidentos iesaistīto elektronisko ierīču izmantošanā. CERT-EU var sīkāk precizēt, kuri šādas informācijas veidi tai ir vajadzīgi situācijas apzināšanai un reaģēšanai uz incidentiem.
8. CERT-EU ik trīs mēnešus iesniedz IKP, ENISA, ES INTCEN un CSIRT tīklam kopsavilkuma ziņojumu, kas ietver anonimizētus un apkopotus datus par būtiskiem incidentiem, incidentiem, kiberdraudiem, gandrīz notikušiem notikumiem un ievainojamībām saskaņā ar 20. pantu un būtiskiem incidentiem, kas paziņoti saskaņā ar šā panta 2. punktu. Kopsavilkuma ziņojums ir ieguldījums divgadu ziņojumā par kiberdrošības stāvokli Savienībā, ko pieņem saskaņā ar Direktīvas (ES) 2022/2555 18. pantu.
9. Līdz 2024. gada 8. jūlijam IKP izdod vadlīnijas vai ieteikumus, kur sīkāk precizēta šajā pantā paredzētās ziņošanas kārtība, formāts un saturs. Sagatavojot šādas vadlīnijas vai ieteikumus, IKP ņem vērā visus īstenošanas aktus, kas pieņemti saskaņā ar Direktīvas (ES) 2022/2555 23. panta 11. punktu un nosaka informācijas veidu, formātu un paziņošanas procedūru. CERT-EU izplata attiecīgo tehnisko informāciju, lai Savienības vienības varētu preventīvi atklāt incidentus, reaģēt uz tiem vai veikt mitigācijas pasākumus.
10. Šajā pantā noteiktie ziņošanas pienākumi neattiecas uz:
| a) | ESKI; |
| b) | informāciju, kuras tālāka izplatīšana ir izslēgta ar redzamu marķējumu, ja vien tās kopīgošana ar CERT-EU nav skaidri atļauta. |
22. pants
Reaģēšanas uz incidentu koordinēšana un sadarbība
1. Rīkojoties kā kiberdrošības informācijas apmaiņas un reaģēšanas uz incidentiem koordinēšanas centrs, CERT-EU atvieglo informācijas apmaiņu par incidentiem, kiberdraudiem, ievainojamībām un gandrīz notikušiem notikumiem:
| a) | Savienības vienību vidū; |
| b) | regulas 17. un 18. pantā minēto partneru vidū. |
2. CERT-EU attiecīgā gadījumā ciešā sadarbībā ar ENISA veicina koordināciju starp Savienības vienībām attiecībā uz reaģēšanu uz incidentiem, tostarp:
| a) | ieguldījumu konsekventā ārējā komunikācijā; |
| b) | savstarpējo atbalstu, piemēram, Savienības vienībām relevantas informācijas kopīgošanu vai palīdzības sniegšanu, attiecīgā gadījumā tieši uz vietas; |
| c) | optimālu operacionālo resursu izmantošanu; |
| d) | koordinēšanu ar citiem krīzes reaģēšanas mehānismiem Savienības līmenī. |
3. CERT-EU ciešā sadarbībā ar ENISA atbalsta Savienības vienības attiecībā uz situācijas apzināšanos tādos aspektos kā incidenti, kiberdraudi, ievainojamības un gandrīz notikuši notikumi, kā arī relevanto kiberdrošības jomas jaunumu kopīgošanu.
4. Līdz 2025. gada 8. janvārim IKP uz CERT-EU priekšlikuma pamata pieņem vadlīnijas vai ieteikumus par reaģēšanas uz incidentiem koordinēšanu un sadarbību būtisku incidentu gadījumā. Ja ir aizdomas par incidenta noziedzīgo raksturu, CERT-EU bez liekas kavēšanās sniedz padomus, kā par šo incidentu ziņot tiesībaizsardzības iestādēm.
5. Pēc īpaša dalībvalsts pieprasījuma un ar attiecīgo Savienības vienību piekrišanu CERT-EU var aicināt ekspertus no 23. panta 4. punktā minētā saraksta palīdzēt reaģēt uz lielu incidentu, kam ir ietekme minētajā dalībvalstī, vai plašapmēra kiberdrošības incidentu saskaņā ar Direktīvas (ES) 2022/2555 15. panta 3. punkta g) apakšpunktu. Konkrētus noteikumus par piekļuvi Savienības vienību tehniskajiem ekspertiem un viņu izmantošanu uz CERT-EU priekšlikuma pamata apstiprina IKP.
whereas