Член 1

Предмет

1.С настоящата директива се установяват мерки, които имат за цел постигане на високо общо ниво на киберсигурност в Съюза, с оглед подобряване на функционирането на вътрешния пазар.

2.За тази цел с настоящата директива се установяват:

а) задължения за държавите членки да приемат национални стратегии за киберсигурност и да определят или създадат компетентни органи, органи за управление на киберкризи, единни звена за контакт по въпросите на киберсигурността (единни звена за контакт) и екипи за реагиране при инциденти с компютърната сигурност (ЕРИКС);

б) мерки за управление на риска в областта на киберсигурността и задължения за докладване за субекти от вида, посочен в приложение I или II, както и за субекти, установени като критични съгласно Директива(ЕС) 2022/2557;

в) правила и задължения относно обмена на информация за киберсигурността;

г) задължения за надзор и правоприлагане за държавите членки.

Член 2

Обхват

1.Настоящата директива се прилага за публични или частни субекти от видовете, посочени в приложение I или II, които отговарят на критериите за средни предприятия съгласно член 2 от приложението към Препоръка 2003/361/ЕО или надхвърлят таваните за средни предприятия, посочени в параграф 1 от същия член, и които предоставят своите услуги или извършват дейности в рамките на Съюза.

Член 3, параграф 4 от приложението към посочената препоръка не се прилага за целите на настоящата директива.

2.Независимо от техния размер, настоящата директива се прилага също за субекти от видовете, посочени в приложение I или II, когато:

а) услугите се предоставят от:

i) доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги;

ii) доставчици на удостоверителни услуги;

iii)

регистри на имена на домейни от първо ниво и доставчици на системни услуги за имена на домейни;

б) субектът е единствен доставчик в дадена държава членка на услуга, която е от съществено значение за поддържането на критични обществени и икономически дейности;

в) смущение в предоставяната от субекта услуга би могло да окаже значително въздействие върху обществената безопасност, обществената сигурност или общественото здраве;

г) смущение в предоставяната от субекта услуга би могло да предизвика значителен системен риск, по-специално за секторите, в които такова смущение би могло да има трансгранично въздействие;

д) субектът е критичен поради своята специфична значимост на национално или регионално равнище за конкретния сектор или вид услуга или за други взаимозависими сектори в държавата членка;

е) субектът е орган на публичната администрация:

i) на централното правителство, определен от държава членка в съответствие с националното право; или

ii) на регионално равнище, определено от държава членка в съответствие с националното право, който след оценка, основана на риска, предоставя услуги, чието смущение би могло да има значително въздействие върху критични обществени или икономически дейности.

3.Независимо от размера им, настоящата директива се прилага за субекти, установени като критични субекти съгласно Директива(ЕС) 2022/2557.

4.Независимо от размера им, настоящата директива се прилага за субекти, предоставящи услуги за регистрация на имена на домейни.

5.Държавите членки могат да предвидят настоящата директива да се прилага за:

а) органи на публичната администрация на местно равнище;

б) образователни институции, по-специално когато извършват научноизследователски дейности от критично значение.

6.Настоящата директива не засяга отговорността на държавите членки да опазят националната сигурност и правомощието им да гарантират други основни функции на държавата, включително да осигуряват нейната териториална цялост и да поддържат законността и реда.

7.Настоящата директива не се прилага за органи на публичната администрация, които извършват дейности в областта на националната сигурност, обществената сигурност, отбраната или правоприлагането, включително предотвратяването, разследването, разкриването и наказателното преследване на престъпления.

8.Държавите членки могат да предвидят специфични субекти, които извършват дейности в областта на националната сигурност, обществената сигурност, отбраната или правоприлагането, включително предотвратяването, разследването, разкриването и наказателното преследване на престъпления, или които предоставят услуги изключително на органите на публичната администрация, посочени в параграф 7 от настоящия член, да не са задължени да спазват задълженията, предвидени в член 21 или член 23 по отношение на тези дейности или услуги. В такива случаи надзорните и правоприлагащите мерки, посочени в глава VII, не се прилагат по отношение на тези конкретни дейности или услуги. Когато субектите извършват дейности или предоставят услуги изключително от вида, посочен в настоящия параграф, държавите членки могат да решат също така да освободят тези субекти от задълженията, предвидени в членове 3 и 27.

9.Параграфи 7 и 8 не се прилагат, когато даден субект действа като доставчик на удостоверителни услуги.

10.Настоящата директива не се прилага за субекти, които държавите членки са освободили от обхвата на Регламент (ЕС) 2022/2554 в съответствие с член 2, параграф 4 от посочения регламент.

11.Задълженията, предвидени в настоящата директива, не водят до предоставянето на информация, разкриването на която противоречи на основните интереси на националната сигурност, обществената сигурност или отбраната на държавите членки.

12.Настоящата директива се прилага, без да се засягат Регламент (ЕС) 2016/679, Директива 2002/58/EО, директиви 2011/93/ЕС (27) и 2013/40/ЕС (28) на Европейския парламент и на Съвета и Директива (ЕС) 2022/2557.

13.Без да се засяга член 346 от ДФЕС, информация, която е поверителна съгласно правилата на Съюза или националните правила, например правилата за търговската тайна, се обменя с Комисията и други съответни органи в съответствие с настоящата директива само когато този обмен е необходим за прилагането на настоящата директива. Обменяната информация се ограничава до информацията, която има значение за целите на този обмен и която е пропорционална на тези цели. Обменът на информация се извършва при зачитане на нейната поверителност и на сигурността и търговските интереси на засегнатите субекти.

14.Субектите, компетентните органи, единните звена за контакт и ЕРИКС обработват лични данни, доколкото това е необходимо за целите на настоящата директива и в съответствие с Регламент (ЕС) 2016/679, като по-специално това обработване се основава на член 6 от нея.

Обработването на лични данни съгласно настоящата директива от доставчици на обществени електронни съобщителни мрежи или доставчици на обществено достъпни електронни съобщителни услуги се извършва в съответствие с правото на Съюза в областта на защитата на данните и правото на Съюза в областта на неприкосновеността на личния живот, и по-специално Директива 2002/58/ЕО.

Член 3

Съществени и важни субекти

1.За целите на настоящата директива следните субекти се считат за съществени субекти:

а) субекти от видовете, посочени в приложение I, които надхвърлят таваните за средни предприятия, установени в член 2, параграф 1 от приложението към Препоръка 2003/361/ЕО;

б) доставчици на квалифицирани удостоверителни услуги и регистри на имена на домейни от първо ниво, както и доставчици на DNS услуги, независимо от техния размер;

в) доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги, които отговарят на критериите за средни предприятия по смисъла на член 2 от приложението към Препоръка 2003/361/ЕО;

г) органи на публичната администрация, посочени в член 2, параграф 2, буква е), точка i);

д) всички други субекти от видовете, посочени в приложение I или II, които са установени от държава членка като съществени субекти съгласно член 2, параграф 2, букви б) — д);

е) субекти, установени като критични субекти съгласно Директива (ЕС) 2022/2557, посочени в член 2, параграф 3 от настоящата директива;

ж) ако държавата членка предвижда това, субекти, които тази държава членка е установила преди 16 януари 2023 г. като оператори на основни услуги в съответствие с Директива (ЕС) 2016/1148 или националното право;

2.За целите на настоящата директива субектите от видовете, посочени в приложение I или II, които не отговарят на критериите за съществени субекти съгласно параграф 1 от настоящия член, се считат за важни субекти. В това число се включват субекти, установени от държавите членки като важни субекти съгласно член 2, параграф 2, букви б)—д).

3.До 17 април 2025 г. държавите членки изготвят списък на съществените и важните субекти, както и субекти, предоставящи услуги за регистрация на имена на домейни. Държавите членки извършват преглед на списъка и по целесъобразност го актуализират редовно и най-малко на всеки две години.

4.За целите на съставянето на списъка, посочен в параграф 3, държавите членки изискват от субектите, посочени в същия параграф, да представят на компетентните органи най-малко следната информация:

а) наименованието на субекта;

б) адреса и актуални данни за контакт, включително адреси на електронната поща, IP обхвати и телефонни номера;

в) когато е приложимо, съответния сектор и подсектор, посочени в приложение I или II, и

г) когато е приложимо, списък на държавите членки, в които те предоставят услуги, попадащи в обхвата на настоящата директива.

Субектите, посочени в параграф 3, уведомяват без забавяне за всякакви промени в данните, представени съгласно първата алинея от настоящия параграф, и при всички случаи в рамките на две седмици от датата на промяната.

Комисията, със съдействието на Агенцията на Европейския съюз за киберсигурност (ENISA), предоставя без ненужно забавяне насоки и образци относно задълженията, предвидени в настоящия параграф.

Държавите членки могат да установят национални механизми, чрез които субектите да се регистрират сами.

5.До 17 април 2025 г. и на всеки две години след това компетентните органи уведомяват:

а) Комисията и групата за сътрудничество относно броя на всички съществени и важни субекти, изброени в параграф 3 за всеки сектор и подсектор, посочени в приложение I или II; както и

б) Комисията за съответната информация относно броя на съществените и важните субекти, установени съгласно член 2, параграф 2, букви б) — д), сектора и подсектора, посочени в приложение I или II, към които те принадлежат, вида на услугата, която предоставят, и разпоредбата, измежду посочените в член 2, параграф 2, букви б) — д), съгласно която са били установени.

6.До 17 април 2025 г. и по искане на Комисията държавите членки могат да съобщят на Комисията наименованията на съществените и важните субекти, посочени в параграф 5, буква б).

Член 4

Специфични за сектора правни актове на Съюза

1.Когато специфични за сектора правни актове на Съюза изискват съществените или важните субекти да приемат мерки за управление на риска в областта на киберсигурността или да уведомяват за значителни инциденти, и когато тези изисквания имат най-малко равностоен ефект на предвидените в настоящата директива задължения, съответните разпоредби на настоящата директива, включително разпоредбите относно надзора и правоприлагането, предвидени в глава VII, не се прилагат за такива субекти. Когато специфични за сектора законодателни актове на Съюза не обхващат всички субекти в конкретен сектор, попадащ в обхвата на настоящата директива, съответните разпоредби на настоящата директива продължават да се прилагат по отношение на субектите, които не са обхванати от тези специфични за сектора правни актове на Съюза.

2.Изискванията, посочени в параграф 1 от настоящия член, се считат за равностойни по ефект на задълженията, предвидени в настоящата директива, когато:

а) мерките за управление на риска в областта на киберсигурността са най-малкото равностойни по сила на мерките, определени в член 21, параграфи 1 и 2; или

б) в секторния правен акт на Съюза се предвижда незабавен, по целесъобразност автоматичен и пряк, достъп до уведомленията за инциденти от ЕРИКС, компетентните органи или единните звена за контакт съгласно настоящата директива и когато изискванията за уведомяване за значителни инциденти са най-малкото равностойни на предвидените в член 23, параграфи 1 — 6 от настоящата директива.

3.До 17 юли 2023 г. Комисията предоставя насоки за прилагането на параграфи 1 и 2. Комисията извършва редовен преглед на тези насоки. При изготвянето на тези насоки Комисията взема предвид всички наблюдения на групата за сътрудничество и ENISA.

Член 5

Минимална хармонизация

Настоящата директива не възпрепятства държавите членки да приемат или запазят разпоредби, гарантиращи по-висока степен на киберсигурност, при условие че тези разпоредби не противоречат на задълженията на държавите членки, предвидени в правото на Съюза.

Член 6

Определения

За целите на настоящата директива се прилагат следните определения:

1) „мрежова и информационна система“ означава:

а) електронно съобщителна мрежа съгласно определението в член 2, точка 1 от Директива (ЕС) 2018/1972;

б) всяко устройство или всяка група взаимосвързани или имащи връзка помежду си устройства, едно или няколко от които по програма извършват автоматична обработка на цифрови данни; или

в) цифрови данни, съхранявани, обработвани, извличани или пренасяни от елементи, обхванати от букви а) и б), с цел обработване, използване, защита и поддръжка;

2) „сигурност на мрежовите и информационните системи“ означава способността на мрежовите и информационните системи да издържат — при дадено равнище на увереност — на всяко събитие, което може да засегне отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на свързаните с тях услуги, предлагани от тези мрежови и информационни системи или достъпни чрез тях;

3) „киберсигурност“ означава киберсигурност съгласно определението в член 2, точка 1 от Регламент (ЕС) 2019/881;

4) „национална стратегия за киберсигурност“ означава съгласувана рамка на държава членка, съдържаща стратегически цели и приоритети в областта на киберсигурността и управленските методи за постигането им в тази държава членка;

5) „ситуация, близка до инцидент“ означава събитие, което е могло да засегне отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на услугите, предлагани или достъпни чрез мрежови и информационни системи, но чието случване е било успешно предотвратено или което не се е осъществило;

6) „инцидент“ означава събитие, което засяга отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на услугите, предлагани или достъпни чрез мрежови и информационни системи;

7) „мащабен киберинцидент“ означава инцидент, който причинява степен на смущение, надхвърляща способността на дадена държава членка да реагира на него, или който има значително въздействие върху най-малко две държави членки;

8) „действия при инцидент“ означава всякакви действия и процедури, имащи за цел предотвратяването, установяването, анализа, ограничаването или реагирането на инцидент и възстановяването от него;

9) „риск“ означава потенциалната загуба или потенциалното смущение в резултат на даден инцидент и трябва да се изразява като комбинация от мащаба на загубата или смущението и вероятността от настъпване на инцидента;

10) „киберзаплаха“ означава киберзаплаха съгласно определението в член 2, точка 8 от Регламент (ЕС) 2019/881;

11) „значителна киберзаплаха“ означава киберзаплаха, за която въз основа на техническите ѝ характеристики може да се предположи, че има потенциал да окаже сериозно въздействие върху мрежовите и информационните системи на даден субект или върху ползвателите на услугите на субекта, като причини значителни материални или нематериални вреди;

12) „ИКТ продукт“ означава ИКТ продукт съгласно определението в член 2, точка 12 от Регламент (ЕС) 2019/881;

13) „ИКТ услуга“ означава ИКТ услуга съгласно определението в член 2, точка 13 от Регламент (ЕС) 2019/881;

14) „ИКТ процес“ означава ИКТ процес съгласно определението в член 2, точка 14 от Регламент (ЕС) 2019/881;

15) „уязвимост“ означава слабост, предразположеност или недостатък на ИКТ продукти или ИКТ услуги, които могат да бъдат използвани при киберзаплаха;

16) „стандарт“ означава стандарт съгласно определението в член 2, точка 1 от Регламент (ЕС) № 1025/2012 на Европейския парламент и на Съвета (29);

17) „техническа спецификация“ означава техническа спецификация съгласно определението в член 2, точка 4 от Регламент (ЕС) № 1025/2012;

18) „точка за обмен в интернет“ означава мрежово средство, което дава възможност за свързване на повече от две независими мрежи (автономни системи), преди всичко с цел улесняване на обмена на интернет трафик, което осъществява свързване само на автономни системи и което нито изисква интернет трафикът, преминаващ между които и да е две участващи автономни системи, да преминава през трета автономна система, нито изменя или засяга този трафик по друг начин;

19) „система за имена на домейни“ или „DNS“ означава йерархична разпределена система за именуване, която позволява идентифициране на интернет услуги и ресурси, позволявайки на устройствата на крайните ползватели да използват интернет маршрутизация и услуги за свързване, за да достигнат до тези услуги и ресурси;

20) „доставчик на DNS услуги“ означава субект, предоставящ:

а) публично достъпни рекурсивни услуги за преобразуване на имена на домейни за крайни интернет ползватели; или

б) услуги за овластено преобразуване на имена на домейни за използване от трета страна, с изключение на базови сървъри за имена;

21) „регистър на имена на домейни от първо ниво“ означава субект, на който е поверен конкретен домейн от първо ниво и който е отговорен за администрирането на този домейн, включително за регистрацията на имена на домейни на нива под домейна от първо ниво и техническото функциониране на този домейн, включително функционирането на неговите сървъри за имена, поддръжката на неговите бази данни и разпределението на файловете на зоните на домейна от първо ниво в сървърите за имена, независимо дали която и да е от тези операции се извършва от субекта или е възложена на външни изпълнители, като обаче се изключват ситуациите, при които имената на домейни от първо ниво са използвани от регистър единствено за собствено ползване;

22) „субект, предоставящ услуги за регистрация на имена на домейни“ означава регистратор или агент, действащ от името на регистратори, като например доставчик или препродавач на услуги за поверителност или прокси услуги;

23) „цифрова услуга“ означава услуга съгласно определението в член 1, параграф 1, буква б) от Директива (ЕС) 2015/1535 на Европейския парламент и на Съвета (30);

24) „удостоверителна услуга“ означава удостоверителна услуга съгласно определението в член 3, точка 16 от Регламент (ЕС) № 910/2014;

25) „доставчик на удостоверителна услуга“ означава доставчик на удостоверителна услуга съгласно определението в член 3, точка 19 от Регламент (ЕС) № 910/2014;

26) „квалифицирана удостоверителна услуга“ означава квалифицирана удостоверителна услуга съгласно определението в член 3, точка 17 от Регламент (ЕС) № 910/2014;

27) „доставчик на квалифицирана удостоверителна услуга“ означава доставчик на квалифицирана удостоверителна услуга съгласно определението в член 3, точка 20 от Регламент (ЕС) № 910/2014;

28) „онлайн място за търговия“ означава онлайн място за търговия съгласно определението в член 2, буква н) от Директива 2005/29/ЕО на Европейския парламент и на Съвета (31);

29) „онлайн търсачка“ означава онлайн търсачка съгласно определението в член 2, точка 5 от Регламент (ЕС) 2019/1150 на Европейския парламент и на Съвета (32);

30) „компютърна услуга „в облак“ означава цифрова услуга, която дава възможност за администриране при поискване и широк отдалечен достъп до променлив по мащаб и еластичен набор от компютърни ресурси, които могат да бъдат ползвани съвместно, включително когато тези ресурси са разпределени на няколко места;

31) „услуга на център за данни“ означава услуга, включваща конструкции или групи конструкции, предназначени за централизирано разполагане, свързване и експлоатация на ИТ и мрежово оборудване, предоставяща услуги за съхранение, обработване и пренос на данни, заедно с всички съоръжения и инфраструктури за електроразпределение и контрол на околната среда;

32) „мрежа за доставяне на съдържание“ означава мрежа от географски разпределени сървъри, с цел да се осигури висока степен на наличност, достъпност или бързо доставяне на цифрово съдържание и услуги на интернет потребителите от страна на доставчиците на съдържание и услуги;

33) „платформа на услуги за социална мрежа“ означава платформа, позволяваща на крайните ползватели да се свързват, споделят, откриват и общуват помежду си посредством множество устройства, по-специално чрез чатове, публикации, видеоклипове и препоръки;

34) „представител“ означава установено в Съюза физическо или юридическо лице, изрично определено да действа от името на доставчик на DNS услуги, регистър на имена на домейни от първо ниво, субект, предоставящ услуги за регистрация на имена на домейни, доставчик на компютърни услуги „в облак“, доставчик на услуги на център за данни, доставчик на мрежи за предоставяне на съдържание, доставчик на управлявани услуги, доставчик на управлявани услуги за сигурност или доставчик на онлайн места за търговия, на онлайн търсачки или на платформи на услуги за социални мрежи, което не е установено в Съюза, и към което, по отношение на задълженията на даден субект съгласно настоящата директива, компетентен орган или ЕРИКС може да се обръща вместо към самия субект;

35) „орган на публичната администрация“ означава орган, който е признат като такъв в държава членка в съответствие с националното право, с изключение на съдебната власт, парламентите и централните банки, който отговаря на следните критерии:

а) създаден е с цел да задоволява нужди от общ интерес и няма промишлен или търговски характер;

б) притежава правосубектност или е оправомощен по закон да действа от името на друг субект с правосубектност;

в) e финансиран в по-голямата си част от държавата, регионални органи или други публичноправни организации, е обект на управленски надзор от страна на тези органи или организации, или има административен, управителен или надзорен орган, повечето от половината от членовете на който са назначени от държавата, регионалните органи или от други публичноправни организации;

г) има правомощието да налага на физически или юридически лица административни или регулаторни решения, засягащи техните права в трансграничното движение на хора, стоки, услуги или капитали;

36) „обществена електронна съобщителна мрежа“ означава обществена електронна съобщителна мрежа съгласно определението в член 2, точка 8 от Директива (ЕС) 2018/1972;

37) „електронна съобщителна услуга“ означава електронна съобщителна услуга съгласно определението в член 2, точка 4 от Директива (ЕС) 2018/1972;

38) „субект“ означава всяко физическо или юридическо лице, създадено и признато за такова съгласно националното право в своето място на установяване, което може, като действа от свое име, да упражнява права и да бъде обект на задължения;

39) „доставчик на управлявани услуги“ означава субект, който предоставя услуги, свързани с инсталирането, управлението, експлоатацията или поддръжката на ИКТ продукти, мрежи, инфраструктура, приложения или всякакви други мрежови и информационни системи, чрез оказване на помощ или активно администриране или в помещенията на клиентите, или от разстояние;

40) „доставчик на управлявани услуги за сигурност“ означава доставчик на управлявани услуги, който извършва или предоставя помощ за дейности, свързани с управлението на риска в областта на киберсигурността;

41) „научноизследователска организация“ означава субект, чиято основна цел е да извършва приложна научноизследователска или развойна дейност с цел използване на резултатите от тези научни изследвания за търговски цели, но който не включва образователни институции.

Член 7

Национална стратегия за киберсигурност

1.Всяка държава членка приема национална стратегия за киберсигурност, която предвижда стратегическите цели, необходимите ресурси за постигане на тези цели и подходящи мерки на политиката, както и подходящи регулаторни мерки за постигане и поддържане на високо ниво на киберсигурност. Националната стратегия за киберсигурност включва:

а) целите и приоритетите на стратегията за киберсигурност на държавата членка, като се обхващат по-специално секторите, посочени в приложения I и II;

б) рамка за управление за постигане на целите и приоритетите, посочени в буква а) от настоящия параграф, включително посочените в параграф 2 политики;

в) рамка за управление, в която се изясняват ролите и отговорностите на съответните заинтересовани страни на национално равнище и която е в основата на сътрудничеството и координацията на национално равнище между компетентните органи, единните звена за контакт и ЕРИКС съгласно настоящата директива, както и координацията и сътрудничеството между тези органи и компетентните органи съгласно специфичните за сектора правни актове на Съюза;

г) механизъм за установяване на относимите активи и оценка на рисковете в съответната държава членка;

д) набелязване на мерките, гарантиращи подготвеността, реагирането и възстановяването при инциденти, включително сътрудничеството между публичния и частния сектор;

е) списък с различните органи и заинтересовани страни, които участват в прилагането на националната стратегия за киберсигурност;

ж) рамка на политика за засилена координация между компетентните органи съгласно настоящата директива и компетентните органи съгласно Директива (ЕС) 2022/2557 за целите на обмена на информация за рискове, киберзаплахи и инциденти, както и за несвързани с киберпространството рискове, заплахи и инциденти, и упражняването на надзорни задачи, по целесъобразност;

з) план, включващ необходимите мерки за укрепване на общото равнище на осведоменост на гражданите относно киберсигурността.

2.Като част от националната стратегия за киберсигурност държавите членки по-специално приемат политики:

а) за разрешаване на въпросите с киберсигурността по веригата за доставки на ИКТ продукти и услуги, използвана от субектите за предоставянето на техните услуги;

б) относно включването и посочването на свързани с киберсигурността изисквания за ИКТ продуктите и ИКТ услугите при възлагането на обществени поръчки, включително във връзка с сертифициране в областта на киберсигурността, криптиране и използване на продукти за киберсигурност с отворен код;

в) управление на уязвимостите, включващо насърчаването и улесняването на координираното оповестяване на уязвимости съгласно член 12, параграф 1;

г) свързани с поддържането на общата наличност, цялостност и поверителност на общественото ядро на отворения интернет, включително, когато е целесъобразно, киберсигурността на подводните комуникационни кабели;

д) насърчаване на разработването и внедряването на съответните авангардни технологии, насочени към прилагане на най-съвременни мерки за управление на риска в областта на киберсигурността;

е) насърчаване и развитие на образованието и обучението в областта на киберсигурността, уменията, повишаването на осведомеността и инициативите за научноизследователска и развойна дейност в областта на киберсигурността, както и насоки за добри практики и механизми за контрол в областта на киберхигиената, насочени към гражданите, заинтересованите страни и субектите;

ж) подпомагане на академичните и научноизследователските институции за разработване, подобряване и насърчаване на внедряването на инструменти за киберсигурност и сигурна мрежова инфраструктура;

з) включване на съответни процедури и подходящи инструменти за обмен на информация, подпомагащи доброволния обмен на информация за киберсигурността между субекти в съответствие с правото на Съюза;

и) укрепване на киберустойчивостта и основните параметри за киберхигиена на малките и средните предприятия, по-специално на тези, които са изключени от обхвата на настоящата директива, чрез предоставяне на леснодостъпни насоки и помощ за техните специфични нужди;

й) насърчаване на активна киберзащита.

3.Държавите членки уведомяват Комисията за своите национални стратегии за киберсигурност в рамките на три месеца от приемането им. Държавите членки могат да изключат от тези уведомления информацията, която се отнася до тяхната национална сигурност.

4.Държавите членки извършват оценка на своите национални стратегии за киберсигурност редовно и поне на всеки пет години въз основа на ключови показатели за ефективност и при необходимост ги актуализират. ENISA подпомага държавите членки, по тяхно искане, при разработването или актуализирането на национална стратегия за киберсигурност и на ключови показатели за ефективност за оценката на тази стратегия, за да я приведе в съответствие с изискванията и задълженията, предвидени в настоящата директива.

Член 8

Компетентни органи и единни звена за контакт

1.Всяка държава членка определя или създава един или повече компетентни органи, отговарящи за киберсигурността и за надзорните задачи, посочени в глава VII („компетентни органи“).

2.Компетентните органи, посочени в параграф 1, наблюдават прилагането на настоящата директива на национално равнище.

3.Всяка държава членка определя или създава единно звено за контакт. Когато държава членка определи или създаде само един компетентен орган съгласно параграф 1, този компетентен орган изпълнява функцията и на единно звено за контакт за тази държава членка.

4.Всяко единно звено за контакт изпълнява функцията на свръзка, за да гарантира трансграничното сътрудничество на органите на своята държава членка със съответните органи на други държави членки, и, когато е целесъобразно, с Комисията и ENISA, както и за да осигури междусекторно сътрудничество с други компетентни органи в рамките на своята държава членка.

5.Държавите членки гарантират, че техните компетентни органи и единни звена за контакт разполагат с достатъчно ресурси, за да изпълняват ефективно и ефикасно възложените им задачи и по този начин да постигат целите на настоящата директива.

6.Всяка държава членка уведомява Комисията без излишно забавяне за самоличността на компетентния орган, посочен в параграф 1, и на единното звено за контакт, посочено в параграф 3, за задачите на тези органи и за евентуални последващи промени в тях. Всяка държава членка оповестява публично самоличността на компетентния си орган. Комисията прави обществено достъпен списъка на единните звена за контакт.

Член 9

Национални рамки за управление на кризи в областта на киберсигурността

1.Всяка държава членка определя или създава един или повече компетентни органи, отговарящи за управлението на мащабните киберинциденти и кризи (органи за управление на киберкризи). Държавите членки гарантират, че тези органи разполагат с адекватни ресурси за изпълнение на възложените им задачи по ефективен и ефикасен начин. Държавите членки гарантират съгласуваност със съществуващите рамки за общо управление на кризи на национално равнище.

2.Когато държава членка определи или създаде повече от един орган за управление на киберкризи съгласно параграф 1, тя ясно указва кой от тези органи ще служи като координатор за управлението на мащабни киберинциденти и кризи.

3.Всяка държава членка набелязва способности, активи и процедури, които могат да бъдат разгърнати в случай на криза за целите на настоящата директива.

4.Всяка държава членка приема национален план за реакция при мащабни киберинциденти и кризи, в който се определят целите и условията и редът за управлението на мащабни киберинциденти и кризи. По-конкретно в плана се установяват:

а) целите на националните мерки и дейности за подготвеност;

б) задачи и отговорности на органите за управление на киберкризи;

в) процедурите за управление на киберкризи, включително тяхното интегриране в общата рамка за управление на кризи на национално равнище и канали за обмен на информация;

г) националните мерки за подготвеност, включително дейности по учения и обучения;

д) съответните заинтересовани страни от публичния и частния сектор и съответната инфраструктура;

е) национални процедури и договорености между съответните национални органи и служби за осигуряване на ефективно участие и подкрепа от страна на държавата членка за координираното управление на мащабни киберинциденти и кризи на равнището на Съюза.

5.В срок от три месеца от определянето или създаването на органа за управление на киберкризи, посочен в параграф 1, всяка държава членка уведомява Комисията за самоличността на своя орган и за всички последващи промени в него. Държавите членки предоставят на Комисията и на Европейската мрежа за връзка на организациите при киберкризи (EU — CyCLONe) съответната информация, свързана с изискванията на параграф 4, относно техните национални планове за реагиране при мащабни киберинциденти и кризи в срок от три месеца от приемането на тези планове. Държавите членки може да изключат информация, когато и доколкото такова изключване е необходимо за тяхната национална сигурност.

Член 10

Екипи за реагиране при инциденти с компютърната сигурност (ЕРИКС)

1.Всяка държава членка определя или създава един или повече ЕРИКС. ЕРИКС могат да бъдат определени или създадени в рамките на компетентен орган. ЕРИКС отговарят на изискванията, посочени в член 11, параграф 1, обхващат най-малко секторите, подсекторите и видовете субекти, посочени в приложения I и II, и отговарят за предприемането на действия при инциденти в съответствие с подробно определена процедура.

2.Държавите членки гарантират, че всеки ЕРИКС разполага с достатъчни ресурси, за да изпълнява ефективно задачите си, установени в член 11, параграф 3.

3.Държавите членки гарантират, че всеки ЕРИКС разполага с подходяща, сигурна и устойчива комуникационна и информационна инфраструктура за обмен на информация със съществените и важните субекти, както и с други относими заинтересовани страни. За тази цел държавите членки гарантират, че всеки ЕРИКС допринася за внедряването на сигурни инструменти за обмен на информация.

4.ЕРИКС си сътрудничат и, когато е подходящо, обменят относима информация в съответствие с член 29 със секторни и междусекторни общности на съществените и важните субекти.

5.ЕРИКС участват в партньорски проверки, организирани в съответствие с член 19.

6.Държавите членки гарантират, че чрез мрежата на ЕРИКС техните ЕРИКС си сътрудничат ефективно, ефикасно и сигурно.

7.ЕРИКС могат да установяват отношения на сътрудничество с националните екипи за реагиране при инциденти с компютърната сигурност на трети държави. Като част от тези отношения на сътрудничество държавите членки улесняват ефективния, ефикасен и сигурен обмен на информация с тези национални екипи за реагиране при инциденти с компютърната сигурност на трети държави, като използват съответните протоколи за обмен на информация, включително протокола за обмен на информация с цветен код за поверителност (Traffic Light Protocol). ЕРИКС могат да обменят съответна информация с националните екипи за реагиране при инциденти с компютърната сигурност на трети държави, включително лични данни в съответствие с правото на Съюза в областта на защитата на данните.

8.ЕРИКС могат да си сътрудничат с националните екипи за реагиране при инциденти с компютърната сигурност на трети държави или с равностойни органи на трети държави, по-специално с цел да им се предостави помощ в областта на киберсигурността.

9.Всяка държава членка уведомява Комисията без ненужно забавяне за идентификационните данни на ЕРИКС по параграф 1 от настоящия член, а ЕРИКС, определен за координатор съгласно член 12, параграф 1, за съответните му задачи във връзка със съществените и важните субекти и за всички последващи промени в тях.

10.Държавите членки може да поискат помощ от ENISA при създаването на техните ЕРИКС.

Член 11

Изисквания към ЕРИКС, технически възможности и задачи на ЕРИКС

1.ЕРИКС отговарят на следните изисквания:

а) ЕРИКС гарантират високо ниво на достъпност на своите комуникационни канали, като не допускат съществуването на точки, повредата в които може да доведе до общ срив, и разполагат с различни средства, чрез които могат да установяват връзка и да бъдат търсени във всеки един момент. Те посочват ясно комуникационните канали и ги оповестяват на заинтересованите страни и на партньорите от сътрудничеството;

б) помещенията и поддържащите дейността на ЕРИКС информационни системи се разполагат в зони за сигурност;

в) ЕРИКС разполагат с подходяща система за управление и разпределяне на заявките, по-специално за да се улесни ефективното и ефикасно предаване на задачите от един на друг изпълнител;

г) ЕРИКС гарантират поверителността и надеждността на своите операции;

д) ЕРИКС разполагат с достатъчно персонал, за да гарантират предоставянето по всяко време на техните услуги, както и гарантират, че техният персонал е обучен подобаващо;

е) ЕРИКС разполагат с резервни системи и резервно работно пространство, за да гарантират непрекъснатост своите услуги;

ЕРИКС могат да участват в мрежи за международно сътрудничество.

2.Държавите членки гарантират, че техните ЕРИКС разполагат съвместно с техническите възможности, за да изпълняват задачите, установени в параграф 3. Държавите членки гарантират, че на техните ЕРИКС са разпределени достатъчно ресурси, за да се осигури адекватно кадрово обезпечаване с оглед на даването на възможност на ЕРИКС да развият техническите си способности.

3.ЕРИКС имат следните задачи:

а) наблюдение и анализ на киберзаплахи, уязвимости и инциденти на национално равнище, както и, при поискване, предоставяне на помощ за засегнати съществени и важни субекти във връзка с наблюдението на техните мрежови и информационни системи в реално време или почти в реално време;

б) подаване на ранни предупреждения, сигнали за тревога, съобщения и разпространяване на информация за киберзаплахи, уязвимости и инциденти до засегнатите съществени и важни субекти, както и до компетентните органи и други относими заинтересовани страни, по възможност в почти реално време;

в) реагиране на инциденти и оказване на помощ на засегнатите съществени и важни субекти, когато е приложимо;

г) събиране и анализиране на криминалистични данни и осигуряване на динамичен анализ на рисковете и инцидентите и ситуационна осведоменост за киберсигурността;

д) предоставяне, по искане на съществен или важен субект, на проактивно сканиране на мрежовите и информационните системи на съответния субект с цел откриване на уязвимости с потенциално значително въздействие;

е) участие в мрежата на ЕРИКС и предоставяне според техните способности и компетенции на взаимопомощ на останалите членове на мрежата на ЕРИКС при заявка от тяхна страна;

ж) когато е приложимо, действие като координатор за целите на координираното оповестяване на уязвимости съгласно член 12, параграф 1;

з) допринасяне за внедряването на сигурни инструменти за обмен на информация съгласно член 10, параграф 3.

ЕРИКС могат да извършват проактивно неинвазивно сканиране на публично достъпни мрежови и информационни системи на съществени и важни субекти. Такова сканиране се извършва с цел откриване на уязвими или конфигурирани по необезопасен начин мрежови и информационни системи и за информиране на засегнатите субекти. Такова сканиране не трябва да има отрицателно въздействие върху функционирането на услугите на субектите.

При изпълнението на задачите, посочени в първа алинея, ЕРИКС могат да дадат приоритет на конкретни задачи въз основа на основан на риска подход.

4.ЕРИКС изграждат отношения на сътрудничество с относими заинтересовани страни в частния сектор, с цел постигане на целите на настоящата директива.

5.За да улеснят сътрудничеството, посочено в параграф 4, ЕРИКС насърчават приемането и използването на общи или стандартизирани практики, схеми за класификация и таксономии във връзка с:

а) процедури за предприемане на действия при инциденти;

б) управление на кризи; както и

в) координирано оповестяване на уязвимости съгласно член 12, параграф 1.

Член 12

Координирано оповестяване на уязвимости и Европейска база данни за уязвимостите

1.Всяка държава членка определя един от своите екипи за реагиране при инциденти с компютърната сигурност (ЕРИКС) като координатор за целите на координираното оповестяване на уязвимости. Определеният за координатор ЕРИКС действа като доверен посредник, улесняващ при необходимост взаимодействието между физическото или юридическото лице, докладващо за уязвимост, и производителя или доставчика на ИКТ продукти или ИКТ услуги, които са потенциално уязвими, при поискване от която и да е от страните. Задачите на определения за координатор ЕРИКС включват:

а) идентифициране и установяване на контакт със засегнатите субекти;

б) подпомагане на физическите или юридическите лица, докладващи за уязвимост; и

в) договаряне на срокове за оповестяване и управление на уязвимостите, които засягат множество субекти.

Държавите членки гарантират, че физическите или юридическите лица могат да докладват анонимно на определения за координатор ЕРИКС за уязвимост, при поискване от тяхна страна в тази връзка. Определеният за координатор ЕРИКС гарантира, че се извършват надлежни последващи действия по отношение на докладваната уязвимост, и гарантира анонимността на физическото или юридическото лице, докладващо за уязвимостта. Когато докладвана уязвимост би могла да окаже значително въздействие върху субекти в повече от една държава членка, определеният за координатор ЕРИКС на всяка засегната държава членка, по целесъобразност, си сътрудничи с други определени за координатори ЕРИКС в рамките на мрежата на ЕРИКС.

2.ENISA разработва и поддържа, след консултация с групата за сътрудничество, Европейска база данни за уязвимостите. За тази цел ENISA създава и поддържа подходящите информационни системи, политики и процедури и приема необходимите технически и организационни мерки, за да гарантира сигурността и целостта на Европейската база данни за уязвимостите, по-специално за да даде възможност на субектите, независимо дали попадат в обхвата на настоящата директива, и техните доставчици на мрежови и информационни системи да оповестяват и регистрират, на доброволна основа, публично известни уязвимости, налични в ИКТ продукти или ИКТ услуги. На всички заинтересовани страни се предоставя достъп до информацията за уязвимостите, съдържаща се в Европейската база данни за уязвимостите. Тази база данни включва:

а) информация, описваща уязвимостта;

б) засегнатите ИКТ продукти или ИКТ услуги и тежестта на уязвимостта с оглед на обстоятелствата, при които тя може да бъде използвана злонамерено;

в) наличността на съответните корекции и, при липса на налични корекции, насоки, предоставени от компетентните органи или ЕРИКС, насочени към потребителите на уязвими ИКТ продукти и ИКТ услуги за това как да бъде ограничен рискът, произтичащ от оповестените уязвимости.

Член 13

Сътрудничество на национално равнище

1.Ако са отделени, компетентните органи, единното звено за контакт и ЕРИКС на една и съща държава членка си сътрудничат по отношение на изпълнението на задълженията, предвидени в настоящата директива.

2.Държавите членки гарантират, че техните ЕРИКС или, когато е приложимо, техните компетентни органи, получават уведомления за значителни инциденти съгласно член 23, и за инциденти, киберзаплахи и ситуации, близки до инциденти, съгласно член 30.

3.Държавите членки гарантират, че техните ЕРИКС или, когато е приложимо, техните компетентни органи информират техните единни звена за контакт за уведомления за инциденти, киберзаплахи и ситуации, близки до инциденти, подадени съгласно настоящата директива.

4.За да се гарантира ефективното изпълнение на задачите и задълженията на компетентните органи, единните звена за контакт и ЕРИКС, държавите членки осигуряват, доколкото е възможно, подходящо сътрудничество между тези образувания и правоприлагащите органи, органите за защита на данните, националните органи съгласно регламенти (ЕО) № 300/2008 и (ЕС) 2018/1139, надзорните органи съгласно Регламент (ЕС) № 910/2014, компетентните органи съгласно Регламент(ЕС) 2022/2554, националните регулаторни органи съгласно Директива (ЕС) 2018/1972, компетентните органи съгласно Директива (ЕС) 2022/2557, както и компетентните органи съгласно други специфични за сектора правни актове на Съюза, в рамките на тази държава членка.

5.Държавите членки гарантират, че техните компетентни органи съгласно настоящата директива и техните компетентни органи съгласно Директива (ЕС) 2022/2557 редовно си сътрудничат и обменят информация във връзка с установяване на критичните субекти по отношение на рискове, киберзаплахи и инциденти, както и за несвързани с киберпространството рискове, заплахи и инциденти, засягащи субекти, установени като критични субекти съгласно Директива (ЕС) 2022/2557, и за мерки, взети в отговор на такива рискове, опасности и инциденти. Държавите членки гарантират също, че техните компетентни органи съгласно настоящата директива и техните компетентни органи съгласно Регламент (ЕС) № 910/2014, Регламент (ЕС) 2022/2554 и Директива (ЕС) 2018/1972 редовно обменят съответната информация, включително по отношение на съответните инциденти и киберзаплахи.

6.Държавите членки опростяват чрез технически средства докладването за уведомленията, посочени в членове 23 и 30.

Член 14

Група за сътрудничество

1.С цел подкрепа и улесняване на стратегическото сътрудничество и обмена на информация между държавите членки, както и с цел укрепване на доверието, се създава група за сътрудничество.

2.Групата за сътрудничество изпълнява задачите си въз основа на двугодишните работни програми, посочени в параграф 7.

3.Групата за сътрудничество се състои от представители на държавите членки, Комисията и ENISA. Европейската служба за външна дейност участва в дейностите на групата за сътрудничество като наблюдател. Европейските надзорни органи (ЕНО) и компетентните органи съгласно Регламент (ЕС) 2022/2554 могат да участват в дейностите на групата за сътрудничество в съответствие с член 47, параграф 1 от посочения регламент.

Групата за сътрудничество може да кани Европейския парламент и представители на съответните заинтересовани страни да участват в нейната работа, когато това е целесъобразно.

Комисията осигурява административното обслужване.

4.Групата за сътрудничество изпълнява следните задачи:

а) предоставяне на насоки на компетентните органи във връзка с транспонирането и прилагането на настоящата директива;

б) предоставяне на насоки на компетентните органи във връзка с разработването и прилагането на политики за координирано оповестяване на уязвимости, както е посочено в член 7, параграф 2, буква в);

в) обмен на най-добри практики и информация във връзка с прилагането на настоящата директива, включително във връзка с киберзаплахи, инциденти, уязвимости, ситуации, близки до инциденти, инициативи за повишаване на осведомеността, обучение, учения и умения, изграждане на капацитет, стандарти и технически спецификации, както и установяването на съществени и важни субекти съгласно член 2, параграф 2, букви б) — д);

г) обмен на консултации и сътрудничество с Комисията по възникващи инициативи за политики в областта на киберсигурността и цялостната съгласуваност на специфичните за сектора изисквания в областта на киберсигурността;

д) взаимни консултации и сътрудничество с Комисията по проекти за делегирани актове или актове за изпълнение, приети съгласно настоящата директива;

е) обмен на най-добри практики и информация с относимите институции, органи, служби и агенции на Съюза;

ж) размяна на мнения относно прилагането на специфичните за сектора правни актове на Съюза, които съдържат разпоредби относно киберсигурността;

з) по целесъобразност, обсъждане на доклади от партньорски проверки съгласно посоченото в член 19, параграф 9 и изготвяне на заключения и препоръки;

и) извършване на координирани оценки на риска за сигурността на критичните вериги на доставки в съответствие с член 22, параграф 1;

й) обсъждане на случаи на взаимопомощ, включително опит и резултати от трансгранични съвместни надзорни действия, както е посочено в член 37;

к) по искане на една или повече засегнати държави членки — обсъждане на конкретните искания за взаимопомощ, както е посочено в член 37;

л) предоставяне на стратегически насоки на мрежата на ЕРИКС и EU-CyCLONe по конкретни възникващи въпроси;

м) обмен на мнения относно политиката за последващи действия след мащабни киберинциденти и кризи въз основа на извлечените поуки от мрежата на ЕРИКС и EU-CyCLONe;

н) допринасяне за способностите в областта на киберсигурността в Съюза посредством улесняване на обмена на национални длъжностни лица чрез програма за изграждане на капацитет, включваща персонал от компетентните органи или ЕРИКС;

o) организиране на редовни съвместни заседания с относимите частни заинтересованите страни от Съюза с цел обсъждане на дейностите, извършвани от групата за сътрудничество, и събиране на информация относно възникващите предизвикателства пред политиките;

п) обсъждане на работата, предприета във връзка с ученията в областта на киберсигурността, включително извършената от ENISA работа;

р) установяване на методологията и организационните аспекти на партньорските проверки, посочени в член 19, параграф 1, както и определяне на методологията за самооценка за държавите членки в съответствие с член 19, параграф 5 със съдействието на Комисията и ENISA, и в сътрудничество с Комисията и ENISA – разработване на кодекси за поведение, които да залегнат в основата на работните методи на определените експерти по киберсигурността в съответствие с член 19, параграф 6;

с) изготвяне на доклади за целите на прегледа, посочен в член 40, относно опита, натрупан на стратегическо и оперативно равнище и от партньорските проверки;

т) обсъждане и редовно извършване на оценка на актуалното състояние на киберзаплахите или инцидентите, като например софтуер за изнудване.

Групата за сътрудничество представя на Комисията, на Европейския парламент и на Съвета докладите, посочени в първа алинея, буква с).

5.Държавите членки гарантират ефективно, ефикасно и сигурно сътрудничество на своите представители в групата за сътрудничество.

6.Групата за сътрудничество може да изисква от мрежата на ЕРИКС технически доклади по избрани теми.

7.До 1 февруари 2024 г. и на всеки две години след това, групата за сътрудничество изготвя работна програма за действията, които трябва да бъдат предприети за изпълнение на нейните цели и задачи.

8.Комисията може да установи чрез актове за изпълнение процедурните правила, необходими за работата на групата за сътрудничество.

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 39, параграф 2.

Комисията обменя становища и си сътрудничи с групата за сътрудничество във връзка с проектите на актове за изпълнение, посочени в първа алинея от настоящия параграф в съответствие с параграф 4, буква д).

9.Групата за сътрудничество провежда заседания редовно и във всеки случай поне веднъж годишно с групата за устойчивост на критичните субекти, създадена съгласно Директива (ЕС) 2022/2557 за да се насърчават и улесняват стратегическото сътрудничество и обменът на информация.

Член 15

Мрежа на ЕРИКС

1.Създава се мрежа на националните ЕРИКС, с цел да се допринесе за изграждането на доверие между държавите членки и да се насърчи бързото и ефективно оперативно сътрудничество между държавите членки.

2.Мрежата на ЕРИКС се състои от представители на ЕРИКС, определени или създадени съгласно член 10, и екипа за незабавно реагиране при компютърни инциденти за институциите, органите и агенциите на Съюза (CERT-EU). Комисията участва в мрежата на ЕРИКС като наблюдател. ENISA осигурява административното обслужване и активно оказват помощ за сътрудничеството между ЕРИКС.

3.Мрежата на ЕРИКС изпълнява следните задачи:

а) обмен на информация относно способностите на ЕРИКС;

б) улесняване на споделянето, трансфера и обмена на технологии и съответните мерки, политики, инструменти, процеси, най-добри практики и рамки между ЕРИКС;

в) обмен на относима информация за инциденти, ситуации, близки до инциденти, киберзаплахи, рискове и уязвимости;

г) обмен на информация във връзка с публикации и препоръки в областта на киберсигурността;

д) осигуряване на оперативна съвместимост по отношение на спецификациите и протоколите за обмен на информация;

е) по искане на потенциално засегнат от инцидент член на мрежата на ЕРИКС — обмен и обсъждане на информация във връзка с този инцидент и свързаните киберзаплахи, рискове и уязвимости;

ж) по искане на член на мрежата на ЕРИКС — обсъждане и, при възможност, осъществяване на координирана реакция на инцидент, констатиран в рамките на юрисдикцията на тази държава членка;

з) предоставяне на държавите членки на помощ за справянето с трансгранични инциденти съгласно настоящата директива;

и) сътрудничество, обмен на най-добри практики или предоставяне на помощ на ЕРИКС, определени за координатори съгласно член 12, параграф 1 с оглед на управлението на координирано оповестяване на уязвимости, които могат да имат значително въздействие върху субекти в повече от една държава членка;

й) обсъждане и набелязване на допълнителни форми на оперативно сътрудничество, включително по отношение на:

i) категории киберзаплахи и инциденти;

ii) ранни предупреждения;

iii)

взаимопомощ;

iv) принципи и договорености за координация при реакция на трансгранични рискове и инциденти;

v) допринасяне за националния план за реакция при мащабни киберинциденти и кризи в областта на киберсигурността, посочен в член 9, параграф 4, по искане на държава членка;

к) информиране на групата за сътрудничество относно дейностите на мрежата на ЕРИКС и допълнителните форми на оперативно сътрудничество, обсъдени в съответствие с буква й), и при необходимост искане на насоки във връзка с това;

л) извършване на равносметка от ученията в областта на киберсигурността, включително организираните от ENISA;

м) по искане на отделен ЕРИКС — обсъждане на способностите и подготвеността на същия този ЕРИКС;

н) сътрудничество и обмен на информация с регионални и центрове за операции по сигурността (ЦОС) и такива на равнището на Съюза с цел подобряване на общата ситуационна осведоменост за инциденти и киберзаплахи в ЕС;

o) по целесъобразност обсъждане на доклади от партньорски проверки съгласно посоченото в член 19, параграф 9;

п) предоставяне на насоки, с цел да се улесни сближаването на оперативните практики по отношение на прилагането на разпоредбите на настоящия член във връзка с оперативното сътрудничество.

4.До 17 януари 2025 г., както и на всеки две години след това, за целите на посочения в член 40 преглед, мрежата на ЕРИКС извършва оценка на напредъка, постигнат по отношение на оперативното сътрудничество, и приема доклад. В доклада по-специално се правят заключения и препоръки въз основа на резултатите от партньорските проверки, посочени в член 19, извършени във връзка с националните ЕРИКС. Този доклад се представя на групата за сътрудничество.

5.Мрежата на ЕРИКС приема свой процедурен правилник.

6.Мрежата на ЕРИКС и EU-CyCLONe се споразумяват за процедурни правила и си сътрудничат въз основа на тях.

Член 16

Европейска мрежа за връзка на организациите при киберкризи (EU — CyCLONe)

1.Европейската мрежа за връзка на организациите при киберкризи (EU — CyCLONe) е създадена с цел подпомагане на координираното управление на мащабни киберинциденти и кризи, свързани с киберсигурността, на оперативно равнище и осигуряване на редовния обмен на съответната информация сред държавите членки и институциите, органите, службите и агенциите на Съюза, се създава Европейската мрежа за връзка на организациите при киберкризи (EU — CyCLONe).

2.EU-CyCLONe се състои от представители на органите на държавите членки за управление на киберкризи, както и от Комисията в случаите, когато потенциален или текущ мащабен киберинцидент има или е вероятно да окаже значително въздействие върху услугите и дейностите, попадащи в обхвата на настоящата директива. В други случаи Комисията участва в дейностите на EU-CyCLONe като наблюдател.

ENISA осигурява административното обслужване на EU-CyCLONe и оказва подкрепа за сигурния обмен на информация, а също и предоставя необходимите инструменти в подкрепа на сътрудничеството между държавите членки, като гарантира сигурен обмен на информация.

Когато това е целесъобразно, EU-CyCLONe може да кани представители на съответните заинтересовани страни да участват в нейната работа като наблюдатели.

3.EU-CyCLONe има следните задачи:

а) повишаване на степента на подготвеност при управлението на мащабни киберинциденти и кризи;

б) развитие на споделена ситуационна осведоменост за мащабни киберинциденти и кризи;

в) оценка на последиците и въздействието на съответните мащабни киберинциденти и кризи и предлагане на възможни мерки за смекчаването им;

г) координиране на управлението на мащабни киберинциденти и кризи и подпомагане на процеса на вземане на решения на политическо равнище във връзка с такива инциденти и кризи;

д) обсъждане, по искане на засегната държава членка, на националните планове за реакция при мащабни киберинциденти и кризи, посочени в член 9, параграф 4.

4.EU-CyCLONe приема свой процедурен правилник.

5.EU-CyCLONe докладва редовно на групата за сътрудничество относно управлението на мащабни киберинциденти и кризи, както и тенденции, като се фокусира по-специално върху тяхното въздействие върху съществените и важните субекти.

6.EU-CyCLONe си сътрудничи с мрежата на ЕРИКС въз основа на договорените процедурни правила, предвидени в член 15, параграф 6.

7.До 17 юли 2024 г. и на всеки 18 месеца след това, EU-CyCLONe представя доклад за оценка на своята работа на Европейския парламент и на Съвета.

Член 17

Международно сътрудничество

Когато това е целесъобразно, Съюзът може да сключва международни споразумения в съответствие с член 218 от ДФЕС с трети държави или международни организации, които допускат и уреждат участието им в определени дейности на групата за сътрудничество, мрежата на ЕРИКС и EU-CyCLONe. Тези споразумения са в съответствие с правото на Съюза в областта на защитата на данните.

Член 18

Доклад за състоянието на киберсигурността в Съюза

1.В сътрудничество с Комисията и групата за сътрудничество ENISA приема двугодишен доклад за състоянието на киберсигурността в Съюза и внася и представя този доклад пред Европейския парламент. Докладът, наред с другото, се предоставя в машинночетим формат и включва следното:

а) оценка на риска в областта на киберсигурността на равнището на Съюза, като се отчита картината на киберзаплахите;

б) оценка на развитието на способностите в областта на киберсигурността в публичния и частния сектор в Съюза;

в) оценка на общото равнище на осведоменост относно киберсигурността и киберхигиената сред гражданите и субектите, включително малките и средните предприятия;

г) обобщена оценка на резултата от партньорските проверки по член 19;

д) обобщена оценка на степента на зрялост на способностите и ресурсите в областта на киберсигурността в целия Съюз, включително тези на секторно равнище, както и на степента, в която националните стратегии за киберсигурност на държавите членки са приведени в съответствие.

2.В доклада се включват конкретни препоръки за политиките с оглед на справянето с недостатъците и повишаването на степента на киберсигурността в Съюза, както и резюме на констатациите за конкретния период от докладите за техническото състояние на киберсигурността на ЕС във връзка с инциденти и киберзаплахи, изготвяни от ENISA в съответствие с член 7, параграф 6 от Регламент (ЕС) 2019/881.

3.ENISA, в сътрудничество с Комисията, групата за сътрудничество и мрежата на ЕРИКС, изготвя методологията, включително съответните променливи, като качествени и количествени показатели, на обобщената оценка, посочена в параграф 1, буква д).

Член 19

Партньорски проверки

1.До 17 януари 2025 г. групата за сътрудничество съставя, със съдействието на Комисията и ENISA и, когато е приложимо, мрежата на ЕРИКС, методологията и организационните аспекти на партньорските проверки с цел извличане на поуки от споделения опит, укрепване на взаимното доверие, постигане на високо общо ниво на киберсигурност, както и подобряване на способностите и политиките на държавите членки в областта на киберсигурността, необходими за прилагането на настоящата директива. Участието в партньорски проверки е доброволно. Партньорските проверки се извършват от експерти по киберсигурност. Експертите по киберсигурността се определят от най-малко две държави членки, различни от държавата членка, която е обект на проверка.

Партньорските проверки обхващат най-малко един от следните параметри:

а) степента на прилагане на мерките за управлението на риска в областта на киберсигурността и задълженията за докладване, предвидени в членове 21 и 23;

б) равнището на способностите, включително наличните финансови, технически и човешки ресурси, както и ефективността от изпълнението на задачите на компетентните органи;

в) оперативните способности на ЕРИКС;

г) степента на прилагане на взаимопомощта по член 37;

д) степента на прилагане на договореностите за обмен на информация в областта на киберсигурността, посочени в член 29;

е) специфични въпроси от трансгранично или междусекторно естество.

2.Методологията, посочена в параграф 1, включва обективни, недискриминационни, справедливи и прозрачни критерии, въз основа на които държавите членки определят експерти в областта на киберсигурността, отговарящи на условията за провеждане на партньорските проверки. Комисията и ENISA участват като наблюдатели в партньорските проверки.

3.Държавите членки могат да определят специфични въпроси, както е посочено в параграф 1, буква е), за целите на дадена партньорска проверка.

4.Преди да започне дадена партньорска проверка, както е посочено в параграф 1, държавите членки съобщават на участващите държави обхвата, включително определените специфични въпроси съгласно параграф 3.

5.Преди започването на партньорската проверка държавата членка може да извърши самооценка на проверяваните аспекти и да предостави тази самооценка на определените експерти в областта на киберсигурността. Групата за сътрудничество, със съдействието на Комисията и ENISA, определя методологията за самооценка на държавите членки.

6.Партньорските проверки включват физически или виртуални посещения на място, както и дистанционен обмен на информация. С оглед на принципа на доброто сътрудничество държавата членка, която е обект на партньорска проверка, предоставя на определените експерти по киберсигурността информацията, необходима за оценката, без да се засяга правото на Съюза или националното право относно защитата на поверителна или класифицирана информация или защитата на основните функции на държавата, като например националната сигурност. Групата за сътрудничество, в сътрудничество с Комисията и ENISA, разработва подходящи кодекси за поведение, които са в основата на работните методи на определените експерти в областта на киберсигурността. Всяка информация, получена в процеса на партньорска проверка, се използва единствено за тази цел. Участващите в партньорската проверка експерти в областта на киберсигурността не оповестяват никаква чувствителна или поверителна информация, получена в хода на тази проверка, на които и да е трети страни.

7.След като са били обект на партньорска проверка в държава членка, същите аспекти не подлежат на последваща партньорска проверка в тази държава членка в рамките на две години след приключването на партньорската проверка, освен ако държавата членка не поиска друго или не се постигне съгласие за това след предложение на групата за сътрудничество.

8.Държавите членки гарантират, че всеки риск от конфликт на интереси, засягащ определените експерти по киберсигурността, се разкрива на останалите държави членки, групата за сътрудничество, Комисията и ENISA преди започването на партньорската проверка. Държавата членка, която е обект на партньорската проверка, може да възрази срещу определянето на конкретни експерти по киберсигурността по надлежно обосновани причини, съобщени на държавата членка, която ги е определила.

9.Участващите в партньорските проверки експерти в областта на киберсигурността изготвят доклади за констатациите и заключения от партньорската проверка. Държавите членки, които са обект на партньорска проверка, могат да представят коментари по проектите на доклади, които ги засягат, като тези коментари се прилагат към докладите. Докладите включват препоръки за подобряване на аспектите, обхванати от партньорската проверка. Докладите се представят на групата за сътрудничество и мрежата на ЕРИКС, ако това е целесъобразно. Държава членка, която е обект на партньорска проверка, може да реши да направи публично достъпен своя доклад или негова редактирана версия.

Член 20

Управление

1.Държавите членки гарантират, че управителните органи на съществените и важните субекти одобряват мерките за управление на риска в областта на киберсигурността, предприети от тези субекти с цел спазване на член 21, следят за прилагането им и могат да бъдат подведени под отговорност за нарушение на посочения член от страна на субектите.

Прилагането на настоящия параграф не засяга националното право по отношение на правилата за отговорност, прилагани към публичните институции, както и отговорността на държавните служители и на избраните или назначените длъжностни лица.

2.Държавите членки гарантират, че от членовете на управителните органи на съществените и важните субекти се изисква редовно да преминават през обучение, и насърчават съществените и важните субекти да предлагат подобно обучение на своите служители, с цел придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта.

Член 21

Мерки за управление на риска в областта на киберсигурността

1.Държавите членки гарантират, че съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи, които тези субекти използват при своите операции или при предоставяне на своите услуги, както и за предотвратяване или свеждане до минимум на въздействието на инцидентите върху получателите на услугите им и върху други услуги.

Като се вземат предвид последните постижения в тази област и, когато е приложимо, съответните европейски и международни стандарти, както и разходите за прилагането им, мерките, посочени в първа алинея, гарантират ниво на сигурност на мрежовите и информационните системи, съответстващо на породените рискове. При оценката на пропорционалността на тези мерки надлежно се вземат предвид степента на излагане на рискове на субекта, размерът на субекта и вероятността от възникване на инциденти, както и тяхната сериозност, включително тяхното обществено и икономическо въздействие.

2.Мерките, посочени в параграф 1, се основават на подход, обхващащ всички опасности, който има за цел да защити мрежовите и информационните системи и физическата среда на тези системи от инциденти, и включват поне следното:

а) политики за анализ на риска и сигурност на информационните системи;

б) действия при инцидент;

в) непрекъснатост на стопанската дейност, например управление на съхраняването на резервни копия на данните и възстановяване след бедствия, и управление на кризи;

г) сигурност на веригата за доставка, включително свързани със сигурността аспекти относно взаимовръзките между всеки субект и неговите преки снабдители или доставчици на услуги;

д) сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка, включително предприемане на действия при уязвимости и оповестяването им;

е) политики и процедури за оценяване на ефективността на мерките за управление на риска в областта на киберсигурността;

ж) основни киберхигиенни практики и обучение в областта на киберсигурността;

з) политики и процедури относно използването на криптография и, когато е целесъобразно, криптиране;

и) сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи;

й) използването на многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване на автентичността, защитени гласови, видео и текстови съобщения и защитени системи за спешна комуникация в рамките на субекта, когато е целесъобразно.

3.Държавите членки гарантират, че когато разглеждат въпроса кои мерки по параграф 2, буква г) от настоящия член са подходящи, от субектите се изисква да вземат предвид уязвимостите, специфични за всеки пряк снабдител или доставчик на услуги, както и цялостното качество на продуктите и практиките в областта на киберсигурността на своите снабдители и доставчици на услуги, включително техните процедури за сигурно разработване. Държавите членки гарантират също така, че когато се разглежда въпросът кои мерки от посочените в същата буква са подходящи, от субектите се изисква да вземат предвид резултатите от координираните оценки на риска за сигурността на критичните вериги на доставка, извършени в съответствие с член 22, параграф 1.

4.Държавите членки гарантират, че когато един субект установи, че не спазва мерките, предвидени в параграф 2, той предприема без излишно забавяне всички необходими, подходящи и пропорционални коригиращи мерки.

5.До 17 октомври 2024 г. Комисията приема актове за изпълнение за определяне на техническите и методологичните изисквания за мерките, посочени в параграф 2, по отношение на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставка на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги.

Комисията може да приема актове за изпълнение за определяне на техническите и методологичните изисквания, както и на секторни изисквания, ако е необходимо, по отношение на мерките по параграф 2, по отношение на съществените и важните субекти, различни от посочените в първа алинея от настоящия параграф.

При изготвянето на актовете за изпълнение, посочени в първа и втора алинея от настоящия параграф, Комисията доколкото е възможно следва европейските и международните стандарти, както и съответните технически спецификации. Комисията обменя становища и си сътрудничи с групата за сътрудничество и ENISA по проектите на актове за изпълнение в съответствие с член 14, параграф 4, буква д).

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 39, параграф 2.

Член 22

Координирана на равнището на Съюза оценка на риска за сигурността на критични вериги за доставка

1.Групата за сътрудничество, в сътрудничество с Комисията и ENISA, може да извършва координирани оценки на риска за сигурността на конкретни критични вериги за доставка на ИКТ услуги, ИКТ системи или ИКТ продуктови вериги за доставка, при които се вземат предвид техническите и, когато е уместно, нетехническите рискови фактори.

2.След консултиране с групата за сътрудничество и ENISA, и когато е целесъобразно, със съответните заинтересовани страни, Комисията установява конкретните критични ИКТ услуги, ИКТ системи или ИКТ продукти, които може да бъдат предмет на координирана оценка на риска за сигурността по параграф 1.

Член 23

Задължения за докладване

1.Всяка държава членка гарантира, че съществените и важните субекти уведомяват без ненужно забавяне нейния ЕРИКС, или, ако е приложимо, нейния компетентен орган в съответствие с параграф 4 за всеки инцидент, който има значително въздействие върху предоставянето на техните услуги, съгласно посоченото в параграф 3 (значителен инцидент). Когато е подходящо, засегнатите субекти уведомяват без ненужно забавяне получателите на техните услуги за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на тези услуги. Всяка държава членка гарантира, че тези субекти докладват, наред с другото, всяка информация, позволяваща на ЕРИКС или, когато е приложимо, на компетентния орган да определи всякакво трансгранично въздействие на инцидентите. Актът на уведомяване сам по себе си не води до повишена отговорност за уведомяващия субект.

Когато засегнатите субекти уведомят компетентния орган за значителен инцидент съгласно първа алинея, държавата членка гарантира, че този компетентен орган препраща уведомлението на ЕРИКС след получаването му.

В случай на трансграничен или междусекторен значителен инцидент държавите членки гарантират, че техните единни звена за контакт получават своевременно съответната информация, нотифицирана в съответствие с параграф 4.

2.Когато е приложимо, държавите членки гарантират, че съществените и важните субекти съобщават без излишно забавяне на получателите на техните услуги, които са потенциално засегнати от значителна киберзаплаха, всички мерки или средства за защита, които тези получатели могат да предприемат като реакция на тази заплаха. Когато е целесъобразно, субектите уведомяват тези получатели и за самата значителна киберзаплаха.

3.Даден инцидент се счита за значителен, ако:

а) е причинил или е в състояние да причини сериозно оперативно смущение в услугите или финансова загуба за засегнатия субект;

б) е засегнал или е в състояние да засегне други физически или юридически лица, причинявайки значителни материални или нематериални вреди.

4.Държавите членки гарантират, че за целите на уведомяването по параграф 1 засегнатите субекти подават до ЕРИКС или, когато е приложимо, до компетентния орган:

а) без ненужно забавяне и при всички случаи в рамките на 24 часа след узнаването за значителен инцидент — ранно предупреждение, в което, когато е приложимо, се посочва дали се предполага, че значителният инцидент се дължи на незаконосъобразни или злонамерени действия и дали би могъл да има трансгранично въздействие;

б) без ненужно забавяне и при всички случаи в рамките на 72 часа след узнаването за значителния инцидент — уведомление за инцидент, в което, когато е приложимо, се актуализира информацията, посочена в буква а), и се посочва първоначална оценка на значителния инцидент, включително неговата тежест и въздействие, както и, когато има такива, показателите за нарушена сигурност;

в) по искане на ЕРИКС или, когато е приложимо, на компетентния орган — междинен доклад за съответните новости на състоянието;

г) окончателен доклад не по-късно от един месец след подаването на уведомлението за инцидента по буква б), включващ следното:

i) подробно описание на инцидента, включително неговата тежест и въздействие;

ii) вида на заплахата или причината, която вероятно е породила инцидента;

iii)

приложените и текущите мерки за ограничаване;

iv) когато е приложимо, трансграничното въздействие на инцидента;

д) в случай на текущ инцидент към момента на представяне на окончателния доклад, посочен в буква г), държавите членки гарантират, че засегнатите субекти представят доклад за напредъка по това време и окончателен доклад в срок от един месец от справянето с инцидента.

Чрез дерогация от първа алинея, буква б) доставчикът на удостоверителни услуги уведомява ЕРИКС или, когато е приложимо, компетентния орган за значителните инциденти, които оказват въздействие върху предоставянето на неговите удостоверителни услуги, без излишно забавяне и при всички случаи в рамките на 24 часа, след като е узнал за значителния инцидент.

5.ЕРИКС или компетентният орган предоставят, без излишно забавяне и когато е възможно в рамките на 24 часа след получаването на ранното предупреждение по параграф 4, буква a), отговор на уведомяващия субект, включително първоначална обратна информация за значителния инцидент и, при искане от субекта, насоки или оперативни съвети за прилагането на възможни мерки за ограничение. Когато ЕРИКС не е първоначалният получател на уведомлението, посочено в параграф 1, насоките се предоставят от компетентния орган в сътрудничество с ЕРИКС. ЕРИКС предоставя допълнителна техническа подкрепа, ако засегнатия субект изиска това. Когато има подозрения, че значителният инцидент е с престъпно естество, ЕРИКС или компетентният орган предоставят насоки относно докладването на значителния инцидент на правоприлагащите органи.

6.Когато е целесъобразно и особено когато значителният инцидент засяга две или повече държави членки, ЕРИКС, компетентният орган или единното звено за контакт информира без излишно забавяне другите засегнати държави членки и ENISA за значителния инцидент. Тази информация включва вида информация, получена в съответствие с параграф 4. При това ЕРИКС, компетентният орган или единното звено за контакт запазват сигурността и търговските интереси на субекта, както и поверителността на предоставената информация в съответствие с правото на Съюза или с националното законодателство.

7.При необходимост от обществено уведомяване с цел предотвратяване на значителен инцидент или справяне с текущ значителен инцидент или когато оповестяването на значителния инцидент е в обществен интерес по друга причина, ЕРИКС на държавата членка, или когато е приложимо нейният компетентен орган, и когато е уместно, ЕРИКС или компетентните органи на други засегнати държави членки могат, след като се консултират със засегнатия субект, да уведомят обществеността за значителния инцидент или да изискат от него на направи това.

8.По искане на ЕРИКС или на компетентния орган единното звено за контакт предава уведомленията, получени съгласно параграф 1, на единните звена за контакт на други засегнати държави членки.

9.На всеки три месеца единното звено за контакт представя на ENISA обобщителен доклад, включващ анонимизирани и обобщени данни за значителните инциденти, инцидентите, киберзаплахите и ситуациите, близки до инциденти, за които е изпратено уведомление в съответствие с параграф 1 от настоящия член и с член 30. За да допринесе за предоставянето на сравнима информация, ENISA може да приема технически насоки за параметрите на включената в обобщителния доклад информация. ENISA информира групата за сътрудничество и мрежата на ЕРИКС за своите констатации относно получените уведомления на всеки шест месеца.

10.ЕРИКС или, когато е приложимо, компетентните органи предоставят на компетентните органи съгласно Директива (ЕС) 2022/2557 информация относно значителните инциденти, инцидентите, киберзаплахите и ситуациите, близки до инциденти, за които е подадено уведомление в съответствие с параграф 1 от настоящия член и с член 30 от субектите, установени като критични субекти съгласно Директива (ЕС) 2022/2557.

11.Комисията може да приема актове за изпълнение, в които допълнително се уточняват видът на информацията, форматът и процедурата на изпратено по параграф 1 от настоящия член и по член 30 уведомление, и на съобщение, изпратено по параграф 2 от настоящия член.

До 17 октомври 2024 г. Комисията приема – по отношение на доставчици на DNS услуги, регистрите на имена на домейни от първо ниво, доставчици на компютърни услуги „в облак“, доставчици на услуги на центрове за данни, доставчици на мрежи за доставка на съдържание, доставчици на управлявани услуги, доставчици на управлявани услуги за сигурност, както и доставчици на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи – актове за изпълнение, в които допълнително се уточняват случаите, в които даден инцидент се счита за значителен, както е посочено в параграф 3. Комисията може да приема такива актове за изпълнение по отношение на други съществени и важни субекти.

Комисията обменя становища и си сътрудничи с групата за сътрудничество във връзка с проектите на актове за изпълнение, посочени в първа и втора алинея от настоящия параграф в съответствие с член 14, параграф 4, буква д).

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 39, параграф 2.

Член 24

Използване на европейски схеми за сертифициране на киберсигурността

1.За да се докаже съответствие с конкретни изисквания по член 21, държавите членки могат да изискат от съществените и важните субекти да използват конкретни ИКТ продукти, ИКТ услуги и ИКТ процедури, които са разработени от съществените или важните субекти или са придобити от трети страни, сертифицирани в рамките на европейските схеми за киберсигурност, приети съгласно член 49 от Регламент (ЕС) 2019/881. Освен това държавите членки насърчават съществените и важните субекти да използват квалифицирани удостоверителни услуги.

2.В съответствие с член 38 Комисията е оправомощена да приема делегирани актове за допълване на настоящата директива, като определя за кои категории съществени и важни субекти се изисква да ползват определени сертифицирани ИКТ продукти, ИКТ услуги и ИКТ процеси или да получат сертификат съгласно конкретна европейска схема за сертифициране на киберсигурността, приета в съответствие с член 49 от Регламент (ЕС) 2019/881. Тези делегирани актове се приемат, когато са установени недостатъчни нива на киберсигурност, и те предвиждат срок за изпълнение.

Преди да приеме такива делегирани актове, Комисията извършва оценка на въздействието и провежда консултации в съответствие с член 56 от Регламент (ЕС) 2019/881.

3.В случаите, при които не е налична подходяща европейска схема за сертифициране на киберсигурността за целите на параграф 2 от настоящия член, след консултация с групата за сътрудничество и Европейската група за сертифициране на киберсигурността Комисията може да изиска от ENISA да изготви схема за сертифициране съгласно член 48, параграф 2 от Регламент (ЕС) 2019/881.

Член 25

Стандартизация

1.С цел насърчаване на еднообразното прилагане на член 21, параграфи 1 и 2 държавите членки, без да налагат употребата на определен тип технология или да упражняват дискриминация в нейна полза, насърчават използването на европейски и международни стандарти и технически спецификации от значение за сигурността на мрежовите и информационните системи.

2.В сътрудничество с държавите членки и след като се консултира със съответните заинтересовани страни, когато това е целесъобразно, ENISA изготвя препоръки и насоки по отношение на техническите области, които да се вземат под внимание във връзка с параграф 1, както и по отношение на вече съществуващите стандарти, включително националните стандарти, което да позволи обхващането на тези области.

Член 26

Юрисдикция и териториалност

1.Субектите, попадащи в обхвата на настоящата директива, се считат за попадащи под юрисдикцията на държавата членка, в която са установени, освен в случай на:

а) доставчици на обществени електронни съобщителни мрежи или доставчици на обществено достъпни електронни съобщителни услуги, за които се счита, че попадат под юрисдикцията на държавата членка, в която предоставят своите услуги;

б) доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, субектите, предоставящи услуги за регистриране на имена на домейни, доставчиците на компютърни услуги в облак, доставчиците на услуги на центрове за данни, доставчиците на мрежи за предоставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, както и доставчиците на онлайн места за търговия, на онлайн търсачки или на платформи на услуги за социални мрежи, за които се счита, че попадат под юрисдикцията на държавата членка, в която се намира основното им място на установяване в Съюза съгласно параграф 2;

в) органи на публичната администрация, за които се счита, че попадат под юрисдикцията на държавата членка, която ги е създала.

2.За целите на настоящата директива се счита, че основното място на установяване в Съюза на субектите, посочени в параграф 1, буква б), е в държавата членка, в която преимуществено се вземат решенията относно мерките за управление на риска в областта на киберсигурността. Ако такава държава членка не може да бъде определена или ако такива решения не се вземат в Съюза, се счита, че основното място на установяване се намира в държавата членка, в която се извършват операциите в областта на киберсигурността. Ако такава държава членка не може да бъде определена, за основно място на установяване се счита държавата членка, в която съответният субект има място на установяване с най-големия брой служители в Съюза.

3.Ако субект по параграф 1, буква б) не е установен в Съюза, но предлага услуги в него, той посочва представител в Съюза. Представителят трябва да е установен в една от държавите членки, в които се предлагат услугите. Счита се, че този субект е под юрисдикцията на държавата членка, в която е установен представителят. При липсата на представител в Съюза, определен съгласно настоящия член, всяка държава членка, в която субектът предоставя услуги, може да предприеме правни действия срещу него за нарушение на настоящата директива.

4.Определянето на представител от страна на субект по параграф 1, буква б) не засяга правните действия, които биха могли да се предприемат срещу самия субект.

5.Държавите членки, които са получили искане за взаимопомощ по отношение на субект, посочен в параграф 1, буква б), могат, в рамките на искането, да предприемат подходящи надзорни и правоприлагащи мерки по отношение на съответния субект, който предоставя услуги или който притежава мрежова и информационна система на тяхна територия.

Член 27

Регистър на субектите

1.ENISA създава и поддържа регистър на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, субектите, предоставящи услуги за регистриране на имена на домейни, доставчиците на компютърни услуги в облак, доставчиците на услуги на центрове за данни, доставчиците на мрежи за предоставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, както и доставчиците на онлайн места за търговия, на онлайн търсачки и на платформи на услуги за социални мрежи, въз основа на информацията, получена от единните звена за контакт в съответствие с параграф 4. При поискване ENISA дава възможност за достъп на компетентните органи до регистъра, като същевременно осигурява защитата на поверителността на информацията, когато е приложимо.

2.До 17 януари 2025 г. държавите членки изискват от субектите, посочени в параграф 1, да представят на компетентните органи следната информация:

а) наименованието на субекта;

б) съответния сектор, подсектор и вид субект, както е посочено в приложение I или II, когато е приложимо;

в) адреса на основното място на установяване и на останалите законови места на установяване на субекта в Съюза или, при липсата на място на установяване в Съюза, на неговия представител, определен съгласно член 26, параграф 3;

г) актуални данни за контакт, включително адреси на електронна поща и телефонни номера на субекта и, когато е приложимо, на неговия представител, определен съгласно член 26, параграф 3;

д) държавите членки, в които субектът предоставя услуги; както и

е) IP обхватите на субекта.

3.Държавите членки гарантират, че субектите по параграф 1 уведомяват компетентния орган без забавяне за всякакви промени в изпратената от тях информация съгласно параграф 2, и при всички положения в рамките на три месеца от датата на промяната.

4.След получаването на информацията, посочена в параграфи 2 и 3, с изключение на информацията, посочена в параграф 2, буква е), единното звено за контакт на съответната държава членка препраща тази информация на ENISA без ненужно забавяне след получаването и.

5.Когато е приложимо, информацията, посочена в параграфи 2 и 3 от настоящия член, се представя чрез националния механизъм, посочен в член 3, параграф 4, алинея четвърта.

Член 28

База данни с регистрационни данни на имена на домейни

1.С цел допринасяне за сигурността, стабилността и устойчивостта на системата за имена на домейни държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на такива имена на домейни, надлежно да събират и поддържат точни и пълни данни за регистрацията на имената на домейни в специално предназначена база данни в съответствие с правото на Съюза в областта на защитата на данните по отношение на личните данни.

2.За целите на параграф 1 държавите членки изискват базата данни за съхранение на данните за регистрация на имена на домейни да съдържа необходимата информация за установяване и осъществяване на връзка с притежателите на имена на домейни и точките за контакт, администриращи имената на домейните в домейни от първо ниво. Тази информация включва:

а) името на домейна;

б) датата на регистрация;

в) името, адреса на електронната поща и телефонния номер за контакт на регистранта;

г) адреса на електронната поща и телефонния номер за контакт на звеното за контакт, администриращо името на домейна, в случай че те са различни от тези на регистранта.

3.Държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да имат установени политики и процедури, включително процедури за проверка, за да осигурят, че базите данни по параграф 1 включват точна и пълна информация. Държавите членки изискват тези политики и процедури да бъдат публично достъпни.

4.Държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да правят публично достояние, без излишно забавяне след регистрацията на име на домейн, данните за нея, които не са лични.

5.Държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да предоставят достъп до конкретни данни за регистрация на имена на домейни при законосъобразни и надлежно обосновани искания от законно търсещите достъп, в съответствие с правото на Съюза в областта на защитата на данните. Държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да отговарят без излишно забавяне и при всички случаи в срок от 72 часа след получаването на всякакви искания за достъп. Държавите членки изискват политиките и процедурите относно оповестяването на такива данни да бъдат публично достъпни.

6.Спазването на задълженията, предвидени в параграфи 1 — 5, не води до дублиране на събирането на данни за регистрация на имена на домейни. За тази цел държавите членки изискват регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да си сътрудничат помежду си.

Член 29

Споразумения за обмен на информация в областта на киберсигурността

1.Държавите членки гарантират, че субектите, попадащи в обхвата на настоящата директива, и когато е относимо, други субекти, които не попадат в обхвата на настоящата директива, могат да обменят на доброволна основа помежду си относима информация за киберсигурността, включително такава относно киберзаплахи, ситуации, близки до инциденти, уязвимости, техники и процедури, признаци за нарушена сигурност, злонамерени тактики, специфична за източника на заплахата информация, предупреждения във връзка с киберсигурността и препоръки за конфигуриране на инструменти за киберсигурност за откриване на кибератаки, когато този обмен на информация:

а) има за цел предотвратяване, откриване, реагиране или възстановяване от инциденти или смекчаване на тяхното въздействие;

б) подобрява нивото на киберсигурност, по-специално посредством повишаване на осведомеността във връзка с киберзаплахи, ограничаване или възпрепятстване на способността за разпространение на такива заплахи, поддържане на набор от отбранителни способности, отстраняване и оповестяване на уязвимости, техники за откриване, ограничаване и предотвратяване на заплахи, стратегии за ограничаване или етапи за реакция или възстановяване или насърчаване на съвместни научни изследвания относно киберзаплахите между публични и частни субекти.

2.Държавите членки гарантират, че обменът на информация се осъществява в рамките на общности на съществените и важните субекти, и когато е относимо, на техните снабдители или доставчици на услуги. Този обмен се осъществява чрез споразумения за обмен на информация в областта на киберсигурността с оглед на потенциално чувствителния характер на споделяната информация.

3.Държавите членки улесняват създаването на споразумения за обмен на информация в областта на киберсигурността, посочени в параграф 2 от настоящия член. Тези споразумения може да уточняват оперативните елементи, включително използването на специално предназначени ИКТ платформи и инструменти за автоматизиране, съдържанието и условията по споразуменията за обмен на информация. Когато определят подробностите за участието на публичните органи в такива споразумения, държавите членки могат да налагат условия по отношение на информацията, предоставяна от компетентните органи или ЕРИКС. Държавите членки предлагат помощ за прилагането на такива споразумения в съответствие със своите политики, посочени в член 7, параграф 2, буква з).

4.Държавите членки гарантират, че съществените и важните субекти уведомяват компетентните органи за своето участие в споразуменията за обмен на информация в областта на киберсигурността по параграф 2 при присъединяването им към такива споразумения или, когато е приложимо, за оттеглянето им от тях, след като то влезе в сила.

5.ENISA предоставя помощ за установяването на споразуменията за обмен на информация в областта на киберсигурността по параграф 2, като обменя най-добри практики и предоставя насоки.

Член 30

Доброволно уведомяване за относима информация

1.Държавите членки гарантират, че в допълнение към задължението за уведомяване, предвидено в член 23, уведомления могат да се подават до ЕРИКС или, когато е приложимо, до компетентните органи на доброволна основа от:

а) съществени и важни субекти по отношение на инциденти, киберзаплахи и ситуации, близки до инциденти;

б) субекти, различни от посочените в буква а), независимо дали попадат в обхвата на настоящата директива, по отношение на значителни инциденти, киберзаплахи и ситуации, близки до инциденти.

2.Държавите членки обработват уведомленията по параграф 1 от настоящия член в съответствие с процедурата, предвидена в член 23. Държавите членки могат да обработват задължителните уведомления с предимство пред доброволните уведомления.

Когато е необходимо, ЕРИКС и, когато е приложимо, компетентните органи предоставят на единните звена за контакт информацията относно уведомленията, получени съгласно настоящия член, като същевременно гарантират поверителността и подходящата защита на информацията, предоставена от уведомяващия субект. Без да се засягат предотвратяването, разследването, разкриването и наказателното преследване на престъпления, доброволното докладване не води до налагането на никакви допълнителни задължения за уведомяващия субект, на които той не би бил предмет, ако не подаде уведомлението.

Член 31

Основни аспекти относно надзора и правоприлагането

1.Държавите членки гарантират, че техните компетентни органи ефективно осъществяват надзор и предприемат мерки, необходими за осигуряване на спазването на настоящата директива.

2.Държавите членки могат да разрешат на своите компетентни органи да приоритизират надзорните задачи. Това приоритизиране се основава на основан на риска подход. За тази цел при изпълнението на надзорните си задачи, предвидени в членове 32 и 33, компетентните органи могат да установят надзорни методологии, които дават възможност за приоритизиране на тези задачи, следвайки основан на риска подход.

3.Компетентните органи работят в тясно сътрудничество с надзорните органи съгласно Регламент (ЕС) 2016/679 при работа по инцидентите, които водят до нарушаване на сигурността на лични данни, без да се засягат компетенциите и задачите на надзорните органи съгласно посочения регламент.

4.Без да се засягат националните законодателни и институционални рамки, държавите членки гарантират, че при надзора на спазването на настоящата директива от органите на публичната администрация и налагането на правоприлагащи мерки при нарушаване на настоящата директива, компетентните органи разполагат с подходящите правомощия да осъществяват подобни задачи с оперативна независимост по отношение на органите на публичната администрация, над които се упражнява надзор. Държавите членки могат да вземат решение за налагането на подходящи, пропорционални и ефективни надзорни и правоприлагащи мерки по отношение на тези субекти в съответствие с националните законодателни и институционални рамки.

Член 32

Надзорни и правоприлагащи мерки по отношение на съществените субекти

1.Държавите членки гарантират, че надзорните и правоприлагащи мерки, наложени на съществените субекти по отношение на определените в настоящата директива задължения, са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата по всеки отделен случай.

2.Държавите членки гарантират, че при упражняването на своите надзорни задачи във връзка със съществените субекти компетентните органи имат правомощия да подлагат тези субекти най-малко на:

а) проверки на място или дистанционни проверки, включително случайни, извършвани от обучени специалисти;

б) редовни и целеви одити на сигурността, извършвани от независим орган или компетентен орган;

в) извънпланови одити, включително когато са обосновани поради значителен инцидент или нарушение на настоящата директива от страна на съществения субект;

г) проверки за сигурност, основани на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска, при необходимост със съдействието на съответния субект;

д) искания за информация, необходима за оценка на мерките за управление на риска в областта на киберсигурноста, приети от съответния субект, включително документирани политики в областта на киберсигурност, както и съответствие със задълженията за изпращане на информация на компетентните органи съгласно член 27;

е) искания за достъп до данни, документи и всякаква информация, необходими за осъществяването на техните надзорни задачи;

ж) искания за доказателства за изпълнение на политиките в областта на киберсигурността, като например резултатите от одитите на сигурността, извършени от квалифициран одитор, и съответните подкрепящи доказателства.

Целевите одити на сигурността, посочени в първа алинея, буква б), се основават на оценки на риска, извършени от компетентния орган или одитирания субект, или на друга налична информация, свързана с риска.

Резултатите от всеки целеви одит на сигурността се предоставят на компетентния орган. Разходите за такъв целеви одит на сигурността, извършен от независим орган, се заплащат от одитирания субект, освен в надлежно обосновани случаи, когато компетентният орган реши друго.

3.При упражняване на своите правомощия по параграф 2, буква д), е) или ж) компетентните органи заявяват целта на своето искане и уточняват исканата информация.

4.Държавите членки гарантират, че в рамките на своите правомощия по правоприлагане във връзка със съществените субекти техните компетентни органи са упълномощени най-малкото:

а) да издават предупреждения при нарушаване на настоящата директива от засегнатите субекти;

б) да приемат обвързващи указания, включително относно мерките, необходими за предотвратяване на възникването на инцидент или за справяне с него, както и срокове за изпълнение на такива мерки и задължения за докладване на изпълнението, или разпореждане от засегнатите субекти да поправят установените пропуски или нарушения на настоящата директива;

в) да разпореждат на засегнатите субекти да преустановяват поведение, което нарушава настоящата директива, и да се въздържат от повтарянето на такова поведение;

г) да разпореждат на засегнатите субекти да гарантират, че техните мерки за управление на риска в областта на киберсигурността са в съответствие с член 21, или да изпълнят задълженията за докладване по член 23 по конкретизиран начин и в рамките на посочен срок;

д) да разпореждат на засегнатите субекти да уведомяват физическите или юридическите лица, на които предоставят услуги или с оглед на които извършват дейности, потенциално засегнати от значителна киберзаплаха, за естеството на заплахата, както и за възможните защитни или коригиращи мерки, които могат да бъдат предприети от тези физически или юридически лица в отговор на тази заплаха;

е) да разпореждат на засегнатите субекти да изпълняват препоръките, предвидени в резултат на одит на сигурността, в рамките на разумен срок;

ж) да определят длъжностно лице по надзор с ясно определени задачи за определен срок, което да следи за спазването на членове 21 и 23 от засегнатите субекти;

з) да разпореждат на засегнатите субекти да обявяват публично аспектите на нарушенията на настоящата директива, по конкретен начин;

и) да налагат или изискват налагането от съответните органи, съдилища или трибунали съгласно националното право на административна глоба по член 34 в допълнение към която и да е от мерките по букви a) — з) от настоящия параграф.

5.Когато правоприлагащите мерки, приети съгласно параграф 4, букви a) — г) и е), са неефективни, държавите членки гарантират, че компетентните им органи разполагат с правомощие да определят срок, до който от съществения субект се изисква да предприеме необходимото действие за отстраняване на недостатъците или за привеждане в съответствие с изискванията на тези органи. Ако изисканото действие не се предприеме в определения срок, държавите членки гарантират, че компетентните им органи разполагат с правомощия:

а) да спрат временно или да изискат от сертифициращ или разрешаващ орган, от съдилище или от трибунал, в съответствие с националното право, да спре временно сертификат или разрешение относно всички или част от съответните предоставени услуги или дейностите, извършвани от съществения субект;

б) да изискат от съответните органи, съдилища или трибунали налагането съгласно националното право на временна забрана спрямо всяко физическо лице, изпълняващо управленски функции на равнището на главно изпълнително длъжностно лице или законен представител в този съществен субект, да упражнява управленски функции в този субект.

Временни спирания или забрани, наложени съгласно настоящия параграф, се прилагат само докато съответният субект предприеме необходимото действие за отстраняване на недостатъците или за изпълнение на изискванията на компетентния орган, за които са приложени такива правоприлагащи мерки. Налагането на такива временни спирания или забрани подлежи на подходящи процедурни гаранции в съответствие с общите принципи на правото на Съюза и Хартата, включително правото на ефективни правни средства за защита и на справедлив съдебен процес, презумпцията за невиновност и правото на защита.

Правоприлагащите мерки, предвидени в настоящия параграф, не се прилагат за органи на публичната администрация, които са предмет на настоящата директива.

6.Държавите членки гарантират, че всяко физическо лице, отговорно за съществен субект или действащо като негов законен представител въз основа на правомощие да го представлява, да взема решения от негово име или да упражнява контрол върху него, има необходимите правомощия, за да осигури спазването на настоящата директива, от страна на този субект. Държавите членки гарантират, че е възможно тези физически лица да бъдат подвеждани под отговорност за неизпълнението на своите задължения да осигурят спазването на настоящата директива.

Що се отнася до органите на публичната администрация, настоящият параграф не засяга националното право по отношение на отговорността на държавните служители и на избраните или назначените длъжностни лица.

7.Когато предприемат правоприлагащите мерки, посочени в параграф 4 или 5, компетентните органи се съобразяват с правата на защита и отчитат обстоятелствата по всеки отделен случай и, като минимум, вземат предвид:

а) сериозността на нарушението и значимостта на нарушените разпоредби, като се има предвид, че за тежко нарушение се считат във всички случаи наред с другото:

i) повторни нарушения;

ii) неуведомяване или несправяне със значителни инциденти;

iii)

неотстраняване на недостатъци съгласно обвързващи указания от компетентните органи;

iv) възпрепятстване на одити или дейности по мониторинг от компетентния орган след констатация на нарушение;

v) предоставяне на невярна или грубо неточна информация във връзка с мерките за управление на риска в областта на киберсигурността или задълженията за докладване по членове 21 и 23;

б) продължителността на нарушението;

в) всички относими предишни нарушения от страна на съответния субект;

г) всички причинени материални или нематериални вреда, включително финансови или икономически загуби, въздействия върху други услуги и броят на засегнатите потребители;

д) умисъл или небрежност от страна на извършителя на нарушението;

е) всички предприети от субекта мерки за предотвратяване или ограничаване на материалните или нематериалните вреди;

ж) всяко придържане към одобрени кодекси на поведение или одобрени механизми за сертифициране;

з) равнището на съдействие, което отговорните физически или юридически лица оказват на компетентния орган;

8.Компетентните органи излагат подробни мотиви за своите правоприлагащи мерки. Преди да приемат такива мерки, компетентните органи уведомяват засегнатите субекти за предварителните си констатации. Те също така предоставят разумен срок на тези субекти да представят забележки, освен в надлежно обосновани случаи, когато това би възпрепятствало незабавните действия за предотвратяване или реагиране на инциденти.

9.Държавите членки гарантират, че техните компетентни органи съгласно настоящата директива информират съответните компетентни органи в същата държава членка съгласно Директива (ЕС) 2022/2557, когато упражняват своите надзорни и правоприлагащи правомощия, имащи за цел да гарантират спазването на настоящата директива от субект, установен като критичен субект съгласно Директива (ЕС) 2022/2557. Когато е целесъобразно, компетентните органи съгласно Директива (ЕС) 2022/2557 могат да поискат от компетентните органи съгласно настоящата директива да упражняват своите надзорни и правоприлагащи правомощия във връзка със субект, който е установен като критичен субект съгласно Директива (ЕС) 2022/2557.

10.Държавите членки гарантират, че техните компетентни органи съгласно настоящата директива си сътрудничат със съответните компетентни органи на засегнатата държава членка съгласно Регламент(ЕС) 2022/2554. По-специално, държавите членки гарантират, че техните компетентни органи съгласно настоящата директива информират надзорния форум, установен съгласно член 32, параграф 1 от Регламент (ЕС) 2022/2554, когато упражняват своите надзорни и правоприлагащи правомощия, целящи гарантиране на спазването на настоящата директива от страна на съществен субект, който е определен като трета страна критичен доставчик на услуги в областта на ИКТ, в съответствие с член 31 от Регламент (ЕС) 2022/2554.

Член 33

Надзорни и правоприлагащи мерки по отношение на важните субекти

1.Когато разполагат с доказателства, индикации или информация, че важен субект вероятно не изпълнява настоящата директива, и по-специално членове 21 и 23 от нея, държавите членки гарантират, че компетентните органи предприемат действия, при необходимост, посредством последващи надзорни мерки. Държавите членки гарантират, че тези мерки са ефективни, пропорционални и възпиращи, като вземат предвид обстоятелствата във всеки отделен случай.

2.Държавите членки гарантират, че при упражняването на своите надзорни задачи във връзка със важните субекти компетентните органи имат правомощия да подлагат тези субекти най-малко на:

а) проверки на място и последващ дистанционен надзор, извършвани от обучени специалисти;

б) целеви одити на сигурността, извършвани от независим орган или компетентен орган;

в) проверки за сигурност, основани на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска, при необходимост със съдействието на съответния субект;

г) искания за информация, необходима за последваща оценка на мерките за управление на риска в областта на киберсигурноста, приети от съответния субект, включително документирани политики за киберсигурност, както и съответствие със задълженията за изпращане на информация до компетентните органи съгласно член 27;

д) искания за достъп до данни, документи и информация, необходими за изпълнението на надзорните им задачи;

е) искания за доказателства за изпълнението на политиките в областта на киберсигурността, като например резултатите от одитите на сигурността, извършени от квалифициран одитор, и съответните подкрепящи доказателства.

Целевите одити на сигурността, посочени в първа алинея, буква б), се основават на оценки на риска, извършени от компетентния орган или одитирания субект, или на друга налична информация, свързана с риска.

Резултатите от всеки целеви одит на сигурността се предоставят на компетентния орган. Разходите за такъв целеви одит на сигурността, извършен от независим орган, се заплащат от одитирания субект, освен в надлежно обосновани случаи, когато компетентният орган реши друго.

3.При упражняване на своите правомощия по параграф 2, буква г), д) или е) компетентните органи заявяват целта на своето искане и поясняват исканата информация.

4.Държавите членки гарантират, че при упражняване на своите правомощия по правоприлагане във връзка със важните субекти компетентните органи са оправомощени най-малкото:

а) да издават предупреждения при нарушение на настоящата директива от засегнатите субекти;

б) да приемат обвързващи указания или разпореждане, с които се изисква от засегнатите субекти да поправят установените пропуски или нарушението на настоящата директива;

в) да разпореждат на засегнатите субекти да преустановяват поведение, което нарушава настоящата директива, и да се въздържат от повтарянето на такова поведение;

г) да разпореждат на засегнатите субекти да гарантират, че техните мерки за управление на риска в областта на киберсигурността са в съответствие с член 21, или да изпълнят задълженията за докладване по член 23 по конкретизиран начин и в рамките на определен срок;

д) да разпореждат на засегнатите субекти да уведомяват физическите или юридическите лица, на които предоставят услуги или с оглед на които извършват дейности, потенциално засегнати от значителна киберзаплаха, за естеството на заплахата, както и за възможните защитни или коригиращи мерки, които могат да бъдат предприети от тези физически или юридически лица в отговор на тази заплаха;

е) да разпореждат на засегнатите субекти да изпълняват препоръките, предвидени в резултат на одит на сигурността, в рамките на разумен срок;

ж) да разпореждат на засегнатите субекти да обявяват публично аспектите на нарушението на настоящата директива, по конкретен начин;

з) да налагат или изискват налагането от засегнатите органи, съдилища или трибунали в съответствие с националното право на административна глоба по член 34 в допълнение към която и да е от мерките по букви a) — ж) от настоящия параграф.

5.Член 32, параграфи 6, 7 и 8 се прилагат mutatis mutandis за надзорните и правоприлагащи мерки, предвидени в настоящия член за важните субекти.

6.Държавите членки гарантират, че техните компетентни органи съгласно настоящата директива си сътрудничат със съответните компетентни органи на засегнатата държава членка съгласно Регламент (ЕС) 2022/2554. По-специално, държавите членки гарантират, че техните компетентни органи съгласно настоящата директива информират надзорния форум, установен съгласно член 32, параграф 1 от Регламент (ЕС) 2022/2554, когато упражняват своите надзорни и правоприлагащи правомощия, целящи гарантиране на спазването на настоящата директива от страна на важен субект, който е определен като трета страна критичен доставчик на услуги в областта на ИКТ, в съответствие с член 31 от Регламент (ЕС) 2022/2554.

Член 34

Общи условия за налагане на административни глоби на съществените и важните субекти

1.Държавите членки гарантират, че наложените административни глоби на съществените и важните субекти съгласно настоящия член във връзка с нарушения на настоящата директива, са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата във всеки конкретен случай.

2.Административни глоби се налагат в допълнение към която и да е от мерките, посочени в член 32, параграф 4, букви а) — з), член 32, параграф 5 и член 33, параграф 4, букви а) — ж).

3.Когато се взема решение дали да бъде наложена административна глоба и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат най-малко елементите, предвидени в член 32, параграф 7.

4.Държавите членки гарантират, че когато нарушават член 21 или член 23, съществените субекти, в съответствие с параграфи 2 и 3 от настоящия член, подлежат на административни глоби в максимален размер от най-малко 10 000 000 EUR или най-малко 2 % — която от сумите е по-голяма — от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи същественият субект.

5.Държавите членки гарантират, че когато нарушават член 21 или член 23, важните субекти, в съответствие с параграфи 2 и 3 от настоящия член, подлежат на административни глоби в максимален размер от най-малко 7 000 000 EUR или най-малко 1,4 % — която от сумите е по-голяма — от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи важният субект.

6.Държавите членки може да предвидят правомощие за налагане на периодични наказателни плащания с цел принуждаване на съществен или важен субект да преустанови нарушение на настоящата директива в съответствие с предходно решение на компетентния орган.

7.Без да се засягат правомощията на компетентните органи по членове 32 и 33, всяка държава членка може да установи правилата за това дали и в каква степен административните глоби могат да бъдат налагани на органи на публичната администрация.

8.Когато в правната система на държава членка не са предвидени административни наказания „глоба“, въпросната държава членка гарантира, че настоящият член се прилага по такъв начин, че глобата се инициира от компетентния орган и се налага от компетентните национални съдилища или трибунали, като в същото време се гарантира, че тези правни средства за защита са ефективни и имат ефект, равностоен на административните наказания „глоба“, налагани от компетентните органи. Във всички случаи наложените глоби са ефективни, пропорционални и възпиращи. Държавата членка уведомява Комисията за разпоредбите в правото си, които тя приема съгласно настоящия параграф, до 17 октомври 2024 г., и я уведомява незабавно за всеки последващ закон за изменение или за всяко изменение, които ги засягат.

Член 35

Нарушения, водещи до нарушаване на сигурността на лични данни

1.Когато в хода на надзора или правоприлагането компетентните органи разберат, че нарушението на задълженията по членове 21 и 23 от настоящата директива от страна на съществен или важен субект може да доведе до нарушаване на сигурността на лични данни съгласно определеното в член 4, параграф 12 от Регламент (ЕС) 2016/679, за което трябва да се изпрати уведомление съгласно член 33 от посочения регламент, те без ненужно забавяне уведомяват надзорните органи, посочени в член 55 или 56 от същия регламент.

2.Когато надзорните органи, посочени в член 55 или 56 от Регламент (ЕС) 2016/679, наложат административна глоба съгласно член 58, параграф 2, буква и) от посочения регламент, компетентните органи не налагат административна глоба съгласно член 34 от настоящата директива за нарушение, посочено в параграф 1 от настоящия член, произтичащо от същото деяние, което е било предмет на административната глоба съгласно член 58, параграф 2, буква и) от Регламент (ЕС) 2016/679. Компетентните органи могат обаче да налагат правоприлагащи мерки, предвидени в член 32, параграф 4, букви a) — з), член 32, параграф 5 и член 33, параграф 4, букви а) — ж) от настоящата директива.

3.Когато надзорният орган, компетентен съгласно Регламент (ЕС) 2016/679, е установен в държава членка, различна от тази на компетентния орган, компетентният орган уведомява надзорния орган, установен в собствената му държава членка относно възможното нарушаване на сигурността на данните, посочено в параграф 1.

Член 36

Санкции

Държавите членки установяват система от санкции, приложими при нарушение на националните разпоредби, приети в съответствие с настоящата директива, и вземат всички необходими мерки за осигуряване на прилагане им. Предвидените санкции трябва да бъдат ефективни, пропорционални и възпиращи. Най-късно до 17 януари 2025 г. държавите членки нотифицират на Комисията тези разпоредби и мерки и я нотифицират незабавно за всяко последващо изменение, което ги засяга.

Член 37

Взаимопомощ

1.Когато субект предоставя услуги в повече от една държава членка или предоставя услуги в една или повече държави членки и неговите мрежови и информационни системи са разположени в една или повече други държави членки, компетентните органи на засегнатите държави членки си сътрудничат и се подпомагат взаимно, ако е необходимо. Това сътрудничество включва най-малко следното:

а) компетентните органи, прилагащи надзорни или правоприлагащи мерки в държава членка, посредством единното звено за контакт, уведомяват и се консултират с компетентните органи в другите засегнати държави членки относно предприетите надзорни и правоприлагащи мерки;

б) компетентен орган може да поиска от друг компетентен орган да предприеме надзорни или правоприлагащи мерки;

в) когато компетентен орган получи обосновано искане от друг компетентен орган, той оказва на искащия орган взаимопомощ, пропорционална на собствените му ресурси, така че надзорните и правоприлагащите мерки да могат да бъдат приложени по ефективен, ефикасен и последователен начин.

Взаимопомощта, посочена в алинея първа, буква в), може да обхваща искания за информация и надзорни мерки, включително искания за провеждане на проверки на място или дистанционен надзор, или целеви одити на сигурността. Компетентен орган, към когото е отправено искане за помощ, не отхвърля това искане, освен ако не бъде установено, че не е компетентен да предостави исканата помощ, поисканата помощ не е пропорционална на надзорните задачи на компетентния орган или искането се отнася до информация или включва дейности, които, ако бъдат оповестени или извършени, биха противоречили на националната сигурност, обществената сигурност или отбраната на тази държава членка. Преди да отхвърли такова искане, компетентният орган се консултира с другите засегнати компетентни органи, както и, по искане на една от засегнатите държави членки, с Комисията и ENISA.

2.Когато е подходящо и при общо съгласие компетентните органи от различни държави членки може да извършват общи надзорни действия.

Член 38

Упражняване на делегирането

1.Правомощието да приема делегирани актове се предоставя на Комисията при спазване на предвидените в настоящия член условия.

2.Правомощието да приема делегирани актове, посочено в член 24, параграф 2, се предоставя на Комисията за срок от пет години, считано от 16 януари 2023 г.

3.Делегирането на правомощия, посочено в член 24, параграф 2, може да бъде оттеглено по всяко време от Европейския парламент или от Съвета. С решението за оттегляне се прекратява посоченото в него делегиране на правомощия. Оттеглянето поражда действие в деня след публикуването на решението в Официален вестник на Европейския съюз или на по-късна дата, посочена в решението. То не засяга действителността на делегираните актове, които вече са в сила.

4.Преди приемането на делегиран акт Комисията се консултира с експерти, определени от всяка държава членка в съответствие с принципите, залегнали в Междуинституционалното споразумение от 13 април 2016 г. за по-добро законотворчество.

5.Веднага след като приеме делегиран акт, Комисията нотифицира акта едновременно на Европейския парламент и на Съвета.

6.Делегиран акт, приет съгласно член 24, параграф 2, влиза в сила единствено ако нито Европейският парламент, нито Съветът не са представили възражения в срок от два месеца след нотифицирането на същия акт на Европейския парламент и на Съвета или ако преди изтичането на този срок и Европейският парламент, и Съветът са уведомили Комисията, че няма да представят възражения. Посоченият срок може да се удължи с два месеца по инициатива на Европейския парламент или на Съвета.

Член 39

Процедура на комитет

1.Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.

2.При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.

3.Когато становището на комитета трябва да бъде получено по писмена процедура, тази процедура се прекратява без резултат, ако в рамките на срока за даване на становище председателят на комитета вземе такова решение или член на комитета отправи такова искане.

Член 40

Преглед

До 17 октомври 2027 г. и на всеки 36 месеца след това, Комисията прави преглед на действието на настоящата директива и докладва на Европейския парламент и на Съвета. В доклада по-специално се прави оценка на относимостта на размера на засегнатите субекти и на секторите, подсекторите и вида на субекта, посочен в приложения I и II, за функционирането на икономиката и обществото във връзка с киберсигурността. За тази цел и с оглед на допълнителното засилване на стратегическото и оперативното сътрудничество Комисията взема предвид докладите на групата за сътрудничество и мрежата на ЕРИКС за натрупания опит на стратегическо и оперативно равнище. Докладът се придружава, ако това е необходимо, от законодателно предложение.

Член 41

Транспониране

1.До 17 октомври 2024 г. държавите членки приемат и публикуват разпоредбите, необходими, за да се съобразят с настоящата директива. Те незабавно информират Комисията за това.

Те прилагат тези разпоредби, считано от 18 октомври 2024 г.

2.Когато държавите членки приемат разпоредбите, посочени в параграф 1, в тях се съдържа позоваване на настоящата директива или то се извършва при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.

Член 42

Изменение на Регламент (ЕС) № 910/2014

В Регламент (ЕС) № 910/2014 член 19 се заличава, считано от 18 октомври 2024 г.

Член 43

Изменение на Директива (ЕС) 2018/1972

В Директива (ЕС) 2018/1972 членове 40 и 41 се заличават, считано от 18 октомври 2024 г.

Член 44

Отмяна

Директива (ЕС) 2016/1148 се отменя, считано от 18 октомври 2024 г.

Позоваванията на отменената директива се считат за позовавания на настоящата директива и се четат съгласно с таблицата на съответствието в приложение III.

Член 45

Влизане в сила

Настоящата директива влиза в сила на двадесетия ден след публикуването ѝ в Официален вестник на Европейския съюз.

Член 46

Адресати

Адресати на настоящата директива са държавите членки.