keyboard_tab Cyber Resilience Act 2023/2841 SL
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 Člen 2 Področje uporabe
- 1 Člen 8 Ukrepi za obvladovanje tveganj za kibernetsko varnost
- 1 Člen 25 Pregled
- Člen 26 Začetek veljavnosti
POGLAVJE I
SPLOŠNE DOLOČBE
POGLAVJE II
UKREPI ZA VISOKO SKUPNO RAVEN KIBERNETSKE VARNOSTI
POGLAVJE III
MEDINSTITUCIONALNI ODBOR ZA KIBERNETSKO VARNOST
POGLAVJE IV
CERT-EU
POGLAVJE V
OBVEZNOSTI SODELOVANJA IN POROČANJA
POGLAVJE VI
KONČNE DOLOČBE
- varnosti 12
- unije 12
- varnost 12
- kibernetsko 9
- kibernetske 9
- vključno 7
- tveganj 6
- obvladovanje 6
- storitev 5
- uredbe 5
- informacijskih 4
- sistemov 4
- ukrepe 4
- vzpostavitev 4
- področju 4
- člena 4
- cert-eu 4
- podlagi 3
- vodenja 3
- ravni 3
- uporablja 3
- uredba 3
- varnega 3
- oceni 3
- januarja 3
- razvoj 3
- kibernetskih 3
- subjekta 3
- ranljivosti 3
- programske 3
- politike 3
- potrebi 3
- uporabe 3
- upravljanje 3
- glede 3
- evropskemu 3
- obravnavajo 3
- opreme 3
- incidentov 3
- nato 2
- zaupanja 2
- komisiji 2
- ustrezno 2
- poroča 2
- upoštevajo 2
- omrežnih 2
- kadar 2
- ukrepov 2
- ranljivostih 2
- verige 2
Člen 2
Področje uporabe
1. Ta uredba se uporablja za subjekte Unije, Medinstitucionalni odbor za kibernetsko varnost, ustanovljen na podlagi člena 10, in CERT-EU.
2. Ta uredba se uporablja brez poseganja v institucionalno avtonomijo na podlagi Pogodb.
3. Z izjemo člena 13(8) se ta uredba ne uporablja za omrežne in informacijske sisteme, s katerimi se obravnavajo tajni podatki EU (EUCI).
Člen 8
Ukrepi za obvladovanje tveganj za kibernetsko varnost
1. Brez nepotrebnega odlašanja in v vsakem primeru 8. septembra 2025 vsak subjekt Unije pod nadzorom svoje najvišje ravni vodenja sprejme ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za kibernetsko varnost, opredeljene v okviru, in da se prepreči ali čim bolj zmanjša učinek incidentov. Ob upoštevanju najsodobnejših in po potrebi ustreznih evropskih in mednarodnih standardov ti ukrepi zagotavljajo raven varnosti omrežnih in informacijskih sistemov v celotnem okolju IKT, ki je sorazmerna s tveganji za kibernetsko varnost. Pri ocenjevanju sorazmernosti teh ukrepov se ustrezno upoštevajo stopnja izpostavljenosti subjekta Unije tveganjem za kibernetsko varnost, njegova velikost ter verjetnost pojava incidentov in njihova resnost, vključno z njihovim družbenim, gospodarskim in medinstitucionalnim vplivom.
2. Subjekti Unije pri izvajanju ukrepov za obvladovanje tveganj za kibernetsko varnost obravnavajo vsaj naslednja področja:
| (a) | politiko na področju kibernetske varnosti, vključno z ukrepi, potrebnimi za uresničevanje ciljev in prednostnih nalog iz člena 6 in odstavka 3 tega člena; |
| (b) | politike o analizi tveganj za kibernetsko varnost in o varnosti informacijskih sistemov; |
| (c) | cilje politike glede uporabe storitev računalništva v oblaku; |
| (d) | po potrebi revizijo kibernetske varnosti, ki lahko vključuje oceno tveganj za kibernetsko varnost, ranljivosti in kibernetskih groženj ter penetracijsko testiranje, ki ga redno izvaja zaupanja vreden zasebni ponudnik; |
| (e) | izvajanje priporočil, pripravljenih na podlagi revizij kibernetske varnosti iz točke (d), in sicer s posodobitvijo kibernetske varnosti in politik; |
| (f) | organizacijo kibernetske varnosti, vključno z določitvijo vlog in odgovornosti; |
| (g) | upravljanje sredstev, vključno s popisom sredstev IKT in kartografijo omrežja IKT; |
| (h) | varnost človeških virov in nadzor dostopa; |
| (i) | varnost operacij; |
| (j) | varnost komunikacij; |
| (k) | pridobivanje, razvoj in vzdrževanje sistema, vključno s politikami o obravnavi in razkrivanju ranljivosti; |
| (l) | po možnosti politike o preglednosti izvorne kode; |
| (m) | varnost dobavne verige, vključno z varnostnimi vidiki odnosov med vsakim subjektom Unije in njegovimi neposrednimi dobavitelji ali ponudniki storitev; |
| (n) | obvladovanje incidentov in sodelovanje s CERT-EU, kot je vzdrževanje varnostnega spremljanja in vodenja dnevnikov; |
| (o) | upravljanje neprekinjenega poslovanja, kot je upravljanje varnostnih kopij in vnovična vzpostavitev delovanja po nepredvidljivih dogodkih, ter obvladovanje kriz ter |
| (p) | spodbujanje in razvoj izobraževanja, spretnosti, ozaveščanja, vaj in programov usposabljanja na področju kibernetske varnosti. |
Za namene prvega pododstavka, točka (m), subjekti Unije upoštevajo ranljivosti, značilne za vsakega neposrednega dobavitelja in ponudnika storitev, ter splošno kakovost proizvodov in praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi postopki varnega razvoja.
3. Subjekti Unije sprejmejo vsaj naslednje posebne ukrepe za obvladovanje tveganj za kibernetsko varnost:
| (a) | tehnične ureditve za omogočanje in ohranjanje dela na daljavo; |
| (b) | konkretne ukrepe za prehod na načela ničelnega zaupanja; |
| (c) | uporabo večfaktorske avtentifikacije kot norme v omrežnih in informacijskih sistemih; |
| (d) | uporabo kriptografije in šifriranja, zlasti šifriranja od konca do konca ter varnega digitalnega podpisovanja; |
| (e) | kadar je primerno, vzpostavitev varnega glasovnega, video- in besedilnega sporočanja ter varnih sistemov za komunikacijo v sili znotraj subjekta Unije; |
| (f) | proaktivne ukrepe za odkrivanje in odstranjevanje zlonamerne in vohunske programske opreme; |
| (g) | vzpostavitev varnosti dobavne verige programske opreme z merili za razvoj in oceno varne programske opreme; |
| (h) | vzpostavitev in sprejetje programov za usposabljanje o kibernetski varnosti, ki so sorazmerni s predpisanimi nalogami in pričakovanimi zmogljivostmi najvišje ravni vodenja ter članov osebja subjekta Unije, ki je zadolženo za zagotavljanje učinkovitega izvajanja te uredbe; |
| (i) | redno usposabljanje zaposlenih na področju kibernetske varnosti; |
| (j) | kadar je ustrezno, udeležbo pri analizah tveganja medsebojne povezljivosti med subjekti Unije; |
| (k) | krepitev pravil o javnem naročanju, da se omogoči visoka skupna raven kibernetske varnosti, in sicer:
|
Člen 25
Pregled
1. IICB ob pomoči CERT-EU do 8. januarja 2025 ter nato vsako leto poroča Komisiji o izvajanju te uredbe. IICB lahko Komisiji izda tudi priporočila, naj pregleda to uredbo.
2. Komisija do 8. januarja 2027 ter nato vsaki dve leti oceni izvajanje te uredbe ter izkušnje, pridobljene na strateški in operativni ravni, ter o njih poroča Evropskemu parlamentu in Svetu.
V poročilo iz prvega pododstavka tega odstavka se vključi pregled iz člena 16(1) o možnosti ustanovitve CERT-EU kot urada Unije.
3. Komisija do 8. januarja 2029 oceni delovanje te uredbe ter Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij predloži poročilo. Komisija oceni tudi ustreznost vključitve omrežnih in informacijskih sistemov, ki obravnavajo tajne podatke EU, na področje uporabe te uredbe, pri čemer upošteva druge zakonodajne akte Unije, ki se uporabljajo za te sisteme. Poročilu se po potrebi priloži zakonodajni predlog.
whereas