keyboard_tab Cyber Resilience Act 2023/2841 SV
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 2 Art. 3 Definitioner
- 1 Art. 17 CERT-EU:s samarbete med motparter i medlemsstaterna
- 1 Art. 18 CERT-EU:s samarbete med andra motparter
- 2 Art. 20 Arrangemang för informationsutbyte om cybersäkerhet
- 1 Art. 21 Rapporteringsskyldigheter
- 2 Art. 22 Samordning av incidenthantering och samarbete
KAPITEL I
ALLMÄNNA BESTÄMMELSER
KAPITEL II
ÅTGÄRDER FÖR EN HÖG GEMENSAM CYBERSÄKERHETSNIVÅ
KAPITEL III
INTERINSTITUTIONELL CYBERSÄKERHETSSTYRELSE
KAPITEL IV
CERT-EU
KAPITEL V
SAMARBETS- OCH RAPPORTERINGSKRAV
KAPITEL VI
SLUTBESTÄMMELSER
- eller 44
- cert-eu 34
- artikel 32
- för 32
- enligt 22
- betydande 21
- entiteter 19
- eu / 18
- information 18
- till 17
- incident 16
- direktiv 16
- utan 15
- unionens 15
- inte 13
- motparter 13
- fall 13
- från 13
- cyberhot 13
- definitionen 12
- incidenter 12
- unionsentiteten 12
- får 12
- incidenten 11
- berörda 10
- samarbete 10
- dröjsmål 10
- onödigt 9
- inom 9
- avses 9
- iicb 9
- cert-eu 8
- tillbud 8
- genom 8
- sårbarheter 8
- konsekvenser 7
- när 7
- unionsentitet 7
- tillämpliga 7
- incidenthantering 7
- efter 6
- andra 6
- relevanta 6
- denna 6
- cert-eu:s 6
- begäran 6
- nätverks- 6
- utbyta 6
- enlighet 6
- sådana 5
Artikel 3
Definitioner
I denna förordning gäller följande definitioner:
| 1. | unionens entiteter: de unionsinstitutioner, unionsorgan och unionsbyråer som inrättats genom, eller enligt fördraget om Europeiska unionen, fördraget om Europeiska unionens funktionssätt (EUF-fördraget) eller fördraget om upprättandet av Europeiska atomenergigemenskapen. |
| 2. | nätverks- och informationssystem: ett nätverks- och informationssystem enligt definitionen i artikel 6.1 i direktiv (EU) 2022/2555. |
| 3. | säkerhet i nätverks- och informationssystem: säkerhet i nätverks- och informationssystem enligt definitionen i artikel 6.2 i direktiv (EU) 2022/2555. |
| 4. | cybersäkerhet: cybersäkerhet enligt definitionen i artikel 2.1 i förordning (EU) 2019/881. |
| 5. | högsta ledningsnivå: en chef, ett ledningsorgan eller ett samordnings- och tillsynsorgan med ansvar för en unionsentitets funktionssätt, på den högsta administrativa nivån, med mandat att fatta eller godkänna beslut i linje med styrningsarrangemangen på hög nivå inom den unionsentiteten, utan att det påverkar andra ledningsnivåers formella ansvar för efterlevnad och hantering av cybersäkerhetsrisker inom respektive ansvarsområde. |
| 6. | tillbud: ett tillbud enligt definitionen i artikel 6.5 i direktiv (EU) 2022/2555. |
| 7. | incident: en incident enligt definitionen i artikel 6.6 i direktiv (EU) 2022/2555. |
| 8. | större incident: en incident som orsakar störningar som är så omfattande att en unionsentitet och CERT-EU inte kan hantera dem eller som har en betydande påverkan på åtminstone två unionsentiteter. |
| 9. | storskalig cybersäkerhetsincident: en storskalig cybersäkerhetsincident enligt definitionen i artikel 6.7 i direktiv (EU) 2022/2555. |
| 10. | incidenthantering: incidenthantering enligt definitionen i artikel 6.8 i direktiv (EU) 2022/2555. |
| 11. | cyberhot: ett cyberhot enligt definitionen i artikel 2.8 i förordning (EU) 2019/881. |
| 12. | betydande cyberhot: ett betydande cyberhot enligt definitionen i artikel 6.11 i direktiv (EU) 2022/2555. |
| 13. | sårbarhet: en sårbarhet enligt definitionen i artikel 6.15 i direktiv (EU) 2022/2555. |
| 14. | cybersäkerhetsrisk: en risk enligt definitionen i artikel 6.9 i direktiv (EU) 2022/2555. |
| 15. | molntjänst: en molntjänst enligt definitionen i artikel 6.30 i direktiv (EU) 2022/2555. |
Artikel 17
CERT-EU:s samarbete med motparter i medlemsstaterna
1. CERT-EU ska, utan onödigt dröjsmål, samarbeta och utbyta information med motparter i medlemsstaterna, särskilt CSIRT-enheter som utsetts eller inrättats enligt artikel 10 i direktiv (EU) 2022/2555, eller i tillämpliga fall de behöriga myndigheter och gemensamma kontaktpunkter som utsetts eller inrättats enligt artikel 8 i det direktivet, om incidenter, cyberhot, sårbarheter, tillbud, möjliga motåtgärder såväl som bästa praxis och om alla frågor som är relevanta för att förbättra skyddet av IKT-miljön vid unionens entiteter, inbegripet genom det CSIRT-nätverk som inrättats enligt artikel 15 i direktiv (EU) 2022/2555. CERT-EU ska stödja kommissionen i den EU-CyCLONe som inrättats enligt artikel 16 i direktiv (EU) 2022/2555 om den samordnade hanteringen av storskaliga cybersäkerhetsincidenter och cybersäkerhetskriser.
2. När CERT-EU får kännedom om en betydande incident som inträffar inom en medlemsstats territorium ska den utan dröjsmål underrätta alla relevanta motparter i den medlemsstaten, i enlighet med punkt 1.
3. Förutsatt att personuppgifter skyddas i enlighet med unionens tillämpliga dataskyddslagstiftning, ska CERT-EU, utan onödigt dröjsmål, utbyta relevant incidentspecifik information med motparter i medlemsstaterna för att underlätta upptäckt av liknande cyberhot eller incidenter, eller för att bidra till analysen av en incident, utan tillstånd från den berörda unionsentiteten. CERT-EU får utbyta incidentspecifik information som avslöjar identiteten på målet för cybersäkerhetsincidenten endast i något av följande fall:
| a) | Den berörda unionsentiteten ger sitt samtycke. |
| b) | Den berörda unionsentiteten ger inte sitt samtycke i enlighet med led a, men offentliggörandet av den berörda unionsentitetens identitet skulle öka sannolikheten för att incidenter på annat håll skulle undvikas eller begränsas. |
| c) | Den berörda unionsentiteten har redan offentliggjort att den berörts. |
Beslut om utbyte av incidentspecifik information som avslöjar identiteten på målet för incidenten i enlighet med första stycket b ska godkännas av CERT-EU:s chef. Innan CERT-EU utfärdar ett sådant beslut ska CERT-EU skriftligen kontakta den berörda unionsentiteten och tydligt förklara hur avslöjandet av dess identitet skulle bidra till att undvika eller begränsa incidenter på annat håll. CERT-EU:s chef ska tillhandahålla en förklaring och uttryckligen begära att unionsentiteten anger om den samtycker inom en fastställd tidsram. CERT-EU:s chef ska också informera unionsentiteten om att han eller hon, mot bakgrund av den förklaring som lämnats, förbehåller sig rätten att offentliggöra informationen även utan samtycke. Den berörda unionsentiteten ska informeras innan informationen offentliggörs.
Artikel 18
CERT-EU:s samarbete med andra motparter
1. CERT-EU får samarbeta med andra motparter i unionen än dem som avses i artikel 17 vilka omfattas av unionens cybersäkerhetskrav, inbegripet branschspecifika motparter, om verktyg och metoder, såsom teknik, taktik, förfaranden och bästa praxis, och om cyberhot och sårbarheter. För allt samarbete med sådana motparter ska CERT-EU från fall till fall inhämta förhandsgodkännande från IICB. När CERT-EU upprättar samarbete med sådana motparter ska det informera alla de relevanta motparter i medlemsstaterna som avses i artikel 17.1, i den medlemsstat där motparten är belägen. När så är tillämpligt och lämpligt ska sådant samarbete och villkoren för detta, inbegripet när det gäller cybersäkerhet, dataskydd och informationshantering, fastställas i särskilda överenskommelser om konfidentialitet, såsom avtal eller administrativa arrangemang. Överenskommelser om konfidentialitet ska inte kräva något förhandsgodkännande från IICB, men IICB:s ordförande ska informeras. I händelse av ett brådskande och överhängande behov av att utbyta cybersäkerhetsinformation, i unionsentiteternas eller en annan parts intresse, får CERT-EU göra det med en entitet vars särskilda kompetens, kapacitet och expertis rimligen krävs för att tillgodose ett sådant brådskande och överhängande behov, även om CERT-EU inte har någon överenskommelse om konfidentialitet med den entiteten. I sådana fall ska CERT-EU omedelbart informera IICB:s ordförande och rapportera till IICB genom regelbundna rapporter eller möten.
2. CERT-EU får samarbeta med partner, såsom kommersiella entiteter, inbegripet branschspecifika entiteter, internationella organisationer, nationella entiteter eller enskilda experter utanför unionen, för att samla in information om allmänna och specifika cyberhot, tillbud, sårbarheter och möjliga motåtgärder. För ett bredare samarbete med sådana partner ska CERT-EU från fall till fall inhämta förhandsgodkännande från IICB.
3. CERT-EU får, med samtycke från den unionsentitet som berörs av en incident och förutsatt att det finns en överenskommelse eller ett avtal om konfidentalitet med den relevanta motparten eller partnern, lämna information om den specifika incidenten till de motparter eller partner som avses i punkterna 1 och 2 endast i syfte att bidra till dess analys.
KAPITEL V
SAMARBETS- OCH RAPPORTERINGSKRAV
Artikel 20
Arrangemang för informationsutbyte om cybersäkerhet
1. Unionens entiteter får på frivillig basis meddela CERT-EU om och tillhandahålla information om incidenter, cyberhot, tillbud och sårbarheter som berör dem. CERT-EU ska säkerställa att effektiva medel för kommunikation, med en hög grad av spårbarhet, konfidentialitet och tillförlitlighet, finns tillgängliga i syfte att underlätta informationsutbytet med unionens entiteter. CERT-EU får vid behandlingen av underrättelser, ge behandling av obligatoriska underrättelser företräde framför behandling av frivilliga underrättelser. Utan att det påverkar tillämpningen av artikel 12 får ett frivilligt inlämnande av underrättelser inte leda till att den rapporterande unionsentiteten åläggs ytterligare skyldigheter som den inte skulle ha blivit föremål för om den inte hade lämnat in underrättelsen.
2. För att CERT-EU ska kunna utföra de uppdrag och arbetsuppgifter som den tilldelats i enlighet med artikel 13 får CERT-EU begära att unionens entiteter lämnar information från sina respektive IKT-systeminventarier, inbegripet information om cyberhot, tillbud, sårbarheter, angreppsindikatorer, cybersäkerhetsvarningar och rekommendationer avseende konfiguration av cybersäkerhetsverktyg för att upptäcka incidenter. Den unionsentitet som mottar begäran ska utan onödigt dröjsmål översända den begärda informationen och eventuella senare uppdateringar.
3. CERT-EU får med unionens entiteter utbyta incidentspecifik information som avslöjar identiteten på den unionsentitet som berörs av incidenten, under förutsättning att den unionsentitet som berörs samtycker. Om en unionsentitet inte ger sitt samtycke ska den tillhandahålla CERT-EU de skäl som ligger till grund för detta beslut.
4. Unionens entiteter ska på begäran utbyta information med Europaparlamentet och rådet om slutförandet av cybersäkerhetsplanerna.
5. IICB eller CERT-EU, beroende på vad som är tillämpligt, ska på begäran dela riktlinjer, rekommendationer och uppmaningar till åtgärder med Europaparlamentet och rådet.
6. Delningsskyldigheterna i denna artikel ska inte omfatta
| a) | säkerhetsskyddsklassificerade EU-uppgifter, |
| b) | uppgifter vars vidare spridning har uteslutits genom en synlig markering, såvida inte delning av denna information med CERT-EU uttryckligen har tillåtits. |
Artikel 21
Rapporteringsskyldigheter
1. En incident ska anses vara betydande om
| a) | den har orsakat, eller kan orsaka, allvarliga driftstörningar i verksamheten eller ekonomiska förluster för den berörda unionsentiteten, |
| b) | den har påverkat, eller kan påverka, andra fysiska eller juridiska personer genom att åsamka betydande materiell eller immateriell skada. |
2. Unionens entiteter ska till CERT-EU lämna
| a) | en tidig varning – utan onödigt dröjsmål, och under alla omständigheter inom 24 timmar efter att ha fått kännedom om den betydande incidenten – som i tillämpliga fall ska ange att den betydande incidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller skulle kunna ha entitetsövergripande eller gränsöverskridande konsekvenser, |
| b) | en incidentanmälan – utan onödigt dröjsmål, och under alla omständigheter inom 72 timmar efter att ha fått kännedom om den betydande incidenten – som i tillämpliga fall ska uppdatera den information som avses i led a och ange en första bedömning av den betydande incidenten, dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsindikatorer, |
| c) | en delrapport – på begäran av CERT-EU – om relevanta statusuppdateringar, |
| d) | en slutrapport – senast en månad efter inlämningen av den incidentanmälan som avses i led b – som ska innehålla
|
| e) | en lägesrapport – i händelse av en pågående incident vid tidpunkten för inlämningen av den slutrapport som avses i led d – vid den tidpunkten och en slutrapport inom en månad efter deras hantering av incidenten. |
3. En unionsentitet ska, utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om en betydande incident, informera alla relevanta motparter i medlemsstaterna som avses i artikel 17.1 i den medlemsstat där den är belägen om att en betydande incident har inträffat.
4. Unionens entiteter ska bland annat lämna all information som gör det möjligt för CERT-EU att fastställa eventuella entitetsövergripande konsekvenser, konsekvenser för värdmedlemsstaten eller gränsöverskridande konsekvenser efter en betydande incident. Utan att det påverkar artikel 12 ska själva anmälan inte medföra ökat ansvar för unionsentiteten.
5. I tillämpliga fall ska unionens entiteter utan onödigt dröjsmål informera användarna av de berörda nätverks- och informationssystemen, eller andra komponenter i IKT-miljön, som potentiellt berörs av en betydande incident eller ett betydande cyberhot och, när så är lämpligt, behöver vidta riskreducerande åtgärder, om de åtgärder eller avhjälpande arrangemang som de kan vidta för att hantera denna incident eller detta hot. När så är lämpligt ska unionens entiteter informera dessa användare om det betydande cyberhotet.
6. Om en betydande incident eller ett betydande cyberhot berör ett nätverks- och informationssystem, eller en komponent inom en unionsentitets IKT-miljö som har en avsiktlig sammankoppling med en annan unionsentitets IKT-miljö, ska CERT-EU utfärda en relevant cybersäkerhetsvarning.
7. Unionens entiteter ska, på CERT-EU:s begäran och utan onödigt dröjsmål, förse CERT-EU med digital information som skapats genom användning av elektroniska enheter som är inblandade i deras respektive incident. CERT-EU kan tillhandahålla ytterligare uppgifter om vilka typer av uppgifter som behövs för situationsmedvetenhet och incidenthantering.
8. CERT-EU ska var tredje månad lämna in en sammanfattande rapport till IICB, Enisa, EU Intcen och CSIRT-nätverket med anonymiserade och aggregerade data om betydande incidenter, incidenter, cyberhot, tillbud och sårbarheter enligt artikel 20 och betydande incidenter som anmälts enligt punkt 2 i den här artikeln. Den sammanfattande rapporten ska utgöra underlag till den tvåårsrapport om cybersäkerhetssituationen i unionen som antas enligt artikel 18 i direktiv (EU) 2022/2555.
9. Senast den 8 juli 2024 ska IICB utfärda vägledningar eller rekommendationer som ytterligare specificerar formerna och formatet för samt innehållet i rapporteringen enligt den här artikeln. Vid utarbetandet av sådana riktlinjer eller rekommendationer ska IICB beakta eventuella genomförandeakter som antagits enligt artikel 23.11 i direktiv (EU) 2022/2555 och som specificerar typen av information, formatet och förfarandet för underrättelsen. CERT-EU ska sprida lämpliga tekniska detaljer för att möjliggöra proaktiv upptäckt, incidenthantering eller riskreducerande åtgärder hos unionens entiteter.
10. Rapporteringsskyldigheterna i denna artikel ska inte omfatta
| a) | säkerhetsskyddsklassificerade EU-uppgifter, |
| b) | uppgifter vars vidare spridning har uteslutits genom en synlig markering, såvida inte delning av denna information med CERT-EU uttryckligen har tillåtits. |
Artikel 22
Samordning av incidenthantering och samarbete
1. I sin funktion som nav för utbyte av cybersäkerhetsinformation och samordning av incidenthantering ska CERT-EU främja informationsutbyte om incidenter, cyberhot, sårbarheter och tillbud mellan
| a) | unionens entiteter, |
| b) | de motparter som avses i artiklarna 17 och 18. |
2. CERT-EU ska, i tillämpliga fall i nära samarbete med Enisa, främja unionsentiteters samordning av incidenthantering, genom bland annat
| a) | bidrag till konsekvent extern kommunikation, |
| b) | ömsesidigt stöd, såsom utbyte av information som är relevant för unionens entiteter eller tillhandahållande av bistånd, i förekommande fall direkt på plats, |
| c) | optimal användning av operativa resurser, |
| d) | samordning med andra krishanteringsmekanismer på unionsnivå. |
3. CERT-EU ska, i nära samarbete med Enisa, stödja unionens entiteter när det gäller situationsmedvetenhet om incidenter, cyberhot, sårbarheter och tillbud samt dela med sig av relevant utveckling på cybersäkerhetsområdet.
4. Senast den 8 januari 2025 ska IICB på grundval av ett förslag från CERT-EU, anta riktlinjer eller rekommendationer för samordning av incidenthantering och samarbete vid betydande incidenter. När en incident misstänks vara brottslig ska CERT-EU ge råd om hur incidenten ska rapporteras till de brottsbekämpande myndigheterna utan onödigt dröjsmål.
5. Efter en särskild begäran från en medlemsstat och med de berörda unionsentiteternas godkännande får CERT-EU anlita experter från den förteckning som avses i artikel 23.4 för att bidra till hanteringen av en större incident som påverkar den medlemsstaten, eller en storskalig cybersäkerhetsincident i enlighet med artikel 15.3 g i direktiv (EU) 2022/2555. Särskilda regler om tillgång till och användning av tekniska experter från unionens entiteter ska godkännas av IICB på grundval av ett förslag från CERT-EU.
whereas