EUROOPAN KOMISSIO

Strasbourg 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Ehdotus

EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS

Euroopan unionin kyberturvallisuusvirastosta (ENISA), eurooppalaisesta kyberturvallisuuden sertifiointikehyksestä ja tieto- ja viestintätekniikan toimitusketjun turvallisuudesta sekä asetuksen (EU) 2019/881 kumoamisesta (kyberturvallisuussäädös 2)

(ETA:n kannalta merkityksellinen teksti)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

PERUSTELUT

1.EHDOTUKSEN TAUSTA

•Ehdotuksen perustelut ja tavoitteet

Tätä taustaa vasten kyberturvallisuusasetuksen ehdotetulla tarkistuksella pyritään ratkaisemaan neljä keskeistä ongelmaa: i) unionin kyberturvallisuuspolitiikan kehyksen ja sidosryhmien tarpeiden välinen epäsuhta yhä vihamielisemmässä uhkaympäristössä; ii) paikallaan junnaava eurooppalaisen kyberturvallisuuden sertifiointikehyksen toteuttaminen; iii) unionin kyberturvatasoon vaikuttavien ja kyberturvallisuuteen liittyvien toimintapolitiikkojen monimutkaisuus ja moninaisuus; ja iv) tieto- ja viestintätekniikan toimitusketjujen tietoturvariskien lisääntyminen.

Havaittujen keskeisten ongelmien perusteella toimen kaksi yleistä tavoitetta ovat kyberturvallisuusvalmiuksien ja kyberresilienssin parantaminen sekä pirstoutumisen ehkäiseminen sisämarkkinoilla

·parantamalla unionin kyberturvallisuuden hallintaa ja varmistamalla, että asianomaiset instituutiot, viranomaiset ja muut sidosryhmät ovat varautuneet paremmin torjumaan kyberturvallisuusuhkia, havaitsemaan niitä ja reagoimaan niihin koordinoidusti ja tehokkaasti; ja

·tukemalla unionin yhteisten kyberturvallisuusvälineiden, kuten sertifiointijärjestelmien, kehitystä, täytäntöönpanoa ja käyttöönottoa sekä tarjoamalla yhdenmukaistettuja kehyksiä, joilla rakennetaan luottamusta ja yhteentoimivuutta kaikissa jäsenvaltioissa.

Yleisillä tavoitteilla vastataan ongelman määrittelyssä yksilöityihin keskeisiin haasteisiin. Niissä näkyy yleinen poliittinen tavoite, jonka mukaan kyberturvallisuuden hallintaa on vahvistettava unionissa ja turvallisten, häiriönsietokykyisten ja kilpailukykyisten digitaalisten sisämarkkinoiden kehittämistä on tuettava.

Edellä mainittujen yleisten tavoitteiden saavuttamiseksi tällä toimella pyritään seuraaviin erityistavoitteisiin:

·puututaan epäsuhtaan unionin kyberturvallisuuspolitiikan kehyksen ja sidosryhmien tarpeiden välillä:

·erityistavoite 1: luodaan valmiudet unionin kyberturvallisuuspolitiikan tehokasta täytäntöönpanoa ja jatkuvaa operatiivista yhteistyötä varten, jotta jäsenvaltioiden välillä voidaan tehdä yhteistyötä jäsennellymmin;

·erityistavoite 2: kehitetään ja pannaan täytäntöön keinoja ja mekanismeja, joilla tuetaan tehokkaasti jäsenvaltioiden, teollisuuden ja muiden sidosryhmien tarpeita ja vastataan niihin;

·puututaan eurooppalaisen kyberturvallisuuden sertifiointikehyksen vähäiseen käyttöönottoon ja tehokkuuteen:

·erityistavoite 3: luodaan edellytykset kyberturvallisuuden sertifiointijärjestelmien nopeammalle toteuttamiselle markkinoiden tarpeiden perusteella laajentamalla eurooppalaisen kyberturvallisuuden sertifiointikehyksen soveltamisalaa, varmistamalla toimiva ylläpito ja ketterät menettelyt sekä lisäämällä läpinäkyvyyttä;

·puututaan vaatimustenmukaisuusympäristön hajanaisuuteen sekä horisontaalisten ja alakohtaisten kehysten monimutkaisuuteen:

·erityistavoite 4: luodaan mekanismeja ja edellytyksiä, joilla helpotetaan kyberturvallisuusvaatimusten noudattamista, ja siten parannetaan niiden täytäntöönpanon yhdenmukaisuutta ja tuloksellisuutta; 

·puututaan toimitusketjun kyberturvallisuusriskeihin:

·erityistavoite 5: vähennetään kriittisten tieto- ja viestintätekniikan toimitusketjujen riskejä niiden toimijoiden osalta, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa (suuririskiset toimittajat), ja vähennetään kriittisiä riippuvuuksia kehittämällä EU:n tasolla yhdenmukainen ja tehokas kehys tieto- ja viestintätekniikan toimitusketjun turvallisuusriskeihin puuttumiseksi.

Kyberturvallisuusasetuksen tarkistus kuuluu sääntelyn toimivuutta ja tuloksellisuutta koskevan ohjelman (REFIT) piiriin. Se auttaa merkittävästi lisäämään selkeyttä, poistamaan tehottomuutta ja yhdenmukaistamaan menettelyjä eri oikeudellisissa kehyksissä. Kyberturvallisuusasetuksen tarkistus edesauttaa sisämarkkinoiden moitteetonta toimintaa ja varmistaa samalla unionin turvallisuuden ja strategisen riippumattomuuden.

Konkreettisesti siinä ehdotetaan Euroopan unionin kyberturvallisuusviraston (ENISA) toimeksiannon täydellistä uudistamista, jotta voidaan tarjota tehokasta tukea politiikan täytäntöönpanolle ja lisäarvoa jäsenvaltioiden välisen operatiivisen yhteistyön tukemisen kautta.

Unionin kasvavien kyberturvallisuusriskien ja -haasteiden vuoksi ehdotuksella pyritään lisäämään ENISAn taloudellisia ja henkilöresursseja, jotta ne vastaavat sen vahvempaa roolia, tehtäviä ja kriittistä asemaa unionin digitaalisen ekosysteemin puolustamisessa ja mahdollistavat ENISAlle tässä ehdotuksessa annettujen tehtävien hoitamisen tehokkaasti.

Tarkistuksella myös autetaan poistamaan hajanaisia käytäntöjä, mikä parantaa koordinointia ja samalla alentaa vaatimusten noudattamisen ja toiminnan kustannuksia pitkällä aikavälillä. Kumoamalla nykyinen kyberturvallisuusasetus ja ottamalla käyttöön uudistettu eurooppalainen kyberturvallisuuden sertifiointikehys ehdotuksessa tarjotaan tehokkaampi ja vaikuttavampi väline, joka sekä edistää yritysten, suuren yleisön ja viranomaisten luottamusta että helpottaa asiaa koskevan unionin lainsäädännön noudattamista. Sillä lisätään tehokkuutta uudistamalla hallintomallia ja tukemalla ennakoitavampia, johdonmukaisempia ja ketterämpiä sertifiointimenettelyjä, jotta järjestelmän kehittäminen ja täytäntöönpano olisi nopeampaa.

Suurempi synergia asiaankuuluvien unionin nykyisten oikeudellisten kehysten kanssa edistää sertifiointia yritysten keinona täyttää vaatimukset ja vähentää useiden kyberturvallisuutta koskevien säädösten nojalla toimiviin vaatimustenmukaisuuden arviointilaitoksiin kohdistuvaa hallinnollista rasitetta. Lisäksi ehdotuksella laajennetaan eurooppalaisen kyberturvallisuuden sertifiointikehyksen soveltamisalaa ja mahdollistetaan toimijoiden kyberturvatasoa koskevan järjestelmän kehittäminen, mikä vähentää vaatimusten täyttämisestä aiheutuvia kustannuksia niiden toimijoiden osalta, joihin sovelletaan asiaa koskevaa unionin kyberturvallisuuslainsäädäntöä, alkaen NIS 2 -direktiivin soveltamisalaan kuuluvista toimijoista. Tällä lähestymistavalla yksinkertaistetaan merkittävästi sellaisten toimijoiden sääntelyvelvoitteita, joihin kohdistuu vaatimuksia monelta suunnalta, ja mahdollistetaan kansallisten viranomaisten resurssien tehokkaampi käyttö. Tämän tarkistuksen lisäksi direktiiviehdotuksella, jolla tehdään kohdennettuja muutoksia NIS 2 -direktiiviin, pyritään yksinkertaistamaan kyberturvallisuuskehyksen tiettyjen vaatimusten noudattamista ja varmistamaan sujuvampi ja johdonmukainen täytäntöönpano, myös suhteessa soveltamisalaan, määritelmiin, kiristysohjelmista raportointiin ja rajat ylittäviä palveluja tarjoavien toimijoiden valvontaan.

Uudella asetuksella luodaan myös yhdenmukaistettu kehys tieto- ja viestintätekniikan toimitusketjuihin kohdistuvien muiden kuin teknisten riskien torjumiseksi, mikä vähentää jäsenvaltioiden toimintamallien nykyistä hajanaisuutta. Yhdessä nämä näkökohdat yksinkertaistavat ja nykyaikaistavat merkittävästi unionin kyberturvallisuutta koskevaa oikeudellista kehystä, mikä on täysin yhdenmukaista REFIT-ohjelman selkeyden, tehokkuuden ja digitaalisen valmiuden periaatteiden kanssa.

•Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa

Unioni on laajentanut oikeudellisia ja politiikan välineitään useilla säädöksillä ja politiikkatoimilla: i) NIS 2 -direktiivillä vahvistetaan kyberturvallisuutta kriittisen infrastruktuurin osalta; ii) fyysisiä turvatoimia määritellään sen sisardirektiivissä eli kriittisten toimijoiden häiriönsietokykyä koskevassa direktiivissä; iii) kyberkestävyyssäädöksellä parannetaan tuotteiden kyberturvallisuutta; iv) kybersolidaarisuussäädöksellä luodaan EU:n laajuisia reagointivalmiuksia; v) EU:n kybersuunnitelmalla 7 tuetaan EU:n tason kriisinhallintayhteistyötä, jossa komissiolla ja unionin ulkoasioiden ja turvallisuuspolitiikan korkealla edustajalla on keskeinen asema laajamittaisiin kyberturvallisuuspoikkeamiin valmistautumisessa ja reagoimisessa; vi) 5G-kyberturvallisuusvälineistö (5G-välineistö) tukee 5G-verkkojen kyberturvallisuutta; vii) sairaaloiden ja terveydenhuoltopalvelujen tarjoajien kyberturvallisuutta koskeva eurooppalainen toimintasuunnitelma 8 auttaa parantamaan niiden kyberturvallisuutta; ja viii) kyberturvallisuusakatemia 9 vastaa kyberturvallisuuteen liittyvästä osaamisvajeesta johtuvaan kasvavaan haasteeseen.

•Yhdenmukaisuus unionin muiden politiikkojen kanssa

2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE

•Oikeusperusta

•Toissijaisuusperiaate (jaetun toimivallan osalta)

Ehdotetun asetuksen kattamat toimet tarjoavat selkeää lisäarvoa tukemalla yhdenmukaistamista, oikeudellista selkeyttä ja koordinoitua reagointia kyberturvallisuushaasteisiin.

•Suhteellisuusperiaate

•Toimintatavan valinta

3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET

•Jälkiarvioinnit/toimivuustarkastukset

·Merkityksellisyys: ENISAn merkitystä kyberturvallisuuden alalla korostaa sen reagointi sidosryhmien muuttuviin tarpeisiin ja kyky mukautua kehittyvään toimintaympäristöön. Vaikka sidosryhmät olivat yleisesti ottaen tyytyväisiä, ENISAn vaikutusta voidaan yhä lisätä. Tämä voidaan saavuttaa parantamalla tukea ja näkyvyyttä eri aloilla, erityisesti pienissä ja keskisuurissa yrityksissä (pk-yrityksissä), jotka usein kamppailevat kyberturvallisuusvaatimusten kanssa. On olennaisen tärkeää parantaa resurssien organisointia ja selkeyttää koordinointia kansallisten viranomaisten kanssa. Toimien priorisointi ja nykyisten resurssien optimointi sovittavat ENISAn toiminnan paremmin yhteen Euroopan kyberturvallisuusympäristön dynaamisten tarpeiden kanssa.

Lupaavista lähtökohdista huolimatta eurooppalaisella kyberturvallisuuden sertifiointikehyksellä katsotaan edelleen olevan enemmän potentiaalisia kuin käytännön vaikutuksia, koska vain yksi sertifiointijärjestelmä on hiljattain otettu käyttöön. Kehys on suunniteltu integroitumaan saumattomasti muihin unionin säädöksiin menettelyjen virtaviivaistamiseksi ja rajat ylittävän kaupan helpottamiseksi. Sen merkitys korostuu korkean varmuustason alueilla, kuten pilvipalveluissa ja 5G-infrastruktuureissa.

·Vaikuttavuus: ENISA on täyttänyt tehtävänsä onnistuneesti tuottamalla lähes kaikki suunnitellut tuotokset ja osoittamalla joustavuutta ja häiriönsietokykyä kriiseissä, kuten covid-19-pandemian ja Venäjän Ukrainaa vastaan käymän hyökkäyssodan aikana. Tehokkuuden lisäämiseksi tarvitaan kuitenkin parempaa priorisointia, selkeää keskittymistä ja strategista resurssien kohdentamista. Ketterämpi lähestymistapa sisäiseen hallintoon on olennaisen tärkeää, jotta voidaan sopeutua kehittyviin kyberturvallisuusvaatimuksiin ja minimoida viivästykset.

Eurooppalaisen kyberturvallisuuden sertifiointikehyksen tavoitteena oli yhdenmukaistaa kyberturvallisuussertifiointi koko unionissa, mutta se kohtasi merkittäviä haasteita, kuten menettelyihin liittyviä rajoituksia ja pirstoutumista, jotka johtivat viivästyksiin ja tehottomuuteen, kuten viivästykseen yhteisiin kriteereihin perustuvan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän (EUCC) hyväksymisessä. Ulkoiset tekijät, kuten geopoliittiset jännitteet ja covid-19-pandemia, vaikeuttivat edelleen eurooppalaisen kyberturvallisuuden sertifiointikehyksen tavoitteiden saavuttamista ja korostivat mukautettavien toimenpiteiden tarvetta ja johdonmukaista resurssien kohdentamista sidosryhmien kesken kyberturvallisuussertifioinnin yhdenmukaisuuden ja vaikuttavuuden saavuttamiseksi. Näistä esteistä huolimatta on saavutettu myönteisiä tuloksia, erityisesti lisätty jäsenvaltioiden tietoja kyberturvallisuussertifioinnin tärkeydestä ja monisyisyydestä.

·Tehokkuus: ENISA toimi tehokkaasti matriisipohjaisessa organisaatiokehyksessään edistäen yhteistyötä ja tehtävien priorisointia. ENISAlla oli kuitenkin haasteita vastata kasvaviin vaatimuksiin ja täyttää erityistehtäviä, mitä pahensi maailmanlaajuinen IT-asiantuntijoiden puute. Tämä johti viivästyksiin ja suuriin työmääriin. Näiden ongelmien ratkaisemiseksi ENISA voisi optimoida sisäisen henkilöstönsä ja kohdentaa resurssinsa tehokkaasti uudelleen, kuten se on osoittanut strategisissa mukautuksissa, esimerkiksi vuoden 2022 resurssien siirtämisessä kyberturvallisuuden tukitoimeen. Lisäksi talousarviohallinnon parantaminen ja hallintomenojen vähentäminen parantaisivat edelleen viraston toiminnan tehokkuutta.

Eurooppalaisen kyberturvallisuuden sertifiointikehyksen tehokkuutta on arvosteltu kyberturvallisuuden sertifiointijärjestelmien hyväksymistä koskevien määräaikojen pidentymisen ja siihen liittyvien monimutkaisuuksien vuoksi. Ensimmäinen järjestelmä hyväksyttiin vasta vuoden 2024 alussa, lähes viiden vuoden kuluttua kyberturvallisuusasetuksen hyväksymisestä. Viivästyksiin ovat vaikuttaneet poliittiset ja tekniset haasteet, kuten keskustelut datasuvereniteetista ja vaikeudet saattaa luonnoksia lainsäädännöksi. Poliittiset haasteet ja tekniset vaatimukset ovat haitanneet edistymistä, kuten EU:n pilvipalvelujen sertifiointijärjestelmän ja EU5G-järjestelmän kohdalla on nähty. Näistä tehottomuuksista huolimatta kehys johti useisiin myönteisiin seikkoihin. Sidosryhmien osallistamista ja sisäistä hallintoa on kuitenkin edelleen parannettava optimaalisen toiminnan ja strategisen panoksen varmistamiseksi.

·Johdonmukaisuus: ENISAn johdonmukaisuutta tukee sidosryhmien merkittävä osallistuminen sekä mukautuminen viimeaikaisiin lainsäädäntökehyksiin. Johdonmukaisuuden ja resurssien kohdentamisen lisäämiseksi on kuitenkin olennaisen tärkeää parantaa synergioita unionin muiden elinten, kuten Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskuksen, ja kansallisten viranomaisten kanssa. Lisäksi on kehitettävä ENISAn sisäistä viestintää ja resurssien hallintaa sekä avointa vuorovaikutusta yksityisten sidosryhmien kanssa. ENISAn tehtävien selkeä rajaaminen kyberturvallisuusasetuksen ja NIS 2 -direktiivin mukaisesti parantaa sekä tehokkuutta että sääntelyn johdonmukaisuutta.

Eurooppalaisen kyberturvallisuuden sertifiointikehyksen osalta yhdenmukaisuus muiden unionin oikeudellisten keinojen, kuten NIS 2 -direktiivin ja kyberturvallisuusasetuksen, kanssa on ratkaisevan tärkeää yhtenäisen kyberturvallisuutta koskevan lähestymistavan varmistamiseksi. Vaikka eurooppalainen kyberturvallisuuden sertifiointikehys osoittaa teoreettista mukautumista näihin lainsäädännöllisiin toimenpiteisiin, todellinen integrointi on edelleen monimutkaista ja edellyttää huolellista valvontaa. Hyväksytyn eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän täytäntöönpano kyberturvallisuusasetuksen puitteissa on tässä suhteessa merkittävä testi.

·EU:n tason lisäarvo: ENISA on edistänyt merkittävästi unionin kyberturvallisuusekosysteemiä lisäämällä yhteistyötä ja yhdenmukaistamalla käytäntöjä. Sen rooli kansallisten toimien helpottamisessa ja tietojen tarjoamisessa uusista uhkista on ollut ratkaisevan tärkeä. Yksityisen sektorin sidosryhmien esittämä kritiikki räätälöidymmän tuen tarpeesta osoittaa kuitenkin, että sidosryhmien osallistumista ja alan yhteistyötä on parannettava. Resurssienhallinnan strategisen uudelleenarvioinnin ansiosta ENISA voisi sopeutua paremmin muuttuviin kyberturvallisuushaasteisiin ja palvella paremmin erilaisia sidosryhmiä. Eurooppalaisen kyberturvallisuuden sertifiointikehyksen tavoitteena oli ottaa käyttöön yhdenmukaistetut sertifiointiprosessit, mutta täytäntöönpanoon liittyi haasteita, jotka johtuivat pitkittyneistä määräajoista ja pirstoutumisesta. Eurooppalaisen kyberturvallisuuden sertifiointikehyksen lisäarvo on ollut rajallinen, koska sen tavoitteiden saavuttamisessa ja tehokkuudessa on puutteita. Näistä haasteista huolimatta eurooppalainen kyberturvallisuuden sertifiointikehys paransi jäsenvaltioiden välistä yhdenmukaistamista ja loi parempia yhteistyömahdollisuuksia erityisesti luomalla sidosryhmien yhteistyöfoorumeita, kuten Euroopan kyberturvallisuuden sertifiointiryhmän.

•Sidosryhmien kuuleminen

Vuosina 2023–2025 toteutettiin useita sidosryhmien kuulemisia sekä kyberturvallisuusasetuksen arvioinnin että kyberturvallisuusasetuksen tarkistuksen yhteydessä, kuten jäljempänä on kuvattu.

–Vuonna 2023 järjestettiin 65 haastattelua (joista 52 keskittyi enemmän ENISAan ja 13 pääasiassa eurooppalaiseen kyberturvallisuuden sertifiointikehykseen), toteutettiin kyselyohjelma, johon saatiin 209 vastausta (joista 70 koski eurooppalaista kyberturvallisuuden sertifiointikehystä), saatettiin päätökseen julkinen kuuleminen ja järjestettiin kaksi SWOT-analyysiin (vahvuudet, heikkoudet, mahdollisuudet ja uhkat) ja suosituksiin liittyvää työpajaa, joissa oli 26 ja 70 osallistujaa. Näillä toimilla pyrittiin erityisesti keräämään sidosryhmien näkemyksiä ENISAn vaikutuksen, vaikuttavuuden ja tehokkuuden arvioimiseksi. PwC:n, Intellera Consultingin ja PPMI:n komissiolle laatima Euroopan unionin kyberturvallisuusviraston (ENISA) ja Euroopan kyberturvallisuuden sertifiointikehyksen arviointia tukevan tutkimuksen loppuraportti (2024) valmistui joulukuussa 2024. 

–Vuonna 2025 komissio käynnisti kannanottopyynnön. Sidosryhmiä pyydettiin erityisesti toimittamaan kirjallisia vastauksia, kuten kannanottoja, teknisiä kertomuksia tai kommentteja, erityisistä uudistusehdotuksista.  Eri sidosryhmäluokilta, kuten toimialajärjestöiltä, kyberturvallisuusyrityksiltä, pk-yrityksiltä, akateemisilta laitoksilta ja yleishyödyllisiltä organisaatioilta, saatiin yhteensä 184 yksittäistä vastausta.

–Huhtikuun ja kesäkuun 2025 välisenä aikana komissio järjesti kyberturvallisuusasetuksen tarkistuksen yhteydessä julkisen kuulemisen ja sai 193 vastausta. Kuuleminen koostui yhteensä 38 suljetusta ja avoimesta kysymyksestä, jotka kattoivat ENISAn toimeksiannon, eurooppalaisen kyberturvallisuuden sertifiointikehyksen, tieto- ja viestintätekniikan toimitusketjujen turvallisuuden sekä yksinkertaistamisen.

–Kohdennettu kuuleminen (haastattelut): valittujen sidosryhmien kanssa toteutettiin puolistrukturoituja haastatteluja. Sidosryhmiin kuului ENISAn edustajia sekä kansallisia viranomaisia, jotka ovat kehittäneet tai hallinnoivat kansallisia raportointialustoja. Haastatteluissa keskityttiin ENISAn rooliin ja valmiuksiin, eurooppalaisen kyberturvallisuuden sertifiointikehyksen operatiiviseen toimintaan, kansallisten ja unionin tason sertifiointiprosessien yhdenmukaistamisen käytännön haasteisiin, raportointitaakkaan ja täytäntöönpanon esteisiin. Nämä keskustelut antoivat laadullisia näkemyksiä, jotka rikastivat julkisen kuulemisen tulosten tulkintaa ja tukivat toimenpidevaihtoehtojen tarkentamista.

–Jäsenvaltioiden edustajien kuuleminen neuvoston työryhmän 19 puitteissa ja kahdenvälisissä keskusteluissa, joissa jäsenvaltiot voivat ilmaista näkemyksensä kyberturvallisuusasetuksen uudelleentarkastelusta.

–Kohdennettu kuuleminen (eurooppalaisen kyberturvallisuuden sertifiointikehyksen ryhmät – Euroopan kyberturvallisuuden sertifiointiryhmä, sidosryhmien kyberturvallisuuden sertifiointiryhmä): komissio esitteli molempien ryhmien puheenjohtajana kyberturvallisuusasetuksen tarkistuksen tilanteen 12. maaliskuuta ja 3. heinäkuuta 2025 pidetyissä Euroopan kyberturvallisuuden sertifiointiryhmän kokouksissa ja 17. maaliskuuta 2025 pidetyssä sidosryhmien kyberturvallisuuden sertifiointiryhmän kokouksessa. Lisäksi Euroopan kyberturvallisuuden sertifiointiryhmän jäseniltä kerättiin täydentäviä asiantuntijalausuntoja kyselylomakkeilla.

·ENISAn toimeksianto ja operatiivinen rooli, mukaan lukien jäsenvaltioille annettava tuki ja uusien teknologioiden asiantuntemus;

·eurooppalaisen kyberturvallisuuden sertifiointikehyksen tehokkuus, mukaan lukien hallinto- ja kehittämisprosessit;

·kyberturvallisuusvelvoitteiden monimutkaisuus ja pirstoutuminen kiinnittäen huomiota raportointitaakkaan ja mahdolliseen yksinkertaistamiseen;

·pk-yrityksiä koskevien vaatimusten oikeasuhteisuus ja mahdollisuus eriytettyihin vaatimusten noudattamispolkuihin; ja

·yhdenmukaistettujen kyberturvallisuussääntöjen yhteiskunnalliset ja taloudelliset vaikutukset, mukaan lukien vaikutukset kuluttajiin, oikeuksiin, innovointiin ja kilpailukykyyn.

•Vaikutustenarviointi

Lopullinen toimintapoliittinen ehdotus ei poikkea vaikutusarvioinnissa arvioiduista vaihtoehdoista.

Vaihtoehdot, joilla voidaan puuttua epäsuhtaan unionin kyberturvallisuuspolitiikan kehyksen ja sidosryhmien tarpeiden välillä yhä vihamielisemmässä ympäristössä

Eurooppalaista kyberturvallisuuden sertifiointikehystä koskevat vaihtoehdot

Vaihtoehto B.1: Eurooppalaisen kyberturvallisuuden sertifiointikehyksen soveltamisalan, osatekijöiden ja tavoitteiden selkeyttäminen ja ylläpitomekanismin käyttöönotto – tämä vaihtoehto tarjoaisi hyväksytyille järjestelmille uuden ylläpitomekanismin, jonka ENISA panisi täytäntöön.

Vaihtoehto B.2: Eurooppalaisen kyberturvallisuuden sertifiointikehyksen uudistaminen tarkistamalla sen menettelyjä ja laajentamalla soveltamisalaa sääntelyn noudattamisen yksinkertaistamiseksi – tämä vaihtoehto kumoaisi kyberturvallisuusasetuksen ja korvaisi sen uudella asetuksella. Vaihtoehdon B.1 lisäksi järjestelmien pyytämiseen, kehittämiseen ja hyväksymiseen liittyviä menettelyjä tarkistettaisiin vastuuvelvollisuuden ja tehokkuuden parantamiseksi.

Vaihtoehto B.3: Eurooppalaisen kyberturvallisuuden sertifiointikehyksen uudistaminen vaihtoehdon B.2 mukaisesti ja kyberturvatason pakollisen sertifioinnin käyttöönotto – tämä vaihtoehto perustuisi vaihtoehtoon B.2, mutta sillä pyrittäisiin lisäämään kehyksen vaikutusta ottamalla käyttöön pakollinen sertifiointi olennaisille toimijoille ottaen huomioon erityiset riskiskenaariot sen sijaan, että luotettaisiin yksinomaan toimijoiden vapaaehtoiseen sertifiointiin.

Yksinkertaistamisvaihtoehdot

Vaihtoehto C.1: Otetaan käyttöön ei-sitovia ja muita kuin lainsäädännöllisiä välineitä, mukaan lukien nykyisten valtuuksien käyttö (täytäntöönpanosäädösten hyväksyminen NIS 2 -direktiivin 21 artiklan 5 kohdan ja 23 artiklan 11 kohdan nojalla) – tässä vaihtoehdossa esitetään täytäntöönpanosäädösten hyväksymistä NIS 2 -direktiivin mukaisten nykyisten valtuuksien nojalla, jotta voidaan varmistaa kyberturvallisuusriskien hallintatoimenpiteiden, poikkeamista ilmoittamista koskevien kynnysarvojen sekä tietojen tyypin, muodon ja ilmoitusmenettelyjen parempi yhdenmukaistaminen. Siinä esitetään myös suuntaviivojen hyväksymistä oikeusvarmuuden lisäämiseksi ja yhdenmukaisen täytäntöönpanon edistämiseksi.

Vaihtoehto C.2: Kohdennettu toimi – unionin kyberturvallisuutta koskevan lainsäädäntökehyksen noudattamisen yksinkertaistaminen – tähän vaihtoehtoon sisältyy rajoitettuja toimia, joita tehtäisiin muuttamalla kyberturvallisuusasetusta ja NIS 2 -direktiiviä kyberturvallisuuskehyksen tiettyjen näkökohtien yksinkertaistamiseksi. Näitä toimia ovat muun muassa soveltamisalan mukautukset, täytäntöönpanosäädösten mahdollisimman suuri yhdenmukaistaminen, vaatimustenmukaisuuden osoittaminen sertifioinnilla ja vaihtoehdossa C.1 esitettyjen suuntaviivojen hyväksyminen.

Vaihtoehto D.1: Otetaan käyttöön ei-sitoviin toimenpiteisiin perustuva toimintatapa tieto- ja viestintätekniikan toimitusketjujen kyberturvallisuusriskeihin puuttumiseksi – Tässä vaihtoehdossa ei säädettäisi sääntelytoimista EU:n tasolla. Sen sijaan komissio lisäisi koordinoitujen riskinarviointien ja vapaaehtoisten välineiden määrää.

Vaihtoehto D.2: Tilapäiset sääntelytoimet, joilla kodifioidaan 5G-välineistö – Tämä vaihtoehto kodifioisi 5G-välineistön toimenpiteet. Se velvoittaisi jäsenvaltiot varmistamaan, että suuririskisten toimittajien komponentteja ei käytetä verkon keskeisissä hyödykkeissä.

Tämä yhdistelmä tarjoaa tasapainoisen vastauksen todettuihin toimintapoliittisiin haasteisiin ja parantaa merkittävästi vaikuttavuutta, tehokkuutta ja johdonmukaisuutta kaikkialla unionissa.

Samaan aikaan säännösten noudattamista koskevien velvoitteiden virtaviivaistamisen ja vähentämisen odotetaan tuottavan jopa 15,3 miljardin euron kustannussäästöt yrityksille viiden vuoden aikana. Lisäksi unionin yleisen kyberturvatason ja teknologisen suvereniteetin parantaminen sekä innovoinnin ja kilpailukyvyn edistäminen tuottaisi merkittäviä etuja suurelle yleisölle, viranomaisille ja yrityksille. Pitkällä aikavälillä tämän odotetaan kompensoivan alkuvaiheen kustannukset suurelta osin.

Markkinoiden pirstoutumista vähentämällä ja sääntelyvaatimuksia yhdenmukaistamalla parhaiksi arvioidut vaihtoehdot parantavat kilpailun tasapuolisuutta kaikkialla unionissa ja tarjoavat yrityksille selkeämpiä polkuja vaatimusten noudattamiseen ja innovointiin.

•Sääntelyn toimivuus ja yksinkertaistaminen

•Perusoikeudet

Lainsäädäntöehdotusta arvioitiin sen perusteella, miten se voi edistää tai vaarantaa perusoikeuksia ja edistää tasa-arvoa ja luottamusta keskittyen erityisesti yhteiskunnallisiin vaikutuksiin ja oikeuksiin, mukaan lukien yksityisyyteen, tietosuojaan sekä yksilöiden kykyyn ymmärtää, käyttää ja valvoa oikeuksiaan.

ENISAn toimeksiannon laajentaminen parantaa kyberresilienssiä koko taloudessa ja yhteiskunnassa yleensä, mikä parantaa ihmisten yksityisyyden ja henkilötietojen suojaa. Ehdotuksella tuetaan myös kyberturvallisuuteen liittyvää koulutusta, koska siinä selvennetään ENISAn roolia kyberturvallisuushenkilöstön taitojen kehittämisessä.

Lisäksi eurooppalainen kyberturvallisuuden sertifiointikehys lisää unionin suuren yleisön ja yritysten luottamusta arkea tukeviin sertifioituihin tieto- ja viestintäteknisiin ratkaisuihin. Lisäjärjestelmien käyttöönotto lisäisi tätä vaikutusta.

4.TALOUSARVIOVAIKUTUKSET

5.LISÄTIEDOT

•Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt

•Selittävät asiakirjat (direktiivien osalta)

•Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset

II osasto: ENISA – EUROOPAN UNIONIN KYBERTURVALLISUUSVIRASTO

Komissio voi yksilöidä täytäntöönpanosäädöksillä keskeiset tieto- ja viestintätekniset hyödykkeet, joita käytetään tuotteiden valmistukseen ja palvelujen tarjoamiseen direktiivin (EU) 2022/2555 liitteessä I ja liitteessä II tarkoitettujen toimijatyyppien mukaan. Ehdotetun asetuksen 102 artiklassa täsmennetään keskeisten tieto- ja viestintäteknisten hyödykkeiden määrittämisessä huomioon otettavat osatekijät. Ehdotetun asetuksen 103 artiklassa vahvistetaan tieto- ja viestintätekniikan toimitusketjun mahdolliset lieventävät toimenpiteet. Komissio voi täytäntöönpanosäädöksillä päättää, että erittäin kriittisillä aloilla ja muilla kriittisillä aloilla toimiviin toimijoihin on sovellettava erityisiä lieventäviä toimenpiteitä, jotka esitetään tarkemmin kyseisessä artiklassa.

Suoritettuaan sijoittautumisen sekä omistajuuden ja määräysvallan arvioinnin komissio laatii täytäntöönpanosäädöksillä luettelot suuririskisistä toimittajista, jotka ovat merkityksellisiä 103 artiklan 1 kohdan ja 103 artiklan 7 kohdan mukaisesti annetuissa täytäntöönpanosäädöksissä säädettyjen kieltojen tai 110 artiklan 1 kohdassa tarkoitetun kiellon kannalta. Sen olisi kuultava asianomaisia toimittajia ja toimivaltaisia viranomaisia (104 artikla).

Toimija, joka on sijoittautunut 100 artiklan mukaisesti kyberturvallisuushaasteita aiheuttavaksi nimettyyn kolmanteen maahan tai joka on tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa, voi pyytää lupaa toimittaa tieto- ja viestintäteknisiä komponentteja direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijoiden keskeisiin tieto- ja viestintäteknisiin hyödykkeisiin ja osallistua tällaisten tieto- ja viestintäteknisten komponenttien toimittamiseen liittyviin julkisiin hankintoihin. Ehdotetun asetuksen 105 artiklassa täsmennetään, mitä pyynnön olisi sisällettävä ja mikä on tällaisen vapautuksen myöntämismenettely. Ehdotetun asetuksen 106 artiklassa täsmennetään kyseisen toimijan oikeus puolustukseen. Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä vapautuksia koskevista päätöksistä (107 artikla). Ehdotetun asetuksen 108 ja 109 artiklassa täsmennetään vapautusmenettelyyn liittyvät salassapitosuojaa koskevat säännöt sekä maksut.

Osaston II luvussa säädetään luotettavien tieto- ja viestintätekniikan toimitusketjujen kehyksen soveltamisesta matkaviestinverkkoihin sekä kiinteisiin ja satelliittipohjaisiin sähköisiin viestintäverkkoihin, millä varmistetaan yhdenmukaisuus ehdotetun digiverkkosäädöksen kanssa.

Matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen keskeiset tieto- ja viestintätekniset hyödykkeet esitetään liitteessä II. Siirtymäkausi, jonka aikana suuririskisten toimittajien tieto- ja viestintätekniset komponentit poistetaan asteittain käytöstä sähköisen matkaviestinverkon keskeisissä tieto- ja viestintäteknisissä hyödykkeissä, saa olla enintään 36 kuukautta tämän asetuksen voimaantulosta. Komissio vahvistaa kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen siirtymäajat täytäntöönpanosäädöksillä. Komissiolle siirretään valta antaa delegoituja säädöksiä nimettyjen keskeisten tieto- ja viestintäteknisten hyödykkeiden ja siirtymäkausien muuttamiseksi, myös tulevien matkaviestinsukupolvien osalta (110 artikla). Ehdotetun asetuksen 111 artiklassa säädetään, että matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajat eivät voi käyttää, asentaa tai integroida missään muodossa suuririskisten toimittajien tieto- ja viestintäteknisiä komponentteja, eikä niille voida myöntää yleistä tai yksittäistä valtuutusta.

Toimivaltaiset viranomaiset, valvonta ja täytäntöönpano, lainkäyttövalta, oikeus puolustukseen (III luku)

Osaston III luvussa vahvistetaan lisäksi toimivaltaisia viranomaisia, valvontaa ja täytäntöönpanoa sekä lainkäyttövaltaa koskevat säännöt. 

Ehdotetun asetuksen 112–114 artiklassa täsmennetään jäsenvaltioiden toimivalta, keinot ja vastuut IV osaston säännösten täytäntöönpanon ja soveltamisen valvonnan varmistamisessa. Jäsenvaltioiden on nimettävä yksi tai useampi toimivaltainen viranomainen, joka ilmoitetaan komissiolle. Ehdotetun asetuksen 113 artiklassa säädetään, että komissio perustaa jäsenvaltioiden toimivaltaisten viranomaisten ja komission yhteistyöverkoston vaatimusten noudattamisen helpottamiseksi, ja 114 artiklassa täsmennetään valvonta- ja täytäntöönpanotoimenpiteet, joihin toimivaltaisilla viranomaisilla on oikeus ryhtyä. Seuraamukset IV osaston säännösten rikkomisesta määritellään 115 artiklassa. Ehdotetun asetuksen 116 artiklassa täsmennetään jäsenvaltioiden mahdollisuus avustaa toisiaan silloin, kun toimijoilla on rajat ylittävää toimintaa tai kun niiden keskeiset tieto- ja viestintätekniset hyödykkeet sijaitsevat useissa jäsenvaltioissa. Ehdotetun asetuksen 117 artiklassa määrätään lainkäyttövaltaa ja alueellisuutta koskevista säännöistä.

2026/0011 (COD)

Ehdotus

EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS

Euroopan unionin kyberturvallisuusvirastosta (ENISA), eurooppalaisesta kyberturvallisuuden sertifiointikehyksestä ja tieto- ja viestintätekniikan toimitusketjun turvallisuudesta sekä asetuksen (EU) 2019/881 kumoamisesta (kyberturvallisuussäädös 2)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon 24 ,

ottavat huomioon alueiden komitean lausunnon 25 ,

noudattavat tavallista lainsäätämisjärjestystä,

sekä katsovat seuraavaa:

1) Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 26 antamisen jälkeen geopoliittisessa, teknologisessa ja poliittisessa toimintaympäristössä on tapahtunut merkittäviä muutoksia. Järjestelmävirheistä, inhimillisistä virheistä, vihamielisistä teoista tai luonnonilmiöistä aiheutuneet kyberturvallisuuspoikkeamat ovat lisääntyneet, ja kyberhyökkäyksistä on tullut kehittyneempiä, mikä vaikuttaa olennaisiin toimijoihin, yrityksiin ja suureen yleisöön. Kyberrikollisuuden ekosysteemi on kasvanut, ja sen ytimessä on kiristysohjelmatoiminta. Taloudellista hyötyä tavoittelevien rikollisten tai valtiollisten toimijoiden aiheuttamista häiriöistä, vakoilusta, disinformaatiosta tai sodankäynnistä aiheutuneet toimitusketjun poikkeamat ovat lisääntyneet. Osana laajempaa hybridistrategiaa haitallisista kybertoimista ja järjestelmähäiriöistä johtuvat tapahtumat leviävät ulospäin, häiritsevät keskeisiä palveluja, heikentävät luottamusta laitoksiin ja vaikuttavat unionin yhteiskunnalliseen ja puolustusvalmiuteen. Tällaisten poikkeamien on osoitettu voivan vaikuttaa taloudelliseen toimintaan, rahoitusvakauteen ja ihmisten elämään. Samaan aikaan kriittisen siviili-infrastruktuurin ja -järjestelmien haavoittuvuus vaarantaa niistä riippuvaiset puolustusvalmiudet.

2)Myös tekoälyn ja kvanttilaskennan kaltaiset uudet teknologiat vaikuttavat häiritsevästi kyberturvallisuuteen ja kyberpuolustukseen. Ne muokkaavat puolustusvälineitä ja vastustajien taktiikkaa, aiheuttavat uhkia kyberturvallisuudelle ja kyberpuolustukselle, mutta tarjoavat samalla myös mahdollisuuksia teknologiseen kehitykseen. Vaikka ne voivat edistää kyberturvallisuutta parantamalla uhkien havaitsemista tai automatisoitua poikkeamien torjuntaa, ne lisäävät myös organisaatioiden hyökkäyksille altista kokonaispinta-alaa, ovat mahdollisia manipulointikohteita ja voivat heikentää turvallisuustoimenpiteiden, kuten salauksen, pitkän aikavälin elinkelpoisuutta.

3)Ottaakseen tämän kehityksen huomioon unioni on parantanut oikeudellisia ja poliittisia välineitään. Euroopan parlamentin ja neuvoston direktiivillä (EU) 2022/2555 27 vahvistetaan kriittisen infrastruktuurin kyberturvallisuutta, ja direktiiviä täydennetään fyysisen turvallisuuden osalta Euroopan parlamentin ja neuvoston direktiivillä (EU) 2022/2557 28 . Euroopan parlamentin ja neuvoston asetuksella (EU) 2024/2847 29 parannetaan digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuutta. Euroopan parlamentin ja neuvoston asetuksella (EU) 2025/38 30 kehitetään unionin laajuisia reagointivalmiuksia, ja 6 päivänä kesäkuuta 2025 annetulla neuvoston suosituksella kyberkriisinhallintaa koskevasta EU:n suunnitelmasta 31 , jäljempänä ’kybersuunnitelmaa koskeva suositus’, tuetaan unionin tason kriisinhallintayhteistyötä. 5G-kyberturvallisuusvälineistö 32 on ensimmäinen askel kohti koordinoitua toimintatapaa unionin tasolla 5G-verkkojen turvaamiseksi. EU:n kybertaitoakatemiaa 33 koskevassa komission tiedonannossa käsitellään kyberturvallisuuden osaamisvajeen kasvavaa haastetta. Lisäksi kyberturvallisuuskehystä on parannettu alakohtaisella lainsäädännöllä, erityisesti rahoitusalaa koskevalla Euroopan parlamentin ja neuvoston asetuksella (EU) 2022/2554 34 , sähköalaa koskevalla komission delegoidulla asetuksella (EU) 2024/1366 35 , komission delegoidulla asetuksella (EU) 2022/1645 36 ja komission täytäntöönpanoasetuksella (EU) 2023/203 37 (OSA IS) sekä komission asetuksessa (EU) 2019/1583 38 vahvistetuilla lentoliikenteen alaa koskevilla asiaankuuluvilla ilmailun turvaamista koskevilla säännöillä ja muilla toimintapoliittisilla asiakirjoilla, kuten komission tiedonannolla sairaaloiden ja terveydenhuollon tarjoajien kyberturvallisuutta koskevasta EU:n toimintasuunnitelmasta 39 . Unionin toimijoita vahvistetaan myös Euroopan parlamentin ja neuvoston asetuksella (EU, Euratom) 2023/2841 40 , jossa säädetään toimenpiteistä, joilla pyritään saavuttamaan kyberturvallisuuden yhteinen korkea taso unionin toimielimissä, elimissä, toimistoissa ja virastoissa. Tällä kyberturvallisuuden tehostetulla oikeudellisella kehyksellä on täsmennetty ENISAn tehtäviä.

4)Tässä yhteydessä ja kuten todetaan eurooppalaisen sisäisen turvallisuuden strategiassa (ProtectEU-strategia) 41 ja varautumisunionistrategiassa 42 : unionin yhteiskunnan ja talouden varautumisen, turvallisuuden ja häiriönsietokyvyn varmistaminen edellyttää vahvaa eurooppalaista koordinointia, luottamusta ja tiedonvaihtoa sidosryhmien välillä, vankkoja kehyksiä tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien sekä tietoturvapalvelujen turvallisuuden varmistamiseksi sekä kyberturvallisuushenkilöstön vahvistamista ja määrän kasvattamista. Lisäksi siinä kehotetaan vahvistamaan tieto- ja viestintätekniikan toimitusketjuja varmistamalla Euroopan teknologinen suvereniteetti keskeisten hyödykkeiden osalta, mikä lisäisi unionin häiriönsietokykyä ja voisi hyödyttää kyberpuolustustoimia. Lisäksi tiedonannossa EU:n taloudellisen turvallisuuden vahvistamisesta 43 yksilöidään ensisijaisiksi tavoitteiksi sellaiseen arkaluonteiseen informaatioon ja dataan pääsyn estäminen, joka voisi heikentää EU:n taloudellista turvallisuutta, sekä EU:n talouteen vaikuttavien EU:n kriittisen infrastruktuurin häiriöiden ehkäiseminen ja lieventäminen. Siinä tunnustetaan, että tehokkailla kyberturvallisuustoimenpiteillä on tässä olennainen merkitys.

5)Kriittiseen infrastruktuuriin, digitaalisiin palveluihin tai keskeisiin yhteiskunnallisiin toimintoihin vaikuttavilla laajamittaisilla kyberturvallisuuspoikkeamilla voi olla väestöön vaikutuksia, jotka edellyttävät koordinoituja pelastuspalvelu- ja kriisinhallintatoimia unionin tasolla. Euroopan valmiusunionistrategiassa ja unionin pelastuspalvelumekanismista annetussa päätöksessä N:o 1313/2013/EU esitetyn kaikki vaarat kattavan lähestymistavan mukaisesti tämän asetuksen mukaisia tilannekuvaa, poikkeamiin reagoimista ja harjoituksia koskevia järjestelyjä olisi hyödynnettävä unionin kriisinhallinnassa, erityisesti hätäavun koordinointikeskuksen (ERCC) kautta.

6)Tämä ehdotus on yhdenmukainen sitä täydentävän [ehdotus direktiiviksi, joka täydentää [asetuksen (EU) 2019/881 tarkistusta] ja muuttaa direktiiviä (EU) 2022/2555 kyberturvallisuuden yhteisen korkean tason toimenpiteiden täytäntöönpanon yksinkertaistamisen osalta kaikkialla unionissa] kanssa samoin kuin [ehdotus asetukseksi digitaalisen lainsäädäntökehyksen yksinkertaistamiseksi (digitaalialan koontiasetus) 44 ] kanssa, jossa säädetään ENISAn velvollisuudesta kehittää poikkeamista ilmoittamista varten keskitetty asiointipiste, jonka kautta toimijat voivat samanaikaisesti täyttää useiden säädösten mukaiset poikkeamista ilmoittamista koskevat velvoitteensa.

7)Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 460/2004 45 perustettiin ENISA, jonka tavoitteena on varmistaa verkko- ja tietojärjestelmien turvallisuuden korkea ja tehokas taso unionissa sekä kehittää verkko- ja tietoturvakulttuuria kansalaisten, kuluttajien, yritysten ja julkishallinnon hyödyksi. ENISAn toimeksiantoa jatkettiin kolme kertaa ennen kuin sille annettiin pysyvä toimeksianto asetuksella (EU) 2019/881. ENISAn toimeksiantoa olisi vahvistettava edelleen, jotta voidaan vastata paremmin muuttuvien uhkien ja teknologisten toimintaympäristöjen luomiin tarpeisiin, erityisesti operatiivisen yhteistyön ja kyberturvallisuuden ammattilaisten kasvavan tarpeen osalta. Asetus (EU) N:o 2019/881 olisi oikeusvarmuuden vuoksi korvattava.

8)Kehittyvässä uhkaympäristössä, jossa kyberturvallisuuspoikkeamien merkitys kasvaa, on entistä tärkeämpää, että yksilöt, viranomaiset ja yritykset voivat luottaa päivittäin käyttämiinsä teknologioihin. Luottamuksen lisäämistä voidaan helpottaa vahvistamalla unionin laajuisen eurooppalaisen kyberturvallisuuden sertifiointikehyksen sertifiointia, joka tarjoaa yhteiset kyberturvallisuusvaatimukset ja arviointikriteerit eri kansallisille markkinoille ja sektoreille. Uudessa kehyksessä olisi vahvistettava eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tärkeimmät horisontaaliset vaatimukset ja mahdollistettava eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten tunnustaminen ja käyttö kaikissa jäsenvaltioissa. Näin luotaisiin menettely- ja hallintokehys, joka mahdollistaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien oikea-aikaisen ja ennakoitavan kehittämisen ja ylläpidon. Eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä olisi sovellettava yhdenmukaisesti kaikissa jäsenvaltioissa, jotta varmistetaan kyberturvallisuusvaatimusten yhdenmukainen täytäntöönpano, luodaan tasapuoliset toimintaedellytykset ja estetään ”sertifiointishoppailu” eri jäsenvaltioiden eri tiukkuustasojen perusteella. ENISAlla olisi oltava keskeinen rooli järjestelmien kehittämisessä teknisten eritelmien avulla ja sen varmistamisessa, että järjestelmät pysyvät teknisesti ajan tasalla. Lisäksi kehyksen olisi tarjottava mahdollisuus sertifioida toimijoille osoitetut kyberturvallisuusriskien hallintatoimenpiteet ja helpotettava unionin muun sovellettavan lainsäädännön noudattamista kyberturvallisuuden alalla, jotta markkinoiden tarpeisiin voidaan vastata tehokkaasti. Yhdenmukaistaminen unionin voimassa olevan lainsäädännön, kuten asetuksen (EU) 2024/2847 ja direktiivin (EU) 2022/2555, kanssa on olennaisen tärkeää, jotta eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät voivat osaltaan vähentää yrityksille vaatimusten noudattamisesta aiheutuvaa rasitetta ja jotta voidaan lisätä järjestelmien houkuttelevuutta ja vahvistaa unionin kyberresilienssiä.

9)ENISAn tehtävänä olisi oltava jäsenvaltioiden ja unionin toimijoiden tukeminen kyberturvallisuuden, häiriönsietokyvyn ja unioniin kohdistuvan luottamuksen korkean tason saavuttamisessa. Tätä varten ENISAn olisi toimittava kyberturvallisuutta koskevan neuvonnan ja asiantuntemuksen viitetahona, ja sen työn olisi keskityttävä ensisijaisesti kyberturvallisuuden neljään keskeiseen alaan unionin tasolla. Ensinnäkin ENISAn olisi tuettava jäsenvaltioita kyberturvallisuutta koskevan unionin politiikan ja lainsäädännön johdonmukaisessa täytäntöönpanossa ja autettava jäsenvaltioita valmiuksien kehittämiseen tähtäävillä toimilla, jotta ne voivat jatkuvasti parantaa valmiuksiaan varautumisen, häiriönsietokyvyn ja reagoinnin osalta. Toiseksi ENISAn olisi edistettävä operatiivista yhteistyötä unionin tasolla jäsenvaltioiden välillä sekä parannettua yhteistä tilannekuvaa kyberuhkista ja poikkeamista jäsenvaltioiden ja unionin toimijoiden välillä. Kolmantena keskeisenä alana olisi oltava kyberturvallisuussertifiointi ja -standardointi, neljäntenä alana puolestaan kyberturvallisuusakatemian toteutus, millä olisi edistettävä sellaisen osaavan eurooppalaisen kyberturvallisuushenkilöstön kehittämistä, jonka taitojen olisi oltava siirrettävissä jäsenvaltioiden välillä.

10)Asetuksessa (EU, Euratom) 2023/2841 säädetään toimenpiteistä unionin toimielinten, elinten, toimistojen ja virastojen kyberturvallisuuden yhteisen korkean tason saavuttamiseksi ja CERT-EU:n toimeksiannosta sekä sen perustamisesta unionin toimielinten, elinten, toimistojen ja virastojen kyberturvallisuuspalveluksi, jotta se voi edistää unionin toimijoiden turvallisuusluokittelemattoman tieto- ja viestintäteknisen ympäristön turvallisuutta neuvomalla toimijoita kyberturvallisuusasioissa, auttamalla niitä ehkäisemään, havaitsemaan, käsittelemään ja lieventämään poikkeamia, reagoimaan niihin ja palautumaan niistä sekä toimimalla niiden kyberturvallisuutta koskevan tietojenvaihdon ja poikkeamanhallinnan koordinointikeskuksena. Lisäksi CERT-EU:n tehtävänä on tarjota asiaankuuluvia kyberturvallisuuspalveluja unionin toimijoille. Osana tehtäväänsä ENISAn olisi tuettava myös unionin toimijoita. Tämä olisi tehtävä erityisesti tekemällä jäsenneltyä yhteistyötä CERT-EU:n kanssa kyberuhkia koskevien valmiuksien kehittämiseen, operatiiviseen yhteistyöhön ja pitkän aikavälin strategisiin analyyseihin liittyen. ENISA voi tarvittaessa hyödyntää jäsenneltyä yhteistyötä CERT-EU:n kanssa omia kyberturvallisuuspalveluitaan varten tai tukeakseen unionin toimijoita lisäarvoa tuottavalla tavalla koordinoidusti CERT-EU:n toimien synergioiden varmistamiseksi.

11)Yhden ENISAn keskeisistä tehtävistä tulisi olla jäsenvaltioiden tukeminen kyberturvallisuutta koskevan unionin politiikan ja lainsäädännön johdonmukaisessa täytäntöönpanossa erityisesti direktiivin (EU) 2022/2555, asetuksen (EU) 2024/2847 ja asetuksen (EU) 2025/38 osalta. Unionin kyberturvallisuussäännöstön johdonmukaisen ja tehokkaan täytäntöönpanon edistämiseksi ENISAn olisi annettava teknisiä ohjeita ja kertomuksia, neuvottava ja jaettava parhaita käytäntöjä sekä helpotettava parhaiden käytäntöjen vaihtoa toimivaltaisten viranomaisten välillä tätä varten. Lisäksi ENISA arvioi kyberturvallisuuden tilaa unionissa ja hyväksyy tätä koskevan kertomuksen direktiivin (EU) 2022/2555 18 artiklan mukaisesti. ENISAn olisi myös voitava vastata jäsenvaltioiden ja tarvittaessa unionin toimijoiden neuvonta- ja avustuspyyntöihin ENISAn toimeksiantoon kuuluvissa asioissa.

12)Julkisen ja yksityisen sektorin välisen yhteistyön edistämiseksi ja erityisesti kriittisen infrastruktuurin turvaamisen tukemiseksi ENISAn olisi tuettava tietojenvaihtoa toimialoilla ja niiden välillä, erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltujen toimialojen ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvia digitaalisia elementtejä sisältäviä tuotteita koskevien tietojen osalta. Tällaista tukea voidaan antaa tarjoamalla parhaita käytäntöjä ja ohjeita käytettävissä olevista välineistä ja menettelyistä sekä ohjeita siitä, miten tietojenvaihtoon liittyviä sääntelykysymyksiä voidaan käsitellä esimerkiksi helpottamalla alakohtaisten tietojen jakamisen ja analysoinnin keskusten perustamista.

13)Strategisen yhteistyön ja tietojenvaihdon tukemiseksi ja helpottamiseksi ENISAn olisi edistettävä direktiivillä (EU) 2022/2555 perustetun yhteistyöryhmän, jäljempänä ’verkko- ja tietoturva-alan yhteistyöryhmä’, riskeihin ja poikkeamiin liittyvää työtä erityisesti tarjoamalla asiantuntemusta ja neuvontaa sekä helpottamalla parhaiden käytäntöjen vaihtoa muun muassa rajatylittävien riippuvuuksien osalta. ENISAn olisi myös osallistuttava Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 910/2014 46 perustetun eurooppalaisen digitaalisen identiteetin yhteistyöryhmän, Euroopan kyberturvallisuuden sertifiointiryhmän ja asetuksella (EU) 2024/2847 perustetun hallinnollisen yhteistyön ryhmän työhön.

14)Avoimen internetin julkinen ydin – eli sen tärkeimmät protokollat ja infrastruktuuri, jotka ovat globaali julkishyödyke – huolehtii koko internetin keskeisistä toiminnoista ja tukee sen normaalia toimintaa. ENISAn olisi toimeksiantonsa puitteissa tuettava avoimen internetin julkisen ytimen turvallisuutta ja häiriönsietokykyä ja sen toiminnan vakautta, muun muassa mutta ei pelkästään keskeisten protokollien (erityisesti verkkotunnusjärjestelmän, rajayhdyskäytäväprotokollan ja internetprotokollan version 6) turvallista käyttöönottoa ja toimintaa sekä verkkotunnusjärjestelmän toimintaa (mukaan lukien kaikkien aluetunnusten toiminta), edistämällä parhaita käytäntöjä, opastusta ja yhteistyötä vakiintuneiden maailmanlaajuisten, sidosryhmien välisten internetin hallintojärjestelyjen sekä asiaankuuluvien kansainvälisten teknisten ja operatiivisten elinten roolien ja vastuiden mukaisesti.

15)ENISA toimii kyberturvallisuutta koskevan neuvonnan ja asiantuntemuksen viitetahona. Sen vuoksi ENISAn olisi komission pyynnöstä avustettava sitä tarjoamalla asiantuntemusta, teknistä neuvontaa, tietoja ja analyysejä, mukaan lukien toteutettavuustutkimusten, lausuntojen ja kyberturvallisuuden alan erityiskysymyksiä koskevan valmistelutyön avulla, jotta voidaan tiedottaa komission päätöksenteosta ja helpottaa kyberturvallisuutta koskevan unionin lainsäädännön täytäntöönpanon seurantaa.

16)Vastaavasti ENISAn olisi asiantuntemuksensa huomioon ottaen avustettava jäsenvaltioita niiden pyrkimyksissä kehittää ja parantaa valmiuksia ja varautumiskykyä voidakseen ehkäistä ja havaita kyberuhkia ja poikkeamia ja reagoida niihin sekä verkko- ja tietojärjestelmien turvallisuuteen liittyvissä asioissa. ENISAn olisi erityisesti tuettava direktiivillä (EU) 2022/2555 perustettujen tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden, jäljempänä ’CSIRT-yksiköt’, kehittämistä ja tehostamista, jotta ne saavuttaisivat yhteisen korkean kehitystason unionissa.

17)ENISA on tukenut ja sen olisi edelleen tuettava jäsenvaltioita niiden kansallisten kyberturvallisuusstrategioiden suuntaviivojen laatimisessa ja täytäntöönpanossa, mikä edistää kyberturvallisuusstrategioiden hyväksymistä ja täytäntöönpanoa kaikissa jäsenvaltioissa. ENISAn olisi myös edistettävä tällaisten strategioiden levittämistä kansallisten kyberturvallisuusstrategioiden interaktiivisen kartan avulla, ja sen olisi seurattava edelleen strategioiden täytäntöönpanon edistymistä muun muassa tukemalla keskeisten tulosindikaattoreiden kehittämistä tässä yhteydessä.

18)Asetuksella (EU, Euratom) 2023/2841 toimielinten väliselle kyberturvallisuuslautakunnalle on annettu tehtäväksi tukea unionin toimijoita niiden kyberturvallisuuden tason nostamisessa ja CERT-EU:lle on annettu tehtäväksi edistää kaikkien unionin toimijoiden turvallisuusluokittelemattoman tieto- ja viestintäteknisen ympäristön turvallisuutta. ENISAn olisi kyberturvallisuuden alan kokemuksensa perusteella tuettava toimielinten välistä kyberturvallisuuslautakuntaa ja CERT-EU:ta niiden tehtävissä asetuksen (EU, Euratom) 2023/2841 mukaisesti muun muassa edistämällä kyberuhkien analysointia, tilannekuvaa, kyberturvallisuusharjoituksia, poikkeamien torjuntaa koskevaa koordinointia sekä taitotiedon ja parhaiden käytäntöjen vaihtoa.

19)ENISAn asiantuntemuksen perusteella ja kansallisten ja unionin viranomaisten valmiuksien täydentämiseksi ENISAn olisi annettava koulutusta käyttäen perustana Euroopan kyberturvallisuustaitojen kehystä, erityisesti politiikan tehokkaan täytäntöönpanon, operatiivisen yhteistyön ja tietoisuuden lisäämisen tukemiseksi.

20)Jotta voidaan varmistaa synergiat Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskuksen ja Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/887 47 nojalla perustetun kansallisten koordinointikeskusten verkoston kanssa, ENISAn olisi tuettava niitä jakamalla tietoa nykyisistä ja kehittyvistä riskeistä ja kyberuhkista, mukaan lukien tieto- ja viestintäteknologioihin liittyvät riskit ja uhkat.

21)Valmiusstrategiassa korostetaan, että digitaalinen lukutaito, joka perustuu digitaalisten perustaitojen hankkimiseen, on olennaisen tärkeää, jotta kansalaiset voivat paremmin selviytyä mahdollisista kriiseistä. Kuten osaamisunionista annetussa komission tiedonannossa 48 korostetaan, lähes puolella aikuisväestöstä ei ole digitaalisia perustaitoja, vaikka niitä vaaditaan yli 90 prosentissa työpaikoista. ENISAn olisi tuettava kyberturvallisuustietoisuutta lisääviä toimia, joiden tavoitteena on houkutella osaajia, ja auttaa tiedottamaan kyberturvallisuuden alalla tarvittavasta koulutuksesta ja taidoista, esimerkiksi European Cybersecurity Challenge -kilpailun avulla, jotta voidaan varmistaa, että nykyisellä ja mahdollisella tulevalla työvoimalla on tarvittavat taidot nopeasti kehittyvässä digitaalisessa ympäristössä, ja edistää eurooppalaisen kyberturvallisuuden osaamisjatkumon kehittämistä. Tässä yhteydessä ENISAn olisi koordinoitava kyberturvallisuuskilpailuja, Capture the Flag -tapahtumia ja vastaavia käytännön harjoituksia keinona kehittää kyberturvallisuustaitoja ja edistää valmiuksien kehittämistä kaikkialla unionissa. Toteuttaessaan tietoisuutta lisääviä toimia ENISAn olisi varmistettava, että ne vastaavat kansallisten viranomaisten ja unionin toimijoiden tarpeita sekä yritysten, erityisesti pk-yritysten, ja koulutuslaitosten tarpeita ylläpitämällä käytännön puitteita ja koulutusta, kuten Awareness Raising in a Box -välineistöä. ENISAn olisi kehitettävä edelleen käytännöllisiä ja toteuttamiskelpoisia ohjeita, joilla tuetaan unionin kyberturvallisuuspolitiikan ja lainsäädännön täytäntöönpanoa. ENISAn olisi myös pyrittävä tarjoamaan asiaankuuluvia tietoja sovellettavista sertifiointijärjestelmistä esimerkiksi antamalla suuntaviivoja ja suosituksia.

22)Kyberturvallisuusalalla toimivien yritysten ja kyberturvallisuusratkaisujen käyttäjien tukemiseksi ja tämän asetuksen III osaston tehokkaan täytäntöönpanon varmistamiseksi ENISAn olisi kehitettävä markkinoiden seurantakeskus ja ylläpidettävä sitä tekemällä säännöllisiä analyyseja ja levittämällä tietoa kyberturvallisuusmarkkinoiden tärkeimmistä suuntauksista sekä kysyntä- että tarjontapuolella. Lisäksi ENISAn olisi asetuksen (EU) 2025/38 nojalla perustetun EU:n kyberturvallisuusreservin käyttäjien tukemiseksi valmisteltava kyseisten käyttäjien tarvitsemien palvelujen ja tällaisten palvelujen saatavuuden kartoitus mainitun asetuksen mukaisesti.

23)Kyberuhkat ovat maailmanlaajuinen ongelma. Kyberturvallisuuden parantamiseksi tarvitaan tiiviimpää kansainvälistä yhteistyötä, mukaan lukien yhteisten käyttäytymisnormien ja lähestymistapojen määritteleminen. Tähän liittyen ENISAn olisi tuettava unionin yhteistyötä kolmansien maiden kanssa keskittyen unionin jäsenehdokasmaihin ja kansainvälisiin järjestöihin, kuten Natoon, tarjoamalla tarvittaessa tarvittavaa asiantuntemusta ja analyysejä komissiolle ja asiaankuuluville unionin toimijoille. ENISAn kansainvälisen toiminnan olisi aina oltava unionin painopisteiden mukaista.

24)ENISAn olisi tuettava operatiivista yhteistyötä jäsenvaltioiden välillä, yhteistyössä CERT-EU:n kanssa unionin toimijoiden kesken ja sidosryhmien välillä, jotta unionissa voidaan saavuttaa kyberturvallisuuden korkea taso. Tätä varten ENISAn roolia olisi vahvistettava. ENISAn olisi liityttävä CSIRT-verkostoon ja edistettävä sen jäsenenä tietojen vaihtoa ja analysointia verkostossa. ENISAn olisi entistä enemmän edistettävä ja tuettava asianomaisten CSIRT-yksiköiden välistä yhteistyötä CSIRT-yksiköiden hallinnoimien tai suojaamien verkkojen tai infrastruktuurin poikkeamien, hyökkäysten tai häiriöiden yhteydessä. ENISAn aktiivisen tuen CSIRT-verkoston ja Euroopan kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe) toiminnalle pitäisi mahdollistaa se, että nämä verkostot voivat edelleen vahvistaa kehitystasoaan. ENISAn rooli tällaisen yhteistyön tukemisessa käsittää demokraattisten instituutioiden, vaalien ja muiden prosessien turvallisuuteen ja koskemattomuuteen kohdistuvien uhkien torjumisen sekä kriittisen infrastruktuurin, josta ne ovat riippuvaisia, tiedonannon Eurooppalainen demokratian kilpi: vahvojen ja selviytymiskykyisten demokratioiden voimaannuttaminen 49 mukaisesti.

25)Valmiuksien kehittämisen, operatiivisen yhteistyön ja kyberuhkien pitkän aikavälin strategisten analyysien tukemiseksi ENISAn olisi hyödynnettävä CERT-EU:n käytettävissä olevaa teknistä ja operatiivista asiantuntemusta jäsennellyn yhteistyön kautta esimerkiksi erityisjärjestelyjen avulla.

26)Jotta voidaan vahvistaa kyberturvallisuutta kaikkialla unionissa ja varmistaa nopea ja tehokas reagointi kyberuhkiin, ENISAn olisi tuettava jäsenvaltioita niiden pyynnöstä muun muassa antamalla neuvoja valmiuksien parantamisesta, jotta poikkeamia voidaan ehkäistä, ne voidaan havaita, niihin voidaan reagoida ja niistä voidaan toipua, helpottamalla direktiivissä (EU) 2022/2555 tarkoitettujen merkittävien poikkeamien teknistä käsittelyä erityisesti tukemalla teknisten ratkaisujen vapaaehtoista jakamista jäsenvaltioiden välillä tai varmistamalla, että kyberuhkat ja poikkeamat analysoidaan. ENISAn olisi myös avustettava EU-CyCLONea raporttien laatimisessa unionin ja jäsenvaltioiden poliittiselle tasolle.

27)Ulkomaiselle sekaantumiselle altistumisen, toimitusketjun manipuloinnin ja strategisten tietojen vuotamisen vähentämiseksi ENISAn olisi käytettävä CSIRT-verkostossa ja EU-CyCLONessa suojattuja viestintävälineitä. Tällaisia välineitä olisi kybersuunnitelmaa koskevan suosituksen perusteella hankittava oikeussubjekteilta, jotka ovat sijoittautuneet tai joiden katsotaan olevan sijoittautuneita unioniin ja jotka ovat jäsenvaltioiden tai jäsenvaltioiden kansalaisten määräysvallassa.

28)Unionin tason varautumisen ja reagoinnin edistämiseksi laajamittaisten kyberturvallisuuspoikkeamien ja kriisien tapauksessa ENISAn olisi toteutettava toimia, joilla saadaan tilannekuva kyberturvallisuudesta.

29) Reaaliaikaisen, todennetun ja luotettavan kyberuhkia koskevan tiedustelutiedon saatavuus on ratkaisevan tärkeää yhteisen tilannekuvan saamiseksi unionissa. ENISA, komissio, CERT-EU ja Europolin Euroopan kyberrikostorjuntakeskus (EC3) ovat jo kehittäneet kyberuhkatiedustelun tietovarastoja, jotka on räätälöity niiden erityistarpeiden mukaan. ENISAn ja muiden asiaankuuluvien unionin toimijoiden olisi tehtävä vapaaehtoista yhteistyötä kehittääkseen reaaliaikaista, todennettua ja luotettavaa kyberuhkia koskevaa tiedustelutietoa ja löytääkseen synergioita, jotta voidaan varmistaa mittakaavaetu ja moitteeton varainhoito. Tähän työhön olisi kuuluttava myös unionin alakohtaisia toimijoita, kuten Euroopan unionin avaruusohjelmavirasto. Niiden olisi jaettava ainoastaan johdettuja analyyseja, kehityssuuntauksia, taktiikkoja, tekniikoita ja menettelyjä, ei raakoja tietolähteitä, ja niiden olisi kunnioitettava toimijoiden riippumattomuutta hallinnoida oman kyberuhkia koskevan tiedustelutietonsa elinkaarta toimeksiantojensa ja tiedonsaantitarvetta koskevien sääntöjensä mukaisesti.

30)Jotta voidaan edistää oikea-aikaista ja koordinoitua reagointia, ENISAn olisi voitava antaa ennakkovaroituksia mahdollisesta tai meneillään olevasta merkittävästä tai laaja-alaisesta poikkeamasta tai mahdollisesta rajat ylittävästä kyberuhasta asianomaiselle CSIRT-yksikölle tai asianomaisille CSIRT-yksiköille ja tarvittaessa CSIRT-verkostolle ja EU-CyCLONelle erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltujen toimijoiden osalta. Tällaisiin varhaisiin varoituksiin voi lukeutua tietoja julkisesti tiedossa olevista haavoittuvuuksista ja siitä, vaikuttavatko ne asetuksen (EU) 2024/2847 soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin, sekä tietoja tekniikoista ja menettelyistä, vaarantumisindikaattoreista, kyberhyökkäystaktiikoista, yksittäisistä uhkatoimijoista ja vaikutuksia lieventäviä toimenpiteitä koskevista suosituksista.

31) Luottamuksen säilyttämiseksi ja jotta tiedon jakaminen ei vaarannu, on tärkeää, että ENISA käyttää näkyviä merkintöjä, joista käy ilmi, missä määrin sen tuottamaa tai vastaanottamaa asiakirjaa tai tietoa voidaan jakaa edelleen. Vastaavasti ENISAn olisi käytettävä toimintansa suorittamiseksi vastaanottamiaan asiakirjoja tai tietoja, jollei näiden tietojen edelleenjakelua ole rajoitettu näkyvällä merkinnällä.

32)Tiedon lisäämiseksi kyberuhkaindikaattoreista ja lieventäviä toimenpiteitä koskevista suosituksista ENISAn olisi tarjottava ennakkovaroituspalvelu toimijoille, jotka toimivat direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla. Tällaisista yleisistä ja vapaaehtoisista ennakkovaroituksista olisi oltava hyötyä erityisesti pk-yrityksille, ja ne olisi annettava koneellisesti luettavassa muodossa, joka asetetaan julkisesti saataville. Tällainen vapaaehtoinen palvelu on joka tapauksessa erillään ENISAn mahdollisesti tulevaisuudessa perustamista tai jo perustamista julkisen ja yksityisen sektorin kumppanuuksista eikä liity niihin.

33)Unionin yhteisen kyberturvallisuuden tilannekuvan tukemiseksi ENISAn olisi laadittava poikkeamista ja kyberuhkista säännöllisesti ja tiiviissä yhteistyössä jäsenvaltioiden kanssa perusteellinen unionin kyberturvallisuuden tekninen tilanneraportti, joka perustuu julkisesti saatavilla oleviin tietoihin, sen omaan analyysiin ja raportteihin, jotka on saatu jäsenvaltioiden CSIRT-yksiköiltä tai direktiivissä (EU) 2022/2555 säädetyiltä verkko- ja tietojärjestelmien turvallisuutta koskevilta kansallisilta keskitetyiltä yhteyspisteiltä, jäljempänä ’keskitetyt yhteyspisteet’, vapaehtoisuuteen perustuvassa tiedonvaihdossa, Europolilta sekä CERT-EU:lta. Kertomus olisi asetettava neuvoston, Euroopan ulkosuhdehallinnon, EU-CyCLONen, CSIRT-verkoston, komission ja Europolin saataville.

34)Jotta voidaan parantaa sidosryhmien yhteistä tilannekuvaa kyberuhka- ja poikkeamaympäristöstä, ENISAn olisi analysoitava kyberuhkien ja poikkeamien kehityssuuntauksia. Tähän olisi sisällyttävä säännöllinen analyysi, jossa käsitellään direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja erittäin kriittisiä toimialoja ja muita kriittisiä toimialoja, mukaan lukien terveydenhuolto-, energia- ja liikenneala. Tällaiseen analyysiin olisi sisällyttävä toimialojen kehitystasot, ja siinä olisi yksilöitävä muun muassa tietylle toimialalle ominaiset mahdolliset haasteet. Tarvittaessa ja toimitusketjun vaikutusten tunnistamiseksi analyysissä olisi osoitettava kyberuhkat ja kehityssuuntaukset, jotka liittyvät asetuksen (EU) 2024/2847 soveltamisalaan kuuluviin tuoteryhmiin. ENISAn olisi kehitettävä asiantuntemusta infrastruktuurien kyberturvallisuuden ja niiden kriittisten toimitusketjuriippuvuuksien alalla erityisesti tukeakseen direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja toimialoja ja asetuksen (EU) 2024/2847 täytäntöönpanoa. Tätä varten ENISAn olisi tarvittaessa tehtävä yhteistyötä myös unionin muiden asiaankuuluvien toimijoiden kanssa.

35)Ymmärtääkseen kyberturvallisuuden alaan liittyviä haasteita paremmin ENISAn on tehtävä analyyseja nykyisistä ja uusista teknologioista sekä aihekohtaisia arviointeja teknologisten innovaatioiden odotettavissa olevista yhteiskunnallisista, oikeudellisista, taloudellisista ja sääntelyyn liittyvistä vaikutuksista kyberturvallisuuden kannalta. ENISA voi antaa verkkosivustollaan merkityksellisiä tietoja helppokäyttöisellä ja hyvin jäsennellyllä tavalla, jotta voidaan varmistaa, että yleisö saa helpommin tietoa kyberturvallisuusriskeistä ja mahdollisista oikeussuojakeinoista.

36)ENISAn vahvistettu rooli tilannekuvan tukemisessa, uhkien analysoinnissa ja teknisen neuvonnan antamisessa edistää osaltaan kollektiivisia kyberturvallisuustoimia digitaalisia elementtejä sisältävien tuotteiden osalta ja tukee asetuksen (EU) 2024/2847 täytäntöönpanoa. Asetuksen (EU) 2024/2847 mukaisesti ENISA voi ehdottaa markkinavalvontaviranomaisille yhteisiä toimia, joilla tarkastetaan, ovatko digitaalisia elementtejä sisältävät tuotteet vaatimusten mukaisia, ja määrittää digitaalisia elementtejä sisältäviä tuoteryhmiä, joiden osalta voidaan järjestää tehotarkastuksia. Kyberuhkien analysoinnista ja ennakkovaroituksista saatavilla tiedoilla olisi vahvistettava ENISAn näille viranomaisille antamaa tukea ja edistettävä asetuksen (EU) 2024/2847 tehokasta täytäntöönpanoa kyberhyökkäysten toimitusketjuvaikutusten ehkäisemiseksi sisämarkkinoilla, ja lisäksi tiedoilla olisi parannettava unionin yleistä valmiutta.

37)Kiristysohjelmahyökkäykset ovat merkittävä kyberturvallisuusuhka unionille. Unionin kyberturvallisuuden tehostamiseksi ja kiristysohjelmien torjumiseksi ENISAn olisi kehitettävä valmiuksia tilannekuvan parantamiseksi ja poikkeamiin reagoimisen ja niistä palautumisen tukemiseksi. Auttaessaan yksittäisiä keskeisiä ja tärkeitä toimijoita reagoimaan kiristysohjelmahyökkäykseen ja toipumaan siitä ENISAn olisi tehtävä tiivistä yhteistyötä Europolin ja tapauksen mukaan CSIRT-yksiköiden tai toimivaltaisten viranomaisten kanssa ja hyödynnettävä siten Europolin vakiintuneita kokemuksia kiristysohjelmarikollisuuden torjunnasta. Tällaisen avun olisi täydennettävä CSIRT-yksiköiden toimia, joilla tuetaan poikkeamiin reagoimista. Saavuttaakseen synergiaetuja kiristysohjelmien vastaisessa työssään ENISAn olisi perustettava neuvontapalvelu, jota varten se voisi yhdistää asiaankuuluvat valmiudet ja haittaohjelmien torjuntapalvelut ja tarjota helposti saatavilla olevia tietoja, ohjeita ja välineitä, joiden avulla keskeiset ja tärkeät toimijat voivat reagoida kiristysohjelmapoikkeamaan ja toipua siitä.

38)ENISAn olisi tarjottava komissiolle teknistä asiantuntemusta ja tukea unionin tason kyberturvallisuusharjoitusten vuotuisen jatkuvan ohjelman valmistelussa
kybersuunnitelmaa koskevan suosituksen mukaisesti, jotta voidaan valmistautua kyberkriiseihin, testata tällaisiin harjoituksiin osallistuvien toimijoiden kyberturvallisuuden tasoa ja minimoida päällekkäiset toimet. ENISAn olisi esimerkiksi annettava neuvoja asianmukaisista harjoitusten tyypeistä, kuten pöytätietokoneella suoritettavat, hybridi- tai live-harjoitukset, sekä tavoitteista, skenaarioista ja osallistumisesta.

39)Nopea paikkansapitävien tietojen saanti haavoittuvuuksista ja vankka haavoittuvuuksien hallinta ovat välttämättömiä kyberturvallisuuden korkean tason varmistamiseksi sisämarkkinoilla. Tästä syystä ENISAn olisi ylläpidettävä direktiivin (EU) 2022/2555 mukaista Euroopan haavoittuvuustietokantaa ja luotava unionin yhteinen haavoittuvuuksien hallinnan palvelukapasiteetti, jolla varmistetaan häiriönsietokykyinen ja kestävä palvelutaso ja vähennetään häiriöiden riskiä. Tätä varten ENISAn olisi tutkittava mahdollisuuksia syventää jäsenneltyä yhteistyötä Euroopan haavoittuvuustietokannan kaltaisten ohjelmien, rekisterien tai tietokantojen kanssa, jotta vältetään päällekkäiset toimet ja lisätään tarvittaessa täydentävyyttä kansainvälisellä tasolla. Lisäksi ENISAn olisi tuettava useiden osapuolten koordinoitua haavoittuvuuksien julkistamista unionin tasolla ja tarjottava lisäarvoa tuottavia palveluja, kuten haavoittuvuusneuvontaa, vakavuuspisteytystä ja tuoteluetteloita, sekä tarjottava parannettu eurooppalaisten tunnettujen hyödynnettyjen haavoittuvuuksien luettelo, joka auttaa toimijoita haavoittuvuuksien hallinnassa.

40)ENISAn roolin eurooppalaisen kyberturvallisuuden sertifiointikehyksen kehittämisessä olisi oltava keskeinen osa sen toimeksiantoa. ENISAn olisi tarjottava teknistä asiantuntemustaan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien koko elinkaaren ajan. Tulevaa järjestelmää silmällä pitäen ENISAn olisi määritettävä olemassa olevat standardit tai tekniset eritelmät, joihin järjestelmä voi perustua, ja tarvittaessa laatia itse tekniset eritelmät, joihin järjestelmässä voidaan viitata. ENISAn olisi vastattava ehdokasjärjestelmien valmistelusta komission pyynnöstä. Jo käytössä olevien järjestelmien osalta ENISAn olisi vastattava ylläpidosta. Näin tehdessään ENISAn olisi edistettävä sellaisen sertifiointiekosysteemin rakentamista ja kehittämistä, jossa jäsenvaltioiden ja yksityisten sidosryhmien palautetta pyydetään ja niiden sertifiointivalmiuksia vahvistetaan. Tähän olisi kuuluttava myös erityisen sertifiointiverkkosivuston ylläpitäminen, jos hyväksyttyihin järjestelmiin liittyvät asiaankuuluvat tiedot, mukaan lukien todistukset ja vaatimustenmukaisuusilmoitukset, ovat vapaasti ja julkisesti saatavilla.

41)Asiaa koskevan unionin lainsäädännön täytäntöönpanon tukemiseksi ENISAn olisi muokattava kyberturvallisuuden tekniikan tasoa toimittamalla teknisiä eritelmiä, joilla tuetaan asiaa koskevan unionin lainsäädännön täytäntöönpanoa, myös ottaen huomioon mahdolliset viittaukset niihin eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä. ENISAn olisi myös seurattava asianomaisten standardointielinten standardien luomista ja kehitystä, jotta voidaan havainnoida standardointisuuntauksia Euroopan tasolla ja maailmanlaajuisesti, ja tarvittaessa muokattava tällaisia standardeja osallistumalla standardointiorganisaatioiden toimintaan, myös laatimalla kannanottoja, ja johtamalla niiden toimintaa. Tässä yhteydessä ENISAn olisi pysyttävä puolueettomana. Voi esimerkiksi olla tilanteita, joissa ENISAn olisi vetäydyttävä asiaankuuluvista toimista standardointielimissä, jos ENISAa pyydetään arvioimaan eurooppalaisia standardeja, joita komissio on pyytänyt unionin lainsäädännön tueksi. ENISA ei saisi osallistua sellaisten standardien laatimiseen, joiden arvioinnista se on vastuussa.

42)Unionin politiikkojen täytäntöönpanon ja mahdollisten standardointitoimien valmistelun tukemiseksi ENISAn olisi edistettävä salausalgoritmien kehittämistä ja arviointia erityisesti kvanttiturvallisen salauksen alalla. Tässä yhteydessä ENISA voi komission pyynnöstä ja Euroopan parlamentin ja neuvoston asetuksessa (EU, Euratom) 2024/2509 50 määritellyn rahoitusosuussopimuksen mukaisesti ottaa käyttöön prosessin, jolla asiaankuuluvia sidosryhmiä, erityisesti kryptografian alan yhteisöjä, akateemisia ja tutkimusyhteisöjä sekä valmistajia, CSIRT-yksiköitä, kansallisia kyberturvallisuussertifioinnin myöntäviä viranomaisia ja toimivaltaisia viranomaisia pyydetään arvioimaan salausalgoritmien algoritmeja direktiivin (EU) 2022/2555 mukaisesti. Jos ENISA myötävaikuttaa tällaisten prosessien luomiseen, sen olisi edistettävä asianomaisten sidosryhmien välistä yhteistyötä ja pantava täytäntöön järjestelyihin liittyvät näkökohdat. Prosessin olisi oltava virallinen, avoin, läpinäkyvä ja osallistava, mukaan lukien asiaankuuluvien sidosryhmien kuuleminen vähimmäisvaatimusten luonnoksista sekä arviointiprosessista ja arviointikriteereistä, erityisesti arviointien turvallisuuden ja suorittamisen osalta.

43)Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ja muun asiaa koskevan unionin lainsäädännön mukaisten vaatimustenmukaisuuden arviointitoimien täytäntöönpanon tukemiseksi ENISA voi tarjota asiaankuuluvia teknisiä testausvälineitä, joilla tuetaan jäsenvaltioita, yrityksiä ja vaatimustenmukaisuuden arviointilaitoksia arviointitoimissa. Tällaisilla välineillä olisi pyrittävä luomaan synergioita unionin tasolla ja varmistamaan vaatimustenmukaisuuden arviointimenettelyjen tehokas toiminta jäsenvaltioiden ja markkinoiden tarpeiden täyttämiseksi. Tällaisia tarpeita voi syntyä esimerkiksi sisäänrakennetun turvallisuuden alalla yritysten, myös pienten ja keskisuurten yritysten, tukemiseksi täytäntöönpanotoimissa asetuksen (EU) 2024/2847 mukaisesti. Tässä yhteydessä ENISAn olisi perittävä maksuja tällaisia testausvälineitä varten tarvittavien ohjelmisto- ja laitteisto-ominaisuuksien luomisesta, suunnittelusta, kehittämisestä, ylläpidosta ja päivittämisestä aiheutuvien kustannusten kattamiseksi. 

44)ENISAn tulisi nojautua kyberturvallisuusakatemian periaatteisiin ja sen puitteissa käynnistettyyn työhön, jotta jäsenvaltioita voidaan tukea niiden pyrkimyksissä ratkaista kyberturvallisuuden ammattilaisten pula ja vastata kasvavaan tarpeeseen hankkia ammattitaitoista, monimuotoista – myös sukupuolten tasapuolisen edustuksen osalta – ja ketterää työvoimaa, ja jotta mahdollistetaan työvoiman liikkuvuus ja valmius jäsenvaltioiden välillä. ENISAn olisi erityisesti laadittava Euroopan kyberturvallisuustaitojen kehys kyberturvallisuusalan ammattiprofiilien yhteiseksi kehykseksi. ENISAn olisi edelleen tuettava jäsenvaltioita sukupuolten välisten erojen poistamisessa kyberturvallisuusalan tehtävissä. Tämä lähestymistapa on johdonmukainen osaamisunionia koskevassa komission tiedonannossa esitetyn vision kanssa ja edistäisi sen tavoitteita. Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten laatumerkin kehittämistä olisi tarkasteltava edelleen.

45)Euroopan kyberturvallisuustaitojen kehyksen tulisi olla käytännöllinen ja joustava väline, jota käytetään vapaaehtoisesti ja joka tarjoaa yhteisymmärryksen ja yhteisen terminologian asiaankuuluvista rooleista, niihin liittyvistä tehtävistä ja kyberturvallisuusalan työtehtävissä useimmiten tarvittavista taidoista ja tiedoista, jotta voidaan tunnistaa paremmin työvoiman tarvitsemia kriittisiä taitoja, mukaan lukien monialaisia taitoja, ja antaa koulutuksen järjestäjille, myös yrityksille, korkeakouluille tai ammatillisille oppilaitoksille, mahdollisuus suunnitella ohjelmia ja auttaa poliittisia päättäjiä kehittämään aloitteita osaamisvajeiden korjaamiseksi. Koska kehystä voidaan käyttää osaamisen tunnustamisen viitekehyksenä, sen olisi myös oltava yhteentoimiva eurooppalaisen taito-, osaamis-, tutkinto- ja ammattiluokituksen (ESCO) kanssa, jotta henkilöstöosastoja voidaan auttaa ymmärtämään resurssisuunnittelua, rekrytointia ja urakehitystä koskevia vaatimuksia kyberturvallisuustarpeiden tukemiseksi. Siinä missä aikuisten ja lasten käyttöön suunnitellussa DigComp 3.0 -puitekehyksessä kuvataan tiedot, taidot ja asenteet, joita tarvitaan digitaaliseen osaamiseen jokapäiväisessä elämässä, yhteiskuntaan osallistumisessa, työssä ja opiskelussa, Euroopan kyberturvallisuustaitojen kehys tarjoaa yksinkertaisen kehyksen, jossa yksilöidään kyberturvallisuusalan työtehtävät ja niihin liittyvät tehtävät, tiedot ja taidot, joita tarvitaan työtehtävien suorittamiseen. Tässä yhteydessä sillä otetaan huomioon kyberturvallisuusalan erityiskohderyhmä, joka ulottuu kyberturvallisuuden nykyisistä tai mahdollisista ammattilaisista ja oppilaitoksista työnantajiin. Euroopan kyberturvallisuustaitojen kehyksen olisi myös tuettava yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten kehittämistä toimimalla keskeisenä välineenä järjestelmien kehittämisessä, mahdollistamalla uusien markkinatoimijoiden syntyminen ja tukemalla markkinakilpailua yhteisessä kehyksessä. Euroopan kyberturvallisuustaitojen kehystä olisi arvioitava ja päivitettävä säännöllisesti sen varmistamiseksi, että siinä otetaan asianmukaisesti huomioon kyberturvallisuusalan työmarkkinoiden tarpeet sekä teknologinen ja poliittinen kehitys. ENISAn olisi tuettava Euroopan kyberturvallisuustaitojen kehyksen käyttöönottoa jäsenvaltioiden ja unionin toimijoiden toimesta ja niiden sisällä sekä annettava asianmukaista tukea, jos tällaista apua tarvitaan. 

46)Kyberturvallisuustaidoista ja -pätevyyksistä olisi tehtävä vertailukelpoisia, avoimia ja luotettavia kaikkialla sisämarkkinoilla. Tätä varten yksilöllisiä kyberturvallisuustaitoja koskevilla eurooppalaisilla todistuksilla 51 olisi tuettava työnantajia, myös pk-yrityksiä ja startup-yrityksiä, jotta ne rekrytoisivat tosiasiallisia tai mahdollisia kyberturvallisuuden ammattilaisia tehokkaasti jäsenvaltioissa ja niiden välillä osaamisunionia koskevassa tiedonannossa asetettujen tavoitteiden mukaisesti. Jotta voidaan varmistaa johdonmukainen täytäntöönpano kaikissa jäsenvaltioissa, yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten olisi perustuttava unionin tasolla yhteisymmärrykseen näiden tavoitteiden saavuttamiseksi tarvittavista taidoista, ja ENISAn hyväksymien palveluntarjoajien olisi tarjottava ne yhteisten perusteiden mukaisesti. Tämän toimintatavan olisi oltava yhdenmukainen tulevan osaamisen siirrettävyyttä koskevan aloitteen tavoitteiden kanssa ja edistettävä niiden saavuttamista.

47)Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittämisellä olisi pyrittävä täydentämään jäsenvaltioiden toimia tarjoamalla viranomaisille ja talouden toimijoille mahdollisuus käyttää eurooppalaista todistusmekanismia unionin tukitoimivallan mukaisesti SEUT-sopimuksen 6 artiklan e kohdassa, 165 artiklan 1 kohdassa ja 166 artiklan 1 kohdassa tarkoitetun yleissivistävän ja ammatillisen koulutuksen alalla. Järjestelmät voivat myös yhdessä kyberturvallisuusakatemian työn kanssa muodostaa perustan korkeakouluohjelmille, kuten alakohtaisille eurooppalaisille tutkinnoille, sekä mikrotutkintojen kehittämiselle. Sen vuoksi yksilöllisiä kyberturvallisuustaitoja koskevilla eurooppalaisilla todistusjärjestelmillä ei pitäisi pyrkiä yhdenmukaistamaan jäsenvaltioiden lakeja ja asetuksia, vaan niitä olisi pidettävä pikemminkin mahdollistajina ja mahdollisuuksina, joita jäsenvaltiot ja taloudelliset toimijat saattavat haluta ottaa käyttöön ja edistää.

48)ENISAn olisi varmistettava, että yksilölliset kyberturvallisuustaitoja koskevat eurooppalaiset todistusjärjestelmät pysyvät lähellä markkinoiden tarpeita ja perustuvat kokemuksiin, jotka on saatu yksittäisten sertifiointien julkisilta ja yksityisiltä tarjoajilta, mukaan lukien jäsenvaltioilta, korkeakouluilta, ammatillisilta oppilaitoksilta ja yrityksiltä. ENISAn olisi kuultava komissiota yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien priorisoinnista ottaen asianmukaisesti huomioon politiikan täytäntöönpanon ja markkinoiden tarpeet. 

49)Jotta voidaan varmistaa Euroopan kyberturvallisuustaitojen kehyksen ja järjestelmien yhdenmukaisuus, Euroopan kyberturvallisuustaitojen kehyksen tehtäväprofiilin tarkistamisen olisi automaattisesti käynnistettävä siihen liittyvän yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän tai -järjestelmien soveltuvuuden arviointi, mikä voi johtaa niiden uudelleentarkasteluun.

(50)Kun otetaan huomioon kyberturvallisuuden tehtäväprofiilien sekä niihin liittyvien työtehtävien, taitojen ja tietojen moninaisuus, yksilöiden arviointia ja arviointimenetelmiä voidaan joutua mukauttamaan kussakin yksilöllisiä kyberturvallisuustaitoja koskevassa eurooppalaisessa todistusjärjestelmässä. Kussakin järjestelmässä olisi varmistettava, että oppimistuloksiin perustuva yksilöltä edellytettyjen taitojen arviointi, tarvittaessa myös pätevyystason arviointi, suoritetaan järjestelmällisesti suhteessa Euroopan kyberturvallisuustaitojen kehykseen kuuluvaan tehtäväprofiiliin tai sen osaan. Arviointimenetelmiin voi sisältyä esimerkiksi teoreettisten tietojen testaamista, käytännön kokeita, ennakkovaatimuksia ja vertaisarviointia. Yksilöllinen kokemus olisi otettava asianmukaisesti huomioon.

(51)Jotta voidaan varmistaa yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien johdonmukainen täytäntöönpano erityisesti yksilöiden arvioinnin osalta, ENISAn olisi tarjottava pakollista koulutusta henkilöstölle, joka vastaa yksilöiden arvioinnin suorittamisesta. Tällaisella henkilöstöllä olisi oltava kokemusta kyberturvallisuuden alalta, mikä voitaisiin osoittaa sillä, että henkilöstöllä on yksilöllisiä kyberturvallisuustaitoja koskeva eurooppalainen todistus sen tehtäväprofiilin osalta, josta he suorittavat arviointia. Henkilöstön pätevyystason olisi kyseisen tehtäväprofiilin osalta oltava vähintään samalla tasolla, kuin arvioitavalla henkilöllä.

(52)Valtuutettujen todistuksen tarjoajien tehtävänä on todentaa yksilön tiedot ja osaaminen Euroopan kyberturvallisuustaitojen kehyksen mukaisissa tehtävissä toimimista varten sekä antaa työnantajille kaikkialla unionissa takeet tästä osaamisesta. Koska myös unionin kriittistä infrastruktuuria ylläpitävät työnantajat tarkastelevat sellaisten henkilöiden taitojen ja osaamisen takeita, jotka hankkivat yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalainen todistuksen, näiden taitojen ja osaamisen tason todentavien valtuutettujen todistuksen tarjoajien olisi oltava kyberturvallisuuden näkökulmasta luotettavia eikä niihin saisi kohdistua sellaisen kolmannen maan asiatonta vaikutusta, joka voi aiheuttaa kyberturvallisuuteen liittyviä huolenaiheita. Sen vuoksi tämän asetuksen mukaisesti kyberturvallisuushaasteita aiheuttavaksi nimettyyn kolmanteen maahan sijoittautuneet toimijat tai toimijat, jotka ovat tällaisen kolmannen maan, tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa (suuririskiset toimittajat), eivät tämän asetuksen mukaisesti saisi olla oikeutettuja toimimaan minkään II osaston 4 jakson mukaisen yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen valtuutettuina tarjoajina.

(53) Jotta kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen haltijat voivat helposti käyttää ja jakaa todistustaan ja jotta tällaista todistusta voidaan käyttää eri jäsenvaltioissa, valtuutettujen todistuksen tarjoajien olisi yksilön pyynnöstä varmistettava, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset myönnetään asetuksessa (EU) N:o 910/2014 vahvistettuun eurooppalaisen digitaalisen identiteetin lompakkoon. Valtuutettuja todistuksen tarjoajia olisi pidettävä luottamuspalvelujen tarjoajina, ja niihin olisi sovellettava asetuksessa (EU) N:o 910/2014 säädettyä valvonta- ja vastuujärjestelmää. Komission täytäntöönpanoasetuksen (EU) 2025/1569 52 mukaisesti käytettävä attribuuttitodistusten myöntämisjärjestelmä olisi rekisteröitävä kyseisessä täytäntöönpanoasetuksessa säädettyyn attribuuttitodistusten myöntämisjärjestelmien luetteloon.

(54)Jotta voidaan edistää kyberturvallisuusalan työvoiman kehittämistä ja taitojen siirrettävyyttä kaikkialla unionissa, ENISAn olisi asetettava yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistusjärjestelmät ja valtuutettujen todistuksen tarjoajien luettelo yleisön saataville erityisen verkkosivuston kautta.

(55)ENISAn hallintoa ja toimintaa olisi ohjattava ottaen huomioon Euroopan parlamentin, neuvoston ja komission 19 päivänä heinäkuuta 2012 hyväksymässä unionin erillisvirastoja koskevassa yhteisessä lähestymistavassa 53 vahvistetut periaatteet. Yhteisen lähestymistavan suositukset olisi otettava soveltuvin osin huomioon myös ENISAn työohjelmissa, ENISAn arvioinneissa sekä ENISAn raportointi- ja hallintokäytännöissä.

(56)Jotta johtokunta voi hoitaa tehtävänsä tehokkaasti, erityisesti ohjatessaan ENISAn toiminnan yleistä suuntaa ja asettaessaan sen strategisia painopisteitä, on olennaista, että johtokuntaan kuuluu jäsenvaltioiden ja komission korkean tason edustajia. Tätä varten kunkin jäsenvaltion olisi nimettävä johtokunnan jäseneksi kyseisen jäsenvaltion kansallisen toimivaltaisen kyberturvallisuudesta vastaavan viranomaisen johtaja, joka on nimetty direktiivin (EU) 2022/2555 8 artiklan 1 kohdan mukaisesti.

(57)Jotta johtokunnan varajäsenet voivat hoitaa tehtävänsä asianmukaisesti, jäsenvaltioiden olisi nimitettävä varajäseniksi henkilöitä, joilla on asianmukainen ammatillinen asiantuntemus ja kokemus. Komission ja jäsenvaltioiden olisi varajäsenten osalta pyrittävä saavuttamaan johtokunnassa tasapainoinen sukupuolijakauma sekä rajoitettava varajäsenten vaihtuvuutta johtokunnan työn jatkuvuuden varmistamiseksi.

(58)Jotta ENISA voi hoitaa tehtävänsä tehokkaasti, jäsenvaltioiden ja komission edustajista koostuvan johtokunnan olisi määritettävä ENISAn toiminnan yleinen suunta, mukaan lukien sen strategiset painopisteet, sekä varmistettava, että virasto hoitaa tehtävänsä tämän asetuksen mukaisesti. Johtokunnalle olisi annettava talousarvion vahvistamiseen ja sen täytäntöönpanon valvontaan tarvittavat toimivaltuudet, toimivalta hyväksyä asianmukaiset varainhoitosäännöt, vahvistaa ENISAn päätöksenteon avoimet työmenettelyt, hyväksyä ENISAn yhtenäinen ohjelma-asiakirja, hyväksyä oma työjärjestyksensä, nimittää pääjohtaja, päättää pääjohtajan toimikauden jatkamisesta ja päättämisestä sekä päättää varapääjohtajan tehtävän perustamisesta ja, jos tällainen tehtävä perustetaan, varapääjohtajan nimittämisestä sekä hänen toimikautensa jatkamisesta ja päättämisestä. Johtokunnan olisi näin ollen nimitettävä kaikki ENISAn toimeenpanotehtäviä hoitavat henkilöt. Johtokunnan olisi myös vastattava valituslautakunnan jäsenten nimittämisestä tai erottamisesta sekä sääntöjen laatimisesta eturistiriitojen ehkäisemiseksi tai hallitsemiseksi tältä osin.

(59)Jotta voidaan varmistaa, että ENISA määrittää strategiset painopisteensä ja pitää ne ajan tasalla, johtokunnan olisi pidettävä vuosittain vähintään yksi kokous, jossa käsitellään ENISAn strategisia painopisteitä. Johtokunnan kokousten tehokkuuden ja hyvän tietopohjan varmistamiseksi johtokunta voi kutsua kokouksiinsa henkilöitä, joiden lausunnot saattavat olla merkityksellisiä ja kiinnostavia käsiteltävien aiheiden kannalta, antamaan näkemyksiä, asiantuntemusta tai neuvoja. Tällainen henkilö olisi tilapäinen tarkkailija, jolla ei ole äänioikeutta.

(60)Johtokunnan olisi tehtävä päätöksensä äänioikeutettujen jäsentensä ehdottomalla enemmistöllä, jollei tässä asetuksessa toisin säädetä. Talousarvio- ja henkilöstöasioiden merkityksen vuoksi erityisesti vuotuista talousarviota, vuotuista toimintakertomusta, petostentorjuntastrategiaa, henkilöstösääntöjen täytäntöönpanemiseksi annettuja sääntöjä, pääjohtajan, varapääjohtajan ja tilinpitäjän nimittämistä, Euroopan petostentorjuntaviraston (OLAF) ja Euroopan syyttäjänviraston (EPPO) havaintojen johdosta toteutettavia jatkotoimia sekä ENISAn varainhoitosääntöjen hyväksymistä koskevissa asioissa johtokunnan olisi kuitenkin tehtävä päätökset vain, jos komission edustaja antaa puoltavan äänen. Kun on kyse lopullisen yhtenäisen ohjelma-asiakirjan hyväksymistä koskevasta päätöksestä komission lausunnon huomioon ottamisen jälkeen, komission edustajan puoltavaa ääntä olisi edellytettävä ainoastaan niiltä osin kuin päätös ei liity ENISAn vuotuiseen ja monivuotiseen työohjelmaan.

(61)Hallituksen olisi edistettävä johtokunnan tehokasta toimintaa. Osana johtokunnan päätöksiin liittyvää valmistelutyötään hallituksen olisi tarkasteltava asiaankuuluvia tietoja yksityiskohtaisesti, arvioitava käytettävissä olevia vaihtoehtoja sekä annettava neuvoja ja ehdotuksia johtokunnan päätösten valmistelua varten. Johtokunnan olisi myös avustettava ja neuvottava pääjohtajaa hallintoneuvoston päätösten täytäntöönpanossa.

(62)ENISAn moitteeton toiminta edellyttää, että sen pääjohtaja nimitetään ansioiden sekä todennettujen hallinnollisten ja johtamistaitojen perusteella sekä kyberturvallisuuden kannalta merkityksellisen pätevyyden ja kokemuksen perusteella. Pääjohtajan tehtäviä olisi hoidettava täysin riippumattomasti. Johtokunnan olisi nimitettävä pääjohtaja komission laatimasta ehdokasluettelosta avoimen menettelyn mukaisesti sukupuolten tasa-arvon periaatetta noudattaen.

(63) Pääjohtajan olisi komissiota kuultuaan laadittava ehdotus ENISAn yhtenäiseksi ohjelma-asiakirjaksi ja toteutettava kaikki tarvittavat toimenpiteet yhtenäisen ohjelma-asiakirjan asianmukaisen täytäntöönpanon varmistamiseksi. Pääjohtajan olisi laadittava johtokunnalle toimitettava vuosikertomus ENISAn vuotuisen työohjelman täytäntöönpanosta, laadittava ENISAn tuloja ja menoja koskevan ennakkoarvion luonnos sekä toteutettava viraston talousarvio. Lisäksi pääjohtajalla olisi oltava mahdollisuus perustaa tilapäisiä työryhmiä erityiskysymysten käsittelemiseksi, erityisesti tieteellisten, teknisten, oikeudellisten tai sosioekonomisten asioiden osalta. Tilapäisen työryhmän perustamista pidetään tarpeellisena etenkin ehdolla olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, jäljempänä ‘ehdokasjärjestelmät’, valmistelun yhteydessä. Tilapäisen työryhmän perustaminen voi olla tarpeen myös tiettyjen hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitotoimia varten. Tilapäisiä työryhmiä olisi perustettava myös yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittämistä ja ylläpitoa varten sekä viraston avustamiseksi Euroopan kyberturvallisuustaitojen kehyksen hallinnoinnissa, täytäntöönpanossa ja kehittämisessä. Pääjohtajan olisi varmistettava, että tilapäisten työryhmien jäsenet valitaan huippuasiantuntemuksen perusteella ja siten, että pyritään varmistamaan sukupuolten tasapaino ja tarkasteltavien kysymysten edellyttämällä tavalla edustuksellinen tasapaino jäsenvaltioiden julkishallintojen, unionin toimijoiden sekä yksityisen sektorin välillä, mukaan lukien elinkeinoelämä, käyttäjät ja tiedeyhteisöä edustavat verkko- ja tietoturva-asiantuntijat sekä digitaalisia elementtejä sisältävien tuotteiden asiantuntijat.

(64)Johtokunta voi päättää perustaa varapääjohtajan tehtävän pääjohtajan avustamiseksi, jos johtokunta katsoo tällaisen tehtävän olevan tarpeen ENISAn toiminnan sujuvuuden varmistamiseksi tai ylläpitämiseksi. Päättäessään varapääjohtajan tehtävän perustamisesta johtokunta voi ottaa huomioon pääjohtajan lausunnon.

(65)ENISAlla olisi oltava neuvoa-antava ryhmä, jotta voitaisiin varmistaa säännöllinen vuoropuhelu yksityisen sektorin, kuluttajajärjestöjen ja muiden asianosaisten sidosryhmien kanssa. ENISAn neuvoa-antavan ryhmän, jonka johtokunta perustaa pääjohtajan ehdotuksesta, olisi keskityttävä sidosryhmiä koskeviin asioihin ja saatettava ne ENISAn tietoon. ENISAn neuvoa-antavaa ryhmää olisi kuultava erityisesti ENISAn vuotuisen työohjelman luonnoksen osalta. ENISAn neuvoa-antavan ryhmän kokoonpanossa ja sille annettavissa tehtävissä olisi varmistettava sidosryhmien riittävä edustus ENISAn työskentelyssä. Kansallisten ja unionin lainvalvonta-, tietosuoja- ja markkinavalvontaviranomaisten edustajien olisi voitava olla edustettuina ENISAn neuvoa-antavassa ryhmässä.

(66)Hakijoilla, jotka hakevat valtuutetuiksi todistuksen tarjoajiksi tai jotka hakevat valtuutuksensa uusimista, olisi oltava käytettävissään tarvittavat oikeussuojakeinot, jos ENISAn tekemät päätökset vaikuttavat niihin. Sen vuoksi olisi perustettava asianmukainen muutoksenhakumekanismi, jonka avulla ENISAn asiaankuuluvat päätökset voidaan saattaa valituslautakunnan käsiteltäviksi; lautakunnan päätökset voivat olla Euroopan unionin tuomioistuimen tuomioistuinvalvonnan kohteena perussopimusten mukaisesti. Velvollisuutta käyttää ENISAn sisäistä muutoksenhakumenettelyä ennen kanteen nostamista Euroopan unionin tuomioistuimessa sovelletaan ainoastaan henkilöihin, joilla on asiavaltuus valituslautakunnassa.

(67)ENISAn täyden autonomian ja riippumattomuuden takaamiseksi sekä sen tehtävien hoitamisen mahdollistamiseksi ENISAlle olisi myönnettävä riittävä ja itsenäinen talousarvio, jota rahoitetaan ensisijaisesti unionin rahoitusosuudella mutta myös ENISAn työhön osallistuvien kolmansien maiden rahoitusosuuksilla sekä järjestelmiin osallistuvien ja eurooppalaisia kyberturvallisuussertifikaatteja ja EU-vaatimustenmukaisuusilmoituksia myöntävien valtuutettujen todistuksen tarjoajien ja vaatimustenmukaisuuden arviointilaitosten maksamilla maksuilla. Isäntäjäsenvaltiolla ja muilla jäsenvaltioilla olisi oltava mahdollisuus suorittaa vapaaehtoisia rahoitusosuuksia ENISAn talousarvioon. ENISAn jäsenvaltioilta, kolmansilta mailta tai muilta toimijoilta tai henkilöiltä saamat rahoitusosuudet tai luontoissuoritukset eivät saa vaarantaa sen riippumattomuutta ja puolueettomuutta. Unionin talousarviomenettelyä olisi sovellettava unionin rahoitusosuuteen ja muihin unionin yleisestä talousarviosta maksettaviin tukiin. Tilintarkastustuomioistuimen olisi tarkastettava ENISAn tilit avoimuuden ja tilivelvollisuuden varmistamiseksi. Jotta virasto voi osallistua kaikkiin asiaankuuluviin tuleviin hankkeisiin, sille olisi annettava mahdollisuus vastaanottaa avustuksia.

(68)ENISAlle olisi annettava toimivalta periä maksuja, jotta voidaan varmistaa ENISAn valmiudet vastata sen toteuttamien toimien kysyntään, erityisesti kun on kyse päätöksistä valtuuttaa palveluntarjoajat myöntämään yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistuksia, sekä eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ja testausvälineiden ylläpidosta. Valtuutetuksi todistuksen tarjoajaksi hakeutumista koskevien hakemusten käsittelystä perittävät maksut olisi määritettävä asianmukaisesti siten, että niillä voidaan kattaa riittävästi yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittämisestä ja ylläpidosta aiheutuvia arvioituja kustannuksia sekä kustannuksia sen arvioinnista, täyttyvätkö valtuutetuksi todistuksen tarjoajaksi ryhtymistä ja siinä asemassa pysymistä koskevat vaatimukset ja velvoitteet edelleen. Valtuutettujen todistuksen tarjoajien valtuutusten myöntämisestä ja uusimisesta perittäviin maksuihin olisi sisällyttävä myös ENISAn suorittamiin tai sen valvonnassa toteutettuihin arviointeihin liittyvät kustannukset. Eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin osallistumisesta ja tällaisten järjestelmien mukaisesti myönnettävistä sertifikaateista perittävät maksut olisi määritettävä asianmukaisesti siten, että niillä katetaan riittävästi kyseisten järjestelmien ylläpidosta aiheutuvia arvioituja kustannuksia. Tällaisten maksujen suorittamisen olisi mahdollistettava ilmoitettujen vaatimustenmukaisuuden arviointilaitosten sekä tarvittaessa järjestelmän mukaisten sertifikaattien haltijoiden osallistuminen kyseisiin toimintoihin sekä asiaankuuluviin valmiuksien kehittämistä ja tiedotusta koskeviin toimiin parhaiden käytäntöjen vaihdon edistämiseksi ja järjestelmien sekä sertifioitujen ratkaisujen käyttöönoton lisäämiseksi.

(69)Suhteellisuuden, avoimuuden ja oikeusvarmuuden varmistamiseksi maksut olisi määritettävä avoimesti ja oikeudenmukaisesti. Kaikki ENISAn menot, jotka kohdistuvat maksullisten toimintojen parissa työskentelevään henkilöstöön, erityisesti työnantajan suhteellinen osuus eläkejärjestelmän maksuista, sekä valituslautakuntaan liittyvät kustannukset on sisällytettävä kyseiseen kustannukseen. Maksut eivät saa johtaa tarpeettomien taloudellisten tai hallinnollisten rasitteiden asettamiseen hakijoille. Maksujen suorittamiselle olisi asetettava kohtuulliset määräajat.

(70)On tarpeen ottaa käyttöön joukko indikaattoreita, joiden avulla mitataan viraston työmäärää, vaikuttavuutta ja tehokkuutta maksuilla rahoitettujen toimien osalta. Nämä indikaattorit huomioon ottaen viraston olisi mukautettava henkilöstösuunnitteluaan ja maksuihin liittyvien resurssien hallintaa voidakseen vastata asianmukaisesti tällaiseen kysyntään ja maksutulojen mahdollisiin vaihteluihin.

(71)Todellisten tai koettujen eturistiriitojen riskin tunnistamiseksi ja hallitsemiseksi asianmukaisesti ENISAlla olisi oltava säännöt eturistiriitojen ehkäisemisestä ja hallinnasta. ENISAn olisi myös sovellettava Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1049/2001 54 vahvistettuja asiakirjojen saatavuutta koskevia sääntöjä. ENISAn suorittamaan henkilötietojen käsittelyyn olisi sovellettava Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725 55 . ENISAn olisi noudatettava tietojen käsittelyä koskevia unionin toimijoihin sovellettavia säännöksiä ja kansallista lainsäädäntöä, erityisesti kun on kyse arkaluonteisista turvallisuusluokittelemattomista tiedoista ja Euroopan unionin turvallisuusluokitelluista tiedoista.

(72)Tehtäviään suorittaessaan ENISAlla voi olla pääsy arkaluonteisiin tietoihin, kuten kyberuhkia ja poikkeamia koskeviin tietoihin. Näin ollen on olennaisen tärkeää, että ENISA säilyttää käsittelemiensä tietojen luottamuksellisuuden. Erityisesti SEUT-sopimuksen 339 artiklan mukaisesti ENISAn virkamiehet tai muut sen henkilöstöön kuuluvat eivät saisi, tehtävänsä päätyttyäkään, ilmaista salassapitovelvollisuuden piiriin kuuluvia tietoja eikä varsinkaan tietoja yrityksistä taikka niiden liikesuhteista tai kustannustekijöistä.

(73)Jotta ENISAn tavoitteiden saavuttaminen voidaan varmistaa kaikilta osin, ENISAn olisi oltava yhteydessä asiaankuuluviin unionin valvontaviranomaisiin, unionin muihin toimivaltaisiin viranomaisiin sekä asiaankuuluviin unionin toimijoihin, mukaan lukien CERT-EU, Europolin EC3, Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskus, Euroopan puolustusvirasto, Euroopan unionin avaruusohjelmavirasto, Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelin, vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava Euroopan unionin virasto, Euroopan keskuspankki, Euroopan pankkiviranomainen, Euroopan tietosuojaneuvosto, energia-alan sääntelyviranomaisten yhteistyövirasto, Euroopan unionin lentoturvallisuusvirasto sekä muut kyberturvallisuuden alalla toimivat unionin elimet. ENISAn olisi tehtävä yhteistyötä myös direktiivin (EU) 2022/2555 mukaisten toimivaltaisten viranomaisten, markkinavalvontaviranomaisten ja tietosuojaa käsittelevien viranomaisten kanssa tietotaidon ja parhaiden käytäntöjen vaihtamiseksi sekä tarjottava neuvoja sellaisissa kyberturvallisuuskysymyksissä, joilla voi olla vaikutusta niiden työhön.

(74)Europolilla on tärkeä rooli kyberrikollisuuden ehkäisemisessä ja torjunnassa, mukaan lukien verkko- ja tietoturvapoikkeamiin liittyvä kyberrikollisuus. Jotta voidaan luoda synergioita kunkin viraston tehtävien välille, ENISAn olisi tehtävä yhteistyötä Europolin kanssa erityisesti jakamalla tietoa kiristyshaittaohjelmahyökkäysten tekniikoiden, vaatimusten ja vaikutusten kehityssuuntauksista. Tällaiseen yhteistyöhön voi kuulua myös direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuihin toimijoihin kohdistuvien yleisimpien kiristyshaittaohjelmakantojen tunnistaminen, jotta voidaan tukea keskeisiä ja tärkeitä toimijoita häiriöiden torjunnassa ja niistä palautumisessa.

(75)Jotta voidaan tukea operatiivista yhteistyötä ja yhteistä tilannekuvaa kyberuhkista ja poikkeamista, on olennaisen tärkeää, että ENISA tekee yhteistyötä sidosryhmien ja erityisesti yksityisen sektorin yritysten ja organisaatioiden kanssa, joiden kanssa ENISA voi perustaa julkisen ja yksityisen sektorin kumppanuuksia.

(76)Jotta tässä asetuksessa asetetut tavoitteet voidaan saavuttaa tehokkaasti, ENISA voi tehdä yhteistyötä erityisesti sellaisten akateemisten laitosten kanssa, joilla on tutkimusaloitteita asiaankuuluvilla aloilla, ja kehittää asianmukaisia kanavia kuluttajajärjestöjen ja muiden organisaatioiden panosta varten.

(77)Kyberuhkien ja poikkeamien rajatylittävän luonteen vuoksi kolmansien maiden kyberturvallisuuden taso ja varautuminen voivat vaikuttaa unionin toimijoihin. Sen vuoksi ENISAn olisi voitava tarjota valmiuksien kehittämistä koskevia toimia, mukaan lukien koulutus, valmiuksien kehittäminen ja twinning-toimet kolmansissa maissa, sekä erityisesti unionin painopisteiden mukaiset, räätälöidyt valmiuksien kehittämistoimet unionin jäsenehdokasmaille tai muille kumppanimaille. Tällaiset toimet olisi toteutettava erityisestä pyynnöstä riittävän tuen antamiseksi unionin painopisteet huomioon ottaen, ja ne olisi pantava täytäntöön erityisjärjestelyjen kautta, mukaan lukien asetuksessa (EU, Euratom) 2024/2509 tarkoitetut rahoitusosuussopimukset. Eurooppalaisen kyberturvallisuuden sertifiointikehyksen tavoitteena on suojautua kyberuhilta, kuten pahantahtoisesti hyödynnetyiltä kyberhaavoittuvuuksilta tai kyberturvallisuuspoikkeamilta, jotka vaikuttavat tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen toiminnallisuuteen (rakenteeseen ja toimintaan) tai toimijoiden kyberturvatasoon. Keskittymällä tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin, tietoturvapalveluihin tai toimijoiden kyberturvatasoon liittyviin teknisiin riskeihin eurooppalaisen kyberturvallisuuden sertifiointikehyksen olisi täydennettävä tieto- ja viestintätekniikan toimitusketjujen turvallisuutta koskevaa kehystä, jonka tavoitteena on varmistaa unionin tasolla yhdenmukaistettu lähestymistapa muiden kuin teknisten riskien käsittelemiseksi erittäin kriittisillä toimialoilla ja muilla kriittisillä toimialoilla.

(78)Jäsenvaltioiden olisi voitava turvautua eurooppalaiseen kyberturvallisuuden sertifiointiin julkisten hankintojen osalta Euroopan parlamentin ja neuvoston direktiivin 2014/24/EU 56 mukaisesti.

(79)Toimijoita koskevan vaatimustenmukaisuuden yksinkertaistamisen helpottamiseksi eurooppalaisessa kyberturvallisuuden sertifiointikehyksessä olisi säädettävä mahdollisuudesta sertifioida toimijoiden kyberturvataso. Toimijat, erityisesti ne, jotka tarjoavat useita erityyppisiä palveluja useissa jäsenvaltioissa, voivat olla erilaisten kyberturvallisuutta ja tietoturvaa koskevien velvoitteiden alaisia horisontaalisten välineiden, kuten Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 57  ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 58 , sekä toimialakohtaisten välineiden nojalla. Kyberturvallisuutta koskevan sääntelykehyksen kokonaisvaltaisen täytäntöönpanon virtaviivaistamiseksi ja sen noudattamisen helpottamiseksi unionin lainsäädännössä olisi oltava mahdollista säätää siitä, että toimijat voivat osoittaa kyberturvallisuusriskien hallintavaatimusten noudattamisen eurooppalaisilla kyberturvallisuussertifikaateilla. Asiaankuuluva järjestelmä voisi edistää eri sääntelyvälineistä johtuvien vaatimusten noudattamisen virtaviivaistamista, sanotun kuitenkaan rajoittamatta niiden erityisiä sertifiointivaatimuksia. Tällaisilla yksinkertaistamistoimenpiteillä voidaan vähentää hallinnollista rasitetta ja vapauttaa resursseja, joilla vahvistetaan unionin kriittisten toimialojen toimijoiden operatiivista kyberturvallisuusvalmiutta.

(80)Eurooppalaisen kyberturvallisuuden sertifiointikehyksen puitteissa kehitetyn kyberturvallisuusriskien hallintavaatimusten eurooppalaisen sertifioinnin olisi mahdollistettava se, että toimijat voivat osoittaa asiaankuuluvan unionin lainsäädännön noudattamisen, jos järjestelmä kattaa kyseisessä säädöksessä vahvistetut oikeudelliset vaatimukset ja jos säädöksessä näin säädetään. Tällä perusteella unionin säädöksessä voidaan myös säätää näiden vaatimusten vaatimustenmukaisuusolettamasta. Tällaiset järjestelmät voisivat edistää unionin lainsäädännön kyberturvallisuusvaatimusten johdonmukaisempaa täytäntöönpanoa, luoda tasapuoliset toimintaedellytykset jäsenvaltioiden välillä ja keventää vaatimusten noudattamisesta aiheutuvaa rasitetta.

(81)Eurooppalaisessa kyberturvallisuuden sertifiointikehyksessä olisi säädettävä mahdollisuudesta sertifioida tieto- ja viestintäteknisiä prosesseja, joilla tarkoitetaan toimintaa, jonka tarkoituksena on suunnitella, kehittää, tarjota tai ylläpitää tieto- ja viestintäteknistä tuotetta tai palvelua. Suojausprofiili on yksi esimerkki tieto- ja viestintäteknisestä prosessista, sellaisena kuin se on määritelty komission täytäntöönpanoasetuksessa (EU) 2024/482 59 . Toinen esimerkki tieto- ja viestintäteknisestä prosessista on toiminta, jonka valmistaja toteuttaa suunnitellakseen ja kehittääkseen turvallisesti tieto- ja viestintäteknisen tuotteen, mukaan lukien fyysiset, loogiset, menettelylliset, henkilöstöä koskevat ja muut turvallisuustoimenpiteet, jotka ovat tarpeen tieto- ja viestintäteknisen tuotteen suunnittelun ja toteutuksen luottamuksellisuuden ja eheyden suojaamiseksi sen kehitysympäristössä. Tällaisten toimintojen sertifioinnista käytetään usein nimitystä ’paikkakohtainen sertifiointi’ komission täytäntöönpanoasetuksen (EU) 2024/482 mukaisessa sertifiointiprosessissa.

(82)Tässä asetuksessa käytettävän tietoturvapalveluja koskevan määritelmän olisi oltava yhdenmukainen direktiivissä (EU) 2022/2555 käytetyn tietoturvapalveluntarjoajia koskevan määritelmän kanssa. Kyseiset palvelut koostuvat asiakkaiden kyberturvallisuusriskien hallintaan liittyvien toimien toteuttamisesta tai niissä avustamisesta, ja niiden merkitys on kasvanut poikkeamien ehkäisyssä ja lieventämisessä. Näin ollen kyseisten palvelujen tarjoajia pidetään direktiivin (EU) 2022/2555 mukaisesti erittäin kriittiseen toimialaan kuuluvina keskeisinä tai tärkeinä toimijoina. Erityisen tärkeällä sijalla ovat muun muassa poikkeamanhallintaa, tunkeutumisenestotestausta, turvallisuusauditointeja ja konsultointia tarjoavat tietoturvapalveluntarjoajat, jotka avustavat toimijoita niiden pyrkiessä ehkäisemään, havaitsemaan ja hallitsemaan poikkeamia tai palautumaan niistä. Tietoturvapalveluntarjoajat ovat kuitenkin itsekin olleet kyberhyökkäysten kohteena ja aiheuttavat erityisen riskin, koska ne ovat integroituneet tiiviisti asiakkaidensa toimintaan. Sen vuoksi on tarpeen, että direktiivissä (EU) 2022/2555 tarkoitetut keskeiset ja tärkeät toimijat noudattavat erityisen suurta huolellisuutta tietoturvapalveluntarjoajaa valitessaan.

(83)Eurooppalaisilla kyberturvallisuuden sertifiointijärjestelmillä on merkitystä laajalle sidosryhmäjoukolle, kuten tieto- ja viestintäteknisten ratkaisujen tarjoajille, vaatimustenmukaisuuden arviointilaitoksille ja käyttäjille. Laajan sidosryhmäosallistumisen edistämiseksi olisi järjestettävä vähintään kerran vuodessa eurooppalainen kyberturvallisuuden sertifiointikokous, jäljempänä ’kokous’, komission, ENISAn, jäsenvaltioiden ja asiaankuuluvien sidosryhmien välisen yhteistyön edistämiseksi. Kokouksella on keskeinen rooli uusien kyberturvallisuushaasteiden ja sertifiointia koskevien strategisten painopisteiden tunnistamisessa ja käsittelemisessä sekä sen varmistamisessa, että sertifiointijärjestelmät helpottavat digitaalisten teknologioiden turvallista integrointia ja vastaavat käyttäjien tarpeita. Kokouksen olisi edistettävä unionin johtoasemaa sertifiointitoimissa ja ylläpidettävä sertifiointikehyksen kykyä tarjota luottamusta yrityksille, viranomaisille ja yleisölle.

(84)Komission olisi ylläpidettävä erityistä verkkosivustoa avoimuuden varmistamiseksi julkaisemalla ajantasaista tietoa eurooppalaisen kyberturvallisuuden sertifiointikehyksen täytäntöönpanon edistymisestä. Verkkosivuston olisi sisällettävä tietoja valmisteilla olevista sertifiointijärjestelmistä, tulevien sertifiointijärjestelmien strategisista painopisteistä, ENISAlle osoitetuista pyynnöistä valmistella ehdolla olevia järjestelmiä sekä tietoja sertifiointijärjestelmien hyväksymisestä. Komission verkkosivusto täydentää ENISAn eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevaa verkkosivustoa, jonka olisi tarjottava kattavat tiedot ehdokasjärjestelmien teknisestä valmistelusta ja järjestelmien ylläpidosta, painottaen myönnettyjä eurooppalaisia kyberturvallisuussertifikaatteja ja EU-vaatimustenmukaisuusilmoituksia.

(85)Unionin toimielinten välisen vuoropuhelun tehostamiseksi sekä virallisen, avoimen ja osallistavan kuulemismenettelyn edistämiseksi komission olisi tätä asetusta arvioidessaan otettava huomioon Euroopan parlamentin ja neuvoston sekä eurooppalaisen kyberturvallisuuden sertifiointikokouksen esittämistä näkemyksistä esiin nousevat seikat.

(86)ENISAn toteuttamien toteutettavuustutkimusten olisi edistettävä kyberturvallisuuden sertifiointijärjestelmien suunnittelun ja kehittämisen valmistelua. Tutkimuksissa olisi otettava huomioon asiaankuuluvien sidosryhmien näkemykset ja yhdenmukaistettava tulevat sertifiointijärjestelmät käynnissä olevien tutkimus- ja kehitystoimien sekä teknologian arviointitoimien kanssa ja tunnustettava erityisesti unionin ja jäsenvaltioiden tutkimusaloitteiden panos. Tällaiset tutkimukset voivat auttaa määrittämään saatavilla olevia standardeja ja teknisiä eritelmiä. Tutkimukset olisi toteutettava komission pyynnöstä tai unionin strategisten painopisteiden mukaisesti siten, että kehittyvä teknologinen toimintaympäristö ja kyberturvallisuustarpeet otetaan asianmukaisesti huomioon sertifiointijärjestelmiä koskevia pyyntöjä esitettäessä ja järjestelmiä kehitettäessä.

(87)Ehdokasjärjestelmän suunnittelun ja sen kattamien turvallisuustavoitteiden ja osatekijöiden olisi vastattava sertifiointikohteen kohdetta ja soveltamisalaa. Esimerkiksi pilvipalveluja koskevassa sertifiointijärjestelmässä voitaisiin näin ollen käsitellä tieto- ja viestintäteknisten palvelujen ja organisatorisen turvallisuuden kannalta merkityksellisiä turvallisuustavoitteita. Toisena esimerkkinä voidaan mainita, että turvallisuustavoite, joka liittyy tiedossa olevien hyödynnettävissä olevien haavoittuvuuksien poissulkemiseen, ei todennäköisesti ole merkityksellinen tieto- ja viestintäteknisten prosessien sertifioinnin kannalta.

(88)Jotta voidaan varmistaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien yhdenmukainen täytäntöönpano jäsenvaltioissa, on tarpeen säätää järjestelmien ylläpitoa koskevista säännöistä. Ylläpitotoimet ovat tarpeen myös sen varmistamiseksi, että järjestelmät ja niitä tukevat asiakirjat pysyvät ajan tasalla erityisesti sellaisella kyberturvallisuuden alalla, jossa uhkaympäristö ja teknologiat kehittyvät jatkuvasti. Sertifiointijärjestelmät olisi sen vuoksi suunniteltava ja niitä olisi ylläpidettävä siten, että vältetään riski niiden nopeasta vanhentumisesta. Ylläpitotoimiin olisi tyypillisesti kuuluttava järjestelmää tukevien asiakirjojen, kuten teknisten eritelmien ja ohjeiden, laatiminen ja päivittäminen sekä järjestelmän kannalta merkityksellisten standardien tai teknisten eritelmien määrittäminen. Ylläpitotoimiin olisi kuuluttava myös järjestelmän toiminnallisuuden, mahdollisten puutteiden ja tarvittavien parannusten analysointi. Lisäksi ylläpitotoimiin olisi sisällyttävä jäsenvaltioiden välinen tietojenvaihto järjestelmien täytäntöönpanosta sekä osallistuminen vertaisarviointimekanismeihin.

(89)Ylläpitotoimien teknisen luonteen vuoksi ENISAn olisi hallinnoitava kyseisiä toimia yhteistyössä komission kanssa sekä Euroopan kyberturvallisuuden sertifiointiryhmän ja sen asiaankuuluvan ylläpitoa käsittelevän alaryhmän tuella. Euroopan kyberturvallisuuden sertifiointiryhmän yhteydessä toimivan ylläpitoa käsittelevän alaryhmän perustaminen mahdollistaa jäsenvaltioiden teknisten panosten ja näkemysten keräämisen lähestymistapojen yhdenmukaistamiseksi.

(90)Ylläpitotoimiin olisi sisällyttävä vuorovaikutusta asiaankuuluvien sidosryhmien kanssa, mukaan lukien teknisten panosten jakaminen ja vastaanottaminen, sen varmistamiseksi, että järjestelmät pysyvät markkinoiden kannalta merkityksellisinä ja ajan tasalla. Tällaisia sidosryhmiä voivat olla standardointiorganisaatiot, vaatimustenmukaisuuden arviointilaitokset, toimittajat, käyttäjät, viranomaiset tai toimialajärjestöt. Kunkin järjestelmän erityispiirteet, mukaan lukien niihin liittyvät tekniset foorumit ja toimialat, edellyttävät, että teknisiä panoksia olisi voitava kerätä eri järjestelmien osalta eri tavoin. Joidenkin järjestelmien osalta ENISAn olisi voitava tukeutua tilapäiseen työryhmään, johon osallistuu asiantuntijoita jäsenvaltioiden julkishallinnoista, unionin toimijoista ja yksityiseltä sektorilta. Teknisiä panoksia voisi saada myös tietojen jakamisen ja analysoinnin keskuksilta tai standardointiorganisaatioilta. ENISAn olisi analysoitava, mikä toimintamalli on kullekin järjestelmälle sopivin, ja sisällytettävä kuhunkin ehdokasjärjestelmään ylläpitostrategia.

(91)Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien olisi perustuttava standardeihin tai teknisiin eritelmiin erityisesti turvallisuusvaatimusten ja arviointimenetelmien määrittelyn osalta. ENISAlle olisi annettava mahdollisuus laatia teknisiä eritelmiä järjestelmien valmistelun ja ylläpidon tueksi erityisesti silloin, kun standardointiorganisaatioiden tuotoksia ei ole saatavilla tai ne eivät sovellu järjestelmän tavoitteiden saavuttamiseen. Laatimisprosessin yhteydessä ENISAn olisi saatava tukea Euroopan kyberturvallisuuden sertifiointiryhmältä ja tarvittaessa kyseistä järjestelmää varten perustetulta tilapäiseltä työryhmältä. ENISAn olisi myös pyydettävä panoksia sidosryhmiltä. Lisäksi ENISAn olisi otettava huomioon markkinoiden hyväksyntä sekä eurooppalaiset ja kansainväliset standardit. Kun otetaan huomioon teknisten eritelmien laatu ja järjestelmän tavoitteet, komission olisi voitava viitata ENISAn laatimiin teknisiin eritelmiin eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä.

(92)ENISAn laatimat tekniset eritelmät, joihin viitataan järjestelmässä, olisi asetettava saataville ENISAn eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevalla verkkosivustolla, jotta kaikki asianomaiset osapuolet voivat tutustua niihin. Joissakin erityistapauksissa julkaiseminen verkkosivustolla voisi kuitenkin aiheuttaa kyberturvallisuusriskin sertifioitujen tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen osalta tai toimijoiden kyberturvatason osalta ja siten aiheuttaa riskin myös yleiselle turvallisuudelle. Tekniset eritelmät voivat esimerkiksi sisältää täsmällisiä tietoja uusista hyökkäysreiteistä, joiden julkinen saatavuus antaa pahantahtoisille toimijoille mahdollisuuden hyödyntää niitä. Tällaisia tietoja olisi jaettava rajoitetusti tiedonsaantitarpeen perusteella asiaankuuluville sidosryhmille, kuten kansallisille kyberturvallisuussertifioinnin myöntäville viranomaisille, vaatimustenmukaisuuden arviointilaitoksille ja sertifioitaville toimittajille. Rajoitetun jakelun vuoksi tällaisiin teknisiin eritelmiin ei saisi viitata eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä, ja tällaisten eritelmien olisi näin ollen oltava luonteeltaan ei-sitovia.

(93)Kyberturvatasoa koskevat sertifiointijärjestelmät olisi suunniteltava modulaarisella tavalla, jotta mahdollistetaan vaatimusten noudattamisen osoittaminen ja vaatimustenmukaisuusolettama muussa unionin lainsäädännössä vahvistettujen asiaankuuluvien kyberturvallisuusvaatimusten osalta silloin, kun kyseisessä lainsäädännössä säädetään tällaisesta mahdollisuudesta. Näiden säädösten vaatimuksia koskeva vaatimustenmukaisuusolettama tulee siten sovellettavaksi mahdollisena tapana osoittaa vaatimusten noudattaminen ainoastaan silloin, kun asianomainen unionin säädös nimenomaisesti sallii tällaisen vaatimustenmukaisuusolettaman. Tällaisen järjestelmän yksityiskohdat, kuten sen tarkoitus, tavoitteet ja eri osatekijät, poikkeavat sen vuoksi todennäköisesti muiden sertifiointijärjestelmien vastaavista yksityiskohdista. Toimijoiden kyberturvatason sertifiointia koskevat järjestelmät olisi kehitettävä erityisesti siten, että ne mahdollistavat toimijan jatkuvan vaatimustenmukaisuuden arvioinnin unionin lainsäädännön suhteen. Tämän vuoksi ei ole tarpeen, että kyberturvatasoa koskevat sertifiointijärjestelmät kattavat kaikki eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijät, kuten varmuustasot, ja tämän olisi heijastuttava järjestelmiä koskevissa säännöissä.

(94)Eurooppalaisen kyberturvallisuuden sertifiointikehyksen puitteissa toteutettava kyberturvatason sertifiointikehys mahdollistaa sellaisen sertifiointijärjestelmän kehittämisen, jonka avulla useissa jäsenvaltioissa palveluja tarjoavat toimijat voivat osoittaa Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 säädettyjen kyberturvallisuusriskien hallintavaatimusten täyttymisen. Toimijat voivat tällä perusteella vaatimusten noudattamisen osoittamisen ansiosta hyötyä sisämarkkinoilla johdonmukaisemmista ja kevyemmistä valvontakäytännöistä. Tällaisen sertifiointijärjestelmän kehittämistä olisi helpotettava antamalla täytäntöönpanosäädöksiä direktiivin (EU) 2022/2555 nojalla. Jos jäsenvaltio on direktiivin (EU) 2022/2555 mukaisesti antanut tai pitänyt voimassa säännöksiä, joilla varmistetaan kyberturvallisuuden korkeampi taso, vaatimusten noudattaminen voidaan osoittaa kyberturvatasoa koskevan sertifiointijärjestelmän laajennusprofiilien avulla. Näin useissa jäsenvaltioissa palveluja tarjoava toimija voi osoittaa kaikkien asiaankuuluvien laajennusprofiilien noudattamisen yhdellä eurooppalaisella kyberturvallisuussertifikaatilla.

(95)Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä vahvistettujen turvallisuustavoitteiden ja turvallisuusvaatimusten, siltä osin kuin ne koskevat tuoteturvallisuutta, olisi oltava yhdenmukaisia asetuksen (EU) 2024/2847 liitteessä I vahvistettujen olennaisten kyberturvallisuusvaatimusten kanssa. Tämä johdonmukaisuus on tarpeen sen varmistamiseksi, ettei valmistajiin, joiden tuotteet kuuluvat asetuksen (EU) 2024/2847 soveltamisalaan, kohdistu ristiriitaisia vaatimuksia niiden sertifioidessa tuotteitaan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti. Lisäksi vaatimusten yhdenmukaisuus helpottaa asetuksen (EU) 2024/2847 27 artiklassa säädettyä vaatimustenmukaisuusolettamaa, jonka nojalla digitaalisia elementtejä sisältävien tuotteiden valmistajat voivat tietyin edellytyksin hyötyä olettamasta, jonka mukaan tuotteet täyttävät kyseisen asetuksen liitteessä I vahvistetut olennaiset kyberturvallisuusvaatimukset, jos ne on sertifioitu eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti.

(96)Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi voitava määritellä laajennusprofiili asettamalla käyttötapauksiin liittyviä lisä- tai erityisvaatimuksia, mukaan lukien lisäominaisuudet, kuten parannetut tuoteominaisuudet, erikoistuneet palvelutarjonnat tai hyödykkeet, optimoidut prosessit ja kehittyneet turvallisuustoimenpiteet. Koska laajennusprofiilit eivät vastaa tiettyä varmuustasoa, niissä olisi kuvattava yksityiskohtaisesti niiden tarkoitus, mukaan lukien käsiteltävät turvallisuusuhkat. Laajennusprofiilien tarkoituksena on erityisesti osoittaa tiettyjen standardien ja sääntelyvaatimusten noudattaminen, mukaan lukien tarvittaessa vaatimukset, jotka koskevat jäsenvaltion vahvistamia kyberturvallisuusriskien hallintaa koskevia lisätoimenpiteitä direktiivin (EU) 2022/2555 mukaisen vähimmäistason yhdenmukaistamisen periaatteen mukaisesti.

(97)Eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin olisi voitava sisällyttää vertaisarviointimekanismi elimille, jotka myöntävät eurooppalaisia kyberturvallisuussertifikaatteja tieto- ja viestintäteknisille tuotteille, palveluille ja prosesseille sekä tietoturvapalveluille ja toimijoiden kyberturvatasolle, erityisesti niille elimille, jotka myöntävät varmuustason ”korkea” sertifikaatteja tällaisten järjestelmien mukaisesti, sanotun kuitenkaan rajoittamatta kaikkien eurooppalaisen kyberturvallisuuden sertifiointikehyksen puitteissa toimivien kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten käyttöön ottamaa yleistä vertaisarviointijärjestelmää. Tällaisiin elimiin olisi kuuluttava myös kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten sertifiointielimiä, jotka myöntävät varmuustason ”korkea” sertifikaatteja. Euroopan kyberturvallisuuden sertifiointiryhmän olisi tuettava tällaisten vertaisarviointimekanismien täytäntöönpanoa. Vertaisarvioinneissa olisi erityisesti arvioitava, suorittavatko asianomaiset elimet tehtävänsä yhdenmukaisella tavalla, ja arviointeihin voidaan sisällyttää muutoksenhakumekanismeja.

(98)Kriisit, kuten sodat, luonnonkatastrofit ja pandemiat, voivat vaikuttaa kielteisesti sertifiointitoimintaan. Tällaisissa kriisitilanteissa ei välttämättä ole mahdollista esimerkiksi varmistaa paikkakohtaista turvallisuutta infrastruktuurin tuhoutumisen, kyberhyökkäysten, henkilöstön saatavuuden puutteen tai paikan saavuttamattomuuden vuoksi. Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi sen vuoksi määriteltävä väliaikaiset säännöt sertifiointitoiminnan jatkuvuuden varmistamiseksi tällaisissa tilanteissa.

(99)Teknisten ehdokasjärjestelmien muuntaminen täytäntöönpanosäädöksiksi edellyttää laaja-alaista teknistä ja oikeudellista asiantuntemusta ja voi aiheuttaa huomattavaa hallinnollista rasitetta. Lisäksi tietyt eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijät, kuten haavoittuvuuksien hallinta tai merkkien tai merkintöjen käytön edellytykset, ylittävät toimialarajat ja voivat hyötyä yhdenmukaistetuista viitesäännöksistä. Jotta voidaan varmistaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien laatu ja vähentää vaatimusten noudattamisesta yrityksille aiheutuvaa rasitetta, komissiolle olisi siirrettävä valta hyväksyä mallimuotoiluja, jotka kattavat tietyt eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijät.

(100)Eurooppalaisen kyberturvallisuuden sertifiointikehyksen johdonmukaisuuden varmistamiseksi eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi voitava määritellä kyseisen järjestelmän mukaisesti myönnettyjen eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten varmuustasot. Eurooppalaisen kyberturvallisuussertifikaatin olisi viitattava johonkin seuraavista varmuustasoista: ”perustaso”, ”korotettu” tai ”korkea”. EU-vaatimustenmukaisuusilmoituksen olisi viitattava ainoastaan varmuustasoon ”perustaso”. Varmuustasojen olisi kuvastettava arvioinnin asianmukaista tiukkuutta ja kattavuutta tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen osalta tai toimijoiden kyberturvatason osalta, ja varmuustasojen olisi perustuttava niihin liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin, mukaan lukien tekniset tarkastukset, joiden tarkoituksena on lieventää tai ehkäistä poikkeamia. Kunkin varmuustason olisi oltava johdonmukainen eri toimialoilla, joilla sertifiointia sovelletaan.

(101)Eurooppalaisten kyberturvallisuussertifikaattien käyttäjien olisi valittava asianmukainen sertifiointi ja siihen liittyvät turvallisuusvaatimukset analysoimalla riskit, jotka liittyvät tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen käyttöön tai toimijoiden sertifioinnin asiayhteyteen. Vastaavasti varmuustason on vastattava tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin taikka tietoturvapalvelun käyttötarkoitukseen liittyvän riskin tasoa tai sen toimijan toimintaympäristöä ja luonnetta, johon sovelletaan kyberturvatason sertifiointia.

(102)Varmuustason ”perustaso” arvioinnissa olisi käsiteltävä vähintään seuraavat varmuuden osatekijät: arvioinnin olisi sisällettävä vähintään vaatimustenmukaisuuden arviointilaitoksen arvio tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin, tietoturvapalvelun taikka toimijan kyberturvatason teknisistä asiakirjoista. Jos sertifiointiin sisältyy tieto- ja viestintäteknisiä prosesseja, tekninen arviointi olisi tehtävä myös prosessille, jota käytetään tieto- ja viestintäteknisen tuotteen tai palvelun taikka tietoturvapalvelun taikka toimijan kyberturvatason suunnitteluun, kehittämiseen ja ylläpitoon. Tapauksissa, joissa eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaan voidaan soveltaa vaatimustenmukaisuuden itsearviointia, olisi katsottava riittäväksi, että tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistaja tai tarjoaja taikka toimija, johon sovelletaan kyberturvatason sertifiointia, tekee itsearvioinnin tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien, tietoturvapalvelujen taikka toimijan kyberturvatason vaatimustenmukaisuudesta suhteessa sertifiointijärjestelmään.

(103)Varmuustason ”korotettu” arvioinnissa olisi varmuustason ”perustaso” vaatimusten lisäksi vähintään todennettava, vastaavatko tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin, tietoturvapalvelun taikka toimijan kyberturvatason turvallisuustoiminnot niiden teknisiä asiakirjoja.

(104)Varmuustason ”korkea” arviointiin olisi varmuustason ”korotettu” vaatimusten lisäksi vähintään sisällyttävä tehokkuustesti, jolla arvioidaan turvallisuustoimintojen vastustuskykyä sellaisten henkilöiden suorittamia vaativia pitkälle kehittyneitä kyberhyökkäyksiä vastaan, joilla on huomattavaa osaamista ja resursseja. Vaatimustenmukaisuuden arviointitoimet olisi suoritettava Euroopan talousalueella varmuustason ”korkea” osalta tai silloin, kun järjestelmä on suunniteltu osoittamaan vaatimustenmukaisuus ja luomaan vaatimustenmukaisuusolettama muun unionin lainsäädännön nojalla. Tämä vaatimus on perusteltu, koska Euroopan talousalueen ulkopuolella toteutettavat arviointitoimet aiheuttavat lisäuhkia kyberturvallisuudelle, erityisesti arvioitavien tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai toimijoiden teollis- ja tekijänoikeuksille. Esimerkiksi tieto- ja viestintäteknisen tuotteen lähdekoodi voi joutua tarkastelun kohteeksi kolmannen maan rajaa ylitettäessä, mikä muodostaa riskin teollis- ja tekijänoikeuksille. Lisäksi kolmansiin maihin sijoittautuneet testauslaboratoriot eivät toimi ympäristössä, jota koskevat EU:n lainsäädännössä säädetyt kyberturvallisuustoimenpiteet, kuten direktiivissä (EU) 2022/2555 tai asetuksessa (EU) 2024/2847 säädetyt toimenpiteet. Testauslaboratorio voi esimerkiksi tukeutua kolmannen osapuolen pilvipalvelujen tarjoajaan, joka ei noudata direktiivin (EU) 2022/2555 kyberturvallisuusvaatimuksia. Sertifiointijärjestelmässä olisi kuitenkin voitava säätää poikkeusmekanismeista esimerkiksi paikkakohtaisen sertifioinnin yhteydessä tai muissa tilanteissa, joissa vaatimustenmukaisuuden arviointia ei kohtuudella voida suorittaa Euroopan talousalueella.

(105)Joissakin tapauksissa tietyn varmuustason turvallisuustavoitteiden saavuttaminen voi edellyttää erilaisia lähestymistapoja tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin, tietoturvapalvelun taikka toimijoiden kyberturvatason erityispiirteiden huomioon ottamiseksi. Yksityiskohtaisemman lähestymistavan mahdollistamiseksi eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi voitava määritellä yksi tai useampi arviointitaso, joka vastaa yhtä varmuustasoa. Tämä mahdollistaa sellaisten järjestelmien kehittämisen, joissa useat eri tarkoituksiin suunnitellut arviointitasot vastaavat tiettyyn varmuustasoon liittyvää turvallisuustasoa.

(106)Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi voitava sallia vaatimustenmukaisuuden arviointi, joka suoritetaan yksinomaan tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajan tai tarjoajan taikka sen toimijan vastuulla, jonka kyberturvataso sertifioidaan (jäljempänä ’vaatimustenmukaisuuden itsearviointi’). Tällaisissa tapauksissa olisi katsottava riittäväksi, että valmistaja, tarjoaja tai se toimija, jonka kyberturvataso sertifioidaan, suorittaa itse kaikki tarvittavat tarkastukset varmistaakseen, että tieto- ja viestintätekniset tuotteet, palvelut tai prosessit, tietoturvapalvelu taikka toimijan kyberturvataso ovat eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisia. Vaatimustenmukaisuuden itsearviointia olisi pidettävä asianmukaisena tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien, tietoturvapalvelujen taikka toimijoiden kyberturvatason osalta silloin, kun ne eivät ole monimutkaisia, aiheuttavat vähäisen riskin yleisölle ja perustuvat yksinkertaiseen rakenteeseen tai yksinkertaisiin tuotantomekanismeihin.

(107)Jos eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä sallitaan tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien, tietoturvapalvelujen taikka toimijoiden vaatimustenmukaisuuden itsearviointi ja kyberturvatason sertifiointi, sertifiointijärjestelmässä olisi säädettävä selkeistä ja ymmärrettävistä käytännöistä, joiden avulla kuluttajat tai muut käyttäjät voivat erottaa toisistaan itsearvioidut ja kolmannen osapuolen sertifioimat tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut taikka toimijoiden kyberturvatasot.

(108)Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajan tai tarjoajan taikka sen toimijan, jonka kyberturvataso sertifioidaan, olisi vaatimustenmukaisuuden arviointimenettelyn yhteydessä voitava antaa ja allekirjoittaa EU-vaatimustenmukaisuusilmoitus. EU-vaatimustenmukaisuusilmoitus on asiakirja, jossa todetaan, että tietty tieto- ja viestintätekninen tuote, palvelu tai prosessi, tietoturvapalvelu tai toimijan kyberturvataso on eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen vaatimusten mukainen. Antamalla ja allekirjoittamalla EU-vaatimustenmukaisuusilmoituksen tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistaja tai tarjoaja taikka se toimija, jonka kyberturvataso sertifioidaan, ottaa vastuun siitä, että tieto- ja viestintätekninen tuote, palvelu tai prosessi, tietoturvapalvelu tai toimijan kyberturvataso on eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen turvallisuusvaatimusten mukainen. Jäljennös EU-vaatimustenmukaisuusilmoituksesta olisi toimitettava kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja ENISAlle.

(109)Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajien tai tarjoajien taikka toimijan, jonka kyberturvataso sertifioidaan, olisi asetettava EU-vaatimustenmukaisuusilmoitus, tekniset asiakirjat ja kaikki eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen vaatimusten mukaisuutta koskevat muut tiedot toimivaltaisen kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville asianomaisessa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määrätyn ajanjakson ajaksi ja sovellettavan unionin lainsäädännön mukaisesti. Teknisissä asiakirjoissa olisi eriteltävä sovellettavat järjestelmän mukaiset vaatimukset siinä määrin kuin se on olennaista vaatimustenmukaisuuden itsearvioinnin kannalta. Tekniset asiakirjat olisi laadittava siten, että niiden perusteella voidaan arvioida, vastaako tieto- ja viestintätekninen tuote, palvelu tai prosessi taikka tietoturvapalvelu tai toimijan kyberturvataso kyseisen järjestelmän mukaan sovellettavia vaatimuksia.

(110)Eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten olisi autettava käyttäjiä tekemään tietoon perustuvia valintoja. Sen vuoksi asiaankuuluvat tiedot olisi julkaistava ENISAn ylläpitämällä verkkosivustolla. Lisäksi tieto- ja viestintäteknisten tuotteiden, prosessien ja palvelujen, jotka on sertifioitu tai joista on annettu EU-vaatimustenmukaisuusilmoitus, mukana olisi oltava jäsennellyssä muodossa tietoja, jotka on mukautettu suunnitellun käyttäjän odotettuun tekniseen osaamistasoon. Kaikkien käyttäjien olisi voitava saada tiedot sertifiointijärjestelmän viitenumerosta, sertifikaatin myöntävästä viranomaisesta tai elimestä ja tarvittaessa varmuustasosta, tai heidän olisi voitava saada kopio eurooppalaisesta kyberturvallisuussertifikaatista. Tiedot olisi päivitettävä säännöllisesti, ja ne olisi asetettava saataville erityisellä verkkosivustolla, joka tarjoaa tietoa eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä. Lisäksi jatkuvan saatavuuden varmistamiseksi valmistajille ja tarjoajille olisi asetettava velvollisuus ilmoittaa asianomaiselle sertifiointielimelle, jos verkossa saatavilla olevien tai tapauksen mukaan fyysisten tietojen sijainti muuttuu.

(111)Vaatimustenmukaisuuden arviointi on menettely, jossa arvioidaan, täyttyvätkö tieto- ja viestintätekniseen tuotteeseen, palveluun tai prosessiin taikka tietoturvapalveluun tai toimijaan liittyvät määritellyt vaatimukset. Arvioinnin tekee riippumaton kolmas osapuoli, joka ei ole arvioinnin kohteena olevien tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistaja tai tarjoaja eikä toimija, jonka kyberturvatasoa arvioidaan. Eurooppalainen kyberturvallisuussertifikaatti olisi myönnettävä, kun tieto- ja viestintätekninen tuote, palvelu tai prosessi taikka tietoturvapalvelu tai toimijan kyberturvataso on läpäissyt arvioinnin. Eurooppalaista kyberturvallisuussertifikaattia olisi pidettävä vahvistuksena siitä, että kyseinen arviointi on tehty asianmukaisesti.

(112)Valvonta- ja sertifiointitoimintojen tiukka erottaminen toisistaan on tärkeää, jotta vältetään vääristymät ja häiriöt, joita voi aiheutua tilanteissa, joissa markkinoita valvova toimija myös kilpailee samoilla markkinoilla. Näin ollen sellaisissa toiminnoissa, joissa kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset hoitavat ainoastaan valvontatehtäväänsä, kuten antamalla ennakkohyväksynnän sertifikaatin myöntämiselle, ei saisi edellyttää lisäerottelua muista valvontatoiminnoista. Tämä koskee esimerkiksi tilannetta, jossa kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen kerää aktiivisesti tietoja yksityisten vaatimustenmukaisuuden arviointilaitosten suorittamien sertifiointiprosessien ajan ja antaa tämän jälkeen lausuntonsa kyseisten elinten myöntämästä sertifikaatista, jäljempänä ’ennakkohyväksyntämalli’.

(113)Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi täsmennettävä edellytykset, joiden perusteella tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijan kyberturvataso on mahdollisesti sertifioitava uudelleen tai yksittäisen eurooppalaisen kyberturvallisuussertifikaatin kattavuutta on mahdollisesti supistettava. Lisäksi eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi otettava huomioon mahdolliset haitalliset vaikutukset, joita myöhemmin havaitut haavoittuvuudet tai vaatimustenvastaisuudet voivat aiheuttaa sertifioidun tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin, tietoturvapalvelun taikka toimijan kyberturvatason vaatimustenmukaisuudelle kyseisen sertifikaatin turvallisuusvaatimusten osalta.

(114)Yhdenmukaistamisella on ratkaiseva merkitys vahvan kyberturvallisuuden varmistamisessa ja yritysten markkinoille pääsyn parantamisessa. Sen sijaan hajanaisuus ja sertifikaattien vastavuoroisen tunnustamisen puute muodostavat merkittäviä esteitä tietojen saumattomalle liikkumiselle ja lisäävät näin unionin elinkeinoelämän toimintakustannuksia. Näiden haasteiden lieventämiseksi on olennaisen tärkeää välttää hajanaisuutta sekä turvavalvontatoimenpiteiden soveltamisalassa että vaatimustenmukaisuuden arviointimenetelmissä kaikkialla unionissa.

(115)Jäsenvaltioiden olisi ilmoitettava komissiolle ja Euroopan kyberturvallisuuden sertifiointiryhmälle riittävän ajoissa ennen kuin ne hyväksyvät uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien, tietoturvapalvelujen taikka toimijoiden kyberturvatason osalta, jotta komissio ja Euroopan kyberturvallisuuden sertifiointiryhmä voivat arvioida uuden kansallisen kyberturvallisuuden sertifiointijärjestelmän vaikutuksia sisämarkkinoiden moitteettomaan toimintaan ja sitä, olisiko strategisesti asianmukaista pyytää käyttämään sen sijaan eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.

(116)Kansallisessa lainsäädännössä olevat viittaukset kansallisiin standardeihin, jotka eivät ole enää voimassa eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän tultua voimaan, voivat mahdollisesti aiheuttaa sekaannusta. Jäsenvaltioiden olisi sen vuoksi tarvittaessa otettava eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän hyväksyminen huomioon kansallisessa lainsäädännössään.

(117)Luotettavien sisämarkkinoiden kasvun edistämiseksi ja kumppanuuksien luomiseksi kolmansien maiden kanssa eurooppalaisen kyberturvallisuuden sertifiointikehyksen puitteissa vahvistettu sertifiointiprosessi olisi pantava täytäntöön tavalla, joka edistää kansainvälistä tunnustamista, vastavuoroista tunnustamista ja yhdenmukaisuutta kansainvälisten standardien kanssa.

(118)Tieto- ja viestintätekniikan toimitusketjut ovat maailmanlaajuisia, joten unioni voi Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 218 artiklan mukaisesti kaupan helpottamiseksi tehdä eurooppalaisia kyberturvallisuussertifikaatteja koskevia sopimuksia vastavuoroisesta tunnustamisesta. Komissiolle olisi siirrettävä valta hyväksyä täytäntöönpanosäädöksiä, joilla tunnustetaan yksipuolisesti kolmansien maiden sertifikaattien vastaavuus eurooppalaisten kyberturvallisuussertifikaattien kanssa. Tällaiselle kolmansien maiden sertifikaattien tunnustamiselle olisi voitava säätää erityisedellytyksistä.

(119)Kehyksen yhdenmukaisen täytäntöönpanon saavuttamiseksi kaikkialla unionissa, vastavuoroisen tunnustamisen helpottamiseksi ja eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten yleisen hyväksymisen edistämiseksi on perustettava kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välinen vertaisarviointijärjestelmä. Vertaisarvioinnin olisi katettava menettelyt, joilla valvotaan, vastaavatko tieto- ja viestintätekniset tuotteet, palvelut ja prosessit sekä tietoturvapalvelut ja toimijoiden kyberturvataso eurooppalaisten kyberturvallisuussertifikaattien vaatimuksia, seurataan vaatimustenmukaisuuden itsearviointeja tekevien tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien sekä tietoturvapalvelujen valmistajien tai tarjoajien ja sertifioitujen toimijoiden velvoitteita, valvotaan vaatimustenmukaisuuden arviointilaitoksia sekä arvioidaan varmuustason ”korkea” sertifikaatteja myöntävien elinten henkilöstön asiantuntemuksen soveltuvuutta. ENISAn olisi osallistuttava vertaisarviointeihin tarkkailijana ja tuettava vertaisarviointimekanismin ja vertaisarviointien järjestämistä muun muassa kehittämällä asiaankuuluvia ohjeasiakirjoja ja malleja yhteistyössä komission ja Euroopan kyberturvallisuuden sertifiointiryhmän kanssa. ENISAn olisi lisäksi asetettava julkisesti saataville eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevalla verkkosivustollaan tiedot vertaisarviointien aikataulusta sekä luettelo niistä kansallisista kyberturvallisuussertifioinnin myöntävistä viranomaisista, joita aikataulun mukaiset vertaisarvioinnit koskevat. Asetuksen (EU) 2019/881 nojalla annetussa komission täytäntöönpanoasetuksessa (EU) 2025/2540 60 vahvistetaan suunnitelma vertaisarviointeja varten, jota hyödynnetään hyväksytyissä eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä. On tarpeen varmistaa vertaisarviointien jatkuminen. Komission olisi kuitenkin tarvittaessa voitava antaa täytäntöönpanosäädöksiä, joilla vahvistetaan uusi, vähintään viiden vuoden mittainen suunnitelma vertaisarviointeja varten ja joissa säädetään vertaisarviointijärjestelmän toiminnan kriteereistä ja menetelmistä.

(120) Kun eurooppalainen kyberturvallisuuden sertifiointijärjestelmä on hyväksytty, tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien tai tietoturvapalvelujen valmistajien tai tarjoajien taikka toimijoiden, joiden kyberturvataso sertifioidaan, olisi voitava jättää tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai kyberturvatason sertifiointia koskeva hakemus valitsemalleen vaatimustenmukaisuuden arviointilaitokselle kaikkialla unionissa. Kansallisten vaatimustenmukaisuuden arviointilaitosten olisi saatava akkreditointi kansalliselta akkreditointielimeltä, jos ne täyttävät tässä asetuksessa vahvistetut vaatimukset ja tapauksen mukaan komission tämän asetuksen mukaisesti määrittelemät vaatimukset. Tässä asetuksessa säädettyä järjestelmää olisi täydennettävä Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 765/2008 61 säädetyllä akkreditointijärjestelmällä.

(121) Vaatimustenmukaisuuden arviointilaitoksilla, jotka on akkreditoitu tai ilmoitettu voimassa olevan unionin lainsäädännön, erityisesti asetuksen (EU) 2024/2847 tai täytäntöönpanoasetuksen (EU) 2024/482 mukaisesti, saattaa olla osaamista, joka on merkityksellistä hiljattain hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien kannalta. Tarpeettoman taloudellisen ja hallinnollisen rasitteen välttämiseksi on aiheellista luoda synergioita tämän asetuksen mukaisten vaatimustenmukaisuuden arviointilaitosten akkreditointia varten. Tästä syystä järjestelmien akkreditointivaatimukset olisi vahvistettava siten, että ne ovat mahdollisimman pitkälti yhdenmukaisia asetuksessa (EU) 2024/2847 säädettyjen ilmoitettuja laitoksia koskevien vaatimusten ja täytäntöönpanoasetuksessa (EU) 2024/482 säädettyjen akkreditointivaatimusten kanssa. Lisäksi vaatimustenmukaisuuden arviointilaitosten, jotka käyvät läpi tämän asetuksen mukaisen akkreditointiprosessin, olisi voitava tukeutua muihin unionin säädöksiin perustuvien arviointien aiempiin tuloksiin siltä osin kuin akkreditointivaatimukset ovat päällekkäisiä.

(122)Jotta vaatimustenmukaisuuden arviointipalvelut voitaisiin toteuttaa yhdenmukaisesti koko unionissa, eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi voitava asettaa vaatimustenmukaisuuden arviointilaitoksille lisä- tai erityisvaatimuksia. Sertifioinnin yhteydessä valtuutus olisi ymmärrettävä kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen päätökseksi siitä, että vaatimustenmukaisuuden arviointilaitos täyttää eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetetut erityis- tai lisävaatimukset voidakseen suorittaa tietyn vaatimustenmukaisuuden arviointitoimen.

(123)Jos eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetetaan tämän asetuksen mukaisesti lisä- tai erityisvaatimuksia, kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi valtuutettava vaatimustenmukaisuuden arviointilaitokset suorittamaan tällaisen järjestelmän mukaisia tehtäviä. Moninkertaisen valtuutustarpeen välttämiseksi, valtuutuspäätösten hyväksymisen ja tunnustamisen parantamiseksi sekä valtuutettujen vaatimustenmukaisuuden arviointilaitosten tuloksellisen valvonnan toteuttamiseksi vaatimustenmukaisuuden arviointilaitosten olisi haettava valtuutusta sijoittautumisjäsenvaltionsa kansallisen kyberturvallisuussertifioinnin myöntävältä viranomaiselta. On kuitenkin tarpeen varmistaa, että vaatimustenmukaisuuden arviointilaitos voi hakea valtuutusta toisessa jäsenvaltiossa, jos sen omassa jäsenvaltiossa ei ole kansallisen kyberturvallisuussertifioinnin myöntävää viranomaista tai jos kansallisen kyberturvallisuussertifioinnin myöntävällä viranomaisella ei ole toimivaltaa antaa haettuja valtuutuksia. Tällaisissa tapauksissa olisi varmistettava asianmukainen yhteistyö ja tietojenvaihto kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välillä. Komissiolle olisi siirrettävä valta hyväksyä täytäntöönpanosäädöksiä, joilla vahvistetaan valtuutusmenettelyt, mukaan lukien valtuutusmenettelyjä koskeva rajatylittävä yhteistyö.

(124)Tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin, tietoturvapalvelun taikka toimijan kyberturvatason edellyttämän suojan tason turvaamiseksi on olennaista, että vaatimustenmukaisuuden arvioinnissa käytettävien alihankkijoiden ja tytäryhtiöiden edellytetään täyttävän samat vaatimustenmukaisuuden arviointitehtävien suorittamiseen liittyvät vaatimukset kuin ilmoitettujen vaatimustenmukaisuuden arviointilaitosten. Näin ollen vaatimustenmukaisuuden arviointilaitoksella olisi oltava asianmukainen osaaminen ja sen olisi voitava tarkistaa, että sen alihankkijat täyttävät sovellettavat vaatimukset.

(125)Ilmoittavan viranomaisen olisi arvioitava asianmukaisesti se, missä määrin vaatimustenmukaisuuden arviointilaitos aikoo tukeutua unionin ulkopuolelle sijoittautuneisiin alihankkijoihin tai hyödyntää henkilöstöä tai tiloja sen jäsenvaltion ulkopuolella, jossa ilmoitus tehdään. Jäsenvaltion viranomaisella olisi oltava mahdollisuus päättää, ettei se voi ottaa kokonaisvastuuta tällaisesta järjestelystä kansallisena kyberturvallisuussertifioinnin myöntävänä viranomaisena, ja peruuttaa ilmoitus tai rajoittaa sen soveltamisalaa. 

(126)Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi ilmoitettava tieto- ja viestintäteknisiä tuotteita, palveluja tai prosesseja taikka tietoturvapalveluja tai toimijoiden kyberturvatasoa koskevien kyberturvallisuusvaatimusten arvioimiseksi akkreditoidut vaatimustenmukaisuuden arviointilaitokset komissiolle ja muille jäsenvaltioille. Ilmoitus akkreditoiduista ja soveltuvin osin valtuutetuista vaatimustenmukaisuuden arviointilaitoksista osoittaa, että kyseisiin laitoksiin voidaan luottaa tämän asetuksen ja eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisten arviointi- ja sertifiointitoimien suorittamisessa, mikä edistää eurooppalaisen kyberturvallisuussertifioinnin yleistä mainetta. Tämän vuoksi on olennaisen tärkeää varmistaa, että ilmoitetut vaatimustenmukaisuuden arviointilaitokset täyttävät vaatimuksensa ja velvoitteensa jatkuvasti ja että ilmoitettujen vaatimustenmukaisuuden arviointilaitosten luettelo pidetään ajan tasalla.

(127)Asetuksen (EU) 2019/881 nojalla annetussa komission täytäntöönpanoasetuksessa (EU) 2024/3143 62 vahvistetaan sellaisten vaatimustenmukaisuuden arviointilaitosten ilmoituksiin liittyvät olosuhteet, muotoseikat ja menettelyt, joita käytetään hyväksytyissä eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä. Tämän vuoksi ilmoittamistoiminnan jatkuvuus on varmistettava. Komissiolle olisi kuitenkin siirrettävä valta hyväksyä täytäntöönpanosäädöksiä vaatimustenmukaisuuden arviointilaitosten ilmoituksiin liittyvien olosuhteiden, muotoseikkojen ja menettelyjen mukauttamiseksi. Tässä yhteydessä komission olisi hyödynnettävä nykyisistä järjestelmistä saatuja kokemuksia ja pyrittävä yhdenmukaistamiseen muun asiaankuuluvan unionin lainsäädännön ja kehysten kanssa, erityisesti asetuksen (EU) 2024/2847 ja uuden lainsäädäntökehyksen kanssa, jotta eri oikeudellisten välineiden nojalla toimivien vaatimustenmukaisuuden arviointilaitosten vaatimusten noudattamisesta aiheutuvaa rasitetta voidaan keventää.

(128) Tieto- ja viestintätekniikan toimitusketjut muodostuvat talouden toimijoiden välisistä toisiinsa kytkeytyneistä resursseista ja prosesseista. Tieto- ja viestintätekniikan toimitusketjuilla on keskeinen rooli yhteiskunnan vakauden ylläpitämisessä ja taloudellisen toiminnan edistämisessä kaikkialla unionissa. Niillä on keskeinen rooli myös unionin digitaalisen infrastruktuurin mahdollistamisessa, ja ne muodostavat perustan unionin yhteiskunnan ja talouden toiminnalle. Tieto- ja viestintätekniikan toimitusketjut mahdollistavat sellaisten tieto- ja viestintäteknisten palvelujen, järjestelmien ja tuotteiden valmistuksen, tuotannon, jakelun ja ylläpidon, jotka tukevat useita kriittisiä ja erittäin kriittisiä toimialoja, kuten terveydenhuoltoa, rahoitusta, liikennettä, televiestintää, energiaa ja tullitoimintaa. Näiden kriittisten toimialojen tieto- ja viestintätekniikan toimitusketjujen turvallisuudella voi olla vaikutuksia myös puolustus- ja sotilasinfrastruktuurin turvallisuuteen silloin, kun tämä infrastruktuuri on riippuvainen siviilialan kriittisistä toimialoista ja niiden tieto- ja viestintätekniikan toimitusketjuista. ENISAn julkaiseman kyberturvallisuusuhkien tilaa koskevan raportin 63 (ENISA Threat Landscape 2025) mukaan toimitusketjuihin kohdistuvat hyökkäykset kuuluvat kuitenkin viiden merkittävimmän kyberuhkaluokan joukkoon, mikä osoittaa, että hyökkääjät hyödyntävät aktiivisesti epäsuoria reittejä kolmansien osapuolten tarjoajien ja riippuvuuksien kautta. Tieto- ja viestintätekniikan toimintaketjujen häiriöt voivat haitata taloudellisen toiminnan harjoittamista sisämarkkinoilla, aiheuttaa taloudellisia tappioita, heikentää käyttäjien luottamusta ja aiheuttaa huomattavaa vahinkoa unionin taloudelle ja yhteiskunnalle. Kyberturvallisuusvalmius ja tehokas kyberturvallisuus ovat siksi tärkeämpiä kuin koskaan sisämarkkinoiden moitteettoman toiminnan kannalta. 

(129)Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 64 , Euroopan parlamentin ja neuvoston asetuksessa (EU) 2024/2847 65 sekä asetuksella (EU) 2019/881 perustetussa eurooppalaisessa kyberturvallisuuden sertifiointikehyksessä käsiteltyjen teknisten riskien lisäksi tieto- ja viestintätekniikan toimitusketjut altistuvat yhä enenevässä määrin myös muille kuin teknisille riskeille. Tällaiset muut kuin tekniset riskit voivat liittyä muun muassa siihen lainkäyttövaltaan, jonka alaisuuteen tiettyjen komponenttien toimittaja kuuluu, erityisesti silloin, kun kolmas maa tai kyseisen maan määräysvallassa olevat uhkatoimijat harjoittavat teollisuusvakoilua, harjoittavat haitallisia kybertoimia tai -kampanjoita unionia tai sen jäsenvaltioita vastaan taikka harjoittavat vastuutonta valtion käyttäytymistä kybertoimintaympäristössä. Muut kuin tekniset riskit voivat liittyä myös salattuihin haavoittuvuuksiin, takaportteihin tai mahdollisiin järjestelmätason toimitushäiriöihin, etenkin jos on ajauduttu teknologialukkiutumaan tai toimittajariippuvuuteen. Esimerkiksi tappokytkimiä voitaisiin käyttää viestintäverkkojen ja sähköverkkojen käytettävyyden heikentämiseen.

(130)EU:n taloudellisen turvallisuuden vahvistamisesta annetussa yhteisessä tiedonannossa 66 korostettiin riskiä siitä, että kolmannet maat saavat pääsyn EU:n tai sen jäsenvaltioiden arkaluonteisiin tietoihin joko teollisuusvakoilun, tietyissä tuotteissa käytettyjen laitteistojen tai ohjelmistojen toimittamisen tuloksena tai siksi, että ne omistavat tiettyjä yrityksiä, joilla on arkaluonteisia tietoja, ja käyttävät niissä määräysvaltaa. Siinä korostettiin myös riskiä, että ulkomaiset toimijat häiritsevät EU:n kriittistä infrastruktuuria – mukaan lukien kriittinen liikenne-, avaruusjärjestelmä-, energia- ja viestintäinfrastruktuuri, erityisesti sellainen, joka on määritelty sotilaallisen liikkuvuuden kannalta strategiseksi –, mikä voi aiheuttaa kerrannaisvaikutuksia unionin talouteen. Häiriöitä voi esiintyä fyysisten, kyber- tai hybridihyökkäysten muodossa, mukaan lukien kokonaisten laitosten tai niiden osien tai komponenttien sabotointi. Ne voivat liittyä myös tieto- ja viestintätekniikan toimitusketjuihin, jotka toimittavat kriittisiä komponentteja tai palveluja kriittiseen infrastruktuuriin.

(131)Vastatakseen sellaisiin tieto- ja viestintätekniikan toimitusketjujen turvallisuuteen liittyviin haasteisiin, joita muut kuin tekniset riskit aiheuttavat, jotkin jäsenvaltiot ovat toteuttaneet sääntelytoimenpiteitä, mukaan lukien suuririskisten toimittajien nimeäminen, ja muiden jäsenvaltioiden arvioidaan tekevän samoin. Tämä voi johtaa kansallisten lähestymistapojen lisääntyvään hajanaisuuteen ja lopulta joidenkin jäsenvaltioiden suurempaan haavoittuvuuteen, millä voi olla heijastusvaikutuksia koko unionissa. Tämän vuoksi on tarpeen yhdenmukaistaa tietyt tieto- ja viestintätekniikan toimitusketjujen muihin kuin teknisiin kyberturvallisuusriskeihin liittyvät näkökohdat. Tällaiset unionin tason toimenpiteet ovat perusteltuja myös sen varmistamiseksi, että kyberturvallisuuden taso on korkea koko unionissa. Tieto- ja viestintätekniikan toimitusketjujen turvallisuutta koskevilla säännöksillä pyritään poistamaan tällaiset laajat erot jäsenvaltioiden välillä erityisesti vahvistamalla unionin tason säännöt toimitusketjujen turvallisuusriskien arviointimekanismeista sekä vähimmäissuojatasot näiltä riskeiltä suojautumiseksi.

(132)Kriittisten riippuvuuksien ja haavoittuvuuksien vähentämiseksi on tarpeen luoda luotettavien tieto- ja viestintätekniikan toimitusketjujen kehys, jolla puututaan suuririskisiin toimittajiin ja riippuvuuksiin liittyviin muihin kuin teknisiin riskeihin erittäin kriittisillä toimialoilla ja muilla kriittisillä toimialoilla. Tämän vuoksi on tarpeen vahvistaa unionin tasolla objektiivinen, riskiperusteinen, tulevaisuuden vaatimukset huomioon ottava ja teknologianeutraali kehys, jonka avulla voidaan tunnistaa keskeiset tieto- ja viestintätekniset hyödykkeet ja säätää oikeasuhtaisista riskien lieventämistoimenpiteistä.

(133)Kyberturvallisuusriskit, mukaan lukien suuririskisiin toimittajiin liittyvät riippuvuusriskit, voivat ilmetä useissa unionin kriittisissä tieto- ja viestintätekniikan toimitusketjuissa, mukaan lukien ilmaisulaitteet, verkkoon liitetyt ja automatisoidut ajoneuvot, sähkönjakelu- ja energiavarastointijärjestelmät, vesilaitokset, drooni- ja droonintorjuntajärjestelmät, pilvipalvelut, lääkinnälliset laitteet, valvontalaitteet, avaruuspalvelut ja puolijohteet. Esimerkiksi ilmaisulaitteiden haavoittuvuudet voivat mahdollistaa pääsyn tieto- ja viestintäteknisiin järjestelmiin ja antaa pahantahtoisille toimijoille mahdollisuuden manipuloida skannereita siten, että kiellettyjä esineitä voidaan kuljettaa turvatarkastuspisteiden läpi ilman, että niitä havaitaan, millä voi olla katastrofaalisia seurauksia.

(134)Tällä asetuksella ei saisi estää jäsenvaltioita antamasta tai pitämästä voimassa säännöksiä, joilla varmistetaan kyberturvallisuuden korkeampi taso tieto- ja viestintätekniikan toimitusketjujen turvallisuuden osalta, edellyttäen, että tällaiset säännökset ovat unionin oikeudessa säädettyjen jäsenvaltioiden velvoitteiden mukaisia. Tällaisissa säännöksissä voidaan esimerkiksi edellyttää tiukempia lieventäviä toimenpiteitä keskeisten tieto- ja viestintäteknisten hyödykkeiden osalta.

(135)Tiettyihin tieto- ja viestintätekniikan toimitusketjuihin kohdistuvien mahdollisten kyberturvallisuusriskien tunnistamiseksi direktiivin (EU) 2022/2555 14 artiklan nojalla perustettu verkko- ja tietoturva-alan yhteistyöryhmä voi arvioida tiettyjä tieto- ja viestintätekniikan toimitusketjuja unionin tason koordinoitujen turvallisuusriskien arviointien avulla. Unionin tason koordinoiduissa turvallisuusriskien arvioinneissa olisi tarkasteltava muun muassa tärkeimpiä uhkatoimijoita, merkittävimpiä uhkia sekä keskeisiin tieto- ja viestintäteknisiin hyödykkeisiin kohdistuvia haavoittuvuuksia. Unionin tason koordinoiduissa turvallisuusriskien arvioinneissa olisi laadittava luettelo riskiskenaarioista ja toimenpiteistä riskien lieventämiseksi. Unionin tason koordinoidut turvallisuusriskien arvioinnit olisi saatettava päätökseen kuuden kuukauden kuluessa. Erityisen kiireellisissä tapauksissa määräaikoja olisi voitava lyhentää.

(136)Jos komissiolla on riittävä syy uskoa, että kriittisiin tieto- ja viestintätekniikan toimitusketjuihin liittyy merkittävä unionin turvallisuuteen kohdistuva kyberuhka ja että sisämarkkinoiden moitteettoman toiminnan turvaamiseksi saatetaan tarvita toimenpiteitä, sen olisi viipymättä kuultava jäsenvaltioita lieventävien toimenpiteiden tarpeesta ja suoritettava turvallisuusriskien arviointi ottaen huomioon jäsenvaltioiden kuulemisen tulokset.

(137)Jos verkko- ja tietoturva-alan yhteistyöryhmän tai komission suorittaman turvallisuusriskien arvioinnin perusteella ilmenee, että tietty kolmas maa aiheuttaa vakavia ja rakenteellisia muita kuin teknisiä kyberturvallisuusriskejä tieto- ja viestintätekniikan toimitusketjuille, komission olisi todennettava kyseisen maan aiheuttama uhka. Komissio voi käynnistää tällaisen todennuksen myös muiden lähteiden perusteella, kuten unionin tai jäsenvaltioiden puolesta annettujen julkisten lausuntojen perusteella, vastauksena kybertoimintaympäristössä tapahtuneisiin vastuutonta valtion käyttäytymistä koskeviin tapauksiin, jotka ovat johtaneet kyberturvallisuuspoikkeamaan. Uhkatason arvioimiseksi komission olisi otettava huomioon muun muassa se, onko kolmannessa maassa lakeja tai käytäntöjä, jotka velvoittavat kyseisen maan lainkäyttövallan alaiset toimijat raportoimaan ohjelmisto- tai laitteistohaavoittuvuuksista viranomaisille ennen kuin haavoittuvuuksien tiedetään tulleen hyödynnetyiksi. Muita merkityksellisiä tekijöitä ovat tehokkaiden oikeussuojakeinojen sekä riippumattomien ja demokraattisten valvontamekanismien puuttuminen, todistetut tiedot kyseisen maan alueelta käsin toimivien uhkatoimijoiden harjoittamasta haitallisista kybertoimista tai ‑kampanjoista sekä kolmannen maan kyvyttömyys tai haluttomuus tehdä yhteistyötä komission tai jäsenvaltioiden kanssa näistä uhkatoimijoista aiheutuvien riskien torjumiseksi. Komission olisi otettava huomioon myös unionin tason koordinoiduista turvallisuusriskien arvioinneista tai jäsenvaltioiden tai kansainvälisten järjestöjen, kuten Naton, antamista raporteista saatu tieto.

(138)Tässä asetuksessa määräysvallan käsite olisi ymmärrettävä kyvyksi käyttää ratkaisevaa vaikutusvaltaa oikeushenkilöön joko suoraan tai välillisesti yhden tai useamman väliin sijoittuvan oikeushenkilön kautta. Kyberturvallisuushaasteita aiheuttaviin kolmansiin maihin sijoittautuneiden toimijoiden määräysvalta olisi todettava myös tilanteissa, joissa kyseisellä toimijalla on kyseisessä maassa toimeenpanevia johtorakenteita.

(139)Unioni ei saisi rahoittaa hankkeita, joihin osallistuu suuririskisiä toimittajia, sillä tällaiset hankkeet voisivat vaarantaa unionin turvallisuuden ja heikentää unionin etuja ja uskottavuutta. Tämän asetuksen mukaisesti määritellyt suuririskiset toimittajat eivät näin ollen saisi osallistua mihinkään suoraan tai välillisesti hallinnoitaviin unionin rahoitusohjelmiin tai -välineisiin asetuksen (EU, Euratom) 2024/2509 136 artiklan sekä unionin alakohtaisten sääntöjen mukaisesti, eivätkä unionin yhteistyössä hallinnoitaviin rahoitustoimiin, mukaan lukien seuraavassa monivuotisessa rahoituskehyksessä toteutettavat toimet, siltä osin kuin on kyse sellaisten tieto- ja viestintäteknisten komponenttien tai tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamisesta, joita käytetään keskeisiksi määritellyissä tieto- ja viestintäteknisissä hyödykkeissä. Unionin toteutuskumppaneiden, kuten Euroopan investointipankkiryhmän ja kansallisten kehityspankkien ja -laitosten, olisi pidättäydyttävä tukemasta hankkeita, jotka ovat ristiriidassa edellä esitetyn kanssa, myös omalla riskillään toteutettavissa toimissa. 

(140)Julkiset hankinnat voivat olla tehokas väline, jonka avulla viranomaiset voivat edistää innovatiivisempaa, kestävämpää ja kilpailukykyisempää taloutta sekä käyttää julkisia varoja strategisesti. Tieto- ja viestintätekniikan toimitusketjuihin liittyviä julkisia hankintoja ei saisi käyttää sellaisten toimittajien eduksi, jotka uhkaavat unionin kriittisen infrastruktuurin turvallisuutta. Tämän asetuksen mukaisesti määritellyt suuririskiset toimittajat eivät näin ollen saisi osallistua julkisiin hankintoihin, jotka koskevat sellaisten tieto- ja viestintäteknisten komponenttien tai tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamista, joita käytetään keskeisiksi määritellyissä tieto- ja viestintäteknisissä hyödykkeissä.

(141)Kyberturvallisuussertifiointi vahvistaa yleistä turvallisuutta, torjuu kyberuhkia ja toimii luottamuksen vertailukohtana. Tämä luottamus voisi vaarantua, jos kyberturvallisuustaitoja koskevia todistuksia myöntäisivät suuririskiset toimittajat, joilla ei näin ollen saisi olla oikeutta hakea valtuutetun todistuksen tarjoajan asemaa minkään unionin yksilöllisiä kyberturvallisuustaitoja koskevien todistusten osalta. Vastaavasti on myös asianmukaista sulkea suuririskiset toimittajat pois eurooppalaisen kyberturvallisuuden sertifiointikehyksen mukaisesta kyberturvallisuussertifioinnista sekä estää niitä tulemasta akkreditoiduiksi vaatimustenmukaisuuden arviointilaitoksiksi tällaisten todistusten myöntämistä varten.

(142)Kyberturvallisuusstandardeilla on keskeinen merkitys digitaalisten infrastruktuurien turvallisuuden ja luotettavuuden kannalta. On tarpeen toteuttaa asianmukaisia toimenpiteitä kyberturvallisuutta koskevan standardoinnin varmistamiseksi. Tämän asetuksen mukaisesti tieto- ja viestintätekniikan toimitusketjujen kyberturvallisuushaasteita aiheuttaviksi määritellyissä maissa toimivien tai niiden määräysvallassa olevien toimijoiden osallistuminen voi johtaa siihen, että kyberturvallisuusstandardeihin vaikutetaan tavalla, joka heikentää niiden turvallisuutta ja luotettavuutta.

(143)Turvallisuusriskien arviointien tulosten perusteella komissio voi määrittää täytäntöönpanosäädöksillä, mitkä tieto- ja viestintätekniset hyödykkeet olisi niiden kriittisyyden vuoksi katsottava keskeisiksi tieto- ja viestintäteknisiksi hyödykkeiksi ja asetettava erityisten lieventävien toimenpiteiden kohteeksi. Hyödykkeen pelkän liitettävyyden mahdollisuuden tulisi riittää sen kyberturvallisuusriskin huomioon ottamiseen.

(144)Kyberturvallisuuden, kyberresilienssin ja luottamuksen korkean tason varmistamiseksi unionissa lieventäviä toimenpiteitä voidaan tarvittaessa soveltaa toimijoihin niiden tieto- ja viestintätekniikan toimitusketjun osalta ja erityisesti keskeisiksi määriteltyjen tieto- ja viestintäteknisten hyödykkeiden osalta. Ehdotettujen lieventävien toimenpiteiden olisi perustuttava mahdollisten riskien ja riippuvuuksien arviointiin, mukaan lukien tällaisten toimenpiteiden mahdolliset taloudelliset ja yhteiskunnalliset vaikutukset asianomaisiin toimijoihin, jotka toimivat erittäin kriittisillä tai muilla kriittisillä toimialoilla, ja erityisesti pk-yrityksiin. Taloudellisia vaikutuksia arvioitaessa olisi tarkasteltava lieventävien toimenpiteiden toteutuskustannuksia, mukaan lukien asiaankuuluvien komponenttien elinkaaren pituus keskeisissä tieto- ja viestintäteknisissä hyödykkeissä silloin, kun toimenpiteisiin sisältyy toimittajien korvaaminen. Markkinoilla olevien vaihtoehtoisten toimittajien saatavuutta olisi myös arvioitava palvelujen jatkuvan tarjonnan varmistamiseksi.

(145)Koska lieventävillä toimenpiteillä voi olla rajoittava vaikutus tavaroiden ja palvelujen kansainväliseen kauppaan, toimenpiteiden olisi oltava oikeasuhteisia ja kohdennettuja, jotta voidaan saavuttaa oikeutettu tavoite varmistaa tieto- ja viestintätekniikan toimitusketjujen kyberturvallisuus direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijatyyppien osalta unionin kansainvälisten velvoitteiden mukaisesti. 

(146)Suuririskisten toimittajien toimittamien komponenttien käyttöön, asennukseen tai muuhun integrointiin keskeisten tieto- ja viestintäteknisten hyödykkeiden toiminnassa voi liittyä riskejä tietojen myöhemmistä siirroista kolmanteen maahan. Riskejä voi aiheutua erityisesti siitä, että kolmannen maan tietosuoja ei ole riittävällä tasolla, esimerkiksi perusoikeuksien, teollis- ja tekijänoikeuksien tai liikesalaisuuksien suojaamiseksi, tai siitä, että tiedot ovat laittomasti saatavilla ja niitä hyödynnetään mahdollisia tulevia toimitusketjun häiriöitä ja teollisuusvakoilutarkoituksia varten. Tällaisten riskien lieventämiseksi voidaan soveltaa rajoituksia, jotka liittyvät tietyntyyppisten tietojen siirtämiseen kolmansiin maihin. 

(147)Direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijoiden käyttämien laitteiden monimuotoisuuden puutteesta aiheutuu merkittäviä haavoittuvuuksia. Yhteen toimittajaan tukeutuminen luo riippuvuuden tiettyihin laitteisiin tai ratkaisuihin. Toimittajien monimuotoisuuden puute lisää kriittisen infrastruktuurin yleistä haavoittuvuutta erityisesti silloin, kun toimijat hankkivat arkaluonteisissa tieto- ja viestintäteknisissä hyödykkeissä käytettäviä tieto- ja viestintäteknisiä komponentteja toimittajalta, johon liittyy suuri riski. Riippuvuus vaikuttaa merkittävästi myös kansalliseen ja unionin laajuiseen häiriönsietokykyyn ja luo yksittäisiä pisteitä, joiden toimintahäiriö keskeyttää koko palvelun. Tällaisten riskien lieventämiseksi voidaan soveltaa vaatimuksia, joiden mukaan tietyille keskeisille tieto- ja viestintäteknisille hyödykkeille on oltava useampi kuin yksi toimittaja.

(148)Myös unionin toimijat voivat käyttää tässä asetuksessa määriteltyjä keskeisiä hyödykkeitä. Sen vuoksi myös niihin olisi sovellettava tässä asetuksessa vahvistettuja tieto- ja viestintätekniikan toimitusketjun turvallisuutta koskevia sääntöjä. Kun toteutetaan koordinoituja turvallisuusriskien arviointeja unionin tasolla, unionin toimijoiden erityispiirteiden huomioon ottamiseksi on tärkeää huomioida tieto- ja viestintätekniikan toimitusketjuista unionin toimijoille aiheutuvat muut kuin tekniset riskit.

(149)Poikkeuksellisissa olosuhteissa, jotka oikeuttavat välittömän toimenpiteen sisämarkkinoiden moitteettoman toiminnan säilyttämiseksi, ja kun on selkeää näyttöä, joka antaa komissiolle riittävän syyn katsoa, että tietyn toimittajan tieto- ja viestintäteknisten komponenttien tai tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien käyttö muodostaa merkittävän kyberturvallisuusuhkan vähintään kolmen jäsenvaltion taloudelliselle tai yhteiskunnalliselle toiminnalle, komissio voi tiiviissä yhteistyössä jäsenvaltioiden kanssa ehdottaa, että kielletään tällaisen toimittajan komponenttien käyttö, asennus tai integrointi direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijatyyppien osalta. 

(150)Sovellettujen toimenpiteiden oikeasuhteisuuden varmistamiseksi toimijat, jotka ovat sijoittautuneet kolmanteen maahan, joka on tämän asetuksen mukaisesti nimetty kyberturvallisuushaasteita aiheuttavaksi, tai toimijat, jotka ovat tällaisen kolmannen maan, tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa, voivat hakea vapautusta kiellosta toimittaa direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetuille toimijatyypeille tieto- ja viestintäteknisiä komponentteja tai tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja, joita käytetään kyseisten toimijoiden keskeisissä tieto- ja viestintäteknisissä hyödykkeissä, sekä kiellosta osallistua hankintamenettelyihin, jotka järjestetään Euroopan parlamentin ja neuvoston direktiivit 2014/24/EU 67 ja 2014/25/EU 68  kansalliseen lainsäädäntöön vievän lainsäädännön mukaisesti, siltä osin kuin kyse on tieto- ja viestintäteknisten komponenttien tai tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamisesta käytettäväksi keskeisiksi määritellyissä tieto- ja viestintäteknisissä hyödykkeissä. Tätä varten toimijan olisi esitettävä selkeää näyttöä siitä, että se soveltaa tuloksellisia toimenpiteitä muiden kuin teknisten riskien hallitsemiseksi ja varmistaa, ettei kolmannella maalla, joka aiheuttaa kyberturvallisuushaasteita, ole mahdollisuutta aiheettomaan sekaantumiseen toimintaan.

(151)Sähköiset viestintäverkot muodostavat selkärangan monenlaisille palveluille, jotka ovat sisämarkkinoiden toiminnan ja elintärkeiden yhteiskunnallisten ja taloudellisten toimintojen ylläpidon ja toiminnan kannalta olennaisia, kuten energia-, liikenne-, pankki-, terveys- ja puolustusala sekä teollisuuden ohjausjärjestelmät. Näin ollen nämä erittäin kriittiset verkot ovat houkuttelevia kohteita kaikenlaisille kyberhyökkäyksille ja hybridiuhkille, häiriöille, teollisuusvakoilulle, tiedustelulle sekä petoksille ja talousrikollisuudelle. Verkko- ja tietoturva-alan yhteistyöryhmän riskinarvioinnissa Euroopan viestintäinfrastruktuurien ja -verkkojen kyberturvallisuudesta ja häiriönsietokyvystä tunnistettiin useita unionin näkökulmasta strategisesti merkittäviä riskejä ja uhkia, kuten wiper-haittaohjelma- ja kiristyshaittaohjelmahyökkäykset, toimitusketjuhyökkäykset, verkkotunkeutumiset sekä hajautetut palvelunestohyökkäykset.

(152)Kun otetaan huomioon eri kansallisten sähköisten viestintäverkkojen keskinäinen yhteenliitettävyys ja keskinäinen riippuvuus, on tarpeen, että kaikki jäsenvaltiot toteuttavat asianmukaisia toimenpiteitä verkkojensa turvallisuuden varmistamiseksi. Samoista syistä unionin tasolla tarvitaan tehokas oikeudellinen kehys, jossa käsitellään myös muita kuin teknisiä riskejä ja varmistetaan yhteenliitettyjen sähköisten viestintäverkkojen turvallisuus kattavasti.

(153)Erityisesti 5G-verkkojen kyberturvallisuus on unionille strategisesti tärkeä kysymys, sillä nämä verkot muodostavat selkärangan monille sisämarkkinoiden toiminnan kannalta olennaisille palveluille ja ovat keskeisiä myös EU:n puolustusvalmiuden kehittämisessä, mukaan lukien sotilaallisen liikkuvuuden kannalta. 5G-verkoilla pystytään tarjoamaan luotettavia ja erittäin nopeita yhteyksiä esimerkiksi datan ja tietojen jakamiseen, droonien havaitsemiseen sekä reaaliaikaiseen taistelukenttien koordinointiin.

(154)5G:n käyttöönotto perustuu pääasiassa aiemmasta teknologiasta riippuvaisiin verkkoihin, joissa vain radioliityntäverkko päivitetään 5G-teknologiaan, kun taas muu verkko tukeutuu edelleen olemassa olevaan 4G-ydinverkkoon. Aiemmasta teknologiasta riippuvaiset 5G-verkot rakentuvat ensisijaisesti jo käytössä olevan infrastruktuurin varaan, mikä tarkoittaa, että tulevien 5G-verkkojen turvallisuus määräytyy tietyssä määrin jo käytössä olevien verkkolaitteiden ja niiden kokoonpanon perusteella. Sen vuoksi lieventävien toimenpiteiden olisi katettava myös ne 4G-verkot, joihin 5G:n käyttöönotto perustuu.

(155)Vastatakseen 5G-verkkoihin liittyviin merkittäviin turvallisuushaasteisiin jäsenvaltiot toteuttivat verkko- ja tietoturva-alan yhteistyöryhmässä yhdessä komission ja ENISAn kanssa unionin tason koordinoidun 5G-verkkojen turvallisuusriskien arvioinnin, jossa tarkasteltiin sekä teknisiä että muita kuin teknisiä riskejä. Arvioinnissa tunnistettiin useita riskejä, mukaan lukien mahdollinen kolmansien maiden tai kolmansien maiden toimijoiden vaikutus toimitusketjun kautta, ja hyödykkeet luokiteltiin niiden kriittisyyden perusteella. Tätä arviointia olisi pidettävä perustana määritettäessä 5G-viestintäverkkojen keskeisiä tieto- ja viestintäteknisiä hyödykkeitä.

(156)Unionin tason koordinoidussa 5G-verkkojen turvallisuusriskien arvioinnissa tunnistettujen riskien lieventämiseksi verkko- ja tietoturva-alan yhteistyöryhmä hyväksyi EU:n 5G-kyberturvallisuusvälineistön, jossa esitetään strategisia ja teknisiä toimenpiteitä. Vaikka useimmilla jäsenvaltioilla on oikeudelliset kehykset, jotka mahdollistavat suuririskisten toimittajien rajoittamisen tai poissulkemisen 5G-välineistössä suositellulla tavalla, näiden kehysten täytäntöönpano ei ole ollut yhdenmukaista. Tämän seurauksena unionissa on edelleen huomattava määrä 5G-kohteita, joiden toimittajina toimii suuririskisiä toimittajia, kuten komission tiedonannossa 5G-välineistön täytäntöönpanosta 69 todetaan. Tämä tilanne aiheuttaa haavoittuvuuksia, kuten strategista riippuvuutta ja mahdollista altistumista kolmansien maiden häirintäyrityksille, mikä voi vaikuttaa myös tulevaan 6G-infrastruktuuriin, joka rakennetaan olemassa olevien 5G-verkkojen varaan. 5G-välineistössä suositeltujen toimenpiteiden hajanaisen täytäntöönpanon, erityisesti suuririskisiin toimittajiin kohdistuvien rajoitusten laajuuden osalta, seurauksena jäsenvaltioiden välille on syntynyt eroja, mikä johtaa epätasa-arvoisiin toimintaedellytyksiin, jakaa sisämarkkinoita ja heikentää verkkojen yleistä turvallisuutta. Euroopan tilintarkastustuomioistuin on korostanut näitä eroavaisuuksia ja varoittanut, että koordinoidun lähestymistavan puuttuminen heikentää sisämarkkinoiden toimintaa. Pysyvä riippuvuus suuririskisistä toimittajista aiheuttaa vakavia riskejä unionin kriittisen infrastruktuurin turvallisuudelle ja voi heikentää luottamusta sisämarkkinoihin, sillä vaihtelevat turvallisuustasot voivat haitata kuluttajien ja yritysten luottamusta 5G-verkkoihin perustuviin tuotteisiin ja palveluihin kaikkialla unionissa. Sen vuoksi on olennaisen tärkeää toteuttaa unionin tason toimenpiteitä 5G-verkkojen turvallisuutta koskevan yhdenmukaisen lähestymistavan varmistamiseksi.

(157)Jotta kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen kyseisten keskeisten tieto- ja viestintäteknisten hyödykkeiden asteittaisen poiston aikataulutus voidaan vahvistaa, komission olisi suoritettava arviointi ottaen asianmukaisesti huomioon kuhunkin kiinteiden ja satelliittipohjaisten verkkojen keskeiseen tieto- ja viestintätekniseen hyödykkeeseen liittyvien turvallisuusriskien taso, asiaankuuluvien komponenttien käyttöikä sekä se taloudellinen vaikutus, joka näiden komponenttien poistamisella olisi asianomaisiin operaattoreihin. Arvioinnin tulosten perusteella komissio voi harkita erilaisten asteittaisten poistokausien vahvistamista tiettyjen keskeisten tieto- ja viestintäteknisten hyödykkeiden ja niiden olennaisten elementtien osalta.

(158)Jotta matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajia koskevien velvoitteiden tehokas valvonta ja täytäntöönpano voidaan varmistaa, tämän ehdotuksen mukaisten toimivaltaisten viranomaisten olisi varmistettava tiivis yhteistyö [digiverkkosäädösehdotuksen] mukaisten toimivaltaisten viranomaisten kanssa. Tämän asetuksen mukaisesti nimetyn toimivaltaisen viranomaisen pyynnöstä kansallisten sääntelyviranomaisten tai tarvittaessa muiden radiotaajuuksista vastaavien toimivaltaisten viranomaisten olisi peruutettava [digiverkkosäädösehdotuksen] 9 ja 20 artiklassa tarkoitetut oikeudet, jos yleisten sähköisten viestintäverkkojen tarjoaja ei noudata tämän asetuksen mukaisia velvoitteita, myös jos tarjoaja ei poista asteittain käytöstä suuririskisten toimittajien tieto- ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja keskeisten tieto- ja viestintäteknisten hyödykkeiden toiminnassa tämän asetuksen mukaisesti määritellyssä määräajassa.

(159)Kansallisten hallintorakenteiden eroavaisuudet huomioon ottaen jäsenvaltioiden olisi nimettävä tai perustettava yksi tai useampi toimivaltainen viranomainen, joka vastaa tämän asetuksen mukaisista valvonta- ja täytäntöönpanotoimenpiteistä.

(160)Toimivaltaisten viranomaisten olisi tuettava direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuja toimijatyyppejä niiden tämän asetuksen mukaisten velvoitteiden noudattamisessa. Tätä varten komission olisi arvioitava, ovatko toimittajat, joihin erityiset kiellot voivat vaikuttaa, sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai ovatko ne tällaisen kolmannen maan tai tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa. Toimivaltaisten viranomaisten olisi tehtävä tiivistä yhteistyötä komission ja muiden tämän asetuksen nojalla perustettuun verkostoon kuuluvien toimivaltaisten viranomaisten kanssa. Toimivaltaisten viranomaisten olisi komission arvioinnin perusteella jaettava asiaankuuluvia tietoja suuririskisistä toimittajista direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijoiden kanssa. Toimijoilta ei edellytetä sen varmistamista, onko toimittaja ulkomaisen määräysvallan alainen, vaan ne voivat tukeutua täysin toimivaltaisilta viranomaisilta saamiinsa tietoihin. Toimivaltaisten viranomaisten olisi varmistettava, ettei kyseisille toimijoille aiheudu tarpeetonta hallinnollista rasitetta. 

(161)Tehokkaan vaatimustenmukaisuuden noudattamisen varmistamiseksi tässä asetuksessa olisi säädettävä valvonta- ja täytäntöönpanotoimenpiteistä, joiden avulla toimivaltaiset viranomaiset voivat valvoa direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuja toimijoita. Jos toimivaltaiset viranomaiset suorittavat kyseisiin toimijoihin liittyviä valvonta- ja täytäntöönpanotehtäviään, ne eivät saisi ylittää sitä, mikä on tarpeen ja oikeasuhteista tunnistettuihin riskeihin nähden.

(162)Jotta täytäntöönpano olisi tehokasta ja johdonmukaista koko unionissa, on tarpeen säätää täytäntöönpanovaltuuksista, joita toimivaltaiset viranomaiset voivat käyttää tämän asetuksen mukaisten velvoitteiden rikkomisen yhteydessä. Käyttäessään näitä täytäntöönpanovaltuuksia toimivaltaisten viranomaisten olisi otettava asianmukaisesti huomioon useita tekijöitä, kuten rikkomuksen luonne, vakavuus ja kesto, aiheutunut aineellinen tai aineeton vahinko, se, oliko rikkomus tahallinen vai huolimattomuudesta johtuva, toimet, joilla pyrittiin ehkäisemään tai lieventämään vahinkoa, vastuun aste tai mahdolliset aiemmat rikkomukset, yhteistyön aste toimivaltaisen viranomaisen kanssa sekä muut raskauttavat tai lieventävät tekijät. Täytäntöönpanotoimenpiteiden, mukaan lukien seuraamusten, olisi oltava oikeasuhteisia, ja niiden määräämiseen olisi sovellettava asianmukaisia menettelyllisiä takeita unionin oikeuden yleisten periaatteiden ja Euroopan unionin perusoikeuskirjan mukaisesti, mukaan lukien oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin, syyttömyysolettama sekä puolustautumisoikeudet.

(163)On tärkeää säätää myös mahdollisuudesta määrätä uhkasakkoja, jotta direktiivin (EU) 2022/2555 liitteessä I tai II tarkoitettu toimija saadaan lopettamaan tämän asetuksen rikkominen toimivaltaisen viranomaisen aiemman päätöksen mukaisesti.

(164) Tässä asetuksessa säädettyjen velvoitteiden tehokkaan täytäntöönpanon varmistamiseksi kullakin toimivaltaisella viranomaisella olisi oltava valtuudet määrätä tai pyytää määräämään seuraamuksia.

(165)Jos seuraamus määrätään direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetulle toimijalle, joka on yritys, yritys olisi ymmärrettävä SEUT-sopimuksen 101 ja 102 artiklan mukaiseksi yritykseksi. Jos sakko määrätään henkilölle, joka ei ole yritys, toimivaltaisen viranomaisen olisi otettava sakon sopivan määrän harkinnassa huomioon jäsenvaltion yleinen tulotaso ja asianomaisen henkilön taloudellinen tilanne. Olisi oltava jäsenvaltioiden vastuulla määrittää, onko viranomaisille määrättävä seuraamuksia ja missä määrin. Seuraamuksen määrääminen ei saisi vaikuttaa toimivaltaisten viranomaisten muiden toimivaltuuksien soveltamiseen.

(166)Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa, jotta se voi antaa täytäntöönpanosäädöksiä seuraavasti: täytäntöönpanosäädöksiä ENISAn perimien maksujen yksityiskohtaisten sääntöjen vahvistamisesta, täytäntöönpanosäädöksiä eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä tieto- ja viestintäteknisille tuotteille, palveluille tai prosesseille taikka tietoturvapalveluille tai toimijoiden kyberturvatasolle, täytäntöönpanosäädöksiä eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien yhteisistä periaatteista ja viitesäännöistä, täytäntöönpanosäädöksiä ennakkohyväksyntää tai yleisiä delegointimalleja koskevista menettelyistä, täytäntöönpanosäädöksiä kolmannen maan tai kansainvälisen organisaation kyberturvallisuussertifikaattien tunnustamisesta eurooppalaisia kyberturvallisuussertifikaatteja vastaaviksi, täytäntöönpanosäädöksiä vertaisarviointisuunnitelmasta, täytäntöönpanosäädöksiä vaatimustenmukaisuuden arviointilaitosten valtuuttamista koskevien menettelyjen vahvistamisesta, mukaan lukien rajat ylittävät menettelyt, täytäntöönpanosäädöksiä vaatimustenmukaisuuden arviointilaitosten ilmoituksiin liittyvien olosuhteiden, muotoseikkojen ja menettelyjen vahvistamisesta, täytäntöönpanosäädöksiä kolmannen maan nimeämisestä tieto- ja viestintätekniikan toimitusketjujen kyberturvallisuushaasteita aiheuttavaksi maaksi, täytäntöönpanosäädöksiä direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijatyyppien tuotteiden valmistuksessa tai niiden palvelujen tarjoamisessa käytettävien keskeisten tieto- ja viestintäteknisten hyödykkeiden määrittelystä, täytäntöönpanosäädöksiä, joilla vahvistetaan, että erittäin kriittisellä toimialalla ja muilla kriittisillä toimialoilla toimiviin toimijoihin sovelletaan erityisiä lieventäviä toimenpiteitä, ja joissa täsmennetään määräajat suuririskisten toimittajien toimittamien tieto- ja viestintäteknisten komponenttien tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaiselle käytöstä poistamiselle, täytäntöönpanosäädöksiä kiellosta myönnettävän vapautuksen edellytysten tarkentamisesta toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa, sekä täytäntöönpanosäädöksiä, joissa vahvistetaan komission perimiä maksuja koskevat yksityiskohtaiset säännöt. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 mukaisesti, ja tarkastelumenettelyä olisi käytettävä. Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovalta myös sellaisten suuririskisten toimittajien luettelon laatimiseksi, jotka ovat merkityksellisiä tiettyjen tässä asetuksessa säädettyjen toimenpiteiden kannalta.

(167)Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien on heijastettava uusinta teknologista kehitystä ja siihen liittyviä uhkia sekä unionin uuden lainsäädännön hyväksymistä, jossa vahvistetaan vaatimustenmukaisuuden osoittaminen ja vaatimustenmukaisuusolettama eurooppalaisen kyberturvallisuussertifioinnin avulla kyseisen lainsäädännön asiaankuuluvien kyberturvallisuusvaatimusten kanssa. Näistä syistä komissiolle olisi siirrettävä SEUT-sopimuksen 290 artiklan mukainen valta antaa säädöksiä, joilla täydennetään tai muutetaan eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä tavoiteltuja turvallisuustavoitteita. Samoin luotettavien tieto- ja viestintätekniikan toimitusketjujen kehyksen luomiseksi komissiolle olisi siirrettävä SEUT-sopimuksen 290 artiklan mukainen valta antaa säädöksiä, jotta voidaan muuttaa tämän asetuksen liitettä II sen mukauttamiseksi teknologiseen kehitykseen. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle olisi toimitettava kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla olisi oltava järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

(168)ENISAn toimintaa olisi arvioitava säännöllisesti ja riippumattomasti. Arvioinnissa olisi otettava huomioon ENISAn tavoitteet sekä sen tehtävien merkityksellisyys, erityisesti ne tehtävät, jotka liittyvät operatiiviseen yhteistyöhön unionin tasolla. Uudelleentarkastelun yhteydessä komission olisi arvioitava, miten ENISAn roolia neuvonnan ja asiantuntemuksen viitetahona voidaan vahvistaa.

(169)Komission täytäntöönpanoasetuksessa (EU) 2024/482 vahvistetaan yhteisiin kriteereihin perustuvan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän (EUCC) hyväksymistä koskevat säännöt. EUCC on ensimmäinen ja ainoa asetuksen (EU) 2019/881 nojalla hyväksytty eurooppalainen kyberturvallisuuden sertifiointijärjestelmä. Se koskee tieto- ja viestintäteknisten tuotteiden sertifiointia, mukaan lukien tuotteet, jotka kuuluvat tekniikan osa-alueisiin ”älykortit ja vastaavat laitteet” ja ”tietoturvaboksilla varustetut laitteet” sekä suojausprofiileja (tieto- ja viestintäteknisinä prosesseina). Sen vuoksi on tarpeen varmistaa sertifiointitoiminnan sekä viraston toiminnan jatkuminen.

(170)Euroopan tietosuojavaltuutettua ja Euroopan tietosuojaneuvostoa on kuultu asetuksen (EU) 2018/1725 70 42 artiklan 2 kohdan mukaisesti, ja ne ovat antaneet yhteisen lausuntonsa [päivämäärä].

(171)Asetus (EU) 2019/881 olisi kumottava.

(172)Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteita, vaan ne voidaan toiminnan laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi,

OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN

I OSASTO 
YLEISET SÄÄNNÖKSET

1 artikla
Kohde ja soveltamisala

1.Tässä asetuksessa vahvistetaan

a)Euroopan unionin kyberturvallisuusvirasto ENISAn tehtävä, tavoitteet, toimet ja organisatoriset näkökohdat,

b)kehys eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien perustamista varten, jotta voidaan varmistaa tieto- ja viestintäteknisille tuotteille, palveluille ja prosesseille sekä tietoturvapalveluille ja toimijoiden kyberturvatasolle riittävä kyberturvallisuuden taso unionissa sekä välttää sisämarkkinoiden hajautuminen unionissa kyberturvallisuuden sertifiointijärjestelmien osalta ja

c)kehys luotettavia tieto- ja viestintätekniikan toimitusketjuja varten.

2.Edellä 1 kohdan b alakohdassa tarkoitettu kehys ei rajoita unionin muissa säädöksissä vahvistettujen vapaaehtoista tai pakollista sertifiointia koskevien erityissäännösten soveltamista.

3.Edellä 1 kohdan c alakohdassa tarkoitettua kehystä sovelletaan direktiivin (EU) 2022/2555 liitteessä I tai II tarkoitettuihin julkisiin tai yksityisiin toimijoihin, jotka tarjoavat palvelujaan tai harjoittavat toimintaansa unionissa.

4.Tämä asetus ei vaikuta jäsenvaltioiden keskeisiin valtiollisiin tehtäviin, kuten valtion alueellisen koskemattomuuden varmistamiseen, yleisen järjestyksen ylläpitämiseen ja kansallisen turvallisuuden turvaamiseen. Kansallinen turvallisuus pysyy yksinomaan kunkin jäsenvaltion vastuulla.

2 artikla
Määritelmät

Tässä asetuksessa tarkoitetaan:

1)’kyberturvallisuudella’ toimia, joita tarvitaan verkko- ja tietojärjestelmien, tällaisten järjestelmien käyttäjien ja muiden henkilöiden, joihin kyberuhat vaikuttavat, suojaamiseksi;

2)’unionin toimijoilla’ asetuksen (EU, Euratom) 2023/2841 3 artiklan 1 alakohdassa määriteltyjä unionin toimijoita;

3)’valtuutetulla todistuksen tarjoajalla’ julkista tai yksityistä toimijaa, jonka ENISA on päätöksellään valtuuttanut myöntämään yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistuksia yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän mukaisesti;

4)’yksilöllisiä kyberturvallisuustaitoja koskevalla eurooppalaisella todistuksella’ digitaalisessa tai fyysisessä muodossa olevaa todistusta siitä, että henkilö tuntee, ymmärtää ja kykenee suorittamaan Euroopan kyberturvallisuustaitojen kehykseen kuuluvaan tehtäväprofiiliin tai sen osaan liittyvät tehtävät yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän mukaisen arvioinnin perusteella;

5)’yksilöllisiä kyberturvallisuustaitoja koskevalla eurooppalaisella todistusjärjestelmällä’ ENISAn vahvistamaa kattavaa sellaisten sääntöjen, vaatimusten, standardien ja menettelyjen kokonaisuutta, joka liittyy Euroopan kyberturvallisuustaitojen kehykseen kuuluvaan tehtäväprofiiliin tai sen osaan ja jota sovelletaan valtuutettuihin todistuksen tarjoajiin ja jota valtuutetut todistuksen tarjoajat soveltavat;

6)’verkko- ja tietojärjestelmällä’ direktiivin (EU) 2022/2555 6 artiklan 1 alakohdassa määriteltyä verkko- ja tietojärjestelmää;

7)’kansallisella kyberturvallisuusstrategialla’ direktiivin (EU) 2022/2555 6 artiklan 4 alakohdassa määriteltyä kansallista kyberturvallisuusstrategiaa;

8)’poikkeamalla’ direktiivin (EU) 2022/2555 6 artiklan 6 alakohdassa määriteltyä poikkeamaa;

9)’laajamittaisella kyberturvallisuuspoikkeamalla’ direktiivin (EU) 2022/2555 6 artiklan 7 alakohdassa määriteltyä laajamittaista kyberturvallisuuspoikkeamaa;

10)’poikkeaman käsittelyllä’ direktiivin (EU) 2022/2555 6 artiklan 8 alakohdassa määriteltyä poikkeaman käsittelyä;

11)’kyberuhalla’ potentiaalista tilannetta, tapahtumaa tai toimintaa, joka voi vahingoittaa tai häiritä verkko- ja tietojärjestelmiä, tällaisten järjestelmien käyttäjiä ja muita henkilöitä tai muulla tavoin vaikuttaa näihin haitallisesti;

12)’eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä’ unionin tasolla vahvistettua kattavaa sellaisten sääntöjen, teknisten vaatimusten, standardien ja menettelyjen muodostamaa kokonaisuutta, jota sovelletaan tiettyjen tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai toimijoiden kyberturvatason sertifiointiin tai vaatimustenmukaisuuden arviointiin;

13)’kansallisella kyberturvallisuuden sertifiointijärjestelmällä’ kansallisen viranomaisen kehittämää ja käyttöön ottamaa kattavaa sellaisten sääntöjen, teknisten vaatimusten, standardien ja menettelyjen kokonaisuutta, joita sovelletaan kyseisen järjestelmän kattamien tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai toimijoiden kyberturvatason sertifiointiin tai vaatimustenmukaisuuden arviointiin;

14)’eurooppalaisella kyberturvallisuussertifikaatilla’ asiaankuuluvan elimen myöntämää asiakirjaa, jolla todistetaan, että tietty tieto- ja viestintätekninen tuote, palvelu tai prosessi taikka tietoturvapalvelu tai toimijan kyberturvataso on arvioitu eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen turvallisuusvaatimusten mukaiseksi;

15)’EU-vaatimustenmukaisuusilmoituksella’ tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin taikka tietoturvapalvelun valmistajan tai tarjoajan taikka toimijan, johon sovelletaan kyberturvatason sertifiointia, antamaa asiakirjaa, jossa todetaan, että eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän varmuustasoa ”perustaso” vastaavien vaatimusten täyttyminen on osoitettu vaatimustenmukaisuuden itsearvioinnissa;

16)’tieto- ja viestintäteknisellä tuotteella’ verkko- tai tietojärjestelmän elementtiä tai elementtien ryhmää;

17)’tieto- ja viestintäteknisellä palvelulla’ palvelua, jonka sisältönä on kokonaan tai pääasiassa tiedon välittäminen, tallentaminen, hakeminen tai käsittely verkko- ja tietojärjestelmien avulla;

18)’tieto- ja viestintäteknisellä prosessilla’ toimintaa, jonka tarkoituksena on suunnitella, kehittää, tarjota tai ylläpitää tieto- ja viestintäteknistä tuotetta tai palvelua;

19)’tietoturvapalvelulla’ kolmannelle osapuolelle tarjottavaa palvelua, joka koostuu kyberturvallisuusriskien hallintaan liittyvien toimien, kuten poikkeamien käsittelyn, tunkeutumistestauksen, turvallisuusauditointien ja tekniseen tukeen liittyvän konsultoinnin, myös asiantuntijaneuvonnan, toteuttamisesta tai niissä avustamisesta;

20)’akkreditoinnilla’ asetuksen (EY) N:o 765/2008 2 artiklan 10 alakohdassa määriteltyä akkreditointia;

21)’kansallisella akkreditointielimellä’ asetuksen (EY) N:o 765/2008 2 artiklan 11 alakohdassa määriteltyä kansallista akkreditointielintä;

22)’vaatimustenmukaisuuden arvioinnilla’ asetuksen (EY) N:o 765/2008 2 artiklan 12 alakohdassa määriteltyä vaatimustenmukaisuuden arviointia;

23)’vaatimustenmukaisuuden arviointilaitoksella’ asetuksen (EY) N:o 765/2008 2 artiklan 13 alakohdassa määriteltyä vaatimustenmukaisuuden arviointilaitosta;

24)’standardilla’ Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 71 2 artiklan 1 alakohdassa määriteltyä standardia;

25)’teknisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyä teknistä eritelmää;

26)’yhdenmukaistetulla standardilla’ asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdan c alakohdassa määriteltyä yhdenmukaistettua standardia;

27)’varmuustasolla’ perustaa luottamukselle sen osalta, että tietty tieto- ja viestintätekninen tuote, palvelu tai prosessi taikka tietoturvapalvelu tai toimijan kyberturvataso täyttää tietyn eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaiset turvallisuusvaatimukset ja osoitusta siitä, millä tasolla tieto- ja viestintäteknistä tuotetta, palvelua tai prosessia taikka tietoturvapalvelua tai toimijan kyberturvatasoa on arvioitu mittaamatta kuitenkaan sellaisenaan itse tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin taikka tietoturvapalvelun tai toimijan kyberturvatason turvallisuutta;

28)’vaatimustenmukaisuuden itsearvioinnilla’ tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajan tai tarjoajan taikka toimijan, johon sovelletaan kyberturvatason sertifiointia, toimintaa, jossa arvioidaan sitä, täyttävätkö kyseiset tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvataso tietyn eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän vaatimukset;

29)’toimijoiden kyberturvatasolla’ toimijoiden kyberturvallisuuden tasoa kyseessä olevien turvallisuusvaatimusten osalta;

30)’ennakkohyväksyntämallilla’ mallia, jossa vaatimustenmukaisuuden arviointilaitos voi myöntää eurooppalaisen kyberturvallisuussertifikaatin kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen suorittaman arvioinnin perusteella asiaankuuluvan järjestelmän mukaisen sertifiointiprosessin yhteydessä;

31)’yleisellä delegointimallilla’ mallia, jossa vaatimustenmukaisuuden arviointilaitos voi myöntää eurooppalaisen kyberturvallisuussertifikaatin kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen sille delegoimien sertifiointitoimintojen perusteella;

32)’tietoturvaloukkauksiin reagoivalla ja niitä tutkivalla yksiköllä’ tai ’CSIRT-yksiköllä’ direktiivin (EU) 2022/2555 10 artiklan mukaisesti nimettyä tai perustettua CSIRT-yksikköä;

33)’tieto- ja viestintäteknisillä komponenteilla’ tieto- ja viestintäteknisiä tuotteita, palveluja tai prosesseja, joita voidaan käyttää tieto- ja viestintäteknisten hyödykkeiden toiminnassa;

34)’tieto- ja viestintäteknisillä hyödykkeillä’ ohjelmisto- tai laitteistohyödykkeitä direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetun toimijan käyttämissä verkko- ja tietojärjestelmissä;

35)’keskeisillä tieto- ja viestintäteknisillä hyödykkeillä’ 102 artiklan mukaisesti määriteltyjä tieto- ja viestintäteknisiä hyödykkeitä;

36)’sähköisellä viestintäverkolla’ asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] 2 artiklan 1 kohdassa määriteltyä sähköistä viestintäverkkoa;

37)’määräysvallalla’ kykyä käyttää ratkaisevaa vaikutusvaltaa oikeushenkilöön joko suoraan tai yhden tai useamman muun oikeushenkilön välityksellä;

38)’sijoittautumisella’ toiminnan tosiasiallista harjoittamista pysyvin järjestelyin siinä valtiossa, jossa toimijan keskushallinto tai päätoimipaikka sijaitsee;

39)’suuririskisellä toimittajalla’ jompaakumpaa seuraavista:

a)toimijaa, joka on sijoittautunut 100 artiklan mukaisesti nimettyyn kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai joka on tällaisen kolmannen maan, tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa;

b)jäljempänä 103 artiklan 7 kohdan mukaisesti nimettyä toimijaa ja kyseisen toimijan määräysvallassa olevia toimijoita;

40)’tieto- ja viestintätekniikan toimitusketjulla’ tieto- ja viestintäteknisten palvelujen, tuotteiden ja prosessien kokonaisuutta, joka kattaa toiminnan ja toimijat kaikissa vaiheissa ennen tuotteen saattamista markkinoille tai palvelun toimittamista markkinoille;

41)’kolmannella maalla’ Euroopan parlamentin ja neuvoston asetuksen (EU) 2023/2675 72 3 artiklan 4 kohdassa määriteltyä kolmatta maata; 

42)’muulla kuin teknisellä riskillä’ sen todennäköisyyttä, että toimittaja joutuu kolmannen maan vaikutuksen alaiseksi siten, että seurauksena voi olla tarjotun palvelun menettäminen tai sen häiriintyminen, toimijan valmistaman tuotteen vaarantuminen tai tiedon varastaminen, myös vakoilu- tai tulonhankkimistarkoituksessa;

43)’merkittävällä muulla kuin teknisellä kyberturvallisuusriskillä’ muuta kuin teknistä kyberturvallisuusriskiä, jonka voidaan suurella todennäköisyydellä olettaa aiheuttavan poikkeaman, joka voi aiheuttaa vakavia kielteisiä vaikutuksia, muun muassa aiheuttamalla huomattavia aineellisia tai aineettomia menetyksiä tai häiriöitä;

44)’sähköisten matkaviestinverkkojen ydinverkkotoiminnoilla’ matkaviestinverkon arkkitehtuurin keskeistä elementtiä, joka yhdistää tärkeimmät verkkosolmut internetiin ja hallitsee keskeisiä järjestelmätoimintoja, joihin kuuluvat käyttäjälaitteiden todentaminen, lailliset telekuuntelutoiminnot, suojausyhdyskäytävät verkon reunalla (SeGW), merkinantoturvatoiminnot, verkkovierailun ja istunnon hallinta, käyttäjä- ja ohjaustason tiedonsiirto, käyttöoikeuksien hallinta, verkkopalvelujen rekisteröinti ja valtuuttaminen, loppukäyttäjä- ja verkkotietojen tallentaminen, kriittiset verkkopalvelut, mukaan lukien verkkotunnusjärjestelmä (DNS), yhteenliittäminen kolmansien osapuolten matkaviestinverkkoihin, ydinverkkotoimintojen altistuminen ulkoisille sovelluksille sekä verkon viipaleiden valinta ja hallinta;

45)’sähköisten matkaviestinverkkojen verkkotoimintojen virtualisoinnilla (NFV) ja hallinnan ja verkon orkestroinnilla (MANO)’ ohjelmistokokonaisuutta ja arkkitehtuurikehystä, jolla varmistetaan virtualisoitujen verkkotoimintojen (VNF), pilvinatiivien verkkotoimintojen (CNF) ja verkon viipaleiden valinnan ja ohjauksen elinkaarenaikainen hallinta, orkestrointi ja automaatio sähköisissä matkaviestinverkoissa;

46)’sähköisten matkaviestinverkkojen radioliityntäverkolla (RAN)’ sellaista verkkoa, joka yhdistää matkaviestinverkon käyttäjälaitteet ydinverkkoon ja johon kuuluvat tukiasemat (eNodeB 4G-verkossa ja gNodeB 5G-verkossa), radioetäpäätteet (RRH), kantataajuusyksiköt (BBU), aktiiviset antennijärjestelmät (AAS) sekä tarvittaessa erilliset RAS-komponentit, kuten keskitetyt yksiköt (CU) ja hajautetut yksiköt (DU), ja RAN-verkon älyohjain (RIC);

47)’kiinteiden sähköisten viestintäverkkojen ydinverkkotoiminnoilla’ verkon keskeistä ohjaus- ja hallintaosaa, joka yhdistää tärkeimmät verkkosolmut ja vastaa useista olennaisista toiminnoista, mukaan lukien käyttäjän todentaminen ja valtuutus (AAA), lailliset telekuuntelutoiminnot (LI), verkkotunnusjärjestelmä (DNS) sekä IP-osoitteiden jakamispalvelut (DHCP), käyttöoikeuksien hallinta, loppukäyttäjä- ja verkkotietojen tallentaminen, IP-kytkentä ja -reititys sekä kansainväliset internet-yhdyskäytävät (IIG);

48)’kiinteiden sähköisten viestintäverkkojen verkonhallintajärjestelmällä’ kaikkia keskitettyjä alustoja ja ohjelmistokomponentteja, jotka ovat tarpeen verkon käyttöä, hallinnointia, ylläpitoa ja perustamista (OAM&P) sekä verkkoon liittyvien tietojen seurantaa varten;

49)’kiinteiden sähköisten viestintäverkkojen siirto- ja välitystoiminnoilla’ kaikkia komponentteja, jotka ovat tarpeen verkkoliikenteen kokoamiseksi ja siirtämiseksi runkoyhteyksille, mukaan lukien optiset siirtolaitteet, mikroaaltolinkit sekä merikaapelijärjestelmät, joihin kuuluvat vedenalaiset laitteet sekä merikaapelien päätelaitteet (SLTE) ja rantautumisasemat;

50)’kiinteiden sähköisten viestintäverkkojen liityntäverkolla’ verkkoa, joka yhdistää loppukäyttäjän tilat verkkoliikenteen kokoamistasolle tai ydinverkkoon ja johon kuuluvat kuituverkkojen optinen linjapääte (OLT) ja optinen verkkopääte (ONT), koaksiaalikaapeliverkkojen kaapelimodeemin päätejärjestelmä (CMTS) ja kaapelimodeemit sekä kiinteän langattoman yhteyden komponentit, kun niitä käytetään kiinteän yhteyden korvaajana.

II OSASTO 
EUROOPAN UNIONIN KYBERTURVALLISUUSVIRASTO

I luku 
Tehtävänanto ja tavoitteet

3 artikla
ENISAn tehtävänanto

1.ENISAn tehtävänä on tukea jäsenvaltioita ja unionin toimijoita kyberturvallisuuden, kyberresilienssin ja luottamuksen korkean tason saavuttamisessa unionissa.

2.ENISA toimii kyberturvallisuutta koskevan neuvonnan ja asiantuntemuksen viitetahona jäsenvaltioille sekä muille asiaankuuluville sidosryhmille unionissa.

3.Hoitamalla sille tässä asetuksessa annetut tehtävät ENISA myötävaikuttaa osaltaan sisämarkkinoiden hajanaisuuden vähentämiseen.

4.ENISA hoitaa sille unionin säädöksissä annetut tehtävät.

5.ENISA kehittää omia valmiuksiaan, kuten teknisiä ja henkilöstöön liittyviä valmiuksiaan ja osaamisalueitaan, jotka ovat tarpeen sille tässä asetuksessa osoitettujen tehtävien hoitamiseksi.

4 artikla
ENISAn tavoitteet

1.ENISAsta muodostuu kyberturvallisuuden osaamiskeskus riippumattomuutensa, antamansa neuvonnan, tarjoamansa avun ja tuotostensa tieteellisen ja teknisen laadun, tarjoamansa tiedon, menettelyjensä läpinäkyvyyden, toimintatapojensa sekä tehtäviensä suorittamisessa noudattamansa huolellisuuden ansiosta.

2.ENISA avustaa jäsenvaltioita ja tarvittaessa unionin toimijoita kyberturvallisuuteen liittyvän horisontaalisen ja alakohtaisen unionin politiikan ja lainsäädännön, mukaan lukien markkinavalvontatoimet, täytäntöönpanossa.

3.ENISA tarjoaa asiantuntemustaan ja avustaa komissiota kyberturvallisuuteen liittyvän unionin politiikan ja lainsäädännön kehittämisessä.

4.ENISA tukee valmiuksien kehittämistä ja varautumista koko unionissa avustamalla jäsenvaltioita, asetuksen (EU, Euratom) 2023/2841 IV luvussa tarkoitetun unionin toimielinten, elinten, toimistojen ja virastojen kyberturvallisuuspalvelun (CERT-EU) välityksellä unionin toimijoita ja julkisia ja yksityisiä sidosryhmiä niiden verkko- ja tietojärjestelmien suojan parantamisessa sekä kyberresilienssin ja reagointivalmiuksien kehittämisessä ja parantamisessa.

5.ENISA edistää kyberturvallisuusakatemian toteutusta ja kyberturvallisuushenkilöstön määrän kasvua unionissa tukemalla pyrkimyksiä kehittää taitojen siirrettävyyttä unionissa muun muassa ylläpitämällä Euroopan kyberturvallisuustaitojen kehystä ja edistämällä sen käyttöä, sekä kehittämällä ja ylläpitämällä yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä ja edistämällä niiden käyttöä tämän osaston II luvun 4 jakson mukaisesti sekä varmistamalla koulutustarjonnan 6 artiklan 8 kohdan mukaisesti.

6.ENISA edistää yhteistyötä, kuten tietojen jakamista ja koordinointia, unionin tasolla jäsenvaltioiden, asetuksen (EU, Euratom) 2023/2841 mukaisten unionin toimijoiden sekä asiaankuuluvien yksityisten ja julkisten sidosryhmien välillä kyberturvallisuuteen liittyvissä asioissa.

7.ENISA edesauttaa kyberturvallisuusvalmiuksien lisäämistä unionin tasolla jäsenvaltioiden toimien tukemiseksi kyberuhkien ehkäisemisessä ja niihin vastaamisessa.

8.ENISA tukee operatiivista yhteistyötä unionin tasolla muun muassa osallistumalla kyberuhkia ja poikkeamia koskevan yhteisen tilannekuvan luomiseen jäsenvaltioiden välillä sekä yhteistyössä CERT-EU:n kanssa unionin toimijoiden välillä.

9.ENISA tekee tiivistä yhteistyötä Europolin, CSIRT-yksiköiden ja muiden asiaankuuluvien kansallisten viranomaisten kanssa kyberturvallisuuteen liittyvän varautumisen ja kiristyshaittaohjelmapoikkeamien torjunnan parantamiseksi.

10.ENISA osallistuu eurooppalaisen kyberturvallisuuden sertifiointikehyksen perustamiseen ja ylläpitoon tämän asetuksen III osaston mukaisesti. ENISA edistää eurooppalaisen kyberturvallisuuden sertifioinnin käyttöä sisämarkkinoiden pirstaloitumisen välttämiseksi.

11.ENISA edesauttaa digitaalialan sisämarkkinoiden yhdenmukaistamista osallistumalla unionin kyberturvallisuuteen liittyvien politiikkojen kannalta merkitykselliseen standardointityöhön ja kehittämällä teknisiä eritelmiä.

12.ENISA edistää korkeaa kyberturvallisuustietoisuuden tasoa organisaatioiden ja yritysten keskuudessa.

II luku 
Tehtävät

1 jakso 
Unionin politiikan ja lainsäädännön täytäntöönpanon tukeminen

5 artikla
Unionin politiikan ja lainsäädännön täytäntöönpanon tukeminen

1.ENISA edistää unionin politiikan ja lainsäädännön täytäntöönpanoa tehtävänään

a)auttaa jäsenvaltioita panemaan johdonmukaisesti täytäntöön unionin kyberturvallisuuspolitiikkaa ja -lainsäädäntöä muun muassa laatimalla teknisiä ohjeita ja raportteja, neuvomalla ja jakamalla parhaita käytäntöjä sekä helpottamalla parhaiden käytäntöjen vaihtoa toimivaltaisten viranomaisten välillä tältä osin;

b)tukea tietojenvaihtoa toimialojen sisällä ja niiden välillä, erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltujen toimialojen ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvien digitaalisia elementtejä sisältävien tuotteiden osalta, laatimalla parhaita käytäntöjä ja ohjeita käytettävissä olevista välineistä ja menettelyistä;

c)avustaa jäsenvaltioita komission pyynnöstä tarjoamalla tukea, kuten teknistä neuvontaa, joka koskee muun muassa kyberturvallisuuden riskinhallintatoimenpiteitä, kyberturvallisuuden kehitystason arviointivälineitä ja poikkeamiin reagointia koskevia toimintaohjeita, jotka on räätälöity direktiivin (EU) 2022/2555 liitteissä I ja II luetelluille toimialoille, sekä tukea asetuksen (EU) 2024/2847 mukaisia digitaalisia elementtejä sisältävien tuotteiden turvallisen suunnittelun periaatteiden täytäntöönpanoon, kyberturvallisuuden kehitystason parantamisen ja kyberturvallisuutta koskevan unionin lainsäädännön noudattamisen helpottamiseksi;

d)osallistua direktiivin (EU) 2022/2555 14 artiklan 1 kohdan nojalla perustetun verkko- ja tietoturva-alan yhteistyöryhmän, asetuksen (EU) N:o 910/2014 46 e artiklan 1 kohdan nojalla perustetun eurooppalaisen digitaalisen identiteetin yhteistyöryhmän, tämän asetuksen 90 artiklassa tarkoitetun Euroopan kyberturvallisuuden sertifiointiryhmän sekä asetuksen (EU) 2024/2847 52 artiklan 15 kohdan nojalla perustetun hallinnollisen yhteistyön ryhmän (ADCO) työhön;

e)auttaa jäsenvaltioita sekä asianomaisia unionin toimijoita sellaisten kybertuvallisuuspolitiikkojen laatimisessa ja edistämisessä, joilla tuetaan avoimen internetin julkisen ytimen yleistä saatavuutta ja eheyttä;

f)antaa asetuksen (EU) 2024/2847 mukaisesti jäsenvaltioille ja komissiolle teknistä neuvontaa ja tukea kyseisen asetuksen täytäntöönpanoon liittyvissä asioissa;

g)avustaa jäsenvaltioita keskinäisen avunannon toteuttamisessa ja helpottaa tällaisia yhteistyömenettelyjä keskeisten ja tärkeiden toimijoiden osalta [direktiivin (EU) 2022/2555 37 a artiklan] mukaisesti;

h)antaa Euroopan tietosuojaneuvoston pyynnöstä neuvoja tietosuojaan ja yksityisyyteen liittyvän unionin politiikan ja lainsäädännön yksittäisten kyberturvallisuusnäkökohtien täytäntöönpanosta.

2.ENISA osallistuu koordinoituihin unionin tason kyberturvallisuusriskien arviointeihin, mukaan lukien direktiivin (EU) 2022/2555 22 artiklan nojalla tehtävät arvioinnit.

3.ENISA antaa ohjeita tietojen jakamisessa käytettävien verkko- ja tietojärjestelmien yhteentoimivuudesta, myös asetuksen (EU) 2025/38 6 artiklan 3 kohdassa tarkoitettujen, rajojen yli toimivien kyberkeskittymien osalta.

4.ENISA on direktiivin (EU) 2022/2555 14 artiklan 3 kohdan nojalla verkko- ja tietoturva-alan yhteistyöryhmän jäsen.

5.Komission pyynnöstä ENISA tarjoaa yksittäisiin kyberturvallisuuskysymyksiin liittyen asiantuntemusta, teknisiä neuvoja, tietoja tai analyyseja tai tekee valmistelutyötä komission päätöksentekoa ja unionin lainsäädännön täytäntöönpanon seurantaa varten.

6 artikla
Valmiuksien kehittäminen

ENISA avustaa

1)jäsenvaltioita tarjoamalla tietoa ja asiantuntemusta niiden pyrkiessä parantamaan kyberuhkien ja poikkeamien ennaltaehkäisyä, havaitsemista, analysointia ja valmiuksia reagoida niihin;

2)pyynnöstä jäsenvaltioita niiden laatiessa ja toteuttaessa haavoittuvuuksien julkistamisperiaatteita vapaaehtoisuuden pohjalta;

3)asetuksen (EU, Euratom) 2023/2841 mukaisesti CERT-EU:ta ja toimielinten välistä kyberturvallisuuslautakuntaa pyrkimyksissä auttaa unionin toimijoita vahvistamaan kyberturvallisuuttaan, parantamaan kyberuhkien ja poikkeamien ennaltaehkäisyä, havaitsemista, analysointia ja valmiuksia reagoida niihin;

4)jäsenvaltioita kansallisten CSIRT-yksiköiden toiminnan kehittämisessä, jos ne sitä direktiivin (EU) 2022/2555 10 artiklan 10 kohdan nojalla pyytävät;

5)jäsenvaltioita niiden kehittäessä tai päivittäessä kansallista kyberturvallisuusstrategiaansa ja keskeisiä suorituskyvyn indikaattoreita strategian arviointia varten, jos ne tätä pyytävät direktiivin (EU) 2022/2555 7 artiklan 4 kohdan nojalla, lisäten tiedonvaihtoa tällaisista strategioista sekä seuraten niiden toteuttamisen edistymistä unionissa parhaiden käytäntöjen edistämiseksi;

6)pyynnöstä unionin toimielimiä niiden kehittäessä ja tarkastellessa uudelleen unionin strategioita kyberturvallisuuden alalla lisäten tiedonvaihtoa niistä ja seuraamalla niiden toteuttamisen edistymistä;

7)kansallisia CSIRT-yksiköitä niiden valmiuksien parantamisessa muun muassa edistämällä vuoropuhelua ja tiedonvaihtoa, jotta voidaan varmistaa, että viimeisimmän kehitystason huomioon ottaen jokaisella CSIRT-yksiköllä on yhteisesti määritellyt vähimmäisvalmiudet ja se toimii parhaita käytäntöjä noudattaen;

8)jäsenvaltioita, unionin toimijoita sekä julkisia ja yksityisiä sidosryhmiä niiden pyrkimyksissä arvioida, kasvattaa ja vahvistaa kyberturvallisuusalan työvoimaa, muun muassa kehittämällä, ylläpitämällä ja pyrkimällä saamaan laajempaan käyttöön asiaankuuluvia välineitä, kuten Euroopan kyberturvallisuustaitojen kehystä ja yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä tämän luvun 4 jakson mukaisesti;

9)asianomaisia julkisia elimiä ja yksityisiä sidosryhmiä tarjoamalla kohdennettua koulutusta tarvittaessa yhteistyössä sidosryhmien kanssa;

10)verkko- ja tietoturva-alan yhteistyöryhmää parhaiden käytäntöjen ja tiedon jakamisessa varsinkin direktiivin (EU) 2022/2555 täytäntöönpanon osalta sen 14 artiklan 4 kohdan c alakohdan mukaisesti;

11)asetuksen (EU) 2024/2847 nojalla nimettyjä markkinavalvontaviranomaisia niiden toiminnassa, jolla pyritään varmistamaan kyseisen asetuksen tuloksellinen täytäntöönpano, mukaan lukien talouden toimijoille annettavaa ohjeistusta ja teknistä neuvontaa koskeva tuki, vaatimustenmukaisuuden tarkastuksia koskeva tuki, riskien arviointi sekä yhteistoimet ja tehotarkastukset asetuksessa (EU) 2024/2847 säädetyllä tavalla;

12)Euroopan kyberturvallisuuden sertifiointiryhmän jäseniä parhaiden käytäntöjen jakamisessa sekä yksittäisten jäsenvaltioiden pyynnöstä kansallisia kyberturvallisuussertifioinnin myöntäviä viranomaisia eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien toteuttamisessa kansallisella tasolla;

13)viranomaisia ja yksityisiä sidosryhmiä vaatimustenmukaisuuden varmistamiseen ja arviointitoimiin liittyvissä asioissa, mukaan lukien vaatimustenmukaisuuden arviointilaitokset sekä pienet ja keskisuuret yritykset, tarkoituksena luoda vankka, kilpailukykyinen, osallistava ja yhdenmukaistettu vaatimustenmukaisuuden arvioinnin ekosysteemi, joka tukee asetuksen (EU) 2024/2847 täytäntöönpanoa ja eurooppalaista kyberturvallisuuden sertifiointikehystä;

14)asetuksen (EU) 2021/887 nojalla perustettuja Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskusta ja kansallisten koordinointikeskusten verkostoa jakamalla tietoa vallitsevista ja esiin nousemassa olevista riskeistä ja kyberuhkista, myös uusien ja kehittyvien tieto- ja viestintäteknologioiden osalta;

15)jäsenvaltioita antamalla teknistä tukea, mukaan lukien kyberturvallisuusnäkökohtia koskevien sääntelyn testiympäristöjen perustamiseen ja toimintaan liittyvä tuki, asiaankuuluvan unionin lainsäädännön mukaisesti.

7 artikla
Kyberturvallisuustietoisuuden lisääminen ja osaamisreservi

ENISA avustaa jäsenvaltioita pyrkimyksissä lisätä tietoisuutta unionin kyberturvallisuuspolitiikasta ja -lainsäädännöstä ja edistää näiden näkyvyyttä kehittämällä käyttökelpoisia välineitä ja ohjeistuksia. ENISA tukee aloitteita, joilla pyritään kasvattamaan eurooppalaista kyberturvallisuuden osaamisreserviä, erityisesti koordinoimalla kilpailuja.

8 artikla
Markkinatuntemus ja -analyysit

1.ENISA laatii ja levittää käyttöön analyyseja kyberturvallisuusmarkkinoiden tärkeimmistä suuntauksista sekä kysyntä- että tarjontapuolella, erityisesti osa-alueilla, joilla on olemassa tai suunnitteilla eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä, toimialoilla, jotka on lueteltu direktiivin (EU) 2022/2555 liitteissä I ja II, ja tuoteryhmissä, jotka kuuluvat asetuksen (EU) 2024/2847 soveltamisalaan, sen liitteet III ja IV mukaan luettuina.

2.ENISA laatii ja levittää käyttöön analyyseja kyberturvallisuuden teknologisista kehityssuuntauksista erityisesti direktiivin (EU) 2022/2555 soveltamisalaan kuuluvien toimintojen ja toimijoiden sekä asetuksen (EU) 2024/2847 soveltamisalaan kuuluvien digitaalisia elementtejä sisältävien tuotteiden osalta.

3.ENISA kasvattaa tietämystään ja levittää käyttöön teknisiä neuvoja ja analyyseja viimeisimmän kehitystason mukaisista kyberturvallisuusvälineistä, -kehyksistä ja -standardeista ja alan parhaista käytännöistä.

9 artikla
Kansainvälinen yhteistyö

ENISA edesauttaa unionin pyrkimyksiä yhteistyöhön kolmansien maiden ja kansainvälisten järjestöjen kanssa sekä asiaankuuluvissa kansainvälisissä yhteistyöpuitteissa kansainvälisen yhteistyön edistämiseksi kyberturvallisuuskysymyksissä muun muassa

a)toimimalla tarvittaessa tarkkailijana kansainvälisten harjoitusten järjestämisessä sekä analysoimalla harjoitusten tuloksia ja raportoimalla niistä johtokunnalle;

b)edesauttamalla komission pyynnöstä tiedonvaihtoa parhaista käytännöistä kolmansien maiden ja kansainvälisten järjestöjen kanssa;

c)tarjoamalla pyynnöstä komissiolle asiantuntemustaan;

d)antamalla komissiolle asiantuntijaneuvontaa ja -tukea eurooppalaisten kyberturvallisuussertifikaattien kansainväliseen tunnustamiseen liittyvissä kysymyksissä 87 artiklan mukaisesti;

e)antamalla komissiolle asiantuntijaneuvontaa ja -tukea kansainvälistä standardointia koskevissa asioissa sekä yhteyksissä asiaankuuluviin kansainvälisiin standardointiorganisaatioihin tarpeen mukaan yhteistyössä 90 artiklan nojalla perustetun Euroopan kyberturvallisuuden sertifiointiryhmän kanssa.

2 jakso

Operatiivinen yhteistyö

10 artikla
Unionin tasolla tehtävä operatiivinen yhteistyö

1.ENISA tukee operatiivista yhteistyötä jäsenvaltioiden, CERT-EU:n välityksellä unionin toimijoiden sekä muiden sidosryhmien välillä.

2.ENISA on direktiivin (EU) 2022/2555 15 artiklan 1 kohdan nojalla perustetun kansallisten CSIRT-yksiköiden verkoston jäsen ja huolehtii CSIRT-verkoston sihteeristötehtävistä direktiivin (EU) 2022/2555 15 artiklan 2 kohdan mukaisesti.

3.ENISA huolehtii Euroopan kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe) sihteeristötehtävistä direktiivin (EU) 2022/2555 16 artiklan 2 kohdan toisen alakohdan mukaisesti.

4.ENISA tukee teknistä ja operatiivista yhteistyötä jäsenvaltioiden välillä erityisesti CSIRT-verkoston ja EU-CyCLONen kautta. Tällaiseen tukeen sisältyvät

a)neuvonta poikkeamien ehkäisyyn, havaitsemiseen, hallitsemiseen ja niistä palautumiseen liittyvien valmiuksien parantamisesta;

b)sellaisten neuvojen tai arvioiden antaminen yhden tai useamman jäsenvaltion pyynnöstä, jotka liittyvät tiettyyn mahdolliseen tai meneillään olevaan poikkeamaan tai kyberuhkaan, muun muassa tarjoamalla asiantuntemusta ja helpottamalla tällaisten poikkeamien teknistä käsittelyä sekä tukemalla asiaankuuluvien tietojen ja teknisten ratkaisujen vapaaehtoista jakamista jäsenvaltioiden välillä;

c)haavoittuvuuksien, uhkien ja poikkeamien analysointi;

d)tuen tarjoaminen yhden tai useamman jäsenvaltion pyynnöstä direktiivin (EU) 2022/2555 23 artiklan 3 kohdassa tarkoitettujen vaikutukseltaan merkittävien poikkeamien jälkikäteen tehtävään tekniseen tutkintaan;

e)osallistuminen laajamittaisten kyberturvallisuuspoikkeamien ja -kriisien koordinoidun hallinnan tukemiseen operatiivisella tasolla, erityisesti avustamalla EU-CyCLONea poliittiselle tasolle laadittavien raporttien valmistelussa sekä helpottamalla oikea-aikaista tietojenvaihtoa CSIRT-verkoston ja EU-CyCLONen välillä.

5.ENISA tukee jäsenvaltion tai CERT-EU:n kanssa yhteistyössä toimivan unionin toimijan pyynnöstä poikkeamaan tai kyberuhkaan liittyvää johdonmukaista julkista viestintää.

6.ENISA tukee yhteistyötä jäsenvaltioiden välillä ja CERT-EU:n välityksellä unionin toimijoiden välillä suojattujen viestintävälineiden käyttöönoton osalta. ENISA käyttää CSIRT-verkostossa ja EU-CyCLONessa suojattuja viestintävälineitä, joiden tarjoajat ovat unionin alueelle sijoittautuneita tai sijoittautuneiksi katsottavia oikeushenkilöitä ja jotka ovat jäsenvaltioiden tai niiden kansalaisten määräysvallassa.

11 artikla
Yhteinen kyberturvallisuuden tilannekuva

1.Jotta voidaan parantaa jäsenvaltioiden ja unionin toimijoiden yhteistä tilannekuvaa kyberuhka- ja poikkeamaympäristöstä, ENISA

a)kehittää yhteistyössä EU-CyCLONen, CSIRT-verkoston, komission, CERT-EU:n, Europolin ja muiden asiaankuuluvien unionin toimijoiden kanssa todennettujen ja luotettavien kyberuhkia koskevien tietojen varastoja, jotka kattavat myös poikkeamien, taktiikoiden, tekniikoiden ja toimintatapojen kehityssuuntaukset;

b)antaa 12 artiklan mukaisesti ennakkovaroituksia mahdollisesta tai meneillään olevasta merkittävästä tai laajamittaisesta poikkeamasta tai luonteeltaan mahdollisesti rajat ylittävästä kyberuhasta erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla;

c)esittää CSIRT-verkoston, EU-CyCLONen tai komission pyynnöstä oikea-aikaisia tapauskohtaisia analyyseja esiin nousemassa olevien poikkeamien suuntauksista;

d)esittää jäsenvaltioiden tai komission pyynnöstä analyyseja tai muita tietoja todellisesta tai koetusta kyberturvallisuusriskistä tai -uhasta;

e)tarjoaa digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuusriskejä koskevia analyyseja ja teknistä neuvontaa, myös markkinavalvonnan tukemiseksi, ja laatii joka toinen vuosi teknisen raportin uusista suuntauksista asetuksen (EU) 2024/2847 17 artiklan 3 kohdan mukaisesti;

f)laatii poikkeamista ja kyberuhkista säännöllisesti perusteellisen EU:n kyberturvallisuuden teknisen tilanneraportin ja asettaa sen neuvoston, EU-CyCLONen, CSIRT-verkoston, komission, Euroopan ulkosuhdehallinnon ja Europolin saataville;

g)seuraa kiristyshaittaohjelmahyökkäysten tekniikoiden, niissä esitettyjen vaatimusten ja niiden vaikutusten kehityssuuntauksia ja tiedottaa niistä komissiolle, CSIRT-verkostolle, EU-CyCLONelle ja Europolille.

2.Jotta voidaan parantaa sidosryhmien yhteistä tilannekuvaa kyberuhka- ja poikkeamaympäristöstä, ENISA

a)tuottaa analyyseja kyberuhkista, poikkeamista, kehityssuuntauksista, esiin nousemassa olevista teknologioista ja niiden vaikutuksista, mukaan lukien säännöllinen analyysi, jossa käsitellään direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja toimialoja ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvia asiaan liittyviä tuoteryhmiä;

b)laatii yhteistyössä komission ja tarvittaessa CSIRT-verkoston kanssa verkko- ja tietojärjestelmien turvallisuutta koskevia neuvoja, ohjeita ja parhaita käytäntöjä, erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja toimialoja tukevien infrastruktuurien turvallisuuden osalta;

c)tekee pitkän aikavälin strategisia analyyseja kyberuhkista ja poikkeamista kyberturvallisuuteen liittyvien uusien suuntausten kartoittamiseksi ja poikkeamien ehkäisemiseksi.

3.ENISA voi julkistaa 2 kohdassa tarkoitetut analyysit, neuvot, ohjeet, parhaat käytännöt ja raportit yhteisymmärryksessä 2 kohdassa tarkoitettujen osallistuvien tahojen kanssa.

4.Suorittaessaan 1 kohdan a–d ja f alakohdassa sekä 2 kohdassa lueteltuja toimia ENISA käyttää omia analyysejaan ja tarvittaessa tehtäviensä suorittamisen yhteydessä saamiaan tietoja, mukaan lukien

a)julkisesti saatavilla olevissa lähteissä annetut tiedot, myös direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustetun Euroopan haavoittuvuustietokannan tiedot julkisesti tiedossa olevista tieto- ja viestintäteknisten tuotteiden tai palvelujen haavoittuvuuksista;

b)jäsenvaltioiden, unionin toimijoiden, CERT-EU:n, yksityisen sektorin tai valtiosta riippumattomien kumppanien sekä kolmansien maiden ja kansainvälisten järjestöjen jakamat tiedot, jollei näiden tietojen edelleenjakelua ole rajoitettu näkyvällä merkinnällä.

5.ENISA tekee tiivistä yhteistyötä jäsenvaltioiden kanssa 1 kohdan e alakohdassa tarkoitetun EU:n kyberturvallisuuden teknisen tilanneraportin laatimisessa. Raportti perustuu julkisesti saatavilla olevaan tietoon, ENISAn omaan analyysiin ja raportteihin, jotka on saatu muun muassa jäsenvaltioiden CSIRT-yksiköiltä tai direktiivillä (EU) 2022/2555 perustetuilta keskitetyiltä yhteyspisteiltä vapaehtoisuuteen perustuen, EC3:lta sekä CERT-EU:lta. ENISA voi yhteisymmärryksessä osallistuvien tahojen kanssa asettaa raportista koosteen julkisesti saataville.

12 artikla
Ennakkovaroitukset

1.Tämän asetuksen 11 artiklan 1 kohdan ensimmäisen alakohdan b alakohdassa tarkoitettuihin ennakkovaroituksiin on sisällyttävä asiaankuuluvat tiedot mahdollisesta tai meneillään olevasta merkittävästä tai laajamittaisesta poikkeamasta tai mahdollisesti luonteeltaan rajat ylittävästä kyberuhasta direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla. Tällaisiin tietoihin voi lukeutua tietoja julkisesti tiedossa olevista haavoittuvuuksista ja siitä, vaikuttavatko ne asetuksen (EU) 2024/2847 soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin, sekä tietoja tekniikoista ja toimintatavoista, vaarantumisindikaattoreista, hyökkäystaktiikoista, yksittäisistä uhkatoimijoista ja vaikutuksia lieventäviä toimenpiteitä koskevista suosituksista.

2.Edellä 11 artiklan 1 kohdan ensimmäisen alakohdan b alakohdassa tarkoitetut ennakkovaroitukset on annettava mahdollisimman pian asianomaiselle CSIRT-yksikölle tai asianomaisille CSIRT-yksiköille sekä tarvittaessa CSIRT-verkostolle ja EU-CyCLONelle.

3.ENISA tarjoaa ennakkovaroituspalvelua toimijoille direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla.

4.Edellä 3 kohdassa tarkoitettua palvelua tarjotaan toimijan pyynnöstä ja koneellisesti luettavassa muodossa, joka asetetaan julkisesti saataville. Palveluun sisältyvät tietojen jakaminen kyberuhkaindikaattoreista ja suositukset vaikutuksia lieventäviksi toimenpiteiksi.

5.ENISA määrittelee menettelyn ennakkovaroitusten jakamiseksi 3 kohdassa tarkoitetuille toimijoille.

13 artikla
Poikkeamanhallintaa ja poikkeamien tarkastelua koskeva tuki

1.ENISA vastaa kokonaan tai osittain EU:n kyberturvallisuusreservin toiminnasta ja hallinnosta asetuksen (EU) 2025/38 mukaisesti.

2.ENISA tarkastelee ja arvioi komission tai EU-CyCLONen pyynnöstä CSIRT-verkoston tuella ja asianomaisen jäsenvaltion suostumuksella merkittäviä kyberturvallisuuspoikkeamia tai laajamittaisia kyberturvallisuuspoikkeamia asetuksen (EU) 2025/38 21 artiklan mukaisesti.

3.ENISA avustaa yhteistyössä Europolin ja CSIRT-yksiköiden tai tapauksen mukaan muiden toimivaltaisten viranomaisten kanssa direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja yksittäisiä keskeisiä ja tärkeitä toimijoita kiristyshaittaohjelmapoikkeamaan varautumisessa, siihen reagoimisessa ja siitä toipumisessa. Tätä varten ENISA perustaa neuvontapalvelun ja hyödyntää erityisesti tämän asetuksen 11 artiklan 1 kohdan ensimmäisen alakohdan a ja g alakohdan mukaista parannettua yhteistä tilannekuvaa kyberuhka- ja poikkeamaympäristöstä.

14 artikla
Kyberturvallisuusharjoitukset unionin tasolla

1.ENISA tukee komissiota unionin tason kyberturvallisuusharjoituksia koskevan vuotuisen jatkuvan ohjelman laatimisessa.

2.ENISA pitää yllä 1 kohdassa tarkoitetuista harjoituksista saatujen kokemusten tietovarastoa ja antaa jäsenvaltioille ja tarvittaessa unionin toimijoille suosituksia siitä, miten saadut opit voidaan viedä käytäntöön tuloksellisesti ja tehokkaasti.

3.EU-CyCLONen ja/tai komission pyynnöstä ENISA järjestää kyberturvallisuusharjoituksia unionin tasolla tai osallistuu niiden järjestämiseen, mukaan lukien varautumisasteen testaaminen, kun on kyse laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin reagoimisesta unionin tasolla.

4.Jäsenvaltioiden pyynnöstä ENISA tukee niitä kansallisten kyberturvallisuusharjoitusten järjestämisessä.

5.CERT-EU:n pyynnöstä ENISA osallistuu CERT-EU:n asetuksen (EU, Euratom) 2023/2841 13 artiklan 7 kohdan nojalla toteuttamien kyberturvallisuusharjoitusten järjestämiseen.

15 artikla
Välineiden ja alustojen tarjoaminen

1.ENISA luo, tarjoaa, ylläpitää ja päivittää tarpeen mukaan operatiivisia unionin tason kyberturvallisuuteen liittyviä teknisiä välineitä, kuten alustoja, erityisesti asetuksen (EU) 2024/2847 16 artiklan 1 kohdan nojalla perustettavan keskitetyn raportointialustan [ja direktiivin (EU) 2022/2555 23 a artiklan nojalla perustettavan keskitetyn asiointipisteen poikkeamista ilmoittamista varten], sekä testausvälineitä vaatimustenmukaisuuden arviointimenettelyjen toteuttamisen tueksi asiaa koskevan unionin lainsäädännön mukaisesti.

2.Edellä olevan 1 kohdan tarkoituksissa ENISA tekee yhteistyötä ja vaihtaa tietoja CSIRT-verkoston ja tapauksen mukaan markkinavalvontaviranomaisten kanssa.

16 artikla
Haavoittuvuuksien hallintapalvelut

ENISA kehittää unionin yhteisen haavoittuvuuksien hallintapalveluvalmiuden ja tarjoaa haavoittuvuuksien hallintapalveluja sidosryhmille

a)ylläpitämällä direktiivin (EU) 2022/2555 12 artiklan 2 kohdan mukaista Euroopan haavoittuvuustietokantaa;

b)tarjoamalla haavoittuvuuksien hallintapalveluja sidosryhmille Euroopan haavoittuvuustietokannan pohjalta ja hyödyntämällä ENISAn saatavilla olevia asiaa koskevia tietoja;

c)tarvittaessa käynnistämällä jäsennellyn yhteistyön sellaisten organisaatioiden kanssa, jotka tarjoavat Euroopan haavoittuvuustietokannan kaltaisia ohjelmia, rekistereitä tai tietokantoja;

d)tukemalla aktiivisesti direktiivin (EU) 2022/2555 12 artiklan 1 kohdan nojalla koordinaattoreiksi nimettyjä CSIRT-yksiköitä sellaisten haavoittuvuuksien koordinoidussa julkistamisessa, joilla voi olla merkittävä vaikutus toimijoihin useammassa kuin yhdessä jäsenvaltiossa;

e)kehittämällä ja ylläpitämällä menetelmiä ja hallintomekanismeja haavoittuvuuksien tunnistamista ja koordinoitua julkistamista varten yhteistyössä kansallisten toimivaltaisten viranomaisten, CSIRT-yksiköiden, elinkeinoelämän ja tutkimusyhteisön kanssa.

3 jakso

Kyberturvallisuussertifiointi ja standardointi

17 artikla
Kyberturvallisuussertifiointi

1.ENISA osallistuu tämän asetuksen III osastossa vahvistetun kyberturvallisuussertifiointia koskevan unionin politiikan kehittämiseen ja täytäntöönpanoon ja edistää sitä. ENISA vastaa

a)ehdolla olevien, tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen sekä toimijoiden kyberturvatason eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, jäljempänä ’ehdokasjärjestelmät’, valmistelusta 74 artiklan mukaisesti ja tarvittaessa teknisten eritelmien kehittämisestä 77 artiklan mukaisesti;

b)valittujen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitämisestä 75 artiklan mukaisesti ja tähän sisältyvästä valittujen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mahdollisesta uudelleentarkastelusta 76 artiklan mukaisesti;

c)valittujen järjestelmien käytön edistämisestä ja sellaisen erityisen verkkosivuston ylläpitämisestä, jolla annetaan 79 artiklan mukaisesti tietoa eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä, eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista ja julkaistaan ne;

d)sertifiointiprosesseihin, arviointitoimiin ja vertaisarviointiin liittyvien valmiuksien kehittämisen järjestämisestä, muun muassa tarjoamalla tukea jäsenvaltioille niiden pyynnöstä 6 artiklan 12 kohdan mukaisesti.

2.ENISA tukee komissiota seuraavissa toimissa:

a)Euroopan kyberturvallisuuden sertifiointiryhmän hallinnointi 90 artiklan mukaisesti;

b)eurooppalaisen kyberturvallisuuden sertifiointikokouksen järjestäminen 72 artiklan 1 kohdan mukaisesti;

c)eurooppalaisten kyberturvallisuussertifikaattien kansainväliseen tunnustamiseen tähtäävä toiminta 87 artiklan mukaisesti;

d)vertaisarviointien järjestäminen 89 artiklan mukaisesti;

e)sellaisten mallimuotoilujen valmistelu, joihin on viitattava tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen sekä toimijoiden kyberturvatason eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä 81 artiklan 5 kohdan mukaisesti.

18 artikla
Standardointi, tekniset eritelmät ja ohjeistus

1.ENISA laatii teknisiä eritelmiä ja ohjeistusta kyberturvallisuutta koskevan unionin lainsäädännön täytäntöönpanon tueksi. Laatiessaan näitä teknisiä eritelmiä ENISA ottaa huomioon olemassa olevat eurooppalaiset ja kansainväliset standardit sekä muut asiaankuuluvat tekniset eritelmät. ENISA varmistaa teknisten eritelmiensä ja ohjeistustensa johdonmukaisuuden.

2.ENISA seuraa standardoinnin kehittämistoimia ja tarvittaessa osallistuu niihin ja johtaa niitä unionin tasolla ja 9 artiklan mukaisesti kansainvälisellä tasolla, jotta voidaan tukea kyberturvallisuuteen liittyviä unionin toimintapolitiikkoja.

3.ENISA tukee salausalgoritmien kehittämistä ja arviointia. Jos ENISA antaa tietylle salausalgoritmille myönteisen arvion, ENISA tekee asetuksen (EU) N:o 1025/2012 mukaisesti yhteistyötä eurooppalaisten standardointielinten kanssa sen standardoinnin tukemiseksi.

4.ENISA antaa komissiolle ja tarvittaessa jäsenvaltioille teknistä neuvontaa asianmukaisista standardeista tai teknisistä eritelmistä kyberturvallisuuteen liittyvien unionin toimintapolitiikkojen tukemiseksi, mukaan lukien kyberturvallisuutta koskevan unionin yhdenmukaistamislainsäädännön, erityisesti asetuksen (EU) 2024/2847, direktiivin (EU) 2022/2555 25 artiklan mukaisten teknisten osa-alueiden ja 81 artiklan 1 kohdan d alakohdan mukaisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osalta.

5.ENISA avustaa komissiota arvioitaessa sellaisten yhdenmukaistettujen standardien luonnoksia, joilla tuetaan kyberturvallisuutta koskevan unionin yhdenmukaistamislainsäädännön täytäntöönpanoa.

6.ENISA edistää kyberturvallisuutta koskevien eurooppalaisten ja kansainvälisten standardien käyttöönottoa.

7.ENISA hoitaa 1–6 kohdassa tarkoitettuja tehtäviään moitteettomasti, puolueettomasti ja luottamuksellisesti ja muun muassa lopettaa tai peruuttaa osallistumisensa tiettyihin teknisiin elimiin, jos tällainen osallistuminen on ristiriidassa muiden tehtävien tai tavoitteiden kanssa.

4 jakso 
Kyberturvallisuusakatemian toteutus

19 artikla
Euroopan kyberturvallisuustaitojen kehys

1.ENISA laatii Euroopan kyberturvallisuustaitojen kehyksen ja asettaa sen julkisesti saataville. ENISA kuulee komissiota ennen Euroopan kyberturvallisuustaitojen kehyksen asettamista julkisesti saataville tai sen 4 kohdan mukaista päivittämistä.

2.Euroopan kyberturvallisuustaitojen kehyksessä määritellään kyberturvallisuusammattilaisten tehtäväprofiilit ja yhdistetään tietyt tehtävät, taidot ja osaamisalueet tiettyyn tehtäväprofiiliin. Euroopan kyberturvallisuustaitojen kehyksen käyttö on julkisille ja yksityisille toimijoille vapaaehtoista.

3.ENISA voi kuulla sidosryhmiä Euroopan kyberturvallisuustaitojen kehyksen kehittämisestä ja käyttöönotosta.

4.ENISA arvioi säännöllisesti tarvetta päivittää Euroopan kyberturvallisuustaitojen kehystä ja tarvittaessa päivittää sitä.

20 artikla
Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittäminen, hyväksyminen ja ylläpito

1.ENISA kehittää, hyväksyy ja ylläpitää yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä. Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien käyttö on kansallisille julkisille elimille ja yksityisille toimijoille vapaaehtoista, jollei kansallisessa lainsäädännössä toisin säädetä.

2.ENISA kuulee komissiota ennen uuden yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän käyttöönottoa. ENISA hyväksyy tällaisen järjestelmän vasta komission myönteisen lausunnon jälkeen. Valmistellessaan yksilöllisiä kyberturvallisuustaitoja koskevaa eurooppalaista todistusjärjestelmää ENISA voi kuulla asiaankuuluvia sidosryhmiä.

3.Yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän on katettava seuraavat:

a)todistusjärjestelmän kohde ja laajuus Euroopan kyberturvallisuustaitojen kehyksen tehtäväprofiilien tai niiden osien perusteella;

b)vaatimukset, joita sovelletaan 21 artiklan mukaisesti arviointien suorittamiseen koulutettuihin henkilöihin, jäljempänä ’arvioijat’, tarvittavat taidot, tiedot ja kokemus sekä koulutusmenetelmät;

c)markkinoiden vastaanottokykyä koskeva analyysi kunkin todistusjärjestelmän osalta;

d)oppimistulokset, arviointimenetelmät ja edellytykset, joita valtuutettujen todistuksen tarjoajien on käytettävä arvioidessaan henkilön osoittamaa näyttöä vaadituista taidoista 21 artiklan mukaisesti;

e)tarvittaessa yksi tai useampi taitotaso;

f)valtuutettuihin todistuksen tarjoajiin sovellettavat säännöt, jotka koskevat tietojen säilyttämistä;

g)yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten sisältö ja muoto ottaen asianmukaisesti huomioon 21 artiklan 5 kohdan e alakohta;

h)todistusjärjestelmän mukaisesti myönnetyn yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen enimmäisvoimassaoloaika.

4.Yksilöllisiä kyberturvallisuustaitoja koskeva eurooppalainen todistusjärjestelmässä voidaan ilmoittaa yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen ohjeelliset kustannukset.

5.ENISA varmistaa tiiviin yhteistyön jäsenvaltioiden kanssa yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien valmistelun aikana.

6.Yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän muuttaminen ei saa vaikuttaa 22 artiklan 3 kohdan a alakohdan nojalla myönnettyyn valtuutukseen, joka pysyy voimassa sen ajan, joksi se on myönnetty.

21 artikla
Valtuutetut todistuksen tarjoajat

1.Valtuutettujen todistuksen tarjoajien on arvioitava, täyttävätkö henkilöt yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän vaatimukset, ja vaatimusten täyttyessä myönnettävä yksittäisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset. Todistuksen tarjoajilla voi olla useita valtuutuksia, joista kukin on myönnetty yhtä yksilöllisiä kyberturvallisuustaitoja koskevaa eurooppalaista todistusjärjestelmää varten.

2.ENISA ohjeistaa arvioijia ja antaa heille pakollista koulutusta yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään sisältyvistä, 20 artiklan 3 kohdan b alakohdassa tarkoitetuista vaatimuksista ja arviointimenetelmistä.

3.Toimijoiden, jotka haluavat tulla valtuutetuiksi todistuksen tarjoajiksi tai uusia valtuutuksensa, jäljempänä ’hakijat’, on toimitettava hakemus ENISAlle. Hakijoiden on täytettävä seuraavat vaatimukset:

a)niiden on oltava oikeushenkilöitä;

b)niiden on kyettävä suorittamaan tässä asetuksessa säädetyt tehtävät, jotka liittyvät yksilöllisiä kyberturvallisuustaitoja koskeviin eurooppalaisiin todistuksiin, riippumatta siitä, suorittaako arvioinnin valtuutettu todistuksen tarjoaja itse vai suoritetaanko se sen puolesta ja sen vastuulla;

c)niillä on oltava käytössään tarvittavat keinot yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään liittyvien teknisten ja hallinnollisten tehtävien asianmukaiseen suorittamiseen, ja niillä on oltava mahdollisuus käyttää kaikkia tarvittavia välineitä ja tiloja.

Ensimmäisen alakohdan b alakohdan tarkoituksissa kaikki alihankinta tai ulkopuolisen henkilöstön konsultointi on dokumentoitava asianmukaisesti, siihen ei saa osallistua välittäjiä ja siitä on laadittava kirjallinen sopimus, joka kattaa muun muassa luottamuksellisuuden ja eturistiriidat.

4.Hakijat eivät saa olla suuririskisiä toimittajia.

5.Valtuutettujen todistuksen tarjoajien on täytettävä seuraavat velvoitteet:

a)kunkin yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän toteutuksen osalta:

i)niillä on oltava käytössään tarvittavat arvioijat ja henkilöstö, jotta ne voivat suorittaa kyseisessä järjestelmässä vahvistetut tehtävänsä oikea-aikaisesti;

ii)niiden on varmistettava, että arvioijat noudattavat vaitiolovelvollisuutta, ovat puolueettomia ja suorittavat tehtävänsä riippumattomasti ja moitteetonta ammattietiikkaa noudattaen;

iii)niillä on oltava kirjalliset menettelyt toimiensa suorittamiseksi sen järjestelmän puitteissa, jonka osalta niillä on valtuutus.

b)ne eivät arvioi omia arvioijiaan eivätkä myönnä näille yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistuksia;

c)niiden on varmistettava, että niiden arvioijat voivat suorittaa tehtävänsä riippumattomasti, erityisesti silloin, kun tällaiset henkilöt kuuluvat omaan organisaatioonsa tai ovat työntekijöitä tai oppijoita tällaisessa organisaatiossa, ja tarvittaessa otettava käyttöön asianmukaisia suojatoimia;

d)ne eivät osallistu toimintaan, joka voi olla ristiriidassa niiden arvioijien harkintavallan riippumattomuuden tai luotettavuuden kanssa;

e)niiden on varmistettava, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset annetaan henkilön pyynnöstä sähköisinä attribuuttitodistuksina sellaisessa muodossa, että ne voidaan tallentaa asetuksessa (EU) N:o 910/2014 tarkoitettuihin eurooppalaisiin digitaalisen identiteetin lompakoihin.

6.Valtuutettujen todistuksen tarjoajien on välittömästi ilmoitettava ENISAlle, jos jokin 3 ja 4 kohdassa luetelluista vaatimuksista tai 5 kohdassa luetelluista velvoitteista ei enää täyty tai jos on epäilyksiä siitä, että kyseiset vaatimukset tai velvoitteet eivät täyty, myös arvioijien riippumattomuuden osalta. 

7.Valtuutetut todistuksen tarjoajat voivat pyytää yksityishenkilöiltä maksua arvioinnista ja yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen myöntämisestä ottaen huomioon 20 artiklan 4 kohdan mukaiset yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen ohjeelliset kustannukset, jotka on julkaistu erityisellä verkkosivustolla 23 artiklan 1 kohdan d alakohdan mukaisesti.

8.Hakijoiden ja valtuutettujen todistuksen tarjoajien on sallittava ENISAn suorittaa arviointeja osana hakuprosessia tai valtuutuksen ylläpitoa ja jaettava kaikki asiaankuuluvat tiedot sen varmistamiseksi, että 3 ja 4 kohdassa säädetyt vaatimukset tai 5 kohdassa säädetyt velvoitteet täyttyvät (edelleen) 22 artiklan 2 kohdan mukaisesti.

22 artikla
Valtuutetuksi todistuksen tarjoajaksi tulemista koskevien hakemusten arviointi ja valtuutusten ylläpito

1.Hakijoiden on suoritettava ENISAlle maksu hakemuksensa arvioimisesta. Valtuutettujen todistuksen tarjoajien on suoritettava ENISAlle maksu valtuutuksensa ylläpidosta.

2.ENISA arvioi, täyttävätkö hakijat ja valtuutetut todistuksen tarjoajat (edelleen) 21 artiklan 3 ja 4 kohdassa säädetyt vaatimukset ja 21 artiklan 5 kohdassa säädetyt velvoitteet.

3.Arvioituaan hakemuksen 21 artiklan 3 ja 4 kohdassa säädettyjen vaatimusten suhteen ENISA voi tehdä jonkin seuraavista päätöksistä:

a)valtuutetun todistuksen tarjoajan aseman myöntäminen hakijalle tai valtuutuksen jatkaminen;

b)valtuutetuksi todistuksen tarjoajaksi tulemista koskevan hakemuksen hylkääminen tai valtuutuksen jatkamatta jättäminen;

c)hakemuksen käsittelyn päättäminen sen takia, että hakija ei ole toimittanut ENISAn pyytämiä lisätietoja.

ENISA voi muuttaa, keskeyttää tai kumota tällaisia päätöksiä 22 artiklan 2 kohdan mukaisen arvionsa perusteella tai 21 artiklan 6 kohdassa tarkoitetussa tapauksessa.

4.ENISA antaa 3 kohdassa tarkoitetun päätöksen kolmen kuukauden kuluessa 21 artiklan 3 kohdan mukaisen hakemuksen jättämispäivästä. Jos ENISA pyytää hakijalta lisätietoja, ENISA antaa 3 kohdassa tarkoitetun päätöksen kuukauden kuluessa lisätietojen vastaanottamisesta.

5.Edellä 3 kohdan a alakohdassa tarkoitettu päätös on voimassa enintään kolme vuotta, ja siinä ilmoitetaan valtuutuksen vuotuisesta ylläpidosta perittävä maksu.

6.ENISA varmistaa, että sen toimet, jotka 20 artiklan mukaisesti liittyvät yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittämiseen ja hyväksymiseen, erotetaan tiukasti tämän artiklan 2 ja 3 kohdassa tarkoitetuista hakemusten arviointia ja arvioita koskevista toimista ja suoritetaan niistä riippumatta.

23 artikla
Julkinen tieto

ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan julkista tietoa

a)Euroopan kyberturvallisuustaitojen kehyksestä, mukaan lukien itse kehys ja sen päivittämisen aikataulu;

b)yksilöllisiä kyberturvallisuustaitoja koskevista eurooppalaisista todistusjärjestelmistä, niiden edistymisestä ja niiden kehittämisen aikatauluista;

c)kuhunkin tämän asetuksen 47 artiklan nojalla hyväksyttyyn yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään liittyvistä maksuista;

d)yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen ohjeellisista kustannuksista 20 artiklan 4 kohdan mukaisesti;

e)valtuutettujen todistuksen tarjoajien luettelosta.

III luku 
ENISAn organisaatio

24 artikla
ENISAn hallinto- ja johtamisrakenne

ENISAn hallinto- ja johtamisrakenne muodostuu seuraavista:

a)johtokunta, jolle kuuluvat tehtävät vahvistetaan 28 artiklassa;

b)hallitus, jolle kuuluvat tehtävät vahvistetaan 30 artiklassa;

c)pääjohtaja, jolle kuuluvat vastuut vahvistetaan 32 artiklassa;

d)varapääjohtaja, jolle kuuluvat vastuut vahvistetaan 34 artiklassa;

e)ENISAn neuvoa-antava ryhmä;

f)valituslautakunta, jolle kuuluvat tehtävät vahvistetaan 39–42 artiklassa.

1 jakso 
Johtokunta

25 artikla
Johtokunnan kokoonpano

1.Johtokuntaan kuuluu kunkin jäsenvaltion nimittämä yksi jäsen ja kaksi komission nimittämää jäsentä. Kaikilla jäsenillä on äänioikeus.

2.Kullakin johtokunnan jäsenellä on oltava varajäsen. Varajäsenten on edustettava jäseniä näiden ollessa estyneitä.

3.Kunkin jäsenvaltion on nimitettävä johtokunnan jäseneksi direktiivin (EU) 2022/2555 8 artiklan 1 kohdan mukaisesti nimetyn kansallisen toimivaltaisen viranomaisen johtaja. Jos tämä ei ole mahdollista, jäsenvaltioiden on nimitettävä johtokunnan jäseneksi direktiivin (EU) 2022/2555 8 artiklan 1 kohdan mukaisesti nimetyn kansallisen toimivaltaisen viranomaisen korkean tason edustaja.

4.Komission nimittämät jäsenet ja johtokunnan varajäsenet nimitetään heidän kyberturvallisuusalaa koskevan tietämyksensä perusteella ottaen huomioon heidän asianmukaiset johtamis-, hallinto- ja varainhoitotaitonsa. Komission ja varajäsenten osalta jäsenvaltioiden olisi pyrittävä miesten ja naisten tasapuoliseen edustukseen johtokunnassa sekä pyrittävä rajoittamaan varajäsenten vaihtuvuutta johtokunnan toiminnan jatkuvuuden varmistamiseksi.

5.Jäsenvaltioiden nimittämien jäsenten toimikausi on sama kuin heidän 3 kohdassa tarkoitetun tehtävänsä kesto.

6.Varajäsenten ja komission nimittämien jäsenten toimikausi on neljä vuotta. Toimikausi voidaan uusia.

26 artikla
Johtokunnan puheenjohtaja

1.Johtokunta valitsee äänivaltaisten jäsentensä keskuudesta puheenjohtajan ja varapuheenjohtajan. Puheenjohtaja ja varapuheenjohtaja valitaan johtokunnan äänivaltaisten jäsenten kahden kolmasosan enemmistöllä.

2.Varapuheenjohtaja toimii automaattisesti puheenjohtajan sijaisena tämän ollessa estynyt.

3.Puheenjohtajan ja varapuheenjohtajan toimikausi on neljä vuotta, ja se voidaan uusia kerran. Jos heidän jäsenyytensä johtokunnassa kuitenkin päättyy heidän toimikautensa aikana, myös heidän toimikautensa päättyy tuona päivänä ilman eri toimenpiteitä.

27 artikla
Johtokunnan kokoukset

1.Johtokunta kokoontuu puheenjohtajan kutsusta.

2.Pääjohtaja osallistuu johtokunnan kokouksiin ilman äänioikeutta.

3.Johtokunta pitää vähintään kaksi sääntömääräistä kokousta vuodessa. Lisäksi se kokoontuu puheenjohtajan aloitteesta tai jos komissio tai vähintään kolmasosa johtokunnan jäsenistä sitä pyytää.

4.Asetuksella (EU) 2021/887 perustetun Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskuksen edustaja toimii johtokunnan kokouksissa pysyvänä tarkkailijana ilman äänioikeutta.

5.Johtokunta voi kutsua henkilöitä, joiden näkemyksillä voi olla merkitystä, osallistumaan kokoukseen tai kokouksen osaan tilapäisinä tarkkailijoina ilman äänioikeutta, jollei johtokunnan työjärjestyksestä muuta johdu.

6.Johtokunnan jäsenillä ja varajäsenillä voi olla kokouksissa avustajinaan neuvonantajia tai asiantuntijoita, jollei johtokunnan työjärjestyksestä muuta johdu.

28 artikla
Johtokunnan tehtävät

1.Johtokunta

a)vahvistaa ENISAn toiminnan yleiset suuntaviivat ja varmistaa, että ENISA toimii tässä asetuksessa säädettyjen sääntöjen ja periaatteiden mukaisesti; se myös huolehtii ENISAn toiminnan johdonmukaisuudesta suhteessa jäsenvaltioiden toimintaan sekä unionin tason toimiin;

b)hyväksyy luonnoksen ENISAn yhtenäiseksi ohjelma-asiakirjaksi 44 artiklan mukaisesti ennen sen toimittamista komissiolle lausuntoa varten;

c)hyväksyy 29 artiklan 2 kohdan a alakohdan mukaisesti ENISAn yhtenäisen ohjelma-asiakirjan komission lausunnon huomioon ottaen;

d)valvoo yhtenäisen ohjelma-asiakirjan sisältämien monivuotisen ja vuotuisen ohjelmasuunnittelun toteutusta;

e)hyväksyy 29 artiklan 2 kohdan b alakohdan mukaisesti ENISAn vuotuisen talousarvion ja hoitaa muita tehtäviä, jotka liittyvät ENISAn talousarvioon, IV luvun mukaisesti;

f)arvioi ja hyväksyy ENISAn toimintaa koskevan vuotuisen konsolidoidun toimintakertomuksen, joka sisältää tilinpäätöksen ja kuvauksen siitä, kuinka ENISA on suoriutunut suhteessa tulosindikaattoreihinsa; toimittaa sen yhdessä sitä koskevan arviointinsa kanssa viimeistään seuraavan vuoden heinäkuun 1 päivänä Euroopan parlamentille, neuvostolle, komissiolle ja tilintarkastustuomioistuimelle; julkistaa toimintakertomuksen;

g)hyväksyy ENISAn varainhoitosäännöt 50 artiklan mukaisesti;

h)hyväksyy petostentorjuntastrategian, joka on oikeassa suhteessa petosriskeihin nähden, kun toteutettavien toimenpiteiden kustannus-hyötyanalyysi otetaan huomioon;

i)huolehtii asianmukaisista jatkotoimista, joita toteutetaan sisäisiin tai ulkoisiin tarkastuskertomuksiin ja arviointeihin sekä Euroopan petostentorjuntaviraston (OLAF) ja Euroopan syyttäjänviraston (EPPO) tutkimuksiin perustuvien tulosten ja suositusten perusteella;

j)hyväksyy työjärjestyksensä, mukaan lukien yksittäisten tehtävien siirtämistä koskevia väliaikaisia päätöksiä koskevat säännöt 30 artiklan 7 kohdan mukaisesti;

k)käyttää ENISAn henkilöstön suhteen neuvoston asetuksella (ETY, Euratom, EHTU) N:o 259/68 73 vahvistetuissa Euroopan unionin virkamiehiin sovellettavissa henkilöstösäännöissä, jäljempänä ’henkilöstösäännöt’, nimittävälle viranomaiselle ja unionin muuhun henkilöstöön sovellettavissa palvelussuhteen ehdoissa, jäljempänä ’palvelussuhteen ehdot’, työsopimusten tekemiseen valtuutetulle viranomaiselle annettua toimivaltaa, jäljempänä ’nimittävän viranomaisen toimivalta’, tämän artiklan 2 kohdan mukaisesti;

l)vahvistaa henkilöstösääntöjen ja palvelussuhteen ehtojen täytäntöönpanoa koskevat säännökset henkilöstösääntöjen 110 artiklan 2 kohdan mukaisesti;

m)nimittää pääjohtajan ja, jos johtokunta päättää perustaa varapääjohtajan tehtävän, varapääjohtajan ja jatkaa tarvittaessa näiden toimikautta tai erottaa nämä 31 artiklan mukaisesti;

n)jollei henkilöstösäännöistä ja palvelussuhteen ehdoista muuta johdu, nimittää tilinpitäjän, joka hoitaa tehtäviään riippumattomasti;

o)tekee kaikki päätökset viraston sisäisistä rakenteista ja tarvittaessa niiden muuttamisesta ottaen huomioon ENISAn toimintatarpeet ja moitteettoman varainhoidon;

p)antaa luvan työjärjestelyistä sopimiseen 68 artiklan osalta;

q)antaa luvan työjärjestelyistä sopimiseen 70 artiklan mukaisesti;

r)nimittää ja erottaa valituslautakunnan jäsenet 29 artiklan 2 kohdan d alakohdan mukaisesti;

s)hyväksyy valituslautakunnan jäsenten eturistiriitojen ehkäisemistä ja ratkaisemista koskevat säännöt.

2.Johtokunta tekee henkilöstösääntöjen 110 artiklan 2 kohdan mukaisesti henkilöstösääntöjen 2 artiklan 1 kohtaan ja palvelussuhteen ehtojen 6 artiklaan perustuvan päätöksen, jolla siirretään nimittävän viranomaisen toimivalta pääjohtajalle ja määritetään olosuhteet, joissa toimivallan siirto voidaan keskeyttää. Pääjohtaja voi siirtää tämän toimivallan edelleen.

3.Jos poikkeukselliset olosuhteet sitä edellyttävät, johtokunta voi tekemällään päätöksellä tilapäisesti keskeyttää pääjohtajalle siirretyn nimittävän viranomaisen toimivallan ja pääjohtajan edelleen siirtämän nimittävän viranomaisen toimivallan ja sen sijaan käyttää kyseistä toimivaltaa itse tai siirtää sen jollekin jäsenistään tai jollekulle henkilöstöön kuuluvalle, joka on muu kuin pääjohtaja.

29 artikla
Johtokunnan äänestyssäännöt

1.Johtokunta tekee päätöksensä äänioikeutettujen jäsentensä ehdottomalla enemmistöllä, jollei tässä asetuksessa toisin säädetä.

2.Seuraavat päätökset edellyttävät johtokunnan jäsenten kahden kolmasosan enemmistöä:

a)28 artiklan 1 kohdan c alakohdassa tarkoitetun yhtenäisen ohjelma-asiakirjan hyväksyminen;

b) 28 artiklan 1 kohdan e alakohdassa tarkoitetun vuotuisen talousarvion hyväksyminen;

c) pääjohtajan ja varapääjohtajan nimittäminen, toimikauden jatkaminen tai erottaminen 31 ja 33 artiklan mukaisesti;

d)valituslautakunnan jäsenten nimittäminen ja erottaminen 36 artiklan mukaisesti.

3.Talousarviota tai henkilöresursseja koskevat päätökset, erityisesti 28 artiklan 1 kohdan c, e, f, g, h, i, k, l, m ja n alakohdassa tarkoitetuissa asioissa, hyväksytään ainoastaan, jos komission edustajat antavat puoltavan äänen. Edellä 28 artiklan 1 kohdan c alakohdassa tarkoitettujen ENISAn yhtenäistä ohjelma-asiakirjaa koskevien päätösten tekemiseksi tarvitaan komission edustajan puoltava ääni ainoastaan niistä päätöksen osista, jotka eivät liity ENISAn vuotuiseen ja monivuotiseen työohjelmaan.

4.Kullakin äänivaltaisella jäsenellä on yksi ääni. Äänioikeutetun jäsenen poissa ollessa varajäsenellä on oikeus käyttää tämän äänioikeutta.

5.Johtokunnan puheenjohtaja osallistuu äänestykseen.

6.Pääjohtaja ei osallistu äänestykseen.

7.Johtokunnan työjärjestyksessä määritellään yksityiskohtaisemmat äänestystä koskevat järjestelyt, erityisesti olosuhteet, joissa jäsen voi toimia toisen jäsenen puolesta.

2 jakso 
Hallitus

30 artikla
Hallitus

1.Johtokuntaa avustaa hallitus.

2.Hallitus

a)valmistelee päätökset johtokunnan hyväksyttäviksi;

b)varmistaa yhdessä johtokunnan kanssa, että sisäisissä tai ulkoisissa tarkastuskertomuksissa ja arvioinneissa sekä OLAFin ja EPPOn tutkimuksissa esitettyjen havaintojen ja suositusten johdosta toteutetaan asianmukaiset jatkotoimet;

c)avustaa ja neuvoo pääjohtajaa johtokunnan päätösten täytäntöönpanossa hallinnon ja varainhoidon valvonnan tehostamiseksi, sanotun kuitenkaan rajoittamatta 32 artiklassa säädettyjä pääjohtajan tehtäviä.

3.Hallitukseen kuuluu johtokunnan puheenjohtaja, yksi komission edustaja johtokunnassa ja kolme muuta jäsentä, jotka johtokunta nimittää äänioikeutettujen jäsentensä keskuudesta. Johtokunnan puheenjohtaja toimii myös hallituksen puheenjohtajana. Hallituksen jäsenten nimityksissä on pyrittävä takaamaan tasapainoinen sukupuolijakauma. Pääjohtaja osallistuu hallituksen kokouksiin ilman äänioikeutta.

4.Hallituksen jäsenten toimikausi on neljä vuotta. Toimikausi voidaan uusia. Hallituksen jäsenten toimikausi päättyy, kun heidän jäsenyytensä johtokunnassa päättyy.

5.Hallitus pitää vähintään yhden sääntömääräisen kokouksen kolmessa kuukaudessa. Lisäksi se kokoontuu hallituksen puheenjohtajan aloitteesta tai hallituksen jäsenten pyynnöstä.

6.Johtokunta vahvistaa hallituksen työjärjestyksen.

7.Hallitus voi tarvittaessa tehdä kiireellisissä tapauksissa tiettyjä väliaikaisia päätöksiä johtokunnan puolesta, erityisesti hallinnollisista kysymyksistä, mukaan lukien nimittävän viranomaisen toimivallan siirron keskeyttäminen ja talousarvioon liittyvät kysymykset. Tällaisesta väliaikaisesta päätöksestä ilmoitetaan johtokunnalle ilman aiheetonta viivytystä. Johtokunta päättää päätöksen hyväksymisestä tai hylkäämisestä viimeistään kolmen kuukauden kuluttua päätöksen tekemisestä. Hallitus ei voi tehdä johtokunnan puolesta päätöksiä, joihin vaaditaan johtokunnan äänioikeutettujen jäsenten kahden kolmasosan enemmistö.

3 jakso 
Pääjohtaja

31 artikla
Nimittäminen, erottaminen ja toimikauden jatkaminen

1.Johtokunta nimittää pääjohtajan ansioiden ja pätevyyden perusteella komission ehdottamalta ehdokaslistalta noudattaen avointa ja läpinäkyvää valintamenettelyä.

2.Johtokunnan valitsema ehdokas kutsutaan ennen nimittämistä antamaan lausuma Euroopan parlamentin asiasta vastaavan valiokunnan kokouksessa ja vastaamaan Euroopan parlamentin jäsenten esittämiin kysymyksiin.

3.Pääjohtaja otetaan palvelukseen ENISAn väliaikaisena toimihenkilönä palvelussuhteen ehtojen 2 artiklan a kohdan mukaisesti.

4.Johtokunnan puheenjohtaja tekee pääjohtajan työsopimuksen ENISAn puolesta.

5.Pääjohtajan toimikausi on viisi vuotta. Komissio laatii hyvissä ajoin ennen toimikauden päättymistä arvion, jossa otetaan huomioon selvitys pääjohtajan suoriutumisesta tehtävässään ja ENISAn tulevat tehtävät ja haasteet.

6.Johtokunta voi komission ehdotuksesta, jossa otetaan huomioon 5 kohdassa tarkoitettu arviointi, jatkaa pääjohtajan toimikautta kerran enintään viideksi vuodeksi.

7.Pääjohtaja, jonka toimikautta on jatkettu, ei voi osallistua jatketun toimikautensa lopussa toiseen kertaan samaa toimea koskevaan valintamenettelyyn.

8.Johtokunnan on ilmoitettava Euroopan parlamentille aikeestaan jatkaa pääjohtajan toimikautta 6 kohdan mukaisesti. Pääjohtaja antaa toimikauden mahdollista jatkamista edeltävien kolmen kuukauden aikana pyydettäessä lausuman Euroopan parlamentin asiasta vastaavan valiokunnan kokouksessa ja vastaa Euroopan parlamentin jäsenten esittämiin kysymyksiin.

9.Pääjohtaja voidaan erottaa toimestaan ainoastaan johtokunnan päätöksellä, jonka se tekee komission ehdotuksen perusteella.

32 artikla
Pääjohtajan tehtävät ja vastuualueet

1.Pääjohtaja johtaa ENISAa ja vastaa toiminnastaan johtokunnalle.

2.Pääjohtaja hoitaa tehtävänsä riippumattomasti, eikä hän saa pyytää eikä ottaa ohjeita miltään valtiolliselta hallitukselta eikä miltään muulta elimeltä.

3.Pääjohtaja raportoi pyydettäessä Euroopan parlamentille tehtäviensä hoidosta. Neuvosto voi pyytää pääjohtajaa raportoimaan tehtäviensä hoidosta.

4.Pääjohtaja on ENISAn laillinen edustaja.

5.Pääjohtaja vastaa ENISAlle tällä asetuksella annettujen tehtävien suorittamisesta. Pääjohtajan tehtävänä on erityisesti

a)ENISAn päivittäisen toiminnan hallinnoinnin varmistaminen;

b)johtokunnan tekemien päätösten täytäntöönpano;

c)ENISAn varainhoitosääntöjen noudattamisen varmistaminen;

d)yhtenäisen ohjelma-asiakirjan luonnoksen laatiminen ja sen toimittaminen johtokunnan hyväksyttäväksi ennen sen toimittamista komissiolle lausuntoa varten;

e)yhtenäisen ohjelma-asiakirjan täytäntöönpano ja siitä raportointi johtokunnalle;

f)ENISAn toimintaa koskevan vuotuisen konsolidoidun toimintakertomuksen, myös ENISAn vuotuisen työohjelman täytäntöönpanon osalta, laatiminen ja sen esittäminen johtokunnalle arvioitavaksi ja hyväksyttäväksi;

g)toimintasuunnitelman laatiminen 121 artiklassa tarkoitettujen ENISAn jälkiarviointien päätelmien perusteella ja suunnitelman edistymisestä raportointi komissiolle kahden vuoden välein;

h)toimintasuunnitelman laatiminen sisäisten tai ulkoisten tarkastuskertomusten ja arviointien päätelmiin sekä OLAFin ja EPPOn tutkimuksiin perustuvia jatkotoimia varten ja suunnitelman edistymisestä raportointi kahdesti vuodessa komissiolle ja säännöllisesti johtokunnalle;

i)50 artiklassa tarkoitettujen ENISAn varainhoitosääntöjen luonnoksen valmistelu;

j)ENISAn tulo- ja menoarvion luonnoksen laatiminen ja ENISAn talousarvion toteuttaminen;

k)unionin taloudellisten etujen suojaaminen soveltamalla petoksia, lahjontaa ja muuta laitonta toimintaa ehkäiseviä toimenpiteitä, OLAFin ja EPPOn tutkintavaltuuksia kuitenkaan rajoittamatta, toteuttamalla tuloksellisia tarkastuksia ja, jos sääntöjenvastaisuuksia havaitaan, perimällä takaisin aiheettomasti maksetut määrät ja tarvittaessa määräämällä tehoavia, oikeasuhteisia ja varoittavia hallinnollisia ja taloudellisia seuraamuksia;

l)petostentorjuntastrategian, tehokkuushyöty- ja synergiastrategian, kolmansien maiden tai kansainvälisten järjestöjen kanssa tehtävää yhteistyötä koskevan strategian sekä ENISAn organisaation hallinnoinnin ja sisäisen valvonnan järjestelmiä koskevan strategian laatiminen ja niiden esittäminen johtokunnan hyväksyttäviksi;

m)yhteyksien luominen ja ylläpito elinkeinoelämän ja kuluttajajärjestöjen kanssa säännöllisen vuoropuhelun varmistamiseksi asiaankuuluvien sidosryhmien kanssa;

n)säännöllinen näkemysten ja tietojen vaihto unionin toimijoiden kanssa näiden kyberturvallisuuteen liittyvistä toimista, jotta varmistetaan johdonmukaisuus unionin toimintapolitiikan täytäntöönpanossa tällä alalla;

o)monimuotoisuuden ja sukupuolten tasapuolisen edustuksen edistäminen ENISAn henkilöstön rekrytoinnissa;

p)yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien hyväksyminen 20 artiklan 1 kohdan mukaisesti;

q)sellaisten päätösten tekeminen, jotka koskevat 22 artiklan 3 kohdassa tarkoitettuja hakijoita, jotka haluavat tulla valtuutetuiksi todistuksen tarjoajiksi tai haluavat uusia valtuutuksensa;

r)muiden pääjohtajalle tällä asetuksella osoitettujen tehtävien hoito.

6.Tarpeen vaatiessa ja ENISAn tavoitteiden ja tehtävien puitteissa pääjohtaja voi perustaa muun muassa jäsenvaltioiden toimivaltaisten viranomaisten asiantuntijoista koostuvia tilapäisiä työryhmiä. Pääjohtajan on ilmoitettava tästä etukäteen johtokunnalle. Menettelyt, jotka koskevat erityisesti työryhmien kokoonpanoa, pääjohtajan suorittamaa työryhmien asiantuntijoiden nimeämistä ja työryhmien toimintaa, vahvistetaan ENISAn sisäisissä toimintasäännöissä.

7.Pääjohtaja voi asianmukaisen kustannus-hyötyanalyysin perusteella päättää perustaa ENISAlle yhden tai useamman paikallistoimiston yhteen tai useampaan jäsenvaltioon, jos hän katsoo sen tarpeelliseksi ENISAn tehtävien tehokkaan ja tuloksellisen hoidon kannalta. Ennen kuin pääjohtaja tekee päätöksen paikallistoimiston perustamisesta, hänen on kuultava asianomaisia jäsenvaltioita, myös jäsenvaltiota, jossa ENISAn toimipaikka sijaitsee, sekä hankittava ennakkosuostumus komissiolta ja johtokunnalta. Jos pääjohtajan toteuttamassa asianomaisten jäsenvaltioiden kuulemisessa ei päästä sopimukseen, asia on saatettava neuvoston käsiteltäväksi. Kaikkien paikallistoimistojen henkilöstön kokonaismäärä on pidettävä mahdollisimman vähäisenä, eikä se saa ylittää 40:tä prosenttia siihen jäsenvaltioon sijoitetun ENISAn henkilöstön kokonaismäärästä, jossa ENISAn toimipaikka sijaitsee. Yksittäisen paikallistoimiston henkilöstön määrä ei saa ylittää 10:tä prosenttia siihen jäsenvaltioon sijoitetun ENISAn henkilöstön kokonaismäärästä, jossa ENISAn toimipaikka sijaitsee.

8.Paikallistoimiston perustamista koskevassa päätöksessä on määriteltävä paikallistoimistossa toteutettavan toiminnan laajuus siten, että vältetään tarpeettomia kustannuksia ja ENISAn hallinnollisten tehtävien päällekkäisyyttä.

4 jakso 
Varapääjohtaja

33 artikla
Varapääjohtaja

1.Johtokunta voi päättää perustaa pääjohtajaa avustavan varapääjohtajan toimen.

2.Jos johtokunta päättää perustaa varapääjohtajan toimen, varapääjohtajaan sovelletaan vastaavasti 31 artiklan säännöksiä.

34 artikla
Varapääjohtajan tehtävät ja vastuualueet

Varapääjohtaja avustaa pääjohtajaa ENISAn johtamisessa ja 32 artiklassa tarkoitettujen tehtävien suorittamisessa. Jos pääjohtaja on poissa tai estynyt tai virka on avoinna, varapääjohtaja toimii hänen sijaisenaan poissaolon ajan tai siihen saakka, kunnes virka on täytetty.

5 jakso 
ENISAn neuvoa-antava ryhmä

35 artikla
ENISAn neuvoa-antava ryhmä

1.Johtokunta perustaa läpinäkyvällä tavalla pääjohtajan esityksestä ENISAn neuvoa-antavan ryhmän. ENISAn neuvoa-antava ryhmä koostuu asiaankuuluvia sidosryhmiä, kuten kyberturvallisuuden alaa, tieto- ja viestintätekniikka-alaa, pk-yrityksiä, direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla toimivia toimijoita, digitaalisia elementtejä sisältävien tuotteiden valmistajia ja asetuksessa (EU) 2024/2847 tarkoitettuja avoimen lähdekoodin ohjelmistovastaavia, 93 artiklassa ja asetuksessa (EU) 2024/2847 tarkoitetun eurooppalaisen kyberturvallisuuden sertifiointikehyksen puitteissa ilmoitettuja vaatimustenmukaisuuden arviointilaitoksia, sähköisen tunnistamisen menetelmien alan toimijoita ja kuluttajaryhmiä edustavista tunnustetuista asiantuntijoista, tiedeyhteisöä edustavista kyberturvallisuusasiantuntijoista sekä eurooppalaisten standardointiorganisaatioiden ja lainvalvonta- ja tietosuojaviranomaisten edustajista. Näiden tunnustettujen asiantuntijoiden on oltava jäsenvaltioiden kansalaisia. Johtokunta pyrkii varmistamaan asianmukaisen sukupuolten tasapuolisen edustuksen, maantieteellisen tasapainon sekä eri sidosryhmien tasapainoisen edustuksen.

2.ENISAn neuvoa-antavaa ryhmää koskevat menettelyt, jotka liittyvät erityisesti sen kokoonpanoon, 1 kohdassa tarkoitettuun pääjohtajan tekemään esitykseen, ryhmän jäsenten lukumäärään, sen jäsenten nimeämiseen sekä sen toimintaan, määritellään ENISAn sisäisissä toimintasäännöissä ja julkaistaan.

3.ENISAn neuvoa-antavan ryhmän puheenjohtajana toimii pääjohtaja tai pääjohtajan tähän tehtävään tapauskohtaisesti nimeämä henkilö.

4.ENISAn neuvoa-antavan ryhmän jäsenten toimikausi on kaksi ja puoli vuotta, ja se voidaan uusia kerran. Johtokunnan jäsenet eivät saa olla ENISAn neuvoa-antavan ryhmän jäseniä. Komission ja jäsenvaltioiden asiantuntijoilla on oikeus olla läsnä ENISAn neuvoa-antavan ryhmän kokouksissa ja osallistua sen työhön. Pääjohtaja voi pyytää muiden elinten edustajia, jotka eivät ole ENISAn neuvoa-antavan ryhmän jäseniä, ENISAn neuvoa-antavan ryhmän kokouksiin ja osallistumaan sen työhön.

5.ENISAn neuvoa-antava ryhmä neuvoo ENISAa sen tehtävien hoidossa, ei kuitenkaan tämän asetuksen III, IV ja V osaston säännösten soveltamisessa. Erityisesti se neuvoo pääjohtajaa tämän laatiessa esitystä ENISAn vuotuiseksi työohjelmaksi sekä yhteydenpidossa asianmukaisten sidosryhmien kanssa vuotuiseen työohjelmaan liittyvissä kysymyksissä.

6.ENISAn neuvoa-antava ryhmä tiedottaa toiminnastaan johtokunnalle säännöllisesti.

7.ENISA antaa ENISAn neuvoa-antavalle ryhmälle tarvittavaa logistista tukea ja järjestää sihteeristön sen kokouksia varten.

6 jakso 
Valituslautakunta

36 artikla
Valituslautakunnan perustaminen ja kokoonpano

1.ENISA perustaa johtokunnan päätöksellä valituslautakunnan.

2.Valituslautakuntaan kuuluu puheenjohtaja ja kolme muuta jäsentä. Kullakin valituslautakunnan jäsenellä on varajäsen. Varajäsen toimii poissa olevan jäsenen sijaisena.

3.Johtokunta nimittää puheenjohtajan, muut jäsenet ja heidän varajäsenensä komission laatimasta pätevien ehdokkaiden luettelosta. Pätevien ehdokkaiden luettelo on voimassa neljä vuotta. Johtokunta voi komission ehdotuksesta jatkaa luettelon voimassaoloa neljällä vuodella.

4.Valituslautakunta voi pyytää johtokuntaa nimittämään kaksi muuta jäsentä ja heille varajäsenet 3 kohdassa tarkoitetusta luettelosta, jos se katsoo valituksen luonteen tätä edellyttävän.

5.Valituslautakunta hyväksyy ja julkistaa työjärjestyksensä.

37 artikla
Valituslautakunnan jäsenet

1.Valituslautakunnan jäsenten ja varajäsenten toimikausi on neljä vuotta. Johtokunta voi komission ehdotuksesta jatkaa toimikautta neljällä vuodella.

2.Valituslautakunnan jäsenten on oltava riippumattomia, ja he eivät saa hoitaa muita tehtäviä ENISAssa. Päätöksiä tehdessään he eivät saa pyytää eivätkä ottaa ohjeita miltään valtiolliselta hallitukselta, miltään muulta elimeltä tai miltään yksityiseltä toimijalta.

3.Valituslautakunnan jäseniä ei toimikautensa aikana poisteta tehtävistään eikä pätevien ehdokkaiden luettelosta, ellei poistamiselle ole vakavia perusteita ja johtokunta tekee tätä koskevan päätöksen komission ehdotuksesta.

38 artikla
Esteellisyys ja jäävääminen

1.Valituslautakunnan jäsenet eivät voi osallistua muutoksenhakumenettelyyn, jos asia koskee heidän omaa etuaan, jos he ovat aikaisemmin edustaneet jotakin menettelyn osapuolista tai jos he ovat osallistuneet sen päätöksen tekemiseen, jota muutoksenhaku koskee.

2.Jos valituslautakunnan jäsen katsoo jostakin 1 kohdassa tarkoitetusta tai muusta syystä, ettei hänen pitäisi osallistua muutoksenhakumenettelyyn, hänen on ilmoitettava asiasta valituslautakunnalle.

3.Muutoksenhakumenettelyn osapuoli voi jäävätä valituslautakunnan jäsenen jollakin 1 kohdassa tarkoitetuista perusteista tai siinä tapauksessa, että kyseistä jäsentä epäillään puolueellisuudesta. Tällaista jääväystä ei voida hyväksyä, jos menettelyn osapuoli on jääväysperusteesta tietoisena jo toteuttanut menettelyyn liittyvän toimen. Jääväysperusteena ei voi käyttää valituslautakunnan jäsenten kansallisuutta.

4.Valituslautakunta päättää, miten 2 ja 3 kohdassa tarkoitetuissa tapauksissa on meneteltävä, mutta asianomainen jäsen ei osallistu päätöksen tekemiseen. Kyseisen päätöksen tekemiseksi asianomainen jäsen korvataan valituslautakunnassa hänen varajäsenellään.

39 artikla
Päätöksiä ja toimimatta jättämistä koskeva muutoksenhaku

1.Valituslautakunnassa voidaan hakea muutosta

a)päätökseen, jonka ENISA on tehnyt 22 artiklan 3 kohdan nojalla;

b)jos ENISA ei ole toiminut 22 artiklan 4 kohdassa säädetyissä määräajoissa.

2.Edellä olevan 1 kohdan nojalla tehtyyn muutoksenhakuun sovelletaan 41 artiklan mukaista oikaisua ennen sen saattamista valituslautakunnan tutkittavaksi.

3.Edellä olevan 1 kohdan nojalla tehdyllä muutoksenhaulla ei ole lykkäävää vaikutusta.

40 artikla
Henkilöt, joilla on muutoksenhakuoikeus, sekä muutoksenhaun määräaika ja muoto

1.Edellä olevassa 21 artiklan 3 kohdassa tarkoitetut hakijat voivat hakea muutosta

a)niille osoitettuun päätökseen, jonka ENISA on tehnyt 22 artiklan 3 kohdan nojalla;

b)jos ENISA jättää toimimatta hakijan jättämän hakemuksen osalta 22 artiklan 4 kohdassa säädetyissä määräajoissa.

2.Edellä olevassa 1 kohdan a alakohdassa tarkoitetussa tapauksessa muutoksenhaku perusteluineen on toimitettava kirjallisena 36 artiklan 5 kohdassa tarkoitetun työjärjestyksen mukaisesti kahden kuukauden kuluessa siitä, kun päätös on annettu tiedoksi kyseiselle hakijalle, tai jos tällaista tiedoksiantoa ei ole, kahden kuukauden kuluessa päivästä, jona kyseinen hakija tuli tietoiseksi päätöksestä.

3.Edellä olevassa 1 kohdan b alakohdassa tarkoitetussa tapauksessa muutoksenhaku on toimitettava ENISAlle kirjallisesti 36 artiklan 5 kohdassa tarkoitetun työjärjestyksen mukaisesti kahden kuukauden kuluessa 22 artiklan 4 kohdassa säädetyn määräajan päättymisestä.

41 artikla
Oikaisu

1.Jos ENISA katsoo, että muutoksenhaku voidaan ottaa käsiteltäväksi ja että sille on perusteita, se oikaisee 40 artiklan 1 kohdassa tarkoitetun päätöksen tai toimimatta jättämisen.

2.Jos ENISA ei oikaise päätöstä kuukauden kuluessa muutoksenhaun vastaanottamisesta, se päättää viipymättä, lykkääkö se päätöksensä soveltamista, ja saattaa muutoksenhaun valituslautakunnan käsiteltäväksi.

42 artikla
Muutoksenhakuja koskevien päätösten tutkiminen

1.Valituslautakunta päättää kolmen kuukauden kuluessa muutoksen hakemisesta, hyväksytäänkö vai hylätäänkö muutoksenhaku. Valituslautakunta toimii valitusta käsitellessään työjärjestyksensä mukaisissa määräajoissa. Se kehottaa muutoksenhakumenettelyn osapuolia aina tarvittaessa esittämään asetettuja määräaikoja noudattaen huomautuksensa valituslautakunnan tiedoksi antamista asioista tai muiden muutoksenhakumenettelyn osapuolten esittämistä huomioista. Muutoksenhakumenettelyn osapuolilla on oikeus esittää suullisia huomautuksia.

2.Jos valituslautakunta toteaa, että muutoksenhaku on perusteltu, se palauttaa asian ENISAn käsiteltäväksi. ENISA tekee lopullisen päätöksensä valituslautakunnan käsittelyn tulosten mukaisesti ja perustelee päätöksensä. ENISA ilmoittaa päätöksestään muutoksenhakumenettelyn osapuolille.

43 artikla
Asian saattaminen Euroopan unionin tuomioistuimen käsiteltäväksi

1.Kumoamiskanteet, jotka koskevat ENISAn 22 artiklan 3 kohdan nojalla tehtyjä päätöksiä, tai kanteet, jotka koskevat 22 artiklan 4 kohdan mukaisten määräaikojen puitteissa toimimatta jättämistä, voidaan saattaa Euroopan unionin tuomioistuimen käsiteltäviksi vasta sen jälkeen, kun 39–42 artiklan mukainen ENISAn sisäinen muutoksenhakukeino on käytetty, tai jos ENISA on jättänyt toimimatta 41 artiklan 2 kohdassa säädetyissä määräajoissa.

2.ENISA toteuttaa kaikki tarvittavat toimenpiteet Euroopan unionin tuomioistuimen tuomion noudattamiseksi.

7 jakso 
Toiminta

44 artikla
Yhtenäinen ohjelma-asiakirja

1.ENISA noudattaa toiminnassaan sen vuotuisen ja monivuotisen työohjelman sisältävää yhtenäistä ohjelma-asiakirjaa, johon sisältyy kaikki sen suunniteltu toiminta.

2.Pääjohtaja laatii vuosittain 1 kohdassa tarkoitetun yhtenäisen ohjelma-asiakirjan luonnoksen, joka sisältää vastaavan taloudellisia ja henkilöresursseja koskevan suunnitelman komission delegoidun asetuksen (EU) 2019/715 74 32 artiklan mukaisesti ja ottaen huomioon komission esittämät suuntaviivat.

3.Johtokunta hyväksyy kunkin vuoden marraskuun 30 päivään mennessä 1 kohdassa tarkoitetun yhtenäisen ohjelma-asiakirjan ottaen huomioon delegoidun asetuksen (EU) 2019/715 32 artiklan 7 kohdassa tarkoitetun komission lausunnon. Jos johtokunta päättää olla ottamatta huomioon joitakin komission lausunnon sisältämiä seikkoja, se antaa päätökselleen pätevät perustelut. Johtokunta välittää yhtenäisen ohjelma-asiakirjan Euroopan parlamentille, neuvostolle ja komissiolle seuraavan vuoden tammikuun 31 päivään mennessä, samoin kuin asiakirjan mahdolliset myöhemmät päivitetyt versiot.

4.Yhtenäisestä ohjelma-asiakirjasta tulee lopullinen, kun unionin yleinen talousarvio on lopullisesti vahvistettu, ja sitä mukautetaan tarvittaessa.

5.Vuotuisessa työohjelmassa on esitettävä yksityiskohtaiset tavoitteet ja odotetut tulokset, myös suoritusindikaattorit. Siinä on myös esitettävä kuvaus rahoitettavista toimista ja mainittava kuhunkin toimeen osoitetut taloudelliset ja henkilöstöresurssit toimintoperusteisen budjetoinnin ja hallinnoinnin periaatteiden mukaisesti. Vuotuisen työohjelman on oltava yhdenmukainen 7 kohdassa tarkoitetun monivuotisen työohjelman kanssa. Siinä on selkeästi ilmoitettava, mitä tehtäviä on lisätty, muutettu tai poistettu edelliseen varainhoitovuoteen verrattuna.

6.Johtokunta muuttaa hyväksyttyä vuotuista työohjelmaa, jos ENISAlle annetaan uusi tehtävä. Vuotuiseen työohjelmaan tehtävät olennaiset muutokset on hyväksyttävä samaa menettelyä noudattaen kuin alkuperäinen vuotuinen työohjelma. Johtokunta voi antaa pääjohtajalle valtuudet tehdä vuotuiseen työohjelmaan muita kuin olennaisia muutoksia.

7.Monivuotisessa työohjelmassa on esitettävä yleinen strateginen ohjelma, mukaan lukien tavoitteet, odotetut tulokset ja suoritusindikaattorit. Siinä on esitettävä myös resurssisuunnitelma, mukaan lukien monivuotinen talousarvio ja henkilöstösuunnitelma.

8.Resurssisuunnitelma päivitetään vuosittain. Strategista ohjelmaa päivitetään tarvittaessa ja varsinkin 120 artiklassa tarkoitetun arvioinnin tulosten huomioon ottamiseksi.

IV LUKU 
ENISAn talousarvion laatiminen ja rakenne

45 artikla
ENISAn talousarvion laatiminen

1.Pääjohtaja laatii vuosittain ENISAn seuraavan varainhoitovuoden tuloja ja menoja koskevan alustavan ennakkoarvion, johon sisältyy henkilöstötaulukko, ja toimittaa sen johtokunnalle.

2.Alustava ennakkoarvio perustuu vuotuisen työohjelman tavoitteisiin ja odotettuihin tuloksiin, ja siinä otetaan huomioon näiden tavoitteiden ja odotettujen tulosten saavuttamiseksi tarvittavat taloudelliset resurssit moitteettoman varainhoidon ja suoriutumisen periaatteiden mukaisesti.

3.Johtokunta hyväksyy vuosittain alustavan ennakkoarvion pohjalta ennakkoarvion ENISAn tuloista ja menoista seuraavaa varainhoitovuotta varten ja toimittaa sen komissiolle tammikuun 31 päivään mennessä.

4.Komissio toimittaa ennakkoarvion budjettivallan käyttäjälle yhdessä unionin yleistä talousarviota koskevan alustavan esityksen kanssa. Ennakkoarvio annetaan myös ENISAn käyttöön.

5.Komissio sisällyttää tämän ennakkoarvion perusteella unionin yleistä talousarviota koskevaan esitykseen määrärahat, joita se pitää henkilöstötaulukon perusteella välttämättöminä, sekä yleisestä talousarviosta otettavan tuen määrän ja toimittaa talousarvioesityksen budjettivallan käyttäjälle Euroopan unionin toiminnasta tehdyn sopimuksen 313 ja 314 artiklan mukaisesti.

6.Budjettivallan käyttäjä hyväksyy ENISAlle unionin talousarvioista annettavaa rahoitusosuutta koskevat määrärahat.

7.Budjettivallan käyttäjä vahvistaa ENISAn henkilöstötaulukon.

8.Johtokunta vahvistaa ENISAn talousarvion. Siitä tulee lopullinen, kun unionin yleinen talousarvio on lopullisesti vahvistettu, ja sitä mukautetaan tarvittaessa vastaavasti.

9.Kaikkiin rakennushankkeisiin, joilla on todennäköisesti huomattava vaikutus ENISAn talousarvioon, sovelletaan delegoitua asetusta (EU) 2019/715.

46 artikla
ENISAn talousarvion rakenne

1.ENISAn kaikista tuloista ja menoista laaditaan kutakin varainhoitovuotta varten arvio, jonka perusteella tulot ja menot otetaan ENISAn talousarvioon. Varainhoitovuosi vastaa kalenterivuotta.

2.ENISAn talousarvioon otettavien tulojen ja menojen on oltava tasapainossa.

3.Sulkematta pois muita tulonlähteitä ENISAn tulot koostuvat seuraavista:

a)unionin yleiseen talousarvioon otettu unionin rahoitusosuus;

b)tiettyjen menoerien rahoittamiseen osoitettavat tulot sen 50 artiklassa tarkoitettujen varainhoitosääntöjen mukaisesti;

c)unionin rahoitus, joka annetaan rahoitusosuussopimusten tai kertaluonteisten avustusten muodossa 50 artiklassa tarkoitettujen ENISAn varainhoitosääntöjen ja unionin politiikkoja tukeviin asianomaisiin välineisiin sovellettavien säännösten mukaisesti;

d)hakijoilta 22 artiklan 1 kohdan mukaisesti perittävät maksut, jotka liittyvät yksilöllisiä kyberturvallisuustaitoja koskeviin eurooppalaisiin todistusjärjestelmiin;

e)vaatimustenmukaisuuden arviointilaitoksilta 47 artiklan 2 kohdan mukaisesti perittävät maksut, jotka liittyvät eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään osallistumiseen ja sen mukaisten eurooppalaisten kyberturvallisuussertifikaattien myöntämiseen;

f)viranomaisilta tai yksityisiltä elimiltä 47 artiklan 3 kohdan mukaisesti perittävät maksut testausvälineistä;

g)ENISAn toimintaan 70 artiklan 4 kohdan mukaisesti osallistuvien kolmansien maiden rahoitusosuudet;

h)mahdolliset jäsenvaltioiden vapaaehtoiset rahoitusosuudet rahana tai luontoissuorituksina.

4.Edellä olevassa 3 kohdan g alakohdassa tarkoitettuja vapaaehtoisia rahoitusosuuksia suorittavat jäsenvaltiot eivät voi vaatia erityisoikeuksia tai -palveluja suorituksensa perusteella.

5.ENISAn menoihin kuuluvat henkilöstön palkat, hallinto- ja infrastruktuurimenot sekä toimintamenot.

47 artikla
Maksut

1.Edellä olevassa 21 artiklan 3 kohdassa tarkoitetuilta hakijoilta tai valtuutetuilta todistuksen tarjoajilta peritään 22 artiklan 1 kohdassa säädettyjen yksittäisten eurooppalaisten todistusjärjestelmien toimien osalta ENISAn suorittamien toimien kokonaiskustannusten kattamiseksi maksuja seuraavista:

a)valtuutusten myöntäminen 21 artiklan 3 ja 4 kohdassa säädettyjen vaatimusten tarkastelun jälkeen, mukaan luettuna arviointien suorittaminen;

b)valtuutuksen vuotuinen ylläpito;

c)yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten tarjoajien valtuutusten uusiminen, mukaan luettuna arviointien suorittaminen.

2.Sertifioinnin osalta vaatimustenmukaisuuden arviointilaitoksilta peritään seuraavat maksut niiden eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpidosta, joiden nojalla eurooppalaisia kyberturvallisuussertifikaatteja myönnetään, erityisesti

a)vuosimaksu eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään osallistumisesta; 

b)maksu eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien puitteissa myönnetyistä eurooppalaisista kyberturvallisuussertifikaateista.

Edellä olevassa b alakohdassa tarkoitetut maksut peritään, kun vaatimustenmukaisuuden arviointilaitos toimittaa eurooppalaisia kyberturvallisuussertifikaatteja ENISAlle julkaistavaksi sen verkkosivustolla 79 artiklan nojalla.

3.Edellä olevassa 15 artiklan 1 kohdassa tarkoitettujen testausvälineiden käytöstä peritään maksu viranomaisilta tai yksityisiltä tahoilta.

4.Maksut ilmaistaan ja maksetaan euroina.

5.Komissio hyväksyy täytäntöönpanosäädöksiä säännöistä, jotka koskevat ENISAn perimien maksujen määrittämistä ja joissa täsmennetään erityisesti arvioidut kustannukset kustakin tekijästä, josta 1, 2 ja 3 kohdan mukaiset maksut peritään, sekä yksittäiset perittävät maksumäärät sekä maksujen maksutavat ja -edellytykset. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. Komissio kuulee ENISAa näitä täytäntöönpanosäädösluonnoksia valmistellessaan.

6.Edellä 5 kohdassa tarkoitetuissa täytäntöönpanosäädöksissä määritettävät maksut vahvistetaan etukäteen siten, että ne ovat oikeassa suhteessa toteutettujen toimien tai suoritettujen palvelujen kustannustehokkuusperiaatteella arvioituihin kustannuksiin ja riittäviä kattamaan kyseiset kustannukset. Kaikki ENISAn menot, jotka liittyvät 1, 2 ja 3 kohdassa tarkoitettuihin toimiin osallistuvaan henkilöstöön, otetaan huomioon katettavissa kustannuksissa. Maksujen taso määritetään siten, että pyritään välttämään ENISAn talousarvion alijäämäisyyttä ja merkittävän ylijäämän kertymistä. Maksuista syntyvä talousarvion ylijäämä ohjataan ENISAn toimien, erityisesti maksuihin liittyvien tulevien toimien, rahoittamiseen tai kertyneiden tappioiden kattamiseen. Jos talousarvio on maksujen kattamien toimien seurauksena toistuvasti merkittävän ylijäämäinen tai jos maksujen kattamien palvelujen tarjoamisesta syntyy merkittävä alijäämä, komissio muuttaa 5 kohdassa tarkoitettuja täytäntöönpanosäädöksiä maksujen laskentamenetelmän tarkistamiseksi 118 artiklan 2 kohdan mukaisesti.

Edellä 1 kohdassa tarkoitetuista tehtävistä perittävien maksujen määrä vahvistetaan tasolle, jolla varmistetaan, että niistä saatavat tulot kattavat riittävässä määrin yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien kehittämiseen ja ylläpitoon, hakemusten käsittelyyn sekä valtuutusten antamiseen ja uusimiseen liittyvien toimien kustannukset sekä näiden toimien kannalta tarpeellisista ENISAn valvontatoimista syntyvät kustannukset.

Edellä 2 kohdassa tarkoitetuista tehtävistä perittävien maksujen määrä vahvistetaan tasolle, jolla varmistetaan, että niistä saatavat tulot kattavat riittävässä määrin kaikki 75 artiklassa tarkoitettujen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitoon liittyvien toimien kustannukset.

Edellä 3 kohdassa tarkoitetuista tehtävistä perittävien maksujen määrä vahvistetaan tasolle, jolla varmistetaan, että niistä saatavat tulot kattavat riittävässä määrin 15 artiklan 1 kohdassa tarkoitettujen testausvälineiden tarjoamiseen liittyvien toimien kustannukset.

7.ENISA toimittaa selvityksen perityistä maksuista ja niiden vaikutuksesta talousarvioonsa osana 50 artiklassa säädettyä tilinpäätösmenettelyä.

8.ENISA ottaa käyttöön indikaattoreita maksuilla rahoitetuista toimista aiheutuvan työmäärän ja näiden toimien tuloksellisuuden ja tehokkuuden mittaamiseksi. ENISAn on mukautettava henkilöstösuunnitelmaansa ja maksuihin liittyvien resurssien hallinnointia tarvittavalla tavalla voidakseen vastata asianmukaisesti näiden toimien kysyntään ja reagoidakseen maksuista saatavien tulojen mahdollisiin vaihteluihin. ENISA toimittaa selvityksen komissiolle, joka voi käyttää sitä 120 artiklan 1 kohdassa tarkoitettua arviointia varten.

48 artikla
ENISAn talousarvion toteuttaminen

1.Pääjohtaja vastaa ENISAn talousarvion toteuttamisesta ja toimii tulojen ja menojen hyväksyjänä.

2.Komission sisäinen tilintarkastaja käyttää ENISAan nähden samoja valtuuksia kuin komission yksiköihin.

3.Pääjohtaja toimittaa vuosittain budjettivallan käyttäjälle kaikki arviointimenettelyjen tulosten kannalta olennaiset tiedot.

49 artikla
Tilinpäätös ja vastuuvapauden myöntäminen

1.ENISAn tilinpitäjä toimittaa alustavan tilinpäätöksen komission tilinpitäjälle ja tilintarkastustuomioistuimelle viimeistään varainhoitovuoden (vuosi N) päättymistä seuraavan varainhoitovuoden (vuosi N + 1) maaliskuun 1 päivänä.

2.ENISAn tilinpitäjä toimittaa komission tilinpitäjälle viimeistään vuoden N + 1 maaliskuun 1 päivänä myös vaaditut kirjanpitotiedot konsolidointia varten sillä tavalla ja siinä muodossa kuin komission tilinpitäjä edellyttää.

3.ENISA toimittaa selvityksen vuoden N talousarvio- ja varainhallinnosta Euroopan parlamentille, neuvostolle, komissiolle ja tilintarkastustuomioistuimelle viimeistään vuoden N + 1 maaliskuun 31 päivänä.

4.Saatuaan tilintarkastustuomioistuimen huomautukset ENISAn vuoden N alustavasta tilinpäätöksestä ENISAn tilinpitäjä laatii ENISAn lopullisen tilinpäätöksen omalla vastuullaan. Pääjohtaja toimittaa lopullisen tilinpäätöksen johtokunnalle lausuntoa varten.

5.Johtokunta antaa lausunnon ENISAn vuoden N lopullisesta tilinpäätöksestä.

6.ENISAn tilinpitäjä toimittaa vuoden N lopullisen tilinpäätöksen ja johtokunnan lausunnon Euroopan parlamentille, neuvostolle, komissiolle ja tilintarkastustuomioistuimelle viimeistään vuoden N + 1 heinäkuun 1 päivänä.

7.Linkki ENISAn lopullisen tilinpäätöksen sisältävälle verkkosivustolle julkaistaan Euroopan unionin virallisessa lehdessä viimeistään vuoden N + 1 marraskuun 15 päivänä.

8.Pääjohtaja toimittaa tilintarkastustuomioistuimelle vastauksen tämän vuosikertomuksessaan esittämiin huomautuksiin viimeistään vuoden N + 1 syyskuun 30 päivänä. Pääjohtaja toimittaa vastauksen myös johtokunnalle ja komissiolle.

9.Pääjohtaja antaa Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) 2024/2509 267 artiklan 3 kohdan mukaisesti Euroopan parlamentille tämän pyynnöstä kaikki vuotta N koskevan vastuuvapausmenettelyn sujuvan suorittamisen edellyttämät tiedot.

10.Euroopan parlamentti myöntää neuvoston määräenemmistöllä antamasta suosituksesta pääjohtajalle ennen vuoden N + 2 toukokuun 15 päivää vastuuvapauden vuoden N talousarvion toteuttamisen osalta.

50 artikla
Varainhoitosäännöt

1.Johtokunta hyväksyy ENISAn varainhoitosäännöt komissiota kuultuaan. Varainhoitosäännöt voivat poiketa delegoidusta asetuksesta (EU) 2019/715 ainoastaan, jos ENISAn toiminta sitä erityisesti edellyttää ja jos komissio on antanut siihen ennalta suostumuksensa.

2.ENISA laatii ja toteuttaa talousarvionsa omien varainhoitosääntöjensä ja asetuksen (EU, Euratom) 2024/2509 mukaisesti.

51 artikla
Petostentorjunta

1.Petosten, lahjonnan ja muiden laittomien toimien torjumiseksi ENISAn toimiin sovelletaan rajoituksetta Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) N:o 883/2013 75 säännöksiä.

2.ENISA liittyy kuuden kuukauden kuluessa [julkaisutoimisto lisää tarkan päivämäärän tämän asetuksen 127 artiklan mukaisesti] OLAFin sisäisistä tutkimuksista 25 päivänä toukokuuta 1999 tehtyyn Euroopan parlamentin, Euroopan unionin neuvoston ja Euroopan yhteisöjen komission tekemään toimielinten väliseen sopimukseen 76 ja antaa henkilöstöään koskevat asiaan liittyvät määräykset käyttäen kyseisen sopimuksen liitteessä olevaa mallia.

3.Tilintarkastustuomioistuimella on valtuudet tehdä kaikkien ENISAlta unionin rahoitusta saaneiden avustuksensaajien, toimeksisaajien ja alihankkijoiden osalta asiakirjoihin perustuvia ja paikan päällä suoritettavia tarkastuksia.

4.OLAF voi tehdä asetuksen (EU, Euratom) N:o 883/2013 ja neuvoston asetuksen (Euratom, EY) N:o 2185/96 77 säännösten ja niissä säädettyjen menettelyjen mukaisesti tarkastuksia, myös paikan päällä suoritettavia tarkastuksia ja todentamisia, sen selvittämiseksi, onko ENISAn rahoittamaan avustukseen tai sopimukseen liittynyt unionin taloudellisia etuja vahingoittavia petoksia, lahjontaa tai muuta laitonta toimintaa.

5.ENISAn yhteistyösopimuksiin kolmansien maiden ja kansainvälisten järjestöjen kanssa, muihin sopimuksiin, avustussopimuksiin ja avustuspäätöksiin on sisällytettävä määräyksiä, joissa nimenomaisesti annetaan tilintarkastustuomioistuimelle ja OLAFille valtuudet tehdä tällaisia tarkastuksia ja tutkimuksia niiden oman toimivallan mukaisesti, sanotun kuitenkaan rajoittamatta 1–4 kohdan soveltamista.

6.EPPO voi neuvoston asetuksen (EU) 2017/1939 mukaisesti tutkia petoksia ja muita unionin taloudellisia etuja vahingoittavia laittomia toimia sekä nostaa niistä syytteen Euroopan parlamentin ja neuvoston direktiivin (EU) 2017/1371 78 mukaisesti.

52 artikla
Etunäkökohtia koskeva ilmoitus

1.Jokaisen johtokunnan jäsenen, pääjohtajan, varapääjohtajan sekä jokaisen toimihenkilön, joka on otettu palvelukseen jäsenvaltion tilapäisesti lähettämänä virkamiehenä, on tehtävä ilmoitus sitoumuksistaan sekä ilmoitus, jossa he toteavat, onko olemassa heidän riippumattomuuttaan mahdollisesti vaarantavia välittömiä tai välillisiä sidonnaisuuksia. Ilmoitusten on oltava tarkkoja ja täydellisiä, ne on tehtävä kirjallisesti vuosittain, ja ne on tarvittaessa päivitettävä.

2.Jokaisen johtokunnan jäsenen, pääjohtajan, varapääjohtajan ja jokaisen tilapäisiin työryhmiin osallistuvan ulkopuolisen asiantuntijan on ilmoitettava viimeistään kunkin kokouksen alussa tarkasti ja täydellisesti mahdolliset sidonnaisuudet, jotka saattavat vaarantaa heidän riippumattomuutensa kokouksen esityslistalla olevien asioiden suhteen, sekä pidättäydyttävä osallistumasta kyseisiä kohtia koskevaan keskusteluun ja äänestykseen.

3.ENISA vahvistaa sisäisissä toimintasäännöissään 1 ja 2 kohdassa tarkoitettua sidonnaisuuksien ilmoittamista koskeviin sääntöihin liittyvät käytännön järjestelyt.

53 artikla
Läpinäkyvyys

1.ENISAn toiminnan on oltava mahdollisimman läpinäkyvää sekä 55 artiklan mukaista.

2.ENISA varmistaa, että suuri yleisö ja kaikki asianomaiset tahot saavat asianmukaista, puolueetonta, luotettavaa ja helposti saavutettavaa tietoa erityisesti ENISAn työn tuloksista. Sen on myös asetettava 52 artiklan mukaisesti tehdyt sidonnaisuuksia koskevat ilmoitukset julkisesti saataville.

3.Johtokunta voi pääjohtajan ehdotuksesta sallia asianomaisten tahojen seurata joidenkin ENISAn toimien käsittelyä.

4.ENISA vahvistaa sisäisissä toimintasäännöissään 1 ja 2 kohdassa tarkoitettujen läpinäkyvyyssääntöjen täytäntöönpanoa koskevat käytännön järjestelyt.

54 artikla
Luottamuksellisuus ENISAssa

1.ENISA ei saa paljastaa kolmansille osapuolille käsittelemiään tai saamiaan tietoja, joiden käsittelystä luottamuksellisina on esitetty perusteltu pyyntö, sanotun kuitenkaan rajoittamatta 55 artiklan soveltamista.

2.Johtokunnan jäsenten, pääjohtajan, varapääjohtajan, ENISAn neuvoa-antavan ryhmän jäsenten, tilapäisiin työryhmiin osallistuvien ulkopuolisten asiantuntijoiden sekä ENISAn henkilöstön, mukaan lukien ne toimihenkilöt, jotka on otettu palvelukseen jäsenvaltioiden tilapäisesti lähettäminä virkamiehinä, on noudatettava SEUT-sopimuksen 339 artiklan mukaista salassapitovelvollisuutta myös tehtäviensä päätyttyä.

3.ENISA vahvistaa sisäisissä toimintasäännöissään 1 ja 2 kohdassa tarkoitettujen salassapitovelvollisuutta koskevien sääntöjen täytäntöönpanoa koskevat käytännön järjestelyt.

55 artikla
Asiakirjojen julkisuus

1.ENISAn hallussaan pitämiin asiakirjoihin sovelletaan asetusta (EY) N:o 1049/2001.

2.Johtokunta vahvistaa järjestelyt asetuksen (EY) N:o 1049/2001 täytäntöön panemiseksi.

3.Asetuksen (EY) N:o 1049/2001 8 artiklan nojalla tehdyistä ENISAn päätöksistä voidaan kannella Euroopan oikeusasiamiehelle SEUT-sopimuksen 228 artiklan nojalla tai nostaa kanne Euroopan unionin tuomioistuimessa SEUT-sopimuksen 263 artiklan nojalla.

V LUKU 
Henkilöstö ja yhteyshenkilöt

56 artikla
Yleiset säännökset

1.ENISAn henkilöstöön sovelletaan henkilöstösääntöjä ja muuta henkilöstöä koskevia palvelussuhteen ehtoja sekä unionin toimielinten yhteisellä päätöksellä annettuja henkilöstösääntöjen ja muuta henkilöstöä koskevien palvelussuhteen ehtojen täytäntöönpanosäännöksiä.

2.ENISAn henkilöstölle, yhteyshenkilöille ja ENISAn palvelukseen tilapäisesti lähetetyille kansallisille asiantuntijoille on tehtävä asianmukainen turvallisuusselvitys.

57 artikla
Erioikeudet ja vapaudet

ENISAan ja sen henkilöstöön sovelletaan SEUT-sopimukseen liitettyä Euroopan unionin erioikeuksista ja vapauksista tehtyä pöytäkirjaa N:o 7.

58 artikla
Yhteyshenkilöt

1.Kunkin jäsenvaltion on nimettävä 59 artiklan 2 kohdan mukaisesti vähintään kaksi yhteyshenkilöä direktiivin (EU) 2022/2555 8 artiklan 1 kohdan mukaisesti nimetystä kansallisesta toimivaltaisesta viranomaisesta kansalliseksi asiantuntijaksi ENISAan ja työskentelemään sen toimipaikassa tai paikallistoimistossa. Myös komissio voi nimetä yhteyshenkilön.

2.Yhteyshenkilöiden tehtävänä on tukea ENISAn tehtävien suorittamista muun muassa helpottamalla 11 artiklassa tarkoitettua operatiivista yhteistyötä ja tietojenvaihtoa. Yhteyshenkilöiden tehtävänä on myös auttaa ENISAa levittämään tietoa toiminnastaan sekä havaintojaan ja suosituksiaan asiaankuuluville sidosryhmille unionissa. Lisäksi yhteyshenkilöt toimivat kansallisina yhteyspisteinä, jotka vastaavat jäsenvaltioidensa esittämiin ja niihin liittyviin kysymyksiin joko itse tai käsiteltyään kysymyksiä ensin jäsenvaltioidensa kansallisten viranomaisten kanssa.

3.Jäsenvaltioidensa nimeämillä yhteyshenkilöillä on oikeus pyytää ja saada jäsenvaltioiltaan kaikki tämän asetuksen mukaiset asiaankuuluvat tiedot, ja he toimivat täysin jäsenvaltioidensa kansallisen lainsäädännön ja käytäntöjen mukaisesti erityisesti tietosuojan ja luottamuksellisuuden osalta.

59 artikla
Kansalliset asiantuntijat ja muu henkilöstö

1.ENISA voi käyttää kansallisia asiantuntijoita tai muuta henkilöstöä, joka ei ole ENISAn palveluksessa, millä tahansa toiminta-alallaan. Näihin henkilöihin ei sovelleta henkilöstösääntöjä eikä palvelussuhteen ehtoja.

2.Johtokunta tekee päätöksen, jolla vahvistetaan säännöt kansallisten asiantuntijoiden, myös yhteyshenkilöiden, tilapäisestä lähettämisestä ENISAn palvelukseen.

VI LUKU 
ENISAn YLEISET SÄÄNNÖKSET

60 artikla
ENISAn oikeudellinen asema

1.ENISA on unionin elin, joka on oikeushenkilö.

2.ENISAlla on kussakin jäsenvaltiossa laajin kyseisen jäsenvaltion kansallisen oikeuden mukainen oikeushenkilöllä oleva oikeus- ja oikeustoimikelpoisuus. Se voi erityisesti hankkia ja luovuttaa irtainta ja kiinteää omaisuutta sekä esiintyä kantajana ja vastaajana oikeudenkäynneissä.

3.ENISAa edustaa pääjohtaja.

61 artikla
Toimipaikka

ENISAn toimipaikka on Ateenassa, Kreikassa.

62 artikla
Toimipaikkaa koskeva sopimus ja toimintaedellytykset

1.Isäntäjäsenvaltion ENISAlle tarjoamia tiloja ja palveluja koskevat järjestelyt sekä ENISAn pääjohtajaan, johtokunnan jäseniin, ENISAn henkilöstöön ja heidän perheenjäseniinsä isäntäjäsenvaltiossa sovellettavat erityissäännöt vahvistetaan ENISAn ja isäntäjäsenvaltion välisessä toimipaikkaa koskevassa sopimuksessa, joka tehdään sen jälkeen kun johtokunta on sen hyväksynyt.

2.ENISAn isäntäjäsenvaltion on tarjottava parhaat mahdolliset edellytykset ENISAn moitteettoman toiminnan varmistamiseksi, mukaan lukien toimivat liikenneyhteydet sijaintipaikalle, henkilöstön jäsenten lapsille soveltuvat koulunkäyntimahdollisuudet, puolisoiden mahdollisuudet päästä työmarkkinoille sekä riittävä sosiaaliturvan ja terveydenhuoltopalvelujen saatavuus henkilöstön jäsenten lapsille ja puolisoille.

63 artikla
Hallinnollinen valvonta

Euroopan oikeusasiamies valvoo ENISAn toimintaa SEUT-sopimuksen 228 artiklan mukaisesti.

64 artikla
ENISAn vastuu

1.Sopimukseen perustuva ENISAn vastuu määräytyy kyseessä olevaan sopimukseen sovellettavan lain mukaan.

2.Euroopan unionin tuomioistuimella on ENISAn tekemässä sopimuksessa olevaan välityslausekkeeseen perustuva tuomiovalta.

3.Sopimussuhteen ulkopuolisen vastuun osalta ENISAn on korvattava ENISAn tai sen henkilöstön tehtäviään suorittaessaan aiheuttamat vahingot jäsenvaltioiden lainsäädännön yhteisten yleisten periaatteiden mukaisesti.

4.Euroopan unionin tuomioistuimella on tuomiovalta 3 kohdassa tarkoitettujen vahinkojen korvaamista koskevissa riidoissa.

5.ENISAn henkilöstön henkilökohtaista vastuuta ENISAa kohtaan säännellään sen henkilöstöön sovellettavissa henkilöstösäännöissä ja palvelussuhteen ehdoissa.

65 artikla
Kielijärjestelyt

1.ENISAan sovelletaan neuvoston asetusta N:o 1 79 . Jäsenvaltiot ja niiden nimeämät muut elimet voivat kääntyä ENISAn puoleen ja saada siltä vastauksen valitsemallaan unionin toimielinten virallisella kielellä.

2.Euroopan unionin elinten käännöskeskus huolehtii ENISAn toiminnan edellyttämistä käännöspalveluista ja kaikista muista kielipalveluista tulkkausta lukuun ottamatta.

66 artikla
Henkilötietojen suoja

1.ENISAssa tapahtuvaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725.

2.Johtokunta hyväksyy asetuksen (EU) 2018/1725 45 artiklan 3 kohdassa tarkoitetut soveltamissäännöt. Johtokunta voi hyväksyä lisätoimenpiteitä, jotka ovat tarpeen ENISAn soveltaessa asetusta (EU) 2018/1725.

67 artikla
Arkaluonteisten turvallisuusluokittelemattomien tietojen ja turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt

ENISA hyväksyy yhteisymmärryksessä komission kanssa turvallisuussäännöt, joissa sovelletaan turvallisuutta koskevia periaatteita, jotka sisältyvät päätöksissä (EU, Euratom) 2015/443 80 ja (EU, Euratom) 2015/444 81 vahvistettuihin arkaluonteisten turvallisuusluokittelemattomien tietojen ja Euroopan unionin turvallisuusluokiteltujen tietojen suojaamista koskeviin komission turvallisuussäännöksiin. Nämä turvallisuussäännöt koskevat muun muassa tällaisten tietojen vaihtamista, käsittelyä ja tallentamista.

68 artikla
Yhteistyö unionin toimijoiden ja kansallisten viranomaisten kanssa

1.Johdonmukaisuuden varmistamiseksi, synergioiden luomiseksi ja yhteisten haasteiden ratkaisemiseksi ENISA tekee kyberturvallisuuteen liittyvissä asioissa yhteistyötä CERT-EU:n ja asiaankuuluvien unionin toimijoiden, kuten Europolin, asetuksen (EU) 2021/887 nojalla perustetun Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskuksen sekä asetuksen (EU) 2016/679 68 artiklan 1 kohdan nojalla perustetun Euroopan tietosuojaneuvoston kanssa.

2.Edellä 1 kohdassa tarkoitettua yhteistyötä voidaan tehdä

a)vaihtamalla tietotaitoa ja parhaita käytäntöjä;

b)tarjoamalla neuvoja ja antamalla ohjeita kyberturvallisuuteen liittyvistä kysymyksistä;

c)ottamalla käyttöön käytännön järjestelyjä tiettyjen tehtävien hoitamiseksi sen jälkeen, kun komissiota on kuultu näistä järjestelyistä.

3.ENISA tekee jäsenneltyä yhteistyötä CERT-EU:n kanssa erityisesti valmiuksien kehittämiseen, operatiiviseen yhteistyöhön ja kyberuhkien pitkän aikavälin strategisiin analyyseihin liittyvissä asioissa.

4.ENISA tekee yhteistyötä ja vaihtaa tietoja unionin kyberturvallisuuslainsäädännön, kuten asetuksen (EU) 2024/2847, nojalla nimettyjen asiaankuuluvien markkinavalvonta- ja valvontaviranomaisten kanssa.

69 artikla
Yhteistyö sidosryhmien kanssa

1.ENISA tekee tarvittaessa tämän asetuksen tavoitteiden saavuttamiseksi yhteistyötä asiaankuuluvien sidosryhmien, kuten kyberturvallisuusalan sekä tieto- ja viestintätekniikka-alan toimijoiden, pk-yritysten, direktiivin (EU) 2022/2555 liitteissä I ja II lueteltujen alojen toimijoiden, asetuksessa (EU) 2024/2847 tarkoitettujen digitaalisia elementtejä sisältävien tuotteiden valmistajien, maahantuojien ja jakelijoiden, eurooppalaisen kyberturvallisuuden sertifiointikehyksen ja asetuksen (EU) 2024/2847 mukaisesti ilmoitettujen vaatimustenmukaisuuden arviointilaitosten, sähköisen tunnistamisen menetelmien alan toimijoiden, kuluttajaryhmien ja tiedeyhteisöä edustavien kyberturvallisuusasiantuntijoiden, kanssa. ENISA voi perustaa tätä varten julkisen ja yksityisen sektorin kumppanuuksia.

2.ENISA tukee komissiota kuullen 93 artiklan nojalla ilmoitettujen vaatimustenmukaisuuden arviointilaitosten välistä yhteistyötä. Se voi erityisesti muodostaa ilmoitetuista vaatimustenmukaisuuden arviointilaitoksista ryhmän parhaiden käytäntöjen jakamista varten tavoitteena luoda synergioita muun asiaa koskevan unionin lainsäädännön, erityisesti asetuksen (EU) 2024/2847, kanssa.

70 artikla
Yhteistyö kolmansien maiden ja kansainvälisten järjestöjen kanssa

1.Siinä määrin kuin on tarpeen tämän asetuksen tavoitteiden saavuttamiseksi ENISA voi tehdä yhteistyötä kolmansien maiden toimivaltaisten viranomaisten ja/tai kansainvälisten järjestöjen kanssa unionin painopisteiden mukaisesti. ENISA voi tätä varten vahvistaa työjärjestelyjä näiden kolmansien maiden viranomaisten ja kansainvälisten järjestöjen kanssa, edellyttäen että komissio antaa tähän ennakkohyväksynnän. Näistä työjärjestelyistä ei saa seurata oikeudellisia velvoitteita unionille ja sen jäsenvaltioille.

2.Johtokunta hyväksyy strategian, joka koskee ENISAn suhteita kolmansiin maihin tai kansainvälisiin järjestöihin asioissa, joissa ENISA on toimivaltainen, noudattaen 1 kohdassa tarkoitettuja painopisteitä. Komissio varmistaa, että ENISA toimii toimeksiantonsa ja olemassa olevien institutionaalisten puitteiden mukaisesti sopimalla asianmukaisesta työjärjestelystä pääjohtajan kanssa.

3.Tukeakseen yhteistyötä kolmansien maiden ja erityisesti unionin jäsenehdokasvaltioiden kanssa ENISA voi tarjota valmiuksien kehittämiseen liittyvää asiantuntemustaan erityisesti seuraavilla osa-alueilla:

a)kyberturvallisuusvalmiuksien ja ‑resurssien kehitystason arviointi;

b)kyberturvallisuusalan työvoiman kasvattaminen ja vahvistaminen muun muassa edistämällä eurooppalaista kyberturvallisuustaitoja koskevaa kehystä ja yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä sekä tarjoamalla oppimismahdollisuuksia ja koulutusta;

c)kyberturvallisuusharjoitusten suunnittelun ja toteutuksen tukeminen.

4.ENISAn työhön voivat osallistua kolmannet maat, jotka ovat tehneet tästä sopimuksen unionin kanssa. Kolmansien maiden ja unionin välisten sopimusten asiaa koskevien määräysten mukaisesti laaditaan järjestelyjä, jotka edellyttävät komission ennakkohyväksyntää ja joissa määritellään kyseisten maiden osalta erityisesti ENISAn toimintaan osallistumisen luonne, laajuus ja tapa, mukaan lukien ENISAn tekemiin aloitteisiin osallistumista, rahoitusosuuksia ja henkilöstöä koskevat säännöt. Henkilöstöasioiden osalta näiden työjärjestelyjen on kaikilta osin oltava henkilöstösääntöjen ja palvelussuhteen ehtojen mukaiset.

5.ENISA raportoi säännöllisesti neuvostolle ja komissiolle 1 ja 4 kohdassa tarkoitettujen työjärjestelyjen täytäntöönpanosta.

III OSASTO

EUROOPPALAINEN KYBERTURVALLISUUDEN SERTIFIOINTIKEHYS

I LUKU 
Tavoitteet, soveltamisala ja menettelyt

71 artikla
Eurooppalaisen kyberturvallisuuden sertifiointikehyksen tavoitteet ja soveltamisala

1.Eurooppalainen kyberturvallisuuden sertifiointikehys perustetaan digitaalisten sisämarkkinoiden luomiseksi tieto- ja viestintäteknisille tuotteille, palveluille ja prosesseille sekä tietoturvapalveluille ja toimijoille. Tätä varten eurooppalaisen kyberturvallisuuden sertifiointikehyksen avulla nostetaan kyberturvallisuuden tasoa unionissa, mahdollistetaan yhdenmukainen lähestymistapa eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin ja hyödynnetään sertifiointia sovellettavan unionin lainsäädännön noudattamisen helpottamiseksi.

2.Eurooppalaisessa kyberturvallisuuden sertifiointikehyksessä vahvistetaan mekanismi eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien perustamista varten ja sen osoittamiseksi, että

a)tällaisten järjestelmien mukaisesti arvioidut tieto- ja viestintätekniset tuotteet, palvelut ja prosessit ovat niille määritettyjen turvallisuusvaatimusten mukaisia, jotta voidaan suojella tallennettavien, siirrettävien tai käsiteltävien tietojen tai kyseisissä tuotteissa, palveluissa ja prosesseissa tarjottavien tai niiden välityksellä saatavilla olevien toimintojen tai palvelujen käytettävyyttä, aitoutta, eheyttä ja luottamuksellisuutta niiden koko elinkaaren ajan;

b)tällaisten järjestelmien mukaisesti arvioidut tietoturvapalvelut ovat niille määritettyjen turvallisuusvaatimusten mukaisia, jotta voidaan suojella kyseisten palvelujen tarjoamisen yhteydessä käytettävien, käsiteltävien, tallennettavien tai siirrettävien tietojen käytettävyyttä, aitoutta, eheyttä ja luottamuksellisuutta, että kyseisiä palveluja tarjotaan jatkuvasti ja että niistä vastaavalla henkilöstöllä on vaadittava osaaminen, asiantuntemus ja kokemus sekä riittävä ja asianmukaisen tasoinen asiaankuuluva tekninen tietämys ja ammatillinen luotettavuus;

c)tällaisten järjestelmien mukaisesti arvioitu toimijan kyberturvataso on sille määritettyjen turvallisuusvaatimusten mukainen.

3.Eurooppalainen kyberturvallisuussertifiointi on vapaaehtoista, jollei unionin lainsäädännössä tai kansallisessa lainsäädännössä toisin säädetä.

4.Eurooppalaisen kyberturvallisuuden sertifiointikehyksen mukaisesti myönnetty eurooppalainen kyberturvallisuussertifikaatti ja EU-vaatimustenmukaisuusilmoitus on tunnustettava kaikissa jäsenvaltioissa ilman eri toimenpiteitä.

72 artikla
Tietojen asettaminen julkisesti saataville ja kuuleminen

1.Komissio järjestää ENISAn tuella vähintään kerran vuodessa eurooppalaisen kyberturvallisuuden sertifiointikokouksen, johon kutsutaan Euroopan kyberturvallisuuden sertifiointiryhmän jäsenet ja muita asiaankuuluvia asiantuntijoita jäsenvaltioista, asiaankuuluvia unionin toimijoiden asiantuntijoita ja asianomaisia sidosryhmiä keskustelemaan kyberturvallisuuden sertifioinnin yhdenmukaistamisen strategisista painopisteistä.

2.Komissio ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan tietoa

a)eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä, jotka ENISAa on pyydetty kehittämään 73 artiklan mukaisesti;

b)tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen, toimijoiden kyberturvatason tai unionin lainsäädännön turvallisuusvaatimusten yhdenmukaistamisen strategisista painopisteistä, mukaan lukien mahdolliset osa-alueet, joita varten saatetaan pyytää eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.

3.Komissio asettaa tämän artiklan 2 kohdassa tarkoitetulla verkkosivustolla julkisesti saataville tiedot ENISAlle esittämistään pyynnöistä valmistella 73 artiklassa tarkoitettu ehdokasjärjestelmä sekä 74 artiklan 7 kohdan mukaisista päätöksistään hyväksyä, hylätä tai keskeyttää ENISAn esittämä ehdokasjärjestelmä.

4.Kun ENISA valmistelee ehdokasjärjestelmää 74 artiklan mukaisesti, Euroopan parlamentti ja neuvosto voivat pyytää Euroopan kyberturvallisuuden sertifiointiryhmän puheenjohtajana toimivaa komissiota sekä ENISAa esittämään olennaiset tiedot ehdokasjärjestelmän luonnoksesta. ENISA voi Euroopan parlamentin tai neuvoston pyynnöstä yhteisymmärryksessä komission kanssa asettaa Euroopan parlamentin ja neuvoston saataville ehdokasjärjestelmän luonnoksen osia tavalla, joka on asianmukainen vaaditun luottamuksellisuuden tason kannalta, ja tarvittaessa rajoitetusti, sanotun kuitenkaan rajoittamatta 54 artiklan soveltamista.

5.Euroopan parlamentti tai neuvosto voi pyytää komissiota ja ENISAa keskustelemaan kysymyksistä, jotka koskevat tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin, tietoturvapalveluihin taikka toimijoiden kyberturvatasoon sovellettavien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien toteuttamista.

73 artikla
Eurooppalaista kyberturvallisuuden sertifiointijärjestelmää koskevat pyynnöt

1.Komissio voi pyytää ENISAa valmistelemaan ehdokkaan tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin, tietoturvapalveluihin taikka toimijoiden kyberturvatasoon sovellettavaksi eurooppalaiseksi kyberturvallisuuden sertifiointijärjestelmäksi.

2.Asianmukaisesti perustelluissa tapauksissa Euroopan kyberturvallisuuden sertifiointiryhmä voi ehdottaa komissiolle 1 kohdassa tarkoitetun pyynnön esittämistä.

3.Edellä 1 kohdassa tarkoitetussa pyynnössä kuvataan yksityiskohtaisesti pyydetyn järjestelmän tarkoitus ja soveltamisala sekä se, miten 80 ja 81 artiklassa tarkoitetut turvallisuustavoitteet olisi saavutettava ja eri osatekijöitä koskevat vaatimukset täytettävä. Pyynnössä on myös täsmennettävä ehdolla olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän kehityssuunnitelma ja tekniset eritelmät, joihin järjestelmässä viitataan tai jotka siinä määritellään.

4.Laatiessaan 1 kohdassa tarkoitettua pyyntöä komissio kuulee asianmukaisesti ENISAa ja Euroopan kyberturvallisuuden sertifiointiryhmää sekä ottaa huomioon kaikkien asiaankuuluvien sidosryhmien ja muiden unionin toimijoiden näkemykset, mukaan lukien tarvittaessa sellaisen unionin lainsäädännön kannalta merkityksellisten sidosryhmien ja unionin toimijoiden näkemykset, jonka noudattaminen osoitetaan eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä tai jonka suhteen tällaisella järjestelmällä luodaan vaatimustenmukaisuusolettama.

74 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien valmistelu ja hyväksyminen

1.Viimeistään 12 kuukauden kuluttua siitä, kun ENISA on vastaanottanut komission 73 artiklan nojalla esittämän pyynnön, ENISA valmistelee ehdolla olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän, joka täyttää 80 ja 81 artiklan vaatimukset, jollei pyynnössä toisin mainita.

2.ENISA perustaa jokaisen ehdokasjärjestelmän valmistelua varten 32 artiklan 6 kohdan mukaisesti tilapäisen työryhmän, jonka tarkoituksena on antaa ENISAlle asiantuntijaneuvontaa.

3.ENISAn on tehtävä tiivistä yhteistyötä Euroopan kyberturvallisuuden sertifiointiryhmän kanssa ehdokasjärjestelmää valmistellessaan. Euroopan kyberturvallisuuden sertifiointiryhmän on annettava ENISAlle apua ja asiantuntijaneuvontaa ehdokasjärjestelmän ja mahdollisten siihen liittyvien teknisten eritelmien valmistelussa.

4.Ehdokasjärjestelmää ja mahdollisia siihen liittyviä teknisiä eritelmiä valmistellessaan ENISAn on kuultava sidosryhmiä oikea-aikaisesti virallisen, avoimen, läpinäkyvän ja osallistavan prosessin kautta. ENISAn on myös tehtävä yhteistyötä jäsenvaltioiden asianomaisten viranomaisten ja asianomaisten unionin toimijoiden kanssa saadakseen niiltä asiantuntijaneuvontaa ehdokasjärjestelmän ja mahdollisten siihen liittyvien teknisten eritelmien valmistelua varten. Kun ENISA toimittaa ehdokasjärjestelmän komissiolle 6 kohdan nojalla, sen on kuvattava, miten se on täyttänyt tämän kohdan vaatimukset.

5.Ennen ehdokasjärjestelmän ja mahdollisten siihen liittyvien teknisten eritelmien toimittamista komissiolle ENISAn on pyydettävä Euroopan kyberturvallisuuden sertifiointiryhmän jäseniltä kirjalliset lausunnot ehdokasjärjestelmästä. Kirjalliset lausunnot on annettava 30 päivän kuluessa pyynnön vastaanottamisesta. ENISAn on otettava Euroopan kyberturvallisuuden sertifiointiryhmän jäsenten lausunnot mahdollisimman tarkasti huomioon. Näiden lausuntojen puuttuminen ei estä ENISAa toimittamasta ehdokasjärjestelmää komissiolle.

6.ENISAn on toimitettava ehdokasjärjestelmä komissiolle 60 päivän kuluessa 5 kohdassa tarkoitetun pyynnön päivämäärästä.

7.Vastaanotettuaan ehdokasjärjestelmän komissio arvioi, vastaako järjestelmä 73 artiklan mukaisesti esitettyä pyyntöä. Viimeistään 30 päivän kuluessa ehdokasjärjestelmän toimittamisesta komissio joko

a)hyväksyy ehdokasjärjestelmän;

b)palauttaa ehdokasjärjestelmän perustelujen kera ENISAlle tarkistettavaksi ja asettaa tätä varten enintään 90 päivän määräajan, jonka kuluessa ENISAn on toimitettava tarkistettu ehdokasjärjestelmä; tai

c)hylkää ehdokasjärjestelmän.

8.Jos komissio palauttaa ehdokasjärjestelmän ENISAlle tarkistettavaksi 7 kohdan b alakohdan mukaisesti, tämän artiklan 4, 5 ja 7 kohtaa sovelletaan vastaavasti.

9.Siirretään komissiolle valta antaa ENISAn valmistelemien hyväksyttyjen ehdokasjärjestelmien pohjalta täytäntöönpanosäädöksiä, joissa vahvistetaan tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin taikka tietoturvapalveluihin tai toimijoiden kyberturvatasoon sovellettava eurooppalainen kyberturvallisuuden sertifiointijärjestelmä, joka täyttää 80 ja 81 artiklan vaatimukset. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

10.Komissio voi viitata tämän artiklan 9 kohdassa tarkoitetuissa täytäntöönpanosäädöksissä ENISAn 18 ja 77 artiklan mukaisesti laatimiin teknisiin eritelmiin.

11.Komissio voi täsmentää tämän artiklan 9 kohdassa tarkoitetuissa täytäntöönpanosäädöksissä eurooppalaisten kyberturvallisuussertifikaattien 87 artiklan mukaista kansainvälistä tunnustamista koskevat edellytykset.

75 artikla
Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpito

1.Kussakin eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä on määritettävä ylläpitostrategia. Ylläpitostrategiassa on esitettävä toimet, joilla järjestelmää on määrä ylläpitää, erityisesti sellaiset toimet, jotka liittyvät niihin standardeihin tai teknisiin eritelmiin, joihin järjestelmässä viitataan, tai vuorovaikutukseen asianomaisten sidosryhmien kanssa.

2.ENISAn on varmistettava yhteistyössä komission kanssa ja Euroopan kyberturvallisuuden sertifiointiryhmän ja siihen kuuluvan ylläpitoa käsittelevän alaryhmän tuella eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpito, mukaan lukien niiden mahdollinen uudelleentarkastelu komission toimesta. ENISAn on ylläpitotoimien yhteydessä tehtävä yhteistyötä ja vaihdettava tietoja asianomaisten unionin toimijoiden ja ryhmien kanssa.

3.ENISA voi ottaa yksityisen sektorin mukaan järjestelmän ylläpitoon tilapäisen työryhmän kautta 1 kohdassa tarkoitetun ylläpitostrategian mukaisesti.

4.Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitotoimiin on kuuluttava seuraavat:

a)teknisten eritelmien ja ohjeiden laatiminen, päivittäminen ja hyväksyminen järjestelmien yhdenmukaisen ja yhtenäisen toiminnan tukemiseksi;

b)järjestelmän kannalta merkityksellisten standardien tai teknisten eritelmien yksilöinti;

c)vuoropuhelu asianomaisten sidosryhmien kanssa, eurooppalaiset ja kansainväliset standardointiorganisaatiot mukaan lukien, ja tarvittaessa suhteiden luominen niihin muun muassa teknisten panosten antamiseksi niille tai saamiseksi niiltä;

d)suositusten antaminen komissiolle tarvittavista järjestelmien parannuksista ja päivityksistä muun muassa järjestelmien mahdollista uudelleentarkastelua varten;

e)järjestelmien käytännön toteutukseen liittyvien tietojen vaihto jäsenvaltioiden välillä;

f)osallistuminen vertaisarviointimekanismeihin ja tällaisten arviointien tulosten analysointiin järjestelmien toiminnan parantamiseksi ja niiden mahdollisen uudelleentarkastelun tueksi.

5.Euroopan kyberturvallisuuden sertifiointiryhmä voi antaa lausunnon eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpidosta.

76 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien arviointi, uudelleentarkastelu ja peruuttaminen

1.ENISAn on vähintään joka neljäs vuosi kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän käyttöönoton jälkeen arvioitava kyseisen järjestelmän vaikutuksia ja tuloksellisuutta yhteistyössä Euroopan kyberturvallisuuden sertifiointiryhmän alaisen ylläpitoa käsittelevän alaryhmän kanssa ottaen huomioon sidosryhmiltä saatu palaute. ENISAn on toteutettava tämä arviointi laatimalla 8 artiklan 1 kohdan mukainen markkina-analyysi.

2.Komissio voi 1 kohdassa tarkoitetun arvioinnin perusteella tarkistaa tai kumota täytäntöönpanosäädöksiä, joissa on 74 artiklan 9 kohdan nojalla säädetty eurooppalaisesta kyberturvallisuuden sertifiointijärjestelmästä.

3.Komissio kuulee eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien uudelleentarkastelun tai peruuttamisen yhteydessä ENISAa, Euroopan kyberturvallisuuden sertifiointiryhmää ja sen alaista ylläpitoa käsittelevää alaryhmää ja ottaa huomioon asianomaisten sidosryhmien ja muiden unionin toimijoiden näkemykset.

4.Euroopan kyberturvallisuuden sertifiointiryhmä voi antaa lausunnon eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän uudelleentarkastelusta tai peruuttamisesta. Komissio ottaa tällaisen lausunnon asianmukaisesti huomioon eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän uudelleentarkastelun tai peruuttamisen yhteydessä.

77 artikla
Tekniset eritelmät eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä

1.ENISA voi laatia teknisiä eritelmiä tulevia eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä varten tai eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpidon tueksi.

2.Tämän artiklan 1 kohdassa tarkoitetut tekniset eritelmät on laadittava oikea-aikaisesti Euroopan kyberturvallisuuden sertifiointiryhmän ja sen alaisen ylläpitoa käsittelevän alaryhmän sekä tapauksen mukaan 75 artiklan 3 kohdassa tarkoitetun vastaavan tilapäisen työryhmän tuella. Tätä varten ENISAn on pyydettävä näkemyksiä myös asianomaisilta sidosryhmiltä ottaen huomioon 75 artiklan 1 kohdassa tarkoitettu ylläpitostrategia.

3.Jos eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä viitataan 74 artiklan 10 kohdassa tarkoitetulla tavalla teknisiin eritelmiin, ne on asetettava saataville 79 artiklassa tarkoitetulla verkkosivustolla.

4.Asianmukaisesti perustelluissa tapauksissa, varsinkin jos teknisten eritelmien sisältämät tiedot voivat vaarantaa sertifioitujen tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen turvallisuuden tai toimijoiden kyberturvatason, tekniset eritelmät jaetaan vain niille sidosryhmille, joita järjestelmän vaatimukset koskevat. Tällaisiin teknisiin eritelmiin ei saa 74 artiklan 10 kohdassa tarkoitetulla tavalla viitata eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä.

78 artikla 
Unionin lainsäädännön noudattamisen helpottaminen

1.Jos unionin säädöksessä niin säädetään, eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti myönnetty sertifiointi osoittaa, että kyseisen säädöksen asiaa koskevat vaatimukset täyttyvät ja niihin nähden vallitsee vaatimustenmukaisuusolettama.

2.Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisten arviointitoimien on oltava johdonmukaisia suhteessa siihen unionin säädökseen, jossa säädetään vaatimustenmukaisuuden osoittamisesta ja vaatimustenmukaisuusolettamasta. Jos vastaavassa unionin säädöksessä ei täsmennetä näitä arviointitoimia, ne on täsmennettävä järjestelmässä. Kolmannen osapuolen on suoritettava sertifiointia varten tehtävä vaatimustenmukaisuuden arviointi, jonka perusteella unionin lainsäädännössä vahvistettujen vaatimusten voidaan olettaa täyttyvän.

3.Jos yhdenmukaistettua unionin lainsäädäntöä ei ole, myös kansallisessa lainsäädännössä voidaan säätää, että eurooppalaista kyberturvallisuuden sertifiointijärjestelmää voidaan käyttää osoittamaan, että tietyt kansallisessa lainsäädännössä vahvistetut oikeudelliset vaatimukset täyttyvät, ja luomaan vaatimustenmukaisuusolettama kyseisiin oikeudellisiin vaatimuksiin nähden.

79 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien käytön edistäminen, ENISAn verkkosivusto ja sertifikaattien julkaiseminen

1.ENISAn on toteutettava toimia hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien käytön edistämiseksi, muun muassa ylläpitämällä tämän artiklan 2 kohdassa tarkoitettua verkkosivustoa.

2.ENISAn on ylläpidettävä ja päivitettävä säännöllisesti erityistä verkkosivustoa, jolla asetetaan julkisesti saataville

a)tiedot eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä;

b)tiedot kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpitoon liittyvistä maksuista;

c)tiedot asiaankuuluvista ENISAn teknisistä eritelmistä;

d)tiedot eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, mukaan lukien niistä eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, jotka eivät ole enää päteviä tai joiden voimassaolo on keskeytetty, peruutettu tai päättynyt;

e)84 artiklan mukaisesti annetut asiaankuuluvat täydentävät kyberturvallisuustiedot;

f)89 artiklan 7 kohdan mukaiset vertaisarviointien yhteenvedot;

g)tekniset eritelmät, joihin viitataan eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä 74 artiklan 10 kohdan mukaisesti.

3.Edellä 2 kohdassa tarkoitetulla verkkosivustolla on tarvittaessa myös ilmoitettava ne kansalliset kyberturvallisuuden sertifiointijärjestelmät, jotka on korvattu eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä.

II LUKU 
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien sisältö

80 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien turvallisuustavoitteet

1.Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän avulla on soveltuvin osin pyrittävä saavuttamaan seuraavat turvallisuustavoitteet:

a)sen varmistaminen, että tieto- ja viestintätekniset tuotteet, palvelut ja prosessit sekä tietoturvapalvelut ovat oletusarvoisesti ja sisäänrakennetusti turvallisia;

b)tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen tietojen suojaaminen vahingossa tapahtuvalta tai luvattomalta tallentamiselta, käsittelyltä, käytöltä tai luovuttamiselta tarkoituksenmukaisin teknisin keinoin ottaen huomioon tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien koko elinkaari;

c)tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen henkilötietojen tai muiden tietojen, komentojen, ohjelmien ja asetusten eheyden suojaaminen kaikelta manipuloinnilta tai muuttamiselta, johon käyttäjä ei ole antanut lupaa, ja ilmoittaminen turmeltumisesta ottaen huomioon tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien koko elinkaari;

d)luvattomalta käytöltä suojaamisen varmistaminen asianmukaisin valvontamekanismein, kuten muun muassa todennus-, identiteetinhallinta- tai pääsynhallintajärjestelmin, ja raportointi mahdollisesta luvattomasta käytöstä;

e)komponenttien ja haavoittuvuuksien yksilöinti ja dokumentointi tarvittaessa myös laatimalla ohjelmistosisältöluettelo, joka kattaa vähintään ylimmän tason riippuvuudet;

f)tietoturvaan liittyvän informaation tarjoaminen tallentamalla ja seuraamalla asiaan liittyvää sisäistä toimintaa, kuten tietojen, palvelujen tai toimintojen käyttöä tai muutoksia, sekä tarvittaessa estomekanismin tarjoaminen käyttäjän käyttöön;

g)sen varmistaminen, että tieto- ja viestintätekniset tuotteet, palvelut ja prosessit eivät sisällä tunnettuja hyödynnettävissä olevia haavoittuvuuksia;

h)olennaisten toimintojen ja perustoimintojen saatavuuden suojaaminen, myös poikkeaman jälkeen, mihin kuuluvat myös palvelunestohyökkäysten varalta toteutettavat häiriönsietokykyä parantavat ja hyökkäysten vaikutuksia lieventävät toimenpiteet;

i)muiden verkkojen ja laitteiden tarjoamien palvelujen saatavuuteen kohdistuvan kielteisen vaikutuksen minimointi fyysisen tai teknisen poikkeaman sattuessa;

j)sen varmistaminen, että tieto- ja viestintätekniset tuotteet, palvelut ja prosessit testataan ja niiden turvallisuus arvioidaan säännöllisesti;

k)sen varmistaminen, että haavoittuvuuksiin puututaan ja ne korjataan viipymättä muun muassa tietoturvapäivitysten avulla ja että korjatuista haavoittuvuuksista jaetaan ja julkistetaan tietoja, paitsi jos julkaisemisen riskit ylittävät turvallisuushyödyt;

l)sen varmistaminen, että käytössä on koordinoitua haavoittuvuuksien julkistamista koskevat toimintaperiaatteet;

m)mahdollisia tieto- ja viestintäteknisissä tuotteissa, palveluissa ja prosesseissa olevia haavoittuvuuksia koskevien tietojen jakamisen helpottaminen;

n)sen varmistaminen, että jos saatavilla on tietoturvapäivityksiä, joilla voidaan ratkaista havaittuja turvallisuusongelmia, kyseiset tietoturvapäivitykset jaetaan viipymättä;

o)sen varmistaminen, että tietoturvapalveluiden tarjoajalla on vaadittava osaaminen, asiantuntemus ja kokemus, mukaan lukien se, että kyseisten palvelujen tarjoamiseen osallistuvalla henkilöstöllä on riittävä ja asianmukaisen tasoinen erikoisalan tekninen tietämys ja pätevyys, riittävä ja asianmukainen kokemus sekä mahdollisimman korkeatasoinen ammatillinen luotettavuus;

p)sen varmistaminen, että tietoturvapalveluiden tarjoamiseen käytettävät tieto- ja viestintätekniset tuotteet, palvelut ja prosessit ovat sisäänrakennetusti ja oletusarvoisesti turvallisia ja niihin on tarvittaessa tehty uusimmat tietoturvapäivitykset eikä niissä ole julkisesti tiedossa olevia haavoittuvuuksia;

q)sen varmistaminen, että sertifioidulla toimijalla on käytössään asianmukaiset sisäiset menettelyt, joilla huolehditaan siitä, että tarjottujen palvelujen laatu on riittävällä ja asianmukaisella tasolla;

r)sen varmistaminen, että sertifioitu toimija pystyy yksilöimään, estämään ja havaitsemaan poikkeamia, reagoimaan niihin ja palautumaan niistä;

s)sen varmistaminen, että sertifioitu toimija pystyy hallitsemaan toiminnassaan tai palvelujensa tarjoamisessa käyttämiensä verkko- ja tietojärjestelmien turvallisuudelle aiheutuvat riskit sekä ehkäisemään tai minimoimaan poikkeamien vaikutukset toimijan palvelujen vastaanottajiin ja muihin palveluihin;

t)sen varmistaminen, että sertifioidulla toimijalla on valmiudet toimintansa eheyden ja luotettavuuden kehittämiseen, varmistamiseen ja arviointiin, varmistamalla joko suoraan tai välillisesti tieto- ja viestintätekniikan kolmannen osapuolen palveluntarjoajien tarjoamien palvelujen avulla, että toimijalla on käytössään kaikki tieto- ja viestintätekniikkaan liittyvät valmiudet, joita tarvitaan toimijan käyttämien verkko- ja tietojärjestelmien turvallisuuden varmistamiseen ja joilla tuetaan palvelujen jatkuvaa tarjoamista ja niiden laatua myös häiriötilanteissa;

u)sen varmistaminen, että sertifioitu toimija pystyy toteuttamaan tietoturvallisuuden hallintajärjestelmän ja ylläpitämään sitä; 

v)suojautuminen kaikilta tapahtumilta, jotka voivat vaarantaa toimijan käyttämässä verkko- ja tietojärjestelmässä tarjottavien tai niiden välityksellä saatavilla olevien tallennettujen, siirrettyjen tai käsiteltyjen tietojen tai palvelujen käytettävyyden, aitouden, eheyden tai luottamuksellisuuden, sekä palvelujen jatkuvan tarjoamisen ja niiden laadun varmistaminen myös häiriötilanteissa;

w)sen varmistaminen, että toimija pystyy varmistamaan henkilötietojen käsittelyn turvallisuuden.

2.Siirretään komissiolle valta antaa delegoituja säädöksiä 119 artiklan mukaisesti tämän artiklan 1 kohdan muuttamiseksi lisäämällä tai muuttamalla turvallisuustavoitteita, jotta voidaan varmistaa, että niissä otetaan huomioon viimeisin teknologinen kehitys ja uudet uhat sekä sellainen uusi unionin lainsäädäntö, jossa vaatimustenmukaisuuden osoittaminen ja vaatimustenmukaisuusolettama toteutetaan eurooppalaisen kyberturvallisuussertifioinnin avulla kyseisen lainsäädännön asiaankuuluvien kyberturvallisuusvaatimusten mukaisesti.

3.Eurooppalainen kyberturvallisuuden sertifiointijärjestelmä, joka koskee asetuksen (EU) 2024/2847 3 artiklan 1 kohdassa määriteltyjä digitaalisia elementtejä sisältäviä tuotteita, on suunniteltava siten, että se on linjassa kyseisen asetuksen liitteessä I vahvistettujen keskeisten kyberturvallisuusvaatimusten kanssa, ja siinä on otettava huomioon saatavilla olevat yhdenmukaistetut standardit.

81 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijät

1.Eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään on sisällyttävä ainakin

a)sertifiointijärjestelmän kohde ja laajuus, mukaan lukien sen kattamien tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tyyppi tai sen kattamat toimijan hyödykkeet, palvelut ja toiminnot;

b)selkeä kuvaus järjestelmän tarkoituksesta ja tarvittaessa sen unionin lainsäädännön yksilöinti, jonka vaatimusten osalta eurooppalaiset kyberturvallisuussertifikaatit osoittavat vaatimustenmukaisuuden ja luovat vaatimustenmukaisuusolettaman;

c)ylläpitostrategia, jossa täsmennetään 75 artiklassa kuvattuja ylläpitopitotoimia koskeva toimintamalli;

d)yksittäiset kyberturvallisuusvaatimukset, arviointikriteerit ja menetelmät, joita käytetään tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen taikka toimijoiden kyberturvatason arvioinnissa, sekä viittaukset kansainvälisiin, eurooppalaisiin tai kansallisiin standardeihin, joita käytetään tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen taikka toimijoiden kyberturvatason arvioinnissa, tai, jos tällaisia standardeja ei ole saatavilla, ENISAn 77 artiklan nojalla laatimiin teknisiin eritelmiin tai, jos tällaisia eritelmiä ei ole saatavilla, muihin teknisiin eritelmiin;

e)järjestelmän mukaisesti myönnettyjen eurooppalaisten kyberturvallisuussertifikaattien enimmäisvoimassaoloaika.

2.Eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään on sisällyttävä ainakin seuraavia osa-alueita koskevat säännöt ja ehdot:

a)tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen taikka toimijoiden kyberturvatason vaatimustenmukaisuuden valvonta eurooppalaisten kyberturvallisuussertifikaattien tai EU-vaatimustenmukaisuusilmoitusten näkökulmasta ja mekanismit, joilla voidaan osoittaa, että määriteltyjä kyberturvallisuusvaatimuksia noudatetaan edelleen;

b)eurooppalaisten kyberturvallisuussertifikaattien myöntäminen, vahvistaminen, peruuttaminen ja uusiminen sekä sertifioinnin kohdealan laajentaminen tai supistaminen ja uudelleensertifiointi;

c)seuraukset tapauksissa, joissa tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijat on sertifioitu tai niille on myönnetty EU-vaatimustenmukaisuusilmoitus, mutta ne eivät noudata järjestelmässä määriteltyjä vaatimuksia;

d)se, miten aiemmin tuntemattomat tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien kyberhaavoittuvuudet on määrä raportoida ja käsitellä;

e)myönnettävien eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten sisältö ja muoto;

f)EU-vaatimustenmukaisuusilmoituksen, teknisten asiakirjojen ja kaikkien muiden asiaankuuluvien tietojen, jotka tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistaja tai tarjoaja taikka toimija, johon sovelletaan kyberturvatason sertifiointia, asettaa saataville, saatavillaoloaika;

g)järjestelmässä eurooppalaisia kyberturvallisuussertifikaatteja 85 artiklan 4 kohdan nojalla myöntäville viranomaisille tai elimille mahdollisesti perustetut vertaisarviointimekanismit, jotka eivät kuitenkaan saa rajoittaa 90 artiklassa säädettyä vertaisarviointia;

h)niiden tietojen luottamuksellisuus, jotka kaikki osapuolet ovat saaneet suorittaessaan tämän osaston säännösten täytäntöönpanoon liittyviä tehtäviä ja toimia;

i)muoto ja menettelyt, joita tieto- ja viestintäteknisten tuotteiden, palveluiden ja prosessien valmistajien ja tarjoajien on noudatettava, kun ne toimittavat ja päivittävät täydentäviä kyberturvallisuustietoja 84 artiklan mukaisesti; ja

j)sertifiointitoimien jatkuvuus poikkeuksellisissa kriisitilanteissa, jotka ovat väistämättömiä ja haittaavat mahdollisuutta soveltaa sertifiointijärjestelmän sääntöjä.

3.Lisäksi eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään on tarvittaessa sisällyttävä

a)yksi tai useampi varmuustaso ja vastaavat arviointitasot;

b)suojausprofiilit, joissa määritellään tiettyyn tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen luokkaan sovellettavat turvallisuusvaatimukset;

c)laajennusprofiilit kuvaamaan turvallisuutta koskevat lisävaatimukset, mukaan lukien soveltuvin osin turvallisuusvaatimukset kansallisissa säännöksissä, joilla unionin lainsäädäntöä on viety kansalliseen lainsäädäntöön;

d)selvitys siitä, mitkä varmuustasoa ”korkea” koskevat tai vaatimustenmukaisuuden osoittamiseksi ja vaatimustenmukaisuusolettaman myöntämiseksi tarvittavat vaatimustenmukaisuuden arviointitoimet, kuten kalibrointi, testaus, sertifiointi ja tarkastukset, ovat sallittuja Euroopan talousalueen (ETA) ulkopuolella;

e)sellaisten kansallisten tai kansainvälisten kyberturvallisuuden sertifiointijärjestelmien yksilöinti, jotka kattavat saman tyypin tai samojen luokkien tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvatason;

f)lisä- tai erityisvaatimukset, joita vaatimustenmukaisuuden arviointilaitoksiin sovelletaan, jotta varmistutaan siitä, että nämä ovat teknisesti päteviä arvioimaan kyberturvallisuusvaatimusten täyttymistä;

g)sertifiointiin tarvittavat tiedot, jotka hakijan on toimitettava tai muutoin asetettava vaatimustenmukaisuuden arviointilaitosten saataville;

h)merkit ja merkinnät sekä ehdot, joiden mukaisesti tällaisia merkkejä tai merkintöjä voidaan käyttää;

i)eurooppalaisten kyberturvallisuussertifikaattien kansainvälisen tunnustamisen ehdot 87 artiklan mukaisesti.

4.Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän vaatimusten on oltava yhdenmukaisia unionin lainsäädännön vaatimusten kanssa.

5.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joissa vahvistetaan yhteiset periaatteet ja mallimuotoilut 1, 2 ja 3 kohdassa vahvistettuja osatekijöitä varten kaikkien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osalta. Eurooppalainen kyberturvallisuuden sertifiointijärjestelmä voi tarvittaessa sisältää viittauksia näihin periaatteisiin ja mallimuotoiluihin, jos se on asianmukaista ja sellaisia on saatavilla.

6.Edellä 5 kohdassa tarkoitetut täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. Kehittäessään tai tarkistaessaan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijöitä koskevia yhteisiä periaatteita ja mallimuotoiluja komissio kuulee ENISAa ja ottaa tarvittaessa huomioon Euroopan kyberturvallisuuden sertifiointiryhmän, asiaankuuluvien sidosryhmien ja muiden asiaankuuluvien elinten esittämät näkemykset.

82 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien varmuus- ja arviointitasot

1.Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voidaan määritellä tieto- ja viestintäteknisille tuotteille, palveluille tai prosesseille taikka tietoturvapalveluille tai toimijoiden kyberturvatasolle yksi tai useampi seuraavista varmuustasoista: ”perustaso”, ”korotettu” tai ”korkea”. Näiden varmuustasojen on oltava oikeassa suhteessa sen riskin tasoon, joka liittyy tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin taikka tietoturvapalvelun käyttötarkoitukseen tai sellaisten toimijoiden luonteeseen, joihin sovelletaan kyberturvatason sertifiointia, sekä niiden toimintaympäristöön poikkeaman todennäköisyyden ja vaikutuksen osalta.

2.Eurooppalaisilla kyberturvallisuussertifikaateilla on viitattava johonkin siinä eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määriteltyyn varmuustasoon, jonka perusteella kyseisiä sertifikaatteja myönnetään. EU-vaatimustenmukaisuusilmoituksessa on viitattava varmuustasoon ”perustaso”.

3.Kutakin varmuustasoa vastaavat turvallisuusvaatimukset on esitettävä asianomaisessa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä, mukaan lukien vastaavat turvavalvontatoimenpiteet ja vastaava arviointi, joka tieto- ja viestintätekniselle tuotteelle, palvelulle tai prosessille taikka tietoturvapalvelulle tai toimijan kyberturvatasolle tehdään.

4.Eurooppalaisessa kyberturvallisuussertifikaatissa tai EU-vaatimustenmukaisuusilmoituksessa on viitattava siihen liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin sekä teknisiin tarkastuksiin, joiden tarkoituksena on vähentää kyberturvallisuuspoikkeamien riskiä tai ehkäistä niitä.

5.Varmuustasoon ”perustaso” viittaavan eurooppalaisen kyberturvallisuussertifikaatin tai EU-vaatimustenmukaisuusilmoituksen on annettava varmuus siitä, että tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvataso, joille kyseinen sertifikaatti tai EU-vaatimustenmukaisuusilmoitus on annettu, täyttävät vastaavat turvallisuusvaatimukset, myös turvavalvontatoimenpiteiden osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan poikkeamien ja kyberhyökkäysten tunnetut perustason riskit. Toteutettavissa arviointitoimissa on vähintään arvioitava tekniset asiakirjat. Jos tällainen arviointi ei ole asianmukainen, on käytettävä vaikutukseltaan vastaavia korvaavia arviointitoimia.

6.Varmuustasoon ”korotettu” viittaavan eurooppalaisen kyberturvallisuussertifikaatin on annettava varmuus siitä, että tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvataso, joille kyseinen sertifikaatti on annettu, täyttävät vastaavat turvallisuusvaatimukset, myös turvavalvontatoimenpiteiden osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan poikkeamien ja kyberhyökkäysten tunnetut riskit ja sellaisten kyberhyökkäysten riski, joiden tekijöillä on rajalliset kyvyt ja resurssit. Toteutettaviin arviointitoimiin on sisällyttävä vähintään tarkastelu, jolla osoitetaan, että julkisesti tiedossa olevia haavoittuvuuksia ei ole, ja testaus, jolla osoitetaan, että kyseiset tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijat toteuttavat välttämättömät turvavalvontatoimenpiteet oikein. Jos tällaiset arviointitoimet eivät ole asianmukaisia, on toteutettava vaikutukseltaan vastaavia korvaavia arviointitoimia.

7.Varmuustasoon ”korkea” viittaavan eurooppalaisen kyberturvallisuussertifikaatin on annettava varmuus siitä, että tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvataso, joille kyseinen sertifikaatti on annettu, täyttävät vastaavat turvallisuusvaatimukset, myös turvavalvontatoimenpiteiden osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan sellaisten poikkeamien ja uusinta tekniikkaa hyödyntävien kyberhyökkäysten riski, joiden tekijöillä on merkittävät kyvyt ja resurssit. Toteutettaviin arviointitoimiin on sisällyttävä vähintään seuraavat:

a)tarkastelu, jolla osoitetaan, että julkisesti tiedossa olevia haavoittuvuuksia ei ole;

b)testaus, jolla osoitetaan, että kyseiset tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijat käyttävät välttämättömiä turvavalvontatoimenpiteitä oikein ja hyödyntäen uusimpia ratkaisuja;

c)arviointi, tarvittaessa tunkeutumistestausta hyödyntäen, tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai toimijoiden kyvystä vastustaa kyvykkäitä hyökkääjiä.

Jos tällaiset arviointitoimet eivät ole asianmukaisia, on toteutettava vaikutukseltaan vastaavia korvaavia toimia. Vaatimustason ”korkea” osalta vaatimustenmukaisuuden arviointitoimet, kuten kalibrointi, testaus, sertifiointi ja tarkastukset, on suoritettava Euroopan talousalueella, jollei eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä toisin määrätä.

8.Jos eurooppalainen kyberturvallisuuden sertifiointijärjestelmä on suunniteltu osoittamaan tietyn unionin säädöksen noudattaminen ja luomaan vaatimustenmukaisuusolettama, eurooppalaisen kyberturvallisuussertifikaatin on annettava varmuus siitä, että sertifioidut tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut tai toimijoiden kyberturvataso täyttävät kyseisen säädöksen vastaavat kyberturvallisuusvaatimukset. Vaatimustenmukaisuuden arviointitoimet, kuten kalibrointi, testaus, sertifiointi ja tarkastukset, joiden tarkoitus on luoda vaatimustenmukaisuusolettama, on suoritettava Euroopan talousalueella, jollei eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä toisin määrätä.

9.Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voidaan määritellä tietylle varmuustasolle useita arviointitasoja. Kunkin arviointitason on vastattava yhtä varmuustasoista.

83 artikla
Vaatimustenmukaisuuden itsearviointi

1.Eurooppalainen kyberturvallisuuden sertifiointijärjestelmä voi mahdollistaa vaatimustenmukaisuuden itsearvioinnin tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka turvallisuuspalvelujen valmistajan tai tarjoajan taikka toimijan, johon sovelletaan kyberturvatason sertifiointia, yksinomaisella vastuulla. Vaatimustenmukaisuuden itsearviointi vain suhteessa sellaisiin tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin taikka tietoturvapalveluihin tai sellaisten toimijoiden kyberturvatasoon, joihin liittyvät riskit ovat vähäisiä ja vastaavat varmuustasoa ”perustaso”.

2.Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka turvallisuuspalvelujen valmistaja tai tarjoaja taikka toimija, johon sovelletaan kyberturvatason sertifiointia, voi antaa EU-vaatimustenmukaisuusilmoituksen, jossa todetaan, että eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen vaatimusten täyttyminen on osoitettu. Ilmoituksella valmistaja tai toimittaja tai toimija ottaa vastuun siitä, että tieto- ja viestintätekninen tuote, palvelu tai prosessi taikka tietoturvapalvelu tai kyberturvataso on kyseisessä järjestelmässä asetettujen vaatimusten mukainen.

3.Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajan tai tarjoajan taikka toimijan, johon sovelletaan kyberturvatason sertifiointia, on asetettava EU-vaatimustenmukaisuusilmoitus, tekniset asiakirjat ja kaikki muut järjestelmässä määriteltyä tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai kyberturvatason vaatimustenmukaisuutta koskevat asiaankuuluvat tiedot 89 artiklan nojalla nimetyn kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville kyseisessä järjestelmässä määrätyn ajanjakson ajaksi. Jäljennös EU-vaatimustenmukaisuusilmoituksesta on toimitettava kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja ENISAlle ilman aiheetonta viivytystä.

84 artikla
Sertifioituja tieto- ja viestintäteknisiä tuotteita, palveluja ja prosesseja koskevat täydentävät kyberturvallisuustiedot

1.Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien valmistajan tai tarjoajan, jolle on myönnetty EU-vaatimustenmukaisuusilmoitus tai eurooppalainen kyberturvallisuussertifikaatti, on asetettava käyttäjän saataville seuraavat täydentävät kyberturvallisuustiedot:

a)asianomaisen tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin käyttötarkoitus, mukaan lukien valmistajan tai tarjoajan tarjoama turvallisuusympäristö;

b)ohjeet ja suositukset, jotka auttavat käyttäjiä määrittämään, asentamaan, ottamaan käyttöön, käyttämään ja ylläpitämään tieto- ja viestintäteknisiä tuotteita tai palveluja turvallisesti;

c)valmistajan tai tarjoajan tarjoaman teknisen turvallisuustuen tyyppi ja tukijakson päättymispäivämäärä, johon asti käyttäjät voivat odottaa, että haavoittuvuudet käsitellään ja he saavat tietoturvapäivityksiä;

d)jos valmistaja tai toimittaja päättää asettaa ohjelmistosisältöluettelon käyttäjän saataville, tiedot siitä, mistä luettelo on saatavilla.

2.Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien valmistajan tai tarjoajan, jota EU-vaatimustenmukaisuusilmoitus tai eurooppalainen kyberturvallisuussertifikaatti koskee, on asetettava julkisesti saataville seuraavat täydentävät kyberturvallisuustiedot:

a)keskitetty asiointipiste, johon voidaan ilmoittaa ja josta voidaan saada haavoittuvuuksia koskevia tietoja ja jossa on saatavilla koordinoitua haavoittuvuuksien julkistamista koskevat valmistajan toimintaperiaatteet;

b)tiedot korjatuista haavoittuvuuksista, mukaan lukien haavoittuvuuksien kuvaus, kuten tiedot, joiden avulla käyttäjät voivat tunnistaa tuotteen, jonka digitaalisiin elementteihin vaikutukset kohdistuvat, haavoittuvuuksien vaikutukset, niiden vakavuus sekä selkeät ja helposti saavutettavat tiedot, jotka auttavat käyttäjiä haavoittuvuuksien korjaamisessa; asianmukaisesti perustelluissa tapauksissa, joissa valmistajat katsovat haavoittuvuutta koskevien tietojen julkaisemiseen liittyvien turvallisuusriskien olevan turvallisuushyötyjä suuremmat, ne voivat lykätä tietojen julkaisemista, kunnes käyttäjille on annettu mahdollisuus ottaa haavoittuvuuden korjaus käyttöön.

3.Edellä 1 ja 2 kohdassa tarkoitetut tiedot on annettava sähköisessä muodossa, ja ne on pidettävä saatavilla ja tarpeen mukaan päivitettyinä vastaavan eurooppalaisen kyberturvallisuussertifikaatin tai EU-vaatimustenmukaisuusilmoituksen voimassaolon ajan ja vähintään viisi vuotta sen jälkeen, kun sen voimassaolo on päättynyt tai se on peruutettu.

4.Edellä 1 ja 2 kohdassa säädettyjä velvoitteita ei sovelleta, jos asianomaisen tieto- ja viestintäteknisen tuotteen, palvelun tai prosessin turvallisuus saattaa vaarantua, jos tiedot asetetaan julkisesti saataville.

III LUKU 
Eurooppalaisen kyberturvallisuuden sertifiointikehyksen hallinto

1 jakso 
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien yleiset säännöt ja hallinnointi

85 artikla
Eurooppalaisten kyberturvallisuussertifikaattien myöntäminen

1.Tieto- ja viestintäteknisten tuotteiden, palvelujen, prosessien taikka turvallisuuspalvelujen taikka sellaisten toimijoiden kyberturvatason, jotka on sertifioitu eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä, oletetaan täyttävän tällaisen järjestelmän vaatimukset.

2.Jäljempänä olevassa 91 artiklassa tarkoitettujen vaatimustenmukaisuuden arviointilaitosten on myönnettävä eurooppalaisia kyberturvallisuussertifikaatteja 74 artiklan nojalla hyväksyttyyn eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään sisältyvien kriteerien perusteella.

3.Poiketen siitä, mitä 2 kohdassa säädetään, eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voidaan määrätä, että järjestelmästä saatavan eurooppalaisen kyberturvallisuussertifikaatin saa myöntää vain jokin seuraavista julkisista elimistä:

a)88 artiklassa tarkoitettu kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen, joka on 91 artiklan 1 kohdan mukaisesti akkreditoitu vaatimustenmukaisuuden arviointilaitos;

b)91 artiklan 1 kohdan mukaisesti vaatimustenmukaisuuden arviointilaitokseksi akkreditoitu julkinen elin.

4.Jos 74 artiklan nojalla hyväksytyssä eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määritellään varmuustaso ”korkea” tai jos tällaisessa järjestelmässä määritellään toisin, eurooppalaisen kyberturvallisuussertifikaatin saa kyseisessä järjestelmässä myöntää vain 88 artiklassa tarkoitettu kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen, joka on 91 artiklan 1 kohdan mukaisesti akkreditoitu vaatimustenmukaisuuden arviointilaitos, tai seuraavissa tapauksissa:

a)vaatimustenmukaisuuden arviointilaitos ennakkohyväksyntämallin perusteella; tai

b)vaatimustenmukaisuuden arviointilaitos yleisen delegointimallin perusteella.

5.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joissa täsmennetään tämän artiklan 4 kohdassa tarkoitettuja ennakkohyväksyntää tai yleisiä delegointimalleja koskevia menettelyjä. Näiden täytäntöönpanosäädösten valmisteluprosessissa komissio kuulee Euroopan kyberturvallisuuden sertifiointiryhmää. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

6.Luonnollisen henkilön tai oikeushenkilön, joka esittää tieto- ja viestintäteknisiä tuotteita, palveluja tai prosesseja taikka tietoturvapalveluja sertifioitavaksi, tai kyberturvatasolleen sertifiointia hakevan toimijan on asetettava kaikki sertifioinnin suorittamiseen tarvittavat tiedot 89 artiklan nojalla nimetyn kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville, jos eurooppalaisen kyberturvallisuussertifikaatin myöntää kyseinen viranomainen, tai 91 artiklassa tarkoitetun vaatimustenmukaisuuden arviointilaitoksen saataville, jos sertifikaatin myöntää kyseinen laitos.

7.Vaatimustenmukaisuuden arviointilaitosten ja tapauksen mukaan kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on ilmoitettava ENISAlle viipymättä päätöksistään, jotka vaikuttavat eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten asemaan 94 artiklan mukaisesti.

8.Eurooppalaisen kyberturvallisuussertifikaatin haltijan on ilmoitettava 7 kohdassa tarkoitetulle vaatimustenmukaisuuden arviointilaitokselle ja tapauksen mukaan kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle kaikista sertifioitua tieto- ja viestintäteknistä tuotetta, palvelua tai prosessia taikka tietoturvapalvelua tai kyberturvatasoa koskevista myöhemmin havaituista haavoittuvuuksista tai poikkeamista, jotka todennäköisesti vaikuttavat sen sertifikaatinmukaisuuteen. Kyseisen elimen on toimitettava tiedot viipymättä asianomaiselle kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja arvioitava vaikutukset sertifikaattiin 81 artiklan 2 kohdan d alakohdassa tarkoitettujen järjestelmän ehtojen mukaisesti.

9.Eurooppalaisen kyberturvallisuussertifikaatin haltijat eivät saa käyttää sertifioiduissa tieto- ja viestintäteknisissä tuotteissa, palveluissa tai prosesseissa taikka tietoturvapalveluissa eivätkä asentaa tai muutoin integroida niihin suuririskisten toimittajien tieto- ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja, jos kyseiset sertifioidut tieto- ja viestintätekniset tuotteet, palvelut tai prosessit taikka tietoturvapalvelut ovat kokonaisuudessaan tai osittain määritelty 102 artiklan mukaisesti keskeisiksi hyödykkeiksi.

10.Eurooppalainen kyberturvallisuussertifikaatti on myönnettävä eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määritellyksi ajaksi, ja se voidaan uusia, jos sovellettavat vaatimukset täyttyvät edelleen.

11.Komissio tekee yhteistyötä jäsenvaltioiden kanssa varmistaakseen eurooppalaisten kyberturvallisuussertifikaattien myöntämistä koskevien säännösten soveltamisen myös 100 artiklan 4 kohdan b alakohdan soveltamista silmällä pitäen. Vaatimustenmukaisuuden arviointilaitoksen ja tapauksen mukaan kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen on toimitettava komissiolle pyynnöstä ja ilman aiheetonta viivytystä kaikki tiedot, jotka liittyvät asiaankuuluvien eurooppalaisten kyberturvallisuussertifikaattien tai EU-vaatimustenmukaisuusilmoitusten antamiseen.

86 artikla
Kansalliset kyberturvallisuuden sertifiointijärjestelmät ja sertifikaatit

1.Kansalliset kyberturvallisuuden sertifiointijärjestelmät ja niihin liittyvät menettelyt, joita sovelletaan sellaisiin tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin sekä tietoturvapalveluihin ja toimijoiden kyberturvatasoon, jotka kuuluvat jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän piiriin, on lakattava tuottamasta vaikutuksia alkaen päivästä, joka vahvistetaan 74 artiklan 9 kohdan nojalla hyväksytyssä täytäntöönpanosäädöksessä. Kansalliset kyberturvallisuuden sertifiointijärjestelmät ja niihin liittyvät menettelyt, joita sovelletaan sellaisiin tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin sekä tietoturvapalveluihin ja sellaisten toimijoiden kyberturvatasoon, jotka eivät kuulu jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän piiriin, voidaan edelleen pitää voimassa.

2.Jäsenvaltiot eivät saa ottaa käyttöön uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä tai niihin liittyviä menettelyjä sellaisille tieto- ja viestintäteknisille tuotteille, palveluille tai prosesseille taikka tietoturvapalveluille tai sellaisten toimijoiden kyberturvatasolle, jotka kuuluvat jo jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän piiriin.

3.Kansallisissa kyberturvallisuuden sertifiointijärjestelmissä myönnetyt voimassa olevat sertifikaatit, jotka kuuluvat jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän piiriin, pysyvät voimassa niiden voimassaolon päättymispäivään asti.

4.Jäsenvaltioiden on ilmoitettava komissiolle ja Euroopan kyberturvallisuuden sertifiointiryhmälle ennen kuin ne hyväksyvät uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä tieto- ja viestintäteknisille tuotteille, palveluille ja prosesseille, tietoturvapalveluille sekä toimijoiden kyberturvatasolle.

5.Komissio voi ehdottaa jäsenvaltiolle tieto- ja viestintäteknisiä tuotteita, palveluja tai prosesseja taikka turvallisuuspalveluja tai toimijoiden kyberturvatasoa koskevan kansallisen kyberturvallisuuden sertifiointijärjestelmän peruuttamista, jos tällaisia tuotteita, palveluja tai prosesseja taikka tällaista kyberturvatasoa koskevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän kehittämistä on jo pyydetty 73 artiklan mukaisesti ottaen huomioon tällaisen järjestelmän kehityssuunnitelma.

87 artikla
Eurooppalaisten kyberturvallisuussertifikaattien kansainvälinen tunnustaminen

1.Tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon liittyvät kolmansien maiden sertifikaatit voidaan määrittää eurooppalaisia kyberturvallisuussertifikaatteja vastaaviksi joko täytäntöönpanosäädöksellä tai unionin ja kyseisen kolmannen maan tai kansainvälisen järjestön välisellä sopimuksella, jos kyseisen kolmannen maan järjestelmän tai kansainvälisen järjestön järjestelmän vaatimusten katsotaan vastaavan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia. Siirretään komissiolle valta antaa tällaisia täytäntöönpanosäädöksiä. Täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

2.Edellä 1 kohdassa tarkoitettujen täytäntöönpanosäädösten ja sopimusten on perustuttava 74 artiklan 11 kohdan nojalla vahvistettuihin eurooppalaisten kyberturvallisuussertifikaattien kansainvälisen tunnustamisen edellytyksiin.

3.Edellä 1 kohdassa tarkoitettuja sopimuksia kolmansien maiden sertifikaattien tai kansainvälisten organisaatioiden sertifikaattien tunnustamisesta voidaan tehdä ainoastaan, jos niissä tunnustetaan myös eurooppalaiset kyberturvallisuussertifikaatit kolmansien maiden tai kansainvälisten organisaatioiden sertifikaatteja vastaaviksi.

88 artikla 
Kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset

1.Kunkin jäsenvaltion on nimettävä yksi tai useampi kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen alueelleen tai sopimuksella toisen jäsenvaltion kanssa yksi tai useampi tähän toiseen jäsenvaltioon sijoittautunut kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen vastaamaan valvontatehtävistä tämän nimeävän jäsenvaltion alueella.

2.Kunkin jäsenvaltion on ilmoitettava komissiolle nimeämänsä kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset. Jos jäsenvaltio nimeää useamman kuin yhden viranomaisen, sen on myös ilmoitettava komissiolle kyseisille viranomaisille osoitetut tehtävät.

3.Kunkin kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen on organisaatioltaan, rahoituspäätöksiltään, oikeudelliselta rakenteeltaan ja päätöksenteoltaan oltava riippumaton toimijoista, joita se valvoo.

4.Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten toiminnot, jotka liittyvät tämän asetuksen mukaiseen eurooppalaisten kyberturvallisuussertifikaattien myöntämiseen, on erotettava tiukasti tämän artiklan ja 85 artiklan 4 kohdan a ja b alakohdan mukaisista valvontatoiminnoista, ja nämä toiminnot on suoritettava toisistaan riippumattomasti.

5.Jäsenvaltioiden on varmistettava, että kansallisilla kyberturvallisuussertifioinnin myöntävillä viranomaisilla on riittävät resurssit käyttää valtuuksiaan ja suorittaa tuloksekkaasti ja tehokkaasti niille osoitetut tehtävät.

6.Kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen tehtävänä on

a)osallistua Euroopan kyberturvallisuuden sertifiointiryhmään 90 artiklan 2 kohdan nojalla;

b)valvoa ja panna täytäntöön yhteistyössä muiden asiaankuuluvien markkinavalvonta- tai valvontaviranomaisten, mukaan lukien Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 82 tai asetuksessa (EU) 2024/2847 tarkoitetut toimivaltaiset viranomaiset, kanssa eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin 81 artiklan 2 kohdan a alakohdan nojalla sisältyviä sääntöjä sen varmistamiseksi, että tieto- ja viestintätekniset tuotteet, palvelut ja prosessit sekä tietoturvapalvelut ja toimijoiden kyberturvataso vastaavat niiden alueella myönnettyjen eurooppalaisten kyberturvallisuussertifikaattien vaatimuksia;

c)seurata yhteistyössä asianomaisten markkinavalvontaviranomaisten kanssa, että niiden alueelle sijoittautuneet ja vastaavassa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä vaatimustenmukaisuuden itsearviointia käyttävät tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien sekä tietoturvapalvelujen valmistajat ja tarjoajat sekä toimijat, joiden kyberturvataso on sertifioitu, noudattavat tässä asetuksessa säädettyjä velvollisuuksiaan, ja varmistaa näiden velvollisuuksien täyttyminen;

d)avustaa ja tukea aktiivisesti kansallisia akkreditointielimiä tai muita asiaankuuluvia viranomaisia näiden seuratessa ja valvoessa vaatimustenmukaisuuden arviointilaitosten toimintaa tämän asetuksen soveltamiseksi, sanotun kuitenkaan rajoittamatta 91 artiklan 3 kohdan soveltamista;

e)toimia yhteistyössä komission kanssa, jos vaatimustenmukaisuuden arviointilaitoksen pätevyys on riitautettu 94 artiklan mukaisesti;

f)seurata ja valvoa 85 artiklan 3 kohdassa tarkoitettujen julkisten elinten toimintaa;

g)tarvittaessa valtuuttaa vaatimustenmukaisuuden arviointilaitoksia 93 artiklan mukaisesti, valvoa vaatimustenmukaisuuden arviointilaitosten velvollisuuksien noudattamista ja varmistaa näiden velvollisuuksien noudattaminen eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä 81 artiklan 3 kohdan f alakohdan nojalla vahvistettujen lisä- tai erityisvaatimusten osalta sekä rajoittaa myönnettyjä valtuuksia taikka keskeyttää tai peruuttaa myönnetyt valtuudet, jos vaatimustenmukaisuuden arviointilaitokset eivät täytä tämän asetuksen vaatimuksia;

h)käsitellä luonnollisten henkilöiden tai oikeushenkilöiden tekemät valitukset, jotka liittyvät kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai vaatimustenmukaisuuden arviointilaitosten 85 artiklan 4 kohdan mukaisesti myöntämiin eurooppalaisiin kyberturvallisuussertifikaatteihin tai 83 artiklan mukaisesti annettuihin EU-vaatimustenmukaisuusilmoituksiin, tutkia asianmukaisessa määrin valituksen kohde ja ilmoittaa valituksen tekijälle tutkinnan etenemisestä ja tuloksesta kohtuullisessa ajassa;

i)toimittaa komissiolle, ENISAlle ja Euroopan kyberturvallisuuden sertifiointiryhmälle vuosittain 31 päivään maaliskuuta [voimaantulovuosi + 12 kuukautta] mennessä vuosikertomus tärkeimmistä toimistaan ja asettaa kyseiset vuosikertomukset vertaisarviointiryhmän saataville, jos kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen kuuluu 89 artiklan mukaisen vertaisarvioinnin piiriin;

j)toimia yhteistyössä muiden kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten, markkinavalvontaviranomaisten tai muiden viranomaisten kanssa esimerkiksi jakamalla tietoa mahdollisista tapauksista, joissa tieto- ja viestintätekniset tuotteet, palvelut ja prosessit, tietoturvapalvelut ja toimijoiden kyberturvataso eivät vastaa tämän asetuksen tai yksittäisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia;

k)seurata asiaa koskevaa kehitystä kyberturvallisuussertifioinnin alalla.

7.Kullakin kansallisella kyberturvallisuussertifioinnin myöntävällä viranomaisella on oltava ainakin valtuudet

a)pyytää vaatimustenmukaisuuden arviointilaitoksilta, eurooppalaisen kyberturvallisuussertifikaatin haltijoilta ja EU-vaatimustenmukaisuusilmoituksen antajilta kaikki tiedot, jotka se tarvitsee tehtävänsä suorittamiseksi;

b)tehdä auditointien avulla selvityksiä vaatimustenmukaisuuden arviointilaitoksista, eurooppalaisen kyberturvallisuussertifikaatin haltijoista ja EU-vaatimustenmukaisuusilmoituksen antajista sen todentamiseksi, että ne noudattavat tässä osastossa säädettyjä vaatimuksia;

c)toteuttaa asianmukaisia toimenpiteitä kansallisen lainsäädännön mukaisesti varmistaakseen, että vaatimustenmukaisuuden arviointilaitokset, eurooppalaisen kyberturvallisuussertifikaatin haltijat ja EU-vaatimustenmukaisuusilmoitusten antajat noudattavat tämän asetuksen tai eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän vaatimuksia;

d)päästä vaatimustenmukaisuuden arviointilaitosten ja eurooppalaisen kyberturvallisuussertifikaatin haltijoiden tiloihin selvitysten tekemiseksi unionin lainsäädännön tai kansallisen prosessioikeuden mukaisesti;

e)peruuttaa kansallisen lainsäädännön mukaisesti kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai vaatimustenmukaisuuden arviointilaitosten 85 artiklan 4 kohdan mukaisesti myöntämät eurooppalaiset kyberturvallisuussertifikaatit, jos ne eivät täytä tämän asetuksen tai eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän vaatimuksia;

f)määrätä 97 artiklan mukaisia seuraamuksia kansallisen lainsäädännön mukaisesti ja vaatia lopettamaan tässä asetuksessa säädettyjen velvoitteiden laiminlyönti välittömästi.

8.Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa erityisesti jakamalla tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen sekä toimijoiden kyberturvatason kyberturvallisuussertifiointiin ja kyberturvallisuutta koskeviin teknisiin kysymyksiin liittyviä tietoja, kokemuksia ja hyviä käytäntöjä.

9.ENISA laatii [voimaantulo + 6 kuukautta] mennessä tämän artiklan 6 kohdan i alakohdassa tarkoitetun vuosikertomuksen mallin yhteistyössä komission ja Euroopan kyberturvallisuuden sertifiointiryhmän kanssa.

89 artikla
Vertaisarviointi

1.Kansallisille kyberturvallisuussertifioinnin myöntäville viranomaisille on tehtävä vertaisarviointeja.

2.Vertaisarvioinneissa on käytettävä tarkoituksenmukaisia ja läpinäkyviä arviointiperusteita ja ‑menettelyjä, erityisesti kun on kyse rakenteita, henkilöresursseja ja prosesseja koskevista vaatimuksista, luottamuksellisuudesta ja valituksista.

3.Vertaisarvioinnissa on arvioitava

a)soveltuvin osin se, onko kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen toiminnot, jotka liittyvät tämän asetuksen mukaiseen eurooppalaisten kyberturvallisuussertifikaattien myöntämiseen, erotettu tiukasti 88 artiklan mukaisista valvontatoiminnoista ja suoritetaanko molemmat toiminnot toisistaan riippumattomasti;

b)menettelyt, joilla 88 artiklan 7 kohdan a alakohdan nojalla valvotaan ja varmistetaan, että tieto- ja viestintätekniset tuotteet, palvelut ja prosessit sekä tietoturvapalvelut ja toimijoiden kyberturvataso vastaavat eurooppalaisten kyberturvallisuussertifikaattien vaatimuksia;

c)menettelyt, joilla 88 artiklan 7 kohdan b alakohdan nojalla seurataan ja varmistetaan, että tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajat ja tarjoajat taikka toimijat, joiden kyberturvataso on sertifioitu, hoitavat velvoitteensa;

d)menettelyt, joilla valtuutetaan vaatimustenmukaisuuden arviointilaitoksia ja seurataan ja valvotaan niiden toimintaa.

4.Vertaisarviointi on tehtävä vähintään kerran viidessä vuodessa, ja sen suorittaa vähintään kaksi muiden jäsenvaltioiden kansallista kyberturvallisuussertifioinnin myöntävää viranomaista ja komissio. Myös ENISA osallistuu vertaisarviointiin tarkkailijana. Vertaisarviointiryhmä on laadittava loppuraportti ja yhteenveto vertaisarvioinnista.

5.ENISA tukee vertaisarviointimekanismin ja vertaisarviointien järjestämistä muun muassa laatimalla tarvittavia ohjeita ja mallipohjia yhteistyössä komission ja Euroopan kyberturvallisuuden sertifiointiryhmän kanssa. 

6.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan vertaisarviointisuunnitelma vähintään viiden vuoden ajaksi sekä määritellään vertaisarviointiryhmän kokoonpanoa koskevat kriteerit, vertaisarvioinnissa käytettävä menetelmä sekä vertaisarviointien aikataulutus, taajuus ja niihin liittyvät muut tehtävät. Näiden täytäntöönpanosäädösten valmistelussa komissio kuulee Euroopan kyberturvallisuuden sertifiointiryhmää sekä ENISAa. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

7.Euroopan kyberturvallisuuden sertifiointiryhmän on perehdyttävä mahdollisesti ohjeita tai suosituksia sisältävään loppuraporttiin ja vertaisarvioinnin yhteenvetoon ja hyväksyttävä yhteenveto julkaistavaksi 79 artiklan 2 kohdassa tarkoitetulla verkkosivustolla.

90 artikla
Euroopan kyberturvallisuuden sertifiointiryhmä

1.Perustetaan Euroopan kyberturvallisuuden sertifiointiryhmä.

2.Euroopan kyberturvallisuuden sertifiointiryhmä muodostetaan kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai muiden asiaankuuluvien kansallisten viranomaisten edustajista. Euroopan kyberturvallisuuden sertifiointiryhmän jäsen saa edustaa enintään kahta jäsenvaltiota.

3.Euroopan kyberturvallisuuden sertifiointiryhmän tehtävänä on

a)neuvoa ja avustaa komissiota sen pyrkiessä varmistamaan tämän osaston sääntöjen johdonmukainen täytäntöönpano ja soveltaminen, kyberturvallisuussertifioinnin toimintapoliittisten näkökohtien johdonmukainen käsittely ja politiikkatason lähestymistapojen koordinointi;

b)neuvoa ja avustaa komissiota eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevien 73 artiklan nojalla esitettävien pyyntöjen valmistelussa;

c)avustaa ja neuvoa ENISAa ja tehdä sen kanssa yhteistyötä ehdokasjärjestelmän valmistelemisessa 74 artiklan nojalla ja teknisten eritelmien valmistelemisessa 77 artiklan nojalla;

d)avustaa ja neuvoa ENISAa ja komissiota ja tehdä niiden kanssa yhteistyötä ylläpitotoimiin 75 artiklan nojalla;

e)avustaa ja neuvoa komissiota ja tehdä sen kanssa yhteistyötä olemassa olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarkistamiseksi tai peruuttamiseksi 76 artiklan nojalla;

f)ehdottaa 73 artiklan 2 kohdan nojalla komissiolle, että se esittää pyynnön ehdolla olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän valmistelemisesta ;

g)antaa komissiolle osoitettuja lausuntoja voimassa olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitämisestä, tarkistamisesta ja peruuttamisesta;

h)tarkastella olennaista kehitystä kyberturvallisuussertifioinnin alalla, myös kansallisella tasolla 86 artiklan nojalla tapahtunutta, ja jakaa kyberturvallisuuden sertifiointijärjestelmiä koskevia tietoja ja hyviä käytäntöjä;

i)helpottaa kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välistä yhteistyötä tässä osastossa vahvistettujen sääntöjen mukaisesti valmiuksien kehittämisen ja tietojenvaihdon avulla, erityisesti kyberturvallisuussertifiointiin liittyvissä kysymyksissä;

j)tukea 89 artiklaan perustuvan vertaisarviointimekanismin ja 81 artiklan 2 kohdan g alakohdan nojalla eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä vahvistettujen sääntöjen mukaisten vertaisarviointimekanismien toteuttamista;

k)helpottaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mukauttamista kansainvälisesti tunnustettuihin standardeihin muun muassa osana olemassa olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitoa sekä antaa tarvittaessa ENISAlle suosituksia ryhtyä yhdessä asiaankuuluvien eurooppalaisten tai kansainvälisten standardointiorganisaatioiden kanssa täydentämään eurooppalaisia tai kansainvälisesti tunnustettuja standardeja tai paikkaamaan niiden puutteita.

4.Komissio toimii ENISAn avustuksella Euroopan kyberturvallisuuden sertifiointiryhmän puheenjohtajana ja järjestää sille sihteeristön.

5.Komissio voi perustaa Euroopan kyberturvallisuuden sertifiointiryhmälle alaryhmiä seuraaviin tarkoituksiin:

a)tarkastelemaan yksittäisiä kysymyksiä komission vahvistaman tehtävänmäärityksen pohjalta;

b)ylläpitämään ja tarkastelemaan uudelleen eurooppalaisia sertifiointijärjestelmiä tämän asetuksen mukaisesti ja komission vahvistaman tehtävänmäärityksen pohjalta.

6.Alaryhmät raportoivat Euroopan kyberturvallisuuden sertifiointiryhmälle.

7.Alaryhmien puheenjohtajana toimivat komissio ja ENISA yhdessä, ja alaryhmien sihteeristön järjestää ENISA.

8.Euroopan kyberturvallisuuden sertifiointiryhmä ja sen alaryhmät hyväksyvät työjärjestyksensä jäsentensä yksinkertaisella enemmistöllä komission ehdotuksen pohjalta ja yhteisymmärryksessä komission kanssa.

2 jakso 
Vaatimustenmukaisuuden arviointilaitokset

91 artikla
Vaatimustenmukaisuuden arviointilaitosten pätevyys

1.Asetuksen (EY) N:o 765/2008 nojalla nimettyjen kansallisten akkreditointielinten on akkreditoitava vaatimustenmukaisuuden arviointilaitokset. Tällainen akkreditointi on myönnettävä vain, jos vaatimustenmukaisuuden arviointilaitos täyttää tämän asetuksen liitteessä I esitetyt vaatimukset.

2.Jos eurooppalaisen kyberturvallisuussertifikaatin myöntää tämän asetuksen nojalla kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen, kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen sertifiointielimen on oltava akkreditoitu 1 kohdan nojalla vaatimustenmukaisuuden arviointilaitokseksi.

3.Edellä 1 kohdassa tarkoitettu akkreditointi on myönnettävä vaatimustenmukaisuuden arviointilaitoksille enintään viideksi vuodeksi, ja se voidaan uusia, jos vaatimustenmukaisuuden arviointilaitos edelleen täyttää tässä artiklassa säädetyt vaatimukset. Kansallisten akkreditointielinten on kaikin asianmukaisin toimin kohtuullisessa ajassa rajoitettava 1 kohdan nojalla myönnettyä vaatimustenmukaisuuden arviointilaitoksen akkreditointia taikka keskeytettävä tai peruttava se, jos akkreditoinnin edellytykset eivät ole täyttyneet tai eivät enää täyty tai jos vaatimustenmukaisuuden arviointilaitoksen toiminta ei täytä tämän asetuksen vaatimuksia.

4.Asetettaessa tieto- ja viestintäteknisiä tuotteita koskevaa eurooppalaista kyberturvallisuuden sertifiointijärjestelmää koskevia lisä- tai erityisakkreditointivaatimuksia 92 artiklan nojalla on asianmukaisissa tapauksissa pyrittävä synergioihin asetuksessa (EU) 2024/2847 säädettyjen ilmoitettuja laitoksia koskevien vaatimusten ja jo hyväksyttyjen kyberturvallisuuden sertifiointijärjestelmien akkreditointivaatimusten kanssa.

5.Jos vaatimustenmukaisuuden arviointilaitos on akkreditoitu asetuksen (EU) 2024/2847 mukaisesti, asianomaiset viranomaiset voivat käyttää uudelleen aiemman akkreditointiprosessin mahdollisia päällekkäisiä vaatimuksia koskevia tuloksia näyttönä tämän asetuksen mukaisen akkreditointiprosessin aikana.

92 artikla
Vaatimustenmukaisuuden arviointilaitosten pätevyyden pidemmälle menevä yhdenmukaistaminen

1.Jos eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetetaan lisä- tai erityisvaatimuksia 81 artiklan 3 kohdan f alakohdan nojalla, vaatimustenmukaisuuden arviointilaitosten valtuutuksen on tultava kansalliselta kyberturvallisuussertifioinnin myöntävältä viranomaiselta, joka on 88 artiklan 1 kohdan nojalla nimetty suorittamaan tällaisen järjestelmän mukaisia tehtäviä. Tällainen valtuutus on myönnettävä vain, jos vaatimustenmukaisuuden arviointilaitos on akkreditoitu ja täyttää kyseisessä eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetetut lisä- tai erityisvaatimukset.

2.Jos vaatimustenmukaisuuden arviointilaitos pyytää valtuutusta tämän artiklan nojalla, sen on toimitettava pyyntö sijoittautumisjäsenvaltionsa kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle tai sille kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle, johon kyseinen jäsenvaltio on turvautunut 88 artiklan 1 kohdan mukaisesti.

3.Vaatimustenmukaisuuden arviointilaitos voi pyytää valtuutusta muulta kuin 2 kohdassa tarkoitetulta kansalliselta kyberturvallisuussertifioinnin myöntävältä viranomaiselta seuraavissa tilanteissa:

a)jos 1 kohdassa tarkoitettu kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen ei myönnä valtuutuksia niiden vaatimustenmukaisuuden arviointitoimien osalta, joille valtuutusta haetaan;

b)jos 1 kohdassa tarkoitetulle kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ei ole tehty 89 artiklan mukaista vertaisarviointia niiden vaatimustenmukaisuuden arviointitoimien osalta, joille valtuutusta haetaan.

4.Jos kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen vastaanottaa pyynnön 3 kohdan nojalla, sen on ilmoitettava siitä sen jäsenvaltion kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle, johon pyynnön esittävä vaatimustenmukaisuuden arviointilaitos on sijoittautunut. Tällaisissa tapauksissa kyseisen jäsenvaltion kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen voi osallistua valtuuttamiseen tarkkailijana.

5.Kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen voi pyytää toista kansallista kyberturvallisuussertifioinnin myöntävää viranomaista suorittamaan osan arviointitoimista. Tällaisessa tapauksessa valtuutussertifikaatin myöntää pyynnön esittänyt viranomaisen.

6.Edellä 1 kohdassa tarkoitettu valtuutus on voimassa enintään akkreditoinnin voimassaoloajan, ja se voidaan uusia, jos vaatimustenmukaisuuden arviointilaitos täyttää 1 kohdassa säädetyt vaatimukset ja myös sen akkreditointi on uusittu.

7.Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on kohtuullisessa ajassa kaikin asianmukaisin toimin rajoitettava 1 kohdan nojalla myönnettyä vaatimustenmukaisuuden arviointilaitoksen valtuutusta taikka keskeytettävä tai peruttava se, jos valtuutuksen edellytykset eivät ole täyttyneet tai eivät enää täyty tai jos vaatimustenmukaisuuden arviointilaitoksen toiminta ei täytä tämän asetuksen vaatimuksia.

8.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan vaatimustenmukaisuuden arviointilaitosten valtuuttamista koskevat menettelyt, mukaan lukien rajat ylittävää yhteistyötä koskevat menettelyt. Täytäntöönpanosäädösten valmisteluprosessissa komissio kuulee ENISAa sekä Euroopan kyberturvallisuuden sertifiointiryhmää. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

93 artikla
Vaatimustenmukaisuuden arviointilaitosten ilmoittaminen

1.Jäsenvaltion kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän osalta ilmoitettava komissiolle ja muille jäsenvaltioille akkreditoidut ja tapauksen mukaan 92 artiklan nojalla valtuutetut vaatimustenmukaisuuden arviointilaitokset.

2.Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on tehtävä 1 kohdassa tarkoitettu ilmoitus käyttäen komission kehittämää ja hallinnoimaa sähköistä ilmoitusvälinettä.

3.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan olosuhteet, muotoseikat ja menettelyt tämän artiklan 1 kohdassa tarkoitetuille ilmoituksille, mukaan lukien muiden jäsenvaltioiden vastaväitemenettely ilmoitusmenettelyn aikana, vaatimustenmukaisuuden arviointilaitosten yksilöivä tunnistaminen sekä olosuhteet ilmoituksen rajoittamiselle, keskeyttämiselle ja peruuttamiselle. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

94 artikla
Vaatimustenmukaisuuden arviointilaitosten pätevyyden riitauttaminen

1.Komissio tutkii kaikki tapaukset, joissa sillä on tai sen tietoon on saatettu epäilys vaatimustenmukaisuuden arviointilaitoksen pätevyydestä täyttää sille asetetut vaatimukset ja velvollisuudet tai siitä, täyttääkö vaatimustenmukaisuuden arviointilaitos edelleen nämä vaatimukset ja velvollisuudet.

2.Kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen on toimitettava pyynnöstä komissiolle kaikki tiedot, jotka liittyvät asianomaisen vaatimustenmukaisuuden arviointilaitoksen pätevyyden ilmoittamisen tai ylläpidon perusteisiin.

3.Komissio varmistaa, että kaikkia sen tutkinnan yhteydessä saatuja arkaluontoisia tietoja käsitellään luottamuksellisesti.

4.Jos komissio toteaa, että vaatimustenmukaisuuden arviointilaitos ei täytä tai ei enää täytä sen ilmoittamiselle säädettyjä vaatimuksia, se tiedottaa asiasta kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja pyytää sitä ryhtymään tarvittaviin korjaaviin toimenpiteisiin, mukaan luettuna tarvittaessa ilmoituksen takaisinveto.

5.Jäsenvaltioiden on varmistettava, että käytettävissä on ilmoitettujen laitosten tekemiä päätöksiä koskeva muutoksenhakumenettely.

95 artikla
Vaatimustenmukaisuuden arviointilaitosten tiedotus‑ ja säilyttämisvelvollisuus

1.Vaatimustenmukaisuuden arviointilaitosten on ilmoitettava kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle seuraavista asioista:

a)sertifikaatin epäämiset, rajoittamiset, keskeyttämiset ja peruuttamiset;

b)olosuhteet, jotka vaikuttavat 93 artiklan 1 kohdassa tarkoitetun ilmoituksen laajuuteen ja edellytyksiin;

c)vaatimustenmukaisuuden arviointitoimia koskevat tietopyynnöt, jotka ne ovat saaneet markkinavalvontaviranomaisilta;

d)pyynnöstä vaatimustenmukaisuuden arviointitoimet, jotka ne ovat suorittaneet ilmoituksensa puitteissa, ja mahdollisesti suoritetut muut toimet, mukaan luettuina rajat ylittävä toiminta ja alihankinta.

2.Vaatimustenmukaisuuden arviointilaitosten on myös toimitettava ENISAlle 1 kohdan a alakohdassa tarkoitetut tiedot helpottaakseen sen 79 artiklaan perustuvan tehtävän suorittamista.

3.Vaatimustenmukaisuuden arviointilaitosten on viipymättä toimitettava muille tämän asetuksen mukaisille vaatimustenmukaisuuden arviointilaitoksille, jotka suorittavat samoja tieto‑ ja viestintäteknisiä tuotteita, palveluita tai prosesseja taikka tietoturvapalveluita tai toimijoita, joiden kyberturvataso sertifioidaan, koskevia vastaavia vaatimustenmukaisuuden arviointitoimia, asiaankuuluvat tiedot vaatimustenmukaisuuden arvioinnin kielteisiin ja pyynnöstä myös myönteisiin tuloksiin liittyvistä seikoista.

4.Vaatimustenmukaisuuden arviointilaitosten on pidettävä yllä tietojärjestelmää, joka sisältää kaikki niiden suorittamien arviointien ja sertifiointien yhteydessä tuotetut tai vastaanotetut asiakirjat ja todisteet. Tiedot on säilytettävä suojatusti ja saavutettavasti sertifioinnin kannalta tarpeellisen ajan ja vähintään viiden vuoden ajan kyseisen eurooppalaisen kyberturvallisuussertifikaatin voimassaolon päättymisen tai peruuttamisen jälkeen.

3 jakso 
Muut säännökset

96 artikla
Valitusoikeus ja oikeus tehokkaisiin oikeussuojakeinoihin 

1.Luonnollisilla henkilöillä ja oikeushenkilöillä on oltava oikeus tehdä valitus eurooppalaisen kyberturvallisuussertifikaatin myöntäjälle tai, jos valitus liittyy 85 artiklan 4 kohdan mukaisesti toimineen vaatimustenmukaisuuden arviointilaitoksen myöntämään eurooppalaiseen kyberturvallisuussertifikaattiin, asianmukaiselle kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle.

2.Viranomaisen tai laitoksen, jolle valitus on jätetty, on ilmoitettava valituksen tekijälle valituksen käsittelyn etenemisestä, tehdystä päätöksestä sekä 3 ja 4 kohdassa tarkoitetusta oikeudesta tehokkaisiin oikeussuojakeinoihin.

3.Sen estämättä, mitä hallinnollisista tai muista kuin oikeudellisista oikeussuojakeinoista säädetään tai määrätään, luonnollisilla henkilöillä ja oikeushenkilöillä on oltava oikeus tehokkaisiin oikeussuojakeinoihin seuraavien osalta:

a)edellä 1 kohdassa tarkoitetun viranomaisen tai laitoksen päätökset, mukaan lukien soveltuvin osin päätökset liittyen eurooppalaisen kyberturvallisuussertifikaatin virheelliseen myöntämiseen tai sellaisen myöntämättä jättämiseen tai kyseisten luonnollisten henkilöiden ja oikeushenkilöiden eurooppalaisen kyberturvallisuussertifikaatin tunnustamiseen;

b)edellä 1 kohdassa tarkoitetulle viranomaiselle tai laitokselle tehdyn valituksen käsittelemättä jättäminen.

4.Tähän artiklaan perustuvat kanteet on nostettava sen jäsenvaltion tuomioistuimissa, johon kanteen kohteena oleva viranomainen tai laitos on sijoittautunut.

97 artikla
Seuraamukset

Jäsenvaltioiden on vahvistettava säännöt seuraamuksista, joita sovelletaan tämän osaston säännösten ja eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ehtojen rikkomiseen, ja toteutettava kaikki tarvittavat toimenpiteet sen varmistamiseksi, että nämä säännöt pannaan täytäntöön. Säädettyjen seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia. Jäsenvaltioiden on ilmoitettava nämä säännöt ja toimenpiteet komissiolle viipymättä ja ilmoitettava sille niihin vaikuttavista myöhemmistä muutoksista.

IV OSASTO 
TIETO‑ JA VIESTINTÄTEKNIIKAN TOIMITUSKETJUJEN TURVALLISUUS

I LUKU 
Luotettavien tieto‑ ja viestintätekniikan toimitusketjujen kehys

98 artikla
Kehyksen soveltamisala

1.Luotettavien tieto‑ ja viestintätekniikan toimitusketjujen kehyksessä on esitettävä unionin tason turvallisuusmekanismi, jolla puututaan muihin kuin teknisiin riskeihin direktiivissä (EU) 2022/2555 tarkoitetuilla erittäin kriittisillä aloilla ja muilla kriittisillä aloilla. Mekanismissa on määritettävä keskeiset tieto‑ ja viestintätekniset hyödykkeet kriittisissä tieto‑ ja viestintätekniikan toimitusketjuissa ja vahvistettava asianmukaiset ja oikeasuhteiset lieventävät toimenpiteet direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetuille toimijoiden tyypeille.

2.Tässä osastossa säädetyt velvoitteet eivät rajoita asetuksen (EU) 2024/2847 13 artiklassa ja kansallisissa säännöksissä, joilla direktiivin (EU) 2022/2555 21 artikla saatetaan osaksi kansallista lainsäädäntöä, asetettuja velvoitteita.

3.Tämän luvun säännöksillä ei estetä jäsenvaltioita antamasta tai pitämästä voimassa säännöksiä, joilla varmistetaan tieto‑ ja viestintätekniikan toimitusketjujen kyberturvallisuuden korkeampi taso, edellyttäen, että tällaiset säännökset ovat unionin oikeudessa säädettyjen jäsenvaltioiden velvoitteiden mukaisia.

99 artikla
Turvallisuusriskien arvioinnit

1.Komissio tai vähintään kolmen jäsenvaltion ryhmä voi pyytää direktiivin (EU) 2022/2555 14 artiklalla perustettua yhteistyöryhmää, jäljempänä ’verkko‑ ja tietoturva‑alan yhteistyöryhmä’, suorittamaan unionin tason koordinoidut turvallisuusriskien arvioinnit mainitun direktiivin 22 artiklan mukaisesti. Jos tällaisen pyynnön perusteella suoritetaan turvallisuusriskien arviointi, sen on katettava erityisesti asianomaisen tieto‑ ja viestintätekniikan toimitusketjun ehdotetut keskeiset tieto‑ ja viestintätekniset hyödykkeet sekä näihin hyödykkeisiin vaikuttavat tärkeimmät uhkatoimijat, riskit ja haavoittuvuudet. Unionin tason koordinoiduissa turvallisuusriskien arvioinneissa on laadittava riskiskenaarioita ja ehdotettava toimenpiteitä tunnistettujen riskien lieventämiseksi.

2.Unionin tason koordinoidut turvallisuusriskien arvioinnit on saatettava päätökseen kuuden kuukauden kuluessa 1 kohdassa tarkoitetusta pyynnöstä. Verkko‑ ja tietoturva‑alan yhteistyöryhmä voi komission pyynnöstä sopia lyhyemmästä määräajasta. 

3.Jos komissiolla on riittävä syy olettaa, että kriittiseen tieto‑ ja viestintätekniikan toimitusketjuun liittyy merkittävä unionin turvallisuuteen kohdistuva kyberuhka ja että sisämarkkinoiden moitteettoman toiminnan turvaamiseksi tarvitaan toimenpiteitä, se viipymättä

a)kuulee jäsenvaltioita tarpeesta toteuttaa yksi tai useampi 103 artiklassa tarkoitettu lieventävä toimenpide; sekä

b)suorittaa turvallisuusriskien arvioinnin ottaen huomioon jäsenvaltioiden kuulemisen tulokset. Turvallisuusriskien arviointiin sisältyy keskeisten tieto‑ ja viestintäteknisten hyödykkeiden sekä näihin hyödykkeisiin vaikuttavien tärkeimpien uhkatoimijoiden, riskien ja haavoittuvuuksien ehdotettu määrittely. Turvallisuusriskien arvioinnissa laaditaan riskiskenaarioita ja ehdotetaan toimenpiteitä tunnistettujen riskien lieventämiseksi.

100 artikla
Kolmannen maan nimeäminen kyberturvallisuushaasteita aiheuttavaksi maaksi

1.Jos 99 artiklassa tarkoitetun turvallisuusriskien arvioinnin tai muiden lähteiden, kuten unionin tai jäsenvaltion puolesta annettavan julkisen lausunnon, perusteella vaikuttaa siltä, että kolmas maa aiheuttaa vakavan ja rakenteellisen muun kuin teknisen riskin tieto‑ ja viestintätekniikan toimitusketjuille, komissio todentaa kyseisen maan aiheuttaman riskin ottaen huomioon seuraavat seikat:

a)mahdolliset kolmannen maan lait, jotka velvoittavat kyseisen maan lainkäyttövallan alaiset toimijat raportoimaan ohjelmisto‑ tai laitteistohaavoittuvuuksista viranomaisille ennen kuin haavoittuvuuksien tiedetään tulleen hyödynnetyiksi;

b)kolmannen maan vallitsevat käytännöt, joiden olemassaolon riippumattomat lähteet ovat vahvistaneet ja jotka velvoittavat kyseisen maan lainkäyttövallan alaiset toimijat raportoimaan ohjelmisto‑ tai laitteistohaavoittuvuuksista viranomaisille ennen kuin haavoittuvuuksien tiedetään tulleen hyödynnetyiksi;

c)sellaisten tehokkaiden oikeussuojakeinojen ja riippumattomien ja demokraattisten valvontamekanismien puuttuminen, joilla voitaisiin korjata tunnistetut turvallisuushaasteet, esimerkiksi liittyen b alakohdassa tarkoitettuihin käytäntöihin;

d)vahvistetut tiedot kyseisen maan määräysvallassa olevien tai sen alueelta käsin toimivien uhkatoimijoiden harjoittamista haitallisista kybertoimista tai ‑kampanjoista sekä kolmannen maan kyvyttömyys tai haluttomuus tehdä yhteistyötä komission tai jäsenvaltioiden kanssa näistä uhkatoimijoista aiheutuvien riskien torjumiseksi;

e)unionin tason koordinoiduista turvallisuusriskien arvioinneista tai jäsenvaltioiden tai kansainvälisten järjestöjen raporteista saadut olennaiset tiedot.

2.Jos komissio toteaa edellä 1 kohdassa tarkoitetun todentamisen jälkeen, että kolmas maa aiheuttaa vakavia ja rakenteellisia muita kuin teknisiä riskejä tieto‑ ja viestintätekniikan toimitusketjuille, se voi täytäntöönpanosäädöksellä nimetä kyseisen kolmannen maan tieto‑ ja viestintätekniikan toimitusketjujen kyberturvallisuushaasteita aiheuttavaksi maaksi. Kyseinen täytäntöönpanosäädös hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

3.Komissio tarkastelee 2 kohdan mukaisesti annettuja täytäntöönpanosäädöksiä säännöllisesti uudelleen. 

4.Suuririskiset toimittajat eivät saa

a)osallistua asetuksen (EU) 1025/2012 10 artiklan 1 kohdassa tarkoitettujen eurooppalaisten standardien ja eurooppalaisten standardointituotteiden tai asetuksen (EU) 2024/2847 27 artiklassa tarkoitettujen yhteisten eritelmien kehittämiseen tai arviointiin tai niihin liittyviin kuulemisiin tai päätöksiin kyberturvallisuuden alalla;

b)hakea mitään III osaston nojalla myönnettävää eurooppalaista kyberturvallisuussertifikaattia tai olla tällaisen sertifikaatin haltijoita;

c)tulla III osaston nojalla akkreditoiduksi vaatimustenmukaisuuden arviointilaitokseksi;

d)hakea II osaston 4 jakson nojalla yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen valtuutetun tarjoajan asemaa;

e)osallistua julkisiin hankintamenettelyihin, jotka järjestetään direktiivit 2014/24/EU ja 2014/25/EU kansalliseen lainsäädäntöön vievän lainsäädännön mukaisesti, siltä osin kuin on kyse sellaisten tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamisesta, joita käytetään 102 artiklan mukaisesti keskeisiksi määritellyissä tieto‑ ja viestintäteknisissä hyödykkeissä;

f)osallistua mihinkään suoraan tai välillisesti hallinnoitaviin unionin rahoitusohjelmiin tai ‑välineisiin liittyviin toimiin asetuksen (EU, Euratom) 2024/2509 136 artiklan sekä unionin alakohtaisten sääntöjen mukaisesti tai unionin yhteistyössä hallinnoitaviin rahoitustoimiin, siltä osin kuin on kyse sellaisten tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamisesta, joita käytetään 102 artiklan mukaisesti keskeisiksi määritellyissä tieto‑ ja viestintäteknisissä hyödykkeissä.

Edellä a–f alakohdassa tarkoitetuista menettelyistä vastaavien viranomaisten on suoritettava tämän kohdan tarkoituksiin tarvittavat arvioinnit. Viranomaiset voivat tätä varten tukeutua myös 104 artiklassa tarkoitettuun luetteloon.

5.Jos suuririskinen toimittaja on jo saanut III osaston nojalla eurooppalaisen kyberturvallisuussertifikaatin, toimivaltaisen viranomaisen on peruutettava se ilman aiheetonta viivytystä.

101 artikla
Yleinen tieto‑ ja viestintätekniikan toimitusketjun turvallisuusmekanismi

Jos verkko‑ ja tietoturva‑alan yhteistyöryhmä on suorittanut unionin tason koordinoidun turvallisuusriskien arvioinnin tämän asetuksen 99 artiklan 1 kohdan nojalla tai kun on saatettu päätökseen 99 artiklan 3 kohtaan perustuva menettely tieto‑ ja viestintätekniikan toimitusketjua koskevan merkittävän kyberuhkan tapauksessa, komissio voi toteuttaa 102 artiklassa ja 103 artiklan 1 ja 2 kohdassa säädettyjä toimenpiteitä.

102 artikla
Keskeisten tieto‑ ja viestintäteknisten hyödykkeiden määrittely

1.Jos 99 artiklan 1 tai 3 kohdan mukaisesti tehdyssä riskien arvioinnissa havaitaan tieto‑ ja viestintätekniikan toimitusketjuun liittyviä merkittäviä kyberturvallisuusriskejä, komissiolle siirretään valta antaa täytäntöönpanosäädöksiä direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijatyyppien tuotteiden valmistuksessa tai niiden palvelujen tarjoamisessa käytettävien keskeisten tieto‑ ja viestintäteknisten hyödykkeiden määrittelemiseksi. Nämä täytäntöönpanosäädökset hyväksytään tämän asetuksen 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. 

2.Määritellessään 1 kohdassa tarkoitettuja keskeisiä tieto‑ ja viestintäteknisiä hyödykkeitä komissio ottaa huomioon seuraavat seikat:

a)liittyykö kyseisiin hyödykkeisiin direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetun tyyppisen toimijan valmistamien tuotteiden tai tarjoamien palvelujen toiminnan kannalta olennaisia ja arkaluonteisia toimintoja;

b)voivatko poikkeamat, mukaan lukien kyseisiin hyödykkeisiin liittyvien hyödynnettyjen haavoittuvuuksien aiheuttamat poikkeamat, johtaa vakaviin häiriöihin tieto‑ ja viestintätekniikan toimitusketjuissa sisämarkkinoilla tai johtaa tietojen varastamiseen;

c)onko kyseessä riippuvuussuhde pieneen määrään kyseisten hyödykkeiden toimittajia; 

d)edellä 99 artiklassa tarkoitettujen riskinarviointien tulokset.

103 artikla
Riskinlieventämistoimenpiteet tieto‑ ja viestintätekniikan toimitusketjussa

1.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan tarvittaessa kyberturvallisuuden, kyberresilienssin ja luottamuksen korkean tason varmistamiseksi unionissa, että tietyt direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetut toimijatyypit eivät saa käyttää, asentaa tai integroida missään muodossa 104 artiklan mukaisesti määriteltyjen suuririskisten toimittajien toimittamia tieto‑ ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja 102 artiklan mukaisesti keskeisiksi määriteltyihin tieto‑ ja viestintäteknisiin hyödykkeisiin. Tällaisissa täytäntöönpanosäädöksissä on säädettävä asianmukaisista siirtymäajoista, joiden aikana komissio julkaisee 104 artiklassa tarkoitetun luettelon suuririskisistä toimittajista, sekä määräajat asiaankuuluvien tieto‑ ja viestintäteknisten komponenttien sekä tällaisia tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaista käytöstäpoistoa varten. Tällaisessa täytäntöönpanosäädöksessä voidaan myös määritellä tällaiset tieto‑ ja viestintätekniset komponentit ja tieto‑ ja viestintäteknisiä komponentteja sisältävät komponentit.

2.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan tarvittaessa kyberturvallisuuden, kyberresilienssin ja luottamuksen korkean tason varmistamiseksi unionissa, että tiettyihin direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuihin toimijatyyppeihin sovelletaan yhtä tai useampaa seuraavista niiden tieto‑ ja viestintätekniikan toimitusketjuun ja erityisesti 102 artiklan mukaisesti määriteltyihin keskeisiin tieto‑ ja viestintäteknisiin hyödykkeisiin liittyvistä toimenpiteistä 99 artiklan nojalla suoritetuissa turvallisuusriskien arvioinneissa havaittujen riskien lieventämiseksi:

a)läpinäkyvyysvaatimukset, jotka koskevat 102 artiklan mukaisesti määriteltyjen keskeisten tieto‑ ja viestintäteknisten hyödykkeiden tieto‑ ja viestintätekniikan toimitusketjun toimittajia koskevien tietojen toimittamista toimivaltaiselle viranomaiselle;

b)tietojen siirtoa kolmansiin maihin ja tietojen etäkäsittelyä kolmannesta maasta koskeva kielto;

c)tekniset toimenpiteet, jotka kolmannen osapuolen on auditoitava, mukaan lukien: 

i) laitteessa tapahtuvan käsittelyn käyttö;

ii) verkkojärjestelmien tarkka segmentointi;

iii) keskeisten tieto‑ ja viestintäteknisten hyödykkeiden etäkäytön tai niihin fyysisen pääsyn estäminen;

iv) muiden kuin olennaisten ominaisuuksien poistaminen käytöstä;

v) verkon operatiivinen seuranta;

vi) laitteistojen ja ohjelmistojen testaus;

d)operatiiviseen valvontaan liittyvät rajoitukset, mukaan lukien rajoitukset organisaation toimintojen ulkoistamiselle hallintapalvelun tarjoajille;

e)toimijan ja sen toimittajien välisiin sopimussuhteisiin liittyvät rajoitukset;

f)vaatimus, jonka mukaan asianomaisten kansallisten toimivaltaisten viranomaisten tarkastaman henkilöstön on vastattava palvelun operoinnista, hallinnasta ylläpidosta ja tukitoiminnoista;

g)tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien toimituslähteiden monipuolistaminen.

3.Vahvistaessaan 2 kohdassa tarkoitettuja toimenpiteitä komissio voi asettaa niitä koskevia teknisiä ja menetelmällisiä vaatimuksia.

4.Ennen 1 ja 2 kohdassa tarkoitettujen täytäntöönpanosäädösten hyväksymistä komissio arvioi mahdollisia riskejä ja riippuvuuksia ja erityisesti seuraavia seikkoja:

a)tapauksen mukaan riskitaso, joka liittyy suuririskisten toimittajien tieto‑ ja viestintäteknisten komponenttien tai tällaisia komponentteja sisältävien komponenttien käyttöön, asentamiseen tai integrointiin missä tahansa muodossa keskeisiin tieto- ja viestintäteknisiin hyödykkeisiin;

b)velvoitteen mahdolliset taloudelliset ja yhteiskunnalliset vaikutukset direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuihin toimijoihin;

c)suuririskisiin toimittajiin nähden vaihtoehtoisten toimittajien saatavuus;

d)rajat ylittävän taloudellisen ja yhteiskunnallisen toiminnan mahdollinen häiriintyminen, jonka toimijan tieto‑ ja viestintätekniikan toimitusketjuun vaikuttava poikkeama voi aiheuttaa.

5.Tämän artiklan 1 ja 2 kohdassa tarkoitetut täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen, ja niitä tarkastellaan uudelleen vähintään 36 kuukauden välein. 

6.Poikkeuksellisissa olosuhteissa, jotka oikeuttavat tilanteeseen puuttumisen sisämarkkinoiden moitteettoman toiminnan säilyttämiseksi, ja kun komissiolla on riittävä syy katsoa, että tietyn kolmanteen maahan sijoittautuneen tai kolmannen maan, kolmanteen maahan sijoittautuneen toimijan tai kolmannen maan kansalaisen määräysvallassa olevan toimijan tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien käyttö, asentaminen tai integrointi muodostaa merkittävän muun kuin teknisen kyberturvallisuusriskin vähintään kolmen jäsenvaltion taloudelliselle tai yhteiskunnalliselle toiminnalle, komissio kuulee viipymättä kyseisiä jäsenvaltioita tarpeesta toteuttaa toimenpiteitä unionin tasolla.

7.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan, että tietyt direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetut toimijatyypit eivät saa käyttää, asentaa tai integroida 6 kohdassa tarkoitetun toimijan tieto‑ ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja. Tätä varten komissio kuulee direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuja toimijoita, joita tällainen kielto mahdollisesti koskee. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. Täytäntöönpanosäädöksiin sisällytetään tarvittaessa asianmukaiset määräajat näiden tieto‑ ja viestintäteknisten komponenttien tai tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaista käytöstäpoistoa varten. Tällaisessa täytäntöönpanosäädöksessä voidaan myös määritellä kiellon alaiset tieto‑ ja viestintätekniset komponentit ja tieto‑ ja viestintäteknisiä komponentteja sisältävät komponentit. Tämä kielto koskee myös tieto‑ ja viestintäteknisiä komponentteja ja tieto‑ ja viestintäteknisiä komponentteja sisältäviä komponentteja, joita toimittaa mikä tahansa 6 kohdassa tarkoitetun toimijan määräysvallassa oleva toimija.

8.Edellä 1, 2 ja 7 kohdassa tarkoitetuissa täytäntöönpanosäädöksissä voidaan myös täsmentää, että lieventäviä toimenpiteitä sovelletaan ainoastaan tietynkokoisiin direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuihin toimijatyyppeihin.

9.Edellä olevaa 100 artiklan 4 kohtaa sovelletaan 7 kohdassa tarkoitettuun tiettyyn toimijaan, joka on sijoittautunut kolmanteen maahan tai on kolmannen maan tai kolmanteen maahan sijoittautuneen toimijan tai kolmannen maan kansalaisen määräysvallassa. 

10.Edellä 1, 2 ja 7 kohdan mukaisesti annettuja täytäntöönpanosäädöksiä, joita sovelletaan direktiivin (EU) 2022/2555 liitteessä I olevassa 10 kohdassa tarkoitettuihin toimijatyyppeihin, sovelletaan soveltuvin osin unionin toimielimiin, muihin elimiin ja laitoksiin.

104 artikla
Suuririskisten toimittajien yksilöinti

1.Komissio vahvistaa täytäntöönpanosäädöksillä luettelot suuririskisistä toimittajista, joita 103 artiklan 1 kohdan ja 103 artiklan 7 kohdan mukaisesti annetuissa täytäntöönpanosäädöksissä säädetyt kiellot tai 111 artiklan 1 kohdassa tarkoitettu kielto voivat koskea. 

2.Tätä varten komissio kartoittaa tarjoajat, jotka tarjoavat 1 kohdassa tarkoitetun kiellon kannalta merkityksellisiä tieto‑ ja viestintäteknisiä komponentteja ja tieto‑ ja viestintäteknisiä komponentteja sisältäviä komponentteja.

Komissio tekee tämän kartoituksen pohjalta alustavan arvioinnin määrittääkseen, mitkä kartoitetuista toimittajista ovat mahdollisesti sijoittautuneet 100 artiklan mukaisesti nimettyyn kolmanteen maahan tai ovat tällaisen kolmannen maan, tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa. Komissio kartoittaa alustavasti myös toimittajat, jotka ovat mahdollisesti 103 artiklan 6 kohdassa tarkoitetun toimijan määräysvallassa.

3.Komissio tekee arvion 2 kohdan toisen alakohdan mukaisesti alustavasti yksilöityjen toimittajien sijoittautumispaikasta sekä omistus‑ ja määräysvaltarakenteesta.

4.Komissiolla on valtuudet pyytää toimittajilta 3 kohdassa tarkoitettua arviointia varten tarvittavat tiedot. Jos toimittaja ei toimita tarvittavia tietoja asetetussa määräajassa, komissio voi todeta, että toimittaja on sijoittautunut 100 artiklan mukaisesti nimettyyn kolmanteen maahan tai että se on tällaisen kolmannen maan, tällaiseen kolmanteen maahan sijoittautuneen toimijan tai tällaisen kolmannen maan kansalaisen määräysvallassa. Jos komissio tekee arvioinnin 103 artiklan 7 kohdan tarkoituksia varten eikä toimittaja toimita tarvittavia tietoja asetetussa määräajassa, komissio voi todeta, että toimittaja on kyseisen artiklan mukaisesti nimetyn toimijan määräysvallassa. Myös 112 artiklassa tarkoitettujen toimivaltaisten viranomaisten on pyynnöstä annettava asiaankuuluvat tiedot komissiolle.

5.Komissio ilmoittaa toimittajalle sijoittautumista, määräysvaltaa ja omistajuutta koskevan arvioinnin alustavat havainnot. Komissio antaa toimittajalle tilaisuuden tulla kuulluksi näistä alustavista havainnoista.

6.Komissio voi pyytää toimivaltaista viranomaista suorittamaan alustavan arvioinnin toimittajan sijoittautumisesta, omistajuudesta ja määräysvallasta, jos se on perusteltua kyseisen toimittajan toiminnan luonteen vuoksi. Toimivaltainen viranomainen voi tarjoutua suorittamaan tällaisen alustavan arvioinnin. Komissio todentaa nämä alustavan arvioinnin havainnot voidakseen päättää, sisällytetäänkö toimittaja suuririskisten toimittajien luetteloon.

7.Komissio päivittää säännöllisesti suuririskisten toimittajien luetteloa poistaen tai lisäten suuririskisiä toimittajia. Luettelossa olevat suuririskiset toimittajat voivat pyytää komissiota arvioimaan uudelleen niiden sijoittautumista sekä määräysvalta‑ ja omistusrakennetta toimitettuaan komissiolle näyttöä olennaisista muutoksista. 

8.Jos toimivaltainen viranomainen saa tietoonsa, esimerkiksi direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetun toimijatyypin toimittamien tietojen perusteella, että toimittaja on mahdollisesti sisällytettävä suuririskisten toimittajien luetteloon, sen on ilmoitettava asiasta komissiolle ilman aiheetonta viivytystä.

105 artikla
Vapautus toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa

1.Edellä 100 artiklan mukaisesti kyberturvallisuushaasteita aiheuttavaksi nimettyyn kolmanteen maahan sijoittautunut toimija tai toimija, joka on tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa, voi esittää komissiolle perustellun pyynnön saada vapautus

a)direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetuille toimijoille asetetusta kiellosta käyttää, asentaa tai integroida tieto‑ ja viestintäteknisiä komponentteja tai tieto‑ ja viestintäteknisiä komponentteja sisältäviä komponentteja kyseisten toimijoiden keskeisiin tieto‑ ja viestintäteknisiin hyödykkeisiin, poiketen siitä, mitä 111 artiklassa tai 103 artiklan 1 kohdan nojalla annetuissa täytäntöönpanosäädöksistä säädetään;

b)kiellosta osallistua hankintamenettelyihin, jotka järjestetään direktiivit 2014/24/EU ja 2014/25/EU kansalliseen lainsäädäntöön vievän lainsäädännön mukaisesti, siltä osin kuin on kyse sellaisten tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamisesta, joita käytetään 102 artiklan mukaisesti keskeisiksi määritellyissä tieto‑ ja viestintäteknisissä hyödykkeissä, poiketen siitä, mitä 100 artiklan 4 kohdassa säädetään.

2.Edellä 1 kohdassa tarkoitetussa pyynnössä on

a)täsmennettävä 100 artiklan mukaisesti nimettyyn kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan sijoittautuneen toimijan tai tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa olevan toimijan intressi saada tämän artiklan 1 kohdassa tarkoitettu vapautus; sekä

b)osoitettava selkeästi, että käyttöön otetaan tulokselliset lieventävät toimenpiteet, joilla torjutaan muita kuin teknisiä riskejä ja varmistetaan, että 100 artiklan nojalla nimetyllä kolmannella maalla ei ole mahdollisuutta puuttua aiheettomasti tieto‑ ja viestintäteknisten komponenttien tai tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien toimittamiseen käytettäviksi, asennettaviksi tai integroitaviksi direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetun toimijatyypin keskeisiin tieto‑ ja viestintäteknisiin hyödykkeisiin.

3.Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä 2 kohdan b alakohdassa tarkoitettujen edellytysten täsmentämiseksi ja tässä artiklassa tarkoitettuja menettelyjä koskevien yksityiskohtaisten sääntöjen vahvistamiseksi. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

4.Komissio arvioi 1 kohdassa tarkoitetun pyynnön oikeudenmukaisella ja läpinäkyvällä menettelyllä ottaen huomioon

a)edellä 100 artiklan 1 ja 2 kohdassa tarkoitetut olosuhteet ja lisätekijät suhteessa kyberturvallisuushaasteita tieto‑ ja viestintätekniikan toimitusketjuissa aiheuttavaksi nimettyyn maahan, johon toimija on sijoittautunut tai jonka määräysvallassa se on;

b)edellä 2 kohdan b alakohdassa tarkoitettujen lieventävien toimenpiteiden tuloksellisuuden;

c)sen, olisiko tieto‑ ja viestintätekniikan toimitusketjujen kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan sijoittautuneen toimijan tai tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa olevan toimijan vapauttaminen kiellosta unionin edun vastaista.

5.Jos komissio toteaa 3 kohdassa tarkoitetun arvioinnin perusteella, että vapautuksen myöntäminen on perusteltua, se myöntää vapautuksen päätöksellä, josta se ilmoittaa hakijalle yhdeksän kuukauden kuluessa pyynnön vastaanottamisesta.

6.Tehdessään 4 kohdassa tarkoitettua päätöstä komissio voi rajoittaa vapautuksen tiettyyn ajanjaksoon ja asettaa toimijalle esimerkiksi seuraavia vapautukseen liittyviä ehtoja:

a)edellä 2 kohdan b alakohdassa tarkoitettujen lieventävien toimenpiteiden toteutusaikataulu;

b)kolmansien osapuolten säännöllisesti tekemät tarkastukset lieventävien toimenpiteiden tosiasiallisen toteuttamisen varmistamiseksi;

c)vaatimustenmukaisuutta koskevat raportointivelvoitteet.

7.Jos komissio toteaa 3 kohdassa tarkoitetun arvioinnin perusteella, että vapautuksen myöntäminen ei ole perusteltua, se epää vapautuksen päätöksellä, josta se ilmoittaa hakijalle yhdeksän kuukauden kuluessa pyynnön vastaanottamisesta. 

8.Komissio voi omasta aloitteestaan peruuttaa 4 kohdassa tarkoitetun päätöksen tai muuttaa sitä joissakin seuraavista tilanteista:

a)päätöksen perustana olleisiin tosiseikkoihin on tullut olennainen muutos;

b)vapautusta pyytänyt toimija toimii sitoumustensa vastaisesti;

c)vapautus perustui pyynnön esittäneen toimijan toimittamiin puutteellisiin, virheellisiin tai harhaanjohtaviin tietoihin.

106 artikla
Puolustautumisoikeudet

Ennen kuin komissio hyväksyy 103 artiklan 7 kohdan nojalla täytäntöönpanosäädöksen tai ennen kuin se tekee 105 artiklan 7 kohdan mukaisen päätöksen vapautuksen epäämisestä, koska hakija ei ole toimittanut vaadittuja tietoja, tai ennen kuin se peruuttaa päätöksen 105 artiklan 8 kohdan nojalla, se varmistaa, että asianomaiselle toimijalle annetaan tilaisuus tulla kuulluksi ottaen huomioon tarve käyttää joissakin tapauksissa kiireellistä menettelyä.

107 artikla
Rekisteri

Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä 105 artiklan 5 kohdassa tarkoitetuista päätöksistään. Rekisterissä ilmoitetaan tällaisten päätösten kohteina olleiden toimijoiden nimet. Komissio päivittää rekisteriä säännöllisesti.

108 artikla
Luottamuksellisuus

Komission 105 ja 106 artiklan nojalla saamia tietoja käytetään ainoastaan siihen tarkoitukseen, jota varten ne on saatu.

109 artikla
Maksut

1.Komissio perii maksuja 105 artiklan 1 kohdan mukaisesti esitetyistä pyynnöistä.

2.Maksut ilmaistaan ja maksetaan euroina.

3.Maksujen on oltava oikeassa suhteessa kustannuksiin, jotka liittyvät 105 artiklan 1 kohdassa tarkoitettujen pyyntöjen käsittelyyn, 105 artiklan 2 kohdassa tarkoitettujen perusteiden ja tietojen arviointiin sekä 107 artiklassa tarkoitetun rekisterin perustamiseen, ylläpitoon ja toimintaan. Kaikki näihin toimiin osallistuvaan henkilöstöön liittyvät komission menot sisällytetään näihin kustannuksiin.

4.Komissio hyväksyy täytäntöönpanosäädöksiä, joilla vahvistetaan maksuja koskevat yksityiskohtaiset säännöt ja täsmennetään maksujen määrä ja maksutapa. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

II LUKU 
Tieto‑ ja viestintätekniikan toimitusketjut sähköisissä viestintäverkoissa

110 artikla
Matkaviestinverkkojen, kiinteiden sähköisten viestintäverkkojen ja satelliittipohjaisten sähköisten viestintäverkkojen keskeiset tieto‑ ja viestintätekniset hyödykkeet

1.Matkaviestinverkkojen, kiinteiden sähköisten viestintäverkkojen ja satelliittipohjaisten sähköisten viestintäverkkojen keskeiset tieto‑ ja viestintätekniset hyödykkeet on esitetty liitteessä II.

2.Suuririskisten toimittajien toimittamat tieto‑ ja viestintätekniset komponentit tai tällaisia tieto‑ ja viestintäteknisiä komponentteja sisältävät komponentit on asteittain poistettava matkaviestinverkkojen, kiinteiden sähköisten viestintäverkkojen ja satelliittipohjaisten sähköisten viestintäverkkojen keskeisistä tieto‑ ja viestintäteknisistä hyödykkeistä.

3.Suuririskisten toimittajien toimittamien tieto‑ ja viestintäteknisten komponenttien tai tällaisia tieto‑ ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaiselle poistamiselle sähköisistä matkaviestinverkoista asetettu määräaika saa olla enintään 36 kuukautta siitä, kun 104 artiklassa tarkoitettu luettelo suuririskisistä toimittajista on julkaistu sähköisten matkaviestinverkkojen osalta.

4.Siirretään komissiolle valta antaa 118 artiklan 2 kohdan mukaisesti täytäntöönpanosäädöksiä, joissa täsmennetään määräajat suuririskisten toimittajien toimittamien tieto‑ ja viestintäteknisten komponenttien tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaiselle poistolle kiinteiden sähköisten viestintäverkkojen ja satelliittipohjaisten sähköisten viestintäverkkojen osalta.

5.Siirretään komissiolle valta antaa 119 artiklan mukaisesti delegoituja säädöksiä tämän asetuksen liitteen II muuttamiseksi teknologiseen kehitykseen mukautumista varten ottamalla huomioon 103 artiklan 4 kohdassa tarkoitetut seikat.

111 artikla
Matkaviestinverkkoja, kiinteitä sähköisiä viestintäverkkoja ja satelliittipohjaisia sähköisiä viestintäverkkoja koskevat kiellot

1.Matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajat eivät saa käyttää, asentaa tai integroida suuririskisten toimittajien tieto‑ ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja liitteessä II tarkoitettujen keskeisten tieto‑ ja viestintäteknisten hyödykkeiden toimintaan.

2.Jos jäsenvaltion tämän asetuksen nojalla nimeämä toimivaltainen viranomainen on eri kuin asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] nojalla nimetty toimivaltainen viranomainen, tämän asetuksen nojalla nimetyn toimivaltaisen viranomaisen on ilmoitettava viipymättä asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] nojalla nimetylle toimivaltaiselle viranomaiselle matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajiin kohdistetuista 114 artiklan mukaisista toimenpiteistä. Viranomaisten on varmistettava tiivis yhteistyö näiden toimenpiteiden tuloksellisen valvonnan ja täytäntöönpanon varmistamiseksi.

III LUKU 
Toimivaltaiset viranomaiset, valvonta ja täytäntöönpano, lainkäyttövalta, puolustautumisoikeudet

112 artikla
Toimivaltaiset viranomaiset

1.Kunkin jäsenvaltion on nimettävä direktiivin (EU) 2022/2555 8 artiklassa tarkoitetut toimivaltaiset viranomaiset viranomaisiksi, jotka vastaavat 114 artiklassa tarkoitettujen valvonta‑ ja täytäntöönpanotoimenpiteiden toteuttamisesta. 

2.Toimivaltaisten viranomaisten on oltava rakenteellisesti ja toiminnallisesti täysin puolueettomia ja vapaita ulkoisesta vaikuttamisesta, olipa se sitten suoraa tai välillistä. Ne eivät etenkään saa pyytää eivätkä ottaa vastaan ohjeita miltään muulta viranomaiselta tai yksityiseltä taholta.

3.Jäsenvaltioiden on varmistettava, että niiden toimivaltaisilla viranomaisilla on asianmukaiset valtuudet, riittävät henkilöresurssit ja tekniset resurssit sekä asiaankuuluva asiantuntemus 114 artiklassa tarkoitettujen valvonta‑ ja täytäntöönpanotoimenpiteiden tulokselliseen toteuttamiseen.

4.Kunkin jäsenvaltion on ilmoitettava komissiolle ilman aiheetonta viivytystä 1 kohdan mukaisesti nimettyjen toimivaltaisten viranomaisten nimet, kyseisten viranomaisten tehtävät ja näiden tietojen mahdolliset myöhemmät muutokset. Kunkin jäsenvaltion on myös julkistettava 1 kohdan mukaisesti nimettyjen toimivaltaisten viranomaisten nimet.

113 artikla
Komission yhteistyöverkosto ja tukipalvelut

Tuloksellisen valvonnan varmistamiseksi komissio perustaa 112 artiklassa tarkoitettujen jäsenvaltioiden toimivaltaisten viranomaisten ja komission yhteistyöverkoston, joka toimii yhteistyö‑ ja tiedonvaihtoalustana varsinkin 104 artiklassa tarkoitettua sijoittautumisen, määräysvallan ja omistajuuden arviointia varten. Komissio järjestää verkoston hallinnollisen tuen.

114 artikla
Valvonta‑ ja täytäntöönpanotoimenpiteet

1.Edellä 112 artiklassa tarkoitetuilla toimivaltaisilla viranomaisilla on oikeus toteuttaa direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuja toimijoita koskevia valvonta‑ ja täytäntöönpanotoimenpiteitä. Jäsenvaltioiden on varmistettava, että edellä mainitut toimenpiteet ovat vaikuttavia, oikeasuhteisia ja varoittavia ottaen huomioon kunkin yksittäisen tapauksen olosuhteet. Jäsenvaltioiden on ilmoitettava komissiolle tätä varten annetut säännöt ja niiden myöhemmät muutokset.

2.Hoitaessaan direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuihin toimijoihin liittyviä valvontatehtäviään toimivaltaisilla viranomaisilla on oikeus kohdistaa kyseisiin toimijoihin seuraavat toimenpiteet: 

a)pyynnöt saada yksityiskohtainen ja ajantasainen luettelo toimijoiden asiaankuuluvista toimittajista ja palveluntarjoajista;

b)pyynnöt saada pääsy dataan, asiakirjoihin ja tietoihin, joita tarvitaan tämän asetuksen noudattamisen todentamiseksi;

c)paikalla tehtävät tarkastukset ja muu kuin paikalla toteutettava valvonta, mukaan lukien koulutettujen ammattilaisten toteuttamat satunnaistarkastukset;

d)pyynnöt saada tietoa verkkoon tai järjestelmään missä tahansa muodossa asennettujen tai integroitujen laitteiden tai ohjelmistojen kokoonpanosta, mukaan lukien komponentit ja transitiiviset riippuvuudet, yleisesti käytetyssä ja koneluettavassa muodossa.

3.Käyttäessään täytäntöönpanovaltuuksiaan suhteessa direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettuihin toimijoihin toimivaltaisilla viranomaisilla on oikeus

a)antaa asianomaisille toimijoille tämän asetuksen rikkomisesta varoituksia, joissa esitetään asiaankuuluvat tosiseikat ja oikeudelliset näkökohdat;

b)tehdä päätöksiä, joissa asianomaisia toimijoita vaaditaan korjaamaan tämän asetuksen rikkominen tai lieventävien toimenpiteiden toteutuksessa havaitut puutteet;

c)määrätä asianomaiset toimijat lopettamaan tämän asetuksen vastainen toiminta ja pidättäytymään tästä toiminnasta vastaisuudessa; sekä

d)asettaa seuraamuksia niiden määrään liittyvien 115 artiklassa vahvistettujen sääntöjen mukaisesti tai pyytää asiaankuuluvia elimiä tai tuomioistuimia määräämään seuraamuksia kansallisen lainsäädännön mukaisesti.

4.Toimivaltaisten viranomaisten on toteuttaessaan edellä tarkoitettuja täytäntöönpanotoimenpiteitä otettava huomioon kunkin yksittäisen tapauksen olosuhteet sekä seuraavat seikat:

a)rikkomisen vakavuus ja rikottujen säännösten merkitys;

b)rikkomisen kesto;

c)asianomaisen toimijan merkityksellinen liikevaihto;

d)asianomaisen toimijan mahdolliset vastaavat aiemmat rikkomiset;

e)soveltuvin osin rikkomisesta aiheutunut aineellinen tai aineeton vahinko, mukaan lukien rahoitukseen liittyvät tai taloudelliset tappiot, vaikutukset muihin toimijoihin sekä niiden käyttäjien lukumäärä, joihin rikkominen on vaikuttanut;

f)asianomaisen toimijan toiminnan mahdollinen tahallisuus tai tuottamuksellisuus;

g)toimenpiteet, jotka toimija on toteuttanut aineellisen tai aineettoman vahingon ehkäisemiseksi tai lieventämiseksi;

h)vastuussa olevan luonnollisen henkilön tai oikeushenkilön halukkuus tehdä yhteistyötä toimivaltaisten viranomaisten kanssa.

Ensimmäisen alakohdan a alakohdan tarkoituksissa vakavina rikkomisina pidetään seuraavia:

i)toistuvat väärinkäytökset;

j)merkittävien poikkeamien ilmoittamatta tai korjaamatta jättäminen;

k)puutteiden korjaamatta jättäminen toimivaltaisten viranomaisten sitovista määräyksistä huolimatta.

5.Toimivaltaisten viranomaisten on ennen täytäntöönpanotoimenpiteiden hyväksymistä ilmoitettava asianomaisille toimijoille alustavista havainnoistaan. Niiden on varattava kyseisille toimijoille riittävästi aikaa esittää huomautuksia alustavista havainnoista. Toimivaltaisten viranomaisten on esitettävä yksityiskohtaiset perustelut täytäntöönpanotoimenpiteilleen.

6.Toimivaltaisten viranomaisten on kunnioitettava luottamuksellisuuden ja ammatti‑ ja liikesalaisuuksien suojan periaatteita.

7.Toimivaltaisten viranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa tämän osaston mukaista valvontaa ja täytäntöönpanoa varten 116 artiklan mukaisesti.

115 artikla
Seuraamukset

1.Jäsenvaltioiden on säädettävä tämän asetuksen säännösten rikkomiseen sovellettavista seuraamuksista ja toteutettava kaikki tarvittavat toimenpiteet kyseisten säännösten täytäntöönpanon varmistamiseksi.

2.Säädettyjen seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia. Jäsenvaltioiden on ilmoitettava nämä säännökset ja toimenpiteet ja kaikki niitä koskevat myöhemmät muutokset viipymättä komissiolle.

3.Seuraamukset on määrättävä minkä tahansa 114 artiklan 3 kohdan a, b ja c alakohdassa tarkoitetun toimenpiteen lisäksi.

4.Päätettäessä seuraamuksen määräämisestä ja sen suuruudesta kussakin yksittäisessä tapauksessa on otettava asianmukaisesti huomioon ainakin 114 artiklan 4 kohdan ensimmäisessä alakohdassa tarkoitetut seikat.

5.Tämän artiklan 3 kohdan mukaisesti 103 artiklan 2 kohdan a alakohdan rikkomisesta on määrättävä seuraamus, joka saa olla enimmillään 1 prosentti sen yrityksen, johon toimija kuuluu, edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta.

6.Tämän artiklan 3 kohdan mukaisesti 103 artiklan 2 kohdan b–g alakohdan rikkomisesta on määrättävä seuraamus, joka saa olla enimmillään 2 prosenttia sen yrityksen, johon toimija kuuluu, edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta.

7.Tämän artiklan 3 kohdan mukaisesti 103 artiklan 1 kohdan ja 111 artiklan rikkomisesta on määrättävä seuraamus, joka saa olla enimmillään 7 prosenttia sen yrityksen, johon toimija kuuluu, edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta.

116 artikla
Keskinäinen avunanto

1.Jos direktiivin (EU) 2022/2555 liitteessä I tai II tarkoitettu toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai tarjoaa palveluja yhdessä tai useammassa jäsenvaltiossa ja sen keskeiset tieto‑ ja viestintätekniset hyödykkeet sijaitsevat yhdessä tai useammassa muussa jäsenvaltiossa, asianomaisten jäsenvaltioiden toimivaltaisten viranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa sekä avustettava toisiaan ja komissiota asetuksen tuloksellisen ja tehokkaan soveltamisen varmistamiseksi. Tätä varten sovelletaan ainakin seuraavia sääntöjä:

a)valvonta‑ tai täytäntöönpanotoimenpiteitä jäsenvaltiossa soveltavien toimivaltaisten viranomaisten on informoitava ja kuultava muiden asianomaisten jäsenvaltioiden toimivaltaisia viranomaisia toteutetuista valvonta‑ ja täytäntöönpanotoimenpiteistä;

b)toimivaltainen viranomainen voi pyytää toisen jäsenvaltion toimivaltaista viranomaista toteuttamaan valvonta- tai täytäntöönpanotoimenpiteitä;

c)jäsenvaltion toimivaltaisen viranomaisen on annettava heti toisen jäsenvaltion toimivaltaisen viranomaisen perustellun pyynnön saatuaan tälle toiselle toimivaltaiselle viranomaiselle keskinäistä apua parhaan kykynsä mukaan, jotta valvonta‑ tai täytäntöönpanotoimenpiteet voidaan toteuttaa tuloksekkaasti, tehokkaasti ja johdonmukaisesti.

2.Ensimmäisen kohdan c alakohdassa tarkoitettu keskinäinen avunanto voi kattaa tietopyyntöjä ja valvontatoimenpiteitä, myös pyyntöjä suorittaa paikalla tehtäviä tarkastuksia tai muuta kuin paikalla toteutettavaa valvontaa tai kohdennettuja turvallisuusauditointeja. Toimivaltainen viranomainen, jolle avunantopyyntö on osoitettu, ei saa kieltäytyä pyynnöstä, paitsi jos todetaan, ettei sillä ole toimivaltaa antaa pyydettyä apua, että pyydetty apu ei ole oikeassa suhteessa toimivaltaisen viranomaisen valvontatehtäviin tai että pyyntö koskee tietoja tai käsittää toimintoja, joiden paljastaminen tai toteuttaminen olisi vastoin jäsenvaltion keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Ennen tällaisesta pyynnöstä kieltäytymistä toimivaltaisen viranomaisen on kuultava muita asianomaisia toimivaltaisia viranomaisia sekä, jos jokin asianomaisista jäsenvaltioista sitä pyytää, komissiota.

3.Eri jäsenvaltioiden toimivaltaiset viranomaiset voivat tarvittaessa ja yhteisestä sopimuksesta toteuttaa yhteisiä valvontatoimia.

4.Kun otetaan huomioon 114 artiklan 6 kohdassa tarkoitettu velvollisuus noudattaa luottamuksellisuuden ja ammatti‑ ja liikesalaisuuksien suojan periaatteita, avunantopyynnön yhteydessä vaihdettuja ja tämän artiklan nojalla annettuja tietoja saa käyttää ainoastaan siihen tarkoitukseen, jota varten niitä on pyydetty.

117 artikla
Lainkäyttövalta ja alueperiaate

1.Tämän asetuksen soveltamisalaan kuuluvien ja direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijoiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon ne ovat sijoittautuneet, lukuun ottamatta seuraavia:

a)yleisten sähköisten viestintäverkkojen tarjoajat tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan;

b)DNS‑palveluntarjoajat, aluetunnusrekisterit, pilvipalvelujen tarjoajat, datakeskuspalvelujen tarjoajat, sisällönjakeluverkkojen tarjoajat, hallintapalvelun tarjoajat, tietoturvapalveluntarjoajat sekä verkkomarkkinapaikkojen, verkkohakukoneiden tai verkkoyhteisöalustojen tarjoajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka unionissa on 2 kohdan perusteella;

c)julkishallinnon toimijat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jonka hallinnon osa ne ovat;

d)lentoliikenteen harjoittajat, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jonka toimivaltainen lupaviranomainen on myöntänyt lentoliikenteen harjoittajalle liikenneluvan Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1008/2008 83 nojalla, tai sellaiset lentoliikenteen harjoittajat, joiden liikennelupaa tai vastaavaa ei ole myönnetty kyseisen asetuksen mukaisesti, joiden katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka unionissa 2 kohdan perusteella on.

2.Tämän asetuksen tarkoituksissa 1 kohdan b alakohdassa tarkoitetun toimijan päätoimipaikan katsotaan olevan unionissa siinä jäsenvaltiossa, jossa kyberturvallisuusriskien hallintatoimenpiteisiin liittyvät päätökset pääsääntöisesti tehdään. Jos tällaista jäsenvaltiota ei voida määrittää tai jos tällaisia päätöksiä ei tehdä unionissa, päätoimipaikan katsotaan sijaitsevan jäsenvaltiossa, jossa suurin osa kyberturvallisuustoiminnoista toteutetaan. Jos tällaista jäsenvaltiota ei voida määrittää, päätoimipaikan katsotaan sijaitsevan jäsenvaltiossa, jossa asianomaisella toimijalla on eniten työntekijöitä työllistävä toimipaikka unionissa.

3.Jos direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettu toimija ei ole sijoittautunut unioniin mutta tarjoaa palveluja unionissa, sen on nimettävä itselleen edustaja unioniin. Edustajan on oltava sijoittautunut johonkin niistä jäsenvaltioista, joissa palveluja tarjotaan. Tällaisen toimijan katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, johon sen edustaja on sijoittautunut. Jos tällainen toimija on 1 kohdan a alakohdassa tarkoitettu toimija, sen katsotaan kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa se tarjoaa palvelujaan. Jos toimijalla ei ole unionissa tämän kohdan nojalla nimettyä edustajaa, mikä tahansa jäsenvaltio, jossa toimija tarjoaa palveluja, voi ryhtyä oikeustoimiin toimijaa vastaan tämän asetuksen rikkomisen vuoksi.

4.Se, että 1 kohdan b alakohdassa tarkoitettu toimija nimeää edustajan, ei rajoita oikeustoimia, joita voidaan panna vireille toimijaa itseään vastaan.

5.Jäsenvaltiot, jotka ovat saaneet 1 kohdan b alakohdassa tarkoitettuun toimijaan liittyvän keskinäistä avunantoa koskevan pyynnön, voivat kyseisen pyynnön asettamissa rajoissa toteuttaa asianmukaisia valvonta‑ ja täytäntöönpanotoimenpiteitä suhteessa asianomaiseen toimijaan, jos toimija tarjoaa palveluja tai sillä on verkko‑ ja tietojärjestelmä niiden alueella.

VI OSASTO 
LOPPUSÄÄNNÖKSET

118 artikla
Komiteamenettely

1.Komissiota avustaa komitea. Komitealla on kaksi kokoonpanoa. Komissiota avustaa II ja III osaston osalta komitea ensimmäisessä kokoonpanossaan, ja IV osaston osalta komissiota avustaa komitea toisessa kokoonpanossaan. Tämä komitea on asetuksessa (EU) N:o 182/2011 tarkoitettu komitea.

2.Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 5 artiklaa.

119 artikla
Siirretyn säädösvallan käyttäminen

1.Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2.Siirretään komissiolle tämän asetuksen voimaantulopäivästä määräämättömäksi ajaksi 80 artiklan 2 kohdassa ja 110 artiklan 5 kohdassa tarkoitettu valta antaa delegoituja säädöksiä.

3.Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 80 artiklan 2 kohdassa ja 110 artiklan 5 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan siinä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös on julkaistu Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen. 

4.Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita noudattaen paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten sopimuksessa vahvistettuja periaatteita.

5.Heti delegoidun säädöksen hyväksyttyään komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6.Edellä olevien 80 artiklan 2 kohdan ja 110 artiklan 5 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun kyseinen säädös on annettu niille tiedoksi, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella. 

120 artikla
Arviointi ja uudelleentarkastelu

1.Komissio teettää ohjeistuksensa mukaisesti tehtävän arvioinnin [PP KK VVVV] mennessä ja joka viides vuosi sen jälkeen.

2.Edellä 1 kohdassa tarkoitetussa arvioinnissa on tarkasteltava seuraavia seikkoja:

a)ENISAn suoriutuminen sen tavoitteiden, toimeksiannon, päämäärien, tehtävien, hallinnon ja sijainnin näkökulmasta;

b)tämän asetuksen II osaston II luvun 4 jaksossa säädettyjen yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien tuloksellisuus, tehokkuus ja EU:n tasolla saatava lisäarvo;

c)tämän asetuksen III osaston säännösten vaikuttavuus, tuloksellisuus ja tehokkuus suhteessa tavoitteisiin varmistaa tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen ja toimijoiden riittävä kyberturvallisuuden taso unionissa ja parantaa sisämarkkinoiden toimintaa;

d)tämän asetuksen IV osaston säännösten vaikuttavuus, tuloksellisuus ja tehokkuus suhteessa luotettavien tieto- ja viestintätekniikan toimitusketjujen kehyksen tavoitteisiin.

3.Edellä 1 kohdan a alakohdassa tarkoitetussa arvioinnissa on käsiteltävä erityisesti mahdollista tarvetta muuttaa ENISAn toimeksiantoa ja tällaisten muutosten taloudellisia vaikutuksia.

4.Komissio arvioi joka toisen 1 kohdan a alakohdassa tarkoitetun arvioinnin yhteydessä ENISAn saavuttamia tuloksia suhteessa sen tavoitteisiin, toimeksiantoon, päämääriin, hallintoon ja tehtäviin ja esittää muun muassa arvionsa siitä, onko ENISAn toiminnan jatkaminen edelleen perusteltua sen tavoitteiden, toimeksiannon, päämäärien, hallinnon ja tehtävien osalta.

5.Komissio raportoi arvioinnin tuloksista Euroopan parlamentille, neuvostolle ja johtokunnalle. Arvioinnin tulokset julkistetaan.

121 artikla
Kumoaminen ja toiminnan jatkaminen

1.Kumotaan Euroopan parlamentin ja neuvoston asetus (EU) 2019/881 PPKKVVVV.

2.Viittauksia asetukseen (EU) 2019/881, ENISAan ja kyseisen asetuksen mukaisesti perustettuihin eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin on pidettävä viittauksina tähän asetukseen tämän asetuksen liitteessä III olevan vastaavuustaulukon mukaisesti.

3.Tämän asetuksen mukainen ENISA jatkaa asetuksen (EU) 2019/881 mukaista ENISAn toimintaa kaikkien omistusten, sopimusten, oikeudellisten velvoitteiden, työsopimusten, taloudellisten sitoumusten ja vastuiden osalta. Kaikki johtokunnan ja hallituksen asetuksen (EU) 2019/881 mukaisesti tekemät päätökset pysyvät voimassa edellyttäen, että ne ovat tämän asetuksen mukaisia.

4.Asetuksen (EU) 2019/881 15 artiklan 1 kohdan n alakohdan nojalla nimitetty pääjohtaja jatkaa ENISAn pääjohtajana ja hoitaa tämän asetuksen 32 artiklassa tarkoitetut pääjohtajan tehtävät ja vastuut jäljellä olevan toimikautensa ajan. Hänen työsopimuksensa muut ehdot pysyvät muuttumattomina.

5.Ehdokasjärjestelmiä, joiden valmistelua on pyydetty asetuksen (EU) 2019/881 49 artiklan nojalla, katsotaan pyydetyn tämän asetuksen vastaavien säännösten mukaisesti. Tämän asetuksen III osaston säännöksiä sovelletaan vastaavasti näihin ehdokasjärjestelmiin.

6.Komission nimittämät johtokunnan jäsenet ja asetuksen (EU) 2019/881 14 artiklan mukaisesti nimitetyt varajäsenet jatkavat ENISAn johtokunnan jäseninä ja varajäseninä ja huolehtivat tämän asetuksen 27 artiklassa tarkoitetuista johtokunnan toiminnoista jäljellä olevan toimikautensa ajan. Jäsenvaltioiden asetuksen (EU) 2019/881 14 artiklan nojalla nimittämät johtokunnan jäsenet jatkavat ENISAn johtokunnan jäseninä ja huolehtivat tämän asetuksen 27 artiklassa tarkoitetuista johtokunnan toiminnoista edellyttäen, että he ovat tämän asetuksen 24 artiklan 3 kohdassa tarkoitetussa asemassa.

122 artikla
Voimaantulo

Tämä asetus tulee voimaan […] päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.

Tehty Strasbourgissa

SÄÄDÖSEHDOTUKSEEN LIITTYVÄ RAHOITUSTA JA DIGITAALISIA VAIKUTUKSIA KOSKEVA SELVITYS

1.PERUSTIEDOT EHDOTUKSESTA/ALOITTEESTA3

1.1.Ehdotuksen/aloitteen nimi3

1.2.Toimintalohko(t)3

1.3.Tavoite (Tavoitteet)3

1.3.1.Yleistavoite (Yleistavoitteet)3

1.3.2.Erityistavoite (Erityistavoitteet)3

1.3.3.Odotettavissa olevat tulokset ja vaikutukset3

1.3.4.Tulosindikaattorit3

1.4.Ehdotus/aloite liittyy4

1.5.Ehdotuksen/aloitteen perustelut4

1.5.1.Tarpeet, joihin ehdotuksella/aloitteella vastataan lyhyellä tai pitkällä aikavälillä sekä aloitteen yksityiskohtainen toteutusaikataulu4

1.5.2.EU:n osallistumisesta saatava lisäarvo (joka voi olla seurausta eri tekijöistä, kuten koordinoinnin paranemisesta, oikeusvarmuudesta tai toiminnan vaikuttavuuden tai täydentävyyden paranemisesta). EU:n osallistumisesta saatavalla lisäarvolla tarkoitetaan tässä kohdassa arvoa, jonka EU:n osallistuminen tuottaa sen arvon lisäksi, joka olisi saatu aikaan pelkillä jäsenvaltioiden toimilla.4

1.5.3.Vastaavista toimista saadut kokemukset4

1.5.4.Yhteensopivuus monivuotisen rahoituskehyksen kanssa ja mahdolliset synergiaedut suhteessa muihin kyseeseen tuleviin välineisiin5

1.5.5.Arvio käytettävissä olevista rahoitusvaihtoehdoista, mukaan lukien mahdollisuudet määrärahojen uudelleenkohdentamiseen5

1.6.Ehdotetun toimen/aloitteen ja sen rahoitusvaikutusten kesto6

1.7.Suunniteltu talousarvion toteuttamistapa / Suunnitellut talousarvion toteuttamistavat6

2.HALLINNOINTI8

2.1.Seuranta- ja raportointisäännöt8

2.2.Hallinnointi- ja valvontajärjestelmä(t)8

2.2.1.Perustelut ehdotetu(i)lle talousarvion toteuttamistavalle(/-tavoille), rahoituksen toteutusmekanismille(/-mekanismeille), maksujärjestelyille sekä valvontastrategialle8

2.2.2.Tiedot todetuista riskeistä ja niiden vähentämiseksi käyttöön otetuista sisäisistä valvontajärjestelmistä8

2.2.3.Valvonnan kustannustehokkuutta (valvontakustannusten suhde hallinnoitujen varojen arvoon) koskevat arviot ja perustelut sekä arviot maksujen suoritusajankohdan ja toimen päättämisajankohdan odotetuista virheriskitasoista8

2.3.Toimenpiteet petosten ja sääntöjenvastaisuuksien ehkäisemiseksi9

3.EHDOTUKSEN/ALOITTEEN ARVIOIDUT RAHOITUSVAIKUTUKSET10

3.1.Kyseeseen tulevat monivuotisen rahoituskehyksen otsakkeet ja menopuolen budjettikohdat10

3.2.Arvioidut vaikutukset määrärahoihin12

3.2.1.Yhteenveto arvioiduista vaikutuksista toimintamäärärahoihin12

3.2.1.1.Hyväksytystä talousarviosta peräisin olevat määrärahat12

3.2.1.2.Ulkoisista käyttötarkoitukseensa sidotuista tuloista peräisin olevat määrärahat17

3.2.2.Arvioidut toimintamäärärahoista rahoitetut tuotokset22

3.2.3.Yhteenveto arvioiduista vaikutuksista hallintomäärärahoihin24

3.2.3.1. Hyväksytystä talousarviosta peräisin olevat määrärahat24

3.2.3.2.Ulkoisista käyttötarkoitukseensa sidotuista tuloista peräisin olevat määrärahat24

3.2.3.3.Määrärahat yhteensä24

3.2.4.Henkilöresurssien arvioitu tarve25

3.2.4.1.Hyväksytystä talousarviosta katettavat25

3.2.4.2.Ulkoisilla käyttötarkoitukseensa sidotuilla tuloilla katettavat26

3.2.4.3.Henkilöresurssien kokonaistarve26

3.2.5.Yhteenveto arvioiduista vaikutuksista digitaaliteknologiaan liittyviin investointeihin28

3.2.6.Yhteensopivuus nykyisen monivuotisen rahoituskehyksen kanssa28

3.2.7.Ulkopuolisten tahojen rahoitusosuudet28

3.3.Arvioidut vaikutukset tuloihin29

4.Digitaaliset ulottuvuudet29

4.1.Vaatimukset, joilla on merkitystä digitalisaation kannalta30

4.2.Data30

4.3.Digitaaliset ratkaisut31

4.4.Yhteentoimivuusarviointi31

4.5.Toimenpiteet digitaalisen täytäntöönpanon tukemiseksi32

1.PERUSTIEDOT EHDOTUKSESTA/ALOITTEESTA 

1.1.Ehdotuksen/aloitteen nimi

1.2.Toimintalohko(t) 

1.3.Tavoite (Tavoitteet)

1.3.1.Yleistavoite (Yleistavoitteet)

1.3.2.Erityistavoite (Erityistavoitteet)

1.3.3.Odotettavissa olevat tulokset ja vaikutukset

Selvitys siitä, miten ehdotuksella/aloitteella on tarkoitus vaikuttaa edunsaajien/kohderyhmän tilanteeseen

1.3.4.Tulosindikaattorit

Selvitys siitä, millaisin indikaattorein ehdotuksen/aloitteen etenemistä ja tuloksia seurataan.

1.4.Ehdotus/aloite liittyy 

 uuteen toimeen (IV osasto: toimitusketju, V osasto: yksinkertaistaminen)

 uuteen toimeen, joka perustuu pilottihankkeeseen tai valmistelutoimeen 84  

 käynnissä olevan toimen jatkamiseen (II osasto: ENISAn toimeksianto, III osasto: sertifiointi)

 yhden tai useamman toimen sulauttamiseen tai uudelleen suuntaamiseen johonkin toiseen/uuteen toimeen

1.5.Ehdotuksen/aloitteen perustelut 

1.5.1.Tarpeet, joihin ehdotuksella/aloitteella vastataan lyhyellä tai pitkällä aikavälillä sekä aloitteen yksityiskohtainen toteutusaikataulu

1.5.2.EU:n osallistumisesta saatava lisäarvo (joka voi olla seurausta eri tekijöistä, kuten koordinoinnin paranemisesta, oikeusvarmuudesta tai toiminnan vaikuttavuuden tai täydentävyyden paranemisesta). EU:n osallistumisesta saatavalla lisäarvolla tarkoitetaan tässä kohdassa arvoa, jonka EU:n osallistuminen tuottaa sen arvon lisäksi, joka olisi saatu aikaan pelkillä jäsenvaltioiden toimilla.

1.5.3.Vastaavista toimista saadut kokemukset

1.5.4.Yhteensopivuus monivuotisen rahoituskehyksen kanssa ja mahdolliset synergiaedut suhteessa muihin kyseeseen tuleviin välineisiin

1.5.5.Arvio käytettävissä olevista rahoitusvaihtoehdoista, mukaan lukien mahdollisuudet määrärahojen uudelleenkohdentamiseen

1.6.Ehdotetun toimen/aloitteen ja sen rahoitusvaikutusten kesto

 kesto on rajattu

–    toiminta alkaa [PP/KK]VVVV ja päättyy [PP/KK]VVVV.

–    maksusitoumusmäärärahoihin kohdistuvat rahoitusvaikutukset koskevat vuosia VVVV–VVVV ja maksumäärärahoihin kohdistuvat rahoitusvaikutukset vuosia VVVV–VVVV.

 kestoa ei ole rajattu

–Käynnistysvaihe alkaa vuonna VVVV ja päättyy vuonna VVVV,

–minkä jälkeen toteutus täydessä laajuudessa.

1.7.Suunniteltu talousarvion toteuttamistapa / Suunnitellut talousarvion toteuttamistavat 

 Suora hallinnointi, jonka komissio toteuttaa käyttämällä

– yksiköitään, myös unionin edustustoissa olevaa henkilöstöään

–    toimeenpanovirastoja

 Hallinnointi yhteistyössä jäsenvaltioiden kanssa

 Välillinen hallinnointi, jossa täytäntöönpanotehtäviä on siirretty

– kolmansille maille tai niiden nimeämille elimille

– kansainvälisille järjestöille ja niiden erityisjärjestöille (tarkennettava)

– Euroopan investointipankille ja Euroopan investointirahastolle

– varainhoitoasetuksen 70 ja 71 artiklassa tarkoitetuille elimille

– julkisoikeudellisille yhteisöille

– sellaisille julkisen palvelun tehtäviä hoitaville yksityisoikeudellisille elimille, joille annetaan riittävät rahoitustakuut

– sellaisille jäsenvaltion yksityisoikeuden mukaisille elimille, joille on annettu tehtäväksi julkisen ja yksityisen sektorin kumppanuuden täytäntöönpano ja joille annetaan riittävät rahoitustakuut

– sellaisille elimille tai henkilöille, joille on annettu tehtäväksi toteuttaa Euroopan unionista tehdyn sopimuksen V osaston mukaisia yhteisen ulko- ja turvallisuuspolitiikan erityistoimia ja jotka nimetään asiaa koskevassa perussäädöksessä

–jäsenvaltioon sijoittautuneille jäsenvaltion yksityisoikeuden tai unionin oikeuden mukaisille elimille, joille voidaan alakohtaisten sääntöjen mukaisesti antaa tehtäväksi unionin varojen tai talousarviotakuiden hoitaminen, siltä osin kuin tällaiset elimet ovat julkisoikeudellisten elinten tai julkisen palvelun tehtäviä hoitavien yksityisoikeudellisten elinten määräysvallassa ja niillä on asianomaisten määräysvaltaa käyttävien elinten yhteisvastuullisten vakuuksien muodossa antamat riittävät rahoitustakuut tai vastaavat rahoitustakuut, jotka voidaan kunkin toimen osalta rajoittaa unionin tuen enimmäismäärään.

Huomautukset:

2.HALLINNOINTI 

2.1.Seuranta- ja raportointisäännöt 

2.2.Hallinnointi- ja valvontajärjestelmä(t) 

2.2.1.Perustelut ehdotetu(i)lle talousarvion toteuttamistavalle(/-tavoille), rahoituksen toteutusmekanismille(/-mekanismeille), maksujärjestelyille sekä valvontastrategialle

2.2.2.Tiedot todetuista riskeistä ja niiden vähentämiseksi käyttöön otetuista sisäisistä valvontajärjestelmistä

2.2.3.Valvonnan kustannustehokkuutta (valvontakustannusten suhde hallinnoitujen varojen arvoon) koskevat arviot ja perustelut sekä arviot maksujen suoritusajankohdan ja toimen päättämisajankohdan odotetuista virheriskitasoista 

2.3.Toimenpiteet petosten ja sääntöjenvastaisuuksien ehkäisemiseksi 

3.EHDOTUKSEN/ALOITTEEN ARVIOIDUT RAHOITUSVAIKUTUKSET 

3.1.Kyseeseen tulevat monivuotisen rahoituskehyksen otsakkeet ja menopuolen budjettikohdat 

·Talousarviossa jo olevat budjettikohdat

Monivuotisen rahoituskehyksen otsakkeiden ja budjettikohtien mukaisessa järjestyksessä.

Monivuotisen rahoituskehyksen otsake	Budjettikohta	Menolaji	Rahoitusosuudet
	Numero	JM/EI-JM 99	EFTA-mailta 100	ehdokasmailta ja mahdollisilta ehdokasmailta 101	muilta kolmansilta mailta	muut käyttötarkoitukseensa sidotut tulot
	[XX.YY.YY.YY]	EI-JM	KYLLÄ	EI	EI	KYLLÄ/EI
	[XX.YY.YY.YY]	JM/EI-JM	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI
	[XX.YY.YY.YY]	JM/EI-JM	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI

·Uudet perustettaviksi esitetyt budjettikohdat

Monivuotisen rahoituskehyksen otsakkeiden ja budjettikohtien mukaisessa järjestyksessä.

Monivuotisen rahoituskehyksen otsake	Budjettikohta	Menolaji	Rahoitusosuudet
	Numero	JM/EI-JM	EFTA-mailta	ehdokasmailta ja mahdollisilta ehdokasmailta	muilta kolmansilta mailta	muut käyttötarkoitukseensa sidotut tulot
	[XX.YY.YY.YY]	JM/EI-JM	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI
	[XX.YY.YY.YY]	JM/EI-JM	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI
	[XX.YY.YY.YY]	JM/EI-JM	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI	KYLLÄ/EI

3.2.Arvioidut vaikutukset määrärahoihin 

3.2.1.Yhteenveto arvioiduista vaikutuksista toimintamäärärahoihin 

–    Ehdotus/aloite ei edellytä toimintamäärärahoja.

–    Ehdotus/aloite edellyttää toimintamäärärahoja seuraavasti:

3.2.1.1.Hyväksytystä talousarviosta peräisin olevat määrärahat

milj. euroa (kolmen desimaalin tarkkuudella)

Virasto: ENISA	Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034	MRK YHTEENSÄ 2028–2034
Budjettikohta: <…….> / Viraston lisärahoitusosuus EU:n talousarviosta	20,900 €	20,594 €	25,338 €	26,801 €	26,801 €	26,301 €	26,301 €	173,006

Virastolle osoitetut määrärahat / EU:n talousarviosta maksettava rahoitusosuus korvataan vähentämällä määrärahoja ohjelmasta <…….> / budjettikohdasta: <…….> / vuonna (vuosina): <…….> .

						Vuosi		Vuosi			Vuosi		Vuosi			Vuosi		Vuosi	Vuosi			MRK YHTEENSÄ 2028–2034
						2028		2029			2030		2031			2032		2033	2034
Toimintamäärärahat YHTEENSÄ		Sitoumukset		(4)		20,900 €		20,594 €			25,338 €		26,801 €			26,801 €		26,301 €	26,301 €			173,006
		Maksut		(5)		20,900 €		20,594 €			25,338 €		26,801 €			26,801 €		26,301 €	26,301 €			173,006
Tiettyjen ohjelmien määrärahoista katettavat hallintomäärärahat YHTEENSÄ				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
Monivuotisen rahoituskehyksen OTSAKKEESEEN 2		Sitoumukset				= 4 + 6		22,265 €			21,959 €		26,808 €			28,586 €		28,901 €	28,716 €			28,926 €	186,161
kuuluvat määrärahat YHTEENSÄ		Maksut				= 5 + 6		22,265 €			20,890 €		24,851 €			26,254 €		26,254 €	25,754 €			25,754 €	186,161
Pääosasto: CNECT									Vuosi			Vuosi		Vuosi	Vuosi		Vuosi			Vuosi	Vuosi			MRK YHTEENSÄ 2028–2034
									2028			2029		2030	2031		2032			2033	2034
 Henkilöresurssit									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Muut hallintomenot									0			0		0	0		0			0	0			0
Pääosasto CNECT YHTEENSÄ	Määrärahat		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
Monivuotisen rahoituskehyksen OTSAKKEESEEN 4 kuuluvat määrärahat YHTEENSÄ					(Sitoumukset yhteensä = maksut yhteensä)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

milj. euroa (kolmen desimaalin tarkkuudella)

			Vuosi		Vuosi		Vuosi		Vuosi		Vuosi		Vuosi		Vuosi		MRK YHTEENSÄ 2028–2034
			2028		2029		2030		2031		2032		2033		2034
Monivuotisen rahoituskehyksen OTSAKKEISIIN 1–4	Sitoumukset		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
kuuluvat määrärahat YHTEENSÄ		Maksut		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Arvioidut toimintamäärärahoista rahoitetut tuotokset (ei täytetä erillisvirastojen osalta)

maksusitoumusmäärärahat, milj. euroa (kolmen desimaalin tarkkuudella)

Tavoitteet ja tuotokset 

Vuosi  2028

Vuosi  2029

Vuosi  2030

Vuosi  2031

ja näitä seuraavat vuodet (ilmoitetaan kaikki vuodet, joille ehdotuksen/aloitteen vaikutukset ulottuvat, ks. 1.6 kohta)

YHTEENSÄ

TUOTOKSET

Tyyppi 102

Keskimäär. kustannukset

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lkm

Kustannus

Lukumäärä yhteensä

Kustannukset yhteensä

ERITYISTAVOITE 1… 103

– Tuotos

– Tuotos

– Tuotos

Välisumma erityistavoite 1

ERITYISTAVOITE 2...

– Tuotos

Välisumma erityistavoite 2

KAIKKI YHTEENSÄ

3.2.3.Yhteenveto arvioiduista vaikutuksista hallintomäärärahoihin 

–    Ehdotus/aloite ei edellytä hallintomäärärahoja.

–    Ehdotus/aloite edellyttää hallintomäärärahoja seuraavasti:

3.2.3.1. Hyväksytystä talousarviosta peräisin olevat määrärahat

(lisäys)

HYVÄKSYTYT MÄÄRÄRAHAT	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	YHTEENSÄ 2028–2034
	2028	2029	2030	2031	2032	2033	2034
OTSAKE 4
Henkilöresurssit	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Muut hallintomenot	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
OTSAKE 4, välisumma	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
OTSAKKEESEEN 4 sisältymättömät
Henkilöresurssit	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Muut hallintomenot	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
OTSAKKEESEEN 4 sisältymättömät, välisumma	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
YHTEENSÄ	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Henkilöresurssien arvioitu tarve (lisäys)

–    Ehdotus/aloite ei edellytä henkilöresursseja.

–    Ehdotus/aloite edellyttää henkilöresursseja seuraavasti:

3.2.4.1.Hyväksytystä talousarviosta katettavat

Arvio kokoaikaiseksi henkilöstöksi muutettuna 104

HYVÄKSYTYT MÄÄRÄRAHAT		Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi
		2028	2029	2030	2031	2032	2033	2034
 Henkilöstötaulukkoon sisältyvät virat/toimet (virkamiehet ja väliaikaiset toimihenkilöt)
20 01 02 01 (päätoimipaikka ja komission edustustot EU:ssa)		12	12	16	18	20	22	25
20 01 02 03 (unionin edustustot)		0	0	0	0	0	0	0
(Epäsuora tutkimustoiminta)		0	0	0	0	0	0	0
(Suora tutkimustoiminta)		0	0	0	0	0	0	0
Muu budjettikohta (mikä?)		0	0	0	0	0	0	0
• Ulkopuolinen henkilöstö (kokoaikaiseksi muutettuna)
20 02 01 (kokonaismäärärahoista katettavat sopimussuhteiset toimihenkilöt ja kansalliset asiantuntijat)		0	0	0	0	0	0	0
20 02 03 (sopimussuhteiset ja paikalliset toimihenkilöt, kansalliset asiantuntijat ja nuoremmat asiantuntijat unionin edustustoissa)		0	0	0	0	0	0	0
Hallinnollisen tuen budjettikohta	– päätoimipaikassa	0	0	0	0	0	0	0
[XX.01.YY.YY]	– unionin edustustoissa	0	0	0	0	0	0	0
(sopimussuhteiset toimihenkilöt ja kansalliset asiantuntijat – epäsuora tutkimustoiminta)		0	0	0	0	0	0	0
(sopimussuhteiset toimihenkilöt ja kansalliset asiantuntijat – suora tutkimustoiminta)		0	0	0	0	0	0	0
Muu budjettikohta (mikä?) – Otsake 4		0	0	0	0	0	0	0
Muu budjettikohta (mikä?) – Otsakkeeseen 4 sisältymätön		13	13	14	17	20	23	25
YHTEENSÄ		25	25	30	35	40	45	50

Ehdotuksen toteuttamiseksi tarvittava henkilöstö (kokoaikaiseksi muutettuna):

	Katetaan komission yksiköissä käytettävissä olevalla henkilöstöllä	Poikkeuksellinen lisähenkilöstö
		Rahoitetaan otsakkeesta 7 tai tutkimusmäärärahoista	Rahoitetaan BA-budjettikohdasta	Rahoitetaan maksuilla
Henkilöstötaulukkoon sisältyvät virat/toimet		25
Ulkopuolinen henkilöstö (sopimussuhteiset toimihenkilöt, kansalliset asiantuntijat ja vuokrahenkilöstö)			25

Arvioidut vaikutukset menoihin ja henkilöstöön vuonna 2028 ja sitä seuraavina vuosina esitetään ainoastaan ohjeellisesti, eivätkä ne vaikuta seuraavaan monivuotiseen rahoituskehykseen. Rahoituslähteeseen ja unionin rahoitussitoumuksen laajuuteen vuoden 2027 jälkeisellä kaudella vaikuttavat vuosien 2028–2034 monivuotisesta rahoituskehyksestä käytyjen toimielinten välisten neuvottelujen tulokset sekä vuotuinen talousarviomenettely ja ohjausmekanismi.

Kuvaus tehtävistä, jotka alan pääosasto suorittaa komissiossa

Virkamiehet ja väliaikaiset toimihenkilöt

ENISAn koordinointi (1): Edustavat komissiota viraston johtokunnassa. Laativat komission lausunnon ENISAn yhtenäisestä ohjelma-asiakirjasta ja seuraavat sen täytäntöönpanoa. Valvovat viraston talousarvion valmistelua ja seuraavat sen täytäntöönpanoa. Avustavat virastoa sen toiminnan kehittämisessä unionin toimintalinjojen mukaisesti, muun muassa osallistumalla asiaankuuluviin kokouksiin. Taitoja koskevat todistusjärjestelmät / kyberturvallisuusakatemia (2): Pääosastoon tarvitaan lisää henkilöstöä valmistelemaan täytäntöönpanosäädöksiä, joissa vahvistetaan maksut, joita ENISA perii valtuutetuksi tarjoajaksi haluavilta hakijoilta. Näitä täytäntöönpanosäädöksiä on vähintään 12, yksi kutakin Euroopan kyberturvallisuustaitojen kehyksen profiilia kohti. Toimitusketju (25): Unionin koordinoitujen riskinarviointien valmistelun tukeminen. Talousanalyysin tekeminen kustakin tieto- ja viestintäteknisestä tuotteesta, palvelu huomioon ottaen. Sellaisten täytäntöönpanosäädösten laatiminen, jotka koskevat keskeisten hyödykkeiden määrittämistä, ehdotettuja lieventäviä toimenpiteitä ja sellaisten maiden yksilöimistä, jotka aiheuttavat strategisia kyberturvallisuusriskejä tietyille keskeisille hyödykkeille, suuririskisten toimittajien yksilöimistä, vapautusta koskevien pyyntöjen tarkistamista ja komission päätösten valmistelua. Hyväksyttyjen toimenpiteiden täytäntöönpanon ja valvonnan tukeminen. Eurooppalainen kyberturvallisuuden sertifiointikehys, siihen liittyvien toimien standardisointi ja täytäntöönpano, NIS 2 ‑direktiivin täytäntöönpano (17): Kyberturvallisuusasetuksen valvonta, erityisesti vaatimustenmukaisuuden arviointilaitosten hallinnointi (vastuisiin liittyvät riitauttamismenettelyt) Sidosryhmien osallistuminen (ja eurooppalainen kyberturvallisuuden sertifiointikokous) Vastavuoroinen tunnustaminen kolmansien maiden kanssa Standardoitu täytäntöönpanosäädöksen kehittäminen (yksityiskohtaiset pyynnöt kuulemisten perusteella ja mallimuotoilujen kehittäminen) Järjestelmien ylläpito, oikeudellinen uudelleentarkastelu, komiteamenettely Koordinointi verkko- ja tietoturva-alan yhteistyöryhmän kanssa ja toimijoiden järjestelmän ylläpito NIS 2 ‑direktiivin mukaiset täytäntöönpanosäädökset Vaatimustenmukaisuuden arviointilaitosten yhdenmukaisuus kyberturvallisuusasetuksen kanssa, vaatimustenmukaisuusolettama ja standardointi Koordinointi markkinavalvonnan ja kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen välillä Tekninen yhdenmukaistaminen kyberresilienssisäädöksen ja sertifiointijärjestelmien välillä Operatiivinen koordinointi ja tilannekuva (5): Alakohtainen ja uhkatoimijoihin liittyvä asiantuntemus EU:n tason tilannekuvan parantamiseksi kriittiseen infrastruktuuriin kohdistuvista uhkista myös uusien teknologioiden avulla Koordinointi ENISAn ja muiden EU:n toimijoiden ja verkostojen kanssa merkittäviin ja laajoihin kyberpoikkeamiin valmistautumiseksi

Ulkopuolinen henkilöstö

Kuten edellä

Kuvaus ENISAn lisätehtävistä:

Virkamiehet ja väliaikaiset toimihenkilöt

EU:n kyberturvallisuusreservin hallinnointi (maakohtaiset johtajat ja täytäntöönpanotuki; reservin varsinaiset toimintakustannukset katetaan kybersolidaarisuussäädöksen mukaisesti) (10) Kyberresilienssisäädöksen keskitetyn raportointialustan hallinnointi (toiminta) (9) Keskitettyyn raportointialustaan liittyvät haavoittuvuuspalvelut (4) Keskitetyn raportointialustan laajentaminen keskitetyksi asiointipisteeksi (kehitys ja toiminta) (8) Teknisten ohjeiden kehittäminen, tuoteturvallisuutta koskeva asiantuntemus ja markkina-analyysi kyberresilienssisäädöksen täytäntöönpanon tueksi (7) Standardointi kyberresilienssisäädöksen täytäntöönpanon tueksi / sertifiointi / NIS 2 (4) Kyberresilienssisäädöksen markkinavalvontatoimien tukeminen (4) Tuki tuotteiden vaatimustenmukaisuuden testaukselle ja turvallisuusarvioinneille (4) Tuki jäsenvaltioille keskinäisessä avunannossa (3) Haavoittuvuuksien hallintapalvelujen tarjoaminen, EU:n haavoittuvuustietokannan ylläpitäminen ja neuvonnan ja lisätietotoimintojen toteuttaminen (15) Operatiivinen yhteistyö ja tilannekuva – riskejä vähentävät ja tukea tarjoavat alustat, kuten CSIRT-verkosto/EU-CyCLONe; varoitusilmoituksiin liittyvien tehtävien tukeminen; tehostetun koordinoinnin tukeminen muiden asiaankuuluvien toimijoiden kanssa todennettujen ja luotettavien kyberuhkatietojen tietovarastojen kehittämiseksi (kyberturvallisuusasetuksen 2 11 artiklan 1 a kohta) (5) Kriittisten toimialojen häiriönsietokyvyn tukeminen (mukaan lukien terveydenhuollon kyberturvallisuutta koskevan toimintasuunnitelman täytäntöönpano) (4) Taitoja koskevan todistusjärjestelmän kehittäminen (2) Taitoja koskevan todistusjärjestelmän ylläpito ja valvonta (6) Hallinto (kirjanpitäjä maksuille / henkilöstöhallinto / tietotekniikka) (8) Sertifiointijärjestelmien ylläpito (11) Horisontaaliset tehtävät – sidosryhmien osallistumisen lisääminen, teknisten eritelmien laatiminen ja osallistuminen standardointitoimiin järjestelmien tukemiseksi (1)

Ulkopuolinen henkilöstö

Kuten edellä Kaksi pakollista kansallista asiantuntijaa jäsenvaltiota kohden viraston toiminnan tukemiseksi ja kansallisena yhteyshenkilönä toimimiseksi; keskittyminen operatiiviseen yhteistyöhön ja koordinoituun haavoittuvuuksista ilmoittamiseen (13) Muiden 27 kansallisen asiantuntijan toiminta suunnitellaan kustannuksettomaksi, joten toiminnasta ei aiheudu vaikutuksia talousarvioon.

ENISAn vuotuiset lisätoimintakustannukset vuosina 2028–2034:

Kustannus	Talousarvio	Aikataulu	Selitys
Kyberturvallisuustaitoja koskeva verkkosivusto	750 000 euroa	50 % (2029) 50 % (2030)	Menettelyjen avoimuuden varmistamiseksi ehdotuksessa edellytetään, että ENISA ylläpitää verkkosivustoa, jossa on eurooppalaisen kyberturvallisuustaitoja koskevan kehyksen profiilit, todistusjärjestelmät, tiedot kunkin järjestelmän maksuista, suositellut maksut kustakin todistuksesta ja luettelo valtuutetuista todistuksen tarjoajista.
Koordinoitu haavoittuvuuksien julkistaminen	1 miljoona euroa	Vuodesta 2028 alkaen	Eurooppalaisessa kriittisessä infrastruktuurissa käytettävien tuotteiden ja palveluiden turvallisuus riippuu pitkälti siitä, että havaituista haavoittuvuuksista ja tavoista lieventää niitä ilmoitetaan nopeasti.
Kyberturvallisuusuhkia koskeva tiedustelu	3 miljoonaa euroa	Vuodesta 2028 alkaen	Yhteistyössä luodun tilannekuvan saamiseksi, ENISA ja komissio.
Keskitetty asiointipiste	8 miljoonaa euroa	6 miljoonaa euroa (2028) 500 000 euroa (2029) 500 000 euroa (2030) 500 000 euroa (2031) 500 000 euroa (2032)	Digitaalialan koontiasetusta koskevan komission ehdotuksen toteuttamiseksi yksinkertaistamalla kyberturvallisuuspoikkeamista ja tietoturvaloukkauksista ilmoittamista koskevien velvoitteiden noudattamista keskitetyn asiointipisteen kehittämisen ja ylläpidon avulla.
Kyberresilienssisäädöksen keskitetyn asiointipisteen ylläpito ja muut	3 miljoonaa euroa	Vuodesta 2028 alkaen	Lainsäädäntövallan käyttäjien esittämä keskitetty asiointipiste on ENISAn historian laajin tietotekniikkajärjestelmä ja kyberresilienssisäädöksen keskeinen pilari. Sen toteuttaminen rahoitetaan tällä hetkellä rahoitusosuussopimuksella, mutta päivittäinen hallinnointi edellyttää kokoaikavastaavia (ks. edellä) ja aiheuttaa toimintakustannuksia. ENISAlla on keskeinen rooli unionin tuoteturvallisuutta koskevan kehyksen, kyberresilienssisäädöksen, menestyksen varmistamisessa.
ENISAn turvallinen viestintä ja kyberturvallisuuden kehitystaso	2 miljoonaa euroa +	1,1 miljoonan euron investoinnit vuonna 2028 (EU-CyCLONen / CSIRT-verkoston alustat + turvallinen viestintä) 1 miljoona euroa vuodessa ylläpitoon vuodesta 2029 alkaen 1,5 miljoonaa euroa kyberturvallisuuden kehitystasoa varten	Viraston ja viestintävälineiden kyberturvallisuuden varmistaminen
Kyberturvallisuuden sertifioinnin ylläpito	1 400 000 miljoonaa euroa	600 000 vuonna 2028 1 000 000 vuonna 2029 1 200 000 vuonna 2030 1 400 00 vuonna 2031 1 400 000 vuonna 2032 1 400 000 vuonna 2033 1 400 000 vuonna 2034	Katetaan maksuilla (kokonaisuudessaan vuodesta 2032 alkaen)
Kyberturvallisuutta koskevat todistusjärjestelmät	212 920 euroa	50 % katetaan EU:n talousarviosta vuodesta 2030 alkaen	Katetaan kokonaisuudessaan maksuilla vuodesta 2033 alkaen

3.2.5.Yhteenveto arvioiduista vaikutuksista digitaaliteknologiaan liittyviin investointeihin

Pakollinen: seuraavaan taulukkoon olisi sisällytettävä tarkin mahdollinen arvio ehdotuksen/aloitteen aiheuttamista digitaaliteknologiaan liittyvistä investoinneista.

Jos ehdotuksen/aloitteen toteuttaminen sitä edellyttää, otsakkeen 4 määrärahat olisi poikkeuksellisesti esitettävä asianomaisella rivillä.

Otsakkeiden 1–3 määrärahat olisi otettava huomioon ”toimenpideohjelmien ohjelmatason tietotekniikkamenoina”. Niillä tarkoitetaan toimintatalousarviota, jota käytetään suoraan aloitteen täytäntöönpanoon liittyvien tietoteknisten alustojen/välineiden uudelleenkäyttöön/ostoon/kehittämiseen sekä niihin liittyviin investointeihin (esimerkiksi lisensseihin, koulutukseen tai tietojen säilyttämiseen). Tässä taulukossa annettujen tietojen olisi oltava yhdenmukaisia 4 jaksossa ”Digitaaliset ulottuvuudet” esitettyjen yksityiskohtien kanssa.

Digitaaliteknologiaan ja tietotekniikkaan liittyvät määrärahat YHTEENSÄ	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	Vuosi	MRK YHTEENSÄ 2028–2034
	2028	2029	2030	2031	2032	2033	2034
OTSAKE 4
Tietotekniikkamenot (toimielintasolla)	0	0	0	0	0	0	0	0
OTSAKE 4, välisumma	0	0	0	0	0	0	0	0
OTSAKKEESEEN 4 sisältymättömät
Toimenpideohjelmien ohjelmatason tietotekniikkamenot	0	0	0	0	0	0	0	0
OTSAKKEESEEN 4 sisältymättömät, välisumma	0	0	0	0	0	0	0	0
YHTEENSÄ	0	0	0	0	0	0	0	0

3.2.6.Yhteensopivuus nykyisen monivuotisen rahoituskehyksen kanssa 

Ehdotus/aloite

–    voidaan rahoittaa kokonaan kohdentamalla menoja uudelleen monivuotisen rahoituskehyksen kyseisen otsakkeen sisällä.

–    edellyttää monivuotisen rahoituskehyksen kyseiseen otsakkeeseen sisältyvän kohdentamattoman liikkumavaran ja/tai monivuotista rahoituskehystä koskevassa asetuksessa määriteltyjen erityisvälineiden käyttöä.

–    edellyttää monivuotisen rahoituskehyksen tarkistamista.

3.2.7.Ulkopuolisten tahojen rahoitusosuudet 

Ehdotuksen/aloitteen

–    rahoittamiseen ei osallistu ulkopuolisia tahoja

–    rahoittamiseen osallistuu ulkopuolisia tahoja seuraavasti (arvio):

Määrärahat, milj. euroa (kolmen desimaalin tarkkuudella)

	Vuosi  2028	Vuosi  2029	Vuosi  2030	Vuosi  2031	Yhteensä
Rahoitukseen osallistuva taho
Yhteisrahoituksella katettavat määrärahat YHTEENSÄ

3.2.8.Arvioidut henkilöresurssit ja tarvittavien määrärahojen käyttö erillisvirastossa

Lisähenkilöstötarpeet (kokoaikaiseksi muutettuna)

Virasto: ENISA	Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034
Väliaikaiset toimihenkilöt (AD-palkkaluokat)	5	11	17	19	19	19	19
Väliaikaiset toimihenkilöt (AST-palkkaluokat)	4	7	11	12	12	12	12
Väliaikaiset toimihenkilöt (AD + AST), välisumma	9	18	28	31	31	31	31
Sopimussuhteiset toimihenkilöt	22	44	66	74	74	74	74
Kansalliset asiantuntijat	4	8	11	13	13	13	13
Sopimussuhteiset toimihenkilöt ja kansalliset asiantuntijat, välisumma	26	52	77	87	87	87	87
Henkilöstö YHTEENSÄ	35	70	105	118	118	118	118

EU:n talousarviosta maksettavalla rahoitusosuudella katettavat määrärahat, milj. euroa (kolmen desimaalin tarkkuudella)

Virasto: ENISA	Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034	YHTEENSÄ 2028–2034
Osasto 1: Henkilöstömenot	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Osasto 2: Infrastruktuuri- ja toimintamenot
Osasto 3: Toimintamenot	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
EU:n talousarviosta katettavat määrärahat YHTEENSÄ	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Mahdolliset maksuilla katettavat määrärahat, milj. euroa (kolmen desimaalin tarkkuudella)

Virasto: ENISA	Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034	YHTEENSÄ 2028–2034
Osasto 1: Henkilöstömenot		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Osasto 2: Infrastruktuuri- ja toimintamenot								0,000
Osasto 3: Toimintamenot								0,000
Maksuilla katettavat määrärahat YHTEENSÄ	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Yhteenveto henkilöresursseista ja määrärahoista (milj. euroa), joita ehdotus/aloite edellyttää erillisvirastossa

Virasto: ENISA	Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034	YHTEENSÄ 2028–2034
Väliaikaiset toimihenkilöt (AD + AST)	9	18	28	31	31	31	31	31
Sopimussuhteiset toimihenkilöt	22	44	66	74	74	74	74	74
Kansalliset asiantuntijat	4	8	11	13	13	13	13	13
Koko henkilöstö	35	70	105	118	118	118	118	118
EU:n talousarviosta katettavat määrärahat	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Maksuilla katettavat määrärahat (tapauksen mukaan)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Yhteisrahoituksella katettavat määrärahat (tapauksen mukaan)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Määrärahat YHTEENSÄ	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Arvioidut vaikutukset tuloihin 

–    Ehdotuksella/aloitteella ei ole vaikutuksia tuloihin.

–    Ehdotuksella/aloitteella on vaikutuksia tuloihin seuraavasti:

–    vaikutukset omiin varoihin

–    vaikutukset muihin tuloihin

–    tulot on kohdennettu menopuolen budjettikohtiin

milj. euroa (kolmen desimaalin tarkkuudella)

Tulopuolen budjettikohta:	Käytettävissä olevat määrärahat kuluvana varainhoitovuonna	Ehdotuksen/aloitteen vaikutus 105
		Vuosi 2028	Vuosi 2029	Vuosi 2030	Vuosi 2031	Vuosi 2032	Vuosi 2033	Vuosi 2034
... artikla

Vastaava(t) menopuolen budjettikohta (budjettikohdat) käyttötarkoitukseensa sidottujen tulojen tapauksessa:

Muita huomautuksia (esim. tuloihin kohdistuvan vaikutuksen laskentamenetelmä/-kaava tai muita lisätietoja).

4. Digitaaliset ulottuvuudet

4.1.Vaatimukset, joilla on merkitystä digitalisaation kannalta

Ylätason kuvaus vaatimuksista, joilla on merkitystä digitalisaation kannalta ja niihin liittyvistä luokista (data, prosessien digitalisointi ja automaatio, digitaaliset ratkaisut ja/tai digitaaliset julkiset palvelut)

Viittaus vaatimukseen  Vaatimuksen kuvaus  Toimijat, joihin vaatimus vaikuttaa tai joita se koskee  Ylätason prosessit  Luokat  5 artiklan 1 kohdan a alakohta Tuki unionin lainsäädännön täytäntöönpanoa varten a)    auttaa jäsenvaltioita panemaan johdonmukaisesti täytäntöön unionin kyberturvallisuuspolitiikkaa ja -lainsäädäntöä muun muassa antamalla teknisiä ohjeita ja kertomuksia, neuvomalla ja jakamalla parhaita käytäntöjä sekä helpottamalla parhaiden käytäntöjen vaihtoa toimivaltaisten viranomaisten välillä tältä osin; – ENISA – jäsenvaltiot – tietojen käsittely teknisten ohjeiden ja kertomusten antamiseksi, neuvojen ja parhaiden käytäntöjen jakamiseksi ja parhaiden käytäntöjen vaihdon helpottaminen toimivaltaisten viranomaisten välillä – parhaiden käytäntöjen vaihdon helpottaminen Tietojen käsittely Tietovirta 5 artiklan 1 kohdan b alakohta Tuki unionin lainsäädännön täytäntöönpanoa varten b)    tukea tietojenvaihtoa toimialojen sisällä ja niiden välillä, erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltujen toimialojen ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvien digitaalisia elementtejä sisältävien tuotteiden osalta, tarjoamalla parhaita käytäntöjä ja ohjeita käytettävissä olevista välineistä ja menettelyistä  – ENISA – direktiivin (EU) 2022/2555 liitteissä I ja II luetellut toimialat – sidosryhmät, joihin asetus (EU) 2024/2847 vaikuttaa parhaiden käytäntöjen ja ohjeiden tarjoaminen käytettävissä olevista välineistä ja menettelyistä tietojen jakamisessa Tietojen käsittely Tietovirta 5 artiklan 1 kohdan c alakohta Tuki unionin lainsäädännön täytäntöönpanoa varten c)    avustaa jäsenvaltioita komission pyynnöstä tarjoamalla tukea, kuten teknistä neuvontaa, joka koskee muun muassa kyberturvallisuuden riskinhallintatoimenpiteitä, kyberturvallisuuden kehitystason arviointivälineitä ja poikkeamiin reagointia koskevia toimintaohjeita, jotka on räätälöity direktiivin (EU) 2022/2555 liitteissä I ja II luetelluille toimialoille, niiden kyberturvallisuuden kehitystason parantamisen ja kyberturvallisuutta koskevan unionin lainsäädännön noudattamisen helpottamiseksi; – Euroopan komissio – ENISA – direktiivin (EU) 2022/2555 liitteissä I ja II luetellut toimialat Teknisten ohjeiden antaminen Tietojen käsittely Tietovirta 5 artiklan 1 kohdan e alakohta e) auttaa jäsenvaltioita sekä asianomaisia unionin toimijoita sellaisten kybertuvallisuuspolitiikkojen laatimisessa ja edistämisessä, joilla tuetaan avoimen internetin julkisen ytimen yleistä saatavuutta ja eheyttä;   ENISA Jäsenvaltiot EU:n toimijat Avustaminen kyberturvallisuuspolitiikkojen laatimisessa ja edistämisessä Tietojen käsittely Tietovirta 5 artiklan 1 kohdan f alakohta Tuki unionin lainsäädännön täytäntöönpanoa varten f)    antaa asetuksen (EU) 2024/2847 mukaisesti teknistä neuvontaa ja tukea kyseisen asetuksen täytäntöönpanoon ja soveltamisen valvontaan liittyvissä asioissa – ENISA – sidosryhmät, joihin asetus (EU) 2024/2847 vaikuttaa Teknisen neuvonnan ja tuen antaminen vaatii sääntelyvaatimuksiin, täytäntöönpanon haasteisiin ja vaatimustenmukaisuusohjeisiin liittyvien tietojen käsittelyä ja jakamista. Tietojen käsittely Tietovirta 5 artiklan 1 kohdan h alakohta h) Euroopan tietosuojaneuvoston pyynnöstä antaa neuvoja tietosuojaan ja yksityisyyteen liittyvän unionin politiikan ja lainsäädännön erityisten kyberturvallisuusnäkökohtien täytäntöönpanosta ENISA EDPB   Neuvojen antaminen pyynnöstä Tietojen käsittely Tietovirta 5 artiklan 2 kohta Osallistuminen unionin tason kyberturvallisuusriskien arviointeihin   ENISA osallistuu koordinoituihin unionin tason kyberturvallisuusriskien arviointeihin, mukaan lukien direktiivin (EU) 2022/2555 22 artiklan mukaisesti tehtävät arvioinnit.   ENISA Jäsenvaltiot Suuri yleisö Osallistuminen koordinoituihin riskinarviointeihin, mikä vaatii tietojen käsittelyä ja tietovirtoja Tietojen käsittely Tietovirta 5 artiklan 3 kohta ENISA antaa ohjeita ENISA antaa ohjeita tietojen jakamisessa käytettävien verkko- ja tietojärjestelmien yhteentoimivuudesta, myös asetuksen (EU) 2025/38 6 artiklan 3 kohdassa tarkoitettujen rajojen yli toimivien kyberkeskittymien osalta. ENISA Jäsenvaltiot ENISA antaa ohjeita Tietojen käsittely Tietovirta 5 artiklan 5 kohta Tuki komissiolle Komission pyynnöstä ENISA antaa asiantuntija-apua, teknisiä neuvoja, tietoja tai analyyseja tai tekee tiettyjä kyberturvallisuuskysymyksiä koskevaa valmistelutyötä komission päätöksenteon ja unionin lainsäädännön täytäntöönpanon seurannan tueksi. Euroopan komissio ENISA Tietojen valmistelu ja toimittaminen komissiolle Tietojen käsittely Tietovirta 6 artikla Valmiuksien kehittäminen ENISA avustaa tarjoamalla tietoa ja asiantuntemusta, parhaita käytäntöjä jne. ENISA Jäsenvaltiot EU:n toimijat Julkiset ja yksityiset sidosryhmät Markkinavalvontaviranomaiset Euroopan kyberturvallisuuden sertifiointiryhmän jäsenet ECCC Tietojen ja asiantuntemuksen tarjoaminen Tietojen käsittely Tietovirta 7 artikla Tietoisuuden lisääminen ja osaamisreservi ENISA avustaa jäsenvaltioita niiden pyrkimyksissä lisätä tietoisuutta kyberturvallisuutta koskevista unionin politiikoista ja lainsäädännöstä ja edistää niiden näkyvyyttä kehittämällä toimintakelpoisia välineitä ja ohjeita. ENISA tukee aloitteita, joilla pyritään lisäämään eurooppalaista kyberturvallisuuden osaamisreserviä, erityisesti koordinoimalla kilpailuja. ENISA Jäsenvaltiot Toimintakelpoisten välineiden ja ohjeiden kehittäminen Tietojen käsittely 8 artiklan 1 kohta Markkinatuntemus ja ‑analyysit ENISA tekee ja levittää analyyseja kyberturvallisuusmarkkinoiden tärkeimmistä markkinasuuntauksista sekä kysyntä- että tarjontapuolella, erityisesti aloilla, joilla on olemassa tai suunnitteilla eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä, direktiivin (EU) 2022/2555 liitteissä I ja II luetelluilla toimialoilla ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvissa tuoteryhmissä, kyseisen asetuksen liitteet III ja IV mukaan luettuina. ENISA Direktiivin (EU) 2022/2555 liitteissä I ja II luetellut toimialat Asetuksen (EU) 2024/2847 soveltamisalaan kuuluvat tuoteryhmät Analyysien tekeminen ja levittäminen Tietojen käsittely Tietovirta 8 artiklan 2 kohta Markkinatuntemus ja ‑analyysit ENISA tekee ja levittää analyyseja kyberturvallisuuden teknologisista kehityssuuntauksista erityisesti direktiivin (EU) 2022/2555 soveltamisalaan kuuluvien toimintojen ja toimijoiden sekä asetuksen (EU) 2024/2847 soveltamisalaan kuuluvien digitaalisia elementtejä sisältävien tuotteiden osalta. ENISA Suuri yleisö, direktiivissä (EU) 2022/2555 ja asetuksessa (EU) 2024/2847 tarkoitetut sidosryhmät Analyysien tekeminen ja levittäminen Tietojen käsittely Tietovirta 8 artiklan 3 kohta Markkinatuntemus ja tuki ekosysteemeille ENISA lisää tietojaan ja levittää teknisiä neuvoja ja analyyseja uusimman tekniikan tason mukaisista kyberturvallisuusvälineistä, kehysstandardeista ja parhaista käytännöistä. ENISA Suuri yleisö Levitetään teknisiä neuvoja ja analyyseja uusimman tekniikan tason mukaisista kyberturvallisuusvälineistä, kehysstandardeista ja parhaista käytännöistä. Tietojen käsittely Tietovirta 9 artikla Kansainvälinen yhteistyö   ENISA osallistuu analysoimalla kansainvälisten harjoitusten tuloksia ja raportoimalla niistä johtokunnalle, helpottamalla parhaiden käytäntöjen vaihtoa ja tarjoamalla komissiolle asiantuntemusta ja neuvoja. Kansainvälinen yleisö ENISA ENISAn johtokunta Euroopan komissio Analysointi ja raportointi, neuvonta jne.   Tietojen käsittely Tietovirta   10 artiklan 2 ja 3 kohta Operatiivinen yhteistyö 2.    ENISA on direktiivin (EU) 2022/2555 15 artiklan 1 kohdan nojalla perustetun kansallisten CSIRT-yksiköiden verkoston jäsen ja huolehtii CSIRT-verkoston sihteeristötehtävistä direktiivin (EU) 2022/2555 15 artiklan 2 kohdan mukaisesti. 3.    ENISA huolehtii Euroopan kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe) sihteeristötehtävistä direktiivin (EU) 2022/2555 16 artiklan 2 kohdan toisen alakohdan mukaisesti. ENISA  CSIRT-yksiköt (direktiivin (EU) 2022/2555 15 artiklan 1 kohta)  EU-CyCLONe (direktiivin (EU) 2022/2555 16 artiklan 2 kohta)  Helpottaa tietojenvaihtoa, huolehtii verkostojen sihteeristötehtävistä Tietovirta Digitaalinen ratkaisu Digitaaliset julkiset palvelut   11 artiklan 1 kohdan b alakohta Tilannekuva   12 artikla Ennakkovaroitukset ennakkovaroitusten antaminen 12 artiklan mukaisesti   Euroopan komissio ENISA Europol EU-CyCLONe CSIRT-verkosto  CERT-EU Direktiivin (EU) 2022/2555 liitteissä I ja II luetellut toimijat Ennakkovaroitusten antaminen Tietojen käsittely Tietovirta Digitaaliset julkiset palvelut 10 artiklan 4 kohdan b alakohta Operatiivinen yhteistyö b)     sellaisten neuvojen tai arviointien antaminen yhden tai useamman jäsenvaltion pyynnöstä, jotka liittyvät tiettyyn mahdolliseen tai meneillään olevaan poikkeamaan tai kyberuhkaan, muun muassa tarjoamalla asiantuntemusta ja helpottamalla tällaisten poikkeamien teknistä käsittelyä sekä tukemalla asiaankuuluvien tietojen ja teknisten ratkaisujen vapaaehtoista jakamista jäsenvaltioiden välillä;  ENISA Jäsenvaltiot Tiettyyn mahdolliseen tai meneillään olevaan poikkeamaan tai kyberuhkaan liittyvien neuvojen ja arviointien antaminen; tällaisten poikkeamien teknisen käsittelyn helpottaminen; asiaankuuluvien tietojen ja teknisten ratkaisujen vapaaehtoisen jäsenvaltioiden välisen jakamisen tukeminen. Tietojen käsittely Tietovirta Digitaaliset julkiset palvelut 10 artiklan 4 kohdan c alakohta Operatiivinen yhteistyö c)    haavoittuvuuksien, uhkien ja poikkeamien analysointi ENISA Jäsenvaltiot Tiedonkeruu julkisista lähteistä ja tiedonvaihto jäsenvaltioiden kanssa Tietojen käsittely Tietovirta 10 artiklan 4 kohdan d alakohta Operatiivinen yhteistyö d) tuen tarjoaminen yhden tai useamman jäsenvaltion pyynnöstä direktiivissä (EU) 2022/2555 tarkoitettujen vaikutukseltaan merkittävien poikkeamien jälkikäteen tehtävään tekniseen tutkintaan; ENISA Jäsenvaltiot Analyysi ja tuki poikkeamia koskeviin teknisiin tiedusteluihin vastaamiseksi Tietojen käsittely Tietovirta 10 artiklan 4 kohdan e alakohta Operatiivinen yhteistyö e)    osallistuminen laajamittaisten kyberturvallisuuspoikkeamien ja -kriisien koordinoidun hallinnan tukemiseen operatiivisella tasolla, erityisesti avustamalla EU-CyCLONea poliittiselle tasolle laadittavien raporttien valmistelussa sekä helpottamalla oikea-aikaista tietojenvaihtoa CSIRT-verkoston ja EU-CyCLONen välillä;  ENISA EU-CyCLONe CSIRT-verkosto  Tietojen analysointi raporttien laatimisen tueksi; oikea-aikaisen tiedonvaihdon helpottaminen verkostojen välillä Tietojen käsittely Tietovirta Digitaaliset julkiset palvelut 10 artiklan 5 kohta Operatiivinen yhteistyö ENISA tukee jäsenvaltion tai CERT-EU:n kanssa yhteistyössä toimivan unionin toimijan pyynnöstä poikkeamaan tai kyberuhkaan liittyvää johdonmukaista julkista viestintää. ENISA Jäsenvaltiot Pyynnön vastaanottaminen ja tarvittaessa yhteydenpito Tietovirta 10 artiklan 6 kohta Operatiivinen yhteistyö ENISA tukee yhteistyötä jäsenvaltioiden välillä ja CERT-EU:n välityksellä unionin toimijoiden välillä suojattujen viestintävälineiden käyttöönoton osalta. ENISA käyttää CSIRT-verkostossa ja EU-CyCLONessa suojattuja viestintävälineitä, joita tarjoavat oikeussubjektit eivät ole sijoittautuneet kolmansiin maihin eivätkä ole kolmansien maiden tai niiden kansalaisten määräysvallassa. ENISA Euroopan komissio Jäsenvaltiot EU:n toimijat CSIRT-verkosto EU-CyCLONe Turvallisten viestintävälineiden käyttöönoton turvaaminen ja tällaisten välineiden käyttäminen CSIRT-verkostossa ja EU-CyCLONessa. Digitaalinen ratkaisu  Digitaaliset julkiset palvelut  11 artiklan 1 kohdan a alakohta Yhteinen tilannekuva kyberturvallisuudesta a)    kehittää yhteistyössä EU-CyCLONen, CSIRT-verkoston, komission, CERT-EU:n, Europolin ja muiden asiaankuuluvien unionin toimijoiden kanssa todennettujen, luotettavien kyberuhkien tiedustelutietojen tietovarastoja, joihin sisältyvät myös poikkeamien, taktiikoiden, tekniikoiden ja menettelyjen kehityssuuntaukset; Euroopan komissio ENISA EU-CyCLONe CSIRT-verkosto Europol EU:n toimijat CERT-EU Tietovarastojen kehittäminen Digitaalinen tiedonkulku Digitaalinen ratkaisu Digitaaliset julkiset palvelut 11 artiklan 1 kohdan c–g alakohta  Yhteinen tilannekuva kyberturvallisuudesta Oikea-aikaisten tapauskohtaisten analyysien esittäminen (joissakin tapauksissa pyydettäessä); analyysien ja teknisen neuvonnan tarjoaminen; teknisen tilanneraportin laatiminen yhteistyössä muiden toimijoiden kanssa; kehityssuuntausten seuranta ja seurannan jakaminen ENISA Jäsenvaltiot Euroopan komissio EU:n toimijat EU-CyCLONe CSIRT-verkosto Tietojen analysointi, tietojen jakaminen ja raporttien esittäminen (joissakin tapauksissa pyydettäessä) Tietojen käsittely Tietovirta 11 artiklan 2 kohdan a alakohta Yhteinen tilannekuva kyberturvallisuudesta ENISA tuottaa analyyseja kyberuhkista, poikkeamista, kehityssuuntauksista, uusista teknologioista ja niiden vaikutuksista, mukaan lukien säännöllinen analyysi, jossa käsitellään direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja toimialoja ja asetuksen (EU) 2024/2847 soveltamisalaan kuuluvia asiaankuuluvia tuoteryhmiä; ENISA Suuri yleisö Tietojen analysointi kyberturvallisuuden kannalta vaikuttavien tietojen tuottamiseksi säännöllinen raportti Tietojen käsittely Tietovirta 11 artiklan 2 kohdan b alakohta Yhteinen tilannekuva kyberturvallisuudesta ENISA laatii yhteistyössä komission ja tarvittaessa CSIRT-verkoston kanssa neuvoja, ohjeita ja parhaita käytäntöjä verkko- ja tietojärjestelmien turvallisuudesta, erityisesti direktiivin (EU) 2022/2555 liitteissä I ja II lueteltuja toimialoja tukevien infrastruktuurien turvallisuudesta;   Euroopan komissio CERT-EU CSIRT-verkosto Suuri yleisö Neuvonnan, ohjeiden ja parhaiden käytäntöjen laatiminen Tietojen käsittely Tietovirta 11 artiklan 2 kohdan c alakohta Yhteinen tilannekuva kyberturvallisuudesta ENISA tekee pitkän aikavälin strategisia analyyseja kyberuhkista ja poikkeamista kyberturvallisuuteen liittyvien uusien suuntausten kartoittamiseksi ja poikkeamien ehkäisemiseksi. ENISA Suuri yleisö Tietojen analysointi ja kehittymässä olevien uhkien tunnistaminen Tietojen käsittely   11 artiklan 3 kohta Yhteinen tilannekuva kyberturvallisuudesta ENISA voi julkistaa 2 kohdassa tarkoitetut analyysit, neuvot, ohjeet, parhaat käytännöt ja raportit yhteisymmärryksessä 2 kohdassa tarkoitettujen osallistuvien tahojen kanssa. ENISA Suuri yleisö Tietojen julkistaminen Tietovirta Digitaaliset julkiset palvelut 13 artiklan 2 kohta Tuki poikkeamiin reagoimisessa 2.    ENISA tarkastelee ja arvioi komission tai EU-CyCLONen pyynnöstä CSIRT-verkoston tuella ja asianomaisen jäsenvaltion suostumuksella merkittäviä kyberturvallisuuspoikkeamia tai laajamittaisia kyberturvallisuuspoikkeamia asetuksen (EU) 2025/38 21 artiklan mukaisesti. Euroopan komissio ENISA EU-CyCLONe CSIRT-verkosto Jäsenvaltiot Merkittävien kyberturvallisuuspoikkeamien tarkastelu ja arviointi Tietojen käsittely 14 artiklan 2 kohta Kyberturvallisuusharjoitukset unionin tasolla 2.    ENISA pitää yllä 1 kohdassa tarkoitetuista harjoituksista saatujen kokemusten tietovarastoa ja antaa jäsenvaltioille ja tarvittaessa unionin toimijoille suosituksia siitä, miten saadut kokemukset voidaan panna vaikuttavasti ja tehokkaasti täytäntöön. ENISA Jäsenvaltiot EU:n toimijat Tietovaraston ylläpito Tietojen käsittely Digitaalinen ratkaisu Digitaaliset julkiset palvelut 14 artikla Kyberturvallisuusharjoitukset unionin tasolla Vastaanottaessaan pyyntöjä EU-CyCLONelta, komissiolta, jäsenvaltioilta tai CERT-EU:lta ENISA järjestää kyberturvallisuusharjoituksia tai osallistuu niiden järjestämiseen. ENISA tukee komissiota unionin tason kyberturvallisuusharjoituksia koskevan vuotuisen jatkuvan ohjelman laatimisessa. ENISA Komissio Jäsenvaltiot EU:n toimijat CERT-EU Harjoitusten järjestämistä tai järjestämisen tukemista koskevien pyyntöjen vastaanottaminen Tietovirta Tietojen käsittely 15 artikla Välineiden ja alustojen tarjoaminen   1.    ENISA luo, tarjoaa, ylläpitää ja päivittää tarpeen mukaan unionin tason kyberturvallisuuteen liittyviä operatiivisia teknisiä välineitä, kuten alustoja, erityisesti asetuksen (EU) 2024/2847 16 artiklan 1 kohdan nojalla perustettua keskitettyä raportointialustaa poikkeamista ilmoittamista varten [ja direktiivin (EU) 2022/2555 23 a artiklan mukaisesti perustettua keskitettyä asiointipistettä], sekä testausvälineitä, joilla tuetaan vaatimustenmukaisuuden arviointimenettelyjen täytäntöönpanoa asiaa koskevan unionin lainsäädännön mukaisesti. 2.    Tarvittaessa 1 kohdan soveltamiseksi ENISA tekee yhteistyötä ja vaihtaa tietoja CSIRT-verkoston ja tarvittaessa markkinavalvontaviranomaisten kanssa.   ENISA CSIRT-verkosto Suuri yleisö Markkinavalvontaviranomaiset   ENISA luo, tarjoaa, käyttää, ylläpitää ja päivittää tarvittaessa operatiivisia teknisiä välineitä, kuten alustoja. Digitaalinen ratkaisu Digitaaliset julkiset palvelut Tietovirta 16 artiklan 2 kohta Haavoittuvuuksien hallintapalvelut a)    ylläpitää direktiivin (EU) 2022/2555 12 artiklan 2 kohdan mukaisesti perustettua Euroopan haavoittuvuustietokantaa; b)    tarjoaa haavoittuvuuksien hallintapalveluja sidosryhmille Euroopan haavoittuvuustietokannan pohjalta ja hyödyntämällä ENISAn saatavilla olevia asiaankuuluvia tietoja; c)    tarvittaessa tekee jäsenneltyä yhteistyötä sellaisten organisaatioiden kanssa, jotka tarjoavat Euroopan haavoittuvuustietokannan kaltaisia ohjelmia, rekistereitä tai tietokantoja; d)    tukee aktiivisesti direktiivin (EU) 2022/2555 12 artiklan 1 kohdan mukaisesti koordinaattoreiksi nimettyjä CSIRT-yksiköitä sellaisten haavoittuvuuksien koordinoidun julkistamisen hallinnoinnissa, joilla voi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin; e) kehittää ja ylläpitää menetelmiä ja hallintomekanismeja haavoittuvuuksien tunnistamiseksi ja koordinoitua julkistamista varten yhteistyössä kansallisten toimivaltaisten viranomaisten, CSIRT-yksiköiden, teollisuuden ja tutkimusyhteisön kanssa ENISA Kansalliset CSIRT-yksiköt CSIRT-verkosto Kansalliset toimivaltaiset viranomaiset Teollisuus Tutkimusyhteisö Suuri yleisö Ohjelmia, rekistereitä tai tietokantoja tarjoavat kansainväliset toimijat Haavoittuvuuksien hallintapalvelujen tarjoaminen; tarvittaessa rakenteelliseen yhteistyöhön ryhtyminen; yhteistyö sidosryhmien kanssa Digitaalinen ratkaisu Digitaaliset julkiset palvelut Tietovirta   17 artikla Kyberturvallisuussertifiointi   18 artikla Standardointi, tekniset eritelmät ja ohjeet 17 artiklan 1 kohta a) tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon sovellettavien ehdolla olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, jäljempänä ’ehdokasjärjestelmät’, valmistelu 74 artiklan mukaisesti; b) hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitäminen 75 artiklan mukaisesti ja tähän sisältyvä hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mahdollinen uudelleentarkastelu 76 artiklan mukaisesti; c) hyväksyttyjen järjestelmien käyttöönoton edistäminen ja sellaisen erityisen verkkosivuston ylläpitäminen, jolla annetaan 79 artiklan mukaisesti tietoa eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä, eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista ja julkaistaan ne; 17 artiklan 2 kohta e) sellaisten mallimuotoilujen valmistelu, joihin viitataan tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon sovellettavissa eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä, jäljempänä ’ehdokasjärjestelmät’, 81 artiklan 5 kohdan mukaisesti;   18 artikla 1. ENISA laatii teknisiä eritelmiä ja ohjeita kyberturvallisuutta koskevan unionin lainsäädännön täytäntöönpanon tukemiseksi. 2. ENISA seuraa standardoinnin kehittämistoimia, osallistuu niihin ja johtaa niitä unionin tasolla ja 9 artiklan mukaisesti kansainvälisellä tasolla. 3. ENISA tukee salausalgoritmien kehittämistä ja arviointia. Jos ENISA antaa salausalgoritmille myönteisen arvion, ENISA tekee asetuksen (EU) N:o 1025/2012 mukaisesti yhteistyötä eurooppalaisten standardointielinten kanssa standardointinsa tukemiseksi. 4. ENISA tarjoaa komissiolle ja Euroopan kyberturvallisuuden sertifiointiryhmälle teknistä asiantuntemusta asianmukaisista standardeista tai teknisistä eritelmistä, joilla tuetaan unionin kyberturvallisuuteen, erityisesti asetukseen (EU) 2024/2847, liittyviä toimintapolitiikkoja, myös kyberturvallisuutta koskevan unionin yhdenmukaistamislainsäädännön ja 81 artiklan 1 kohdan d alakohdan mukaisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osalta. 5. ENISA avustaa komissiota arvioitaessa sellaisten yhdenmukaistettujen standardien luonnoksia, joilla tuetaan kyberturvallisuutta koskevan unionin yhdenmukaistamislainsäädännön täytäntöönpanoa. ENISA Suuri yleisö Tietojen analysointi ja tiedonvaihto komission ja muiden sidosryhmien kanssa; ehdolla olevien sertifiointijärjestelmien valmistelu; ENISAn verkkosivuston ylläpito Tietojen käsittely Tietovirrat Digitaaliset julkiset palvelut 19 artikla – Euroopan kyberturvallisuustaitojen kehys               ENISA laatii Euroopan kyberturvallisuustaitojen kehyksen ja asettaa sen julkisesti saataville. ENISA kuulee komissiota ennen Euroopan kyberturvallisuustaitojen kehyksen asettamista julkisesti saataville tai sen 4 kohdan mukaista päivittämistä. Euroopan kyberturvallisuustaitojen kehyksen käyttö on vapaaehtoista julkisille ja yksityisille toimijoille. ENISA voi kuulla sidosryhmiä Euroopan kyberturvallisuustaitojen kehyksen kehittämisestä ja käyttöönotosta. ENISA Komissio Suuri yleisö Jäsenvaltiot EU:n toimijat Julkiset ja yksityiset sidosryhmät   Euroopan kyberturvallisuustaitojen kehyksen ylläpito; sidosryhmien kuuleminen; Euroopan kyberturvallisuustaitojen kehyksen käyttöönotto Tietojen käsittely Tietovirta Digitaalinen ratkaisu   20–23 artikla – yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistusjärjestelmät ENISA kehittää, hyväksyy ja ylläpitää yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä. Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien käyttö on vapaaehtoista kansallisille julkisille elimille ja yksityisille toimijoille, jollei kansallisessa lainsäädännössä toisin säädetä. ENISA kuulee komissiota ennen uuden yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän käyttöönottoa. ENISA hyväksyy tällaisen järjestelmän vasta komission myönteisen lausunnon jälkeen. Valmistellessaan yksilöllisiä kyberturvallisuustaitoja koskevaa eurooppalaista todistusjärjestelmää ENISA voi kuulla asiaankuuluvia sidosryhmiä. ENISA varmistaa tiiviin yhteistyön jäsenvaltioiden kanssa yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien valmistelun aikana. Valtuutettujen todistuksen tarjoajien on arvioitava, täyttävätkö henkilöt yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän vaatimukset, ja vaatimusten täyttyessä annettava yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset. ENISA ohjaa arvioijia ja antaa heille pakollista koulutusta yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään sisältyvistä, 20 artiklan 3 kohdan b alakohdassa tarkoitetuista vaatimuksista ja arviointimenetelmistä. Toimijoiden, jotka haluavat tulla valtuutetuiksi todistuksen tarjoajiksi tai uusia valtuutuksensa, jäljempänä ’hakijat’, on toimitettava hakemus ENISAlle. Valtuutettujen todistuksen tarjoajien on varmistettava, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset annetaan henkilön pyynnöstä sähköisinä attribuuttitodistuksina sellaisessa muodossa, että ne voidaan tallentaa asetuksessa (EU) N:o 910/2014 säädettyihin eurooppalaisiin digitaalisen identiteetin lompakoihin. Hakijoiden ja valtuutettujen todistuksen tarjoajien on sallittava ENISAn suorittaa arviointeja osana hakuprosessia tai valtuutuksen ylläpitoa ja jaettava kaikki asiaankuuluvat tiedot sen varmistamiseksi, että 3 ja 4 kohdassa säädetyt vaatimukset ja 5 kohdassa säädetyt velvoitteet täyttyvät (edelleen) 22 artiklan 2 kohdan mukaisesti. Valtuutettujen todistuksen tarjoajien on välittömästi ilmoitettava ENISAlle, jos jokin 3 kohdassa luetelluista vaatimuksista ei enää täyty tai jos on epäilyksiä siitä, että kyseiset vaatimukset eivät täyty, myös arvioijien riippumattomuuden osalta. Hakijoiden on maksettava ENISAlle maksu hakemuksensa arvioinnista. Valtuutettujen todistuksen tarjoajien on maksettava ENISAlle maksu valtuutuksensa ylläpitämisestä.  ENISA arvioi, täyttävätkö hakijat ja valtuutetut todistuksen tarjoajat (edelleen) 21 artiklan 3 ja 4 kohdassa säädetyt vaatimukset ja 21 artiklan 5 kohdassa säädetyt velvoitteet. Tarkasteltuaan hakemusta 21 artiklan 3 ja 4 kohdassa säädettyjen vaatimusten osalta ENISA voi tehdä päätöksen. ENISA voi muuttaa, keskeyttää tai kumota tällaisia päätöksiä. ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan yleisölle tietoa a)Euroopan kyberturvallisuustaitojen kehyksestä, mukaan lukien itse kehys ja sen päivittämisen aikataulu; b)yksilöllisiä kyberturvallisuustaitoja koskevista eurooppalaisista todistusjärjestelmistä, niiden edistymisestä ja niiden kehittämisen aikatauluista; c)kuhunkin tämän asetuksen 47 artiklan mukaisesti hyväksyttyyn yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään liittyvistä maksuista; d)20 artiklan 4 kohdan mukaisen yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen ohjeellisista kustannuksista; e)valtuutettujen todistuksen tarjoajien luettelosta. ENISA Komissio Suuri yleisö Jäsenvaltiot EU:n toimijat Julkiset ja yksityiset sidosryhmät (edistävät todistusjärjestelmän kehittämistä; hakijat ja yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistuksen tarjoajat, myös arvioijat)   Järjestelmien kehittäminen ja ylläpito; sidosryhmien kuuleminen; hakemusten käsittely; päätösten antaminen; verkkosivuston ylläpito Tietojen käsittely Tietovirta Digitaalinen ratkaisu Digitaaliset julkiset palvelut 25 artikla Johtokunnan kokoonpano Jäsenten nimittäminen ENISAn johtokuntaan. ENISA Euroopan komissio Jäsenvaltiot Jäsenten nimittäminen Tietovirta Tietojen käsittely 28 artiklan 1 kohta Johtokunnan tehtävät   30 artikla Hallitus b.hyväksyy luonnoksen ENISAn yhtenäiseksi ohjelma-asiakirjaksi 44 artiklan mukaisesti ennen sen toimittamista komissiolle lausuntoa varten; f) arvioi ja hyväksyy ENISAn toimintaa koskevan vuotuisen konsolidoidun toimintakertomuksen, joka sisältää tilinpäätöksen ja kuvauksen siitä, kuinka ENISA on saavuttanut tulosindikaattorinsa; toimittaa sen yhdessä sitä koskevan arviointinsa kanssa viimeistään seuraavan vuoden heinäkuun 1 päivänä Euroopan parlamentille, neuvostolle, komissiolle ja Euroopan tilintarkastustuomioistuimelle; toimintakertomus julkistetaan; i) huolehtii asianmukaisista jatkotoimista, joita toteutetaan sisäisiin tai ulkoisiin tarkastuskertomuksiin ja arviointeihin sekä Euroopan petostentorjuntaviraston (OLAF) ja Euroopan syyttäjänviraston (EPPO) tutkimuksiin perustuvien tulosten ja suositusten perusteella; ENISA Euroopan komissio Euroopan parlamentti EU:n neuvosto Tilintarkastustuomioistuin Jäsenvaltiot Suuri yleisö Yhtenäisen ohjelma-asiakirjan toimittaminen komissiolle lausuntoa varten; ENISAn toimintaa koskevan konsolidoidun vuosikertomuksen, joka sisältää tilinpäätöksen ja kuvauksen siitä, miten ENISA on saavuttanut tulosindikaattorinsa, arviointi ja hyväksyminen sekä vuosikertomuksen ja arvioinnin toimittaminen; tulosten jatkotoimet Tietovirta Tietojen käsittely   31 artiklan 8 kohta Nimittäminen, erottaminen ja toimikauden jatkaminen   Johtokunnan on ilmoitettava Euroopan parlamentille aikeestaan jatkaa pääjohtajan toimikautta 6 kohdan mukaisesti. Pääjohtaja antaa toimikauden mahdollista jatkamista edeltävien kolmen kuukauden aikana pyydettäessä lausuman Euroopan parlamentin asiasta vastaavan valiokunnan kokouksessa ja vastaa Euroopan parlamentin jäsenten esittämiin kysymyksiin. ENISA ENISAn johtokunta Euroopan parlamentti Johtokunta tiedottaa asiasta Euroopan parlamentille Tietovirta 32 artiklan 3 kohta Pääjohtajan tehtävät ja vastuualueet     32 artiklan 5 kohta 3. Pääjohtaja raportoi pyydettäessä Euroopan parlamentille tehtäviensä hoidosta. Neuvosto voi pyytää pääjohtajaa raportoimaan tehtäviensä hoidosta. Laatii alustavan talousarviosuunnitelman strategiat ja strategiset asiakirjat. ENISAn pääjohtaja Euroopan parlamentti Raportoi tuloksista Tietovirta Tietojen käsittely 35 artiklan 5 ja 6 kohta ENISAn neuvoa-antava ryhmä 5. ENISAn neuvoa-antava ryhmä neuvoo ENISAa sen tehtävien hoidossa paitsi tämän asetuksen III, IV ja V osaston säännösten soveltamisessa. Erityisesti se neuvoo pääjohtajaa tämän laatiessa esitystä ENISAn vuotuiseksi työohjelmaksi sekä yhteydenpidossa asianmukaisten sidosryhmien kanssa vuotuiseen työohjelmaan liittyvissä kysymyksissä. 6.    ENISAn neuvoa-antava ryhmä tiedottaa toiminnastaan johtokunnalle säännöllisesti. ENISA ENISAn neuvoa-antavan ryhmän jäsenet ENISAn johtokunta ENISAn pääjohtaja Neuvoo ja tiedottaa toiminnastaan Tietojen käsittely Tietovirta 36–43 artikla Valituslautakunta ENISA perustaa valituslautakunnan johtokunnan päätöksellä. Valituslautakuntaan kuuluu puheenjohtaja ja kolme muuta jäsentä. Kullakin valituslautakunnan jäsenellä on varajäsen. Varajäsen toimii poissa olevan jäsenen sijaisena. Johtokunta nimittää puheenjohtajan sekä muut jäsenet ja heidän varajäsenensä komission laatimasta pätevien ehdokkaiden luettelosta. Pätevien ehdokkaiden luettelo on voimassa neljä vuotta. Johtokunta voi komission ehdotuksesta jatkaa luettelon voimassaoloa neljällä vuodella. Valituslautakunta voi pyytää johtokuntaa nimittämään kaksi muuta jäsentä ja heille varajäsenet 3 kohdassa tarkoitetusta luettelosta, jos se katsoo valituksen luonteen edellyttävän tällaista toimenpidettä. Valituslautakunta hyväksyy ja julkistaa työjärjestyksensä.  Jos valituslautakunnan jäsen katsoo jostakin 1 kohdassa tarkoitetusta tai muusta syystä, ettei hänen pitäisi osallistua muutoksenhakumenettelyyn, hänen on ilmoitettava asiasta valituslautakunnalle. Valituslautakunta päättää, miten 2 ja 3 kohdassa tarkoitetuissa tapauksissa on meneteltävä, mutta asianomainen jäsen ei osallistu päätöksen tekemiseen. Kyseisen päätöksen tekemiseksi asianomainen jäsen korvataan valituslautakunnassa hänen varajäsenellään. Edellä olevan 1 kohdan nojalla tehtyyn muutoksenhakuun sovelletaan 41 artiklan mukaista oikaisua ennen sen saattamista valituslautakunnan tutkittavaksi. Edellä olevassa 21 artiklan 3 kohdassa tarkoitetut hakijat voivat hakea muutosta niille osoitettuun päätökseen, jonka ENISA on tehnyt 22 artiklan 3 kohdan nojalla, tai jos ENISA jättää toimimatta hakijan jättämän hakemuksen osalta 22 artiklan 4 kohdassa säädetyissä määräajoissa. Edellä olevassa 1 kohdan a alakohdassa tarkoitetussa tapauksessa muutoksenhaku ja sen perusteet on toimitettava kirjallisina 36 artiklan 5 kohdassa tarkoitetun työjärjestyksen mukaisesti kahden kuukauden kuluessa siitä, kun päätös on annettu tiedoksi kyseiselle henkilölle, tai jos henkilölle ei ole ilmoitettu päätöksestä, kahden kuukauden kuluessa siitä päivästä, jona kyseinen henkilö on saanut tiedon päätöksestä. Edellä 1 kohdan b alakohdassa tarkoitetussa tapauksessa muutoksenhaku on toimitettava ENISAlle kirjallisesti 36 artiklan 5 kohdassa tarkoitetun työjärjestyksen mukaisesti kahden kuukauden kuluessa 22 artiklan 4 kohdassa säädetyn määräajan päättymisestä. Jos ENISA katsoo, että muutoksenhaku voidaan ottaa käsiteltäväksi ja että sille on perusteita, se oikaisee 40 artiklan 1 kohdassa tarkoitetun päätöksen tai toimimatta jättämisen. Jos ENISA ei oikaise päätöstä kuukauden kuluessa muutoksenhaun vastaanottamisesta, se päättää viipymättä, lykkääkö se päätöksensä soveltamista, ja saattaa muutoksenhaun valituslautakunnan käsiteltäväksi. Valituslautakunta päättää kolmen kuukauden kuluessa muutoksen hakemisesta, hyväksytäänkö vai hylätäänkö muutoksenhaku. Valituslautakunta toimii valitusta käsitellessään työjärjestyksensä mukaisissa määräajoissa. Se kehottaa muutoksenhakumenettelyn osapuolia aina tarvittaessa esittämään asetettuja määräaikoja noudattaen huomautuksensa valituslautakunnan tiedoksi antamista asioista tai muiden muutoksenhakumenettelyn osapuolten esittämistä huomioista. Muutoksenhakumenettelyn osapuolilla on oikeus esittää suullisia huomautuksia.  Jos valituslautakunta toteaa, että muutoksenhaku on perusteltu, se saattaa asian ENISAn käsiteltäväksi. ENISA ottaa lopullisessa päätöksessään huomioon valituslautakunnan käsittelyn tulokset ja perustelee päätöksensä. ENISA ilmoittaa päätöksestään muutoksenhakumenettelyn osapuolille. Kumoamiskanteet, jotka koskevat ENISAn 22 artiklan 3 kohdan nojalla tehtyjä päätöksiä, tai kanteet, jotka koskevat 22 artiklan 4 kohdan mukaisten määräaikojen puitteissa toimimatta jättämistä, voidaan saattaa Euroopan unionin tuomioistuimen käsiteltäviksi vasta sen jälkeen, kun 39–42 artiklan mukainen viraston sisäinen muutoksenhakukeino on käytetty, tai jos ENISA on jättänyt toimimatta 41 artiklan 2 kohdassa säädetyissä määräajoissa. ENISA toteuttaa kaikki tarvittavat toimenpiteet Euroopan unionin tuomioistuimen tuomion noudattamiseksi. ENISA ENISAn johtokunta Komissio Kyberturvallisuusasetus 2:ta koskevan ehdotuksen 36 artiklassa tarkoitettu valituslautakunta Hakijat (oikeussubjektit, jotka haluavat tulla valtuutetuiksi todistuksen tarjoajiksi tai pitää yllä tai uusia valtuutuksensa) Muutoksenhakuun perustuvien päätösten antaminen Muutoksenhakujen käsittely Työjärjestyksen laatiminen ja julkaiseminen Tietovirrat Tietojen käsittely Tietovirta Digitaaliset julkiset palvelut 44 artikla Yhtenäinen ohjelma-asiakirja 2. Pääjohtaja laatii vuosittain 1 kohdassa tarkoitetun yhtenäisen ohjelma-asiakirjan luonnoksen, joka sisältää vastaavan taloudellisia ja henkilöresursseja koskevan suunnittelun komission delegoidun asetuksen (EU) 2019/715 32 artiklan mukaisesti ja ottaen huomioon komission esittämät suuntaviivat. 3. Johtokunta hyväksyy kunkin vuoden marraskuun 30 päivään mennessä 1 kohdassa tarkoitetun yhtenäisen ohjelma-asiakirjan ottaen huomioon delegoidun asetuksen (EU) 2019/715 32 artiklan 7 kohdassa tarkoitetun komission lausunnon. Jos hallintoneuvosto päättää olla ottamatta huomioon joitakin komission lausunnon sisältämiä seikkoja, se antaa päätökselleen pätevät perustelut. Johtokunta välittää yhtenäisen ohjelma-asiakirjan Euroopan parlamentille, neuvostolle ja komissiolle viimeistään seuraavan vuoden tammikuun 31 päivänä, samoin kuin asiakirjan mahdolliset myöhemmät päivitetyt versiot.   ENISAn pääjohtaja ENISAn johtokunta Euroopan komissio Euroopan parlamentti Neuvosto Yhtenäisen ohjelma-asiakirjan laatiminen, hyväksyminen ja toimittaminen vuosittain Tietovirta 45 artikla ENISAn talousarvion laatiminen 4.    Komissio toimittaa ennakkoarvion budjettivallan käyttäjälle yhdessä unionin yleistä talousarviota koskevan alustavan esityksen kanssa. Ennakkoarvio annetaan myös ENISAn käyttöön. ENISA Euroopan komissio Tietojen jakaminen Tietovirta 47 artikla Maksut Edellä olevassa 21 artiklan 3 kohdassa tarkoitetuilta hakijoilta tai valtuutetuilta todistuksen tarjoajilta peritään 22 artiklan 1 kohdassa säädettyjen yksittäisten eurooppalaisten todistusjärjestelmien toimien osalta seuraavat maksut ENISAn suorittamien toimien kokonaiskustannusten kattamiseksi: a.valtuutusten myöntäminen 21 artiklan 3 ja 4 kohdassa säädettyjen vaatimusten tarkastelun jälkeen, mukaan luettuna arviointien suorittaminen; b.valtuutuksen vuotuinen ylläpito; c.yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistuksia tarjoavien tahojen valtuutusten uusiminen, mukaan luettuna arviointien suorittaminen Sertifioinnin osalta vaatimustenmukaisuuden arviointilaitoksilta peritään seuraavat maksut niiden eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpidosta, joiden nojalla eurooppalaisia kyberturvallisuussertifikaatteja myönnetään, erityisesti vuosimaksu eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään osallistumisesta; maksu eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien nojalla myönnetyistä eurooppalaisista kyberturvallisuussertifikaateista. Edellä olevassa b alakohdassa tarkoitetut maksut peritään, kun vaatimustenmukaisuuden arviointilaitos toimittaa eurooppalaiset kyberturvallisuussertifikaatit ENISAlle julkaistavaksi sen 79 artiklassa tarkoitetulla verkkosivustolla. Komissio hyväksyy täytäntöönpanosäädöksiä, joissa vahvistetaan ENISAn perimiä maksuja koskevat yksityiskohtaiset säännöt. ENISA toimittaa selvityksen perityistä maksuista ja niiden vaikutuksesta talousarvioonsa osana tilinpäätösmenettelyä. Komissio ENISA Todistuksen tarjoajat Vaatimustenmukaisuuden arviointilaitokset Tietojen käsittely; maksujen maksaminen; raportointi maksuista Tietojen käsittely Tietovirta   48 artikla 49 artikla Vaikutukset talousarvioon   48 artikla 3.    Pääjohtaja toimittaa budjettivallan käyttäjälle kaikki arviointimenettelyjen tulosten kannalta olennaiset tiedot. 49 artikla 1.    ENISAn tilinpitäjä toimittaa varainhoitovuoden alustavan tilinpäätöksen komission tilinpitäjälle ja tilintarkastustuomioistuimelle viimeistään varainhoitovuoden (vuosi N) päättymistä seuraavan varainhoitovuoden (vuosi N + 1) maaliskuun 1 päivänä. 2.    ENISAn tilinpitäjä toimittaa komission tilinpitäjälle viimeistään vuoden N + 1 maaliskuun 1 päivänä myös vaaditut kirjanpitotiedot konsolidointia varten sillä tavalla ja siinä muodossa kuin komission tilinpitäjä edellyttää. 3.    ENISA toimittaa selvityksen vuoden N talousarvio- ja varainhallinnosta Euroopan parlamentille, neuvostolle, komissiolle ja tilintarkastustuomioistuimelle viimeistään vuoden N + 1 maaliskuun 31 päivänä. 4.    Saatuaan tilintarkastustuomioistuimen huomautukset ENISAn vuoden N alustavasta tilinpäätöksestä ENISAn tilinpitäjä laatii ENISAn lopullisen tilinpäätöksen. 5. Johtokunta antaa lausunnon ENISAn vuoden N lopullisesta tilinpäätöksestä. Viraston tilinpitäjä laatii ENISAn lopullisen tilinpäätöksen omalla vastuullaan. Pääjohtaja toimittaa lopullisen tilinpäätöksen johtokunnalle lausuntoa varten.  ENISA ENISAn johtokunta Euroopan komissio Neuvosto Euroopan parlamentti ENISAn talousarviota koskevien tietojen käsittely ja jakaminen. Tietojen käsittely Tietovirta   52 artikla Etunäkökohtia koskeva ilmoitus   Osapuolten on tehtävä ilmoitus sitoumuksistaan sekä ilmoitus, jossa he toteavat, onko olemassa heidän riippumattomuuttaan mahdollisesti vaarantavia välittömiä tai välillisiä sidonnaisuuksia. ENISAn hallinto (pääjohtaja, varapääjohtaja) johtokunta, Kansalliset asiantuntijat Etunäkökohtia koskevaa ilmoitusta koskevien tietojen käsittely ja jakaminen Tietojen käsittely Tietovirta 58 artikla Yhteyshenkilöt 1. Kunkin jäsenvaltion on nimettävä vähintään kaksi yhteyshenkilöä [niiden kansallisesta kyberturvallisuusviranomaisesta] kansalliseksi asiantuntijaksi ENISAan ja työskentelemään sen toimipaikassa tai paikallisessa toimistossa 59 artiklan 2 kohdan mukaisesti. Myös komissio voi nimetä yhteyshenkilön. 2. Jäsenvaltionsa nimeämillä yhteyshenkilöillä on oikeus pyytää ja saada jäsenvaltioiltaan kaikki tässä asetuksessa säädetyt asiaankuuluvat tiedot, ja he toimivat täysin jäsenvaltioidensa lainsäädännön tai käytäntöjen mukaisesti erityisesti tietosuojan ja luottamuksellisuutta koskevien sääntöjen osalta. ENISA Jäsenvaltiot Yhteyshenkilöiden nimeäminen ja tietojen jakaminen Tietojen käsittely Tietovirta  67 artikla Turvallisuusluokiteltujen tietojen käsittely   ENISA hyväksyy komissiota kuultuaan turvallisuussäännöt, joissa sovelletaan turvallisuutta koskevia periaatteita, jotka sisältyvät päätöksissä (EU, Euratom) 2015/443 ja (EU, Euratom) 2015/444 vahvistettuihin arkaluonteisten turvallisuusluokittelemattomien tietojen ja Euroopan unionin turvallisuusluokiteltujen tietojen suojaamista koskeviin komission turvallisuussäännöksiin. ENISAn turvallisuussääntöihin sisältyy myös määräyksiä, jotka koskevat tällaisten tietojen vaihtamista, käsittelyä ja tallentamista.  ENISA Johtokunta Komissio Turvallisuusluokiteltujen tietojen käsittely Tietojen käsittely Tietovirta 68, 69 ja70 artikla Yhteistyö unionin toimijoiden ja kansallisten viranomaisten kanssa Yhteistyö sidosryhmien kanssa Yhteistyö kolmansien maiden kanssa ENISA tekee yhteistyötä ja vaihtaa tietoja kyberturvallisuuteen liittyvistä asioista asiaankuuluvien unionin toimijoiden, markkinavalvonta- ja valvontaviranomaisten kanssa; asiaankuuluvien sidosryhmien kanssa; sekä kolmansien maiden tai kansainvälisten järjestöjen toimivaltaisten viranomaisten kanssa ENISA Europol ECCC Euroopan tietosuojaneuvosto Suuri yleisö Neuvosto Tietojen jakaminen Tietovirta 72 artikla eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevasta tiedottamisesta ja kuulemisesta 2.    Komissio ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan tietoa a)    Euroopan kyberturvallisuuden sertifiointijärjestelmistä, joita on pyydetty kehittämään; b)    tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen tai unionin lainsäädännön turvallisuusvaatimusten yhdenmukaistamista koskevista strategisista painopisteistä, mukaan lukien mahdolliset osa-alueet, joita varten saatetaan pyytää eurooppalaista kyberturvallisuuden sertifiointijärjestelmää. 3.    Komissio asettaa tämän artiklan 2 kohdassa tarkoitetulla verkkosivustolla julkisesti saataville tiedot ENISAlle esittämistään pyynnöistä laatia 73 artiklassa tarkoitettu ehdokasjärjestelmä ja päätöksistään hyväksyä tai hylätä ENISAn 74 artiklan 7 kohdan mukaisesti toimittama ehdokasjärjestelmä tai palauttaa se ENISAlle tarkistettavaksi. Euroopan komissio Suuri yleisö ENISA   Tietoja sisältävän verkkosivuston ylläpito Tämä velvoittaa komission antamaan tietoja julkisesti saatavilla olevalla verkkosivustolla ja tarjoamaan jatkuvasti niihin liittyviä tiedonhallintatoimia. Digitaaliset julkiset palvelut  Digitaalinen ratkaisu  72 artikla eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevasta tiedottamisesta ja kuulemisesta   Kun ENISA valmistelee ehdokasjärjestelmää 74 artiklan mukaisesti, Euroopan parlamentti ja neuvosto voivat pyytää Euroopan kyberturvallisuuden sertifiointiryhmän puheenjohtajana toimivaa komissiota sekä ENISAa esittämään olennaiset tiedot ehdokasjärjestelmän luonnoksesta. ENISA voi Euroopan parlamentin tai neuvoston pyynnöstä yhteisymmärryksessä komission kanssa asettaa Euroopan parlamentin ja neuvoston saataville ehdokasjärjestelmän luonnoksen asiaankuuluvia osia tavalla, joka on asianmukainen vaaditun luottamuksellisuuden tason kannalta, ja tarvittaessa rajoitetusti, sanotun kuitenkaan rajoittamatta 54 artiklan soveltamista. Euroopan parlamentti tai neuvosto voi pyytää komissiota ja ENISAa keskustelemaan kysymyksistä, jotka koskevat tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin taikka tietoturvapalveluihin tai toimijoiden kyberturvatasoon sovellettavien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien toteutusta. ENISA EU:n neuvosto Euroopan parlamentti Tietojen pyytäminen ja lähettäminen ENISAn laatimasta ehdokasjärjestelmän luonnoksesta Tietovirrat 73 artikla Eurooppalaista kyberturvallisuuden sertifiointijärjestelmää koskeva pyyntö 74 artikla Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien valmistelu ja hyväksyminen (kuuluu 17 artiklan soveltamisalaan)  73 artikla 1. Komissio voi pyytää ENISAa valmistelemaan tieto- ja viestintäteknisiin tuotteisiin, palveluihin tai prosesseihin taikka tietoturvapalveluihin tai toimijoiden kyberturvatasoon sovellettavan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ehdokasjärjestelmäksi. Asianmukaisesti perustelluissa tapauksissa Euroopan kyberturvallisuuden sertifiointiryhmä voi ehdottaa komissiolle 1 kohdassa tarkoitetun pyynnön esittämistä. 4. Laatiessaan 1 kohdassa tarkoitettua pyyntöä komissio kuulee asianmukaisesti ENISAa ja Euroopan kyberturvallisuuden sertifiointiryhmää sekä ottaa huomioon kaikkien asiaankuuluvien sidosryhmien ja muiden unionin toimijoiden näkemykset, mukaan lukien tarvittaessa sellaisen unionin lainsäädännön kannalta merkityksellisten sidosryhmien ja unionin toimijoiden näkemykset, jonka suhteen tällaisella järjestelmällä luodaan vaatimustenmukaisuusolettama. 74 artikla 3. ENISAn on tehtävä tiivistä yhteistyötä Euroopan kyberturvallisuuden sertifiointiryhmän kanssaehdokasjärjestelmää valmistellessaan. Euroopan kyberturvallisuuden sertifiointiryhmän on annettava ENISAlle apua ja asiantuntijaneuvontaa ehdokasjärjestelmän ja mahdollisten siihen liittyvien teknisten eritelmien valmistelussa. ENISA pyytää Euroopan kyberturvallisuuden sertifiointiryhmän jäseniltä kirjallisen lausunnon ehdokasjärjestelmästä.  4. ENISA kuulee kohtuullisessa ajassa sidosryhmiä virallisesti, avoimesti, läpinäkyvästi ja osallistavasti.  ENISAn on myös tehtävä yhteistyötä jäsenvaltioiden asianomaisten viranomaisten ja asianomaisten unionin toimijoiden kanssa saadakseen niiltä asiantuntijaneuvontaa ehdokasjärjestelmän ja mahdollisten siihen liittyvien teknisten eritelmien valmistelua varten. 6. ENISAn on toimitettava ehdokasjärjestelmä komissiolle viimeistään 60 päivän kuluttua 5 kohdassa tarkoitetun pyynnön päivämäärästä. 7. Vastaanotettuaan ehdolla olevan järjestelmän komissio arvioi, vastaako järjestelmä 73 artiklan mukaisesti esitettyä pyyntöä.  8.    Jos komissio palauttaa ehdokasjärjestelmän ENISAlle tarkistettavaksi 7 kohdan b alakohdan mukaisesti, tämän artiklan 4, 5 ja 7 kohtaa sovelletaan vastaavasti.   Euroopan komissio ENISA Euroopan kyberturvallisuuden sertifiointiryhmä Asiantuntijasidosryhmät Pyynnön ja sertifiointijärjestelmän valmistelu ja siihen liittyvä sidosryhmien kuuleminen Tietojen käsittely Tietovirrat Digitaaliset julkiset palvelut (kuuluu 17 artiklan soveltamisalaan) 75 artikla Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpito 2. ENISAn on varmistettava yhteistyössä komission kanssa ja Euroopan kyberturvallisuuden sertifiointiryhmän ja siihen kuuluvan ylläpitoa käsittelevän alaryhmän tuella eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpito ottaen huomioon myös se, että komissio voi tarkistaa kyseisiä järjestelmiä. ENISAn on ylläpitotoimien yhteydessä tehtävä yhteistyötä ja vaihdettava tietoja asianomaisten unionin toimijoiden ja ryhmien kanssa. 5. Euroopan kyberturvallisuuden sertifiointiryhmä voi antaa lausunnon eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpidosta. Euroopan komissio ENISA Euroopan kyberturvallisuuden sertifiointiryhmä Vaatimustenmukaisuuden arviointilaitokset   ENISA varmistaa ylläpidon. Ylläpitoon kuuluu säännöllisiä hybridi- tai verkkokokouksia, tietojen keräämistä, analysointia ja jakamista (eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän yhteydessä) Tietojen käsittely Tietovirta 76 artikla Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien arviointi, tarkastelu ja peruuttaminen  1. ENISAn on vähintään joka neljäs vuosi kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän käyttöönoton jälkeen arvioitava kyseisen järjestelmän vaikutuksia ja vaikuttavuutta yhteistyössä Euroopan kyberturvallisuuden sertifiointiryhmään kuuluvan ylläpitoa käsittelevän alaryhmän kanssa ottaen huomioon sidosryhmiltä saatu palaute. ENISAn on toteutettava tämä arviointi laatimalla tarvittava 8 artiklan 1 kohdan mukainen markkina-analyysi. 3. Komissio kuulee eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarkistamisen ja peruuttamisen yhteydessä ENISAa, Euroopan kyberturvallisuuden sertifiointiryhmää ja siihen kuuluvaa ylläpitoa käsittelevää alaryhmää ja ottaa huomioon asianomaisten sidosryhmien ja muiden unionin toimijoiden näkemykset. 4. Euroopan kyberturvallisuuden sertifiointiryhmä voi antaa lausunnon eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarkistamisesta tai peruuttamisesta. Komissio ottaa tällaisen lausunnon asianmukaisesti huomioon eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän tarkistamisen tai peruuttamisen yhteydessä.   Euroopan komissio ENISA Euroopan kyberturvallisuuden sertifiointiryhmä Komissio tarkistaa järjestelmiä ja kuulee asiaankuuluvia sidosryhmiä. Tietojen käsittely Tietovirta 77 artikla Tekniset eritelmät eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä 3.    Jos eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä viitataan teknisiin eritelmiin 74 artiklan 10 kohdassa tarkoitetulla tavalla, ne on asetettava saataville 79 artiklassa tarkoitetulla verkkosivustolla. 4. Asianmukaisesti perustelluissa tapauksissa, erityisesti sellaisten teknisten eritelmien tapauksessa, joiden sisältämät tiedot voivat vaarantaa sertifioitujen tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen turvallisuuden tai toimijoiden kyberturvatason, tekniset eritelmät jaetaan vain niille sidosryhmille, joita järjestelmän vaatimukset koskevat. Tällaiseen järjestelmään ei saa viitata eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä 74 artiklan 10 kohdassa tarkoitetulla tavalla. ENISA Jäsenvaltiot Vaatimustenmukaisuuden arviointilaitokset   Tietojen saattaminen saataville ENISAn sertifiointisivustolla Tietovirta Digitaaliset julkiset palvelut   79 artikla Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien verkkosivusto 1. ENISAn on toteutettava toimia hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien käyttöönoton edistämiseksi, mukaan lukien ylläpitämällä tämän artiklan 2 kohdassa tarkoitettua verkkosivustoa. 2. ENISAn on ylläpidettävä ja päivitettävä säännöllisesti erityistä verkkosivustoa, jolla asetetaan julkisesti saataville a)    tiedot eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä b)    tiedot kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpitoon liittyvistä maksuista; c) tiedot asiaankuuluvista ENISAn teknisistä eritelmistä; d)    tiedot eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, mukaan lukien niistä eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, jotka eivät ole enää voimassa, joiden voimassaolo on keskeytetty, jotka on peruutettu kokonaan tai jotka ovat vanhentuneet; e)    84 artiklan 2 kohdan mukaisesti annetut asiaankuuluvat täydentävät kyberturvallisuustiedot; f)    89 artiklan 7 kohdan mukaiset vertaisarviointien yhteenvedot; g)    tekniset eritelmät, joihin viitataan eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä 74 artiklan 10 kohdan mukaisesti. 3. Edellä 2 kohdassa tarkoitetulla verkkosivustolla on tarvittaessa myös ilmoitettava ne kansalliset kyberturvallisuuden sertifiointijärjestelmät, jotka on korvattu eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä. ENISA Jäsenvaltiot Vaatimustenmukaisuuden arviointilaitokset Tietosivuston ylläpito edellyttää, että ENISA kerää, käsittelee ja pitää yllä kattavia sertifiointitietokantoja, jotka vaativat jatkuvia tiedonhallintatoimia. Digitaaliset julkiset palvelut Digitaalinen ratkaisu Tietojen käsittely Tietovirta   81 artikla Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijät 5. Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joissa vahvistetaan yhteiset periaatteet ja mallimuotoilut 1, 2 ja 3 kohdassa vahvistettuja osatekijöitä varten kaikkien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osalta. Eurooppalainen kyberturvallisuuden sertifiointijärjestelmä voi tarvittaessa sisältää viittauksia näihin periaatteisiin ja mallimuotoiluihin, jos sellaisia on saatavilla. Edellä 5 kohdassa tarkoitetut täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. Kehittäessään tai tarkistaessaan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijöitä koskevia yhteisiä periaatteita ja mallimuotoiluja komissio kuulee ENISAa ja ottaa tarvittaessa huomioon Euroopan kyberturvallisuuden sertifiointiryhmän, asiaankuuluvien sidosryhmien ja muiden asiaankuuluvien elinten esittämät näkemykset. ENISA Suuri yleisö Jäsenvaltioiden viranomaiset Tietovirtoja ja käsittelyä edellyttävä asiaankuuluvien sidosryhmien kuuleminen Tietovirta Tietojen käsittely 83 artikla Vaatimustenmukaisuuden itsearviointi 3. Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen valmistajan tai tarjoajan taikka toimijan, johon sovelletaan kyberturvatason sertifiointia, on asetettava EU-vaatimustenmukaisuusilmoitus, tekniset asiakirjat ja kaikki muut järjestelmässä määriteltyä tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien taikka tietoturvapalvelujen tai kyberturvatason vaatimustenmukaisuutta koskevat asiaankuuluvat tiedot 89 artiklan nojalla nimetyn kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville kyseisessä järjestelmässä määrätyn ajanjakson ajaksi. Jäljennös EU-vaatimustenmukaisuusilmoituksesta toimitetaan kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja ENISAlle ilman aiheetonta viivytystä. ENISA Suuri yleisö Jäsenvaltioiden viranomaiset Saatavilla olevat tiedot; tietojen yhteiskäyttö Jaetut tiedot edellyttävät ENISAn ja jäsenvaltioiden viranomaisten käsittelyä Tietovirta Tietojen käsittely 84 artikla Sertifioituja tieto- ja viestintäteknisiä tuotteita, palveluja ja prosesseja koskevat täydentävät kyberturvallisuustiedot 1. Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien valmistajan tai tarjoajan, jolle on myönnetty EU-vaatimustenmukaisuusilmoitus tai eurooppalainen kyberturvallisuussertifikaatti, on asetettava käyttäjän saataville seuraavat täydentävät kyberturvallisuustiedot. Tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien valmistaja tai tarjoaja Suuri yleisö Vaatimustenmukaisuuden arviointilaitokset Tietojen julkistaminen sähköisessä muodossa. Tietovirta 85 artikla Eurooppalaisten kyberturvallisuussertifikaattien myöntäminen 2. Jäljempänä olevassa 91 artiklassa tarkoitetut vaatimustenmukaisuuden arviointilaitokset myöntävät eurooppalaiset kyberturvallisuussertifikaatit. Sertifikaatit myönnetään 74 artiklan mukaisesti hyväksyttyyn eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään sisältyvien kriteerien perusteella. 6. Luonnollisen henkilön tai oikeushenkilön, joka jättää tieto- ja viestintäteknisiä tuotteita, palveluja tai prosesseja taikka tietoturvapalveluja sertifioitavaksi, tai kyberturvatasolleen sertifiointia hakevan toimijan on asetettava kaikki sertifioinnin suorittamiseen tarvittavat tiedot 89 artiklan nojalla nimetyn kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville, jos eurooppalaisen kyberturvallisuussertifikaatin myöntää kyseinen viranomainen, tai 91 artiklassa tarkoitetun vaatimustenmukaisuuden arviointilaitoksen saataville, jos sertifikaatin myöntää kyseinen laitos. 7. Vaatimustenmukaisuuden arviointilaitosten ja tarvittaessa kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on ilmoitettava ENISAlle viipymättä päätöksistään, jotka vaikuttavat eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten asemaan 94 artiklan mukaisesti. 8. Eurooppalaisen kyberturvallisuussertifikaatin haltijan on ilmoitettava 7 kohdassa tarkoitetulle vaatimustenmukaisuuden arviointilaitokselle ja tarvittaessa kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle kaikista sertifioitua tieto- ja viestintäteknistä tuotetta, palvelua, prosessia taikka tietoturvapalvelua tai kyberturvatasoa koskevista myöhemmin havaituista haavoittuvuuksista tai poikkeamista, jotka todennäköisesti vaikuttavat sen sertifikaatinmukaisuuteen. Kyseisen elimen on toimitettava tiedot viipymättä asianomaiselle kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja arvioitava vaikutukset sertifikaattiin 81 artiklan 1 kohdan f alakohdassa tarkoitettujen järjestelmän ehtojen mukaisesti. ENISA Suuri yleisö Jäsenvaltioiden viranomaiset Vaatimustenmukaisuuden arviointilaitokset Sertifiointiprosessien kannalta merkityksellisten tietojen jakaminen Tietovirta Tietojen käsittely 86 artikla Kansalliset kyberturvallisuuden sertifiointijärjestelmät 4. Jäsenvaltioiden on ilmoitettava komissiolle ja Euroopan kyberturvallisuuden sertifiointiryhmälle ennen kuin ne hyväksyvät uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä tieto- ja viestintäteknisille tuotteille, palveluille ja prosesseille, tietoturvapalveluille sekä toimijoiden kyberturvatasolle. ENISA Jäsenvaltiot Euroopan komissio Tietojen jakaminen Tietovirta 88 artikla Kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset 2. Kunkin jäsenvaltion on ilmoitettava komissiolle nimeämänsä kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset. Jos jäsenvaltio nimeää useamman kuin yhden viranomaisen, sen on myös ilmoitettava komissiolle kyseisille viranomaisille osoitetut tehtävät. 6. Kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen tehtävänä on c) seurata yhteistyössä asianomaisten markkinavalvontaviranomaisten kanssa, että niiden alueelle sijoittautuneet ja vastaavassa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä vaatimustenmukaisuuden itsearviointia soveltavat tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien sekä tietoturvapalvelujen valmistajat ja tarjoajat sekä toimijat, joiden kyberturvataso on sertifioitu, noudattavat tässä asetuksessa säädettyjä velvollisuuksiaan, ja varmistaa näiden velvollisuuksien noudattaminen; . d)    avustaa ja tukea aktiivisesti kansallisia akkreditointielimiä tai muita asiaankuuluvia viranomaisia näiden seuratessa ja valvoessa vaatimustenmukaisuuden arviointilaitosten toimintaa tämän asetuksen soveltamiseksi, sanotun kuitenkaan rajoittamatta 91 artiklan 3 kohdan soveltamista; e)    toimia yhteistyössä Euroopan komission kanssa, jos vaatimustenmukaisuuden arviointilaitoksen pätevyys on riitautettu 94 artiklan mukaisesti;  f)    seurata ja valvoa 85 artiklan 3 kohdassa tarkoitettujen julkisten elinten toimintaa; g)    tarvittaessa valtuuttaa vaatimustenmukaisuuden arviointilaitoksia 93 artiklan nojalla, valvoa vaatimustenmukaisuuden arviointilaitosten velvollisuuksien noudattamista ja panna täytäntöön näitä velvollisuuksia eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä 81 artiklan 3 kohdan f alakohdan nojalla vahvistettujen erityis- tai lisävaatimusten osalta sekä rajoittaa myönnettyjä valtuuksia taikka keskeyttää tai peruuttaa myönnettyjä valtuutuksia, jos vaatimustenmukaisuuden arviointilaitokset eivät täytä tämän asetuksen vaatimuksia; h)    käsitellä luonnollisten henkilöiden tai oikeushenkilöiden tekemät valitukset, jotka liittyvät kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai vaatimustenmukaisuuden arviointilaitosten [85 artiklan 4 kohdan] mukaisesti myöntämiin eurooppalaisiin kyberturvallisuussertifikaatteihin tai 83 artiklan mukaisesti annettuihin EU-vaatimustenmukaisuusilmoituksiin, tutkia asianmukaisessa määrin valituksen kohde ja ilmoittaa valituksen tekijälle tutkinnan etenemisestä ja tuloksesta kohtuullisessa ajassa; i)    toimittaa komissiolle, ENISAlle ja Euroopan kyberturvallisuuden sertifiointiryhmälle vuosittain viimeistään 31 päivänä maaliskuuta [voimaantulovuosi + 12 kuukautta] vuosikertomus tärkeimmistä toimistaan ja asettaa kyseiset kertomukset vertaisarviointiryhmän saataville, jos kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen suorittaa 89 artiklan mukaisen vertaisarvioinnin;  j)    toimia yhteistyössä muiden kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten, markkinavalvontaviranomaisten tai muiden viranomaisten kanssa esimerkiksi jakamalla tietoa mahdollisista tapauksista, joissa tieto- ja viestintätekniset tuotteet, palvelut ja prosessit, tietoturvapalvelut ja toimijoiden kyberturvataso eivät vastaa tämän asetuksen tai yksittäisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia; k)    seurata asiaa koskevaa kehitystä kyberturvallisuussertifioinnin alalla.   8. Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa erityisesti vaihtamalla tietoja, kokemuksia ja hyviä käytäntöjä tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen sekä toimijoiden kyberturvatason kyberturvallisuussertifioinnista ja niiden kyberturvallisuuteen liittyvistä teknisistä kysymyksistä. 9.    ENISA laatii [voimaantulo + 6 kuukautta] mennessä tämän artiklan 6 kohdan i alakohdassa tarkoitetun kertomuksen mallin yhteistyössä komission ja Euroopan kyberturvallisuuden sertifiointiryhmän kanssa. ENISA Jäsenvaltioiden viranomaiset Euroopan komissio Suuri yleisö Vaatimustenmukaisuuden arviointilaitokset Jäsenvaltion on ilmoitettava komissiolle nimetyt kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset Jäsenvaltioiden viranomaisten on suoritettava erilaisia seurantaan, valvontaan ja yhteistyöhön liittyviä tehtäviä, jotka edellyttävät tietovirtoja ja tietojenkäsittelyä. Tietovirta Tietojen käsittely 89 artikla Vertaisarviointi 5. ENISA tukee vertaisarviointimekanismin ja vertaisarviointien järjestämistä muun muassa kehittämällä asiaankuuluvia ohjeasiakirjoja ja malleja yhteistyössä komission ja Euroopan kyberturvallisuuden sertifiointiryhmän kanssa. 7. Euroopan kyberturvallisuuden sertifiointiryhmä tarkastelee loppukertomusta, joka sisältää mahdolliset ohjeet tai suositukset, sekä vertaisarvioinnin yhteenvetoa ja hyväksyy yhteenvedon julkaisemisen 79 artiklan 2 kohdassa tarkoitetulla verkkosivustolla. EU ENISA Euroopan kyberturvallisuuden sertifiointiryhmä Tietojen asettaminen saataville verkossa Tietovirta Tietojen käsittely   90 artikla  Euroopan kyberturvallisuuden sertifiointiryhmä 3. Euroopan kyberturvallisuuden sertifiointiryhmän tehtävänä on [viittaus muihin artikloihin] h)    tarkastella merkityksellistä kehitystä kyberturvallisuussertifioinnin alalla, myös kansallisella tasolla 86 artiklan mukaisesti, ja vaihtaa tietoja ja hyviä käytäntöjä kyberturvallisuuden sertifiointijärjestelmistä; i)helpottaa kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välistä yhteistyötä tässä osastossa vahvistettujen sääntöjen mukaisesti valmiuksien kehittämisen ja tietojenvaihdon avulla, erityisesti kyberturvallisuussertifiointiin liittyvissä kysymyksissä; [viittaus muihin artikloihin] k)    helpottaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mukauttamista kansainvälisesti tunnustettuihin standardeihin muun muassa osana nykyisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitoa sekä antaa tarvittaessa ENISAlle suosituksia aloista, joilla sen olisi puututtava yhdessä asiaankuuluvien eurooppalaisten tai kansainvälisten standardointiorganisaatioiden kanssa saatavilla olevien eurooppalaisten tai kansainvälisesti tunnustettujen standardien puutteisiin tai aukkoihin. Jäsenvaltiot ENISA Euroopan komissio Analyysi, tietojen jakaminen ja yhteistyö jäsenvaltioiden viranomaisten ja kansainvälisten järjestöjen välillä eurooppalaisen kyberturvallisuussertifioinnin osalta Tietojen käsittely Tietovirta 92 artikla  Vaatimustenmukaisuuden arviointilaitosten pätevyyden yhdenmukaistaminen edelleen  4. Jos kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen vastaanottaa 3 kohdan mukaisen pyynnön, sen on ilmoitettava siitä sen jäsenvaltion kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle, johon pyynnön esittävä vaatimustenmukaisuuden arviointilaitos on sijoittautunut. Tällaisissa tapauksissa kyseisen jäsenvaltion kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen voi osallistua valtuutukseen tarkkailijana. Jäsenvaltioiden viranomaiset Vaatimustenmukaisuuden arviointilaitokset Tietojen jakaminen ja säilyttäminen Tietovirta Tietojen käsittely 93 artikla Vaatimustenmukaisuuden arviointilaitosten ilmoittaminen 1. Jäsenvaltion kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on jokaisen eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän osalta ilmoitettava komissiolle ja muille jäsenvaltioille vaatimustenmukaisuuden arviointilaitoksista, jotka on akkreditoitu ja soveltuvin osin 92 artiklan nojalla valtuutettu. 2. Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on tehtävä 1 kohdassa tarkoitettu ilmoitus käyttäen komission kehittämää ja hallinnoimaa sähköistä ilmoitusvälinettä. ENISA Jäsenvaltiot Euroopan komissio Vaatimustenmukaisuuden arviointilaitokset Akkreditoitujen ja valtuutettujen vaatimustenmukaisuuden arviointilaitosten ilmoitukset Tietovirrat Tietojen käsittely 94 artikla Vaatimustenmukaisuuden arviointilaitosten pätevyyden riitauttaminen 1.1. Komissio tutkii kaikki tapaukset, joissa sillä on tai sen tietoon saatetaan epäilys vaatimustenmukaisuuden arviointilaitoksen pätevyydestä täyttää sille asetetut vaatimukset ja velvollisuudet tai siitä, täyttääkö vaatimustenmukaisuuden arviointilaitos edelleen nämä vaatimukset ja velvollisuudet. 2. Kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen on toimitettava pyynnöstä komissiolle kaikki tiedot, jotka liittyvät ilmoituksen perusteisiin tai asianomaisen vaatimustenmukaisuuden arviointilaitoksen pätevyyden ylläpitoon. 3. Komissio varmistaa, että kaikkia sen tutkimusten yhteydessä saatuja arkaluonteisia tietoja käsitellään luottamuksellisesti.  4. Jos komissio toteaa, että vaatimustenmukaisuuden arviointilaitos ei täytä tai ei enää täytä sen ilmoittamiselle säädettyjä vaatimuksia, se ilmoittaa asiasta kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja pyytää sitä ryhtymään tarvittaviin korjaaviin toimenpiteisiin, mukaan luettuna ilmoituksen poistaminen tarvittaessa. Komissio Jäsenvaltiot ENISA Vaatimustenmukaisuuden arviointilaitosten pätevyyden riitauttaminen Tietovirta Tietojen käsittely Digitaaliset julkiset palvelut 95 artikla Vaatimustenmukaisuuden arviointilaitosten tiedotus‑ ja säilyttämisvelvollisuus 1. Vaatimustenmukaisuuden arviointilaitosten on ilmoitettava kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle seuraavista asioista: a)    sertifikaatin epäämiset, rajoittamiset ja peruuttamiset väliaikaisesti tai kokonaan; b)    olosuhteet, jotka vaikuttavat 93 artiklan 1 kohdassa tarkoitetun ilmoituksen laajuuteen ja edellytyksiin;   c)    vaatimustenmukaisuuden arviointitoimia koskevat tietopyynnöt, jotka ne ovat saaneet markkinavalvontaviranomaisilta; d)    pyynnöstä vaatimustenmukaisuuden arviointitoimet, jotka on suoritettu niitä koskevan ilmoituksen soveltamisalalla, ja mahdollisesti suoritetut muut toimet, mukaan luettuina rajat ylittävä toiminta ja alihankinta. 2. Vaatimustenmukaisuuden arviointilaitosten on myös toimitettava ENISAlle 1 kohdan a alakohdassa tarkoitetut tiedot helpottaakseen sen 79 artiklan mukaisen tehtävän suorittamista. 3. Vaatimustenmukaisuuden arviointilaitosten on viipymättä toimitettava muille tämän asetuksen mukaisille vaatimustenmukaisuuden arviointilaitoksille, jotka suorittavat samoja tieto‑ ja viestintäteknisiä tuotteita, palveluita tai prosesseja taikka tietoturvapalveluita tai toimijoita, joiden kyberturvataso sertifioidaan, koskevia vastaavia vaatimustenmukaisuuden arviointitoimia, asiaankuuluvat tiedot vaatimustenmukaisuuden arvioinnin kielteisiin ja pyynnöstä myös myönteisiin tuloksiin liittyvistä kysymyksistä. 4. Vaatimustenmukaisuuden arviointilaitosten on pidettävä yllä tietojärjestelmää, joka sisältää kaikki sen suorittamien arviointien ja sertifiointien yhteydessä esitetyt tai vastaanotetut asiakirjat ja todisteet. Tiedot on säilytettävä tietoturvallisesti ja esteettömästi saatavilla sertifioinnin kannalta tarpeellisen ajan, mutta vähintään viiden vuoden ajan kyseisen eurooppalaisen kyberturvallisuussertifikaatin voimassaolon päättymisen tai peruuttamisen jälkeen. Jäsenvaltioiden viranomaiset Vaatimustenmukaisuuden arviointilaitokset Vaatimustenmukaisuuden arviointilaitosten tietojenvaihto Tietovirta Tietojen käsittely 96 artikla Valitusoikeus ja oikeus tehokkaisiin oikeussuojakeinoihin  2. Viranomaisen tai elimen, jolle valitus on jätetty, on ilmoitettava valituksen tekijälle valituksen käsittelyn etenemisestä, valitusta koskevista päätöksistä sekä 3 ja 4 kohdassa tarkoitetusta oikeudesta tehokkaisiin oikeussuojakeinoihin. 4. Tämän artiklan mukaiset kanteet on nostettava sen jäsenvaltion tuomioistuimissa, johon kanteen kohteena oleva viranomainen tai elin on sijoittautunut. Jäsenvaltioiden viranomaiset Euroopan komissio Suuri yleisö Sertifikaattien haltijat Viranomaisten ja suuren yleisön välinen tiedonkulku kanteluista Asian käsittely jäsenvaltion tuomioistuimissa Tietovirta 97 artikla Seuraamukset  Jäsenvaltioiden on ilmoitettava nämä säännöt ja toimenpiteet komissiolle viipymättä ja ilmoitettava sille niihin vaikuttavista myöhemmistä muutoksista. Jäsenvaltioiden viranomaiset Euroopan komissio Jäsenvaltioiden komissiolle ilmoittamiin seuraamuksiin liittyvä tiedonkulku. Tietovirta 99 artikla Turvallisuusriskien arvioinnit Komissio tai vähintään kolme jäsenvaltiota voi pyytää verkko- ja tietoturva-alan yhteistyöryhmää suorittamaan koordinoidut riskinarvioinnit kuuden kuukauden kuluessa. Komissio voi pyytää tätä lyhempiä määräaikoja. Riskinarvioinneissa on laadittava riskiskenaarioita ja niiden on perustuttava tietojen analysointiin. Koordinoitujen turvallisuusriskien arviointien valmistelu Tapauksissa, joissa välitön puuttuminen on perusteltua, komissio kuulee viipymättä jäsenvaltioita ja tekee riskinarvioinnin. Päätökset riskinarvioinneista (tietojen käsittely /analyysi). Euroopan komissio EU:n jäsenvaltiot verkko- ja tietoturva-alan yhteistyöryhmä ENISA Tietojen pyytäminen ja vastaanottaminen; tietojen analysointi koordinoituja riskinarviointeja varten Jäsenvaltioiden kuuleminen ja riskinarvioinnin tekeminen Tietojen käsittely Tietovirta 100 artiklan 1 ja 2 kohta Kolmannen maan nimeäminen kyberturvallisuushaasteita aiheuttavaksi maaksi 1. Jos 99 artiklassa tarkoitetun turvallisuusriskien arvioinnin tai muiden lähteiden, kuten unionin tai jäsenvaltion puolesta annettavan julkisen lausunnon, perusteella vaikuttaa siltä, että kolmas maa aiheuttaa vakavia ja rakenteellisia muita kuin teknisiä riskejä tieto- ja viestintätekniikan toimitusketjuille, komissio todentaa kyseisen maan aiheuttaman uhkan ottaen huomioon erilaisia seikkoja, jotka johtavat tietojen käsittelyyn ja analysointiin. 2. Jos komissio toteaa edellä 1 kohdassa tarkoitetun todennuksen jälkeen, että kolmas maa aiheuttaa vakavia ja rakenteellisia muita kuin teknisiä riskejä tieto‑ ja viestintätekniikan toimitusketjuille, se voi täytäntöönpanosäädöksellä nimetä kyseisen kolmannen maan tieto‑ ja viestintätekniikan toimitusketjujen kyberturvallisuushaasteita aiheuttavaksi maaksi, mikä johtaa tietojen käsittelyyn, analysointiin ja tietovirtoihin. EU:n jäsenvaltiot Euroopan komissio Tietojen vastaanottaminen, tietojen analysointi, tiedonvaihto. Tietovirrat Tietojen käsittely 101 artikla Yleinen tieto‑ ja viestintätekniikan toimitusketjujen mekanismi 102 artikla Keskeisten tieto‑ ja viestintäteknisten hyödykkeiden määrittäminen 103 artikla Tieto‑ ja viestintätekniikan toimitusketjun lieventävät toimenpiteet 1. Jos verkko‑ ja tietoturva‑alan yhteistyöryhmä on suorittanut unionin tason koordinoidun turvallisuusriskien arvioinnin tämän asetuksen 99 artiklan 1 ja 2 kohdan mukaisesti tai kun 99 artiklan 3 kohdan mukainen menettely on saatettu päätökseen merkittävän kyberuhkan tapauksessa, komissio voi toteuttaa 102 ja 103 artiklassa säädettyjä toimenpiteitä. Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joissa määritellään keskeiset tieto- ja viestintätekniset hyödykkeet ja lieventävät toimenpiteet, mukaan luettuna tieto- ja viestintätekniikan toimitusketjuja koskevat rajoitukset ja kiellot (eritelty jäljempänä kohdassa 4.5). Tätä prosessia valmistellessaan komissio ottaa huomioon useita tietojen käsittelyä ja analysointia ja joissakin tapauksissa tietovirtoja aiheuttavia näkökohtia ja tarkastelee niitä: 102 artiklan a–f kohta 103 artiklan 4 kohdan a–d alakohta 103 artiklan 6 kohta Euroopan komissio verkko- ja tietoturva-alan yhteistyöryhmä Asiaankuuluvat sidosryhmät Tietojen analysointi / tietojen käsittely; asiaankuuluvien sidosryhmien kuuleminen Tietojen käsittely Tietovirta 104 artikla Suuririskisten toimittajien yksilöinti Komissio vahvistaa täytäntöönpanosäädöksillä luettelot suuririskisistä toimittajista, jotka ovat merkityksellisiä 103 artiklan 1 kohdan mukaisesti annetuissa täytäntöönpanosäädöksissä säädettyjen kieltojen tai 111 artiklan 1 kohdassa tarkoitetun kiellon kannalta. Komissio kartoittaa tieto- ja viestintäteknisten komponenttien toimittajat sekä tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien toimittajat ja tekee alustavan arvioinnin määrittääkseen, mitkä toimittajat ovat mahdollisesti sijoittautuneet 100 artiklan mukaisesti nimettyihin kolmansiin maihin tai ovat tällaisten kolmansien maiden määräysvallassa. Komissio arvioi sijoittautumispaikkaa sekä omistus‑ ja määräysvaltarakennetta. Komissiolla on oikeus pyytää toimittajilta tarvittavat tiedot. Komissio ilmoittaa asianomaiselle toimittajalle alustavat päätelmät sijoittautumisen, omistajuuden ja määräysvallan arvioinnista ja antaa niille tilaisuuden tulla kuulluksi. Komissio voi pyytää toimivaltaista viranomaista suorittamaan alustavan arvioinnin toimittajan sijoittautumisesta sekä omistajuudesta ja määräysvallasta, jos se on perusteltua kyseisen toimittajan toiminnan luonteen vuoksi. Toimivaltainen viranomainen voi tarjoutua suorittamaan tällaisen alustavan arvioinnin. Komissio tarkistaa nämä alustavan arvioinnin tulokset ja päättää, sisällytetäänkö toimittaja suuririskisten toimittajien luetteloon. Komissio päivittää säännöllisesti suuririskisten toimittajien luetteloita poistaen tai lisäten suuririskisiä toimittajia. Luettelossa olevat suuririskiset toimittajat voivat pyytää komissiota arvioimaan uudelleen niiden sijoittautumista sekä määräysvalta‑ ja omistusrakennetta toimitettuaan komissiolle näyttöä olennaisista muutoksista. Euroopan komissio Toimivaltaiset viranomaiset Toimittajat Tietojen analysointi / tietojen käsittely; toimivaltaisten viranomaisten kuuleminen, toimittajien kuuleminen Tietojen käsittely Tietovirta 105 artikla Vapautus toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa 108 artikla Luottamuksellisuus 1) Nimettyyn kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan sijoittautunut tai tällaisen kolmannen maan määräysvallassa oleva toimija voi esittää komissiolle perustellun pyynnön. 3) Komissio arvioi ja tekee päätöksen ottaen huomioon useita tietojen analysointiin johtavia näkökohtia. (105 artiklan 3 ja 4 kohta) Komission saamia tietoja saa käyttää ainoastaan siihen tarkoitukseen, jota varten ne on saatu. Euroopan komissio Toimijat, jotka ovat sijoittautuneet nimettyyn kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen kolmanteen maahan sijoittautuneiden toimijoiden määräysvallassa Komissio vastaanottaa pyynnön; analysoi tiedot. Tietovirta Tietojen käsittely 107 artikla Rekisteri Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä 105 artiklan tarkoitetuista päätöksistä. Rekisterissä ilmoitetaan niiden toimijoiden nimet, joita päätökset ovat koskeneet. Euroopan komissio Toimijat, jotka ovat sijoittautuneet nimettyyn kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai ovat tällaisen kolmannen maan määräysvallassa Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä. Digitaalinen ratkaisu 111 artikla Matkaviestinverkkoja, kiinteitä sähköisiä viestintäverkkoja ja satelliittipohjaisia sähköisiä viestintäverkkoja koskevat kiellot Tämän asetuksen nojalla nimetyn toimivaltaisen viranomaisen on ilmoitettava viipymättä asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] mukaiselle toimivaltaiselle viranomaiselle matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajia koskevista toimenpiteistä Asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] 9 tai 20 artiklassa tarkoitettu toimivaltainen viranomainen Matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajat Valtuutuksia koskeva tiedonkulku toimivaltaiselta viranomaiselta toimijoille. Tietovirta 112 artiklan 1 ja 4 kohta Toimivaltaiset viranomaiset 1) Kunkin jäsenvaltion on nimettävä yksi tai useampi toimivaltainen viranomainen, joka vastaa 114 artiklassa tarkoitetuista valvonta- ja täytäntöönpanotehtävistä. 4) Kunkin jäsenvaltion on ilmoitettava komissiolle ilman aiheetonta viivytystä 1 kohdan mukaisesti nimettyjen toimivaltaisten viranomaisten nimet, kyseisten viranomaisten tehtävät ja näiden tietojen mahdolliset myöhemmät muutokset. Kunkin jäsenvaltion on myös julkistettava 1 kohdan mukaisesti nimettyjen toimivaltaisten viranomaisten nimet.   EU:n jäsenvaltiot Euroopan komissio Suuri yleisö Jäsenvaltiot nimeävät toimivaltaiset viranomaiset ja ilmoittavat ne komissiolle. Tietovirta 113 artikla Komission yhteistyö‑ ja tukipalveluverkosto 1. Komissio perustaa jäsenvaltioiden toimivaltaisten viranomaisten ja komission välisen yhteistyöverkoston, joka toimii yhteistyö‑ ja tietojenvaihtofoorumina. Komissio antaa verkostolle hallinnollista tukea. 2. Tukeakseen jäsenvaltioita niiden valvontatehtävissä komissio arvioi, ovatko toimittajat, joihin voi kohdistua erityiskieltoja, sijoittautuneet 100 artiklan mukaisesti nimettyihin kyberturvallisuushaasteita aiheuttaviin kolmansiin maihin tai tällaisten kolmansien maiden määräysvallassa. Toimivaltaisen viranomaisen on tätä varten annettava asiaankuuluvat tiedot komissiolle. 3. Komissiolla on arviointia varten oikeus pyytää tarvittavat tiedot toimittajilta, joihin saattaa kohdistua erityisiä kieltoja ja jotka ovat sijoittautuneet 100 artiklan mukaisesti nimettyihin kolmansiin maihin tai jotka ovat tällaisten kolmansien maiden määräysvallassa. 4. Kun arviointi on saatu päätökseen, komissio jakaa tulokset 1 kohdan nojalla perustettuun verkostoon kuuluvien toimivaltaisten viranomaisten kanssa. Toimivaltaisten viranomaisten on hyvissä ajoin ilmoitettava tuloksista asianomaisille direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetuille toimijoille. 5. Jos toimivaltainen viranomainen saa tietoonsa toimittajan, johon erityiskiellot voivat vaikuttaa ja joka on sijoittautunut kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai on tällaisen maan toimijoiden määräysvallassa ja jolle ei ole tehty arviointia, sen on ilmoitettava asiasta komissiolle ilman aiheetonta viivytystä. Komissio Toimivaltaiset viranomaiset Direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetut toimijoiden tyypit Komissio arvioi toimittajia ja jakaa tietoja toimivaltaisten viranomaisten kanssa, jotka jakavat tietoja direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetun toimijoiden tyypin kanssa; Komissio pyytää tietoja toimittajilta Toimivaltaiset viranomaiset antavat tietoa komissiolle Tietojenkäsittely Tietovirrat 114 artikla Valvonta‑ ja täytäntöönpanotoimenpiteet Jäsenvaltioille asetetut vaatimukset, joilla varmistetaan tiedonkulku direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijoiden kanssa. Toimivaltaiset viranomaiset. Toimivaltaisten viranomaisten on ennen toimenpiteiden hyväksymistä ilmoitettava asianomaisille toimijoille alustavista havainnoistaan. Toimivaltaisten viranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa. EU:n jäsenvaltiot Euroopan komissio Direktiivin (EU) 2022/2555 liitteiden I ja II mukaiset toimijat Tiedonkulun varmistavat vaatimukset; Tietovirta Tietojen käsittely 115 artikla Seuraamukset Jäsenvaltioiden on ilmoitettava nämä säännökset ja toimenpiteet komissiolle, ja jäsenvaltioiden on ilmoitettava komissiolle kaikki niitä koskevat myöhemmät muutokset viipymättä. Euroopan komissio EU:n jäsenvaltiot Jäsenvaltiot ilmoittavat komissiolle Tietovirta 116 artikla Keskinäinen avunanto Jos direktiivin (EU) 2022/2555 liitteessä I tai II tarkoitettu toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai tarjoaa palveluja yhdessä tai useammassa jäsenvaltiossa ja sen keskeiset hyödykkeet sijaitsevat yhdessä tai useammassa muussa jäsenvaltiossa, asianomaisten jäsenvaltioiden toimivaltaisten viranomaisten on tehtävä yhteistyötä ja avustettava toisiaan tarpeen mukaan. Ensimmäisen alakohdan c alakohdassa tarkoitettu keskinäinen avunanto voi kattaa tietopyyntöjä ja valvontatoimenpiteitä, myös pyyntöjä suorittaa paikalla tehtäviä tarkastuksia tai muuta kuin paikalla toteutettavaa valvontaa tai kohdennettuja turvallisuusauditointeja. Toimivaltainen viranomainen, jolle avunantopyyntö on osoitettu, ei saa kieltäytyä pyynnöstä, paitsi jos todetaan, ettei sillä ole toimivaltaa antaa pyydettyä apua, että pyydetty apu ei ole oikeassa suhteessa toimivaltaisen viranomaisen valvontatehtäviin tai että pyyntö koskee tietoja tai käsittää toimintoja, joiden paljastaminen tai toteuttaminen olisi vastoin jäsenvaltion keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Ennen tällaisesta pyynnöstä kieltäytymistä toimivaltaisen viranomaisen on kuultava muita asianomaisia toimivaltaisia viranomaisia sekä, jos jokin asianomaisista jäsenvaltioista sitä pyytää, komissiota. Eri jäsenvaltioiden toimivaltaiset viranomaiset voivat tarvittaessa ja yhteisestä sopimuksesta toteuttaa yhteisiä valvontatoimia. EU:n jäsenvaltiot Keskinäinen avunanto valvontatoimissa. Tietovirta Tietojen käsittely 1 artiklan 8 kohta, direktiivi Kiristysohjelmahyökkäyksistä ilmoittaminen NIS 2 -direktiivin 27.13 artikla Lisätään 23 artiklaan 12 ja 13 kohta seuraavasti:  ”13. Jäsenvaltioiden on varmistettava, että kiristysohjelmahyökkäyksen aiheuttaman merkittävän poikkeaman tapauksessa asianomaiset toimijat ilmoittavat CSIRT-yksikön tai tapauksen mukaan toimivaltaisen viranomaisen pyynnöstä CSIRT-yksikön tai tapauksen mukaan toimivaltaisen viranomaisen tarjoaman viestintäkanavan kautta, onko toimijalle esitetty lunnasvaatimus ja, jos tiedossa, kenen toimesta; onko lunnaita maksettu ja jos on, mikä määrä milläkin maksuvälineellä ja kenelle vastaanottajalle tai mihin vastaanottavaan kohteeseen, mukaan lukien tapauksen mukaan kryptovarat ja kryptovarapalvelujen tarjoajat.” EU:n jäsenvaltiot Keskeiset ja tärkeät toimijat Raportointi Tietovirta 1 artiklan 10 kohta, direktiivi  Toimijoiden luettelo ja rekisteri (NIS 2 -direktiivin 27.1 artikla) ENISA perustaa keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden rekisterin ja ylläpitää sitä keskitetyiltä yhteyspisteiltä 2 kohdan mukaisesti saatujen tietojen pohjalta.  ENISA EU:n jäsenvaltiot (NIS 2 -direktiivissä tarkoitetut keskeiset ja tärkeät toimijat, verkkotunnusten rekisteröintipalveluja tarjoavat toimijat) ENISA luo rekisterin ja ylläpitää sitä Digitaalinen ratkaisu Digitaaliset julkiset palvelut   1 artiklan 11 kohta, direktiivi  Toimijoiden luettelo ja rekisteri (NIS 2 -direktiivin 27.4 artikla) ”4. Kun asianomaisen jäsenvaltion keskitetty yhteyspiste saa 3 artiklan 4 kohdassa tarkoitetut tiedot, sen on toimitettava ne ilman aiheetonta viivytystä ENISAlle.”  ENISA EU:n jäsenvaltiot Jäsenvaltiot, jotka jakavat tietoja ENISAn kanssa Tietovirta 1 artiklan 12 kohta, direktiivi Keskinäinen avunanto  (NIS 2 -direktiivin 37 a artiklan 1, 2 ja 3 kohta)  1. ENISA avustaa jäsenvaltioita 37 artiklassa tarkoitetun keskinäisen avunannon toteuttamisessa ja on mukana edesauttamassa tällaisia yhteistyöprosesseja sellaisten keskeisten ja tärkeiden toimijoiden osalta (...). 2. ENISA tekee kattavan analyysin (…) ENISA kehittää yhteistyössä komission ja yhteistyöryhmän kanssa menetelmän. Raportti päivitetään vuosittain. (3.) ENISA suosittaa tarvittaessa; laatii ohjeistusta; avustaa (...)  ENISA EU:n jäsenvaltiot NIS 2 -direktiivissä tarkoitetut keskeiset ja tärkeät toimijat Euroopan komissio ENISA avustaa jäsenvaltioita ja helpottaa yhteistyöprosessia. Analyysin toteuttaminen, ohjeistus, menetelmät, raportit. Tietojen käsittely Tietovirta 1 artiklan 12 kohta, direktiivi Keskinäinen avunanto  (NIS 2 -direktiivin 37 a artiklan 4 kohta)  4. Tämän artiklan 3 kohdan e alakohdan tarkoituksissa asianomaisten jäsenvaltioiden toimivaltaisten viranomaisten on toimitettava ENISAlle, jos saatavilla (….). 5. Jos jäsenvaltio vastaanottaa 37 artiklan 1 kohdan ensimmäisen alakohdan c alakohdassa tarkoitettua keskinäistä apua, keskitetyn yhteyspisteen on ilmoitettava ENISAlle, että keskinäistä apua on annettu. ENISA EU:n jäsenvaltiot   Tiedonvaihto Tietovirta 119 artikla Siirretyn säädösvallan käyttäminen 3.    Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle. Euroopan komissio Euroopan parlamentti Neuvosto Euroopan parlamentille ja neuvostolle lähetettävät tiedot Tietovirta 120 artikla Arviointi ja uudelleentarkastelu 1.    Komissio teettää komission suuntaviivojen mukaisesti viimeistään [PP KK VVVV] ja joka viides vuosi sen jälkeen arvioinnin ENISAn toiminnasta suhteessa sen tavoitteisiin, toimeksiantoon, tehtävään, toimiin, hallintoon ja sijaintipaikkaan. 5.    Komissio raportoi arvioinnin tuloksista Euroopan parlamentille, neuvostolle ja johtokunnalle. Arvioinnin tulokset julkistetaan. ENISA Komissio Suuri yleisö Tietojen kerääminen ja analysointi; tietojen julkistaminen Tietojen käsittely Tietovirta

4.2.Data/tieto

Korkean tason kuvaus soveltamisalaan kuuluvasta datasta/tiedosta ja siihen liittyvistä standardeista/eritelmistä 

Datan/tiedon tyyppi	Viittaukset vaatimukseen	Standardi ja/tai eritelmä  (tarvittaessa)
Kyberturvallisuuden häiriönsietokyvyn ja yhteiskunnan kannalta merkityksellisiin analyyseihin/raportteihin liittyvä data/tieto	5 artiklan 1 kohdan a, b, c, e, f ja h alakohta  5 artiklan 2, 3 ja 4 kohta  6 artikla  7 artikla  8 artikla  9 artikla  10 artikla  11 artiklan 2 kohdan b ja c alakohta  12 artiklan 4 kohta  15 artikla  Direktiivin 1 artiklan 7 kohta	Toteuttaessaan 11 artiklan 1 kohdan a–e alakohdassa sekä 2 kohdassa lueteltuja toimia ENISA käyttää omia analyysejaan ja tarvittaessa tehtäviensä hoitamisessa saamiaan tietoja, mukaan lukien a) julkisesti saatavilla olevista lähteistä saadut tiedot, kuten tieto- ja viestintäteknisten tuotteiden tai palvelujen julkisesti tiedossa olevat haavoittuvuudet, jotka ovat saatavilla direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustetussa Euroopan haavoittuvuustietokannassa; b) jäsenvaltioiden, unionin toimijoiden, CERT-EU:n, yksityisen sektorin tai valtiosta riippumattomien kumppanien sekä kolmansien maiden ja kansainvälisten järjestöjen jakamat tiedot, jollei näiden tietojen edelleenjakelua ole rajoitettu näkyvällä merkinnällä. ENISA antaa ohjeita tietojen jakamisessa käytettävien verkko- ja tietojärjestelmien yhteentoimivuudesta, myös asetuksen (EU) 2025/38 6 artiklan 3 kohdassa tarkoitettujen rajojen yli toimivien kyberkeskittymien osalta.
Operatiivisen yhteistyön ja tilannekuvan kannalta merkityksellinen data/tieto	10 artiklan 4 kohdan a–g alakohta  10 artiklan 6 kohta  11 artiklan 1 kohdan a–g alakohta  11 artiklan 2 kohdan a, b ja c alakohta  11 artiklan 3 kohta  11 artiklan 4 kohta  13 artiklan 2 kohta  15 artikla  16 artiklan 2 kohdan e alakohta	Luottamuksellisuutta ja arkaluonteisten tietojen käsittelyä koskevat standardit  Toteuttaessaan 11 artiklan 1 kohdan a–e alakohdassa sekä 2 kohdassa lueteltuja toimia ENISA käyttää omia analyysejaan ja tarvittaessa tehtäviensä hoitamisessa saamiaan tietoja, mukaan lukien a) julkisesti saatavilla olevista lähteistä saadut tiedot, kuten tieto- ja viestintäteknisten tuotteiden tai palvelujen julkisesti tiedossa olevat haavoittuvuudet, jotka ovat saatavilla direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustetussa Euroopan haavoittuvuustietokannassa; b) jäsenvaltioiden, unionin toimijoiden, CERT-EU:n, yksityisen sektorin tai valtiosta riippumattomien kumppanien sekä kolmansien maiden ja kansainvälisten järjestöjen jakamat tiedot, jollei näiden tietojen edelleenjakelua ole rajoitettu näkyvällä merkinnällä.
Yksilöllisiä kyberturvallisuustaitoja koskeviin eurooppalaisiin todistusjärjestelmiin ja todistuksen tarjoajien valtuutuksiin liittyvä data/tieto  Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tavoitteisiin, tarkoitukseen ja sisältöön liittyvä data/tieto	17 artikla  18 artikla  19–23 artikla  72, 73, 74, 75, 76, 77, 79, 81, 83 ja 84 artikla	Yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään sisällytetään (…): säännöt, jotka koskevat valtuutettujen todistuksen tarjoajien tietojen säilyttämistä Valtuutetut tarjoajat varmistavat, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset annetaan henkilön pyynnöstä sähköisinä attribuuttitodistuksina sellaisessa muodossa, että ne voidaan tallentaa asetuksessa (EU) N:o 910/2014 säädettyihin eurooppalaisiin digitaalisen identiteetin lompakoihin. .  Komission ja ENISAn olisi eurooppalaista kyberturvallisuuden sertifiointijärjestelmää luodessaan noudatettava tietojen osalta unionin lainsäädännön asiaankuuluvia säännöksiä.
Eurooppalaisen kyberturvallisuuden sertifiointikehyksen hallintoon liittyvä data/tieto	85, 86, 88, 89, 90, 92, 93, 94, 95, 96 ja 97 artikla	ENISAn, vaatimustenmukaisuuden arviointilaitosten ja kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi varmistettava tietojen luottamuksellisuus ja noudatettava asiaankuuluvan järjestelmän säännöksiä, joissa viitataan vaatimukset määrittäviin kansainvälisiin standardeihin.
ENISAn sisäisiin toimintoihin liittyvät data/tieto (talousarvio, yhtenäinen ohjelma-asiakirja, sisäiset strategiat)	25 artikla  28 artiklan 1 kohta  30 artikla  31 artiklan 8 kohta  32 artiklan 3 ja 5 kohta  35 artiklan 5 ja 6 kohta  36–43 artikla  44 artikla  45 artikla  47 artiklan 10 kohta  48–49 artikla  52 ja 58 artikla	Varainhoitoasetusta koskevat mallit ja ohjeet; sisäiset ohjeet
Henkilötiedot	22 artikla  Osasto II, luku III, jakso 6 Valituslautakunta  66 artikla  80 artiklan 1 kohdan c ja x alakohta  81 artiklan 2 kohta 88 artiklan 6 kohdan h alakohta  95 artikla  96 artikla	Asetus (EU) 2018/1725  Asetus (EU) 2016/679
Koordinoitujen riskinarviointien toteuttamisen, riskiskenaarioiden kehittämisen ja keskeisten tieto- ja viestintäteknisten hyödykkeiden määrittämisen yhteydessä kerätyt ja analysoidut tiedot	98 artikla 99 artikla 102 artikla 103 artikla 105 artikla	Rajoittamatta asetuksen (EU) 2024/2847 13 artiklan ja direktiivin (EU) 2022/2555 21 artiklan soveltamista
Kolmansia maita tai kolmansien maiden toimijoita koskeva data/tieto	100 artiklan 1, 3 ja 4 kohta 104 artikla 105 artikla 107 artikla 113 artikla	Ei sovelleta
Kansallisia viranomaisia koskeva data/tieto	112 artikla 114 artikla 116 artikla	Ei sovelleta
Riskinarviointeihin liittyvä data/tieto	5 artiklan 2 kohta	Luottamuksellisuutta ja arkaluonteisten tietojen käsittelyä koskevat standardit
Jäsenvaltioiden keskinäinen avunanto	asetuksen 5 artiklan 1 kohdan g alakohta ja direktiivin 1 artiklan 12 kohta	/

Yhdenmukaistaminen Euroopan datastrategian kanssa

Selvitys siitä, miten vaatimukset on sovitettu yhteen Euroopan datastrategian kanssa

Kyberturvallisuusasetusta 2 koskevan ehdotuksen vaatimukset eivät aiheuta erityisiä vaikutuksia Euroopan datastrategian kannalta.

Yhdenmukaistaminen yhden kerran periaatteen kanssa     

Selvitys siitä, miten yhden kerran periaate on otettu huomioon ja miten olemassa olevien tietojen uudelleenkäyttömahdollisuutta on tutkittu 

Yksi ehdotuksen tavoitteista on maksimoida komission yksinkertaistamistoimet ja vähentää jäsenvaltioille ja sidosryhmille aiheutuvaa hallinnollista rasitetta. Viime vuosina ENISAsta on tullut tietokeskus, joka kokoaa eri lähteistä peräisin olevia tietoja. Tässä yhteydessä monet ENISAn tehtävistä liittyvät tietojen uudelleenkäyttöön ja kierrättämiseen erilaisten analyysien tarkoituksiin. Esimerkki: joitakin tarkoituksia varten direktiivin (EU) 2022/2555 23 ja 30 artiklan mukaisesti ilmoitettujen tietojen uudelleenkäyttö; asetuksen (EU) 2024/2847 14 artiklan 1–3 kohdan, 15 artiklan sekä 17 artiklan 1 ja 3 kohdan mukaisesti ilmoitetut, jaetut tai analysoidut tiedot. Toimitusketjukehystä koskevissa säännöksissä oletetaan, että sen täytäntöönpanoa tuetaan direktiivin (EU) 2022/2555 22 artiklan nojalla saaduilla tiedoilla, mikä osoittaa, että tietoja on uudelleenkäytetty ja koordinoitu.

Selvitys uuden datan/tiedon löydettävyydestä, saavutettavuudesta, yhteentoimivuudesta ja uudelleenkäytettävyydestä ja siitä, että se täyttää korkeaa laatua koskevat vaatimukset

Lainsäädäntöehdotuksessa nimenomaisesti ilmoitetaan, milloin data/tieto on saatettava julkisesti saataville. Ehdotuksessa otetaan huomioon säännösten luonne, johon liittyy tiukkoja turvallisuus- ja luottamuksellisuusnäkökohtia, minkä vuoksi kaikkea kyberturvallisuusasetuksen tarkastelun yhteydessä tuotettua dataa/tietoa ei saateta julkisesti saataville. Tarvittavien säännösten osalta on varmistettu yhdenmukaisuus eurooppalaisen digitaalisen identiteetin lompakon kanssa. ENISAlle annetaan tehtäväksi tarjota ennakkovaroituspalvelu koneellisesti luettavassa muodossa.

Data-/tietovirrat

Korkean tason kuvaus soveltamisalaan kuuluvasta datasta/tiedosta ja siihen liittyvistä standardeista/eritelmistä

Datan/tiedon tyyppi	Selvitys data-/tietovirrasta		Viitteet
ENISA tarjoaa raportteja ja analyyseja sekä teknisiä ohjeita ja parhaita käytäntöjä	Tämä on ENISAn sidosryhmille suunnattu data-/tietovirta, jolla tuetaan EU:n politiikan ja lainsäädännön täytäntöönpanoa. ENISA on kerännyt näihin data-/tietovirtoihin tietoja pääasiassa julkisista lähteistä, tehnyt niistä analyyseja ja jakanut tulokset sidosryhmiensä kanssa. Lisäksi ENISA panee täytäntöön tiettyjä tehtäviä komission pyynnöstä.		5 artiklan 1 kohdan a, b, c, e, f ja h alakohta 5 artiklan 2 kohta; 5 artiklan 3 kohta; 5 artiklan 5 kohta 6 artikla 7 artikla 8 artikla 9 artikla 10 artikla 11 artiklan 2 kohta 11 artiklan 4 kohta 14 artikla
Data-/tietovirrat komission, ENISAn, jäsenvaltioiden ja muiden EU:n kyberturvallisuusekosysteemin kannalta keskeisten toimijoiden välillä operatiivisen yhteistyön puitteissa	Tämäntyyppiset data-/tietovirrat on luotu operatiivisen yhteistyön ja tilannekuvan varmistamiseksi. Tietojen jakelu tapahtuu molempiin suuntiin. Operatiivisen datan/tiedon jakaminen.		10 artiklan 4 kohdan a–g alakohta 11 artiklan 1 kohdan b–g alakohta 11 artiklan 2 kohdan a ja b alakohta 11 artiklan 3 kohta 15 artikla 16 artiklan 2 kohdan e alakohta
Euroopan kyberturvallisuustaitoja koskevaa kehystä sekä yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä ja niiden täytäntöönpanoa tukemaan luodut data-/tietovirrat	Nämä data-/tietovirrat tukevat tietojen jakelua molempiin suuntiin: – eurooppalaisen kyberturvallisuustaitoja koskevan kehyksen käyttöönotto ja ylläpito, mukaan lukien data-/tietovirrat ENISAn ja sen tilapäisen työryhmän jäsenten välillä sekä ENISAn ja komission välillä; – eurooppalaisten yksilöllisten kyberturvallisuustaitojen todistusjärjestelmien kehittäminen ja ylläpito, mukaan lukien data-/tietovirrat ENISAn ja sen tilapäisen työryhmän jäsenten sekä ENISAn, komission ja jäsenvaltioiden välillä; – yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien täytäntöönpano, mukaan lukien data-/tietovirrat hakijoiden ja ENISAn välillä; – data-/tietovirrat valituslautakunnan, ENISAn, komission ja hakijoiden välillä.		19–23 artikla 36–43 artikla
Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tavoitteisiin, tarkoitukseen ja sisältöön liittyvä data/tieto	Tämäntyyppiset data-/tietovirrat liittyvät eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien suunnitteluun, pyytämiseen, kehittämiseen, hyväksymiseen ja ylläpitoon (mukaan lukien mahdollinen tarkistus). Ne liittyvät erityisesti sidosryhmien, ENISAn ja jäsenvaltioiden viranomaisten kanssa tehtävään yhteistyöhön sekä niiltä saatavaan asiantuntijaneuvontaan Euroopan kyberturvallisuuden sertifiointiryhmän kautta menettelyn eri vaiheissa. Lisäksi muut data-/tietovirrat liittyvät asiaankuuluvien tietojen tarjoamiseen suurelle yleisölle komission ja ENISAn erityisillä verkkosivustoilla. Lisäksi kehyksessä ennakoidaan, että tieto- ja viestintäteknisten tuotteiden, palvelujen tai prosessien valmistajat tai tarjoajat, joille on myönnetty EU-vaatimustenmukaisuusilmoitus tai eurooppalainen kyberturvallisuussertifikaatti, asettavat täydentäviä kyberturvallisuustietoja julkisesti saataville omin keinoin.	18 artikla 19 artikla 72, 73, 74, 75, 76, 77, 79, 81, 83 ja 84 artikla
Eurooppalaisen kyberturvallisuuden sertifiointikehyksen hallintoon liittyvä data/tieto	Nämä data-/tietovirrat tukevat tietojen jakelua molempiin suuntiin: – eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien koordinointi ja hallinnointi – vaatimustenmukaisuuden arviointilaitosten akkreditointi ja valtuuttaminen sekä niiden myöhempi ilmoittaminen asiaankuuluvan alustan kautta ja siihen liittyvät menettelyt – muutoksenhakumenettelyt, kuten oikeus tehdä valitus, oikeussuojakeino tai muutoksenhaku sekä menettelyjen muuttaminen	85, 86, 88, 89, 90, 92, 93, 94, 95 ja 96 artikla
Viraston hallinnollisiin toimintoihin liittyvät data-/tietovirrat	ENISAn, johtokunnan, jäsenvaltioiden ja komission väliset data-/tietovirrat. Tiedot koskevat viraston hallinnollisia toimintoja, ja tietojen jakelu tapahtuu molempiin suuntiin. Joissakin tapauksissa tietoja toimitetaan myös Euroopan parlamentille (tätä koskeva data-/tietovirta esitetään jäljempänä).		25 artikla 28 artiklan 1 kohta 30 artikla 31 artiklan 8 kohta 32 artiklan 3 ja 5 kohta 35 artiklan 5 ja 6 kohta 36–43 artikla 44 artikla 45 artikla
Euroopan parlamentille lähetettävä data/tieto	ENISAn toimintaa ja tehtävien toteuttamista koskevat data-/tietovirrat Euroopan parlamentille; talousarvio ja varainhoito, yhteistyö kolmansien maiden ja kansainvälisten järjestöjen kanssa sekä ehdolla olevan pääjohtajan kuuleminen; eurooppalaiseen kyberturvallisuuden sertifiointiin liittyvät asiat.		28 artiklan 1 kohdan f alakohta, 31 artiklan 8 kohta, 32 artiklan 3 kohta, 44 artiklan 3 kohta, 49 artiklan 6 ja 9 kohta, 70 artiklan 5 kohta, 72 artiklan 4 ja 5 kohta, 119 artiklan 3 kohta Siirretyn säädösvallan käyttö sekä 120 artikla Arviointi ja uudelleentarkastelu
Euroopan unionin neuvostolle lähetettävä data/tieto	ENISAn toimintaa ja tehtävien toteuttamista koskevat data-/tietovirrat Euroopan parlamentille; talousarvio ja varainhoito, yhteistyö kolmansien maiden ja kansainvälisten järjestöjen kanssa sekä ehdolla olevan pääjohtajan kuuleminen; ehdokasjärjestelmät, joita kehitetään eurooppalaisen kyberturvallisuuden sertifiointikehyksen mukaisesti.		28 artiklan 1 kohdan f alakohta, 31 artiklan 8 kohta, 32 artiklan 3 ja 7 kohta, 49 artiklan 6 ja 9 kohta, 70 artiklan 5 kohta, 72 artiklan 4 ja 5 kohta, 119 artiklan 3 kohta Siirretyn säädösvallan käyttö sekä 120 artikla Arviointi ja uudelleentarkastelu
Valituksen tekemistä koskevat data-/tietovirrat	Jotta voidaan käsitellä luonnollisten henkilöiden tai oikeushenkilöiden tekemiä valituksia, jotka koskevat kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten myöntämiä eurooppalaisia kyberturvallisuussertifikaatteja tai vaatimustenmukaisuuden arviointilaitosten 84 artiklan 4 kohdan mukaisesti myöntämiä eurooppalaisia kyberturvallisuussertifikaatteja tai EU-vaatimustenmukaisuusilmoituksia, luonnollisilla henkilöillä ja oikeushenkilöillä on oikeus tehdä valitus eurooppalaisen kyberturvallisuussertifikaatin myöntäjälle tai, jos valitus koskee vaatimustenmukaisuuden arviointilaitoksen myöntämää eurooppalaista kyberturvallisuussertifikaattia.		55 artiklan 3 kohta; 88 artiklan 7 kohdan f alakohta; 96 artikla
Kiristysohjelmahyökkäyksiä koskevat data-/tietovirrat	Tiettyjen tietojen ilmoittaminen kiristysohjelmahyökkäysten yhteydessä		Direktiivin 1 artiklan 8 kohta

   

Datan/tiedon tyyppi	Viittaukset vaatimuksiin	Datan/tiedon toimittaja	Datan/tiedon vastaanottaja	Datan-/tiedonvaihdon käynnistävä tekijä	Toimittamistiheys (tarvittaessa)
Data-/tietovirrat komission ja jäsenvaltioiden välillä unionin tason koordinoitujen turvallisuusriskien arviointien yhteydessä	99 artikla Turvallisuusriskien arvioinnit	Komissio ja jäsenvaltiot	Jäsenvaltiot (verkko- ja tietoturva-alan yhteistyöryhmä)	99 artikla Turvallisuusriskien arvioinnit	Ei sovelleta
Data-/tietovirrat komission ja neuvoston välillä kolmansien maiden määrittämiseksi kyberturvallisuushaasteiden näkökulmasta	100 artikla Kolmannen maan nimeäminen kyberturvallisuushaasteita aiheuttavaksi maaksi	Komissio	Neuvosto	100 artikla Kolmannen maan aiheuttamaa uhkaa koskeva komission todennus
Data-/tietovirrat komission ja jäsenvaltioiden välillä lieventävien toimenpiteiden yhteydessä poikkeuksellisissa olosuhteissa	103 artiklan 6 alakohta Lieventävät toimenpiteet tieto‑ ja viestintätekniikan toimitusketjuissa	Komissio	Jäsenvaltiot	Poikkeukselliset olosuhteet	Ei sovelleta
Data-/tietovirrat komission ja toimittajien sekä komission ja toimivaltaisten viranomaisten välillä toimittajien sijoittautumisen sekä omistajuuden ja määräysvallan arviointia koskevissa asioissa	104 artiklan 4, 5 ja 6 kohta Suuririskisten toimittajien yksilöinti	Toimittajat Komissio Toimivaltaiset viranomaiset	Toimivaltaiset viranomaiset Toimittajat Komissio	103 artiklan 1 kohdan mukaisesti annetut sekä 111 artiklan 1 kohdassa säädettyä kieltoa koskevat täytäntöönpanosäädökset	Ei sovelleta
Data-/tietovirrat komission ja jäsenvaltioiden välillä luotettavia tieto- ja viestintätekniikan toimitusketjuja koskevan turvallisuuskehyksen täytäntöönpanoon liittyvien valvontavaltuuksien osalta	112 artiklan 1 ja 4 kohta Toimivaltaiset viranomaiset 114 artikla Valvonta- ja täytäntöönpanotoimenpiteet	Jäsenvaltiot	Komissio	112 artiklan 1 ja 4 kohta Toimivaltaiset viranomaiset 114 artikla Valvonta- ja täytäntöönpanotoimenpiteet (komissio laatii yhteistyössä jäsenvaltioiden kanssa luettelon suuririskisiin toimittajiin sidoksissa olevista toimijoista)	Ei sovelleta
Data-/tietovirrat komission ja kolmansien osapuolten välillä vapautusten yhteydessä	105 artikla Vapautus toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaisen maan määräysvallassa	Kolmannet osapuolet (toimijat, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen maahan sijoittautuneiden toimijoiden määräysvallassa (100 artiklan mukaisesti) (vapautusta koskevan pyynnön lähettämisen yhteydessä) EU:n ulkopuolinen maa (päätöksen antamisen yhteydessä)	Komissio (vapautusta koskevan pyynnön vastaanottamisen yhteydessä) Kolmannet osapuolet (toimijat, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen maahan sijoittautuneiden toimijoiden määräysvallassa (100 artiklan mukaisesti) (komission päätöksen vastaanottamisen yhteydessä)	100 artiklan mukainen päätös kyberturvallisuushaasteita aiheuttavien kolmansien maiden määrittämisestä	Ei sovelleta
Data-/tietovirrat jäsenvaltioiden ja kolmansien osapuolten välillä sähköisissä viestintäverkoissa sovellettaviin kieltoihin liittyen	111 artikla Matkaviestinverkkoja, kiinteitä sähköisiä viestintäverkkoja ja satelliittipohjaisia sähköisiä viestintäverkkoja koskevat kiellot	Jäsenvaltiot (toimivaltaiset viranomaiset)	Kolmannet osapuolet (matkaviestin-, kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajat)	Tämän asetuksen nojalla nimetty toimivaltainen viranomainen ilmoittaa viipymättä asetuksen (EU) XX/XXXX [digiverkkosäädösehdotus] mukaisesti toimivaltaiselle viranomaiselle matkaviestinverkkojen sekä kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen tarjoajia koskevista toimenpiteistä	Ei sovelleta
Data-/tietovirrat komission ja jäsenvaltioiden välillä yhteistyö- ja tukipalveluverkoston puitteissa	113 artikla Komission yhteistyö- ja tukipalveluverkosto	Komissio Jäsenvaltiot (toimivaltaiset viranomaiset)	Komissio Jäsenvaltiot (toimivaltaiset viranomaiset)	Kolmannen maan nimeäminen kyberturvallisuushaasteita aiheuttavaksi maaksi
Data-/tietovirrat jäsenvaltioiden ja kolmansien osapuolten välillä valvonta- ja täytäntöönpanotoimenpiteisiin liittyen	114 artikla Valvonta- ja täytäntöönpanotoimenpiteet	Kolmannet osapuolet (direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitetut toimijoiden tyypit)	Jäsenvaltiot (toimivaltaiset viranomaiset)	Osastossa IV suunniteltujen toimenpiteiden täytäntöönpano
Data-/tietovirrat jäsenvaltioiden välillä keskinäistä avunantoa varten	116 artikla Keskinäinen avunanto	Jäsenvaltiot	Jäsenvaltiot	Kun direktiivin (EU) 2022/2555 liitteessä I tai II tarkoitettu toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa tai tarjoaa palveluja yhdessä tai useammassa jäsenvaltiossa ja sen keskeiset tieto- ja viestintätekniset hyödykkeet sijaitsevat yhdessä tai useammassa muussa jäsenvaltiossa, asianomaisten jäsenvaltioiden toimivaltaisten viranomaisten on tehtävä yhteistyötä ja avustettava toisiaan tarpeen mukaan	Ei sovelleta

4.3.Digitaaliset ratkaisut

Ylätason kuvaus digitaalisista ratkaisuista 

Kunkin digitaalisen ratkaisun osalta selvitys siitä, miten digitaalinen ratkaisu on sovellettavien digitaalipolitiikkojen ja -säädösten mukainen 

Digitaalinen ratkaisu	Viittaukset vaatimuksiin	Pääasialliset ratkaisulta odotettavat toiminnot	Vastaava taho	Miten saavutettavuus on huomioitu?	Miten uudelleenkäytettävyys on huomioitu?	Tekoälyteknologioiden käyttö (tarvittaessa)
ENISA huolehtii CSIRT-verkoston ja EU-CyCLONen sihteeristötehtävistä ja ottaa CSIRT-verkostossa ja EU-CyCLONessa käyttöön suojattuja viestintävälineitä, joita tarjoavat oikeushenkilöt, jotka eivät ole sijoittautuneet kolmansiin maihin tai kolmansien maiden tai niiden kansalaisten määräysvallassa.	10 artiklan 2, 3 ja 5 kohta	Ei julkista tietoa	ENISA	Ei julkista tietoa	Ei julkista tietoa	Ei julkista tietoa
Kehittää yhteistyössä EU-CyCLONen, CSIRT-verkoston, komission, Europolin ja CERT-EU:n sekä asiaankuuluvien unionin toimijoiden kanssa todennettujen, luotettavien kyberuhkien tiedustelutietojen tietovarastoja, joihin sisältyvät myös poikkeamien, taktiikoiden, tekniikoiden ja menettelyjen kehityssuuntaukset.	11 artiklan 1 kohdan a alakohta	Todennetut, luotettavat kyberuhkien tiedustelutiedot, joihin sisältyvät myös poikkeamien, taktiikoiden, tekniikoiden ja menettelyjen kehityssuuntaukset	ENISA EU-CyCLONe, CSIRT-verkosto, komissio, Europol ja CERT-EU sekä asiaankuuluvat unionin toimijat	Ei sovelleta	Ei sovelleta	Ei sovelleta
ENISA ylläpitää saatujen kokemusten arkistoa	14 artiklan 2 kohta	ENISA ylläpitää harjoituksista saatujen kokemusten arkistoa ja antaa jäsenvaltioille ja tarvittaessa unionin toimijoille suosituksia siitä, miten saadut kokemukset voidaan panna tehokkaasti ja vaikuttavasti täytäntöön.	ENISA	Ei sovelleta	Ei sovelleta	Ei sovelleta
ENISA luo, tarjoaa, käyttää, ylläpitää ja päivittää tarvittaessa unionin tason kyberturvallisuuteen liittyviä operatiivisia teknisiä välineitä, kuten alustoja, erityisesti asetuksen (EU) 2024/2847 16 artiklan 1 kohdan nojalla perustettua keskitettyä raportointialustaa [ja direktiivin (EU) 2022/2555 23 a artiklan nojalla perustettua keskitettyä asiointipistettä poikkeamista ilmoittamista varten], tai testausvälineitä, joilla tuetaan vaatimustenmukaisuuden arviointimenettelyjen täytäntöönpanoa asiaankuuluvan unionin lainsäädännön mukaisesti.	15 artikla	Keskitetty raportointialusta   Asetuksen (EU) 2024/2847 16 artiklan 1 kohta   [keskitetty asiointipiste   Direktiivin (EU) 2022/2555 23 a artikla]	ENISA	Ei sovelleta	Ei sovelleta	Ei sovelleta
Ylläpitää direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustettua Euroopan haavoittuvuustietokantaa ja tarjoaa haavoittuvuuksien hallintapalveluja	16 artiklan 2 kohta	Direktiivin (EU) 2022/2555 12 artiklan 2 kohta   Ylläpitää tietokantaa ja tarjoaa haavoittuvuuksien hallintapalveluja	ENISA	Ei sovelleta	Ei sovelleta	Ei sovelleta
ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan yleisölle tietoa	19–23 artikla	Ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan yleisölle tietoa eurooppalaisista kyberturvallisuustaitoja koskevasta kehyksestä, mukaan lukien itse kehys ja sen päivittämisen aikataulu; yksilöllisiä kyberturvallisuustaitoja koskevista eurooppalaisista todistusjärjestelmistä, niiden edistymisestä ja niiden kehittämisen aikatauluista; kunkin yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän yhteydessä perittävistä maksuista; yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten ohjeellisista kustannuksista; valtuutettujen todistuksen tarjoajien luettelosta.	ENISA	Ei sovelleta	Ei sovelleta	Ei sovelleta
Komissio ylläpitää ja päivittää säännöllisesti erityistä julkista verkkosivustoa	72 artikla	Seuraavat tiedot: a)    kehittämistä varten pyydetyt eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät; b)    tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen tai unionin lainsäädännön turvallisuusvaatimusten yhdenmukaistamista koskevat strategiset painopisteet, mukaan lukien mahdolliset osa-alueet, joita varten saatetaan pyytää eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.	Euroopan komissio	Suuntaviivojen noudattaminen	Suuntaviivojen noudattaminen	Ei sovelleta
ENISA ylläpitää erityistä sertifikaatteja koskevaa verkkosivustoa	79 artikla	Annetaan tietoa a) eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä; b) kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpitoon liittyvistä maksuista; c) asiaankuuluvista ENISAn teknisistä eritelmistä; d) eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, mukaan lukien tiedot sellaisista todistuksista ja vakuutuksista, jotka eivät ole enää voimassa tai jotka on keskeytetty, peruutettu tai joiden voimassaolo on päättynyt; e) asianmukaisista täydentävistä kyberturvallisuustiedoista, jotka tarjotaan 84 artiklan 2 kohdan mukaisesti; f)89 artiklan 7 kohdan mukaisista vertaisarviointien yhteenvedoista; g)teknisistä eritelmistä, joihin viitataan eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä 74 artiklan 10 kohdan mukaisesti.	ENISA	Suuntaviivojen noudattaminen	Suuntaviivojen noudattaminen	Ei sovelleta
Rekisteri (vapautukset toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen maahan sijoittautuneiden toimijoiden määräysvallassa)	107 artikla Rekisteri	Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä 105 artiklan 4 kohdassa tarkoitetuista päätöksistä. Rekisterissä ilmoitetaan niiden toimijoiden nimet, joita päätökset ovat koskeneet. Komissio päivittää sitä säännöllisesti.	Komissio	”Komissio ylläpitää julkisesti saatavilla olevaa rekisteriä”	Ei sovelleta	Ei sovelleta
Foorumi (komission ja toimivaltaisten viranomaisten väliseen yhteistyöhön ja tietojenvaihtoon)	113 artikla	Komissio perustaa jäsenvaltioiden toimivaltaisten viranomaisten ja komission välisen yhteistyöverkoston, joka toimii yhteistyö‑ ja tietojenvaihtofoorumina. Komissio antaa verkostolle hallinnollista tukea.	Komissio	Ei julkinen, vain toimivaltaisille viranomaisille	Ei sovelleta	Ei sovelleta
ENISA perustaa keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden rekisterin ja ylläpitää sitä	Direktiivin 1 artiklan 11 kohta	Keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden rekisteri	ENISA	Ei sovelleta	Keskitetyiltä yhteyspisteiltä saatujen tietojen perusteella 2 kohdan mukaisesti. (NIS 2 -direktiivin 27 artikla)	Ei sovelleta

Digitaaliset ratkaisut, jotka sisältyvät edelliseen taulukkoon 

Digitaalinen ja/tai alakohtainen politiikka (tarvittaessa)	Selvitys vastaavuudesta
Tekoälysäädös	Ei sovelleta
EU:n kyberturvallisuuskehys	Ei sovelleta
eIDAS	Ei sovelleta
Yhteinen digitaalinen palveluväylä ja IMI	Ei sovelleta
Muut	Ei sovelleta

Ylätason kuvaus digitaalisista julkisista palveluista, joihin vaatimukset vaikuttavat

Digitaalinen julkinen palvelu tai digitaalisten julkisten palvelujen luokka	Kuvaus	Viittaukset vaatimuksiin	Yhteentoimiva Eurooppa -ratkaisut (EI SOVELLETA)	Muut yhteentoimivuusratkaisut
ENISA toimii verkostojen sihteeristönä ja ottaa käyttöön suojattuja viestintävälineitä	ENISA huolehtii CSIRT-verkoston sihteeristötehtävistä direktiivin (EU) 2022/2555 15 artiklan 2 kohdan mukaisesti. ENISA huolehtii EU-CyCLONen sihteeristötehtävistä direktiivin (EU) 2022/2555 16 artiklan 2 kohdan mukaisesti [sekä direktiivin (EU) 2022/2555 23 a artiklan nojalla perustetusta keskitetystä asiointipisteestä poikkeamista ilmoittamista varten] ja tarjoaa testausvälineitä vaatimustenmukaisuuden arviointimenettelyjen täytäntöönpanon tukemiseksi asiaankuuluvan unionin lainsäädännön mukaisesti. ENISA ottaa CSIRT-verkostossa ja EU-CyCLONessa käyttöön turvallisia viestintävälineitä, joita tarjoavat oikeushenkilöt, jotka eivät ole sijoittautuneet kolmansiin maihin eivätkä ole kolmansien maiden tai niiden kansalaisten määräysvallassa.	11 artikla	//	Ei sovelleta
Ennakkovaroitukset	Ennakkovaroitusten antaminen	11 artikla 12 artikla
Antaa tiettyyn mahdolliseen tai käynnissä olevaan poikkeamaan tai kyberuhkaan liittyvää tukea	Yhden tai useamman jäsenvaltion pyynnöstä antaa neuvoja ja arvioita tiettyyn mahdolliseen tai käynnissä olevaan poikkeamaan tai kyberuhkaan liittyen, muun muassa tarjoamalla asiantuntemusta ja helpottamalla tällaisten poikkeamien teknistä käsittelyä sekä tukemalla asiaankuuluvien tietojen ja teknisten ratkaisujen vapaaehtoista jakamista jäsenvaltioiden välillä.	10 artikla
Tukee laajamittaisten kyberturvallisuuspoikkeamien ja kriisien koordinoitua hallintaa operatiivisella tasolla	Osallistuu laajamittaisten kyberturvallisuuspoikkeamien ja kriisien koordinoidun hallinnan tukemiseen operatiivisella tasolla erityisesti avustamalla EU-CyCLONea poliittiselle tasolle toimitettavien raporttien valmistelussa sekä helpottamalla oikea-aikaista tietojen jakamista CSIRT-verkoston ja EU-CyCLONen välillä.	10 artikla
Todennettujen, luotettavien kyberuhkien tiedustelutietojen tietovarastot	Kehittää yhteistyössä EU-CyCLONen, CSIRT-verkoston, komission, Europolin ja CERT-EU:n sekä asiaankuuluvien unionin toimijoiden kanssa todennettujen, luotettavien kyberuhkien tiedustelutietojen tietovarastoja, joihin sisältyvät myös poikkeamien, taktiikoiden, tekniikoiden ja menettelyjen kehityssuuntaukset.	11 artikla
Saatujen kokemusten arkisto	ENISA ylläpitää kyseisistä harjoituksista saatujen kokemusten arkistoa ja antaa jäsenvaltioille ja tarvittaessa unionin toimijoille suosituksia siitä, miten saadut kokemukset voidaan panna tehokkaasti ja vaikuttavasti täytäntöön.	14 artikla
ENISA luo, tarjoaa, käyttää, ylläpitää ja päivittää tarvittaessa operatiivisia teknisiä välineitä, kuten alustoja	ENISA luo, tarjoaa, käyttää, ylläpitää ja päivittää tarpeen mukaan unionin tason kyberturvallisuuteen liittyviä operatiivisia teknisiä välineitä, kuten alustoja, erityisesti asetuksen (EU) 2024/2847 16 artiklan 1 kohdan nojalla perustettua keskitettyä raportointialustaa [sekä direktiivin (EU) 2022/2555 23 a artiklan nojalla perustettua keskitettyä asiointipistettä poikkeamista ilmoittamista varten], ja testausvälineitä, joilla tuetaan vaatimustenmukaisuuden arviointimenettelyjen täytäntöönpanoa asiaankuuluvan unionin lainsäädännön mukaisesti.	15 artikla
Ylläpitää direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustettua Euroopan haavoittuvuustietokantaa	Ylläpitää direktiivin (EU) 2022/2555 12 artiklan 2 kohdan nojalla perustettua Euroopan haavoittuvuustietokantaa. Tarjoaa sidosryhmille haavoittuvuuksien hallintapalveluja eurooppalaisen haavoittuvuustietokannan pohjalta ja ENISAn saatavilla olevia asiaankuuluvia tietoja hyödyntäen. Tekee yhteistyötä jäsennellysti sellaisten organisaatioiden kanssa, jotka tarjoavat eurooppalaista haavoittuvuustietokantaa vastaavia ohjelmia, rekistereitä tai tietokantoja. Tukee aktiivisesti direktiivin (EU) 2022/2555 12 artiklan 1 kohdan mukaisesti koordinaattoreiksi nimettyjä CSIRT-yksiköitä sellaisten haavoittuvuuksien koordinoidun julkistamisen hallinnoinnissa, joilla voi olla merkittävä vaikutus useamman kuin yhden jäsenvaltion toimijoihin. Kehittää ja ylläpitää haavoittuvuuksien tunnistamista ja koordinoitua julkistamista koskevia menetelmiä ja hallintomekanismeja yhteistyössä kansallisten toimivaltaisten viranomaisten, CSIRT-yksiköiden, toimialan ja tutkimusyhteisön kanssa.	16 artikla
Ehdolla olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, (’ehdokasjärjestelmien’), valmistelu	Tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon sovellettavien ehdolla olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, jäljempänä ’ehdokasjärjestelmät’, valmistelu ja teknisten eritelmien laatiminen 74 artiklan mukaisesti. Hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitäminen 75 artiklan mukaisesti, mukaan lukien mahdollinen hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien uudelleentarkastelu 76 artiklan mukaisesti.	17 artikla
ENISA kehittää ja ylläpitää yksilöllisten kyberturvallisuustaitojen eurooppalaisia todistusjärjestelmiä	ENISA kehittää ja ylläpitää yksilöllisiä kyberturvallisuustaitoja koskevia eurooppalaisia todistusjärjestelmiä. ENISA antaa perustellun päätöksen, jossa joko myönnetään hakijalle valtuutus myöntää eurooppalaisia yksilöllisiä todistuksia järjestelmien toteuttamista ja ylläpitoa sekä valtuutuksen ylläpitoa varten, evätään valtuutus tai päätetään hakemuksen käsittely hakijan toimittamien riittämättömien tietojen vuoksi tai koska hakija ei ole toimittanut pyydettyjä lisätietoja.	20–22 artikla
ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa	ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla annetaan yleisölle tietoa a)    eurooppalaisista kyberturvallisuustaitoja koskevasta kehyksestä, mukaan lukien itse kehys ja sen päivittämisen aikataulu; b)    yksilöllisiä kyberturvallisuustaitoja koskevista eurooppalaisista todistusjärjestelmistä, niiden edistymisestä ja niiden kehittämisen aikatauluista; c)    kuhunkin tämän asetuksen 47 artiklan mukaisesti hyväksyttyyn yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään liittyvistä maksuista; d)    20 artiklan 4 kohdan mukaisten yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusten ohjeellisista kustannuksista; e)    valtuutettujen todistuksen tarjoajien luettelosta.	23 artikla
Komissio ylläpitää ja päivittää säännöllisesti erityistä julkista verkkosivustoa	Komissio ylläpitää ja päivittää säännöllisesti erityistä julkista verkkosivustoa, jolla annetaan tietoa a) eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä, jotka ENISAa on pyydetty kehittämään; b) tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien, tietoturvapalvelujen tai unionin lainsäädännön turvallisuusvaatimusten yhdenmukaistamisen strategisista painopisteistä, mukaan lukien mahdolliset osa-alueet, joita varten saatetaan pyytää eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.	72 artikla
ENISA ylläpitää erityistä sertifikaatteja koskevaa verkkosivustoa	ENISA ylläpitää ja päivittää säännöllisesti erityistä verkkosivustoa, jolla asetetaan julkisesti saataville a) tiedot eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä; b) tiedot kunkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän ylläpitoon liittyvistä maksuista; c) tiedot asiaankuuluvista ENISAn teknisistä eritelmistä; d) tiedot eurooppalaisista kyberturvallisuussertifikaateista ja EU-vaatimustenmukaisuusilmoituksista, mukaan lukien tiedot sellaisista todistuksista ja vakuutuksista, jotka eivät ole enää voimassa tai jotka on keskeytetty, peruutettu tai joiden voimassaolo on päättynyt; e) 84 artiklan mukaisesti annetut asiaankuuluvat täydentävät kyberturvallisuustiedot; f)    89 artiklan 7 kohdan mukaiset vertaisarviointien yhteenvedot; g)    tekniset eritelmät, joihin viitataan eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä 74 artiklan 10 kohdan mukaisesti.	79 artikla
Tutkimukset	Komissio tutkii kaikki tapaukset, joissa sillä on tai sen tietoon saatetaan epäilys vaatimustenmukaisuuden arviointilaitoksen pätevyydestä täyttää sille asetetut vaatimukset ja velvollisuudet tai siitä, täyttääkö vaatimustenmukaisuuden arviointilaitos edelleen nämä vaatimukset ja velvollisuudet. Komissio varmistaa, että kaikkia sen tutkimusten yhteydessä saatuja arkaluontoisia tietoja käsitellään luottamuksellisesti.	94 artikla
ENISA perustaa keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden rekisterin ja ylläpitää sitä	Keskeisten ja tärkeiden toimijoiden sekä verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden rekisteri. Pyynnöstä ENISA antaa toimivaltaisille viranomaisille pääsyn rekisteriin tallennettuihin tietoihin, jotka koskevat DNS-palveluntarjoajia, aluetunnusrekistereitä, verkkotunnusten rekisteröintipalveluja tarjoavia toimijoita, pilvipalvelujen tarjoajia, datakeskuspalvelujen tarjoajia, sisällönjakeluverkkojen tarjoajia, hallintapalvelujen tarjoajia, tietoturvapalveluntarjoajia sekä verkkomarkkinapaikkojen, verkkohakukoneiden ja verkkoyhteisöalustojen tarjoajia, varmistaen samalla soveltuvin osin tietojen luottamuksellisuuden suojan.	Direktiivin 1 artiklan 11 kohta

4.4.Yhteentoimivuusarviointi

Digitaalisen julkisen palvelun vaatimusten vaikutus rajat ylittävään yhteentoimivuuteen 

Arkistot / alustat / ennakkovaroitukset / sihteeristö / operatiivinen yhteistyö / koordinoitu haavoittuvuuksien julkistamisen tietokanta

Arviointi	Toimenpiteet	Mahdolliset jäljellä olevat esteet
Arvioikaa yhdenmukaisuutta nykyisten digitaali- ja alakohtaisten politiikkojen kanssa Luetelkaa yksilöidyt sovellettavat digitaali- ja alakohtaiset politiikat	Kyberturvallisuus	Ei tunnettuja esteitä
Arvioikaa organisatorisia toimenpiteitä, joilla edistetään digitaalisten julkisten palvelujen sujuvaa tarjoamista rajojen yli  Luetelkaa suunnitellut hallinnolliset toimenpiteet	ENISAn johtokunta CSIRT-verkosto  EU-CyCLONe  verkko- ja tietoturva-alan yhteistyöryhmä    Kaikki nämä ovat foorumeita, joissa kysymyksiä voidaan ottaa esille.	Ei sovelleta
Arvioikaa toimenpiteitä, jotka on toteutettu sen varmistamiseksi, että datasta/tiedosta on yhteinen käsitys  Luetelkaa tällaiset toimenpiteet	Ei sovelleta	Ei sovelleta
Arvioikaa yhteisesti sovittujen avointen teknisten eritelmien ja standardien käyttöä  Luetelkaa tällaiset toimenpiteet	Ei sovelleta	Ei sovelleta

Yksilöllisten kyberturvallisuustaitojen eurooppalaiset todistusjärjestelmät

Arviointi	Toimenpiteet	Mahdolliset jäljellä olevat esteet
Arvioikaa yhdenmukaisuutta nykyisten digitaali- ja alakohtaisten politiikkojen kanssa Luetelkaa yksilöidyt sovellettavat digitaali- ja alakohtaiset politiikat	Ehdotus perustuu asiakirjaan COM(2023) 207 final (Kyberturvallisuusakatemia), jonka mukaan ”ENISA kehittää pilottihankkeen, jossa selvitetään kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän perustamista”  Siinä hyödynnetään asetusta (EU) 2024/1183 (digitaalinen lompakko) vahvistamalla, että ”ENISAn ja valtuutettujen todistusten tarjoajien on varmistettava, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset myönnetään eurooppalaisiin digitaalisen identiteetin lompakoihin”  Kyberturvallisuus  Yleinen tietosuoja-asetus (tietojen säilyttäminen tarjoajien toimesta)	Ei tunnettuja esteitä
Arvioikaa organisatorisia toimenpiteitä, joilla edistetään digitaalisten julkisten palvelujen sujuvaa tarjoamista rajojen yli  Luetelkaa suunnitellut hallinnolliset toimenpiteet	Sidosryhmien kuuleminen yksilöllisiä kyberturvallisuustaitoja koskevan eurooppalaisen todistusjärjestelmän valmistelun yhteydessä  ENISAn toimintojen eriyttäminen niiden riippumattoman suorittamisen varmistamiseksi Valituslautakunta	Yksilöllisiä kyberturvallisuustaitoja koskevien eurooppalaisten todistusjärjestelmien käyttö ja määrittäminen säilyvät vapaaehtoisina julkisten ja yksityisten toimijoiden osalta.
Arvioikaa toimenpiteitä, jotka on toteutettu sen varmistamiseksi, että datasta/tiedosta on yhteinen käsitys  Luetelkaa tällaiset toimenpiteet	Kehitetään järjestelmiä, joissa säädetään muun muassa todistusten sisällöstä ja muodosta.  Valtuutettujen tarjoajien on varmistettava, että sähköiset yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset annetaan henkilön pyynnöstä sähköisinä attribuuttitodistuksina sellaisessa muodossa, että ne voidaan tallentaa eurooppalaisiin digitaalisen identiteetin lompakoihin. ENISAn tehtävänä on antaa ohjeita arvioijille ja järjestää heille pakollista koulutusta yksilöllisiä kyberturvallisuustaitoja koskevaan eurooppalaiseen todistusjärjestelmään sisältyvistä vaatimuksista ja arviointimenetelmistä.  Tarjotaan julkista tietoa verkkosivustolla  Maksuja koskevat täytäntöönpanosäädökset	Vaikka järjestelmien olisi oltava riittävän yksityiskohtaisia yhteisen ymmärryksen ja sujuvan täytäntöönpanon varmistamiseksi ja vaikka ENISA antaa ohjeita arvioijille ja järjestää heille pakollista koulutusta järjestelmien johdonmukaisen täytäntöönpanon varmistamiseksi, ennakoimattomia ulottuvuuksia voi ilmetä, jolloin valtuutettujen todistusten tarjoajien on oltava vuorovaikutuksessa ENISAn, muiden tarjoajien tai arvioijien kanssa.
Arvioikaa yhteisesti sovittujen avointen teknisten eritelmien ja standardien käyttöä  Luetelkaa tällaiset toimenpiteet	Yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistusjärjestelmät kehitetään asiaankuuluvien sidosryhmien tuella	Ei sovelleta

Ehdolla olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien, (’ehdokasjärjestelmät’), valmistelu / tunnistenumeroiden antaminen vaatimustenmukaisuuden arviointilaitoksille 

Arviointi	Toimenpiteet	Mahdolliset jäljellä olevat esteet
Arvioikaa yhdenmukaisuutta nykyisten digitaali- ja alakohtaisten politiikkojen kanssa Luetelkaa yksilöidyt sovellettavat digitaali- ja alakohtaiset politiikat	Ehdotuksella pyritään hallinnon yhdenmukaistamiseen uuden lainsäädäntökehyksen kanssa, erityisesti asetuksen (EY) N:o 765/200826 osalta. Ehdotuksella pyritään helpottamaan asiaankuuluvan kyberturvallisuutta koskevan alakohtaisen lainsäädännön noudattamista kehittämällä erityisiä eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä.	Ei tunnettuja esteitä
Arvioikaa organisatorisia toimenpiteitä, joilla edistetään digitaalisten julkisten palvelujen sujuvaa tarjoamista rajojen yli  Luetelkaa suunnitellut hallinnolliset toimenpiteet	Euroopan kyberturvallisuuden sertifiointiryhmä; ENISA;  tilapäiset työryhmät;  European Cybersecurity Certification Assembly;  sidosryhmien kuuleminen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien pyytämisen, kehittämisen ja hyväksymisen yhteydessä;  komiteamenettelyt suunniteltuja eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevia täytäntöönpanosäädöksiä varten.	Eurooppalaisen kyberturvallisuussertifioinnin käyttö on vapaaehtoista, jollei Euroopan unionin lainsäädännössä toisin säädetä.
Arvioikaa toimenpiteitä, jotka on toteutettu sen varmistamiseksi, että datasta/tiedosta on yhteinen käsitys  Luetelkaa tällaiset toimenpiteet	4.5 jaksossa luetellut täytäntöönpanosäädökset	Eurooppalaisen kyberturvallisuussertifioinnin käyttö on vapaaehtoista, jollei Euroopan unionin lainsäädännössä toisin säädetä.
Arvioikaa yhteisesti sovittujen avointen teknisten eritelmien ja standardien käyttöä  Luetelkaa tällaiset toimenpiteet	4.5 jaksossa luetellut täytäntöönpanosäädökset.  Eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän määriteltyjen vaatimusten on oltava yhdenmukaisia unionin lainsäädännön vaatimusten kanssa.  Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä on käytettävä arvioinnissa sovellettavia kansainvälisiä, eurooppalaisia tai kansallisia standardeja ja viitattava niihin taikka, jos tällaisia standardeja ei ole saatavilla tai ne eivät ole asianmukaisia, ENISAn laatimia teknisiä eritelmiä.	Ei sovelleta

Julkisesti saatavilla olevat verkkosivustot 

Arviointi	Toimenpiteet	Mahdolliset jäljellä olevat esteet
Arvioikaa yhdenmukaisuutta nykyisten digitaali- ja alakohtaisten politiikkojen kanssa Luetelkaa yksilöidyt sovellettavat digitaali- ja alakohtaiset politiikat	EU:n esteettömyyssäädös ja verkkopalvelujen saavutettavuusdirektiivi  Kyberturvallisuus	Ei tunnettuja esteitä
Arvioikaa organisatorisia toimenpiteitä, joilla edistetään digitaalisten julkisten palvelujen sujuvaa tarjoamista rajojen yli  Luetelkaa suunnitellut hallinnolliset toimenpiteet	Ei sovelleta	Ei sovelleta
Arvioikaa toimenpiteitä, jotka on toteutettu sen varmistamiseksi, että datasta/tiedosta on yhteinen käsitys  Luetelkaa tällaiset toimenpiteet		Ei sovelleta
Arvioikaa yhteisesti sovittujen avointen teknisten eritelmien ja standardien käyttöä  Luetelkaa tällaiset toimenpiteet		Ei sovelleta

4.5.Toimenpiteet digitaalisen täytäntöönpanon tukemiseksi

Ylätason kuvaus digitaalista täytäntöönpanoa tukevista toimenpiteistä 

Toimenpiteen kuvaus	Viittaukset vaatimuksiin	Komission tehtävä (tarvittaessa)	Mukana olevat toimijat  (tarvittaessa)	Suunniteltu aikataulu  (tarvittaessa)
Komissiolle siirretään ENISAn valmisteleman ja hyväksytyn ehdokasjärjestelmän pohjalta valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon sovellettava eurooppalainen kyberturvallisuuden sertifiointijärjestelmä, joka täyttää 80 ja 81 artiklassa säädetyt vaatimukset. Kyseinen täytäntöönpanosäädös hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	75 artiklan 9 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä		Ei sovelleta
Komissiolle siirretään 119 artiklan mukaisesti valta antaa delegoituja säädöksiä tämän artiklan 1 kohdan muuttamiseksi lisäämällä tai muuttamalla turvallisuustavoitteita sen varmistamiseksi, että ne vastaavat uusinta teknologista kehitystä ja uusia asiaan liittyviä uhkia, sekä ottaa huomioon uuden unionin lainsäädännön hyväksymisen silloin, kun siinä säädetään eurooppalaisen kyberturvallisuussertifioinnin kautta syntyvästä vaatimustenmukaisuusolettamasta kyseisen lainsäädännön asiaankuuluvien kyberturvallisuusvaatimusten osalta.	80 artiklan 2 kohta	Komissiolla siirretään valta antaa delegoituja säädöksiä		Ei sovelleta
Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joissa vahvistetaan yhteiset periaatteet ja mallimuotoilut 1, 2 ja 3 kohdassa vahvistettuja osatekijöitä varten kaikkien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osalta. Eurooppalainen kyberturvallisuuden sertifiointijärjestelmä voi tarvittaessa sisältää viittauksia näihin periaatteisiin ja mallimuotoiluihin, jos sellaisia on saatavilla. Ensimmäisessä alakohdassa tarkoitetut täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. Kehittäessään tai tarkistaessaan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien osatekijöitä koskevia yhteisiä periaatteita ja mallimuotoiluja komissio kuulee ENISAa ja ottaa tarvittaessa huomioon Euroopan kyberturvallisuuden sertifiointiryhmän, asiaankuuluvien sidosryhmien ja muiden asiaankuuluvien elinten esittämät näkemykset.	81 artiklan 5 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä	ENISA Euroopan kyberturvallisuuden sertifiointiryhmä	Ei sovelleta
Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä, joissa täsmennetään tämän artiklan 4 kohdassa tarkoitettuja ennakkohyväksyntää tai yleisiä delegointimalleja koskevia menettelyjä. Näiden täytäntöönpanosäädösten valmisteluprosessissa komissio kuulee Euroopan kyberturvallisuuden sertifiointiryhmää. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	85 artiklan 5 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä	Euroopan kyberturvallisuuden sertifiointiryhmä	Ei sovelleta
Kolmansien maiden tieto- ja viestintäteknisiin tuotteisiin, palveluihin ja prosesseihin, tietoturvapalveluihin sekä toimijoiden kyberturvatasoon liittyvät sertifikaatit voidaan määrittää eurooppalaisia kyberturvallisuussertifikaatteja vastaaviksi joko täytäntöönpanosäädöksellä tai unionin ja kyseisen kolmannen maan tai kansainvälisen järjestön välisellä sopimuksella, jos kyseisen kolmannen maan järjestelmän tai kansainvälisen järjestön järjestelmän vaatimusten katsotaan vastaavan eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia. Komissiolle siirretään valta antaa tällaisia täytäntöönpanosäädöksiä. Täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	87 artiklan 1 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä		Ei sovelleta
Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan vertaisarviointia koskeva suunnitelma vähintään viiden vuoden ajaksi sekä määritellään vertaisarviointiryhmän kokoonpanoa koskevat perusteet, vertaisarvioinnissa käytettävä menetelmä sekä vertaisarviointiin liittyvä aikataulu, tiheys ja muut tehtävät. Näiden täytäntöönpanosäädösten valmistelussa komissio kuulee Euroopan kyberturvallisuuden sertifiointiryhmää sekä ENISAa. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	89 artiklan 6 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä		Ei sovelleta
Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan vaatimustenmukaisuuden arviointilaitosten valtuuttamista koskevat menettelyt, mukaan lukien rajat ylittävää yhteistyötä koskevat menettelyt. Täytäntöönpanosäädösten valmisteluprosessissa komissio kuulee ENISAa sekä Euroopan kyberturvallisuuden sertifiointiryhmää. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	92 artiklan 8 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä	ENISA Euroopan kyberturvallisuuden sertifiointiryhmä	Ei sovelleta
Siirretään komissiolle valta antaa täytäntöönpanosäädöksiä, joilla vahvistetaan olosuhteet, muotoseikat ja menettelyt tämän artiklan 1 kohdassa tarkoitetuille ilmoituksille, mukaan lukien muiden jäsenvaltioiden ilmoitusmenettelyn aikana suorittama vastaväitemenettely, vaatimustenmukaisuuden arviointilaitosten yksilöllinen tunnistaminen sekä olosuhteet ilmoituksen rajoittamiselle ja peruuttamiselle toistaiseksi tai kokonaan. Nämä täytäntöönpanosäädökset hyväksytään 118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.	93 artiklan 3 kohta	Komissiolle siirretään valta antaa täytäntöönpanosäädöksiä		Ei sovelleta
Komissio voi 100 artiklan mukaisesti antaa täytäntöönpanosäädöksiä nimetäkseen kolmannen maan kyberturvallisuushaasteita tieto- ja viestintätekniikan toimitusketjuissa aiheuttavaksi maaksi.	100 artiklan 2 alakohta Kolmannen maan nimeäminen kyberturvallisuushaasteita aiheuttavaksi maaksi	Täytäntöönpanosäädösten antaminen		Ei sovelleta Ei aikataulua, mutta täytäntöönpanosäädökset olisi tarkistettava säännöllisesti
Komissio voi antaa täytäntöönpanosäädöksiä, joilla säädetään 103 artiklan 2 kohdassa tarkoitetuista yhdestä tai useammasta lieventävästä toimenpiteestä.	103 artiklan 2 alakohta Lieventävät toimenpiteet tieto‑ ja viestintätekniikan toimitusketjussa	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta Ei aikataulua, mutta tarkistus tulisi tehdä 36 kuukauden välein (118 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen)
Komissio voi 102 artiklan mukaisesti antaa täytäntöönpanosäädöksiä määrittääkseen keskeiset tieto- ja viestintätekniset hyödykkeet, joita direktiivin (EU) 2022/2555 liitteessä I ja liitteessä II tarkoitetut toimijatyypit käyttävät tuotteiden valmistuksessa tai palvelujen tuottamisessa.	102 artiklan 1 alakohta Keskeisten tieto‑ ja viestintäteknisten hyödykkeiden määrittäminen	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio voi antaa täytäntöönpanosäädöksiä, joilla kielletään 100 artiklan 2 kohdan mukaisesti suuririskisiksi toimittajiksi nimettyjen toimittajien tieto- ja viestintäteknisten komponenttien tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien käyttö, asentaminen tai integrointi missään muodossa 102 artiklan mukaisesti määritettyihin keskeisiin tieto- ja viestintäteknisiin hyödykkeisiin.	103 artiklan 1 alakohta Lieventävät toimenpiteet tieto‑ ja viestintätekniikan toimitusketjussa	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio voi antaa täytäntöönpanosäädöksiä, joilla säädetään, että direktiivin (EU) 2022/2555 liitteissä I ja II tarkoitettujen toimijatyyppien on kiellettyä käyttää, asentaa tai integroida tietyn toimijan tieto- ja viestintäteknisiä komponentteja tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältäviä komponentteja.	103 artiklan 7 alakohta	Täytäntöönpanosäädösten antaminen	Jäsenvaltioiden ja asianmukaisten toimijoiden kuuleminen	Ei sovelleta
Komissio vahvistaa täytäntöönpanosäädöksillä luettelot suuririskisistä toimittajista, jotka ovat merkityksellisiä 103 artiklan 1 kohdan mukaisesti annetuissa täytäntöönpanosäädöksissä säädettyjen kieltojen tai 111 artiklan 1 kohdassa tarkoitetun kiellon kannalta.	104 artiklan 1 kohta	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio voi antaa täytäntöönpanosäädöksiä, joilla täsmennetään 105 artiklan 2 kohdan b alakohdassa tarkoitettuja edellytyksiä ja vahvistetaan 105 artiklassa tarkoitettuja menettelyjä koskevat yksityiskohtaiset säännöt.	105 artikla Vapautus toimijoille, jotka ovat sijoittautuneet kyberturvallisuushaasteita aiheuttavaan kolmanteen maahan tai jotka ovat tällaiseen maahan sijoittautuneiden toimijoiden määräysvallassa	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio voi antaa täytäntöönpanosäädöksiä, joissa vahvistetaan maksuja koskevat yksityiskohtaiset säännöt, joissa täsmennetään maksujen määrä ja maksutapa.	109 artikla Maksut	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio antaa täytäntöönpanosäädöksiä, joissa määritellään määräajat suuririskisten toimittajien tieto- ja viestintäteknisten komponenttien tai tällaisia tieto- ja viestintäteknisiä komponentteja sisältävien komponenttien asteittaiselle käytöstä poistamiselle kiinteiden ja satelliittipohjaisten sähköisten viestintäverkkojen osalta.	110 artiklan 4 alakohta Matkaviestinverkkojen, kiinteiden sähköisten viestintäverkkojen ja satelliittipohjaisten sähköisten viestintäverkkojen keskeiset tieto‑ ja viestintätekniset hyödykkeet	Täytäntöönpanosäädösten antaminen	Ei sovelleta	Ei sovelleta
Komissio voi hyväksyä 119 artiklan mukaisesti delegoituja säädöksiä liitteen II muuttamiseksi sen mukauttamiseksi tekniikan kehitykseen ottamalla huomioon 103 artiklan 3 kohdassa tarkoitetut seikat.	110 artiklan 5 alakohta	Hyväksytään delegoituja säädöksiä	Ei sovelleta	Ei sovelleta
7.    Muutetaan 21 artiklan 5 kohta seuraavasti: a)    korvataan toinen alakohta seuraavasti: ”Komissio voi hyväksyä täytäntöönpanosäädöksiä, joilla vahvistetaan 2 kohdassa tarkoitettujen toimenpiteiden tekniset ja menetelmiin liittyvät vaatimukset sekä tarvittaessa alakohtaiset vaatimukset, jotka koskevat muita keskeisiä ja tärkeitä toimijoita kuin tämän kohdan ensimmäisessä alakohdassa tarkoitettuja toimijoita. Komissio arvioi säännöllisesti, onko sisämarkkinoiden toiminnan parantamiseksi tarpeen hyväksyä tässä alakohdassa tarkoitettuja täytäntöönpanosäädöksiä tiettyjä toimialoja tai toimijatyyppejä varten. Arviointien tulosten perusteella komissio voi ehdottaa tällaisia täytäntöönpanosäädöksiä määritellyille toimialoille tai toimijatyypeille. Tällaisia arviointeja valmistellessaan komissio keskittyy erityisesti toimialojen tai toimijatyyp­pien rajatylittävään luonteeseen ja toteuttaa avoimen, läpinäkyvän ja osallistavan kuulemisprosessin asiaankuuluvien sidosryhmien ja jäsenvaltioiden kanssa”; b)    lisätään neljännen alakohdan jälkeen alakohta seuraavasti: ”Jos komissio hyväksyy tämän kohdan ensimmäisessä ja toisessa alakohdassa tarkoitettuja täytäntöönpanosäädöksiä, jäsenvaltiot eivät saa asettaa kyseisten täytäntöönpanosäädösten soveltamisalaan kuuluville toimijoille muita teknisiä, menetelmiin liittyviä tai alakohtaisia vaatimuksia direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa tarkoitettujen toimenpiteiden osalta.”	Direktiivin 1 artiklan 7 kohta  Suurin mahdollinen yhdenmukaistaminen	Komissio voi hyväksyä täytäntöönpanosäädöksiä		Ei sovelleta

(1)    ENISA, ENISA Threat Landscape 2024: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025.

(3)    Euroopan komissio, The future of European Competitiveness, https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN/2025/130 final.

(5)    COM/2025/148 final.

(6)    JOIN(2025) 977 final.

(7)    COM/2025/66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Komission täytäntöönpanoasetus (EU) 2023/203 ja komission delegoitu asetus (EU) 2022/1645.

(11)    Euroopan parlamentin ja neuvoston asetus (EU) 2023/1781, annettu 13 päivänä syyskuuta 2023, Euroopan puolijohde-ekosysteemiä vahvistavasta toimenpidekehyksestä ja asetuksen (EU) 2021/694 muuttamisesta (sirusäädös), EUVL L 229, 18.9.2023, s. 1–53.

(12)    Euroopan komissio käynnistää kannanottopyynnön ja julkisen kuulemisen julkisia hankintoja koskevien direktiivien arvioinnista, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en .

(13)    Erityisesti direktiivit 2014/23/EU, 2014/24/EU ja 2014/25/EU.

(14)    COM(2025) 837 final

(15)    JOIN/2023/20 final.

(16)    JOIN/2025/120 final.

(17)    JOIN/2025/977 final.

(18)     Asetus – 2019/881 – FI – EUR-Lex .

(19)    Kyberkysymysten horisontaalinen työryhmä.

(20)    Asetus (EU) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    EUVL C , , s. .

(25)    EUVL C , , s. .

(26)    Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, annettu 17 päivänä huhtikuuta 2019, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 kumoamisesta (kyberturvallisuusasetus) (EUVL L 151, 7.6.2019, s. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (EUVL L 333, 27.12.2022, s. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Euroopan parlamentin ja neuvoston asetus (EU) 2024/2847, annettu 23 päivänä lokakuuta 2024, digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvallisuusvaatimuksista ja asetusten (EU) N:o 168/2013 ja (EU) 2019/1020 ja direktiivin (EU) 2020/1828 muuttamisesta (kyberkestävyyssäädös) (EUVL L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Euroopan parlamentin ja neuvoston asetus (EU) 2025/38, annettu 19 päivänä joulukuuta 2024, toimenpiteistä solidaarisuuden ja valmiuksien vahvistamiseksi unionissa kyberuhkien ja poikkeamien havaitsemista sekä niihin varautumista ja reagoimista varten ja asetuksen (EU) 2021/694 muuttamisesta (kybersolidaarisuussäädös) (EUVL L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    EUVL C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    5G-verkkojen kyberturvallisuus – EU:n riskinhallintatoimenpiteiden välineistö, verkko- ja tietoturva-alan yhteistyöryhmä, 1/2020, saatavilla osoitteessa https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures

(33)    Komission tiedonanto Euroopan parlamentille ja neuvostolle – Kyberturvallisuuteen liittyvän osaamisvajeen pienentäminen EU:n kilpailukyvyn, kasvun ja häiriönsietokyvyn parantamiseksi (”Kyberturvallisuusakatemia”), COM(2023) 207 final, 18.4.2023.

(34)    Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Komission delegoitu asetus (EU) 2024/1366, annettu 11 päivänä maaliskuuta 2024, Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/943 täydentämisestä vahvistamalla verkkosääntö rajat ylittävien sähkönsiirtojen kyberturvanäkökohtia koskevista toimialakohtaisista säännöistä (EUVL L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Komission delegoitu asetus (EU) 2022/1645, annettu 14 päivänä heinäkuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta (EUVL L 248, s. 18–31, 26.9.2022, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Komission täytäntöönpanoasetus (EU) 2023/203, annettu 27 päivänä lokakuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamissäännöistä komission asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia organisaatioita sekä komission asetusten (EU) N:o 748/2012, (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340 ja (EU) N:o 139/2014 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia toimivaltaisia viranomaisia varten ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevien vaatimusten osalta sekä komission asetusten (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 muuttamisesta (EUVL L 31, 2.2.2023, s. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Komission täytäntöönpanoasetus (EU) 2019/1583, annettu 25 päivänä syyskuuta 2019, yksityiskohtaisista toimenpiteistä ilmailun turvaamista koskevien yhteisten perusvaatimusten täytäntöönpanemiseksi annetun täytäntöönpanoasetuksen (EU) 2015/1998 muuttamisesta kyberturvallisuustoimenpiteiden osalta (EUVL L 246, 26.9.2019, s. 15–18, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Komission tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle – Sairaaloiden ja terveydenhuoltopalvelujen tarjoajien kyberturvallisuutta koskeva eurooppalainen toimintasuunnitelma, COM(2025) 10 final, 15.1.2025.

(40)    Euroopan parlamentin ja neuvoston asetus (EU, Euratom) 2023/2841, annettu 13 päivänä joulukuuta 2023, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi unionin toimielimissä, elimissä, toimistoissa ja virastoissa (EUVL L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Komission tiedonanto Euroopan parlamentille, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle – ProtectEU: eurooppalainen sisäisen turvallisuuden strategia, COM(2025)148 final, 1.4.2025.

(42)    Euroopan komission yhteinen tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle Euroopan varautumisunionistrategiasta, JOIN(2025) 130 final.

(43)    Komission yhteinen tiedonanto Euroopan parlamentille ja neuvostolle – EU:n taloudellisen turvallisuuden vahvistaminen, JOIN(2025) 977 final.

(44)    COM(2025) 837 final.

(45)    Euroopan parlamentin ja neuvoston asetus (EY) N:o 460/2004, annettu 10 päivänä maaliskuuta 2004, Euroopan verkko- ja tietoturvaviraston perustamisesta (EUVL L 77, 13.3.2004, s. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Euroopan parlamentin ja neuvoston asetus (EU) N:o 910/2014, annettu 23 päivänä heinäkuuta 2014, sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta (EUVL L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Euroopan parlamentin ja neuvoston asetus (EU) 2021/887, annettu 20 päivänä toukokuuta 2021, Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskuksen ja kansallisten koordinointikeskusten verkoston perustamisesta (EUVL L 202, 8.6.2021, s. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Komission tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle – Osaamisunioni, COM(2025) 90 final, 5.3.2025.

(49)    JOIN(2025) 791 final.

(50)    Euroopan parlamentin ja neuvoston asetus (EU, Euratom) 2024/2509, annettu 23 päivänä syyskuuta 2024, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä (EUVL L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Yksilöllisiä kyberturvallisuustaitoja koskevat eurooppalaiset todistukset tulisi ymmärtää toimintatavaltaan vastaaviksi kuin markkinoilla tunnustetut kyberturvallisuussertifioinnit. Euroopan kyberturvallisuuden sertifiointikehykseen liittyvien sekaannusten välttämiseksi suositellaan kuitenkin ilmausta ”todistus”, jota on jo käytetty kybertaitoakatemiaa koskevassa tiedonannossa.

(52)

   Täytäntöönpanoasetus (EU) 2025/1569.

(53)    Yhteinen lähestymistapa, joka on liitetty Euroopan parlamentin, Euroopan unionin neuvoston ja Euroopan komission 19. heinäkuuta 2012 hyväksymään erillisvirastoja koskevaan julkilausumaan, saatavilla osoitteessa https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Euroopan parlamentin ja neuvoston asetus (EY) N:o 1049/2001, annettu 30 päivänä toukokuuta 2001, Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi (EYVL L 145, 31.5.2001, s. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj/fin).

(55)    Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj/fin).

(56)    Euroopan parlamentin ja neuvoston direktiivi 2014/24/EU, annettu 26 päivänä helmikuuta 2014, julkisista hankinnoista ja direktiivin 2004/18/EY kumoamisesta (EUVL L 94, 28.3.2014, s. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj/fin).

(57)    Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj/fin).

(58)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 ‑direktiivi) (EUVL L 333, 27.12.2022, s. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj/fin ).

(59)    Komission täytäntöönpanoasetus (EU) 2024/482, annettu 31 päivänä tammikuuta 2024, Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 soveltamissäännöistä siltä osin kuin on kyse yhteisiin kriteereihin perustuvan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän (EUCC) hyväksymisestä (EUVL L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj/fin).

(60)    Komission täytäntöönpanoasetus (EU) 2025/2540, annettu 9 päivänä joulukuuta 2025, Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 soveltamissäännöistä siltä osin kuin on kyse suunnitelman vahvistamisesta vertaisarviointeja varten (EUVL L 2540, 12.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj/fin ).

(61)    Euroopan parlamentin ja neuvoston asetus (EY) N:o 765/2008, annettu 9 päivänä heinäkuuta 2008, tuotteiden kaupan pitämiseen liittyvää akkreditointia ja markkinavalvontaa koskevista vaatimuksista ja neuvoston asetuksen (ETY) N:o 339/93 kumoamisesta (EUVL L 218, 13.8.2008, s. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj/fin).

(62)    Komission täytäntöönpanoasetus (EU) 2024/3143, annettu 18 päivänä joulukuuta 2024, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 61 artiklan 5 kohdan mukaisiin ilmoituksiin liittyvien olosuhteiden, muotoseikkojen ja menettelyjen vahvistamisesta (EUVL L 3143, 19.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj/fin ).

(63)    ENISA Threat Landscape 2025, lokakuu 2025.

(64)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 ‑direktiivi) (EUVL L 333, 27.12.2022, s. 80–152, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/fin).

(65)    Euroopan parlamentin ja neuvoston asetus (EU) 2024/2847, annettu 23 päivänä lokakuuta 2024, digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvallisuusvaatimuksista ja asetusten (EU) N:o 168/2013 ja (EU) 2019/1020 ja direktiivin (EU) 2020/1828 muuttamisesta (kyberkestävyyssäädös) (EUVL L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/fin).

(66)    Yhteinen tiedonanto Euroopan parlamentille ja neuvostolle: EU:n taloudellisen turvallisuuden vahvistaminen, 3. joulukuuta 2025, JOIN(2025) 977 final.

(67)    Euroopan parlamentin ja neuvoston direktiivi 2014/24/EU, annettu 26 päivänä helmikuuta 2014, julkisista hankinnoista ja direktiivin 2004/18/EY kumoamisesta (EUVL L 94, 28.3.2014, s. 65–242, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/fin).

(68)    Euroopan parlamentin ja neuvoston direktiivi 2014/25/EU, annettu 26 päivänä helmikuuta 2014, vesi- ja energiahuollon sekä liikenteen ja postipalvelujen alalla toimivien yksiköiden hankinnoista ja direktiivin 2004/17/EY kumoamisesta (EUVL L 94, 28.3.2014, s. 243–374, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj/fin).

(69)    Komission tiedonanto 5G-kyberturvallisuusvälineistön täytäntöönpanosta, 15. kesäkuuta 2023, C(2023) 4049 final.

(70)    Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj/fin ).

(71)    Euroopan parlamentin ja neuvoston asetus (EU) N:o 1025/2012, annettu 25 päivänä lokakuuta 2012, eurooppalaisesta standardoinnista, neuvoston direktiivien 89/686/ETY ja 93/15/ETY sekä Euroopan parlamentin ja neuvoston direktiivien 94/9/EY, 94/25/EY, 95/16/EY, 97/23/EY, 98/34/EY, 2004/22/EY, 2007/23/EY, 2009/23/EY ja 2009/105/EY muuttamisesta ja neuvoston päätöksen 87/95/ETY ja Euroopan parlamentin ja neuvoston päätöksen N:o 1673/2006/EY kumoamisesta (EUVL L 316, 14.11.2012, s. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj/fin).

(72)    Euroopan parlamentin ja neuvoston asetus (EU) 2023/2675, annettu 22 päivänä marraskuuta 2023, unionin ja sen jäsenvaltioiden suojelemisesta kolmansien maiden harjoittamalta taloudelliselta pakottamiselta (EUVL L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj/fin).

(73)    EYVL L 56, 4.3.1968, s. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Komission delegoitu asetus (EU) 2019/715, annettu 18 päivänä joulukuuta 2018, Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) 2018/1046 70 artiklassa tarkoitettuja, SEUT-sopimuksen ja Euratomin perustamissopimuksen nojalla perustettuja elimiä koskevasta varainhoidon puiteasetuksesta (EUVL L 122, 10.5.2019, s. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Euroopan parlamentin ja neuvoston asetus (EU, Euratom) N:o 883/2013, annettu 11 päivänä syyskuuta 2013, Euroopan petostentorjuntaviraston (OLAF) tutkimuksista sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1073/1999 ja neuvoston asetuksen (Euratom) N:o 1074/1999 kumoamisesta (EUVL L 248, 18.9.2013, s. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    EYVL L 136, 31.5.1999, s. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Neuvoston asetus (Euratom, EY) N:o 2185/96, annettu 11 päivänä marraskuuta 1996, komission paikan päällä suorittamista tarkastuksista ja todentamisista Euroopan yhteisöjen taloudellisiin etuihin kohdistuvien petosten ja muiden väärinkäytösten estämiseksi (EYVL L 292, 15.11.1996, s. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/1371, annettu 5 päivänä heinäkuuta 2017, unionin taloudellisiin etuihin kohdistuvien petosten torjunnasta rikosoikeudellisin keinoin (EUVL L 198, 28.7.2017, s. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Neuvoston asetus N:o 1 Euroopan talousyhteisössä käytettäviä kieliä koskevista järjestelyistä (EYVL 17, 6.10.1958, s. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Komission päätös (EU, Euratom) 2015/443, annettu 13 päivänä maaliskuuta 2015, turvallisuudesta komissiossa (EUVL L 72, 17.3.2015, s. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Komission päätös (EU, Euratom) 2015/444, annettu 13 päivänä maaliskuuta 2015, EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista säännöistä (EUVL L 72, 17.3.2015, s. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Euroopan parlamentin ja neuvoston asetus (EY) N:o 1008/2008, annettu 24 päivänä syyskuuta 2008, lentoliikenteen harjoittamisen yhteisistä säännöistä yhteisössä (uudelleenlaadittu) (EUVL L 293, 31.10.2008, s. 3, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/fin).

(84)    Sellaisina kuin nämä on määritelty varainhoitoasetuksen 58 artiklan 2 kohdan a ja b alakohdassa.

(85)     Poliittiset suuntaviivat 2024 .

(86)     Johtavan varapuheenjohtaja Virkkusen toimeksiantokirje .

(87)     Sauli Niinistön raportti .

(88)     Draghin raportti EU:n kilpailukyvystä .

(89)     Enrico Letta, Much more than a market (huhtikuu 2024) .

(90)    Lisätään julkaisemisen jälkeen.

(91)     EU:n kyberturvallisuusasetus | EUR‑Lex .

(92)     Unionin yleiseen talousarvioon sovellettava varainhoitoasetus (uudelleenlaadittu) – EU:n julkaisutoimisto .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Delegoitu asetus – 2019/715 – FI – EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/fin .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf .

(99)    JM = jaksotetut määrärahat; EI-JM = jaksottamattomat määrärahat.

(100)    EFTA: Euroopan vapaakauppaliitto.

(101)    Ehdokasmaat ja soveltuvin osin Länsi-Balkanin mahdolliset ehdokasmaat.

(102)    Tuotokset ovat tuloksena olevia tuotteita ja palveluita (esim. rahoitettujen opiskelijavaihtojen määrä tai rakennetut tiekilometrit).

(103)    Kuten kuvattu 1.3.2. kohdassa ”Erityistavoitteet”.

(104)    Ilmoittakaa taulukon alla, kuinka monta ilmoitettuun määrään kuuluvaa kokoaikaista työntekijää on jo osoitettu toimen hallinnointiin ja/tai voidaan uudelleenjärjestelyjen tuloksena osoittaa pääosastossanne, ja mitkä ovat nettotarpeenne.

(105)    Perinteiset omat varat (tulli- ja sokerimaksut) on ilmoitettava nettomääräisinä eli bruttomäärästä on vähennettävä kantokuluja vastaava 20 prosentin osuus.

(106)     Päätös RR-02: ”Price list of SNAS services” :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf . 

(107)    Ylläpitämiseen kuuluu kaksi henkilökohtaista tapaamista asiantuntijoiden kanssa vuodessa (100 000 euroa), järjestelmän tukiasiakirjojen kehittämistä ja tarkistamista tukevien toimeksisaajien kustannuksia, sertifiointijärjestelmien käyttöä, vertaisarviointien tukemista ja vaatimustenmukaisuuden arviointien toteuttamista (4 x 15 000 = 60 000 euroa). Kustannuksiin sisältyy myös Verkkojen Eurooppa ‑välineen alustan ja ENISAn sertifiointisivuston operatiivinen osa (40 000 euroa).