EUROPSKA KOMISIJA

Strasbourg, 20.1.2026.

COM(2026) 11 final

2026/0011(COD)

Prijedlog

UREDBE EUROPSKOG PARLAMENTA I VIJEĆA

o Agenciji Europske unije za kibernetičku sigurnost (ENISA), Europskom okviru za kibernetičkosigurnosnu certifikaciju i sigurnosti lanca opskrbe IKT-om te o stavljanju izvan snage Uredbe (EU) 2019/881 (Akt o kibernetičkoj sigurnosti 2)

(Tekst značajan za EGP)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

OBRAZLOŽENJE

1.KONTEKST PRIJEDLOGA

•Razlozi i ciljevi prijedloga

U tom su kontekstu četiri glavna problema koja se nastoje riješiti ovom predloženom revizijom Akta o kibersigurnosti: (i) neusklađenost okvira politike Unije u području kibernetičke sigurnosti i potreba dionika u okruženju sve opasnijih prijetnji, (ii) zastoj u provedbi Europskog okvira za kibernetičkosigurnosnu certifikaciju (ECCF), (iii) složene i raznolike politike u području kibernetičke sigurnosti koje utječu na stanje kibernetičke sigurnosti Unije i (iv) sve veći rizici za sigurnost lanaca opskrbe IKT-om.

Na temelju glavnih utvrđenih problema za ovu su intervenciju postavljena dva opća cilja: povećati kapacitet i otpornost u području kibernetičke sigurnosti te spriječiti fragmentaciju na jedinstvenom tržištu, i to tako što će se:

·pridonijeti jačanju upravljanja kibernetičkom sigurnošću u Uniji i boljoj pripremljenosti relevantnih institucija, tijela i drugih dionika za koordinirano i učinkovito sprečavanje i otkrivanje kibernetičkih prijetnji i odgovor na njih, te

·poduprijeti razvoj, provedbu i primjenu zajedničkih instrumenata Unije za kibernetičku sigurnost, kao što su programi certifikacije, i uspostaviti usklađene okvire za izgradnju povjerenja i interoperabilnosti u svim državama članicama.

Ti su opći ciljevi odgovor na ključne poteškoće utvrđene u definiciji problema. U skladu su s općim ciljem politike da se ojača upravljanje kibernetičkom sigurnošću u Uniji i podupre razvoj sigurnog, otpornog i konkurentnog jedinstvenog digitalnog tržišta.

Kako bi se pridonijelo postizanju navedenih općih ciljeva, ovom se intervencijom nastoje ostvariti sljedeći specifični ciljevi:

·riješiti problem neusklađenosti okvira politike Unije u području kibernetičke sigurnosti i potreba dionika:

·SPO1: izgraditi kapacitet za djelotvornu provedbu kibernetičkosigurnosnih politika Unije i kontinuiranu operativnu suradnju radi omogućivanja strukturiranije suradnje država članica,

·SPO2: razviti i primijeniti sredstva i mehanizme za djelotvornu potporu i odgovor na potrebe država članica, industrije i drugih dionika,

·riješiti problem ograničenog uvođenja i djelotvornosti Europskog okvira za kibernetičkosigurnosnu certifikaciju:

·SPO3: stvoriti preduvjete za brže uvođenje programa kibernetičkosigurnosne certifikacije u skladu s potrebama tržišta, i to proširenjem područja primjene Europskog okvira za kibernetičkosigurnosnu certifikaciju, osiguravanjem njegova djelotvornog održavanja i prilagodljivih postupaka te povećanjem transparentnosti,

·riješiti problem fragmentiranih pristupa postizanju sukladnosti te problem složenosti horizontalnih i sektorskih okvira:

·SPO4: uspostaviti mehanizme i uvjete za lakše ispunjavanje kibernetičkosigurnosnih zahtjeva i tako poboljšati dosljednost i učinkovitost njihove primjene,

·ukloniti kibernetičkosigurnosne rizike u lancu opskrbe:

·SPO5: smanjiti rizike u ključnim lancima opskrbe IKT-om koje predstavljaju subjekti koji imaju poslovni nastan u trećim zemljama koje izazivaju zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takvih trećih zemalja (visokorizični dobavljači) te smanjiti kritične ovisnosti razvojem usklađenog i djelotvornog okvira na razini EU-a za uklanjanje rizika za sigurnost lanca opskrbe IKT-om.

Revizija Akta o kibersigurnosti provodi se u okviru Programa za primjerenost i učinkovitost propisa (REFIT) te znatno doprinosi poboljšanju jasnoće, uklanjanju neučinkovitosti i usklađivanju postupaka u svim pravnim okvirima. Revizijom Akta o kibersigurnosti doprinosi se pravilnom funkcioniranju unutarnjeg tržišta i istodobno jamči sigurnost i strateška autonomija Unije.

Konkretnije, predlaže se potpuna reforma mandata Agencije Europske unije za kibernetičku sigurnost (ENISA) koja osigurava djelotvornu potporu provedbi politika i dodanu vrijednost u smislu podupiranja operativne suradnje među državama članicama.

S obzirom na sve veće kibernetičkosigurnosne rizike i izazove s kojima se Unija suočava, prijedlogom se nastoje povećati financijski i ljudski resursi ENISA-e kako bi se uzela u obzir njezina proširena uloga, zadaće i ključan položaj u obrani digitalnog ekosustava Unije, čime bi se ENISA-i omogućilo da učinkovito obavlja zadaće koje joj se dodjeljuju ovim prijedlogom.

Revizija će pridonijeti i uklanjanju fragmentiranih praksi, poboljšanju koordinacije i dugoročnom smanjenju troškova usklađivanja i operativnih troškova. Stavljanjem izvan snage postojećeg Akta o kibersigurnosti i uvođenjem reformiranog Europskog okvira za kibernetičkosigurnosnu certifikaciju prijedlog osigurava djelotvorniji i učinkovitiji instrument kojim se promiče povjerenje među poduzećima, širom javnošću i javnim tijelima te olakšava usklađenost s relevantnim zakonodavstvom Unije. Omogućuje povećanje učinkovitosti revizijom modela upravljanja i podupiranjem predvidljivijih, dosljednijih i prilagodljivijih postupaka certificiranja radi omogućivanja bržeg razvoja i provedbe programa.

Većim sinergijama s relevantnim postojećim pravnim okvirima Unije promicat će se certifikacija kao sredstvo za postizanje usklađenosti za poduzeća i smanjiti administrativno opterećenje za tijela za ocjenjivanje sukladnosti koja djeluju na temelju više zakonodavnih akata o kibernetičkoj sigurnosti. Nadalje, proširenjem područja primjene Europskog okvira za kibernetičkosigurnosnu certifikaciju i omogućivanjem razvoja programa za stanje kibernetičke sigurnosti subjekata, prijedlogom će se smanjiti troškovi usklađivanja za subjekte koji podliježu relevantnom zakonodavstvu Unije o kibernetičkoj sigurnosti, počevši od subjekata obuhvaćenih područjem primjene Direktive NIS 2. Na temelju tog pristupa znatno će se pojednostavniti regulatorne obveze za subjekte koji moraju ispuniti više različitih zahtjeva za usklađivanje i osigurati učinkovitije korištenje resursa u svim nacionalnim tijelima. Osim te revizije, prijedlogom direktive o uvođenju ciljanih izmjena Direktive NIS 2 nastoji se pojednostavniti postupanje u skladu s posebnim aspektima okvira za kibernetičku sigurnost i osigurati njihova pojednostavnjena i dosljedna provedba, među ostalim u pogledu područja primjene, definicija, izvješćivanja o ucjenjivačkom softveru i nadzora subjekata koji pružaju prekogranične usluge.

Novom uredbom uspostavlja se i usklađeni okvir za uklanjanje netehničkih rizika koji utječu na lance opskrbe IKT-om, čime se smanjuje trenutačna fragmentiranost pristupa u državama članicama. Ti aspekti zajedno omogućuju znatno pojednostavnjenje i osuvremenjivanje pravnog okvira Unije za kibernetičku sigurnost, potpuno usklađenog s načelima REFIT-a u smislu jasnoće, učinkovitosti i prilagođenosti digitalizaciji.

•Dosljednost s postojećim odredbama politike u tom području

Unija je proširila svoje pravne i političke instrumente donošenjem niza pravnih instrumenata i mjera politike: (i) Direktivom NIS 2 jača se kibernetička sigurnost kritične infrastrukture, (ii) u „srodnoj direktivi”, Direktivi o otpornosti kritičnih subjekata, definirane su mjere fizičke sigurnosti, (iii) Aktom o kibernetičkoj otpornosti poboljšava se kibernetička sigurnost proizvoda, (iv) Aktom o kibernetičkoj solidarnosti grade se kapaciteti za odgovor na razini EU-a, (v) Planom EU-a za kibernetičku sigurnost 7 podupire se suradnja u upravljanju krizama na razini EU-a, u okviru koje Komisija i Visoki predstavnik imaju ključne uloge u pripremi za kibernetičkosigurnosne incidente velikih razmjera i odgovoru na njih, (vi) paketom instrumenata za kibernetičku sigurnost 5G tehnologije (paket instrumenata za 5G) podupire se kibernetička sigurnost 5G mreža, (vii) Europski akcijski plan za kibernetičku sigurnost bolnica i pružatelja zdravstvene zaštite 8 pomaže u poboljšanju njihove kibernetičke sigurnosti, a (viii) Akademija za vještine u području kibernetičke sigurnosti 9 odgovor je na sve veći problem nedostatka stručnjaka za kibernetičku sigurnost.

•Dosljednost u odnosu na druge politike Unije

2.PRAVNA OSNOVA, SUPSIDIJARNOST I PROPORCIONALNOST

•Pravna osnova

•Supsidijarnost (za neisključivu nadležnost)

Mjere obuhvaćene predloženom uredbom imaju jasnu dodanu vrijednost jer podupiru usklađivanje, pravnu jasnoću i koordinirane odgovore na kibernetičkosigurnosna pitanja.

•Proporcionalnost

•Odabir instrumenta

3.REZULTATI EX POST EVALUACIJA, SAVJETOVANJA S DIONICIMA I PROCJENA UČINKA

•Ex post evaluacije/provjere primjerenosti postojećeg zakonodavstva

·Relevantnost: relevantnost ENISA-e u području kibernetičke sigurnosti pokazuje njezina sposobnost reagiranja na promjenjive potrebe dionika i prilagodljivost promjenjivim okolnostima. Iako su dionici općenito zadovoljni radom ENISA-e, postoje načini da se njezin učinak poveća. To se može postići poboljšanjem potpore i vidljivosti za razne sektore, posebno mala i srednja poduzeća (MSP-ovi), koja često imaju poteškoća u ispunjavanju kibernetičkosigurnosnih zahtjeva. Bolja organizacija resursa i jasnija koordinacija s nacionalnim tijelima od presudne su važnosti. Ponovnim određivanjem prioriteta aktivnosti i optimizacijom postojećih resursa ENISA će se bolje prilagoditi dinamičnim potrebama u području kibernetičke sigurnosti u Europi.

Kad je riječ o Europskom okviru za kibernetičkosigurnosnu certifikaciju, smatra se da on, iako je mnogo obećavao, ima više potencijala nego učinka u praksi jer je nedavno pokrenut tek jedan program certificiranja. Okvir je osmišljen tako da se neometano integrira s drugim pravnim aktima Unije kako bi se pojednostavnili postupci i olakšala prekogranična trgovina. Njegova se važnost ističe u područjima visoke jamstvene razine kao što su usluge računalstva u oblaku i 5G infrastrukture.

·Djelotvornost: ENISA je uspješno ispunila svoj mandat jer je ostvarila gotovo sve planirane rezultate te je pokazala fleksibilnost i otpornost u krizama kao što su pandemija bolesti COVID-19 i agresivni rat Rusije protiv Ukrajine. Međutim, da bi bila još učinkovitija, potrebno je bolje odrediti prioritete, utvrditi jasan smjer i strateški raspodijeliti resurse. Za prilagodbu promjenjivim kibernetičkosigurnosnim zahtjevima i smanjenje kašnjenja nužan je prilagodljiviji pristup unutarnjem upravljanju.

Cilj Europskog okvira za kibernetičkosigurnosnu certifikaciju bio je uskladiti kibernetičkosigurnosnu certifikaciju u cijeloj Uniji, ali zbog velikih je prepreka, uključujući postupovna ograničenja i fragmentaciju, došlo do kašnjenja i neučinkovitosti, kao što je kašnjenje u donošenju europskog programa kibernetičkosigurnosne certifikacije na temelju zajedničkih kriterija (EUCC). Vanjski čimbenici, kao što su geopolitičke napetosti i pandemija bolesti COVID-19, dodatno su otežali postizanje ciljeva Europskog okvira za kibernetičkosigurnosnu certifikaciju i još više naglasili potrebu za prilagodljivim mjerama i dosljednom raspodjelom resursa među dionicima kako bi se postigle ujednačenost i djelotvornost kibernetičkosigurnosne certifikacije. Unatoč tim preprekama ostvareni su pozitivni rezultati, osobito u smislu senzibiliziranja država članica u pogledu važnosti i složenosti kibernetičkosigurnosne certifikacije.

·Učinkovitost: ENISA je učinkovito djelovala u skladu sa svojim organizacijskim okvirom temeljenim na matrici tako što je promicala suradnju i određivanje prioritetnih zadaća. Međutim, ENISA-i nije bilo lako zadovoljiti sve veću potražnju i popuniti specijalizirana radna mjesta, što je dodatno otežao globalni problem manjka stručnjaka za IT i dovelo do kašnjenja i velikog radnog opterećenja. Kako bi riješila te probleme, ENISA bi mogla optimizirati svoju unutarnju radnu snagu i učinkovito preraspodijeliti resurse, što je vidljivo iz strateških prilagodbi kao što je preusmjeravanje resursa na program potpore za izgradnju kibernetičke sigurnosti 2022. Osim toga, poboljšanjem upravljanja proračunom i smanjenjem administrativnih rashoda dodatno bi se poboljšala operativna učinkovitost Agencije.

Učinkovitost Europskog okvira za kibernetičkosigurnosnu certifikaciju bila je metom kritike zbog produljenih rokova za donošenje programa kibernetičkosigurnosne certifikacije i s time povezanih složenih postupaka, pri čemu je prvi program donesen tek početkom 2024., gotovo pet godina nakon donošenja Akta o kibersigurnosti. Politički i tehnički izazovi, kao što su rasprave o suverenitetu nad podacima i poteškoćama u prenošenju nacrta u pravne akte, pridonijeli su kašnjenjima. Politički izazovi i tehnički zahtjevi otežali su napredak, kao što je vidljivo iz Programa certifikacije računalstva u oblaku EU-a (EUCS) i programa EU5G. Unatoč toj neučinkovitosti, okvir je imao nekoliko pozitivnih aspekata. Međutim, i dalje postoji potreba za poboljšanjem uključenosti dionika i unutarnjeg upravljanja kako bi se osigurali optimalno funkcioniranje i strateški doprinos.

·Koherentnost: koherentnost ENISA-e podupire se znatnim uključivanjem dionika i usklađivanjem s najnovijim zakonodavnim okvirima. Međutim, kako bi se povećala koherentnost i raspodjela resursa, nužno je poboljšati sinergije s drugim tijelima Unije, kao što je Europski stručni centar za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti (ECCC), i nacionalnim tijelima. Nadalje, treba poboljšati unutarnju komunikaciju i upravljanje resursima unutar ENISA-e te uspostaviti transparentnu interakciju s privatnim dionicima. Jasnim razgraničenjem zadaća ENISA-e, u skladu s Aktom o kibernetičkoj otpornosti i Direktivom NIS 2, poboljšat će se učinkovitost i regulatorna dosljednost.

Kad je riječ o Europskom okviru za kibernetičkosigurnosnu certifikaciju, potpuna usklađenost s drugim zakonodavnim instrumentima Unije, uključujući Direktivu NIS 2 i Akt o kibernetičkoj otpornosti, presudna je za osiguravanje jedinstvenog pristupa kibernetičkoj sigurnosti. Iako je Europski okvir za kibernetičkosigurnosnu certifikaciju teoretski usklađen s tim zakonodavnim mjerama, integracija u stvarnom okruženju i dalje je složena i zahtijeva pažljiv nadzor. Provedba donesenog Europskog okvira za kibernetičkosigurnosnu certifikaciju u okviru Akta o kibernetičkoj otpornosti bit će važan test u tom pogledu.

·Dodana vrijednost EU-a: ENISA je znatno doprinijela ekosustavu kibernetičke sigurnosti Unije promicanjem suradnje i usklađivanjem praksi. Njezin doprinos u smislu olakšavanja nacionalnih mjera i dijeljenju saznanja o novim prijetnjama od presudne je važnosti. Međutim, dionici iz privatnog sektora uputili su kritike i naveli kako bi potpora trebala biti prilagođenija, što podrazumijeva veće uključivanje dionika i bolju suradnju s industrijom. Ponovna strateška procjena upravljanja resursima ENISA-i omogućila bi njezinu bolju prilagodbu novim izazovima u području kibernetičke sigurnosti i veću djelotvornost u potpori različitim dionicima. Cilj Europskog okvira za kibernetičkosigurnosnu certifikaciju bio je uvesti usklađene postupke certificiranja, ali je došlo do poteškoća u njegovoj provedbi zbog produljivanja rokova i fragmentiranosti. Dodana vrijednost Europskog okvira za kibernetičkosigurnosnu certifikaciju ograničena je zbog poteškoća u postizanju ciljeva i nedovoljne učinkovitosti. Unatoč tim problemima, okvirom se poboljšala usklađenost među državama članicama te su se osigurale bolje mogućnosti za suradnju, posebno stvaranjem foruma za suradnju dionika kao što je Europska skupina za kibernetičkosigurnosnu certifikaciju (ECCG).

•Savjetovanja s dionicima

Od 2023. do 2025. provedeno je nekoliko savjetovanja s dionicima u kontekstu evaluacije Akta o kibersigurnosti i njegove revizije kako je opisano u nastavku:

–u 2023. obavljeno je 65 razgovora (u 52 razgovora glavna je tema bila ENISA, a u 13 Europski okvir za kibernetičkosigurnosnu certifikaciju), provedena je anketa u kojoj je primljeno 209 odgovora (od kojih je 70 bilo o Europskom okviru za kibernetičkosigurnosnu certifikaciju), zaključeno je javno savjetovanje i organizirane su dvije radionice o SWOT analizi (analiza prednosti, nedostataka, prilika i prijetnji) i preporukama s 26 odnosno 70 sudionika. Te su aktivnosti prvenstveno provedene kako bi se prikupila stajališta dionika radi ocjenjivanja učinka, djelotvornosti i učinkovitosti ENISA-e. Završno izvješće o Studiji za potporu evaluaciji Agencije Europske unije za kibernetičku sigurnost (ENISA) i Europskog okviru za kibernetičkosigurnosnu certifikaciju koju su za Komisiju provela društva PwC, Intellera Consulting i PPMI (2024.) dovršeno je u prosincu 2024.,

–Komisija je 2025. objavila poziv na očitovanje. Konkretno, pozvala je dionike da dostave pisane priloge, uključujući dokumente o stajalištu, tehnička izvješća ili primjedbe o određenim prijedlozima reformi.  Zaprimljena su ukupno 184 pojedinačna priloga različitih kategorija dionika, uključujući industrijska udruženja, poduzeća za kibernetičku sigurnost, MSP-ove, akademske institucije i organizacije od javnog interesa,

–Komisija je u razdoblju od travnja do lipnja 2025. organizirala javno savjetovanje u okviru revizije Akta o kibersigurnosti i primila 193 odgovora. Savjetovanje je uključivalo 38 pitanja, zatvorenih i otvorenih, koja su obuhvaćala mandat ENISA-e, Europski okvir za kibernetičkosigurnosnu certifikaciju, sigurnost lanca opskrbe IKT-om i pojednostavnjenje,

–ciljano savjetovanje (razgovori): proveden je niz polustrukturiranih razgovora s odabranim dionicima. Među njima su bili predstavnici ENISA-e i nacionalna javna tijela koja su razvila nacionalne platforme za izvješćivanje ili koja njima upravljaju. Razgovaralo se o ulozi i kapacitetu ENISA-e, operativnom funkcioniranju Europskog okvira za kibernetičkosigurnosnu certifikaciju, praktičnim problemima u usklađivanju postupaka certificiranja na nacionalnoj razini i razini Unije, opterećenjima koja proizlaze iz izvješćivanja i preprekama u provedbi. U tim su raspravama dobiveni kvalitativni uvidi koji su dopunili tumačenje rezultata javnog savjetovanja i pomogli u poboljšanju opcija politike,

–savjetovanje s predstavnicima država članica u okviru radne skupine Vijeća i u bilateralnim raspravama 19 , u kojima su države članice mogle izraziti svoja stajališta o preispitivanju Akta o kibersigurnosti,

–ciljano savjetovanje (skupine Europskog okvira za kibernetičkosigurnosnu certifikaciju – ECCG, Interesna skupina za kibernetičkosigurnosnu certifikaciju (SCCG)): Komisija je u svojstvu predsjedatelja obiju skupina predstavila trenutačno stanje revizije Akta o kibersigurnosti na sastancima ECCG-a 12. ožujka i 3. srpnja 2025. te na sastanku SCCG-a 17. ožujka 2025. Osim toga, putem upitnika prikupljena su dodatna stručna mišljenja članova ECCG-a.

·mandat i operativna uloga ENISA-e, uključujući potporu državama članicama i stručno znanje u području tehnologija u nastajanju,

·djelotvornost Europskog okvira za kibernetičkosigurnosnu certifikaciju, uključujući postupke upravljanja i razvoja,

·složenost i fragmentiranost obveza u pogledu kibernetičke sigurnosti, pri čemu se posebna pozornost posvetila obvezama izvješćivanja i mogućem pojednostavnjenju,

·proporcionalnost zahtjeva za MSP-ove i mogućnost različitih načina usklađivanja, i

·društveni i gospodarski učinci usklađenih pravila o kibernetičkoj sigurnosti, uključujući učinke na potrošače, prava, inovacije i konkurentnost.

•Procjena učinka

Konačni prijedlog politike ne odstupa od opcija ocijenjenih u procjeni učinka.

Opcije za rješavanje problema neusklađenosti okvira politike Unije u području kibernetičke sigurnosti i potreba dionika u sve više neprijateljskom okruženju

Opcije za Europski okvir za kibernetičkosigurnosnu certifikaciju

Opcija B.1: Razjašnjenje područja primjene, elemenata i ciljeva Europskog okvira za kibernetičkosigurnosnu certifikaciju te uvođenje mehanizma održavanja – Tom bi se opcijom uveo novi mehanizam održavanja programa nakon njihova donošenja, za što bi bila zadužena ENISA.

Opcija B.2: Reforma Europskog okvira za kibernetičkosigurnosnu certifikaciju revizijom njegovih postupaka i proširenjem područja primjene radi lakšeg pojednostavnjenja poštovanja propisa – Tom bi se opcijom Akt o kibersigurnosti stavio izvan snage i zamijenio novom uredbom. Povrh opcije B.1 revidirao bi se postupak za podnošenje zahtjeva, izradu i donošenje programa kako bi se povećale odgovornost i učinkovitost.

Opcija B.3: Reforma Europskog okvira za kibernetičkosigurnosnu certifikaciju kao u opciji B.2 i uvođenje obveznog certificiranja stanja kibernetičke sigurnosti – Ta bi se opcija temeljila na opciji B.2, ali imala bi za cilj dodatno pojačati učinak okvira jer bi se umjesto oslanjanja isključivo na dobrovoljno certificiranje subjekata za ključne subjekte obuhvaćene Direktivom NIS 2 uvelo obvezno certificiranje s obzirom na specifične scenarije rizika.

Opcije pojednostavnjenja

Opcija C.1: Primjena pristupa neobvezujućeg prava i nezakonodavnih instrumenata, uključujući upotrebu postojećih ovlasti (donošenje provedbenih akata na temelju članka 21. stavka 5. i članka 23. stavka 11. Direktive NIS 2) – Tom se opcijom predviđa donošenje provedbenih akata na temelju postojećih ovlasti iz Direktive NIS 2 kako bi se postigla veća usklađenost mjera upravljanja kibernetičkosigurnosnim rizicima, pragova za izvješćivanje o incidentima te vrsta informacija, formata i postupka obavješćivanja. Predviđa se i donošenje niza smjernica radi poboljšanja pravne sigurnosti i usklađivanja provedbe.

Opcija C.2: Ciljana intervencija – daljnje pojednostavnjenje sukladnosti s relevantnim zakonodavnim okvirom Unije za kibernetičku sigurnost – Ta opcija uključuje ograničenu intervenciju u obliku izmjena Akta o kibersigurnosti i Direktive NIS 2 kako bi se pojednostavnili određeni aspekti okvira za kibernetičku sigurnost, što obuhvaća prilagodbu područja primjene, maksimalno usklađivanje provedbenih akata, dokazivanje sukladnosti putem certifikacije i donošenje skupa smjernica kako je predviđeno u opciji C.1.  

Opcija D.1: Primjena neobvezujućeg pravnog pristupa za uklanjanje kibernetičkosigurnosnih rizika za lance opskrbe IKT-om – Ta opcija ne bi obuhvaćala regulatornu intervenciju na razini EU-a. Umjesto toga, Komisija bi povećala broj koordiniranih procjena rizika i dobrovoljnih paketa instrumenata.

Opcija D.2: Ad hoc regulatorna intervencija za kodifikaciju paketa instrumenata za 5G tehnologije – u okviru te opcije kodificirale bi se mjere iz paketa instrumenata za 5G tehnologije. Uvela bi se obveza za države članice da osiguraju da se u ključnoj mrežnoj imovini ne upotrebljavaju komponente visokorizičnih dobavljača.

Ta kombinacija uravnotežen je odgovor na identificirane nedostatke politika i znatno pridonosi djelotvornosti, učinkovitosti i usklađenosti u cijeloj Uniji.

Istodobno se očekuje da će pojednostavnjene i smanjene obveze usklađivanja potaknuti uštede za poduzeća u iznosu do 15,3 milijarde EUR u razdoblju od pet godina. Uz to, građani, javna tijela i poduzeća imali bi znatne koristi zahvaljujući boljem ukupnom stanju kibernetičke sigurnosti i tehnološke suverenosti Unije te poticanju inovacija i konkurentnosti. Očekuje se da će se time dugoročno u velikoj mjeri nadoknaditi početni rashodi.

Zahvaljujući smanjenju fragmentiranosti tržišta i usklađivanju regulatornih zahtjeva u okviru najpoželjnijih opcija tržišno natjecanje u cijeloj Uniji bit će ravnopravnije, a poduzeća će dobiti jasnije smjernice za postizanje sukladnosti i uvođenje inovacija.

•Primjerenost i pojednostavnjenje propisa

•Temeljna prava

Zakonodavni prijedlog procijenjen je na temelju njegova potencijala za poboljšanje ili ugrožavanje temeljnih prava i promicanje jednakosti i povjerenja, a pritom je posebna pozornost posvećena društvenim učincima i pravima, uključujući privatnost, zaštitu podataka i sposobnost pojedinaca da razumiju, ostvaruju i izvršavaju svoja prava.

Proširenje mandata ENISA-e pridonijet će većoj kibernetičkoj otpornosti u cijelom gospodarstvu i društvu općenito, što će dovesti do bolje zaštite privatnosti i osobnih podataka građana. Prijedlog će poduprijeti i obrazovanje i osposobljavanje u području kibernetičke sigurnosti jer se pojašnjava uloga ENISA-e u razvoju vještina radne snage u području kibernetičke sigurnosti. 

Osim toga, Europskim okvirom za kibernetičkosigurnosnu certifikaciju povećat će se povjerenje opće javnosti i poduzeća u Uniji u certificirana IKT rješenja koja podupiru svakodnevni život. Uvođenjem dodatnih programa povećao bi se taj učinak.

4.UTJECAJ NA PRORAČUN

5.DRUGI ELEMENTI

•Planovi provedbe i mehanizmi praćenja, evaluacije i izvješćivanja

•Dokumenti s objašnjenjima (za direktive)

•Detaljno obrazloženje posebnih odredaba prijedloga

Glava II.: ENISA (AGENCIJA EUROPSKE UNIJE ZA KIBERNETIČKU SIGURNOST)

Komisija može provedbenim aktima utvrditi ključnu IKT imovinu koja se koristi za proizvodnju proizvoda i pružanje usluga po vrstama subjekata iz Priloga I. i Priloga II. Direktivi (EU) 2022/2555. U članku 102. detaljnije se navode elementi koje treba uzeti u obzir pri utvrđivanju ključne IKT imovine. U članku 103. utvrđuju se moguće mjere ublažavanja u lancu opskrbe IKT-om. Komisija može provedbenim aktima odlučiti da se na subjekte koji djeluju u sektorima visoke kritičnosti i drugim kritičnim sektorima primjenjuju posebne mjere ublažavanja, koje su detaljnije opisane u tom članku.

Komisija provedbenim aktima utvrđuje popise visokorizičnih dobavljača relevantnih za zabrane utvrđene u provedbenim aktima donesenima u skladu s člankom 103. stavkom 1. i člankom 103. stavkom 7. ili za zabranu iz članka 110. stavka 1. nakon provedbe procjene mjesta poslovnog nastana te vlasničke i kontrolne strukture. Trebala bi se savjetovati s predmetnim dobavljačima i nadležnim tijelima (članak 104.).

Subjekt koji ima poslovni nastan u trećoj zemlji koja je u skladu s člankom 100. okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili je pod kontrolom subjekata iz takve treće zemlje može zatražiti da mu se dopusti pružanje IKT komponenti u ključnoj IKT imovini subjekata vrste iz priloga I. i II. Direktivi (EU) 2022/2555 i sudjelovanje u javnoj nabavi povezanoj s pružanjem takvih IKT komponenti. U članku 105. navodi se što bi takav zahtjev trebao sadržavati i koji je postupak za takvo izuzeće. U članku 106. utvrđuju se prava na obranu predmetnog subjekta. Komisija održava javno dostupan registar odluka o izuzećima (članak 107.). U člancima 108. i 109. utvrđuju se pravila o povjerljivosti i naknade povezane s postupkom izuzeća.

U poglavlju II. predviđa se primjena okvira za pouzdani lanac opskrbe IKT-om na pokretne, nepokretne i satelitske elektroničke komunikacijske mreže, čime se osigurava usklađenost s predloženim Aktom o digitalnim mrežama.

Ključna IKT imovina za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže utvrđena je u Prilogu II. Prijelazno razdoblje za postupno uklanjanje IKT komponenti visokorizičnih dobavljača iz ključne IKT imovine pokretne elektroničke komunikacijske mreže ne smije biti dulje od 36 mjeseci od stupanja na snagu ove Uredbe. Komisija provedbenim aktima određuje prijelazna razdoblja za nepokretne i satelitske elektroničke komunikacijske mreže. Komisija je ovlaštena za donošenje delegiranih akata radi izmjene određene ključne IKT imovine i prijelaznih razdoblja, među ostalim za buduće generacije pokretnih mreža (članak 110.). Člankom 111. propisuje se da pružatelji pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža ne mogu ni u kojem obliku koristiti, ugrađivati ili integrirati IKT komponente visokorizičnih pružatelja usluga te da im se ne može izdati opće ili pojedinačno ovlaštenje.

Nadležna tijela, nadzor i provedba, nadležnost, prava na obranu (poglavlje III.)

U poglavlju III. nadalje se utvrđuju pravila o nadležnim tijelima, nadzoru i izvršenju te nadležnosti. 

U člancima od 112.do 114. utvrđuju se ovlasti, sredstva i odgovornosti država članica za osiguravanje provedbe i izvršenja odredaba iz glave IV. Države članice moraju imenovati jedno ili više nadležnih tijela o kojima je potrebno obavijestiti Komisiju. Člankom 113. propisuje se da Komisija treba uspostaviti mrežu za suradnju nadležnih tijela država članica i Komisije kako bi se olakšalo ispunjavanje obveza, dok se člankom 114. utvrđuju nadzorne i izvršne mjere koje nadležna tijela imaju pravo poduzeti. Sankcije za povredu odredaba glave IV. navedene su u članku 115. U članku 116. detaljno se navodi mogućnost da si države članice uzajamno pomažu kad subjekti obavljaju prekogranične aktivnosti ili kad se njihova ključna IKT imovina nalazi u nekoliko država članica. U članku 117. predviđena su pravila o nadležnosti i teritorijalnosti.

2026/0011 (COD)

Prijedlog

UREDBE EUROPSKOG PARLAMENTA I VIJEĆA

o Agenciji Europske unije za kibernetičku sigurnost (ENISA), Europskom okviru za kibernetičkosigurnosnu certifikaciju i sigurnosti lanca opskrbe IKT-om te o stavljanju izvan snage Uredbe (EU) 2019/881 (Akt o kibernetičkoj sigurnosti 2)

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 114.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora 24 ,

uzimajući u obzir mišljenje Odbora regija 25 ,

u skladu s redovnim zakonodavnim postupkom,

budući da:

(1) Od donošenja Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća 26 geopolitičko, tehnološko i političko okruženje znatno se promijenilo. Naglo se povećao broj kibernetičkosigurnosnih incidenta, neovisno o tome je li riječ o onima uzrokovanima kvarovima sustava, ljudskom pogreškom, zlonamjernim djelima ili prirodnim pojavama, a kibernetički napadi postali su sofisticiraniji i usmjereni su na ključne subjekte, poduzeća i opću javnost. Ekosustav kibernetičkog kriminala se proširio, a u takvim aktivnostima najviše se koristi ucjenjivački softver. Povećao se i broj incidenata u lancu opskrbe, neovisno o tome je li riječ o onima koje se uzrokovali kriminalci radi financijske dobiti ili onima koje su uzrokovali državni akteri radi izazivanja poremećaja, špijunaže, dezinformiranja ili ratovanja. U okviru šire hibridne strategije incidenti koji proizlaze iz zlonamjernih kibernetičkih aktivnosti i kvarova sustava izazivaju lančane poremećaje, prekidaju osnovne usluge, narušavaju povjerenje u institucije i utječu na društvenu i obrambenu pripravnost Unije. Pokazalo se da takvi incidenti mogu utjecati na gospodarsku aktivnost, financijsku stabilnost i živote ljudi. Istodobno, ranjivost kritične civilne infrastrukture i sustava predstavlja rizik za obrambene sposobnosti ako se oslanjaju na njih.

(2)Istodobno, nove tehnologije kao što su umjetna inteligencija i kvantno računalstvo nepovoljno utječu na kibernetičku sigurnost i obranu. Mijenjaju sredstva obrane i taktike protivnika, predstavljaju prijetnje kibernetičkoj sigurnosti i obrani, ali istodobno pružaju mogućnosti za tehnološki napredak. Iako mogu doprinijeti kibernetičkoj sigurnosti zahvaljujući boljem otkrivanju prijetnji ili automatiziranim odgovorom na incidente, istodobno povećavaju ukupnu površinu napada za organizacije, potencijalne su mete manipulacije i mogu ugroziti dugoročnu održivost sigurnosnih mjera kao što je kriptiranje.

(3)Kako bi odgovorila na te promjene, Unija je poboljšala svoje pravne i političke instrumente. Direktivom (EU) 2022/2555 Europskog parlamenta i Vijeća 27 jača se kibernetička sigurnost kritične infrastrukture, što je dopunjeno Direktivom (EU) 2022/2557 Europskog parlamenta i Vijeća 28 o fizičkoj sigurnosti. Uredbom (EU) 2024/2847 Europskog parlamenta i Vijeća 29 poboljšava se kibernetička sigurnost proizvoda s digitalnim elementima. Uredbom (EU) 2025/38 Europskog parlamenta i Vijeća 30 jačaju se kapaciteti za odgovor na razini Unije, a Preporukom Vijeća od 6. lipnja 2025. o Planu EU-a za upravljanje kibernetičkim krizama 31 („Preporuka o Planu za kibernetičku sigurnost”) podupire se suradnja u upravljanju krizama na razini Unije. Paket instrumenata EU-a za kibernetičku sigurnost 5G mreža 32 prvi je korak prema koordiniranom pristupu na razini Unije za zaštitu 5G mreža. Komunikacija Komisije o Akademiji za vještine u području kibernetičke sigurnosti 33 usmjerena je na sve veći problem nedostatka stručnjaka za kibernetičku sigurnost. Osim toga, okvir za kibernetičku sigurnost pojačan je sektorskim zakonodavstvom, posebno Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća 34 za financijski sektor, Delegiranom uredbom Komisije (EU) 2024/1366 35 za elektroenergetski podsektor, Delegiranom uredbom Komisije (EU) 2022/1645 36 i Provedbenom uredbom Komisije (EU) 2023/203 (dio IS) 37 te relevantnim pravilima o zaštiti zračnog prometa utvrđenima u Uredbi Komisije (EU) 2019/1583 38 za podsektor zračnog prometa i drugim dokumentima o politikama, kao što je Komunikacija Komisije o Europskom akcijskom planu za kibernetičku sigurnost bolnica i pružatelja zdravstvene zaštite 39 . Subjekti Unije ojačani su i Uredbom (EU, Euratom) 2023/2841 Europskog parlamenta i Vijeća 40 , kojom se utvrđuju mjere za postizanje visoke zajedničke razine kibernetičke sigurnosti u institucijama, tijelima, uredima i agencijama Unije. Tim poboljšanim pravnim okvirom za kibernetičku sigurnost dodatno su utvrđene zadaće ENISA-e.

(4)U tom kontekstu i kako je navedeno u strategiji ProtectEU: U Europskoj strategiji unutarnje sigurnosti 41 i Strategiji za Uniju pripravnosti 42 , radi osiguravanja pripravnosti, sigurnosti i otpornosti društva i gospodarstva Unije, zahtijevaju se kvalitetna europska koordinacija, povjerenje i razmjena informacija među dionicima, pouzdani okviri za osiguravanje sigurnosti IKT proizvoda, usluga, procesa i upravljanih sigurnosnih usluga te povećanje i jačanje radne snage u području kibernetičke sigurnosti. Usto, poziva se na jačanje lanaca opskrbe IKT-om osiguravanjem europske tehnološke suverenosti nad ključnom imovinom, čime bi se povećala otpornost Unije i potencijalno pridonijelo mjerama kibernetičke obrane. Osim toga, u Komunikaciji o jačanju gospodarske sigurnosti EU-a 43 utvrđeno je da su prioritetni ciljevi sprečavanje pristupa osjetljivim informacijama i podacima koji bi mogli ugroziti gospodarsku sigurnost EU-a te sprečavanje i ublažavanje poremećaja u kritičnoj infrastrukturi EU-a koji utječu na gospodarstvo EU-a. U njoj se prepoznaje važnost učinkovitih mjera kibernetičke sigurnosti u tom smislu.

(5)Kibernetičkosigurnosni incidenti velikih razmjera koji utječu na kritičnu infrastrukturu, digitalne usluge ili ključne društvene funkcije mogu utjecati na stanovništvo i zahtijevati koordinirano djelovanje u području civilne zaštite i upravljanja krizama na razini Unije. U skladu s pristupom koji obuhvaća sve opasnosti iz Europske strategije za Uniju pripravnosti i Odluke br. 1313/2013/EU o Mehanizmu Unije za civilnu zaštitu, aranžmani za svijest o situaciji, odgovor na incidente i vježbe na temelju ove Uredbe trebali bi se uključiti u upravljanje krizama u Uniji, osobito u okviru Koordinacijskog centra za odgovor na hitne situacije (ERCC).

(6)Ovaj je prijedlog u skladu s [Prijedlog direktive o dopuni [revidirana Uredba (EU) 2019/881] i izmjeni Direktive (EU) 2022/2555 u odnosu na pojednostavnjenje provedbe mjera za visoku zajedničku razinu kibernetičke sigurnosti u cijeloj Uniji] i [Prijedlog uredbe o pojednostavnjenju digitalnog zakonodavstva (Digitalni omnibus) 44 , u kojem se predviđa obveza ENISA-e da razvije jedinstvenu ulaznu točku za izvješćivanje o incidentima putem koje subjekti mogu istodobno ispunjavati svoje obveze izvješćivanja o incidentima na temelju više pravnih akata.

(7)Uredbom (EZ) br. 460/2004 Europskog parlamenta i Vijeća osnovana je ENISA 45 kako bi pridonijela osiguravanju visoke i učinkovite razine mrežne i informacijske sigurnosti u Uniji te razvoja kulture mrežne i informacijske sigurnosti u korist građana, potrošača, poduzeća i javnih uprava. Mandat ENISA-e produljen je tri puta prije nego što joj je Uredbom (EU) 2019/881 dodijeljen stalni mandat. Kako bi se bolje odgovorilo na potrebe nastale zbog novih prijetnji i tehnologija, osobito u smislu operativne suradnje i povećane potrebe za stručnjacima za kibernetičku sigurnost, mandat ENISA-e trebalo bi dodatno proširiti. U interesu pravne sigurnosti Uredbu (EU) 2019/881 trebalo bi zamijeniti.

(8)U okruženju novih prijetnji u kojem kibernetičkosigurnosni incidenti postaju sve značajniji omogućivanje pojedincima, javnim tijelima i poduzećima da s povjerenjem svakodnevno koriste tehnologije važnije je nego ikad prije. Povjerenje se može povećati pojačanom certifikacijom u skladu s Europskim okvirom za kibernetičkosigurnosnu certifikaciju na razini Unije kojim se utvrđuju zajednički zahtjevi u pogledu kibernetičke sigurnosti i kriteriji za evaluaciju na svim nacionalnim tržištima i u svim sektorima. Novim okvirom trebali bi se utvrditi glavni horizontalni zahtjevi za europske programe kibernetičkosigurnosne certifikacije i omogućiti priznavanje i upotreba europskih kibernetičkosigurnosnih certifikata i EU izjava o sukladnosti u svim državama članicama. Pritom bi trebalo uspostaviti postupak i okvir upravljanja koji omogućuju pravodoban i predvidljiv razvoj i održavanje europskih programa kibernetičkosigurnosne certifikacije. Europski programi kibernetičkosigurnosne certifikacije trebali bi se ujednačeno primjenjivati u svim državama članicama kako bi se osigurala usklađena provedba zahtjeva u pogledu kibernetičke sigurnosti, izjednačili uvjeti i spriječilo „traženje povoljnije certifikacije” zbog razlika u razini strogosti u različitim državama članicama. ENISA bi trebala imati ključnu ulogu u osiguravanju razvoja programa izdavanjem tehničkih specifikacija i osiguravanjem tehničke ažurnosti takvih programa. Nadalje, kako bi se djelotvorno zadovoljile potrebe tržišta, u sklopu okvira trebalo bi predvidjeti mogućnost certifikacije mjera upravljanja kibernetičkosigurnosnim rizicima za subjekte i olakšati sukladnost s drugim primjenjivim propisima Unije u području kibernetičke sigurnosti. Usklađenost s postojećim pravom Unije, kao što su Uredba (EU) 2024/2847 i Direktiva (EU) 2022/2555, presudna je kako bi se europskim programima kibernetičkosigurnosne certifikacije moglo doprinijeti smanjenju opterećenja koje proizlazi iz usklađivanja za poduzeća, povećanju njihove privlačnosti i jačanju kibernetičke otpornosti Unije.

(9)Misija ENISA-e trebala bi biti pružanje potpore državama članicama i subjektima Unije u postizanju visoke razine kibernetičke sigurnosti, otpornosti i povjerenja u Uniju. U tu bi svrhu ENISA trebala djelovati kao referentna točka za savjete i stručno znanje o kibernetičkoj sigurnosti, a njezin bi se rad prvenstveno trebao odnositi na četiri ključna područja djelovanja u području kibernetičke sigurnosti na razini Unije. Prvo, ENISA bi trebala podupirati države članice u dosljednoj provedbi politike i zakonodavstva Unije u području kibernetičke sigurnosti te aktivnostima izgradnje kapaciteta pomagati državama članicama u kontinuiranom poboljšavanju njihovih kapaciteta za pripravnost, otpornost i odgovor. Drugo, ENISA bi trebala doprinijeti operativnoj suradnji na razini Unije među državama članicama i boljoj zajedničkoj svijesti o situaciji u pogledu kibernetičkih prijetnji i incidenata među državama članicama i subjektima Unije. Treće ključno područje djelovanja trebalo bi se odnositi na kibernetičkosigurnosnu certifikaciju i normizaciju, a četvrto na realizaciju Akademije za vještine u području kibernetičke sigurnosti, koja bi trebala doprinijeti razvoju sposobne europske radne snage u tom području, pri čemu bi vještine u tom području trebale biti prenosive u svim državama članicama.

(10)Uredbom (EU, Euratom) 2023/2841 utvrđuju se mjere za visoku zajedničku razinu kibernetičke sigurnosti u institucijama, tijelima, uredima i agencijama Unije te mandat CERT-EU-a, koji se uspostavlja kao služba za kibernetičku sigurnost institucija, tijela, ureda i agencija Unije radi doprinosa sigurnosti neklasificiranog IKT okruženja subjekata Unije savjetovanjem o kibernetičkoj sigurnosti, podupiranjem tih subjekata u sprečavanju, otkrivanju, ublažavanju i rješavanju incidenata, odgovoru na njih i oporavku od njih te preuzimanjem uloge njihova koordinacijskog centra za razmjenu informacija o kibernetičkoj sigurnosti i za odgovor na incidente. Nadalje, CERT-EU je zadužen za pružanje relevantnih kibernetičkih sigurnosnih usluga subjektima Unije. ENISA bi u okviru svoje misije trebala podupirati i subjekte Unije. To bi osobito trebala činiti sudjelovanjem u strukturiranoj suradnji na izgradnji kapaciteta s CERT-EU-om, operativnoj suradnji i dugoročnim strateškim analizama kibernetičkih prijetnji. Prema potrebi, ENISA može koordinirano iskoristiti strukturiranu suradnju s CERT-EU-om za svoje kibernetičke sigurnosne usluge ili potporu koja može imati dodanu vrijednost za subjekte Unije kako bi osigurala sinergiju s djelovanjem CERT-EU-a.

(11)Jedna od temeljnih zadaća ENISA-e trebala bi biti dosljedna potpora državama članicama u provedbi politike i prava Unije u području kibernetičke sigurnosti, osobito Direktive (EU) 2022/2555, Uredbe (EU) 2024/2847 i Uredbe (EU) 2025/38. Kako bi pomogla u postizanju dosljedne i djelotvorne provedbe pravne stečevine Unije u području kibernetičke sigurnosti, ENISA bi u tu svrhu trebala izdavati tehničke smjernice i izvješća, pružati savjete i primjere najbolje prakse te olakšavati razmjenu primjera najbolje prakse među nadležnim tijelima. Osim toga, ENISA procjenjuje stanje kibernetičke sigurnosti u Uniji i u tu svrhu donosi izvješće u skladu s člankom 18. Direktive (EU) 2022/2555. ENISA bi također trebala moći odgovoriti na zahtjeve država članica i, prema potrebi, subjekata Unije za savjet i pomoć u vezi s pitanjima koja su u njezinoj nadležnosti.

(12)Kako bi se potaknula suradnja između javnog i privatnog sektora te unutar privatnog sektora, osobito radi potpore zaštiti kritične infrastrukture, ENISA bi trebala podupirati razmjenu informacija unutar sektora i među njima, posebno u sektorima navedenima u prilozima I. i II. Direktivi (EU) 2022/2555, te informacija o proizvodima s digitalnim elementima obuhvaćenima područjem primjene Uredbe (EU) 2024/2847. Takva potpora može biti u obliku pružanja primjera najbolje prakse i smjernica o dostupnim alatima i postupcima te smjernica o tome kako riješiti regulatorna pitanja povezana s razmjenom informacija, primjerice olakšavanjem uspostave sektorskih centara za razmjenu i analizu informacija (ISAC).

(13)Kako bi poduprla i olakšala stratešku suradnju i razmjenu informacija, ENISA bi trebala doprinositi radu skupine za suradnju osnovane Direktivom (EU) 2022/2555 („Skupina za suradnju u području mrežne i informacijske sigurnosti”), ponajprije pružanjem stručnog znanja i savjeta te olakšavanjem razmjene primjera najbolje prakse, među ostalim u odnosu na prekogranične ovisnosti, rizike i incidente. ENISA bi trebala doprinositi i radu Europske skupine za suradnju u području digitalnog identiteta osnovane Uredbom (EU) br. 910/2014 Europskog parlamenta i Vijeća 46 , Europske skupine za kibernetičkosigurnosnu certifikaciju i Skupine za administrativnu suradnju (ADCO) osnovane Uredbom (EU) 2024/2847.

(14)Javna jezgra otvorenog interneta, odnosno njegovi glavni protokoli i infrastruktura koji su globalno javno dobro, omogućuje temeljnu funkcionalnost interneta i osnova je njegova normalnog funkcioniranja. ENISA bi u okviru svojeg mandata trebala podupirati sigurnost i otpornost javne jezgre otvorenog interneta i stabilnost njegova funkcioniranja, što uključuje, ali nije ograničeno na sigurno uvođenje i rad ključnih protokola (posebno sustava naziva domena, protokola za susjedne usmjernike (eng. Border Gateway Protocol (BGP)) i internetskog protokola verzije 6) i rad sustava naziva domena (kao što je rad svih vršnih domena), promicanjem primjera najbolje prakse, smjernica i suradnje, u skladu s uspostavljenim globalnim mehanizmima upravljanja internetom u kojima sudjeluje više dionika te odgovarajućim ulogama i odgovornostima relevantnih međunarodnih tehničkih i operativnih tijela.

(15)ENISA djeluje kao referentna točka za savjete i stručno znanje o kibernetičkoj sigurnosti. Stoga bi ENISA trebala pomagati Komisiji na njezin zahtjev stručnim znanjem, tehničkim savjetima, informacijama, analizama, uključujući studije izvedivosti, mišljenjima i pripremnim radom u vezi s bilo kojim posebnim pitanjem u području kibernetičke sigurnosti kako bi joj pružila informacije potrebne za oblikovanje politika i olakšavala joj praćenje provedbe zakonodavstva Unije u području kibernetičke sigurnosti.

(16)Slično tome, uzimajući u obzir njezino stručno znanje, ENISA bi trebala pomagati državama članicama u njihovim nastojanjima da izgrade i poboljšaju sposobnosti i pripravnost za sprečavanje, otkrivanje i odgovor na kibernetičke prijetnje i incidente te u vezi sa sigurnošću mrežnih i informacijskih sustava. ENISA bi posebno trebala podupirati razvoj i poboljšanje timova za odgovor na računalne sigurnosne incidente („CSIRT-ovi”) predviđenih u Direktivi (EU) 2022/2555 radi postizanja visoke zajedničke razine razvijenosti CSIRT-ova u Uniji.

(17)ENISA je podupirala i trebala bi nastaviti podupirati države članice u izradi i provedbi smjernica za njihove nacionalne strategije za kibernetičku sigurnost kojima se doprinosi donošenju i provedbi strategija za kibernetičku sigurnost u svim državama članicama. ENISA bi trebala promicati širenje takvih strategija putem interaktivne karte nacionalnih strategija za kibernetičku sigurnost te bi trebala dodatno pratiti napredak njihove provedbe, među ostalim pružanjem potpore u razvoju ključnih pokazatelja uspješnosti u tom kontekstu.

(18)Prema Uredbi (EU, Euratom) 2023/2841 Međuinstitucijski odbor za kibernetičku sigurnost zadužen je za pružanje potpore subjektima Unije u podizanju njihovih razina kibernetičke sigurnosti, a CERT-EU za doprinos sigurnosti neklasificiranog IKT okruženja svih subjekata Unije. ENISA bi, na temelju svojeg iskustva u području kibernetičke sigurnosti, trebala podupirati Međuinstitucijski odbor za kibernetičku sigurnost i CERT-EU u njihovim zadaćama u skladu s Uredbom (EU, Euratom) 2023/2841, među ostalim pružanjem doprinosa analizi kibernetičkih prijetnji, svijesti o situaciji, vježbama u području kibernetičke sigurnosti, koordinaciji odgovora na incidente te razmjeni znanja i primjera najbolje prakse.

(19)Na temelju svojeg stručnog znanja i kako bi dopunila sposobnosti nacionalnih javnih tijela i javnih tijela Unije, ENISA bi trebala organizirati osposobljavanje na temelju Europskog okvira za vještine u području kibernetičke sigurnosti (ECSF), posebno kako bi se poduprla djelotvorna provedba politika, operativna suradnja i jačanje svijesti.

(20)Kako bi se osigurale sinergije s Europskim stručnim centrom za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti (ECCC) i mrežom nacionalnih koordinacijskih centara uspostavljenom na temelju Uredbe (EU) 2021/887 Europskog parlamenta i Vijeća 47 , ENISA bi taj centar i mrežu trebala podupirati razmjenom informacija o postojećim i novim rizicima i kibernetičkim prijetnjama, uključujući rizike i prijetnje povezane s informacijskim i komunikacijskim tehnologijama.

(21)U strategiji za pripravnost ističe se da je digitalna pismenost, koja se temelji na stjecanju osnovnih digitalnih vještina, preduvjet da bi građani bili otporniji i sposobniji nositi se s budućim krizama. Međutim, kako je istaknuto u Komunikaciji Komisije o uniji vještina 48 , gotovo polovina odraslog stanovništva nema osnovne digitalne vještine, unatoč tome što su takve vještine potrebne za više od 90 % radnih mjesta. Kako bi se osiguralo da sadašnja i potencijalna buduća radna snaga ima potrebne vještine u digitalnom okruženju koje se brzo razvija te kako bi se doprinijelo razvoju europske mreže stručnjaka u području kibernetičke sigurnosti, ENISA bi trebala podupirati aktivnosti jačanja svijesti o kibernetičkoj sigurnosti kojima je cilj privući talente i pomoći u informiranju o obrazovanju i vještinama potrebnima u području kibernetičke sigurnosti, kao što je Europsko natjecanje u području kibernetičke sigurnosti. U tom bi smislu ENISA trebala koordinirati natjecanja u području kibernetičke sigurnosti, sigurnosne izazove i slične praktične vježbe kao sredstva za razvoj vještina u području kibernetičke sigurnosti i poticanje izgradnje kapaciteta u cijeloj Uniji. Pri provedbi aktivnosti jačanja svijesti ENISA bi trebala osigurati da se vodi računa o potrebama nacionalnih javnih tijela i subjekata Unije, kao i potrebama poduzeća, posebno MSP-ova, te ustanova za obrazovanje i osposobljavanje osiguravanjem praktičnih okvira i osposobljavanja, primjerice paketa alata za informiranje. ENISA bi trebala dodatno razviti praktične i provedive smjernice za potporu provedbi politike i zakonodavstva Unije u području kibernetičke sigurnosti. ENISA bi također trebala nastojati pružiti relevantne informacije o primjenjivim programima certifikacije, na primjer davanjem smjernica i preporuka.

(22)Kako bi se pružila potpora poduzećima koja posluju u sektoru kibernetičke sigurnosti i korisnicima rješenja za kibernetičku sigurnost te kako bi se osigurala djelotvorna provedba glave III. ove Uredbe, ENISA bi trebala uspostaviti i održavati „opservatorij tržišta” provođenjem redovitih analiza i širenjem informacija o glavnim trendovima na tržištu kibernetičke sigurnosti, i na strani potražnje i na strani ponude. Osim toga, kako bi se pružila potpora korisnicima pričuve EU-a za kibernetičku sigurnost uspostavljene na temelju Uredbe (EU) 2025/38, ENISA bi trebala izraditi pregled usluga koje su potrebne takvim korisnicima i dostupnosti takvih usluga na temelju te uredbe.

(23)Kibernetičke prijetnje globalni su problem. Potrebna je bliža međunarodna suradnja kako bi se poboljšala kibernetička sigurnost, među ostalim kako bi se utvrdile zajedničke norme ponašanja i zajednički pristupi. U tu bi svrhu ENISA trebala podupirati suradnju Unije s trećim zemljama, prvenstveno sa zemljama kandidatkinjama za pristupanje Uniji, i međunarodnim organizacijama, kao što je NATO, pružanjem potrebnog stručnog znanja i analize Komisiji i, prema potrebi, relevantnim subjektima Unije. Aktivnosti ENISA-e u međunarodnom području uvijek bi trebale biti u skladu s prioritetima Unije.

(24)Kako bi pomogla u postizanju visoke razine kibernetičke sigurnosti u Uniji, ENISA bi trebala podupirati operativnu suradnju među državama članicama, u suradnji s CERT-EU-om, te među subjektima Unije i dionicima. U tu bi svrhu trebalo ojačati ulogu ENISA-e. ENISA bi trebala postati član mreže CSIRT-ova i doprinositi razmjeni i analizi informacija o mreži. ENISA bi trebala dodatno promicati i podupirati suradnju među relevantnim CSIRT-ovima u slučaju incidenata, napada ili poremećaja u mrežama ili infrastrukturi kojima upravljaju ili koje štite CSIRT-ovi. Aktivna potpora ENISA-e radu mreže CSIRT-ova i Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe) trebala bi tim mrežama omogućiti da nastave povećavati svoju razinu razvijenosti. Uloga ENISA-e u podupiranju takve suradnje uključuje borbu protiv prijetnji sigurnosti i integritetu demokratskih institucija, izbora i drugih procesa te kritične infrastrukture o kojoj ovise, u skladu sa Zajedničkom komunikacijom „Europski štit za zaštitu demokracije: za jača i otpornija demokratska društva” 49 .

(25)Kako bi poduprla izgradnju kapaciteta, operativnu suradnju i dugoročne strateške analize kibernetičkih prijetnji, ENISA bi trebala iskoristiti dostupno tehničko i operativno stručno znanje CERT-EU-a u okviru strukturirane suradnje, primjerice u okviru posebnih aranžmana.

(26)Kako bi se ojačala kibernetička sigurnost u cijeloj Uniji i osigurao brz i djelotvoran odgovor na kibernetičke prijetnje, ENISA bi trebala podupirati države članice na njihov zahtjev, među ostalim davanjem savjeta o poboljšanju njihovih sposobnosti za sprečavanje i otkrivanje incidenata, odgovor na njih i oporavak od njih, olakšavanjem tehničkog rješavanja značajnih incidenata u smislu Direktive (EU) 2022/2555, posebno podupiranjem dobrovoljne razmjene tehničkih rješenja među državama članicama ili osiguravanjem analize kibernetičkih prijetnji i incidenata. ENISA bi također trebala pomagati mreži EU-CyCLONe u izradi izvješća na političkoj razini Unije i država članica.

(27)Kako bi se smanjili izloženost vanjskom upletanju, manipulacija u lancu opskrbe i izvlačenje strateških podataka, ENISA bi se trebala koristiti sigurnim komunikacijskim alatima u okviru mreže CSIRT-ova i mreže EU-CyCLONe. Na temelju Preporuke o Planu za kibernetičku sigurnost takve bi alate trebali osigurati pravni subjekti s poslovnim nastanom u Uniji ili za koje se smatra da imaju poslovni nastan u Uniji i koji su pod kontrolom država članica ili njihovih državljana.

(28)Kako bi pridonijela pripravnosti i odgovoru na razini Unije u slučaju kibernetičkosigurnosnih incidenata i kriza velikih razmjera, ENISA bi trebala provoditi aktivnosti jačanja svijesti o situaciji u kibernetičkoj sigurnosti.

(29) Pristup provjerenim i pouzdanim saznanjima o kibernetičkim prijetnjama u stvarnom vremenu preduvjet je za izgradnju zajedničke svijesti o situaciji u Uniji. ENISA, Komisija, CERT-EU i Europski centar za kibernetički kriminal (EC3) pri Europolu već su razvili repozitorije obavještajnih podataka o kibernetičkim prijetnjama koji su prilagođeni njihovim posebnim potrebama. ENISA i drugi relevantni subjekti Unije trebali bi dobrovoljno surađivati na razvoju repozitorija provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama u stvarnom vremenu i nastojati postići sinergije kako bi se osigurala ekonomija razmjera i ojačalo dobro financijsko upravljanje. U taj bi rad trebalo uključiti i sektorske subjekte Unije, kao što je Agencija EU-a za svemirski program. Ti bi subjekti trebali razmjenjivati samo izvedene analize, trendove i taktike, tehnike i postupke, a ne neobrađene podatke, te bi trebali poštovati neovisnost subjekata u upravljanju vlastitim životnim ciklusom obavještajnih podataka o kibernetičkim prijetnjama u skladu sa svojim mandatima i pravilima o nužnosti pristupa informacijama.

(30)Kako bi doprinijela pravodobnom i koordiniranom odgovoru, ENISA bi trebala moći izdati rana upozorenja o potencijalnom značajnom incidentu ili incidentu velikih razmjera ili značajnom incidentu ili incidentu velikih razmjera koji je u tijeku ili kibernetičkoj prijetnji potencijalno prekogranične prirode predmetnim CSIRT-ovima te, prema potrebi, mreži CSIRT-ova i mreži EU-CyCLONe, posebno u vezi sa subjektima navedenima u prilozima I. i II. Direktivi (EU) 2022/2555. Informacije u takvim ranim upozorenjima mogu uključivati javno poznate ranjivosti i informacije o tome jesu li njima zahvaćeni proizvodi s digitalnim elementima obuhvaćeni Uredbom (EU) 2024/2847 te tehnike i postupke, pokazatelje ugroženosti, neprijateljske taktike, informacije o određenom akteru prijetnje i preporuke o mjerama ublažavanja.

(31) Kako bi se zadržalo povjerenje i kako se ne bi dovela u pitanje razmjena informacija, važno je da ENISA primjenjuje vidljive oznake kojima se naznačuje u kojoj se mjeri dokument ili informacije koje je izradila ili primila mogu dalje razmjenjivati. Slično tome, ENISA bi se za potrebe obavljanja svojih aktivnosti trebala koristiti dokumentima ili informacijama koje primi, uz poštovanje svih ograničenja navedenih na vidljivoj oznaci o daljnjem dijeljenju tih informacija.

(32)Kako bi se povećala svijest o pokazateljima kibernetičkih prijetnji i preporukama o mjerama ublažavanja, ENISA bi subjektima koji djeluju u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555 trebala omogućiti korištenje usluge ranog upozoravanja. Takva opća, dobrovoljna rana upozorenja trebala bi posebno koristiti MSP-ovima i trebala bi biti dostupna u strojno čitljivom formatu koji je javno dostupan. U svakom slučaju, takva dobrovoljna usluga odvojena je od javno-privatnih partnerstava koja ENISA može uspostaviti ili koja je već uspostavila i nije povezana s njima.

(33)Kako bi poduprla zajedničku svijest o situaciji u kibernetičkoj sigurnosti u Uniji, ENISA bi u bliskoj suradnji s državama članicama trebala redovito izrađivati detaljno tehničko izvješće o situaciji u kibernetičkoj sigurnosti u EU-u s obzirom na incidente i kibernetičke prijetnje na temelju javno dostupnih informacija, vlastite analize i izvješća koja joj dobrovoljno dostavljaju CSIRT-ovi država članica ili nacionalne jedinstvene kontaktne točke za sigurnost mrežnih i informacijskih sustava („jedinstvene kontaktne točke”) predviđene u Direktivi (EU) 2022/2555 te Europol i CERT-EU. To bi izvješće trebalo dostaviti Vijeću, Europskoj službi za vanjsko djelovanje, mreži EU-CyCLONe, mreži CSIRT-ova, Komisiji i Europolu.

(34)Kako bi se poboljšala zajednička svijest dionika o situaciji u pogledu kibernetičkih prijetnji i incidenata, ENISA bi trebala analizirati s njima povezane trendove. To bi trebalo uključivati redovitu analizu koja obuhvaća sektore visoke kritičnosti i druge kritične sektore navedene u prilozima I. i II. Direktivi (EU) 2022/2555, uključujući zdravstveni, energetski i prometni sektor. Ta analiza trebala bi uključivati razine zrelosti u sektorima te bi u njoj trebalo utvrditi, među ostalim, moguće poteškoće specifične za određeni sektor. Da bi se utvrdili učinci na lance opskrbe, analiza bi prema potrebi trebala obuhvaćati kibernetičke prijetnje i trendove povezane s kategorijama proizvoda obuhvaćenima Uredbom (EU) 2024/2847. ENISA bi trebala razvijati stručno znanje u području kibernetičke sigurnosti infrastruktura i u pogledu njihovih ovisnosti o ključnim lancima opskrbe, prvenstveno kako bi pružila potporu sektorima navedenima u prilozima I. i II. Direktivi (EU) 2022/2555 i provedbi Uredbe (EU) 2024/2847. U tu bi svrhu ENISA prema potrebi trebala surađivati i s drugim relevantnim subjektima Unije.

(35)Nadalje, kako bi bolje razumjela izazove u području kibernetičke sigurnosti, ENISA treba analizirati postojeće tehnologije i tehnologije u nastajanju te provesti tematske procjene očekivanog društvenog, pravnog, gospodarskog i regulatornog učinka tehnoloških inovacija na kibernetičku sigurnost. Kako bi se javnosti olakšao pristup informacijama o kibernetičkosigurnosnim rizicima i mogućim pravnim lijekovima, ENISA može na svojim internetskim stranicama navesti relevantne informacije u dobro strukturiranom formatu prilagođenom korisnicima.

(36)Važnija uloga ENISA-e u poboljšanju svijesti o situaciji, analizi prijetnji i pružanju tehničkih savjeta doprinijet će unapređenju zajedničkog rada na poboljšanju kibernetičke sigurnosti proizvoda s digitalnim elementima i poduprijeti provedbu Uredbe (EU) 2024/2847. U skladu s Uredbom (EU) 2024/2847 ENISA može tijelima za nadzor tržišta predložiti zajedničke aktivnosti za provjeru sukladnosti proizvoda s digitalnim elementima i utvrditi kategorije proizvoda s digitalnim elementima za koje se mogu organizirati opsežne provjere. Informacije koje proizlaze iz analize kibernetičkih prijetnji i rano upozoravanje trebali bi ojačati potporu koju ENISA pruža tim tijelima i doprinijeti djelotvornoj provedbi Uredbe (EU) 2024/2847 kako bi se spriječili učinci kibernetičkih napada u lancu opskrbe na cijelom unutarnjem tržištu i poboljšala opća pripravnost Unije.

(37)Napadi ucjenjivačkim softverom značajna su kibernetička prijetnja Uniji. Kako bi se povećala kibernetička sigurnost Unije i odgovorilo na napade ucjenjivačkim softverom, ENISA bi trebala razviti kapacitete za svijest o situaciji i potporu odgovoru na incidente i oporavku od njih. Pri pomaganju pojedinačnim ključnim i važnim subjektima u odgovoru na napad ucjenjivačkim softverom i oporavku od njega ENISA bi trebala blisko surađivati s Europolom i CSIRT-ovima ili nadležnim tijelima, ovisno o slučaju, oslanjajući se pritom na stečeno iskustvo Europola u borbi protiv kaznenih djela počinjenih ucjenjivačkim softverom. Takvom bi se pomoći trebale dopuniti aktivnosti CSIRT-ova kojima se podupire odgovor na incidente. Kako bi u svojoj borbi protiv ucjenjivačkih softvera postigla sinergije, ENISA bi trebala uspostaviti službu za pomoć i u tu bi svrhu mogla objediniti relevantne kapacitete i usluge pružanja odgovora na napad ucjenjivačkim softverom te staviti na raspolaganje lako dostupne informacije, smjernice i alate koji ključnim i važnim subjektima mogu pomoći da odgovore na incident s ucjenjivačkim softverom i oporave se od njega.

(38)ENISA bi Komisiji trebala pružati tehničko stručno znanje i potporu u izradi godišnjeg kontinuiranog programa vježbi u području kibernetičke sigurnosti na razini Unije u skladu s Preporukom o Planu za kibernetičku sigurnost radi pripreme za kibernetičke krize, testiranja razine kibernetičke sigurnosti subjekata koji sudjeluju u takvim vježbama i smanjenja dvostrukog djelovanja. ENISA bi, na primjer, trebala pružati savjete o odgovarajućim vrstama vježbi, kao što su stožerna ili hibridna vježba ili vježba u stvarnom okruženju, kao i o ciljevima, scenarijima i sudjelovanju.

(39)Pristup točnim i pravodobnim informacijama o ranjivostima i pouzdano upravljanje njima preduvjet su za osiguravanje visoke razine kibernetičke sigurnosti na unutarnjem tržištu. Zbog toga bi ENISA trebala održavati europsku bazu podataka o ranjivostima na temelju Direktive (EU) 2022/2555 i uspostaviti zajednički kapacitet Unije za usluge upravljanja ranjivostima, čime bi se osigurala otporna i održiva razina usluga i smanjio rizik od poremećaja. U tu bi svrhu ENISA trebala ispitati mogućnosti za produbljivanje strukturirane suradnje na temelju programa, registara ili baza podataka sličnih europskoj bazi podataka o ranjivostima kako bi se izbjeglo dvostruko djelovanje i, prema potrebi, postigla komplementarnost na međunarodnoj razini. Nadalje, ENISA bi trebala podupirati višestrano koordinirano otkrivanje ranjivosti na razini Unije i pružati usluge s dodanom vrijednošću, kao što su savjetovanje o ranjivostima, ocjenjivanje ozbiljnosti i popisi proizvoda, te izraditi poboljšani europski katalog poznatih iskorištenih ranjivosti kako bi se subjektima pomoglo u upravljanju ranjivostima.

(40)Uloga ENISA-e u razvoju Europskog okvira za kibernetičkosigurnosnu certifikaciju trebala bi biti ključan aspekt njezina mandata. ENISA bi trebala pružati svoje tehničko stručno znanje tijekom cijelog životnog ciklusa europskih programa kibernetičkosigurnosne certifikacije. S obzirom na budući program, ENISA bi trebala utvrditi postojeće norme ili tehničke specifikacije na kojima se može temeljiti takav program i, prema potrebi, sama izraditi tehničke specifikacije na koje se može upućivati u programu. ENISA bi trebala biti zadužena za izradu prijedloga programa na zahtjev Komisije. Za programe koji su već uspostavljeni ENISA bi trebala biti odgovorna za njihovo održavanje. ENISA bi pritom trebala doprinositi izgradnji i razvoju ekosustava certificiranja u kojem se traže povratne informacije država članica i privatnih dionika i jačaju njihovi kapaciteti za certifikaciju. To bi trebalo uključivati i upravljanje namjenskim internetskim stranicama o certificiranju na kojima su besplatno i javno dostupne relevantne informacije povezane s donesenim programima, uključujući certifikate i izjave o sukladnosti.

(41)Kako bi poduprla provedbu relevantnog zakonodavstva Unije, ENISA bi trebala oblikovati smjernice za najsuvremenija rješenja u području kibernetičke sigurnosti izradom tehničkih specifikacija za potporu provedbi relevantnog zakonodavstva Unije, među ostalim s obzirom na moguće upućivanje na njih u europskim programima kibernetičkosigurnosne certifikacije. ENISA bi također trebala pratiti rad relevantnih tijela za normizaciju na izradi i razvijanju normi radi praćenja trendova u području normizacije na europskoj i globalnoj razini te, kad god je to potrebno, oblikovati takve norme sudjelovanjem i predvodništvom u aktivnostima organizacija za normizaciju, među ostalim izradom nacrta normi. Pritom bi ENISA trebala ostati nepristrana. Na primjer, mogu postojati situacije u kojima bi se ENISA trebala povući iz relevantnih aktivnosti u tijelima za normizaciju ako se od nje zatraži da ocijeni europske norme koje je Komisija zatražila kao potporu zakonodavstvu Unije. ENISA ne bi trebala sudjelovati u izradi normi za čiju je procjenu zadužena.

(42)Kako bi poduprla provedbu politika Unije i pripremu mogućih normizacijskih aktivnosti, ENISA bi trebala doprinijeti razvoju i evaluaciji kriptografskih algoritama, osobito u području postkvantne kriptografije. U tom kontekstu, na zahtjev Komisije i podložno sporazumu o doprinosu kako je definiran u Uredbi (EU, Euratom) 2024/2509 Europskog parlamenta i Vijeća 50 , ENISA može uspostaviti postupak za dostavu i evaluaciju algoritama za kriptografske algoritme od strane relevantnih dionika, posebno kriptografskih, akademskih i istraživačkih zajednica, kao i proizvođača, CSIRT-ova, nacionalnih tijela za kibernetičkosigurnosnu certifikaciju i nadležnih tijela u skladu s Direktivom (EU) 2022/2555. Ako ENISA doprinosi uspostavi takvih postupaka, trebala bi promicati suradnju među relevantnim dionicima i provoditi organizacijske aspekte. Postupak bi trebao biti formalan, otvoren, transparentan i uključiv i uključivati savjetovanje s relevantnim dionicima o nacrtu minimalnih zahtjeva te postupku evaluacije i kriterijima evaluacije, osobito radi sigurnosti i uspješnosti evaluacija.

(43)Kako bi poduprla provedbu aktivnosti ocjenjivanja sukladnosti u okviru europskih programa kibernetičkosigurnosne certifikacije i drugog relevantnog zakonodavstva Unije, ENISA može osigurati relevantne alate za tehničko testiranje za potporu državama članicama, poduzećima i tijelima za ocjenjivanje sukladnosti u aktivnostima evaluacije. Takvi bi alati trebali pridonijeti stvaranju sinergija na razini Unije i učinkovitom provođenju postupaka ocjenjivanja sukladnosti kako bi se zadovoljile potrebe država članica i tržišta. Takve potrebe mogu se pojaviti, na primjer, u području integrirane sigurnosti kako bi se poduzećima, uključujući mala i srednja poduzeća, pružila potpora u provedbi u kontekstu Uredbe 2024/2847. U tom kontekstu ENISA bi trebala naplaćivati naknade za pokrivanje relevantnih troškova povezanih s uspostavom, projektiranjem, razvojem, održavanjem i ažuriranjem potrebnih softverskih i hardverskih kapaciteta za takve alate za testiranje.

(44)Kako bi poduprla države članice u njihovim nastojanjima da riješe problem manjka stručnjaka za kibernetičku sigurnost i sve veće potrebe za kvalificiranom, raznolikom, među ostalim u smislu rodne ravnoteže, i fleksibilnom radnom snagom te kako bi omogućila mobilnost radne snage i pripravnost u svim državama članicama, ENISA bi se trebala oslanjati na načela i rad započet u okviru Akademije za vještine u području kibernetičke sigurnosti. ENISA bi posebno trebala uspostaviti Europski okvir za vještine u području kibernetičke sigurnosti („ECSF”) kao zajednički okvir za profile zanimanja u tom području. ENISA bi trebala nastaviti podupirati države članice u uklanjanju rodnih razlika u ulogama u području kibernetičke sigurnosti. Taj je pristup u skladu s vizijom iznesenom u Komunikaciji Komisije o uniji vještina i pridonio bi ostvarivanju njezinih ciljeva. Trebalo bi dodatno ispitati oznaku kvalitete za pojedinačne europske potvrde o vještinama u području kibernetičke sigurnosti.

(45)Europski okvir za vještine u području kibernetičke sigurnosti trebao bi biti praktičan i fleksibilan alat za korištenje na dobrovoljnoj osnovi kojim se osigurava zajedničko razumijevanje i terminologija relevantnih uloga i povezanih zadaća, vještina i znanja koji su najviše potrebni za uloge u području kibernetičke sigurnosti kako bi se poduprlo utvrđivanje ključnih skupova vještina, uključujući transverzalne vještine, potrebnih za radnu snagu, te kako bi se pružateljima obrazovanja, uključujući poduzeća, visoka učilišta ili pružatelje strukovnog obrazovanja i osposobljavanja, omogućilo osmišljavanje programa i pomoglo oblikovateljima politika da razviju inicijative za rješavanje problema nedostatka vještina. S obzirom na potencijal tog okvira da se koristi kao referentni okvir za priznavanje vještina, trebao bi ujedno biti interoperabilan s europskom klasifikacijom vještina i zanimanja (ESCO) kako bi se odjelima za ljudske resurse pomoglo u razumijevanju zahtjeva za planiranje resursa, zapošljavanje i razvoj karijere radi potpore zadovoljavanju potreba u području kibernetičke sigurnosti. Dok se u okviru DigComp 3.0 opisuju znanje, vještine i stavovi koji su potrebni kako bi se stekle digitalne kompetencije za svakodnevni život, sudjelovanje u društvu, rad i učenje te koje mogu upotrebljavati i odrasli i djeca, Europski okvir za vještine u području kibernetičke sigurnosti pruža jednostavan okvir za utvrđivanje uloga u području kibernetičke sigurnosti i povezanih zadaća, znanja i vještina potrebnih za njihovo obavljanje. U tom je smislu usmjeren na specijalizirane dionike u području kibernetičke sigurnosti, od postojećih ili potencijalnih stručnjaka za kibernetičku sigurnost, obrazovnih ustanova do poslodavaca. Europski okvir za vještine u području kibernetičke sigurnosti trebao bi podupirati i razvoj europskih osobnih potvrda o vještinama u području kibernetičke sigurnosti kao najvažniji instrument za razvoj programa, čime će se omogućiti ulazak novih sudionika na tržište i potaknuti tržišno natjecanje unutar zajedničkog okvira. Taj bi okvir trebalo redovito ocjenjivati i ažurirati kako bi se osiguralo da na odgovarajući način odražava potrebe tržišta rada u području kibernetičke sigurnosti te tehnološka i politička kretanja. ENISA bi trebala podupirati države članice i subjekte Unije u uvođenju okvira te pružati odgovarajuću potporu ako je to potrebno.

(46)Vještine i kvalifikacije u području kibernetičke sigurnosti trebale bi biti usporedive, transparentne i pouzdane na cijelom unutarnjem tržištu. U tu bi svrhu pojedinačne europske potvrde o vještinama u području kibernetičke sigurnosti 51 trebale pomoći poslodavcima, uključujući MSP-ove i start-up poduzeća, u učinkovitom zapošljavaju postojećih ili potencijalnih stručnjaka za kibernetičku sigurnost unutar država članica i među njima, u skladu s ciljevima utvrđenima u Komunikaciji o uniji vještina. Kako bi se osigurala dosljedna provedba u svim državama članicama, europske pojedinačne potvrde o vještinama u području kibernetičke sigurnosti trebale bi se temeljiti na zajedničkom razumijevanju, na razini Unije, vještina potrebnih za postizanje tih ciljeva te bi ih trebali izdavati izdavatelji koje je ovlastila ENISA na temelju zajedničkog skupa kriterija. Taj bi pristup trebao biti usklađen s ciljevima buduće inicijative za prenosivost vještina i pridonositi im.

(47)Razvoj sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti trebao bi služiti kao dopuna mjerama država članica tako što će javnim tijelima i gospodarskim subjektima omogućiti da iskoriste europski mehanizam za izdavanje potvrda, u skladu s pomoćnom nadležnošću Unije u području obrazovanja i strukovnog osposobljavanja, kako je navedeno u članku 6. točki (e), članku 165. stavku 1. i članku 166. stavku 1. UFEU-a. Ti programi, zajedno s radom Akademije za vještine u području kibernetičke sigurnosti, mogu biti i osnova za programe visokog obrazovanja, kao što su sektorske europske diplome, i za razvoj mikrokvalifikacija. Sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti stoga ne bi trebali imati za cilj usklađivanje zakona i propisa u državama članicama, nego bi se trebali smatrati provedbenim alatom i prilikom koju države članice i gospodarski subjekti mogu, ako žele, iskoristiti i promicati.

(48)ENISA bi trebala osigurati da sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti budu u skladu s potrebama tržišta i da se temelje na iskustvu javnih i privatnih pružatelja osobnih certifikacija, uključujući države članice, visoka učilišta, ustanove za strukovno obrazovanje i osposobljavanje te poduzeća. ENISA bi se trebala savjetovati s Komisijom o određivanju prioriteta za sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uzimajući u obzir provedbu politike i potrebe tržišta.

(49)Kako bi se osigurala usklađenost između Europskog okvira za vještine u području kibernetičke sigurnosti i sustavâ, u slučaju revizije profila uloge u Europskom okviru za vještine u području kibernetičke sigurnosti trebala bi se automatski provesti i evaluacija prikladnosti povezanog ili povezanih sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, što može dovesti do njihova preispitivanja.

(50)Uzimajući u obzir raznolikost profila kibernetičkosigurnosnih uloga i s njima povezanih zadaća, vještina i znanja, ocjenjivanje osoba i metode ocjenjivanja možda će trebati prilagoditi za svaki sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti. Svaki bi sustav trebao zajamčiti da se potrebne vještine osobe u smislu ishoda učenja, uključujući, prema potrebi, evaluaciju razine stručnosti, sustavno ocjenjuju prema profilu uloge iz Europskog okvira za vještine u području kibernetičke sigurnosti ili njegovom podskupu. Metode ocjenjivanja mogu uključivati elemente kao što su ispitivanje teorijskog znanja, praktični ispit, preduvjeti i istorazinsko ocjenjivanje. Trebalo bi na odgovarajući način uzeti u obzir iskustvo pojedinaca.

(51)Kako bi se osigurala dosljedna provedba sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, osobito u odnosu na ocjenjivanje pojedinaca, ENISA bi trebala osigurati obvezno osposobljavanje osoblja zaduženog za ocjenjivanje pojedinaca. Takvo osoblje trebalo bi imati iskustvo u području kibernetičke sigurnosti koje bi se moglo dokazati posjedovanjem osobne europske potvrde o vještinama u području kibernetičke sigurnosti za profil uloge za koji provodi ocjenjivanje i na razini stručnosti koja je barem jednaka razini stručnosti pojedinaca koje ocjenjuje.

(52)Uloga je ovlaštenih izdavatelja potvrda potvrditi znanje i kompetencije pojedinca za obavljanje jedne od uloga iz Europskog okvira za vještine u području kibernetičke sigurnosti i pružiti jamstvo poslodavcima u cijeloj Uniji. Budući da bi poslodavci koji upravljaju kritičnom infrastrukturom Unije razmotrili i osiguravanje kvalitete vještina i kompetencija pojedinaca koji stječu europsku pojedinačnu potvrdu o vještinama u području kibernetičke sigurnosti, ovlašteni izdavatelji koji potvrđuju razinu vještina i kompetencija trebali bi biti pouzdani sa stajališta kibernetičke sigurnosti i ne bi trebali biti izloženi neprimjerenom utjecaju treće zemlje koja predstavlja kibernetičkosigurnosni rizik. Stoga subjekti koji imaju poslovni nastan u trećoj zemlji koja je u skladu s ovom Uredbom okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom takve treće zemlje, subjekta s poslovnim nastanom u takvoj trećoj zemlji ili državljanina takve treće zemlje (visokorizični dobavljači) u skladu s ovom Uredbom ne bi trebali biti prihvatljivi kao ovlašteni izdavatelji osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti u skladu s glavom II. odjeljkom 4.

(53) Kako bi se zajamčilo da osobe koje posjeduju europsku potvrdu o vještinama u području kibernetičke sigurnosti tu potvrdu mogu lako koristiti i predočavati i da se ona može koristiti u svim državama članicama, ovlašteni izdavatelji potvrda trebali bi osigurati da se elektroničke potvrde u okviru sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti na zahtjev pojedinca izdaju u elektroničkom obliku putem europske lisnice za digitalni identitet (digitalna lisnica) uspostavljene Uredbom (EU) br. 910/2014. Ovlaštene izdavatelje potvrda trebalo bi smatrati izdavateljima usluga povjerenja i na njih bi se trebao primjenjivati sustav nadzora i odgovornosti utvrđen u Uredbi (EU) br. 910/2014. Sustav za potvrdu atributa koji se koristi u skladu s Provedbenom uredbom Komisije (EU) 2025/1569 52 trebalo bi registrirati u katalogu sustava za potvrdu atributa predviđenom tom provedbenom uredbom.

(54)Kako bi pridonijela razvoju radne snage u području kibernetičke sigurnosti i prenosivosti vještina u cijeloj Uniji, ENISA bi na namjenskim internetskim stranicama trebala objaviti sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i popis ovlaštenih izdavatelja potvrda.

(55)ENISA-om bi trebalo upravljati te bi ona trebala poslovati tako da se vodi računa o načelima zajedničkog pristupa u vezi s decentraliziranim agencijama Unije koji su 19. srpnja 2012. donijeli Europski parlament, Vijeće i Komisija 53 . Preporuke iz Zajedničkog pristupa trebale bi se, prema potrebi, odražavati i u programima rada ENISA-e, njezinim evaluacijama te njezinoj praksi izvješćivanja i administrativnoj praksi.

(56)Kako bi Upravni odbor djelotvorno obavljao svoje funkcije, posebno u utvrđivanju općeg smjera aktivnosti ENISA-e i određivanju njezinih strateških prioriteta, važno je da se sastoji od predstavnika na visokoj razini iz država članica i Komisije. U tu bi svrhu svaka država članica kao člana Upravnog odbora trebala imenovati voditelja nacionalnog nadležnog tijela te države članice odgovornog za kibernetičku sigurnost imenovanog u skladu s člankom 8. stavkom 1. Direktive (EU) 2022/2555.

(57)Kako bi se osiguralo da zamjenici u Upravnom odboru mogu na odgovarajući način ispunjavati svoje uloge, države članice trebale bi imenovati zamjenike s odgovarajućim stručnim znanjem i iskustvom. Komisija i države članice, kad je riječ o zamjenicima, trebale bi nastojati postići uravnoteženu zastupljenost muškaraca i žena u Upravnom odboru te bi trebale ograničiti njihovu fluktuaciju kako bi se osigurao kontinuitet njegova rada.

(58)Kako bi se ENISA-i omogućilo djelotvorno ispunjavanje njezine misije, Upravni odbor, koji se sastoji od predstavnika država članica i Komisije, trebao bi utvrditi opći smjer rada ENISA-e, uključujući njezine strateške prioritete, te osigurati da ona obavlja svoje zadaće u skladu s ovom Uredbom. Upravnom odboru trebalo bi povjeriti ovlasti potrebne za utvrđivanje i provjeru izvršenja proračuna, donošenje odgovarajućih financijskih pravila, uspostavu transparentnih radnih postupaka za donošenje odluka ENISA-e, donošenje jedinstvenog programskog dokumenta ENISA-e, donošenje vlastitog poslovnika, imenovanje izvršnog direktora, odlučivanje o produljenju i prestanku mandata izvršnog direktora te odlučivanje o tome hoće li se uspostaviti funkcija zamjenika izvršnog direktora i, ako se takva funkcija uspostavi, o njegovu imenovanju te produljenju i prestanku njegova mandata. Upravni odbor stoga bi trebao imenovati svaku osobu koja obavlja izvršnu funkciju u ENISA-i. Upravni odbor trebao bi biti odgovoran i za imenovanje ili razrješenje članova Odbora za žalbe te za utvrđivanje pravila o sprečavanju sukoba interesa u tom pogledu ili upravljanje njima.

(59)Kako bi se osiguralo da ENISA utvrđuje svoje strateške prioritete i ažurira ih, Upravni odbor trebao bi održati najmanje jedan sastanak godišnje posvećen strateškim prioritetima Agencije. Kako bi se osiguralo da su sastanci Upravnog odbora djelotvorni, a njegovi članovi dobro informirani, odbor može na svoje sastanke pozvati bilo koju osobu čije bi mišljenje moglo biti relevantno i od interesa za teme o kojima se raspravlja kako bi se pružili uvidi, stručno znanje ili savjeti. Takva bi osoba bila ad hoc promatrač bez prava glasa.

(60)Upravni odbor trebao bi donositi odluke apsolutnom većinom svojih članova s pravom glasa, osim ako je ovom Uredbom drukčije predviđeno. Zbog važnosti pitanja povezanih s proračunom i ljudskim resursima, osobito pitanja koja se odnose na godišnji proračun, godišnja izvješća o radu, strategiju za borbu protiv prijevara, provedbena pravila za provedbu Pravilnika o osoblju, imenovanje izvršnog direktora, zamjenika izvršnog direktora i računovodstvenog službenika, praćenje nalaza Europskog ureda za borbu protiv prijevara (OLAF) i Ureda europskog javnog tužitelja (EPPO) te donošenje financijskih pravila ENISA-e, Upravni odbor trebao bi donijeti takve odluke samo ako predstavnik Komisije o njima glasa potvrdno. Za potrebe donošenja odluke o donošenju konačnog jedinstvenog programskog dokumenta nakon uzimanja u obzir mišljenja Komisije, potvrdan glas predstavnika Komisije trebao bi biti potreban samo za elemente odluke koji nisu povezani s godišnjim i višegodišnjim programom rada ENISA-e.

(61)Izvršni odbor trebao bi doprinositi učinkovitosti Upravnog odbora. U okviru priprema povezanih s donošenjem odluka Upravnog odbora, Izvršni odbor trebao bi detaljno ispitivati relevantne informacije i istraživati dostupne mogućnosti te nuditi savjete i rješenja za pripremu odluka Upravnog odbora. Također bi trebao pomagati izvršnom direktoru i savjetovati ga u provedbi odluka Upravnog odbora.

(62)Kako bi se osiguralo nesmetano funkcioniranje ENISA-e, njezin izvršni direktor imenuje se na temelju zasluga i dokazanih administrativnih i rukovoditeljskih sposobnosti, kao i sposobnosti i iskustava relevantnih za kibernetičku sigurnost. Dužnosti izvršnog direktora trebalo bi obavljati potpuno neovisno. Upravni odbor trebao bi imenovati izvršnog direktora na temelju popisa kandidata koji je izradila Komisija nakon otvorenog i transparentnog postupka provedenog u skladu s načelom rodne ravnoteže.

(63) Izvršni direktor trebao bi nakon prethodnog savjetovanja s Komisijom izraditi prijedlog jedinstvenog programskog dokumenta ENISA-e te bi trebao poduzeti sve potrebne korake kako bi se osigurala pravilna provedba tog jedinstvenog programskog dokumenta. Izvršni direktor trebao bi izraditi godišnje izvješće koje se dostavlja Upravnom odboru, a koje obuhvaća provedbu godišnjeg programa rada ENISA-e, sastaviti nacrt izvješća o procjenama prihoda i rashoda ENISA-e te provoditi proračun. Nadalje, izvršni direktor trebao bi imati mogućnost osnivanja ad hoc radnih skupina za rješavanje određenih pitanja, a posebno pitanja znanstvene, tehničke, pravne ili socioekonomske prirode. Konkretno, kad je riječ o izradi konkretnog prijedloga europskog programa kibernetičkosigurnosne certifikacije („prijedlog programa”), smatra se da je potrebno osnovati ad hoc radnu skupinu. Osnivanje ad hoc radne skupine moglo bi biti potrebno i za aktivnosti održavanja konkretnih donesenih europskih programa kibernetičkosigurnosne certifikacije. Trebalo bi osnovati i ad hoc radne skupine za razvoj i održavanje sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti te za pomoć Agenciji u upravljanju Europskim okvirom za vještine u području kibernetičke sigurnosti, njegovoj provedbi i razvoju. Izvršni direktor trebao bi osigurati da se članovi ad hoc radnih skupina biraju u skladu s najvišim standardima stručnosti kako bi se osigurala rodna i druga odgovarajuća ravnoteža, u skladu s konkretnim pitanjima o kojima je riječ, između javnih uprava država članica, subjekata Unije i privatnog sektora, uključujući industriju, korisnike i akademske stručnjake za mrežnu i informacijsku sigurnost, kao i akademske stručnjake za proizvode s digitalnim elementima.

(64)Upravni odbor može odlučiti uspostaviti funkciju zamjenika izvršnog direktora kako bi pomagao izvršnom direktoru ako smatra da je takva funkcija potrebna kako bi se osiguralo ili održalo neometano funkcioniranje ENISA-e. Upravni odbor pri odlučivanju o tome hoće li uspostaviti tu funkciju može uzeti u obzir mišljenje izvršnog direktora.

(65)ENISA bi trebala imati savjetodavnu skupinu kako bi se osigurao redovit dijalog s privatnim sektorom, organizacijama potrošača i drugim relevantnim dionicima. Savjetodavna skupina ENISA-e, koju na prijedlog izvršnog direktora osniva Upravni odbor, trebala bi se usredotočiti na pitanja relevantna za dionike te bi trebala ENISA-i skretati pozornost na njih. Sa Savjetodavnom skupinom ENISA-e posebno se treba savjetovati u pogledu nacrta godišnjeg programa rada ENISA-e. Sastav Savjetodavne skupine ENISA-e i zadaće koje su joj dodijeljene trebali bi osigurati dostatnu zastupljenost dionika u radu ENISA-e. Predstavnici nacionalnih tijela i tijela Unije za izvršavanje zakonodavstva, zaštitu podataka i nadzor tržišta trebali bi imati pravo biti zastupljeni u Savjetodavnoj skupini ENISA-e.

(66)Podnositelji zahtjeva za status ovlaštenog izdavatelja potvrda ili obnovu njihova ovlaštenja trebali bi imati pristup potrebnim pravnim lijekovima ako na njih utječu odluke ENISA-e. Stoga bi trebalo uspostaviti odgovarajući žalbeni mehanizam kako bi se povezane odluke ENISA-e mogle osporiti pred Odborom za žalbe, čije odluke može preispitati Sud Europske unije u skladu s Ugovorima. Zahtjev da se prije podnošenja tužbe Sudu Europske unije iscrpi žalbeni postupak unutar ENISA-e primjenjuje se samo na osobe koje imaju aktivnu procesnu legitimaciju pred Odborom za žalbe.

(67)Kako bi se zajamčili potpuna autonomija i neovisnost ENISA-e te kako bi joj se omogućilo obavljanje njezinih zadaća, ENISA-i bi trebalo dodijeliti dostatan i autonoman proračun koji se prvenstveno financira iz doprinosa Unije, ali i iz doprinosa trećih zemalja koje sudjeluju u radu ENISA-e te iz naknada koje plaćaju ovlašteni izdavatelji potvrda i tijela za ocjenjivanje sukladnosti koja sudjeluju u programima i izdaju europske kibernetičkosigurnosne certifikate i EU izjave o sukladnosti. Državi članici domaćinu ili bilo kojoj drugoj državi članici trebalo bi omogućiti davanje dobrovoljnih doprinosa proračunu ENISA-e. Nijedan doprinos, financijski ili u naravi, koji ENISA primi od država članica, trećih zemalja ili drugih subjekata ili osoba ne bi smio dovesti u pitanje njezinu neovisnost i nepristranost. Trebao bi se primjenjivati proračunski postupak Unije u pogledu doprinosa Unije i svih drugih subvencija koje se isplaćuju iz općeg proračuna Unije. Revizorski sud trebao bi provesti reviziju računovodstvene dokumentacije ENISA-e radi osiguranja transparentnosti i odgovornosti. Kako bi se Agenciji omogućilo sudjelovanje u svim relevantnim budućim projektima, trebalo bi joj dati mogućnost primanja bespovratnih sredstava.

(68)Kako bi se osigurala sposobnost ENISA-e da zadovolji potražnju za aktivnostima koje provodi, osobito kad je riječ o odlukama o ovlašćivanju pružatelja da izdaju osobne europske potvrde o vještinama u području kibernetičke sigurnosti te o održavanju europskih programa kibernetičkosigurnosne certifikacije i alata za testiranje, ENISA-i bi trebalo omogućiti da naplaćuje naknade. Naknade za obradu zahtjeva za status ovlaštenog izdavatelja potvrda trebalo bi utvrditi na odgovarajući način kako bi se njima moglo u dovoljnoj mjeri doprinijeti pokrivanju procijenjenih troškova razvoja i održavanja sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti te evaluaciji toga ispunjavaju li ovlašteni izdavatelji potvrda kontinuirano zahtjeve i obveze potrebne za postizanje i održavanje tog statusa. Naknade za troškove izdavanja i obnavljanja ovlaštenja ovlaštenim izdavateljima potvrda trebale bi uključivati troškove evaluacije koje provodi ENISA ili koje se provode pod njezinim nadzorom. Naknade za sudjelovanje u europskim programima kibernetičkosigurnosne certifikacije i za izdavanje certifikata u okviru tih programa trebalo bi utvrditi na odgovarajući način kako bi se njima u dovoljnoj mjeri doprinijelo pokrivanju procijenjenih troškova održavanja tih programa. Plaćanje takvih naknada trebalo bi omogućiti prijavljenim tijelima za ocjenjivanje sukladnosti i, ako je primjenjivo, nositeljima certifikata u okviru programa da sudjeluju u takvim aktivnostima, kao i u relevantnim aktivnostima izgradnje kapaciteta i promicanja, kako bi se potaknuli razmjena primjera najbolje prakse i uvođenje programa i certificiranih rješenja.

(69)Kako bi se osigurali proporcionalnost, transparentnost i pravna sigurnost, naknade bi trebalo utvrditi na transparentan i pravedan način. Svi rashodi ENISA-e pripisani osoblju koje obavlja aktivnosti za koje se plaćaju naknade, osobito razmjeran doprinos poslodavca za mirovinsko osiguranje, i troškovi Odbora za žalbe trebali bi se uzeti u obzir pri izračunu u tih troškova. Naknade ne smiju dovesti do nametanja nepotrebnih financijskih ili administrativnih opterećenja podnositeljima zahtjeva. Trebalo bi odrediti razumne rokove za plaćanje naknada.

(70)Potrebno je uspostaviti skup pokazatelja za mjerenje radnog opterećenja, djelotvornosti i učinkovitosti Agencije u odnosu na aktivnosti koje se financiraju naknadama. Uzimajući u obzir te pokazatelje, Agencija bi trebala prilagoditi svoje planiranje broja osoblja i upravljanje resursima povezanima s naknadama kako bi mogla na odgovarajući način odgovoriti na takvu potražnju i na sve fluktuacije prihoda od naknada.

(71)Kako bi se utvrdio rizik od stvarnog ili mogućeg sukoba interesa i kako bi se njime pravilno upravljalo, ENISA bi trebala imati uspostavljena pravila o sprečavanju sukoba interesa i upravljanju njime. ENISA bi trebala primjenjivati i pravila o pristupu dokumentima utvrđena u Uredbi (EZ) br. 1049/2001 Europskog parlamenta i Vijeća 54 . Obrada osobnih podataka koju provodi ENISA trebala bi se provoditi u skladu s Uredbom (EU) 2018/1725 Europskog parlamenta i Vijeća 55 . ENISA bi trebala poštovati odredbe koje se primjenjuju na subjekte Unije i nacionalno zakonodavstvo o postupanju s podacima, posebno osjetljivim neklasificiranim i klasificiranim podacima Europske unije (EUCI).

(72)Pri obavljanju svojih zadaća ENISA može imati pristup osjetljivim informacijama, kao što su informacije o kibernetičkim prijetnjama i incidentima. Stoga je za ENISA-u ključno da čuva povjerljivost informacija s kojima postupa. Konkretno, u skladu s člankom 339. Ugovora o funkcioniranju Europske unije (UFEU) dužnosnici i ostali službenici ENISA-e ne bi smjeli otkrivati informacije obuhvaćene obvezom čuvanja poslovne tajne, posebno informacije o poduzećima, njihovim poslovnim odnosima ili troškovima, čak ni nakon prestanka njihovih dužnosti.

(73)Da bi ENISA u potpunosti ostvarila svoje ciljeve, trebala bi se povezati s relevantnim nadzornim tijelima Unije i drugim nadležnim tijelima u Uniji, relevantnim subjektima Unije, uključujući CERT-EU, Europski centar za kibernetički kriminal pri Europolu, ECCC, Europsku obrambenu agenciju (EDA), Agenciju Europske unije za svemirski program (EUSPA), Tijelo europskih regulatora za elektroničke komunikacije (BEREC), Europsku agenciju za operativno upravljanje opsežnim informacijskim sustavima u području slobode, sigurnosti i pravde (eu-LISA), Europsku središnju banku (ESB), Europsko nadzorno tijelo za bankarstvo (EBA), Europski odbor za zaštitu podataka, Agenciju za suradnju energetskih regulatora (ACER), Agenciju Europske unije za sigurnost zračnog prometa (EASA) i sve druge subjekte Unije koji djeluju u području kibernetičke sigurnosti. ENISA bi se trebala povezati i s nadležnim tijelima na temelju Direktive (EU) 2022/2555, tijelima za nadzor tržišta i tijelima koja se bave zaštitom podataka radi razmjene znanja i primjera najbolje prakse te bi trebala pružati savjete o pitanjima kibernetičke sigurnosti koja bi mogla utjecati na njihov rad.

(74)Europol ima važnu ulogu u sprečavanju i suzbijanju kibernetičkog kriminala, uključujući onaj povezan s incidentima u mrežnoj i informacijskoj sigurnosti. Kako bi se stvorile sinergije među zadaćama svake agencije, ENISA bi trebala surađivati s Europolom, prvenstveno tako da razmjenjuje informacije o trendovima u pogledu tehnika, zahtjeva i učinaka napada ucjenjivačkim softverom. Takva suradnja može obuhvaćati i utvrđivanje najčešćih vrsta ucjenjivačkog softvera usmjerenih na subjekte navedene u prilozima I. i II. Direktivi (EU) 2022/2555 kako bi se ključnim i važnim subjektima pružila potpora u odgovoru na incidente i oporavku od njih.

(75)Kako bi pridonijela operativnoj suradnji i zajedničkoj svijesti o situaciji u pogledu kibernetičkih prijetnji i incidenata, ENISA mora surađivati s dionicima, a posebno s poduzećima i organizacijama iz privatnog sektora, s kojima može uspostaviti javno-privatna partnerstva.

(76)Kako bi se djelotvorno ostvarili ciljevi navedeni u ovoj Uredbi, ENISA može posebno surađivati s akademskim ustanovama u kojima su pokrenute istraživačke inicijative u relevantnim područjima te uspostaviti odgovarajuće kanale za doprinose organizacija potrošača i drugih organizacija.

(77)S obzirom na prekograničnu prirodu kibernetičkih prijetnji i incidenata, razina kibernetičke sigurnosti i pripravnosti trećih zemalja može utjecati na subjekte u Uniji. Stoga bi ENISA trebala moći provoditi aktivnosti izgradnje kapaciteta, uključujući osposobljavanje i aktivnosti povezivanja u trećim zemljama, a posebno prilagođene aktivnosti izgradnje kapaciteta za zemlje kandidatkinje za pristupanje Uniji ili druge partnerske zemlje u skladu s prioritetima Unije. Takve bi se aktivnosti trebale provoditi na temelju posebnog zahtjeva za pružanje odgovarajuće potpore, uzimajući u obzir prioritete Unije, te u okviru posebnih aranžmana, među ostalim na temelju sporazuma o doprinosu iz Uredbe (EU, Euratom) 2024/2509. Cilj je Europskog okvira za kibernetičkosigurnosnu certifikaciju osigurati zaštitu od kibernetičkih prijetnji kao što su zlonamjerno iskorištavanje ranjivosti u području kibernetičke sigurnosti ili kibernetičkosigurnosni incidenti koji utječu na funkcionalnost (dizajn i rad) IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanje kibernetičke sigurnosti subjekata. S obzirom na to da je usmjeren na tehničke rizike povezane s IKT proizvodima, IKT uslugama, IKT procesima, upravljanim sigurnosnim uslugama ili stanjem kibernetičke sigurnosti subjekata, Europski okvir za kibernetičkosigurnosnu certifikaciju trebao bi dopuniti okvir za sigurnost lanaca opskrbe IKT-om, kojem je cilj osigurati usklađen pristup na razini Unije za uklanjanje netehničkih rizika u sektorima visoke kritičnosti i drugim kritičnim sektorima.

(78)Države članice trebale bi moći koristiti europsku kibernetičkosigurnosnu certifikaciju u kontekstu javne nabave u skladu s Direktivom 2014/24/EU Europskog parlamenta i Vijeća 56 .

(79)Kako bi se olakšalo jednostavnije postizanje usklađenosti za subjekte, u sklopu Europskog okvira za kibernetičkosigurnosnu certifikaciju trebalo bi predvidjeti mogućnost certificiranja njihova stanja kibernetičke sigurnosti. Može se dogoditi da subjekti, osobito oni koji pružaju više vrsta usluga u nekoliko država članica, moraju ispuniti različite obveze u području kibernetičke sigurnosti i sigurnosti podataka u okviru horizontalnih instrumenata, kao što su Uredba (EU) 2016/679 Europskog parlamenta i Vijeća 57 i Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća 58 , kao i sektorskih instrumenata. Kako bi se pojednostavnila provedba općeg regulatornog okvira za kibernetičku sigurnost i olakšalo postupanje u skladu s njim, zakonodavstvom Unije trebalo bi biti moguće predvidjeti mogućnost da subjekti dokažu svoju usklađenost sa zahtjevima za upravljanje kibernetičkosigurnosnim rizicima putem europskog kibernetičkosigurnosnog certifikata. Relevantan program mogao bi doprinijeti pojednostavnjenju zahtjeva za usklađenost koji proizlaze iz različitih regulatornih instrumenata, ne dovodeći u pitanje njihove konkretne zahtjeve za certifikaciju. Takve mjere pojednostavnjenja mogle bi smanjiti administrativno opterećenje i osloboditi sredstva za jačanje operativne pripravnosti subjekata u kritičnim sektorima Unije u području kibernetičke sigurnosti.

(80)Europska certifikacija zahtjeva za upravljanje kibernetičkosigurnosnim rizicima razvijena u okviru Europskog okvira za kibernetičkosigurnosnu certifikaciju trebala bi subjektima omogućiti da dokažu usklađenost s relevantnim zakonodavstvom Unije ako program obuhvaća odgovarajuće pravne zahtjeve utvrđene u takvom aktu i ako je tako predviđeno. Na temelju toga u pravnom aktu Unije može se utvrditi i pretpostavka sukladnosti s tim zahtjevima. Takvi programi mogli bi doprinijeti poboljšanju dosljedne provedbe zahtjeva u pogledu kibernetičke sigurnosti iz zakonodavstva Unije kako bi se osigurali jednaki uvjeti u svim državama članicama i smanjilo opterećenje koje proizlazi iz obveza usklađivanja.

(81)U sklopu Europskog okvira za kibernetičkosigurnosnu certifikaciju trebalo bi predvidjeti mogućnost certificiranja IKT procesa, definiranih kao skup aktivnosti koje se provode radi projektiranja, razvoja, isporuke ili održavanja IKT proizvoda ili IKT usluge. Profil zaštite primjer je IKT procesa, kako je navedeno u Provedbenoj uredbi Komisije (EU) 2024/482 59 . Drugi je primjer IKT procesa skup aktivnosti koje proizvođač poduzima kako bi na siguran način projektirao i razvio IKT proizvod, uključujući fizičke, logičke, postupovne, kadrovske i druge sigurnosne mjere koje su potrebne za zaštitu povjerljivosti i cjelovitosti projektiranja i provedbe IKT proizvoda u njegovu razvojnom okruženju. Certificiranje takvih aktivnosti često se naziva „certifikacija lokacije” u kontekstu postupka certificiranja na temelju Provedbene uredbe Komisije (EU) 2024/482

(82)Definicija upravljanih sigurnosnih usluga u ovoj Uredbi trebala bi biti u skladu s definicijom pružatelja upravljanih sigurnosnih usluga iz Direktive (EU) 2022/2555. Te usluge sastoje se od obavljanja aktivnosti povezanih s upravljanjem kibernetičkosigurnosnim rizicima klijenata ili pružanja pomoći za te aktivnosti i sve su važnije u sprečavanju i ublažavanju incidenata. Zbog toga se pružatelji tih usluga smatraju ključnim ili važnim subjektima koji pripadaju sektoru visoke kritičnosti u skladu s Direktivom (EU) 2022/2555. Pružatelji upravljanih sigurnosnih usluga u područjima kao što su odgovor na incidente, penetracijska testiranja, revizije sigurnosti i savjetovanje, uvelike pomažu subjektima u njihovim nastojanjima da spriječe i otkriju incidente, odgovoru na njih ili oporavku od njih. Pružatelji upravljanih sigurnosnih usluga i sami su, međutim, bili meta kibernetičkih napada te predstavljaju poseban kibernetičkosigurnosni rizik zbog svoje bliske integracije u rad svojih klijenata. Stoga je nužno da ključni i važni subjekti u smislu Direktive (EU) 2022/2555 postupaju s većom pažnjom pri odabiru pružatelja upravljanih sigurnosnih usluga.

(83)Europski programi kibernetičkosigurnosne certifikacije relevantni su za široku zajednicu dionika, kao što su pružatelji IKT rješenja, tijela za ocjenjivanje sukladnosti i korisnici. Kako bi se potaknulo sudjelovanje raznih vrsta dionika, trebalo bi najmanje jedanput godišnje organizirati Europsku skupštinu o kibernetičkosigurnosnoj certifikaciji („Skupština”) radi poticanja suradnje između Komisije, ENISA-e, država članica i relevantnih dionika. Skupština će imati glavnu ulogu u utvrđivanju i razmatranju novih izazova u području kibernetičke sigurnosti i strateških prioriteta za certifikaciju te osiguravanju da programi certifikacije olakšavaju sigurnu integraciju digitalnih tehnologija i da su prilagođeni potrebama korisnika. Skupština bi trebala poticati vodstvo Unije u aktivnostima certificiranja i podupirati sposobnost okvira za certifikaciju da izgradi povjerenje poduzeća, javnih tijela i javnosti.

(84)Kako bi osigurala transparentnost, Komisija bi trebala održavati namjenske internetske stranice na kojima se objavljuju ažurirane informacije o napretku u provedbi Europskog okvira za kibernetičkosigurnosnu certifikaciju. Internetske stranice trebale bi sadržavati informacije o programima certifikacije koji su u pripremi, strateške prioritete za predstojeće programe certifikacije, zahtjeve za izradu prijedloga programa certifikacije upućene ENISA-i i informacije o donošenju programa certifikacije. Internetske stranice Komisije dopunit će internetske stranice ENISA-e o europskim programima kibernetičkosigurnosne certifikacije, koje bi trebale sadržavati sveobuhvatne informacije o tehničkoj izradi prijedloga programa i njihovu održavanju, a osobito o izdanim europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti.

(85)Kako bi se poboljšao dijalog među institucijama Unije i doprinijelo formalnom, otvorenom, transparentnom i uključivom postupku savjetovanja, Komisija bi pri evaluaciji ove Uredbe trebala uzeti u obzir elemente koji proizlaze iz stajališta koja su izrazili Europski parlament i Vijeće te Europska skupština o kibernetičkosigurnosnoj certifikaciji.

(86)Studije izvedivosti koje provodi ENISA trebale bi pomoći u pripremi za planiranje i razvoj programa kibernetičkosigurnosne certifikacije. Studije bi trebale uključivati perspektive relevantnih dionika te bi u njima trebalo buduće programe certificiranja povezati s aktivnostima istraživanja, razvoja i tehnološke procjene koje su u tijeku i navesti doprinose istraživačkih inicijativa Unije i država članica. Takve studije mogu pomoći u utvrđivanju dostupnih normi i tehničkih specifikacija. Trebalo bi ih provoditi na zahtjev Komisije ili u skladu sa strateškim prioritetima Unije kako bi se osiguralo da se promjenjivo tehnološko okruženje i potrebe u području kibernetičke sigurnosti na odgovarajući način uzmu u obzir pri podnošenju zahtjeva za programe i njihovu razvoju.

(87)Izrada prijedloga programa i sigurnosni ciljevi i elementi koji su njemu obuhvaćeni trebali bi odgovarati predmetu i području primjene predmeta certifikacije. Na primjer, program certificiranja usluga u oblaku mogao bi stoga biti usmjeren na sigurnosne ciljeve koji su relevantni IKT-om usluge i organizacijsku sigurnost. Kao drugi primjer, sigurnosni cilj koji ne uključuje poznate iskoristive ranjivosti vjerojatno neće biti relevantan za certifikaciju IKT procesa.

(88)Kako bi se osiguralo da se europski programi kibernetičkosigurnosne certifikacije provode na usklađen način u svim državama članicama, potrebno je predvidjeti pravila o njihovu održavanju. Aktivnosti održavanja potrebne su i kako bi programi i njihova popratna dokumentacija bili ažurni, posebno u području kibernetičke sigurnosti, u kojem se stalno pojavljuju nove prijetnje i tehnologije. Stoga bi programe certificiranja trebalo osmisliti i održavati tako da se izbjegne rizik da brzo zastare. Aktivnosti održavanja obično bi trebale uključivati sastavljanje i ažuriranje popratne dokumentacije, uključujući tehničke specifikacije i smjernice, kao i identifikaciju normi ili tehničkih specifikacija relevantnih za određeni program. U okviru aktivnosti održavanja trebalo bi također analizirati funkcioniranje programa, njegove moguće nedostatke i potrebna poboljšanja. Osim toga, aktivnosti održavanja trebale bi uključivati razmjenu informacija među državama članicama o provedbi programa i doprinose istorazinskom ocjenjivanju i mehanizmima za istorazinske ocjene.

(89)Zbog tehničke prirode aktivnosti održavanja, ENISA bi trebala upravljati takvim aktivnostima u suradnji s Komisijom i uz potporu Europske skupine za kibernetičkosigurnosnu certifikaciju (ECCG) i njezine relevantne podskupine za održavanje. Osnivanje podskupine ECCG-a za održavanje omogućuje prikupljanje tehničkih doprinosa i uvida država članica radi usklađivanja pristupa.

(90)Aktivnosti održavanja trebale bi uključivati interakciju s relevantnim skupinama dionika kako bi se osiguralo da programi ostanu relevantni za tržište i ažurni, među ostalim razmjenom tehničkih doprinosa. Takve skupine dionika mogu biti organizacije za normizaciju, tijela za ocjenjivanje sukladnosti, dobavljači, korisnici, javna tijela ili trgovinska udruženja. Zbog posebnosti svakog programa, uključujući njihove odgovarajuće tehničke forume i industrije, u različitim programima trebalo bi biti moguće prikupiti tehničke doprinose na različite načine. Za neke programe ENISA bi se trebala moći osloniti na ad hoc radnu skupinu koja okuplja stručnjake iz javnih uprava država članica, subjekata Unije i privatnog sektora. Tehničke doprinose mogli bi pružati ISAC-ovi ili organizacije za normizaciju. ENISA bi trebala analizirati koji je format najprikladniji za svaki program i uključiti strategiju održavanja u svaki prijedlog programa.

(91)Europski programi kibernetičkosigurnosne certifikacije trebali bi se oslanjati na norme ili tehničke specifikacije, posebno za definiranje sigurnosnih zahtjeva i metodologija evaluacije. ENISA-i bi trebalo omogućiti izradu tehničkih specifikacija za potporu pripremi i održavanju programa, posebno ako organizacije za normizaciju nisu izradile norme ili norme koje su izradile nisu prikladne za ispunjavanje ciljeva programa. U okviru postupka izrade nacrta ENISA-u bi trebali podupirati ECCG i, prema potrebi, ad hoc radna skupina osnovana za relevantni program. ENISA bi također trebala tražiti doprinose skupina dionika. Osim toga, ENISA bi trebala razmotriti prihvaćanje na tržištu, kao i europske i međunarodne norme. Uzimajući u obzir kvalitetu tehničkih specifikacija i ciljeve programa, Komisija bi trebala moći upućivati na tehničke specifikacije koje je izradila ENISA u europskom programu kibernetičkosigurnosne certifikacije.

(92)Tehničke specifikacije koje je izradila ENISA i na koje se upućuje u programu trebale bi biti dostupne na internetskim stranicama ENISA-e o europskim programima kibernetičkosigurnosne certifikacije kako bi im sve zainteresirane strane mogle pristupiti. Međutim, u nekim posebnim slučajevima objava na internetskim stranicama mogla bi predstavljati rizik za kibernetičku sigurnost certificiranih IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanje kibernetičke sigurnosti proizvoda, a time i za javnu sigurnost. Na primjer, tehničke specifikacije mogle bi sadržavati precizne informacije o novim načinima napada čija bi javna dostupnost omogućila zlonamjernim akterima da ih koriste. Tu vrstu informacija trebalo bi na ograničen način dijeliti s relevantnim dionicima, kao što su nacionalna tijela za kibernetičkosigurnosnu certifikaciju, tijela za ocjenjivanje sukladnosti i dobavljači koji se certificiraju, na temelju nužnosti pristupa informacijama. Zbog njihove ograničene distribucije, na takve tehničke specifikacije ne bi trebalo upućivati u europskim programima kibernetičkosigurnosne certifikacije te bi one stoga trebale biti neobvezujuće.

(93)Programi certificiranja stanja kibernetičke sigurnosti trebali bi biti koncipirani na modularan način koji omogućuje dokazivanje sukladnosti i pretpostavku sukladnosti s relevantnim zahtjevima u pogledu kibernetičke sigurnosti iz drugih propisa Unije, ako je tim propisima predviđena ta mogućnost. Pretpostavka sukladnosti sa zahtjevima iz tih pravnih akata stoga će kao mogući način dokazivanja sukladnosti vrijediti samo ako je ta pretpostavka sukladnosti omogućena u odgovarajućim pravnim aktima. Stoga će se pojedinosti takvog programa, odnosno svrha, ciljevi ili elementi vjerojatno razlikovati od onih drugih programa. Konkretno, trebalo bi razviti programe za certifikaciju stanja kibernetičke sigurnosti subjekata kako bi se omogućila procjena kontinuirane usklađenosti subjekta sa zakonodavstvom Unije. Stoga nije potrebno da programi kibernetičkosigurnosne certifikacije obuhvaćaju sve elemente europskih programa kibernetičkosigurnosne certifikacije, kao što su jamstvene razine, što bi trebalo uzeti u obzir u pravilima za programe.

(94)Okvir za certifikaciju stanja kibernetičke sigurnosti u sklopu Europskog okvira za kibernetičkosigurnosnu certifikaciju omogućuje razvoj programa u okviru kojeg se subjektima koji pružaju usluge u nekoliko država članica omogućuje da dokažu usklađenost s obvezama upravljanja kibernetičkosigurnosnim rizicima utvrđenima u Direktivi 2022/2555 Europskog parlamenta i Vijeća. Na temelju toga, uz mogućnost dokazivanja usklađenosti subjekti mogu imati koristi od dosljednijih i manje opterećujućih nadzornih pristupa na cijelom unutarnjem tržištu. Razvoj takvog programa certificiranja trebalo bi olakšati donošenjem provedbenih akata na temelju Direktive (EU) 2022/2555. Putem profila proširenja programom certificiranja stanja kibernetičke sigurnosti može se dokazati usklađenost sa zahtjevima ako je država članica donijela ili zadržala odredbe kojima se osigurava viša razina kibernetičke sigurnosti u skladu s Direktivom (EU) 2022/2555. Na temelju tog subjekt koji pruža usluge u nekoliko država članica može dokazati usklađenost sa svim relevantnim profilima proširenja s pomoću jednog europskog kibernetičkosigurnosnog certifikata.

(95)Sigurnosni ciljevi i sigurnosni zahtjevi utvrđeni u europskim programima kibernetičkosigurnosne certifikacije za sigurnost proizvoda trebali bi biti u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I. Uredbi (EU) 2024/2847. Ta je koherentnost potrebna kako bi se osiguralo da proizvođači čiji su proizvodi obuhvaćeni područjem primjene Uredbe (EU) 2024/2847 ne moraju ispuniti proturječne zahtjeve kad certificiraju svoje proizvode u okviru europskog programa kibernetičkosigurnosne certifikacije. Nadalje, dosljednost zahtjeva olakšava pretpostavku sukladnosti iz članka 27. Uredbe (EU) 2024/2847 prema kojoj proizvođači proizvoda s digitalnim elementima koji su certificirani u okviru europskog programa kibernetičkosigurnosne certifikacije pod određenim uvjetima mogu iskoristiti pretpostavku sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I. toj uredbi.

(96)U okviru europskog programa kibernetičkosigurnosne certifikacije trebalo bi biti moguće utvrditi profil proširenja utvrđivanjem dodatnih ili posebnih zahtjeva za primjere upotrebe, uključujući dodatne sposobnosti kao što su poboljšane funkcionalnosti proizvoda, ponuda specijaliziranih usluga ili imovine, optimizirani procesi i napredne sigurnosne mjere. Budući da profili proširenja ne odgovaraju određenoj jamstvenoj razini, trebali bi detaljno opisati njihovu svrhu, uključujući sigurnosne prijetnje na koje se odnose. Profili proširenja posebno su namijenjeni dokazivanju usklađenosti s posebnim normama i regulatornim zahtjevima, uključujući, ako je primjenjivo, zahtjeve koji se odnose na dodatne mjere upravljanja kibernetičkosigurnosnim rizicima koje je utvrdila država članica na temelju načela minimalnog usklađivanja u skladu s Direktivom (EU) 2022/2555.

(97)Ne dovodeći u pitanje opći sustav istorazinskog ocjenjivanja koji treba uspostaviti u svim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju u okviru Europskog okvira za kibernetičkosigurnosnu certifikaciju, trebalo bi biti moguće u europske programe kibernetičkosigurnosne certifikacije uključiti mehanizam za istorazinske ocjene za tijela koja izdaju europske kibernetičkosigurnosne certifikate za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata, osobito za tijela koja izdaju certifikate s visokom jamstvenom razinom u okviru takvih programa. Takva bi tijela trebala uključivati i certifikacijska tijela nacionalnih tijela za kibernetičkosigurnosnu certifikaciju koja izdaju certifikate s visokom jamstvenom razinom. ECCG bi trebao podupirati provedbu takvih mehanizama za istorazinske ocjene. Istorazinskim bi ocjenama trebalo konkretno ocijeniti obavljaju li dotična tijela svoje zadaće na usklađen način i one mogu uključivati mehanizme za žalbu.

(98)Krize kao što su ratovi, prirodne katastrofe i pandemije mogle bi nepovoljno utjecati na aktivnosti certificiranja. U takvim kriznim scenarijima možda neće biti moguće, na primjer, osigurati sigurnost lokacije zbog uništenja infrastrukture, kibernetičkog napada, nedostupnosti osoblja i nepristupačnosti lokacije. Stoga bi se u europskom programu kibernetičkosigurnosne certifikacije trebala utvrditi privremena pravila o kontinuitetu aktivnosti certifikacije tijekom takvih scenarija.

(99)Za prenošenje tehničkih prijedloga programa u provedbene akte potrebno je složeno tehničko i pravno znanje te to može dovesti do znatnog administrativnog opterećenja. Nadalje, određeni elementi europskih programa kibernetičkosigurnosne certifikacije, kao što su upravljanje ranjivostima ili uvjeti pod kojima se takve oznake ili znakovi mogu koristiti, međusektorske su prirode i na njih se mogu primjenjivati usklađene referentne odredbe. Kako bi se osigurala kvaliteta donesenih europskih programa kibernetičkosigurnosne certifikacije i smanjilo opterećenje koje proizlazi iz obveza usklađivanja za poduzeća, Komisiju bi trebalo ovlastiti za donošenje oglednih odredaba koje obuhvaćaju određene elemente europskih programa kibernetičkosigurnosne certifikacije.

(100)Kako bi se osigurala dosljednost Europskog okvira za kibernetičkosigurnosnu certifikaciju, u okviru europskog programa kibernetičkosigurnosne certifikacije trebalo bi biti moguće odrediti jamstvene razine za europske kibernetičkosigurnosne certifikate i EU izjave o sukladnosti izdane u okviru tog programa. Europski kibernetičkosigurnosni certifikat trebao bi se odnositi na jednu od sljedećih jamstvenih razina: osnovna, znatna ili visoka, dok bi se EU izjava o sukladnosti trebala odnositi samo na osnovnu jamstvenu razinu. Jamstvene razine trebale bi osigurati razinu strogoće i opsežnosti evaluacije IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta i trebalo bi ih odrediti upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole, čija je svrha ublažiti ili spriječiti incidente. Svaka jamstvena razina trebala bi biti usklađena među različitim sektorima u kojima se primjenjuje certifikacija.

(101)Korisnici europskih kibernetičkosigurnosnih certifikata trebali bi odabrati odgovarajuće certifikacijske i povezane sigurnosne zahtjeve na temelju analize rizika povezanih s korištenjem IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili u kontekstu certifikacije subjekata. U skladu s tim, jamstvena razina trebala bi biti razmjerna razini rizika povezanog s predviđenim korištenjem IKT proizvoda, IKT usluge, IKT procesa ili upravljanih sigurnosnih usluga ili operativnim okruženjem i prirodom subjekta čije se stanje kibernetičke sigurnosti certificira.

(102)Kad je riječ o osnovnoj jamstvenoj razini, evaluacija bi se trebala temeljiti barem na sljedećim jamstvenim komponentama: evaluacija bi trebala uključivati barem pregled tehničke dokumentacije IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta koji provodi tijelo za ocjenjivanje sukladnosti. Ako certifikacija uključuje IKT procese, proces koji se koristi za projektiranje, razvoj i održavanje IKT proizvoda, IKT usluge ili upravljane sigurnosne usluge ili održavanje stanja kibernetičke sigurnosti subjekta također bi trebao podlijegati tehničkom preispitivanju. Ako se europskim programom kibernetičkosigurnosne certifikacije predviđa samoocjenjivanje sukladnosti, trebalo bi biti dovoljno da proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekt čije stanje kibernetičke sigurnosti podliježe certifikaciji provede samoocjenjivanje sukladnosti IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta s programom certifikacije.

(103)Kad je riječ o znatnoj jamstvenoj razini, evaluacija bi se, uz zahtjeve za osnovnu jamstvenu razinu, trebala provesti barem provjerom sukladnosti sigurnosnih funkcionalnosti IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta s njihovom tehničkom dokumentacijom.

(104)Kad je riječ o visokoj jamstvenoj razini, evaluacija bi se, uz zahtjeve za znatnu jamstvenu razinu, trebala temeljiti barem na ispitivanju učinkovitosti kojim se procjenjuje otpornost sigurnosnih funkcionalnosti na složene kibernetičke napade koje provode osobe sa znatnim vještinama i resursima. Aktivnosti ocjenjivanja sukladnosti trebale bi se provoditi u Europskom gospodarskom prostoru za visoku jamstvenu razinu ili ako je program osmišljen za dokazivanje sukladnosti i stvaranje pretpostavke sukladnosti s drugim propisima Unije. Taj je zahtjev opravdan činjenicom da aktivnosti ocjenjivanja koje se provode izvan Europskog gospodarskog prostora dovode do dodatnih prijetnji kibernetičkoj sigurnosti, a to se osobito odnosi na intelektualno vlasništvo evaluiranih IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili subjekata. Na primjer, izvorni kod IKT proizvoda mogao bi se pregledavati pri prelasku granice treće zemlje, što predstavlja rizik za intelektualno vlasništvo. Osim toga, laboratoriji za ispitivanje s poslovnim nastanom u trećim zemljama ne djeluju u okruženju na koje se odnose mjere kibernetičke sigurnosti propisane zakonodavstvom EU-a, kao što su Direktiva (EU) 2022/2555 ili Uredba (EU) 2024/2847. Na primjer, laboratorij za ispitivanje može koristiti pružatelja usluga u oblaku treće strane koji ne poštuje zahtjeve u pogledu kibernetičke sigurnosti iz Direktive (EU) 2022/2555. Međutim, trebalo bi dopustiti da se u okviru programa certificiranja predvide mehanizmi odstupanja, primjerice u vezi s certifikacijom lokacije ili u drugim slučajevima u kojima se aktivnosti ocjenjivanja sukladnosti ne mogu razumno provesti u Europskom gospodarskom prostoru.

(105)U nekim bi slučajevima za postizanje sigurnosnih ciljeva određene jamstvene razine mogli biti potrebni različiti pristupi kako bi se uzele u obzir posebnosti IKT proizvoda, IKT usluge, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata. Kako bi se omogućio granularniji pristup, u europskom programu kibernetičkosigurnosne certifikacije trebalo bi biti moguće utvrditi jednu ili više razina evaluacije koje odgovaraju jednoj od jamstvenih razina. Time će se omogućiti razvoj programa u kojima će više razina evaluacije osmišljenih u drugu svrhu odgovarati razini sigurnosti povezanoj s određenom razinom jamstva.

(106)U okviru europskih programa kibernetičkosigurnosne certifikacije trebalo bi omogućiti da se ocjenjivanje sukladnosti provodi pod isključivom odgovornošću proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekta čije se stanje kibernetičke sigurnosti certificira („samoocjenjivanje sukladnosti”). U takvim bi slučajevima trebalo biti dovoljno da proizvođač, pružatelj usluga ili subjekt čije se stanje kibernetičke sigurnosti certificira sam provede sve provjere kako bi osigurao da su IKT proizvodi, IKT usluge, IKT procesi, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti subjekta u skladu s europskim programom kibernetičkosigurnosne certifikacije. Samoocjenjivanje sukladnosti trebalo bi se smatrati primjerenim za IKT proizvode, IKT usluge, IKT procese, upravljanu sigurnosnu uslugu ili stanje kibernetičke sigurnosti koji su manje složeni, predstavljaju nizak rizik za javnost i imaju jednostavan dizajn ili jednostavne proizvodne mehanizme.

(107)Ako europski program kibernetičkosigurnosne certifikacije omogućuje i samoocjenjivanje sukladnosti i certifikaciju IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata, u tom bi slučaju u okviru programa certifikacije trebalo potrošačima ili drugim korisnicima osigurati jasne i razumljive načine razlikovanja IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata koje su sami ocijenili od onih koje je certificirala treća strana.

(108)Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekti čije je stanje kibernetičke sigurnosti certificirano trebali bi moći izdati i potpisati EU izjavu o sukladnosti u okviru postupka ocjenjivanja sukladnosti. EU izjava o sukladnosti dokument je u kojem se navodi da su određeni IKT proizvod, IKT usluga, IKT proces, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti subjekta u skladu sa zahtjevima europskog programa kibernetičkosigurnosne certifikacije. Izdavanjem i potpisivanjem EU izjave o sukladnosti proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekt čije je stanje kibernetičke sigurnosti certificirano preuzima odgovornost za usklađenost IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta sa sigurnosnim zahtjevima europskog programa kibernetičkosigurnosne certifikacije. Presliku EU izjave o sukladnosti trebalo bi podnijeti nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju i ENISA-i.

(109)Proizvođači ili pružatelji IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekti čije je stanje kibernetičke sigurnosti certificirano trebaju staviti EU izjavu o sukladnosti, tehničku dokumentaciju i sve druge relevantne informacije o sukladnosti s europskim programom kibernetičkosigurnosne certifikacije na raspolaganje nadležnom nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju u razdoblju predviđenom u relevantnom europskom programu kibernetičkosigurnosne certifikacije i u skladu s primjenjivim zakonodavstvom Unije. U tehničkoj dokumentaciji trebali bi biti navedeni zahtjevi koji se primjenjuju u okviru programa u mjeri u kojoj je to relevantno za samoocjenjivanje sukladnosti. Tehničku dokumentaciju trebalo bi sastaviti tako da se omogući procjena usklađenosti IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta sa zahtjevima koji se primjenjuju u okviru programa.

(110)Europski kibernetičkosigurnosni certifikati i EU izjave o sukladnosti trebali bi pomoći korisnicima u donošenju utemeljenih odluka. Stoga bi relevantne informacije trebalo objaviti na internetskim stranicama koje održava ENISA. Nadalje, IKT proizvodi, IKT usluge i IKT procesi koji su certificirani ili za koje je izdana EU izjava o sukladnosti trebali bi biti popraćeni strukturiranim informacijama koje su prilagođene očekivanoj tehničkoj razini predviđenog korisnika. Svi korisnici trebali bi imati pristup informacijama o referentnom broju programa certifikacije, tijelu izdavatelju i, prema potrebi, jamstvenoj razini ili bi trebali moći dobiti primjerak europskog kibernetičkosigurnosnog certifikata. Te bi informacije trebalo redovito ažurirati i staviti na raspolaganje na namjenskim internetskim stranicama o europskim programima kibernetičkosigurnosne certifikacije. Nadalje, kako bi se osigurala kontinuirana dostupnost, od proizvođača i pružatelja usluga trebalo bi zahtijevati da obavijeste relevantno certifikacijsko tijelo ako se promijeni lokacija informacija na internetu ili, prema potrebi, informacija u fizičkom obliku.

(111)Ocjenjivanje sukladnosti postupak je kojim se ocjenjuje jesu li ispunjeni određeni zahtjevi koji se odnose na IKT proizvod, IKT uslugu, IKT proces, upravljanu sigurnosnu uslugu ili subjekt. Taj postupak provodi neovisna treća strana koja nije proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koji se certificiraju ni subjekt čije se stanje kibernetičke sigurnosti ocjenjuje. Europski kibernetičkosigurnosni certifikat trebalo bi izdati nakon uspješne evaluacije IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta. Europski kibernetičkosigurnosni certifikat trebalo bi smatrati potvrdom da je evaluacija pravilno provedena.

(112)Strogo razdvajanje nadzornih i certifikacijskih aktivnosti važno je kako bi se izbjeglo poremećaje i upletanja do kojih može doći u situacijama u kojima se subjekt koji nadzire tržište ujedno natječe na istom tržištu. Stoga za aktivnosti u kojima nacionalna tijela za kibernetičkosigurnosnu certifikaciju samo obavljaju svoju nadzornu ulogu, primjerice davanjem prethodnog odobrenja za izdavanje certifikata, ne bi trebalo zahtijevati daljnje unutarnje odvajanje od drugih nadzornih aktivnosti. To uključuje, na primjer, situaciju u kojoj nacionalno tijelo za kibernetičkosigurnosnu certifikaciju aktivno prikuplja informacije tijekom postupka certifikacije koji provode privatna tijela za ocjenjivanje sukladnosti, a zatim daje mišljenje o izdavanju certifikata od strane tih tijela („model prethodnog odobrenja”).

(113)U europskim programima kibernetičkosigurnosne certifikacije trebalo bi utvrditi uvjete pod kojima će možda biti potrebno ponovno certificiranje IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekta ili pod kojima će možda biti potrebno smanjiti područje primjene određenog europskog kibernetičkosigurnosnog certifikata. Nadalje, u europskim programima kibernetičkosigurnosne certifikacije trebalo bi uzeti u obzir sve moguće nepovoljne učinke svih naknadno otkrivenih ranjivosti ili nesukladnosti certificiranog IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta s obzirom na sukladnost sa sigurnosnim zahtjevima tog certifikata.

(114)Usklađivanje ima ključnu ulogu u osiguravanju pouzdane kibernetičke sigurnosti i poboljšanju pristupa tržištu za poduzeća. S druge strane, fragmentacija i nepostojanje uzajamnog priznavanja certifikata predstavljaju znatne prepreke neometanom protoku podataka, čime se povećavaju operativni troškovi za industriju Unije. Kako bi se ublažili ti problemi, treba izbjeći fragmentaciju područja primjene sigurnosnih kontrola i metoda ocjenjivanja sukladnosti u cijeloj Uniji.

(115)Države članice trebale bi dovoljno unaprijed obavijestiti Komisiju i ECCG prije donošenja novih nacionalnih programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti kako bi se Komisiji i ECCG-u pomoglo da procijene učinak novog nacionalnog programa kibernetičkosigurnosne certifikacije na pravilno funkcioniranje unutarnjeg tržišta te s obzirom na svaki strateški interes da se zatraži europski program kibernetičkosigurnosne certifikacije.

(116)Upućivanja u nacionalnom zakonodavstvu na nacionalne norme koje su prestale proizvoditi učinke zbog stupanja na snagu europskog programa kibernetičkosigurnosne certifikacije mogu biti izvor zabune. Stoga bi, prema potrebi, države članice u svojem nacionalnom zakonodavstvu trebale uzeti u obzir donošenje europskog programa kibernetičkosigurnosne certifikacije.

(117)Kako bi se olakšao rast pouzdanog unutarnjeg tržišta i istodobno uspostavila partnerstava s trećim zemljama, postupak certificiranja uspostavljen u okviru Europskog okvira za kibernetičkosigurnosnu certifikaciju trebao bi se provoditi na način kojim se olakšava međunarodno i uzajamno priznavanje te usklađivanje s međunarodnim normama.

(118)Kako bi se dodatno olakšala trgovina i prepoznajući da su lanci opskrbe IKT-om međunarodni, Unija može sklopiti sporazume o uzajamnom priznavanju europskih kibernetičkosigurnosnih certifikata u skladu s člankom 218. UFEU-a. Komisija bi trebala biti ovlaštena za donošenje provedbenih akata za jednostrano priznavanje jednakovrijednosti certifikata trećih zemalja s europskim kibernetičkosigurnosnim certifikatima. Trebalo bi biti moguće predvidjeti posebne uvjete za takvo priznavanje certifikata trećih zemalja.

(119)Kako bi se postigla jednaka provedba okvira u cijeloj Uniji, olakšalo uzajamno priznavanje i promicalo opće prihvaćanje europskih kibernetičkosigurnosnih certifikata i EU izjava o sukladnosti, potrebno je uspostaviti sustav istorazinskog ocjenjivanja među nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju. Istorazinsko ocjenjivanje trebalo bi obuhvaćati postupke za nadzor sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata s europskim kibernetičkosigurnosnim certifikatima, za praćenje obveza proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i certificiranih subjekata koji provode samoocjenjivanje sukladnosti i za praćenje tijela za ocjenjivanje sukladnosti te primjerenosti stručnog znanja osoblja tijela koja izdaju certifikate za visoku jamstvenu razinu. ENISA bi trebala sudjelovati u istorazinskim ocjenjivanjima kao promatrač i podupirati organizaciju mehanizma za istorazinsko ocjenjivanje i istorazinskih ocjenjivanja, među ostalim izradom relevantnih smjernica i predložaka, u suradnji s Komisijom i ECCG-om. ENISA bi na svojim internetskim stranicama o europskim programima kibernetičkosigurnosne certifikacije trebala objaviti i informacije o rasporedu istorazinskih ocjenjivanja i popis nacionalnih tijela za kibernetičkosigurnosnu certifikaciju koja ih provode. Provedbenom uredbom Komisije (EU) 2025/2540 60 , donesenom na temelju Uredbe (EU) 2019/881, utvrđuje se plan istorazinskih ocjenjivanja koji se primjenjuje u donesenim europskim programima kibernetičkosigurnosne certifikacije. Treba osigurati kontinuitet istorazinskih ocjenjivanja. Međutim, Komisija bi trebala moći provedbenim aktima, prema potrebi, uspostaviti novi plan istorazinskih ocjenjivanja u trajanju od najmanje pet godina te utvrditi kriterije i metodologije za provedbu sustava istorazinskog ocjenjivanja.

(120) Nakon donošenja europskog programa kibernetičkosigurnosne certifikacije proizvođači ili pružatelji IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili subjekti čije stanje kibernetičke sigurnosti podliježe certifikaciji trebali bi moći podnijeti zahtjev za certifikaciju svojih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili svojeg stanja kibernetičke sigurnosti tijelu za ocjenjivanje sukladnosti po svojem izboru bilo gdje u Uniji. Tijela za ocjenjivanje sukladnosti trebalo bi akreditirati nacionalno akreditacijsko tijelo ako ispunjavaju zahtjeve utvrđene u ovoj Uredbi i, prema potrebi, zahtjeve koje je Komisija utvrdila u skladu s ovom Uredbom. Sustav utvrđen u ovoj Uredbi trebalo bi dopuniti akreditacijskim sustavom predviđenim u Uredbi (EZ) br. 765/2008 Europskog parlamenta i Vijeća 61 .

(121) Tijela za ocjenjivanje sukladnosti koja su akreditirana ili prijavljena na temelju postojećeg zakonodavstva Unije, posebno Uredbe (EU) 2024/2847 ili Provedbene uredbe (EU) 2024/482, mogla bi imati kompetencije relevantne za novodonesene europske programe kibernetičkosigurnosne certifikacije. Kako bi se izbjeglo nepotrebno financijsko i administrativno opterećenje, primjereno je stvoriti sinergije za akreditaciju tijela za ocjenjivanje sukladnosti na temelju ove Uredbe. Zbog toga bi zahtjeve za akreditaciju u okviru programa trebalo utvrditi tako da se postigne što veća usklađenost sa zahtjevima koji se odnose na prijavljena tijela utvrđenima u Uredbi (EU) 2024/2847 i zahtjevima za akreditaciju iz Provedbene uredbe (EU) 2024/482. Osim toga, tijela za ocjenjivanje sukladnosti koja prolaze postupak akreditacije u skladu s ovom Uredbom trebala bi se moći osloniti na prethodne rezultate evaluacije njihovih kompetencija u skladu s drugim zakonodavstvom Unije kad god se zahtjevi za akreditaciju preklapaju.

(122)Kako bi se potaknule usklađene usluge ocjenjivanja sukladnosti u cijeloj Uniji, trebalo bi biti moguće u europskom programu kibernetičkosigurnosne certifikacije utvrditi dodatne ili posebne zahtjeve za tijela za ocjenjivanje sukladnosti. U kontekstu certifikacije ovlaštenje bi trebalo tumačiti kao odluku nacionalnog tijela za kibernetičkosigurnosnu certifikaciju da tijelo za ocjenjivanje sukladnosti ispunjava posebne ili dodatne zahtjeve utvrđene u europskom programu kibernetičkosigurnosne certifikacije za provedbu određene aktivnosti ocjenjivanja sukladnosti.

(123)Ako se pojedinim europskim programom kibernetičkosigurnosne certifikacije utvrđuju dodatni ili posebni zahtjevi u skladu s ovom Uredbom, nacionalna tijela za kibernetičkosigurnosnu certifikaciju trebala bi ovlastiti tijela za ocjenjivanje sukladnosti za obavljanje zadaća u okviru tog programa. Kako bi se izbjeglo višestruko izdavanje ovlaštenja, povećalo prihvaćanje i priznavanje odluka o ovlaštenju te provodilo djelotvorno praćenje ovlaštenih tijela za ocjenjivanje sukladnosti, tijela za ocjenjivanje sukladnosti trebala bi zatražiti ovlaštenje nacionalnog tijela za kibernetičkosigurnosnu certifikaciju države članice u kojoj imaju poslovni nastan. Međutim, treba osigurati da tijelo za ocjenjivanje sukladnosti može zatražiti ovlaštenje u drugoj državi članici ako u njegovoj državi članici ne postoji nacionalno tijelo za kibernetičkosigurnosnu certifikaciju ili ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju nema mogućnost pružanja zatraženih usluga ovlaštenja. U takvim slučajevima trebalo bi osigurati odgovarajuću suradnju i razmjenu informacija među nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju. Komisija bi trebala biti ovlaštena za donošenje provedbenih akata kojima se utvrđuju postupci za izdavanje ovlaštenja, među ostalim za prekograničnu suradnju u području izdavanja ovlaštenja.

(124)Kako bi se osigurala potrebna razina zaštite IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti subjekta, ključno je da podugovaratelji i društva kćeri koji ocjenjuju sukladnost podliježu istim zahtjevima kao i prijavljena tijela za ocjenjivanje sukladnosti u vezi s izvršavanjem zadaća ocjenjivanja sukladnosti. U skladu s tim, tijelo za ocjenjivanje sukladnosti trebalo bi imati odgovarajuće kompetencije i trebalo bi moći provjeriti ispunjavaju li podugovaratelji primjenjive zahtjeve.

(125)Tijelo koje provodi prijavljivanje trebalo bi na odgovarajući način ocijeniti u kojoj se mjeri tijelo za ocjenjivanje sukladnosti namjerava osloniti na podugovaratelje s poslovnim nastanom u trećim zemljama ili u kojoj će mjeri imati pristup osoblju ili objektima izvan države članice u kojoj se provodi prijavljivanje. Javno tijelo države članice trebalo bi imati mogućnost odlučiti da ne može preuzeti cjelokupnu odgovornost kao nacionalno tijelo za kibernetičkosigurnosnu certifikaciju za takav aranžman te povući ili ograničiti opseg prijave.

(126)Kako bi se ocijenili zahtjevi u pogledu kibernetičke sigurnosti za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata, nacionalna tijela za kibernetičkosigurnosnu certifikaciju trebala bi Komisiji i drugim državama članicama prijaviti akreditirana tijela za ocjenjivanje sukladnosti. U prijavi akreditiranih i, ako je primjenjivo, ovlaštenih tijela za ocjenjivanje sukladnosti treba navesti da se tim tijelima može vjerovati da će obavljati aktivnosti evaluacije i certifikacije u skladu s ovom Uredbom i europskim programom kibernetičkosigurnosne certifikacije, čime se doprinosi općem ugledu europske kibernetičkosigurnosne certifikacije. Stoga je presudno osigurati da prijavljena tijela za ocjenjivanje sukladnosti kontinuirano ispunjavaju svoje zahtjeve i obveze te da se popis prijavljenih tijela za ocjenjivanje sukladnosti redovito ažurira.

(127)Provedbenom uredbom Komisije (EU) 2024/3143 62 donesenom na temelju Uredbe (EU) 2019/881 utvrđuju se okolnosti, formati i postupci za prijavljivanje tijela za ocjenjivanje sukladnosti koja se koriste u donesenim europskim programima kibernetičkosigurnosne certifikacije. Stoga je potrebno osigurati kontinuitet aktivnosti prijavljivanja. Međutim, Komisija bi trebala biti ovlaštena za donošenje provedbenih akata radi prilagodbe tih okolnosti, postupaka i formata za prijavljivanje tijela za ocjenjivanje sukladnosti. U tom kontekstu Komisija bi se trebala osloniti na iskustvo stečeno u kontekstu postojećih programa i nastojati postići usklađenost s drugim relevantnim zakonodavstvom i okvirima Unije, posebno s Uredbom (EU) 2024/2847 i novim zakonodavnim okvirom, kako bi se smanjilo opterećenje koje proizlazi iz obveza usklađivanja za tijela za ocjenjivanje sukladnosti koja djeluju na temelju različitih pravnih instrumenata.

(128) Lanci opskrbe u sektoru informacijske i komunikacijske tehnologije (IKT) sastoje se od povezanog skupa resursa i postupaka u kojima sudjeluju gospodarski subjekti. Lanci opskrbe IKT-om imaju ključnu ulogu u održavanju društvene stabilnosti i poticanju gospodarske aktivnosti u cijeloj Uniji. Ujedno imaju važnu ulogu u omogućivanju digitalne infrastrukture u Uniji i podupiru funkcioniranje društva i gospodarstva Unije. Lanci opskrbe IKT-om omogućuju proizvodnju, distribuciju i održavanje IKT usluga, IKT sustava i IKT proizvoda kojima se podupiru razni kritični i vrlo kritični sektori, uključujući zdravstvo, financije, prijevoz, telekomunikacije, energetiku i carinu. Sigurnost lanaca opskrbe IKT-om tih ključnih sektora može utjecati i na sigurnost obrambene i vojne infrastrukture ako se ta infrastruktura oslanja na civilne kritične sektore i njihove lance opskrbe IKT-om. Međutim, prema izvješću ENISA-e o stanju u pogledu kibernetičkih prijetnji za 2025. 63 , napadi na lance opskrbe jedna su od pet glavnih prijetnji kibernetičkoj sigurnosti, što pokazuje da napadači aktivno iskorištavaju neizravne putove preko pružatelja usluga treće strane i na temelju ovisnosti. Poremećaji u lancima opskrbe IKT-om mogu ometati obavljanje gospodarskih aktivnosti na unutarnjem tržištu, uzrokovati financijske gubitke, narušiti povjerenje korisnika i nanijeti veliku štetu gospodarstvu i društvu Unije. Pripravnost i djelotvornost u području kibernetičke sigurnosti važnije su nego ikad za pravilno funkcioniranje unutarnjeg tržišta.

(129)Osim tehničkim rizicima obuhvaćenima Direktivom (EU) 2022/55 Europskog parlamenta i Vijeća 64 , Uredbom (EU) 2024/2847 Europskog parlamenta i Vijeća 65 i Europskim okvirom za kibernetičkosigurnosnu certifikaciju uspostavljenim Uredbom (EU) 2019/881, lanci opskrbe IKT-om sve su više izloženi rizicima netehničke prirode. Takvi netehnički rizici mogu biti povezani, među ostalim, s jurisdikcijom kojoj podliježe dobavljač određenih komponenti, posebno ako treća zemlja ili akteri prijetnji pod kontrolom te zemlje sudjeluju u gospodarskoj špijunaži, provode zlonamjerne kibernetičke aktivnosti ili kampanje protiv Unije ili njezinih država članica ili sudjeluju u neodgovornom ponašanju države u kibernetičkom prostoru. Netehnički rizici mogu biti povezani i s prikrivenim ranjivostima ili „slabostima u smislu stražnjeg ulaza” ili mogućim sistemskim poremećajima u opskrbi, posebno u slučaju tehnološke ovisnosti ili ovisnosti o dobavljaču. Na primjer, mehanizmi za obustavu mogli bi se koristiti za onemogućivanje dostupnosti komunikacijskih mreža i elektroenergetskih mreža.

(130)U Zajedničkoj komunikaciji o jačanju gospodarske sigurnosti EU-a 66 istaknuto je da postoji rizik da bi treće zemlje mogle dobiti pristup osjetljivim informacijama i podacima u Uniji ili njezinim državama članicama kao rezultat industrijske špijunaže, zbog hardvera ili softvera koji dobavljaju, a koji se upotrebljava za određene proizvode ili zbog njihova vlasništva i kontrole nad određenim poduzećima koja posjeduju osjetljive informacije i podatke. Istaknuto je i da postoji rizik od poremećaja u kritičnoj infrastrukturi Unije uzrokovanih djelovanjem stranih aktera, uključujući kritičnu prometnu, svemirsku, energetsku i komunikacijsku infrastrukturu, posebno onu koja se smatra strateškom za vojnu mobilnost, što bi moglo imati kaskadne posljedice za europsko gospodarstvo. Do poremećaja bi moglo doći fizičkim, kibernetičkim ili hibridnim napadima, uključujući sabotažu cijelih objekata ili njihovih dijelova ili podkomponenti. Mogli bi se povezati i s lancima opskrbe IKT-om, u kojima su ključne komponente ili usluge ključne infrastrukture.

(131)Kao odgovor na izazove koje netehnički rizici predstavljaju za sigurnost lanca opskrbe IKT-om, neke su države članice poduzele regulatorne mjere, uključujući utvrđivanje visokorizičnih dobavljača, dok će druge države članice to vjerojatno učiniti. To bi moglo dovesti do daljnjih razlika u nacionalnim pristupima, a u konačnici i do veće ranjivosti nekih država članica te imati učinke prelijevanja u cijeloj Uniji. Stoga je potrebno uskladiti određene aspekte povezane s netehničkim kibernetičkosigurnosnim rizicima za lanac opskrbe IKT-om. Takva intervencija na razini Unije opravdana je i s obzirom na potrebu da se osigura visoka razina kibernetičke sigurnosti u cijeloj Uniji. Odredbama o sigurnosti lanca opskrbe IKT-om nastoje se ukloniti te velike razlike među državama članicama, posebno utvrđivanjem pravila za mehanizme procjene rizika povezane sa sigurnosnim rizicima u lancu opskrbe IKT-om na razini Unije i minimalnih standarda zaštite od rizika u tom lancu.

(132)Kako bi se smanjile kritične ovisnosti i ranjivosti, potrebno je uspostaviti okvir za pouzdani lanac opskrbe IKT-om koji bi trebao ukloniti netehničke rizike povezane s visokorizičnim dobavljačima i ovisnostima u sektorima visoke kritičnosti i drugim kritičnim sektorima. Stoga je na razini Unije potrebno osigurati objektivan i tehnološki neutralan okvir koji se temelji na procjeni rizika i otporan je na promjene u budućnosti, utvrditi ključnu IKT imovinu i predvidjeti skup proporcionalnih mjera za ublažavanje rizika.

(133)Kibernetičkosigurnosni rizici, uključujući rizike povezane s ovisnošću o visokorizičnim dobavljačima, mogu se uočiti u nekoliko ključnih lanaca opskrbe IKT-om u Uniji, uključujući opremu za detekciju, povezana i automatizirana vozila, sustave opskrbe električnom energijom i skladištenje električne energije, sustave opskrbe vodom, dronove i protudronske sustave, usluge računalstva u oblaku, medicinske uređaje, opremu za nadzor, svemirske usluge i poluvodiče. Na primjer, ranjivosti sigurnosne opreme za detekciju mogle bi omogućiti pristup IKT sustavima, što bi zlonamjernim akterima omogućilo da manipuliraju skenerima tako da se zabranjeni predmeti mogu unijeti kroz sigurnosnu kontrolnu točku bez otkrivanja, što bi moglo imati katastrofalne posljedice.

(134)Ova Uredba ne bi trebala sprečavati države članice da donesu ili zadrže odredbe kojima se osigurava viša razina kibernetičke sigurnosti u odnosu na sigurnost lanca opskrbe IKT-om, pod uvjetom da su takve odredbe u skladu s obvezama država članica utvrđenima u pravu Unije. Takve odredbe mogu, na primjer, uključivati uvođenje strožih mjera ublažavanja za ključnu IKT imovinu.

(135)Kako bi se utvrdili potencijalni kibernetičkosigurnosni rizici koji utječu na određene lance opskrbe IKT-om, skupina za suradnju osnovana člankom 14. Direktive (EU) 2022/2555 („Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava”) može procijeniti određene lance opskrbe IKT-om pomoću koordiniranih procjena sigurnosnih rizika na razini Unije. U koordiniranim procjenama sigurnosnih rizika na razini Unije trebalo bi, među ostalim, razmotriti glavne aktere prijetnji, glavne prijetnje i ranjivosti koje utječu na ključnu IKT imovinu. U okviru koordiniranih procjena sigurnosnih rizika na razini Unije trebalo bi izraditi popis scenarija rizika i popis mjera za njihovo ublažavanje. Koordinirane procjene sigurnosnih rizika na razini Unije trebalo bi dovršiti u roku od šest mjeseci. U posebno hitnim slučajevima rokovi bi se trebali moći skratiti.

(136)Ako Komisija ima dovoljno razloga vjerovati da postoji ozbiljna kibernetička prijetnja za sigurnost Unije povezana s ključnim lancima opskrbe IKT-om i ako bi moglo biti potrebno poduzeti mjere za očuvanje pravilnog funkcioniranja unutarnjeg tržišta, trebala bi se bez odgode savjetovati s državama članicama o potrebi za mjerama ublažavanja i provesti procjenu sigurnosnog rizika, uzimajući u obzir savjetovanje s državama članicama.

(137)Ako se na temelju procjene sigurnosnog rizika koju je provela Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava ili Komisija utvrdi da određena treća zemlja predstavlja ozbiljne i strukturne netehničke kibernetičkosigurnosne rizike za lance opskrbe IKT-om, Komisija bi trebala provjeriti prijetnju koju predstavlja ta zemlja. Komisija može pokrenuti takvu provjeru i na temelju drugih izvora, kao što je javna izjava u ime Unije ili države članice, kao odgovor na slučajeve neodgovornog ponašanja država u kibernetičkom prostoru koji su doveli do kibernetičkosigurnosnog incidenta. Kako bi procijenila razinu prijetnje, Komisija bi trebala uzeti u obzir elemente kao što su postojanje zakona ili praksi u trećoj zemlji prema kojima se od subjekata u njihovoj nadležnosti zahtijeva da tijelima te treće zemlje prijave informacije o ranjivostima softvera ili hardvera prije utvrđivanja da su te ranjivosti iskorištene. Drugi je relevantan element nepostojanje djelotvornih pravnih lijekova te neovisnih i demokratskih kontrolnih mehanizama putem kojih se mogu otkloniti sigurnosne dvojbe, među ostalim u odnosu na postojeće prakse, potkrijepljene informacije o incidentima aktera prijetnji koji djeluju s državnog područja te zemlje i provode zlonamjerne kibernetičke aktivnosti ili kampanje te nesposobnosti ili nespremnosti treće zemlje da surađuje s Komisijom ili državama članicama na uklanjanju rizika koji proizlazi iz djelovanja takvih aktera prijetnji. Komisija bi također trebala uzeti u obzir informacije koje proizlaze iz koordiniranih procjena sigurnosnih rizika na razini Unije ili izvješća koja su izdale države članice ili međunarodne organizacije kao što je NATO.

(138)Za potrebe ove Uredbe pojam „kontrola” trebalo bi tumačiti kao sposobnost izvršavanja odlučujućeg utjecaja na pravni subjekt izravno ili neizravno putem jednog ili više posredničkih pravnih subjekata. Kontrola subjekata iz treće zemlje koja izaziva zabrinutost za kibernetičku sigurnost trebala bi se uspostaviti i u situacijama u kojima takav subjekt ima izvršne upravljačke strukture u toj zemlji.

(139)Unija ne bi trebala financirati projekte koji uključuju visokorizične dobavljače kojima bi se ugrozili sigurnost Unije te njezini interesi i vjerodostojnost. Visokorizični dobavljači utvrđeni na temelju ove Uredbe stoga ne bi trebali imati pravo sudjelovati ni u jednom Unijinu programu i instrumentu financiranja koji se provode u okviru izravnog i neizravnog upravljanja u skladu s člankom 136. Uredbe (EU/Euroatom) 2024/2509 i sektorskim pravilima Unije te ni u kakvim Unijinim aktivnostima financiranja koje se provode u okviru podijeljenog upravljanja, među ostalim u okviru sljedećeg višegodišnjeg financijskog okvira, u vezi s pružanjem IKT komponenti ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u utvrđenoj ključnoj IKT imovini. Unijini partneri u provedbi, kao što su Grupa Europske investicijske banke i nacionalne razvojne banke i institucije, trebali bi se suzdržati od podupiranja projekata koji su u suprotnosti s prethodno navedenim, među ostalim u operacijama na vlastiti rizik.

(140)Javna nabava može biti učinkovit alat za doprinos javnih tijela inovativnijem, održivijem i konkurentnijem gospodarstvu te za stratešku potrošnju javnog novca. Dobavljači koji su rizik za sigurnost kritične infrastrukture Unije ne bi trebali moći sudjelovati u postupcima javne nabave povezane s lancima opskrbe IKT-om. Visokorizični dobavljači utvrđeni na temelju ove Uredbe stoga ne bi trebali imati pravo sudjelovati u javnoj nabavi koja se odnosi na pružanje komponenti IKT-a ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u utvrđenoj ključnoj IKT imovini.

(141)Kibernetičkosigurnosna certifikacija ima važnu ulogu u jačanju opće sigurnosti i suzbijanju kibernetičkih prijetnji te je pokazatelj povjerenja. To bi se povjerenje moglo narušiti kad bi potvrde o vještinama u području kibernetičke sigurnosti izdavali visokorizični dobavljači koji stoga ne bi smjeli imati pravo podnijeti zahtjev za status ovlaštenog izdavatelja bilo koje osobne potvrde Unije o vještinama u području kibernetičke sigurnosti. Slično tome, primjereno je i isključiti visokorizične dobavljače iz postupaka kibernetičkosigurnosne certifikacije u sklopu Europskog okvira za kibernetičkosigurnosnu certifikaciju i onemogućiti im da postanu akreditirana tijela za ocjenjivanje sukladnosti za izdavanje takvih certifikata.

(142)Norme u području kibernetičke sigurnosti presudne su za sigurnost i pouzdanost digitalnih infrastruktura. Potrebno je poduzeti odgovarajuće mjere kako bi se osigurala normizacija u području kibernetičke sigurnosti. Sudjelovanje subjekata koji imaju poslovni nastan u zemljama za koje je utvrđeno da izazivaju zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om ili su pod njihovom kontrolom u skladu s ovom Uredbom može dovesti do utjecaja na norme u području kibernetičke sigurnosti na način kojim se ugrožava njihova sigurnost i pouzdanost.

(143)Na temelju rezultata procjena sigurnosnih rizika Komisija može provedbenim aktima utvrditi IKT imovinu koja bi se trebala smatrati ključnom IKT imovinom zbog njezine kritičnosti i na koju bi se trebale primjenjivati posebne mjere ublažavanja. Samo postojanje mogućnosti povezivosti imovine trebalo bi biti dovoljno za razmatranje njezina kibernetičkosigurnosnog rizika.

(144)Ako je to potrebno kako bi se osigurala visoka razina kibernetičke sigurnosti i otpornosti te povjerenja u Uniji, mjere ublažavanja mogu se primijeniti na subjekte u vezi s njihovim lancem opskrbe IKT-om, a posebno na utvrđenu ključnu IKT imovinu. Predložene mjere ublažavanja trebale bi se temeljiti na procjeni potencijalnih rizika i ovisnosti, uključujući potencijalni gospodarski i društveni učinak takvih mjera na predmetne subjekte koji posluju u vrlo kritičnim ili drugim kritičnim sektorima, a posebno na MSP-ove. Analiza gospodarskih učinaka trebala bi obuhvatiti troškove provedbe mjera ublažavanja, uključujući trajanje životnog ciklusa relevantnih komponenti ključne IKT imovine ako mjere podrazumijevaju zamjenu dobavljača. Trebalo bi procijeniti i dostupnost alternativnih dobavljača na tržištu kako bi se osiguralo kontinuirano pružanje usluga.

(145)Budući da bi mjere ublažavanja mogle imati ograničavajući učinak na međunarodnu trgovinu robom i uslugama, one bi trebale biti proporcionalne i ciljane za ostvarivanje legitimnog cilja osiguravanja kibernetičke sigurnosti lanaca opskrbe IKT-om u odnosu na subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555, u skladu s međunarodnim obvezama Unije.

(146)Korištenje, ugradnja ili bilo koja druga vrsta integracije komponenti koje pružaju visokorizični dobavljači u okviru rada ključne IKT imovine mogu biti povezani s rizicima naknadnih prijenosa podataka u treću zemlju. Konkretno, rizike može predstavljati nedovoljna razina zaštite podataka u trećoj zemlji, primjerice za zaštitu temeljnih prava, intelektualnog vlasništva ili poslovnih tajni, ili nezakonit pristup tim podacima i njihovo iskorištavanje za moguće buduće poremećaje u lancu opskrbe i špijunaže. Kako bi se ublažili takvi rizici, mogu se primjenjivati ograničenja povezana s prijenosom određenih vrsta podataka trećim zemljama.

(147)Značajne ranjivosti proizlaze iz nedovoljne raznolikosti opreme koju upotrebljavaju subjekti vrste iz priloga I. i II. Direktivi (EU) 2022/2555. Oslanjanje na jednog dobavljača stvara ovisnost o određenoj opremi ili rješenjima. Nedovoljna raznolikost dobavljača povećava ukupnu ranjivost kritične infrastrukture, osobito ako subjekti svoje IKT komponente koje se koriste u osjetljivoj IKT imovini nabavljaju od dobavljača koji predstavlja visok stupanj rizika. Ovisnost znatno utječe i na otpornost na nacionalnoj razini i razini Unije te stvara jedinstvene točke prekida. Kako bi se ublažili takvi rizici, mogu se primijeniti zahtjevi da za određenu ključnu IKT imovinu mora postojati više dobavljača.

(148)I subjekti Unije mogu upotrebljavati ključnu imovinu kako je definirana ovom Uredbom. Stoga bi se pravila utvrđena u ovoj Uredbi koja se odnose na sigurnost lanca opskrbe IKT-om trebala primjenjivati i na njih. Kako bi se u obzir uzela specifičnost subjekata Unije, pri provedbi koordiniranih procjena sigurnosnih rizika na razini Unije važno je uzeti u obzir netehničke rizike koji proizlaze iz lanaca opskrbe IKT-om za subjekte Unije.

(149)U iznimnim okolnostima koje opravdavaju brzu intervenciju radi očuvanja pravilnog funkcioniranja unutarnjeg tržišta i ako postoje jasni dokazi koji Komisiji daju dovoljno razloga da smatra da korištenje IKT komponenti ili komponenti koje sadržavaju IKT komponente određenog dobavljača predstavlja znatnu kibernetičku sigurnosnu prijetnju za gospodarske ili društvene aktivnosti najmanje triju država članica, Komisija može, nakon savjetovanja s državama članicama, predložiti da se zabrani korištenje, ugradnja ili integracija takvih komponenti tog dobavljača po vrsti subjekata iz priloga I. i II. Direktivi (EU) 2022/2555.

(150)Kako bi se osigurala proporcionalnost primijenjenih mjera, subjekti koji imaju poslovni nastan u trećoj zemlji koja je u skladu s ovom Uredbom okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom takve treće zemlje, subjekta s poslovnim nastanom u takvoj trećoj zemlji ili državljanina takve treće zemlje mogu podnijeti zahtjev za izuzeće od zabrane isporuke subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555 IKT komponenti ili komponenti koje sadržavaju IKT komponente radi njihova korištenja, ugradnje ili integracije u ključnu IKT imovinu tog subjekta i sudjelovanja u postupcima javne nabave organiziranima u skladu sa zakonodavstvom kojim se prenose direktive 2014/24/EU 67 i 2014/25/EU Europskog parlamenta i Vijeća 68 za pružanje IKT komponenti ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u utvrđenoj ključnoj IKT imovini.  U tu bi svrhu subjekt trebao dostaviti jasne dokaze o tome da primjenjuje djelotvorne mjere kojima se otklanjaju netehnički rizici i osigurava nepostojanje bilo kakvog mogućeg neopravdanog upletanja treće zemlje koja izaziva zabrinutost za kibernetičku sigurnost.

(151)Elektroničke komunikacijske mreže okosnica su velikog broja različitih usluga koje su presudne za funkcioniranje unutarnjeg tržišta te održavanje i rad ključnih društvenih i gospodarskih funkcija, kao što su one u području energetike, prometa, bankarstva, zdravstva, obrane te industrijskih kontrolnih sustava. Stoga su te vrlo kritične mreže privlačne mete za sve vrste kibernetičkih napada i hibridnih prijetnji s ciljem stvaranja poremećaja, špijunaže ili prikupljanja obavještajnih podataka te za prijevare i financijski kriminal. U procjeni rizika za kibernetičku sigurnost i otpornost europske komunikacijske infrastrukture i mreža koju je provela Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava utvrđen je niz rizika i prijetnji od strateške važnosti iz perspektive Unije, kao što su softveri za brisanje podataka/ucjenjivački softveri, napadi na lance opskrbe, neovlašteni upadi u mrežu i distribuirani napadi uskraćivanjem usluge (DDoS).

(152)S obzirom na međusobnu povezanost i međuovisnost različitih nacionalnih elektroničkih komunikacijskih mreža, potrebno je da sve države članice poduzmu odgovarajuće mjere za osiguravanje sigurnosti svojih mreža. Zbog istih razloga potrebno je uspostaviti djelotvoran pravni okvir na razini Unije kojim bi se na sveobuhvatan način otklanjali i netehnički rizici i osigurala sigurnost međusobno povezanih elektroničkih komunikacijskih mreža.

(153)Konkretno, kibernetička sigurnost 5G mreža pitanje je od strateške važnosti za Uniju jer te mreže čine okosnicu velikog broja različitih usluga od velike važnosti za funkcioniranje unutarnjeg tržišta te su ključne i za uspostavu naše obrambene pripravnosti, među ostalim za vojnu mobilnost. 5G mreže mogu pružiti pouzdanu ultrabrzu povezivost, na primjer za razmjenu podataka i informacija, otkrivanje bespilotnih letjelica i koordinaciju na bojištu u stvarnom vremenu.

(154)Uvođenje 5G tehnologije prvenstveno se odnosi na uvođenje nesamostalnih mreža, u kojima se samo radijska pristupna mreža nadograđuje na 5G tehnologiju, dok se ostatak mreže i dalje oslanja na postojeću osnovnu mrežu 4G. Nesamostalne 5G mreže prvenstveno se temelje na već uspostavljenoj infrastrukturi, što znači da je sigurnost budućih 5G mreža u određenoj mjeri određena već uspostavljenom mrežnom opremom i konfiguracijom takve opreme. Stoga bi mjere ublažavanja trebale obuhvaćati i 4G mreže na kojima se temelji uvođenje 5G tehnologije.

(155)Kako bi se otklonili važni sigurnosni rizici u 5G mrežama, države članice u okviru Skupine za suradnju u području mrežne i informacijske sigurnosti, zajedno s Komisijom i ENISA-om, provele su koordiniranu procjenu sigurnosnih rizika 5G mreža na razini Unije te su ispitale tehničke i netehničke rizike. U toj je procjeni utvrđeno nekoliko rizika, uključujući moguće upletanje trećih zemalja ili aktera iz trećih zemalja putem lanca opskrbe, te je imovina svrstana u kategorije prema svojoj kritičnosti. Ta bi se procjena trebala uzeti kao osnova za definiranje ključne IKT imovine za 5G komunikacijske mreže.

(156)Kako bi se ublažili rizici utvrđeni u koordiniranoj procjeni sigurnosnih rizika 5G mreža na razini Unije, Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava donijela je paket instrumenata EU-a za kibernetičku sigurnost 5G tehnologije, u kojem su utvrđene strateške i tehničke mjere. Iako većina država članica ima pravne okvire na temelju kojih se mogu ograničiti ili isključiti visokorizični dobavljači kako je preporučeno u paketu instrumenata za 5G tehnologije, provedba tih okvira nije ujednačena. Zbog toga visokorizični dobavljači opskrbljuju velik broj 5G lokacija u cijeloj Uniji, kako je navedeno u Komunikaciji Komisije o provedbi paketa instrumenata EU-a za kibernetičku sigurnost 5G mreža 69 . Zbog te situacije dolazi do ranjivosti, uključujući stratešku ovisnost i moguću izloženost upletanju trećih zemalja, što bi moglo utjecati i na buduću 6G infrastrukturu koja se temelji na postojećim 5G mrežama. Fragmentirana provedba preporučenih mjera iz paketa instrumenata za 5G tehnologije, posebno u pogledu opsega ograničenja za visokorizične dobavljače, dovela je do razlika među državama članicama, što dovodi do nejednakih uvjeta na unutarnjem tržištu i smanjuje opću sigurnost mreže. Europski revizorski sud istaknuo je te razlike i upozorio da nepostojanje koordiniranog pristupa ugrožava funkcioniranje unutarnjeg tržišta. Trajna ovisnost o visokorizičnim dobavljačima predstavlja ozbiljan rizik za sigurnost kritične infrastrukture u Uniji i mogla bi narušiti povjerenje u unutarnje tržište jer nedosljedne razine sigurnosti mogu odvratiti potrošače i poduzeća od korištenja proizvoda i usluga koji se temelje na 5G tehnologiji u cijeloj Uniji. Stoga treba donijeti mjere na razini Unije kako bi se osigurao usklađen pristup sigurnosti 5G mreža.

(157)Radi utvrđivanja razdoblja za postupno uklanjanje komponenti iz ključne IKT imovine nepokretnih i satelitskih elektroničkih komunikacijskih mreža, Komisija bi trebala provesti procjenu uzimajući u obzir stupanj sigurnosnih rizika povezanih sa svakom određenom ključnom IKT imovinom nepokretnih i satelitskih mreža, vijek trajanja relevantnih komponenti i gospodarski učinak koji bi uklanjanje tih komponenti imalo na predmetne operatore. Na temelju rezultata te procjene Komisija može razmotriti uspostavu različitih razdoblja postupnog uklanjanja komponenti za određenu ključnu IKT imovinu i njezine sastavne elemente.

(158)Za potrebe djelotvornog nadzora i izvršenja obveza koje se odnose na pružatelje pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža, relevantna nadležna tijela na temelju ove Uredbe trebala bi osigurati blisku suradnju s nadležnim tijelima na temelju [Prijedlog akta o digitalnim mrežama]. Na zahtjev nadležnog tijela imenovanog na temelju ove Uredbe nacionalna regulatorna tijela ili druga nadležna tijela za radiofrekvencijski spektar trebala bi, prema potrebi, povući prava iz članaka 9. i 20. [Prijedlog akta o digitalnim mrežama] ako pružatelj javnih elektroničkih komunikacijskih mreža ne poštuje obveze iz ove Uredbe, među ostalim ako pružatelj u roku utvrđenom u skladu s ovom Uredbom ne ukloni IKT komponente ili komponente koje sadržavaju IKT komponente visokorizičnih dobavljača iz rada ključne IKT imovine.

(159)S obzirom na razlike u nacionalnim upravljačkim strukturama, države članice trebale bi imenovati ili uspostaviti jedno ili više nadležnih tijela odgovornih za nadzorne i izvršne mjere na temelju ove Uredbe.

(160)Nadležna tijela trebala bi subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555 podupirati u ispunjavanju njihovih obveza na temelju ove Uredbe. U tu bi svrhu Komisija trebala procijeniti imaju li dobavljači na koje bi mogle utjecati posebne zabrane poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom takve treće zemlje ili subjekta s poslovnim nastanom u takvoj trećoj zemlji ili državljanina takve treće zemlje. Nadležna tijela trebala bi blisko surađivati s Komisijom i drugim nadležnim tijelima u okviru Mreže uspostavljene na temelju ove Uredbe. Na temelju procjene Komisije nadležna tijela trebala bi s relevantnim subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555 razmjenjivati relevantne informacije o visokorizičnim dobavljačima. Od subjekata se ne očekuje da provjere je li dobavljač pod stranom kontrolom, ali se oni mogu u potpunosti osloniti na informacije primljene od nadležnih tijela. Nadležna tijela trebala bi osigurati da se tim subjektima ne nameće nepotrebno administrativno opterećenje.

(161)Kako bi se osigurala djelotvorna usklađenost, ovom bi se Uredbom trebale predvidjeti nadzorne i izvršne mjere kojima nadležna tijela mogu nadzirati subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555. Ako nadležna tijela izvršavaju svoje nadzorne i izvršne zadaće u odnosu na te subjekte, ne bi trebala prelaziti ono što je potrebno za njihovo izvršenje i njihovo djelovanje trebalo bi biti proporcionalno utvrđenim rizicima.

(162)Kako bi provedba bila djelotvorna i dosljedna u cijeloj Uniji, potrebno je osigurati izvršne ovlasti koje nadležna tijela mogu izvršavati ako dođe do povrede obveza utvrđenih u ovoj Uredbi. Pri provedbi tih izvršnih ovlasti nadležna tijela trebala bi uzeti u obzir niz čimbenika, uključujući prirodu, težinu i trajanje povrede, prouzročenu materijalnu ili nematerijalnu štetu, je li povreda počinjena namjerno ili iz nemara, mjere poduzete radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete, stupanj odgovornosti ili sve relevantne prethodne povrede, stupanj suradnje s nadležnim tijelom te sve druge otegotne ili olakotne čimbenike. Mjere izvršenja, uključujući sankcije, trebale bi biti proporcionalne, a na njihovo izricanje trebale bi se primjenjivati odgovarajuće postupovne zaštitne mjere u skladu s općim načelima prava Unije i Poveljom Europske unije o temeljnim pravima, uključujući pravo na djelotvoran pravni lijek i na pošteno suđenje, pretpostavku nedužnosti i prava na obranu.

(163)Važno je predvidjeti i ovlast za izricanje periodičnih novčanih kazni kako bi se subjekta vrste iz priloga I. ili II. Direktivi (EU) 2022/2555 navelo da prestane s povredom ove Uredbe u skladu s prethodnom odlukom nadležnog tijela.

(164) Kako bi se osiguralo djelotvorno izvršenje obveza utvrđenih u ovoj Uredbi, svako nadležno tijelo trebalo bi imati ovlast izreći sankcije ili zatražiti njihovo izricanje.

(165)Za potrebe izricanja sankcija subjektu vrste iz priloga I. i II. Direktivi (EU) 2022/2555 koji je poduzeće, poduzeće bi trebalo tumačiti kao poduzeće u skladu s člancima 101. i 102. UFEU-a. Ako se novčana kazna izriče osobi koja nije poduzetnik, pri razmatranju odgovarajućeg iznosa sankcija nadležno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Države članice trebale bi utvrditi trebaju li i u kojoj mjeri javna tijela podlijegati sankcijama. Izricanje sankcije ne bi trebalo utjecati na primjenu drugih ovlasti nadležnih tijela.

(166)Kako bi se osigurali ujednačeni uvjeti za provedbu ove Uredbe, Komisiji bi trebalo dodijeliti provedbene ovlasti za donošenje provedbenih akata kojima se utvrđuju detaljna pravila o naknadama koje naplaćuje ENISA, provedbenih akata kojima se donosi europski program kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata, provedbenih akata kojima se utvrđuju zajednička načela i referentne odredbe za osiguravanje elemenata u europskim programima kibernetičkosigurnosne certifikacije, provedbenih akata kojima se utvrđuju postupci za prethodno odobrenje ili modeli općeg delegiranja, provedbenih akata o priznavanju kibernetičkosigurnosnih certifikata treće zemlje ili međunarodne organizacije kao jednakovrijednih europskim certifikatima, provedbenih akata kojima se uspostavlja plan istorazinskog ocjenjivanja, provedbenih akata kojima se utvrđuju postupci, među ostalim o prekograničnoj suradnji, za ovlašćivanje tijela za ocjenjivanje sukladnosti, provedbenih akata za utvrđivanje okolnosti, formata i postupaka za prijavljivanje tijela za ocjenjivanje sukladnosti, provedbenih akata kojima se treća zemlja kvalificira kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om, provedbenih akata kojima se utvrđuje ključna IKT imovina koja se koristi za proizvodnju proizvoda ili pružanje usluga subjekata vrste iz priloga I. i II. Direktivi (EU) 2022/2555, provedbenih akata kojima se utvrđuje da subjekti koji djeluju u sektorima visoke kritičnosti i drugim kritičnim sektorima podliježu posebnim mjerama ublažavanja i kojima se utvrđuju rokovi za postupno uklanjanje IKT komponenti ili komponenti koje sadržavaju IKT komponente koje pružaju visokorizični dobavljači, provedbenih akata kojima se dodatno utvrđuju uvjeti za izuzeće za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje, kao i za donošenje provedbenih akata kojima se utvrđuju detaljna pravila o naknadama koje naplaćuje Komisija. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća te bi trebalo primjenjivati postupak ispitivanja. Radi osiguravanja ujednačenih uvjeta za provedbu ove Uredbe, Komisiji bi trebalo dodijeliti provedbene ovlasti za utvrđivanje popisa visokorizičnih dobavljača relevantnih za određene mjere predviđene ovom Uredbom.

(167)Nužno je da europski programi kibernetičkosigurnosne certifikacije uzimaju u obzir najnovija tehnološka dostignuća, nove srodne prijetnje i donošenje novih propisa Unije kojima se utvrđuju načini dokazivanja sukladnosti i pretpostavka sukladnosti u okviru europske kibernetičkosigurnosne certifikacije s relevantnim kibernetičkosigurnosnim zahtjevima iz tih propisa. Zbog toga bi Komisiji trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a kako bi se dodali ili izmijenili sigurnosni ciljevi koji se nastoje ostvariti europskim programima kibernetičkosigurnosne certifikacije. Slično tome, radi utvrđivanja okvira za pouzdani lanac opskrbe IKT-om Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a kako bi se izmijenio Prilog II. ovoj Uredbi radi njegove prilagodbe tehnološkom razvoju. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće trebali bi primiti sve dokumente istodobno kada i stručnjaci iz država članica te bi njihovi stručnjaci sustavno trebali imati pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

(168)Rad ENISA-e trebao bi podlijegati redovitoj i neovisnoj evaluaciji. Pri provedbi te evaluacije trebalo bi voditi računa o ciljevima ENISA-e i relevantnosti njezinih zadaća, posebno njezinih zadaća povezanih s operativnom suradnjom na razini Unije. U slučaju preispitivanja Komisija bi trebala ocijeniti kako se može ojačati uloga ENISA-e kao referentne točke za savjete i stručno znanje.

(169)Provedbenom uredbom Komisije (EU) 2024/482 utvrđuju se pravila o donošenju europskog programa kibernetičkosigurnosne certifikacije na temelju zajedničkih kriterija (EUCC). EUCC je prvi i jedini europski program kibernetičkosigurnosne certifikacije donesen na temelju Uredbe (EU) 2019/881. Odnosi se na certificiranje IKT proizvoda, uključujući proizvode koji pripadaju tehničkim domenama „pametne kartice i slični uređaji” i „hardverski uređaji sa sigurnosnim kutijama” te profile zaštite (kao IKT procesi). Stoga je potrebno osigurati kontinuitet aktivnosti certificiranja i aktivnosti Agencije.

(170)Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka i Europskim odborom za zaštitu podataka u skladu s člankom 42. stavkom 2. Uredbe (EU) 2018/1725 70 te su oni dali zajedničko mišljenje [datum].

(171)Uredbu (EU) 2019/881 trebalo bi staviti izvan snage.

(172)S obzirom na to da ciljeve ove Uredbe ne mogu dostatno ostvariti države članice, nego se zbog njezina opsega ili učinaka oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tih ciljeva,

DONIJELI SU OVU UREDBU:

GLAVA I. 
OPĆE ODREDBE

Članak 1.
Predmet i područje primjene

1.Ovom se Uredbom utvrđuju:

(a)misija, ciljevi, zadaće i organizacijska pitanja Agencije Europske unije za kibernetičku sigurnost (ENISA);

(b)okvir za uspostavu europskih programa kibernetičkosigurnosne certifikacije za potrebe osiguravanja prikladne razine kibernetičke sigurnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata u Uniji, kao i za potrebe sprečavanja fragmentacije unutarnjeg tržišta kad je riječ o programima kibernetičkosigurnosne certifikacije u Uniji; i

(c)okvir za pouzdani lanac opskrbe IKT-om.

2.Okvir iz stavka 1. točke (b) primjenjuje se ne dovodeći u pitanje posebne odredbe u drugim pravnim aktima Unije o dobrovoljnoj ili obveznoj certifikaciji.

3.Okvir iz stavka 1. točke (c) primjenjuje se na javne ili privatne subjekte vrsta navedenih u prilogu I. ili II. Direktivi (EU) 2022/2555 koji pružaju usluge ili obavljaju aktivnosti unutar Unije.

4.Ovom se Uredbom ne dovode u pitanje temeljne državne funkcije država članica, uključujući osiguravanje teritorijalne cjelovitosti države, očuvanje javnog poretka i zaštitu nacionalne sigurnosti. Nacionalna sigurnost posebice ostaje isključiva odgovornost svake države članice.

Članak 2.
Definicije

Za potrebe ove Uredbe primjenjuju se sljedeće definicije:

(1)„kibernetička sigurnost” znači sve aktivnosti koje su nužne da bi se od kibernetičkih prijetnji zaštitili mrežni i informacijski sustavi, korisnici tih sustava i druge osobe na koje te prijetnje utječu;

(2)„subjekti Unije” znači subjekti Unije kako su definirani u članku 3. točki 1. Uredbe (EU, Euratom) 2023/2841;

(3)„ovlašteni izdavatelj potvrda” znači javni ili privatni subjekt koji je ENISA odlukom ovlastila za dodjelu osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti kako je utvrđeno u pojedinom sustavu osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti;

(4)„osobna europska potvrda o vještinama u području kibernetičke sigurnosti” znači isprava, u digitalnom ili fizičkom obliku, kojom se potvrđuje da osoba zna, razumije i može obavljati zadaće povezane s određenim profilom uloge ili podskupom profila uloge iz Europskog okvira za vještine u području kibernetičke sigurnosti („ECSF”) nakon procjene kako je propisana u pojedinom sustavu osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti;

(5)„sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti” znači sveobuhvatan skup pravila, zahtjeva, normi i postupaka koje je utvrdila ENISA i koji su povezani s profilom uloge iz Europskog okvira za vještine u području kibernetičke sigurnosti ili njegovim podskupom te koji se primjenjuju na ovlaštene izdavatelje potvrda i koje oni primjenjuju;

(6)„mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definiran u članku 6. točki 1. Direktive (EU) 2022/2555;

(7)„nacionalna strategija za kibernetičku sigurnost” znači nacionalna strategija za kibernetičku sigurnost kako je definirana u članku 6. točki 4. Direktive (EU) 2022/2555;

(8)„incident” znači incident kako je definiran u članku 6. točki 6. Direktive (EU) 2022/2555;

(9)„kibernetičkosigurnosni incident velikih razmjera” znači kibernetičkosigurnosni incident velikih razmjera kako je definiran u članku 6. točki 7. Direktive (EU) 2022/2555;

(10)„postupanje s incidentom” znači postupanje s incidentom kako je definirano u članku 6. točki 8. Direktive (EU) 2022/2555;

(11)„kibernetička prijetnja” znači svaka moguća okolnost, događaj ili djelovanje koji bi mogli oštetiti, poremetiti ili na drugi način negativno utjecati na mrežne i informacijske sustave, korisnike tih sustava i druge osobe;

(12)„europski program kibernetičkosigurnosne certifikacije” znači sveobuhvatni skup pravila, tehničkih zahtjeva, normi i postupaka koji su utvrđeni na razini Unije i koji se primjenjuju na certifikaciju ili ocjenjivanje sukladnosti određenih IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata;

(13)„nacionalni program kibernetičkosigurnosne certifikacije” znači sveobuhvatni skup pravila, tehničkih zahtjeva, normi i procedura koje je razvilo i donijelo nacionalno javno tijelo i koji se primjenjuju na certifikaciju ili ocjenjivanje sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata obuhvaćenih područjem primjene tog konkretnog programa;

(14)„europski kibernetičkosigurnosni certifikat” znači dokument koji izdaje relevantno tijelo i kojim se potvrđuje da su određeni IKT proizvod, IKT usluga, IKT proces, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti određenog subjekta evaluirani s obzirom na to poštuju li specifične sigurnosne zahtjeve utvrđene u pojedinom europskom programu kibernetičkosigurnosne certifikacije;

(15)„EU izjava o sukladnosti” znači dokument koji izdaje proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije stanje kibernetičke sigurnosti podliježe certifikaciji i u kojem se navodi da je poštovanje zahtjeva koji odgovaraju „osnovnoj” jamstvenoj razini utvrđenoj u određenom europskom programu kibernetičkosigurnosne certifikacije dokazano samoocjenjivanjem sukladnosti;

(16)„IKT proizvod” znači element ili skupina elemenata mrežnih i informacijskih sustava;

(17)„IKT usluga” znači usluga koja se u cijelosti ili uglavnom sastoji od prijenosa, pohranjivanja, preuzimanja ili obrade informacija pomoću mrežnih i informacijskih sustava;

(18)„IKT proces” znači skup aktivnosti koje se provode radi koncipiranja, razvoja, dobave ili održavanja IKT proizvoda ili IKT usluge;

(19)„upravljana sigurnosna usluga” znači usluga koja se pruža trećoj strani te se sastoji od obavljanja ili pružanja pomoći u obavljanju aktivnosti povezanih s upravljanjem kibernetičkosigurnosnim rizicima, kao što su postupanje s incidentima, penetracijska testiranja, revizije sigurnosti i savjetovanje, uključujući stručno savjetovanje, povezano s tehničkom potporom;

(20)„akreditacija” znači akreditacija kako je definirana u članku 2. točki 10. Uredbe (EZ) br. 765/2008;

(21)„nacionalno akreditacijsko tijelo” znači nacionalno akreditacijsko tijelo kako je definirano u članku 2. točki 11. Uredbe (EZ) br. 765/2008;

(22)„ocjenjivanje sukladnosti” znači ocjenjivanje sukladnosti kako je definirano u članku 2. točki 12. Uredbe (EZ) br. 765/2008.

(23)„tijelo za ocjenjivanje sukladnosti” znači tijelo za ocjenjivanje sukladnosti kako je definirano u članku 2. točki 13. Uredbe (EZ) br. 765/2008.

(24)„norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća 71 ;

(25)„tehnička specifikacija” znači tehnička specifikacija kako je definirana u članku 2. točki 4. Uredbe (EU) br. 1025/2012;

(26)„usklađena norma” znači usklađena norma kako je definirana u članku 2. točki 1. podtočki (c) Uredbe (EU) br. 1025/2012;

(27)„jamstvena razina” znači osnova za povjerenje u to da IKT proizvod, IKT usluga, IKT proces, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti subjekta ispunjavaju sigurnosne zahtjeve određenog europskog programa kibernetičkosigurnosne certifikacije i označava razinu na kojoj su IKT proizvod, IKT usluga, IKT proces, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti subjekta evaluirani, ali kao takva ne mjeri sigurnost IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti dotičnog subjekta;

(28)„samoocjenjivanje sukladnosti” znači radnja koju provodi proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije se stanje kibernetičke sigurnosti certificira i kojom se ocjenjuje ispunjavaju li ti IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti zahtjeve određenog europskog programa kibernetičkosigurnosne certifikacije;

(29)„stanje kibernetičke sigurnosti” znači razina kibernetičke sigurnosti subjekata s obzirom na posebne sigurnosne zahtjeve;

(30)„model prethodnog odobrenja” znači model prema kojem tijelo za ocjenjivanje sukladnosti može izdati europski kibernetičkosigurnosni certifikat na temelju ocjene koju je provelo nacionalno tijelo za kibernetičkosigurnosnu certifikaciju u kontekstu određenog postupka certifikacije u okviru relevantnog programa;

(31)„model općeg delegiranja” znači model prema kojem tijelo za ocjenjivanje sukladnosti može izdati europski kibernetičkosigurnosni certifikat na temelju certifikacijskih aktivnosti koje je delegiralo nacionalno tijelo za kibernetičkosigurnosnu certifikaciju;

(32)„tim za odgovor na računalne sigurnosne incidente” ili „CSIRT” znači CSIRT imenovan ili uspostavljen na temelju članka 10. Direktive (EU) 2022/2555;

(33)„IKT komponente” znači IKT proizvodi, IKT usluge ili IKT procesi koji se mogu koristiti u radu IKT imovine;

(34)„IKT imovina” znači softverska ili hardverska imovina u mrežnim i informacijskim sustavima koje upotrebljava subjekt vrste iz priloga I. i II. Direktivi (EU) 2022/2555;

(35)„ključna IKT imovina” znači IKT imovina utvrđena u skladu s člankom 102.;

(36)„elektronička komunikacijska mreža” znači elektronička komunikacijska mreža kako je definirana u članku 2. točki 1. Uredbe (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama];

(37)„kontrola” znači sposobnost izvršavanja odlučujućeg utjecaja na pravni subjekt izravno ili neizravno putem jednog ili više posredničkih pravnih subjekata;

(38)„poslovni nastan” znači djelotvorno obavljanje djelatnosti putem stabilnih aranžmana u zemlji u kojoj subjekt ima središnju upravu ili glavno mjesto poslovanja;

(39)„visokorizični dobavljač” znači jedno od sljedećeg:

(a)subjekt s poslovnim nastanom u trećoj zemlji koja je u skladu s člankom 100. okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili koji je pod kontrolom takve treće zemlje, subjekta s poslovnim nastanom u takvoj trećoj zemlji ili državljanina takve treće zemlje;

(b)subjekt utvrđen u skladu s člankom 103. stavkom 7. i subjekti koje taj subjekt kontrolira;

(40)„lanac opskrbe IKT-om” znači skup IKT usluga, IKT proizvoda i IKT procesa koji obuhvaća aktivnosti i sudionike uključene u sve faze prije stavljanja proizvoda na raspolaganje na tržištu ili pružanja usluge na tržištu;

(41)„treća zemlja” znači treća zemlja kako je definirana u članku 3. točki 4. Uredbe (EU) 2023/2675 Europskog parlamenta i Vijeća 72 ;

(42)„netehnički rizik” znači vjerojatnost da će dobavljač biti izložen utjecaju treće zemlje koji bi mogao uzrokovati gubitak ili poremećaj u pružanju usluge ili ugroziti proizvod koji subjekt proizvodi ili dovesti do izvlačenja podataka, među ostalim u svrhu špijunaže ili ostvarivanja prihoda;

(43)„znatan netehnički kibernetičkosigurnosni rizik” znači netehnički kibernetičkosigurnosni rizik za koji se može pretpostaviti da će vrlo vjerojatno prouzročiti incident koji bi mogao dovesti do ozbiljnog nepovoljnog učinka, među ostalim uzrokovanjem znatnog materijalnog ili nematerijalnog gubitka ili poremećaja;

(44)„jezgrene mrežne funkcije pokretnih elektroničkih komunikacijskih mreža” znači središnji arhitektonski element pokretnih elektroničkih komunikacijskih mreža koji povezuje glavne mrežne čvorove s internetom i upravlja osnovnim funkcijama sustava koje uključuju autentifikaciju korisničke opreme, funkcije zakonitog presretanja (LI), sigurnosne pristupnike (SeGW) na rubu mreže, signalizacijske sigurnosne funkcije, upravljanje roamingom i sesijama, prijenos podataka na korisničkoj i kontrolnoj ravnini, upravljanje politikom pristupa, registraciju i odobravanje mrežnih usluga, pohranu podataka o krajnjem korisniku i mreži, ključne mrežne usluge, uključujući sustav naziva domena (DNS), međupovezivanje s pokretnim mrežama trećih strana, izloženost osnovnih mrežnih funkcija vanjskim aplikacijama te odabir mrežnih odsječaka i upravljanje njima;

(45)„virtualizacija mrežnih funkcija (NFV) i upravljanje njima te orkestracija mreže (MANO) mobilnih elektroničkih komunikacijskih mreža” znači softverski i arhitektonski okvir koji služi za upravljanje životnim ciklusom, orkestraciju i automatizaciju virtualiziranih mrežnih funkcija (VNF), mrežnih funkcija izvorno projektiranih za rad u oblaku (CNFS) te odabir mrežnih odsječaka unutar pokretnih elektroničkih komunikacijskih mreža i upravljanje njima;

(46)„radijska pristupna mreža (RAN) pokretnih elektroničkih komunikacijskih mreža” znači mreža koja povezuje pokretnu korisničku opremu s osnovnom mrežom, uključujući bazne postaje (eNodeB za 4G mreže, gNodeB za 5G mreže), daljinske radijske jedinice (RRH) i bazne jedinice (BBU), aktivne antenske sustave (AAS) i, prema potrebi, raščlanjene komponente RAN-a kao što su centralizirane jedinice (CU) i distribuirane jedinice (DU) te inteligentni upravljački sklop RAN-a (RIC);

(47)„jezgrene mrežne funkcije nepokretnih elektroničkih komunikacijskih mreža” znači temeljna inteligencija mreže koja povezuje glavne čvorove i upravlja nizom ključnih funkcija, uključujući autentifikaciju i autorizaciju korisnika (AAA), funkcije zakonitog presretanja (LI), sustav naziva domena (DNS) i usluge IP adresiranja (DHCP), upravljanje politikom pristupa, pohranu podataka o krajnjem korisniku i mrežnih podataka, IP prespajanje i usmjeravanje te međunarodne internetske pristupnike (IIG);

(48)„sustav za upravljanje mrežom u nepokretnim elektroničkim komunikacijskim mrežama” znači sve centralizirane platforme i softverske komponente potrebne za rad, upravljanje, održavanje i pružanje (OAM&P) mreže i praćenje informacija povezanih s mrežom;

(49)„transportne i prijenosne funkcije nepokretnih elektroničkih komunikacijskih mreža” znači sve komponente potrebne za prijenos i agregiranje prometa u cijeloj mreži, uključujući optičku transportnu opremu, mikrovalne veze i podmorske kabelske sustave koji uključuju podvodnu opremu te terminalnu opremu podmorskih kabela (SLTE) i fizičke postaje za priključivanje;

(50)„pristupna mreža nepokretnih elektroničkih komunikacijskih mreža” znači mreža koja povezuje prostore krajnjeg korisnika s agregacijskom ili osnovnom mrežom, uključujući završne točke svjetlovodne linije (OLT) i optičke mrežne terminale (ONT) za svjetlovodne mreže, završni sustav koaksijalnog kabelskog modema (CMTS) i kabelske modeme za koaksijalne kabelske mreže te komponente za nepokretni bežični pristup ako se koriste kao zamjena za nepokretne mreže.

GLAVA II. 
AGENCIJA EUROPSKE UNIJE ZA KIBERNETIČKU SIGURNOST

Poglavlje I. 
Misija i ciljevi

Članak 3.
Misija ENISA-e

1.Misija je ENISA-e podupirati države članice i subjekte Unije u postizanju visoke razine kibernetičke sigurnosti, kibernetičke otpornosti i povjerenja unutar Unije.

2.ENISA djeluje kao referentna točka za pružanje savjeta i stručnog znanja o kibernetičkoj sigurnosti državama članicama te drugim dionicima u Uniji.

3.ENISA obavljanjem zadaća koje su joj dodijeljene ovom Uredbom doprinosi smanjenju fragmentacije na unutarnjem tržištu.

4.ENISA obavlja zadaće koje su joj dodijeljene pravnim aktima Unije.

5.ENISA razvija vlastite kapacitete, uključujući tehničke i ljudske sposobnosti i vještine, potrebne za obavljanje zadaća koje su joj dodijeljene ovom Uredbom.

Članak 4.
Ciljevi ENISA-e

1.ENISA djeluje kao centar za stručno znanje u području kibernetičke sigurnosti zahvaljujući svojoj neovisnosti, znanstvenoj i tehničkoj kvaliteti savjeta i pomoći koje pruža i informacija koje stavlja na raspolaganje, transparentnosti svojih operativnih postupaka i načina rada te revnosti u obavljanju zadaća.

2.ENISA pomaže državama članicama i, prema potrebi, subjektima Unije u provedbi horizontalnih i sektorskih politika Unije i propisa povezanih s kibernetičkom sigurnošću, uključujući aktivnosti nadzora tržišta.

3.ENISA stavlja na raspolaganje svoje stručno znanje i pomaže Komisiji u razvoju politika i propisa Unije u području kibernetičke sigurnosti.

4.ENISA podupire izgradnju kapaciteta i pripravnost u cijeloj Uniji tako što državama članicama, subjektima Unije putem Službe za kibernetičku sigurnost institucija, tijela, ureda i agencija Unije (CERT-EU) iz poglavlja IV. Uredbe (EU, Euratom) 2023/2841 te javnim i privatnim dionicima pomaže poboljšati zaštitu njihovih mrežnih i informacijskih sustava te razviti i poboljšati kibernetičku otpornost i kapacitete za odgovor.

5.ENISA doprinosi realizaciji Akademije za vještine u području kibernetičke sigurnosti i povećanju radne snage u području kibernetičke sigurnosti u Uniji tako što podupire mjere za povećanje prenosivosti vještina u cijeloj Uniji, među ostalim održavanjem i uvođenjem Europskog okvira za vještine u području kibernetičke sigurnosti te razvojem, održavanjem i uvođenjem sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti u skladu s poglavljem II. odjeljkom 4. ove glave, te osiguravanjem mogućnosti osposobljavanja u skladu s člankom 6. stavkom 8.

6.ENISA promiče suradnju, uključujući razmjenu informacija i koordinaciju na razini Unije, među državama članicama, subjektima Unije prema Uredbi (EU, Euratom) 2023/2841 te relevantnim privatnim i javnim dionicima s obzirom na pitanja koja se odnose na kibernetičku sigurnost.

7.ENISA doprinosi povećanju kapaciteta u području kibernetičke sigurnosti na razini Unije kako bi poduprla mjere država članica za sprečavanje kibernetičkih prijetnji i odgovor na njih.

8.ENISA podupire operativnu suradnju na razini Unije, među ostalim pružanjem doprinosa zajedničkoj svijesti o situaciji u pogledu kibernetičkih prijetnji i incidenata, među državama članicama i, u suradnji s CERT-EU-om, među subjektima Unije.

9.ENISA blisko surađuje s Europolom, CSIRT-ovima i drugim relevantnim nacionalnim tijelima u cilju poboljšanja kibernetičkosigurnosne pripravnosti i odgovora na incidente s ucjenjivačkim softverom.

10.ENISA doprinosi uspostavi i održavanju Europskog okvira za kibernetičkosigurnosnu certifikaciju u skladu s glavom III. ove Uredbe. ENISA promiče korištenje europske kibernetičkosigurnosne certifikacije radi izbjegavanja fragmentacije unutarnjeg tržišta.

11.ENISA doprinosi usklađivanju jedinstvenog digitalnog tržišta sudjelovanjem u radu na normizaciji relevantnom za politike Unije koje se odnose na kibernetičku sigurnost i izradom tehničkih specifikacija.

12.ENISA promiče visoku razinu svijesti o kibernetičkoj sigurnosti među organizacijama i poduzećima.

Poglavlje II. 
Zadaće

Odjeljak 1. 
Potpora provedbi politika i prava Unije

Članak 5.
Potpora provedbi politika i prava Unije

1.ENISA doprinosi provedbi politika i prava Unije na sljedeće načine:

(a)pružanjem pomoći državama članicama u dosljednoj provedbi politika i prava Unije u području kibernetičke sigurnosti, među ostalim izradom tehničkih smjernica i izvješća, davanjem savjeta i dijeljenjem primjera najbolje prakse te olakšavanjem razmjene primjera najbolje prakse među nadležnim tijelima u tom pogledu;

(b)podupiranjem razmjene informacija unutar sektora i među njima, osobito kad je riječ o sektorima iz priloga I. i II. Direktivi (EU) 2022/2555 i proizvodima s digitalnim elementima koji su obuhvaćeni područjem primjene Uredbe (EU) 2024/2847, i to davanjem primjera najbolje prakse i smjernica o dostupnim alatima i postupcima;

(c)na zahtjev Komisije, pružanjem pomoći državama članicama davanjem potpore, kao što su tehničke smjernice, među ostalim o mjerama upravljanja kibernetičkosigurnosnim rizicima, alati za procjenu kibernetičkosigurnosne zrelosti i priručnici za odgovor na incidente, prilagođeni sektorima iz priloga I. i II. Direktivi (EU) 2022/2555, ili potpore za provedbu načela integrirane sigurnosti za proizvode s digitalnim elementima u skladu s Uredbom (EU) 2024/2847 kako bi se olakšalo postizanje viših razina kibernetičkosigurnosne zrelosti i usklađenosti s pravom Unije u području kibernetičke sigurnosti;

(d)sudjelovanjem u radu skupine za suradnju osnovane na temelju članka 14. stavka 1. Direktive (EU) 2022/2555 („Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava”), Europske skupine za suradnju u području digitalnog identiteta osnovane na temelju članka 46.e stavka 1. Uredbe (EU) br. 910/2014, Europske skupine za kibernetičkosigurnosnu certifikaciju („ECCG”) iz članka 90. ove Uredbe i skupine za administrativnu suradnju (skupina za ADCO) osnovane na temelju članka 52. stavka 15. Uredbe (EU) 2024/2847;

(e)pružanjem pomoći državama članicama i relevantnim subjektima Unije u razvoju i promicanju politika kibernetičke sigurnosti povezanih s održavanjem opće dostupnosti i cjelovitosti javne jezgre otvorenog interneta;

(f)u skladu s Uredbom (EU) 2024/2847, pružanjem tehničkih savjeta i potpore državama članicama i Komisiji u pogledu pitanja povezanih s provedbom te uredbe;

(g)podupiranjem država članica u pružanju uzajamne pomoći i olakšavanju takvih postupaka suradnje za ključne i važne subjekte u skladu s [člankom 37.a Direktive (EU) 2022/2555];

(h)na zahtjev Europskog odbora za zaštitu podataka, pružanjem savjeta o provedbi posebnih kibernetičkosigurnosnih aspekata politika i prava Unije povezanih sa zaštitom podataka i privatnošću.

2.ENISA doprinosi koordiniranim procjenama kibernetičkosigurnosnih rizika na razini Unije, uključujući one koje se provode na temelju članka 22. Direktive (EU) 2022/2555.

3.ENISA izdaje smjernice o interoperabilnosti mrežnih i informacijskih sustava koji se koriste za razmjenu informacija, među ostalim u pogledu prekograničnih kibernetičkih centara iz članka 6. stavka 3. Uredbe (EU) 2025/38.

4.ENISA je član Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava na temelju članka 14. stavka 3. Direktive (EU) 2022/2555.

5.Na zahtjev Komisije ENISA daje stručno mišljenje, tehničke savjete ili informacije, provodi analizu ili obavlja pripremni rad u pogledu određenih pitanja kibernetičke sigurnosti kako bi Komisiji dala informacije koje su joj potrebne za oblikovanje politika i praćenje provedbe propisa Unije.

Članak 6.
Izgradnja kapaciteta

ENISA pomaže:

(1)državama članicama u njihovim nastojanjima da poboljšaju sprečavanje, otkrivanje i analizu kibernetičkih prijetnji i kibernetičkih incidenata te sposobnost za odgovor na njih osiguravanjem potrebnih znanja i stručnjaka;

(2)državama članicama, na njihov zahtjev, u uspostavi i provedbi politika otkrivanja ranjivosti na dobrovoljnoj osnovi;

(3)u skladu s Uredbom (EU, Euratom) 2023/2841, CERT-EU-u i Međuinstitucijskom odboru za kibernetičku sigurnost u njihovim nastojanjima da podupru subjekte Unije u jačanju kibernetičke sigurnosti, poboljšanju sprečavanja, otkrivanja i analize kibernetičkih prijetnji i incidenata te poboljšanju sposobnosti za odgovor na kibernetičke prijetnje i incidente;

(4)državama članicama u razvoju CSIRT-ova, ako to zatraže na temelju članka 10. stavka 10. Direktive (EU) 2022/2555;

(5)državama članicama u razvoju ili ažuriranju nacionalnih strategija za kibernetičku sigurnost i ključnih pokazatelja uspješnosti za ocjenjivanje te strategije, ako to zatraže na temelju članka 7. stavka 4. Direktive (EU) 2022/2555, te promicanju širenja tih strategija i bilježenju napretka u njihovoj provedbi u cijeloj Uniji radi promicanja primjera najbolje prakse;

(6)institucijama Unije, na njihov zahtjev, u razvoju i preispitivanju strategija Unije u pogledu kibernetičke sigurnosti promicanjem njihova širenja i praćenjem napretka u njihovoj provedbi;

(7)nacionalnim CSIRT-ovima u podizanju njihove razine sposobnosti, među ostalim poticanjem dijaloga i razmjene informacija kako bi se osiguralo da, s obzirom na najnovija tehnička dostignuća, svaki CSIRT posjeduje zajednički skup minimalnih sposobnosti i djeluje u skladu s najboljim praksama;

(8)državama članicama, subjektima Unije te javnim i privatnim dionicima u njihovim nastojanjima da procijene, povećaju i poboljšaju radnu snagu u području kibernetičke sigurnosti, među ostalim razvojem, održavanjem i poticanjem uvođenja relevantnih alata, kao što su Europski okvir za vještine u području kibernetičke sigurnosti i sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti u skladu s odjeljkom 4. ovog poglavlja;

(9)relevantnim javnim tijelima i privatnim dionicima provođenjem ciljanih osposobljavanja, prema potrebi u suradnji s dionicima;

(10)Skupini za suradnju u području mrežne i informacijske sigurnosti u razmjeni primjera najbolje prakse i informacija, posebno u vezi s provedbom Direktive (EU) 2022/2555 na temelju članka 14. stavka 4. točke (c) te direktive;

(11)tijelima za nadzor tržišta imenovanima na temelju Uredbe (EU) 2024/2847 u njihovim aktivnostima kojima je cilj osigurati djelotvornu provedbu te uredbe, među ostalim pružanjem potpore pri davanju smjernica i tehničkih savjeta gospodarskim subjektima te pri provjerama sukladnosti, evaluaciji rizika, zajedničkim aktivnostima i opsežnim provjera kako je utvrđeno u Uredbi (EU) 2024/2847;

(12)članovima ECCG-a u razmjeni primjera najbolje prakse i, na zahtjev pojedinih država članica, nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju u provedbi europskih programa kibernetičkosigurnosne certifikacije na nacionalnoj razini;

(13)javnim tijelima i privatnim dionicima u vezi s aktivnostima ocjenjivanja sukladnosti i evaluacije, uključujući tijela za ocjenjivanje sukladnosti te mala i srednja poduzeća, radi doprinosa snažnom, konkurentnom, uključivom i usklađenom ekosustavu za ocjenjivanje sukladnosti kojim se podupire provedba Uredbe (EU) 2024/2847 i Europskog okvira za kibernetičkosigurnosnu certifikaciju;

(14)Europskom stručnom centru za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti i Mreži nacionalnih koordinacijskih centara osnovanoj na temelju Uredbe (EU) 2021/887 razmjenom informacija o postojećim i novim rizicima i kibernetičkim prijetnjama, među ostalim u pogledu novih informacijskih i komunikacijskih tehnologija i onih u nastajanju;

(15)državama članicama pružanjem tehničke potpore, među ostalim za uspostavu i rad regulatornih izoliranih okruženja u području kibernetičke sigurnosti u skladu s relevantnim zakonodavstvom Unije.

Članak 7.
Jačanje svijesti i baza talenata

ENISA pomaže državama članicama u njihovim nastojanjima da ojačaju svijest o politikama i propisima Unije u području kibernetičke sigurnosti te promiče njihovu vidljivost izradom primjenjivih alata i smjernica. ENISA podupire inicijative usmjerene na povećanje europske baze talenata u području kibernetičke sigurnosti, posebno koordinacijom natječaja.

Članak 8.
Poznavanje i analize tržišta

1.ENISA analizira i širi rezultate analiza glavnih tržišnih trendova u području kibernetičke sigurnosti i na strani ponude i na strani potražnje, posebno u vezi s područjima u kojima postoje ili se planiraju europski programi kibernetičkosigurnosne certifikacije, sektorima iz priloga I. i II. Direktivi (EU) 2022/2555 i kategorijama proizvoda obuhvaćenima Uredbom (EU) 2024/2847, uključujući priloge III. i IV. toj uredbi.

2.ENISA analizira i širi rezultate analiza tehnoloških trendova u području kibernetičke sigurnosti, osobito u vezi s aktivnostima i subjektima obuhvaćenima područjem primjene Direktive (EU) 2022/2555 i proizvodima s digitalnim elementima obuhvaćenima područjem primjene Uredbe (EU) 2024/2847.

3.ENISA razvija znanje i širi tehničke savjete i rezultate analiza u pogledu najsuvremenijih alata, okvirnih standarda i primjera najbolje prakse u području kibernetičke sigurnosti.

Članak 9.
Međunarodna suradnja

ENISA doprinosi nastojanjima Unije da surađuje s trećim zemljama i međunarodnim organizacijama kao i u relevantnim okvirima za međunarodnu suradnju u cilju promicanja međunarodne suradnje u području kibernetičke sigurnosti:

(a)sudjelovanjem, prema potrebi, u ulozi promatrača u organizaciji međunarodnih vježbi, analiziranjem ishoda takvih vježbi i izvješćivanjem Upravnog odbora o njihovu ishodu;

(b)na zahtjev Komisije, olakšavanjem razmjene primjera najbolje prakse s trećim zemljama i međunarodnim organizacijama;

(c)na zahtjev Komisije, pružanjem stručnih savjeta Komisiji;

(d)pružanjem stručnih savjeta i potpore Komisiji u pogledu pitanja koja se odnose na međunarodno priznavanje europskih kibernetičkosigurnosnih certifikata u skladu s člankom 87.;

(e)pružanjem stručnih savjeta i potpore Komisiji u pogledu pitanja koja se odnose na međunarodnu normizaciju te povezivanjem s relevantnim međunarodnim organizacijama za normizaciju, prema potrebi u suradnji s ECCG-om osnovanim na temelju članka 90.

Odjeljak 2.

Operativna suradnja

Članak 10.
Operativna suradnja na razini Unije

1.ENISA podupire operativnu suradnju među državama članicama, subjektima Unije putem CERT-EU-a i drugim dionicima.

2.ENISA je član mreže nacionalnih CSIRT-ova uspostavljene na temelju članka 15. stavka 1. Direktive (EU) 2022/2555 i obavlja poslove tajništva za mrežu CSIRT-ova na temelju članka 15. stavka 2. Direktive (EU) 2022/2555.

3.ENISA obavlja poslove tajništva za Europsku mrežu organizacija za vezu za kibernetičke krize (EU-CyCLONe) na temelju članka 16. stavka 2. drugog podstavka Direktive (EU) 2022/2555.

4.ENISA podupire tehničku i operativnu suradnju među državama članicama, posebno putem mreže CSIRT-ova i mreže EU-CyCLONe. Takva potpora obuhvaća:

(a)savjetovanje o poboljšanju sposobnosti za sprečavanje i otkrivanje incidenata, odgovor na njih i oporavak od njih;

(b)na zahtjev jedne ili više država članica, davanje savjeta i procjena u vezi s određenim potencijalnim ili aktualnim incidentom ili kibernetičkom prijetnjom, među ostalim pružanjem stručnog znanja i olakšavanjem tehničkog otklanjanja takvih incidenata te podupiranjem dobrovoljne razmjene relevantnih informacija i tehničkih rješenja među državama članicama;

(c)analizu ranjivosti, prijetnji i incidenata;

(d)na zahtjev jedne ili više država članica, pružanje potpore u vezi s ex post tehničkim istragama o značajnim incidentima u smislu članka 23. stavka 3. Direktive (EU) 2022/2555;

(e)sudjelovanje u potpori koordiniranom upravljanju kibernetičkosigurnosnim incidentima i krizama velikih razmjera na operativnoj razini, posebno pružanjem pomoći mreži EU-CyCLONe u pripremi izvješća za političku razinu i olakšavanjem pravodobne razmjene informacija između mreže CSIRT-ova i mreže EU-CyCLONe.

5.Na zahtjev države članice ili subjekta Unije u suradnji s CERT-EU-om ENISA podupire dosljednu javnu komunikaciju o incidentu ili kibernetičkoj prijetnji.

6.ENISA podupire suradnju među državama članicama i, putem CERT-EU-a, među subjektima Unije u pogledu uvođenja alata za sigurnu komunikaciju. ENISA u okviru mreže CSIRT-ova i mreže EU-CyCLONe koristi alate za sigurnu komunikaciju koje na raspolaganje stavljaju pravni subjekti koji imaju poslovni nastan ili za koje se smatra da imaju poslovni nastan u Uniji i koje kontroliraju države članice ili njihovi državljani.

Članak 11.
Zajednička svijest o situaciji u kibernetičkoj sigurnosti

1.Za potrebe poboljšanja zajedničke svijesti o situaciji u pogledu kibernetičkih prijetnji i incidenata među državama članicama i među subjektima Unije ENISA:

(a)u suradnji s mrežom EU-CyCLONe, mrežom CSIRT-ova, Komisijom, CERT-EU-om, Europolom i drugim relevantnim subjektima Unije uspostavlja repozitorije provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama, uključujući trendove u pogledu incidenata, taktika, tehnika i postupaka;

(b)u skladu s člankom 12. izdaje rana upozorenja o potencijalnom ili aktualnim značajnom incidentu ili incidentu velikih razmjera ili kibernetičkoj prijetnji potencijalno prekogranične prirode, posebno u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555;

(c)na zahtjev mreže CSIRT-ova, mreže EU-CyCLONe ili Komisije provodi pravodobne ad hoc analize novih trendova u pogledu incidenata;

(d)na zahtjev država članica ili Komisije, provodi analizu ili daje druge informacije o stvarnom ili percipiranom kibernetičkosigurnosnom riziku ili prijetnji;

(e)provodi analizu i daje tehničke savjete o kibernetičkosigurnosnim rizicima proizvoda s digitalnim elementima, među ostalim radi potpore nadzoru tržišta te izradom dvogodišnjeg tehničkog izvješća o novim trendovima u skladu s člankom 17. stavkom 3. Uredbe (EU) 2024/2847;

(f)izrađuje redovito detaljno tehničko izvješće o situaciji u kibernetičkoj sigurnosti u EU-u u pogledu incidenata i kibernetičkih prijetnji te ga dostavlja Vijeću, mreži EU-CyCLONe, mreži CSIRT-ova, Komisiji, Europskoj službi za vanjsko djelovanje i Europolu;

(g)prati trendove u pogledu tehnika, zahtjeva i utjecaja napada ucjenjivačkim softverom te daje informacije o takvim trendovima Komisiji, mreži CSIRT-ova, mreži EU-CyCLONe i Europolu.

2.Za potrebe postizanja bolje zajedničke svijestio situaciji u pogledu kibernetičkih prijetnji i kibernetičkih incidenata među dionicima ENISA:

(a)provodi analize kibernetičkih prijetnji, incidenata, trendova, tehnologija u nastajanju i njihovih učinaka, uključujući redovitu analizu koja se odnosi na sektore iz priloga I. i II. Direktivi (EU) 2022/2555 i relevantne kategorije proizvoda obuhvaćene Uredbom (EU) 2024/2847;

(b)daje, u suradnji s Komisijom i, prema potrebi, s mrežom CSIRT-ova, savjete, smjernice i primjere najbolje prakse za sigurnost mrežnih i informacijskih sustava, posebno za sigurnost infrastruktura koje podupiru sektore iz priloga I. i II. Direktivi (EU) 2022/2555;

(c)provodi dugoročne strateške analize kibernetičkih prijetnji i incidenata kako bi utvrdila nove trendove i pomogla spriječiti incidente.

3.ENISA može objaviti analize, savjete, smjernice, primjere najbolje prakse i izvješća iz stavka 2. u dogovoru sa subjektima iz stavka 2. koji sudjeluju u njihovoj izradi.

4.Pri obavljanju aktivnosti navedenih u stavku 1. točkama od (a) do (d) i točki (f) te stavku 2. ENISA koristi vlastite analize i, prema potrebi, informacije primljene pri obavljanju svojih zadaća, uključujući:

(a)informacije iz javno dostupnih izvora, uključujući javno poznate ranjivosti IKT proizvoda ili IKT usluga dostupne u europskoj bazi podataka o ranjivosti uspostavljenoj u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555;

(b)informacije koje dostave države članice, subjekti Unije, CERT-EU, privatni sektor ili nevladini partneri te treće zemlje i međunarodne organizacije, podložno svim ograničenjima naznačenima vidljivom oznakom o daljnjem dijeljenju tih informacija.

5.ENISA blisko surađuje s državama članicama u pripremi tehničkog izvješća o situaciji u kibernetičkoj sigurnosti u EU-u iz stavka 1. točke (e). To izvješće se temelji na javno dostupnim informacijama, vlastitoj analizi ENISA-e i izvješćima koja dobrovoljno dijele, među ostalim, CSIRT-ovi država članica ili jedinstvene kontaktne točke uspostavljene Direktivom (EU) 2022/2555, EC3 i CERT-EU. U dogovoru sa subjektima koji su sudjelovali u izradi izvješća ENISA može objaviti njegovu objedinjenu verziju.

Članak 12.
Rana upozorenja

1.Rana upozorenja iz članka 11. stavka 1. prvog podstavka točke (b) ove Uredbe moraju sadržavati relevantne informacije o potencijalnom ili aktualnom značajnom incidentu ili incidentu velikih razmjera ili kibernetičkoj prijetnji potencijalno prekogranične prirode u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555. Mogu se navesti javno poznate ranjivosti i zahvaćaju li one proizvode s digitalnim elementima obuhvaćene Uredbom (EU) 2024/2847, kao i tehnike i postupci, pokazatelji ugroženosti, neprijateljske taktike, informacije o određenim akterima prijetnji i preporuke o mjerama ublažavanja.

2.Rana upozorenja iz članka 11. stavka 1. prvog podstavka točke (b) izdaju se što prije predmetnom CSIRT-u ili CSIRT-ovima i, prema potrebi, mreži CSIRT-ova i mreži EU-CyCLONe.

3.ENISA nudi uslugu ranog upozoravanja subjektima koji djeluju u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555.

4.Usluga iz stavka 3. pruža se na zahtjev subjekta i u strojno čitljivom formatu koji je javno dostupan. Ta usluga uključuje razmjenu informacija o pokazateljima kibernetičkih prijetnji i preporuke o mjerama ublažavanja.

5.ENISA uspostavlja postupak za dostavljanje ranih upozorenja subjektima iz stavka 3.

Članak 13.
Potpora u odgovoru na incidente i njihovu preispitivanju

1.ENISA u cijelosti ili djelomično provodi rad pričuve EU-a za kibernetičku sigurnost i upravlja njome u skladu s Uredbom (EU) 2025/38.

2.Na zahtjev Komisije ili mreže EU-CyCLONe ENISA, uz potporu mreže CSIRT-ova i uz odobrenje predmetne države članice, preispituje i procjenjuje značajne kibernetičkosigurnosne incidente ili kibernetičkosigurnosne incidente velikih razmjera u skladu s člankom 21. Uredbe (EU) 2025/38.

3.ENISA u suradnji s Europolom i CSIRT-ovima ili drugim nadležnim tijelima, kako je primjenjivo, pruža pomoć pojedinačnim ključnim i važnim subjektima iz priloga I. i II. Direktivi (EU) 2022/2555 u pripremi za incident s ucjenjivačkim softverom, odgovoru na njega i oporavku od njega. U tu svrhu ENISA uspostavlja službu za pomoć korisnicima i posebno se oslanja na poboljšanu zajedničku svijest o situaciji u pogledu kibernetičkih prijetnji i incidenata u skladu s člankom 11. stavkom 1. prvim podstavkom točkama (a) i (g) ove Uredbe.

Članak 14.
Vježbe u području kibernetičke sigurnosti na razini Unije

1.ENISA podupire Komisiju u sastavljanju godišnjeg kontinuiranog programa vježbi u području kibernetičke sigurnosti na razini Unije.

2.ENISA vodi repozitorij iskustava stečenih u vježbama iz stavka 1. i preporučuje državama članicama i, prema potrebi, subjektima Unije kako djelotvorno i učinkovito primijeniti stečena iskustva.

3.Na zahtjev mreže EU-CyCLONe ili Komisije ENISA organizira vježbe u području kibernetičke sigurnosti na razini Unije ili sudjeluje u njihovoj organizaciji, uključujući testiranje pripravnosti za odgovor na kibernetičkosigurnosne incidente i krize velikih razmjera na razini Unije.

4.Na zahtjev država članica ENISA im pruža potporu u organizaciji nacionalnih vježbi u području kibernetičke sigurnosti.

5.Na zahtjev CERT-EU-a ENISA sudjeluje u organizaciji vježbi u području kibernetičke sigurnosti koje organizira CERT-EU u skladu s člankom 13. stavkom 7. Uredbe (EU, Euratom) 2023/2841.

Članak 15.
Stavljanje na raspolaganje alata i platformi

1.ENISA prema potrebi uspostavlja, stavlja na raspolaganje, vodi, održava i ažurira operativne tehničke alate, uključujući platforme povezane s kibernetičkom sigurnošću na razini Unije, posebno jedinstvenu platformu za izvješćivanje uspostavljenu na temelju članka 16. stavka 1. Uredbe (EU) 2024/2847 [i jedinstvenu ulaznu točku za izvješćivanje o incidentima uspostavljenu na temelju članka 23.a Direktive (EU) 2022/2555], te alate za testiranje radi potpore provedbi postupaka ocjenjivanja sukladnosti u skladu s relevantnim zakonodavstvom Unije.

2.Ako je to primjereno za potrebe stavka 1., ENISA surađuje i razmjenjuje informacije s mrežom CSIRT-ova i, prema potrebi, s tijelima za nadzor tržišta.

Članak 16.
Usluge upravljanja ranjivostima

ENISA razvija zajednički kapacitet Unije za usluge upravljanja ranjivostima i pruža te usluge dionicima na sljedeći način:

(a)održava europsku bazu podataka o ranjivosti uspostavljenu u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555;

(b)dionicima pruža usluge upravljanja ranjivostima na temelju europske baze podataka o ranjivosti i relevantnih informacija koje su joj dostupne;

(c)prema potrebi, uspostavlja strukturiranu suradnju s organizacijama koje nude programe, registre ili baze podataka slične europskoj bazi podataka o ranjivosti;

(d)aktivno podupire CSIRT-ove koji su imenovani koordinatorima u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555 u upravljanju koordiniranim otkrivanjem ranjivosti koje mogu znatno utjecati na subjekte u više država članica;

(e)razvija i održava metodologije i mehanizme upravljanja za utvrđivanje i koordinirano otkrivanje ranjivosti u suradnji s nacionalnim nadležnim tijelima, CSIRT-ovima, industrijom i istraživačkom zajednicom.

Odjeljak 3.

Kibernetičkosigurnosna certifikacija i normizacija

Članak 17.
Kibernetičkosigurnosna certifikacija

1.ENISA daje doprinos i poticaj razvoju i provedbi politike Unije o kibernetičkosigurnosnoj certifikaciji kako je utvrđena u glavi III. ove Uredbe. ENISA je zadužena za:

(a)izradu prijedloga europskih programa kibernetičkosigurnosne certifikacije („prijedlozi programa”) za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata u skladu s člankom 74. te, prema potrebi, izradu tehničkih specifikacija u skladu s člankom 77.;

(b)održavanje donesenih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 75., među ostalim s obzirom na njihovo moguće preispitivanje u skladu s člankom 76.;

(c)poticanje uvođenja donesenih programa, održavanje namjenskih internetskih stranica s informacijama o europskim programima kibernetičkosigurnosne certifikacije, europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti u skladu s člankom 79. te njihovu objavu;

(d)organizaciju izgradnje kapaciteta za provedbu postupaka certificiranja, aktivnosti evaluacije, istorazinskog ocjenjivanja i istorazinske procjene, među ostalim pružanjem potpore državama članicama na njihov zahtjev u skladu s člankom 6. točkom 12.

2.ENISA podupire Komisiju u sljedećim aktivnostima:

(a)upravljanje ECCG-om na temelju članka 90.;

(b)organizacija Europske skupštine o kibernetičkosigurnosnoj certifikaciji u skladu s člankom 72. stavkom 1.;

(c)aktivnosti povezane s međunarodnim priznavanjem europskih kibernetičkosigurnosnih certifikata u skladu s člankom 87.;

(d)organizacija istorazinskih ocjenjivanja na temelju članka 89.;

(e)izrada oglednih odredaba na koje će se upućivati u europskim programima kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata u skladu s člankom 81. stavkom 5.

Članak 18.
Normizacija, tehničke specifikacije i smjernice

1.ENISA izrađuje tehničke specifikacije i smjernice za potporu provedbi zakonodavstva Unije u području kibernetičke sigurnosti. Pri izradi tih tehničkih specifikacija ENISA uzima u obzir postojeće europske i međunarodne norme te druge relevantne tehničke specifikacije. ENISA osigurava dosljednost svojih tehničkih specifikacija i smjernica.

2.ENISA prati aktivnosti u razvoju normizacije na razini Unije i, u skladu s člankom 9., na međunarodnoj razini te, prema potrebi, sudjeluje u njima i predvodi ih radi podupiranja politika Unije u području kibernetičke sigurnosti.

3.ENISA podupire razvoj i evaluaciju kriptografskih algoritama. Ako pozitivno ocijeni kriptografski algoritam, ENISA u skladu s Uredbom (EU) br. 1025/2012 surađuje s europskim tijelima za normizaciju kako bi poduprla njegovu normizaciju.

4.ENISA Komisiji i, prema potrebi, državama članicama daje tehničke savjete o odgovarajućim normama ili tehničkim specifikacijama za potporu politikama Unije u području kibernetičke sigurnosti, među ostalim za zakonodavstvo Unije o usklađivanju u području kibernetičke sigurnosti, posebno Uredbu (EU) 2024/2847, te za tehnička područja za potrebe članka 25. Direktive (EU) 2022/2555 i za europske programe kibernetičkosigurnosne certifikacije na temelju članka 81. stavka 1. točke (d).

5.ENISA pomaže Komisiji u ocjenjivanju nacrta usklađenih normi radi potpore provedbi zakonodavstva Unije o usklađivanju u području kibernetičke sigurnosti.

6.ENISA promiče primjenu europskih i međunarodnih normi za kibernetičku sigurnost.

7.ENISA zadaće iz stavaka od 1. do 6. obavlja na cjelovit način, nepristrano i povjerljivo, među ostalim povlačenjem iz određenih tehničkih tijela ili prekidom sudjelovanja u njima ako je njezino sudjelovanje u suprotnosti s drugim zadaćama ili ciljevima.

Odjeljak 4. 
Realizacija Akademije za vještine u području kibernetičke sigurnosti

Članak 19.
Europski okvir za vještine u području kibernetičke sigurnosti

1.ENISA izrađuje i objavljuje Europski okvir za vještine u području kibernetičke sigurnosti („ECSF”). Prije nego što ECSF stavi na raspolaganje javnosti ili ga ažurira u skladu sa stavkom 4., ENISA se savjetuje s Komisijom.

2.U sklopu ECSF-a definiraju se profili stručnjaka za kibernetičku sigurnost te posebne zadaće, vještine i znanje povezani s određenim profilom uloge. Sudjelovanje u ECSF-u dobrovoljno je za javne i privatne subjekte.

3.ENISA se o razvoju i uvođenju ECSF-a može savjetovati s dionicima.

4.ENISA procjenjuje potrebu za redovitim ažuriranjem ECSF-a te ga ažurira prema potrebi.

Članak 20.
Razvoj, donošenje i održavanje sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti

1.ENISA razvija, donosi i održava sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti. Nacionalna javna tijela i privatni subjekti u sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti sudjeluju dobrovoljno, osim ako je nacionalnim pravom propisano drukčije.

2.Prije pokretanja novog sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA se savjetuje s Komisijom. ENISA takav sustav donosi tek nakon što Komisija da pozitivno mišljenje. U pripremi sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA se može savjetovati s relevantnim dionicima.

3.Sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti obuhvaća sljedeće:

(a)predmet i područje primjene sustava potvrda koji se temelji na profilima uloga ili njihovim podskupovima iz ECSF-a;

(b)zahtjeve koji se primjenjuju na osobe osposobljene za ocjenjivanje („ocjenjivači”) u skladu s člankom 21., potrebne vještine, znanje i iskustvo te metode osposobljavanja;

(c)analizu uvođenja na tržište za svaki pojedini sustav potvrda;

(d)ishode učenja, metode ocjenjivanja i uvjete koje ovlašteni izdavatelji potvrda koriste za evaluaciju dokaza da osoba posjeduje potrebne vještine u skladu s člankom 21.;

(e)prema potrebi, jednu ili više razina stručnosti;

(f)pravila o evidenciji koju čuvaju ovlašteni izdavatelji potvrda;

(g)sadržaj i format osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uzimajući u obzir članak 21. stavak 5. točku (e);

(h)najdulje razdoblje valjanosti osobne europske potvrde o vještinama u području kibernetičke sigurnosti izdane u okviru tog sustava potvrda.

4.Sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti može uključivati okvirni trošak osobne europske potvrde o vještinama u području kibernetičke sigurnosti.

5.U pripremi sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA blisko surađuje s državama članicama.

6.Izmjena sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ne utječe na ovlaštenje izdano u skladu s člankom 22. stavkom 3. točkom (a), koje ostaje valjano tijekom razdoblja za koje je izdano.

Članak 21.
Ovlašteni izdavatelji potvrda

1.Ovlašteni izdavatelji potvrda ocjenjuju ispunjavaju li osobe zahtjeve određenog sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i, ako su ti zahtjevi ispunjeni, izdaju osobne europske potvrde o vještinama u području kibernetičke sigurnosti. Izdavatelji potvrda mogu imati nekoliko ovlaštenja, od kojih se svako dodjeljuje za jedan sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti.

2.ENISA daje smjernice ocjenjivačima i provodi njihovo obvezno osposobljavanje o zahtjevima i metodama ocjenjivanja za određeni sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti kako je utvrđeno u članku 20. stavku 3. točki (b).

3.Subjekti koji žele postati ovlašteni izdavatelji potvrda ili obnoviti svoje ovlaštenje („podnositelji zahtjeva”) podnose zahtjev ENISA-i. Ti subjekti moraju ispunjavati sljedeće zahtjeve:

(a)moraju imati pravnu osobnost;

(b)moraju biti sposobni obavljati zadaće iz ove Uredbe povezane s osobnim europskim potvrdama o vještinama u području kibernetičke sigurnosti, bez obzira na to provodi li ovlašteni pružatelj potvrda ocjenjivanje sam ili se ono provodi u njegovo ime i pod njegovom odgovornošću;

(c)moraju raspolagati sredstvima potrebnima za primjereno obavljanje tehničkih i administrativnih zadaća povezanih s određenim sustavom osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti te imati pristup svoj potrebnoj opremi i objektima.

Za potrebe prvog podstavka točke (b) svako podugovaranje vanjskog osoblja ili savjetovanje s takvim osobljem mora se propisno dokumentirati, ne smije uključivati nikakve posrednike i mora podlijegati sklapanju pisanog sporazuma koji obuhvaća, među ostalim, povjerljivost i sukob interesa.

4.Podnositelji zahtjeva ne smiju biti visokorizični dobavljači.

5.Ovlašteni izdavatelji potvrda moraju ispunjavati sljedeće obveze:

(a)za uspostavu svakog sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti moraju:

i.imati na raspolaganju potrebne ocjenjivače i osoblje za pravodobno obavljanje aktivnosti kako je utvrđeno u tom sustavu;

ii.osigurati da ocjenjivači poštuju poslovnu tajnu, da su nepristrani i da svoj posao obavljaju neovisno i uz najviši stupanj profesionalnog integriteta;

iii.imati uspostavljene pisane postupke za obavljanje svojih aktivnosti u okviru sustava za koji su ovlašteni;

(b)ne smiju ocjenjivati niti izdavati osobne europske potvrde o vještinama u području kibernetičke sigurnosti vlastitim ocjenjivačima;

(c)moraju zajamčiti, prema potrebi uvođenjem odgovarajućih zaštitnih mjera, da njihovi ocjenjivači mogu neovisno obavljati svoj posao, posebno ako te osobe djeluju u okviru njihove vlastite strukture ili su zaposlenici ili polaznici takve strukture;

(d)ne smiju sudjelovati ni u kakvoj aktivnosti koja bi mogla biti u suprotnosti s neovisnom prosudbom ili integritetom njihovih ocjenjivača;

(e)moraju zajamčiti da se, na zahtjev pojedinca, elektroničke potvrde u okviru sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti izdaju kao elektroničke potvrde atributa u formatu koji se može pohraniti u europskim lisnicama za digitalni identitet iz Uredbe (EU) br. 910/2014.

6.Ovlašteni izdavatelji potvrda odmah obavješćuju ENISA-u ako bilo koji zahtjev iz stavaka 3. i 4. ili bilo koja obveza iz stavka 5. više nisu ispunjeni ili ako postoji sumnja da ti zahtjevi ili obveze nisu ispunjeni, među ostalim u pogledu neovisnosti ocjenjivača.

7.Ovlašteni izdavatelji potvrda mogu od osoba tražiti naknadu za ocjenjivanje i izdavanje osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uzimajući u obzir okvirni trošak osobne europske potvrde o vještinama u području kibernetičke sigurnosti utvrđen u skladu s člankom 20. stavkom 4. i objavljen na namjenskim internetskim stranicama u skladu s člankom 23. točkom (d).

8.Podnositelji zahtjeva i ovlašteni izdavatelji potvrda ENISA-i omogućuju da provodi evaluacije u okviru postupka razmatranja zahtjeva ili održavanja ovlaštenja te dostavljaju sve relevantne informacije kako bi se zajamčilo da su zahtjevi iz stavaka 3. i 4. ili obveze iz stavka 5. ispunjeni ili da se i dalje ispunjavaju u skladu s člankom 22. stavkom 2.

Članak 22.
Razmatranje zahtjeva za status ovlaštenog izdavatelja potvrda i održavanje ovlaštenja

1.Podnositelji zahtjeva ENISA-i plaćaju naknadu za razmatranje njihova zahtjeva. Ovlašteni izdavatelji potvrda ENISA-i plaćaju naknadu za održavanje njihova ovlaštenja.

2.ENISA ocjenjuje jesu li podnositelji zahtjeva i ovlašteni izdavatelji potvrda ispunili ili ispunjavaju li i dalje zahtjeve iz članka 21. stavaka 3. i 4. i obveze iz članka 21. stavka 5.

3.Nakon što usporedi zahtjev sa zahtjevima iz članka 21. stavaka 3. i 4., ENISA može izdati jednu od sljedećih odluka:

(a)odluku o dodjeli statusa ovlaštenog izdavatelja potvrda podnositelju zahtjeva ili o odobrenju obnove tog statusa;

(b)odluku o odbijanju zahtjeva za status ovlaštenog izdavatelja potvrda ili njegovu obnovu;

(c)odluku o zaključivanju obrade zahtjeva ako podnositelj zahtjeva ne odgovori na zahtjev ENISA-e za dostavu dodatnih informacija.

ENISA može izmijeniti, suspendirati ili opozvati takve odluke na temelju svoje evaluacije u skladu s člankom 22. stavkom 2. ili u slučaju iz članka 21. stavka 6.

4.ENISA izdaje odluku iz stavka 3. u roku od tri mjeseca od datuma podnošenja zahtjeva u skladu s člankom 21. stavkom 3. Ako od podnositelja zahtjeva zatraži dodatne informacije, ENISA odluku iz stavka 3. izdaje u roku od mjesec dana od primitka dodatnih informacija.

5.Odluka iz stavka 3. točke (a) valjana je najviše tri godine i u njoj se navodi naknada za godišnje održavanje ovlaštenja.

6.ENISA osigurava da su njezine aktivnosti povezane s razvojem i donošenjem sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti kako je utvrđeno u članku 20. strogo odvojene od aktivnosti razmatranja zahtjeva i evaluacija iz stavaka 2. i 3. ovog članka i da se provode neovisno o njima.

Članak 23.
Javne informacije

ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju javne informacije o:

(a)ECSF-u, uključujući sam okvir i raspored njegova ažuriranja;

(b)sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, njihovu napretku i rokovima za njihov razvoj;

(c)naknadama za svaki sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti donesen u skladu s člankom 47. ove Uredbe;

(d)okvirnom trošku osobne europske potvrde o vještinama u području kibernetičke sigurnosti u skladu s člankom 20. stavkom 4.;

(e)popisu ovlaštenih izdavatelja potvrda.

Poglavlje III. 
Organizacija ENISA-e

Članak 24.
Administrativna i upravljačka struktura ENISA-e

Administrativna i upravljačka struktura ENISA-a sastoji se od:

(a)Upravnog odbora koji obavlja funkcije iz članka 28.;

(b)Izvršnog odbora koji obavlja funkcije iz članka 30.;

(c)izvršnog direktora koji obavlja dužnosti iz članka 32.;

(d)zamjenika izvršnog direktora koji obavlja dužnosti iz članka 34.;

(e)Savjetodavne skupine ENISA-e;

(f)Odbora za žalbe koji obavlja funkcije iz članaka od 39. do 42.

Odjeljak 1. 
Upravni odbor

Članak 25.
Sastav Upravnog odbora

1.Upravni odbor sastoji se od po jednog člana kojeg imenuje svaka država članica te dva člana koje imenuje Komisija. Svi članovi imaju pravo glasa.

2.Svaki član Upravnog odbora ima zamjenika. Zamjenici zamjenjuju članove u njihovoj odsutnosti.

3.Svaka država članica kao člana Upravnog odbora imenuje voditelja nacionalnog nadležnog tijela imenovanog u skladu s člankom 8. stavkom 1. Direktive (EU) 2022/2555. Ako se to pokaže neizvedivim, države članice kao člana Upravnog odbora imenuju predstavnika nacionalnog nadležnog tijela na visokoj razini imenovanog u skladu s člankom 8. stavkom 1. Direktive (EU) 2022/2555.

4.Članovi koje imenuje Komisija i zamjenici članova Upravnog odbora imenuju se uzimajući u obzir njihovo znanje u području kibernetičke sigurnosti te njihove relevantne upravljačke i administrativne vještine i vještine upravljanja proračunom. Kad je riječ o zamjenicima, Komisija i države članice nastoje postići uravnoteženu zastupljenost muškaraca i žena u Upravnom odboru i ograničiti njihovu fluktuaciju kako bi se osigurao kontinuitet rada Upravnog odbora.

5.Trajanje mandata članova koje imenuju države članice jednako je trajanju njihove funkcije iz stavka 3.

6.Mandat zamjenika i članova koje imenuje Komisija traje četiri godine. Taj se mandat može produljiti.

Članak 26.
Predsjednik Upravnog odbora

1.Upravni odbor bira predsjednika i zamjenika predsjednika među svojim članovima koji imaju pravo glasa. Predsjednik i njegov zamjenik biraju se dvotrećinskom većinom članova Upravnog odbora s pravom glasa.

2.Zamjenik predsjednika automatski zamjenjuje predsjednika ako je predsjednik spriječen obavljati svoje dužnosti.

3.Mandat predsjednika i zamjenika predsjednika traje četiri godine i može se jednom produljiti. Međutim, ako njihovo članstvo u Upravnom odboru prestane u bilo kojem trenutku trajanja njihova mandata, toga datuma automatski prestaje i taj mandat.

Članak 27.
Sastanci Upravnog odbora

1.Sastanke Upravnog odbora saziva predsjednik.

2.Izvršni direktor sudjeluje na sastancima Upravnog odbora, ali nema pravo glasa.

3.Upravni odbor održava najmanje dva redovita sastanka godišnje. Osim toga, sastaje se na inicijativu predsjednika, na zahtjev Komisije ili na zahtjev najmanje jedne trećine svojih članova.

4.Predstavnik Europskog stručnog centra za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti osnovanog Uredbom (EU) 2021/887 stalni je promatrač bez prava glasa na sastancima Upravnog odbora.

5.Upravni odbor može pozvati bilo koju osobu čije bi mišljenje moglo biti od interesa da prisustvuje sastanku ili dijelu sastanka kao ad hoc promatrač, bez prava glasa i u skladu s Poslovnikom Upravnog odbora.

6.Članovima Upravnog odbora i njihovim zamjenicima na sastancima Upravnog odbora mogu pomagati savjetnici ili stručnjaci, u skladu s Poslovnikom Upravnog odbora.

Članak 28.
Funkcije Upravnog odbora

1.Upravni odbor obavlja sljedeće:

(a)utvrđuje opći smjer rada ENISA-e i osigurava da djeluje u skladu s pravilima i načelima utvrđenima u ovoj Uredbi; osigurava i dosljednost rada ENISA-e s aktivnostima koje provode države članice, kao i s aktivnostima na razini Unije;

(b)donosi nacrt jedinstvenog programskog dokumenta ENISA-e iz članka 44. prije nego što ga podnese Komisiji radi mišljenja;

(c)uzimajući u obzir mišljenje Komisije, donosi jedinstveni programski dokument ENISA-e u skladu s člankom 29. stavkom 2. točkom (a);

(d)nadzire provedbu višegodišnjih i godišnjih programa sadržanih u jedinstvenom programskom dokumentu;

(e)donosi godišnji proračun ENISA-e u skladu s člankom 29. stavkom 2. točkom (b) i izvršava druge funkcije u odnosu na proračun ENISA-e u skladu s poglavljem IV.;

(f)ocjenjuje i donosi konsolidirano godišnje izvješće o aktivnostima ENISA-e, uključujući računovodstvenu dokumentaciju i opis načina na koji je ENISA ispunila svoje pokazatelje uspješnosti; do 1. srpnja sljedeće godine Europskom parlamentu, Vijeću, Komisiji i Europskom revizorskom sudu podnosi godišnje izvješće i njegovu ocjenu; objavljuje godišnje izvješće;

(g)u skladu s člankom 50. donosi financijska pravila koja se primjenjuju na ENISA-u;

(h)donosi strategiju za suzbijanje prijevara koja je razmjerna rizicima od prijevare, uzimajući u obzir analizu troškova i koristi mjera koje će se provoditi;

(i)osigurava odgovarajuće daljnje postupanje na temelju nalaza i preporuka proizišlih iz izvješćâ i evaluacija u okviru unutarnje i vanjske revizije te istraga Europskog ureda za borbu protiv prijevara (OLAF) i Ureda europskog javnog tužitelja (EPPO);

(j)donosi svoj poslovnik, uključujući pravila za privremene odluke o delegiranju posebnih zadaća na temelju članka 30. stavka 7.;

(k)u skladu sa stavkom 2. ovog članka, u odnosu na osoblje ENISA-e izvršava ovlasti koje su Pravilnikom o osoblju za dužnosnike Europske unije („Pravilnik o osoblju”) i Uvjetima zaposlenja ostalih službenika Europske unije („Uvjeti zaposlenja”), utvrđenima u Uredbi Vijeća (EEZ, Euratom, EZUČ) br. 259/68 73 , dodijeljene tijelu za imenovanje odnosno tijelu ovlaštenom za sklapanje ugovora o radu („ovlasti tijela za imenovanje”);

(l)donosi provedbena pravila za primjenu Pravilnika o osoblju i Uvjeta zaposlenja u skladu s člankom 110. stavkom 2. Pravilnika o osoblju;

(m)imenuje izvršnog direktora i, ako odluči uspostaviti funkciju zamjenika izvršnog direktora, zamjenika izvršnog direktora te, prema potrebi, produljuje njihov mandat ili ih razrješuje dužnosti u skladu s člankom 31.;

(n)imenuje računovodstvenog službenika, u skladu s Pravilnikom o osoblju i Uvjetima zaposlenja, koji je neovisan u obavljanju svojih dužnosti;

(o)donosi sve odluke koje se tiču unutarnjeg ustrojstva ENISA-e te, prema potrebi, o izmjenama tog unutarnjeg ustrojstva, uzimajući u obzir potrebe ENISA-e u pogledu aktivnosti te razumno financijsko upravljanje;

(p)odobrava sklapanje radnih aranžmana u odnosu na članak 68.;

(q)odobrava sklapanje radnih dogovora u skladu s člankom 70.;

(r)imenuje i razrješuje članove Odbora za žalbe u skladu s člankom 29. stavkom 2. točkom (d);

(s)donosi pravila za sprečavanje i upravljanje sukobom interesa koja se primjenjuju na članove Odbora za žalbe.

2.U skladu s člankom 110. stavkom 2. Pravilnika o osoblju Upravni odbor donosi odluku na temelju članka 2. stavka 1. Pravilnika o osoblju i članka 6. Uvjeta zaposlenja kojom se odgovarajuće ovlasti tijela za imenovanje delegiraju izvršnom direktoru i utvrđuju uvjeti pod kojima se to delegiranje ovlasti može suspendirati. Izvršni direktor ovlašten je dalje delegirati te ovlasti.

3.U iznimnim okolnostima Upravni odbor može donijeti odluku o privremenoj suspenziji delegiranja ovlasti tijela za imenovanje izvršnom direktoru i svih ovlasti tijela za imenovanje koje je izvršni direktor dalje delegirao te ih umjesto toga izvršavati sam ili ih delegirati jednom od svojih članova ili zaposlenika koji nije izvršni direktor.

Članak 29.
Pravila o glasanju Upravnog odbora

1.Upravni odbor donosi odluke apsolutnom većinom svojih članova s pravom glasa, osim ako je ovom Uredbom predviđeno drukčije.

2.Dvotrećinska većina članova Upravnog odbora s pravom glasa potrebna je za:

(a)donošenje jedinstvenog programskog dokumenta iz članka 28. stavka 1. točke (c);

(b) donošenje godišnjeg proračuna iz članka 28. stavka 1. točke (e);

(c) imenovanje, produljenje mandata ili razrješenje izvršnog direktora i zamjenika izvršnog direktora, kako je utvrđeno u člancima 31. i 33.;

(d)imenovanje i razrješenje članova Odbora za žalbe, kako je utvrđeno u članku 36.

3.Odluke o proračunskim pitanjima i pitanjima ljudskih resursa, posebno o pitanjima iz članka 28. stavka 1. točaka (c), (e), (f), (g), (h), (i), (k), (l), (m) i (n), donose se samo ako su predstavnici Komisije glasali „za”. Za potrebe donošenja odluka iz članka 28. stavka 1. točke (c) o jedinstvenom programskom dokumentu ENISA-e, glas „za” predstavnika Komisije potreban je samo za elemente odluke koji nisu povezani s godišnjim i višegodišnjim programom rada ENISA-e.

4.Svaki član s pravom glasa ima jedan glas. U odsutnosti člana s pravom glasa njegovo je pravo glasa ovlašten iskoristiti njegov zamjenik.

5.Predsjednik Upravnog odbora sudjeluje u glasanju.

6.Izvršni direktor ne sudjeluje u glasanju.

7.Poslovnikom Upravnog odbora utvrđuju se detaljnija pravila glasanja, osobito okolnosti u kojima jedan član može djelovati u ime drugog člana.

Odjeljak 2. 
Izvršni odbor

Članak 30.
Izvršni odbor

1.Upravnom odboru pomaže Izvršni odbor.

2.Izvršni odbor obavlja sljedeće:

(a)priprema odluke koje donosi Upravni odbor;

(b)zajedno s Upravnim odborom osigurava odgovarajuće daljnje postupanje na temelju nalaza i preporuka proizišlih iz izvješćâ i evaluacija u okviru unutarnje i vanjske revizije te istraga OLAF-a i EPPO-a;

(c)ne dovodeći u pitanje dužnosti izvršnog direktora utvrđene u članku 32., pomaže izvršnom direktoru i savjetuje ga pri provedbi odluka Upravnog odbora radi pojačanog nadzora administrativnog upravljanja i upravljanja proračunom.

3.Izvršni odbor sastoji se od predsjednika Upravnog odbora, jednog predstavnika Komisije u Upravnom odboru i tri člana koje je Upravni odbor imenovao među svojim članovima s pravom glasa. Predsjednik Upravnog odbora ujedno je predsjednik Izvršnog odbora. Pri imenovanjima članova Izvršnog odbora nastoji se postići rodna ravnoteža u Izvršnom odboru. Izvršni direktor sudjeluje na sastancima Izvršnog odbora, ali nema pravo glasa.

4.Mandat članova Izvršnog odbora traje četiri godine. Taj se mandat može produljiti. Mandat članova Izvršnog odbora istječe prestankom njihova članstva u Upravnom odboru.

5.Izvršni odbor održava najmanje jedan redoviti sastanak svaka tri mjeseca. Osim toga, sastaje se na inicijativu svojeg predsjednika ili na zahtjev svojih članova.

6.Upravni odbor donosi poslovnik Izvršnog odbora.

7.Prema potrebi, Izvršni odbor može u slučaju hitnosti donijeti određene privremene odluke u ime Upravnog odbora, osobito o pitanjima povezanima s administrativnim upravljanjem, uključujući suspenziju delegiranja ovlasti tijela za imenovanje i proračunska pitanja. Upravni odbor o svim se takvim privremenim odlukama obavješćuje bez nepotrebne odgode. Upravni odbor zatim, najkasnije tri mjeseca nakon njezina donošenja, odlučuje hoće li privremenu odluku odobriti ili odbiti. Izvršni odbor ne može u ime Upravnog odbora donositi odluke za koje je potrebna dvotrećinska većina članova Upravnog odbora s pravom glasa.

Odjeljak 3. 
Izvršni direktor

Članak 31.
Imenovanje, razrješenje i produljenje mandata

1.Izvršnog direktora imenuje Upravni odbor na temelju postignuća i vještina među osobama s popisa kandidata koje je predložila Komisija nakon otvorenog i transparentnog postupka odabira.

2.Kandidat kojeg je odabrao Upravni odbor poziva se prije imenovanja da pred relevantnim odborom Europskog parlamenta da izjavu i odgovori na pitanja njegovih članova.

3.Izvršni direktor zapošljava se kao član privremenog osoblja ENISA-e u skladu s člankom 2. točkom (a) Uvjeta zaposlenja.

4.Za potrebe sklapanja ugovora s izvršnim direktorom ENISA-u zastupa predsjednik Upravnog odbora.

5.Mandat izvršnoga direktora traje pet godina. Komisija pravodobno prije kraja tog razdoblja provodi ocjenjivanje u kojem se uzimaju u obzir evaluacija rada izvršnog direktora te buduće zadaće i izazovi ENISA-e.

6.Upravni odbor, odlučujući na prijedlog Komisije u kojem se uzima u obzir procjena iz stavka 5., mandat izvršnog direktora može produljiti jednom za najviše pet godina.

7.Izvršni direktor kojem je produljen mandat na kraju ukupnog mandata ne može sudjelovati u novom postupku odabira za isto radno mjesto.

8.Upravni odbor obavješćuje Europski parlament o svojoj namjeri da produlji mandat izvršnog direktora u skladu sa stavkom 6. U roku od tri mjeseca prije takvog produljenja izvršni direktor, ako ga se na to pozove, daje izjavu pred relevantnim odborom Europskog parlamenta i odgovara na pitanja njegovih članova.

9.Izvršni direktor može biti razriješen dužnosti samo odlukom Upravnog odbora donesenom na prijedlog Komisije.

Članak 32.
Zadaće i odgovornosti izvršnog direktora

1.Izvršni direktor upravlja ENISA-om i odgovara Upravnom odboru.

2.Izvršni direktor neovisan je u obavljanju svojih zadaća te ne smije tražiti niti primati upute ni od koje vlade niti od kojeg drugog tijela.

3.Izvršni direktor na poziv izvješćuje Europski parlament o obavljanju svojih zadaća. Vijeće može pozvati izvršnog direktora da podnese izvješće o obavljanju svojih zadaća.

4.Izvršni direktor pravni je zastupnik ENISA-a.

5.Izvršni direktor odgovoran je za provedbu zadaća dodijeljenih ENISA-i ovom Uredbom. Konkretno, izvršni direktor zadužen je za:

(a)osiguravanje svakodnevnog upravljanja ENISA-om;

(b)provedbu odluka koje donese Upravni odbor;

(c)osiguravanje usklađenosti s financijskim pravilima ENISA-e;

(d)izradu nacrta jedinstvenog programskog dokumenta i njegovo podnošenje Upravnom odboru na odobrenje prije podnošenja Komisiji radi mišljenja;

(e)provedbu jedinstvenog programskog dokumenta i izvješćivanje Upravnog odbora o njegovoj provedbi;

(f)izradu konsolidiranog godišnjeg izvješća o radu ENISA-e, uključujući provedbu godišnjeg programa rada ENISA-e, i njegovo podnošenje Upravnom odboru na ocjenjivanje i donošenje;

(g)izradu akcijskog plana na temelju zaključaka iz retrospektivnih evaluacija ENISA-e iz članka 121. i izvješćivanje Komisije o napretku svake dvije godine;

(h)izradu akcijskog plana na temelju zaključaka iz izvješća i evaluacija u okviru unutarnje ili vanjske revizije i istraga OLAF-a i EPPO-a te izvješćivanje Komisije o napretku svake dvije godine i redovito izvješćivanje Upravnog odbora;

(i)izradu nacrta financijskih pravila iz članka 50. koja se primjenjuju na ENISA-u;

(j)izradu nacrta izvješća ENISA-e o procjeni prihoda i rashoda i izvršavanje njezina proračuna;

(k)zaštitu financijskih interesa Unije primjenom preventivnih mjera protiv prijevare, korupcije i drugih nezakonitih aktivnosti djelotvornim provjerama, ne dovodeći u pitanje istražnu nadležnost OLAF-a i EPPO-a, i, ako se utvrde nepravilnosti, osiguravanjem povrata pogrešno isplaćenih iznosa i prema potrebi izricanjem učinkovitih, proporcionalnih i odvraćajućih administrativnih i financijskih sankcija;

(l)pripremu strategije za borbu protiv prijevara, strategije za povećavanje učinkovitosti i ostvarivanje sinergije, strategije suradnje s trećim zemljama ili međunarodnim organizacijama te strategije za organizacijsko upravljanje i sustave unutarnje kontrole za ENISA-u i njihovo podnošenje Upravnom odboru na odobrenje;

(m)uspostavljanje i održavanje kontakta s poslovnom zajednicom i organizacijama potrošača radi osiguravanja redovitog dijaloga s relevantnim dionicima;

(n)redovitu razmjenu stajališta i informacija s relevantnim subjektima Unije u vezi s njihovim aktivnostima u području kibernetičke sigurnosti kako bi se osigurala usklađenost u provedbi politike Unije u tom području;

(o)promicanje raznolikosti i rodne ravnoteže pri zapošljavanju osoblja ENISA-e;

(p)donošenje sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, kako je utvrđeno u članku 20. stavku 1.;

(q)donošenje odluka o podnositeljima zahtjeva za status ovlaštenog izdavatelja potvrda ili obnovu njihova ovlaštenja, kako je utvrđeno u članku 22. stavku 3.;

(r)obavljanje drugih zadaća dodijeljenih izvršnom direktoru ovom Uredbom.

6.Prema potrebi i u okviru mandata ENISA-e te u skladu s ciljevima i zadaćama ENISA-e, izvršni direktor može osnovati ad hoc radne skupine sastavljene od stručnjaka, uključujući stručnjake iz nadležnih tijela država članica. Izvršni direktor o tome unaprijed obavješćuje Upravni odbor. Postupci koji se odnose posebno na sastav radnih skupina, imenovanje stručnjaka u radne skupine koje obavlja izvršni direktor i rad radnih skupina utvrđuju se unutarnjim pravilnikom o radu ENISA-e.

7.Prema potrebi, u svrhu obavljanja zadaća ENISA-e na učinkovit i djelotvoran način i na temelju odgovarajuće analize troškova i koristi, izvršni direktor može odlučiti osnovati jedan ili više lokalnih ureda u jednoj ili više država članica. Prije odluke o osnivanju lokalnog ureda izvršni direktor traži mišljenje dotične države članice ili više njih, uključujući državu članicu u kojoj se nalazi sjedište ENISA-e, te mora dobiti prethodnu suglasnost Komisije i Upravnog odbora. U slučaju neslaganja između izvršnog direktora i dotičnih država članica u postupku savjetovanja to se pitanje podnosi Vijeću na raspravu. Ukupan broj osoblja u svim lokalnim uredima svodi se na najmanju moguću mjeru i ne smije prelaziti 40 % ukupnog broja osoblja ENISA-e koje se nalazi u državi članici u kojoj se nalazi sjedište ENISA-e. Broj osoblja u svakom lokalnom uredu ne prelazi 10 % ukupnog broja osoblja ENISA-e koje se nalazi u državi članici u kojoj se nalazi sjedište ENISA-e.

8.U odluci o osnivanju lokalnog ureda utvrđuje se opseg aktivnosti koje će obavljati taj lokalni ured na način da se izbjegnu nepotrebni troškovi i udvostručavanje administrativnih zadaća ENISA-e.

Odjeljak 4. 
Zamjenik izvršnog direktora

Članak 33.
Zamjenik izvršnog direktora

1.Upravni odbor može odlučiti uspostaviti funkciju zamjenika izvršnog direktora, koji pomaže izvršnom direktoru.

2.Ako Upravni odbor odluči uspostaviti funkciju zamjenika izvršnog direktora, na zamjenika se na odgovarajući način primjenjuju odredbe članka 31.

Članak 34.
Zadaće i odgovornosti zamjenika izvršnog direktora

Zamjenik izvršnog direktora pomaže izvršnom direktoru u upravljanju ENISA-om i obavljanju zadaća iz članka 32. Ako je izvršni direktor odsutan ili spriječen ili je radno mjesto izvršnog direktora upražnjeno, za vrijeme njegove odsutnosti ili dok se radno mjesto izvršnog direktora ne popuni zamjenjuje ga zamjenik izvršnog direktora.

Odjeljak 5. 
Savjetodavna skupina ENISA-e

Članak 35.
Savjetodavna skupina ENISA-e

1.Upravni odbor na prijedlog izvršnog direktora na transparentan način osniva Savjetodavnu skupinu ENISA-e. Savjetodavna skupina ENISA-e sastoji se od priznatih stručnjaka koji predstavljaju relevantne dionike, kao što su sektor kibernetičke sigurnosti, sektor IKT-a, MSP-ovi, subjekti koji posluju u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555, proizvođači proizvoda s digitalnim elementima i upravitelji softvera otvorenog koda u smislu Uredbe (EU) 2024/2847, tijela za ocjenjivanje sukladnosti prijavljena na temelju Europskog okvira za kibernetičkosigurnosnu certifikaciju iz članka 93. i Uredbe (EU) 2024/2847, subjekti koji posluju u području sredstava elektroničke identifikacije, skupine potrošača, akademski stručnjaci za kibernetičku sigurnost, europske organizacije za normizaciju te tijela za izvršavanje zakonodavstva i nadzorna tijela za zaštitu podataka. Ti priznati stručnjaci moraju biti državljani država članica. Upravni odbor nastoji osigurati odgovarajuću rodnu i geografsku ravnotežu te ravnotežu među raznim interesnim skupinama.

2.Postupci koji se odnose na Savjetodavnu skupinu ENISA-e, posebno u pogledu njezina sastava, prijedloga izvršnog direktora iz stavka 1., broja i imenovanja njezinih članova i rada Savjetodavne skupine ENISA-e, utvrđuju se u unutarnjem pravilniku o radu ENISA-e te se objavljuju.

3.Savjetodavnom skupinom ENISA-e predsjeda izvršni direktor ili bilo koja osoba koju, zasebno za svaki slučaj, imenuje izvršni direktor.

4.Mandat članova Savjetodavne skupine ENISA-e traje dvije i pol godine i može se produljiti jednom. Članovi Upravnog odbora ne mogu biti članovi Savjetodavne skupine ENISA-e. Stručnjaci Komisije i država članica imaju pravo prisustvovati sjednicama Savjetodavne skupine ENISA-e i sudjelovati u njezinu radu. Izvršni direktor može pozvati predstavnike drugih tijela koja nisu članovi Savjetodavne skupine ENISA-e da prisustvuju sastancima Savjetodavne skupine ENISA-e i sudjeluju u njezinu radu.

5.Savjetodavna skupina ENISA-e savjetuje Agenciju u vezi s obavljanjem aktivnosti ENISA-e, osim u pogledu primjene odredaba glava III., IV. i V ove Uredbe. Ona posebno savjetuje izvršnog direktora u vezi s izradom prijedloga godišnjeg programa rada ENISA-e i osiguravanjem komunikacije s relevantnim interesnim skupinama o pitanjima koja se odnose na godišnji program rada.

6.Savjetodavna skupina ENISA-e redovito obavješćuje Upravni odbor o svojim aktivnostima.

7.ENISA Savjetodavnoj skupini ENISA-e pruža logističku potporu i obavlja poslove tajništva za njezine sastanke.

Odjeljak 6. 
Odbor za žalbe

Članak 36.
Osnivanje i sastav Odbora za žalbe

1.ENISA odlukom Upravnog odbora osniva Odbor za žalbe.

2.Odbor za žalbe sastoji se od predsjednika i tri druga člana. Svaki član Odbora za žalbe ima zamjenika. Zamjenik zamjenjuje člana u njegovoj odsutnosti.

3.Upravni odbor imenuje predsjednika, ostale članove i njihove zamjenike na temelju popisa kvalificiranih kandidata koji je sastavila Komisija. Popis kvalificiranih kandidata valjan je četiri godine. Upravni odbor može na prijedlog Komisije produljiti valjanost tog popisa za dodatne četiri godine.

4.Ako Odbor za žalbe smatra da je to potrebno zbog prirode žalbe, može od Upravnog odbora zatražiti da među kandidatima s popisa iz stavka 3. imenuje dodatna dva člana i njihove zamjenike.

5.Odbor za žalbe donosi i objavljuje svoj poslovnik.

Članak 37.
Članovi Odbora za žalbe

1.Mandat članova Odbora za žalbe i njihovih zamjenika traje četiri godine. Upravni odbor može na prijedlog Komisije produljiti njihov mandat na dodatno razdoblje od četiri godine.

2.Članovi Odbora za žalbe neovisni su i ne obavljaju nikakve druge dužnosti u ENISA-i. Pri donošenju odluka ne smiju tražiti niti primati upute ni od koje vlade niti od kojeg drugog tijela ili privatnog subjekta.

3.Članovi Odbora za žalbe ne smiju se za trajanja mandata razriješiti dužnosti ili ukloniti s popisa kvalificiranih kandidata, osim ako postoje ozbiljni razlozi za takvo razrješenje i Upravni odbor donese takvu odluku na prijedlog Komisije.

Članak 38.
Izuzeće i prigovor

1.Članovi Odbora za žalbe ne sudjeluju u žalbenom postupku ako u njemu imaju bilo kakav osobni interes, ako su prethodno bili uključeni kao predstavnici jedne od stranaka u postupku ili ako su sudjelovali u donošenju odluke koja je predmet žalbe.

2.Ako član Odbora za žalbe zbog nekog od razloga iz stavka 1. ili zbog bilo kojeg drugog razloga smatra da ne bi trebao sudjelovati u žalbenom postupku, o tome obavješćuje Odbor za žalbe.

3.Stranke u žalbenom postupku mogu uputiti prigovor na člana Odbora za žalbe zbog nekog od razloga iz stavka 1. ili zbog sumnje u njegovu pristranost. Takav prigovor nije dopušten ako je stranka u žalbenom postupku, unatoč tome što je bila svjesna razloga za prigovor, poduzela postupovnu radnju. Prigovor se ne može temeljiti na državljanstvu članova Odbora za žalbe.

4.Odbor za žalbe odlučuje o mjerama koje treba poduzeti u slučajevima iz stavaka 2. i 3. bez sudjelovanja dotičnog člana. Za potrebe donošenja te odluke dotičnog člana u Odboru za žalbe zamjenjuje zamjenik.

Članak 39.
Žalbe protiv odluka i žalbe zbog nepostupanja

1.Odboru za žalbe može se podnijeti žalba:

(a)protiv odluka koje ENISA donosi na temelju članka 22. stavka 3.;

(b)zbog nepostupanja ENISA-e u primjenjivim rokovima utvrđenima u članku 22. stavku 4.

2.Protiv žalbe podnesene na temelju stavka 1. može se podnijeti remonstrativna žalba u skladu s člankom 41. prije podnošenja Odboru za žalbe na razmatranje.

3.Žalba podnesena na temelju stavka 1. nema suspenzivni učinak.

Članak 40.
Osobe koje imaju pravo na žalbu, rok i oblik

1.Podnositelji žalbe u smislu članka 21. stavka 3. mogu podnijeti žalbu:

(a)protiv odluke ENISA-e u skladu s člankom 22. stavkom 3. koja im je upućena;

(b)zbog nepostupanja ENISA-e u primjenjivim rokovima utvrđenima u članku 22. stavku 4. u vezi sa zahtjevom koji je podnio podnositelj zahtjeva.

2.U slučaju iz stavka 1. točke (a) žalba se zajedno s obrazloženjem podnosi u pisanom obliku u skladu s Poslovnikom iz članka 36. stavka 5. u roku od dva mjeseca od obavješćivanja predmetnog podnositelja zahtjeva o odluci ili, ako takve obavijesti nije bilo, od dana kad je podnositelj zahtjeva saznao za odluku.

3.U slučaju iz stavka 1. točke (b) žalba se podnosi ENISA-i u pisanom obliku u skladu s Poslovnikom iz članka 36. stavka 5. u roku od dva mjeseca od dana isteka roka utvrđenog u članku 22. stavku 4.

Članak 41.
Remonstrativna žalba

1.Ako ENISA smatra da je žalba dopuštena i osnovana, ispravlja odluku ili propust u postupanju iz članka 40. stavka 1.

2.Ako ENISA ne ispravi odluku u roku od mjesec dana od primitka žalbe, odmah odlučuje hoće li suspendirati primjenu svoje odluke i žalbu upućuje Odboru za žalbe.

Članak 42.
Razmatranje odluka o žalbama

1.Odbor za žalbe odlučuje u roku od tri mjeseca od podnošenja žalbe hoće li određenu žalbu prihvatiti ili odbiti. Pri razmatranju žalbe Odbor za žalbe postupa u rokovima utvrđenima u njegovu Poslovniku. Odbor za žalbe, u koliko god navrata je to potrebno, poziva stranke u žalbenom postupku da u utvrđenim rokovima iznesu primjedbe na odluke samog Odbora ili podneske drugih stranaka u žalbenom postupku. Stranke u žalbenom postupku imaju pravo dati usmene izjave.

2.Ako Odbor za žalbe utvrdi da su razlozi za žalbu osnovani, upućuje predmet ENISA-i. ENISA svoju konačnu odluku donosi u skladu s nalazima Odbora za žalbe i daje obrazloženje te odluke. ENISA o tome obavješćuje stranke u žalbenom postupku.

Članak 43.
Postupci pred Sudom Europske unije

1.Tužbe za poništenje odluka ENISA-e donesenih na temelju članka 22. stavka 3. ili tužbe zbog nepostupanja u primjenjivim rokovima na temelju članka 22. stavka 4. mogu se podnijeti Sudu Europske unije nakon što se iscrpi žalbeni postupak u okviru ENISA-e utvrđen u člancima od 39. do 42. ili, u slučaju nepostupanja u primjenjivom roku, na temelju članka 41. stavka 2.

2.ENISA poduzima sve potrebne mjere kako bi postupila u skladu s presudom Suda Europske unije.

Odjeljak 7. 
Planiranje rada

Članak 44.
Jedinstveni programski dokument

1.ENISA djeluje u skladu s jedinstvenim programskim dokumentom koji sadržava njezine godišnje i višegodišnje programe koji uključuju sve njezine planirane aktivnosti.

2.Izvršni direktor svake godine izrađuje nacrt jedinstvenog programskog dokumenta, kako je utvrđen u stavku 1., s odgovarajućim planovima financijskih i ljudskih resursa u skladu s člankom 32. Delegirane uredbe Komisije (EU) 2019/715 74 i uzimajući u obzir smjernice koje je utvrdila Komisija.

3.Upravni odbor do 30. studenog svake godine donosi jedinstveni programski dokument iz stavka 1., uzimajući u obzir mišljenje Komisije iz članka 32. stavka 7. Delegirane uredbe (EU) 2019/715. Ako Upravni odbor odluči da neće uzeti u obzir neke elemente mišljenja Komisije, dostavlja detaljno obrazloženje za takvu odluku. Upravni odbor Europskom parlamentu, Vijeću i Komisiji do 31. siječnja sljedeće godine šalje jedinstveni programski dokument, kao i sve naknadno ažurirane verzije tog dokumenta.

4.Jedinstveni programski dokument postaje konačan nakon konačnog donošenja općeg proračuna Unije te se na odgovarajući način prilagođava.

5.Godišnji program rada obuhvaća detaljne ciljeve i očekivane rezultate, uključujući pokazatelje uspješnosti. Sadržava i opis aktivnosti koje je potrebno financirati i podatke o financijskim i ljudskim resursima dodijeljenima svakoj aktivnosti, u skladu s načelima pripreme proračuna i upravljanja na temelju aktivnosti. Godišnji program rada usklađen je s višegodišnjim programom rada iz stavka 7. U njemu su jasno navedene zadaće koje su dodane, izmijenjene ili izbrisane u odnosu na prethodnu financijsku godinu.

6.Upravni odbor mijenja doneseni godišnji program rada ako je ENISA-i dodijeljena nova zadaća. Sve znatne izmjene godišnjeg programa rada donose se po istom postupku kao i početni godišnji program rada. Upravni odbor može ovlast za donošenje manjih izmjena godišnjeg programa rada delegirati izvršnom direktoru.

7.U višegodišnjem programu rada utvrđuje se opći strateški program, među ostalim i ciljevi, očekivani rezultati i pokazatelji uspješnosti. Sadržava i programiranje resursa, uključujući višegodišnji proračun i osoblje.

8.Programiranje resursa ažurira se svake godine. Strateški program ažurira se prema potrebi, a posebno kada je to nužno kako bi se uzeo u obzir ishod evaluacije iz članka 120.

POGLAVLJE IV. 
Donošenje i struktura proračuna ENISA-e

Članak 45.
Donošenje proračuna ENISA-e

1.Izvršni direktor svake godine izrađuje privremeni nacrt procjene prihoda i rashoda ENISA-e za sljedeću financijsku godinu, uključujući plan radnih mjesta, te ga šalje Upravnom odboru.

2.Privremeni nacrt procjene temelji se na ciljevima i očekivanim rezultatima iz godišnjeg programa rada i uzima u obzir financijska sredstva potrebna za postizanje tih ciljeva i očekivanih rezultata, u skladu s načelom dobrog financijskog upravljanja i uspješnosti.

3.Upravni odbor na temelju privremenog nacrta procjene donosi nacrt procjene prihoda i rashoda ENISA-e za sljedeću financijsku godinu i šalje ga Komisiji do 31. siječnja svake godine.

4.Komisija proračunskom tijelu šalje nacrt procjene zajedno s nacrtom općeg proračuna Unije. Nacrt procjene dostavlja se i ENISA-i.

5.Komisija na temelju nacrta procjene unosi u nacrt općeg proračuna Unije procjene koje smatra potrebnima za plan radnih mjesta i iznos doprinosa koji će se naplatiti iz općeg proračuna, koje onda podnosi proračunskom tijelu u skladu s člancima 313. i 314. UFEU-a.

6.Proračunsko tijelo odobrava odobrena sredstva za doprinos ENISA-i iz općeg proračuna Unije.

7.Proračunsko tijelo donosi plan radnih mjesta ENISA-e.

8.Upravni odbor donosi proračun ENISA-e. Proračun postaje konačan nakon konačnog donošenja općeg proračuna Unije i prema potrebi se prilagođava na odgovarajući način.

9.Na svaki projekt povezan s nekretninama koji bi mogao imati znatan utjecaj na proračun ENISA-e primjenjuje se Delegirana uredba (EU) 2019/715.

Članak 46.
Struktura proračuna ENISA-e

1.Procjene svih prihoda i rashoda ENISA-e pripremaju se svake financijske godine i prikazuju u proračunu ENISA-e. Financijska godina odgovara kalendarskoj godini.

2.Proračun ENISA-e mora biti uravnotežen u pogledu prihoda i rashoda.

3.Ne dovodeći u pitanje druge izvore, prihodi ENISA-e uključuju:

(a)doprinos Unije iz općeg proračuna Unije;

(b)namjenske prihode za određene stavke rashoda u skladu s financijskim pravilima iz članka 50.;

(c)financijska sredstva Unije u obliku sporazuma o doprinosu ili ad hoc bespovratnih sredstava u skladu s financijskim pravilima ENISA-e iz članka 50. i u skladu s odredbama relevantnih instrumenata kojima se podupiru politike Unije;

(d)naknade koje se naplaćuju podnositeljima zahtjeva za aktivnosti povezane sa sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti iz članka 22. stavka 1.;

(e)naknade koje se naplaćuju tijelima za ocjenjivanje sukladnosti za sudjelovanje i izdavanje europskih kibernetičkosigurnosnih certifikata u okviru europskog programa kibernetičkosigurnosne certifikacije iz članka 47. stavka 2.;

(f)naknade koje se naplaćuju javnim ili privatnim tijelima za alate za testiranje iz članka 47. stavka 3.;

(g)sve doprinose trećih zemalja koje sudjeluju u radu ENISA-e, kako je predviđeno u članku 70. stavku 4.;

(h)sve dobrovoljne doprinose država članica u novcu ili naravi.

4.Države članice koje daju dobrovoljne doprinose, kako je navedeno u stavku 3. točki (g), ne mogu na temelju toga zahtijevati nikakva posebna prava ili usluge.

5.Rashodi ENISA-e uključuju plaće osoblja, administrativne i infrastrukturne troškove te troškove poslovanja.

Članak 47.
Naknade

1.Za svaku aktivnost koja se odnosi na sustave europskih potvrda iz članka 22. stavka 1. podnositeljima zahtjeva u smislu članka 21. stavka 3. ili ovlaštenim izdavateljima potvrda naplaćuju se sljedeće naknade kao doprinos pokrivanju ukupnih troškova aktivnosti koje provodi ENISA:

(a)za izdavanje ovlaštenja nakon razmatranja zahtjeva iz članka 21. stavaka 3. i 4., uključujući provedbu evaluacija;

(b)za godišnje održavanje ovlaštenja;

(c)za obnovu ovlaštenja za izdavatelje osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uključujući provedbu evaluacija.

2.Kad je riječ o certifikaciji, tijelima za ocjenjivanje sukladnosti se za održavanje europskih programa kibernetičkosigurnosne certifikacije u okviru kojih se izdaju europski kibernetičkosigurnosni certifikati naplaćuju sljedeće naknade:

(a)godišnja naknada za sudjelovanje u europskom programu kibernetičkosigurnosne certifikacije;

(b)naknada za izdavanje europskih kibernetičkosigurnosnih certifikata u okviru europskih programa kibernetičkosigurnosne certifikacije.

Naknade iz točke (b) naplaćuju se kad tijelo za ocjenjivanje sukladnosti ENISA-i podnese europske kibernetičkosigurnosne certifikate radi objave na njezinim internetskim stranicama u skladu s člankom 79.

3.Sva javna i privatna tijela plaćaju naknadu za korištenje alata za testiranje iz članka 15. stavka 1.

4.Naknade se iskazuju i plaćaju u eurima.

5.Komisija donosi provedbene akte u kojima se utvrđuju detaljna pravila o određivanju naknada koje ENISA naplaćuje te se posebno navode procjene troškova koji mogu nastati za svaku aktivnost za koju se naplaćuju naknade u skladu sa stavcima 1., 2. i 3. i iznosi pojedinačnih naknada koji se naplaćuju, kao i načini i uvjeti za njihovo plaćanje. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2. Komisija se pri izradi nacrta tih provedbenih akata savjetuje s ENISA-om.

6.Naknade utvrđene provedbenim aktima iz stavka 5. određuju se unaprijed kako bi bile razmjerne procijenjenim troškovima provedenih aktivnosti ili pruženih usluga, kako je utvrđeno na troškovno učinkovit način, i moraju biti dostatne za pokrivanje tih troškova. Svi rashodi ENISA-e pripisani osoblju uključenom u aktivnosti iz stavaka 1., 2. i 3. odražavaju se u troškovima koje treba pokriti. Iznos naknada utvrđuje se tako da se izbjegne manjak ili znatna akumulacija viška u proračunu ENISA-e. Proračunski viškovi ostvareni naknadama prenose se kako bi se financirale aktivnosti ENISA-e, posebno buduće aktivnosti povezane s naknadama ili kako bi se pokrili gubici. Ako se zbog aktivnosti za koje se plaćaju naknade ponavlja znatan pozitivni proračunski saldo ili zbog pružanja usluga za koje se plaćaju naknade nastaje znatan negativni saldo, Komisija mijenja provedbene akte iz stavka 5. kako bi revidirala metodu izračuna naknada u skladu s člankom 118. stavkom 2.

Iznos naknada za zadaće iz stavka 1. utvrđuje se na razini kojom se osigurava da prihodi od tih naknada u dovoljnoj mjeri doprinose pokrivanju troškova aktivnosti razvoja i održavanja sustava osobnih europskih potvrda, obrade zahtjeva te izdavanja i obnavljanja ovlaštenja, kao i potrebne aktivnosti nadzora koje provodi ENISA.

Iznos naknada za zadaće iz stavka 2. utvrđuje se na razini kojom se osigurava da prihodi od tih naknada u dovoljnoj mjeri doprinose pokrivanju ukupnih troškova aktivnosti održavanja europskih programa kibernetičkosigurnosne certifikacije utvrđenih u članku 75.

Iznos naknada za zadaće iz stavka 3. utvrđuje se na razini kojom se osigurava da prihodi od tih naknada u dovoljnoj mjeri doprinose pokrivanju troškova aktivnosti povezanih sa stavljanjem na raspolaganje alata za testiranje kako je utvrđeno u članku 15. stavku 1.

7.ENISA podnosi izvješće o naplaćenim naknadama i njihovu utjecaju na njezin proračun u okviru postupka financijskog izvještavanja utvrđenog u članku 50.

8.ENISA uspostavlja skup pokazatelja za mjerenje radnog opterećenja, djelotvornosti i učinkovitosti u vezi s aktivnostima koje se financiraju naknadama. ENISA prilagođava svoje planiranje potrebnog osoblja i upravljanje resursima povezanima s naknadama kako bi mogla na odgovarajući način odgovoriti na takvu potražnju i sve fluktuacije prihoda od naknada. ENISA izvješće dostavlja Komisiji, koja ga može koristiti za potrebe evaluacije iz članka 120. stavka 1.

Članak 48.
Izvršenje proračuna ENISA-e

1.Izvršni direktor odgovoran je za izvršenje proračuna ENISA-e i djeluje kao dužnosnik za ovjeravanje.

2.Unutarnji revizor Komisije ima iste ovlasti u odnosu na ENISA-u kao i u odnosu na službe Komisije.

3.Izvršni direktor svake godine proračunskom tijelu šalje sve informacije koje su relevantne za nalaze postupaka evaluacije.

Članak 49.
Financijsko izvještavanje i razrješnica

1.Računovodstveni službenik ENISA-e dostavlja privremenu računovodstvenu dokumentaciju za financijsku godinu (godina N) računovodstvenom službeniku Komisije i Revizorskom sudu do 1. ožujka sljedeće financijske godine (godina N + 1).

2.Računovodstveni službenik ENISA-e mora računovodstvenom službeniku Komisije, na način i u formatu koje ovaj zatraži, do 1. ožujka godine N + 1 dostaviti i propisane računovodstvene informacije za potrebe konsolidacije.

3.ENISA do 31. ožujka godine N + 1 Europskom parlamentu, Vijeću, Komisiji i Revizorskom sudu podnosi izvješće o proračunskom i financijskom upravljanju za godinu N.

4.Nakon primitka primjedbi Revizorskog suda o privremenoj računovodstvenoj dokumentaciji ENISA-e za godinu N računovodstveni službenik ENISA-e na vlastitu odgovornost sastavlja završnu računovodstvenu dokumentaciju ENISA-e. Izvršni direktor dostavlja je Upravnom odboru radi mišljenja.

5.Upravni odbor daje mišljenje o završnoj računovodstvenoj dokumentaciji ENISA-e za godinu N.

6.Računovodstveni službenik ENISA-e do 1. srpnja godine N+1 šalje završnu računovodstvenu dokumentaciju za godinu N Europskom parlamentu, Vijeću, Komisiji i Revizorskom sudu zajedno s mišljenjem Upravnog odbora.

7.Poveznica na internetske stranice koje sadržavaju završnu računovodstvenu dokumentaciju ENISA-e objavljuje se u Službenom listu Europske unije do 15. studenog godine N + 1.

8.Izvršni direktor do 30. rujna godine N + 1 šalje Revizorskom sudu odgovor na primjedbe iz godišnjeg izvještaja. Izvršni direktor taj odgovor također šalje Upravnom odboru i Komisiji.

9.Izvršni direktor podnosi Europskom parlamentu na njegov zahtjev sve informacije potrebne za nesmetanu primjenu postupka davanja razrješnice za godinu N, u skladu s člankom 267. stavkom 3. Uredbe (EU, Euratom) 2024/2509 Europskog parlamenta i Vijeća.

10.Europski parlament, na temelju preporuke Vijeća koje odlučuje kvalificiranom većinom, prije 15. svibnja godine N + 2 izvršnom direktoru daje razrješnicu u odnosu na izvršenje proračuna za godinu N.

Članak 50.
Financijska pravila

1.Financijska pravila koja se primjenjuju na ENISA-u donosi Upravni odbor nakon savjetovanja s Komisijom. Ona ne odstupaju od Delegirane uredbe (EU) 2019/715, osim ako je to odstupanje posebno potrebno za rad ENISA-e i ako je Komisija prethodno dala suglasnost.

2.ENISA utvrđuje i izvršava svoj proračun u skladu sa svojim financijskim pravilima i Uredbom (EU, Euratom) 2024/2509.

Članak 51.
Borba protiv prijevara

1.Radi suzbijanja prijevara, korupcije i drugih nezakonitih aktivnosti odredbe Uredbe (EU, Euratom) br. 883/2013 Europskog parlamenta i Vijeća 75 primjenjuju se bez ograničenja na aktivnosti ENISA-e.

2.ENISA pristupa Međuinstitucionalnom sporazumu od 25. svibnja 1999. između Europskog parlamenta, Vijeća Europske unije i Komisije Europskih zajednica u vezi s internim istragama koje provodi Europski ured za borbu protiv prijevara (OLAF) 76 u roku od šest mjeseci od [Ured za publikacije: unijeti točan datum kako je naveden u članku 122.] te donosi odgovarajuće odredbe koje se primjenjuju na njezino osoblje na temelju predloška iz Priloga tom sporazumu.

3.Revizorski sud ovlašten je provoditi reviziju, na temelju dokumenata i provjera na terenu, svih korisnika bespovratnih sredstava, ugovaratelja i podugovaratelja koji su primili sredstva Unije od ENISA-e.

4.OLAF može provoditi istrage, uključujući provjere na terenu i inspekcije, radi utvrđivanja je li došlo do prijevare, korupcije ili bilo koje druge nezakonite aktivnosti koje utječu na financijske interese Unije u vezi s bespovratnim sredstvima ili ugovorom koji je financirala ENISA, u skladu s odredbama i postupcima utvrđenima u Uredbi (EU, Euratom) br. 883/2013 i Uredbi Vijeća (Euratom, EZ) br. 2185/96 77 .

5.Ne dovodeći u pitanje stavke od 1. do 4., radni sporazumi s trećim zemljama i međunarodnim organizacijama, ugovori, sporazumi o bespovratnim sredstvima i odluke ENISA-e o bespovratnim sredstvima sadržavaju odredbe kojima se Revizorskom sudu i OLAF-u daje izričita ovlast za provedbu tih revizija i istraga u skladu s njihovim nadležnostima.

6.U skladu s Uredbom Vijeća (EU) 2017/1939, EPPO može provoditi istrage i kazneni progon za prijevare i druge nezakonite aktivnosti kojima se šteti financijskim interesima Unije, kako je predviđeno u Direktivi (EU) 2017/1371 Europskog parlamenta i Vijeća 78 .

Članak 52.
Izjava o interesu

1.Članovi Upravnog odbora, izvršni direktor, zamjenik izvršnog direktora i službenici koje su države članice privremeno uputile daju izjavu o obvezama i izjavu o nepostojanju ili postojanju bilo kakvog izravnog ili neizravnog interesa za koji bi se moglo smatrati da dovodi u pitanje njihovu neovisnost. Izjave su točne i potpune, daju se svake godine u pisanom obliku i ažuriraju se prema potrebi.

2.Članovi Upravnog odbora, izvršni direktor, zamjenik izvršnog direktora i vanjski stručnjaci koji sudjeluju u ad hoc radnim skupinama daju, najkasnije na početku svakog sastanka, točnu i potpunu izjavu o svim interesima za koje bi se moglo smatrati da dovode u pitanje njihovu neovisnost u pogledu točaka dnevnog reda i suzdržavaju se od sudjelovanja u raspravi i glasanja o tim točkama.

3.ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za pravila o izjavama o interesima iz stavaka 1. i 2.

Članak 53.
Transparentnost

1.ENISA obavlja svoje aktivnosti uz visok stupanj transparentnosti i u skladu s člankom 55.

2.ENISA osigurava da javnost i sve zainteresirane strane dobiju odgovarajuće, objektivne, pouzdane i lako dostupne informacije, posebno u pogledu rezultata njezina rada. Javno obznanjuje i izjave o interesima dane u skladu s člankom 52.

3.Upravni odbor na prijedlog izvršnog direktora može zainteresiranim stranama odobriti da u svojstvu promatrača sudjeluju u određenim aktivnostima ENISA-e.

4.ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za provedbu pravila o transparentnosti iz stavaka 1. i 2.

Članak 54.
Povjerljivost unutar ENISA-e

1.Ne dovodeći u pitanje Članak 55., ENISA trećim stranama ne otkriva informacije koje obrađuje ili prima, a za koje je podnesen opravdan zahtjev da s njima postupa kao s povjerljivim informacijama.

2.Članovi Upravnog odbora, izvršni direktor, zamjenik izvršnog direktora, članovi Savjetodavne skupine ENISA-e, vanjski stručnjaci koji sudjeluju u radu ad hoc radnih skupina i članovi osoblja ENISA-e, uključujući službenike koje privremeno upućuju države članice, poštuju zahtjeve u pogledu povjerljivosti iz članka 339. UFEU-a čak i nakon prestanka njihovih dužnosti.

3.ENISA u svojem unutarnjem pravilniku o radu utvrđuje praktična rješenja za provedbu pravila o povjerljivosti iz stavaka 1. i 2.

Članak 55.
Pristup dokumentima

1.Na dokumente koje posjeduje ENISA primjenjuje se Uredba (EZ) br. 1049/2001.

2.Upravni odbor donosi pravila za provedbu Uredbe (EZ) br. 1049/2001.

3.Odluke koje ENISA donosi u skladu s člankom 8. Uredbe (EZ) br. 1049/2001 mogu biti predmetom pritužbe Europskom ombudsmanu u skladu s člankom 228. UFEU-a ili tužbe pred Sudom Europske unije u skladu s člankom 263. UFEU-a.

POGLAVLJE V. 
Osoblje i časnici za vezu

Članak 56.
Opće odredbe

1.Na osoblje ENISA-e primjenjuju se Pravilnik o osoblju za dužnosnike i Uvjeti zaposlenja ostalih službenika te pravila koja su na temelju zajedničkog dogovora donijele institucije Unije radi primjene Pravilnika o osoblju za dužnosnike i Uvjeta zaposlenja ostalih službenika.

2.Osoblje ENISA-e, časnici za vezu i nacionalni stručnjaci upućeni u ENISA-u prolaze odgovarajući postupak sigurnosne provjere.

Članak 57.
Privilegije i povlastice

Na ENISA-u i njezino osoblje primjenjuje se Protokol br. 7 o povlasticama i imunitetima Europske unije, koji je priložen UFEU-u.

Članak 58.
Časnici za vezu

1.Svaka država članica u skladu s člankom 59. stavkom 2. iz nacionalnog nadležnog tijela imenovanog u skladu s člankom 8. stavkom 1. Direktive (EU) 2022/2555 imenuje najmanje dva časnika za vezu kao nacionalne stručnjake upućene u ENISA-u koji će raditi u njezinu sjedištu ili lokalnom uredu. Komisija također može imenovati časnika za vezu.

2.Časnici za vezu doprinose izvršavanju zadaća ENISA-e, među ostalim olakšavanjem operativne suradnje i razmjene informacija kako je utvrđeno u članku 11. Časnici za vezu podupiru ENISA-u i u širenju informacija o njezinim aktivnostima, nalazima i preporukama za relevantne dionike u cijeloj Uniji. Ujedno djeluju kao nacionalne kontaktne točke za pitanja iz svoje države članice i koja se odnose na njihove države članice, bilo izravnim odgovaranjem na ta pitanja ili povezivanjem s državnom upravom svoje države članice.

3.Časnici za vezu koje su imenovale njihove države članice imaju pravo od svojih država članica zatražiti i dobiti sve relevantne informacije, kako je propisano ovom Uredbom, uz potpuno poštovanje nacionalnog prava i praksi države članice, osobito kad je riječ o zaštiti podataka i povjerljivosti.

Članak 59.
Upućeni nacionalni stručnjaci i ostalo osoblje

1.ENISA može koristiti upućene nacionalne stručnjake ili druge članove osoblja koji nisu njezini zaposlenici u bilo kojem području svojeg rada. Na to se osoblje ne primjenjuju Pravilnik o osoblju i Uvjeti zaposlenja.

2.Upravni odbor donosi odluku o utvrđivanju pravila za upućivanje nacionalnih stručnjaka u ENISA-u, uključujući časnike za vezu.

POGLAVLJE VI. 
OPĆE ODREDBE O ENISA-I

Članak 60.
Pravni status ENISA-e

1.ENISA je tijelo Unije koje ima pravnu osobnost.

2.ENISA u svakoj državi članici ima najširu pravnu sposobnost koja se pravnim osobama priznaje nacionalnim pravom. ENISA osobito može stjecati pokretnu i nepokretnu imovinu ili njome raspolagati te biti stranka u sudskom postupku.

3.ENISA-u zastupa izvršni direktor.

Članak 61.
Sjedište

Sjedište ENISA-e je u Ateni u Grčkoj.

Članak 62.
Sporazum o sjedištu i uvjeti rada

1.Potrebni dogovori o smještaju ENISA-e u državi članici domaćinu i objektima koje ta država članica daje na raspolaganje, zajedno s posebnim pravilima koja se u državi članici domaćinu primjenjuju na izvršnog direktora, članove Upravnog odbora, osoblje ENISA-e i članove njihovih obitelji, utvrđuju se sporazumom o sjedištu između ENISA-e i države članice domaćina, koji se sklapa nakon dobivanja odobrenja Upravnog odbora.

2.Država članica domaćin ENISA-e jamči najbolje moguće uvjete za osiguravanje pravilnog funkcioniranja ENISA-e vodeći računa o dostupnosti lokacije, postojanju odgovarajućih obrazovnih objekata za djecu članova osoblja, odgovarajućem pristupu tržištu rada te socijalnoj sigurnosti i zdravstvenoj zaštiti za djecu i supružnike članova osoblja.

Članak 63.
Upravna kontrola

Rad ENISA-e nadzire Europski ombudsman u skladu s člankom 228. UFEU-a.

Članak 64.
Odgovornost ENISA-e

1.Ugovorna odgovornost ENISA-e uređena je pravom koje se primjenjuje na dotični ugovor.

2.Sud Europske unije nadležan je za donošenje presuda na temelju bilo koje odredbe o arbitraži sadržane u ugovoru koji je sklopila ENISA.

3.U slučaju izvanugovorne odgovornosti ENISA je dužna nadoknaditi svaku štetu koju ENISA ili njezini službenici prouzroče pri obavljanju svojih dužnosti, u skladu s općim načelima koja su zajednička zakonodavstvima država članica.

4.Sud Europske unije nadležan je za sporove u vezi s naknadom štete iz stavka 3.

5.Osobna odgovornost osoblja ENISA-e prema ENISA-i uređuje se odredbama iz Pravilnika o osoblju ili Uvjeta zaposlenja koji se na njih primjenjuju.

Članak 65.
Pravila o jezicima

1.Uredba Vijeća br. 1 79 primjenjuje se na ENISA-u. Države članice i druga tijela koja su imenovale države članice mogu se obratiti ENISA-i i dobiti odgovor na službenom jeziku institucija Unije po svojem izboru.

2.Prevoditeljske i sve druge jezične usluge koje su potrebne za funkcioniranje ENISA-e, osim usmenog prevođenja, osigurava Prevoditeljski centar za tijela Europske unije.

Članak 66.
Zaštita osobnih podataka

1.ENISA obrađuje osobne podatke u skladu s Uredbom (EU) 2018/1725.

2.Upravni odbor donosi provedbena pravila iz članka 45. stavka 3. Uredbe (EU) 2018/1725. Upravni odbor može donijeti dodatne mjere koje su potrebne kako bi ENISA primjenjivala Uredbu (EU) 2018/1725.

Članak 67.
Sigurnosna pravila za zaštitu osjetljivih neklasificiranih podataka i klasificiranih podataka

ENISA u dogovoru s Komisijom donosi sigurnosna pravila primjenjujući sigurnosna načela iz sigurnosnih pravila Komisije za zaštitu osjetljivih neklasificiranih podataka i klasificiranih podataka Europske unije, kako je utvrđeno u odlukama (EU, Euratom) 2015/443 80 i 2015/444 81 . Ta sigurnosna pravila uključuju odredbe o razmjeni, obradi i pohrani takvih podataka.

Članak 68.
Suradnja sa subjektima Unije i nacionalnim tijelima

1.Kako bi se osigurala dosljednost, stvorile sinergije i rješavala pitanja od zajedničkog interesa, ENISA u vezi s pitanjima kibernetičke sigurnosti surađuje s CERT-EU-om i relevantnim subjektima Unije, uključujući Europol, Europski stručni centar za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti osnovan na temelju Uredbe (EU) 2021/887 i Europski odbor za zaštitu podataka osnovan na temelju članka 68. stavka 1. Uredbe (EU) 2016/679.

2.Suradnja iz stavka 1. može se provoditi na sljedeći način:

(a)razmjenom znanja i iskustava te primjera najbolje prakse;

(b)pružanjem savjeta i izdavanjem smjernica o pitanjima koja se odnose na kibernetičku sigurnost;

(c)uspostavom praktičnih mehanizama za izvršenje određenih zadaća, nakon savjetovanja s Komisijom.

3.ENISA sudjeluje u strukturiranoj suradnji s CERT-EU-om, posebno na pitanjima koja se odnose na izgradnju kapaciteta, operativnu suradnju i dugoročne strateške analize kibernetičkih prijetnji.

4.ENISA surađuje i razmjenjuje informacije s relevantnim tijelima za nadzor tržišta i nadzornim tijelima imenovanima na temelju zakonodavstva Unije u području kibernetičke sigurnosti, uključujući Uredbu (EU) 2024/2847.

Članak 69.
Suradnja s dionicima

1.Ako je to potrebno za postizanje ciljeva ove Uredbe, ENISA surađuje s relevantnim dionicima, kao što su sektor kibernetičke sigurnosti, sektor IKT-a, MSP-ovi, subjekti koji posluju u sektorima iz priloga I. i II. Direktivi (EU) 2022/2555, proizvođači, uvoznici ili distributeri proizvoda s digitalnim elementima u smislu Uredbe (EU) 2024/2847, tijela za ocjenjivanje sukladnosti prijavljena na temelju Europskog okvira za kibernetičkosigurnosnu certifikaciju i Uredbe (EU) 2024/2847, subjekti koji posluju u području sredstava elektroničke identifikacije, skupine potrošača i akademski stručnjaci za kibernetičku sigurnost. U tu svrhu ENISA može uspostaviti javno-privatna partnerstva.

2.ENISA u dogovoru s Komisijom podupire suradnju među prijavljenim tijelima za ocjenjivanje sukladnosti u skladu s člankom 93. Konkretno, može osnovati skupinu prijavljenih tijela za ocjenjivanje sukladnosti radi razmjene primjera najbolje prakse i stvaranja sinergija s drugim relevantnim propisima Unije, posebno s Uredbom (EU) 2024/2847.

Članak 70.
Suradnja s trećim zemljama i međunarodnim organizacijama

1.ENISA, u mjeri u kojoj je to potrebno za postizanje ciljeva ove Uredbe, može surađivati s nadležnim tijelima trećih zemalja i/ili međunarodnim organizacijama, u skladu s prioritetima Unije. U tu svrhu ENISA može, uz prethodno odobrenje Komisije, utvrditi radne aranžmane s tijelima trećih zemalja i međunarodnim organizacijama. Tim se radnim aranžmanima ne smiju stvoriti pravne obveze za Uniju i njezine države članice.

2.Upravni odbor donosi strategiju za odnose s trećim zemljama i međunarodnim organizacijama u pogledu pitanja za koja je ENISA nadležna i u skladu s prioritetima iz stavka 1. Komisija osigurava da ENISA djeluje u okviru svojeg mandata i postojećeg institucijskog okvira sklapanjem odgovarajućih radnih aranžmana s izvršnim direktorom ENISA-e.

3.Kako bi poduprla suradnju s trećim zemljama, posebno zemljama kandidatkinjama za pristupanje Uniji, ENISA može staviti na raspolaganje svoje stručno znanje u području izgradnje kapaciteta, posebno u sljedećim područjima:

(a)procjena razine zrelosti kibernetičkosigurnosnih kapaciteta i resursa;

(b)povećanje i poboljšanje radne snage u području kibernetičke sigurnosti, među ostalim promicanjem Europskog okvira za kibernetičkosigurnosnu certifikaciju i sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti te organiziranjem aktivnosti učenja i osposobljavanja;

(c)podupiranje planiranja i provedbe kibernetičkosigurnosnih vježbi.

4.ENISA je otvorena za to da u njezinu radu sudjeluju treće zemlje koje su u tu svrhu s Unijom sklopile sporazume. U skladu s relevantnim odredbama sporazuma sklopljenih između trećih zemalja i Unije utvrđuju se, uz prethodno odobrenje Komisije, radni aranžmani kojima se posebno određuju priroda, opseg i način sudjelovanja tih trećih zemalja u radu ENISA-e i koji sadržavaju odredbe o sudjelovanju u inicijativama koje poduzima ENISA te o financijskim doprinosima i osoblju. Kad je riječ o pitanjima koja se odnose na osoblje, ti radni aranžmani u svakom slučaju moraju biti u skladu s Pravilnikom o osoblju i Uvjetima zaposlenja.

5.ENISA redovito izvješćuje Vijeće i Komisiju o provedbi radnih aranžmana iz stavaka 1. i 4.

GLAVA III.

EUROPSKI OKVIR ZA KIBERNETIČKOSIGURNOSNU CERTIFIKACIJU

POGLAVLJE I. 
Ciljevi, područje primjene i postupci

Članak 71.
Ciljevi i područje primjene Europskog okvira za kibernetičkosigurnosnu certifikaciju

1.Europski okvir za kibernetičkosigurnosnu certifikaciju uspostavlja se radi stvaranja jedinstvenog digitalnog tržišta za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i subjekte. U tu svrhu njime se povećava kibernetička sigurnost u Uniji i omogućuje usklađen pristup europskim programima kibernetičkosigurnosne certifikacije, a certifikacija se iskorištava za olakšavanje sukladnosti s primjenjivim propisima Unije.

2.Europski okvir za kibernetičkosigurnosnu certifikaciju je mehanizam za uspostavu europskih programa kibernetičkosigurnosne certifikacije u sklopu kojeg se potvrđuje:

(a)da IKT proizvodi, IKT usluge i IKT procesi koji su evaluirani u skladu s takvim programima ispunjavaju utvrđene sigurnosne zahtjeve za potrebe zaštite dostupnosti, autentičnosti, cjelovitosti i povjerljivosti pohranjenih, prenesenih ili obrađenih podataka ili funkcija ili usluga koje ti proizvodi, usluge i procesi pružaju ili kojima se pomoću njih može pristupiti tijekom njihova cijelog životnog ciklusa;

(b)da upravljane sigurnosne usluge koje su evaluirane u skladu s takvim programima ispunjavaju utvrđene sigurnosne zahtjeve za potrebe zaštite dostupnosti, autentičnost, cjelovitosti i povjerljivosti podataka kojima se pristupa ili koji se obrađuju, pohranjuju ili prenose u vezi s pružanjem tih usluga te da te usluge na potrebnoj razini kompetentnosti, stručnosti i iskustva kontinuirano pruža osoblje s dostatnom i odgovarajućom razinom relevantnog tehničkog znanja i profesionalnog integriteta;

(c)da stanje kibernetičke sigurnosti subjekta koji je evaluiran u skladu s takvim programima ispunjava utvrđene kibernetičkosigurnosne zahtjeve.

3.Europska kibernetičkosigurnosna certifikacija je dobrovoljna, osim ako je u Unijinom ili nacionalnom pravu navedeno drukčije.

4.Europski kibernetičkosigurnosni certifikat i EU izjava o sukladnosti izdani na temelju Europskog okvira za kibernetičkosigurnosnu certifikaciju automatski se priznaju u svim državama članicama.

Članak 72.
Javno informiranje i savjetovanje

1.Komisija najmanje jedanput godišnje uz potporu ENISA-e organizira Europsku skupštinu o kibernetičkosigurnosnoj certifikaciji, na koju poziva članove ECCG-a i druge relevantne stručnjake iz država članica, relevantne stručnjake iz subjekata Unije i relevantne dionike radi rasprave o strateškim prioritetima za usklađivanje u području kibernetičkosigurnosne certifikacije.

2.Komisija održava i redovito ažurira namjenske internetske stranice s informacijama o sljedećim aspektima:

(a)europskim programima kibernetičkosigurnosne certifikacije za koje je podnesen zahtjev za razvoj u skladu s člankom 73.;

(b)strateškim prioritetima za usklađivanje IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga, stanja kibernetičke sigurnosti subjekata ili sigurnosnih zahtjeva iz propisa Unije, uključujući moguća područja za koja bi se mogao zatražiti europski program kibernetičkosigurnosne certifikacije.

3.Komisija na internetskim stranicama iz stavka 2. ovog članka objavljuje informacije o svojem zahtjevu ENISA-i za izradu prijedloga programa iz članka 73. i svojoj odluci o prihvaćanju, odbijanju ili obustavi prijedloga programa koji je ENISA dostavila u skladu s člankom 74. stavkom 7.

4.Tijekom ENISA-ine izrade prijedloga programa certifikacije u skladu s člankom 74. Europski parlament i Vijeće mogu od Komisije, u njezinu svojstvu predsjedatelja ECCG-a, i ENISA-e zatražiti da dostave relevantne informacije o nacrtu prijedloga programa certifikacije. Na zahtjev Europskog parlamenta ili Vijeća ENISA može, u dogovoru s Komisijom i ne dovodeći u pitanje članak 54., Europskom parlamentu i Vijeću na raspolaganje staviti relevantne dijelove nacrta prijedloga programa certifikacije na način primjeren potrebnoj razini povjerljivosti i, prema potrebi, na ograničen način.

5.Europski parlament i Vijeće mogu pozvati Komisiju i ENISA-u na raspravu o pitanjima koja se odnose na provedbu europskih programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata.

Članak 73.
Zahtjevi za europski program kibernetičkosigurnosne certifikacije

1.Komisija može zatražiti od ENISA-e da izradi prijedlog europskog programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata.

2.U opravdanim slučajevima ECCG može predložiti Komisiji da podnese zahtjev iz stavka 1.

3.U zahtjevu iz stavka 1. detaljno se navode svrha, opseg i načini ispunjavanja relevantnih sigurnosnih ciljeva i elemenata utvrđenih u člancima 80. i 81. U zahtjevu se navodi i plan izrade prijedloga europskog programa kibernetičkosigurnosne certifikacije i relevantnih tehničkih specifikacija na koje će se u programu upućivati ili koje će se u njemu definirati.

4.Pri sastavljanju zahtjeva iz stavka 1. Komisija se na odgovarajući način savjetuje s ENISA-om i ECCG-om te uzima u obzir stajališta svih relevantnih dionika i drugih subjekata Unije, uključujući, prema potrebi, one koji su relevantni na temelju propisa Unije prema kojima se pojedinim europskim programom kibernetičkosigurnosne certifikacije dokazuje sukladnost i stvara pretpostavka sukladnosti.

Članak 74.
Izrada i donošenje europskih programa kibernetičkosigurnosne certifikacije

1.Najkasnije 12 mjeseci nakon primitka zahtjeva Komisije u skladu s člankom 73., osim ako je u zahtjevu navedeno drukčije, ENISA izrađuje prijedlog europskog programa kibernetičkosigurnosne certifikacije koji ispunjava zahtjeve utvrđene u člancima 80. i 81.

2.Za izradu svakog prijedloga programa ENISA u skladu s člankom 32. stavkom 6. osniva ad hoc radnu skupinu koja će joj pružati stručne savjete.

3.Pri izradi prijedloga programa ENISA blisko surađuje s ECCG-om. ECCG ENISA-i pruža pomoć i stručne savjete za izradu prijedloga programa i, prema potrebi, popratnih tehničkih specifikacija.

4.Pri izradi prijedloga programa, uključujući, prema potrebi, popratne tehničke specifikacije, ENISA se pravodobno savjetuje s dionicima u okviru formalnog, otvorenog, transparentnog i uključivog postupka savjetovanja. ENISA također surađuje s relevantnim javnim tijelima u državama članicama i relevantnim subjektima Unije kako bi prikupila njihove stručne savjete za izradu prijedloga programa i, prema potrebi, popratnih tehničkih specifikacija. Pri prosljeđivanju prijedloga programa certifikacije Komisiji u skladu sa stavkom 6. ENISA opisuje kako je postupila u skladu s ovim stavkom.

5.Prije nego što Komisiji dostavi prijedlog programa i, prema potrebi, popratne tehničke specifikacije, ENISA od članova ECCG-a zahtijeva da dostave pisana mišljenja o prijedlogu programa. Mišljenja se moraju dostaviti najkasnije 30 dana od datuma zahtjeva. ENISA u najvećoj mogućoj mjeri uzima u obzir mišljenja članova ECCG-a. ENISA Komisiji dostavlja prijedlog programa čak i ako joj mišljenja nisu dostavljena.

6.ENISA Komisiji dostavlja prijedlog programa certifikacije najkasnije 60 dana od datuma zahtjeva iz stavka 5.

7.Nakon zaprimanja prijedloga programa Komisija ocjenjuje odgovara li program zahtjevu podnesenom u skladu s člankom 73. Komisija u roku od 30 dana od datuma dostave tog prijedloga programa poduzima jedno od sljedećeg:

(a)prihvaća prijedlog programa;

(b)vraća prijedlog programa certifikacije ENISA-i na reviziju zajedno s obrazloženjem vraćanja i utvrđuje rok, ne dulji od 90 dana, u kojem ENISA mora dostaviti revidirani prijedlog programa;

(c)obustavlja prijedlog programa.

8.Ako Komisija ENISA-i vrati prijedlog programa na reviziju u skladu sa stavkom 7. točkom (b), stavci 4., 5. i 7. primjenjuju se u skladu s tim.

9.Komisija je na temelju prihvaćenog prijedloga programa koji je izradila ENISA ovlaštena za donošenje provedbenih akata kojima se uspostavlja europski program kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata koji ispunjava zahtjeve iz članaka 80. i 81. Taj se provedbeni akt donosi u skladu s postupkom ispitivanja iz članka 118. stavka 2.

10.Komisija može u provedbenim aktima iz stavka 9. ovog članka uputiti na tehničke specifikacije koje je ENISA izradila u skladu s člancima 18. i 77.

11.Komisija može u provedbenim aktima iz stavka 9. ovog članka odrediti uvjete za međunarodno priznavanje europskih kibernetičkosigurnosnih certifikata u skladu s člankom 87.

Članak 75.
Održavanje europskog programa kibernetičkosigurnosne certifikacije

1.U okviru svakog europskog programa kibernetičkosigurnosne certifikacije uspostavlja se strategija održavanja. U strategiji održavanja navode se očekivanja u odnosu na aktivnosti održavanja, posebno onih povezanih s normama ili tehničkim specifikacijama na koje se upućuje u pojedinom programu i s interakcijom s relevantnim dionicima.

2.ENISA u suradnji s Komisijom i uz potporu ECCG-a i njegove relevantne podskupine za održavanje osigurava održavanje europskih programa kibernetičkosigurnosne certifikacije, među ostalim s obzirom na moguće preispitivanje takvih programa koje provodi Komisija. ENISA surađuje i razmjenjuje informacije s relevantnim subjektima Unije i skupinama u pogledu aktivnosti održavanja.

3.ENISA može organizirati sudjelovanje privatnog sektora u održavanju programa u obliku ad hoc radne skupine u skladu sa strategijom održavanja iz stavka 1.

4.Aktivnosti održavanja europskih programa kibernetičkosigurnosne certifikacije obuhvaćaju sljedeće:

(a)izradu, ažuriranje i potvrđivanje tehničkih specifikacija i smjernica za potporu usklađenom i ujednačenom funkcioniranju programa;

(b)utvrđivanje normi ili tehničkih specifikacija koje su relevantne za program;

(c)interakciju i, prema potrebi, uspostavu veza s relevantnim dionicima, uključujući europske ili međunarodne organizacije za normizaciju, među ostalim radi davanja ili primanja tehničkih doprinosa;

(d)izdavanje preporuka Komisiji o potrebnim poboljšanjima i ažuriranjima programa, među ostalim s obzirom na moguće preispitivanje programa;

(e)razmjenu informacija o praktičnoj provedbi programâ među državama članicama;

(f)doprinose istorazinskom ocjenjivanju i mehanizmima za istorazinsko ocjenjivanje te analizama ishoda takvih ocjenjivanja kako bi se poboljšalo funkcioniranje programa i poduprlo njihovo moguće preispitivanje.

5.ECCG može izdati mišljenje o održavanju europskih programa kibernetičkosigurnosne certifikacije.

Članak 76.
Evaluacija, preispitivanje i povlačenje europskog programa kibernetičkosigurnosne certifikacije

1.Najmanje svake četiri godine nakon početka primjene pojedinog europskog programa kibernetičkosigurnosne certifikacije ENISA ocjenjuje njegov učinak i djelotvornost u suradnji s relevantnom podskupinom ECCG-a za održavanje i uzimajući u obzir povratne informacije dionika. ENISA provodi evaluaciju na temelju analize tržišta u skladu s člankom 8. stavkom 1.

2.Nakon evaluacije iz stavka 1. Komisija može preispitati ili povući provedbene akte o uspostavi europskog programa kibernetičkosigurnosne certifikacije u skladu s člankom 74. stavkom 9.

3.Pri preispitivanju ili povlačenju europskih programa kibernetičkosigurnosne certifikacije Komisija se savjetuje s ENISA-om, ECCG-om i njegovom relevantnom podskupinom za održavanje te uzima u obzir stajališta relevantnih dionika i drugih subjekata Unije.

4.ECCG može izdati mišljenje o preispitivanju ili povlačenju europskog programa kibernetičkosigurnosne certifikacije. Komisija to mišljenje uzima u obzir pri preispitivanju ili povlačenju europskog programa kibernetičkosigurnosne certifikacije.

Članak 77.
Tehničke specifikacije u europskim programima kibernetičkosigurnosne certifikacije

1.ENISA može izraditi tehničke specifikacije za budući europski program kibernetičkosigurnosne certifikacije ili kao potporu održavanju europskog programa kibernetičkosigurnosne certifikacije.

2.Tehničke specifikacije iz stavka 1. ovog članka izrađuju se pravodobno, uz potporu ECCG-a i njegovih podskupina za održavanje te, prema potrebi, odgovarajuće ad hoc radne skupine iz članka 75. stavka 3. U tu svrhu ENISA traži i doprinose relevantnih skupina dionika uzimajući u obzir strategiju održavanja iz članka 75. stavka 1.

3.Ako se u europskom programu kibernetičkosigurnosne certifikacije upućuje na tehničke specifikacije iz članka 74. stavka 10., te se tehničke specifikacije objavljuju na internetskim stranicama iz članka 79.

4.U propisno opravdanim slučajevima, posebno ako sadržavaju informacije koje bi mogle ugroziti sigurnost certificiranih IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata, tehničke specifikacije stavljaju se na raspolaganje samo onim dionicima na koje se odnose zahtjevi programa. Na takve tehničke specifikacije ne upućuje se u europskom programu kibernetičkosigurnosne certifikacije na način naveden u članku 74. stavku 10.

Članak 78. 
Olakšavanje sukladnosti s propisima Unije

1.Ako je tako predviđeno određenim pravnim aktom Unije, certifikatom izdanim u okviru pojedinog europskog programa kibernetičkosigurnosne certifikacije dokazuje se sukladnost i stvara pretpostavka sukladnosti s odgovarajućim zahtjevima utvrđenima u tom pravnom aktu.

2.Aktivnosti evaluacije u okviru europskog programa kibernetičkosigurnosne certifikacije moraju biti u skladu s odgovarajućim pravnim aktom Unije kojim se utvrđuju načini dokazivanja sukladnosti i pretpostavka sukladnosti. Ako takve aktivnosti evaluacije nisu utvrđene u odgovarajućem pravnom aktu Unije, utvrđuju se u okviru programa. Ocjenjivanje sukladnosti za certifikaciju kojom se stvara pretpostavka sukladnosti sa zahtjevima utvrđenima u propisima Unije provodi tijelo treće strane.

3.U nedostatku usklađenog zakonodavstva Unije i nacionalnim se pravom može propisati da se europski program kibernetičkosigurnosne certifikacije može koristiti za dokazivanje sukladnosti i utvrđivanje pretpostavke sukladnosti s konkretnim pravnim zahtjevima utvrđenima u nacionalnom pravu.

Članak 79.
Uvođenje europskih programa kibernetičkosigurnosne certifikacije, internetske stranice ENISA-e i objavljivanje certifikata

1.ENISA organizira aktivnosti za poticanje uvođenja donesenih europskih programa kibernetičkosigurnosne certifikacije, među ostalim održavanjem internetskih stranica iz stavka 2. ovog članka.

2.ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju javne informacije o:

(a)europskim programima kibernetičkosigurnosne certifikacije;

(b)naknadama za održavanje svakog europskog programa kibernetičkosigurnosne certifikacije;

(c)relevantnim tehničkim specifikacijama ENISA-e;

(d)europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti, uključujući informacije o certifikatima i izjavama koji više nisu valjani ili su suspendirani, povučeni ili istekli;

(e)relevantnim dodatnim informacijama o kibernetičkoj sigurnosti pruženima u skladu s člankom 84.;

(f)sažecima istorazinskih ocjenjivanja na temelju članka 89. stavka 7.;

(g)tehničkim specifikacijama na koje se upućuje u pojedinom europskom programu kibernetičkosigurnosne certifikacije u skladu s člankom 74. stavkom 10.

3.Kada je to primjenjivo, na internetskim stranicama iz stavka 2. navode se i oni nacionalni programi kibernetičkosigurnosne certifikacije koji su zamijenjeni europskim programom kibernetičkosigurnosne certifikacije.

POGLAVLJE II. 
Sadržaj europskih programa kibernetičkosigurnosne certifikacije

Članak 80.
Sigurnosni ciljevi europskih programa kibernetičkosigurnosne certifikacije

1.Europskim programom kibernetičkosigurnosne certifikacije nastoje se postići, ovisno o slučaju, sljedeći sigurnosni ciljevi:

(a)da se IKT proizvodi, IKT usluge, IKT procesi i upravljane sigurnosne usluge odlikuju integriranom i zadanom sigurnošću;

(b)zaštita pohranjenih, prenesenih ili na drugi način obrađenih podataka od slučajnog ili neovlaštenog pohranjivanja, obrade, pristupa ili otkrivanja odgovarajućim tehničkim sredstvima, uzimajući u obzir cijeli životni ciklus IKT proizvoda, IKT usluga ili IKT procesa;

(c)zaštita cjelovitosti pohranjenih, prenesenih ili na drugi način obrađenih osobnih ili drugih podataka, naredbi, programa i konfiguracija od bilo kakve manipulacije ili izmjene koju korisnik nije odobrio te prijavljivanje narušavanja te cjelovitosti, uzimajući u obzir cijeli životni ciklus IKT proizvoda, IKT usluga ili IKT procesa;

(d)zaštita od neovlaštenog pristupa u obliku odgovarajućih kontrolnih mehanizama, među kojima su sustavi za upravljanje autentifikacijom, identitetima ili pristupom, te izvješćivanje o mogućem neovlaštenom pristupu;

(e)utvrđivanje i dokumentiranje komponenti i ranjivosti, među ostalim, prema potrebi, sastavljanjem popisa softverskog materijala koji obuhvaća barem ovisnosti na najvišoj razini;

(f)davanje informacija o sigurnosti na temelju bilježenja i praćenja bitnih unutarnjih aktivnosti, među kojima su pristupanje podacima, uslugama ili funkcijama ili njihova izmjena, uz mehanizam za dobrovoljni izlazak iz sustava za korisnika;

(g)da se provjeri da IKT proizvodi, IKT usluge i IKT procesi ne sadržavaju poznate iskoristive ranjivosti;

(h)zaštita dostupnosti osnovnih i glavnih funkcija, među ostalim i nakon incidenta, među ostalim pomoću mjera otpornosti i ublažavanja u odnosu na napade uskraćivanjem usluge;

(i)u slučaju fizičkog ili tehničkog incidenta, svođenje na najmanju moguću mjeru nepovoljnog učinka na dostupnost usluga koje pružaju druge mreže i uređaji;

(j)redovito testiranje IKT proizvoda, IKT usluga i IKT procesa i preispitivanje njihove sigurnosti;

(k)utvrđivanje i otklanjanje ranjivosti bez odgode, među ostalim sigurnosnim ažuriranjima, te dijeljenje i javna objava informacija o popravljenim ranjivostima, osim ako rizici od objave nadmašuju sigurnosne koristi;

(l)uspostava politike koordiniranog otkrivanja ranjivosti;

(m)olakšavanje razmjene informacija o potencijalnim ranjivostima u IKT proizvodima, IKT uslugama i IKT procesima;

(n)da se sigurnosna ažuriranja, ako su dostupna za rješavanje utvrđenih sigurnosnih pitanja, distribuiraju bez odgode;

(o)da se upravljane sigurnosne usluge pružaju na potrebnoj razini kompetentnosti, stručnosti i iskustva, među ostalim da osoblje zaduženo za pružanje tih usluga ima dostatnu i odgovarajuću razinu tehničkog znanja i stručnosti u tom području, dostatno i primjereno iskustvo te najviši stupanj profesionalnog integriteta;

(p)da se IKT proizvodi, IKT usluge i IKT procesi koji se koriste za pružanje upravljanih sigurnosnih usluga odlikuju integriranom i zadanom sigurnošću i da, prema potrebi, imaju najnovija sigurnosna ažuriranja te da ne sadržavaju poznate ranjivosti.

(q)da certificirani subjekt ima uspostavljene primjerene interne postupke kako bi osigurao da se usluge pružaju na dostatnoj i odgovarajućoj razini kvalitete;

(r)da certificirani subjekt može identificirati incidente, zaštititi se od njih, otkriti ih, odgovoriti na njih i oporaviti se od njih;

(s)da certificirani subjekt može upravljati rizicima za sigurnost mrežnih i informacijskih sustava koje koristi za svoje poslovanje ili pružanje svojih usluga te da može spriječiti ili svesti na najmanju moguću mjeru učinak incidenata na primatelje svojih usluga i na druge usluge;

(t)da certificirani subjekt može izgraditi, osigurati i preispitati svoju operativnu cjelovitost i pouzdanost tako da korištenjem usluga koje pružaju treće strane pružatelji IKT usluga izravno ili neizravno osigura cijeli raspon IKT sposobnosti potrebnih za sigurnost mrežnih i informacijskih sustava kojima se financijski subjekt koristi i kojima se podupire kontinuirano pružanje financijskih usluga i njihova kvaliteta, među ostalim i tijekom poremećaja;

(u)da certificirani subjekt može uvesti i održavati sustav upravljanja informacijskom sigurnošću;

(v)otpornost na sve događaje koji mogu ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje ti mrežni i informacijski sustavi koje koristi subjekt pružaju ili koji su putem njih dostupni te osiguravanje kontinuiranog pružanja usluga i njihove kvalitete, među ostalim i tijekom poremećaja;

(w)da subjekt može osigurati sigurnost obrade osobnih podataka.

2.Komisija je ovlaštena za donošenje delegiranih akata u skladu s člankom 119. radi izmjene stavka 1. ovog članka dodavanjem ili izmjenom sigurnosnih ciljeva kako bi se osiguralo da su uzeta u obzir najnovija tehnološka dostignuća i nove srodne prijetnje te za donošenje novih propisa Unije kojima se utvrđuju načini dokazivanja sukladnosti i pretpostavka sukladnosti u okviru europske kibernetičkosigurnosne certifikacije s relevantnim zahtjevima u pogledu kibernetičke sigurnosti iz tih propisa.

3.Europski program kibernetičkosigurnosne certifikacije koji se odnosi na proizvode s digitalnim elementima kako su definirani u članku 3. točki 1. Uredbe (EU) 2024/2847 izrađuje se u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I. toj uredbi i u njemu se uzimaju u obzir dostupne usklađene norme.

Članak 81.
Elementi europskih programa kibernetičkosigurnosne certifikacije

1.Europski program kibernetičkosigurnosne certifikacije uključuje barem sljedeće elemente:

(a)predmet i područje primjene programa certifikacije, uključujući vrstu ili kategorije IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga ili imovinu, usluge i funkcije subjekta obuhvaćene opsegom certifikacije;

(b)jasan opis svrhe programa i, ako je to primjenjivo, utvrđivanje propisa Unije kojima se utvrđuju zahtjevi za koje se europskim kibernetičkosigurnosnim certifikatima dokazuje sukladnost i stvara pretpostavka sukladnosti;

(c)strategiju održavanja u kojoj se navodi pristup aktivnostima održavanja iz članka 75.;

(d)posebne zahtjeve kibernetičke sigurnosti te kriterije i metode za evaluaciju IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata te upućivanja na međunarodne, europske ili nacionalne norme koje se primjenjuju u evaluaciji IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata ili, ako takve norme nisu dostupne ili primjerene, na tehničke specifikacije koje je izradila ENISA u skladu s člankom 77. ili, ako takve specifikacije nisu dostupne, na druge tehničke specifikacije;

(e)maksimalno razdoblje valjanosti europskih kibernetičkosigurnosnih certifikata koji se izdaju u okviru programa;

2.Europski program kibernetičkosigurnosne certifikacije obuhvaća barem pravila i uvjete koji se odnose na sljedeće:

(a)praćenje sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata sa zahtjevima europskih kibernetičkosigurnosnih certifikata ili EU izjava o sukladnosti, uključujući mehanizme za dokazivanje trajne sukladnosti s navedenim zahtjevima u pogledu kibernetičke sigurnosti;

(b)izdavanje, potvrđivanje, povlačenje i obnavljanje europskih kibernetičkosigurnosnih certifikata, proširenje ili smanjenje opsega certifikacije te ponovnu certifikaciju;

(c)posljedice za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili subjekte koji su certificirani ili za koje je izdana EU izjava o sukladnosti, a koji nisu u skladu sa zahtjevima programa;

(d)kako prijaviti prethodno neotkrivene kibernetičkosigurnosne ranjivosti IKT proizvoda, IKT usluga i IKT procesa i postupiti u slučaju njihova otkrivanja;

(e)sadržaj i format europskih kibernetičkosigurnosnih certifikata i EU izjava o sukladnosti koje treba izdati;

(f)razdoblje u kojem proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije se stanje kibernetičke sigurnosti certificira treba staviti na raspolaganje EU izjavu o sukladnosti, tehničku dokumentaciju i sve druge relevantne informacije;

(g)sve mehanizme za istorazinsko ocjenjivanje uspostavljene u okviru programa za tijela koja izdaju europske kibernetičkosigurnosne certifikate u skladu s člankom 85. stavkom 4., kojima se ne dovodi u pitanje istorazinsko ocjenjivanje iz članka 90.;

(h)povjerljivost informacija i podataka koje su sve strane dobile pri obavljanju zadaća i aktivnosti povezanih s provedbom odredaba utvrđenih u ovoj glavi;

(i)format i procedure kojih se proizvođači ili pružatelji IKT proizvoda, IKT usluga i IKT procesa moraju pridržavati pri dostavljanju i ažuriranju dodatnih informacija o kibernetičkoj sigurnosti u skladu s člankom 84. i

(j)kontinuitet aktivnosti certificiranja u izvanrednim kriznim situacijama koje nije moguće izbjeći i koje onemogućuju primjenu pravila programa certificiranja.

3.Europski program kibernetičkosigurnosne certifikacije prema potrebi uključuje i sljedeće:

(a)jednu ili više jamstvenih razina i odgovarajuće razine evaluacije;

(b)profile zaštite radi utvrđivanja sigurnosnih zahtjeva koji se primjenjuju na određenu kategoriju IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga;

(c)profile proširenja kako bi se utvrdili dodatni sigurnosni zahtjevi, uključujući, prema potrebi, sigurnosne zahtjeve iz nacionalnih odredaba kojima se prenosi pravo Unije;

(d)pojašnjenje o tome koje su aktivnosti ocjenjivanja sukladnosti, uključujući umjeravanje, testiranje, potvrđivanje i pregled, za visoku jamstvenu razinu ili za potrebe dokazivanja sukladnosti i stvaranja pretpostavke sukladnosti dopuštene izvan Europskoga gospodarskog prostora (EGP);

(e)utvrđivanje nacionalnih ili međunarodnih programa kibernetičkosigurnosne certifikacije koji obuhvaćaju istu vrstu ili kategorije IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata;

(f)dodatne ili posebne zahtjeve koji se primjenjuju na tijela za ocjenjivanje sukladnosti kako bi se zajamčila njihova tehnička stručnost za evaluaciju zahtjeva u pogledu kibernetičke sigurnosti;

(g)informacije koje su potrebne za certifikaciju i koje podnositelj zahtjeva treba dostaviti ili na drugi način staviti na raspolaganje tijelima za ocjenjivanje sukladnosti;

(h)oznake ili znakove i uvjete pod kojima se takve oznake ili znakovi mogu koristiti;

(i)uvjete za međunarodno priznavanje europskih kibernetičkosigurnosnih certifikata u skladu s člankom 87.

4.Navedeni zahtjevi europskog programa kibernetičkosigurnosne certifikacije moraju biti u skladu sa zahtjevima iz zakonodavstva Unije.

5.Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju zajednička načela i ogledne odredbe za elemente utvrđene u stavcima 1., 2. i 3. u svim europskim programima kibernetičkosigurnosne certifikacije. Ako je to primjereno i dostupno, europski program kibernetičkosigurnosne certifikacije može uključivati upućivanja na ta načela i ogledne odredbe.

6.Provedbeni akti iz stavka 5. donose se u skladu s postupkom ispitivanja iz članka 118. stavka 2. Pri izradi ili reviziji zajedničkih načela i oglednih odredaba za elemente europskih programa kibernetičkosigurnosne certifikacije Komisija se savjetuje s ENISA-om i, prema potrebi, uzima u obzir stajališta ECCG-a, relevantnih dionika i drugih relevantnih tijela.

Članak 82.
Jamstvene razine i razine evaluacije europskih programa kibernetičkosigurnosne certifikacije

1.U okviru europskog programa kibernetičkosigurnosne certifikacije može se utvrditi jedna ili više od sljedećih jamstvenih razina za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata: osnovna, znatna ili visoka. Te jamstvene razine razmjerne su razini rizika povezanog s predviđenim korištenjem IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge odnosno s prirodom subjekata čije se stanje kibernetičke sigurnosti certificira te njihovim operativnim okruženjem u smislu vjerojatnosti i učinka incidenta.

2.Europski kibernetičkosigurnosni certifikati odnose se na bilo koju jamstvenu razinu utvrđenu u europskom programu kibernetičkosigurnosne certifikacije u okviru kojeg se ti certifikati izdaju. EU izjave o sukladnosti odnose se na osnovnu jamstvenu razinu.

3.U relevantnom europskom programu kibernetičkosigurnosne certifikacije navode se sigurnosni zahtjevi koji odgovaraju svakoj jamstvenoj razini, uključujući odgovarajuće sigurnosne kontrole i odgovarajuću evaluaciju kojoj podliježu IKT proizvod, IKT usluga, IKT proces, upravljana sigurnosna usluga ili stanje kibernetičke sigurnosti subjekta.

4.Certifikat ili EU izjava o sukladnosti mora upućivati na odgovarajuće, s njime povezane, tehničke specifikacije, norme i procedure, uključujući tehničke kontrole, čija je svrha smanjiti rizik od kibernetičkosigurnosnih incidenata ili ih spriječiti.

5.Europskim kibernetičkosigurnosnim certifikatom ili EU izjavom o sukladnosti koji se odnose na „osnovnu” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti za koje su taj certifikat ili ta EU izjava o sukladnosti izdani ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne kontrole, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih osnovnih rizika za incidente i kibernetičke napade. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem preispitivanje tehničke dokumentacije. Ako takvo preispitivanje nije odgovarajuće, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

6.Europskim kibernetičkosigurnosnim certifikatom koji se odnosi na „znatnu” jamstvenu razinu daje se jamstvo da IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne kontrole, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih rizika od incidenata i kibernetičkih napada te rizika od kibernetičkih napada koje provode subjekti ograničenih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti uključuju barem preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti i testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili subjekti pravilno provode potrebne sigurnosne kontrole. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

7.Europskim kibernetičkosigurnosnim certifikatom koji se odnosi na „visoku” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne kontrole, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru rizika od najsuvremenijih kibernetičkih napada koje provode subjekti znatnih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti uključuju barem sljedeće:

(a)preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti;

(b)testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili subjekti ispravno provode potrebne sigurnosne kontrole na najsuvremenijoj razini;

(c)procjenu otpornosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili subjekata na napade vještih napadača, prema potrebi primjenom penetracijskog testiranja.

Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti s istovjetnim učinkom. Sve aktivnosti ocjenjivanja sukladnosti, uključujući umjeravanje, testiranje, certifikaciju i pregled, za visoku jamstvenu razinu provode se u Europskom gospodarskom prostoru, osim ako je u europskom programu kibernetičkosigurnosne certifikacije predviđeno drukčije.

8.Ako je europski program kibernetičkosigurnosne certifikacije osmišljen za dokazivanje sukladnosti i stvaranje pretpostavke sukladnosti s određenim pravnim aktom Unije, europski kibernetičkosigurnosni certifikat jamči da certificirani IKT proizvodi, IKT usluge, IKT procesi, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata ispunjavaju odgovarajuće zahtjeve u pogledu kibernetičke sigurnosti iz tog pravnog akta. Sve aktivnosti ocjenjivanja sukladnosti, uključujući umjeravanje, testiranje, certifikaciju i pregled, u svrhu utvrđivanja pretpostavke sukladnosti provode se u Europskom gospodarskom prostoru, osim ako je u europskom programu kibernetičkosigurnosne certifikacije previđeno drukčije.

9.U okviru pojedinog europskog programa kibernetičkosigurnosne certifikacije može se utvrditi nekoliko razina evaluacije za određenu jamstvenu razinu. Svaka razina evaluacije odgovara jednoj jamstvenoj razini.

Članak 83.
Samoocjenjivanje sukladnosti

1.U okviru pojedinog europskog programa kibernetičkosigurnosne certifikacije može se omogućiti samoocjenjivanje sukladnosti pod isključivom odgovornošću proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekta čije se stanje kibernetičke sigurnosti certificira. Samoocjenjivanje sukladnosti dopušteno je samo za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata koji predstavljaju nizak rizik koji odgovara osnovnoj jamstvenoj razini.

2.Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije se stanje kibernetičke sigurnosti certificira može izdati EU izjavu o sukladnosti u kojoj navodi da je dokazano da su zahtjevi određenog europskog programa kibernetičkosigurnosne certifikacije ispunjeni. Izdavanjem takve izjave taj proizvođač ili pružatelj ili subjekt preuzima odgovornost za usklađenost IKT proizvoda, IKT usluge, IKT procesa, upravljane sigurnosne usluge ili stanja kibernetičke sigurnosti sa zahtjevima utvrđenima u tom programu.

3.Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije se stanje kibernetičke sigurnosti certificira stavlja EU izjavu o sukladnosti, tehničku dokumentaciju i sve druge relevantne informacije o sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti s europskim programom kibernetičkosigurnosne certifikacije na raspolaganje nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju imenovanom u skladu s člankom 89. za razdoblje predviđeno u tom programu. Preslika EU izjave o sukladnosti bez nepotrebne se odgode podnosi nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju i ENISA-i.

Članak 84.
Dodatne informacije o kibernetičkoj sigurnosti za certificirane IKT proizvode, IKT usluge i IKT procese

1.Proizvođač ili pružatelj IKT proizvoda, IKT usluga ili IKT procesa za koje su izdani EU izjava o sukladnosti ili europski kibernetičkosigurnosni certifikat korisniku stavlja na raspolaganje sljedeće dodatne informacije o kibernetičkoj sigurnosti:

(a)namjenu relevantnog IKT proizvoda, IKT usluge ili IKT procesa, uključujući sigurnosno okruženje koje osigurava proizvođač ili pružatelj;

(b)smjernice i preporuke za pomoć korisnicima pri sigurnoj konfiguraciji, instalaciji, uvođenju, korištenju i održavanju IKT proizvoda ili IKT usluga;

(c)vrstu tehničke sigurnosne podrške koju nudi proizvođač ili pružatelj i datum završetka razdoblja potpore tijekom kojeg korisnici mogu očekivati postupanje s ranjivostima i sigurnosna ažuriranja;

(d)ako proizvođač ili pružatelj odluči korisniku staviti na raspolaganje popis softverskog materijala, informacije o tome gdje mu se može pristupiti.

2.Proizvođač ili pružatelj IKT proizvoda, IKT usluga ili IKT procesa za koje su izdani EU izjava o sukladnosti ili europski kibernetičkosigurnosni certifikat objavljuje sljedeće dodatne informacije o kibernetičkoj sigurnosti:

(a)informacije o jedinstvenoj kontaktnoj točki gdje se mogu dojaviti i dobiti informacije o ranjivostima te pronaći politika proizvođača u vezi s koordiniranim otkrivanjem ranjivosti;

(b)informacije o popravljenim ranjivostima, uključujući opis ranjivosti, informacije koje korisnicima omogućuju identifikaciju zahvaćenog proizvoda s digitalnim elementima, posljedice ranjivosti, njihovu ozbiljnost te jasne i dostupne informacije koje korisnicima pomažu otkloniti te ranjivosti; u opravdanim slučajevima, ako proizvođači smatraju da sigurnosni rizici od objave nadmašuju sigurnosne koristi, mogu odgoditi objavljivanje informacija o popravljenoj ranjivosti dok se korisnicima ne omogući primjena relevantne zakrpe.

3.Informacije iz stavaka 1. i 2. dostupne su u elektroničkom obliku te ostaju dostupne i prema potrebi se ažuriraju tijekom razdoblja valjanosti, a najmanje pet godina nakon isteka ili povlačenja relevantnog europskog kibernetičkosigurnosnog certifikata ili EU izjave o sukladnosti.

4.Obveze utvrđene u stavcima 1. i 2. ne primjenjuju se u slučajevima u kojima bi sigurnost relevantnog IKT proizvoda, IKT usluge ili IKT procesa mogla biti ugrožena ako se informacije objave.

POGLAVLJE III. 
Upravljanje Europskim okvirom za kibernetičkosigurnosnu certifikaciju

Odjeljak 1. 
Opća pravila i upravljanje europskim programima kibernetičkosigurnosne certifikacije

Članak 85.
Izdavanje europskih kibernetičkosigurnosnih certifikata

1.Za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata koji su certificirani u okviru određenog europskog programa kibernetičkosigurnosne certifikacije pretpostavlja se da ispunjavaju zahtjeve tog programa.

2.Tijela za ocjenjivanje sukladnosti iz članka 91. izdaju europske kibernetičkosigurnosne certifikate na temelju kriterija navedenih u europskom programu kibernetičkosigurnosne certifikacije donesenom u skladu s člankom 74.

3.Odstupajući od stavka 2., europskim programom kibernetičkosigurnosne certifikacije može se predvidjeti da europske kibernetičkosigurnosne certifikate koji proizlaze iz tog programa izdaje isključivo jedno od sljedećih javnih tijela:

(a)nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz članka 88. koje je akreditirano kao tijelo za ocjenjivanje sukladnosti u skladu s člankom 91. stavkom 1.;

(b)javno tijelo koje je akreditirano kao tijelo za ocjenjivanje sukladnosti u skladu s člankom 91. stavkom 1.

4.Ako je europskim programom kibernetičkosigurnosne certifikacije donesenim u skladu s člankom 74. utvrđena visoka jamstvena razina ili ako je u takvom programu navedeno drukčije, europski kibernetičkosigurnosni certifikat u okviru tog programa izdaje isključivo nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz članka 88. koje je akreditirano kao tijelo za ocjenjivanje sukladnosti u skladu s člankom 91. stavkom 1. ili, u sljedećim slučajevima:

(a)tijelo za ocjenjivanje sukladnosti na temelju modela prethodnog odobrenja; odnosno

(b)tijelo za ocjenjivanje sukladnosti na temelju općeg modela delegiranja.

5.Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju postupci za prethodno odobrenje ili modeli općeg delegiranja iz stavka 4. ovog članka. U postupku izrade tih provedbenih akata Komisija se savjetuje s ECCG-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

6.Fizička ili pravna osoba koja podnosi IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge na certifikaciju ili subjekt koji podnosi zahtjev za certifikaciju stanja kibernetičke sigurnosti sve informacije potrebne za provedbu certifikacije stavlja na raspolaganje nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju imenovanom u skladu s člankom 89., ako je to tijelo ono koje izdaje europski kibernetičkosigurnosni certifikat, ili tijelu za ocjenjivanje sukladnosti iz članka 91.

7.Tijela za ocjenjivanje sukladnosti i, ako je to primjenjivo, nacionalna tijela za kibernetičkosigurnosnu certifikaciju bez nepotrebne odgode obavješćuju ENISA-u o svojim odlukama koje utječu na status europskih kibernetičkosigurnosnih certifikata i EU izjava o sukladnosti u skladu s člankom 94.

8.Nositelj europskog kibernetičkosigurnosnog certifikata obavješćuje tijelo za ocjenjivanje sukladnosti i, ako je to primjenjivo, nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz stavka 7. o svim naknadno otkrivenim ranjivostima ili nesukladnostima koje se odnose na certificirani IKT proizvod, IKT uslugu, IKT proces, upravljanu sigurnosnu uslugu ili stanje kibernetičke sigurnosti subjekta, a koje bi mogle utjecati na njegovu sukladnost s certifikatom. To tijelo bez nepotrebne odgode prosljeđuje te informacije predmetnom nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju i procjenjuje utjecaj na certifikat u skladu s uvjetima programa iz članka 81. stavka 2. točke (d).

9.Za svoje certificirane IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge koji su u cijelosti ili djelomično utvrđeni kao ključna imovina u skladu s člankom 102. nositelji europskog kibernetičkosigurnosnog certifikata ne smiju u certificiranim IKT proizvodima, IKT uslugama, IKT procesima ili upravljanim sigurnosnim uslugama koristiti, u njih ugrađivati ili na drugi način integrirati IKT komponente ili komponente koje sadržavaju IKT komponente visokorizičnih dobavljača.

10.Europski kibernetičkosigurnosni certifikati izdaju se na razdoblje predviđeno europskim programom kibernetičkosigurnosne certifikacije te se mogu obnoviti pod uvjetom da su relevantni zahtjevi i dalje ispunjeni.

11.Komisija surađuje s državama članicama kako bi osigurala primjenu odredaba o izdavanju europskih kibernetičkosigurnosnih certifikata, među ostalim kad je riječ o primjeni članka 100. stavka 4. točke (b). Tijelo za ocjenjivanje sukladnosti i, prema potrebi, nacionalno tijelo za kibernetičkosigurnosnu certifikaciju Komisiji na zahtjev i bez nepotrebne odgode dostavljaju sve informacije koje se odnose na izdavanje relevantnih europskih kibernetičkosigurnosnih certifikata ili EU izjava o sukladnosti.

Članak 86.
Nacionalni programi kibernetičkosigurnosne certifikacije i certifikati

1.Nacionalni programi kibernetičkosigurnosne certifikacije i povezani postupci za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata koji su obuhvaćeni predmetom i područjem primjene pojedinog europskog programa kibernetičkosigurnosne certifikacije prestaju proizvoditi učinke od datuma utvrđenog u provedbenom aktu donesenom na temelju članka 74. stavka 9. Nacionalni programi kibernetičkosigurnosne certifikacije i povezani postupci za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata koji nisu obuhvaćeni predmetom i područjem primjene pojedinog europskog programa kibernetičkosigurnosne certifikacije mogu se i dalje provoditi.

2.Države članice ne uvode nove nacionalne programe kibernetičkosigurnosne certifikacije ili povezane postupke za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata koji su već obuhvaćeni predmetom i područjem primjene pojedinog europskog programa kibernetičkosigurnosne certifikacije.

3.Postojeći certifikati koji su izdani u okviru nacionalnih programa kibernetičkosigurnosne certifikacije i koji su obuhvaćeni predmetom i područjem primjene pojedinog europskog programa kibernetičkosigurnosne certifikacije ostaju valjani do datuma njihova isteka.

4.Države članice obavješćuju Komisiju i ECCG prije donošenja novih nacionalnih programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata.

5.Komisija može državi članici predložiti da povuče nacionalni program kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata ako je već zatražen razvoj europskog programa kibernetičkosigurnosne certifikacije koji obuhvaća takve proizvode, usluge, procese ili stanje kibernetičke sigurnosti u skladu s člankom 73., uzimajući u obzir plan razvoja takvog programa.

Članak 87.
Međunarodno priznavanje europskih kibernetičkosigurnosnih certifikata

1.Certifikati trećih zemalja za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata mogu se priznati kao jednakovrijedni europskim kibernetičkosigurnosnim certifikatima provedbenim aktom ili sklapanjem sporazuma između Unije i predmetne treće zemlje ili međunarodne organizacije ako se zahtjevi relevantnog programa treće zemlje ili programa međunarodne organizacije smatraju jednakovrijednima onima iz europskih programa kibernetičkosigurnosne certifikacije. Komisija je ovlaštena za donošenje takvih provedbenih akata. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

2.Provedbeni akti i sporazumi iz stavka 1. temelje se na uvjetima za međunarodno priznavanje europskih kibernetičkosigurnosnih certifikata utvrđenima u skladu s člankom 74. stavkom 11.

3.Sporazumi o priznavanju certifikata trećih zemalja ili certifikata međunarodnih organizacija iz stavka 1. sklapaju se samo ako se europski kibernetičkosigurnosni certifikati njima također priznaju kao jednakovrijedni certifikatima trećih zemalja.

Članak 88. 
Nacionalna tijela za kibernetičkosigurnosnu certifikaciju

1.Svaka država članica imenuje jedno ili više nacionalnih tijela za kibernetičkosigurnosnu certifikaciju na svojem državnom području ili, uz pristanak druge države članice, određuje da jedno ili više nacionalnih tijela za kibernetičkosigurnosnu certifikaciju iz te druge države članice bude odgovorno za zadaće nadzora u državi članici koja ga imenuje.

2.Svaka država članica obavješćuje Komisiju o imenovanim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju. Ako država članica imenuje više od jednog tijela, također obavješćuje Komisiju o zadaćama koje su dodijeljene svakome od tih tijela.

3.Svako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju neovisno je o subjektima koje nadzire u pogledu svoje organizacije, odluka o financiranju, pravne strukture i donošenja odluka.

4.Aktivnosti nacionalnih tijela za kibernetičkosigurnosnu certifikaciju koje se odnose na izdavanje europskih kibernetičkosigurnosnih certifikata na temelju ove Uredbe strogo su odvojene od njihovih nadzornih aktivnosti utvrđenih u ovom članku i članku 85. stavku 4. točkama (a) i (b) i te se aktivnosti provode neovisno jedne o drugima.

5.Države članice osiguravaju da nacionalna tijela za kibernetičkosigurnosnu certifikaciju imaju odgovarajuće resurse za djelotvorno i učinkovito izvršavanje svojih ovlasti i obavljanje svojih zadaća.

6.Nacionalna tijela za kibernetičkosigurnosnu certifikaciju imaju sljedeće zadaće:

(a)sudjeluju u ECCG-u u skladu s člankom 90. stavkom 2.;

(b)nadziru i provode pravila iz europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 81. stavkom 2. točkom (a) kako bi se osigurala sukladnost IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata sa zahtjevima europskih kibernetičkosigurnosnih certifikata izdanih na njihovu državnom području, u suradnji s relevantnim tijelima za nadzor tržišta ili nadzornim tijelima, uključujući nadležna tijela na temelju Direktive (EU) 2022/2555 Europskog parlamenta i Vijeća 82 ili Uredbe (EU) 2024/2847;

(c)prate, u suradnji s relevantnim tijelima za nadzor tržišta, ispunjavaju li proizvođači ili pružatelji IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekti čije je stanje kibernetičke sigurnosti certificirano i koji imaju poslovni nastan na njihovu državnom području te provode samoocjenjivanje sukladnosti u okviru odgovarajućeg europskog programa kibernetičkosigurnosne certifikacije obveze utvrđene u ovoj Uredbi i osiguravaju njihovo ispunjavanje;

(d)ne dovodeći u pitanje članak 91. stavak 3., aktivno pomažu nacionalnim akreditacijskim tijelima ili drugim relevantnim tijelima i podupiru ih u praćenju i nadzoru aktivnosti tijela za ocjenjivanje sukladnosti za potrebe ove Uredbe;

(e)surađuju s Komisijom u slučajevima osporavanja sposobnosti tijela za ocjenjivanje sukladnosti u skladu s člankom 94.;

(f)prate i nadziru aktivnosti javnih tijela iz članka 85. stavka 3.;

(g)ako je to primjenjivo, ovlašćuju tijela za ocjenjivanje sukladnosti u skladu s člankom 93., prate sukladnost i osiguravaju izvršavanje obveza tijela za ocjenjivanje sukladnosti s obzirom na dodatne ili posebne zahtjeve utvrđene u europskim programima kibernetičkosigurnosne certifikacije u skladu s člankom 81. stavkom 3. točkom (f) te ograničavaju, suspendiraju ili povlače postojeće ovlaštenje ako tijela za ocjenjivanje sukladnosti ne ispunjavaju zahtjeve iz ove Uredbe;

(h)obrađuju pritužbe fizičkih ili pravnih osoba u pogledu europskih kibernetičkosigurnosnih certifikata koje su izdala nacionalna tijela za kibernetičkosigurnosnu certifikaciju ili u pogledu europskih kibernetičkosigurnosnih certifikata koje su izdala tijela za ocjenjivanje sukladnosti izdanih u skladu s člankom 85. stavkom 4. ili u pogledu EU izjava o sukladnosti izdanih na temelju članka 83. te u odgovarajućoj mjeri istražuju predmet tih pritužbi i u razumnom roku obavješćuju podnositelja pritužbe o napretku i rezultatu istrage;

(i)svake godine podnose godišnje izvješće o svojim glavnim aktivnostima Komisiji, ENISA-i i ECCG-u do 31. ožujka [godina stupanja na snagu + 12 mjeseci] te ta izvješća dostavljaju timu za istorazinsko ocjenjivanje ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju podliježe istorazinskom ocjenjivanju u skladu s člankom 89.;

(j)surađuju s drugim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju, tijelima za nadzor tržišta ili drugim javnim tijelima, među ostalim razmjenom informacija o mogućoj nesukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata sa zahtjevima iz ove Uredbe ili sa zahtjevima određenih europskih programa kibernetičkosigurnosne certifikacije;

(k)prate relevantne promjene u području kibernetičkosigurnosne certifikacije.

7.Svako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju ima barem sljedeće ovlasti:

(a)zatražiti od tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibernetičkosigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti da dostave sve informacije koje su mu potrebne za obavljanje njegovih zadaća;

(b)provoditi istrage, u obliku revizija, tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibernetičkosigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti za potrebe provjere njihove usklađenosti sa zahtjevima navedenima u ovoj glavi;

(c)poduzimati odgovarajuće mjere, u skladu s nacionalnim pravom, radi osiguranja usklađenosti tijelâ za ocjenjivanje sukladnosti, nositeljâ europskog kibernetičkosigurnosnog certifikata i izdavateljâ EU izjave o sukladnosti s ovom Uredbom ili europskim programom kibernetičkosigurnosne certifikacije;

(d)osigurati pristup prostorijama svakog tijela za ocjenjivanje sukladnosti ili nositelja europskog kibernetičkosigurnosnog certifikata za potrebe provedbe istraga u skladu sa zakonodavstvom Unije ili postupovnim pravom države članice;

(e)povući, u skladu s nacionalnim pravom, europske kibernetičkosigurnosne certifikate koje su izdala nacionalna tijela za kibernetičkosigurnosnu certifikaciju ili tijela za ocjenjivanje sukladnosti, u skladu s člankom 85. stavkom 4. ako ti certifikati nisu u skladu s ovom Uredbom ili s europskim programom kibernetičkosigurnosne certifikacije;

(f)izreći sankcije, kako je predviđeno člankom 97., u skladu s nacionalnim pravom i zatražiti hitan prestanak povrede obveza utvrđenih ovom Uredbom.

8.Nacionalna tijela za kibernetičkosigurnosnu certifikaciju surađuju međusobno i s Komisijom, posebno razmjenom informacija, iskustava i primjera dobre prakse u području kibernetičkosigurnosne certifikacije i tehničkih pitanja povezanih s kibernetičkom sigurnošću IKT proizvoda, IKT usluga, IKT procesa i upravljanih sigurnosnih usluga odnosno stanjem kibernetičke sigurnosti subjekata.

9.ENISA u suradnji s Komisijom i ECCG-om do [stupanje na snagu + 6 mjeseci] izrađuje predložak za izvješće iz stavka 6. točke (i) ovog članka.

Članak 89.
Istorazinsko ocjenjivanje

1.Nacionalna tijela za kibernetičkosigurnosnu certifikaciju podliježu istorazinskom ocjenjivanju.

2.Istorazinsko ocjenjivanje provodi se na temelju dobrih i jasnih kriterija i postupaka evaluacije, posebno što se tiče zahtjeva u pogledu strukture, ljudskih resursa i postupaka, povjerljivosti i pritužbi.

3.Istorazinsko ocjenjivanje obuhvaća procjene:

(a)ako je to primjenjivo, jesu li aktivnosti nacionalnih tijela za kibernetičkosigurnosnu certifikaciju koje se odnose na izdavanje europskih kibernetičkosigurnosnih certifikata iz ove Uredbe strogo odvojene od njihovih nadzornih aktivnosti utvrđenih u članku 88. i provode li se te aktivnosti neovisno jedne o drugima;

(b)postupaka za nadzor i provedbu pravila za praćenje sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata s europskim kibernetičkosigurnosnim certifikatima u skladu s člankom 88. stavkom 7. točkom (a);

(c)postupaka za praćenje i osiguravanje izvršavanja obveza proizvođača ili pružatelja IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekata čije je stanje kibernetičke sigurnosti certificirano u skladu s člankom 88. stavkom 7. točkom (b);

(d)postupaka za praćenje, odobravanje i nadzor aktivnosti tijela za ocjenjivanje sukladnosti.

4.Istorazinsko ocjenjivanje provode najmanje dva nacionalna tijela za kibernetičkosigurnosnu certifikaciju drugih država članica i Komisija jedanput svakih pet godina. U istorazinskom ocjenjivanju sudjeluje i ENISA kao promatrač. Tim za istorazinsko ocjenjivanje sastavlja završno izvješće i sažetak istorazinske ocjene.

5.ENISA podupire organizaciju mehanizma za istorazinsko ocjenjivanje i istorazinskih ocjenjivanja, među ostalim izradom relevantnih smjernica i predložaka u suradnji s Komisijom i ECCG-om.

6.Komisija ima ovlasti za donošenje provedbenih akata kojima se utvrđuje plan za istorazinsko ocjenjivanje kojim se obuhvaća razdoblje od najmanje pet godina i u kojem se definiraju kriteriji za sastav tima za istorazinsko ocjenjivanje, metodologija koja se primjenjuje za istorazinsko ocjenjivanje te raspored, učestalost i druge zadaće povezane s njime. Pri izradi tih provedbenih akata Komisija se savjetuje s ECCG-om i ENISA-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

7.ECCG pregledava završno izvješće, uključujući eventualne smjernice ili preporuke, i sažetak istorazinske ocjene te potvrđuje sažetak za objavu na internetskim stranicama iz članka 79. stavka 2.

Članak 90.
Europska skupina za kibernetičkosigurnosnu certifikaciju

1.Osniva se Europska skupina za kibernetičkosigurnosnu certifikaciju („ECCG”).

2.ECCG se sastoji od predstavnika nacionalnih tijela za kibernetičkosigurnosnu certifikaciju ili predstavnika drugih relevantnih nacionalnih tijela. Član ECCG-a ne smije predstavljati više od dvije države članice.

3.ECCG ima sljedeće zadaće:

(a)savjetovati Komisiju i pomagati joj u radu s ciljem osiguravanja dosljedne provedbe i primjene pravila utvrđenih u ovoj glavi te u radu na pitanjima politike kibernetičkosigurnosne certifikacije i koordinaciji pristupa politike;

(b)savjetovati Komisiju i pomagati joj u izradi zahtjeva za europske programe kibernetičkosigurnosne certifikacije u skladu s člankom 73.;

(c)pomagati ENISA-i, savjetovati je i surađivati s njom u vezi s izradom prijedloga programa u skladu s člankom 74. i tehničkih specifikacija u skladu s člankom 77.;

(d)pomagati ENISA-i i Komisiji, savjetovati ih i surađivati s njima u vezi s aktivnostima održavanja na temelju članka 75.;

(e)pomagati Komisiji, savjetovati je i surađivati s njom u vezi s preispitivanjem ili povlačenjem postojećih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 76.;

(f)predlagati da se Komisiji podnese zahtjev za izradu prijedloga europskog programa kibernetičkosigurnosne certifikacije u skladu s člankom 73. stavkom 2.;

(g)donositi mišljenja upućena Komisiji koja se odnose na održavanje, preispitivanje i povlačenje postojećih europskih programa kibernetičkosigurnosne certifikacije;

(h)razmatrati relevantna kretanja u području kibernetičkosigurnosne certifikacije, među ostalim na nacionalnoj razini u skladu s člankom 86., te razmjenjivati informacije i primjere dobre prakse o programima kibernetičkosigurnosne certifikacije;

(i)olakšavati suradnju među nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju u skladu s pravilima utvrđenima u ovoj glavi izgradnjom kapaciteta i razmjenom informacija, posebno u pogledu pitanja koja se odnose na kibernetičkosigurnosnu certifikaciju;

(j)podupirati provedbu mehanizma za istorazinsko ocjenjivanje na temelju članka 89. i mehanizama za istorazinsko ocjenjivanje u skladu s pravilima utvrđenima u pojedinom europskom programu kibernetičkosigurnosne certifikacije na temelju članka 81. stavka 2. točke (g);

(k)olakšavati usklađivanje europskih programa kibernetičkosigurnosne certifikacije s međunarodno priznatim normama, među ostalim u okviru održavanja postojećih europskih programa kibernetičkosigurnosne certifikacije i, prema potrebi, davati preporuke ENISA-i za suradnju s relevantnim europskim ili međunarodnim organizacijama za normizaciju radi uklanjanja nedostataka ili manjkavosti u dostupnim europskim ili međunarodno priznatim normama.

4.Komisija uz pomoć ENISA-e predsjeda ECCG-om i obavlja poslove tajništva.

5.Komisija može osnovati podskupine ECCG-a u bilo koju od sljedećih svrha:

(a)razmatranje određenih pitanja na temelju nadležnosti koje je utvrdila Komisija;

(b)održavanje i preispitivanje europskih programa certifikacije u skladu s ovom Uredbom i na temelju nadležnosti koje je utvrdila Komisija.

6.Podskupine su pod nadležnošću ECCG-a.

7.Podskupinama supredsjedaju Komisija i ENISA, a poslove tajništva za podskupine obavlja ENISA.

8.ECCG i njegove podskupine donose Poslovnik običnom većinom svojih članova na temelju prijedloga Komisije i u dogovoru s njom.

Odjeljak 2. 
Tijela za ocjenjivanje sukladnosti

Članak 91.
Nadležnost tijelâ za ocjenjivanje sukladnosti

1.Tijela za ocjenjivanje sukladnosti moraju imati akreditaciju nacionalnih akreditacijskih tijela u skladu s Uredbom (EZ) br. 765/2008. Ta se akreditacija izdaje samo ako tijelo za ocjenjivanje sukladnosti ispunjava zahtjeve utvrđene u Prilogu I. ovoj Uredbi.

2.Ako je europski kibernetičkosigurnosni certifikat izdalo nacionalno tijelo za kibernetičkosigurnosnu certifikaciju u skladu s ovom Uredbom, certifikacijsko tijelo nacionalnog tijela za kibernetičkosigurnosnu certifikaciju akreditira se kao tijelo za ocjenjivanje sukladnosti u skladu sa stavkom 1.

3.Akreditacija iz stavka 1. tijelima za ocjenjivanje sukladnosti izdaje se na najviše pet godina i može se obnoviti ako tijelo za ocjenjivanje sukladnosti ispunjava zahtjeve iz ovog članka. Nacionalna akreditacijska tijela poduzimaju sve odgovarajuće mjere u razumnom roku kako bi ograničila, suspendirala ili povukla akreditaciju tijela za ocjenjivanje sukladnosti izdanu u skladu sa stavkom 1. ako uvjeti za akreditaciju nisu ili više nisu ispunjeni ili ako tijelo za ocjenjivanje sukladnosti nije u skladu s ovom Uredbom.

4.Pri utvrđivanju dodatnih ili posebnih zahtjeva za akreditaciju za europski program kibernetičkosigurnosne certifikacije koji obuhvaća IKT proizvode u skladu s člankom 92. nastoje se ostvariti sinergije, prema potrebi, sa zahtjevima koji se odnose na prijavljena tijela na temelju Uredbe (EU) 2024/2847 i zahtjevima za akreditaciju u okviru već donesenih programa kibernetičkosigurnosne certifikacije.

5.Ako je tijelo za ocjenjivanje sukladnosti akreditirano u skladu s Uredbom (EU) 2024/2847, relevantna tijela mogu kao dokaz u postupku akreditacije na temelju ove Uredbe ponovno koristiti rezultate prethodnog akreditacijskog postupka za sve zahtjeve koji se preklapaju.

Članak 92.
Dodatno usklađivanje nadležnosti tijela za ocjenjivanje sukladnosti

1.Ako su europskim programom kibernetičkosigurnosne certifikacije utvrđeni dodatni ili posebni zahtjevi u skladu s člankom 81. stavkom 3. točkom (f), tijela za ocjenjivanje sukladnosti moraju od nacionalnog tijela za kibernetičkosigurnosnu certifikaciju imenovanog u skladu s člankom 88. stavkom 1. dobiti ovlaštenje za obavljanje zadaća u okviru tog programa. To ovlaštenje izdaje se samo ako je tijelo za ocjenjivanje sukladnosti akreditirano i ispunjava dodatne ili posebne zahtjeve utvrđene u okviru određenog europskog programa kibernetičkosigurnosne certifikacije.

2.Ako tijelo za ocjenjivanje sukladnosti traži ovlaštenje na temelju ovog članka, podnosi zahtjev nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju države članice u kojoj ima poslovni nastan ili nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju koje je ta država članica odredila u skladu s člankom 88. stavkom 1.

3.Tijelo za ocjenjivanje sukladnosti može zatražiti ovlaštenje nacionalnog tijela za kibernetičkosigurnosnu certifikaciju koje nije tijelo iz stavka 2. u bilo kojoj od sljedećih situacija:

(a)ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz stavka 1. ne izdaje ovlaštenje za aktivnosti ocjenjivanja sukladnosti za koje se traži ovlaštenje;

(b)ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz stavka 1. nije prošlo postupak istorazinskog ocjenjivanja u skladu s člankom 89. za aktivnosti ocjenjivanja sukladnosti za koje se traži ovlaštenje.

4.Ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju zaprimi zahtjev u skladu sa stavkom 3., o tome obavješćuje nacionalno tijelo za kibernetičkosigurnosnu certifikaciju države članice u kojoj tijelo za ocjenjivanje sukladnosti koje je podnijelo zahtjev ima poslovni nastan. U takvim slučajevima nacionalno tijelo za kibernetičkosigurnosnu certifikaciju te države članice može sudjelovati u ovlaštenju kao promatrač.

5.Nacionalno tijelo za kibernetičkosigurnosnu certifikaciju može od drugog nacionalnog tijela za kibernetičkosigurnosnu certifikaciju zatražiti da provede dijelove aktivnosti ocjenjivanja. U tom slučaju certifikat o ovlaštenju izdaje tijelo koje je podnijelo zahtjev.

6.Ovlaštenje iz stavka 1. valjano je u razdoblju ne duljem od razdoblja valjanosti akreditacije i može se obnoviti pod uvjetom da tijelo za ocjenjivanje sukladnosti ispunjava zahtjeve utvrđene u stavku 1. te da je njegova akreditacija također obnovljena.

7.Nacionalna tijela za kibernetičkosigurnosnu certifikaciju u razumnom roku poduzimaju sve odgovarajuće mjere za ograničavanje, suspenziju ili opoziv ovlaštenja tijela za ocjenjivanje sukladnosti izdanog u skladu sa stavkom 1. ako uvjeti za ovlaštenje nisu ili više nisu ispunjeni ili ako tijelo za ocjenjivanje sukladnosti nije usklađeno s ovom Uredbom.

8.Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju postupci, među ostalim u okviru prekogranične suradnje, za izdavanje ovlaštenja tijelima za ocjenjivanje sukladnosti. Pri izradi provedbenih akata Komisija se savjetuje s ENISA-om i ECCG-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

Članak 93.
Prijavljivanje tijela za ocjenjivanje sukladnosti

1.Za svaki europski program kibernetičkosigurnosne certifikacije nacionalna tijela za kibernetičkosigurnosnu certifikaciju pojedine države članice Komisiji i drugim državama članicama prijavljuju tijela za ocjenjivanje sukladnosti koja su akreditirana i, ako je to primjenjivo, ovlaštena u skladu s člankom 92.

2.Nacionalna tijela za kibernetičkosigurnosnu certifikaciju vrše prijavu iz stavka 1. pomoću alata za elektroničko obavješćivanje koji je razvila i kojim upravlja Komisija.

3.Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju okolnosti, formati i postupci za prijavu iz stavka 1. ovog članka, uključujući postupak prigovora drugih država članica tijekom postupka prijave, jedinstvenu identifikaciju tijela za ocjenjivanje sukladnosti te okolnosti za ograničavanje, suspenziju ili povlačenje prijave. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

Članak 94.
Osporavanje sposobnosti tijela za ocjenjivanje sukladnosti

1.Komisija istražuje sve slučajeve u kojima sumnja ili je upozorena na postojanje sumnje u sposobnost tijela za ocjenjivanje sukladnosti da postupi ili kontinuirano postupa u skladu s propisanim zahtjevima i odgovornostima.

2.Nacionalno tijelo za kibernetičkosigurnosnu certifikaciju Komisiji na zahtjev dostavlja sve informacije koje se odnose na osnovu za prijavljivanje ili na održavanje sposobnosti predmetnog tijela za ocjenjivanje sukladnosti.

3.Komisija osigurava da se sa svim osjetljivim informacijama prikupljenima tijekom njezinih istraga postupa kao s povjerljivim informacijama.

4.Ako Komisija utvrdi da tijelo za ocjenjivanje sukladnosti ne ispunjava ili je prestalo ispunjavati zahtjeve za prijavu, o tome obavješćuje nacionalno tijelo za kibernetičkosigurnosnu certifikaciju i od njega zahtijeva da poduzme potrebne korektivne mjere, uključujući povlačenje prijave ako je to potrebno.

5.Države članice osiguravaju da je na raspolaganju žalbeni postupak protiv odluka prijavljenih tijela.

Članak 95.
Obveza informiranja i zadržavanja za tijela za ocjenjivanje sukladnosti

1.Tijela za ocjenjivanje sukladnosti obavješćuju nacionalno tijelo za kibernetičkosigurnosnu certifikaciju o sljedećem:

(a)svakom odbijanju, ograničenju, suspenziji ili povlačenju certifikata;

(b)svim okolnostima koje utječu na opseg i uvjete prijave iz članka 93. stavka 1.;

(c)svim zahtjevima za informacije koje su zaprimila od tijela za nadzor tržišta u vezi s aktivnostima ocjenjivanja sukladnosti;

(d)na zahtjev, svim aktivnostima ocjenjivanja sukladnosti provedenima u području za koje je prijavljeno i svim drugim provedenim aktivnostima, uključujući prekogranične aktivnosti i podugovaranje.

2.Tijela za ocjenjivanje sukladnosti ENISA-i također dostavljaju informacije iz stavka 1. točke (a) radi olakšavanja njezinih zadaća na temelju članka 79.

3.Tijela za ocjenjivanje sukladnosti drugim tijelima za ocjenjivanje sukladnosti na temelju ove Uredbe koja provode slične aktivnosti ocjenjivanja sukladnosti za iste IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge odnosno subjekte čije se stanje kibernetičke sigurnosti certificira bez nepotrebne odgode dostavljaju relevantne informacije o pitanjima koja se odnose na negativne i, na zahtjev, pozitivne rezultate ocjenjivanja sukladnosti.

4.Tijela za ocjenjivanje sukladnosti vode sustav evidencije koji sadržava sve dokumente i dokaze koji su podneseni ili zaprimljeni u vezi sa svakom evaluacijom i certifikacijom koju provode. Evidencija se pohranjuje na siguran i pristupačan način na rok potreban za svrhu certifikacije i najmanje pet godina nakon isteka ili povlačenja relevantnog europskog kibernetičkosigurnosnog certifikata.

Odjeljak 3. 
Ostale odredbe

Članak 96.
Prava na podnošenje pritužbe i pravo na djelotvoran pravni lijek

1.Fizičke i pravne osobe imaju pravo podnijeti pritužbu izdavatelju europskog kibernetičkosigurnosnog certifikata ili, ako se pritužba odnosi na europski kibernetičkosigurnosni certifikat koji je izdalo tijelo za ocjenjivanje sukladnosti postupajući u skladu s člankom 85. stavkom 4., relevantnom nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju.

2.Tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o tijeku postupka, donesenoj odluci i pravu na djelotvoran pravni lijek iz stavaka 3. i 4.

3.Neovisno o bilo kakvim administrativnim ili drugim izvansudskim pravnim lijekovima, fizičke i pravne osobe imaju pravo na učinkovit pravni lijek u pogledu:

(a)odluka koje donesu tijela iz stavka 1., među ostalim prema potrebi u vezi s nepravilnim izdavanjem, neizdavanjem ili priznavanjem europskog kibernetičkosigurnosnog certifikata koji imaju te fizičke i pravne osobe;

(b)propuštanja postupanja u vezi s pritužbom podnesenom tijelu iz stavka 1.

4.Postupci na temelju ovog članka pokreću se pred sudovima države članice u kojoj se nalazi tijelo protiv kojeg je pravni lijek upućen.

Članak 97.
Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na povrede ove glave i povrede europskih programa kibernetičkosigurnosne certifikacije te poduzimaju sve potrebne mjere kako bi osigurale njihovo izvršenje. Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće. Države članice bez odgode obavješćuju Komisiju o tim pravilima i tim mjerama te o svim naknadnim izmjenama koje na njih utječu.

GLAVA IV. 
SIGURNOST LANACA OPSKRBE IKT-OM

POGLAVLJE I. 
Okvir za pouzdani lanac opskrbe IKT-om

Članak 98.
Područje primjene okvira

1.Okvir za pouzdani lanac opskrbe IKT-om pruža sigurnosni mehanizam na razini Unije za uklanjanje netehničkih rizika u sektorima visoke kritičnosti i drugim kritičnim sektorima kako je navedeno u Direktivi (EU) 2022/2555. U okviru tog mehanizma utvrđuju se ključna IKT imovina u ključnim lancima opskrbe IKT-om te odgovarajuće i proporcionalne mjere ublažavanja za subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555.

2.Obvezama utvrđenima u ovoj glavi ne dovode se u pitanje obveze utvrđene u članku 13. Uredbe (EU) 2024/2847 i u nacionalnim odredbama kojima se prenosi članak 21. Direktive (EU) 2022/2555.

3.Odredbe utvrđene u ovom poglavlju ne sprečavaju države članice da donesu ili zadrže odredbe kojima se osigurava viša razina kibernetičke sigurnosti u lancima opskrbe IKT-om, pod uvjetom da su takve odredbe u skladu s njihovim obvezama na temelju prava Unije.

Članak 99.
Procjene sigurnosnih rizika

1.Komisija ili skupina od najmanje tri države članice mogu zatražiti od skupine za suradnju osnovane člankom 14. Direktive (EU) 2022/2555 („skupina za suradnju u području mrežne i informacijske sigurnosti”) da provede koordinirane procjene sigurnosnih rizika na razini Unije u skladu s člankom 22. te direktive. Ako se procjena sigurnosnog rizika provodi na temelju takvog zahtjeva, ona posebno uključuje predloženo utvrđivanje ključne IKT imovine dotičnog lanca opskrbe IKT-om te glavnih aktera prijetnji, rizika i ranjivosti koji utječu na tu imovinu. U koordiniranim procjenama sigurnosnih rizika na razini Unije izrađuju se scenariji rizika i predlažu mjere za ublažavanje utvrđenih rizika.

2.Koordinirane procjene sigurnosnih rizika na razini Unije dovršavaju se u roku od šest mjeseci od podnošenja zahtjeva iz stavka 1. Na zahtjev Komisije skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava može pristati na kraće razdoblje.

3.Ako Komisija ima dovoljno razloga vjerovati da postoji ozbiljna kibernetička prijetnja sigurnosti Unije povezana s lancem opskrbe IKT-om i da je potrebno djelovati kako bi se očuvalo pravilno funkcioniranje unutarnjeg tržišta, Komisija bez odgode poduzima sljedeće:

(a)savjetuje se s državama članicama o potrebi za poduzimanjem jedne ili više mjera ublažavanja iz članka 103.; i

(b)provodi procjenu sigurnosnog rizika, uzimajući u obzir savjetovanje s državama članicama. Procjena sigurnosnog rizika uključuje predloženo utvrđivanje ključne IKT imovine te glavnih aktera prijetnji, rizika i ranjivosti koji utječu na tu imovinu. U procjeni sigurnosnog rizika izrađuju se scenariji rizika i predlažu mjere za ublažavanje utvrđenih rizika.

Članak 100.
Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost

1.Ako se na temelju procjene sigurnosnog rizika iz članka 99. ili drugih izvora, kao što je javna izjava u ime Unije ili države članice, utvrdi da treća zemlja predstavlja ozbiljan i strukturni netehnički rizik za lance opskrbe IKT-om, Komisija provjerava taj rizik uzimajući u obzir sljedeće elemente:

(a)postojanje zakona u trećoj zemlji kojima se od subjekata u njezinoj nadležnosti zahtijeva da tijelima te treće zemlje dostave informacije o ranjivostima softvera ili hardvera prije nego što se ustanovi da su te ranjivosti iskorištene;

(b)postojanje praksi u trećoj zemlji, što dokazuju neovisni izvori, u skladu s kojima se od subjekata pod nadležnošću treće zemlje zahtijeva da tijelima te treće zemlje dostave informacije o ranjivostima softvera ili hardvera prije nego što se ustanovi da su te ranjivosti iskorištene;

(c)nepostojanje učinkovitih pravnih lijekova te neovisnih i demokratskih kontrolnih mehanizama kojima se mogu ispraviti utvrđeni sigurnosni problemi, među ostalim u vezi s postojećim praksama iz točke (b);

(d)potkrijepljene informacije o jednom ili više incidenata koje su izazvali akteri prijetnji koji su pod kontrolom te zemlje, djeluju s njezina državnog područja i provode zlonamjerne kibernetičke aktivnosti ili kampanje te o nemogućnosti ili nespremnosti treće zemlje da surađuje s Komisijom ili državama članicama na uklanjanju rizika koji proizlazi iz djelovanja tih aktera prijetnji;

(e)relevantne informacije koje proizlaze iz koordiniranih procjena sigurnosnih rizika ili izvješća država članica ili međunarodnih organizacija na razini Unije.

2.Ako Komisija na temelju provjere iz stavka 1. zaključi da treća zemlja predstavlja ozbiljne i strukturne netehničke rizike za lance opskrbe IKT-om, može provedbenim aktom okvalificirati tu treću zemlju kao zemlju koja izaziva zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om. Taj se provedbeni akt donosi u skladu s postupkom ispitivanja iz članka 118. stavka 2.

3.Komisija redovito preispituje provedbene akte donesene u skladu sa stavkom 2.

4.Visokorizični dobavljači nemaju pravo:

(a)sudjelovati u izradi, ocjenjivanju, savjetovanju ili donošenju odluka o europskim normama i europskim normizacijskim dokumentima iz članka 10. stavka 1. Uredbe (EU) 1025/2012 i zajedničkim specifikacijama iz članka 27. Uredbe (EU) 2024/2847 u području kibernetičke sigurnosti;

(b)podnijeti zahtjev za bilo koji europski kibernetičkosigurnosni certifikat ili biti nositelj bilo kojeg takvog certifikata u skladu s glavom III.;

(c)postati akreditirano tijelo za ocjenjivanje sukladnosti u skladu s glavom III.;

(d)podnijeti zahtjev za status ovlaštenog izdavatelja potvrda u okviru bilo kojeg sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti u skladu s glavom II. odjeljkom 4.;

(e)sudjelovati u postupcima javne nabave organiziranima u skladu sa zakonodavstvom kojim se prenose direktive 2014/24/EU i 2014/25/EU u vezi s dobavom IKT komponenti ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u ključnoj IKT imovini kako je utvrđeno u skladu s člankom 102.;

(f)sudjelovati ni u kakvim aktivnostima u okviru Unijinih programa i instrumenata financiranja koji se provode u okviru izravnog i neizravnog upravljanja u skladu s člankom 136. Uredbe (EU, Euratom) 2024/2509 i sektorskim pravilima Unije te ni u kakvim aktivnostima financiranja sredstvima Unije koje se provode u okviru podijeljenog upravljanja za dobavu IKT komponenti ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u ključnoj IKT imovini utvrđenoj u skladu s člankom 102.

Tijela zadužena za postupke iz točaka od (a) do (f) provode potrebne procjene za potrebe ovog stavka. Tijela se u tu svrhu mogu oslanjati i na popis iz članka 104.

5.Ako je visokorizični dobavljač već ishodio europski kibernetičkosigurnosni certifikat u skladu s glavom III., nadležno tijelo ga bez nepotrebne odgode povlači.

Članak 101.
Opći mehanizam za sigurnost lanaca opskrbe IKT-om

Ako je Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava provela koordiniranu procjenu sigurnosnih rizika na razini Unije u skladu s člankom 99. stavkom 1. ove Uredbe ili nakon završetka postupka u slučaju ozbiljne kibernetičke prijetnje u skladu s člankom 99. stavkom 3. za lanac opskrbe IKT-om, Komisija može poduzeti mjere iz članka 102. i članka 103. stavaka 1. i 2.

Članak 102.
Utvrđivanje ključne IKT imovine

1.Ako se procjenom rizika provedenom u skladu s člankom 99. stavkom 1. ili 3. utvrde znatni kibernetičkosigurnosni rizici povezani s lancem opskrbe IKT-om, Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuje ključna IKT imovina koju subjekti vrste iz priloga I. i II. Direktivi (EU) 2022/2555 koriste za izradu proizvoda ili pružanje usluga. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2. ove Uredbe.

2.Pri utvrđivanju ključne IKT imovine iz stavka 1. Komisija uzima u obzir sljedeće elemente:

(a)ima li ta imovina ključne i osjetljive funkcije za funkcioniranje proizvoda ili usluga koje subjekt vrste iz priloga I. i II. Direktivi (EU) 2022/2555 proizvodi odnosno pruža;

(b)mogu li incidenti, uključujući one uzrokovane iskorištenim ranjivostima povezanima s tom imovinom, dovesti do ozbiljnih poremećaja u lancima opskrbe IKT-om na cijelom unutarnjem tržištu ili dovesti do izvlačenja podataka;

(c)postoji li ovisnost o ograničenom broju dobavljača te imovine;

(d)rezultate procjena rizika iz članka 99.

Članak 103.
Mjere ublažavanja u lancu opskrbe IKT-om

1.Komisija je ovlaštena za donošenje provedbenih akata kojima se, ako je to potrebno kako bi se osigurala visoka razina kibernetičke sigurnosti, kibernetičke otpornosti i povjerenja unutar Unije, propisuje da je određenoj vrsti subjekata iz priloga I. i II. Direktivi (EU) 2022/2555 zabranjeno koristiti, ugrađivati ili integrirati u bilo kojem obliku IKT komponente ili komponente koje sadržavaju IKT komponente visokorizičnih dobavljača kako su utvrđeni u skladu s člankom 104. u ključnu IKT imovinu utvrđenu u skladu s člankom 102. Takvim provedbenim aktima predviđaju se odgovarajuća prijelazna razdoblja tijekom kojih Komisija objavljuje popis visokorizičnih dobavljača iz članka 104. te dodatna razdoblja za postupno uklanjanje relevantnih IKT komponenti i komponenti koje sadržavaju IKT komponente. U njima se mogu također navesti te IKT komponente ili komponente koje sadržavaju IKT komponente.

2.Komisija je ovlaštena za donošenje provedbenih akata kojima se, ako je to potrebno kako bi se osigurala visoka razina kibernetičke sigurnosti, kibernetičke otpornosti i povjerenja unutar Unije, propisuje da se na određenu vrstu subjekata iz priloga I. i II. Direktivi (EU) 2022/2555 primjenjuje jedna ili više sljedećih mjera ublažavanja za njihov lanac opskrbe IKT-om, a posebno za ključnu IKT imovinu utvrđenu u skladu s člankom 102., kako bi se ublažili rizici utvrđeni u procjenama sigurnosnih rizika provedenima u skladu s člankom 99.:

(a)primjena zahtjeva u pogledu transparentnosti koji se odnose na davanje informacija nadležnom tijelu o dobavljačima u lancu opskrbe IKT-om za ključnu IKT imovinu određenu u skladu s člankom 102.;

(b)zabrana prijenosa podataka u treće zemlje i daljinske obrade podataka u trećoj zemlji;

(c)tehničke mjere koje treba revidirati treća strana, uključujući:

i. obradu na uređaju;

ii. posebnu segmentaciju mrežnih sustava;

iii. onemogućivanje daljinskog ili fizičkog pristupa ključnoj IKT imovini;

iv. onemogućivanje sporednih funkcionalnosti;

v. operativno praćenje mreže;

vi. testiranje hardvera i softvera.

(d)ograničenja operativne kontrole, uključujući eksternalizaciju organizacijskih funkcija pružateljima upravljanih usluga;

(e)ograničenja koja se odnose na ugovorne odnose subjekta s njegovim dobavljačima;

(f)zahtjev da uslugu pruža, vodi, održava ili podupire osoblje koje su provjerila relevantna nacionalna nadležna tijela;

(g)diversifikacija opskrbe IKT komponentama ili komponentama koje sadržavaju IKT komponente.

3.Pri uvođenju mjera iz stavka 2. Komisija može utvrditi tehničke i metodološke zahtjeve za te mjere.

4.Prije donošenja provedbenih akata iz stavaka 1. i 2. Komisija procjenjuje potencijalne rizike i ovisnosti, a posebno:

(a)prema potrebi, razinu rizika povezanu s korištenje, instalacijom ili integracijom, u bilo kojem obliku, IKT komponenti ili komponenti koje sadržavaju IKT komponente visokorizičnih dobavljača u ključnoj IKT imovini;

(b)moguće gospodarske i društvene učinke obveze na subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555;

(c)dostupnost alternativnih dobavljača u odnosu na visokorizične dobavljače;

(d)moguće poremećaje prekograničnih gospodarskih i društvenih aktivnosti uzrokovane incidentom koji utječe na subjektov lanac opskrbe IKT-om.

5.Provedbeni akti iz stavaka 1. i 2. ovog članka donose se u skladu s postupkom ispitivanja iz članka 118. stavka 2. i preispituju se najmanje svakih 36 mjeseci.

6.U iznimnim okolnostima koje opravdavaju intervenciju radi očuvanja pravilnog funkcioniranja unutarnjeg tržišta i ako ima dovoljno razloga smatrati da korištenje, ugradnja ili integracija IKT komponenti ili komponenti koje sadržavaju IKT komponente određenog subjekta s poslovnim nastanom u trećoj zemlji ili pod njezinom kontrolom ili subjekata iz treće zemlje ili državljanina treće zemlje predstavlja znatan netehnički kibernetičkosigurnosni rizik za gospodarske ili društvene aktivnosti najmanje triju država članica, Komisija se bez odgode savjetuje s državama članicama o potrebi za poduzimanjem mjera na razini Unije.

7.Komisija je ovlaštena za donošenje provedbenih akata kojima se propisuje da se određenoj vrsti subjekata iz priloga I. i II. Direktivi (EU) 2022/2555 zabranjuje korištenje, ugradnja ili integracija IKT komponenti ili komponenti koje sadržavaju IKT komponente subjekta iz stavka 6. U tu svrhu savjetuje se sa subjektima vrsta iz priloga I. i II. Direktivi (EU) 2022/2555 na koje bi se zabrana mogla odnositi. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2. Ti provedbeni akti prema potrebi uključuju odgovarajuća razdoblja za postupno uklanjanje tih IKT komponenti ili komponenti koje sadržavaju IKT komponente. U njima se mogu također navesti te IKT komponente ili komponente koje sadržavaju IKT komponente na koje se primjenjuje zabrana. Ta se zabrana odnosi i na IKT komponente ili komponente koje sadržavaju IKT komponente svih subjekata koje kontrolira određeni subjekt iz stavka 6.

8.U provedbenim aktima iz stavaka 1., 2. i 7. može se navesti i da se mjere ublažavanja primjenjuju samo na vrste subjekata iz priloga I. i II. Direktivi (EU) 2022/2555 određene veličine.

9.Članak 100. stavak 4. primjenjuje se na određeni subjekt koji ima poslovni nastan u trećoj zemlji ili je pod kontrolom treće zemlje ili subjekta iz treće zemlje ili državljanina treće zemlje iz stavka 7. 

10.Provedbeni akti doneseni u skladu sa stavcima 1., 2. i 7. koji se primjenjuju na vrste subjekata iz točke 10. Priloga I. Direktivi (EU) 2022/2555 primjenjuju se mutatis mutandis na europske institucije, tijela, urede i agencije.

Članak 104.
Utvrđivanje visokorizičnih dobavljača

1.Komisija provedbenim aktima utvrđuje popise visokorizičnih dobavljača relevantnih za zabrane utvrđene u provedbenim aktima donesenima u skladu s člankom 103. stavkom 1. i člankom 103. stavkom 7. ili zabranu iz članka 111. stavka 1.

2.U tu svrhu Komisija evidentira dobavljače koji isporučuju IKT komponente i komponente koje sadržavaju IKT komponente relevantne za zabranu iz stavka 1.

Na temelju toga Komisija provodi inicijalnu provjeru kako bi ustanovila koji od evidentiranih dobavljača potencijalno imaju poslovni nastan u trećoj zemlji okvalificiranoj u skladu s člankom 100. ili su pod kontrolom takve treće zemlje, subjekta s poslovnim nastanom u takvoj trećoj zemlji ili državljanina takve treće zemlje. Komisija provodi i inicijalni pregled dobavljača koji su potencijalno pod kontrolom subjekta iz članka 103. stavka 6.

3.Komisija provjerava mjesto poslovnog nastana te vlasničku i kontrolnu strukturu dobavljača koji su prvotno utvrđeni u skladu sa stavkom 2. drugim podstavkom.

4.Za potrebe provjere iz stavka 3. Komisija ima pravo od dobavljača zatražiti potrebne informacije. Ako dobavljač ne dostavi potrebne informacije u utvrđenom roku, Komisija može zaključiti da dobavljač ima poslovni nastan u trećoj zemlji okvalificiranoj u skladu s člankom 100. ili da je pod kontrolom takve treće zemlje, subjekta iz takve treće zemlje ili državljana takve treće zemlje. Ako Komisija provodi provjeru za potrebe članka 103. stavka 7., a dobavljač ne dostavi potrebne informacije u utvrđenom roku, Komisija može zaključiti da je dobavljač pod kontrolom subjekta okvalificiranog u skladu s tim člankom. Nadležna tijela iz članka 112. također na zahtjev dijele relevantne informacije s Komisijom.

5.Komisija s predmetnim dobavljačem dijeli preliminarne nalaze provjere mjesta poslovnog nastana te vlasničke i kontrolne strukture. Komisija dobavljaču daje priliku da se očituje o tim preliminarnim nalazima.

6.Komisija može od nadležnog tijela zatražiti da provede inicijalnu provjeru mjesta poslovnog nastana te vlasničke i kontrolne strukture dobavljača ako je to opravdano s obzirom na karakteristike poslovanja tog dobavljača. Nadležno tijelo može ponuditi da će ono provesti takvu inicijalnu provjeru. Komisija preispituje te početne nalaze kako bi odlučila treba li dobavljača uvrstiti na popis visokorizičnih dobavljača.

7.Komisija redovito ažurira popis visokorizičnih dobavljača radi uklanjanja ili dodavanja visokorizičnih dobavljača. Visokorizični dobavljači uvršteni na popis mogu od Komisije zatražiti da ponovno provede postupak provjere njihova mjesta poslovnog nastana te vlasničke i kontrolne strukture nakon što dostave dokaze o relevantnim promjenama.

8.Ako nadležno tijelo sazna, među ostalim iz informacija koje je dostavio subjekt vrste iz priloga I. i II. Direktivi (EU) 2022/2555, da će dobavljač možda morati biti uvršten na popis visokorizičnih dobavljača, o tome bez nepotrebne odgode obavješćuje Komisiju.

Članak 105.
Izuzeće za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje

1.Subjekt koji ima poslovni nastan u trećoj zemlji koja je u skladu s člankom 100. okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili je pod kontrolom subjekata iz takve treće zemlje Komisiji može podnijeti obrazloženi zahtjev za izuzeće od:

(a)podlijeganja odredbi kojom se subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555 zabranjuje korištenje, ugradnja ili integracija u bilo kojem obliku njegovih IKT komponenti ili komponenti koje sadržavaju njegove IKT komponente u ključnu IKT imovinu tih subjekata na temelju odstupanja od članka 111. ili provedbenih akata donesenih na temelju članka 103. stavka 1.;

(b)podlijeganja zabrani sudjelovanja u postupcima javne nabave organiziranima u skladu s propisima kojima se prenose Direktiva 2014/24/EU i Direktiva 2014/25/EU u vezi s dobavom IKT komponenti ili komponenti koje sadržavaju IKT komponente namijenjenih za korištenje u ključnoj IKT imovini kako je definirana u skladu s člankom 102., odstupajući od članka 100. stavka 4.

2.U zahtjevu iz stavka 1. mora se:

(a)navesti zašto je subjektu koji ima poslovni nastan u trećoj zemlji koja je u skladu s člankom 100. okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili je pod kontrolom subjekata iz takve treće zemlje u interesu da mu se odobri izuzeće iz stavka 1. ovog članka; i

(b)jasno dokazati da će se uspostaviti djelotvorne mjere za ublažavanje netehničkih rizika i osigurati da se treća zemlja okvalificirana u skladu s člankom 100. neopravdano ne upliće u dobavu IKT komponenta ili komponenta koje sadržavaju IKT komponente za korištenje, ugradnju ili integraciju u ključnu IKT imovinu subjekta vrste iz priloga I. i II. Direktivi (EU) 2022/2555.

3.Komisija je ovlaštena za donošenje provedbenih akata radi dodatnog određivanja uvjeta iz stavka 2. točke (b) i utvrđivanja detaljnih pravila za provedbu postupaka iz ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

4.Komisija ocjenjuje zahtjev iz stavka 1. u pravednom i transparentnom postupku uzimajući u obzir:

(a)okolnosti i dodatne elemente iz članka 100. stavaka 1. i 2. povezane sa zemljom koja je okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om u kojoj subjekt ima poslovni nastan ili se iz nje kontrolira;

(b)djelotvornost mjera ublažavanja iz stavka 2. točke (b);

(c)bi li izuzeće za subjekt koji ima poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost za lance opskrbe IKT-om ili je pod kontrolom subjekata iz takve treće zemlje bilo štetno za interes Unije.

5.Ako Komisija nakon procjene iz stavka 3. zaključi da je opravdano odobriti izuzeće, to čini donošenjem odluke o kojoj obavješćuje podnositelja zahtjeva u roku od devet mjeseci od primitka zahtjeva.

6.Pri donošenju odluke iz stavka 4. Komisija može ograničiti izuzeće na određeno razdoblje i može na njega primijeniti uvjete za subjekt, uključujući:

(a)rokove za provedbu mjera ublažavanja iz stavka 2. točke (b);

(b)redovite revizije koje provode treće strane kako bi se osigurala djelotvorna provedba mjera ublažavanja;

(c)obveze izvješćivanja o sukladnosti.

7.Ako Komisija nakon ocjene iz stavka 3. zaključi da nije opravdano odobriti izuzeće, o tome donosi odluku i o njoj obavješćuje podnositelje zahtjeva u roku od devet mjeseci od primitka zahtjeva.

8.Komisija može na vlastitu inicijativu povući ili izmijeniti odluku iz stavka 4. u jednoj ili više sljedećih situacija:

(a)nastupila je bitna promjena činjenica na kojima se odluka temeljila;

(b)subjekt koji je zatražio izuzeće postupa protivno svojim obvezama;

(c)izuzeće se temeljilo na nepotpunim, netočnim ili obmanjujućim informacijama koje je dostavio subjekt koji je podnio zahtjev.

Članak 106.
Prava na obranu

Komisija osigurava da se prije donošenja provedbenog akta na temelju članka 103. stavka 7. ili prije donošenja odluke o odbijanju izuzeća na temelju članka 105. stavka 7. zbog toga što podnositelj zahtjeva nije dostavio određene elemente ili prije povlačenja odluke na temelju članka 105. stavka 8. dotičnom subjektu pruži mogućnost da bude saslušan, uzimajući u obzir potrebu za hitnim postupkom u nekim slučajevima.

Članak 107.
Registar

Komisija održava javno dostupan registar svojih odluka iz članka 105. stavka 5. U registru se navode imena subjekata koji su bili predmet takvih odluka. Komisija redovito ažurira registar.

Članak 108.
Povjerljivost

Informacije koje Komisija primi na temelju članaka 105. i 106. koriste se samo u svrhu za koju su prikupljene.

Članak 109.
Naknade

1.Komisija naplaćuje naknade za zahtjeve podnesene u skladu s člankom 105. stavkom 1.

2.Naknade se iskazuju i plaćaju u eurima.

3.Naknade su proporcionalne troškovima obrade zahtjeva iz članka 105. stavka 1., procjene kriterija i informacija iz članka 105. stavka 2. te uspostave, održavanja i rada registra iz članka 107. Svi rashodi Komisije za osoblje koje sudjeluje u tim aktivnostima uključeni su u te troškove.

4.Komisija donosi provedbene akte kojima se utvrđuju detaljna pravila o naknadama te određuje iznos naknada i način njihova plaćanja. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.

POGLAVLJE II. 
Lanci opskrbe IKT-om u elektroničkim komunikacijskim mrežama

Članak 110.
Ključna IKT imovina za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže

1.Ključna IKT imovina za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže utvrđena je u Prilogu II.

2.IKT komponente ili komponente koje sadržavaju IKT komponente koje pružaju visokorizični dobavljači postupno se uklanjanju iz ključne IKT imovine pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža

3.Razdoblje za postupno uklanjanje IKT komponenti ili komponenti koje sadržavaju IKT komponente koje pružaju visokorizični dobavljači iz mobilnih elektroničkih komunikacijskih mreža ne smije trajati dulje od 36 mjeseci od objave popisa visokorizičnih dobavljača iz članka 104. relevantnih za pokretne elektroničke komunikacijske mreže.

4.Komisija je ovlaštena za donošenje provedbenih akata u skladu s člankom 118. stavkom 2. kako bi utvrdila rokove za postupno uklanjanje IKT komponenti ili komponenti koje sadržavaju IKT komponente koje pružaju visokorizični dobavljači iz nepokretnih i satelitskih elektroničkih komunikacijskih mreža.

5.Komisija je ovlaštena za donošenje delegiranih akata u skladu s člankom 119. radi izmjene Priloga II. ovoj Uredbi kako bi ga prilagodila tehnološkom razvoju uzimajući u obzir elemente iz članka 103. stavka 4.

Članak 111.
Zabrane za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže

1.Pružatelji pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža ne smiju za rad ključne IKT imovine iz Priloga II. ni u kojem obliku upotrebljavati, ugrađivati ni integrirati IKT komponente ili komponente koje sadržavaju IKT komponente visokorizičnih dobavljača.

2.Ako se nadležno tijelo imenovano na temelju ove Uredbe u državi članici razlikuje od nadležnog tijela na temelju Uredbe (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama], nadležno tijelo imenovano na temelju ove Uredbe bez odgode obavješćuje nadležno tijelo na temelju Uredbe (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama] o mjerama određenima za pružatelje pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža u skladu s člankom 114. Tijela osiguravaju blisku suradnju u svrhu djelotvornog nadzora i provedbe tih mjera.

POGLAVLJE III. 
Nadležna tijela, nadzor i izvršavanje, nadležnost, prava na obranu

Članak 112.
Nadležna tijela

1.Svaka država članica imenuje nadležna tijela iz članka 8. Direktive (EU) 2022/2555 kao tijela odgovorna za poduzimanje nadzornih i izvršnih mjera iz članka 114.

2.Nadležna tijela strukturno su i funkcionalno potpuno nepristrana i slobodna od bilo kakvog vanjskog utjecaja, izravnog ili neizravnog, a osobito ne smiju tražiti niti primati upute ni od kojeg drugog javnog tijela niti od koje privatne strane.

3.Države članice osiguravaju da njihova nadležna tijela imaju odgovarajuće ovlasti, dostatne ljudske i tehničke resurse te relevantno stručno znanje za djelotvornu provedbu nadzornih i izvršnih mjera iz članka 114.

4.Svaka država članica bez nepotrebne odgode obavješćuje Komisiju o imenima nadležnih tijela imenovanih u skladu sa stavkom 1., odgovarajućim zadaćama tih tijela i svim naknadnim promjenama tih zadaća. Svaka država članica također objavljuje imena nadležnih tijela imenovanih u skladu sa stavkom 1.

Članak 113.
Mreža za suradnju i usluge potpore Komisije

Radi djelotvornog nadzora Komisija uspostavlja mrežu za suradnju nadležnih tijela država članica iz članka 112. i Komisije, koja služi kao platforma za suradnju i razmjenu informacija, posebno u svrhu provjere mjesta poslovnog nastana te vlasničke i kontrolne strukture iz članka 104. Komisija toj mreži pruža administrativnu potporu.

Članak 114.
Nadzorne i izvršne mjere

1.Nadležna tijela iz članka 112. imaju pravo poduzeti nadzorne i izvršne mjere nad subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555. Države članice osiguravaju da su te mjere djelotvorne, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinog slučaja. Države članice obavješćuju Komisiju o pravilima donesenima u tu svrhu i njihovim naknadnim izmjenama.

2.Pri izvršavanju svojih nadzornih zadaća nad subjektima iz priloga I. i II. Direktivi (EU) 2022/2555 nadležna tijela imaju ovlasti da te subjekte obvežu barem na sljedeće:

(a)zahtjeve za detaljan i ažuriran popis njihovih relevantnih dobavljača i pružatelja usluga;

(b)zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za provjeru sukladnosti s ovom Uredbom;

(c)inspekcije na lokaciji i neizravni nadzor, uključujući nasumične provjere, koji provode osposobljeni stručnjaci;

(d)zahtjeve koji se odnose na sastav hardverskih ili softverskih proizvoda koji su u bilo kojem obliku instalirani ili integrirani u mrežu ili sustav, uključujući komponente i tranzitivne ovisnosti, u uobičajenom i strojno čitljivom formatu.

3.Pri izvršavanju svojih izvršnih ovlasti nad subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555 nadležna tijela ovlaštena su:

(a)dotičnim subjektima izdavati upozorenja zbog povrede ove Uredbe u kojima navode relevantne činjenice i pravne aspekte;

(b)donositi odluke kojima se od dotičnih subjekata zahtijeva da otklone povredu ove Uredbe ili nedostatke utvrđene u provedbi mjera ublažavanja;

(c)naložiti dotičnim subjektima da obustave aktivnosti protivne ovoj Uredbi i da ih ne ponavljaju; i

(d)izreći sankcije u skladu s pravilima o iznosu utvrđenom u članku 115. ili zatražiti da takve sankcije izreknu relevantna tijela ili sudovi, u skladu s nacionalnim pravom.

4.Pri poduzimanju bilo koje izvršne mjere iz prethodnog stavka nadležna tijela razmatraju okolnosti svakog pojedinačnog slučaja i uzimaju u obzir sljedeće čimbenike:

(a)ozbiljnost povrede i važnost prekršenih odredaba;

(b)trajanje povrede;

(c)relevantan promet predmetnog subjekta;

(d)sve relevantne prethodne povrede koje je počinio dotični subjekt;

(e)ako je primjenjivo, svaku materijalnu ili nematerijalnu štetu prouzročenu povredom, uključujući sve financijske ili gospodarske gubitke, učinke na druge subjekte i broj zahvaćenih korisnika;

(f)svaku namjeru ili nepažnju dotičnog subjekta;

(g)sve mjere koje je subjekt poduzeo radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete;

(h)razinu suradnje s nadležnim tijelima fizičkih ili pravnih osoba koje se smatraju odgovornima.

Za potrebe prvog podstavka točke (a) ozbiljnom povredom smatraju se:

(i)opetovane povrede;

(j)neprijavljivanje ili neispravljanje značajnih incidenata;

(k)neuklanjanje nedostataka u skladu s obvezujućim uputama nadležnih tijela.

5.Nadležna tijela dotične subjekte obavješćuju o svojim preliminarnim nalazima prije nego što poduzmu izvršne mjere. Dotičnim subjektima daje se razuman rok za podnošenje primjedbi na preliminarne nalaze. Nadležna tijela detaljno obrazlažu svoje izvršne mjere.

6.Nadležna tijela poštuju načela povjerljivosti te profesionalne i poslovne tajne.

7.Nadležna tijela surađuju međusobno i s Komisijom za potrebe nadzora i izvršavanja na temelju ove glave u skladu s člankom 116.

Članak 115.
Sankcije

1.Države članice utvrđuju pravila o sankcijama koje se primjenjuju na povrede ove Uredbe te poduzimaju sve potrebne mjere kako bi osigurale njihovo izvršenje.

2.Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće. Države članice obavješćuju Komisiju o tim pravilima i tim mjerama te je bez odgode obavješćuju o svim naknadnim izmjenama koje na njih utječu.

3.Sankcije se izriču uz bilo koju od mjera iz članka 114. stavka 3. točaka (a), (b) i (c).

4.Pri odlučivanju o izricanju sankcije i o njezinu iznosu u svakom pojedinom slučaju dužna pozornost posvećuje se barem čimbenicima iz članka 114. stavka 4. prvog podstavka.

5.Za povrede članka 103. stavka 2. točke (a) primjenjuju se, u skladu sa stavkom 3. ovog članka, sankcije u iznosu od najviše 1 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini poduzeća kojem subjekt pripada.

6.Za povrede članka 103. stavka 2. točaka od (b) do (g) primjenjuju se, u skladu sa stavkom 3. ovog članka, sankcije u iznosu od najviše 2 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini poduzeća kojem subjekt pripada.

7.Za povrede članka 103. stavka 1. i članka 111. primjenjuju se, u skladu sa stavkom 3. ovog članka, sankcije od najviše 7 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini poduzeća kojem subjekt pripada.

Članak 116.
Uzajamna pomoć

1.Ako subjekt vrste iz priloga I. ili II. Direktivi (EU) 2022/2555 pruža usluge u više država članica ili pruža usluge u jednoj ili više država članica, a njegova ključna IKT imovina nalazi se u jednoj ili više drugih država članica, nadležna tijela predmetnih država članica surađuju međusobno i s Komisijom te pomažu jedna drugima i Komisiji u cilju djelotvorne i učinkovite primjene Uredbe. U tu svrhu primjenjuju se najmanje sljedeća pravila:

(a)nadležna tijela koja primjenjuju nadzorne ili izvršne mjere u državi članici obavješćuju i savjetuju se s nadležnim tijelima u drugim dotičnim državama članicama o poduzetim nadzornim i izvršnim mjerama;

(b)nadležno tijelo u državi članici može zatražiti od drugog nadležnog tijela u drugoj državi članici da poduzme nadzorne ili izvršne mjere;

(c)nadležno tijelo u državi članici po primitku obrazloženog zahtjeva drugog nadležnog tijela u drugoj državi članici tom drugom tijelu pruža uzajamnu pomoć u okviru svojih mogućnosti kako bi se nadzorne ili izvršne mjere mogle provesti na djelotvoran, učinkovit i dosljedan način.

2.Uzajamna pomoć iz stavka 1. točke (c) može obuhvaćati zahtjeve za informacije i nadzorne mjere, uključujući zahtjeve za provođenje inspekcija na lokaciji ili neizravnog nadzora ili ciljanih revizija sigurnosti. Nadležno tijelo kojem je upućen zahtjev za pomoć ne smije odbiti taj zahtjev osim u slučaju da se utvrdi da to tijelo nema nadležnost za pružanje zatražene pomoći, da zatražena pomoć nije razmjerna nadzornim zadaćama nadležnog tijela ili da se zahtjev odnosi na informacije ili uključuje aktivnosti koje bi, u slučaju da se otkriju ili provedu, bile suprotne osnovnim interesima nacionalne sigurnosti, javne sigurnosti ili obrane države članice. Prije odbijanja takvog zahtjeva nadležno tijelo savjetuje se s drugim dotičnim nadležnim tijelima te, na zahtjev jedne od dotičnih država članica, s Komisijom.

3.Prema potrebi i uz međusobnu suglasnost, nadležna tijela iz različitih država članica mogu provoditi zajedničke nadzorne aktivnosti.

4.Zbog obveze poštovanja načela povjerljivosti te profesionalne i poslovne tajne kako je navedeno u članku 114. stavku 6., sve informacije koje se razmjenjuju u kontekstu zahtjeva za pomoć i daju na temelju ovog članka koriste se samo u onu svrhu za koju su zatražene.

Članak 117.
Nadležnost i teritorijalnost

1.Smatra se da su subjekti vrste navedene u prilozima I. i II. Direktivi (EU) 2022/2555 koji su obuhvaćeni područjem primjene ove Uredbe u nadležnosti države članice u kojoj imaju poslovni nastan, osim u sljedećim slučajevima:

(a)pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga, za koje se smatra da su u nadležnosti države članice u kojoj pružaju svoje usluge;

(b)pružatelji usluga DNS-a, registri naziva vršnih domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga te pružatelji internetskih tržišta, internetskih tražilica ili platformi za usluge društvenih mreža, za koje se smatra da su u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji u skladu sa stavkom 2.;

(c)subjekti javne uprave za koje se smatra da su u nadležnosti države članice kojoj pripadaju;

(d)zračni prijevoznici za koje se smatra da su u nadležnosti države članice čije je nadležno tijelo za izdavanje licencija subjektu izdalo operativnu licenciju u skladu s Uredbom (EZ) br. 1008/2008 Europskog parlamenta i Vijeća 83 ili, ako operativna licencija ili jednakovrijedna licencija nije izdana u skladu s tom uredbom, u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji u skladu sa stavkom 2.

2.Za potrebe ove Uredbe smatra se da subjekt iz stavka 1. točke (b) ima glavni poslovni nastan u Uniji u državi članici u kojoj se pretežno donose odluke povezane s mjerama upravljanja kibernetičkosigurnosnim rizicima. Ako se takva država članica ne može utvrditi ili ako se takve odluke ne donose u Uniji, smatra se da se glavni poslovni nastan nalazi u državi članici u kojoj se provodi većina kibernetičkosigurnosnih operacija. Ako se takva država članica ne može utvrditi, smatra se da se glavni poslovni nastan nalazi u državi članici u kojoj subjekt ima poslovnu jedinicu s najvećim brojem zaposlenika u Uniji.

3.Ako subjekt vrste navedene u prilozima I. i II. Direktivi (EU) 2022/2555 nema poslovni nastan u Uniji, ali nudi usluge unutar Unije, mora imenovati predstavnika u Uniji. Predstavnik mora imati poslovni nastan u jednoj od država članica u kojima se nude usluge. Smatra se da je takav subjekt u nadležnosti one države članice u kojoj njegov predstavnik ima poslovni nastan. Ako je takav subjekt subjekt iz stavka 1. točke (a), smatra se da je u nadležnosti one države članice u kojoj pruža svoje usluge. Ako predstavnik u Uniji nije imenovan u skladu s ovim člankom, svaka država članica u kojoj subjekt pruža usluge može poduzeti pravne mjere protiv subjekta zbog povrede ove Uredbe.

4.Imenovanjem predstavnika koje obavlja subjekt iz stavka 1. točke (b) ne dovode se u pitanje pravni postupci koji bi se mogli poduzeti protiv tog subjekta.

5.Države članice koje su primile zahtjev za uzajamnu pomoć u vezi sa subjektom iz stavka 1. točke (b) mogu, u okvirima tog zahtjeva, poduzeti odgovarajuće nadzorne i izvršne mjere nad dotičnim subjektom ako on pruža usluge ili ima mrežni i informacijski sustav na njihovu državnom području.

GLAVA VI. 
ZAVRŠNE ODREDBE

Članak 118.
Postupak odbora

1.Komisiji pomaže odbor. Taj odbor ima dva sastava. U pogledu glava II. i III. Komisiji pomaže odbor u prvom sastavu, a u pogledu glave IV. pomaže joj odbor u drugom sastavu. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.Pri upućivanju na ovaj stavak primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

Članak 119.
Izvršavanje delegiranja ovlasti

1.Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.

2.Ovlast za donošenje delegiranih akata u skladu s člankom 80. stavkom 2. i člankom 110. stavkom 5. dodjeljuje se Komisiji na neodređeno vrijeme počevši od datuma stupanja na snagu ove Uredbe.

3.Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 80. stavka 2. i članka 110. stavka 5. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Opoziv počinje proizvoditi učinke sljedećeg dana od dana objave spomenute odluke u Službenom listu Europske unije ili na kasniji dan naveden u spomenutoj odluci. On ne utječe na valjanost delegiranih akata koji su već na snazi. 

4.Prije donošenja delegiranog akta Komisija se savjetuje sa stručnjacima koje je imenovala svaka država članica u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016.

5.Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.

6.Delegirani akt donesen na temelju članka 80. stavka 2. i članka 110. stavka 5. stupa na snagu samo ako ni Europski parlament ni Vijeće u roku od dva mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne podnesu nikakav prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće podnijeti prigovore. Taj se rok produljuje za dva mjeseca na inicijativu Europskog parlamenta ili Vijeća. 

Članak 120.
Ocjenjivanje i revizija

1.Komisija do [DD MM GGGG] i svakih pet godina nakon toga naručuje evaluaciju koja se provodi u skladu sa smjernicama Komisije.

2.Evaluacija iz stavka 1. uključuje procjenu:

(a)rezultata ENISA-e u odnosu na njezine ciljeve, mandat, misiju, zadaće, upravljanje i lokaciju;

(b)djelotvornosti, učinkovitosti i europske dodane vrijednosti sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti kako je utvrđeno u glavi II. poglavlju II. odjeljku 4. ove Uredbe;

(c)učinka, djelotvornosti i učinkovitosti odredaba iz glave III. ove Uredbe u odnosu na ciljeve osiguravanja odgovarajuće razine kibernetičke sigurnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i subjekata u Uniji te poboljšanja funkcioniranja unutarnjeg tržišta;

(d)učinka, djelotvornosti i učinkovitosti odredaba glave IV. ove Uredbe u odnosu na ciljeve uspostave okvira za pouzdani lanac opskrbe IKT-om.

3.U evaluaciji iz stavka 1. točke (a) posebno se procjenjuju moguća potreba za izmjenom mandata ENISA-e i financijski učinci takve izmjene.

4.Pri svakoj drugoj evaluaciji iz stavka 1. točke (a) Komisija ocjenjuje rezultate koje je ENISA ostvarila s obzirom na svoje ciljeve, mandat, misiju, upravljanje i zadaće, uključujući procjenu opravdanosti nastavka rada ENISA-e s obzirom na te ciljeve, mandat, misiju, upravljanje i zadaće.

5.Komisija o nalazima evaluacije izvješćuje Europski parlament, Vijeće i Upravni odbor. Nalazi evaluacije se objavljuju.

Članak 121.
Stavljanje izvan snage i nastavak aktivnosti

1.Uredba (EU) 2019/881 Europskog parlamenta i Vijeća stavlja se izvan snage s učinkom od DDMMGGG.

2.Upućivanja na Uredbu (EU) 2019/881, ENISA-u i europske programe kibernetičkosigurnosne certifikacije kako su uspostavljeni tom uredbom smatraju se upućivanjima na ovu Uredbu i čitaju se u skladu s korelacijskom tablicom iz Priloga III. ovoj Uredbi.

3.ENISA, kako je uređena ovom Uredbom, nastavlja s radom i aktivnostima agencije osnovane Uredbom (EU) 2019/881 u pogledu cjelokupnog vlasništva, svih sporazuma, pravnih obveza, ugovora o radu, financijskih obveza i odgovornosti. Sve odluke Upravnog odbora i Izvršnog odbora donesene u skladu s Uredbom (EU) 2019/881 ostaju na snazi ako su u skladu s ovom Uredbom.

4.Izvršni direktor imenovan u skladu s člankom 15. stavkom 1. točkom (n) Uredbe (EU) 2019/881 ostaje na dužnosti te obavlja zadaće i odgovornosti izvršnog direktora kako je navedeno u članku 32. ove Uredbe do kraja preostalog mandata izvršnog direktora. Ostali uvjeti njegova ugovora ostaju nepromijenjeni.

5.Za izradu prijedloga programa koja je zatražena u skladu s člankom 49. Uredbe (EU) 2019/881 smatra se da je zatražena u skladu s odgovarajućim odredbama ove Uredbe. Odredbe glave III. ove Uredbe na odgovarajući se način primjenjuju na te prijedloge programa.

6.Članovi Upravnog odbora koje je imenovala Komisija i njihovi zamjenici imenovani u skladu s člankom 14. Uredbe (EU) 2019/881 ostaju na dužnosti i djeluju u Upravnom odboru u skladu s člankom 27. ove Uredbe za preostalo razdoblje svojeg mandata. Članovi Upravnog odbora koje su imenovale države članice na temelju članka 14. Uredbe (EU) 2019/881 ostaju na dužnosti i djeluju u Upravnom odboru u skladu s člankom 27. ove Uredbe, pod uvjetom da obavljaju funkcije iz članka 24. stavka 3. ove Uredbe.

Članak 122.
Stupanje na snagu

Ova Uredba stupa na snagu […] dana od dana objave u Službenom listu Europske unije.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Strasbourgu,

IZVJEŠTAJ O FINANCIJSKIM I DIGITALNIM ASPEKTIMA ZAKONODAVNOG PRIJEDLOGA

1.OKVIR PRIJEDLOGA/INICIJATIVE3

1.1.Naslov prijedloga/inicijative3

1.2.Predmetna područja politike3

1.3.Ciljevi3

1.3.1.Opći ciljevi3

1.3.2.Specifični ciljevi3

1.3.3.Očekivani rezultati i učinak3

1.3.4.Pokazatelji uspješnosti3

1.4.Prijedlog/inicijativa odnosi se na:4

1.5.Obrazloženje prijedloga/inicijative4

1.5.1.Potrebe koje treba zadovoljiti kratkoročno ili dugoročno, uključujući detaljan vremenski okvir provedbe inicijative4

1.5.2.Dodana vrijednost sudjelovanja EU-a (može proizlaziti iz različitih čimbenika, npr. prednosti koordinacije, pravne sigurnosti, veće djelotvornosti ili komplementarnosti). Za potrebe ovog odjeljka „dodana vrijednost sudjelovanja EU-a” je vrijednost koja proizlazi iz djelovanja EU-a i dodatna je u odnosu na vrijednost koju bi države članice inače ostvarile same.4

1.5.3.Pouke iz prijašnjih sličnih iskustava4

1.5.4.Usklađenost s višegodišnjim financijskim okvirom i moguće sinergije s drugim prikladnim instrumentima5

1.5.5.Ocjena različitih dostupnih mogućnosti financiranja, uključujući mogućnost preraspodjele5

1.6.Trajanje prijedloga/inicijative i njegova/njezina financijskog učinka6

1.7.Planirani načini izvršenja proračuna6

2.MJERE UPRAVLJANJA8

2.1.Pravila praćenja i izvješćivanja8

2.2.Sustavi upravljanja i kontrole8

2.2.1.Obrazloženje načina izvršenja proračuna, mehanizama provedbe financiranja, načina plaćanja i predložene strategije kontrole8

2.2.2.Informacije o utvrđenim rizicima i sustavima unutarnje kontrole uspostavljenima za njihovo smanjenje8

2.2.3.Procjena i obrazloženje troškovne učinkovitosti kontrola (omjer troškova kontrola i vrijednosti sredstava kojima se upravlja) i procjena očekivane razine rizika od pogreške (pri plaćanju i pri zaključenju)8

2.3.Mjere za sprečavanje prijevara i nepravilnosti9

3.PROCIJENJENI FINANCIJSKI UČINAK PRIJEDLOGA/INICIJATIVE10

3.1.Naslovi višegodišnjeg financijskog okvira i proračunske linije rashoda na koje prijedlog/inicijativa ima učinak10

3.2.Procijenjeni financijski učinak prijedloga na odobrena sredstva12

3.2.1.Sažetak procijenjenog učinka na odobrena sredstva za poslovanje12

3.2.1.1.Odobrena sredstva iz izglasanog proračuna12

3.2.1.2.Odobrena sredstva iz vanjskih namjenskih prihoda17

3.2.2.Procijenjena ostvarenja financirana odobrenim sredstvima za poslovanje22

3.2.3.Sažetak procijenjenog učinka na administrativna odobrena sredstva24

3.2.3.1. Odobrena sredstva iz izglasanog proračuna24

3.2.3.2.Odobrena sredstva iz vanjskih namjenskih prihoda24

3.2.3.3.Ukupna odobrena sredstva24

3.2.4.Procijenjene potrebe za ljudskim resursima25

3.2.4.1.Financirano iz izglasanog proračuna25

3.2.4.2.Financirano iz vanjskih namjenskih prihoda26

3.2.4.3.Ukupne potrebe za ljudskim resursima26

3.2.5.Pregled procijenjenog učinka na ulaganja povezana s digitalnom tehnologijom28

3.2.6.Usklađenost s aktualnim višegodišnjim financijskim okvirom28

3.2.7.Doprinos trećih strana28

3.3.Procijenjeni učinak na prihode29

4.Digitalni aspekti29

4.1.Zahtjevi relevantni za digitalizaciju30

4.2.Podaci30

4.3.Digitalna rješenja31

4.4.Procjena interoperabilnosti31

4.5.Mjere za potporu digitalnoj provedbi32

1.OKVIR PRIJEDLOGA/INICIJATIVE 

1.1.Naslov prijedloga/inicijative

1.2.Predmetna područja politike 

1.3.Ciljevi

1.3.1.Opći ciljevi

1.3.2.Specifični ciljevi

1.3.3.Očekivani rezultati i učinak

Navesti očekivane učinke prijedloga/inicijative na ciljane korisnike/skupine.

1.3.4.Pokazatelji uspješnosti

Navesti pokazatelje za praćenje napretka i postignuća.

1.4.Prijedlog/inicijativa odnosi se na: 

 novo djelovanje (glava IV. Lanac opskrbe, glava V. Pojednostavnjenje)

 novo djelovanje nakon pilot-projekta / pripremnog djelovanja 84  

 produljenje postojećeg djelovanja (glava II. Mandat ENISA-e i glava III. Certifikacija)

 spajanje ili preusmjeravanje jednog ili više djelovanja u drugo/novo djelovanje

1.5.Obrazloženje prijedloga/inicijative 

1.5.1.Potrebe koje treba zadovoljiti kratkoročno ili dugoročno, uključujući detaljan vremenski okvir provedbe inicijative

1.5.2.Dodana vrijednost sudjelovanja EU-a (može proizlaziti iz različitih čimbenika, npr. prednosti koordinacije, pravne sigurnosti, veće djelotvornosti ili komplementarnosti). Za potrebe ovog odjeljka „dodana vrijednost sudjelovanja EU-a” je vrijednost koja proizlazi iz djelovanja EU-a i dodatna je u odnosu na vrijednost koju bi države članice inače ostvarile same.

1.5.3.Pouke iz prijašnjih sličnih iskustava

1.5.4.Usklađenost s višegodišnjim financijskim okvirom i moguće sinergije s drugim prikladnim instrumentima

1.5.5.Ocjena različitih dostupnih mogućnosti financiranja, uključujući mogućnost preraspodjele

1.6.Trajanje prijedloga/inicijative i njegova/njezina financijskog učinka

Ograničeno trajanje

–    na snazi od [DD. MM.] GGGG. do [DD. MM.] GGGG.

–    financijski učinak od GGGG. do GGGG. za odobrena sredstva za preuzimanje obveza i od GGGG. do GGGG. za odobrena sredstva za plaćanje

Neograničeno trajanje

–početna provedba od GGGG. do GGGG.

–redovna provedba.

1.7.Planirani načini izvršenja proračuna 

 Izravno upravljanje Komisije

– preko njezinih službi, uključujući osoblje u delegacijama Unije

–    preko izvršnih agencija

 Podijeljeno upravljanje s državama članicama

 Neizravno upravljanje povjeravanjem zadaća izvršenja proračuna:

– trećim zemljama ili tijelima koja su one imenovale

– međunarodnim organizacijama i njihovim agencijama (navesti)

– Europskoj investicijskoj banci i Europskom investicijskom fondu

– tijelima iz članaka 70. i 71. Financijske uredbe

– tijelima javnog prava

– tijelima uređenima privatnim pravom koja pružaju javne usluge, u mjeri u kojoj su im dana odgovarajuća financijska jamstva

– tijelima uređenima privatnim pravom države članice kojima je povjerena provedba javno-privatnog partnerstva i kojima su dana odgovarajuća financijska jamstva

– tijelima ili osobama kojima je povjerena provedba posebnih djelovanja u okviru zajedničke vanjske i sigurnosne politike u skladu s glavom V. Ugovora o Europskoj uniji i koji su navedeni u relevantnom temeljnom aktu

– tijelima osnovanima u državi članici koja su uređena privatnim pravom države članice ili pravom Unije i ispunjavaju uvjete da im se u skladu sa sektorskim pravilima povjeri izvršavanje sredstava Unije ili proračunskih jamstava, ako su ta tijela pod nadzorom tijela javnog prava ili tijela uređenih privatnim pravom koja pružaju javne usluge i ta su im nadzorna tijela dala odgovarajuća financijska jamstva u obliku solidarne odgovornosti ili jednakovrijedna financijska jamstva, koja za svako djelovanje mogu biti ograničena na najviši iznos potpore Unije.

Napomene

2.MJERE UPRAVLJANJA 

2.1.Pravila praćenja i izvješćivanja 

2.2.Sustavi upravljanja i kontrole 

2.2.1.Obrazloženje načina izvršenja proračuna, mehanizama provedbe financiranja, načina plaćanja i predložene strategije kontrole

2.2.2.Informacije o utvrđenim rizicima i sustavima unutarnje kontrole uspostavljenima za njihovo smanjenje

2.2.3.Procjena i obrazloženje troškovne učinkovitosti kontrola (omjer troškova kontrola i vrijednosti sredstava kojima se upravlja) i procjena očekivane razine rizika od pogreške (pri plaćanju i pri zaključenju) 

2.3.Mjere za sprečavanje prijevara i nepravilnosti 

3.PROCIJENJENI FINANCIJSKI UČINAK PRIJEDLOGA/INICIJATIVE 

3.1.Naslovi višegodišnjeg financijskog okvira i proračunske linije rashoda na koje prijedlog/inicijativa ima učinak 

·Postojeće proračunske linije

Prema redoslijedu naslova višegodišnjeg financijskog okvira i proračunskih linija.

Naslov višegodišnjeg financijskog okvira	Proračunska linija	Vrsta rashoda	Doprinos
	Broj	Dif./nedif. 99	zemalja EFTA-e 100	zemalja kandidatkinja i potencijalnih kandidata 101	ostalih trećih zemalja	drugi namjenski prihodi
	[XX YY YY YY]	Nedif.	UZO-a DA	NE	NE	DA/NE
	[XX YY YY YY]	Dif./nedif.	DA/NE	DA/NE	DA/NE	DA/NE
	[XX YY YY YY]	Dif./nedif.	DA/NE	DA/NE	DA/NE	DA/NE

·Zatražene nove proračunske linije

Prema redoslijedu naslova višegodišnjeg financijskog okvira i proračunskih linija.

Naslov višegodišnjeg financijskog okvira	Proračunska linija	Vrsta rashoda	Doprinos
	Broj	Dif./nedif.	zemalja EFTA-e	zemalja kandidatkinja i potencijalnih kandidata	ostalih trećih zemalja	drugi namjenski prihodi
	[XX YY YY YY]	Dif./nedif.	DA/NE	DA/NE	DA/NE	DA/NE
	[XX YY YY YY]	Dif./nedif.	DA/NE	DA/NE	DA/NE	DA/NE
	[XX YY YY YY]	Dif./nedif.	DA/NE	DA/NE	DA/NE	DA/NE

3.2.Procijenjeni financijski učinak prijedloga na odobrena sredstva 

3.2.1.Sažetak procijenjenog učinka na odobrena sredstva za poslovanje 

–    Za prijedlog/inicijativu nisu potrebna odobrena sredstva za poslovanje.

–    Za prijedlog/inicijativu potrebna su sljedeća odobrena sredstva za poslovanje:

3.2.1.1.Odobrena sredstva iz izglasanog proračuna

U milijunima EUR (na tri decimale)

Agencija: ENISA	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.	UKUPNO VFO 2028. – 2034.
Proračunska linija: <…….> / Dodatni doprinos agenciji iz proračuna EU-a	20,900	20,594	25,338	26,801	26,801	26,301	26,301	173,006

Odobrena sredstva / doprinos agenciji iz proračuna EU-a nadoknadit će se smanjenjem omotnice za program <…….> / proračunsku liniju: <…….> / u godini/godinama: <…….> .

						Godina		Godina			Godina		Godina			Godina		Godina	Godina			UKUPNO VFO 2028. – 2034.
						2028.		2029.			2030.		2031.			2032.		2033.	2034.
UKUPNA odobrena sredstva za poslovanje		Obveze		(4)		20,900		20,594			25,338		26,801			26,801		26,301	26,301			173,006
		Plaćanja		(5)		20,900		20,594			25,338		26,801			26,801		26,301	26,301			173,006
UKUPNA administrativna odobrena sredstva koja se financiraju iz omotnice za posebne programe				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
UKUPNA odobrena sredstva iz NASLOVA 2.		Obveze				=4+6		22,265			21,959		26,808			28,586		28,901	28,716			28,926	186,161
višegodišnjeg financijskog okvira		Plaćanja				=5+6		22,265			20,890		24,851			26,254		26,254	25,754			25,754	186,161
Glavna uprava: CNECT									Godina			Godina		Godina	Godina		Godina			Godina	Godina			UKUPNO VFO 2028. – 2034.
									2028.			2029.		2030.	2031.		2032.			2033.	2034.
 Ljudski resursi									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Ostali administrativni rashodi									0			0		0	0		0			0	0			0
UKUPNO GU CNECT	Odobrena sredstva		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
UKUPNA odobrena sredstva iz NASLOVA 4. višegodišnjeg financijskog okvira					(Ukupne obveze = ukupna plaćanja)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

U milijunima EUR (na tri decimale)

			Godina		Godina		Godina		Godina		Godina		Godina		Godina		UKUPNO VFO 2028. – 2034.
			2028.		2029.		2030.		2031.		2032.		2033.		2034.
UKUPNA odobrena sredstva iz NASLOVA 1. – 4.	Obveze		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
višegodišnjeg financijskog okvira		Plaćanja		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Procijenjena ostvarenja financirana odobrenim sredstvima za poslovanje (ne ispunjava se za decentralizirane agencije)

Odobrena sredstva za preuzimanje obveza u milijunima EUR (na tri decimale)

Navesti ciljeve i ostvarenja 

Godina 2028.

Godina 2029.

Godina 2030.

Godina 2031.

Unijeti onoliko godina koliko je potrebno za prikaz trajanja učinka (vidjeti odjeljak 1.6.)

UKUPNO

OSTVARENJA

Vrsta 102

Prosječni trošak

Broj

Trošak

Broj

Trošak

Broj

Trošak

Broj

Trošak

Broj

Trošak

Broj

Trošak

Broj

Trošak

Ukupni broj

Ukupni trošak

SPECIFIČNI CILJ br. 1 103 …

– Ostvarenje

– Ostvarenje

– Ostvarenje

Međuzbroj za specifični cilj br. 1

SPECIFIČNI CILJ br. 2...

– Ostvarenje

Međuzbroj za specifični cilj br. 2

UKUPNO

3.2.3.Sažetak procijenjenog učinka na administrativna odobrena sredstva 

–    Za prijedlog/inicijativu nisu potrebna administrativna odobrena sredstva.

–    Za prijedlog/inicijativu potrebna su sljedeća administrativna odobrena sredstva:

3.2.3.1. Odobrena sredstva iz izglasanog proračuna

(dodatno)

IZGLASANA ODOBRENA SREDSTVA	Godina	Godina	Godina	Godina	Godina	Godina	Godina	UKUPNO 2028. – 2034.
	2028.	2029.	2030.	2031.	2032.	2033.	2034.
NASLOV 4.
Ljudski resursi	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Ostali administrativni rashodi	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Međuzbroj za NASLOV 4.	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Izvan NASLOVA 4.
Ljudski resursi	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Ostali administrativni rashodi	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Međuzbroj izvan NASLOVA 4.	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
UKUPNO	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Procijenjene potrebe za ljudskim resursima (dodatne)

–    Za prijedlog/inicijativu nisu potrebni ljudski resursi.

–    Za prijedlog/inicijativu potrebni su sljedeći ljudski resursi:

3.2.4.1.Financirano iz izglasanog proračuna

Procjenu navesti u ekvivalentima punog radnog vremena (EPRV) 104

IZGLASANA ODOBRENA SREDSTVA		Godina	Godina	Godina	Godina	Godina	Godina	Godina
		2028.	2029.	2030.	2031.	2032.	2033.	2034.
Radna mjesta prema planu radnih mjesta (dužnosnici i privremeno osoblje)
20 01 02 01 (Sjedište i predstavništva Komisije)		12	12	16	18	20	22	25
20 01 02 03 (Delegacije EU-a)		0	0	0	0	0	0	0
(Neizravno istraživanje)		0	0	0	0	0	0	0
(Izravno istraživanje)		0	0	0	0	0	0	0
Druge proračunske linije (navesti)		0	0	0	0	0	0	0
• Vanjsko osoblje (EPRV)
20 02 01(UO, UNS iz „globalne omotnice”)		0	0	0	0	0	0	0
20 02 03 (UO, LO, UNS i MSD u delegacijama EU-a)		0	0	0	0	0	0	0
Linija za administrativnu potporu	– u sjedištu	0	0	0	0	0	0	0
[XX 01 YY YY]	– u delegacijama EU-a	0	0	0	0	0	0	0
(UO, UNS – neizravno istraživanje)		0	0	0	0	0	0	0
(UO, UNS – izravno istraživanje)		0	0	0	0	0	0	0
Druge proračunske linije (navesti) – naslov 4.		0	0	0	0	0	0	0
Druge proračunske linije (navesti) – izvan naslova 4.		13	13	14	17	20	23	25
UKUPNO		25	25	30	35	40	45	50

Osoblje potrebno za provedbu prijedloga (EPRV):

	Sadašnje osoblje službi Komisije	Dodatno osoblje
		Financira se u okviru naslova 7. ili istraživanja	Financira se iz linije BA	Financira se iz naknada
Radna mjesta prema planu radnih mjesta		25
Vanjsko osoblje (UO, UNS, UsO)			25

Procijenjeni učinak na rashode i osoblje za 2028. i nakon toga okviran je i ne prejudicira sljedeći višegodišnji financijski okvir. Izvor financiranja i opseg financijskih obveza Unije u razdoblju nakon 2027. i dalje ovise o ishodu međuinstitucijskih pregovora o VFO-u za razdoblje 2028. – 2034. te o godišnjem proračunskom postupku i upravljačkom mehanizmu.

Opis zadaća koje će unutar Komisije obavljati sektorska glavna uprava

Dužnosnici i privremeno osoblje

Koordinacija ENISA-e (1): Predstavljanje Komisije u Upravnom odboru Agencije. izrada mišljenja Komisije o jedinstvenom programskom dokumentu BEREC-a i praćenje njegove provedbe; nadzor pripreme proračuna agencije i praćenje njegova izvršenja; pružanje pomoći Agenciji u razvoju aktivnosti u skladu s politikama Unije, među ostalim sudjelovanjem na relevantnim sastancima; Programi za izdavanje potvrda o vještinama/Akademija za vještine (2): U GU-u CNECT bit će potrebno dodatno osoblje za izradu provedbenih akata kojima se utvrđuju naknade koje će ENISA naplaćivati podnositeljima zahtjeva kako bi postali ovlašteni pružatelji. Tih će provedbenih akata biti najmanje 12, po jedan za svaki profil Europskog okvira za vještine u području kibernetičke sigurnosti. Lanac opskrbe (25): potpora izradi Unijinih koordiniranih procjena rizika; provođenje ekonomske analize za svaki IKT proizvod/uslugu koji se razmatraju; izrada nacrta odgovarajućih provedbenih akata o utvrđivanju ključne imovine, predloženim mjerama ublažavanja i kvalifikaciji zemalja koje predstavljaju strateške kibernetičkosigurnosne rizike za određenu ključnu imovinu, utvrđivanju visokorizičnih dobavljača, provjeri zahtjeva za izuzeće i izradi odluka Komisije; podupiranje provedbe i nadzora donesenih mjera; Europski okvir za kibernetičkosigurnosnu certifikaciju, normizacija i provedba povezanih aktivnosti, provedba Direktive NIS 2 (17): provedba Akta o kibernetičkoj sigurnosti, posebno upravljanje tijelima za ocjenjivanje sukladnosti (osporavanje odgovornosti); sudjelovanje dionika (i Skupština); uzajamno priznavanje s trećim zemljama; izrada standardiziranih provedbenih akata (detaljni zahtjevi za koje treba provesti savjetovanje i izraditi ogledne odredbe); održavanje sustava, pravna revizija, postupak komitologije; koordinacija sa Skupinom za suradnju u području sigurnosti mrežnih i informacijskih sustava i održavanje programa za subjekte; provedbeni akti na temelju Direktive NIS 2; usklađenost tijela za ocjenjivanje sukladnosti s Aktom o kibernetičkoj sigurnosti, pretpostavka sukladnosti i normizacija; koordinacija nadzora tržišta i nacionalnih tijela za kibernetičkosigurnosnu certifikaciju; tehničko usklađivanje Akta o kibernetičkoj otpornosti i programa certificiranja. Operativna koordinacija i svijest o situaciji (5): sektorsko stručno znanje i stručno znanje o akterima prijetnji za doprinos svijesti o situaciji na razini EU-a u pogledu prijetnji kritičnoj infrastrukturi, među ostalim pomoću tehnologija u nastajanju; koordinacija s ENISA-om i drugim subjektima i mrežama EU-a radi pripreme za značajne kibernetičke incidente i kibernetičke incidente velikih razmjera.

Vanjsko osoblje

Kao gore

Opis dodatnih zadaća koje će ENISA obavljati:

Dužnosnici i privremeno osoblje

Upravljanje pričuvom EU-a za kibernetičku sigurnost (voditelji na razini zemalja i potpora za provedbu, dok se stvarni operativni troškovi pričuve pokrivaju kako je predviđeno Aktom o kibernetičkoj solidarnosti) (10) upravljanje jedinstvenom platformom za izvješćivanje na temelju Akta o kibernetičkoj otpornosti (operacija) (9) usluge upravljanja ranjivostima povezane s jedinstvenom platformom za izvješćivanje (4) proširenje platforme na jedinstvenu ulaznu točku (razvoj i rad) (8) razvoj tehničkih smjernica, stručnog znanja o sigurnosti proizvoda i analize tržišta kako bi se poduprla provedba Akta o kibernetičkoj otpornosti (7) normizacija za potporu provedbi Akta o kibernetičkoj otpornosti/certificiranja/Direktive NIS 2 (4) potpora aktivnostima nadzora tržišta na temelju Akta o kibernetičkoj otpornosti (4) potpora ispitivanju sukladnosti i sigurnosnim evaluacijama proizvoda (4) potpora državama članicama u aktivnostima uzajamne pomoći (3) pružanje usluga upravljanja ranjivostima, održavanje baze podataka EU-a o ranjivostima i obavljanje savjetodavnih funkcija i funkcija obogaćivanja (koordinirano otkrivanje ranjivosti) (15) operativna suradnja i svijest o situaciji – platforme za ublažavanje i potporu kao što su CNW/CyCLONe podupiranje zadaća povezanih s obavijestima o uzbuni podupiranje pojačane koordinacije s drugim relevantnim subjektima kako bi se razvili repozitoriji provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama (članak 11. stavak 1.a Akta o kibernetičkoj sigurnosti 2) (5) potpora otpornosti ključnih sektora (uključujući provedbu Akcijskog plana za kibernetičku sigurnost u zdravstvu) (4) razvoj programa za izdavanje potvrda o vještinama (2) održavanje i nadzor programa za izdavanje potvrda o vještinama (6) administracija (računovođa za naknade/HR/IT) (8) održavanje programa certifikacije (11) horizontalne zadaće – veća uključenost dionika, izrada tehničkih specifikacija i sudjelovanje u aktivnostima normizacije radi potpore programima (1)

Vanjsko osoblje

Kao gore Dva obvezna upućena nacionalna stručnjaka po državi članici, koji su nacionalni časnici za vezu, radi podupiranja aktivnosti Agencije, prvenstveno za potrebe operativne suradnje i koordiniranog otkrivanja ranjivosti. (13) Za ostalih 27 upućenih nacionalnih stručnjaka predviđeno je da neće stvarati troškove i stoga nemaju utjecaj na proračun.

Dodatni godišnji operativni troškovi za ENISA-u za razdoblje 2028. – 2034.:

Trošak	Proračun	Rok	Objašnjenje
Internetske stranice o vještinama u području kibernetičke sigurnosti	750 000 EUR	50 % u 2029. 50 % u 2030.	Kako bi se osigurala transparentnost postupaka, u prijedlogu se od ENISA-e zahtijeva da održava internetske stranice s informacijama o profilima Europskog okvira za kibernetičkosigurnosnu certifikaciju, sustavima potvrda, naknadama za svaki program, preporučenim naknadama za svaku potvrdu i popisu ovlaštenih izdavatelja potvrda.
Koordinirano otkrivanje ranjivosti	1 milijun EUR	Od 2028.	Sigurnost proizvoda i usluga koji se koriste u našoj kritičnoj infrastrukturi uvelike ovisi o pravodobnoj razmjeni informacija o otkrivenim ranjivostima i načinima njihova ublažavanja.
Obavještajni podaci o prijetnjama u području kibernetičke sigurnost	3 milijuna EUR	Od 2028.	Za izradu pregleda svijesti o situaciji u suradnji s ENISA-om i Komisijom.
Jedinstvena ulazna točka	8 milijuna EUR	6 milijuna EUR u 2028. 500 000 EUR u 2029. 500 000 EUR u 2030. 500 000 EUR u 2031. 500 000 EUR u 2032.	Kako bi se mogla uspostaviti i održavati jedinstvena ulazna točka radi ostvarivanja Komisijina prijedloga iz Digitalnog omnibusa koji se odnosi na olakšavanje ispunjavanja obveza izvješćivanja o kibernetičkosigurnosnim incidentima i povredi podataka.
Održavanje platforme za jedinstveno izvješćivanje uspostavljene na temelju Akta o kibernetičkoj sigurnosti i drugo	3 milijuna EUR	Od 2028.	Jedinstvena platforma za izvješćivanje koju su uveli suzakonodavci najveći je IT sustav ikad razvijen u povijesti ENISA-e i ključan stup Akta o kibernetičkoj otpornosti. Uspostava platforme trenutačno se financira na temelju sporazuma o doprinosu, ali za njezino svakodnevno upravljanje bit će potrebni ekvivalenti punog radnog vremena (vidjeti prethodno navedeno) i operativni troškovi. ENISA ima ključnu ulogu u osiguravanju uspjeha okvira Unije za sigurnost proizvoda, odnosno Akta o kibernetičkoj otpornosti.
Sigurna komunikacija i kibernetičkosigurnosna zrelost ENISA-e	2+ milijuna EUR	Ulaganja u iznosu od 1,1 milijun EUR 2028. (platforme mreže CyCLONe/CSIRT-ova + sigurna komunikacija) 1 milijun EUR godišnje za održavanje od 2029. 1,5 milijuna EUR za kibernetičkosigurnosnu zrelost	Osiguravanje kibernetičke sigurnosti Agencije i komunikacijskih alata
Održavanje kibernetičkosigurnosne certifikacije	1 400 000 milijuna EUR	2028. 600 000 2029. 1 000 000 2030. 1 200 000 2031. 1 400 000 2032. 1 400 000 2033. 1 400 000 2034. 1 400 000	Pokriveno naknadama (u cijelosti od 2032.)
Programi potvrda o kibernetičkoj sigurnosti	212 920 EUR	Od 2030. 50 % pokriveno proračunom EU-a	U cijelosti pokriveno naknadama od 2033.

3.2.5.Pregled procijenjenog učinka na ulaganja povezana s digitalnom tehnologijom

Obvezno: u sljedećoj tablici treba navesti najbolju procjenu ulaganja povezanih s digitalnom tehnologijom koja proizlaze iz prijedloga/inicijative.

Iznimno, ako je to potrebno za provedbu prijedloga/inicijative, odobrena sredstva iz naslova 4. treba navesti u za to predviđenoj liniji.

Odobrena sredstva iz naslova 1. – 3. trebaju se navesti kao „Rashodi za IT za operativne programe u okviru određene politike”. Ti se rashodi odnose na odobrena sredstva za poslovanje koja će se iskoristiti za ponovnu uporabu / kupnju / razvoj IT platformi / alata izravno povezanih s provedbom inicijative i s povezanim ulaganjima (licencije, studije, pohrana podataka itd.). Informacije u tablici trebaju biti u skladu s podacima navedenima u odjeljku 4. „Digitalni aspekti”.

UKUPNA odobrena sredstva za IT i digitalnu tehnologiju	Godina	Godina	Godina	Godina	Godina	Godina	Godina	UKUPNO VFO 2028. – 2034.
	2028.	2029.	2030.	2031.	2032.	2033.	2034.
NASLOV 4.
Rashodi za IT (institucijski)	0	0	0	0	0	0	0	0
Međuzbroj za NASLOV 4.	0	0	0	0	0	0	0	0
Izvan NASLOVA 4.
Rashodi za IT za operativne programe u okviru određene politike	0	0	0	0	0	0	0	0
Međuzbroj izvan NASLOVA 4.	0	0	0	0	0	0	0	0
UKUPNO	0	0	0	0	0	0	0	0

3.2.6.Usklađenost s aktualnim višegodišnjim financijskim okvirom 

Prijedlog/inicijativa:

–    može se u potpunosti financirati preraspodjelom unutar relevantnog naslova višegodišnjeg financijskog okvira (VFO)

–    zahtijeva upotrebu nedodijeljene razlike u okviru relevantnog naslova VFO-a i/ili upotrebu posebnih instrumenata kako su definirani u Uredbi o VFO-u

–    zahtijeva reviziju VFO-a

3.2.7.Doprinos trećih strana 

Prijedlog/inicijativa:

–    ne predviđa sudjelovanje trećih strana u financiranju

–    predviđa sudjelovanje trećih strana u financiranju prema sljedećoj procjeni:

Odobrena sredstva u milijunima EUR (na tri decimale)

	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Ukupno
Tijelo koje sudjeluje u financiranju
UKUPNO sufinancirana odobrena sredstva

3.2.8Procijenjene potrebe za ljudskim resursima i odobrenim sredstvima u decentraliziranoj agenciji

Dodatne potrebe za osobljem (u ekvivalentima punog radnog vremena)

Agencija: ENISA	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.
Privremeno osoblje (razredi AD)	5	11	17	19	19	19	19
Privremeno osoblje (razredi AST)	4	7	11	12	12	12	12
Međuzbroj za privremeno osoblje (AD + AST)	9	18	28	31	31	31	31
Ugovorno osoblje	22	44	66	74	74	74	74
Upućeni nacionalni stručnjaci	4	8	11	13	13	13	13
Međuzbroj za ugovorno osoblje i upućene nacionalne stručnjake	26	52	77	87	87	87	87
UKUPNO osoblje	35	70	105	118	118	118	118

Odobrena sredstva koja se pokrivaju iz proračuna EU-a, u milijunima EUR (na tri decimale)

Agencija: ENISA	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.	UKUPNO 2028. – 2034.
Glava 1.: Rashodi za osoblje	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Glava 2.: Rashodi za infrastrukturu i rashodi poslovanja
Glava 3.: Rashodi poslovanja	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
UKUPNA odobrena sredstva koja se pokrivaju iz proračuna EU-a	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Odobrena sredstva koja se pokrivaju naknadama, ako je primjenjivo, u milijunima EUR (na tri decimale)

Agencija: ENISA	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.	UKUPNO 2028. – 2034.
Glava 1.: Rashodi za osoblje		0,510	1,043	1,539	4,604	5,176	5,650	18.522
Glava 2.: Rashodi za infrastrukturu i rashodi poslovanja								0,000
Glava 3.: Rashodi poslovanja								0,000
UKUPNA odobrena sredstva koja se pokrivaju naknadama	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Pregled/sažetak ljudskih resursa i odobrenih sredstava (u milijunima EUR) potrebnih za prijedlog/inicijativu u decentraliziranoj agenciji

Agencija: ENISA	Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.	UKUPNO 2028. – 2034.
Privremeno osoblje (AD + AST)	9	18	28	31	31	31	31	31
Ugovorno osoblje	22	44	66	74	74	74	74	74
Upućeni nacionalni stručnjaci	4	8	11	13	13	13	13	13
Ukupno osoblje	35	70	105	118	118	118	118	118
Odobrena sredstva koja se pokrivaju iz proračuna EU-a	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Odobrena sredstva koja se pokrivaju naknadama (ako je primjenjivo)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Sufinancirana odobrena sredstva (ako je primjenjivo)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
UKUPNA odobrena sredstva	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Procijenjeni učinak na prihode 

–    Prijedlog/inicijativa nema financijski učinak na prihode.

–    Prijedlog/inicijativa ima sljedeći financijski učinak:

–    na vlastita sredstva

–    na ostale prihode

–    navesti jesu li prihodi namijenjeni proračunskim linijama rashoda

U milijunima EUR (na tri decimale)

Proračunska linija prihoda:	Odobrena sredstva dostupna za tekuću financijsku godinu	Učinak prijedloga/inicijative 105
		Godina 2028.	Godina 2029.	Godina 2030.	Godina 2031.	Godina 2032.	Godina 2033.	Godina 2034.
Članak ………….

Za namjenske prihode navesti odgovarajuće proračunske linije rashoda.

Ostale napomene (npr. metoda/formula za izračun učinka na prihode ili druge informacije)

4. Digitalni aspekti

4.1.Zahtjevi relevantni za digitalizaciju

opći opis zahtjeva relevantnih za digitalizaciju i povezanih kategorija (podaci, digitalizacija i automatizacija procesa, digitalna rješenja i/ili digitalne javne usluge)

Upućivanje na zahtjev  Opis zahtjeva  Dionici na koje zahtjev utječe ili na koje se odnosi  Opći procesi  Kategorije  Članak 5. stavak 1. točka (a) Potpora provedbi prava EU-a (a)    pružanje pomoći državama članicama u dosljednoj provedbi politika i prava Unije u području kibernetičke sigurnosti, među ostalim izradom tehničkih smjernica i izvješća, davanjem savjeta i dijeljenjem primjera najbolje prakse u tom području te olakšavanjem razmjene primjera najbolje prakse među nadležnim tijelima  ENISA Države članice  – obrada podataka radi izdavanja tehničkih smjernica i izvješća, davanja savjeta i razmjene primjera najbolje prakse te olakšavanja razmjene primjera najbolje prakse među nadležnim tijelima – olakšavanje razmjene primjera najbolje prakse  Obrada podataka  Tokovi podataka Članak 5. stavak 1. točka (b) Potpora provedbi prava EU-a (b)    podupiranje razmjene informacija unutar sektora i među njima, osobito kad je riječ o sektorima iz priloga I. i II. Direktivi (EU) 2022/2555 i proizvodima s digitalnim elementima koji su obuhvaćeni područjem primjene Uredbe (EU) 2024/2847, i to davanjem primjera najbolje prakse i smjernica o dostupnim alatima i postupcima  ENISA – sektori iz priloga I. i II. Direktivi (EU) 2022/2555 – dionici na koje utječe Uredba (EU) 2024/2847 davanje primjera najbolje prakse i smjernica o dostupnim alatima i postupcima za razmjenu informacija  Obrada podataka  Tokovi podataka Članak 5. stavak 1. točka (c) Potpora provedbi prava EU-a (c)    na zahtjev Komisije, pružanje pomoći državama članicama davanjem potpore, kao što su tehničke smjernice, među ostalim o mjerama upravljanja kibernetičkosigurnosnim rizicima, alati za procjenu kibernetičkosigurnosne zrelosti i priručnici za odgovor na incidente, prilagođeni sektorima iz priloga I. i II. Direktivi (EU) 2022/2555, kako bi se olakšalo postizanje viših razina kibernetičkosigurnosne zrelosti i usklađenosti s pravom Unije u području kibernetičke sigurnosti Europska komisija   ENISA – sektori iz priloga I. i II. Direktivi (EU) 2022/2555 Pružanje tehničkih smjernica  Obrada podataka  Tokovi podataka Članak 5. stavak 1. točka (e) (e) pomaganje državama članicama i relevantnim subjektima Unije u razvoju i promicanju politika kibernetičke sigurnosti povezanih s održavanjem opće dostupnosti i cjelovitosti javne jezgre otvorenog interneta   ENISA Države članice Tijela EU-a  Pomoć u razvoju i promicanju politika kibernetičke sigurnosti  Obrada podataka Tokovi podataka Članak 5. stavak 1. točka (f) Potpora provedbi prava EU-a (f)    u skladu s Uredbom (EU) 2024/2847, pružanje tehničkih savjeta i potpore u pogledu pitanja povezanih s provedbom i izvršavanjem te uredbe -ENISA – dionici na koje utječe Uredba (EU) 2024/2847 Za pružanje tehničkih savjeta i potpore potrebni su obrada i razmjena informacija o regulatornim zahtjevima, poteškoćama u provedbi te smjernice o usklađivanju. Obrada podataka  Tokovi podataka Članak 5. stavak 1. točka (h) (h) na zahtjev Europskog odbora za zaštitu podataka pruža savjete o provedbi posebnih kibernetičkosigurnosnih aspekata politika i prava Unije povezanih sa zaštitom podataka i privatnošću ENISA EOZP   Pružanje savjeta na zahtjev Obrada podataka  Tokovi podataka Članak 5. stavak 2. Doprinos procjenama kibernetičkosigurnosnih rizika na razini Unije ENISA doprinosi koordiniranim procjenama kibernetičkosigurnosnih rizika na razini Unije, uključujući one koje se provode na temelju članka 22. Direktive (EU) 2022/2555.   ENISA Države članice  Šira javnost  Doprinos koordiniranim procjenama rizika, što zahtijeva obradu i tokove podataka Obrada podataka Tokovi podataka  Članak 5. stavak 3. ENISA izdaje smjernice ENISA izdaje smjernice o interoperabilnosti mrežnih i informacijskih sustava koji se koriste za razmjenu informacija, među ostalim u pogledu prekograničnih kibernetičkih centara iz članka 6. stavka 3. Uredbe (EU) 2025/38. ENISA Države članice ENISA izdaje smjernice Obrada podataka  Tokovi podataka Članak 5. stavak 5. Potpora Komisiji Na zahtjev Komisije ENISA daje stručno mišljenje, tehničke savjete ili informacije, provodi analizu ili obavlja pripremni rad na određenim pitanjima kibernetičke sigurnosti kako bi Komisiji dala informacije koje su joj potrebne za oblikovanje politika i praćenje provedbe propisa Unije. Europska komisija ENISA Priprema i slanje informacija Komisiji Obrada podataka  Tokovi podataka Članak 6. Izgradnja kapaciteta ENISA pomaže pružanjem znanja i stručnosti, primjera najbolje prakse itd. ENISA Države članice Tijela EU-a Javni i privatni dionici Tijela za nadzor tržišta Članovi ECCG-a ECCC Pružanje znanja i stručnog znanja  Obrada podataka  Tokovi podataka Članak 7. Jačanje svijesti i baza talenata ENISA pomaže državama članicama u njihovim nastojanjima da ojačaju svijest o politikama i propisima Unije u području kibernetičke sigurnosti te promiče njihovu vidljivost izradom primjenjivih alata i smjernica. ENISA podupire inicijative za povećanje europske baze talenata u području kibernetičke sigurnosti, prvenstveno koordinacijom natječaja. ENISA Države članice Izrada primjenjivih alata i smjernica Obrada podataka Članak 8. stavak 1. Znanje o tržištu i analize tržišta ENISA analizira i širi rezultate analiza glavnih tržišnih trendova u području kibernetičke sigurnosti i na strani ponude i na strani potražnje, posebno u vezi s područjima u kojima postoje ili se planiraju europski programi kibernetičkosigurnosne certifikacije, sektorima iz priloga I. i II. Direktivi (EU) 2022/2555 i kategorijama proizvoda obuhvaćenima Uredbom (EU) 2024/2847, uključujući priloge III. i IV. toj uredbi. ENISA Sektori iz priloga I. i II. Direktivi (EU) 2022/2555 Kategorije proizvoda obuhvaćene Uredbom (EU) 2024/2847 Provedba i širenje analiza Obrada podataka  Tokovi podataka Članak 8. stavak 2. Znanje o tržištu i analize tržišta ENISA analizira i širi rezultate analiza tehnoloških trendova u području kibernetičke sigurnosti, osobito u vezi s aktivnostima i subjektima obuhvaćenima područjem primjene Direktive (EU) 2022/2555 i proizvodima s digitalnim elementima obuhvaćenima područjem primjene Uredbe (EU) 2024/2847. ENISA Opća javnost, dionici u smislu Direktive (EU) 2022/2555 i Uredbe (EU) 2024/2847 Provedba analize i širenje rezultata Obrada podataka Tokovi podataka Članak 8. stavak 3. Znanje o tržištu i potpora ekosustavima ENISA razvija znanje i širi tehničke savjete i rezultate analiza u pogledu najsuvremenijih alata, okvirnih standarda i primjera najbolje prakse u području kibernetičke sigurnosti. ENISA Šira javnost Širenje tehničkih savjeta i rezultata analiza u pogledu najsuvremenijih alata, okvirnih standarda i primjera najbolje prakse u području kibernetičke sigurnosti Obrada podataka Tokovi podataka Članak 9. Međunarodna suradnja   ENISA doprinosi analiziranjem rezultata međunarodnih vježbi i izvješćivanjem Upravnog odbora o njima, olakšavanjem razmjene primjera najbolje prakse i pružanjem stručnog znanja i savjeta Komisiji. Međunarodna publika  ENISA Upravni odbor ENISA-e Europska komisija Analiza i izvješćivanje; pružanje savjeta itd.   Obrada podataka Tokovi podataka   Članak 10. stavci 2. i 3. Operativna suradnja 2.    ENISA je član mreže nacionalnih CSIRT-ova uspostavljene na temelju članka 15. stavka 1. Direktive (EU) 2022/2555 i obavlja poslove tajništva za mreže CSIRT-ova na temelju članka 15. stavka 2. Direktive (EU) 2022/2555. 3.    ENISA obavlja poslove tajništva za Europsku mrežu organizacija za vezu za kibernetičke krize (EU-CyCLONe) u skladu s člankom 16. stavkom 2. drugim podstavkom Direktive (EU) 2022/2555. ENISA  CSIRT-ovi (članak 15. stavak 1. Direktive (EU) 2022/2555)  Mreža EU-CyCLONe (članak 16. stavak 2. Direktive (EU) 2022/2555)  Olakšavanje razmjene informacija, obavljanje poslova tajništva za mreže Tokovi podataka Digitalno rješenje Digitalna javna usluga    Članak 11. stavak 1. točka (b) Svijest o situaciji    Članak 12. Rana upozorenja  Izdavanje ranih upozorenja u skladu s člankom 12.   Europska komisija ENISA Europol Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Mreža CSIRT-ova  CERT-EU Subjekti iz priloga I. i II. Direktivi (EU) 2022/2555 Izdavanje ranih upozorenja Obrada podataka Tokovi podataka  Digitalna javna usluga Članak 10. stavak 4. točka (b) Operativna suradnja (b)    na zahtjev jedne ili više država članica, davanje savjeta i procjena u vezi s određenim potencijalnim ili aktualnim incidentom ili kibernetičkom prijetnjom, među ostalim pružanjem stručnog znanja i olakšavanjem tehničkog rješavanja takvih incidenata te podupiranjem dobrovoljne razmjene relevantnih informacija i tehničkih rješenja među državama članicama  ENISA Države članice Davanje savjeta i procjena u pogledu određenog potencijalnog ili aktualnog incidenata ili kibernetičke prijetnje Olakšavanje tehničkog rješavanja takvih incidenata Podupiranje dobrovoljne razmjene relevantnih informacija i tehničkih rješenja među državama članicama Obrada podataka Tokovi podataka Digitalne javne usluge Članak 10. stavak 4. točka (c) Operativna suradnja (c)    analiza ranjivosti, prijetnji i incidenata ENISA Države članice Prikupljanje podataka iz javnih izvora i razmjena podataka s državama članicama  Obrada podataka Tokovi podataka Članak 10. stavak 4. točka (d) Operativna suradnja (d) na zahtjev jedne ili više država članica, pružanje potpore u vezi s ex post tehničkim istragama značajnih incidenata u smislu Direktive (EU) 2022/2555 ENISA Države članice Analiza i potpora kao odgovor na tehničke upite o incidentima Obrada podataka Tokovi podataka Članak 10. stavak 4. točka (e) Operativna suradnja (e)    sudjelovanje u potpori koordiniranom upravljanju kibernetičkosigurnosnim incidentima i krizama velikih razmjera na operativnoj razini, posebno pružanjem pomoći mreži EU-CyCLONe u pripremi izvješća za političku razinu i olakšavanjem pravodobne razmjene informacija između mreže CSIRT-ova i mreže EU-CyCLONe  ENISA Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Mreža CSIRT-ova  Analiza podataka za potporu izradi izvješća; olakšavanje pravodobne razmjene informacija među mrežama Obrada podataka Tokovi podataka  Digitalna javna usluga  Članak 10. stavak 5.  Operativna suradnja Na zahtjev države članice ili subjekta Unije u suradnji s CERT-EU-om ENISA podupire dosljednu javnu komunikaciju o incidentu ili kibernetičkoj prijetnji. ENISA Države članice Zaprimanje zahtjeva i komunikacija, prema potrebi Tokovi podataka Članak 10. stavak 6. Operativna suradnja ENISA podupire suradnju među državama članicama i, putem CERT-EU-a, među subjektima Unije u pogledu uvođenja alata za sigurnu komunikaciju. ENISA u okviru mreže CSIRT-ova i mreže EU-CyCLONe koristi alate za sigurnu komunikaciju koje pružaju pravni subjekti koji nemaju poslovni nastan u trećim zemljama ili koji nisu pod kontrolom trećih zemalja ili državljana trećih zemalja.     ENISA Europska komisija Države članice Tijela EU-a Mreža CSIRT-ova Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Potpora uvođenju alata za sigurnu komunikaciju i korištenje takvih alata u okviru mreže CSIRT-ova i mreže EU-CyCLONe  Digitalno rješenje  Digitalna javna usluga  Članak 11. stavak 1. točka (a) Zajednička svijest o situaciji u kibernetičkoj sigurnosti  a)    uspostava, u suradnji s mrežom EU-CyCLONe, mrežom CSIRT-ova, Komisijom, CERT-EU-om, Europolom i drugim relevantnim subjektima Unije, repozitorija provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama, uključujući trendove u pogledu incidenata, taktika, tehnika i postupaka Europska komisija ENISA Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Mreža CSIRT-ova Europol Tijela EU-a CERT-EU Razvoj repozitorija  Digitalni tokovi Digitalno rješenje  Digitalna javna usluga Članak 11. stavak 1. točke od (c) do (g)  Zajednička svijest o situaciji u kibernetičkoj sigurnosti Pružanje pravodobnih ad hoc analiza (u nekim slučajevima na zahtjev), provedba analiza i davanje tehničkih savjeta, izrada tehničkog izvješća o situaciji u suradnji s drugim subjektima i praćenje trendova i dijeljenje informacija o njima ENISA Države članice Europska komisija Tijela EU-a Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Mreža CSIRT-ova Analiza podataka, razmjena informacija i dostavljanje izvješća (u nekim slučajevima na zahtjev) Obrada podataka Tokovi podataka  Članak 11. stavak 2. točka (a) Zajednička svijest o situaciji u kibernetičkoj sigurnosti ENISA provodi analize kibernetičkih prijetnji, incidenata, trendova, novih tehnologija i njihovih učinaka, uključujući redovitu analizu koja se odnosi na sektore iz priloga I. i II. Direktivi (EU) 2022/2555 i relevantne kategorije proizvoda obuhvaćene Uredbom (EU) 2024/2847. ENISA Šira javnost Analiza podatka kako bi se pružile informacije koje utječu na kibernetičku sigurnost; redovito izvješće Obrada podataka Tokovi podataka Članak 11. stavak 2. točka (b) Zajednička svijest o situaciji u kibernetičkoj sigurnosti ENISA u suradnji s Komisijom i, prema potrebi, mrežom CSIRT-ova daje savjete, smjernice i primjere najbolje prakse za sigurnost mrežnih i informacijskih sustava, posebno za sigurnost infrastruktura koje podupiru sektore iz priloga I. i II. Direktivi (EU) 2022/2555.   Europska komisija CERT-EU Mreža CSIRT-ova Šira javnost Pružanje savjeta, smjernica i primjera najbolje prakse Obrada podataka Tokovi podataka Članak 11. stavak 2. točka (c) Zajednička svijest o situaciji u kibernetičkoj sigurnosti ENISA provodi dugoročne strateške analize kibernetičkih prijetnji i incidenata kako bi utvrdila nove trendove i pomogla spriječiti incidente. ENISA  Šira javnost Analiza podataka i utvrđivanje novih prijetnji  Obrada podataka   Članak 11. stavak 3. Zajednička svijest o situaciji u kibernetičkoj sigurnosti ENISA može objaviti analize, savjete, smjernice, primjere najbolje prakse i izvješća iz stavka 2. u dogovoru sa subjektima iz stavka 2. koji sudjeluju u njihovoj izradi. ENISA Šira javnost Objavljivanje informacija Tokovi podataka Digitalna javna usluga  Članak 13. stavak 2. Potpora u odgovoru na incidente  2.    Na zahtjev Komisije ili mreže EU-CyCLONe ENISA, uz potporu mreže CSIRT-ova i uz odobrenje predmetne države članice, preispituje i procjenjuje značajne kibernetičkosigurnosne incidente ili kibernetičkosigurnosne incidente velikih razmjera u skladu s člankom 21. Uredbe (EU) 2025/38. Europska komisija ENISA Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe), Mreža CSIRT-ova Države članice Preispitivanje i procjena značajnih kibernetičkosigurnosnih incidenata Obrada podataka  Članak 14. stavak 2. Vježbe u području kibernetičke sigurnosti na razini Unije 2.    ENISA održava repozitorij iskustava stečenih u vježbama iz stavka 1. i preporučuje državama članicama i, prema potrebi, subjektima Unije kako se stečena iskustva mogu djelotvorno i učinkovito primijeniti. ENISA Države članice Tijela EU-a Održavanje repozitorija Obrada podataka  Digitalno rješenje Digitalna javna usluga  Članak 14. Vježbe u području kibernetičke sigurnosti na razini Unije   Na zahtjev mreže EU-CyCLONe, Komisije, država članica ili CERT-EU-a ENISA organizira vježbe u području kibernetičke sigurnosti ili sudjeluje u njihovoj organizaciji. ENISA podupire Komisiju u sastavljanju godišnjeg kontinuiranog programa vježbi u području kibernetičke sigurnosti na razini Unije. ENISA Komisija Države članice Tijela EU-a  CERT-EU Zaprimanje zahtjeva za organiziranje ili potporu u organiziranju vježbi  Tokovi podataka Obrada podataka Članak 15. Odredbe o alatima i platformama    1.    ENISA prema potrebi uspostavlja, stavlja na raspolaganje, vodi, održava i ažurira operativne tehničke alate, uključujući platforme povezane s kibernetičkom sigurnošću na razini Unije, posebno jedinstvenu platformu za izvješćivanje o incidentima uspostavljenu na temelju članka 16. stavka 1. Uredbe (EU) 2024/2847 [i jedinstvenu ulaznu točku uspostavljenu na temelju članka 23.a Direktive (EU) 2022/2555], te alate za testiranje radi potpore provedbi postupaka ocjenjivanja sukladnosti u skladu s relevantnim zakonodavstvom Unije. 2.    Ako je to primjereno za potrebe stavka 1., ENISA surađuje i razmjenjuje informacije s mrežom CSIRT-ova i, prema potrebi, tijelima za nadzor tržišta.     ENISA Mreža CSIRT-ova Šira javnost Tijela za nadzor tržišta   ENISA prema potrebi uspostavlja, stavlja na raspolaganje, upotrebljava, održava i ažurira operativne tehničke alate, kao što su platforme. Digitalno rješenje Digitalna javna usluga Tokovi podataka Članak 16. stavak 2. Usluge upravljanja ranjivostima  (a)    održavanje europske baze podataka o ranjivostima uspostavljene u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555; (b)    pružanje usluga upravljanja ranjivostima dionicima na temelju europske baze podataka o ranjivostima i relevantnih informacija koje su dostupne ENISA-i; (c)    prema potrebi, uspostavljanje strukturirane suradnje s organizacijama koje nude programe, registre ili baze podataka slične europskoj bazi podataka o ranjivosti; (d)    aktivno podupiranje CSIRT-ova koji su imenovani koordinatorima u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555 u upravljanju koordiniranim otkrivanjem ranjivosti koje mogu znatno utjecati na subjekte u više država članica; (e) razvijanje i održavanje metodologija i mehanizama upravljanja za utvrđivanje ranjivosti i koordinirano otkrivanje, u suradnji s nacionalnim nadležnim tijelima, CSIRT-ovima, industrijom i istraživačkom zajednicom. ENISA Nacionalni CSIRT-ovi Mreža CSIRT-ova Nacionalna nadležna tijela Industrija Istraživačka zajednica Šira javnost Međunarodni akteri koji pružaju programe, registre ili baze podataka Pružanje usluga upravljanja ranjivostima; prema potrebi, sudjelovanje u strukturiranoj suradnji; suradnja s dionicima  Digitalno rješenje  Digitalna javna usluga  Tokovi podataka   Članak 17. Kibernetičkosigurnosna certifikacija   Članak 18. Normizacija, tehničke specifikacije i smjernice Članak 17. stavak 1. (a) izrada prijedloga europskih programa kibernetičkosigurnosne certifikacije („prijedlozi programa”) za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata te povezanih tehničkih specifikacija u skladu s člankom 74.; (b) održavanje donesenih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 75., među ostalim s obzirom na moguće preispitivanje donesenih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 76.; (c) poticanje uvođenja donesenih programa, održavanje namjenskih internetskih stranica s informacijama o europskim programima kibernetičkosigurnosne certifikacije, europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti u skladu s člankom 79. te njihova objava. Članak 17. stavak 2. (e) izrada oglednih odredaba na koje će se upućivati u europskim programima kibernetičkosigurnosne certifikacije („prijedlozi programa”) za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata u skladu s člankom 81. stavkom 5.   Članak 18. 1. ENISA izrađuje tehničke specifikacije i smjernice za potporu provedbi zakonodavstva Unije u području kibernetičke sigurnosti. 2. ENISA prati, sudjeluje i predvodi aktivnosti razvoja normizacije na razini Unije i, u skladu s člankom 9., na međunarodnoj razini. 3. ENISA podupire razvoj i evaluaciju kriptografskih algoritama. Ako je kriptografski algoritam ocijenjen pozitivno, ENISA u skladu s Uredbom (EU) br. 1025/2012 surađuje s europskim tijelima za normizaciju kako bi poduprla njegovu normizaciju. 4. ENISA Komisiji i ECCG-u na raspolaganje stavlja tehničko stručno znanje o odgovarajućim normama ili tehničkim specifikacijama za potporu politikama Unije u području kibernetičke sigurnosti, posebno Uredbi (EU) 2024/2847, među ostalim za zakonodavstvo Unije o usklađivanju u području kibernetičke sigurnosti i europske programe kibernetičkosigurnosne certifikacije u skladu s člankom 81. stavkom 1. točkom (d).  5. ENISA pomaže Komisiji u ocjenjivanju nacrta usklađenih normi kako bi poduprla provedbu zakonodavstva Unije o usklađivanju u području kibernetičke sigurnosti. ENISA Šira javnost Analiza podataka i razmjena tokova podataka s Komisijom i drugim dionicima, izrada prijedloga programa certifikacije, održavanje internetskih stranica ENISA-e Obrada podataka Tokovi podataka Digitalna javna usluga Članak 19. Europski okvir za vještine u području kibernetičke sigurnosti               ENISA izrađuje i objavljuje Europski okvir za vještine u području kibernetičke sigurnosti („ECSF”). Prije stavljanja Europskog okvira za vještine u području kibernetičke sigurnosti na raspolaganje javnosti ili njegova ažuriranja u skladu sa stavkom 4., ENISA se savjetuje s Komisijom. Sudjelovanje u ECSF-u dobrovoljno je za javne i privatne subjekte. ENISA se o razvoju i uvođenju ECSF-a može savjetovati s dionicima. ENISA Komisija Šira javnost Države članice  Tijela EU-a Javni i privatni dionici   Održavanje ECSF-a, savjetovanje s dionicima, uvođenje ECSF-a   Obrada podataka  Tokovi podataka Digitalno rješenje   Članci od 20. do 23. – sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA razvija, donosi i održava sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti. Nacionalna javna tijela i privatni subjekti u sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti sudjeluju dobrovoljno, osim ako je nacionalnim pravom propisano drukčije. Prije pokretanja novog sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA se savjetuje s Komisijom. ENISA takav sustav donosi tek nakon što Komisija da pozitivno mišljenje. U pripremi sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA se može savjetovati s relevantnim dionicima. U pripremi sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti ENISA blisko surađuje s državama članicama. Ovlašteni izdavatelji potvrda ocjenjuju ispunjavaju li osobe zahtjeve određenog sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i, ako su ti zahtjevi ispunjeni, izdaju osobne europske potvrde o vještinama u području kibernetičke sigurnosti. ENISA daje smjernice ocjenjivačima i provodi njihovo obvezno osposobljavanje o zahtjevima i metodama ocjenjivanja za određeni sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti kako je utvrđeno u članku 20. stavku 3. točki (b). Subjekti koji žele postati ovlašteni izdavatelji potvrda ili obnoviti svoje ovlaštenje („podnositelji zahtjeva”) podnose zahtjev ENISA-i. Ovlašteni izdavatelji potvrda osiguravaju da se na zahtjev pojedinca elektroničke potvrde u okviru sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti izdaju kao elektroničke potvrde atributa u formatu koji se može pohraniti u europskim lisnicama za digitalni identitet iz Uredbe (EU) br. 910/2014. Podnositelji zahtjeva i ovlašteni izdavatelji potvrda omogućuju ENISA-i da provodi evaluacije u okviru početnog postupka podnošenja zahtjeva, održavanja ovlaštenja ili njegove obnove te razmjenjuju sve relevantne informacije kako bi se osiguralo da su zahtjevi utvrđeni u stavcima 3. i 4. i obveze utvrđene u stavku 5. ispunjeni ili da se i dalje ispunjavaju u skladu s člankom 22. stavkom 2. Ovlašteni izdavatelji potvrda odmah obavješćuju ENISA-u ako bilo koji od zahtjeva navedenih u stavku 3. više nije ispunjen ili ako postoji sumnja da ti zahtjevi ili obveze nisu ispunjeni, među ostalim oni koji se odnose na neovisnost ocjenjivača. Podnositelji zahtjeva plaćaju ENISA-i naknadu za ocjenjivanje njihova zahtjeva. Ovlašteni izdavatelji potvrda ENISA-i plaćaju naknadu za održavanje njihova ovlaštenja.  ENISA ocjenjuje jesu li podnositelji zahtjeva i ovlašteni izdavatelji potvrda ispunili ili ispunjavaju li i dalje zahtjeve iz članka 21. stavaka 3. i 4. i obveze iz članka 21. stavaka 5. Nakon razmatranja zahtjeva u odnosu na uvjete utvrđene u članku ENISA može donijeti odluku u skladu s člankom 21. stavcima 3. i 4. ENISA može izmijeniti, suspendirati ili opozvati takve odluke. ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju sljedeće javne informacije: (a)informacije o Europskom okviru za vještine u području kibernetičke sigurnosti, uključujući okvir i vremenski okvir za njegovo ažuriranje; (b)informacije o sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, njihovu napretku i rokovima za njihov razvoj; (c)naknade za svaki sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti donesen u skladu s člankom 47. ove Uredbe; (d)okvirni trošak osobne europske potvrde o vještinama u području kibernetičke sigurnosti u skladu s člankom 20. stavkom 4.; (e)popis ovlaštenih izdavatelja potvrda. ENISA Komisija  Šira javnost Države članice  Tijela EU-a Javni i privatni dionici (koji doprinose razvoju sustava potvrda, podnositelji zahtjeva i izdavatelji osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uključujući ocjenjivače),    Razvoj i održavanje programa, savjetovanja s dionicima, obrada zahtjeva, donošenje odluka, održavanje internetskih stranica  Obrada podataka  Tokovi podataka Digitalno rješenje Digitalna javna usluga Članak 25.  Sastav Upravnog odbora Imenovanje članova Upravnog odbora ENISA-e. ENISA Europska komisija Države članice Imenovanje članova Tokovi podataka Obrada podataka Članak 28. stavak 1.  Funkcije Upravnog odbora   Članak 30. Izvršni odbor b.donosi nacrt jedinstvenog programskog dokumenta ENISA-e iz članka 44. prije nego što ga podnese Komisiji radi dobivanja mišljenja; (f) ocjenjuje i donosi konsolidirano godišnje izvješće o aktivnostima ENISA-e, uključujući računovodstvenu dokumentaciju i opis načina na koji je ENISA ostvarila svoje pokazatelje uspješnosti, podnosi godišnje izvješće i njegovu ocjenu do 1. srpnja sljedeće godine Europskom parlamentu, Vijeću, Komisiji i Europskom revizorskom sudu; objavljuje godišnje izvješće; (i) osigurava odgovarajuće postupanje na temelju nalaza i preporuka proizašlih iz izvješća i evaluacija na temelju unutarnje ili vanjske revizije te istraga Europskog ureda za borbu protiv prijevara (OLAF) i Ureda europskog javnog tužitelja (EPPO); ENISA Europska komisija  Europski parlament Vijeće EU-a Revizorski sud Države članice  Šira javnost Podnošenje jedinstvenog programskog dokumenta Komisiji na mišljenje; ocjenjivanje i donošenje konsolidiranog godišnjeg izvješća o aktivnostima ENISA-e, uključujući računovodstvenu dokumentaciju i opis načina na koji je ENISA ostvarila svoje pokazatelje uspješnosti, podnošenje godišnjeg izvješća i ocjene.  Daljnje postupanje na temelju nalaza  Tokovi podataka Obrada podataka   Članak 31. stavak 8. Imenovanje, razrješenje i produljenje mandata   Upravni odbor obavješćuje Europski parlament o svojoj namjeri da produlji mandat izvršnog direktora u skladu sa stavkom 6. U roku od tri mjeseca prije takvog produljenja izvršni direktor, ako ga se na to pozove, daje izjavu pred relevantnim odborom Europskog parlamenta i odgovara na pitanja njegovih članova. ENISA  Upravni odbor ENISA-e  Europski parlament  Upravni odbor obavješćuje Europski parlament Tokovi podataka Članak 32. stavak 3. Zadaće i odgovornosti izvršnog direktora     Članak 32. stavak 5. 3. Izvršni direktor na poziv izvješćuje Europski parlament o obavljanju svojih zadaća. Vijeće može pozvati izvršnog direktora da podnese izvješće o obavljanju svojih zadaća. Izrada strategija za nacrte proračunskih planova i strateških dokumenata. Izvršni direktor ENISA-e Europski parlament  Izvješćivanje o uspješnosti  Tokovi podataka Obrada podataka Članak 35. stavci 5. i 6. Savjetodavna skupina ENISA-e  5.Savjetodavna skupina ENISA-e savjetuje ENISA-u o izvršavanju zadaća ENISA-e, osim kad je riječ o primjeni odredaba iz glava III., IV. i V. ove Uredbe. Ona posebno savjetuje izvršnog direktora u vezi s izradom prijedloga godišnjeg programa rada ENISA-e i osiguravanjem komunikacije s relevantnim interesnim skupinama o pitanjima koja se odnose na godišnji program rada. 6.    Savjetodavna skupina ENISA-e redovito obavješćuje Upravni odbor o svojim aktivnostima. ENISA Članovi Savjetodavne skupine ENISA-e  Upravni odbor ENISA-e  Izvršni direktor ENISA-e Savjetovanje i obavješćivanje o svojim aktivnostima  Obrada podataka Tokovi podataka Članak 36. stavak 43.  Odbor za žalbe  ENISA odlukom Upravnog odbora osniva Odbor za žalbe. Odbor za žalbe sastoji se od predsjednika i tri druga člana. Svaki član Odbora za žalbe ima zamjenika. Zamjenik zamjenjuje člana u njegovoj odsutnosti. Upravni odbor imenuje predsjednika, ostale članove i njihove zamjenike na temelju popisa kvalificiranih kandidata koji sastavlja Komisija. Popis kvalificiranih kandidata valjan je četiri godine. Upravni odbor može na prijedlog Komisije produljiti valjanost tog popisa za dodatne četiri godine. Ako odbor za žalbe smatra da je to potrebno zbog prirode žalbe, može zatražiti od Upravnog odbora da imenuje dva dodatna člana i njihove zamjenike s popisa iz stavka 3. Odbor za žalbe donosi i objavljuje svoj poslovnik. Ako član Odbora za žalbe zbog jednog od razloga navedenih u stavku 1. ili zbog bilo kojeg drugog razloga smatra da ne bi trebao sudjelovati u žalbenom postupku, o tome obavješćuje Odbor za žalbe. Odbor za žalbe odlučuje o mjerama koje treba poduzeti u slučajevima navedenima u stavcima 2. i 3. bez sudjelovanja predmetnog člana. Za potrebe donošenja te odluke dotičnog člana u Odboru za žalbe zamjenjuje zamjenik. Protiv žalbe podnesene na temelju stavka 1. može se podnijeti remonstrativna žalba u skladu s člankom 41. prije podnošenja Odboru za žalbe na razmatranje. Podnositelji zahtjeva u smislu članka 21. stavka 3. mogu podnijeti žalbu: protiv odluke ENISA-e koja im je upućena, u skladu s člankom 22. stavkom 3., i u slučaju nepostupanja ENISA-e u primjenjivim rokovima utvrđenima u članku 22. stavku 4. u vezi sa zahtjevom koji joj je podnesen. U slučaju iz stavka 1. točke (a) žalba se zajedno s obrazloženjem podnosi u pisanom obliku u skladu s Poslovnikom iz članka 36. stavka 5. u roku od dva mjeseca od obavješćivanja predmetnog podnositelja zahtjeva o odluci ili, ako takve obavijesti nije bilo, od dana kad je podnositelj zahtjeva saznao za odluku. U slučaju iz stavka 1. točke (b) žalba se podnosi ENISA-i u pisanom obliku u skladu s Poslovnikom iz članka 36. stavka 5. u roku od dva mjeseca od dana isteka roka utvrđenog u članku 22. stavku 4. Ako ENISA smatra da je žalba dopuštena i osnovana, ispravlja odluku ili propust iz članka 40. stavka 1.  Ako ENISA ne ispravi odluku u roku od mjesec dana od primitka žalbe, odmah odlučuje hoće li suspendirati primjenu svoje odluke i žalbu upućuje Odboru za žalbe. Odbor za žalbe odlučuje u roku od tri mjeseca od podnošenja žalbe hoće li određenu žalbu prihvatiti ili odbiti. Pri razmatranju žalbe Odbor za žalbe postupa u rokovima utvrđenima u njegovu Poslovniku. Odbor za žalbe, u koliko god navrata je to potrebno, poziva stranke u žalbenom postupku da u utvrđenim rokovima iznesu primjedbe na odluke samog odbora ili podneske drugih stranaka u žalbenom postupku. Stranke u žalbenom postupku imaju pravo dati usmene izjave. Ako Odbor za žalbe utvrdi da su razlozi za žalbu osnovani, upućuje predmet ENISA-i. ENISA svoju konačnu odluku donosi u skladu s nalazima Odbora za žalbe i daje obrazloženje te odluke. ENISA o tome obavješćuje stranke u žalbenom postupku. Tužbe za poništenje odluka ENISA-e donesenih na temelju članka 22. stavka 3. ili u pogledu nepostupanja ENISA-e u primjenjivim rokovima na temelju članka 22. stavka 4. mogu se podnijeti Sudu Europske unije nakon što se iscrpi žalbeni postupak u okviru ENISA-e utvrđen u člancima od 39. do 42. ili, u slučaju nepostupanja, u primjenjivom roku na temelju članka 41. stavka 2. ENISA poduzima sve potrebne mjere kako bi postupila u skladu s presudom Suda Europske unije. ENISA Upravni odbor ENISA-e  Komisija Odbor za žalbe u smislu članka 36. prijedloga Akta o kibernetičkoj sigurnosti 2 Podnositelji zahtjeva (pravni subjekti koji su podnijeli zahtjev za status ovlaštenog izdavatelja potvrda ili održavanje ili obnovu svojeg ovlaštenja) Donošenje odluka na temelju žalbi  Obrada žalbi Izrada i objava poslovnika Tokovi informacija Obrada podataka  Tokovi podataka  Digitalna javna usluga  Članak 44. Jedinstveni programski dokument 2. Izvršni direktor svake godine izrađuje nacrt jedinstvenog programskog dokumenta, kako je navedeno u stavku 1., s odgovarajućim planiranjem financijskih i ljudskih resursa u skladu s člankom 32. Delegirane uredbe Komisije (EU) 2019/715 i uzimajući u obzir smjernice koje je utvrdila Komisija. 3. Upravni odbor do 30. studenog svake godine donosi jedinstveni programski dokument iz stavka 1., uzimajući u obzir mišljenje Komisije iz članka 32. stavka 7. Delegirane uredbe (EU) 2019/715. Ako Upravni odbor odluči da neće uzeti u obzir elemente mišljenja Komisije, dužan je tu odluku detaljno obrazložiti. Upravni odbor Europskom parlamentu, Vijeću i Komisiji do 31. siječnja sljedeće godine šalje jedinstveni programski dokument, kao i sve naknadno ažurirane verzije tog dokumenta.   Izvršni direktor ENISA-e Upravni odbor ENISA-e Europska komisija Europski parlament Vijeće Izrada, donošenje i prosljeđivanje jedinstvenog programskog dokumenta svake godine Tokovi podataka Članak 45. Donošenje proračuna ENISA-e 4.    Komisija proračunskom tijelu šalje nacrt procjene zajedno s nacrtom općeg proračuna Unije. Nacrt procjene dostavlja se i ENISA-i. ENISA Europska komisija Razmjena informacija Tokovi podataka Članak 47. Naknade  Kad je riječ o aktivnostima u okviru sustava osobnih europskih potvrda utvrđenima u članku 22. stavku 1., podnositeljima zahtjeva u smislu članka 21. stavka 3. ili ovlaštenim izdavateljima potvrda naplaćuju se sljedeće naknade radi doprinosa pokrivanju ukupnih troškova aktivnosti koje provodi ENISA: a.za izdavanje ovlaštenja nakon razmatranja zahtjeva iz članka 21. stavaka 3. i 4., uključujući provedbu evaluacija; b.za godišnje održavanje ovlaštenja; c.za obnovu ovlaštenja za izdavatelje osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, uključujući provedbu evaluacija. Kad je riječ o certifikaciji, tijelima za ocjenjivanje sukladnosti se za održavanje europskih programa kibernetičkosigurnosne certifikacije u okviru kojih se izdaju europski kibernetičkosigurnosni certifikati naplaćuju sljedeće naknade: godišnja naknada za sudjelovanje u europskom programu kibernetičkosigurnosne certifikacije; naknada za izdavanje europskih kibernetičkosigurnosnih certifikata u okviru europskih programa kibernetičkosigurnosne certifikacije. Naknade iz točke (b) naplaćuju se kad tijelo za ocjenjivanje sukladnosti ENISA-i podnese europske kibernetičkosigurnosne certifikate radi objave na njezinim internetskim stranicama u skladu s člankom 79. Komisija donosi provedbene akte kojima se utvrđuju detaljna pravila o naknadama koje naplaćuje ENISA.  ENISA u postupak financijskog izvještavanja uključuje izvješće o naplaćenim naknadama i njihovu učinku na proračun Agencije. Komisija ENISA Izdavatelji potvrda Tijela za ocjenjivanje sukladnosti Obrada informacija; plaćanje naknada; izvješćivanje o naknadama Obrada podataka  Tokovi podataka   Članak 48. Članak 49. Utjecaj na proračun   Članak 48. 3.    Izvršni direktor svake godine proračunskom tijelu šalje sve informacije koje su relevantne za nalaze postupaka evaluacije. Članak 49. 1.    Računovodstveni službenik ENISA-e dostavlja privremenu računovodstvenu dokumentaciju za financijsku godinu (godina N) računovodstvenom službeniku Komisije i Revizorskom sudu do 1. ožujka sljedeće financijske godine (godina N + 1). 2.    Računovodstveni službenik ENISA-e računovodstvenom službeniku Komisije dostavlja i potrebne računovodstvene informacije za potrebe konsolidacije, na način i u formatu koje računovodstveni službenik Komisije zatraži do 1. ožujka godine N + 1. 3.    ENISA do 31. ožujka godine N + 1 Europskom parlamentu, Vijeću, Komisiji i Revizorskom sudu podnosi izvješće o proračunskom i financijskom upravljanju za godinu N. 4.    Nakon primitka primjedbi Revizorskog suda o privremenoj računovodstvenoj dokumentaciji ENISA-e za godinu N računovodstveni službenik agencije sastavlja završnu računovodstvenu dokumentaciju ENISA-e. 5. Upravni odbor daje mišljenje o završnoj računovodstvenoj dokumentaciji ENISA-e za godinu N. Računovodstveni službenik Agencije sastavlja završnu računovodstvenu dokumentaciju ENISA-e na vlastitu odgovornost. Izvršni direktor dostavlja je Upravnom odboru radi mišljenja.  ENISA Upravni odbor ENISA-e Europska komisija Vijeće Europski parlament Obrada i razmjena informacija o proračunu ENISA-e Obrada podataka  Tokovi podataka   Članak 52. Izjava o interesu   Stranke daju izjavu o obvezama i izjavu o nepostojanju ili postojanju izravnog ili neizravnog interesa za koji bi se moglo smatrati da dovodi u pitanje njihovu neovisnost. Upravljanje ENISA-om (izvršni direktor, zamjenik izvršnog direktora);  Upravni odbor  Upućeni nacionalni stručnjaci Obrada i razmjena podataka o izjavi o interesima  Obrada podataka Tokovi podataka Članak 58. Časnici za vezu  1. Svaka država članica imenuje najmanje dva časnika za vezu [iz svojeg nacionalnog tijela za kibernetičku sigurnost] kao upućene nacionalne stručnjake u ENISA-u radi rada u njezinu sjedištu ili lokalnom uredu, u skladu s člankom 59. stavkom 2. Komisija također može imenovati časnika za vezu. 2. Časnici za vezu koje imenuje njihova država članica imaju pravo zatražiti i dobiti sve relevantne informacije od svojih država članica, kako je predviđeno ovom Uredbom, uz potpuno poštovanje nacionalnog prava ili prakse svojih država članica, osobito o zaštiti podataka i pravilima o povjerljivosti. ENISA Države članice  Imenovanje časnika za vezu i razmjena informacija  Obrada podataka  Tokovi podataka  Članak 67. Postupanje s klasificiranim podacima   ENISA nakon savjetovanja s Komisijom donosi sigurnosna pravila primjenjujući sigurnosna načela iz sigurnosnih pravila Komisije za zaštitu osjetljivih neklasificiranih podataka i klasificiranih podataka Europske unije, kako je utvrđeno u odlukama (EU, Euratom) 2015/443 i 2015/444. Sigurnosna pravila ENISA-e uključuju i odredbe o razmjeni, obradi i pohrani takvih podataka. ENISA Upravni odbor  Komisija  Postupanje s klasificiranim podacima Obrada podataka Tokovi podataka Članci 68., 69., 70. Suradnja sa subjektima Unije i nacionalnim tijelima Suradnja s dionicima Suradnja s trećim zemljama  ENISA surađuje i razmjenjuje informacije o pitanjima kibernetičke sigurnosti s relevantnim subjektima Unije, tijelima za nadzor tržišta i nadzornim tijelima, relevantnim dionicima; nadležnim tijelima iz trećih zemalja ili međunarodnim organizacijama.    ENISA Europol  ECCC Europski odbor za zaštitu podataka Šira javnost Vijeće Razmjena informacija Tokovi podataka Članak 72. o javnom informiranju i savjetovanju u pogledu europskih programa kibernetičkosigurnosne certifikacije 2.    Komisija održava i redovito ažurira namjenske internetske stranice s informacijama o sljedećim aspektima: (a)    europski programi kibernetičkosigurnosne certifikacije čija je izrada zatražena; (b)    strateški prioriteti za usklađivanje IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili sigurnosnih zahtjeva iz zakonodavstva Unije, uključujući moguća područja za koja bi se mogao zatražiti europski program kibernetičkosigurnosne certifikacije; 3.    Komisija na internetskim stranicama iz stavka 2. ovog članka objavljuje informacije o svojem zahtjevu ENISA-i za izradu prijedloga programa iz članka 73. i svojoj odluci o prihvaćanju, odbijanju ili obustavi prijedloga programa koji je dostavila ENISA u skladu s člankom 74. stavkom 7. Europska komisija  Šira javnost ENISA   Održavanje informativnih internetskih stranica Ovime se Komisiju zadužuje za objavu informacija na javno dostupnim internetskim stranicama i kontinuiranu provedbu povezanih aktivnosti upravljanja podacima. Digitalna javna usluga  Digitalno rješenje  Članak 72. o javnom informiranju i savjetovanju u pogledu europskih programa kibernetičkosigurnosne certifikacije   Tijekom ENISA-ine izrade prijedloga programa certifikacije na temelju članka 74. Europski parlament i Vijeće mogu od Komisije, u njezinu svojstvu predsjedatelja ECCG-a, i ENISA-e zatražiti da dostave relevantne informacije o nacrtu prijedloga programa certifikacije. Na zahtjev Europskog parlamenta ili Vijeća, ENISA može, u dogovoru s Komisijom i ne dovodeći u pitanje članak 54., staviti na raspolaganje Europskom parlamentu i Vijeću relevantne dijelove nacrta prijedloga programa certifikacije na način primjeren potrebnoj razini povjerljivosti i, prema potrebi, na ograničen način. Europski parlament i Vijeće mogu pozvati Komisiju i ENISA-u na raspravu o pitanjima koja se odnose na provedbu europskih programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata. ENISA Vijeće EU-a Europski parlament Traženje i slanje informacija o nacrtu prijedloga programa certifikacije koji je izradila ENISA Tokovi podataka Članak 73. Zahtjev za europski program kibernetičkosigurnosne certifikacije  Članak 74. Izrada i donošenje europskih programa kibernetičkosigurnosne certifikacije (obuhvaćeno člankom 17.)  Članak 73. 1. Komisija može zatražiti od ENISA-e da izradi prijedlog europskog programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata. U opravdanim slučajevima ECCG može predložiti Komisiji da podnese zahtjev iz stavka 1. 4. Pri sastavljanju zahtjeva iz stavka 1. Komisija se na odgovarajući način savjetuje s ENISA-om i ECCG-om te uzima u obzir stajališta svih relevantnih dionika i drugih subjekata Unije, uključujući, prema potrebi, one koji su relevantni na temelju propisa Unije prema kojima se pojedinim europskim programom kibernetičkosigurnosne certifikacije stvara pretpostavka sukladnosti. Članak 74. 3. Pri izradi prijedloga programa ENISA blisko surađuje s ECCG-om. ECCG ENISA-i pruža pomoć i stručne savjete za izradu prijedloga programa i, prema potrebi, popratnih tehničkih specifikacija. ENISA zahtijeva od članova ECCG-a da dostave pisano mišljenje o prijedlogu programa.  4. ENISA se pravodobno savjetuje s dionicima putem formalnog, otvorenog, transparentnog i uključivog postupka savjetovanja.  ENISA surađuje i s relevantnim javnim tijelima u državama članicama i relevantnim subjektima Unije kako bi prikupila njihove stručne savjete za izradu prijedloga programa i, prema potrebi, popratnih tehničkih specifikacija. 6. ENISA dostavlja prijedlog programa certifikacije Komisiji najkasnije 60 dana od datuma zahtjeva iz stavka 5. 7. Po primanju prijedloga programa Komisija ocjenjuje odgovara li program zahtjevu podnesenom u skladu s člankom 73.  8.    Ako Komisija vrati prijedlog programa certifikacije ENISA-i na reviziju u skladu sa stavkom 7. točkom (b), na odgovarajući način primjenjuju se stavci 4., 5. i 7. ovog članka.   Europska komisija  ENISA ECCG Stručni dionici Izrada zahtjeva i programa certificiranja te povezano savjetovanje s dionicima Obrada podataka  Tokovi podataka Digitalna javna usluga  (obuhvaćeno člankom 17.) Članak 75. Održavanje europskog programa kibernetičkosigurnosne certifikacije 2. ENISA u suradnji s Komisijom i uz potporu ECCG-a i njegove relevantne podskupine za održavanje osigurava održavanje europskih programa kibernetičkosigurnosne certifikacije, među ostalim s obzirom na moguće preispitivanje takvih programa koje provodi Komisija. ENISA surađuje i razmjenjuje informacije s relevantnim subjektima Unije i skupinama u pogledu aktivnosti održavanja.  5. ECCG može izdati mišljenje o održavanju europskih programa kibernetičkosigurnosne certifikacije. Europska komisija  ENISA ECCG Tijela za ocjenjivanje sukladnosti   ENISA osigurava održavanje. To uključuje redovite hibridne ili internetske sastanke, prikupljanje informacija, analizu i razmjenu (u vezi s europskim programom kibernetičkosigurnosne certifikacije) Obrada podataka Tokovi podataka Članak 76. Evaluacija, preispitivanje i povlačenje europskog programa kibernetičkosigurnosne certifikacije 1. Najmanje svake četiri godine nakon početka primjene europskog programa kibernetičkosigurnosne certifikacije ENISA ocjenjuje učinak i djelotvornost tog programa, u suradnji s relevantnom podskupinom ECCG-a za održavanje i uzimajući u obzir povratne informacije dionika. ENISA provodi evaluaciju provedbom potrebne analize tržišta u skladu s člankom 8. stavkom 1. 3. Pri preispitivanju ili povlačenju europskih programa kibernetičkosigurnosne certifikacije Komisija se savjetuje s ENISA-om, ECCG-om i njegovom relevantnom podskupinom za održavanje te uzima u obzir stajališta relevantnih dionika i drugih subjekata Unije.  4. ECCG može izdati mišljenje o preispitivanju ili povlačenju europskog programa kibernetičkosigurnosne certifikacije. Komisija to uzima u obzir pri preispitivanju ili povlačenju europskog programa kibernetičkosigurnosne certifikacije.    Europska komisija  ENISA ECCG Komisija preispituje programe uz savjetovanje s relevantnim dionicima. Obrada podataka Tokovi podataka Članak 77.  Tehničke specifikacije u europskim programima kibernetičkosigurnosne certifikacije 3.    Ako se u europskom programu kibernetičkosigurnosne certifikacije upućuje na tehničke specifikacije iz članka 74. stavka 10., te se tehničke specifikacije objavljuju na internetskim stranicama iz članka 79. 4. U propisno opravdanim slučajevima, posebno ako tehničke specifikacije sadržavaju informacije koje bi mogle ugroziti sigurnost certificiranih IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti subjekata, one se razdjeljuju samo onim dionicima na koje se odnose zahtjevi programa. Na takav se program ne upućuje u europskom programu kibernetičkosigurnosne certifikacije iz članka 74. stavka 10. ENISA Države članice Tijela za ocjenjivanje sukladnosti   Objava informacija na internetskim stranicama o certifikaciji ENISA-e Tokovi podataka Digitalna javna usluga   Članak 79.  Internetske stranice o europskim programima kibernetičkosigurnosne certifikacije 1. ENISA organizira aktivnosti za poticanje uvođenja donesenih europskih programa kibernetičkosigurnosne certifikacije, među ostalim održavanjem internetskih stranica iz stavka 2. ovog članka. 2. ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju javne informacije o: (a)    europskim programima kibernetičkosigurnosne certifikacije; (b)    naknadama za održavanje svakog europskog programa kibernetičkosigurnosne certifikacije; (c) relevantnim tehničkim specifikacijama ENISA-e; (d)    europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti, uključujući informacije o takvim certifikatima i izjavama koji više nisu valjani ili koji su suspendirani, povučeni ili istekli; (e)    relevantnim dodatnim informacijama o kibernetičkoj sigurnosti dostavljenima u skladu s člankom 84. stavkom 2.; (f)    sažecima istorazinskih ocjenjivanja na temelju članka 89. stavka 7.; (g)    tehničkim specifikacijama na koje se upućuje u pojedinom europskom programu kibernetičkosigurnosne certifikacije u skladu s člankom 74. stavkom 10. 3. Kada je to primjenjivo, na internetskim stranicama iz stavka 2. navode se i oni nacionalni programi kibernetičkosigurnosne certifikacije koji su zamijenjeni europskim programom kibernetičkosigurnosne certifikacije.  ENISA Države članice Tijela za ocjenjivanje sukladnosti U okviru održavanja informativnih internetskih stranica ENISA je zadužena za prikupljanje, obradu i održavanje sveobuhvatnih baza podataka s informacijama o certifikaciji, što zahtijeva stalne aktivnosti upravljanja podacima. Digitalna javna usluga Digitalno rješenje Obrada podataka Tokovi podataka   Članak 81. Elementi europskog programa kibernetičkosigurnosne certifikacije 5. Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju zajednička načela i ogledne odredbe za elemente utvrđene u stavcima 1., 2. i 3. u svim europskim programima kibernetičkosigurnosne certifikacije. Ako je to primjereno i dostupno, europski program kibernetičkosigurnosne certifikacije može uključivati upućivanja na ta načela i ogledne odredbe. Provedbeni akti iz stavka 5. donose se u skladu s postupkom ispitivanja iz članka 118. stavka 2. Pri izradi ili reviziji zajedničkih načela i oglednih odredaba za elemente europskih programa kibernetičkosigurnosne certifikacije Komisija se savjetuje s ENISA-om i, prema potrebi, uzima u obzir stajališta ECCG-a, relevantnih dionika i drugih relevantnih tijela. ENISA Šira javnost Tijela država članica  Savjetovanje s relevantnim dionicima kojima su potrebni tokovi i obrada podataka Tokovi podataka Obrada podataka Članak 83. Samoocjenjivanje sukladnosti 3. Proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekt čije se stanje kibernetičke sigurnosti certificira stavlja EU izjavu o sukladnosti, tehničku dokumentaciju i sve druge relevantne informacije o sukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili stanja kibernetičke sigurnosti s europskim programom kibernetičkosigurnosne certifikacije na raspolaganje nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju imenovanom u skladu s člankom 89. za razdoblje predviđeno u tom programu. Preslika EU izjave o sukladnosti bez nepotrebne se odgode podnosi nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju i ENISA-i. ENISA Šira javnost Tijela država članica  Dostupnost informacija; razmjena podataka  Dijeljenje podataka podliježe obradi ENISA-e i tijela država članica Tokovi podataka Obrada podataka Članak 84. Dodatne informacije o kibernetičkoj sigurnosti za certificirane IKT proizvode, IKT usluge i IKT procese 1. Proizvođač ili pružatelj IKT proizvoda, IKT usluga ili IKT procesa za koje su izdani EU izjava o sukladnosti ili europski kibernetičkosigurnosni certifikat objavljuje sljedeće dodatne informacije o kibernetičkoj sigurnosti. Proizvođač ili pružatelj IKT proizvoda, IKT usluga ili IKT procesa Šira javnost Tijela za ocjenjivanje sukladnosti Objavljivanje informacija u elektroničkom obliku.   Tokovi podataka Članak 85. Izdavanje europskih kibernetičkosigurnosnih certifikata 2. Tijela za ocjenjivanje sukladnosti iz članka 91. izdaju europske kibernetičkosigurnosne certifikate na temelju kriterija uključenih u europski program kibernetičkosigurnosne certifikacije donesen u skladu s člankom 74. 6. Fizička ili pravna osoba koja podnosi IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge na certifikaciju ili subjekt koji podnosi zahtjev za certifikaciju stanja kibernetičke sigurnosti stavlja na raspolaganje sve informacije potrebne za provedbu certifikacije nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju imenovanom u skladu s člankom 89., ako je to tijelo ono koje izdaje europski kibernetičkosigurnosni certifikat, ili tijelu za ocjenjivanje sukladnosti iz članka 91. 7. Tijela za ocjenjivanje sukladnosti i, ako je primjenjivo, nacionalna tijela za kibernetičkosigurnosnu certifikaciju bez nepotrebne odgode obavješćuju ENISA-u o svojim odlukama koje utječu na status europskih kibernetičkosigurnosnih certifikata i EU izjava o sukladnosti u skladu s člankom 94. 8. Nositelj europskog kibernetičkosigurnosnog certifikata obavješćuje tijelo za ocjenjivanje sukladnosti i, ako je to primjenjivo, nacionalno tijelo za kibernetičkosigurnosnu certifikaciju iz stavka 7. o svim naknadno otkrivenim ranjivostima ili nesukladnostima koje se odnose na certificirani IKT proizvod, IKT uslugu, IKT proces, upravljanu sigurnosnu uslugu ili stanje kibernetičke sigurnosti subjekta, a koje bi mogle utjecati na njegovu sukladnost s certifikatom. To tijelo bez nepotrebne odgode prosljeđuje te informacije predmetnom nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju i procjenjuje učinak na certifikat u skladu s uvjetima programa iz članka 81. točke (f). ENISA Šira javnost Tijela država članica Tijela za ocjenjivanje sukladnosti Razmjena informacija relevantnih za postupke certificiranja Tokovi podataka Obrada podataka Članak 86. Nacionalni programi kibernetičkosigurnosne certifikacije 4. Države članice obavješćuju Komisiju i ECCG prije donošenja novih nacionalnih programa kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata. ENISA Države članice Europska komisija Razmjena informacija Tokovi podataka Članak 88. Nacionalna tijela za kibernetičkosigurnosnu certifikaciju  2. Svaka država članica obavješćuje Komisiju o imenovanim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju. Ako država članica imenuje više od jednog tijela, također obavješćuje Komisiju o zadaćama koje su dodijeljene svakome od tih tijela. 6. Nacionalna tijela za kibernetičkosigurnosnu certifikaciju: (c) prate, u suradnji s relevantnim tijelima za nadzor tržišta, ispunjavaju li proizvođači ili pružatelji IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga odnosno subjekti čije je stanje kibernetičke sigurnosti certificirano i koji imaju poslovni nastan na njihovu državnom području te provode samoocjenjivanje sukladnosti u okviru odgovarajućeg europskog programa kibernetičkosigurnosne certifikacije obveze utvrđene u ovoj Uredbi i osiguravaju njihovo ispunjavanje kibernetičkosigurnosne certifikacije; (d)    ne dovodeći u pitanje članak 91. stavak 3., aktivno pomažu i pružaju potporu nacionalnim akreditacijskim tijelima ili drugim relevantnim tijelima u praćenju i nadzoru aktivnosti tijela za ocjenjivanje sukladnosti za potrebe ove Uredbe; (e)    surađuju s Komisijom u slučaju osporavanja sposobnosti tijela za ocjenjivanje sukladnosti u skladu s člankom 94.  (f)    prate i nadziru aktivnosti javnih tijela iz članka 85. stavka 3.; (g)    ako je to primjenjivo, ovlašćuju tijela za ocjenjivanje sukladnosti u skladu s člankom 93., prate sukladnost i osiguravaju izvršavanje obveza tijela za ocjenjivanje sukladnosti s obzirom na dodatne ili posebne zahtjeve utvrđene u europskim programima kibernetičkosigurnosne certifikacije u skladu s člankom 81. stavkom 3. točkom (f) te ograničavaju, suspendiraju ili povlače postojeće ovlaštenje ako tijela za ocjenjivanje sukladnosti ne ispunjavaju zahtjeve iz ove Uredbe; (h)    obrađuju pritužbe fizičkih ili pravnih osoba u pogledu europskih kibernetičkosigurnosnih certifikata koje su izdala nacionalna tijela za kibernetičkosigurnosnu certifikaciju ili u pogledu europskih kibernetičkosigurnosnih certifikata koje su izdala tijela za ocjenjivanje sukladnosti izdanih u skladu s člankom 85. stavkom 4. ili u pogledu EU izjava o sukladnosti izdanih na temelju članka 83. te u odgovarajućoj mjeri istražuju predmet tih pritužbi i u razumnom roku obavješćuju podnositelja pritužbe o napretku i rezultatu istrage; (i)    do 31. ožujka svake godine [godina stupanja na snagu + 12 mjeseci] Komisiji, ENISA-i i ECCG-u podnose godišnje izvješće o svojim glavnim aktivnostima te ta izvješća dostavljaju timu za istorazinsko ocjenjivanje ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju podliježe istorazinskom ocjenjivanju u skladu s člankom 89.; (j)    surađuju s drugim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju, tijelima za nadzor tržišta ili drugim javnim tijelima, među ostalim razmjenom informacija o mogućoj nesukladnosti IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata sa zahtjevima iz ove Uredbe ili sa zahtjevima određenih europskih programa kibernetičkosigurnosne certifikacije; (k)    prate relevantne promjene u području kibernetičkosigurnosne certifikacije.   8. Nacionalna tijela za kibernetičkosigurnosnu certifikaciju surađuju međusobno i s Komisijom tako da razmjenjuju informacije, iskustva i primjere dobre prakse u odnosu na kibernetičkosigurnosnu certifikaciju i tehnička pitanja povezana s kibernetičkom sigurnošću IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga i stanja kibernetičke sigurnosti subjekata. 9.    ENISA do [stupanje na snagu + 6 mjeseci] izrađuje predložak za izvješće iz stavka 6. točke (i) ovog članka u suradnji s Komisijom i ECCG-om. ENISA Tijela država članica Europska komisija Šira javnost Tijela za ocjenjivanje sukladnosti Država članica obavješćuje Komisiju o imenovanim nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju. Tijela država članica provode različite zadaće praćenja, nadzora i suradnje koje zahtijevaju tokove i obradu podataka Tokovi podataka Obrada podataka Članak 89. Istorazinsko ocjenjivanje 5. ENISA podupire organizaciju mehanizma za istorazinsko ocjenjivanje i istorazinskih ocjenjivanja, među ostalim izradom relevantnih smjernica i predložaka u suradnji s Komisijom i ECCG-om. 7. ECCG pregledava završno izvješće, uključujući moguće smjernice ili preporuke, te potvrđuje sažetak za objavu na internetskim stranicama iz članka 79. stavka 2. EU ENISA ECCG Objava podataka na internetu Tokovi podataka Obrada podataka   Članak 90. Europska skupina za kibernetičkosigurnosnu certifikaciju (ECCG) 3. ECCG ima sljedeće zadaće: [upućivanje na druge članke] (h)    ispitivati relevantna kretanja u području kibernetičkosigurnosne certifikacije, među ostalim na nacionalnoj razini u skladu s člankom 86., te razmjenjivati informacije i primjere dobre prakse o programima kibernetičkosigurnosne certifikacije; (i)olakšavati suradnju među nacionalnim tijelima za kibernetičkosigurnosnu certifikaciju u skladu s pravilima utvrđenima u ovoj glavi izgradnjom kapaciteta i razmjenom informacija, posebno u pogledu pitanja koja se odnose na kibernetičkosigurnosnu certifikaciju; [upućivanje na druge članke] (k)    olakšati usklađivanje europskih programa kibernetičkosigurnosne certifikacije s međunarodno priznatim normama, među ostalim u okviru održavanja postojećih europskih programa kibernetičkosigurnosne certifikacije i, prema potrebi, davati preporuke ENISA-i da surađuje s relevantnim europskim ili međunarodnim organizacijama za normizaciju kako bi se uklonili nedostaci ili manjkavosti u dostupnim europskim ili međunarodno priznatim normama; Države članice ENISA Europska komisija  Analiza, razmjena informacija i suradnja među tijelima država članica i međunarodnim organizacijama u području europske kibernetičkosigurnosne certifikacije Obrada podataka Tokovi podataka Članak 92. Dodatno usklađivanje nadležnosti tijela za ocjenjivanje sukladnosti 4. Ako nacionalno tijelo za kibernetičkosigurnosnu certifikaciju zaprimi zahtjev u skladu sa stavkom 3., o tome obavješćuje nacionalno tijelo za kibernetičkosigurnosnu certifikaciju države članice u kojoj tijelo za ocjenjivanje sukladnosti koje je podnijelo zahtjev ima poslovni nastan. U takvim slučajevima nacionalno tijelo za kibernetičkosigurnosnu certifikaciju te države članice može sudjelovati u ovlaštenju kao promatrač. Tijela država članica Tijela za ocjenjivanje sukladnosti Razmjena i zadržavanje informacija Tokovi podataka Obrada podataka Članak 93. Prijavljivanje tijela za ocjenjivanje sukladnosti 1. Za svaki europski program kibernetičkosigurnosne certifikacije nacionalna tijela za kibernetičkosigurnosnu certifikaciju države članice obavješćuju Komisiju i druge države članice o tijelima za ocjenjivanje sukladnosti koja su akreditirana i, ako je primjenjivo, ovlaštena u skladu s člankom 92. 2. Nacionalna tijela za kibernetičkosigurnosnu certifikaciju vrše prijavu iz stavka 1. s pomoću alata za elektroničko obavješćivanje koji je razvila i kojim upravlja Komisija. ENISA Države članice Europska komisija Tijela za ocjenjivanje sukladnosti Prijavljivanje akreditiranih i ovlaštenih tijela za ocjenjivanje sukladnosti Tokovi podataka Obrada podataka Članak 94. Osporavanje sposobnosti tijela za ocjenjivanje sukladnosti 1.1. Komisija istražuje sve slučajeve u kojima sumnja ili je upozorena na postojanje sumnje u sposobnost tijela za ocjenjivanje sukladnosti da postupi ili kontinuirano postupa u skladu s propisanim zahtjevima i odgovornostima. 2. Nacionalno tijelo za kibernetičkosigurnosnu certifikaciju Komisiji na zahtjev dostavlja sve informacije koje se odnose na osnovu za prijavljivanje ili održavanje sposobnosti predmetnog tijela za ocjenjivanje sukladnosti. 3. Komisija osigurava da se sa svim osjetljivim informacijama prikupljenima tijekom njezinih istraga postupa kao s povjerljivim informacijama.  4. Ako Komisija utvrdi da tijelo za ocjenjivanje sukladnosti ne ispunjava ili više ne ispunjava zahtjeve za prijavu, o tome obavješćuje nacionalno tijelo za kibernetičkosigurnosnu certifikaciju i od njega zahtijeva da poduzme potrebne korektivne mjere, uključujući povlačenje prijave ako je to potrebno. Komisija Države članice ENISA Osporavanje sposobnosti tijela za ocjenjivanje sukladnosti Tokovi podataka Postupak obrade podataka Digitalna javna usluga  Članak 95. Obveze informiranja i zadržavanja za tijela za ocjenjivanje sukladnosti 1. Tijela za ocjenjivanje sukladnosti obavješćuju nacionalno tijelo za kibernetičkosigurnosnu certifikaciju o sljedećem: (a)    svakom odbijanju, ograničenju, suspenziji ili povlačenju certifikata; (b)    svim okolnostima koje utječu na opseg i uvjete prijave iz članka 93. stavka 1.;     (c)    svim zahtjevima za informacije koje su primila od tijela za nadzor tržišta u vezi s aktivnostima ocjenjivanja sukladnosti; (d)    na zahtjev, svim aktivnostima ocjenjivanja sukladnosti provedenima u području za koje je prijavljeno i svim drugim provedenim aktivnostima, uključujući prekogranične aktivnosti i podugovaranje. 2. Tijela za ocjenjivanje sukladnosti ENISA-i također dostavljaju informacije iz stavka 1. točke (a) radi olakšavanja njezinih zadaća na temelju članka 79. 3. Tijela za ocjenjivanje sukladnosti drugim tijelima za ocjenjivanje sukladnosti na temelju ove Uredbe koja provode slične aktivnosti ocjenjivanja sukladnosti za iste IKT proizvode, IKT usluge, IKT procese ili upravljane sigurnosne usluge odnosno subjekte čije se stanje kibernetičke sigurnosti certificira bez nepotrebne odgode dostavljaju relevantne informacije o pitanjima koja se odnose na negativne i, na zahtjev, pozitivne rezultate ocjenjivanja sukladnosti. 4. Tijela za ocjenjivanje sukladnosti vode sustav evidencije koji sadržava sve dokumente i dokaze koji su podneseni ili zaprimljeni u vezi sa svakom evaluacijom i certifikacijom koju provode. Evidencija se pohranjuje na siguran i pristupačan način na rok potreban za svrhu certifikacije i najmanje pet godina nakon isteka ili povlačenja relevantnog europskog kibernetičkosigurnosnog certifikata. Tijela država članica Tijela za ocjenjivanje sukladnosti Razmjena informacija između tijela za ocjenjivanje sukladnosti Tokovi podataka Obrada podataka Članak 96. Prava na podnošenje pritužbe i pravo na djelotvoran pravni lijek  2. Tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o tijeku postupka, donesenoj odluci i pravu na djelotvoran pravni lijek iz stavaka 3. i 4. 4. Postupci na temelju ovog članka pokreću se pred sudovima države članice u kojoj se nalazi tijelo protiv kojeg je pravni lijek upućen. Tijela država članica Europska komisija Šira javnost Nositelji certifikata Tokovi informacija o pritužbama između nadležnih tijela i opće javnosti  Postupci pred sudovima države članice Tokovi podataka Članak 97. Sankcije  Države članice bez odgode obavješćuju Komisiju o tim pravilima i tim mjerama te je obavješćuju o svim naknadnim izmjenama koje na njih utječu. Tijela država članica Europska komisija Tokovi informacija povezanih s obavijestima država članica Komisiji o sankcijama. Tokovi podataka Članak 99. Procjene sigurnosnih rizika Komisija ili najmanje tri države članice mogu od Skupine za koordinaciju mrežnih i informacijskih sustava zatražiti da provede koordinirane procjene rizika u roku od šest mjeseci. Komisija može zatražiti kraće rokove. Procjene rizika obuhvaćaju izradu scenarija rizika i temelje se na analizi podataka. Izrada koordiniranih procjena sigurnosnih rizika. U slučajevima koji opravdavaju hitnu intervenciju Komisija se bez odgode savjetuje s državama članicama i provodi procjenu rizika. Odluke o provođenju procjena rizika (obrada/analiza podataka). Europska komisija Države članice EU-a Skupina za suradnju u području mrežne i informacijske sigurnosti ENISA Traženje i primanje informacija; analiza podataka za potrebe koordiniranih procjena rizika Savjetovanje s državama članicama i provedba procjene rizika Obrada podataka Tokovi podataka Članak 100. stavci 1. i 2. Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost 1. Ako se na temelju procjene sigurnosnog rizika iz članka 99. ili drugih izvora, kao što je javna izjava u ime Unije ili države članice, utvrdi da treća zemlja predstavlja ozbiljne i strukturne netehničke rizike za lance opskrbe IKT-om, Komisija provjerava prijetnju koju predstavlja ta zemlja, uzimajući u obzir niz elemenata, što dovodi do obrade/analize podataka. 2. Ako Komisija nakon provjere iz stavka 1. zaključi da treća zemlja predstavlja ozbiljne i strukturne netehničke rizike za lance opskrbe IKT-om, može provedbenim aktom odlučiti okvalificirati tu treću zemlju kao zemlju koja izaziva zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om, zbog čega je potrebno provesti analizu podataka i tokova podataka. Države članice EU-a Europska komisija Primanje, analiza i razmjena informacija Tokovi podataka Obrada podataka Članak 101. Opći mehanizam za lance opskrbe IKT-om Članak 102. Utvrđivanje ključne IKT imovine i Članak 103. Mjere ublažavanja u lancima opskrbe IKT-om 1. Ako je Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava provela koordiniranu procjenu sigurnosnih rizika na razini Unije u skladu s člankom 99. stavcima 1. i 2. ove Uredbe ili nakon završetka postupka u slučaju ozbiljne kibernetičke prijetnje u skladu s člankom 99. stavkom 3., Komisija može poduzeti mjere predviđene u člancima 102. i 103. Komisija je ovlaštena za donošenje provedbenih akata kojima će se utvrditi ključna IKT imovina i mjere ublažavanja, uključujući ograničenja i zabrane koji se odnose na lance opskrbe IKT-om (pojedinosti su navedene u odjeljku 4.5. u nastavku). U pripremi za taj postupak Komisija uzima u obzir nekoliko aspekata koji se odnose na obradu/analizu podataka, a u nekim slučajevima i na tokove podataka: Članak 102. točke od (a) do (f) Članak 103. stavak 4. točke od (a) do (d) Članak 103. stavak 6. Europska komisija Skupina za suradnju u području mrežne i informacijske sigurnosti Relevantni dionici Analiza podataka/obrada podataka; savjetovanje s relevantnim dionicima Obrada podataka Tokovi podataka Članak 104. Utvrđivanje visokorizičnih dobavljača Komisija provedbenim aktima utvrđuje popise visokorizičnih dobavljača relevantnih za zabrane utvrđene u provedbenim aktima donesenima u skladu s člankom 103. stavkom 1. ili za zabranu iz članka 111. stavka 1. Komisija utvrđuje dobavljače koji pružaju IKT komponente i komponente koje sadržavaju IKT komponente i provodi početnu procjenu kako bi se utvrdilo koji dobavljači potencijalno imaju poslovni nastan u trećim zemljama okvalificiranima u skladu s člankom 100. ili su pod kontrolom takvih trećih zemalja. Komisija procjenjuje mjesto poslovnog nastana te vlasničku i kontrolnu strukturu. Komisija ima pravo od dobavljača zatražiti potrebne informacije i dijeli preliminarne nalaze na temelju procjene mjesta poslovnog nastana te vlasničke i kontrolne strukture s predmetnim dobavljačem te mu daje priliku da bude saslušan. Komisija može od nadležnog tijela zatražiti da provede inicijalnu provjeru mjesta poslovnog nastana te vlasničke i kontrolne strukture dobavljača ako je to opravdano s obzirom na karakteristike poslovanja tog dobavljača. Nadležno tijelo može ponuditi da će ono provesti takvu inicijalnu provjeru. Komisija preispituje te početne nalaze kako bi odlučila treba li dobavljača uvrstiti na popis visokorizičnih dobavljača. Komisija redovito ažurira popise visokorizičnih dobavljača radi uklanjanja ili dodavanja visokorizičnih dobavljača. Visokorizični dobavljači uvršteni na popis mogu od Komisije zatražiti da ponovno provede postupak provjere njihova mjesta poslovnog nastana te vlasničke i kontrolne strukture nakon što dostave dokaze o relevantnim promjenama. Europska komisija Nadležna tijela Dobavljači Analiza podataka/obrada podataka; savjetovanje s nadležnim tijelima, savjetovanje s dobavljačima Obrada podataka Tokovi podataka Članak 105. Izuzeće za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje Članak 108. Povjerljivost 1. Subjekt koji ima poslovni nastan u trećoj zemlji koja je okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili je pod kontrolom takve treće zemlje može Komisiji podnijeti obrazloženi zahtjev. 3. Komisija procjenjuje i donosi odluku uzimajući u obzir nekoliko aspekata koji dovode do analize podataka. (Članak 105. stavci 3. i 4.) Informacije koje Komisija primi koriste se samo u svrhu za koju su prikupljene Europska komisija Subjekti koji imaju poslovni nastan u trećoj zemlji koja je okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve zemlje Komisija prima zahtjev; analiziranje podataka Tokovi podataka Obrada podataka Članak 107. Registar Komisija održava javno dostupan registar svojih odluka iz članka 105. U registru se navode imena subjekata na koje se odluke odnose. Europska komisija Subjekti koji imaju poslovni nastan u trećoj zemlji koja je okvalificirana kao zemlja koja izaziva zabrinutost za kibernetičku sigurnost ili su pod njezinom kontrolom Komisija održava javno dostupan registar. Digitalno rješenje Članak 111. Zabrane za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže Nadležno tijelo imenovano na temelju ove Uredbe bez odgode obavješćuje nadležno tijelo u skladu s Uredbom (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama] o mjerama uvedenima za pružatelje pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža. Nadležno tijelo u smislu članka 9. ili 20. Uredbe (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama] Pružatelji pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža Tokovi informacija od nadležnog tijela do subjekata u vezi s ovlaštenjima Tokovi podataka Članak 112. stavci 1., 4. Nadležna tijela 1. Svaka država članica imenuje jedno ili više nadležnih tijela odgovornih za nadzorne i izvršne zadaće iz članka 114. 4. Svaka država članica bez nepotrebne odgode obavješćuje Komisiju o imenima nadležnih tijela imenovanih u skladu sa stavkom 1., odgovarajućim zadaćama tih tijela i svim naknadnim promjenama tih zadaća. Svaka država članica također objavljuje imena nadležnih tijela imenovanih u skladu sa stavkom 1.   Države članice EU-a Europska komisija Šira javnost Države članice imenuju nadležna tijela i o tome obavješćuju Komisiju. Tokovi podataka Članak 113. Mreža za suradnju i usluge potpore Komisije 1. Komisija uspostavlja mrežu za suradnju nadležnih tijela država članica i Komisije koja je platforma za suradnju i razmjenu informacija. Komisija toj mreži pruža administrativnu potporu. 2. Kako bi poduprla države članice u njihovim nadzornim zadaćama, Komisija procjenjuje imaju li dobavljači na koje bi mogle utjecati posebne zabrane poslovni nastan u trećim zemljama koje su u skladu s člankom 100. okvalificirane kao zemlje koje izazivaju zabrinutost za kibernetičku sigurnost ili jesu li pod njihovom kontrolom. U tu svrhu nadležno tijelo razmjenjuje relevantne informacije s Komisijom. 3. Za potrebe procjene Komisija ima pravo zatražiti potrebne informacije od dobavljača na koje bi se mogle odnositi posebne zabrane koji imaju poslovni nastan u trećim zemljama okvalificiranima u skladu s člankom 100. ili su pod kontrolom takvih trećih zemalja. 4. Nakon dovršetka procjene Komisija dijeli nalaze s nadležnim tijelima u okviru mreže uspostavljene na temelju stavka 1. Nadležna tijela o nalazima pravodobno obavješćuju predmetne subjekte vrste iz priloga I. i II. Direktivi (EU) 2022/2555. 5. Ako nadležno tijelo sazna da dobavljač na kojeg bi mogle utjecati posebne zabrane ima poslovni nastan u trećim zemljama koje izazivaju zabrinutost za kibernetičku sigurnost ili je pod njihovom kontrolom, a nije prošao postupak procjene, o tome bez nepotrebne odgode obavješćuje Komisiju. Komisija Nadležna tijela Subjekti vrste iz priloga I. i II. Direktivi (EU) 2022/2555 Komisija procjenjuje dobavljače i dijeli nalaze s nadležnim tijelima koja dijele nalaze sa subjektima vrste iz priloga I. i II. Direktivi (EU) 2022/2555 Komisija zahtijeva informacije od dobavljača Nadležna tijela obavješćuju Komisiju Obrada podataka Tokovi podataka Članak 114. Nadzorne i izvršne mjere Zahtjevi za države članice kako bi se zajamčili tokovi informacija sa subjektima iz priloga I. i II. Direktivi (EU) 2022/2555. Prije donošenja mjera nadležna tijela obavješćuju predmetne subjekte o svojim preliminarnim nalazima. Nadležna tijela surađuju međusobno i s Komisijom. Države članice EU-a Europska komisija Subjekti u kontekstu priloga I. i II. Direktivi (EU) 2022/2555 Zahtjevi kako bi se zajamčili tokovi informacija Tokovi podataka Obrada podataka Članak 115. Sankcije Države članice obavješćuju Komisiju o tim pravilima i tim mjerama te je bez odgode obavješćuju o svim naknadnim izmjenama koje na njih utječu. Europska komisija Države članice EU-a Države članice obavješćuju Komisiju Tokovi podataka Članak 116. Uzajamna pomoć Ako subjekt iz priloga I. ili II. Direktivi (EU) 2022/2555 pruža usluge u više država članica ili pruža usluge u jednoj ili više država članica, a njegova se ključna imovina nalazi u jednoj ili više drugih država članica, nadležna tijela predmetnih država članica, prema potrebi, surađuju i uzajamno si pomažu. Uzajamna pomoć iz prvog podstavka točke (c) može obuhvaćati zahtjeve za informacije i nadzorne mjere, uključujući zahtjeve za provođenje inspekcija na lokaciji ili neizravnog nadzora ili ciljanih revizija sigurnosti. Nadležno tijelo kojem je upućen zahtjev za pomoć ne smije odbiti taj zahtjev osim u slučaju da se utvrdi da to tijelo nema nadležnost za pružanje zatražene pomoći, da zatražena pomoć nije razmjerna nadzornim zadaćama nadležnog tijela ili da se zahtjev odnosi na informacije ili uključuje aktivnosti koje bi, u slučaju da se otkriju ili provedu, bile suprotne osnovnim interesima nacionalne sigurnosti, javne sigurnosti ili obrane države članice. Prije odbijanja takvog zahtjeva nadležno tijelo savjetuje se s drugim dotičnim nadležnim tijelima te, na zahtjev jedne od dotičnih država članica, s Komisijom. Prema potrebi i uz međusobnu suglasnost, nadležna tijela iz različitih država članica mogu provoditi zajedničke nadzorne aktivnosti. Države članice EU-a Uzajamna pomoć u aktivnostima nadzora Tokovi podataka Obrada podataka Članak 1. točka 8. Direktive Izvješćivanje o napadima ucjenjivačkim softverom (Članak 27. stavak 13. Direktive NIS 2)   u članku 23. dodaju se sljedeći stavci 12. i 13.:  „13. Države članice osiguravaju da u slučaju značajnog incidenta uzrokovanog napadom ucjenjivačkim softverom dotični subjekti na zahtjev CSIRT-a ili, prema potrebi, nadležnog tijela putem komunikacijskog kanala koji na raspolaganje stavlja CSIRT ili nadležno tijelo dostave informacije o sljedećem: je li subjekt primio zahtjev za otkupninu i, ako jest, od koga; je li otkupnina plaćena i, ako jest, u kojem iznosu, kojim sredstvom plaćanja i kojem primatelju ili na koje odredište, prema potrebi uključujući kriptoimovinu i pružatelja usluga povezanih s kriptoimovinom.” Države članice EU-a Ključni i važni subjekti Izvješćivanje Tokovi podataka Članak 1. točka 10. Direktive  Popis subjekata i registar (Članak 27. stavak 1. Direktive NIS 2)   ENISA uspostavlja i održava registar ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena na temelju informacija primljenih od jedinstvenih kontaktnih točaka u skladu sa stavkom 2.   ENISA Države članice EU-a (ključni i važni subjekti na temelju Direktive NIS 2, subjekti koji pružaju usluge registracije naziva domena) ENISA uspostavlja i održava registar Digitalno rješenje Digitalna javna usluga   Članak 1. točka 11. Direktive  Popis subjekata i registar (Članak 27. stavak 4. Direktive NIS 2) „4. Po primitku informacija iz članka 3. stavka 4. jedinstvena kontaktna točka dotične države članice prosljeđuje ih bez nepotrebne odgode ENISA-i.”  ENISA Države članice EU-a Države članice razmjenjuju informacije s ENISA-om Tokovi podataka Članak 1. točka 12. Direktive Uzajamna pomoć  (Članak 37.a stavci 1., 2., 3. Direktive NIS 2)  1. ENISA podupire države članice u pružanju uzajamne pomoći u smislu članka 37. i olakšava takve postupke suradnje za ključne i važne subjekte (...). 2. ENISA provodi sveobuhvatnu analizu (...) ENISA u suradnji s Komisijom i skupinom za suradnju razvija metodologiju. Izvješće se ažurira svake godine. (3.) ENISA prema potrebi preporučuje; izrađuje smjernice; pomaže (...)   ENISA Države članice EU-a Važni i ključni subjekti u smislu Direktive NIS 2 Europska komisija ENISA pomaže državama članicama i olakšava postupak suradnje. Provođenje analize, smjernice, metodologija, izvješća. Obrada podataka Tokovi podataka Članak 1. točka 12. Direktive Uzajamna pomoć  (Članak 37.a stavak 4. Direktive NIS 2)  4. Za potrebe stavka 4. točke (e) ovog članka nadležna tijela predmetnih država članica, ako je primjenjivo, ENISA-i (....) dostavljaju sljedeće: 5. Ako država članica primi uzajamnu pomoć kako je navedeno u članku 37. stavku 1. prvom podstavku točki (c), jedinstvena kontaktna točka obavješćuje ENISA-u da je pružena uzajamna pomoć.  ENISA Države članice EU-a   Razmjena informacija Tokovi podataka Članak 119. Izvršavanje delegiranja ovlasti 3.    Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću. Europska komisija Europski parlament  Vijeće  Informacije koje se šalju Europskom parlamentu i Vijeću  Tokovi podataka Članak 120. Ocjenjivanje i revizija  1.    Komisija do [DD MM GGGG] i svakih pet godina nakon toga naručuje evaluaciju rada ENISA-e s obzirom na njezine ciljeve, mandat, misiju, zadaće, upravljanje i lokaciju u skladu sa smjernicama Komisije. 5.    Komisija o nalazima evaluacije izvješćuje Europski parlament, Vijeće i Upravni odbor. Nalazi evaluacije se objavljuju. ENISA Komisija Šira javnost Prikupljanje i analiza podataka, objavljivanje informacija Obrada podataka Tokovi podataka

4.2.Podaci

Opći opis podataka obuhvaćenih područjem primjene i svih s tim povezanih normi/specifikacija 

Vrsta podataka	Upućivanja na zahtjev	Norma i/ili specifikacija                    (ako je primjenjivo)
Podaci povezani s analizom/izvješćima relevantnima za otpornost i društvo u pogledu kibernetičke sigurnosti	Članak 5. stavak 1. točke (a), (b), (c), (e), (f), (h)  Članak 5. stavci 2., 3. i 4.  Članak 6.  Članak 7.  Članak 8.  Članak 9.  Članak 10.  Članak 11. stavak 2. točke (b) i (c)  Članak 12. stavak 4.  Članak 15.  Članak 1. točka 7. Direktive	Pri obavljanju aktivnosti navedenih u članku 11. stavku 1. točkama od (a) do (e) i stavku 2. ENISA upotrebljava vlastite analize i, prema potrebi, informacije koje je primila pri obavljanju svojih zadaća, uključujući:  (a) informacije iz javno dostupnih izvora, uključujući informacije o javno poznatim ranjivostima IKT proizvoda ili IKT usluga koje su dostupne u europskoj bazi podataka o ranjivostima uspostavljenoj u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555; (b) informacije koje dostavljaju države članice, subjekti Unije, CERT-EU, privatni sektor ili nevladini partneri te treće zemlje i međunarodne organizacije, podložno svim ograničenjima naznačenima na vidljivoj oznaci o daljnjem dijeljenju tih informacija. ENISA izdaje smjernice o interoperabilnosti mrežnih informacijskih sustava koji se koriste za razmjenu informacija, među ostalim u pogledu prekograničnih kibernetičkih centara iz članka 6. stavka 3. Uredbe (EU) 2025/38
Podaci važni za operativnu suradnju i svijest o situaciji	Članak 10. stavak 4. točke od (a) do (g)  Članak 10. stavak 6.  Članak 11. stavak 1. točke od (a) do (g)  Članak 11. stavak 2. točke (a), (b) i (c)  Članak 11. stavak 3.  Članak 11. stavak 4.  Članak 13. stavak 2.  Članak 15.  Članak 16. stavak 2. točka (e)	Standardi povjerljivosti i postupanja s osjetljivim informacijama  Pri obavljanju aktivnosti navedenih u članku 11. stavku 1. točkama od (a) do (e) i stavku 2. ENISA upotrebljava vlastite analize i, prema potrebi, informacije koje je primila pri obavljanju svojih zadaća, uključujući:  (a) informacije iz javno dostupnih izvora, uključujući informacije o javno poznatim ranjivostima IKT proizvoda ili IKT usluga koje su dostupne u europskoj bazi podataka o ranjivostima uspostavljenoj u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555; (b) informacije koje dostavljaju države članice, subjekti Unije, CERT-EU, privatni sektor ili nevladini partneri te treće zemlje i međunarodne organizacije, podložno svim ograničenjima naznačenima na vidljivoj oznaci o daljnjem dijeljenju tih informacija.
Podaci relevantni za sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i ovlašćivanje izdavatelja  Podaci relevantni za ciljeve, svrhu i sadržaj europskih programa kibernetičkosigurnosne certifikacije	Članak 17.  Članak 18.  Članci od 19. do 23.  Članci 72., 73., 74., 75., 76., 77., 79., 81., 83., 84.	Sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti uključuje (...) pravila o evidenciji koju čuvaju ovlašteni izdavatelji potvrda Ovlašteni izdavatelji osiguravaju da se na zahtjev pojedinca elektroničke potvrde u okviru sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti izdaju kao elektroničke potvrde atributa u formatu koji se može pohraniti u europskim lisnicama za digitalni identitet iz Uredbe (EU) br. 910/2014. .  Komisija i ENISA trebale bi se pri uspostavi europskog programa kibernetičkosigurnosne certifikacije, u dijelu koji se odnosi na podatke, pridržavati relevantnih odredaba zakonodavstva Unije.
Podaci o upravljanju Europskim okvirom za kibernetičkosigurnosnu certifikaciju	Članci 85., 86., 88., 89., 90., 92., 93., 94., 95., 96., 97.	ENISA, tijela za ocjenjivanje sukladnosti i nacionalna tijela za kibernetičkosigurnosnu certifikaciju trebali bi osigurati povjerljivost podataka i poštovati odredbe relevantnog programa koji se odnosi na međunarodne norme kojima se utvrđuju zahtjevi.
Podaci relevantni za unutarnje funkcije ENISA-e (proračun, jedinstveni programski dokument, unutarnje strategije)	Članak 25.  Članak 28. stavak 1.  Članak 30.  Članak 31. stavak 8.  Članak 32. stavci 3. i 5.  Članak 35. stavci 5. i 6.  Članak 36. stavak 43.  Članak 44.  Članak 45.  Članak 47. stavak 10.  Članci 48. i 49.  Članak 52., članak 58.	Predlošci i smjernice na temelju financijske uredbe; interne smjernice
Osobni podaci	Članak 22.  Glava II. poglavlje III. odjeljak 6. Odbor za žalbe  Članak 66.  Članak 80. stavak 1. točke (c) i (x)  Članak 81. stavak 2. Članak 88. stavak 6. točka (h)  Članak 95.  Članak 96.	Uredba (EU) 2018/1725  Uredba (EU) 2016/679
Podaci prikupljeni i analizirani u kontekstu provedbe koordiniranih procjena rizika, izrade scenarija rizika i utvrđivanja ključne IKT imovine	Članak 98. Članak 99. Članak 102. Članak 103. Članak 105.	Ne dovodeći u pitanje članak 13. Uredbe (EU) 2024/2847 i članak 21. Direktive (EU) 2022/2555
Podaci o trećim zemljama/subjektima iz trećih zemalja	Članak 100. stavci 1., 3., 4. Članak 104. Članak 105. Članak 107. Članak 113.	Nije primjenjivo.
Podaci o nacionalnim tijelima	Članak 112. Članak 114. Članak 116.	Nije primjenjivo.
Podaci relevantni za procjene rizika	Članak 5. stavak 2.	Standardi povjerljivosti i postupanja s osjetljivim informacijama
Uzajamna pomoć među državama članicama	Članak 5. stavak 1. točka (g) Uredbe i članak 1. točka 12. Direktive	/

Usklađenost s Europskom strategijom za podatke

Objasnite kako su zahtjevi usklađeni s Europskom strategijom za podatke

Zahtjevi iz prijedloga Akta o kibernetičkoj sigurnosti 2 usklađeni su bez posebnog učinka s obzirom na Europsku strategiju za podatke.

Usklađenost s načelom „samo jednom”     

Objasnite kako je razmotreno načelo „samo jednom” i kako je istražena mogućnost ponovne uporabe postojećih podataka 

Jedan je od ciljeva prijedloga maksimalno pojačati mjere za pojednostavnjenje koje poduzima Komisije i smanjiti administrativno opterećenje za države članice i dionike. Posljednjih je godina ENISA postala informacijski centar u kojem se čuvaju informacije iz različitih izvora. U tom su smislu mnoge zadaće ENISA-e povezane s ponovnom uporabom i recikliranjem informacija za potrebe različitih analiza. Na primjer: u neke svrhe povezane su s ponovnom uporabom informacija prijavljenih u skladu s člancima 23. i 30. Direktive (EU) 2022/2555; priopćeno, podijeljeno ili analizirano u skladu s člankom 14. stavcima od 1. do 3., člankom 15. i člankom 17. stavcima 1. i 3. Uredbe (EU) 2024/2847. U odredbama o okviru za lanac opskrbe pretpostavlja se da će se njegova provedba poduprijeti podacima primljenima u skladu s člankom 22. Direktive (EU) 2022/2555, što ukazuje na ponovnu uporabu informacija i koordinaciju.

Objasnite kako su novostvoreni podaci vidljivi, dostupni, interoperabilni i ponovno upotrebljivi te kako ispunjavaju standarde visoke kvalitete  

U zakonodavnom prijedlogu izričito se navodi kad bi podaci trebali biti javno dostupni. U prijedlogu se razmatra priroda odredaba sa strogo sigurnosnim aspektima i aspektima povjerljivosti te stoga neće svi podaci izrađeni u okviru preispitivanja Akta o kibernetičkoj sigurnosti biti namijenjeni za javnu upotrebu. Kad je riječ o potrebnim odredbama, osigurana je usklađenost s europskom lisnicom za digitalni identitet. ENISA je zadužena za pružanje usluge ranog upozoravanja u strojno čitljivom formatu.

Tokovi podataka

Opći opis podataka obuhvaćenih područjem primjene i svih s tim povezanih normi/specifikacija

Vrsta podataka	Objasnite protok podataka		Referentni dokumenti
ENISA izrađuje izvješća i analize, tehničke smjernice i primjere najbolje prakse	Riječ je o tokovima podataka koji su usmjereni prema dionicima ENISA-e i koji podupiru provedbu politike i prava EU-a. U tim tokovima podataka ENISA prikuplja informacije, uglavnom iz javnih izvora, provodi analize i dijeli rezultate sa svojim dionicima.  ENISA provodi određene zadaće i na zahtjev Komisije.		Članak 5. stavak 1. točke (a), (b), (c), (e), (f), (h)   Članak 5. stavak 2. Članak 5. stavak 3. Članak 5. stavak 5. Članak 6.  Članak 7. Članak 8.  Članak 9. Članak 10. Članak 11. stavak 2.  Članak 11. stavak 4.  Članak 14.
Tokovi podataka između Komisije, ENISA-e, država članica i drugih relevantnih aktera u ekosustavu kibernetičke sigurnosti EU-a u smislu operativne suradnje.	Ta vrsta tokova podataka uspostavlja se za potrebe operativne suradnje i razvoja svijesti o situaciji. Razmjena informacija odvija se u oba smjera, prema unutra i prema van. Riječ je o razmjeni operativnih podataka.		Članak 10. stavak 4. točke (a) do (g)  Članak 11. stavak 1. točke (b) i (g)  Članak 11. stavak 2. točke (a) i (b) Članak 11. stavak 3.  Članak 15. Članak 16. stavak 2. točka (e)
Tokovi podataka uspostavljeni za potporu Europskom okviru za vještine u području kibernetičke sigurnosti i sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i njihovoj provedbi	Ti tokovi podataka podupiru odlazne i dolazne razmjene za potrebe: – održavanja i primjene Europskog okvira za vještine u području kibernetičke sigurnosti, s tokovima između ENISA-e i članova njezine ad hoc radne skupine te između ENISA-e i Komisije, – razvoja i održavanja sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, s tokovima između ENISA-e i njezinih članova ad hoc radne skupine te između ENISA-e, Komisije i država članica, – provedbe sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, s tokovima podataka između podnositelja zahtjeva i ENISA-e, – tokova podataka između Odbora za žalbe, ENISA-e, Komisije i podnositelja zahtjeva.		Članci od 19. do 23.  Članci od 36. do 43.
Podaci relevantni za ciljeve, svrhu i sadržaj europskih programa kibernetičkosigurnosne certifikacije	Ta vrsta tokova podataka relevantna je za planiranje, traženje, razvoj, donošenje i održavanje (uključujući moguće preispitivanje) europskih programa kibernetičkosigurnosne certifikacije. Posebno se odnosi na sudjelovanje i stručne savjete dionika, ENISA-e i tijela država članica putem ECCG-a u različitim fazama postupka. Nadalje, dodatni tok podataka povezan je s davanjem relevantnih informacija općoj javnosti putem namjenskih internetskih stranica Komisije i ENISA-e. Naposljetku, u sklopu okvira predviđena je javna dostupnost dodatnih informacija o kibernetičkoj sigurnosti koje dostavljaju proizvođači ili pružatelji IKT proizvoda, IKT usluga ili IKT procesa koji su sami izdali EU izjavu o sukladnosti ili europski kibernetičkosigurnosni certifikat.	Članak 18. Članak 19. Članci 72., 73., 74., 75., 76., 77., 79., 81., 83., 84.
Podaci o upravljanju Europskim okvirom za kibernetičkosigurnosnu certifikaciju	Ti tokovi podataka podupiru odlazne i dolazne razmjene za potrebe: – koordinacije europskih programa kibernetičkosigurnosne certifikacije i upravljanja njima – akreditacije i ovlašćivanja tijela za ocjenjivanje sukladnosti te njihovo naknadno prijavljivanje putem relevantne platforme i povezanih postupaka – postupaka pravne zaštite kao što su pravo na podnošenje pritužbe, pravni lijek ili žalbe i postupci promjene.	Članci 85., 86., 88., 89., 90., 92., 93., 94., 95. i 96.
Tokovi podataka povezani s administrativnim aktivnostima Agencije	Tokovi između ENISA-e, Upravnog odbora, država članica, Komisije. Informacije se odnose na administrativne aktivnosti Agencije, u oba smjera. U nekim se slučajevima informacije šalju i Europskom parlamentu (s time povezani tokovi podataka prikazani su u nastavku)		Članak 25.  Članak 28. stavak 1.  Članak 30.  Članak 31. stavak 8.  Članak 32. stavci 3. i 5.  Članak 35. stavci 5. i 6.  Članak 36. stavak 43.  Članak 44. Članak 45.
Podaci koji se dostavljaju Europskom parlamentu	Tokovi prema Europskom parlamentu o aktivnostima ENISA-e i izvršavanju zadaća, upravljanju proračunom i financijama, suradnji s trećim zemljama i međunarodnim organizacijama, saslušanju kandidata za izvršnog direktora i pitanjima europske kibernetičkosigurnosne certifikacije		Članak 28. stavak 1. točka (f), članak 31. stavak 8., članak 32. stavak 3., članak 44. stavak 3., članak 49. stavak 6., članak 49. stavak 9., članak 70. stavak 5., članak 72. stavci 4. i 5., članak 119. stavak 3. Izvršavanje delegiranja ovlasti, članak 120. Evaluacija i preispitivanje
Podaci koji se dostavljaju Vijeću EU-a	Tokovi prema Europskom parlamentu o aktivnostima ENISA-e i izvršavanju zadaća, upravljanju proračunom i financijama, suradnji s trećim zemljama i međunarodnim organizacijama, saslušanju kandidata za izvršnog direktora i prijedlozima programa u izradi u skladu s europskim okvirom za kibernetičkosigurnosnu certifikaciju.		Članak 28. stavak 1. točka (f), članak 31. stavak 8., članak 32. stavak 3., članak 32. stavak 7., Članak 49. stavak 6., članak 49. stavak 9., članak 70. stavak 5., članak 72. stavci 4. i 5., članak 119. stavak 3. Izvršavanje delegiranja ovlasti, članak 120. Evaluacija i preispitivanje
Tokovi podataka povezani s podnošenjem pritužbe	Rješavanje pritužbi fizičkih ili pravnih osoba povezanih s europskim kibernetičkosigurnosnim certifikatima koje su izdala nacionalna tijela za kibernetičkosigurnosnu certifikaciju ili europskim kibernetičkosigurnosnim certifikatima koje su izdala tijela za ocjenjivanje sukladnosti u skladu s člankom 84. stavkom 4. ili s EU izjavama o sukladnosti. Fizičke i pravne osobe imaju pravo podnijeti pritužbu izdavatelju europskog kibernetičkosigurnosnog certifikata ili, ako se pritužba odnosi na europski kibernetičkosigurnosni certifikat koji je izdalo tijelo za ocjenjivanje sukladnosti, relevantnom nacionalnom tijelu za kibernetičkosigurnosnu certifikaciju.		Članak 55. stavak 3. Članak 88. stavak 7. točka (f) Članak 96.
Tokovi podataka o napadima ucjenjivačkim softverom	Izvješćivanje o određenim informacijama u slučaju napada ucjenjivačkim softverom		Članak 1. točka 8. Direktive

   

Vrsta podataka	Upućivanja na zahtjeve	Subjekti koji dostavljaju podatke	Primatelji podataka	Povod za razmjenu podataka	Učestalost (ako je primjenjivo)
Tokovi podataka između Komisije i država članica u kontekstu provedbe koordiniranih procjena sigurnosnih rizika na razini Unije	Članak 99. Procjene sigurnosnih rizika	Komisija i države članice	Države članice (Skupina za suradnju u području mrežne i informacijske sigurnosti)	Članak 99. Procjene sigurnosnih rizika	Nije primjenjivo.
Tokovi podataka između Komisije i Vijeća u vezi s kvalifikacijom trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost	Članak 100. Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost	Komisija	Vijeće	Članak 100. Komisijina provjera prijetnje koju predstavlja treća zemlja
Tokovi podataka između Komisije i država članica u vezi s mjerama ublažavanja u slučaju izvanrednih okolnosti	Članak 103. stavak 6. Mjere ublažavanja u lancima opskrbe IKT-om	Komisija	Države članice	Izvanredne okolnosti	Nije primjenjivo.
Tokovi podataka između Komisije i dobavljača te Komisije i nadležnih tijela u vezi s procjenom mjesta poslovnog nastana i vlasničke i kontrolne strukture dobavljača	Članak 104. stavci 4., 5., 6. Utvrđivanje visokorizičnih dobavljača	Dobavljači Komisija Nadležna tijela	Nadležna tijela Dobavljači Komisija	Provedbeni akti doneseni u skladu s člankom 103. stavkom 1. i u vezi sa zabranom iz članka 111. stavka 1.	Nije primjenjivo.
Tokovi podataka između Komisije i država članica u vezi s nadzornim ovlastima povezanima s provedbom pouzdanog okvira za sigurnost lanaca opskrbe IKT-om	Članak 112. stavci 1., 4. Nadležna tijela Članak 114. Nadzorne i izvršne mjere	Države članice	Komisija	Članak 112. stavci 1., 4. Nadležna tijela Članak 114. Nadzorne i izvršne mjere (Komisija u suradnji s državama članicama izdaje popis subjekata povezanih s visokorizičnim dobavljačima.)	Nije primjenjivo.
Tokovi podataka između Komisije i trećih strana za potrebe izuzeća	Članak 105. Izuzeće za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom takve treće zemlje	Treće strane (subjekti koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje (u smislu članka 100.)) (kad podnose zahtjev za izuzeće) Europska komisija (kad donosi odluke)	Komisija (kad primi zahtjev za izuzeće) Treće strane (subjekti koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje (u smislu članka 100.) (kad prime odluku Komisije)	Odluka na temelju članka 100. Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost	Nije primjenjivo.
Tokovi podataka između država članica i trećih strana u vezi sa zabranama u elektroničkim komunikacijskim mrežama	Članak 111. Zabrane za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže	Države članice (nadležna tijela)	Treće strane (pružatelji pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža)	Nadležno tijelo imenovano na temelju ove Uredbe bez odgode obavješćuje nadležno tijelo u skladu s Uredbom (EU) XX/XXXX [Prijedlog akta o digitalnim mrežama] o mjerama uvedenima za pružatelje pokretnih, nepokretnih i satelitskih elektroničkih komunikacijskih mreža.	Nije primjenjivo.
Tokovi podataka između Komisije i država članica u kontekstu mreže za usluge suradnje i potpore	Članak 113. Mreža za suradnju i usluge potpore Komisije	Komisija Države članice (nadležna tijela)	Komisija Države članice (nadležna tijela)	Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost
Tokovi podataka između država članica i trećih strana u vezi s nadzornim i izvršnim mjerama	Članak 114. Nadzorne i izvršne mjere	Treće strane (subjekti vrste iz priloga I. i II. Direktivi (EU) 2022/2555)	Države članice (nadležna tijela)	Provedba mjera predviđenih u glavi IV.
Tokovi podataka među državama članicama u svrhu uzajamne pomoći	Članak 116. Uzajamna pomoć	Države članice	Države članice	Ako subjekt iz priloga I. ili II. Direktivi (EU) 2022/2555 pruža usluge u više država članica ili pruža usluge u jednoj ili više država članica, a njegova ključna IKT imovina nalazi se u jednoj ili više drugih država članica, nadležna tijela predmetnih država članica prema potrebi surađuju i međusobno si pomažu.	Nije primjenjivo.

4.3.Digitalna rješenja

Opći opis digitalnih rješenja 

Za svako digitalno rješenje objasniti kako je usklađeno s primjenjivim digitalnim politikama i zakonodavnim aktima 

Digitalno rješenje	Upućivanja na zahtjeve	Najvažnije obvezne funkcionalnosti	Odgovorno tijelo	Kako se postiže pristupačnost?	Kako je uzet u obzir potencijal da se rješenje ponovno iskoristi drugdje?	Upotreba tehnologija umjetne inteligencije (ako je primjenjivo)
ENISA obavlja poslove tajništva za mrežu CSIRT-ova i mrežu EU-CyCLONe te u okviru mreže CSIRT-ova i mreže EU-CyCLONe uvodi sigurne komunikacijske alate koje osiguravaju pravni subjekti koji nemaju poslovni nastan u trećim zemljama ili koje nisu pod kontrolom treće zemlje ili državljana trećih zemalja.	Članak 10. stavci 2., 3., 5.	Informacije koje nisu javne	ENISA	Informacije koje nisu javne	Informacije koje nisu javne	Informacije koje nisu javne
Uspostava, u suradnji s mrežom EU-CyCLONe, mrežom CSIRT-ova, Komisijom, Europolom i CERT-EU-om te relevantnim subjektima Unije, repozitorija provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama, uključujući trendove u pogledu incidenata, taktika, tehnika i postupaka.	Članak 11. stavak 1. točka (a)	provjereni i pouzdani obavještajni podaci o kibernetičkim prijetnjama, uključujući trendove u pogledu incidenata, taktika, tehnika i postupaka	ENISA Mreža EU-CyCLONe, mreža CSIRT-ova, Komisija, Europol i CERT-EU te relevantni subjekti Unije	Nije primjenjivo.	Nije primjenjivo.	Nije primjenjivo.
ENISA održava registar stečenih iskustava.	Članak 14. stavak 2.	ENISA održava repozitorij iskustava stečenih tijekom vježbi i preporučuje državama članicama i, prema potrebi, subjektima Unije kako se stečena iskustva mogu djelotvorno i učinkovito primijeniti.	ENISA	Nije primjenjivo.	Nije primjenjivo.	Nije primjenjivo.
ENISA prema potrebi uspostavlja, stavlja na raspolaganje, vodi, održava i ažurira operativne tehničke alate, kao što su platforme povezane s kibernetičkom sigurnošću na razini Unije, posebno jedinstvenu platformu za izvješćivanje uspostavljenu na temelju članka 16. stavka 1. Uredbe (EU) 2024/2847 [i jedinstvenu ulaznu točku za izvješćivanje o incidentima uspostavljenu na temelju članka 23.a Direktive (EU) 2022/2555], te alate za testiranje radi potpore provedbi postupaka ocjenjivanja sukladnosti u skladu s relevantnim zakonodavstvom Unije.	Članak 15.	Jedinstvena platforma za izvješćivanje   Članak 16. stavak 1. Uredbe (EU) 2024/2847   [jedinstvena ulazna točka    Članak 23.a Direktive (EU) 2022/2555]	ENISA	Nije primjenjivo.	Nije primjenjivo.	Nije primjenjivo.
Održavanje europske baze podataka o ranjivostima uspostavljene u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555 i pružanje usluga upravljanja ranjivostima	Članak 16. stavak 2.	Članak 12. stavak 2. Direktive (EU) 2022/2555   Održavanje baze podataka i pružanje usluga upravljanja ranjivostima	ENISA	Nije primjenjivo.	Nije primjenjivo.	Nije primjenjivo.
ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju javne informacije.	Članak 19. stavak 23.	Održavanje i redovito ažuriranje namjenske internetskih stranica na kojima se objavljuju javne informacije o Europskom okviru za vještine u području kibernetičke sigurnosti, uključujući okvir i rokove za njegovo ažuriranje; informacije o sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, njihovu napretku i rokovima za njihov razvoj; naknadama za svaki sustav osobnih europskih potvrda vještina u području kibernetičke sigurnosti; okvirnom trošku osobne europske potvrde o vještinama u području kibernetičke sigurnosti i popisu ovlaštenih izdavatelja potvrda.	ENISA	Nije primjenjivo.	Nije primjenjivo.	Nije primjenjivo.
Komisija održava i redovito ažurira posebne javne internetske stranice.	Članak 72.	Sljedeće informacije: (a)    o europskim programima kibernetičkosigurnosne certifikacije čiji je razvoj zatražen; (b)    strateškim prioritetima za usklađivanje IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili sigurnosnih zahtjeva zakonodavstva Unije, uključujući moguća područja za koja bi se mogao zatražiti europski program kibernetičkosigurnosne certifikacije;	Europska komisija	Usklađenost sa smjernicama	Usklađenost sa smjernicama	Nije primjenjivo.
ENISA održava namjenske internetske stranice o certifikaciji.	Članak 79.	Pružanje informacija o: (a) europskim programima kibernetičkosigurnosne certifikacije; (b) naknadama za održavanje svakog europskog programa kibernetičkosigurnosne certifikacije; (c) relevantnim tehničkim specifikacijama ENISA-e; (d) europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti, uključujući informacije o certifikatima i izjavama koji više nisu valjani ili su suspendirani, povučeni ili istekli; (e) relevantnim dodatnim informacijama o kibernetičkoj sigurnosti dostavljenima u skladu s člankom 84. stavkom 2.; (f)sažecima istorazinskih ocjenjivanja na temelju članka 89. stavka 7.; (g)tehničkim specifikacijama na koje se upućuje u pojedinom europskom programu kibernetičkosigurnosne certifikacije u skladu s člankom 74. stavkom 10.	ENISA	Usklađenost sa smjernicama	Usklađenost sa smjernicama	Nije primjenjivo.
Registar (izuzeća za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje)	Članak 107. Registar	Komisija održava javno dostupan registar svojih odluka iz članka 105. stavka 4. U registru se navode imena subjekata na koje se odluke odnose. Komisija ga redovito ažurira.	Komisija	„Komisija održava javno dostupan registar”	Nije primjenjivo.	Nije primjenjivo.
Platforma (za suradnju i razmjenu informacija između Komisije i nadležnih tijela)	Članak 113.	Komisija uspostavlja mrežu za suradnju nadležnih tijela država članica i Komisije koja je platforma za suradnju i razmjenu informacija. Komisija toj mreži pruža administrativnu potporu.	Komisija	Nije javno, samo za nadležna tijela	Nije primjenjivo.	Nije primjenjivo.
ENISA uspostavlja i održava registar ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena.	Članak 1. točka 11. Direktive	Registar ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena	ENISA	Nije primjenjivo.	Na temelju informacija dobivenih od jedinstvenih kontaktnih točaka u skladu sa stavkom 2. (Članak 27. Direktive NIS 2)	Nije primjenjivo.

Digitalna rješenja uključena u prethodnu tablicu 

Digitalna i/ili sektorska politika (ako je primjenjivo)	Objašnjenje usklađenosti
Akt o umjetnoj inteligenciji	Nije primjenjivo.
Okvir EU-a za kibernetičku sigurnost	Nije primjenjivo.
eIDAS	Nije primjenjivo.
Jedinstveni digitalni pristupnik i Informacijski sustav unutarnjeg tržišta (IMI)	Nije primjenjivo.
Drugo	Nije primjenjivo.

Opći opis digitalnih javnih usluga na koje zahtjevi utječu

Digitalna javna usluga ili kategorija digitalnih javnih usluga	Opis	Upućivanja na zahtjeve	Rješenja za interoperabilnu Europu   (NIJE PRIMJENJIVO)	Druga rješenja za interoperabilnost
ENISA kao tajništvo mreža i uvođenje sigurnih komunikacijskih alata	ENISA obavlja poslove tajništva za mrežu CSIRT-ova na temelju članka 15. stavka 2. Direktive (EU) 2022/2555. ENISA obavlja poslove tajništva za mrežu EU-CyCLONe na temelju članka 16. stavka 2. Direktive (EU) 2022/2555 [i jedinstvenu ulaznu točku za izvješćivanje o incidentima uspostavljenu na temelju članka 23.a Direktive (EU) 2022/2555] i alate za testiranje radi potpore provedbi postupaka ocjenjivanja sukladnosti u skladu s relevantnim zakonodavstvom Unije.  ENISA u okviru mreže CSIRT-ova i mreže EU-CyCLONe uvodi alate za sigurnu komunikaciju koje osiguravaju pravni subjekti koji nemaju poslovni nastan u trećim zemljama ili koji nisu pod kontrolom trećih zemalja ili državljana trećih zemalja.	Članak 11.	//	Nije primjenjivo.
Rana upozorenja	Izdavanje ranih upozorenja	Članak 11. Članak 12.
Potpora za određeni potencijalni ili aktualni incident ili kibernetičku prijetnju	Na zahtjev jedne ili više država članica, pružanje savjeta i procjena za određeni potencijalni ili aktualni incident ili kibernetičku prijetnju, među ostalim pružanjem stručnog znanja i olakšavanjem tehničkog rješavanja takvih incidenata te podupiranjem dobrovoljne razmjene relevantnih informacija i tehničkih rješenja među državama članicama.	Članak 10.
Potpora koordiniranom upravljanju kibernetičkosigurnosnim incidentima i krizama velikih razmjera na operativnoj razini.	Sudjelovanje u potpori koordiniranom upravljanju kibernetičkosigurnosnim incidentima i krizama velikih razmjera na operativnoj razini, posebno pružanjem pomoći mreži EU-CyCLONe u pripremi izvješća za političku razinu i olakšavanjem pravodobne razmjene informacija između mreže CSIRT-ova i mreže EU-CyCLONe.	Članak 10.
Repozitoriji provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama	Uspostava, u suradnji s mrežom EU-CyCLONe, mrežom CSIRT-ova, Komisijom, Europolom i CERT-EU-om te relevantnim subjektima Unije, repozitorija provjerenih i pouzdanih obavještajnih podataka o kibernetičkim prijetnjama, uključujući trendove u pogledu incidenata, taktika, tehnika i postupaka.	Članak 11.
Repozitorij stečenih iskustava	ENISA održava repozitorij iskustava stečenih u tim vježbama i preporučuje državama članicama i, prema potrebi, subjektima Unije kako se ta iskustva mogu djelotvorno i učinkovito primijeniti.	Članak 14.
ENISA, prema potrebi, uspostavlja, stavlja na raspolaganje, upotrebljava, održava i ažurira operativne tehničke alate, kao što su platforme.	ENISA prema potrebi uspostavlja, stavlja na raspolaganje, vodi, održava i ažurira operativne tehničke alate, kao što su platforme povezane s kibernetičkom sigurnošću na razini Unije, posebno jedinstvenu platformu za izvješćivanje uspostavljenu na temelju članka 16. stavka 1. Uredbe (EU) 2024/2847 [i jedinstvenu ulaznu točku za izvješćivanje o incidentima uspostavljenu na temelju članka 23.a Direktive (EU) 2022/2555], te alate za testiranje radi potpore provedbi postupaka ocjenjivanja sukladnosti u skladu s relevantnim zakonodavstvom Unije.	Članak 15.
Održavanje europske baze podataka o ranjivostima uspostavljene u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555;	održavanje europske baze podataka o ranjivostima uspostavljene u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555; pružanje usluga upravljanja ranjivostima dionicima na temelju europske baze podataka o ranjivostima i relevantnih informacija koje su dostupne ENISA-i; uspostava strukturirane suradnje s organizacijama koje izrađuju programe, registre ili baze podataka slične europskoj bazi podataka o ranjivosti; aktivno podupiranje CSIRT-ova koji su imenovani koordinatorima u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555 u upravljanju koordiniranim otkrivanjem ranjivosti koje mogu znatno utjecati na subjekte u više država članica; razvoj i održavanje metodologija i mehanizama upravljanja za utvrđivanje ranjivosti i koordinirano otkrivanje, u suradnji s nacionalnim nadležnim tijelima, CSIRT-ovima, industrijom i istraživačkom zajednicom.	Članak 16.
Izrada prijedloga europskih programa kibernetičkosigurnosne certifikacije („prijedlozi programa”)	izrada prijedloga europskih programa kibernetičkosigurnosne certifikacije („prijedlozi programa”) za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti subjekata u skladu s člankom 74. održavanje donesenih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 75., među ostalim s obzirom na moguće preispitivanje donesenih europskih programa kibernetičkosigurnosne certifikacije u skladu s člankom 76	Članak 17.
ENISA razvija i održava sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti.	ENISA razvija i održava sustave osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti.  ENISA izdaje obrazloženu odluku kojom podnositelju zahtjeva daje ovlaštenje za izdavanje osobnih europskih potvrda za potrebe provedbe i održavanja sustavâ i ovlaštenja ili kojom podnositelju zahtjeva ne daje ovlaštenje ili kojom zaključuje obradu zahtjeva ako podnositelj zahtjeva nije dostavio potrebne informacije ili nije dostavio informacije na zahtjev za dodatne informacije.	Članci od 20. do 22.
ENISA održava i redovito ažurira namjenske internetske stranice.	ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju sljedeće javne informacije: (a)    informacije o Europskom okviru za vještine u području kibernetičke sigurnosti, uključujući okvir i vremenski okvir za njegovo ažuriranje; (b)    informacije o sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti, njihovu napretku i rokovima za njihov razvoj; (c)    naknade za svaki sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti donesen u skladu s člankom 47. ove Uredbe; (d)    okvirni trošak osobne europske potvrde o vještinama u području kibernetičke sigurnosti u skladu s člankom 20. stavkom 4.; (e)    popis ovlaštenih izdavatelja potvrda.	Članak 23.
Komisija održava i redovito ažurira namjenske javne internetske stranice.	Komisija održava i redovito ažurira namjenske internetske stranice s informacijama o sljedećim aspektima: (a) europski programi kibernetičkosigurnosne certifikacije čiji je razvoj zatražen; (b) strateški prioriteti za usklađivanje IKT proizvoda, IKT usluga, IKT procesa, upravljanih sigurnosnih usluga ili sigurnosnih zahtjeva zakonodavstva Unije, uključujući moguća područja za koja bi se mogao zatražiti europski program kibernetičkosigurnosne certifikacije.	Članak 72.
ENISA održava namjenske internetske stranice o certifikaciji.	ENISA održava i redovito ažurira namjenske internetske stranice na kojima se objavljuju javne informacije o: (a) europskim programima kibernetičkosigurnosne certifikacije; (b) naknadama za održavanje svakog europskog programa kibernetičkosigurnosne certifikacije; (c) relevantnim tehničkim specifikacijama ENISA-e; (d) europskim kibernetičkosigurnosnim certifikatima i EU izjavama o sukladnosti, uključujući informacije o certifikatima i izjavama koji više nisu valjani ili su suspendirani, povučeni ili istekli; (e) relevantnim dodatnim informacijama o kibernetičkoj sigurnosti dostavljenima u skladu s člankom 84. stavkom 2.; (f)    sažecima istorazinskih ocjenjivanja na temelju članka 89. stavka 7.; (g)    tehničkim specifikacijama na koje se upućuje u pojedinom europskom programu kibernetičkosigurnosne certifikacije u skladu s člankom 74. stavkom 10.	Članak 79.
Istrage	Komisija istražuje sve slučajeve u kojima sumnja ili je upozorena na postojanje sumnje u sposobnost tijela za ocjenjivanje sukladnosti da postupi ili kontinuirano postupa u skladu s propisanim zahtjevima i odgovornostima. Komisija osigurava da se sa svim osjetljivim informacijama prikupljenima tijekom njezinih istraga postupa kao s povjerljivim informacijama.	Članak 94.
ENISA uspostavlja i održava registar ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena.	Registar ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena ENISA nadležnim tijelima na zahtjev omogućuje pristup informacijama o pružateljima usluga DNS-a, registrima naziva vršnih domena, subjektima koji pružaju usluge registracije naziva domena, pružateljima usluga računalstva u oblaku, pružateljima usluga podatkovnog centra, pružateljima mreža za isporuku sadržaja, pružateljima upravljanih usluga, pružateljima upravljanih sigurnosnih usluga, kao i pružateljima internetskih tržišta, internetskih tražilica i platformi za usluge društvenih mreža pohranjenima u tom registru i pritom osigurava zaštitu povjerljivosti informacija ako je to primjenjivo.	Članak 1. točka 11. Direktive

4.4.Procjena interoperabilnosti

Učinak zahtjeva na prekograničnu interoperabilnost za svaku digitalnu javnu uslugu 

Repozitoriji/platforme/rana upozorenja/tajništvo/operativna suradnja/baza podataka o koordiniranom otkrivanju ranjivosti  

Procjena	Mjere	Moguće preostale prepreke
Procijenite usklađenost s postojećim digitalnim i sektorskim politikama   Navesti primjenjive digitalne i sektorske politike	Kibernetička sigurnost	Nema poznatih prepreka
Procijenite organizacijske mjere za neometano prekogranično pružanje digitalnih javnih usluga  Navesti predviđene mjere upravljanja	Upravni odbor ENISA-e   Mreža CSIRT-ova  Europske mreže organizacija za vezu za kibernetičke krize (EU-CyCLONe),  Skupina za suradnju u području mrežne i informacijske sigurnosti    Sve su to forumi na kojima se mogu postaviti pitanja.	Nije primjenjivo.
Procijenite mjere poduzete kako bi se osiguralo zajedničko razumijevanje podataka  Navesti takve mjere	Nije primjenjivo.	Nije primjenjivo.
Procijenite uporabu zajednički dogovorenih otvorenih tehničkih specifikacija i normi  Navesti takve mjere	Nije primjenjivo.	Nije primjenjivo.

Sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti  

Procjena	Mjere	Moguće preostale prepreke
Procijenite usklađenost s postojećim digitalnim i sektorskim politikama   Navesti primjenjive digitalne i sektorske politike	Prijedlog se temelji na dokumentu COM(2023) 207 final (Akademija za vještine u području kibersigurnosti): „ENISA [će]pokrenuti pilot-projekt za istraživanje mogućnosti uspostave europskog programa za certifikaciju vještina u području kibernetičke sigurnosti”.  Uključuje primjenu europske lisnice za digitalni identitet uspostavljene Uredbom (EU) 2024/1183 utvrđivanjem da „ENISA i ovlašteni izdavatelji potvrda osiguravaju da se elektroničke potvrde u okviru sustavâ osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti izdaju putem europskih lisnica za digitalni identitet”.  Kibernetička sigurnost  Opća uredba o zaštiti podataka (OUZP) (evidencija koju čuvaju izdavatelji)	Nema poznatih prepreka
Procijenite organizacijske mjere za neometano prekogranično pružanje digitalnih javnih usluga  Navesti predviđene mjere upravljanja	Savjetovanje s dionicima pri izradi sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti  Razdvajanje aktivnosti unutar ENISA-e kako bi se osigurala njihova neovisna provedba   Odbor za žalbe	Sudjelovanje u sustavima osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti i njihovo priznavanje dobrovoljno je za javne i privatne subjekte.
Procijenite mjere poduzete kako bi se osiguralo zajedničko razumijevanje podataka  Navesti takve mjere	Razvoj programa u kojima se, među ostalim, detaljno navode pravila o sadržaju i obliku potvrda  Ovlašteni izdavatelji osiguravaju da se na zahtjev pojedinca elektroničke potvrde u okviru sustava osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti izdaju kao elektroničke potvrde atributa u formatu koji se može pohraniti u europskim lisnicama za digitalni identitet; ENISA daje smjernice ocjenjivačima i provodi njihovo obvezno osposobljavanje o zahtjevima i metodama ocjenjivanja za određeni sustav osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti.  Davanje javnih informacija na internetskim stranicama  Provedbeni akti o naknadama	Iako bi programi trebali biti što detaljniji kako bi se osiguralo zajedničko razumijevanje i olakšala provedba te iako će ENISA izrađivati smjernice i provoditi obvezno osposobljavanje ocjenjivača radi dosljedne provedbe sustava, u slučajevima u kojima ovlašteni izdavatelji potvrda trebaju surađivati s ENISA-om, drugim izdavateljima ili ocjenjivačima mogle bi nastati nepredviđene okolnosti.
Procijenite uporabu zajednički dogovorenih otvorenih tehničkih specifikacija i normi  Navesti takve mjere	Sustavi osobnih europskih potvrda o vještinama u području kibernetičke sigurnosti razvijaju se uz potporu relevantnih dionika.	Nije primjenjivo.

Izrada prijedloga europskog programa kibernetičkosigurnosne certifikacije/dodjela brojeva tijelima za ocjenjivanje sukladnost 

Procjena	Mjere	Moguće preostale prepreke
Procijenite usklađenost s postojećim digitalnim i sektorskim politikama   Navesti primjenjive digitalne i sektorske politike	Prijedlogom se nastoji uskladiti upravljanje s novim zakonodavnim okvirom, posebno u dijelu koji se odnosi na Uredbu (EZ) 765/200826.   Cilj je prijedloga olakšati usklađenost s relevantnim sektorskim zakonodavstvom o kibernetičkoj sigurnosti razvojem posebnih europskih programa kibernetičkosigurnosne certifikacije	Nema poznatih prepreka
Procijenite organizacijske mjere za neometano prekogranično pružanje digitalnih javnih usluga  Navesti predviđene mjere upravljanja	Europska skupina za kibernetičkosigurnosnu certifikaciju   ENISA;  Ad hoc radne skupine;  Europska skupština o kibernetičkosigurnosnoj certifikaciji;  Savjetovanje s dionicima pri traženju, razvoju i donošenju europskih programa kibernetičkosigurnosne certifikacije  Postupci komitologije za predviđene provedbene akte za donošenje europskih programa kibernetičkosigurnosne certifikacije	Korištenje europskih programa kibernetičkosigurnosne certifikacije je dobrovoljno, osim ako je drukčije navedeno u europskom zakonodavstvu.
Procijenite mjere poduzete kako bi se osiguralo zajedničko razumijevanje podataka  Navesti takve mjere	Provedbeni akti navedeni su u odjeljku 4.5.	Korištenje europskih programa kibernetičkosigurnosne certifikacije je dobrovoljno, osim ako je drukčije navedeno u europskom zakonodavstvu.
Procijenite uporabu zajednički dogovorenih otvorenih tehničkih specifikacija i normi  Navesti takve mjere	Provedbeni akti navedeni su u odjeljku 4.5.  Navedeni zahtjevi europskog programa kibernetičkosigurnosne certifikacije moraju biti u skladu sa zahtjevima iz zakonodavstva Unije.  Europski programi kibernetičkosigurnosne certifikacije donose se na temelju međunarodnih, europskih ili nacionalnih normi koje se primjenjuju u evaluaciji ili, ako takve norme nisu dostupne ili primjerene, tehničkih specifikacija koje je izradila ENISA, te se na njih upućuje.	Nije primjenjivo.

Javno dostupne internetske stranice 

Procjena	Mjere	Moguće preostale prepreke
Procijenite usklađenost s postojećim digitalnim i sektorskim politikama   Navesti primjenjive digitalne i sektorske politike	Akt EU-a o pristupačnosti i Direktiva o pristupačnosti interneta  Kibernetička sigurnost	Nema poznatih prepreka
Procijenite organizacijske mjere za neometano prekogranično pružanje digitalnih javnih usluga  Navesti predviđene mjere upravljanja	Nije primjenjivo.	Nije primjenjivo.
Procijenite mjere poduzete kako bi se osiguralo zajedničko razumijevanje podataka  Navesti takve mjere		Nije primjenjivo.
Procijenite uporabu zajednički dogovorenih otvorenih tehničkih specifikacija i normi  Navesti takve mjere		Nije primjenjivo.

4.5.Mjere za potporu digitalnoj provedbi

Opći opis mjera za potporu digitalnoj provedbi 

Opis mjere	Upućivanja na zahtjeve	Uloga Komisije   (ako je primjenjivo)	Dionici koje treba uključiti  (ako je primjenjivo)	Očekivani vremenski okvir  (ako je primjenjivo)
Komisija je na temelju prihvaćenog prijedloga programa koji je izradila ENISA, ovlaštena za donošenje provedbenih akata kojima se uspostavlja europski program kibernetičkosigurnosne certifikacije za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge ili stanje kibernetičke sigurnosti subjekata koji ispunjava zahtjeve iz članaka 80. i 81. Taj se provedbeni akt donosi u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 75. stavak 9.	Komisija je ovlaštena za donošenje provedbenih akata		Nije primjenjivo.
Komisija je ovlaštena za donošenje delegiranih akata u skladu s člankom 119. radi izmjene stavka 1. ovog članka dodavanjem ili izmjenom sigurnosnih ciljeva kako bi se osiguralo da su uzeta u obzir najnovija tehnološka dostignuća i nove srodne prijetnje te donošenje novih propisa Unije kojima se utvrđuje pretpostavka sukladnosti u okviru europske kibernetičkosigurnosne certifikacije s relevantnim zahtjevima u pogledu kibernetičke sigurnosti iz tih propisa.	Članak 80. stavak 2.	Komisija je ovlaštena za donošenje delegiranih akata		Nije primjenjivo.
Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju zajednička načela i ogledne odredbe za elemente utvrđene u stavcima 1., 2. i 3. u svim europskim programima kibernetičkosigurnosne certifikacije. Ako je to primjereno i dostupno, europski program kibernetičkosigurnosne certifikacije može uključivati upućivanja na ta načela i ogledne odredbe. Provedbeni akti iz prvog podstavka donose se u skladu s postupkom ispitivanja iz članka 118. stavka 2. Pri izradi ili reviziji zajedničkih načela i oglednih odredaba za elemente europskih programa kibernetičkosigurnosne certifikacije Komisija se savjetuje s ENISA-om i, prema potrebi, uzima u obzir stajališta ECCG-a, relevantnih dionika i drugih relevantnih tijela.	Članak 81. stavak 5.	Komisija je ovlaštena za donošenje provedbenih akata	ENISA ECCG	Nije primjenjivo.
Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju postupci za prethodno odobrenje ili modeli općeg delegiranja iz stavka 4. ovog članka. U postupku izrade tih provedbenih akata Komisija se savjetuje s ECCG-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 85. stavak 5.	Komisija je ovlaštena za donošenje provedbenih akata	ECCG	Nije primjenjivo.
Certifikati trećih zemalja za IKT proizvode, IKT usluge, IKT procese, upravljane sigurnosne usluge i stanje kibernetičke sigurnosti proizvoda mogu se priznati kao jednakovrijedni europskim kibernetičkosigurnosnim certifikatima provedbenim aktom ili sklapanjem sporazuma između Unije i predmetne treće zemlje ili međunarodne organizacije ako se zahtjevi relevantnog programa treće zemlje ili programa međunarodne organizacije smatraju jednakovrijednima onima iz europskih programa kibernetičkosigurnosne certifikacije. Komisija je ovlaštena za donošenje takvih provedbenih akata. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 87. stavak 1.	Komisija je ovlaštena za donošenje provedbenih akata		Nije primjenjivo.
Komisija ima ovlasti za donošenje provedbenih akata kojima se utvrđuje plan za istorazinsko ocjenjivanje kojim se obuhvaća razdoblje od najmanje pet godina i u kojem se definiraju kriteriji za sastav tima za istorazinsko ocjenjivanje, metodologija koja se primjenjuje za istorazinsko ocjenjivanje te raspored, učestalost i druge zadaće povezane s njime. Pri izradi tih provedbenih akata Komisija se savjetuje s ECCG-om i ENISA-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 89. stavak 6.	Komisija je ovlaštena za donošenje provedbenih akata		Nije primjenjivo.
Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju postupci, među ostalim u okviru prekogranične suradnje, za izdavanje ovlaštenja tijelima za ocjenjivanje sukladnosti. Pri izradi provedbenih akata Komisija se savjetuje s ENISA-om i ECCG-om. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 92. stavak 8.	Komisija je ovlaštena za donošenje provedbenih akata	ENISA ECCG	Nije primjenjivo.
Komisija je ovlaštena za donošenje provedbenih akata kojima se utvrđuju okolnosti, formati i postupci za prijavu iz stavka 1. ovog članka, uključujući postupak prigovora drugih država članica tijekom postupka prijave, jedinstvenu identifikaciju tijela za ocjenjivanje sukladnosti te okolnosti za ograničavanje, suspenziju ili povlačenje prijave. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 118. stavka 2.	Članak 93. stavak 3.	Komisija je ovlaštena za donošenje provedbenih akata		Nije primjenjivo.
Komisija može donijeti provedbene akte u skladu s člankom 100. kako bi treću zemlju okvalificirala kao zemlju koja izaziva zabrinutost za kibernetičku sigurnost lanaca opskrbe IKT-om.	Članak 100. stavak 2. Kvalifikacija trećih zemalja koje izazivaju zabrinutost za kibernetičku sigurnost	Donošenje provedbenih akata		Nije primjenjivo. Nema vremenskog okvira, ali bi provedbene akte trebalo redovito preispitivati.
Komisija može donijeti provedbene akte kako bi predvidjela jednu ili više mjera ublažavanja iz članka 103. stavka 2.	Članak 103. stavak 2. Mjere ublažavanja u lancu opskrbe IKT-om	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo. Nema vremenskog okvira, ali preispituje se svakih 36 mjeseci (u skladu s postupkom ispitivanja iz članka 118. stavka 2.)
Komisija može donijeti provedbene akte u skladu s člankom 102. kako bi utvrdila ključnu IKT imovinu koja se koristi za proizvodnju proizvoda ili pružanje usluga po vrstama subjekata iz Priloga I. i Priloga II. Direktivi (EU) 2022/2555.	Članak 102. stavak 1. Utvrđivanje ključne IKT imovine	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija može donijeti provedbene akte kojima se zabranjuje korištenje, ugradnja ili integracija u bilo kojem obliku IKT komponenti ili komponenti koje sadržavaju IKT komponente visokorizičnih dobavljača utvrđenih u skladu s člankom 100. stavkom 2. u ključnoj IKT imovini utvrđenoj u skladu s člankom 102.	Članak 103. stavak 1. Mjere ublažavanja u lancu opskrbe IKT-om	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija može donijeti provedbene akte kako bi utvrdila da se subjektima vrsta iz priloga I. i II. Direktivi (EU) 2022/2555 zabranjuje korištenje, ugradnja ili integracija IKT komponenti ili komponenti koje sadržavaju IKT komponente određenog subjekta.	Članak 103. stavak 7.	Donošenje provedbenih akata	Savjetovanje s državama članicama i predmetnim subjektima	Nije primjenjivo.
Komisija provedbenim aktima utvrđuje popise visokorizičnih dobavljača relevantnih za zabrane utvrđene u provedbenim aktima donesenima u skladu s člankom 103. stavkom 1. ili za zabranu iz članka 111. stavka 1.	Članak 104. stavak 1.	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija može donijeti provedbene akte kako bi dodatno odredila uvjete iz članka 105. stavka 2. točke (b) i utvrdila detaljna pravila za postupke iz članka 105.	Članak 105. Izuzeće za subjekte koji imaju poslovni nastan u trećoj zemlji koja izaziva zabrinutost za kibernetičku sigurnost ili su pod kontrolom subjekata iz takve treće zemlje	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija može donijeti provedbene akte kojima se utvrđuju detaljna pravila za naknade, iznos naknada i način njihova plaćanja.	Članak 109. Naknade	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija donosi provedbene akte kojima se utvrđuju rokovi za postupno uklanjanje IKT komponenti ili komponenti koje sadržavaju IKT komponente koje pružaju visokorizični dobavljači iz nepokretnih i satelitskih elektroničkih komunikacijskih mreža.	Članak 110. stavak 4. Ključna IKT imovina za pokretne, nepokretne i satelitske elektroničke komunikacijske mreže	Donošenje provedbenih akata	Nije primjenjivo.	Nije primjenjivo.
Komisija može donijeti delegirane akte u skladu s člankom 119. radi izmjene Priloga II. kako bi ga prilagodila tehnološkom razvoju uzimajući u obzir elemente iz članka 103. stavka 3.	Članak 110. stavak 5.	Donošenje delegiranih akata	Nije primjenjivo.	Nije primjenjivo.
7.    Članak 21. stavak 5. mijenja se kako slijedi: (a)    drugi podstavak zamjenjuje se sljedećim: „Komisija može donijeti provedbene akte kojima se utvrđuju tehnički i metodološki zahtjevi te, prema potrebi, sektorski zahtjevi za mjere iz stavka 2. i u pogledu ključnih i važnih subjekata koji nisu navedeni u prvom podstavku ovog stavka. Komisija redovito procjenjuje donose li se provedbeni akti iz ovog podstavka za određene sektore ili vrste subjekata kako bi se poboljšalo funkcioniranje unutarnjeg tržišta. Na temelju rezultata tih procjena Komisija može predložiti takve provedbene akte za utvrđene sektore ili vrste subjekata. U izradi takvih procjena Komisija posebno vodi računa o prekograničnoj prirodi sektora ili vrsta subjekata te provodi otvoren, transparentan i uključiv postupak savjetovanja s relevantnim dionicima i državama članicama.”; (b)    sljedeći se podstavak umeće iza četvrtog podstavka: „Ako Komisija donese provedbene akte iz prvog i drugog podstavka ovog stavka, države članice subjektima obuhvaćenima područjem primjene tih provedbenih akata ne nameću nikakve dodatne tehničke ili metodološke zahtjeve za mjere iz članka 21. stavka 2. Direktive (EU) 2022/2555.”	Članak 1. točka 7. Direktive  Maksimalno usklađivanje	Komisija može donijeti provedbene akte		Nije primjenjivo.

(1)    ENISA, Izvješće ENISA-e o stanju kibernetičkih prijetnji za 2024., https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, Izvješće ENISA-e o stanju kibernetičkih prijetnji za 2025.

(3)    Europska komisija, The future of European Competitiveness, https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN/2025/130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Provedbena uredba Komisije (EU) 2023/203 i Delegirana uredba Komisije (EU) 2022/1645.

(11)    Uredba (EU) 2023/1781 Europskog parlamenta i Vijeća od 13. rujna 2023. o uspostavi okvira mjera za jačanje europskog ekosustava poluvodiča i izmjeni Uredbe (EU) 2021/694 (Akt o čipovima), SL L 229, 18.9.2023., str. 1.

(12)    Posebno direktive 2014/23/EU, 2014/24/EU i 2014/25/EU.

(13)    Europska komisija, Komisija objavljuje poziv na očitovanje i javno savjetovanje o evaluaciji direktiva o javnoj nabavi, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_hr .

(14)    COM(2025) 837 final.

(15)    JOIN/2023/20 final.

(16)    JOIN/2025/120 final.

(17)    JOIN/2025/977 final

(18)     Uredba – 2019/881 – HR – EUR-Lex .

(19)    Horizontalna radna skupina za kibernetička pitanja.

(20)    Uredba (EU) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    SL C , , str. . .

(25)    SL C , , str. . .

(26)    Uredba (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti) (SL L 151, 7.6.2019., str. 15., ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (SL L 333, 27.12.2022., str. 80., ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (SL L 333, 27.12.2022., str. 164., ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Uredba (EU) 2024/2847 Europskog parlamenta i Vijeća od 23. listopada 2024. o horizontalnim zahtjevima u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima i o izmjeni uredbi (EU) br. 168/2013 i (EU) 2019/1020 te Direktive (EU) 2020/1828 (Akt o kibernetičkoj otpornosti) (SL L, 2024/2847, 20.11.2024., ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Uredba (EU) 2025/38 Europskog parlamenta i Vijeća od 19. prosinca 2024. o utvrđivanju mjera za povećanje solidarnosti i kapaciteta u Uniji za otkrivanje kibernetičkih prijetnji i incidenata, pripremu za njih i odgovor na njih te o izmjeni Uredbe (EU) 2021/694 (Akt o kibernetičkoj solidarnosti) (SL L, 2025/38, 15.1.2025., ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    SL C, C/2025/3445, 20.6.2025., ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Kibernetička sigurnost 5G mreža – Paket instrumenata EU-a za mjere ublažavanja rizika, Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava, 1/2020, dostupno na: https://digital-strategy.ec.europa.eu/hr/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Komunikacija Komisije Europskom parlamentu i Vijeću – Povećanjem broja stručnjaka za kibersigurnost do veće konkurentnosti, rasta i otpornosti Unije („Akademija za vještine u području kibersigurnosti”), COM(2023) 207 final, 18. travnja 2023.

(34)    Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Delegirana uredba Komisije (EU) 2024/1366 od 11. ožujka 2024. o dopuni Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća uspostavom mrežnog kodeksa sa sektorskim pravilima za kibernetičkosigurnosne aspekte prekograničnih protoka električne energije (SL L, 2024/1366, 24.5.2024., ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Delegirana uredba Komisije (EU) 2022/1645 оd 14. srpnja 2022. o utvrđivanju pravila za primjenu Uredbe (EU) 2018/1139 Europskog parlamenta i Vijeća u pogledu zahtjeva za upravljanje rizicima za informacijsku sigurnost koji bi mogli utjecati na sigurnost zračnog prometa za organizacije obuhvaćene uredbama Komisije (EU) br. 748/2012 i (EU) br. 139/2014 i o izmjeni uredbi Komisije (EU) br. 748/2012 i (EU) br. 139/2014 (SL L 248, 26.9.2022., str. 18., ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Provedbena uredba Komisije (EU) 2023/203 оd 27. listopada 2022. o utvrđivanju pravila za primjenu Uredbe (EU) 2018/1139 Europskog parlamenta i Vijeća u pogledu zahtjeva za upravljanje rizicima za informacijsku sigurnost koji bi mogli utjecati na sigurnost zračnog prometa za organizacije obuhvaćene uredbama Komisije (EU) br. 1321/2014, (EU) br. 965/2012, (EU) br. 1178/2011, (EU) 2015/340, provedbenim uredbama Komisije (EU) 2017/373 i (EU) 2021/664 i za nadležna tijela obuhvaćena uredbama Komisije (EU) br. 748/2012, (EU) br. 1321/2014, (EU) br. 965/2012, (EU) br. 1178/2011, (EU) 2015/340 i (EU) br. 139/2014, provedbenim uredbama Komisije (EU) 2017/373 i (EU) 2021/664 te o izmjeni uredbi Komisije (EU) br. 1178/2011, (EU) br. 748/2012, (EU) br. 965/2012, (EU) br. 139/2014, (EU) br. 1321/2014, (EU) 2015/340 i provedbenih uredbi Komisije (EU) 2017/373 i (EU) 2021/664 (SL L 31, 2.2.2023., str. 1., ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Provedbena uredba Komisije (EU) 2019/1583 od 25. rujna 2019. o izmjeni Provedbene uredbe (EU) 2015/1998 o utvrđivanju detaljnih mjera za provedbu zajedničkih osnovnih standarda iz područja zaštite zračnog prometa u pogledu mjera kibersigurnosti (SL L 246, 26.9.2019., str. 15., ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Komunikacija Komisije Europskom parlamentu, Vijeću, Europskom gospodarskom i socijalnom odboru i Odboru regija, Europski akcijski plan za kibernetičku sigurnost bolnica i pružatelja zdravstvene zaštite, COM(2025) 10 final, 15. siječnja 2025.

(40)    Uredba (EU, Euratom) 2023/2841 Europskog parlamenta i Vijeća od 13. prosinca 2023. o utvrđivanju mjera za visoku zajedničku razinu kibernetičke sigurnosti u institucijama, tijelima, uredima i agencijama Unije (SL L, 2023/2841, 18.12.2023., ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Komunikacija Komisije Europskom parlamentu, Vijeću, Europskom gospodarskom i socijalnom odboru i Odboru regija, ProtectEU: europska strategija unutarnje sigurnosti, COM(2025) 148 final, 1. travnja 2025.

(42)    Zajednička komunikacija Komisije Europskom parlamentu, Europskom vijeću, Vijeću, Europskom gospodarskom i socijalnom odboru i Odboru regija o Europskoj strategiji za Uniju pripravnosti, JOIN(2025) 130 final.

(43)    Zajednička komunikacija Komisije Europskom parlamentu i Vijeću, Jačanje gospodarske sigurnosti EU-a, JOIN(2025) 977 final.

(44)    COM(2025) 837 final.

(45)    Uredba (EZ) br. 460/2004 Europskog parlamenta i Vijeća od 10. ožujka 2004. o osnivanju Europske agencije za mrežnu i informacijsku sigurnost (SL L 77, 13.3.2004., str. 1., ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Uredba (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (SL L 257, 28.8.2014., str. 73., ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Uredba (EU) 2021/887 Europskog parlamenta i Vijeća od 20. svibnja 2021. o osnivanju Europskog stručnog centra za industriju, tehnologiju i istraživanja u području kibersigurnosti i mreže nacionalnih koordinacijskih centara (SL L 202, 8.6.2021., str. 1., ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Komunikacija Komisije Europskom parlamentu, Europskom vijeću, Vijeću, Europskom gospodarskom i socijalnom odboru i Odboru regija, Unija vještina, COM(2025) 90 final, 5. ožujka 2025.

(49)    JOIN(2025) 791 final.

(50)    Uredba (EU, Euratom) 2024/2509 Europskog parlamenta i Vijeća od 23. rujna 2024. o financijskim pravilima koja se primjenjuju na opći proračun Unije (SL L, 2024/2509, 26.9.2024., ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Pojedinačne europske potvrde o vještinama u području kibernetičke sigurnosti trebalo bi tumačiti kao certifikate koji su na tržištu poznati kao „certifikati o kibernetičkoj sigurnosti”. Međutim, kako bi se izbjegle nejasnoće u odnosu na Europski okvir za kibernetičkosigurnosnu certifikaciju, prednost se daje izrazu „potvrda”, koji se već koristi u komunikaciji o Akademiji za vještine u području kibernetičke sigurnosti.

(52)

   Provedbena uredba (EU) 2025/1569

(53)    Zajednički pristup, priložen Zajedničkoj izjavi Europskog parlamenta, Vijeća EU-a i Europske komisije o decentraliziranim agencijama, donesenoj 19. srpnja 2012. i dostupnoj na: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Uredba (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije, (SL L 145, 31.5.2001., str. 43., ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018, str. 39., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Direktiva 2014/24/EU Europskog parlamenta i Vijeća od 26. veljače 2014. o javnoj nabavi i o stavljanju izvan snage Direktive 2004/18/EZ (SL L 94, 28.3.2014., str. 65., ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1., ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (SL L 333, 27.12.2022., str. 80., ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Provedbena uredba Komisije (EU) 2024/482 оd 31. siječnja 2024. o utvrđivanju pravila za primjenu Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća u pogledu donošenja europskog programa kibernetičkosigurnosne certifikacije na temelju zajedničkih kriterija („EUCC”) (SL L, 2024/482, 7.2.2024., ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Provedbena uredba Komisije (EU) 2025/2540 оd 9. prosinca 2025. o utvrđivanju pravila za primjenu Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća u pogledu uspostave plana za istorazinsko ocjenjivanje (SL L 2540, 12.12.2025., ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Uredba (EZ) br. 765/2008 Europskog parlamenta i Vijeća od 9. srpnja 2008. o utvrđivanju zahtjeva za akreditaciju i za nadzor tržišta u odnosu na stavljanje proizvoda na tržište i o stavljanju izvan snage Uredbe (EEZ) br. 339/93 (SL L 218, 13.8.2008., str. 30., ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Provedbena uredba Komisije (EU) 2024/3143 оd 18. prosinca 2024. o utvrđivanju okolnosti, formata i postupaka za prijave u skladu s člankom 61. stavkom 5. Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije (SL L, 2024/3143, 19.12.2024., ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA, Izvješće ENISA-e o stanju kibernetičkih prijetnji za 2025., listopad 2025.

(64)    Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (SL L 333, 27.12.2022., str. 80., ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Uredba (EU) 2024/2847 Europskog parlamenta i Vijeća od 23. listopada 2024. o horizontalnim zahtjevima u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima i o izmjeni uredbi (EU) br. 168/2013 i (EU) 2019/1020 te Direktive (EU) 2020/1828 (Akt o kibernetičkoj otpornosti) (SL L, 2024/2847, 20.11.2024., ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/hrv).

(66)    Zajednička komunikacija Europskom parlamentu i Vijeću, Jačanje gospodarske sigurnosti EU-a, 3. prosinca 2025., JOIN(2025) 977 final.

(67)    Direktiva 2014/24/EU Europskog parlamenta i Vijeća od 26. veljače 2014. o javnoj nabavi i o stavljanju izvan snage Direktive 2004/18/EZ (SL L 94, 28.3.2014., str. 65., ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/hrv).

(68)    Direktiva 2014/25/EU Europskog parlamenta i Vijeća od 26. veljače 2014. o nabavi subjekata koji djeluju u sektoru vodnog gospodarstva, energetskom i prometnom sektoru te sektoru poštanskih usluga i stavljanju izvan snage Direktive 2004/17/EZ (SL L 94 28.3.2014., str. 243., ELI: http://eur-lex.europa.eu/eli/dir/2014/25/oj).

(69)    Komunikacija Komisije o provedbi paketa instrumenata EU-a za kibernetičku sigurnost 5G mreža, 15. lipnja 2023., C(2023) 4049 final.

(70)    Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Uredba (EU) br. 1025/2012 Europskog parlamenta i Vijeća od 25. listopada 2012. o europskoj normizaciji, o izmjeni direktiva Vijeća 89/686/EEZ i 93/15/EEZ i direktiva 94/9/EZ, 94/25/EZ, 95/16/EZ, 97/23/EZ, 98/34/EZ, 2004/22/EZ, 2007/23/EZ, 2009/23/EZ i 2009/105/EZ Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Vijeća 87/95/EEZ i Odluke br. 1673/2006/EZ Europskog parlamenta i Vijeća (SL L 316, 14.11.2012., str. 12., ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Uredba (EU) 2023/2675 Europskog parlamenta i Vijeća od 22. studenog 2023. o zaštiti Unije i njezinih država članica od gospodarske prisile koju primjenjuju treće zemlje (SL L, 2023/2675, 7.12.2023., ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    SL L 56, 4.3.1968., str. 1., ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Delegirana uredba Komisije (EU) 2019/715 od 18. prosinca 2018. o okvirnoj financijskoj uredbi za tijela osnovana na temelju UFEU-a i Ugovora o Euratomu na koja se upućuje u članku 70. Uredbe (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća (SL L 122, 10.5.2019., str. 1., ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Uredba (EU, Euratom) br. 883/2013 Europskog parlamenta i Vijeća od 11. rujna 2013. o istragama koje provodi Europski ured za borbu protiv prijevara (OLAF) i stavljanju izvan snage Uredbe (EZ) br. 1073/1999 Europskog parlamenta i Vijeća te Uredbe Vijeća (Euratom) br. 1074/1999 (SL L 248, 18.9.2013., str. 1., ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    SL L 136, 31.5.1999., str. 15., ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Uredba Vijeća (Euratom, EZ) br. 2185/96 od 11. studenoga 1996. o provjerama i inspekcijama na terenu koje provodi Komisija s ciljem zaštite financijskih interesa Europskih zajednica od prijevara i ostalih nepravilnosti (SL L 292, 15.11.1996., str. 2., ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Direktiva (EU) 2017/1371 Europskog parlamenta i Vijeća od 5. srpnja 2017. o suzbijanju prijevara počinjenih protiv financijskih interesa Unije kaznenopravnim sredstvima (SL L 198, 28.7.2017., str. 29., ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Uredba br. 1 o utvrđivanju jezika koji se koriste u Europskoj ekonomskoj zajednici (SL 17, 6.10.1958., str. 385., ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Odluka Komisije (EU, Euratom) 2015/443 od 13. ožujka 2015. o sigurnosti u Komisiji (SL L 72, 17.3.2015., str. 41., ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Odluka Komisije (EU, Euratom) 2015/444 оd 13. ožujka 2015. o sigurnosnim propisima za zaštitu klasificiranih podataka EU-a (SL L 72, 17.3.2015., str. 53., ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (SL L 333, 27.12.2022., str. 80., ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Uredba (EZ) br. 1008/2008 Europskog parlamenta i Vijeća od 24. rujna 2008. o zajedničkim pravilima za obavljanje zračnog prijevoza u Zajednici (preinaka) (SL L 293, 31.10.2008., str. 3., ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/hrv).

(84)    U smislu članka 58. stavka 2. točke (a) ili (b) Financijske uredbe.

(85)     Političke smjernice 2024.

(86)     Mandatno pismo izvršnoj potpredsjednici Virkkunen .

(87)     Izvješće Saulija Niinistöa .

(88)     Draghijevo izvješće o konkurentnosti EU-a .

(89)     Enrico Letta – Više od tržišta (travanj 2024.) .

(90)    Dodati nakon objave.

(91)     Akt EU-a o kibersigurnosti | EUR-Lex .

(92)     Financijska uredba koja se primjenjuje na opći proračun Unije (preinaka) – Ured za publikacije EU-a .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf  

(94)     Delegirana uredba – 2019/715 – HR – EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/hrv .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf

(98)     MB Decision 2019_8 Financial rules_adopted.pdf

(99)    Dif. = diferencirana odobrena sredstva; nedif. = nediferencirana odobrena sredstva.

(100)    EFTA: Europsko udruženje slobodne trgovine.

(101)    Zemlje kandidatkinje i, ako je primjenjivo, potencijalni kandidati sa zapadnog Balkana.

(102)    Ostvarenja se odnose na proizvode i usluge koji se isporučuju (broj financiranih studentskih razmjena, kilometri izgrađenih prometnica itd.).

(103)    Kako je opisan u odjeljku 1.3.2. „Specifični ciljevi”.

(104)    Ispod tablice navedite koliko je EPRV-a od navedenog broja već raspoređeno za upravljanje djelovanjem i/ili se može preraspodijeliti unutar vaše glavne uprave i koje su vaše neto potrebe.

(105)    Kad je riječ o tradicionalnim vlastitim sredstvima (carine, pristojbe na šećer), moraju se navesti neto iznosi, to jest bruto iznosi nakon odbitka od 20 % za troškove prikupljanja.

(106)     Odluka RR-02: Cjenik usluga SNAS-a :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf , 

(107)    Konkretno, održavanje uključuje dva sastanka uživo sa stručnjacima godišnje (100 000 EUR), troškove ugovaratelja koji podupiru razvoj i pregled popratne dokumentacije za program, uvođenje programa certificiranja, potporu istorazinskim ocjenjivanjima i provedbu ocjenjivanja sukladnosti (4 x 15 000 = 60 000 EUR). Trošak uključuje i operativni dio platforme CEF-a i mrežno mjesto ENISA-e za certifikaciju (40 000 EUR).