ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ

Στρασβούργο, 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Πρόταση

ΚΑΝΟΝΙΣΜΟΣ ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ

σχετικά με τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA), το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας και την ασφάλεια της αλυσίδας εφοδιασμού ΤΠΕ και την κατάργηση του κανονισμού (ΕΕ) 2019/881 (κανονισμός για την κυβερνοασφάλεια 2)

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

ΑΙΤΙΟΛΟΓΙΚΗ ΕΚΘΕΣΗ

1.ΠΛΑΙΣΙΟ ΤΗΣ ΠΡΟΤΑΣΗΣ

•Αιτιολόγηση και στόχοι της πρότασης

Στο πλαίσιο αυτό, υπάρχουν τέσσερα κύρια προβλήματα που επιδιώκει να αντιμετωπίσει η παρούσα προτεινόμενη αναθεώρηση της πράξης για την κυβερνοασφάλεια: i) η απόκλιση μεταξύ του πλαισίου πολιτικής της Ένωσης για την κυβερνοασφάλεια και των αναγκών των συμφεροντούχων σε ένα όλο και πιο εχθρικό τοπίο απειλών· ii) η στασιμότητα στην εφαρμογή του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας (στο εξής: ΕΠΠΚ)· iii) η πολυπλοκότητα και η πολυμορφία των πολιτικών που σχετίζονται με την κυβερνοασφάλεια και επηρεάζουν την κυβερνοστάση της Ένωσης· και iv) η αύξηση των κινδύνων για την ασφάλεια των αλυσίδων εφοδιασμού με τεχνολογίες των πληροφοριών και των επικοινωνιών (στο εξής: ΤΠΕ).

Με βάση τα κύρια προβλήματα που προσδιορίστηκαν, οι δύο γενικοί στόχοι της παρέμβασης είναι η αύξηση των ικανοτήτων και της ανθεκτικότητας στον τομέα της κυβερνοασφάλειας και η αποτροπή του κατακερματισμού στην ενιαία αγορά με τους εξής τρόπους:

·τη συμβολή στην ενίσχυση της διακυβέρνησης της Ένωσης στον τομέα της κυβερνοασφάλειας και στη διασφάλιση ότι τα σχετικά θεσμικά όργανα, οι αρχές και άλλοι συμφεροντούχοι έχουν προετοιμαστεί καλύτερα για να προλαμβάνουν, να εντοπίζουν και να αντιμετωπίζουν απειλές κυβερνοασφάλειας με συντονισμένο και αποτελεσματικό τρόπο· και

·τη στήριξη της ανάπτυξης, της εφαρμογής και της υιοθέτησης κοινών ενωσιακών μέσων για την κυβερνοασφάλεια, όπως σχημάτων πιστοποίησης, και την παροχή εναρμονισμένων πλαισίων που οικοδομούν εμπιστοσύνη και διαλειτουργικότητα μεταξύ των κρατών μελών.

Αυτοί οι γενικοί στόχοι ανταποκρίνονται στις βασικές προκλήσεις που προσδιορίζονται στον ορισμό του προβλήματος. Αντικατοπτρίζουν τον πρωταρχικό στόχο πολιτικής που αφορά την ενίσχυση της διακυβέρνησης της κυβερνοασφάλειας στην Ένωση και τη στήριξη της ανάπτυξης μιας ασφαλούς, ανθεκτικής και ανταγωνιστικής ψηφιακής ενιαίας αγοράς.

Η παρούσα παρέμβαση, για να συμβάλει στην επίτευξη των γενικών στόχων που αναφέρονται ανωτέρω, επιδιώκει τους ακόλουθους ειδικούς στόχους (στο εξής: ΕΣ):

·για να αντιμετωπιστεί η απόκλιση μεταξύ του πλαισίου πολιτικής της Ένωσης για την κυβερνοασφάλεια και των αναγκών των συμφεροντούχων:

·ΕΣ1: δημιουργία ικανοτήτων αποτελεσματικής εφαρμογής των πολιτικών της Ένωσης για την κυβερνοασφάλεια και συνεχής επιχειρησιακή συνεργασία που καθιστά δυνατή μια πιο διαρθρωμένη συνεργασία μεταξύ των κρατών μελών·

·ΕΣ2: ανάπτυξη και εφαρμογή μέσων και μηχανισμών για την αποτελεσματική στήριξη και αντιμετώπιση των αναγκών των κρατών μελών, της βιομηχανίας και άλλων συμφεροντούχων·

·για την αντιμετώπιση της περιορισμένης υιοθέτησης και αποτελεσματικότητας του ΕΠΠΚ:

·ΕΣ3: δημιουργία των προϋποθέσεων για ταχύτερη υλοποίηση σχημάτων πιστοποίησης της κυβερνοασφάλειας με γνώμονα τις ανάγκες της αγοράς, με τη διεύρυνση του πεδίου εφαρμογής του ΕΠΠΚ, τη διασφάλιση της αποτελεσματικής συντήρησής του και ευέλικτων διαδικασιών και την αύξηση της διαφάνειας·

·για την αντιμετώπιση του κατακερματισμένου τοπίου συμμόρφωσης και της πολυπλοκότητας των οριζόντιων και τομεακών πλαισίων:

·ΕΣ4: δημιουργία μηχανισμών και προϋποθέσεων για τη διευκόλυνση της συμμόρφωσης με τις απαιτήσεις κυβερνοασφάλειας, ώστε η εφαρμογή τους να καταστεί πιο συνεκτική και αποτελεσματική·

·για την αντιμετώπιση των κινδύνων κυβερνοασφάλειας στην αλυσίδα εφοδιασμού:

·ΕΣ5: ελαχιστοποίηση των κινδύνων που αντιμετωπίζουν οι κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ από οντότητες που είναι εγκατεστημένες σε τρίτες χώρες ή ελέγχονται από οντότητες τρίτων χωρών που εγείρουν ανησυχίες για την κυβερνοασφάλεια (προμηθευτές υψηλού κινδύνου) και μείωση των κρίσιμων εξαρτήσεων με την ανάπτυξη ενός συνεκτικού και αποτελεσματικού πλαισίου σε επίπεδο ΕΕ για την αντιμετώπιση των κινδύνων για την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ.

Η αναθεώρηση της πράξης για την κυβερνοασφάλεια εμπίπτει στο πεδίο εφαρμογής του προγράμματος βελτίωσης της καταλληλότητας και της αποδοτικότητας του κανονιστικού πλαισίου (στο εξής: REFIT). Συμβάλλει σημαντικά στη βελτίωση της σαφήνειας, στην εξάλειψη των ανεπαρκειών και στην ευθυγράμμιση των διαδικασιών μεταξύ των νομικών πλαισίων. Η αναθεώρηση της πράξης για την κυβερνοασφάλεια συμβάλλει στην ορθή λειτουργία της εσωτερικής αγοράς, διασφαλίζοντας παράλληλα την ασφάλεια και τη στρατηγική αυτονομία της Ένωσης.

Πιο συγκεκριμένα, προτείνεται η πλήρης μεταρρύθμιση της εντολής του Οργανισμού της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (στο εξής: ENISA), με την παροχή αποτελεσματικής στήριξης για την εφαρμογή των πολιτικών και προστιθέμενης αξίας όσον αφορά την υποστήριξη της επιχειρησιακής συνεργασίας μεταξύ των κρατών μελών.

Δεδομένων των αυξανόμενων κινδύνων και προκλήσεων που αντιμετωπίζει η Ένωση στον τομέα της κυβερνοασφάλειας, η πρόταση αποσκοπεί στην αύξηση των οικονομικών και ανθρώπινων πόρων του ENISA, ώστε να αντικατοπτρίζονται ο ενισχυμένος ρόλος και τα καθήκοντά του, καθώς και η κρίσιμη θέση του στην υπεράσπιση του ψηφιακού οικοσυστήματος της Ένωσης, με αποτέλεσμα ο ENISA να μπορεί να εκτελεί αποτελεσματικά τα καθήκοντα που του ανατίθενται με την παρούσα πρόταση.

Η αναθεώρηση θα συμβάλει επίσης στην εξάλειψη των κατακερματισμένων πρακτικών, βελτιώνοντας τον συντονισμό και μειώνοντας, παράλληλα, το κόστος συμμόρφωσης και το λειτουργικό κόστος μακροπρόθεσμα. Με την κατάργηση της ισχύουσας πράξης για την κυβερνοασφάλεια και τη θέσπιση μεταρρυθμισμένου ΕΠΠΚ, η πρόταση παρέχει ένα αποτελεσματικότερο και αποδοτικότερο εργαλείο που προωθεί την εμπιστοσύνη μεταξύ των επιχειρήσεων, του ευρέος κοινού και των δημόσιων αρχών και, ταυτόχρονα, διευκολύνει τη συμμόρφωση με τη σχετική νομοθεσία της Ένωσης. Αυξάνει την αποδοτικότητα μέσω της αναθεώρησης του μοντέλου διακυβέρνησης και της στήριξης πιο προβλέψιμων, συνεκτικών και ευέλικτων διαδικασιών πιστοποίησης, ώστε να καταστεί δυνατή η ταχύτερη ανάπτυξη και εφαρμογή σχημάτων.

Η αύξηση των συνεργειών με τα σχετικά υφιστάμενα νομικά πλαίσια της Ένωσης θα προωθήσει την πιστοποίηση ως εργαλείο συμμόρφωσης για τις επιχειρήσεις και θα μειώσει τον διοικητικό φόρτο για τους οργανισμούς αξιολόγησης της συμμόρφωσης που δραστηριοποιούνται βάσει των διαφόρων νομοθετικών πράξεων για την κυβερνοασφάλεια. Επιπρόσθετα, η πρόταση, επεκτείνοντας το πεδίο εφαρμογής του ΕΠΠΚ και καθιστώντας δυνατή την ανάπτυξη σχήματος σχετικά με την κυβερνοστάση των οντοτήτων, μειώνει το κόστος συμμόρφωσης για τις οντότητες που υπόκεινται στη σχετική νομοθεσία της Ένωσης για την κυβερνοασφάλεια, ξεκινώντας από τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας NIS 2. Η προσέγγιση αυτή θα απλουστεύσει σημαντικά τις κανονιστικές υποχρεώσεις για τις οντότητες που υπόκεινται σε πολυάριθμες απαιτήσεις συμμόρφωσης και θα διασφαλίσει την αποτελεσματικότερη χρήση των πόρων στις διάφορες εθνικές αρχές. Επιπρόσθετα στην παρούσα αναθεώρηση, μια πρόταση οδηγίας για τη θέσπιση στοχευμένων τροποποιήσεων της οδηγίας NIS 2 αποσκοπεί στην απλούστευση της συμμόρφωσης με συγκεκριμένες πτυχές του πλαισίου κυβερνοασφάλειας και στη διασφάλιση της εξορθολογισμένης και συνεκτικής εφαρμογής τους, μεταξύ άλλων όσον αφορά το πεδίο εφαρμογής, τους ορισμούς, την αναφορά περιστατικών χρήσης λυτρισμικού και την εποπτεία των οντοτήτων που παρέχουν διασυνοριακές υπηρεσίες.

Ο νέος κανονισμός δημιουργεί επίσης εναρμονισμένο πλαίσιο για την αντιμετώπιση των μη τεχνικών κινδύνων που επηρεάζουν τις αλυσίδες εφοδιασμού ΤΠΕ, μειώνοντας τον υφιστάμενο κατακερματισμό των προσεγγίσεων μεταξύ των κρατών μελών. Οι πτυχές αυτές, συνολικά, αποτελούν σημαντική απλούστευση και εκσυγχρονισμό του νομικού πλαισίου της Ένωσης για την κυβερνοασφάλεια, σε πλήρη ευθυγράμμιση με τις αρχές της σαφήνειας, της αποδοτικότητας και της ψηφιακής ετοιμότητας που προωθεί το πρόγραμμα REFIT.

•Συνέπεια με τις ισχύουσες διατάξεις στον τομέα πολιτικής

Η Ένωση έχει επεκτείνει τα νομικά εργαλεία και τα εργαλεία πολιτικής της με τη θέσπιση διαφόρων νομικών μέσων και μέτρων πολιτικής: i) η οδηγία NIS 2 συμβάλλει στην ενίσχυση της κυβερνοασφάλειας των κρίσιμων υποδομών· ii) μέτρα υλικής ασφάλειας ορίζονται στην «αδελφή οδηγία», την οδηγία για την ανθεκτικότητα των κρίσιμων οντοτήτων (στο εξής: ΑΚΟ)· iii) η πράξη για την κυβερνοανθεκτικότητα ενισχύει την κυβερνοασφάλεια των προϊόντων· iv) ο κανονισμός για την αλληλεγγύη στον κυβερνοχώρο δημιουργεί ικανότητες αντίδρασης σε επίπεδο ΕΕ· v) το σχέδιο στρατηγικής της ΕΕ για τον κυβερνοχώρο 7 στηρίζει τη συνεργασία για τη διαχείριση κρίσεων σε επίπεδο ΕΕ, στο πλαίσιο της οποίας η Επιτροπή και ο Ύπατος Εκπρόσωπος διαδραματίζουν καίριο ρόλο στην προετοιμασία και την αντιμετώπιση περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας· vi) η εργαλειοθήκη για την κυβερνοασφάλεια των δικτύων 5G (στο εξής: εργαλειοθήκη για τα 5G) στηρίζει την κυβερνοασφάλεια των δικτύων 5G· vii) το ευρωπαϊκό σχέδιο δράσης για την κυβερνοασφάλεια των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης 8 συμβάλλει στη βελτίωση της κυβερνοασφάλειάς τους· και viii) η Ακαδημία Δεξιοτήτων Κυβερνοασφάλειας 9 αντιμετωπίζει την αυξανόμενη πρόκληση της έλλειψης ταλέντων στον τομέα της κυβερνοασφάλειας.

•Συνέπεια με άλλες πολιτικές της Ένωσης

2.ΝΟΜΙΚΗ ΒΑΣΗ, ΕΠΙΚΟΥΡΙΚΟΤΗΤΑ ΚΑΙ ΑΝΑΛΟΓΙΚΟΤΗΤΑ

•Νομική βάση

•Επικουρικότητα (σε περίπτωση μη αποκλειστικής αρμοδιότητας)

Οι δράσεις που καλύπτονται από τον προτεινόμενο κανονισμό προσφέρουν σαφή προστιθέμενη αξία, υποστηρίζοντας την εναρμόνιση, τη νομική σαφήνεια και τη συντονισμένη αντιμετώπιση των προκλήσεων στον τομέα της κυβερνοασφάλειας.

•Αναλογικότητα

•Επιλογή της νομικής πράξης

3.ΑΠΟΤΕΛΕΣΜΑΤΑ ΤΩΝ ΕΚ ΤΩΝ ΥΣΤΕΡΩΝ ΑΞΙΟΛΟΓΗΣΕΩΝ, ΤΩΝ ΔΙΑΒΟΥΛΕΥΣΕΩΝ ΜΕ ΤΟΥΣ ΣΥΜΦΕΡΟΝΤΟΥΧΟΥΣ ΚΑΙ ΤΩΝ ΕΚΤΙΜΗΣΕΩΝ ΕΠΙΠΤΩΣΕΩΝ

•Εκ των υστέρων αξιολογήσεις / έλεγχοι καταλληλότητας της ισχύουσας νομοθεσίας

·Συνάφεια: Η σημασία του ENISA στον τομέα της κυβερνοασφάλειας αναδεικνύεται από την ανταπόκρισή του στις εξελισσόμενες ανάγκες των συμφεροντούχων και την προσαρμοστικότητά του σε ένα μεταβαλλόμενο τοπίο. Μολονότι η ικανοποίηση των συμφεροντούχων έχει γενικά θετικό πρόσημο, υπάρχουν ευκαιρίες να αυξηθεί ο αντίκτυπος του ENISA. Αυτό μπορεί να επιτευχθεί με τη βελτίωση της στήριξης και της προβολής διαφόρων τομέων, ιδίως των μικρών και μεσαίων επιχειρήσεων (ΜΜΕ), οι οποίες συχνά δυσκολεύονται να ανταποκριθούν στις απαιτήσεις κυβερνοασφάλειας. Η καλύτερη οργάνωση των πόρων και ο σαφέστερος συντονισμός με τις εθνικές αρχές είναι ουσιαστικής σημασίας. Η εκ νέου ιεράρχηση των δραστηριοτήτων και η βελτιστοποίηση των υφιστάμενων πόρων θα ευθυγραμμίσουν καλύτερα τον ENISA με τις δυναμικές ανάγκες του ευρωπαϊκού τοπίου κυβερνοασφάλειας.

Όσον αφορά το ΕΠΠΚ, παρά την πολλά υποσχόμενη βάση του, το πλαίσιο εξακολουθεί να θεωρείται ότι έχει περισσότερο δυνητικό παρά πρακτικό αντίκτυπο, καθώς μόλις ένα σχήμα πιστοποίησης τέθηκε πρόσφατα σε λειτουργία. Το πλαίσιο έχει σχεδιαστεί έτσι ώστε να ενοποιηθεί απρόσκοπτα με άλλες νομικές πράξεις της Ένωσης με σκοπό τον εξορθολογισμό των διαδικασιών και τη διευκόλυνση του διασυνοριακού εμπορίου. Η σημασία του αναδεικνύεται σε τομείς υψηλής διασφάλισης, όπως οι υπηρεσίες υπολογιστικού νέφους και οι υποδομές 5G.

·Αποτελεσματικότητα: Ο ENISA εκπλήρωσε επιτυχώς την εντολή του παράγοντας σχεδόν όλα τα προγραμματισμένα αποτελέσματα και επιδεικνύοντας ευελιξία και ανθεκτικότητα κατά τη διάρκεια κρίσεων όπως η πανδημία COVID-19 και ο επιθετικός πόλεμος της Ρωσίας κατά της Ουκρανίας. Ωστόσο, απαιτείται βελτίωση της ιεράρχησης των προτεραιοτήτων, σαφής εστίαση και στρατηγική κατανομή των πόρων για να αυξηθεί η αποδοτικότητα. Για την προσαρμογή στις εξελισσόμενες απαιτήσεις κυβερνοασφάλειας και την ελαχιστοποίηση των καθυστερήσεων είναι απαραίτητη μια πιο ευέλικτη προσέγγιση της εσωτερικής διακυβέρνησης.

Το ΕΠΠΚ αποσκοπούσε στην εναρμόνιση της πιστοποίησης της κυβερνοασφάλειας ανά την Ένωση, αλλά αντιμετώπισε σημαντικές προκλήσεις, συμπεριλαμβανομένων διαδικαστικών περιορισμών και κατακερματισμού, οι οποίες επέφεραν καθυστερήσεις και αδυναμίες, όπως την καθυστέρηση στην έγκριση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (στο εξής: EUCC). Εξωτερικοί παράγοντες, όπως οι γεωπολιτικές εντάσεις και η πανδημία COVID-19, περιέπλεξαν περαιτέρω την επίτευξη των στόχων του ΕΠΠΚ, αναδεικνύοντας την ανάγκη για προσαρμόσιμα μέτρα και συνεπή κατανομή των πόρων μεταξύ των συμφεροντούχων για την επίτευξη ομοιομορφίας και αποτελεσματικότητας στον τομέα της πιστοποίησης της κυβερνοασφάλειας. Παρά τα εμπόδια αυτά, υπήρξαν θετικά αποτελέσματα, ειδικότερα όσον αφορά την ευαισθητοποίηση των κρατών μελών σχετικά με τη σημασία και την πολυπλοκότητα της πιστοποίησης της κυβερνοασφάλειας.

·Αποδοτικότητα: Ο ENISA λειτούργησε αποδοτικά στο πολυσύνθετο οργανωτικό του πλαίσιο, προωθώντας τη συνεργασία και την ιεράρχηση των καθηκόντων. Ωστόσο, ο ENISA αντιμετώπισε προκλήσεις όσον αφορά την κάλυψη των αυξανόμενων απαιτήσεων και την πλήρωση εξειδικευμένων θέσεων, οι οποίες επιδεινώθηκαν από την παγκόσμια έλλειψη ειδικών στον τομέα της πληροφορικής, με αποτέλεσμα καθυστερήσεις και μεγάλο φόρτο εργασίας. Για την αντιμετώπιση αυτών των ζητημάτων, ο ENISA θα μπορούσε να βελτιστοποιήσει το εσωτερικό εργατικό δυναμικό του και να ανακατανείμει αποτελεσματικά τους πόρους, όπως καταδείχθηκε από στρατηγικές προσαρμογές, όπως η μεταφορά πόρων, το 2022, προς τη δράση για τη στήριξη της κυβερνοασφάλειας. Επιπρόσθετα, η βελτίωση της διαχείρισης του προϋπολογισμού και η μείωση των διοικητικών δαπανών θα βελτιώσουν περαιτέρω την επιχειρησιακή αποδοτικότητα του Οργανισμού.

Η αποδοτικότητα του ΕΠΠΚ έχει επικριθεί λόγω των παρατεταμένων χρονοδιαγραμμάτων για την έγκριση σχημάτων πιστοποίησης της κυβερνοασφάλειας και της σχετικής πολυπλοκότητας, καθώς το πρώτο σχήμα εγκρίθηκε μόλις στις αρχές του 2024, σχεδόν πέντε έτη μετά την έκδοση της πράξης για την κυβερνοασφάλεια. Οι πολιτικές και τεχνικές προκλήσεις, όπως οι συζητήσεις σχετικά με την κυριαρχία των δεδομένων και οι δυσκολίες στη μετατροπή των σχεδίων σε νομικές πράξεις, συνέβαλαν σε καθυστερήσεις. Οι πολιτικές προκλήσεις και οι τεχνικές απαιτήσεις έχουν εμποδίσει την επίτευξη προόδου, όπως συνέβη στην περίπτωση του ενωσιακού σχήματος πιστοποίησης του υπολογιστικού νέφους (EUCS) και του σχήματος EU5G. Παρά τις εν λόγω ανεπάρκειες, το πλαίσιο δημιούργησε διάφορες θετικές πτυχές. Ωστόσο, εξακολουθεί να υπάρχει ανάγκη για βελτιώσεις όσον αφορά τη συμμετοχή των συμφεροντούχων και την εσωτερική διακυβέρνηση, ώστε να διασφαλιστεί η βέλτιστη λειτουργία και η στρατηγική συμβολή του.

·Συνοχή: Η συνοχή του ENISA υποστηρίζεται από τη σημαντική συμμετοχή των συμφεροντούχων και την ευθυγράμμιση με τα πρόσφατα νομοθετικά πλαίσια. Ωστόσο, για να ενισχυθεί η συνοχή και η ορθή κατανομή των πόρων, είναι σημαντικό να βελτιωθούν οι συνέργειες με άλλους φορείς της Ένωσης, όπως το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας (ECCC), και με τις εθνικές αρχές. Επιπρόσθετα, η εσωτερική επικοινωνία και η διαχείριση των πόρων στο πλαίσιο του ENISA, σε συνδυασμό με τη διαφανή αλληλεπίδραση με συμφεροντούχους του ιδιωτικού τομέα, πρέπει να βελτιωθούν. Η σαφής οριοθέτηση των καθηκόντων του ENISA, σύμφωνα με την πράξη για την κυβερνοανθεκτικότητα και την οδηγία NIS 2, θα βελτιώσει τόσο την αποδοτικότητα όσο και τη ρυθμιστική συνοχή.

Όσον αφορά το ΕΠΠΚ, η πλήρης συνοχή με άλλες νομοθετικές πράξεις της Ένωσης, συμπεριλαμβανομένων της οδηγίας NIS 2 και της πράξης για την κυβερνοανθεκτικότητα, είναι καίριας σημασίας για τη διασφάλιση μιας ενοποιημένης προσέγγισης κυβερνοασφάλειας. Παρόλο που το ΕΠΠΚ ευθυγραμμίζεται θεωρητικά με τα εν λόγω νομοθετικά μέτρα, η ενοποίηση σε πραγματικές συνθήκες παραμένει πολύπλοκο ζήτημα και επιτάσσει επιμελή εποπτεία. Η εφαρμογή του εγκριθέντος σχήματος EUCC εντός του πλαισίου της πράξης για την κυβερνοανθεκτικότητα θα αποτελέσει σημαντική δοκιμή εν προκειμένω.

·Ενωσιακή προστιθέμενη αξία: Ο ENISA έχει συμβάλει σημαντικά στο οικοσύστημα κυβερνοασφάλειας της Ένωσης μέσω της προώθησης της συνεργασίας και της ευθυγράμμισης των πρακτικών. Ο ρόλος του στη διευκόλυνση των εθνικών προσπαθειών και στην παροχή πληροφοριών σχετικά με αναδυόμενες απειλές ήταν ζωτικής σημασίας. Ωστόσο, οι επικρίσεις που έχουν διατυπώσει συμφεροντούχοι του ιδιωτικού τομέα σχετικά με την ανάγκη για πιο εξατομικευμένη στήριξη καταδεικνύουν ότι είναι αναγκαίο να βελτιωθεί η συμμετοχή των συμφεροντούχων και η συνεργασία του κλάδου. Η στρατηγική επαναξιολόγηση της διαχείρισης των πόρων θα δώσει στον ENISA τη δυνατότητα να προσαρμοστεί καλύτερα στις εξελισσόμενες προκλήσεις στον τομέα της κυβερνοασφάλειας και να εξυπηρετεί αποτελεσματικότερα τους διάφορους συμφεροντούχους. Το ΕΠΠΚ αποσκοπούσε στη θέσπιση εναρμονισμένων διαδικασιών πιστοποίησης, αλλά αντιμετώπισε προκλήσεις εφαρμογής λόγω των παρατεταμένων χρονοδιαγραμμάτων και του κατακερματισμού. Η προστιθέμενη αξία του ΕΠΠΚ ήταν περιορισμένη λόγω των αδυναμιών του όσον αφορά την επίτευξη των στόχων του και της έλλειψης αποδοτικότητάς του. Παρά τις προκλήσεις αυτές, το ΕΠΠΚ βελτίωσε την εναρμόνιση μεταξύ των κρατών μελών και δημιούργησε καλύτερες ευκαιρίες συνεργασίας, ιδίως με τη δημιουργία φόρουμ συνεργασίας των συμφεροντούχων, όπως της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας (στο εξής: ΕΟΠΙΚ).

•Διαβουλεύσεις με τους συμφεροντούχους

Μεταξύ του 2023 και του 2025 πραγματοποιήθηκαν αρκετές διαβουλεύσεις με συμφεροντούχους τόσο στο πλαίσιο της αξιολόγησης της πράξης για την κυβερνοασφάλεια όσο και στο πλαίσιο της αναθεώρησής της, όπως αναφέρεται κατωτέρω.

–Το 2023 πραγματοποιήθηκαν 65 συνεντεύξεις (εκ των οποίων 52 επικεντρώθηκαν περισσότερο στον ENISA και 13 κυρίως στο ΕΠΠΚ), πραγματοποιήθηκε πρόγραμμα έρευνας στο πλαίσιο του οποίου ελήφθησαν 209 απαντήσεις (εκ των οποίων 70 για το ΕΠΠΚ), ολοκληρώθηκε δημόσια διαβούλευση και διοργανώθηκαν δύο εργαστήρια σχετικά με την ανάλυση SWOT (ανάλυση πλεονεκτημάτων, αδυναμιών, ευκαιριών και απειλών) και τη διατύπωση σχετικών συστάσεων, με 26 και 70 συμμετέχοντες, αντίστοιχα. Οι δραστηριότητες αυτές αποσκοπούσαν ειδικά στη συγκέντρωση των απόψεων των συμφεροντούχων για την αξιολόγηση του αντίκτυπου, της αποτελεσματικότητας και της αποδοτικότητας του ENISA. Η τελική έκθεση της μελέτης για την υποστήριξη της αξιολόγησης του Οργανισμού της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) και του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας που εκπονήθηκε για λογαριασμό της Επιτροπής από τις PwC, Intellera Consulting και PPMI (2024) ολοκληρώθηκε τον Δεκέμβριο του 2024. 

–Το 2025 η Επιτροπή δρομολόγησε διαδικασία συγκέντρωσης αποδεικτικών στοιχείων. Ειδικότερα, οι συμφεροντούχοι κλήθηκαν να υποβάλουν γραπτές εισηγήσεις, συμπεριλαμβανομένων εγγράφων θέσης, τεχνικών εκθέσεων ή παρατηρήσεων σχετικά με συγκεκριμένες μεταρρυθμιστικές προτάσεις.  Ελήφθησαν συνολικά 184 μεμονωμένες εισηγήσεις από ευρύ φάσμα κατηγοριών συμφεροντούχων, συμπεριλαμβανομένων ενώσεων του κλάδου, εταιρειών κυβερνοασφάλειας, ΜΜΕ, ακαδημαϊκών ιδρυμάτων και οργανισμών δημόσιου συμφέροντος.

–Μεταξύ του Απριλίου και του Ιουνίου 2025 η Επιτροπή διοργάνωσε δημόσια διαβούλευση στο πλαίσιο της αναθεώρησης της πράξης για την κυβερνοασφάλεια και έλαβε 193 απαντήσεις. Η διαβούλευση περιλάμβανε 38 ερωτήσεις, κλειστού και ανοικτού τύπου, οι οποίες κάλυπταν την εντολή του ENISA, το ΕΠΠΚ, την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ και την απλούστευση.

–Στοχευμένη διαβούλευση (συνεντεύξεις): Πραγματοποιήθηκε σειρά συνεντεύξεων με επιλεγμένους συμφεροντούχους με τη χρήση ημιδομημένου ερωτηματολογίου. Στους εν λόγω συμφεροντούχους περιλαμβάνονταν εκπρόσωποι του ENISA, καθώς και εθνικές δημόσιες αρχές που έχουν αναπτύξει ή διαχειρίζονται εθνικές πλατφόρμες υποβολής στοιχείων. Οι συνεντεύξεις επικεντρώθηκαν στον ρόλο και την ικανότητα του ENISA, στην επιχειρησιακή λειτουργία του ΕΠΠΚ, στις πρακτικές προκλήσεις όσον αφορά την ευθυγράμμιση των διαδικασιών πιστοποίησης σε εθνικό και ενωσιακό επίπεδο, στον φόρτο υποβολής εκθέσεων και στα εμπόδια στην εφαρμογή. Μέσω των συζητήσεων αυτών δόθηκαν ποιοτικές πληροφορίες που εμπλούτισαν την ερμηνεία των αποτελεσμάτων της δημόσιας διαβούλευσης και υποστήριξαν τη βελτίωση των επιλογών πολιτικής.

–Διαβούλευση με τους εκπροσώπους των κρατών μελών στο πλαίσιο της ομάδας εργασίας του Συμβουλίου 19 και σε διμερείς συζητήσεις, κατά τις οποίες τα κράτη μέλη είχαν τη δυνατότητα να εκφράσουν τις απόψεις τους σχετικά με την επανεξέταση της πράξης για την κυβερνοασφάλεια.

–Στοχευμένη διαβούλευση [ομάδες ΕΠΠΚ — ΕΟΠΙΚ, ομάδα συμφεροντούχων για την πιστοποίηση της κυβερνοασφάλειας (στο εξής: ΟΣΠΙΚ)]: Η Επιτροπή, υπό την ιδιότητα της προέδρου και των δύο ομάδων, παρουσίασε την πορεία των εργασιών σχετικά με την αναθεώρηση της πράξης για την κυβερνοασφάλεια κατά τις συνεδριάσεις της ΕΟΠΙΚ στις 12 Μαρτίου και στις 3 Ιουλίου 2025, καθώς και κατά τη συνεδρίαση της ΟΣΠΙΚ στις 17 Μαρτίου 2025. Επιπρόσθετα, συγκεντρώθηκαν συμπληρωματικές γνώμες εμπειρογνωμόνων από τα μέλη της ΕΟΠΙΚ μέσω ερωτηματολογίων.

·την εντολή και τον επιχειρησιακό ρόλο του ENISA, συμπεριλαμβανομένων της στήριξης των κρατών μελών και της εμπειρογνωσίας στις αναδυόμενες τεχνολογίες·

·την αποτελεσματικότητα του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας, συμπεριλαμβανομένων των διαδικασιών διακυβέρνησης και ανάπτυξης·

·την πολυπλοκότητα και τον κατακερματισμό των υποχρεώσεων κυβερνοασφάλειας, με έμφαση στον φόρτο υποβολής εκθέσεων και τη δυνητική απλούστευση·

·την αναλογικότητα των απαιτήσεων για τις ΜΜΕ και τη δυνατότητα ύπαρξης διαφοροποιημένων πορειών συμμόρφωσης· και

·τις κοινωνικές και οικονομικές επιπτώσεις των εναρμονισμένων κανόνων κυβερνοασφάλειας, συμπεριλαμβανομένων των επιπτώσεων στους καταναλωτές, τα δικαιώματα, την καινοτομία και την ανταγωνιστικότητα.

•Εκτίμηση επιπτώσεων

Η τελική πρόταση πολιτικής δεν αποκλίνει από τις επιλογές που αξιολογήθηκαν στην εκτίμηση των επιπτώσεων.

Επιλογές για την αντιμετώπιση της απόκλισης μεταξύ του πλαισίου πολιτικής της Ένωσης για την κυβερνοασφάλεια και των αναγκών των συμφεροντούχων σε ένα ολοένα και πιο εχθρικό περιβάλλον

Επιλογές για το ΕΠΠΚ

Επιλογή Β.1: Αποσαφήνιση του πεδίου εφαρμογής, των στοιχείων και των στόχων του ΕΠΠΚ και θέσπιση μηχανισμού συντήρησης — Η επιλογή αυτή προβλέπει νέο μηχανισμό συντήρησης των σχημάτων, μετά την έγκρισή τους, ο οποίος θα εφαρμόζεται από τον ENISA.

Επιλογή Β.2: Μεταρρύθμιση του ΕΠΠΚ με την αναθεώρηση των διαδικασιών του και την επέκταση του πεδίου εφαρμογής για τη διευκόλυνση της απλούστευσης της κανονιστικής συμμόρφωσης — Η επιλογή αυτή καταργεί την πράξη για την κυβερνοασφάλεια και την αντικαθιστά με νέο κανονισμό. Επιπρόσθετα στην επιλογή Β.1, οι διαδικασίες που σχετίζονται με την υποβολή αιτημάτων για σχήματα, την ανάπτυξη και την έγκριση σχημάτων θα αναθεωρηθούν για τη βελτίωση της λογοδοσίας και της αποδοτικότητας.

Επιλογή Β.3: Μεταρρύθμιση του ΕΠΠΚ, όπως προβλέπεται στην επιλογή B.2, και θέσπιση υποχρεωτικής πιστοποίησης της κυβερνοστάσης — Η επιλογή αυτή βασίζεται στην επιλογή B.2, αλλά αποσκοπεί στην περαιτέρω αύξηση του αντίκτυπου του πλαισίου με τη θέσπιση υποχρεωτικής πιστοποίησης των βασικών οντοτήτων με βάση συγκεκριμένα σενάρια κινδύνου, αντί να βασίζεται αποκλειστικά στην προαιρετική πιστοποίηση των οντοτήτων.

Επιλογές για την απλούστευση

Επιλογή Γ.1: Υιοθέτηση προσέγγισης μη δεσμευτικού δικαίου και μη νομοθετικών πράξεων, συμπεριλαμβανομένης της χρήσης υφιστάμενων εξουσιοδοτήσεων (έκδοση εκτελεστικών πράξεων σύμφωνα με το άρθρο 21 παράγραφος 5 και το άρθρο 23 παράγραφος 11 της οδηγίας NIS 2) — Η επιλογή αυτή προβλέπει την έκδοση εκτελεστικών πράξεων με τη χρήση των υφιστάμενων εξουσιοδοτήσεων βάσει της οδηγίας NIS 2 για τη διασφάλιση υψηλότερου βαθμού εναρμόνισης των μέτρων διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας, των κατώτατων ορίων αναφοράς περιστατικών, καθώς και του είδους των πληροφοριών, των μορφότυπων και της διαδικασίας των κοινοποιήσεων. Προβλέπει επίσης την έκδοση δέσμης κατευθυντήριων γραμμών για την ενίσχυση της ασφάλειας δικαίου και της εναρμονισμένης εφαρμογής.

Επιλογή Γ.2: Στοχευμένη παρέμβαση — περαιτέρω απλούστευση της συμμόρφωσης με το σχετικό νομοθετικό πλαίσιο της Ένωσης για την κυβερνοασφάλεια — Η επιλογή αυτή συνεπάγεται περιορισμένη παρέμβαση μέσω αλλαγών στην πράξη για την κυβερνοασφάλεια και στην οδηγία NIS 2, με στόχο την απλούστευση συγκεκριμένων πτυχών του πλαισίου για την κυβερνοασφάλεια, συμπεριλαμβανομένων προσαρμογών στο πεδίο εφαρμογής, μέγιστης εναρμόνισης για τις εκτελεστικές πράξεις, απόδειξης της συμμόρφωσης μέσω της πιστοποίησης και έκδοσης της δέσμης κατευθυντήριων γραμμών που προβλέπεται στην επιλογή Γ.1.  

Επιλογή Δ.1: Υιοθέτηση προσέγγισης μη δεσμευτικού δικαίου για την αντιμετώπιση των κινδύνων κυβερνοασφάλειας για τις αλυσίδες εφοδιασμού ΤΠΕ — Η επιλογή αυτή δεν προβλέπει κανονιστική παρέμβαση σ’ επίπεδο ΕΕ. Αντ’ αυτής, η Επιτροπή αυξάνει τον αριθμό των συντονισμένων εκτιμήσεων κινδύνου και των προαιρετικών εργαλειοθηκών.

Επιλογή Δ.2: Ad hoc ρυθμιστική παρέμβαση που κωδικοποιεί την εργαλειοθήκη για τα δίκτυα 5G — Η επιλογή αυτή προβλέπει την κωδικοποίηση των μέτρων της εργαλειοθήκης για τα δίκτυα 5G. Προβλέπει την υποχρέωση των κρατών μελών να διασφαλίζουν ότι σε βασικά πάγια στοιχεία του δικτύου δεν χρησιμοποιούνται συνιστώσες από προμηθευτές υψηλού κινδύνου.

Ο συνδυασμός αυτός προσφέρει ισορροπημένη απάντηση στις προκλήσεις πολιτικής που προσδιορίστηκαν, ενισχύοντας σημαντικά την αποτελεσματικότητα, την αποδοτικότητα και τη συνοχή σε ολόκληρη την Ένωση.

Ταυτόχρονα, οι εξορθολογισμένες και μειωμένες υποχρεώσεις συμμόρφωσης αναμένεται να αποφέρουν εξοικονόμηση κόστους έως και 15,3 δισ. EUR για τις επιχειρήσεις σε διάστημα πέντε ετών. Επιπρόσθετα, η βελτίωση της συνολικής κυβερνοστάσης και τεχνολογικής κυριαρχίας της Ένωσης και η τόνωση της καινοτομίας και της ανταγωνιστικότητας θα αποφέρουν σημαντικά οφέλη για το ευρύ κοινό, τις δημόσιες αρχές και τις επιχειρήσεις. Αυτό αναμένεται να αντισταθμίσει σε μεγάλο βαθμό τις αρχικές δαπάνες μακροπρόθεσμα.

Με τη μείωση του κατακερματισμού της αγοράς και την εναρμόνιση των κανονιστικών απαιτήσεων, οι προτιμώμενες επιλογές ενισχύουν την ανταγωνιστική ισότητα σε ολόκληρη την Ένωση, παρέχοντας στις επιχειρήσεις σαφέστερες οδούς προς τη συμμόρφωση και την καινοτομία.

•Καταλληλότητα και απλούστευση του κανονιστικού πλαισίου

•Θεμελιώδη δικαιώματα

Η νομοθετική πρόταση αξιολογήθηκε με βάση τις δυνατότητές της να ενισχύσει ή να θέσει σε κίνδυνο τα θεμελιώδη δικαιώματα και να προωθήσει την ισότητα και την εμπιστοσύνη, με ιδιαίτερη έμφαση στις κοινωνικές επιπτώσεις και τα δικαιώματα, συμπεριλαμβανομένων της ιδιωτικής ζωής, της προστασίας των δεδομένων και της ικανότητας των ατόμων να κατανοούν, να ασκούν και να επιβάλλουν τα δικαιώματά τους.

Η επέκταση της εντολής του ENISA θα συμβάλει στην αύξηση της κυβερνοανθεκτικότητας σε ολόκληρη την οικονομία και την κοινωνία γενικότερα, με αποτέλεσμα την καλύτερη προστασία της ιδιωτικής ζωής και των δεδομένων προσωπικού χαρακτήρα των πολιτών. Η πρόταση θα στηρίξει επίσης την εκπαίδευση και την κατάρτιση στον τομέα της κυβερνοασφάλειας, καθώς αποσαφηνίζει τον ρόλο του ENISA στην ανάπτυξη δεξιοτήτων για το εργατικό δυναμικό στον τομέα της κυβερνοασφάλειας.

Επιπρόσθετα, το ΕΠΠΚ θα βελτιώσει την εμπιστοσύνη του ευρέος κοινού και των επιχειρήσεων στην Ένωση σε πιστοποιημένες λύσεις ΤΠΕ που υποστηρίζουν την καθημερινότητα. Η δημιουργία πρόσθετων σχημάτων θα αύξανε αυτόν τον αντίκτυπο.

4.ΔΗΜΟΣΙΟΝΟΜΙΚΕΣ ΕΠΙΠΤΩΣΕΙΣ

5.ΛΟΙΠΑ ΣΤΟΙΧΕΙΑ

•Σχέδια εφαρμογής και ρυθμίσεις παρακολούθησης, αξιολόγησης και υποβολής εκθέσεων

•Επεξηγηματικά έγγραφα (για οδηγίες)

•Αναλυτική επεξήγηση των επιμέρους διατάξεων της πρότασης

ΤΙΤΛΟΣ II: ENISA (Ο ΟΡΓΑΝΙΣΜΟΣ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ ΓΙΑ ΤΗΝ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑ)

Η Επιτροπή μπορεί να προσδιορίζει, μέσω εκτελεστικών πράξεων, βασικά πάγια στοιχεία ΤΠΕ που χρησιμοποιούνται για την κατασκευή προϊόντων και την παροχή υπηρεσιών από τους τύπους οντοτήτων που αναφέρονται στο παράρτημα I και στο παράρτημα II της οδηγίας (ΕΕ) 2022/2555. Το άρθρο 102 περιγράφει περαιτέρω τις παραμέτρους που πρέπει να λαμβάνονται υπόψη για τον προσδιορισμό των βασικών πάγιων στοιχείων ΤΠΕ. Στο άρθρο 103 καθορίζονται πιθανά μέτρα μετριασμού στις αλυσίδες εφοδιασμού ΤΠΕ. Η Επιτροπή, μέσω εκτελεστικών πράξεων, μπορεί να αποφασίσει ότι οντότητες που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας και σε άλλους κρίσιμους τομείς πρέπει να υπόκεινται σε ειδικά μέτρα μετριασμού, τα οποία αναλύονται περαιτέρω στο άρθρο.

Η Επιτροπή, μέσω εκτελεστικών πράξεων, καταρτίζει καταλόγους προμηθευτών υψηλού κινδύνου σε σχέση με τις απαγορεύσεις που προβλέπονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1 ή το άρθρο 103 παράγραφος 7, ή την απαγόρευση που αναφέρεται στο άρθρο 110 παράγραφος 1, αφού διενεργήσει αξιολόγηση της εγκατάστασης, της κυριότητας και του ελέγχου. Θα πρέπει να διαβουλεύεται με τους οικείους προμηθευτές και τις αρμόδιες αρχές (άρθρο 104).

Οντότητα εγκατεστημένη σε τρίτη χώρα ή ελεγχόμενη από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια, η οποία έχει χαρακτηριστεί σύμφωνα με το άρθρο 100, μπορεί να ζητήσει να της επιτραπεί να παρέχει συνιστώσες ΤΠΕ σε βασικά πάγια στοιχεία ΤΠΕ οντοτήτων του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και να συμμετέχει σε δημόσιες συμβάσεις σε σχέση με την παροχή των εν λόγω συνιστωσών ΤΠΕ. Το άρθρο 105 διευκρινίζει τι θα πρέπει να περιέχει το αίτημα και ποια είναι η διαδικασία για την εν λόγω εξαίρεση. Στο άρθρο 106 προσδιορίζονται τα δικαιώματα υπεράσπισης της εν λόγω οντότητας. Η Επιτροπή τηρεί μητρώο των αποφάσεων σχετικά με τις εξαιρέσεις, στο οποίο έχει πρόσβαση το κοινό (άρθρο 107). Στα άρθρα 108 και 109 καθορίζονται κανόνες εμπιστευτικότητας και τέλη που σχετίζονται με τη διαδικασία εξαίρεσης.

Το κεφάλαιο II προβλέπει την εφαρμογή του πλαισίου για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ σε δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών, διασφαλίζοντας την ευθυγράμμιση με την προτεινόμενη πράξη για τα ψηφιακά δίκτυα.

Τα βασικά πάγια στοιχεία ΤΠΕ για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών καθορίζονται στο παράρτημα II. Η μεταβατική περίοδος για τη σταδιακή κατάργηση συνιστωσών ΤΠΕ από προμηθευτές υψηλού κινδύνου για τα βασικά πάγια στοιχεία ΤΠΕ των δικτύων κινητών ηλεκτρονικών επικοινωνιών δεν υπερβαίνει τους 36 μήνες από την έναρξη ισχύος του παρόντος κανονισμού. Οι μεταβατικές περίοδοι για δίκτυα σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών καθορίζονται από την Επιτροπή μέσω εκτελεστικών πράξεων. Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξη για την τροποποίηση των βασικών πάγιων στοιχείων ΤΠΕ και των μεταβατικών περιόδων που έχουν καθοριστεί, μεταξύ άλλων για τις μελλοντικές γενιές κινητών επικοινωνιών (άρθρο 110). Το άρθρο 111 ορίζει ότι οι πάροχοι δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών δεν μπορούν να χρησιμοποιούν, να εγκαθιστούν ή να ενσωματώνουν, σε οποιαδήποτε μορφή, συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου και δεν μπορούν να λάβουν γενική ή ατομική άδεια.

Αρμόδιες αρχές, εποπτεία και επιβολή, δικαιοδοσία, δικαιώματα υπεράσπισης (κεφάλαιο III)

Το κεφάλαιο III καθορίζει περαιτέρω τους κανόνες σχετικά με τις αρμόδιες αρχές, την εποπτεία, την επιβολή και τη δικαιοδοσία. 

Στα άρθρα 112 έως 114 καθορίζονται οι εξουσίες, τα μέσα και οι αρμοδιότητες των κρατών μελών όσον αφορά τη διασφάλιση της εφαρμογής και της επιβολής των διατάξεων του τίτλου IV. Τα κράτη μέλη πρέπει να ορίσουν μία ή περισσότερες αρμόδιες αρχές και να τις κοινοποιήσουν στην Επιτροπή. Το άρθρο 113 προβλέπει ότι η Επιτροπή συγκροτεί δίκτυο συνεργασίας των αρμόδιων αρχών των κρατών μελών και της Επιτροπής για τη διευκόλυνση της συμμόρφωσης, ενώ το άρθρο 114 προσδιορίζει τα μέτρα εποπτείας και επιβολής που δικαιούνται να λαμβάνουν οι αρμόδιες αρχές. Οι κυρώσεις σε περίπτωση παράβασης των διατάξεων του τίτλου IV καθορίζονται στο άρθρο 115. Στο άρθρο 116 περιγράφεται λεπτομερώς η δυνατότητα των κρατών μελών να αλληλοβοηθούνται, όταν οι οντότητες ασκούν διασυνοριακές δραστηριότητες ή όταν τα οικεία βασικά πάγια στοιχεία ΤΠΕ βρίσκονται σε περισσότερα από ένα κράτη μέλη. Το άρθρο 117 προβλέπει τους κανόνες δικαιοδοσίας και εδαφικότητας.

2026/0011 (COD)

Πρόταση

ΚΑΝΟΝΙΣΜΟΣ ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ

σχετικά με τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA), το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας και την ασφάλεια της αλυσίδας εφοδιασμού ΤΠΕ και την κατάργηση του κανονισμού (ΕΕ) 2019/881 (κανονισμός για την κυβερνοασφάλεια 2)

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης, και ιδίως το άρθρο 114,

Έχοντας υπόψη την πρόταση της Ευρωπαϊκής Επιτροπής,

Κατόπιν διαβίβασης του σχεδίου νομοθετικής πράξης στα εθνικά κοινοβούλια,

Έχοντας υπόψη τη γνώμη της Ευρωπαϊκής Οικονομικής και Κοινωνικής Επιτροπής 24 ,

Έχοντας υπόψη τη γνώμη της Επιτροπής των Περιφερειών 25 ,

Αποφασίζοντας σύμφωνα με τη συνήθη νομοθετική διαδικασία,

Εκτιμώντας τα ακόλουθα:

(1) Μετά την έκδοση του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 26 , το γεωπολιτικό, το τεχνολογικό και το πολιτικό τοπίο έχουν υποστεί σημαντικούς μετασχηματισμούς. Τα περιστατικά κυβερνοασφάλειας, είτε προκαλούνται από αστοχίες του συστήματος, ανθρώπινο σφάλμα, κακόβουλες πράξεις ή φυσικά φαινόμενα, έχουν αυξηθεί και οι κυβερνοεπιθέσεις έχουν γίνει πιο εξελιγμένες, επηρεάζοντας βασικές οντότητες, επιχειρήσεις και το ευρύ κοινό. Το οικοσύστημα του κυβερνοεγκλήματος έχει επεκταθεί, με επίκεντρο τη δραστηριότητα λυτρισμικού. Τα περιστατικά στις αλυσίδες εφοδιασμού, είτε αυτά προκαλούνται από εγκληματίες για οικονομικό όφελος είτε από κρατικούς φορείς για σκοπούς διαταραχής, κατασκοπείας, παραπληροφόρησης ή πολέμου, έχουν ενταθεί. Στο πλαίσιο μιας ευρύτερης υβριδικής στρατηγικής, περιστατικά που προκαλούνται από κακόβουλες δραστηριότητες στον κυβερνοχώρο και αστοχίες συστημάτων εξαπλώνονται, διαταράσσοντας την παροχή βασικών υπηρεσιών, υπονομεύοντας την εμπιστοσύνη στους θεσμούς και επηρεάζοντας την κοινωνική και αμυντική ετοιμότητα της Ένωσης. Έχει αποδειχθεί ότι τα περιστατικά αυτά μπορούν να επηρεάσουν την οικονομική δραστηριότητα, τη χρηματοπιστωτική σταθερότητα και τη ζωή των πολιτών. Ταυτόχρονα, η ευπάθεια κρίσιμων μη στρατιωτικών υποδομών και συστημάτων θέτει σε κίνδυνο τις αμυντικές ικανότητες, όταν αυτές βασίζονται στις εν λόγω υποδομές και συστήματα.

(2)Παράλληλα, αναδυόμενες τεχνολογίες, όπως η τεχνητή νοημοσύνη και η κβαντική υπολογιστική, έχουν ρηξικέλευθες επιπτώσεις στην κυβερνοασφάλεια και την κυβερνοάμυνα. Αναδιαμορφώνουν τα εργαλεία άμυνας και τις τακτικές των αντιπάλων, εγείροντας απειλές για την κυβερνοασφάλεια και την κυβερνοάμυνα, ενώ παράλληλα προσφέρουν οδούς για τεχνολογικές εξελίξεις. Μολονότι μπορούν να συμβάλουν στην κυβερνοασφάλεια μέσω του ενισχυμένου εντοπισμού απειλών ή της αυτοματοποιημένης αντιμετώπισης περιστατικών, αυξάνουν επίσης τη συνολική επιφάνεια επίθεσης για οργανώσεις, αποτελούν δυνητικούς στόχους χειραγώγησης και μπορούν να υπονομεύσουν τη μακροπρόθεσμη βιωσιμότητα μέτρων ασφάλειας, όπως της κρυπτογράφησης.

(3)Για την αντιμετώπιση αυτών των εξελίξεων, η Ένωση έχει ενισχύσει τα νομικά εργαλεία και τα εργαλεία πολιτικής της. Η οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 27 ενισχύει την κυβερνοασφάλεια για τις κρίσιμες υποδομές και συμπληρώνεται από την οδηγία (ΕΕ) 2022/2557 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 28 για την υλική ασφάλεια. Ο κανονισμός (ΕΕ) 2024/2847 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 29 ενισχύει την κυβερνοασφάλεια των προϊόντων με ψηφιακά στοιχεία. Ο κανονισμός (ΕΕ) 2025/38 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 30 δημιουργεί ικανότητες αντίδρασης σε επίπεδο Ένωσης και η σύσταση του Συμβουλίου, της 6ης Ιουνίου 2025, σχετικά με σχέδιο στρατηγικής της ΕΕ για τη διαχείριση κυβερνοκρίσεων 31 (στο εξής: σύσταση σχετικά με σχέδιο για τη διαχείριση κυβερνοκρίσεων) στηρίζει τη συνεργασία σε επίπεδο Ένωσης για τη διαχείριση κρίσεων. Η εργαλειοθήκη για την κυβερνοασφάλεια των δικτύων 5G 32 αποτελεί ένα πρώτο βήμα προς μια συντονισμένη προσέγγιση σε επίπεδο Ένωσης για την ασφάλεια των δικτύων 5G. Η ανακοίνωση της Επιτροπής σχετικά με την Ακαδημία Δεξιοτήτων Κυβερνοασφάλειας 33 αντιμετωπίζει την αυξανόμενη πρόκληση της έλλειψης ταλέντων στον τομέα της κυβερνοασφάλειας. Επιπρόσθετα, το πλαίσιο για την κυβερνοασφάλεια έχει ενισχυθεί με ειδική τομεακή νομοθεσία, ειδικότερα με τον κανονισμό (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 34 για τον χρηματοοικονομικό τομέα, τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2024/1366 της Επιτροπής 35 για τον υποτομέα της ηλεκτρικής ενέργειας, τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2022/1645 της Επιτροπής 36 και τον εκτελεστικό κανονισμό (ΕΕ) 2023/203 της Επιτροπής 37 (Μέρος-IS), καθώς και με σχετικούς κανόνες αεροπορικής ασφάλειας που καθορίζονται στον κανονισμό (ΕΕ) 2019/1583 της Επιτροπής 38 για τον υποτομέα των αεροπορικών μεταφορών, και άλλα έγγραφα πολιτικής, όπως την ανακοίνωση της Επιτροπής σχετικά με ευρωπαϊκό σχέδιο δράσης για την κυβερνοασφάλεια των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης 39 . Οι οντότητες της Ένωσης ενισχύονται επίσης με τον κανονισμό (ΕΕ, Ευρατόμ) 2023/2841 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 40 , ο οποίος θεσπίζει μέτρα που αποσκοπούν στην επίτευξη υψηλού κοινού επιπέδου κυβερνοασφάλειας εντός των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης. Αυτό το ενισχυμένο νομικό πλαίσιο για την κυβερνοασφάλεια έχει προσδιορίσει περαιτέρω τα καθήκοντα του Οργανισμού της Ευρωπαϊκής Ένωσης για την Ασφάλεια Δικτύων και Πληροφοριών (στο εξής: ENISA).

(4)Στο πλαίσιο αυτό, και όπως αναφέρεται στη στρατηγική ProtectEU: ευρωπαϊκή στρατηγική για την εσωτερική ασφάλεια 41 και στη στρατηγική για την Ένωση Ετοιμότητας 42 , η διασφάλιση της ετοιμότητας, της ασφάλειας και της ανθεκτικότητας της κοινωνίας και της οικονομίας της Ένωσης επιτάσσει ισχυρό ευρωπαϊκό συντονισμό, εμπιστοσύνη και ανταλλαγή πληροφοριών μεταξύ των συμφεροντούχων, ισχυρά πλαίσια για την κατοχύρωση της ασφάλειας των προϊόντων, υπηρεσιών, διαδικασιών ΤΠΕ και των διαχειριζόμενων υπηρεσιών ασφάλειας, καθώς και αύξηση και ενίσχυση του εργατικού δυναμικού στον τομέα της κυβερνοασφάλειας. Ζητείται επίσης η ενίσχυση των αλυσίδων εφοδιασμού ΤΠΕ με τη διασφάλιση της ευρωπαϊκής τεχνολογικής κυριαρχίας όσον αφορά βασικά πάγια στοιχεία, η οποία θα αυξήσει την ανθεκτικότητα της Ένωσης και θα μπορούσε να ωφελήσει τις προσπάθειες κυβερνοάμυνας. Επιπρόσθετα, στην ανακοίνωση σχετικά με την ενίσχυση της οικονομικής ασφάλειας της ΕΕ 43 προσδιορίζονται ως στόχοι προτεραιότητας οι ανάγκες αποτροπής της πρόσβασης σε ευαίσθητες πληροφορίες και δεδομένα που θα μπορούσαν να υπονομεύσουν την οικονομική ασφάλεια της ΕΕ και πρόληψης και μετριασμού των διαταραχών στις κρίσιμες υποδομές της ΕΕ που επηρεάζουν την οικονομία της. Στην ανακοίνωση αναγνωρίζεται ο ουσιαστικός ρόλος που διαδραματίζουν, εν προκειμένω, τα αποτελεσματικά μέτρα κυβερνοασφάλειας.

(5)Τα περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας που επηρεάζουν κρίσιμες υποδομές, ψηφιακές υπηρεσίες ή βασικές κοινωνικές λειτουργίες ενδέχεται να έχουν επιπτώσεις στον πληθυσμό για την αντιμετώπιση των οποίων απαιτείται συντονισμένη δράση πολιτικής προστασίας και διαχείρισης κρίσεων σε επίπεδο Ένωσης. Σύμφωνα με την προσέγγιση για όλους τους παράγοντες κινδύνου που ακολουθείται στην ευρωπαϊκή στρατηγική για την Ένωση Ετοιμότητας και την απόφαση αριθ. 1313/2013/ΕΕ σχετικά με τον μηχανισμό πολιτικής προστασίας της Ένωσης, οι ρυθμίσεις για την επίγνωση της κατάστασης, την αντιμετώπιση περιστατικών και τις ασκήσεις βάσει του παρόντος κανονισμού θα πρέπει να αξιοποιούνται για τη διαχείριση κρίσεων της Ένωσης, ιδίως μέσω του Κέντρου Συντονισμού Αντιμετώπισης Εκτάκτων Αναγκών (ΚΣΑΕΑ).

(6)Η παρούσα πρόταση συνάδει με την {πρόταση οδηγίας για τη συμπλήρωση [της αναθεώρησης του κανονισμού (ΕΕ) 2019/881] και την τροποποίηση της οδηγίας (ΕΕ) 2022/2555 όσον αφορά την απλούστευση της εφαρμογής μέτρων για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση}, καθώς και με την [πρόταση κανονισμού για την απλούστευση της ψηφιακής νομοθεσίας (δέσμη μέτρων Omnibus για τον ψηφιακό τομέα)] 44 , η οποία προβλέπει την υποχρέωση του ENISA να αναπτύξει ενιαίο σημείο εισόδου για την αναφορά περιστατικών μέσω του οποίου οι οντότητες θα μπορούν να εκπληρώνουν ταυτόχρονα τις υποχρεώσεις αναφοράς περιστατικών που υπέχουν βάσει πολλών νομικών πράξεων, και συμπληρώνεται από τις δύο εν λόγω προτάσεις.

(7)Με τον κανονισμό (ΕΚ) αριθ. 460/2004 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 45 δημιουργήθηκε ο ENISA με σκοπό να συμβάλλει στη διασφάλιση υψηλού και αποτελεσματικού επιπέδου ασφάλειας των δικτύων και των πληροφοριών εντός της Ένωσης και στην ανάπτυξη μιας νοοτροπίας ασφάλειας των δικτύων και των πληροφοριών προς όφελος των πολιτών, των καταναλωτών, των επιχειρήσεων και των οργανισμών του δημόσιου τομέα. Η ισχύς της εντολής του ENISA παρατάθηκε τρεις φορές πριν από τη χορήγηση μόνιμης εντολής δυνάμει του κανονισμού (ΕΕ) 2019/881. Προκειμένου να αντιμετωπιστούν καλύτερα οι ανάγκες που δημιουργούνται από το εξελισσόμενο τοπίο απειλών και τεχνολογίας, ιδίως όσον αφορά την επιχειρησιακή συνεργασία και την αυξημένη ανάγκη για επαγγελματίες στον τομέα της κυβερνοασφάλειας, η εντολή του ENISA θα πρέπει να ενισχυθεί περαιτέρω. Για λόγους ασφάλειας δικαίου, ο κανονισμός (ΕΕ) 2019/881 θα πρέπει να καταργηθεί.

(8)Σε ένα εξελισσόμενο τοπίο απειλών, όπου η σημασία των περιστατικών κυβερνοασφάλειας αυξάνεται συνεχώς, η εξασφάλιση της εμπιστοσύνης των πολιτών, των δημόσιων αρχών και των επιχειρήσεων στην καθημερινή χρήση των τεχνολογιών είναι πιο σημαντική από ποτέ. Στην αύξηση της εμπιστοσύνης μπορεί να συμβάλει η ενισχυμένη πιστοποίηση σε επίπεδο Ένωσης που προσφέρει το ΕΠΠΚ, το οποίο προβλέπει κοινές απαιτήσεις κυβερνοασφάλειας και κριτήρια αξιολόγησης για όλες τις εθνικές αγορές και τους τομείς. Το νέο πλαίσιο θα πρέπει να καθορίζει τις κύριες οριζόντιες απαιτήσεις για τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας και να επιτρέπει την αναγνώριση και τη χρήση των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ σε όλα τα κράτη μέλη. Για τον σκοπό αυτό, θα πρέπει να θεσπιστεί διαδικασία και πλαίσιο διακυβέρνησης που να καθιστούν δυνατή την έγκαιρη και προβλέψιμη ανάπτυξη και συντήρηση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να εφαρμόζονται ομοιόμορφα σε όλα τα κράτη μέλη, ώστε να διασφαλίζεται η εναρμονισμένη εφαρμογή των απαιτήσεων κυβερνοασφάλειας, να εξασφαλίζονται ισότιμοι όροι ανταγωνισμού και να αποτρέπεται η αναζήτηση της πιο συμφέρουσας πιστοποίησης με βάση τα διαφορετικά επίπεδα αυστηρότητας στα διάφορα κράτη μέλη. Ο ENISA θα πρέπει να διαδραματίζει καίριο ρόλο στην ανάπτυξη των σχημάτων μέσω τεχνικών προδιαγραφών και στη διασφάλιση της τεχνικής επικαιροποίησης των εν λόγω συστημάτων. Επιπρόσθετα, για την αποτελεσματική κάλυψη των αναγκών της αγοράς, το πλαίσιο θα πρέπει να προβλέπει τη δυνατότητα πιστοποίησης των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας για τις οντότητες και να διευκολύνει τη συμμόρφωση με άλλη ισχύουσα νομοθεσία της Ένωσης στον τομέα της κυβερνοασφάλειας. Η ευθυγράμμιση με το ισχύον δίκαιο της Ένωσης, όπως τον κανονισμό (ΕΕ) 2024/2847 και την οδηγία (ΕΕ) 2022/2555, είναι απαραίτητη προκειμένου τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας να συμβάλουν στη μείωση του φόρτου συμμόρφωσης για τις επιχειρήσεις, στην αύξηση της ελκυστικότητάς τους και στην ενίσχυση της κυβερνοανθεκτικότητας της Ένωσης.

(9)Αποστολή του ENISA θα πρέπει να είναι η στήριξη των κρατών μελών και των οντοτήτων της Ένωσης για την επίτευξη υψηλού επιπέδου κυβερνοασφάλειας, ανθεκτικότητας και εμπιστοσύνης στην Ένωση. Για τον σκοπό αυτό, ο ENISA θα πρέπει να λειτουργεί ως σημείο αναφοράς για την παροχή συμβουλών και εμπειρογνωσίας σχετικά με την κυβερνοασφάλεια, και το έργο του θα πρέπει να περιστρέφεται, πρωτίστως, γύρω από τέσσερις βασικούς τομείς της κυβερνοασφάλειας σε επίπεδο Ένωσης. Πρώτον, ο ENISA θα πρέπει να στηρίζει τα κράτη μέλη στη συνεπή εφαρμογή της πολιτικής και της νομοθεσίας της Ένωσης σχετικά με την κυβερνοασφάλεια και να συνδράμει τα κράτη μέλη μέσω δραστηριοτήτων ανάπτυξης ικανοτήτων για τη συνεχή βελτίωση των ικανοτήτων τους όσον αφορά την ετοιμότητα, την ανθεκτικότητα και την αντίδραση. Δεύτερον, ο ENISA θα πρέπει να συμβάλλει στην επιχειρησιακή συνεργασία σε επίπεδο Ένωσης, μεταξύ των κρατών μελών, και στην ενίσχυση της κοινής επίγνωσης της κατάστασης όσον αφορά κυβερνοαπειλές και περιστατικά μεταξύ των κρατών μελών και των οντοτήτων της Ένωσης. Ο τρίτος βασικός τομέας θα πρέπει να είναι η πιστοποίηση και η τυποποίηση της κυβερνοασφάλειας, ενώ ο τέταρτος θα πρέπει να είναι η υλοποίηση της Ακαδημίας Δεξιοτήτων Κυβερνοασφάλειας, η οποία αναμένεται να συμβάλει στην ανάπτυξη ενός ακμάζοντος ευρωπαϊκού εργατικού δυναμικού στον τομέα της κυβερνοασφάλειας με δεξιότητες που θα πρέπει να μπορούν να μεταφέρονται μεταξύ των κρατών μελών.

(10)Ο κανονισμός (ΕΕ, Ευρατόμ) 2023/2841 για τον καθορισμό μέτρων για υψηλό κοινό επίπεδο κυβερνοασφάλειας στα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης προβλέπει την εντολή της Υπηρεσίας Κυβερνοασφάλειας για τα Θεσμικά και Λοιπά Όργανα και Οργανισμούς της Ένωσης (στο εξής: CERT-ΕΕ), ορίζοντας την ως υπηρεσία κυβερνοασφάλειας για τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης που θα συμβάλλει στην ασφάλεια του μη διαβαθμισμένου περιβάλλοντος ΤΠΕ των οντοτήτων της Ένωσης, παρέχοντάς τους συμβουλές σχετικά με την κυβερνοασφάλεια και υποστήριξη για την αποτροπή, τον εντοπισμό, τον χειρισμό, τον μετριασμό, την αντιμετώπιση περιστατικών και την ανάκαμψη από αυτά, και λειτουργώντας ως κόμβος συντονισμού για την ανταλλαγή πληροφοριών και την αντιμετώπιση περιστατικών στον τομέα της κυβερνοασφάλειας. Επιπρόσθετα, η CERT-ΕΕ είναι επιφορτισμένη με την παροχή σχετικών υπηρεσιών κυβερνοασφάλειας σε οντότητες της Ένωσης. Ο ENISA, στο πλαίσιο της αποστολής του, θα πρέπει να στηρίζει επίσης τις οντότητες της Ένωσης. Ειδικότερα, θα πρέπει να το πράττει μέσω διαρθρωμένης συνεργασίας με τη CERT-ΕΕ για την ανάπτυξη ικανοτήτων, την επιχειρησιακή συνεργασία και τις μακροπρόθεσμες στρατηγικές αναλύσεις των κυβερνοαπειλών. Κατά περίπτωση, ο ENISA μπορεί να αξιοποιεί τη διαρθρωμένη συνεργασία με τη CERT-ΕΕ για την παροχή υπηρεσιών κυβερνοασφάλειας ή στήριξης του ENISA που μπορούν να έχουν προστιθέμενη αξία για τις οντότητες της Ένωσης, με συντονισμένο τρόπο ώστε να διασφαλίζονται οι συνέργειες των προσπαθειών της CERT-ΕΕ.

(11)Ένα από τα βασικά καθήκοντα του ENISA θα πρέπει να είναι η παροχή στήριξης στα κράτη μέλη για τη συνεπή εφαρμογή της πολιτικής και του δικαίου της Ένωσης σχετικά με την κυβερνοασφάλεια, ειδικότερα όσον αφορά την οδηγία (ΕΕ) 2022/2555, τον κανονισμό (ΕΕ) 2024/2847 και τον κανονισμό (ΕΕ) 2025/38. Ο ENISA, για να συμβάλει στην επίτευξη της συνεπούς και αποτελεσματικής εφαρμογής του κεκτημένου της Ένωσης στον τομέα της κυβερνοασφάλειας, θα πρέπει να εκδίδει τεχνικές κατευθύνσεις και εκθέσεις, να παρέχει συμβουλές και βέλτιστες πρακτικές και να διευκολύνει την ανταλλαγή βέλτιστων πρακτικών μεταξύ των αρμόδιων αρχών για τον σκοπό αυτό. Επιπρόσθετα, ο ENISA αξιολογεί την κατάσταση της κυβερνοασφάλειας στην Ένωση και εκδίδει έκθεση για τον σκοπό αυτό σύμφωνα με το άρθρο 18 της οδηγίας (ΕΕ) 2022/2555. Ο ENISA θα πρέπει επίσης να είναι σε θέση να ανταποκρίνεται σε αιτήματα παροχής συμβουλών και συνδρομής που υποβάλλουν κράτη μέλη και, κατά περίπτωση, οντότητες της Ένωσης για θέματα που εμπίπτουν στην εντολή του ENISA.

(12)Με σκοπό την τόνωση της συνεργασίας μεταξύ του δημόσιου και του ιδιωτικού τομέα και εντός του ιδιωτικού τομέα, ιδίως για τη στήριξη της προστασίας κρίσιμων υποδομών, ο ENISA θα πρέπει να υποστηρίζει την ανταλλαγή πληροφοριών εντός και μεταξύ τομέων, ιδίως των τομέων που απαριθμούνται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, καθώς και πληροφοριών σχετικά με προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847. Η εν λόγω υποστήριξη μπορεί να λάβει τη μορφή παροχής βέλτιστων πρακτικών και καθοδήγησης σχετικά με τα διαθέσιμα εργαλεία και τις διαθέσιμες διαδικασίες, καθώς και παροχής καθοδήγησης σχετικά με τον τρόπο αντιμετώπισης κανονιστικών ζητημάτων που αφορούν την ανταλλαγή πληροφοριών, για παράδειγμα μέσω της διευκόλυνσης της δημιουργίας τομεακών κέντρων κοινοχρησίας και ανάλυσης πληροφοριών (ISAC).

(13)Προκειμένου να υποστηριχθεί και να διευκολυνθεί η στρατηγική συνεργασία και η ανταλλαγή πληροφοριών, ο ENISA θα πρέπει να συμβάλλει στις εργασίες της ομάδας συνεργασίας που συστάθηκε με την οδηγία (ΕΕ) 2022/2555 (στο εξής: ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών), ειδικότερα παρέχοντας εμπειρογνωσία και συμβουλές και διευκολύνοντας την ανταλλαγή βέλτιστων πρακτικών, μεταξύ άλλων σε σχέση με διασυνοριακές εξαρτήσεις, όσον αφορά κινδύνους και περιστατικά. Ο ENISA θα πρέπει επίσης να συμβάλλει στις εργασίες της ευρωπαϊκής ομάδας συνεργασίας για την ψηφιακή ταυτότητα που συστάθηκε με τον κανονισμό (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 46 , της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας και της ομάδας διοικητικής συνεργασίας (ADCO) που συστάθηκε με τον κανονισμό (ΕΕ) 2024/2847.

(14)Ο δημόσιος πυρήνας του ανοικτού διαδικτύου, δηλαδή τα κύρια πρωτόκολλα και οι υποδομές του που είναι παγκόσμιο δημόσιο αγαθό, παρέχει τη βασική λειτουργικότητα του διαδικτύου στο σύνολό του και στηρίζει την κανονική του λειτουργία. Στο πλαίσιο της εντολής του, ο ENISA θα πρέπει να στηρίζει την ασφάλεια και την ανθεκτικότητα του δημόσιου πυρήνα του ανοικτού διαδικτύου και τη σταθερότητα της λειτουργίας του, συμπεριλαμβανομένων, μεταξύ άλλων, της ασφαλούς εγκατάστασης και λειτουργίας βασικών πρωτοκόλλων [ιδίως του συστήματος ονομάτων τομέα, του πρωτοκόλλου πύλης συνοριακής γραμμής (Border Gateway Protocol) και της έκδοσης 6 του πρωτοκόλλου Ίντερνετ] και της λειτουργίας του συστήματος ονομάτων τομέα (όπως της λειτουργίας όλων των τομέων ανώτατου επιπέδου), προωθώντας βέλτιστες πρακτικές, καθοδήγηση και συνεργασία, σύμφωνα με τις καθιερωμένες παγκόσμιες, πολυμερείς ρυθμίσεις για τη διακυβέρνηση του διαδικτύου και τους αντίστοιχους ρόλους και αρμοδιότητες των σχετικών διεθνών τεχνικών και επιχειρησιακών φορέων.

(15)Ο ENISA λειτουργεί ως σημείο αναφοράς για την παροχή συμβουλών και εμπειρογνωσίας σχετικά με την κυβερνοασφάλεια. Ως εκ τούτου, κατόπιν αιτήματος της Επιτροπής, ο ENISA θα πρέπει να την επικουρεί μέσω εμπειρογνωσίας, τεχνικών συμβουλών, πληροφοριών, αναλύσεων, συμπεριλαμβανομένων μελετών σκοπιμότητας, γνωμοδοτήσεων και προπαρασκευαστικών εργασιών σχετικά με οποιοδήποτε συγκεκριμένο θέμα στον τομέα της κυβερνοασφάλειας, με σκοπό την τεκμηρίωση της χάραξης πολιτικής από την Επιτροπή και τη διευκόλυνση της παρακολούθησης από την Επιτροπή της εφαρμογής της νομοθεσίας της Ένωσης σχετικά με την κυβερνοασφάλεια.

(16)Ομοίως, λαμβανομένης υπόψη της εμπειρογνωσίας του, ο ENISA θα πρέπει να επικουρεί τα κράτη μέλη στην προσπάθειά τους να οικοδομήσουν και να ενισχύσουν τις ικανότητες και την ετοιμότητά τους για την πρόληψη, τον εντοπισμό και την αντιμετώπιση κυβερνοαπειλών και περιστατικών, καθώς και σε σχέση με την ασφάλεια συστημάτων δικτύου και πληροφοριών. Συγκεκριμένα, ο ENISA θα πρέπει να υποστηρίζει την ανάπτυξη και την ενίσχυση ομάδων αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές (στο εξής: CSIRT) που προβλέπονται στην οδηγία (ΕΕ) 2022/2555, με σκοπό την επίτευξη υψηλού κοινού επιπέδου ωριμότητας των CSIRT στην Ένωση.

(17)Ο ENISA έχει στηρίξει και θα πρέπει να συνεχίσει να στηρίζει τα κράτη μέλη στην εκπόνηση και την εφαρμογή κατευθυντήριων γραμμών για τις οικείες εθνικές στρατηγικές κυβερνοασφάλειας, συμβάλλοντας στην έγκριση και την εφαρμογή στρατηγικών κυβερνοασφάλειας από όλα τα κράτη μέλη. Ο ENISA θα πρέπει να προωθεί τη διάδοση των εν λόγω στρατηγικών μέσω του διαδραστικού χάρτη εθνικών στρατηγικών κυβερνοασφάλειας και θα πρέπει να παρακολουθεί περαιτέρω την πρόοδο της εφαρμογής τους, μεταξύ άλλων παρέχοντας στήριξη για την ανάπτυξη βασικών δεικτών επιδόσεων στο πλαίσιο αυτό.

(18)Με τον κανονισμό (ΕΕ, Ευρατόμ) 2023/2841 ανατέθηκε στο διοργανικό συμβούλιο κυβερνοασφάλειας να στηρίξει τις οντότητες της Ένωσης για τη βελτίωση της αντίστοιχης κυβερνοστάσης τους και στη CERT-ΕΕ να συμβάλει στην ασφάλεια του μη διαβαθμισμένου περιβάλλοντος ΤΠΕ όλων των οντοτήτων της Ένωσης. Ο ENISA, με βάση την πείρα του στον τομέα της κυβερνοασφάλειας, θα πρέπει να στηρίζει το διοργανικό συμβούλιο κυβερνοασφάλειας και τη CERT-ΕΕ στην εκπλήρωση των καθηκόντων τους σύμφωνα με τον κανονισμό (ΕΕ, Ευρατόμ) 2023/2841, μεταξύ άλλων συμβάλλοντας στην ανάλυση κυβερνοαπειλών, στην επίγνωση της κατάστασης, σε ασκήσεις κυβερνοασφάλειας, στον συντονισμό για την αντιμετώπιση περιστατικών και στην ανταλλαγή τεχνογνωσίας και βέλτιστων πρακτικών.

(19)Ο ENISA θα πρέπει να παρέχει κατάρτιση, με βάση την εμπειρογνωσία του και για τη συμπλήρωση των ικανοτήτων των εθνικών και ενωσιακών δημόσιων αρχών, χρησιμοποιώντας ως βάση το ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας (στο εξής: ΕΠΔΚ), ιδίως για τη στήριξη της αποτελεσματικής εφαρμογής πολιτικής, της επιχειρησιακής συνεργασίας και της ευαισθητοποίησης.

(20)Για να διασφαλιστούν συνέργειες με το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας (στο εξής: ECCC) και το δίκτυο εθνικών κέντρων συντονισμού που συστάθηκε δυνάμει του κανονισμού (ΕΕ) 2021/887 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 47 , ο ENISA θα πρέπει να τα στηρίζει μέσω της ανταλλαγής πληροφοριών σχετικά με υφιστάμενους και αναδυόμενους κινδύνους και κυβερνοαπειλές, συμπεριλαμβανομένων των κινδύνων και των απειλών που αφορούν τις τεχνολογίες πληροφοριών και επικοινωνιών.

(21)Στη στρατηγική για την ετοιμότητα επισημαίνεται ότι ο ψηφιακός γραμματισμός, ο οποίος βασίζεται στην απόκτηση βασικών ψηφιακών δεξιοτήτων, είναι απαραίτητος για την ενδυνάμωση της ανθεκτικότητας των πολιτών απέναντι σε δυνητικές κρίσεις. Ωστόσο, όπως επισημαίνεται στην ανακοίνωση της Επιτροπής σχετικά με την Ένωση Δεξιοτήτων 48 , σχεδόν το ήμισυ του ενήλικου πληθυσμού δεν διαθέτει βασικές ψηφιακές δεξιότητες, παρά το γεγονός ότι αυτές απαιτούνται σε πάνω από το 90 % των θέσεων εργασίας. Προκειμένου να διασφαλιστεί ότι το υφιστάμενο και το δυνητικό μελλοντικό εργατικό δυναμικό διαθέτει τις απαιτούμενες δεξιότητες σε ένα ταχέως εξελισσόμενο ψηφιακό περιβάλλον και να υποστηριχθεί η ανάπτυξη της ευρωπαϊκής δεξαμενής ταλέντων στον τομέα της κυβερνοασφάλειας, ο ENISA θα πρέπει να στηρίζει δραστηριότητες ευαισθητοποίησης στον τομέα της κυβερνοασφάλειας που αποσκοπούν στην προσέλκυση ταλέντων και συμβάλλουν στην ενημέρωση σχετικά με την εκπαίδευση και τις δεξιότητες που απαιτούνται στον τομέα της κυβερνοασφάλειας, όπως είναι ο διαγωνισμός European Cybersecurity Challenge (Ευρωπαϊκή πρόκληση κυβερνοασφάλειας). Στο πλαίσιο αυτό, ο ENISA θα πρέπει να συντονίζει διαγωνισμούς, εκδηλώσεις με ανταγωνιστικές προκλήσεις (capture-the-flag events) και παρόμοιες πρακτικές ασκήσεις σε θέματα κυβερνοασφάλειας, ως έναν τρόπο ανάπτυξης δεξιοτήτων στον τομέα της κυβερνοασφάλειας και προώθησης της ανάπτυξης ικανοτήτων σε ολόκληρη την Ένωση. Κατά τη διεξαγωγή δραστηριοτήτων ευαισθητοποίησης, ο ENISA θα πρέπει να διασφαλίζει ότι αυτές ανταποκρίνονται στις ανάγκες των εθνικών δημόσιων αρχών και των οντοτήτων της Ένωσης, καθώς και στις ανάγκες των επιχειρήσεων, ιδίως των ΜΜΕ, και των ιδρυμάτων εκπαίδευσης και κατάρτισης, διατηρώντας πρακτικά πλαίσια και προγράμματα κατάρτισης, όπως έτοιμο υλικό ευαισθητοποίησης (awareness-raising-in-a-box). Ο ENISA θα πρέπει να αναπτύξει περαιτέρω πρακτική και εφαρμόσιμη καθοδήγηση για την υποστήριξη της εφαρμογής της πολιτικής και της νομοθεσίας της Ένωσης για την κυβερνοασφάλεια. Ο ENISA θα πρέπει να προσπαθεί επίσης να παρέχει σχετικές πληροφορίες για τα ισχύοντα σχήματα πιστοποίησης, για παράδειγμα μέσω κατευθυντήριων γραμμών και συστάσεων.

(22)Για την υποστήριξη των επιχειρήσεων που δραστηριοποιούνται στον τομέα της κυβερνοασφάλειας, των χρηστών λύσεων κυβερνοασφάλειας και για τη διασφάλιση της αποτελεσματικής εφαρμογής του τίτλου III του παρόντος κανονισμού, ο ENISA θα πρέπει να αναπτύξει και να διατηρεί «παρατηρητήριο της αγοράς», διενεργώντας τακτικές αναλύσεις και διαδίδοντας πληροφορίες σχετικά με τις κύριες τάσεις στην αγορά κυβερνοασφάλειας, τόσο από την πλευρά της ζήτησης όσο και από την πλευρά της προσφοράς. Επιπρόσθετα, για την υποστήριξη των χρηστών της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας που θεσπίστηκε σύμφωνα με τον κανονισμό (ΕΕ) 2025/38, ο ENISA θα πρέπει να προβεί σε χαρτογράφηση των υπηρεσιών που χρειάζονται οι εν λόγω χρήστες και της διαθεσιμότητας των εν λόγω υπηρεσιών, σύμφωνα με τον εν λόγω κανονισμό.

(23)Οι κυβερνοαπειλές είναι παγκόσμιο πρόβλημα. Η στενότερη διεθνής συνεργασία είναι απαραίτητη για τη βελτίωση της κυβερνοασφάλειας, μεταξύ άλλων για τον καθορισμό κοινών προτύπων συμπεριφοράς και κοινών προσεγγίσεων. Για τον σκοπό αυτό, ο ENISA θα πρέπει να υποστηρίζει τη συνεργασία της Ένωσης με τρίτες χώρες, με έμφαση στις χώρες που είναι υποψήφιες για προσχώρηση στην Ένωση, και με διεθνείς οργανισμούς, όπως το ΝΑΤΟ, παρέχοντας την αναγκαία εμπειρογνωσία και ανάλυση στην Επιτροπή και στις σχετικές οντότητες της Ένωσης, κατά περίπτωση. Οι δραστηριότητες του ENISA στον διεθνή τομέα θα πρέπει πάντα να συνάδουν με τις προτεραιότητες της Ένωσης.

(24)Ο ENISA, για να συμβάλλει στην επίτευξη υψηλού επιπέδου κυβερνοασφάλειας στην Ένωση, θα πρέπει να υποστηρίζει την επιχειρησιακή συνεργασία μεταξύ των κρατών μελών, σε συνεργασία με τη CERT-ΕΕ, μεταξύ των οντοτήτων της Ένωσης και μεταξύ των συμφεροντούχων. Για τον σκοπό αυτό, ο ρόλος του ENISA θα πρέπει να ενισχυθεί. Ο ENISA θα πρέπει να γίνει μέλος του δικτύου CSIRT, συμβάλλοντας στην ανταλλαγή και ανάλυση των πληροφοριών του δικτύου. Ο ENISA θα πρέπει να προωθεί και να υποστηρίζει περαιτέρω τη συνεργασία μεταξύ των σχετικών CSIRT στην περίπτωση περιστατικών, επιθέσεων ή διαταραχών των δικτύων ή των υποδομών που διαχειρίζονται ή προστατεύουν οι CSIRT. Η ενεργός στήριξη του ENISA στο έργο του δικτύου CSIRT και του ευρωπαϊκού δικτύου οργανισμών διασύνδεσης για τις κρίσεις στον κυβερνοχώρο (στο εξής: EU-CyCLONe) αναμένεται να δώσει στα εν λόγω δίκτυα τη δυνατότητα να συνεχίσουν να ενισχύουν το επίπεδο ωριμότητάς τους. Ο ρόλος του ENISA στην υποστήριξη της εν λόγω συνεργασίας περιλαμβάνει την καταπολέμηση των απειλών για την ασφάλεια και την ακεραιότητα των δημοκρατικών θεσμών, των εκλογών και άλλων διαδικασιών, καθώς και των κρίσιμων υποδομών από τις οποίες αυτά εξαρτώνται, σύμφωνα με την ανακοίνωση με τίτλο «Ευρωπαϊκή Ασπίδα Δημοκρατίας: Ενδυνάμωση ισχυρών και ανθεκτικών δημοκρατιών» 49 .

(25)Για τη στήριξη της ανάπτυξης ικανοτήτων, της επιχειρησιακής συνεργασίας και των μακροπρόθεσμων στρατηγικών αναλύσεων των κυβερνοαπειλών, ο ENISA θα πρέπει να αξιοποιεί τη διαθέσιμη τεχνική και επιχειρησιακή εμπειρογνωσία της CERT-ΕΕ μέσω διαρθρωμένης συνεργασίας, για παράδειγμα μέσω ειδικών ρυθμίσεων.

(26)Προκειμένου να ενισχυθεί η κυβερνοασφάλεια σε ολόκληρη την Ένωση και να διασφαλιστεί η ταχεία και αποτελεσματική αντιμετώπιση των κυβερνοαπειλών, ο ENISA θα πρέπει να υποστηρίζει τα κράτη μέλη κατόπιν αιτήματός τους, μεταξύ άλλων παρέχοντας συμβουλές σχετικά με τη βελτίωση των οικείων ικανοτήτων αποτροπής, εντοπισμού, αντιμετώπισης περιστατικών και ανάκαμψης από αυτά, διευκολύνοντας τον τεχνικό χειρισμό σημαντικών περιστατικών κατά την έννοια της οδηγίας (ΕΕ) 2022/2555, ειδικότερα μέσω της στήριξης της εθελοντικής ανταλλαγής τεχνικών λύσεων μεταξύ των κρατών μελών, ή διασφαλίζοντας την ανάλυση κυβερνοαπειλών και των περιστατικών. Ο ENISA θα πρέπει επίσης να επικουρεί το EU-CyCLONe κατά την εκπόνηση εκθέσεων προς στο πολιτικό επίπεδο της Ένωσης και των κρατών μελών.

(27)Για να μειωθεί η έκθεση σε εξωτερικές παρεμβάσεις, σε χειραγώγηση των αλυσίδων εφοδιασμού και σε απόσπαση στρατηγικών δεδομένων, ο ENISA θα πρέπει να χρησιμοποιεί, στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe, εργαλεία ασφαλούς επικοινωνίας. Με βάση τη σύσταση σχετικά με σχέδιο για τη διαχείριση κυβερνοκρίσεων, τα εν λόγω εργαλεία θα πρέπει να παρέχονται από νομικές οντότητες που είναι ή θεωρούνται εγκατεστημένες στην Ένωση και ελέγχονται από κράτη μέλη ή από υπηκόους κρατών μελών.

(28)Ο ENISA, για να συμβάλει στην ετοιμότητα και την αντίδραση σε επίπεδο Ένωσης σε περίπτωση περιστατικών και κρίσεων κυβερνοασφάλειας μεγάλης κλίμακας, θα πρέπει να ασκεί δραστηριότητες επίγνωσης της κατάστασης στον τομέα της κυβερνοασφάλειας.

(29) Η πρόσβαση σε επαληθευμένες και αξιόπιστες πληροφορίες για κυβερνοαπειλές σε πραγματικό χρόνο είναι ζωτικής σημασίας για την ανάπτυξη κοινής επίγνωσης της κατάστασης στην Ένωση. Ο ENISA, η Επιτροπή, η CERT-ΕΕ και το Ευρωπαϊκό Κέντρο για το Κυβερνοέγκλημα (στο εξής: EC3) της Ευρωπόλ έχουν ήδη αναπτύξει αποθετήρια πληροφοριών για κυβερνοαπειλές, τα οποία είναι προσαρμοσμένα στις ειδικές ανάγκες τους. Ο ENISA και άλλες σχετικές οντότητες της Ένωσης θα πρέπει να συνεργάζονται, οικειοθελώς, για την ανάπτυξη αποθετηρίων επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές σε πραγματικό χρόνο και να επιδιώκουν συνέργειες για τη διασφάλιση οικονομιών κλίμακας και την ενίσχυση της χρηστής δημοσιονομικής διαχείρισης. Οι εργασίες αυτές θα πρέπει επίσης να περιλαμβάνουν τομεακές οντότητες της Ένωσης, όπως τον Οργανισμό της ΕΕ για το Διαστημικό Πρόγραμμα. Θα πρέπει να ανταλλάσσουν μόνο παράγωγες αναλύσεις, τάσεις και τακτικές, τεχνικές και διαδικασίες, όχι πρωτογενείς πηγές, και θα πρέπει να σέβονται την ανεξαρτησία των οντοτήτων να διαχειρίζονται τον κύκλο ζωής των δικών τους πληροφοριών για τις κυβερνοαπειλές σύμφωνα με τις εντολές τους και τους κανόνες για την ανάγκη γνώσης.

(30)Ο ENISA, προκειμένου να συμβάλει στην έγκαιρη και συντονισμένη αντίδραση, θα πρέπει να είναι σε θέση να εκδίδει έγκαιρες προειδοποιήσεις για δυνητικά ή υπό εξέλιξη σημαντικά ή μεγάλης κλίμακας περιστατικά ή για κυβερνοαπειλές με δυνητικό διασυνοριακό χαρακτήρα στην οικεία ή τις οικείες CSIRT και, κατά περίπτωση, στο δίκτυο CSIRT και στο EU-CyCLONe, ειδικότερα σε σχέση με τις οντότητες που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Οι πληροφορίες στις εν λόγω έγκαιρες προειδοποιήσεις μπορεί να περιλαμβάνουν δημόσια γνωστές ευπάθειες και κατά πόσον αυτές επηρεάζουν προϊόντα με ψηφιακά στοιχεία που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847, καθώς και τεχνικές και διαδικασίες, δείκτες παραβίασης, εχθρικές τακτικές, πληροφορίες που αφορούν συγκεκριμένους παράγοντες απειλής και συστάσεις σχετικά με μέτρα μετριασμού.

(31) Προκειμένου να διατηρηθεί η εμπιστοσύνη και να μην τεθεί σε κίνδυνο η ανταλλαγή πληροφοριών, είναι σημαντικό ο ENISA να εφαρμόζει ορατές σημάνσεις που υποδεικνύουν τον βαθμό στον οποίο ένα έγγραφο ή μια πληροφορία που έχει παραγάγει ή έχει λάβει μπορεί να κοινοποιηθεί περαιτέρω. Ομοίως, ο ENISA θα πρέπει να χρησιμοποιεί τα έγγραφα ή τις πληροφορίες που λαμβάνει για σκοπούς άσκησης των δραστηριοτήτων του, με την επιφύλαξη τυχόν περιορισμών μέσω ορατής σήμανσης σχετικά με την περαιτέρω διανομή των εν λόγω πληροφοριών.

(32)Ο ENISA, για να συμβάλει στην αύξηση της ενημέρωσης σχετικά με τους δείκτες κυβερνοαπειλών και τις συστάσεις για μέτρα μετριασμού, θα πρέπει να μεριμνήσει για τη διαθεσιμότητα υπηρεσίας έγκαιρης προειδοποίησης προς τις οντότητες που δραστηριοποιούνται στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Οι εν λόγω γενικές, προαιρετικές έγκαιρες προειδοποιήσεις αναμένεται να ωφελούν ιδίως τις ΜΜΕ και θα πρέπει να παρέχονται σε μηχαναγνώσιμο μορφότυπο, ο οποίος δημοσιοποιείται. Σε κάθε περίπτωση, η εν λόγω προαιρετική υπηρεσία είναι χωριστή από τυχόν συμπράξεις δημόσιου και ιδιωτικού τομέα που μπορεί να συνάψει ή έχει ήδη συνάψει ο ENISA και δεν σχετίζεται με αυτές.

(33)Για τη στήριξη της κοινής επίγνωσης της κατάστασης στην Ένωση, ο ENISA θα πρέπει να εκπονεί τακτικά, σε στενή συνεργασία με τα κράτη μέλη, αναλυτική τεχνική έκθεση για την κατάσταση της κυβερνοασφάλειας στην ΕΕ όσον αφορά περιστατικά και κυβερνοαπειλές, με βάση δημόσια διαθέσιμες πληροφορίες, τις αναλύσεις του και εκθέσεις που του κοινοποιούν οι CSIRT των κρατών μελών ή τα εθνικά ενιαία κέντρα επαφής σχετικά με την ασφάλεια των συστημάτων δικτύου και πληροφοριών (στο εξής: ενιαία σημεία επαφής) που προβλέπονται στην οδηγία (ΕΕ) 2022/2555, αμφότερα σε εθελοντική βάση, η Ευρωπόλ και η CERT-ΕΕ. Η εν λόγω έκθεση θα πρέπει να τίθεται στη διάθεση του Συμβουλίου, της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης, του EU-CyCLONe, του δικτύου CSIRT, της Επιτροπής και της Ευρωπόλ.

(34)Προκειμένου να ενισχυθεί η κοινή επίγνωση της κατάστασης μεταξύ των συμφεροντούχων όσον αφορά το τοπίο των κυβερνοαπειλών και των περιστατικών, ο ENISA θα πρέπει να αναλύει τις τάσεις σχετικά με τις κυβερνοαπειλές και τα περιστατικά. Αυτό θα πρέπει να περιλαμβάνει τακτική ανάλυση που θα εξετάζει τους τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς που απαριθμούνται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, συμπεριλαμβανομένων των τομέων της υγειονομικής περίθαλψης, της ενέργειας και των μεταφορών. Η εν λόγω ανάλυση θα πρέπει να περιλαμβάνει τα επίπεδα ωριμότητας των τομέων και να προσδιορίζει, μεταξύ άλλων, πιθανές προκλήσεις που αφορούν ειδικά συγκεκριμένους τομείς. Κατά περίπτωση, και προκειμένου να προσδιοριστούν οι επιπτώσεις στις αλυσίδες εφοδιασμού, η ανάλυση θα πρέπει να αποδεικνύει τις κυβερνοαπειλές και τις τάσεις που σχετίζονται με τις κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847. Ο ENISA θα πρέπει να αναπτύξει εμπειρογνωσία στον τομέα της κυβερνοασφάλειας των υποδομών και των κρίσιμων εξαρτήσεών τους από αλυσίδες εφοδιασμού, ιδίως για τη στήριξη των τομέων που απαριθμούνται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και της εφαρμογής του κανονισμού (ΕΕ) 2024/2847. Για τον σκοπό αυτό, ο ENISA θα πρέπει επίσης να συνεργάζεται, κατά περίπτωση, με άλλες αρμόδιες οντότητες της Ένωσης.

(35)Επιπλέον, για την καλύτερη κατανόηση των προκλήσεων στον τομέα της κυβερνοασφάλειας, ο ENISA πρέπει να αναλύει τις τρέχουσες και τις αναδυόμενες τεχνολογίες και να προβαίνει σε ειδικές ανά θέμα αξιολογήσεις σχετικά με τον αναμενόμενο κοινωνικό, νομικό, οικονομικό και κανονιστικό αντίκτυπο των τεχνολογικών καινοτομιών στην κυβερνοασφάλεια. Προκειμένου να διασφαλιστεί η ευκολότερη πρόσβαση του κοινού σε πληροφορίες σχετικά με τους κινδύνους κυβερνοασφάλειας και τα πιθανά διορθωτικά μέτρα, ο ENISA μπορεί να παρέχει σχετικές πληροφορίες στον ιστότοπό του, με φιλικό προς τον χρήστη και καλά δομημένο τρόπο.

(36)Ο ενισχυμένος ρόλος του ENISA στην προώθηση της επίγνωσης της κατάστασης, στην ανάλυση απειλών και στην παροχή τεχνικών συμβουλών θα συμβάλει στην ενίσχυση των συλλογικών προσπαθειών κυβερνοασφάλειας όσον αφορά προϊόντα με ψηφιακά στοιχεία και στη στήριξη της εφαρμογής του κανονισμού (ΕΕ) 2024/2847. Σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847, ο ENISA μπορεί να προτείνει κοινές δραστηριότητες στις αρχές εποπτείας της αγοράς για τον έλεγχο της συμμόρφωσης των προϊόντων με ψηφιακά στοιχεία και να προσδιορίζει κατηγορίες προϊόντων με ψηφιακά στοιχεία για τα οποία μπορούν να οργανωθούν σαρώσεις. Οι πληροφορίες που προκύπτουν από την ανάλυση των κυβερνοαπειλών και τις έγκαιρες προειδοποιήσεις αναμένεται να ενισχύουν τη στήριξη που παρέχει ο ENISA στις εν λόγω αρχές και να συμβάλλουν στην αποτελεσματική επιβολή του κανονισμού (ΕΕ) 2024/2847 για την πρόληψη των επιπτώσεων των κυβερνοεπιθέσεων στις αλυσίδες εφοδιασμού σε ολόκληρη την εσωτερική αγορά και για την ενίσχυση της συνολικής ετοιμότητας της Ένωσης.

(37)Οι επιθέσεις με λυτρισμικό αποτελούν εξέχουσα απειλή για την κυβερνοασφάλεια της Ένωσης. Για την ενίσχυση της κυβερνοασφάλειας της Ένωσης και την καταπολέμηση των επιθέσεων με λυτρισμικό, ο ENISA θα πρέπει να αναπτύξει ικανότητες επίγνωσης της κατάστασης και στήριξη για την αντιμετώπιση περιστατικών και την ανάκαμψη από αυτά. Κατά την παροχή βοήθειας σε μεμονωμένες βασικές και σημαντικές οντότητες για την αντιμετώπιση επιθέσεων με λυτρισμικό και την ανάκαμψη από αυτές, ο ENISA θα πρέπει να συνεργάζεται στενά με την Ευρωπόλ και με τις CSIRT ή τις αρμόδιες αρχές, κατά περίπτωση, αξιοποιώντας έτσι την παγιωμένη πείρα της Ευρωπόλ στην καταπολέμηση του εγκλήματος με τη χρήση λυτρισμικού. Η εν λόγω βοήθεια θα πρέπει να συμπληρώνει τις δραστηριότητες των CSIRT για την υποστήριξη της αντιμετώπισης περιστατικών. Για την επίτευξη συνεργειών στο έργο του κατά της χρήσης λυτρισμικού, ο ENISA θα πρέπει να δημιουργήσει γραφείο υποστήριξης και, για τον σκοπό αυτό, θα μπορούσε να συγκεντρώσει σχετικές ικανότητες και υπηρεσίες καταπολέμησης λυτρισμικού και να μεριμνήσει για την άμεση διαθεσιμότητα πληροφοριών, καθοδήγησης και εργαλείων που μπορούν να βοηθήσουν βασικές και σημαντικές οντότητες να αντιμετωπίσουν περιστατικά λυτρισμικού και να ανακάμψουν από αυτά.

(38)Ο ENISA θα πρέπει να παρέχει τεχνική εμπειρογνωσία και υποστήριξη στην Επιτροπή κατά την κατάρτιση ετήσιου κυλιόμενου προγράμματος ασκήσεων κυβερνοασφάλειας σε επίπεδο Ένωσης, σύμφωνα με τη σύσταση σχετικά με σχέδιο για τη διαχείριση κυβερνοκρίσεων με σκοπό την προετοιμασία για κυβερνοκρίσεις, τον έλεγχο του επιπέδου κυβερνοασφάλειας των οντοτήτων που συμμετέχουν στις εν λόγω ασκήσεις και την ελαχιστοποίηση της αλληλεπικάλυψης των προσπαθειών. Ο ENISA θα πρέπει, για παράδειγμα, να παρέχει συμβουλές σχετικά με τους κατάλληλους τύπους ασκήσεων, όπως ασκήσεις επί χάρτου, υβριδικές ή πραγματικές ασκήσεις πλήρους κλίμακας, καθώς και σχετικά με τους στόχους, τα σενάρια και τη συμμετοχή.

(39)Η πρόσβαση σε ορθές και έγκαιρες πληροφορίες σχετικά με τις ευπάθειες και η αποτελεσματική διαχείριση των ευπαθειών αποτελούν επιτακτική ανάγκη για τη διασφάλιση υψηλού επιπέδου κυβερνοασφάλειας στην εσωτερική αγορά. Για τον λόγο αυτό, ο ENISA θα πρέπει να διατηρεί ευρωπαϊκή βάση δεδομένων ευπαθειών σύμφωνα με την οδηγία (ΕΕ) 2022/2555 και να δημιουργήσει κοινή ενωσιακή ικανότητα παροχής υπηρεσιών διαχείρισης ευπαθειών, διασφαλίζοντας ένα ανθεκτικό και βιώσιμο επίπεδο υπηρεσιών και μειώνοντας τον κίνδυνο διαταραχών. Για τον σκοπό αυτό, ο ENISA θα πρέπει να διερευνήσει τις δυνατότητες εμβάθυνσης της διαρθρωμένης συνεργασίας με προγράμματα, μητρώα ή βάσεις δεδομένων παρόμοιες με την ευρωπαϊκή βάση δεδομένων ευπαθειών, προκειμένου να αποφευχθεί η αλληλεπικάλυψη των προσπαθειών και να επιδιωχθεί συμπληρωματικότητα σε διεθνές επίπεδο, κατά περίπτωση. Επιπρόσθετα, ο ENISA θα πρέπει να στηρίζει την πολυμερή συντονισμένη γνωστοποίηση ευπαθειών σε επίπεδο Ένωσης και να παρέχει υπηρεσίες προστιθέμενης αξίας, όπως συμβουλές σχετικά με τις ευπάθειες, βαθμολόγηση σοβαρότητας και καταλόγους προϊόντων, καθώς και να παρέχει βελτιωμένο ευρωπαϊκό κατάλογο γνωστών ευπαθειών που αποτελούν αντικείμενο εκμετάλλευσης, ώστε να βοηθά τις οντότητες να διαχειρίζονται τις ευπάθειές τους.

(40)Ο ρόλος του ENISA στην ανάπτυξη του ΕΠΠΚ θα πρέπει να αποτελεί βασική πτυχή της εντολής του. Ο ENISA θα πρέπει να παρέχει την τεχνική εμπειρογνωσία του καθ’ όλη τη διάρκεια του κύκλου ζωής των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Ενόψει ενός μελλοντικού σχήματος, ο ENISA θα πρέπει να προσδιορίζει υφιστάμενα πρότυπα ή τεχνικές προδιαγραφές που μπορούν να αποτελέσουν τη βάση του εν λόγω σχήματος και, κατά περίπτωση, να καταρτίζει ο ίδιος τεχνικές προδιαγραφές που μπορούν να αποτελέσουν αντικείμενο αναφοράς σε ένα σχήμα. Ο ENISA θα πρέπει να είναι υπεύθυνος για την επεξεργασία υποψήφιων σχημάτων κατόπιν αιτήματος της Επιτροπής. Όσον αφορά τα σχήματα που λειτουργούν ήδη, ο ENISA θα πρέπει να είναι υπεύθυνος για τη συντήρησή τους. Στο πλαίσιο αυτό, ο ENISA θα πρέπει να συμβάλει στη δημιουργία και την ανάπτυξη ενός οικοσυστήματος πιστοποίησης στο πλαίσιο του οποίου θα επιδιώκεται ανάδραση από τα κράτη μέλη και του συμφεροντούχους του ιδιωτικού τομέα και θα ενισχύονται οι ικανότητες πιστοποίησής τους. Αυτό θα πρέπει επίσης να περιλαμβάνει τη λειτουργία ειδικού ιστότοπου πιστοποίησης, στον οποίο θα παρέχονται ελεύθερα και δημόσια προσβάσιμες συναφείς πληροφορίες που σχετίζονται με τα εγκεκριμένα σχήματα, συμπεριλαμβανομένων πιστοποιητικών και δηλώσεων συμμόρφωσης.

(41)Ο ENISA, για να υποστηρίζει την εφαρμογή της σχετικής ενωσιακής νομοθεσίας, θα πρέπει να διαμορφώνει την εξέλιξη της τεχνολογίας στον τομέα της κυβερνοασφάλειας, παρέχοντας τεχνικές προδιαγραφές για την υποστήριξη της εφαρμογής της σχετικής ενωσιακής νομοθεσίας, μεταξύ άλλων δεδομένης της πιθανής αναφοράς που μπορεί να γίνεται σε αυτές στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ο ENISA θα πρέπει επίσης να παρακολουθεί τη δημιουργία και την εξέλιξη προτύπων από σχετικούς φορείς τυποποίησης με σκοπό την παρακολούθηση των τάσεων τυποποίησης σε ευρωπαϊκό και παγκόσμιο επίπεδο και, όποτε απαιτείται, να διαμορφώνει τα εν λόγω πρότυπα, συμμετέχοντας, μεταξύ άλλων μέσω εισηγήσεων, και αναλαμβάνοντας ηγετικό ρόλο στις δραστηριότητες των οργανισμών τυποποίησης. Στο πλαίσιο αυτό, ο ENISA θα πρέπει να παραμείνει αμερόληπτος. Για παράδειγμα, ενδέχεται να υπάρξουν περιπτώσεις στις οποίες ο ENISA θα πρέπει να αποσυρθεί από σχετικές δραστηριότητες σε οργανισμούς τυποποίησης, εάν του ζητηθεί να αξιολογήσει ευρωπαϊκά πρότυπα που ζητήθηκαν από την Επιτροπή προς υποστήριξη της νομοθεσίας της Ένωσης. Ο ENISA δεν θα πρέπει να συμβάλλει στην κατάρτιση των προτύπων τα οποία είναι αρμόδιος να αξιολογεί.

(42)Για την υποστήριξη της εφαρμογής των πολιτικών της Ένωσης και της προετοιμασίας πιθανών δραστηριοτήτων τυποποίησης, ο ENISA θα πρέπει να συμβάλλει στην ανάπτυξη και την αξιολόγηση κρυπτογραφικών αλγόριθμων, ιδίως στον τομέα της μετακβαντικής κρυπτογραφίας. Στο πλαίσιο αυτό, κατόπιν αιτήματος της Επιτροπής και με βάση συμφωνία συνεισφοράς που ορίζεται στον κανονισμό (ΕΕ, Ευρατόμ) 2024/2509 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 50 , ο ENISA μπορεί να θεσπίσει διαδικασία προκειμένου να ζητά και να αξιολογεί αλγόριθμους για κρυπτογραφικούς αλγόριθμους από σχετικούς συμφεροντούχους, ιδίως από την κρυπτογραφική, την ακαδημαϊκή και την ερευνητική κοινότητα, καθώς και από κατασκευαστές, CSIRT, εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας και αρμόδιες αρχές σύμφωνα με την οδηγία (ΕΕ) 2022/2555. Όταν ο ENISA συμβάλλει στη θέσπιση τέτοιων διαδικασιών, θα πρέπει να προωθεί τη συνεργασία μεταξύ των σχετικών συμφεροντούχων και να υλοποιεί τις οργανωτικές παραμέτρους. Η διαδικασία θα πρέπει να είναι επίσημη, ανοικτή, διαφανής και συμπεριληπτική, και να περιλαμβάνει διαβούλευση με τους σχετικούς συμφεροντούχους σχετικά με σχέδιο ελάχιστων απαιτήσεων, τη διαδικασία αξιολόγησης και τα κριτήρια αξιολόγησης, κυρίως για την ασφάλεια και τη διεξαγωγή των αξιολογήσεων.

(43)Για τη στήριξη της εκτέλεσης δραστηριοτήτων αξιολόγησης της συμμόρφωσης στο πλαίσιο ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας και άλλης σχετικής ενωσιακής νομοθεσίας, ο ENISA μπορεί να παρέχει σχετικά τεχνικά εργαλεία δοκιμών προκειμένου να υποστηρίζει τα κράτη μέλη, τις επιχειρήσεις και τους οργανισμούς αξιολόγησης της συμμόρφωσης στις δραστηριότητες αξιολόγησης. Τα εργαλεία αυτά θα πρέπει να αποσκοπούν στη δημιουργία συνεργειών σε επίπεδο Ένωσης και στην αποδοτική λειτουργία των διαδικασιών αξιολόγησης της συμμόρφωσης για την κάλυψη των αναγκών των κρατών μελών και της αγοράς. Τέτοιες ανάγκες μπορεί να προκύψουν, για παράδειγμα, στον τομέα της ασφάλειας εκ σχεδιασμού για την υποστήριξη επιχειρήσεων, συμπεριλαμβανομένων ΜΜΕ, στις οικείες προσπάθειες εφαρμογής βάσει του κανονισμού (ΕΕ) 2024/2847. Στο πλαίσιο αυτό, ο ENISA θα πρέπει να επιβάλλει τέλη για την κάλυψη συναφών δαπανών που σχετίζονται με τη δημιουργία, τον σχεδιασμό, την ανάπτυξη, τη συντήρηση και την επικαιροποίηση των απαιτούμενων ικανοτήτων λογισμικού και υλισμικού για τα εν λόγω εργαλεία δοκιμών.

(44)Ο ENISA, για να στηρίξει τα κράτη μέλη στις προσπάθειές τους να αντιμετωπίσουν την έλλειψη επαγγελματιών στον τομέα της κυβερνοασφάλειας και την αυξανόμενη ανάγκη για ειδικευμένο, ποικιλόμορφο, μεταξύ άλλων όσον αφορά την ισόρροπη εκπροσώπηση των φύλων, και ευέλικτο εργατικό δυναμικό, καθώς και για να καταστεί δυνατή η κινητικότητα και η ετοιμότητα του εργατικού δυναμικού σε όλα τα κράτη μέλη, θα πρέπει να αξιοποιήσει τις αρχές της Ακαδημίας Δεξιοτήτων Κυβερνοασφάλειας και τις εργασίες που ξεκίνησαν στο πλαίσιο αυτής. Ειδικότερα, ο ENISA θα πρέπει να θεσπίσει το ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας (ΕΠΔΚ) ως κοινό πλαίσιο για τα προφίλ επαγγελματικών ρόλων στον τομέα της κυβερνοασφάλειας. Ο ENISA θα πρέπει να στηρίξει περαιτέρω τα κράτη μέλη για την αντιμετώπιση των ανισοτήτων μεταξύ των φύλων όσον αφορά τους ρόλους στον τομέα της κυβερνοασφάλειας. Η προσέγγιση αυτή συνάδει με το όραμα που περιγράφεται στην ανακοίνωση της Επιτροπής για την Ένωση Δεξιοτήτων και αναμένεται να συμβάλει στην επίτευξη των στόχων της. Θα πρέπει να διερευνηθεί περαιτέρω το ενδεχόμενο εφαρμογής ετικέτας ποιότητας για τις ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας.

(45)Το ΕΠΔΚ θα πρέπει να είναι ένα πρακτικό και ευέλικτο εργαλείο που θα χρησιμοποιείται σε προαιρετική βάση και θα παρέχει κοινή κατανόηση και ορολογία των σχετικών ρόλων και των συναφών καθηκόντων, δεξιοτήτων και γνώσεων που απαιτούνται κυρίως σε ρόλους κυβερνοασφάλειας, με σκοπό να υποστηριχθεί ο προσδιορισμός συνόλων κρίσιμων δεξιοτήτων, συμπεριλαμβανομένων εγκάρσιων δεξιοτήτων, τις οποίες απαιτείται να διαθέτει το εργατικό δυναμικό, και να δοθεί στους παρόχους μάθησης, συμπεριλαμβανομένων των εταιρειών, των ιδρυμάτων τριτοβάθμιας εκπαίδευσης ή των παρόχων επαγγελματικής εκπαίδευσης και κατάρτισης, η δυνατότητα να σχεδιάζουν προγράμματα και να βοηθούν τους υπεύθυνους χάραξης πολιτικής να αναπτύσσουν πρωτοβουλίες για την αντιμετώπιση των ελλείψεων δεξιοτήτων. Καθώς έχει τη δυνατότητα να χρησιμοποιηθεί ως πλαίσιο αναφοράς για την αναγνώριση δεξιοτήτων, θα πρέπει επίσης να είναι διαλειτουργικό με την ευρωπαϊκή ταξινόμηση δεξιοτήτων και επαγγελμάτων (ESCO), προκειμένου να στηρίζει τα τμήματα ανθρώπινου δυναμικού να κατανοούν τις απαιτήσεις για τον προγραμματισμό των πόρων, τις προσλήψεις και την επαγγελματική εξέλιξη με στόχο την κάλυψη των αναγκών κυβερνοασφάλειας. Ενώ το ευρωπαϊκό πλαίσιο ψηφιακών ικανοτήτων για τους πολίτες (DigComp 3.0) περιγράφει τις γνώσεις, τις δεξιότητες και τις συμπεριφορές που απαιτούνται για ψηφιακή ικανότητα στην καθημερινή ζωή, τη συμμετοχή στην κοινωνία, την εργασία και τη μάθηση, και μπορεί να χρησιμοποιηθεί τόσο από ενήλικες όσο και από παιδιά, το ΕΠΔΚ προσφέρει ένα απλό πλαίσιο που προσδιορίζει τους ρόλους κυβερνοασφάλειας και τα συναφή καθήκοντα, τις γνώσεις και τις δεξιότητες που απαιτούνται για την εκτέλεσή τους. Εν προκειμένω, απευθύνεται σε εξειδικευμένο κοινό στον τομέα της κυβερνοασφάλειας, το οποίο περιλαμβάνει από πραγματικούς ή δυνητικούς επαγγελματίες στον τομέα της κυβερνοασφάλειας, εκπαιδευτικά ιδρύματα έως εργοδότες. Το ΕΠΔΚ θα πρέπει επίσης να στηρίζει την ανάπτυξη ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, αποτελώντας το βασικό μέσο που χρησιμοποιείται για την ανάπτυξη των σχημάτων, καθιστώντας δυνατή την εμφάνιση νέων παραγόντων στην αγορά και στηρίζοντας τον ανταγωνισμό στην αγορά εντός ενός κοινού πλαισίου. Το ΕΠΔΚ θα πρέπει να αξιολογείται και να επικαιροποιείται σε τακτική βάση, ώστε να διασφαλίζεται ότι αντικατοπτρίζει επαρκώς τις ανάγκες της αγοράς εργασίας στον τομέα της κυβερνοασφάλειας, τις τεχνολογικές εξελίξεις και τις εξελίξεις πολιτικής. Ο ENISA θα πρέπει να στηρίζει την υιοθέτηση χρήση του ΕΠΔΚ από τα κράτη μέλη και τις οντότητες της Ένωσης και εντός αυτών, και να παρέχει επαρκή στήριξη όπου απαιτείται τέτοια συνδρομή.

(46)Οι δεξιότητες και τα προσόντα στον τομέα της κυβερνοασφάλειας θα πρέπει να καταστούν συγκρίσιμα, διαφανή και αξιόπιστα σε ολόκληρη την εσωτερική αγορά. Για τον σκοπό αυτό, οι ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας 51 θα πρέπει να στηρίζουν τους εργοδότες, συμπεριλαμβανομένων των ΜΜΕ και των νεοφυών επιχειρήσεων, ώστε να προσλαμβάνουν πραγματικούς ή δυνητικούς επαγγελματίες στον τομέα της κυβερνοασφάλειας με αποτελεσματικό τρόπο, εντός και μεταξύ των κρατών μελών, σύμφωνα με τους στόχους που καθορίζονται στην ανακοίνωση για την Ένωση Δεξιοτήτων. Για να διασφαλιστεί η συνεπής εφαρμογή σε όλα τα κράτη μέλη, οι ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας θα πρέπει να βασίζονται σε κοινή αντίληψη, σε επίπεδο Ένωσης, των δεξιοτήτων που απαιτούνται για την επίτευξη των εν λόγω στόχων και θα πρέπει να εκδίδονται από παρόχους αδειοδοτημένους από τον ENISA βάσει κοινού συνόλου κριτηρίων. Η προσέγγιση αυτή αναμένεται να συνάδει με τους στόχους της μελλοντικής πρωτοβουλίας για τη φορητότητα των δεξιοτήτων και να συμβάλλει στην επίτευξή τους.

(47)Σκοπός της ανάπτυξης σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας θα πρέπει να να λειτουργούν συμπληρωματικά προς τις δράσεις των κρατών μελών, μέσω της παροχής στις δημόσιες αρχές και τους οικονομικούς φορείς της δυνατότητας να κάνουν χρήση ενός ευρωπαϊκού μηχανισμού βεβαιώσεων, σύμφωνα με την υποστηρικτική αρμοδιότητα της Ένωσης στον τομέα της εκπαίδευσης και της επαγγελματικής κατάρτισης, όπως αναφέρεται στο άρθρο 6 στοιχείο ε) και στο άρθρο 165 παράγραφος 1 και το άρθρο 166 παράγραφος 1 της ΣΛΕΕ. Τα σχήματα, σε συνδυασμό με το έργο της Ακαδημίας Δεξιοτήτων Κυβερνοασφάλειας, μπορούν επίσης να αποτελέσουν τη βάση για προγράμματα τριτοβάθμιας εκπαίδευσης, όπως τομεακά ευρωπαϊκά πτυχία, και για την ανάπτυξη μικροδιαπιστευτηρίων. Ως εκ τούτου, τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης της κυβερνοασφάλειας δεν θα πρέπει να αποσκοπούν στην εναρμόνιση των νομοθετικών και κανονιστικών διατάξεων των κρατών μελών, αλλά να θεωρούνται καταλύτης και ευκαιρία την οποία τα κράτη μέλη και οι οικονομικοί φορείς ενδέχεται να επιθυμούν να αξιοποιήσουν και να προωθήσουν.

(48)Ο ENISA θα πρέπει να διασφαλίζει ότι τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας παραμένουν κοντά στις ανάγκες της αγοράς και αξιοποιούν την πείρα τόσο των δημόσιων όσο και των ιδιωτικών παρόχων ατομικών πιστοποιήσεων, συμπεριλαμβανομένων των κρατών μελών, των ιδρυμάτων τριτοβάθμιας εκπαίδευσης, των ιδρυμάτων επαγγελματικής εκπαίδευσης και κατάρτισης και των επιχειρήσεων. Ο ENISA θα πρέπει να ζητεί τη γνώμη της Επιτροπής σχετικά με την ιεράρχηση των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, λαμβάνοντας δεόντως υπόψη την εφαρμογή της πολιτικής και τις ανάγκες της αγοράς.

(49)Για να διασφαλιστεί η ευθυγράμμιση μεταξύ του ΕΠΔΚ και των σχημάτων, η αναθεώρηση του προφίλ ενός ρόλου στο ΕΠΔΚ θα πρέπει να οδηγεί αυτόματα σε αξιολόγηση της καταλληλότητας του σχετικού σχήματος ή των σχετικών σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, η οποία μπορεί να επιφέρει την επανεξέτασή τους.

(50)Λαμβανομένης υπόψη της πολυμορφίας των προφίλ ρόλων στον τομέα της κυβερνοασφάλειας και των συναφών καθηκόντων, δεξιοτήτων και γνώσεων, η αξιολόγηση των ατόμων και οι μέθοδοι αξιολόγησης ενδέχεται να πρέπει να προσαρμόζονται σε κάθε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας. Κάθε σχήμα θα πρέπει να διασφαλίζει ότι η αξιολόγηση των απαιτούμενων δεξιοτήτων ενός ατόμου όσον αφορά τα μαθησιακά αποτελέσματα, συμπεριλαμβανομένης, κατά περίπτωση, της αξιολόγησης του επιπέδου επάρκειας, επανεξετάζεται συστηματικά με βάση ένα προφίλ ρόλων του ΕΠΔΚ ή ένα υποσύνολο αυτού. Οι μέθοδοι αξιολόγησης μπορεί να περιλαμβάνουν στοιχεία όπως έλεγχο των θεωρητικών γνώσεων, πρακτική εξέταση, προαπαιτούμενα και αξιολόγηση από ομοτίμους. Η πείρα των φυσικών προσώπων θα πρέπει να λαμβάνεται δεόντως υπόψη.

(51)Προκειμένου να διασφαλιστεί η συνεπής εφαρμογή των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, ιδίως όσον αφορά την αξιολόγηση των φυσικών προσώπων, ο ENISA θα πρέπει να παρέχει υποχρεωτική κατάρτιση στο προσωπικό που είναι επιφορτισμένο να διενεργεί την αξιολόγηση φυσικών προσώπων. Το εν λόγω προσωπικό θα πρέπει να διαθέτει πείρα στον τομέα της κυβερνοασφάλειας, η οποία θα μπορούσε να αποδειχτεί με την κατοχή ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας για το προφίλ ρόλου για το οποίο διενεργεί την αξιολόγηση και να διαθέτει επίπεδο επάρκειας τουλάχιστον ισοδύναμο με το επίπεδο των ατόμων τα οποία αξιολογεί.

(52)Ο ρόλος των αδειοδοτημένων παρόχων βεβαιώσεων είναι να βεβαιώνουν τις γνώσεις και τις ικανότητες ενός ατόμου να είναι σε θέση να εκτελεί έναν από τους ρόλους του ΕΠΔΚ και να παρέχουν εγγυήσεις στους εργοδότες ανά την Ένωση. Δεδομένου ότι και οι εργοδότες που διαχειρίζονται κρίσιμες υποδομές της Ένωσης θα εξετάζουν τη διασφάλιση της ποιότητας των δεξιοτήτων και των ικανοτήτων των ατόμων που αποκτούν ευρωπαϊκή ατομική βεβαίωση δεξιοτήτων κυβερνοασφάλειας, οι αδειοδοτημένοι πάροχοι που βεβαιώνουν το επίπεδο δεξιοτήτων και ικανοτήτων θα πρέπει να είναι αξιόπιστοι από άποψη κυβερνοασφάλειας και δεν θα πρέπει να υπόκεινται σε αθέμιτες επιρροές από τρίτες χώρες που ενδέχεται να εγείρουν ανησυχίες για την κυβερνοασφάλεια. Ως εκ τούτου, οντότητες που είναι εγκατεστημένες σε τρίτες χώρες που εγείρουν ανησυχίες για την κυβερνοασφάλεια και έχουν χαρακτηριστεί σύμφωνα με τον παρόντα κανονισμό ή που ελέγχονται από τέτοιες τρίτες χώρες, από οντότητες εγκατεστημένες σε τέτοιες τρίτες χώρες ή από υπηκόους τέτοιων τρίτων χωρών (προμηθευτές υψηλού κινδύνου) σύμφωνα με τον παρόντα κανονισμό δεν θα πρέπει να είναι επιλέξιμες να λάβουν άδεια παρόχου οποιωνδήποτε ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας σύμφωνα με τον τίτλο II τμήμα 4.

(53) Για να διασφαλιστεί ότι τα άτομα που κατέχουν ευρωπαϊκή βεβαίωση δεξιοτήτων κυβερνοασφάλειας μπορούν εύκολα να τη χρησιμοποιούν και να την κοινοποιούν, και ότι η εν λόγω βεβαίωση μπορεί να χρησιμοποιηθεί σε όλα τα κράτη μέλη, οι αδειοδοτημένοι πάροχοι βεβαιώσεων θα πρέπει να διασφαλίζουν την έκδοση ηλεκτρονικών ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας στο ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας (πορτοφόλι EUDI) που θεσπίστηκε με τον κανονισμό (ΕΕ) αριθ. 910/2014, κατόπιν αιτήματος του κατόχου. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων θα πρέπει να θεωρούνται πάροχοι υπηρεσιών εμπιστοσύνης και να υπόκεινται στο καθεστώς εποπτείας και ευθύνης που προβλέπεται στον κανονισμό (ΕΕ) αριθ. 910/2014. Το σύστημα βεβαίωσης χαρακτηριστικών που χρησιμοποιείται σύμφωνα με τον εκτελεστικό κανονισμό (ΕΕ) 2025/1569 της Επιτροπής 52 θα πρέπει να καταχωριστεί στον κατάλογο συστημάτων για τη βεβαίωση χαρακτηριστικών που προβλέπεται στον εν λόγω εκτελεστικό κανονισμό.

(54)Ο ENISA, προκειμένου να συμβάλει στην ανάπτυξη του εργατικού δυναμικού στον τομέα της κυβερνοασφάλειας και στη φορητότητα των δεξιοτήτων ανά την Ένωση, θα πρέπει να καθιστά διαθέσιμα στο κοινό τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων μέσω ειδικού ιστότοπου.

(55)Ο ENISA θα πρέπει να διέπεται από τις αρχές της κοινής προσέγγισης για τους αποκεντρωμένους οργανισμούς της Ένωσης που εγκρίθηκε στις 19 Ιουλίου 2012 από το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή 53 , και να λειτουργεί λαμβάνοντάς τες υπόψη. Οι συστάσεις στην κοινή προσέγγιση θα πρέπει επίσης να αντικατοπτρίζονται, κατά περίπτωση, στα προγράμματα εργασιών του ENISA, στις αξιολογήσεις του ENISA και στις πρακτικές του ENISA όσον αφορά την υποβολή εκθέσεων και την άσκηση της διοίκησης.

(56)Το διοικητικό συμβούλιο, προκειμένου να εκτελεί αποτελεσματικά τα καθήκοντά του, ειδικότερα όσον αφορά την καθοδήγηση της συνολικής κατεύθυνσης των δραστηριοτήτων του ENISA και τον καθορισμό των στρατηγικών προτεραιοτήτων του, είναι σημαντικό να αποτελείται από υψηλού επιπέδου εκπροσώπους των κρατών μελών και της Επιτροπής. Για τον σκοπό αυτό, κάθε κράτος μέλος θα πρέπει να διορίσει ως μέλος του διοικητικού συμβουλίου τον επικεφαλής εθνικής αρμόδιας αρχής του εν λόγω κράτους μέλους που είναι υπεύθυνη για την κυβερνοασφάλεια, η οποία ορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555.

(57)Για να διασφαλιστεί ότι τα αναπληρωματικά μέλη του διοικητικού συμβουλίου μπορούν να εκπληρώνουν επαρκώς τους ρόλους τους, τα κράτη μέλη θα πρέπει να διορίζουν αναπληρωματικά μέλη που διαθέτουν κατάλληλη επαγγελματική εμπειρογνωσία και πείρα. Η Επιτροπή και τα κράτη μέλη θα πρέπει, όσον αφορά τα αναπληρωματικά μέλη, να καταβάλλουν προσπάθειες για την επίτευξη ισόρροπης εκπροσώπησης ανδρών και γυναικών στο διοικητικό συμβούλιο και να περιορίζουν την εναλλαγή τους, ώστε να διασφαλίζεται η συνέχεια των εργασιών του διοικητικού συμβουλίου.

(58)Για να είναι σε θέση ο ENISA να εκπληρώνει αποτελεσματικά την αποστολή του, το διοικητικό συμβούλιο, αποτελούμενο από εκπροσώπους των κρατών μελών και της Επιτροπής, θα πρέπει να καθορίζει τη γενική κατεύθυνση των δραστηριοτήτων του ENISA, συμπεριλαμβανομένων των στρατηγικών προτεραιοτήτων του, και να διασφαλίζει ότι εκτελεί τα καθήκοντά του σύμφωνα με τον παρόντα κανονισμό. Στο διοικητικό συμβούλιο θα πρέπει να ανατεθούν οι αναγκαίες εξουσίες για την κατάρτιση και την επαλήθευση της εκτέλεσης του προϋπολογισμού, τη θέσπιση κατάλληλων δημοσιονομικών κανόνων, τη θέσπιση διαφανών διαδικασιών εργασίας για τη λήψη αποφάσεων από τον ENISA, την έγκριση του ενιαίου εγγράφου προγραμματισμού του ENISA, τη θέσπιση του εσωτερικού κανονισμού του, τον διορισμό του εκτελεστικού διευθυντή, τη λήψη αποφάσεων σχετικά με την παράταση και τη λήξη της θητείας του εκτελεστικού διευθυντή και τη λήψη αποφάσεων σχετικά με τυχόν δημιουργία θέσης αναπληρωτή εκτελεστικού διευθυντή και, εάν δημιουργηθεί τέτοια θέση, σχετικά με τον διορισμό του, καθώς και σχετικά με την παράταση και τη λήξη της θητείας του. Ως εκ τούτου, κάθε πρόσωπο που ασκεί εκτελεστικά καθήκοντα εντός του ENISA θα πρέπει να διορίζεται από το διοικητικό συμβούλιο. Το διοικητικό συμβούλιο θα πρέπει επίσης να είναι υπεύθυνο για τον διορισμό ή την παύση των μελών του συμβουλίου προσφυγών, καθώς και για τη θέσπιση κανόνων για την πρόληψη ή τη διαχείριση συγκρούσεων συμφερόντων στο πλαίσιο αυτό.

(59)Για να διασφαλιστεί ότι ο ENISA καθορίζει τις στρατηγικές προτεραιότητές του και τις διατηρεί επικαιροποιημένες, το διοικητικό συμβούλιο θα πρέπει να πραγματοποιεί τουλάχιστον μία συνεδρίαση ετησίως ειδικά για τις στρατηγικές προτεραιότητες του ENISA. Για να διασφαλιστεί ότι οι συνεδριάσεις του διοικητικού συμβουλίου είναι αποτελεσματικές και βασίζονται σε σωστές πληροφορίες, το διοικητικό συμβούλιο μπορεί να προσκαλεί στις συνεδριάσεις του οποιοδήποτε πρόσωπο του οποίου η γνώμη θα μπορούσε να είναι συναφής και να παρουσιάζει ενδιαφέρον για τα θέματα που συζητούνται, με σκοπό την παροχή πληροφοριών, εμπειρογνωσίας ή συμβουλών. Το εν λόγω πρόσωπο θα είναι ad hoc παρατηρητής χωρίς δικαίωμα ψήφου.

(60)Το διοικητικό συμβούλιο θα πρέπει να λαμβάνει αποφάσεις με την απόλυτη πλειοψηφία των μελών του που έχουν δικαίωμα ψήφου, εκτός εάν προβλέπεται διαφορετικά στον παρόντα κανονισμό. Λόγω της σημασίας των θεμάτων προϋπολογισμού και ανθρώπινων πόρων, ιδίως των θεμάτων που αφορούν τον ετήσιο προϋπολογισμό, την ετήσια έκθεση δραστηριοτήτων, τη στρατηγική για την καταπολέμηση της απάτης, τους εκτελεστικούς κανόνες για την εφαρμογή του κανονισμού υπηρεσιακής κατάστασης, τον διορισμό του εκτελεστικού διευθυντή, του αναπληρωτή εκτελεστικού διευθυντή και του υπόλογου, τη συνέχεια που δίνεται στις διαπιστώσεις της Ευρωπαϊκής Υπηρεσίας Καταπολέμησης της Απάτης (OLAF) και της Ευρωπαϊκής Εισαγγελίας (EPPO) και την έγκριση των δημοσιονομικών κανόνων του ENISA, το διοικητικό συμβούλιο θα πρέπει να εκδίδει τέτοιες αποφάσεις μόνο εάν ο εκπρόσωπος της Επιτροπής ψηφίσει θετικά. Για τη λήψη απόφασης σχετικά με την έγκριση τελικού ενιαίου εγγράφου προγραμματισμού, αφού ληφθεί υπόψη η γνώμη της Επιτροπής, θα πρέπει να απαιτείται θετική ψήφος του εκπροσώπου της Επιτροπής μόνο για τα στοιχεία της απόφασης που δεν σχετίζονται με το ετήσιο και το πολυετές πρόγραμμα εργασίας του ENISA.

(61)Το εκτελεστικό συμβούλιο θα πρέπει να συμβάλλει στην αποτελεσματική λειτουργία του διοικητικού συμβουλίου. Στο πλαίσιο των προπαρασκευαστικών εργασιών του που σχετίζονται με τις αποφάσεις του διοικητικού συμβουλίου, το εκτελεστικό συμβούλιο θα πρέπει να εξετάζει λεπτομερώς τις σχετικές πληροφορίες, να διερευνά τις διαθέσιμες επιλογές και να παρέχει συμβουλές και λύσεις για την κατάρτιση των αποφάσεων του διοικητικού συμβουλίου. Θα πρέπει επίσης να επικουρεί και να συμβουλεύει τον εκτελεστικό διευθυντή όσον αφορά την εκτέλεση των αποφάσεων του διοικητικού συμβουλίου.

(62)Για την ομαλή λειτουργία του ENISA, ο εκτελεστικός διευθυντής του επιβάλλεται να διορίζεται βάσει προσόντων και αποδεδειγμένων διοικητικών και διευθυντικών ικανοτήτων, καθώς και βάσει ικανοτήτων και πείρας στον τομέα της κυβερνοασφάλειας. Τα καθήκοντα του εκτελεστικού διευθυντή θα πρέπει να εκτελούνται με πλήρη ανεξαρτησία. Το διοικητικό συμβούλιο θα πρέπει να διορίζει τον εκτελεστικό διευθυντή από τον κατάλογο υποψηφίων που καταρτίζει η Επιτροπή, κατόπιν ανοικτής και διαφανούς διαδικασίας που τηρεί την αρχή της ισόρροπης εκπροσώπησης των φύλων.

(63) Ο εκτελεστικός διευθυντής θα πρέπει να εκπονεί πρόταση για το ενιαίο έγγραφο προγραμματισμού του ENISA, κατόπιν πρώτα ζητήσει τη γνώμη της Επιτροπής, και να λαμβάνει όλα τα αναγκαία μέτρα για να διασφαλίζει την ορθή εκτέλεση του εν λόγω ενιαίου εγγράφου προγραμματισμού. Ο εκτελεστικός διευθυντής θα πρέπει να καταρτίζει ετήσια έκθεση προς υποβολή στο διοικητικό συμβούλιο, η οποία περιλαμβάνει την υλοποίηση του ετήσιου προγράμματος εργασίας του ENISA, να εκπονεί σχέδιο της κατάστασης εκτιμώμενων εσόδων και εξόδων του ENISA και να εκτελεί τον προϋπολογισμό. Επιπλέον, ο εκτελεστικός διευθυντής θα πρέπει να έχει τη δυνατότητα να συγκροτεί ad hoc ομάδες εργασίας για την αντιμετώπιση ειδικών θεμάτων, ιδίως θεμάτων επιστημονικής, τεχνικής, νομικής ή κοινωνικοοικονομικής φύσης. Ειδικότερα, όσον αφορά την επεξεργασία συγκεκριμένου υποψήφιου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας (στο εξής: υποψήφιο σχήμα), θεωρείται αναγκαία η συγκρότηση ad hoc ομάδας εργασίας. Η συγκρότηση ad hoc ομάδας εργασίας ενδέχεται επίσης να είναι αναγκαία για δραστηριότητες συντήρησης σε σχέση με συγκεκριμένα εγκεκριμένα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ad hoc ομάδες εργασίας θα πρέπει επίσης να συγκροτούνται για την ανάπτυξη και τη συντήρηση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και για την παροχή συνδρομής στον Οργανισμό όσον αφορά τη διακυβέρνηση, την εφαρμογή και την εξέλιξη του ΕΠΔΚ. Ο εκτελεστικός διευθυντής θα πρέπει να διασφαλίζει ότι τα μέλη των ad hoc ομάδων εργασίας επιλέγονται σύμφωνα με τα υψηλότερα πρότυπα εμπειρογνωσίας, με στόχο τη διασφάλιση ισόρροπης εκπροσώπησης των φύλων και κατάλληλης ισορροπίας, ανάλογα με το εκάστοτε θέμα προς συζήτηση, μεταξύ των δημόσιων διοικήσεων των κρατών μελών, των οντοτήτων της Ένωσης και του ιδιωτικού τομέα, συμπεριλαμβανομένης της βιομηχανίας, των χρηστών και των πανεπιστημιακών που είναι ειδικοί στο πεδίο της ασφάλειας δικτύων και πληροφοριών, καθώς και των πανεπιστημιακών που είναι ειδικοί σε προϊόντα με ψηφιακά στοιχεία.

(64)Το διοικητικό συμβούλιο μπορεί να αποφασίσει να δημιουργήσει θέση αναπληρωτή εκτελεστικού διευθυντή για να επικουρεί τον εκτελεστικό διευθυντή, όταν το διοικητικό συμβούλιο κρίνει ότι η εν λόγω θέση είναι αναγκαία για τη διασφάλιση ή τη διατήρηση της ομαλής λειτουργίας του ENISA. Κατά τη λήψη απόφασης σχετικά με τη δημιουργία της εν λόγω θέσης, το διοικητικό συμβούλιο μπορεί να λαμβάνει υπόψη τη γνώμη του εκτελεστικού διευθυντή.

(65)Ο ENISA θα πρέπει να διαθέτει συμβουλευτική ομάδα για να διασφαλίζεται ο τακτικός διάλογος με τον ιδιωτικό τομέα, οργανώσεις καταναλωτών και άλλους σχετικούς συμφεροντούχους. Η συμβουλευτική ομάδα του ENISA, η οποία συγκροτείται από το διοικητικό συμβούλιο κατόπιν πρότασης του εκτελεστικού διευθυντή, θα πρέπει να επικεντρώνεται σε θέματα που αφορούν τους συμφεροντούχους και να τα θέτει υπόψη του ENISA. Θα πρέπει να ζητείται η γνώμη της συμβουλευτικής ομάδας του ENISA ιδίως όσον αφορά το σχέδιο ετήσιου προγράμματος εργασίας του ENISA. Η σύνθεση της συμβουλευτικής ομάδας του ENISA και τα καθήκοντα με τα οποία επιφορτίζεται θα πρέπει να διασφαλίζουν επαρκή αντιπροσώπευση των συμφεροντούχων στις εργασίες του ENISA. Οι εκπρόσωποι των εθνικών και των ενωσιακών αρχών επιβολής του νόμου, προστασίας των δεδομένων και εποπτείας της αγοράς θα πρέπει να έχουν δικαίωμα εκπροσώπησης στη συμβουλευτική ομάδα του ENISA.

(66)Οι αιτούντες άδεια παρόχου βεβαιώσεων ή ανανέωση της άδειάς τους θα πρέπει να έχουν πρόσβαση στα αναγκαία μέσα έννομης προστασίας, όταν επηρεάζονται από αποφάσεις που λαμβάνει ο ENISA. Συνεπώς, θα πρέπει να προβλεφθεί η δημιουργία κατάλληλου μηχανισμού προσφυγών, ώστε να είναι δυνατή η προσφυγή κατά των σχετικών αποφάσεων του ENISA ενώπιον συμβουλίου προσφυγών. οι αποφάσεις του οποίου να μπορούν να υπόκεινται σε δικαστικό έλεγχο από το Δικαστήριο της Ευρωπαϊκής Ένωσης σύμφωνα με τις Συνθήκες. Η απαίτηση να εξαντλείται η διαδικασία προσφυγής στο πλαίσιο του ENISA πριν από την άσκηση προσφυγής ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης ισχύει μόνο για τα πρόσωπα που νομιμοποιούνται ενεργητικά να προσφεύγουν ενώπιον του συμβουλίου προσφυγών.

(67)Προκειμένου να διασφαλιστεί η πλήρης αυτονομία και ανεξαρτησία του ENISA και η δυνατότητα εκτέλεσης των καθηκόντων του, ο ENISA θα πρέπει να διαθέτει επαρκή και αυτόνομο προϋπολογισμό, χρηματοδοτούμενο πρωτίστως από συνεισφορά της Ένωσης, αλλά και από συνεισφορές τρίτων χωρών που συμμετέχουν στις εργασίες του ENISA, καθώς και από τέλη που καταβάλλουν οι αδειοδοτημένοι πάροχοι βεβαιώσεων και οι οργανισμοί αξιολόγησης της συμμόρφωσης που συμμετέχουν σε σχήματα και εκδίδουν ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και δηλώσεις συμμόρφωσης ΕΕ. Θα πρέπει να επιτρέπεται στο κράτος μέλος υποδοχής και σε οποιοδήποτε άλλο κράτος μέλος να συνεισφέρει εθελοντικά στον προϋπολογισμό του ENISA. Οποιαδήποτε συνεισφορά κρατών μελών, τρίτων χωρών ή άλλων οντοτήτων ή προσώπων που δέχεται ο ENISA, είτε οικονομική είτε σε είδος, δεν θα πρέπει να διακυβεύει την ανεξαρτησία και την αμεροληψία του. Για τη συνεισφορά της Ένωσης καθώς και για οποιεσδήποτε άλλες επιδοτήσεις που βαρύνουν τον γενικό προϋπολογισμό της Ένωσης, θα πρέπει να εφαρμόζεται η δημοσιονομική διαδικασία της Ένωσης. Το Ευρωπαϊκό Ελεγκτικό Συνέδριο θα πρέπει να προβαίνει σε έλεγχο των λογαριασμών του ENISA για να διασφαλίζει διαφάνεια και λογοδοσία. Ο Οργανισμός, για να μπορεί να συμμετέχει σε όλα τα σημαντικά μελλοντικά έργα, θα πρέπει να μπορεί να λαμβάνει επιχορηγήσεις.

(68)Για να διασφαλιστεί η ικανότητα του ENISA να ανταποκρίνεται στη ζήτηση για τις δραστηριότητες που ασκεί, ειδικότερα όσον αφορά τις αποφάσεις αδειοδότησης παρόχων για την έκδοση ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας και όσον αφορά τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας και των εργαλείων δοκιμών, ο ENISA θα πρέπει να έχει την εξουσία να επιβάλλει τέλη. Τα τέλη που συνδέονται με τη διεκπεραίωση αιτήσεων για την απόκτηση της ιδιότητας του αδειοδοτημένου παρόχου βεβαιώσεων θα πρέπει να καθορίζονται κατάλληλα, ώστε να συμβάλλουν επαρκώς στην κάλυψη του εκτιμώμενου κόστους ανάπτυξης και συντήρησης των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και στην αξιολόγηση του κατά πόσον πληρούνται και εξακολουθούν να πληρούνται οι απαιτήσεις και οι υποχρεώσεις για την απόκτηση και τη διατήρηση της ιδιότητας του αδειοδοτημένου παρόχου βεβαιώσεων. Τα τέλη που σχετίζονται με το κόστος έκδοσης και ανανέωσης αδειών σε αδειοδοτημένους παρόχους βεβαιώσεων θα πρέπει να περιλαμβάνουν το κόστος που συνδέεται με τις αξιολογήσεις που διενεργούνται από τον ENISA ή υπό την εποπτεία του. Τα τέλη που σχετίζονται με τη συμμετοχή σε ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας και την έκδοση πιστοποιητικών στο πλαίσιο των εν λόγω σχημάτων θα πρέπει να καθορίζονται κατάλληλα, ώστε να συνεισφέρουν επαρκώς στην κάλυψη του εκτιμώμενου κόστους συντήρησης των εν λόγω σχημάτων. Η καταβολή των εν λόγω τελών θα πρέπει να παρέχει στους κοινοποιημένους οργανισμούς αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, στους κατόχους πιστοποιητικών στο πλαίσιο σχήματος τη δυνατότητα να συμμετέχουν σε τέτοιες δραστηριότητες καθώς και σε σχετικές δραστηριότητες ανάπτυξης ικανοτήτων και προώθησης για την προώθηση της ανταλλαγής βέλτιστων πρακτικών και την ενίσχυση της υιοθέτησης σχημάτων και πιστοποιημένων λύσεων.

(69)Για να διασφαλιστούν η αναλογικότητα, η διαφάνεια και η ασφάλεια δικαίου, τα τέλη θα πρέπει να καθορίζονται με διαφανή και δίκαιο τρόπο. Όλες οι δαπάνες του ENISA για το προσωπικό που συμμετέχει σε δραστηριότητες για τις οποίες επιβάλλονται τέλη, ειδικότερα η αναλογική εισφορά του εργοδότη στο συνταξιοδοτικό σύστημα, και οι δαπάνες που σχετίζονται με το συμβούλιο προσφυγών θα πρέπει να αντανακλώνται στο εν λόγω κόστος. Τα τέλη δεν πρέπει να επιφέρουν την επιβολή περιττών οικονομικών ή διοικητικών επιβαρύνσεων στους αιτούντες. Θα πρέπει να καθοριστούν εύλογες προθεσμίες για την καταβολή των τελών.

(70)Είναι αναγκαίο να τεθεί σε εφαρμογή ένα σύνολο δεικτών για τη μέτρηση του φόρτου εργασίας, της αποτελεσματικότητας και της αποδοτικότητας του Οργανισμού σε σχέση με τις δραστηριότητες που χρηματοδοτούνται μέσω τελών. Έχοντας υπόψη τους δείκτες αυτούς, ο Οργανισμός θα πρέπει να προσαρμόζει τον προγραμματισμό του προσωπικού του και τη διαχείριση των πόρων που σχετίζονται με τα τέλη κατά τρόπο ώστε να μπορεί να ανταποκρίνεται δεόντως στην εν λόγω ζήτηση και σε τυχόν διακυμάνσεις των εσόδων από τέλη.

(71)Για τον προσδιορισμό και την ορθή διαχείριση του κινδύνου πραγματικών ή εικαζόμενων συγκρούσεων συμφερόντων, ο ENISA θα πρέπει να έχει θέσει σε εφαρμογή κανόνες για την πρόληψη και τη διαχείριση συγκρούσεων συμφερόντων. Ο ENISA θα πρέπει επίσης να εφαρμόζει τους κανόνες σχετικά με την πρόσβαση στα έγγραφα που καθορίζονται στον κανονισμό (ΕΚ) αριθ. 1049/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 54 . Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον ENISA θα πρέπει να υπόκειται στον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 55 . Ο ENISA θα πρέπει να συμμορφώνεται με τις διατάξεις που ισχύουν για τις οντότητες της Ένωσης, καθώς και με την εθνική νομοθεσία σχετικά με τον χειρισμό πληροφοριών, ειδικότερα των ευαίσθητων μη διαβαθμισμένων πληροφοριών και των διαβαθμισμένων πληροφοριών της Ευρωπαϊκής Ένωσης (EUCI).

(72)Κατά την εκτέλεση των καθηκόντων του, ο ENISA μπορεί να έχει πρόσβαση σε ευαίσθητες πληροφορίες, όπως πληροφορίες σχετικά με κυβερνοαπειλές και περιστατικά. Ως εκ τούτου, είναι σημαντικό ο ENISA να διαφυλάσσει την εμπιστευτικότητα των πληροφοριών που χειρίζεται. Ειδικότερα, σύμφωνα με το άρθρο 339 της ΣΛΕΕ, οι υπάλληλοι και το λοιπό προσωπικό του ENISA δεν θα πρέπει να μεταδίδουν πληροφορίες που αποτελούν εκ φύσεως επαγγελματικά απόρρητα, ιδίως πληροφορίες σχετικές με επιχειρήσεις που αφορούν τις εμπορικές τους σχέσεις και τα κοστολογικά τους στοιχεία, ακόμη και μετά τη λήξη της υπηρεσιακής τους σχέσης.

(73)Για να διασφαλίσει την πλήρη επίτευξη των στόχων του, ο ENISA θα πρέπει να συνεργάζεται με τις σχετικές εποπτικές αρχές της Ένωσης και με άλλες αρμόδιες αρχές στην Ένωση, σχετικές οντότητες της Ένωσης, συμπεριλαμβανομένων της CERT-ΕΕ, του EC3 της Ευρωπόλ, του ECCC, του Ευρωπαϊκού Οργανισμού Άμυνας (ΕΟΑ), του Οργανισμού της Ευρωπαϊκής Ένωσης για το Διαστημικό Πρόγραμμα (EUSPA), του Φορέα Ευρωπαϊκών Ρυθμιστικών Αρχών για τις Ηλεκτρονικές Επικοινωνίες (BEREC), του Οργανισμού της Ευρωπαϊκής Ένωσης για τη Λειτουργική Διαχείριση Συστημάτων ΤΠ Μεγάλης Κλίμακας στον Χώρο Ελευθερίας, Ασφάλειας και Δικαιοσύνης (eu-LISA), της Ευρωπαϊκής Κεντρικής Τράπεζας (ΕΚΤ), της Ευρωπαϊκής Αρχής Τραπεζών (ΕΑΤ), του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, του Οργανισμού για τη Συνεργασία των Ρυθμιστικών Αρχών Ενέργειας (ACER), του Οργανισμού της Ευρωπαϊκής Ένωσης για την Ασφάλεια της Αεροπορίας (EASA) και κάθε άλλης οντότητας της Ένωσης που συμμετέχει στην κυβερνοασφάλεια. Ο ENISA θα πρέπει επίσης να συνεργάζεται με τις αρμόδιες αρχές δυνάμει της οδηγίας (ΕΕ) 2022/2555, τις αρχές εποπτείας της αγοράς και τις αρχές που ασχολούνται με την προστασία των δεδομένων, προκειμένου να ανταλλάσσει τεχνογνωσία και βέλτιστες πρακτικές, και θα πρέπει να παρέχει συμβουλές σχετικά με ζητήματα κυβερνοασφάλειας που ενδέχεται να έχουν αντίκτυπο στο έργο τους.

(74)Η Ευρωπόλ διαδραματίζει σημαντικό ρόλο στην πρόληψη και την καταπολέμηση του εγκλήματος στον κυβερνοχώρο, συμπεριλαμβανομένου του εγκλήματος στον κυβερνοχώρο που σχετίζεται με περιστατικά ασφάλειας δικτύων και πληροφοριών. Για τη δημιουργία συνεργειών μεταξύ των αντίστοιχων καθηκόντων κάθε οργανισμού, ο ENISA θα πρέπει να συνεργάζεται με την Ευρωπόλ, ανταλλάσσοντας ειδικότερα πληροφορίες σχετικά με τις τάσεις που αφορούν τις τεχνικές, τις απαιτήσεις και τις επιπτώσεις των επιθέσεων με λυτρισμικό. Η συνεργασία αυτή μπορεί επίσης να συνίσταται στον προσδιορισμό των συνηθέστερων στελεχών λυτρισμικού που στοχεύουν οντότητες αναφερόμενες στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 για τη στήριξη βασικών και σημαντικών οντοτήτων στην αντιμετώπιση περιστατικών και την ανάκαμψη από αυτά.

(75)Για την υποστήριξη της επιχειρησιακής συνεργασίας και της κοινής επίγνωσης της κατάστασης όσον αφορά κυβερνοαπειλές και περιστατικά, είναι σημαντικό ο ENISA να συνεργάζεται με συμφεροντούχους και ιδίως με εταιρείες και οργανισμούς του ιδιωτικού τομέα, με τους οποίους ο ENISA μπορεί να συνάπτει συμπράξεις δημόσιου και ιδιωτικού τομέα.

(76)Για την αποτελεσματική επίτευξη των στόχων που περιγράφονται στον παρόντα κανονισμό, ο ENISA μπορεί να συνεργάζεται ειδικότερα με ακαδημαϊκά ιδρύματα που αναλαμβάνουν ερευνητικές πρωτοβουλίες σε σχετικούς τομείς και να αναπτύσσει κατάλληλους διαύλους για τη συμβολή οργανώσεων καταναλωτών και άλλων οργανώσεων.

(77)Δεδομένου του διασυνοριακού χαρακτήρα των κυβερνοαπειλών και των περιστατικών, το επίπεδο κυβερνοασφάλειας και ετοιμότητας τρίτων χωρών μπορεί να επηρεάζει οντότητες στην Ένωση. Ως εκ τούτου, ο ENISA θα πρέπει να είναι σε θέση να διεξάγει δραστηριότητες ανάπτυξης ικανοτήτων, συμπεριλαμβανομένων δραστηριοτήτων κατάρτισης, ανάπτυξης ικανοτήτων και αδελφοποίησης σε τρίτες χώρες, και ιδίως προσαρμοσμένων δραστηριοτήτων ανάπτυξης ικανοτήτων για χώρες που είναι υποψήφιες για προσχώρηση στην Ένωση ή άλλες χώρες-εταίρους σύμφωνα με τις προτεραιότητες της Ένωσης. Οι εν λόγω δραστηριότητες θα πρέπει να διεξάγονται κατόπιν ειδικού αιτήματος για την παροχή κατάλληλης στήριξης, λαμβανομένων υπόψη των προτεραιοτήτων της Ένωσης, και να υλοποιούνται μέσω ειδικών ρυθμίσεων, μεταξύ άλλων μέσω συμφωνιών συνεισφοράς, όπως αναφέρεται στον κανονισμό (ΕΕ, Ευρατόμ) 2024/2509. Το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας αποσκοπεί στην προστασία από κυβερνοαπειλές, όπως ευπάθειες κυβερνοασφάλειας που αποτελούν αντικείμενο κακόβουλης εκμετάλλευσης ή περιστατικά κυβερνοασφάλειας που επηρεάζουν τη λειτουργικότητα (τον σχεδιασμό και τη λειτουργία) προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάση οντοτήτων. Εστιάζοντας στους τεχνικούς κινδύνους που σχετίζονται με τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ, τις διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, το ΕΠΠΚ αναμένεται να λειτουργεί συμπληρωματικά προς το πλαίσιο για την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ, το οποίο αποσκοπεί στη διασφάλιση εναρμονισμένης προσέγγισης σε επίπεδο Ένωσης για την αντιμετώπιση μη τεχνικών κινδύνων σε τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς.

(78)Τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να προσφεύγουν στην ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας στο πλαίσιο της σύναψης δημόσιων συμβάσεων σύμφωνα με την οδηγία 2014/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 56 .

(79)Για να διευκολυνθεί η απλούστευση της συμμόρφωσης των οντοτήτων, το ΕΠΠΚ θα πρέπει να προβλέπει τη δυνατότητα πιστοποίησης της κυβερνοστάσης τους. Οι οντότητες, ιδίως εκείνες που παρέχουν πολλά είδη υπηρεσιών σε διάφορα κράτη μέλη, ενδέχεται να αντιμετωπίζουν διαφορετικές υποχρεώσεις σχετικές με την κυβερνοασφάλεια και την ασφάλεια των δεδομένων στο πλαίσιο οριζόντιων μέσων, όπως του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 57  και της οδηγίας (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 58 , καθώς και ειδικών ανά τομέα μέσων. Προκειμένου να εξορθολογιστεί η εφαρμογή του συνολικού κανονιστικού πλαισίου για την κυβερνοασφάλεια και να διευκολυνθεί η συμμόρφωση με αυτό, η νομοθεσία της Ένωσης θα πρέπει να προβλέπει τη δυνατότητα των οντοτήτων να αποδεικνύουν τη συμμόρφωσή τους με τις απαιτήσεις διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας μέσω ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας. Ένα σχετικό σχήμα θα μπορούσε να συμβάλει στον εξορθολογισμό των απαιτήσεων συμμόρφωσης που απορρέουν από διαφορετικές κανονιστικές πράξεις, με την επιφύλαξη των ειδικών απαιτήσεων πιστοποίησης που προβλέπονται σε αυτές. Τα εν λόγω μέτρα απλούστευσης έχουν τη δυνατότητα να μειώσουν τον διοικητικό φόρτο, αποδεσμεύοντας πόρους για την ενίσχυση της επιχειρησιακής ετοιμότητας, στον τομέα της κυβερνοασφάλειας, οντοτήτων που δραστηριοποιούνται σε κρίσιμους τομείς της Ένωσης.

(80)Η ευρωπαϊκή πιστοποίηση των απαιτήσεων διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας που αναπτύσσεται στο πλαίσιο του ΕΠΠΚ αναμένεται να παρέχει στις οντότητες τη δυνατότητα να αποδεικνύουν τη συμμόρφωση με τη σχετική νομοθεσία της Ένωσης, όταν ένα σχήμα καλύπτει τις αντίστοιχες νομικές απαιτήσεις που καθορίζονται στην εν λόγω πράξη και όταν αυτό προβλέπεται από αυτήν. Σε αυτή τη βάση, μια νομική πράξη της Ένωσης μπορεί επίσης να προβλέπει τεκμήριο συμμόρφωσης με τις εν λόγω απαιτήσεις. Τα εν λόγω σχήματα θα μπορούσαν να συμβάλουν στη βελτίωση της συνεκτικής εφαρμογής των απαιτήσεων κυβερνοασφάλειας της ενωσιακής νομοθεσίας, ώστε να διασφαλιστούν ισότιμοι όροι ανταγωνισμού σε όλα τα κράτη μέλη και να μειωθεί ο φόρτος συμμόρφωσης.

(81)Το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας θα πρέπει να προβλέπει τη δυνατότητα πιστοποίησης των διαδικασιών ΤΠΕ, οι οποίες ορίζονται ως ένα σύνολο δραστηριοτήτων που εκτελούνται για τον σχεδιασμό, την ανάπτυξη, την παροχή ή τη συντήρηση ενός προϊόντος ΤΠΕ ή μιας υπηρεσίας ΤΠΕ. Ένα χαρακτηριστικό προστασίας αποτελεί παράδειγμα διαδικασίας ΤΠΕ, όπως προσδιορίζεται στον εκτελεστικό κανονισμό (ΕΕ) 2024/482 της Επιτροπής 59 . Ένα άλλο παράδειγμα διαδικασίας ΤΠΕ είναι το σύνολο των δραστηριοτήτων που αναλαμβάνει ένας κατασκευαστής για τον ασφαλή σχεδιασμό και την ασφαλή ανάπτυξη ενός προϊόντος ΤΠΕ, συμπεριλαμβανομένων των φυσικών, λογικών, διαδικαστικών, σχετικών με το προσωπικό και άλλων μέτρων ασφάλειας που είναι αναγκαία για την προστασία της εμπιστευτικότητας και της ακεραιότητας του σχεδιασμού και της εφαρμογής ενός προϊόντος ΤΠΕ στο περιβάλλον ανάπτυξής του. Η πιστοποίηση των εν λόγω δραστηριοτήτων αναφέρεται συχνά ως «πιστοποίηση εγκατάστασης» στο πλαίσιο διαδικασίας πιστοποίησης βάσει του εκτελεστικού κανονισμού (ΕΕ) 2024/482 της Επιτροπής.

(82)Ο ορισμός των διαχειριζόμενων υπηρεσιών ασφάλειας στον παρόντα κανονισμό θα πρέπει να συνάδει με τον ορισμό των παρόχων διαχειριζόμενων υπηρεσιών ασφάλειας στην οδηγία (ΕΕ) 2022/2555. Οι υπηρεσίες αυτές συνίστανται στην εκτέλεση δραστηριοτήτων ή την παροχή βοήθειας για δραστηριότητες που σχετίζονται με τη διαχείριση κινδύνων κυβερνοασφάλειας από τους πελάτες τους και αποκτούν ολοένα και μεγαλύτερη σημασία για την πρόληψη και τον μετριασμό των περιστατικών. Ως εκ τούτου, οι πάροχοι των εν λόγω υπηρεσιών θεωρούνται βασικές ή σημαντικές οντότητες που ανήκουν σε τομέα υψηλής κρισιμότητας σύμφωνα με την οδηγία (ΕΕ) 2022/2555. Οι πάροχοι διαχειριζόμενων υπηρεσιών ασφάλειας σε τομείς όπως η αντιμετώπιση περιστατικών, οι δοκιμές διείσδυσης, οι έλεγχοι ασφάλειας και η παροχή συμβουλών διαδραματίζουν ιδιαίτερα σημαντικό ρόλο στην παροχή συνδρομής σε οντότητες που καταβάλλουν προσπάθειες για την πρόληψη, τον εντοπισμό και την αντιμετώπιση περιστατικών ή την ανάκαμψη από αυτά. Ωστόσο, οι πάροχοι διαχειριζόμενων υπηρεσιών ασφάλειας αποτέλεσαν και οι ίδιοι στόχο κυβερνοεπιθέσεων και ενέχουν ιδιαίτερο κίνδυνο λόγω της στενής ενσωμάτωσής τους στις δραστηριότητες των πελατών τους. Συνεπώς, είναι αναγκαίο οι βασικές και οι σημαντικές οντότητες κατά την έννοια της οδηγίας (ΕΕ) 2022/2555 να επιδεικνύουν αυξημένη επιμέλεια κατά την επιλογή παρόχων διαχειριζόμενων υπηρεσιών ασφάλειας.

(83)Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας είναι σημαντικά για μια ευρεία κοινότητα συμφεροντούχων, όπως για τους παρόχους λύσεων ΤΠΕ, τους οργανισμούς αξιολόγησης της συμμόρφωσης και τους χρήστες. Για την προώθηση της ευρείας συμμετοχής των συμφεροντούχων, θα πρέπει να διοργανώνεται τουλάχιστον μία φορά ετησίως η ευρωπαϊκή συνέλευση πιστοποίησης της κυβερνοασφάλειας (στο εξής: συνέλευση) με στόχο την προώθηση της συνεργασίας μεταξύ της Επιτροπής, του ENISA, των κρατών μελών και των σχετικών συμφεροντούχων. Αυτή θα διαδραματίζει καίριο ρόλο στον προσδιορισμό και την αντιμετώπιση νέων προκλήσεων για την κυβερνοασφάλεια και στρατηγικών προτεραιοτήτων για την πιστοποίηση, καθώς και στη διασφάλιση ότι τα συστήματα πιστοποίησης διευκολύνουν την ασφαλή ενσωμάτωση των ψηφιακών τεχνολογιών και είναι κατάλληλα για τις ανάγκες των χρηστών. Η συνέλευση θα πρέπει να ενισχύει τον ηγετικό ρόλο της Ένωσης στις δραστηριότητες πιστοποίησης και να διατηρεί την ικανότητα του πλαισίου πιστοποίησης να προσφέρει εμπιστοσύνη για τις επιχειρήσεις, τις δημόσιες αρχές και το κοινό.

(84)Η Επιτροπή θα πρέπει να διατηρεί ειδικό ιστότοπο προκειμένου να διασφαλίζει τη διαφάνεια, δημοσιεύοντας επικαιροποιημένες πληροφορίες σχετικά με την πρόοδο εφαρμογής του ΕΠΠΚ. Ο ιστότοπος θα πρέπει να περιλαμβάνει πληροφορίες σχετικά με τα σχήματα πιστοποίησης υπό επεξεργασία, στρατηγικές προτεραιότητες για επικείμενα σχήματα πιστοποίησης, αιτήματα προς τον ENISA για την επεξεργασία υποψήφιων σχημάτων πιστοποίησης και πληροφορίες σχετικά με την έγκριση σχημάτων πιστοποίησης. Ο ιστότοπος της Επιτροπής θα λειτουργεί συμπληρωματικά προς τον ιστότοπο του ENISA σχετικά με τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, ο οποίος θα πρέπει να παρέχει ολοκληρωμένα λεπτομερή στοιχεία σχετικά με την τεχνική επεξεργασία υποψήφιων σχημάτων και τη συντήρηση των σχημάτων, εστιάζοντας στα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και τις δηλώσεις συμμόρφωσης ΕΕ που έχουν εκδοθεί.

(85)Η Επιτροπή, προκειμένου να ενισχύσει τον διάλογο μεταξύ των θεσμικών οργάνων της Ένωσης και να συμβάλει σε μια επίσημη, ανοικτή, διαφανή και συμπεριληπτική διαδικασία διαβούλευσης, θα πρέπει να λαμβάνει υπόψη τα στοιχεία που προκύπτουν από τις απόψεις που εκφράζονται από το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο και την ευρωπαϊκή συνέλευση πιστοποίησης της κυβερνοασφάλειας κατά την αξιολόγηση του παρόντος κανονισμού.

(86)Οι μελέτες σκοπιμότητας που διεξάγει ο ENISA θα πρέπει να συμβάλλουν στην προετοιμασία για τον σχεδιασμό και την ανάπτυξη σχημάτων πιστοποίησης της κυβερνοασφάλειας. Στις μελέτες θα πρέπει να ενσωματώνονται οι απόψεις των σχετικών συμφεροντούχων και να ευθυγραμμίζονται τα μελλοντικά σχήματα πιστοποίησης με δραστηριότητες έρευνας, ανάπτυξης και τεχνολογικής αξιολόγησης που είναι σε εξέλιξη, και να αναγνωρίζεται, ιδίως, η συμβολή των ερευνητικών πρωτοβουλιών της Ένωσης και των κρατών μελών. Οι εν λόγω μελέτες μπορούν να συμβάλουν στον προσδιορισμό διαθέσιμων προτύπων και τεχνικών προδιαγραφών. Θα πρέπει να διενεργούνται κατόπιν αιτήματος της Επιτροπής ή σύμφωνα με τις στρατηγικές προτεραιότητες της Ένωσης, ώστε να διασφαλίζεται ότι το εξελισσόμενο τεχνολογικό τοπίο και οι ανάγκες κυβερνοασφάλειας αντιμετωπίζονται και αποτυπώνονται επαρκώς κατά την υποβολή αιτήσεων για σχήματα και κατά την ανάπτυξή τους.

(87)Ο σχεδιασμός του υποψήφιου σχήματος και η κάλυψη των στόχων και των στοιχείων ασφάλειας από αυτό θα πρέπει να είναι ανάλογα με το θέμα και το πεδίο εφαρμογής του αντικειμένου πιστοποίησης. Για παράδειγμα, ένα σχήμα πιστοποίησης υπηρεσιών υπολογιστικού νέφους θα μπορούσε, ως εκ τούτου, να καλύπτει στόχους ασφάλειας που σχετίζονται με τις υπηρεσίες ΤΠΕ και την οργανωτική ασφάλεια. Επίσης ενδεικτικά, ένας στόχος ασφάλειας που σχετίζεται με τη μη συμπερίληψη γνωστών ευπαθειών που μπορούν να αποτελέσουν αντικείμενο εκμετάλλευσης είναι πιθανό να μην σχετίζεται με την πιστοποίηση διαδικασιών ΤΠΕ.

(88)Προκειμένου να διασφαλιστεί ότι τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας εφαρμόζονται με εναρμονισμένο τρόπο σε όλα τα κράτη μέλη, είναι αναγκαίο να προβλεφθούν κανόνες για τη συντήρηση των σχημάτων. Οι δραστηριότητες συντήρησης είναι επίσης αναγκαίες για να διασφαλιστεί ότι τα σχήματα και τα δικαιολογητικά έγγραφά τους παραμένουν επικαιροποιημένα, ιδίως σε ένα πεδίο κυβερνοασφάλειας όπου το τοπίο των απειλών και οι τεχνολογίες εξελίσσονται συνεχώς. Ως εκ τούτου, τα σχήματα πιστοποίησης θα πρέπει να σχεδιάζονται και να συντηρούνται με τρόπο ώστε να αποφεύγεται ο κίνδυνος να καταστούν γρήγορα παρωχημένα. Οι δραστηριότητες συντήρησης θα πρέπει, κατά κανόνα, να περιλαμβάνουν την κατάρτιση και την επικαιροποίηση δικαιολογητικών εγγράφων, συμπεριλαμβανομένων τεχνικών προδιαγραφών και κατευθυντήριων γραμμών, καθώς και τον προσδιορισμό προτύπων ή τεχνικών προδιαγραφών που σχετίζονται με το σχήμα. Η ανάλυση της λειτουργίας του σχήματος, οι πιθανές ελλείψεις του και η αναγκαία βελτίωσή του θα πρέπει επίσης να αποτελούν μέρος των δραστηριοτήτων συντήρησης. Επιπρόσθετα, στις δραστηριότητες συντήρησης θα πρέπει να περιλαμβάνεται η ανταλλαγή πληροφοριών μεταξύ των κρατών μελών όσον αφορά την εφαρμογή των σχημάτων και εισηγήσεις σε μηχανισμούς αξιολόγησης και αποτίμησης από ομοτίμους.

(89)Λόγω του τεχνικού χαρακτήρα των δραστηριοτήτων συντήρησης, ο ENISA θα πρέπει να διαχειρίζεται τις εν λόγω δραστηριότητες, σε συνεργασία με την Επιτροπή και με την υποστήριξη της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας (στο εξής: ΕΟΠΙΚ) και της σχετικής υποομάδας της για τη συντήρηση. Η σύσταση της υποομάδας της ΕΟΠΙΚ για τη συντήρηση καθιστά δυνατή τη συγκέντρωση τεχνικών εισηγήσεων και πληροφοριών από τα κράτη μέλη με σκοπό την εναρμόνιση των προσεγγίσεων.

(90)Οι δραστηριότητες συντήρησης θα πρέπει να περιλαμβάνουν αλληλεπιδράσεις με τις σχετικές ομάδες συμφεροντούχων, ώστε να διασφαλίζεται ότι τα σχήματα παραμένουν συναφή με την αγορά και επικαιροποιημένα, μεταξύ άλλων με την κοινοποίηση και τη λήψη τεχνικών εισηγήσεων. Οι εν λόγω ομάδες συμφεροντούχων μπορεί να είναι οργανισμοί τυποποίησης, οργανισμοί αξιολόγησης της συμμόρφωσης, πωλητές, χρήστες, δημόσιες αρχές ή εμπορικές ενώσεις. Λόγω των ιδιαιτεροτήτων κάθε σχήματος, συμπεριλαμβανομένων των αντίστοιχων τεχνικών φόρουμ και κλάδων τους, θα πρέπει να είναι δυνατή η συγκέντρωση τεχνικών εισηγήσεων με διαφορετικούς τρόπους από το ένα σχήμα στο άλλο. Για ορισμένα σχήματα, ο ENISA θα πρέπει να μπορεί να βασίζεται σε ad hoc ομάδα εργασίας που συγκεντρώνει εμπειρογνώμονες από τις δημόσιες διοικήσεις των κρατών μελών, τις οντότητες της Ένωσης και τον ιδιωτικό τομέα. Τεχνικές εισηγήσεις θα μπορούσαν επίσης να προέλθουν από κέντρα κοινοχρησίας και ανάλυσης πληροφοριών ή οργανισμούς τυποποίησης. Ο ENISA θα πρέπει να αναλύει ποιος μορφότυπος είναι ο καταλληλότερος για κάθε σχήμα και να περιλαμβάνει στρατηγική συντήρησης σε κάθε υποψήφιο σχήμα.

(91)Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να βασίζονται σε πρότυπα ή τεχνικές προδιαγραφές, κυρίως για τον καθορισμό των απαιτήσεων ασφάλειας και των μεθοδολογιών αξιολόγησης. Ο ENISA θα πρέπει να έχει τη δυνατότητα να καταρτίζει τεχνικές προδιαγραφές για την υποστήριξη της επεξεργασίας και της συντήρησης των σχημάτων, ιδίως όταν λείπουν παραδοτέα από οργανισμούς τυποποίησης ή αυτά δεν είναι κατάλληλα για την εκπλήρωση των στόχων του σχήματος. Στο πλαίσιο της διαδικασίας κατάρτισης των προδιαγραφών, ο ENISA θα πρέπει να υποστηρίζεται από την ΕΟΠΙΚ και, κατά περίπτωση, από την ad hoc ομάδα εργασίας που έχει συσταθεί για το σχετικό σχήμα. Ο ENISA θα πρέπει επίσης να ζητεί τη συμβολή ομάδων συμφεροντούχων. Επιπρόσθετα, ο ENISA θα πρέπει να εξετάζει την αποδοχή από την αγορά, καθώς και ευρωπαϊκά και διεθνή πρότυπα. Λαμβανομένης υπόψη της ποιότητας των τεχνικών προδιαγραφών και των στόχων του σχήματος, η Επιτροπή θα πρέπει να έχει τη δυνατότητα να παραπέμπει σε τεχνικές προδιαγραφές που καταρτίζει ο ENISA στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.

(92)Οι τεχνικές προδιαγραφές που εκπονούνται από τον ENISA και αναφέρονται σε ένα σχήμα θα πρέπει να είναι διαθέσιμες στον ιστότοπο του ENISA σχετικά με τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, ώστε όλα τα ενδιαφερόμενα μέρη να μπορούν να έχουν πρόσβαση σε αυτές. Ωστόσο, σε ορισμένες ειδικές περιπτώσεις, η δημοσίευση στον ιστότοπο θα μπορούσε να θέσει σε κίνδυνο την κυβερνοασφάλεια πιστοποιημένων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάση οντοτήτων και, κατ’ επέκταση, τη δημόσια ασφάλεια. Για παράδειγμα, οι τεχνικές προδιαγραφές θα μπορούσαν να περιέχουν ακριβείς πληροφορίες σχετικά με νέες διαδρομές επίθεσης η δημοσιοποίηση των οποίων θα καθιστούσε δυνατή τη χρήση τους από κακόβουλους παράγοντες. Αυτού του είδους οι πληροφορίες θα πρέπει να διανέμονται με περιορισμένο τρόπο, με βάση την ανάγκη γνώσης, σε σχετικούς συμφεροντούχους, όπως σε εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας, οργανισμούς αξιολόγησης της συμμόρφωσης και πωλητές που λαμβάνουν πιστοποίηση. Τέτοιες τεχνικές προδιαγραφές, λόγω της περιορισμένης διανομής τους, δεν θα πρέπει να αναφέρονται στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας και, ως εκ τούτου, θα πρέπει να είναι μη δεσμευτικού χαρακτήρα.

(93)Τα σχήματα πιστοποίησης της κυβερνοστάσης θα πρέπει να σχεδιάζονται τμηματικά, ώστε να καθίσταται δυνατή η απόδειξη της συμμόρφωσης και το τεκμήριο συμμόρφωσης με σχετικές απαιτήσεις κυβερνοασφάλειας που καθορίζονται σε άλλη ενωσιακή νομοθεσία, όταν η εν λόγω νομοθεσία προβλέπει τη δυνατότητα αυτή. Ως εκ τούτου, το τεκμήριο συμμόρφωσης με τις απαιτήσεις των εν λόγω νομικών πράξεων θα χρησιμοποιείται ως πιθανή οδός απόδειξης της συμμόρφωσης μόνο εάν οι αντίστοιχες νομικές πράξεις επιτρέπουν τη χρήση του εν λόγω τεκμηρίου συμμόρφωσης. Ως εκ τούτου, οι λεπτομέρειες ενός τέτοιου σχήματος, δηλαδή ο σκοπός, οι στόχοι ή τα στοιχεία του, είναι πιθανό να διαφέρουν από εκείνες άλλων σχημάτων. Ειδικότερα, θα πρέπει να αναπτυχθούν σχήματα για την πιστοποίηση της κυβερνοστάσης οντοτήτων, ώστε να προβλέπεται η αξιολόγηση της συνεχούς συμμόρφωσης μιας οντότητας με τη νομοθεσία της Ένωσης. Ως εκ τούτου, δεν είναι απαραίτητο τα σχήματα πιστοποίησης της κυβερνοστάσης να καλύπτουν όλα τα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, όπως τα επίπεδα διασφάλισης, και αυτό θα πρέπει να αποτυπώνεται στους κανόνες που ισχύουν για τα σχήματα.

(94)Ένα πλαίσιο για την πιστοποίηση της κυβερνοστάσης εντός του ΕΠΠΚ καθιστά δυνατή την ανάπτυξη ενός σχήματος που παρέχει στις οντότητες που παρέχουν υπηρεσίες σε διάφορα κράτη μέλη τη δυνατότητα να αποδεικνύουν τη συμμόρφωση με τις υποχρεώσεις διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας που καθορίζονται στην οδηγία 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου. Σε αυτή τη βάση, με την ικανότητα απόδειξης της συμμόρφωσης, οι οντότητες μπορούν να επωφελούνται από πιο συνεκτικές και λιγότερο επαχθείς προσεγγίσεις εποπτείας σε ολόκληρη την εσωτερική αγορά. Η ανάπτυξη ενός τέτοιου σχήματος πιστοποίησης θα πρέπει να διευκολυνθεί με την έκδοση εκτελεστικών πράξεων βάσει της οδηγίας (ΕΕ) 2022/2555. Ένα σύστημα πιστοποίησης της κυβερνοστάσης μπορεί να αποδεικνύει τη συμμόρφωση με τις απαιτήσεις, μέσω προφίλ επέκτασης, στην περίπτωση που ένα κράτος μέλος έχει θεσπίσει ή διατηρήσει διατάξεις που διασφαλίζουν υψηλότερο επίπεδο κυβερνοασφάλειας σύμφωνα με την οδηγία (ΕΕ) 2022/2555. Σε αυτή τη βάση, μια οντότητα που παρέχει υπηρεσίες σε διάφορα κράτη μέλη μπορεί να αποδεικνύει τη συμμόρφωση με όλα τα σχετικά προφίλ επέκτασης μέσω ενιαίου ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας.

(95)Οι στόχοι ασφάλειας και οι απαιτήσεις ασφάλειας που καθορίζονται στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας όσον αφορά την ασφάλεια των προϊόντων θα πρέπει να συνάδουν με τις ουσιώδεις απαιτήσεις κυβερνοασφάλειας που καθορίζονται στο παράρτημα I του κανονισμού (ΕΕ) 2024/2847. Η συνοχή αυτή είναι αναγκαία για να διασφαλίζεται ότι οι κατασκευαστές των οποίων τα προϊόντα εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847 δεν έρχονται αντιμέτωποι με αντιφατικές απαιτήσεις κατά την πιστοποίηση των προϊόντων τους στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας. Επιπρόσθετα, η συνοχή των απαιτήσεων διευκολύνει την εκπλήρωση του τεκμηρίου συμμόρφωσης βάσει του άρθρου 27 του κανονισμού (ΕΕ) 2024/2847, σύμφωνα με το οποίο οι κατασκευαστές προϊόντων με ψηφιακά στοιχεία που έχουν πιστοποιηθεί στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας μπορούν, υπό ορισμένες προϋποθέσεις, να επωφελούνται από το τεκμήριο συμμόρφωσης με τις ουσιώδεις απαιτήσεις κυβερνοασφάλειας που καθορίζονται στο παράρτημα I του εν λόγω κανονισμού.

(96)Στο πλαίσιο του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας, θα πρέπει να είναι δυνατός ο προσδιορισμός ενός προφίλ επέκτασης, με τον καθορισμό πρόσθετων ή ειδικών απαιτήσεων για περιπτώσεις χρήσης, συμπεριλαμβανομένων πρόσθετων ικανοτήτων όπως ενισχυμένων χαρακτηριστικών προϊόντος, εξειδικευμένων προσφορών υπηρεσιών ή πάγιων στοιχείων, βελτιστοποιημένων διαδικασιών και προηγμένων μέτρων ασφάλειας. Δεδομένου ότι τα προφίλ επέκτασης δεν αντιστοιχούν σε συγκεκριμένο επίπεδο διασφάλισης, θα πρέπει να περιγράφουν λεπτομερώς τον σκοπό τους, συμπεριλαμβανομένων των απειλών κατά της ασφάλειας που αντιμετωπίζονται. Τα προφίλ επέκτασης αποσκοπούν ιδίως στην απόδειξη της συμμόρφωσης με συγκεκριμένα πρότυπα και κανονιστικές απαιτήσεις, συμπεριλαμβανομένων, κατά περίπτωση, απαιτήσεων όσον αφορά πρόσθετα μέτρα διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας που καθορίζονται από κράτος μέλος σε συμμόρφωση με την αρχή της ελάχιστης εναρμόνισης σύμφωνα με την οδηγία (ΕΕ) 2022/2555.

(97)Με την επιφύλαξη του γενικού συστήματος αξιολόγησης από ομοτίμους που θα τεθεί σε εφαρμογή σε όλες τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας στο πλαίσιο του ΕΠΠΚ, θα πρέπει να είναι δυνατόν να συμπεριληφθεί στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας μηχανισμός αξιολόγησης από ομοτίμους για τους οργανισμούς που εκδίδουν ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων, ιδίως για τους οργανισμούς που εκδίδουν πιστοποιητικά με «υψηλό» επίπεδο διασφάλισης στο πλαίσιο των εν λόγω σχημάτων. Στους εν λόγω οργανισμούς θα πρέπει επίσης να περιλαμβάνονται οργανισμοί πιστοποίησης των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας που εκδίδουν πιστοποιητικά «υψηλού» επιπέδου διασφάλισης. Η ΕΟΠΙΚ θα πρέπει να στηρίξει την εφαρμογή τέτοιων μηχανισμών αξιολόγησης από ομοτίμους. Οι αποτιμήσεις από ομοτίμους θα πρέπει ιδίως να αξιολογούν αν οι σχετικοί οργανισμοί εκτελούν τα καθήκοντά τους εναρμονισμένα και μπορούν να περιλαμβάνουν μηχανισμούς προσφυγής.

(98)Κρίσεις όπως πόλεμοι, φυσικές καταστροφές και πανδημίες ενδέχεται να επηρεάσουν αρνητικά τις δραστηριότητες πιστοποίησης. Σε τέτοιου είδους καταστάσεις κρίσης, ενδέχεται να μην είναι εφικτό, για παράδειγμα, να διασφαλιστεί η ασφάλεια των εγκαταστάσεων λόγω καταστροφής υποδομών, κυβερνοεπιθέσεων, μη διαθεσιμότητας προσωπικού και μη προσβασιμότητας του χώρου. Ως εκ τούτου, ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να καθορίζει προσωρινούς κανόνες σχετικά με τη συνέχεια των δραστηριοτήτων πιστοποίησης κατά τη διάρκεια τέτοιων καταστάσεων.

(99)Η μετουσίωση των υποψήφιων τεχνικών σχημάτων σε εκτελεστικές πράξεις προϋποθέτει σύνθετες τεχνικές και νομικές γνώσεις και μπορεί να δημιουργήσει σημαντικό διοικητικό φόρτο. Επίσης, ορισμένα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, όπως η διαχείριση των ευπαθειών ή οι προϋποθέσεις υπό τις οποίες μπορούν να χρησιμοποιούνται τα εν λόγω σήματα ή οι εν λόγω ετικέτες, είναι διατομεακά και μπορούν να επωφελούνται από εναρμονισμένες διατάξεις αναφοράς. Για να διασφαλιστεί η ποιότητα των εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας και να μειωθεί ο φόρτος συμμόρφωσης για τις επιχειρήσεις, η Επιτροπή θα πρέπει να εξουσιοδοτηθεί να εγκρίνει πρότυπες διατάξεις που να καλύπτουν ορισμένα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας.

(100)Προκειμένου να διασφαλιστεί η συνοχή του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας, θα πρέπει να υπάρχει η δυνατότητα, στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας, να προσδιορίζονται τα επίπεδα διασφάλισης των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ που εκδίδονται στο πλαίσιο του εν λόγω σχήματος. Ένα ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας θα πρέπει να αναφέρεται σε ένα από τα εξής επίπεδα διασφάλισης: «βασικό», «σημαντικό» ή «υψηλό», ενώ η δήλωση συμμόρφωσης ΕΕ θα πρέπει να αναφέρεται μόνο στο «βασικό» επίπεδο διασφάλισης. Τα επίπεδα διασφάλισης θα πρέπει να παρέχουν την αντίστοιχη αυστηρότητα και το αντίστοιχο βάθος αξιολόγησης του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης μιας οντότητας και θα πρέπει να χαρακτηρίζονται με αναφορά στις σχετικές τεχνικές προδιαγραφές, πρότυπα και διαδικασίες, συμπεριλαμβανομένων των τεχνικών ελέγχων, σκοπός των οποίων είναι ο μετριασμός ή η αποτροπή περιστατικών. Κάθε επίπεδο διασφάλισης θα πρέπει να είναι συνεπές μεταξύ των διαφόρων τομέων όπου εφαρμόζεται η πιστοποίηση.

(101)Η επιλογή των κατάλληλων απαιτήσεων πιστοποίησης και συναφών απαιτήσεων ασφάλειας από τους χρήστες ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας θα πρέπει να βασίζεται σε ανάλυση των κινδύνων που σχετίζονται με τη χρήση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή το ευρύτερο πλαίσιο της πιστοποίησης οντοτήτων. Επομένως, το επίπεδο διασφάλισης θα πρέπει να είναι ανάλογο του επιπέδου του κινδύνου που σχετίζεται με την προβλεπόμενη χρήση του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή του επιχειρησιακού περιβάλλοντος και της φύσης της οντότητας της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση.

(102)Για το «βασικό» επίπεδο διασφάλισης, η αξιολόγηση θα πρέπει να βασίζεται τουλάχιστον στις ακόλουθες συνιστώσες διασφάλισης: η αξιολόγηση θα πρέπει να περιλαμβάνει τουλάχιστον επανεξέταση της τεχνικής τεκμηρίωσης του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης μιας οντότητας από τον οργανισμό αξιολόγησης της συμμόρφωσης. Όταν η πιστοποίηση περιλαμβάνει διαδικασίες ΤΠΕ, η διαδικασία που χρησιμοποιείται για τον σχεδιασμό, την ανάπτυξη και τη συντήρηση προϊόντος ΤΠΕ, υπηρεσίας ΤΠΕ, διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης μιας οντότητας θα πρέπει επίσης να υπόκειται σε τεχνική επανεξέταση. Όταν ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας προβλέπει αυτοαξιολόγηση της συμμόρφωσης, θα πρέπει να αρκεί ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή η οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση να έχει διενεργήσει αυτοαξιολόγηση της συμμόρφωσης του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης μιας οντότητας με το σχήμα πιστοποίησης.

(103)Όσον αφορά το «σημαντικό» επίπεδο διασφάλισης, η αξιολόγηση θα πρέπει, επιπλέον των απαιτήσεων για το «βασικό» επίπεδο διασφάλισης, να βασίζεται τουλάχιστον στην επαλήθευση της συμμόρφωσης των λειτουργιών ασφάλειας του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης μιας οντότητας με την τεχνική της τεκμηρίωση.

(104)Για το «υψηλό» επίπεδο διασφάλισης, η αξιολόγηση θα πρέπει, επιπλέον των απαιτήσεων για το «σημαντικό» επίπεδο διασφάλισης, να βασίζεται τουλάχιστον σε δοκιμή απόδοσης, με την οποία αξιολογείται η ανθεκτικότητα των λειτουργιών ασφάλειας έναντι περίτεχνων κυβερνοεπιθέσεων που πραγματοποιούν πρόσωπα τα οποία διαθέτουν σημαντικές δεξιότητες και πόρους. Δραστηριότητες αξιολόγησης της συμμόρφωσης θα πρέπει να εκτελούνται στον Ευρωπαϊκό Οικονομικό Χώρο για «υψηλό» επίπεδο διασφάλισης ή όταν ένα σχήμα έχει σχεδιαστεί για να αποδεικνύει τη συμμόρφωση και να παρέχει τεκμήριο συμμόρφωσης με άλλη νομοθεσία της Ένωσης. Η απαίτηση αυτή δικαιολογείται από το γεγονός ότι οι δραστηριότητες αξιολόγησης που πραγματοποιούνται εκτός του Ευρωπαϊκού Οικονομικού Χώρου συνεπάγονται πρόσθετες απειλές για την κυβερνοασφάλεια, ειδικότερα για τη διανοητική ιδιοκτησία των αξιολογούμενων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή οντοτήτων. Για παράδειγμα, ο πηγαίος κώδικας ενός προϊόντος ΤΠΕ θα μπορούσε να ελέγχεται κατά τη διέλευση των συνόρων τρίτης χώρας, γεγονός που συνιστά κίνδυνο για τη διανοητική ιδιοκτησία. Επιπρόσθετα, τα εργαστήρια δοκιμών που είναι εγκατεστημένα σε τρίτες χώρες δεν λειτουργούν σε περιβάλλον το οποίο αφορούν τα μέτρα κυβερνοασφάλειας που επιβάλλει η νομοθεσία της ΕΕ, όπως η οδηγία (ΕΕ) 2022/2555 ή ο κανονισμός (ΕΕ) 2024/2847. Για παράδειγμα, ένα εργαστήριο δοκιμών μπορεί να βασίζεται σε τρίτο πάροχο υπηρεσιών υπολογιστικού νέφους που δεν συμμορφώνεται με τις απαιτήσεις κυβερνοασφάλειας της οδηγίας (ΕΕ) 2022/2555. Ωστόσο, ένα σχήμα πιστοποίησης θα πρέπει να μπορεί να προβλέπει μηχανισμούς παρέκκλισης, για παράδειγμα σε σχέση με την πιστοποίηση εγκαταστάσεων ή σε άλλες περιπτώσεις στις οποίες οι δραστηριότητες αξιολόγησης της συμμόρφωσης δεν μπορούν εύλογα να εκτελεστούν στον Ευρωπαϊκό Οικονομικό Χώρο.

(105)Σε ορισμένες περιπτώσεις, ενδέχεται να απαιτούνται διαφορετικές προσεγγίσεις για την επίτευξη των στόχων ασφάλειας ενός δεδομένου επιπέδου διασφάλισης προκειμένου να αντιμετωπιστούν οι ιδιαιτερότητες ενός προϊόντος ΤΠΕ, μιας υπηρεσίας ΤΠΕ, μιας διαδικασίας ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης οντοτήτων. Για να καταστεί δυνατή μια πιο αναλυτική προσέγγιση, θα πρέπει να είναι δυνατόν σε ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας να προσδιορίζονται ένα ή περισσότερα επίπεδα αξιολόγησης που να αντιστοιχούν σε ένα από τα επίπεδα διασφάλισης. Αυτό θα δώσει τη δυνατότητα ανάπτυξης σχημάτων στα οποία πολλαπλά επίπεδα αξιολόγησης που έχουν σχεδιαστεί για διαφορετικό σκοπό θα αντιστοιχούν στο επίπεδο ασφάλειας που συνδέεται με ένα συγκεκριμένο επίπεδο διασφάλισης.

(106)Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να έχουν τη δυνατότητα να προβλέπουν τη διενέργεια αξιολόγησης της συμμόρφωσης υπό την αποκλειστική ευθύνη του κατασκευαστή ή του παρόχου προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή της οντότητας της οποίας η κυβερνοστάση έχει πιστοποιηθεί (στο εξής: αυτοαξιολόγηση της συμμόρφωσης). Στις περιπτώσεις αυτές, θα πρέπει να αρκεί ο κατασκευαστής, ο πάροχος ή η οντότητα της οποίας η κυβερνοστάση έχει πιστοποιηθεί να διενεργεί ο ίδιος ή η ίδια όλους τους ελέγχους για να διασφαλίζει ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, η διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση μιας οντότητας συμμορφώνονται με το ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας. Η αυτοαξιολόγηση της συμμόρφωσης θα πρέπει να θεωρείται κατάλληλη για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντότητας που είναι χαμηλής πολυπλοκότητας, παρουσιάζει χαμηλό επίπεδο κινδύνου για το κοινό και έχει απλό σχεδιασμό ή απλούς μηχανισμούς παραγωγής.

(107)Όταν ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας επιτρέπει τόσο αυτοαξιολογήσεις συμμόρφωσης όσο και πιστοποιήσεις προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης οντοτήτων, τότε το σχήμα πιστοποίησης θα πρέπει να προβλέπει σαφή και κατανοητά μέσα προκειμένου οι καταναλωτές ή άλλοι χρήστες να κάνουν τη διάκριση μεταξύ προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης οντοτήτων που έχουν αυτοαξιολογηθεί και αυτών που έχουν πιστοποιηθεί από τρίτους.

(108)Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή η οντότητα της οποίας η κυβερνοστάση είναι πιστοποιημένη θα πρέπει να είναι σε θέση να εκδίδει και να υπογράφει τη δήλωση συμμόρφωσης ΕΕ στο πλαίσιο της διαδικασίας αξιολόγησης της συμμόρφωσης. Η δήλωση συμμόρφωσης ΕΕ είναι έγγραφο στο οποίο αναφέρεται ότι συγκεκριμένο προϊόν ΤΠΕ, υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ, διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση οντότητας συμμορφώνεται με τις απαιτήσεις του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας. Με την έκδοση και την υπογραφή της δήλωσης συμμόρφωσης ΕΕ, ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή η οντότητα της οποίας η κυβερνοστάση είναι πιστοποιημένη αναλαμβάνει την ευθύνη για τη συμμόρφωση του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης της οντότητας με τις απαιτήσεις ασφάλειας του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας. Αντίγραφο της δήλωσης συμμόρφωσης ΕΕ θα πρέπει να υποβάλλεται στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και στον ENISA.

(109)Οι κατασκευαστές ή οι πάροχοι προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή οι οντότητες των οποίων η κυβερνοστάση είναι πιστοποιημένη θα πρέπει να θέτουν τη δήλωση συμμόρφωσης ΕΕ, την τεχνική τεκμηρίωση και όλες τις άλλες σχετικές πληροφορίες που αφορούν τη συμμόρφωση με ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας στη διάθεση της αρμόδιας εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας για χρονικό διάστημα που προβλέπεται στο σχετικό ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας και σύμφωνα με την ισχύουσα νομοθεσία της Ένωσης. Η τεχνική τεκμηρίωση θα πρέπει να προσδιορίζει τις απαιτήσεις που ισχύουν στο πλαίσιο του σχήματος, στον βαθμό που αυτές σχετίζονται με την αυτοαξιολόγηση της συμμόρφωσης. Η τεχνική τεκμηρίωση θα πρέπει να καταρτίζεται κατά τρόπο ώστε να μπορεί να αξιολογηθεί αν ένα προϊόν ΤΠΕ, μια υπηρεσία ΤΠΕ, μια διαδικασία ΤΠΕ ή μια διαχειριζόμενη υπηρεσία ασφάλειας, ή η κυβερνοστάση της οντότητας συμμορφώνεται με τις απαιτήσεις που ισχύουν στο πλαίσιο του σχήματος.

(110)Τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και οι δηλώσεις συμμόρφωσης ΕΕ θα πρέπει να βοηθούν τους χρήστες να κάνουν εμπεριστατωμένες επιλογές. Επομένως, οι σχετικές πληροφορίες θα πρέπει να δημοσιεύονται σε ιστότοπο που διατηρεί ο ENISA. Επιπρόσθετα, τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ που έχουν πιστοποιηθεί ή για τα οποία έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ θα πρέπει να συνοδεύονται από δομημένες πληροφορίες, προσαρμοσμένες στο αναμενόμενο τεχνικό επίπεδο του χρήστη για τον οποίον προορίζονται. Όλοι οι χρήστες θα πρέπει να έχουν πρόσβαση σε πληροφορίες σχετικά με τον αριθμό αναφοράς του σχήματος πιστοποίησης, την αρχή ή τον φορέα έκδοσης και, κατά περίπτωση, το επίπεδο διασφάλισης, ή θα πρέπει να είναι σε θέση να λαμβάνουν αντίγραφο του ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας. Οι εν λόγω πληροφορίες θα πρέπει να επικαιροποιούνται τακτικά και να διατίθενται σε ειδικό ιστότοπο για τα ευρωπαϊκά σχήματα πιστοποίησης κυβερνοασφάλειας. Επίσης, προκειμένου να διασφαλιστεί η συνεχής προσβασιμότητα, οι κατασκευαστές και οι πάροχοι θα πρέπει να υποχρεούνται να ενημερώνουν τον αρμόδιο οργανισμό πιστοποίησης σε περίπτωση αλλαγής της θέσης των επιγραμμικών ή, κατά περίπτωση, φυσικών πληροφοριών.

(111)Η αξιολόγηση της συμμόρφωσης είναι διαδικασία για την αξιολόγηση της εκπλήρωσης των καθορισμένων απαιτήσεων που αφορούν ένα προϊόν ΤΠΕ, μια υπηρεσία ΤΠΕ, μια διαδικασία ΤΠΕ, μια διαχειριζόμενη υπηρεσία ασφάλειας ή μια οντότητα. Η εν λόγω διαδικασία διενεργείται από ανεξάρτητο τρίτο μέρος που δεν είναι ο κατασκευαστής ή ο πάροχος των προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας που πιστοποιούνται, ούτε η οντότητα της οποίας η κυβερνοστάση αξιολογείται. Το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας θα πρέπει να εκδίδεται μετά την επιτυχή αξιολόγηση προϊόντος ΤΠΕ, υπηρεσίας ΤΠΕ, διαδικασίας ΤΠΕ, διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης της οντότητας. Το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας θα πρέπει να θεωρείται επιβεβαίωση της δέουσας διενέργειας της αξιολόγησης.

(112)Ο αυστηρός διαχωρισμός των δραστηριοτήτων εποπτείας και πιστοποίησης είναι σημαντικός για την αποφυγή στρεβλώσεων και παρεμβολών που ενδέχεται να προκληθούν σε καταστάσεις στις οποίες η οντότητα που εποπτεύει την αγορά ανταγωνίζεται επίσης στην ίδια αγορά. Κατά συνέπεια, για δραστηριότητες στις οποίες οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας εκτελούν απλώς τον εποπτικό τους ρόλο, για παράδειγμα παρέχοντας προηγούμενη έγκριση για την έκδοση πιστοποιητικού, δεν θα πρέπει να απαιτείται περαιτέρω εσωτερικός διαχωρισμός από άλλες εποπτικές δραστηριότητες. Αυτό περιλαμβάνει, για παράδειγμα, την περίπτωση στην οποία η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας συλλέγει ενεργά πληροφορίες καθ’ όλη τη διάρκεια της διαδικασίας πιστοποίησης που διενεργείται από ιδιωτικούς οργανισμούς αξιολόγησης της συμμόρφωσης και, στη συνέχεια, γνωμοδοτεί σχετικά με την έκδοση του πιστοποιητικού από τους εν λόγω οργανισμούς (στο εξής: μοντέλο προηγούμενης έγκρισης).

(113)Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να προσδιορίζουν τις προϋποθέσεις υπό τις οποίες προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση μιας οντότητας ενδέχεται να χρειαστεί να πιστοποιηθούν εκ νέου ή τις προϋποθέσεις υπό τις οποίες ενδέχεται να χρειαστεί να μειωθεί το πεδίο εφαρμογής συγκεκριμένου ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας. Επιπρόσθετα, τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας θα πρέπει να λαμβάνουν υπόψη οποιεσδήποτε πιθανές δυσμενείς επιπτώσεις τυχόν ευπαθειών ή περιπτώσεων μη συμμόρφωσης που εντοπίζονται μεταγενέστερα σχετικά με το πιστοποιημένο προϊόν ΤΠΕ, υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ, διαχειριζόμενη υπηρεσία ασφάλειας ή κυβερνοστάση μιας οντότητας σε σχέση με τη συμμόρφωση με τις απαιτήσεις ασφάλειας του εν λόγω πιστοποιητικού.

(114)Η εναρμόνιση διαδραματίζει καίριο ρόλο στη διασφάλιση ισχυρής κυβερνοασφάλειας και στην ενίσχυση της πρόσβασης των επιχειρήσεων στην αγορά. Αντιθέτως, ο κατακερματισμός και η έλλειψη αμοιβαίας αναγνώρισης των πιστοποιητικών θέτουν σημαντικά εμπόδια στην απρόσκοπτη ροή δεδομένων, αυξάνοντας έτσι το λειτουργικό κόστος για τον ενωσιακό κλάδο παραγωγής. Για να μετριαστούν οι εν λόγω προκλήσεις, είναι σημαντικό να αποφευχθεί ο κατακερματισμός όσον αφορά τόσο το πεδίο εφαρμογής των ελέγχων ασφάλειας όσο και τις μεθόδους αξιολόγησης της συμμόρφωσης ανά την Ένωση.

(115)Τα κράτη μέλη θα πρέπει να ενημερώνουν την Επιτροπή και την ΕΟΠΙΚ αρκετά νωρίτερα από την έγκριση νέων εθνικών σχημάτων πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, προκειμένου να βοηθούν την Επιτροπή και την ΕΟΠΙΚ να αξιολογήσουν τον αντίκτυπο του νέου εθνικού σχήματος πιστοποίησης της κυβερνοασφάλειας στην ορθή λειτουργία της εσωτερικής αγοράς, και υπό το πρίσμα τυχόν στρατηγικών συμφερόντων που ενέχει η υποβολή αιτήματος για ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.

(116)Οι αναφορές της εθνικής νομοθεσίας σε εθνικά πρότυπα που έχουν παύσει να ισχύουν λόγω της έναρξης ισχύος ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας μπορεί να αποτελέσουν πηγή σύγχυσης. Επομένως, κατά περίπτωση, η θέσπιση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας θα πρέπει να αποτυπώνεται στην εθνική νομοθεσία των κρατών μελών.

(117)Προκειμένου να διευκολυνθεί η ανάπτυξη αξιόπιστης εσωτερικής αγοράς, με παράλληλη δημιουργία εταιρικών σχέσεων με τρίτες χώρες, η διαδικασία πιστοποίησης που θεσπίζεται στο πλαίσιο του ΕΠΠΚ θα πρέπει να εφαρμόζεται κατά τρόπο που να διευκολύνει τη διεθνή αναγνώριση, την αμοιβαία αναγνώριση και την ευθυγράμμιση με τα διεθνή πρότυπα.

(118)Για να διευκολυνθεί περαιτέρω το εμπόριο και αναγνωρίζοντας ότι οι αλυσίδες εφοδιασμού ΤΠΕ είναι διεθνείς, η Ένωση μπορεί να συνάπτει συμφωνίες αμοιβαίας αναγνώρισης σχετικά με τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας σύμφωνα με το άρθρο 218 της ΣΛΕΕ. Η Επιτροπή θα πρέπει να εξουσιοδοτηθεί να εκδίδει εκτελεστικές πράξεις για τη μονομερή αναγνώριση της ισοδυναμίας πιστοποιητικών τρίτων χωρών με τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας. Θα πρέπει να είναι δυνατή η πρόβλεψη ειδικών όρων για την εν λόγω αναγνώριση πιστοποιητικών τρίτων χωρών.

(119)Για να επιτευχθεί ισοδύναμη εφαρμογή του πλαισίου σε ολόκληρη την Ένωση, να διευκολυνθεί η αμοιβαία αναγνώριση και να προαχθεί η γενική αποδοχή των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ, είναι απαραίτητο να τεθεί σε εφαρμογή σύστημα αξιολόγησης από ομοτίμους μεταξύ εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας. Η αξιολόγηση από ομοτίμους θα πρέπει να καλύπτει διαδικασίες για την εποπτεία της συμμόρφωσης προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, για την παρακολούθηση των υποχρεώσεων των κατασκευαστών ή των παρόχων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας και πιστοποιημένων οντοτήτων που διενεργούν την αυτοαξιολόγηση της συμμόρφωσης, για την παρακολούθηση των οργανισμών αξιολόγησης της συμμόρφωσης, καθώς και της καταλληλότητας της εμπειρογνωσίας του προσωπικού των οργανισμών που εκδίδουν πιστοποιητικά για «υψηλό» επίπεδο διασφάλισης. Ο ENISA θα πρέπει να συμμετέχει στις αξιολογήσεις από ομοτίμους ως παρατηρητής και να στηρίζει την οργάνωση του μηχανισμού αξιολόγησης από ομοτίμους και των αξιολογήσεων από ομοτίμους, μεταξύ άλλων με την ανάπτυξη σχετικών εγγράφων καθοδήγησης και υποδειγμάτων, σε συνεργασία με την Επιτροπή και την ΕΟΠΙΚ. Ο ENISA θα πρέπει επίσης να δημοσιοποιεί στον ιστότοπό του για τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας τις πληροφορίες σχετικά με το χρονοδιάγραμμα των αξιολογήσεων από ομοτίμους και τον κατάλογο των αξιολογούμενων από ομοτίμους εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας που πρέπει να τηρήσουν το χρονοδιάγραμμα. Ο εκτελεστικός κανονισμός (ΕΕ) 2025/2540 της Επιτροπής 60 , ο οποίος εκδόθηκε δυνάμει του κανονισμού (ΕΕ) 2019/881, καθορίζει το πρόγραμμα για τις αξιολογήσεις από ομοτίμους, το οποίο χρησιμοποιείται από τα εγκεκριμένα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Είναι αναγκαίο να διασφαλιστεί η συνέχιση των αξιολογήσεων από ομοτίμους. Ωστόσο, η Επιτροπή θα πρέπει να είναι σε θέση, μέσω εκτελεστικών πράξεων όπου απαιτείται, να καταρτίσει νέο πρόγραμμα για αξιολογήσεις από ομοτίμους διάρκειας τουλάχιστον πέντε ετών, καθώς και να καθορίσει κριτήρια και μεθοδολογίες για τη λειτουργία του συστήματος αξιολόγησης από ομοτίμους.

(120) Μόλις εγκριθεί ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, οι κατασκευαστές ή οι πάροχοι προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή οι οντότητες των οποίων η κυβερνοστάση αποτελεί αντικείμενο πιστοποίησης θα πρέπει να είναι σε θέση να υποβάλλουν αιτήσεις πιστοποίησης των οικείων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της οικείας κυβερνοστάσης στον οργανισμό αξιολόγησης της συμμόρφωσης της επιλογής τους οπουδήποτε στην Ένωση. Οι οργανισμοί αξιολόγησης της συμμόρφωσης θα πρέπει να είναι διαπιστευμένοι από εθνικό οργανισμό διαπίστευσης, εάν συμμορφώνονται με τις απαιτήσεις που καθορίζονται στον παρόντα κανονισμό και, κατά περίπτωση, με τις απαιτήσεις που καθορίζονται από την Επιτροπή σύμφωνα με τον παρόντα κανονισμό. Το σύστημα που θεσπίζεται με τον παρόντα κανονισμό θα πρέπει να συμπληρώνεται με το σύστημα διαπίστευσης που προβλέπεται στον κανονισμό (ΕΚ) αριθ. 765/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 61 .

(121) Οι οργανισμοί αξιολόγησης της συμμόρφωσης που έχουν διαπιστευθεί ή κοινοποιηθεί βάσει της ισχύουσας ενωσιακής νομοθεσίας, ειδικότερα βάσει του κανονισμού (ΕΕ) 2024/2847 ή του εκτελεστικού κανονισμού (ΕΕ) 2024/482, ενδέχεται να διαθέτουν ικανότητες σχετικές με τα προσφάτως εγκριθέντα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Για να αποφευχθεί ο περιττός οικονομικός και διοικητικός φόρτος, είναι σκόπιμο να δημιουργηθούν συνέργειες για τη διαπίστευση οργανισμών αξιολόγησης της συμμόρφωσης δυνάμει του παρόντος κανονισμού. Για τον λόγο αυτό, οι απαιτήσεις διαπίστευσης των σχημάτων θα πρέπει να καθοριστούν κατά τρόπο ώστε να υπάρχει όσο το δυνατόν μεγαλύτερη ευθυγράμμιση με τις απαιτήσεις σχετικά με τους κοινοποιημένους οργανισμούς που καθορίζονται στον κανονισμό (ΕΕ) 2024/2847 και τις απαιτήσεις διαπίστευσης δυνάμει του εκτελεστικού κανονισμού (ΕΕ) 2024/482. Επιπρόσθετα, οι οργανισμοί αξιολόγησης της συμμόρφωσης που υποβάλλονται σε διαδικασία διαπίστευσης δυνάμει του παρόντος κανονισμού θα πρέπει να μπορούν να βασίζονται σε προηγούμενα αποτελέσματα αξιολόγησης των ικανοτήτων τους βάσει άλλης ενωσιακής νομοθεσίας, στις περιπτώσεις που υπάρχει αλληλεπικάλυψη των απαιτήσεων διαπίστευσης.

(122)Προκειμένου να διευκολυνθεί η παροχή εναρμονισμένων υπηρεσιών αξιολόγησης της συμμόρφωσης σε ολόκληρη την Ένωση, θα πρέπει να είναι δυνατόν να καθορίζονται, σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, πρόσθετες ή ειδικές απαιτήσεις για τους οργανισμούς αξιολόγησης της συμμόρφωσης. Στο πλαίσιο της πιστοποίησης, ως αδειοδότηση θα πρέπει να νοείται η απόφαση εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας ότι ένας οργανισμός αξιολόγησης της συμμόρφωσης πληροί τις ειδικές ή πρόσθετες απαιτήσεις που καθορίζονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για τη διενέργεια συγκεκριμένης δραστηριότητας αξιολόγησης της συμμόρφωσης.

(123)Σε περιπτώσεις που ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας ορίζουν πρόσθετες ή ειδικές απαιτήσεις σύμφωνα με τον παρόντα κανονισμό, οι οργανισμοί αξιολόγησης της συμμόρφωσης θα πρέπει να έχουν αδειοδοτηθεί από τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας για να εκτελούν καθήκοντα στο πλαίσιο των εν λόγω σχημάτων. Για να αποφευχθεί η αλληλεπικάλυψη των δραστηριοτήτων αδειοδότησης, για να προωθηθεί η αποδοχή και η αναγνώριση των αποφάσεων αδειοδότησης και για να παρακολουθούνται αποτελεσματικά οι αδειοδοτημένοι οργανισμοί αξιολόγησης της συμμόρφωσης, οι οργανισμοί αξιολόγησης της συμμόρφωσης θα πρέπει να ζητούν να λάβουν άδεια από την εθνική αρχική πιστοποίησης της κυβερνοασφάλειας του κράτους μέλους στο οποίο είναι εγκατεστημένοι. Ωστόσο, θα πρέπει να διασφαλιστεί η δυνατότητα του οργανισμού αξιολόγησης της συμμόρφωσης να ζητήσει να λάβει άδεια από άλλο κράτος μέλος, όταν στο δικό του κράτος μέλος δεν υπάρχει εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ή όταν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας δεν είναι αρμόδια να παράσχει τις υπηρεσίες αδειοδότησης που ζητούνται. Στις περιπτώσεις αυτές, θα πρέπει να διασφαλίζεται η κατάλληλη συνεργασία και ανταλλαγή πληροφοριών μεταξύ των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας. Η Επιτροπή θα πρέπει να εξουσιοδοτηθεί να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των διαδικασιών αδειοδότησης, μεταξύ άλλων σχετικά με τη διασυνοριακή συνεργασία όσον αφορά την αδειοδότηση.

(124)Για να διασφαλιστεί το επίπεδο της προστασίας που απαιτείται για προϊόν ΤΠΕ, υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ, διαχειριζόμενη υπηρεσία ασφάλειας ή κυβερνοστάση μιας οντότητας, είναι αναγκαίο οι υπεργολάβοι και οι θυγατρικές που διενεργούν την αξιολόγηση της συμμόρφωσης να πληρούν τις ίδιες απαιτήσεις με τους κοινοποιημένους οργανισμούς αξιολόγησης της συμμόρφωσης σε σχέση με την εκτέλεση των καθηκόντων αξιολόγησης της συμμόρφωσης. Κατά συνέπεια, ο οργανισμός αξιολόγησης της συμμόρφωσης θα πρέπει να διαθέτει την κατάλληλη επάρκεια και να είναι σε θέση να επαληθεύει ότι οι υπεργολάβοι του πληρούν τις εφαρμοστέες απαιτήσεις.

(125)Ο βαθμός στον οποίο ο οργανισμός αξιολόγησης της συμμόρφωσης προτίθεται να βασιστεί σε υπεργολάβους εγκατεστημένους εκτός της Ένωσης ή να έχει πρόσβαση σε προσωπικό ή εγκαταστάσεις εκτός του κράτους μέλους κοινοποίησης θα πρέπει να αξιολογείται δεόντως από την κοινοποιούσα αρχή. Η δημόσια αρχή ενός κράτους μέλους θα πρέπει να έχει τη δυνατότητα να αποφασίσει ότι δεν μπορεί να αναλάβει τη συνολική ευθύνη ως εθνική αρχή πιστοποίησης της κυβερνοασφάλειας για μια τέτοια ρύθμιση και να αποσύρει την κοινοποίηση ή να περιορίσει το πεδίο εφαρμογής της.

(126)Προκειμένου να αξιολογηθούν οι απαιτήσεις κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, οι διαπιστευμένοι οργανισμοί αξιολόγησης της συμμόρφωσης θα πρέπει να κοινοποιούνται από τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας στην Επιτροπή και στα άλλα κράτη μέλη. Η κοινοποίηση διαπιστευμένων και, κατά περίπτωση, αδειοδοτημένων οργανισμών αξιολόγησης της συμμόρφωσης υποδεικνύει ότι οι εν λόγω οργανισμοί μπορούν να θεωρούνται αξιόπιστοι κατά την εκτέλεση δραστηριοτήτων αξιολόγησης και πιστοποίησης σύμφωνα με τον παρόντα κανονισμό και το ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, συμβάλλοντας στη συνολική φήμη της ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας. Ως εκ τούτου, είναι σημαντικό να διασφαλιστεί ότι οι κοινοποιημένοι οργανισμοί αξιολόγησης της συμμόρφωσης πληρούν τις απαιτήσεις που τους διέπουν και εκπληρώνουν τις υποχρεώσεις τους με την πάροδο του χρόνου, και ότι ο κατάλογος των κοινοποιημένων οργανισμών αξιολόγησης της συμμόρφωσης επικαιροποιείται.

(127)Ο εκτελεστικός κανονισμός (ΕΕ) 2024/3143 της Επιτροπής 62 , ο οποίος εκδόθηκε δυνάμει του κανονισμού (ΕΕ) 2019/881, καθορίζει τις περιστάσεις, τους μορφότυπους και τις διαδικασίες για την κοινοποίηση οργανισμών αξιολόγησης της συμμόρφωσης που χρησιμοποιούνται από τα εγκεκριμένα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Είναι αναγκαίο, επομένως, να διασφαλιστεί η συνέχιση των δραστηριοτήτων κοινοποίησης. Ωστόσο, η Επιτροπή θα πρέπει να εξουσιοδοτηθεί να εκδίδει εκτελεστικές πράξεις για την προσαρμογή των εν λόγω περιστάσεων, διαδικασιών και μορφότυπων για την κοινοποίηση οργανισμών αξιολόγησης της συμμόρφωσης. Εν προκειμένω, η Επιτροπή θα πρέπει να αξιοποιήσει την πείρα που έχει αποκτηθεί στο πλαίσιο υφιστάμενων σχημάτων και να επιδιώξει την ευθυγράμμιση με άλλες σχετικές νομοθετικές πράξεις και πλαίσια της Ένωσης, ειδικότερα με τον κανονισμό (ΕΕ) 2024/2847 και το νέο νομοθετικό πλαίσιο, προκειμένου να μειωθεί ο φόρος συμμόρφωσης για τους οργανισμούς αξιολόγησης της συμμόρφωσης που δραστηριοποιούνται βάσει διαφόρων νομικών πράξεων.

(128) Οι αλυσίδες εφοδιασμού ΤΠΕ αποτελούνται από ένα συνδεδεμένο σύνολο πόρων και διαδικασιών μεταξύ οικονομικών φορέων. Οι αλυσίδες εφοδιασμού ΤΠΕ διαδραματίζουν καίριο ρόλο στη διατήρηση της κοινωνικής σταθερότητας και στην προώθηση της οικονομικής δραστηριότητας σε ολόκληρη την Ένωση. Διαδραματίζουν επίσης καίριο ρόλο στη διευκόλυνση των ψηφιακών υποδομών στην Ένωση και στηρίζουν τη λειτουργία της κοινωνίας και της οικονομίας της Ένωσης. Οι αλυσίδες εφοδιασμού ΤΠΕ καθιστούν δυνατή την κατασκευή, την παραγωγή, τη διανομή και τη συντήρηση υπηρεσιών ΤΠΕ, συστημάτων ΤΠΕ και προϊόντων ΤΠΕ που υποστηρίζουν διάφορους κρίσιμους και εξαιρετικά κρίσιμους τομείς, συμπεριλαμβανομένων της υγειονομικής περίθαλψης, του χρηματοοικονομικού τομέα, των μεταφορών, των τηλεπικοινωνιών, της ενέργειας και των τελωνείων. Η ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ των εν λόγω κρίσιμων τομέων μπορεί επίσης να έχει αντίκτυπο στην ασφάλεια των αμυντικών και των στρατιωτικών υποδομών, όταν οι υποδομές αυτές βασίζονται σε μη στρατιωτικούς κρίσιμους τομείς και στις οικείες αλυσίδες εφοδιασμού ΤΠΕ. Ωστόσο, σύμφωνα με την έκθεση σχετικά με την κατάσταση των απειλών για την κυβερνοασφάλεια που εξέδωσε ο ENISA (ENISA Threat Landscape 2025) 63 , οι επιθέσεις κατά των αλυσίδων εφοδιασμού συγκαταλέγονται μεταξύ των πέντε κύριων απειλών για την κυβερνοασφάλεια, γεγονός που καταδεικνύει ότι οι επιτιθέμενοι αξιοποιούν ενεργά έμμεσες οδούς μέσω τρίτων παρόχων και εξαρτήσεων. Η διαταραχή των εφοδιαστικών αλυσίδων ΤΠΕ μπορεί να παρεμποδίσει την άσκηση οικονομικών δραστηριοτήτων στην εσωτερική αγορά, να προκαλέσει οικονομικές απώλειες, να υπονομεύσει την εμπιστοσύνη των χρηστών και να προκαλέσει σοβαρή ζημία στην οικονομία και την κοινωνία της Ένωσης. Ως εκ τούτου, η ετοιμότητα και η αποτελεσματικότητα στον τομέα της κυβερνοασφάλειας είναι πιο σημαντικές από ποτέ για την ορθή λειτουργία της εσωτερικής αγοράς.

(129)Πέραν των τεχνικών κινδύνων που αντιμετωπίζονται με την οδηγία (ΕΕ) 2022/55 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 64 , τον κανονισμό (ΕΕ) 2024/2847 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 65 και το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας που θεσπίστηκε με τον κανονισμό (ΕΕ) 2019/881, οι αλυσίδες εφοδιασμού ΤΠΕ εκτίθενται όλο και περισσότερο σε κινδύνους μη τεχνικού χαρακτήρα. Οι εν λόγω μη τεχνικοί κίνδυνοι μπορεί να συνδέονται, μεταξύ άλλων, με τη δικαιοδοσία στην οποία υπόκειται ο προμηθευτής ορισμένων συνιστωσών, ιδίως όταν τρίτη χώρα ή παράγοντες απειλής που ελέγχονται από την εν λόγω χώρα επιδίδονται σε οικονομική κατασκοπεία, διεξάγουν κακόβουλες δραστηριότητες ή εκστρατείες στον κυβερνοχώρο κατά της Ένωσης ή των κρατών μελών της, ή επιδίδονται σε ανεύθυνη κρατική συμπεριφορά στον κυβερνοχώρο. Οι μη τεχνικοί κίνδυνοι μπορούν επίσης να συνδέονται με κεκαλυμμένες ευπάθειες ή κερκόπορτες, ή δυνητικές συστημικές διαταραχές στον εφοδιασμό, ιδίως σε περίπτωση τεχνολογικού εγκλωβισμού ή εξάρτησης από προμηθευτές. Για παράδειγμα, διακόπτες έκτακτης ανάγκης (kill switches) θα μπορούσαν να χρησιμοποιηθούν για να επηρεάσουν αρνητικά τη διαθεσιμότητα δικτύων επικοινωνιών και ηλεκτρικής ενέργειας.

(130)Στην κοινή ανακοίνωση σχετικά με την ενίσχυση της οικονομικής ασφάλειας της ΕΕ 66 τονίστηκε ο κίνδυνος πρόσβασης τρίτων χωρών σε ευαίσθητες πληροφορίες και δεδομένα στην Ένωση ή στα κράτη μέλη της, είτε ως αποτέλεσμα βιομηχανικής κατασκοπείας, ή προμήθειας από αυτές υλισμικού ή λογισμικού που χρησιμοποιείται σε ορισμένα προϊόντα, ή λόγω της κυριότητας και του ελέγχου από αυτές ορισμένων επιχειρήσεων που κατέχουν ευαίσθητες πληροφορίες και δεδομένα. Τονίστηκε επίσης ο κίνδυνος διατάραξης των κρίσιμων υποδομών της Ένωσης —συμπεριλαμβανομένων των κρίσιμων υποδομών μεταφορών, διαστημικών συστημάτων, ενέργειας και επικοινωνιών, ιδίως εκείνων που χαρακτηρίζονται στρατηγικής σημασίας για τη στρατιωτική κινητικότητα— από ξένους παράγοντες, γεγονός που θα μπορούσε να επιφέρει αλυσιδωτές επιπτώσεις στην οικονομία της Ένωσης. Διαταραχές θα μπορούσαν να προκληθούν μέσω φυσικών επιθέσεων, κυβερνοεπιθέσεων ή υβριδικών επιθέσεων, συμπεριλαμβανομένης της δολιοφθοράς ολόκληρων εγκαταστάσεων, μερών ή επιμέρους συνιστωσών τους. Θα μπορούσαν επίσης να συνδεθούν με αλυσίδες εφοδιασμού ΤΠΕ, οι οποίες υποστηρίζουν κρίσιμες συνιστώσες ή υπηρεσίες σε κρίσιμες υποδομές.

(131)Ως απάντηση στις προκλήσεις για την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ που θέτουν οι μη τεχνικοί κίνδυνοι, ορισμένα κράτη μέλη έχουν λάβει κανονιστικά μέτρα, συμπεριλαμβανομένου του καθορισμού προμηθευτών υψηλού κινδύνου, ενώ άλλα κράτη μέλη είναι πιθανό να το πράξουν. Αυτό θα μπορούσε να οδηγήσει σε περαιτέρω αποκλίσεις στις εθνικές προσεγγίσεις και, τελικά, σε μεγαλύτερη ευπάθεια ορισμένων κρατών μελών, με δυνητικές δευτερογενείς επιπτώσεις σε ολόκληρη την Ένωση. Ως εκ τούτου, είναι αναγκαίο να εναρμονιστούν ορισμένες πτυχές που σχετίζονται με τους μη τεχνικούς κινδύνους κυβερνοασφάλειας για τις αλυσίδες εφοδιασμού ΤΠΕ. Η εν λόγω παρέμβαση σε επίπεδο Ένωσης δικαιολογείται επίσης από την ανάγκη διασφάλισης υψηλού επιπέδου κυβερνοασφάλειας σε ολόκληρη την Ένωση. Οι διατάξεις σχετικά με την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ αποσκοπούν στην εξάλειψη τέτοιων μεγάλων αποκλίσεων μεταξύ των κρατών μελών, ιδίως με τον καθορισμό κανόνων για τους μηχανισμούς αξιολόγησης των κινδύνων για την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ σε επίπεδο Ένωσης και ελάχιστων προτύπων προστασίας από τους κινδύνους που αντιμετωπίζουν οι αλυσίδες εφοδιασμού ΤΠΕ.

(132)Για τη μείωση των κρίσιμων εξαρτήσεων και ευπαθειών, είναι αναγκαίο να θεσπιστεί ένα πλαίσιο για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ, το οποίο θα πρέπει να καλύπτει τους μη τεχνικούς κινδύνους που σχετίζονται με προμηθευτές υψηλού κινδύνου και τις εξαρτήσεις σε τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς. Ως εκ τούτου, είναι αναγκαίο να προβλεφθεί ένα αντικειμενικό, βασιζόμενο στον κίνδυνο, διαχρονικό και τεχνολογικά ουδέτερο πλαίσιο σε επίπεδο Ένωσης, να προσδιοριστούν βασικά πάγια στοιχεία ΤΠΕ και να καθοριστεί ένα σύνολο αναλογικών μέτρων μετριασμού για την αντιμετώπιση των κινδύνων.

(133)Κίνδυνοι κυβερνοασφάλειας, συμπεριλαμβανομένων κινδύνων που σχετίζονται με την εξάρτηση από προμηθευτές υψηλού κινδύνου, μπορούν να παρατηρηθούν σε διάφορες κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ στην Ένωση, συμπεριλαμβανομένων του εξοπλισμού ανίχνευσης, των συνδεδεμένων και αυτοματοποιημένων οχημάτων, των συστημάτων παροχής ηλεκτρικής ενέργειας και της αποθήκευσης ηλεκτρικής ενέργειας, των συστημάτων υδροδότησης, των δρόνων και των συστημάτων αναχαίτισης δρόνων, των υπηρεσιών υπολογιστικού νέφους, των ιατροτεχνολογικών προϊόντων, του εξοπλισμού επιτήρησης, των διαστημικών υπηρεσιών και των ημιαγωγών. Για παράδειγμα, ευπάθειες σε εξοπλισμό ανίχνευσης ασφαλείας θα μπορούσαν να παράσχουν πρόσβαση σε συστήματα ΤΠΕ, επιτρέποντας σε κακόβουλους παράγοντες να εκμεταλλευτούν σαρωτές με τρόπο ώστε απαγορευμένα είδη να μπορούν να διέλθουν από το σημείο ελέγχου ασφάλειας χωρίς να εντοπιστούν, με πιθανώς καταστροφικές συνέπειες.

(134)Ο παρών κανονισμός δεν θα πρέπει να εμποδίζει τα κράτη μέλη να θεσπίζουν ή να διατηρούν διατάξεις που διασφαλίζουν υψηλότερο επίπεδο κυβερνοασφάλειας σε ό,τι αφορά την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ, υπό την προϋπόθεση ότι οι εν λόγω διατάξεις συνάδουν με τις υποχρεώσεις των κρατών μελών δυνάμει του ενωσιακού δικαίου. Οι εν λόγω διατάξεις μπορεί να περιλαμβάνουν, για παράδειγμα, την επιβολή αυστηρότερων μέτρων μετριασμού όσον αφορά βασικά πάγια στοιχεία ΤΠΕ.

(135)Για τον εντοπισμό δυνητικών κινδύνων κυβερνοασφάλειας που επηρεάζουν συγκεκριμένες αλυσίδες εφοδιασμού ΤΠΕ, η ομάδα συνεργασίας που συστάθηκε με το άρθρο 14 της οδηγίας (ΕΕ) 2022/2555 (στο εξής: ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών) μπορεί να αξιολογεί συγκεκριμένες αλυσίδες εφοδιασμού ΤΠΕ μέσω συντονισμένων σε επίπεδο Ένωσης εκτιμήσεων κινδύνου για την ασφάλεια. Οι συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια θα πρέπει να εξετάζουν, μεταξύ άλλων, τους κύριους παράγοντες απειλής, τις κύριες απειλές και τις ευπάθειες που επηρεάζουν βασικά πάγια στοιχεία ΤΠΕ. Με τις συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια θα πρέπει να καταρτίζεται κατάλογος σεναρίων κινδύνου και κατάλογος μέτρων για τον μετριασμό των κινδύνων. Οι συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια θα πρέπει να ολοκληρώνονται εντός έξι μηνών. Σε περίπτωση ειδικής έκτακτης ανάγκης, θα πρέπει να είναι δυνατή η συντόμευση των προθεσμιών.

(136)Η Επιτροπή, σε περιπτώσεις που έχει επαρκείς λόγους να πιστεύει ότι υπάρχει σημαντική κυβερνοαπειλή για την ασφάλεια της Ένωσης που σχετίζεται με κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ και ενδέχεται να είναι αναγκαία η ανάληψη δράσης για τη διατήρηση της εύρυθμης λειτουργίας της εσωτερικής αγοράς, θα πρέπει να διαβουλεύεται χωρίς καθυστέρηση με τα κράτη μέλη σχετικά με την ανάγκη λήψης μέτρων μετριασμού και να διενεργεί εκτίμηση κινδύνου για την ασφάλεια, λαμβάνοντας υπόψη τη διαβούλευση με τα κράτη μέλη.

(137)Όταν, ως αποτέλεσμα εκτίμησης κινδύνου για την ασφάλεια που διενεργείται από την ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών ή την Επιτροπή, προκύπτει ότι μια συγκεκριμένη τρίτη χώρα αποτελεί πηγή σοβαρών και διαρθρωτικών μη τεχνικών κινδύνων κυβερνοασφάλειας για τις αλυσίδες εφοδιασμού ΤΠΕ, η Επιτροπή θα πρέπει να επαληθεύει την απειλή που εγείρει η εν λόγω χώρα. Η Επιτροπή μπορεί να ξεκινήσει την εν λόγω επαλήθευση και με βάση άλλες πηγές, όπως δημόσια δήλωση εξ ονόματος της Ένωσης ή κράτους μέλους ως αντίδραση σε περιπτώσεις ανεύθυνης κρατικής συμπεριφοράς στον κυβερνοχώρο που έχει προκαλέσει περιστατικό κυβερνοασφάλειας. Για την αξιολόγηση του επιπέδου απειλής, η Επιτροπή θα πρέπει να λαμβάνει υπόψη στοιχεία όπως την ύπαρξη νόμων ή πρακτικών στην τρίτη χώρα που απαιτούν από τις οντότητες που υπάγονται στη δικαιοδοσία της να αναφέρουν πληροφορίες σχετικά με ευπάθειες λογισμικού ή υλισμικού στις αρχές της εν λόγω τρίτης χώρας προτού να γίνει γνωστή τυχόν εκμετάλλευση των εν λόγω ευπαθειών. Ένα άλλο σχετικό στοιχείο είναι η απουσία αποτελεσματικών ένδικων μέσων και ανεξάρτητων και δημοκρατικών μηχανισμών ελέγχου που να μπορούν να αντιμετωπίσουν ανησυχίες για την ασφάλεια, μεταξύ άλλων σχετικά με υφιστάμενες πρακτικές, την απουσία τεκμηριωμένων πληροφοριών σχετικά με περιστατικά παραγόντων απειλής που δραστηριοποιούνται εκτός του εδάφους της εν λόγω χώρας και διεξάγουν κακόβουλες δραστηριότητες ή εκστρατείες στον κυβερνοχώρο και την έλλειψη ικανότητας ή προθυμίας της τρίτης χώρας να συνεργαστεί με την Επιτροπή ή τα κράτη μέλη για την αντιμετώπιση του κινδύνου που απορρέει από τη δραστηριότητα των εν λόγω παραγόντων απειλής. Η Επιτροπή θα πρέπει επίσης να λαμβάνει υπόψη τις πληροφορίες που προκύπτουν από συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια ή από εκθέσεις που εκδίδονται από κράτη μέλη ή διεθνείς οργανισμούς, όπως το ΝΑΤΟ.

(138)Για τους σκοπούς του παρόντος κανονισμού, ως έλεγχος θα πρέπει να νοείται η δυνατότητα άσκησης αποφασιστικής επιρροής σε νομική οντότητα άμεσα, ή έμμεσα μέσω μίας ή περισσότερων ενδιάμεσων νομικών οντοτήτων. Έλεγχος οντοτήτων τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια θα πρέπει επίσης να καθιερώνεται σε περιπτώσεις στις οποίες οι εν λόγω οντότητες διαθέτουν δομές εκτελεστικής διαχείρισης στην εν λόγω χώρα.

(139)Η Ένωση δεν θα πρέπει να χρηματοδοτεί έργα στα οποία εμπλέκονται προμηθευτές υψηλού κινδύνου, κάτι που θα έθετε σε κίνδυνο την ασφάλεια της Ένωσης και θα υπονόμευε τα συμφέροντα και την αξιοπιστία της Ένωσης. Ως εκ τούτου, οι προμηθευτές υψηλού κινδύνου που προσδιορίζονται βάσει του παρόντος κανονισμού δεν θα πρέπει να έχουν το δικαίωμα να συμμετέχουν σε χρηματοδοτικά προγράμματα και μέσα της Ένωσης που υλοποιούνται υπό άμεση και έμμεση διαχείριση σύμφωνα με το άρθρο 136 του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509 και τους ειδικούς τομεακούς κανόνες της Ένωσης, καθώς και σε τυχόν χρηματοδοτικές δραστηριότητες της Ένωσης που υλοποιούνται υπό επιμερισμένη διαχείριση, μεταξύ άλλων βάσει του επόμενου πολυετούς δημοσιονομικού πλαισίου σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ προς χρήση σε προσδιορισμένα βασικά πάγια στοιχεία ΤΠΕ. Οι εταίροι υλοποίησης της Ένωσης, όπως ο Όμιλος της Ευρωπαϊκής Τράπεζας Επενδύσεων και οι εθνικές αναπτυξιακές τράπεζες και ιδρύματα, θα πρέπει να απέχουν από τη στήριξη έργων που έρχονται σε αντίθεση με τα ανωτέρω, μεταξύ άλλων σε πράξεις που ενέχουν ίδιο κίνδυνο.

(140)Οι δημόσιες συμβάσεις μπορούν να αποτελέσουν ισχυρό εργαλείο για τη συμβολή των δημόσιων αρχών σε μια πιο καινοτόμο, βιώσιμη και ανταγωνιστική οικονομία και για τη δαπάνη δημόσιων πόρων με στρατηγικό τρόπο. Δημόσιες συμβάσεις που σχετίζονται με αλυσίδες εφοδιασμού ΤΠΕ δεν θα πρέπει να χρησιμοποιούνται προς όφελος προμηθευτών που απειλούν την ασφάλεια κρίσιμων υποδομών της Ένωσης. Ως εκ τούτου, οι προμηθευτές υψηλού κινδύνου που προσδιορίζονται βάσει του παρόντος κανονισμού δεν θα πρέπει να έχουν το δικαίωμα να συμμετέχουν σε δημόσιες συμβάσεις που αφορούν την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ που πρόκειται να χρησιμοποιηθούν σε προσδιορισμένα βασικά πάγια στοιχεία ΤΠΕ.

(141)Η πιστοποίηση της κυβερνοασφάλειας διαδραματίζει ρόλο στην ενίσχυση της συνολικής ασφάλειας και στην αντιμετώπιση των κυβερνοαπειλών, λειτουργώντας ως σημείο αναφοράς για την εμπιστοσύνη. Η εμπιστοσύνη αυτή θα μπορούσε να υπονομευτεί εάν παρέχονταν βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας από προμηθευτές υψηλού κινδύνου, οι οποίοι, ως εκ τούτου, δεν θα πρέπει να δικαιούνται να υποβάλουν αίτηση για να γίνουν αδειοδοτημένοι πάροχοι οποιωνδήποτε ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας της Ένωσης. Στο ίδιο πνεύμα, είναι επίσης σκόπιμο να μην παρέχεται στους προμηθευτές υψηλού κινδύνου η δυνατότητα να αποκτήσουν πιστοποίηση κυβερνοασφάλειας βάσει του ΕΠΠΚ και να καταστούν διαπιστευμένοι οργανισμοί αξιολόγησης της συμμόρφωσης για την έκδοση τέτοιων πιστοποιητικών.

(142)Τα πρότυπα κυβερνοασφάλειας διαδραματίζουν καίριο ρόλο στην ασφάλεια και την αξιοπιστία των ψηφιακών υποδομών. Είναι αναγκαίο να ληφθούν κατάλληλα μέτρα για τη διασφάλιση της τυποποίησης στον τομέα της κυβερνοασφάλειας. Η συμμετοχή οντοτήτων που είναι εγκατεστημένες σε χώρες ή ελέγχονται από χώρες οι οποίες έχει διαπιστωθεί ότι εγείρουν ανησυχίες για την κυβερνοασφάλεια στις αλυσίδες εφοδιασμού ΤΠΕ σύμφωνα με τον παρόντα κανονισμό μπορεί να επηρεάσει τα πρότυπα κυβερνοασφάλειας με τρόπο που να υπονομεύει την ασφάλεια και την αξιοπιστία τους.

(143)Με βάση τα αποτελέσματα των εκτιμήσεων κινδύνου για την ασφάλεια, η Επιτροπή μπορεί να προσδιορίζει, μέσω εκτελεστικών πράξεων, ποια πάγια στοιχείαΤΠΕ θα πρέπει λόγω της κρισιμότητάς τους να θεωρούνται βασικά πάγια στοιχεία ΤΠΕ και να υπόκεινται σε ειδικά μέτρα μετριασμού. Η ύπαρξη και μόνο της δυνατότητας συνδεσιμότητας του πάγιου στοιχείου θα πρέπει να επαρκεί για να λαμβάνεται υπόψη ο κίνδυνος κυβερνοασφάλειας που αυτό ενέχει.

(144)Όταν είναι αναγκαίο για τη διασφάλιση υψηλού επιπέδου κυβερνοασφάλειας, κυβερνοανθεκτικότητας και εμπιστοσύνης εντός της Ένωσης, τα μέτρα μετριασμού μπορούν να εφαρμόζονται σε οντότητες σε σχέση με την οικεία αλυσίδα εφοδιασμού ΤΠΕ και ιδίως σε σχέση με βασικά πάγια στοιχεία ΤΠΕ που έχουν προσδιοριστεί. Τα προτεινόμενα μέτρα μετριασμού θα πρέπει να βασίζονται στην εκτίμηση των δυνητικών κινδύνων και εξαρτήσεων, συμπεριλαμβανομένου του δυνητικού οικονομικού και κοινωνικού αντίκτυπου των εν λόγω μέτρων στις ενδιαφερόμενες οντότητες που δραστηριοποιούνται σε εξαιρετικά κρίσιμους ή άλλους κρίσιμους τομείς, και ιδίως στις ΜΜΕ. Στον οικονομικό αντίκτυπο θα πρέπει να εξετάζεται το κόστος της εφαρμογής των μέτρων μετριασμού, συμπεριλαμβανομένης της διάρκειας του κύκλου ζωής των σχετικών συνιστωσών στα βασικά πάγια στοιχεία ΤΠΕ στην περίπτωση που τα μέτρα περιλαμβάνουν την αντικατάσταση προμηθευτών. Θα πρέπει επίσης να αξιολογείται η διαθεσιμότητα εναλλακτικών προμηθευτών στην αγορά, προκειμένου να διασφαλίζεται η συνεχής παροχή των υπηρεσιών.

(145)Τα μέτρα μετριασμού, δεδομένου ότι θα μπορούσαν δυνητικά να έχουν περιοριστικό αποτέλεσμα στο διεθνές εμπόριο αγαθών και υπηρεσιών, θα πρέπει να είναι αναλογικά και στοχευμένα για την επίτευξη του θεμιτού στόχου της διασφάλισης της κυβερνοασφάλειας των αλυσίδων εφοδιασμού ΤΠΕ σε σχέση με οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, σύμφωνα με τις διεθνείς υποχρεώσεις της Ένωσης.

(146)Η χρήση, η εγκατάσταση ή οποιοδήποτε άλλο είδος ενσωμάτωσης συνιστωσών που παρέχονται από προμηθευτές υψηλού κινδύνου στη λειτουργία βασικών πάγιων στοιχείων ΤΠΕ μπορεί να σχετίζεται με κινδύνους μεταγενέστερων διαβιβάσεων δεδομένων σε τρίτη χώρα. Ειδικότερα, κινδύνους ενδέχεται να ενέχουν το ανεπαρκές επίπεδο προστασίας που παρέχεται στα δεδομένα στην τρίτη χώρα, όπως για την προστασία των θεμελιωδών δικαιωμάτων, της διανοητικής ιδιοκτησίας ή του εμπορικού απορρήτου, ή η παράνομη πρόσβαση και εκμετάλλευση των εν λόγω δεδομένων για πιθανές μελλοντικές διαταραχές των αλυσίδων εφοδιασμού και για σκοπούς κατασκοπείας. Για τον μετριασμό των εν λόγω κινδύνων, μπορούν να εφαρμόζονται περιορισμοί σε σχέση με τη διαβίβαση συγκεκριμένων τύπων δεδομένων σε τρίτες χώρες.

(147)Σημαντικές ευπάθειες απορρέουν από την έλλειψη ποικιλομορφίας στον εξοπλισμό που χρησιμοποιείται από οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Η συνεργασία με έναν μόνο προμηθευτή δημιουργεί εξάρτηση από συγκεκριμένο εξοπλισμό ή λύσεις. Η έλλειψη πολυμορφίας των προμηθευτών αυξάνει τη συνολική ευπάθεια των κρίσιμων υποδομών, ιδίως εάν οι οντότητες προμηθεύονται τις συνιστώσες ΤΠΕ που χρησιμοποιούν σε ευαίσθητους πόρους ΤΠΕ από προμηθευτή που παρουσιάζει υψηλό βαθμό κινδύνου. Η εξάρτηση επηρεάζει επίσης σημαντικά την ανθεκτικότητα σε εθνικό και ενωσιακό επίπεδο και δημιουργεί μοναδικά σημεία αστοχίας. Για τον μετριασμό των εν λόγω κινδύνων, μπορούν να εφαρμόζονται απαιτήσεις ύπαρξης περισσότερων του ενός προμηθευτών για συγκεκριμένα βασικά πάγια στοιχεία ΤΠΕ.

(148)Οι οντότητες της Ένωσης μπορούν επίσης να χρησιμοποιούν βασικά πάγια στοιχεία, όπως ορίζεται στον παρόντα κανονισμό. Ως εκ τούτου, οι κανόνες που καθορίζονται στον παρόντα κανονισμό σχετικά με την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ θα πρέπει να εφαρμόζονται και σε αυτούς. Για να διασφαλιστεί ότι λαμβάνεται υπόψη η ιδιαιτερότητα των οντοτήτων της Ένωσης, κατά τη διενέργεια συντονισμένων σε επίπεδο Ένωσης εκτιμήσεων κινδύνου για την ασφάλεια, είναι σημαντικό να συνεκτιμώνται οι μη τεχνικοί κίνδυνοι που απορρέουν από τις αλυσίδες εφοδιασμού ΤΠΕ όσον αφορά τις οντότητες της Ένωσης.

(149)Σε εξαιρετικές περιστάσεις που δικαιολογούν άμεση παρέμβαση για τη διατήρηση της εύρυθμης λειτουργίας της εσωτερικής αγοράς και όταν υπάρχουν σαφή αποδεικτικά στοιχεία που παρέχουν στην Επιτροπή επαρκείς λόγους για να θεωρεί ότι η χρήση συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ από συγκεκριμένο προμηθευτή συνιστά σημαντική απειλή κυβερνοασφάλειας για τις οικονομικές ή κοινωνικές δραστηριότητες τουλάχιστον τριών κρατών μελών, η Επιτροπή μπορεί να προτείνει, σε στενή διαβούλευση με τα κράτη μέλη, την απαγόρευση της χρήσης, της εγκατάστασης ή της ενσωμάτωσης τέτοιων συνιστωσών παρεχόμενων από τον εν λόγω προμηθευτή από οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555.

(150)Προκειμένου να διασφαλιστεί η αναλογικότητα των εφαρμοζόμενων μέτρων, οι οντότητες που είναι εγκατεστημένες σε τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια και έχει χαρακτηριστεί σύμφωνα με τον παρόντα κανονισμό ή που ελέγχονται από τέτοια τρίτη χώρα, από οντότητα εγκατεστημένη σε τέτοια τρίτη χώρα ή από υπήκοο τέτοιας τρίτης χώρας μπορούν να υποβάλουν αίτηση να εξαιρεθούν από την απαγόρευση παροχής σε οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ για χρήση, εγκατάσταση ή ενσωμάτωσή τους σε βασικά πάγια στοιχεία ΤΠΕ της εν λόγω οντότητας και να συμμετάσχουν σε διαδικασίες σύναψης δημόσιων συμβάσεων που διοργανώνονται σύμφωνα με τη νομοθεσία για τη μεταφορά στο εθνικό δίκαιο των οδηγιών 2014/24/ΕΕ 67 και 2014/25/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 68  σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ για χρήση σε προσδιορισμένα βασικά πάγια στοιχεία ΤΠΕ.  Για τον σκοπό αυτό, η οντότητα θα πρέπει να αποδεικνύει με σαφή αποδεικτικά στοιχεία ότι εφαρμόζει αποτελεσματικά μέτρα για την αντιμετώπιση των μη τεχνικών κινδύνων και τη διασφάλιση της απουσίας οποιασδήποτε πιθανής αδικαιολόγητης παρέμβασης από τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια.

(151)Τα δίκτυα ηλεκτρονικών επικοινωνιών αποτελούν τον κορμό ευρέος φάσματος υπηρεσιών, απαραίτητων για τη λειτουργία της εσωτερικής αγοράς και για τη διατήρηση και την εκτέλεση ζωτικών κοινωνικών και οικονομικών λειτουργιών —όπως είναι η ενέργεια, οι μεταφορές, ο τραπεζικός τομέας, η υγεία, η άμυνα και τα βιομηχανικά συστήματα ελέγχου. Ως εκ τούτου, τα εν λόγω εξαιρετικά κρίσιμα δίκτυα αποτελούν ελκυστικούς στόχους για κάθε είδους κυβερνοεπιθέσεις και υβριδικές απειλές, για διαταραχές, κατασκοπεία, συλλογή πληροφοριών, καθώς και για απάτη και οικονομικό έγκλημα. Στην εκτίμηση κινδύνου της ομάδας συνεργασίας για την ασφάλεια δικτύων και πληροφοριών σχετικά με την κυβερνοασφάλεια και την ανθεκτικότητα των υποδομών και δικτύων επικοινωνιών της Ευρώπης προσδιορίστηκαν ορισμένοι κίνδυνοι και απειλές στρατηγικής σημασίας για την Ένωση, όπως κακόβουλο λογισμικό διαγραφής δεδομένων / λυτρισμικό, επιθέσεις σε αλυσίδες εφοδιασμού και άλλες επιθέσεις, εισβολές στο δίκτυο και κατανεμημένες επιθέσεις άρνησης υπηρεσίας (DDoS).

(152)Λόγω της διασύνδεσης και της αλληλεξάρτησης μεταξύ των διαφόρων εθνικών δικτύων ηλεκτρονικών επικοινωνιών, είναι αναγκαίο όλα τα κράτη μέλη να λάβουν τα κατάλληλα μέτρα για να κατοχυρώσουν την ασφάλεια των δικτύων τους. Για τους ίδιους λόγους, είναι αναγκαίο να θεσπιστεί αποτελεσματικό νομικό πλαίσιο σε επίπεδο Ένωσης, το οποίο να αντιμετωπίζει επίσης τους μη τεχνικούς κινδύνους και να κατοχυρώνει την ασφάλεια των διασυνδεδεμένων δικτύων ηλεκτρονικών επικοινωνιών με ολοκληρωμένο τρόπο.

(153)Ειδικότερα, η κυβερνοασφάλεια των δικτύων 5G αποτελεί ζήτημα στρατηγικής σημασίας για την Ένωση, καθώς τα εν λόγω δίκτυα αποτελούν τον κορμό ευρέος φάσματος υπηρεσιών ουσιώδους σημασίας για τη λειτουργία της εσωτερικής αγοράς και είναι επίσης καίριας σημασίας για την οργάνωση της αμυντικής μας ετοιμότητας, μεταξύ άλλων σε σχέση με τη στρατιωτική κινητικότητα. Τα δίκτυα 5G μπορούν να παρέχουν αξιόπιστη υπερταχεία συνδεσιμότητα, για παράδειγμα για την ανταλλαγή δεδομένων και πληροφοριών, την ανίχνευση δρόνων και τον συντονισμό πεδίου μάχης σε πραγματικό χρόνο.

(154)Η ανάπτυξη του 5G συνίσταται κυρίως σε μη αυτόνομα δίκτυα, όπου μόνο το δίκτυο ραδιοπρόσβασης αναβαθμίζεται σε τεχνολογία 5G, ενώ το υπόλοιπο δίκτυο εξακολουθεί να βασίζεται σε υφιστάμενο δίκτυο κορμού 4G. Τα μη αυτόνομα δίκτυα 5G βασίζονται κυρίως σε υφιστάμενες υποδομές, κάτι που σημαίνει ότι η ασφάλεια των μελλοντικών δικτύων 5G καθορίζεται, σε κάποιο βαθμό, από τον υφιστάμενο εξοπλισμό δικτύου και τη διαμόρφωση του εν λόγω εξοπλισμού. Ως εκ τούτου, τα μέτρα μετριασμού θα πρέπει να καλύπτουν και τα δίκτυα 4G στα οποία βασίζεται η ανάπτυξη των 5G.

(155)Προκειμένου να αντιμετωπιστούν σημαντικές προκλήσεις ασφάλειας στα δίκτυα 5G, τα κράτη μέλη, στο πλαίσιο της ομάδας συνεργασίας για την ασφάλεια δικτύων και πληροφοριών, από κοινού με την Επιτροπή και τον ENISA, διενήργησαν συντονισμένη σε επίπεδο Ένωσης εκτίμηση κινδύνου για την ασφάλεια των δικτύων 5G, εξετάζοντας τόσο τεχνικούς όσο και μη τεχνικούς κινδύνους. Στο πλαίσιο της εκτίμησης αυτής προσδιορίστηκαν διάφοροι κίνδυνοι, συμπεριλαμβανομένων πιθανών παρεμβάσεων από τρίτες χώρες ή παράγοντες τρίτων χωρών μέσω της αλυσίδας εφοδιασμού, και κατηγοριοποιήθηκαν τα πάγια στοιχεία ανάλογα με την κρισιμότητά τους. Η εκτίμηση αυτή θα πρέπει να ληφθεί ως βάση για τον καθορισμό των βασικών πάγιων στοιχείων ΤΠΕ για τα δίκτυα επικοινωνιών 5G.

(156)Για τον μετριασμό των κινδύνων που προσδιορίστηκαν στη συντονισμένη σε επίπεδο Ένωσης εκτίμηση κινδύνου για την ασφάλεια των δικτύων 5G, η ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών ενέκρινε την εργαλειοθήκη της ΕΕ για την κυβερνοασφάλεια των δικτύων 5G, στην οποία καθορίζονται στρατηγικά και τεχνικά μέτρα. Μολονότι η πλειονότητα των κρατών μελών διαθέτουν νομικά πλαίσια που επιτρέπουν τον περιορισμό ή τον αποκλεισμό προμηθευτών υψηλού κινδύνου, όπως συνιστάται στην εργαλειοθήκη για τα 5G, η εφαρμογή των εν λόγω πλαισίων δεν ήταν ομοιόμορφη. Αυτό έχει ως αποτέλεσμα σημαντικός αριθμός εγκαταστάσεων 5G ανά την Ένωση να παρέχονται από προμηθευτές υψηλού κινδύνου, όπως αναφέρεται στην ανακοίνωση της Επιτροπής σχετικά με την εφαρμογή της εργαλειοθήκης για τα 5G 69 . Η κατάσταση αυτή δημιουργεί ευπάθειες, συμπεριλαμβανομένων της στρατηγικής εξάρτησης και της δυνητικής έκθεσης σε παρεμβάσεις τρίτων χωρών, οι οποίες θα μπορούσαν επίσης να επηρεάσουν τις μελλοντικές υποδομές 6G που θα βασιστούν σε υφιστάμενα δίκτυα 5G. Η κατακερματισμένη εφαρμογή των συνιστώμενων μέτρων της εργαλειοθήκης για τα 5G, ειδικότερα όσον αφορά το πεδίο εφαρμογής των περιορισμών για τους προμηθευτές υψηλού κινδύνου, έχει προκαλέσει αποκλίσεις μεταξύ των κρατών μελών, με αποτέλεσμα άνισους όρους ανταγωνισμού που διχάζουν την εσωτερική αγορά και αποδυναμώνουν τη συνολική ασφάλεια των δικτύων. Το Ευρωπαϊκό Ελεγκτικό Συνέδριο έχει επισημάνει αυτές τις διαφορές, προειδοποιώντας ότι η απουσία συντονισμένης προσέγγισης υπονομεύει τη λειτουργία της εσωτερικής αγοράς. Η συνεχιζόμενη εξάρτηση από προμηθευτές υψηλού κινδύνου ενέχει σοβαρούς κινδύνους για την ασφάλεια των κρίσιμων υποδομών στην Ένωση και θα μπορούσε να διαβρώσει την εμπιστοσύνη στην εσωτερική αγορά, καθώς οι αποκλίσεις στα επίπεδα ασφάλειας ενδέχεται να αποθαρρύνουν τους καταναλωτές και τις επιχειρήσεις από το να χρησιμοποιούν προϊόντα και υπηρεσίες που βασίζονται σε δίκτυα 5G ανά την Ένωση. Ως εκ τούτου, είναι σημαντικό να υπάρχουν μέτρα σε επίπεδο Ένωσης για τη διασφάλιση εναρμονισμένης προσέγγισης όσον αφορά την ασφάλεια των δικτύων 5G.

(157)Προκειμένου να καθοριστεί περίοδος σταδιακής κατάργησης για τα βασικά πάγια στοιχεία ΤΠΕ των σταθερών και δορυφορικών δικτύων ηλεκτρονικών επικοινωνιών, η Επιτροπή θα πρέπει να διενεργήσει αξιολόγηση λαμβάνοντας δεόντως υπόψη τον βαθμό των κινδύνων ασφάλειας που σχετίζονται με κάθε συγκεκριμένο βασικό πόρο ΤΠΕ των σταθερών και δορυφορικών δικτύων, τη διάρκεια ζωής των σχετικών συνιστωσών και τον οικονομικό αντίκτυπο που θα είχε η κατάργηση των εν λόγω συνιστωσών στους οικείους φορείς εκμετάλλευσης. Με βάση τα αποτελέσματα της εν λόγω αξιολόγησης, η Επιτροπή μπορεί να εξετάσει το ενδεχόμενο καθορισμού διαφορετικών περιόδων σταδιακής κατάργησης για συγκεκριμένα βασικά πάγια στοιχεία ΤΠΕ και τα αναπόσπαστα στοιχεία τους.

(158)Για σκοπούς αποτελεσματικής εποπτείας και επιβολής των υποχρεώσεων που αφορούν τους παρόχους δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών, οι σχετικές αρμόδιες αρχές δυνάμει του παρόντος κανονισμού θα πρέπει να διασφαλίζουν στενή συνεργασία με τις αρμόδιες αρχές βάσει της [πρότασης κανονισμού για τα ψηφιακά δίκτυα]. Κατόπιν αιτήματος αρμόδιας αρχής που ορίζεται δυνάμει του παρόντος κανονισμού, οι εθνικές ρυθμιστικές αρχές ή άλλες αρμόδιες αρχές για το ραδιοφάσμα, κατά περίπτωση, θα πρέπει να ανακαλούν τα δικαιώματα που αναφέρονται στο άρθρο 9 και στο άρθρο 20 [πρόταση κανονισμού για τα ψηφιακά δίκτυα], εάν ο πάροχος δημόσιων δικτύων ηλεκτρονικών επικοινωνιών δεν συμμορφώνεται με τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό, μεταξύ άλλων εάν ο πάροχος δεν καταργεί σταδιακά συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου στη λειτουργία βασικών πάγιων στοιχείων ΤΠΕ εντός της περιόδου που καθορίζεται σύμφωνα με τον παρόντα κανονισμό.

(159)Λόγω των διαφορών στις εθνικές δομές διακυβέρνησης, τα κράτη μέλη θα πρέπει να ορίσουν ή να συστήσουν μία ή περισσότερες αρμόδιες αρχές υπεύθυνες για τα μέτρα εποπτείας και επιβολής δυνάμει του παρόντος κανονισμού.

(160)Οι αρμόδιες αρχές θα πρέπει να παρέχουν στήριξη στις οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 για τη συμμόρφωση με τις υποχρεώσεις που υπέχουν δυνάμει του παρόντος κανονισμού. Για τον σκοπό αυτό, η Επιτροπή θα πρέπει να αξιολογήσει αν προμηθευτές που ενδέχεται να επηρεαστούν από συγκεκριμένες απαγορεύσεις είναι εγκατεστημένοι σε τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια ή ελέγχονται από τέτοια τρίτη χώρα ή από οντότητα εγκατεστημένη σε τέτοια τρίτη χώρα ή από υπήκοο τέτοιας τρίτης χώρας. Οι αρμόδιες αρχές θα πρέπει να συνεργάζονται στενά με την Επιτροπή και άλλες αρμόδιες αρχές στο πλαίσιο του δικτύου που δημιουργείται δυνάμει του παρόντος κανονισμού. Με βάση την αξιολόγηση της Επιτροπής, οι αρμόδιες αρχές θα πρέπει να ανταλλάσσουν συναφείς πληροφορίες για προμηθευτές υψηλού κινδύνου με σχετικές οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Οι οντότητες δεν οφείλουν να επαληθεύουν κατά πόσον ένας προμηθευτής ελέγχεται από την αλλοδαπή, αλλά μπορούν να βασίζονται πλήρως σε πληροφορίες που λαμβάνουν από τις αρμόδιες αρχές. Οι αρμόδιες αρχές θα πρέπει να διασφαλίζουν ότι δεν επιβάλλεται περιττός διοικητικός φόρτος στις εν λόγω οντότητες.

(161)Προκειμένου να διασφαλιστεί η αποτελεσματική συμμόρφωση, ο παρών κανονισμός θα πρέπει να προβλέπει μέτρα εποπτείας και επιβολής, μέσω των οποίων οι αρμόδιες αρχές μπορούν να εποπτεύουν οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Όταν οι αρμόδιες αρχές ασκούν τα οικεία καθήκοντα εποπτείας και επιβολής σε σχέση με τις εν λόγω οντότητες, αυτά θα πρέπει να μην υπερβαίνουν τα όρια του αναγκαίου και να είναι αναλογικά προς τους προσδιορισμένους κινδύνους.

(162)Προκειμένου να καταστεί η επιβολή αποτελεσματική και συνεπής ανά την Ένωση, είναι αναγκαίο να προβλεφθούν εξουσίες επιβολής τις οποίες θα μπορούν να ασκούν οι αρμόδιες αρχές σε περίπτωση παράβασης των υποχρεώσεων που καθορίζονται στον παρόντα κανονισμό. Κατά την άσκηση των εν λόγω εξουσιών επιβολής, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν δεόντως υπόψη διάφορους παράγοντες, μεταξύ των οποίων η φύση, η σοβαρότητα και η διάρκεια της παράβασης, η υλική ή μη υλική ζημία που προκλήθηκε, το κατά πόσον η παράβαση ήταν εκ προθέσεως ή εξ αμελείας, οι ενέργειες που πραγματοποιήθηκαν για την πρόληψη ή τον μετριασμό της υλικής ή μη υλικής ζημίας, ο βαθμός ευθύνης ή τυχόν σχετικές προηγούμενες παραβάσεις, ο βαθμός συνεργασίας με την αρμόδια αρχή και κάθε άλλη επιβαρυντική ή ελαφρυντική περίσταση. Τα μέσα επιβολής, περιλαμβανομένων των ποινών, θα πρέπει να είναι αναλογικά και η επιβολή τους θα πρέπει να υπόκειται σε κατάλληλες δικονομικές εγγυήσεις σύμφωνα με τις γενικές αρχές του ενωσιακού δικαίου και του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένου του δικαιώματος αποτελεσματικής δικαστικής προστασίας και δίκαιης δίκης, του τεκμηρίου αθωότητας και του δικαιώματος υπεράσπισης.

(163)Είναι σημαντικό να προβλεφθεί επίσης η δυνατότητα άσκησης εξουσίας επιβολής περιοδικών χρηματικών κυρώσεων προκειμένου να υποχρεωθεί οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 να παύσει παράβαση του παρόντος κανονισμού σύμφωνα με προηγούμενη απόφαση της αρμόδιας αρχής.

(164) Προκειμένου να διασφαλιστεί η αποτελεσματική επιβολή των υποχρεώσεων που ορίζονται στον παρόντα κανονισμό, κάθε αρμόδια αρχή θα πρέπει να έχει την εξουσία να επιβάλλει ή να ζητεί την επιβολή ποινών.

(165)Για τους σκοπούς της επιβολής κυρώσεων σε οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 η οποία είναι επιχείρηση, η επιχείρηση θα πρέπει να νοείται ως επιχείρηση σύμφωνα με τα άρθρα 101 και 102 της ΣΛΕΕ. Σε περίπτωση που επιβάλλεται πρόστιμο σε πρόσωπο που δεν είναι επιχείρηση, η αρμόδια αρχή θα πρέπει να λαμβάνει υπόψη το γενικό επίπεδο εισοδημάτων στο κράτος μέλος, καθώς και την οικονομική κατάσταση του προσώπου, όταν εξετάζει το ενδεδειγμένο ποσό του προστίμου. Θα πρέπει να εναπόκειται στα κράτη μέλη να αποφασίζουν εάν και σε ποιο βαθμό μπορούν να επιβάλλονται ποινές σε δημόσιες αρχές. Η επιβολή κύρωσης δεν θα πρέπει να θίγει την άσκηση άλλων εξουσιών των αρμόδιων αρχών.

(166)Προκειμένου να διασφαλιστούν ενιαίοι όροι για την εφαρμογή του παρόντος κανονισμού, θα πρέπει να ανατεθούν στην Επιτροπή εκτελεστικές αρμοδιότητες όσον αφορά την έκδοση εκτελεστικών πράξεων για τον καθορισμό λεπτομερών κανόνων σχετικά με τα τέλη που εισπράττονται από τον ENISA, εκτελεστικών πράξεων που προβλέπουν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, εκτελεστικών πράξεων για τον καθορισμό κοινών αρχών και διατάξεων αναφοράς που αποσκοπούν στην πρόβλεψη στοιχείων σε όλα τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, εκτελεστικών πράξεων για τον καθορισμό διαδικασιών για μοντέλα προηγούμενης έγκρισης ή γενικής ανάθεσης, εκτελεστικών πράξεων για την αναγνώριση πιστοποιητικών κυβερνοασφάλειας τρίτης χώρας ή διεθνούς οργανισμού ως ισοδύναμων με τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, εκτελεστικών πράξεων για την κατάρτιση προγράμματος αξιολόγησης από ομοτίμους, εκτελεστικών πράξεων για τον καθορισμό των διαδικασιών, μεταξύ άλλων όσον αφορά τη διασυνοριακή συνεργασία, για την αδειοδότηση οργανισμών αξιολόγησης της συμμόρφωσης, εκτελεστικών πράξεων για τον καθορισμό των περιστάσεων, των μορφότυπων και των διαδικασιών για τις κοινοποιήσεις οργανισμών αξιολόγησης της συμμόρφωσης, εκτελεστικών πράξεων για τον χαρακτηρισμό τρίτης χώρας ως χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια στις αλυσίδες εφοδιασμού ΤΠΕ, εκτελεστικών πράξεων για τον προσδιορισμό βασικών πάγιων στοιχείων ΤΠΕ που χρησιμοποιούνται για την κατασκευή προϊόντων ή την παροχή υπηρεσιών από οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, εκτελεστικών πράξεων που ορίζουν ότι οι οντότητες που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς υπόκεινται σε συγκεκριμένα μέτρα μετριασμού και προσδιορίζουν τις προθεσμίες για τη σταδιακή κατάργηση συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ παρεχόμενες από προμηθευτές υψηλού κινδύνου, εκτελεστικές πράξεις για τον περαιτέρω προσδιορισμό των προϋποθέσεων για την εξαίρεση οντοτήτων που είναι εγκατεστημένες σε τρίτη χώρα ή ελέγχονται από οντότητες τρίτης χώρας που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια, καθώς και εκτελεστικών πράξεων για τον καθορισμό λεπτομερών κανόνων σχετικά με τα τέλη που επιβάλλονται από την Επιτροπή. Οι εν λόγω αρμοδιότητες θα πρέπει να ασκούνται σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και θα πρέπει να χρησιμοποιείται η διαδικασία εξέτασης. Προκειμένου να διασφαλιστούν ενιαίοι όροι για την εφαρμογή του παρόντος κανονισμού, θα πρέπει επίσης να ανατεθούν στην Επιτροπή εκτελεστικές αρμοδιότητες όσον αφορά την κατάρτιση καταλόγου προμηθευτών υψηλού κινδύνου σχετικά με ορισμένα μέτρα που προβλέπονται στον παρόντα κανονισμό.

(167)Είναι αναγκαίο τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας να αντικατοπτρίζουν τις τελευταίες τεχνολογικές εξελίξεις, τις νέες σχετικές απειλές και τη θέσπιση νέας ενωσιακής νομοθεσίας που καθορίζει την απόδειξη της συμμόρφωσης και το τεκμήριο συμμόρφωσης μέσω της ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας με τις σχετικές απαιτήσεις κυβερνοασφάλειας της εν λόγω νομοθεσίας. Για τους λόγους αυτούς, θα πρέπει να ανατεθεί στην Επιτροπή η εξουσία έκδοσης πράξεων σύμφωνα με το άρθρο 290 της ΣΛΕΕ, προκειμένου να προσθέτει ή να τροποποιεί τους στόχους ασφάλειας που επιδιώκουν τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ομοίως, προς όφελος ενός πλαισίου για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ, θα πρέπει να ανατεθεί στην Επιτροπή η εξουσία έκδοσης πράξεων σύμφωνα με το άρθρο 290 της ΣΛΕΕ για την τροποποίηση του παραρτήματος II του παρόντος κανονισμού με σκοπό την προσαρμογή του στις τεχνολογικές εξελίξεις. Είναι ιδιαίτερα σημαντικό η Επιτροπή να διεξάγει, κατά τις προπαρασκευαστικές της εργασίες, τις κατάλληλες διαβουλεύσεις, μεταξύ άλλων σε επίπεδο εμπειρογνωμόνων, και οι διαβουλεύσεις αυτές να πραγματοποιούνται σύμφωνα με τις αρχές που ορίζονται στη διοργανική συμφωνία της 13ης Απριλίου 2016 για τη βελτίωση του νομοθετικού έργου. Πιο συγκεκριμένα, προκειμένου να διασφαλιστεί η ίση συμμετοχή στην προετοιμασία των κατ’ εξουσιοδότηση πράξεων, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο λαμβάνουν όλα τα έγγραφα κατά τον ίδιο χρόνο με τους εμπειρογνώμονες των κρατών μελών, και οι εμπειρογνώμονές τους έχουν συστηματικά πρόσβαση στις συνεδριάσεις των ομάδων εμπειρογνωμόνων της Επιτροπής που ασχολούνται με την προετοιμασία κατ’ εξουσιοδότηση πράξεων.

(168)Οι δραστηριότητες του ENISA θα πρέπει να υπόκεινται σε τακτική και ανεξάρτητη αξιολόγηση. Στην εν λόγω αξιολόγηση θα πρέπει να λαμβάνονται υπόψη οι στόχοι του ENISA και η συνάφεια των καθηκόντων του, ιδίως των καθηκόντων του που αφορούν την επιχειρησιακή συνεργασία σε επίπεδο Ένωσης. Σε περίπτωση επανεξέτασης, η Επιτροπή θα πρέπει να αξιολογεί τον τρόπο με τον οποίο μπορεί να ενισχυθεί ο ρόλος του ENISA ως σημείου αναφοράς για την παροχή συμβουλών και εμπειρογνωσίας.

(169)Ο εκτελεστικός κανονισμός (ΕΕ) 2024/482 της Επιτροπής θεσπίζει κανόνες όσον αφορά την έγκριση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC). Το EUCC είναι το πρώτο και μοναδικό ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που έχει εγκριθεί δυνάμει του κανονισμού (ΕΕ) 2019/881. Αφορά την πιστοποίηση προϊόντων ΤΠΕ, συμπεριλαμβανομένων προϊόντων που ανήκουν στους τεχνικούς τομείς «έξυπνες κάρτες και παρεμφερείς διατάξεις» και «διατάξεις υλισμικού με θυρίδες ασφαλείας», και χαρακτηριστικών προστασίας (ως διαδικασιών ΤΠΕ). Είναι αναγκαίο, επομένως, να διασφαλιστεί η συνέχιση των δραστηριοτήτων πιστοποίησης, καθώς και των δραστηριοτήτων του Οργανισμού.

(170)Πραγματοποιήθηκε διαβούλευση, σύμφωνα με το άρθρο 42 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 70 , με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, οι οποίοι εξέδωσαν κοινή γνωμοδότηση στις [ημερομηνία].

(171)Ο κανονισμός (ΕΕ) 2019/881 θα πρέπει να καταργηθεί.

(172)Δεδομένου ότι οι στόχοι του παρόντος κανονισμού δεν μπορούν να επιτευχθούν ικανοποιητικά από τα κράτη μέλη, μπορούν όμως, εξαιτίας της κλίμακας και των επιπτώσεών του, να επιτευχθούν καλύτερα σε επίπεδο Ένωσης, η Ένωση δύναται να λάβει μέτρα σύμφωνα με την αρχή της επικουρικότητας του άρθρου 5 της Συνθήκης για την Ευρωπαϊκή Ένωση (ΣΕΕ). Σύμφωνα με την αρχή της αναλογικότητας του ιδίου άρθρου, ο παρών κανονισμός δεν υπερβαίνει τα αναγκαία για την επίτευξη του στόχου αυτού,

ΕΞΕΔΩΣΑΝ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:

ΤΙΤΛΟΣ I 
ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 1
Αντικείμενο και πεδίο εφαρμογής

1.Ο παρών κανονισμός καθορίζει:

α)την αποστολή, τους στόχους, τα καθήκοντα και τα οργανωτικά θέματα που σχετίζονται με τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (στο εξής: ENISA)·

β)πλαίσιο για τη θέσπιση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας με σκοπό τη διασφάλιση επαρκούς επιπέδου κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων στην Ένωση, καθώς και για την αποφυγή του κατακερματισμού της εσωτερικής αγοράς όσον αφορά τα σχήματα πιστοποίησης της κυβερνοασφάλειας στην Ένωση· και

γ)πλαίσιο για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ.

2.Το πλαίσιο που αναφέρεται στην παράγραφο 1 στοιχείο β) εφαρμόζεται, με την επιφύλαξη ειδικών διατάξεων σε άλλες νομικές πράξεις της Ένωσης, σχετικά με την εθελοντική ή την υποχρεωτική πιστοποίηση.

3.Το πλαίσιο που αναφέρεται στην παράγραφο 1 στοιχείο γ) εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες του τύπου που αναφέρεται στο παράρτημα I ή II της οδηγίας (ΕΕ) 2022/2555, οι οποίες παρέχουν τις υπηρεσίες τους ή ασκούν τις δραστηριότητές τους εντός της Ένωσης.

4.Ο παρών κανονισμός δεν θίγει τις ουσιώδεις κρατικές λειτουργίες των κρατών μελών, ιδίως δε τις λειτουργίες που αποβλέπουν στη διασφάλιση της εδαφικής ακεραιότητας, τη διατήρηση της δημόσιας τάξης και την προστασία της εθνικής ασφάλειας. Ειδικότερα, η εθνική ασφάλεια παραμένει αποκλειστική αρμοδιότητα κάθε κράτους μέλους.

Άρθρο 2
Ορισμοί

Για τους σκοπούς του παρόντος κανονισμού, ισχύουν οι ακόλουθοι ορισμοί:

1)«κυβερνοασφάλεια» : οι δραστηριότητες που απαιτούνται για την προστασία των συστημάτων δικτύου και πληροφοριών, των χρηστών των εν λόγω συστημάτων και άλλων προσώπων που επηρεάζονται από κυβερνοαπειλές,

2)«οντότητες της Ένωσης»: οντότητες της Ένωσης όπως ορίζονται στο άρθρο 3 σημείο 1) του κανονισμού (ΕΕ. Ευρατόμ) 2023/2841·

3)«αδειοδοτημένος πάροχος βεβαιώσεων»: οντότητα, δημόσια ή ιδιωτική, για την οποία ο ENISA έχει εκδώσει απόφαση με την οποία παρέχεται άδεια στην εν λόγω οντότητα να χορηγεί ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας, όπως ορίζεται σε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας·

4)«ευρωπαϊκή ατομική βεβαίωση δεξιοτήτων κυβερνοασφάλειας»: αρχείο, σε ψηφιακή ή φυσική μορφή, που βεβαιώνει ότι ένα άτομο γνωρίζει, κατανοεί και είναι σε θέση να εκτελεί τα καθήκοντα που συνδέονται με προφίλ ρόλου ή υποσύνολο προφίλ ρόλου του ευρωπαϊκού πλαισίου δεξιοτήτων κυβερνοασφάλειας (στο εξής: ΕΠΔΚ), κατόπιν αξιολόγησης που προβλέπεται σε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας·

5)«σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας»: ολοκληρωμένο σύνολο κανόνων, απαιτήσεων, προτύπων και διαδικασιών που θεσπίζονται από τον ENISA και συνδέονται με προφίλ ρόλου του ΕΠΔΚ ή υποσυνόλου αυτού, τα οποία ισχύουν για αδειοδοτημένους παρόχους βεβαιώσεων και εφαρμόζονται από αυτούς·

6)«σύστημα δικτύου και πληροφοριών: το δικτυακό και πληροφοριακό σύστημα όπως ορίζεται στο άρθρο 6 σημείο 1) της οδηγίας (ΕΕ) 2022/2555·

7)«εθνική στρατηγική κυβερνοασφάλειας»: εθνική στρατηγική κυβερνοασφάλειας όπως ορίζεται στο άρθρο 6 σημείο 4) της οδηγίας (ΕΕ) 2022/2555·

8)«περιστατικό»: περιστατικό όπως ορίζεται στο άρθρο 6 σημείο 6) της οδηγίας (ΕΕ) 2022/2555·

9)«περιστατικό κυβερνοασφάλειας μεγάλης κλίμακας»: περιστατικό μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας όπως ορίζεται στο άρθρο 6 σημείο 7) της οδηγίας (ΕΕ) 2022/2555·

10)«χειρισμός περιστατικών»: ο χειρισμός περιστατικών όπως ορίζεται στο άρθρο 6 σημείο 8) της οδηγίας (ΕΕ) 2022/2555·

11)«κυβερνοαπειλή» : κάθε πιθανή περίσταση, πιθανό συμβάν ή πιθανή ενέργεια που θα μπορούσε να καταστρέψει, να διαταράξει ή να επιδράσει κατ’ άλλον τρόπο δυσμενώς στα συστήματα δικτύου και πληροφοριών, στους χρήστες των εν λόγω συστημάτων και σε άλλα πρόσωπα,

12)«ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας»: πλήρες σύνολο κανόνων, τεχνικών απαιτήσεων, προτύπων και διαδικασιών που θεσπίζονται σε επίπεδο Ένωσης και που εφαρμόζονται στην πιστοποίηση ή την αξιολόγηση της συμμόρφωσης συγκεκριμένων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάσης οντοτήτων·

13)«εθνικό σχήμα πιστοποίησης της κυβερνοασφάλειας»: πλήρες σύνολο κανόνων, τεχνικών απαιτήσεων, προτύπων και διαδικασιών που έχουν αναπτυχθεί και εγκριθεί από εθνική δημόσια αρχή και που εφαρμόζονται για την πιστοποίηση ή την αξιολόγηση της συμμόρφωσης προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης οντοτήτων που εμπίπτουν στο πεδίο εφαρμογής του συγκεκριμένου σχήματος·

14)«ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας» : έγγραφο το οποίο εκδίδεται από τον αρμόδιο οργανισμό και βεβαιώνει ότι ένα συγκεκριμένο προϊόν ΤΠΕ, μια συγκεκριμένη υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ ή διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση μιας οντότητας έχει αξιολογηθεί ως προς τη συμμόρφωση με συγκεκριμένες απαιτήσεις ασφάλειας που προβλέπει ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας,

15)«δήλωση συμμόρφωσης ΕΕ»: έγγραφο που εκδίδεται από κατασκευαστή ή πάροχο προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή από την οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση, στο οποίο δηλώνεται ότι η εκπλήρωση των απαιτήσεων που αντιστοιχούν στο «βασικό» επίπεδο διασφάλισης, οι οποίες καθορίζονται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, έχει αποδειχθεί μέσω αυτοαξιολόγησης της συμμόρφωσης·

16)«προϊόν ΤΠΕ» : στοιχείο ή ομάδα στοιχείων συστήματος δικτύου ή πληροφοριών,

17)«υπηρεσία ΤΠΕ» : υπηρεσία που συνίσταται εξολοκλήρου ή κατά κύριο λόγο στη διαβίβαση, αποθήκευση, ανάκτηση ή επεξεργασία πληροφοριών μέσω συστημάτων δικτύου και πληροφοριών,

18)«διεργασία ΤΠΕ» : σύνολο δραστηριοτήτων που διεξάγονται για να σχεδιάζουν, να αναπτύσσουν, να παρέχουν ή να διατηρούν προϊόν ΤΠΕ ή υπηρεσία ΤΠΕ,

19)«διαχειριζόμενη υπηρεσία ασφάλειας» : υπηρεσία που παρέχεται σε τρίτο μέρος και συνίσταται στην εκτέλεση ή την παροχή βοήθειας για δραστηριότητες που σχετίζονται με τη διαχείριση κινδύνου κυβερνοασφάλειας, συμπεριλαμβανομένων του χειρισμού περιστατικών, των δοκιμών διείσδυσης, των ελέγχων ασφάλειας και της παροχής συμβουλών, μεταξύ άλλων από εμπειρογνώμονες, σχετικά με την τεχνική υποστήριξη,

20)«διαπίστευση» : η διαπίστευση όπως ορίζεται στο άρθρο 2 σημείο 10 του κανονισμού (ΕΚ) αριθ. 765/2008,

21)«εθνικός οργανισμός διαπίστευσης» : εθνικός οργανισμός διαπίστευσης όπως ορίζεται στο άρθρο 2 σημείο 11 του κανονισμού (ΕΚ) αριθ. 765/2008,

22)«αξιολόγηση της συμμόρφωσης» : η αξιολόγηση της συμμόρφωσης όπως ορίζεται στο άρθρο 2 σημείο 12 του κανονισμού (ΕΚ) αριθ. 765/2008,

23)«οργανισμός αξιολόγησης της συμμόρφωσης» : οργανισμός αξιολόγησης της συμμόρφωσης όπως ορίζεται στο άρθρο 2 σημείο 13 του κανονισμού (ΕΚ) αριθ. 765/2008,

24)«πρότυπο»: πρότυπο όπως ορίζεται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 71 ·

25)«τεχνική προδιαγραφή»: τεχνική προδιαγραφή όπως ορίζεται στο άρθρο 2 σημείο 4) του κανονισμού (ΕΕ) αριθ. 1025/2012·

26)«εναρμονισμένο πρότυπο»: εναρμονισμένο πρότυπο, όπως ορίζεται στο άρθρο 2 σημείο 1) στοιχείο γ) του κανονισμού (ΕΕ) αριθ. 1025/2012,

27)«επίπεδο διασφάλισης»: η βάση για την εμπιστοσύνη ότι ένα προϊόν ΤΠΕ, μια υπηρεσία ΤΠΕ, μια διαδικασία ΤΠΕ, μια διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση μιας οντότητας πληροί τις απαιτήσεις ασφάλειας συγκεκριμένου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας, και δείχνει το επίπεδο στο οποίο έχει αξιολογηθεί ένα προϊόν ΤΠΕ, μια υπηρεσία ΤΠΕ, μια διαδικασία ΤΠΕ, μια διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση μιας οντότητας αλλά δεν μετρά από μόνο του την ασφάλεια του σχετικού προϊόντος ΤΠΕ, υπηρεσίας ΤΠΕ, διαδικασίας ΤΠΕ, διαχειριζόμενης υπηρεσίας ασφάλειας ή κυβερνοστάσης της οικείας οντότητας·

28)«αυτοαξιολόγηση της συμμόρφωσης»: ενέργεια που πραγματοποιείται από κατασκευαστή ή πάροχο προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση, η οποία αξιολογεί αν τα εν λόγω προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση οντοτήτων πληρούν τις απαιτήσεις συγκεκριμένου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας·

29)«κυβερνοστάση οντοτήτων»: το επίπεδο κυβερνοασφάλειας οντοτήτων όσον αφορά τις ειδικές απαιτήσεις ασφάλειας·

30)«μοντέλο προηγούμενης έγκρισης»: μοντέλο βάσει του οποίου ένας οργανισμός αξιολόγησης της συμμόρφωσης μπορεί να εκδίδει ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας με βάση την αξιολόγηση που διενεργεί εθνική αρχή πιστοποίησης της κυβερνοασφάλειας, στο πλαίσιο συγκεκριμένης διαδικασίας πιστοποίησης προβλεπόμενης σε σχετικό σχήμα·

31)«μοντέλο γενικής ανάθεσης»: μοντέλο βάσει του οποίου ένας οργανισμός αξιολόγησης της συμμόρφωσης μπορεί να εκδίδει ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας με βάση ανάθεση δραστηριοτήτων πιστοποίησης από εθνική αρχή πιστοποίησης της κυβερνοασφάλειας·

32)«ομάδα αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές» ή «CSIRT»: CSIRT όπως ορίζεται ή συστήνεται σύμφωνα με το άρθρο 10 της οδηγίας (ΕΕ) 2022/2555·

33)«συνιστώσες ΤΠΕ»: προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ ή διαδικασίες ΤΠΕ που μπορούν να χρησιμοποιηθούν για τη λειτουργία πάγιων στοιχείων ΤΠΕ·

34)«πάγια στοιχεία ΤΠΕ»: πάγια στοιχεία λογισμικού ή υλισμικού στα συστήματα δικτύου και πληροφοριών που χρησιμοποιούνται από οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·

35)«βασικά πάγια στοιχεία ΤΠΕ»: πόροι ΤΠΕ που προσδιορίζονται σύμφωνα με το άρθρο 102·

36)«δίκτυο ηλεκτρονικών επικοινωνιών»: δίκτυο ηλεκτρονικών επικοινωνιών όπως ορίζεται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) ΧΧ/ΧΧΧΧ [πρόταση κανονισμού για τα ψηφιακά δίκτυα]·

37)«έλεγχος»: η δυνατότητα άσκησης αποφασιστικής επιρροής σε νομική οντότητα άμεσα, ή έμμεσα μέσω μίας ή περισσότερων ενδιάμεσων νομικών οντοτήτων·

38)«εγκατάσταση»: η πραγματική άσκηση δραστηριότητας μέσω σταθερών ρυθμίσεων στη χώρα όπου η οντότητα έχει την κεντρική της διοίκηση ή την κύρια εγκατάστασή της·

39)«προμηθευτής υψηλού κινδύνου»: ένα από τα ακόλουθα:

α)οντότητα εγκατεστημένη σε τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια, η οποία έχει χαρακτηριστεί σύμφωνα με το άρθρο 100, ή ελέγχεται από τέτοια τρίτη χώρα, από οντότητα εγκατεστημένη σε τέτοια τρίτη χώρα ή από υπήκοο τέτοιας τρίτης χώρας·

β)οντότητα που έχει χαρακτηριστεί σύμφωνα με το άρθρο 103 παράγραφος 7 και οντότητες που ελέγχονται από την εν λόγω οντότητα·

40)«αλυσίδα εφοδιασμού ΤΠΕ»: σύνολο υπηρεσιών ΤΠΕ, προϊόντων ΤΠΕ και διαδικασιών ΤΠΕ που περιλαμβάνουν δραστηριότητες και παράγοντες που εμπλέκονται σε όλα τα στάδια που προηγούνται της διάθεσης ενός προϊόντος ή της παροχής μιας υπηρεσίας στην αγορά·

41)«τρίτη χώρα»: τρίτη χώρα όπως ορίζεται στο άρθρο 3 σημείο 4) του κανονισμού (ΕΕ) 2023/2675 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 72 ·

42)«μη τεχνικός κίνδυνος»: η πιθανότητα ο προμηθευτής να επηρεάζεται από τρίτη χώρα η οποία έχει τη δυνατότητα να προκαλέσει απώλεια ή διαταραχή της παρεχόμενης υπηρεσίας, να θέσει σε κίνδυνο το προϊόν που κατασκευάζεται από οντότητα ή να επιφέρει απόσπαση δεδομένων, μεταξύ άλλων για σκοπούς κατασκοπείας ή δημιουργίας εσόδων·

43)«σημαντικός μη τεχνικός κίνδυνος κυβερνοασφάλειας»: μη τεχνικός κίνδυνος κυβερνοασφάλειας ο οποίος μπορεί να θεωρηθεί ότι έχει υψηλή πιθανότητα πρόκλησης περιστατικού που θα μπορούσε να οδηγήσει σε σοβαρό αρνητικό αντίκτυπο, μεταξύ άλλων προκαλώντας σημαντική υλική ή μη υλική ζημία ή διαταραχή·

44)«λειτουργίες δικτύου κορμού δικτύων κινητών ηλεκτρονικών επικοινωνιών»: το κεντρικό αρχιτεκτονικό στοιχείο των δικτύων κινητών ηλεκτρονικών επικοινωνιών που συνδέει σημαντικούς κόμβους δικτύου με το διαδίκτυο και διαχειρίζεται βασικές λειτουργίες του συστήματος, οι οποίες περιλαμβάνουν επαλήθευση ταυτότητας εξοπλισμού χρήστη, λειτουργίες νόμιμης παρακολούθησης, πύλες ασφάλειας (SeGW) στις παρυφές του δικτύου, λειτουργίες ασφάλειας σηματοδότησης, διαχείριση περιαγωγής και συνεδριών λειτουργίας, μεταφορά δεδομένων επιπέδου χρήστη και επιπέδου ελέγχου, διαχείριση πολιτικής πρόσβασης, καταχώριση και αδειοδότηση υπηρεσιών δικτύου, αποθήκευση δεδομένων τελικού χρήστη και δικτύου, κρίσιμες υπηρεσίες δικτύου, συμπεριλαμβανομένου του συστήματος ονομάτων τομέα (DNS), διασύνδεση με κινητά δίκτυα τρίτων, έκθεση των λειτουργιών δικτύου κορμού σε εξωτερικές εφαρμογές, και επιλογή και διαχείριση τμημάτων δικτύου·

45)«εικονικοποίηση λειτουργιών δικτύου (NFV) και διαχείριση και ενορχήστρωση δικτύου (MANO) δικτύων κινητών ηλεκτρονικών επικοινωνιών»: το πλαίσιο λογισμικού και αρχιτεκτονικής που διασφαλίζει τη διαχείριση του κύκλου ζωής, την ενορχήστρωση και την αυτοματοποίηση εικονικοποιημένων λειτουργιών δικτύου (VNF), λειτουργιών δικτύου υπολογιστικού νέφους (CNF) και την επιλογή και διαχείριση τμημάτων δικτύου εντός δικτύων κινητών ηλεκτρονικών επικοινωνιών·

46)«δίκτυο ραδιοπρόσβασης (RAN) δικτύων κινητών ηλεκτρονικών επικοινωνιών»: το δίκτυο που συνδέει τον κινητό εξοπλισμό χρήστη με το δίκτυο κορμού, συμπεριλαμβανομένων σταθμών βάσης (eNodeB για 4G, gNodeB για 5G), απομακρυσμένων κεφαλών ραδιοσυχνοτήτων (RRH) και μονάδων ζώνης βάσης (BBU), συστημάτων ενεργών κεραιών (AAS) και, κατά περίπτωση, χωριστών συνιστωσών δικτύου ραδιοπρόσβασης, όπως κεντρικών μονάδων (CU) και κατανεμημένων μονάδων (DU), και του ευφυούς ελεγκτή δικτύου ραδιοπρόσβασης (RIC)·

47)«λειτουργίες δικτύου κορμού δικτύων σταθερών ηλεκτρονικών επικοινωνιών»: η νοημοσύνη κορμού του δικτύου, η οποία συνδέει τους κύριους κόμβους και χειρίζεται σειρά βασικών λειτουργιών, συμπεριλαμβανομένων των λειτουργιών επαλήθευσης ταυτότητας και της έγκρισης χρηστών (AAA), νόμιμης παρακολούθησης, του συστήματος ονομάτων τομέα (DNS) και των υπηρεσιών διευθυνσιοδότησης Πρωτοκόλλου Ίντερνετ (IP) (DHCP), της διαχείρισης της πολιτικής πρόσβασης, της αποθήκευσης δεδομένων τελικού χρήστη και δικτύου, της μεταγωγής και δρομολόγησης Πρωτοκόλλου Ίντερνετ και των διεθνών διαδικτυακών πυλών (IIG)·

48)«σύστημα διαχείρισης δικτύου δικτύων σταθερών ηλεκτρονικών επικοινωνιών»: όλες οι κεντρικές πλατφόρμες και οι συνιστώσες λογισμικού που απαιτούνται για τη λειτουργία, τη διαχείριση, τη συντήρηση και τον εφοδιασμό του δικτύου και για την παρακολούθηση των πληροφοριών που σχετίζονται με το δίκτυο·

49)«λειτουργίες μεταφοράς και μετάδοσης δικτύων σταθερών ηλεκτρονικών επικοινωνιών»: όλες οι συνιστώσες που είναι απαραίτητες για την οπισθόζευξη και τη συγκέντρωση της κυκλοφορίας σε ολόκληρο το δίκτυο, συμπεριλαμβανομένων του οπτικού εξοπλισμού μεταφοράς, των ζεύξεων μικροκυμάτων και των συστημάτων υποβρύχιων καλωδίων που περιλαμβάνουν τον υποβρύχιο εξοπλισμό, καθώς και τον τερματικό εξοπλισμό υποβρύχιων γραμμών (SLTE) και τις εγκαταστάσεις του φυσικού σταθμού απόληξης·

50)«δίκτυο πρόσβασης δικτύων σταθερών ηλεκτρονικών επικοινωνιών»: το δίκτυο που συνδέει τους χώρους του τελικού χρήστη με το δίκτυο συγκέντρωσης κυκλοφορίας ή το δίκτυο κορμού, συμπεριλαμβανομένων του τερματισμού οπτικής γραμμής (OLT) και του τερματισμού οπτικού δικτύου (ONT) για δίκτυα οπτικών ινών· συστήματος τερματισμού διαποδιαμορφωτή ομοαξονικών καλωδίων (CMTS) και διαποδιαμορφωτών καλωδίων για ομοαξονικά καλωδιακά δίκτυα, και συνιστωσών σταθερής ασύρματης πρόσβασης, όταν χρησιμοποιούνται ως υποκατάστατα σταθερής γραμμής.

ΤΙΤΛΟΣ II 
Ο ΟΡΓΑΝΙΣΜΟΣ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ ΓΙΑ ΤΗΝ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑ

Κεφάλαιο I 
Αποστολή και στόχοι

Άρθρο 3
Αποστολή του ENISA

1.Αποστολή του ENISA είναι η στήριξη των κρατών μελών και των οντοτήτων της Ένωσης για την επίτευξη υψηλού επιπέδου κυβερνοασφάλειας, κυβερνοανθεκτικότητας και εμπιστοσύνης στην Ένωση.

2.Ο ENISA ενεργεί ως σημείο αναφοράς για την παροχή συμβουλών και εμπειρογνωσίας σχετικά με την κυβερνοασφάλεια για τα κράτη μέλη, καθώς και άλλους συμφεροντούχους στην Ένωση.

3.Ο ENISA συμβάλλει στη μείωση του κατακερματισμού της εσωτερικής αγοράς μέσω της εκτέλεσης των καθηκόντων που του ανατίθενται δυνάμει του παρόντος κανονισμού.

4.Ο ENISA εκτελεί τα καθήκοντα που του ανατίθενται με νομικές πράξεις της Ένωσης.

5.Ο ENISA αναπτύσσει τις δικές του αναγκαίες ικανότητες, συμπεριλαμβανομένων τεχνικών και ανθρώπινων ικανοτήτων και δεξιοτήτων, για να εκτελεί τα καθήκοντα που του ανατίθενται δυνάμει του παρόντος κανονισμού.

Άρθρο 4
Στόχοι του ENISA

1.Ο ENISA αποτελεί κέντρο εμπειρογνωσίας σε θέματα κυβερνοασφάλειας χάρη στην ανεξαρτησία του, την επιστημονική και τεχνική ποιότητα των συμβουλών, των συνεισφορών και της επικουρίας που παρέχει, τις πληροφορίες που παρέχει, τη διαφάνεια των επιχειρησιακών διαδικασιών του, τις μεθόδους λειτουργίας και την επιμέλεια με την οποία εκτελεί τα καθήκοντά του.

2.Ο ENISA επικουρεί τα κράτη μέλη και, κατά περίπτωση, τις οντότητες της Ένωσης στην εφαρμογή οριζόντιων και τομεακών πολιτικών και νομοθεσίας της Ένωσης σχετικά με την κυβερνοασφάλεια, συμπεριλαμβανομένων δραστηριοτήτων εποπτείας της αγοράς.

3.Ο ENISA παρέχει την εμπειρογνωσία του και επικουρεί την Επιτροπή στην ανάπτυξη πολιτικών και νομοθεσίας της Ένωσης σχετικά με την κυβερνοασφάλεια.

4.Ο ENISA στηρίζει την ανάπτυξη ικανοτήτων και την ετοιμότητα σε ολόκληρη την Ένωση επικουρώντας τα κράτη μέλη, τις οντότητες της Ένωσης, μέσω της Υπηρεσίας Κυβερνοασφάλειας για τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης (στο εξής: CERT-ΕΕ) που αναφέρεται στο κεφάλαιο IV του κανονισμού (ΕΕ, Ευρατόμ) 2023/2841, και τους συμφεροντούχους του δημόσιου και του ιδιωτικού τομέα να αυξήσουν την προστασία των συστημάτων δικτύου και πληροφοριών τους, να αναπτύξουν και να βελτιώσουν την κυβερνοανθεκτικότητα και τις ικανότητες αντίδρασης.

5.Ο ENISA συμβάλλει στην υλοποίηση της Ακαδημίας Δεξιοτήτων Κυβερνοασφάλειας και στην ανάπτυξη του εργατικού δυναμικού στον τομέα της κυβερνοασφάλειας στην Ένωση, στηρίζοντας τις προσπάθειες για την ανάπτυξη της φορητότητας των δεξιοτήτων ανά την Ένωση, μεταξύ άλλων μέσω της συντήρησης και της υιοθέτησης του ΕΠΔΚ και της ανάπτυξης, της συντήρησης και της αξιοποίησης σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το κεφάλαιο II τμήμα 4 του παρόντος τίτλου, και διασφαλίζοντας την παροχή κατάρτισης σύμφωνα με το άρθρο 6 παράγραφος 8.

6.Ο ENISA προάγει τη συνεργασία, συμπεριλαμβανομένων της ανταλλαγής πληροφοριών και του συντονισμού σε ενωσιακό επίπεδο, ανάμεσα στα κράτη μέλη, τις οντότητες της Ένωσης σύμφωνα με τον κανονισμό (ΕΕ, Ευρατόμ) 2023/2841, καθώς και τους σχετικούς συμφεροντούχους από τον ιδιωτικό και τον δημόσιο τομέα σε θέματα που σχετίζονται με την κυβερνοασφάλεια.

7.Ο ENISA συμβάλλει στην αύξηση των ικανοτήτων κυβερνοασφάλειας σε επίπεδο Ένωσης προκειμένου να στηρίζει τις ενέργειες των κρατών μελών όσον αφορά την πρόληψη και την αντιμετώπιση κυβερνοαπειλών.

8.Ο ENISA στηρίζει την επιχειρησιακή συνεργασία σε επίπεδο Ένωσης, μεταξύ άλλων συμβάλλοντας στην κοινή επίγνωση της κατάστασης όσον αφορά το τοπίο των κυβερνοαπειλών και των περιστατικών μεταξύ των κρατών μελών και, σε συνεργασία με τη CERT-ΕΕ, μεταξύ των οντοτήτων της Ένωσης.

9.Ο ENISA συνεργάζεται στενά με την Ευρωπόλ, τις CSIRT και άλλες αρμόδιες εθνικές αρχές προκειμένου να βελτιωθεί η ετοιμότητα στον τομέα της κυβερνοασφάλειας και η αντιμετώπιση περιστατικών λυτρισμικού.

10.Ο ENISA συμβάλλει στη θέσπιση και τη διατήρηση ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας σύμφωνα με τον τίτλο III του παρόντος κανονισμού. Ο ENISA προάγει τη χρήση της ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας προκειμένου να αποφευχθεί ο κατακερματισμός της εσωτερικής αγοράς.

11.Ο ENISA συμβάλλει στην εναρμόνιση της ψηφιακής ενιαίας αγοράς συμμετέχοντας σε εργασίες τυποποίησης σχετικές με τις πολιτικές της Ένωσης για την κυβερνοασφάλεια και αναπτύσσοντας τεχνικές προδιαγραφές.

12.Ο ENISA προωθεί υψηλό επίπεδο ευαισθητοποίησης για την κυβερνοασφάλεια μεταξύ οργανισμών και επιχειρήσεων.

Κεφάλαιο II 
Καθήκοντα

Τμήμα 1 
Στήριξη της εφαρμογής της πολιτικής και του δικαίου της Ένωσης

Άρθρο 5
Στήριξη της εφαρμογής της πολιτικής και του δικαίου της Ένωσης

1.Ο ENISA συμβάλλει στην εφαρμογή της πολιτικής και του δικαίου της Ένωσης:

α)επικουρώντας τα κράτη μέλη για τη συνεπή εφαρμογή της πολιτικής και του δικαίου της Ένωσης σχετικά με την κυβερνοασφάλεια, μεταξύ άλλων με την έκδοση τεχνικών κατευθύνσεων και εκθέσεων, την παροχή συμβουλών και την κοινοποίηση βέλτιστων πρακτικών, καθώς και με τη διευκόλυνση της ανταλλαγής βέλτιστων πρακτικών μεταξύ των αρμόδιων αρχών στο πλαίσιο αυτό·

β)υποστηρίζοντας την ανταλλαγή πληροφοριών εντός και μεταξύ τομέων, ειδικότερα όσον αφορά τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τα προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847, με την παροχή βέλτιστων πρακτικών και καθοδήγησης σχετικά με τα διαθέσιμα εργαλεία και τις διαθέσιμες διαδικασίες·

γ)κατόπιν αιτήματος της Επιτροπής, επικουρώντας τα κράτη μέλη με την παροχή στήριξης, όπως τεχνικής καθοδήγησης, μεταξύ άλλων σχετικά με μέτρα διαχείρισης κινδύνου κυβερνοασφάλειας, εργαλείων για την αξιολόγηση της ωριμότητας στον τομέα της κυβερνοασφάλειας και εγχειριδίων αντιμετώπισης περιστατικών, προσαρμοσμένης στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, ή στήριξης για την εφαρμογή αρχών «ασφάλειας βάσει σχεδιασμού» για προϊόντα με ψηφιακά στοιχεία σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847, με σκοπό τη διευκόλυνση της βελτίωσης των επιπέδων ωριμότητας στον τομέα της κυβερνοασφάλειας και της συμμόρφωσης με το ενωσιακό δίκαιο όσον αφορά την κυβερνοασφάλεια·

δ)συμβάλλοντας στις εργασίες της ομάδας συνεργασίας που συστάθηκε δυνάμει του άρθρου 14 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 (στο εξής: ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών), της ευρωπαϊκής ομάδας συνεργασίας για την ψηφιακή ταυτότητα που συστάθηκε δυνάμει του άρθρου 46ε παράγραφος 1 του κανονισμού (ΕΕ) αριθ. 910/2014, της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας (στο εξής: ΕΟΠΙΚ), όπως αναφέρεται στο άρθρο 90 του παρόντος κανονισμού, και της ομάδας διοικητικής συνεργασίας (ADCO) που συστάθηκε δυνάμει του άρθρου 52 παράγραφος 15 του κανονισμού (ΕΕ) 2024/2847·

ε)επικουρώντας τα κράτη μέλη και τις σχετικές οντότητες της Ένωσης στην ανάπτυξη και την προώθηση πολιτικών κυβερνοασφάλειας που συνδέονται με την υποστήριξη της γενικής διαθεσιμότητας και της ακεραιότητας του δημόσιου πυρήνα του ανοικτού διαδικτύου·

στ)σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847, παρέχοντας τεχνικές συμβουλές και υποστήριξη στα κράτη μέλη και την Επιτροπή για θέματα που σχετίζονται με την εφαρμογή του εν λόγω κανονισμού·

ζ)επικουρώντας τα κράτη μέλη για την παροχή αμοιβαίας συνδρομής και τη διευκόλυνση των εν λόγω διαδικασιών συνεργασίας για βασικές και σημαντικές οντότητες σύμφωνα με το [άρθρο 37α της οδηγίας (ΕΕ) 2022/2555]·

η)κατόπιν αιτήματος του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, παρέχοντας συμβουλές σχετικά με την εφαρμογή συγκεκριμένων πτυχών κυβερνοασφάλειας της πολιτικής και του δικαίου της Ένωσης που σχετίζονται με την προστασία των δεδομένων και της ιδιωτικής ζωής.

2.Ο ENISA συμβάλλει στις συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την κυβερνοασφάλεια, συμπεριλαμβανομένων εκείνων που διενεργούνται σύμφωνα με το άρθρο 22 της οδηγίας (ΕΕ) 2022/2555.

3.Ο ENISA εκδίδει κατευθυντήριες γραμμές σχετικά με τη διαλειτουργικότητα των συστημάτων δικτύου και πληροφοριών που χρησιμοποιούνται για την ανταλλαγή πληροφοριών, μεταξύ άλλων όσον αφορά τους διασυνοριακούς κυβερνοκόμβους, όπως αναφέρονται στο άρθρο 6 παράγραφος 3 του κανονισμού (ΕΕ) 2025/38.

4.Ο ENISA είναι μέλος της ομάδας συνεργασίας για την ασφάλεια δικτύων και πληροφοριών σύμφωνα με το άρθρο 14 παράγραφος 3 της οδηγίας (ΕΕ) 2022/2555.

5.Κατόπιν αιτήματος της Επιτροπής, ο ENISA παρέχει εμπειρογνωσία, τεχνικές συμβουλές, πληροφορίες ή αναλύσεις, ή εκτελεί προπαρασκευαστικές εργασίες για συγκεκριμένα θέματα κυβερνοασφάλειας με σκοπό την τεκμηρίωση της χάραξης πολιτικής της Επιτροπής και την παρακολούθηση της εφαρμογής της νομοθεσίας της Ένωσης.

Άρθρο 6
Ανάπτυξη ικανοτήτων

Ο ENISA επικουρεί:

1)τα κράτη μέλη στις προσπάθειές τους να βελτιώσουν την ικανότητα πρόληψης, εντοπισμού και ανάλυσης, καθώς και την ικανότητα αντιμετώπισης, κυβερνοαπειλών και περιστατικών, διαθέτοντάς τους τις απαιτούμενες γνώσεις και την απαιτούμενη εμπειρογνωσία,

2)τα κράτη μέλη, κατόπιν αιτήματός τους, για τη θέσπιση και την εφαρμογή πολιτικών γνωστοποίησης ευπαθειών σε προαιρετική βάση·

3)σύμφωνα με τον κανονισμό (ΕΕ, Ευρατόμ) 2023/2841, η CERT-ΕΕ και το διοργανικό συμβούλιο κυβερνοασφάλειας στις προσπάθειές τους να στηρίξουν τις οντότητες της Ένωσης για την ενίσχυση της κυβερνοασφάλειας, να βελτιώσουν την πρόληψη, τον εντοπισμό και την ανάλυση κυβερνοαπειλών και περιστατικών, καθώς και να βελτιώσουν τις οικείες ικανότητες αντιμετώπισης τέτοιων κυβερνοαπειλών και περιστατικών·

4)τα κράτη μέλη στην ανάπτυξη εθνικών CSIRT, όταν ζητείται δυνάμει του άρθρου 10 παράγραφος 10 της οδηγίας (ΕΕ) 2022/2555,

5)τα κράτη μέλη στην ανάπτυξη ή την επικαιροποίηση εθνικής στρατηγικής κυβερνοασφάλειας και βασικών δεικτών επιδόσεων για την αξιολόγηση της εν λόγω στρατηγικής, όταν ζητείται δυνάμει του άρθρου 7 παράγραφος 4 της οδηγίας (ΕΕ) 2022/2555, προάγει τη διάδοση των εν λόγω στρατηγικών και σημειώνει την πρόοδο ως προς την εφαρμογή τους στην Ένωση, με σκοπό την προαγωγή βέλτιστων πρακτικών·

6)τα θεσμικά όργανα της Ένωσης, κατόπιν αιτήματός τους, στην ανάπτυξη και την επανεξέταση των ενωσιακών στρατηγικών για την κυβερνοασφάλεια, προάγοντας τη διάδοσή τους και παρακολουθώντας την πρόοδο εφαρμογής τους,

7)τις εθνικές CSIRT με στόχο την αύξηση του επιπέδου ικανότητάς τους, μεταξύ άλλων με την προώθηση του διαλόγου και των ανταλλαγών πληροφοριών, προκειμένου να εξασφαλίζεται ότι, όσον αφορά τη διαθέσιμη τεχνολογία αιχμής, κάθε CSIRT διαθέτει ένα κοινό σύνολο ελάχιστων ικανοτήτων και λειτουργεί με βάση τις βέλτιστες πρακτικές,

8)τα κράτη μέλη, τις οντότητες της Ένωσης και τους συμφεροντούχους του δημόσιου και του ιδιωτικού τομέα στις προσπάθειές τους να αξιολογήσουν, να αναπτύξουν και να ενισχύσουν το εργατικό δυναμικό στον τομέα της κυβερνοασφάλειας, μεταξύ άλλων με την ανάπτυξη, τη διατήρηση και την προώθηση της υιοθέτησης σχετικών εργαλείων, όπως του ΕΠΔΚ και των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το τμήμα 4 του παρόντος κεφαλαίου·

9)σχετικούς δημόσιους φορείς, καθώς και συμφεροντούχους του ιδιωτικού τομέα, με τη διεξαγωγή στοχευμένων προγραμμάτων κατάρτισης, κατά περίπτωση σε συνεργασία με τους συμφεροντούχους·

10)την ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών για την ανταλλαγή βέλτιστων πρακτικών και πληροφοριών, ειδικότερα σε σχέση με την εφαρμογή της οδηγίας (ΕΕ) 2022/2555 σύμφωνα με το άρθρο 14 παράγραφος 4 στοιχείο γ) της εν λόγω οδηγίας·

11)τις αρχές εποπτείας της αγοράς που ορίζονται σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847 στις δραστηριότητές τους που αποσκοπούν στη διασφάλιση της αποτελεσματικής εφαρμογής του εν λόγω κανονισμού, συμπεριλαμβανομένων της στήριξης για την παροχή καθοδήγησης και τεχνικών συμβουλών προς τους οικονομικούς φορείς, της στήριξης των ελέγχων συμμόρφωσης, της αξιολόγησης των κινδύνων, κοινών δραστηριοτήτων και σαρώσεων, όπως ορίζονται στον κανονισμό (ΕΕ) 2024/2847·

12)τα μέλη της ΕΟΠΙΚ κατά την ανταλλαγή βέλτιστων πρακτικών και, κατόπιν αιτήματος μεμονωμένων κρατών μελών, επικουρεί τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας σε σχέση με την εφαρμογή των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σε εθνικό επίπεδο·

13)δημόσιες αρχές και συμφεροντούχους του ιδιωτικού τομέα σε σχέση με τις δραστηριότητες αξιολόγησης της συμμόρφωσης και άλλης αξιολόγησης, συμπεριλαμβανομένων των οργανισμών αξιολόγησης της συμμόρφωσης και των μικρομεσαίων επιχειρήσεων, για τη στήριξη ενός ισχυρού, ανταγωνιστικού, συμπεριληπτικού και εναρμονισμένου οικοσυστήματος αξιολόγησης της συμμόρφωσης που στηρίζει την εφαρμογή του κανονισμού (ΕΕ) 2024/2847 και του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας·

14)το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας και το δίκτυο εθνικών κέντρων συντονισμού που συστάθηκε δυνάμει του κανονισμού (ΕΕ) 2021/887, με την ανταλλαγή πληροφοριών σχετικά με υφιστάμενους και αναδυόμενους κινδύνους και κυβερνοαπειλές, συμπεριλαμβανομένων των κινδύνων και των απειλών που αφορούν νέες και αναδυόμενες τεχνολογίες πληροφοριών και επικοινωνιών·

15)τα κράτη μέλη με την παροχή τεχνικής υποστήριξης, μεταξύ άλλων για τη σύσταση και τη λειτουργία ρυθμιστικών δοκιμαστηρίων στον τομέα της κυβερνοασφάλειας, σύμφωνα με τη σχετική νομοθεσία της Ένωσης.

Άρθρο 7
Ευαισθητοποίηση και δεξαμενή ταλέντων

Ο ENISA επικουρεί τα κράτη μέλη στις προσπάθειές τους να αυξήσουν την ευαισθητοποίηση σχετικά με τις πολιτικές και τη νομοθεσία της Ένωσης όσον αφορά την κυβερνοασφάλεια και να προωθήσουν την προβολή τους αναπτύσσοντας αξιοποιήσιμα εργαλεία και καθοδήγηση. Ο ENISA στηρίζει πρωτοβουλίες που αποσκοπούν στην αύξηση της ευρωπαϊκής δεξαμενής ταλέντων στον τομέα της κυβερνοασφάλειας, ιδίως μέσω του συντονισμού διαγωνισμών.

Άρθρο 8
Γνώση και αναλύσεις της αγοράς

1.Ο ENISA διενεργεί και διαδίδει αναλύσεις των κύριων τάσεων της αγοράς στην αγορά κυβερνοασφάλειας τόσο από την πλευρά της ζήτησης όσο και από την πλευρά της προσφοράς, ειδικότερα σε σχέση με τους τομείς στους οποίους υπάρχουν ή σχεδιάζονται ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τις κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847, συμπεριλαμβανομένων των παραρτημάτων III και IV του εν λόγω κανονισμού.

2.Ο ENISA διενεργεί και διαδίδει αναλύσεις των τεχνολογικών τάσεων στον τομέα της κυβερνοασφάλειας, ειδικότερα σε σχέση με δραστηριότητες και οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας (ΕΕ) 2022/2555 και προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847.

3.Ο ENISA αναπτύσσει γνώσεις και διαδίδει τεχνικές συμβουλές και αναλύσεις σχετικά με προηγμένα εργαλεία, πλαίσια, πρότυπα και βέλτιστες πρακτικές κυβερνοασφάλειας.

Άρθρο 9
Διεθνής συνεργασία

Ο ENISA συμβάλλει στις προσπάθειες της Ένωσης για συνεργασία της με τρίτες χώρες και διεθνείς οργανισμούς, μεταξύ άλλων εντός των σχετικών πλαισίων διεθνούς συνεργασίας, για την προώθηση της διεθνούς συνεργασίας σε θέματα που αφορούν την κυβερνοασφάλεια:

α)όπου είναι σκόπιμο, συμμετέχοντας ως παρατηρητής στην οργάνωση διεθνών ασκήσεων και αναλύοντας τα αποτελέσματά τους και υποβάλλοντας σχετικές εκθέσεις στο διοικητικό συμβούλιο,

β)κατόπιν αιτήματος της Επιτροπής, διευκολύνοντας την ανταλλαγή βέλτιστων πρακτικών με τρίτες χώρες και διεθνείς οργανισμούς·

γ)παρέχοντας, κατόπιν αιτήματός της, εμπειρογνωμοσύνη στην Επιτροπή,

δ)παρέχοντας εξειδικευμένες συμβουλές και στήριξη προς την Επιτροπή σε θέματα που αφορούν τη διεθνή αναγνώριση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας σύμφωνα με το άρθρο 87·

ε)παρέχοντας εξειδικευμένες συμβουλές και στήριξη προς την Επιτροπή σε θέματα σχετικά με τη διεθνή τυποποίηση και συνεργαζόμενος με σχετικούς διεθνείς οργανισμούς τυποποίησης, κατά περίπτωση, σε συνεργασία με την ΕΟΠΙΚ που θεσπίζεται σύμφωνα με το άρθρο 90.

Τμήμα 2

Επιχειρησιακή συνεργασία

Άρθρο 10
Επιχειρησιακή συνεργασία σε επίπεδο Ένωσης

1.Ο ENISA υποστηρίζει την επιχειρησιακή συνεργασία μεταξύ των κρατών μελών, των οντοτήτων της Ένωσης μέσω της CERT-ΕΕ, και μεταξύ άλλων συμφεροντούχων.

2.Ο ENISA είναι μέλος του δικτύου εθνικών CSIRT που έχει συσταθεί σύμφωνα με το άρθρο 15 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 και παρέχει γραμματειακή υποστήριξη στο δίκτυο CSIRT σύμφωνα με το άρθρο 15 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555.

3.Ο ENISA παρέχει γραμματειακή υποστήριξη στο ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για τις κρίσεις στον κυβερνοχώρο (στο εξής: EU-CyCLONe) σύμφωνα με το άρθρο 16 παράγραφος 2 δεύτερο εδάφιο της οδηγίας (ΕΕ) 2022/2555.

4.Ο ENISA υποστηρίζει την τεχνική και επιχειρησιακή συνεργασία μεταξύ των κρατών μελών, ιδίως μέσω του δικτύου CSIRT και του EU-CyCLONe. Η εν λόγω υποστήριξη περιλαμβάνει:

α)την παροχή συμβουλών σχετικά με τη βελτίωση των ικανοτήτων πρόληψης, εντοπισμού, αντιμετώπισης περιστατικών και ανάκαμψης από αυτά·

β)κατόπιν αιτήματος ενός ή περισσότερων κρατών μελών, την παροχή συμβουλών και αξιολογήσεων σε σχέση με συγκεκριμένο δυνητικό ή υπό εξέλιξη περιστατικό ή κυβερνοαπειλή, μεταξύ άλλων μέσω της παροχής εμπειρογνωσίας και της διευκόλυνσης του τεχνικού χειρισμού τέτοιων περιστατικών, καθώς και μέσω της υποστήριξης της εθελοντικής ανταλλαγής σχετικών πληροφοριών και τεχνικών λύσεων μεταξύ των κρατών μελών·

γ)την ανάλυση ευπαθειών, απειλών και περιστατικών·

δ)κατόπιν αιτήματος ενός ή περισσοτέρων κρατών μελών, την παροχή υποστήριξης σχετικά με τεχνικές εκ των υστέρων έρευνες που αφορούν σημαντικά περιστατικά κατά την έννοια του άρθρου 23 παράγραφος 3 της οδηγίας (ΕΕ) 2022/2555·

ε)τη συμβολή στην υποστήριξη της συντονισμένης διαχείρισης περιστατικών και κρίσεων κυβερνοασφάλειας μεγάλης κλίμακας σε επιχειρησιακό επίπεδο, ειδικότερα επικουρώντας το EU-CyCLONe για την εκπόνηση εκθέσεων σε πολιτικό επίπεδο και διευκολύνοντας την έγκαιρη ανταλλαγή πληροφοριών μεταξύ του δικτύου CSIRT και του EU-CyCLONe.

5.Κατόπιν αιτήματος κράτους μέλους ή οντότητας της Ένωσης σε συνεργασία με τη CERT-ΕΕ, ο ENISA υποστηρίζει τη συνεπή δημόσια επικοινωνία σχετικά με περιστατικά ή κυβερνοαπειλές.

6.Ο ENISA υποστηρίζει τη συνεργασία μεταξύ των κρατών μελών και, μέσω της CERT-ΕΕ, μεταξύ των οντοτήτων της Ένωσης όσον αφορά την ανάπτυξη εργαλείων ασφαλούς επικοινωνίας. Ο ENISA χρησιμοποιεί, στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe, εργαλεία ασφαλούς επικοινωνίας που παρέχονται από νομικές οντότητες που είναι ή θεωρούνται εγκατεστημένες στην Ένωση και ελέγχονται από κράτη μέλη ή από υπηκόους κρατών μελών.

Άρθρο 11
Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας

1.Για σκοπούς ενισχυμένης κοινής επίγνωσης της κατάστασης όσον αφορά το τοπίο των κυβερνοαπειλών και των περιστατικών μεταξύ των κρατών μελών και μεταξύ των οντοτήτων της Ένωσης, ο ENISA:

α)αναπτύσσει, σε συνεργασία με το EU-CyCLONe, το δίκτυο CSIRT, την Επιτροπή, τη CERT-ΕΕ, την Ευρωπόλ και άλλες σχετικές οντότητες της Ένωσης, αποθετήρια επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές, συμπεριλαμβανομένων των τάσεων όσον αφορά τα περιστατικά, τις τακτικές, τις τεχνικές και τις διαδικασίες·

β)σύμφωνα με το άρθρο 12, εκδίδει έγκαιρες προειδοποιήσεις για δυνητικό ή υπό εξέλιξη σημαντικό περιστατικό ή περιστατικό μεγάλης κλίμακας, ή για κυβερνοαπειλή δυνητικού διασυνοριακού χαρακτήρα, ειδικότερα σε σχέση με τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·

γ)παρέχει έγκαιρες ad hoc αναλύσεις σχετικά με τις αναδυόμενες τάσεις όσον αφορά τα περιστατικά, κατόπιν αιτήματος του δικτύου CSIRT, του EU-CyCLONe ή της Επιτροπής·

δ)παρέχει, κατόπιν αιτήματος των κρατών μελών ή της Επιτροπής, ανάλυση ή άλλες πληροφορίες σχετικά με πραγματικό ή εικαζόμενο κίνδυνο ή απειλή για την κυβερνοασφάλεια·

ε)παρέχει αναλύσεις και τεχνικές συμβουλές σχετικά με τους κινδύνους για την κυβερνοασφάλεια σε προϊόντα με ψηφιακά στοιχεία, μεταξύ άλλων για τη στήριξη της εποπτείας της αγοράς και με την κατάρτιση διετούς τεχνικής έκθεσης σχετικά με τις αναδυόμενες τάσεις σύμφωνα με το άρθρο 17 παράγραφος 3 του κανονισμού (ΕΕ) 2024/2847·

στ)εκπονεί τακτικά εμπεριστατωμένη τεχνική έκθεση για την κατάσταση της κυβερνοασφάλειας στην ΕΕ όσον αφορά περιστατικά και κυβερνοαπειλές και θέτει την έκθεση στη διάθεση του Συμβουλίου, του EU-CyCLONe, του δικτύου CSIRT, της Επιτροπής, της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης και της Ευρωπόλ·

ζ)παρακολουθεί τις τάσεις όσον αφορά τις τεχνικές, τις απαιτήσεις και τον αντίκτυπο των επιθέσεων με λυτρισμικό και παρέχει πληροφορίες σχετικά με τις τάσεις αυτές στην Επιτροπή, το δίκτυο CSIRT, το EU-CyCLONe και την Ευρωπόλ.

2.Για σκοπούς ενισχυμένης κοινής επίγνωσης της κατάστασης όσον αφορά το τοπίο των κυβερνοαπειλών και των περιστατικών μεταξύ των συμφεροντούχων, ο ENISA:

α)διενεργεί αναλύσεις κυβερνοαπειλών, περιστατικών, τάσεων, αναδυόμενων τεχνολογιών και των επιπτώσεών τους, συμπεριλαμβανομένης τακτικής ανάλυσης που αφορά τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τις σχετικές κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847·

β)εκδίδει, σε συνεργασία με την Επιτροπή και, κατά περίπτωση, με το δίκτυο CSIRT, συμβουλές, καθοδήγηση και βέλτιστες πρακτικές για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, ειδικότερα για την ασφάλεια των υποδομών που υποστηρίζουν τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·

γ)διενεργεί μακροπρόθεσμες στρατηγικές αναλύσεις των κυβερνοαπειλών και των περιστατικών, προκειμένου να εντοπίζει τις αναδυόμενες τάσεις και να συμβάλλει στην πρόληψη περιστατικών.

3.Ο ENISA μπορεί να δημοσιοποιεί τις αναλύσεις, τις συμβουλές, την καθοδήγηση, τις βέλτιστες πρακτικές και τις εκθέσεις που αναφέρονται στην παράγραφο 2, σε συμφωνία με τις συνεισφέρουσες οντότητες που αναφέρονται στην παράγραφο 2.

4.Κατά την εκτέλεση των δραστηριοτήτων που αναφέρονται στην παράγραφο 1 στοιχεία α) έως δ) και στ) και στην παράγραφο 2, ο ENISA χρησιμοποιεί τις δικές του αναλύσεις και, κατά περίπτωση, τις πληροφορίες που λαμβάνει κατά την εκτέλεση των καθηκόντων του, συμπεριλαμβανομένων των εξής:

α)πληροφοριών που παρέχονται σε δημόσια διαθέσιμες πηγές, μεταξύ των οποίων δημόσια γνωστές ευπάθειες σε προϊόντα ΤΠΕ ή υπηρεσίες ΤΠΕ που είναι διαθέσιμες στην ευρωπαϊκή βάση δεδομένων ευπαθειών που έχει δημιουργηθεί σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555·

β)πληροφοριών που ανταλλάσσονται από κράτη μέλη, οντότητες της Ένωσης, τη CERT-ΕΕ, εταίρους του ιδιωτικού τομέα ή μη κυβερνητικούς εταίρους και τρίτες χώρες και διεθνείς οργανισμούς, με την επιφύλαξη τυχόν περιορισμών μέσω ορατής σήμανσης σχετικά με την περαιτέρω διανομή των εν λόγω πληροφοριών.

5.Ο ENISA συνεργάζεται στενά με τα κράτη μέλη για την εκπόνηση της τεχνικής έκθεσης για την κατάσταση της κυβερνοασφάλειας στην ΕΕ που αναφέρεται στην παράγραφο 1 στοιχείο ε). Η έκθεση βασίζεται σε δημόσια διαθέσιμες πληροφορίες, τις αναλύσεις του ίδιου του ENISA και εκθέσεις που κοινοποιούν, μεταξύ άλλων, οι CSIRT ή τα ενιαία κέντρα επαφής των κρατών μελών που ιδρύθηκαν με την οδηγία (ΕΕ) 2022/2555, αμφότερα εθελοντικώς, το Ευρωπαϊκό Κέντρο για το Κυβερνοέγκλημα και η CERT-ΕΕ. Σε συμφωνία με τις συνεισφέρουσες οντότητες, ο ENISA μπορεί να δημοσιοποιεί συγκεντρωτική έκδοση της έκθεσης.

Άρθρο 12
Έγκαιρες προειδοποιήσεις

1.Οι έγκαιρες προειδοποιήσεις που αναφέρονται στο άρθρο 11 παράγραφος 1 πρώτο εδάφιο στοιχείο β) του παρόντος κανονισμού περιλαμβάνουν σχετικές πληροφορίες για δυνητικό ή υπό εξέλιξη σημαντικό περιστατικό ή περιστατικό μεγάλης κλίμακας, για ή κυβερνοαπειλή δυνητικού διασυνοριακού χαρακτήρα, σε σχέση με τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Στις εν λόγω πληροφορίες μπορεί να περιλαμβάνονται δημόσια γνωστές ευπάθειες και κατά πόσον αυτές επηρεάζουν προϊόντα με ψηφιακά στοιχεία που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847, και τεχνικές και διαδικασίες, δείκτες παραβίασης, εχθρικές τακτικές, πληροφορίες που αφορούν συγκεκριμένους παράγοντες απειλής και συστάσεις σχετικά με μέτρα μετριασμού.

2.Οι έγκαιρες προειδοποιήσεις που αναφέρονται στο άρθρο 11 παράγραφος 1 πρώτο εδάφιο στοιχείο β) εκδίδονται το συντομότερο δυνατόν προς την οικεία ή τις οικείες CSIRT και, κατά περίπτωση, το δίκτυο CSIRT και το EU-CyCLONe.

3.Ο ENISA παρέχει υπηρεσία έγκαιρης προειδοποίησης σε οντότητες που δραστηριοποιούνται στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555.

4.Η υπηρεσία που αναφέρεται στην παράγραφο 3 παρέχεται κατόπιν αιτήματος της οντότητας και σε μηχαναγνώσιμο μορφότυπο που δημοσιοποιείται. Η εν λόγω υπηρεσία περιλαμβάνει την ανταλλαγή πληροφοριών σχετικά με δείκτες κυβερνοαπειλών και συστάσεις σχετικά με μέτρα μετριασμού.

5.Ο ENISA θεσπίζει διαδικασία για τη μετάδοση των έγκαιρων προειδοποιήσεων στις οντότητες που αναφέρονται στην παράγραφο 3.

Άρθρο 13
Υποστήριξη για την αντιμετώπιση και την επανεξέταση περιστατικών

1.Ο ENISA χειρίζεται και διαχειρίζεται την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, εν όλω ή εν μέρει, σύμφωνα με τον κανονισμό (ΕΕ) 2025/38.

2.Κατόπιν αιτήματος της Επιτροπής ή του EU-CyCLONe, ο ENISA, με την υποστήριξη του δικτύου CSIRT και με την έγκριση του οικείου κράτους μέλους, επανεξετάζει και αξιολογεί σημαντικά περιστατικά κυβερνοασφάλειας ή περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας σύμφωνα με το άρθρο 21 του κανονισμού (ΕΕ) 2025/38.

3.Ο ENISA επικουρεί, σε συνεργασία με την Ευρωπόλ και τις CSIRT ή άλλες αρμόδιες αρχές, κατά περίπτωση, μεμονωμένες βασικές και σημαντικές οντότητες που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 κατά την προετοιμασία, την αντιμετώπιση και την ανάκαμψη από περιστατικά χρήσης λυτρισμικού. Για τον σκοπό αυτό, ο ENISA συγκροτεί γραφείο υποστήριξης και, ειδικότερα, κάνει χρήση της ενισχυμένης κοινής επίγνωσης της κατάστασης του τοπίου κυβερνοαπειλών και περιστατικών σύμφωνα με το άρθρο 11 παράγραφος 1 πρώτο εδάφιο στοιχεία α) και ζ) του παρόντος κανονισμού.

Άρθρο 14
Ασκήσεις κυβερνοασφάλειας σε επίπεδο Ένωσης

1.Ο ENISA υποστηρίζει την Επιτροπή στην κατάρτιση ετήσιου κυλιόμενου προγράμματος ασκήσεων κυβερνοασφάλειας σε επίπεδο Ένωσης.

2.Ο ENISA διατηρεί αποθετήριο των διδαγμάτων που αντλούνται από τις ασκήσεις που αναφέρονται στην παράγραφο 1 και συνιστά στα κράτη μέλη και, κατά περίπτωση, στις οντότητες της Ένωσης τρόπους αποτελεσματικής και αποδοτικής εφαρμογής των αντληθέντων διδαγμάτων.

3.Κατόπιν αιτήματος του EU-CyCLONe και/ή της Επιτροπής, ο ENISA διοργανώνει ή συμβάλλει στη διοργάνωση ασκήσεων κυβερνοασφάλειας σε επίπεδο Ένωσης, συμπεριλαμβανομένων δοκιμών ετοιμότητας για την αντιμετώπιση περιστατικών και κρίσεων κυβερνοασφάλειας μεγάλης κλίμακας σε επίπεδο Ένωσης.

4.Κατόπιν αιτήματος των κρατών μελών, ο ENISA τους παρέχει στήριξη για τη διοργάνωση εθνικών ασκήσεων κυβερνοασφάλειας.

5.Κατόπιν αιτήματος της CERT-ΕΕ, ο ENISA συμβάλλει στη διοργάνωση ασκήσεων κυβερνοασφάλειας που διοργανώνονται από τη CERT-ΕΕ σύμφωνα με το άρθρο 13 παράγραφος 7 του κανονισμού (ΕΕ, Ευρατόμ) 2023/2841.

Άρθρο 15
Παροχή εργαλείων και πλατφορμών

1.Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, λειτουργικά τεχνικά εργαλεία, συμπεριλαμβανομένων πλατφορμών, που σχετίζονται με την κυβερνοασφάλεια σε επίπεδο Ένωσης, ειδικότερα την ενιαία πλατφόρμα αναφοράς που θεσπίστηκε σύμφωνα με το άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2024/2847 [και το ενιαίο σημείο εισόδου για την αναφορά περιστατικών που θεσπίστηκε σύμφωνα με το άρθρο 23α της οδηγίας (ΕΕ) 2022/2555], και εργαλεία δοκιμών για την υποστήριξη της εφαρμογής των διαδικασιών αξιολόγησης της συμμόρφωσης σύμφωνα με τη σχετική νομοθεσία της Ένωσης.

2.Όταν είναι σκόπιμο για τους σκοπούς της παραγράφου 1, ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες με το δίκτυο CSIRT και, κατά περίπτωση, με τις αρχές εποπτείας της αγοράς.

Άρθρο 16
Υπηρεσίες διαχείρισης ευπαθειών

Ο ENISA αναπτύσσει κοινές ικανότητες υπηρεσιών διαχείρισης ευπαθειών της Ένωσης και παρέχει υπηρεσίες διαχείρισης ευπαθειών στους συμφεροντούχους μέσω:

α)διατήρησης της ευρωπαϊκής βάσης δεδομένων ευπαθειών που συστάθηκε σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555·

β)παροχής υπηρεσιών διαχείρισης ευπαθειών στους συμφεροντούχους, με βάση την ευρωπαϊκή βάση δεδομένων ευπαθειών και με χρήση των σχετικών πληροφοριών που έχει στη διάθεσή του ο ENISA·

γ)κατά περίπτωση, σύναψης διαρθρωμένης συνεργασίας με οργανισμούς που παρέχουν προγράμματα, μητρώα ή βάσεις δεδομένων παρεμφερή με την ευρωπαϊκή βάση δεδομένων ευπαθειών·

δ)ενεργούς υποστήριξης των CSIRT στις οποίες έχει ανατεθεί συντονιστικός ρόλος σύμφωνα με το άρθρο 12 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 όσον αφορά τη διαχείριση της συντονισμένης γνωστοποίησης ευπαθειών που ενδέχεται να έχουν σημαντικό αντίκτυπο σε οντότητες σε περισσότερα από ένα κράτη μέλη·

ε)ανάπτυξης και διατήρησης μεθοδολογιών και μηχανισμών διακυβέρνησης για τον προσδιορισμό και τη συντονισμένη γνωστοποίηση ευπαθειών, σε συνεργασία με τις εθνικές αρμόδιες αρχές, τις CSIRT, τη βιομηχανία και την ερευνητική κοινότητα.

Τμήμα 3

Πιστοποίηση και τυποποίηση της κυβερνοασφάλειας

Άρθρο 17
Πιστοποίηση της κυβερνοασφάλειας

1.Ο ENISA συμβάλλει στην ανάπτυξη και την εφαρμογή της πολιτικής της Ένωσης για την πιστοποίηση της κυβερνοασφάλειας, όπως ορίζεται στον τίτλο III του παρόντος κανονισμού, και τις προωθεί. Ο ENISA είναι αρμόδιος για:

α)την επεξεργασία υποψήφιων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (στο εξής: υποψήφια σχήματα) για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων σύμφωνα με το άρθρο 74 και, κατά περίπτωση, την ανάπτυξη τεχνικών προδιαγραφών σύμφωνα με το άρθρο 77·

β)τη συντήρηση εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 75, μεταξύ άλλων ενόψει πιθανής επανεξέτασης των εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 76·

γ)την προώθηση της υιοθέτησης των εγκεκριμένων σχημάτων και τη διατήρηση ειδικού ιστότοπου που δημοσιοποιεί τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και τις δηλώσεις συμμόρφωσης ΕΕ σύμφωνα με το άρθρο 79, και παρέχει σχετικές πληροφορίες·

δ)την οργάνωση της ανάπτυξης ικανοτήτων σχετικά με τις διαδικασίες πιστοποίησης, τις δραστηριότητες αξιολόγησης, την αξιολόγηση από ομοτίμους και την αποτίμηση από ομοτίμους, μεταξύ άλλων με την παροχή στήριξης στα κράτη μέλη κατόπιν αιτήματός τους σύμφωνα με το άρθρο 6 σημείο 12).

2.Ο ENISA υποστηρίζει την Επιτροπή στις ακόλουθες δραστηριότητες:

α)τη διακυβέρνηση της ΕΟΠΙΚ σύμφωνα με το άρθρο 90·

β)τη διοργάνωση ευρωπαϊκής συνέλευσης πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 72 παράγραφος 1·

γ)σχετικά με τη διεθνή αναγνώριση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας σύμφωνα με το άρθρο 87·

δ)τη διοργάνωση αξιολογήσεων από ομοτίμους δυνάμει του άρθρου 89·

ε)την κατάρτιση πρότυπων διατάξεων στις οποίες θα παραπέμπουν τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων σύμφωνα με το άρθρο 81 παράγραφος 5.

Άρθρο 18
Τυποποίηση, τεχνικές προδιαγραφές και καθοδήγηση

1.Ο ENISA καταρτίζει τεχνικές προδιαγραφές και καθοδήγηση για την υποστήριξη της εφαρμογής της νομοθεσίας της Ένωσης στον τομέα της κυβερνοασφάλειας. Κατά την κατάρτιση των εν λόγω τεχνικών προδιαγραφών, ο ENISA λαμβάνει υπόψη τα υφιστάμενα ευρωπαϊκά και διεθνή πρότυπα, καθώς και άλλες σχετικές τεχνικές προδιαγραφές. Ο ENISA διασφαλίζει τη συνέπεια των τεχνικών προδιαγραφών και της καθοδήγησής του.

2.Ο ENISA παρακολουθεί και, κατά περίπτωση, συμμετέχει και αναλαμβάνει ηγετικό ρόλο σε δραστηριότητες ανάπτυξης τυποποίησης σε επίπεδο Ένωσης και, σύμφωνα με το άρθρο 9, σε διεθνές επίπεδο, με σκοπό την υποστήριξη των πολιτικών της Ένωσης που σχετίζονται με την κυβερνοασφάλεια.

3.Ο ENISA υποστηρίζει την ανάπτυξη και την αξιολόγηση κρυπτογραφικών αλγόριθμων. Όταν ένας κρυπτογραφικός αλγόριθμος αξιολογείται θετικά από τον ENISA, ο ENISA συνεργάζεται, σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 1025/2012, με τους ευρωπαϊκούς οργανισμούς τυποποίησης για την υποστήριξη της τυποποίησής του.

4.Ο ENISA παρέχει τεχνικές συμβουλές στην Επιτροπή και, κατά περίπτωση, στα κράτη μέλη, σχετικά με κατάλληλα πρότυπα ή τεχνικές προδιαγραφές προς υποστήριξη των πολιτικών της Ένωσης που σχετίζονται με την κυβερνοασφάλεια, μεταξύ άλλων για την ενωσιακή νομοθεσία εναρμόνισης στον τομέα της κυβερνοασφάλειας, ειδικότερα τον κανονισμό (ΕΕ) 2024/2847, στους τεχνικούς τομείς για τους σκοπούς του άρθρου 25 της οδηγίας (ΕΕ) 2022/2555 και στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 1 στοιχείο δ).

5.Ο ENISA επικουρεί την Επιτροπή στην αξιολόγηση των σχεδίων εναρμονισμένων προτύπων για την υποστήριξη της εφαρμογής της ενωσιακής νομοθεσίας εναρμόνισης στον τομέα της κυβερνοασφάλειας.

6.Ο ENISA προωθεί την υιοθέτηση ευρωπαϊκών και διεθνών προτύπων για την κυβερνοασφάλεια.

7.Ο ENISA εκτελεί τα καθήκοντα που αναφέρονται στις παραγράφους 1 έως 6 με ακεραιότητα, αμεροληψία και εμπιστευτικότητα, μεταξύ άλλων αποσύροντας ή διακόπτοντας τη συμμετοχή του σε συγκεκριμένους τεχνικούς φορείς, όταν η συμμετοχή αυτή έρχεται σε σύγκρουση με άλλα καθήκοντα ή στόχους.

Τμήμα 4 
Υλοποίηση της Ακαδημίας Δεξιοτήτων Κυβερνοασφάλειας

Άρθρο 19
Ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας

1.Ο ENISA αναπτύσσει και δημοσιοποιεί ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας (ΕΠΔΚ). Πριν από τη δημοσιοποίηση ή την επικαιροποίηση του ΕΠΔΚ σύμφωνα με την παράγραφο 4, ο ENISA ζητεί τη γνώμη της Επιτροπής.

2.Το ΕΠΔΚ καθορίζει τα προφίλ των επαγγελματιών στον τομέα της κυβερνοασφάλειας και τη σύνδεση συγκεκριμένων καθηκόντων, δεξιοτήτων και γνώσεων με συγκεκριμένο προφίλ ρόλου. Η χρήση του ΕΠΔΚ είναι προαιρετική για τις δημόσιες και τις ιδιωτικές οντότητες.

3.Ο ENISA μπορεί να ζητεί τη γνώμη των συμφεροντούχων κατά την ανάπτυξη και την υιοθέτηση διάδοση του ΕΠΔΚ.

4.Ο ENISA αξιολογεί την ανάγκη επικαιροποίησης του ΕΠΔΚ σε τακτική βάση και, κατά περίπτωση, το επικαιροποιεί.

Άρθρο 20
Ανάπτυξη, έγκριση και συντήρηση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας

1.Ο ENISA αναπτύσσει, εγκρίνει και συντηρεί σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας. Η χρήση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας είναι προαιρετική για τους εθνικούς δημόσιους φορείς και τις ιδιωτικές οντότητες, εκτός εάν ορίζεται διαφορετικά στο εθνικό δίκαιο.

2.Πριν από τη δρομολόγηση νέου σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, ο ENISA ζητεί τη γνώμη της Επιτροπής. Ο ENISA εγκρίνει ένα τέτοιο σχήμα μόνο κατόπιν θετικής γνώμης της Επιτροπής. Κατά την επεξεργασία σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, ο ENISA μπορεί να ζητεί τη γνώμη σχετικών συμφεροντούχων.

3.Ένα σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας περιλαμβάνει τα ακόλουθα:

α)το αντικείμενο και το πεδίο εφαρμογής του σχήματος βεβαίωσης με βάση τα προφίλ ρόλων του ΕΠΔΚ ή υποσύνολα αυτών·

β)τις απαιτήσεις που ισχύουν για τα άτομα που έχουν εκπαιδευτεί να διενεργούν αξιολογήσεις (στο εξής: αξιολογητές) σύμφωνα με το άρθρο 21, τις απαραίτητες δεξιότητες, γνώσεις και πείρα, καθώς και τις μεθόδους κατάρτισης·

γ)ανάλυση της διείσδυσης στην αγορά ειδικά για κάθε σχήμα βεβαίωσης·

δ)τα μαθησιακά αποτελέσματα, τις μεθόδους αξιολόγησης και τις προϋποθέσεις που χρησιμοποιούν οι αδειοδοτημένοι πάροχοι βεβαιώσεων για την αξιολόγηση της απόδειξης των απαιτούμενων δεξιοτήτων ενός φυσικού προσώπου σύμφωνα με το άρθρο 21·

ε)όπου αρμόζει, ένα ή περισσότερα επίπεδα επάρκειας·

στ)κανόνες σχετικά με την τήρηση αρχείων από αδειοδοτημένους παρόχους βεβαιώσεων·

ζ)το περιεχόμενο και τον μορφότυπο των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, λαμβανομένου δεόντως υπόψη του άρθρου 21 παράγραφος 5 στοιχείο ε)·

η)τη μέγιστη περίοδο ισχύος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας που εκδίδεται δυνάμει του σχήματος βεβαίωσης.

4.Ένα σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας μπορεί να περιλαμβάνει το ενδεικτικό κόστος μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.

5.Ο ENISA διασφαλίζει τη στενή συνεργασία με τα κράτη μέλη καθ’ όλη τη διάρκεια της επεξεργασίας των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.

6.Η τροποποίηση ενός σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας δεν επηρεάζει την άδεια που χορηγείται σύμφωνα με το άρθρο 22 παράγραφος 3 στοιχείο α), η οποία παραμένει σε ισχύ για την περίοδο για την οποία χορηγείται.

Άρθρο 21
Αδειοδοτημένοι πάροχοι βεβαιώσεων

1.Οι αδειοδοτημένοι πάροχοι βεβαιώσεων αξιολογούν αν φυσικά πρόσωπα πληρούν τις απαιτήσεις σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και, όταν πληρούνται οι εν λόγω απαιτήσεις, εκδίδουν ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας. Οι πάροχοι βεβαιώσεων μπορούν να διαθέτουν περισσότερες από μία άδειες, καθεμία από τις οποίες έχει χορηγηθεί για ένα σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.

2.Ο ENISA παρέχει καθοδήγηση και υποχρεωτική κατάρτιση στους αξιολογητές σχετικά με τις απαιτήσεις και τις μεθόδους αξιολόγησης που περιλαμβάνονται στο σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, όπως αναφέρεται στο άρθρο 20 παράγραφος 3 στοιχείο β).

3.Οι οντότητες που επιθυμούν να αποκτήσουν την ιδιότητα του αδειοδοτημένου παρόχου βεβαιώσεων ή να ανανεώσουν την άδειά τους (στο εξής: αιτούντες) υποβάλλουν αίτηση στον ENISA. Πληρούν τις ακόλουθες προϋποθέσεις:

α)διαθέτουν νομική προσωπικότητα·

β)είναι σε θέση να εκτελούν τα καθήκοντα που ορίζονται στον παρόντα κανονισμό σε σχέση με τις ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας, ανεξάρτητα από το αν η αξιολόγηση διενεργείται από τον ίδιο τον αδειοδοτημένο πάροχο βεβαιώσεων ή για λογαριασμό του και υπό την ευθύνη του·

γ)διαθέτουν τα αναγκαία μέσα για την εκτέλεση των τεχνικών και διοικητικών καθηκόντων που συνδέονται με το σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας με κατάλληλο τρόπο και έχουν πρόσβαση σε κάθε αναγκαίο εξοπλισμό και εγκατάσταση.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο β), οποιαδήποτε υπεργολαβική ανάθεση σε εξωτερικό προσωπικό ή διαβούλευση με αυτό τεκμηριώνεται κατάλληλα, δεν περιλαμβάνει κανένα διαμεσολαβητή και διέπεται από γραπτή συμφωνία η οποία καλύπτει, μεταξύ άλλων, τα ζητήματα της εμπιστευτικότητας και της σύγκρουσης συμφερόντων.

4.Οι αιτούντες δεν είναι προμηθευτές υψηλού κινδύνου.

5.Οι αδειοδοτημένοι πάροχοι βεβαιώσεων πληρούν τις ακόλουθες υποχρεώσεις:

α)για την εφαρμογή κάθε σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας:

θ)έχουν στη διάθεσή τους τους απαραίτητους αξιολογητές και το αναγκαίο προσωπικό για την έγκαιρη εκτέλεση των δραστηριοτήτων τους, όπως καθορίζονται στο εν λόγω σχήμα·

ii)διασφαλίζουν ότι οι αξιολογητές τηρούν το επαγγελματικό απόρρητο, είναι αμερόληπτοι και εκτελούν την εργασία τους ανεξάρτητα και με τον υψηλότερο βαθμό επαγγελματικής ακεραιότητας·

iii)διαθέτουν γραπτές διαδικασίες για την άσκηση των δραστηριοτήτων τους στο πλαίσιο του σχήματος για το οποίο έχουν αδειοδοτηθεί·

β)δεν αξιολογούν ούτε εκδίδουν ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας στους δικούς τους αξιολογητές·

γ)μεριμνούν, κατά περίπτωση με τη θέσπιση κατάλληλων διασφαλίσεων, ώστε οι αξιολογητές τους να μπορούν να εκτελούν την εργασία τους ανεξάρτητα, ιδίως όταν τα εν λόγω άτομα ανήκουν στη δική τους δομή ή είναι υπάλληλοι ή εκπαιδευόμενοι σε μια τέτοια δομή·

δ)δεν συμμετέχουν σε καμία δραστηριότητα που ενδέχεται να έρχεται σε σύγκρουση με την ανεξαρτησία της κρίσης ή την ακεραιότητα των αξιολογητών τους·

ε)διασφαλίζουν ότι, κατόπιν αιτήματος φυσικού προσώπου, οι ηλεκτρονικές βεβαιώσεις των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας εκδίδονται ως ηλεκτρονικές βεβαιώσεις χαρακτηριστικών σε μορφότυπο που μπορεί να αποθηκευτεί στα ευρωπαϊκά πορτοφόλια ψηφιακής ταυτότητας που καθορίζονται στον κανονισμό (ΕΕ) αριθ. 910/2014.

6.Οι αδειοδοτημένοι πάροχοι βεβαιώσεων ενημερώνουν αμέσως τον ENISA εάν οποιαδήποτε από τις απαιτήσεις που απαριθμούνται στις παραγράφους 3 και 4 ή τις υποχρεώσεις που απαριθμούνται στην παράγραφο 5 δεν πληρούται πλέον ή εάν προκύψει οποιαδήποτε αμφιβολία για το αν πληρούνται οι εν λόγω απαιτήσεις ή υποχρεώσεις, μεταξύ άλλων όσον αφορά την ανεξαρτησία των αξιολογητών.

7.Οι αδειοδοτημένοι πάροχοι βεβαιώσεων μπορούν να ζητούν την καταβολή τέλους από φυσικά πρόσωπα για την αξιολόγηση και την έκδοση των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, λαμβανομένου υπόψη του ενδεικτικού κόστους μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το άρθρο 20 παράγραφος 4, το οποίο δημοσιοποιείται σε ειδικό ιστότοπο σύμφωνα με το άρθρο 23 στοιχείο δ).

8.Οι αιτούντες και οι αδειοδοτημένοι πάροχοι βεβαιώσεων επιτρέπουν στον ENISA να διενεργεί αξιολογήσεις στο πλαίσιο της διαδικασίας υποβολής αιτήσεων ή της διατήρησης της αδειοδότησης και κοινοποιούν όλες τις σχετικές πληροφορίες ώστε να διασφαλίζεται ότι πληρούνται ή εξακολουθούν να πληρούνται οι απαιτήσεις που ορίζονται στις παραγράφους 3 και 4 ή οι υποχρεώσεις που ορίζονται στην παράγραφο 5, σύμφωνα με το άρθρο 22 παράγραφος 2.

Άρθρο 22
Εξέταση των αιτήσεων για την απόκτηση της ιδιότητας του αδειοδοτημένου παρόχου βεβαιώσεων και διατήρηση αδειών

1.Οι αιτούντες καταβάλλουν τέλος στον ENISA για την εξέταση της αίτησής τους. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων καταβάλλουν τέλος στον ENISA για τη διατήρηση της άδειάς τους.

2.Ο ENISA αξιολογεί κατά πόσον οι απαιτήσεις που καθορίζονται στο άρθρο 21 παράγραφοι 3 και 4 και οι υποχρεώσεις που καθορίζονται στο άρθρο 21 παράγραφος 5 πληρούνται ή εξακολουθούν να πληρούνται από τους αιτούντες και τους αδειοδοτημένους παρόχους βεβαιώσεων.

3.Μετά την εξέταση αίτησης με βάση τις απαιτήσεις που καθορίζονται στο άρθρο 21 παράγραφοι 3 και 4, ο ENISA μπορεί να εκδώσει μια από τις ακόλουθες αποφάσεις:

α)χορήγηση στον αιτούντα της ιδιότητας του αδειοδοτημένου παρόχου βεβαιώσεων ή ανανέωσή της·

β)απόρριψη της αίτησης για απόκτηση της ιδιότητας του αδειοδοτημένου παρόχου βεβαιώσεων ή μη ανανέωσή της·

γ)περάτωση της επεξεργασίας της αίτησης λόγω αδράνειας του αιτούντος κατόπιν αιτήματος του ENISA για συμπληρωματικές πληροφορίες.

Ο ENISA μπορεί να τροποποιεί, να αναστέλλει ή να ανακαλεί τις εν λόγω αποφάσεις βάσει της αξιολόγησής του σύμφωνα με το άρθρο 22 παράγραφος 2 ή στην περίπτωση που αναφέρεται στο άρθρο 21 παράγραφος 6.

4.Ο ENISA εκδίδει την απόφαση που αναφέρεται στην παράγραφο 3 εντός τριών μηνών από την ημερομηνία υποβολής αίτησης σύμφωνα με το άρθρο 21 παράγραφος 3. Ο ENISA, όταν ζητεί από τον αιτούντα συμπληρωματικές πληροφορίες, εκδίδει την απόφαση που αναφέρεται στην παράγραφο 3 εντός ενός μήνα από τη λήψη των συμπληρωματικών πληροφοριών.

5.Η απόφαση που αναφέρεται στην παράγραφο 3 στοιχείο α) έχει μέγιστη διάρκεια τριών ετών και αναφέρει το καταβλητέο τέλος που σχετίζεται με την ετήσια διατήρηση της άδειας.

6.Ο ENISA διασφαλίζει ότι οι δραστηριότητές του που σχετίζονται με την ανάπτυξη και την έγκριση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, όπως καθορίζονται στο άρθρο 20, είναι αυστηρά διαχωρισμένες και διεξάγονται ανεξάρτητα από τις δραστηριότητες που σχετίζονται με την εξέταση αιτήσεων και τις αξιολογήσεις που καθορίζονται στις παραγράφους 2 και 3 του παρόντος άρθρου.

Άρθρο 23
Ενημέρωση του κοινού

Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει ενημέρωση στο κοινό σχετικά με:

α)το ΕΠΔΚ, συμπεριλαμβανομένων του πλαισίου και του χρονοδιαγράμματος επικαιροποίησής του·

β)τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, την πρόοδό τους και τα χρονοδιαγράμματα για την ανάπτυξή τους·

γ)τα τέλη που σχετίζονται με κάθε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας που εγκρίνεται σύμφωνα με το άρθρο 47 του παρόντος κανονισμού·

δ)το ενδεικτικό κόστος μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το άρθρο 20 παράγραφος 4·

ε)τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων.

Κεφάλαιο III 
Οργάνωση του ENISA

Άρθρο 24
Δομή της διοίκησης και της διαχείρισης του ENISA

Η δομή διοίκησης και διαχείρισης του ENISA περιλαμβάνει τα εξής:

α)το διοικητικό συμβούλιο, το οποίο ασκεί τις αρμοδιότητες που καθορίζονται στο άρθρο 28·

β)το εκτελεστικό συμβούλιο, το οποίο ασκεί τις αρμοδιότητες που καθορίζονται στο άρθρο 30·

γ)τον εκτελεστικό διευθυντή, ο οποίος ασκεί τις αρμοδιότητες που καθορίζονται στο άρθρο 32·

δ)τον αναπληρωτή εκτελεστικό διευθυντή, ο οποίος ασκεί τις αρμοδιότητες που καθορίζονται στο άρθρο 34·

ε)τη συμβουλευτική ομάδα του ENISA,

στ)το συμβούλιο προσφυγών, το οποίο ασκεί τις αρμοδιότητες που καθορίζονται στα άρθρα 39 έως 42.

Τμήμα 1 
Διοικητικό Συμβούλιο

Άρθρο 25
Σύνθεση του διοικητικού συμβουλίου

1.Το διοικητικό συμβούλιο απαρτίζεται από ένα μέλος που διορίζεται από κάθε κράτος μέλος και δύο μέλη που διορίζονται από την Επιτροπή. Όλα τα μέλη έχουν δικαίωμα ψήφου.

2.Για κάθε μέλος του διοικητικού συμβουλίου υπάρχει αναπληρωματικό μέλος. Τα αναπληρωματικά μέλη εκπροσωπούν τα τακτικά μέλη σε περίπτωση απουσίας τους.

3.Κάθε κράτος μέλος διορίζει τον επικεφαλής εθνικής αρμόδιας αρχής που έχει οριστεί σύμφωνα με το άρθρο 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 ως μέλος του διοικητικού συμβουλίου. Όταν αυτό αποδεικνύεται ανέφικτο, τα κράτη μέλη διορίζουν εκπρόσωπο υψηλού επιπέδου εθνικής αρμόδιας αρχής που έχει οριστεί σύμφωνα με το άρθρο 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 ως μέλος του διοικητικού συμβουλίου.

4.Τα μέλη που διορίζονται από την Επιτροπή και τα αναπληρωματικά μέλη του διοικητικού συμβουλίου διορίζονται με γνώμονα τη γνώση τους στον τομέα της κυβερνοασφάλειας, ενώ λαμβάνονται επίσης υπόψη οι σχετικές δεξιότητές τους στους τομείς της διαχείρισης, της διοίκησης και του προϋπολογισμού. Η Επιτροπή και τα κράτη μέλη επιδιώκουν, όσον αφορά τα αναπληρωματικά μέλη, την επίτευξη ισόρροπης εκπροσώπησης ανδρών και γυναικών στο διοικητικό συμβούλιο και πραγματοποιούν προσπάθειες ώστε να περιορίζουν την εναλλαγή τους, προκειμένου να διασφαλίζεται η συνέχεια των εργασιών του διοικητικού συμβουλίου.

5.Η θητεία των μελών που διορίζονται από τα κράτη μέλη είναι ίση με τη διάρκεια των οικείων καθηκόντων που αναφέρονται στην παράγραφο 3.

6.Η θητεία των αναπληρωματικών μελών και των μελών που διορίζονται από την Επιτροπή είναι τετραετής. Η θητεία αυτή είναι ανανεώσιμη.

Άρθρο 26
Πρόεδρος του διοικητικού συμβουλίου

1.Το διοικητικό συμβούλιο εκλέγει πρόεδρο και αντιπρόεδρο μεταξύ των μελών του που έχουν δικαίωμα ψήφου. Ο πρόεδρος και ο αντιπρόεδρος εκλέγονται με πλειοψηφία των δύο τρίτων των μελών του διοικητικού συμβουλίου που διαθέτουν δικαίωμα ψήφου.

2.Ο αντιπρόεδρος αντικαθιστά αυτομάτως τον πρόεδρο σε περίπτωση που αυτός αδυνατεί να εκτελέσει τα καθήκοντά του.

3.Η διάρκεια της θητείας του προέδρου και του αντιπροέδρου είναι τετραετής και μπορεί να ανανεωθεί μία φορά. Ωστόσο, εάν απωλέσουν την ιδιότητα του μέλους του διοικητικού συμβουλίου σε οποιαδήποτε στιγμή της θητείας τους, η θητεία τους λήγει την ίδια ημερομηνία αυτομάτως.

Άρθρο 27
Συνεδριάσεις του διοικητικού συμβουλίου

1.Ο πρόεδρος συγκαλεί τις συνεδριάσεις του διοικητικού συμβουλίου.

2.Ο εκτελεστικός διευθυντής συμμετέχει χωρίς δικαίωμα ψήφου στις συνεδριάσεις του διοικητικού συμβουλίου.

3.Το διοικητικό συμβούλιο συνέρχεται σε τακτική συνεδρίαση τουλάχιστον δύο φορές ετησίως. Επιπλέον, συνέρχεται με πρωτοβουλία του προέδρου του, κατόπιν αιτήματος της Επιτροπής ή κατόπιν αιτήματος του ενός τρίτου τουλάχιστον των μελών του.

4.Εκπρόσωπος του Ευρωπαϊκού Κέντρου Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας που συστάθηκε με τον κανονισμό (ΕΕ) 2021/887 είναι μόνιμος παρατηρητής, χωρίς δικαίωμα ψήφου, στις συνεδριάσεις του διοικητικού συμβουλίου.

5.Το διοικητικό συμβούλιο μπορεί να προσκαλεί οποιοδήποτε πρόσωπο του οποίου η γνώμη ενδέχεται να παρουσιάζει ενδιαφέρον να παραστεί σε συνεδρίαση ή σε μέρος συνεδρίασης, ως ad hoc παρατηρητής, χωρίς δικαίωμα ψήφου και με την επιφύλαξη του εσωτερικού κανονισμού του διοικητικού συμβουλίου.

6.Τα τακτικά και τα αναπληρωματικά μέλη του διοικητικού συμβουλίου μπορούν να επικουρούνται στις συνεδριάσεις του διοικητικού συμβουλίου από συμβούλους ή εμπειρογνώμονες, με την επιφύλαξη του εσωτερικού κανονισμού του διοικητικού συμβουλίου.

Άρθρο 28
Καθήκοντα του διοικητικού συμβουλίου

1.Το διοικητικό συμβούλιο:

α)καθορίζει τη γενική κατεύθυνση λειτουργίας του ENISA και διασφαλίζει ότι ο ENISA λειτουργεί σύμφωνα με τους κανόνες και τις αρχές που καθορίζονται στον παρόντα κανονισμό· επίσης, διασφαλίζει τη συνοχή των εργασιών του ENISA με τις δραστηριότητες που διεξάγονται από τα κράτη μέλη, καθώς και σε επίπεδο Ένωσης·

β)εγκρίνει το σχέδιο ενιαίου εγγράφου προγραμματισμού του ENISA που αναφέρεται στο άρθρο 44, πριν από την υποβολή του στην Επιτροπή προκειμένου αυτή να γνωμοδοτήσει σχετικά,

γ)λαμβάνοντας υπόψη τη γνώμη της Επιτροπής, εγκρίνει το ενιαίο έγγραφο προγραμματισμού του ENISA σύμφωνα με το άρθρο 29 παράγραφος 2 στοιχείο α)·

δ)επιβλέπει την εφαρμογή του πολυετούς και του ετήσιου προγράμματος που περιλαμβάνεται στο ενιαίο έγγραφο προγραμματισμού,

ε)εγκρίνει τον ετήσιο προϋπολογισμό του ENISA σύμφωνα με το άρθρο 29 παράγραφος 2 στοιχείο β) και ασκεί άλλες αρμοδιότητες σε σχέση με τον προϋπολογισμό του ENISA σύμφωνα με το κεφάλαιο IV·

στ)αξιολογεί και εγκρίνει την ενοποιημένη ετήσια έκθεση δραστηριοτήτων του ENISA, συμπεριλαμβανομένων των λογαριασμών και περιγραφής του τρόπου με τον οποίο ο ENISA έχει επιτύχει τους δείκτες επιδόσεών του· υποβάλλει τόσο την ετήσια έκθεση όσο και την αξιολόγησή της έως την 1η Ιουλίου του επόμενου έτους στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Επιτροπή και το Ευρωπαϊκό Ελεγκτικό Συνέδριο· δημοσιοποιεί την ετήσια έκθεση·

ζ)θεσπίζει τους δημοσιονομικούς κανόνες που εφαρμόζονται στον ENISA σύμφωνα με το άρθρο 50, η) χαράσσει στρατηγική καταπολέμησης της απάτης ανάλογη των κινδύνων απάτης και λαμβάνοντας υπόψη την ανάλυση κόστους-οφέλους των ληπτέων μέτρων,

η)θεσπίζει κανόνες για την πρόληψη και τη διαχείριση συγκρούσεων συμφερόντων στις οποίες εμπλέκονται τα μέλη του,

θ)μεριμνά ώστε να δοθεί η δέουσα συνέχεια στα πορίσματα και στις συστάσεις που προκύπτουν από εσωτερικές ή εξωτερικές εκθέσεις ελέγχου και αξιολογήσεις, καθώς και από τις έρευνες της Ευρωπαϊκής Υπηρεσίας Καταπολέμησης της Απάτης (στο εξής: OLAF) και της Ευρωπαϊκής Εισαγγελίας·

ι)θεσπίζει τον εσωτερικό του κανονισμό, συμπεριλαμβανομένων των κανόνων για προσωρινές αποφάσεις σχετικά με την ανάθεση συγκεκριμένων καθηκόντων, σύμφωνα με το άρθρο 30 παράγραφος 7,

ια)σύμφωνα με την παράγραφο 2 του παρόντος άρθρου, ασκεί, όσον αφορά το προσωπικό του ENISA, τις εξουσίες που ανατίθενται από τον κανονισμό υπηρεσιακής κατάστασης των υπαλλήλων της Ευρωπαϊκής Ένωσης (στο εξής: κανονισμός υπηρεσιακής κατάστασης) και από το καθεστώς που εφαρμόζεται στο λοιπό προσωπικό της Ευρωπαϊκής Ένωσης (στο εξής: καθεστώς που εφαρμόζεται στο λοιπό προσωπικό), τα οποία καθορίζονται στον κανονισμό (ΕΟΚ, Ευρατόμ, ΕΚΑΧ) αριθ. 259/68 του Συμβουλίου 73 , αντίστοιχα, στην αρμόδια για τους διορισμούς αρχή και την αρμόδια για τη σύναψη συμβάσεων αρχή (στο εξής: εξουσίες της αρμόδιας για τους διορισμούς αρχής)·

ιβ)θεσπίζει κανόνες εφαρμογής του κανονισμού υπηρεσιακής κατάστασης και του καθεστώτος που εφαρμόζεται στο λοιπό προσωπικό, σύμφωνα με το άρθρο 110 παράγραφος 2 του κανονισμού υπηρεσιακής κατάστασης·

ιγ)διορίζει τον εκτελεστικό διευθυντή και, εάν αποφασίσει να δημιουργήσει θέση αναπληρωτή εκτελεστικού διευθυντή, τον αναπληρωτή εκτελεστικό διευθυντή και, κατά περίπτωση, παρατείνει τη θητεία τους ή τους παύει από τα καθήκοντά τους σύμφωνα με το άρθρο 31·

ιδ)διορίζει υπόλογο, ο οποίος υπόκειται στον κανονισμό υπηρεσιακής κατάστασης και στο καθεστώς που εφαρμόζεται στο λοιπό προσωπικό, και είναι ανεξάρτητος κατά την εκτέλεση των καθηκόντων του·

ιε)λαμβάνει όλες τις αποφάσεις σχετικά με τη συγκρότηση των εσωτερικών δομών του ENISA και, όπου απαιτείται, σχετικά με την τροποποίηση των εν λόγω εσωτερικών δομών, συνεκτιμώντας τις ανάγκες δραστηριοτήτων του ENISA και λαμβάνοντας υπόψη τη χρηστή δημοσιονομική διαχείριση·

ιστ)εγκρίνει τη σύναψη συμφωνιών συνεργασίας όσον αφορά το άρθρο 68·

ιζ)εγκρίνει τη σύναψη συμφωνιών συνεργασίας σύμφωνα με το άρθρο 70·

ιη)διορίζει και παύει τα μέλη του συμβουλίου προσφυγών σύμφωνα με το άρθρο 29 παράγραφος 2 στοιχείο δ)·

ιθ)εκδίδει κανόνες για την πρόληψη και τη διαχείριση συγκρούσεων συμφερόντων όσον αφορά τα μέλη του συμβουλίου προσφυγών.

2.Σύμφωνα με το άρθρο 110 παράγραφος 2 του κανονισμού υπηρεσιακής κατάστασης, το διοικητικό συμβούλιο εκδίδει απόφαση με βάση το άρθρο 2 παράγραφος 1 του κανονισμού υπηρεσιακής κατάστασης και το άρθρο 6 του καθεστώτος που εφαρμόζεται στο λοιπό προσωπικό, για τη μεταβίβαση των σχετικών εξουσιών αρμόδιας για τους διορισμούς αρχής στον εκτελεστικό διευθυντή, καθώς και για τον προσδιορισμό των προϋποθέσεων με βάση τις οποίες μπορεί να ανασταλεί η εν λόγω μεταβίβαση. Ο εκτελεστικός διευθυντής έχει το δικαίωμα να μεταβιβάζει περαιτέρω τις εν λόγω εξουσίες.

3.Όταν το επιβάλλουν εξαιρετικές περιστάσεις, το διοικητικό συμβούλιο δύναται να εκδώσει απόφαση προσωρινής αναστολής της μεταβίβασης στον εκτελεστικό διευθυντή των εξουσιών αρμόδιας για τους διορισμούς αρχής και τυχόν εξουσιών αρμόδιας για τους διορισμούς αρχής που ο εκτελεστικός διευθυντής μεταβίβασε περαιτέρω και να τις ασκήσει αντ’ αυτού το ίδιο ή να τις αναθέσει σε ένα από τα μέλη του ή σε άλλο μέλος του προσωπικού πλην του εκτελεστικού διευθυντή.

Άρθρο 29
Κανόνες ψηφοφορίας του διοικητικού συμβουλίου

1.Το διοικητικό συμβούλιο λαμβάνει τις αποφάσεις του με την απόλυτη πλειοψηφία των μελών του που έχουν δικαίωμα ψήφου, εκτός εάν προβλέπεται διαφορετικά στον παρόντα κανονισμό.

2.Απαιτείται πλειοψηφία δύο τρίτων των μελών του διοικητικού συμβουλίου με δικαίωμα ψήφου για:

α)την έγκριση του ενιαίου εγγράφου προγραμματισμού που αναφέρεται στο άρθρο 28 παράγραφος 1 στοιχείο γ)·

β) την έγκριση του ετήσιου προϋπολογισμού που αναφέρεται στο άρθρο 28 παράγραφος 1 στοιχείο ε)·

γ) τον διορισμό, την παράταση της θητείας ή την παύση του εκτελεστικού διευθυντή και του αναπληρωτή εκτελεστικού διευθυντή, όπως αναφέρεται στα άρθρα 31 και 33·

δ)τον διορισμό και την παύση των μελών του συμβουλίου προσφυγών, όπως αναφέρεται στο άρθρο 36.

3.Οι αποφάσεις για θέματα προϋπολογισμού ή ανθρώπινων πόρων, ειδικότερα για τα θέματα που αναφέρονται στο άρθρο 28 παράγραφος 1 στοιχεία γ), ε), στ), ζ), η), θ), ια), ιβ), ιγ) και ιδ) εγκρίνονται μόνον εάν οι εκπρόσωποι της Επιτροπής ψηφίσουν θετικά. Για τους σκοπούς της λήψης των αποφάσεων που αναφέρονται στο άρθρο 28 παράγραφος 1 στοιχείο γ) σχετικά με το ενιαίο έγγραφο προγραμματισμού του ENISA, απαιτείται θετική ψήφος του εκπροσώπου της Επιτροπής μόνο για τα στοιχεία της απόφασης που δεν σχετίζονται με το ετήσιο και το πολυετές πρόγραμμα εργασίας του ENISA.

4.Κάθε μέλος με δικαίωμα ψήφου διαθέτει μία ψήφο. Σε περίπτωση απουσίας μέλους με δικαίωμα ψήφου, το δικαίωμα ψήφου του δικαιούται να ασκήσει ο αναπληρωτής του.

5.Ο πρόεδρος του διοικητικού συμβουλίου συμμετέχει στην ψηφοφορία.

6.Ο εκτελεστικός διευθυντής δεν συμμετέχει στην ψηφοφορία.

7.Λεπτομερέστερες ρυθμίσεις σχετικά με την ψηφοφορία, ιδίως όσον αφορά τις προϋποθέσεις υπό τις οποίες ένα μέλος μπορεί να ενεργεί για λογαριασμό άλλου μέλους, καθορίζονται στον εσωτερικό κανονισμό του διοικητικού συμβουλίου.

Τμήμα 2 
Εκτελεστικό συμβούλιο

Άρθρο 30
Εκτελεστικό συμβούλιο

1.Το διοικητικό συμβούλιο επικουρείται από το εκτελεστικό συμβούλιο.

2.Το εκτελεστικό συμβούλιο:

α)προετοιμάζει τις αποφάσεις που λαμβάνει το διοικητικό συμβούλιο,

β)από κοινού με το διοικητικό συμβούλιο, μεριμνά ώστε να δίνεται η δέουσα συνέχεια σε πορίσματα και συστάσεις που απορρέουν από τις εσωτερικές ή εξωτερικές εκθέσεις ελέγχου και τις αξιολογήσεις, καθώς και από έρευνες της OLAF και της Ευρωπαϊκής Εισαγγελίας·

γ)με την επιφύλαξη των αρμοδιοτήτων του εκτελεστικού διευθυντή που καθορίζονται στο άρθρο 32, επικουρεί και συμβουλεύει τον εκτελεστικό διευθυντή στην εφαρμογή των αποφάσεων του διοικητικού συμβουλίου, ώστε να ενισχύεται η εποπτεία της διοικητικής και της δημοσιονομικής διαχείρισης.

3.Το εκτελεστικό συμβούλιο απαρτίζεται από τον πρόεδρο του διοικητικού συμβουλίου, έναν εκπρόσωπο της Επιτροπής στο διοικητικό συμβούλιο και τρία άλλα μέλη που ορίζονται από το διοικητικό συμβούλιο μεταξύ των μελών του με δικαίωμα ψήφου. Ο πρόεδρος του διοικητικού συμβουλίου προεδρεύει και του εκτελεστικού συμβουλίου. Οι διορισμοί των μελών του εκτελεστικού συμβουλίου επιδιώκουν την ισόρροπη εκπροσώπηση των φύλων στο εκτελεστικό συμβούλιο. Ο εκτελεστικός διευθυντής συμμετέχει στις συνεδριάσεις του εκτελεστικού συμβουλίου, χωρίς δικαίωμα ψήφου.

4.Η διάρκεια της θητείας των μελών του εκτελεστικού συμβουλίου είναι τετραετής. Η θητεία αυτή είναι ανανεώσιμη. Η θητεία των μελών του εκτελεστικού συμβουλίου λήγει όταν παύουν να είναι μέλη του διοικητικού συμβουλίου.

5.Το εκτελεστικό συμβούλιο πραγματοποιεί τουλάχιστον μία τακτική συνεδρίαση κάθε τρεις μήνες. Επιπλέον, συνέρχεται με πρωτοβουλία του προέδρου του ή κατόπιν αιτήματος των μελών του.

6.Το διοικητικό συμβούλιο θεσπίζει τον εσωτερικό κανονισμό του εκτελεστικού συμβουλίου.

7.Όταν καθίσταται απαραίτητο, λόγω έκτακτης ανάγκης, το εκτελεστικό συμβούλιο δύναται να λάβει ορισμένες προσωρινές αποφάσεις εξ ονόματος του διοικητικού συμβουλίου, ιδίως σε θέματα διοικητικής διαχείρισης, συμπεριλαμβανομένης της αναστολής της μεταβίβασης εξουσιών αρμόδιας για τους διορισμούς αρχής, καθώς και σε θέματα προϋπολογισμού. Οποιεσδήποτε τέτοιες προσωρινές αποφάσεις κοινοποιούνται στο διοικητικό συμβούλιο χωρίς άσκοπη καθυστέρηση. Το διοικητικό συμβούλιο στη συνέχεια αποφασίζει την έγκριση ή την απόρριψη της προσωρινής απόφασης το αργότερο τρεις μήνες μετά τη λήψη της εν λόγω απόφασης. Το εκτελεστικό συμβούλιο δεν λαμβάνει αποφάσεις εκ μέρους του διοικητικού συμβουλίου οι οποίες απαιτούν την έγκριση πλειοψηφίας δύο τρίτων των μελών του διοικητικού συμβουλίου με δικαίωμα ψήφου.

Τμήμα 3 
Εκτελεστικός διευθυντής

Άρθρο 31
Διορισμός, παύση και παράταση της θητείας

1.Ο εκτελεστικός διευθυντής διορίζεται από το διοικητικό συμβούλιο με βάση τα προσόντα και τις δεξιότητές του, βάσει καταλόγου υποψηφίων που προτείνει η Επιτροπή, με ανοιχτή και διαφανή διαδικασία επιλογής.

2.Πριν από τον διορισμό, ο υποψήφιος που έχει επιλεγεί από το διοικητικό συμβούλιο καλείται να προβεί σε δήλωση ενώπιον της σχετικής επιτροπής του Ευρωπαϊκού Κοινοβουλίου και να απαντήσει σε ερωτήσεις των βουλευτών.

3.Ο εκτελεστικός διευθυντής προσλαμβάνεται ως έκτακτος υπάλληλος του ENISA βάσει του άρθρου 2 στοιχείο α) του καθεστώτος που εφαρμόζεται στο λοιπό προσωπικό.

4.Για τη σύναψη της σύμβασης με τον εκτελεστικό διευθυντή, ο ENISA εκπροσωπείται από τον πρόεδρο του διοικητικού συμβουλίου.

5.Η θητεία του εκτελεστικού διευθυντή είναι πενταετής. Εγκαίρως πριν από τη λήξη αυτής της περιόδου, η Επιτροπή διεξάγει αξιολόγηση, στην οποία λαμβάνονται υπόψη η αποτίμηση των επιδόσεων του εκτελεστικού διευθυντή, καθώς και τα μελλοντικά καθήκοντα και οι προκλήσεις του ENISA.

6.Το διοικητικό συμβούλιο μπορεί, με βάση πρόταση της Επιτροπής στην οποία λαμβάνεται υπόψη η αξιολόγηση που αναφέρεται στην παράγραφο 5, να παρατείνει άπαξ για μια πενταετία τη θητεία του εκτελεστικού διευθυντή.

7.Εκτελεστικός διευθυντής του οποίου η θητεία έχει παραταθεί δεν μπορεί να συμμετάσχει σε άλλη διαδικασία επιλογής για την ίδια θέση στο τέλος της συνολικής περιόδου.

8.Το διοικητικό συμβούλιο γνωστοποιεί στο Ευρωπαϊκό Κοινοβούλιο την πρόθεσή του να παρατείνει τη θητεία του εκτελεστικού διευθυντή σύμφωνα με την παράγραφο 6. Μέσα σε διάστημα τριών μηνών πριν από την παράταση της θητείας του, ο εκτελεστικός διευθυντής προβαίνει, αν λάβει σχετική πρόσκληση, σε δήλωση ενώπιον της σχετικής επιτροπής του Ευρωπαϊκού Κοινοβουλίου και απαντά σε ερωτήσεις των βουλευτών.

9.Ο εκτελεστικός διευθυντής μπορεί να απαλλαγεί από τα καθήκοντά του μόνο με απόφαση του διοικητικού συμβουλίου, κατόπιν πρότασης της Επιτροπής.

Άρθρο 32
Καθήκοντα και αρμοδιότητες του εκτελεστικού διευθυντή

1.Ο εκτελεστικός διευθυντής διαχειρίζεται τον ENISA και λογοδοτεί στο διοικητικό συμβούλιο.

2.Ο εκτελεστικός διευθυντής είναι ανεξάρτητος κατά την εκτέλεση των καθηκόντων του και δεν ζητεί ούτε δέχεται υποδείξεις από καμία κυβέρνηση ή άλλον φορέα.

3.Ο εκτελεστικός διευθυντής υποβάλλει έκθεση στο Ευρωπαϊκό Κοινοβούλιο σχετικά με την εκτέλεση των καθηκόντων του κατόπιν σχετικού αιτήματος. Το Συμβούλιο μπορεί να καλέσει τον εκτελεστικό διευθυντή να υποβάλει έκθεση σχετικά με την εκτέλεση των καθηκόντων του.

4.Ο εκτελεστικός διευθυντής είναι ο νόμιμος εκπρόσωπος του ENISA.

5.Ο εκτελεστικός διευθυντής είναι υπεύθυνος για την εκτέλεση των καθηκόντων που ανατίθενται στον ENISA δυνάμει του παρόντος κανονισμού. Ειδικότερα, ο εκτελεστικός διευθυντής μεριμνά για τα εξής:

α)την τρέχουσα διοίκηση του ENISA·

β)την εκτέλεση των αποφάσεων που έχουν εγκριθεί από το διοικητικό συμβούλιο,

γ)τη συμμόρφωση με τους δημοσιονομικούς κανόνες του ENISA·

δ)την εκπόνηση του σχεδίου ενιαίου εγγράφου προγραμματισμού και την υποβολή του στο διοικητικό συμβούλιο προς έγκριση, πριν από την υποβολή του στην Επιτροπή για γνωμοδότηση,

ε)την εφαρμογή του ενιαίου εγγράφου προγραμματισμού και την υποβολή έκθεσης σχετικά με την εφαρμογή του στο διοικητικό συμβούλιο·

στ)την κατάρτιση της ενοποιημένης ετήσιας έκθεσης δραστηριοτήτων του ENISA, συμπεριλαμβανομένης της υλοποίησης του ετήσιου προγράμματος εργασίας του ENISA, και την υποβολή της στο διοικητικό συμβούλιο προς αξιολόγηση και έγκριση·

ζ)την κατάρτιση σχεδίου δράσης με το οποίο δίνεται συνέχεια στα συμπεράσματα των αναδρομικών αξιολογήσεων του ENISA, όπως αναφέρεται στο άρθρο 121, και την υποβολή έκθεσης προόδου στην Επιτροπή ανά διετία·

η)την εκπόνηση σχεδίου δράσης με το οποίο δίνεται συνέχεια στα συμπεράσματα των εσωτερικών ή εξωτερικών εκθέσεων ελέγχου και των αξιολογήσεων, καθώς και των ερευνών της OLAF και της Ευρωπαϊκής Εισαγγελίας, και την υποβολή έκθεσης προόδου στην Επιτροπή δύο φορές κατ’ έτος και στο διοικητικό συμβούλιο κατά τακτά χρονικά διαστήματα·

θ)την κατάρτιση του σχεδίου δημοσιονομικών κανόνων που εφαρμόζονται στον ENISA σύμφωνα με το άρθρο 50·

ι)την κατάρτιση σχεδίου κατάστασης των εκτιμώμενων εσόδων και δαπανών του ENISA και την εκτέλεση του προϋπολογισμού του·

ια)την προάσπιση των οικονομικών συμφερόντων της Ένωσης μέσω της εφαρμογής προληπτικών μέτρων κατά της απάτης, της διαφθοράς και κάθε άλλης παράνομης δραστηριότητας, χωρίς να διακυβεύεται η ερευνητική αρμοδιότητα της OLAF και της Ευρωπαϊκής Εισαγγελίας, μέσω αποτελεσματικών ελέγχων και, σε περίπτωση που εντοπίζονται παρατυπίες, μέσω της ανάκτησης αχρεωστήτως καταβληθέντων ποσών και, εάν ενδείκνυται, μέσω της επιβολής αποτελεσματικών, αναλογικών και αποτρεπτικών διοικητικών και οικονομικών κυρώσεων·

ιβ)την εκπόνηση στρατηγικής για την καταπολέμηση της απάτης, στρατηγικής συνεργειών και βελτίωσης της αποδοτικότητας, στρατηγικής συνεργασίας με τρίτες χώρες ή διεθνείς οργανισμούς, καθώς και στρατηγικής για τα συστήματα οργανωτικής διαχείρισης και εσωτερικού ελέγχου του ENISA, και την υποβολή τους στο διοικητικό συμβούλιο προς έγκριση·

ιγ)την ανάπτυξη και διατήρηση επαφών με την επιχειρηματική κοινότητα και τις ενώσεις καταναλωτών, ώστε να εξασφαλίζεται τακτικός διάλογος με τους σχετικούς συμφεροντούχους,

ιδ)την τακτική ανταλλαγή απόψεων και πληροφοριών με αρμόδιες οντότητες της Ένωσης όσον αφορά τις δραστηριότητές τους που σχετίζονται με την κυβερνοασφάλεια, ώστε να διασφαλίζεται η συνοχή κατά την εφαρμογή της πολιτικής της Ένωσης στον εν λόγω τομέα·

ιε)την προώθηση της πολυμορφίας και της ισόρροπης εκπροσώπησης των φύλων κατά την πρόσληψη του προσωπικού του ENISA·

ιστ)την έγκριση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, όπως αναφέρεται στο άρθρο 20 παράγραφος 1·

ιζ)την έκδοση αποφάσεων σχετικά με τους αιτούντες που επιθυμούν να καταστούν αδειοδοτημένοι πάροχοι βεβαιώσεων ή να ανανεώσουν την άδειά τους, όπως αναφέρεται στο άρθρο 22 παράγραφος 3·

ιη)την εκτέλεση άλλων καθηκόντων που ανατίθενται στον εκτελεστικό διευθυντή δυνάμει του παρόντος κανονισμού.

6.Εφόσον κρίνεται αναγκαίο, και στο πλαίσιο της εντολής του ENISA, ο εκτελεστικός διευθυντής μπορεί να συγκροτεί ad hoc ομάδες εργασίας οι οποίες απαρτίζονται από εμπειρογνώμονες, μεταξύ άλλων εμπειρογνώμονες από τις αρμόδιες αρχές των κρατών μελών. Ο εκτελεστικός διευθυντής ενημερώνει σχετικά το διοικητικό συμβούλιο εκ των προτέρων. Οι διαδικασίες, ιδίως όσον αφορά τη σύνθεση των ομάδων εργασίας, τον διορισμό των εμπειρογνωμόνων των ομάδων εργασίας από τον εκτελεστικό διευθυντή και τη λειτουργία των ομάδων εργασίας, προσδιορίζονται στους εσωτερικούς κανόνες λειτουργίας του ENISA.

7.Όποτε απαιτείται, για την αποτελεσματική και επαρκή άσκηση των καθηκόντων του ENISA και με βάση κατάλληλη ανάλυση κόστους-οφέλους, ο εκτελεστικός διευθυντής μπορεί να αποφασίσει την εγκαθίδρυση ενός ή περισσότερων τοπικών γραφείων σε ένα ή περισσότερα κράτη μέλη. Προτού λάβει απόφαση για εγκαθίδρυση τοπικού γραφείου, ο εκτελεστικός διευθυντής ζητεί τη γνώμη των σχετικών κρατών μελών, συμπεριλαμβανομένου του κράτους μέλους όπου βρίσκεται η έδρα του ENISA, και λαμβάνει εκ των προτέρων τη συγκατάθεση της Επιτροπής και του διοικητικού συμβουλίου. Σε περίπτωση διαφωνίας κατά τη διαδικασία διαβούλευσης μεταξύ του εκτελεστικού διευθυντή και των σχετικών κρατών μελών, το θέμα τίθεται προς συζήτηση στο Συμβούλιο. Ο αθροισμένος αριθμός των μελών του προσωπικού σε όλα τα τοπικά γραφεία διατηρείται στο ελάχιστον και δεν υπερβαίνει το 40 % του συνολικού αριθμού των μελών του προσωπικού του ENISA που βρίσκεται στο κράτος μέλος όπου βρίσκεται η έδρα του ENISA. Ο αριθμός των μελών του προσωπικού σε κάθε τοπικό γραφείο δεν υπερβαίνει το 10 % του συνολικού αριθμού των μελών του προσωπικού του ENISA που βρίσκεται στο κράτος μέλος όπου βρίσκεται η έδρα του ENISA.

8.Στην απόφαση ίδρυσης τοπικού γραφείου διευκρινίζεται το πεδίο εφαρμογής των δραστηριοτήτων που πρόκειται να αναλάβει το τοπικό γραφείο, ώστε να αποφεύγεται το αδικαιολόγητο κόστος και η επικάλυψη διοικητικών καθηκόντων του ENISA.

Τμήμα 4 
Αναπληρωτής εκτελεστικός διευθυντής

Άρθρο 33
Αναπληρωτής εκτελεστικός διευθυντής

1.Το διοικητικό συμβούλιο μπορεί να αποφασίσει τη δημιουργία θέσης αναπληρωτή εκτελεστικού διευθυντή, ο οποίος θα επικουρεί τον εκτελεστικό διευθυντή.

2.Σε περίπτωση που το διοικητικό συμβούλιο αποφασίσει να δημιουργήσει θέση αναπληρωτή εκτελεστικού διευθυντή, οι διατάξεις του άρθρου 31 εφαρμόζονται αναλόγως στον αναπληρωτή εκτελεστικό διευθυντή.

Άρθρο 34
Καθήκοντα και αρμοδιότητες του αναπληρωτή εκτελεστικού διευθυντή

Ο αναπληρωτής εκτελεστικός διευθυντής επικουρεί τον εκτελεστικό διευθυντή στη διαχείριση του ENISA και στην εκτέλεση των καθηκόντων που αναφέρονται στο άρθρο 32. Σε περίπτωση απουσίας ή κωλύματος του εκτελεστικού διευθυντή, ή χηρείας της θέσης, ο αναπληρωτής εκτελεστικός διευθυντής τον αναπληρώνει κατά τη διάρκεια της απουσίας ή μέχρι την πλήρωση της θέσης.

Τμήμα 5 
Συμβουλευτική ομάδα του ENISA

Άρθρο 35
Συμβουλευτική ομάδα του ENISA

1.Το διοικητικό συμβούλιο, κατόπιν πρότασης του εκτελεστικού διευθυντή, συγκροτεί με διαφάνεια τη συμβουλευτική ομάδα του ENISA. Η συμβουλευτική ομάδα του ENISA απαρτίζεται από αναγνωρισμένους εμπειρογνώμονες που εκπροσωπούν σχετικούς συμφεροντούχους, όπως τον κλάδο της κυβερνοασφάλειας, τον κλάδο των ΤΠΕ, μικρομεσαίες επιχειρήσεις, οντότητες που δραστηριοποιούνται στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, κατασκευαστές προϊόντων με ψηφιακά στοιχεία και υποστηρικτές λογισμικού ανοικτού κώδικα κατά την έννοια του κανονισμού (ΕΕ) 2024/2847, οργανισμούς αξιολόγησης της συμμόρφωσης που κοινοποιούνται βάσει του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στο άρθρο 93 και στον κανονισμό (ΕΕ) 2024/2847, οντότητες που δραστηριοποιούνται στον τομέα των μέσων ηλεκτρονικής ταυτοποίησης, ομάδες καταναλωτών, ακαδημαϊκούς εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας, ευρωπαϊκούς οργανισμούς τυποποίησης, καθώς και εποπτικές αρχές σε θέματα επιβολής του νόμου και προστασίας των δεδομένων. Οι εν λόγω αναγνωρισμένοι εμπειρογνώμονες είναι υπήκοοι των κρατών μελών. Το διοικητικό συμβούλιο επιδιώκει να διασφαλίζει κατάλληλη ισορροπία των φύλων και γεωγραφική ισορροπία, καθώς και ισορροπία μεταξύ των διαφόρων ομάδων συμφεροντούχων.

2.Οι διαδικασίες της συμβουλευτικής ομάδας του ENISA, ιδίως όσον αφορά τη σύνθεσή του, την πρόταση του εκτελεστικού διευθυντή που αναφέρεται στην παράγραφο 1, τον αριθμό και τον διορισμό των μελών της, καθώς και τη λειτουργία της συμβουλευτικής ομάδας του ENISA, καθορίζονται στους εσωτερικούς κανόνες λειτουργίας του ENISA και δημοσιοποιούνται.

3.Πρόεδρος της συμβουλευτικής ομάδας του ENISA είναι ο εκτελεστικός διευθυντής ή άλλο πρόσωπο διορισμένο από τον εκτελεστικό διευθυντή κατά περίπτωση.

4.Η διάρκεια της θητείας των μελών της συμβουλευτικής ομάδας του ENISA είναι δυόμισι έτη, με δυνατότητα ανανέωσης μία φορά. Τα μέλη του διοικητικού συμβουλίου δεν είναι μέλη της συμβουλευτικής ομάδας του ENISA. Οι εμπειρογνώμονες της Επιτροπής και των κρατών μελών έχουν δικαίωμα να παρίστανται στις συνεδριάσεις της συμβουλευτικής ομάδας του ENISA και να συμμετέχουν στις εργασίες της. Ο εκτελεστικός διευθυντής μπορεί να προσκαλεί εκπροσώπους άλλων φορέων που δεν είναι μέλη της συμβουλευτικής ομάδας του ENISA να παρίστανται σε συνεδριάσεις της συμβουλευτικής ομάδας του ENISA και να συμμετέχουν στις εργασίες της.

5.Η συμβουλευτική ομάδα του ENISA συμβουλεύει τον ENISA για την εκτέλεση των καθηκόντων του ENISA, με εξαίρεση την εφαρμογή των διατάξεων των τίτλων III, IV και V του παρόντος κανονισμού. Παρέχει συμβουλές ειδικότερα στον εκτελεστικό διευθυντή κατά την κατάρτιση πρότασης για το ετήσιο πρόγραμμα εργασίας του ENISA και για τη διασφάλιση της επικοινωνίας με τους σχετικούς συμφεροντούχους επί των θεμάτων που σχετίζονται με το ετήσιο πρόγραμμα εργασίας.

6.Η συμβουλευτική ομάδα του ENISA ενημερώνει τακτικά το διοικητικό συμβούλιο για τις δραστηριότητές της.

7.Ο ENISA παρέχει την απαιτούμενη υλικοτεχνική στήριξη προς τη συμβουλευτική ομάδα του ENISA και εκτελεί χρέη γραμματείας κατά τις συνεδριάσεις της.

Τμήμα 6 
Συμβούλιο προσφυγών

Άρθρο 36
Δημιουργία και σύνθεση του συμβουλίου προσφυγών

1.Ο ENISA συγκροτεί συμβούλιο προσφυγών με απόφαση του διοικητικού συμβουλίου.

2.Το συμβούλιο προσφυγών απαρτίζεται από έναν πρόεδρο και τρία άλλα μέλη. Για κάθε μέλος του συμβουλίου προσφυγών ορίζεται αναπληρωματικό μέλος. Το αναπληρωματικό μέλος εκπροσωπεί το τακτικό μέλος σε περίπτωση απουσίας του.

3.Το διοικητικό συμβούλιο διορίζει τον πρόεδρο, τα άλλα μέλη και τους αναπληρωτές τους, από κατάλογο κατάλληλων υποψηφίων που καταρτίζει η Επιτροπή. Ο κατάλογος κατάλληλων υποψηφίων ισχύει για τέσσερα έτη. Η ισχύς του εν λόγω καταλόγου μπορεί να παραταθεί από το διοικητικό συμβούλιο για συμπληρωματικές περιόδους τεσσάρων ετών, μετά από πρόταση της Επιτροπής.

4.Το συμβούλιο προσφυγών δύναται να ζητήσει από το διοικητικό συμβούλιο να διορίσει δύο επιπρόσθετα μέλη και τους αναπληρωτές τους από τον αναφερόμενο στην παράγραφο 3 κατάλογο, όταν κρίνει ότι το απαιτεί η φύση της προσφυγής.

5.Το συμβούλιο προσφυγών εγκρίνει και δημοσιοποιεί τον εσωτερικό κανονισμό του.

Άρθρο 37
Μέλη του συμβουλίου προσφυγών

1.Η θητεία των τακτικών μελών και των αναπληρωματικών μελών του συμβουλίου προσφυγών είναι τετραετής. Η θητεία τους μπορεί να ανανεωθεί από το διοικητικό συμβούλιο για συμπληρωματικές περιόδους τεσσάρων ετών, μετά από πρόταση της Επιτροπής.

2.Τα μέλη του συμβουλίου προσφυγών είναι ανεξάρτητα και δεν επιτρέπεται να ασκούν άλλα καθήκοντα στο πλαίσιο του ENISA. Κατά τη λήψη των αποφάσεών τους δεν ζητούν ούτε δέχονται υποδείξεις από καμία κυβέρνηση ούτε από οποιονδήποτε άλλον φορέα ή ιδιωτική οντότητα.

3.Τα μέλη του συμβουλίου προσφυγών δεν παύονται των καθηκόντων τους ούτε διαγράφονται από τον κατάλογο καταλλήλων υποψηφίων κατά τη διάρκεια της θητείας τους, εκτός εάν συντρέχουν σοβαροί λόγοι, και το διοικητικό συμβούλιο λάβει σχετική απόφαση, μετά από πρόταση της Επιτροπής.

Άρθρο 38
Αποκλεισμός και εξαίρεση

1.Τα μέλη του συμβουλίου προσφυγών δεν συμμετέχουν σε εκδίκαση προσφυγής στην οποία έχουν προσωπικό συμφέρον, ή στην οποία είχαν προηγουμένως παρέμβει ως εκπρόσωποι ενός εκ των διαδίκων, ή εάν συνέπραξαν στην έκδοση της απόφασης κατά της οποίας στρέφεται η προσφυγή.

2.Ένα μέλος του συμβουλίου προσφυγών ενημερώνει σχετικά το συμβούλιο προσφυγών εάν κρίνει ότι δεν θα πρέπει να συμμετάσχει στην εκδίκαση προσφυγής για έναν από τους λόγους που αναφέρονται στην παράγραφο 1 ή για οποιονδήποτε άλλο λόγο.

3.Οποιοσδήποτε διάδικος στην εκδίκαση προσφυγής μπορεί να αιτηθεί την εξαίρεση οποιουδήποτε μέλους του συμβουλίου προσφυγών για οποιονδήποτε από τους λόγους της παραγράφου 1 ή εάν υπάρχουν υπόνοιες για μεροληπτική στάση του εν λόγω μέλους. Η αίτηση εξαίρεσης είναι απαράδεκτη εάν ο συγκεκριμένος διάδικος προχώρησε σε διαδικαστικές πράξεις μολονότι γνώριζε ήδη τον λόγο εξαίρεσης. Η αίτηση εξαίρεσης δεν είναι δυνατόν να βασίζεται στην ιθαγένεια των μελών του συμβουλίου προσφυγών.

4.Το συμβούλιο προσφυγών αποφασίζει σχετικά με τα μέτρα που πρέπει να ληφθούν στις περιπτώσεις που προσδιορίζονται στις παραγράφους 2 και 3, χωρίς τη συμμετοχή του οικείου μέλους. Για τη λήψη της εν λόγω απόφασης, το οικείο μέλος αντικαθίσταται στο συμβούλιο προσφυγών από το αναπληρωματικό μέλος του.

Άρθρο 39
Προσφυγές κατά αποφάσεων και παραλείψεων

1.Μπορεί να ασκηθεί προσφυγή ενώπιον του συμβουλίου προσφυγών κατά:

α)αποφάσεων που λαμβάνει ο ENISA δυνάμει του άρθρου 22 παράγραφος 3·

β)παράλειψης του ENISA να ενεργήσει εντός των εφαρμοστέων προθεσμιών που ορίζονται στο άρθρο 22 παράγραφος 4.

2.Κάθε προσφυγή που ασκείται σύμφωνα με την παράγραφο 1 υπόκειται σε προδικαστική αναθεώρηση σύμφωνα με το άρθρο 41 προτού υποβληθεί προς εξέταση στο συμβούλιο προσφυγών.

3.Προσφυγή που ασκείται σύμφωνα με την παράγραφο 1 δεν έχει ανασταλτικό αποτέλεσμα.

Άρθρο 40
Πρόσωπα τα οποία νομιμοποιούνται να ασκήσουν προσφυγή, προθεσμία και τύπος

1.Αιτούντες κατά την έννοια του άρθρου 21 παράγραφος 3 μπορούν να ασκήσουν προσφυγή κατά:

α)απόφασης του ENISA που απευθύνεται σε αυτούς, σύμφωνα με το άρθρο 22 παράγραφος 3·

β)παράλειψης του ENISA να ενεργήσει σε σχέση με αίτηση που αυτοί έχουν υποβάλει στον ENISA εντός των εφαρμοστέων προθεσμιών που καθορίζονται στο άρθρο 22 παράγραφος 4.

2.Στην περίπτωση που αναφέρεται στην παράγραφο 1 στοιχείο α), η προσφυγή, μαζί με το υπόμνημα στο οποίο εκτίθενται οι λόγοι της, υποβάλλεται εγγράφως σύμφωνα με τον εσωτερικό κανονισμό που αναφέρεται στο άρθρο 36 παράγραφος 5, εντός δύο μηνών από την κοινοποίηση της απόφασης στον οικείο αιτούντα ή, ελλείψει κοινοποίησης, από την ημέρα κατά την οποία ο αιτών έλαβε γνώση της απόφασης.

3.Στην περίπτωση που αναφέρεται στην παράγραφο 1 στοιχείο β), η προσφυγή υποβάλλεται εγγράφως στον ENISA σύμφωνα με τον εσωτερικό κανονισμό που αναφέρεται στο άρθρο 36 παράγραφος 5, εντός δύο μηνών από την ημερομηνία λήξης της προθεσμίας που καθορίζεται στο άρθρο 22 παράγραφος 4.

Άρθρο 41
Προδικαστική αναθεώρηση

1.Εάν ο ENISA κρίνει την προσφυγή παραδεκτή και βάσιμη, διορθώνει την απόφαση ή την παράλειψη που αναφέρεται στο άρθρο 40 παράγραφος 1.

2.Αν ο ENISA δεν διορθώσει την απόφαση εντός ενός μήνα από την παραλαβή της προσφυγής, ο ENISA αποφασίζει αμέσως αν θα αναστείλει την εφαρμογή της απόφασής του και παραπέμπει την προσφυγή στο συμβούλιο προσφυγών.

Άρθρο 42
Εξέταση αποφάσεων επί προσφυγών

1.Το συμβούλιο προσφυγών αποφασίζει εντός τριών μηνών από την υποβολή της προσφυγής αν θα εγκρίνει ή θα απορρίψει την εν λόγω προσφυγή. Κατά την εξέταση μιας προσφυγής, το συμβούλιο προσφυγών ενεργεί εντός των προθεσμιών που καθορίζονται στον εσωτερικό κανονισμό του. Καλεί τους διαδίκους, όποτε απαιτείται, να υποβάλουν, εντός καθορισμένης προθεσμίας, παρατηρήσεις επί των κοινοποιήσεων που τους έχει απευθύνει ή επί των ανακοινώσεων που προέρχονται από τους λοιπούς διαδίκους. Οι διάδικοι έχουν δικαίωμα να διατυπώσουν τις απόψεις τους προφορικά.

2.Το συμβούλιο προσφυγών, σε περίπτωση που κρίνει βάσιμους τους λόγους άσκησης της προσφυγής, παραπέμπει την υπόθεση στον ENISA. Ο ENISA λαμβάνει την τελική απόφασή του σύμφωνα με τα πορίσματα του συμβουλίου προσφυγών και αιτιολογεί την εν λόγω απόφαση. Ο ENISA ενημερώνει αναλόγως τους διαδίκους της διαδικασίας προσφυγής.

Άρθρο 43
Προσφυγές ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης

1.Προσφυγή για την ακύρωση αποφάσεων του ENISA που λαμβάνονται σύμφωνα με το άρθρο 22 παράγραφος 3 ή προσφυγή για παράλειψη δράσης εντός των εφαρμοστέων προθεσμιών σύμφωνα με το άρθρο 22 παράγραφος 4 μπορεί να ασκηθεί ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης, αφού εξαντληθεί η διαδικασία προσφυγής εντός του ENISA που καθορίζεται στα άρθρα 39 έως 42 ή, σε περίπτωση παράλειψης δράσης, εντός της εφαρμοστέας προθεσμίας σύμφωνα με το άρθρο 41 παράγραφος 2.

2.Ο ENISA λαμβάνει όλα τα αναγκαία μέτρα για να συμμορφωθεί με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης.

Τμήμα 7 
Λειτουργίες

Άρθρο 44
Ενιαίο έγγραφο προγραμματισμού

1.Ο ENISA λειτουργεί σύμφωνα με το ενιαίο έγγραφο προγραμματισμού που περιέχει το ετήσιο και πολυετές πρόγραμμα εργασίας και περιλαμβάνει όλες τις προγραμματισμένες δραστηριότητές του.

2.Κάθε χρόνο, ο εκτελεστικός διευθυντής συντάσσει σχέδιο ενιαίου εγγράφου προγραμματισμού, όπως αναφέρεται στην παράγραφο 1, με τον αντίστοιχο προγραμματισμό των οικονομικών και ανθρώπινων πόρων, σύμφωνα με το άρθρο 32 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2019/715 της Επιτροπής 74 και λαμβάνοντας υπόψη τις κατευθυντήριες γραμμές της Επιτροπής.

3.Έως τις 30 Νοεμβρίου κάθε έτους το διοικητικό συμβούλιο εγκρίνει το ενιαίο έγγραφο προγραμματισμού που αναφέρεται στην παράγραφο 1, λαμβάνοντας υπόψη τη γνώμη της Επιτροπής που αναφέρεται στο άρθρο 32 παράγραφος 7 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2019/715. Εάν το διοικητικό συμβούλιο αποφασίσει να μη λάβει υπόψη κανένα στοιχείο της γνώμης της Επιτροπής, παρέχει εμπεριστατωμένη αιτιολόγηση για την απόφαση αυτή. Το διοικητικό συμβούλιο προωθεί το ενιαίο έγγραφο προγραμματισμού στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή έως τις 31 Ιανουαρίου του επόμενου έτους, καθώς και κάθε μεταγενέστερη επικαιροποιημένη έκδοση του εγγράφου αυτού.

4.Το ενιαίο έγγραφο προγραμματισμού οριστικοποιείται μετά την οριστική έκδοση του γενικού προϋπολογισμού της Ένωσης και, εάν χρειαστεί, προσαρμόζεται ανάλογα.

5.Το ετήσιο πρόγραμμα εργασίας περιλαμβάνει λεπτομερείς στόχους και αναμενόμενα αποτελέσματα, καθώς και δείκτες επιδόσεων. Περιλαμβάνει επίσης περιγραφή των προς χρηματοδότηση δράσεων και αναφέρει τους οικονομικούς και ανθρώπινους πόρους που διατίθενται για κάθε δράση, σύμφωνα με τις αρχές κατάρτισης και διαχείρισης του προϋπολογισμού βάσει δραστηριοτήτων. Το ετήσιο πρόγραμμα εργασίας συνάδει με το πολυετές πρόγραμμα εργασίας που αναφέρεται στην παράγραφο 7. Αναφέρει σαφώς τα καθήκοντα που έχουν προστεθεί, μεταβληθεί ή απαλειφθεί σε σχέση με το προηγούμενο οικονομικό έτος.

6.Όταν ανατίθεται στον ENISA νέο καθήκον, το διοικητικό συμβούλιο τροποποιεί το εγκεκριμένο ετήσιο πρόγραμμα εργασίας. Κάθε ουσιώδης τροποποίηση του ετήσιου προγράμματος εργασίας εγκρίνεται με την ίδια διαδικασία που εφαρμόζεται και στο αρχικό ετήσιο πρόγραμμα εργασίας. Το διοικητικό συμβούλιο μπορεί να εξουσιοδοτεί τον εκτελεστικό διευθυντή να επιφέρει μη ουσιώδεις τροποποιήσεις στο ετήσιο πρόγραμμα εργασίας.

7.Το πολυετές πρόγραμμα εργασίας καθορίζει τον συνολικό στρατηγικό προγραμματισμό που περιλαμβάνει στόχους, αναμενόμενα αποτελέσματα και δείκτες επιδόσεων. Καθορίζει επίσης τον προγραμματισμό των πόρων, που περιλαμβάνει τον πολυετή προϋπολογισμό και το προσωπικό.

8.Ο προγραμματισμός των πόρων επικαιροποιείται σε ετήσια βάση. Ο στρατηγικός προγραμματισμός επικαιροποιείται κατά περίπτωση και ιδίως εφόσον κρίνεται αναγκαίο για αντιμετώπιση θεμάτων που προκύπτουν από την αξιολόγηση που αναφέρεται στο άρθρο 120.

ΚΕΦΑΛΑΙΟ IV 
Κατάρτιση και διάρθρωση του προϋπολογισμού του ENISA

Άρθρο 45
Κατάρτιση του προϋπολογισμού του ENISA

1.Ο εκτελεστικός διευθυντής καταρτίζει, σε ετήσια βάση, προσωρινό σχέδιο προβλέψεων των εσόδων και των δαπανών του ENISA για το επόμενο οικονομικό έτος, το οποίο περιλαμβάνει και τον πίνακα προσωπικού, και το διαβιβάζει στο διοικητικό συμβούλιο.

2.Το προσωρινό σχέδιο προβλέψεων βασίζεται στους στόχους και στα αναμενόμενα αποτελέσματα του ετήσιου προγράμματος εργασίας και λαμβάνει υπόψη τους χρηματοδοτικούς πόρους που απαιτούνται για την επίτευξη των στόχων αυτών και των αναμενόμενων αποτελεσμάτων, σύμφωνα με την αρχή της χρηστής δημοσιονομικής διαχείρισης και τις επιδόσεις.

3.Βάσει του προσωρινού σχεδίου προβλέψεων, το διοικητικό συμβούλιο εκδίδει σχέδιο προβλέψεων των εσόδων και των δαπανών του ENISA για το επόμενο οικονομικό έτος και το διαβιβάζει στην Επιτροπή έως τις 31 Ιανουαρίου κάθε έτους.

4.Η Επιτροπή διαβιβάζει το σχέδιο προβλέψεων στην αρμόδια για τον προϋπολογισμό αρχή μαζί με το σχέδιο του γενικού προϋπολογισμού της Ένωσης. Το σχέδιο προβλέψεων τίθεται επίσης στη διάθεση του ENISA.

5.Βάσει του σχεδίου προβλέψεων, η Επιτροπή εγγράφει στο σχέδιο γενικού προϋπολογισμού της Ένωσης τις προβλέψεις που κρίνει αναγκαίες για τον πίνακα προσωπικού και το ποσό της συνεισφοράς από τον γενικό προϋπολογισμό της Ένωσης και καταθέτει το σχέδιο αυτό στην αρμόδια για τον προϋπολογισμό αρχή σύμφωνα με τα άρθρα 313 και 314 της ΣΛΕΕ.

6.Η αρμόδια για τον προϋπολογισμό αρχή εγκρίνει τις πιστώσεις για τη συνεισφορά που προορίζεται από τον γενικό προϋπολογισμό της Ένωσης για τον ENISA.

7.Η αρμόδια για τον προϋπολογισμό αρχή εγκρίνει τον πίνακα προσωπικού του ENISA.

8.Το διοικητικό συμβούλιο εγκρίνει τον προϋπολογισμό του ENISA. Οριστικοποιείται μετά την τελική έγκριση του γενικού προϋπολογισμού της Ένωσης και, αν χρειαστεί, προσαρμόζεται ανάλογα.

9.Για τυχόν κτιριακά έργα που ενδέχεται να έχουν σημαντικές επιπτώσεις στον προϋπολογισμό του ENISA, εφαρμόζεται ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2019/715.

Άρθρο 46
Διάρθρωση του προϋπολογισμού του ENISA

1.Για κάθε οικονομικό έτος καταρτίζονται προβλέψεις για το σύνολο των εσόδων και των δαπανών του ENISA και εγγράφονται στον προϋπολογισμό του ENISA. Το οικονομικό έτος αντιστοιχεί στο ημερολογιακό έτος.

2.Ο προϋπολογισμός του ENISA είναι ισοσκελισμένος ως προς τα έσοδα και τις δαπάνες.

3.Με την επιφύλαξη άλλων πόρων, τα έσοδα του ENISA προέρχονται από:

α)συνεισφορά της Ένωσης, η οποία εγγράφεται στον γενικό προϋπολογισμό της Ένωσης·

β)έσοδα προοριζόμενα για τη χρηματοδότηση συγκεκριμένων δαπανών, σύμφωνα με τους δημοσιονομικούς κανόνες του που αναφέρονται στο άρθρο 50,

γ)χρηματοδότηση από την Ένωση υπό μορφή συμφωνιών συνεισφοράς ή ad hoc επιχορηγήσεων σύμφωνα με τους δημοσιονομικούς κανόνες του ENISA που αναφέρονται στο άρθρο 50 και τη νομοθεσία που πλαισιώνει τις πολιτικές της Ένωσης·

δ)τα τέλη που επιβάλλονται στους αιτούντες για δραστηριότητες που σχετίζονται με σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας που αναφέρονται στο άρθρο 22 παράγραφος 1·

ε)τα τέλη που επιβάλλονται στους οργανισμούς αξιολόγησης της συμμόρφωσης για τη συμμετοχή και την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στο άρθρο 47 παράγραφος 2·

στ)τα τέλη που επιβάλλονται σε δημόσιες αρχές ή ιδιωτικούς φορείς για τα εργαλεία δοκιμών που αναφέρονται στο άρθρο 47 παράγραφος 3·

ζ)συνεισφορές τρίτων χωρών που συμμετέχουν στο έργο του ENISA, όπως προβλέπεται στο άρθρο 70 παράγραφος 4· και

η)τυχόν εθελοντικές συνεισφορές των κρατών μελών σε χρήματα ή σε είδος.

4.Τα κράτη μέλη που παρέχουν εθελοντικές συνεισφορές, όπως αναφέρεται στην παράγραφο 3 στοιχείο ζ), δεν αξιώνουν ειδικά δικαιώματα ή υπηρεσίες ως συνέπεια αυτών των συνεισφορών.

5.Οι δαπάνες του ENISA περιλαμβάνουν τις αμοιβές του προσωπικού, τις διοικητικές δαπάνες και τις δαπάνες υποδομής, καθώς και τα έξοδα λειτουργίας.

Άρθρο 47
Τέλη

1.Σε σχέση με κάθε δραστηριότητα σχήματος ευρωπαϊκής βεβαίωσης που αναφέρεται στο άρθρο 22 παράγραφος 1, επιβάλλονται τα ακόλουθα τέλη στους αιτούντες κατά την έννοια του άρθρου 21 παράγραφος 3 ή στους αδειοδοτημένους παρόχους βεβαιώσεων, ώστε να συνεισφέρουν στην κάλυψη του πλήρους κόστους των δραστηριοτήτων που εκτελεί ο ENISA:

α)για την έκδοση αδειών μετά από εξέταση των απαιτήσεων που καθορίζονται στο άρθρο 21 παράγραφοι 3 και 4, συμπεριλαμβανομένης της διενέργειας αξιολογήσεων·

β)για ετήσια διατήρηση της άδειας·

γ)για ανανέωση αδειών που χορηγούνται σε παρόχους ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, συμπεριλαμβανομένης της διενέργειας αξιολογήσεων.

2.Σε σχέση με την πιστοποίηση, επιβάλλονται τα ακόλουθα τέλη στους οργανισμούς αξιολόγησης της συμμόρφωσης για τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας βάσει των οποίων εκδίδονται ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, και ειδικότερα:

α)ετήσιο τέλος για τη συμμετοχή σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας·

β)τέλος για την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας στο πλαίσιο ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας.

Τα τέλη που αναφέρονται σύμφωνα με το στοιχείο β) επιβάλλονται όταν ο οργανισμός αξιολόγησης της συμμόρφωσης υποβάλλει ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας στον ENISA προς δημοσίευση στον ιστότοπό του σύμφωνα με το άρθρο 79.

3.Σε σχέση με τα εργαλεία δοκιμών που αναφέρονται στο άρθρο 15 παράγραφος 1, επιβάλλεται τέλος σε κάθε δημόσια αρχή ή ιδιωτικό φορέα για τη χρήση τους.

4.Τα τέλη εκφράζονται και καταβάλλονται σε ευρώ.

5.Η Επιτροπή εκδίδει εκτελεστικές πράξεις για τη θέσπιση λεπτομερών κανόνων σχετικά με τον καθορισμό των τελών που επιβάλλονται από τον ENISA, στις οποίες προσδιορίζεται ειδικότερα το εκτιμώμενο κόστος που αποδίδεται σε καθένα από τα θέματα για τα οποία επιβάλλονται τέλη σύμφωνα με τις παραγράφους 1, 2 και 3, και τα επιμέρους ποσά των τελών που επιβάλλονται, καθώς και οι τρόποι με τους οποίους και οι προϋποθέσεις υπό τις οποίες θα πρέπει να καταβάλλονται τα τέλη. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2. Η Επιτροπή ζητεί τη γνώμη του ENISA κατά την κατάρτιση των εν λόγω σχεδίων εκτελεστικών πράξεων.

6.Τα τέλη που προσδιορίζονται στις εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 5 καθορίζονται εκ των προτέρων ώστε να είναι αναλογικά προς το εκτιμώμενο κόστος των δραστηριοτήτων που εκτελούνται ή των υπηρεσιών που παρέχονται, όπως αυτό καθορίζεται με οικονομικά αποδοτικό τρόπο, και επαρκούν για την κάλυψη του εν λόγω κόστους. Όλες οι δαπάνες του ENISA που αποδίδονται στο προσωπικό που συμμετέχει στις δραστηριότητες που αναφέρονται στις παραγράφους 1, 2 και 3 αντικατοπτρίζονται στο κόστος που πρέπει να καλυφθεί. Το ύψος των τελών καθορίζεται κατά τρόπο ώστε να αποφεύγεται η δημιουργία ελλείμματος ή σημαντικής σώρευσης πλεονάσματος στον προϋπολογισμό του ENISA. Τα δημοσιονομικά πλεονάσματα που προκύπτουν από τέλη μεταφέρονται για τη χρηματοδότηση δραστηριοτήτων του ENISA, ειδικότερα δε μελλοντικών δραστηριοτήτων που σχετίζονται με τέλη, ή για την αντιστάθμιση ζημιών που προκύπτουν. Εάν στον προϋπολογισμό εμφανιστεί επαναλαμβανόμενο σημαντικό θετικό υπόλοιπο, το οποίο προκύπτει από δραστηριότητες που καλύπτονται από τέλη, ή εάν προκύψει σημαντικό αρνητικό υπόλοιπο από την παροχή των υπηρεσιών που καλύπτονται από τέλη, η Επιτροπή τροποποιεί τις εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 5 για την αναθεώρηση της μεθόδου υπολογισμού των τελών σύμφωνα με το άρθρο 118 παράγραφος 2.

Το ύψος των τελών για τα καθήκοντα που αναφέρονται στην παράγραφο 1 καθορίζεται σε τέτοιο επίπεδο ώστε να διασφαλίζεται ότι τα σχετικά έσοδα συμβάλλουν επαρκώς στην κάλυψη του κόστους των δραστηριοτήτων που σχετίζονται με την ανάπτυξη και τη συντήρηση των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης, τη διεκπεραίωση αιτήσεων και την έκδοση και ανανέωση αδειών, καθώς και των σχετικών αναγκαίων δραστηριοτήτων εποπτείας από τον ENISA.

Το ύψος των τελών για τα καθήκοντα που αναφέρονται στην παράγραφο 2 καθορίζεται σε τέτοιο επίπεδο ώστε να διασφαλίζεται ότι τα σχετικά έσοδα συμβάλλουν επαρκώς στην κάλυψη του πλήρους κόστους των δραστηριοτήτων που σχετίζονται με τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας που καθορίζονται στο άρθρο 75.

Το ύψος των τελών για τα καθήκοντα που αναφέρονται στην παράγραφο 3 καθορίζεται σε τέτοιο επίπεδο ώστε να διασφαλίζεται ότι τα σχετικά έσοδα συμβάλλουν επαρκώς στην κάλυψη του κόστους των δραστηριοτήτων που σχετίζονται με την παροχή εργαλείων δοκιμών, όπως καθορίζεται στο άρθρο 15 παράγραφος 1.

7.Ο ENISA υποβάλλει έκθεση σχετικά με τα εισπραττόμενα τέλη και τον αντίκτυπό τους στον προϋπολογισμό του στο πλαίσιο της διαδικασίας για την απόδοση λογαριασμών που προβλέπεται στο άρθρο 50.

8.Ο ENISA εφαρμόζει σύνολο δεικτών για τη μέτρηση του φόρτου εργασίας, της αποτελεσματικότητας και της αποδοτικότητας σε σχέση με τις δραστηριότητες που χρηματοδοτούνται μέσω τελών. Ο ENISA προσαρμόζει τον προγραμματισμό του προσωπικού του και τη διαχείριση των πόρων από τα τέλη, ανάλογα, ώστε να μπορεί να ανταποκρίνεται δεόντως στην εν λόγω ζήτηση και σε τυχόν διακυμάνσεις των εσόδων από τέλη. Ο ENISA κοινοποιεί την έκθεση στην Επιτροπή, την οποία η Επιτροπή μπορεί να χρησιμοποιήσει για τους σκοπούς της αξιολόγησης που αναφέρεται στο άρθρο 120 παράγραφος 1.

Άρθρο 48
Εκτέλεση του προϋπολογισμού του ENISA

1.Ο εκτελεστικός διευθυντής είναι υπεύθυνος για την εκτέλεση του προϋπολογισμού του ENISA και ασκεί καθήκοντα διατάκτη.

2.Ο εσωτερικός ελεγκτής της Επιτροπής ασκεί τις ίδιες εξουσίες έναντι του ENISA όπως και έναντι των υπηρεσιών της Επιτροπής.

3.Κάθε έτος, ο εκτελεστικός διευθυντής διαβιβάζει στην αρμόδια για τον προϋπολογισμό αρχή όλες τις πληροφορίες σχετικά με τα πορίσματα των διαδικασιών αξιολόγησης.

Άρθρο 49
Απόδοση λογαριασμών και απαλλαγή

1.Ο υπόλογος του ENISA διαβιβάζει τους προσωρινούς λογαριασμούς για το οικονομικό έτος (έτος Ν) στον υπόλογο της Επιτροπής και στο Ελεγκτικό Συνέδριο έως την 1η Μαρτίου του επόμενου οικονομικού έτους (έτος Ν + 1).

2.Ο υπόλογος του ENISA διαβιβάζει επίσης τις λογιστικές πληροφορίες που απαιτούνται για την ενοποίηση στον υπόλογο της Επιτροπής, με τον τρόπο και τη μορφή που ορίζει ο τελευταίος, μέχρι την 1η Μαρτίου του έτους N + 1.

3.Ο ENISA διαβιβάζει την έκθεση σχετικά με τη δημοσιονομική και οικονομική διαχείριση για το έτος Ν στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Επιτροπή και το Ελεγκτικό Συνέδριο μέχρι την 31η Μαρτίου του έτους N + 1.

4.Μετά την παραλαβή των παρατηρήσεων του Ελεγκτικού Συνεδρίου σχετικά με τους προσωρινούς λογαριασμούς του ENISA για το έτος Ν, ο υπόλογος καταρτίζει τους οριστικούς λογαριασμούς του ENISA με δική του ευθύνη. Ο εκτελεστικός διευθυντής τούς υποβάλλει προς γνωμοδότηση στο διοικητικό συμβούλιο.

5.Το διοικητικό συμβούλιο διατυπώνει γνώμη σχετικά με τους οριστικούς λογαριασμούς του ENISA για το έτος Ν.

6.Ο υπόλογος του ENISA διαβιβάζει, μέχρι την 1η Ιουλίου του έτους Ν + 1, στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Επιτροπή και το Ελεγκτικό Συνέδριο τους οριστικούς λογαριασμούς για το έτος Ν, συνοδευόμενους από τη γνώμη του διοικητικού συμβουλίου.

7.Έως τις 15 Νοεμβρίου του έτους Ν + 1 δημοσιεύεται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης σύνδεσμος προς τις ιστοσελίδες που περιέχουν τους οριστικούς λογαριασμούς του ENISA.

8.Ο εκτελεστικός διευθυντής διαβιβάζει στο Ελεγκτικό Συνέδριο, μέχρι τις 30 Σεπτεμβρίου του έτους N + 1, απάντηση στις παρατηρήσεις που αυτό διατυπώνει στην ετήσια έκθεσή του. Ο εκτελεστικός διευθυντής διαβιβάζει επίσης την εν λόγω απάντηση στο διοικητικό συμβούλιο και στην Επιτροπή.

9.Ο εκτελεστικός διευθυντής υποβάλλει στο Ευρωπαϊκό Κοινοβούλιο, κατόπιν αιτήματος του τελευταίου, κάθε πληροφορία που απαιτείται για την ομαλή εφαρμογή της διαδικασίας απαλλαγής για το έτος Ν, σύμφωνα με το άρθρο 267 παράγραφος 3 του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

10.Έπειτα από σύσταση του Συμβουλίου που αποφασίζει με ειδική πλειοψηφία, το Ευρωπαϊκό Κοινοβούλιο χορηγεί απαλλαγή στον εκτελεστικό διευθυντή, έως τις 15 Μαΐου του έτους Ν + 2, για την εκτέλεση του προϋπολογισμού για το έτος Ν.

Άρθρο 50
Δημοσιονομικοί κανόνες

1.Οι δημοσιονομικοί κανόνες που ισχύουν για τον ENISA θεσπίζονται από το διοικητικό συμβούλιο κατόπιν διαβούλευσης με την Επιτροπή. Οι εν λόγω κανόνες δεν αποκλίνουν από τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) αριθ. 2019/715 παρά μόνο εάν το απαιτούν ειδικές ανάγκες λειτουργίας του ENISA και με προηγούμενη συμφωνία της Επιτροπής.

2.Ο ENISA καταρτίζει και εκτελεί τον προϋπολογισμό του σύμφωνα με τους δημοσιονομικούς κανόνες του και τον κανονισμό (ΕΕ, Ευρατόμ) 2024/2509.

Άρθρο 51
Καταπολέμηση της απάτης

1.Για την καταπολέμηση της απάτης, της διαφθοράς και άλλων παράνομων δραστηριοτήτων, στις δραστηριότητες του ENISA εφαρμόζονται χωρίς κανέναν περιορισμό οι διατάξεις του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 75 .

2.Ο ENISA προσχωρεί στη διοργανική συμφωνία της 25ης Μαΐου 1999 μεταξύ του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου της Ευρωπαϊκής Ένωσης και της Επιτροπής των Ευρωπαϊκών Κοινοτήτων σχετικά με τις εσωτερικές έρευνες που πραγματοποιούνται από την Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF) 76 εντός έξι μηνών από τις [YE: να προστεθεί η ακριβής ημερομηνία, όπως αναφέρεται στο άρθρο 127] και εκδίδει αμελλητί τις κατάλληλες διατάξεις που εφαρμόζονται για το προσωπικό του χρησιμοποιώντας το υπόδειγμα που παρατίθεται στο παράρτημα της εν λόγω συμφωνίας.

3.Το Ελεγκτικό Συνέδριο έχει αρμοδιότητα να ελέγχει, βάσει παραστατικών και επιτόπιων ελέγχων, όλους τους δικαιούχους επιχορηγήσεων, εργολάβους και υπεργολάβους που έλαβαν ενωσιακά κονδύλια από τον ENISA.

4.Η OLAF μπορεί να διενεργεί έρευνες, συμπεριλαμβανομένων επιτόπιων ελέγχων και επιθεωρήσεων, με σκοπό να διαπιστωθεί αν υπάρχει απάτη, διαφθορά ή άλλη παράνομη δραστηριότητα σε βάρος των οικονομικών συμφερόντων της Ένωσης σχετικά με επιχορήγηση ή σύμβαση χρηματοδοτούμενη από τον ENISA, σύμφωνα με τις διατάξεις και τις διαδικασίες που προβλέπονται στον κανονισμό (ΕΕ, Ευρατόμ) αριθ. 883/2013 και στον κανονισμό (Ευρατόμ, ΕΚ) αριθ. 2185/96 του Συμβουλίου 77 .

5.Με την επιφύλαξη των παραγράφων 1 έως 4, οι συμφωνίες συνεργασίας με τρίτες χώρες και με διεθνείς οργανισμούς, οι συμβάσεις, οι συμφωνίες επιχορήγησης και οι αποφάσεις επιχορήγησης του ENISA περιέχουν διατάξεις οι οποίες εξουσιοδοτούν ρητά το Ελεγκτικό Συνέδριο και την OLAF να διεξάγουν τους εν λόγω λογιστικούς ελέγχους και έρευνες, σύμφωνα με τις αντίστοιχες αρμοδιότητές τους.

6.Σύμφωνα με τον κανονισμό (ΕΕ) 2017/1939 του Συμβουλίου, η Ευρωπαϊκή Εισαγγελία μπορεί να διερευνά και να ασκεί δίωξη σε υποθέσεις απάτης και άλλων παράνομων δραστηριοτήτων σε βάρος των οικονομικών συμφερόντων της Ένωσης, όπως προβλέπεται στην οδηγία (ΕΕ) 2017/1371 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 78 .

Άρθρο 52
Δήλωση συμφερόντων

1.Τα μέλη του διοικητικού συμβουλίου, ο εκτελεστικός διευθυντής, ο αναπληρωτής εκτελεστικός διευθυντής και οι υπάλληλοι που αποσπώνται προσωρινά από τα κράτη μέλη υποβάλλουν έκαστος δήλωση δεσμεύσεων και γραπτή δήλωση συμφερόντων όπου καταδεικνύεται η απουσία ή ύπαρξη οποιουδήποτε άμεσου ή έμμεσου συμφέροντος που θα μπορούσε να επηρεάσει την ανεξαρτησία τους. Οι δηλώσεις είναι ακριβείς και πλήρεις, υποβάλλονται σε ετήσια βάση εγγράφως, και ενημερώνονται όποτε είναι αναγκαίο.

2.Τα μέλη του διοικητικού συμβουλίου, ο εκτελεστικός διευθυντής, ο αναπληρωτής εκτελεστικός διευθυντής και οι εξωτερικοί εμπειρογνώμονες, οι οποίοι συμμετέχουν στις ad hoc ομάδες εργασίας δηλώνουν έκαστος με ακρίβεια και πληρότητα το αργότερο στην έναρξη κάθε συνεδρίασης οποιαδήποτε συμφέροντα τα οποία μπορούν ενδεχομένως να επηρεάσουν την ανεξαρτησία τους σε σχέση με τα θέματα της ημερήσιας διάταξης και δεν συμμετέχουν στη συζήτηση και την ψηφοφορία των εν λόγω θεμάτων.

3.Ο ENISA θεσπίζει στους εσωτερικούς κανόνες λειτουργίας του τα πρακτικά μέτρα εφαρμογής των κανόνων για τις δηλώσεις συμφερόντων που αναφέρονται στις παραγράφους 1 και 2.

Άρθρο 53
Διαφάνεια

1.Ο ENISA διεξάγει τις δραστηριότητές του με υψηλό επίπεδο διαφάνειας και σύμφωνα με το άρθρο 55.

2.Ο ENISA μεριμνά ώστε να παρέχονται στο κοινό και σε κάθε ενδιαφερόμενο μέρος οι ενδεδειγμένες αντικειμενικές, αξιόπιστες και εύκολα προσβάσιμες πληροφορίες, ιδίως όσον αφορά τα αποτελέσματα των εργασιών του. Δημοσιοποιεί επίσης τις δηλώσεις συμφερόντων που υποβάλλονται δυνάμει του άρθρου 52.

3.Το διοικητικό συμβούλιο, ενεργώντας κατόπιν προτάσεως του εκτελεστικού διευθυντή, μπορεί να επιτρέπει στα ενδιαφερόμενα μέρη να συμμετέχουν ως παρατηρητές σε ορισμένες δραστηριότητες του ENISA.

4.Ο ENISA θεσπίζει, στους εσωτερικούς κανόνες λειτουργίας του, τα πρακτικά μέτρα εφαρμογής των κανόνων διαφάνειας που αναφέρονται στις παραγράφους 1 και 2.

Άρθρο 54
Τήρηση του απορρήτου εντός του ENISA

1.Με την επιφύλαξη του άρθρου 55, ο ENISA δεν αποκαλύπτει σε τρίτους πληροφορίες που επεξεργάζεται ή λαμβάνει και σχετικά με τις οποίες έχει υποβληθεί τεκμηριωμένο αίτημα για τήρηση του απορρήτου.

2.Τα μέλη του διοικητικού συμβουλίου, ο εκτελεστικός διευθυντής, ο αναπληρωτής εκτελεστικός διευθυντής, τα μέλη της συμβουλευτικής ομάδας του ENISA, οι εξωτερικοί εμπειρογνώμονες που συμμετέχουν στις ad hoc ομάδες εργασίας, καθώς και τα μέλη του προσωπικού του ENISA, συμπεριλαμβανομένων των υπαλλήλων που αποσπώνται προσωρινά από τα κράτη μέλη, συμμορφώνονται, ακόμη και μετά την παύση των καθηκόντων τους, στις απαιτήσεις τήρησης του απορρήτου του άρθρου 339 ΣΛΕΕ.

3.Ο ENISA θεσπίζει, στους εσωτερικούς κανόνες λειτουργίας του, τα πρακτικά μέτρα εφαρμογής των κανόνων περί απορρήτου που προβλέπονται στις παραγράφους 1 και 2.

Άρθρο 55
Πρόσβαση σε έγγραφα

1.Ο κανονισμός (ΕΚ) αριθ. 1049/2001 εφαρμόζεται για τα έγγραφα που τηρεί ο ENISA.

2.Το διοικητικό συμβούλιο εγκρίνει διατάξεις για την εφαρμογή του κανονισμού (ΕΚ) αριθ. 1049/2001.

3.Οι αποφάσεις που λαμβάνονται από τον ENISA σύμφωνα με το άρθρο 8 του κανονισμού (ΕΚ) αριθ. 1049/2001 είναι δυνατόν να αποτελέσουν αντικείμενο καταγγελίας στον Ευρωπαίο Διαμεσολαβητή σύμφωνα με το άρθρο 228 ΣΛΕΕ ή προσφυγής ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης σύμφωνα με το άρθρο 263 ΣΛΕΕ.

ΚΕΦΑΛΑΙΟ V 
Προσωπικό και αξιωματικοί-σύνδεσμοι

Άρθρο 56
Γενικές διατάξεις

1.Στους υπαλλήλους του ENISA εφαρμόζονται ο κανονισμός υπηρεσιακής κατάστασης των υπαλλήλων και το καθεστώς που εφαρμόζεται στο λοιπό προσωπικό, καθώς και οι κανόνες που θεσπίστηκαν με συμφωνία μεταξύ των θεσμικών οργάνων της Ένωσης για την εφαρμογή του κανονισμού υπηρεσιακής κατάστασης των υπαλλήλων και του καθεστώτος που εφαρμόζεται στο λοιπό προσωπικό.

2.Το προσωπικό του ENISA, οι αξιωματικοί-σύνδεσμοι και οι αποσπασμένοι εθνικοί εμπειρογνώμονες στον ENISA υποβάλλονται στην κατάλληλη διαδικασία ελέγχου ασφαλείας.

Άρθρο 57
Προνόμια και ασυλίες

Το πρωτόκολλο αριθ. 7 περί των προνομίων και ασυλιών της Ευρωπαϊκής Ένωσης το οποίο προσαρτάται στη ΣΕΕ και στη ΣΛΕΕ εφαρμόζεται στον ENISA και το προσωπικό του.

Άρθρο 58
Αξιωματικοί-σύνδεσμοι

1.Κάθε κράτος μέλος ορίζει τουλάχιστον δύο αξιωματικούς-συνδέσμους από εθνική αρμόδια αρχή που έχει οριστεί σύμφωνα με το άρθρο 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 ως αποσπασμένους εθνικούς εμπειρογνώμονες στον ENISA για να εργάζονται στην έδρα του ή στο τοπικό γραφείο του, σύμφωνα με το άρθρο 59 παράγραφος 2. Η Επιτροπή μπορεί επίσης να ορίσει έναν αξιωματικό-σύνδεσμο.

2.Οι αξιωματικοί-σύνδεσμοι συμβάλλουν στην εκτέλεση των καθηκόντων του ENISA, μεταξύ άλλων διευκολύνοντας την επιχειρησιακή συνεργασία και την ανταλλαγή πληροφοριών όπως αναφέρεται στο άρθρο 11. Οι αξιωματικοί-σύνδεσμοι υποστηρίζουν επίσης τον ENISA στη διάδοση πληροφοριών σχετικά με τις δραστηριότητες, τα πορίσματα και τις συστάσεις του στους σχετικούς συμφεροντούχους σε ολόκληρη την Ένωση. Επιπλέον, ενεργούν ως εθνικά σημεία επαφής για ερωτήματα που υποβάλλουν τα κράτη μέλη τους και για ερωτήματα τα οποία σχετίζονται με κράτη μέλη τους, είτε απαντώντας στα εν λόγω ερωτήματα άμεσα είτε μέσω επαφών με τις εθνικές διοικήσεις τους.

3.Οι αξιωματικοί-σύνδεσμοι που έχουν διοριστεί από τα κράτη μέλη τους έχουν το δικαίωμα να ζητούν και να λαμβάνουν κάθε σχετική πληροφορία από τα κράτη μέλη τους, όπως προβλέπεται στον παρόντα κανονισμό, σεβόμενοι ταυτόχρονα πλήρως το εθνικό δίκαιο και τις πρακτικές των κρατών μελών, ιδίως όσον αφορά την προστασία των δεδομένων και την εμπιστευτικότητα.

Άρθρο 59
Αποσπασμένοι εμπειρογνώμονες και λοιπό προσωπικό

1.Ο ENISA μπορεί να χρησιμοποιεί αποσπασμένους εθνικούς εμπειρογνώμονες ή άλλο προσωπικό που δεν απασχολείται από τον ENISA, σε οποιονδήποτε τομέα εργασίας του. Στο προσωπικό αυτό δεν εφαρμόζεται ο κανονισμός υπηρεσιακής κατάστασης ούτε το καθεστώς που εφαρμόζεται στο λοιπό προσωπικό.

2.Το διοικητικό συμβούλιο λαμβάνει απόφαση με την οποία καθορίζει τους κανόνες για την απόσπαση εθνικών εμπειρογνωμόνων, συμπεριλαμβανομένων αξιωματικών-συνδέσμων, στον ENISA.

ΚΕΦΑΛΑΙΟ VI 
ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ ΠΟΥ ΑΦΟΡΟΥΝ ΤΟΝ ENISA

Άρθρο 60
Νομικό καθεστώς του ENISA

1.Ο ENISA αποτελεί όργανο της Ένωσης με νομική προσωπικότητα.

2.Σε κάθε κράτος μέλος, ο ENISA διαθέτει την ευρύτερη δυνατή νομική ικανότητα που παρέχεται στα νομικά πρόσωπα βάσει του εθνικού δικαίου του εκάστοτε κράτους μέλους. Δύναται ιδίως να αποκτά και να διαθέτει κινητή και ακίνητη περιουσία και να παρίσταται ενώπιον δικαστηρίου.

3.Ο ENISA εκπροσωπείται από τον εκτελεστικό διευθυντή.

Άρθρο 61
Έδρα

Ο ENISA έχει την έδρα του στην Αθήνα (Ελλάδα).

Άρθρο 62
Συμφωνία σχετικά με την έδρα και όροι λειτουργίας

1.Οι απαραίτητες ρυθμίσεις για την εγκατάσταση του ENISA στο κράτος μέλος υποδοχής και τα μέσα που πρέπει να τίθενται στη διάθεσή του από το εν λόγω κράτος μέλος, παράλληλα με τους ειδικούς κανόνες που εφαρμόζονται στο κράτος μέλος υποδοχής όσον αφορά τον εκτελεστικό διευθυντή, τα μέλη του διοικητικού συμβουλίου, το προσωπικό του ENISA και τα μέλη των οικογενειών τους, ορίζονται σε συμφωνία για την έδρα η οποία συνάπτεται μεταξύ του ENISA και του κράτους μέλους υποδοχής, μόλις ληφθεί η έγκριση του διοικητικού συμβουλίου.

2.Το κράτος μέλος υποδοχής του ENISA εξασφαλίζει τις καλύτερες δυνατές συνθήκες για τη διασφάλιση της εύρυθμης λειτουργίας του ENISA, λαμβάνοντας υπόψη την προσβασιμότητα του τόπου εγκατάστασης, την ύπαρξη κατάλληλων εκπαιδευτικών δυνατοτήτων για τα τέκνα των υπαλλήλων, την κατάλληλη πρόσβαση στην αγορά εργασίας, την κοινωνική ασφάλιση και την ιατροφαρμακευτική φροντίδα τόσο για τα τέκνα όσο και για τις συζύγους των μελών του προσωπικού.

Άρθρο 63
Διοικητικός έλεγχος

Οι δραστηριότητες του ENISA υπόκεινται στην εποπτεία του Ευρωπαίου Διαμεσολαβητή, σύμφωνα με τις διατάξεις του άρθρου 228 ΣΛΕΕ.

Άρθρο 64
Ευθύνη του ENISA

1.Η συμβατική ευθύνη του ENISA διέπεται από το εφαρμοστέο στην οικεία σύμβαση δίκαιο.

2.Το Δικαστήριο της Ευρωπαϊκής Ένωσης είναι αρμόδιο να αποφαίνεται δυνάμει ρήτρας διαιτησίας που περιλαμβάνεται σε σύμβαση που συνάπτει ο ENISA.

3.Σε περίπτωση μη συμβατικής ευθύνης, ο ENISA αποκαθιστά, σύμφωνα με τις γενικές αρχές που είναι κοινές στο δίκαιο των κρατών μελών, οποιαδήποτε ζημία προκαλείται από αυτόν ή από τους υπαλλήλους του κατά την εκτέλεση των καθηκόντων τους.

4.Το Δικαστήριο της Ευρωπαϊκής Ένωσης είναι αρμόδιο για την εκδίκαση οποιασδήποτε διαφοράς σχετική με την αποκατάσταση των ζημιών που αναφέρονται στην παράγραφο 3.

5.Η προσωπική ευθύνη των μελών του προσωπικού του ENISA έναντι του ENISA διέπεται από τις διατάξεις του κανονισμού υπηρεσιακής κατάστασης ή του καθεστώτος που εφαρμόζεται στο λοιπό προσωπικό.

Άρθρο 65
Γλωσσικό καθεστώς

1.Ο ENISA υπόκειται στις διατάξεις του κανονισμού αριθ. 1 του Συμβουλίου 79 . Τα κράτη μέλη και οι άλλοι φορείς τους οποίους ορίζουν τα κράτη μέλη μπορούν να απευθύνονται στον ENISA και να λαμβάνουν απάντηση στην επίσημη γλώσσα των θεσμικών οργάνων της Ένωσης που επιλέγουν.

2.Τις μεταφραστικές και όλες τις λοιπές γλωσσικές υπηρεσίες που είναι αναγκαίες για τη λειτουργία του ENISA, εκτός από τις υπηρεσίες διερμηνείας, τις εξασφαλίζει το Μεταφραστικό Κέντρο των Οργάνων της Ευρωπαϊκής Ένωσης.

Άρθρο 66
Προστασία δεδομένων προσωπικού χαρακτήρα

1.Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον ENISA υπόκειται στον κανονισμό (ΕΕ) 2018/1725.

2.Το διοικητικό συμβούλιο θεσπίζει τους κανόνες εφαρμογής που αναφέρονται στο άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2018/1725. Το διοικητικό συμβούλιο μπορεί να θεσπίζει τις πρόσθετες διατάξεις που απαιτούνται για την εφαρμογή του κανονισμού (ΕΕ) 2018/1725 από τον ENISA.

Άρθρο 67
Κανόνες ασφάλειας για την προστασία ευαίσθητων μη διαβαθμισμένων πληροφοριών και διαβαθμισμένων πληροφοριών

Σε συμφωνία με την Επιτροπή, ο ENISA θεσπίζει κανόνες ασφάλειας εφαρμόζοντας τις αρχές ασφάλειας που περιέχονται στους κανόνες ασφάλειας της Επιτροπής σχετικά με την προστασία των ευαίσθητων μη διαβαθμισμένων πληροφοριών και των ΔΠΕΕ που καθορίζονται στις αποφάσεις (ΕΚ, Ευρατόμ) 2015/443 80 και (ΕΚ, Ευρατόμ) 2015/444 81 . Οι εν λόγω κανόνες ασφάλειας περιλαμβάνουν διατάξεις που έχουν σχέση με την ανταλλαγή, την επεξεργασία και την αποθήκευση τέτοιων πληροφοριών.

Άρθρο 68
Συνεργασία με οντότητες της Ένωσης και εθνικές αρχές

1.Για τη διασφάλιση της συνέπειας, τη δημιουργία συνεργειών και την αντιμετώπιση ζητημάτων κοινού ενδιαφέροντος, ο ENISA συνεργάζεται σε θέματα που σχετίζονται με την κυβερνοασφάλεια με τη CERT-ΕΕ και με σχετικές οντότητες της Ένωσης, συμπεριλαμβανομένων της Ευρωπόλ, του Ευρωπαϊκού Κέντρου Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας που συστάθηκε δυνάμει του κανονισμού (ΕΕ) 2021/887 και του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων που συστάθηκε δυνάμει του άρθρου 68 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679.

2.Η συνεργασία που αναφέρεται στην παράγραφο 1 μπορεί να διασφαλιστεί μέσω:

α)της ανταλλαγής τεχνογνωσίας και βέλτιστων πρακτικών,

β)της παροχής συμβουλών και της έκδοσης κατευθυντήριων γραμμών για θέματα σχετικά με την κυβερνοασφάλεια·

γ)της θέσπισης πρακτικών ρυθμίσεων για την εκτέλεση συγκεκριμένων καθηκόντων κατόπιν διαβούλευσης με την Επιτροπή.

3.Ο ENISA συμμετέχει σε διαρθρωμένη συνεργασία με τη CERT-ΕΕ, ειδικότερα σε θέματα που σχετίζονται με την ανάπτυξη ικανοτήτων, την επιχειρησιακή συνεργασία και τις μακροπρόθεσμες στρατηγικές αναλύσεις κυβερνοαπειλών.

4.Ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες με τις σχετικές αρχές εποπτείας της αγοράς και τις εποπτικές αρχές που έχουν οριστεί βάσει της ενωσιακής νομοθεσίας στον τομέα της κυβερνοασφάλειας, συμπεριλαμβανομένου του κανονισμού (ΕΕ) 2024/2847.

Άρθρο 69
Συνεργασία με συμφεροντούχους

1.Όταν είναι αναγκαίο για την επίτευξη των στόχων του παρόντος κανονισμού, ο ENISA συνεργάζεται με σχετικούς συμφεροντούχους, όπως τον κλάδο της κυβερνοασφάλειας, τον κλάδο των ΤΠΕ, μικρομεσαίες επιχειρήσεις, οντότητες που δραστηριοποιούνται στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, κατασκευαστές, εισαγωγείς ή διανομείς προϊόντων με ψηφιακά στοιχεία κατά την έννοια του κανονισμού (ΕΕ) 2024/2847, οργανισμούς αξιολόγησης της συμμόρφωσης που κοινοποιούνται βάσει του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας και του κανονισμού (ΕΕ) 2024/2847, οντότητες που δραστηριοποιούνται στον τομέα των μέσων ηλεκτρονικής ταυτοποίησης, ομάδες καταναλωτών και ακαδημαϊκούς εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας. Για τον σκοπό αυτό, ο ENISA μπορεί να συνάπτει συμπράξεις δημόσιου και ιδιωτικού τομέα.

2.Ο ENISA, σε διαβούλευση με την Επιτροπή, υποστηρίζει τη συνεργασία μεταξύ των κοινοποιημένων οργανισμών αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 93. Ειδικότερα, μπορεί να συγκροτήσει ομάδα κοινοποιημένων οργανισμών αξιολόγησης της συμμόρφωσης για την ανταλλαγή βέλτιστων πρακτικών, δημιουργώντας συνέργειες με άλλες σχετικές νομοθετικές πράξεις της Ένωσης, και ειδικότερα με τον κανονισμό (ΕΕ) 2024/2847.

Άρθρο 70
Συνεργασία με τρίτες χώρες και διεθνείς οργανισμούς

1.Στον βαθμό που είναι αναγκαίο για την επίτευξη των στόχων του παρόντος κανονισμού, ο ENISA δύναται να συνεργάζεται με τις αρμόδιες αρχές τρίτων χωρών, ή με διεθνείς οργανισμούς, ή και με τα δύο, σύμφωνα με τις προτεραιότητες της Ένωσης. Για τον σκοπό αυτό, ο ENISA δύναται, κατόπιν προηγούμενης έγκρισης της Επιτροπής, να συνάπτει συμφωνίες συνεργασίας με τις εν λόγω αρχές τρίτων χωρών και διεθνείς οργανισμούς. Οι εν λόγω συμφωνίες συνεργασίας δεν δημιουργούν έννομες υποχρεώσεις στην Ένωση και τα κράτη μέλη της.

2.Το διοικητικό συμβούλιο εγκρίνει στρατηγική σχέσεων με τρίτες χώρες και διεθνείς οργανισμούς σχετικά με ζητήματα για τα οποία είναι αρμόδιος ο ENISA και σύμφωνα με τις προτεραιότητες που αναφέρονται στην παράγραφο 1. Η Επιτροπή διασφαλίζει ότι ο ENISA λειτουργεί εντός των ορίων της εντολής του και του υπάρχοντος θεσμικού πλαισίου, μέσω της σύναψης κατάλληλης συμφωνίας συνεργασίας με τον εκτελεστικό διευθυντή.

3.Για τη στήριξη της συνεργασίας με τρίτες χώρες, ιδίως χώρες υποψήφιες για προσχώρηση στην Ένωση, ο ENISA μπορεί να παρέχει την εμπειρογνωσία του όσον αφορά την ανάπτυξη ικανοτήτων, ειδικότερα στους ακόλουθους τομείς:

α)αξιολόγηση του επιπέδου ωριμότητας των ικανοτήτων και των πόρων στον τομέα της κυβερνοασφάλειας·

β)ανάπτυξη και ενίσχυση του εργατικού δυναμικού στον τομέα της κυβερνοασφάλειας, μεταξύ άλλων με την προώθηση του ΕΠΔΚ και των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, και με τη διεξαγωγή δραστηριοτήτων μάθησης και κατάρτισης·

γ)στήριξη του σχεδιασμού και της εκτέλεσης ασκήσεων κυβερνοασφάλειας.

4.Ο ENISA είναι ανοικτός στη συμμετοχή στις εργασίες του τρίτων χωρών οι οποίες έχουν συνάψει σχετικές συμφωνίες με την Ένωση. Σύμφωνα με τις σχετικές διατάξεις συμφωνιών που έχουν συναφθεί μεταξύ τρίτων χωρών και της Ένωσης, θεσπίζονται συμφωνίες συνεργασίας, με την επιφύλαξη προηγούμενης έγκρισης από την Επιτροπή, οι οποίες ορίζουν, ειδικότερα, τη φύση, την έκταση και τον τρόπο συμμετοχής εκάστης των εν λόγω τρίτων χωρών στο έργο του ENISA και περιλαμβάνουν διατάξεις σχετικά με τη συμμετοχή στις πρωτοβουλίες που αναλαμβάνει ο ENISA, την οικονομική συμβολή και το προσωπικό. Στα ζητήματα προσωπικού, οι εν λόγω συμφωνίες συνεργασίας τηρούν πάντοτε τον κανονισμό υπηρεσιακής κατάστασης και το καθεστώς που εφαρμόζεται στο λοιπό προσωπικό.

5.Ο ENISA υποβάλλει τακτικά εκθέσεις στο Συμβούλιο και την Επιτροπή σχετικά με την εφαρμογή των συμφωνιών συνεργασίας που αναφέρονται στις παραγράφους 1 και 4.

ΤΙΤΛΟΣ III

ΕΥΡΩΠΑΪΚΟ ΠΛΑΙΣΙΟ ΠΙΣΤΟΠΟΙΗΣΗΣ ΤΗΣ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ

ΚΕΦΑΛΑΙΟ I 
Στόχοι, πεδίο εφαρμογής και διαδικασίες

Άρθρο 71
Στόχοι και πεδίο εφαρμογής του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας

1.Το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας θεσπίζεται με σκοπό τη δημιουργία ψηφιακής ενιαίας αγοράς για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και οντότητες. Για τον σκοπό αυτό, αυξάνει το επίπεδο κυβερνοασφάλειας εντός της Ένωσης και καθιστά δυνατή μια εναρμονισμένη προσέγγιση όσον αφορά τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, ενώ επίσης αξιοποιεί την πιστοποίηση για τη διευκόλυνση της συμμόρφωσης με την ισχύουσα νομοθεσία της Ένωσης.

2.Το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας προβλέπει μηχανισμό για τη θέσπιση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας και τη βεβαίωση των ακόλουθων:

α)ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ που έχουν αξιολογηθεί σύμφωνα με τα εν λόγω σχήματα συμμορφώνονται με συγκεκριμένες απαιτήσεις ασφάλειας με σκοπό να διαφυλάσσεται η διαθεσιμότητα, η γνησιότητα, η ακεραιότητα και η εμπιστευτικότητα αποθηκευμένων ή διαβιβαζόμενων ή επεξεργασμένων δεδομένων ή των σχετικών λειτουργιών ή υπηρεσιών που παρέχονται ή είναι προσβάσιμες μέσω των εν λόγω προϊόντων, υπηρεσιών και διαδικασιών σε όλη τη διάρκεια του κύκλου ζωής τους·

β)ότι οι διαχειριζόμενες υπηρεσίες ασφάλειας που έχουν αξιολογηθεί σύμφωνα με τα εν λόγω σχήματα συμμορφώνονται με συγκεκριμένες απαιτήσεις ασφάλειας με σκοπό την προστασία της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων τα οποία είναι προσβάσιμα, υποβάλλονται σε επεξεργασία, αποθηκεύονται ή διαβιβάζονται σε σχέση με την παροχή των εν λόγω υπηρεσιών, και ότι οι εν λόγω υπηρεσίες παρέχονται συνεχώς με την απαιτούμενη επάρκεια, εμπειρογνωσία και πείρα από προσωπικό με επαρκές και κατάλληλο επίπεδο σχετικών τεχνικών γνώσεων και επαγγελματικής ακεραιότητας·

γ)ότι η κυβερνοστάση μιας οντότητας που έχει αξιολογηθεί σύμφωνα με τα εν λόγω σχήματα συμμορφώνεται με συγκεκριμένες απαιτήσεις κυβερνοασφάλειας.

3.Η ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας είναι εθελοντική, εκτός αν προσδιορίζεται διαφορετικά στο ενωσιακό ή το εθνικό δίκαιο.

4.Τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και οι δηλώσεις συμμόρφωσης ΕΕ που εκδίδονται βάσει του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας αναγνωρίζονται αυτόματα σε όλα τα κράτη μέλη.

Άρθρο 72
Ενημέρωση του κοινού και διαβούλευση

1.Τουλάχιστον μία φορά ετησίως η Επιτροπή διοργανώνει, με την υποστήριξη του ENISA, ευρωπαϊκή συνέλευση πιστοποίησης της κυβερνοασφάλειας, καλώντας τα μέλη της ΕΟΠΙΚ και άλλους σχετικούς εμπειρογνώμονες από τα κράτη μέλη, σχετικούς εμπειρογνώμονες από οντότητες της Ένωσης και σχετικούς συμφεροντούχους να συζητήσουν στρατηγικές προτεραιότητες για την εναρμόνιση στον τομέα της πιστοποίησης της κυβερνοασφάλειας.

2.Η Επιτροπή διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει πληροφορίες σχετικά με τις ακόλουθες πτυχές:

α)τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας που έχει ζητηθεί να αναπτυχθούν σύμφωνα με το άρθρο 73·

β)στρατηγικές προτεραιότητες για την εναρμόνιση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας, της κυβερνοστάσης οντοτήτων ή των απαιτήσεων ασφάλειας της νομοθεσίας της Ένωσης, συμπεριλαμβανομένων πιθανών τομέων για τους οποίους ενδέχεται να ζητηθεί ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.

3.Η Επιτροπή δημοσιοποιεί στον ιστότοπο που αναφέρεται στην παράγραφο 2 του παρόντος άρθρου τις πληροφορίες σχετικά με το αίτημά της προς τον ENISA για την επεξεργασία υποψήφιου σχήματος, όπως αναφέρεται στο άρθρο 73, και την απόφασή της να αποδεχτεί, να απορρίψει ή να διακόψει υποψήφιο σχήμα που έχει διαβιβαστεί από τον ENISA σύμφωνα με το άρθρο 74 παράγραφος 7.

4.Κατά την κατάρτιση υποψήφιου σχήματος από τον ENISA δυνάμει του άρθρου 74, το Ευρωπαϊκό Κοινοβούλιο μπορούν το Συμβούλιο μπορούν να ζητήσουν από την Επιτροπή, υπό την ιδιότητά της ως προέδρου της ΕΟΠΙΚ και του ENISA, να υποβάλουν σχετικές πληροφορίες για σχέδιο υποψήφιου σχήματος. Κατόπιν αιτήματος του Ευρωπαϊκού Κοινοβουλίου ή του Συμβουλίου, ο ENISA, σε συμφωνία με την Επιτροπή και με την επιφύλαξη του άρθρου 54, μπορεί να θέτει στη διάθεση του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου τα σχετικά μέρη σχεδίου υποψήφιου σχήματος κατά τρόπο κατάλληλο για το απαιτούμενο επίπεδο εμπιστευτικότητας και, κατά περίπτωση, με περιορισμούς.

5.Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο μπορούν να προσκαλέσουν την Επιτροπή και τον ENISA να συζητήσουν θέματα που αφορούν την εφαρμογή των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων.

Άρθρο 73
Αιτήματα για ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας

1.Η Επιτροπή μπορεί να ζητήσει από τον ENISA να επεξεργαστεί υποψήφιο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων.

2.Σε δεόντως αιτιολογημένες περιπτώσεις, η ΕΟΠΙΚ μπορεί να προτείνει στην Επιτροπή να υποβάλει αίτημα που αναφέρεται στην παράγραφο 1.

3.Το αίτημα που αναφέρεται στην παράγραφο 1 περιγράφει λεπτομερώς τον σκοπό, το πεδίο εφαρμογής και τις λεπτομέρειες της επίτευξης των σχετικών στόχων ασφάλειας και των στοιχείων που καθορίζονται στα άρθρα 80 και 81. Στο αίτημα προσδιορίζεται επίσης το σχέδιο ανάπτυξης του υποψήφιου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας και οι σχετικές τεχνικές προδιαγραφές που πρέπει να αναφέρονται ή να καθορίζονται στο σύστημα.

4.Κατά την κατάρτιση του αιτήματος που αναφέρεται στην παράγραφο 1, η Επιτροπή διαβουλεύεται δεόντως με τον ENISA και την ΕΟΠΙΚ, ενώ, επίσης, λαμβάνει υπόψη τις απόψεις όλων των σχετικών συμφεροντούχων και άλλων οντοτήτων της Ένωσης, συμπεριλαμβανομένων, κατά περίπτωση, εκείνων που είναι συναφείς βάσει της ενωσιακής νομοθεσίας με την οποία ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας αποδεικνύει τη συμμόρφωση και παρέχει τεκμήριο συμμόρφωσης.

Άρθρο 74
Επεξεργασία και έγκριση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

1.Το αργότερο 12 μήνες μετά την παραλαβή αιτήματος από την Επιτροπή σύμφωνα με το άρθρο 73, εκτός εάν ορίζεται διαφορετικά στο αίτημα, ο ENISA επεξεργάζεται υποψήφιο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που πληροί τις απαιτήσεις των άρθρων 80 και 81.

2.Για την επεξεργασία κάθε υποψήφιου σχήματος, ο ENISA συγκροτεί ad hoc ομάδα εργασίας σύμφωνα με το άρθρο 32 παράγραφος 6, με σκοπό την παροχή εμπειρογνωσίας στον ENISA.

3.Κατά την επεξεργασία του υποψήφιου σχήματος, ο ENISA συνεργάζεται στενά με την ΕΟΠΙΚ. Η ΕΟΠΙΚ παρέχει στον ENISA συνδρομή και εμπειρογνωσία σε σχέση με την επεξεργασία του υποψήφιου σχήματος και, κατά περίπτωση, υποστηρικτικές τεχνικές προδιαγραφές.

4.Κατά την επεξεργασία του υποψήφιου σχήματος, συμπεριλαμβανομένων, κατά περίπτωση, των υποστηρικτικών τεχνικών προδιαγραφών, ο ENISA διαβουλεύεται εγκαίρως με τους συμφεροντούχους μέσω επίσημης, ανοικτής, διαφανούς και συμπεριληπτικής διαδικασίας διαβούλευσης. Ο ENISA συνεργάζεται επίσης με τις αρμόδιες δημόσιες αρχές των κρατών μελών και με τις σχετικές οντότητες της Ένωσης για να συγκεντρώσει την εμπειρογνωσία τους σε σχέση με την επεξεργασία του υποψήφιου σχήματος και, κατά περίπτωση, των υποστηρικτικών τεχνικών προδιαγραφών. Κατά τη διαβίβαση του υποψήφιου σχήματος στην Επιτροπή, δυνάμει της παραγράφου 6, ο ENISA περιγράφει τον τρόπο με τον οποίο συμμορφώθηκε με την παρούσα παράγραφο.

5.Πριν από τη διαβίβαση του υποψήφιου σχήματος και, κατά περίπτωση, των υποστηρικτικών τεχνικών προδιαγραφών στην Επιτροπή, ο ENISA ζητεί από τα μέλη της ΕΟΠΙΚ να υποβάλουν γραπτές γνώμες σχετικά με το υποψήφιο σύστημα. Οι γνώμες διαβιβάζονται το αργότερο εντός 30 ημερών από την ημερομηνία υποβολής του αιτήματος. Ο ENISA λαμβάνει όσο το δυνατόν περισσότερο υπόψη τις γνώμες των μελών της ΕΟΠΙΚ. Η απουσία τέτοιων γνωμών δεν εμποδίζει τον ENISA να διαβιβάσει το υποψήφιο σχήμα στην Επιτροπή.

6.Ο ENISA διαβιβάζει το υποψήφιο σχήμα στην Επιτροπή το αργότερο εντός 60 ημερών από την ημερομηνία του αιτήματος που αναφέρεται στην παράγραφο 5.

7.Η Επιτροπή, όταν λάβει το υποψήφιο σχήμα, αξιολογεί αν το σχήμα ανταποκρίνεται στο αίτημα που υποβλήθηκε σύμφωνα με το άρθρο 73. Εντός 30 ημερών από την ημερομηνία διαβίβασης του εν λόγω υποψήφιου σχήματος, η Επιτροπή προβαίνει σε μία από τις ακόλουθες ενέργειες:

α)αποδέχεται το υποψήφιο σχήμα·

β)επιστρέφει το υποψήφιο σχήμα στον ENISA προς αναθεώρηση μαζί με αιτιολόγηση της εν λόγω επιστροφής και ορίζει προθεσμία που δεν υπερβαίνει τις 90 ημέρες εντός της οποίας ο ENISA διαβιβάζει αναθεωρημένο υποψήφιο σχήμα·

γ)απορρίπτει το υποψήφιο σχήμα.

8.Όταν η Επιτροπή επιστρέφει υποψήφιο σχήμα στον ENISA για αναθεώρηση σύμφωνα με την παράγραφο 7 στοιχείο β), εφαρμόζονται αναλόγως οι παράγραφοι 4, 5 και 7.

9.Η Επιτροπή, με βάση το αποδεκτό υποψήφιο σχήμα που επεξεργάστηκε ο ENISA, εξουσιοδοτείται να εκδίδει εκτελεστικές πράξεις που προβλέπουν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων το οποίο πληροί τις απαιτήσεις των άρθρων 80 και 81. Η εν λόγω εκτελεστική πράξη εκδίδεται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

10.Η Επιτροπή μπορεί να παραπέμπει σε τεχνικές προδιαγραφές που καταρτίζει ο ENISA στις εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 9 του παρόντος άρθρου, σύμφωνα με τα άρθρα 18 και 77.

11.Η Επιτροπή μπορεί να προσδιορίζει τις προϋποθέσεις για τη διεθνή αναγνώριση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας στις εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 9 του παρόντος άρθρου, σύμφωνα με το άρθρο 87.

Άρθρο 75
Συντήρηση ενός ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας

1.Κάθε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας θεσπίζει στρατηγική συντήρησης. Η στρατηγική συντήρησης περιγράφει τις προσδοκίες όσον αφορά τις δραστηριότητες συντήρησης, ιδίως εκείνες που σχετίζονται με τα πρότυπα ή τις τεχνικές προδιαγραφές που αναφέρονται στο σχήμα και με την αλληλεπίδραση με τους σχετικούς συμφεροντούχους.

2.Ο ENISA, σε συνεργασία με την Επιτροπή και με την υποστήριξη της ΕΟΠΙΚ και της οικείας σχετικής υποομάδας για τη συντήρηση, διασφαλίζει τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων ενόψει της πιθανής επανεξέτασης των εν λόγω σχημάτων από την Επιτροπή. Ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες με σχετικές ομάδες και οντότητες της Ένωσης σε σχέση με τις δραστηριότητες συντήρησης.

3.Ο ENISA μπορεί να οργανώνει τη συμμετοχή του ιδιωτικού τομέα για τη συντήρηση ενός σχήματος με τη μορφή ad hoc ομάδας εργασίας σύμφωνα με τη στρατηγική συντήρησης που αναφέρεται στην παράγραφο 1.

4.Οι δραστηριότητες συντήρησης των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας περιλαμβάνουν τα ακόλουθα:

α)την κατάρτιση, την επικαιροποίηση και την έγκριση τεχνικών προδιαγραφών και κατευθυντήριων γραμμών για την υποστήριξη της εναρμονισμένης και ομοιόμορφης λειτουργίας των σχημάτων·

β)τον προσδιορισμό προτύπων ή τεχνικών προδιαγραφών συναφών με το σχήμα·

γ)τις αλληλεπιδράσεις και, κατά περίπτωση, τη δημιουργία συνδέσμων με τους σχετικούς συμφεροντούχους, συμπεριλαμβανομένων ευρωπαϊκών ή διεθνών οργανισμών τυποποίησης, μεταξύ άλλων με σκοπό την εκπόνηση ή τη λήψη τεχνικών εισηγήσεων·

δ)την έκδοση συστάσεων προς την Επιτροπή σχετικά με τις αναγκαίες βελτιώσεις και επικαιροποιήσεις των σχημάτων, μεταξύ άλλων ενόψει πιθανής επανεξέτασης των σχημάτων·

ε)την ανταλλαγή πληροφοριών σχετικά με την πρακτική εφαρμογή των σχημάτων μεταξύ των κρατών μελών·

στ)την υποβολή στοιχείων σε μηχανισμούς αξιολόγησης από ομοτίμους και αποτίμησης από ομοτίμους, και την ανάλυση του αποτελέσματος των εν λόγω αξιολογήσεων για τη βελτίωση της λειτουργίας των σχημάτων και την υποστήριξη της πιθανής επανεξέτασής τους.

5.Η ΕΟΠΙΚ μπορεί να εκδίδει γνώμη σχετικά με τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας.

Άρθρο 76
Αξιολόγηση, επανεξέταση και ανάκληση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας

1.Τουλάχιστον ανά τετραετία μετά την έναρξη εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας, ο ENISA αξιολογεί τον αντίκτυπο και την αποτελεσματικότητα του εν λόγω σχήματος, σε συνεργασία με τη σχετική υποομάδα συντήρησης της ΕΟΠΙΚ και λαμβάνοντας υπόψη τις παρατηρήσεις που λαμβάνονται από συμφεροντούχους. Ο ENISA διεξάγει την αξιολόγηση διενεργώντας ανάλυση αγοράς σύμφωνα με το άρθρο 8 παράγραφος 1.

2.Μετά την αξιολόγηση που αναφέρεται στην παράγραφο 1, η Επιτροπή μπορεί να επανεξετάζει ή να ανακαλεί εκτελεστικές πράξεις που προβλέπουν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 74 παράγραφος 9.

3.Κατά την επανεξέταση ή την ανάκληση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, η Επιτροπή ζητεί τη γνώμη του ENISA, της ΕΟΠΙΚ και της σχετικής υποομάδας συντήρησης, ενώ λαμβάνει επίσης υπόψη τις απόψεις σχετικών συμφεροντούχων και άλλων οντοτήτων της Ένωσης.

4.Η ΕΟΠΙΚ μπορεί να εκδίδει γνώμη σχετικά με την επανεξέταση ή την ανάκληση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας. Η Επιτροπή τη λαμβάνει δεόντως υπόψη κατά την επανεξέταση ή την ανάκληση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.

Άρθρο 77 
Τεχνικές προδιαγραφές των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

1.Ο ENISA μπορεί να καταρτίζει τεχνικές προδιαγραφές ενόψει μελλοντικού ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας ή για την υποστήριξη της συντήρησης ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.

2.Οι τεχνικές προδιαγραφές που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου καταρτίζονται εγκαίρως, με την υποστήριξη της ΕΟΠΙΚ και των οικείων υποομάδων συντήρησης και, κατά περίπτωση, της αντίστοιχης ad hoc ομάδας εργασίας που αναφέρεται στο άρθρο 75 παράγραφος 3. Για τον σκοπό αυτό, ο ENISA ζητεί επίσης εισηγήσεις από σχετικές ομάδες συμφεροντούχων, λαμβάνοντας υπόψη τη στρατηγική συντήρησης που αναφέρεται στο άρθρο 75 παράγραφος 1.

3.Όταν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας κάνει αναφορά σε τεχνικές προδιαγραφές, όπως αναφέρεται στο άρθρο 74 παράγραφος 10, αυτές καθίστανται διαθέσιμες στον ιστότοπο που αναφέρεται στο άρθρο 79.

4.Σε δεόντως αιτιολογημένες περιπτώσεις, οι τεχνικές προδιαγραφές διανέμονται μόνο στους συμφεροντούχους τους οποίους αφορούν οι απαιτήσεις του σχήματος, ιδίως όταν οι εν λόγω τεχνικές προδιαγραφές περιέχουν πληροφορίες που θα μπορούσαν να θέσουν σε κίνδυνο την ασφάλεια πιστοποιημένων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάση οντοτήτων. Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας δεν παραπέμπουν σε τέτοιες προδιαγραφές, όπως αναφέρεται στο άρθρο 74 παράγραφος 10.

Άρθρο 78 
Διευκόλυνση της συμμόρφωσης με τη νομοθεσία της Ένωσης

1.Σε περίπτωση που κάτι τέτοιο προβλέπεται από συγκεκριμένη νομική πράξη της Ένωσης, πιστοποιητικό που εκδίδεται στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας μπορεί να καταδεικνύει τη συμμόρφωση και να παρέχει τεκμήριο συμμόρφωσης με τις αντίστοιχες απαιτήσεις της εν λόγω νομικής πράξης.

2.Οι δραστηριότητες αξιολόγησης στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας συνάδουν με την αντίστοιχη νομική πράξη της Ένωσης που καθορίζει την απόδειξη της συμμόρφωσης και το τεκμήριο συμμόρφωσης. Οι εν λόγω δραστηριότητες αξιολόγησης προσδιορίζονται στο σχήμα, όταν δεν προσδιορίζονται στην αντίστοιχη νομική πράξη της Ένωσης. Η αξιολόγηση της συμμόρφωσης για πιστοποίηση που παρέχει τεκμήριο συμμόρφωσης με τις απαιτήσεις που ορίζονται στη νομοθεσία της Ένωσης διενεργείται από τρίτο οργανισμό.

3.Εάν δεν υπάρχει εναρμονισμένο ενωσιακό δίκαιο, το δίκαιο των κρατών μελών μπορεί επίσης να προβλέπει ότι ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να χρησιμοποιείται για την απόδειξη της συμμόρφωσης και την εκπλήρωση του τεκμηρίου συμμόρφωσης με συγκεκριμένες νομικές απαιτήσεις που καθορίζονται στην εθνική νομοθεσία.

Άρθρο 79
Υιοθέτηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, ιστότοπος του ENISA και δημοσίευση πιστοποιητικών

1.Ο ENISA διοργανώνει δραστηριότητες για την προώθηση της υιοθέτησης εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων με τη διατήρηση του ιστότοπου που αναφέρεται στην παράγραφο 2 του παρόντος άρθρου.

2.Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει στο κοινό πληροφορίες σχετικά με:

α)τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας·

β)τα τέλη που συνδέονται με τη συντήρηση κάθε ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας·

γ)τις σχετικές τεχνικές προδιαγραφές του ENISA·

δ)τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και τις δηλώσεις συμμόρφωσης ΕΕ, συμπεριλαμβανομένων πληροφοριών σχετικά με πιστοποιητικά και δηλώσεις που δεν ισχύουν πλέον ή που έχουν ανασταλεί, ανακληθεί ή λήξει·

ε)σχετικές συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια που παρέχονται σύμφωνα με το άρθρο 84·

στ)συνόψεις αξιολογήσεων από ομοτίμους δυνάμει του άρθρου 89 παράγραφος 7·

ζ)τις τεχνικές προδιαγραφές που αναφέρονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 74 παράγραφος 10.

3.Κατά περίπτωση, ο ιστότοπος που αναφέρεται στην παράγραφο 2 δηλώνει επίσης τα εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας που έχουν αντικατασταθεί από ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.

ΚΕΦΑΛΑΙΟ II 
Περιεχόμενο των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

Άρθρο 80
Στόχοι ασφάλειας των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

1.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας επιδιώκει, κατά περίπτωση, τους ακόλουθους στόχους ασφάλειας:

α)διασφαλίζει ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ και οι διαχειριζόμενες υπηρεσίες ασφάλειας είναι ασφαλή εξ ορισμού και εκ σχεδιασμού·

β)προστατεύει δεδομένα που έχουν αποθηκευτεί, διαβιβαστεί ή αποτελέσει με άλλον τρόπο αντικείμενο επεξεργασίας από τυχαία ή μη εγκεκριμένη αποθήκευση, επεξεργασία, πρόσβαση ή αποκάλυψη, με τη χρήση κατάλληλων τεχνικών μέσων, λαμβάνοντας υπόψη ολόκληρο τον κύκλο ζωής των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ ή των διαδικασιών ΤΠΕ·

γ)προστατεύει την ακεραιότητα των δεδομένων προσωπικού χαρακτήρα και άλλων δεδομένων, των εντολών, των προγραμμάτων και των διαμορφώσεων που έχουν αποθηκευτεί, διαβιβαστεί ή αποτελέσει με άλλον τρόπο αντικείμενο επεξεργασίας, από κάθε παραποίηση ή τροποποίηση που δεν επιτρέπει ο χρήστης, και να γνωστοποιεί περιπτώσεις διαφθοράς, λαμβάνοντας υπόψη ολόκληρο τον κύκλο ζωής των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ ή των διαδικασιών ΤΠΕ·

δ)διασφαλίζει την προστασία από μη εξουσιοδοτημένη πρόσβαση με κατάλληλους μηχανισμούς ελέγχου, συμπεριλαμβανομένων, μεταξύ άλλων, συστημάτων επαλήθευσης ταυτότητας, διαχείρισης ταυτότητας ή πρόσβασης, και να αναφέρει κάθε πιθανή μη εξουσιοδοτημένη πρόσβαση·

ε)εντοπίζει και να τεκμηριώνει συνιστώσες και ευπάθειες, μεταξύ άλλων, κατά περίπτωση, με την κατάρτιση καταλόγου υλικών λογισμικού που να καλύπτει τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου·

στ)παρέχει πληροφορίες σχετικά με την ασφάλεια μέσω της καταγραφής και της παρακολούθησης σχετικών εσωτερικών δραστηριοτήτων, συμπεριλαμβανομένης της πρόσβασης σε δεδομένα, υπηρεσίες ή λειτουργίες ή της τροποποίησής τους, κατά περίπτωση, με μηχανισμό εξαίρεσης για τον χρήστη·

ζ)επαληθεύει ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ δεν έχουν γνωστές ευπάθειες που μπορούν να αποτελέσουν αντικείμενο εκμετάλλευσης·

η)προστατεύει τη διαθεσιμότητα ουσιωδών και βασικών λειτουργιών, ακόμη και μετά από περιστατικό, μεταξύ άλλων μέσω μέτρων ανθεκτικότητας και μετριασμού έναντι επιθέσεων άρνησης παροχής υπηρεσίας·

θ)ελαχιστοποιεί τις αρνητικές επιπτώσεις στη διαθεσιμότητα των υπηρεσιών που παρέχονται από άλλα δίκτυα και συσκευές στην περίπτωση φυσικού ή τεχνικού περιστατικού·

ι)διασφαλίζει ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ υποβάλλονται τακτικά σε δοκιμές και ότι επανεξετάζεται η ασφάλειά τους·

ια)διασφαλίζει ότι τυχόν ευπάθειες αντιμετωπίζονται και αποκαθίστανται χωρίς καθυστέρηση, μεταξύ άλλων μέσω επικαιροποιήσεων ασφάλειας, και ότι οι πληροφορίες σχετικά με τις διορθωμένες ευπάθειες κοινοποιούνται και δημοσιοποιούνται, εκτός εάν οι κίνδυνοι που συνεπάγεται η δημοσιοποίηση υπερτερούν των οφελών για την ασφάλεια·

ιβ)διασφαλίζει ότι εφαρμόζεται πολιτική για τη συντονισμένη γνωστοποίηση ευπαθειών·

ιγ)διευκολύνει την ανταλλαγή πληροφοριών σχετικά με πιθανές ευπάθειες των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ και των διαδικασιών ΤΠΕ·

ιδ)διασφαλίζει ότι, όταν διατίθενται ενημερώσεις ασφάλειας για την αντιμετώπιση προσδιορισθέντων ζητημάτων ασφάλειας, οι εν λόγω ενημερώσεις ασφάλειας διαδίδονται χωρίς καθυστέρηση·

ιε)διασφαλίζει ότι οι διαχειριζόμενες υπηρεσίες ασφάλειας παρέχονται με την απαιτούμενη επάρκεια, εμπειρογνωσία και πείρα, μεταξύ άλλων ότι το προσωπικό που είναι επιφορτισμένο με την παροχή των εν λόγω υπηρεσιών διαθέτει επαρκές και κατάλληλο επίπεδο τεχνικών γνώσεων και ικανοτήτων στον συγκεκριμένο τομέα, επαρκή και κατάλληλη πείρα, καθώς και το υψηλότερο επίπεδο επαγγελματικής ακεραιότητας·

ιστ)διασφαλίζει ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ και οι διαδικασίες ΤΠΕ που χρησιμοποιούνται κατά την παροχή των διαχειριζόμενων υπηρεσιών ασφάλειας είναι ασφαλή εκ σχεδιασμού και εξ ορισμού και, κατά περίπτωση, περιλαμβάνουν τις πιο πρόσφατες επικαιροποιήσεις ασφάλειας και δεν περιέχουν δημόσια γνωστές ευπάθειες·

ιζ)διασφαλίζει ότι η πιστοποιημένη οντότητα εφαρμόζει κατάλληλες εσωτερικές διαδικασίες που εξασφαλίζουν ότι το επίπεδο ποιότητας των παρεχόμενων υπηρεσιών είναι πάντοτε επαρκές και κατάλληλο·

ιη)διασφαλίζει ότι η πιστοποιημένη οντότητα είναι σε θέση να προσδιορίζει, να εντοπίζει, να αντιμετωπίζει περιστατικά, καθώς και να προστατεύει και να ανακάμπτει από αυτά·

ιθ)διασφαλίζει ότι η πιστοποιημένη οντότητα είναι σε θέση να διαχειρίζεται τους κινδύνους για την ασφάλεια των συστημάτων δικτύου και πληροφοριών που χρησιμοποιεί η οντότητα για τις δραστηριότητές της ή για την παροχή των υπηρεσιών της, και προλαμβάνει ή ελαχιστοποιεί τις επιπτώσεις των περιστατικών στους αποδέκτες των υπηρεσιών της ή σε άλλες υπηρεσίες·

κ)διασφαλίζει ότι η πιστοποιημένη οντότητα είναι σε θέση να διαμορφώνει, να εξασφαλίζει και να επανεξετάζει την επιχειρησιακή ακεραιότητα και αξιοπιστία της, διασφαλίζοντας, άμεσα ή έμμεσα μέσω της χρήσης υπηρεσιών που προσφέρονται από τρίτους παρόχους υπηρεσιών ΤΠΕ, το πλήρες φάσμα των ικανοτήτων ΤΠΕ που απαιτούνται, ώστε να ανταποκρίνεται στην ασφάλεια των συστημάτων δικτύου και πληροφοριών που χρησιμοποιεί η οντότητα και τα οποία υποστηρίζουν τη συνεχή παροχή υπηρεσιών και την ποιότητά τους, μεταξύ άλλων καθ’ όλη τη διάρκεια διαταραχών·

κα)διασφαλίζει ότι η πιστοποιημένη οντότητα είναι σε θέση να εφαρμόζει και να διατηρεί σύστημα διαχείρισης της ασφάλειας των πληροφοριών·

κβ)ανθίσταται σε κάθε συμβάν που ενδέχεται να θέσει σε κίνδυνο τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα δεδομένων που έχουν αποθηκευτεί, διαβιβαστεί ή υποβληθεί σε επεξεργασία ή των υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω του συστήματος δικτύου και πληροφοριών που χρησιμοποιεί η οντότητα, και διασφαλίζει τη συνεχή παροχή υπηρεσιών και την ποιότητά τους, μεταξύ άλλων καθ’ όλη τη διάρκεια διαταραχών·

κγ)διασφαλίζει ότι η οντότητα είναι σε θέση να εγγυάται την ασφάλεια της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

2.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 119 για την τροποποίηση της παραγράφου 1 του παρόντος άρθρου με την προσθήκη ή την τροποποίηση στόχων ασφάλειας, προκειμένου να διασφαλίζεται ότι αντικατοπτρίζουν τις τελευταίες τεχνολογικές εξελίξεις και τις νέες σχετικές απειλές, καθώς και τη θέσπιση νέας ενωσιακής νομοθεσίας για τον καθορισμό της απόδειξης της συμμόρφωσης και του τεκμηρίου συμμόρφωσης μέσω της ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας με τις σχετικές απαιτήσεις κυβερνοασφάλειας της εν λόγω νομοθεσίας.

3.Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας που αφορούν προϊόντα με ψηφιακά στοιχεία, όπως ορίζονται στο άρθρο 3 σημείο 1) του κανονισμού (ΕΕ) 2024/2847, σχεδιάζονται σύμφωνα με τις ουσιώδεις απαιτήσεις κυβερνοασφάλειας που καθορίζονται στο παράρτημα I του εν λόγω κανονισμού και λαμβάνουν υπόψη τα διαθέσιμα εναρμονισμένα πρότυπα.

Άρθρο 81
Στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

1.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας περιλαμβάνει τουλάχιστον τα ακόλουθα:

α)το αντικείμενο και το πεδίο εφαρμογής του σχήματος πιστοποίησης, συμπεριλαμβανομένων του τύπου ή των κατηγοριών των προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή των πάγιων στοιχείων, υπηρεσιών και λειτουργιών της οντότητας που καλύπτονται από το πεδίο εφαρμογής της πιστοποίησης·

β)σαφή περιγραφή του σκοπού του σχήματος και, κατά περίπτωση, προσδιορισμό της ενωσιακής νομοθεσίας που καθορίζει τις απαιτήσεις για τις οποίες τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας αποδεικνύουν συμμόρφωση και παρέχουν τεκμήριο συμμόρφωσης·

γ)τη στρατηγική συντήρησης στην οποία προσδιορίζεται η προσέγγιση των δραστηριοτήτων συντήρησης σύμφωνα με το άρθρο 75·

δ)τις ειδικές απαιτήσεις κυβερνοασφάλειας, τα κριτήρια αξιολόγησης και τις μεθόδους που πρέπει να χρησιμοποιούνται για την αξιολόγηση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης των οντοτήτων, καθώς και αναφορές στα διεθνή, ευρωπαϊκά ή εθνικά πρότυπα που εφαρμόζονται κατά την αξιολόγηση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης των οντοτήτων, ή, όταν τα εν λόγω πρότυπα δεν είναι διαθέσιμα ή κατάλληλα, στις τεχνικές προδιαγραφές που καταρτίζει ο ENISA σύμφωνα με το άρθρο 77 ή, εάν τέτοιες προδιαγραφές δεν είναι διαθέσιμες, σε άλλες τεχνικές προδιαγραφές·

ε)τη μέγιστη περίοδο ισχύος ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας που εκδίδονται δυνάμει του σχήματος.

2.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας περιλαμβάνει τουλάχιστον κανόνες και προϋποθέσεις σχετικά με τα ακόλουθα:

α)την παρακολούθηση της συμμόρφωσης των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης οντοτήτων με τις απαιτήσεις των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας ή των δηλώσεων συμμόρφωσης ΕΕ, συμπεριλαμβανομένων των μηχανισμών για την απόδειξη της συνεχούς συμμόρφωσης με τις προσδιορισμένες απαιτήσεις κυβερνοασφάλειας·

β)την έκδοση, την επιβεβαίωση, την ανάκληση και την ανανέωση των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας, την επέκταση ή τον περιορισμό του πεδίου εφαρμογής της πιστοποίησης και την επαναπιστοποίηση·

γ)τις συνέπειες όσον αφορά προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή οντότητες που έχουν πιστοποιηθεί ή για τις οποίες έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ, οι οποίες, όμως, δεν συμμορφώνονται προς τις απαιτήσεις του σχήματος·

δ)πώς πρέπει να αναφέρονται και να αντιμετωπίζονται τις προηγουμένως μη διαπιστωθείσες σχετικά με την κυβερνοασφάλεια ευπάθειες προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ και διεργασιών ΤΠΕ,

ε)το περιεχόμενο και τον μορφότυπο των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ που πρόκειται να εκδοθούν,

στ)την περίοδο διαθεσιμότητας της δήλωσης συμμόρφωσης ΕΕ, της τεχνικής τεκμηρίωσης και όλων των άλλων σχετικών πληροφοριών που πρέπει να καταστούν διαθέσιμες από τον κατασκευαστή ή τον πάροχο προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ή από την οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση·

ζ)τυχόν μηχανισμούς αποτίμησης από ομοτίμους που θεσπίζονται στο πλαίσιο του σχήματος για τις αρχές ή τους φορείς που εκδίδουν ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας σύμφωνα με το άρθρο 85 παράγραφος 4, με την επιφύλαξη της αξιολόγησης από ομοτίμους που προβλέπεται στο άρθρο 90·

η)το απόρρητο των πληροφοριών και των δεδομένων που λαμβάνουν όλα τα μέρη κατά την εκτέλεση καθηκόντων και δραστηριοτήτων που σχετίζονται με την εφαρμογή των διατάξεων του παρόντος τίτλου·

θ)τον μορφότυπο και τις διαδικασίες που πρέπει να τηρούν οι κατασκευαστές ή οι πάροχοι προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διεργασιών ΤΠΕ στην παροχή και επικαιροποίηση των συμπληρωματικών πληροφοριών για την κυβερνοασφάλεια σύμφωνα με το άρθρο 84· και

ι)τη συνέχεια των δραστηριοτήτων πιστοποίησης κατά τη διάρκεια έκτακτων καταστάσεων κρίσης, οι οποίες είναι αναπόφευκτες και παρεμποδίζουν τη δυνατότητα εφαρμογής των κανόνων του σχήματος πιστοποίησης.

3.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας περιλαμβάνει επίσης, κατά περίπτωση, τα ακόλουθα:

α)ένα ή περισσότερα επίπεδα διασφάλισης και αντίστοιχα επίπεδα αξιολόγησης·

β)χαρακτηριστικά προστασίας για τον προσδιορισμό των απαιτήσεων ασφάλειας που ισχύουν για μια δεδομένη κατηγορία προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας·

γ)προφίλ επέκτασης για τον καθορισμό πρόσθετων απαιτήσεων ασφάλειας, συμπεριλαμβανομένων, κατά περίπτωση, των απαιτήσεων ασφάλειας που καθορίζονται στις εθνικές διατάξεις για τη μεταφορά του ενωσιακού δικαίου·

δ)διευκρίνιση σχετικά με το ποιες δραστηριότητες αξιολόγησης της συμμόρφωσης, συμπεριλαμβανομένων της βαθμονόμησης, των δοκιμών, της πιστοποίησης και της επιθεώρησης, για «υψηλό» επίπεδο διασφάλισης, ή με σκοπό την απόδειξη της συμμόρφωσης και τη χορήγηση τεκμηρίου συμμόρφωσης, επιτρέπονται εκτός του Ευρωπαϊκού Οικονομικού Χώρου·

ε)τον προσδιορισμό εθνικών ή διεθνών σχημάτων πιστοποίησης της κυβερνοασφάλειας που καλύπτουν τον ίδιο τύπο ή τις ίδιες κατηγορίες προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάση οντοτήτων·

στ)τις πρόσθετες ή ειδικές απαιτήσεις στις οποίες υπόκεινται οι οργανισμοί αξιολόγησης της συμμόρφωσης προκειμένου να διασφαλίζεται η τεχνική ικανότητά τους να αξιολογούν τις απαιτήσεις κυβερνοασφάλειας·

ζ)τις πληροφορίες που είναι αναγκαίες για την πιστοποίηση και τις οποίες ο αιτών πρέπει να παρέχει ή να θέτει με άλλον τρόπο στη διάθεση των οργανισμών αξιολόγησης της συμμόρφωσης·

η)τα σήματα ή τις ετικέτες και τις προϋποθέσεις υπό τις οποίες μπορούν να χρησιμοποιούνται τα εν λόγω σήματα ή ετικέτες·

θ)τις προϋποθέσεις για τη διεθνή αναγνώριση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας σύμφωνα με το άρθρο 87.

4.Οι καθορισμένες απαιτήσεις του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας συνάδουν με τις απαιτήσεις της ενωσιακής νομοθεσίας.

5.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία που καθορίζονται στις παραγράφους 1, 2 και 3 σε όλα τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να περιλαμβάνει παραπομπές στις εν λόγω αρχές και πρότυπες διατάξεις, κατά περίπτωση και εφόσον αυτές είναι διαθέσιμες.

6.Οι εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 5 εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 118 παράγραφος 2. Κατά την ανάπτυξη ή την αναθεώρηση των κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, η Επιτροπή διαβουλεύεται με τον ENISA και λαμβάνει υπόψη, κατά περίπτωση, τις απόψεις που εκφράζονται από την ΕΟΠΙΚ, τους σχετικούς συμφεροντούχους και άλλους σχετικούς φορείς.

Άρθρο 82
Επίπεδα διασφάλισης και αξιολόγησης των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

1.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να προσδιορίζει ένα ή περισσότερα από τα ακόλουθα επίπεδα διασφάλισης για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων: «βασικό», «σημαντικό» ή «υψηλό». Τα εν λόγω επίπεδα διασφάλισης είναι ανάλογα με το επίπεδο του κινδύνου που συνδέεται με την προβλεπόμενη χρήση του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή με τη φύση των οντοτήτων των οποίων η κυβερνοστάση υπόκειται σε πιστοποίηση, και με το επιχειρησιακό τους περιβάλλον, όσον αφορά την πιθανότητα και τον αντίκτυπο ενός περιστατικού.

2.Τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας αναφέρουν οποιοδήποτε επίπεδο διασφάλισης που προσδιορίζεται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας με βάση το οποίο εκδίδονται τα εν λόγω πιστοποιητικά. Οι δηλώσεις συμμόρφωσης ΕΕ αναφέρονται στο «βασικό» επίπεδο διασφάλισης.

3.Οι απαιτήσεις ασφάλειας που αντιστοιχούν σε κάθε επίπεδο διασφάλισης παρέχονται στο σχετικό ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, συμπεριλαμβανομένων των αντίστοιχων ελέγχων ασφάλειας και της αντίστοιχης αξιολόγησης στην οποία πρόκειται να υποβληθεί το προϊόν ΤΠΕ, η υπηρεσία ΤΠΕ, η διαδικασία ΤΠΕ, η διαχειριζόμενη υπηρεσία ασφάλειας ή η κυβερνοστάση οντότητας.

4.Το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας ή η δήλωση συμμόρφωσης ΕΕ αναφέρεται σε τεχνικές προδιαγραφές, πρότυπα και διαδικασίες που σχετίζονται με το εν λόγω πιστοποιητικό ή την εν λόγω δήλωση, συμπεριλαμβανομένων των τεχνικών ελέγχων, σκοπός των οποίων είναι η μείωση του κινδύνου συμβάντων που αφορούν την κυβερνοασφάλεια ή η πρόληψή τους.

5.Ένα ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας ή μία δήλωση συμμόρφωσης ΕΕ που αναφέρεται σε «βασικό» επίπεδο διασφάλισης παρέχει τη διασφάλιση ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση οντοτήτων για τα οποία εκδόθηκε το εν λόγω πιστοποιητικό ή η εν λόγω δήλωση συμμόρφωσης ΕΕ πληρούν τις αντίστοιχες απαιτήσεις ασφάλειας, συμπεριλαμβανομένων των ελέγχων ασφάλειας, και ότι έχουν αξιολογηθεί σε επίπεδο με σκοπό την ελαχιστοποίηση των γνωστών βασικών κινδύνων περιστατικών και κυβερνοεπιθέσεων. Οι δραστηριότητες αξιολόγησης που πρόκειται να διεξαχθούν περιλαμβάνουν τουλάχιστον επανεξέταση της τεχνικής τεκμηρίωσης. Εφόσον δεν είναι κατάλληλη τέτοια επανεξέταση, διεξάγονται υποκατάστατες δραστηριότητες αξιολόγησης με ισοδύναμο αποτέλεσμα.

6.Ένα ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας που αναφέρεται σε «σημαντικό» επίπεδο διασφάλισης παρέχει τη διασφάλιση ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση οντοτήτων για τα οποία εκδόθηκε το εν λόγω πιστοποιητικό πληρούν τις αντίστοιχες απαιτήσεις ασφάλειας, συμπεριλαμβανομένων των ελέγχων ασφάλειας, και ότι έχουν αξιολογηθεί σε επίπεδο με σκοπό την ελαχιστοποίηση των γνωστών κινδύνων περιστατικών και κυβερνοεπιθέσεων και τον κίνδυνο κυβερνοεπιθέσεων που πραγματοποιούνται από δράστες με περιορισμένες δεξιότητες και πόρους. Οι δραστηριότητες αξιολόγησης που πρόκειται να διεξαχθούν περιλαμβάνουν τουλάχιστον επανεξέταση για να καταδειχθεί η απουσία δημόσια γνωστών ευπαθειών και δοκιμές για να καταδειχθεί ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή οι οντότητες εφαρμόζουν ορθά τους απαραίτητους ελέγχους ασφάλειας. Εφόσον οποιεσδήποτε τέτοιες δραστηριότητες αξιολόγησης δεν είναι κατάλληλες, διεξάγονται υποκατάστατες δραστηριότητες αξιολόγησης με ισοδύναμο αποτέλεσμα.

7.Ένα ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας που αναφέρεται σε «υψηλό» επίπεδο διασφάλισης παρέχει τη διασφάλιση ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση οντοτήτων για τα οποία εκδόθηκε το εν λόγω πιστοποιητικό πληρούν τις αντίστοιχες απαιτήσεις ασφάλειας, συμπεριλαμβανομένων των ελέγχων ασφάλειας, και ότι έχουν αξιολογηθεί σε επίπεδο με σκοπό την ελαχιστοποίηση του κινδύνου εμφάνισης περιστατικών και πραγματοποίησης κυβερνοεπιθέσεων προηγμένης τεχνολογίας από δράστες με σημαντικές δεξιότητες και πόρους. Οι δραστηριότητες αξιολόγησης που πρόκειται να διεξαχθούν περιλαμβάνουν τουλάχιστον τα ακόλουθα:

α)επανεξέταση για να καταδειχθεί η απουσία δημόσια γνωστών ευπαθειών·

β)δοκιμές για να καταδειχθεί ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή οι οντότητες εφαρμόζουν ορθά τους απαραίτητους ελέγχους ασφάλειας με την πλέον προηγμένη τεχνολογία·

γ)αξιολόγηση της αντοχής των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή των οντοτήτων σε επιδέξιους επιτιθέμενους με τη χρήση, κατά περίπτωση, δοκιμών διείσδυσης.

Εφόσον οποιεσδήποτε τέτοιες δραστηριότητες αξιολόγησης δεν είναι κατάλληλες, διεξάγονται υποκατάστατες δραστηριότητες αξιολόγησης με ισοδύναμο αποτέλεσμα. Κάθε δραστηριότητα αξιολόγησης της συμμόρφωσης, συμπεριλαμβανομένων της βαθμονόμησης, των δοκιμών, της πιστοποίησης και της επιθεώρησης, για το «υψηλό» επίπεδο διασφάλισης, πραγματοποιείται στον Ευρωπαϊκό Οικονομικό Χώρο, εκτός εάν προβλέπεται διαφορετικά σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.

8.Όταν ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας έχει σχεδιαστεί για να αποδεικνύει τη συμμόρφωση και να παρέχει τεκμήριο συμμόρφωσης με συγκεκριμένη νομική πράξη της Ένωσης, το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας παρέχει τη διασφάλιση ότι τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή κυβερνοστάση οντοτήτων που έχουν πιστοποιηθεί πληρούν τις αντίστοιχες απαιτήσεις κυβερνοασφάλειας της εν λόγω νομικής πράξης. Κάθε δραστηριότητα αξιολόγησης της συμμόρφωσης, συμπεριλαμβανομένων της βαθμονόμησης, των δοκιμών, της πιστοποίησης και της επιθεώρησης, για τους σκοπούς του τεκμηρίου συμμόρφωσης, πραγματοποιείται στον Ευρωπαϊκό Οικονομικό Χώρο, εκτός εάν προβλέπεται διαφορετικά σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.

9.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να προσδιορίζει διάφορα επίπεδα αξιολόγησης για δεδομένο επίπεδο διασφάλισης. Καθένα από τα επίπεδα αξιολόγησης αντιστοιχεί σε ένα από τα επίπεδα διασφάλισης.

Άρθρο 83
Αυτοαξιολόγηση της συμμόρφωσης

1.Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να επιτρέπει την αυτοαξιολόγηση της συμμόρφωσης υπό την αποκλειστική ευθύνη του κατασκευαστή ή του παρόχου προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή της οντότητας της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση. Αυτοαξιολόγηση της συμμόρφωσης επιτρέπεται μόνο σχετικά με προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων χαμηλού κινδύνου που αντιστοιχούν στο «βασικό» επίπεδο διασφάλισης.

2.Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή η οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση μπορεί να εκδώσει δήλωση συμμόρφωσης ΕΕ στην οποία να αναφέρεται ότι έχει καταδειχθεί η εκπλήρωση των απαιτήσεων που καθορίζονται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας. Με την έκδοση της εν λόγω δήλωσης, ο εν λόγω κατασκευαστής, πάροχος ή οντότητα αναλαμβάνει την ευθύνη για τη συμμόρφωση του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ, της διαχειριζόμενης υπηρεσίας ασφάλειας ή της κυβερνοστάσης με τις απαιτήσεις που καθορίζονται στο εν λόγω σχήμα.

3.Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή η οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση θέτει τη δήλωση συμμόρφωσης ΕΕ, την τεχνική τεκμηρίωση και όλες τις άλλες σχετικές πληροφορίες που αφορούν τη συμμόρφωση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης με το ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας στη διάθεση της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας που ορίζεται δυνάμει του άρθρου 89 για την περίοδο που καθορίζεται στο εν λόγω σχήμα. Αντίγραφο της δήλωσης συμμόρφωσης ΕΕ υποβάλλεται χωρίς αδικαιολόγητη καθυστέρηση στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και στον ENISA.

Άρθρο 84
Συμπληρωματικές πληροφορίες σχετικά με την κυβερνοασφάλεια για πιστοποιημένα προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ και διεργασίες ΤΠΕ

1.Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διαδικασιών ΤΠΕ για τα οποία έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ ή ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας θέτει στη διάθεση του χρήστη τις ακόλουθες συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια:

α)τον επιδιωκόμενο σκοπό του σχετικού προϊόντος ΤΠΕ, υπηρεσίας ΤΠΕ ή διαδικασίας ΤΠΕ, συμπεριλαμβανομένου του περιβάλλοντος ασφάλειας που παρέχει ο κατασκευαστής ή ο πάροχος·

β)καθοδήγηση και συστάσεις για τη συνδρομή προς τους χρήστες ως προς τις ασφαλείς ρυθμίσεις, την εγκατάσταση, τη διάθεση, τη λειτουργία και τη συντήρηση των προϊόντων ΤΠΕ ή των υπηρεσιών ΤΠΕ,

γ)το είδος της τεχνικής υποστήριξης ασφάλειας που παρέχεται από τον κατασκευαστή ή τον πάροχο και την ημερομηνία λήξης της περιόδου υποστήριξης κατά την οποία οι χρήστες μπορούν να αναμένουν ότι οι ευπάθειες θα αντιμετωπίζονται και θα λαμβάνουν ενημερώσεις ασφαλείας·

δ)εάν ο κατασκευαστής ή ο πάροχος αποφασίσει να θέσει στη διάθεση του χρήστη κατάλογο υλικών λογισμικού, πληροφορίες σχετικά με το πού είναι δυνατή η πρόσβαση σε αυτόν.

2.Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διαδικασιών ΤΠΕ για τα οποία έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ ή ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας καθιστά δημόσια διαθέσιμες τις ακόλουθες συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια:

α)το ενιαίο σημείο επαφής όπου μπορούν να αναφέρονται και από όπου μπορούν να λαμβάνονται πληροφορίες σχετικά με ευπάθειες και όπου είναι διαθέσιμη η πολιτική του κατασκευαστή για τη συντονισμένη γνωστοποίηση ευπαθειών·

β)πληροφορίες σχετικά με τις διορθωμένες ευπάθειες, συμπεριλαμβανομένης περιγραφής των ευπαθειών, καθώς και πληροφορίες που παρέχουν στους χρήστες τη δυνατότητα να προσδιορίζουν το προϊόν με ψηφιακά στοιχεία που επηρεάζεται, τις επιπτώσεις των ευπαθειών, τη σοβαρότητά τους, και σαφείς και προσβάσιμες πληροφορίες που βοηθούν τους χρήστες να επιδιορθώσουν τις ευπάθειες· σε δεόντως αιτιολογημένες περιπτώσεις, όταν οι κατασκευαστές θεωρούν ότι οι κίνδυνοι για την ασφάλεια λόγω της δημοσίευσης υπερτερούν των οφελών για την ασφάλεια, μπορούν να καθυστερήσουν τη δημοσιοποίηση πληροφοριών σχετικά με διορθωμένες ευπάθειες έως ότου να δοθεί στους χρήστες η δυνατότητα να εφαρμόσουν τη σχετική διόρθωση.

3.Οι πληροφορίες που αναφέρονται στις παραγράφους 1 και 2 διατίθενται σε ηλεκτρονική μορφή και παραμένουν διαθέσιμες και επικαιροποιημένες, στον βαθμό που απαιτείται, κατά τη διάρκεια ισχύος και τουλάχιστον για μια πενταετία μετά τη λήξη ή την ανάκληση του αντίστοιχου ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας ή της σχετικής δήλωσης συμμόρφωσης ΕΕ.

4.Οι υποχρεώσεις που καθορίζονται στις παραγράφους 1 και 2 δεν ισχύουν όταν η ασφάλεια του σχετικού προϊόντος ΤΠΕ, υπηρεσίας ΤΠΕ ή διαδικασίας ΤΠΕ ενδέχεται να τεθεί σε κίνδυνο εάν οι πληροφορίες δημοσιοποιηθούν.

ΚΕΦΑΛΑΙΟ III 
Διακυβέρνηση του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας

Τμήμα 1 
Γενικοί κανόνες και διαχείριση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας

Άρθρο 85
Έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας

1.Τα προϊόντα ΤΠΕ, οι υπηρεσίες ΤΠΕ, οι διαδικασίες ΤΠΕ, οι διαχειριζόμενες υπηρεσίες ασφάλειας ή η κυβερνοστάση οντοτήτων που έχουν πιστοποιηθεί στο πλαίσιο ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας τεκμαίρεται ότι πληρούν τις απαιτήσεις ενός τέτοιου σχήματος.

2.Οι οργανισμοί αξιολόγησης της συμμόρφωσης που αναφέρονται στο άρθρο 91 εκδίδουν ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας βάσει κριτηρίων που περιλαμβάνονται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που θεσπίζεται δυνάμει του άρθρου 74.

3.Κατά παρέκκλιση από την παράγραφο 2, ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να προβλέπει ότι ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που προκύπτουν από το εν λόγω σχήμα μπορούν να εκδίδονται μόνο από έναν από τους ακόλουθους δημόσιους οργανισμούς:

α)μια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αναφερόμενη στο άρθρο 88 που λαμβάνει διαπίστευση ως οργανισμός αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 91 παράγραφος 1·

β)έναν δημόσιο οργανισμό που λαμβάνει διαπίστευση ως οργανισμός αξιολόγησης της συμμόρφωσης δυνάμει του άρθρου 91 παράγραφος 1.

4.Όταν ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που εγκρίνεται σύμφωνα με το άρθρο 74 καθορίζει «υψηλό» επίπεδο διασφάλισης ή όταν το εν λόγω σχήμα ορίζει διαφορετικά, ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας βάσει του εν λόγω σχήματος πρέπει να εκδίδεται μόνο από εθνική αρχή πιστοποίησης της κυβερνοασφάλειας, όπως αναφέρεται στο άρθρο 88, η οποία είναι διαπιστευμένη ως οργανισμός αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 91 παράγραφος 1 ή, στις ακόλουθες περιπτώσεις:

α)από οργανισμό αξιολόγησης της συμμόρφωσης βάσει μοντέλου προηγούμενης έγκρισης· ή

β)από οργανισμό αξιολόγησης της συμμόρφωσης βάσει μοντέλου γενικής ανάθεσης.

5.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον προσδιορισμό των διαδικασιών των μοντέλων προηγούμενης έγκρισης ή γενικής ανάθεσης που αναφέρονται στην παράγραφο 4 του παρόντος άρθρου. Κατά τη διαδικασία εκπόνησης των εν λόγω εκτελεστικών πράξεων, η Επιτροπή ζητεί τη γνώμη της ΕΟΠΙΚ. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

6.Το φυσικό ή νομικό πρόσωπο που υποβάλλει προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ ή διαχειριζόμενες υπηρεσίες ασφάλειας προς πιστοποίηση, ή η οντότητα που υποβάλλει αίτηση για πιστοποίηση της κυβερνοστάσης της θέτει όλες τις πληροφορίες που απαιτούνται για τη διενέργεια της πιστοποίησης στη διάθεση της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας που ορίζεται δυνάμει του άρθρου 89, σε περίπτωση που η εν λόγω αρχή είναι ο οργανισμός που εκδίδει το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας, ή του οργανισμού αξιολόγησης της συμμόρφωσης που αναφέρεται στο άρθρο 91.

7.Οι οργανισμοί αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ενημερώνουν τον ENISA χωρίς αδικαιολόγητη καθυστέρηση σχετικά με τις οικείες αποφάσεις που επηρεάζουν το καθεστώς των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ σύμφωνα με το άρθρο 94.

8.Ο κάτοχος ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας ενημερώνει τον οργανισμό αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στην παράγραφο 7 για τυχόν ευπάθειες ή περιπτώσεις μη συμμόρφωσης που εντοπίστηκαν στη συνέχεια όσον αφορά το πιστοποιημένο προϊόν ΤΠΕ, υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ, διαχειριζόμενη υπηρεσία ασφάλειας ή κυβερνοστάση οντότητας, οι οποίες ενδέχεται να έχουν αντίκτυπο στη συμμόρφωσή του/της με το πιστοποιητικό. Ο εν λόγω οργανισμός διαβιβάζει τις πληροφορίες αυτές χωρίς αδικαιολόγητη καθυστέρηση στην οικεία εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και αξιολογεί τον αντίκτυπο στο πιστοποιητικό σύμφωνα με τις προϋποθέσεις του σχήματος που αναφέρονται στο άρθρο 81 παράγραφος 2 σημείο δ).

9.Όσον αφορά τα οικεία πιστοποιημένα προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ ή διαχειριζόμενες υπηρεσίες ασφάλειας τα οποία προσδιορίζονται, στο σύνολό τους ή για μέρη αυτών, ως βασικά πάγια στοιχεία σύμφωνα με το άρθρο 102, οι κάτοχοι ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας δεν χρησιμοποιούν, εγκαθιστούν ή ενσωματώνουν με άλλον τρόπο συνιστώσες ΤΠΕ ή συνιστώσες που περιέχουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου σε πιστοποιημένα προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ ή διαχειριζόμενες υπηρεσίες ασφάλειας.

10.Ένα ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας εκδίδεται για την περίοδο που προσδιορίζεται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας και μπορεί να ανανεώνεται, με την προϋπόθεση ότι εξακολουθούν να πληρούνται οι σχετικές απαιτήσεις.

11.Η Επιτροπή συνεργάζεται με τα κράτη μέλη για να διασφαλίσει την εφαρμογή των διατάξεων που σχετίζονται με την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας, ενόψει επίσης της εφαρμογής του άρθρου 100 παράγραφος 4 στοιχείο β). Ο οργανισμός αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας παρέχουν στην Επιτροπή, κατόπιν αιτήματος και χωρίς αδικαιολόγητη καθυστέρηση, όλες τις πληροφορίες που αφορούν την έκδοση των σχετικών ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας ή δηλώσεων συμμόρφωσης ΕΕ.

Άρθρο 86
Εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας και σχετικά πιστοποιητικά

1.Τα εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας και οι σχετικές διαδικασίες για τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ, τις διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων που καλύπτονται από το αντικείμενο και το πεδίο εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας παύουν να παράγουν αποτελέσματα από την ημερομηνία που ορίζεται στην εκτελεστική πράξη που εκδίδεται σύμφωνα με το άρθρο 74 παράγραφος 9. Τα εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας και οι σχετικές διαδικασίες για τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ, τις διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων που δεν καλύπτονται από το αντικείμενο και το πεδίο εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας μπορούν να εξακολουθούν να παράγουν αποτελέσματα.

2.Τα κράτη μέλη δεν θεσπίζουν νέα εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας ή σχετικές διαδικασίες για τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ, τις διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων που καλύπτονται ήδη από το αντικείμενο και το πεδίο εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.

3.Τα υφιστάμενα πιστοποιητικά που έχουν εκδοθεί στο πλαίσιο εθνικών σχημάτων πιστοποίησης της κυβερνοασφάλειας και καλύπτονται από το αντικείμενο και το πεδίο εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας παραμένουν σε ισχύ έως την ημερομηνία λήξης τους.

4.Τα κράτη μέλη ενημερώνουν την Επιτροπή και την ΕΟΠΙΚ πριν από την έγκριση νέων εθνικών σχημάτων πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων.

5.Η Επιτροπή μπορεί να προτείνει σε κράτος μέλος να αποσύρει εθνικό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, όταν η ανάπτυξη ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας που καλύπτει τα εν λόγω προϊόντα, υπηρεσίες, διαδικασίες ή κυβερνοστάση έχει ήδη ζητηθεί σύμφωνα με το άρθρο 73, λαμβανομένου υπόψη του σχεδίου ανάπτυξης του εν λόγω σχήματος.

Άρθρο 87
Διεθνής αναγνώριση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας

1.Πιστοποιητικά τρίτων χωρών για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων μπορούν να αναγνωρίζονται, μέσω εκτελεστικής πράξης ή μέσω της σύναψης συμφωνίας μεταξύ της Ένωσης και της εν λόγω τρίτης χώρας ή διεθνούς οργανισμού, ως ισοδύναμα με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, εάν οι απαιτήσεις του σχετικού σχήματος τρίτης χώρας ή διεθνούς οργανισμού θεωρούνται ισοδύναμες με εκείνες των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Ανατίθεται στην Επιτροπή η εξουσία έκδοσης τέτοιων εκτελεστικών πράξεων. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

2.Οι εκτελεστικές πράξεις και οι συμφωνίες που αναφέρονται στην παράγραφο 1 βασίζονται στις προϋποθέσεις διεθνούς αναγνώρισης των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας που καθορίζονται σύμφωνα με το άρθρο 74 παράγραφος 11.

3.Συμφωνίες σχετικά με την αναγνώριση των πιστοποιητικών τρίτων χωρών ή των πιστοποιητικών διεθνών οργανισμών που αναφέρονται στην παράγραφο 1 συνάπτονται μόνον εάν αναγνωρίζουν επίσης τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας ως ισοδύναμα με τα πιστοποιητικά τρίτων χωρών.

Άρθρο 88 
Εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας

1.Κάθε κράτος μέλος ορίζει μία ή περισσότερες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας στο έδαφός του ή, με τη συμφωνία άλλου κράτους μέλους, μία ή περισσότερες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας που είναι εγκατεστημένες στο εν λόγω άλλο κράτος μέλος προκειμένου να είναι αρμόδιες για τα εποπτικά καθήκοντα στο κράτος μέλος που τις όρισε.

2.Κάθε κράτος μέλος ενημερώνει την Επιτροπή για την ταυτότητα των οριζόμενων εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας. Σε περίπτωση που κράτος μέλος ορίζει περισσότερες από μία αρχές, παρέχει επίσης ενημέρωση στην Επιτροπή σχετικά με τα καθήκοντα που ανατίθενται σε κάθε μία από τις εν λόγω αρχές.

3.Κάθε εθνική αρχή πιστοποίησης της κυβερνοασφάλειας είναι ανεξάρτητη από τις οντότητες που εποπτεύει όσον αφορά την οργάνωσή της, τις αποφάσεις χρηματοδότησής της, τη νομική δομή της και τη λήψη αποφάσεων.

4.Οι δραστηριότητες των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας που σχετίζονται με την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας δυνάμει του παρόντος κανονισμού διαχωρίζονται αυστηρά από τις εποπτικές δραστηριότητές τους που καθορίζονται στο παρόν άρθρο και στο άρθρο 85 παράγραφος 4 στοιχεία α) και β), και οι εν λόγω δραστηριότητες διεξάγονται ανεξάρτητα οι μεν από τις δε.

5.Τα κράτη μέλη μεριμνούν ώστε οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας να έχουν στη διάθεσή τους επαρκείς πόρους για την άσκηση των αρμοδιοτήτων τους και να ασκούν, με αποδοτικό και αποτελεσματικό τρόπο, τα καθήκοντά τους.

6.Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας έχουν τα ακόλουθα καθήκοντα:

α)συμμετέχουν στην ΕΟΠΙΚ δυνάμει του άρθρου 90 παράγραφος 2·

β)εποπτεύουν και επιβάλλουν τους κανόνες που περιλαμβάνονται στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 2 στοιχείο α), ώστε να διασφαλίζεται η συμμόρφωση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων με τις απαιτήσεις των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας που έχουν εκδοθεί στα αντίστοιχα εδάφη τους, σε συνεργασία με τις σχετικές αρχές εποπτείας της αγοράς ή εποπτικές αρχές, συμπεριλαμβανομένων των αρμόδιων αρχών δυνάμει της οδηγίας (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 82 ή του κανονισμού (ΕΕ) 2024/2847·

γ)παρακολουθούν, σε συνεργασία με τις αρμόδιες αρχές εποπτείας της αγοράς, τη συμμόρφωση και επιβάλλουν την εκπλήρωση των υποχρεώσεων που υπέχουν βάσει του παρόντος κανονισμού οι κατασκευαστές ή οι πάροχοι προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή οι οντότητες των οποίων η κυβερνοστάση είναι πιστοποιημένη, οι οποίοι/-ες είναι εγκατεστημένοι/-ες στα αντίστοιχα εδάφη τους και διενεργούν αυτοαξιολόγηση της συμμόρφωσης στο πλαίσιο του αντίστοιχου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας·

δ)με την επιφύλαξη του άρθρου 91 παράγραφος 3, παρέχουν ενεργό βοήθεια και υποστήριξη στους εθνικούς οργανισμούς διαπίστευσης ή σε άλλες συναφείς αρχές για την παρακολούθηση και την εποπτεία των δραστηριοτήτων των οργανισμών αξιολόγησης της συμμόρφωσης για τους σκοπούς του παρόντος κανονισμού,

ε)συνεργάζονται με την Επιτροπή σε περίπτωση αμφισβήτησης της επάρκειας οργανισμού αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 94·

στ)παρακολουθούν και εποπτεύουν τις δραστηριότητες των δημόσιων οργανισμών που αναφέρονται στο άρθρο 85 παράγραφος 3,

ζ)κατά περίπτωση, αδειοδοτούν οργανισμούς αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 93, παρακολουθούν τη συμμόρφωση των οργανισμών αξιολόγησης της συμμόρφωσης με τις πρόσθετες ή ειδικές απαιτήσεις που καθορίζονται στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 3 στοιχείο στ), επιβάλλουν την εκπλήρωση των σχετικών υποχρεώσεων των οργανισμών αξιολόγησης της συμμόρφωσης και περιορίζουν, αναστέλλουν ή ανακαλούν άδειες που έχουν δοθεί, όταν οι οργανισμοί αξιολόγησης της συμμόρφωσης δεν πληρούν τις απαιτήσεις του παρόντος κανονισμού·

η)διεκπεραιώνουν καταγγελίες από φυσικά ή νομικά πρόσωπα σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που έχουν εκδοθεί από εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ή σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που έχουν εκδοθεί από οργανισμούς αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 85 παράγραφος 4 ή σε σχέση με τις δηλώσεις συμμόρφωσης ΕΕ που εκδίδονται δυνάμει του άρθρου 83, και διερευνούν το αντικείμενο των εν λόγω καταγγελιών στον βαθμό που ενδείκνυται και ενημερώνουν τον καταγγέλλοντα σχετικά με την πρόοδο και το αποτέλεσμα της έρευνας εντός εύλογου χρονικού διαστήματος,

θ)υποβάλλουν ετήσια έκθεση σχετικά με τις κύριες δραστηριότητές τους στην Επιτροπή, τον ENISA και την ΕΟΠΙΚ έως τις 31 Μαρτίου κάθε έτους από το [έτος έναρξης ισχύος + 12 μήνες] , και θέτουν τις εν λόγω εκθέσεις στη διάθεση της ομάδας αξιολόγησης από ομοτίμους, όταν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας υπόκειται σε αξιολόγηση από ομοτίμους σύμφωνα με το άρθρο 89·

ι)συνεργάζονται με άλλες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας, αρχές εποπτείας της αγοράς ή άλλες δημόσιες αρχές, μεταξύ άλλων ανταλλάσσοντας πληροφορίες σχετικά με την πιθανή μη συμμόρφωση προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων με τις απαιτήσεις του παρόντος κανονισμού ή με τις απαιτήσεις συγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας·

ια)παρακολουθούν τις σχετικές εξελίξεις στον τομέα της πιστοποίησης της κυβερνοασφάλειας.

7.Κάθε εθνική αρχή πιστοποίησης της κυβερνοασφάλειας έχει κατ’ ελάχιστον τις ακόλουθες εξουσίες:

α)να ζητά από τους οργανισμούς αξιολόγησης της συμμόρφωσης, τους κατόχους ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και τους εκδότες δηλώσεων συμμόρφωσης ΕΕ να προσκομίσουν τις πληροφορίες που απαιτούνται για την άσκηση των καθηκόντων τους,

β)να διενεργεί έρευνες, υπό μορφή ελέγχων, των οργανισμών αξιολόγησης της συμμόρφωσης, των κατόχων ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των εκδοτών δηλώσεων συμμόρφωσης ΕΕ, με στόχο τον έλεγχο της συμμόρφωσής τους με τις απαιτήσεις που καθορίζονται στον παρόντα τίτλο,

γ)να λαμβάνει τα ενδεδειγμένα μέτρα, σύμφωνα με το εθνικό δίκαιο, προκειμένου να διασφαλίζεται η συμμόρφωση των οργανισμών αξιολόγησης της συμμόρφωσης, των κατόχων ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των εκδοτών δηλώσεων συμμόρφωσης ΕΕ με τον παρόντα κανονισμό ή με ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας,

δ)να έχει πρόσβαση στους χώρους οποιωνδήποτε οργανισμών αξιολόγησης της συμμόρφωσης ή των κατόχων ευρωπαϊκών πιστοποιητικών της κυβερνοασφάλειας, με σκοπό τη διενέργεια ερευνών σύμφωνα με το δικονομικό δίκαιο της Ένωσης ή το εθνικό δικονομικό δίκαιο,

ε)να ανακαλεί, σύμφωνα με το εθνικό δίκαιο, ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που έχουν εκδοθεί από εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ή από οργανισμούς αξιολόγησης της συμμόρφωσης, σύμφωνα με το άρθρο 85 παράγραφος 4, όταν τα εν λόγω πιστοποιητικά δεν συμμορφώνονται με τον παρόντα κανονισμό ή με ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας,

στ)να επιβάλλει κυρώσεις σε συμφωνία με το εθνικό δίκαιο, όπως προβλέπεται στο άρθρο 97, και να απαιτεί άμεση παύση των παραβιάσεων των υποχρεώσεων οι οποίες θεσπίζονται στον παρόντα κανονισμό.

8.Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας συνεργάζονται μεταξύ τους και με την Επιτροπή, ιδίως ανταλλάσσοντας πληροφορίες, εμπειρίες και ορθές πρακτικές όσον αφορά την πιστοποίηση της κυβερνοασφάλειας και τεχνικά ζητήματα που αφορούν την κυβερνοασφάλεια των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων.

9.Έως τις [έναρξη ισχύος + 6 μήνες], ο ENISA καταρτίζει υπόδειγμα για την έκθεση που αναφέρεται στην παράγραφο 6 στοιχείο θ) του παρόντος άρθρου, σε συνεργασία με την Επιτροπή και την ΕΟΠΙΚ.

Άρθρο 89
Αξιολόγηση από ομοτίμους

1.Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας υπόκεινται σε αξιολόγηση από ομοτίμους.

2.Η αξιολόγηση από ομοτίμους πραγματοποιείται με βάση αυστηρά και διαφανή κριτήρια και διαδικασίες αξιολόγησης, ιδιαίτερα όσον αφορά τις απαιτήσεις σε επίπεδο διάρθρωσης, ανθρώπινων πόρων και διεργασίας, την εμπιστευτικότητα και τις καταγγελίες.

3.Η αξιολόγηση από ομοτίμους καλύπτει:

α)κατά περίπτωση, αν οι δραστηριότητες των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας που σχετίζονται με την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας που αναφέρονται στον παρόντα κανονισμό είναι αυστηρά διαχωρισμένες από τις εποπτικές δραστηριότητές τους που καθορίζονται στο άρθρο 88 και αν οι εν λόγω δραστηριότητες διενεργούνται ανεξάρτητα μεταξύ τους,

β)τις διαδικασίες για την εποπτεία και την επιβολή των κανόνων παρακολούθησης της συμμόρφωσης των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας δυνάμει του άρθρου 88 παράγραφος 7 στοιχείο α)·

γ)τις διαδικασίες για την παρακολούθηση και την επιβολή των υποχρεώσεων των κατασκευαστών ή των παρόχων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας ή των οντοτήτων των οποίων η κυβερνοστάση έχει πιστοποιηθεί, δυνάμει του άρθρου 88 παράγραφος 7 στοιχείο β)·

δ)τις διαδικασίες για την παρακολούθηση, την έγκριση και την εποπτεία των δραστηριοτήτων των οργανισμών αξιολόγησης της συμμόρφωσης.

4.Η αξιολόγηση από ομοτίμους διενεργείται τουλάχιστον μία φορά ανά πενταετία από τουλάχιστον δύο εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας άλλων κρατών μελών και από την Επιτροπή. Ο ENISA συμμετέχει επίσης στην αξιολόγηση από ομοτίμους ως παρατηρητής. Η ομάδα αξιολόγησης από ομοτίμους συντάσσει την τελική έκθεση και την περίληψη της αξιολόγησης από ομοτίμους.

5.Ο ENISA υποστηρίζει την οργάνωση του μηχανισμού αξιολόγησης από ομοτίμους και των αξιολογήσεων από ομοτίμους, μεταξύ άλλων με την κατάρτιση σχετικών εγγράφων καθοδήγησης και υποδειγμάτων, σε συνεργασία με την Επιτροπή και την ΕΟΠΙΚ.

6.Η Επιτροπή εξουσιοδοτείται να εκδίδει εκτελεστικές πράξεις για την κατάρτιση σχεδίου αξιολογήσεων από ομοτίμους που να καλύπτει περίοδο τουλάχιστον πέντε ετών, να ορίζει τα κριτήρια για τη σύνθεση της ομάδας αξιολόγησης από ομοτίμους, τη μεθοδολογία που πρέπει να χρησιμοποιείται για την αξιολόγηση από ομοτίμους και το χρονοδιάγραμμα, τη συχνότητα και τα λοιπά καθήκοντα που σχετίζονται με την αξιολόγηση από ομοτίμους. Κατά την εκπόνηση των εν λόγω εκτελεστικών πράξεων η Επιτροπή ζητεί τη γνώμη της ΕΟΠΙΚ και του ENISA. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

7.Η τελική έκθεση, συμπεριλαμβανομένων πιθανών κατευθυντήριων γραμμών ή συστάσεων, και η περίληψη της αξιολόγησης από ομοτίμους εξετάζονται από την ΕΟΠΙΚ, η οποία εγκρίνει την περίληψη προς δημοσίευση στον ιστότοπο που αναφέρεται στο άρθρο 79 παράγραφος 2.

Άρθρο 90
Ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας

1.Συστήνεται Ευρωπαϊκή Ομάδα Πιστοποίησης της Κυβερνοασφάλειας (στο εξής: ΕΟΠΙΚ).

2.Η ΕΟΠΙΚ απαρτίζεται από αντιπροσώπους των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας ή αντιπροσώπους άλλων σχετικών εθνικών αρχών. Ένα μέλος της ΕΟΠΙΚ δεν αντιπροσωπεύει περισσότερα από δύο κράτη μέλη.

3.Η ΕΟΠΙΚ έχει τα ακόλουθα καθήκοντα:

α)να συμβουλεύει και να επικουρεί την Επιτροπή στο έργο της για τη διασφάλιση της συνεπούς υλοποίησης και εφαρμογής των κανόνων που καθορίζονται στον παρόντα τίτλο, των ζητημάτων πολιτικής για την πιστοποίηση της κυβερνοασφάλειας και του συντονισμού των προσεγγίσεων πολιτικής·

β)να συμβουλεύει και επικουρεί την Επιτροπή κατά την κατάρτιση αιτημάτων για ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 73·

γ)να επικουρεί, να συμβουλεύει και να συνεργάζεται με τον ENISA σε σχέση με την επεξεργασία υποψήφιου σχήματος δυνάμει του άρθρου 74 και τεχνικών προδιαγραφών δυνάμει του άρθρου 77·

δ)να επικουρεί, να συμβουλεύει και να συνεργάζεται με τον ENISA και την Επιτροπή σε σχέση με τις δραστηριότητες συντήρησης δυνάμει του άρθρου 75·

ε)να επικουρεί, να συμβουλεύει και να συνεργάζεται με την Επιτροπή σε σχέση με την επανεξέταση ή την απόσυρση υφιστάμενων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας δυνάμει του άρθρου 76·

στ)να προτείνει την υποβολή αιτήματος στην Επιτροπή όσον αφορά την επεξεργασία υποψήφιου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 73 παράγραφος 2·

ζ)να εκδίδει γνώμες που απευθύνονται στην Επιτροπή σχετικά με τη διατήρηση, την επανεξέταση και την απόσυρση υφιστάμενων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας·

η)να εξετάζει τις σχετικές εξελίξεις στον τομέα της πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων σε εθνικό επίπεδο σύμφωνα με το άρθρο 86, και να ανταλλάσσει πληροφορίες και ορθές πρακτικές σε σχέση με τα σχήματα πιστοποίησης της κυβερνοασφάλειας·

θ)να διευκολύνει τη συνεργασία μεταξύ των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας σύμφωνα με τους κανόνες που ορίζονται στον παρόντα τίτλο, μέσω της ανάπτυξης ικανοτήτων και της ανταλλαγής πληροφοριών, ιδίως όσον αφορά ζητήματα σχετικά με την πιστοποίηση της κυβερνοασφάλειας·

ι)να στηρίζει την εφαρμογή του μηχανισμού αξιολόγησης από ομοτίμους σύμφωνα με το άρθρο 89 και μηχανισμών αποτίμησης από ομοτίμους σύμφωνα με τους κανόνες που θεσπίζονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 2 στοιχείο ζ)·

ια)να διευκολύνει την ευθυγράμμιση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας με διεθνώς αναγνωρισμένα πρότυπα, μεταξύ άλλων στο πλαίσιο της συντήρησης υφιστάμενων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, και, κατά περίπτωση, να διατυπώνει συστάσεις προς τον ENISA για τη συνεργασία με σχετικούς ευρωπαϊκούς ή διεθνείς οργανισμούς τυποποίησης με σκοπό την αντιμετώπιση ανεπαρκειών ή κενών στα διαθέσιμα ευρωπαϊκά ή διεθνώς αναγνωρισμένα πρότυπα.

4.Με τη συνδρομή του ENISA, η Επιτροπή προεδρεύει της ΕΟΠΙΚ και της παρέχει γραμματειακή υποστήριξη.

5.Η Επιτροπή μπορεί να συγκροτεί υποομάδες της ΕΟΠΙΚ για οποιονδήποτε από τους ακόλουθους σκοπούς:

α)για την εξέταση συγκεκριμένων ζητημάτων βάσει εντολής που καθορίζεται από την Επιτροπή·

β)για τη συντήρηση και την επανεξέταση των ευρωπαϊκών σχημάτων πιστοποίησης σύμφωνα με τον παρόντα κανονισμό και βάσει εντολής που καθορίζεται από την Επιτροπή.

6.Οι υποομάδες υποβάλλουν αναφορά στην ΕΟΠΙΚ.

7.Η προεδρία των υποομάδων ασκείται από κοινού από την Επιτροπή και τον ENISA, ενώ γραμματειακή υποστήριξη στις υποομάδες παρέχεται από τον ENISA.

8.Η ΕΟΠΙΚ και οι υποομάδες της εγκρίνουν εσωτερικό κανονισμό με απλή πλειοψηφία των μελών τους, βάσει πρότασης της Επιτροπής και σε συμφωνία με αυτήν.

Τμήμα 2 
Οργανισμοί αξιολόγησης της συμμόρφωσης

Άρθρο 91
Επάρκεια των οργανισμών αξιολόγησης της συμμόρφωσης

1.Οι οργανισμοί αξιολόγησης της συμμόρφωσης λαμβάνουν διαπίστευση από εθνικούς οργανισμούς διαπίστευσης που ορίζονται σύμφωνα με τον κανονισμό (ΕΚ) αριθ. 765/2008. Η εν λόγω διαπίστευση λαμβάνεται μόνο εφόσον ο οργανισμός αξιολόγησης της συμμόρφωσης πληροί τις απαιτήσεις που θεσπίζονται στο παράρτημα I του παρόντος κανονισμού.

2.Όταν εκδίδεται ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας από εθνική αρχή πιστοποίησης της κυβερνοασφάλειας δυνάμει του παρόντος κανονισμού, ο οργανισμός πιστοποίησης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας λαμβάνει διαπίστευση ως οργανισμός αξιολόγησης της συμμόρφωσης δυνάμει της παραγράφου 1.

3.Η διαπίστευση που αναφέρεται στην παράγραφο 1 χορηγείται στους οργανισμούς αξιολόγησης της συμμόρφωσης για μέγιστο χρονικό διάστημα πέντε ετών και μπορεί να ανανεωθεί, υπό την προϋπόθεση ότι ο οργανισμός αξιολόγησης της συμμόρφωσης πληροί τις απαιτήσεις του παρόντος άρθρου. Οι εθνικοί οργανισμοί διαπίστευσης λαμβάνουν όλα τα ενδεδειγμένα μέτρα εντός εύλογου χρονικού πλαισίου προκειμένου να περιορίσουν, να αναστείλουν ή να ανακαλέσουν τη διαπίστευση οργανισμού αξιολόγησης της συμμόρφωσης που χορηγήθηκε βάσει της παραγράφου 1 όταν δεν πληρούνται ή δεν πληρούνται πλέον οι όροι για τη διαπίστευση ή όταν ο οργανισμός αξιολόγησης της συμμόρφωσης δεν συμμορφώνεται με τον παρόντα κανονισμό.

4.Κατά τη θέσπιση πρόσθετων ή ειδικών απαιτήσεων διαπίστευσης για ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που καλύπτει προϊόντα ΤΠΕ, σύμφωνα με το άρθρο 92, επιδιώκονται συνέργειες, κατά περίπτωση, με τις απαιτήσεις που αφορούν τους κοινοποιημένους οργανισμούς δυνάμει του κανονισμού (ΕΕ) 2024/2847 και τις απαιτήσεις διαπίστευσης στο πλαίσιο των σχημάτων πιστοποίησης της κυβερνοασφάλειας που έχουν ήδη εγκριθεί.

5.Όταν ένας οργανισμός αξιολόγησης της συμμόρφωσης είναι διαπιστευμένος σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847, οι αρμόδιες αρχές μπορούν να επαναχρησιμοποιούν αποτελέσματα από προηγούμενη διαδικασία διαπίστευσης σχετικά με τυχόν αλληλεπικαλυπτόμενες απαιτήσεις ως αποδεικτικά στοιχεία κατά τη διαδικασία διαπίστευσης δυνάμει του παρόντος κανονισμού.

Άρθρο 92
Πρόσθετη εναρμόνιση της επάρκειας οργανισμών αξιολόγησης της συμμόρφωσης

1.Σε περιπτώσεις που ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας ορίζουν πρόσθετες ή ειδικές απαιτήσεις σύμφωνα με το άρθρο 81 παράγραφος 3 στοιχείο στ), οι οργανισμοί αξιολόγησης της συμμόρφωσης αδειοδοτούνται από εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας διορισμένες σύμφωνα με το άρθρο 88 παράγραφος 1 για να εκτελούν καθήκοντα στο πλαίσιο των εν λόγω σχημάτων. Η εν λόγω άδεια εκδίδεται μόνον εφόσον ο οργανισμός αξιολόγησης της συμμόρφωσης είναι διαπιστευμένος και πληροί τις πρόσθετες ή ειδικές απαιτήσεις που ορίζονται στο πλαίσιο του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.

2.Όταν ένας οργανισμός αξιολόγησης της συμμόρφωσης ζητά άδεια με βάση το παρόν άρθρο, υποβάλλει το αίτημα στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας του κράτους μέλους στο οποίο είναι εγκατεστημένος ή στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας στην οποία έχει προσφύγει το εν λόγω κράτος μέλος σύμφωνα με το άρθρο 88 παράγραφος 1.

3.Ένας οργανισμός αξιολόγησης της συμμόρφωσης μπορεί να ζητήσει άδεια από εθνική αρχή πιστοποίησης της κυβερνοασφάλειας διαφορετική από εκείνη που αναφέρεται στην παράγραφο 2 σε οποιαδήποτε από τις ακόλουθες περιπτώσεις:

α)όταν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στην παράγραφο 1 δεν χορηγεί άδεια όσον αφορά τις δραστηριότητες αξιολόγησης της συμμόρφωσης για τις οποίες ζητείται άδεια·

β)όταν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στην παράγραφο 1 δεν έχει υποβληθεί στην αξιολόγηση από ομοτίμους σύμφωνα με το άρθρο 89 όσον αφορά τις δραστηριότητες αξιολόγησης της συμμόρφωσης για τις οποίες ζητείται άδεια.

4.Όταν μια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει αίτηση σύμφωνα με την παράγραφο 3, η εν λόγω αρχή ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας του κράτους μέλους στο οποίο είναι εγκατεστημένος ο αιτών οργανισμός αξιολόγησης της συμμόρφωσης. Στις περιπτώσεις αυτές, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας του εν λόγω κράτους μέλους μπορεί να συμμετέχει στην αδειοδότηση ως παρατηρητής.

5.Μια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας μπορεί να ζητήσει από άλλη εθνική αρχή πιστοποίησης της κυβερνοασφάλειας να πραγματοποιήσει μέρος της αξιολόγησης. Στην περίπτωση αυτή, το πιστοποιητικό αδειοδότησης εκδίδεται από την αιτούσα αρχή.

6.Η άδεια που αναφέρεται στην παράγραφο 1 ισχύει για περίοδο που δεν υπερβαίνει την περίοδο ισχύος της διαπίστευσης και μπορεί να ανανεωθεί, υπό τον όρο ότι ο οργανισμός αξιολόγησης της συμμόρφωσης πληροί τις απαιτήσεις της παραγράφου 1 και ότι η διαπίστευσή του έχει επίσης ανανεωθεί.

7.Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας λαμβάνουν όλα τα ενδεδειγμένα μέτρα, εντός εύλογου χρονικού πλαισίου, προκειμένου να περιορίσουν, να αναστείλουν ή να ανακαλέσουν την άδεια οργανισμού αξιολόγησης της συμμόρφωσης που έχει εκδοθεί βάσει της παραγράφου 1, όταν δεν πληρούνται ή δεν πληρούνται πλέον οι όροι για τη χορήγηση της άδειας ή όταν ο οργανισμός αξιολόγησης της συμμόρφωσης δεν συμμορφώνεται με τον παρόντα κανονισμό.

8.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των διαδικασιών, μεταξύ άλλων όσον αφορά τη διασυνοριακή συνεργασία, για την αδειοδότηση οργανισμών αξιολόγησης της συμμόρφωσης. Κατά τη διαδικασία εκπόνησης των εκτελεστικών πράξεων, η Επιτροπή ζητεί τη γνώμη του ENISA και της ΕΟΠΙΚ. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

Άρθρο 93
Κοινοποίηση των οργανισμών αξιολόγησης της συμμόρφωσης

1.Για κάθε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ενός κράτους μέλους κοινοποιούν στην Επιτροπή και στα άλλα κράτη μέλη τους οργανισμούς αξιολόγησης της συμμόρφωσης που είναι διαπιστευμένοι και, κατά περίπτωση, αδειοδοτημένοι σύμφωνα με το άρθρο 92.

2.Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας πραγματοποιούν την κοινοποίηση που αναφέρεται στην παράγραφο 1 χρησιμοποιώντας το ηλεκτρονικό εργαλείο κοινοποίησης που έχει αναπτύξει και διαχειρίζεται η Επιτροπή.

3.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των περιστάσεων, των μορφότυπων και των διαδικασιών για τις κοινοποιήσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου, συμπεριλαμβανομένων της διαδικασίας ένστασης από άλλα κράτη μέλη κατά τη διάρκεια της διαδικασίας κοινοποίησης, της μοναδικής ταυτοποίησης των οργανισμών αξιολόγησης της συμμόρφωσης, καθώς και των περιστάσεων για τον περιορισμό, την αναστολή ή την ανάκληση της κοινοποίησης. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

Άρθρο 94
Προκλήσεις όσον αφορά την επάρκεια των οργανισμών αξιολόγησης της συμμόρφωσης

1.Η Επιτροπή ερευνά κάθε περίπτωση για την οποία έχει αμφιβολίες ή έχουν περιέλθει στη γνώση της αμφιβολίες όσον αφορά την επάρκεια οργανισμού αξιολόγησης της συμμόρφωσης να εκπληρώνει τις απαιτήσεις και τις υποχρεώσεις που υπέχει, ή όσον αφορά τη συνεχή εκπλήρωση, από οργανισμό αξιολόγησης της συμμόρφωσης, των απαιτήσεων και των υποχρεώσεων που υπέχει.

2.Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας παρέχει στην Επιτροπή, εάν αυτή το ζητήσει, όλες τις πληροφορίες σχετικά με την αιτιολόγηση της κοινοποίησης ή την επιβεβαίωση της επάρκειας του εν λόγω οργανισμού αξιολόγησης της συμμόρφωσης.

3.Η Επιτροπή διασφαλίζει τον εμπιστευτικό χαρακτήρα όλων των ευαίσθητων πληροφοριών που λαμβάνει από τις έρευνές της.

4.Όταν η Επιτροπή διαπιστώνει ότι οργανισμός αξιολόγησης της συμμόρφωσης δεν πληροί ή παύει να πληροί τις απαιτήσεις κοινοποίησής του, ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας σχετικά και της ζητεί να λάβει τα αναγκαία διορθωτικά μέτρα, συμπεριλαμβανομένης της άρσης της κοινοποίησης, εφόσον είναι αναγκαίο.

5.Τα κράτη μέλη διασφαλίζουν ότι προβλέπεται διαδικασία προσφυγής κατά αποφάσεων των κοινοποιημένων οργανισμών.

Άρθρο 95
Υποχρέωση ενημέρωσης και τήρησης αρχείων από οργανισμούς αξιολόγησης της συμμόρφωσης

1.Οι οργανισμοί αξιολόγησης της συμμόρφωσης ενημερώνουν την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας σχετικά με τα ακόλουθα:

α)τυχόν άρνηση, περιορισμό, αναστολή ή ανάκληση πιστοποιητικού·

β)τυχόν περιστάσεις που επηρεάζουν το πεδίο εφαρμογής και τους όρους της κοινοποίησης που αναφέρεται στο άρθρο 93 παράγραφος 1·

γ)τυχόν αίτημα για ενημέρωση σχετικά με δραστηριότητες αξιολόγησης της συμμόρφωσης, το οποίο έλαβαν από αρχές εποπτείας της αγοράς·

δ)κατόπιν αιτήματος, τυχόν δραστηριότητες αξιολόγησης της συμμόρφωσης που έχουν διεξαχθεί στο πλαίσιο της κοινοποίησής τους και κάθε άλλη δραστηριότητα που διεξήχθη, συμπεριλαμβανομένων των διασυνοριακών δραστηριοτήτων και υπεργολαβιών.

2.Οι οργανισμοί αξιολόγησης της συμμόρφωσης παρέχουν επίσης στον ENISA τις πληροφορίες που αναφέρονται στην παράγραφο 1 στοιχείο α) με σκοπό τη διευκόλυνση της εκτέλεσης των καθηκόντων του σύμφωνα με το άρθρο 79.

3.Οι οργανισμοί αξιολόγησης της συμμόρφωσης παρέχουν στους άλλους οργανισμούς αξιολόγησης της συμμόρφωσης δυνάμει του παρόντος κανονισμού που διεξάγουν παρόμοιες δραστηριότητες αξιολόγησης της συμμόρφωσης οι οποίες καλύπτουν τα ίδια προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή οντότητες των οποίων η κυβερνοστάση έχει πιστοποιηθεί, χωρίς αδικαιολόγητη καθυστέρηση, τις σχετικές πληροφορίες για ζητήματα που αφορούν αρνητικά και, κατόπιν αιτήματος, θετικά αποτελέσματα αξιολόγησης της συμμόρφωσης.

4.Οι οργανισμοί αξιολόγησης της συμμόρφωσης τηρούν σύστημα αρχείων, το οποίο περιέχει όλα τα έγγραφα και τα αποδεικτικά στοιχεία που προσκομίζονται ή λαμβάνονται σε σχέση με κάθε αξιολόγηση και πιστοποίηση που διενεργούν. Το αρχείο αποθηκεύεται με ασφαλή και προσβάσιμο τρόπο για το χρονικό διάστημα που απαιτείται για τους σκοπούς της πιστοποίησης και για τουλάχιστον πέντε έτη μετά τη λήξη ή την ανάκληση σχετικού ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας.

Τμήμα 3 
Άλλες διατάξεις

Άρθρο 96
Δικαιώματα υποβολής καταγγελίας και δικαίωμα πραγματικής δικαστικής προσφυγής

1.Τα φυσικά και τα νομικά πρόσωπα έχουν το δικαίωμα να υποβάλλουν καταγγελία προς τον εκδότη ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας ή, όταν η καταγγελία αφορά ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας εκδιδόμενο από οργανισμό αξιολόγησης της συμμόρφωσης ενεργούντα σύμφωνα με το άρθρο 85 παράγραφος 4, προς την αρμόδια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας.

2.Η αρχή ή ο οργανισμός στον οποίο έχει υποβληθεί η καταγγελία ενημερώνει τον καταγγέλλοντα για την πρόοδο της διαδικασίας, για τη ληφθείσα απόφαση και για το δικαίωμα άσκησης πραγματικής δικαστικής προσφυγής, όπως αναφέρεται στις παραγράφους 3 και 4.

3.Παρά τη δυνατότητα διοικητικών ή άλλων εξωδικαστικών λύσεων, τα φυσικά και τα νομικά πρόσωπα έχουν το δικαίωμα να ασκήσουν πραγματική δικαστική προσφυγή με αντικείμενο:

α)αποφάσεις που λαμβάνονται από την αρχή ή τον οργανισμό που αναφέρεται στην παράγραφο 1, μεταξύ άλλων όσον αφορά, κατά περίπτωση, την αντικανονική έκδοση, την παράλειψη έκδοσης ή την αναγνώριση ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας το οποίο έχουν στην κατοχή τους τα εν λόγω φυσικά και νομικά πρόσωπα,

β)παράλειψη να δοθεί συνέχεια σε καταγγελία που έχει υποβληθεί σε αρχή ή οργανισμό που αναφέρεται στην παράγραφο 1.

4.Οι διαδικασίες που προβλέπονται στο παρόν άρθρο εκδικάζονται από τα δικαστήρια του κράτους μέλους όπου είναι εγκατεστημένη η αρχή ή ο οργανισμός κατά του οποίου ασκείται η δικαστική προσφυγή.

Άρθρο 97
Κυρώσεις

Τα κράτη μέλη καθορίζουν τους κανόνες για τις κυρώσεις οι οποίες επιβάλλονται σε περίπτωση παραβίασης του παρόντος τίτλου και παραβίασης των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας και λαμβάνουν όλα τα αναγκαία μέτρα προκειμένου να εξασφαλίσουν την επιβολή τους. Οι προβλεπόμενες κυρώσεις είναι αποτελεσματικές, αναλογικές και αποτρεπτικές. Τα κράτη μέλη κοινοποιούν στην Επιτροπή χωρίς καθυστέρηση τους εν λόγω κανόνες και μέτρα και την ενημερώνουν σχετικά με κάθε μεταγενέστερη τροποποίησή τους.

ΤΙΤΛΟΣ IV 
ΑΣΦΑΛΕΙΑ ΤΩΝ ΑΛΥΣΙΔΩΝ ΕΦΟΔΙΑΣΜΟΥ ΤΠΕ

ΚΕΦΑΛΑΙΟ I 
Πλαίσιο για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ

Άρθρο 98
Πεδίο εφαρμογής του πλαισίου

1.Το πλαίσιο για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ προβλέπει μηχανισμό ασφάλειας σε επίπεδο Ένωσης για την αντιμετώπιση μη τεχνικών κινδύνων σε τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς, όπως αναφέρεται στην οδηγία (ΕΕ) 2022/2555. Ο μηχανισμός προσδιορίζει βασικά πάγια στοιχεία ΤΠΕ σε κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ και καθορίζει κατάλληλα και αναλογικά μέτρα μετριασμού για τις οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555.

2.Οι υποχρεώσεις που καθορίζονται στον παρόντα τίτλο δεν θίγουν τις υποχρεώσεις που καθορίζονται στο άρθρο 13 του κανονισμού (ΕΕ) 2024/2847 και στις εθνικές διατάξεις για τη μεταφορά του άρθρου 21 της οδηγίας (ΕΕ) 2022/2555 στο εθνικό δίκαιο.

3.Οι διατάξεις του παρόντος κεφαλαίου δεν εμποδίζουν τα κράτη μέλη να θεσπίζουν ή να διατηρούν διατάξεις που διασφαλίζουν υψηλότερο επίπεδο κυβερνοασφάλειας στις αλυσίδες εφοδιασμού ΤΠΕ, υπό την προϋπόθεση ότι οι εν λόγω διατάξεις συνάδουν με τις υποχρεώσεις των κρατών μελών δυνάμει του ενωσιακού δικαίου.

Άρθρο 99
Εκτιμήσεις κινδύνου για την ασφάλεια

1.Η Επιτροπή ή ομάδα τουλάχιστον τριών κρατών μελών μπορεί να ζητήσει από την ομάδα συνεργασίας που συστάθηκε με το άρθρο 14 της οδηγίας (ΕΕ) 2022/2555 (στο εξής: ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών) να διενεργήσει τις συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια σύμφωνα με το άρθρο 22 της εν λόγω οδηγίας. Η εκτίμηση κινδύνου για την ασφάλεια, όταν διενεργείται κατόπιν τέτοιου αιτήματος, περιλαμβάνει ιδίως τον προτεινόμενο προσδιορισμό των βασικών πάγιων στοιχείων ΤΠΕ της αντίστοιχης αλυσίδας εφοδιασμού ΤΠΕ, καθώς και των κύριων παραγόντων απειλής, κινδύνων και ευπαθειών που επηρεάζουν τους εν λόγω πόρους. Με τις συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια καταρτίζονται σενάρια κινδύνου και προτείνονται μέτρα για τον μετριασμό των προσδιορισθέντων κινδύνων.

2.Οι συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια ολοκληρώνονται εντός έξι μηνών από το αίτημα που αναφέρεται στην παράγραφο 1. Κατόπιν αιτήματος της Επιτροπής, η ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών μπορεί να συμφωνήσει να προβλεφθεί βραχύτερη προθεσμία ολοκλήρωσης.

3.Όταν η Επιτροπή έχει επαρκείς λόγους να πιστεύει ότι υπάρχει σημαντική κυβερνοαπειλή για την ασφάλεια της Ένωσης σε σχέση με αλυσίδα εφοδιασμού ΤΠΕ και ότι απαιτείται δράση για τη διατήρηση της εύρυθμης λειτουργίας της εσωτερικής αγοράς, η Επιτροπή, χωρίς καθυστέρηση:

α)διαβουλεύεται με τα κράτη μέλη σχετικά με την ανάγκη λήψης ενός ή περισσότερων από τα μέτρα μετριασμού που αναφέρονται στο άρθρο 103· και

β)διενεργεί εκτίμηση κινδύνου για την ασφάλεια, λαμβάνοντας υπόψη τη διαβούλευση με τα κράτη μέλη. Η εκτίμηση κινδύνου για την ασφάλεια περιλαμβάνει τον προτεινόμενο προσδιορισμό των βασικών πάγιων στοιχείων ΤΠΕ, καθώς και των κύριων παραγόντων απειλής, κινδύνων και ευπαθειών που επηρεάζουν τους εν λόγω πόρους. Με την εκτίμηση κινδύνου για την ασφάλεια καταρτίζονται σενάρια κινδύνου και προτείνονται μέτρα για τον μετριασμό των προσδιορισθέντων κινδύνων.

Άρθρο 100
Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες σχετικά με την κυβερνοασφάλεια

1.Όταν ως αποτέλεσμα της εκτίμησης κινδύνου για την ασφάλεια που αναφέρεται στο άρθρο 99 ή βάσει άλλων πηγών, όπως δημόσιας δήλωσης εξ ονόματος της Ένωσης ή κράτους μέλους, φαίνεται ότι μια τρίτη χώρα εγείρει σοβαρούς και διαρθρωτικούς μη τεχνικούς κινδύνους για τις αλυσίδες εφοδιασμού ΤΠΕ, η Επιτροπή επαληθεύει τον κίνδυνο που εγείρει η εν λόγω χώρα, λαμβάνοντας υπόψη τα ακόλουθα στοιχεία:

α)την ύπαρξη νόμων στην τρίτη χώρα που απαιτούν από τις οντότητες που υπάγονται στη δικαιοδοσία της να αναφέρουν πληροφορίες σχετικά με ευπάθειες λογισμικού ή υλισμικού στις αρχές της εν λόγω τρίτης χώρας προτού να γίνει γνωστό ότι οι εν λόγω ευπάθειες έχουν αποτελέσει αντικείμενο εκμετάλλευσης·

β)υφιστάμενες πρακτικές στην τρίτη χώρα, αποδεδειγμένες από ανεξάρτητες πηγές, σύμφωνα με τις οποίες οι οντότητες που υπάγονται στη δικαιοδοσία της τρίτης χώρας πρέπει να αναφέρουν πληροφορίες σχετικά με ευπάθειες λογισμικού ή υλισμικού στις αρχές της εν λόγω τρίτης χώρας προτού να γίνει γνωστό ότι οι εν λόγω ευπάθειες έχουν αποτελέσει αντικείμενο εκμετάλλευσης·

γ)απουσία αποτελεσματικών ένδικων μέσων και ανεξάρτητων και δημοκρατικών μηχανισμών ελέγχου που μπορούν να διορθώσουν τις προσδιορισθείσες ανησυχίες για την ασφάλεια, μεταξύ άλλων όσον αφορά τις υφιστάμενες πρακτικές που αναφέρονται στο στοιχείο β)·

δ)τεκμηριωμένες πληροφορίες σχετικά με ένα ή περισσότερα περιστατικά σχετικά με παράγοντες απειλής που ελέγχονται από την εν λόγω χώρα και δραστηριοποιούνται εκτός της επικράτειας της εν λόγω χώρας διεξάγοντας κακόβουλες δραστηριότητες ή εκστρατείες στον κυβερνοχώρο, και έλλειψη ικανότητας ή προθυμίας της τρίτης χώρας να συνεργαστεί με την Επιτροπή ή τα κράτη μέλη για την αντιμετώπιση του κινδύνου που απορρέει από τη δραστηριότητα των εν λόγω παραγόντων απειλής·

ε)σχετικές πληροφορίες που απορρέουν από συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την ασφάλεια ή εκθέσεις κρατών μελών ή διεθνών οργανισμών.

2.Η Επιτροπή, όταν μετά την επαλήθευση που αναφέρεται στην παράγραφο 1 καταλήγει στο συμπέρασμα ότι μια τρίτη χώρα εγείρει σοβαρούς και διαρθρωτικούς μη τεχνικούς κινδύνους για τις αλυσίδες εφοδιασμού ΤΠΕ, μπορεί, μέσω εκτελεστικής πράξης, να ορίσει την εν λόγω τρίτη χώρα ως χώρα που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια για τις αλυσίδες εφοδιασμού ΤΠΕ. Η εν λόγω εκτελεστική πράξη εκδίδεται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

3.Η Επιτροπή επανεξετάζει τακτικά τις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με την παράγραφο 2.

4.Οι προμηθευτές υψηλού κινδύνου δεν δικαιούνται:

α)να συμμετέχουν στην εκπόνηση, την αξιολόγηση, τη διαβούλευση ή τη λήψη αποφάσεων σχετικά με τα ευρωπαϊκά πρότυπα και τα παραδοτέα ευρωπαϊκής τυποποίησης που αναφέρονται στο άρθρο 10 παράγραφος 1 του κανονισμού (ΕΕ) αριθ. 1025/2012 και τις κοινές προδιαγραφές που αναφέρονται στο άρθρο 27 του κανονισμού (ΕΕ) 2024/2847 στον τομέα της κυβερνοασφάλειας·

β)να υποβάλλουν αίτηση ή να είναι κάτοχοι ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας σύμφωνα με τον τίτλο III·

γ)να καταστούν διαπιστευμένοι οργανισμοί αξιολόγησης της συμμόρφωσης σύμφωνα με τον τίτλο III·

δ)να υποβάλλουν αίτηση για να καταστούν αδειοδοτημένοι πάροχοι βεβαιώσεων για οποιεσδήποτε ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας σύμφωνα με τον τίτλο II τμήμα 4·

ε)να συμμετέχουν σε διαδικασίες σύναψης δημόσιων συμβάσεων, οι οποίες διοργανώνονται σύμφωνα με τη νομοθεσία για τη μεταφορά στο εθνικό δίκαιο των οδηγιών 2014/24/ΕΕ και 2014/25/ΕΕ σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ προς χρήση σε βασικά πάγια στοιχεία ΤΠΕ, όπως προσδιορίζονται σύμφωνα με το άρθρο 102·

στ)να συμμετέχουν σε οποιεσδήποτε δραστηριότητες στο πλαίσιο χρηματοδοτικών προγραμμάτων και μέσων της Ένωσης που υλοποιούνται υπό καθεστώς άμεσης και έμμεσης διαχείρισης σύμφωνα με το άρθρο 136 του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509 και τους ειδικούς τομεακούς κανόνες της Ένωσης, καθώς και σε τυχόν χρηματοδοτικές δραστηριότητες της Ένωσης που υλοποιούνται υπό καθεστώς επιμερισμένης διαχείρισης σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ προς χρήση σε βασικά πάγια στοιχεία ΤΠΕ, όπως προσδιορίζονται σύμφωνα με το άρθρο 102.

Οι αρχές που είναι αρμόδιες για τις διαδικασίες που αναφέρονται στα στοιχεία α) έως στ) διενεργούν τις αναγκαίες αξιολογήσεις για τους σκοπούς της παρούσας παραγράφου. Για τον σκοπό αυτό, οι αρχές μπορούν επίσης να βασίζονται στον κατάλογο που αναφέρεται στο άρθρο 104.

5.Στις περιπτώσεις που προμηθευτής υψηλού κινδύνου έχει ήδη λάβει ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας σύμφωνα με τον τίτλο III, η αρμόδια αρχή το ανακαλεί χωρίς αδικαιολόγητη καθυστέρηση.

Άρθρο 101
Γενικός μηχανισμός για την ασφάλεια των αλυσίδων εφοδιασμού ΤΠΕ

Όταν η ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών έχει διενεργήσει συντονισμένη σε επίπεδο Ένωσης εκτίμηση κινδύνου για την ασφάλεια σύμφωνα με το άρθρο 99 παράγραφος 1 του παρόντος κανονισμού, ή μετά την ολοκλήρωση της διαδικασίας σε περίπτωση σημαντικής κυβερνοαπειλής σύμφωνα με το άρθρο 99 παράγραφος 3 για αλυσίδα εφοδιασμού ΤΠΕ, η Επιτροπή μπορεί να λάβει τα μέτρα που προβλέπονται στο άρθρο 102 και στο άρθρο 103 παράγραφοι 1 και 2.

Άρθρο 102
Προσδιορισμός βασικών πάγιων στοιχείων ΤΠΕ

1.Όταν η εκτίμηση κινδύνου που διενεργείται σύμφωνα με το άρθρο 99 παράγραφος 1 ή 3 υποδεικνύει σημαντικούς κινδύνους κυβερνοασφάλειας σε σχέση με αλυσίδα εφοδιασμού ΤΠΕ, ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον προσδιορισμό βασικών πάγιων στοιχείων ΤΠΕ που χρησιμοποιούνται για την κατασκευή προϊόντων ή την παροχή υπηρεσιών από οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2 του παρόντος κανονισμού.

2.Κατά τον προσδιορισμό των βασικών πάγιων στοιχείων ΤΠΕ που αναφέρονται στην παράγραφο 1, η Επιτροπή λαμβάνει υπόψη τα ακόλουθα:

α)κατά πόσον οι εν λόγω πόροι επιτελούν ουσιώδεις και ευαίσθητες λειτουργίες για τη λειτουργία των προϊόντων που κατασκευάζονται ή των υπηρεσιών που παρέχονται από την οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·

β)κατά πόσον περιστατικά, συμπεριλαμβανομένων περιστατικών που προκαλούνται από ευπάθειες που αποτελούν αντικείμενο εκμετάλλευσης σχετικά με τους εν λόγω πόρους, μπορούν να προκαλέσουν σοβαρές διαταραχές στις αλυσίδες εφοδιασμού ΤΠΕ σε ολόκληρη την εσωτερική αγορά ή να οδηγήσουν σε απόσπαση δεδομένων·

γ)κατά πόσον υπάρχει εξάρτηση από περιορισμένο αριθμό προμηθευτών των εν λόγω πάγιων στοιχείων·

δ)τα αποτελέσματα των εκτιμήσεων κινδύνου που αναφέρονται στο άρθρο 99.

Άρθρο 103
Μέτρα μετριασμού στην αλυσίδα εφοδιασμού ΤΠΕ

1.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις με τις οποίες ορίζεται, όταν είναι αναγκαίο για τη διασφάλιση υψηλού επιπέδου κυβερνοασφάλειας, κυβερνοανθεκτικότητας και εμπιστοσύνης εντός της Ένωσης, ότι απαγορεύεται σε συγκεκριμένο τύπο οντοτήτων που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 να χρησιμοποιούν, να εγκαθιστούν ή να ενσωματώνουν, σε οποιαδήποτε μορφή, συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου, όπως προσδιορίζονται σύμφωνα με το άρθρο 104, σε βασικά πάγια στοιχεία ΤΠΕ που προσδιορίζονται σύμφωνα με το άρθρο 102. Οι εν λόγω εκτελεστικές πράξεις προβλέπουν κατάλληλες μεταβατικές περιόδους, κατά τη διάρκεια των οποίων η Επιτροπή δημοσιεύει τον κατάλογο των προμηθευτών υψηλού κινδύνου που αναφέρεται στο άρθρο 104, καθώς και πρόσθετες χρονικές περιόδους για τη σταδιακή κατάργηση των σχετικών συνιστωσών ΤΠΕ και συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ. Η εν λόγω εκτελεστική πράξη μπορεί επίσης να προσδιορίζει τις εν λόγω συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ.

2.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις με τις οποίες ορίζεται, όταν είναι αναγκαίο για τη διασφάλιση υψηλού επιπέδου κυβερνοασφάλειας, κυβερνοανθεκτικότητας και εμπιστοσύνης εντός της Ένωσης, ότι οντότητες συγκεκριμένου τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 υπόκεινται σε ένα ή περισσότερα από τα ακόλουθα μέτρα μετριασμού σε σχέση με την οικεία αλυσίδα εφοδιασμού ΤΠΕ και ειδικότερα τα βασικά πάγια στοιχεία ΤΠΕ που προσδιορίζονται σύμφωνα με το άρθρο 102, για τον μετριασμό των κινδύνων που προσδιορίζονται στις εκτιμήσεις κινδύνου για την ασφάλεια που διεξάγονται σύμφωνα με το άρθρο 99:

α)εφαρμογή απαιτήσεων διαφάνειας που αφορούν την παροχή πληροφοριών στην αρμόδια αρχή σχετικά με τους προμηθευτές, στην αλυσίδα εφοδιασμού ΤΠΕ, βασικών πάγιων στοιχείων ΤΠΕ που έχουν χαρακτηριστεί σύμφωνα με το άρθρο 102·

β)απαγόρευση σχετικά με τις διαβιβάσεις δεδομένων σε τρίτες χώρες και την εξ αποστάσεως επεξεργασία δεδομένων από τρίτη χώρα·

γ)τεχνικά μέτρα που πρέπει να ελέγχονται από τρίτο μέρος, συμπεριλαμβανομένων των εξής:

i) χρήση επεξεργασίας εντός της συσκευής·

ii) ειδική κατάτμηση των συστημάτων δικτύου·

iii) απενεργοποίηση οποιασδήποτε εξ αποστάσεως ή φυσικής πρόσβασης σε βασικά πάγια στοιχεία ΤΠΕ·

iv) απενεργοποίηση μη ουσιωδών χαρακτηριστικών·

v) επιχειρησιακή παρακολούθηση του δικτύου·

vi) δοκιμή υλισμικού και λογισμικού·

δ)περιορισμούς που σχετίζονται με τον επιχειρησιακό έλεγχο, συμπεριλαμβανομένης της εξωτερικής ανάθεσης οργανωτικών λειτουργιών σε παρόχους διαχειριζόμενων υπηρεσιών·

ε)περιορισμούς που σχετίζονται με τις συμβατικές σχέσεις της οντότητας με τους προμηθευτές της·

στ)απαίτηση για τη λειτουργία, τη διαχείριση, τη συντήρηση ή την υποστήριξη της υπηρεσίας από προσωπικό διαπιστευμένο από τις σχετικές εθνικές αρμόδιες αρχές·

ζ)διαφοροποίηση του εφοδιασμού με συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνονται σε συνιστώσες ΤΠΕ.

3.Κατά τη θέσπιση των μέτρων που αναφέρονται στην παράγραφο 2, η Επιτροπή μπορεί να καθορίζει τεχνικές και μεθοδολογικές απαιτήσεις για τα μέτρα.

4.Πριν από την έκδοση των εκτελεστικών πράξεων που αναφέρονται στις παραγράφους 1 και 2, η Επιτροπή αξιολογεί τους δυνητικούς κινδύνους και τις δυνητικές εξαρτήσεις, ειδικότερα δε τα εξής:

α)κατά περίπτωση, το επίπεδο κινδύνου που συνδέεται με τη χρήση, την εγκατάσταση ή την ενσωμάτωση, σε οποιαδήποτε μορφή, συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου σε βασικά πάγια στοιχεία ΤΠΕ·

β)τις δυνητικές οικονομικές και κοινωνικές επιπτώσεις που μπορεί να έχει η υποχρέωση σε οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·

γ)τη διαθεσιμότητα εναλλακτικών προμηθευτών αντί των προμηθευτών υψηλού κινδύνου·

δ)τη δυνητική διαταραχή διασυνοριακών οικονομικών και κοινωνικών δραστηριοτήτων που προκαλείται από περιστατικό που επηρεάζει την αλυσίδα εφοδιασμού ΤΠΕ μιας οντότητας.

5.Οι εκτελεστικές πράξεις που αναφέρονται στις παραγράφους 1 και 2 του παρόντος άρθρου εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 118 παράγραφος 2 και επανεξετάζονται τουλάχιστον κάθε 36 μήνες.

6.Σε εξαιρετικές περιστάσεις, οι οποίες δικαιολογούν παρέμβαση για τη διατήρηση της εύρυθμης λειτουργίας της εσωτερικής αγοράς και όταν η Επιτροπή έχει επαρκείς λόγους να θεωρεί ότι η χρήση, η εγκατάσταση ή η ενσωμάτωση συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ από συγκεκριμένη οντότητα που είναι εγκατεστημένη σε τρίτη χώρα ή ελέγχεται από τρίτη χώρα ή από οντότητες τρίτης χώρας ή από υπήκοο τρίτης χώρας αποτελεί σημαντικό μη τεχνικό κίνδυνο κυβερνοασφάλειας για τις οικονομικές ή κοινωνικές δραστηριότητες τουλάχιστον τριών κρατών μελών, η Επιτροπή διαβουλεύεται αμελλητί με τα κράτη μέλη σχετικά με την ανάγκη λήψης μέτρων σε επίπεδο Ένωσης.

7.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις με τις οποίες ορίζεται ότι απαγορεύεται στον συγκεκριμένο τύπο οντοτήτων που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 να χρησιμοποιούν, να εγκαθιστούν ή να ενσωματώνουν συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ από οντότητα αναφερόμενη στην παράγραφο 6. Για τον σκοπό αυτό, η Επιτροπή διαβουλεύεται με τις οντότητες των τύπων που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 τις οποίες ενδέχεται να αφορά η απαγόρευση. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2. Κατά περίπτωση, περιλαμβάνουν κατάλληλες προθεσμίες για τη σταδιακή κατάργηση των εν λόγω συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ. Η εν λόγω εκτελεστική πράξη μπορεί επίσης να προσδιορίζει τις συνιστώσες ΤΠΕ ή τις συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ οι οποίες υπόκεινται στην απαγόρευση. Η απαγόρευση αυτή αφορά επίσης συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ απ’ όλες τις οντότητες που ελέγχονται από τη συγκεκριμένη οντότητα που αναφέρεται στην παράγραφο 6.

8.Οι εκτελεστικές πράξεις που αναφέρονται στις παραγράφους 1, 2 και 7 μπορούν επίσης να ορίζουν ότι τα μέτρα μετριασμού εφαρμόζονται μόνο σε συγκεκριμένου μεγέθους τύπους οντοτήτων που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555.

9.Το άρθρο 100 παράγραφος 4 εφαρμόζεται στη συγκεκριμένη οντότητα που είναι εγκατεστημένη σε τρίτη χώρα ή που ελέγχεται από τρίτη χώρα, ή οντότητα τρίτης χώρας, ή υπήκοο τρίτης χώρας που αναφέρεται στην παράγραφο 7. 

10.Οι εκτελεστικές πράξεις που εκδίδονται σύμφωνα με τις παραγράφους 1, 2 και 7 οι οποίες ισχύουν για τους τύπους οντοτήτων που αναφέρονται στο παράρτημα I σημείο 10) της οδηγίας (ΕΕ) 2022/2555 εφαρμόζονται, τηρουμένων των αναλογιών, στα ευρωπαϊκά θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης.

Άρθρο 104
Προσδιορισμός προμηθευτών υψηλού κινδύνου

1.Η Επιτροπή, μέσω εκτελεστικών πράξεων, καταρτίζει καταλόγους προμηθευτών υψηλού κινδύνου σχετικά με τις απαγορεύσεις που προβλέπονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1, το άρθρο 103 παράγραφος 7 ή την απαγόρευση που αναφέρεται στο άρθρο 111 παράγραφος 1.

2.Για τον σκοπό αυτό, η Επιτροπή καταγράφει τους προμηθευτές που παρέχουν συνιστώσες ΤΠΕ και συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ τους οποίους αφορά η απαγόρευση που αναφέρεται στην παράγραφο 1.

Σε αυτή τη βάση, η Επιτροπή διενεργεί αρχική αξιολόγηση για να προσδιορίσει ποιοι από τους καταγεγραμμένους προμηθευτές είναι δυνητικά εγκατεστημένοι σε τρίτη χώρα που έχει χαρακτηριστεί σύμφωνα με το άρθρο 100 ή ελέγχονται από τέτοια τρίτη χώρα, από οντότητα εγκατεστημένη σε τέτοια τρίτη χώρα ή από υπήκοο τέτοιας τρίτης χώρας. Η Επιτροπή προβαίνει επίσης σε αρχική καταγραφή των προμηθευτών που ενδέχεται να ελέγχονται από την οντότητα που αναφέρεται στο άρθρο 103 παράγραφος 6.

3.Η Επιτροπή αξιολογεί τον τόπο εγκατάστασης καθώς και τη διάρθρωση της κυριότητας και του ελέγχου των προμηθευτών που προσδιορίστηκαν αρχικά, σύμφωνα με την παράγραφο 2 δεύτερο εδάφιο.

4.Για τους σκοπούς της αξιολόγησης που αναφέρεται στην παράγραφο 3, η Επιτροπή έχει το δικαίωμα να ζητεί τις απαραίτητες πληροφορίες από τους προμηθευτές. Σε περίπτωση που ο προμηθευτής δεν υποβάλει τις απαραίτητες πληροφορίες εντός της καθορισμένης προθεσμίας, η Επιτροπή μπορεί να καταλήξει στο συμπέρασμα ότι ο προμηθευτής είναι εγκατεστημένος σε τρίτη χώρα που έχει χαρακτηριστεί σύμφωνα με το άρθρο 100 ή ελέγχεται από τέτοια τρίτη χώρα, από οντότητες τέτοιας τρίτης χώρας ή από υπηκόους τέτοιας τρίτης χώρας. Όταν η Επιτροπή διενεργεί αξιολόγηση για τους σκοπούς του άρθρου 103 παράγραφος 7 και ο προμηθευτής δεν παρέχει τις απαραίτητες πληροφορίες εντός της καθορισμένης προθεσμίας, η Επιτροπή μπορεί να καταλήξει στο συμπέρασμα ότι ο προμηθευτής ελέγχεται από οντότητα που έχει χαρακτηριστεί σύμφωνα με το εν λόγω άρθρο. Οι αρμόδιες αρχές που αναφέρονται στο άρθρο 112 ανταλλάσσουν επίσης σχετικές πληροφορίες με την Επιτροπή, κατόπιν αιτήματος.

5.Η Επιτροπή κοινοποιεί στον ενδιαφερόμενο προμηθευτή τα προκαταρκτικά πορίσματα σχετικά με την αξιολόγηση της εγκατάστασης, του ελέγχου και της κυριότητας. Η Επιτροπή παρέχει στον προμηθευτή δυνατότητα ακρόασης σχετικά με τα εν λόγω προκαταρκτικά πορίσματα.

6.Η Επιτροπή μπορεί να ζητήσει από αρμόδια αρχή να διενεργήσει την αρχική αξιολόγηση της εγκατάστασης, της κυριότητας και του ελέγχου ενός προμηθευτή, όταν αυτό δικαιολογείται από τα χαρακτηριστικά της λειτουργίας του εν λόγω προμηθευτή. Μια αρμόδια αρχή μπορεί να προσφερθεί να διενεργήσει την εν λόγω αρχική αξιολόγηση. Η Επιτροπή επαληθεύει αυτά τα αρχικά πορίσματα προκειμένου να αποφασίσει αν ο προμηθευτής θα πρέπει να συμπεριληφθεί στον κατάλογο προμηθευτών υψηλού κινδύνου.

7.Η Επιτροπή επικαιροποιεί τακτικά τον κατάλογο των προμηθευτών υψηλού κινδύνου με σκοπό την αφαίρεση ή την προσθήκη προμηθευτών υψηλού κινδύνου. Οι προμηθευτές υψηλού κινδύνου που περιλαμβάνονται στον κατάλογο μπορούν να ζητήσουν από την Επιτροπή να επαναξιολογήσει την εγκατάσταση και τη διάρθρωση του ελέγχου και της κυριότητάς τους, εφόσον προσκομίσουν στοιχεία που αποδεικνύουν ότι έχουν επέλθει σχετικές αλλαγές.

8.Όταν μια αρμόδια αρχή αντιληφθεί, μεταξύ άλλων βάσει πληροφοριών που παρέχονται από οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, ότι ένας προμηθευτής ενδέχεται να χρειαστεί να συμπεριληφθεί σε κατάλογο προμηθευτών υψηλού κινδύνου, η εν λόγω αρχή ενημερώνει την Επιτροπή χωρίς αδικαιολόγητη καθυστέρηση.

Άρθρο 105
Εξαίρεση για οντότητες εγκατεστημένες σε τρίτη χώρα ή ελεγχόμενες από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια

1.Οντότητα που είναι εγκατεστημένη σε τρίτη χώρα ή ελέγχεται από οντότητες τρίτης χώρας που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια και έχει χαρακτηριστεί σύμφωνα με το άρθρο 100 μπορεί να υποβάλει αιτιολογημένη αίτηση στην Επιτροπή για εξαίρεση:

α)από την απαγόρευση που επιβάλλεται σε οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 να χρησιμοποιούν, να εγκαθιστούν ή να ενσωματώνουν, σε οποιαδήποτε μορφή, τις οικείες συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν τις οικείες συνιστώσες ΤΠΕ σε βασικά πάγια στοιχεία ΤΠΕ των εν λόγω οντοτήτων, κατά παρέκκλιση από το άρθρο 111 ή τις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1·

β)από την απαγόρευση συμμετοχής σε διαδικασίες σύναψης δημόσιων συμβάσεων, οι οποίες διοργανώνονται σύμφωνα με τη νομοθεσία για τη μεταφορά στο εθνικό δίκαιο των οδηγιών 2014/24/ΕΕ και 2014/25/ΕΕ σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ προς χρήση σε βασικά πάγια στοιχεία ΤΠΕ, όπως προσδιορίζονται σύμφωνα με το άρθρο 102, κατά παρέκκλιση από το άρθρο 100 παράγραφος 4.

2.Η αίτηση που αναφέρεται στην παράγραφο 1:

α)προσδιορίζει το συμφέρον της οντότητας που είναι εγκατεστημένη σε τρίτη χώρα ή ελέγχεται από οντότητες τρίτης χώρας που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια και έχει χαρακτηριστεί σύμφωνα με το άρθρο 100 να της χορηγηθεί η εξαίρεση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου· και

β)καταδεικνύει με σαφή αποδεικτικά στοιχεία ότι θα εφαρμοστούν αποτελεσματικά μέτρα μετριασμού για την αντιμετώπιση των μη τεχνικών κινδύνων και τη διασφάλιση της απουσίας οποιασδήποτε πιθανής άσκησης αδικαιολόγητης παρέμβασης από την τρίτη χώρα που έχει χαρακτηριστεί σύμφωνα με το άρθρο 100 σε σχέση με την παροχή συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ για χρήση, εγκατάσταση ή ενσωμάτωση σε βασικά πάγια στοιχεία ΤΠΕ οντότητας του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555.

3.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον περαιτέρω προσδιορισμό των προϋποθέσεων που αναφέρονται στην παράγραφο 2 στοιχείο β) και για τη θέσπιση λεπτομερών κανόνων σχετικά με τις διαδικασίες που αναφέρονται στο παρόν άρθρο. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

4.Η Επιτροπή αξιολογεί την αίτηση που αναφέρεται στην παράγραφο 1 μέσω δίκαιης και διαφανούς διαδικασίας, λαμβάνοντας υπόψη:

α)τις περιστάσεις και τα πρόσθετα στοιχεία που αναφέρονται στο άρθρο 100 παράγραφοι 1 και 2 σε σχέση με την χώρα που έχει χαρακτηριστεί και που εγείρει ανησυχίες για την κυβερνοασφάλεια στις αλυσίδες εφοδιασμού ΤΠΕ και στην οποία είναι εγκατεστημένη ή από την οποία ελέγχεται η οντότητα·

β)την αποτελεσματικότητα των μέτρων μετριασμού που αναφέρονται στην παράγραφο 2 στοιχείο β)·

γ)κατά πόσον η εξαίρεση για την οντότητα που είναι εγκατεστημένη σε τρίτη χώρα ή ελέγχεται από οντότητες τρίτης χώρας που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια στις αλυσίδες εφοδιασμού ΤΠΕ δεν θα ήταν επιζήμια για τα συμφέροντα της Ένωσης.

5.Η Επιτροπή, όταν καταλήγει, μετά την αξιολόγηση της παραγράφου 3, στο συμπέρασμα ότι δικαιολογείται η χορήγηση εξαίρεσης, το πράττει με απόφαση, την οποία κοινοποιεί στον αιτούντα εντός 9 μηνών από την παραλαβή της αίτησης.

6.Κατά την έκδοση απόφασης που αναφέρεται στην παράγραφο 4, η Επιτροπή μπορεί να περιορίσει την εξαίρεση σε συγκεκριμένη χρονική περίοδο και μπορεί να εξαρτήσει την εξαίρεση από προϋποθέσεις για την οντότητα, όπως, μεταξύ άλλων:

α)χρονοδιάγραμμα για την εφαρμογή των μέτρων μετριασμού που αναφέρονται στην παράγραφο 2 στοιχείο β)·

β)ελέγχους από τρίτους σε τακτική βάση για τη διασφάλιση της αποτελεσματικής εφαρμογής των μέτρων μετριασμού·

γ)υποχρεώσεις υποβολής εκθέσεων σχετικά με τη συμμόρφωση.

7.Η Επιτροπή, όταν καταλήγει, μετά την αξιολόγηση της παραγράφου 3, στο συμπέρασμα ότι δεν δικαιολογείται η χορήγηση εξαίρεσης, το πράττει με απόφαση και την κοινοποιεί στους αιτούντες εντός 9 μηνών από την παραλαβή της αίτησης.

8.Η Επιτροπή μπορεί, με δική της πρωτοβουλία, να ανακαλέσει ή να τροποποιήσει την απόφαση που αναφέρεται στην παράγραφο 4 σε μία ή περισσότερες από τις ακόλουθες περιπτώσεις:

α)έχει υπάρξει ουσιαστική μεταβολή στα πραγματικά περιστατικά στα οποία βασίστηκε η απόφαση·

β)η οντότητα που ζήτησε την εξαίρεση ενεργεί αντίθετα προς τις δεσμεύσεις της·

γ)η εξαίρεση βασίστηκε σε ελλιπείς, ανακριβείς ή παραπλανητικές πληροφορίες τις οποίες υπέβαλε η οντότητα που υπέβαλε την αίτηση.

Άρθρο 106
Δικαιώματα υπεράσπισης

Η Επιτροπή διασφαλίζει ότι, πριν από την έκδοση εκτελεστικής πράξης σύμφωνα με το άρθρο 103 παράγραφος 7, ή πριν από την έκδοση απόφασης για την άρνηση χορήγησης εξαίρεσης σύμφωνα με το άρθρο 105 παράγραφος 7 με βάση το γεγονός ότι ο αιτών δεν υπέβαλε στοιχεία, ή πριν από την ανάκληση απόφασης σύμφωνα με το άρθρο 105 παράγραφος 8, παρέχεται στην οικεία οντότητα η δυνατότητα ακρόασης, λαμβανομένης υπόψη της ανάγκης, σε ορισμένες περιπτώσεις, για επείγουσα διαδικασία.

Άρθρο 107
Μητρώο

Η Επιτροπή τηρεί μητρώο των αποφάσεων που αναφέρονται στο άρθρο 105 παράγραφος 5, στο οποίο έχει πρόσβαση το κοινό. Το μητρώο αναφέρει τα ονόματα των οντοτήτων για τις οποίες εκδόθηκαν οι εν λόγω αποφάσεις. Η Επιτροπή επικαιροποιεί το μητρώο σε τακτική βάση.

Άρθρο 108
Εμπιστευτικότητα

Οι πληροφορίες που λαμβάνει η Επιτροπή σύμφωνα με τα άρθρα 105 και 106 χρησιμοποιούνται μόνο για τον σκοπό για τον οποίον ελήφθησαν.

Άρθρο 109
Τέλη

1.Η Επιτροπή επιβάλλει τέλη για τις αιτήσεις που υποβάλλονται σύμφωνα με το άρθρο 105 παράγραφος 1.

2.Τα τέλη εκφράζονται και καταβάλλονται σε ευρώ.

3.Τα τέλη είναι ανάλογα προς τις δαπάνες που συνδέονται με τη διεκπεραίωση των αιτήσεων που αναφέρονται στο άρθρο 105 παράγραφος 1, την αξιολόγηση των κριτηρίων και των πληροφοριών που αναφέρονται στο άρθρο 105 παράγραφος 2 και τη δημιουργία, τη συντήρηση και τη λειτουργία του μητρώου που αναφέρεται στο άρθρο 107. Όλες οι δαπάνες της Επιτροπής που αποδίδονται στο προσωπικό που συμμετέχει στις εν λόγω δραστηριότητες περιλαμβάνονται στις εν λόγω δαπάνες.

4.Η Επιτροπή εκδίδει εκτελεστικές πράξεις που θεσπίζουν λεπτομερείς κανόνες σχετικά με τα τέλη, προσδιορίζοντας το ύψος τους και τον τρόπο καταβολής τους. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.

ΚΕΦΑΛΑΙΟ II 
Αλυσίδες εφοδιασμού ΤΠΕ σε δίκτυα ηλεκτρονικών επικοινωνιών

Άρθρο 110
Βασικά πάγια στοιχεία ΤΠΕ για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών

1.Τα βασικά πάγια στοιχεία ΤΠΕ για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών καθορίζονται στο παράρτημα II.

2.Οι συνιστώσες ΤΠΕ ή οι συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ οι οποίες παρέχονται από προμηθευτές υψηλού κινδύνου καταργούνται σταδιακά από τα βασικά πάγια στοιχεία ΤΠΕ των δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών.

3.Η χρονική περίοδος για τη σταδιακή κατάργηση των συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ οι οποίες παρέχονται από προμηθευτές υψηλού κινδύνου όσον αφορά δίκτυα κινητών ηλεκτρονικών επικοινωνιών δεν υπερβαίνει τους 36 μήνες από τη δημοσίευση του καταλόγου προμηθευτών υψηλού κινδύνου που αναφέρεται στο άρθρο 104 σχετικά με τα δίκτυα κινητών ηλεκτρονικών επικοινωνιών.

4.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις σύμφωνα με το άρθρο 118 παράγραφος 2 για τον καθορισμό των χρονικών περιόδων για τη σταδιακή κατάργηση των συνιστωσών ΤΠΕ ή των συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ οι οποίες παρέχονται από προμηθευτές υψηλού κινδύνου όσον αφορά τα δίκτυα σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών.

5.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 119 για την τροποποίηση του παραρτήματος II του παρόντος κανονισμού με σκοπό την προσαρμογή του στις τεχνολογικές εξελίξεις, λαμβάνοντας υπόψη τα στοιχεία που αναφέρονται στο άρθρο 103 παράγραφος 4.

Άρθρο 111
Απαγορεύσεις για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών

1.Οι πάροχοι δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών δεν χρησιμοποιούν, εγκαθιστούν ή ενσωματώνουν, σε οποιαδήποτε μορφή, συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου στη λειτουργία βασικών πάγιων στοιχείων ΤΠΕ που αναφέρονται στο παράρτημα II.

2.Σε περιπτώσεις που η αρμόδια αρχή που ορίζεται δυνάμει του παρόντος κανονισμού σε ένα κράτος μέλος διαφέρει από την αρμόδια αρχή σύμφωνα με τον κανονισμό (ΕΕ) XX/XXXX [πρόταση κανονισμού για τα ψηφιακά δίκτυα], η αρμόδια αρχή που ορίζεται δυνάμει του παρόντος κανονισμού ενημερώνει χωρίς καθυστέρηση την αρμόδια αρχή σύμφωνα με τον κανονισμό (ΕΕ) XX/XXXX [πρόταση κανονισμού για τα ψηφιακά δίκτυα] σχετικά με τα μέτρα που επιβάλλονται στους παρόχους δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών σύμφωνα με το άρθρο 114. Οι αρχές διασφαλίζουν στενή συνεργασία για τους σκοπούς της αποτελεσματικής εποπτείας και επιβολής των εν λόγω μέτρων.

ΚΕΦΑΛΑΙΟ III 
Αρμόδιες αρχές, εποπτεία και επιβολή, δικαιοδοσία, δικαιώματα υπεράσπισης

Άρθρο 112
Αρμόδιες αρχές

1.Κάθε κράτος μέλος ορίζει τις αρμόδιες αρχές που αναφέρονται στο άρθρο 8 της οδηγίας (ΕΕ) 2022/2555 ως αρχές υπεύθυνες για τη λήψη των μέτρων εποπτείας και επιβολής που αναφέρονται στο άρθρο 114.

2.Οι αρμόδιες αρχές είναι διαρθρωτικά και λειτουργικά πλήρως αμερόληπτες και απαλλαγμένες από οποιαδήποτε εξωτερική επιρροή, άμεση ή έμμεση· ειδικότερα, δεν ζητούν ούτε δέχονται υποδείξεις από οποιαδήποτε δημόσια αρχή ή οποιοδήποτε ιδιωτικό μέρος.

3.Τα κράτη μέλη διασφαλίζουν ότι οι αρμόδιες αρχές διαθέτουν κατάλληλες αρμοδιότητες, επαρκείς ανθρώπινους και τεχνικούς πόρους και συναφή εμπειρογνωσία για την αποτελεσματική εκτέλεση των οικείων καθηκόντων εποπτείας και επιβολής σύμφωνα με το άρθρο 114.

4.Κάθε κράτος μέλος κοινοποιεί χωρίς αδικαιολόγητη καθυστέρηση στην Επιτροπή τα ονόματα των αρμόδιων αρχών που ορίζονται σύμφωνα με την παράγραφο 1, τα αντίστοιχα καθήκοντα των εν λόγω αρχών και τυχόν μεταγενέστερες αλλαγές τους. Κάθε κράτος μέλος δημοσιοποιεί επίσης τα ονόματα των αρμόδιων αρχών που ορίζονται σύμφωνα με την παράγραφο 1.

Άρθρο 113
Δίκτυο υπηρεσιών συνεργασίας και υποστήριξης της Επιτροπής

Με σκοπό την αποτελεσματική εποπτεία, η Επιτροπή συγκροτεί δίκτυο συνεργασίας των αρμόδιων αρχών των κρατών μελών που αναφέρονται στο άρθρο 112 και της Επιτροπής, το οποίο χρησιμεύει ως πλατφόρμα συνεργασίας και ανταλλαγής πληροφοριών, ιδίως για τους σκοπούς της αξιολόγησης της εγκατάστασης, του ελέγχου και της κυριότητας που αναφέρεται στο άρθρο 104. Η Επιτροπή παρέχει διοικητική υποστήριξη στο δίκτυο.

Άρθρο 114
Μέτρα εποπτείας και επιβολής

1.Οι αρμόδιες αρχές που αναφέρονται στο άρθρο 112 δικαιούνται να λαμβάνουν τα μέτρα εποπτείας και επιβολής σε οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Τα κράτη μέλη διασφαλίζουν ότι τα προαναφερθέντα μέτρα είναι αποτελεσματικά, αναλογικά και αποτρεπτικά, λαμβάνοντας υπόψη τις περιστάσεις κάθε μεμονωμένης περίπτωσης. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τους κανόνες που θεσπίζουν για τον σκοπό αυτό και τις μεταγενέστερες τροποποιήσεις τους.

2.Κατά την άσκηση των εποπτικών καθηκόντων τους σε σχέση με τις οντότητες που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, οι αρμόδιες αρχές έχουν το δικαίωμα να υποβάλλουν τις εν λόγω οντότητες στα ακόλουθα:

α)αιτήματα για λεπτομερή και επικαιροποιημένο κατάλογο των οικείων προμηθευτών και παρόχων υπηρεσιών·

β)αιτήματα για πρόσβαση σε δεδομένα, έγγραφα και πληροφορίες που είναι αναγκαία για την επαλήθευση της συμμόρφωσης με τον παρόντα κανονισμό·

γ)επιτόπιες επιθεωρήσεις και εποπτεία εκτός των εγκαταστάσεων, συμπεριλαμβανομένων δειγματοληπτικών ελέγχων, που διεξάγονται από καταρτισμένους επαγγελματίες·

δ)αιτήματα σχετικά με τη σύνθεση προϊόντων υλισμικού ή λογισμικού που είναι εγκατεστημένα ή ενσωματωμένα, με οποιαδήποτε μορφή, στο δίκτυο ή το σύστημα, συμπεριλαμβανομένων συνιστωσών και μεταβατικών εξαρτήσεων, σε κοινώς χρησιμοποιούμενο και μηχαναγνώσιμο μορφότυπο.

3.Κατά την άσκηση των οικείων καθηκόντων επιβολής σε σχέση με οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, οι αρμόδιες αρχές έχουν το δικαίωμα:

α)να εκδίδουν προειδοποιήσεις σχετικά με παραβιάσεις του παρόντος κανονισμού από τις ενδιαφερόμενες οντότητες, παραθέτοντας τα σχετικά πραγματικά περιστατικά και τις νομικές εκτιμήσεις·

β)να εκδίδουν αποφάσεις με τις οποίες απαιτούν από τις ενδιαφερόμενες οντότητες να αποκαταστήσουν την παραβίαση του παρόντος κανονισμού ή τις ελλείψεις που εντοπίστηκαν κατά την εφαρμογή των μέτρων μετριασμού·

γ)να εντέλλουν τις ενδιαφερόμενες οντότητες να παύσουν δραστηριότητες που παραβιάζουν τον παρόντα κανονισμό και να απέχουν από επανάληψη των εν λόγω δραστηριοτήτων· και

δ)να επιβάλλουν κυρώσεις, σύμφωνα με τους κανόνες, σε ύψος που ορίζεται στο άρθρο 115 ή να ζητούν την επιβολή των εν λόγω κυρώσεων από τα αρμόδια όργανα ή δικαστήρια, σύμφωνα με το εθνικό δίκαιο.

4.Κατά τη λήψη οποιουδήποτε από τα μέτρα επιβολής που αναφέρονται στην προηγούμενη παράγραφο, οι αρμόδιες αρχές εξετάζουν τις περιστάσεις κάθε μεμονωμένης περίπτωσης και λαμβάνουν δεόντως υπόψη τους ακόλουθους παράγοντες:

α)τη σοβαρότητα της παράβασης και τη σημασία των διατάξεων που παραβιάστηκαν·

β)τη διάρκεια της παράβασης·

γ)τον σχετικό κύκλο εργασιών της οικείας οντότητας·

δ)τυχόν σχετική προηγούμενη παράβαση από την οικεία οντότητα·

ε)κατά περίπτωση, οποιαδήποτε υλική ή μη υλική ζημία που προκλήθηκε από την παράβαση, συμπεριλαμβανομένης τυχόν χρηματοοικονομικής ή οικονομικής ζημίας, τις επιπτώσεις σε άλλες οντότητες και τον αριθμό των θιγόμενων χρηστών·

στ)οποιαδήποτε πρόθεση ή αμέλεια από μέρους της οικείας οντότητας·

ζ)οποιαδήποτε τήρηση εγκεκριμένων κωδίκων δεοντολογίας ή εγκεκριμένων μηχανισμών πιστοποίησης·

η)το επίπεδο συνεργασίας με τις αρμόδιες αρχές των υπαίτιων φυσικών ή νομικών προσώπων.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο α), τα ακόλουθα συνιστούν σοβαρή παράβαση:

θ)οι επανειλημμένες παραβάσεις·

ι)η μη κοινοποίηση ή αποκατάσταση σημαντικών περιστατικών·

ια)η μη αποκατάσταση ελλείψεων σύμφωνα με δεσμευτικές οδηγίες των αρμόδιων αρχών.

5.Οι αρμόδιες αρχές κοινοποιούν στις ενδιαφερόμενες οντότητες τα προκαταρκτικά πορίσματά τους πριν από τη λήψη μέτρων επιβολής. Στις ενδιαφερόμενες οντότητες παρέχεται εύλογο χρονικό διάστημα για να υποβάλουν παρατηρήσεις σχετικά με τα προκαταρκτικά πορίσματα. Οι αρμόδιες αρχές αιτιολογούν λεπτομερώς τα μέτρα επιβολής τους.

6.Οι αρμόδιες αρχές τηρούν τις αρχές της εμπιστευτικότητας και του επαγγελματικού και εμπορικού απορρήτου.

7.Οι αρμόδιες αρχές συνεργάζονται μεταξύ τους και με την Επιτροπή για τους σκοπούς της εποπτείας και της επιβολής δυνάμει του παρόντος τίτλου, σύμφωνα με το άρθρο 116.

Άρθρο 115
Κυρώσεις

1.Τα κράτη μέλη καθορίζουν τους κανόνες για τις κυρώσεις που επιβάλλονται σε περίπτωση παραβιάσεων του παρόντος κανονισμού και λαμβάνουν όλα τα αναγκαία μέτρα για να διασφαλίσουν την εφαρμογή τους.

2.Οι προβλεπόμενες κυρώσεις είναι αποτελεσματικές, αναλογικές και αποτρεπτικές. Τα κράτη μέλη κοινοποιούν στην Επιτροπή χωρίς καθυστέρηση τους εν λόγω κανόνες και τα εν λόγω μέτρα και την ενημερώνουν σχετικά με κάθε μεταγενέστερη τροποποίησή τους.

3.Κυρώσεις επιβάλλονται επιπρόσθετα οποιωνδήποτε μέτρων αναφέρονται στο άρθρο 114 παράγραφος 3 στοιχεία α), β) και γ).

4.Κατά τη λήψη απόφασης σχετικά με την επιβολή κύρωσης και τη λήψη απόφασης σχετικά με το ύψος της σε κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη, κατ’ ελάχιστον, οι παράγοντες που αναφέρονται στο άρθρο 114 παράγραφος 4 πρώτο εδάφιο.

5.Οι παραβάσεις του άρθρου 103 παράγραφος 2 στοιχείο α) υπόκεινται, σύμφωνα με την παράγραφο 3 του παρόντος άρθρου, σε κυρώσεις που ανέρχονται κατ’ ανώτατο όριο στο 1 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών κατά το προηγούμενο οικονομικό έτος της επιχείρησης στην οποία ανήκει η οντότητα.

6.Οι παραβάσεις του άρθρου 103 παράγραφος 2 στοιχεία β) έως ζ) υπόκεινται, σύμφωνα με την παράγραφο 3 του παρόντος άρθρου, σε κυρώσεις που ανέρχονται κατ’ ανώτατο όριο στο 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών κατά το προηγούμενο οικονομικό έτος της επιχείρησης στην οποία ανήκει η οντότητα.

7.Οι παραβάσεις του άρθρου 103 παράγραφος 1 και του άρθρου 111 υπόκεινται, σύμφωνα με την παράγραφο 3 του παρόντος άρθρου, σε κυρώσεις που ανέρχονται κατ’ ανώτατο όριο στο 7 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών κατά το προηγούμενο οικονομικό έτος της επιχείρησης στην οποία ανήκει η οντότητα.

Άρθρο 116
Αμοιβαία συνδρομή

1.Όταν μια οντότητα του τύπου που αναφέρεται στα παραρτήματα I ή II της οδηγίας (ΕΕ) 2022/2555 παρέχει υπηρεσίες σε περισσότερα του ενός κράτη μέλη ή παρέχει υπηρεσίες σε ένα ή περισσότερα κράτη μέλη και τα οικεία βασικά πάγια στοιχεία ΤΠΕ βρίσκονται σε ένα ή περισσότερα άλλα κράτη μέλη, οι αρμόδιες αρχές των οικείων κρατών μελών συνεργάζονται μεταξύ τους και με την Επιτροπή και παρέχουν συνδρομή μεταξύ τους και στην Επιτροπή με σκοπό τη διασφάλιση της αποτελεσματικής και αποδοτικής εφαρμογής του κανονισμού. Για τον σκοπό αυτό, εφαρμόζονται κατ’ ελάχιστον οι ακόλουθοι κανόνες:

α)οι αρμόδιες αρχές που εφαρμόζουν μέτρα εποπτείας ή επιβολής σε ένα κράτος μέλος ενημερώνουν και διαβουλεύονται με τις αρμόδιες αρχές των άλλων ενδιαφερόμενων κρατών μελών σχετικά με τα μέτρα εποπτείας και επιβολής που λαμβάνονται·

β)μια αρμόδια αρχή σε ένα κράτος μέλος μπορεί να ζητήσει από άλλη αρμόδια αρχή σε άλλο κράτος μέλος να λάβει μέτρα εποπτείας ή επιβολής·

γ)μια αρμόδια αρχή σε ένα κράτος μέλος, μόλις λάβει τεκμηριωμένο αίτημα από άλλη αρμόδια αρχή σε άλλο κράτος μέλος, παρέχει στην εν λόγω άλλη αρμόδια αρχή αμοιβαία συνδρομή, πραγματοποιώντας βέλτιστες προσπάθειες, ώστε τα μέτρα εποπτείας ή επιβολής να μπορούν να εφαρμοστούν με αποτελεσματικό, αποδοτικό και συνεπή τρόπο.

2.Η αμοιβαία συνδρομή που αναφέρεται στην παράγραφο 1 στοιχείο γ) μπορεί να καλύπτει αιτήματα παροχής πληροφοριών και εποπτικά μέτρα, συμπεριλαμβανομένων αιτημάτων για τη διενέργεια επιτόπιων επιθεωρήσεων ή μη επιτόπιας εποπτείας ή στοχευμένων ελέγχων ασφάλειας. Η αρμόδια αρχή στην οποία απευθύνεται αίτημα συνδρομής δεν απορρίπτει την αίτηση αυτή, εκτός εάν διαπιστωθεί ότι δεν είναι αρμόδια να παράσχει τη ζητούμενη συνδρομή, ότι η ζητούμενη συνδρομή δεν είναι ανάλογη προς τα εποπτικά καθήκοντα της αρμόδιας αρχής ή ότι η αίτηση αφορά πληροφορίες ή συνεπάγεται δραστηριότητες οι οποίες, εάν κοινοποιηθούν ή εκτελεστούν, θα ήταν αντίθετες προς τα βασικά συμφέροντα εθνικής ασφάλειας, δημόσιας ασφάλειας ή άμυνας του κράτους μέλους. Πριν απορρίψει το εν λόγω αίτημα, η αρμόδια αρχή διαβουλεύεται με τις άλλες αρμόδιες αρχές, καθώς και, κατόπιν αιτήματος ενός από τα ενδιαφερόμενα κράτη μέλη, με την Επιτροπή.

3.Κατά περίπτωση και με κοινή συμφωνία, οι αρμόδιες αρχές διαφόρων κρατών μελών μπορούν να αναλαμβάνουν κοινές εποπτικές ενέργειες.

4.Λαμβανομένης υπόψη της υποχρέωσης συμμόρφωσης με τις αρχές της εμπιστευτικότητας και του επαγγελματικού και εμπορικού απορρήτου, όπως αναφέρεται στο άρθρο 114 παράγραφος 6, κάθε πληροφορία που ανταλλάσσεται στο πλαίσιο αιτήματος συνδρομής και που παρέχεται σύμφωνα με το παρόν άρθρο χρησιμοποιείται μόνο για το θέμα για το οποίο ζητήθηκε.

Άρθρο 117
Δικαιοδοσία και εδαφικότητα

1.Οι οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 οι οποίες εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού θεωρούνται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο είναι εγκατεστημένες, εκτός αν πρόκειται για:

α)παρόχους δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή παρόχους διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, οι οποίοι θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο παρέχουν τις υπηρεσίες τους·

β)παρόχους υπηρεσιών DNS, μητρώα ονομάτων τομέα ανωτάτου επιπέδου (TLD), οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, παρόχους υπηρεσιών υπολογιστικού νέφους, παρόχους υπηρεσιών κέντρων δεδομένων, παρόχους δικτύων διανομής περιεχομένου, παρόχους υπηρεσιών διαχείρισης, παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας, καθώς και παρόχους επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης ή πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, που θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο έχουν την κύρια εγκατάστασή τους στην Ένωση σύμφωνα με την παράγραφο 2·

γ)οντότητες δημόσιας διοίκησης που θεωρείται ότι υπάγονται στη δικαιοδοσία του κράτους μέλους που τις έχει συστήσει·

δ)αερομεταφορείς, οι οποίοι θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους του οποίου η αρμόδια αρχή αδειοδότησης χορήγησε την άδεια λειτουργίας στην οντότητα σύμφωνα με τον κανονισμό (ΕΚ) αριθ. 1008/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 83 , ή, σε περίπτωση που η άδεια λειτουργίας ή ισοδύναμο έγγραφο δεν έχει χορηγηθεί σύμφωνα με τον εν λόγω κανονισμό, θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο έχουν την κύρια εγκατάστασή τους στην Ένωση σύμφωνα με την παράγραφο 2.

2.Για τους σκοπούς του παρόντος κανονισμού, οντότητα που αναφέρεται στην παράγραφο 1 στοιχείο β) θεωρείται ότι έχει την κύρια εγκατάστασή της στην Ένωση στο κράτος μέλος στο οποίο λαμβάνονται κυρίως οι αποφάσεις που σχετίζονται με τα μέτρα διαχείρισης κινδύνου στον τομέα της κυβερνοασφάλειας. Εάν δεν μπορεί να προσδιοριστεί το κράτος μέλος αυτό ή εάν οι αποφάσεις αυτές δεν λαμβάνονται στην Ένωση, η κύρια εγκατάσταση θεωρείται ότι βρίσκεται στο κράτος μέλος στο οποίο διεξάγεται η πλειονότητα των επιχειρήσεων κυβερνοασφάλειας. Εάν το εν λόγω κράτος μέλος δεν μπορεί να προσδιοριστεί, η κύρια εγκατάσταση θα πρέπει να θεωρείται ότι βρίσκεται στο κράτος μέλος στο οποίο η οικεία οντότητα έχει την εγκατάσταση με τον μεγαλύτερο αριθμό εργαζομένων στην Ένωση.

3.Εάν μια οντότητα του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 δεν είναι εγκατεστημένη στην Ένωση, αλλά προσφέρει υπηρεσίες εντός της Ένωσης, ορίζει εκπρόσωπο στην Ένωση. Ο εκπρόσωπος είναι εγκατεστημένος σε ένα από τα κράτη μέλη στα οποία προσφέρονται οι υπηρεσίες. Μια τέτοια οντότητα θεωρείται ότι υπόκειται στη δικαιοδοσία του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εκπρόσωπος. Μια τέτοια οντότητα, όταν είναι οντότητα αναφερόμενη στην παράγραφο 1 στοιχείο α), θεωρείται ότι εμπίπτει στη δικαιοδοσία του κράτους μέλους στο οποίο παρέχει τις υπηρεσίες της. Ελλείψει εκπροσώπου στην Ένωση που ορίζεται σύμφωνα με την παρούσα παράγραφο, κάθε κράτος μέλος στο οποίο η οντότητα παρέχει υπηρεσίες μπορεί να κινήσει νομικές διαδικασίες κατά της οντότητας για παραβίαση των υποχρεώσεων του παρόντος κανονισμού.

4.Ο ορισμός εκπροσώπου από οντότητα που αναφέρεται στην παράγραφο 1 στοιχείο β) δεν θίγει τις νομικές ενέργειες που θα μπορούσαν να κινηθούν κατά της ίδιας της οντότητας.

5.Τα κράτη μέλη που έχουν λάβει αίτημα αμοιβαίας συνδρομής σε σχέση με οντότητα που αναφέρεται στην παράγραφο 1 στοιχείο β), μπορούν, εντός των ορίων του εν λόγω αιτήματος, να λαμβάνουν κατάλληλα μέτρα εποπτείας και επιβολής σε σχέση με την οικεία οντότητα όταν η οντότητα παρέχει υπηρεσίες ή διαθέτει το σύστημα δικτύου και πληροφοριών στην επικράτειά τους.

ΤΙΤΛΟΣ VI 
ΤΕΛΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 118
Διαδικασία επιτροπής

1.Η Επιτροπή επικουρείται από επιτροπή. Η εν λόγω επιτροπή έχει δύο συνθέσεις. Όσον αφορά τους τίτλους II και III, η Επιτροπή επικουρείται από επιτροπή με την πρώτη σύνθεση, ενώ, όσον αφορά τον τίτλο IV, η Επιτροπή επικουρείται από επιτροπή με τη δεύτερη σύνθεση. Η εν λόγω επιτροπή αποτελεί επιτροπή κατά την έννοια του κανονισμού (ΕΕ) αριθ. 182/2011.

2.Όταν γίνεται παραπομπή στην παρούσα παράγραφο, εφαρμόζεται το άρθρο 5 του κανονισμού (ΕΕ) αριθ. 182/2011.

Άρθρο 119
Άσκηση της εξουσιοδότησης

1.Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις υπό τους όρους του παρόντος άρθρου.

2.Η εξουσία έκδοσης κατ’ εξουσιοδότηση πράξεων σύμφωνα με το άρθρο 80 παράγραφος 2 και το άρθρο 110 παράγραφος 5 ανατίθεται στην Επιτροπή για απροσδιόριστο χρονικό διάστημα από την ημερομηνία έναρξης ισχύος του παρόντος κανονισμού.

3.Η εξουσιοδότηση που προβλέπεται στο άρθρο 80 παράγραφος 2 και στο άρθρο 110 παράγραφος 5 μπορεί να ανακληθεί ανά πάσα στιγμή από το Ευρωπαϊκό Κοινοβούλιο ή το Συμβούλιο. Η απόφαση ανάκλησης περατώνει την εξουσιοδότηση που προσδιορίζεται στην εν λόγω απόφαση. Αρχίζει να ισχύει την επομένη της δημοσίευσης της απόφασης στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης ή σε μεταγενέστερη ημερομηνία που ορίζεται σε αυτήν. Δεν θίγει το κύρος των κατ’ εξουσιοδότηση πράξεων που ισχύουν ήδη. 

4.Πριν από την έκδοση κατ’ εξουσιοδότηση πράξης, η Επιτροπή διεξάγει διαβουλεύσεις με εμπειρογνώμονες που ορίζουν τα κράτη μέλη σύμφωνα με τις αρχές της διοργανικής συμφωνίας της 13ης Απριλίου 2016 για τη βελτίωση του νομοθετικού έργου.

5.Μόλις εκδώσει μια κατ’ εξουσιοδότηση πράξη, η Επιτροπή την κοινοποιεί ταυτόχρονα στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο.

6.Η κατ’ εξουσιοδότηση πράξη που εκδίδεται δυνάμει του άρθρου 80 παράγραφος 2 και του άρθρου 110 παράγραφος 5 τίθεται σε ισχύ εφόσον δεν διατυπωθεί αντίρρηση από το Ευρωπαϊκό Κοινοβούλιο ή από το Συμβούλιο εντός δύο μηνών από την κοινοποίηση της εν λόγω πράξης στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο ή αν, πριν λήξει αυτή η περίοδος, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο ενημερώσουν αμφότερα την Επιτροπή ότι δεν θα προβάλουν αντιρρήσεις. Η προθεσμία αυτή παρατείνεται κατά δύο μήνες κατόπιν πρωτοβουλίας του Ευρωπαϊκού Κοινοβουλίου ή του Συμβουλίου. 

Άρθρο 120
Αξιολόγηση και επανεξέταση

1.Έως τις [ΗΗ ΜΜ ΕΕΕΕ] και στη συνέχεια ανά πενταετία, η Επιτροπή αναθέτει τη διενέργεια αξιολόγησης σύμφωνα με τις κατευθυντήριες γραμμές της Επιτροπής.

2.Η αξιολόγηση που αναφέρεται στην παράγραφο 1 περιλαμβάνει αξιολόγηση των ακόλουθων στοιχείων:

α)των επιδόσεων του ENISA σε σχέση με τους στόχους, την εντολή, την αποστολή, τα καθήκοντα, τη διακυβέρνηση και την τοποθεσία του·

β)της αποτελεσματικότητας, της αποδοτικότητας και της ενωσιακής προστιθέμενης αξίας των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, όπως ορίζονται στον τίτλο II κεφάλαιο II τμήμα 4 του παρόντος κανονισμού·

γ)του αντίκτυπου, της αποτελεσματικότητας και της αποδοτικότητας των διατάξεων του τίτλου III του παρόντος κανονισμού σε σχέση με τους στόχους, αφενός, της διασφάλισης επαρκούς επιπέδου κυβερνοασφάλειας των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας και των οντοτήτων στην Ένωση, και, αφετέρου, της βελτίωσης της λειτουργίας της εσωτερικής αγοράς·

δ)του αντίκτυπου, της αποτελεσματικότητας και της αποδοτικότητας των διατάξεων του τίτλου IV του παρόντος κανονισμού σε σχέση με τους στόχους του πλαισίου για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ.

3.Ειδικότερα, η αξιολόγηση που αναφέρεται στην παράγραφο 1 στοιχείο α) εξετάζει την ενδεχόμενη ανάγκη τροποποίησης της εντολής του ENISA και τις δημοσιονομικές επιπτώσεις μιας τέτοιας τροποποίησης.

4.Σε κάθε δεύτερη αξιολόγηση που αναφέρεται στην παράγραφο 1 στοιχείο α), η Επιτροπή αξιολογεί τα αποτελέσματα που έχουν επιτευχθεί από τον ENISA σε σχέση με τους στόχους, την εντολή, την αποστολή, τη διακυβέρνηση και τα καθήκοντά του, συμπεριλαμβανομένης αξιολόγησης του αν η συνέχιση της λειτουργίας του ENISA εξακολουθεί να δικαιολογείται σε σχέση με αυτούς τους στόχους, την εντολή, την αποστολή, τη διακυβέρνηση και τα καθήκοντα.

5.Η Επιτροπή υποβάλλει έκθεση στο Ευρωπαϊκό Κοινοβούλιο, στο Συμβούλιο και στο διοικητικό συμβούλιο σχετικά με τα συμπεράσματα της αξιολόγησης. Τα συμπεράσματα της αξιολόγησης δημοσιοποιούνται.

Άρθρο 121
Κατάργηση και συνέχιση δραστηριοτήτων

1.Ο κανονισμός (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου καταργείται με ισχύ από τις ΗΗΜΜΕΕΕΕ.

2.Οι παραπομπές στον κανονισμό (ΕΕ) 2019/881, στον ENISA και στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, όπως θεσπίζονται με τον εν λόγω κανονισμό, θεωρούνται παραπομπές στον παρόντα κανονισμό σύμφωνα με τον πίνακα αντιστοιχίας που παρατίθεται στον παράρτημα III του παρόντος κανονισμού.

3.Ο ENISA, όπως διέπεται από τον παρόντα κανονισμό, συνεχίζει τις λειτουργίες και τις δραστηριότητες του ENISA που συστάθηκε με τον κανονισμό (ΕΕ) 2019/881 όσον αφορά όλα τα δικαιώματα ιδιοκτησίας, τις συμφωνίες, τις νομικές υποχρεώσεις, τις συμβάσεις εργασίας, τις οικονομικές δεσμεύσεις και τις ευθύνες. Όλες οι αποφάσεις του διοικητικού συμβουλίου και του εκτελεστικού συμβουλίου που εκδόθηκαν σύμφωνα με τον κανονισμό (ΕΕ) 2019/881 παραμένουν σε ισχύ, εφόσον συμμορφώνονται με τον παρόντα κανονισμό.

4.Ο εκτελεστικός διευθυντής που διορίζεται βάσει του άρθρου 15 παράγραφος 1 στοιχείο ιδ) του κανονισμού (ΕΕ) 2019/881 παραμένει σε υπηρεσία, ασκώντας τα καθήκοντα και φέροντας τις ευθύνες του εκτελεστικού διευθυντή όπως αναφέρονται στο άρθρο 32 του παρόντος κανονισμού για το υπόλοιπο της θητείας του εκτελεστικού διευθυντή. Οι λοιποί όροι της σύμβασής τους παραμένουν αμετάβλητοι.

5.Τα υποψήφια σχήματα των οποίων η εκπόνηση ζητήθηκε σύμφωνα με το άρθρο 49 του κανονισμού (ΕΕ) 2019/881 θεωρείται ότι έχουν ζητηθεί σύμφωνα με τις αντίστοιχες διατάξεις του παρόντος κανονισμού. Οι διατάξεις του τίτλου III του παρόντος κανονισμού εφαρμόζονται αναλόγως στα εν λόγω υποψήφια σχήματα.

6.Τα τακτικά μέλη του διοικητικού συμβουλίου που διορίζονται από την Επιτροπή και τα αναπληρωματικά μέλη τους που διορίζονται δυνάμει του άρθρου 14 του κανονισμού (ΕΕ) 2019/881 παραμένουν σε υπηρεσία και ασκούν τα καθήκοντα του διοικητικού συμβουλίου όπως αναφέρονται στο άρθρο 27 του παρόντος κανονισμού για το υπόλοιπο της θητείας τους. Τα μέλη του διοικητικού συμβουλίου που έχουν διοριστεί από τα κράτη μέλη βάσει του άρθρου 14 του κανονισμού (ΕΕ) 2019/881 παραμένουν σε υπηρεσία και ασκούν τα καθήκοντα του διοικητικού συμβουλίου όπως αναφέρονται στο άρθρο 27 του παρόντος κανονισμού, υπό την προϋπόθεση ότι κατέχουν θέσεις οι οποίες αναφέρονται στο άρθρο 24 παράγραφος 3 του παρόντος κανονισμού.

Άρθρο 122
Έναρξη ισχύος

Ο παρών κανονισμός αρχίζει να ισχύει την [...] ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

Στρασβούργο,

ΝΟΜΟΘΕΤΙΚΟ ΔΗΜΟΣΙΟΝΟΜΙΚΟ ΚΑΙ ΨΗΦΙΑΚΟ ΔΕΛΤΙΟ

1.ΠΛΑΙΣΙΟ ΤΗΣ ΠΡΟΤΑΣΗΣ/ΠΡΩΤΟΒΟΥΛΙΑΣ3

1.1.Τίτλος της πρότασης/πρωτοβουλίας3

1.2.Σχετικοί τομείς πολιτικής3

1.3.Στόχοι3

1.3.1.Γενικοί στόχοι3

1.3.2.Ειδικοί στόχοι3

1.3.3.Αναμενόμενα αποτελέσματα και επιπτώσεις3

1.3.4.Δείκτες επιδόσεων3

1.4.Η πρόταση/πρωτοβουλία αφορά:4

1.5.Αιτιολόγηση της πρότασης/πρωτοβουλίας4

1.5.1.Βραχυπρόθεσμη ή μακροπρόθεσμη κάλυψη αναγκών, συμπεριλαμβανομένου λεπτομερούς χρονοδιαγράμματος για τη σταδιακή υλοποίηση της πρωτοβουλίας4

1.5.2.Προστιθέμενη αξία της ενωσιακής παρέμβασης (που μπορεί να προκύπτει από διάφορους παράγοντες, π.χ. οφέλη από τον συντονισμό, ασφάλεια δικαίου, μεγαλύτερη αποτελεσματικότητα ή συμπληρωματικότητα). Για τους σκοπούς του παρόντος σημείου «προστιθέμενη αξία της ενωσιακής παρέμβασης» είναι η αξία που απορρέει από την ενωσιακή δράση και η οποία προστίθεται στην αξία που θα είχε δημιουργηθεί αν τα κράτη μέλη ενεργούσαν μεμονωμένα.4

1.5.3.Διδάγματα από ανάλογες εμπειρίες του παρελθόντος4

1.5.4.Συμβατότητα με το πολυετές δημοσιονομικό πλαίσιο και ενδεχόμενες συνέργειες με άλλα κατάλληλα μέσα5

1.5.5.Αξιολόγηση των διάφορων διαθέσιμων επιλογών χρηματοδότησης, συμπεριλαμβανομένων των δυνατοτήτων ανακατανομής5

1.6.Διάρκεια της πρότασης/πρωτοβουλίας και των δημοσιονομικών επιπτώσεών της6

1.7.Προβλεπόμενες μέθοδοι εκτέλεσης του προϋπολογισμού6

2.ΜΕΤΡΑ ΔΙΑΧΕΙΡΙΣΗΣ8

2.1.Κανόνες παρακολούθησης και υποβολής εκθέσεων8

2.2.Συστήματα διαχείρισης και ελέγχου8

2.2.1.Αιτιολόγηση των μεθόδων εκτέλεσης του προϋπολογισμού, των μηχανισμών εκτέλεσης της χρηματοδότησης, των όρων πληρωμής και της στρατηγικής ελέγχου που προτείνονται8

2.2.2.Πληροφορίες σχετικά με τους κινδύνους που έχουν εντοπιστεί και τα συστήματα εσωτερικού ελέγχου που έχουν δημιουργηθεί για τον μετριασμό τους8

2.2.3.Εκτίμηση και αιτιολόγηση της οικονομικής αποδοτικότητας των ελέγχων (λόγος του κόστους του ελέγχου προς την αξία των σχετικών κονδυλίων που αποτελούν αντικείμενο διαχείρισης) και αξιολόγηση του εκτιμώμενου επιπέδου κινδύνου σφάλματος (κατά την πληρωμή και κατά το κλείσιμο)8

2.3.Μέτρα για την πρόληψη περιπτώσεων απάτης και παρατυπίας9

3.ΕΚΤΙΜΩΜΕΝΕΣ ΔΗΜΟΣΙΟΝΟΜΙΚΕΣ ΕΠΙΠΤΩΣΕΙΣ ΤΗΣ ΠΡΟΤΑΣΗΣ/ΠΡΩΤΟΒΟΥΛΙΑΣ10

3.1.Τομείς του πολυετούς δημοσιονομικού πλαισίου και γραμμές δαπανών του προϋπολογισμού που επηρεάζονται10

3.2.Εκτιμώμενες δημοσιονομικές επιπτώσεις της πρότασης στις πιστώσεις12

3.2.1.Συνοπτική παρουσίαση των εκτιμώμενων επιπτώσεων στις επιχειρησιακές πιστώσεις12

3.2.1.1.Πιστώσεις από τον ψηφισθέντα προϋπολογισμό12

3.2.1.2.Πιστώσεις από εξωτερικά έσοδα με ειδικό προορισμό17

3.2.2.Εκτιμώμενο αποτέλεσμα που χρηματοδοτείται από επιχειρησιακές πιστώσεις22

3.2.3.Συνοπτική παρουσίαση των εκτιμώμενων επιπτώσεων στις διοικητικές πιστώσεις24

3.2.3.1. Πιστώσεις από τον ψηφισθέντα προϋπολογισμό24

3.2.3.2.Πιστώσεις από εξωτερικά έσοδα με ειδικό προορισμό24

3.2.3.3.Σύνολο πιστώσεων24

3.2.4.Εκτιμώμενες ανάγκες σε ανθρώπινους πόρους25

3.2.4.1.Χρηματοδοτούμενες από τον ψηφισθέντα προϋπολογισμό25

3.2.4.2.Χρηματοδοτούμενες από εξωτερικά έσοδα με ειδικό προορισμό26

3.2.4.3.Σύνολο εκτιμώμενων αναγκών σε ανθρώπινους πόρους26

3.2.5.Επισκόπηση των εκτιμώμενων επιπτώσεων στις επενδύσεις ψηφιακής τεχνολογίας28

3.2.6.Συμβατότητα με το ισχύον πολυετές δημοσιονομικό πλαίσιο28

3.2.7.Συμμετοχή τρίτων στη χρηματοδότηση28

3.3.Εκτιμώμενες επιπτώσεις στα έσοδα29

4.Ψηφιακές διαστάσεις29

4.1.Απαιτήσεις ψηφιακής σημασίας30

4.2.Δεδομένα30

4.3.Ψηφιακές λύσεις31

4.4.Αξιολόγηση διαλειτουργικότητας31

4.5.Μέτρα στήριξης της ψηφιακής εφαρμογής32

1.ΠΛΑΙΣΙΟ ΤΗΣ ΠΡΟΤΑΣΗΣ/ΠΡΩΤΟΒΟΥΛΙΑΣ 

1.1.Τίτλος της πρότασης/πρωτοβουλίας

1.2.Σχετικοί τομείς πολιτικής 

1.3.Στόχοι

1.3.1.Γενικοί στόχοι

1.3.2.Ειδικοί στόχοι

1.3.3.Αναμενόμενα αποτελέσματα και επιπτώσεις

Να προσδιοριστούν τα αποτελέσματα που αναμένεται να έχει η πρόταση/πρωτοβουλία όσον αφορά τους στοχευόμενους δικαιούχους / τις στοχευόμενες ομάδες.

1.3.4.Δείκτες επιδόσεων

Να προσδιοριστούν οι δείκτες για την παρακολούθηση της προόδου και των επιτευγμάτων.

1.4.Η πρόταση/πρωτοβουλία αφορά: 

 νέα δράση (τίτλος IV — αλυσίδα εφοδιασμού, τίτλος V — απλούστευση)

 νέα δράση έπειτα από δοκιμαστικό σχέδιο / προπαρασκευαστική ενέργεια 84  

 την παράταση υφιστάμενης δράσης (τίτλος II — εντολή του ENISA και τίτλος III — πιστοποίηση)

 συγχώνευση ή αναπροσανατολισμό μίας ή περισσότερων δράσεων προς άλλη/νέα δράση

1.5.Αιτιολόγηση της πρότασης/πρωτοβουλίας 

1.5.1.Βραχυπρόθεσμη ή μακροπρόθεσμη κάλυψη αναγκών, συμπεριλαμβανομένου λεπτομερούς χρονοδιαγράμματος για τη σταδιακή υλοποίηση της πρωτοβουλίας

1.5.2.Προστιθέμενη αξία της ενωσιακής παρέμβασης (που μπορεί να προκύπτει από διάφορους παράγοντες, π.χ. οφέλη από τον συντονισμό, ασφάλεια δικαίου, μεγαλύτερη αποτελεσματικότητα ή συμπληρωματικότητα). Για τους σκοπούς του παρόντος σημείου «προστιθέμενη αξία της ενωσιακής παρέμβασης» είναι η αξία που απορρέει από την ενωσιακή δράση και η οποία προστίθεται στην αξία που θα είχε δημιουργηθεί αν τα κράτη μέλη ενεργούσαν μεμονωμένα.

1.5.3.Διδάγματα από ανάλογες εμπειρίες του παρελθόντος

1.5.4.Συμβατότητα με το πολυετές δημοσιονομικό πλαίσιο και ενδεχόμενες συνέργειες με άλλα κατάλληλα μέσα

1.5.5.Αξιολόγηση των διάφορων διαθέσιμων επιλογών χρηματοδότησης, συμπεριλαμβανομένων των δυνατοτήτων ανακατανομής

1.6.Διάρκεια της πρότασης/πρωτοβουλίας και των δημοσιονομικών επιπτώσεών της

 περιορισμένη διάρκεια

–    με ισχύ από [ΗΗ/MM]ΕΕΕΕ έως [ΗΗ/MM]ΕΕΕΕ

–    δημοσιονομικές επιπτώσεις από το ΕΕΕΕ έως το ΕΕΕΕ για πιστώσεις αναλήψεων υποχρεώσεων και από το ΕΕΕΕ έως το ΕΕΕΕ για πιστώσεις πληρωμών.

 απεριόριστη διάρκεια

–Περίοδος σταδιακής εφαρμογής από το ΕΕΕΕ έως το ΕΕΕΕ,

–και στη συνέχεια πλήρης εφαρμογή.

1.7.Προβλεπόμενες μέθοδοι εκτέλεσης του προϋπολογισμού 

 Άμεση διαχείριση από την Επιτροπή

– από τις υπηρεσίες της, συμπεριλαμβανομένου του προσωπικού της στις αντιπροσωπείες της Ένωσης

–    από τους εκτελεστικούς οργανισμούς

 Επιμερισμένη διαχείριση με τα κράτη μέλη

 Έμμεση διαχείριση με ανάθεση καθηκόντων εκτέλεσης του προϋπολογισμού:

– σε τρίτες χώρες ή οργανισμούς που αυτές έχουν ορίσει

– σε διεθνείς οργανισμούς και στους οργανισμούς αυτών (να προσδιοριστούν)

– στην Ευρωπαϊκή Τράπεζα Επενδύσεων και το Ευρωπαϊκό Ταμείο Επενδύσεων

– στους οργανισμούς που αναφέρονται στα άρθρα 70 και 71 του δημοσιονομικού κανονισμού

– σε οργανισμούς δημοσίου δικαίου

– σε οργανισμούς που διέπονται από το ιδιωτικό δίκαιο και είναι επιφορτισμένοι με δημόσια υπηρεσία, στον βαθμό που τους παρέχονται επαρκείς οικονομικές εγγυήσεις

– σε οργανισμούς που διέπονται από το ιδιωτικό δίκαιο κράτους μέλους στους οποίους έχει ανατεθεί η εκτέλεση σύμπραξης δημόσιου και ιδιωτικού τομέα και στους οποίους παρέχονται επαρκείς οικονομικές εγγυήσεις

– σε οργανισμούς ή πρόσωπα επιφορτισμένα με την εφαρμογή συγκεκριμένων δράσεων στην κοινή εξωτερική πολιτική και πολιτική ασφαλείας βάσει του τίτλου V της Συνθήκης για την Ευρωπαϊκή Ένωση και τα οποία προσδιορίζονται στην αντίστοιχη βασική πράξη

– σε οργανισμούς που είναι εγκατεστημένοι σε κράτος μέλος, διέπονται από το ιδιωτικό δίκαιο κράτους μέλους ή το δίκαιο της Ένωσης και είναι επιλέξιμοι για να τους ανατεθεί, σύμφωνα με ειδικούς τομεακούς κανόνες, η εκτέλεση κονδυλίων της Ένωσης ή δημοσιονομικών εγγυήσεων, στον βαθμό που οι εν λόγω οργανισμοί ελέγχονται από οργανισμούς δημοσίου δικαίου ή από οργανισμούς που διέπονται από το ιδιωτικό δίκαιο και είναι επιφορτισμένοι με δημόσια υπηρεσία και τους παρέχονται επαρκείς οικονομικές εγγυήσεις υπό μορφή από κοινού και εις ολόκληρον ευθύνης από τους ελέγχοντες οργανισμούς ή ισοδύναμες χρηματοοικονομικές εγγυήσεις και οι οποίες μπορεί να περιορίζονται, για κάθε δράση, στο μέγιστο ποσό της στήριξης της Ένωσης.

Παρατηρήσεις

2.ΜΕΤΡΑ ΔΙΑΧΕΙΡΙΣΗΣ 

2.1.Κανόνες παρακολούθησης και υποβολής εκθέσεων 

2.2.Συστήματα διαχείρισης και ελέγχου 

2.2.1.Αιτιολόγηση των μεθόδων εκτέλεσης του προϋπολογισμού, των μηχανισμών εκτέλεσης της χρηματοδότησης, των όρων πληρωμής και της στρατηγικής ελέγχου που προτείνονται

2.2.2.Πληροφορίες σχετικά με τους κινδύνους που έχουν εντοπιστεί και τα συστήματα εσωτερικού ελέγχου που έχουν δημιουργηθεί για τον μετριασμό τους

2.2.3.Εκτίμηση και αιτιολόγηση της οικονομικής αποδοτικότητας των ελέγχων (λόγος του κόστους του ελέγχου προς την αξία των σχετικών κονδυλίων που αποτελούν αντικείμενο διαχείρισης) και αξιολόγηση του εκτιμώμενου επιπέδου κινδύνου σφάλματος (κατά την πληρωμή και κατά το κλείσιμο) 

2.3.Μέτρα για την πρόληψη περιπτώσεων απάτης και παρατυπίας 

3.ΕΚΤΙΜΩΜΕΝΕΣ ΔΗΜΟΣΙΟΝΟΜΙΚΕΣ ΕΠΙΠΤΩΣΕΙΣ ΤΗΣ ΠΡΟΤΑΣΗΣ/ΠΡΩΤΟΒΟΥΛΙΑΣ 

3.1.Τομείς του πολυετούς δημοσιονομικού πλαισίου και γραμμές δαπανών του προϋπολογισμού που επηρεάζονται 

·Υφιστάμενες γραμμές του προϋπολογισμού

Κατά σειρά τομέων του πολυετούς δημοσιονομικού πλαισίου και γραμμών του προϋπολογισμού

Τομέας του πολυετούς δημοσιονομικού πλαισίου	Γραμμή του προϋπολογισμού	Είδος δαπάνης	Συμμετοχή
	Αριθμός	ΔΠ/ΜΔΠ 99	χωρών ΕΖΕΣ 100	υποψηφίων για ένταξη χωρών και δυνάμει υποψηφίων μελών 101	άλλων τρίτων χωρών	άλλα έσοδα με ειδικό προορισμό
	[XX.YY.YY.YY]	ΜΔΠ	ΝΑΙ	ΟΧΙ	ΟΧΙ	ΝΑΙ/ΟΧΙ
	[XX.YY.YY.YY]	ΔΠ/ΜΔΠ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ
	[XX.YY.YY.YY]	ΔΠ/ΜΔΠ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ

·Νέες γραμμές του προϋπολογισμού των οποίων έχει ζητηθεί η δημιουργία

Κατά σειρά τομέων του πολυετούς δημοσιονομικού πλαισίου και γραμμών του προϋπολογισμού

Τομέας του πολυετούς δημοσιονομικού πλαισίου	Γραμμή του προϋπολογισμού	Είδος δαπάνης	Συμμετοχή
	Αριθμός	ΔΠ/ΜΔΠ	χωρών ΕΖΕΣ	υποψήφιων χωρών και δυνάμει υποψήφιων μελών	άλλων τρίτων χωρών	άλλα έσοδα με ειδικό προορισμό
	[XX.YY.YY.YY]	ΔΠ/ΜΔΠ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ
	[XX.YY.YY.YY]	ΔΠ/ΜΔΠ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ
	[XX.YY.YY.YY]	ΔΠ/ΜΔΠ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ	ΝΑΙ/ΟΧΙ

3.2.Εκτιμώμενες δημοσιονομικές επιπτώσεις της πρότασης στις πιστώσεις 

3.2.1.Συνοπτική παρουσίαση των εκτιμώμενων επιπτώσεων στις επιχειρησιακές πιστώσεις 

–    Η πρόταση/πρωτοβουλία δεν συνεπάγεται τη χρησιμοποίηση επιχειρησιακών πιστώσεων

–    Η πρόταση/πρωτοβουλία συνεπάγεται τη χρησιμοποίηση επιχειρησιακών πιστώσεων, όπως αναλύεται κατωτέρω

3.2.1.1.Πιστώσεις από τον ψηφισθέντα προϋπολογισμό

σε εκατ. EUR (με τρία δεκαδικά ψηφία)

Οργανισμός: ENISA	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034	ΣΥΝΟΛΟ ΠΔΠ 2028-2034
Γραμμή του προϋπολογισμού: <…….> / Πρόσθετη συνεισφορά του προϋπολογισμού της ΕΕ στον οργανισμό	20,900 EUR	20,594 EUR	25,338 EUR	26,801 EUR	26,801 EUR	26,301 EUR	26,301 EUR	173,006

Οι πιστώσεις / η συνεισφορά του προϋπολογισμού της ΕΕ στον οργανισμό θα αντισταθμιστούν από μείωση του κονδυλίου του εξής προγράμματος <…….> / της εξής γραμμής του προϋπολογισμού: <…….> / κατά το/τα έτος/-η: <…….> .

						Έτος		Έτος			Έτος		Έτος			Έτος		Έτος	Έτος			ΣΥΝΟΛΟ ΠΔΠ 2028-2034
						2028		2029			2030		2031			2032		2033	2034
ΣΥΝΟΛΟ επιχειρησιακών πιστώσεων		Αναλήψεις υποχρεώσεων		(4)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
		Πληρωμές		(5)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
ΣΥΝΟΛΟ πιστώσεων διοικητικού χαρακτήρα χρηματοδοτούμενων από το κονδύλιο ειδικών προγραμμάτων				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
ΣΥΝΟΛΟ πιστώσεων του ΤΟΜΕΑ 2		Αναλήψεις υποχρεώσεων				=4+6		22,265 EUR			21,959 EUR		26,808 EUR			28,586 EUR		28,901 EUR	28,716 EUR			28,926 EUR	186,161
του πολυετούς δημοσιονομικού πλαισίου		Πληρωμές				=5+6		22,265 EUR			20,890 EUR		24,851 EUR			26,254 EUR		26,254 EUR	25,754 EUR			25,754 EUR	186,161
ΓΔ: CNECT									Έτος			Έτος		Έτος	Έτος		Έτος			Έτος	Έτος			ΣΥΝΟΛΟ ΠΔΠ 2028-2034
									2028			2029		2030	2031		2032			2033	2034
 Ανθρώπινοι πόροι									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Άλλες διοικητικές δαπάνες									0			0		0	0		0			0	0			0
ΣΥΝΟΛΟ ΓΔ CNECT	Πιστώσεις		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
ΣΥΝΟΛΟ πιστώσεων του ΤΟΜΕΑ 4 του πολυετούς δημοσιονομικού πλαισίου					(Σύνολο αναλήψεων υποχρεώσεων = Σύνολο πληρωμών)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

σε εκατ. EUR (με τρία δεκαδικά ψηφία)

			Έτος		Έτος		Έτος		Έτος		Έτος		Έτος		Έτος		ΣΥΝΟΛΟ ΠΔΠ 2028-2034
			2028		2029		2030		2031		2032		2033		2034
ΣΥΝΟΛΟ πιστώσεων των ΤΟΜΕΩΝ 1 έως 4	Αναλήψεις υποχρεώσεων		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
του πολυετούς δημοσιονομικού πλαισίου		Πληρωμές		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Εκτιμώμενο αποτέλεσμα που χρηματοδοτείται από επιχειρησιακές πιστώσεις (δεν συμπληρώνεται για αποκεντρωμένους οργανισμούς)

Πιστώσεις αναλήψεων υποχρεώσεων σε εκατ. EUR (με τρία δεκαδικά ψηφία)

Να προσδιοριστούν οι στόχοι και τα αποτελέσματα 

Έτος 2028

Έτος 2029

Έτος 2030

Έτος 2031

Να εγγραφούν όσα έτη απαιτούνται ώστε να αποτυπώνεται η διάρκεια των επιπτώσεων (βλ. σημείο 1.6)

ΣΥΝΟΛΟ

ΑΠΟΤΕΛΕΣΜΑΤΑ

Είδος 102

Μέσο κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Αριθ.

Κόστος

Συνολικός αριθ.

Συνολικό κόστος

ΕΙΔΙΚΟΣ ΣΤΟΧΟΣ αριθ. 1 103 …

– Αποτέλεσμα

– Αποτέλεσμα

– Αποτέλεσμα

Μερικό σύνολο για τον ειδικό στόχο αριθ. 1

ΕΙΔΙΚΟΣ ΣΤΟΧΟΣ αριθ. 2 ...

– Αποτέλεσμα

Μερικό σύνολο για τον ειδικό στόχο αριθ. 2

ΣΥΝΟΛΑ

3.2.3.Συνοπτική παρουσίαση των εκτιμώμενων επιπτώσεων στις διοικητικές πιστώσεις 

–    Η πρόταση/πρωτοβουλία δεν συνεπάγεται τη χρησιμοποίηση πιστώσεων διοικητικού χαρακτήρα

–    Η πρόταση/πρωτοβουλία συνεπάγεται τη χρησιμοποίηση πιστώσεων διοικητικού χαρακτήρα, όπως αναλύεται κατωτέρω

3.2.3.1. Πιστώσεις από τον ψηφισθέντα προϋπολογισμό

(πρόσθετες)

ΨΗΦΙΣΘΕΙΣΕΣ ΠΙΣΤΩΣΕΙΣ	Έτος	Έτος	Έτος	Έτος	Έτος	Έτος	Έτος	ΣΥΝΟΛΟ 2028-2034
	2028	2029	2030	2031	2032	2033	2034
ΤΟΜΕΑΣ 4
Ανθρώπινοι πόροι	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Άλλες διοικητικές δαπάνες	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Μερικό σύνολο του ΤΟΜΕΑ 4	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Εκτός του ΤΟΜΕΑ 4
Ανθρώπινοι πόροι	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Άλλες δαπάνες διοικητικού χαρακτήρα	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Μερικό σύνολο εκτός του ΤΟΜΕΑ 4	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
ΣΥΝΟΛΟ	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Εκτιμώμενες ανάγκες σε ανθρώπινους πόρους (πρόσθετες)

–    Η πρόταση/πρωτοβουλία δεν συνεπάγεται τη χρησιμοποίηση ανθρώπινων πόρων

–    Η πρόταση/πρωτοβουλία συνεπάγεται τη χρησιμοποίηση ανθρώπινων πόρων, όπως αναλύεται κατωτέρω

3.2.4.1.Χρηματοδοτούμενες από τον ψηφισθέντα προϋπολογισμό

Εκτίμηση η οποία πρέπει να εκφράζεται σε μονάδες ισοδυνάμων πλήρους απασχόλησης (ΙΠΑ) 104

ΨΗΦΙΣΘΕΙΣΕΣ ΠΙΣΤΩΣΕΙΣ		Έτος	Έτος	Έτος	Έτος	Έτος	Έτος	Έτος
		2028	2029	2030	2031	2032	2033	2034
 Θέσεις απασχόλησης του πίνακα προσωπικού (θέσεις μόνιμων και έκτακτων υπαλλήλων)
20 01 02 01 (στην έδρα και στις αντιπροσωπείες της Επιτροπής)		12	12	16	18	20	22	25
20 01 02 03 (στις αντιπροσωπείες της ΕΕ)		0	0	0	0	0	0	0
(έμμεση έρευνα)		0	0	0	0	0	0	0
(άμεση έρευνα)		0	0	0	0	0	0	0
Άλλες γραμμές του προϋπολογισμού (να προσδιοριστούν)		0	0	0	0	0	0	0
• Εξωτερικό προσωπικό (σε ΙΠΑ)
20 02 01 (AC, END από το συνολικό κονδύλιο)		0	0	0	0	0	0	0
20 02 03 (AC, AL, END και JPD στις αντιπροσωπείες της ΕΕ)		0	0	0	0	0	0	0
Γραμμή διοικητικής στήριξης	– στην έδρα	0	0	0	0	0	0	0
[XX.01.YY.YY]	– στις αντιπροσωπείες της ΕΕ	0	0	0	0	0	0	0
(AC, END — έμμεση έρευνα)		0	0	0	0	0	0	0
(AC, END — άμεση έρευνα)		0	0	0	0	0	0	0
Άλλες γραμμές του προϋπολογισμού (να προσδιοριστούν) — τομέας 4		0	0	0	0	0	0	0
Άλλες γραμμές του προϋπολογισμού (να προσδιοριστούν) — εκτός του τομέα 4		13	13	14	17	20	23	25
ΣΥΝΟΛΟ		25	25	30	35	40	45	50

Προσωπικό που απαιτείται για την εφαρμογή της πρότασης (σε ΙΠΑ):

	Θα καλυφθεί από το εν ενεργεία προσωπικό που είναι διαθέσιμο στις υπηρεσίες της Επιτροπής	Έκτακτο πρόσθετο προσωπικό
		Θα χρηματοδοτηθεί από τον τομέα 7 ή από τη γραμμή για την έρευνα	Θα χρηματοδοτηθεί από τη γραμμή BA	Θα χρηματοδοτηθεί από τέλη
Θέσεις απασχόλησης στον πίνακα προσωπικού		25
Εξωτερικό προσωπικό (AC, END, INT)			25

Ο εκτιμώμενος αντίκτυπος στις δαπάνες και το προσωπικό για το 2028 και μετέπειτα είναι ενδεικτικός και δεν προδικάζει το επόμενο πολυετές δημοσιονομικό πλαίσιο. Η πηγή χρηματοδότησης και το πεδίο εφαρμογής της χρηματοδοτικής δέσμευσης της Ένωσης για την περίοδο μετά το 2027 εξακολουθούν να εξαρτώνται από την έκβαση των διοργανικών διαπραγματεύσεων για το ΠΔΠ 2028-2034, την ετήσια διαδικασία του προϋπολογισμού και τον μηχανισμό καθοδήγησης.

Περιγραφή των προς εκτέλεση καθηκόντων από τη ΓΔ του τομέα εντός της Επιτροπής

Μόνιμων και έκτακτων υπαλλήλων

Συντονισμός ENISA (1): Εκπροσώπηση της Επιτροπής στο διοικητικό συμβούλιο του Οργανισμού. Σύνταξη της γνώμης της Επιτροπής σχετικά με το ενιαίο έγγραφο προγραμματισμού του ENISA και παρακολούθηση της εφαρμογής του. Επίβλεψη της κατάρτισης του προϋπολογισμού του οργανισμού και παρακολούθηση της εκτέλεσής του. Παροχή συνδρομής στον οργανισμό για την ανάπτυξη των δραστηριοτήτων του σύμφωνα με τις πολιτικές της Ένωσης, μεταξύ άλλων μέσω συμμετοχής σε σχετικές συνεδριάσεις. Σχήματα βεβαίωσης δεξιοτήτων / Ακαδημία Δεξιοτήτων (2): Θα χρειαστεί πρόσθετο προσωπικό στην CNECT για την κατάρτιση εκτελεστικών πράξεων που θα καθορίζουν τα τέλη που θα χρεώνει ο ENISA στους αιτούντες που επιθυμούν να γίνουν αδειοδοτημένοι πάροχοι. Οι εν λόγω εκτελεστικές πράξεις θα είναι τουλάχιστον 12, μία για κάθε προφίλ του ΕΠΔΚ. Αλυσίδα εφοδιασμού (25) Στήριξη της εκπόνησης των συντονισμένων εκτιμήσεων κινδύνου της Ένωσης. Διενέργεια οικονομικής ανάλυσης για καθένα από τα εξεταζόμενα προϊόντα και υπηρεσίες ΤΠΕ. Κατάρτιση των αντίστοιχων εκτελεστικών πράξεων σχετικά με τον προσδιορισμό βασικών πάγιων στοιχείων, τα προτεινόμενα μέτρα μετριασμού και τον προσδιορισμό των χωρών που ενέχουν στρατηγικούς κινδύνους για την κυβερνοασφάλεια συγκεκριμένων βασικών πάγιων στοιχείων, τον προσδιορισμό προμηθευτών υψηλού κινδύνου, την επαλήθευση των αιτημάτων εξαίρεσης και την κατάρτιση των αποφάσεων της Επιτροπής. Στήριξη της εφαρμογής και της εποπτείας των εγκριθέντων μέτρων. Ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας, τυποποίηση και υλοποίηση συναφών δραστηριοτήτων, εφαρμογή της οδηγίας NIS 2 (17): Επιβολή της CSA, ιδίως διακυβέρνηση των οργανισμών αξιολόγησης της συμμόρφωσης (πρόκληση αρμοδιοτήτων) Συμμετοχή των συμφεροντούχων (και συνέλευση) Αμοιβαία αναγνώριση με τρίτες χώρες Τυποποιημένη εκπόνηση εκτελεστικών πράξεων (λεπτομερή αιτήματα που υπόκεινται σε διαβουλεύσεις και εκπόνηση πρότυπων διατάξεων) Συντήρηση σχημάτων, νομικός έλεγχος, διαδικασία επιτροπολογίας Συντονισμός με την ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών και συντήρηση των σχημάτων για τις οντότητες Εκτελεστικές πράξεις βάσει της οδηγίας NIS 2 Ευθυγράμμιση των οργανισμών αξιολόγησης της συμμόρφωσης με την CSA, τεκμήριο συμμόρφωσης + τυποποίηση Συντονισμός μεταξύ της εποπτείας της αγοράς και των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας Τεχνική ευθυγράμμιση μεταξύ της πράξης για την κυβερνοανθεκτικότητα και των σχημάτων πιστοποίησης Επιχειρησιακός συντονισμός και επίγνωση της κατάστασης (5): Εμπειρογνωσία σε τομεακό επίπεδο και σε επίπεδο παραγόντων απειλής για τη συμβολή στην επίγνωση της κατάστασης σε επίπεδο ΕΕ όσον αφορά τις απειλές κατά κρίσιμων υποδομών, μεταξύ άλλων μέσω αναδυόμενων τεχνολογιών Συντονισμός με τον ENISA και άλλες οντότητες και δίκτυα της ΕΕ για την προετοιμασία για σημαντικά και μεγάλης κλίμακας κυβερνοπεριστατικά

Εξωτερικού προσωπικού

Όπως ανωτέρω

Περιγραφή των προς εκτέλεση πρόσθετων καθηκόντων του ENISA:

Μόνιμων και έκτακτων υπαλλήλων

Διαχείριση της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας (διαχειριστές χωρών και στήριξη για την υλοποίηση, ενώ οι πραγματικές λειτουργικές δαπάνες της εφεδρείας καλύπτονται όπως προβλέπεται στον κανονισμό για την αλληλεγγύη στον κυβερνοχώρο) (10) Διαχείριση της ενιαίας πλατφόρμας αναφοράς (λειτουργία) βάσει της πράξης για την κυβερνοανθεκτικότητα (9) Υπηρεσίες διαχείρισης ευπαθειών που συνδέονται με την ενιαία πλατφόρμα αναφοράς (4) Επέκταση της ενιαίας πλατφόρμας αναφοράς σε ενιαίο σημείο εισόδου (ανάπτυξη και λειτουργία) (8) Ανάπτυξη τεχνικής καθοδήγησης, εμπειρογνωσίας στον τομέα της ασφάλειας προϊόντων και ανάλυσης της αγοράς για την υποστήριξη της εφαρμογής της πράξης για την κυβερνοανθεκτικότητα (7) Τυποποίηση για τη στήριξη της εφαρμογής της πράξης για την κυβερνοανθεκτικότητα / Πιστοποίηση / NIS 2 (4) Υποστήριξη των δραστηριοτήτων εποπτείας της αγοράς βάσει της πράξης για την κυβερνοανθεκτικότητα (4) Υποστήριξη των δοκιμών συμμόρφωσης και των αξιολογήσεων ασφάλειας των προϊόντων (4) Υποστήριξη των κρατών μελών στο πλαίσιο της αμοιβαίας συνδρομής (3) Παροχή υπηρεσιών διαχείρισης ευπαθειών, συντήρηση της ευρωπαϊκής βάσης δεδομένων ευπαθειών και παροχή συμβουλευτικών λειτουργιών και λειτουργιών εμπλουτισμού (συντονισμένη γνωστοποίηση ευπαθειών) (15) Επιχειρησιακή συνεργασία και επίγνωση της κατάστασης — πλατφόρμες μετριασμού και υποστήριξης, όπως CNW/CyCLONe· υποστήριξη καθηκόντων σε σχέση με τις κοινοποιήσεις προειδοποιήσεων· υποστήριξη του ενισχυμένου συντονισμού με άλλες σχετικές οντότητες για την ανάπτυξη αποθετηρίων επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές (άρθρο 11 παράγραφος 1α του ΚΚΑ2) (5) Στήριξη της ανθεκτικότητας κρίσιμων τομέων (συμπεριλαμβανομένης της εφαρμογής του σχεδίου δράσης για την κυβερνοασφάλεια στον τομέα της υγειονομικής περίθαλψης) (4) Ανάπτυξη σχημάτων βεβαίωσης δεξιοτήτων (2) Συντήρηση και εποπτεία σχημάτων βεβαίωσης δεξιοτήτων (6) Διαχείριση (Λογιστής για τα τέλη / Λειτουργίες ανθρώπινου δυναμικού / τεχνολογιών πληροφοριών) (8) Συντήρηση σχημάτων πιστοποίησης (11) Οριζόντια καθήκοντα — αυξημένη συμμετοχή των συμφεροντούχων, κατάρτιση τεχνικών προδιαγραφών και συμμετοχή σε δραστηριότητες τυποποίησης για την υποστήριξη των σχημάτων (1)

Εξωτερικού προσωπικού

Όπως ανωτέρω Δύο υποχρεωτικοί αποσπασμένοι εθνικοί εμπειρογνώμονες (στο εξής: ΑΕΕ) ανά κράτος μέλος για την υποστήριξη των δραστηριοτήτων του Οργανισμού, οι οποίοι θα ενεργούν επίσης ως εθνικοί αξιωματικοί-σύνδεσμοι, με έμφαση στην επιχειρησιακή συνεργασία και τη συντονισμένη γνωστοποίηση ευπαθειών. (13) Οι υπόλοιποι 27 ΑΕΕ θεωρείται ότι δεν συνεπάγονται κόστος και, ως εκ τούτου, δεν έχουν δημοσιονομικές επιπτώσεις.

Πρόσθετες λειτουργικές δαπάνες ανά έτος για τον ENISA την περίοδο 2028-2034:

Κόστος	Προϋπολογισμός	Χρονοδιάγραμμα	Επεξήγηση
Ιστότοπος για τις δεξιότητες κυβερνοασφάλειας	750 000 EUR	50 % το 2029 50 % το 2030	Για να διασφαλιστεί η διαφάνεια των διαδικασιών, σύμφωνα με την πρόταση ο ENISA πρέπει να διατηρεί ιστότοπο που θα περιλαμβάνει τα προφίλ του ΕΠΔΚ, τα σχήματα βεβαίωσης, πληροφορίες σχετικά με τα τέλη για κάθε σχήμα, τα συνιστώμενα τέλη για κάθε βεβαίωση και τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων.
Συντονισμένη γνωστοποίηση ευπαθειών	1 εκατ. EUR	Από το 2028	Η ασφάλεια των προϊόντων και των υπηρεσιών που χρησιμοποιούνται στις κρίσιμες υποδομές μας εξαρτάται σε μεγάλο βαθμό από την έγκαιρη ανταλλαγή πληροφοριών σχετικά με τις ευπάθειες που εντοπίζονται και τον τρόπο με τον οποίο μπορούν να μετριαστούν.
Πληροφορίες σχετικά με απειλές κατά της κυβερνοασφάλειας	3 εκατ. EUR	Από το 2028	Για τη διαμόρφωση επίγνωσης της κατάστασης σε συνεργασία μεταξύ του ENISA και της Επιτροπής.
Ενιαίο σημείο εισόδου	8 εκατ. EUR	6 εκατ. EUR το 2028 500 000 EUR το 2029 500 000 EUR το 2030 500 000 EUR το 2031 500 000 EUR το 2032	Για να είναι δυνατή η υλοποίηση της πρότασης Omnibus της Επιτροπής για τον ψηφιακό τομέα για την απλούστευση της συμμόρφωσης με τις υποχρεώσεις αναφοράς περιστατικών κυβερνοασφάλειας και παραβιάσεων δεδομένων μέσω της ανάπτυξης και της διατήρησης ενιαίου σημείου εισόδου.
Συντήρηση της ενιαίας πλατφόρμας αναφοράς βάσει της πράξης για την κυβερνοανθεκτικότητα και άλλα	3 εκατ. EUR	Από το 2028	Η ενιαία πλατφόρμα αναφοράς που θεσπίστηκε από τους συννομοθέτες είναι το μεγαλύτερο πληροφοριακό σύστημα που έχει αναπτυχθεί ποτέ στην ιστορία του ENISA και βασικός πυλώνας της πράξης για την κυβερνοανθεκτικότητα. Η εγκατάσταση χρηματοδοτείται επί του παρόντος μέσω συμφωνίας συνεισφοράς, αλλά για την καθημερινή διαχείρισή της θα απαιτηθούν ΙΠΑ (βλ. ανωτέρω), καθώς και λειτουργικές δαπάνες. Ο ENISA μπορεί να διαδραματίσει καίριο ρόλο στη διασφάλιση της επιτυχίας του ενωσιακού πλαισίου για την ασφάλεια των προϊόντων, της πράξης για την κυβερνοανθεκτικότητα.
Ασφαλής επικοινωνία και ωριμότητα του ENISA στον τομέα της κυβερνοασφάλειας	2 εκατ. EUR +	επένδυση 1,1 εκατ. EUR το 2028 (πλατφόρμες CyCLONe/CSIRT + ασφαλείς επικοινωνίες) 1 εκατ. EUR ετησίως για συντήρηση από το 2029 1,5 εκατ. EUR για ωριμότητα στον τομέα της κυβερνοασφάλειας	Διασφάλιση της κυβερνοασφάλειας του Οργανισμού και εργαλεία επικοινωνίας.
Διατήρηση της πιστοποίησης της κυβερνοασφάλειας	1 400 000 εκατ. EUR.	2028 600 000 2029 1 000 000 2030 1 200 000 2031 1 400 000 2032 1 400 000 2033 1 400 000 2034 1 400 000	Καλύπτεται από τέλη (πλήρως από το 2032)
Σχήματα βεβαίωσης της κυβερνοασφάλειας	212 920 EUR	Από το 2030 το 50 % καλύπτεται από τον προϋπολογισμό της ΕΕ	Καλύπτεται πλήρως από τέλη από το 2033

3.2.5.Επισκόπηση των εκτιμώμενων επιπτώσεων στις επενδύσεις ψηφιακής τεχνολογίας

Υποχρεωτικά: Στον πίνακα που ακολουθεί θα πρέπει να συμπεριληφθεί η βέλτιστη εκτίμηση των επενδύσεων ψηφιακής τεχνολογίας που συνεπάγεται η πρόταση/πρωτοβουλία.

Κατ’ εξαίρεση, όταν απαιτείται για την εφαρμογή της πρότασης/πρωτοβουλίας, οι πιστώσεις του τομέα 4 θα πρέπει να παρατίθενται στην καθορισμένη γραμμή.

Οι πιστώσεις των τομέων 1-3 θα πρέπει να καταχωρίζονται ως «δαπάνες ΤΠ στο πλαίσιο πολιτικών προς υποστήριξη επιχειρησιακών προγραμμάτων». Οι δαπάνες αυτές αφορούν τον επιχειρησιακό προϋπολογισμό που θα χρησιμοποιηθεί για την επαναχρησιμοποίηση/αγορά/ανάπτυξη πλατφορμών/εργαλείων ΤΠ που συνδέονται άμεσα με την υλοποίηση της πρωτοβουλίας και τις συναφείς επενδύσεις (π.χ. άδειες, μελέτες, αποθήκευση δεδομένων κ.λπ.). Οι πληροφορίες στον παρόντα πίνακα θα πρέπει να συνάδουν με τα στοιχεία που παρατίθενται στο σημείο 4 «Ψηφιακές διαστάσεις».

ΣΥΝΟΛΟ πιστώσεων ψηφιακού τομέα και πιστώσεων ΤΠ	Έτος	Έτος	Έτος	Έτος	Έτος	Έτος	Έτος	ΣΥΝΟΛΟ ΠΔΠ 2028-2034
	2028	2029	2030	2031	2032	2033	2034
ΤΟΜΕΑΣ 4
Δαπάνες ΤΠ (εσωτερικές)	0	0	0	0	0	0	0	0
Μερικό σύνολο του ΤΟΜΕΑ 4	0	0	0	0	0	0	0	0
Εκτός του ΤΟΜΕΑ 4
Δαπάνες ΤΠ για πολιτικές που υποστηρίζουν επιχειρησιακά προγράμματα	0	0	0	0	0	0	0	0
Μερικό σύνολο εκτός του ΤΟΜΕΑ 4	0	0	0	0	0	0	0	0
ΣΥΝΟΛΟ	0	0	0	0	0	0	0	0

3.2.6.Συμβατότητα με το ισχύον πολυετές δημοσιονομικό πλαίσιο 

Η πρόταση/πρωτοβουλία:

–    μπορεί να χρηματοδοτηθεί εξ ολοκλήρου με ανακατανομή εντός του οικείου τομέα του πολυετούς δημοσιονομικού πλαισίου (ΠΔΠ).

–    συνεπάγεται τη χρησιμοποίηση του αδιάθετου περιθωρίου στο πλαίσιο του αντίστοιχου τομέα του ΠΔΠ και/ή τη χρήση ειδικών μέσων, όπως ορίζεται στον κανονισμό για το ΠΔΠ.

–    συνεπάγεται αναθεώρηση του ΠΔΠ.

3.2.7.Συμμετοχή τρίτων στη χρηματοδότηση 

Η πρόταση/πρωτοβουλία:

–    δεν προβλέπει συγχρηματοδότηση από τρίτους

–    προβλέπει τη συγχρηματοδότηση από τρίτους που εκτιμάται κατωτέρω:

Πιστώσεις σε εκατ. EUR (με τρία δεκαδικά ψηφία)

	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Σύνολο
Προσδιορισμός του φορέα συγχρηματοδότησης
ΣΥΝΟΛΟ συγχρηματοδοτούμενων πιστώσεων

3.2.8Εκτιμώμενοι ανθρώπινοι πόροι και χρησιμοποίηση των απαιτούμενων πιστώσεων σε αποκεντρωμένο οργανισμό

Απαιτούμενο πρόσθετο προσωπικό (μονάδες ισοδυνάμου πλήρους απασχόλησης)

Οργανισμός: ENISA	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034
Έκτακτοι υπάλληλοι (βαθμοί AD)	5	11	17	19	19	19	19
Έκτακτοι υπάλληλοι (βαθμοί AST)	4	7	11	12	12	12	12
Μερικό σύνολο έκτακτων υπαλλήλων (AD+AST)	9	18	28	31	31	31	31
Συμβασιούχοι υπάλληλοι	22	44	66	74	74	74	74
Αποσπασμένοι εθνικοί εμπειρογνώμονες	4	8	11	13	13	13	13
Μερικό σύνολο συμβασιούχων υπαλλήλων και αποσπασμένων εθνικών εμπειρογνωμόνων	26	52	77	87	87	87	87
ΣΥΝΟΛΟ προσωπικού	35	70	105	118	118	118	118

Πιστώσεις που καλύπτονται από τη συνεισφορά του προϋπολογισμού της ΕΕ σε εκατ. EUR (με τρία δεκαδικά ψηφία)

Οργανισμός: ENISA	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034	ΣΥΝΟΛΟ 2028-2034
Τίτλος 1: Δαπάνες προσωπικού	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Τίτλος 2: Δαπάνες υποδομών και λειτουργίας
Τίτλος 3: Επιχειρησιακές δαπάνες	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
ΣΥΝΟΛΟ πιστώσεων που καλύπτονται από τον προϋπολογισμό της ΕΕ	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Πιστώσεις που καλύπτονται από τέλη, κατά περίπτωση, σε εκατ. EUR (με τρία δεκαδικά ψηφία)

Οργανισμός: ENISA	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034	ΣΥΝΟΛΟ 2028-2034
Τίτλος 1: Δαπάνες προσωπικού		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Τίτλος 2: Δαπάνες υποδομών και λειτουργίας								0,000
Τίτλος 3: Επιχειρησιακές δαπάνες								0,000
ΣΥΝΟΛΟ πιστώσεων που καλύπτονται από τέλη	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Επισκόπηση / συνοπτική παρουσίαση των ανθρώπινων πόρων και των πιστώσεων (σε εκατ. EUR) που απαιτούνται για την πρόταση/πρωτοβουλία σε αποκεντρωμένο οργανισμό

Οργανισμός: ENISA	Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034	ΣΥΝΟΛΟ 2028-2034
Έκτακτοι υπάλληλοι (AD+AST)	9	18	28	31	31	31	31	31
Συμβασιούχοι υπάλληλοι	22	44	66	74	74	74	74	74
Αποσπασμένοι εθνικοί εμπειρογνώμονες	4	8	11	13	13	13	13	13
Σύνολο προσωπικού	35	70	105	118	118	118	118	118
Πιστώσεις που καλύπτονται από τον προϋπολογισμό της ΕΕ	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Πιστώσεις που καλύπτονται από τέλη (κατά περίπτωση)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Συγχρηματοδοτούμενες πιστώσεις (κατά περίπτωση)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
ΣΥΝΟΛΟ πιστώσεων	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Εκτιμώμενες επιπτώσεις στα έσοδα 

–    Η πρόταση/πρωτοβουλία δεν έχει δημοσιονομικές επιπτώσεις στα έσοδα.

–    Η πρόταση/πρωτοβουλία έχει τις δημοσιονομικές επιπτώσεις που περιγράφονται κατωτέρω:

–    στους ιδίους πόρους

–    στα λοιπά έσοδα

–    να αναφερθεί αν τα έσοδα προορίζονται για γραμμές δαπανών

σε εκατ. EUR (με τρία δεκαδικά ψηφία)

Γραμμή εσόδων του προϋπολογισμού:	Διαθέσιμες πιστώσεις για το τρέχον οικονομικό έτος	Επιπτώσεις της πρότασης/πρωτοβουλίας 105
		Έτος 2028	Έτος 2029	Έτος 2030	Έτος 2031	Έτος 2032	Έτος 2033	Έτος 2034
Άρθρο ….

Ως προς τα έσοδα με ειδικό προορισμό, να προσδιοριστούν οι γραμμές δαπανών του προϋπολογισμού που επηρεάζονται.

Άλλες παρατηρήσεις (π.χ. μέθοδος/τύπος για τον υπολογισμό των επιπτώσεων στα έσοδα ή τυχόν άλλες πληροφορίες).

4. Ψηφιακές διαστάσεις

4.1.Απαιτήσεις ψηφιακής σημασίας

Γενική περιγραφή των απαιτήσεων ψηφιακής σημασίας και των σχετικών κατηγοριών (δεδομένα, ψηφιοποίηση και αυτοματοποίηση των διαδικασιών, ψηφιακές λύσεις και/ή ψηφιακές δημόσιες υπηρεσίες)

Αναφορά στην απαίτηση  Περιγραφή της απαίτησης  Φορείς που επηρεάζονται ή τους οποίους αφορά η απαίτηση  Γενικές διαδικασίες  Κατηγορίες  Άρθρο 5 παράγραφος 1 στοιχείο α) Στήριξη της εφαρμογής του δικαίου της ΕΕ α)    συνδρομή προς τα κράτη μέλη για τη συνεπή εφαρμογή της πολιτικής και του δικαίου της Ένωσης σχετικά με την κυβερνοασφάλεια, μεταξύ άλλων με την έκδοση τεχνικών κατευθύνσεων και εκθέσεων, την παροχή συμβουλών και την ανταλλαγή βέλτιστων πρακτικών, καθώς και με τη διευκόλυνση της ανταλλαγής βέλτιστων πρακτικών μεταξύ των αρμόδιων αρχών στο πλαίσιο αυτό· — ENISA — κράτη μέλη  — επεξεργασία δεδομένων με σκοπό την έκδοση τεχνικών κατευθύνσεων, εκθέσεων, την παροχή συμβουλών και την ανταλλαγή βέλτιστων πρακτικών και με τη διευκόλυνση της ανταλλαγής βέλτιστων πρακτικών μεταξύ των αρμόδιων αρχών — διευκόλυνση της ανταλλαγής βέλτιστων πρακτικών  Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 1 στοιχείο β) Στήριξη της εφαρμογής του δικαίου της ΕΕ β)    υποστήριξη της ανταλλαγής πληροφοριών εντός και μεταξύ τομέων, ειδικότερα όσον αφορά τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τα προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847, με την παροχή βέλτιστων πρακτικών και καθοδήγησης σχετικά με τα διαθέσιμα εργαλεία και τις διαθέσιμες διαδικασίες  — ENISA — τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 — συμφεροντούχοι που επηρεάζονται από τον κανονισμό (ΕΕ) 2024/2847 παροχή βέλτιστων πρακτικών και καθοδήγησης σχετικά με τα διαθέσιμα εργαλεία και τις διαθέσιμες διαδικασίες για την ανταλλαγή πληροφοριών  Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 1 στοιχείο γ) Στήριξη της εφαρμογής του δικαίου της ΕΕ γ)    κατόπιν αιτήματος της Επιτροπής, συνδρομή προς τα κράτη μέλη με την παροχή στήριξης, όπως τεχνικής καθοδήγησης, μεταξύ άλλων σχετικά με μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, εργαλείων για την αξιολόγηση της ωριμότητας στον τομέα της κυβερνοασφάλειας και εγχειριδίων αντιμετώπισης περιστατικών, προσαρμοσμένης στους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555, με σκοπό τη διευκόλυνση της βελτίωσης του επιπέδου ωριμότητάς τους στον τομέα της κυβερνοασφάλειας και της συμμόρφωσης με το ενωσιακό δίκαιο όσον αφορά την κυβερνοασφάλεια· — Ευρωπαϊκή Επιτροπή   — ENISA — τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 Παροχή τεχνικής καθοδήγησης  Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 1 στοιχείο ε) ε) συνδρομή προς τα κράτη μέλη και τις σχετικές οντότητες της Ένωσης στην ανάπτυξη και την προώθηση πολιτικών κυβερνοασφάλειας που συνδέονται με την υποστήριξη της γενικής διαθεσιμότητας και της ακεραιότητας του δημόσιου πυρήνα του ανοικτού διαδικτύου·   ENISA Κράτη μέλη Οντότητες της ΕΕ  Συνδρομή για την ανάπτυξη και την προώθηση πολιτικών κυβερνοασφάλειας  Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 5 παράγραφος 1 στοιχείο στ) Στήριξη της εφαρμογής του δικαίου της ΕΕ στ)    σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847, παροχή τεχνικών συμβουλών και υποστήριξης για θέματα που σχετίζονται με την εφαρμογή και την επιβολή του εν λόγω κανονισμού — ENISA — συμφεροντούχοι που επηρεάζονται από τον κανονισμό (ΕΕ) 2024/2847 Η παροχή τεχνικών συμβουλών και υποστήριξης προϋποθέτει την επεξεργασία και την ανταλλαγή πληροφοριών σχετικά με τις κανονιστικές απαιτήσεις, τις προκλήσεις όσον αφορά την εφαρμογή και την καθοδήγηση για τη συμμόρφωση. Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 1 στοιχείο η) η) κατόπιν αιτήματος του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, παροχή συμβουλών σχετικά με την εφαρμογή συγκεκριμένων πτυχών κυβερνοασφάλειας της πολιτικής και του δικαίου της Ένωσης που σχετίζονται με την προστασία των δεδομένων και της ιδιωτικής ζωής. ENISA ΕΣΠΔ   Παροχή συμβουλών κατόπιν αιτήματος Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 2 Συμβολή στις εκτιμήσεις κινδύνου για την κυβερνοασφάλεια σε επίπεδο Ένωσης   Ο ENISA συμβάλλει στις συντονισμένες σε επίπεδο Ένωσης εκτιμήσεις κινδύνου για την κυβερνοασφάλεια, συμπεριλαμβανομένων εκείνων που διενεργούνται σύμφωνα με το άρθρο 22 της οδηγίας (ΕΕ) 2022/2555.   ENISA Κράτη μέλη  Ευρύ κοινό  Συμβολή σε συντονισμένες εκτιμήσεις κινδύνου, για την οποία απαιτείται επεξεργασία δεδομένων και ροή δεδομένων Επεξεργασία δεδομένων Ροή δεδομένων  Άρθρο 5 παράγραφος 3 Έκδοση κατευθυντήριων γραμμών από τον ENISA Ο ENISA εκδίδει κατευθυντήριες γραμμές σχετικά με τη διαλειτουργικότητα των συστημάτων δικτύου και πληροφοριών που χρησιμοποιούνται για την ανταλλαγή πληροφοριών, μεταξύ άλλων όσον αφορά τους διασυνοριακούς κυβερνοκόμβους, όπως αναφέρονται στο άρθρο 6 παράγραφος 3 του κανονισμού (ΕΕ) 2025/38. ENISA Κράτη μέλη Έκδοση κατευθυντήριων γραμμών από τον ENISA Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 5 παράγραφος 5 Υποστήριξη προς την Επιτροπή Κατόπιν αιτήματος της Επιτροπής, ο ENISA παρέχει εμπειρογνωσία, τεχνικές συμβουλές, πληροφορίες ή αναλύσεις, ή εκτελεί προπαρασκευαστικές εργασίες για συγκεκριμένα θέματα κυβερνοασφάλειας με σκοπό την τεκμηρίωση της χάραξης πολιτικής της Επιτροπής και την παρακολούθηση της εφαρμογής της νομοθεσίας της Ένωσης. Ευρωπαϊκή Επιτροπή ENISA Επεξεργασία και αποστολή πληροφοριών στην Επιτροπή Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 6 Ανάπτυξη ικανοτήτων Ο ENISA επικουρεί παρέχοντας γνώσεις και εμπειρογνωσία, βέλτιστες πρακτικές κ.λπ. ENISA Κράτη μέλη Οντότητες της ΕΕ Δημόσιοι και ιδιωτικοί συμφεροντούχοι Αρχές εποπτείας της αγοράς Μέλη της ΕΟΠΙΚ ECCC Παροχή γνώσεων και εμπειρογνωσίας  Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 7 Ευαισθητοποίηση και δεξαμενή ταλέντων Ο ENISA επικουρεί τα κράτη μέλη στις προσπάθειές τους να αυξήσουν την ευαισθητοποίηση σχετικά με τις πολιτικές και τη νομοθεσία της Ένωσης όσον αφορά την κυβερνοασφάλεια και να προωθήσουν την προβολή τους αναπτύσσοντας αξιοποιήσιμα εργαλεία και καθοδήγηση. Ο ENISA στηρίζει πρωτοβουλίες που αποσκοπούν στην αύξηση της ευρωπαϊκής δεξαμενής ταλέντων στον τομέα της κυβερνοασφάλειας, ιδίως μέσω του συντονισμού διαγωνισμών. ENISA Κράτη μέλη Ανάπτυξη αξιοποιήσιμων εργαλείων και καθοδήγησης Επεξεργασία δεδομένων Άρθρο 8 παράγραφος 1 Γνώση και αναλύσεις της αγοράς Ο ENISA διενεργεί και διαδίδει αναλύσεις των κύριων τάσεων της αγοράς στην αγορά κυβερνοασφάλειας τόσο από την πλευρά της ζήτησης όσο και από την πλευρά της προσφοράς, ειδικότερα σε σχέση με τους τομείς στους οποίους υπάρχουν ή σχεδιάζονται ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τις κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847, συμπεριλαμβανομένων των παραρτημάτων III και IV του εν λόγω κανονισμού. ENISA Τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 Κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847 Διενέργεια και διάδοση αναλύσεων Επεξεργασία δεδομένων  Ροή δεδομένων Άρθρο 8 παράγραφος 2 Γνώση και αναλύσεις της αγοράς Ο ENISA διενεργεί και διαδίδει αναλύσεις των τεχνολογικών τάσεων στον τομέα της κυβερνοασφάλειας, ειδικότερα σε σχέση με δραστηριότητες και οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας (ΕΕ) 2022/2555 και προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2024/2847. ENISA Ευρύ κοινό, συμφεροντούχοι κατά την έννοια της οδηγίας (ΕΕ) 2022/2555 και του κανονισμού (ΕΕ) 2024/2847 Διενέργεια και διάδοση αναλύσεων Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 8 παράγραφος 3 Γνώση της αγοράς και στήριξη των οικοσυστημάτων Ο ENISA αναπτύσσει γνώσεις και διαδίδει τεχνικές συμβουλές και αναλύσεις σχετικά με προηγμένα εργαλεία, πλαίσια, πρότυπα και βέλτιστες πρακτικές κυβερνοασφάλειας. ENISA Ευρύ κοινό Διάδοση τεχνικών συμβουλών και αναλύσεων σχετικά με προηγμένα εργαλεία, πλαίσια, πρότυπα και βέλτιστες πρακτικές κυβερνοασφάλειας. Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 9 Διεθνής συνεργασία   Ο ENISA συμβάλλει αναλύοντας τα αποτελέσματα διεθνών ασκήσεων και υποβάλλοντας σχετικές εκθέσεις στο διοικητικό συμβούλιο, διευκολύνοντας την ανταλλαγή βέλτιστων πρακτικών και παρέχοντας εμπειρογνωσία και συμβουλές στην Επιτροπή. Διεθνές κοινό  ENISA Διοικητικό συμβούλιο του ENISA Ευρωπαϊκή Επιτροπή Ανάλυση και υποβολή εκθέσεων· παροχή συμβουλών κ.λπ.   Επεξεργασία δεδομένων Ροή δεδομένων   Άρθρο 10 παράγραφοι 2 και 3 Επιχειρησιακή συνεργασία 2.    Ο ENISA είναι μέλος του δικτύου εθνικών CSIRT που έχει συσταθεί σύμφωνα με το άρθρο 15 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 και παρέχει γραμματειακή υποστήριξη στο δίκτυο CSIRT σύμφωνα με το άρθρο 15 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555. 3.    Ο ENISA παρέχει γραμματειακή υποστήριξη στο ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για τις κρίσεις στον κυβερνοχώρο (EU-CyCLONe) σύμφωνα με το άρθρο 16 παράγραφος 2 δεύτερο εδάφιο της οδηγίας (ΕΕ) 2022/2555. ENISA  CSIRT [άρθρο 15 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555]  EU-CyCLONe [άρθρο 16 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555]  Διευκόλυνση της ανταλλαγής πληροφοριών, ανάληψη καθηκόντων γραμματείας δικτύων Ροή δεδομένων Ψηφιακή λύση Ψηφιακή δημόσια υπηρεσία    Άρθρο 11 παράγραφος 1 στοιχείο β) Επίγνωση της κατάστασης    Άρθρο 12 Έγκαιρες προειδοποιήσεις  έκδοση έγκαιρων προειδοποιήσεων σύμφωνα με το άρθρο 12   Ευρωπαϊκή Επιτροπή ENISA Ευρωπόλ EU-CyCLONe Δίκτυο CSIRT  CERT-ΕΕ Οντότητες που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 Έκδοση έγκαιρων προειδοποιήσεων Επεξεργασία δεδομένων Ροή δεδομένων  Ψηφιακή δημόσια υπηρεσία Άρθρο 10 παράγραφος 4 στοιχείο β) Επιχειρησιακή συνεργασία β)    κατόπιν αιτήματος ενός ή περισσότερων κρατών μελών, παροχή συμβουλών και αξιολογήσεων σε σχέση με συγκεκριμένο δυνητικό ή υπό εξέλιξη περιστατικό ή κυβερνοαπειλή, μεταξύ άλλων μέσω της παροχής εμπειρογνωσίας και της διευκόλυνσης του τεχνικού χειρισμού τέτοιων περιστατικών, καθώς και μέσω της στήριξης της εθελοντικής ανταλλαγής σχετικών πληροφοριών και τεχνικών λύσεων μεταξύ των κρατών μελών· ENISA Κράτη μέλη Παροχή συμβουλών και αξιολογήσεων σε σχέση με συγκεκριμένο δυνητικό ή υπό εξέλιξη περιστατικό ή κυβερνοαπειλή· διευκόλυνση του τεχνικού χειρισμού τέτοιων περιστατικών· στήριξη της εθελοντικής ανταλλαγής σχετικών πληροφοριών και τεχνικών λύσεων μεταξύ των κρατών μελών Επεξεργασία δεδομένων Ροή δεδομένων Ψηφιακές δημόσιες υπηρεσίες Άρθρο 10 παράγραφος 4 στοιχείο γ) Επιχειρησιακή συνεργασία γ)    ανάλυση ευπαθειών, απειλών και περιστατικών· ENISA Κράτη μέλη Συλλογή δεδομένων από δημόσιες πηγές και ανταλλαγή δεδομένων με τα κράτη μέλη  Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 10 παράγραφος 4 στοιχείο δ) Επιχειρησιακή συνεργασία δ) κατόπιν αιτήματος ενός ή περισσοτέρων κρατών μελών, παροχή υποστήριξης σχετικά με τεχνικές εκ των υστέρων έρευνες που αφορούν σημαντικά περιστατικά κατά την έννοια της οδηγίας (ΕΕ) 2022/2555· ENISA Κράτη μέλη Ανάλυση και υποστήριξη ως απάντηση σε τεχνικές έρευνες σχετικά με περιστατικά Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 10 παράγραφος 4 στοιχείο ε) Επιχειρησιακή συνεργασία ε)    συμβολή στη στήριξη της συντονισμένης διαχείρισης περιστατικών και κρίσεων κυβερνοασφάλειας μεγάλης κλίμακας σε επιχειρησιακό επίπεδο, ιδίως με την παροχή συνδρομής στο EU-CyCLONe για την εκπόνηση εκθέσεων σε πολιτικό επίπεδο και με τη διευκόλυνση της έγκαιρης ανταλλαγής πληροφοριών μεταξύ του δικτύου CSIRT και του EU-CyCLONe· ENISA EU-CyCLONe Δίκτυο CSIRT  Ανάλυση δεδομένων για την υποστήριξη της κατάρτισης εκθέσεων· διευκόλυνση της έγκαιρης ανταλλαγής πληροφοριών μεταξύ δικτύων Επεξεργασία δεδομένων Ροή δεδομένων  Ψηφιακή δημόσια υπηρεσία  Άρθρο 10 παράγραφος 5  Επιχειρησιακή συνεργασία Κατόπιν αιτήματος κράτους μέλους ή οντότητας της Ένωσης σε συνεργασία με τη CERT-ΕΕ, ο ENISA υποστηρίζει τη συνεπή δημόσια επικοινωνία σχετικά με περιστατικά ή κυβερνοαπειλές. ENISA Κράτη μέλη Παραλαβή αιτήματος και επικοινωνία, εάν χρειάζεται Ροή δεδομένων Άρθρο 10 παράγραφος 6 Επιχειρησιακή συνεργασία Ο ENISA υποστηρίζει τη συνεργασία μεταξύ των κρατών μελών και, μέσω της CERT-ΕΕ, μεταξύ των οντοτήτων της Ένωσης όσον αφορά την ανάπτυξη εργαλείων ασφαλούς επικοινωνίας. Ο ENISA χρησιμοποιεί, στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe, εργαλεία ασφαλούς επικοινωνίας που παρέχονται από νομικές οντότητες που δεν είναι εγκατεστημένες σε τρίτες χώρες και δεν ελέγχονται από τρίτες χώρες ή από υπηκόους τρίτων χωρών.     ENISA Ευρωπαϊκή Επιτροπή Κράτη μέλη Οντότητες της ΕΕ Δίκτυο CSIRT EU-CyCLONe Υποστήριξη της ανάπτυξης εργαλείων ασφαλούς επικοινωνίας και χρήση των εν λόγω εργαλείων στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe.  Ψηφιακή λύση  Ψηφιακή δημόσια υπηρεσία  Άρθρο 11 παράγραφος 1 στοιχείο α) Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας  α)    ανάπτυξη, σε συνεργασία με το EU-CyCLONe, το δίκτυο CSIRT, την Επιτροπή, τη CERT-ΕΕ, την Ευρωπόλ και άλλες σχετικές οντότητες της Ένωσης, αποθετηρίων επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές, συμπεριλαμβανομένων τάσεων όσον αφορά τα περιστατικά, τις τακτικές, τις τεχνικές και τις διαδικασίες· Ευρωπαϊκή Επιτροπή ENISA EU-CyCLONe Δίκτυο CSIRT Ευρωπόλ Οντότητες της ΕΕ CERT-ΕΕ Ανάπτυξη αποθετηρίων  Ψηφιακή ροή Ψηφιακή λύση  Ψηφιακή δημόσια υπηρεσία Άρθρο 11 παράγραφος 1 στοιχεία γ) έως ζ)  Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας Παροχή έγκαιρων ad hoc αναλύσεων (ορισμένες κατόπιν αιτήματος)· παροχή αναλύσεων και τεχνικών συμβουλών· κατάρτιση τεχνικής έκθεσης για την κατάσταση σε συνεργασία με άλλες οντότητες· παρακολούθηση τάσεων και κοινοποίησή τους ENISA Κράτη μέλη Ευρωπαϊκή Επιτροπή Οντότητες της ΕΕ EU-CyCLONe Δίκτυο CSIRT Ανάλυση δεδομένων, ανταλλαγή πληροφοριών και κατάρτιση εκθέσεων (ορισμένες κατόπιν αιτήματος) Επεξεργασία δεδομένων Ροή δεδομένων  Άρθρο 11 παράγραφος 2 στοιχείο α) Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας Ο ENISA διενεργεί αναλύσεις κυβερνοαπειλών, περιστατικών, τάσεων, αναδυόμενων τεχνολογιών και των επιπτώσεών τους, συμπεριλαμβανομένης τακτικής ανάλυσης που αφορά τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 και τις σχετικές κατηγορίες προϊόντων που καλύπτονται από τον κανονισμό (ΕΕ) 2024/2847· ENISA Ευρύ κοινό Ανάλυση δεδομένων για την παροχή πληροφοριών που έχουν αντίκτυπο στην κυβερνοασφάλεια· τακτική υποβολή εκθέσεων Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 11 παράγραφος 2 στοιχείο β) Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας Ο ENISA εκδίδει, σε συνεργασία με την Επιτροπή και, κατά περίπτωση, με το δίκτυο CSIRT, συμβουλές, καθοδήγηση και βέλτιστες πρακτικές για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, ειδικότερα για την ασφάλεια των υποδομών που υποστηρίζουν τους τομείς που παρατίθενται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555·   Ευρωπαϊκή Επιτροπή CERT-ΕΕ Δίκτυο CSIRT Ευρύ κοινό Έκδοση συμβουλών, καθοδήγησης και βέλτιστων πρακτικών Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 11 παράγραφος 2 στοιχείο γ) Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας Ο ENISA διενεργεί μακροπρόθεσμες στρατηγικές αναλύσεις κυβερνοαπειλών και περιστατικών, προκειμένου να εντοπίζει αναδυόμενες τάσεις και να συμβάλλει στην πρόληψη περιστατικών. ENISA  Ευρύ κοινό Ανάλυση δεδομένων και εντοπισμός αναδυόμενων απειλών  Επεξεργασία δεδομένων   Άρθρο 11 παράγραφος 3 Κοινή επίγνωση της κατάστασης στον τομέα της κυβερνοασφάλειας Ο ENISA μπορεί να δημοσιοποιεί τις αναλύσεις, τις συμβουλές, την καθοδήγηση, τις βέλτιστες πρακτικές και τις εκθέσεις που αναφέρονται στην παράγραφο 2, σε συμφωνία με τις συνεισφέρουσες οντότητες που αναφέρονται στην παράγραφο 2. ENISA Ευρύ κοινό Δημοσιοποίηση πληροφοριών Ροή δεδομένων Ψηφιακή δημόσια υπηρεσία  Άρθρο 13 παράγραφος 2 Υποστήριξη για την αντιμετώπιση περιστατικών  2.    Κατόπιν αιτήματος της Επιτροπής ή του EU-CyCLONe, ο ENISA, με την υποστήριξη του δικτύου CSIRT και με την έγκριση του οικείου κράτους μέλους, επανεξετάζει και αξιολογεί σημαντικά περιστατικά κυβερνοασφάλειας ή περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας σύμφωνα με το άρθρο 21 του κανονισμού (ΕΕ) 2025/38. Ευρωπαϊκή Επιτροπή ENISA EU-CyCLONe Δίκτυο CSIRT Κράτη μέλη Επανεξέταση και αξιολόγηση σημαντικών περιστατικών κυβερνοασφάλειας Επεξεργασία δεδομένων  Άρθρο 14 παράγραφος 2 Ασκήσεις κυβερνοασφάλειας σε επίπεδο Ένωσης 2.    Ο ENISA διατηρεί αποθετήριο των διδαγμάτων που αντλούνται από τις ασκήσεις που αναφέρονται στην παράγραφο 1 και συνιστά στα κράτη μέλη και, κατά περίπτωση, στις οντότητες της Ένωσης τρόπους αποτελεσματικής και αποδοτικής εφαρμογής των αντλούμενων διδαγμάτων. ENISA Κράτη μέλη Οντότητες της ΕΕ Τήρηση αποθετηρίου Επεξεργασία δεδομένων  Ψηφιακή λύση Ψηφιακή δημόσια υπηρεσία  Άρθρο 14 Ασκήσεις κυβερνοασφάλειας σε επίπεδο Ένωσης   Κατόπιν αιτημάτων του EU-CyCLONe, της Επιτροπής, των κρατών μελών ή της CERT-ΕΕ, ο ENISA διοργανώνει ασκήσεις κυβερνοασφάλειας ή συμβάλλει στη διοργάνωσή τους. Ο ENISA υποστηρίζει την Επιτροπή στην κατάρτιση ετήσιου κυλιόμενου προγράμματος ασκήσεων κυβερνοασφάλειας σε επίπεδο Ένωσης. ENISA Επιτροπή Κράτη μέλη Οντότητες της ΕΕ  CERT-ΕΕ Λήψη αιτημάτων για τη διοργάνωση ή την υποστήριξη της διοργάνωσης ασκήσεων  Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 15 Παροχή εργαλείων και πλατφορμών    1.    Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, επιχειρησιακά τεχνικά εργαλεία, συμπεριλαμβανομένων πλατφορμών που σχετίζονται με την κυβερνοασφάλεια σε επίπεδο Ένωσης, ειδικότερα την ενιαία πλατφόρμα αναφοράς που θεσπίστηκε σύμφωνα με το άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2024/2847 [και το ενιαίο σημείο εισόδου που θεσπίστηκε σύμφωνα με το άρθρο 23α της οδηγίας (ΕΕ) 2022/2555], και εργαλεία δοκιμών για την υποστήριξη της εφαρμογής των διαδικασιών αξιολόγησης της συμμόρφωσης σύμφωνα με τη σχετική νομοθεσία της Ένωσης. 2.    Όταν είναι σκόπιμο για τους σκοπούς της παραγράφου 1, ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες με το δίκτυο CSIRT και, κατά περίπτωση, με τις αρχές εποπτείας της αγοράς.     ENISA Δίκτυο CSIRT Ευρύ κοινό Αρχές εποπτείας της αγοράς   Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, επιχειρησιακά τεχνικά εργαλεία, όπως πλατφόρμες Ψηφιακή λύση Ψηφιακή δημόσια υπηρεσία Ροή δεδομένων Άρθρο 16 παράγραφος 2 Υπηρεσίες διαχείρισης ευπαθειών  α)    διατήρησης της ευρωπαϊκής βάσης δεδομένων ευπαθειών που συστάθηκε σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555· β)    παροχή υπηρεσιών διαχείρισης ευπαθειών στους συμφεροντούχους, με βάση την ευρωπαϊκή βάση δεδομένων ευπαθειών και με χρήση των σχετικών πληροφοριών που έχει στη διάθεσή του ο ENISA· γ)    κατά περίπτωση, σύναψη διαρθρωμένης συνεργασίας με οργανισμούς που παρέχουν προγράμματα, μητρώα ή βάσεις δεδομένων παρεμφερή με την ευρωπαϊκή βάση δεδομένων ευπαθειών· δ)    ενεργός υποστήριξη των CSIRT στις οποίες έχει ανατεθεί συντονιστικός ρόλος σύμφωνα με το άρθρο 12 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 όσον αφορά τη διαχείριση της συντονισμένης γνωστοποίησης ευπαθειών που ενδέχεται να έχουν σημαντικό αντίκτυπο σε οντότητες σε περισσότερα από ένα κράτη μέλη· ε) ανάπτυξη και διατήρηση μεθοδολογιών και μηχανισμών διακυβέρνησης για τον προσδιορισμό και τη συντονισμένη γνωστοποίηση ευπαθειών, σε συνεργασία με τις εθνικές αρμόδιες αρχές, τις CSIRT, τη βιομηχανία και την ερευνητική κοινότητα ENISA Εθνικές CSIRT Δίκτυο CSIRT Εθνικές αρμόδιες αρχές Βιομηχανία Ερευνητική κοινότητα Ευρύ κοινό Διεθνείς φορείς που παρέχουν προγράμματα, μητρώα ή βάσεις δεδομένων Παροχή υπηρεσιών διαχείρισης ευπαθειών· σύναψη διαρθρωμένης συνεργασίας, κατά περίπτωση· συνεργασία με συμφεροντούχους  Ψηφιακή λύση  Ψηφιακή δημόσια υπηρεσία  Ροή δεδομένων   Άρθρο 17 Πιστοποίηση της κυβερνοασφάλειας   Άρθρο 18 Τυποποίηση, τεχνικές προδιαγραφές και καθοδήγηση Άρθρο 17 παράγραφος 1 α) επεξεργασία υποψήφιων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (στο εξής: υποψήφια σχήματα) για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων, και σχετικών τεχνικών προδιαγραφών σύμφωνα με το άρθρο 74· β) συντήρηση εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 75, μεταξύ άλλων ενόψει πιθανής επανεξέτασης των εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 76· γ) προώθηση της υιοθέτησης εγκεκριμένων σχημάτων και διατήρηση ειδικού ιστότοπου που δημοσιοποιεί τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και τις δηλώσεις συμμόρφωσης ΕΕ σύμφωνα με το άρθρο 79, και παρέχει σχετικές πληροφορίες· Άρθρο 17 παράγραφος 2 ε) κατάρτιση πρότυπων διατάξεων στις οποίες θα παραπέμπουν τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας (υποψήφια σχήματα) για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων σύμφωνα με το άρθρο 81 παράγραφος 5.   Άρθρο 18 1. Ο ENISA καταρτίζει τεχνικές προδιαγραφές και καθοδήγηση για την υποστήριξη της εφαρμογής της νομοθεσίας της Ένωσης στον τομέα της κυβερνοασφάλειας. 2. Ο ENISA παρακολουθεί, συμμετέχει και αναλαμβάνει ηγετικό ρόλο σε δραστηριότητες ανάπτυξης τυποποίησης σε επίπεδο Ένωσης και, σύμφωνα με το άρθρο 9, σε διεθνές επίπεδο. 3. Ο ENISA υποστηρίζει την ανάπτυξη και την αξιολόγηση κρυπτογραφικών αλγόριθμων. Όταν ένας αξιολογούμενος κρυπτογραφικός αλγόριθμος αξιολογείται θετικά, ο ENISA συνεργάζεται, σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 1025/2012, με τους ευρωπαϊκούς οργανισμούς τυποποίησης για την υποστήριξη της τυποποίησής του. 4. Ο ENISA παρέχει τεχνική εμπειρογνωσία στην Επιτροπή και στην ΕΟΠΙΚ σχετικά με κατάλληλα πρότυπα ή τεχνικές προδιαγραφές προς υποστήριξη των πολιτικών της Ένωσης που σχετίζονται με την κυβερνοασφάλεια, ειδικότερα του κανονισμού (ΕΕ) 2024/2847, μεταξύ άλλων για την ενωσιακή νομοθεσία εναρμόνισης στον τομέα της κυβερνοασφάλειας και τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 1 στοιχείο δ).  5. Ο ENISA επικουρεί την Επιτροπή στην αξιολόγηση των σχεδίων εναρμονισμένων προτύπων για την υποστήριξη της εφαρμογής της ενωσιακής νομοθεσίας εναρμόνισης στον τομέα της κυβερνοασφάλειας. ENISA Ευρύ κοινό Ανάλυση δεδομένων και ανταλλαγή ροών δεδομένων με την Επιτροπή και άλλους συμφεροντούχους· επεξεργασία υποψήφιων σχημάτων πιστοποίησης· διατήρηση του ιστότοπου του ENISA Επεξεργασία δεδομένων Ροές δεδομένων Ψηφιακή δημόσια υπηρεσία Άρθρο 19 — Ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας               Ο ENISA αναπτύσσει και δημοσιοποιεί ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας (ΕΠΔΚ). Πριν από τη δημοσιοποίηση ή την επικαιροποίηση του ΕΠΔΚ σύμφωνα με την παράγραφο 4, ο ENISA ζητεί τη γνώμη της Επιτροπής. Η χρήση του ΕΠΔΚ είναι προαιρετική για τις δημόσιες και τις ιδιωτικές οντότητες. Ο ENISA μπορεί να ζητεί τη γνώμη των συμφεροντούχων κατά την ανάπτυξη και την υιοθέτηση του ΕΠΔΚ. ENISA Επιτροπή Ευρύ κοινό Κράτη μέλη  Οντότητες της ΕΕ Δημόσιοι και ιδιωτικοί συμφεροντούχοι   Συντήρηση του ΕΠΔΚ· διαβούλευση με τους συμφεροντούχους· υιοθέτηση του ΕΠΔΚ   Επεξεργασία δεδομένων  Ροή δεδομένων Ψηφιακή λύση   Άρθρα 20-23 — Σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας Ο ENISA αναπτύσσει, εγκρίνει και συντηρεί σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας. Η χρήση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας είναι προαιρετική για τους εθνικούς δημόσιους φορείς και τις ιδιωτικές οντότητες, εκτός εάν ορίζεται διαφορετικά από το εθνικό δίκαιο. Πριν από τη δρομολόγηση νέου σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, ο ENISA ζητεί τη γνώμη της Επιτροπής. Ο ENISA εγκρίνει ένα τέτοιο σχήμα μόνο κατόπιν θετικής γνώμης της Επιτροπής. Κατά την επεξεργασία σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, ο ENISA μπορεί να ζητεί τη γνώμη σχετικών συμφεροντούχων. Ο ENISA διασφαλίζει τη στενή συνεργασία με τα κράτη μέλη καθ’ όλη τη διάρκεια της επεξεργασίας των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων αξιολογούν αν φυσικά πρόσωπα πληρούν τις απαιτήσεις σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και, όταν πληρούνται οι εν λόγω απαιτήσεις, εκδίδουν ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας. Ο ENISA παρέχει καθοδήγηση και υποχρεωτική κατάρτιση στους αξιολογητές σχετικά με τις απαιτήσεις και τις μεθόδους αξιολόγησης που περιλαμβάνονται στο σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, όπως αναφέρεται στο άρθρο 20 παράγραφος 3 στοιχείο β). Οι οντότητες που επιθυμούν να αποκτήσουν την ιδιότητα του αδειοδοτημένου παρόχου βεβαιώσεων ή να ανανεώσουν την άδειά τους (στο εξής: αιτούντες) υποβάλλουν αίτηση στον ENISA. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων διασφαλίζουν ότι, κατόπιν αιτήματος φυσικού προσώπου, οι ηλεκτρονικές βεβαιώσεις των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας εκδίδονται ως ηλεκτρονικές βεβαιώσεις χαρακτηριστικών σε μορφότυπο που μπορεί να αποθηκευτεί στα ευρωπαϊκά πορτοφόλια ψηφιακής ταυτότητας που καθορίζονται στον κανονισμό (ΕΕ) αριθ. 910/2014. Οι αιτούντες και οι αδειοδοτημένοι πάροχοι βεβαιώσεων επιτρέπουν στον ENISA να διενεργεί αξιολογήσεις στο πλαίσιο της διαδικασίας υποβολής της αρχικής αίτησης, της διατήρησης της αδειοδότησης ή της ανανέωσής της και ανταλλάσσουν όλες τις σχετικές πληροφορίες ώστε να διασφαλίζεται ότι πληρούνται ή εξακολουθούν να πληρούνται οι απαιτήσεις που ορίζονται στις παραγράφους 3 και 4 και οι υποχρεώσεις που ορίζονται στην παράγραφο 5, σύμφωνα με το άρθρο 22 παράγραφος 2. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων ενημερώνουν αμέσως τον ENISA εάν οποιαδήποτε από τις απαιτήσεις που απαριθμούνται στην παράγραφο 3 δεν πληρούται πλέον ή εάν προκύψει οποιαδήποτε αμφιβολία για το αν πληρούνται οι εν λόγω απαιτήσεις, μεταξύ άλλων όσον αφορά την ανεξαρτησία των αξιολογητών. Οι αιτούντες καταβάλλουν τέλος στον ENISA για την εξέταση της αίτησής τους. Οι αδειοδοτημένοι πάροχοι βεβαιώσεων καταβάλλουν τέλος στον ENISA για τη διατήρηση της άδειάς τους.  Ο ENISA αξιολογεί κατά πόσον οι απαιτήσεις που ορίζονται στο άρθρο 21 παράγραφοι 3 και 4 και οι υποχρεώσεις που ορίζονται στο άρθρο 21 παράγραφος 5 πληρούνται ή εξακολουθούν να πληρούνται από τους αιτούντες και τους αδειοδοτημένους παρόχους βεβαιώσεων. Μετά την εξέταση αίτησης με βάση τις απαιτήσεις που καθορίζονται στο άρθρο 21 παράγραφοι 3 και 4, ο ENISA μπορεί να εκδώσει απόφαση. Ο ENISA μπορεί να τροποποιεί, να αναστέλλει ή να ανακαλεί τις εν λόγω αποφάσεις. Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει ενημέρωση στο κοινό σχετικά με: α)το ΕΠΔΚ, συμπεριλαμβανομένων του πλαισίου και του χρονοδιαγράμματος επικαιροποίησής του· β)τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, την πρόοδό τους και τα χρονοδιαγράμματα για την ανάπτυξή τους· γ)τα τέλη που σχετίζονται με κάθε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας που εγκρίνεται σύμφωνα με το άρθρο 47 του παρόντος κανονισμού· δ)το ενδεικτικό κόστος μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το άρθρο 20 παράγραφος 4· ε)τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων. ENISA Επιτροπή  Ευρύ κοινό Κράτη μέλη  Οντότητες της ΕΕ Δημόσιοι και ιδιωτικοί συμφεροντούχοι (που συμβάλλουν στην ανάπτυξη σχήματος πιστοποίησης· αιτούντες και Ευρωπαίοι πάροχοι ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, συμπεριλαμβανομένων των αξιολογητών)    Ανάπτυξη και συντήρηση σχημάτων· διαβουλεύσεις με τους συμφεροντούχους· εξέταση των αιτήσεων· έκδοση αποφάσεων· διατήρηση ιστότοπου  Επεξεργασία δεδομένων  Ροή δεδομένων Ψηφιακή λύση Ψηφιακή δημόσια υπηρεσία Άρθρο 25  Σύνθεση του διοικητικού συμβουλίου Διορισμός των μελών του διοικητικού συμβουλίου του ENISA. ENISA Ευρωπαϊκή Επιτροπή Κράτη μέλη Διορισμός μελών Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 28 παράγραφος 1  Καθήκοντα του διοικητικού συμβουλίου   Άρθρο 30 Εκτελεστικό συμβούλιο b.εγκρίνει το σχέδιο ενιαίου εγγράφου προγραμματισμού του ENISA που αναφέρεται στο άρθρο 44, πριν από την υποβολή του στην Επιτροπή προκειμένου αυτή να γνωμοδοτήσει σχετικά, στ) αξιολογεί και εγκρίνει την ενοποιημένη ετήσια έκθεση δραστηριοτήτων του ENISA, συμπεριλαμβανομένων των λογαριασμών και περιγραφής του τρόπου με τον οποίο ο ENISA έχει επιτύχει τους δείκτες επιδόσεών του, διαβιβάζει την ετήσια έκθεση και την αξιολόγησή του έως την 1η Ιουλίου του επόμενου έτους στο Ευρωπαϊκό Κοινοβούλιο, στο Συμβούλιο, στην Επιτροπή και στο Ευρωπαϊκό Ελεγκτικό Συνέδριο· δημοσιοποιεί την ετήσια έκθεση· θ) μεριμνά ώστε να δοθεί η δέουσα συνέχεια στα πορίσματα και στις συστάσεις που προκύπτουν από εσωτερικές ή εξωτερικές εκθέσεις ελέγχου και αξιολογήσεις, καθώς και από τις έρευνες της Ευρωπαϊκής Υπηρεσίας Καταπολέμησης της Απάτης (OLAF) και της Ευρωπαϊκής Εισαγγελίας (EPPO)· ENISA Ευρωπαϊκή Επιτροπή  Ευρωπαϊκό Κοινοβούλιο Συμβούλιο της ΕΕ Ελεγκτικό Συνέδριο Κράτη μέλη  Ευρύ κοινό Υποβολή του ενιαίου εγγράφου προγραμματισμού (ΕΕΠ) στην Επιτροπή για γνωμοδότηση· αξιολόγηση και έγκριση της ενοποιημένης ετήσιας έκθεσης δραστηριοτήτων του ENISA, συμπεριλαμβανομένων των λογαριασμών και περιγραφής του τρόπου με τον οποίο ο ENISA έχει επιτύχει τους δείκτες επιδόσεών του, υποβολή της ετήσιας έκθεσης και της αξιολόγησης·  παροχή συνέχειας στα πορίσματα  Ροή δεδομένων Επεξεργασία δεδομένων   Άρθρο 31 παράγραφος 8 Διορισμός, παύση και παράταση της θητείας   Το διοικητικό συμβούλιο γνωστοποιεί στο Ευρωπαϊκό Κοινοβούλιο την πρόθεσή του να παρατείνει τη θητεία του εκτελεστικού διευθυντή σύμφωνα με την παράγραφο 6. Μέσα σε διάστημα τριών μηνών πριν από την παράταση της θητείας του, ο εκτελεστικός διευθυντής προβαίνει, αν λάβει σχετική πρόσκληση, σε δήλωση ενώπιον της σχετικής επιτροπής του Ευρωπαϊκού Κοινοβουλίου και απαντά σε ερωτήσεις των βουλευτών. ENISA  Διοικητικό συμβούλιο του ENISA  Ευρωπαϊκό Κοινοβούλιο  Το διοικητικό συμβούλιο ενημερώνει το Ευρωπαϊκό Κοινοβούλιο Ροή δεδομένων Άρθρο 32 παράγραφος 3 Καθήκοντα και αρμοδιότητες του εκτελεστικού διευθυντή     Άρθρο 32 παράγραφος 5 3. Ο εκτελεστικός διευθυντής υποβάλλει έκθεση στο Ευρωπαϊκό Κοινοβούλιο σχετικά με την εκτέλεση των καθηκόντων του κατόπιν σχετικού αιτήματος. Το Συμβούλιο μπορεί να καλέσει τον εκτελεστικό διευθυντή να υποβάλει έκθεση σχετικά με την εκτέλεση των καθηκόντων του. Κατάρτιση σχεδίων προϋπολογισμού, στρατηγικών, στρατηγικών εγγράφων. Εκτελεστικός διευθυντής του ENISA Ευρωπαϊκό Κοινοβούλιο  Υποβολή εκθέσεων σχετικά με τις επιδόσεις  Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 35 παράγραφοι 5 και 6 Συμβουλευτική ομάδα του ENISA  5. Η συμβουλευτική ομάδα του ENISA παρέχει συμβουλές στον ENISA για την εκτέλεση των καθηκόντων του ENISA, με εξαίρεση την εφαρμογή των διατάξεων των τίτλων III, IV και V του παρόντος κανονισμού. Παρέχει συμβουλές ειδικότερα στον εκτελεστικό διευθυντή κατά την κατάρτιση πρότασης για το ετήσιο πρόγραμμα εργασίας του ENISA και για τη διασφάλιση της επικοινωνίας με τους σχετικούς συμφεροντούχους επί των θεμάτων που σχετίζονται με το ετήσιο πρόγραμμα εργασίας. 6.    Η συμβουλευτική ομάδα του ENISA ενημερώνει τακτικά το διοικητικό συμβούλιο για τις δραστηριότητές της. ENISA Μέλη της συμβουλευτικής ομάδας του ENISA  Διοικητικό συμβούλιο του ENISA  Εκτελεστικός διευθυντής του ENISA Παροχή συμβουλών και ενημέρωση σχετικά με τις δραστηριότητές του  Επεξεργασία δεδομένων Ροή δεδομένων Άρθρα 36 έως 43  Συμβούλιο προσφυγών  Ο ENISA συγκροτεί συμβούλιο προσφυγών με απόφαση του διοικητικού συμβουλίου. Το συμβούλιο προσφυγών απαρτίζεται από έναν πρόεδρο και τρία άλλα μέλη. Για κάθε μέλος του συμβουλίου προσφυγών ορίζεται αναπληρωματικό μέλος. Το αναπληρωματικό μέλος εκπροσωπεί το τακτικό μέλος σε περίπτωση απουσίας του. Το διοικητικό συμβούλιο διορίζει τον πρόεδρο, τα άλλα μέλη και τους αναπληρωτές τους, από κατάλογο κατάλληλων υποψηφίων που καταρτίζει η Επιτροπή. Ο κατάλογος κατάλληλων υποψηφίων ισχύει για τέσσερα έτη. Η ισχύς του εν λόγω καταλόγου μπορεί να παραταθεί από το διοικητικό συμβούλιο για συμπληρωματικές περιόδους τεσσάρων ετών, μετά από πρόταση της Επιτροπής. Το συμβούλιο προσφυγών δύναται να ζητεί από το διοικητικό συμβούλιο να διορίσει δύο επιπρόσθετα μέλη και τους αναπληρωτές τους από τον αναφερόμενο στην παράγραφο 3 κατάλογο, όταν κρίνει ότι το απαιτεί η φύση της προσφυγής. Το συμβούλιο προσφυγών εγκρίνει και δημοσιοποιεί τον εσωτερικό κανονισμό του. Ένα μέλος του συμβουλίου προσφυγών ενημερώνει σχετικά το συμβούλιο προσφυγών εάν κρίνει ότι δεν θα πρέπει να συμμετάσχει στην εκδίκαση προσφυγής για έναν από τους λόγους που αναφέρονται στην παράγραφο 1 ή για οποιονδήποτε άλλο λόγο. Το συμβούλιο προσφυγών αποφασίζει σχετικά με τα μέτρα που πρέπει να ληφθούν στις περιπτώσεις που προσδιορίζονται στις παραγράφους 2 και 3, χωρίς τη συμμετοχή του οικείου μέλους. Για τη λήψη της εν λόγω απόφασης, το οικείο μέλος αντικαθίσταται στο συμβούλιο προσφυγών από το αναπληρωματικό μέλος του. Κάθε προσφυγή που ασκείται σύμφωνα με την παράγραφο 1 υπόκειται σε προδικαστική αναθεώρηση σύμφωνα με το άρθρο 41 προτού υποβληθεί προς εξέταση στο συμβούλιο προσφυγών. Αιτούντες κατά την έννοια του άρθρου 21 παράγραφος 3 μπορούν να ασκήσουν προσφυγή κατά: απόφασης του ENISA που απευθύνεται σε αυτούς, σύμφωνα με το άρθρο 22 παράγραφος 3, παράλειψης του ENISA να ενεργήσει σε σχέση με αίτηση που αυτοί έχουν υποβάλει στον ENISA εντός των εφαρμοστέων προθεσμιών που καθορίζονται στο άρθρο 22 παράγραφος 4. Στην περίπτωση που αναφέρεται στην παράγραφο 1 στοιχείο α), η προσφυγή, μαζί με το υπόμνημα στο οποίο εκτίθενται οι λόγοι της, υποβάλλεται εγγράφως σύμφωνα με τον εσωτερικό κανονισμό που αναφέρεται στο άρθρο 36 παράγραφος 5 εντός δύο μηνών από την κοινοποίηση της απόφασης στον οικείο αιτούντα ή, ελλείψει κοινοποίησης, από την ημέρα κατά την οποία ο αιτών έλαβε γνώση της απόφασης. Στην περίπτωση που αναφέρεται στην παράγραφο 1 στοιχείο β), η προσφυγή υποβάλλεται εγγράφως στον ENISA σύμφωνα με τον εσωτερικό κανονισμό που αναφέρεται στο άρθρο 36 παράγραφος 5, εντός δύο μηνών από την ημερομηνία λήξης της προθεσμίας που καθορίζεται στο άρθρο 22 παράγραφος 4. Εάν ο ENISA κρίνει την προσφυγή παραδεκτή και βάσιμη, διορθώνει την απόφαση ή την παράλειψη που αναφέρεται στο άρθρο 40 παράγραφος 1.  Αν ο ENISA δεν διορθώσει την απόφαση εντός ενός μήνα από την παραλαβή της προσφυγής, ο ENISA αποφασίζει αμέσως αν θα αναστείλει την εφαρμογή της απόφασής του και παραπέμπει την προσφυγή στο συμβούλιο προσφυγών. Το συμβούλιο προσφυγών αποφασίζει εντός 3 μηνών από την υποβολή της προσφυγής αν θα εγκρίνει ή θα απορρίψει την εν λόγω προσφυγή. Κατά την εξέταση μιας προσφυγής, το συμβούλιο προσφυγών ενεργεί εντός των προθεσμιών που καθορίζονται στον εσωτερικό κανονισμό του. Καλεί τους διαδίκους, όποτε απαιτείται, να υποβάλουν, εντός καθορισμένης προθεσμίας, παρατηρήσεις επί των κοινοποιήσεων που τους έχει απευθύνει ή επί των ανακοινώσεων που προέρχονται από τους λοιπούς διαδίκους. Οι διάδικοι έχουν δικαίωμα να διατυπώσουν τις απόψεις τους προφορικά. Το συμβούλιο προσφυγών, σε περίπτωση που κρίνει βάσιμους τους λόγους άσκησης της προσφυγής, παραπέμπει την υπόθεση στον ENISA. Ο ENISA λαμβάνει την τελική απόφασή του σύμφωνα με τα πορίσματα του συμβουλίου προσφυγών και αιτιολογεί την εν λόγω απόφαση. Ο ENISA ενημερώνει αναλόγως τους διαδίκους της διαδικασίας προσφυγής. Προσφυγή για την ακύρωση αποφάσεων του ENISA που λαμβάνονται σύμφωνα με το άρθρο 22 παράγραφος 3 ή προσφυγή για παράλειψη δράσης εντός των εφαρμοστέων προθεσμιών σύμφωνα με το άρθρο 22 παράγραφος 4 μπορεί να ασκηθεί ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης, αφού εξαντληθεί η διαδικασία προσφυγής εντός του ENISA που ορίζεται στα άρθρα 39 έως 42 ή, σε περίπτωση παράλειψης δράσης, εντός της εφαρμοστέας προθεσμίας σύμφωνα με το άρθρο 41 παράγραφος 2. Ο ENISA λαμβάνει όλα τα αναγκαία μέτρα για να συμμορφωθεί με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης. ENISA Διοικητικό συμβούλιο του ENISA  Επιτροπή Συμβούλιο προσφυγών κατά την έννοια του άρθρου 36 της πρότασης ΚΚΑ2 Αιτούντες (νομικές οντότητες που επιθυμούν να αποκτήσουν την ιδιότητα αδειοδοτημένου παρόχου βεβαιώσεων, να διατηρήσουν ή να ανανεώσουν την άδειά τους) Έκδοση αποφάσεων επί προσφυγών  Εξέταση των προσφυγών Κατάρτιση και δημοσίευση του εσωτερικού κανονισμού Ροές πληροφοριών Επεξεργασία δεδομένων  Ροή δεδομένων  Ψηφιακή δημόσια υπηρεσία  Άρθρο 44 Ενιαίο έγγραφο προγραμματισμού 2. Κάθε χρόνο, ο εκτελεστικός διευθυντής συντάσσει σχέδιο ενιαίου εγγράφου προγραμματισμού, όπως αναφέρεται στην παράγραφο 1, με τον αντίστοιχο προγραμματισμό των οικονομικών και ανθρώπινων πόρων, σύμφωνα με το άρθρο 32 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2019/715 της Επιτροπής και λαμβάνοντας υπόψη τις κατευθυντήριες γραμμές της Επιτροπής. 3. Έως τις 30 Νοεμβρίου κάθε έτους το διοικητικό συμβούλιο εγκρίνει το ενιαίο έγγραφο προγραμματισμού που αναφέρεται στην παράγραφο 1, λαμβάνοντας υπόψη τη γνώμη της Επιτροπής που αναφέρεται στο άρθρο 32 παράγραφος 7 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2019/715. Εάν το διοικητικό συμβούλιο αποφασίσει να μη λάβει υπόψη κανένα στοιχείο της γνώμης της Επιτροπής, παρέχει εμπεριστατωμένη αιτιολόγηση για την απόφαση αυτή. Το διοικητικό συμβούλιο προωθεί το ενιαίο έγγραφο προγραμματισμού στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή έως τις 31 Ιανουαρίου του επόμενου έτους, καθώς και κάθε μεταγενέστερη επικαιροποιημένη έκδοση του εγγράφου αυτού.   Εκτελεστικός διευθυντής του ENISA Διοικητικό συμβούλιο του ENISA Ευρωπαϊκή Επιτροπή Ευρωπαϊκό Κοινοβούλιο Συμβούλιο Σύνταξη, έγκριση και διαβίβαση ενιαίου εγγράφου προγραμματισμού κάθε χρόνο Ροή δεδομένων Άρθρο 45 Κατάρτιση του προϋπολογισμού του ENISA 4.    Η Επιτροπή διαβιβάζει το σχέδιο προβλέψεων στην αρμόδια για τον προϋπολογισμό αρχή μαζί με το σχέδιο του γενικού προϋπολογισμού της Ένωσης. Το σχέδιο προβλέψεων τίθεται επίσης στη διάθεση του ENISA. ENISA Ευρωπαϊκή Επιτροπή Ανταλλαγή πληροφοριών Ροή δεδομένων Άρθρο 47 Τέλη  Σε σχέση με τις δραστηριότητες σχημάτων ευρωπαϊκής ατομικής βεβαίωσης που αναφέρονται στο άρθρο 22 παράγραφος 1, επιβάλλονται τα ακόλουθα τέλη στους αιτούντες κατά την έννοια του άρθρου 21 παράγραφος 3 ή στους αδειοδοτημένους παρόχους βεβαιώσεων, ώστε να συνεισφέρουν στην κάλυψη του πλήρους κόστους των δραστηριοτήτων που εκτελεί ο ENISA: a.για την έκδοση αδειών μετά από εξέταση των απαιτήσεων που καθορίζονται στο άρθρο 21 παράγραφοι 3 και 4, συμπεριλαμβανομένης της διενέργειας αξιολογήσεων· b.για ετήσια διατήρηση της άδειας· c.για ανανέωση αδειών που χορηγούνται σε παρόχους ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας, συμπεριλαμβανομένης της διενέργειας αξιολογήσεων. Σε σχέση με την πιστοποίηση, επιβάλλονται τα ακόλουθα τέλη στους οργανισμούς αξιολόγησης της συμμόρφωσης για τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας βάσει των οποίων εκδίδονται ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, και ειδικότερα: ετήσιο τέλος για τη συμμετοχή σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας· τέλος για την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας στο πλαίσιο ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Τα τέλη που αναφέρονται σύμφωνα με το στοιχείο β) επιβάλλονται όταν ο οργανισμός αξιολόγησης της συμμόρφωσης υποβάλλει ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας στον ENISA προς δημοσίευση στον ιστότοπό του σύμφωνα με το άρθρο 79. Η Επιτροπή εκδίδει εκτελεστικές πράξεις για τον καθορισμό λεπτομερών κανόνων σχετικά με τα τέλη που εισπράττει ο ENISA.  Ο ENISA περιλαμβάνει έκθεση σχετικά με τα εισπραττόμενα τέλη και τον αντίκτυπό τους στον προϋπολογισμό του Οργανισμού στο πλαίσιο της διαδικασίας για την απόδοση λογαριασμών. Επιτροπή ENISA Πάροχοι βεβαιώσεων Οργανισμοί αξιολόγησης της συμμόρφωσης Επεξεργασία πληροφοριών· καταβολή τελών· υποβολή εκθέσεων σχετικά με τα τέλη Επεξεργασία δεδομένων  Ροή δεδομένων   Άρθρο 48 Άρθρο 49 Δημοσιονομικές επιπτώσεις   Άρθρο 48 3.    Κάθε έτος, ο εκτελεστικός διευθυντής διαβιβάζει στην αρμόδια για τον προϋπολογισμό αρχή όλες τις πληροφορίες σχετικά με τα πορίσματα των διαδικασιών αξιολόγησης. Άρθρο 49 1.    Ο υπόλογος του ENISA διαβιβάζει τους προσωρινούς λογαριασμούς για το οικονομικό έτος (έτος Ν) στον υπόλογο της Επιτροπής και στο Ελεγκτικό Συνέδριο έως την 1η Μαρτίου του επόμενου οικονομικού έτους (έτος Ν + 1). 2.    Ο υπόλογος του ENISA διαβιβάζει επίσης τις λογιστικές πληροφορίες που απαιτούνται για την ενοποίηση στον υπόλογο της Επιτροπής, με τον τρόπο και τη μορφή που ορίζει ο τελευταίος, μέχρι την 1η Μαρτίου του έτους N + 1. 3.    Ο ENISA διαβιβάζει την έκθεση σχετικά με τη δημοσιονομική και οικονομική διαχείριση για το έτος Ν στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Επιτροπή και το Ελεγκτικό Συνέδριο μέχρι την 31η Μαρτίου του έτους N + 1. 4.    Μετά την παραλαβή των παρατηρήσεων του Ελεγκτικού Συνεδρίου σχετικά με τους προσωρινούς λογαριασμούς του ENISA για το έτος Ν, ο υπόλογος του Οργανισμού καταρτίζει τους οριστικούς λογαριασμούς του ENISA. 5. Το διοικητικό συμβούλιο διατυπώνει γνώμη σχετικά με τους οριστικούς λογαριασμούς του ENISA για το έτος Ν. Ο υπόλογος του Οργανισμού καταρτίζει τους οριστικούς λογαριασμούς του ENISA με δική του ευθύνη. Ο εκτελεστικός διευθυντής τούς υποβάλλει προς γνωμοδότηση στο διοικητικό συμβούλιο.  ENISA Διοικητικό συμβούλιο του ENISA Ευρωπαϊκή Επιτροπή Συμβούλιο Ευρωπαϊκό Κοινοβούλιο Επεξεργασία και ανταλλαγή πληροφοριών σχετικά με τον προϋπολογισμό του ENISA. Επεξεργασία δεδομένων  Ροή δεδομένων   Άρθρο 52 Δήλωση συμφερόντων   Τα μέρη υποβάλλουν δήλωση δεσμεύσεων και δήλωση στην οποία αναφέρουν την απουσία ή την ύπαρξη οποιουδήποτε άμεσου ή έμμεσου συμφέροντος που θα μπορούσε να θεωρηθεί ότι θίγει την ανεξαρτησία τους. Διαχείριση του ENISA (εκτελεστικός διευθυντής, αναπληρωτής εκτελεστικός διευθυντής)·  Διοικητικό Συμβούλιο,  Αποσπασμένοι εθνικοί εμπειρογνώμονες Επεξεργασία και ανταλλαγή δεδομένων σχετικά με τη δήλωση συμφερόντων  Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 58 Αξιωματικοί-σύνδεσμοι  1. Κάθε κράτος μέλος ορίζει τουλάχιστον δύο αξιωματικούς-συνδέσμους [από την οικεία εθνική αρχή για την κυβερνοασφάλεια] ως αποσπασμένους εθνικούς εμπειρογνώμονες στον ENISA και για να εργάζονται στην έδρα του ή στο τοπικό γραφείο του, σύμφωνα με το άρθρο 59 παράγραφος 2. Η Επιτροπή μπορεί επίσης να ορίσει αξιωματικό-σύνδεσμο. 2. Οι αξιωματικοί-σύνδεσμοι που έχουν οριστεί από τα κράτη μέλη τους έχουν το δικαίωμα να ζητούν και να λαμβάνουν κάθε σχετική πληροφορία από τα κράτη μέλη τους, όπως προβλέπεται στον παρόντα κανονισμό, σεβόμενοι ταυτόχρονα πλήρως το εθνικό δίκαιο ή τις πρακτικές των κρατών μελών τους, ιδίως όσον αφορά την προστασία των δεδομένων και τους κανόνες για την εμπιστευτικότητα. ENISA Κράτη μέλη  Διορισμός αξιωματικών-συνδέσμων και ανταλλαγή πληροφοριών  Επεξεργασία δεδομένων  Ροή δεδομένων  Άρθρο 67 Χειρισμός διαβαθμισμένων πληροφοριών   Κατόπιν διαβούλευσης με την Επιτροπή, ο ENISA θεσπίζει κανόνες ασφάλειας εφαρμόζοντας τις αρχές ασφάλειας που περιέχονται στους κανόνες ασφάλειας της Επιτροπής σχετικά με την προστασία των ευαίσθητων μη διαβαθμισμένων πληροφοριών και των ΔΠΕΕ που καθορίζονται στις αποφάσεις (ΕΕ, Ευρατόμ) 2015/443 και (ΕΕ, Ευρατόμ) 2015/444. Οι κανόνες ασφάλειας του ENISA περιέχουν διατάξεις για την ανταλλαγή, την επεξεργασία και την αποθήκευση τέτοιων πληροφοριών. ENISA Διοικητικό Συμβούλιο  Επιτροπή  Χειρισμός διαβαθμισμένων πληροφοριών Επεξεργασία δεδομένων Ροή δεδομένων Άρθρα 68, 69, 70 Συνεργασία με οντότητες της Ένωσης και εθνικές αρχές Συνεργασία με συμφεροντούχους Συνεργασία με τρίτες χώρες  Ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες για θέματα που σχετίζονται με την κυβερνοασφάλεια με τις σχετικές οντότητες της Ένωσης, τις αρχές εποπτείας της αγοράς και τις εποπτικές αρχές· σχετικούς συμφεροντούχους· αρμόδιες αρχές τρίτων χωρών ή διεθνείς οργανισμούς    ENISA Ευρωπόλ  ECCC Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων Ευρύ κοινό Συμβούλιο Ανταλλαγή πληροφοριών Ροή δεδομένων Άρθρο 72 Ενημέρωση του κοινού και διαβούλευση σχετικά με τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας 2.    Η Επιτροπή διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει πληροφορίες σχετικά με τις ακόλουθες πτυχές: α)    τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας που ζητείται να αναπτυχθούν· β)    στρατηγικές προτεραιότητες για την εναρμόνιση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή των απαιτήσεων ασφάλειας της νομοθεσίας της Ένωσης, συμπεριλαμβανομένων πιθανών τομέων για τους οποίους ενδέχεται να ζητηθεί ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας. 3.    Η Επιτροπή δημοσιοποιεί στον ιστότοπο που αναφέρεται στην παράγραφο 2 του παρόντος άρθρου τις πληροφορίες σχετικά με το αίτημά της προς τον ENISA για την επεξεργασία υποψήφιου σχήματος, όπως αναφέρεται στο άρθρο 73, και την απόφασή της να αποδεχτεί, να απορρίψει ή να διακόψει υποψήφιο σχήμα που έχει διαβιβαστεί από τον ENISA σύμφωνα με το άρθρο 74 παράγραφος 7. Ευρωπαϊκή Επιτροπή  Ευρύ κοινό ENISA   Διατήρηση ενημερωτικού ιστότοπου Σύμφωνα με τη διάταξη αυτή, η Επιτροπή πρέπει να παρέχει πληροφορίες σε ιστότοπο διαθέσιμο στο κοινό και σχετικές δραστηριότητες διαχείρισης δεδομένων σε συνεχή βάση. Ψηφιακή δημόσια υπηρεσία  Ψηφιακή λύση  Άρθρο 72 Ενημέρωση του κοινού και διαβούλευση σχετικά με τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας   Κατά την κατάρτιση υποψήφιου σχήματος από τον ENISA δυνάμει του άρθρου 74, το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, ή αμφότερα, μπορούν να ζητήσουν από την Επιτροπή, υπό την ιδιότητά της ως προέδρου της ΕΟΠΙΚ και του ENISA, να υποβάλουν σχετικές πληροφορίες για σχέδιο υποψήφιου σχήματος σε τριμηνιαία βάση. Κατόπιν αιτήματος του Ευρωπαϊκού Κοινοβουλίου ή του Συμβουλίου, ο ENISA, σε συμφωνία με την Επιτροπή και με την επιφύλαξη του άρθρου 54, μπορεί να θέτει στη διάθεση του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου τα σχετικά μέρη σχεδίου υποψήφιου σχήματος κατά τρόπο κατάλληλο για το απαιτούμενο επίπεδο εμπιστευτικότητας και, κατά περίπτωση, με περιορισμούς. Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο μπορούν να καλέσουν την Επιτροπή και τον ENISA να συζητήσουν θέματα που αφορούν την εφαρμογή των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων. ENISA Συμβούλιο της ΕΕ Ευρωπαϊκό Κοινοβούλιο Υποβολή αιτήματος για πληροφορίες και αποστολή πληροφοριών σχετικά με σχέδιο υποψήφιου σχήματος που έχει επεξεργαστεί ο ENISA Ροές δεδομένων Άρθρο 73 Αίτημα για ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας  Άρθρο 74 Επεξεργασία και έγκριση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (καλύπτονται στο άρθρο 17)  Άρθρο 73 1. Η Επιτροπή μπορεί να ζητήσει από τον ENISA να επεξεργαστεί υποψήφιο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων. Σε δεόντως αιτιολογημένες περιπτώσεις, η ΕΟΠΙΚ μπορεί να προτείνει στην Επιτροπή να υποβάλει αίτημα που αναφέρεται στην παράγραφο 1. 4. Κατά την κατάρτιση του αιτήματος που αναφέρεται στην παράγραφο 1, η Επιτροπή διαβουλεύεται δεόντως με τον ENISA και την ΕΟΠΙΚ, ενώ, επίσης, λαμβάνει υπόψη τις απόψεις όλων των σχετικών συμφεροντούχων και άλλων οντοτήτων της Ένωσης, συμπεριλαμβανομένων, κατά περίπτωση, εκείνων που είναι συναφείς βάσει της ενωσιακής νομοθεσίας με την οποία ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας αποδεικνύει τη συμμόρφωση και παρέχει τεκμήριο συμμόρφωσης. Άρθρο 74 3. Κατά την επεξεργασία του υποψήφιου σχήματος, ο ENISA συνεργάζεται στενά με την ΕΟΠΙΚ. Η ΕΟΠΙΚ παρέχει στον ENISA συνδρομή και εμπειρογνωσία σε σχέση με την επεξεργασία του υποψήφιου σχήματος και, κατά περίπτωση, υποστηρικτικές τεχνικές προδιαγραφές. Ο ENISA ζητεί από τα μέλη της ΕΟΠΙΚ να διατυπώσουν γραπτή γνώμη σχετικά με το υποψήφιο σχήμα.  4. Ο ENISA διαβουλεύεται εγκαίρως με τους συμφεροντούχους μέσω επίσημης, ανοικτής, διαφανούς και συμπεριληπτικής διαδικασίας διαβούλευσης.  Ο ENISA συνεργάζεται επίσης με τις αρμόδιες δημόσιες αρχές των κρατών μελών και με τις σχετικές οντότητες της Ένωσης για να συγκεντρώσει την εμπειρογνωσία τους σε σχέση με την επεξεργασία του υποψήφιου σχήματος και, κατά περίπτωση, των υποστηρικτικών τεχνικών προδιαγραφών. 6. Ο ENISA διαβιβάζει το υποψήφιο σχήμα στην Επιτροπή το αργότερο εντός 60 ημερών από την ημερομηνία του αιτήματος που αναφέρεται στην παράγραφο 5. 7. Η Επιτροπή, όταν λάβει το υποψήφιο σχήμα, αξιολογεί αν το σχήμα ανταποκρίνεται στο αίτημα που υποβλήθηκε σύμφωνα με το άρθρο 73.  8.    Όταν η Επιτροπή επιστρέφει υποψήφιο σχήμα στον ENISA για αναθεώρηση σύμφωνα με την παράγραφο 7 στοιχείο β), εφαρμόζονται αναλόγως οι παράγραφοι 4, 5 και 7 του παρόντος άρθρου.   Ευρωπαϊκή Επιτροπή  ENISA ΕΟΠΙΚ Εμπειρογνώμονες συμφεροντούχοι Κατάρτιση αιτήματος και επεξεργασία σχήματος πιστοποίησης και σχετική διαβούλευση με τους συμφεροντούχους Επεξεργασία δεδομένων  Ροές δεδομένων Ψηφιακή δημόσια υπηρεσία  (καλύπτονται στο άρθρο 17) Άρθρο 75 Συντήρηση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας 2. Ο ENISA, σε συνεργασία με την Επιτροπή και με την υποστήριξη της ΕΟΠΙΚ και της οικείας σχετικής υποομάδας για τη συντήρηση, διασφαλίζει τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων ενόψει της πιθανής επανεξέτασης των εν λόγω σχημάτων από την Επιτροπή. Ο ENISA συνεργάζεται και ανταλλάσσει πληροφορίες με σχετικές ομάδες και οντότητες της Ένωσης σε σχέση με τις δραστηριότητες συντήρησης.  5. Η ΕΟΠΙΚ μπορεί να εκδίδει γνώμη σχετικά με τη συντήρηση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Ευρωπαϊκή Επιτροπή  ENISA ΕΟΠΙΚ Οργανισμοί αξιολόγησης της συμμόρφωσης   Ο ENISA διασφαλίζει τη συντήρηση. Στο πλαίσιο αυτό περιλαμβάνονται περιοδικές υβριδικές ή διαδικτυακές συνεδριάσεις, συλλογή πληροφοριών, ανάλυση και κοινοποίηση (σε σχέση με ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας) Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 76 Αξιολόγηση, επανεξέταση και ανάκληση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας 1. Τουλάχιστον ανά τετραετία μετά την έναρξη εφαρμογής ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας, ο ENISA αξιολογεί τον αντίκτυπο και την αποτελεσματικότητα του εν λόγω σχήματος, σε συνεργασία με τη σχετική υποομάδα συντήρησης της ΕΟΠΙΚ και λαμβάνοντας υπόψη τις παρατηρήσεις που λαμβάνονται από συμφεροντούχους. Ο ENISA διεξάγει την αξιολόγηση διενεργώντας την αναγκαία ανάλυση αγοράς σύμφωνα με το άρθρο 8 παράγραφος 1. 3. Κατά την επανεξέταση ή την ανάκληση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, η Επιτροπή ζητεί τη γνώμη του ENISA, της ΕΟΠΙΚ και της σχετικής υποομάδας συντήρησης, ενώ λαμβάνει επίσης υπόψη τις απόψεις σχετικών συμφεροντούχων και άλλων οντοτήτων της Ένωσης.  4. Η ΕΟΠΙΚ μπορεί να εκδίδει γνώμη σχετικά με την επανεξέταση ή την ανάκληση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας. Η Επιτροπή τη λαμβάνει δεόντως υπόψη κατά την επανεξέταση ή την ανάκληση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας.    Ευρωπαϊκή Επιτροπή  ENISA ΕΟΠΙΚ Η Επιτροπή επανεξετάζει τα σχήματα, ζητώντας παράλληλα τη γνώμη σχετικών συμφεροντούχων. Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 77  Τεχνικές προδιαγραφές των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας 3.    Όταν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας κάνει αναφορά σε τεχνικές προδιαγραφές, όπως αναφέρεται στο άρθρο 74 παράγραφος 10, αυτές καθίστανται διαθέσιμες στον ιστότοπο που αναφέρεται στο άρθρο 79. 4. Σε δεόντως αιτιολογημένες περιπτώσεις, οι τεχνικές προδιαγραφές διανέμονται μόνο στους συμφεροντούχους τους οποίους αφορούν οι απαιτήσεις του σχήματος, ιδίως όταν οι εν λόγω τεχνικές προδιαγραφές περιέχουν πληροφορίες που θα μπορούσαν να θέσουν σε κίνδυνο την ασφάλεια πιστοποιημένων προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή την κυβερνοστάση οντοτήτων. Δεν γίνεται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας αναφορά σε τέτοιο σχήμα, όπως αναφέρεται στο άρθρο 74 παράγραφος 10. ENISA Κράτη μέλη Οργανισμοί αξιολόγησης της συμμόρφωσης   Διάθεση πληροφοριών στον ιστότοπο πιστοποίησης του ENISA Ροή δεδομένων Ψηφιακή δημόσια υπηρεσία   Άρθρο 79  Ιστότοπος των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας 1. Ο ENISA διοργανώνει δραστηριότητες για την προώθηση της υιοθέτησης εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων με τη διατήρηση του ιστότοπου που αναφέρεται στην παράγραφο 2 του παρόντος άρθρου. 2. Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει στο κοινό πληροφορίες σχετικά με: α)    τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας· β)    τα τέλη που συνδέονται με τη συντήρηση κάθε ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας· γ) σχετικές τεχνικές προδιαγραφές του ENISA· δ)    τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και τις δηλώσεις συμμόρφωσης ΕΕ, συμπεριλαμβανομένων πληροφοριών σχετικά με πιστοποιητικά και δηλώσεις που δεν ισχύουν πλέον ή που έχουν ανασταλεί, ανακληθεί ή λήξει· ε)    σχετικές συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια που παρέχονται σύμφωνα με το άρθρο 84 παράγραφος 2· στ)    συνόψεις αξιολογήσεων από ομοτίμους δυνάμει του άρθρου 89 παράγραφος 7· ζ)    τις τεχνικές προδιαγραφές που αναφέρονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 74 παράγραφος 10. 3. Κατά περίπτωση, ο ιστότοπος που αναφέρεται στην παράγραφο 2 δηλώνει επίσης τα εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας που έχουν αντικατασταθεί από ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.  ENISA Κράτη μέλη Οργανισμοί αξιολόγησης της συμμόρφωσης Για τη διατήρηση του ενημερωτικού ιστότοπου, ο ENISA πρέπει να συλλέγει, να επεξεργάζεται και να διατηρεί ολοκληρωμένες βάσεις δεδομένων με πληροφορίες πιστοποίησης, γεγονός που επιτάσσει συνεχείς δραστηριότητες διαχείρισης δεδομένων. Ψηφιακή δημόσια υπηρεσία Ψηφιακή λύση Επεξεργασία δεδομένων Ροή δεδομένων   Άρθρο 81 Στοιχεία του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας 5. Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία που καθορίζονται στις παραγράφους 1, 2 και 3 σε όλα τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να περιλαμβάνει παραπομπές στις εν λόγω αρχές και πρότυπες διατάξεις, κατά περίπτωση και εφόσον αυτές είναι διαθέσιμες. Οι εκτελεστικές πράξεις που αναφέρονται στην παράγραφο 5 εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 118 παράγραφος 2. Κατά την ανάπτυξη ή την αναθεώρηση των κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, η Επιτροπή διαβουλεύεται με τον ENISA και λαμβάνει υπόψη, κατά περίπτωση, τις απόψεις που εκφράζονται από την ΕΟΠΙΚ, τους σχετικούς συμφεροντούχους και άλλους σχετικούς φορείς. ENISA Ευρύ κοινό Αρχές των κρατών μελών  Διαβούλευση με τους σχετικούς συμφεροντούχους, για την οποία απαιτούνται ροές και επεξεργασία δεδομένων Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 83 Αυτοαξιολόγηση της συμμόρφωσης 3. Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή η οντότητα της οποίας η κυβερνοστάση υπόκειται σε πιστοποίηση θέτει τη δήλωση συμμόρφωσης ΕΕ, την τεχνική τεκμηρίωση και όλες τις άλλες σχετικές πληροφορίες που αφορούν τη συμμόρφωση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή της κυβερνοστάσης με το ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας στη διάθεση της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας που ορίζεται δυνάμει του άρθρου 89 για την περίοδο που καθορίζεται στο εν λόγω σχήμα. Αντίγραφο της δήλωσης συμμόρφωσης ΕΕ υποβάλλεται χωρίς αδικαιολόγητη καθυστέρηση στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και στον ENISA. ENISA Ευρύ κοινό Αρχές των κρατών μελών  Διαθεσιμότητα πληροφοριών· κοινοχρησία δεδομένων  Η κοινοχρησία δεδομένων προϋποθέτει επεξεργασία από τον ENISA και τις αρχές των κρατών μελών Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 84 Συμπληρωματικές πληροφορίες σχετικά με την κυβερνοασφάλεια για πιστοποιημένα προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ και διεργασίες ΤΠΕ 1. Ο κατασκευαστής ή ο πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διαδικασιών ΤΠΕ για τα οποία έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ ή ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας καθιστά δημόσια διαθέσιμες τις ακόλουθες συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια: Κατασκευαστής ή πάροχος προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διαδικασιών ΤΠΕ Ευρύ κοινό Οργανισμοί αξιολόγησης της συμμόρφωσης Δημοσιοποίηση πληροφοριών σε ηλεκτρονική μορφή.   Ροή δεδομένων Άρθρο 85 Έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας 2. Οι οργανισμοί αξιολόγησης της συμμόρφωσης που αναφέρονται στο άρθρο 91 εκδίδουν ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας βάσει κριτηρίων που περιλαμβάνονται στο ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας που θεσπίζεται δυνάμει του άρθρου 74. 6. Το φυσικό ή νομικό πρόσωπο που υποβάλλει προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ ή διαχειριζόμενες υπηρεσίες ασφάλειας προς πιστοποίηση, ή η οντότητα που υποβάλλει αίτηση για πιστοποίηση της οικείας κυβερνοστάσης, θέτει όλες τις πληροφορίες που απαιτούνται για τη διενέργεια της πιστοποίησης στη διάθεση της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας που ορίζεται δυνάμει του άρθρου 89, σε περίπτωση που η εν λόγω αρχή είναι ο οργανισμός που εκδίδει το ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας, ή του οργανισμού αξιολόγησης της συμμόρφωσης που αναφέρεται στο άρθρο 91. 7. Οι οργανισμοί αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ενημερώνουν τον ENISA χωρίς αδικαιολόγητη καθυστέρηση σχετικά με τις οικείες αποφάσεις που επηρεάζουν το καθεστώς των ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των δηλώσεων συμμόρφωσης ΕΕ σύμφωνα με το άρθρο 94. 8. Ο κάτοχος ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας ενημερώνει τον οργανισμό αξιολόγησης της συμμόρφωσης και, κατά περίπτωση, την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας που αναφέρεται στην παράγραφο 7 για τυχόν ευπάθειες ή περιπτώσεις μη συμμόρφωσης που εντοπίστηκαν στη συνέχεια όσον αφορά το πιστοποιημένο προϊόν ΤΠΕ, υπηρεσία ΤΠΕ, διαδικασία ΤΠΕ, διαχειριζόμενη υπηρεσία ασφάλειας ή κυβερνοστάση οντότητας, οι οποίες ενδέχεται να έχουν αντίκτυπο στη συμμόρφωσή του/της με το πιστοποιητικό. Ο εν λόγω οργανισμός διαβιβάζει τις πληροφορίες αυτές χωρίς αδικαιολόγητη καθυστέρηση στην οικεία εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και αξιολογεί τον αντίκτυπο στο πιστοποιητικό σύμφωνα με τις προϋποθέσεις του σχήματος που αναφέρονται στο άρθρο 81 στοιχείο στ). ENISA Ευρύ κοινό Αρχές των κρατών μελών Οργανισμοί αξιολόγησης της συμμόρφωσης Ανταλλαγή πληροφοριών σχετικά με τις διαδικασίες πιστοποίησης Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 86 Εθνικά σχήματα πιστοποίησης της κυβερνοασφάλειας 4. Τα κράτη μέλη ενημερώνουν την Επιτροπή και την ΕΟΠΙΚ πριν από την έγκριση νέων εθνικών σχημάτων πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων. ENISA Κράτη μέλη Ευρωπαϊκή Επιτροπή Ανταλλαγή πληροφοριών Ροή δεδομένων Άρθρο 88 Εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας  2. Κάθε κράτος μέλος  ενημερώνει την Επιτροπή για την ταυτότητα των ορισθεισών εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας. Σε περίπτωση που κράτος μέλος ορίζει περισσότερες από μία αρχές, παρέχει επίσης ενημέρωση στην Επιτροπή σχετικά με τα καθήκοντα που ανατίθενται σε κάθε μία από τις εν λόγω αρχές. 6. Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας: γ) παρακολουθούν, σε συνεργασία με τις αρμόδιες αρχές εποπτείας της αγοράς, τη συμμόρφωση και επιβάλλουν την εκπλήρωση των υποχρεώσεων που υπέχουν βάσει του παρόντος κανονισμού οι κατασκευαστές ή οι πάροχοι προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας ή οι οντότητες των οποίων η κυβερνοστάση είναι πιστοποιημένη, οι οποίοι/-ες είναι εγκατεστημένοι/-ες στα αντίστοιχα εδάφη τους και διενεργούν αυτοαξιολόγηση της συμμόρφωσης, και στο πλαίσιο του αντίστοιχου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας· δ)    με την επιφύλαξη του άρθρου 91 παράγραφος 3, παρέχουν ενεργό βοήθεια και υποστήριξη στους εθνικούς οργανισμούς διαπίστευσης ή σε άλλες συναφείς αρχές για την παρακολούθηση και την εποπτεία των δραστηριοτήτων των οργανισμών αξιολόγησης της συμμόρφωσης για τους σκοπούς του παρόντος κανονισμού· ε)    συνεργάζονται με την Ευρωπαϊκή Επιτροπή σε περίπτωση αμφισβήτησης της επάρκειας οργανισμού αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 94·  στ)    παρακολουθούν και εποπτεύουν τις δραστηριότητες των δημόσιων οργανισμών που αναφέρονται στο άρθρο 85 παράγραφος 3· ζ)    κατά περίπτωση, αδειοδοτούν οργανισμούς αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 93, παρακολουθούν τη συμμόρφωση των οργανισμών αξιολόγησης της συμμόρφωσης με τις ειδικές ή πρόσθετες απαιτήσεις που καθορίζονται στα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 81 παράγραφος 3 στοιχείο στ), επιβάλλουν την εκπλήρωση των σχετικών υποχρεώσεων των οργανισμών αξιολόγησης της συμμόρφωσης και περιορίζουν, αναστέλλουν ή ανακαλούν άδειες που έχουν δοθεί, όταν οι οργανισμοί αξιολόγησης της συμμόρφωσης δεν πληρούν τις απαιτήσεις του παρόντος κανονισμού· η)    διεκπεραιώνουν καταγγελίες από φυσικά ή νομικά πρόσωπα σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που έχουν εκδοθεί από εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ή σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που έχουν εκδοθεί από οργανισμούς αξιολόγησης της συμμόρφωσης σύμφωνα με [το άρθρο 85 παράγραφος 4] ή σε σχέση με τις δηλώσεις συμμόρφωσης ΕΕ που εκδίδονται δυνάμει του άρθρου 83, και διερευνούν το αντικείμενο των εν λόγω καταγγελιών στον βαθμό που ενδείκνυται και ενημερώνουν τον καταγγέλλοντα σχετικά με την πρόοδο και το αποτέλεσμα της έρευνας εντός εύλογου χρονικού διαστήματος, θ)    υποβάλλουν ετήσια έκθεση σχετικά με τις κύριες δραστηριότητές τους στην Επιτροπή, τον ENISA και την ΕΟΠΙΚ έως τις 31 Μαρτίου κάθε έτους από το [έτος έναρξης ισχύος + 12 μήνες], και θέτουν τις εν λόγω εκθέσεις στη διάθεση της ομάδας αξιολόγησης από ομοτίμους, όταν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας υπόκειται σε αξιολόγηση από ομοτίμους σύμφωνα με το άρθρο 89· ι)    συνεργάζονται με άλλες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας, αρχές εποπτείας της αγοράς ή άλλες δημόσιες αρχές, μεταξύ άλλων ανταλλάσσοντας πληροφορίες σχετικά με την πιθανή μη συμμόρφωση προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ, διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων με τις απαιτήσεις του παρόντος κανονισμού ή με τις απαιτήσεις συγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας· ια)    παρακολουθούν τις σχετικές εξελίξεις στον τομέα της πιστοποίησης της κυβερνοασφάλειας.   8. Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας συνεργάζονται μεταξύ τους και με την Επιτροπή, ιδίως ανταλλάσσοντας πληροφορίες, εμπειρίες και ορθές πρακτικές όσον αφορά την πιστοποίηση της κυβερνοασφάλειας και τεχνικά ζητήματα που αφορούν την κυβερνοασφάλεια των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας και της κυβερνοστάσης οντοτήτων. 9.    Έως τις [έναρξη ισχύος + 6 μήνες], ο ENISA καταρτίζει υπόδειγμα για την έκθεση που αναφέρεται στην παράγραφο 6 στοιχείο θ) του παρόντος άρθρου, σε συνεργασία με την Επιτροπή και την ΕΟΠΙΚ. ENISA Αρχές των κρατών μελών Ευρωπαϊκή Επιτροπή Ευρύ κοινό Οργανισμοί αξιολόγησης της συμμόρφωσης Τα κράτη μέλη ενημερώνουν την Επιτροπή σχετικά με τις ορισθείσες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας Οι αρχές των κρατών μελών εκτελούν διάφορα καθήκοντα παρακολούθησης, εποπτείας και συνεργασίας που απαιτούν ροές δεδομένων και επεξεργασία δεδομένων Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 89 Αξιολόγηση από ομοτίμους 5. Ο ENISA υποστηρίζει την οργάνωση του μηχανισμού αξιολόγησης από ομοτίμους και των αξιολογήσεων από ομοτίμους, μεταξύ άλλων με την κατάρτιση σχετικών εγγράφων καθοδήγησης και υποδειγμάτων, σε συνεργασία με την Επιτροπή και την ΕΟΠΙΚ. 7. Η τελική έκθεση, συμπεριλαμβανομένων πιθανών κατευθυντήριων γραμμών ή συστάσεων, και η περίληψη της αξιολόγησης από ομοτίμους εξετάζονται από την ΕΟΠΙΚ, η οποία εγκρίνει την περίληψη προς δημοσίευση στον ιστότοπο που αναφέρεται στο άρθρο 79 παράγραφος 2. ΕΕ ENISA ΕΟΠΙΚ Διάθεση δεδομένων στο διαδίκτυο Ροή δεδομένων Επεξεργασία δεδομένων   Άρθρο 90 Ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας (ΕΟΠΙΚ) 3. Η ΕΟΠΙΚ έχει τα ακόλουθα καθήκοντα: [αναφορά σε άλλα άρθρα] η)    να εξετάζει τις σχετικές εξελίξεις στον τομέα της πιστοποίησης της κυβερνοασφάλειας, μεταξύ άλλων σε εθνικό επίπεδο σύμφωνα με το άρθρο 86, και να ανταλλάσσει πληροφορίες και ορθές πρακτικές σε σχέση με τα σχήματα πιστοποίησης της κυβερνοασφάλειας· θ)να διευκολύνει τη συνεργασία μεταξύ των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας σύμφωνα με τους κανόνες που ορίζονται στον παρόντα τίτλο, μέσω της ανάπτυξης ικανοτήτων και της ανταλλαγής πληροφοριών, ιδίως όσον αφορά ζητήματα σχετικά με την πιστοποίηση της κυβερνοασφάλειας· [αναφορά σε άλλα άρθρα] ια)    να διευκολύνει την ευθυγράμμιση των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας με διεθνώς αναγνωρισμένα πρότυπα, μεταξύ άλλων στο πλαίσιο της συντήρησης υφιστάμενων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, και, κατά περίπτωση, να διατυπώνει συστάσεις προς τον ENISA για τη συνεργασία με σχετικούς ευρωπαϊκούς ή διεθνείς οργανισμούς τυποποίησης με σκοπό την αντιμετώπιση ανεπαρκειών ή κενών στα διαθέσιμα ευρωπαϊκά ή διεθνώς αναγνωρισμένα πρότυπα. Κράτη μέλη ENISA Ευρωπαϊκή Επιτροπή  Ανάλυση, ανταλλαγή πληροφοριών και συνεργασία μεταξύ των αρχών των κρατών μελών και διεθνών οργανισμών σε σχέση με την ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 92 Πρόσθετη εναρμόνιση της επάρκειας οργανισμών αξιολόγησης της συμμόρφωσης 4. Όταν μια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει αίτηση σύμφωνα με την παράγραφο 3, η εν λόγω αρχή ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας του κράτους μέλους στο οποίο είναι εγκατεστημένος ο αιτών οργανισμός αξιολόγησης της συμμόρφωσης. Στις περιπτώσεις αυτές, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας του εν λόγω κράτους μέλους μπορεί να συμμετέχει στην αδειοδότηση ως παρατηρητής. Αρχές των κρατών μελών Οργανισμοί αξιολόγησης της συμμόρφωσης Ανταλλαγή και διατήρηση πληροφοριών Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 93 Κοινοποιήσεις οργανισμών αξιολόγησης της συμμόρφωσης 1. Για κάθε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ενός κράτους μέλους κοινοποιούν στην Επιτροπή και στα άλλα κράτη μέλη τους οργανισμούς αξιολόγησης της συμμόρφωσης που είναι διαπιστευμένοι και, κατά περίπτωση, αδειοδοτημένοι σύμφωνα με το άρθρο 92. 2. Οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας πραγματοποιούν την κοινοποίηση που αναφέρεται στην παράγραφο 1 χρησιμοποιώντας το ηλεκτρονικό εργαλείο κοινοποίησης που έχει αναπτύξει και διαχειρίζεται η Επιτροπή.  ENISA Κράτη μέλη Ευρωπαϊκή Επιτροπή Οργανισμοί αξιολόγησης της συμμόρφωσης Κοινοποιήσεις διαπιστευμένων και αδειοδοτημένων οργανισμών αξιολόγησης της συμμόρφωσης Ροές δεδομένων Επεξεργασία δεδομένων Άρθρο 94 Αμφισβήτηση της επάρκειας οργανισμών αξιολόγησης της συμμόρφωσης 1.1. Η Επιτροπή ερευνά κάθε περίπτωση για την οποία έχει αμφιβολίες ή έχουν περιέλθει στη γνώση της αμφιβολίες όσον αφορά την επάρκεια οργανισμού αξιολόγησης της συμμόρφωσης να εκπληρώνει τις απαιτήσεις και τις υποχρεώσεις που υπέχει, ή όσον αφορά τη συνεχή εκπλήρωση, από οργανισμό αξιολόγησης της συμμόρφωσης, των απαιτήσεων και των υποχρεώσεων που υπέχει. 2. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας παρέχει στην Επιτροπή, εάν αυτή το ζητήσει, όλες τις πληροφορίες σχετικά με την αιτιολόγηση της κοινοποίησης ή την επιβεβαίωση της επάρκειας του εν λόγω οργανισμού αξιολόγησης της συμμόρφωσης. 3. Η Επιτροπή διασφαλίζει τον εμπιστευτικό χαρακτήρα όλων των ευαίσθητων πληροφοριών που λαμβάνει από τις έρευνες αυτές.  4. Όταν η Επιτροπή διαπιστώνει ότι οργανισμός αξιολόγησης της συμμόρφωσης δεν πληροί ή παύει να πληροί τις απαιτήσεις κοινοποίησής του, ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας σχετικά και της ζητεί να λάβει τα αναγκαία διορθωτικά μέτρα, συμπεριλαμβανομένης της άρσης της κοινοποίησης, εφόσον είναι αναγκαίο. Επιτροπή Κράτη μέλη ENISA Αμφισβήτηση της επάρκειας οργανισμών αξιολόγησης της συμμόρφωσης Ροή δεδομένων Επεξεργασία δεδομένων Ψηφιακή δημόσια υπηρεσία  Άρθρο 95 Υποχρέωση ενημέρωσης και τήρησης αρχείων από οργανισμούς αξιολόγησης της συμμόρφωσης 1. Οι οργανισμοί αξιολόγησης της συμμόρφωσης ενημερώνουν την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας σχετικά με τα ακόλουθα: α)    τυχόν άρνηση, περιορισμό, αναστολή ή ανάκληση πιστοποιητικού· β)    τυχόν περιστάσεις που επηρεάζουν το πεδίο εφαρμογής και τους όρους της κοινοποίησης που αναφέρεται στο άρθρο 93 παράγραφος 1·     γ)    τυχόν αίτημα για ενημέρωση σχετικά με δραστηριότητες αξιολόγησης της συμμόρφωσης, το οποίο έλαβαν από αρχές εποπτείας της αγοράς· δ)    κατόπιν αιτήματος, τυχόν δραστηριότητες αξιολόγησης της συμμόρφωσης που έχουν διεξαχθεί στο πλαίσιο της κοινοποίησής τους και κάθε άλλη δραστηριότητα που διεξήχθη, συμπεριλαμβανομένων των διασυνοριακών δραστηριοτήτων και υπεργολαβιών. 2. Οι οργανισμοί αξιολόγησης της συμμόρφωσης παρέχουν επίσης στον ENISA τις πληροφορίες που αναφέρονται στην παράγραφο 1 στοιχείο α) με σκοπό τη διευκόλυνση της εκτέλεσης των καθηκόντων του σύμφωνα με το άρθρο 79. 3. Οι οργανισμοί αξιολόγησης της συμμόρφωσης παρέχουν στους άλλους οργανισμούς αξιολόγησης της συμμόρφωσης δυνάμει του παρόντος κανονισμού που διεξάγουν παρόμοιες δραστηριότητες αξιολόγησης της συμμόρφωσης οι οποίες καλύπτουν τα ίδια προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή οντότητες των οποίων η κυβερνοστάση έχει πιστοποιηθεί, χωρίς αδικαιολόγητη καθυστέρηση, τις σχετικές πληροφορίες για ζητήματα που αφορούν αρνητικά και, κατόπιν αιτήματος, θετικά αποτελέσματα αξιολόγησης της συμμόρφωσης. 4. Οι οργανισμοί αξιολόγησης της συμμόρφωσης τηρούν σύστημα αρχείων, το οποίο περιέχει όλα τα έγγραφα και τα αποδεικτικά στοιχεία που προσκομίζονται ή λαμβάνονται σε σχέση με κάθε αξιολόγηση και πιστοποίηση που διενεργούν. Το αρχείο αποθηκεύεται με ασφαλή και προσβάσιμο τρόπο για το χρονικό διάστημα που απαιτείται για τους σκοπούς της πιστοποίησης και για τουλάχιστον πέντε έτη μετά τη λήξη ή την ανάκληση σχετικού ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας. Αρχές των κρατών μελών Οργανισμοί αξιολόγησης της συμμόρφωσης Ανταλλαγή πληροφοριών από τους οργανισμούς αξιολόγησης της συμμόρφωσης Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 96 Δικαιώματα υποβολής καταγγελίας και δικαίωμα πραγματικής δικαστικής προσφυγής  2. Η αρχή ή ο οργανισμός στον οποίο έχει υποβληθεί η καταγγελία ενημερώνει τον καταγγέλλοντα για την πρόοδο της διαδικασίας, για τη ληφθείσα απόφαση και για το δικαίωμα άσκησης πραγματικής δικαστικής προσφυγής όπως αναφέρεται στις παραγράφους 3 και 4. 4. Οι διαδικασίες που προβλέπονται στο παρόν άρθρο εκδικάζονται από τα δικαστήρια του κράτους μέλους όπου είναι εγκατεστημένη η αρχή ή ο οργανισμός κατά του οποίου ασκείται η δικαστική προσφυγή. Αρχές των κρατών μελών Ευρωπαϊκή Επιτροπή Ευρύ κοινό Κάτοχοι πιστοποιητικών Ροή πληροφοριών μεταξύ των αρχών και του ευρέος κοινού σχετικά με τις καταγγελίες  Διαδικασία ενώπιον των δικαστηρίων του κράτους μέλους Ροή δεδομένων Άρθρο 97 Κυρώσεις  Τα κράτη μέλη κοινοποιούν στην Επιτροπή χωρίς καθυστέρηση τους εν λόγω κανόνες και τα εν λόγω μέτρα και την ενημερώνουν σχετικά με κάθε μεταγενέστερη τροποποίησή τους. Αρχές των κρατών μελών Ευρωπαϊκή Επιτροπή Ροή πληροφοριών σχετικά με τις κοινοποιήσεις από τα κράτη μέλη στην Επιτροπή όσον αφορά κυρώσεις. Ροή δεδομένων Άρθρο 99 Εκτιμήσεις κινδύνου για την ασφάλεια Η Επιτροπή ή τουλάχιστον τρία κράτη μέλη μπορούν να ζητήσουν από την ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών να διενεργήσει συντονισμένες εκτιμήσεις κινδύνου εντός 6 μηνών. Η Επιτροπή μπορεί να ζητήσει βραχύτερες προθεσμίες. Στο πλαίσιο των εκτιμήσεων κινδύνου αναπτύσσονται σενάρια κινδύνου και πραγματοποιείται ανάλυση δεδομένων. Προετοιμασία των συντονισμένων εκτιμήσεων κινδύνου για την ασφάλεια Στις περιπτώσεις που δικαιολογούν άμεση παρέμβαση, η Επιτροπή διαβουλεύεται χωρίς καθυστέρηση με τα κράτη μέλη και διενεργεί εκτίμηση κινδύνου. Αποφάσεις για τη διενέργεια εκτιμήσεων κινδύνου (επεξεργασία/ανάλυση δεδομένων). Ευρωπαϊκή Επιτροπή Κράτη μέλη της ΕΕ Ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών ENISA Αίτημα για πληροφορίες και λήψη πληροφοριών· ανάλυση δεδομένων για σκοπούς συντονισμένων εκτιμήσεων κινδύνου Διαβούλευση με τα κράτη μέλη και διενέργεια εκτίμησης κινδύνου Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 100 παράγραφοι 1 και 2 Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες για την κυβερνοασφάλεια 1. Όταν, ως αποτέλεσμα της εκτίμησης κινδύνου για την ασφάλεια που αναφέρεται στο άρθρο 99 ή βάσει άλλων πηγών, όπως δημόσιας δήλωσης εξ ονόματος της Ένωσης ή κράτους μέλους, φαίνεται ότι μια τρίτη χώρα εγείρει σοβαρούς και διαρθρωτικούς μη τεχνικούς κινδύνους για τις αλυσίδες εφοδιασμού ΤΠΕ, η Επιτροπή επαληθεύει την απειλή που εγείρει η εν λόγω χώρα, λαμβάνοντας υπόψη διάφορα στοιχεία, με αποτέλεσμα την επεξεργασία/ανάλυση δεδομένων. 2. Η Επιτροπή, όταν μετά την επαλήθευση που αναφέρεται στην παράγραφο 1 καταλήγει στο συμπέρασμα ότι μια τρίτη χώρα εγείρει σοβαρούς και διαρθρωτικούς μη τεχνικούς κινδύνους για τις αλυσίδες εφοδιασμού ΤΠΕ, μπορεί, μέσω εκτελεστικής πράξης, να ορίσει την εν λόγω τρίτη χώρα ως χώρα που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια για τις αλυσίδες εφοδιασμού ΤΠΕ, με αποτέλεσμα την επεξεργασία και ανάλυση δεδομένων και ροές δεδομένων. Κράτη μέλη της ΕΕ Ευρωπαϊκή Επιτροπή Λήψη πληροφοριών, ανάλυση πληροφοριών, ανταλλαγή πληροφοριών. Ροές δεδομένων Επεξεργασία δεδομένων Άρθρο 101 Γενικός μηχανισμός για τις αλυσίδες εφοδιασμού ΤΠΕ Άρθρο 102 Προσδιορισμός βασικών πάγιων στοιχείων ΤΠΕ και Άρθρο 103 Μέτρα μετριασμού στις αλυσίδες εφοδιασμού ΤΠΕ 1. Όταν η ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών έχει διενεργήσει συντονισμένη σε επίπεδο Ένωσης εκτίμηση κινδύνου για την ασφάλεια σύμφωνα με το άρθρο 99 παράγραφοι 1 και 2 του παρόντος κανονισμού, ή μετά την ολοκλήρωση της διαδικασίας σε περίπτωση σημαντικής κυβερνοαπειλής σύμφωνα με το άρθρο 99 παράγραφος 3, η Επιτροπή μπορεί να λάβει τα μέτρα που προβλέπονται στα άρθρα 102 και 103. Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις, οι οποίες θα καθορίζουν βασικά πάγια στοιχεία ΤΠΕ και μέτρα μετριασμού, συμπεριλαμβανομένων περιορισμών και απαγορεύσεων για τις αλυσίδες εφοδιασμού ΤΠΕ (που περιγράφονται λεπτομερώς στο σημείο 4.5 κατωτέρω). Κατά την προετοιμασία της διαδικασίας αυτής, η Επιτροπή λαμβάνει υπόψη και συνεκτιμά διάφορες πτυχές, οι οποίες οδηγούν σε επεξεργασία/ανάλυση δεδομένων και, σε ορισμένες περιπτώσεις, ροή δεδομένων: Άρθρο 102 στοιχεία α) έως στ) Άρθρο 103 παράγραφος 4 στοιχεία α) έως δ) Άρθρο 103 παράγραφος 6 Ευρωπαϊκή Επιτροπή Ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών Σχετικοί συμφεροντούχοι Ανάλυση δεδομένων / επεξεργασία δεδομένων· διαβούλευση με σχετικούς συμφεροντούχους Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 104 Προσδιορισμός προμηθευτών υψηλού κινδύνου Η Επιτροπή, μέσω εκτελεστικών πράξεων, καταρτίζει καταλόγους προμηθευτών υψηλού κινδύνου σχετικά με τις απαγορεύσεις που προβλέπονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1 ή την απαγόρευση που αναφέρεται στο άρθρο 111 παράγραφος 1. Η Επιτροπή καταγράφει τους προμηθευτές που παρέχουν συνιστώσες ΤΠΕ και συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ και διενεργεί αρχική αξιολόγηση όσον αφορά το ποιοι προμηθευτές είναι δυνητικά εγκατεστημένοι σε τρίτες χώρες που έχουν χαρακτηριστεί σύμφωνα με το άρθρο 100 ή ελέγχονται από αυτές. Η Επιτροπή αξιολογεί τον τόπο εγκατάστασης, καθώς και τη διάρθρωση της κυριότητας και του ελέγχου. Η Επιτροπή έχει το δικαίωμα να ζητεί τις απαραίτητες πληροφορίες από τους προμηθευτές και κοινοποιεί τα προκαταρκτικά πορίσματα σχετικά με την αξιολόγηση της εγκατάστασης, της κυριότητας και του ελέγχου στον ενδιαφερόμενο προμηθευτή και του παρέχει δυνατότητα ακρόασης. Η Επιτροπή μπορεί να ζητήσει από αρμόδια αρχή να διενεργήσει την αρχική αξιολόγηση της εγκατάστασης, της κυριότητας και του ελέγχου ενός προμηθευτή, όταν αυτό δικαιολογείται από τα χαρακτηριστικά της λειτουργίας του εν λόγω προμηθευτή. Μια αρμόδια αρχή μπορεί να προσφερθεί να διενεργήσει την εν λόγω αρχική αξιολόγηση. Η Επιτροπή επαληθεύει αυτά τα αρχικά πορίσματα προκειμένου να αποφασίσει αν ο προμηθευτής θα πρέπει να συμπεριληφθεί στον κατάλογο προμηθευτών υψηλού κινδύνου. Η Επιτροπή επικαιροποιεί τακτικά τους καταλόγους των προμηθευτών υψηλού κινδύνου με σκοπό την αφαίρεση ή την προσθήκη προμηθευτών υψηλού κινδύνου. Οι προμηθευτές υψηλού κινδύνου που περιλαμβάνονται στον κατάλογο μπορούν να ζητήσουν από την Επιτροπή να επαναξιολογήσει την εγκατάσταση και τη διάρθρωση του ελέγχου και της κυριότητάς τους, εφόσον προσκομίσουν στοιχεία που αποδεικνύουν ότι έχουν επέλθει σχετικές αλλαγές. Ευρωπαϊκή Επιτροπή Αρμόδιες αρχές Προμηθευτές Ανάλυση δεδομένων / επεξεργασία δεδομένων· διαβούλευση με τις αρμόδιες αρχές, διαβούλευση με τους προμηθευτές Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 105 Εξαίρεση οντοτήτων εγκατεστημένων σε τρίτη χώρα ή ελεγχόμενων από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια Άρθρο 108 Εμπιστευτικότητα 1) Οντότητα εγκατεστημένη σε χαρακτηρισμένη τρίτη χώρα ή ελεγχόμενη από χαρακτηρισμένη τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια μπορεί να υποβάλει αιτιολογημένο αίτημα στην Επιτροπή. 3) Η Επιτροπή αξιολογεί και εκδίδει απόφαση λαμβάνοντας υπόψη διάφορες πτυχές που οδηγούν σε ανάλυση δεδομένων. (άρθρο 105 παράγραφοι 3 και 4) Οι πληροφορίες που λαμβάνει η Επιτροπή χρησιμοποιούνται μόνο για τους σκοπούς για τους οποίους αποκτήθηκαν. Ευρωπαϊκή Επιτροπή Οντότητες εγκατεστημένες σε χαρακτηρισμένη τρίτη χώρα ή ελεγχόμενες από οντότητες χαρακτηρισμένης τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια Παραλαβή αιτήματος από την Επιτροπή· ανάλυση δεδομένων. Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 107 Μητρώο Η Επιτροπή τηρεί μητρώο των αποφάσεων που αναφέρονται στο άρθρο 105, στο οποίο έχει πρόσβαση το κοινό. Το μητρώο αναφέρει τα ονόματα των οντοτήτων για τις οποίες εκδόθηκαν οι αποφάσεις. Ευρωπαϊκή Επιτροπή Οντότητες εγκατεστημένες σε χαρακτηρισμένη τρίτη χώρα ή ελεγχόμενες από χαρακτηρισμένη τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια Τήρηση προσβάσιμου στο κοινό μητρώου από την Επιτροπή. Ψηφιακή λύση Άρθρο 111 Απαγορεύσεις για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών Η αρμόδια αρχή που ορίζεται δυνάμει του παρόντος κανονισμού ενημερώνει χωρίς καθυστέρηση την αρμόδια αρχή σύμφωνα με τον κανονισμό (ΕΕ) XX/XXXX [πρόταση κανονισμού για τα ψηφιακά δίκτυα] σχετικά με τα μέτρα που επιβάλλονται στους παρόχους δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών. Αρμόδια αρχή κατά την έννοια του άρθρου 9 ή του άρθρου 20 του κανονισμού (ΕΕ) XX/XXXX [πρόταση κανονισμού για τα ψηφιακά δίκτυα] Πάροχοι δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών Ροή πληροφοριών από την αρμόδια αρχή προς τις οντότητες σε σχέση με τις άδειες. Ροή δεδομένων Άρθρο 112 παράγραφοι 1 και 4 Αρμόδιες αρχές 1) Κάθε κράτος μέλος ορίζει μία ή περισσότερες αρμόδιες αρχές ως υπεύθυνες για την εκτέλεση των καθηκόντων εποπτείας και επιβολής που αναφέρονται στο άρθρο 114. 4) Κάθε κράτος μέλος κοινοποιεί χωρίς αδικαιολόγητη καθυστέρηση στην Επιτροπή τα ονόματα των αρμόδιων αρχών που ορίζονται σύμφωνα με την παράγραφο 1, τα αντίστοιχα καθήκοντα των εν λόγω αρχών και τυχόν μεταγενέστερες αλλαγές τους. Κάθε κράτος μέλος δημοσιοποιεί επίσης τα ονόματα των αρμόδιων αρχών που ορίζονται σύμφωνα με την παράγραφο 1.   Κράτη μέλη της ΕΕ Ευρωπαϊκή Επιτροπή Ευρύ κοινό Κράτη μέλη που ορίζουν αρμόδιες αρχές και ενημερώνουν την Επιτροπή. Ροή δεδομένων Άρθρο 113 Δίκτυο υπηρεσιών συνεργασίας και υποστήριξης της Επιτροπής 1. Η Επιτροπή συγκροτεί δίκτυο συνεργασίας των αρμόδιων αρχών των κρατών μελών και της Επιτροπής, το οποίο χρησιμεύει ως πλατφόρμα συνεργασίας και ανταλλαγής πληροφοριών. Η Επιτροπή παρέχει διοικητική υποστήριξη στο δίκτυο. 2. Για τη στήριξη των κρατών μελών στην εκτέλεση των εποπτικών τους καθηκόντων, η Επιτροπή αξιολογεί κατά πόσον οι προμηθευτές που ενδέχεται να επηρεαστούν από συγκεκριμένες απαγορεύσεις είναι εγκατεστημένοι σε τρίτες χώρες ή ελέγχονται από τρίτες χώρες που εγείρουν ανησυχίες για την κυβερνοασφάλεια, οι οποίες χαρακτηρίζονται σύμφωνα με το άρθρο 100. Για τον σκοπό αυτό, η αρμόδια αρχή ανταλλάσσει σχετικές πληροφορίες με την Επιτροπή. 3. Για τους σκοπούς της αξιολόγησης, η Επιτροπή έχει το δικαίωμα να ζητήσει τις αναγκαίες πληροφορίες από τους προμηθευτές που ενδέχεται να επηρεαστούν από συγκεκριμένες απαγορεύσεις και οι οποίοι είναι εγκατεστημένοι σε τρίτες χώρες ή ελέγχονται από τρίτες χώρες που χαρακτηρίζονται σύμφωνα με το άρθρο 100. 4. Όταν ολοκληρωθεί η αξιολόγηση, η Επιτροπή κοινοποιεί τα πορίσματα στις αρμόδιες αρχές στο πλαίσιο του δικτύου που συγκροτείται σύμφωνα με την παράγραφο 1. Οι αρμόδιες αρχές ενημερώνουν εν ευθέτω χρόνω τις οικείες οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 για τα πορίσματα. 5. Μια αρμόδια αρχή ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση την Επιτροπή όταν λάβει γνώση για προμηθευτή που ενδέχεται να επηρεάζεται από συγκεκριμένες απαγορεύσεις, είναι εγκατεστημένος σε τρίτες χώρες ή ελέγχεται από τρίτες χώρες που εγείρουν ανησυχίες για την κυβερνοασφάλεια και δεν έχει υποβληθεί σε αξιολόγηση. Επιτροπή Αρμόδιες αρχές Οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 Η Επιτροπή αξιολογεί προμηθευτές και ανταλλάσσει πληροφορίες με αρμόδιες αρχές σχετικά με οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 Η Επιτροπή ζητεί πληροφορίες από τους προμηθευτές Οι αρμόδιες αρχές ενημερώνουν την Επιτροπή Επεξεργασία δεδομένων Ροές δεδομένων Άρθρο 114 Μέτρα εποπτείας και επιβολής Απαιτήσεις για τα κράτη μέλη που θα διασφαλίζουν ροή πληροφοριών με τις οντότητες που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555. Πριν από τη λήψη των μέτρων, οι αρμόδιες αρχές κοινοποιούν στις ενδιαφερόμενες οντότητες τα προκαταρκτικά πορίσματά τους. Οι αρμόδιες αρχές συνεργάζονται μεταξύ τους και με την Επιτροπή. Κράτη μέλη της ΕΕ Ευρωπαϊκή Επιτροπή Οντότητες στο πλαίσιο των παραρτημάτων I και II της οδηγίας (ΕΕ) 2022/2555. Απαιτήσεις που διασφαλίζουν τη ροή πληροφοριών. Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 115 Κυρώσεις Τα κράτη μέλη κοινοποιούν στην Επιτροπή χωρίς καθυστέρηση τους εν λόγω κανόνες και τα εν λόγω μέτρα και την ενημερώνουν σχετικά με κάθε μεταγενέστερη τροποποίησή τους. Ευρωπαϊκή Επιτροπή Κράτη μέλη της ΕΕ Κοινοποίηση από τα κράτη μέλη στην Επιτροπή Ροή δεδομένων Άρθρο 116 Αμοιβαία συνδρομή Όταν μια οντότητα που αναφέρεται στο παράρτημα I ή II της οδηγίας (ΕΕ) 2022/2555 παρέχει υπηρεσίες σε περισσότερα του ενός κράτη μέλη ή παρέχει υπηρεσίες σε ένα ή περισσότερα κράτη μέλη και τα βασικά πάγια στοιχεία της βρίσκονται σε ένα ή περισσότερα άλλα κράτη μέλη, οι αρμόδιες αρχές των σχετικών κρατών μελών συνεργάζονται μεταξύ τους και παρέχουν αμοιβαία συνδρομή, ανάλογα με τις ανάγκες. Η αμοιβαία συνδρομή που αναφέρεται στο πρώτο εδάφιο στοιχείο γ) μπορεί να καλύπτει αιτήματα παροχής πληροφοριών και εποπτικά μέτρα, συμπεριλαμβανομένων αιτημάτων για τη διενέργεια επιτόπιων επιθεωρήσεων ή μη επιτόπιας εποπτείας ή στοχευμένων ελέγχων ασφάλειας. Η αρμόδια αρχή στην οποία απευθύνεται αίτημα συνδρομής δεν απορρίπτει την αίτηση αυτή, εκτός εάν διαπιστωθεί ότι δεν είναι αρμόδια να παράσχει τη ζητούμενη συνδρομή, ότι η ζητούμενη συνδρομή δεν είναι ανάλογη προς τα εποπτικά καθήκοντα της αρμόδιας αρχής ή ότι η αίτηση αφορά πληροφορίες ή συνεπάγεται δραστηριότητες οι οποίες, εάν κοινοποιηθούν ή εκτελεστούν, θα ήταν αντίθετες προς τα βασικά συμφέροντα εθνικής ασφάλειας, δημόσιας ασφάλειας ή άμυνας του κράτους μέλους. Πριν απορρίψει το εν λόγω αίτημα, η αρμόδια αρχή διαβουλεύεται με τις άλλες αρμόδιες αρχές, καθώς και, κατόπιν αιτήματος ενός από τα ενδιαφερόμενα κράτη μέλη, με την Επιτροπή. Κατά περίπτωση και με κοινή συμφωνία, οι αρμόδιες αρχές διαφόρων κρατών μελών μπορούν να αναλαμβάνουν κοινές εποπτικές ενέργειες. Κράτη μέλη της ΕΕ Αμοιβαία συνδρομή σε δράσεις εποπτείας. Ροή δεδομένων Επεξεργασία δεδομένων Άρθρο 1 σημείο 8) της οδηγίας Αναφορά επιθέσεων με λυτρισμικό (άρθρο 27 παράγραφος 13 της οδηγίας NIS 2)   στο άρθρο 23 προστίθενται οι ακόλουθες παράγραφοι 12 και 13:  «13. Τα κράτη μέλη διασφαλίζουν ότι, σε περίπτωση σημαντικού περιστατικού που προκαλείται από επίθεση με λυτρισμικό, οι ενδιαφερόμενες οντότητες ενημερώνουν, κατόπιν αιτήματος της CSIRT ή, κατά περίπτωση, της αρμόδιας αρχής μέσω διαύλου επικοινωνίας που παρέχεται από την CSIRT ή, κατά περίπτωση, την αρμόδια αρχή: αν η οντότητα έχει λάβει αίτημα για λύτρα και, κατά περίπτωση, από ποιον· αν καταβλήθηκαν λύτρα και, αν ναι, ποιο ποσό, με ποια μέσα πληρωμής και σε ποιον αποδέκτη ή σημείο παραλαβής, συμπεριλαμβανομένου του παρόχου κρυπτοστοιχείων και υπηρεσιών κρυπτοστοιχείων, κατά περίπτωση.» Κράτη μέλη της ΕΕ Βασικές και σημαντικές οντότητες Υποβολή αναφορών Ροή δεδομένων Άρθρο 1 σημείο 10) της οδηγίας  Κατάλογος οντοτήτων και μητρώο (άρθρο 27 παράγραφος 1 της οδηγίας NIS 2)   Ο ENISA δημιουργεί και τηρεί μητρώο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, με βάση τις πληροφορίες που λαμβάνει από τα ενιαία σημεία επαφής σύμφωνα με την παράγραφο 2.   ENISA Κράτη μέλη της ΕΕ (βασικές και σημαντικές οντότητες σύμφωνα με τη NIS 2, οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα) Ο ENISA δημιουργεί και τηρεί μητρώο Ψηφιακή λύση Ψηφιακή δημόσια υπηρεσία   Άρθρο 1 σημείο 11) της οδηγίας  Κατάλογος οντοτήτων και μητρώο (άρθρο 27 παράγραφος 4 της NIS 2) «4. Με την παραλαβή των πληροφοριών που αναφέρονται στο άρθρο 3 παράγραφος 4, το ενιαίο σημείο επαφής του οικείου κράτους μέλους τις διαβιβάζει, στον ENISA χωρίς αδικαιολόγητη καθυστέρηση.»  ENISA Κράτη μέλη της ΕΕ Ανταλλαγή πληροφοριών μεταξύ των κρατών μελών και του ENISA Ροή δεδομένων Άρθρο 1 σημείο 12) της οδηγίας Αμοιβαία συνδρομή  (άρθρο 37α παράγραφοι 1, 2 και 3 της οδηγίας NIS 2)  1. Ο ENISA επικουρεί τα κράτη μέλη στην παροχή αμοιβαίας συνδρομής κατά την έννοια του άρθρου 37 και συμβάλλει στη διευκόλυνση των εν λόγω διαδικασιών συνεργασίας για βασικές και σημαντικές οντότητες (…). 2. Ο ENISA διενεργεί ολοκληρωμένη ανάλυση (…). Ο ENISA, σε συνεργασία με την Επιτροπή και την ομάδα συνεργασίας, αναπτύσσει μεθοδολογία. Η έκθεση επικαιροποιείται ετησίως. 3) Κατά περίπτωση, ο ENISA συνιστά· εκπονεί κατευθυντήριες γραμμές· επικουρεί (…)   ENISA Κράτη μέλη της ΕΕ Σημαντικές και βασικές οντότητες κατά την έννοια της οδηγίας NIS 2 Ευρωπαϊκή Επιτροπή Ο ENISA επικουρεί τα κράτη μέλη και διευκολύνει τη διαδικασία συνεργασίας. Διενέργεια αναλύσεων, εκπόνηση κατευθυντήριων γραμμών, μεθοδολογίας, εκθέσεων. Επεξεργασία δεδομένων Ροή δεδομένων Άρθρο 1 σημείο 12) της οδηγίας Αμοιβαία συνδρομή  (άρθρο 37α παράγραφος 4 της οδηγίας NIS 2)  4. Για τους σκοπούς της παραγράφου 4 στοιχείο ε) του παρόντος άρθρου, οι αρμόδιες αρχές των οικείων κρατών μελών παρέχουν, εφόσον υπάρχουν, τα ακόλουθα στον ENISA (…). 5. Όταν ένα κράτος μέλος λαμβάνει αμοιβαία συνδρομή, όπως αναφέρεται στο άρθρο 37 παράγραφος 1 πρώτο εδάφιο στοιχείο γ), το ενιαίο σημείο επαφής ενημερώνει τον ENISA ότι παρασχέθηκε αμοιβαία συνδρομή.  ENISA Κράτη μέλη της ΕΕ   Ανταλλαγή πληροφοριών Ροή δεδομένων Άρθρο 119 Άσκηση της εξουσιοδότησης 3.    Μόλις εκδώσει μια κατ’ εξουσιοδότηση πράξη, η Επιτροπή την κοινοποιεί ταυτόχρονα στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο. Ευρωπαϊκή Επιτροπή Ευρωπαϊκό Κοινοβούλιο  Συμβούλιο  Διαβίβαση πληροφοριών στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο  Ροή δεδομένων Άρθρο 120 Αξιολόγηση και επανεξέταση  1.    Έως τις [ΗΗ ΜΜ ΕΕΕΕ] και, στη συνέχεια, κάθε πέντε έτη, η Επιτροπή αναθέτει αξιολόγηση των επιδόσεων του ENISA σε σχέση με τους στόχους, την εντολή, την αποστολή, τα καθήκοντα, τη διακυβέρνηση και την τοποθεσία του, σύμφωνα με τις κατευθυντήριες γραμμές της Επιτροπής. 5.    Η Επιτροπή υποβάλλει έκθεση στο Ευρωπαϊκό Κοινοβούλιο, στο Συμβούλιο και στο διοικητικό συμβούλιο σχετικά με τα συμπεράσματα της αξιολόγησης. Τα συμπεράσματα της αξιολόγησης δημοσιοποιούνται. ENISA Επιτροπή Ευρύ κοινό Συλλογή και ανάλυση δεδομένων· δημοσιοποίηση πληροφοριών Επεξεργασία δεδομένων Ροή δεδομένων

4.2.Δεδομένα

Γενική περιγραφή των δεδομένων που εμπίπτουν στο πεδίο εφαρμογής και των τυχόν σχετικών προτύπων/προδιαγραφών 

Είδος δεδομένων	Αναφορά/-ές στην απαίτηση	Πρότυπο και/ή προδιαγραφή                    (κατά περίπτωση)
Δεδομένα που συνδέονται με αναλύσεις/εκθέσεις σχετικά με την ανθεκτικότητα στον τομέα της κυβερνοασφάλειας και την κοινωνία	Άρθρο 5 παράγραφος 1 στοιχεία α), β), γ), ε), στ), η)  Άρθρο 5 παράγραφοι 2, 3 και 4  Άρθρο 6  Άρθρο 7  Άρθρο 8  Άρθρο 9  Άρθρο 10  Άρθρο 11 παράγραφος 2 στοιχεία β) και γ)  Άρθρο 12 παράγραφος 4  Άρθρο 15  Άρθρο 1 σημείο 7) της οδηγίας	Κατά την εκτέλεση των δραστηριοτήτων που αναφέρονται στο άρθρο 11 παράγραφος 1 στοιχεία α) έως ε) και στην παράγραφο 2, ο ENISA χρησιμοποιεί τις δικές του αναλύσεις και, κατά περίπτωση, τις πληροφορίες που λαμβάνει κατά την εκτέλεση των καθηκόντων του, συμπεριλαμβανομένων των εξής:  α) πληροφοριών που παρέχονται σε δημόσια διαθέσιμες πηγές, μεταξύ των οποίων δημόσια γνωστές ευπάθειες σε προϊόντα ΤΠΕ ή υπηρεσίες ΤΠΕ που είναι διαθέσιμες στην ευρωπαϊκή βάση δεδομένων ευπαθειών που έχει δημιουργηθεί σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555· β) πληροφοριών που ανταλλάσσονται από κράτη μέλη, οντότητες της Ένωσης, τη CERT-ΕΕ, εταίρους του ιδιωτικού τομέα ή μη κυβερνητικούς εταίρους και τρίτες χώρες και διεθνείς οργανισμούς, με την επιφύλαξη τυχόν περιορισμών μέσω ορατής σήμανσης σχετικά με την περαιτέρω διανομή των εν λόγω πληροφοριών. Ο ENISA εκδίδει κατευθυντήριες γραμμές σχετικά με τη διαλειτουργικότητα των συστημάτων δικτύου και πληροφοριών που χρησιμοποιούνται για την ανταλλαγή πληροφοριών, μεταξύ άλλων όσον αφορά τους διασυνοριακούς κυβερνοκόμβους, όπως αναφέρονται στο άρθρο 6 παράγραφος 3 του κανονισμού (ΕΕ) 2025/38.
Δεδομένα σχετικά με την επιχειρησιακή συνεργασία και την επίγνωση της κατάστασης	Άρθρο 10 παράγραφος 4 στοιχεία α) έως ζ)  Άρθρο 10 παράγραφος 6  Άρθρο 11 παράγραφος 1 στοιχεία α) έως ζ)  Άρθρο 11 παράγραφος 2 στοιχεία α), β) και γ)  Άρθρο 11 παράγραφος 3  Άρθρο 11 παράγραφος 4  Άρθρο 13 παράγραφος 2  Άρθρο 15  Άρθρο 16 παράγραφος 2 στοιχείο ε)	Πρότυπα για την προστασία της εμπιστευτικότητας και τον χειρισμό ευαίσθητων πληροφοριών  Κατά την εκτέλεση των δραστηριοτήτων που αναφέρονται στο άρθρο 11 παράγραφος 1 στοιχεία α) έως ε) και στην παράγραφο 2, ο ENISA χρησιμοποιεί τις δικές του αναλύσεις και, κατά περίπτωση, τις πληροφορίες που λαμβάνει κατά την εκτέλεση των καθηκόντων του, συμπεριλαμβανομένων των εξής:  α) πληροφοριών που παρέχονται σε δημόσια διαθέσιμες πηγές, μεταξύ των οποίων δημόσια γνωστές ευπάθειες σε προϊόντα ΤΠΕ ή υπηρεσίες ΤΠΕ που είναι διαθέσιμες στην ευρωπαϊκή βάση δεδομένων ευπαθειών που έχει δημιουργηθεί σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555· β) πληροφοριών που ανταλλάσσονται από κράτη μέλη, οντότητες της Ένωσης, τη CERT-ΕΕ, εταίρους του ιδιωτικού τομέα ή μη κυβερνητικούς εταίρους και τρίτες χώρες και διεθνείς οργανισμούς, με την επιφύλαξη τυχόν περιορισμών μέσω ορατής σήμανσης σχετικά με την περαιτέρω διανομή των εν λόγω πληροφοριών.
Δεδομένα σχετικά με τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και την αδειοδότηση παρόχων  Δεδομένα σχετικά με τους στόχους, τον σκοπό και το περιεχόμενο των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας	Άρθρο 17  Άρθρο 18  Άρθρα 19 έως 23  Άρθρα 72, 73, 74, 75, 76, 77, 79, 81, 83, 84	Ένα σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας περιλαμβάνει (…): κανόνες σχετικά με την τήρηση αρχείων από αδειοδοτημένους παρόχους βεβαιώσεων Οι αδειοδοτημένοι πάροχοι διασφαλίζουν ότι, κατόπιν αιτήματος φυσικού προσώπου, οι ηλεκτρονικές βεβαιώσεις των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας εκδίδονται ως ηλεκτρονικές βεβαιώσεις χαρακτηριστικών σε μορφότυπο που μπορεί να αποθηκευτεί στα ευρωπαϊκά πορτοφόλια ψηφιακής ταυτότητας που καθορίζονται στον κανονισμό (ΕΕ) αριθ. 910/2014. .  Η Επιτροπή και ο ENISA θα πρέπει να τηρούν τις σχετικές διατάξεις της νομοθεσίας της Ένωσης κατά τη θέσπιση ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας όσον αφορά τα δεδομένα.
Δεδομένα σχετικά με τη διακυβέρνηση του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας	Άρθρα 85, 86, 88, 89, 90, 92, 93, 94, 95, 96, 97	Ο ENISA, οι οργανισμοί αξιολόγησης της συμμόρφωσης και οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας θα πρέπει να διασφαλίζουν την εμπιστευτικότητα των δεδομένων και να τηρούν τις διατάξεις σχετικού σχήματος που παραπέμπει σε διεθνή πρότυπα τα οποία προσδιορίζουν τις απαιτήσεις.
Δεδομένα σχετικά με τις εσωτερικές λειτουργίες του ENISA (προϋπολογισμός, ΕΕΠ, εσωτερικές στρατηγικές)	Άρθρο 25  Άρθρο 28 παράγραφος 1  Άρθρο 30  Άρθρο 31 παράγραφος 8  Άρθρο 32 παράγραφοι 3 έως 5  Άρθρο 35 παράγραφοι 5 έως 6  Άρθρα 36 έως 43  Άρθρο 44  Άρθρο 45  Άρθρο 47 παράγραφος 10  Άρθρα 48 έως 49  Άρθρο 52, άρθρο 58	Υποδείγματα και κατευθυντήριες γραμμές του δημοσιονομικού κανονισμού· εσωτερικές κατευθυντήριες γραμμές
Δεδομένα προσωπικού χαρακτήρα	Άρθρο 22  Τίτλος II κεφάλαιο III τμήμα 6 Συμβούλιο προσφυγών  Άρθρο 66  Άρθρο 80 παράγραφος 1 στοιχεία γ), κδ)  Άρθρο 81 παράγραφος 2 Άρθρο 88 παράγραφος 6 στοιχείο η)  Άρθρο 95  Άρθρο 96	Κανονισμός (ΕΕ) 2018/1725  Κανονισμός (ΕΕ) 2016/679
Δεδομένα που συλλέγονται και αναλύονται στο πλαίσιο της διενέργειας συντονισμένων εκτιμήσεων κινδύνου, της ανάπτυξης σεναρίων κινδύνου και του προσδιορισμού βασικών πάγιων στοιχείων ΤΠΕ	Άρθρο 98 Άρθρο 99 Άρθρο 102 Άρθρο 103 Άρθρο 105	Με την επιφύλαξη του άρθρου 13 του κανονισμού (ΕΕ) 2024/2847 και του άρθρου 21 της οδηγίας (ΕΕ) 2022/2555
Δεδομένα σχετικά με τρίτες χώρες / οντότητες τρίτων χωρών	Άρθρο 100 παράγραφοι 1, 3 και 4 Άρθρο 104 Άρθρο 105 Άρθρο 107 Άρθρο 113	Άνευ αντικειμένου
Δεδομένα σχετικά με τις εθνικές αρχές	Άρθρο 112 Άρθρο 114 Άρθρο 116	Άνευ αντικειμένου
Δεδομένα σχετικά με τις εκτιμήσεις κινδύνου	Άρθρο 5 παράγραφος 2	Πρότυπα για την προστασία της εμπιστευτικότητας και τον χειρισμό ευαίσθητων πληροφοριών
Αμοιβαία συνδρομή μεταξύ κρατών μελών	Άρθρο 5 παράγραφος 1 στοιχείο ζ) του κανονισμού και άρθρο 1 σημείο 12) της οδηγίας	/

Ευθυγράμμιση με την ευρωπαϊκή στρατηγική για τα δεδομένα

Να εξηγηθεί ο τρόπος με τον οποίο οι απαιτήσεις ευθυγραμμίζονται με την ευρωπαϊκή στρατηγική για τα δεδομένα

Οι απαιτήσεις στο πλαίσιο της πρότασης ΚΚΑ2 ευθυγραμμίζονται χωρίς συγκεκριμένο αντίκτυπο στον βαθμό που αφορά την ευρωπαϊκή στρατηγική για τα δεδομένα.

Ευθυγράμμιση με την αρχή «μόνον άπαξ»     

Να εξηγηθεί ο τρόπος με τον οποίο ελήφθη υπόψη η αρχή «μόνον άπαξ» και ο τρόπος με τον οποίο διερευνήθηκε η δυνατότητα περαιτέρω χρήσης υφιστάμενων δεδομένων 

Ένας από τους στόχους της πρότασης είναι η μεγιστοποίηση των προσπαθειών της Επιτροπής για απλούστευση και η μείωση του διοικητικού φόρτου για τα κράτη μέλη και τους συμφεροντούχους. Τα τελευταία χρόνια ο ENISA έχει μετατραπεί σε κόμβο πληροφοριών, ο οποίος κατέχει πληροφορίες από διάφορες πηγές. Υπό την έννοια αυτή, πολλά από τα καθήκοντα του ENISA συνδέονται με την επαναχρησιμοποίηση και την ανακύκλωση πληροφοριών για τους σκοπούς διαφόρων αναλύσεων. Ενδεικτικά αναφέρονται τα εξής: για ορισμένους σκοπούς, επαναχρησιμοποίηση πληροφοριών που κοινοποιούνται σύμφωνα με τα άρθρα 23 και 30 της οδηγίας (ΕΕ) 2022/2555· που κοινοποιούνται, ανταλλάσσονται ή αναλύονται βάσει του άρθρου 14 παράγραφοι 1 έως 3, του άρθρου 15 και του άρθρου 17 παράγραφοι 1 και 3 του κανονισμού (ΕΕ) 2024/2847. Οι διατάξεις του πλαισίου για τις αλυσίδες εφοδιασμού προϋποθέτουν την υποστήριξη της εφαρμογής του με δεδομένα που λαμβάνονται μέσω του άρθρου 22 της οδηγίας (ΕΕ) 2022/2555, γεγονός που καταδεικνύει επαναχρησιμοποίηση πληροφοριών και συντονισμό.

Να εξηγηθεί ο τρόπος με τον οποίο τα νεοδημιουργηθέντα δεδομένα είναι ευρέσιμα, προσβάσιμα, διαλειτουργικά και επαναχρησιμοποιήσιμα, και πληρούν πρότυπα υψηλής ποιότητας  

Η νομοθετική πρόταση αναφέρει ρητά πότε θα πρέπει να δημοσιοποιούνται δεδομένα. Η πρόταση λαμβάνει υπόψη τη φύση των διατάξεων που έχουν αυστηρά πτυχές ασφάλειας και εμπιστευτικότητας, και, ως εκ τούτου, δεν θα είναι όλα τα δεδομένα που δημιουργούνται στο πλαίσιο της επανεξέτασης της CSA για δημόσια κατανάλωση. Για τις αναγκαίες διατάξεις, έχει διασφαλιστεί η ευθυγράμμιση με το ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας. Ο ENISA είναι επιφορτισμένος να παρέχει υπηρεσία έγκαιρων προειδοποιήσεων σε μηχαναγνώσιμο μορφότυπο.

Ροές δεδομένων

Γενική περιγραφή των δεδομένων που εμπίπτουν στο πεδίο εφαρμογής και των τυχόν σχετικών προτύπων/προδιαγραφών

Είδος δεδομένων	Να εξηγηθεί η ροή δεδομένων		Παραπομπές
Ο ENISA παρέχει εκθέσεις και αναλύσεις, τεχνική καθοδήγηση και βέλτιστες πρακτικές.	Πρόκειται για ροή δεδομένων προς τους συμφεροντούχους του ENISA, η οποία υποστηρίζει την εφαρμογή της πολιτικής και του δικαίου της ΕΕ. Σε αυτές τις ροές δεδομένων, ο ENISA συγκεντρώνει πληροφορίες, τις περισσότερες φορές μέσω δημόσιων πηγών, πραγματοποιεί αναλύσεις και κοινοποιεί τα αποτελέσματα στους συμφεροντούχους του.  Ο ENISA εκτελεί ορισμένα καθήκοντα και όταν του ζητηθεί από την Επιτροπή.		Άρθρο 5 παράγραφος 1 στοιχεία α), β), γ), ε), στ), η)   Άρθρο 5 παράγραφος 2, Άρθρο 5 παράγραφος 3, Άρθρο 5 παράγραφος 5 Άρθρο 6  Άρθρο 7 Άρθρο 8  Άρθρο 9 Άρθρο 10 Άρθρο 11 παράγραφος 2  Άρθρο 11 παράγραφος 4  Άρθρο 14
Ροές δεδομένων μεταξύ της Επιτροπής, του ENISA, των κρατών μελών και άλλων σχετικών φορέων εντός του οικοσυστήματος κυβερνοασφάλειας της ΕΕ, υπό την έννοια της επιχειρησιακής συνεργασίας.	Τέτοιου είδους ροές δεδομένων δημιουργούνται για σκοπούς επιχειρησιακής συνεργασίας και επίγνωσης της κατάστασης. Η ανταλλαγή πληροφοριών πραγματοποιείται προς αμφότερες τις κατευθύνσεις, εντός και εκτός. Η ανταλλαγή αφορά επιχειρησιακά δεδομένα.		Άρθρο 10 παράγραφος 4 στοιχεία α) έως ζ)  Άρθρο 11 παράγραφος 1 στοιχεία β) έως ζ)  Άρθρο 11 παράγραφος 2 στοιχεία α), β) Άρθρο 11 παράγραφος 3  Άρθρο 15 Άρθρο 16 παράγραφος 2 στοιχείο ε)
Ροές δεδομένων που δημιουργήθηκαν για την υποστήριξη του ΕΠΔΚ και των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας και της εφαρμογής τους	Οι εν λόγω ροές δεδομένων υποστηρίζουν ανταλλαγές εισερχόμενων και εξερχόμενων δεδομένων για: — τη συντήρηση και την υιοθέτηση του ΕΠΔΚ, με ροές μεταξύ του ENISA και των μελών των ad hoc ομάδων εργασίας του και μεταξύ του ENISA και της Επιτροπής· — την ανάπτυξη και τη συντήρηση σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας με ροές μεταξύ του ENISA και των μελών των ad hoc ομάδων εργασίας του και μεταξύ του ENISA, της Επιτροπής και των κρατών μελών· — την εφαρμογή σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας με ροές δεδομένων μεταξύ των αιτούντων και του ENISA· — ροές δεδομένων μεταξύ του συμβουλίου προσφυγών, του ENISA, της Επιτροπής και των αιτούντων.		Άρθρα 19 έως 23  Άρθρα 36 έως 43
Δεδομένα σχετικά με τους στόχους, τον σκοπό και το περιεχόμενο των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας	Τέτοιου είδους ροές δεδομένων σχετίζονται με τον σχεδιασμό, την υποβολή αίτησης για δημιουργία, την ανάπτυξη, την έγκριση και τη συντήρηση (συμπεριλαμβανομένης της πιθανής επανεξέτασης) ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Σχετίζεται ιδίως με τη συμμετοχή και την εμπειρογνωσία των συμφεροντούχων, του ENISA, των αρχών των κρατών μελών μέσω της ΕΟΠΙΚ σε διάφορα στάδια της διαδικασίας. Επιπλέον, πρόσθετες ροές δεδομένων σχετίζονται με την παροχή σχετικών πληροφοριών στο ευρύ κοινό μέσω ειδικών ιστότοπων της Επιτροπής και του ENISA. Τέλος, το πλαίσιο προβλέπει τη διαθεσιμότητα στο κοινό συμπληρωματικών πληροφοριών για την κυβερνοασφάλεια από τους κατασκευαστές ή τους παρόχους προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ ή διαδικασιών ΤΠΕ για τα οποία έχει εκδοθεί δήλωση συμμόρφωσης ΕΕ ή ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας με δικά τους μέσα.	Άρθρο 18 Άρθρο 19 Άρθρα 72, 73, 74, 75, 76, 77, 79, 81, 83, 84
Δεδομένα σχετικά με τη διακυβέρνηση του ευρωπαϊκού πλαισίου πιστοποίησης της κυβερνοασφάλειας	Οι εν λόγω ροές δεδομένων υποστηρίζουν ανταλλαγές εισερχόμενων και εξερχόμενων δεδομένων για: — τον συντονισμό και τη διαχείριση ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας — τη διαπίστευση και την αδειοδότηση οργανισμών αξιολόγησης της συμμόρφωσης, καθώς και την επακόλουθη κοινοποίησή τους μέσω της σχετικής πλατφόρμας και των σχετικών διαδικασιών — διαδικασίες προσφυγής, όπως το δικαίωμα υποβολής καταγγελίας, διαδικασίες ένδικων μέσων ή προσφυγής και αλλαγής	Άρθρα 85, 86, 88, 89, 90, 92, 93, 94, 95, 96
Ροές δεδομένων σε σχέση με τις διοικητικές δραστηριότητες του Οργανισμού	Ροές μεταξύ του ENISA, του διοικητικού συμβουλίου, των κρατών μελών, της Επιτροπής. Οι πληροφορίες αφορούν τις διοικητικές δραστηριότητες του Οργανισμού και ανταλλάσσονται και προς τις δύο κατευθύνσεις. Πληροφορίες αποστέλλονται επίσης στο Ευρωπαϊκό Κοινοβούλιο σε ορισμένες περιπτώσεις (η σχετική ροή δεδομένων παρουσιάζεται κατωτέρω)		Άρθρο 25  Άρθρο 28 παράγραφος 1  Άρθρο 30  Άρθρο 31 παράγραφος 8  Άρθρο 32 παράγραφοι 3 έως 5  Άρθρο 35 παράγραφοι 5 έως 6  Άρθρα 36 έως 43  Άρθρο 44 Άρθρο 45
Δεδομένα που αποστέλλονται στο Ευρωπαϊκό Κοινοβούλιο	Ροές προς το Ευρωπαϊκό Κοινοβούλιο σχετικά με τις δραστηριότητες του ENISA και την εκτέλεση των καθηκόντων του· δημοσιονομική και χρηματοοικονομική διαχείριση, συνεργασία με τρίτες χώρες και διεθνείς οργανισμούς, ακρόαση του υποψηφίου για τη θέση του εκτελεστικού διευθυντή· θέματα που σχετίζονται με την ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας		Άρθρο 28 παράγραφος 1 στοιχείο στ), άρθρο 31 παράγραφος 8, άρθρο 32 παράγραφος 3, άρθρο 44 παράγραφος 3, άρθρο 49 παράγραφοι 6 και 9, άρθρο 70 παράγραφος 5, άρθρο 72 παράγραφοι 4 και 5, άρθρο 119 παράγραφος 3 Άσκηση της εξουσιοδότησης, άρθρο 120 Αξιολόγηση και επανεξέταση
Δεδομένα που αποστέλλονται στο Συμβούλιο της ΕΕ	Ροές προς το Ευρωπαϊκό Κοινοβούλιο σχετικά με τις δραστηριότητες του ENISA και την εκτέλεση των καθηκόντων του· δημοσιονομική και χρηματοοικονομική διαχείριση, συνεργασία με τρίτες χώρες και διεθνείς οργανισμούς, ακρόαση του υποψηφίου για τη θέση του εκτελεστικού διευθυντή· υποψήφια σχήματα υπό ανάπτυξη σύμφωνα με το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας.		Άρθρο 28 παράγραφος 1 στοιχείο στ), άρθρο 31 παράγραφος 8, άρθρο 32 παράγραφοι 3 και 7, άρθρο 49 παράγραφοι 6 και 9, άρθρο 70 παράγραφος 5, άρθρο 72 παράγραφοι 4 και 5, άρθρο 119 παράγραφος 3 Άσκηση της εξουσιοδότησης, άρθρο 120 Αξιολόγηση και επανεξέταση
Ροές δεδομένων σε σχέση με την υποβολή καταγγελίας	Για τον χειρισμό καταγγελιών υποβαλλόμενων από φυσικά ή νομικά πρόσωπα σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που εκδίδονται από εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ή σε σχέση με ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας που εκδίδονται από οργανισμούς αξιολόγησης της συμμόρφωσης σύμφωνα με το άρθρο 84 παράγραφος 4 ή σε σχέση με δηλώσεις συμμόρφωσης ΕΕ Τα φυσικά και τα νομικά πρόσωπα έχουν το δικαίωμα να υποβάλλουν καταγγελία στον εκδότη ευρωπαϊκού πιστοποιητικού κυβερνοασφάλειας ή, όταν η καταγγελία αφορά ευρωπαϊκό πιστοποιητικό κυβερνοασφάλειας εκδιδόμενο από οργανισμό αξιολόγησης της συμμόρφωσης		Άρθρο 55 παράγραφος 3, Άρθρο 88 παράγραφος 7 σημείο στ), Άρθρο 96
Ροές δεδομένων σχετικά με επιθέσεις με λυτρισμικό	Αναφορά ορισμένων πληροφοριών σε περίπτωση επιθέσεων με λυτρισμικό		Άρθρο 1 σημείο 8) της οδηγίας

   

Είδος δεδομένων	Αναφορές στις απαιτήσεις	Φορείς που παρέχουν τα δεδομένα	Φορείς που λαμβάνουν τα δεδομένα	Έναυσμα για την ανταλλαγή δεδομένων	Συχνότητα (κατά περίπτωση)
Ροές δεδομένων μεταξύ της Επιτροπής και των κρατών μελών στο πλαίσιο της διενέργειας συντονισμένων σε επίπεδο Ένωσης εκτιμήσεων κινδύνου για την ασφάλεια.	Άρθρο 99 Εκτιμήσεις κινδύνου για την ασφάλεια	Επιτροπή και κράτη μέλη	Κράτη μέλη (ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών)	Άρθρο 99 Εκτιμήσεις κινδύνου για την ασφάλεια	Άνευ αντικειμένου
Ροές δεδομένων μεταξύ της Επιτροπής και του Συμβουλίου σε σχέση με τον καθορισμό τρίτων χωρών που εγείρουν ανησυχίες για την κυβερνοασφάλεια	Άρθρο 100 Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες σχετικά με την κυβερνοασφάλεια	Επιτροπή	Συμβούλιο	Άρθρο 100 Επαλήθευση από την Επιτροπή της απειλής που εγείρει τρίτη χώρα
Ροές δεδομένων μεταξύ της Επιτροπής και των κρατών μελών σε σχέση με μέτρα μετριασμού στην περίπτωση εξαιρετικών περιστάσεων	Άρθρο 103 παράγραφος 6 Μέτρα μετριασμού στις αλυσίδες εφοδιασμού ΤΠΕ	Επιτροπή	Κράτη μέλη	Εξαιρετικές περιστάσεις	Άνευ αντικειμένου
Ροές δεδομένων μεταξύ της Επιτροπής και των προμηθευτών και της Επιτροπής και των αρμόδιων αρχών σχετικά με την αξιολόγηση της εγκατάστασης, της κυριότητας και του ελέγχου των προμηθευτών	Άρθρο 104 παράγραφοι 4, 5 και 6 Προσδιορισμός προμηθευτών υψηλού κινδύνου	Προμηθευτές Επιτροπή Αρμόδιες αρχές	Αρμόδιες αρχές Προμηθευτές Επιτροπή	Εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1 και σε σχέση με την απαγόρευση του άρθρου 111 παράγραφος 1	Άνευ αντικειμένου
Ροή δεδομένων μεταξύ της Επιτροπής και των κρατών μελών όσον αφορά τις εποπτικές εξουσίες σε σχέση με την εφαρμογή του πλαισίου ασφάλειας για αξιόπιστες αλυσίδες εφοδιασμού ΤΠΕ	Άρθρο 112 παράγραφοι 1 και 4 Αρμόδιες αρχές Άρθρο 114 Μέτρα εποπτείας και επιβολής	Κράτη μέλη	Επιτροπή	Άρθρο 112 παράγραφοι 1 και 4 Αρμόδιες αρχές Άρθρο 114 Μέτρα εποπτείας και επιβολής (η Επιτροπή, σε συνεργασία με τα κράτη μέλη, εκδίδει κατάλογο των οντοτήτων που συνδέονται με προμηθευτές υψηλού κινδύνου.)	Άνευ αντικειμένου
Ροή δεδομένων μεταξύ της Επιτροπής και τρίτων μερών για εξαιρέσεις	Άρθρο 105 Εξαίρεση οντοτήτων εγκατεστημένων σε τρίτη χώρα ή ελεγχόμενων από τρίτη χώρα που εγείρει ανησυχίες για την κυβερνοασφάλεια	Τρίτα μέρη [οντότητες που είναι εγκατεστημένες σε τρίτη χώρα ή ελέγχονται από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια (κατά την έννοια του άρθρου 100)] (κατά την υποβολή αίτησης εξαίρεσης) Ευρωπαϊκή Επιτροπή (κατά την έκδοση αποφάσεων)	Επιτροπή (κατά την παραλαβή της αίτησης εξαίρεσης) Τρίτα μέρη [οντότητες εγκατεστημένες σε τρίτη χώρα ή ελεγχόμενες από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια (κατά την έννοια του άρθρου 100)] (κατά την παραλαβή της απόφασης της Επιτροπής)	Απόφαση με βάση το άρθρο 100 Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες για την κυβερνοασφάλεια	Άνευ αντικειμένου
Ροή δεδομένων μεταξύ κρατών μελών και τρίτων μερών σε σχέση με απαγορεύσεις σε δίκτυα ηλεκτρονικών επικοινωνιών	Άρθρο 111 Απαγορεύσεις για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών	Κράτη μέλη (Αρμόδιες αρχές)	Τρίτα μέρη (Πάροχοι δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών)	Η αρμόδια αρχή που ορίζεται δυνάμει του παρόντος κανονισμού ενημερώνει χωρίς καθυστέρηση την αρμόδια αρχή σύμφωνα με τον κανονισμό (ΕΕ) XX/XXXX [πρόταση κανονισμού για τα ψηφιακά δίκτυα] σχετικά με τα μέτρα που επιβάλλονται στους παρόχους δικτύων κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών.	Άνευ αντικειμένου
Ροή δεδομένων μεταξύ της Επιτροπής και των κρατών μελών στο πλαίσιο του δικτύου υπηρεσιών συνεργασίας και υποστήριξης	Άρθρο 113 Δίκτυο υπηρεσιών συνεργασίας και υποστήριξης της Επιτροπής	Επιτροπή Κράτη μέλη (Αρμόδιες αρχές)	Επιτροπή Κράτη μέλη (Αρμόδιες αρχές)	Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες σχετικά με την κυβερνοασφάλεια
Ροή δεδομένων μεταξύ κρατών μελών και τρίτων μερών σε σχέση με μέτρα εποπτείας και επιβολής	Άρθρο 114 Μέτρα εποπτείας και επιβολής	Τρίτα μέρη [Οντότητες του τύπου που αναφέρεται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555]	Κράτη μέλη (Αρμόδιες αρχές)	Εφαρμογή των μέτρων που προβλέπονται στον τίτλο IV
Ροή δεδομένων μεταξύ κρατών μελών για αμοιβαία συνδρομή	Άρθρο 116 Αμοιβαία συνδρομή	Κράτη μέλη	Κράτη μέλη	Όταν μια οντότητα που αναφέρεται στο παράρτημα I ή II της οδηγίας (ΕΕ) 2022/2555 παρέχει υπηρεσίες σε περισσότερα του ενός κράτη μέλη ή παρέχει υπηρεσίες σε ένα ή περισσότερα κράτη μέλη και τα οικεία βασικά πάγια στοιχεία ΤΠΕ βρίσκονται σε ένα ή περισσότερα άλλα κράτη μέλη, οι αρμόδιες αρχές των οικείων κρατών μελών συνεργάζονται μεταξύ τους και παρέχουν αμοιβαία συνδρομή, ανάλογα με τις ανάγκες.	Άνευ αντικειμένου

4.3.Ψηφιακές λύσεις

Γενική περιγραφή των ψηφιακών λύσεων 

Για κάθε ψηφιακή λύση, επεξήγηση του τρόπου με τον οποίο συμμορφώνεται με τις ισχύουσες ψηφιακές πολιτικές και νομοθετικές πράξεις 

Ψηφιακή λύση	Αναφορές στις απαιτήσεις	Κύριες απαιτούμενες λειτουργίες	Αρμόδιος φορέας	Πώς εξυπηρετείται η προσβασιμότητα;	Πώς εξετάζεται η δυνατότητα περαιτέρω χρήσης;	Χρήση τεχνολογιών ΤΝ (κατά περίπτωση)
Ο ENISA παρέχει γραμματειακή υποστήριξη στο δίκτυο CSIRT και στο EU-CyCLONe και αναπτύσσει, στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe, εργαλεία ασφαλούς επικοινωνίας που παρέχονται από νομικές οντότητες που δεν είναι εγκατεστημένες σε τρίτες χώρες και δεν ελέγχονται από τρίτες χώρες ή από υπηκόους τρίτων χωρών.	Άρθρο 10 παράγραφοι 2, 3, 5	Μη δημόσιες πληροφορίες	ENISA	Μη δημόσιες πληροφορίες	Μη δημόσιες πληροφορίες	Μη δημόσιες πληροφορίες
Ανάπτυξη, σε συνεργασία με το EU-CyCLONe, το δίκτυο CSIRT, την Επιτροπή, την Ευρωπόλ, τη CERT-ΕΕ και άλλες σχετικές οντότητες της Ένωσης, αποθετηρίων επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές, συμπεριλαμβανομένων των τάσεων όσον αφορά τα περιστατικά, τις τακτικές, τις τεχνικές και τις διαδικασίες.	Άρθρο 11 παράγραφος 1 στοιχείο α)	επαληθευμένες, αξιόπιστες πληροφορίες για κυβερνοαπειλές, συμπεριλαμβανομένων των τάσεων όσον αφορά τα περιστατικά, τις τακτικές, τις τεχνικές και τις διαδικασίες	ENISA EU-CyCLONe, δίκτυο CSIRT, Επιτροπή, Ευρωπόλ, CERT-ΕΕ και σχετικές οντότητες της Ένωσης	Άνευ αντικειμένου	Άνευ αντικειμένου	Άνευ αντικειμένου
Ο ENISA διατηρεί αποθετήριο των διδαγμάτων που αντλούνται.	Άρθρο 14 παράγραφος 2	Ο ENISA διατηρεί αποθετήριο των διδαγμάτων που αντλούνται από τις ασκήσεις και συνιστά στα κράτη μέλη και, κατά περίπτωση, στις οντότητες της Ένωσης τρόπους αποτελεσματικής και αποδοτικής εφαρμογής των αντλούμενων διδαγμάτων.	ENISA	Άνευ αντικειμένου	Άνευ αντικειμένου	Άνευ αντικειμένου
Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, επιχειρησιακά τεχνικά εργαλεία, όπως πλατφόρμες που σχετίζονται με την κυβερνοασφάλεια σε επίπεδο Ένωσης, ειδικότερα την ενιαία πλατφόρμα αναφοράς που θεσπίστηκε σύμφωνα με το άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2024/2847 [και το ενιαίο σημείο εισόδου για την αναφορά περιστατικών που θεσπίστηκε σύμφωνα με το άρθρο 23α της οδηγίας (ΕΕ) 2022/2555], ή εργαλεία δοκιμών για την υποστήριξη της εφαρμογής των διαδικασιών αξιολόγησης της συμμόρφωσης σύμφωνα με τη σχετική νομοθεσία της Ένωσης.	Άρθρο 15	Ενιαία πλατφόρμα αναφοράς   Άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2024/2847   [ενιαίο σημείο εισόδου    άρθρο 23α της οδηγίας (ΕΕ) 2022/2555]	ENISA	Άνευ αντικειμένου	Άνευ αντικειμένου	Άνευ αντικειμένου
Συντήρηση της ευρωπαϊκής βάσης δεδομένων ευπαθειών που συστάθηκε σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555 και παροχή υπηρεσιών διαχείρισης ευπαθειών	Άρθρο 16 παράγραφος 2	Άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555   Συντήρηση της βάσης δεδομένων και παροχή υπηρεσιών διαχείρισης ευπαθειών	ENISA	Άνευ αντικειμένου	Άνευ αντικειμένου	Άνευ αντικειμένου
Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει ενημέρωση στο κοινό	Άρθρα 19 έως 23	Διατήρηση και τακτική επικαιροποίηση ειδικού ιστότοπου που παρέχει ενημέρωση στο κοινό σχετικά με το ΕΠΔΚ, συμπεριλαμβανομένων του πλαισίου και του χρονοδιαγράμματος επικαιροποίησής του· τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, την πρόοδό τους και τα χρονοδιαγράμματα για την ανάπτυξή τους· τα τέλη σχετικά με κάθε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας· το ενδεικτικό κόστος μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας· τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων.	ENISA	Άνευ αντικειμένου	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή διατηρεί και επικαιροποιεί τακτικά ειδικό δημόσιο ιστότοπο	Άρθρο 72	Οι ακόλουθες πληροφορίες: α)    τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας που ζητείται να αναπτυχθούν· β)    στρατηγικές προτεραιότητες για την εναρμόνιση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή των απαιτήσεων ασφάλειας της νομοθεσίας της Ένωσης, συμπεριλαμβανομένων πιθανών τομέων για τους οποίους ενδέχεται να ζητηθεί ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.	Ευρωπαϊκή Επιτροπή	Συμμόρφωση με τις κατευθυντήριες γραμμές	Συμμόρφωση με τις κατευθυντήριες γραμμές	Άνευ αντικειμένου
Ο ENISA διατηρεί ειδικό ιστότοπο για την πιστοποίηση	Άρθρο 79	Παροχή πληροφοριών για τα εξής: α) ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας· β) τα τέλη που συνδέονται με τη συντήρηση κάθε ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας· γ) σχετικές τεχνικές προδιαγραφές του ENISA· δ) ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και δηλώσεις συμμόρφωσης ΕΕ, συμπεριλαμβανομένων πληροφοριών σχετικά με πιστοποιητικά και δηλώσεις που δεν ισχύουν πλέον ή που έχουν ανασταλεί, ανακληθεί ή λήξει· ε) σχετικές συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια που παρέχονται σύμφωνα με το άρθρο 84 παράγραφος 2· στ)συνόψεις αξιολογήσεων από ομοτίμους δυνάμει του άρθρου 89 παράγραφος 7· ζ)τις τεχνικές προδιαγραφές που αναφέρονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 74 παράγραφος 10.	ENISA	Συμμόρφωση με τις κατευθυντήριες γραμμές	Συμμόρφωση με τις κατευθυντήριες γραμμές	Άνευ αντικειμένου
Μητρώο (εξαιρέσεων για οντότητες εγκατεστημένες σε τρίτη χώρα ή ελεγχόμενες από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια)	Άρθρο 107 Μητρώο	Η Επιτροπή τηρεί μητρώο των αποφάσεων που αναφέρονται στο άρθρο 105 παράγραφος 4, στο οποίο έχει πρόσβαση το κοινό. Το μητρώο αναφέρει τα ονόματα των οντοτήτων για τις οποίες εκδόθηκαν οι αποφάσεις. Η Επιτροπή το επικαιροποιεί τακτικά.	Επιτροπή	«Η Επιτροπή τηρεί μητρώο στο οποίο έχει πρόσβαση το κοινό»	Άνευ αντικειμένου	Άνευ αντικειμένου
Πλατφόρμα (για συνεργασία και ανταλλαγή πληροφοριών μεταξύ της Επιτροπής και των αρμόδιων αρχών)	Άρθρο 113	Η Επιτροπή συγκροτεί δίκτυο συνεργασίας των αρμόδιων αρχών των κρατών μελών και της Επιτροπής, το οποίο χρησιμεύει ως πλατφόρμα συνεργασίας και ανταλλαγής πληροφοριών. Η Επιτροπή παρέχει διοικητική υποστήριξη στο δίκτυο.	Επιτροπή	Όχι δημόσια, μόνο για τις αρμόδιες αρχές	Άνευ αντικειμένου	Άνευ αντικειμένου
Ο ENISA δημιουργεί και τηρεί μητρώο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα	Άρθρο 1 σημείο 11) της οδηγίας	Μητρώο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα	ENISA	Άνευ αντικειμένου	Με βάση τις πληροφορίες που λαμβάνονται από τα ενιαία σημεία επαφής σύμφωνα με την παράγραφο 2. (Άρθρο 27 της οδηγίας NIS 2)	Άνευ αντικειμένου

Ψηφιακές λύσεις που περιλαμβάνονται στον ανωτέρω πίνακα 

Ψηφιακή και/ή τομεακή πολιτική (κατά περίπτωση)	Επεξήγηση του τρόπου ευθυγράμμισης
Κανονισμός για την τεχνητή νοημοσύνη	Άνευ αντικειμένου
Πλαίσιο κυβερνοασφάλειας της ΕΕ	Άνευ αντικειμένου
eIDAS	Άνευ αντικειμένου
Ενιαία ψηφιακή θύρα και ΙΜΙ	Άνευ αντικειμένου
Άλλες	Άνευ αντικειμένου

Γενική περιγραφή των ψηφιακών δημόσιων υπηρεσιών που επηρεάζονται από τις απαιτήσεις

Ψηφιακή δημόσια υπηρεσία ή κατηγορία ψηφιακών δημόσιων υπηρεσιών	Περιγραφή	Αναφορές στις απαιτήσεις	Λύση/-εις για τη διαλειτουργική Ευρώπη   (ΑΝΕΥ ΑΝΤΙΚΕΙΜΕΝΟΥ)	Άλλες λύσεις διαλειτουργικότητας
Παροχή από τον ENISA γραμματειακής υποστήριξης σε δίκτυα και ανάπτυξη εργαλείων ασφαλούς επικοινωνίας	Ο ENISA παρέχει γραμματειακή υποστήριξη στο δίκτυο CSIRT σύμφωνα με το άρθρο 15 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555. Ο ENISA παρέχει γραμματειακή υποστήριξη στο EU-CyCLONe σύμφωνα με το άρθρο 16 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555 [και το ενιαίο σημείο εισόδου για την αναφορά περιστατικών που θεσπίστηκε σύμφωνα με το άρθρο 23α της οδηγίας (ΕΕ) 2022/2555], και εργαλεία δοκιμών για την υποστήριξη της εφαρμογής των διαδικασιών αξιολόγησης της συμμόρφωσης σύμφωνα με τη σχετική νομοθεσία της Ένωσης.  Ο ENISA αναπτύσσει, στο πλαίσιο του δικτύου CSIRT και του EU-CyCLONe, εργαλεία ασφαλούς επικοινωνίας που παρέχονται από νομικές οντότητες που δεν είναι εγκατεστημένες σε τρίτες χώρες και δεν ελέγχονται από τρίτες χώρες ή από υπηκόους τρίτων χωρών.	Άρθρο 11	//	Άνευ αντικειμένου
Έγκαιρες προειδοποιήσεις	Έκδοση έγκαιρων προειδοποιήσεων	Άρθρο 11 Άρθρο 12
Υποστήριξη σε σχέση με συγκεκριμένο δυνητικό ή υπό εξέλιξη περιστατικό ή κυβερνοαπειλή	Κατόπιν αιτήματος ενός ή περισσότερων κρατών μελών, παροχή συμβουλών και αξιολογήσεων σε σχέση με συγκεκριμένο δυνητικό ή υπό εξέλιξη περιστατικό ή κυβερνοαπειλή, μεταξύ άλλων μέσω της παροχής εμπειρογνωσίας και της διευκόλυνσης του τεχνικού χειρισμού τέτοιων περιστατικών, καθώς και μέσω της υποστήριξης της εθελοντικής ανταλλαγής σχετικών πληροφοριών και τεχνικών λύσεων μεταξύ των κρατών μελών·	Άρθρο 10
Υποστήριξη της συντονισμένης διαχείρισης περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας σε επιχειρησιακό επίπεδο	Συμβολή στη στήριξη της συντονισμένης διαχείρισης περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας σε επιχειρησιακό επίπεδο, ιδίως με την παροχή συνδρομής στο EU-CyCLONe για την εκπόνηση εκθέσεων σε πολιτικό επίπεδο και με τη διευκόλυνση της έγκαιρης ανταλλαγής πληροφοριών μεταξύ του δικτύου CSIRT και του EU-CyCLONe.	Άρθρο 10
Αποθετήρια επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές	Ανάπτυξη, σε συνεργασία με το EU-CyCLONe, το δίκτυο CSIRT, την Επιτροπή, την Ευρωπόλ, τη CERT-ΕΕ και άλλες σχετικές οντότητες της Ένωσης, αποθετηρίων επαληθευμένων και αξιόπιστων πληροφοριών για κυβερνοαπειλές, συμπεριλαμβανομένων των τάσεων όσον αφορά τα περιστατικά, τις τακτικές, τις τεχνικές και τις διαδικασίες.	Άρθρο 11
Αποθετήριο αντλούμενων διδαγμάτων	Ο ENISA διατηρεί αποθετήριο των διδαγμάτων που αντλούνται από τις εν λόγω ασκήσεις και συνιστά στα κράτη μέλη και, κατά περίπτωση, στις οντότητες της Ένωσης τρόπους αποτελεσματικής και αποδοτικής εφαρμογής των αντλούμενων διδαγμάτων.	Άρθρο 14
Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, επιχειρησιακά τεχνικά εργαλεία, όπως πλατφόρμες	Ο ENISA δημιουργεί, παρέχει, διαχειρίζεται, συντηρεί και επικαιροποιεί, ανάλογα με τις ανάγκες, λειτουργικά τεχνικά εργαλεία, όπως πλατφόρμες που σχετίζονται με την κυβερνοασφάλεια σε επίπεδο Ένωσης, ειδικότερα την ενιαία πλατφόρμα αναφοράς που θεσπίστηκε σύμφωνα με το άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2024/2847 [και το ενιαίο σημείο εισόδου για την αναφορά περιστατικών που θεσπίστηκε σύμφωνα με το άρθρο 23α της οδηγίας (ΕΕ) 2022/2555], και εργαλεία δοκιμών για την υποστήριξη της εφαρμογής των διαδικασιών αξιολόγησης της συμμόρφωσης σύμφωνα με τη σχετική νομοθεσία της Ένωσης.	Άρθρο 15
Συντήρηση της ευρωπαϊκής βάσης δεδομένων ευπαθειών που συστάθηκε σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555	Συντήρηση της ευρωπαϊκής βάσης δεδομένων ευπαθειών που συστάθηκε σύμφωνα με το άρθρο 12 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555. Παροχή υπηρεσιών διαχείρισης ευπαθειών στους συμφεροντούχους, με βάση την ευρωπαϊκή βάση δεδομένων ευπαθειών και με χρήση των σχετικών πληροφοριών που έχει στη διάθεσή του ο ENISA. Σύναψη διαρθρωμένης συνεργασίας με οργανισμούς που παρέχουν προγράμματα, μητρώα ή βάσεις δεδομένων παρεμφερή με την ευρωπαϊκή βάση δεδομένων ευπαθειών. Ενεργός υποστήριξη των CSIRT στις οποίες έχει ανατεθεί συντονιστικός ρόλος σύμφωνα με το άρθρο 12 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555 όσον αφορά τη διαχείριση της συντονισμένης γνωστοποίησης ευπαθειών που ενδέχεται να έχουν σημαντικό αντίκτυπο σε οντότητες σε περισσότερα από ένα κράτη μέλη. Ανάπτυξη και διατήρηση μεθοδολογιών και μηχανισμών διακυβέρνησης για τον προσδιορισμό και τη συντονισμένη γνωστοποίηση ευπαθειών, σε συνεργασία με τις εθνικές αρμόδιες αρχές, τις CSIRT, τη βιομηχανία και την ερευνητική κοινότητα.	Άρθρο 16
Επεξεργασία υποψήφιων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (στο εξής: υποψήφια σχήματα)	Επεξεργασία υποψήφιων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (στο εξής: υποψήφια σχήματα) για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων, και σχετικών τεχνικών προδιαγραφών σύμφωνα με το άρθρο 74. Συντήρηση εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 75, μεταξύ άλλων ενόψει πιθανής επανεξέτασης των εγκεκριμένων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 76.	Άρθρο 17
Ο ENISA αναπτύσσει και συντηρεί ευρωπαϊκά σχήματα ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.	Ο ENISA αναπτύσσει και συντηρεί σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.  Ο ENISA εκδίδει αιτιολογημένη απόφαση είτε για τη χορήγηση, στον αιτούντα, άδειας να εκδίδει ευρωπαϊκές ατομικές βεβαιώσεις για την παροχή και τη συντήρηση των σχημάτων και της άδειας, ή για τη μη χορήγηση της άδειας, ή για την περάτωση της επεξεργασίας της αίτησης λόγω ανεπαρκών πληροφοριών που παρασχέθηκαν από τον αιτούντα, ή λόγω αδράνειάς του κατόπιν αιτήματος για συμπληρωματικές πληροφορίες.	Άρθρα 20 έως 22
Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο.	Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει ενημέρωση στο κοινό σχετικά με: α)    το ΕΠΔΚ, συμπεριλαμβανομένων του πλαισίου και του χρονοδιαγράμματος επικαιροποίησής του· β)    τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας, την πρόοδό τους και τα χρονοδιαγράμματα για την ανάπτυξή τους· γ)    τα τέλη που σχετίζονται με κάθε σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας που εγκρίνεται σύμφωνα με το άρθρο 47 του παρόντος κανονισμού· δ)    το ενδεικτικό κόστος μιας ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας σύμφωνα με το άρθρο 20 παράγραφος 4· ε)    τον κατάλογο των αδειοδοτημένων παρόχων βεβαιώσεων.	Άρθρο 23
Η Επιτροπή διατηρεί και επικαιροποιεί τακτικά ειδικό δημόσιο ιστότοπο	Η Επιτροπή διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει πληροφορίες σχετικά με τις ακόλουθες πτυχές: α) τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας που ζητείται να αναπτυχθούν· β) στρατηγικές προτεραιότητες για την εναρμόνιση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ, των διαχειριζόμενων υπηρεσιών ασφάλειας ή των απαιτήσεων ασφάλειας της νομοθεσίας της Ένωσης, συμπεριλαμβανομένων πιθανών τομέων για τους οποίους ενδέχεται να ζητηθεί ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας.	Άρθρο 72
Ο ENISA διατηρεί ειδικό ιστότοπο για την πιστοποίηση	Ο ENISA διατηρεί και επικαιροποιεί τακτικά ειδικό ιστότοπο που παρέχει στο κοινό πληροφορίες σχετικά με: α) ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας· β) τα τέλη που συνδέονται με τη συντήρηση κάθε ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας· γ) σχετικές τεχνικές προδιαγραφές του ENISA· δ) ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας και δηλώσεις συμμόρφωσης ΕΕ, συμπεριλαμβανομένων πληροφοριών σχετικά με πιστοποιητικά και δηλώσεις που δεν ισχύουν πλέον ή που έχουν ανασταλεί, ανακληθεί ή λήξει· ε) σχετικές συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια που παρέχονται σύμφωνα με το άρθρο 84 παράγραφος 2· στ)    συνόψεις αξιολογήσεων από ομοτίμους δυνάμει του άρθρου 89 παράγραφος 7· ζ)    τις τεχνικές προδιαγραφές που αναφέρονται σε ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 74 παράγραφος 10.	Άρθρο 79
Έρευνες	Η Επιτροπή ερευνά κάθε περίπτωση για την οποία έχει αμφιβολίες ή έχουν περιέλθει στη γνώση της αμφιβολίες όσον αφορά την επάρκεια οργανισμού αξιολόγησης της συμμόρφωσης να εκπληρώνει τις απαιτήσεις και τις υποχρεώσεις που υπέχει, ή όσον αφορά τη συνεχή εκπλήρωση, από οργανισμό αξιολόγησης της συμμόρφωσης, των απαιτήσεων και των υποχρεώσεων που υπέχει. Η Επιτροπή διασφαλίζει τον εμπιστευτικό χαρακτήρα όλων των ευαίσθητων πληροφοριών που λαμβάνει από τις έρευνές της.	Άρθρο 94
Ο ENISA δημιουργεί και τηρεί μητρώο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα	Μητρώο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα. Κατόπιν αιτήματος, ο ENISA παρέχει στις αρμόδιες αρχές πρόσβαση σε πληροφορίες σχετικά με παρόχους υπηρεσιών DNS, μητρώα ονομάτων TLD, οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, παρόχους υπηρεσιών υπολογιστικού νέφους, παρόχους υπηρεσιών κέντρων δεδομένων, παρόχους δικτύων διανομής περιεχομένου, παρόχους διαχειριζόμενων υπηρεσιών, παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας, καθώς και παρόχους επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης ή πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, οι οποίες είναι αποθηκευμένες στο εν λόγω μητρώο, διασφαλίζοντας, παράλληλα, την προστασία της εμπιστευτικότητας των πληροφοριών, κατά περίπτωση.	Άρθρο 1 σημείο 11) της οδηγίας

4.4.Αξιολόγηση διαλειτουργικότητας

Αντίκτυπος των απαιτήσεων στη διασυνοριακή διαλειτουργικότητα ανά ψηφιακή δημόσια υπηρεσία 

Αποθετήρια/πλατφόρμες/έγκαιρες προειδοποιήσεις/γραμματειακή υποστήριξη/επιχειρησιακή συνεργασία/βάση δεδομένων συντονισμένης γνωστοποίησης ευπαθειών  

Αξιολόγηση	Μέτρα	Πιθανά εμπόδια που εξακολουθούν να υπάρχουν
Να αξιολογηθεί η ευθυγράμμιση με τις υφιστάμενες ψηφιακές και τομεακές πολιτικές   Να αναφερθούν οι εφαρμοζόμενες ψηφιακές και τομεακές πολιτικές που έχουν προσδιοριστεί	Κυβερνοασφάλεια	Δεν υπάρχουν γνωστά εμπόδια
Να αξιολογηθούν τα οργανωτικά μέτρα για την ομαλή διασυνοριακή παροχή ψηφιακών δημόσιων υπηρεσιών  Να αναφερθούν τα προβλεπόμενα μέτρα διακυβέρνησης	Διοικητικό συμβούλιο ENISA   Δίκτυο CSIRT  EU-CyCLONe  Ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών    Όλα αυτά είναι φόρουμ στα οποία μπορούν να τεθούν ζητήματα.	Άνευ αντικειμένου
Να αξιολογηθούν τα μέτρα που λαμβάνονται για τη διασφάλιση κοινής κατανόησης των δεδομένων  Να αναφερθούν τα μέτρα αυτά	Άνευ αντικειμένου	Άνευ αντικειμένου
Να αξιολογηθεί η χρήση από κοινού συμφωνημένων ανοικτών τεχνικών προδιαγραφών και προτύπων  Να αναφερθούν τα μέτρα αυτά	Άνευ αντικειμένου	Άνευ αντικειμένου

Ευρωπαϊκά σχήματα ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας  

Αξιολόγηση	Μέτρα	Πιθανά εμπόδια που εξακολουθούν να υπάρχουν
Να αξιολογηθεί η ευθυγράμμιση με τις υφιστάμενες ψηφιακές και τομεακές πολιτικές   Να αναφερθούν οι εφαρμοζόμενες ψηφιακές και τομεακές πολιτικές που έχουν προσδιοριστεί	Η πρόταση βασίζεται στην ανακοίνωση COM(2023) 207 final (Ακαδημία Δεξιοτήτων Κυβερνοασφάλειας): «ο ENISA θα αναπτύξει πιλοτικό έργο, με το οποίο θα διερευνηθεί η δημιουργία ενός ευρωπαϊκού συστήματος πιστοποίησης των κυβερνοδεξιοτήτων».  Χρησιμοποιεί τον κανονισμό (ΕΕ) 2024/1183 (ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας) ορίζοντας ότι «ο ENISA και οι αδειοδοτημένοι πάροχοι βεβαιώσεων διασφαλίζουν την έκδοση ηλεκτρονικών ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας στο ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας».  Κυβερνοασφάλεια  ΓΚΠΔ (τήρηση αρχείων από τους παρόχους)	Δεν υπάρχουν γνωστά εμπόδια
Να αξιολογηθούν τα οργανωτικά μέτρα για την ομαλή διασυνοριακή παροχή ψηφιακών δημόσιων υπηρεσιών  Να αναφερθούν τα προβλεπόμενα μέτρα διακυβέρνησης	Διαβούλευση με τους συμφεροντούχους κατά την επεξεργασία σχήματος ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας  Διαχωρισμός δραστηριοτήτων στο πλαίσιο του ENISA για τη διασφάλιση της ανεξάρτητης εκτέλεσής τους   Συμβούλιο προσφυγών	Η χρήση και η αναγνώριση των σχημάτων ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας παραμένει προαιρετική για τις δημόσιες και τις ιδιωτικές οντότητες.
Να αξιολογηθούν τα μέτρα που λαμβάνονται για τη διασφάλιση κοινής κατανόησης των δεδομένων  Να αναφερθούν τα μέτρα αυτά	Ανάπτυξη σχημάτων που περιγράφουν λεπτομερώς, μεταξύ άλλων, τους κανόνες σχετικά με το περιεχόμενο και τη μορφή των βεβαιώσεων  Οι αδειοδοτημένοι πάροχοι διασφαλίζουν ότι, κατόπιν αιτήματος φυσικού προσώπου, οι ηλεκτρονικές βεβαιώσεις των ευρωπαϊκών ατομικών βεβαιώσεων δεξιοτήτων κυβερνοασφάλειας εκδίδονται ως ηλεκτρονικές βεβαιώσεις χαρακτηριστικών σε μορφότυπο που μπορεί να αποθηκευτεί στα ευρωπαϊκά πορτοφόλια ψηφιακής ταυτότητας. Ο ENISA παρέχει καθοδήγηση και υποχρεωτική κατάρτιση στους αξιολογητές σχετικά με τις απαιτήσεις και τις μεθόδους αξιολόγησης που περιλαμβάνονται στο σχήμα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας.  Παροχή πληροφοριών στο κοινό σε ιστότοπο  Εκτελεστικές πράξεις για τα τέλη	Μολονότι τα σχήματα θα πρέπει να είναι τόσο λεπτομερή ώστε να διασφαλίζουν την κοινή κατανόηση και να διευκολύνουν την εφαρμογή, και μολονότι ο ENISA θα παρέχει καθοδήγηση και υποχρεωτική κατάρτιση στους αξιολογητές για τη διασφάλιση της συνεπούς εφαρμογής των σχημάτων, θα μπορούσαν να προκύψουν απρόβλεπτες διαστάσεις όταν οι αδειοδοτημένοι πάροχοι βεβαιώσεων πρέπει να αλληλεπιδρούν με τον ENISA, άλλους παρόχους ή αξιολογητές.
Να αξιολογηθεί η χρήση από κοινού συμφωνημένων ανοικτών τεχνικών προδιαγραφών και προτύπων  Να αναφερθούν τα μέτρα αυτά	Τα σχήματα ευρωπαϊκής ατομικής βεβαίωσης δεξιοτήτων κυβερνοασφάλειας αναπτύσσονται με την υποστήριξη των σχετικών συμφεροντούχων	Άνευ αντικειμένου

Επεξεργασία υποψήφιων ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας (υποψήφιων συστημάτων) / απόδοση αριθμών σε οργανισμούς αξιολόγησης της συμμόρφωσης 

Αξιολόγηση	Μέτρα	Πιθανά εμπόδια που εξακολουθούν να υπάρχουν
Να αξιολογηθεί η ευθυγράμμιση με τις υφιστάμενες ψηφιακές και τομεακές πολιτικές   Να αναφερθούν οι εφαρμοζόμενες ψηφιακές και τομεακές πολιτικές που έχουν προσδιοριστεί	Η πρόταση επιδιώκει την ευθυγράμμιση της διακυβέρνησης με το νέο νομοθετικό πλαίσιο, ιδίως όσον αφορά τον κανονισμό (ΕΚ) αριθ. 765/200826.   Η πρόταση αποσκοπεί στη διευκόλυνση της συμμόρφωσης με τη σχετική τομεακή νομοθεσία για την κυβερνοασφάλεια μέσω της ανάπτυξης ειδικών ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας.	Δεν υπάρχουν γνωστά εμπόδια
Να αξιολογηθούν τα οργανωτικά μέτρα για την ομαλή διασυνοριακή παροχή ψηφιακών δημόσιων υπηρεσιών  Να αναφερθούν τα προβλεπόμενα μέτρα διακυβέρνησης	Ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας    ENISA·  ad hoc ομάδες εργασίας·  ευρωπαϊκή συνέλευση πιστοποίησης της κυβερνοασφάλειας·  διαβούλευση με τους συμφεροντούχους κατά την υποβολή αιτήματος για ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας, κατά την ανάπτυξη και την έγκρισή τους·  διαδικασίες επιτροπολογίας για τις προβλεπόμενες εκτελεστικές πράξεις που σχετίζονται με τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας.	Η χρήση ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας είναι προαιρετική, εκτός εάν ορίζεται διαφορετικά στην ευρωπαϊκή νομοθεσία.
Να αξιολογηθούν τα μέτρα που λαμβάνονται για τη διασφάλιση κοινής κατανόησης των δεδομένων  Να αναφερθούν τα μέτρα αυτά	Εκτελεστικές πράξεις που παρατίθενται στο σημείο 4.5.	Η χρήση ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας είναι προαιρετική, εκτός εάν ορίζεται διαφορετικά στην ευρωπαϊκή νομοθεσία.
Να αξιολογηθεί η χρήση από κοινού συμφωνημένων ανοικτών τεχνικών προδιαγραφών και προτύπων  Να αναφερθούν τα μέτρα αυτά	Εκτελεστικές πράξεις που παρατίθενται στο σημείο 4.5.  Οι καθορισμένες απαιτήσεις του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας συνάδουν με τις απαιτήσεις της ενωσιακής νομοθεσίας.  Τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας αξιοποιούν και παραπέμπουν στα διεθνή, ευρωπαϊκά ή εθνικά πρότυπα που εφαρμόζονται κατά την αξιολόγηση ή, όταν τα εν λόγω πρότυπα δεν είναι διαθέσιμα ή κατάλληλα, στις τεχνικές προδιαγραφές που καταρτίζει ο ENISA.	Άνευ αντικειμένου

Ιστότοποι προσβάσιμοι στο κοινό 

Αξιολόγηση	Μέτρα	Πιθανά εμπόδια που εξακολουθούν να υπάρχουν
Να αξιολογηθεί η ευθυγράμμιση με τις υφιστάμενες ψηφιακές και τομεακές πολιτικές   Να αναφερθούν οι εφαρμοζόμενες ψηφιακές και τομεακές πολιτικές που έχουν προσδιοριστεί	Ευρωπαϊκή πράξη για την προσβασιμότητα και οδηγία για την προσβασιμότητα στον παγκόσμιο ιστό  Κυβερνοασφάλεια	Δεν υπάρχουν γνωστά εμπόδια
Να αξιολογηθούν τα οργανωτικά μέτρα για την ομαλή διασυνοριακή παροχή ψηφιακών δημόσιων υπηρεσιών  Να αναφερθούν τα προβλεπόμενα μέτρα διακυβέρνησης	Άνευ αντικειμένου	Άνευ αντικειμένου
Να αξιολογηθούν τα μέτρα που λαμβάνονται για τη διασφάλιση κοινής κατανόησης των δεδομένων  Να αναφερθούν τα μέτρα αυτά		Άνευ αντικειμένου
Να αξιολογηθεί η χρήση από κοινού συμφωνημένων ανοικτών τεχνικών προδιαγραφών και προτύπων  Να αναφερθούν τα μέτρα αυτά		Άνευ αντικειμένου

4.5.Μέτρα στήριξης της ψηφιακής εφαρμογής

Γενική περιγραφή των μέτρων στήριξης της ψηφιακής εφαρμογής 

Περιγραφή του μέτρου	Αναφορές στις απαιτήσεις	Ρόλος της Επιτροπής   (κατά περίπτωση)	Εμπλεκόμενοι φορείς  (κατά περίπτωση)	Αναμενόμενο χρονοδιάγραμμα  (κατά περίπτωση)
Η Επιτροπή, με βάση το αποδεκτό υποψήφιο σχήμα που επεξεργάστηκε ο ENISA, εξουσιοδοτείται να εκδίδει εκτελεστικές πράξεις που προβλέπουν ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας ή την κυβερνοστάση οντοτήτων το οποίο πληροί τις απαιτήσεις των άρθρων 80 και 81. Η εν λόγω εκτελεστική πράξη εκδίδεται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 75 παράγραφος 9	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις		Άνευ αντικειμένου
Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 119 για την τροποποίηση της παραγράφου 1 του παρόντος άρθρου με την προσθήκη ή την τροποποίηση στόχων ασφάλειας, προκειμένου να διασφαλίζεται ότι αυτοί αντικατοπτρίζουν τις τελευταίες τεχνολογικές εξελίξεις και τις νέες σχετικές απειλές, καθώς και τη θέσπιση νέας ενωσιακής νομοθεσίας για τον καθορισμό του τεκμηρίου συμμόρφωσης μέσω της ευρωπαϊκής πιστοποίησης της κυβερνοασφάλειας με τις σχετικές απαιτήσεις κυβερνοασφάλειας της εν λόγω νομοθεσίας.	Άρθρο 80 παράγραφος 2	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις		Άνευ αντικειμένου
Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία που καθορίζονται στις παραγράφους 1, 2 και 3 σε όλα τα ευρωπαϊκά σχήματα πιστοποίησης της κυβερνοασφάλειας. Ένα ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας μπορεί να περιλαμβάνει παραπομπές στις εν λόγω αρχές και πρότυπες διατάξεις, κατά περίπτωση και εφόσον αυτές είναι διαθέσιμες. Οι εκτελεστικές πράξεις που αναφέρονται στο πρώτο εδάφιο εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2. Κατά την ανάπτυξη ή την αναθεώρηση των κοινών αρχών και πρότυπων διατάξεων για τα στοιχεία των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας, η Επιτροπή διαβουλεύεται με τον ENISA και λαμβάνει υπόψη, κατά περίπτωση, τις απόψεις που εκφράζονται από την ΕΟΠΙΚ, τους σχετικούς συμφεροντούχους και άλλους σχετικούς φορείς.	Άρθρο 81 παράγραφος 5	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις	ENISA ΕΟΠΙΚ	Άνευ αντικειμένου
Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον προσδιορισμό των διαδικασιών των μοντέλων προηγούμενης έγκρισης ή γενικής ανάθεσης που αναφέρονται στην παράγραφο 4 του παρόντος άρθρου. Κατά τη διαδικασία εκπόνησης των εν λόγω εκτελεστικών πράξεων, η Επιτροπή ζητεί τη γνώμη της ΕΟΠΙΚ. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 85 παράγραφος 5	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις	ΕΟΠΙΚ	Άνευ αντικειμένου
Πιστοποιητικά τρίτων χωρών για προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ, διαδικασίες ΤΠΕ, διαχειριζόμενες υπηρεσίες ασφάλειας και την κυβερνοστάση οντοτήτων μπορούν να αναγνωρίζονται, μέσω εκτελεστικής πράξης ή μέσω της σύναψης συμφωνίας μεταξύ της Ένωσης και της εν λόγω τρίτης χώρας ή διεθνούς οργανισμού, ως ισοδύναμα με τα ευρωπαϊκά πιστοποιητικά κυβερνοασφάλειας, εάν οι απαιτήσεις του σχετικού σχήματος τρίτης χώρας ή διεθνούς οργανισμού θεωρούνται ισοδύναμες με εκείνες των ευρωπαϊκών σχημάτων πιστοποίησης της κυβερνοασφάλειας. Ανατίθεται στην Επιτροπή η εξουσία έκδοσης τέτοιων εκτελεστικών πράξεων. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 87 παράγραφος 1	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις		Άνευ αντικειμένου
Η Επιτροπή εξουσιοδοτείται να εκδίδει εκτελεστικές πράξεις για την κατάρτιση σχεδίου αξιολογήσεων από ομοτίμους που να καλύπτει περίοδο τουλάχιστον πέντε ετών, να ορίζει τα κριτήρια για τη σύνθεση της ομάδας αξιολόγησης από ομοτίμους, τη μεθοδολογία που πρέπει να χρησιμοποιείται για την αξιολόγηση από ομοτίμους και το χρονοδιάγραμμα, τη συχνότητα και τα λοιπά καθήκοντα που σχετίζονται με την αξιολόγηση από ομοτίμους. Κατά την εκπόνηση των εν λόγω εκτελεστικών πράξεων η Επιτροπή ζητεί τη γνώμη της ΕΟΠΙΚ και του ENISA. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 89 παράγραφος 6	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις		Άνευ αντικειμένου
Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των διαδικασιών, μεταξύ άλλων όσον αφορά τη διασυνοριακή συνεργασία, για την αδειοδότηση οργανισμών αξιολόγησης της συμμόρφωσης. Κατά τη διαδικασία εκπόνησης των εκτελεστικών πράξεων, η Επιτροπή ζητεί τη γνώμη του ENISA και της ΕΟΠΙΚ. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 92 παράγραφος 8	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις	ENISA ΕΟΠΙΚ	Άνευ αντικειμένου
Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των περιστάσεων, των μορφότυπων και των διαδικασιών για τις κοινοποιήσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου, συμπεριλαμβανομένων της διαδικασίας ένστασης από άλλα κράτη μέλη κατά τη διάρκεια της διαδικασίας κοινοποίησης, της μοναδικής ταυτοποίησης των οργανισμών αξιολόγησης της συμμόρφωσης, καθώς και των περιστάσεων για τον περιορισμό, την αναστολή ή την ανάκληση της κοινοποίησης. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2.	Άρθρο 93 παράγραφος 3	Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει εκτελεστικές πράξεις		Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις σύμφωνα με το άρθρο 100 προκειμένου να προσδιορίσει τρίτη χώρα που εγείρει ανησυχίες σχετικά με την κυβερνοασφάλεια στις αλυσίδες εφοδιασμού ΤΠΕ.	Άρθρο 100 παράγραφος 2 Προσδιορισμός τρίτων χωρών που εγείρουν ανησυχίες σχετικά με την κυβερνοασφάλεια	Έκδοση εκτελεστικών πράξεων		Άνευ αντικειμένου Χωρίς χρονοδιάγραμμα, αλλά οι εκτελεστικές πράξεις θα πρέπει να επανεξετάζονται τακτικά
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις για την πρόβλεψη ενός ή περισσότερων μέτρων μετριασμού που αναφέρονται στο άρθρο 103 παράγραφος 2.	Άρθρο 103 παράγραφος 2 Μέτρα μετριασμού στην αλυσίδα εφοδιασμού ΤΠΕ	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου Χωρίς χρονοδιάγραμμα, αλλά πρέπει να επανεξετάζονται κάθε 36 μήνες (σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 118 παράγραφος 2)
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις σύμφωνα με το άρθρο 102 για να προσδιορίζει βασικά πάγια στοιχεία ΤΠΕ που χρησιμοποιούνται για την κατασκευή προϊόντων ή την παροχή υπηρεσιών από τους τύπους οντοτήτων που αναφέρονται στο παράρτημα I και στο παράρτημα II της οδηγίας (ΕΕ) 2022/2555.	Άρθρο 102 παράγραφος 1 Προσδιορισμός βασικών πάγιων στοιχείων ΤΠΕ	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις που απαγορεύουν τη χρήση, την εγκατάσταση ή την ενσωμάτωση, σε οποιαδήποτε μορφή, συνιστωσών ΤΠΕ ή συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ από προμηθευτές υψηλού κινδύνου, όπως αυτοί χαρακτηρίζονται σύμφωνα με το άρθρο 100 παράγραφος 2, σε βασικά πάγια στοιχεία ΤΠΕ που προσδιορίζονται σύμφωνα με το άρθρο 102.	Άρθρο 103 παράγραφος 1 Μέτρα μετριασμού στην αλυσίδα εφοδιασμού ΤΠΕ	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις με τις οποίες ορίζεται απαγορεύεται στις οντότητες των τύπων που αναφέρονται στα παραρτήματα I και II της οδηγίας (ΕΕ) 2022/2555 να χρησιμοποιούν, να εγκαθιστούν ή να ενσωματώνουν συνιστώσες ΤΠΕ ή συνιστώσες που περιλαμβάνουν συνιστώσες ΤΠΕ παρεχόμενες από συγκεκριμένη οντότητα.	Άρθρο 103 παράγραφος 7	Έκδοση εκτελεστικών πράξεων	Διαβούλευση με τα κράτη μέλη και τις ενδιαφερόμενες οντότητες	Άνευ αντικειμένου
Η Επιτροπή, μέσω εκτελεστικών πράξεων, καταρτίζει καταλόγους προμηθευτών υψηλού κινδύνου σχετικά με τις απαγορεύσεις που προβλέπονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 103 παράγραφος 1 ή την απαγόρευση που αναφέρεται στο άρθρο 1110 παράγραφος 1.	Άρθρο 104 παράγραφος 1	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις για τον περαιτέρω προσδιορισμό των προϋποθέσεων που αναφέρονται στο άρθρο 105 παράγραφος 2 στοιχείο β) και για τη θέσπιση λεπτομερών κανόνων σχετικά με τις διαδικασίες που αναφέρονται στο άρθρο 105.	Άρθρο 105 Εξαίρεση για οντότητες εγκατεστημένες σε τρίτη χώρα ή ελεγχόμενες από οντότητες τρίτης χώρας που εγείρει ανησυχίες για την κυβερνοασφάλεια	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις που θεσπίζουν λεπτομερείς κανόνες σχετικά με τα τέλη, προσδιορίζοντας το ύψος τους και τον τρόπο καταβολής τους.	Άρθρο 109 Τέλη	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή εκδίδει εκτελεστικές πράξεις για τον καθορισμό των χρονικών περιόδων για τη σταδιακή κατάργηση των συνιστωσών ΤΠΕ ή των συνιστωσών που περιλαμβάνουν συνιστώσες ΤΠΕ οι οποίες παρέχονται από προμηθευτές υψηλού κινδύνου όσον αφορά τα δίκτυα σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών.	Άρθρο 110 παράγραφος 4 Βασικά πάγια στοιχεία ΤΠΕ για δίκτυα κινητών, σταθερών και δορυφορικών ηλεκτρονικών επικοινωνιών	Έκδοση εκτελεστικών πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
Η Επιτροπή μπορεί να εκδίδει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 119 για την τροποποίηση του παραρτήματος II με σκοπό την προσαρμογή του στις τεχνολογικές εξελίξεις, λαμβάνοντας υπόψη τα στοιχεία που αναφέρονται στο άρθρο 103 παράγραφος 3.	Άρθρο 110 παράγραφος 5	Έκδοση κατ’ εξουσιοδότηση πράξεων	Άνευ αντικειμένου	Άνευ αντικειμένου
7.    Στο άρθρο 21, η παράγραφος 5 τροποποιείται ως εξής: α)    το δεύτερο εδάφιο αντικαθίσταται από το ακόλουθο κείμενο: «Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις για τον καθορισμό των τεχνικών και μεθοδολογικών απαιτήσεων, καθώς και των τομεακών απαιτήσεων, κατά περίπτωση, των μέτρων που αναφέρονται στην παράγραφο 2 όσον αφορά βασικές και σημαντικές οντότητες διαφορετικές από εκείνες που αναφέρονται στο πρώτο εδάφιο της παρούσας παραγράφου. Η Επιτροπή αξιολογεί τακτικά αν πρέπει να εκδοθούν εκτελεστικές πράξεις που αναφέρονται στο παρόν εδάφιο για συγκεκριμένους τομείς ή τύπους οντοτήτων με σκοπό τη βελτίωση της λειτουργίας της εσωτερικής αγοράς. Με βάση το αποτέλεσμα των εν λόγω αξιολογήσεων, η Επιτροπή μπορεί να προτείνει τέτοιες εκτελεστικές πράξεις για τους τομείς ή τους τύπους οντοτήτων που έχουν προσδιοριστεί. Κατά την εκπόνηση των εν λόγω αξιολογήσεων, η Επιτροπή επικεντρώνεται ειδικότερα στον διασυνοριακό χαρακτήρα των τομέων ή των τύπων οντοτήτων και διενεργεί ανοικτή, διαφανή και συμπεριληπτική διαδικασία διαβούλευσης με τους σχετικούς συμφεροντούχους και τα κράτη μέλη.»· β)    μετά το τέταρτο εδάφιο προστίθεται το ακόλουθο εδάφιο: «Όταν η Επιτροπή εκδίδει τις εκτελεστικές πράξεις που αναφέρονται στο πρώτο και το δεύτερο εδάφιο της παρούσας παραγράφου, τα κράτη μέλη δεν επιβάλλουν περαιτέρω τεχνικές ή μεθοδολογικές απαιτήσεις των μέτρων που αναφέρονται στο άρθρο 21 παράγραφος 2 της οδηγίας (ΕΕ) 2022/2555 στις οντότητες που εμπίπτουν στο πεδίο εφαρμογής των εν λόγω εκτελεστικών πράξεων.»	Άρθρο 1 σημείο 7) της οδηγίας  Μέγιστη εναρμόνιση	Η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις		Άνευ αντικειμένου

(1)    ENISA, ENISA Threat Landscape 2024 (Τοπίο απειλών 2024 του ENISA), https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025 (Τοπίο απειλών 2025 του ENISA).

(3)    Ευρωπαϊκή Επιτροπή, The future of European Competitiveness (Το μέλλον της ευρωπαϊκής ανταγωνιστικότητας), https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN/2025/130 final.

(5)    COM/2025/148 final.

(6)    JOIN(2025) 977 final.

(7)    COM/2025/66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Εκτελεστικός κανονισμός (ΕΕ) 2023/203 της Επιτροπής και κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2022/1645.

(11)    Κανονισμός (ΕΕ) 2023/1781 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 13ης Σεπτεμβρίου 2023, για τη θέσπιση πλαισίου μέτρων για την ενίσχυση του οικοσυστήματος ημιαγωγών της Ευρώπης και την τροποποίηση του κανονισμού (ΕΕ) 2021/694 (κανονισμός για τα μικροκυκλώματα) (ΕΕ L 229 της 18.9.2023, σ. 1).

(12)    Ειδικότερα τις οδηγίες 2014/23/ΕΕ, 2014/24/ΕΕ και 2014/25/ΕΕ.

(13)    Ευρωπαϊκή Επιτροπή, Η Επιτροπή προκηρύσσει πρόσκληση υποβολής στοιχείων και δημόσια διαβούλευση σχετικά με την αξιολόγηση των οδηγιών για τις δημόσιες συμβάσεις, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_el .

(14)    COM/2025/837 final

(15)    JOIN/2023/20 final.

(16)    JOIN/2025/120 final.

(17)    JOIN/2025/977 final

(18)     Κανονισμός - 2019/881 - EL - EUR-Lex .

(19)    Οριζόντια ομάδα εργασίας για θέματα κυβερνοχώρου.

(20)    Κανονισμός (ΕΕ) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj )

(21)     http://data.europa.eu/eli/dir/2022/2555/oj

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj

(24)    ΕΕ C […], της […], σ. […]. .

(25)    ΕΕ C […], της […], σ. […]. .

(26)    Κανονισμός (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 17ης Απριλίου 2019, σχετικά με τον ENISA (Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια) και με την πιστοποίηση της κυβερνοασφάλειας στον τομέα της τεχνολογίας πληροφοριών και επικοινωνιών και για την κατάργηση του κανονισμού (ΕΕ) αριθ. 526/2013 (πράξη για την κυβερνοασφάλεια) (ΕΕ L 151 της 7.6.2019, σ. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2) (ΕΕ L 333 της 27.12.2022, σ. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Οδηγία (ΕΕ) 2022/2557 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, για την ανθεκτικότητα των κρίσιμων οντοτήτων και την κατάργηση της οδηγίας 2008/114/ΕΚ του Συμβουλίου (ΕΕ L 333 της 27.12.2022, σ. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Κανονισμός (ΕΕ) 2024/2847 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2024, σχετικά με οριζόντιες απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία και για την τροποποίηση των κανονισμών (ΕΕ) αριθ. 168/2013 και (ΕΕ) 2019/1020 και της οδηγίας (ΕΕ) 2020/1828 (κανονισμός για την κυβερνοανθεκτικότητα) (ΕΕ L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Κανονισμός (ΕΕ) 2025/38 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 19ης Δεκεμβρίου 2024, σχετικά με τον καθορισμό μέτρων για την ενίσχυση της αλληλεγγύης και των ικανοτήτων της Ένωσης για την ανίχνευση, την προετοιμασία και την αντιμετώπιση κυβερνοαπειλών και περιστατικών κυβερνοασφάλειας και για την τροποποίηση του κανονισμού (ΕΕ) 2021/694 (κανονισμός για την αλληλεγγύη στον κυβερνοχώρο) (ΕΕ L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    ΕΕ C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Cybersecurity of 5G networks — EU Toolbox of risk mitigation measures (Κυβερνοασφάλεια των δικτύων 5G — Εργαλειοθήκη της ΕΕ για μέτρα μετριασμού του κινδύνου), ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών, 1/2020, διατίθεται στη διεύθυνση: https://digital-strategy.ec.europa.eu/el/node/1215 .

(33)    Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, Κάλυψη της έλλειψης ταλέντων στον τομέα της κυβερνοασφάλειας για την ενίσχυση της ανταγωνιστικότητας, της ανάπτυξης και της ανθεκτικότητας της ΕΕ («H Ακαδημία Δεξιοτήτων Κυβερνοασφάλειας») [COM(2023)207 final της 18ης Απριλίου 2023].

(34)    Κανονισμός (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοπιστωτικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014 και (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (EE L 333 της 27.12.2022, σ. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1366 της Επιτροπής, της 11ης Μαρτίου 2024, για τη συμπλήρωση του κανονισμού (ΕΕ) 2019/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου με τη θέσπιση κώδικα δικτύου σχετικά με ειδικούς τομεακούς κανόνες για τις πτυχές της κυβερνοασφάλειας στις διασυνοριακές ροές ηλεκτρικής ενέργειας (ΕΕ L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2022/1645 της Επιτροπής, της 14ης Ιουλίου 2022, για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2018/1139 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τις απαιτήσεις για τη διαχείριση κινδύνων για την ασφάλεια των πληροφοριών με ενδεχόμενο αντίκτυπο στην ασφάλεια της αεροπορίας για τους φορείς που καλύπτονται από τους κανονισμούς (ΕΕ) αριθ. 748/2012 και (ΕΕ) αριθ. 139/2014 της Επιτροπής, και για την τροποποίηση των κανονισμών (ΕΕ) αριθ. 748/2012 και (ΕΕ) αριθ. 139/2014 της Επιτροπής (ΕΕ L 248 της 26.9.2022, σ. 18, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Εκτελεστικός κανονισμός (ΕΕ) 2023/203 της Επιτροπής, της 27ης Οκτωβρίου 2022, για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2018/1139 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όσον αφορά τις απαιτήσεις για τη διαχείριση κινδύνων για την ασφάλεια των πληροφοριών με ενδεχόμενο αντίκτυπο στην ασφάλεια της αεροπορίας, για τους φορείς που καλύπτονται από τους κανονισμούς (ΕΕ) αριθ. 1321/2014, (ΕΕ) αριθ. 965/2012, (ΕΕ) αριθ. 1178/2011, (ΕΕ) 2015/340 της Επιτροπής, τους εκτελεστικούς κανονισμούς (ΕΕ) 2017/373 και (ΕΕ) 2021/664 της Επιτροπής και για τις αρμόδιες αρχές που καλύπτονται από τους κανονισμούς (ΕΕ) αριθ. 748/2012, (ΕΕ) αριθ. 1321/2014, (ΕΕ) αριθ. 965/2012, (ΕΕ) αριθ. 1178/2011, (ΕΕ) 2015/340 και (ΕΕ) αριθ. 139/2014 της Επιτροπής, τους εκτελεστικούς κανονισμούς (ΕΕ) 2017/373 και (ΕΕ) 2021/664 της Επιτροπής και για την τροποποίηση των κανονισμών (ΕΕ) αριθ. 1178/2011, (ΕΕ) αριθ. 748/2012, (ΕΕ) αριθ. 965/2012, (ΕΕ) αριθ. 139/2014, (ΕΕ) αριθ. 1321/2014, (ΕΕ) 2015/340 και των εκτελεστικών κανονισμών (ΕΕ) 2017/373 και (ΕΕ) 2021/664 της Επιτροπής (ΕΕ L 31 της 2.2.2023, σ. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Εκτελεστικός κανονισμός (ΕΕ) 2019/1583 της Επιτροπής, της 25ης Σεπτεμβρίου 2019, για την τροποποίηση του εκτελεστικού κανονισμού (ΕΕ) 2015/1998 σχετικά με τον καθορισμό λεπτομερών μέτρων εφαρμογής των κοινών βασικών προτύπων ασφάλειας των αερομεταφορών από έκνομες ενέργειες, όσον αφορά τα μέτρα ασφάλειας στον κυβερνοχώρο (C(2019) 6825) (ΕΕ L 246 της 26.9.2019, σ. 15, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών Ευρωπαϊκό σχέδιο δράσης για την κυβερνοασφάλεια των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης [COM(2025) 10 final της 15ης Ιανουαρίου 2025].

(40)    Κανονισμός (ΕΕ, Ευρατόμ) 2023/2841 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 13ης Δεκεμβρίου 2023, για τον καθορισμό μέτρων για υψηλό κοινό επίπεδο κυβερνοασφάλειας στα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης (ΕΕ L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών σχετικά με την ProtectEU: Ευρωπαϊκή στρατηγική για την εσωτερική ασφάλεια [COM(2025) 148 final της 1ης Απριλίου 2025].

(42)    Κοινή ανακοίνωση προς το Ευρωπαϊκό Κοινοβούλιο, το Ευρωπαϊκό Συμβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών σχετικά με την ευρωπαϊκή στρατηγική για την Ένωση Ετοιμότητας [JOIN(2025) 130 final].

(43)    Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, Ενίσχυση της οικονομικής ασφάλειας της ΕΕ [JOIN(2025) 977 final].

(44)    COM(2025) 837 final.

(45)    Κανονισμός (ΕΚ) αριθ. 460/2004 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 10ης Μαρτίου 2004, για τη δημιουργία του Ευρωπαϊκού Οργανισμού για την Ασφάλεια Δικτύων και Πληροφοριών (ΕΕ L 77, 13.3.2004, σ. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Κανονισμός (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Ιουλίου 2014, σχετικά με την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της οδηγίας 1999/93/ΕΚ (ΕΕ L 257 της 28.8.2014, σ. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Κανονισμός (ΕΕ) 2021/887 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2021, για τη σύσταση του Ευρωπαϊκού Κέντρου Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας και του δικτύου εθνικών κέντρων συντονισμού (ΕΕ L 202 της 8.6.2021, σ. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο, το Ευρωπαϊκό Συμβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών, Μια Ένωση Δεξιοτήτων [COM(2025) 90 final της 5ης Μαρτίου 2025].

(49)    JOIN(2025) 791 final.

(50)    Κανονισμός (ΕΕ, Ευρατόμ) 2024/2509 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Σεπτεμβρίου 2024, σχετικά με τους δημοσιονομικούς κανόνες που εφαρμόζονται στον γενικό προϋπολογισμό της Ένωσης (ΕΕ L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Για τις ευρωπαϊκές ατομικές βεβαιώσεις δεξιοτήτων κυβερνοασφάλειας θα πρέπει να θεωρείται ότι εφαρμόζεται προσέγγιση παρόμοια με αυτήν που η αγορά αναγνωρίζει ως «πιστοποιήσεις κυβερνοασφάλειας». Ωστόσο, προκειμένου να αποφευχθεί η σύγχυση σε σχέση με το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας, προτιμάται η έκφραση «βεβαίωση», σύμφωνα με την ορολογία που έχει ήδη χρησιμοποιηθεί στην ανακοίνωση σχετικά με την Ακαδημία Δεξιοτήτων Κυβερνοασφάλειας.

(52)

   Εκτελεστικός κανονισμός - ΕΕ - 2025/1569.

(53)    Κοινή προσέγγιση, η οποία προσαρτάται στην κοινή δήλωση του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου της ΕΕ και της Ευρωπαϊκής Επιτροπής για τους αποκεντρωμένους οργανισμούς, η οποία εγκρίθηκε στις 19 Ιουλίου 2012 και διατίθεται στη διεύθυνση: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Κανονισμός (ΕΚ) αριθ. 1049/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 30ής Μαΐου 2001, για την πρόσβαση του κοινού στα έγγραφα του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου και της Επιτροπής (ΕΕ L 145 της 31.5.2001, σ. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Οδηγία 2014/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Φεβρουαρίου 2014, σχετικά με τις διαδικασίες σύναψης δημοσίων συμβάσεων και την κατάργηση της οδηγίας 2004/18/ΕΚ (ΕΕ L 94 της 28.3.2014, σ. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2) (ΕΕ L 333 της 27.12.2022, σ. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Εκτελεστικός κανονισμός (ΕΕ) 2024/482 της Επιτροπής, της 31ης Ιανουαρίου 2024, για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά την έγκριση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC) (ΕΕ L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Εκτελεστικός κανονισμός (ΕΕ) 2025/2540 της Επιτροπής, της 9ης Δεκεμβρίου 2025, για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά την κατάρτιση του σχεδίου για την αξιολόγηση από ομοτίμους (ΕΕ L 2540, 12.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Κανονισμός (ΕΚ) αριθ. 765/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 9ης Ιουλίου 2008, για τον καθορισμό των απαιτήσεων διαπίστευσης και εποπτείας της αγοράς όσον αφορά την εμπορία των προϊόντων και για την κατάργηση του κανονισμού (ΕΟΚ) αριθ. 339/93 του Συμβουλίου (ΕΕ L 218 της 13.8.2008, σ. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Εκτελεστικός κανονισμός (ΕΕ) 2024/3143 της Επιτροπής, της 18ης Δεκεμβρίου 2024, για τον καθορισμό των συνθηκών, της μορφής και των διαδικασιών που ισχύουν για τις κοινοποιήσεις σύμφωνα με το άρθρο 61 παράγραφος 5 του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με τον ENISA («Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια») και με την πιστοποίηση της κυβερνοασφάλειας στον τομέα της τεχνολογίας πληροφοριών και επικοινωνιών (ΕΕ L 3143, 19.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025 (Έκθεση του ENISA σχετικά με το τοπίο απειλών για το 2025), Οκτώβριος 2025.

(64)    Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2) (ΕΕ L 333 της 27.12.2022, σ. 80, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Κανονισμός (ΕΕ) 2024/2847 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2024, σχετικά με οριζόντιες απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία και για την τροποποίηση των κανονισμών (ΕΕ) αριθ. 168/2013 και (ΕΕ) 2019/1020 και της οδηγίας (ΕΕ) 2020/1828 (κανονισμός για την κυβερνοανθεκτικότητα) (ΕΕ L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/ell).

(66)    Κοινή ανακοίνωση προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, Ενίσχυση της οικονομικής ασφάλειας της ΕΕ, 3 Δεκεμβρίου 2025 [JOIN(2025) 977 final].

(67)    Οδηγία 2014/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Φεβρουαρίου 2014, σχετικά με τις διαδικασίες σύναψης δημοσίων συμβάσεων και την κατάργηση της οδηγίας 2004/18/ΕΚ (ΕΕ L 94 της 28.3.2014, σ. 65, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/ell).

(68)    Οδηγία 2014/25/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Φεβρουαρίου 2014, σχετικά με τις διαδικασίες σύναψης συμβάσεων φορέων που δραστηριοποιούνται στους τομείς του ύδατος, της ενέργειας, των μεταφορών και των ταχυδρομικών υπηρεσιών και την κατάργηση της οδηγίας 2004/17/ΕΚ (ΕΕ L 94 της 28.3.2014, σ. 243, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj?locale=fr).

(69)    Ανακοίνωση της Επιτροπής σχετικά με την εφαρμογή της εργαλειοθήκης κυβερνοασφάλειας 5G [C(2023) 4049 final της 15ης Ιουνίου 2023].

(70)    Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Κανονισμός (ΕΕ) αριθ. 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 25ης Οκτωβρίου 2012, σχετικά με την ευρωπαϊκή τυποποίηση, την τροποποίηση των οδηγιών του Συμβουλίου 89/686/ΕΟΚ και 93/15/ΕΟΚ και των οδηγιών του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 94/9/ΕΚ, 94/25/ΕΚ, 95/16/ΕΚ, 97/23/ΕΚ, 98/34/ΕΚ, 2004/22/ΕΚ, 2007/23/ΕΚ, 2009/23/ΕΚ και 2009/105/ΕΚ και την κατάργηση της απόφασης 87/95/ΕΟΚ του Συμβουλίου και της απόφασης αριθ. 1673/2006/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ L 316 της 14.11.2012, σ. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Κανονισμός (ΕΕ) 2023/2675 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Νοεμβρίου 2023, για την προστασία της Ένωσης και των κρατών μελών της από τον οικονομικό εξαναγκασμό από τρίτες χώρες (ΕΕ L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    ΕΕ L 56 της 4.3.1968, σ. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2019/715 της Επιτροπής, της 18ης Δεκεμβρίου 2018, για τη θέσπιση του δημοσιονομικού κανονισμού-πλαισίου για τους οργανισμούς που δημιουργούνται δυνάμει της ΣΛΕΕ και της Συνθήκης Ευρατόμ και αναφέρονται στο άρθρο 70 του κανονισμού (ΕΕ, Ευρατόμ) 2018/1046 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ L 122 της 10.5.2019, σ. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Κανονισμός (ΕΕ, Ευρατόμ) αριθ. 883/2013 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 11ης Σεπτεμβρίου 2013, σχετικά με τις έρευνες που πραγματοποιούνται από την Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF) και την κατάργηση του κανονισμού (ΕΚ) αριθ. 1073/1999 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και του κανονισμού (Ευρατόμ) αριθ. 1074/1999 του Συμβουλίου (ΕΕ L 248 της 18.9.2013, σ. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    ΕΕ L 136 της 31.5.1999, σ. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Κανονισμός (Ευρατόμ, ΕΚ) αριθ. 2185/96 του Συμβουλίου, της 11ης Νοεμβρίου 1996, σχετικά με τους ελέγχους και εξακριβώσεις που διεξάγει επιτοπίως η Επιτροπή με σκοπό την προστασία των οικονομικών συμφερόντων των Ευρωπαϊκών Κοινοτήτων από απάτες και λοιπές παρατυπίες (ΕΕ L 292 της 15.11.1996, σ. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Οδηγία (ΕΕ) 2017/1371 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 5ης Ιουλίου 2017, σχετικά με την καταπολέμηση, μέσω του ποινικού δικαίου, της απάτης εις βάρος των οικονομικών συμφερόντων της Ένωσης (ΕΕ L 198 της 28.7.2017, σ. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Κανονισμός αριθ. 1 του Συμβουλίου περί καθορισμού του γλωσσικού καθεστώτος της Ευρωπαϊκής Οικονομικής Κοινότητας (EE 17 της 6.10.1958, σ. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Απόφαση (ΕΚ, Ευρατόμ) 2015/443 της Επιτροπής, της 13ης Μαρτίου 2015, σχετικά με την ασφάλεια στην Επιτροπή (ΕΕ L 72 της 17.3.2015, σ. 41). http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Απόφαση (ΕΚ, Ευρατόμ) 2015/444 της Επιτροπής, της 13ης Μαρτίου 2015, σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (ΕΕ L 72 της 17.3.2015, σ. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2) (ΕΕ L 333 της 27.12.2022, σ. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Κανονισμός (ΕΚ) αριθ. 1008/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Σεπτεμβρίου 2008, σχετικά με κοινούς κανόνες εκμετάλλευσης των αεροπορικών γραμμών στην Κοινότητα (αναδιατύπωση) (ΕΕ L 293 της 31.10.2008, σ. 3, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/ell).

(84)    Όπως αναφέρεται στο άρθρο 58 παράγραφος 2 στοιχείο α) ή β) του δημοσιονομικού κανονισμού.

(85)     Πολιτικές κατευθύνσεις 2024 .

(86)     Επιστολή ανάθεσης καθηκόντων προς την εκτελεστική αντιπρόεδρο Virkkunen .

(87)     Έκθεση του Sauli Niinistö .

(88)     Έκθεση Draghi σχετικά με την ανταγωνιστικότητα της ΕΕ .

(89)     Enrico Letta - Much more than a market (Απρίλιος 2024) .

(90)    Θα προστεθεί μετά τη δημοσίευσή της.

(91)     Πράξη της ΕΕ για την κυβερνοασφάλεια | EUR-Lex .

(92)     Financial regulation applicable to the general budget of the Union (recast) [Δημοσιονομικός κανονισμός που εφαρμόζεται στον γενικό προϋπολογισμό της Ένωσης (αναδιατύπωση)] — Υπηρεσία Εκδόσεων της ΕΕ .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Κατ’ εξουσιοδότηση κανονισμός - 2019/715 - EL - EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/ell .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf .

(99)    ΔΠ = Διαχωριζόμενες πιστώσεις / ΜΔΠ = Μη διαχωριζόμενες πιστώσεις.

(100)    ΕΖΕΣ: Ευρωπαϊκή Ζώνη Ελεύθερων Συναλλαγών.

(101)    Υποψήφιες χώρες και, κατά περίπτωση, δυνάμει υποψήφια μέλη από τα Δυτικά Βαλκάνια.

(102)    Τα αποτελέσματα είναι τα προϊόντα και οι υπηρεσίες που θα παρασχεθούν (π.χ.: αριθμός ανταλλαγών φοιτητών που θα χρηματοδοτηθούν, αριθμός χλμ. οδών που θα κατασκευαστούν κ.λπ.).

(103)    Όπως περιγράφεται στο σημείο 1.3.2. «Ειδικοί στόχοι»

(104)    Διευκρινίστε κάτω από τον πίνακα πόσα ΙΠΑ, εντός του αναφερόμενου αριθμού, έχουν ήδη διατεθεί για τη διαχείριση της δράσης και/ή μπορούν να ανακατανεμηθούν στο εσωτερικό της ΓΔ και ποιες είναι οι καθαρές ανάγκες σας.

(105)    Όσον αφορά τους παραδοσιακούς ιδίους πόρους (δασμούς, εισφορές ζάχαρης), τα αναγραφόμενα ποσά πρέπει να είναι καθαρά, δηλ. τα ακαθάριστα ποσά μετά την αφαίρεση του 20 % για έξοδα είσπραξης.

(106)     Απόφαση RR-02: Price list of SNAS services (Τιμοκατάλογος υπηρεσιών του SNAS):  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf , 

(107)    Ειδικότερα, στο κόστος συντήρησης λαμβάνονται υπόψη 2 διά ζώσης συνεδριάσεις με εμπειρογνώμονες ετησίως (100 000 EUR), το κόστος των αναδόχων που υποστηρίζουν την κατάρτιση και την επανεξέταση δικαιολογητικών εγγράφων για το σχήμα, η υιοθέτηση σχημάτων πιστοποίησης, η υποστήριξη των αποτιμήσεων από ομοτίμους και η διενέργεια αξιολογήσεων συμμόρφωσης (4 x 15 000 = 60 000 EUR). Το κόστος περιλαμβάνει επίσης το λειτουργικό μέρος της πλατφόρμας του ΜΣΕ και τον ιστότοπο του ENISA για την πιστοποίηση (40 000 EUR).