Cyber Resilience Act 2023/2841 RO

(1) Până la 8 iulie 2025 și, ulterior, cel puțin o dată la doi ani, fiecare entitate a Uniunii efectuează o evaluare a maturității în materie de securitate cibernetică încorporând toate elementele mediului său TIC.

(2) Evaluările maturității în materie de securitate cibernetică se efectuează, după caz, cu asistența unei părți terțe specializate.

(3) Entitățile Uniunii cu structuri similare pot coopera la efectuarea evaluărilor maturității în materie de securitate cibernetică pentru entitățile lor respective.

(4) Pe baza unei cereri din partea Consiliului interinstituțional pentru securitate cibernetică instituit în temeiul articolului 10 și cu consimțământul explicit al entității Uniunii în cauză, rezultatele unei evaluări a maturității în materie de securitate cibernetică pot fi discutate în Consiliul respectiv sau în grupul informal de responsabili locali cu securitatea cibernetică, cu scopul de a învăța din experiență și de a face schimb de bune practici.

Articolul 11

Sarcinile IICB

Când își exercită responsabilitățile, IICB, în special:

(a)	oferă orientări șefului CERT-UE;

(b)	monitorizează și supraveghează efectiv punerea în aplicare a prezentului regulament și sprijină entitățile Uniunii în consolidarea securității lor cibernetice, inclusiv, după caz, solicitând rapoarte ad-hoc din partea entităților Uniunii și a CERT-UE;

(c)	în urma unei discuții strategice, adoptă o strategie multianuală privind creșterea nivelului de securitate cibernetică în entitățile Uniunii, o evaluează periodic și, în orice caz, o dată la cinci ani, dacă este necesar, o modifică;

(d)

stabilește metodologia și aspectele organizatorice pentru efectuarea evaluărilor inter pares voluntare de către entitățile Uniunii, cu scopul de a învăța din experiențele comune, de a consolida încrederea reciprocă, de a atinge un nivel comun ridicat de securitate cibernetică, precum și de a consolida capacitățile în materie de securitate cibernetică ale entităților Uniunii, asigurându-se că astfel de evaluări inter pares sunt efectuate de experți în materie de securitate cibernetică desemnați de o entitate a Uniunii diferită de entitatea Uniunii care este analizată și că metodologia se bazează pe articolul 19 din Directiva (UE) 2022/2555 și, după caz, este adaptată entităților Uniunii;

(e)	aprobă, pe baza unei propuneri din partea șefului CERT-UE, programul anual de lucru al CERT-UE și monitorizează implementarea acestuia;

(f)	aprobă, pe baza unei propuneri din partea șefului CERT-UE, catalogul de servicii al CERT-UE și orice actualizări ulterioare ale acestuia;

(g)	aprobă, pe baza unei propuneri din partea șefului CERT-UE, planificarea anuală a veniturilor și cheltuielilor, inclusiv a personalului, pentru activitățile CERT-UE;

(h)	aprobă, pe baza unei propuneri din partea șefului CERT-UE, modalitățile pentru acordurile privind nivelul serviciilor;

(i)	examinează și aprobă raportul anual întocmit de șeful CERT-UE, care acoperă activitățile și gestionarea fondurilor de către CERT-UE;

(j)	aprobă și monitorizează indicatorii cheie de performanță (KPI) pentru CERT-UE, stabiliți pe baza unei propuneri din partea șefului CERT-UE;

(k)	aprobă acordurile de cooperare, acordurile privind nivelul serviciilor sau contractele dintre CERT-UE și alte entități în temeiul articolului 18;

(l)	adoptă orientări și recomandări pe baza unei propuneri din partea CERT-UE în conformitate cu articolul 14 și încredințează CERT-UE sarcina să emită, să retragă sau să modifice o propunere de orientări sau recomandări sau un apel la acțiune;

(m)	instituie grupuri consultative tehnice cu sarcini specifice pentru a sprijini activitatea IICB, le aprobă mandatul și desemnează președinții acestor grupuri;

(n)	primește și evaluează documentele și rapoartele prezentate de entitățile Uniunii în temeiul prezentului regulament, cum ar fi evaluări ale nivelului de maturitate al securității cibernetice;

(o)	facilitează instituirea unui grup informal care să reunească responsabilii locali cu securitatea cibernetică ai entităților Uniunii, sprijinit de ENISA, în scopul de a face schimb de bune practici și de informații în legătură cu punerea în aplicare a prezentului regulament;

(p)

ținând cont de informațiile privind riscurile identificate în materie de securitate cibernetică și de lecțiile învățate oferite de CERT-UE, monitorizează caracterul adecvat al acordurilor de interconectivitate între mediile TIC ale entităților Uniunii și oferă consiliere cu privire la posibile îmbunătățiri;

(q)

stabilește un plan de gestionare a crizelor cibernetice pentru a sprijini, la nivel operațional, gestionarea coordonată a incidentelor majore care afectează entitățile Uniunii și pentru a contribui la schimbul periodic de informații relevante, în special în ceea ce privește impactul, gravitatea și posibilele modalități de atenuare a efectelor incidentelor majore;

(r)	coordonează adoptarea planurilor individuale de gestionare a crizelor cibernetice ale entităților Uniunii menționate la articolul 9 alineatul (2);

(s)

adoptă recomandări legate de securitatea lanțurilor de aprovizionare menționate la articolul 8 alineatul (2) primul paragraf litera (m), ținând cont de rezultatele evaluărilor coordonate la nivelul Uniunii ale riscurilor lanțurilor de aprovizionare critice menționate la articolul 22 din Directiva (UE) 2022/2555, pentru a sprijini entitățile Uniunii în adoptarea unor măsuri de securitate cibernetică eficace și proporționale de gestionare a riscurilor de securitate cibernetică.

Articolul 13

Misiunea și sarcinile CERT-UE

(1) Misiunea CERT-UE este de a contribui la securitatea mediului TIC neclasificat al entităților Uniunii, oferindu-le consiliere cu privire la securitatea cibernetică, oferindu-le asistență pentru prevenirea, detectarea, gestionarea și atenuarea incidentelor, răspunsul la acestea și redresarea în urma lor și acționând ca centru de schimb de informații în materie de securitate cibernetică și de coordonare a răspunsului la incidente pentru aceste entități.

(2) CERT-UE colectează, gestionează, analizează și face schimb de informații cu entitățile Uniunii cu privire la amenințări cibernetice, vulnerabilități și incidente legate de infrastructura TIC neclasificată. Acesta coordonează răspunsurile la incidente la nivel interinstituțional și la nivelul entităților Uniunii, inclusiv prin furnizarea de asistență operațională specializată sau prin coordonarea acesteia.

(3) CERT-UE îndeplinește următoarele sarcini pentru a asista entitățile Uniunii:

(a)	le oferă sprijin la punerea în aplicare a prezentului regulament și contribuie la coordonarea punerii în aplicare a prezentului regulament prin intermediul măsurilor enumerate la articolul 14 alineatul (1) sau al rapoartelor ad-hoc solicitate de IICB;

(b)	oferă servicii CSIRT standard pentru entitățile Uniunii printr-un pachet de servicii de securitate cibernetică descrise în catalogul său de servicii (servicii de referință);

(c)	menține o rețea de omologi și parteneri pentru a sprijini serviciile, astfel cum se prevede la articolele 17 și 18;

(d)	aduce în atenția IICB orice problemă legată de punerea în aplicare a prezentului regulament și a orientărilor, recomandărilor și apelurilor la acțiune;

(e)	pe baza informațiilor menționate la alineatul (2), contribuie la conștientizarea situației amenințărilor la adresa securității cibernetice în Uniune în strânsă cooperare cu ENISA;

(f)	coordonează gestionarea incidentelor majore;

(g)	îndeplinește pentru entitățile Uniunii un rol echivalent celui de coordonator desemnat în scopul divulgării coordonate a vulnerabilităților în temeiul articolului 12 alineatul (1) din Directiva (UE) 2022/2555;

(h)	furnizează, la cererea unei entități a Uniunii, scanarea proactivă și neintruzivă a rețelelor și a sistemelor informatice accesibile publicului respectivei entități a Uniunii.

Informațiile menționate la primul paragraf litera (e) se comunică IICB, rețelei CSIRT și Centrului de situații și de analiză a informațiilor al Uniunii Europene (INTCEN UE), dacă este cazul și în funcție de situație și sub rezerva unor condiții de confidențialitate adecvate.

(4) CERT-UE poate, în conformitate cu articolul 17 sau 18, după caz, să coopereze cu comunitățile relevante în materie de securitate cibernetică din Uniune și din statele sale membre, inclusiv în următoarele domenii:

(a)	pregătirea, coordonarea în materie de incidente, schimbul de informații și răspunsul la situații de criză la nivel tehnic în cazurile legate de entitățile Uniunii;

(b)	cooperarea operațională privind rețeaua CSIRT, inclusiv în ceea ce privește asistența reciprocă;

(c)	informații privind amenințările cibernetice, inclusiv conștientizarea situației;

(d)	orice subiect care necesită expertiză tehnică în materie de securitate cibernetică din partea CERT-UE.

(5) În limitele competențelor sale, CERT-UE desfășoară o cooperare structurată cu ENISA în ceea ce privește consolidarea capacităților, cooperarea operațională și analizele strategice pe termen lung ale amenințărilor cibernetice, în temeiul Regulamentului (UE) 2019/881. CERT-UE poate coopera și face schimb de informații cu Centrul european de combatere a criminalității informatice al Europol.

(6) CERT-UE poate furniza următoarele servicii care nu sunt descrise în catalogul său de servicii (servicii contra cost):

(a)

servicii care sprijină securitatea cibernetică a mediului TIC al entităților Uniunii, altele decât cele menționate la alineatul (3), în temeiul unor acorduri privind nivelul serviciilor și sub rezerva resurselor disponibile, în special monitorizarea rețelelor cu spectru larg, inclusiv monitorizarea non-stop din prima linie pentru amenințările cibernetice grave;

(b)	servicii care sprijină operațiunile sau proiectele în materie de securitate cibernetică ale entităților Uniunii, altele decât cele care vizează protejarea mediului lor TIC, în temeiul unor acorduri scrise și cu aprobarea prealabilă a IICB;

(c)	la cerere, o scanare proactivă a rețelei și a sistemelor informatice ale entității Uniunii în cauză pentru a detecta vulnerabilitățile cu un impact potențial semnificativ;

(d)

servicii care sprijină securitatea mediului TIC furnizat altor organizații decât entitățile Uniunii, care cooperează îndeaproape cu entitățile Uniunii, de exemplu, cărora li s-au atribuit sarcini sau responsabilități în temeiul dreptului Uniunii, pe baza unor acorduri scrise și cu aprobarea prealabilă a IICB.

În ceea ce privește primul alineat litera (d), CERT-EU poate, cu titlu excepțional, să încheie acorduri privind nivelul serviciilor cu alte entități decât entitățile Uniunii, cu aprobarea prealabilă a IICB.

(7) CERT-UE organizează și poate participa la exerciții de securitate cibernetică sau poate recomanda participarea la exercițiile existente, dacă este cazul în strânsă cooperare cu ENISA, pentru a testa nivelul de securitate cibernetică al entităților Uniunii.

(8) CERT-UE poate oferi entităților Uniunii asistență privind incidentele din rețele și din sistemele de informații care procesează IUEC dacă entitățile Uniunii în cauză îi solicită acest lucru în mod expres în conformitate cu procedurile lor respective. Furnizarea de asistență din partea CERT-UE în temeiul prezentului alineat nu aduce atingere normelor aplicabile privind protecția informațiilor clasificate.

(9) CERT-UE informează entitățile Uniunii cu privire la procedurile și procesele sale de gestionare a incidentelor.

(10) CERT-UE contribuie, cu un nivel ridicat de confidențialitate și fiabilitate, prin intermediul mecanismelor de cooperare și al liniilor de raportare adecvate, cu informații relevante și anonimizate cu privire la incidentele majore și la modul în care acestea au fost gestionate. Informațiile respective sunt incluse în raportul menționat la articolul 10 alineatul (14).

(11) CERT-EU, în cooperare cu AEPD, sprijină entitățile Uniunii în cauză atunci când abordează incidente care duc la încălcarea securității datelor cu caracter personal, fără a aduce atingere competenței și sarcinilor AEPD în calitate de autoritate de supraveghere în temeiul Regulamentului (UE) 2018/1725.

(12) La solicitarea explicită a departamentelor tematice ale entităților Uniunii, CERT-UE poate oferi consultanță sau sprijin tehnic cu privire la aspecte de politică relevante.

Articolul 17

Cooperarea CERT-UE cu omologii din statele membre

(1) CERT-UE, fără întârzieri nejustificate, cooperează și face schimb de informații cu omologii naționali din statele membre, in special CSIRT desemnate sau stabilite în conformitate cu articolul 10 din Directiva (UE) 2022/2555, sau, după caz, autoritățile competente și punctele unice de contact menționate la articolul 8 din directiva respectivă, cu privire la incidente, amenințări cibernetice, vulnerabilități, incidente evitate la limită, la posibile contramăsuri, precum și la cele mai bune practici și la toate aspectele relevante pentru îmbunătățirea protecției mediilor TIC ale entităților Uniunii, inclusiv prin intermediul rețelei CSIRT menționate la articolul 15 din Directiva (UE) 2022/2555. CERT-UE sprijină Comisia în cadrul EU-CyCLONe stabilit în conformitate cu articolul 16 din Directiva (UE) 2022/2555 în ceea ce privește gestionarea coordonată a incidentelor și crizelor de securitate cibernetică de mare amploare.

(2) În cazul în care CERT-UE ia cunoștință de incidente semnificative care au loc pe teritoriul unui stat membru, acesta notifică fără întârziere omologilor relevanți din statul membru respectiv în conformitate cu alineatul (1).

(3) Cu condiția ca datele cu caracter personal să fie protejate în conformitate cu dreptul aplicabil al Uniunii privind protecția datelor, CERT-UE face schimb de informații relevante, fără întârzieri nejustificate, referitoare la incident cu omologii din statele membre pentru a facilita detectarea amenințărilor sau incidentelor cibernetice similare sau pentru a contribui la analiza unui incident, fără autorizarea entității Uniunii afectate. CERT-UE face schimb de informații referitoare la incidente care dezvăluie identitatea țintei incidentului numai în unul din următoarele cazuri:

(a)	entitatea Uniunii afectată își dă consimțământul;

(b)	entitatea Uniunii nu își dă consimțământul, astfel cum se prevede la litera (a), dar publicarea identității entității Uniunii afectate ar crește probabilitatea ca incidentele din altă parte să fie evitate sau atenuate;

(c)	entitatea Uniunii afectată a făcut deja public faptul că a fost afectată.

Deciziile de a face schimb de informații specifice incidentului care dezvăluie identitatea țintei incidentului în temeiul primului paragraf litera (b) sunt aprobate de șeful CERT-UE. Înainte de a emite o astfel de decizie, CERT-UE contactează în scris entitatea Uniunii afectată, explicând în mod clar modul în care divulgarea identității sale ar contribui la evitarea sau atenuarea incidentelor în altă parte. Șeful CERT-UE furnizează explicația și solicită în mod explicit entității Uniunii să precizeze dacă își dă consimțământul într-un termen stabilit. Șeful CERT-UE informează, de asemenea, entitatea Uniunii că, având în vedere explicația oferită, își rezervă dreptul de a divulga informațiile chiar și în absența consimțământului. Entitatea Uniunii afectată este informată înainte de divulgarea informațiilor.

Articolul 18

Cooperarea CERT-UE cu alți omologi

(1) CERT-UE poate coopera cu omologi din Uniune alții decât cei menționați la articolul 17, care fac obiectul cerințelor privind securitatea cibernetică, inclusiv cu omologii din cadrul sectorului, cu privire la instrumente și metode, cum ar fi tehnici, tactici, proceduri și bune practici, precum și cu privire la amenințări cibernetice și vulnerabilități. Pentru orice tip de cooperare cu astfel de omologi, CERT-UE solicită aprobarea prealabilă a IICB, de la caz la caz. În cazul în care CERT-UE stabilește o cooperare cu astfel de omologi, informează orice omologi relevanți din statele membre menționați la articolul 17 alineatul (1), în statul membru în care este situat omologul. Dacă este aplicabil și adecvat, o astfel de cooperare și condițiile aferente, inclusiv în ceea ce privește securitatea cibernetică, protecția datelor și gestionarea informațiilor, se stabilesc în acorduri de confidențialitate specifice, cum ar fi contractele sau acordurile administrative. Acordurile de confidențialitate nu necesită aprobarea prealabilă a IICB, însă trebuie să fie informat președintele IICB. În cazul unei nevoi urgente și iminente de a face schimb de informații în materie de securitate cibernetică în interesul entităților Uniunii sau al unei alte părți, CERT-UE poate face acest lucru cu o entitate a cărei competență, capacitate și expertiză specifice sunt necesare în mod justificat pentru a sprijini o astfel de nevoie urgentă și iminentă, chiar dacă CERT-UE nu a încheiat un acord de confidențialitate cu entitatea respectivă. În astfel de cazuri, CERT-UE informează imediat președintele IICB și raportează IICB prin intermediul unor rapoarte sau reuniuni periodice.

(2) CERT-UE poate coopera cu parteneri, precum entități comerciale, inclusiv entități din cadrul sectorului, organizații internaționale, entități naționale din afara Uniunii Europene sau experți individuali, pentru a colecta informații cu privire la amenințările cibernetice generale și specifice, la incidente evitate la limită, la vulnerabilități și la posibilele contramăsuri. Pentru o cooperare extinsă cu astfel de parteneri, CERT-UE solicită aprobarea prealabilă a IICB, de la caz la caz.

(3) CERT-UE poate, cu acordul entității Uniunii afectate de un incident și cu condiția să existe un acord sau un contract de nedivulgare cu omologul sau partenerul relevant, să furnizeze informații referitoare la incidentul specific omologilor sau partenerilor menționați la alineatele (1) și (2) exclusiv în scopul de a contribui la analiza acestuia.

CAPITOLUL V

OBLIGAȚII DE COOPERARE ȘI DE RAPORTARE

Articolul 20

Acorduri privind schimbul de informații în materie de securitate cibernetică

(1) Entitățile Uniunii pot, în mod voluntar, să aducă la cunoștința CERT-UE și să-i furnizeze informații privind incidentele, amenințările cibernetice, incidentele evitate la limită și vulnerabilitățile care le afectează. CERT-UE se asigură că sunt disponibile mijloace eficiente de comunicare, cu un nivel ridicat de trasabilitate, confidențialitate și fiabilitate, în scopul de a facilita schimbul de informații cu entitățile Uniunii. Atunci când prelucrează notificările, CERT-UE poate acorda prioritate notificărilor obligatorii față de notificările voluntare. Fără a aduce atingere articolului 12, notificarea voluntară nu impune entității Uniunii care transmite informația nicio obligație suplimentară care nu i-ar fi revenit dacă nu ar fi transmis notificarea.

(2) Pentru a-și îndeplini misiunea și sarcinile încredințate în conformitate cu articolul 13, CERT-UE poate solicita entităților Uniunii să îi furnizeze informații din inventarele lor de sisteme TIC, inclusiv informații referitoare la amenințări cibernetice, incidente evitate la limită, vulnerabilități, indicatori de compromitere, alerte de securitate cibernetică și recomandări privind configurarea instrumentelor de securitate cibernetică pentru detectarea incidentelor cibernetice. Entitatea Uniunii care primește o astfel de solicitare transmite informațiile solicitate și orice modificare ulterioară a acestora, fără întârzieri nejustificate.

(3) CERT-UE poate face schimb de informații referitoare la incidente cu entitățile Uniunii care dezvăluie identitatea entității Uniunii afectate de incident, cu condiția ca entitatea respectivă a Uniunii să-și fi dat acordul. În cazul în care o entitate a Uniunii nu își dă consimțământul, aceasta furnizează CERT-UE motivele care justifică decizia respectivă.

(4) Entitățile Uniunii fac schimb, la cerere, de informații cu Parlamentul European și cu Consiliul cu privire la finalizarea planurilor de securitate cibernetică.

(5) IICB sau CERT-UE, după caz, fac schimb, la cerere, de orientări, recomandări și apeluri la acțiune cu Parlamentul European și cu Consiliul.

(6) Obligațiile de partajare prevăzute la prezentul articol nu se aplică:

(a)

IUEC;

(b)	informațiilor a căror distribuție ulterioară a fost exclusă prin intermediul unui marcaj vizibil, cu excepția cazului în care schimbul acestora cu CERT-UE a fost permis în mod explicit.

whereas

keyboard_tab Cyber Resilience Act 2023/2841 RO

Cyber Resilience Act 2023/2841 RO