Cyber Resilience Act 2023/2841 MT

(a)	l-istabbiliment minn kull entità tal-Unjoni ta’ qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà skont l-Artikolu 6;

(b)	il-ġestjoni tar-riskji taċ-ċibersigurtà, ir-rapportar u l-kondiviżjoni tal-informazzjoni;

(c)	l-organizzazzjoni, il-funzjonament u l-operat tal-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10, kif ukoll l-organizzazzjoni, il-funzjonament u l-operat tas-Servizz taċ-Ċibersigurtà għall-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-Unjoni (CERT-UE);

(d)	il-monitoraġġ u l-implimentazzjoni ta ’ dan ir-Regolament.

Artikolu 4

Proċessar ta’ data personali

1. L-ipproċessar ta’ data personali skont dan ir-Regolament mis-CERT-UE, mill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u mill-entitajiet tal-Unjoni għandu jitwettaq f’konformità mar-Regolament (UE) 2018/1725.

2. Meta jwettqu kompiti jew jissodisfaw obbligi skont dan ir-Regolament, is-CERT-UE, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u l-entitajiet tal-Unjoni għandhom jipproċessaw u jiskambjaw data personali biss sa fejn ikun meħtieġ u għall-iskop uniku li jwettqu dawk il-kompiti jew li jissodisfaw dawk l-obbligi.

3. L-ipproċessar ta’ kategoriji speċjali ta’ data personali kif imsemmi fl-Artikolu 10(1) tar-Regolament (UE) 2018/1725 għandu jitqies meħtieġ għal raġunijiet ta’ interess pubbliku sostanzjali skont l-Artikolu 10(2), il-punt (g), ta’ dak ir-Regolament. Tali data tista’ tiġi pproċessata biss sal-punt meħtieġ għall-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà msemmija fl-Artikoli 6 u 8, għall-forniment ta’ servizzi mis-CERT-UE skont l-Artikolu 13, għall-kondiviżjoni ta’ informazzjoni speċifika għall-inċidenti skont l-Artikolu 17(3) u l-Artikolu 18(3), għall-kondiviżjoni ta’ informazzjoni skont l-Artikolu 20, għall-obbligi ta’ rapportar skont l-Artikolu 21, għall-koordinazzjoni u l-kooperazzjoni tar-rispons għall-inċidenti skont l-Artikolu 22 u għall-ġestjoni ta’ inċidenti kbar skont l-Artikolu 23 ta’ dan ir-Regolament. L-entitajiet tal-Unjoni u s-CERT-UE, meta jaġixxu bħala kontrolluri tad-data, għandhom japplikaw miżuri tekniċi biex jipprevjenu l-ipproċessar ta’ kategoriji speċjali ta’ data personali għal finijiet oħra u għandhom jipprevedu miżuri xierqa u speċifiċi biex jissalvagwardjaw id-drittijiet fundamentali u l-interessi tas-suġġetti tad-data.

KAPITOLU II

MIŻURI GĦAL LIVELL KOMUNI GĦOLI TA’ ĊIBERSIGURTÀ

Artikolu 5

Implimentazzjoni tal-miżuri

1. Sat-8 ta’ Settembru 2024, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 għandu, wara li jikkonsulta mal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) u wara li jirċievi gwida mis-CERT-UE, joħroġ linji gwida għall-entitajiet tal-Unjoni għall-fini li jwettqu rieżami inizjali taċ-ċibersigurtà u jistabbilixxu qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà skont l-Artikolu 6, iwettqu valutazzjonijiet tal-maturità taċ-ċibersigurtà skont l-Artikolu 7, jieħdu miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà skont l-Artikolu 8, u jadottaw il-pjan taċ-ċibersigurtà skont l-Artikolu 9.

2. Meta jimplimentaw l-Artikoli 6 sa 9, l-entitajiet tal-Unjoni għandhom iqisu l-linji gwida msemmija fil-paragrafu 1 ta’ dan l-Artikolu, kif ukoll il-linji gwida u r-rakkomandazzjonijiet rilevanti adottati skont l-Artikoli 11 u 14.

Artikolu 6

Qafas għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà

1. Sat-8 ta’ April 2025, kull entità tal-Unjoni għandha, wara li twettaq rieżami inizjali taċ-ċibersigurtà, bħal awditu, tistabbilixxi qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà (il-“Qafas”). L-istabbiliment tal-Qafas għandu jiġi ssorveljat mill-ogħla livell ta’ maniġment tal-entità tal-Unjoni u taħt ir-responsabbiltà tiegħu.

2. Il-qafas għandu jkopri l-ambjent tal-ICT mhux klassifikat kollu tal-entità tal-Unjoni kkonċernata, inkluż kwalunkwe ambjent tal-ICT fuq il-post, network tat-teknoloġija operazzjonali, assi u servizzi esternalizzati f’ambjenti tal-cloud computing jew ospitati minn partijiet terzi, apparati mobbli, networks korporattivi, networks tan-negozju mhux konnessi mal-internet u kwalunkwe apparat konness ma’ dawk l-ambjenti (“ambjent tal-ICT”). Il-Qafas għandu jkun ibbażat fuq approċċ li jkopri l-perikli kollha.

3. Il-Qafas għandu jiżgura livell għoli ta’ ċibersigurtà. Il-Qafas għandu jistabbilixxi politiki interni dwar iċ-ċibersigurtà, inklużi objettivi u prijoritajiet, għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni, u r-rwoli u r-responsabbiltajiet tal-persunal tal-entità tal-Unjoni inkarigat li jiżgura l-implimentazzjoni effettiva ta’ dan ir-Regolament. Il-Qafas għandu jinkludi wkoll mekkaniżmi biex titkejjel l-effettività tal-implimentazzjoni.

4. Il-Qafas għandu jiġi rieżaminat fuq bażi regolari, fid-dawl tar-riskji taċ-ċibersigurtà li jinbidlu, u mill-inqas kull erba’ snin. Meta xieraq u wara talba mill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10, Qafas ta’ entità tal-Unjoni jista’ jiġi aġġornat abbażi tal-gwida tas-CERT-UE dwar inċidenti identifikati jew lakuni possibbli osservati fl-implimentazzjoni ta’ dan ir-Regolament.

5. L-ogħla livell ta’ ġestjoni ta’ kull entità tal-Unjoni għandu jkun responsabbli għall-implimentazzjoni ta’ dan ir-Regolament u għandu jissorvelja l-konformità tal-organizzazzjoni tiegħu mal-obbligi relatati mal-Qafas.

6. Meta xieraq u mingħajr preġudizzju għar-responsabbiltà tiegħu għall-implimentazzjoni ta’ dan ir-Regolament, l-ogħla livell ta’ maniġment ta’ kull entità tal-Unjoni jista’ jiddelega obbligi speċifiċi skont dan ir-Regolament lil uffiċjali għolja skont it-tifsira tal-Artikolu 29(2) tar-Regolamenti tal-Persunal jew uffiċjali oħra f’livell ekwivalenti, fl-entità tal-Unjoni kkonċernata. Irrispettivament minn kwalunkwe delega bħal din, l-ogħla livell ta’ maniġment jista’ jinżamm responsabbli għall-ksur ta’ dan ir-Regolament mill-entità tal-Unjoni kkonċernata.

7. Kull entità tal-Unjoni għandu jkollha mekkaniżmi effettivi fis-seħħ biex jiżguraw li perċentwal adegwat tal-baġit tal-ICT jintefaq fuq iċ-ċibersigurtà. Meta jiġi stabbilit dak il-perċentwal għandu jittieħed kont debitu tal-Qafas.

8. Kull entità tal-Unjoni għandha taħtar uffiċjal lokali taċ-ċibersigurtà jew funzjoni ekwivalenti, li għandu jaġixxi bħala l-punt uniku ta’ kuntatt tagħha fir-rigward tal-aspetti kollha taċ-ċibersigurtà. L-uffiċjal lokali taċ-ċibersigurtà għandu jiffaċilita l-implimentazzjoni ta’ dan ir-Regolament u jirrapporta direttament lill-ogħla livell ta’ maniġment fuq bażi regolari dwar l-istat tal-implimentazzjoni. Mingħajr preġudizzju għar-rwol tal-uffiċjal lokali taċ-ċibersigurtà bħala l-punt uniku ta’ kuntatt f’kull entità tal-Unjoni, entità tal-Unjoni tista’ tiddelega ċerti kompiti tal-uffiċjal lokali taċ-ċibersigurtà fir-rigward tal-implimentazzjoni ta’ dan ir-Regolament lis-CERT-UE abbażi ta’ ftehim dwar il-livell ta’ servizz konkluż bejn dik l-entità tal-Unjoni u s-CERT-UE, jew dawk il-kompiti jistgħu jiġu kondiviżi bejn diversi entitajiet tal-Unjoni. Meta dawk il-kompiti jiġu delegati lis-CERT-EU, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 għandu jiddeċiedi jekk il-forniment ta’ dak is-servizz għandux ikun parti mis-servizzi tal-linja bażi tas-CERT-UE, b’kont meħud tar-riżorsi umani u finanzjarji tal-entità tal-Unjoni kkonċernata. Kull entità tal-Unjoni għandha, mingħajr dewmien żejjed, tinnotifika lis-CERT-EU dwar l-uffiċjal lokali taċ-ċibersigurtà maħtur u kwalunkwe bidla sussegwenti tiegħu.

Is-CERT-UE għandu jistabbilixxi u jżomm aġġornata lista tal-uffiċjali lokali taċ-ċibersigurtà maħtura.

9. L-uffiċjali għolja skont it-tifsira tal-Artikolu 29(2) tar-Regolamenti tal-Persunal jew uffiċjali oħra ta’ livell ekwivalenti ta’ kull entità tal-Unjoni, kif ukoll il-membri rilevanti tal-persunal inkarigati bl-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà u bl-issodisfar tal-obbligi stabbiliti f’dan ir-Regolament, għandhom isegwu taħriġ speċifiku fuq bażi regolari bil-għan li jiksbu għarfien u ħiliet suffiċjenti sabiex jifhmu u jivvalutaw ir-riskji taċ-ċibersigurtà u l-prattiki tal-ġestjoni tar-riskji taċ-ċibersigurtà u l-impatt tagħhom fuq l-operazzjonijiet tal-entità tal-Unjoni.

Artikolu 14

Linji gwida, rakkomandazzjonijiet u sejħiet għal azzjoni

1. Is-CERT-UE għandu jappoġġja l-implimentazzjoni ta’ dan ir-Regolament billi joħroġ:

(a)	sejħiet għal azzjoni li jiddeskrivu miżuri ta’ sigurtà urġenti li l-entitajiet tal-Unjoni huma mħeġġa jieħdu f’perjodu ta’ żmien stabbilit;

(b)	proposti lill-IICB għal linji gwida indirizzati lill-entitajiet kollha tal-Unjoni jew lil subsett tagħhom;

(c)	proposti lill-IICB għal rakkomandazzjonijiet indirizzati lil entitajiet individwali tal-Unjoni.

Fir-rigward tal-ewwel subparagrafu, il-punt (a), l-entità tal-Unjoni kkonċernata għandha, mingħajr dewmien żejjed wara li tirċievi s-sejħa għal azzjoni, tinforma lis-CERT-UE dwar kif ġew applikati l-miżuri ta’ sigurtà urġenti.

2. Il-linji gwida u r-rakkomandazzjonijiet jistgħu jinkludu:

(a)

metodoloġiji komuni u mudell għall-valutazzjoni tal-maturità taċ-ċibersigurtà tal-entitajiet tal-Unjoni, inklużi l-iskali jew il-KPIs korrispondenti, li jservu bħala referenza b’appoġġ għat-titjib kontinwu taċ-ċibersigurtà fl-entitajiet kollha tal-Unjoni u li jiffaċilitaw il-prijoritizzazzjoni tad-dominji u l-miżuri taċ-ċibersigurtà filwaqt li titqies il-qagħda taċ-ċibersigurtà tal-entitajiet;

(b)	arranġamenti għall-ġestjoni tar-riskju taċ-ċibersigurtà jew it-titjib tagħha u l-miżuri ta’ ġestjoni tar-riskju taċ-ċibersigurtà;

(c)	arranġamenti għall-valutazzjonijiet tal-maturità taċ-ċibersigurtà u l-pjanijiet taċ-ċibersigurtà;

(d)	meta xieraq, l-użu ta’ teknoloġija komuni, arkitettura, sors miftuħ u l-aħjar prattiki assoċjati bil-għan li jinkisbu l-interoperabbiltà u l-istandards komuni, inkluż approċċ koordinat għas-sigurtà tal-ktajjen tal-provvista;

(e)	meta xieraq, informazzjoni biex jiġi ffaċilitat l-użu ta’ strumenti għal akkwist komuni għax-xiri ta’ servizzi u prodotti rilevanti taċ-ċibersigurtà minn fornituri terzi;

(f)	arranġamenti ta’ kondiviżjoni ta’ informazzjoni skont l-Artikolu 20.

Artikolu 23

Ġestjoni ta’ inċidenti kbar

1. Sabiex jappoġġja fil-livell operazzjonali l-ġestjoni kkoordinata ta’ inċidenti kbar li jaffettwaw lill-entitajiet tal-Unjoni u biex jikkontribwixxi għall-iskambju regolari ta’ informazzjoni rilevanti fost l-entitajiet tal-Unjoni u mal-Istati Membri, l-IICB għandu, skont l-Artikolu 11, il-punt (q), jistabbilixxi pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi bbażat fuq l-attivitajiet imsemmija fl-Artikolu 22(2), f’kooperazzjoni mill-qrib mas-CERT-UE u l-ENISA. Il-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi għandu jinkludi mill-inqas l-elementi li ġejjin:

(a)	arranġamenti li jikkonċernaw il-koordinazzjoni u l-fluss tal-informazzjoni fost l-entitajiet tal-Unjoni għall-ġestjoni ta’ inċidenti kbar fil-livell operazzjonali;

(b)	proċeduri operattivi standard (SOPs) komuni;

(c)	tassonomija komuni tas-severità ta’ inċidenti kbar u punti ta’ skattar ta’ kriżijiet;

(d)	eżerċizzji regolari;

(e)	kanali ta’ komunikazzjoni siguri li għandhom jintużaw.

2. Ir-rappreżentant tal-Kummissjoni fl-IICB għandu, soġġett għall-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi stabbilit skont il-paragrafu 1 ta’ dan l-Artikolu u mingħajr preġudizzju għall-Artikolu 16(2), l-ewwel subparagrafu, tad-Direttiva (UE) 2022/2555, ikun il-punt ta’ kuntatt għall-kondiviżjoni tal-informazzjoni rilevanti fir-rigward ta’ inċidenti kbar mal-EU-CyCLONe.

3. Is-CERT-UE għandu jikkoordina fost l-entitajiet tal-Unjoni l-ġestjoni ta’ inċidenti kbar. Għandu jżomm inventarju tal-għarfien espert tekniku disponibbli li jkun meħtieġ għar-rispons għal inċidenti fil-każ ta’ inċidenti kbar u jassisti lill-IICB fil-koordinazzjoni tal-pjanijiet ta’ ġestjoni ta’ kriżijiet ċibernetiċi tal-entitajiet tal-Unjoni għall-inċidenti kbar imsemmija fl-Artikolu 9(2a).

4. L-entitajiet tal-Unjoni għandhom jikkontribwixxu għall-inventarju ta’ għarfien espert tekniku billi jipprovdu lista aġġornata kull sena ta’ esperti disponibbli fl-organizzazzjonijiet rispettivi tagħhom bid-dettalji tal-ħiliet tekniċi speċifiċi tagħhom.

KAPITOLU VI

DISPOŻIZZJONIJIET FINALI

whereas

keyboard_tab Cyber Resilience Act 2023/2841 MT

Cyber Resilience Act 2023/2841 MT