keyboard_tab Cyber Resilience Act 2023/2841 SV

1.   Utan onödigt dröjsmål och under alla omständigheter senast den 8 september 2025 ska varje unionsentitet, under överinseende av den högsta ledningsnivån, vidta lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera de cybersäkerhetsrisker som identifierats inom ramen, och för att förebygga eller minimera effekterna av incidenterna. Med beaktande av den senaste utvecklingen och, i tillämpliga fall, relevanta europeiska och internationella standarder, ska dessa åtgärder säkerställa en säkerhetsnivå för nätverks- och informationssystemen i hela IKT-miljön som står i proportion till cybersäkerhetsriskerna. Vid bedömningen av dessa åtgärders proportionalitet ska vederbörlig hänsyn tas till unionsentitetens grad av exponering för cybersäkerhetsrisker, dess storlek samt sannolikheten för att incidenter ska inträffa och deras allvarlighetsgrad, inbegripet deras samhälleliga, ekonomiska och interinstitutionella konsekvenser.

2.   Unionens entiteter ska vid genomförandet av riskhanteringsåtgärder för cybersäkerhet behandla åtminstone följande specifika områden:

a)	Cybersäkerhetspolicy, inbegripet åtgärder som behövs för att nå målen och prioriteringarna enligt artikel 6 samt punkt 3 i den här artikeln.

b)	Strategier för analys av cybersäkerhetsrisker och informationssystemens säkerhet.

c)	Policymål för användningen av molntjänster.

d)	Cybersäkerhetsrevision, när så är lämpligt, vilket kan inbegripa en bedömning av cybersäkerhetsrisker, sårbarhet och cyberhot, och penetrationstester som regelbundet utförs av en betrodd privat leverantör.

e)	Genomförande av rekommendationer från de cybersäkerhetsrevisioner som avses i led d genom cybersäkerhetsuppdateringar och policyuppdateringar.

f)	Organisation av cybersäkerhet, inbegripet fastställande av roller och ansvarsområden.

g)	Förvaltning av tillgångar, inbegripet inventering av IKT-tillgångar och IKT-nätverkskartografi.

h)	Säkerhets- och åtkomstkontroll för personal.

i)	Driftssäkerhet.

j)	Kommunikationssäkerhet.

k)	Förvärv, utveckling och underhåll av system, inbegripet strategier för hantering och redovisning av sårbarheter.

l)	Strategier, om möjligt, för insyn i källkoden.

m)	Säkerhet i leveranskedjan, inbegripet säkerhetsrelaterade aspekter som rör förbindelserna mellan unionsentiteten och dess direkta leverantörer eller tjänsteleverantörer.

n)	Incidenthantering och samarbete med CERT-EU, såsom underhåll av säkerhetsövervakning och loggning.

o)	Hantering av driftskontinuitet, exempelvis hantering av säkerhetskopiering och katastrofhantering samt krishantering.

p)	Främjande och utveckling av program för utbildning, kompetens, ökad medvetenhet, övning och fortbildning inom cybersäkerhet.

Vid tillämpningen av första stycket led m ska unionsentiteter ta hänsyn till de sårbarheter som är specifika för varje direkt leverantör och tjänsteleverantör och den övergripande kvaliteten på produkterna och deras leverantörers och tjänsteleverantörers cybersäkerhetspraxis, inbegripet deras förfaranden för säker utveckling.

3.   Unionens entiteter ska vidta åtminstone följande riskhanteringsåtgärder för cybersäkerhet:

a)	Tekniska arrangemang för att möjliggöra och upprätthålla distansarbete.

b)	Konkreta åtgärder för att närma sig nolltillitsprinciperna.

c)	Användning av flerfaktorsautentisering som standard i nätverks- och informationssystem.

d)	Användning av kryptografi och kryptering, särskilt totalsträckskryptering samt säkra digitala underskrifter.

e)	Om möjligt, säker röst-, video- och textkommunikation samt säkra nödkommunikationssystem inom unionsentiteten.

f)	Proaktiva åtgärder för att upptäcka och avlägsna sabotageprogram och spionprogram.

g)	Inrättande av säkerhet i leveranskedjan för programvara genom kriterier för utveckling och utvärdering av säker programvara.

h)	Upprättande och antagande av utbildningsprogram för cybersäkerhet som motsvarar de föreskrivna arbetsuppgifterna och den förväntade kapaciteten hos den högsta ledningen och personalen inom unionsentiteten med uppdrag att säkerställa ett effektivt genomförande av denna förordning.

i)	Regelbunden utbildning i cybersäkerhet för personalen.

j)	Om relevant, deltagande i riskanalyser av sammankopplingar mellan unionens entiteter.

k)

Förbättrade upphandlingsregler för att underlätta en hög gemensam cybersäkerhetsnivå genom i) att undanröja avtalsmässiga hinder som begränsar informationsutbytet från leverantörer av IKT-tjänster om incidenter, sårbarheter och cyberhot med CERT-EU, ii) att införa avtalsenliga skyldigheter att rapportera incidenter, sårbarheter och cyberhot samt att ha lämpliga mekanismer för hantering och övervakning av incidenter.

1.   Härigenom inrättas en interinstitutionell cybersäkerhetsstyrelse (IICB).

2.   IICB ska ansvara för att

a)	övervaka och stödja unionsentiteternas genomförande av denna förordning,

b)	övervaka CERT-EU:s genomförande av de allmänna prioriteringarna och målen och ge CERT-EU strategisk ledning.

3.   IICB ska bestå av följande:

a)

En företrädare som utses av var och en av följande: i) Europaparlamentet. ii) Europeiska rådet. iii) Europeiska unionens råd. iv) Kommissionen. v) Europeiska unionens domstol. vi) Europeiska centralbanken. vii) Revisionsrätten. viii) Europeiska utrikestjänsten. ix) Europeiska ekonomiska och sociala kommittén. x) Europeiska regionkommittén. xi) Europeiska investeringsbanken. xii) Europeiska kompetenscentrumet för cybersäkerhet inom näringsliv, teknik och forskning. xiii) Enisa. xiv) Europeiska datatillsynsmannen (EDPS). xv) Europeiska unionens rymdprogrambyrå.

b)	Tre andra företrädare än de som avses i led a, som utses av EU-byråernas nätverk (EUAN) på grundval av ett förslag från dess rådgivande IKT-kommitté, att företräda intressena för unionens organ och byråer som driver sin egen IKT-miljö.

De unionsentiteter som är företrädda i IICB ska sträva efter att uppnå en jämn könsfördelning bland de utsedda företrädarna.

4.   Ledamöterna i IICB får bistås av en suppleant. Ordföranden får bjuda in andra företrädare för de unionsentiteter som avses i punkt 3 eller för andra unionsentiteter att delta i IICB:s möten utan rösträtt.

5.   CERT-EU:s chef och ordförandena för samarbetsgruppen, CSIRT-nätverket och EU-CyCLONe, som inrättats enligt artikel 14, 15 respektive 16 i direktiv (EU) 2022/2555, eller deras suppleanter, får delta som observatörer i IICB:s möten. I undantagsfall får IICB, i enlighet med sin interna arbetsordning, fatta ett annat beslut.

6.   IICB ska själv anta sin interna arbetsordning.

7.   IICB ska utse en ordförande bland sina ledamöter, i enlighet med sin arbetsordning, för en period på tre år. Ordförandens suppleant ska bli ordinarie ledamot av IICB för samma period.

8.   IICB ska sammanträda minst tre gånger om året på ordförandens initiativ, på begäran av CERT-EU eller på begäran av någon av dess ledamöter.

9.   Varje ledamot av IICB ska ha en röst. IICB:s beslut ska fattas med enkel majoritet om inte annat föreskrivs i denna förordning. IICB:s ordförande ska inte ha rösträtt utom vid lika röstetal, då ordföranden får avge en utslagsröst.

10.   IICB får agera genom ett förenklat skriftligt förfarande som inleds i enlighet med dess interna arbetsordning. Enligt det förfarandet ska det relevanta beslutet anses vara godkänt inom den tidsram som fastställts av ordföranden, utom i de fall då en ledamot har invändningar.

11.   IICB:s sekretariat ska tillhandahållas av kommissionen och ska vara ansvarigt inför IICB:s ordförande.

12.   De företrädare som utsetts av EUAN ska vidarebefordra IICB:s beslut till EUAN:s medlemmar. Alla EUAN:s medlemmar ska ha rätt att med dessa företrädare eller IICB:s ordförande ta upp alla frågor som de anser att IICB bör uppmärksammas på.

13.   IICB får inrätta en verkställande kommitté som ska bistå den i dess arbete och får delegera vissa av sina arbetsuppgifter och befogenheter till den. IICB ska fastställa den verkställande kommitténs arbetsordning, inbegripet dess arbetsuppgifter och befogenheter och dess ledamöters mandatperioder.

14.   Senast den 8 januari 2025 och därefter årligen ska IICB lämna en rapport till Europaparlamentet och rådet med närmare uppgifter om hur genomförandet av denna förordning fortskrider och särskilt om omfattningen av CERT-EU:s samarbete med motparterna i var och en av medlemsstaterna. Rapporten ska utgöra underlag till den tvåårsrapport om cybersäkerhetssituationen i unionen som antas enligt artikel 18 i direktiv (EU) 2022/2555.

1.   Kommissionen ska, efter godkännande med två tredjedelars majoritet av IICB:s ledamöter, utnämna CERT-EU:s chef. IICB ska rådfrågas i alla skeden av utnämningsförfarandet, särskilt när det gäller att utarbeta meddelanden om den lediga tjänsten, granska ansökningar och utse uttagningskommittéer med avseende på tjänsten. Urvalsförfarandet, inbegripet slutlistan över de bästa kandidaterna från vilken CERT-EU:s chef ska utses, ska säkerställa en jämn könsfördelning, med beaktande av de ansökningar som kommer in.

2.   CERT-EU:s chef ska ansvara för att CERT-EU fungerar väl och ska agera inom det behörighetsområde som han eller hon tilldelats och under ledning av IICB. CERT-EU:s chef ska regelbundet rapportera till IICB:s ordförande och ska på dess begäran lämna in ad hoc-rapporter till IICB.

3.   CERT-EU:s chef ska stödja den behöriga delegerade utanordnaren i utarbetandet av den årliga verksamhetsrapport med finansiella och administrativa uppgifter, inbegripet resultaten av kontroller, som upprättas i enlighet med artikel 74.9 i Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 (9), och ska regelbundet rapportera till den delegerade utanordnaren om genomförandet av åtgärder för vilka befogenheter har vidaredelegerats till CERT-EU:s chef.

4.   CERT-EU:s chef ska en gång om året utarbeta en finansiell plan för administrativa inkomster och utgifter för dess verksamhet, ett förslag till årligt arbetsprogram, ett förslag till en tjänstekatalog för CERT-EU, förslag till översyner av tjänstekatalogen, förslag till arrangemang för servicenivåavtal och förslag till nyckelprestandaindikatorer för CERT-EU vilka ska godkännas av IICB i enlighet med artikel 11. Vid översynen av förteckningen över tjänster i CERT-EU:s tjänstekatalog ska CERT-EU:s chef beakta de resurser som tilldelats CERT-EU.

5.   CERT-EU:s chef ska minst en gång om året lämna rapporter till IICB och IICB:s ordförande om CERT-EU:s verksamhet och resultat under referensperioden, inbegripet om genomförandet av budgeten, servicenivåavtal och skriftliga avtal som ingåtts, samarbete med motparter och partner samt personalens tjänsteresor, inbegripet de rapporter som avses i artikel 11. Dessa rapporter ska omfatta ett arbetsprogram för kommande period, den finansiella planeringen av inkomster och utgifter, inklusive personal, planerade uppdateringar av CERT-EU:s tjänstekatalog och en bedömning av de förväntade effekterna av sådana uppdateringar i fråga om ekonomiska resurser och personalresurser.

1.   CERT-EU ska integreras i den administrativa strukturen vid ett av kommissionens generaldirektorat för att kunna dra nytta av kommissionens stödstrukturer för administration, ekonomisk förvaltning och redovisning, samtidigt som CERT-EU behåller sin status som autonom interinstitutionell tjänsteleverantör för alla unionsentiteter. Kommissionen ska informera IICB om CERT-EU:s administrativa lokalisering och eventuella ändringar därav. Kommissionen ska regelbundet, och under alla omständigheter före inrättandet av en flerårig budgetram i enlighet med artikel 312 i EUF-fördraget, se över de administrativa arrangemang som rör CERT-EU, för att göra det möjligt att vidta lämpliga åtgärder. Översynen ska inbegripa möjligheten att inrätta CERT-EU som unionsbyrå.

2.   När det gäller tillämpningen av de administrativa och finansiella förfarandena ska CERT-EU:s chef handla under kommissionens överinseende och under IICB:s tillsyn.

3.   CERT-EU:s arbetsuppgifter och verksamhet, inbegripet tjänster som tillhandahålls av CERT-EU i enlighet med artiklarna 13.3, 13.4, 13.5, 13.7 och 14.1 till unionens entiteter som finansieras genom den rubrik i den fleråriga budgetramen som är avsedd för europeisk offentlig administration, ska finansieras med hjälp av en särskild budgetpost i kommissionens budget. De tjänster som öronmärkts för CERT-EU ska anges i en fotnot till kommissionens tjänsteförteckning.

4.   Andra unionsentiteter än dem som avses i punkt 3 i denna artikel, ska lämna ett årligt ekonomiskt bidrag till CERT-EU för att täcka de tjänster som CERT-EU tillhandahåller i enlighet med denna punkt. Bidragen ska baseras på riktlinjer som ges av IICB och som varje unionsentitet och CERT-EU kommer överens om sinsemellan i servicenivåavtal. Bidragen ska utgöra en rättvis och proportionell andel av de totala kostnaderna för de tjänster som tillhandahålls. De ska tas emot under den särskilda budgetpost som avses i punkt 3 i denna artikel som interna inkomster avsatta för särskilda ändamål i enlighet med artikel 21.3 c i förordning (EU, Euratom) 2018/1046.

5.   Kostnaderna för de tjänster som anges i artikel 13.6 ska återkrävas från de unionsentiteter som tar emot CERT-EU-tjänster. Inkomsterna ska avsättas för de budgetposter som stöder kostnaderna.

1.   En incident ska anses vara betydande om

a)	den har orsakat, eller kan orsaka, allvarliga driftstörningar i verksamheten eller ekonomiska förluster för den berörda unionsentiteten,

b)	den har påverkat, eller kan påverka, andra fysiska eller juridiska personer genom att åsamka betydande materiell eller immateriell skada.

2.   Unionens entiteter ska till CERT-EU lämna

a)

en tidig varning – utan onödigt dröjsmål, och under alla omständigheter inom 24 timmar efter att ha fått kännedom om den betydande incidenten – som i tillämpliga fall ska ange att den betydande incidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller skulle kunna ha entitetsövergripande eller gränsöverskridande konsekvenser,

b)

en incidentanmälan – utan onödigt dröjsmål, och under alla omständigheter inom 72 timmar efter att ha fått kännedom om den betydande incidenten – som i tillämpliga fall ska uppdatera den information som avses i led a och ange en första bedömning av den betydande incidenten, dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsindikatorer,

c)	en delrapport – på begäran av CERT-EU – om relevanta statusuppdateringar,

d)

en slutrapport – senast en månad efter inlämningen av den incidentanmälan som avses i led b – som ska innehålla i) en detaljerad beskrivning av incidenten, dess allvarlighetsgrad och dess konsekvenser, ii) den typ av hot eller grundorsak som sannolikt utlöst incidenten, iii) tillämpade och pågående begränsande åtgärder. iv) i tillämpliga fall, incidentens gränsöverskridande eller entitetsövergripande konsekvenser.

e)	en lägesrapport – i händelse av en pågående incident vid tidpunkten för inlämningen av den slutrapport som avses i led d – vid den tidpunkten och en slutrapport inom en månad efter deras hantering av incidenten.

3.   En unionsentitet ska, utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om en betydande incident, informera alla relevanta motparter i medlemsstaterna som avses i artikel 17.1 i den medlemsstat där den är belägen om att en betydande incident har inträffat.

4.   Unionens entiteter ska bland annat lämna all information som gör det möjligt för CERT-EU att fastställa eventuella entitetsövergripande konsekvenser, konsekvenser för värdmedlemsstaten eller gränsöverskridande konsekvenser efter en betydande incident. Utan att det påverkar artikel 12 ska själva anmälan inte medföra ökat ansvar för unionsentiteten.

5.   I tillämpliga fall ska unionens entiteter utan onödigt dröjsmål informera användarna av de berörda nätverks- och informationssystemen, eller andra komponenter i IKT-miljön, som potentiellt berörs av en betydande incident eller ett betydande cyberhot och, när så är lämpligt, behöver vidta riskreducerande åtgärder, om de åtgärder eller avhjälpande arrangemang som de kan vidta för att hantera denna incident eller detta hot. När så är lämpligt ska unionens entiteter informera dessa användare om det betydande cyberhotet.

6.   Om en betydande incident eller ett betydande cyberhot berör ett nätverks- och informationssystem, eller en komponent inom en unionsentitets IKT-miljö som har en avsiktlig sammankoppling med en annan unionsentitets IKT-miljö, ska CERT-EU utfärda en relevant cybersäkerhetsvarning.

7.   Unionens entiteter ska, på CERT-EU:s begäran och utan onödigt dröjsmål, förse CERT-EU med digital information som skapats genom användning av elektroniska enheter som är inblandade i deras respektive incident. CERT-EU kan tillhandahålla ytterligare uppgifter om vilka typer av uppgifter som behövs för situationsmedvetenhet och incidenthantering.

8.   CERT-EU ska var tredje månad lämna in en sammanfattande rapport till IICB, Enisa, EU Intcen och CSIRT-nätverket med anonymiserade och aggregerade data om betydande incidenter, incidenter, cyberhot, tillbud och sårbarheter enligt artikel 20 och betydande incidenter som anmälts enligt punkt 2 i den här artikeln. Den sammanfattande rapporten ska utgöra underlag till den tvåårsrapport om cybersäkerhetssituationen i unionen som antas enligt artikel 18 i direktiv (EU) 2022/2555.

9.   Senast den 8 juli 2024 ska IICB utfärda vägledningar eller rekommendationer som ytterligare specificerar formerna och formatet för samt innehållet i rapporteringen enligt den här artikeln. Vid utarbetandet av sådana riktlinjer eller rekommendationer ska IICB beakta eventuella genomförandeakter som antagits enligt artikel 23.11 i direktiv (EU) 2022/2555 och som specificerar typen av information, formatet och förfarandet för underrättelsen. CERT-EU ska sprida lämpliga tekniska detaljer för att möjliggöra proaktiv upptäckt, incidenthantering eller riskreducerande åtgärder hos unionens entiteter.

10.   Rapporteringsskyldigheterna i denna artikel ska inte omfatta

a)	säkerhetsskyddsklassificerade EU-uppgifter,

b)	uppgifter vars vidare spridning har uteslutits genom en synlig markering, såvida inte delning av denna information med CERT-EU uttryckligen har tillåtits.

1.   IICB ska, senast den 8 januari 2025 och därefter årligen, med bistånd av CERT-EU rapportera till kommissionen om genomförandet av denna förordning. IICB får rekommendera kommissionen att se över denna förordning.

2.   Kommissionen ska, senast den 8 januari 2027 och därefter vartannat år, bedöma och rapportera om genomförandet av denna förordning och om den erfarenhet som gjorts på strategisk och operativ nivå till Europaparlamentet och rådet.

Den rapport som avses i första stycket i denna punkt ska innehålla den översyn som avses i artikel 16.1 om möjligheten att inrätta CERT-EU som unionsbyrå.

3.   Kommissionen ska, senast den 8 januari 2029, utvärdera hur denna förordning fungerar och lämna en rapport till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén och Regionkommittén. Kommissionen ska också utvärdera lämpligheten i att inkludera nätverks- och informationssystem som hanterar säkerhetsskyddsklassificerade EU-uppgifter inom ramen för denna förordning, med beaktande av andra unionsrättsakter som är tillämpliga på dessa system. Rapporten ska vid behov åtföljas av ett lagstiftningsförslag.