EURÓPAI BIZOTTSÁG

Strasbourg, 2026.1.20.

COM(2026) 11 final

2026/0011(COD)

Javaslat

AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE

az Európai Uniós Kiberbiztonsági Ügynökségről (ENISA), az európai kiberbiztonsági tanúsítási keretrendszerről és az IKT-ellátási lánc biztonságáról, valamint az (EU) 2019/881 rendelet hatályon kívül helyezéséről (2. kiberbiztonsági jogszabály)

(EGT-vonatkozású szöveg)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

INDOKOLÁS

1.A JAVASLAT HÁTTERE

•A javaslat indokai és céljai

Ennek fényében négy fő probléma van, amelyeket a kiberbiztonsági jogszabályról szóló rendelet e javasolt felülvizsgálatának célja kezelni: i. az uniós kiberbiztonsági szakpolitikai keret és az érdekelt felek igényei közötti összhang hiánya az egyre ellenségesebbé váló fenyegetettségi helyzetben, ii. az európai kiberbiztonsági tanúsítási keretrendszer végrehajtásának elakadása, iii. az Unió kiberbiztonsági helyzetét befolyásoló, kiberbiztonsággal kapcsolatos szakpolitikák összetettsége és sokfélesége, valamint iv. az IKT-ellátási láncok fokozódó biztonsági kockázatai.

Az azonosított fő problémák alapján a beavatkozás két általános célkitűzése a kiberbiztonsági képességek és reziliencia növelése, valamint az egységes piac széttagoltságának megelőzése az alábbiak révén:

·hozzájárulás az Unió kiberbiztonsági irányításának megerősítéséhez, valamint annak biztosításához, hogy a releváns intézmények, hatóságok és más érdekelt felek felkészültebbek legyenek a kiberbiztonsági fenyegetések összehangolt és eredményes megelőzése, észlelése és az azokra való reagálás terén, és

·a közös uniós kiberbiztonsági eszközök – például a tanúsítási rendszerek – fejlesztésének, végrehajtásának és elterjedésének támogatása, valamint az összes tagállam közötti bizalmat és interoperabilitást építő harmonizált keretek biztosítása.

Ezek az általános célkitűzések a probléma meghatározása során azonosított fő kihívásokra reagálnak. Tükrözik az Unión belüli kiberbiztonsági irányítás megerősítésére, valamint a biztonságos, reziliens és versenyképes digitális egységes piac kialakításának támogatására irányuló átfogó szakpolitikai célt.

A fent felsorolt általános célkitűzések elérésének elősegítése érdekében ez a beavatkozás a következő egyedi célkitűzéseket (SPO) hivatott elérni:

·az uniós kiberbiztonsági szakpolitikai keret és az érdekelt felek igényei közötti összhang hiányának kezelése érdekében:

·SPO1: az uniós kiberbiztonsági szakpolitikák eredményes végrehajtásához, valamint a tagállamok közötti strukturáltabb együttműködést lehetővé tevő folyamatos operatív együttműködéshez szükséges kapacitás megteremtése,

·SPO2: olyan eszközök és mechanizmusok kidolgozása és végrehajtása, amelyek eredményesen támogatják a tagállamok, az ipar és más érdekelt felek igényeit, illetve eredményesen reagálnak azokra,

·az európai kiberbiztonsági tanúsítási keretrendszer korlátozott elterjedésének és eredményességének kezelése érdekében:

·SPO3: a piaci igények által vezérelt kiberbiztonsági tanúsítási rendszerek gyorsabb megvalósítását lehetővé tevő előfeltételek megteremtése az európai kiberbiztonsági tanúsítási keretrendszer hatályának kiterjesztése, az eredményes karbantartás és az agilis eljárások biztosítása, valamint az átláthatóság növelése révén,

·a széttagolt megfelelési környezet, továbbá a horizontális és ágazati keretrendszerek összetettségének kezelése érdekében:

·SPO4: olyan mechanizmusok és feltételek létrehozása, amelyek megkönnyítik a kiberbiztonsági követelményeknek való megfelelést, ezáltal koherensebbé és eredményesebbé téve azok végrehajtását,

·az ellátási láncon belüli kiberbiztonsági kockázatok kezelése érdekében:

·SPO5: A kritikus IKT-ellátási láncok mentesítése a kiberbiztonsági aggályokat felvető harmadik országokban letelepedett szervezetek vagy ilyen harmadik országbeli szervezetek ellenőrzése alatt álló szervezetek (magas kockázatú beszállítók) jelentette kockázatoktól, valamint a kritikus függőségek csökkentése az IKT-ellátási lánc biztonsági kockázatainak kezelésére szolgáló koherens és eredményes uniós szintű keret kidolgozása révén.

A kiberbiztonsági jogszabály felülvizsgálata a célravezető és hatásos szabályozás program (REFIT) részét képezi. Nagymértékben hozzájárul az egyértelműség javításához, a hatékonysági hiányosságok megszüntetéséhez és az eljárások jogi keretek közötti összehangolásához. A kiberbiztonsági jogszabály felülvizsgálata hozzájárul a belső piac megfelelő működéséhez, miközben biztosítja az Unió biztonságát és stratégiai autonómiáját.

Konkrétabban: az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) megbízatásának teljes körű reformját javasolja, hatékony támogatást nyújtva a szakpolitikák végrehajtásához, és hozzáadott értéket biztosítva a tagállamok közötti operatív együttműködés támogatása tekintetében.

Tekintettel arra, hogy az Unió egyre súlyosabb kiberbiztonsági kockázatokkal és kihívásokkal néz szembe, a javaslat célja az ENISA pénzügyi és humánerőforrásainak bővítése annak érdekében, hogy azok tükrözzék az ENISA megnövekedett szerepét, feladatait, valamint az Unió digitális ökoszisztémájának védelme terén elfoglalt kritikus fontosságú helyét, lehetővé téve az ENISA számára az e javaslat által ráruházott feladatok eredményes ellátását.

A felülvizsgálat hozzá fog járulni a széttagolt gyakorlatok felszámolásához is, javítva a koordinációt, ugyanakkor hosszú távon csökkentve a megfelelési és működési költségeket. A jelenlegi kiberbiztonsági jogszabály hatályon kívül helyezésével és a megreformált európai kiberbiztonsági tanúsítási keretrendszer bevezetésével a javaslat eredményesebb és hatékonyabb eszközt biztosít, amely előmozdítja a vállalkozások, a nyilvánosság és a hatóságok közötti bizalmat, és megkönnyíti a vonatkozó uniós jogszabályoknak való megfelelést. Növeli a hatékonyságot azáltal, hogy felülvizsgálja az irányítási modellt, és kiszámíthatóbb, koherensebb és agilisabb tanúsítási eljárásokat támogat a rendszer gyorsabb kidolgozásának és végrehajtásának lehetővé tétele érdekében.

A vonatkozó meglévő uniós jogi keretekkel való nagyobb mértékű szinergiák előmozdítják a tanúsítást – mint a vállalkozások részére elérhető megfelelési eszközt – és csökkenteni fogják a több kiberbiztonsági jogszabály alapján működő megfelelőségértékelő szervezetekre nehezedő adminisztratív terheket. Emellett az európai kiberbiztonsági tanúsítási keretrendszer hatályának kiterjesztésével és a szervezetek kiberbiztonsági helyzetére vonatkozó rendszer kidolgozásának lehetővé tételével a javaslat csökkenti a vonatkozó uniós kiberbiztonsági jogszabályok hatálya alá tartozó szervezetek megfelelési költségeit, kezdve a NIS 2 irányelv hatálya alá tartozó szervezetekkel. Ez a megközelítés jelentősen egyszerűsíti a többszörös megfelelési követelmények hatálya alá tartozó szervezetek szabályozási kötelezettségeit, és biztosítja az erőforrások eredményesebb felhasználását valamennyi nemzeti hatóságnál. E felülvizsgálat mellett a NIS 2 irányelv célzott módosításait bevezető irányelvjavaslat célja, hogy egyszerűsítse a kiberbiztonsági keret egyes vonatkozásainak való megfelelést, és biztosítsa azok észszerűsített és koherens végrehajtását, többek között a hatály, a fogalommeghatározások, a zsarolóvírusokkal kapcsolatos jelentéstétel és a határokon átnyúló szolgáltatásokat nyújtó szervezetek felügyelete tekintetében.

Az új rendelet harmonizált keretet hoz létre az IKT-ellátási láncokat érintő nem technikai kockázatok kezelésére is, csökkentve a megközelítések tagállamok közötti jelenlegi széttagoltságát. Ezek a szempontok együttesen az Unió kiberbiztonsági jogi keretének jelentős egyszerűsítését és korszerűsítését jelentik, az egyértelműség, az eredményesség és a digitális felkészültség REFIT-elveivel teljes mértékű összhangban.

•Összhang a szabályozási terület jelenlegi rendelkezéseivel

Az Unió több jogi eszköz és szakpolitikai intézkedés elfogadásával bővítette jogi és szakpolitikai eszközeinek tárházát: i. a NIS 2 irányelv a kritikus infrastruktúrák kiberbiztonságának megerősítését szolgálja, ii. a fizikai biztonsági intézkedéseket annak „testvér-irányelve”, a kritikus szervezetek rezilienciájáról szóló irányelv (CER-irányelv) határozza meg, iii. a kiberrezilienciáról szóló rendelet fokozza a termékek kiberbiztonságát, iv. a kiberszolidaritásról szóló jogszabály az egész Unióra kiterjedő reagálási képességeket épít ki, v. az uniós kiberbiztonsági terv 7 támogatja az uniós szintű válságkezelési együttműködést, melynek keretében a Bizottság és a főképviselő kulcsfontosságú szerepet játszik a nagyszabású kiberbiztonsági incidensekre való felkészülésben és reagálásban, vi. az 5G kiberbiztonsággal kapcsolatos eszköztár (5G eszköztár) az 5G hálózatok kiberbiztonságát támogatja, vii. a kórházak és az egészségügyi szolgáltatók kiberbiztonságára vonatkozó európai cselekvési terv 8 hozzájárul azok kiberbiztonságának javításához, és viii. a Kiberkészségek Akadémiája 9 a kiberbiztonsági szakemberhiány jelentette egyre súlyosabbá váló kihívással foglalkozik.

•Összhang az Unió egyéb szakpolitikáival

2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG

•Jogalap

•Szubszidiaritás (nem kizárólagos hatáskör esetén)

A javasolt rendelet hatálya alá tartozó fellépések egyértelmű hozzáadott értéket képviselnek azáltal, hogy támogatják a harmonizációt, a jogi egyértelműséget és a kiberbiztonsági kihívásokra adott összehangolt válaszokat.

•Arányosság

•A jogi aktus típusának megválasztása

3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI

•A jelenleg hatályban lévő jogszabályok utólagos értékelése / célravezetőségi vizsgálata

·Relevancia: Az ENISA kiberbiztonsági jelentőségére az világít rá, hogy képes reagálni az érdekelt felek változó igényeire és képes alkalmazkodni a változó környezethez. Bár az érdekelt felek általában elégedettek, van lehetőség az ENISA hatásának növelésére. Ez a különböző ágazatok támogatásának és láthatóságának a javításával érhető el, különös tekintettel a kis- és középvállalkozásokra (kkv-k), amelyeknek sokszor okoznak nehézséget a kiberbiztonsági követelmények. Elengedhetetlen az erőforrások jobb szervezése és a nemzeti hatóságokkal való egyértelműbb koordináció. A tevékenységek újrarangsorolása és a meglévő erőforrások optimalizálása jobban összehangolja az ENISA-t az európai kiberbiztonsági környezet dinamikus igényeivel.

Az európai kiberbiztonsági tanúsítási keretrendszer kapcsán megjegyzendő, hogy – az ígéretes koncepció ellenére – a keretrendszer még mindig inkább potenciállal rendelkezik, semmint gyakorlati hatással, hiszen a közelmúltban csak egy tanúsítási rendszer kezdte meg működését. A keretrendszert úgy alakították ki, hogy zökkenőmentesen integrálódjon más uniós jogi aktusokba az eljárások észszerűsítése és a határokon átnyúló kereskedelem megkönnyítése érdekében. Jelentősége különösen azokon a területeken szembetűnő, ahol nagy fokú megbízhatóságra van szükség, például felhőszolgáltatások és az 5G infrastruktúrák terén.

·Eredményesség: Az ENISA sikeresen teljesítette megbízatását: szinte az összes tervezett kimenetet megvalósította, rugalmasságról és a rezilienciáról téve tanúbizonyságot olyan válságok során, mint a Covid19-világjárvány és Oroszország Ukrajna elleni agressziós háborúja. A hatékonyság növeléséhez azonban jobb rangsorolásra, egyértelmű összpontosításra és stratégiai erőforrás-elosztásra van szükség. A belső irányítás agilisabb megközelítése elengedhetetlen a változó kiberbiztonsági igényekhez való alkalmazkodáshoz és a késedelmek minimalizálásához.

Az európai kiberbiztonsági tanúsítási keretrendszer célja az volt, hogy Unió-szerte harmonizálja a kiberbiztonsági tanúsítást, de jelentős kihívásokkal szembesült, többek között eljárási korlátokkal és széttagoltsággal, amelyek késedelmekhez és hatékonysági hiányosságokhoz vezettek, például a közös kritériumokon alapuló európai kiberbiztonsági tanúsítási rendszer (EUCC) elfogadásának késedelméhez. Bizonyos külső tényezők – például a geopolitikai feszültségek és a Covid19-világjárvány – tovább nehezítették az európai kiberbiztonsági tanúsítási keretrendszer célkitűzéseinek elérését, ami rávilágított arra, hogy a kiberbiztonsági tanúsítás egységességének és eredményességének eléréséhez kiigazítható intézkedésekre és az erőforrások érdekelt felek közötti következetes elosztására van szükség. Ezen akadályok ellenére pozitív eredmények születtek, különösen a tagállamok figyelmének a kiberbiztonsági tanúsítás fontosságára és részleteire való felhívása terén.

·Hatékonyság: Az ENISA hatékonyan működött mátrixalapú szervezeti keretében, előmozdítva az együttműködést és a feladatok rangsorolását. Kihívásokkal szembesült azonban a növekvő igények kielégítése és a magas szakértelmet igénylő pozíciók betöltése terén, melyeket tovább súlyosbított az informatikai szakemberek globális hiánya, ami késedelmekhez és nagy munkaterheléshez vezetett. Az ENISA a fent említett problémákat belső munkaerejének optimalizálásával és erőforrásainak eredményes átcsoportosításával érhetné el, ahogy azt az olyan stratégiai kiigazítások is mutatják, mint amilyen az erőforrásoknak a kiberbiztonsági támogatási fellépésre történő átcsoportosítása volt 2022-ben. Emellett a költségvetési gazdálkodás javítása és az igazgatási kiadások csökkentése tovább javítaná az Ügynökség működési hatékonyságát.

Az európai kiberbiztonsági tanúsítási keretrendszer hatékonyságát kritika érte a kiberbiztonsági tanúsítási rendszerek elfogadására vonatkozó határidők meghosszabbítása és az ezzel járó összetettség miatt, mivel az első rendszert csak 2024 elején, közel öt évvel a kiberbiztonsági jogszabály elfogadását követően fogadták el. A szakpolitikai és technikai kihívások – például az adatszuverenitásról folytatott viták és a tervezetek jogi aktusokká való átalakításának nehézségei – is okoztak késedelmeket. Amint az az uniós számításifelhő-tanúsítási rendszer (EUCS) és az EU5G rendszer esetében is tapasztalható, a politikai kihívások és a technikai igények akadályozták az előrehaladást. E hatékonysági hiányosságok ellenére a keretrendszernek számos pozitív folyománya volt. Az optimális működés és a stratégiai inputok biztosítása érdekében azonban továbbra is javítani kell az érdekelt felek bevonását és a belső irányítást.

·Koherencia: Az ENISA koherenciáját támogatja az érdekelt felek jelentős mértékű bevonása, valamint és a közelmúltban elfogadott jogszabályi keretekkel való összehangolás. A koherencia és az erőforrás-elosztás javítása érdekében azonban alapvető fontosságú a más uniós szervekkel – például az Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközponttal (ECCC) és a nemzeti hatóságokkal – fennálló szinergiák javítása. Ezenkívül finomítani kell az ENISA-n belüli belső kommunikációt és erőforrás-gazdálkodást, valamint a magánszféra érdekelt feleivel folytatott átlátható együttműködést. Az ENISA feladatainak egyértelmű – a kiberrezilienciáról szóló rendelettel és a NIS 2 irányelvvel összhangban történő – elhatárolása javítani fogja mind a hatékonyságot, mind pedig a szabályozás következetességét.

Az európai kiberbiztonsági tanúsítási keretrendszer kapcsán megjegyzendő, hogy az egységes kiberbiztonsági megközelítés biztosításához elengedhetetlen az egyéb uniós jogalkotási eszközökkel – többek között a NIS 2 irányelvvel és a kiberrezilienciáról szóló rendelettel – való teljes összhang. Jóllehet az európai kiberbiztonsági tanúsítási keretrendszer elméletileg igazodik ezekhez a jogalkotási intézkedésekhez, a valós integráció továbbra is összetett folyamat, amely gondos felügyeletet igényel. A közös kritériumokon alapuló elfogadott európai kiberbiztonsági tanúsítási rendszernek a kiberrezilienciáról szóló rendelet keretében történő végrehajtása e tekintetben jelentős próbatétel lesz.

·Uniós hozzáadott érték: Az ENISA az együttműködés előmozdításával és a gyakorlatok összehangolásával jelentős mértékben hozzájárul az Unió kiberbiztonsági ökoszisztémájához. Létfontosságú szerepet játszik a nemzeti erőfeszítések elősegítésében és a felmerülő fenyegetések megismerésében. Azonban azok a bírálatok, amelyeket magánszektorbeli érdekelt felek fogalmaztak meg a testre szabottabb támogatás szükségességével kapcsolatban, arra utalnak, hogy javítani kell az érdekelt felek bevonását és az ágazati együttműködést. Az erőforrás-gazdálkodás stratégiai újraértékelése lehetővé tenné az ENISA számára, hogy jobban alkalmazkodjon a változó kiberbiztonsági kihívásokhoz, és eredményesebben szolgálja ki a különböző érdekelt feleket. Az európai kiberbiztonsági tanúsítási keretrendszer célja az volt, hogy harmonizált tanúsítási eljárásokat vezessen be, de a meghosszabbított határidők és a széttagoltság miatt végrehajtási kihívásokkal szembesült. Az európai kiberbiztonsági tanúsítási keretrendszer által képviselt hozzáadott értéket korlátozták a célkitűzései elérésében megmutatkozó hiányosságok és a hatékonyság hiánya. E kihívások ellenére az európai kiberbiztonsági tanúsítási keretrendszer javította a tagállamok közötti harmonizációt, és jobb együttműködési lehetőségeket teremtett, különösen azáltal, hogy együttműködési fórumokat hozott létre az érdekelt felek számára, például az európai kiberbiztonsági tanúsítási csoportot.

•Az érdekelt felekkel folytatott konzultációk

2023 és 2025 között számos konzultációra került sor az érdekelt felekkel mind a kiberbiztonsági jogszabály értékelésével, mind pedig a kiberbiztonsági jogszabály felülvizsgálatával összefüggésben, az alábbiak szerint.

–2023-ban 65 interjúra került sor (ebből 52 inkább az ENISA-ra, 13 pedig főként az európai kiberbiztonsági tanúsítási keretrendszerre összpontosított), felmérést végeztek, amelyre 209 válasz érkezett (ebből 70 az európai kiberbiztonsági tanúsítási keretrendszerre vonatkozott), lezártak egy nyilvános konzultációt, és két munkaértekezletet szerveztek a GYELV-elemzésről (erősségek, gyengeségek, lehetőségek és veszélyek) 26 résztvevővel és az ajánlásokról 70 résztvevővel. E tevékenységek célja kifejezetten az volt, hogy összegyűjtsék az érdekelt felek véleményét az ENISA hatásának, eredményességének és hatékonyságának értékelése céljából. A Study to Support the Evaluation of the European Union Agency for Cybersecurity (ENISA) and the European Cybersecurity Certification Framework carried out for the Commission by PwC, Intellera Consulting and PPMI (2024) (Az Európai Uniós Kiberbiztonsági Ügynökség [ENISA] és az európai kiberbiztonsági tanúsítási keretrendszer értékelését támogató, a PwC, az Intellera Consulting és a PPMI által a Bizottság számára készített tanulmány) című dokumentum zárójelentése 2024 decemberében készült el. 

–2025-ben a Bizottság véleményezési felhívást tett közzé. Az érdekelt feleket különösen arra kérték fel, hogy nyújtsanak be írásbeli észrevételeket, többek között állásfoglalásokat, technikai jelentéseket vagy konkrét reformjavaslatokkal kapcsolatos észrevételeket.  Összesen 184 egyéni észrevétel érkezett az érdekelt felek széles körétől, köztük ágazati szövetségektől, kiberbiztonsági cégektől, kkv-któl, tudományos intézményektől és közérdekű szervezetektől.

–2025 áprilisa és júniusa között a Bizottság a kiberbiztonsági jogszabály felülvizsgálatának részeként nyilvános konzultációt szervezett, melynek során 193 válasz érkezett. A konzultáció 38 eldöntendő és kifejtendő kérdésből állt, amelyek az ENISA megbízatására, az európai kiberbiztonsági tanúsítási keretrendszerre, az IKT-ellátási lánc biztonságára és az egyszerűsítésre terjedtek ki.

–Célzott konzultáció (interjúk): A kiválasztott érdekelt felekkel több félig strukturált interjút készítettek. Az érdekelt felek között képviseltette magát az ENISA, valamint a nemzeti jelentéstételi platformokat kifejlesztő vagy irányító nemzeti hatóságok. Az interjúk főbb témái a következők voltak: az ENISA szerepe és kapacitása, az európai kiberbiztonsági tanúsítási keretrendszer operatív működése, a nemzeti és uniós szintű tanúsítási folyamatok összehangolásával kapcsolatos gyakorlati kihívások, a jelentéstételi terhek és a végrehajtás akadályai. Ezek a megbeszélések minőségi meglátásokkal szolgáltak, amelyek segítették a nyilvános konzultáció eredményeinek értelmezését, és támogatták a szakpolitikai alternatívák finomítását.

–Konzultáció a tagállamok képviselőivel a tanácsi munkacsoport 19 keretében és kétoldalú megbeszélések során, ahol a tagállamok kifejthették véleményüket a kiberbiztonsági jogszabály felülvizsgálatáról.

–Célzott konzultáció (az európai kiberbiztonsági tanúsítási keretrendszer csoportjai: az európai kiberbiztonsági tanúsítási csoport, az érdekelt felek kiberbiztonsági tanúsítási csoportja): A Bizottság – mindkét csoport elnökeként eljárva – az európai kiberbiztonsági tanúsítási csoport 2025. március 12-i és július 3-i ülésén, valamint az érdekelt felek kiberbiztonsági tanúsítási csoportjának 2025. március 17-i ülésén ismertette a kiberbiztonsági jogszabály felülvizsgálatának aktuális állását. Emellett kérdőívek útján kiegészítő szakértői véleményeket gyűjtöttek az európai kiberbiztonsági tanúsítási csoport tagjaitól.

·az ENISA megbízatása és operatív szerepe, beleértve a tagállamok részére nyújtott támogatást és a kialakulóban lévő technológiákkal kapcsolatos szakértelmet,

·az európai kiberbiztonsági tanúsítási keretrendszer eredményessége, beleértve az irányítási és fejlesztési folyamatokat is,

·a kiberbiztonsági kötelezettségek összetettsége és széttagoltsága, különös tekintettel a jelentéstételi terhekre és a lehetséges egyszerűsítésre,

·a kkv-kra vonatkozó követelmények arányossága és a differenciált megfelelési pályák lehetősége, és

·a harmonizált kiberbiztonsági szabályok társadalmi és gazdasági hatásai, beleértve a fogyasztókra, a jogokra, az innovációra és a versenyképességre gyakorolt hatásokat is.

•Hatásvizsgálat

A végleges szakpolitikai javaslat nem tér el a hatásvizsgálat keretében értékelt alternatíváktól.

Alternatívák az uniós kiberbiztonsági szakpolitikai keret és az érdekelt felek igényei közötti összhang hiányának kezelésére az egyre ellenségesebb környezetben

Az európai kiberbiztonsági tanúsítási keretrendszerrel kapcsolatos alternatívák

B.1. alternatíva: Az európai kiberbiztonsági tanúsítási keretrendszer hatályának, elemeinek és célkitűzéseinek egyértelműsítése, valamint egy karbantartási mechanizmus bevezetése – Ez az alternatíva új karbantartási mechanizmust írna elő a rendszerek számára elfogadásukat követően; a mechanizmust az ENISA hajtaná végre.

B.2. alternatíva: Az európai kiberbiztonsági tanúsítási keretrendszer reformja, amely a szabályoknak való megfelelés egyszerűsítése érdekében felülvizsgálja az európai kiberbiztonsági tanúsítási keretrendszer eljárásait és kiterjeszti hatályát – Ez az alternatíva hatályon kívül helyezné a kiberbiztonsági jogszabályt, és egy új rendelettel váltaná fel azt. A B.1. alternatívához képest ez az alternatíva a rendszerek kérelmezésével, kidolgozásával és elfogadásával kapcsolatos eljárásokat is felülvizsgálná az elszámoltathatóság és az eredményesség javítása érdekében.

B.3. alternatíva: Az európai kiberbiztonsági tanúsítási keretrendszernek a B.2. alternatívában előirányzott reformja és a kiberbiztonsági helyzet kötelező tanúsításának bevezetése – Ez az alternatíva a B.2. alternatívára épülne, de célja a keretrendszer hatásának további növelése azáltal, hogy bevezetné az alapvető szervezetek konkrét kockázati forgatókönyvek figyelembevétele mellett történő kötelező tanúsítását, ahelyett, hogy kizárólag a szervezetek önkéntes tanúsítására támaszkodna.

Egyszerűsítéssel kapcsolatos alternatívák

C.1. alternatíva: Puha jogi és nem jogalkotási eszközökön alapuló megközelítés alkalmazása, beleértve a meglévő felhatalmazások alkalmazását (végrehajtási jogi aktusok elfogadása a NIS 2 irányelv 21. cikkének (5) bekezdése és 23. cikkének (11) bekezdése alapján) – Ez az alternatíva végrehajtási jogi aktusok elfogadását irányozza elő a NIS 2 irányelv szerinti meglévő felhatalmazások felhasználásával a kiberbiztonsági kockázatkezelési intézkedések, az incidensek bejelentésének küszöbértékei, valamint az információk típusa, a bejelentések formátuma és a bejelentési eljárás nagyobb fokú harmonizációjának biztosítása érdekében. Ez az alternatíva a jogbiztonság és a harmonizált végrehajtás fokozása érdekében iránymutatások elfogadását is előirányozza.

C.2. alternatíva: Célzott beavatkozás – a vonatkozó uniós kiberbiztonsági jogszabályi keretnek való megfelelés további egyszerűsítése – Ez az alternatíva korlátozott beavatkozást foglal magában, melyre a kiberbiztonsági jogszabály és a NIS 2 irányelv módosításával kerül sor, és melynek célja, hogy egyszerűsítse a kiberbiztonsági keret egyes vonatkozásait, beleértve a hatály kiigazítását, a végrehajtási jogi aktusok maximális harmonizációját, a megfelelés tanúsítás révén történő igazolását, valamint a C.1. alternatíva keretében előirányzott iránymutatások elfogadását.  

D.1. alternatíva: „Puha” jogi megközelítés alkalmazása az IKT-ellátási láncokat érintő kiberbiztonsági kockázatok kezelésére – Ez az alternatíva nem írna elő uniós szintű szabályozási beavatkozást. Ehelyett a Bizottság növelné az összehangolt kockázatértékelések és az önkéntes eszköztárak számát.

D.2. alternatíva: Ad hoc szabályozási beavatkozás az 5G eszköztár kodifikálására – Ez az alternatíva kodifikálná az 5G eszköztárhoz kapcsolódó intézkedéseket. Kötelezővé tenné a tagállamok számára annak biztosítását, hogy magas kockázatú beszállítóktól származó összetevőket nem használnak fel a hálózat kulcsfontosságú eszközeiben.

Ez a kombináció kiegyensúlyozott választ kínál az azonosított szakpolitikai kihívásokra, és Unió-szerte jelentősen növeli az eredményességet, a hatékonyságot és a koherenciát.

Ugyanakkor az észszerűsített és csökkentett megfelelési kötelezettségek öt év alatt várhatóan akár 15,3 milliárd EUR költségmegtakarítást is eredményezhetnek a vállalkozások számára. Emellett az Unió általános kiberbiztonsági helyzetének és technológiai szuverenitásának javítása, valamint az innováció és a versenyképesség ösztönzése jelentős előnyökkel járna a lakosság, a hatóságok és a vállalkozások számára. Ez hosszú távon várhatóan nagymértékben ellensúlyozza majd a kezdeti kiadásokat.

A piac széttagoltságának csökkentése és a szabályozási követelmények harmonizálása révén az előnyben részesített alternatívák Unió-szerte erősítik az egyenlő versenyfeltételeket, és egyértelműbb utat biztosítanak a vállalkozások számára a megfeleléshez és az innovációhoz.

•Célravezető szabályozás és egyszerűsítés

•Alapvető jogok

A jogalkotási javaslatot annak alapján értékelték, hogy milyen mértékben képes javítani vagy veszélyeztetni az alapvető jogokat, valamint előmozdítani az egyenlőséget és a bizalmat, különös tekintettel a társadalmi hatásokra és jogokra, többek között a magánélet védelmére, az adatvédelemre, valamint az egyének azon képességére, hogy jogaikat megismerjék, gyakorolják és érvényesítsék.

Az ENISA megbízatásának kiterjesztése hozzá fog járulni a kiberreziliencia növeléséhez a gazdaság és a társadalom egészében, ami az emberek magánéletének és személyes adatainak jobb védelmét eredményezi majd. A javaslat a kiberbiztonsággal kapcsolatos oktatást és képzést is támogatni fogja, mivel tisztázza az ENISA által a kiberbiztonsági munkaerő készségeinek fejlesztésében betöltött szerepet.

Emellett az európai kiberbiztonsági tanúsítási keretrendszer növelni fogja az uniós nyilvánosság és vállalkozások bizalmát a mindennapi életet támogató tanúsított IKT-megoldások iránt. További rendszerek bevezetése növelné ezt a hatást.

4.KÖLTSÉGVETÉSI VONZATOK

5.EGYÉB ELEMEK

•Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai

•Magyarázó dokumentumok (irányelvek esetén)

•A javaslat egyes rendelkezéseinek részletes magyarázata

II. cím: ENISA (AZ EURÓPAI UNIÓS KIBERBIZTONSÁGI ÜGYNÖKSÉG)

A Bizottság végrehajtási jogi aktusok útján azonosíthatja az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezettípusok által termékek előállításához vagy szolgáltatások nyújtásához használt kulcsfontosságú IKT-eszközöket. A 102. cikk tovább részletezi a kulcsfontosságú IKT-eszközök azonosítása során figyelembe veendő elemeket. A 103. cikk az IKT-ellátási láncban alkalmazható lehetséges kockázatcsökkentő intézkedéseket állapít meg. A Bizottság végrehajtási jogi aktusok útján dönthet úgy, hogy a kiemelten kritikus ágazatokban és más kritikus ágazatokban működő szervezetekre egyedi mérséklési intézkedéseket kell alkalmazni, melyeket a cikk tovább részletez.

A Bizottság a letelepedés, a tulajdonosi szerkezet és az ellenőrzés értékelésének elvégzését követően végrehajtási jogi aktusok útján összeállítja a 103. cikk (1) bekezdésével, a 103. cikk (7) bekezdésével vagy a 110. cikk (1) bekezdésében említett tilalom szempontjából releváns magas kockázatú beszállítók jegyzékeit. A Bizottságnak konzultálnia az érintett beszállítókkal és az illetékes hatóságokkal (104. cikk).

A 100. cikkel összhangban jegyzékbe vett, valamely kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ilyen harmadik országbeli szervezetek ellenőrzése alatt álló szervezet kérheti annak engedélyezését, hogy IKT-összetevőkkel láthassa el az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek kulcsfontosságú IKT-eszközeit, és részt vehessen az ilyen IKT-összetevők beszállításával kapcsolatos közbeszerzésekben. A 105. cikk meghatározza, hogy a kérelemnek mit kell tartalmaznia, és milyen eljárás vonatkozik a szóban forgó mentességre. A 106. cikk a szóban forgó szervezet védelemhez való jogát határozza meg. A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet a mentességre vonatkozó határozatokról (107. cikk). A 108. és 109. cikk a mentességi eljárással kapcsolatos titoktartási szabályokat és díjakat írja elő.

A II. fejezet rendelkezik a megbízható IKT-ellátási láncok keretrendszerének a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatokra történő alkalmazásáról, biztosítva az összhangot a digitális hálózatokról szóló javasolt jogszabállyal.

A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközeit a II. melléklet határozza meg. A mobil elektronikus hírközlő hálózat kulcsfontosságú IKT-eszközei tekintetében a magas kockázatú beszállítóktól származó IKT-összetevők fokozatos kivezetésére rendelkezésre álló átmeneti időszak nem haladhatja meg az e rendelet hatálybalépésétől számított 36 hónapot. Az állandóhelyű és a műholdas elektronikus hírközlő hálózatokra vonatkozó átmeneti időszakokat a Bizottság végrehajtási jogi aktusok útján határozza meg. A Bizottság felhatalmazást kap arra, hogy felhatalmazáson alapuló jogi aktust fogadjon el a kijelölt kulcsfontosságú IKT-eszközök és átmeneti időszakok módosítása céljából, többek között a jövőbeli mobilhálózati generációk tekintetében (110. cikk). A 111. cikk előírja, hogy a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatói semmilyen formában nem használhatják, telepíthetik vagy integrálhatják magas kockázatú szolgáltatók IKT-összetevőit, és nem kaphatnak általános vagy egyedi engedélyt.

Illetékes hatóságok, felügyelet és végrehajtás, joghatóság, védelemhez való jog (III. fejezet)

A III. fejezet meghatározza továbbá az illetékes hatóságokra, a felügyeletre és a végrehajtásra, valamint a joghatóságra vonatkozó szabályokat. 

A 112–114. cikk meghatározza a IV. címben foglalt rendelkezések végrehajtásának és érvényesítésének biztosításával kapcsolatos tagállami hatásköröket, eszközöket és felelősségi köröket. A tagállamoknak ki kell jelölniük egy vagy több illetékes hatóságot, amelyről vagy amelyekről értesíteni kell a Bizottságot. A 113. cikk előírja a Bizottság számára, hogy a megfelelés megkönnyítése érdekében hozzon létre a tagállamok illetékes hatóságai és a Bizottság közötti együttműködést szolgáló hálózatot, míg a 114. cikk meghatározza azokat a felügyeleti és érvényesítési intézkedéseket, amelyeket az illetékes hatóságok jogosultak meghozni. A IV. címben foglalt rendelkezések megsértése esetén alkalmazandó szankciókat a 115. cikk határozza meg. A 116. cikk részletezi a tagállamok azon lehetőségét, hogy kölcsönösen segítséget nyújtsanak egymásnak, ha szervezetek határokon átnyúló tevékenységet folytatnak, vagy ha kulcsfontosságú IKT-eszközeik több tagállamban találhatók. A 117. cikk rendelkezik a joghatóságra és a területiségre vonatkozó szabályokról.

2026/0011 (COD)

Javaslat

AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE

az Európai Uniós Kiberbiztonsági Ügynökségről (ENISA), az európai kiberbiztonsági tanúsítási keretrendszerről és az IKT-ellátási lánc biztonságáról, valamint az (EU) 2019/881 rendelet hatályon kívül helyezéséről (2. kiberbiztonsági jogszabály)

(EGT-vonatkozású szöveg)

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 114. cikkére,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,

tekintettel az Európai Gazdasági és Szociális Bizottság véleményére 24 ,

tekintettel a Régiók Bizottságának véleményére 25 ,

rendes jogalkotási eljárás keretében,

mivel:

(1) Az (EU) 2019/881 európai parlamenti és tanácsi rendelet 26 elfogadása óta a geopolitikai, technológiai és szakpolitikai környezet jelentős átalakuláson ment keresztül. A kiberbiztonsági incidensek száma – függetlenül attól, hogy azokat rendszerhibák, emberi hiba, rossz szándékkal végrehajtott cselekmények vagy természeti jelenségek okozzák-e – megugrott, a kibertámadások pedig kifinomultabbá váltak, ami hatással van az alapvető szervezetekre, a vállalkozásokra és a nyilvánosságra. A kiberbűnözés ökoszisztémája terjeszkedik, középpontjában a zsarolóvírus-tevékenység áll. Intenzívebbé váltak az ellátási láncot érintő incidensek, függetlenül attól, hogy azokat bűnözők okozták-e pénzügyi haszonszerzés céljából, vagy állami szereplők zavar kiváltása, kémkedés, dezinformáció vagy hadviselés céljából. Egy szélesebb körű hibrid stratégia részeként a rossz szándékú kibertevékenységekből és a rendszerhibákból eredő incidensek hatásai kifelé gyűrűznek, megzavarják az alapvető szolgáltatásokat, aláássák az intézményekbe vetett bizalmat, és befolyásolják az Unió társadalmi és védelmi felkészültségét. Az ilyen incidensek bizonyítottan hatással lehetnek a gazdasági tevékenységre, a pénzügyi stabilitásra és az emberek életére. Ugyanakkor a kritikus polgári infrastruktúra és rendszerek sérülékenysége kockázatot jelent a védelmi képességekre nézve, amennyiben azok ezen infrastruktúrára és rendszerekre támaszkodnak.

(2)Ezzel párhuzamosan a kialakulóban lévő technológiák, például a mesterséges intelligencia és a kvantuminformatika képesek zavart okozni a kiberbiztonságban és a kibervédelemben. Átformálják a védelmi eszközöket és az ellenséges taktikákat, ami fenyegetést jelent a kiberbiztonságra és a kibervédelemre nézve, ugyanakkor lehetőségeket kínál a technológiai fejlődésre is. Jóllehet a fenyegetések fokozott észlelése vagy az incidensekre való automatizált reagálás révén hozzájárulhatnak a kiberbiztonsághoz, egyúttal meg is növelik a szervezetek általában vett támadási felületét, a manipuláció potenciális célpontjai lehetnek, és alááshatják a biztonsági intézkedések – például a titkosítás – hosszú távú életképességét.

(3)E fejlemények kezelése érdekében az Unió megerősítette jogi és szakpolitikai eszközeit. Az (EU) 2022/2555 európai parlamenti és tanácsi irányelv 27 megerősíti a kritikus infrastruktúrák kiberbiztonságát; a jogszabályt a fizikai biztonság tekintetében az (EU) 2022/2557 európai parlamenti és tanácsi irányelv 28 egészít ki. Az Európai Parlament és a Tanács (EU) 2024/2847 rendelete 29 a digitális elemeket tartalmazó termékek kiberbiztonságát növeli meg. Az (EU) 2025/38 európai parlamenti és tanácsi rendelet 30 uniós szintű reagálási képességeket épít ki, a kiberbiztonsági válságkezelésre vonatkozó uniós tervről szóló 2025. június 6-i tanácsi ajánlás 31 (a továbbiakban: a kiberbiztonsági tervről szóló ajánlás) pedig az uniós szintű válságkezelési együttműködést támogatja. Az 5G kiberbiztonsággal kapcsolatos eszköztár 32 az első lépést jelenti az 5G hálózatok biztonságát célzó összehangolt uniós szintű megközelítés felé. A Kiberkészségek Akadémiájáról szóló bizottsági közlemény 33 foglalkozik a kiberbiztonsági szakemberhiány jelentette növekvő kihívással. Emellett a kiberbiztonsági keretrendszert ágazatspecifikus jogszabályok is megerősítették, különösen a következők: a pénzügyi ágazat esetében az (EU) 2022/2554 európai parlamenti és tanácsi rendelet 34 , a villamosenergia-alágazat esetében az (EU) 2024/1366 felhatalmazáson alapuló bizottsági rendelet 35 , a légi közlekedési alágazat esetében az (EU) 2022/1645 felhatalmazáson alapuló bizottsági rendelet 36 és az (EU) 2023/203 bizottsági végrehajtási rendelet 37 (PART-IS), valamint az (EU) 2019/1583 bizottsági rendeletben 38 meghatározott releváns légiközlekedés-védelmi szabályok, továbbá egyéb szakpolitikai dokumentumok, például a kórházak és az egészségügyi szolgáltatók kiberbiztonságára vonatkozó uniós cselekvési tervről szóló bizottsági közlemény 39 . Az uniós szervezeteket az (EU, Euratom) 2023/2841 európai parlamenti és tanácsi rendelet 40 is megerősíti, amely olyan intézkedésekről rendelkezik, melyek célja az uniós intézményeken, szerveken, hivatalokon és ügynökségeken belüli egységesen magas szintű kiberbiztonság elérése. Ez a megerősített kiberbiztonsági jogi keret tovább pontosította az ENISA feladatait.

(4)Ebben az összefüggésben és a ProtectEU-ban foglaltaknak megfelelően: Az európai belső biztonsági stratégiához 41 , a felkészültségi unióról szóló stratégiához 42 , az Unió társadalmi és gazdasági felkészültségének, biztonságának és rezilienciájának biztosításához erős európai koordinációra, az érdekelt felek közötti bizalomra és információmegosztásra, az IKT-termékek, -szolgáltatások, -folyamatok és az irányított biztonsági szolgáltatások biztonságát garantáló robusztus keretekre, valamint a kiberbiztonsági munkaerő növekedésére és megerősítésére van szükség. Felszólít továbbá az IKT-ellátási láncoknak a kulcsfontosságú eszközök feletti európai technológiai szuverenitás biztosításával történő megerősítésére, ami növelné az Unió rezilienciáját, és előnyös lenne a kibervédelmi erőfeszítések szempontjából. Emellett az EU gazdasági biztonságának megerősítéséről szóló közlemény 43 kiemelt célkitűzésként határozza meg az Unió gazdasági biztonságát esetlegesen aláásó érzékeny információkhoz és adatokhoz való hozzáférés megakadályozását, valamint az Unió kritikus infrastruktúrájában bekövetkező, az uniós gazdaságot érintő zavarok megelőzését és enyhítését. Elismeri, hogy az eredményes kiberbiztonsági intézkedések alapvető szerepet játszanak e tekintetben.

(5)A kritikus infrastruktúrát, a digitális szolgáltatásokat vagy az alapvető társadalmi funkciókat érintő nagyszabású kiberbiztonsági incidensek hatással lehetnek a lakosságra, ami uniós szinten összehangolt polgári védelmi és válságkezelési fellépést tesz szükségessé. Az európai felkészültségi unióról szóló stratégia és az uniós polgári védelmi mechanizmusról szóló 1313/2013/EU határozat minden veszélyre kiterjedő megközelítésével összhangban az e rendeletben a helyzetismeretre, az incidensekre való reagálásra és gyakorlatokra vonatkozóan előírt intézkedéseket be kell építeni az uniós válságkezelésbe, különösen a Veszélyhelyzet-reagálási Koordinációs Központon (ERCC) keresztül.

(6)Ez a javaslat összhangban van [az (EU) 2019/881 rendelet felülvizsgálatát kiegészítő és az (EU) 2022/2555 irányelvnek az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedések végrehajtásának egyszerűsítése tekintetében történő módosításáról szóló irányelvre irányuló javaslattal], valamint [a digitális jogszabályok egyszerűsítéséről szóló rendeletre (digitális omnibusz csomag) irányuló javaslattal] 44 , amely előírja az ENISA számára, hogy dolgozzon ki egyablakos ügyintézési pontot az incidensek bejelentésére, amelyen keresztül a szervezetek egyidejűleg teljesíthetik a több jogi aktus szerinti incidensbejelentési kötelezettségeiket.

(7)A 460/2004/EK európai parlamenti és tanácsi rendelet 45 azzal a céllal hozta létre az ENISA-t, hogy hozzájáruljon az Unión belüli magas és eredményes szintű hálózat- és információbiztonság biztosításához, valamint – a polgárok, a fogyasztók, a vállalkozások és a közigazgatási szervek érdekeit szem előtt tartva – a hálózat- és információbiztonsági kultúra kialakításához. Az ENISA megbízatásának meghosszabbítására háromszor került sor, majd az (EU) 2019/881 rendelet állandó megbízatással ruházta fel. A változó fenyegetettségi és technológiai környezetben felmerülő igények jobb kezelése érdekében – különös tekintettel az operatív együttműködésre és a kiberbiztonsági szakemberek iránti megnövekedett igényre – szükség van az ENISA megbízatásának további megerősítésére. A jogbiztonság érdekében az (EU) 2019/881 rendelet helyébe másik jogszabálynak kell lépnie.

(8)A folyamatosan változó fenyegetettségi környezetben, ahol a kiberbiztonsági incidensek egyre jelentősebbek, fontosabb, mint valaha, hogy az egyének, a hatóságok és a vállalkozások bizalommal használhassák mindennapi tevékenységük során a technológiákat. A bizalom növelését könnyebben el lehet érni az európai kiberbiztonsági tanúsítási keretrendszernek az egész Unióra kiterjedő megerősített tanúsításával, amely valamennyi nemzeti piacon és minden ágazatban közös kiberbiztonsági követelményeket és értékelési kritériumokat biztosít. Az új keretrendszernek meg kell határoznia az európai kiberbiztonsági tanúsítási rendszerekre vonatkozó fő horizontális követelményeket, és lehetővé kell tennie, hogy az európai kiberbiztonsági tanúsítványokat és az uniós megfelelőségi nyilatkozatokat valamennyi tagállamban elismerjék és használják. Ennek során olyan eljárást és irányítási keretet kell létrehoznia, amely lehetővé teszi az európai kiberbiztonsági tanúsítási rendszerek időben történő és kiszámítható kidolgozását és karbantartását. Az európai kiberbiztonsági tanúsítási rendszereket valamennyi tagállamban egységesen kell alkalmazni a kiberbiztonsági követelmények harmonizált végrehajtásának és az egyenlő versenyfeltételeknek a biztosítása, valamint az egyes tagállamok közötti követelménykülönbségek miatti visszaélésszerű tanúsításválasztás megakadályozása érdekében. Az ENISA-nak kulcsszerepet kell játszania a rendszerek műszaki előírások révén történő fejlesztésének biztosításában, valamint annak garantálásában, hogy e rendszerek műszaki szempontból mindig naprakészek legyenek. Ezen túlmenően a piaci igények eredményes kielégítése érdekében a keretrendszernek lehetővé kell tennie kiberbiztonsági kockázatkezelési intézkedések szervezeteknek szánt tanúsítását, és elő kell segítenie a kiberbiztonság területén alkalmazandó egyéb uniós jogszabályoknak való megfelelést. A meglévő uniós joggal, például az (EU) 2024/2847 rendelettel és az (EU) 2022/2555 irányelvvel való összehangolás elengedhetetlen ahhoz, hogy az európai kiberbiztonsági tanúsítási rendszerek hozzájáruljanak a vállalkozásokra nehezedő megfelelési terhek csökkentéséhez, növeljék a vállalkozások vonzerejét és megerősítsék az Unió kiberrezilienciáját.

(9)Az ENISA küldetése, hogy támogassa a tagállamokat és az uniós szervezeteket az Unión belüli magas szintű kiberbiztonság, reziliencia és bizalom elérésében. E célból az ENISA-nak referenciapontként kell szolgálnia a kiberbiztonsággal kapcsolatos tanácsadás és szakértelem tekintetében, és munkájának elsősorban az uniós szintű kiberbiztonság négy kulcsfontosságú területére kell összpontosulnia. Először is, az ENISA-nak támogatnia kell a tagállamokat a kiberbiztonsággal kapcsolatos uniós szakpolitika és jogszabályok következetes végrehajtásában, és kapacitásépítési tevékenységek útján segítenie kell a tagállamokat a felkészültséggel, a rezilienciával és a reagálással kapcsolatos kapacitásaik folyamatos fejlesztésében. Másodszor, az ENISA-nak hozzá kell járulnia a tagállamok közötti uniós szintű operatív együttműködéshez, valamint tagállamoknak és az uniós szervezeteknek a kiberfenyegetésekkel és az incidensekkel kapcsolatos fokozott közös helyzetismeretéhez. A harmadik kulcsfontosságú terület a kiberbiztonsági tanúsítás és szabványosítás, a negyedik pedig a Kiberkészségek Akadémiájának megvalósítása, amely hozzájárul majd a tagállamok között hordozható készségekkel rendelkező, sikeres európai kiberbiztonsági munkaerő létrehozásához.

(10)Az uniós intézmények, szervek, hivatalok és ügynökségek egységesen magas szintű kiberbiztonságát biztosító intézkedések meghatározásáról szóló (EU, Euratom) 2023/2841 rendelet rendelkezik a CERT-EU megbízatásáról, amelynek feladata, hogy az uniós intézmények, szervek, hivatalok és ügynökségek kiberbiztonsági szolgálataként működve hozzájáruljon az uniós szervezetek nem minősített IKT-környezetének biztonságához azáltal, hogy kiberbiztonsági tanácsadást nyújt számukra, támogatja őket az incidensek megelőzésében, észlelésében, kezelésében, mérséklésében, az azokra való reagálásban és az azokat követő helyreállításban, valamint a kiberbiztonsági információcsere és az incidensekre való reagálás koordinációs központjaként működik. A CERT-EU feladata továbbá, hogy releváns kiberbiztonsági szolgáltatásokat kínáljon az uniós szervezeteknek. Küldetése részeként az ENISA-nak az uniós szervezeteket is támogatnia kell. Ezt különösen a CERT-EU-val a kapacitásépítés, az operatív együttműködés és a kiberfenyegetések hosszú távú stratégiai elemzése terén folytatott strukturált együttműködés révén kell megvalósítania. A CERT-EU erőfeszítései közötti szinergiák biztosítása érdekében az ENISA adott esetben koordinált módon felhasználhatja a CERT-EU-val folytatott strukturált együttműködést kiberbiztonsági szolgáltatásai vagy az olyan támogatás tekintetében, amely hozzáadott értéket képviselhet az uniós szervezetek számára.

(11)Az ENISA egyik alapvető feladata, hogy támogassa a tagállamokat a kiberbiztonsággal kapcsolatos uniós szakpolitika és jogszabályok következetes végrehajtásában, különös tekintettel az (EU) 2022/2555 irányelvre, az (EU) 2024/2847 rendeletre és az (EU) 2025/38 rendeletre. Az uniós kiberbiztonsági vívmányok következetes és eredményes végrehajtásának elősegítése érdekében az ENISA technikai útmutatást és jelentéseket ad ki, tanácsadással szolgál, és megosztja a bevált gyakorlatokat, valamint elősegíti a bevált gyakorlatok ezt szolgáló, illetékes hatóságok közötti cseréjét. Emellett az ENISA értékeli az Unió kiberbiztonságának helyzetét, és e célból az (EU) 2022/2555 irányelv 18. cikkével összhangban jelentést fogad el. Az ENISA-nak képesnek kell lennie arra is, hogy a megbízatása körébe tartozó ügyekben reagáljon a tagállamok és adott esetben az uniós szervezetek tanácsadásra és segítségnyújtásra vonatkozó megkereséseire.

(12)A köz- és a magánszektor közötti, valamint a magánszektoron belüli együttműködés ösztönzése, és különösen a kritikus infrastruktúrák védelmének támogatása érdekében az ENISA-nak támogatnia kell az ágazatokon belüli és azok közötti információmegosztást, különös tekintettel az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokra vonatkozó információkra, valamint azokra az információkra, amelyek a digitális elemeket tartalmazó, az (EU) 2024/2847 rendelet hatálya alá tartozó termékekre vonatkoznak. Ez a támogatás a rendelkezésre álló eszközökkel és eljárásokkal kapcsolatos bevált gyakorlatok és útmutatás, valamint az információmegosztással kapcsolatos szabályozási kérdések kezelésére vonatkozó iránymutatás formájában valósulhat meg, például ágazati információmegosztó és -elemző központok (ISAC-ok) létrehozásának elősegítésével.

(13)A stratégiai együttműködés és az információcsere támogatása és megkönnyítése érdekében az ENISA-nak hozzá kell járulnia az (EU) 2022/2555 irányelvvel létrehozott együttműködési csoport (a továbbiakban: Kiberbiztonsági Együttműködési Csoport) munkájához, különösen azáltal, hogy szakértelmet és tanácsadást biztosít, valamint megkönnyíti a kockázatokkal és az incidensekkel kapcsolatos bevált gyakorlatok cseréjét, többek között a határokon átnyúló függőségekkel kapcsolatban. Az ENISA-nak emellett hozzá kell járulnia az európai digitális személyazonossággal foglalkozó együttműködési csoport (melyet a 910/2014/EU európai parlamenti és tanácsi rendelet 46 hozott létre), az európai kiberbiztonsági tanúsítási csoport és az (EU) 2024/2847 rendelettel létrehozott közigazgatási együttműködési csoport (AdCo) munkájához.

(14)A nyílt internet nyilvános alkotóelemei – nevezetesen a főbb protokolljai és infrastruktúrája, amelyek globális közjavak – biztosítják az internet egészének alapvető funkcióit és támogatják annak normál működését. Megbízatásának keretein belül az ENISA-nak támogatnia kell a nyílt internet nyilvános alkotóelemeinek biztonságát és rezilienciáját, valamint működésének stabilitását, ideértve többek között a kulcsfontosságú protokollok (különösen a doménnévrendszer, a határkapu-protokoll és az internetprotokoll 6-os verziója) biztonságos telepítését és működtetését, valamint a doménnévrendszer működtetését (például az összes legfelső szintű domén működtetését) a bevált gyakorlatok, az útmutatás és az együttműködés előmozdításával, összhangban a kialakult globális, többszereplős internetirányítási rendszerekkel, valamint a releváns nemzetközi műszaki és operatív szervek szerepével és felelősségével.

(15)Az ENISA referenciapontként szolgál a kiberbiztonsággal kapcsolatos tanácsadás és szakértelem tekintetében. Ezért a Bizottság kérésére az ENISA-nak szakértelemmel, technikai tanácsadással, tájékoztatással, elemzésekkel – többek között megvalósíthatósági tanulmányokkal, véleményekkel és a kiberbiztonság területét érintő bármely konkrét kérdéssel kapcsolatos előkészítő munkával – kell segítenie a Bizottságot, információkkal szolgálva a Bizottság általi szakpolitikai döntéshozatalhoz, és megkönnyítve a kiberbiztonságra vonatkozó uniós jogszabályok végrehajtásának Bizottság általi nyomon követését.

(16)Hasonlóképpen – tekintettel a szakértelmére – az ENISA-nak segítenie kell a tagállamok arra irányuló erőfeszítéseit, hogy kiépítsék és fokozzák a kiberfenyegetések és az incidensek megelőzésével, észlelésével és az azokra való reagálással kapcsolatos, valamint a hálózati és információs rendszerek biztonságát érintő képességeket és felkészültséget. Az ENISA-nak különösen az (EU) 2022/2555 irányelvben szabályozott, a számítógép-biztonsági incidensekre reagáló csoportok (a továbbiakban: a CSIRT-ek) kialakítását és fejlesztését kell támogatnia annak érdekében, hogy azok Unió-szerte általánosan jó érettségi szintet érjenek el.

(17)Az ENISA támogatta és továbbra is támogatja a tagállamokat a kiberbiztonsági stratégiák valamennyi tagállam általi elfogadásához és végrehajtásához hozzájáruló, a nemzeti kiberbiztonsági stratégiáikra vonatkozó iránymutatások kidolgozásában és végrehajtásában. Az ENISA-nak elő kell mozdítania az ilyen stratégiáknak a nemzeti kiberbiztonsági stratégiák interaktív térképén keresztül történő terjesztését, és nyomon kell követnie végrehajtásuk előrehaladását, többek között azáltal, hogy ezzel összefüggésben támogatást nyújt a fő teljesítménymutatók kidolgozásához.

(18)Az (EU, Euratom) 2023/2841 rendelet megbízta az Intézményközi Kiberbiztonsági Testületet azzal, hogy támogassa az uniós szervezeteket kiberbiztonsági helyzetük javításában, a CERT-EU-t pedig azzal, hogy járuljon hozzá valamennyi uniós szervezet nem minősített IKT-környezetének biztonságához. Az ENISA-nak a kiberbiztonság terén szerzett tapasztalatai alapján támogatnia kell az Intézményközi Kiberbiztonsági Testületet és a CERT-EU-t az (EU, Euratom) 2023/2841 rendelet szerinti feladataik ellátásában, többek között azáltal, hogy hozzájárul a kiberfenyegetések elemzéséhez, a helyzetismerethez, a kiberbiztonsági gyakorlatokhoz, az incidensekre való reagálás koordinációjához, valamint a know-how és a bevált gyakorlatok cseréjéhez.

(19)Az ENISA szakértelmére építve, valamint a nemzeti és uniós hatóságok képességeinek bővítése érdekében az ENISA-nak az európai kiberbiztonsági készségkeret (ECSF) alapján képzést kell nyújtania, különösen a szakpolitikák eredményes végrehajtásának, az operatív együttműködésnek és a figyelemfelkeltésnek a támogatása érdekében.

(20)Az Európai Parlament és a Tanács (EU) 2021/887 rendelete 47 alapján létrehozott Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközponttal és nemzeti koordinációs központok hálózatával megvalósuló szinergiák biztosítása érdekében az ENISA-nak e szervezeteket a jelenlegi és jövőbeli kockázatokra és kiberfenyegetésekre vonatkozó információk megosztása révén kell támogatnia, többek között az információs és kommunikációs technológiákat érintő kockázatok és fenyegetések tekintetében.

(21)A felkészültségi stratégia kiemeli, hogy az alapvető digitális készségek elsajátításán alapuló digitális jártasság elengedhetetlen ahhoz, hogy a polgárok reziliensebbek legyenek az esetleges válságokkal szemben. Azonban – amint azonban azt a készségek uniójáról szóló bizottsági közlemény 48 is kiemeli – a felnőtt lakosság közel fele nem rendelkezik alapvető digitális készségekkel, annak ellenére, hogy a munkahelyek több mint 90 %-a ezt igényelné. Az ENISA-nak – annak biztosítása érdekében, hogy a jelenlegi és a potenciális jövőbeli munkaerő rendelkezzen a gyorsan változó digitális környezetben szükséges készségekkel, valamint hogy hozzájáruljon az európai kiberbiztonsági tehetség-utánpótlás fejlesztéséhez – támogatnia kell azokat a kiberbiztonsági tudatosságnövelő tevékenységeket, amelyek célja a tehetségek vonzása, valamint a kiberbiztonság területén szükséges oktatással és készségekkel kapcsolatos tájékoztatás elősegítése (ilyen tevékenység például az európai kiberbiztonsági kihívás). E tekintetben az ENISA-nak a kiberbiztonsági készségek fejlesztésének és a kapacitásépítés Unió-szerte történő előmozdításának eszközeként össze kell hangolnia a kiberbiztonsági versenyeket, a „Capture-the-Flag” típusú kiberbiztonsági versenyeket és a hasonló gyakorlatokat. A figyelemfelkeltő tevékenységek végzése során az ENISA-nak biztosítania kell, hogy azok megfeleljenek a nemzeti hatóságok és az uniós szervezetek igényeinek, valamint a vállalkozások (különösen a kkv-k), és az oktatási és képzési intézmények igényeinek; ennek érdekében gyakorlati kereteket kell fenntartania és képzéseket tartania (ilyen például az „Awareness Raising in a Box”). Az ENISA-nak további gyakorlati és megvalósítható útmutatást kell kidolgoznia az uniós kiberbiztonsági szakpolitika és jogszabályok végrehajtásának támogatása érdekében. Az ENISA-nak továbbá törekednie kell arra, hogy releváns információkat nyújtson az alkalmazandó tanúsítási rendszerekről, például iránymutatások és ajánlások kibocsátásával.

(22)A kiberbiztonsági ágazatban működő vállalkozások és a kiberbiztonsági megoldások felhasználóinak támogatása, valamint e rendelet III. címe eredményes végrehajtásának biztosítása érdekében az ENISA-nak „piaci megfigyelőközpontot” kell létrehoznia és fenntartania úgy, hogy rendszeresen elemzéseket végez és információkat terjeszt a kiberbiztonsági piac kínálati és keresleti oldali fő tendenciáiról. Továbbá az (EU) 2025/38 rendelet alapján létrehozott uniós kiberbiztonsági tartalék felhasználóinak támogatása érdekében az ENISA-nak az említett rendelet szerint fel kell térképeznie az e felhasználók által igényelt szolgáltatásokat, illetve az e szolgáltatások rendelkezésre állását.

(23)A kiberbiztonsági fenyegetések globális kérdést jelentenek. Szorosabb nemzetközi együttműködésre van szükség a kiberbiztonság javítása érdekében, többek között közös magatartási normák és közös megközelítések meghatározása céljából. E célból az ENISA-nak támogatnia kell az Unió harmadik országokkal – különösen az uniós tagjelölt országokkal – és nemzetközi szervezetekkel, például a NATO-val folytatott együttműködését azáltal, hogy adott esetben biztosítja a Bizottság és a releváns uniós szervezetek számára a szükséges szaktudást és elemzést. Az ENISA nemzetközi területen folytatott tevékenységeinek mindig összhangban kell lenniük az Unió prioritásaival.

(24)Az Unión belüli magas szintű kiberbiztonság elérésének elősegítése érdekében az ENISA-nak támogatnia kell a tagállamok közötti operatív együttműködést (a CERT-EU-val kooperálva), valamint az uniós szervezetek közötti és az érdekelt felek közötti operatív együttműködést. E célból meg kell erősíteni az ENISA szerepét. Az ENISA-nak a CSIRT-hálózat tagjává kell válnia, hogy hozzájáruljon a hálózati információcseréhez és elemzéshez. Az ENISA-nak továbbra is elő kell mozdítania és támogatnia kell a releváns CSIRT-ek közötti együttműködést a CSIRT-ek által kezelt vagy védett hálózatokat vagy infrastruktúrát érintő incidensek vagy zavarok, illetve az azokat érő támadások esetén. Az ENISA által a CSIRT-hálózatnak és az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatának (EU-CyCLONe) munkájához nyújtott aktív támogatásnak lehetővé kell tennie e hálózatok számára, hogy tovább erősítsék érettségi szintjüket. Az ENISA által az ilyen együttműködés támogatásában betöltött szerep magában foglalja a demokratikus intézmények, a választások és más folyamatok biztonságát és sértetlenségét, valamint az ezek alapját képező kritikus infrastruktúrát fenyegető veszélyek elleni küzdelmet, összhangban az „Európai demokráciapajzs: az erős és reziliens demokráciák támogatása” című közleménnyel 49 .

(25)A kapacitásépítés, az operatív együttműködés és a kiberfenyegetések hosszú távú stratégiai elemzésének támogatása érdekében az ENISA-nak strukturált együttműködés keretében ki kell használnia a CERT-EU rendelkezésre álló műszaki és operatív szakértelmét, például célzott megállapodások útján.

(26)A kiberbiztonság Unió-szerte történő megerősítése és a kiberfenyegetésekre való gyors és hatékony reagálás biztosítása érdekében az ENISA-nak kérésre támogatnia kell a tagállamokat, többek között azáltal, hogy tanácsot ad az incidensek megelőzésére, észlelésére, az azokra való reagálásra és az azokat követő helyreállításra való képességeik fejlesztésével kapcsolatban, hogy megkönnyíti az (EU) 2022/2555 irányelv értelmében vett jelentős incidensek műszaki kezelését, különösen a műszaki megoldások tagállamok közötti önkéntes megosztásának támogatása vagy a kiberfenyegetések és incidensek elemzésének biztosítása révén. Az ENISA-nak emellett segítenie kell az EU-CyCLONe-t az uniós és tagállami szakpolitikai szintű jelentések elkészítésében.

(27)A külföldi beavatkozásnak, az ellátási lánc manipulációjának és a stratégiai adatkiszivárogtatásnak való kitettség csökkentése érdekében az ENISA-nak a CSIRT-hálózaton és az EU-CyCLONe-on belül biztonságos kommunikációs eszközöket kell használnia. A kiberbiztonsági tervről szóló ajánlásra építve ezeket az eszközöket az Unióban letelepedett vagy ilyennek minősülő, és a tagállamoknak vagy a tagállamok állampolgárainak irányítása alatt álló jogalanyoknak kell biztosítaniuk.

(28)Az ENISA-nak kiberbiztonsági helyzetismereti tevékenységeket kell végeznie annak érdekében, hogy hozzájáruljon a nagyszabású kiberbiztonsági incidensekre és válsághelyzetekre való uniós szintű felkészültséghez és reagáláshoz.

(29) A kiberfenyegetésekkel kapcsolatos valós idejű, ellenőrzött és megbízható felderítési információkhoz való hozzáférés elengedhetetlen az Unión belüli közös helyzetismeret kialakításához. Az ENISA, a Bizottság, a CERT-EU és az Europol Kiberbűnözés Elleni Európai Központja már kidolgozott a kiberfenyegetésekkel kapcsolatos felderítési információkat tartalmazó és az egyedi igényeikhez igazított adattárakat. Az ENISA-nak és más releváns uniós szervezeteknek önkéntesen együtt kell működniük a valós idejű, ellenőrzött és megbízható felderítési információkat tartalmazó adattárak fejlesztése érdekében, és a méretgazdaságosság biztosítása, valamint a hatékony és eredményes pénzgazdálkodás megerősítése érdekében szinergiákra kell törekedniük. Ebbe a munkába be kell vonni ágazati uniós szervezeteket is, például az Európai Unió Űrprogramügynökségét. Csak származtatott elemzéseket, tendenciákat és taktikákat, technikákat és eljárásokat oszthatnak meg, a nyers forrásokat nem, és tiszteletben kell tartaniuk azt, hogy a szervezetek függetlenül kezelik a felderítési információk rájuk jellemző életciklusát, megbízatásukkal és a szükséges ismeretre vonatkozó szabályokkal összhangban.

(30)Ahhoz, hogy az ENISA hozzá tudjon járulni az időben történő és összehangolt reagáláshoz, lehetővé kell tenni a számára, hogy korai riasztásokat adjon ki egy potenciális vagy folyamatban lévő jelentős vagy nagyszabású incidensről vagy potenciális határokon átnyúló jellegű kiberfenyegetésről az érintett CSIRT-ek vagy CSIRT-ek, valamint adott esetben a CSIRT-hálózat és az EU-CyCLONe számára, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt szervezetek tekintetében. Az ilyen korai riasztásokban szereplő információk magukban foglalhatják a nyilvánosan ismert sérülékenységeket és azt, hogy azok érintenek-e olyan digitális elemeket tartalmazó termékeket, amelyek az (EU) 2024/2847 rendelet hatálya alá tartoznak, magukban foglalhatnak továbbá technikákat és eljárásokat, fertőzöttségi mutatókat, ellenséges taktikákat, az elkövetővel kapcsolatos információkat és a kockázatcsökkentő intézkedésekre vonatkozó ajánlásokat.

(31) A bizalom fenntartása és az információmegosztás veszélyeztetésének elkerülése érdekében fontos, hogy az ENISA látható jelöléseket alkalmazzon, amelyek jelzik, hogy az általa előállított vagy kapott dokumentum vagy információ milyen mértékben osztható meg további felekkel. Hasonlóképpen, az ENISA-nak a tevékenységei végzése céljából kapott dokumentumokat vagy információkat a szóban forgó információk további terjesztésére vonatkozó, látható jelölés útján történő esetleges korlátozásokra is figyelemmel kell felhasználnia.

(32)A kiberfenyegetettségi mutatókkal és a kockázatcsökkentő intézkedésekre vonatkozó ajánlásokkal kapcsolatos tudatosság növelésének elősegítése érdekében az ENISA-nak korai riasztási szolgáltatást kell rendelkezésre bocsátania az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokban működő szervezetek számára. Ezeknek az általános, önkéntes korai riasztásoknak különösen a kkv-k javát kell szolgálniuk, és azokat nyilvánosan hozzáférhető, géppel olvasható formátumban kell rendelkezésre bocsátani. Ez az önkéntes szolgáltatás mindenesetre elkülönül minden olyan köz-magán társulástól, amelyet az ENISA a jövőben esetlegesen létrehoz vagy már létrehozott, és nem kapcsolódik azokhoz.

(33)Az Unió közös kiberbiztonsági helyzetismeretének támogatása érdekében az ENISA-nak a tagállamokkal szoros együttműködésben rendszeres és részletes uniós kiberbiztonsági műszaki helyzetjelentést kell készítenie az incidensekről és a kiberfenyegetésekről a nyilvánosan hozzáférhető információk, a saját elemzései, valamint a tagállami CSIRT-ek vagy az (EU) 2022/2555 irányelvben előírt, a hálózati és információs rendszerek biztonságával foglalkozó nemzeti egyedüli kapcsolattartó pontok (a továbbiakban: egyedüli kapcsolattartó pontok) által – mind önkéntes alapon, mind az Europol és a CERT-EU által – megosztott jelentések alapján. Az említett jelentést a Tanács, az Európai Külügyi Szolgálat, az EU-CyCLONe, a CSIRT-hálózat, a Bizottság és az Europol rendelkezésére kell bocsátani.

(34)Az érdekelt feleknek a kiberfenyegetésekkel és az incidensekkel kapcsolatos helyzetismeretét javítandó, az ENISA-nak elemeznie kell a kiberfenyegetések és az incidensek tendenciáit. Ennek magában kell foglalnia a kiemelten kritikus ágazatok és az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt egyéb kritikus ágazatok – többek között az egészségügyi, az energia- és a közlekedési ágazat – rendszeres elemzését. Ennek az elemzésnek ki kell terjednie az ágazatok érettségi szintjére, és azonosítania kell többek között az adott ágazatra jellemző lehetséges kihívásokat. Adott esetben és az ellátási láncra gyakorolt hatások azonosítása érdekében az elemzésnek bizonyítania kell az (EU) 2024/2847 rendelet hatálya alá tartozó termékkategóriákat érintő kiberfenyegetéseket és tendenciákat. Az ENISA-nak fejlesztenie kell szaktudását az infrastruktúrák kiberbiztonsága és az ellátási lánctól való kritikus függőségeik területén, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatoknak és az (EU) 2024/2847 rendelet végrehajtásának támogatása érdekében. E célból az ENISA-nak adott esetben más releváns uniós szervezetekkel is együtt kell működnie.

(35)Emellett a kiberbiztonság területén jelentkező kihívások jobb megértése érdekében az ENISA-nak elemeznie kell a jelenlegi és a kialakulóban lévő technológiákat, és tematikus értékeléseket kell készítenie a technológiai innovációk által a kiberbiztonságra gyakorolt várható társadalmi, jogi, gazdasági és szabályozási hatásokról. Annak biztosítása érdekében, hogy a nyilvánosság könnyebben hozzáférjen a kiberbiztonsági kockázatokra és a lehetséges helyreállítási módokra vonatkozó információkhoz, az ENISA a honlapján felhasználóbarát és jól strukturált módon rendelkezésre bocsáthatja a releváns információkat.

(36)Az ENISA által a helyzetismeret előmozdításában, a fenyegetések elemzésében és a technikai tanács nyújtásában játszott szerep megerősítése hozzá fog járulni a digitális elemeket tartalmazó termékeket érintő kollektív kiberbiztonsági erőfeszítések fokozásához és az (EU) 2024/2847 rendelet végrehajtásának támogatásához. Az (EU) 2024/2847 rendelettel összhangban az ENISA közös tevékenységeket javasolhat a piacfelügyeleti hatóságoknak a digitális elemeket tartalmazó termékek megfelelőségének ellenőrzése és a digitális elemeket tartalmazó termékek azon kategóriáinak azonosítása érdekében, amelyek esetében összehangolt ellenőrzések szervezhetők. A kiberfenyegetések elemzéséből és a korai riasztásokból származó információknak meg kell erősíteniük a támogatást, amelyet az ENISA nyújt az említett hatóságoknak, és hozzá kell járulniuk az (EU) 2024/2847 rendelet eredményes végrehajtásához a kibertámadások ellátási láncra gyakorolt hatásainak az egész belső piacon történő megelőzése és az Unió általános felkészültségének javítása érdekében.

(37)A zsarolóvírus-támadások igen súlyos kiberbiztonsági fenyegetést jelentenek az Unió számára. Az Unió kiberbiztonságának fokozása és a zsarolóvírusok elleni küzdelem érdekében az ENISA-nak ki kell fejlesztenie a helyzetismerethez, valamint az incidensekre való reagálás és a helyreállítás támogatásához szükséges képességeket. Amikor az ENISA segítséget nyújt egyes alapvető és fontos szervezeteknek a zsarolóvírus-támadásokra való reagálásban és az azokat követő helyreállításban, szorosan együtt kell működnie az Europollal és adott esetben a CSIRT-ekkel vagy az illetékes hatóságokkal, ily módon kihasználva az Europolnak a zsarolóvírusokhoz kapcsolódó bűncselekmények elleni küzdelem terén szerzett tapasztalatait. Az ilyen segítségnyújtásnak ki kell egészítenie a CSIRT-ek incidensekre való reagálást támogató tevékenységeit. A zsarolóvírusokkal szembeni munkája során a szinergiák elérése érdekében az ENISA-nak ügyfélszolgálatot kell létrehoznia, és e célból egyesítheti a releváns képességeket és a zsarolóvírus-ellenes szolgáltatásokat, és könnyen hozzáférhető információkat, útmutatásokat és eszközöket bocsáthat rendelkezésre, amelyek segíthetik az alapvető és fontos szervezeteket a zsarolóvírus-incidensekre való reagálásban és az azokat követő helyreállításban.

(38)Az ENISA-nak technikai szakértelmet és támogatást kell nyújtania a Bizottság számára az uniós szintű kiberbiztonsági gyakorlatok éves gördülő programjának a kiberbiztonsági tervről szóló ajánlással összhangban történő elkészítéséhez a kiberválságokra való felkészülés, az ilyen gyakorlatokban részt vevő szervezetek kiberbiztonsági szintjének tesztelése, valamint a párhuzamos feladatvégzés minimalizálása érdekében. Az ENISA-nak például tanácsot kell adnia a gyakorlatok megfelelő típusaival (többek között az asztali számítógépekkel végzett, a hibrid módon zajló vagy teljes mértékben valós idejű gyakorlatokkal kapcsolatban), valamint a célkitűzések, a forgatókönyvek és a részvétel tekintetében.

(39)A sérülékenységekre vonatkozó helyes és időszerű információkhoz való hozzáférés és a megbízható sérülékenység-menedzsment elengedhetetlen a belső piac magas szintű kiberbiztonságának biztosításához. Ezért az ENISA-nak fenn kell tartania az (EU) 2022/2555 irányelv szerinti európai sérülékenység-adatbázist és közös uniós sérülékenységmenedzsment-szolgáltatási kapacitást kell létrehoznia, amely reziliens és fenntartható szolgáltatási szintet biztosít, és csökkenti a zavarok kockázatát. E célból az ENISA-nak fel kell tárnia az európai sérülékenység-adatbázishoz hasonló programokkal, nyilvántartásokkal vagy adatbázisokkal való strukturált együttműködés elmélyítésének lehetőségeit a feladatvégzés megkettőzésének elkerülése és adott esetben a nemzetközi szintű komplementaritásra való törekvés érdekében. Ezen túlmenően az ENISA-nak támogatnia kell a sérülékenységek több fél által koordinált, uniós szintű közzétételét, és olyan hozzáadott értéket képviselő szolgáltatásokat kell nyújtania, mint a sérülékenységgel kapcsolatos tanácsadók, a súlyossági pontszámok és a terméklisták, valamint kibővített katalógust kell biztosítania az ismert európai kihasznált sérülékenységekről, hogy segítse a szervezeteket a sérülékenység-menedzsmentben.

(40)Az ENISA-nak az európai kiberbiztonsági tanúsítási keretrendszer fejlesztésében betöltött szerepe megbízatásának egyik kulcsfontosságú eleme. Az ENISA-nak az európai kiberbiztonsági tanúsítási rendszerek teljes életciklusa során biztosítania kell műszaki szakértelmét. A jövőbeli rendszerre tekintettel az ENISA-nak azonosítania kell az ilyen rendszer alapjául szolgáló meglévő szabványokat vagy műszaki előírásokat, és adott esetben magának kell megszövegeznie műszaki leírásokat, amelyekre a rendszerben hivatkozni lehet. Az ENISA feladata, hogy javasolt tanúsítási rendszert dolgoz ki a Bizottság kérésére. A már meglévő rendszerek karbantartásáért az ENISA felel. Ennek során az ENISA-nak hozzá kell járulnia egy olyan tanúsítási ökoszisztéma kiépítéséhez és fejlesztéséhez, amelyben kikérik a tagállamok és a magánszektorbeli érdekelt felek visszajelzéseit, és megerősítik azok tanúsítási kapacitásait. Ennek magában kell foglalnia egy külön erre a célra szolgáló tanúsítási honlap működtetését is, ahol az elfogadott rendszerekkel kapcsolatos releváns információk – beleértve a tanúsítványokat és a megfelelőségi nyilatkozatokat is – szabadon és nyilvánosan hozzáférhetők.

(41)A vonatkozó uniós jogszabályok végrehajtásának támogatása érdekében az ENISA-nak a vonatkozó uniós jogszabályok végrehajtását támogató műszaki előírások kidolgozásával kell alakítania a kiberbiztonság állását, többek között azzal a céllal, hogy e műszaki előírásokra az európai kiberbiztonsági tanúsítási rendszerekben esetlegesen hivatkozni lehessen. Az ENISA-nak nyomon kell követnie továbbá a szabványok releváns szabványügyi testületek általi létrehozását, illetve fejlődését az európai és globális szintű szabványosítási tendenciák figyelése érdekében, és szükség esetén úgy kell alakítania ezeket a szabványokat, hogy részt vesz – többek között hozzájárulások megszövegezése révén – a szabványügyi szervezetek tevékenységeiben, és vezető szerepet tölt be azokban. Ennek során az ENISA-nak pártatlannak kell maradnia. Előfordulhatnak például olyan helyzetek, amikor az ENISA-nak vissza kell vonulnia a szabványügyi testületek releváns tevékenységeitől, abban az esetben, ha olyan európai szabványok értékelésére kérik fel, melyeket a Bizottság kért az uniós jogszabályok támogatása érdekében. Az ENISA nem vehet részt olyan szabványok kidolgozásában, melyek értékeléséért felelős.

(42)Az uniós szakpolitikák végrehajtásának és az esetleges szabványosítási tevékenységek előkészítésének támogatása érdekében az ENISA-nak hozzá kell járulnia a kriptográfiai algoritmusok fejlesztéséhez és értékeléséhez, különösen a posztkvantum-kriptográfia területén. Ezzel összefüggésben a Bizottság kérésére és az (EU, Euratom) 2024/2509 európai parlamenti és tanácsi rendeletben 50 meghatározott hozzájárulási megállapodás függvényében az ENISA eljárást hozhat létre, melynek során a kriptográfiai algoritmusokhoz algoritmusokat kér be a releváns érdekelt felektől, különösen a kriptográfiai, tudományos és kutatói közösségektől, valamint a gyártóktól, a CSIRT-ektől, a nemzeti kiberbiztonsági tanúsító hatóságoktól és az (EU) 2022/2555 irányelv szerinti illetékes hatóságoktól, majd értékeli azokat. Amennyiben az ENISA részt vállal ilyen folyamatok létrehozásában, elő kell mozdítania a releváns érdekelt felek közötti együttműködést, és végre kell hajtania bizonyos szervezeti vonatkozásokat. A folyamatnak hivatalosnak, nyíltnak, átláthatónak és inkluzívnak kell lennie, beleértve a releváns érdekelt felekkel a minimumkövetelmények tervezetéről, valamint az értékelési folyamatról és az értékelési kritériumokról folytatott konzultációt, különösen az értékelések biztonsága és teljesítménye tekintetében.

(43)Az európai kiberbiztonsági tanúsítási rendszerek és más vonatkozó uniós jogszabályok szerinti megfelelőségértékelési tevékenységek végrehajtásának támogatása érdekében az ENISA releváns műszaki tesztelési eszközöket biztosíthat, hogy támogassa a tagállamokat, a vállalkozásokat és a megfelelőségértékelő szervezeteket az értékelési tevékenységekben. Ezeknek az eszközöknek arra kell irányulniuk, hogy uniós szinten szinergiákat teremtsenek, valamint hogy a tagállamok igényeinek és a piaci igényeknek való megfelelés érdekében eredményesen működtessék a megfelelőségértékelési eljárásokat. Ilyen igények merülhetnek fel például a beépített biztonság területén, támogatandó a vállalkozásokat, köztük a kis- és középvállalkozásokat az (EU) 2024/2847 rendelettel összefüggésben tett végrehajtási erőfeszítéseik során. Ezzel összefüggésben az ENISA-nak díjakat kell felszámítania az említett tesztelési eszközökhöz szükséges szoftver- és hardverkapacitások létrehozásával, kialakításával, fejlesztésével, karbantartásával és frissítésével kapcsolatos releváns költségek fedezésére.

(44)Annak érdekében, hogy támogassa a tagállamokat a kiberbiztonsági szakemberek hiányának és a képzett, sokszínű – többek között a nemek közötti egyensúly tekintetében is sokszínű – és agilis munkaerő iránti növekvő igénynek a kezelésére irányuló erőfeszítéseikben, valamint hogy lehetővé tegye a munkavállalói mobilitást és felkészültséget az összes tagállamban, az ENISA-nak a Kiberkészségek Akadémiája kapcsán alkalmazott elvekre, illetve az ott kezdeményezett munkára kell építenie. Az ENISA-nak mindenekelőtt létre kell hoznia az európai kiberbiztonsági készségkeretet, amely a kiberbiztonsági szakmai szerepprofilok közös kereteként szolgál. Az ENISA-nak továbbra is támogatnia kell a tagállamokat a kiberbiztonsági szerepek terén a nemek között megmutatkozó egyenlőtlenség kezelésében. Ez a megközelítés összhangban van a készségek uniójáról szóló bizottsági közleményben felvázolt jövőképpel, illetve hozzájárul a közleményben megfogalmazott célkitűzések megvalósításához. A kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokhoz kapcsolódó minőségi címke kérdését tovább kell vizsgálni.

(45)Az európai kiberbiztonsági készségkeretnek önkéntes alapon alkalmazandó, gyakorlatias és rugalmas eszköznek kell lennie, amely közös értelmezést és terminológiát biztosít a főként a kiberbiztonsági munkakörökben szükséges releváns szerepek és kapcsolódó feladatok, készségek és ismeretek tekintetében annak érdekében, hogy támogassa a munkaerőtől megkövetelt kritikus készségek – többek között a transzverzális készségek – azonosítását, és lehetővé tegye a tanulási szolgáltatók (köztük a vállalatok, a felsőoktatási intézmények vagy a szakképzési szolgáltatók) számára, hogy programokat dolgozzanak ki és segítsék a szakpolitikai döntéshozókat a készséghiányok kezelésére irányuló kezdeményezések kidolgozásában. Mivel az európai kiberbiztonsági készségkeret a készségek elismerésének referenciakereteként használható, interoperábilisnak kell lennie a készségek és foglalkozások európai osztályozásával (ESCO) is annak érdekében, hogy támogassa a humánerőforrás-osztályokat a kiberbiztonsági igényeket támogató erőforrás-tervezésre, munkaerő-felvételre és karrierfejlesztésre vonatkozó követelmények megismerésében. Míg a DigComp 3.0 azoknak az ismereteknek, készségeknek és hozzáállásoknak a leírását tartalmazza, amelyek a mindennapi élethez, a társadalomban való részvételhez, a munkához és a tanuláshoz szükséges digitális kompetenciákhoz elengedhetetlenek, valamint felnőttek és gyermekek egyaránt használhatják, az európai kiberbiztonsági készségkeret egyszerű kereteként szolgál, amely azonosítja a kiberbiztonsági szerepeket és a kapcsolódó feladatokat, ismereteket és az azok ellátásához szükséges készségeket. E tekintetben a kiberbiztonságra szakosodott közönséget céloz meg, amelynek tagjai között tényleges vagy potenciális kiberbiztonsági szakemberektől kezdve az oktatási intézményeken át a munkáltatókig számos szereplő megtalálható. Az európai kiberbiztonsági készségkeretnek támogatnia kell a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány kidolgozását is azáltal, hogy a rendszerek kifejlesztésének kulcsfontosságú eszközéül szolgál, amely lehetővé teszi új piaci szereplők megjelenését, és egy közös kereten belül támogatja a piaci versenyt. Az európai kiberbiztonsági készségkeretet rendszeresen értékelni és frissíteni kell annak biztosítása érdekében, hogy megfelelően tükrözze a kiberbiztonsági munkaerőpiac igényeit, valamint a technológiai és szakpolitikai fejleményeket. Az ENISA-nak támogatnia kell az európai kiberbiztonsági készségkeret használatának a tagállamok és az uniós szervezetek általi elterjesztését, illetve az azokon belüli elterjedését, és szükség esetén megfelelő támogatást kell nyújtania.

(46)El kell érni, hogy a kiberbiztonsági készségek és képesítések az egész belső piacon összehasonlíthatók, átláthatók és megbízhatók legyenek. E célból a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványoknak 51 támogatniuk kell a munkáltatókat – köztük a kkv-kat és az induló innovatív vállalkozásokat – abban, hogy a készségek uniójáról szóló közleményben meghatározott célkitűzésekkel összhangban eredményesen toborozzanak tényleges vagy potenciális kiberbiztonsági szakembereket a tagállamokon belül, illetve több tagállamból. A tagállamok általi következetes végrehajtás biztosítása érdekében a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványoknak az e célkitűzések eléréséhez szükséges készségek uniós szintű közös értelmezésén kell alapulniuk, és azokat az ENISA által felhatalmazott szolgáltatóknak közös kritériumok alapján kell rendelkezésre bocsátaniuk. Ennek a megközelítésnek összhangban kell lennie a készségek hordozhatóságára vonatkozó jövőbeli kezdeményezés célkitűzéseivel, és hozzá kell járulnia azok megvalósulásához.

(47)Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozása során arra kell törekedni, hogy azok kiegészítsék a tagállamok intézkedéseit azáltal, hogy lehetőséget biztosítanak a hatóságok és a gazdasági szereplők számára valamely európai tanúsítási mechanizmus igénybevételére, összhangban az Uniónak az oktatás és szakképzés területén fennálló, az EUMSZ 6. cikkének e) pontjában, 165. cikkének (1) bekezdésében és 166. cikkének (1) bekezdésében említett támogató hatáskörével. A rendszerek a Kiberkészségek Akadémiájának munkájával együtt a felsőoktatási programok, például az ágazati európai diplomák és a mikrotanúsítványok fejlesztésének alapját is képezhetik. Ezért az európai egyedi kiberbiztonsági készségtanúsítási rendszereknek nem a tagállamok jogszabályainak és rendeleteinek harmonizálására kell törekedniük, hanem inkább olyan támogató tényezőnek és lehetőségnek kell tekinteni őket, amelyek bevezetését és előmozdítását a tagállamok és a gazdasági szereplők adott esetben kívánatosnak tartják.

(48)Az ENISA-nak biztosítania kell, hogy az európai egyedi kiberbiztonsági készségtanúsítási rendszerek továbbra is közel álljanak a piaci igényekhez, és egyaránt építsenek az egyedi tanúsítványokat nyújtó köz- és magánszolgáltatók – köztük a tagállamok, a felsőoktatási intézmények, a szakképzési intézmények és a vállalkozások – tapasztalataira. Az ENISA-nak konzultálnia kell a Bizottsággal az európai egyedi kiberbiztonsági készségtanúsítási rendszerek priorizálásáról, kellően figyelembe véve a szakpolitikák végrehajtását és a piaci igényeket.

(49)Az európai kiberbiztonsági készségkeret és a rendszerek közötti összhang biztosítása érdekében az európai kiberbiztonsági készségkeret szerinti szerepprofil felülvizsgálatának automatikusan el kell indítania a kapcsolódó európai egyedi kiberbiztonsági készségtanúsítási rendszer vagy rendszerek alkalmasságának értékelését, ami adott esetben annak vagy azoknak a felülvizsgálathoz vezethet.

(50)Figyelembe véve a kiberbiztonsági szerepprofilok és a kapcsolódó feladatok, készségek és ismeretek sokféleségét, előfordulhat, hogy az egyének értékelését és az értékelési módszereket minden egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerben ki kell igazítani. Minden rendszernek biztosítania kell, hogy az egyéntől elvárt készségek tanulási eredmények szempontjából történő felmérését – beleértve adott esetben a jártassági szint értékelését is – szisztematikusan értékeljék az európai kiberbiztonsági készségkeret valamely szerepprofilja vagy szerepprofil részhalmaza alapján. Az értékelési módszerek magukban foglalhatnak olyan elemeket, mint például az elméleti ismeretek tesztelése, a gyakorlati vizsga, az előfeltételek és a szakértői értékelés. Az egyének tapasztalatait megfelelően figyelembe kell venni.

(51)Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek következetes végrehajtásának biztosítása érdekében – különös tekintettel az egyének értékelésére – az ENISA-nak kötelező képzést kell biztosítania az egyének értékeléséért felelős személyzet számára. Az említett személyzet tagjainak tapasztalattal kell rendelkezniük a kiberbiztonság területén, amelyet azzal igazolhatnak, ha az általuk értékelt szerepprofilra vonatkozóan, továbbá legalább az általuk értékelt egyénekével egyenértékű jártassági szinten rendelkeznek kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvánnyal.

(52)A felhatalmazott tanúsítványszolgáltatók feladata annak tanúsítása, hogy egy egyén rendelkezik az európai kiberbiztonsági készségkereten belüli valamely szerep betöltéséhez szükséges ismeretekkel és kompetenciákkal, továbbá az, hogy Unió-szerte biztosítékot nyújtsanak a munkáltatóknak. Mivel az Unióban kritikus infrastruktúrát üzemeltető munkáltatók is figyelembe veszik majd a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványt megszerző személyek készségei és kompetenciái minőségének megbízhatóságát, a készségek és kompetenciák szintjét igazoló felhatalmazott szolgáltatóknak kiberbiztonsági szempontból megbízhatónak kell lenniük, és nem lehetnek kitéve olyan harmadik ország általi indokolatlan befolyásnak, amely kiberbiztonsági aggályokat vethet fel. Ezért az e rendelettel összhangban jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országban letelepedett szervezetek, vagy az ilyen harmadik ország által vagy ilyen harmadik ország állampolgára által e rendelet értelmében ellenőrzött szervezetek (magas kockázatú beszállítók) nem lehetnek jogosultak arra, hogy a II. cím 4. szakasza szerinti, a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok felhatalmazott tanúsítványszolgáltatóivá váljanak.

(53) Annak biztosítása érdekében, hogy a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvánnyal rendelkező személyek könnyen használhassák és megoszthassák azt, és hogy a tanúsítvány valamennyi tagállamban használható legyen, a felhatalmazott tanúsítványszolgáltatóknak gondoskodniuk kell arról, hogy a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat az egyén kérésére a 910/2014/EU rendelettel létrehozott európai digitális személyiadat-tárcába kerüljenek kibocsátásra. A felhatalmazott tanúsítványszolgáltatókat bizalmi szolgáltatóknak kell tekinteni, és a 910/2014/EU rendeletben meghatározott felügyeleti és felelősségi rendszer hatálya alá kell tartozniuk. Az (EU) 2025/1569 bizottsági végrehajtási rendelet 52 alapján használt attribútumtanúsítási rendszert be kell jegyezni az attribútumtanúsítási rendszereknek az említett végrehajtási rendelet által előírt katalógusába.

(54)A kiberbiztonsági munkaerő fejlesztéséhez és a készségek Unió-szerte megvalósuló hordozhatóságához való hozzájárulás érdekében az ENISA-nak egy külön erre a célra szolgáló honlapon nyilvánosan hozzáférhetővé kell tennie az európai egyedi kiberbiztonsági készségtanúsítási rendszereket és a felhatalmazott tanúsítványszolgáltatók jegyzékét.

(55)Az ENISA-t a decentralizált uniós ügynökségekre vonatkozó, az Európai Parlament, a Tanács és a Bizottság által 2012. július 19-én elfogadott közös megközelítés 53 elveit figyelembe véve kell irányítani és működtetni. Adott esetben az ENISA munkaprogramjaiban, az ENISA értékeléseiben, valamint az ENISA jelentéstételi és adminisztratív gyakorlatában érvényesíteni kell a közös megközelítésben adott ajánlásokat is.

(56)Annak érdekében, hogy az igazgatótanács hatékonyan láthassa el feladatait, különösen az ENISA tevékenységeinek általános irányítása és stratégiai prioritásainak meghatározása terén, alapvető fontosságú, hogy az igazgatótanács a tagállamok és a Bizottság magas szintű képviselőiből álljon. Ennek érdekében minden tagállam kinevezi az (EU) 2022/2555 irányelv 8. cikkének (1) bekezdése alapján kijelölt, a kiberbiztonságért felelős illetékes nemzeti hatóságának vezetőjét az igazgatótanács tagjává.

(57)Annak biztosítása érdekében, hogy az igazgatótanács póttagjai megfelelően elláthassák feladataikat, a tagállamoknak megfelelő szaktudással és tapasztalattal rendelkező póttagokat kell kinevezniük. A Bizottságnak és a tagállamoknak a póttagok tekintetében törekedniük kell a férfiak és nők kiegyensúlyozott képviseletének elérésére az igazgatótanácsban, és az igazgatótanács munkája folytonosságának biztosítása érdekében korlátozniuk kell a póttagok fluktuációját.

(58)Annak érdekében, hogy az ENISA eredményesen teljesíthesse küldetését, a tagállamok és a Bizottság képviselőiből álló igazgatótanácsnak meg kell határoznia az ENISA működésének általános irányát, beleértve stratégiai prioritásait is, és biztosítania kell, hogy az ENISA e rendelettel összhangban végezze feladatait. Az igazgatótanácsot fel kell ruházni a költségvetés megállapításához és végrehajtásának ellenőrzéséhez, a megfelelő pénzügyi szabályok elfogadásához, az ENISA átlátható döntéshozatali munkaeljárásainak kialakításához, az ENISA egységes programozási dokumentumának elfogadásához, saját eljárási szabályzatának elfogadásához, az ügyvezető igazgató kinevezéséhez, az ügyvezető igazgató hivatali idejének meghosszabbításáról és megszüntetéséről való döntéshez, valamint az ügyvezetőigazgató-helyettesi funkció létrehozásáról és – ilyen funkció létrehozása esetén – ügyvezetőigazgató-helyettes kinevezéséről, továbbá hivatali ideje meghosszabbításáról és megszüntetéséről való döntéshez szükséges hatáskörökkel. Ezért az ENISA-n belül végrehajtási feladatokat ellátó személyeket az igazgatótanácsnak kell kineveznie. Az igazgatótanács felel továbbá a fellebbezési tanács tagjainak kinevezéséért vagy felmentéséért, valamint az e tekintetben felmerülő összeférhetetlenség megelőzésére vagy kezelésére vonatkozó szabályok megállapításáért is.

(59)Annak biztosítása érdekében, hogy az ENISA meghatározza és naprakészen tartsa stratégiai prioritásait, az igazgatótanácsnak évente legalább egy olyan ülést kell tartania, melynek tárgyát az ENISA stratégiai prioritásai képezik. Annak biztosítása érdekében, hogy az igazgatótanács ülései eredményesek legyenek és megfelelő tájékoztatáson alapuljanak, az igazgatótanács az üléseire meghívhat bármely olyan személyt, akinek véleménye a megvitatott témák szempontjából releváns lehet vagy érdeklődésre tarthat számot, hogy e személy meglátásaival, szaktudásával vagy tanácsadással segítse a munkát. Az említett személy szavazati joggal nem rendelkező eseti megfigyelőként vesz részt az ülésen.

(60)E rendelet eltérő rendelkezése hiányában az igazgatótanács a szavazati joggal rendelkező tagjainak abszolút többségével fogadja el határozatait. Tekintettel a költségvetési és humánerőforrás-ügyek – különösen az éves költségvetéssel, az éves tevékenységi jelentéssel, a csalás elleni stratégiával, a személyzeti szabályzatot érvényre juttatásával, az ügyvezető igazgató, az ügyvezetőigazgató-helyettes és a számvitelért felelős tisztviselő kinevezésével, az Európai Csalás Elleni Hivatal (OLAF) és az Európai Ügyészség (EPPO) megállapításainak nyomon követésével, valamint az ENISA pénzügyi szabályainak elfogadásával kapcsolatos kérdések – fontosságára, az igazgatótanács csak akkor fogadhat el ilyen határozatokat, ha a Bizottság képviselője támogatólag szavaz. A végleges egységes programozási dokumentumnak a Bizottság véleményének figyelembevételét követő elfogadásáról szóló határozat meghozatala céljából a Bizottság képviselőjének támogató szavazata csak a határozat azon elemei tekintetében szükséges, amelyek nem kapcsolódnak az ENISA éves és többéves munkaprogramjához.

(61)A felügyelőtestületnek hozzá kell járulnia az igazgatótanács hatékony működéséhez. Az igazgatótanács határozataival kapcsolatos előkészítő munkája részeként a felügyelőtestületnek részletesen meg kell vizsgálnia a kapcsolódó információkat, fel kell derítenie a rendelkezésre álló lehetőségeket, valamint tanácsot és megoldásokat kell kínálnia az igazgatótanács vonatkozó határozatainak előkészítéséhez. Feladata továbbá, hogy segítse és tanácsokkal lássa el az ügyvezető igazgatót az igazgatótanács határozatainak végrehajtásában.

(62)Az ENISA zavartalan működése azt kívánja, hogy az ügyvezető igazgató kinevezése érdemei, igazolt igazgatási és vezetői készségei, valamint a kiberbiztonság területén szerzett szakmai hozzáértése és tapasztalatai alapján történjék. Az ügyvezető igazgató feladatait teljes mértékben független módon kell hogy végezze. Az ügyvezető igazgatót az igazgatótanács nevezi ki a jelöltek Bizottság által összeállított listájáról, a nemek közötti egyensúly elvét tiszteletben tartó, nyílt és átlátható eljárást követően.

(63) Az ügyvezető igazgatónak – a Bizottsággal folytatott előzetes konzultációt követően – javaslatot kell tennie az ENISA egységes programozási dokumentumára és meg kell tennie mindazokat a lépéseket, amelyek az ENISA egységes programozási dokumentuma megfelelő végrehajtásának biztosításához szükségesek. Az ügyvezető igazgatónak el kell készítenie az igazgatótanácshoz benyújtandó éves jelentést, amely kiterjed az ENISA éves munkaprogramjának végrehajtására is, össze kell állítania az ENISA tervezett bevételeire és kiadásaira vonatkozó kimutatástervezetét, és végre kell hajtania a költségvetést. Az ügyvezető igazgató részére továbbá lehetőséget kell biztosítani arra, hogy egyes konkrét – így különösen tudományos, műszaki, jogi vagy társadalmi-gazdasági – kérdésekben eseti munkacsoportokat hozzon létre. Az eseti munkacsoport létrehozása szükségesnek tekintendő különösen valamely konkrét javaslati európai kiberbiztonsági tanúsítási rendszer (a továbbiakban: javasolt tanúsítási rendszer) kidolgozásával kapcsolatban. Eseti munkacsoport létrehozására lehet szükség az egyes elfogadott európai kiberbiztonsági tanúsítási rendszerekkel kapcsolatos karbantartási tevékenységekhez is. Eseti munkacsoportokat kell létrehozni az európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozása és karbantartása, valamint az Ügynökségnek az európai kiberbiztonsági készségkeret irányításában, végrehajtásában és továbbfejlesztésében való támogatása érdekében is. Az ügyvezető igazgatónak biztosítania kell, hogy az eseti munkacsoportok tagjainak kiválasztása a lehető legmagasabb szintű szakértelem alapján, a nemek közötti egyensúly, illetve a konkrét kérdésekhez igazodva a tagállami közigazgatási szervek, az uniós intézmények és a magánszektor – beleértve az ipart, a felhasználókat, valamint a hálózat- és információbiztonság területén működő tudományos szakembereket, valamint a digitális elemeket tartalmazó termékek témájában jártas tudomány szakembereket – közötti megfelelő egyensúly kellő figyelembevételével történjék.

(64)Az igazgatótanács dönthet úgy, hogy ügyvezetőigazgató-helyettesi funkciót hoz létre az ügyvezető igazgató támogatására, amennyiben az igazgatótanács úgy ítéli meg, hogy ez a funkció szükséges az ENISA zökkenőmentes működésének biztosításához vagy fenntartásához. Annak eldöntése során, hogy létrehozza-e ezt a funkciót, az igazgatótanács figyelembe veheti az ügyvezető igazgató véleményét.

(65)Az ENISA-nak tanácsadó csoporttal kell rendelkeznie a magánszektorral, a fogyasztói szervezetekkel és más releváns érdekelt felekkel folytatott rendszeres párbeszéd biztosítása érdekében. Az ENISA tanácsadó csoportnak, amelyet az ügyvezető igazgató javaslata alapján az igazgatótanács hoz létre, az érdekeltek számára fontos kérdésekre kell összpontosítania, és fel kell hívnia ezekre az ENISA figyelmét. Az ENISA tanácsadó csoporttal különösen az ENISA éves munkaprogramjának tervezete kapcsán konzultálni kell. Az ENISA tanácsadó csoport összetételének és a csoportra bízott feladatoknak biztosítania kell, hogy az érdekelt felek az ENISA munkájában hatékonyan képviselve legyenek. A nemzeti és uniós bűnüldöző, adatvédelmi és piacfelügyeleti hatóságok képviselőinek lehetőséget kell biztosítani arra, hogy képviseltethessék magukat az ENISA tanácsadó csoportjában.

(66)A felhatalmazott tanúsítványszolgáltatóvá válást vagy engedélyük megújítását kérelmezők számára hozzáférést kell biztosítani a szükséges jogorvoslati lehetőségekhez, amennyiben az ENISA által hozott határozatok érintik őket. Ezért megfelelő fellebbezési mechanizmust kell kialakítani annak érdekében, hogy az ENISA kapcsolódó határozatait vitatni lehessen egy fellebbezési tanács előtt, mely utóbbi határozatai a Szerződésekben foglaltaknak megfelelően az Európai Unió Bírósága általi bírósági felülvizsgálat tárgyát képezhetik. Csak a fellebbezési tanács előtt kereshetőségi joggal rendelkező személyekre vonatkozik az a követelmény, miszerint az ENISA-n belül ki kell meríteni valamennyi fellebbezési lehetőséget, mielőtt keresetet nyújtanának be az Európai Unió Bíróságához.

(67)Az ENISA teljes autonómiájának és függetlenségének garantálása érdekében, valamint azért, hogy az ENISA képes legyen feladatainak ellátására, az ENISA számára elegendő és önálló költségvetést kell biztosítani, amelyet elsősorban az Unió hozzájárulásából finanszíroznak, de ugyanakkor az ENISA munkájában részt vevő harmadik országok hozzájárulásaiból, valamint a rendszerekben részt vevő, illetve európai kiberbiztonsági tanúsítványokat és uniós megfelelőségi nyilatkozatokat kibocsátó felhatalmazott tanúsítványszolgáltatók és megfelelőségértékelő szervezetek által fizetett díjakból is. Lehetőséget kell biztosítani arra, hogy az ENISA-t fogadó tagállam vagy bármely más tagállam az ENISA költségvetéséhez önkéntes alapon hozzájáruljon. Az Ügynökség által a tagállamoktól, harmadik országoktól, más jogalanyoktól vagy személyektől kapott pénzügyi vagy természetbeni hozzájárulások nem veszélyeztethetik az Ügynökség függetlenségét és pártatlanságát. Az uniós hozzájárulás és az Unió általános költségvetése terhére nyújtott minden más támogatás tekintetében az uniós költségvetési eljárást kell alkalmazni. Az átláthatóság és az elszámoltathatóság biztosítása érdekében a Számvevőszéknek ellenőriznie kell az ENISA elszámolásait. Annak érdekében, hogy az Ügynökség a jövőben részt vehessen minden fontos projektben, lehetővé kell tenni számára, hogy vissza nem térítendő támogatásokat kaphasson.

(68)Annak biztosítása érdekében, hogy az ENISA képes legyen kielégíteni az általa végzett tevékenységek iránti igényeket – ezen belül különösen a szolgáltatók számára a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok kiadását engedélyező határozatok iránti, valamint az európai kiberbiztonsági tanúsítási rendszerek és tesztelési eszközök karbantartása iránti igényeket –, az ENISA-t fel kell hatalmazni díjak kiszabására. A felhatalmazott tanúsítványszolgáltatóvá válás iránti kérelmek feldolgozásával kapcsolatos díjakat megfelelően kell meghatározni, úgy, hogy azok elegendő mértékben hozzájáruljanak az európai egyedi kiberbiztonsági készségtanúsítási rendszerek fejlesztésének és karbantartásának becsült költségeihez, valamint annak értékeléséhez, hogy teljesülnek-e, illetve továbbra is teljesülnek-e a felhatalmazott tanúsítványszolgáltatóvá válásra, illetve az e státusz megtartására vonatkozó követelmények és kötelezettségek. Az engedélyek felhatalmazott tanúsítványszolgáltatók részére történő kiállításának, illetve az ezen engedélyek megújításának költségeihez kapcsolódó díjaknak magukban kell foglalniuk az ENISA által vagy annak felügyelete alatt végzett értékelésekkel kapcsolatban felmerülő költségeket is. Az európai kiberbiztonsági tanúsítási rendszerekben való részvétellel és az ilyen rendszerek szerinti tanúsítványok kiállításával kapcsolatos díjakat megfelelően kell meghatározni, úgy, hogy azok kellő mértékben hozzájáruljanak az említett rendszerek karbantartásának becsült költségeihez. Az említett díjak megfizetésének lehetővé kell tennie a bejelentett megfelelőségértékelő szervezetek és adott esetben a valamely rendszer keretében kiadott tanúsítványok jogosultjai számára, hogy részt vegyenek az említett tevékenységekben, valamint a kapcsolódó kapacitásépítési és promóciós tevékenységekben a bevált gyakorlatok cseréjének előmozdítása, valamint a rendszerek és tanúsított megoldások elterjedésének elősegítése érdekében.

(69)Az arányosság, az átláthatóság és a jogbiztonság biztosítása érdekében a díjakat átlátható és méltányos módon kell megállapítani. A szóban forgó költségeknek tükrözniük kell az ENISA-nál a díjköteles tevékenységekben részt vevő személyzethez kapcsolódóan felmerülő valamennyi kiadást, különös tekintettel a munkáltatónak a nyugdíjrendszerhez való arányos hozzájárulására, valamint a fellebbezési tanáccsal kapcsolatos költségekre. A díjak nem róhatnak szükségtelen pénzügyi vagy adminisztratív terheket a kérelmezőkre. A díjak megfizetésére észszerű határidőket kell megállapítani.

(70)Mutatókat kell bevezetni az Ügynökség díjakból finanszírozott tevékenységekkel kapcsolatos munkaterhének, eredményességének és hatékonyságának mérésére. E mutatókra tekintettel az Ügynökségnek úgy kell kiigazítania személyzeti tervezését és a díjakhoz kapcsolódó erőforrásokkal való gazdálkodást, hogy megfelelően tudjon reagálni az említett igényekre és a díjakból származó bevételek ingadozására.

(71)Az összeférhetetlenség valós vagy vélt kockázatának feltárása és megfelelő kezelése érdekében az ENISA-nál érvényben kell lenniük az összeférhetetlenségek megelőzésére és kezelésére vonatkozó szabályoknak. Az ENISA-nak alkalmaznia kell a dokumentumokhoz való hozzáférésre vonatkozóan az 1049/2001/EK európai parlamenti és tanácsi rendeletben 54 meghatározott szabályokat is. Az ENISA a személyes adatokat az (EU) 2018/1725 európai parlamenti és tanácsi rendeletnek 55 megfelelően kezeli. Be kell tartania továbbá az uniós szervezetekre alkalmazandó rendelkezéseket, valamint az információk – különösen a nem minősített érzékeny adatok és az EU-minősített adatok – kezelésére vonatkozó nemzeti jogszabályokat is.

(72)Feladatainak ellátása során az ENISA hozzáférhet érzékeny információkhoz, például a kiberfenyegetésekre és kiberbiztonsági incidensekre vonatkozó információkhoz. Ezért alapvető fontosságú, hogy az ENISA megőrizze az általa kezelt információk bizalmas jellegét. Konkrétabban: az Európai Unió működéséről szóló szerződés (EUMSZ) 339. cikkével összhangban az ENISA tisztviselői és egyéb alkalmazottai szolgálati jogviszonyuk megszűnését követően sem fedhetik fel a szolgálati titoktartási kötelezettség alá eső információkat, így különösen a vállalkozásokra, az ezek üzleti kapcsolataira vagy költségösszetevőire vonatkozó információkat.

(73)Célkitűzéseinek maradéktalan elérése érdekében az ENISA-nak kapcsolatot kell kialakítania a releváns uniós felügyeleti hatóságokkal és más, az Unióban található illetékes hatóságokkal, a releváns uniós szervezetekkel, többek között a CERT-EU-val, az Europol Kiberbűnözés Elleni Európai Központjával, az Európai Védelmi Ügynökséggel (EDA), az Európai Unió Űrprogramügynökségével (EUSPA), Az Európai Elektronikus Hírközlési Szabályozók Testületével (BEREC), a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség nagy méretű IT-rendszereinek üzemeltetési igazgatását végző európai uniós ügynökséggel (eu-LISA), az Európai Központi Bankkal (EKB), az Európai Bankhatósággal (EBH), az Európai Adatvédelmi Testülettel, az Energiaszabályozók Együttműködési Ügynökségével (ACER), Az Európai Unió Repülésbiztonsági Ügynökségével (EASA) és a kiberbiztonságban érintett minden más uniós szervezettel. Az ENISA-nak a know-how és a bevált gyakorlatok cseréje érdekében kapcsolatot kell tartania az (EU) 2022/2555 irányelv szerinti illetékes hatóságokkal, a piacfelügyeleti és az adatvédelmi hatóságokkal, valamint tanácsot kell adnia a munkájukra potenciálisan hatással lévő kiberbiztonsági kérdésekben.

(74)Az Europol fontos szerepet játszik a kiberbűnözés megelőzésében és az ellene folytatott küzdelemben, ideértve a hálózat- és információbiztonságot érintő incidensekhez kapcsolódó kiberbűnözést is. Az egyes ügynökségek feladatai közötti szinergiák megteremtése érdekében az ENISA-nak együtt kell működnie az Europollal, különösen a zsarolóvírus-támadások technikáiban és hatásaiban, továbbá a zsarolóvírus-támadásokhoz kapcsolódó igényekben megmutatkozó tendenciákra vonatkozó információk megosztása révén. Ez az együttműködés magában foglalhatja az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt szervezeteket célzó leggyakoribb zsarolóvírus-törzsek azonosítását is, annak érdekében, hogy az alapvető és fontos szervezetek támogatást kapjanak az incidensekre való reagálásban, illetve az ilyen incidensek utáni helyreállításban.

(75)Az operatív együttműködés és a kiberfenyegetésekkel és a kiberbiztonsági incidensekkel kapcsolatos közös helyzetismeret támogatása érdekében alapvető fontosságú, hogy az ENISA együttműködjön az érdekelt felekkel, különösen a magánszektor vállalataival és szervezeteivel, amelyekkel köz-magán társulásokat hozhat létre.

(76)Az e rendeletben felvázolt célok eredményes elérése érdekében az ENISA együttműködhet különösen azokkal a tudományos intézményekkel, amelyek kutatási kezdeményezéseket folytatnak az érintett területeken, és megfelelő csatornákat alakíthat ki, melyeken keresztül a fogyasztói szervezetek és más szervezetek szolgálhatnak inputokkal.

(77)Tekintettel a kiberfenyegetéseknek és a kiberbiztonsági incidenseknek arra a sajátosságára, hogy az országhatárok nem korlátozzák őket, a harmadik országok kiberbiztonsági és felkészültségi szintje hatással lehet az uniós szervezetekre. Ezért az ENISA-nak képesnek kell lennie arra, hogy kapacitásépítési tevékenységeket – többek között képzést, kapacitásépítést és ikerintézményi együttműködési tevékenységeket – végezzen harmadik országokban, és különösen testre szabott kapacitásépítési tevékenységeket biztosítson az uniós tagjelölt országok vagy más partnerországok számára, az uniós prioritásokkal összhangban. Az ilyen tevékenységeket megfelelő támogatás nyújtására irányuló konkrét kérés nyomán, az Unió prioritásaira figyelemmel kell végezni, továbbá különleges szabályok szerint, többek között az (EU, Euratom) 2024/2509 rendeletben említett hozzájárulási megállapodások révén kell végrehajtani. Az európai kiberbiztonsági tanúsítási keretrendszer célja, hogy védelmet nyújtson kiberfenyegetésekkel szemben, például a kiberbiztonsági sérülékenységek rossz szándékkal történő kihasználásával vagy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások működését (tervezését és működését) vagy a szervezetek kiberbiztonsági helyzetét érintő kiberbiztonsági incidensekkel szemben. Az európai kiberbiztonsági tanúsítási keretrendszernek – azáltal, hogy az IKT-termékekkel, az IKT-szolgáltatásokkal, az IKT-folyamatokkal, az irányított biztonsági szolgáltatásokkal vagy a szervezetek kiberbiztonsági helyzetével kapcsolatos technikai kockázatokra összpontosít – fokoznia kell az IKT-ellátási láncok keretrendszerének biztonságát, amelynek célja, hogy uniós szinten harmonizált megközelítést biztosítson a kiemelten kritikus ágazatokban és más kritikus ágazatokban felmerülő nem technikai kockázatok kezelésére.

(78)A tagállamok számára lehetővé kell tenni, hogy a 2014/24/EU európai parlamenti és tanácsi irányelvvel 56 összhangban a közbeszerzéssel összefüggésben igénybe vehessék az európai kiberbiztonsági tanúsítást.

(79)Annak érdekében, hogy a szervezetek számára könnyebb legyen a megfelelés, az európai kiberbiztonsági tanúsítási keretrendszernek lehetőséget kell biztosítania a szervezetek számára kiberbiztonsági helyzetük tanúsítására. A szervezeteknek – különösen azoknak, amelyek több tagállamban többféle szolgáltatást nyújtanak – különböző kiberbiztonsági és adatbiztonsági kötelezettségeknek kell megfelelniük bizonyos horizontális eszközök (például az (EU) 2016/679 európai parlamenti és tanácsi rendelet 57  és az (EU) 2022/2555 európai parlamenti és tanácsi irányelv 58 ), valamint az ágazatspecifikus eszközök alapján. Az átfogó kiberbiztonsági szabályozási keret végrehajtásának észszerűsítése, illetve az annak való megfelelés megkönnyítése érdekében lehetővé kell tenni, hogy az uniós jogszabályok rendelkezzenek annak lehetőségéről, hogy a szervezetek európai kiberbiztonsági tanúsítvánnyal igazolják a kiberbiztonsági kockázatkezelési követelményeknek való megfelelésüket. Egy releváns rendszer hozzájárulhatna a különböző szabályozási eszközökből eredő megfelelési követelmények észszerűsítéséhez, az azokban foglalt konkrét tanúsítási követelményeinek sérelme nélkül. Az említett egyszerűsítési intézkedések csökkenthetik az adminisztratív terheket, és erőforrásokat szabadíthatnak fel, melyek az Unió kritikus ágazataiban működő szervezetek operatív kiberbiztonsági felkészültségének megerősítésére fordíthatók.

(80)Az európai kiberbiztonsági tanúsítási keretrendszeren belül kidolgozott kiberbiztonsági kockázatkezelési követelmények európai tanúsításának lehetővé kell tennie a szervezetek számára, hogy a vonatkozó uniós jogszabályoknak való megfelelést igazolhassák, amennyiben a rendszer hatálya kiterjed a szóban forgó jogi aktusban előírt vonatkozó jogszabályi követelményekre, és amennyiben így rendelkezik. Ennek alapján uniós jogi aktus is rendelkezhet az említett követelményeknek való megfelelés vélelméről. Az említett rendszerek hozzájárulhatnak az uniós jogszabályokban előírt kiberbiztonsági követelmények koherens végrehajtásának javításához a tagállamok közötti egyenlő versenyfeltételek biztosítása és a megfelelési terhek enyhítése érdekében.

(81)Az európai kiberbiztonsági tanúsítási keretrendszernek lehetővé kell tennie az IKT-folyamatok tanúsítását, mely folyamatokat a valamely IKT-termék vagy IKT-szolgáltatás tervezése, fejlesztése, rendelkezésre bocsátása illetve nyújtása vagy karbantartása céljából végzett tevékenységek összességeként határoznak meg. Az (EU) 2024/482 bizottsági végrehajtási rendeletben 59 meghatározott védelmi profil az IKT-folyamat egyik példája. Az IKT-folyamatra egy másik példa a gyártó által az IKT-termék biztonságos tervezése és fejlesztése érdekében végzett tevékenységek összessége, beleértve azokat a fizikai, logikai, eljárási, személyzeti és egyéb biztonsági intézkedéseket, amelyek az IKT-termék kialakítása és megvalósítása bizalmas jellegének és sértetlenségének az adott termék fejlesztési környezetben való védelméhez szükségesek. Az említett tevékenységek tanúsítására gyakran „telephelyi tanúsításként” hivatkoznak az (EU) 2024/482 bizottsági végrehajtási rendelet szerinti tanúsítási eljárás kontextusában.

(82)Az irányított biztonsági szolgáltatások e rendeletben szereplő fogalommeghatározásának összhangban kell lennie az irányított biztonsági szolgáltatók (EU) 2022/2555 irányelvben szereplő fogalommeghatározásával. Ezek a szolgáltatások magukba foglalják az ügyfeleik kiberbiztonsági kockázatkezelésével kapcsolatos tevékenységek végzését vagy az ahhoz nyújtott segítséget, és egyre nagyobb jelentőségre tesznek szert az incidensek megelőzésében és enyhítésében. Ennek megfelelően az említett szolgáltatásokat nyújtó szolgáltatók az (EU) 2022/2555 irányelv értelmében kiemelten kritikus ágazathoz tartozó alapvető vagy fontos szervezeteknek minősülnek. Az irányított biztonsági szolgáltatók olyan területeken, mint az incidensekre való reagálás, behatolási tesztek, biztonsági auditok és tanácsadás, különösen fontos szerepet töltenek be abban, hogy segítsék a szervezeteket az incidensek megelőzésében, észlelésében, az azokra való reagálásban, vagy az incidenst követően a működés helyreállításában. Azonban maguk az irányított biztonsági szolgáltatók is kibertámadások célpontjai, és az ügyfeleik működésébe való szoros integrációjuk miatt különös kockázatot jelentenek. Ezért szükséges, hogy az (EU) 2022/2555 irányelv értelmében vett alapvető és fontos szervezetek fokozott gondossággal járjanak el az irányított biztonsági szolgáltatók kiválasztása során.

(83)Az európai kiberbiztonsági tanúsítási rendszerek az érdekelt felek széles köre – például az IKT-megoldások szolgáltatói, a megfelelőségértékelő szervezetek és a felhasználók – számára relevánsak. Az érdekelt felek széles körű bevonásának előmozdítása érdekében évente legalább egyszer meg kell szervezni az európai kiberbiztonsági tanúsítási közgyűlést (a továbbiakban: Közgyűlés) a Bizottság, az ENISA, a tagállamok és a releváns érdekelt felek közötti együttműködés előmozdítása céljából. A Közgyűlés kulcsszerepet fog játszani az új kiberbiztonsági kihívások és a tanúsítás stratégiai prioritásainak azonosításában és kezelésében, valamint annak biztosításában, hogy a tanúsítási rendszerek megkönnyítsék a digitális technológiák biztonságos integrációját, és megfeleljenek a felhasználók igényeinek. A Közgyűlésnek elő kell mozdítania az Unió vezető szerepét a tanúsítási tevékenységek terén, és biztosítania kell, hogy a tanúsítási keretrendszer továbbra is képes legyen bizalmat kelteni a vállalkozásokban, a hatóságokban és a nyilvánosságban.

(84)A Bizottságnak egy külön erre a célra szolgáló honlapot kell fenntartania, ahol az átláthatóságot azzal biztosítja, hogy naprakész információkat tesz közzé az európai kiberbiztonsági tanúsítási keretrendszer végrehajtásának előrehaladásáról. A honlapnak tartalmaznia kell az előkészítés alatt álló tanúsítási rendszerekkel kapcsolatos információkat, a jövőbeli tanúsítási rendszerek stratégiai prioritásait, az ENISA-hoz a javasolt tanúsítási rendszerek kidolgozására vonatkozón intézett felkéréseket, valamint a tanúsítási rendszerek elfogadására vonatkozó információkat. A Bizottság honlapja kiegészíti az ENISA európai kiberbiztonsági tanúsítási rendszerekről szóló honlapját, amelynek átfogó részleteket kell tartalmaznia a javasolt tanúsítási rendszerek technikai előkészítéséről és a rendszerek karbantartásáról, a kiadott európai kiberbiztonsági tanúsítványokra és az uniós megfelelőségi nyilatkozatokra összpontosítva.

(85)Az uniós intézmények közötti párbeszéd megerősítése és a hivatalos, nyílt, átlátható és inkluzív konzultációs folyamathoz való hozzájárulás érdekében a Bizottságnak e rendelet értékelése során figyelembe kell vennie az Európai Parlament, a Tanács és az európai kiberbiztonsági tanúsítási közgyűlés által kifejtett álláspontok elemeit.

(86)Az ENISA által készített megvalósíthatósági tanulmányoknak elő kell segíteniük a kiberbiztonsági tanúsítási rendszerek tervezésének és fejlesztésének előkészítését. A tanulmányoknak figyelembe kell venniük a releváns érdekelt felek szempontjait, és össze kell hangolniuk a jövőbeli tanúsítási rendszereket a folyamatban lévő kutatási, fejlesztési és technológiai értékelési tevékenységekkel, elismerve különösen az uniós és tagállami kutatási kezdeményezések hozzájárulását. Ezek a tanulmányok segíthetnek a rendelkezésre álló szabványok és műszaki előírások azonosításában. Ezeket a Bizottság kérésére vagy az Unió stratégiai prioritásaival összhangban kell elvégezni annak biztosítása érdekében, hogy a változó technológiai környezetet és a kiberbiztonsági igényeket megfelelően kezeljék, továbbá hogy azok érvényre jussanak a rendszerek kérelmezésekor és kidolgozásakor.

(87)A javasolt tanúsítási rendszer kialakításának, valamint az e rendszer által lefedett biztonsági célkitűzések és elemek körének igazodnia kell a tanúsítás tárgyához és hatályához. Tehát felhőszolgáltatások valamely tanúsítási rendszere például érinthet az IKT-szolgáltatások és a szervezeti biztonság szempontjából releváns biztonsági célkitűzéseket. További példa erre, hogy az ismert kihasználható sérülékenységek figyelmen kívül hagyásával kapcsolatos biztonsági célkitűzés valószínűleg nem lesz releváns az IKT-folyamatok tanúsítása szempontjából.

(88)Annak biztosítása érdekében, hogy az európai kiberbiztonsági tanúsítási rendszereket valamennyi tagállamban harmonizált módon hajtsák végre, szabályokat kell megállapítani a rendszerek karbantartására vonatkozóan. Karbantartási tevékenységekre van szükség továbbá annak biztosítása érdekében, hogy a rendszerek és az azokat alátámasztó dokumentációk mindig naprakészek legyenek, különösen a kiberbiztonság területén, amelyre a fenyegetettségi helyzet és a technológiák folyamatos változása jellemző. A tanúsítási rendszereket ezért úgy kell kialakítani és fenntartani, hogy elkerülhető legyen a gyors elavulásuk kockázata. A karbantartási tevékenységeknek jellemzően magukban kell foglalniuk az alátámasztó dokumentáció – többek között a műszaki előírások és az iránymutatások – kidolgozását és frissítését, valamint a rendszer szempontjából releváns szabványok vagy műszaki előírások azonosítását. A karbantartási tevékenységek közé tartozik a rendszer működésének, esetleges hiányosságainak és szükséges fejlesztésének elemzése is. A karbantartási tevékenységeknek emellett magukban kell foglalniuk a rendszerek végrehajtásával kapcsolatos információk tagállamok közötti megosztását, valamint a kölcsönös felülvizsgálati és a szakértői értékelési mechanizmusokhoz való hozzájárulást.

(89)A karbantartási tevékenységek technikai jellege miatt az ENISA-nak e tevékenységeket a Bizottsággal együttműködve, valamint az európai kiberbiztonsági tanúsítási csoport által, illetve annak karbantartási alcsoportja által nyújtott támogatása mellett kell irányítania. Az európai kiberbiztonsági tanúsítási csoport karbantartási alcsoportjának létrehozása lehetővé teszi a tagállamok technikai hozzájárulásainak és meglátásainak egybegyűjtését, amely a megközelítések harmonizálását szolgálja.

(90)A karbantartási tevékenységeknek magukban kell foglalniuk az érdekelt felek releváns csoportjaival – többek között a technikai hozzájárulások megosztása és fogadása útján – folytatott interakciót, biztosítandó, hogy a rendszerek piaci szempontból továbbra is relevánsak és naprakészek maradjanak. Ilyen érdekelt csoportok lehetnek szabványügyi szervezetek, megfelelőségértékelő szervezetek, eladók, felhasználók, hatóságok vagy szakmai szövetségek. Az egyes rendszerek sajátosságai – beleértve a kapcsolódó technikai fórumokat és iparágakat is – miatt lehetővé kell tenni, hogy a technikai hozzájárulásokat rendszerenként más-más módon gyűjtsék össze. Egyes rendszerek esetében az ENISA számára lehetővé kell tenni, hogy olyan eseti munkacsoportra támaszkodjon, amely a tagállamok közigazgatási szerveinek, az uniós szervezeteknek és a magánszektornak a szakértőiből áll. Technikai hozzájárulások érkezhetnek továbbá ágazati információmegosztó és -elemző központoktól vagy szabványügyi szervezetektől is. Az ENISA-nak elemeznie kell, hogy az egyes rendszerek esetében melyik formátum, és minden egyes javasolt tanúsítási rendszerbe be kell beépítenie egy karbantartási stratégiát.

(91)Az európai kiberbiztonsági tanúsítási rendszereknek szabványokra vagy műszaki előírásokra kell támaszkodniuk, különösen a biztonsági követelmények és az értékelési módszerek meghatározása tekintetében. Az ENISA számára lehetővé kell tenni, hogy műszaki előírásokat szövegezzen meg a rendszerek előkészítésének és karbantartásának támogatására, különösen abban az esetben, ha a szabványügyi szervezetektől származó szabvány jellegű dokumentumok hiányoznak, vagy nem alkalmasak a rendszer célkitűzéseinek elérésére. A megszövegezés során az ENISA-t az európai kiberbiztonsági tanúsítási csoportnak és adott esetben az érintett rendszer tekintetében létrehozott eseti munkacsoportnak kell támogatnia. Az ENISA-nak ki kell kérnie az érdekelt felek csoportjainak véleményét is. Emellett az ENISA-nak mérlegelnie kell a piaci elfogadottságot, valamint az európai és nemzetközi szabványokat. Figyelembe véve a műszaki előírások minőségét és a rendszer célkitűzéseit, a Bizottság számára lehetővé kell tenni, hogy az ENISA által megszövegezett műszaki előírásokra hivatkozzon valamely európai kiberbiztonsági tanúsítási rendszerben.

(92)Az ENISA által kidolgozott és a valamely rendszerben hivatkozott műszaki előírásokat elérhetővé kell tenni az ENISA európai kiberbiztonsági tanúsítási rendszerekről szóló honlapján, hogy minden érdekelt fél hozzáférhessen azokhoz. Egyes konkrét esetekben azonban a honlapon való közzététel kockázatot jelenthet a tanúsított IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások kiberbiztonságára vagy a szervezetek kiberbiztonsági helyzetére, és ezáltal a közbiztonságra nézve. A műszaki előírások például pontos információkat tartalmazhatnak az új támadási útvonalakról, amelyek nyilvános elérhetősége lehetővé tenné rossz szándékú szereplők számára azok kihasználását. Az ilyen típusú információkat korlátozott módon, a szükséges ismeret elve alapján kell terjeszteni a releváns érdekelt felek, például a nemzeti kiberbiztonsági tanúsító hatóságok, megfelelőségértékelő szervezetek és értékesítők körében. Az ilyen műszaki előírásokra – korlátozott terjesztésükre tekintettel – tilos hivatkozni az európai kiberbiztonsági tanúsítási rendszerekben, tehát az ilyen műszaki előírások nem lehetnek kötelező erejűek.

(93)A kiberbiztonsági helyzetre vonatkozó tanúsítási rendszereket moduláris módon kell kialakítani annak érdekében, hogy lehetővé váljon a más uniós jogszabályokban meghatározott vonatkozó kiberbiztonsági követelményeknek való megfelelés igazolása és vélelmezése, amennyiben az említett jogszabály úgy rendelkezik, hogy erre lehetőség van. Az említett jogi aktusokban előírt követelményeinek való megfelelés vélelme tehát csak abban az esetben tekintendő a megfelelés bizonyítása lehetséges módjának, ha a vonatkozó jogi aktusok lehetővé teszik a megfelelés ilyen vélelmét. Az ilyen rendszer részletei – nevezetesen a célja, a célkitűzései vagy az elemei – tehát valószínűleg eltérnek a többi rendszer részleteitől. Konkrétabban: a szervezetek kiberbiztonsági helyzetére vonatkozó tanúsítási rendszereket úgy kell kidolgozni, hogy lehetővé tegyék annak értékelését, hogy egy adott szervezet folyamatosan megfelel-e az uniós jogszabályoknak. Ezért nem szükséges, hogy a kiberbiztonsági helyzetre vonatkozó tanúsítási rendszerek kiterjedjenek az európai kiberbiztonsági tanúsítási rendszerek valamennyi elemére (például a megbízhatósági szintekre), és ennek tükröződnie kell a rendszerekre vonatkozó szabályokban.

(94)Az európai kiberbiztonsági tanúsítási keretrendszeren belüli kiberbiztonságihelyzet-tanúsítási keret lehetővé teszi egy olyan rendszer kidolgozását, amelyen belül a több tagállamban szolgáltatásokat nyújtó szervezetek igazolhatják, hogy megfelelnek az (EU) 2022/2555 európai parlamenti és tanácsi irányelvben előírt kiberbiztonsági kockázatkezelési kötelezettségeknek. Ennek alapján a szervezetek – amelyek így már igazolhatják a megfelelést – élvezhetik a belső piac egészére kiterjedő koherensebb és kevésbé megterhelő felügyeleti megközelítések előnyeit. Egy ilyen tanúsítási rendszer kidolgozását az (EU) 2022/2555 irányelv szerinti végrehajtási jogi aktusok elfogadásával kell megkönnyíteni. A kiberbiztonsági helyzetre vonatkozó tanúsítási rendszer kiegészítő profilokkal igazolhatja a követelményeknek való megfelelést abban az esetben, ha egy tagállam az (EU) 2022/2555 irányelvvel összhangban magasabb szintű kiberbiztonságot biztosító rendelkezéseket fogadott el vagy tart érvényben. Ennek alapján egy olyan szervezet, amely több tagállamban nyújt szolgáltatásokat, egyetlen európai kiberbiztonsági tanúsítvánnyal igazolhatja, hogy valamennyi releváns kiegészítő profilnak megfelel.

(95)Az európai kiberbiztonsági tanúsítási rendszerekben a termékbiztonsággal kapcsolatban meghatározott biztonsági célkitűzéseknek és biztonsági követelményeknek összhangban kell lenniük az (EU) 2024/2847 rendelet I. mellékletében meghatározott alapvető kiberbiztonsági követelményekkel. Erre a koherenciára annak biztosítása érdekében van szükség, hogy azok a gyártók, amelyek termékei az (EU) 2024/2847 rendelet hatálya alá tartoznak, ne szembesüljenek ellentmondásos követelményekkel termékeiknek valamely európai kiberbiztonsági tanúsítási rendszer keretében történő tanúsítása során. Emellett a követelmények következetessége megkönnyíti a megfelelésnek az (EU) 2024/2847 rendelet 27. cikke szerinti vélelmét, mely cikk értelmében a valamely európai kiberbiztonsági tanúsítási rendszer keretében tanúsított, digitális elemeket tartalmazó termékek gyártói esetében bizonyos feltételek mellett vélelmezhető az említett rendelet I. mellékletében meghatározott alapvető kiberbiztonsági követelményeknek való megfelelés.

(96)Az európai kiberbiztonsági tanúsítási rendszeren belül lehetővé kell tenni kiegészítő profil meghatározását a felhasználási esetekre vonatkozó további vagy egyedi követelmények meghatározásával, beleértve további képességeket, például továbbfejlesztett termékjellemzőket, speciális szolgáltatási ajánlatokat vagy eszközöket, optimalizált folyamatokat és fejlett biztonsági intézkedéseket. Tekintettel arra, hogy a kiegészítő profilok nem egy adott megbízhatósági szintnek felelnek meg, részletesen le kell írniuk céljukat, beleértve a kezelt biztonsági fenyegetéseket is. A kiegészítő profilok célja különösen az egyedi szabványoknak és szabályozási követelményeknek való megfelelés igazolása, beleértve adott esetben a tagállamok által az (EU) 2022/2555 irányelvvel összhangban, a minimumharmonizáció elvét követve meghatározott további kiberbiztonsági kockázatkezelési intézkedésekre vonatkozó követelményeket is.

(97)Az európai kiberbiztonsági tanúsítási keretrendszeren belül az összes nemzeti kiberbiztonsági tanúsító hatóság körében létrehozandó általános kölcsönös felülvizsgálati rendszer sérelme nélkül lehetővé kell tenni, hogy az európai kiberbiztonsági tanúsítási rendszerekbe beépítsenek egy szakértői értékelési mechanizmust azon szervek számára, amelyek az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítványokat adnak ki, különösen azon szervek számára, amelyek az ilyen rendszerek keretében „magas” megbízhatósági szintű tanúsítványokat adnak ki. E szerveknek magukban kell foglalniuk a „magas” megbízhatósági szintű tanúsítványokat kiállító nemzeti kiberbiztonsági tanúsító hatóságok tanúsító szerveit is. Az európai kiberbiztonsági tanúsítási csoportnak támogatnia kell az ilyen szakértői értékelési mechanizmusok végrehajtását. Az ilyen szakértői értékelés során különösen azt kell értékelni, hogy az érintett szervezetek harmonizált módon végzik-e feladataikat, és ez az értékelés kiterjedhet a jogorvoslati mechanizmusokra is.

(98)Az olyan válságok, mint a háborúk, a természeti katasztrófák és a világjárványok negatív hatással lehetnek a tanúsítási tevékenységekre. Ilyen jellegű válságforgatókönyvek esetén előfordulhat, hogy nem valósítható meg a helyszín biztonságának garantálása, például az infrastruktúra megsemmisülése, kibertámadások, a személyzet elérhetetlensége és a helyszín megközelíthetetlensége miatt. Az európai kiberbiztonsági tanúsítási rendszernek ezért ideiglenes szabályokat kell meghatároznia ilyen forgatókönyvek esetére a tanúsítási tevékenységek folytonosságára vonatkozóan.

(99)A javasolt technikai tanúsítási rendszerek végrehajtási jogi aktusokba való átültetéséhez összetett technikai és jogi ismeretekre van szükség, és a folyamat jelentős adminisztratív teherrel járhat. Ezen túlmenően az európai kiberbiztonsági tanúsítási rendszerek bizonyos elemei – például a sérülékenységek kezelése vagy a kapcsolódó jelölések vagy címkék használatának feltételei – ágazatközi jellegűek, és harmonizált referenciarendelkezések vonatkozhatnak rájuk. Az elfogadott európai kiberbiztonsági tanúsítási rendszerek minőségének biztosítása és a vállalkozások megfelelési terheinek csökkentése érdekében a Bizottságot fel kell hatalmazni arra, hogy az európai kiberbiztonsági tanúsítási rendszerek bizonyos elemeire vonatkozó mintarendelkezéseket fogadjon el.

(100)Az európai tanúsítási keretrendszer következetességének biztosítása érdekében az európai kiberbiztonsági tanúsítási rendszeren belül lehetőséget kell adni az adott rendszer keretében kiadott európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok megbízhatósági szintjeinek meghatározására. Az európai kiberbiztonsági tanúsítványnak az „alap”, „jelentős” és „magas” megbízhatósági szintek valamelyikére kell hivatkoznia, ezzel szemben az uniós megfelelőségi nyilatkozat csak az „alap” megbízhatósági szintre vonatkozhat. A megbízhatósági szinteknek biztosítaniuk kell, hogy az IKT-terméknek, az IKT-szolgáltatásnak, az IKT-folyamatnak, az irányított biztonsági szolgáltatásnak vagy a valamely szervezet kiberbiztonsági helyzetének értékelésére megfelelő szigorúsággal és mélységben kerül sor, és a megbízhatósági szinteket a kapcsolódó műszaki előírásokra, szabványokra és eljárásokra – többek között műszaki ellenőrzésekre – való hivatkozással kell jellemezni, amelyek célja az incidensek mérséklése vagy megelőzése. Az egyes megbízhatósági szinteket a tanúsítást alkalmazó különböző ágazati területek között következetesen kell alkalmazni.

(101)Az európai kiberbiztonsági tanúsítványok felhasználóinak a megfelelő tanúsítási és kapcsolódó biztonsági követelményeket az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások igénybevételével vagy a szervezetek tanúsításával összefüggő kockázatok elemzése alapján kell megválasztaniuk. Ennek megfelelően a megbízhatósági szintnek arányosnak kell lennie az IKT-termék, az IKT-szolgáltatás, az IKT-folyamat, az irányított biztonsági szolgáltatások rendeltetésszerű használatához kapcsolódó kockázat szintjével, valamint annak a szervezetnek a működési környezetéhez és jellegéhez kapcsolódó kockázat szintjével, melynek kiberbiztonsági pozíciója tanúsítás tárgyát képezi.

(102)Az „alap” megbízhatósági szint esetében az értékelést legalább a következő megbízhatósági elemek alapján kell végezni: az értékelésnek ki kell terjednie legalább az IKT-termékre, az IKT-szolgáltatásra, az IKT-folyamatra, az irányított biztonsági szolgáltatásra vagy a valamely szervezet kiberbiztonsági helyzetére vonatkozó műszaki dokumentációnak a megfelelőségértékelő szervezet általi felülvizsgálatára. Abban az esetben, ha a tanúsítás IKT-folyamatokra is kiterjed, az IKT-terméknek, az IKT-szolgáltatásnak, az irányított biztonsági szolgáltatásnak vagy a valamely szervezet kiberbiztonsági helyzetének tervezésére, fejlesztésére és karbantartására használt folyamatot is műszaki felülvizsgálatnak kell alávetni. Amennyiben egy európai kiberbiztonsági tanúsítási rendszer megfelelőségi önértékelésről rendelkezik, elegendő, ha az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártója vagy szolgáltatója, vagy az a szervezet, amelynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi, önértékelést végzett arról, hogy IKT-terméke, IKT-szolgáltatása, IKT-folyamata, irányított biztonsági szolgáltatása vagy kiberbiztonsági helyzete megfelel-e a tanúsítási rendszernek.

(103)A „jelentős” megbízhatósági szint esetében az „alap” megbízhatósági szintre vonatkozó követelmények mellett az értékelésnek legalább azon kell alapulnia, hogy az IKT-terméknek, az IKT-szolgáltatásnak, az IKT-folyamatnak, az irányított biztonsági szolgáltatásnak vagy a valamely szervezet kiberbiztonsági helyzetének biztonsági funkciói megfelelnek-e a szervezet műszaki dokumentációjának.

(104)A „magas” megbízhatósági szint esetében az értékelésnek – a „jelentős” megbízhatósági szint követelményein felül – legalább olyan hatékonysági tesztet kell tartalmaznia, amely felméri, hogy a biztonsági funkciók ellenállóak-e a jelentős szakértelemmel és erőforrásokkal rendelkező személyek által végrehajtott kifinomult kibertámadásokkal szemben. A megfelelőségértékelési tevékenységeket az Európai Gazdasági Térségben kell elvégezni a „magas” megbízhatósági szint esetében, vagy ha a rendszert úgy alakították ki, hogy igazolja a megfelelést és biztosítsa az egyéb uniós jogszabályoknak való megfelelés vélelmét. Ezt a követelményt az indokolja, hogy az Európai Gazdasági Térségen kívül végzett értékelési tevékenységek további kiberbiztonsági fenyegetésekkel járnak, különös tekintettel az értékelt IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások vagy szervezetek szellemi tulajdonára nézve. Például egy IKT-termék forráskódját adott esetben megvizsgálhatják egy harmadik ország határának átlépésekor, ami kockázatot jelent a szellemi tulajdonra nézve. Emellett a harmadik országokban letelepedett vizsgálati laboratóriumok nem olyan környezetben működnek, amelyekre vonatkoznak az uniós jogszabályok, például az (EU) 2022/2555 irányelv vagy az (EU) 2024/2847 rendelet által előírt kiberbiztonsági intézkedések. Egy vizsgálati laboratórium például igénybe vehet olyan harmadik félnek minősülő felhőszolgáltatót, amely nem tartja be az (EU) 2022/2555 irányelvben előírt kiberbiztonsági követelményeket. Mindazonáltal a tanúsítási rendszerek számára lehetővé kell tenni, hogy eltérési mechanizmusokról rendelkezzenek, például a telephelyi tanúsítással kapcsolatban vagy más olyan esetekben, amikor a megfelelőségértékelési tevékenységek észszerűen nem végezhetők el az Európai Gazdasági Térségben.

(105)Egyes esetekben egy adott megbízhatósági szint biztonsági célkitűzéseinek eléréséhez különböző megközelítésekre lehet szükség az IKT-termék, az IKT-szolgáltatás, az IKT-folyamat, az irányított biztonsági szolgáltatások vagy a szervezetek kiberbiztonsági helyzete sajátosságainak kezeléséhez. A részletesebb megközelítés lehetővé tétele érdekében lehetővé kell tenni, hogy egy európai kiberbiztonsági tanúsítási rendszerben egy vagy több, a megbízhatósági szintek egyikének megfelelő értékelési szintet határozzanak meg. Ez lehetővé teszi olyan rendszerek kidolgozását, amelyekben a más-más célra tervezett különböző értékelési szintek megfelelnek az adott megbízhatósági szinthez kapcsolódó megbízhatósági szintnek.

(106)Az európai kiberbiztonsági tanúsítási rendszerek számára lehetővé kell tenni, hogy olyan megfelelőségértékelésről rendelkezzenek, amelyet az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártójának vagy szolgáltatójának kizárólagos felelőssége mellett, illetve annak a szervezetnek a kizárólagos felelőssége mellett kell elvégezni, amelynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi (a továbbiakban: megfelelőségi önértékelés). Ilyen esetekben elegendőnek kell lennie, ha a gyártó, a szolgáltató vagy a szervezet, amelynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi, maga végzi el az összes ellenőrzést annak biztosítása érdekében, hogy IKT-termékei, IKT-szolgáltatásai, IKT-folyamatai, irányított biztonsági szolgáltatása vagy a szervezet kiberbiztonsági helyzete megfeleljen az európai kiberbiztonsági tanúsítási rendszernek. A megfelelőségi önértékelés alkalmasnak tekintendő az olyan IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak, irányított biztonsági szolgáltatásoknak vagy a valamely szervezet olyan kiberbiztonsági helyzetének tekintetében, amelyek alacsony összetettségűek, alacsony kockázatot jelentenek a nyilvánosság számára, és egyszerű tervezési vagy egyszerű gyártási mechanizmusokkal rendelkeznek.

(107)Abban az esetben, ha egy európai kiberbiztonsági tanúsítási rendszer mind a megfelelőségi önértékelés, mind pedig a tanúsítást lehetővé teszi IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak, irányított biztonsági szolgáltatásoknak vagy a szervezetek kiberbiztonsági helyzetének esetében, a tanúsítási rendszernek egyértelmű és érthető eszközöket kell biztosítania a fogyasztók vagy más felhasználók számára ahhoz, hogy különbséget tegyenek az önértékelésen átesett, illetve a harmadik fél által tanúsított IKT-termékek, IKT-szolgáltatások, IKT-folyamatok és irányított biztonsági szolgáltatások, valamint a valamely szervezet önértékelésen átesett, illetve harmadik fél által tanúsított kiberbiztonsági helyzete között.

(108)Az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártójának vagy szolgáltatójának, vagy azoknak a szervezeteknek, amelyek kiberbiztonsági helyzete tanúsítás tárgyát képezi, képesnek kell lenniük arra, hogy a megfelelőségértékelési eljárás részeként kiadják és aláírják az uniós megfelelőségi nyilatkozatot. Az uniós megfelelőségi nyilatkozat olyan dokumentum, amely kijelenti, hogy egy adott IKT-termék, IKT-szolgáltatás, IKT-folyamat vagy irányított biztonsági szolgáltatás, illetve egy szervezet kiberbiztonsági helyzete megfelel az európai kiberbiztonsági tanúsítási rendszer követelményeinek. Az uniós megfelelőségi nyilatkozat kiadásával és aláírásával az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártója vagy nyújtója, vagy az a szervezet, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, felelősséget vállal azért, hogy az adott IKT-termék, IKT-szolgáltatás, IKT-folyamat, irányított biztonsági szolgáltatás vagy a szervezet kiberbiztonsági helyzete teljesíti az európai kiberbiztonsági tanúsítási rendszer követelményeit. Az uniós megfelelőségi nyilatkozat másolati példányát meg kell küldeni a nemzeti kiberbiztonsági tanúsító hatóságnak és az ENISA-nak.

(109)Azon IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártóinak vagy nyújtóinak, illetve azon szervezeteknek, amelyek kiberbiztonsági helyzete tanúsítás tárgyát képezi, a vonatkozó európai kiberbiztonsági tanúsítási rendszerben előírt ideig és az alkalmazandó uniós jogszabályokkal összhangban az illetékes nemzeti kiberbiztonsági tanúsító hatóság rendelkezésére kell bocsátaniuk az uniós megfelelőségi nyilatkozatot, a műszaki dokumentációt és az európai kiberbiztonsági tanúsítási rendszernek való megfeleléssel kapcsolatos minden egyéb releváns információt. A műszaki dokumentációnak a megfelelőségi önértékelés szempontjából releváns mértékben kell meghatároznia a rendszer keretében alkalmazandó követelményeket. A műszaki dokumentációt úgy kell összeállítani, hogy lehetővé tegye annak értékelését, hogy az IKT-termék, IKT-szolgáltatás, IKT-folyamat vagy irányított biztonsági szolgáltatás, illetve a szervezet kiberbiztonsági helyzete megfelel-e a rendszer keretében alkalmazandó követelményeknek.

(110)Az európai kiberbiztonsági tanúsítványoknak és az uniós megfelelési nyilatkozatoknak segítenie kell a felhasználókat, hogy tájékozott döntéseket tudjanak hozni. Ezért a releváns információkat közzé kell tenni az ENISA által fenntartott honlapon. Ezen túlmenően a tanúsított IKT-termékekhez, IKT-szolgáltatásokhoz vagy IKT-folyamatokhoz, valamint az olyan IKT-termékekhez, IKT-szolgáltatásokhoz vagy IKT-folyamatokhoz, amelyek vonatkozásában uniós megfelelési nyilatkozatot állítottak ki, olyan strukturált információkat kell mellékelni, amely a várható felhasználóktól elvárt műszaki ismeretek szintjéhez igazodik. Minden felhasználó számára hozzáférést kell biztosítani a tanúsítási rendszer, a kibocsátó hatóság vagy szerv hivatkozási számára és adott esetben a megbízhatósági szintre vonatkozó információkhoz, vagy lehetővé kell tenni számukra, hogy megkapják az európai kiberbiztonsági tanúsítvány másolatát. Ezeknek az információknak elérhetőnek kell lenniük egy erre a célra létrehozott, az európai kiberbiztonsági tanúsítási rendszerekről információkat nyújtó honlapon, és azokat rendszeresen frissíteni kell. Ezenkívül a folyamatos hozzáférhetőség biztosítása érdekében a gyártók és a szolgáltatók számára elő kell írni, hogy értesítsék a releváns tanúsító szervet, ha az online vagy – adott esetben – a fizikai információk helye megváltozik.

(111)A megfelelőségértékelés annak értékelésére szolgáló eljárás, hogy egy IKT-termékkel, IKT-szolgáltatással, IKT-folyamattal, irányított biztonsági szolgáltatással vagy szervezettel kapcsolatos meghatározott követelmények teljesültek-e. Ezt az eljárást olyan független harmadik fél folytatja le, amely nem a tanúsítás tárgyát képező IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártója vagy szolgáltatója, illetve nem az a szervezet, amelynek kiberbiztonsági helyzete az értékelés tárgyát képezi. Az európai kiberbiztonsági tanúsítványt az IKT-terméknek, az IKT-szolgáltatásnak, az IKT-folyamatnak vagy az irányított biztonsági szolgáltatásnak, illetve a szervezet kiberbiztonsági helyzetének sikeres értékelését követően kell kiállítani. Az európai kiberbiztonsági tanúsítvány igazolásnak tekintendő arra nézve, hogy az értékelést megfelelően elvégezték.

(112)A felügyeleti és tanúsítási tevékenységek szigorú szétválasztása fontos ahhoz, hogy elkerülhetők legyenek az esetlegesen okozott torzulások és beavatkozások azokban az esetekben, amikor a piacot felügyelő szervezet egyúttal verseng is ugyanazon a piacon. Következésképpen azok a tevékenységek, amelyek esetében a nemzeti kiberbiztonsági tanúsító hatóságok csupán felügyeleti szerepüket látják el – például a tanúsítvány kiállításának előzetes jóváhagyásával –, nem teszik szükségessé az egyéb felügyeleti tevékenységektől való további belső elkülönítést. Ilyen többek között az a helyzet, amikor a nemzeti kiberbiztonsági tanúsító hatóság a magán megfelelőségértékelő szervezetek által végzett tanúsítási folyamat során aktívan gyűjt információkat, majd véleményt nyilvánít a tanúsítványnak az említett szervezetek általi kiállításáról (a továbbiakban: előzetes jóváhagyási modell).

(113)Az európai kiberbiztonsági tanúsítási rendszereknek meg kell határozniuk azokat a feltételeket, amelyek esetén szükség lehet az IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak, irányított biztonsági szolgáltatásoknak vagy valamely szervezet kiberbiztonsági helyzetének újbóli tanúsítására, vagy amelyek esetén szükség lehet egy adott európai kiberbiztonsági tanúsítvány hatályának szűkítésére. Ezen túlmenően az európai kiberbiztonsági tanúsítási rendszereknek figyelembe kell venniük azokat az esetleges káros hatásokat, amelyeket a tanúsított IKT-termékkel, IKT-szolgáltatással, IKT-folyamattal, irányított biztonsági szolgáltatással vagy valamely szervezet kiberbiztonsági helyzetével kapcsolatban a későbbiekben észlelt sérülékenység vagy meg nem felelés gyakorolhat az adott tanúsítvány biztonsági követelményeinek való megfelelésre.

(114)A harmonizáció döntő szerepet játszik a robusztus kiberbiztonság biztosításában és a vállalkozások piacra jutásának javításában. Ezzel szemben a tanúsítványok kölcsönös elismerésének hiánya, valamint a széttagoltság jelentős mértékben akadályozza a zökkenőmentes adatáramlást, és ezáltal növeli az uniós gazdasági ágazat működési költségeit. E kihívások enyhítése érdekében Unió-szerte el kell kerülni a széttagoltságot mind a biztonsági ellenőrzések hatóköre, mind pedig a megfelelőségértékelési módszerek tekintetében.

(115)A tagállamoknak az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó új nemzeti kiberbiztonsági tanúsítási rendszerek elfogadása előtt kellő időben tájékoztatniuk kell a Bizottságot és az európai kiberbiztonsági tanúsítási csoportot annak érdekében, hogy segítséget nyújtsanak számukra az új nemzeti kiberbiztonsági tanúsítási rendszer által a belső piac megfelelő működésére gyakorolt hatás értékelésében, tekintettel az európai kiberbiztonsági tanúsítási rendszer kérelmezéséhez fűződő stratégiai érdekre is.

(116)Ha a nemzeti jogszabályokban olyan nemzeti szabványokra történik hivatkozás, amelyek egy európai kiberbiztonsági tanúsítási rendszer hatálybalépése okán joghatásukat vesztették, az zavaró lehet. A tagállamoknak ezért adott esetben tükrözniük kell nemzeti jogszabályaikban az európai kiberbiztonsági tanúsítási rendszerek elfogadását.

(117)A megbízható belső piac növekedésének elősegítése, valamint a harmadik országokkal való partnerségek létrehozása érdekében az európai kiberbiztonsági tanúsítási keretrendszeren belül létrehozott tanúsítási eljárást olyan módon kell végrehajtani, amely megkönnyíti a nemzetközi elismerést, a kölcsönös elismerést és a nemzetközi szabványokhoz való igazodást.

(118)A kereskedelem további megkönnyítése érdekében, valamint elismerve az IKT-ellátási láncok nemzetközi jellegét, az Unió az EUMSZ 218. cikkével összhangban kölcsönös elismerési megállapodásokat köthet az európai kiberbiztonsági tanúsítványokra vonatkozóan. A Bizottságot fel kell hatalmazni arra, hogy végrehajtási jogi aktusokat fogadjon el a harmadik országbeli tanúsítványok európai kiberbiztonsági tanúsítványokkal való egyenértékűségének egyoldalú elismerése céljából. Lehetővé kell tenni, hogy a harmadik országbeli tanúsítványok ilyen elismerésére vonatkozóan különös feltételeket határozzanak meg.

(119)A keretrendszer Unió-szerte egyenértékű végrehajtásának elérése, a kölcsönös elismerés előmozdítása, valamint az európai kiberbiztonsági tanúsítványok és az uniós megfelelőségi nyilatkozatok általános elfogadottságának elősegítése érdekében kölcsönös felülvizsgálati rendszert kell kialakítani a nemzeti kiberbiztonsági tanúsító hatóságok között. A kölcsönös felülvizsgálatnak ki kell terjednie azokra az eljárásokra, melyek azt követik nyomon, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok vagy az irányított biztonsági szolgáltatások, illetve a szervezetek kiberbiztonsági helyzete megfelelnek-e az európai kiberbiztonsági tanúsítványoknak, továbbá nyomon követik az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások megfelelőségi önértékelést végző gyártói vagy szolgáltatói, valamint a megfelelőségi önértékelést végző tanúsított szervezetek kötelezettségeit, a megfelelőségértékelő szervezeteket, illetve a „magas” megbízhatósági szintű tanúsítványokat kiállító szervezetek személyzete szakértelmének megfelelőségét. Az ENISA megfigyelőként részt vesz a kölcsönös felülvizsgálatokban, továbbá a Bizottsággal és az európai kiberbiztonsági tanúsítási csoporttal együttműködve támogatja a kölcsönös felülvizsgálati mechanizmus és a kölcsönös felülvizsgálatok megszervezését, többek között a vonatkozó útmutató dokumentumok és sablonok kidolgozásával. Az ENISA-nak az európai kiberbiztonsági tanúsítási rendszerekről szóló honlapján nyilvánosan hozzáférhetővé kell tennie a kölcsönös felülvizsgálatok ütemtervére vonatkozó információkat, valamint azoknak a kölcsönös felülvizsgálatnak alávetett nemzeti kiberbiztonsági tanúsító hatóságoknak a jegyzékét is, amelyek az említett ütemtervet végrehajtják. Az (EU) 2019/881 rendelet alapján elfogadott (EU) 2025/2540 bizottsági végrehajtási rendelet 60 rendelkezik egy olyan kölcsönös felülvizsgálati terv létrehozásáról, amelyet az elfogadott európai kiberbiztonsági tanúsítási rendszerek használnak. A kölcsönös felülvizsgálat folytatását biztosítani kell. Mindazonáltal a Bizottság számára lehetővé kell tenni, hogy szükség esetén végrehajtási jogi aktusok révén új, legalább ötéves kölcsönös felülvizsgálati tervet dolgozzon ki, valamint kritériumokat és módszereket állapítson meg a kölcsönös felülvizsgálati rendszer működésére vonatkozóan.

(120) Az európai kiberbiztonsági tanúsítási rendszer elfogadását követően az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártói vagy nyújtói, illetve azok a szervezetek, amelyek kiberbiztonsági helyzete tanúsítás tárgyát képezi, az Unióban bárhol, a választásuk szerinti megfelelőségértékelő szervezethez benyújthatják IKT-termékeik, IKT-szolgáltatásaik, IKT-folyamataik, irányított biztonsági szolgáltatásaik vagy kiberbiztonsági helyzetük tanúsítása iránti kérelmeiket. A megfelelőségértékelő szervezeteket a nemzeti akkreditáló testületnek kell akkreditálnia abban az esetben, ha azok megfelelnek az e rendeletben előírt követelményeknek, valamint adott esetben a Bizottság által e rendelettel összhangban meghatározott követelményeknek. Az e rendeletben meghatározott rendszert ki kell egészítenie a 765/2008/EK európai parlamenti és tanácsi rendeletben 61 előírt akkreditálási rendszernek.

(121) A meglévő uniós jogszabályok – különösen az (EU) 2024/2847 rendelet vagy az (EU) 2024/482 végrehajtási rendelet – alapján akkreditált vagy bejelentett megfelelőségértékelő szervezetek rendelkezhetnek az újonnan elfogadott európai kiberbiztonsági tanúsítási rendszerek szempontjából releváns hatáskörökkel. A szükségtelen pénzügyi és adminisztratív terhek elkerülése érdekében helyénvaló szinergiákat teremteni a megfelelőségértékelő szervezetek e rendelet szerinti akkreditálása tekintetében. Ezért a rendszerek akkreditálási követelményeit úgy kell megállapítani, hogy azok a lehető legnagyobb mértékben igazodjanak az (EU) 2024/2847 rendeletben meghatározott, a bejelentett szervezetekre vonatkozó követelményekhez és az (EU) 2024/482 végrehajtási rendelet szerinti akkreditálási követelményekhez. Emellett az e rendelet szerinti sérülékenység eljárás alá vont megfelelőségértékelő szervezetek számára lehetővé kell tenni, hogy az egyéb uniós jogszabályok szerinti hatásköreik értékelésének korábbi eredményeire támaszkodjanak, amennyiben az akkreditálási követelmények között átfedés van.

(122)A harmonizált megfelelőségértékelési szolgáltatások Unió-szerte történő megkönnyítése érdekében lehetővé kell tenni, hogy egy európai kiberbiztonsági tanúsítási rendszerben további vagy egyedi követelményeket határozzanak meg a megfelelőségértékelő szervezetekre vonatkozóan. A tanúsítással összefüggésben az engedélyezés valamely nemzeti kiberbiztonsági tanúsító hatóság arra vonatkozó döntése, hogy a megfelelőségértékelő szervezet megfelel a valamely európai kiberbiztonsági tanúsítási rendszerben egy adott megfelelőségértékelési tevékenység elvégzésére vonatkozóan meghatározott egyedi vagy további követelményeknek.

(123)Abban az esetben, ha egy európai kiberbiztonsági tanúsítási rendszer e rendeletnek megfelelően további vagy egyedi követelményeket határoz meg, a kijelölt nemzeti kiberbiztonsági tanúsító hatóság engedélyezi a megfelelőségértékelő szervezetek számára a szóban forgó rendszer szerinti feladatok elvégzését. Az engedélyezés többszörös elvégzésének elkerülése, az engedélyezési határozatok elfogadásának és elismerésének erősítése, továbbá a felhatalmazott megfelelőségértékelő szervezetek eredményes felügyeletének ellátása érdekében a megfelelőségértékelő szervezetek a székhelyük szerinti tagállam nemzeti akkreditáló testületétől kérik az engedélyezést. Szükséges azonban annak biztosítása, hogy egy megfelelőségértékelő szervezet egy másik tagállamban is kérhesse az engedélyezést, abban az esetben, ha saját tagállamában nincs nemzeti kiberbiztonsági tanúsító hatóság, vagy ha a nemzeti kiberbiztonsági tanúsító hatóság nem rendelkezik hatáskörrel a kért engedélyezési szolgáltatások biztosítására. Ezekben az esetekben gondoskodni kell arról, hogy a nemzeti kiberbiztonsági tanúsító hatóságok között megfelelő együttműködésre és információcserére kerüljön sor. A Bizottságot fel kell hatalmazni arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben meghatározza az engedélyezési eljárásokat, beleértve az engedélyezéssel kapcsolatos, határokon átnyúló együttműködést is.

(124)A valamely IKT-termék, IKT-szolgáltatás, IKT-folyamat vagy irányított biztonsági szolgáltatás, illetve a valamely szervezet kiberbiztonsági helyzete tekintetében előírt védelmi szintről való gondoskodáshoz elengedhetetlen, hogy a megfelelőségértékelési feladatok ellátása tekintetében az alvállalkozók és a leányvállalatok ugyanazoknak a követelményeknek legyenek kötelesek megfelelni, mint a bejelentett megfelelőségértékelő szervezetek. Eszerint a megfelelőségértékelő szervezetnek megfelelő szakértelemmel kell rendelkeznie, és képesnek kell lennie annak ellenőrzésére, hogy alvállalkozói megfelelnek-e az alkalmazandó követelményeknek.

(125)A bejelentő hatóságnak megfelelően értékelnie kell, hogy a megfelelőségértékelő szervezet milyen mértékben kíván az Unión kívül letelepedett alvállalkozókat igénybe venni, vagy hogy milyen mértékű hozzáférése van a bejelentő tagállamon kívüli személyzethez vagy létesítményhez. A tagállami hatóságok számára lehetővé kell tenni, hogy úgy döntsenek, hogy nemzeti kiberbiztonsági tanúsító hatóságként nem vállalhatnak általános felelősséget egy ilyen megállapodásért, valamint hogy visszavonják a bejelentést, vagy korlátozzák annak hatályát.

(126)Az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó kiberbiztonsági követelmények értékelése érdekében a nemzeti kiberbiztonsági tanúsító hatóságoknak be kell jelenteniük az akkreditált megfelelőségértékelő szervezeteket a Bizottság és a többi tagállam felé. Az akkreditált és adott esetben a felhatalmazott megfelelőségértékelő szervezetek bejelentése azt jelzi, hogy meg lehet bízni abban, hogy a szóban forgó szervezetek az értékelési és tanúsítási tevékenységeket e rendelettel és az európai kiberbiztonsági tanúsítási rendszerrel összhangban végzik el, hozzájárulva az európai kiberbiztonsági tanúsítás általános hírnevéhez. Ezért alapvető fontosságú annak biztosítása, hogy a bejelentett megfelelőségértékelő szervezetek megfeleljenek a rájuk vonatkozó követelményeknek és idővel teljesítsék kötelezettségeiket, valamint hogy a bejelentett megfelelőségértékelő szervezetek jegyzéke naprakész legyen.

(127)Az (EU) 2019/881 rendelet alapján elfogadott (EU) 2024/3143 bizottsági végrehajtási rendelet 62 megállapítja a megfelelőségértékelő szervezetek bejelentésének az elfogadott európai kiberbiztonsági tanúsítási rendszerek által alkalmazott körülményeit, formátumait és eljárásait. Ezért a bejelentési tevékenységek folytatását biztosítani kell. Mindazonáltal a Bizottságot fel kell hatalmazni arra, hogy végrehajtási jogi aktusokat fogadjon el a megfelelőségértékelő szervezetek bejelentéséhez kapcsolódó körülmények, eljárások és formátumok kiigazítása céljából. Ezzel összefüggésben a Bizottságnak fel kell használnia a meglévő rendszerekkel összefüggésben szerzett tapasztalatokat, és törekednie kell az egyéb vonatkozó uniós jogszabályokkal és keretekkel, különösen az (EU) 2024/2847 rendelettel és az új jogszabályi kerettel való összehangolásra a különböző jogi eszközök alapján működő megfelelőségértékelő szervezetek megfelelési terheinek csökkentése érdekében.

(128) Az információs és kommunikációs technológiák (IKT) ellátási láncai a gazdasági szereplők között összekapcsolt erőforrásokból és folyamatokból állnak össze. Az IKT-ellátási láncok Unió-szerte döntő szerepet játszanak a társadalmi stabilitás fenntartásában és a gazdasági tevékenység ösztönzésében. Emellett kritikus szerepet játszanak az Unión belüli digitális infrastruktúra működésének lehetővé tételében, és alapul szolgálnak az uniós társadalom és gazdaság funkcionálásához. Az IKT-ellátási láncok teszik lehetővé a különböző kritikus és kiemelten kritikus ágazatok – többek között az egészségügy, a pénzügy, a közlekedés, a távközlés, az energia és a vámügy – alapjául szolgáló IKT-szolgáltatások, IKT-rendszerek és IKT-termékek gyártását, forgalmazását és karbantartását. E kritikus ágazatok IKT-ellátási láncainak biztonsága hatással lehet a védelmi és katonai infrastruktúra biztonságára is, amennyiben ez az infrastruktúra a polgári kritikus ágazatokra és azok IKT-ellátási láncaira támaszkodik. Azonban a kiberbiztonsági fenyegetések helyzetéről szóló ENISA-jelentés (ENISA Threat Landscape 2025 [Az ENISA fenyegetettségi helyzetjelentése, 2025]) 63 szerint az ellátási láncok elleni támadások a kiberbiztonságot fenyegető öt fő veszély közé tartoznak, ami azt mutatja, hogy a támadók harmadik félnek minősülő szolgáltatókon és a függőségeken keresztül aktívan kihasználnak bizonyos közvetett útvonalakat. Az ellátási láncok zavarai akadályozhatják a gazdasági tevékenységek folytatását a belső piacon, pénzügyi veszteséget okozhatnak, alááshatják a felhasználók bizalmát, és jelentős károkat okozhatnak az Unió gazdaságában és a társadalmában. A kiberbiztonsági felkészültség és hatásosság ezért minden eddiginél elengedhetetlenebb a belső piac megfelelő működéséhez.

(129)Az IKT-ellátási láncok az (EU) 2022/55 európai parlamenti és tanácsi irányelv 64 , az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 65 és az (EU) 2019/881 rendelettel létrehozott európai kiberbiztonsági tanúsítási keretrendszer által kezelt technikai kockázatokon túl egyre inkább ki vannak téve nem technikai jellegű kockázatoknak is. Az ilyen nem technikai kockázatok többek között kapcsolódhatnak ahhoz a joghatósághoz, amely alá bizonyos összetevők beszállítója tartozik, különösen akkor, ha egy harmadik ország vagy egy harmadik országból irányított, fenyegetést jelentő szereplők gazdasági kémkedést folytatnak, rossz szándékú kibertevékenységeket vagy kampányokat folytatnak az Unió vagy tagállamai ellen, vagy felelőtlen állami magatartást tanúsítanak a kibertérben. A nem technikai kockázatok rejtett sérülékenységekhez, „hátsó ajtókhoz” vagy az ellátás esetleges rendszerszintű zavaraihoz is kapcsolódhatnak, különösen technológiai bezáródás („lock-in”) vagy a szolgáltatóktól való függés esetén. A vészleállítókat például lehetséges arra használni, hogy negatívan befolyásolják a hírközlő hálózatok és a villamosenergia-hálózatok rendelkezésre állását.

(130)Az EU gazdasági biztonságának megerősítéséről szóló közös közlemény 66 hangsúlyozta annak kockázatát, hogy harmadik országok érzékeny információkhoz és adatokhoz férnek hozzá az Unióban vagy tagállamaiban, akár az ipari kémkedés, a bizonyos termékekben használt hardverek vagy szoftverek beszállítása, akár az érzékeny információkkal és adatokkal rendelkező bizonyos vállalkozások feletti tulajdonjog és ellenőrzés révén. A közös közlemény hangsúlyozta továbbá annak kockázatát, hogy külföldi szereplők megzavarják az Unió kritikus infrastruktúráját – beleértve a kritikus közlekedési rendszereket, az űrrendszereket, az energetikai és kommunikációs infrastruktúrát, különösen azokat, amelyeket a katonai mobilitás szempontjából stratégiai fontosságúnak minősítettek –, ami dominóhatást kiváltva befolyásolhatja az uniós gazdaságot. Zavarok bekövetkezhetnek fizikai, kiber- vagy hibrid támadások révén, beleértve teljes létesítményeknek, illetve azok részeinek vagy alkomponenseinek szabotázsát is. A zavarok érinthetnek továbbá IKT-ellátási láncokat is, amelyek kritikus infrastruktúrák kritikus összetevőinek vagy kritikus infrastruktúrákat kiszolgáló kritikus szolgáltatásoknak az alapját képezik.

(131)Az IKT-ellátási lánc biztonságát érintő nem technikai kockázatokból eredő kihívásokra válaszul egyes tagállamok szabályozási intézkedéseket hoztak, beleértve a magas kockázatú beszállítók jegyzékbe vételét, míg más tagállamok valószínűsíthetően így tesznek. Ez a nemzeti megközelítések közötti további eltéréseihez és végső soron egyes tagállamok nagyobb sérülékenységéhez vezethet, ami továbbgyűrűző hatásokkal járhat az egész Unióban. Ezért harmonizálni kell az IKT-ellátási láncot érintő nem technikai kiberbiztonsági kockázatokkal kapcsolatos egyes szempontokat. Az ilyen uniós szintű beavatkozás azért is indokolt, mert Unió-szerte biztosítani kell a magas szintű kiberbiztonságot. Az IKT-ellátási lánc biztonságára vonatkozó rendelkezések célja a tagállamok közötti ilyen jelentős eltérések megszüntetése, különösen az IKT-ellátási lánc biztonságával kapcsolatos kockázatok uniós szintű kockázatértékelési mechanizmusaira vonatkozó szabályok, valamint az IKT-ellátási láncot érintő kockázatokkal szembeni védelemre vonatkozó minimumszabályok megállapítása révén.

(132)A kritikus függőségek és sérülékenységek enyhítése érdekében létre kell hozni a megbízható IKT-ellátási láncok keretrendszerét, amelynek kezelnie kell a magas kockázatú beszállítókhoz és függőségekhez kapcsolódó nem technikai kockázatokat a kiemelten kritikus ágazatokban és más kritikus ágazatokban. Ezért objektív, kockázatalapú, időtálló és technológiasemleges uniós szintű keretet kell biztosítani a kulcsfontosságú IKT-eszközök azonosítása érdekében, és arányos kockázatcsökkentő intézkedésekről szükséges rendelkezni a kockázatok kezelése céljából.

(133)Kiberbiztonsági kockázatok – többek között a magas kockázatú beszállítóktól való függőséggel kapcsolatos kockázatok – az Unió számos kritikus IKT-ellátási láncában megfigyelhetők, beleértve az érzékelő berendezéseket, az összekapcsolt és autonóm járműveket, a villamosenergia-ellátási rendszereket és a villamosenergia-tárolást, a vízellátási rendszereket, a drónokat és drónelhárító rendszereket, a felhőszolgáltatásokat, az orvostechnikai eszközöket, a felügyeleti berendezéseket, az űrtechnológiai szolgáltatásokat és a félvezetőket. Például a biztonsági felderítő berendezések sérülékenységei hozzáférést biztosíthatnak az IKT-rendszerekhez, lehetővé téve a rossz szándékú szereplők számára, hogy oly módon manipulálják a szkennereket, hogy a tiltott tárgyakat észlelés nélkül átvihessék a biztonsági ellenőrző ponton, ami katasztrofális következményekkel járhat.

(134)Ez a rendelet nem akadályozza meg a tagállamokat abban, hogy magasabb szintű kiberbiztonságot biztosító rendelkezéseket fogadjanak el vagy tartsanak fenn az IKT-ellátási lánc biztonságának vonatkozásában, feltéve, hogy e rendelkezések összhangban vannak a tagállamok uniós jogban megállapított kötelezettségeivel. Ezek a rendelkezések magukban foglalhatják például szigorúbb kockázatcsökkentő intézkedések előírását a kulcsfontosságú IKT-eszközök tekintetében.

(135)Az egyes IKT-ellátási láncokat érintő potenciális kiberbiztonsági kockázatok azonosítása érdekében az (EU) 2022/2555 irányelv 14. cikkével létrehozott együttműködési csoport (a továbbiakban: Kiberbiztonsági Együttműködési Csoport) uniós szintű összehangolt biztonsági kockázatértékelések révén értékelheti az egyes IKT-ellátási láncokat. Az uniós szintű összehangolt biztonsági kockázatértékeléseknek többek között a kulcsfontosságú IKT-eszközöket érintő fenyegetést jelentő főbb szereplőket, főbb fenyegetéseket és sérülékenységeket kell megvizsgálniuk. Az uniós szintű összehangolt biztonsági kockázatértékelések során össze kell állítani a kockázati forgatókönyvek, illetve a kockázatok csökkentésére szolgáló intézkedések jegyzékét. Az uniós szintű összehangolt biztonsági kockázatértékeléseket hat hónapon belül el kell végezni. Különösen sürgős esetben lehetővé kell tenni a határidők lerövidítését.

(136)Azokban az esetekben, amikor a Bizottság megalapozottan véli úgy, hogy a kritikus IKT-ellátási láncokkal kapcsolatban jelentős kiberfenyegetés áll fenn az Unió biztonságára nézve, és a belső piac megfelelő működésének megőrzéséhez intézkedésre lehet szükség, haladéktalanul konzultálnia kell a tagállamokkal a kockázatcsökkentő intézkedések szükségességéről, és a tagállamokkal folytatott konzultációt figyelembe véve biztonsági kockázatértékelést kell végeznie.

(137)Amennyiben a Kiberbiztonsági Együttműködési Csoport vagy a Bizottság által végzett biztonsági kockázatértékelés eredményeként úgy tűnik, hogy egy adott harmadik ország súlyos és strukturális nem technikai kiberbiztonsági kockázatokat jelent az IKT-ellátási láncokra nézve, a Bizottságnak ellenőriznie kell az adott ország jelentette fenyegetést. A Bizottság más források, például az Unió vagy valamely tagállamok nevében tett nyilvános nyilatkozat alapján is kezdeményezhet ilyen ellenőrzést, válaszul a kibertérben tanúsított olyan felelőtlen állami magatartás eseteire, amely kiberbiztonsági incidenshez vezetett. A fenyegetettség szintjének értékelése érdekében a Bizottságnak figyelembe kell vennie az olyan elemeket, mint például a harmadik országban meglévő olyan jogszabályok vagy gyakorlatok, amelyek előírják a joghatóságuk alá tartozó szervezetek számára, hogy jelentsék a szoftverek vagy hardverek sérülékenységére vonatkozó információkat az adott harmadik ország hatóságainak, még azelőtt, hogy ismertté válna, hogy e sérülékenység kihasználására sor került. További releváns elem a hatékony bírósági jogorvoslat hiánya, valamint az olyan független és demokratikus ellenőrzési mechanizmusok hiánya, amelyek orvosolhatnák a biztonsági aggályokat, többek között a következőkkel kapcsolatban: meglévő gyakorlatok, az adott ország területén kívül működő, rossz szándékú kibertevékenységeket vagy -kampányokat folytató, fenyegetést jelentő szereplőkhöz kapcsolódó incidensekre vonatkozó megalapozott információk, valamint a harmadik ország azon képességének vagy hajlandóságának hiánya, hogy együttműködjön a Bizottsággal vagy a tagállamokkal az említett fenyegetést jelentő szereplők működéséből eredő kockázat kezelése érdekében. A Bizottságnak figyelembe kell vennie az uniós szintű összehangolt biztonsági kockázatértékelésekből, vagy a tagállamok vagy nemzetközi szervezetek, például a NATO által kiadott jelentésekből származó információkat is.

(138)E rendelet alkalmazásában az ellenőrzés fogalma alatt a valamely jogalany felett akár közvetlenül, akár pedig egy vagy több köztes jogalanyon keresztül közvetve meghatározó befolyás gyakorlására való képességet kell érteni. Egy szervezet fölött kiberbiztonsági aggályokat felvető harmadik ország felől történő ellenőrzést kell megállapítani azokban a helyzetekben is, amikor a szóban forgó szervezet ügyvezetési struktúrával rendelkezik az adott országban.

(139)Az Unió nem finanszírozhat magas kockázatú beszállítókat érintő projekteket, amelyek veszélyeztetnék az Unió biztonságát, és aláásnák az Unió érdekeit és hitelességét. Az e rendelet alapján azonosított magas kockázatú beszállítók tehát nem jogosultak részt venni az (EU) 2024/2509 rendelet 136. cikkével és az uniós ágazatspecifikus szabályokkal összhangban közvetlen és közvetett irányítás keretében végrehajtott uniós finanszírozási programokban és eszközökben, valamint a megosztott irányítás keretében végrehajtott uniós finanszírozási tevékenységekben, többek között a következő többéves pénzügyi kereten belül olyan IKT-összetevők vagy IKT-összetevőket tartalmazó összetevők beszállítása kapcsán, melyeket azonosított kulcsfontosságú IKT-eszközökben való felhasználásra szánnak. Az uniós végrehajtó partnereknek, például az Európai Beruházási Bank Csoportnak, valamint a nemzeti fejlesztési bankoknak és intézményeknek tartózkodniuk kell a fentieknek ellentmondó projektek támogatásától, többek között a saját kockázatú műveletek esetében is.

(140)A közbeszerzés erős eszköz lehet a hatóságok számára ahhoz, hogy hozzájáruljanak az innovatívabb, fenntarthatóbb és versenyképesebb gazdasághoz, valamint ahhoz, hogy a közpénzeket stratégiai módon költsék el. Az IKT-ellátási láncokhoz kapcsolódó közbeszerzés nem használható fel az Unió kritikus infrastruktúrájának biztonságát veszélyeztető beszállítók javára. Az e rendelet alapján azonosított magas kockázatú beszállítók tehát nem jogosultak részt venni olyan IKT-összetevők vagy IKT-összetevőket tartalmazó olyan összetevők beszállítása kapcsán, melyeket azonosított kulcsfontosságú IKT-eszközökben való felhasználásra szánnak.

(141)A kiberbiztonsági tanúsítás szerepet játszik az általános biztonság megerősítésében és a kiberfenyegetések elleni küzdelemben, és bizalmi referenciaként szolgál. Ez a bizalom gyengülhet, ha a kiberbiztonsági készségekre vonatkozó tanúsítványokat magas kockázatú beszállítók állítják ki, amelyek emiatt nem lehetnek jogosultak annak kérelmezésére, hogy bármely uniós egyedi kiberbiztonsági készségtanúsítási rendszer felhatalmazott szolgáltatójává váljanak. Hasonlóképpen helyénvaló kizárni a magas kockázatú beszállítókat az európai kiberbiztonsági tanúsítási keretrendszer szerinti kiberbiztonsági tanúsítás megszerzéséből, valamint annak lehetőségéből, hogy akkreditált megfelelőségértékelő szervezetekké váljanak, hogy aztán ilyen tanúsítványokat állíthassanak ki.

(142)A kiberbiztonsági szabványok döntő szerepet játszanak a digitális infrastruktúrák biztonságában és megbízhatóságában. Megfelelő intézkedéseket kell hozni a szabványosítás kiberbiztonság terén történő biztosítása érdekében. Az olyan országokban letelepedett vagy olyan országokból ellenőrzött szervezetek bevonása, amelyekről megállapítást nyert, hogy e rendelettel összhangban kiberbiztonsági aggályokat vetnek fel az IKT-ellátási lánc kapcsán, a kiberbiztonsági szabványok olyan módon történő befolyásolásához vezethet, amely aláássa e szabványok biztonságát és megbízhatóságát.

(143)A biztonsági kockázatértékelések eredményei alapján a Bizottság végrehajtási jogi aktusok útján meghatározhatja, hogy kritikusságuk miatt mely IKT-eszközöket kell kulcsfontosságú IKT-eszközöknek tekinteni, amelyekre egyedi kockázatcsökkentő intézkedéseket kell alkalmazni. A kiberbiztonsági kockázat mérlegelését már az is szükségessé kell hogy tegye, ha egy eszköz esetében az összekapcsolásnak pusztán a lehetősége fennáll.

(144)Amennyiben az Unión belüli magas szintű kiberbiztonság, kiberreziliencia és bizalom eléréséhez szükséges, a kockázatcsökkentő intézkedések alkalmazhatók a szervezetekre IKT-ellátási láncukkal, és különösen az azonosított kulcsfontosságú IKT-eszközökkel kapcsolatban. A javasolt kockázatcsökkentő intézkedéseknek a lehetséges kockázatok és függőségek értékelésén kell alapulniuk, melynek ki kell terjednie a szóban forgó intézkedések által a kiemelten kritikus ágazatokban vagy más kritikus ágazatokban működő érintett szervezetekre, és különösen a kkv-kra gyakorolt lehetséges gazdasági és társadalmi hatásokra is. A gazdasági hatás értékelésének a kockázatcsökkentő intézkedések végrehajtásának költségeit kell vizsgálnia, beleértve a kulcsfontosságú IKT-eszközök releváns összetevői életciklusának időtartamát is, amennyiben az intézkedések magukban foglalják a beszállítók lecserélését is. A szolgáltatások folyamatos nyújtásának biztosítása érdekében azt is értékelni kell, hogy rendelkezésre állnak-e alternatív beszállítók a piacon.

(145)Tekintettel arra, hogy a kockázatcsökkentő intézkedések potenciálisan korlátozó hatást gyakorolhatnak az áruk és szolgáltatások nemzetközi kereskedelmére, ezeknek az intézkedéseknek arányosnak kell lenniük, és célzottan annak a jogszerű célkitűzésnek az elérésére kell szolgálniuk, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek tekintetében biztosítsák az IKT-ellátási láncok kiberbiztonságát, összhangban az Unió nemzetközi kötelezettségeivel.

(146)A magas kockázatú beszállítók által a kulcsfontosságú IKT-eszközök üzemeltetése során biztosított összetevők használata, telepítése vagy bármilyen más módon történő integrálása összefügghet a harmadik országba történő későbbi adattovábbítás kockázatával. Kockázatot jelenthet különösen a harmadik országban az adatok számára biztosított védelem elégtelen szintje, például az alapvető jogok, a szellemi tulajdon vagy az üzleti titkok védelme kapcsán, illetve az említett adatokhoz az ellátási lánc esetleges jövőbeli zavarainak kiváltása és kémkedés céljából történő jogosulatlan hozzáférés és ezen adatok ilyen célból történő felhasználása. E kockázatok csökkentése érdekében bizonyos típusú adatok harmadik országokba történő továbbításával kapcsolatban korlátozások alkalmazhatók.

(147)A jelentős sérülékenységek az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek által használt berendezések diverzitásának hiányából erednek. Az egyetlen beszállítótól való függés bizonyos berendezésektől vagy megoldásoktól való függőséget eredményez. A beszállítók diverzitásának hiánya fokozza a kritikus infrastruktúra általános sérülékenységét, különösen akkor, ha a szervezetek az érzékeny IKT-eszközökben használt IKT-összetevőiket magas kockázatú beszállítótól szerzik be. A függőség jelentős hatással van a nemzeti és az uniós szintű rezilienciára is, és egyedi hibapontokat teremt. Az ilyen kockázatok csökkentése érdekében alkalmazhatók olyan követelmények, melyek azt írják elő, hogy egyes kulcsfontosságú IKT-eszközök esetében egynél több beszállítóra van szükség.

(148)Lehetséges, hogy az e rendeletben meghatározott kulcsfontosságú eszközöket uniós szervezetek is használnak. Ezért az IKT-ellátási lánc biztonságára vonatkozóan az e rendeletben megállapított szabályokat rájuk is alkalmazni kell. Az uniós szervezetek sajátosságainak figyelembevétele érdekében az uniós szintű összehangolt biztonsági kockázatértékelések elvégzése során fontos figyelembe venni az uniós szervezetek tekintetében az IKT-ellátási láncokból eredő nem technikai kockázatokat.

(149)Kivételes körülmények között, amelyek a belső piac megfelelő működésének megőrzése érdekében azonnali beavatkozást indokolnak, és amennyiben egyértelmű bizonyítékok alapján a Bizottság megalapozottan véli úgy, hogy az egy adott beszállítótól származó IKT-összetevők, valamint az egy adott beszállítótól származó IKT-összetevőket tartalmazó összetevők használata jelentős kiberbiztonsági fenyegetést jelent legalább három tagállam gazdasági vagy társadalmi tevékenységeire nézve, a Bizottság a tagállamokkal szoros együttműködésben javasolhatja az említett beszállítótól származó ilyen összetevőknek az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezettípusok általi használatának, telepítésének vagy integrálásának megtiltását.

(150)Az alkalmazott intézkedések arányosságának biztosítása érdekében az e rendelettel összhangban jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országban letelepedett szervezetek, vagy ilyen harmadik ország által, ilyen harmadik országban letelepedett szervezet által vagy ilyen harmadik ország állampolgára által ellenőrzött szervezetek kérelmezhetik, hogy mentesüljenek annak tilalma alól, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek számára olyan IKT-összetevőket, illetve olyan IKT-összetevőket tartalmazó összetevőket szállítsanak, amelyeket az említett szervezet kulcsfontosságú IKT-eszközeiben való felhasználásra, telepítésre, és integrálásra szánnak, valamint annak tilalma alól, hogy részt vegyenek a 2014/24/EU európai parlamenti és tanácsi irányelvet 67 és a 2014/25/EU európai parlamenti és tanácsi irányelvet 68  átültető jogszabályokkal összhangban szervezett közbeszerzési eljárásokban az azonosított kulcsfontosságú IKT-eszközökben történő felhasználásra szánt IKT-összetevők vagy IKT-összetevőket tartalmazó összetevők beszállítása kapcsán.  E célból a szervezetnek egyértelmű bizonyítékokkal kell alátámasztania, hogy eredményes intézkedéseket alkalmaz a nem technikai kockázatok kezelésére, és biztosítja, hogy ne kerüljön sor kiberbiztonsági aggályokat felvető harmadik ország általi esetleges jogtalan beavatkozásra.

(151)Az elektronikus hírközlő hálózatok a belső piac működése, valamint a létfontosságú társadalmi és gazdasági funkciók – például az energia, a közlekedés, a banki szolgáltatások és az egészségügy –, továbbá az ipari ellenőrzési rendszerek fenntartása és működtetése szempontjából alapvető fontosságú szolgáltatások széles körének gerincét fogják képezni. Ezért ezek a kiemelten kritikus hálózatok vonzó célpontok a kibertámadások és hibrid fenyegetések valamennyi típusa, a zavarok, a kémkedés, a felderítési információk gyűjtése, valamint a csalás és a gazdasági bűnözés szempontjából. A Kiberbiztonsági Együttműködési Csoportnak az európai kommunikációs infrastruktúrák és hálózatok kiberbiztonságával és rezilienciájával kapcsolatos kockázatértékelése számos, uniós szempontból stratégiai jelentőségű kockázatot és fenyegetést azonosított, például törlőprogram/zsarolóprogram-támadásokat, az ellátási lánc ellen intézett támadásokat, hálózati behatolásokat és elosztott szolgáltatásmegtagadással járó (DDoS) támadásokat.

(152)Tekintettel a különböző nemzeti elektronikus hírközlő hálózatok összekapcsolására és az azok közötti kölcsönös függésre, valamennyi tagállamnak meg kell hoznia a megfelelő intézkedéseket annak érdekében, hogy gondoskodjon hálózataik biztonságáról. Ugyanezen okokból eredményes uniós szintű jogi keretre van szükség, amely a nem technikai kockázatokat is kezeli, és átfogó módon biztosítja az összekapcsolt elektronikus hírközlő hálózatok biztonságát.

(153)Különösen az 5G hálózatok kiberbiztonsága stratégiai fontosságú az Unió számára, mivel ezek a hálózatok alkotják a belső piac működése szempontjából alapvető fontosságú szolgáltatások széles körének gerincét, és kulcsfontosságúak védelmi készültségünk kialakításában is, többek között a katonai mobilitás vonatkozásában. Az 5G hálózatok képesek megbízható ultragyors konnektivitást biztosítani, például az adat- és információmegosztás, a drónok felderítése és a harctéri valós idejű koordináció céljából.

(154)Az 5G kiépítése elsősorban úgynevezett „non-standalone” hálózatokból áll, ahol csak a rádiós hozzáférési hálózatot korszerűsítik 5G technológiára, míg a hálózat többi része továbbra is a meglévő 4G gerinchálózatot használja. Az 5G non-standalone hálózatok elsősorban a már meglévő infrastruktúrára épülnek, ami azt jelenti, hogy a jövőbeli 5G hálózatok biztonságát bizonyos mértékig a már meglévő hálózati berendezések és azok konfigurációja határozza meg. Ezért a kockázatcsökkentő intézkedéseknek ki kell terjedniük azokra a 4G hálózatokra is, amelyekre az 5G kiépítése támaszkodik.

(155)Az 5G hálózatok fontos biztonsági kihívásainak kezelése érdekében a Kiberbiztonsági Együttműködési Csoportban részt vevő tagállamok a Bizottsággal és az ENISA-val együtt uniós szintű összehangolt biztonsági kockázatértékelést végeztek az 5G hálózatokra vonatkozóan, melynek során mind a technikai, mind a nem technikai kockázatokat megvizsgálták. Ez az értékelés számos kockázatot azonosított, beleértve a harmadik országok vagy harmadik országbeli szereplők által az ellátási láncon keresztül történő esetleges beavatkozást, és az eszközöket kritikusságuk szerint sorolta kategóriákba. Az 5G hírközlő hálózatok kulcsfontosságú IKT-eszközeit ennek az értékelésnek az alapján kell meghatározni.

(156)Az 5G hálózatok uniós szintű összehangolt biztonsági kockázatértékelése során azonosított kockázatok csökkentése érdekében a Kiberbiztonsági Együttműködési Csoport elfogadta az 5G kiberbiztonsági uniós eszköztárat, amely stratégiai és technikai intézkedéseket határoz meg. Bár a tagállamok többsége rendelkezik olyan jogi kerettel, amely lehetővé teszi a magas kockázatú beszállítóknak az 5G eszköztárban ajánlott korlátozását vagy kizárását, e keretek végrehajtása nem volt egységes. Ennek következtében Unió-szerte jelentős számú olyan 5G helyszín van, amelyet magas kockázatú beszállítók szolgálnak ki, amint azt az 5G eszköztár végrehajtásáról szóló bizottsági közlemény 69 is megemlíti. Ez a helyzet sérülékenységeket teremt, beleértve a stratégiai függőséget és a harmadik országok általi beavatkozásnak való potenciális kitettséget, ami hatással lehet a meglévő 5G hálózatokra épülő jövőbeli 6G infrastruktúrára is. Az 5G eszköztárban ajánlott intézkedések széttagolt végrehajtása – különösen a magas kockázatú beszállítókra vonatkozó korlátozások hatálya tekintetében – eltérésekhez vezetett a tagállamok között, ami egyenlőtlen versenyfeltételeket eredményez, amelyek pedig megosztják a belső piacot, és gyengítik az általános hálózatbiztonságot. Az Európai Számvevőszék rámutatott ezeket az egyenlőtlenségekre, és figyelmeztetett arra, hogy az összehangolt megközelítés hiánya aláássa a belső piac működését. A magas kockázatú beszállítóktól való tartós függőség súlyos kockázatot jelent az Unió kritikus infrastruktúrájának biztonságára nézve, és alááshatja a belső piacba vetett bizalmat, mivel a következetlen biztonsági szintek Unió-szerte eltántoríthatják a fogyasztókat és a vállalkozásokat attól, hogy 5G alapú termékeket és szolgáltatásokat vegyenek igénybe. Ezért alapvető fontosságú, hogy uniós szintű intézkedések álljanak rendelkezésre az 5G hálózatok biztonságához kapcsolódó harmonizált megközelítés biztosítása érdekében.

(157)Az állandóhelyű és a műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközeit érintő fokozatos kivezetési időszak meghatározása céljából a Bizottságnak értékelést kell végeznie, kellően figyelembe véve az állandóhelyű és a műholdas hálózatok egyes kulcsfontosságú IKT-eszközeihez kapcsolódó biztonsági kockázatok mértékét, a releváns összetevők élettartamát, valamint azt, hogy ezeknek az összetevőknek az eltávolítása milyen gazdasági hatást gyakorolna az érintett üzemeltetőkre. Az említett értékelés eredményei alapján a Bizottság fontolóra veheti annak lehetőségét, hogy az adott kulcsfontosságú IKT-eszközökre és azok lényegi elemeire vonatkozóan különböző fokozatos kivezetési időszakokat állapít meg.

(158)A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatóira vonatkozó kötelezettségek eredményes felügyelete és érvényesítése érdekében az e rendelet szerinti releváns illetékes hatóságoknak gondoskodniuk kell az illetékes hatóságokkal folytatott szoros együttműködésről a(z) [a digitális hálózatokról szóló jogszabályra irányuló javaslat] szerint. Az e rendelet alapján kijelölt illetékes hatóság kérésére a nemzeti szabályozó hatóságoknak vagy adott esetben a rádióspektrumért felelős egyéb illetékes hatóságoknak vissza kell vonniuk a(z) [a digitális hálózatokról szóló jogszabályra irányuló javaslat] 9. és 20. cikkében említett jogokat, ha a nyilvános elektronikus hírközlő hálózatok szolgáltatója nem teljesíti az e rendelet szerinti kötelezettségeket, beleértve azt is, ha a szolgáltató az e rendelettel összhangban meghatározott időszakon belül nem vezeti ki fokozatosan azokat az IKT-összetevőket, illetve az olyan IKT-összetevőket tartalmazó összetevőket, melyeket a kulcsfontosságú IKT-eszközök üzemeltetésének kontextusában magas kockázatú beszállítóktól szerez be.

(159)Tekintettel a nemzeti irányítási struktúrák közötti különbségekre, a tagállamoknak ki kell jelölniük vagy létre kell hozniuk az e rendelet szerinti felügyeleti és végrehajtási intézkedésekért felelős egy vagy több illetékes hatóságot.

(160)Az illetékes hatóságoknak támogatást kell nyújtaniuk az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezeteknek az e rendelet szerinti kötelezettségeik teljesítéséhez. E célból a Bizottságnak értékelnie kell, hogy a konkrét tilalmak által esetlegesen érintett beszállítók olyan harmadik országban telepedtek-e le, amely kiberbiztonsági aggályokat vet fel, vagy ilyen harmadik ország általi, ilyen harmadik országban letelepedett szervezet általi vagy ilyen harmadik ország állampolgára általi ellenőrzés alatt állnak-e. Az illetékes hatóságoknak szorosan együtt kell működniük a Bizottsággal és az e rendelet alapján létrehozott hálózaton belüli más illetékes hatóságokkal. A Bizottság értékelése alapján az illetékes hatóságoknak meg kell osztaniuk a magas kockázatú beszállítókra vonatkozó releváns információkat az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú releváns szervezetekkel. A szervezetektől nem elvárt, hogy ellenőrizzék azt, hogy egy beszállító külföldi ellenőrzés alatt áll-e, ellenben teljes mértékben hagyatkozhatnak az illetékes hatóságoktól kapott információkra. Az illetékes hatóságoknak gondoskodniuk kell arról, hogy az említett szervezetekre ne háruljanak szükségtelen adminisztratív terhek.

(161)A tényleges megfelelés biztosítása érdekében e rendeletnek olyan felügyeleti és végrehajtási intézkedésekről kell rendelkeznie, amelyek révén az illetékes hatóságok felügyelhetik az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezeteket. Abban az esetben, ha az illetékes hatóságok az említett szervezetekkel kapcsolatos felügyeleti és végrehajtási feladataikat végzik, nem léphetik túl a szükséges, valamint az azonosított kockázatokkal arányos mértéket.

(162)Annak érdekében, hogy a végrehajtás az egész Unióban eredményes és következetes legyen, olyan végrehajtási hatásköröket kell biztosítani, amelyeket az illetékes hatóságok az e rendeletben meghatározott kötelezettségek megsértése esetén gyakorolhatnak. Az említett végrehajtási hatáskörök gyakorlása során az illetékes hatóságoknak megfelelő figyelmet kell fordítani a jogsértés jellegére, súlyosságára és időtartamára, az okozott vagyoni vagy nem vagyoni kárra, a jogsértés szándékos vagy gondatlan jellegére, az elszenvedett vagyoni vagy nem vagyoni kár megelőzésére vagy enyhítésére tett intézkedésekre, a felelősség mértékére vagy bármely releváns korábbi jogsértésre, az illetékes hatósággal való együttműködés mértékére és minden egyéb súlyosító vagy enyhítő tényezőre. A végrehajtási intézkedéseknek – beleértve a szankciókat is – arányosaknak kell lenniük, és kiszabásukra megfelelő eljárási biztosítékoknak kell vonatkozniuk az uniós jog általános elveivel és az Európai Unió Alapjogi Chartájával összhangban, ideértve a hatékony bírói védelemhez, a jogszerű eljáráshoz, az ártatlanság vélelméhez és a védelemhez való jogot.

(163)Fontos továbbá hatáskört biztosítani időszakos kényszerítő bírság kiszabására, annak érdekében, hogy valamely, az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet az illetékes hatóság korábbi határozatával összhangban e rendelet megsértésének megszüntetésére legyen kényszeríthető.

(164) Az ebben a rendeletben megállapított kötelezettségek eredményes végrehajtásának biztosítása érdekében minden illetékes hatóságnak rendelkeznie kell hatáskörrel szankciók kiszabására vagy ilyen szankciók kiszabásának kérelmezésére.

(165)Az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusba tartozó, valamint vállalkozásnak minősülő szervezetekkel szembeni szankciók alkalmazásában vállalkozásnak az EUMSZ 101. és 102. cikke értelmében vett vállalkozás minősül. Amennyiben vállalkozásnak nem minősülő személyre szabnak ki bírságot, a szankció megfelelő összegének mérlegelésekor az illetékes hatóságnak figyelembe kell vennie a tagállam általános jövedelemszintjét, valamint a személy anyagi helyzetét. A tagállamok feladata annak meghatározása, hogy a közhatalmi szervekkel szemben alkalmazható legyen-e szankció, és ha igen, milyen mértékben. A szankció kiszabása nem érintheti az illetékes hatóságok egyéb hatásköreinek alkalmazását.

(166)Az e rendelet végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni a következők elfogadására: az ENISA által felszámított díjakra vonatkozóan részletes szabályokat megállapító végrehajtási jogi aktusok; az IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra, irányított biztonsági szolgáltatásokra vagy szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekről rendelkező végrehajtási jogi aktusok; az összes európai kiberbiztonsági tanúsítási rendszer elemeire vonatkozóan közös elveket és mintarendelkezéseket meghatározó végrehajtási jogi aktusok; az előzetes jóváhagyásra vagy az általános átruházási modellekre vonatkozó eljárásokat meghatározó végrehajtási jogi aktusok; harmadik országok vagy nemzetközi szervezetek kiberbiztonsági tanúsítványainak az európai kiberbiztonsági tanúsítványokkal egyenértékűként való elismeréséről szóló végrehajtási jogi aktusok; a kölcsönös felülvizsgálati terv létrehozásáról szóló végrehajtási jogi aktusok; a megfelelőségértékelő szervezetek engedélyezésére vonatkozó eljárásokat (ideértve a határokon átnyúló együttműködést) létrehozó végrehajtási jogi aktusok; a megfelelőségértékelő szervezetek bejelentésének körülményeit, formátumait és eljárásait megállapító végrehajtási jogi aktusok; a valamely harmadik országot az IKT-ellátási láncok tekintetében kiberbiztonsági aggályokat felvető országként megjelölő végrehajtási jogi aktusok; végrehajtási jogi aktusok, amelyek meghatározzák az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek által termékek gyártásához vagy szolgáltatások nyújtásához használt kulcsfontosságú IKT-eszközöket; végrehajtási aktusok, amelyek megállapítják, hogy a kiemelten kritikus ágazatokban és más kritikus ágazatokban működő szervezetekre különleges kockázatcsökkentő intézkedések vonatkoznak, és meghatározzák a magas kockázatú beszállítók által szállított IKT-összetevők és IKT-összetevőket tartalmazó összetevők fokozatos kivezetésére rendelkezésre álló időszakokat; végrehajtási jogi aktusok, amelyek tovább pontosítják a kiberbiztonsági aggályokat felvető harmadik országokban letelepedett szervezetek vagy ilyen harmadik országbeli szervezet ellenőrzése alatt álló szervezetek mentességére vonatkozó feltételeket, valamint a Bizottság által kivetett díjakra vonatkozó részletes szabályokat megállapító végrehajtási aktusok elfogadását. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek megfelelően kell gyakorolni, továbbá alkalmazni kell a vizsgálóbizottsági eljárást. A rendelet végrehajtását érintő egységes feltételek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni az e rendeletben előírt egyes intézkedések szempontjából releváns magas kockázatú beszállítók jegyzékének összeállítása tekintetében is.

(167)Az európai kiberbiztonsági tanúsítási rendszereknek tükrözniük kell a legújabb technológiai fejleményeket, az új kapcsolódó fenyegetéseket, valamint az új uniós jogszabályok elfogadását, amelyek meghatározzák az említett jogszabályokban előírt vonatkozó kiberbiztonsági követelményeknek való megfelelés európai kiberbiztonsági tanúsítás révén történő igazolását, illetve vélelmét. Ezért a Bizottságot fel kell hatalmazni arra, hogy az EUMSZ 290. cikkének megfelelően jogi aktusokat fogadjon el az európai kiberbiztonsági tanúsítási rendszerek által elérni kívánt biztonsági célkitűzések kiegészítése vagy módosítása céljából. Hasonlóképpen, a megbízható IKT-ellátási láncok keretrendszere érdekében a Bizottságot fel kell hatalmazni arra, hogy az EUMSZ 290. cikkének megfelelően jogi aktusokat fogadjon el abból a célból, hogy a technológiai fejlődéshez való hozzáigazítás érdekében módosítsa e rendelet II. mellékletét. Különösen fontos, hogy a Bizottság az előkészítő munka során – többek között szakértői szinten – megfelelő konzultációkat folytasson, és a konzultációkra a jogalkotás minőségének javításáról szóló, 2016. április 13-i intézményközi megállapodásban foglalt elvekkel összhangban kerüljön sor. Így különösen a felhatalmazáson alapuló jogi aktusok előkészítésében való egyenlő részvétel biztosítása érdekében az Európai Parlamentnek és a Tanácsnak a tagállamok szakértőivel egyidejűleg kell kézhez kapnia minden dokumentumot, és szakértőik számára lehetővé kell tenni a Bizottság felhatalmazáson alapuló jogi aktusok előkészítésével foglalkozó szakértői csoportjainak ülésein való rendszeres részvételt.

(168)Az ENISA működését rendszeres és független értékelésnek kell alávetni. Az értékelés során figyelembe kell az ENISA célkitűzéseit és feladatai – különösen az uniós szintű operatív együttműködéssel kapcsolatos feladatai – relevanciáját. Felülvizsgálat esetén a Bizottságnak értékelnie kell, hogy miként erősíthető meg az ENISA által a tanácsadás és szakértelem referenciapontjaként betöltött szerep.

(169)Az (EU) 2024/482 bizottsági végrehajtási rendelet a közös kritériumokon alapuló európai kiberbiztonsági tanúsítási rendszer (EUCC) elfogadása tekintetében állapít meg szabályokat. Az EUCC az (EU) 2019/881 rendelet alapján elfogadott első és egyetlen európai kiberbiztonsági tanúsítási rendszer. A rendszer IKT-termékek tanúsítását érinti, beleértve az „intelligens kártyák és hasonló eszközök” és a „biztonsági dobozzal ellátott hardvereszközök” műszaki területhez tartozó termékeket, valamint a védelmi profilokat (mint IKT-folyamatokat). Ezért biztosítani kell a tanúsítási tevékenységeknek, valamint az Ügynökség tevékenységeinek folytatását.

(170)Az európai adatvédelmi biztossal és az Európai Adatvédelmi Testülettel az (EU) 2018/1725 rendelet 70 42. cikkének (2) bekezdésével összhangban konzultációt folytattak, és [dátum]-án/-én közös véleményt adtak ki.

(171)Az (EU) 2019/881 rendeletet hatályon kívül kell helyezni.

(172)Mivel e rendelet céljait a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme és hatása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat a szubszidiaritásnak az Európai Unióról szóló szerződés (EUSZ) 5. cikkében foglalt elvével összhangban. Az említett cikkben foglalt arányosság elvének megfelelően ez a rendelet nem lépi túl az e célok eléréséhez szükséges mértéket,

ELFOGADTA EZT A RENDELETET:

I. CÍM 
ÁLTALÁNOS RENDELKEZÉSEK

1. cikk
Tárgy és hatály

(1)Ez a rendelet meghatározza az alábbiakat:

a)az Európai Uniós Kiberbiztonsági Ügynökség (a továbbiakban: ENISA) küldetését, célkitűzéseit, feladatait és szervezeti vonatkozásait;

b)az európai kiberbiztonsági tanúsítási rendszerek létrehozásának keretrendszerét az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok és az irányított biztonsági szolgáltatások megfelelő kiberbiztonsági szintjének, valamint a szervezetek kiberbiztonsági helyzete megfelelő szintjének az Unióban történő biztosítása céljából, valamint abból a célból, hogy megakadályozza a belső piac széttagoltságát az Unión belüli kiberbiztonsági tanúsítási rendszerek tekintetében; és

c)a megbízható IKT-ellátási láncok keretrendszerét.

(2)Az (1) bekezdés b) pontjában említett keretrendszer az egyéb uniós jogi aktusokban az önkéntes vagy kötelező tanúsításra vonatkozóan előírt különös rendelkezések sérelme nélkül alkalmazandó.

(3)Az első albekezdés c) pontjában említett keretrendszert az (EU) 2022/2555 irányelv I. vagy II. mellékletében említett típusú olyan állami vagy magánszervezetekre kell alkalmazni, amelyek az Unión belül nyújtják szolgáltatásaikat vagy végzik tevékenységeiket.

(4)Ez a rendelet nem érinti a tagállamok alapvető állami funkcióit, többek között az állam területi integritásának biztosítását, a közrend fenntartását és a nemzetbiztonság garantálását. Így különösen a nemzetbiztonság az egyes tagállamok kizárólagos feladata marad.

2. cikk
Fogalommeghatározások

Fogalommeghatározások e rendelet alkalmazásában:

1.„kiberbiztonság”: a hálózati és információs rendszereknek, az ilyen rendszerek felhasználóinak és a kiberfenyegetések által érintett egyéb személyeknek a védelméhez szükséges tevékenységek;

2.„uniós szervezetek”: az (EU, Euratom) 2023/2841 rendelet 3. cikkének 1. pontjában meghatározott uniós szervezetek;

3.„felhatalmazott tanúsítványszolgáltató”: olyan állami vagy magánszervezet, amelynek tekintetében az ENISA határozatot fogadott el, amelyben felhatalmazta az adott szervezetet a valamely európai egyedi kiberbiztonsági készségtanúsítási rendszerben meghatározott, a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok kiadására;

4.„a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány”: digitális vagy fizikai formátumú nyilvántartás, amely egy európai egyedi kiberbiztonsági készségtanúsítási rendszerben meghatározott értékelést követően igazolja, hogy az egyén ismeri, érti és képes ellátni az európai kiberbiztonsági készségkeret (ECSF) valamely szerepprofiljához vagy egy szerepprofiljának valamely részhalmazához kapcsolódó feladatokat;

5.„európai egyedi kiberbiztonsági készségtanúsítási rendszer”: az ENISA által létrehozott és az ECSF valamely szerepprofiljához vagy egy szerepprofiljának valamely részhalmazához kapcsolódó szabályok, követelmények, szabványok és eljárások átfogó rendszere, amely a felhatalmazott tanúsítványszolgáltatókra vonatkozik, és amelyet a felhatalmazott tanúsítványszolgáltatók alkalmaznak;

6.„hálózati és információs rendszer”: az (EU) 2022/2555 irányelv 1. cikkének 6. pontjában meghatározott hálózati és információs rendszer;

7.„nemzeti kiberbiztonsági stratégia”: az (EU) 2022/2555 irányelv 6. cikkének 4. pontjában meghatározott nemzeti kiberbiztonsági stratégia;

8.„incidens”: az (EU) 2022/2555 irányelv 6. cikkének 6. pontjában meghatározott biztonsági esemény;

9.„nagyszabású kiberbiztonsági incidens”: az (EU) 2022/2555 irányelv 6. cikkének 7. pontjában meghatározott biztonsági esemény;

10.„incidenskezelés”: az (EU) 2022/2555 irányelv 6. cikkének 8. pontjában meghatározott biztonsági esemény kezelése;

11.„kiberfenyegetés”: bármely olyan potenciális körülmény, esemény vagy cselekmény, amely károsíthatja vagy megzavarhatja a hálózati és információs rendszereket, az ilyen rendszerek felhasználóit és más személyeket, vagy azokra egyéb kedvezőtlen hatást gyakorolhat;

12.„európai kiberbiztonsági tanúsítási rendszer”: adott IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak, irányított biztonsági szolgáltatásoknak vagy szervezetek kiberbiztonsági helyzetének tanúsítására vagy megfelelőségértékelésére alkalmazandó szabályok, műszaki követelmények, szabványok és eljárások uniós szinten meghatározott átfogó rendszere;

13.„nemzeti kiberbiztonsági tanúsítási rendszer”: az adott tanúsítási rendszer hatálya alá tartozó IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak, irányított biztonsági szolgáltatásoknak vagy szervezetek kiberbiztonsági helyzetének tanúsítására vagy megfelelőségértékelésére alkalmazandó, valamely nemzeti hatóság által kidolgozott és elfogadott szabályok, műszaki követelmények, szabványok és eljárások átfogó rendszere;

14.„európai kiberbiztonsági tanúsítvány”: az illetékes szerv által kibocsátott dokumentum, amely igazolja, hogy egy adott IKT-termékek, IKT-szolgáltatás, IKT-folyamat, irányított biztonsági szolgáltatások vagy egy adott szervezet kiberbiztonsági helyzete esetében értékelték, hogy megfelel-e valamely európai kiberbiztonsági tanúsítási rendszer konkrét biztonsági követelményeinek;

15.„uniós megfelelőségi nyilatkozat”: olyan dokumentum, amelyet IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártója vagy nyújtója bocsátott ki, vagy olyan szervezet bocsátott ki, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, és amely kijelenti, hogy az európai kiberbiztonsági tanúsítási rendszerben meghatározott „alap” megbízhatósági szintnek megfelelő követelmények teljesítését megfelelőségi önértékeléssel igazolták;

16.„IKT-termék”: valamely hálózati vagy információs rendszer eleme vagy elemeinek csoportja;

17.„IKT-szolgáltatás”: olyan szolgáltatás, amely teljes mértékben vagy legnagyobb részben információ hálózati és információs rendszerek útján történő továbbításából, tárolásából, lekérdezéséből vagy kezeléséből áll;

18.„IKT-folyamat”: valamely IKT-termék vagy IKT-szolgáltatás tervezése, fejlesztése, rendelkezésre bocsátása illetve nyújtása vagy karbantartása céljából végzett tevékenységek összessége;

19.„irányított biztonsági szolgáltatás”: olyan, harmadik félnek nyújtott szolgáltatás, amely a kiberbiztonsági kockázatkezeléssel kapcsolatos tevékenységek – például események kezelése, behatolásvizsgálat, biztonsági ellenőrzések és technikai támogatással kapcsolatos tanácsadás, többek között szakértői tanácsadás – elvégzéséből vagy az azokhoz nyújtott segítségből áll;

20.„akkreditálás”: a 765/2008/EK rendelet 10. cikkének 2. pontjában meghatározott akkreditálás;

21.„nemzeti akkreditáló testület”: a 765/2008/EK rendelet 2. cikkének 11. pontjában meghatározott nemzeti akkreditáló testület;

22.„megfelelőségértékelés”: a 765/2008/EK rendelet 2. cikkének 12. pontjában meghatározott megfelelőségértékelés;

23.„megfelelőségértékelő szervezet”: a 765/2008/EK rendelet 13. cikkének 2. pontjában meghatározott megfelelőségértékelő szervezet;

24.„szabvány”: az 1025/2012/EU európai parlamenti és tanácsi rendelet 71 2. cikkének 1. pontjában meghatározott szabvány;

25.„műszaki előírás”: az 1025/2012/EU rendelet 2. cikkének 4. pontjában meghatározott műszaki előírás;

26.„harmonizált szabvány”: az 1025/2012/EU rendelet 2. cikke 1. pontjának c) alpontjában foglalt fogalommeghatározás szerinti harmonizált szabvány;

27.„megbízhatósági szint”: az az iránti bizalom alapja, hogy valamely IKT-termék, IKT-szolgáltatás, IKT-folyamat, irányított biztonsági szolgáltatás vagy egy adott szervezet kiberbiztonsági helyzete teljesíti egy adott európai kiberbiztonsági tanúsítási rendszer biztonsági követelményeit, és megmutatja, hogy valamely IKT-terméket, IKT-szolgáltatást, IKT-folyamatot, irányított biztonsági szolgáltatást vagy egy adott szervezet kiberbiztonsági helyzetét milyen szinten értékeltek, de nem méri az érintett IKT-termék, IKT-szolgáltatás, IKT-folyamat, irányított biztonsági szolgáltatás vagy egy adott szervezet kiberbiztonsági helyzete biztonságát;

28.„megfelelőségi önértékelés”: IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártója vagy nyújtója által végzett tevékenység, vagy olyan szervezet által végzett tevékenység, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, amely értékeli, hogy az adott IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások vagy a szervezetek kiberbiztonsági helyzete teljesítik-e egy adott európai kiberbiztonsági tanúsítási rendszer követelményeit;

29.„szervezetek kiberbiztonsági helyzete”: a szervezetek kiberbiztonsági szintje a konkrét biztonsági követelmények tekintetében;

30.„előzetes jóváhagyási modell”: olyan modell, amellyel a megfelelőségértékelő szervezet a nemzeti kiberbiztonsági tanúsító hatóság által egy adott rendszer szerinti konkrét tanúsítási eljárás keretében végzett értékelés alapján európai kiberbiztonsági tanúsítványt adhat ki;

31.„általános átruházási modell”: olyan modell, amelynek keretében a megfelelőségértékelő szervezet a tanúsítási tevékenységeknek a nemzeti kiberbiztonsági tanúsító hatóság általi átruházása alapján európai kiberbiztonsági tanúsítványt adhat ki;

32.„számítógép-biztonsági incidensekre reagáló csoport” vagy „CSIRT”: az (EU) 2022/2555 irányelv 10. cikke alapján kijelölt vagy létrehozott CSIRT;

33.„IKT-összetevők”: az IKT-eszközök üzemeltetése során felhasználható IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok;

34.„IKT-eszközök”: az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet által használt hálózati és információs rendszerekben található szoftver- vagy hardvereszközök;

35.„kulcsfontosságú IKT-eszközök”: a 102. cikkel összhangban azonosított IKT-eszközök;

36.„elektronikus hírközlő hálózat”: az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] 2. cikkének 1. pontjában meghatározott nyilvános elektronikus hírközlő hálózat;

37.„ellenőrzés”: a valamely jogalany felett akár közvetlenül, akár pedig egy vagy több köztes jogalanyon keresztül közvetve meghatározó befolyás gyakorlására való képesség;

38.„letelepedés”: tartós jelleggel folytatott tényleges tevékenység abban az országban, ahol a szervezet központi ügyvezetése vagy üzleti tevékenységének fő helye található;

39.„magas kockázatú beszállító”: a következők valamelyike:

a)a 100. cikkel összhangban jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országban letelepedett szervezet vagy ilyen harmadik ország által, ilyen harmadik országban letelepedett szervezet által vagy ilyen harmadik ország állampolgára által ellenőrzött szervezet;

b)a 103. cikk (7) bekezdésével összhangban jegyzékbe vett szervezet és az általa ellenőrzött szervezetek;

40.„IKT-ellátási lánc”: IKT-szolgáltatások, IKT-termékek és IKT-folyamatok összessége, amely magában foglalja a termék forgalmazását vagy a szolgáltatás nyújtását megelőző valamennyi szakaszban részt vevő tevékenységeket és szereplőket;

41.„harmadik ország”: az (EU) 2023/2675 európai parlamenti és tanácsi rendelet 72 3. cikkének 4. pontjában meghatározott harmadik ország;

42.„nem technikai kockázat”: annak valószínűsége, hogy a szolgáltatóra egy harmadik ország olyan befolyást gyakorol, amely veszteséget vagy zavart okozhat a nyújtott szolgáltatásban, vagy veszélyeztetheti a szervezet által előállított terméket, vagy adatok kiszivárogtatásához vezethet, többek között kémkedés vagy jövedelemtermelés céljából;

43.„jelentős nem technikai kiberbiztonsági kockázat”: olyan nem technikai kiberbiztonsági kockázat, amelyről feltételezhető, hogy nagy valószínűséggel olyan eseményt idéz elő, amely súlyos negatív hatással járhat, többek között jelentős anyagi vagy nem anyagi veszteséget vagy zavart okozva;

44.„mobil elektronikus hírközlő hálózatok gerinchálózati funkciói”: a mobil elektronikus hírközlő hálózatok központi architektúra-eleme, amely összekapcsolja a fő hálózati csomópontokat az internettel, és kezeli az alapvető rendszerfunkciókat, beleértve a következőket: felhasználói berendezések hitelesítése; jogszerű lehallgatási funkciók (LI); a hálózatok peremén lévő biztonsági átjárók (SeGW); biztonságjelzési funkciók; barangolás- és munkamenet-irányítás; a felhasználói és vezérlési adatok átvitele; a hozzáférési politika kezelése; hálózati szolgáltatások regisztrációja és engedélyezése; a végfelhasználói és hálózati adatok tárolása; kritikus hálózati szolgáltatások (beleértve a doménnévrendszert (DNS)); összekapcsolás harmadik felek mobilhálózataival; a gerinchálózati funkciók külső alkalmazásoknak való kitettsége; a hálózati szeletek kiválasztása és kezelése;

45.„a mobil elektronikus hírközlő hálózatok hálózati funkcióinak virtualizálása (NFV), valamint menedzsmentje és hálózati orkesztrációja (MANO)”: olyan szoftver- és architektúra-keret, mely biztosítja a virtualizált hálózati funkciók (VNF-ek) életciklus-menedzsmentjét, orkesztrációját és automatizálását, a felhőnatív hálózati funkciókat (CNF-ek), valamint a mobil elektronikus hírközlő hálózatokon belüli hálózati szeletek kiválasztását és kezelését;

46.„a mobil elektronikus hírközlő hálózatok rádiós hozzáférési hálózata (RAN)”: a mobil felhasználói berendezést a gerinchálózattal összekötő hálózat, amely magában foglalja a következőket: bázisállomások (eNodeB a 4G esetében, gNodeB az 5G esetében), távoli fejegységek (RRH) és alapsávú egységek (BBU), aktív antennarendszerek (AAS) és adott esetben a lebontott RAN-összetevők, például a központi egységek (CU) és az elosztott egységek (DU), valamint a RAN intelligens vezérlője (RIC);

47.„állandóhelyű elektronikus hírközlő hálózatok gerinchálózati funkciói”: a hálózat fő funkciói, amely összekapcsolják a főbb csomópontokat, és számos alapvető funkciót kezelnek, beleértve a következőket: a felhasználók hitelesítése és engedélyezése (AAA); jogszerű lehallgatási funkciók (LI); doménnévrendszer (DNS) és az IP-címek hozzárendelése; a hozzáférési politika kezelése; a végfelhasználói és hálózati adatok tárolása; IP-kapcsolás és útválasztás; nemzetközi internetes átjárók (IIG);

48.„állandóhelyű elektronikus hírközlő hálózatok hálózatkezelő rendszere”: a hálózat üzemeltetéséhez, igazgatásához, karbantartásához és szolgáltatásához (OAM&P), valamint a hálózattal kapcsolatos információk nyomon követéséhez szükséges valamennyi központosított platform és szoftverkomponens;

49.„állandóhelyű elektronikus hírközlő hálózatok átviteli és továbbítási funkciói”: a hálózat egészében a forgalom felhordásához és összesítéséhez szükséges valamennyi alkotóelem, beleértve a következőket: optikai átviteli berendezéseket, mikrohullámú összeköttetések és tenger alatti kábelrendszerek, amelyek magukban foglalják a víz alatti berendezéseket, valamint a tenger alatti vonalak végberendezései (SLTE) és a fizikai csatlakozóállomásként szolgáló létesítmények;

50.„állandóhelyű elektronikus hírközlő hálózatok hozzáférési hálózata”: a végfelhasználó helyiségeit az aggregációs hálózattal vagy a gerinchálózattal összekötő hálózat, beleértve a következőket: optikai végződtető berendezés (OLT) és optikai hálózati végberendezés (ONT) az optikai hálózatok esetében; koaxiális kábelmodem-végződtető rendszer (CMTS) és kábelmodemek a koaxiális kábelhálózatok esetében; állandóhelyű vezeték nélküli hozzáférési komponensek, amennyiben azokat állandóhelyű vezeték helyettesítőként használják.

II. CÍM 
AZ EURÓPAI UNIÓS KIBERBIZTONSÁGI ÜGYNÖKSÉG

I. fejezet 
Küldetés és célok

3. cikk
Az ENISA küldetése

(1)Az ENISA küldetése, hogy támogassa a tagállamokat és az uniós szervezeteket az Unión belüli magas szintű kiberbiztonság, kiberreziliencia és bizalom elérésében.

(2)Az ENISA-nak a tagállamok, valamint az egyéb Unió-beli érdekelt felek számára a kiberbiztonsággal kapcsolatos tanácsadás és szaktudás referenciapontjaként kell szolgálnia.

(3)Az ENISA-nak az e rendelet által ráruházott feladatok ellátásával hozzá kell járulnia a belső piac széttagoltságának csökkentéséhez.

(4)Az ENISA az uniós jogi aktusok által ráruházott feladatokat látja el.

(5)Az ENISA-nak ki kell építenie saját, az e rendelet által ráruházott feladatok ellátásához szükséges kapacitásait, ideértve a műszaki és a humán képességeket és készségeket is.

4. cikk
Az ENISA céljai

(1)Az ENISA kiberbiztonsági szakértői központként működik függetlensége, az általa biztosított tanácsadás, hozzájárulás, segítségnyújtás és információk tudományos és műszaki minősége, működési eljárásainak átláthatósága, működési módszerei, valamint a feladatai ellátásában tanúsított gondosság révén.

(2)Az ENISA segíti a tagállamokat és adott esetben az uniós szervezeteket a kiberbiztonsággal kapcsolatos horizontális és ágazati uniós szakpolitikák és jogszabályok végrehajtásában, beleértve a piacfelügyeleti tevékenységeket is.

(3)Az ENISA szaktudásával segíti a Bizottságot a kiberbiztonsággal kapcsolatos uniós szakpolitikák és jogszabályok kidolgozásában.

(4)Az ENISA Unió-szerte támogatja a kapacitásépítést és a felkészültséget azáltal, hogy segíti a tagállamokat, az (EU, Euratom) 2023/2841 rendelet IV. fejezetében említett, az uniós intézmények, szervek és hivatalok hálózatbiztonsági vészhelyzeteket elhárító csoportján (CERT-EU) keresztül az uniós szervezeteket, valamint a köz- és magánszféra érdekelt feleit hálózati és információs rendszereik védelmének növelésében, valamint a kiberreziliencia és a reagálási kapacitások fejlesztésében és javításában.

(5)Az ENISA hozzájárul a Kiberkészségek Akadémiájának megvalósításához és a kiberbiztonsági munkaerő növekedéséhez az Unióban azáltal, hogy támogatja a készségek Unió-szerte megvalósuló hordozhatóságának fejlesztésére irányuló erőfeszítéseket, többek között az európai kiberbiztonsági készségkeret karbantartása és elterjesztése, valamint az európai egyedi kiberbiztonsági készségtanúsítási rendszereknek e cím II. fejezetének 4. szakaszával összhangban történő fejlesztése, karbantartása és elterjesztése, valamint a 6. cikk (8) bekezdésével összhangban képzés nyújtásának biztosítása révén.

(6)Az ENISA-nak a kiberbiztonsággal kapcsolatos kérdésekben elő kell mozdítania az uniós szintű együttműködést – beleértve az információmegosztást és koordinációt – a tagállamok, az (EU, Euratom) 2023/2841 rendelet szerinti uniós szervezetek, valamint a köz- és a magánszféra releváns érdekelt felei között.

(7)Az ENISA-nak hozzá kell járulnia az uniós szintű kiberbiztonsági képességek növeléséhez annak érdekében, hogy támogassa a kiberfenyegetések megelőzése és az azokra való reagálás terén tett tagállami intézkedéseket.

(8)Az ENISA támogatja az uniós szintű operatív együttműködést, többek között azáltal, hogy hozzájárul a kiberfenyegetésekkel és kiberbiztonsági incidensekkel kapcsolatos közös helyzetismerethez a tagállamok között, valamint – a CERT-EU-val együttműködésben – az uniós szervezetek között.

(9)Az ENISA szorosan együttműködik az Europollal, a CSIRT-ekkel és más releváns nemzeti hatóságokkal a zsarolóvírus-incidensekre való kiberbiztonsági felkészültség és reagálás javítása érdekében.

(10)Az ENISA e rendelet III. címével összhangban hozzájárul az európai kiberbiztonsági tanúsítási keretrendszer létrehozásához és fenntartásához. Az ENISA-nak elő kell mozdítania az európai kiberbiztonsági tanúsítás használatát a belső piac széttagoltságának elkerülése érdekében.

(11)Az ENISA hozzájárul a digitális egységes piac harmonizációjához azáltal, hogy részt vesz a kiberbiztonsággal kapcsolatos uniós szakpolitikák szempontjából releváns szabványosítási munkában, és műszaki előírásokat dolgoz ki.

(12)Az ENISA előmozdítja a szervezetek és a vállalkozások magas szintű kiberbiztonsági tudatosságot.

II. fejezet 
Feladatok

1. szakasz 
Az uniós szakpolitika és jogszabályok támogatása

5. cikk
Az uniós szakpolitika és jogszabályok támogatása

(1)Az ENISA-nak az alábbiakkal kell hozzájárulnia az uniós szakpolitika és jogszabályok végrehajtásához:

a)segítségnyújtás a tagállamoknak a kiberbiztonsággal kapcsolatos uniós szakpolitikák és jogszabályok következetes végrehajtásában, többek között technikai útmutatások és jelentések kiadásával, tanácsadással és a bevált gyakorlatok megosztásával, valamint az e tekintetben bevált gyakorlatok illetékes hatóságok közötti cseréjének elősegítésével;

b)az ágazaton belüli és az ágazatok közötti információmegosztás támogatása, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok és az (EU) 2024/2847 rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékek tekintetében, a rendelkezésre álló eszközökre és eljárásokra vonatkozó bevált gyakorlatok és útmutatás biztosításával;

c)a Bizottság kérésére az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokra szabott támogatás, például technikai útmutatás – többek között a kiberbiztonsági kockázatkezelési intézkedések, a kiberbiztonsági érettség értékelésére szolgáló eszközök és az incidensekre való reagálására vonatkozó operatív protokoll tekintetében – biztosításával vagy az (EU) 2024/2847 rendeletnek megfelelően a digitális elemeket tartalmazó termékekre vonatkozó, a beépített biztonságot előíró elv végrehajtásában nyújtott támogatással segíti a tagállamokat annak érdekében, hogy megkönnyítse kiberbiztonsági érettségi szintjük javítását és a kiberbiztonságra vonatkozó uniós jognak való megfelelést;

d)hozzájárulás az (EU) 2022/2555 irányelv 14. cikkének (1) bekezdése alapján létrehozott együttműködési csoport (a továbbiakban: Kiberbiztonsági Együttműködési Csoport), a 910/2014/EU rendelet 46e. cikkének (1) bekezdése alapján létrehozott, a digitális személyazonossággal foglalkozó együttműködési csoport, az e rendelet 90. cikkében említett európai kiberbiztonsági tanúsítási csoport és az (EU) 2024/2847 rendelet 52. cikkének (15) bekezdése alapján létrehozott közigazgatási együttműködési csoport (AdCo) munkájához;

e)segítségnyújtás a tagállamok és a releváns az uniós szervek számára olyan kiberbiztonsági szakpolitikák kidolgozásához és előmozdításához, amelyek a nyílt internet nyilvános alkotóelemei általános elérhetőségének vagy sértetlenségének fenntartásához kapcsolódnak;

f)az (EU) 2024/2847 rendelettel összhangban technikai tanács és támogatás nyújtása a tagállamoknak és a Bizottságnak az említett rendelet végrehajtásával kapcsolatos kérdésekben;

g)a tagállamok támogatása a kölcsönös segítségnyújtásban és az ilyen együttműködési folyamatok elősegítésében az alapvető és fontos szervezetek tekintetében [az (EU) 2022/2555 irányelv 37a. cikke] szerint;

h)az Európai Adatvédelmi Testület kérésére tanácsadás az adatvédelemmel és a magánélet tiszteletben tartásával kapcsolatos uniós szakpolitika és jog egyes kiberbiztonsági vonatkozásainak végrehajtásával kapcsolatban.

(2)Az ENISA hozzájárul az összehangolt uniós szintű kiberbiztonsági kockázatértékelésekhez, beleértve az (EU) 2022/2555 irányelv 22. cikke alapján végzett értékeléseket is.

(3)Az ENISA iránymutatásokat ad ki az információmegosztásra használt hálózati és információs rendszerek interoperabilitására vonatkozóan, többek között az (EU) 2025/38 rendelet 6. cikkének (3) bekezdésében említett, határokon átnyúló kiberközpontok tekintetében.

(4)Az ENISA az (EU) 2022/2555 irányelv 14. cikkének (3) bekezdése értelmében tagja a Kiberbiztonsági Együttműködési Csoportnak.

(5)A Bizottság kérésére az ENISA szakértelmet, technikai tanácsadást, tájékoztatást vagy elemzést nyújt, vagy előkészítő munkát végez konkrét kiberbiztonsági kérdésekben annak érdekében, hogy információkkal szolgáljon a Bizottság szakpolitikai döntéshozatalához és az uniós jogszabályok végrehajtásának nyomon követéséhez.

6. cikk
Kapacitásépítés

Az ENISA-nak támogatnia kell:

1.a tagállamokat a kiberfenyegetések és az incidensek megelőzésének, észlelésének és elemzésének, valamint az ezekre való reagálási képességnek a javítására irányuló erőfeszítéseikben, ismereteket és szaktudást biztosítva számukra;

2.kérésükre a tagállamokat, hogy önkéntes módon sérülékenységfeltárási politikákat dolgozzanak ki és hajtsanak végre;

3.az (EU, Euratom) 2023/2841 rendelettel összhangban a CERT-EU és az Intézményközi Kiberbiztonsági Testület arra irányuló erőfeszítéseit, hogy támogassák az uniós szervezeteket kiberbiztonságuk megerősítésében, a kiberfenyegetések és kiberbiztonsági incidensek megelőzésének, észlelésének és elemzésének javításában, valamint az ilyen kiberfenyegetésekre és kiberbiztonsági incidensekre való reagálási képességeik javításában;

4.kérés esetén a tagállamokat a nemzeti CSIRT-ek továbbfejlesztésében az (EU) 2022/2555 irányelv 10. cikkének (10) bekezdése alapján;

5.kérés esetén a tagállamokat nemzeti kiberbiztonsági stratégiájuk és az e stratégia értékelésére szolgáló fő teljesítménymutatók kidolgozásában vagy frissítésében az (EU) 2022/2555 irányelv 7. cikkének (4) bekezdése alapján, valamint az említett stratégiák terjesztésének előmozdításában és az Unióban történő végrehajtásuk figyelemmel kísérésében a bevált gyakorlatok előmozdítása érdekében;

6.kérésükre az uniós intézményeket a kiberbiztonsággal kapcsolatos uniós stratégiák kidolgozásában és felülvizsgálatában, elősegítve azok terjesztését és végrehajtásuk előrehaladásának nyomon követését;

7.a nemzeti CSIRT-eket képességeik fejlesztésében, többek között a párbeszéd és az információcsere előmozdítása révén, annak biztosítása érdekében, hogy a technika legutóbbi állására tekintettel minden CSIRT rendelkezzen közös minimumképességekkel, és a bevált gyakorlatok szerint működjön;

8.a tagállamokat, az uniós szervezeteket, valamint a köz- és magánszféra érdekelt feleit a kiberbiztonsági munkaerő értékelésére, növelésére és fejlesztésére irányuló erőfeszítéseik során, többek között a releváns eszközök, például az európai kiberbiztonsági készségkeret és az európai egyedi kiberbiztonsági készségtanúsítási rendszerek fejlesztése, karbantartása és elterjedésük előmozdítása révén, e fejezet 4. szakaszával összhangban;

9.a releváns állami szerveket és a magánszféra érdekelt feleit, adott esetben az érdekelt felekkel együttműködésben tartott célzott képzésekkel;

10.a Kiberbiztonsági Együttműködési Csoportot a bevált gyakorlatok és információk cseréje terén, különösen az (EU) 2022/2555 irányelvnek az említett irányelv 14. cikke (4) bekezdésének c) pontja szerinti végrehajtásával kapcsolatban;

11.az (EU) 2024/2847 rendelet alapján kijelölt piacfelügyeleti hatóságokat az említett rendelet eredményes végrehajtásának biztosítását célzó tevékenységeik során, beleértve a gazdasági szereplőknek nyújtott útmutatás és technikai tanácsadás támogatását, valamint a megfelelőségi ellenőrzések, a kockázatértékelés, a közös tevékenységek és az összehangolt ellenőrzések támogatását az (EU) 2024/2847 rendeletben meghatározottak szerint;

12.az európai kiberbiztonsági tanúsítási csoport tagjait a bevált gyakorlatok cseréjében és az egyes tagállamok kérésére a nemzeti kiberbiztonsági tanúsító hatóságokat az európai kiberbiztonsági tanúsítási rendszerek nemzeti szintű végrehajtásával kapcsolatban;

13.a hatóságokat és a magánszféra érdekelt feleit a megfelelőségértékelési és értékelési tevékenységekkel kapcsolatban – beleértve a megfelelőségértékelő szervezeteket és a kis- és középvállalkozásokat is – egy olyan robusztus, versenyképes, inkluzív és harmonizált megfelelőségértékelési ökoszisztéma támogatása érdekében, amely előmozdítja az (EU) 2024/2847 rendelet és az európai kiberbiztonsági tanúsítási keretrendszer végrehajtását;

14.az (EU) 2021/887 rendelet alapján létrehozott Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközpontot és nemzeti koordinációs központok hálózatát a jelenlegi és jövőbeli kockázatokra és kiberfenyegetésekre vonatkozó információk megosztása révén, többek között az új és kialakulóban lévő információs és kommunikációs technológiák tekintetében;

15.a tagállamokat technikai támogatás útján, többek között a kiberbiztonsági szabályozói tesztkörnyezeteknek a vonatkozó uniós jogszabályokkal összhangban történő létrehozása és működtetése céljából.

7. cikk
Figyelemfelkeltés és tehetségbázis

Az ENISA megvalósítható eszközök és útmutatás kidolgozásával segíti a tagállamokat a kiberbiztonsággal kapcsolatos uniós szakpolitikák és jogszabályok megismertetésére, valamint láthatóságuk előmozdítására irányuló erőfeszítéseikben. Az ENISA támogatja az európai kiberbiztonsági tehetségbázis növelését célzó kezdeményezéseket, különösen a versenyvizsgák koordinálása révén.

8. cikk
Piaci ismeretek és piacelemzések

(1)Az ENISA elemzéseket végez és terjeszt a kiberbiztonsági piac fő piaci tendenciáiról mind a keresleti, mind a kínálati oldalon, különösen azokon a területeken, ahol európai kiberbiztonsági tanúsítási rendszerek léteznek vagy a tervek szerint létezni fognak, az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok, valamint az (EU) 2024/2847 rendeletben, és annak III. és IV. mellékletében felsorolt termékkategóriák tekintetében.

(2)Az ENISA elemzéseket végez és terjeszt a technológiai kiberbiztonsági tendenciákról, különösen az (EU) 2022/2555 irányelv hatálya alá tartozó tevékenységekkel és szervezetekkel, valamint az (EU) 2024/2847 rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékekkel kapcsolatban.

(3)Az ENISA fejleszti a tudást, valamint technikai tanácsokkal és elemzésekkel szolgál a legkorszerűbb kiberbiztonsági eszközökkel, keretszabványokkal és bevált gyakorlatokkal kapcsolatban.

9. cikk
Nemzetközi együttműködés

Az ENISA-nak a kiberbiztonsággal kapcsolatos kérdésekre vonatkozó nemzetközi együttműködés elősegítése érdekében hozzá kell járulnia a harmadik országokkal és nemzetközi szervezetekkel, valamint a vonatkozó nemzetközi együttműködési kereteken belül folytatandó együttműködésre irányuló uniós erőfeszítésekhez azáltal, hogy:

a)adott esetben megfigyelőként részt vesz a nemzetközi gyakorlatok szervezésében, valamint az ilyen gyakorlatok eredményeiről elemzést és jelentést készít az igazgatótanácsnak;

b)a Bizottság kérésére elősegíti a bevált módszerek cseréjét harmadik országokkal és nemzetközi szervezetekkel;

c)a Bizottság kérésére szakértelemmel támogatja a Bizottságot;

d)szakértői tanácsadást és támogatást nyújt a Bizottságnak az európai kiberbiztonsági tanúsítványok 87. cikk szerinti nemzetközi elismerésével kapcsolatos kérdésekben;

e)tanácsadást és támogatást nyújt a Bizottságnak a nemzetközi szabványosítással kapcsolatos kérdésekben, valamint a releváns nemzetközi szabványügyi szervezetekkel folytatott interakcióval kapcsolatos kérdésekben, adott esetben a 90. cikkel létrehozott európai kiberbiztonsági tanúsítási csoporttal együttműködve.

2. szakasz

Operatív együttműködés

10. cikk
Uniós szintű operatív együttműködés

(1)Az ENISA a CERT-EU-n keresztül támogatja a tagállamok, az uniós szervezetek és más érdekelt felek közötti operatív együttműködést.

(2)Az ENISA tagja az (EU) 2022/2555 irányelv 15. cikkének (1) bekezdése alapján létrehozott nemzeti CSIRT-hálózatnak, és az (EU) 2022/2555 irányelv 15. cikkének (2) bekezdése alapján biztosítja a CSIRT-hálózat titkárságát.

(3)Az ENISA az (EU) 2022/2555 irányelv 16. cikke (2) bekezdésének második albekezdése alapján biztosítja az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatának (EU-CyCLONe) titkárságát.

(4)Az ENISA támogatja a tagállamok közötti technikai és operatív együttműködést, különösen a CSIRT-hálózaton és az EU-CyCLONe-on keresztül. E támogatás a következőket foglalja magában:

a)az incidensek megelőzésére, észlelésére, az azokra való reagálásra és az azokat követő helyreállításra irányuló képességeik javításával kapcsolatos tanácsadás;

b)egy vagy több tagállam kérésére tanácsadás és értékelések nyújtása egy konkrét potenciális vagy folyamatban lévő incidenssel vagy kiberfenyegetéssel kapcsolatban, többek között szakértelem biztosítása és az említett incidensek műszaki kezelésének megkönnyítése, valamint a releváns információk és műszaki megoldások tagállamok közötti önkéntes megosztásának támogatása révén;

c)a sérülékenységek, fenyegetések és incidensek elemzése;

d)egy vagy több tagállam kérésére támogatás az (EU) 2022/2555 irányelv 23. cikkének (3) bekezdése értelmében vett jelentős incidens utólagos műszaki vizsgálatához;

e)hozzájárulás a nagyszabású kiberbiztonsági incidensek és válsághelyzetek operatív szintű összehangolt kezelésének támogatásához, különösen azáltal, hogy segíti az EU-CyCLONe-t a szakpolitikai szintű jelentések elkészítésében, valamint megkönnyíti a CSIRT-hálózat és az EU-CyCLONe közötti időben történő információmegosztást.

(5)Valamely tagállam vagy uniós szervezet kérésére az ENISA a CERT-EU-val együttműködve támogatja az incidenssel vagy a kiberfenyegetéssel kapcsolatos következetes nyilvános kommunikációt.

(6)Az ENISA támogatja a tagállamok közötti és – a CERT-EU-n keresztül – az uniós szervezetek közötti együttműködést a biztonságos kommunikációs eszközök telepítése tekintetében. Az ENISA a CSIRT-hálózaton és az EU-CyCLONe-on belül olyan biztonságos kommunikációs eszközöket használ, amelyeket az Unióban letelepedett vagy ilyennek minősülő, és a tagállamoknak vagy a tagállamok állampolgárainak ellenőrzése alatt álló jogalanyok biztosítanak.

11. cikk
Közös kiberbiztonsági helyzetismeret

(1)A tagállamoknak és az uniós szervezeteknek a kiberfenyegetésekre és az incidensekre vonatkozó fokozott közös helyzetismerete érdekében az ENISA:

a)az EU-CyCLONe-nal, a CSIRT-hálózattal, a Bizottsággal, a CERT-EU-val, az Europollal és más releváns uniós szervezetekkel együttműködve kidolgozza a kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információkat – beleértve az incidensek, a taktikák, a technikák és az eljárások terén megmutatkozó tendenciákat – tartalmazó adattárakat;

b)a 12. cikkel összhangban korai riasztást ad ki valamely potenciális vagy folyamatban lévő nagyszabású kiberbiztonsági incidensről vagy potenciális határokon átnyúló jellegű kiberfenyegetésről, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok tekintetében;

c)a CSIRT-hálózat, az EU-CyCLONe vagy a Bizottság kérésére időben eseti elemzéseket készít az incidensek terén tapasztalható kialakulóban lévő tendenciákról;

d)a tagállamok vagy a Bizottság kérésére elemzést vagy egyéb információkat szolgáltat tényleges vagy vélt kiberbiztonsági kockázatról vagy fenyegetésről;

e)elemzést és technikai tanácsadást nyújt a digitális elemeket tartalmazó termékek kiberbiztonsági kockázataival kapcsolatban, többek között a piacfelügyelet támogatása érdekében, valamint az (EU) 2024/2847 rendelet 17. cikkének (3) bekezdésével összhangban az újonnan felmerülő tendenciákról szóló kétéves technikai jelentés elkészítésével;

f)rendszeresen készít részletes uniós kiberbiztonsági műszaki helyzetjelentést az incidensekről és a kiberfenyegetésekről, és a jelentést a Tanács, az EU-CyCLONe, a CSIRT-hálózat, a Bizottság, az Európai Külügyi Szolgálat és az Europol rendelkezésére bocsájtja;

g)nyomon követi a zsarolóvírus-támadások technikáiban és hatásaiban, továbbá a zsarolóvírus-támadásokhoz kapcsolódó igényekben megmutatkozó tendenciákat, és e tendenciákról tájékoztatást nyújt a Bizottságnak, a CSIRT-hálózatnak, valamint az EU-CyCLONe-nak és az Europolnak.

(2)Az érdekelt feleknek a kiberfenyegetésekre és az incidensekre vonatkozó fokozott közös helyzetismerete érdekében az ENISA:

a)elemzi a kiberfenyegetéseket, az incidenseket, a tendenciákat, a kialakulóban lévő technológiákat és azok hatásait, beleértve az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokra és az (EU) 2024/2847 rendelet hatálya alá tartozó releváns termékkategóriákra kiterjedő rendszeres elemzést is;

b)a Bizottsággal és adott esetben a CSIRT-hálózattal együttműködve tanácsot, útmutatást és bevált gyakorlatokat ad ki a hálózati és információs rendszerek biztonsága, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokat támogató infrastruktúrák biztonsága tekintetében;

c)elvégzi a kiberbiztonsági fenyegetések és incidensek hosszú távú stratégiai elemzését a kialakulóban lévő tendenciák azonosítása és az incidensek megelőzésének elősegítése érdekében.

(3)Az ENISA a (2) bekezdésben említett elemzéseket, tanácsokat, útmutatást, bevált gyakorlatokat és jelentéseket a (2) bekezdésben említett hozzájáruló szervezetekkel egyetértésben nyilvánosságra hozhatja.

(4)Az (1) bekezdés a)–d) és f) pontjában és (2) bekezdésében felsorolt tevékenységek végzése során az ENISA saját elemzéseit és adott esetben a feladatai ellátása során kapott információkat használja fel, beleértve a következőket:

a)nyilvánosan hozzáférhető forrásokban szolgáltatott információk, beleértve az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján létrehozott európai sérülékenység-adatbázisban az IKT-termékekre vagy IKT-szolgáltatásokra nézve elérhető nyilvánosan ismert sérülékenységeket;

b)a tagállamok, az uniós szervezetek, a CERT-EU, a magánszektorbeli vagy nem kormányzati partnerek, valamint harmadik országok és nemzetközi szervezetek által megosztott információk, a szóban forgó információk további terjesztésére vonatkozó, látható jelölés útján történő esetleges korlátozásokra figyelemmel.

(5)Az ENISA szorosan együttműködik a tagállamokkal az (1) bekezdés e) pontjában említett uniós kiberbiztonsági műszaki helyzetjelentés elkészítése során. A jelentés a nyilvánosan hozzáférhető információkon, az ENISA saját elemzésén, valamint többek között a tagállamok CSIRT-jei, az (EU) 2022/2555 irányelvvel létrehozott egyedüli kapcsolattartó pontok (mindkettő esetében önkéntes alapon), az EC3 és a CERT-EU által rendelkezésre bocsátott jelentéseken alapul. A hozzájáruló szervezetekkel egyetértésben az ENISA nyilvánosan hozzáférhetővé teheti a jelentés összesített változatát.

12. cikk
Korai riasztások

(1)Az e rendelet 11. cikk (1) bekezdés első albekezdésének b) pontjában említett korai riasztások releváns információkat tartalmaznak potenciális vagy folyamatban lévő nagyszabású kiberbiztonsági incidensről vagy potenciális határokon átnyúló jellegű kiberfenyegetésről az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok tekintetében. Ezek az információk magukban foglalhatják a nyilvánosan ismert sérülékenységeket és azt, hogy azok érintenek-e olyan digitális elemeket tartalmazó termékeket, amelyek az (EU) 2024/2847 rendelet hatálya alá tartoznak, magukban foglalhatnak továbbá technikákat és eljárásokat, fertőzöttségi mutatókat, ellenséges taktikákat, az elkövetővel kapcsolatos információkat és a kockázatcsökkentő intézkedésekre vonatkozó ajánlásokat.

(2)A 11. cikk (1) bekezdése első albekezdésének b) pontjában említett korai riasztásokat a lehető leghamarabb ki kell adni az érintett CSIRT vagy CSIRT-ek részére, valamint adott esetben a CSIRT-hálózat és az EU-CyCLONe részére.

(3)Az ENISA korai riasztási szolgáltatást nyújt az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokban működő szervezetek számára.

(4)A (3) bekezdésben említett szolgáltatást a szervezet kérésére, nyilvánosan hozzáférhetővé tett, géppel olvasható formátumban kell nyújtani. Ez a szolgáltatás magában foglalja a kiberfenyegetettségi mutatókra vonatkozó információk és a kockázatcsökkentő intézkedésekre vonatkozó ajánlások megosztását.

(5)Az ENISA eljárást dolgoz ki a korai riasztásoknak a (3) bekezdésben említett szervezetek körében történő terjesztésére.

13. cikk
Támogatás az incidensre való reagálás és a felülvizsgálat terén

(1)Az ENISA az (EU) 2025/38 rendelettel összhangban részben vagy egészben működteti és igazgatja az uniós kiberbiztonsági tartalékot.

(2)Az (EU) 2025/38 rendelet 21. cikkével összhangban a Bizottság vagy az EU-CyCLONe kérésére az ENISA a CSIRT-ek hálózatának támogatásával és az érintett tagállam jóváhagyásával felülvizsgálja és értékeli a jelentős vagy nagyszabású kiberbiztonsági incidenseket.

(3)Az ENISA az Europollal, a CSIRT-ekkel vagy adott esetben más illetékes hatóságokkal együttműködve segíti az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt egyes alapvető és fontos szervezeteket a zsarolóvírus-incidensekre való felkészülésben, az azokra való reagálásban és az azokat követő helyreállításban. E célból az ENISA ügyfélszolgálatot hoz létre, és különösen hagyatkozik a kiberfenyegetésekre és az incidensekre vonatkozó, az e rendelet 11. cikke (1) bekezdése első albekezdésének a) és g) pontja szerinti fokozott közös helyzetismeretre.

14. cikk
Kiberbiztonsági uniós szintű gyakorlatok

(1)Az ENISA támogatja a Bizottságot az uniós szintű kiberbiztonsági gyakorlatok éves gördülő programjának összeállításában.

(2)Az ENISA adattárat tart fenn az (1) bekezdésben említett gyakorlatokból levont tanulságokról, és ajánlást tesz a tagállamoknak és adott esetben az uniós szervezeteknek arra vonatkozóan, hogy a levont tanulságokat hogyan lehet eredményesen és hatékonyan alkalmazni.

(3)Az EU-CyCLONe és a Bizottság kérésére az ENISA uniós szintű kiberbiztonsági gyakorlatokat szervez, vagy hozzájárul azok megszervezéséhez, beleértve a nagyszabású kiberbiztonsági incidensekre és válsághelyzetekre adandó uniós szintű reagálásra való felkészültség tesztelését is.

(4)A tagállamok kérésére az ENISA támogatja őket a nemzeti kiberbiztonsági gyakorlatok megszervezésében.

(5)A CERT-EU kérésére az ENISA hozzájárul a CERT-EU által az (EU, Euratom) 2023/2841 rendelet 13. cikkének (7) bekezdése alapján szervezett kiberbiztonsági gyakorlatok megszervezéséhez.

15. cikk
Eszközök és platformok biztosítása

(1)Az ENISA létrehozza, biztosítja, működteti, karbantartja és szükség esetén frissíti az uniós szintű kiberbiztonsággal kapcsolatos operatív technikai eszközöket (többek között platformokat), különösen az (EU) 2024/2847 rendelet 16. cikkének (1) bekezdése alapján létrehozott egységes jelentéstételi platformot [és az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott, az incidensek bejelentésére szolgáló egyablakos ügyintézési pontot], valamint a vonatkozó uniós jogszabályokkal összhangban a megfelelőségértékelési eljárások végrehajtását támogató tesztelési eszközöket.

(2)Adott esetben az (1) bekezdés alkalmazásában az ENISA együttműködik és információt cserél a CSIRT-hálózattal és adott esetben a piacfelügyeleti hatóságokkal.

16. cikk
Sérülékenységmenedzsment-szolgáltatások

Az ENISA közös uniós sérülékenységmenedzsment-szolgáltatási kapacitást alakít ki, és sérülékenységmenedzsment-szolgáltatásokat nyújt az érdekelt felek részére az alábbiak útján:

a)az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján európai sérülékenység-adatbázis fenntartása;

b)sérülékenységmenedzsment-szolgáltatások nyújtása az érdekelt felek számára, az európai sérülékenység-adatbázisra építve és az ENISA rendelkezésére álló releváns információk felhasználásával;

c)adott esetben strukturált együttműködés kialakítása az európai sérülékenység-adatbázishoz hasonló programokat, nyilvántartásokat vagy adatbázisokat biztosító szervezetekkel;

d)az (EU) 2022/2555 irányelv 12. cikkének (1) bekezdése alapján koordinátorként kijelölt CSIRT-ek aktív támogatása az olyan sérülékenységek összehangolt közzétételének kezelése tekintetében, amelyek egynél több tagállamban gyakorolhatnak jelentős hatást a szervezetekre;

e)a sérülékenységek azonosítására és összehangolt közzétételére szolgáló módszerek és irányítási mechanizmusok kidolgozása és fenntartása az illetékes nemzeti hatóságokkal, a CSIRT-ekkel, az iparral és a kutatói közösséggel együttműködésben.

3. szakasz

Kiberbiztonsági tanúsítás és szabványosítás

17. cikk
Kiberbiztonsági tanúsítás

(1)Az ENISA hozzájárul az e rendelet III. címében meghatározott uniós kiberbiztonsági tanúsítási szakpolitika kidolgozásához és végrehajtásához, és előmozdítja azt. Az ENISA feladatai a következők:

a)az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekre irányuló javaslatok (a továbbiakban: javasolt tanúsítási rendszerek) kidolgozása a 74. cikkel összhangban, valamint adott esetben műszaki előírások kidolgozása a 77. cikkel összhangban;

b)az elfogadott európai kiberbiztonsági tanúsítási rendszerek karbantartása a 75. cikkel összhangban, többek között az elfogadott európai kiberbiztonsági tanúsítási rendszerek 76. cikk szerinti esetleges felülvizsgálata céljából;

c)a 79. cikkel összhangban az elfogadott rendszerek elterjedésének előmozdítása és egy külön erre a célra szolgáló honlap fenntartása, amely tájékoztatást nyújt az európai kiberbiztonsági tanúsítási rendszerekről, az európai kiberbiztonsági tanúsítványokról és az uniós megfelelőségi nyilatkozatokról, és népszerűsíti azokat;

d)a tanúsítási folyamatokkal, az értékelési tevékenységekkel, a kölcsönös felülvizsgálattal és a szakértői értékeléssel kapcsolatos kapacitásépítés megszervezése, többek között a tagállamok kérésére a 6. cikk 12. pontjával összhangban nyújtott támogatás révén.

(2)Az ENISA támogatja a Bizottságot a következő tevékenységekben:

a)az európai kiberbiztonsági tanúsítási csoport irányítása a 90. cikk szerint;

b)európai kiberbiztonsági tanúsítási közgyűlés megszervezése a 72. cikk (1) bekezdésével összhangban;

c)az európai kiberbiztonsági tanúsítványoknak a 87. cikk szerinti nemzetközi elismerésével kapcsolatban;

d)a 89. cikk szerinti kölcsönös felülvizsgálat megszervezése;

e)az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekben hivatkozott mintarendelkezések kidolgozása a 81. cikk (5) bekezdésével összhangban.

18. cikk
Szabványosítás, műszaki előírások és útmutatás

(1)Az ENISA műszaki előírásokat és útmutatást dolgoz ki a kiberbiztonság területére vonatkozó uniós jogszabályok végrehajtásának támogatása érdekében. E műszaki előírások kidolgozása során az ENISA figyelembe veszi a meglévő európai és nemzetközi szabványokat, valamint az egyéb vonatkozó műszaki előírásokat. Az ENISA gondoskodik a műszaki előírások és az útmutatás következetességéről.

(2)Az ENISA a kiberbiztonsággal kapcsolatos uniós szakpolitikák támogatása céljából nyomon követi az uniós szintű és – a 9. cikkel összhangban – a nemzetközi szintű szabványosítási tevékenységeket, és adott esetben részt vesz és vezető szerepet tölt be azokban.

(3)Az ENISA támogatja a kriptográfiai algoritmusok fejlesztését és értékelését. Amennyiben egy kriptográfiai algoritmust az ENISA pozitívan értékel, az ENISA az 1025/2012/EU rendelettel összhangban együttműködik az európai szabványügyi testületekkel a szabványosítás támogatása érdekében.

(4)Az ENISA technikai tanácsadást nyújt a Bizottságnak és adott esetben a tagállamoknak a kiberbiztonsággal kapcsolatos uniós szakpolitikákat támogató megfelelő szabványokról vagy műszaki előírásokról, többek között a kiberbiztonság területére vonatkozó uniós harmonizációs jogszabályok, különösen az (EU) 2024/2847 rendelet, az (EU) 2022/2555 irányelv 25. cikke alkalmazásában a technikai területek, valamint a 81. cikk (1) bekezdésének d) pontja szerinti európai kiberbiztonsági tanúsítási rendszerek tekintetében.

(5)Az ENISA a kiberbiztonság területére vonatkozó uniós harmonizációs jogszabályok végrehajtásának támogatása érdekében segíti a Bizottságot a harmonizáltszabvány-tervezetek értékelésében.

(6)Az ENISA előmozdítja az európai és nemzetközi kiberbiztonsági szabványok elterjedését.

(7)Az ENISA az (1)–(6) bekezdésben említett feladatokat feddhetetlenül, pártatlanul és bizalmasan végzi, többek között azáltal, hogy visszavonja vagy felfüggeszti részvételét bizonyos műszaki testületekben, amennyiben ez a részvétel ellentétes más feladatokkal vagy célkitűzésekkel.

4. szakasz 
A Kiberkészségek Akadémiájának végrehajtása

19. cikk
Az európai kiberbiztonsági készségkeret

(1)Az ENISA kidolgoz és nyilvánosan hozzáférhetővé tesz egy európai kiberbiztonsági készségkeretet. Az európai kiberbiztonsági készségkeret (4) bekezdés szerinti nyilvános hozzáférhetővé tétele vagy aktualizálása előtt az ENISA konzultál a Bizottsággal.

(2)Az európai kiberbiztonsági készségkeret meghatározza a kiberbiztonsági szakemberek profilját, valamint a konkrét feladatok, készségek és ismeretek adott szerepprofilhoz való hozzárendelését. Az európai kiberbiztonsági készségkeret használata az állami szervek és magánszervezetek számára önkéntes.

(3)Az ENISA konzultálhat az érdekelt felekkel az európai kiberbiztonsági készségkeret fejlesztése és elterjesztése során.

(4)Az ENISA-nak értékelnie kell, hogy szükség van-e az európai kiberbiztonsági készségkeret rendszeres aktualizálására, és adott esetben aktualizálnia kell azt.

20. cikk
Európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozása, bevezetése és karbantartása

(1)Az ENISA európai egyedi kiberbiztonsági készségtanúsítási rendszereket dolgoz ki, vezet be és tart karban. Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek használata a nemzeti közjogi szervek és magánszervezetek számára önkéntes, kivéve, ha a nemzeti jog másként rendelkezik.

(2)Valamely európai egyedi kiberbiztonsági készségtanúsítási rendszer kezdeményezése előtt az ENISA konzultál a Bizottsággal. Az ENISA csak a Bizottság kedvező véleményét követően vezethet be ilyen rendszert. Az európai egyedi kiberbiztonsági készségtanúsítási rendszer kidolgozása során az ENISA konzultálhat a releváns érdekelt felekkel.

(3)Az európai egyedi kiberbiztonsági készségtanúsítási rendszernek a következőket kell tartalmaznia:

a)az európai kiberbiztonsági készségkeret szerinti szerepprofilokon vagy azok részhalmazán alapuló tanúsítási rendszer tárgya és hatálya;

b)a 21. cikkel összhangban értékelések elvégzésére kiképzett személyekre (a továbbiakban: értékelők) vonatkozó követelmények, a szükséges készségek, ismeretek és tapasztalatok, valamint képzési módszerek;

c)a piaci elterjedésnek az egyes tanúsítási rendszerekre jellemző elemzése;

d)azok a tanulási eredmények, értékelési módszerek és feltételek, amelyeket a felhatalmazott tanúsítványszolgáltatóknak használniuk kell annak értékeléséhez, hogy az egyén a 21. cikkel összhangban számot adott arról, hogy rendelkezik a szükséges készségekkel;

e)adott esetben egy vagy több jártassági szint;

f)a nyilvántartások felhatalmazott tanúsítványszolgáltatók általi megőrzésére vonatkozó szabályok;

g)a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok tartalma és formátuma, kellően figyelembe véve a 21. cikk (5) bekezdésének e) pontját;

h)a tanúsítási rendszer alapján kibocsátott, a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok maximális érvényességi ideje.

(4)Az európai egyedi kiberbiztonsági készségtanúsítási rendszer tartalmazhatja a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány indikatív költségét.

(5)Az ENISA szoros együttműködést biztosít a tagállamokkal az európai egyedi kiberbiztonsági készségtanúsítási rendszerek előkészítésének teljes folyamata során.

(6)A valamely európai egyedi kiberbiztonsági készségtanúsítási rendszer módosítása nem érinti a 22. cikk (3) bekezdésének a) pontja alapján megadott engedélyt, amely arra az időszakra érvényes, melyre kiadták.

21. cikk
Felhatalmazott tanúsítványszolgáltatók

(1)A felhatalmazott tanúsítványszolgáltatók értékelik, hogy az egyének megfelelnek-e az európai egyedi kiberbiztonsági készségtanúsítási rendszerek követelményeinek, és amennyiben ezek a követelmények teljesülnek, kibocsátják a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat. A tanúsítványszolgáltatók több engedéllyel is rendelkezhetnek, amelyek mindegyikét egy-egy európai egyedi kiberbiztonsági készségtanúsítási rendszerre nézve adták meg a számukra.

(2)Az ENISA útmutatást nyújt az értékelőknek, és kötelező képzést tart számukra a 20. cikk (3) bekezdésének b) pontjában említett, az európai egyedi kiberbiztonsági készségtanúsítási rendszerben foglalt követelményekről és értékelési módszerekről.

(3)Azoknak a szervezeteknek, amelyek felhatalmazott tanúsítványszolgáltatóvá kívánnak válni, vagy meg kívánják újítani engedélyüket (a továbbiakban: kérelmezők), kérelmet kell benyújtaniuk az ENISA-hoz. Ezek a kérelmezők a következő előírásoknak felelnek meg:

a)jogi személyiséggel rendelkeznek;

b)képesek az e rendeletben meghatározott, a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokkal kapcsolatos feladatok ellátására, függetlenül attól, hogy az értékelést maga az engedéllyel rendelkező tanúsítványszolgáltató végzi-e, vagy az ő nevében és felelősségi körében végzik-e el;

c)rendelkeznek az európai egyedi kiberbiztonsági készségtanúsítási rendszerhez kapcsolódó műszaki és adminisztrációs feladatok megfelelő ellátásához szükséges eszközökkel, valamint hozzáférnek minden szükséges felszereléshez és létesítményhez.

A b) pont első albekezdésének alkalmazásában alvállalkozók megbízását vagy külső személyzettel történő konzultációt megfelelően dokumentálni kell, ezekbe közvetítő nem vonható be, valamint írásos megállapodást kell készíteni, amely többek között kiterjed a bizalmas ügykezelésre és az összeférhetetlenségre.

(4)A kérelmezők nem lehetnek magas kockázatú beszállítók.

(5)A felhatalmazott tanúsítványszolgáltatók kötelezettségei a következők:

a)valamennyi európai egyedi kiberbiztonsági készségtanúsítási rendszer végrehajtása tekintetében:

i.rendelkeznek a szükséges értékelőkkel és személyzettel ahhoz, hogy megfelelő időben el tudják végezni az adott rendszerben meghatározott tevékenységeiket;

ii.biztosítják, hogy az értékelők betartsák a szakmai titoktartás követelményeit, pártatlanok legyenek, és munkájukat függetlenül, a legmagasabb szintű szakmai feddhetetlenséggel végezzék;

iii.írásban lefektetett eljárásokkal rendelkeznek annak a rendszernek a keretében végzett tevékenységeik elvégzéséhez, amelyre engedélyük szól;

b)nem értékelik saját értékelőiket, továbbá nem állítanak ki számukra a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat;

c)gondoskodnak arról – adott esetben megfelelő biztosítékok bevezetésével –, hogy értékelőik függetlenül végezhessék munkájukat, különösen akkor, ha a szóban forgó személyek az adott felhatalmazott tanúsítványszolgáltatók struktúrájához tartoznak, vagy ilyen struktúra alkalmazottai vagy tanulói;

d)nem folytatnak olyan tevékenységet, amely veszélyeztetheti értékelőik döntéshozói függetlenségét vagy feddhetetlenségét;

e)gondoskodnak arról, hogy az egyén kérésére a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok elektronikus attribútumtanúsítványként, a 910/2014/EU rendeletben meghatározott európai digitális személyiadat-tárcákban tárolható formátumban kerüljenek kibocsátásra.

(6)A felhatalmazott tanúsítványszolgáltatók haladéktalanul tájékoztatják az ENISA-t, ha a (3) és (4) bekezdésben felsorolt követelmények vagy az (5) bekezdésben felsorolt kötelezettségek bármelyike már nem teljesül, vagy ha kétség merül fel azzal kapcsolatban, hogy az említett követelmények vagy kötelezettségek teljesülnek-e, beleértve az értékelők függetlenségét is.

(7)A felhatalmazott tanúsítványszolgáltatók díjak megfizetésére kötelezhetik az egyéneket a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok értékeléséért és kiállításáért, figyelembe véve a kiberbiztonsági készségekre vonatkozó egyedi európai tanúsítványnak a 20. cikk (4) bekezdése szerinti indikatív költségét, melyet a 23. cikk d) pontjával összhangban egy külön erre a célra szolgáló honlapon közzé kell tenni.

(8)A kérelmezőknek és a felhatalmazott tanúsítványszolgáltatóknak lehetővé kell tenniük az ENISA számára, hogy a kérelmezési folyamat vagy az engedély fenntartása részeként értékeléseket végezzen, és minden releváns információt meg kell osztaniuk annak biztosítása érdekében, hogy a (3) és (4) bekezdésben meghatározott követelmények vagy az (5) bekezdésben meghatározott kötelezettségek a 22. cikk (2) bekezdésével összhangban teljesüljenek vagy továbbra is teljesüljenek.

22. cikk
A felhatalmazott tanúsítványszolgáltatóvá válás iránti kérelmek vizsgálata és az engedélyek fenntartása

(1)A kérelmezőknek a kérelmük vizsgálatáért díjat kell fizetniük az ENISA-nak. A felhatalmazott tanúsítványszolgáltatók engedélyeik fenntartásáért díjat kötelesek fizetni az ENISA részére.

(2)Az ENISA értékeli, hogy a kérelmezők és a felhatalmazott tanúsítványszolgáltatók teljesítik-e vagy továbbra is teljesítik-e a 21. cikk (3) és (4) bekezdésében meghatározott követelményeket és a 21. cikk (5) bekezdésében meghatározott kötelezettségeket.

(3)A kérelemnek a 21. cikk (3) és (4) bekezdésében meghatározott követelmények alapján történő vizsgálatát követően az ENISA a következő határozatok egyikét hozhatja meg:

a)a felhatalmazott tanúsítványszolgáltatói státusz megadása a kérelmező számára vagy e státusz megújítása;

b)a felhatalmazott tanúsítványszolgáltatói státusz megtagadása a kérelmezőtől vagy e státusz megújításának megtagadása;

c)a kérelem feldolgozásának lezárása a kérelmező tétlensége miatt, miután az ENISA kiegészítő információkat kért.

Az ENISA a 22. cikk (2) bekezdése szerinti értékelése alapján vagy a 21. cikk (6) bekezdésében említett esetben módosíthatja, felfüggesztheti vagy visszavonhatja az ilyen határozatokat.

(4)Az ENISA 21. cikk (3) bekezdése szerinti kérelem benyújtásának időpontjától számított három hónapon belül meghozza a (3) bekezdésben említett határozatot. Abban az esetben, ha az ENISA kiegészítő információkat kért a kérelmezőtől, az ENISA a kiegészítő információk kézhezvételétől számított egy hónapon belül meghozza a (3) bekezdésben említett határozatot.

(5)A (3) bekezdés a) pontjában említett határozat maximális érvényességi időtartama három év, és abban fel kell tüntetni az engedély éves fenntartásával kapcsolatos díjat.

(6)Az ENISA biztosítja, hogy a 20. cikkben meghatározott, az európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozásával és elfogadásával kapcsolatos tevékenységei szigorúan elkülönüljenek az e cikk (2) és (3) bekezdésében meghatározott, a kérelmek vizsgálatára és az értékelésekre vonatkozó tevékenységektől, és azokat ez utóbbiaktól függetlenül végezzék.

23. cikk
A nyilvánosság tájékoztatása

Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást:

a)az európai kiberbiztonsági készségkeret, beleértve aktualizálásának keretét és ütemtervét;

b)az európai egyedi kiberbiztonsági készségtanúsítási rendszerek, azok előrehaladása és kidolgozásuk ütemterve;

c)az egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerekhez kapcsolódó, az e rendelet 47. cikke alapján elfogadott díjak;

d)a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány indikatív költsége a 20. cikk (4) bekezdésével összhangban;

e)a felhatalmazott tanúsítványszolgáltatók jegyzéke.

III. fejezet 
Az ENISA felépítése

24. cikk
Az ENISA igazgatási és irányítási struktúrája

Az ENISA igazgatási és irányítási struktúrája a következőkből áll:

a)az igazgatótanács, amely a 28. cikkben meghatározott feladatokat látja el;

b)a felügyelőtestület, amely a 30. cikkben meghatározott feladatokat látja el;

c)az ügyvezető igazgató, aki a 32. cikkben meghatározott feladatokat látja el;

d)az ügyvezetőigazgató-helyettes, aki a 34. cikkben meghatározott feladatokat látja el;

e)az ENISA tanácsadó csoportja;

f)a fellebbezési tanács, amely a 39–42. cikkben meghatározott feladatokat látja el.

1. szakasz 
Igazgatótanács

25. cikk
Az igazgatótanács összetétele

(1)Az igazgatótanács tagállamonként egy, a tagállam által kijelölt tagból és a Bizottság által kijelölt két tagból áll. Valamennyi tag szavazati joggal rendelkezik.

(2)Az igazgatótanács minden egyes tagja rendelkezik egy póttaggal. A póttag a tagot képviseli annak távollétében.

(3)Minden tagállam kinevezi az (EU) 2022/2555 irányelv 8. cikkének (1) bekezdése alapján kijelölt illetékes nemzeti hatóság vezetőjét az igazgatótanács tagjává. Amennyiben erre nincs mód, a tagállamok kinevezik az (EU) 2022/2555 irányelv 8. cikkének (1) bekezdése alapján kijelölt illetékes nemzeti hatóság valamely magas szintű képviselőjét az igazgatótanács tagjává.

(4)A Bizottság által kinevezett tagokat, valamint az igazgatótanács póttagjait a kiberbiztonság terén meglévő tudásuk alapján kell kinevezni, a megfelelő vezetői, igazgatási és költségvetési készségeik figyelembevételével. A Bizottság és a tagállamok a póttagok tekintetében törekednek a férfiak és nők kiegyensúlyozott képviseletének elérésére az igazgatótanácsban, és az igazgatótanács munkája folytonosságának biztosítása érdekében erőfeszítéseket tesznek fluktuációjuk korlátozására.

(5)A tagállamok által kinevezett tagok hivatali ideje megegyezik a (3) bekezdésben említett hivatali idejükkel.

(6)A póttagok és a Bizottság által kijelölt tagok hivatali ideje négy év. Ez a hivatali idő megújítható.

26. cikk
Az igazgatótanács elnöke

(1)Az igazgatótanácsnak a szavazati joggal rendelkező tagjai közül elnököt és elnökhelyettest kell választania. Az elnököt és az elnökhelyettest az igazgatótanács szavazati joggal rendelkező tagjainak kétharmados többségével választják meg.

(2)Az elnökhelyettes hivatalból helyettesíti az elnököt, amennyiben ez utóbbi nem tudja ellátni feladatait.

(3)Az elnök és az elnökhelyettes hivatali ideje négy év, amely egyszer megújítható. Ha igazgatótanácsi tagságuk hivatali idejük alatt bármikor megszűnik, ugyanezen a napon elnöki vagy elnökhelyettesi megbízatásuk is automatikusan megszűnik.

27. cikk
Az igazgatótanács ülései

(1)Az igazgatótanács üléseit az elnök hívja össze.

(2)Az ügyvezető igazgatónak részt kell vennie az igazgatótanács ülésein, de szavazati joggal nem rendelkezik.

(3)Az igazgatótanácsnak évente legalább két rendes ülést kell tartania. Ezenkívül elnöke kezdeményezésére, a Bizottság kérésére vagy tagjai legalább egyharmadának kérésére is összeül.

(4)Az (EU) 2021/887 rendelettel létrehozott Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközpont képviselője szavazati jog nélküli állandó megfigyelő az igazgatótanács ülésein.

(5)Az igazgatótanács bármely olyan személyt, akinek véleménye érdeklődésre tarthat számot, eseti megfigyelőként meghívhat az ülésre vagy annak egy részére, szavazati jog nélkül és az igazgatótanács eljárási szabályzatára is figyelemmel.

(6)Az igazgatótanács tagjai és póttagjai – az igazgatótanács eljárási szabályzatával összhangban – az üléseken tanácsadók és szakértők segítségét is igénybe vehetik.

28. cikk
Az igazgatótanács feladatköre

(1)Az igazgatótanács:

a)meghatározza az ENISA működésének általános irányát, és biztosítja, hogy az ENISA az e rendeletben megállapított szabályoknak és elveknek megfelelően végezze tevékenységét; biztosítja továbbá, hogy az ENISA munkája összhangban legyen a tagállamok által és az Unió szintjén folytatott tevékenységekkel;

b)elfogadja az ENISA 44. cikkben említett egységes programozási dokumentumának tervezetét, mielőtt a dokumentumot benyújtanák a Bizottsághoz véleményezésre;

c)figyelembe véve a Bizottság véleményét, a 29. cikk (2) bekezdésének a) pontjával összhangban elfogadja az ENISA egységes programozási dokumentumát;

d)felügyeli az egységes programozási dokumentumban szereplő többéves és éves programozás végrehajtását;

e)a 29. cikk (2) bekezdésének b) pontjával összhangban elfogadja az ENISA éves költségvetését, és a IV. fejezettel összhangban ellátja az ENISA költségvetéséhez kapcsolódó egyéb feladatokat;

f)értékeli és elfogadja az ENISA tevékenységéről szóló összevont éves jelentést, amely tartalmazza az elszámolást és annak ismertetését, hogy az ENISA hogyan teljesítette teljesítménymutatóit; a következő év július 1-jéig megküldi az éves jelentést és annak értékelését az Európai Parlament, a Tanács, a Bizottság és a Számvevőszék részére; közzéteszi az éves jelentést;

g)elfogadja az ENISA-ra alkalmazandó pénzügyi szabályzatot az 50. cikkel összhangban;

h)olyan csalás elleni stratégiát fogad el, amely – figyelemmel a végrehajtandó intézkedések költség-haszon elemzésére – arányos a csalási kockázatokkal;

i)biztosítja a belső és külső ellenőrzési jelentésekből és értékelésekből, valamint az Európai Csalás Elleni Hivatal (OLAF) és az Európai Ügyészség (EPPO) vizsgálataiból származó megállapítások és ajánlások megfelelő nyomon követését;

j)elfogadja eljárási szabályzatát, ideértve a meghatározott feladatoknak a 30. cikk (7) bekezdése alapján történő átruházására vonatkozó ideiglenes határozatok szabályait;

k)e cikk (2) bekezdésének megfelelően az ENISA személyzete tekintetében gyakorolja a 259/68/EGK, Euratom, ESZAK tanácsi rendeletben 73 megállapított, az Európai Unió tisztviselőinek személyzeti szabályzata (a továbbiakban: a személyzeti szabályzat) és az Európai Unió egyéb alkalmazottaira vonatkozó alkalmazási feltételek (a továbbiakban: az alkalmazási feltételek) által a kinevezésre jogosult hatóságra, valamint a szerződéskötésre jogosult hatóságra ruházott hatásköröket (a továbbiakban: a kinevezésre jogosult hatóság hatáskörei);

l)a személyzeti szabályzat 110. cikkének (2) bekezdésével összhangban végrehajtási szabályokat fogad el a személyzeti szabályzat és az alkalmazási feltételek végrehajtására vonatkozóan;

m)kinevezi az ügyvezető igazgatót, és – amennyiben úgy határoz, hogy létrehozza az ügyvezetőigazgató-helyettesi tisztséget – az ügyvezetőigazgató-helyettest, és adott esetben a 31. cikkel összhangban meghosszabbítja hivatali idejüket vagy felmenti őket hivatalukból;

n)számvitelért felelős – a személyzeti szabályzat és az alkalmazási feltételek hatálya alatt álló – tisztviselőt nevez ki, aki feladatai ellátása során függetlenül jár el;

o)meghozza az ENISA belső struktúráinak kialakításával és szükség szerint az említett belső struktúrák módosításával kapcsolatos összes döntést, az ENISA tevékenységével kapcsolatos szükségletek és a hatékony és eredményes költségvetési gazdálkodás figyelembevételével;

p)a 68. cikk tekintetében munkamegállapodások megkötését engedélyezi;

q)a 70. cikkel összhangban engedélyezi a munkamegállapodások megkötését;

r)a 29. cikk (2) bekezdésének d) pontjával összhangban kinevezi és visszahívja a fellebbezési tanács tagjait;

s)a fellebbezési tanács tagjai tekintetében az összeférhetetlenségek megelőzésére és kezelésére vonatkozó szabályokat fogad el.

(2)Az igazgatótanács a személyzeti szabályzat 110. cikkének (2) bekezdésével összhangban, a személyzeti szabályzat 2. cikkének (1) bekezdése és az alkalmazási feltételek 6. cikke alapján határozat elfogadása útján a kinevezésre jogosult hatóságot megillető vonatkozó hatásköröket az ügyvezető igazgatóra ruházza, és megállapítja azon feltételeket, amelyek mellett a hatáskör-átruházás felfüggeszthető. Az ügyvezető igazgató jogosult e hatáskörök további átruházására.

(3)Amennyiben kivételes körülmények szükségessé teszik, az igazgatótanács határozatban ideiglenesen felfüggesztheti a kinevezésre jogosult hatóságot megillető, az ügyvezető igazgatóra ruházott hatásköröket, illetve az ügyvezető igazgató által továbbruházott hatásköröket, és azokat maga gyakorolja vagy e hatásköröket valamelyik tagjára vagy a személyzetnek az ügyvezető igazgatótól eltérő tagjára ruházza.

29. cikk
Az igazgatótanács szavazási szabályai

(1)E rendelet eltérő rendelkezése hiányában az igazgatótanács a szavazati joggal rendelkező tagjainak abszolút többségével fogadja el határozatait.

(2)Az igazgatótanács szavazati joggal rendelkező tagjainak kétharmados többsége szükséges a következőkhöz:

a)a 28. cikk (1) bekezdésének c) pontjában említett egységes programozási dokumentum elfogadása;

b) a 28. cikk (1) bekezdésének e) pontjában említett éves költségvetés elfogadása;

c) az ügyvezető igazgatónak és az ügyvezetőigazgató-helyettesnek a 31. és 33. cikkben említett kinevezése, hivatali idejének meghosszabbítása vagy felmentése;

d)a fellebbezési tanács tagjainak a 36. cikkben említett kinevezése és felmentése.

(3)A költségvetési vagy humánerőforrás-ügyekben – különösen a 28. cikk (1) bekezdésének c), e), f), g), h), i), k), l), m) és n) pontjában említett kérdésekben – hozott határozatok csak akkor fogadhatók el, ha a Bizottság képviselői támogatólag szavaznak. A 28. cikk (1) bekezdésének c) pontjában említett, az ENISA egységes programozási dokumentumára vonatkozó határozatok elfogadása céljából a Bizottság képviselőjének támogató szavazata csak a határozat azon elemei tekintetében szükséges, amelyek nem kapcsolódnak az ENISA éves és többéves munkaprogramjához.

(4)Minden szavazati joggal rendelkező tag egy szavazattal rendelkezik. Valamely szavazati joggal rendelkező tag távolléte esetén az őt helyettesítő póttag jogosult a tagot megillető szavazati jog gyakorlására.

(5)Az igazgatótanács elnöke részt vesz a szavazásban.

(6)Az ügyvezető igazgató nem vesz részt a szavazásban.

(7)Az igazgatótanács eljárási szabályzata részletesebben rendelkezik a szavazás szabályairól, így különösen arról, hogy egy tag milyen feltételek mellett járhat el egy másik tag nevében.

2. szakasz 
Felügyelőtestület

30. cikk
Felügyelőtestület

(1)Az igazgatótanács munkáját a felügyelőtestület segíti.

(2)A felügyelőtestület:

a)előkészíti az igazgatótanács által elfogadandó határozatokat;

b)az igazgatótanáccsal együtt gondoskodik a belső vagy külső ellenőrzési jelentésekből és értékelésekből, illetve az OLAF és az EPPO vizsgálataiból származó megállapítások és ajánlások nyomán meghozott intézkedések megfelelőségéről;

c)az ügyvezető igazgató 32. cikkben meghatározott feladatkörének sérelme nélkül az igazgatási és költségvetési irányítás felügyeletének megerősítése céljából segíti és tanáccsal látja el az ügyvezető igazgatót az igazgatótanács határozatainak végrehajtása során.

(3)A felügyelőtestület az igazgatótanács elnökéből, a Bizottság igazgatótanácsba delegált egyik képviselőjéből és az igazgatótanács által a szavazati joggal rendelkező tagjai közül kinevezett három másik tagból áll. Az igazgatótanács elnöke egyben a felügyelőtestület elnöke is. A felügyelőtestület tagjainak kinevezésénél törekedni kell a nemek közötti egyensúly biztosítására a felügyelőtestületben. Az ügyvezető igazgató szavazati jog nélkül vesz részt a felügyelőtestület ülésein.

(4)A felügyelőtestület tagjainak hivatali ideje négy év. Ez a hivatali idő megújítható. A felügyelőtestület tagjainak hivatali ideje igazgatótanácsi tagságuk megszűnésével véget ér.

(5)A felügyelőtestület háromhavonta legalább egy rendes ülést tart. Ezenkívül az elnökének kezdeményezésére vagy a tagjainak kérésére is összeül.

(6)A felügyelőtestület eljárási szabályzatát az igazgatótanács állapítja meg.

(7)Sürgős esetben a felügyelőtestület az igazgatótanács nevében meghozhat bizonyos ideiglenes határozatokat, különösen az igazgatási irányítást érintő kérdésekben, ideértve a kinevezésre jogosult hatóság hatáskörei átruházásának felfüggesztését és a költségvetési kérdéseket is. Az ilyen ideiglenes határozatokról az igazgatótanácsot indokolatlan késedelem nélkül értesíteni kell. Az igazgatótanácsnak a határozat meghozatalától számított legfeljebb három hónapon belül döntenie kell, hogy jóváhagyja vagy elutasítja az ideiglenes határozatot. A felügyelőtestület az igazgatótanács nevében nem hozhat olyan határozatot, amelynek jóváhagyásához az igazgatótanács szavazati joggal rendelkező tagjainak kétharmados többsége szükséges.

3. szakasz 
Ügyvezető igazgató

31. cikk
Kinevezés, felmentés, illetve a hivatali idő meghosszabbítása

(1)Az ügyvezető igazgatót érdemeire és készségeire tekintettel, nyílt és átlátható kiválasztási eljárás keretében az igazgatótanács nevezi ki a Bizottság által javasolt jelöltek listájáról.

(2)A kinevezés előtt az igazgatótanács által kiválasztott jelölt meghívást kap arra, hogy nyilatkozatot tegyen az Európai Parlament illetékes bizottsága előtt, és válaszoljon a parlamenti képviselők kérdéseire.

(3)Az ENISA az ügyvezető igazgatót az alkalmazási feltételek 2. cikkének a) pontja értelmében ideiglenes alkalmazottként foglalkoztatja.

(4)Az ügyvezető igazgató szerződésének megkötése céljából az ENISA-t az igazgatótanács elnöke képviseli.

(5)Az ügyvezető igazgató hivatali ideje öt év. Az említett időszak lejárta előtt megfelelő időben a Bizottság értékelést végez, amelynek során megvizsgálja az ügyvezető igazgató teljesítményét, valamint az ENISA jövőbeni feladatait és az előtte álló kihívásokat.

(6)Az igazgatótanács az (5) bekezdésben említett értékelést figyelembe véve, a Bizottság javaslata alapján eljárva az ügyvezető igazgató hivatali idejét egy alkalommal, legfeljebb öt évvel meghosszabbíthatja.

(7)Az az ügyvezető igazgató, akinek hivatali idejét meghosszabbították, a teljes hivatali idő lejártát követően nem vehet részt az ugyanezen tisztség betöltésére irányuló új kiválasztási eljárásban.

(8)Az igazgatótanács tájékoztatja az Európai Parlamentet arról, hogy az ügyvezető igazgató hivatali idejét a (6) bekezdéssel összhangban meg kívánja hosszabbítani. Az ezen meghosszabbítás előtti három hónapon belül az ügyvezető igazgató – amennyiben meghívást kap – nyilatkozatot tesz az Európai Parlament illetékes bizottsága előtt, és válaszol a képviselők kérdéseire.

(9)Az ügyvezető igazgató kizárólag az igazgatótanácsnak a Bizottság javaslata alapján meghozott határozatával hívható vissza hivatalából.

32. cikk
Az ügyvezető igazgató feladatai és felelősségi köre

(1)Az ügyvezető igazgató irányítja az ENISA-t, és tevékenységéért az igazgatótanácsnak tartozik felelősséggel.

(2)Az ügyvezető igazgató feladatait függetlenül eljárva látja el, és egyetlen kormánytól vagy más szervtől sem kérhet vagy fogadhat el utasítást.

(3)Az ügyvezető igazgató felkérésre jelentést tesz az Európai Parlamentnek feladatai ellátásáról. A Tanács is felkérheti az ügyvezető igazgatót, hogy számoljon be feladatai teljesítéséről.

(4)Az ügyvezető igazgató az ENISA törvényes képviselője.

(5)Az ügyvezető igazgató felel az ENISA e rendelet szerinti feladatainak végrehajtásáért. Az ügyvezető igazgató feladatai különösen:

a)az ENISA napi ügyvitelének biztosítása;

b)az igazgatótanács által elfogadott határozatok végrehajtása;

c)az ENISA pénzügyi szabályainak való megfelelés biztosítása;

d)az egységes programozási dokumentum tervezetének elkészítése és annak benyújtása az igazgatótanácshoz jóváhagyás céljából a Bizottsághoz való benyújtást megelőzően;

e)az egységes programozási dokumentum végrehajtása és jelentéstétel az igazgatótanácsnak annak végrehajtásáról;

f)összevont éves jelentés készítése az ENISA tevékenységéről, az ENISA éves munkaprogramjának végrehajtását is beleértve, és annak benyújtása az igazgatótanácshoz értékelésre és elfogadásra;

g)az ENISA 121. cikkben említett visszamenőleges értékeléseinek következtetésein alapuló cselekvési terv elkészítése és kétévente jelentéstétel az eredményekről a Bizottságnak;

h)cselekvési terv elkészítése a belső vagy külső ellenőrzési jelentésekből és értékelésekből, valamint az OLAF és az EPPO vizsgálataiból származó megállapítások nyomán, továbbá az elért haladásról félévente jelentéstétel a Bizottságnak, valamint rendszeresen az igazgatótanácsnak;

i)50. cikkben említett, az ENISA-ra alkalmazandó pénzügyi szabályzat tervezetének elkészítése;

j)az ENISA tervezett bevételekre és kiadásokra vonatkozó kimutatás tervezetének elkészítése és költségvetésének végrehajtása;

k)az Unió pénzügyi érdekeinek védelme a csalás, a korrupció és egyéb jogellenes tevékenységek elleni megelőző intézkedések alkalmazásával – az OLAF és az Európai Ügyészség vizsgálati hatáskörének sérelme nélkül –, hatékony ellenőrzések, illetve szabálytalanságok észlelése esetén a jogalap nélkül kifizetett összegek behajtása és adott esetben hatékony, arányos és visszatartó erejű igazgatási és pénzügyi szankciók révén;

l)csalás elleni stratégia, hatékonyságnövelési és szinergiastratégia, a harmadik országokkal vagy nemzetközi szervezetekkel együttműködésre vonatkozó stratégia, valamint a szervezeti irányítási és belső kontrollrendszerekre vonatkozó stratégia kidolgozása az ENISA számára, és e stratégiáknak jóváhagyás céljából az igazgatótanács elé terjesztése;

m)kapcsolat kialakítása és fenntartása az üzleti élet szereplőivel és a fogyasztói szervezetekkel, a releváns érdekelt felekkel folytatott rendszeres párbeszéd biztosítása érdekében;

n)az uniós szakpolitika következetes végrehajtásának biztosítása érdekében rendszeres vélemény- és információcsere a releváns uniós szervezetekkel azok kiberbiztonsági tevékenységeire vonatkozóan;

o)a sokszínűségnek és a nemek egyensúlyának előmozdítása az ENISA személyzetének felvétele során;

p)a 20. cikk (1) bekezdésében említett európai egyedi kiberbiztonsági készségtanúsítási rendszerek elfogadása;

q)határozatok elfogadása a felhatalmazott tanúsítványszolgáltatóvá válást vagy engedélyük az megújítását kérelmezők tekintetében a 22. cikk (3) bekezdésében említettek szerint;

r)az e rendeletben az ügyvezető igazgatóra ruházott további feladatok ellátása.

(6)Szükség esetén és az ENISA célkitűzései és feladatai keretében az ügyvezető igazgató eseti munkacsoportokat hozhat létre, amelyek szakértőkből, többek között az illetékes tagállami hatóságok szakértőiből állnak. Az ügyvezető igazgató erről az igazgatótanácsot előzetesen tájékoztatja. Különösen a munkacsoportok összetételével, a munkacsoportban részt vevő szakértőknek az ügyvezető igazgató általi kinevezésével, valamint a munkacsoportok működésével kapcsolatos eljárásokat az ENISA belső működési szabályzatában kell meghatározni.

(7)Az ügyvezető igazgató szükség esetén az ENISA feladatainak hatékony és eredményes ellátása céljából, megfelelő költség-haszon elemzés alapján dönthet egy vagy több helyi iroda egy vagy több tagállamban történő létrehozásáról. A helyi irodára vonatkozó döntést megelőzően az ügyvezető igazgatónak ki kell kérnie az érintett tagállamok véleményét, azt a tagállamot is beleértve, amelyben az ENISA székhelye található, és meg kell szereznie a Bizottság és az igazgatótanács előzetes hozzájárulását. Ha az ügyvezető igazgató és az érintett tagállamok közötti konzultációs folyamat során nem alakul ki egyetértés, az ügyet a Tanács elé kell terjeszteni megvitatásra. A helyi irodák mindegyikében a szükséges minimumra kell korlátozni a személyzet összesített létszámát, és az nem haladhatja meg az ENISA-nak a székhelye szerinti tagállamban található személyzete teljes létszámának 40 %-át. Az egyes helyi irodák személyzetének létszáma nem haladhatja meg az ENISA-nak a székhelye szerinti tagállamban található személyzete teljes létszámának 10 %-át.

(8)A helyi irodát létrehozó határozatban úgy kell megállapítani a helyi iroda által ellátandó tevékenységek körét, hogy ne legyenek szükségtelen költségek és indokolatlan átfedések az ENISA igazgatási feladatai között.

4. szakasz 
Az ügyvezetőigazgató-helyettes

33. cikk
Az ügyvezetőigazgató-helyettes

(1)Az igazgatótanács dönthet úgy, hogy az ügyvezető igazgatót segítő ügyvezetőigazgató-helyettesi funkciót hoz létre.

(2)Amennyiben az igazgatótanács úgy dönt, hogy ügyvezetőigazgató-helyettesi funkciót hoz létre, a 31. cikk rendelkezései értelemszerűen alkalmazandók az ügyvezetőigazgató-helyettesre.

34. cikk
Az ügyvezetőigazgató-helyettes feladatai és felelősségi köre

Az ügyvezetőigazgató-helyettes segíti az ügyvezető igazgatót az ENISA irányításában és a 32. cikkben említett feladatok ellátásában. Az ügyvezető igazgató távolléte vagy akadályoztatása, illetve az álláshely betöltetlensége esetén az ügyvezetőigazgató-helyettes helyettesíti őt távolléte idején vagy az álláshely betöltéséig.

5. szakasz 
Az ENISA tanácsadó csoportja

35. cikk
Az ENISA tanácsadó csoportja

(1)Az igazgatótanács az ügyvezető igazgató javaslata alapján átlátható módon létrehozza az ENISA tanácsadó csoportját. Az ENISA tanácsadó csoportja olyan elismert szakértőkből áll, akik a releváns érdekelt feleket képviselik: például a kiberbiztonsági ágazatot, az IKT-ágazatot, a kkv-kat, az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokban működő szervezeteket, az (EU) 2024/2847 rendelet hatálya értelmében vett, digitális elemeket tartalmazó termékek gyártóit és a nyílt forráskódú szoftverek ugyanezen rendelet értelmében vett támogatóit, a 93. cikkben és az (EU) 2024/2847 rendeletben említett, az európai kiberbiztonsági tanúsítási keretrendszer alapján bejelentett megfelelőségértékelő szervezeteket, az elektronikus azonosító eszközök területén működő szervezeteket, a fogyasztói csoportokat, a kiberbiztonság területén működő tudományos szakértőket, az európai szabványügyi szervezeteket, valamint a bűnüldöző hatóságokat és az adatvédelmi felügyeleti hatóságokat. Az említett elismert szakértőknek a tagállamok állampolgárainak kell lenniük. Az igazgatótanács törekszik a nemek közötti és a földrajzi egyensúly, valamint az érdekeltek különböző csoportja közötti egyensúly biztosítására.

(2)Az ENISA tanácsadó csoportjának különösen az összetételével, az ügyvezető igazgató (1) bekezdésben említett javaslatával, tagjainak számával és kinevezésével, valamint az ENISA tanácsadó csoportjának működésével kapcsolatos eljárásokat az ENISA belső működési szabályzatában kell meghatározni, és azokat nyilvánosságra kell hozni.

(3)Az ENISA tanácsadó csoportjában az elnöki teendőket az ügyvezető igazgató vagy az általa eseti alapon kinevezett személy látja el.

(4)Az ENISA tanácsadó csoportja tagjainak hivatali ideje két és fél év, mely egy alkalommal megújítható. Az ENISA tanácsadó csoportjának nem lehetnek olyan tagjai, akik az igazgatótanácsnak is tagjai. Az ENISA tanácsadó csoportjának ülésein jelen lehetnek, és munkájában részt vehetnek a Bizottságtól és a tagállamokból érkező szakértők. Az ENISA tanácsadó csoportjának üléseire és a munkájában való részvételre az ügyvezető igazgató meghívhatja más olyan szervek képviselőit, amelyek nem tagjai az ENISA tanácsadó csoportjának.

(5)Az ENISA tanácsadó csoportja – e rendelet III., IV. és V. címe rendelkezéseinek alkalmazása kivételével – tanácsadással segíti az ENISA-t feladatainak ellátásában. Az ENISA tanácsadó csoportja különösen az ENISA munkaprogramjára vonatkozó javaslat elkészítéséhez és a releváns érdekelt felekkel a munkaprogramot érintő kérdésekről folytatandó párbeszéd biztosításához ad tanácsot az ügyvezető igazgatónak.

(6)Az ENISA tanácsadó csoportja rendszeresen tájékoztatja tevékenységeiről az igazgatótanácsot.

(7)A Hivatal az ENISA tanácsadó csoportja számára biztosítja a szükséges logisztikai támogatást, ülései számára pedig a titkárságot.

6. szakasz 
Fellebbezési tanács

36. cikk
A fellebbezési tanács létrehozása és összetétele

(1)Az ENISA az igazgatótanács határozatával fellebbezési tanácsot hoz létre.

(2)A fellebbezési tanács az elnökből és három másik tagból áll. A fellebbezési tanács minden egyes tagja rendelkezik egy póttaggal. A póttag a tagot képviseli annak távollétében.

(3)Az elnököt, a többi tagot és a póttagokat az igazgatótanács nevezi ki az alkalmas jelölteknek a Bizottság által összeállított listájáról. Az alkalmas jelölteket tartalmazó lista négy évig érvényes. E lista érvényességét az igazgatótanács a Bizottság javaslata alapján további négyéves időszakokra meghosszabbíthatja.

(4)A fellebbezési tanács felkérheti az igazgatótanácsot további két tag és póttagjaik kijelölésére a (3) bekezdésben említett jegyzékből, amennyiben úgy véli, hogy a fellebbezés jellege ezt megkívánja.

(5)A fellebbezési tanács elfogadja és közzéteszi eljárási szabályzatát.

37. cikk
A fellebbezési tanács tagjai

(1)A fellebbezési tanács tagjainak és póttagjainak hivatali ideje négy év. Hivatali idejüket az igazgatótanács a Bizottság javaslata alapján további négyéves időszakokra megújíthatja.

(2)A fellebbezési tanács tagjai függetlenek, és nem láthatnak el egyéb feladatot az ENISA-ban. Döntéseik meghozatala során nem kérhetnek és nem fogadhatnak el utasításokat kormányoktól, más szervtől vagy magánszervezettől.

(3)A fellebbezési tanács tagjai hivatali idejük alatt nem mozdíthatók el hivatalukból, illetve nem lehet őket a minősített jelöltek jegyzékéből törölni, kivéve, ha az elmozdításnak vagy törlésnek alapos indoka van, és a Bizottság az igazgatótanács javaslata nyomán ilyen értelmű határozatot hozott.

38. cikk
Kizárás és kifogásolás

(1)A fellebbezési tanács tagjai nem vehetnek részt a fellebbezési eljárásban, ha abban bármilyen személyes érdekeltségük van, vagy ha abban korábban az eljárásban érintett valamelyik fél képviselőjeként részt vettek, vagy ha a fellebbezés tárgyát képező határozat elfogadásában részt vettek.

(2)Amennyiben az (1) bekezdésben felsorolt okok egyike vagy bármely más ok miatt egy fellebbezési tanács tagja nem kíván részt venni valamely fellebbezési eljárásban, a fellebbezési tanácsot ennek megfelelően tájékoztatja.

(3)A fellebbezési eljárásban részt vevő bármely fél kifogást emelhet a fellebbezési tanács bármely tagjával szemben az (1) bekezdésben felsorolt indokok alapján, vagy ha kétség merül fel az adott tag pártatlanságával kapcsolatban. Az ilyen kifogásnak nem adható hely, ha a fellebbezési eljárásban részt vevő fél – a kifogás okának ismeretében – eljárásbeli cselekményt tett. A fellebbezési tanács tagjainak állampolgársága nem szolgálhat kifogás alapjául.

(4)A fellebbezési tanácsnak az érintett tag részvétele nélkül kell határoznia arról, hogy hogyan jár el a (2) és a (3) bekezdésben meghatározott esetekben. A szóban forgó határozat meghozatala céljából a fellebbezési tanács az érintett tag helyett annak póttagja részvételével ülésezik.

39. cikk
Fellebbezéssel megtámadható határozatok és mulasztások

(1)A fellebbezési tanácshoz fellebbezést lehet benyújtani a következők ellen:

a)az ENISA által a 22. cikk (3) bekezdése alapján elfogadott határozatok;

b)ha az ENISA elmulasztott fellépni a 22. cikk (4) bekezdésében meghatározott alkalmazandó határidőkön belül.

(2)Az (1) bekezdés alapján benyújtott fellebbezést a 41. cikkel összhangban közbenső felülvizsgálatnak kell alávetni, mielőtt vizsgálat céljából a fellebbezési tanács elé terjesztenék.

(3)Az (1) bekezdésben foglaltaknak megfelelően benyújtott fellebbezésnek nincsen felfüggesztő hatálya.

40. cikk
Fellebbezésre jogosult személyek, határidők és formai követelmények

(1)A 21. cikk (3) bekezdése szerinti kérelmezők fellebbezhetnek a következők ellen:

a)az ENISA által nekik címzett, a 22. cikk (3) bekezdése szerinti határozat;

b)az ENISA mulasztása az általuk az ENISA részére benyújtott kérelem tekintetében 22. cikk (4) bekezdésében meghatározott alkalmazandó határidőkön belül.

(2)Az (1) bekezdés a) pontjában említett esetben a fellebbezést annak indokolásával együtt írásban kell benyújtani a 36. cikk (5) bekezdésében említett eljárási szabályzatnak megfelelően, az érintett kérelmezőnek a határozatról való értesítését követő két hónapon belül, vagy ennek hiányában attól a naptól számított két hónapon belül, amikor a kérelmező a határozatról tudomást szerzett.

(3)Az (1) bekezdés b) pontjában említett esetben a fellebbezést a 36. cikk (5) bekezdésében említett eljárási szabályzatnak megfelelően írásban kell benyújtani az ENISA-hoz a 22. cikk (4) bekezdésében meghatározott határidő lejártának napjától számított két hónapon belül.

41. cikk
Közbenső felülvizsgálat

(1)Ha az ENISA úgy ítéli meg, hogy a fellebbezés elfogadható és megalapozott, akkor megváltoztatja a 40. cikk (1) bekezdésében említett határozatot, illetve meghozza az elmulasztott intézkedést.

(2)Ha az ENISA a fellebbezés kézhezvételét követő egy hónapon belül nem változtatja meg a határozatot, akkor haladéktalanul döntenie kell arról, hogy felfüggeszti-e annak alkalmazását, és a fellebbezést a fellebbezési tanács elé kell utalnia.

42. cikk
A fellebbezés tárgyában hozott határozatok vizsgálata

(1)A fellebbezési tanács a fellebbezés benyújtásától számított három hónapon belül határoz arról, hogy vagy eleget tesz a fellebbezési kérelemben foglaltaknak, vagy elutasítja a fellebbezést. A fellebbezés vizsgálata során a fellebbezési tanács az eljárási szabályzatában megállapított határidőkön belül jár el. Amilyen gyakran szükséges, fel kell szólítania a fellebbezési eljárás feleit arra, hogy a meghatározott határidőkön belül nyújtsák be észrevételeiket az értesítéseivel vagy a fellebbezési eljárás egyéb feleinek közléseivel kapcsolatban. A fellebbezési eljárásban a felek jogosultak álláspontjukat szóban előadni.

(2)Amennyiben a fellebbezési tanács azt állapítja meg, hogy a fellebbezés megalapozott, az ügyet az ENISA elé utalja. Az ENISA végleges határozatát a fellebbezési tanács megállapításaival összhangban hozza meg, és azt indokolja. Az ENISA ennek megfelelően tájékoztatja a fellebbezési eljárásban részt vevő feleket.

43. cikk
Kereset benyújtása az Európai Unió Bíróságához

(1)Az ENISA 22. cikk (3) bekezdése alapján elfogadott határozatainak megsemmisítése iránti kereseteket, illetve a 22. cikk (4) bekezdése szerinti alkalmazandó határidőn belüli fellépés elmulasztása miatti kereseteket az ENISA-n belüli, a 39–42. cikkben meghatározott fellebbezési eljárás kimerítését követően, vagy a 41. cikk (2) bekezdése szerinti alkalmazandó határidőn belüli fellépés elmulasztása esetén lehet benyújtani az Európai Unió Bíróságához.

(2)Az ENISA-nak minden szükséges intézkedést meg kell hoznia az Európai Unió Bírósága ítéletének való megfelelés érdekében.

7. szakasz 
Működés

44. cikk
Egységes programozási dokumentum

(1)Az ENISA a többéves és éves munkaprogramját tartalmazó egységes programozási dokumentummal összhangban működik, amelynek az ENISA valamennyi tervezett tevékenységét magában kell foglalnia.

(2)Az ügyvezető igazgató – az (EU) 2019/715 felhatalmazáson alapuló bizottsági rendelet 74 32. cikkével összhangban és a Bizottság által meghatározott iránymutatások figyelembevételével – minden évben elkészíti az (1) bekezdésben említett egységes programozási dokumentum tervezetét, amely a megfelelő pénzügyi és humánerőforrás-tervezésre is kiterjed.

(3)Az igazgatótanács minden év november 30-ig elfogadja az (1) bekezdésben említett egységes programozási dokumentumot, figyelembe véve a Bizottságnak az (EU) 2019/715 felhatalmazáson alapuló rendelet 32. cikkének (7) bekezdésében említett véleményét. Ha az igazgatótanács úgy dönt, hogy nem veszi figyelembe a Bizottság véleményében szereplő valamely elemet, akkor ezt alaposan meg kell indokolnia. Az igazgatótanács az egységes programozási dokumentumot a következő év január 31-ig továbbítja az Európai Parlamentnek, a Tanácsnak és a Bizottságnak, valamint továbbítja az említett dokumentum később aktualizált változatait is.

(4)Az egységes programozási dokumentum az Unió általános költségvetésének végleges elfogadását követően válik véglegessé, és szükség esetén annak megfelelően ki kell igazítani.

(5)Az éves munkaprogram tartalmazza a részletes célkitűzéseket és az elvárt eredményeket, beleértve a kapcsolódó teljesítménymutatókat. Emellett – a tevékenységalapú költségvetés-tervezés és irányítás elveivel összhangban – ismerteti a finanszírozandó fellépéseket, és megjelöli az egyes fellépésekhez rendelt pénzügyi és humánerőforrásokat. Az éves munkaprogram összhangban áll a (7) bekezdésben említett többéves munkaprogrammal. Az éves munkaprogram egyértelműen jelezi, hogy az előző pénzügyi évhez képest az ENISA mely feladata új, változott vagy szűnt meg.

(6)Amikor az ENISA új feladatot kap, az igazgatótanács módosítja az elfogadott éves munkaprogramot. Az éves munkaprogram minden lényeges módosítását ugyanazzal az eljárással kell elfogadni, mint az eredeti éves munkaprogramot. Az igazgatótanács az éves munkaprogram nem lényeges módosítására vonatkozó hatáskörét az ügyvezető igazgatóra ruházhatja.

(7)A többéves munkaprogramnak átfogó stratégiai programozást kell meghatároznia, ideértve a célkitűzéseket, az elvárt eredményeket és a teljesítménymutatókat is. Ismertetnie kell az erőforrások programozását, ideértve a többéves költségvetést és a személyzeti tervet is.

(8)Az erőforrások programozását évente aktualizálni kell. A stratégiai programozást indokolt esetben – és különösen amikor az a 120. cikkben említett értékelés kimenetelének figyelembevétele céljából szükséges – aktualizálni kell.

IV. FEJEZET 
Az ENISA költségvetésének megállapítása és szerkezete

45. cikk
Az ENISA költségvetésének megállapítása

(1)Az ügyvezető igazgató minden évben elkészíti az ENISA következő pénzügyi évre vonatkozó, bevételeket és kiadásokat tartalmazó előzetes előirányzat-tervezetét, a létszámtervet is beleértve, és megküldi azt az igazgatótanácsnak.

(2)Az előzetes előirányzat-tervezet az éves munkaprogram célkitűzésein és várt eredményein alapul, és figyelembe veszi az e célkitűzések és várt eredmények eléréséhez szükséges pénzügyi erőforrásokat, a hatékony és eredményes pénzgazdálkodás és teljesítmény elvének megfelelően.

(3)Az igazgatótanács az előzetes előirányzat-tervezet alapján elfogadja az ENISA következő pénzügyi évre szóló bevételi és kiadási előirányzat-tervezetét, amelyet minden év január 31-ig megküld a Bizottságnak.

(4)A Bizottság az előirányzat-tervezetet az Unió általános költségvetésének tervezetével együtt megküldi a költségvetési hatóságnak. Az előirányzat-tervezetet az ENISA számára is elérhetővé kell tenni.

(5)A Bizottság az előirányzat-tervezet alapján az Unió általános költségvetésének tervezetében – amelyet az EUMSZ 313. és 314. cikkével összhangban a költségvetési hatóság elé terjeszt – feltünteti a létszámtervre való tekintettel szükségesnek ítélt előirányzatokat, valamint az általános költségvetést terhelő hozzájárulás összegét.

(6)Az Unió általános költségvetéséből az ENISA részére nyújtandó hozzájárulásra vonatkozó előirányzatokat a költségvetési hatóság engedélyezi.

(7)Az ENISA létszámtervét a költségvetési hatóság fogadja el.

(8)Az igazgatótanács elfogadja az ENISA költségvetését. A költségvetés az Unió általános költségvetésének végleges elfogadását követően válik véglegessé és azt szükség szerint ennek megfelelően ki kell igazítani.

(9)Az ENISA költségvetésére várhatóan jelentősen kiható építési projektekre az (EU) 2019/715 felhatalmazáson alapuló rendeletet kell alkalmazni.

46. cikk
Az ENISA költségvetésének szerkezete

(1)Az ENISA tervezett bevételeit és kiadásait minden pénzügyi évben el kell készíteni, és azt az ENISA költségvetésében fel kell tüntetni. A pénzügyi év a naptári évnek felel meg.

(2)Az ENISA költségvetésének bevételei és kiadásai egyensúlyban vannak.

(3)Az ENISA bevételei az egyéb források sérelme nélkül a következőkből származnak:

a)az Unió általános költségvetésében feltüntetett uniós hozzájárulás;

b)a meghatározott kiadási tételekhez rendelt bevételek az ENISA 50. cikkben említett pénzügyi szabályzatával összhangban;

c)uniós finanszírozás hozzájárulási megállapodások vagy eseti vissza nem térítendő támogatások formájában, az 50. cikkben említett pénzügyi szabályzattal, valamint az Unió szakpolitikáit támogató megfelelő eszközökben foglalt rendelkezésekkel összhangban;

d)a 22. cikk (1) bekezdésében említett, az európai egyedi kiberbiztonsági készségtanúsítási rendszerrel kapcsolatos tevékenységekért a kérelmezőkre kiszabott díjak;

e)a 47. cikk (2) bekezdésében említett, valamely európai kiberbiztonsági tanúsítási rendszerben való részvételért és az európai kiberbiztonsági tanúsítványok e rendszer keretében történő kibocsátásáért a megfelelőségértékelő szervezetekre kivetett díjak;

f)a 47. cikk (3) bekezdésében említett, a tesztelési eszközökért a hatóságokra vagy magánszervezetekre kivetett díjak;

g)hozzájárulások azon harmadik országoktól, amelyek a 70. cikk (4) bekezdésében említettek szerint részt vesznek az ENISA munkájában;

h)a tagállamok által pénzben vagy természetben nyújtott önkéntes hozzájárulások.

(4)A (3) bekezdés g) pontjában említettek szerint önkéntes hozzájárulást nyújtó tagállamok nem tarthatnak igényt semmilyen különös jogra vagy ellenszolgáltatásra e hozzájárulásért cserébe.

(5)Az ENISA kiadásai magukban foglalják a személyzet javadalmazását, az igazgatási költségeket, az infrastruktúra költségeit és a működési költségeket.

47. cikk
Díjak

(1)Az európai tanúsítási rendszerekhez kapcsolódó, a 22. cikk (1) bekezdésében említett minden egyes tevékenységével kapcsolatban a következő díjakat kell felszámítani a 21. cikk (3) bekezdése értelmében vett kérelmezők vagy felhatalmazott tanúsítványszolgáltatók felé az ENISA által végzett tevékenységek teljes költségének fedezéséhez való hozzájárulás céljából:

a)engedélyek kiadása a 21. cikk (3) és (4) bekezdésében meghatározott követelmények vizsgálatát követően, beleértve az értékelések elvégzését is;

b)az engedély évenkénti fenntartása;

c)a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok szolgáltatói számára az engedélyek megújítása, beleértve az értékelések elvégzését is.

(2)A tanúsítással kapcsolatban a következő díjakat kell felszámítani a megfelelőségértékelő szervezetek felé azoknak az európai kiberbiztonsági tanúsítási rendszereknek a karbantartásáért, amelyek alapján az európai kiberbiztonsági tanúsítványokat kiállítják, különös tekintettel a következőkre:

a)az európai kiberbiztonsági tanúsítási rendszerben való részvételért fizetendő éves díj;

b)az európai kiberbiztonsági tanúsítványoknak az európai kiberbiztonsági tanúsítási rendszerek keretében történő kiállításáért fizetendő díj.

A b) pontban említett díjakat akkor kell felszámítani, amikor a megfelelőségértékelő szervezet a 79. cikkel összhangban európai kiberbiztonsági tanúsítványokat nyújt be az ENISA-nak a honlapján való közzététel céljából.

(3)A 15. cikk (1) bekezdésében említett tesztelési eszközök használatáért minden hatóságra vagy magánszervezetre díjat kell kivetni.

(4)A díjakat euróban kell kifejezni és megfizetni.

(5)A Bizottság végrehajtási jogi aktusokat fogad el, amelyekben részletes szabályokat állapít meg az ENISA által felszámítandó díjak meghatározására vonatkozóan, előírva különösen az (1), (2) és (3) bekezdés szerinti díjköteles ügyekhez kapcsolódó becsült költségeket, a felszámítható egyedi díjösszegeket, valamint a díjak megfizetésének módjait és feltételeit. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni. A Bizottság az említett végrehajtási jogi aktusok tervezetének elkészítésekor konzultál az ENISA-val.

(6)Az (5) bekezdésben említett végrehajtási jogi aktusokban meghatározott díjakat előzetesen kell megállapítani, azoknak arányosnak kell lenniük az elvégzett tevékenységek vagy nyújtott szolgáltatások költséghatékony módon meghatározott becsült költségeivel, és elegendőnek kell lenniük e költségek fedezésére. A fedezendő költségeknek tükrözniük kell az összes olyan költséget, amely az ENISA-nál az (1), (2) és (3) bekezdésben említett tevékenységekben részt vevő személyzetnek tulajdoníthatóan merült fel. A díjakat olyan szinten kell megállapítani, hogy elkerülhető legyen a hiány vagy jelentős többlet felhalmozódása az ENISA költségvetésében. A díjakból származó költségvetési többletet át kell vinni az ENISA tevékenységeinek – különösen a díjakkal kapcsolatos jövőbeli tevékenységeknek – finanszírozására vagy a felmerült veszteségek ellentételezésére. Abban az esetben, ha a díjak által fedezett tevékenységek nyomán rendszeresen jelentősen pozitív költségvetési egyenleg adódik, vagy ha a díjak által fedezett szolgáltatások nyújtása nyomán jelentősen negatív egyenleg adódik, a Bizottság a díjak számítási módszerének felülvizsgálata érdekében a 118. cikk (2) bekezdésével összhangban módosítja az (5) bekezdésben említett végrehajtási jogi aktusokat.

Az (1) bekezdésben említett feladatok díjának összegét olyan szinten kell megállapítani, amely biztosítja, hogy a díjakból származó bevétel elegendő mértékben hozzájáruljon az európai egyedi készségtanúsítási rendszerek fejlesztésével és karbantartásával, a kérelmek feldolgozásával, valamint az engedélyek kiadásával és megújításával kapcsolatos tevékenységek költségeinek, továbbá az ENISA által végzett felügyeleti tevékenységekhez szükséges költségeknek a fedezéséhez.

A (2) bekezdésben említett feladatokért fizetendő díjak összegét olyan szinten kell megállapítani, amely biztosítja, hogy a díjakból származó bevétel elegendő mértékben hozzájáruljon európai kiberbiztonsági tanúsítási rendszerek fenntartásával kapcsolatos, a 75. cikkben meghatározott tevékenységek teljes költségének fedezéséhez.

A (3) bekezdésben említett feladatokért fizetendő díjak összegét olyan szinten kell megállapítani, amely biztosítja, hogy a díjakból származó bevétel elegendő mértékben hozzájáruljon a tesztelési eszközöknek a 15. cikk (1) bekezdésében említett biztosításával kapcsolatos tevékenységek költségeinek fedezéséhez.

(7)Az ENISA az elszámolások bemutatására vonatkozóan az 50. cikkben meghatározott eljárás részeként jelentést készít a felszámított díjakról és azoknak a költségvetésére gyakorolt hatásáról.

(8)Az ENISA mutatókat vezet be a díjakból finanszírozott tevékenységekkel kapcsolatos munkaterhének, eredményességének és hatékonyságának mérésére. Az ENISA ennek megfelelően úgy igazítja ki személyzeti tervezését és a díjakhoz kapcsolódó erőforrásokkal való gazdálkodást, hogy megfelelően tudjon reagálni az említett igényekre és a díjakból származó bevételek ingadozására. Az ENISA megosztja a jelentést a Bizottsággal, amelyet a Bizottság felhasználhat a 120. cikk (1) bekezdésében említett értékeléshez.

48. cikk
Az ENISA költségvetésének végrehajtása

(1)Az ENISA költségvetésének végrehajtásáért az ügyvezető igazgató felel.

(2)A Bizottság belső ellenőre ugyanazokkal a hatáskörökkel rendelkezik az ENISA felett, mint a Bizottság szervezeti egységei felett.

(3)Az ügyvezető igazgató évente megküldi a költségvetési hatóságnak az értékelési eljárás eredménye szempontjából releváns összes információt.

49. cikk
A beszámoló bemutatása és mentesítés

(1)Az ENISA számvitelért felelős tisztviselője a pénzügyi évre (a továbbiakban: n. év) vonatkozó előzetes beszámolót a következő pénzügyi év (a továbbiakban: n+1. év) március 1-jéig megküldi a Bizottság számvitelért felelős tisztviselőjének és a Számvevőszéknek.

(2)A Hatóság számvitelért felelős tisztviselője továbbá megküldi a Bizottság számvitelért felelős tisztviselőjének – az utóbbi által meghatározott módon és formátumban – a konszolidációhoz szükséges számviteli információkat az n+1. év március 1-jéig.

(3)Az ENISA az n. évre vonatkozó, a költségvetés végrehajtásáról és a pénzgazdálkodásról szóló jelentést az n+1. év március 31-ig megküldi az Európai Parlamentnek, a Tanácsnak, a Bizottságnak és a Számvevőszéknek.

(4)A Számvevőszék által az ENISA n. évre vonatkozó előzetes beszámolójára vonatkozóan tett észrevételek kézhezvételét követően az ENISA számvitelért felelős tisztviselője saját felelősségére elkészíti az ENISA adott évre vonatkozó végleges beszámolóját. Az ügyvezető igazgató ezt véleményezésre benyújtja az igazgatótanácsnak.

(5)Az igazgatótanács véleményezi az ENISA n. évre szóló végleges beszámolóját.

(6)Az ENISA számvitelért felelős tisztviselője az n. évre vonatkozó végleges beszámolót az n+1. év július 1-jéig – az igazgatótanácsi véleménnyel együtt – megküldi az Európai Parlamentnek, a Tanácsnak, a Bizottságnak és a Számvevőszéknek.

(7)Az ENISA végleges beszámolóját tartalmazó honlapokra mutató linket az n+1. év november 15-ig közzé kell tenni az Európai Unió Hivatalos Lapjában.

(8)Az ügyvezető igazgató az n+1. év szeptember 30-ig választ küld a Számvevőszéknek az éves jelentésében megfogalmazott észrevételekre. Az ügyvezető igazgató a válaszát az igazgatótanácsnak és a Bizottságnak is megküldi.

(9)Az ügyvezető igazgató az (EU, Euratom) 2024/2509 európai parlamenti és tanácsi rendelet 267. cikke (3) bekezdésével összhangban benyújtja az Európai Parlamentnek – annak kérésére – az n. évvel kapcsolatos mentesítési eljárás zökkenőmentes alkalmazásához szükséges valamennyi információt.

(10)Az Európai Parlament – a Tanács minősített többséggel elfogadott ajánlása alapján eljárva – az n+2. év május 15-e előtt mentesíti az ügyvezető igazgatót az n. évi költségvetés végrehajtására vonatkozó felelőssége alól.

50. cikk
Pénzügyi szabályok

(1)Az ENISA-ra alkalmazandó pénzügyi szabályokat a Bizottsággal folytatott konzultációt követően az igazgatótanács fogadja el. Ezek a szabályok nem térhetnek el az (EU) 2019/715 felhatalmazáson alapuló rendelettől, kivéve, ha az eltérés az ENISA működéséhez kifejezetten szükséges, és ahhoz a Bizottság előzetesen hozzájárult.

(2)Az ENISA a pénzügyi szabályaival és az (EU, Euratom) 2024/2509 rendelettel összhangban megállapítja és végrehajtja a költségvetését.

51. cikk
Csalás elleni küzdelem

(1)A csalás, a korrupció és az egyéb jogellenes tevékenységek elleni küzdelem érdekében a 883/2013/EU, Euratom európai parlamenti és tanácsi rendelet 75 rendelkezése minden korlátozás nélkül alkalmazandó az ENISA tevékenységeire.

(2)Az ENISA-nak [a pontos dátumot, melyre a 127. cikk hivatkozik, a Kiadóhivatal illeszti be] -tól/-től számított hat hónapon belül csatlakoznia kell az Európai Csalás Elleni Hivatal (OLAF) 76 belső vizsgálatairól szóló, az Európai Parlament, az Európai Unió Tanácsa és az Európai Közösségek Bizottsága között 1999. május 25-én létrejött intézményközi megállapodáshoz, és a megállapodás mellékletében található minta alapján el kell fogadnia a személyzetére alkalmazandó megfelelő rendelkezéseket.

(3)A Számvevőszék jogosult dokumentumok és helyszíni ellenőrzések alapján ellenőrzést végezni valamennyi, vissza nem térítendő támogatásban részesülő kedvezményezettnél, vállalkozónál és alvállalkozónál, akik az ENISA-tól uniós forrásból részesültek.

(4)Az OLAF a 883/2013/EU, Euratom rendeletben és a 2185/96/Euratom, EK tanácsi rendeletben 77 meghatározott rendelkezésekkel és eljárásokkal összhangban vizsgálatokat, többek között helyszíni ellenőrzést és vizsgálatokat végezhet annak megállapítása céljából, hogy az ENISA által finanszírozott valamely támogatással vagy szerződéssel kapcsolatban történt-e csalás, korrupció vagy egyéb, az Unió pénzügyi érdekeit sértő jogellenes tevékenység.

(5)Az (1)–(4) bekezdés sérelme nélkül az ENISA harmadik országokkal és nemzetközi szervezetekkel kötött együttműködési megállapodásainak, továbbá az általa kötött szerződéseknek, támogatási megállapodásoknak és támogatási határozatoknak tartalmazniuk kell olyan rendelkezéseket, amelyek kifejezetten felhatalmazzák a Számvevőszéket és az OLAF-ot arra, hogy saját hatáskörüknek megfelelően lefolytassanak ilyen ellenőrzéseket és vizsgálatokat.

(6)Az (EU) 2017/1939 tanácsi rendelettel összhangban az Európai Ügyészség nyomozás tárgyává teheti és büntetőeljárás alá vonhatja az (EU) 2017/1371 európai parlamenti és tanácsi irányelv 78 szerinti, az Unió pénzügyi érdekeit sértő csalást és más jogellenes tevékenységeket.

52. cikk
Érdekeltségi nyilatkozat

(1)Az igazgatótanács tagjai, az ügyvezető igazgató, az ügyvezetőigazgató-helyettes és a tagállamok által ideiglenesen kirendelt tisztviselők mindegyike kötelezettségvállalási nyilatkozat tesz, továbbá nyilatkozik arról, hogy van-e olyan közvetlen vagy közvetett érdeke, amelyről feltehető, hogy függetlenségét befolyásolhatja. A nyilatkozatnak pontosnak és teljeskörűnek kell lennie, azt évente írásban kell megtenni, és szükség esetén aktualizálni kell.

(2)Az igazgatótanács tagjai, az ügyvezető igazgató, az ügyvezetőigazgató-helyettes és az eseti munkacsoportok munkájában részt vevő külső szakértők mindegyike köteles legkésőbb minden egyes ülés kezdetén pontosan és teljeskörűen nyilatkozni az egyes napirendi pontokkal kapcsolatos bármely olyan érdekéről, amelyről feltehető, hogy függetlenségét befolyásolhatja, az ilyen napirendi pontok megvitatásában való részvételtől és az azokról való szavazástól pedig köteles tartózkodni.

(3)Az ENISA-nak belső működési szabályzatában megállapítja az (1) és a (2) bekezdésben említett érdekeltségi nyilatkozatokkal kapcsolatos szabályokra vonatkozó gyakorlati rendelkezéseket.

53. cikk
Átláthatóság

(1)Az ENISA tevékenységét nagy fokú átláthatóság mellett, az 55. cikkel összhangban végzi.

(2)Az ENISA biztosítja, hogy a nyilvánosság és minden érdekelt fél – különösen munkájának eredményeiről – megfelelő, tárgyilagos, megbízható és könnyen hozzáférhető információt kapjon. Az ENISA továbbá köteles a nyilvánosság elé tárni az 52. cikkel összhangban tett érdekeltségi nyilatkozatokat.

(3)Az igazgatótanács az ügyvezető igazgató javaslatára eljárva engedélyezheti, hogy érdekelt felek az ENISA egyes tevékenységeinek folyamatában megfigyelőként részt vegyenek.

(4)Az ENISA-nak belső működési szabályzatában meg kell állapítania az (1) és a (2) bekezdésben említett átláthatósági szabályok végrehajtására vonatkozó gyakorlati rendelkezéseket.

54. cikk
Titoktartás az ENISA-n belül

(1)Az 55. cikk sérelme nélkül az ENISA nem fedheti fel harmadik felek előtt az általa kezelt vagy hozzá beérkezett olyan információkat, amelyek tekintetében indokolással ellátott kérelmet nyújtottak be a bizalmas kezelés iránt.

(2)Az igazgatótanács tagjai, az ügyvezető igazgató, az ügyvezetőigazgató-helyettes, az ENISA tanácsadó csoportjának tagjai, az eseti munkacsoportok munkájában részt vevő külső szakértők és az ENISA személyzetének tagjai – beleértve a tagállamok által ideiglenesen kirendelt tisztviselőket is – feladataik megszűnte után is az EUMSZ 339. cikke szerinti titoktartási kötelezettségek hatálya alá tartoznak.

(3)Az ENISA belső működési szabályzatában megállapítja az (1) és a (2) bekezdésben említett titoktartási szabályok végrehajtására vonatkozó gyakorlati rendelkezéseket.

55. cikk
Dokumentumokhoz való hozzáférés

(1)Az ENISA birtokában lévő dokumentumokra az 1049/2001/EK rendelet alkalmazandó.

(2)Az igazgatótanács elfogadja az 1049/2001/EK rendelet végrehajtására vonatkozó rendelkezéseket.

(3)Az ENISA által az 1049/2001/EK rendelet 8. cikke alapján elfogadott határozatokkal szemben az EUMSZ 228. cikke alapján az ombudsmannál panasz tehető, illetve az EUMSZ 263. cikke alapján az Európai Unió Bíróság előtt kereset indítható.

V. FEJEZET 
Személyzet és kapcsolattartó tisztviselők

56. cikk
Általános rendelkezések

(1)Az ENISA személyzetére a személyzeti szabályzatot és az egyéb alkalmazottakra vonatkozó alkalmazási feltételeket, valamint a személyzeti szabályzat és az egyéb alkalmazottakra vonatkozó alkalmazási feltételek végrehajtása céljából az uniós intézmények közötti megállapodással elfogadott szabályokat kell alkalmazni.

(2)Az ENISA személyzetét, a kapcsolattartó tisztviselőket és az ENISA-hoz kirendelt nemzeti szakértőket megfelelő biztonsági ellenőrzésnek kell alávetni.

57. cikk
Kiváltságok és mentességek

Az ENISA-ra és személyzetére alkalmazni kell az EUMSZ-hez csatolt, az Európai Unió kiváltságairól és mentességeiről szóló 7. jegyzőkönyvet.

58. cikk
Kapcsolattartó tisztviselők

(1)Minden tagállam kijelöl legalább két kapcsolattartó tisztviselőt az (EU) 2022/2555 irányelv 8. cikkének (1) bekezdése alapján kijelölt illetékes nemzeti hatóságtól, aki az ENISA-hoz kirendelt nemzeti szakértőként, az 59. cikk (2) bekezdésével összhangban az ENISA székhelyén vagy helyi irodájában dolgozik. A Bizottság is kijelölhet kapcsolattartó tisztviselőt.

(2)A kapcsolattartó tisztviselők hozzájárulnak az ENISA feladatainak végrehajtásához, többek között a 11. cikkben említett operatív együttműködés és információcsere elősegítése révén. A kapcsolattartó tisztviselők támogatják továbbá az ENISA-t a tevékenységeivel, megállapításaival és ajánlásaival kapcsolatos információknak a releváns érintett érdekelt felek körében történő, az egész Unióra kiterjedő terjesztésében. Nemzeti kapcsolattartóként is eljárnak a tagállamuktól érkező és a tagállamukat érintő kérdésekben a kérdések közvetlen megválaszolásával vagy a nemzeti hatóságaikkal való kapcsolatfelvétel révén.

(3)A tagállamaik által kijelölt kapcsolattartó tisztviselők jogosultak arra, hogy tagállamaiktól az e rendeletben előírtaknak megfelelően minden releváns információt megkérhessenek és megkaphassanak, maradéktalanul tiszteletben tartva a nemzeti jogot és a tagállami gyakorlatokat, különösen az adatvédelmet és a titoktartást illetően.

59. cikk
Kirendelt nemzeti szakértők és egyéb személyzet

(1)Az ENISA bármely tevékenység területén igénybe vehet kirendelt nemzeti szakértőket és egyéb, nem az ENISA alkalmazásában álló személyzetet. Az ilyen alkalmazottakra a személyzeti szabályzat és az alkalmazási feltételek nem vonatkoznak.

(2)Az igazgatótanács határozatot fogad el a nemzeti szakértők – beleértve a nemzeti kapcsolattartó tisztviselőket – ENISA-hoz való kirendelésére vonatkozó szabályok megállapításáról.

VI. FEJEZET 
AZ ENISA-RA VONATKOZÓ ÁLTALÁNOS RENDELKEZÉSEK

60. cikk
Az ENISA jogállása

(1)Az ENISA az Unió szerve, és jogi személyiséggel rendelkezik.

(2)Az ENISA-t minden egyes tagállamban az adott tagállam nemzeti joga szerint a jogi személyeket megillető legteljesebb jogképességgel rendelkezik. Az ENISA különösen ingó és ingatlan vagyont szerezhet és azzal rendelkezhet, továbbá perképességgel rendelkezik.

(3)Az ENISA-t az ügyvezető igazgató képviseli.

61. cikk
Székhely

Az ENISA székhelye Athén (Görögország).

62. cikk
Székhely-megállapodás és működési feltételek

(1)Az ENISA-t fogadó tagállamon belüli elhelyezéséhez szükséges rendelkezéseket, a fogadó tagállam által rendelkezésre bocsátandó létesítményekre vonatkozó rendelkezéseket, továbbá az ügyvezető igazgatóra, az igazgatótanács tagjaira, valamint az ENISA személyzetre és családtagjaikra a fogadó tagállamban alkalmazandó különös szabályokat az ENISA és a fogadó tagállam által – az igazgatótanács jóváhagyásának megszerzése után – megkötött székhely-megállapodásban kell rögzíteni.

(2)Az ENISA-t fogadó tagállam biztosítja a lehető legjobb feltételeket az ENISA megfelelő működéséhez, figyelembe véve a székhely megközelíthetőségét, a személyzet gyermekeinek biztosított megfelelő oktatási lehetőségeket, valamint a személyzet gyermekeinek és házastársainak esetében a munkaerőpiachoz, a társadalombiztosításhoz és az egészségügyi ellátáshoz való megfelelő hozzáférést is.

63. cikk
Igazgatási ellenőrzés

Az ENISA működésével kapcsolatban az európai ombudsman az EUMSZ 228. cikkével összhangban felügyeletet gyakorol.

64. cikk
Az ENISA felelőssége

(1)Az ENISA szerződéses felelősségét az adott szerződésre alkalmazandó jog szabályozza.

(2)Az Európai Unió Bírósága rendelkezik joghatósággal arra, hogy az ENISA által kötött szerződésekben foglalt választottbírósági kikötés alapján ítéletet hozzon.

(3)Szerződésen kívüli felelősség esetén az ENISA – a tagállamok jogrendszereinek közös általános elveivel összhangban – megtéríti az általa vagy alkalmazottai által feladataik teljesítése során okozott károkat.

(4)A (3) bekezdésben említett károk megtérítésével kapcsolatos jogvitákban az Európai Unió Bírósága rendelkezik joghatósággal.

(5)Az ENISA személyzetének az ENISA-val szembeni személyes felelősségét a rájuk alkalmazandó személyzeti szabályzatban vagy alkalmazási feltételekben megállapított rendelkezések szabályozzák.

65. cikk
Nyelvhasználati szabályok

(1)Az ENISA-ra az 1. tanácsi rendelet 79 alkalmazandó. A tagállamok és a tagállamok által kijelölt egyéb szervek az Unió intézményeinek általuk választott bármely hivatalos nyelvén fordulhatnak az ENISA-hoz, és jogosultak ugyanezen a nyelven választ kapni.

(2)A fordítást és az ENISA működéséhez szükséges minden egyéb nyelvi szolgáltatást – a tolmácsolás kivételével – az Európai Unió Szerveinek Fordítóközpontja biztosítja.

66. cikk
A személyes adatok védelme

(1)A személyes adatok ENISA általi kezelésére az (EU) 2018/1725 rendeletet kell alkalmazni.

(2)Az igazgatótanács elfogadja az (EU) 2018/1725 rendelet 45. cikkének (3) bekezdésében említett végrehajtási szabályokat. Az igazgatótanács további, az (EU) 2018/1725 rendelet ENISA általi alkalmazásához szükséges intézkedéseket fogadhat el.

67. cikk
Biztonsági szabályok a nem minősített érzékeny adatok és a minősített adatok védelmére

A Bizottsággal egyetértésben az ENISA a Bizottságnak az (EU, Euratom) 2015/443 80 és az (EU, Euratom) 2015/444 81 határozatban meghatározott, a nem minősített érzékeny adatok és az EU-minősített adatok védelmére vonatkozó biztonsági szabályaiban szereplő biztonsági elveket alkalmazó biztonsági szabályokat fogad el. Ezeknek a biztonsági szabályoknak az említett adatok cseréjére, kezelésére és tárolására vonatkozó rendelkezéseket is kell tartalmaznia.

68. cikk
Együttműködés az uniós szervezetekkel és a nemzeti hatóságokkal

(1)A következetesség biztosítása, a szinergiák megteremtése és a közös érdekű kérdések kezelése érdekében az ENISA a kiberbiztonsággal kapcsolatos kérdésekben együttműködik a CERT-EU-val és a releváns uniós szervezetekkel, többek között az Europollal, az (EU) 2021/887 rendelet alapján létrehozott Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközponttal, és az (EU) 2016/679 rendelet 68. cikkének (1) bekezdése alapján létrehozott Európai Adatvédelmi Testülettel.

(2)Az (1) bekezdésben említett együttműködés a következők révén biztosítható:

a)a know-how és a bevált gyakorlatok megosztása;

b)kiberbiztonsággal kapcsolatos kérdésekkel kapcsolatos tanácsadás nyújtása és útmutatások kiadása;

c)a Bizottsággal folytatott konzultációt követően gyakorlati szabályok megállapítása az egyes feladatok végrehajtására vonatkozóan.

(3)Az ENISA strukturált együttműködést folytat a CERT-EU-val, különösen a kapacitásépítéssel, az operatív együttműködéssel és a kiberfenyegetések hosszú távú stratégiai elemzésével kapcsolatos kérdésekben.

(4)Az ENISA együttműködik és információt cserél a kiberbiztonság területére vonatkozó uniós jogszabályok, többek között az (EU) 2024/2847 rendelet alapján kijelölt releváns piacfelügyeleti és felügyeleti hatóságokkal.

69. cikk
Együttműködés az érdekelt felekkel

(1)Amennyiben e rendelet célkitűzéseinek eléréséhez szükséges, az ENISA együttműködik a releváns érdekelt felekkel, például a kiberbiztonsági ágazattal, az IKT-ágazattal, a kkv-kkal, az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokban működő szervezetekkel, a digitális elemeket tartalmazó, az (EU) 2024/2847 rendelet hatálya alá tartozó termékek gyártóival, importőreivel vagy forgalmazóival, az európai kiberbiztonsági tanúsítási keretrendszer és az (EU) 2024/2847 rendelet alapján bejelentett megfelelőségértékelő szervezetekkel, az elektronikus azonosító eszközök területén működő szervezetekkel, fogyasztói csoportokkal és a kiberbiztonság területén működő tudományos szakértőkkel. E célból az ENISA köz-magán társulásokat hozhat létre.

(2)Az ENISA a Bizottsággal konzultálva támogatja a bejelentett megfelelőségértékelő szervezetek között a 93. cikk szerint zajló együttműködést. Létrehozhatja különösen a bejelentett megfelelőségértékelő szervezetek csoportját a bevált gyakorlatok megosztása céljából, szinergiákat teremtve más vonatkozó uniós jogszabályokkal, különösen az (EU) 2024/2847 rendelettel.

70. cikk
Együttműködés harmadik országokkal és nemzetközi szervezetekkel

(1)Az e rendeletben meghatározott célkitűzések eléréséhez szükséges mértékben az ENISA együttműködhet harmadik országok illetékes hatóságaival, vagy nemzetközi szervezetekkel, vagy mindkettővel az uniós prioritásokkal összhangban. Ebből a célból az ENISA a Bizottság előzetes jóváhagyásával munkamegállapodásokat köthet harmadik országok hatóságaival és a nemzetközi szervezetekkel. Ezek a megállapodások az Unióval és tagállamaival szemben nem keletkeztethetnek jogi kötelezettséget.

(2)Az igazgatótanács az ENISA hatáskörébe tartozó kérdések vonatkozásában stratégiát fogad el a harmadik országokkal és nemzetközi szervezetekkel fenntartott kapcsolatokra vonatkozóan, az (1) bekezdésben említett prioritásoknak megfelelően. A Bizottság az ügyvezető igazgatóval kötött megfelelő munkamegállapodások útján biztosítja, hogy az ENISA a megbízatásával összhangban és a meglévő intézményi kereteken belül működjön.

(3)A harmadik országokkal, különösen az uniós tagjelölt országokkal folytatott együttműködés támogatása érdekében az ENISA kapacitásépítési szakértelmet biztosíthat, különösen a következő területeken:

a)a kiberbiztonsági képességek és erőforrások érettségi szintjének értékelése;

b)a kiberbiztonsági munkaerő növekedése és fejlesztése, többek között az európai kiberbiztonsági készségkeret és az európai egyedi kiberbiztonsági készségtanúsítási rendszer előmozdítása, valamint tanulási és képzési tevékenységek biztosítása révén;

c)kiberbiztonsági gyakorlatok tervezésének és végrehajtásának támogatása.

(4)Az ENISA nyitott arra, hogy munkájában részt vehessenek azon harmadik országok, amelyek ebből a célból megállapodást kötöttek az Unióval. A harmadik országok és az Unió között megkötött megállapodások vonatkozó rendelkezései alapján és a Bizottság előzetes jóváhagyásával munkamegállapodásokat kell kötni, meghatározva különösen az érintett harmadik országoknak az ENISA munkájában való részvétele jellegét, terjedelmét és módját, valamint az ENISA kezdeményezéseiben való részvételre, a pénzügyi hozzájárulásra és a személyzetre vonatkozó rendelkezéseket. A személyzeti kérdéseket illetően ezeknek a szabályoknak minden esetben meg kell felelniük a személyzeti szabályzatnak és az alkalmazási feltételeknek.

(5)Az ENISA rendszeresen jelentést tesz a Tanácsnak és a Bizottságnak az (1)–(4) bekezdésben említett munkamegállapodások végrehajtásáról.

III. CÍM

AZ EURÓPAI KIBERBIZTONSÁGI TANÚSÍTÁSI KERETRENDSZER

I. FEJEZET 
Célkitűzések, hatály és eljárások

71. cikk
Az európai kiberbiztonsági tanúsítási keretrendszer célkitűzései és hatálya

(1)Az európai kiberbiztonsági tanúsítási keretrendszert azzal a céllal hozzák létre, hogy létrejöjjön az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások és szervezetek digitális egységes piaca. E célból növeli az Unión belüli kiberbiztonság szintjét, és lehetővé teszi az európai kiberbiztonsági tanúsítási rendszerek harmonizált megközelítését, valamint a tanúsítást használja fel ara, hogy megkönnyítse az alkalmazandó uniós jogszabályoknak való megfelelést.

(2)Az európai kiberbiztonsági tanúsítási keretrendszer meghatároz egy mechanizmust az európai kiberbiztonsági tanúsítási rendszerek létrehozására, valamint a következők tanúsítására:

a)az e rendszerekkel összhangban értékelt IKT-termékek, IKT-szolgáltatások és IKT-folyamatok megfelelnek az adott biztonsági követelményeknek, az e termékek, szolgáltatások és folyamatok által vagy az azokon keresztül tárolt vagy továbbított vagy kezelt adatok, vagy az általuk vagy az azokon keresztül ellátott funkciók vagy az általuk vagy az azokon keresztül kínált szolgáltatások rendelkezésre állásának, hitelességének, sértetlenségének vagy titkosságának azok teljes életciklusa alatti védelme céljából;

b)az említett rendszerekkel összhangban értékelt irányított biztonsági szolgáltatások megfelelnek az adott biztonsági követelményeknek az említett szolgáltatások nyújtásával összefüggésben hozzáférhető, kezelt, tárolt vagy továbbított adatok rendelkezésre állásának, hitelességének, sértetlenségének és titkosságának védelme céljából, és hogy az említett szolgáltatásokat folyamatosan a szükséges kompetenciával, szakértelemmel és tapasztalattal, kielégítő és megfelelő szintű releváns műszaki ismeretekkel és szakmai feddhetetlenséggel rendelkező személyzet nyújtja;

c)az ilyen rendszerekkel összhangban értékelt szervezet kiberbiztonsági helyzete megfelel a meghatározott kiberbiztonsági követelményeknek.

(3)Amennyiben az uniós jog vagy a nemzeti jog másként nem rendelkezik, az európai kiberbiztonsági tanúsítás önkéntes.

(4)Az európai kiberbiztonsági tanúsítási keretrendszer alapján kiállított európai kiberbiztonsági tanúsítványt és uniós megfelelőségi nyilatkozatot valamennyi tagállamban automatikusan el kell ismerni.

72. cikk
A nyilvánosság tájékoztatása és konzultáció

(1)A Bizottság az ENISA támogatásával évente legalább egyszer európai kiberbiztonsági tanúsítási közgyűlést szervez, amelybe meghívja az európai kiberbiztonsági tanúsítási csoport tagjait és a tagállamok más releváns szakértőit, az uniós szervezetek releváns szakértőit és az érintett érdekelt feleket, hogy megvitassák a kiberbiztonsági tanúsítás területén a harmonizáció stratégiai prioritásait.

(2)A Bizottság külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, amely tájékoztatást nyújt a következő szempontokról:

a)olyan európai kiberbiztonsági tanúsítási rendszerek, amelyeknek fejlesztését a 73. cikk alapján kérelmezték;

b)az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások, a szervezetek kiberbiztonsági helyzete vagy az uniós jogszabályok biztonsági követelményei harmonizációjának stratégiai prioritásai, beleértve azokat a lehetséges területeket is, amelyekre európai kiberbiztonsági tanúsítási rendszer kérhető.

(3)A Bizottság az e cikk (2) bekezdésében említett honlapon nyilvánosan hozzáférhetővé teszi az ENISA-hoz intézett, valamely javasolt tanúsítási rendszer kidolgozására irányuló, a 73. cikkben említett kérésére, valamint az ENISA által a 74. cikk (7) bekezdésével összhangban továbbított javasolt tanúsítási rendszer elfogadására, elutasítására vagy megszüntetésére vonatkozó döntésére vonatkozó információkat.

(4)A javasolt tanúsítási rendszer ENISA általi, 74. cikk szerinti kidolgozása során az Európai Parlament, a Tanács felkérheti a Bizottságot – mint az európai kiberbiztonsági tanúsítási csoport elnökét – és az ENISA-t, hogy negyedévente nyújtson be releváns információkat a javasolt tanúsítási rendszer tervezetéről. Az Európai Parlament vagy a Tanács kérésére az ENISA – a Bizottsággal egyetértésben és az 54. cikk sérelme nélkül – az előírt titoktartási szintnek megfelelő és adott esetben korlátozott módon az Európai Parlament és a Tanács rendelkezésére bocsáthatja a javasolt tanúsítási rendszer tervezetének vonatkozó részeit.

(5)Az Európai Parlament és a Tanács felkérheti a Bizottságot és az ENISA-t, hogy vitassák meg az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerek végrehajtásával kapcsolatos kérdéseket.

73. cikk
Európai kiberbiztonsági tanúsítási rendszer létrehozása iránti kérelmek

(1)A Bizottság felkérheti az ENISA-t, hogy dolgozzon ki európai kiberbiztonsági tanúsítási rendszerre irányuló javaslatot az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozóan.

(2)Kellően indokolt esetekben az európai kiberbiztonsági tanúsítási csoport javasolhatja a Bizottságnak, hogy terjesszen elő az (1) bekezdésben említett kérést.

(3)Az (1) bekezdésben említett kérésben részletesen ismertetni kell a 80. és 81. cikkben meghatározott releváns biztonsági célkitűzések és elemek teljesítésének célját, hatókörét és módozatait. A kérelemben meg kell határozni továbbá a javasolt európai kiberbiztonsági tanúsítási rendszer fejlesztési tervét, valamint a rendszerben hivatkozandó vagy meghatározandó vonatkozó műszaki előírásokat.

(4)Az (1) bekezdésben említett kérés elkészítésekor a Bizottság megfelelően konzultál az ENISA-val és az európai kiberbiztonsági tanúsítási csoporttal, valamint figyelembe veszi az összes érintett érdekelt fél és más uniós szervezet véleményét, beleértve adott esetben azokét is, amelyek azon uniós jogszabályok értelmében relevánsak, melyek vonatkozásában az európai kiberbiztonsági tanúsítási rendszer megfelelést igazol, illetve biztosítja a megfelelés vélelmét.

74. cikk
Európai kiberbiztonsági tanúsítási rendszerek kidolgozása és elfogadása

(1)A Bizottság 73. cikk szerinti kérésének kézhezvételétől számított 12 hónapon belül – kivéve, ha a kérés mást tartalmaz – az ENISA kidolgoz egy olyan európai kiberbiztonsági tanúsítási rendszerre irányuló javaslatot, amely megfelel a 80. és 81. cikkben meghatározott követelményeknek.

(2)Minden egyes javasolt tanúsítási rendszer kidolgozása tekintetében az ENISA a 32. cikk (6) bekezdésével összhangban eseti munkacsoportot hoz létre, amely az ENISA számára tanácsadással szolgál.

(3)A javasolt tanúsítási rendszer kidolgozása során az ENISA szorosan együttműködik az európai kiberbiztonsági tanúsítási csoporttal. Az európai kiberbiztonsági tanúsítási csoport segítséget és szakértői tanácsadást biztosít az ENISA számára a javasolt tanúsítási rendszer kidolgozása és adott esetben az alátámasztó műszaki előírások kapcsán.

(4)A javasolt tanúsítási rendszer kidolgozása során – beleértve adott esetben az alátámasztó műszaki előírások kidolgozását is – az ENISA hivatalos, nyílt, átlátható és inkluzív konzultációs folyamat keretében kellő időben konzultál az érdekelt felekkel. Az ENISA együttműködik a tagállamok érintett hatóságaival és az érintett uniós szervezetekkel is annak érdekében, hogy szakértői tanácsot kérjen a javasolt tanúsítási rendszer és adott esetben az alátámasztó műszaki leírások elkészítésével kapcsolatban. Amikor a (6) bekezdés szerint továbbítja a javasolt tanúsítási rendszert a Bizottságnak, az ENISA ismertetést ad arról, hogy miként felelt meg e bekezdésnek.

(5)A javasolt tanúsítási rendszernek és adott esetben az alátámasztó műszaki előírásoknak a Bizottság részére történő továbbítása előtt az ENISA felkéri az európai kiberbiztonsági tanúsítási csoport tagjait, hogy nyújtsanak be írásbeli véleményt a javasolt tanúsítási rendszerről. A véleményeket a kérés időpontjától számított 30 napon belül kell benyújtani. Az ENISA a lehető legnagyobb mértékben figyelembe veszi az európai kiberbiztonsági tanúsítási csoport tagjainak véleményét. Az említett vélemények hiánya nem akadályozza meg az ENISA-t abban, hogy továbbítsa a javasolt tanúsítási rendszert a Bizottságnak.

(6)Az ENISA az (5) bekezdésben említett kérés időpontjától számított 60 napon belül továbbítja a Bizottságnak a javasolt tanúsítási rendszert.

(7)A javasolt tanúsítási rendszer kézhezvételekor a Bizottság értékeli, hogy a rendszer megfelel-e a 73. cikkel összhangban benyújtott kérésnek. A Bizottság a javasolt tanúsítási rendszer továbbításának időpontjától számított 30 napon belül meghozza a következő intézkedések egyikét:

a)elfogadja a javasolt tanúsítási rendszert;

b)visszaküldi a javasolt tanúsítási rendszert az ENISA-nak felülvizsgálatra, a visszaküldés indokolásával és egy 90 napot meg nem haladó határidővel együtt, amelyen belül az ENISA köteles benyújtani a felülvizsgált javasolt tanúsítási rendszert;

c)megszünteti a javasolt tanúsítási rendszert.

(8)Amennyiben a Bizottság a javasolt tanúsítási rendszert a (7) bekezdés b) pontjával összhangban felülvizsgálat céljából visszaküldi az ENISA-nak, a (4), (5) és (7) bekezdés megfelelően alkalmazandó.

(9)A Bizottság felhatalmazást kap arra, hogy az ENISA által kidolgozott, elfogadott javasolt tanúsítási rendszer alapján végrehajtási jogi aktusokat fogadjon el, melyek az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó, a 80. és 81. cikkben meghatározott követelményeknek megfelelő európai kiberbiztonsági tanúsítási rendszerről rendelkeznek. E végrehajtási jogi aktust a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(10)A Bizottság a 18. és 77. cikkel összhangban az e cikk (9) bekezdésében említett végrehajtási jogi aktusokban hivatkozhat az ENISA által kidolgozott műszaki előírásokra.

(11)A Bizottság a 87. cikkel összhangban az e cikk (9) bekezdésében említett végrehajtási jogi aktusokban meghatározhatja az európai kiberbiztonsági tanúsítványok nemzetközi elismerésének feltételeit.

75. cikk
Európai kiberbiztonsági tanúsítási rendszer karbantartása

(1)Minden európai kiberbiztonsági tanúsítási rendszer karbantartási stratégiát dolgoz ki. A karbantartási stratégiának körvonalaznia kell a karbantartási tevékenységekkel kapcsolatos elvárásokat, különös tekintettel a rendszerben hivatkozott szabványokkal vagy műszaki előírásokkal, valamint az érintett érdekelt felekkel folytatott interakcióval kapcsolatos elvárásokra.

(2)Az ENISA a Bizottsággal együttműködve, valamint az európai kiberbiztonsági tanúsítási csoport és annak karbantartási alcsoportja támogatásával biztosítja az európai kiberbiztonsági tanúsítási rendszerek karbantartását, többek között az ilyen rendszerek Bizottság általi esetleges felülvizsgálatára tekintettel. Az ENISA a karbantartási tevékenységekkel kapcsolatban együttműködik és információt cserél az érintett uniós szervezetekkel és csoportokkal.

(3)Az ENISA az (1) bekezdésben említett karbantartási stratégiával összhangban eseti munkacsoport útján megszervezheti a magánszektor bevonását a valamely rendszer karbantartásába.

(4)Az európai kiberbiztonsági tanúsítási rendszerek karbantartási tevékenységei a következőket foglalják magukban:

a)műszaki előírások és iránymutatások kidolgozása, frissítése és jóváhagyása a rendszerek harmonizált és egységes működésének támogatása érdekében;

b)a rendszer szempontjából releváns szabványok vagy műszaki előírások azonosítása;

c)interakció, illetve adott esetben kapcsolat kialakítása az érintett érdekelt felekkel, beleértve az európai vagy nemzetközi szabványügyi szervezeteket is, többek között technikai hozzájárulások nyújtása vagy fogadása céljából;

d)ajánlások kiadása a Bizottság részére a rendszerek szükséges javítására és aktualizálására vonatkozóan, többek között a rendszerek esetleges felülvizsgálata céljából;

e)a rendszerek gyakorlati végrehajtásával kapcsolatos információk tagállamok közötti cseréje;

f)hozzájárulás a kölcsönös felülvizsgálati és a szakértői értékelési mechanizmusokhoz, valamint az ilyen értékelések eredményeinek elemzése a rendszerek működésének javítása és esetleges felülvizsgálatuk támogatása érdekében.

(5)Az európai kiberbiztonsági tanúsítási csoport véleményt adhat ki az európai kiberbiztonsági tanúsítási rendszerek karbantartásáról.

76. cikk
Valamely európai kiberbiztonsági tanúsítási rendszer értékelése, felülvizsgálata és visszavonása

(1)Az ENISA az európai kiberbiztonsági tanúsítási rendszer alkalmazásának megkezdését követően legalább négyévente – az európai kiberbiztonsági tanúsítási csoport karbantartási alcsoportjával együttműködve és az érdekelt felektől kapott visszajelzések figyelembevételével – értékeli a rendszer hatását és eredményességét. Az ENISA az értékelést a 8. cikk (1) bekezdésével összhangban piacelemzés készítésével végzi el.

(2)Az (1) bekezdésben említett értékelést követően a Bizottság felülvizsgálhatja vagy visszavonhatja a 74. cikk (9) bekezdése szerinti, valamely európai kiberbiztonsági tanúsítási rendszerről rendelkező végrehajtási jogi aktusokat.

(3)Az európai kiberbiztonsági tanúsítási rendszerek felülvizsgálata vagy visszavonása során a Bizottság konzultál az ENISA-val, az európai kiberbiztonsági tanúsítási csoporttal és annak releváns karbantartási alcsoportjával, valamint figyelembe veszi a releváns érdekelt felek és más uniós szervezetek véleményét.

(4)Az európai kiberbiztonsági tanúsítási csoport véleményt adhat ki az európai kiberbiztonsági tanúsítási rendszer felülvizsgálatáról vagy visszavonásáról. A Bizottság ezt a véleményt kellően figyelembe veszi az európai kiberbiztonsági tanúsítási rendszer felülvizsgálatakor vagy visszavonásakor.

77. cikk
Az európai kiberbiztonsági tanúsítási rendszerek műszaki előírásai

(1)Az ENISA műszaki előírásokat dolgozhat ki egy jövőbeli európai kiberbiztonsági tanúsítási rendszerre tekintettel vagy egy európai kiberbiztonsági tanúsítási rendszer karbantartásának támogatása érdekében.

(2)Az e cikk (1) bekezdésében említett műszaki előírásokat kellő időben kell kidolgozni az európai kiberbiztonsági tanúsítási csoport és annak karbantartási alcsoportjai, valamint adott esetben a 75. cikk (3) bekezdésében említett megfelelő eseti munkacsoport támogatásával. E célból az ENISA az érdekelt felek releváns csoportjainak véleményét is kikéri, figyelembe véve a 75. cikk (1) bekezdésében említett karbantartási stratégiát.

(3)Amennyiben a 74. cikk (10) bekezdésében említett európai kiberbiztonsági tanúsítási rendszer műszaki előírásokra hivatkozik, azokat a 79. cikkben említett honlapon elérhetővé kell tenni.

(4)Kellően indokolt esetekben, különösen ha a műszaki előírások olyan információkat tartalmaznak, amelyek veszélyeztethetik a tanúsított IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak vagy irányított biztonsági szolgáltatásoknak, vagy szervezetek tanúsított kiberbiztonsági helyzetének biztonságát, az említett műszaki előírások csak a rendszer követelményei által érintett érdekelt felekkel oszthatók meg. Ilyen műszaki előírásokra európai kiberbiztonsági tanúsítási rendszer a 74. cikk (10) bekezdésében említett módon nem hivatkozhat.

78. cikk 
Az uniós jogszabályoknak való megfelelés elősegítése

(1)Amennyiben egy konkrét uniós jogi aktus úgy rendelkezik, a valamely európai kiberbiztonsági tanúsítási rendszer keretében kiállított tanúsítványnak igazolnia kell az adott jogi aktusban előírt vonatkozó követelményeknek való megfelelést, illetve annak vélelmezésére kell szolgálnia.

(2)Az európai kiberbiztonsági tanúsítási rendszer keretében végzett értékelési tevékenységeknek összhangban kell lenniük a megfelelés igazolásáról és a megfelelés vélelmezéséről rendelkező vonatkozó uniós jogi aktussal. Amennyiben a vonatkozó uniós jogi aktus nem határoz meg ilyen értékelési tevékenységeket, a rendszernek kell meghatároznia azokat. Az uniós jogszabályokban meghatározott követelményeknek való megfelelés vélelmezésére szolgáló tanúsítás esetében a megfelelőségértékelést harmadik félnek kell elvégeznie.

(3)Harmonizált uniós jogszabályok hiányában a nemzeti jog úgy is rendelkezhet, hogy egy európai kiberbiztonsági tanúsítási rendszer a nemzeti jogban meghatározott konkrét jogi követelményeknek való megfelelés igazolására, valamint e megfelelés vélelmezésére is használható.

79. cikk
Az európai kiberbiztonsági tanúsítási rendszerek elterjesztése, az ENISA holnapja és a tanúsítványok közzététele

(1)Az ENISA tevékenységeket szervez az elfogadott európai kiberbiztonsági tanúsítási rendszerek elterjedésének előmozdítása érdekében, többek között az e cikk (2) bekezdésében említett honlap fenntartásával.

(2)Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást:

a)európai kiberbiztonsági tanúsítási rendszerek;

b)az egyes európai kiberbiztonsági tanúsítási rendszerek karbantartásával kapcsolatos díjak;

c)az ENISA vonatkozó műszaki előírásai;

d)európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok, beleértve az olyan tanúsítványokra és nyilatkozatokra vonatkozó információkat is, amelyek már nem érvényesek, vagy amelyeket felfüggesztettek vagy visszavontak, vagy amelyek lejártak;

e)a 84. cikkel összhangban nyújtott releváns kiegészítő kiberbiztonsági információk;

f)a kölcsönös felülvizsgálatoknak a 89. cikk (7) bekezdése szerinti összefoglalása;

g)a valamely európai kiberbiztonsági tanúsítási rendszerben a 74. cikk (10) bekezdése szerint hivatkozott műszaki előírás.

(3)A (2) bekezdésben említett honlapon adott esetben fel kell tüntetni azokat a nemzeti kiberbiztonsági tanúsítási rendszereket is, amelyeket egy európai kiberbiztonsági tanúsítási rendszer váltott fel.

II. FEJEZET 
Az európai kiberbiztonsági tanúsítási rendszerek tartalma

80. cikk
Az európai kiberbiztonsági tanúsítási rendszerek biztonsági célkitűzései

(1)Az európai kiberbiztonsági tanúsítási rendszerek adott esetben a következő biztonsági célkitűzéseket szolgálják:

a)annak biztosítása, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok és az irányított biztonsági szolgáltatások alapértelmezetten és tervezetten biztonságosak;

b)a tárolt, továbbított vagy egyéb módon kezelt adatok védelme a véletlen vagy jogosulatlan tárolással, kezeléssel, hozzáféréssel és közléssel szemben, figyelembe véve az IKT-termékek, az IKT-szolgáltatások vagy az IKT-folyamatok teljes életciklusát;

c)a tárolt, továbbított vagy más módon kezelt személyes vagy egyéb adatok, parancsok, programok és konfigurációk sértetlenségének védelme a manipulációval vagy a felhasználó által nem engedélyezett módosítással szemben, valamint jelentéstétel a korrupcióról, figyelembe véve az IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok teljes életciklusát;

d)a jogosulatlan hozzáféréssel szembeni védelem biztosítása megfelelő ellenőrzési mechanizmusok – többek között hitelesítési, személyazonosság-kezelési vagy hozzáférés-kezelési rendszerek – révén, és jelentéstétel az esetleges jogosulatlan hozzáférésről;

e)az összetevők és sérülékenységek azonosítása és dokumentálása, többek között adott esetben legalább a legfelső szintű függőségekre kiterjedő szoftveranyagjegyzék elkészítésével;

f)a biztonsággal kapcsolatos információk szolgáltatása a releváns belső tevékenységek rögzítése és nyomon követése révén, beleértve az adatokhoz, szolgáltatásokhoz vagy funkciókhoz való hozzáférést vagy azok módosítását, adott esetben a felhasználó számára kínált elutasítási mechanizmussal;

g)annak ellenőrzése, hogy az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok nem tartalmaznak ismert kihasználható sérülékenységeket;

h)az alapvető és alapszintű funkciók rendelkezésre állásának védelme, incidenst követően is, beleértve a szolgáltatásmegtagadási támadásokkal szembeni rezilienciát biztosító és az azok mérséklésére szolgáló intézkedéseket;

i)fizikai vagy műszaki incidens esetén a más hálózatok és eszközök által nyújtott szolgáltatások elérhetőségére gyakorolt negatív hatás minimalizálása;

j)annak biztosítása, hogy az IKT-termékeket, IKT-szolgáltatásokat és IKT-folyamatokat rendszeresen tesztelik és biztonsági felülvizsgálatnak vetik alá;

k)annak biztosítása, hogy a sérülékenységeket haladéktalanul kezelik és orvosolják, többek között biztonsági frissítésekkel, és hogy a kijavított sérülékenységekre vonatkozó információkat közzé teszik és nyilvánosságra hozzák, kivéve, ha a közzététel kockázatai meghaladják a biztonsági előnyöket;

l)a sérülékenységek összehangolt közzétételére vonatkozó szabályzat meglétének biztosítása;

m)az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok potenciális sérülékenységeire vonatkozó információk megosztásának elősegítése;

n)annak biztosítása, hogy amennyiben rendelkezésre állnak biztonsági frissítések az azonosított biztonsági problémák kezelésére, azokat késedelem nélkül terjesztik;

o)annak biztosítása, hogy az irányított biztonsági szolgáltatásokat a szükséges kompetenciával, szakértelemmel és tapasztalattal nyújtják, beleértve azt is, hogy az e szolgáltatások nyújtásával megbízott személyzet az adott területen kielégítő és megfelelő műszaki ismeretekkel és kompetenciával, kielégítő és megfelelő tapasztalattal, valamint a legmagasabb szintű szakmai feddhetetlenséggel rendelkezzen;

p)annak biztosítása, hogy az irányított biztonsági szolgáltatások nyújtása során alkalmazott IKT-termékek, IKT-szolgáltatások és IKT-folyamatok tervezetten és alapértelmezetten biztonságosak legyenek, és adott esetben tartalmazzák a legújabb biztonsági frissítéseket, és esetükben ne álljanak fenn közismert sérülékenységek;

q)annak biztosítása, hogy a szolgáltató megfelelő belső eljárásokkal rendelkezzen annak biztosítására, hogy a szolgáltatások nyújtása kielégítő és megfelelő színvonalon történjék;

r)annak biztosítása, hogy a tanúsított szervezet képes legyen az incidensek azonosítására, az azokkal szembeni védelemre, azok észlelésére, az azokra való reagálásra és az azokat követő helyreállításra;

s)annak biztosítása, hogy a tanúsított szervezet képes kezelni azokat a kockázatokat, amelyek a működése vagy szolgáltatásai nyújtása során az általa használt hálózati és információs rendszerek biztonságát fenyegetik, továbbá képes megelőzni vagy minimalizálni az incidenseknek a szolgáltatásai igénybe vevőire és más szolgáltatásokra gyakorolt hatásait;

t)annak biztosítása, hogy a tanúsított szervezet képes arra, hogy kiépítse, biztosítsa és felülvizsgálja működési integritását és megbízhatóságát azáltal, hogy harmadik félnek minősülő IKT-szolgáltatók által nyújtott szolgáltatások igénybevételével közvetlenül vagy közvetetten biztosítja az azon hálózati és információs rendszerek biztonságának kezeléséhez szükséges IKT-vonatkozású képességek teljes körének meglétét, amelyeket a szóban forgó szervezet használ, és amelyek a szolgáltatások folyamatos nyújtását és minőségét támogatják, többek között zavarok fennállása esetén is;

u)annak biztosítása, hogy a tanúsított szervezet képes legyen információbiztonsági irányítási rendszert bevezetni és fenntartani;

v)ellenállás minden olyan eseménynek, amely veszélyeztetheti a tárolt, továbbított vagy feldolgozott adatok vagy a szervezet által használt hálózati és információs rendszer által kínált vagy azon keresztül elérhető szolgáltatások rendelkezésre állását, hitelességét, sértetlenségét vagy titkosságát, valamint a folyamatos szolgáltatásnyújtás és -minőség biztosítása, többek között zavarok fennállása esetén is;

w)annak biztosítása, hogy a szervezet képes garantálni a személyes adatok kezelésének biztonságát.

(2)A Bizottság felhatalmazást kap arra, hogy a 119. cikknek megfelelően felhatalmazáson alapuló jogi aktusokat fogadjon el abból a célból, hogy biztonsági célkitűzések hozzáadásával vagy módosításával módosítsa e cikk (1) bekezdését annak biztosítása érdekében, hogy azok tükrözzék a legújabb technológiai fejleményeket és az új kapcsolódó fenyegetéseket, valamint hogy olyan új uniós jogszabályokat fogadjon el, amelyek rendelkeznek az említett jogszabályokban foglalt vonatkozó kiberbiztonsági követelményeknek való megfelelés európai kiberbiztonsági tanúsítás révén történő igazolásáról, illetve vélelméről.

(3)A digitális elemeket tartalmazó, az (EU) 2024/2847 rendelet 3. cikkének 1. pontjában meghatározott termékekre vonatkozó európai kiberbiztonsági tanúsítási rendszert az említett rendelet I. mellékletében meghatározott alapvető kiberbiztonsági követelményekkel összhangban kell kialakítani, figyelembe véve a rendelkezésre álló harmonizált szabványokat.

81. cikk
Az európai kiberbiztonsági tanúsítási rendszerek elemei

(1)Az európai kiberbiztonsági tanúsítási rendszereknek legalább a következőket kell tartalmazniuk:

a)a tanúsítási rendszer tárgya és hatálya, ideértve a tanúsítás hatálya alá tartozó IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve a valamely szervezetnek a tanúsítás hatálya alá tartozó eszközeinek típusa vagy kategóriái;

b)a rendszer céljának egyértelmű leírása és adott esetben azon uniós jogszabályok azonosítása, amelyek azokat a követelményeket írják elő, melyek tekintetében az európai kiberbiztonsági tanúsítványok igazolják a megfelelést vagy a megfelelés vélelmezésére szolgálnak;

c)a 75. cikkben meghatározott karbantartási tevékenységek megközelítését meghatározó karbantartási stratégia;

d)az IKT-termékeknek, az IKT-szolgáltatásoknak, az IKT-folyamatoknak vagy az irányított biztonsági szolgáltatásoknak, vagy a szervezetek kiberbiztonsági helyzetének értékeléséhez használandó konkrét kiberbiztonsági követelmények, értékelési kritériumok és módszerek, valamint az IKT-termékeknek, az IKT-szolgáltatásoknak, az IKT-folyamatoknak vagy az irányított biztonsági szolgáltatásnak, vagy a szervezetek kiberbiztonsági helyzetének értékelése során alkalmazott nemzetközi, európai vagy nemzeti szabványokra vagy – amennyiben ilyen szabványok nem állnak rendelkezésre vagy nem megfelelőek – az ENISA által a 77. cikk alapján kidolgozott műszaki előírásokra, vagy ha ilyen előírások nem állnak rendelkezésre, más műszaki előírásokra való hivatkozások;

e)a rendszer alapján kibocsátott európai kiberbiztonsági tanúsítványok maximális érvényességi ideje.

(2)Az európai kiberbiztonsági tanúsítási rendszereknek legalább a következőkre vonatkozó szabályokat és feltételeket kell tartalmazniuk:

a)annak nyomon követése, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok vagy az irányított biztonsági szolgáltatások, illetve a szervezetek kiberbiztonsági helyzete megfelelnek-e az európai kiberbiztonsági tanúsítványok vagy az uniós megfelelőségi nyilatkozatok követelményeinek, ideértve a meghatározott kiberbiztonsági követelményeknek való folyamatos megfelelés bizonyítására szolgáló mechanizmusokat is;

b)az európai kiberbiztonsági tanúsítványok kiállítása, megerősítése, visszavonása és megújítása, a tanúsítás és az újratanúsítás hatályának kiterjesztése vagy szűkítése;

c)az olyan tanúsított vagy uniós megfelelőségi nyilatkozat hatálya alá tartozó IKT-termékeket, IKT-szolgáltatásokat, IKT-folyamatokat, irányított biztonsági szolgáltatásokat vagy szervezeteket érintő következmények, amelyek annak ellenére nem felelnek meg a rendszer követelményeinek, hogy tanúsítottak vagy uniós megfelelőségi nyilatkozat hatálya alá tartoznak;

d)az IKT- termékek, az IKT-szolgáltatások és az IKT-folyamatok terén korábban nem észlelt kiberbiztonsági sérülékenysége bejelentésének és kezelésének módja;

e)a kiadandó európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok tartalma és formátuma;

f)az az időtartam, ameddig rendelkezésre állnak azok az uniós megfelelőségi nyilatkozatok, műszaki dokumentációk, valamint minden egyéb releváns információ, melyeket az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok vagy az irányított biztonsági szolgáltatások gyártója vagy szolgáltatója tett elérhetővé, vagy az a szervezet, melynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi;

g)minden olyan szakértői értékelési mechanizmus, amelyet a rendszer keretében a 85. cikk (4) bekezdése alapján európai kiberbiztonsági tanúsítványokat kiállító hatóságok vagy szervek számára hoztak létre, és amelyek nem érintik a 90. cikkben előírt kölcsönös felülvizsgálatot;

h)az e címben előírt rendelkezések végrehajtásával kapcsolatos feladatok és tevékenységek elvégzése során a felek által megszerzett információk és adatok titkossága;

i)a kiegészítő kiberbiztonsági információk 84. cikkel összhangban történő megadása és frissítése során az IKT-termékek, IKT-szolgáltatások vagy IKT-eljárások gyártói vagy szolgáltatói által alkalmazandó formátumok és követendő eljárások; és

j)a tanúsítási tevékenységek folytonossága rendkívüli, elkerülhetetlen és a tanúsítási rendszer szabályainak alkalmazását akadályozó válsághelyzetekben.

(3)Az európai kiberbiztonsági tanúsítási rendszernek adott esetben a következőket is tartalmaznia kell:

a)egy vagy több megbízhatósági szint és a kapcsolódó értékelési szintek;

b)védelmi profilok az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások adott kategóriájára alkalmazandó biztonsági követelmények meghatározásához;

c)kiegészítő profilok, amelyek további biztonsági követelményeket határoznak meg, beleértve adott esetben az uniós jogot átültető nemzeti rendelkezésekben meghatározott biztonsági követelményeket is;

d)annak tisztázása, hogy mely megfelelőségértékelési tevékenységek – beleértve a kalibrálást, a tesztelést, a tanúsítást és az ellenőrzést – engedélyezettek az Európai Gazdasági Térségen (EGT) kívül a „magas” megbízhatósági szint esetében, vagy a megfelelés igazolása, illetve a megfelelés vélelmezése céljából;

e)az azonos típusú vagy kategóriájú IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra vagy irányított biztonsági szolgáltatásokra, illetve a szervezetek azonos típusú vagy kategóriájú kiberbiztonsági helyzetére kiterjedő nemzeti vagy nemzetközi kiberbiztonsági tanúsítási rendszerek azonosítása;

f)a megfelelőségértékelő szervezetekre alkalmazandó kiegészítő vagy konkrét követelmények, a kiberbiztonsági követelmények értékelésére való szakmai felkészültség biztosítása érdekében;

g)a kérelmező által a megfelelőségértékelő szervezetek részére benyújtandó vagy egyéb úton a rendelkezésükre bocsátandó, a tanúsításhoz szükséges információk;

h)jelölések vagy címkék, valamint azok használati feltételei;

i)az európai kiberbiztonsági tanúsítványoknak a 87. cikk szerinti nemzetközi elismerésének feltételei.

(4)Az európai kiberbiztonsági tanúsítási rendszer meghatározott követelményeinek összhangban kell állniuk az uniós jogból eredő követelményekkel.

(5)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben közös elveket és mintarendelkezéseket állapít meg az (1), (2) és (3) bekezdésben meghatározott elemekre vonatkozóan, valamennyi európai kiberbiztonsági tanúsítási rendszerre nézve. Adott esetben és amennyiben rendelkezésre áll, az európai kiberbiztonsági tanúsítási rendszer hivatkozásokat tartalmazhat ezekre az elvekre és mintarendelkezésekre.

(6)Az (5) bekezdésben említett végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni. Az európai kiberbiztonsági tanúsítási rendszerek elemeire vonatkozó közös elvek és mintarendelkezések kidolgozása vagy felülvizsgálata során a Bizottság konzultál az ENISA-val, és adott esetben figyelembe veszi az európai kiberbiztonsági tanúsítási csoport, a releváns érdekelt felek és más releváns szervek által kifejtett véleményeket.

82. cikk
Az európai kiberbiztonsági tanúsítási rendszerek megbízhatósági és értékelési szintjei

(1)Az európai kiberbiztonsági tanúsítási rendszerek az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére nézve a következő megbízhatósági szintek közül határozhatnak meg egyet vagy többet: „alap”, „jelentős” és „magas”. E megbízhatósági szinteknek az incidens valószínűsége és hatása tekintetében arányosaknak kell lenniük az IKT-termék, az IKT-szolgáltatás, az IKT-folyamat vagy az irányított biztonsági szolgáltatás rendeltetésszerű használatához kapcsolódó kockázat szintjével, valamint az azon szervezet jellegéhez kapcsolódó kockázat szintjével, amelynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi, továbbá ezek működési környezetével.

(2)Az európai kiberbiztonsági tanúsítványoknak hivatkozniuk kell az azon európai kiberbiztonsági tanúsítási rendszerben meghatározott bármely megbízhatósági szintre, amely alapján a szóban forgó tanúsítványokat kibocsátották. Az uniós megfelelőségi nyilatkozatoknak az „alap” megbízhatósági szintre kell hivatkozniuk.

(3)A releváns európai kiberbiztonsági tanúsítási rendszernek meg kell határoznia az egyes megbízhatósági szintekhez kapcsolódó biztonsági követelményeket, ideértve a kapcsolódó biztonsági ellenőrzéseket és a kapcsolódó értékelést, melyeknek vagy melynek az IKT-terméket, az IKT-szolgáltatást, az IKT-folyamatot, az irányított biztonsági szolgáltatást vagy a szervezet kiberbiztonsági helyzetét alá kell vetni.

(4)Az európai kiberbiztonsági tanúsítványnak vagy az uniós megfelelőségi nyilatkozatnak hivatkoznia kell a rájuk vonatkozó műszaki előírásokra, szabványokra és eljárásokra, többek között műszaki ellenőrzésekre is, melyek célja a kiberbiztonsági incidensek kockázatának csökkentése, illetve azok megelőzése.

(5)Az „alap” megbízhatósági szintet feltüntető európai kiberbiztonsági tanúsítvány vagy uniós megfelelőségi nyilatkozat arra vonatkozóan szolgál biztosítékkal, hogy azok az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve a szervezetek azon kiberbiztonsági helyzete, amelyekre vagy amelyre vonatkozóan az említett tanúsítványt vagy az említett uniós megfelelőségi nyilatkozatot kibocsátották, teljesítik a vonatkozó biztonsági követelményeket – ideértve a biztonsági ellenőrzéseket – és olyan szintű értékelésen estek át, amely az incidensekkel és a kiberbiztonsági támadásokkal kapcsolatos alapvető, ismert kockázatok minimalizálására törekszik. Az elvégzendő értékelési tevékenységeknek magukban kell foglalniuk legalább a műszaki dokumentáció áttekintését. Ha az ilyen áttekintés nem megfelelő, egyenlő hatású helyettesítő értékelési tevékenységeket kell végezni.

(6)A „jelentős” megbízhatósági szintet feltüntető európai kiberbiztonsági tanúsítvány arra vonatkozóan szolgál biztosítékkal, hogy azok az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve azoknak a szervezeteknek a kiberbiztonsági helyzete, amelyekre vonatkozóan az említett tanúsítványt kibocsátották, teljesítik a vonatkozó biztonsági követelményeket – ideértve a biztonsági ellenőrzéseket – és olyan szintű értékelésen estek át, amely az incidensek és a kibertámadások ismert kockázatainak, valamint a korlátozott szakértelemmel és erőforrásokkal rendelkező elkövetők által végrehajtott kibertámadások kockázatainak minimalizálására törekszik. Az elvégzendő értékelési tevékenységeknek legalább a következőket kell magukban foglalniuk: a közismert sérülékenységek hiányának igazolására szolgáló felülvizsgálat, valamint az annak megállapítására szolgáló tesztelés, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy a szervezetek megfelelően alkalmazzák-e a szükséges biztonsági ellenőrzéseket. Ha ezen értékelési tevékenységek egyike nem megfelelő, egyenlő hatású helyettesítő értékelési tevékenységeket kell végezni.

(7)A „magas” megbízhatósági szintet feltüntető európai kiberbiztonsági tanúsítvány arra vonatkozóan szolgál biztosítékkal, hogy azok az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve a szervezeteknek a kiberbiztonsági helyzete, amelyekre, illetve amelyre vonatkozóan az említett tanúsítványt kibocsátották, teljesítik a vonatkozó biztonsági követelményeket – ideértve a biztonsági ellenőrzéseket – és olyan szintű értékelésen estek át, amely az incidensek és a kibertámadások kockázatainak, valamint a jelentős szakértelemmel és erőforrásokkal rendelkező elkövetők által végrehajtott legmodernebb kibertámadások kockázatainak minimalizálására törekszik. Az elvégzendő értékelési tevékenységeknek legalább az alábbiakat kell magukban foglalniuk:

a)a közismert sérülékenységek hiányának igazolására szolgáló felülvizsgálat;

b)az annak megállapítására szolgáló tesztelés, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy szervezetek megfelelően, a legfejlettebb technika szerint működtetik-e a szükséges biztonsági ellenőrzéseket;

c)az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások vagy szervezetek jól képzett támadókkal szembeni ellenállásának értékelése, adott esetben behatolási tesztelés alkalmazásával.

Ha ezen értékelési tevékenységek egyike nem megfelelő, egyenlő hatású helyettesítő tevékenységeket kell végezni. A „magas” megbízhatósági szinttel kapcsolatos megfelelőségértékelési tevékenységeket – beleértve a kalibrálást, a tesztelést, a tanúsítást és az ellenőrzést – az Európai Gazdasági Térségben kell elvégezni, kivéve, ha valamely európai kiberbiztonsági tanúsítási rendszer másként rendelkezik.

(8)Abban az esetben, ha egy európai kiberbiztonsági tanúsítási rendszer célja egy konkrét uniós jogi aktusnak való megfelelés igazolása, illetve annak vélelmezése, az európai kiberbiztonsági tanúsítványnak biztosítékkal kell szolgálnia arra vonatkozóan, hogy a tanúsított IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve a szervezetek tanúsított kiberbiztonsági helyzete megfelelnek az adott jogi aktusban foglalt kiberbiztonsági követelményeknek. A megfelelés vélelmét szolgáló megfelelőségértékelési tevékenységeket – beleértve a kalibrálást, a tesztelést, a tanúsítást és az ellenőrzést – az Európai Gazdasági Térségben kell elvégezni, kivéve, ha valamely európai kiberbiztonsági tanúsítási rendszer másként rendelkezik.

(9)Az európai kiberbiztonsági tanúsítási rendszer egy adott megbízhatósági szintre vonatkozóan több értékelési szintet is meghatározhat. Minden egyes értékelési szint megfelel az egyik megbízhatósági szintnek.

83. cikk
Megfelelőségi önértékelés

(1)Valamely európai kiberbiztonsági tanúsítási rendszer lehetővé tehet olyan megfelelőségi önértékelést, amelyet az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártójának vagy szolgáltatójának a kizárólagos felelőssége mellett, vagy annak a szervezetnek a kizárólagos felelőssége mellett kell elvégezni, amelynek kiberbiztonsági helyzete a tanúsítás tárgyát képezi. Megfelelőségi önértékelés csak az „alap” megbízhatósági szintnek megfelelő, alacsony kockázatot jelentő IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, illetve szervezetek ilyen kiberbiztonság helyzete esetében engedhető meg.

(2)Az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártója vagy szolgáltatója, vagy az a szervezet, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, uniós megfelelőségi nyilatkozatot adhat ki, amelyben kijelenti, hogy az európai kiberbiztonsági tanúsítási rendszerben meghatározott követelmények teljesítése igazolást nyert. E nyilatkozat kiállításával a gyártó vagy a szolgáltató vagy a szervezet felelősséget vállal azért, hogy az IKT-termék, az IKT-szolgáltatás, az IKT-folyamat, az irányított biztonsági szolgáltatás vagy a kiberbiztonsági helyzet megfelel az említett rendszerben meghatározott követelményeknek.

(3)Az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártója vagy szolgáltatója, vagy az a szervezet, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, a szóban forgó rendszerben meghatározott ideig a 89. cikk szerint kijelölt nemzeti kiberbiztonsági tanúsító hatóság rendelkezésére bocsátja az uniós megfelelőségi nyilatkozatot, a műszaki dokumentációt és az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy a kiberbiztonsági helyzet tanúsítási rendszernek való megfelelésével kapcsolatos összes egyéb releváns információt. Az uniós megfelelőségi nyilatkozat másolati példányát meg kell küldeni indokolatlan késedelem nélkül a nemzeti kiberbiztonsági tanúsító hatóságnak és az ENISA-nak.

84. cikk
Kiegészítő kiberbiztonsági információk a tanúsított IKT-termékekkel, IKT-szolgáltatásokkal és IKT-folyamatokkal kapcsolatban

(1)Azoknak az IKT-termékeknek, IKT-szolgáltatásoknak vagy IKT-folyamatoknak a gyártója vagy szolgáltatója, amelyekre vonatkozóan uniós megfelelőségi nyilatkozatot vagy európai kiberbiztonsági tanúsítványt állítottak ki, a felhasználó rendelkezésére bocsátja a következő kiegészítő kiberbiztonsági információkat:

a)a releváns IKT-termék, IKT-szolgáltatás vagy IKT-folyamat rendeltetése, beleértve a gyártó vagy a szolgáltató által biztosított biztonsági környezetet is;

b)a felhasználóknak az IKT-termékek vagy IKT-szolgáltatások biztonságos konfigurálásában, beszerelésében, telepítésében, üzemeltetésében és karbantartásában segítséget nyújtó útmutatás és ajánlások;

c)a gyártó vagy szolgáltató által kínált műszaki biztonsági támogatás típusa és azon támogatási időszak záró dátuma, melynek során a felhasználók számíthatnak a sérülékenységek kezelésére és a biztonsági frissítésekre;

d)ha a gyártó úgy dönt, hogy szoftveranyagjegyzéket bocsát a felhasználó rendelkezésére: tájékoztatás arról, hogy hol érhető el a szoftveranyagjegyzék.

(2)Azoknak az IKT-termékeknek, IKT-szolgáltatásoknak vagy IKT-folyamatoknak a gyártója vagy szolgáltatója, amelyekre vonatkozóan uniós megfelelőségi nyilatkozatot vagy európai kiberbiztonsági tanúsítványt állítottak ki, nyilvánosan hozzáférhetővé teszi a következő kiegészítő kiberbiztonsági információkat:

a)az egyablakos kapcsolattartó pont, ahol a sérülékenységekre vonatkozó információk bejelenthetők és megszerezhetők, továbbá ahol elérhető a gyártó összehangolt sérülékenységfeltárásra vonatkozó politikája;

b)a kijavított sérülékenységekre vonatkozó információk, beleértve a sérülékenységek leírását, beleértve azokat az információkat, amelyek lehetővé teszik a felhasználók számára az érintett digitális elemeket tartalmazó termék azonosítását, a sérülékenységek hatásait és súlyosságát, valamint azokat a közérthető és elérhető információkat, amelyek segítenek a felhasználónak orvosolni a sérülékenységeket; kellően indokolt esetekben a gyártók – amennyiben úgy ítélik meg, hogy a közzététel biztonsági kockázatai meghaladják a biztonsági előnyöket –, elhalaszthatják a kijavított sérülékenységre vonatkozó információk nyilvánosságra hozatalát mindaddig, amíg a felhasználók lehetőséget nem kaptak a vonatkozó hibajavító csomag telepítésére.

(3)Az (1) és (2) bekezdésben említett információkat elektronikus formában kell rendelkezésre bocsátani, és a releváns európai kiberbiztonsági tanúsítvány vagy uniós megfelelőségi nyilatkozat lejártát vagy visszavonását követően legalább öt évig biztosítani kell az elérhetőségüket, illetve szükség szerint naprakésszé kell tenni őket.

(4)Az (1) és (2) bekezdésben meghatározott kötelezettségek nem alkalmazandók abban az esetben, ha a releváns IKT-termék, IKT-szolgáltatás vagy IKT-folyamat biztonságát veszélyeztetheti a szóban forgó információkat nyilvános hozzáférhetővé tétele.

III. FEJEZET 
Az európai kiberbiztonsági tanúsítási keretrendszer irányítása

1. szakasz 
Az európai kiberbiztonsági tanúsítási rendszerek általános szabályai és kezelése

85. cikk
Európai kiberbiztonsági tanúsítványok kibocsátása

(1)A valamely európai kiberbiztonsági tanúsítási rendszer keretében tanúsított IKT-termékekről, IKT-szolgáltatásokról, IKT-folyamatokról, irányított biztonsági szolgáltatásokról, illetve a szervezetek valamely európai kiberbiztonsági tanúsítási rendszer keretében tanúsított kiberbiztonsági helyzetéről vélelmezni kell, hogy megfelelnek az említett rendszer követelményeinek.

(2)A 91. cikkben említett megfelelőségértékelő szervezetek a 74. cikk alapján elfogadott európai kiberbiztonsági tanúsítási rendszerben foglalt kritériumok alapján bocsájtják ki az európai kiberbiztonsági tanúsítványokat.

(3)A (2) bekezdéstől eltérve valamely európai kiberbiztonsági tanúsítási rendszer előírhatja, hogy e rendszer keretében csak a következő közjogi szervek egyike adhat ki európai kiberbiztonsági tanúsítványt:

a)a 88. cikkben említett nemzeti kiberbiztonsági tanúsító hatóság, vagyis a 91. cikk (1) bekezdése szerinti megfelelőségértékelő szervezetként akkreditált közjogi szerv;

b)a 91. cikk (1) bekezdése szerinti megfelelőségértékelő szervezetként akkreditált közjogi szerv.

(4)Abban az esetben, ha a 74. cikk alapján elfogadott európai kiberbiztonsági tanúsítási rendszer „magas” megbízhatósági szintet állapít meg, vagy ha a rendszer másként rendelkezik, az említett rendszer szerinti európai kiberbiztonsági tanúsítványt csak a 88. cikkben említett, a 91. cikk (1) bekezdése alapján megfelelőségértékelő szervezetként akkreditált nemzeti kiberbiztonsági tanúsító hatóság állíthatja ki, vagy:

a)megfelelőségértékelő szervezet előzetes jóváhagyási modell alapján; vagy

b)megfelelőségértékelő szervezet általános átruházási modell alapján.

(5)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben meghatározza az e cikk (4) bekezdésében említett előzetes jóváhagyási modellre vagy általános átruházási modellre vonatkozó eljárásokat. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az európai kiberbiztonsági tanúsítási csoporttal. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(6)Az IKT-termékeiket, IKT-szolgáltatásaikat, IKT-folyamataikat vagy irányított biztonsági szolgáltatásaikat tanúsításnak alávető természetes vagy jogi személyek, illetve a kiberbiztonsági helyzetét tanúsítását kérelmező szervezetek kötelesek a 89. cikk szerint kijelölt nemzeti kiberbiztonsági tanúsító hatóság – amennyiben az európai kiberbiztonsági tanúsítványt e hatóság állította ki – vagy a 91. cikkben említett megfelelőségértékelő szervezet rendelkezésére bocsátani a tanúsítás lefolytatásához szükséges összes információt.

(7)A megfelelőségértékelő szervezetek és adott esetben a nemzeti kiberbiztonsági tanúsító hatóságok a 94. cikkel összhangban, indokolatlan késedelem nélkül tájékoztatják az ENISA-t az európai kiberbiztonsági tanúsítványok és az uniós megfelelőségi nyilatkozatok státuszát érintő döntéseikről.

(8)Az európai kiberbiztonsági tanúsítvány jogosultja tájékoztatja a (7) bekezdésben említett megfelelőségértékelő szervezetet és adott esetben nemzeti kiberbiztonsági tanúsító hatóságot a tanúsított IKT-termékkel, IKT-szolgáltatással, IKT-folyamattal vagy irányított biztonsági szolgáltatással, illetve a szervezet tanúsított kiberbiztonsági helyzetével kapcsolatban a későbbiekben észlelt minden olyan sérülékenységről vagy meg nem felelésről, amely valószínűsíthetően hatással van a tanúsítványnak való megfelelésre. Az említett szervezet indokolatlan késedelem nélkül továbbítja ezeket az információkat az érintett nemzeti kiberbiztonsági tanúsító hatóságnak, és a rendszernek a 81. cikk (2) bekezdés, d) pontjában említett feltételeivel összhangban értékeli a tanúsítványra gyakorolt hatást.

(9)A 102. cikk alapján teljes egészében vagy részben kulcsfontosságú eszközként azonosított tanúsított IKT-termékeik, IKT-szolgáltatásaik, IKT-folyamataik vagy irányított biztonsági szolgáltatásaik esetében az európai kiberbiztonsági tanúsítvány jogosultjai nem használhatnak, telepíthetnek vagy más módon nem integrálhatnak tanúsított IKT-termékekbe, IKT-szolgáltatásokba, IKT-folyamatokba vagy irányított biztonsági szolgáltatásokba olyan IKT-összetevőket, illetve olyan IKT-összetevőket tartalmazó összetevőket, amelyek magas kockázatú beszállítóktól származnak.

(10)Az európai kiberbiztonsági tanúsítványokat az európai kiberbiztonsági tanúsítási rendszerben meghatározott időtartamra kell kiállítani, és megújíthatók, feltéve, hogy a vonatkozó követelmények továbbra is teljesülnek.

(11)A Bizottság együttműködik a tagállamokkal az európai kiberbiztonsági tanúsítványok kibocsátásával kapcsolatos rendelkezések alkalmazásának biztosítása érdekében, a 100. cikk (4) bekezdése b) pontjának alkalmazása tekintetében is. A megfelelőségértékelő szervezet és adott esetben a nemzeti kiberbiztonsági tanúsító hatóság kérésre indokolatlan késedelem nélkül a Bizottság rendelkezésére bocsátja a vonatkozó európai kiberbiztonsági tanúsítványok vagy uniós megfelelőségi nyilatkozatok kibocsátásával kapcsolatos valamennyi információt,

86. cikk
Nemzeti kiberbiztonsági tanúsítási rendszerek és tanúsítványok

(1)Az IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra, irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó azon nemzeti kiberbiztonsági tanúsítási rendszerek és kapcsolódó eljárások, amelyek valamely európai kiberbiztonsági tanúsítási rendszer tárgyát képezik, továbbá annak hatálya alá tartoznak, a 74. cikk (9) bekezdése alapján elfogadott végrehajtási jogi aktusban meghatározott időponttól kezdődően nem bírnak joghatással. Az IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra, irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó azon nemzeti kiberbiztonsági tanúsítási rendszerek és kapcsolódó eljárások, amelyek nem képezik valamely európai kiberbiztonsági tanúsítási rendszer tárgyát, továbbá nem tartoznak annak hatálya alá, továbbra is fennmaradhatnak.

(2)A tagállamok nem vezethetnek be új nemzeti kiberbiztonsági tanúsítási rendszereket vagy kapcsolódó eljárásokat olyan IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra vagy olyan irányított biztonsági szolgáltatásokra nézve, továbbá a szervezetek olyan kiberbiztonsági helyzetére nézve, amelyek már valamely európai kiberbiztonsági tanúsítási rendszer tárgyát képezik, továbbá annak hatálya alá tartoznak.

(3)A nemzeti kiberbiztonsági tanúsítási rendszerek alapján kibocsátott, és valamely európai kiberbiztonsági tanúsítási rendszer tárgyát képező és hatálya alá tartozó meglévő tanúsítványok lejáratuk időpontjáig érvényesek maradnak.

(4)A tagállamok az IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra, irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó új nemzeti kiberbiztonsági tanúsítási rendszerek elfogadása előtt tájékoztatják a Bizottságot és az európai kiberbiztonsági tanúsítási csoportot.

(5)A Bizottság javasolhatja egy tagállamnak, hogy vonja vissza az IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra, irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó nemzeti kiberbiztonsági tanúsítási rendszerét, abban az esetben, ha a 73. cikkel összhangban már kérték az ilyen termékekre, szolgáltatásokra, folyamatokra vagy kiberbiztonsági helyzetre vonatkozó európai kiberbiztonsági tanúsítási rendszer kidolgozását, figyelembe véve a szóban forgó rendszer fejlesztési tervét.

87. cikk
Az európai kiberbiztonsági tanúsítványok nemzetközi elismerése

(1)Az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó harmadik országbeli tanúsítványok végrehajtási jogi aktus útján vagy az Unió és a szóban forgó harmadik ország vagy valamely nemzetközi szervezet közötti megállapodás megkötése révén egyenértékűnek ismerhetők el az európai kiberbiztonsági tanúsítványokkal, abban az esetben, ha a szóban forgó harmadik országbeli rendszernek vagy a valamely nemzetközi szervezet szóban forgó rendszerének a követelményei egyenértékűnek tekinthetők az európai kiberbiztonsági tanúsítási rendszerek követelményeivel. A Bizottság felhatalmazást kap arra, hogy ilyen végrehajtási jogi aktusokat fogadjon el. A végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(2)Az (1) bekezdésben említett végrehajtási jogi aktusoknak és megállapodásoknak az európai kiberbiztonsági tanúsítványok nemzetközi elismerésének a 74. cikk (11) bekezdésével összhangban meghatározott feltételein kell alapulniuk.

(3)Az (1) bekezdésben említett harmadik országbeli tanúsítványok vagy nemzetközi szervezet által kiállított tanúsítványok elismeréséről szóló megállapodások csak abban az esetben köthetők meg, ha azok az európai kiberbiztonsági tanúsítványokat is egyenértékűnek ismerik el a harmadik országbeli tanúsítványokkal.

88. cikk 
Nemzeti kiberbiztonsági tanúsító hatóságok

(1)Minden tagállam a saját területén kijelöl egy vagy több nemzeti kiberbiztonsági tanúsító hatóságot, vagy egy másik tagállammal történő megállapodás alapján, egy vagy több ezen másik tagállamban működő nemzeti kiberbiztonsági tanúsító hatóságot a kijelölő tagállam felügyeleti feladatainak ellátásáért felelős hatóságként.

(2)Minden tagállam tájékoztatja a Bizottságot arról, hogy mely hatóságokat jelölt ki nemzeti kiberbiztonsági tanúsító hatóságként. Amennyiben egy tagállam több hatóságot jelöl ki, arról is tájékoztatja a Bizottságot, hogy az egyes hatóságokat milyen feladatokkal bízta meg.

(3)Az egyes nemzeti kiberbiztonsági tanúsító hatóságok – a szervezetüket, finanszírozási határozataikat, jogi felépítésüket és döntéshozatalukat illetően – függetlenek az általuk felügyelt szervezetektől.

(4)A nemzeti kiberbiztonsági tanúsító hatóságok azon tevékenységei, amelyek az európai kiberbiztonsági tanúsítványoknak az e rendelet szerinti kibocsátásával kapcsolatosak, szigorúan el vannak választva e hatóságoknak az e cikkben és a 85. cikk (4) bekezdésének a) és b) pontjában megállapított felügyeleti tevékenységeitől, és az említett tevékenységek elvégzése egymástól függetlenül történik.

(5)A tagállamok biztosítják, hogy a nemzeti kiberbiztonsági tanúsító hatóságok rendelkezzenek a hatáskörük gyakorlásához, valamint a feladataik hatékony és eredményes elvégzéséhez szükséges megfelelő forrásokkal.

(6)A nemzeti kiberbiztonsági tanúsító hatóságok feladatai a következők:

a)részt vesznek az európai kiberbiztonsági tanúsítási csoportban a 90. cikk (2) bekezdése szerint;

b)a 81. cikk (2) bekezdésének a) pontja alapján felügyelik és végrehajtják az európai kiberbiztonsági tanúsítási rendszerekben foglalt szabályokat annak biztosítása érdekében, hogy az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok és az irányított biztonsági szolgáltatások, illetve a szervezetek kiberbiztonsági helyzete megfeleljenek a területükön kibocsátott európai kiberbiztonsági tanúsítványok követelményeinek; ennek során a nemzeti kiberbiztonsági tanúsító hatóságok együttműködnek a releváns piacfelügyeleti vagy felügyeleti hatóságokkal, beleértve az (EU) 2022/2555 európai parlamenti és tanácsi irányelv 82 vagy az (EU) 2024/2847 rendelet szerinti illetékes hatóságokat is;

c)az érintett piacfelügyeleti hatóságokkal együttműködve nyomon követik és érvényesítik az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások olyan gyártóira vagy szolgáltatóira, illetve a kiberbiztonsági helyzetüket tanúsításnak alávető olyan szervezetekre vonatkozó, az e rendeletben meghatározott kötelezettségeknek való megfelelést, amelyek az illetékességi területükön letelepedettek, és amelyek a vonatkozó európai kiberbiztonsági tanúsítási rendszerben megfelelőségi önértékelést végeznek;

d)a 91. cikk (3) bekezdésének sérelme nélkül, e rendelet alkalmazása céljából aktívan segítik és támogatják a nemzeti akkreditáló szerveket a megfelelőségértékelő szervezetek tevékenységeinek nyomon követésében és felügyeletében;

e)együttműködnek a Bizottsággal a megfelelőségértékelő szervezet szakmai felkészültségének a 94. cikk szerinti vitatása esetén;

f)nyomon követik és felügyelik a 85. cikk (3) bekezdésében említett közjogi szervek tevékenységeit;

g)adott esetben a 93. cikkel összhangban engedélyezik a megfelelőségértékelő szervezeteket, nyomon követik a megfelelőségértékelő szervezeteknek az európai kiberbiztonsági tanúsítási rendszerekben meghatározott, a 81. cikk (3) bekezdésének f) pontja szerinti kiegészítő vagy egyedi követelményeknek való megfeleléséhez kapcsolódó kötelezettségek teljesülését, illetve érvényesítik e kötelezettségeket, valamint – amennyiben a megfelelőségértékelő szervezetek nem felelnek meg e rendelet követelményeinek – korlátozzák, felfüggesztik vagy visszavonják az érvényes engedélyeket;

h)kezelik a természetes vagy jogi személyeknek a nemzeti kiberbiztonsági tanúsító hatóságok által kiadott európai kiberbiztonsági tanúsítványokkal vagy a 85. cikk (4) bekezdésével összhangban a megfelelőségértékelő szervezetek által kiadott európai kiberbiztonsági tanúsítványokkal, vagy a 83. cikk alapján kiadott uniós megfelelőségi nyilatkozatokkal kapcsolatban benyújtott panaszait, valamint megfelelő mértékben kivizsgálják az ilyen panasz tárgyát, továbbá észszerű időn belül tájékoztatják a panaszost a vizsgálat előrehaladásáról és eredményéről;

i)[a hatálybalépés éve + 12 hónap]-tól/-től minden év március 31-ig éves jelentést nyújtanak be fő tevékenységeikről a Bizottságnak, az ENISA-nak és az európai kiberbiztonsági tanúsítási csoportnak, és ezeket a jelentéseket a kölcsönös felülvizsgálatot végző csoport rendelkezésére bocsátják, amennyiben a nemzeti kiberbiztonsági tanúsító hatóság a 89. cikkel összhangban kölcsönös felülvizsgálat tárgyát képezi;

j)együttműködnek más nemzeti kiberbiztonsági tanúsító hatóságokkal, piacfelügyeleti hatóságokkal és más hatóságokkal, többek között azáltal, hogy megosztják az azzal kapcsolatos információkat, hogy bizonyos IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, vagy szervezetek kiberbiztonsági helyzete valószínűleg nem felelnek meg e rendelet vagy egyes európai kiberbiztonsági tanúsítási rendszerek követelményeinek;

k)figyelemmel kísérik a kiberbiztonsági tanúsítás terén zajló releváns fejleményeket.

(7)Minden nemzeti kiberbiztonsági tanúsító hatóság legalább a következő hatáskörökkel rendelkezik:

a)felszólíthatja a megfelelőségértékelő szervezeteket, az európai kiberbiztonsági tanúsítványok jogosultjait és az uniós megfelelőségi nyilatkozatok kibocsátóit, hogy bocsássák rendelkezésére a feladata ellátásához szükséges információkat;

b)az e címben előírt követelményeknek való megfelelése ellenőrzése céljából ellenőrzések formájában vizsgálatokat végezhet a megfelelőségértékelő szervezeteknél, az európai kiberbiztonsági tanúsítványok jogosultjainál és az uniós megfelelőségi nyilatkozatok kibocsátóinál;

c)a nemzeti joggal összhangban meghozhatja a megfelelő intézkedéseket annak biztosítása érdekében, hogy a megfelelőségértékelő szervezetek, az európai kiberbiztonsági tanúsítványok jogosultjai és az uniós megfelelőségi nyilatkozatok kibocsátói megfeleljenek e rendeletnek, illetve az adott európai kiberbiztonsági tanúsítási rendszernek;

d)beléphet bármely megfelelőségértékelő szervezet vagy az európai kiberbiztonsági tanúsítványok bármely jogosultjának helyiségeibe az uniós jogszabályokkal vagy a nemzeti eljárásjoggal összhangban folytatott vizsgálatok elvégzése céljából;

e)a nemzeti joggal összhangban visszavonhatja a nemzeti kiberbiztonsági tanúsító hatóságok vagy a 85. cikk (4) bekezdésével összhangban a megfelelőségértékelő szervezetek által kibocsátott adott európai kiberbiztonsági tanúsítványokat, amennyiben az említett tanúsítványok nem felelnek meg e rendeletnek vagy az adott európai kiberbiztonsági tanúsítási rendszernek;

f)a 97. cikknek megfelelően a nemzeti joggal összhangban szankciókat rendelhet el, valamint előírhatja az e rendeletben meghatározott kötelezettségek megszegésének azonnali megszüntetését.

(8)A nemzeti kiberbiztonsági tanúsító hatóságoknak együtt kell működniük egymással és a Bizottsággal, különösen az IKT-termékeknek, az IKT-szolgáltatásoknak, az IKT-folyamatoknak, az irányított biztonsági szolgáltatásoknak és a szervezetek kiberbiztonsági helyzetének kiberbiztonságára vonatkozó kiberbiztonsági tanúsítással és műszaki kérdésekkel kapcsolatos információk, tapasztalatok és bevált gyakorlatok cseréje révén.

(9)Az ENISA [hatálybalépés + 6 hónap]-ig a Bizottsággal és az európai kiberbiztonsági tanúsítási csoporttal együttműködve kidolgozza az e cikk (6) bekezdésének i) pontjában említett jelentés sablonját.

89. cikk
Kölcsönös felülvizsgálat

(1)A nemzeti kiberbiztonsági tanúsító hatóságokat kölcsönös felülvizsgálatnak kell alávetni.

(2)A kölcsönös felülvizsgálatot hatékony és átlátható értékelési feltételek és eljárások alapján kell végezni, különösen a szervezeti és humánerőforrások, valamint az eljárási követelmények, a titoktartás és a panaszok tekintetében.

(3)A kölcsönös felülvizsgálat a következőket értékeli:

a)adott esetben azt, hogy a nemzeti kiberbiztonsági tanúsító hatóságok azon tevékenységei, amelyek az európai kiberbiztonsági tanúsítványoknak az e rendeletben említett kibocsátásával kapcsolatosak, szigorúan el vannak-e választva a 88. cikkben megállapított felügyeleti tevékenységeiktől, és hogy az említett tevékenységek ellátása egymástól függetlenül történik-e;

b)azokat az eljárásokat, amelyek a 88. cikk (7) bekezdésének a) pontja alapján azt felügyelik, hogy érvényesülnek-e az annak nyomon követésére vonatkozó szabályok, az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok és az irányított biztonsági szolgáltatások, illetve a szervezetek kiberbiztonsági helyzete megfelelnek-e az európai kiberbiztonsági tanúsítványoknak, továbbá hogy érvényesítik-e ezeket a szabályokat;

c)azokat az eljárásokat, amelyek a 88. cikk (7) bekezdésének b) pontja alapján azokat a kötelezettségeket követik nyomon és érvényesítik, amelyek az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások gyártóira vagy szolgáltatóira hárulnak, illetve azokra a szervezetekre, amelyek kiberbiztonsági helyzete tanúsítás tárgyát képezi;

d)a megfelelőségértékelő szervezetek tevékenységeinek nyomon követésére, engedélyezésére és felügyeletére szolgáló eljárásokat.

(4)Más tagállamok legalább két nemzeti kiberbiztonsági tanúsító hatósága és a Bizottság legalább ötévente egyszer kölcsönös felülvizsgálatot végez. Az ENISA megfigyelőként vesz részt a kölcsönös felülvizsgálatban. A kölcsönös felülvizsgálatot végző csoport elkészíti a kölcsönös felülvizsgálat zárójelentését és összefoglalóját.

(5)Az ENISA a Bizottsággal és az európai kiberbiztonsági tanúsítási csoporttal együttműködve támogatja a kölcsönös felülvizsgálati mechanizmus és a kölcsönös felülvizsgálatok megszervezését, többek között a vonatkozó útmutató dokumentumok és sablonok kidolgozásával.

(6)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el a legalább ötéves időszakot lefedő kölcsönös felülvizsgálati terv megállapítására, a kölcsönös felülvizsgálatot végző csoport összetételére, a kölcsönös felülvizsgálatnál alkalmazandó módszertanra, valamint a kölcsönös felülvizsgálatok menetrendjére, gyakoriságára és az azokhoz kapcsolódó egyéb feladatokra vonatkozó kritériumok meghatározására nézve. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az európai kiberbiztonsági tanúsítási csoporttal és az ENISA-val. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(7)Az európai kiberbiztonsági tanúsítási csoport megvizsgálja a zárójelentést, beleértve a lehetséges iránymutatásokat vagy ajánlásokat, valamint a kölcsönös felülvizsgálat összefoglalóját, és jóváhagyja az összefoglalót a 79. cikk (2) bekezdésében említett honlapon való közzététel céljából.

90. cikk
Európai kiberbiztonsági tanúsítási csoport

(1)Létrejön az európai kiberbiztonsági tanúsítási csoport.

(2)Az európai kiberbiztonsági tanúsítási csoport a nemzeti kiberbiztonsági tanúsító hatóságok képviselőiből vagy más érintett nemzeti hatóságok képviselőiből áll. Az európai kiberbiztonsági tanúsítási csoport tagjai legfeljebb két tagállamot képviselhetnek.

(3)Az európai kiberbiztonsági tanúsítási csoport feladatai a következők:

a)tanácsot ad és segítséget nyújt a Bizottságnak az e cím rendelkezéseinek következetes végrehajtására és alkalmazására irányuló munkájában, a kiberbiztonsági tanúsítási szakpolitikával kapcsolatos kérdésekben és a szakpolitikai megközelítések összehangolásában;

b)tanácsot ad és segítséget nyújt a Bizottságnak számára a 73. cikk szerinti európai kiberbiztonsági tanúsítási rendszerek iránti kérelmek előkészítésében;

c)segítséget nyújt és tanácsot ad az ENISA-nak, valamint együttműködik az ENISA-val a javasolt tanúsítási rendszerek 74. cikk szerinti, illetve a műszaki előírások 77. cikk szerinti kidolgozásával kapcsolatban;

d)segítséget nyújt és tanácsot ad az ENISA-nak és a Bizottságnak, valamint együttműködik azokkal a 75. cikk szerinti karbantartási tevékenységekkel kapcsolatban;

e)segítséget nyújt és tanácsot ad a Bizottságnak, valamint együttműködik a Bizottsággal a létező európai kiberbiztonsági tanúsítási rendszerek 76. cikk szerinti felülvizsgálatával vagy visszavonásával kapcsolatban;

f)javaslatot tesz arra, hogy nyújtsanak be kérést a Bizottsághoz a valamely európai kiberbiztonsági tanúsítási rendszerre irányuló javaslat 73. cikk (2) bekezdése szerinti kidolgozására vonatkozóan;

g)a Bizottságnak címzett véleményeket fogad el a létező európai kiberbiztonsági tanúsítási rendszerek fenntartásával, felülvizsgálatával és visszavonásával kapcsolatban;

h)tanulmányozza a kiberbiztonsági tanúsítás terén zajló releváns fejleményeket, többek között a 86. cikk szerint a nemzeti szinten, és megosztja a kiberbiztonsági tanúsítási rendszerekkel kapcsolatos információkat és bevált gyakorlatokat;

i)kapacitásépítés és információcsere útján előmozdítja a nemzeti kiberbiztonsági tanúsító hatóságok közötti, e cím rendelkezései szerinti együttműködést és információcserét, különösen a kiberbiztonsági tanúsítással kapcsolatos kérdésekre vonatkozóan;

j)támogatást biztosít a 89. cikk szerinti kölcsönös felülvizsgálati mechanizmusnak és a 81. cikk (2) bekezdésének g) pontja szerinti szakértői értékelési mechanizmusoknak a valamely európai kiberbiztonsági tanúsítási rendszer szabályaival összhangban álló végrehajtásához;

k)előmozdítja az európai kiberbiztonsági tanúsítási rendszerek összhangba hozását a nemzetközileg elismert szabványokkal, többek között a létező európai kiberbiztonsági tanúsítási rendszerek karbantartásának részeként, és adott esetben az ENISA számára ajánlásokat fogalmaz meg arra nézve, hogy az vegye fel a kapcsolatot a releváns európai vagy nemzetközi szabványügyi szervezetekkel a rendelkezésre álló európai vagy nemzetközileg elismert szabványok hiányosságainak kezelése céljából.

(4)Az európai kiberbiztonsági tanúsítási csoport elnöki tisztét az ENISA segítségével a Bizottság tölti be, és az európai kiberbiztonsági tanúsítási csoport titkárságát a Bizottság biztosítja.

(5)A Bizottság az alábbi célok bármelyikére létrehozhat alcsoportokat az európai kiberbiztonsági tanúsítási csoporton belül:

a)konkrét kérdések vizsgálata a Bizottság általi feladatmeghatározás alapján;

b)az európai tanúsítási rendszerek karbantartása és felülvizsgálata e rendelettel összhangban és a Bizottság általi feladatmeghatározás alapján.

(6)Az alcsoportok az európai kiberbiztonsági tanúsítási csoportnak tesznek jelentést.

(7)Az alcsoportok társelnöki tisztét a Bizottság és az ENISA tölti be, az alcsoportok titkárságát pedig az ENISA biztosítja.

(8)Az európai kiberbiztonsági tanúsítási csoport és alcsoportjai tagjaik egyszerű többségével, a Bizottság javaslata alapján és azzal egyetértésben fogadják el az eljárási szabályzatot.

2. szakasz 
Megfelelőségértékelő szervezetek

91. cikk
A megfelelőségértékelő szervezetek szakmai alkalmassága

(1)A megfelelőségértékelő szervezeteket a 765/2008/EK rendelet alapján kijelölt nemzeti akkreditáló testületek akkreditálják. Ez az akkreditálás csak akkor adható meg, ha megfelelőségértékelő szervezet megfelel az e rendelet I. mellékletében meghatározott követelményeknek.

(2)Ha egy európai kiberbiztonsági tanúsítványt egy nemzeti kiberbiztonsági tanúsító hatóság állít ki e rendelet alapján, a nemzeti kiberbiztonsági tanúsító hatóság tanúsító szervének az (1) bekezdés szerint megfelelőségértékelő szervezetként akkreditált szervnek kell lennie.

(3)Az (1) bekezdésben említett akkreditálás a megfelelőségértékelő szervezetek számára legfeljebb öt évre adható meg, és megújítható, feltéve, hogy az adott megfelelőségértékelő szervezet teljesíti az e cikkben meghatározott követelményeket. A nemzeti akkreditáló testületeknek észszerű időkereten belül minden megfelelő intézkedést meg kell tenniük a megfelelőségértékelő szervezet (1) bekezdés alapján megadott akkreditálásának a korlátozása, felfüggesztése vagy visszavonása érdekében, amennyiben az akkreditálás feltételei nem vagy már nem teljesülnek, vagy ha a megfelelőségértékelő szervezet nem felel meg ennek a rendeletnek.

(4)Az IKT-termékeket érintő európai kiberbiztonsági tanúsítási rendszerekre vonatkozó kiegészítő vagy egyedi akkreditálási követelményeknek a 92. cikk szerinti meghatározásakor adott esetben szinergiákra kell törekedni a bejelentett szervezetekre vonatkozó, az (EU) 2024/2847 rendelet szerinti követelményekkel és a már elfogadott kiberbiztonsági tanúsítási rendszerek szerinti akkreditálási követelményekkel.

(5)Amennyiben egy megfelelőségértékelő szervezetet az (EU) 2024/2847 rendelettel összhangban akkreditáltak, a releváns hatóságok az e rendelet szerinti akkreditálási eljárás során bizonyítékként felhasználhatják az egymással átfedésben lévő követelményekkel kapcsolatos korábbi akkreditálási folyamat eredményeit.

92. cikk
A megfelelőségértékelő szervezetek szakmai felkészültségének további harmonizációja

(1)Abban az esetben, ha egy európai kiberbiztonsági tanúsítási rendszer a 81. cikk (3) bekezdésének f) pontja alapján kiegészítő vagy egyedi követelményeket határoz meg, a 88. cikk (1) bekezdése szerint kijelölt nemzeti kiberbiztonsági tanúsító hatóság engedélyezi a megfelelőségértékelő szervezetek számára a szóban forgó rendszer szerinti feladatok elvégzését. Ilyen engedély csak akkor adható ki, ha a megfelelőségértékelő szervezetet akkreditálták, és a szervezet megfelel az európai kiberbiztonsági tanúsítási rendszer keretében meghatározott kiegészítő vagy egyedi követelményeknek.

(2)Amennyiben egy megfelelőségértékelő szervezet e cikk szerint engedélyt kér, kérelmét a székhelye szerinti tagállam nemzeti kiberbiztonsági tanúsító hatóságához kell benyújtania, vagy ahhoz a nemzeti kiberbiztonsági tanúsító hatósághoz, amelynek szolgáltatásait az említett tagállam a 88. cikk (1) bekezdésével összhangban igénybe kívánja venni.

(3)A megfelelőségértékelő szervezet a (2) bekezdésben említettől eltérő nemzeti kiberbiztonsági tanúsító hatóság engedélyét is kérheti az alábbi feltételek egyikének teljesülése esetén:

a)amennyiben az (1) bekezdésben említett nemzeti kiberbiztonsági tanúsító hatóság nem végez engedélyezést azon megfelelőségértékelési tevékenységek tekintetében, amelyekre az engedélyt kérik;

b)amennyiben az (1) bekezdésben említett nemzeti kiberbiztonsági tanúsító hatóság nem ment keresztül a 89. cikk szerinti kölcsönös felülvizsgálaton azoknak a megfelelőségértékelési tevékenységnek tekintetében, amelyekre az engedélyt kérik.

(4)Abban az esetben, ha a nemzeti kiberbiztonsági tanúsító hatósághoz a (3) bekezdés szerinti kérelem érkezik, tájékoztatja a kérelmező megfelelőségértékelő szervezet székhelye szerinti tagállam nemzeti kiberbiztonsági tanúsító hatóságát. Ilyen esetekben az adott tagállam nemzeti kiberbiztonsági tanúsító hatósága megfigyelőként részt vehet az engedélyezésben.

(5)Egy nemzeti kiberbiztonsági tanúsító hatóság felkérhet egy másik nemzeti kiberbiztonsági tanúsító hatóságot értékelési tevékenység részbeni elvégzésére. Ilyen esetben az engedélyezési okiratot a kérelmező hatóság bocsátja ki.

(6)Az (1) bekezdésben említett engedély legfeljebb az akkreditálás érvényességi idejére érvényes, és megújítható, feltéve, hogy a megfelelőségértékelő szervezet megfelel az (1) bekezdésben meghatározott követelményeknek, és akkreditálását is megújították.

(7)A nemzeti kiberbiztonsági tanúsító hatóságoknak észszerű időkereten belül minden megfelelő intézkedést meg kell tenniük a megfelelőségértékelő szervezet (1) bekezdés alapján kibocsátott engedélyének a korlátozása, felfüggesztése vagy visszavonása érdekében, ha az engedélyezés feltételei nem, vagy már nem teljesülnek, vagy ha a megfelelőségértékelő szervezet nem felel meg ennek a rendeletnek.

(8)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el a megfelelőségértékelő szervezetek engedélyezésére vonatkozó – többek között a határokon átnyúló együttműködést érintő – eljárások megállapítása céljából. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az ENISA-val és az európai kiberbiztonsági tanúsítási csoporttal. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

93. cikk
A megfelelőségértékelő szervezetek bejelentése

(1)A tagállamok nemzeti kiberbiztonsági tanúsító hatóságai minden egyes európai kiberbiztonsági tanúsítási rendszer esetében bejelentik a Bizottságnak és a többi tagállamnak az akkreditált és – adott esetben – a 92. cikk alapján engedélyezett – megfelelőségértékelő szervezeteket.

(2)A nemzeti kiberbiztonsági tanúsító hatóságok az (1) bekezdésben említett bejelentést a Bizottság által kifejlesztett és kezelt elektronikus bejelentési eszköz használatával hajtják végre.

(3)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el az e cikk (1) bekezdésében említett bejelentések körülményeinek, formátumainak és eljárásainak meghatározása céljából, beleértve a más tagállamok által a bejelentési eljárás során alkalmazott kifogásolási eljárást, a megfelelőségértékelő szervezetek egyedi azonosítását, valamint a bejelentés korlátozásának, felfüggesztésének vagy visszavonásának körülményeit. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

94. cikk
A megfelelőségértékelő szervezetek szakmai felkészültségét érintő kifogások

(1)A Bizottság kivizsgál minden olyan esetet, amikor kétsége merül fel vagy kétség jut tudomására azzal kapcsolatban, hogy a megfelelőségértékelő szervezet megfelel-e, illetve továbbra is megfelel-e a rá vonatkozó követelményeknek és kötelezettségeknek.

(2)A nemzeti kiberbiztonsági tanúsító hatóság kérésre a Bizottság rendelkezésére bocsájtja az megfelelőségértékelő szervezet bejelentésének vagy szakmai felkészültsége fenntartásának alapjául szolgáló valamennyi információt.

(3)A Bizottság biztosítja, hogy az általa lefolytatott vizsgálatok során megszerzett valamennyi érzékeny információ kezelése bizalmasan történjen.

(4)Amennyiben a Bizottság megállapítja, hogy a megfelelőségértékelő szervezet nem, vagy már nem teljesíti a rá vonatkozó bejelentés követelményeit, akkor erről tájékoztatja a nemzeti kiberbiztonsági tanúsító hatóságot, és felkéri azt a szükséges korrekciós intézkedések megtételére, beleértve szükség esetén a bejelentés visszavonását is.

(5)A tagállamok biztosítják, hogy a bejelentett szervezetek döntéseivel szemben fellebbezési eljárást lehessen kezdeményezni.

95. cikk
A megfelelőségértékelő szervezetek tájékoztatási és megőrzési kötelezettsége

(1)A megfelelőségértékelő szervezetek tájékoztatják a nemzeti kiberbiztonsági tanúsító hatóságot a következőkről:

a)a tanúsítványok bármilyen elutasítása, korlátozása, felfüggesztése vagy visszavonása;

b)a 93. cikk (1) bekezdésében említett bejelentés hatályát és feltételeit érintő bármely körülmény;

c)a piacfelügyeleti hatóságoktól a megfelelőségértékelési tevékenységekkel kapcsolatos hozzájuk beérkezett valamennyi tájékoztatási kérelem;

d)kérésre a bejelentése hatálya alá tartozó megfelelőségértékelési tevékenységek és minden más elvégzett tevékenység, ideértve a határokon átnyúló tevékenységeket és az alvállalkozásba adást is.

(2)A megfelelőségértékelő szervezetek az ENISA rendelkezésére bocsátják az (1) bekezdés a) pontjában említett információkat is annak érdekében, hogy megkönnyítsék az ENISA 79. cikk szerinti feladatainak ellátását.

(3)A megfelelőségértékelő szervezetek indokolatlan késedelem nélkül az e rendelet szerinti többi olyan megfelelőségértékelő szervezet rendelkezésére bocsátják a negatív és – kérésre a pozitív – megfelelőségértékelési eredményekkel kapcsolatos releváns információkat, amelyek hasonló megfelelőségértékelési tevékenységeket végeznek ugyanazon IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra vagy irányított biztonsági szolgáltatásokra vonatkozóan, továbbá ugyanazon szervezetekre vonatkozóan, melyek kiberbiztonsági helyzete tanúsítás tárgyát képezi.

(4)A megfelelőségértékelő szervezetek nyilvántartási rendszert tartanak fenn, amely tartalmazza az általuk végzett minden egyes értékeléssel és tanúsítással kapcsolatban benyújtott vagy kapott valamennyi dokumentumot és bizonyítékot. A nyilvántartást biztonságos és hozzáférhető módon kell tárolni a tanúsításhoz szükséges ideig, valamint az adott európai kiberbiztonsági tanúsítvány lejártát vagy visszavonását követően legalább öt évig.

3. szakasz 
További rendelkezések

96. cikk
A panasztételhez való jog és a hatékony bírósági jogorvoslathoz való jog

(1)A természetes és a jogi személyeknek joguk van panaszt benyújtani az európai kiberbiztonsági tanúsítvány kibocsátójánál vagy, ha a panasz valamely megfelelőségértékelő szervezet által a 85. cikk (4) bekezdésével összhangban eljárva kiadott európai kiberbiztonsági tanúsítványra vonatkozik, a releváns nemzeti kiberbiztonsági tanúsító hatóságnál.

(2)Az a hatóság vagy szervezet, amelyhez a panaszt benyújtották, köteles tájékoztatni a panaszost az eljárás előrehaladásáról és a meghozott határozatról, valamint a (3) és (4) bekezdésben említett hatékony bírósági jogorvoslathoz való jogról.

(3)Bármely közigazgatási vagy egyéb nem bírósági jogorvoslat sérelme nélkül minden természetes és jogi személynek joga van a hatékony bírósági jogorvoslathoz az alábbiak tekintetében:

a)az (1) bekezdésben említett hatóságok vagy szervezetek által hozott határozatok, ideértve adott esetben a természetes és jogi személyeket feljogosító európai kiberbiztonsági tanúsítványok nem megfelelő kiadásával, kiadásának elmaradásával vagy elismerésével kapcsolatban hozott határozatokat;

b)az (1) bekezdésében említett hatóságokhoz vagy szervezetekhez benyújtott panasz ügyében történő eljárás elmulasztása.

(4)Az e cikk szerinti bírósági eljárást azon tagállam bírósága előtt kell megindítani, amelyben az a hatóság vagy szervezet, amely ellen a bírósági jogorvoslattal élni kívánnak található.

97. cikk
Szankciók

A tagállamok megállapítják az e cím és az európai kiberbiztonsági tanúsítási rendszerek megsértése esetén alkalmazandó szankciókra vonatkozó szabályokat, és meghoznak minden szükséges intézkedést ezek végrehajtására. Az előírt szankcióknak hatékonyaknak, arányosaknak és visszatartó erejűeknek kell lenniük. A tagállamok haladéktalanul tájékoztatják a Bizottságot az említett szabályokról és intézkedésekről, és tájékoztatják a Bizottságot az e szabályokat érintő minden későbbi módosításról.

IV. CÍM 
AZ IKT-ELLÁTÁSI LÁNCOK BIZTONSÁGA

I. FEJEZET 
A megbízható IKT-ellátási láncok keretrendszere

98. cikk
A keretrendszer hatálya

(1)A megbízható IKT-ellátási láncok keretrendszerének uniós szintű biztonsági mechanizmust kell biztosítania az (EU) 2022/2555 irányelvben említett kiemelten kritikus ágazatokban és más kritikus ágazatokban felmerülő nem technikai kockázatok kezelésére. A mechanizmus azonosítja a kulcsfontosságú IKT-eszközöket a kritikus IKT-ellátási láncokban, valamint megfelelő és arányos kockázatcsökkentő intézkedéseket határoz meg az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekre vonatkozóan.

(2)Az e címben meghatározott kötelezettségek nem érintik az (EU) 2024/2847 rendelet 13. cikkében és az (EU) 2022/2555 irányelv 21. cikkét átültető nemzeti rendelkezésekben előírt kötelezettségeket.

(3)Az ebben a fejezetben előírt rendelkezések nem akadályozzák meg a tagállamokat abban, hogy magasabb szintű kiberbiztonságot biztosító rendelkezéseket fogadjanak el vagy tartsanak fenn az IKT-ellátási lánc vonatkozásában, feltéve, hogy e rendelkezések összhangban vannak a tagállamok uniós jogban megállapított kötelezettségeivel.

99. cikk
A biztonsági kockázatok értékelése

(1)A Bizottság vagy egy legalább három tagállamból álló csoport felkérheti az (EU) 2022/2555 irányelv 14. cikkével létrehozott együttműködési csoportot (a továbbiakban: Kiberbiztonsági Együttműködési Csoport), hogy az említett irányelv 22. cikkével összhangban végezze el az uniós szintű összehangolt biztonsági kockázatértékeléseket. Amennyiben biztonsági kockázatértékelésre ilyen kérés nyomán kerül sor, annak tartalmaznia kell különösen az adott IKT-ellátási lánc kulcsfontosságú IKT-eszközeinek, valamint az ezen eszközöket érintő főbb fenyegetést jelentő szereplőknek, kockázatoknak és sérülékenységeknek a javasolt azonosítását. Az uniós szintű összehangolt biztonsági kockázatértékelések során kockázati forgatókönyveket dolgoznak ki, és intézkedéseket javasolnak az azonosított kockázatok csökkentésére.

(2)Az uniós szintű összehangolt biztonsági kockázatértékeléseket az (1) bekezdésben említett kérelemtől számított hat hónapon belül el kell végezni. A Bizottság kérésére a Kiberbiztonsági Együttműködési Csoport rövidebb időtartamban is megállapodhat.

(3)Amennyiben a Bizottságnak megalapozottan véli úgy, hogy valamely IKT-ellátási lánccal kapcsolatban az Unió biztonságát fenyegető jelentős kiberfenyegetés áll fenn, és hogy intézkedésre van szükség a belső piac megfelelő működésének megőrzéséhez, a Bizottság haladéktalanul:

a)konzultál a tagállamokkal a 103. cikkben említett egy vagy több kockázatcsökkentő intézkedés meghozatalának szükségességéről; és

b)biztonsági kockázatértékelést végez, figyelembe véve a tagállamokkal folytatott konzultációt. A biztonsági kockázatértékelésnek tartalmaznia kell a kulcsfontosságú IKT-eszközöknek, valamint az ezen eszközöket érintő főbb fenyegetést jelentő szereplőknek, kockázatoknak és sérülékenységeknek a javasolt azonosítását. A biztonsági kockázatértékelés során kockázati forgatókönyveket dolgoznak ki, és intézkedéseket javasolnak az azonosított kockázatok csökkentésére.

100. cikk
Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele

(1)Amennyiben a 99. cikkben említett kockázatértékelés eredményeként vagy más források – például az Unió vagy valamely tagállam nevében tett nyilvános nyilatkozat – alapján arra lehet következtetni, hogy egy harmadik ország súlyos és strukturális nem technikai kockázatot jelent az IKT-ellátási láncokra nézve, a Bizottság az alábbi elemek figyelembevételével ellenőrzi a kockázatot, amelyet az adott ország jelent:

a)harmadik országban meglévő olyan jogszabályok, amelyek előírják a joghatóságuk alá tartozó szervezetek számára, hogy jelentsék a szoftverek vagy hardverek sérülékenységére vonatkozó információkat az adott harmadik ország hatóságainak, még azelőtt, hogy ismertté válna, hogy e sérülékenység kihasználására sor került;

b)harmadik országban meglévő olyan, független források által bizonyított gyakorlatok, amelyek előírják az adott harmadik ország joghatósága alá tartozó szervezetek számára, hogy jelentsék a szoftverek vagy hardverek sérülékenységére vonatkozó információkat az adott harmadik ország hatóságainak, még azelőtt, hogy ismertté válna, hogy e sérülékenység kihasználására sor került;

c)a hatékony bírósági jogorvoslat hiánya, valamint az olyan független és demokratikus ellenőrzési mechanizmusok hiánya, amelyek orvosolhatnák az azonosított biztonsági aggályokat, többek között a b) pontban említett meglévő gyakorlatokkal kapcsolatban;

d)az adott országból irányított, az adott ország területéről működő, rossz szándékú kibertevékenységet vagy -kampányt folytató, fenyegetést jelentő szereplőkhöz kapcsolódó egy vagy több incidensre vonatkozó megalapozott információk, valamint a harmadik ország azon képességének vagy hajlandóságának hiánya, hogy együttműködjön a Bizottsággal vagy a tagállamokkal az említett fenyegetést jelentő szereplők működéséből eredő kockázat kezelése érdekében;

e)a tagállamok vagy nemzetközi szervezetek uniós szintű összehangolt biztonsági kockázatértékeléseiből vagy jelentéseiből származó releváns információk.

(2)Amennyiben az (1) bekezdésben említett ellenőrzést követően a Bizottság arra a következtetésre jut, hogy valamely harmadik ország súlyos és strukturális nem technikai kockázatokat jelent az IKT-ellátási láncokra nézve, végrehajtási jogi aktus útján az adott harmadik országot olyan országként veheti jegyzékbe, amely kiberbiztonsági aggályokat vet fel az IKT-ellátási láncok tekintetében. E végrehajtási jogi aktust a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(3)A Bizottság rendszeresen felülvizsgálja a (2) bekezdéssel összhangban elfogadott végrehajtási jogi aktusokat.

(4)A magas kockázatú beszállítók nem jogosultak:

a)részt venni az 1025/2012/EU rendelet 10. cikkének (1) bekezdésében említett európai szabványokkal és európai szabvány jellegű dokumentumokkal, valamint az (EU) 2024/2847 rendelet 27. cikkében említett közös előírásokkal kapcsolatos fejlesztésben, értékelésben, konzultációban vagy döntéshozatalban a kiberbiztonság területén;

b)a III. cím szerinti európai kiberbiztonsági tanúsítvány iránti kérelmet benyújtani, vagy ilyen tanúsítvány jogosultjának lenni;

c)a III. címnek megfelelően akkreditált megfelelőségértékelő szervezetté válni;

d)kérelmezni, hogy a II. cím 4. szakasza szerinti, a kiberbiztonsági készségekre vonatkozó bármely európai egyedi tanúsítvány tekintetében felhatalmazott tanúsítványszolgáltatóvá váljanak;

e)részt venni a 2014/24/EU és a 2014/25/EU irányelvet átültető jogszabályokkal összhangban szervezett közbeszerzési eljárásokban olyan IKT-összetevők beszállítása, illetve olyan IKT-összetevőket tartalmazó összetevők beszállítása kapcsán, amelyek a 102. cikkel összhangban azonosított kulcsfontosságú IKT-eszközökben való felhasználásra szánnak;

f)részt venni az (EU, Euratom) 2024/2509 rendelet 136. cikkével és az uniós ágazatspecifikus szabályokkal összhangban közvetlen és közvetett irányítás keretében végrehajtott uniós finanszírozási programokban és eszközökben, valamint a megosztott irányítás keretében végrehajtott uniós finanszírozási tevékenységekben olyan IKT-összetevők vagy olyan IKT-összetevőket tartalmazó összetevők beszállítása kapcsán, melyeket a 102. cikkel összhangban azonosított kulcsfontosságú IKT-eszközökben való felhasználásra szánnak.

Az a)–f) pontban említett eljárásokért felelős hatóságok elvégzik az e bekezdés alkalmazásában szükséges értékeléseket. A hatóságok e célból a 104. cikkben említett jegyzékre is támaszkodhatnak.

(5)Amennyiben egy magas kockázatú beszállító már megszerezte a III. cím szerinti európai kiberbiztonsági tanúsítványt, az illetékes hatóság indokolatlan késedelem nélkül visszavonja azt.

101. cikk
Az IKT-ellátási lánc általános biztonsági mechanizmusa

Abban az esetben, ha a Kiberbiztonsági Együttműködési Csoport e rendelet 99. cikkének (1) bekezdése szerint uniós szintű összehangolt biztonsági kockázatértékelést végzett, vagy ha valamely IKT-ellátási lánc tekintetében jelentős kiberfenyegetés esetén a 99. cikk (3) bekezdése szerinti eljárás lefolytatására került sor, a Bizottság a 102. cikkben és a 103. cikk (1) és (2) bekezdésében előírt intézkedéseket hozhat.

102. cikk
A kulcsfontosságú IKT-eszközök azonosítása

(1)A Bizottság felhatalmazást kap arra, hogy ha a 99. cikk (1) vagy (3) bekezdésével összhangban elvégzett kockázatértékelés jelentős kiberbiztonsági kockázatokat tár fel valamely IKT-ellátási lánccal kapcsolatban, végrehajtási jogi aktusokat fogadjon el, amelyekben meghatározza az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek által termékek gyártásához vagy szolgáltatások nyújtásához használt kulcsfontosságú IKT-eszközöket. E végrehajtási jogi aktusokat az e rendelet 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(2)Az (1) bekezdésben említett kulcsfontosságú IKT-eszközök azonosítása során a Bizottság a következő elemeket veszi figyelembe:

a)az említett eszközök alapvető és érzékeny funkciókkal rendelkeznek-e az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet által gyártott termékek vagy nyújtott szolgáltatások működése szempontjából;

b)az incidensek – beleértve az említett eszközökkel kapcsolatos kihasznált sérülékenységek által okozott incidenseket is – kiválthatják-e az IKT-ellátási láncok súlyos zavarait az egész belső piacon, vagy vezethetnek-e adatkiszivárogtatáshoz;

c)fennáll-e az említett eszközök korlátozott számú beszállítójától való függés;

d)a 99. cikkben említett kockázatértékelések eredményeit.

103. cikk
Kockázatcsökkentő intézkedések az IKT-ellátási láncban

(1)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben – amennyiben ez az Unión belüli magas szintű kiberbiztonság, kiberreziliencia és bizalom biztosításához szükséges – úgy rendelkezik, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett konkrét típusú szervezetek számára tilos a 102. cikkel összhangban azonosított kulcsfontosságú IKT-eszközökben olyan IKT-összetevők vagy olyan IKT-összetevőket tartalmazó összetevők bármilyen formában történő használata, telepítése vagy integrálása, amelyek a 104. cikkel összhangban azonosított magas kockázatú beszállítóktól származnak. Ezek a végrehajtási jogi aktusok megfelelő átmeneti időszakokról rendelkeznek, melyek során a Bizottság közzéteszi a 104. cikkben említett magas kockázatú beszállítók jegyzékét, valamint további időszakokat határoznak meg a releváns IKT-összetevők, illetve az IKT-összetevőket tartalmazó releváns összetevők fokozatos kivezetésére. Az említett végrehajtási jogi aktus meg is határozhatja ezeket az IKT-összetevőket, illetve IKT-összetevőket tartalmazó összetevőket.

(2)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben – amennyiben ez az Unión belüli magas szintű kiberbiztonság, kiberreziliencia és bizalom biztosításához szükséges – úgy rendelkezik, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett konkrét típusú szervezetek az IKT-ellátási láncukkal, és különösen a 102. cikk szerint azonosított kulcsfontosságú IKT-eszközökkel kapcsolatban az alábbi kockázatcsökkentő intézkedések közül egy vagy több hatálya alá tartoznak a 99. cikk szerint végzett biztonsági kockázatértékelések során azonosított kockázatok enyhítése érdekében:

a)átláthatósági követelmények alkalmazása az illetékes hatóságnak a 102. cikkel összhangban kijelölt kulcsfontosságú IKT-eszközök IKT-ellátási láncán belüli beszállítóiról történő tájékoztatására;

b)a harmadik országokba történő adattovábbításra és a harmadik országból történő távoli adatkezelésre vonatkozó tilalom;

c)harmadik fél által ellenőrizendő technikai intézkedések, beleértve a következőket:

i. eszközön végzett adatkezelés alkalmazása;

ii. a hálózati rendszerek egyedi szegmentálása;

iii. a kulcsfontosságú IKT-eszközökhöz való távoli vagy fizikai hozzáférés letiltása;

iv. a nem alapvető funkciók letiltása;

v. az operatív hálózat figyelemmel kísérése;

vi. a hardver és a szoftver tesztelése;

d)az operatív ellenőrzéssel kapcsolatos korlátozások, beleértve a szervezeti funkciók irányított szolgáltatókhoz történő kiszervezését;

e)a szervezet és a beszállítói közötti szerződéses kapcsolatokra vonatkozó korlátozások;

f)az a követelmény, hogy a szolgáltatást a releváns illetékes nemzeti hatóságok által vizsgálat alá vetett személyzetnek kell működtetnie, irányítania, karbantartania vagy támogatnia;

g)az IKT-összetevők, illetve az IKT-összetevőkben található összetevők beszállításának diverzifikálása.

(3)A (2) bekezdésben említett intézkedések bevezetésekor a Bizottság technikai és módszertani követelményeket állapíthat meg az intézkedésekre vonatkozóan.

(4)Az (1) és (2) bekezdésben említett végrehajtási jogi aktusok elfogadása előtt a Bizottság értékeli a lehetséges kockázatokat és függőségeket, és különösen a következőket:

a)adott esetben a magas kockázatú beszállítóktól származó IKT-összetevőknek vagy ilyen IKT-összetevőket tartalmazó összetevőknek a kulcsfontosságú IKT-eszközökben történő bármilyen használatához, telepítéséhez vagy integrációjához kapcsolódó kockázat szintje;

b)a kötelezettségnek az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekre gyakorolt potenciális gazdasági és társadalmi hatása;

c)a magas kockázatú beszállítók helyett alternatív beszállítók rendelkezésre állása;

d)a határokon átnyúló gazdasági és társadalmi tevékenységeknek a valamely szervezet IKT-ellátási láncát érintő incidens által kiváltott esetleges zavara.

(5)Az e cikk (1) és (2) bekezdésében említett végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárással összhangban kell elfogadni és legalább 36 havonta felül kell vizsgálni.

(6)Abban az esetben, ha olyan körülmények állnak elő, amelyek a belső piac megfelelő működésének megőrzése érdekében azonnali beavatkozást indokolnak, és amennyiben a Bizottság megalapozottan véli úgy, hogy a valamely harmadik országban letelepedett vagy harmadik ország, harmadik országbeli szervezetek vagy harmadik országbeli állampolgár ellenőrzése alatt álló konkrét szervezettől származó IKT-összetevők vagy IKT-összetevőket tartalmazó összetevők használata, telepítése vagy integrálása jelentős nem technikai kiberbiztonsági kockázatot jelent legalább három tagállam gazdasági vagy társadalmi tevékenységeire nézve, a Bizottság haladéktalanul konzultál a tagállamokkal az uniós szintű intézkedések meghozatalának szükségességéről.

(7)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el annak megállapítása céljából, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett konkrét típusú szervezetek számára tilos a (6) bekezdésben említett szervezettől származó IKT-összetevők vagy IKT-összetevőket tartalmazó összetevők használata, telepítése vagy integrálása. Ennek érdekében konzultál azokkal az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekkel, amelyeket érinthet ez a tilalom. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni. E végrehajtási jogi aktusok adott esetben megfelelő időszakokról rendelkeznek, melyek során ezeket az IKT-összetevőket vagy IKT-összetevőket tartalmazó összetevőket fokozatosan ki kell vezetni. Az említett végrehajtási jogi aktus meg is határozhatja a tilalom hatálya alá tartozó IKT-összetevőket, illetve IKT-összetevőket tartalmazó összetevőket. E tilalom hatálya a (6) bekezdésben említett konkrét szervezet ellenőrzése alatt álló valamennyi szervezettől származó IKT-összetevőkre vagy IKT-összetevőket tartalmazó összetevőkre is kiterjed.

(8)Az (1), (2) és (7) bekezdésben említett végrehajtási jogi aktusok rendelkezhetnek arról is, hogy a kockázatcsökkentő intézkedések csak az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú, meghatározott méretű szervezetekre alkalmazandók.

(9)A 100. cikk (4) bekezdése alkalmazandó a valamely harmadik országban letelepedett vagy harmadik ország, harmadik országbeli szervezet vagy harmadik országbeli állampolgár ellenőrzése alatt álló, a (7) bekezdésben említett konkrét szervezetre. 

(10)Az (1), (2) és (7) bekezdéssel összhangban elfogadott, az (EU) 2022/2555 irányelv I. mellékletének 10. pontjában említett szervezettípusokra alkalmazandó végrehajtási jogi aktusok értelemszerűen alkalmazandók az európai intézményre, szervekre, hivatalokra és ügynökségekre.

104. cikk
A magas kockázatú beszállítók azonosítása

(1)A Bizottság végrehajtási jogi aktusok útján összeállítja a 103. cikk (1) bekezdésével és a 103. cikk (7) bekezdésével összhangban elfogadott végrehajtási jogi aktusokban megállapított tilalmak vagy a 111. cikk (1) bekezdésében említett tilalom szempontjából releváns magas kockázatú beszállítók jegyzékeit.

(2)E célból a Bizottság feltérképezi az IKT-összetevőket, illetve az IKT-összetevőket tartalmazó összetevőket biztosító, az (1) bekezdésben említett tilalom szempontjából releváns beszállítókat.

Ennek alapján a Bizottság kezdeti értékelést végez annak megállapítása érdekében, hogy a feltérképezett beszállítók közül potenciálisan melyek vannak letelepedve a 100. cikkel összhangban jegyzékbe vett harmadik országban, illetve potenciálisan melyek állnak ilyen harmadik országnak, ilyen harmadik országban letelepedett szervezetnek vagy ilyen harmadik ország állampolgárának az ellenőrzése alatt. A Bizottság kezdeti feltérképezést végez a 103. cikk (6) bekezdésében említett szervezet által potenciálisan ellenőrzött beszállítókról is.

(3)A Bizottság értékeli az eredetileg a (2) bekezdés második albekezdésével összhangban azonosított beszállítók letelepedését, valamint tulajdonosi és ellenőrzési szerkezetét.

(4)A (3) bekezdésben említett értékelés céljából a Bizottság jogosult bekérni a szállítóktól a szükséges információkat. Amennyiben a beszállító a megállapított határidőn belül nem nyújtja be a szükséges információkat, a Bizottság levonhatja azt a következtetést, hogy a beszállító a 100. cikkel összhangban jegyzékbe vett harmadik országban telepedett le, vagy ilyen harmadik országnak, ilyen harmadik országbeli szervezetnek vagy ilyen harmadik ország állampolgárának ellenőrzése alatt áll. Abban az esetben, ha a Bizottság a 103. cikk (7) bekezdésének alkalmazásában értékelést végez, és a beszállító a megállapított határidőn belül nem bocsátja rendelkezésre a szükséges információkat, a Bizottság levonhatja azt a következtetést, hogy a beszállító az említett cikkel összhangban jegyzékbe vett szervezet ellenőrzése alatt áll. A 112. cikkben említett illetékes hatóságok kérésre a Bizottsággal is megosztják a vonatkozó információkat.

(5)A Bizottság az érintett beszállítóval megosztja a letelepedéssel, valamint az ellenőrzés és a tulajdonosi szerkezet értékelésével kapcsolatos előzetes megállapításokat. A Bizottság lehetőséget biztosít a beszállítónak szóbeli meghallgatásra az említett előzetes megállapításokkal kapcsolatban.

(6)A Bizottság felkérhet egy illetékes hatóságot, hogy végezze el a beszállító letelepedésére, tulajdonosi szerkezetére és az ellenőrzésére vonatkozó értékelést, amennyiben a beszállító működésének jellemzőire tekintettel ez indokolt. Az illetékes hatóság felajánlhatja ilyen kezdeti értékelés elvégzését. A Bizottság e kezdeti megállapításokat ellenőrzi annak eldöntése érdekében, hogy a beszállítót fel kell-e venni a magas kockázatú beszállítók jegyzékébe.

(7)A Bizottság a magas kockázatú beszállítók jegyzékét rendszeresen frissíti a magas kockázatú beszállítók törlése vagy hozzáadása céljából. A jegyzékben szereplő magas kockázatú beszállítók kérhetik a Bizottságtól letelepedésüknek, a fölöttük fennálló ellenőrzésnek és tulajdonosi szerkezetüknek az ismételt értékelését, amennyiben bizonyítékot szolgáltatnak arra vonatkozóan, hogy lényeges változásokra került sor.

(8)Amennyiben egy illetékes hatóság – többek között az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet által szolgáltatott információk alapján – tudomást szerez arról, hogy egy beszállítót potenciálisan fel kell venni a magas kockázatú beszállítók jegyzékébe, indokolatlan késedelem nélkül tájékoztatja a Bizottságot.

105. cikk
A kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ottani szervezetek által ellenőrzött szervezetek mentessége

(1)A 100. cikkel összhangban jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országban letelepedett szervezet vagy ilyen országbeli szervezetek ellenőrzése alatt álló szervezet indokolással ellátott kérelmet nyújthat be a Bizottsághoz, hogy az:

a)a 111. cikktől vagy a 103. cikk (1) bekezdése alapján elfogadott végrehajtási jogi aktusoktól eltérve mentesítse az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekre vonatkozó tilalom alól, miszerint azok semmilyen formában nem használhatják, telepíthetik vagy integrálhatják IKT-összetevőit vagy az IKT-összetevőit tartalmazó összetevőket kulcsfontosságú IKT-eszközeikben, illetve eszközeikbe;

b)a 100. cikk (4) bekezdésétől eltérve mentesítse azon tilalom alól, miszerint nem vehet részt a 2014/24/EU irányelvet és a 2014/25/EU irányelvet átültető jogszabályokkal összhangban szervezett közbeszerzési eljárásokban olyan IKT-összetevők beszállítása, illetve olyan IKT-összetevőket tartalmazó összetevők beszállítása kapcsán, amelyeket a 102. cikkel összhangban meghatározott kulcsfontosságú IKT-eszközökben való felhasználásra szánnak.

(2)Az (1) bekezdésben említett kérelem:

a)ismerteti a 100. cikkel összhangban jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ilyen országbeli szervezetek ellenőrzése alatt álló szervezetnek az ahhoz fűződő érdekét, hogy a jelen cikk (1) bekezdésében említett mentességben részesülhessen; és

b)egyértelmű bizonyítékkal támasztja alá, hogy eredményes kockázatcsökkentő intézkedéseket fognak bevezetni a nem technikai kockázatok kezelésére, továbbá gondoskodnak arról, hogy a 100. cikk alapján jegyzékbe vett harmadik országok részéről ne kerüljön sor jogtalan beavatkozásra olyan IKT-összetevők vagy olyan IKT-összetevőket tartalmazó összetevők beszállításával kapcsolatban, amelyeket az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet kulcsfontosságú IKT-eszközeiben történő felhasználásra, telepítésre vagy integrálásra szánnak.

(3)A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el a (2) bekezdés b) pontjában említett feltételek további pontosítása, valamint az e cikkben említett eljárásokra vonatkozó részletes szabályok megállapítása céljából. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(4)A Bizottság tisztességes és átlátható eljárás keretében értékeli az (1) bekezdésben említett kérelmet, figyelembe véve a következőket:

a)a 100. cikk (1) és (2) bekezdésében említett körülmények és további elemek azzal a jegyzékbe vett országgal kapcsolatban, amely kiberbiztonsági aggályokat vet fel az IKT-ellátási láncok tekintetében, és ahol a szóban forgó szervezet letelepedett, vagy ahonnan azt ellenőrzik;

b)a (2) bekezdés b) pontjában említett kockázatcsökkentő intézkedések eredményessége;

c)hogy az IKT-ellátási láncokra nézve kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ilyen országbeli szervezetek ellenőrzése alatt álló szervezetre vonatkozó mentesség nem sérti-e az Unió érdekeit.

(5)Amennyiben a Bizottság a (3) bekezdésben említett értékelést követően arra a következtetésre jut, hogy indokolt a mentesség megadása, ezt határozat útján teszi meg, amelyről a kérelem kézhezvételétől számított 9 hónapon belül értesíti a kérelmezőt.

(6)A (4) bekezdésben említett határozat elfogadása során a Bizottság a mentességet korlátozhatja egy bizonyos időtartamra, valamint a szervezetre vonatkozó feltételekhez kötheti, beleértve a következőket:

a)a (2) bekezdés b) pontjában említett kockázatcsökkentő intézkedések végrehajtásának ütemterve;

b)harmadik fél által végzett rendszeres ellenőrzések a kockázatcsökkentő intézkedések eredményes végrehajtásának biztosítása érdekében;

c)a megfeleléssel kapcsolatos jelentéstételi kötelezettségek.

(7)Amennyiben a Bizottság a (3) bekezdésben említett értékelést követően arra a következtetésre jut, hogy nem indokolt a mentesség megadása, ezt határozat útján teszi meg, amelyről a kérelem kézhezvételétől számított 9 hónapon belül értesíti a kérelmezőket.

(8)A Bizottság saját kezdeményezésére visszavonhatja vagy módosíthatja a (4) bekezdésben említett határozatot az alábbi helyzetek közül egy vagy több fennállása esetén:

a)a határozat alapjául szolgáló bármely tényben lényeges változás történt;

b)a mentességet kérelmező szervezet a kötelezettségvállalásaival ellentétesen jár el;

c)a mentesség a kérelmező szervezet által szolgáltatott hiányos, helytelen vagy félrevezető információkon alapult.

106. cikk
A védelemhez való jog

A Bizottság gondoskodik arról, hogy mielőtt a 103. cikk (7) bekezdése alapján végrehajtási jogi aktust fogad el, vagy mielőtt a kérelmező által be nem nyújtott elemek alapján a 105. cikk (7) bekezdése alapján a mentesség iránti kérelmet elutasító határozatot fogad el, vagy mielőtt a 105. cikk (8) bekezdése alapján visszavon valamely határozatot, az érintett szervezet lehetőséget kapjon a meghallgatásra, figyelembe véve, hogy egyes esetekben sürgősségi eljárásra van szükség.

107. cikk
Nyilvántartás

A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet a 105. cikk (5) bekezdésében említett határozatairól. A nyilvántartásban fel kell tüntetni azon szervezetek nevét, amelyekre a szóban forgó határozatok vonatkoznak. A Bizottság rendszeresen frissíti a nyilvántartást.

108. cikk
Titoktartás

A Bizottság által a 105. és 106. cikk alapján kapott információk csak arra a célra használhatók fel, amelyre azokat beszerezték.

109. cikk
Díjak

(1)A Bizottság díjakat vet ki a 105. cikk (1) bekezdésével összhangban benyújtott kérelmekre.

(2)A díjakat euróban kell kifejezni és megfizetni.

(3)A díjaknak igazodniuk kell a 105. cikk (1) bekezdésében említett kérelmek feldolgozásával, a 105. cikk (2) bekezdésében említett kritériumok és információk értékelésével, valamint a 107. cikkben említett nyilvántartás létrehozásával, karbantartásával és működtetésével kapcsolatban felmerülő költségekhez. E költségek magukban foglalják a Bizottság minden olyan kiadását, amely az említett tevékenységekben részt vevő személyzethez kapcsolódik.

(4)A Bizottság végrehajtási jogi aktusokat fogad el, amelyekben részletes szabályokat állapít meg a díjakra vonatkozóan, meghatározva a díjak összegét és a díjfizetés módját. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

II. FEJEZET 
IKT-ellátási láncok az elektronikus hírközlő hálózatokban

110. cikk
A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközei

(1)A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközeit a II. melléklet határozza meg.

(2)A magas kockázatú beszállítók által beszállított IKT-összetevőket, illetve az ilyen IKT-összetevőket tartalmazó összetevőket fokozatosan ki kell vonni a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközeiből.

(3)A magas kockázatú szolgáltatók által a mobil elektronikus hírközlő hálózatok tekintetében beszállított IKT-összetevők, illetve az ilyen IKT-összetevőket tartalmazó összetevők fokozatos kivezetésére rendelkezésre álló időszak nem haladhatja meg a 104. cikkben említett, a mobil elektronikus hírközlő hálózatok szempontjából releváns magas kockázatú szolgáltatók jegyzékének közzétételétől számított 36 hónapot.

(4)A Bizottság felhatalmazást kap arra, hogy a 118. cikk (2) bekezdésének megfelelően végrehajtási jogi aktusokat fogadjon el a magas kockázatú beszállítók által az állandóhelyű és műholdas elektronikus hírközlő hálózatok tekintetében beszállított IKT-összetevők, illetve az ilyen IKT-összetevőket tartalmazó összetevők fokozatos kivezetésére rendelkezésre álló időszakok meghatározása céljából.

(5)A Bizottság felhatalmazást kap arra, hogy a 119. cikknek megfelelően felhatalmazáson alapuló jogi aktusokat fogadjon el e rendelet II. mellékletének módosítása céljából annak érdekében, hogy azt a 103. cikk (4) bekezdésében említett elemek figyelembevételével hozzáigazítsa a technológiai fejleményekhez.

111. cikk
A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatokat érintő tilalmak

(1)A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatói a II. mellékletben említett kulcsfontosságú IKT-eszközök üzemeltetése során semmilyen formában nem használhatnak, telepíthetnek vagy integrálhatnak magas kockázatú beszállítóktól származó IKT-összetevőket, illetve ilyen IKT-összetevőket tartalmazó összetevőket.

(2)Azokban az esetekben, amikor egy tagállamban az e rendelet alapján kijelölt illetékes hatóság eltér az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] szerinti illetékes hatóságtól, az e rendelet alapján kijelölt illetékes hatóság haladéktalanul tájékoztatja az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] szerinti illetékes hatóságot a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatóira vonatkozóan a 114. cikkel összhangban bevezetett intézkedésekről. A hatóságok biztosítják a szoros együttműködést az említett intézkedések eredményes felügyelete és végrehajtása érdekében.

III. FEJEZET 
Illetékes hatóságok, felügyelet és végrehajtás, védelemhez való jog

112. cikk
Illetékes hatóságok

(1)Minden tagállam az (EU) 2022/2555 irányelv 8. cikkében említett illetékes hatóságokat jelöli ki a 114. cikkben említett felügyeleti és végrehajtási intézkedések meghozataláért felelős hatóságokként.

(2)Az illetékes hatóságok strukturálisan és funkcionálisan teljes mértékben pártatlanok és függetlenek minden – akár közvetlen, akár közvetett – külső befolyástól; ezen belül döntéseik meghozatala során nem kérhetnek és nem fogadhatnak el utasításokat más hatóságtól vagy magánszervezettől.

(3)A tagállamok biztosítják, hogy illetékes hatóságaik megfelelő hatáskörökkel, elegendő humánerőforrással, műszaki erőforrással és releváns szakértelemmel rendelkezzenek a 114. cikkben említett felügyeleti és végrehajtási intézkedések eredményes végrehajtásához.

(4)Minden tagállam indokolatlan késedelem nélkül értesíti a Bizottságot az (1) bekezdéssel összhangban kijelölt illetékes hatóságok nevéről, e hatóságok feladatairól és azok későbbi változásairól. Minden tagállam közzé teszi az (1) bekezdéssel összhangban kijelölt illetékes hatóságok nevét.

113. cikk
A Bizottság együttműködési és támogatási szolgálatainak hálózata

Az eredményes felügyelet érdekében a Bizottság együttműködési hálózatot hoz létre a 112. cikkben említett tagállami illetékes hatóságok és a Bizottság között, amely együttműködési és információcserére szolgáló platformként működik, különösen a 104. cikkben említett, a letelepedéssel, az ellenőrzéssel és a tulajdonosi szerkezettel kapcsolatos értékelés céljából. A Bizottság adminisztratív támogatást nyújt a hálózatnak.

114. cikk
Felügyeleti és végrehajtási intézkedések

(1)A 112. cikkben említett illetékes hatóságok jogosultak felügyeleti és végrehajtási intézkedéseket hozni az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekkel szemben. A tagállamok biztosítják, hogy a fent említett intézkedések eredményesek, arányosak és visszatartó erejűek legyenek, figyelembe véve az egyes konkrét esetek körülményeit. A tagállamok értesítik a Bizottságot az e célból elfogadott szabályokról és azok későbbi módosításairól.

(2)Az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezetekkel kapcsolatos felügyeleti feladataik ellátása során az illetékes hatóságok jogosultak az említett szervezetekre vonatkozóan a következőket megtenni:

a)a releváns beszállítóik és szolgáltatóik részletes és naprakész jegyzékének bekérése;

b)az e rendeletnek való megfelelés ellenőrzéséhez szükséges adatokhoz, dokumentumokhoz és információkhoz való hozzáférés kérése;

c)képzett szakemberek által végrehajtott helyszíni ellenőrzések és távoli felügyeleti intézkedések, ideértve a véletlenszerű ellenőrzéseket is;

d)a hálózatba vagy rendszerbe bármilyen formában telepített vagy integrált hardver- vagy szoftvertermékek összetételére vonatkozó megkeresések, beleértve az összetevőket és az átmeneti függőségeket is, széles körben használt és géppel olvasható formátumban.

(3)Az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezetekkel kapcsolatos végrehajtási feladataik ellátása során az illetékes hatóságok jogosultak:

a)figyelmeztetéseket kiadni e rendeletnek az érintett szervezetek általi megsértéséről, meghatározva a lényeges tényeket és a jogi megfontolásokat;

b)határozatokat elfogadni, amelyekben előírják az érintett szervezetek számára, hogy orvosolják e rendelet megsértését vagy a kockázatcsökkentő intézkedések végrehajtása során feltárt hiányosságokat;

c)kötelezni az érintett szervezeteket arra, hogy szüntessék meg az e rendeletet sértő magatartást, és tartózkodjanak e tevékenységek ismételt elkövetésétől; és

d)szankciókat kiszabni az összeg kapcsán a 115. cikkben előírt szabályokkal összhangban, vagy felkérni az illetékes szerveket, bíróságokat vagy törvényszékeket arra, hogy a nemzeti joggal összhangban szabjanak ki ilyen szankciókat.

(4)Az előző bekezdésben említett végrehajtási intézkedések meghozatalakor az illetékes hatóságok figyelembe veszik az egyes esetek körülményeit, és kellően mérlegelik a következő tényezőket:

a)a jogsértés súlyossága és a megsértett rendelkezések fontossága;

b)a jogsértés időtartama;

c)az érintett szervezet releváns árbevétele;

d)az érintett szervezet által korábban elkövetett releváns jogsértések;

e)adott esetben a jogsértés által okozott bármely vagyoni vagy nem vagyoni kár, beleértve bármely pénzügyi vagy gazdasági veszteséget, a más szervezetekre gyakorolt hatásokat és az érintett felhasználók számát;

f)az érintett szervezet szándékossága vagy gondatlansága;

g)a szervezet által a vagyoni vagy nem vagyoni kár megelőzésére vagy mérséklésére tett bármely intézkedés;

h)a felelősnek tartott természetes vagy jogi személyek által az illetékes hatóságokkal folytatott együttműködés szintje.

Az első albekezdés a) pontjának alkalmazásában súlyos jogsértésnek minősülnek a következők:

i)ismételt jogsértések;

j)jelentős incidensek bejelentésének vagy orvoslásának elmaradása;

k)a hiányosságok orvoslásának elmaradása az illetékes hatóságok kötelező erejű utasításait követően.

(5)A végrehajtási intézkedések elfogadása előtt az illetékes hatóságok értesítik az érintett szervezeteket előzetes megállapításaikról. Az érintett szervezetek számára észszerű határidőt kell biztosítani az előzetes megállapításokkal kapcsolatos észrevételeik benyújtására. Az illetékes hatóságok részletesen indokolják végrehajtási intézkedéseiket.

(6)Az illetékes hatóságok tiszteletben tartják a titoktartás, valamint a szakmai és üzleti titoktartás elvét.

(7)Az illetékes hatóságok a 116. cikkel összhangban együttműködnek egymással és a Bizottsággal az e cím szerinti felügyelet és végrehajtás gyakorlása céljából.

115. cikk
Szankciók

(1)A tagállamok megállapítják az e rendelet megsértése esetén alkalmazandó szankciókra vonatkozó szabályokat, és meghoznak minden szükséges intézkedést ezek végrehajtására.

(2)Az előírt szankcióknak hatékonyaknak, arányosaknak és visszatartó erejűeknek kell lenniük. A tagállamok tájékoztatják a Bizottságot az említett szabályokról és intézkedésekről, és haladéktalanul tájékoztatják a Bizottságot az e szabályokat érintő minden későbbi módosításról.

(3)A szankciókat a 114. cikk (3) bekezdésének a), b) és c) pontjában említett intézkedések mellett kell kiszabni.

(4)Az egyes esetekben a szankció kiszabásának és a szankció összegének eldöntésekor kellő figyelmet kell fordítani legalább a 114. cikk (4) bekezdésének első albekezdésében említett tényezőkre.

(5)A 103. cikk (2) bekezdése a) pontjának megsértése – e cikk (3) bekezdésével összhangban – azon vállalkozás előző pénzügyi évi teljes globális éves árbevétele legfeljebb 1 %-ának megfelelő pénzbírsággal sújtandó, amelyhez a szervezet tartozik.

(6)A 103. cikk (2) bekezdése b)–g) pontjának megsértése – e cikk (3) bekezdésével összhangban – azon vállalkozás előző pénzügyi évi teljes globális éves árbevétele legfeljebb 2 %-ának megfelelő pénzbírsággal sújtandó, amelyhez a szervezet tartozik.

(7)A 103. cikk (1) bekezdésének és a 111. cikknek megsértése – e cikk (3) bekezdésével összhangban – azon vállalkozás előző pénzügyi évi teljes globális éves árbevétele legfeljebb 7 %-ának megfelelő pénzbírsággal sújtandó, amelyhez a szervezet tartozik.

116. cikk
Kölcsönös segítségnyújtás

(1)Ha az (EU) 2022/2555 irányelv I. vagy II. mellékletében említett típusú szervezet egynél több tagállamban nyújt szolgáltatásokat, vagy egy vagy több tagállamban nyújt szolgáltatásokat és kulcsfontosságú IKT-eszközei egy vagy több másik tagállamban találhatók, az érintett tagállamok illetékes hatóságai együttműködnek egymással és a Bizottsággal, és segítik egymást és a Bizottságot a rendelet eredményes és hatékony végrehajtásában. E célból legalább a következő szabályokat kell alkalmazni:

a)az egyik tagállamban felügyeleti vagy végrehajtási intézkedéseket alkalmazó illetékes hatóságok tájékoztatják a többi érintett tagállam illetékes hatóságait és konzultálnak velük a megtett felügyeleti és végrehajtási intézkedésekről;

b)a valamely tagállamban működő illetékes hatóság felkérhet egy másik tagállamban működő másik illetékes hatóságot felügyeleti vagy végrehajtási intézkedések megtételére;

c)a valamely tagállamban működő illetékes hatóság egy másik tagállamban működő másik illetékes hatóságtól származó indokolt kérelem kézhezvétele után – a legnagyobb gondosság elve alapján – kölcsönös segítséget nyújt a másik illetékes hatóság számára annak érdekében, hogy a felügyeleti vagy végrehajtási intézkedéseket eredményesen, hatékonyan és következetesen lehessen végrehajtani.

(2)Az (1) bekezdés c) pontjában említett kölcsönös segítségnyújtás kiterjedhet az információkérésekre és a felügyeleti intézkedésekre, beleértve a helyszíni ellenőrzések, a távoli felügyelet vagy a célzott biztonsági ellenőrzések elvégzésére irányuló megkereséseket is. Az az illetékes hatóság, amelyhez segítségnyújtás iránti megkeresést intéztek, nem utasíthatja el a megkeresést, kivéve, ha megállapítást nyer, hogy nem rendelkezik hatáskörrel a kért segítség nyújtására, a kért segítség nem arányos az illetékes hatóság felügyeleti feladataival, vagy a megkeresés olyan információra vonatkozik, vagy olyan tevékenységeket foglal magában, amelyek közlése vagy végrehajtása ellentétes lenne az adott tagállam nemzetbiztonságának, közbiztonságának vagy védelmének alapvető érdekeivel. A megkeresés elutasítása előtt az illetékes hatóság konzultál a többi érintett illetékes hatósággal, valamint az érintett tagállamok egyikének kérésére a Bizottsággal.

(3)Adott esetben és közös megegyezéssel különböző tagállamok illetékes hatóságai közös felügyeleti műveleteket végezhetnek.

(4)A 114. cikk (6) bekezdésében említett, a titoktartás, valamint a szakmai és üzleti titoktartás elvének betartására vonatkozó kötelezettségre tekintettel a segítségnyújtás iránti megkereséssel összefüggésben kicserélt és e cikk alapján rendelkezésre bocsátott információk csak abban az ügyben használhatók fel, amellyel kapcsolatban azokat megkérték.

117. cikk
Joghatóság és területi elv

(1)Az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú, és az e rendelet hatálya alá tartozó szervezeteket a letelepedésük szerinti tagállam joghatósága alá tartozónak kell tekinteni, kivéve:

a)a nyilvános elektronikus hírközlő hálózatok szolgáltatóit vagy a nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtó szolgáltatókat, amelyeket úgy kell tekinteni, hogy a szolgáltatásnyújtásuk helye szerinti tagállam joghatósága alá tartoznak;

b)a DNS-szolgáltatókat, legfelső szintű doménnév-nyilvántartókat, felhőszolgáltatókat, adatközpont-szolgáltatókat, tartalomszolgáltató hálózati szolgáltatókat, irányított szolgáltatókat és irányított biztonsági szolgáltatókat, valamint az online piacterek, az online keresőprogramok és a közösségimédia-szolgáltatási platformok szolgáltatóit, amelyeket annak a tagállamnak a joghatósága alá tartozónak kell tekinteni, amelyben a (2) bekezdés alapján az Unióban üzleti tevékenységük fő helye található;

c)a közigazgatási szerveket, amelyek azon tagállam joghatósága alá tartozónak kell tekinteni, amelynek szervei;

d)a légi fuvarozókat, amelyeket azon tagállam joghatósága alá tartozónak kell tekinteni, amelynek illetékes engedélyező hatósága az 1008/2008/EK európai parlamenti és tanácsi rendelet alapján 83 a szervezet számára kiadta a működési engedélyt, vagy – amennyiben a működési engedélyt vagy azzal egyenértékű dokumentumot nem az említett rendelettel összhangban adták ki – annak a tagállamnak a joghatósága alá tartozónak kell tekinteni, amelyben a (2) bekezdés alapján az Unióban üzleti tevékenységük fő helye található.

(2)E rendelet alkalmazásában úgy kell tekinteni, hogy az (1) bekezdés b) pontjában említett szervezet üzleti tevékenységének fő helye az Unióban abban a tagállamban van, ahol a kiberbiztonsági kockázatkezelési intézkedésekkel kapcsolatos döntéseket túlnyomórészt meghozzák. Ha ilyen tagállam nem határozható meg, vagy az ilyen döntéseket nem az Unióban hozzák meg, akkor úgy kell tekinteni, hogy az üzleti tevékenység fő helye abban a tagállamban található, ahol a kiberbiztonsági műveleteket végzik. Ha ilyen tagállam nem határozható meg, akkor az üzleti tevékenység fő helyét abban a tagállamban levőnek kell tekinteni, ahol az érintett szervezetnek az Unióban a legmagasabb munkavállalói létszámmal rendelkező telephelye van.

(3)Ha az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezet nem az Unióban letelepedett, de az Unión belül kínál szolgáltatásokat, ki kell jelölnie egy képviselőt az Unióban. A képviselőnek azon tagállamok valamelyikében kell letelepedettnek lennie, ahol a szolgáltatásokat kínálják. Az ilyen szervezetet a képviselő letelepedése szerinti tagállam joghatósága alá tartozónak kell tekinteni. Amennyiben a szóban forgó szervezet az (1) bekezdés a) pontjában említett szervezet, úgy kell tekinteni, hogy annak a tagállamnak a joghatósága alá tartozik, amelyben a szolgáltatásait nyújtja. E bekezdés alapján az Unióban kijelölt képviselő hiányában bármely olyan tagállam, amelyben a szervezet szolgáltatásokat nyújt, jogi lépéseket tehet a szervezet ellen e rendelet megsértése miatt.

(4)A képviselőnek az (1) bekezdés b) pontjában említett szervezet általi kijelölése nem érinti azokat a jogi lépéseket, amelyek maga a szervezet ellen kezdeményezhetők.

(5)Amennyiben egy tagállamhoz kölcsönös segítségnyújtás iránti megkeresés érkezik az (1) bekezdés b) pontjában említett szervezettel kapcsolatban, a szóban forgó tagállam a megkeresés keretein belül megfelelő felügyeleti és végrehajtási intézkedéseket hozhat az érintett szervezettel kapcsolatban, abban az esetben, ha az a tagállam területén szolgáltatásokat nyújt, vagy ha valamely hálózati és információs rendszere a tagállam területén található.

VI. CÍM 
ZÁRÓ RENDELKEZÉSEK

118. cikk
A bizottsági eljárás

(1)A Bizottságot egy bizottság segíti. Ez a bizottság két formációban működik. A II. és III. cím tekintetében a Bizottságot az első formációjú bizottság, míg a IV. cím tekintetében a második formációjú bizottság segíti. Ez a bizottság a 182/2011/EU rendelet értelmében vett bizottságnak minősül.

(2)Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 5. cikkét kell alkalmazni.

119. cikk
A felhatalmazás gyakorlása

(1)A felhatalmazáson alapuló jogi aktusok elfogadására vonatkozóan a Bizottság részére adott felhatalmazás feltételeit ez a cikk határozza meg.

(2)A 80. cikk (2) bekezdésében és a 110. cikk (5) bekezdésében említett felhatalmazáson alapuló jogi aktusok elfogadásának hatáskörét az e rendelet hatálybalépését követő naptól kezdődően, határozatlan időre ruházzák a Bizottságra.

(3)Az Európai Parlament vagy a Tanács bármikor visszavonhatja a 80. cikk (2) bekezdésében és a 110. cikk (5) bekezdésében említett felhatalmazást. A visszavonásról szóló határozat megszünteti az abban meghatározott felhatalmazást. Ez a határozat az Európai Unió Hivatalos Lapjában való közzétételét követő napon vagy a határozatban meghatározott későbbi időpontban lép hatályba. A határozat nem érinti a már hatályban lévő, felhatalmazáson alapuló jogi aktusok érvényességét. 

(4)A felhatalmazáson alapuló jogi aktus elfogadása előtt a Bizottság a jogalkotás minőségének javításáról szóló, 2016. április 13-i intézményközi megállapodásban megállapított elvekkel összhangban konzultál az egyes tagállamok által kijelölt szakértőkkel.

(5)A Bizottság a felhatalmazáson alapuló jogi aktus elfogadását követően haladéktalanul és egyidejűleg értesíti arról az Európai Parlamentet és a Tanácsot.

(6)A 80. cikk (2) bekezdése és a 110. cikk (5) bekezdése értelmében elfogadott felhatalmazáson alapuló jogi aktus csak akkor lép hatályba, ha az Európai Parlamentnek és a Tanácsnak a jogi aktusról való értesítését követő két hónapon belül sem az Európai Parlament, sem a Tanács nem emelt ellene kifogást, illetve ha az említett időtartam lejártát megelőzően mind az Európai Parlament, mind a Tanács arról tájékoztatta a Bizottságot, hogy nem fog kifogást emelni. Az Európai Parlament vagy a Tanács kezdeményezésére ez az időtartam két hónappal meghosszabbodik. 

120. cikk
Értékelés és felülvizsgálat

(1)A Bizottság [ÉÉÉÉ.HH.NN]-ig, majd azt követően ötévente értékelést rendel meg, amelyet a Bizottság iránymutatásaival összhangban kell elvégezni.

(2)Az (1) bekezdésben említett értékelés tartalmazza a következők értékelését:

a)az ENISA teljesítménye a célkitűzéseivel, megbízatásával, küldetésével, feladataival, irányításával és helyszínével kapcsolatban;

b)az e rendelet II. címe II. fejezetének 4. szakasza szerinti európai egyedi kiberbiztonsági készségtanúsítási rendszer eredményessége, hatékonysága és uniós hozzáadott értéke;

c)az e rendelet III. címében foglalt rendelkezések hatása, eredményessége és hatékonysága az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok és az irányított biztonsági szolgáltatások és a szervezetek Unión belüli megfelelő szintű kiberbiztonságának biztosítására és a belső piac működésének javítására vonatkozó célkitűzések tekintetében;

d)az e rendelet IV. címében foglalt rendelkezések hatása, eredményessége és hatékonysága a megbízható IKT-ellátási láncok keretrendszerének célkitűzései tekintetében.

(3)Az (1) bekezdés a) pontjában említett értékelésnek foglalkoznia kell különösen az ENISA megbízatásának esetlegesen szükséges módosításával, és az ilyen jellegű módosítások pénzügyi következményeivel.

(4)Az (1) bekezdés a) pontjában említett értékelések során minden második értékelés alkalmával a Bizottság értékeli az ENISA által elért eredményeket a célkitűzései, megbízatása, irányítása és feladatai tekintetében, beleértve azt is, hogy e célkitűzések, megbízatás, irányítás és feladatok fényében továbbra is indokolt-e az ENISA tevékenységének folytatása.

(5)A Bizottság az értékelés megállapításairól jelentést nyújt be az Európai Parlamentnek, a Tanácsnak és az igazgatótanácsnak. Az értékelés megállapításait nyilvánosságra kell hozni.

121. cikk
Hatályon kívül helyezés és a tevékenységek folytatása

(1)Az (EU) 2019/881 európai parlamenti és tanácsi rendelet [ÉÉÉÉ.HH.NN]-tól/-től hatályát veszti.

(2)Az (EU) 2019/881 rendeletre, az ENISA-ra és az említett rendelettel létrehozott európai kiberbiztonsági tanúsítási rendszerekre való hivatkozásokat ezen rendeletre való hivatkozásnak kell tekinteni és az e rendelet III. mellékletében szereplő megfelelési táblázattal összhangban kell értelmezni.

(3)Az e rendelettel szabályozott ENISA mindennemű tulajdonviszony, megállapodás, jogi kötelezettség, munkaszerződés, pénzügyi kötelezettségvállalás és felelősség vonatkozásában az (EU) 2019/881 rendelettel létrehozott ENISA működését és tevékenységét folytatja. Az igazgatótanács és a felügyelőtestület által az (EU) 2019/881 rendelettel összhangban hozott valamennyi határozat érvényben marad, feltéve, hogy azok megfelelnek e rendeletnek.

(4)Az (EU) 2019/881 rendelet 15. cikke (1) bekezdésnek n) pontja alapján kinevezett ügyvezető igazgató hivatali idejének fennmaradó részében hivatalban marad, és hivatali ideje fennmaradó részében ellátja az e rendelet 32. cikkében említett ügyvezetői igazgatói feladatokat és felelősségi köröket. Szerződéseinek egyéb feltételei nem változnak.

(5)Azokat a javasolt tanúsítási rendszereket, amelyek elkészítését az (EU) 2019/881 rendelet 49. cikke alapján kérelmezték, úgy kell tekinteni, mint amelyeket e rendelet megfelelő rendelkezései alapján kérelmeztek. E rendelet III. címének rendelkezéseit ennek megfelelően kell alkalmazni az említett javasolt tanúsítási rendszerekre.

(6)Az igazgatótanácsnak a Bizottság által kinevezett tagjai és az (EU) 2019/881 rendelet 14. cikke alapján kinevezett póttagjai hivatali idejük fennmaradó részében hivatalban maradnak, és hivatali idejük fennmaradó részében ellátják az e rendelet 27. cikkében említett igazgatótanácsi feladatokat. Az igazgatótanácsnak a tagállamok által az (EU) 2019/881 rendelet 14. cikke alapján kinevezett tagjai hivatali idejük fennmaradó részében hivatalban maradnak, és ellátják az e rendelet 27. cikkében említett igazgatótanácsi feladatokat, feltéve, hogy feladataik az ezen rendelet 24. cikkének (3) bekezdésében említett feladatok.

122. cikk
Hatálybalépés

Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő […] napon lép hatályba.

Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.

Kelt Strasbourgban, -án/-én.

PÉNZÜGYI ÉS DIGITÁLIS KIMUTATÁS

1.A JAVASLAT/KEZDEMÉNYEZÉS FŐBB ADATAI3

1.1.A javaslat/kezdeményezés címe3

1.2.Az érintett szakpolitikai terület(ek)3

1.3.Célkitűzés(ek)3

1.3.1.Általános célkitűzés(ek)3

1.3.2.Egyedi célkitűzés(ek)3

1.3.3.Várható eredmény(ek) és hatás(ok)3

1.3.4.Teljesítménymutatók3

1.4.A javaslat/kezdeményezés tárgya:4

1.5.A javaslat/kezdeményezés indoklása4

1.5.1.Rövid vagy hosszú távon kielégítendő szükséglet(ek) a kezdeményezés végrehajtásának részletes ütemtervével4

1.5.2.Az uniós részvételből származó hozzáadott érték (adódhat többek között a koordinációból eredő előnyökből, a jogbiztonságból, a fokozott hatékonyságból vagy a kiegészítő jellegből). E szakaszban „az uniós részvételből származó hozzáadott érték” azt az uniós fellépésből adódó értéket jelenti, amely többletként jelentkezik ahhoz az értékhez képest, amely a tagállamok egyedüli fellépése esetén jött volna létre.4

1.5.3.Hasonló korábbi tapasztalatok tanulsága4

1.5.4.A többéves pénzügyi kerettel való összeegyeztethetőség és lehetséges szinergiák egyéb megfelelő eszközökkel5

1.5.5.A rendelkezésre álló különböző finanszírozási lehetőségek értékelése, ideértve az átcsoportosítási lehetőségeket is5

1.6.A javaslat/kezdeményezés és az abból származó pénzügyi hatás időtartama6

1.7.Tervezett költségvetés-végrehajtási módszer(ek)6

2.IRÁNYÍTÁSI INTÉZKEDÉSEK8

2.1.A nyomon követésre és a jelentéstételre vonatkozó rendelkezések8

2.2.Irányítási és kontrollrendszer(ek)8

2.2.1.A költségvetés-végrehajtási módszer(ek)nek, a finanszírozás-végrehajtási mechanizmus(ok)nak, a kifizetési feltételeknek és a javasolt kontrollstratégiának az indokolása8

2.2.2.Az azonosított kockázatokkal és a csökkentésükre létrehozott belső kontrollrendszerekkel kapcsolatos információk8

2.2.3.A kontrollok költséghatékonyságának becslése (a kontroll költségeinek és az érintett forrásoknak az aránya) és indokolása, valamint a hibakockázat várható szintjeinek értékelése (kifizetéskor és záráskor)8

2.3.A csalások és a szabálytalanságok megelőzésére irányuló intézkedések9

3.A JAVASLAT/KEZDEMÉNYEZÉS BECSÜLT PÉNZÜGYI HATÁSA10

3.1.A többéves pénzügyi keret érintett fejezete(i) és a költségvetés érintett kiadási sora(i)10

3.2.A javaslatnak az előirányzatokra gyakorolt becsült pénzügyi hatása12

3.2.1.Az operatív előirányzatokra gyakorolt becsült hatás összefoglalása12

3.2.1.1.A megszavazott költségvetésből származó előirányzatok12

3.2.1.2.Külső címzett bevételekből származó előirányzatok17

3.2.2.Operatív előirányzatokból finanszírozott becsült kimenet22

3.2.3.Az igazgatási előirányzatokra gyakorolt becsült hatás összefoglalása24

3.2.3.1. A megszavazott költségvetésből származó előirányzatok24

3.2.3.2.Külső címzett bevételekből származó előirányzatok24

3.2.3.3.Előirányzatok összesen24

3.2.4.Becsült humánerőforrás-szükségletek25

3.2.4.1.A megszavazott költségvetésből finanszírozott25

3.2.4.2.Külső címzett bevételekből finanszírozott26

3.2.4.3.Becsült humánerőforrás-szükségletek összesen26

3.2.5.A digitális technológiával kapcsolatos beruházásokra gyakorolt becsült hatás áttekintése28

3.2.6.A jelenlegi többéves pénzügyi kerettel való összeegyeztethetőség28

3.2.7.Harmadik felek finanszírozási hozzájárulása28

3.3.Becsült bevételi hatás29

4.Digitális vetületek29

4.1.Digitális vonatkozású követelmények30

4.2.Adatok30

4.3.Digitális megoldások31

4.4.Interoperabilitási értékelés31

4.5.A digitális végrehajtást támogató intézkedések32

1.A JAVASLAT/KEZDEMÉNYEZÉS FŐBB ADATAI 

1.1.A javaslat/kezdeményezés címe

1.2.Az érintett szakpolitikai terület(ek) 

1.3.Célkitűzés(ek)

1.3.1.Általános célkitűzés(ek)

1.3.2.Egyedi célkitűzés(ek)

1.3.3.Várható eredmény(ek) és hatás(ok)

Tüntesse fel, milyen hatásokat gyakorolhat a javaslat/kezdeményezés a kedvezményezettekre/célcsoportokra.

1.3.4.Teljesítménymutatók

Határozza meg az előrehaladás és az eredmények nyomon követésére szolgáló mutatókat.

1.4.A javaslat/kezdeményezés tárgya: 

 új intézkedés (IV. cím: ellátási lánc, V. cím: egyszerűsítés)

 kísérleti projektet / előkészítő intézkedést követő új intézkedés 84  

 meglévő intézkedés kibővítése (II. cím: Az ENISA megbízatása és III. cím: Tanúsítás)

 egy vagy több intézkedés összevonása vagy átalakítása egy másik/új intézkedéssé

1.5.A javaslat/kezdeményezés indoklása 

1.5.1.Rövid vagy hosszú távon kielégítendő szükséglet(ek) a kezdeményezés végrehajtásának részletes ütemtervével

1.5.2.Az uniós részvételből származó hozzáadott érték (adódhat többek között a koordinációból eredő előnyökből, a jogbiztonságból, a fokozott hatékonyságból vagy a kiegészítő jellegből). E szakaszban „az uniós részvételből származó hozzáadott érték” azt az uniós fellépésből adódó értéket jelenti, amely többletként jelentkezik ahhoz az értékhez képest, amely a tagállamok egyedüli fellépése esetén jött volna létre.

1.5.3.Hasonló korábbi tapasztalatok tanulsága

1.5.4.A többéves pénzügyi kerettel való összeegyeztethetőség és lehetséges szinergiák egyéb megfelelő eszközökkel

1.5.5.A rendelkezésre álló különböző finanszírozási lehetőségek értékelése, ideértve az átcsoportosítási lehetőségeket is

1.6.A javaslat/kezdeményezés és az abból származó pénzügyi hatás időtartama

 határozott időtartam

–    időtartam: ÉÉÉÉ [HH/NN]-tól/-től ÉÉÉÉ [HH/NN]-ig

–    pénzügyi hatás: ÉÉÉÉ-tól/-től ÉÉÉÉ-ig a kötelezettségvállalási előirányzatok esetében és ÉÉÉÉ-tól/-től ÉÉÉÉ-ig a kifizetési előirányzatok esetében

 határozatlan időtartam

–beindítási időszak: ÉÉÉÉ-tól/-től ÉÉÉÉ-ig,

–azt követően: rendes ütemű végrehajtás

1.7.Tervezett költségvetés-végrehajtási módszer(ek) 

 Közvetlen irányítás a Bizottság által

– a Bizottság szervezeti egységein keresztül, ideértve az uniós küldöttségek személyzetét

–    végrehajtó ügynökségen keresztül

 Megosztott irányítás a tagállamokkal

 Közvetett irányítás a költségvetés végrehajtásával kapcsolatos feladatoknak a következőkre történő átruházásával:

– harmadik országok vagy az általuk kijelölt szervek

– nemzetközi szervezetek és ügynökségeik (nevezze meg)

– az Európai Beruházási Bank és az Európai Beruházási Alap

– a költségvetési rendelet 70. és 71. cikkében említett szervek

– közjogi szervek

– magánjog alapján működő, közfeladatot ellátó szervek, amennyiben megfelelő pénzügyi garanciákkal rendelkeznek

– valamely tagállam magánjoga alapján működő, köz- és magánszféra közötti partnerség végrehajtásával megbízott és megfelelő pénzügyi garanciákkal rendelkező szervek

– az Európai Unióról szóló szerződés V. címének értelmében a közös kül- és biztonságpolitika terén konkrét fellépések végrehajtásával megbízott, és a vonatkozó alap-jogiaktusban ekként megjelölt szervek vagy személyek

–valamely tagállamban létrehozott, valamely tagállam magánjoga vagy uniós jog alapján működő szervek, amelyek az ágazatspecifikus szabályokkal összhangban megbízást kaphatnak uniós források vagy költségvetési biztosítékok végrehajtására, amennyiben e szervek közjogi szervek vagy közfeladatot ellátó magánjogi intézmények ellenőrzése alá tartoznak, és az ellenőrző szerv által vállalt egyetemleges felelősség formáját öltő vagy azzal egyenértékű pénzügyi garanciával rendelkeznek, amely pénzügyi garancia minden intézkedés esetében az uniós támogatás maximális összegére korlátozódhat.

Megjegyzések

2.IRÁNYÍTÁSI INTÉZKEDÉSEK 

2.1.A nyomon követésre és a jelentéstételre vonatkozó rendelkezések 

2.2.Irányítási és kontrollrendszer(ek) 

2.2.1.A költségvetés-végrehajtási módszer(ek)nek, a finanszírozás-végrehajtási mechanizmus(ok)nak, a kifizetési feltételeknek és a javasolt kontrollstratégiának az indokolása

2.2.2.Az azonosított kockázatokkal és a csökkentésükre létrehozott belső kontrollrendszerekkel kapcsolatos információk

2.2.3.A kontrollok költséghatékonyságának becslése (a kontroll költségeinek és az érintett forrásoknak az aránya) és indokolása, valamint a hibakockázat várható szintjeinek értékelése (kifizetéskor és záráskor) 

2.3.A csalások és a szabálytalanságok megelőzésére irányuló intézkedések 

3.A JAVASLAT/KEZDEMÉNYEZÉS BECSÜLT PÉNZÜGYI HATÁSA 

3.1.A többéves pénzügyi keret érintett fejezete(i) és a költségvetés érintett kiadási sora(i) 

·Meglévő költségvetési sorok

A többéves pénzügyi keret fejezetei, azon belül pedig a költségvetési sorok sorrendjében.

A többéves pénzügyi keret fejezete	Költségvetési sor	Kiadás típusa	Hozzájárulás
	Szám	diff./nem diff. 99	EFTA-országoktól 100	tagjelölt országoktól és potenciális tagjelöltektől 101	más harmadik országoktól	egyéb címzett bevétel
	[XX.YY.YY.YY]	Nem differenciált előirányzatok	IGEN	NEM	NEM	IGEN/NEM
	[XX.YY.YY.YY]	diff./nem diff.	IGEN/NEM	IGEN/NEM	IGEN/NEM	IGEN/NEM
	[XX.YY.YY.YY]	diff./nem diff.	IGEN/NEM	IGEN/NEM	IGEN/NEM	IGEN/NEM

·Létrehozandó új költségvetési sorok

A többéves pénzügyi keret fejezetei, azon belül pedig a költségvetési sorok sorrendjében.

A többéves pénzügyi keret fejezete	Költségvetési sor	Kiadás típusa	Hozzájárulás
	Szám	diff./nem diff.	EFTA-országoktól	tagjelölt országoktól és potenciális tagjelöltektől	más harmadik országoktól	egyéb címzett bevétel
	[XX.YY.YY.YY]	diff./nem diff.	IGEN/NEM	IGEN/NEM	IGEN/NEM	IGEN/NEM
	[XX.YY.YY.YY]	diff./nem diff.	IGEN/NEM	IGEN/NEM	IGEN/NEM	IGEN/NEM
	[XX.YY.YY.YY]	diff./nem diff.	IGEN/NEM	IGEN/NEM	IGEN/NEM	IGEN/NEM

3.2.A javaslatnak az előirányzatokra gyakorolt becsült pénzügyi hatása 

3.2.1.Az operatív előirányzatokra gyakorolt becsült hatás összefoglalása 

–    A javaslat/kezdeményezés nem vonja maga után operatív előirányzatok felhasználását

–    A javaslat/kezdeményezés az alábbi operatív előirányzatok felhasználását vonja maga után:

3.2.1.1.A megszavazott költségvetésből származó előirányzatok

millió EUR (három tizedesjegyig)

Ügynökség: ENISA	2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év	A 2028–2034-es többéves pénzügyi keretből ÖSSZESEN
Költségvetési sor: <…….> / Az ügynökségnek az uniós költségvetésből nyújtott hozzájárulás	20,900 EUR	20,594 EUR	25,338 EUR	26,801 EUR	26,801 EUR	26,301 EUR	26,301 EUR	173,006

Az ügynökségnek nyújtott előirányzatokat / uniós költségvetési hozzájárulást a következő program / költségvetési sor keretének az alább feltüntetett év(ek)ben végrehajtott csökkentésével kell ellensúlyozni: program: <…….> / költségvetési sor: <…….> / év(ek): <…….>.

						Év		Év			Év		Év			Év		Év	Év			A 2028–2034-es többéves pénzügyi keretből ÖSSZESEN
						2028		2029			2030		2031			2032		2033	2034
Operatív előirányzatok ÖSSZESEN		Kötelezettségvállalási előirányzatok		(4)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
		Kifizetési előirányzatok		(5)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
Meghatározott egyedi programok keretéből finanszírozott igazgatási jellegű előirányzatok ÖSSZESEN				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
A többéves pénzügyi keret 2. FEJEZETÉHEZ tartozó előirányzatok		Kötelezettségvállalási előirányzatok				=(4)+(6)		22,265 EUR			21,959 EUR		26,808 EUR			28,586 EUR		28,901 EUR	28,716 EUR			28,926 EUR	186,161
ÖSSZESEN		Kifizetési előirányzatok				=(5)+(6)		22,265 EUR			20,890 EUR		24,851 EUR			26,254 EUR		26,254 EUR	25,754 EUR			25,754 EUR	186,161
Főigazgatóság: CNECT									Év			Év		Év	Év		Év			Év	Év			A 2028–2034-es többéves pénzügyi keretből ÖSSZESEN
									2028			2029		2030	2031		2032			2033	2034
 Humánerőforrás									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Egyéb igazgatási kiadások									0			0		0	0		0			0	0			0
CNECT Főigazgatóság ÖSSZESEN	Előirányzatok		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
A többéves pénzügyi keret 4. FEJEZETÉHEZ tartozó előirányzatok ÖSSZESEN					(Összes kötelezettségvállalási előirányzat = Összes kifizetési előirányzat)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

millió EUR (három tizedesjegyig)

			Év		Év		Év		Év		Év		Év		Év		A 2028–2034-es többéves pénzügyi keretből ÖSSZESEN
			2028		2029		2030		2031		2032		2033		2034
A többéves pénzügyi keret 1–4. fejezetéhez tartozó előirányzatok	Kötelezettségvállalási előirányzatok		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
ÖSSZESEN		Kifizetési előirányzatok		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Operatív előirányzatokból finanszírozott becsült kimenet (decentralizált ügynökségek esetében nem kell kitölteni)

Kötelezettségvállalási előirányzatok, millió EUR (három tizedesjegyig)

Tüntesse fel a célkitűzéseket és a kimeneteket 

2028. év

2029. év

2030. év

2031. év

A táblázat a hatás időtartamának megfelelően (vö. 1.6. szakasz) további évekkel bővíthető.

ÖSSZESEN

KIMENETEK

Típus 102

Átlagos költség

Szám

Költség

Szám

Költség

Szám

Költség

Szám

Költség

Szám

Költség

Szám

Költség

Szám

Költség

Összesített szám

Összköltség

1. EGYEDI CÉLKITŰZÉS 103 …

– Kimenet

– Kimenet

– Kimenet

1. konkrét célkitűzés részösszege

2. EGYEDI CÉLKITŰZÉS …

– Kimenet

2. egyedi célkitűzés részösszege

ÖSSZESEN

3.2.3.Az igazgatási előirányzatokra gyakorolt becsült hatás összefoglalása 

–    A javaslat/kezdeményezés nem vonja maga után igazgatási jellegű előirányzatok felhasználását.

–    A javaslat/kezdeményezés az alábbi igazgatási jellegű előirányzatok felhasználását vonja maga után:

3.2.3.1. A megszavazott költségvetésből származó előirányzatok

(további)

MEGSZAVAZOTT ELŐIRÁNYZATOK	Év	Év	Év	Év	Év	Év	Év	2028–2034 ÖSSZESEN
	2028	2029	2030	2031	2032	2033	2034
4. FEJEZET
Humánerőforrás	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Egyéb igazgatási kiadások	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
4. FEJEZETI részösszeg	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
4. FEJEZETEN kívül
Humánerőforrás	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Egyéb igazgatási jellegű kiadások	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
4. FEJEZETEN kívüli részösszeg	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
ÖSSZESEN	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Becsült humánerőforrás-szükségletek (további)

–    A javaslat/kezdeményezés nem igényel humánerőforrást.

–    A javaslat/kezdeményezés az alábbi humánerőforrás-igénnyel jár:

3.2.4.1.A megszavazott költségvetésből finanszírozott

A becsléseket teljes munkaidős egyenértékben (FTE) kell kifejezni 104

MEGSZAVAZOTT ELŐIRÁNYZATOK		Év	Év	Év	Év	Év	Év	Év
		2028	2029	2030	2031	2032	2033	2034
 A létszámtervben szereplő álláshelyek (tisztviselők és ideiglenes alkalmazottak)
20 01 02 01 (a központokban és a bizottsági képviseleteken)		12	12	16	18	20	22	25
20 01 02 03 (az Unió küldöttségeinél)		0	0	0	0	0	0	0
(Közvetett kutatás)		0	0	0	0	0	0	0
(Közvetlen kutatás)		0	0	0	0	0	0	0
Egyéb költségvetési sorok (nevezze meg)		0	0	0	0	0	0	0
• Külső munkatársak (teljes munkaidős egyenértékben)
20 02 01 (CA, SNE a teljes keretből)		0	0	0	0	0	0	0
20 02 03 (CA, LA, SNE és JPD az Unió küldöttségeinél)		0	0	0	0	0	0	0
Igazgatási támogatási sor	– a központokban	0	0	0	0	0	0	0
[XX.01.YY.YY]	– az Unió küldöttségeinél	0	0	0	0	0	0	0
CA, SNE – közvetett kutatás		0	0	0	0	0	0	0
CA, SNE – közvetlen kutatás		0	0	0	0	0	0	0
Egyéb költségvetési sorok a 4. fejezetben (nevezze meg)		0	0	0	0	0	0	0
Egyéb költségvetési sorok a 4. fejezeten kívül (nevezze meg)		13	13	14	17	20	23	25
ÖSSZESEN		25	25	30	35	40	45	50

A javaslat végrehajtásához szükséges személyzet (teljes munkaidős egyenértékben):

	A Bizottság szolgálatainál jelenleg rendelkezésre álló személyzetből fedezendő	Kivételes esetben további személyzet
		A 7. fejezetből vagy a kutatási keretből finanszírozandó	A BA sorból finanszírozandó	Díjakból finanszírozandó
Létszámtervi álláshelyek		25
Külső munkatársak (CA, SNE, INT)			25

A 2028-ra és az azt követő időszakra vonatkozó kiadásokra és személyzetre gyakorolt becsült hatás indikatív, és nem határozza meg a következő többéves pénzügyi keretet. A 2027 utáni időszakra vonatkozó uniós pénzügyi kötelezettségvállalás finanszírozási forrása és hatóköre továbbra is a 2028–2034 közötti időszakra vonatkozó többéves pénzügyi keretről, valamint az éves költségvetési eljárásról és az irányítási mechanizmusról folytatott intézményközi tárgyalások eredményétől függ.

Az ágazati főigazgatóság által a Bizottságon belül elvégzendő feladatok leírása

Tisztviselők és ideiglenes alkalmazottak

ENISA-koordináció (1): A Bizottság képviselete az Ügynökség igazgatótanácsában. A Bizottság véleményének kialakítása az ENISA egységes programozási dokumentumáról, és a dokumentum végrehajtásának nyomon követése. Az Ügynökség költségvetése elkészítésének felügyelete, és a költségvetés végrehajtásának figyelemmel kísérése. Az Ügynökség támogatása tevékenységeinek uniós politikákkal megfelelően történő kidolgozásában, a vonatkozó találkozókon való részvételt is ideértve. Készségtanúsítási rendszerek / Készségek Akadémiája (2): A Tartalmak, Technológiák és Kommunikációs Hálózatok Főigazgatóságánál további személyzetre lesz szükség az ENISA által a felhatalmazott szolgáltatóvá válást kérelmező felek felé felszámítandó díjakat megállapító végrehajtási jogi aktusok előkészítéséhez. E végrehajtási jogi aktusok száma legalább 12 lesz, az európai kiberbiztonsági készségkereten belüli profilonként egy. Ellátási lánc (25) Az összehangolt uniós kockázatértékelések előkészítésének támogatása. Gazdasági elemzés végzése minden egyes figyelembe vett IKT-termékre és -szolgáltatásra vonatkozóan. A kulcsfontosságú eszközök azonosítására, a javasolt kockázatcsökkentő intézkedésekre és az egyes kulcsfontosságú eszközök tekintetében stratégiai kiberbiztonsági kockázatot jelentő országok jegyzékbe vételére, a magas kockázatú beszállítók azonosítására, a mentességi kérelmek ellenőrzésére és a Bizottság határozatainak előkészítésére vonatkozó végrehajtási jogi aktusok kidolgozása. Az elfogadott intézkedések végrehajtásának és felügyeletének támogatása. Európai kiberbiztonsági tanúsítási keretrendszer, a kapcsolódó tevékenységek szabványosítása és végrehajtása, a NIS 2 irányelv végrehajtása (17): A kiberbiztonsági jogszabály végrehajtása, különösen a megfelelőségértékelő szervezetek irányítása (feladatok ellátásának vizsgálata) Az érdekelt felek bevonása (és Közgyűlés) Kölcsönös elismerés harmadik országokkal Szabványosított végrehajtási jogi aktus kidolgozása (konzultációk tárgyát képező részletes kérelmek és mintarendelkezések kidolgozása) A rendszer karbantartása, jogi felülvizsgálat, bizottsági eljárásrend Koordináció a Kiberbiztonsági Együttműködési Csoporttal és a szervezeti rendszerek karbantartása A NIS 2 irányelv szerinti végrehajtási jogi aktusok A megfelelőségértékelő szervezetek összehangolása a kiberbiztonsági jogszabállyal, a megfelelőség vélelmezése + szabványosítás ̈ A piacfelügyelet és a nemzeti kiberbiztonsági tanúsító hatóság közötti koordináció A kiberrezilienciáról szóló rendelet és a tanúsítási rendszerek technikai összehangolása Operatív koordináció és helyzetismeret (5): Az ágazattal és a fenyegetést jelentő szereplőkkel kapcsolatos szaktudás a kritikus infrastruktúrát fenyegető veszélyekkel kapcsolatos uniós szintű helyzetismerethez való hozzájárulás érdekében, többek között a kialakulóban lévő technológiákat is figyelembe véve Koordináció az ENISA-val és más uniós szervezetekkel és hálózatokkal a jelentős és nagyszabású kiberbiztonsági incidensekre való felkészülés érdekében

Külső munkatársak

Mint fent

Az ENISA által elvégzendő további feladatok leírása:

Tisztviselők és ideiglenes alkalmazottak

Az uniós kiberbiztonsági tartalék kezelése (országigazgatók és a végrehajtás támogatása, míg a tartalék tényleges működési költségeinek fedezése a kiberbiztonsági szolidaritásról szóló jogszabálynak megfelelően történik) (10) Az egységes jelentéstételi platformnak a kiberrezilienciáról szóló rendelet szerinti irányítása (üzemeltetés) (9) Az egységes jelentéstételi platformhoz kapcsolódó sérülékenységi szolgáltatások (4) Az egységes jelentéstételi platform kiterjesztése az egyablakos ügyintézési pontra (fejlesztés és üzemeltetés) (8) Technikai útmutatás, termékbiztonsági szakértelem és piacelemzés kidolgozása a kiberrezilienciáról szóló rendelet végrehajtásának támogatása érdekében (7) Szabványosítás a kiberrezilienciáról szóló rendelet végrehajtásának támogatása érdekében/Tanúsítás/NIS 2 (4) A kiberrezilienciáról szóló rendelet szerinti piacfelügyeleti tevékenységek támogatása (4) A termékek megfelelőségi vizsgálatának és biztonsági értékelésének támogatása (4) A tagállamok támogatása a kölcsönös segítségnyújtásban (3) Sérülékenységmenedzsment-szolgáltatások nyújtása, az európai sérülékenység-adatbázis karbantartása, valamint tanácsadási és adatdúsítási funkciók ellátása (sérülékenységek koordinált feltárása, CVD) (15) Operatív együttműködés és helyzetismeret – a mérséklést szolgáló és támogató platformok, például CNW/CyCLONe; a riasztásokkal kapcsolatos feladatok támogatása; az egyéb érintett szervezetekkel való fokozott koordináció támogatása a kiberfenyegetésekkel kapcsolatos valós idejű, ellenőrzött és megbízható felderítési információk adattárainak létrehozása érdekében (második kiberbiztonsági jogszabály, 11. cikk, (1a) bekezdés) (5) A kritikus ágazatok rezilienciájának támogatása (beleértve az egészségügyi kiberbiztonsági cselekvési terv végrehajtását) (4) Készségtanúsítási program kidolgozása (2) Készségtanúsítási rendszer karbantartása és felügyelete (6) Adminisztráció (a díjak könyvelője/HR/IT) (8) A tanúsítási rendszerek karbantartása (11) Horizontális feladatok – az érdekelt felek fokozott bevonása, műszaki előírások kidolgozása és a rendszereket támogató szabványosítási tevékenységekben való részvétel (1)

Külső munkatársak

Mint fent Tagállamonként két kötelező kirendelt nemzeti szakértő, akik az Ügynökség tevékenységeit támogatják és nemzeti kapcsolattartó tisztviselőként járnak el, az operatív együttműködésre és a sérülékenységek összehangolt feltárására összpontosítva. (13) A többi 27 kirendelt nemzeti szakértőhöz a javaslat szerint nem kapcsolódnak költségek, tehát ennek nincsenek költségvetési vonzatai.

Évi működési többletköltségek az ENISA számára (2028–2034):

Költség	Költségvetés	Menetrend	Magyarázat
A kiberbiztonsági készségek honlapja	750 000 EUR	50 % 2029-ben 50 % 2030-ban	Az eljárások átláthatóságának biztosítása érdekében a javaslat előírja az ENISA számára, hogy tartson fenn egy honlapot, amely tartalmazza az európai kiberbiztonsági készségkeret szerinti profilokat, a tanúsítási rendszereket, az egyes rendszerek díjaira vonatkozó információkat, az egyes tanúsítványok ajánlott díjait és a felhatalmazott tanúsítványszolgáltatók jegyzékét.
A sérülékenységek koordinált feltárása (CVD):	1 millió EUR	2028-tól	A kritikus infrastruktúránkban használt termékek és szolgáltatások biztonsága nagymértékben függ a feltárt sérülékenységekre és azok mérséklésének módjára vonatkozó információk kellő időben történő megosztásától.
Kiberfenyegetésekkel kapcsolatos felderítés	3 millió EUR	2028-tól	Az ENISA és a Bizottság együttműködése a helyzetismeret kialakítása érdekében.
Egyablakos ügyintézési pont	8 millió EUR	A 2028. évben összege 6 millió EUR A 2029. évben összege 500 ezer EUR A 2030. évben összege 500 ezer EUR A 2031. évben összege 500 ezer EUR A 2032. évben összege 500 ezer EUR	Egyablakos ügyintézési pont kialakítása és fenntartása a kiberbiztonsági incidensek és az adatvédelmi incidensek bejelentésére vonatkozó kötelezettségeknek való megfelelés egyszerűsítése érdekében (melyet a Bizottság digitális omnibusz javaslata ír elő)
A kiberrezilienciáról szóló rendelet szerinti egységes jelentéstételi platform karbantartása és egyebek	3 millió EUR	2028-tól	A társjogalkotók által bevezetett egységes jelentéstételi platform az ENISA története során kifejlesztett legnagyobb informatikai rendszer, és a kiberrezilienciáról szóló jogszabály kulcsfontosságú pillére. Finanszírozása jelenleg hozzájárulási megállapodás keretében történik, de napi irányításához teljes munkaidős egyenértékekre (lásd fent), valamint működési költségekre lesz szükség. Az ENISA kulcsszerepet játszik az uniós termékbiztonsági keret, a kiberrezilienciáról szóló jogszabály sikerének biztosításában.
Az ENISA biztonságos kommunikációja és kiberbiztonsági érettsége	2 millió EUR +	1,1 millió EUR összegű beruházás 2028-ban (CyCLONe/CSIRT-platformok + biztonságos kommunikáció) 2029-től évente 1 millió EUR karbantartás Évente 1,5 millió EUR, kiberbiztonsági érettség	Az Ügynökség kiberbiztonságának és a kommunikációs eszközöknek a biztosítása.
Kiberbiztonsági tanúsítási rendszer	1 400 000 millió EUR	2028 600 ezer 2029 1 000 000 2030 1 200 000 2031 1 400 000 2032 1 400 000 2033 1 400 000 2034 1 400 000	Díjakból fedezve (2032-től teljes mértékben)
Kiberbiztonsági tanúsítási rendszerek	212 920 EUR	2030-tól 50 %-ban az uniós költségvetésből fedezve	2033-tól teljes mértékben a díjakból fedezve

3.2.5.A digitális technológiával kapcsolatos beruházásokra gyakorolt becsült hatás áttekintése

Kötelező: a javaslat/kezdeményezés által érintett, digitális technológiával kapcsolatos beruházásokra vonatkozó legjobb becslést fel kell tüntetni az alábbi táblázatban.

Kivételes esetben a 4. fejezethez tartozó előirányzatokat – amennyiben azokra a javaslat/kezdeményezés végrehajtásához szükség van –, a kijelölt sorban kell feltüntetni.

Az 1–3. fejezethez tartozó előirányzatokat „operatív programokkal kapcsolatos szakpolitikai informatikai kiadások”-ként kell feltüntetni. Ez a kiadás a kezdeményezés végrehajtásához közvetlenül kapcsolódó informatikai platformok/eszközök újrafelhasználására/vásárlására/fejlesztésére és az azokhoz kapcsolódó beruházásokra (pl. engedélyek, tanulmányok, adattárolás stb.) felhasználandó operatív költségvetést takarja. Az e táblázatban megadott információknak összhangban kell lenniük a 4. szakaszban („Digitális vetületek”) bemutatott részletes információkkal.

Digitális és informatikai előirányzatok ÖSSZESEN	Év	Év	Év	Év	Év	Év	Év	A 2028–2034-es többéves pénzügyi keretből ÖSSZESEN
	2028	2029	2030	2031	2032	2033	2034
4. FEJEZET
Informatikai kiadások (szervezeti)	0	0	0	0	0	0	0	0
4. FEJEZETI részösszeg	0	0	0	0	0	0	0	0
4. FEJEZETEN kívül
Operatív programokkal kapcsolatos szakpolitikai informatikai kiadások	0	0	0	0	0	0	0	0
4. FEJEZETEN kívüli részösszeg	0	0	0	0	0	0	0	0
ÖSSZESEN	0	0	0	0	0	0	0	0

3.2.6.A jelenlegi többéves pénzügyi kerettel való összeegyeztethetőség 

A javaslat/kezdeményezés

–    teljes mértékben finanszírozható a többéves pénzügyi keret érintett fejezetén belüli átcsoportosítás révén.

–    a többéves pénzügyi keret lekötetlen mozgásterének és/vagy a többéves pénzügyi keretről szóló rendeletben meghatározott különleges eszközöknek a felhasználását teszi szükségessé.

–    a többéves pénzügyi keret módosítását teszi szükségessé.

3.2.7.Harmadik felek finanszírozási hozzájárulása 

A javaslat/kezdeményezés

–    nem irányoz elő harmadik felek általi társfinanszírozást.

–    előirányoz harmadik felek általi társfinanszírozást az alábbi becslések szerint:

előirányzatok, millió EUR (három tizedesjegyig)

	2028. év	2029. év	2030. év	2031. év	Összesen
Tüntesse fel a társfinanszírozó szervet
Társfinanszírozott előirányzatok ÖSSZESEN

3.2.8Becsült humánerőforrás- és előirányzat-szükséglet decentralizált ügynökségnél

További személyzeti szükségletek (teljes munkaidős egyenértékben)

Ügynökség: ENISA	2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év
Ideiglenes alkalmazottak (AD besorolási fokozat)	5	11	17	19	19	19	19
Ideiglenes alkalmazottak (AST besorolási fokozat)	4	7	11	12	12	12	12
Ideiglenes alkalmazottak (AD+AST besorolású összesen)	9	18	28	31	31	31	31
Szerződéses alkalmazottak	22	44	66	74	74	74	74
Kirendelt nemzeti szakértők	4	8	11	13	13	13	13
Szerződéses alkalmazottak és kirendelt nemzeti szakértők összesen	26	52	77	87	87	87	87
ÖSSZES alkalmazott	35	70	105	118	118	118	118

Uniós költségvetési hozzájárulásból biztosított előirányzatok (adott esetben), millió EUR (három tizedesjegyig)

Ügynökség: ENISA	2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év	2028–2034 ÖSSZESEN
1. cím: Személyzeti kiadások	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
2. cím: Infrastrukturális és működési kiadások
3. cím: Operatív kiadások	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
Az uniós költségvetésből biztosított előirányzatok ÖSSZESEN	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Díjakból biztosított előirányzatok (adott esetben), millió EUR (három tizedesjegyig)

Ügynökség: ENISA	2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év	2028–2034 ÖSSZESEN
1. cím: Személyzeti kiadások		0,510	1,043	1,539	4,604	5,176	5,650	18,522
2. cím: Infrastrukturális és működési kiadások								0,000
3. cím: Operatív kiadások								0,000
Díjakból biztosított előirányzatok ÖSSZESEN	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

A javaslattal/kezdeményezéssel összefüggésben egy decentralizált ügynökségnél jelentkező humánerőforrás- és előirányzat-szükségletek áttekintése/összefoglalása (millió EUR-ban)

Ügynökség: ENISA	2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év	2028–2034 ÖSSZESEN
Ideiglenes alkalmazottak (AD+AST)	9	18	28	31	31	31	31	31
Szerződéses alkalmazottak	22	44	66	74	74	74	74	74
Kirendelt nemzeti szakértők	4	8	11	13	13	13	13	13
ÖSSZES alkalmazott	35	70	105	118	118	118	118	118
Az uniós költségvetésből biztosított előirányzatok	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Díjakból biztosított előirányzatok (adott esetben)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Társfinanszírozott előirányzatok (adott esetben)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
A[z] <…> Főigazgatósághoz tartozó	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Becsült bevételi hatás 

–    A javaslatnak/kezdeményezésnek nincs pénzügyi hatása a bevételre.

–    A javaslatnak/kezdeményezésnek van pénzügyi hatása:

–    a saját forrásokra

–    az egyéb bevételekre

–    adja meg, hogy a bevétel kiadási sorokhoz van-e rendelve

millió EUR (három tizedesjegyig)

Bevételi költségvetési sor:	Az aktuális költségvetési évben rendelkezésre álló előirányzatok	A javaslat/kezdeményezés hatása 105
		2028. év	2029. év	2030. év	2031. év	2032. év	2033. év	2034. év
… jogcímcsoport

A címzett bevételek esetében tüntesse fel az érintett kiadáshoz tartozó költségvetési sor(oka)t.

Egyéb megjegyzések (pl. a bevételi hatás számítására használt módszer/képlet vagy egyéb más információ).

4. Digitális vetületek

4.1.Digitális vonatkozású követelmények

A digitális vonatkozású követelmények és a kapcsolódó kategóriák (adatok, folyamatok digitalizálása és automatizálása, digitális megoldások és/vagy digitális közszolgáltatások) összefoglaló leírása

Hivatkozás a követelményre  A követelmény leírása  A követelmény által érintett szereplők  A fő folyamatok  Kategóriák  5. cikk, (1) bekezdés, a) pont Az uniós jog végrehajtásának támogatása a)    segítségnyújtás a tagállamoknak a kiberbiztonsággal kapcsolatos uniós szakpolitikák és jogszabályok következetes végrehajtásában, többek között technikai útmutatások és jelentések kiadásával, tanácsadással és a bevált gyakorlatok megosztásával, valamint az e tekintetben bevált gyakorlatok illetékes hatóságok közötti cseréjének elősegítésével  – ENISA – Tagállamok  – adatkezelés technikai útmutatás, jelentések kiadása, tanácsadás és a bevált gyakorlatok megosztása céljából, valamint a bevált gyakorlatok illetékes hatóságok közötti cseréjének megkönnyítése révén – a bevált gyakorlatok megosztásának elősegítése  Adatkezelés  Adatáramlás 5. cikk, (1) bekezdés, b) pont Az uniós jog végrehajtásának támogatása b)    az ágazaton belüli és az ágazatok közötti információmegosztás támogatása, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok és az (EU) 2024/2847 rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékek tekintetében, a rendelkezésre álló eszközökre és eljárásokra vonatkozó bevált gyakorlatok és útmutatás biztosításával  – ENISA – az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok – az (EU) 2024/2847 rendelet által érintett érdekelt felek bevált gyakorlatok és útmutatás nyújtása az információmegosztáshoz rendelkezésre álló eszközökkel és eljárásokkal kapcsolatban  Adatkezelés  Adatáramlás 5. cikk, (1) bekezdés, c) pont Az uniós jog végrehajtásának támogatása c)    a Bizottság kérésére az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokra szabott támogatás, például technikai útmutatás – többek között a kiberbiztonsági kockázatkezelési intézkedések, a kiberbiztonsági érettség értékelésére szolgáló eszközök és az incidensekre való reagálásra vonatkozó operatív protokoll tekintetében – biztosításával segíti a tagállamokat annak érdekében, megkönnyítendő kiberbiztonsági érettségi szintjük javítását és a kiberbiztonságra vonatkozó uniós jognak való megfelelést – Európai Bizottság   – ENISA – az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok Technikai útmutatás nyújtása  Adatkezelés  Adatáramlás 5. cikk, (1) bekezdés, e) pont e) segítségnyújtás a tagállamok és a releváns az uniós szervek számára olyan kiberbiztonsági szakpolitikák kidolgozásához és előmozdításához, amelyek a nyílt internet nyilvános alkotóelemei általános elérhetőségének vagy sértetlenségének fenntartásához kapcsolódnak   ENISA Tagállamok Uniós szervezetek  Segítségnyújtás a kiberbiztonsági szakpolitikák kidolgozásában és előmozdításában  Adatkezelés Adatáramlás 5. cikk, (1) bekezdés, f) pont Az uniós jog végrehajtásának támogatása f)    az (EU) 2024/2847 rendelettel összhangban technikai tanács és támogatás nyújtása az említett rendelet végrehajtásával és végrehajtatásával kapcsolatos kérdésekben – ENISA – az (EU) 2024/2847 rendelet által érintett érdekelt felek A technikai tanácsadáshoz és támogatáshoz a szabályozási követelményekkel, a végrehajtási kihívásokkal és a megfelelési útmutatással kapcsolatos információk kezelésére és megosztására van szükség Adatkezelés  Adatáramlás 5. cikk, (1) bekezdés, h) pont h) az Európai Adatvédelmi Testület kérésére tanácsadás az adatvédelemmel és a magánélet tiszteletben tartásával kapcsolatos uniós szakpolitika és jog egyes kiberbiztonsági vonatkozásainak végrehajtásával kapcsolatban ENISA Európai Adatvédelmi Testület   Kérésre történő tanácsadás Adatkezelés  Adatáramlás 5. cikk, (2) bekezdés Hozzájárulás az uniós szintű kiberbiztonsági kockázatértékelésekhez   Az ENISA hozzájárul az összehangolt uniós szintű kiberbiztonsági kockázatértékelésekhez, beleértve az (EU) 2022/2555 irányelv 22. cikke alapján végzett értékeléseket is   ENISA Tagállamok  Széles nyilvánosság  Hozzájárulás az összehangolt kockázatértékelésekhez, amelyek adatkezelést és adatáramlást igényelnek Adatkezelés Adatáramlás  5. cikk, (3) bekezdés Az ENISA iránymutatásokat ad ki Az ENISA iránymutatásokat ad ki az információmegosztásra használt hálózati és információs rendszerek interoperabilitására vonatkozóan, többek között az (EU) 2025/38 rendelet 6. cikkének (3) bekezdésében említett, határokon átnyúló kiberközpontok tekintetében ENISA Tagállamok Az ENISA iránymutatásokat ad ki Adatkezelés  Adatáramlás 5. cikk, (5) bekezdés A Bizottság támogatása A Bizottság kérésére az ENISA szakértelmet, technikai tanácsadást, tájékoztatást vagy elemzést nyújt, vagy előkészítő munkát végez konkrét kiberbiztonsági kérdésekben annak érdekében, hogy információkkal szolgáljon a Bizottság szakpolitikai döntéshozatalához és az uniós jogszabályok végrehajtásának nyomon követéséhez Európai Bizottság ENISA Információk előkészítése és megküldése a Bizottság részére Adatkezelés  Adatáramlás 6. cikk Kapacitásépítés Az ENISA a tudás és szakértelem, bevált gyakorlatok stb. biztosításával nyújt segítséget ENISA Tagállamok Uniós szervezetek A köz- és a magánszféra érdekelt felei Piacfelügyeleti hatóságok Az európai kiberbiztonsági tanúsítási csoport tagjai Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközpont Tudás és szakértelem biztosítása  Adatkezelés  Adatáramlás 7. cikk Figyelemfelkeltés és tehetségbázis Az ENISA megvalósítható eszközök és útmutatás kidolgozásával segíti a tagállamokat a kiberbiztonsággal kapcsolatos uniós szakpolitikák és jogszabályok megismertetésére, valamint láthatóságuk előmozdítására irányuló erőfeszítéseikben. Az ENISA támogatja az európai kiberbiztonsági tehetségbázis növelését célzó kezdeményezéseket, különösen a versenyvizsgák koordinálása révén ENISA Tagállamok Használható eszközök és útmutatás kidolgozása Adatkezelés 8. cikk, (1) bekezdés: Piaci ismeretek és piacelemzések Az ENISA elemzéseket végez és terjeszt a kiberbiztonsági piac fő piaci tendenciáiról mind a keresleti, mind a kínálati oldalon, különösen azokon a területeken, ahol európai kiberbiztonsági tanúsítási rendszerek léteznek vagy a tervek szerint létezni fognak, az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok, valamint az (EU) 2024/2847 rendeletben, és annak III. és IV. mellékletében felsorolt termékkategóriák tekintetében ENISA Az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatok Az (EU) 2024/2847 rendelet hatálya alá tartozó termékkategóriák Elemzések készítése és terjesztése Adatkezelés  Adatáramlás 8. cikk, (2) bekezdés: Piaci ismeretek és piacelemzések Az ENISA elemzéseket végez és terjeszt a technológiai kiberbiztonsági tendenciákról, különösen az (EU) 2022/2555 irányelv hatálya alá tartozó tevékenységekkel és szervezetekkel, valamint az (EU) 2024/2847 rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékekkel kapcsolatban ENISA Széles nyilvánosság, az (EU) 2022/2555 irányelv és az (EU) 2024/2847 rendelet értelmében vett érdekelt felek Elemzések készítése és terjesztése Adatkezelés Adatáramlás 8. cikk, (3) bekezdés: Piaci ismeretek és az ökoszisztémák támogatása Az ENISA fejleszti a tudást, valamint technikai tanácsokkal és elemzésekkel szolgál a legkorszerűbb kiberbiztonsági eszközökkel, keretszabványokkal és bevált gyakorlatokkal kapcsolatban ENISA Széles nyilvánosság Technikai tanácsokkal és elemzésekkel szolgál a legkorszerűbb kiberbiztonsági eszközökkel, keretszabványokkal és bevált gyakorlatokkal kapcsolatban Adatkezelés Adatáramlás 9. cikk Nemzetközi együttműködés   Az ENISA hozzájárulása abban áll, hogy elemzi a nemzetközi gyakorlatok eredményeit, és jelentést tesz azokról az igazgatótanácsnak, elősegíti a bevált gyakorlatok cseréjét, valamint szakértelmet és tanácsadást biztosít a Bizottság számára Nemzetközi közönség  ENISA Az ENISA igazgatótanácsa Európai Bizottság Elemzés és jelentéstétel; tanácsadás stb.   Adatkezelés Adatáramlás   10. cikk, (2) és (3) bekezdés Operatív együttműködés (2)    Az ENISA tagja az (EU) 2022/2555 irányelv 15. cikkének (1) bekezdése alapján létrehozott nemzeti CSIRT-hálózatnak, és az (EU) 2022/2555 irányelv 15. cikkének (2) bekezdése alapján biztosítja a CSIRT-hálózat titkárságát. (3)    Az ENISA az (EU) 2022/2555 irányelv 16. cikke (2) bekezdésének második albekezdése alapján biztosítja az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatának (EU-CyCLONe) titkárságát  ENISA  CSIRT-ek (az (EU) 2022/2555 irányelv 15. cikkének (1) bekezdése)  EU-CyCLONe (az (EU) 2022/2555 irányelv 16. cikkének (2) bekezdése)  Az információcsere megkönnyítése, a hálózatok titkársági feladatainak ellátása Adatáramlás Digitális megoldás Digitális közszolgáltatás    11. cikk, (1) bekezdés, b) pont Helyzetismeret    12. cikk Korai riasztások  korai riasztások kiadása a 12. cikkel összhangban   Európai Bizottság ENISA Europol EU-CyCLONe CSIRT-hálózat  CERT-EU Az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt szervezetek Korai riasztások kiadása Adatkezelés Adatáramlás  Digitális közszolgáltatás 10. cikk, (4) bekezdés, b) pont Operatív együttműködés b)    egy vagy több tagállam kérésére tanácsadás és értékelések nyújtása egy konkrét potenciális vagy folyamatban lévő incidenssel vagy kiberfenyegetéssel kapcsolatban, többek között szakértelem biztosítása és az említett incidensek műszaki kezelésének megkönnyítése, valamint a releváns információk és műszaki megoldások tagállamok közötti önkéntes megosztásának támogatása révén ENISA Tagállamok Tanácsadás és értékelések nyújtása egy konkrét potenciális vagy folyamatban lévő incidenssel vagy kiberfenyegetéssel kapcsolatban. Az említett incidensek műszaki kezelésének megkönnyítése; A releváns információk és műszaki megoldások tagállamok közötti önkéntes megosztásának támogatása Adatkezelés Adatáramlás Digitális közszolgáltatások 10. cikk, (4) bekezdés, c) pont Operatív együttműködés c)    a sérülékenységek, fenyegetések és incidensek elemzése ENISA Tagállamok Adatgyűjtés nyilvános forrásokból, adatcsere a tagállamokkal  Adatkezelés Adatáramlás 10. cikk, (4) bekezdés, d) pont Operatív együttműködés d) egy vagy több tagállam kérésére támogatás nyújtása az (EU) 2022/2555 irányelv értelmében vett jelentős incidens utólagos műszaki vizsgálatához ENISA Tagállamok Elemzés és támogatás az incidensekkel kapcsolatos technikai vizsgálatokra adott válaszként Adatkezelés Adatáramlás 10. cikk, (4) bekezdés, e) pont Operatív együttműködés e)    hozzájárulás a nagyszabású kiberbiztonsági incidensek és válsághelyzetek operatív szintű összehangolt kezelésének támogatásához, különösen azáltal, hogy segíti az EU-CyCLONe-t a szakpolitikai szintű jelentések elkészítésében, valamint megkönnyíti a CSIRT-hálózat és az EU-CyCLONe közötti időben történő információmegosztást  ENISA EU-CyCLONe CSIRT-hálózat  A jelentések elkészítését támogató adatok elemzése; a hálózatok közötti időben történő információmegosztás elősegítése Adatkezelés Adatáramlás  Digitális közszolgáltatás  10. cikk, (5) bekezdés  Operatív együttműködés Valamely tagállam vagy uniós szervezet kérésére az ENISA a CERT-EU-val együttműködve támogatja az incidenssel vagy a kiberfenyegetéssel kapcsolatos következetes nyilvános kommunikációt ENISA Tagállamok Megkeresések fogadása és kommunikáció, szükség szerint Adatáramlás 10. cikk, (6) bekezdés Operatív együttműködés Az ENISA támogatja a tagállamok közötti és – a CERT-EU-n keresztül – az uniós szervezetek közötti együttműködést a biztonságos kommunikációs eszközök telepítése tekintetében. Az ENISA a CSIRT-hálózaton és az EU-CyCLONe-on belül olyan biztonságos kommunikációs eszközöket használ, amelyeket nem valamely harmadik országban letelepedett, vagy valamely harmadik ország ellenőrzése alatt álló, vagy valamely harmadik ország állampolgárának ellenőrzése alatt álló jogalanyok biztosítanak     ENISA Európai Bizottság Tagállamok Uniós szervezetek CSIRT-hálózat EU-CyCLONe A biztonságos kommunikációs eszközök telepítésének támogatása és ezen eszközök használata a CSIRT-hálózaton és az EU-CyCLONe-on belül  Digitális megoldás  Digitális közszolgáltatás  11. cikk, (1) bekezdés, a) pont Közös kiberbiztonsági helyzetismeret  a)    az EU-CyCLONe-nal, a CSIRT-hálózattal, a Bizottsággal, a CERT-EU-val, az Europollal és más releváns uniós szervezetekkel együttműködve kidolgozza a kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információkat – beleértve az incidensek, a taktikák, a technikák és az eljárások terén megmutatkozó tendenciákat – tartalmazó adattárakat  Európai Bizottság ENISA EU-CyCLONe CSIRT-hálózat Europol Uniós szervezetek CERT-EU Adattárak kidolgozása  Digitális áramlás Digitális megoldás  Digitális közszolgáltatás 11. cikk, (1) bekezdés, c)–g) pont  Közös kiberbiztonsági helyzetismeret Eseti elemzések készítése megfelelő időben (egyes esetekben kérésre); elemzés készítése és technikai tanács nyújtása; műszaki helyzetjelentés készítése más szervezetekkel együttműködésben; a tendenciák nyomon követése és megosztása ENISA Tagállamok Európai Bizottság Uniós szervezetek EU-CyCLONe CSIRT-hálózat Adatelemzés, információmegosztás és jelentések készítése (bizonyos esetekben kérésre) Adatkezelés Adatáramlás  11. cikk, (2) bekezdés, a) pont Közös kiberbiztonsági helyzetismeret Az ENISA elemzi a kiberfenyegetéseket, az incidenseket, a tendenciákat, a kialakulóban lévő technológiákat és azok hatásait, beleértve az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokra és az (EU) 2024/2847 rendelet hatálya alá tartozó releváns termékkategóriákra kiterjedő rendszeres elemzést is ENISA Széles nyilvánosság Adatok elemzése a kiberbiztonságra hatást gyakorló információk szolgáltatása érdekében; rendszeres jelentéstétel Adatkezelés Adatáramlás 11. cikk, (2) bekezdés, b) pont Közös kiberbiztonsági helyzetismeret Az ENISA a Bizottsággal és adott esetben a CSIRT-hálózattal együttműködve tanácsot, útmutatást és bevált gyakorlatokat ad ki a hálózati és információs rendszerek biztonsága, különösen az (EU) 2022/2555 irányelv I. és II. mellékletében felsorolt ágazatokat támogató infrastruktúrák biztonsága tekintetében   Európai Bizottság CERT-EU CSIRT-hálózat Széles nyilvánosság Tanácsadás, útmutatás és bevált gyakorlatok kiadása Adatkezelés Adatáramlás 11. cikk, (2) bekezdés, c) pont Közös kiberbiztonsági helyzetismeret Az ENISA elvégzi a kiberbiztonsági fenyegetések és incidensek hosszú távú stratégiai elemzését a kialakulóban lévő tendenciák azonosítása és az incidensek megelőzésének elősegítése érdekében ENISA  Széles nyilvánosság Adatelemzés és a felmerülő fenyegetések azonosítása  Adatkezelés   11. cikk, (3) bekezdés Közös kiberbiztonsági helyzetismeret Az ENISA a (2) bekezdésben említett elemzéseket, tanácsokat, útmutatást, bevált gyakorlatokat és jelentéseket a (2) bekezdésben említett hozzájáruló szervezetekkel egyetértésben nyilvánosságra hozhatja ENISA Széles nyilvánosság Az információk nyilvánosan hozzáférhetővé tétele Adatáramlás Digitális közszolgáltatás  13. cikk, (2) bekezdés Támogatás az incidensekre való reagálásban  2.    A Bizottság vagy az EU-CyCLONe kérésére az ENISA a CSIRT-hálózat támogatásával és az érintett tagállam jóváhagyásával az (EU) 2025/38 rendelet 21. cikkével összhangban felülvizsgálja és értékeli a jelentős kiberbiztonsági incidenseket vagy a nagyszabású kiberbiztonsági incidenseket Európai Bizottság ENISA EU-CyCLONe CSIRT-hálózat Tagállamok A jelentős kiberbiztonsági incidensek felülvizsgálata és értékelése Adatkezelés  14. cikk, (2) bekezdés Kiberbiztonsági uniós szintű gyakorlatok (2)    Az ENISA adattárat tart fenn az (1) bekezdésben említett gyakorlatokból levont tanulságokról, és ajánlást tesz a tagállamoknak és adott esetben az uniós szervezeteknek arra vonatkozóan, hogy a levont tanulságokat hogyan lehet eredményesen és hatékonyan alkalmazni ENISA Tagállamok Uniós szervezetek Adattár fenntartása Adatkezelés  Digitális megoldás Digitális közszolgáltatás  14. cikk Kiberbiztonsági uniós szintű gyakorlatok   Az EU-CyCLONe-tól, a Bizottságtól, a tagállamoktól vagy a CERT-EU-tól érkező megkeresésre az ENISA kiberbiztonsági gyakorlatokat szervez, vagy hozzájárul azok megszervezéséhez. Az ENISA támogatja a Bizottságot az uniós szintű kiberbiztonsági gyakorlatok éves gördülő programjának összeállításában ENISA Bizottság Tagállamok Uniós szervezetek  CERT-EU Gyakorlatok szervezésére vagy szervezésük támogatására irányuló megkeresések fogadása  Adatáramlás Adatkezelés 15. cikk Eszközök és platformok biztosítása    (1)    Az ENISA létrehozza, biztosítja, működteti, karbantartja és szükség esetén frissíti az uniós szintű kiberbiztonsággal kapcsolatos operatív technikai eszközöket (többek között platformokat), különösen az (EU) 2024/2847 rendelet 16. cikkének (1) bekezdése alapján létrehozott, az incidensek bejelentésére szolgáló egységes jelentéstételi platformot [és az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési pontot], valamint a vonatkozó uniós jogszabályokkal összhangban a megfelelőségértékelési eljárások végrehajtását támogató tesztelési eszközöket. (2)    Adott esetben az (1) bekezdés alkalmazásában az ENISA együttműködik és információt cserél a CSIRT-hálózattal és adott esetben a piacfelügyeleti hatóságokkal     ENISA CSIRT-hálózat Széles nyilvánosság Piacfelügyeleti hatóságok   Az ENISA operatív technikai eszközöket, például platformokat hoz létre, biztosít, működtet, tart karban és – szükség esetén – frissít Digitális megoldás Digitális közszolgáltatás Adatáramlás 16. cikk, (2) bekezdés Sérülékenységmenedzsment-szolgáltatások  a)    az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján európai sérülékenység-adatbázis fenntartása; b)    sérülékenységmenedzsment-szolgáltatások nyújtása az érdekelt felek számára, az európai sérülékenység-adatbázisra építve és az ENISA rendelkezésére álló releváns információk felhasználásával; c)    adott esetben strukturált együttműködés kialakítása az európai sérülékenység-adatbázishoz hasonló programokat, nyilvántartásokat vagy adatbázisokat biztosító szervezetekkel; d)    az (EU) 2022/2555 irányelv 12. cikkének (1) bekezdése alapján koordinátorként kijelölt CSIRT-ek aktív támogatása az olyan sérülékenységek összehangolt közzétételének kezelése tekintetében, amelyek egynél több tagállamban gyakorolhatnak jelentős hatást a szervezetekre; e) a sérülékenységek azonosítására és összehangolt közzétételére szolgáló módszerek és irányítási mechanizmusok kidolgozása és fenntartása az illetékes nemzeti hatóságokkal, a CSIRT-ekkel, az iparral és a kutatói közösséggel együttműködésben ENISA Nemzeti CSIRT-ek CSIRT-hálózat Illetékes nemzeti hatóságok Ipar Kutatói közösség Széles nyilvánosság Programokat, nyilvántartásokat vagy adatbázisokat biztosító nemzetközi szereplők Sérülékenységmenedzsment-szolgáltatások nyújtása; adott esetben strukturált együttműködés kialakítása; együttműködés az érdekelt felekkel  Digitális megoldás  Digitális közszolgáltatás  Adatáramlás   17. cikk Kiberbiztonsági tanúsítás   18. cikk Szabványosítás, műszaki előírások és útmutatás 17. cikk (1) bekezdés a) az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekre irányuló javaslatok (a továbbiakban: javasolt tanúsítási rendszerek), valamint kapcsolódó műszaki előírások kidolgozása a 74. cikkel összhangban; b) az elfogadott európai kiberbiztonsági tanúsítási rendszerek karbantartása a 75. cikkel összhangban, többek között az elfogadott európai kiberbiztonsági tanúsítási rendszerek 76. cikk szerinti esetleges felülvizsgálata céljából; c) a 79. cikkel összhangban az elfogadott rendszerek elterjedésének előmozdítása és egy külön erre a célra szolgáló honlap fenntartása, amely tájékoztatást nyújt az európai kiberbiztonsági tanúsítási rendszerekről, az európai kiberbiztonsági tanúsítványokról és az uniós megfelelőségi nyilatkozatokról, és népszerűsíti azokat; 17. cikk (2) bekezdés e) az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekben (a továbbiakban: javasolt tanúsítási rendszerek) hivatkozott mintarendelkezések kidolgozása a 81. cikk (5) bekezdésével összhangban.   18. cikk (1) Az ENISA műszaki előírásokat és útmutatást dolgoz ki a kiberbiztonság területére vonatkozó uniós jogszabályok végrehajtásának támogatása érdekében. (2) Az ENISA nyomon követi az uniós szintű és – a 9. cikkel összhangban – a nemzetközi szintű szabványosítási fejleményeket, továbbá részt vesz és vezető szerepet tölt be azokban. (3) Az ENISA támogatja a kriptográfiai algoritmusok fejlesztését és értékelését. Amennyiben egy értékelt kriptográfiai algoritmust pozitívan értékelnek, az ENISA az 1025/2012/EU rendelettel összhangban együttműködik az európai szabványügyi testületekkel a szabványosítás támogatása érdekében. (4) Az ENISA technikai szakértelmet biztosít a Bizottság és az európai kiberbiztonsági tanúsítási csoport számára a kiberbiztonsággal kapcsolatos uniós szakpolitikákat, különösen az (EU) 2024/2847 rendeletet támogató megfelelő szabványokkal vagy műszaki előírásokkal kapcsolatban, többek között a kiberbiztonság területére vonatkozó uniós harmonizációs jogszabályok és a 81. cikk (1) bekezdésének d) pontja szerinti európai kiberbiztonsági tanúsítási rendszerek tekintetében.  (5) Az ENISA a kiberbiztonság területére vonatkozó uniós harmonizációs jogszabályok végrehajtásának támogatása érdekében segíti a Bizottságot a harmonizáltszabvány-tervezetek értékelésében ENISA Széles nyilvánosság Adatelemzés és adatáramlás-csere a Bizottsággal és más érdekelt felekkel; javasolt tanúsítási rendszer előkészítése; az ENISA honlapjának karbantartása Adatkezelés Adatáramlások Digitális közszolgáltatás 19. cikk – Az európai kiberbiztonsági tanúsítási keretrendszer               Az ENISA kidolgoz és nyilvánosan hozzáférhetővé tesz egy európai kiberbiztonsági készségkeretet. Az európai kiberbiztonsági készségkeret (4) bekezdés szerinti nyilvános hozzáférhetővé tétele vagy aktualizálása előtt az ENISA konzultál a Bizottsággal. Az európai kiberbiztonsági készségkeret használata az állami szervek és magánszervezetek számára önkéntes. Az ENISA konzultálhat az érdekelt felekkel az európai kiberbiztonsági készségkeret fejlesztése és elterjesztése során ENISA Bizottság Széles nyilvánosság Tagállamok  Uniós szervezetek A köz- és a magánszféra érdekelt felei   Az európai kiberbiztonsági készségkeret karbantartása; konzultáció az érdekelt felekkel; az európai kiberbiztonsági készségkeret elterjesztése   Adatkezelés  Adatáramlás Digitális megoldás   20–23. cikk: Európai egyedi kiberbiztonsági készségtanúsítási rendszerek Az ENISA európai egyedi kiberbiztonsági készségtanúsítási rendszereket dolgoz ki, vezet be és tart karban. Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek használata a nemzeti közjogi szervek és magánszervezetek számára önkéntes, kivéve, ha a nemzeti jog másként rendelkezik. Valamely európai egyedi kiberbiztonsági készségtanúsítási rendszer kezdeményezése előtt az ENISA konzultál a Bizottsággal. Az ENISA csak a Bizottság kedvező véleményét követően vezethet be ilyen rendszert. Az európai egyedi kiberbiztonsági készségtanúsítási rendszer kidolgozása során az ENISA konzultálhat a releváns érdekelt felekkel. Az ENISA szoros együttműködést biztosít a tagállamokkal az európai egyedi kiberbiztonsági készségtanúsítási rendszerek előkészítésének teljes folyamata során. A felhatalmazott tanúsítványszolgáltatók értékelik, hogy az egyének megfelelnek-e az európai egyedi kiberbiztonsági készségtanúsítási rendszerek követelményeinek, és amennyiben ezek a követelmények teljesülnek, kibocsátják a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat. Az ENISA útmutatást nyújt az értékelőknek, és kötelező képzést tart számukra a 20. cikk (3) bekezdésének b) pontjában említett, az európai egyedi kiberbiztonsági készségtanúsítási rendszerben foglalt követelményekről és értékelési módszerekről. Azoknak a szervezeteknek, amelyek felhatalmazott tanúsítványszolgáltatóvá kívánnak válni, vagy meg kívánják újítani engedélyüket (a továbbiakban: kérelmezők), kérelmet kell benyújtaniuk az ENISA-hoz. A felhatalmazott tanúsítványszolgáltatók gondoskodnak arról, hogy az egyén kérésére a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok elektronikus attribútumtanúsítványként, a 910/2014/EU rendeletben meghatározott európai digitális személyiadat-tárcákban tárolható formátumban kerüljenek kibocsátásra. A kérelmezőknek és a felhatalmazott tanúsítványszolgáltatóknak lehetővé kell tenniük az ENISA számára, hogy a kezdeti kérelmezési folyamat, illetve az engedély fenntartása vagy megújítása részeként értékeléseket végezzen, és minden releváns információt meg kell osztaniuk annak biztosítása érdekében, hogy a (3) és (4) bekezdésben meghatározott követelmények vagy az (5) bekezdésben meghatározott kötelezettségek a 22. cikk (2) bekezdésével összhangban teljesüljenek vagy továbbra is teljesüljenek. A felhatalmazott tanúsítványszolgáltatók haladéktalanul tájékoztatják az ENISA-t, ha a (3) bekezdésben felsorolt követelmények bármelyike már nem teljesül, vagy ha kétség merül fel azzal kapcsolatban, hogy az említett követelmények vagy kötelezettségek teljesülnek-e, beleértve az értékelők függetlenségét is. A kérelmezők a kérelmük értékeléséért díjat kötelesek fizetni az ENISA részére. A felhatalmazott tanúsítványszolgáltatók engedélyeik fenntartásáért díjat kötelesek fizetni az ENISA részére.   Az ENISA értékeli, hogy a kérelmezők és a felhatalmazott tanúsítványszolgáltatók teljesítik-e vagy továbbra is teljesítik-e a 21. cikk (3) és (4) bekezdésében meghatározott követelményeket és a 21. cikk (5) bekezdésében meghatározott kötelezettségeket. A kérelemnek a 21. cikk (3) és (4) bekezdésében meghatározott követelmények alapján történő vizsgálatát követően az ENISA határozatot hozhat. Az ENISA módosíthatja, felfüggesztheti vagy visszavonhatja az ilyen határozatokat. Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást: a)az európai kiberbiztonsági készségkeret, beleértve aktualizálásának keretét és ütemtervét; b)az európai egyedi kiberbiztonsági készségtanúsítási rendszerek, azok előrehaladása és kidolgozásuk ütemterve; c)az egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerekhez kapcsolódó, az e rendelet 47. cikke alapján elfogadott díjak; d)a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány indikatív költsége a 20. cikk (4) bekezdésével összhangban; e)a felhatalmazott tanúsítványszolgáltatók jegyzéke. ENISA Bizottság  Széles nyilvánosság Tagállamok  Uniós szervezetek Állami és magán érdekelt felek (valamely tanúsítási rendszer kidolgozásához hozzájárulva; kérelmezők és a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat nyújtó szolgáltatók, beleértve az értékelőket is)    Rendszerek kidolgozása és karbantartása; konzultációk az érdekelt felekkel; a kérelmek feldolgozása; határozatok kibocsátása; honlap karbantartása  Adatkezelés  Adatáramlás Digitális megoldás Digitális közszolgáltatás 25. cikk  Az igazgatótanács összetétele Az ENISA igazgatótanácsa tagjainak kinevezése  ENISA Európai Bizottság Tagállamok Tagok kinevezése Adatáramlás Adatkezelés 28. cikk, (1) bekezdés  Az igazgatótanács feladatköre   30. cikk Felügyelőtestület b.elfogadja az ENISA 44. cikkben említett egységes programozási dokumentumának tervezetét, mielőtt a dokumentumot benyújtanák a Bizottsághoz véleményezésre; f) értékeli és elfogadja az ENISA tevékenységéről szóló összevont éves jelentést, amely tartalmazza az elszámolást és azt, hogy az ENISA hogyan teljesítette teljesítménymutatóit, a következő év július 1-jéig megküldi az éves jelentést és annak értékelését az Európai Parlament, a Tanács, a Bizottság és a Számvevőszék részére; közzéteszi az éves jelentést; i. biztosítja a belső és külső ellenőrzési jelentésekből és értékelésekből, valamint az Európai Csalás Elleni Hivatal (OLAF) és az Európai Ügyészség (EPPO) vizsgálataiból származó megállapítások és ajánlások megfelelő nyomon követését; ENISA Európai Bizottság  Európai Parlament Az Európai Unió Tanácsa Számvevőszék Tagállamok  Széles nyilvánosság Az egységes programozási dokumentum véleményezésre történő benyújtása a Bizottsághoz; az ENISA tevékenységéről szóló összevont éves jelentés értékelése és elfogadása, amely tartalmazza az elszámolást és annak ismertetését, hogy az ENISA hogyan teljesítette teljesítménymutatóit; megküldi az éves jelentést és annak értékelését;  az észrevételek nyomon követése  Adatáramlás Adatkezelés   31. cikk, (8) bekezdés Kinevezés, felmentés, illetve a hivatali idő meghosszabbítása   Az igazgatótanács tájékoztatja az Európai Parlamentet arról, hogy az ügyvezető igazgató hivatali idejét a (6) bekezdéssel összhangban meg kívánja hosszabbítani. Az ezen meghosszabbítás előtti három hónapon belül az ügyvezető igazgató – amennyiben meghívást kap – nyilatkozatot tesz az Európai Parlament illetékes bizottsága előtt, és válaszol a képviselők kérdéseire. ENISA  Az ENISA igazgatótanácsa  Európai Parlament  Az igazgatótanács tájékoztatja az Európai Parlamentet Adatáramlás 32. cikk, (3) bekezdés Az ügyvezető igazgató feladatai és felelősségi köre     32. cikk, (5) bekezdés 3. Az ügyvezető igazgató felkérésre jelentést tesz az Európai Parlamentnek feladatai ellátásáról. A Tanács is felkérheti az ügyvezető igazgatót, hogy számoljon be feladatai teljesítéséről. A költségvetésiterv-javaslatok, stratégiák és stratégiai dokumentumok elkészítése Az ENISA ügyvezető igazgatója Európai Parlament  A teljesítményre vonatkozó jelentéstétel  Adatáramlás Adatkezelés 35. cikk, (5) és (6) bekezdés Az ENISA tanácsadó csoportja  5. Az ENISA tanácsadó csoportja – e rendelet III., IV. és V. címe rendelkezéseinek alkalmazása kivételével – tanácsadással segíti az ENISA-t feladatainak ellátásában. Az ENISA tanácsadó csoportja különösen az ENISA munkaprogramjára vonatkozó javaslat elkészítéséhez és a releváns érdekelt felekkel a munkaprogramot érintő kérdésekről folytatandó párbeszéd biztosításához ad tanácsot az ügyvezető igazgatónak. 6.    Az ENISA tanácsadó csoportja rendszeresen tájékoztatja tevékenységeiről az igazgatótanácsot  ENISA Az ENISA tanácsadó csoportjának tagjai  Az ENISA igazgatótanácsa  Az ENISA ügyvezető igazgatója Tájékoztatást nyújtása az ENISA tevékenységeiről  Adatkezelés Adatáramlás 36–43. cikk  Fellebbezési tanács  Az ENISA az igazgatótanács határozatával fellebbezési tanácsot hoz létre. A fellebbezési tanács az elnökből és három másik tagból áll. A fellebbezési tanács minden egyes tagja rendelkezik egy póttaggal. A póttag a tagot képviseli annak távollétében. Az elnököt, a többi tagot és a póttagokat az igazgatótanács nevezi ki az alkalmas jelölteknek a Bizottság által összeállított listájáról. Az alkalmas jelölteket tartalmazó lista négy évig érvényes. E lista érvényességét az igazgatótanács a Bizottság javaslata alapján további négyéves időszakokra meghosszabbíthatja. A fellebbezési tanács felkérheti az igazgatótanácsot további két tag és póttagjaik kijelölésére a (3) bekezdésben említett jegyzékből, amennyiben úgy véli, hogy a fellebbezés jellege ezt megkívánja. A fellebbezési tanács elfogadja és közzéteszi eljárási szabályzatát.  Amennyiben az (1) bekezdésben felsorolt okok egyike vagy bármely más ok miatt egy fellebbezési tanács tagja nem kíván részt venni valamely fellebbezési eljárásban, a fellebbezési tanácsot ennek megfelelően tájékoztatja.  A fellebbezési tanácsnak az érintett tag részvétele nélkül kell határoznia arról, hogy hogyan jár el a (2) és a (3) bekezdésben felsorolt esetekben. A szóban forgó határozat meghozatala céljából a fellebbezési tanács az érintett tag helyett annak póttagja részvételével ülésezik. Az (1) bekezdés alapján benyújtott fellebbezést a 41. cikkel összhangban közbenső felülvizsgálatnak kell alávetni, mielőtt vizsgálat céljából a fellebbezési tanács elé terjesztenék. A 21. cikk (3) bekezdése szerinti kérelmezők fellebbezhetnek a következők ellen: az ENISA által nekik címzett, a 22. cikk (3) bekezdése szerinti határozat, az ENISA mulasztása az általuk az ENISA részére benyújtott kérelem tekintetében 22. cikk (4) bekezdésében meghatározott alkalmazandó határidőkön belül. Az (1) bekezdés a) pontjában említett esetben a fellebbezést annak indokolásával együtt írásban kell benyújtani a 36. cikk (5) bekezdésében említett eljárási szabályzatnak megfelelően, az érintett kérelmezőnek a határozatról való értesítését követő két hónapon belül, vagy ennek hiányában attól a naptól számított két hónapon belül, amikor a kérelmező a határozatról tudomást szerzett. Az (1) bekezdés b) pontjában említett esetben a fellebbezést a 36. cikk (5) bekezdésében említett eljárási szabályzatnak megfelelően írásban kell benyújtani az ENISA-hoz a 22. cikk (4) bekezdésében meghatározott határidő lejártának napjától számított két hónapon belül. Ha az ENISA úgy ítéli meg, hogy a fellebbezés elfogadható és megalapozott, akkor megváltoztatja a 40. cikk (1) bekezdésében említett határozatot, illetve meghozza az elmulasztott intézkedést.  Ha az ENISA a fellebbezés kézhezvételét követő egy hónapon belül nem változtatja meg a határozatot, akkor haladéktalanul döntenie kell arról, hogy felfüggeszti-e annak alkalmazását, és a fellebbezést a fellebbezési tanács elé kell utalnia.  A fellebbezési tanács a fellebbezés benyújtásától számított három hónapon belül határoz arról, hogy vagy eleget tesz a fellebbezési kérelemben foglaltaknak, vagy elutasítja a fellebbezést. A fellebbezés vizsgálata során a fellebbezési tanács az eljárási szabályzatában megállapított határidőkön belül jár el. Amilyen gyakran szükséges, fel kell szólítania a fellebbezési eljárás feleit arra, hogy a meghatározott határidőkön belül nyújtsák be észrevételeiket a fellebbezési tanács által küldött értesítéseivel vagy a fellebbezési eljárás egyéb feleinek közléseivel kapcsolatban. A fellebbezési eljárásban a felek jogosultak álláspontjukat szóban előadni.  Amennyiben a fellebbezési tanács azt állapítja meg, hogy a fellebbezés megalapozott, az ügyet az ENISA elé utalja. Az ENISA végleges határozatát a fellebbezési tanács megállapításaival összhangban hozza meg, és azt indokolja. Az ENISA ennek megfelelően tájékoztatja a fellebbezési eljárásban részt vevő feleket. Az ENISA 22. cikk (3) bekezdése alapján elfogadott határozatainak megsemmisítése iránti kereseteket, illetve a 22. cikk (4) bekezdése szerinti alkalmazandó határidőn belüli fellépés elmulasztása miatti kereseteket az ENISA-n belüli, a 39–42. cikkben meghatározott fellebbezési eljárás kimerítését követően, vagy a 41. cikk (2) bekezdése szerinti alkalmazandó határidőn belüli fellépés elmulasztása esetén lehet benyújtani az Európai Unió Bíróságához. Az ENISA-nak minden szükséges intézkedést meg kell hoznia az Európai Unió Bírósága ítéletének való megfelelés érdekében  ENISA Az ENISA igazgatótanácsa  Bizottság Fellebbezési tanács a második kiberbiztonsági jogszabályra irányuló javaslat 36. cikke értelmében Kérelmezők (olyan jogi személyek, amelyek felhatalmazott tanúsítványszolgáltatókká kívánnak válni, vagy fenn kívánják tartani vagy meg kívánják újítani engedélyüket) Fellebbezés tárgyában hozott határozatok kibocsátása  A fellebbezések elbírálása Az eljárási szabályzat elkészítése és közzététele Információáramlások Adatkezelés  Adatáramlás  Digitális közszolgáltatás  44. cikk Egységes programozási dokumentum (2) Az ügyvezető igazgató – az (EU) 2019/715 felhatalmazáson alapuló bizottsági rendelet 32. cikkével összhangban és a Bizottság által meghatározott iránymutatások figyelembevételével – minden évben elkészíti az (1) bekezdésben említett egységes programozási dokumentum tervezetét, amely a megfelelő pénzügyi és humánerőforrás-tervezésre is kiterjed. (3) Az igazgatótanács minden év november 30-ig elfogadja az (1) bekezdésben említett egységes programozási dokumentumot, figyelembe véve a Bizottságnak az (EU) 2019/715 felhatalmazáson alapuló rendelet 32. cikkének (7) bekezdésében említett véleményét. Ha az igazgatótanács úgy dönt, hogy nem veszi figyelembe a Bizottság véleményében szereplő valamely elemet, akkor ezt alaposan meg kell indokolnia. Az igazgatótanács az egységes programozási dokumentumot a következő év január 31-ig továbbítja az Európai Parlamentnek, a Tanácsnak és a Bizottságnak, valamint továbbítja az említett dokumentum később aktualizált változatait is.   Az ENISA ügyvezető igazgatója Az ENISA igazgatótanácsa Európai Bizottság Európai Parlament Tanács Egységes programozási dokumentum kidolgozása, elfogadása és továbbítása minden évben Adatáramlás 45. cikk Az ENISA költségvetésének megállapítása (4)    A Bizottság az előirányzat-tervezetet az Unió általános költségvetésének tervezetével együtt megküldi a költségvetési hatóságnak. Az előirányzat-tervezetet az ENISA számára is elérhetővé kell tenni. ENISA Európai Bizottság Információ-megosztás Adatáramlás 47. cikk Díjak  Az európai egyedi kiberbiztonsági tanúsítási rendszerekhez kapcsolódó, a 22. cikk (1) bekezdésében említett minden egyes tevékenységével kapcsolatban a következő díjakat kell felszámítani a 21. cikk (3) bekezdése értelmében vett kérelmezők vagy felhatalmazott tanúsítványszolgáltatók felé az ENISA által végzett tevékenységek teljes költségének fedezéséhez való hozzájárulás céljából: a.engedélyek kiadása a 21. cikk (3) és (4) bekezdésében meghatározott követelmények vizsgálatát követően, beleértve az értékelések elvégzését is; b.az engedély évenkénti fenntartása; c.a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok szolgáltatói számára az engedélyek megújítása, beleértve az értékelések elvégzését is. A tanúsítással kapcsolatban a következő díjakat kell felszámítani a megfelelőségértékelő szervezetek felé azoknak az európai kiberbiztonsági tanúsítási rendszereknek a karbantartásáért, amelyek alapján az európai kiberbiztonsági tanúsítványokat kiállítják, különös tekintettel a következőkre: az európai kiberbiztonsági tanúsítási rendszerben való részvételért fizetendő éves díj; az európai kiberbiztonsági tanúsítványoknak az európai kiberbiztonsági tanúsítási rendszerek keretében történő kiállításáért fizetendő díj. A b) pontban említett díjakat akkor kell felszámítani, amikor a megfelelőségértékelő szervezet a 79. cikkel összhangban európai kiberbiztonsági tanúsítványokat nyújt be az ENISA-nak a honlapján való közzététel céljából. A Bizottság végrehajtási jogi aktusokat fogad el, amelyekben részletes szabályokat állapít meg az ENISA által felszámított díjakra vonatkozóan.  Az ENISA az elszámolások bemutatására vonatkozó eljárás részeként jelentést készít a felszámított díjakról és azoknak a költségvetésére gyakorolt hatásáról Bizottság ENISA Tanúsítványszolgáltatók Megfelelőségértékelő szervezetek Feldolgozással kapcsolatos információk; díjfizetés; jelentéstétel a díjakról Adatkezelés  Adatáramlás   48. cikk 49. cikk Költségvetési vonzatok   48. cikk (3)    Az ügyvezető igazgató évente megküldi a költségvetési hatóságnak az értékelési eljárás eredménye szempontjából releváns összes információt. 49. cikk (1)    Az ENISA számvitelért felelős tisztviselője a pénzügyi évre (a továbbiakban: n. év) vonatkozó előzetes beszámolót a következő pénzügyi év (a továbbiakban: n+1. év) március 1-jéig megküldi a Bizottság számvitelért felelős tisztviselőjének és a Számvevőszéknek. (2)    A Hatóság számvitelért felelős tisztviselője továbbá megküldi a Bizottság számvitelért felelős tisztviselőjének – az utóbbi által meghatározott módon és formátumban – a konszolidációhoz szükséges számviteli információkat az n+1. év március 1-jéig. (3)    Az ENISA az n. évre vonatkozó, a költségvetés végrehajtásáról és a pénzgazdálkodásról szóló jelentést az n+1. év március 31-ig megküldi az Európai Parlamentnek, a Tanácsnak, a Bizottságnak és a Számvevőszéknek. (4)    A Számvevőszék által az ENISA n. évre vonatkozó előzetes beszámolójára vonatkozóan tett észrevételek kézhezvételét követően az ügynökség számvitelért felelős tisztviselője elkészíti az ENISA adott évre vonatkozó végleges beszámolóját. (5) Az igazgatótanács véleményezi az ENISA n. évre szóló végleges beszámolóját. Az Ügynökség számvitelért felelős tisztviselője saját felelőssége mellett elkészíti az ENISA végleges beszámolóját. Az ügyvezető igazgató ezt véleményezésre benyújtja az igazgatótanácsnak.  ENISA Az ENISA igazgatótanácsa Európai Bizottság Tanács Európai Parlament Az ENISA költségvetésével kapcsolatos információk feldolgozása és megosztása Adatkezelés  Adatáramlás   52. cikk Érdekeltségi nyilatkozat   A felek kötelezettségvállalási nyilatkozat tesznek, továbbá nyilatkoznak arról, hogy van-e olyan közvetlen vagy közvetett érdekük, amelyről feltehető, hogy függetlenségüket befolyásolhatja Az ENISA vezetősége (ügyvezető igazgató, ügyvezetőigazgató-helyettes);  Igazgatótanács  Kirendelt nemzeti szakértők Az érdekeltségi nyilatkozat adatainak feldolgozása és megosztása  Adatkezelés Adatáramlás 58. cikk Kapcsolattartó tisztviselők  (1) Minden tagállam kijelöl legalább két kapcsolattartó tisztviselőt [illetékes nemzeti kiberbiztonsági hatóságától], akik az ENISA-hoz kirendelt nemzeti szakértőként, az 59. cikk (2) bekezdésével összhangban az ENISA székhelyén vagy helyi irodájában dolgoznak. A Bizottság is kijelölhet kapcsolattartó tisztviselőt. (2) A tagállamaik által kijelölt nemzeti kapcsolattartó tisztviselők jogosultak arra, hogy tagállamaiktól az e rendeletben előírtaknak megfelelően minden releváns információt megkérhessenek és megkaphassanak, maradéktalanul tiszteletben tartva tagállamaik nemzeti jogát vagy gyakorlatát, különösen ami az adatvédelmet és a titoktartási szabályokat illeti ENISA Tagállamok  A kapcsolattartó tisztviselők kijelölése és az információk megosztása  Adatkezelés  Adatáramlás  67. cikk Minősített adatok kezelése   A Bizottsággal folytatott konzultációt követően az ENISA a Bizottságnak az (EU, Euratom) 2015/443 és az (EU, Euratom) 2015/444 határozatban meghatározott, a nem minősített érzékeny adatok és az EU-minősített adatok védelmére vonatkozó biztonsági elveit alkalmazó biztonsági szabályokat fogad el. Az ENISA biztonsági szabályai az ilyen adatok cseréjére, kezelésére és tárolására vonatkozó rendelkezéseket foglalnak magukban  ENISA Igazgatótanács  Bizottság  Minősített adatok kezelése Adatkezelés Adatáramlás 68., 69., 70. cikk Együttműködés az uniós szervezetekkel és a nemzeti hatóságokkal Együttműködés az érdekelt felekkel Együttműködés harmadik országokkal  Az ENISA együttműködik és információt cserél az érintett uniós szervezetekkel, piacfelügyeleti és felügyeleti hatóságokkal a kiberbiztonsággal kapcsolatos kérdésekben; az érintett érdekelt felekkel; harmadik országok illetékes hatóságaival vagy nemzetközi szervezetekkel    ENISA Europol  Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközpont Európai Adatvédelmi Testület Széles nyilvánosság Tanács Információ-megosztás Adatáramlás 72. cikk: Nyilvános tájékoztatás és konzultáció az európai kiberbiztonsági tanúsítási rendszerekről (2)    A Bizottság külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, amely tájékoztatást nyújt a következő szempontokról: a)    olyan európai kiberbiztonsági tanúsítási rendszerek, amelyeknek kidolgozását kérelmezték; b)    az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy az uniós jogszabályok biztonsági követelményei harmonizációjának stratégiai prioritásai, beleértve azokat a lehetséges területeket is, amelyekre európai kiberbiztonsági tanúsítási rendszer kérhető. (3)    A Bizottság az e cikk (2) bekezdésében említett honlapon nyilvánosan hozzáférhetővé teszi az ENISA-hoz intézett, valamely javasolt tanúsítási rendszer kidolgozására irányuló, a 73. cikkben említett kérésére, valamint az ENISA által a 74. cikk (7) bekezdésével összhangban továbbított javasolt tanúsítási rendszer elfogadására, elutasítására vagy megszüntetésére vonatkozó döntésére vonatkozó információkat Európai Bizottság  Széles nyilvánosság ENISA   Információs honlap karbantartása Ez felhatalmazza a Bizottságot arra, hogy egy nyilvánosan elérhető honlapon tájékoztatást nyújtson, és folyamatosan biztosítsa a kapcsolódó adatkezelési tevékenységeket Digitális közszolgáltatás  Digitális megoldás  72. cikk: Nyilvános tájékoztatás és konzultáció az európai kiberbiztonsági tanúsítási rendszerekről   A javasolt tanúsítási rendszer ENISA általi, 74. cikk szerinti kidolgozása során az Európai Parlament, a Tanács felkérheti a Bizottságot – mint az európai kiberbiztonsági tanúsítási csoport elnökét – és az ENISA-t, hogy negyedévente nyújtson be releváns információkat a javasolt tanúsítási rendszer tervezetéről. Az Európai Parlament vagy a Tanács kérésére az ENISA – a Bizottsággal egyetértésben és az 54. cikk sérelme nélkül – az előírt titoktartási szintnek megfelelő és adott esetben korlátozott módon az Európai Parlament és a Tanács rendelkezésére bocsáthatja a javasolt tanúsítási rendszer tervezetének vonatkozó részeit. Az Európai Parlament, a Tanács felkérheti a Bizottságot és az ENISA-t, hogy vitassák meg az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerek végrehajtásával kapcsolatos kérdéseket ENISA Az Európai Unió Tanácsa Európai Parlament Információk kérése és küldése az ENISA által kidolgozott javasolt tanúsítási rendszerre vonatkozó tervezetről Adatáramlások 73. cikk Európai kiberbiztonsági tanúsítási rendszer létrehozása iránti kérelem  74. cikk Európai kiberbiztonsági tanúsítási rendszerek kidolgozása és elfogadása (a 17. cikk hatálya alá tartozik)  73. cikk (1) A Bizottság felkérheti az ENISA-t, hogy dolgozzon ki európai kiberbiztonsági tanúsítási rendszerre irányuló javaslatot az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozóan. Kellően indokolt esetekben az európai kiberbiztonsági tanúsítási csoport javasolhatja a Bizottságnak, hogy terjesszen elő az (1) bekezdésben említett kérést. (4) Az (1) bekezdésben említett kérés elkészítésekor a Bizottság megfelelően konzultál az ENISA-val és az európai kiberbiztonsági tanúsítási csoporttal, valamint figyelembe veszi az összes érintett érdekelt fél és más uniós szervezet véleményét, beleértve adott esetben azokat is, amelyek azon uniós jogszabályok értelmében relevánsak, melyek vonatkozásában az európai kiberbiztonsági tanúsítási rendszer biztosítja a megfelelés vélelmét. 74. cikk (3) A javasolt tanúsítási rendszer kidolgozása során az ENISA szorosan együttműködik az európai kiberbiztonsági tanúsítási csoporttal. Az európai kiberbiztonsági tanúsítási csoport segítséget és szakértői tanácsadást biztosít az ENISA számára a javasolt tanúsítási rendszer kidolgozása és adott esetben az alátámasztó műszaki előírások kapcsán. Az ENISA felkéri az európai kiberbiztonsági tanúsítási csoport tagjait, hogy nyújtsanak be írásbeli véleményt a javasolt tanúsítási rendszerről.  (4) Az ENISA-nak hivatalos, nyílt, átlátható és inkluzív konzultációs folyamat keretében kellő időben konzultálnia kell az érdekelt felekkel.  Az ENISA együttműködik a tagállamok érintett hatóságaival és az érintett uniós szervezetekkel is annak érdekében, hogy szakértői tanácsot kérjen a javasolt tanúsítási rendszer és adott esetben az alátámasztó műszaki leírás elkészítésével kapcsolatban. (6) Az ENISA az (5) bekezdésben említett megkeresés időpontjától számított 60 napon belül továbbítja a Bizottságnak a javasolt tanúsítási rendszert. (7) A javasolt tanúsítási rendszer kézhezvételekor a Bizottság értékeli, hogy a rendszer megfelel-e a 73. cikkel összhangban benyújtott kérésnek.  (8)    Amennyiben a Bizottság a javasolt tanúsítási rendszert a (7) bekezdés b) pontjával összhangban felülvizsgálat céljából visszaküldi az ENISA-nak, e cikk (4), (5) és (7) bekezdése megfelelően alkalmazandó   Európai Bizottság  ENISA Európai kiberbiztonsági tanúsítási csoport Szakértő érdekelt felek A megkeresés és a tanúsítási rendszer kidolgozása; az érdekelt felekkel folytatott kapcsolódó konzultáció Adatkezelés  Adatáramlások Digitális közszolgáltatás  (a 17. cikk hatálya alá tartozik) 75. cikk Európai kiberbiztonsági tanúsítási rendszer karbantartása (2) Az ENISA a Bizottsággal együttműködve, valamint az európai kiberbiztonsági tanúsítási csoport és annak karbantartási alcsoportja támogatásával biztosítja az európai kiberbiztonsági tanúsítási rendszerek karbantartását, többek között az ilyen rendszerek Bizottság általi esetleges felülvizsgálatára tekintettel. Az ENISA a karbantartási tevékenységekkel kapcsolatban együttműködik és információt cserél az érintett uniós szervezetekkel és csoportokkal.  (5) Az európai kiberbiztonsági tanúsítási csoport véleményt adhat ki az európai kiberbiztonsági tanúsítási rendszerek karbantartásáról Európai Bizottság  ENISA Európai kiberbiztonsági tanúsítási csoport Megfelelőségértékelő szervezetek   Az ENISA biztosítja a karbantartást. Ez rendszeres hibrid vagy online találkozókat, információgyűjtést, elemzést és megosztást foglal magában (valamely európai kiberbiztonsági tanúsítási rendszerrel kapcsolatban) Adatkezelés Adatáramlás 76. cikk Valamely európai kiberbiztonsági tanúsítási rendszer értékelése, felülvizsgálata és visszavonása  (1) Az ENISA az európai kiberbiztonsági tanúsítási rendszer alkalmazásának megkezdését követően legalább négyévente – az európai kiberbiztonsági tanúsítási csoport karbantartási alcsoportjával együttműködve és az érdekelt felektől kapott visszajelzések figyelembevételével – értékeli a rendszer hatását és eredményességét. Az ENISA az értékelést a 8. cikk (1) bekezdésével összhangban a szükséges piacelemzés elvégzésével végzi el. (3) Az európai kiberbiztonsági tanúsítási rendszerek felülvizsgálata vagy visszavonása során a Bizottság konzultál az ENISA-val, az európai kiberbiztonsági tanúsítási csoporttal és annak releváns karbantartási alcsoportjával, valamint figyelembe veszi a releváns érdekelt felek és más uniós szervezetek véleményét.  (4) Az európai kiberbiztonsági tanúsítási csoport véleményt adhat ki az európai kiberbiztonsági tanúsítási rendszer felülvizsgálatáról vagy visszavonásáról. A Bizottság ezt a véleményt kellően figyelembe veszi az európai kiberbiztonsági tanúsítási rendszer felülvizsgálatakor vagy visszavonásakor    Európai Bizottság  ENISA Európai kiberbiztonsági tanúsítási csoport A Bizottság a releváns érdekelt felekkel konzultálva felülvizsgálja a rendszereket Adatkezelés Adatáramlás 77. cikk  Az európai kiberbiztonsági tanúsítási rendszerek műszaki előírásai (3)    Amennyiben a 74. cikk (10) bekezdésében említett európai kiberbiztonsági tanúsítási rendszer műszaki előírásokra hivatkozik, azokat a 79. cikkben említett honlapon elérhetővé kell tenni. (4) Kellően indokolt esetekben, különösen ha a műszaki előírások olyan információkat tartalmaznak, amelyek veszélyeztethetik a tanúsított IKT-termékeknek, IKT-szolgáltatásoknak, IKT-folyamatoknak vagy irányított biztonsági szolgáltatásoknak, vagy szervezetek tanúsított kiberbiztonsági helyzetének biztonságát, az említett műszaki előírások csak a rendszer követelményei által érintett érdekelt felekkel oszthatók meg. A szóban forgó rendszerre nem lehet hivatkozni a 74. cikk (10) bekezdésében említett európai kiberbiztonsági tanúsítási rendszerben ENISA Tagállamok Megfelelőségértékelő szervezetek   Az információk elérhetővé tétele az ENISA tanúsítási honlapján Adatáramlás Digitális közszolgáltatás   79. cikk  Az európai kiberbiztonsági tanúsítási rendszerek honlapja (1) Az ENISA tevékenységeket szervez az elfogadott európai kiberbiztonsági tanúsítási rendszerek elterjedésének előmozdítása érdekében, többek között az e cikk (2) bekezdésében említett honlap fenntartásával. (2) Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást: a)    európai kiberbiztonsági tanúsítási rendszerek; b)    az egyes európai kiberbiztonsági tanúsítási rendszerek karbantartásával kapcsolatos díjak; c) az ENISA vonatkozó műszaki előírásai; d)    európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok, beleértve az olyan tanúsítványokra és nyilatkozatokra vonatkozó információkat is, amelyek már nem érvényesek, vagy amelyeket felfüggesztettek vagy visszavontak, vagy amelyek lejártak; e)    a 84. cikk (2) bekezdésével összhangban nyújtott releváns kiegészítő kiberbiztonsági információk; f)    a kölcsönös felülvizsgálatoknak a 89. cikk (7) bekezdése szerinti összefoglalása; g)    a valamely európai kiberbiztonsági tanúsítási rendszerben a 74. cikk (10) bekezdése szerint hivatkozott műszaki előírás. (3) A (2) bekezdésben említett honlapon adott esetben fel kell tüntetni azokat a nemzeti kiberbiztonsági tanúsítási rendszereket is, amelyeket egy európai kiberbiztonsági tanúsítási rendszer váltott fel  ENISA Tagállamok Megfelelőségértékelő szervezetek Az információs honlap fenntartása: az ENISA arra kap megbízást, hogy gyűjtse és dolgozza fel a tanúsítással kapcsolatos információkat, illetve tartsa karban azok átfogó adatbázisait; ez folyamatos adatkezelési tevékenységeket tesz szükségessé Digitális közszolgáltatás Digitális megoldás Adatkezelés Adatáramlás   81. cikk Az európai kiberbiztonsági tanúsítási rendszerek elemei (5) A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben közös elveket és mintarendelkezéseket állapít meg az (1), (2) és (3) bekezdésben meghatározott elemekre vonatkozóan, valamennyi európai kiberbiztonsági tanúsítási rendszerre nézve. Adott esetben és amennyiben rendelkezésre áll, az európai kiberbiztonsági tanúsítási rendszer hivatkozásokat tartalmazhat ezekre az elvekre és mintarendelkezésekre. Az (5) bekezdésben említett végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni. Az európai kiberbiztonsági tanúsítási rendszerek elemeire vonatkozó közös elvek és mintarendelkezések kidolgozása vagy felülvizsgálata során a Bizottság konzultál az ENISA-val, és adott esetben figyelembe veszi az európai kiberbiztonsági tanúsítási csoport, a releváns érdekelt felek és más releváns szervek által kifejtett véleményeket. ENISA Széles nyilvánosság A tagállami hatóságok  Konzultáció az adatáramlást és -kezelést igénylő érdekelt felekkel Adatáramlás Adatkezelés 83. cikk Megfelelőségi önértékelés (3) Az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások gyártója vagy szolgáltatója, vagy az a szervezet, amelynek kiberbiztonsági helyzete tanúsítás tárgyát képezi, a szóban forgó rendszerben meghatározott ideig a 89. cikk szerint kijelölt nemzeti kiberbiztonsági tanúsító hatóság rendelkezésére bocsátja az uniós megfelelőségi nyilatkozatot, a műszaki dokumentációt és az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy a kiberbiztonsági helyzet tanúsítási rendszernek való megfelelésével kapcsolatos összes egyéb releváns információt. Az uniós megfelelőségi nyilatkozat másolati példányát meg kell küldeni indokolatlan késedelem nélkül a nemzeti kiberbiztonsági tanúsító hatóságnak és az ENISA-nak. ENISA Széles nyilvánosság A tagállami hatóságok  Az információk rendelkezésre állása; adatmegosztás  A megosztott adatok kapcsán az ENISA-nak és a tagállami hatóságoknak adatkezelést kell végezniük Adatáramlás Adatkezelés 84. cikk Kiegészítő kiberbiztonsági információk a tanúsított IKT-termékekkel, IKT-szolgáltatásokkal és IKT-folyamatokkal kapcsolatban (1) Azoknak az IKT-termékeknek, IKT-szolgáltatásoknak vagy IKT-folyamatoknak a gyártója vagy szolgáltatója, amelyekre vonatkozóan uniós megfelelőségi nyilatkozatot vagy európai kiberbiztonsági tanúsítványt állítottak ki, nyilvánosan hozzáférhetővé teszi a következő kiegészítő kiberbiztonsági információkat  IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok gyártója vagy szolgáltatója Széles nyilvánosság Megfelelőségértékelő szervezetek Információk elektronikus formában történő nyilvános hozzáférhetővé tétele   Adatáramlás 85. cikk Európai kiberbiztonsági tanúsítványok kibocsátása (2) A 91. cikkben említett megfelelőségértékelő szervezetek a 74. cikk alapján elfogadott európai kiberbiztonsági tanúsítási rendszerben foglalt kritériumok alapján bocsájtják ki az európai kiberbiztonsági tanúsítványokat. (6) Az IKT-termékeiket, IKT-szolgáltatásaikat, IKT-folyamataikat vagy irányított biztonsági szolgáltatásaikat tanúsításnak alávető természetes vagy jogi személyek, illetve a kiberbiztonsági helyzetét tanúsítását kérelmező szervezetek kötelesek a 89. cikk szerint kijelölt nemzeti kiberbiztonsági tanúsító hatóság – amennyiben az európai kiberbiztonsági tanúsítványt e hatóság állította ki – vagy a 91. cikkben említett megfelelőségértékelő szervezet rendelkezésére bocsátani a tanúsítás lefolytatásához szükséges összes információt. (7) A megfelelőségértékelő szervezetek és adott esetben a nemzeti kiberbiztonsági tanúsító hatóságok a 94. cikkel összhangban, indokolatlan késedelem nélkül tájékoztatják az ENISA-t az európai kiberbiztonsági tanúsítványok és az uniós megfelelőségi nyilatkozatok státuszát érintő döntéseikről. (8) Az európai kiberbiztonsági tanúsítvány jogosultja tájékoztatja a (7) bekezdésben említett megfelelőségértékelő szervezetet és adott esetben nemzeti kiberbiztonsági tanúsító hatóságot a tanúsított IKT-termékkel, IKT-szolgáltatással, IKT-folyamattal vagy irányított biztonsági szolgáltatással, illetve a szervezet tanúsított kiberbiztonsági helyzetével kapcsolatban a későbbiekben észlelt minden olyan sérülékenységről vagy meg nem felelésről, amely valószínűsíthetően hatással van a tanúsítványnak való megfelelésre. Az említett szervezet indokolatlan késedelem nélkül továbbítja ezeket az információkat az érintett nemzeti kiberbiztonsági tanúsító hatóságnak, és a rendszer 81. cikk f) pontjában említett feltételeivel összhangban értékeli a tanúsítványra gyakorolt hatást ENISA Széles nyilvánosság A tagállami hatóságok Megfelelőségértékelő szervezetek A tanúsítási eljárások szempontjából releváns információk megosztása Adatáramlás Adatkezelés 86. cikk Nemzeti kiberbiztonsági tanúsítási rendszerek (4) A tagállamok az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó új nemzeti kiberbiztonsági tanúsítási rendszerek elfogadása előtt tájékoztatják a Bizottságot és az európai kiberbiztonsági tanúsítási csoportot. ENISA Tagállamok Európai Bizottság Információmegosztás Adatáramlás 88. cikk Nemzeti kiberbiztonsági tanúsító hatóságok  (2) Minden tagállam tájékoztatja a Bizottságot arról, hogy mely hatóságokat jelölt ki nemzeti kiberbiztonsági tanúsító hatóságként. Amennyiben egy tagállam több hatóságot jelöl ki, arról is tájékoztatja a Bizottságot, hogy az egyes hatóságokat milyen feladatokkal bízta meg. (6) A nemzeti kiberbiztonsági tanúsító hatóságok: c) az érintett piacfelügyeleti hatóságokkal együttműködve nyomon követik és érvényesítik az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok, irányított biztonsági szolgáltatások olyan gyártóira vagy szolgáltatóira, illetve a kiberbiztonsági helyzetüket tanúsításnak alávető olyan szervezetekre vonatkozó, az e rendeletben meghatározott kötelezettségeknek való megfelelést, amelyek az illetékességi területükön letelepedettek, és amelyek a vonatkozó európai kiberbiztonsági tanúsítási rendszerben megfelelőségi önértékelést végeznek; d)    a 91. cikk (3) bekezdésének sérelme nélkül, e rendelet alkalmazása céljából aktívan segítik és támogatják a nemzeti akkreditáló szerveket a megfelelőségértékelő szervezetek tevékenységeinek nyomon követésében és felügyeletében; e)    együttműködnek az Európai Bizottsággal a megfelelőségértékelő szervezet szakmai felkészültségének a 94. cikk szerinti vitatása esetén;  f)    nyomon követik és felügyelik a 85. cikk (3) bekezdésében említett közjogi szervek tevékenységeit; g)    adott esetben a 93. cikkel összhangban engedélyezik a megfelelőségértékelő szervezeteket, nyomon követik a megfelelőségértékelő szervezeteknek az európai kiberbiztonsági tanúsítási rendszerekben meghatározott, a 81. cikk (3) bekezdésének f) pontja szerinti egyedi vagy kiegészítő követelményeknek való megfeleléséhez kapcsolódó kötelezettségek teljesülését, illetve érvényesítik e kötelezettségeket, valamint – amennyiben a megfelelőségértékelő szervezetek nem felelnek meg e rendelet követelményeinek – korlátozzák, felfüggesztik vagy visszavonják az érvényes engedélyeket; h)    kezelik a természetes vagy jogi személyeknek a nemzeti kiberbiztonsági tanúsító hatóságok által kiadott európai kiberbiztonsági tanúsítványokkal vagy a [85. cikk (4) bekezdésével] összhangban a megfelelőségértékelő szervezetek által kiadott európai kiberbiztonsági tanúsítványokkal, vagy a 83. cikk alapján kiadott uniós megfelelőségi nyilatkozatokkal kapcsolatban benyújtott panaszait, valamint megfelelő mértékben kivizsgálják az ilyen panasz tárgyát, továbbá észszerű időn belül tájékoztatják a panaszost a vizsgálat előrehaladásáról és eredményéről; i)    minden év [a hatálybalépés éve + 12 hónap] március 31-ig éves jelentést nyújtanak be fő tevékenységeikről a Bizottságnak, az ENISA-nak és az európai kiberbiztonsági tanúsítási csoportnak, és ezeket a jelentéseket a kölcsönös felülvizsgálatot végző csoport rendelkezésére bocsátják, amennyiben a nemzeti kiberbiztonsági tanúsító hatóság a 89. cikkel összhangban kölcsönös felülvizsgálat tárgyát képezi; j)    együttműködnek más nemzeti kiberbiztonsági tanúsító hatóságokkal, piacfelügyeleti hatóságokkal és más hatóságokkal, többek között azáltal, hogy megosztják az azzal kapcsolatos információkat, hogy bizonyos IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások, vagy szervezetek kiberbiztonsági helyzete valószínűleg nem felelnek meg e rendelet vagy egyes európai kiberbiztonsági tanúsítási rendszerek követelményeinek; k)    figyelemmel kísérik a kiberbiztonsági tanúsítás terén zajló releváns fejleményeket.    (8) A nemzeti kiberbiztonsági tanúsító hatóságoknak együtt kell működniük egymással és a Bizottsággal, különösen az IKT-termékeknek, az IKT-szolgáltatásoknak, az IKT-folyamatoknak, az irányított biztonsági szolgáltatásoknak és a szervezetek kiberbiztonsági helyzetének kiberbiztonságára vonatkozó kiberbiztonsági tanúsítással és műszaki kérdésekkel kapcsolatos információk, tapasztalatok és bevált gyakorlatok cseréje révén.  (9)    Az ENISA [hatálybalépés + 6 hónap]-ig a Bizottsággal és az európai kiberbiztonsági tanúsítási csoporttal együttműködve kidolgozza az e cikk (6) bekezdésének i) pontjában említett jelentés sablonját ENISA A tagállami hatóságok Európai Bizottság Széles nyilvánosság Megfelelőségértékelő szervezetek A tagállamok a kijelölt nemzeti kiberbiztonsági tanúsító hatóságról tájékoztatják a Bizottságot. A tagállami hatóságok különböző olyan nyomonkövetési, felügyeleti és együttműködési feladatokat látnak el, amelyek adatáramlást és adatkezelést tesznek szükségessé Adatáramlás Adatkezelés 89. cikk Kölcsönös felülvizsgálat (5) Az ENISA a Bizottsággal és az európai kiberbiztonsági tanúsítási csoporttal együttműködve támogatja a kölcsönös felülvizsgálati mechanizmus és a kölcsönös felülvizsgálatok megszervezését, többek között a vonatkozó útmutató dokumentumok és sablonok kidolgozásával. (7) Az európai kiberbiztonsági tanúsítási csoport megvizsgálja a zárójelentést, beleértve a lehetséges iránymutatásokat vagy ajánlásokat, valamint a kölcsönös felülvizsgálat összefoglalóját, és jóváhagyja az összefoglalót a 79. cikk (2) bekezdésében említett honlapon való közzététel céljából EU ENISA Európai kiberbiztonsági tanúsítási csoport Az adatok online elérhetővé tétele Adatáramlás Adatkezelés   90. cikk  Európai kiberbiztonsági tanúsítási csoport (ECCG) (3) Az európai kiberbiztonsági tanúsítási csoport feladatai a következők: [hivatkozás más cikkekre] h)    tanulmányozza a kiberbiztonsági tanúsítás terén zajló releváns fejleményeket, többek között a 86. cikk szerint a nemzeti szinten, és megosztja a kiberbiztonsági tanúsítási rendszerekkel kapcsolatos információkat és bevált gyakorlatokat; i)kapacitásépítés és információcsere útján előmozdítja a nemzeti kiberbiztonsági tanúsító hatóságok közötti, e cím rendelkezései szerinti együttműködést és információcserét, különösen a kiberbiztonsági tanúsítással kapcsolatos kérdésekre vonatkozóan; [hivatkozás más cikkekre] k)    előmozdítja az európai kiberbiztonsági tanúsítási rendszerek összhangba hozását a nemzetközileg elismert szabványokkal, többek között a létező európai kiberbiztonsági tanúsítási rendszerek karbantartásának részeként, és adott esetben az ENISA számára ajánlásokat fogalmaz meg arra nézve, hogy az vegye fel a kapcsolatot a releváns európai vagy nemzetközi szabványügyi szervezetekkel a rendelkezésre álló európai vagy nemzetközileg elismert szabványok hiányosságainak kezelése céljából Tagállamok ENISA Európai Bizottság  Elemzés, információmegosztás és együttműködés a tagállami hatóságok és a nemzetközi szervezetek között az európai kiberbiztonsági tanúsítással kapcsolatban Adatkezelés Adatáramlás 92. cikk  A megfelelőségértékelő szervezetek szakmai felkészültségének további harmonizációja (4) Abban az esetben, ha a nemzeti kiberbiztonsági tanúsító hatósághoz a (3) bekezdés szerinti kérelem érkezik, tájékoztatja a kérelmező megfelelőségértékelő szervezet székhelye szerinti tagállam nemzeti kiberbiztonsági tanúsító hatóságát. Ilyen esetekben az adott tagállam nemzeti kiberbiztonsági tanúsító hatósága megfigyelőként részt vehet az engedélyezésben. A tagállami hatóságok Megfelelőségértékelő szervezetek Információmegosztás és -megőrzés Adatáramlás Adatkezelés 93. cikk A megfelelőségértékelő szervezetek bejelentése (1) A tagállamok nemzeti kiberbiztonsági tanúsító hatóságai minden egyes európai kiberbiztonsági tanúsítási rendszer esetében bejelentik a Bizottságnak és a többi tagállamnak az akkreditált és – adott esetben – a 92. cikk alapján engedélyezett megfelelőségértékelő szervezeteket. (2) A nemzeti kiberbiztonsági tanúsító hatóságok az (1) bekezdésben említett bejelentést a Bizottság által kifejlesztett és kezelt elektronikus bejelentési eszköz használatával hajtják végre ENISA Tagállamok Európai Bizottság Megfelelőségértékelő szervezetek Az akkreditált és felhatalmazott megfelelőségértékelő szervezetek bejelentése Adatáramlások Adatkezelés 94. cikk A megfelelőségértékelő szervezetek szakmai alkalmasságának vitatása 1.(1) A Bizottság kivizsgál minden olyan esetet, amikor kétsége merül fel vagy kétség jut tudomására azzal kapcsolatban, hogy a megfelelőségértékelő szervezet megfelel-e, illetve továbbra is megfelel-e a rá vonatkozó követelményeknek és kötelezettségeknek. (2) A nemzeti kiberbiztonsági tanúsító hatóság kérésre a Bizottság rendelkezésére bocsájtja az megfelelőségértékelő szervezet bejelentésének vagy szakmai felkészültsége fenntartásának alapjául szolgáló valamennyi információt. (3) A Bizottság biztosítja, hogy az általa lefolytatott vizsgálatok során megszerzett valamennyi érzékeny információ kezelése bizalmasan történjen.  (4) Amennyiben a Bizottság megállapítja, hogy a megfelelőségértékelő szervezet nem, vagy már nem teljesíti a rá vonatkozó bejelentés követelményeit, akkor erről tájékoztatja a nemzeti kiberbiztonsági tanúsító hatóságot, és felkéri azt a szükséges korrekciós intézkedések megtételére, beleértve szükség esetén a bejelentés visszavonását is Bizottság Tagállamok ENISA A megfelelőségértékelő szervezetek szakmai alkalmasságának vitatása Adatáramlás Adatkezelés Digitális közszolgáltatás  95. cikk A megfelelőségértékelő szervezetek tájékoztatási és megőrzési kötelezettsége (1) A megfelelőségértékelő szervezetek tájékoztatják a nemzeti kiberbiztonsági tanúsító hatóságot a következőkről: a)    a tanúsítványok bármilyen elutasítása, korlátozása, felfüggesztése vagy visszavonása; b)    a 93. cikk (1) bekezdésében említett bejelentés hatályát és feltételeit érintő bármely körülmény;     c)    a piacfelügyeleti hatóságoktól a megfelelőségértékelési tevékenységekkel kapcsolatos hozzájuk beérkezett valamennyi tájékoztatási kérelem; d)    kérésre a bejelentése hatálya alá tartozó megfelelőségértékelési tevékenységek és minden más elvégzett tevékenység, ideértve a határokon átnyúló tevékenységeket és az alvállalkozásba adást is. (2) A megfelelőségértékelő szervezetek az ENISA rendelkezésére bocsátják az (1) bekezdés a) pontjában említett információkat is annak érdekében, hogy megkönnyítsék az ENISA 79. cikk szerinti feladatainak ellátását. (3) A megfelelőségértékelő szervezetek indokolatlan késedelem nélkül az e rendelet szerinti többi olyan megfelelőségértékelő szervezet rendelkezésére bocsátják a negatív és – kérésre a pozitív – megfelelőségértékelési eredményekkel kapcsolatos releváns információkat, amelyek hasonló megfelelőségértékelési tevékenységeket végeznek ugyanazon IKT-termékekre, IKT-szolgáltatásokra, IKT-folyamatokra vagy irányított biztonsági szolgáltatásokra vonatkozóan, továbbá ugyanazon szervezetekre vonatkozóan, melyek kiberbiztonsági helyzete tanúsítás tárgyát képezi. (4) A megfelelőségértékelő szervezetek nyilvántartási rendszert tartanak fenn, amely tartalmazza az általuk végzett minden egyes értékeléssel és tanúsítással kapcsolatban benyújtott vagy kapott valamennyi dokumentumot és bizonyítékot. A nyilvántartást biztonságos és hozzáférhető módon kell tárolni a tanúsításhoz szükséges ideig, valamint az adott európai kiberbiztonsági tanúsítvány lejártát vagy visszavonását követően legalább öt évig. A tagállami hatóságok Megfelelőségértékelő szervezetek Információcsere a megfelelőségértékelő szervezetek oldaláról Adatáramlás Adatkezelés 96. cikk A panasztételhez való jog és a hatékony bírósági jogorvoslathoz való jog  (2) Az a hatóság vagy szervezet, amelyhez a panaszt benyújtották, köteles tájékoztatni a panaszost az eljárás előrehaladásáról és a meghozott határozatról, valamint a (3) és (4) bekezdésben említett hatékony bírósági jogorvoslathoz való jogról. (4) Az e cikk szerinti bírósági eljárást azon tagállam bírósága előtt kell megindítani, amelyben az a hatóság vagy szervezet, amely ellen a bírósági jogorvoslattal élni kívánnak található. A tagállami hatóságok Európai Bizottság Széles nyilvánosság A tanúsítványok jogosultja A hatóságok és a nyilvánosság közötti információáramlás a panaszokkal kapcsolatban  A tagállam bíróságai előtti eljárások Adatáramlás 97. cikk Szankciók  A tagállamok haladéktalanul tájékoztatják a Bizottságot az említett szabályokról és intézkedésekről, és tájékoztatják a Bizottságot az e szabályokat érintő minden későbbi módosításról A tagállami hatóságok Európai Bizottság A tagállamok által a Bizottságnak a szankciókról küldött értesítésekkel kapcsolatos információáramlás Adatáramlás 99. cikk A biztonsági kockázatok értékelése A Bizottság vagy legalább három tagállam felkérheti a Kiberbiztonsági Együttműködési Csoportot, hogy hat hónapon belül végezzen összehangolt kockázatértékelést. A Bizottság rövidebb határidőket is előírhat. A kockázatértékelések kockázati forgatókönyveket dolgoznak ki, és adatelemzést feltételeznek. Az összehangolt biztonsági kockázatértékelések elkészítése Az azonnali beavatkozást indokoló esetekben a Bizottság haladéktalanul konzultál a tagállamokkal, és kockázatértékelést végez. A kockázatértékelések (adatkezelés/elemzés) elvégzésére vonatkozó határozatok Európai Bizottság Uniós tagállamok Kiberbiztonsági Együttműködési Csoport ENISA Információ kérése és fogadása; az összehangolt kockázatértékelések céljából végzett adatelemzés Konzultáció a tagállamokkal és kockázatértékelés végzése Adatkezelés Adatáramlás 100. cikk (1) és (2) bekezdés Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele (1) Amennyiben a 99. cikkben említett kockázatértékelés eredményeként vagy más források – például az Unió vagy valamely tagállam nevében tett nyilvános nyilatkozat – alapján arra lehet következtetni, hogy egy harmadik ország súlyos és strukturális nem technikai kockázatot jelent az IKT-ellátási láncokra nézve, a Bizottság az alábbi elemek figyelembevételével ellenőrzi a kockázatot, amelyet az adott ország jelent, és ennek nyomán adatkezelésre/adatelemzésre kerül sor. (2) Amennyiben az (1) bekezdésben említett ellenőrzést követően a Bizottság arra a következtetésre jut, hogy valamely harmadik ország súlyos és strukturális nem technikai kockázatokat jelent az IKT-ellátási láncokra nézve, végrehajtási jogi aktus útján az adott harmadik országot olyan országként veheti jegyzékbe, amely kiberbiztonsági aggályokat vet fel az IKT-ellátási láncok tekintetében; ennek nyomán adatkezelésre és -elemzésre, illetve adatáramlásra kerül sor Uniós tagállamok Európai Bizottság Információk fogadása, információk elemzése, információcsere. Adatáramlások Adatkezelés 101. cikk Az IKT-ellátási láncok általános mechanizmusa 102. cikk A kulcsfontosságú IKT-eszközök azonosítása és 103. cikk Kockázatcsökkentő intézkedések az IKT-ellátási láncokban (1) Abban az esetben, ha a Kiberbiztonsági Együttműködési Csoport e rendelet 99. cikkének (1) és (2) bekezdése szerint uniós szintű összehangolt biztonsági kockázatértékelést végzett, vagy ha jelentős kiberfenyegetés esetén a 99. cikk (3) bekezdése szerinti eljárás lefolytatására került sor, a Bizottság a 102. cikkben és a 103. cikkben előírt intézkedéseket hozhat. A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyek meghatározzák a kulcsfontosságú IKT-eszközöket és a kockázatcsökkentő intézkedéseket, beleértve az IKT-ellátási láncokra vonatkozó korlátozásokat és tilalmakat is (részletesen lásd az alábbi 4.5. szakaszban). E folyamat előkészítése során a Bizottság figyelembe vesz több olyan szempontot, amelyek adatkezelést/-elemzést és egyes esetekben adatáramlást idéznek elő: 102. cikk, a)–f) pont 103. cikk, (4) bekezdés, a)–d) pont 103. cikk, (6) bekezdés Európai Bizottság Kiberbiztonsági Együttműködési Csoport Érintett érdekelt felek Adatelemzés/adatkezelés; konzultáció az érdekelt felekkel Adatkezelés Adatáramlás 104. cikk A magas kockázatú beszállítók azonosítása A Bizottság végrehajtási jogi aktusok útján összeállítja a 103. cikk (1) bekezdésével összhangban elfogadott végrehajtási jogi aktusokban megállapított tilalmak vagy a 111. cikk (1) bekezdésében említett tilalom szempontjából releváns magas kockázatú beszállítók jegyzékeit. A Bizottság feltérképezi az IKT-összetevőket, illetve az IKT-összetevőket tartalmazó összetevőket biztosító beszállítókat, és kezdeti értékelést végez arról, hogy potenciálisan mely beszállítók vannak letelepedve a 100. cikkel összhangban jegyzékbe vett harmadik országban, illetve melyeket ellenőrzik ilyen országokból. A Bizottság értékeli a letelepedést, a tulajdonosi szerkezetet és az ellenőrzési struktúrát. A Bizottság jogosult a szükséges információkat bekérni a beszállítóktól; az érintett beszállítóval megosztja a letelepedéssel, valamint az ellenőrzés és a tulajdonosi szerkezet értékelésével kapcsolatos előzetes megállapításokat, továbbá lehetőséget biztosít a beszállítónak szóbeli meghallgatásra. A Bizottság felkérhet egy illetékes hatóságot, hogy végezze el a beszállító letelepedésére, tulajdonosi szerkezetére és az ellenőrzésére vonatkozó értékelést, amennyiben a beszállító működésének jellemzőire tekintettel ez indokolt. Az illetékes hatóság felajánlhatja ilyen kezdeti értékelés elvégzését. A Bizottság e kezdeti megállapításokat ellenőrzi annak eldöntése érdekében, hogy a beszállítót fel kell-e venni a magas kockázatú beszállítók jegyzékébe. A Bizottság a magas kockázatú beszállítók jegyzékeit rendszeresen frissíti a magas kockázatú beszállítók törlése vagy hozzáadása céljából. A jegyzékben szereplő magas kockázatú beszállítók kérhetik a Bizottságtól letelepedésüknek, a fölöttük fennálló ellenőrzésnek és tulajdonosi szerkezetüknek az ismételt értékelését, amennyiben bizonyítékot szolgáltatnak arra vonatkozóan, hogy lényeges változásokra került sor. Európai Bizottság Illetékes hatóságok Beszállítók Adatelemzés/adatkezelés; konzultáció az illetékes hatóságokkal, konzultáció a beszállítókkal Adatkezelés Adatáramlás 105. cikk A kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ottani szervezetek által ellenőrzött szervezetek mentessége 108. cikk Titoktartás (1) A kiberbiztonsági aggályokat felvető, jegyzékbe vett harmadik országban letelepedett vagy onnan ellenőrzött szervezet indokolással ellátott kérelmet nyújthat be a Bizottsághoz. (3) A Bizottság értékelést végez és olyan határozatot fogad el, amely az adatelemzéshez vezető számos szempontot figyelembe vesz. (105. cikk, (3) és (4) bekezdés) A Bizottság által kapott információk csak arra a célra használhatók fel, amelyre azokat megszerezték Európai Bizottság A kiberbiztonsági aggályokat felvető, jegyzékbe vett harmadik országban letelepedett vagy ottani szervezetek által ellenőrzött szervezetek A Bizottság megkeresést kap; adatelemzés. Adatáramlás Adatkezelés 107. cikk Nyilvántartás A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet a 105. cikk bekezdésében említett határozatairól. A nyilvántartásban fel kell tüntetni azon szervezetek nevét, amelyekre a szóban forgó határozatok vonatkoztak. Európai Bizottság A kiberbiztonsági aggályokat felvető, jegyzékbe vett harmadik országban letelepedett vagy onnan ellenőrzött szervezetek A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet Digitális megoldás 111. cikk A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatokat érintő tilalmak Az e rendelet alapján kijelölt illetékes hatóság haladéktalanul tájékoztatja az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] szerinti illetékes hatóságot a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatóira vonatkozóan bevezetett intézkedésekről Az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] 9. vagy 20. cikke szerinti illetékes hatóság A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatói Információáramlás az illetékes hatóságtól a szervezetek felé az engedélyekkel kapcsolatban Adatáramlás 112. cikk (1), (4) bekezdés Illetékes hatóságok (1) Minden tagállam kijelöl egy vagy több, a kiberbiztonságért és a 114. cikkben említett felügyeleti és végrehajtási feladatokért felelős illetékes hatóságot (a továbbiakban: illetékes hatóságok). (4) Minden tagállam indokolatlan késedelem nélkül értesíti a Bizottságot az (1) bekezdéssel összhangban kijelölt illetékes hatóságok nevéről, e hatóságok feladatairól és azok későbbi változásairól. Minden tagállam közzé teszi az (1) bekezdéssel összhangban kijelölt illetékes hatóságok nevét.   Uniós tagállamok Európai Bizottság Széles nyilvánosság Az illetékes hatóságokat kijelölő és a Bizottságot értesítő tagállamok Adatáramlás 113. cikk A Bizottság együttműködési és támogatási szolgálatainak hálózata (1) A Bizottság együttműködési hálózatot hoz létre a tagállami illetékes hatóságok és a Bizottság között, amely együttműködési és információcserére szolgáló platformként működik. A Bizottság adminisztratív támogatást nyújt a hálózatnak. (2) Annak érdekében, hogy támogassa a tagállamokat felügyeleti feladataik ellátásában, a Bizottság értékeli, hogy a konkrét tilalmak által esetlegesen érintett beszállítók a 100. cikk alapján jegyzékbe vett, kiberbiztonsági aggályokat felvető harmadik országokban telepedtek-e le, vagy ilyen országokból ellenőrzik-e azokat. E célból az illetékes hatóság megosztja a releváns információkat a Bizottsággal. (3) Az értékelés céljából a Bizottság jogosult bekérni a szükséges információkat azoktól a tilalmak által esetlegesen érintett beszállítóktól, amelyek a 100. cikk alapján jegyzékbe vett harmadik országokban telepedtek le, vagy amelyeket ilyen országokból ellenőriznek. (4) Az értékelés befejezését követően a Bizottság az (1) bekezdés szerint létrehozott hálózaton belül megosztja a megállapításokat az illetékes hatóságokkal. Az illetékes hatóságok kellő időben tájékoztatják az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú érintett szervezeteket a megállapításokról. (5) Amennyiben valamely illetékes hatóság olyan beszállítóról szerez tudomást, amelyet konkrét tilalmak potenciálisan érinthetnek, és amely kiberbiztonsági aggályokat felvető harmadik országokban telepedett le vagy ilyen országokból ellenőrzik, továbbá nem esett át értékelésen, arról az illetékes hatóság indokolatlan késedelem nélkül tájékoztatja a Bizottságot Bizottság Illetékes hatóságok Az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek A Bizottság értékeli a beszállítókat; megosztja az adatokat az illetékes hatóságokkal, amelyek megosztják azokat az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetekkel. A Bizottság információkat kér a beszállítóktól Az illetékes hatóság tájékoztatja a Bizottságot Adatkezelés Adatáramlások 114. cikk Felügyeleti és végrehajtási intézkedések A tagállamokra vonatkozó azon követelmények, amelyek biztosítják az információáramlást az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezetekkel. Az intézkedések elfogadása előtt az illetékes hatóságok értesítik az érintett szervezeteket előzetes megállapításaikról. Az illetékes hatóságok együttműködnek egymással és a Bizottsággal Uniós tagállamok Európai Bizottság Az (EU) 2022/2555 irányelv I. és II. mellékletének kontextusában felsorolt szervezetek Az információáramlást biztosító követelmények Adatáramlás Adatkezelés 115. cikk Szankciók A tagállamok tájékoztatják a Bizottságot az említett szabályokról és intézkedésekről, és haladéktalanul tájékoztatják a Bizottságot az e szabályokat érintő minden későbbi módosításról. Európai Bizottság Uniós tagállamok A Bizottságot értesítő tagállamok Adatáramlás 116. cikk Kölcsönös segítségnyújtás Ha az (EU) 2022/2555 irányelv I. vagy II. mellékletében említett szervezet egynél több tagállamban nyújt szolgáltatásokat, vagy egy vagy több tagállamban nyújt szolgáltatásokat, és kulcsfontosságú eszközei egy vagy több másik tagállamban találhatók, az érintett tagállamok illetékes hatóságai szükség szerint együttműködnek és segítik egymást. Az első albekezdés c) pontjában említett kölcsönös segítségnyújtás kiterjedhet az információkérésekre és a felügyeleti intézkedésekre, beleértve a helyszíni ellenőrzések, a távoli felügyelet vagy a célzott biztonsági ellenőrzések elvégzésére irányuló megkereséseket is. Az az illetékes hatóság, amelyhez segítségnyújtás iránti megkeresést intéztek, nem utasíthatja el a megkeresést, kivéve, ha megállapítást nyer, hogy nem rendelkezik hatáskörrel a kért segítség nyújtására, a kért segítség nem arányos az illetékes hatóság felügyeleti feladataival, vagy a megkeresés olyan információra vonatkozik, vagy olyan tevékenységeket foglal magában, amelyek közlése vagy végrehajtása ellentétes lenne az adott tagállam nemzetbiztonságának, közbiztonságának vagy védelmének alapvető érdekeivel. A megkeresés elutasítása előtt az illetékes hatóság konzultál a többi érintett illetékes hatósággal, valamint az érintett tagállamok egyikének kérésére a Bizottsággal. Adott esetben és közös megegyezéssel különböző tagállamok illetékes hatóságai közös felügyeleti intézkedéseket végezhetnek. Uniós tagállamok Kölcsönös segítségnyújtás a felügyeleti intézkedések terén Adatáramlás Adatkezelés Irányelv, 1. cikk, 8. pont Zsarolóvírus-támadások bejelentése (NIS 2 irányelv, 27. cikk (13) bekezdés)   A 23. cikk a következő (12) és (13) bekezdéssel egészül ki:  „(13) A tagállamok biztosítják, hogy zsarolóvírus-támadás által okozott jelentős incidens esetén az érintett szervezetek a CSIRT vagy adott esetben az illetékes hatóság kérésére a CSIRT vagy adott esetben az illetékes hatóság által biztosított kommunikációs csatornán keresztül tájékoztatást nyújtsanak a következőkről: kapott-e a szervezet váltságdíj-követelést, és adott esetben kitől; fizettek-e váltságdíjat, és ha igen, milyen összegben, milyen fizetési mód használatával és milyen címzettnek vagy fogadó félnek, beleértve adott esetben a kriptoeszközöket és a kriptoeszköz-szolgáltatókat is.” Uniós tagállamok Alapvető és fontos szervezetek Jelentéstétel Adatáramlás Irányelv 1. cikk, 10. pont  Szervezetek jegyzéke és nyilvántartás (NIS 2 irányelv, 27. cikk (1) bekezdés)   Az ENISA az egyedüli kapcsolattartó pontoktól a (2) bekezdéssel összhangban kapott információk alapján létrehozza és fenntartja az alapvető és fontos szervezetek, valamint doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek nyilvántartását   ENISA Uniós tagállamok (a NIS 2 irányelv hatálya alá tartozó alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek) Az ENISA nyilvántartást hoz létre és tart fenn Digitális megoldás Digitális közszolgáltatás   Irányelv, 1. cikk, 11. pont  Szervezetek jegyzéke és nyilvántartás (NIS 2 irányelv, 27. cikk, (4) bekezdés) „(4) A 3. cikk (4) bekezdésében említett információk kézhezvételét követően az érintett tagállam egyedüli kapcsolattartó pontja indokolatlan késedelem nélkül továbbítja ezeket az információkat az ENISA-nak.”  ENISA Uniós tagállamok A tagállamok információkat osztanak meg az ENISA-val Adatáramlás Irányelv, 1. cikk, 12. pont Kölcsönös segítségnyújtás  (NIS 2, 37a. cikk, (1), (2) és (3) bekezdés)  (1) Az ENISA segíti a tagállamokat a 37. cikk szerinti kölcsönös segítségnyújtás végrehajtásában, és elősegíti az ilyen együttműködési folyamatokat azon alapvető és fontos szervezetek számára (…). (2) Az ENISA (…) átfogó elemzést készít azon (…) az ENISA a Bizottsággal és a Kiberbiztonsági Együttműködési Csoporttal együttműködve módszertant dolgoz ki. A jelentést évente frissíteni kell. (3) Az ENISA adott esetben ajánlásokat fogalmaz meg; iránymutatásokat dolgoz ki; segítséget nyújt (…)   ENISA Uniós tagállamok A NIS 2 irányelv értelmében vett fontos és alapvető szervezetek Európai Bizottság Az ENISA segíti a tagállamokat és elősegíti az együttműködési folyamatot. Elemzések, iránymutatások, módszertanok és jelentések készítése Adatkezelés Adatáramlás Irányelv, 1. cikk, 12. pont Kölcsönös segítségnyújtás  (NIS 2, 37a. cikk, (4) bekezdés)  (4) E cikk (4) bekezdése e) pontjának alkalmazásában az érintett tagállamok illetékes hatóságai adott esetben az ENISA rendelkezésére bocsátják (…). (5) Amennyiben valamely tagállam a 37. cikk (1) bekezdése első albekezdésének c) pontjában említett kölcsönös segítségnyújtásban részesül, az egyedüli kapcsolattartó pont tájékoztatja az ENISA-t a kölcsönös segítségnyújtás megtörténtéről  ENISA Uniós tagállamok   Információcsere Adatáramlás 119. cikk A felhatalmazás gyakorlása (3)    A Bizottság a felhatalmazáson alapuló jogi aktus elfogadását követően haladéktalanul és egyidejűleg értesíti arról az Európai Parlamentet és a Tanácsot Európai Bizottság Európai Parlament  Tanács  Az EP-nek és a Tanácsnak küldött információk  Adatáramlás 120. cikk Értékelés és felülvizsgálat  (1)    A Bizottság [ÉÉÉÉ.HH.NN]-ig, majd azt követően ötévente megbízást ad az ENISA teljesítményének értékelésére célkitűzései, megbízatása, küldetése, feladatai, irányítása és helyszíne tekintetében, a Bizottság iránymutatásaival összhangban. (5)    A Bizottság az értékelés megállapításairól jelentést nyújt be az Európai Parlamentnek, a Tanácsnak és az igazgatótanácsnak. Az értékelés megállapításait nyilvánosságra kell hozni. ENISA Bizottság Széles nyilvánosság Adatok gyűjtése és elemzése; az információk nyilvánosan hozzáférhetővé tétele Adatkezelés Adatáramlás

4.2.Adatok

A hatály alá tartozó adatok és a kapcsolódó standardok/előírások részletes leírása 

Adattípus	Hivatkozás(ok) a követelményre	Standard és/vagy előírás                    (adott esetben)
A kiberbiztonsági reziliencia és a társadalom szempontjából releváns elemzésekhez/jelentésekhez kapcsolódó adatok	5. cikk, (1) bekezdés, a), b), c), e), f), h) pont  5. cikk, (2), (3) és (4) bekezdés  6. cikk  7. cikk  8. cikk  9. cikk  10. cikk  11. cikk, (2) bekezdés, b) és c) pont  12. cikk, (4) bekezdés  15. cikk  Irányelv, 1. cikk, 7. pont	A 11. cikk (1) bekezdésének a)–e) pontjában és (2) bekezdésében felsorolt tevékenységek végzése során az ENISA saját elemzéseit és adott esetben a feladatai ellátása során kapott információkat használja fel, beleértve a következőket:  a) nyilvánosan hozzáférhető forrásokban szolgáltatott információk, beleértve az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján létrehozott európai sérülékenység-adatbázisban az IKT-termékekre vagy IKT-szolgáltatásokra nézve elérhető nyilvánosan ismert sérülékenységeket; b) a tagállamok, az uniós szervezetek, a CERT-EU, a magánszektorbeli vagy nem kormányzati partnerek, valamint harmadik országok és nemzetközi szervezetek által megosztott információk, a szóban forgó információk további terjesztésére vonatkozó, látható jelölés útján történő esetleges korlátozásokra figyelemmel. Az ENISA iránymutatásokat ad ki az információmegosztásra használt hálózati és információs rendszerek interoperabilitására vonatkozóan, többek között az (EU) 2025/38 rendelet 6. cikkének (3) bekezdésében említett, határokon átnyúló kiberközpontok tekintetében
Az operatív együttműködés és a helyzetismeret szempontjából releváns adatok	10. cikk, (4) bekezdés, a)–g) pont  10. cikk, (6) bekezdés  11. cikk, (1) bekezdés, a)–g) pont  11. cikk, (2) bekezdés, a), b) és c) pont  11. cikk, (3) bekezdés  11. cikk, (4) bekezdés  13. cikk, (2) bekezdés  15. cikk  16. cikk, (2) bekezdés, e) pont	A bizalmas kezelésre és az érzékeny információk kezelésére vonatkozó előírások  A 11. cikk (1) bekezdésének a)–e) pontjában és (2) bekezdésében felsorolt tevékenységek végzése során az ENISA saját elemzéseit és adott esetben a feladatai ellátása során kapott információkat használja fel, beleértve a következőket:  a) nyilvánosan hozzáférhető forrásokban szolgáltatott információk, beleértve az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján létrehozott európai sérülékenység-adatbázisban az IKT-termékekre vagy IKT-szolgáltatásokra nézve elérhető nyilvánosan ismert sérülékenységeket; b) a tagállamok, az uniós szervezetek, a CERT-EU, a magánszektorbeli vagy nem kormányzati partnerek, valamint harmadik országok és nemzetközi szervezetek által megosztott információk, a szóban forgó információk további terjesztésére vonatkozó, látható jelölés útján történő esetleges korlátozásokra figyelemmel.
Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek és a szolgáltatók engedélyezése szempontjából releváns adatok  Az európai kiberbiztonsági tanúsítási rendszerek célkitűzései, célja és tartalma szempontjából releváns adatok	17. cikk  18. cikk  19–23. cikk  72., 73., 74., 75., 76., 77., 79., 81., 83., 84. cikk	Az európai egyedi kiberbiztonsági készségtanúsítási rendszernek a következőket kell tartalmaznia (…): a nyilvántartások felhatalmazott tanúsítványszolgáltatók általi megőrzésére vonatkozó szabályok A felhatalmazott szolgáltatók gondoskodnak arról, hogy az egyén kérésére a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok elektronikus attribútumtanúsítványként, a 910/2014/EU rendeletben meghatározott európai digitális személyiadat-tárcákban tárolható formátumban kerüljenek kibocsátásra.  A Bizottságnak és az ENISA-nak európai egyedi kiberbiztonsági készségtanúsítási rendszer létrehozásakor az adatok vonatkozásában meg kell felelnie az uniós jogszabályok vonatkozó rendelkezéseinek
Az európai kiberbiztonsági tanúsítási keretrendszer irányításával kapcsolatos adatok	85., 86., 88., 89., 90., 92., 93., 94., 95., 96., 97. cikk	Az ENISA-nak, a megfelelőségértékelő szervezeteknek és a nemzeti kiberbiztonsági tanúsító hatóságoknak biztosítaniuk kell az adatok bizalmas kezelését, és meg kell felelniük a követelményeket meghatározó nemzetközi szabványokra hivatkozó releváns rendszer rendelkezéseinek
Az ENISA belső funkciói (költségvetés, egységes programozási dokumentum, belső stratégiák) szempontjából releváns adatok	25. cikk  28. cikk, (1) bekezdés  30. cikk  31. cikk, (8) bekezdés  32. cikk, (3) és (5) bekezdés  35. cikk, (5) és (6) bekezdés  36–43. cikk  44. cikk  45. cikk  47. cikk, (10) bekezdés  48–49. cikk  52. cikk, 58. cikk	Pénzügyi szabályozási sablonok és iránymutatások; belső iránymutatások
Személyes adatok	22. cikk  II. cím, III. fejezet, 6. szakasz Fellebbezési tanács  66. cikk  80. cikk, (1) bekezdés, c) és x) pont  81. cikk, (2) bekezdés 88. cikk, (6) bekezdés, h) pont  95. cikk  96. cikk	(EU) 2018/1725 rendelet  (EU) 2016/679 rendelet
Összehangolt kockázatértékelések végzése, kockázati forgatókönyvek kidolgozása és a kulcsfontosságú IKT-eszközök azonosítása keretében gyűjtött és elemzett adatok	98. cikk 99. cikk 102. cikk 103. cikk 105. cikk	Az (EU) 2024/2847 irányelv 13. cikkének és az (EU) 2022/2555 rendelet 21. cikkének sérelme nélkül
Harmadik országokra/harmadik országbeli szervezetekre vonatkozó adatok	100. cikk, (1), (3), (4) bekezdés 104. cikk 105. cikk 107. cikk 113. cikk	N/A
A nemzeti hatóságokra vonatkozó adatok	112. cikk 114. cikk 116. cikk	N/A
A kockázatértékelések szempontjából releváns adatok	5. cikk, (2) bekezdés	A bizalmas kezelésre és az érzékeny információk kezelésére vonatkozó előírások
Kölcsönös segítségnyújtás a tagállamok között	A rendelet 5. cikke (1) bekezdésének g) pontja, és az irányelv 1. cikkének 12. pontja	/

Az európai adatstratégiának való megfelelés

Ismertesse, hogy a követelmény(ek) hogyan igazodik/igazodnak az európai adatstratégiához

A második kiberbiztonsági jogszabályra irányuló javaslatban foglalt követelmények igazodnak; ez idáig nincsenek konkrét hatással az európai adatstratégiára.

Az egyszeri adatszolgáltatás elvének való megfelelés     

Ismertesse, hogyan vették figyelembe az egyszeri adatszolgáltatás elvét, és hogyan tárták fel a meglévő adatok további felhasználásának lehetőségét 

A javaslat egyik célkitűzése a Bizottság egyszerűsítésre irányuló erőfeszítéseinek maximalizálása, valamint a tagállamok és az érdekelt felek adminisztratív terheinek csökkentése. Az elmúlt években az ENISA információs központtá vált, amely különböző forrásokból származó információkat tárol. Ebben az értelemben az ENISA számos feladata kapcsolódik az információk különböző elemzések céljából történő újrafelhasználásához és újrafeldolgozásához. Például: az (EU) 2022/2555 irányelv 23. és 30. cikke alapján bejelentett információk bizonyos célokra történő újrafelhasználása; az (EU) 2024/2847 rendelet 14. cikkének (1)–(3) bekezdése, 15. cikke, valamint 17. cikkének (1) és (3) bekezdése alapján bejelentett, megosztott vagy elemzett adatok. Az ellátási láncok keretrendszerének rendelkezései feltételezik, hogy a végrehajtást az (EU) 2022/2555 irányelv 22. cikke alapján kapott adatok támogatják, ami azt mutatja, hogy információk újrafelhasználására, illetve koordinációra kerül sor.

Ismertesse, hogy az újonnan létrehozott adatok hogyan felelnek meg a megtalálhatóság, a hozzáférhetőség, az interoperabilitás és az újrafelhasználhatóság követelményének, valamint a szigorú minőségi előírásoknak  

A jogalkotási javaslat kifejezetten megjelöli, hogy az adatokat mikor kell nyilvánosan hozzáférhetővé tenni. A javaslat figyelembe veszi a szigorúan biztonsági és titoktartási szempontú rendelkezések jellegét, ezért a kiberbiztonsági jogszabály felülvizsgálata keretében létrehozott adatok nem mindegyike lesz nyilvános felhasználásra szánt adat. A szükséges rendelkezések tekintetében biztosítva van az európai digitális személyiadat-tárcával való összehangolás. Az ENISA feladata, hogy korai riasztási szolgáltatást nyújtson géppel olvasható formátumban.

Adatáramlások

A hatály alá tartozó adatok és a kapcsolódó standardok/előírások részletes leírása

Adattípus	Ismertesse az adatáramlást		Hivatkozások
Az ENISA jelentéseket és elemzéseket, technikai útmutatást és bevált gyakorlatokat nyújt	Ez olyan adatáramlás, amely az ENISA érdekelt felei felé irányul, és az uniós szakpolitika és jog végrehajtását támogatja. Ezekben az adatáramlásokban az ENISA – többnyire nyilvános forrásokon keresztül – információkat gyűjt, elemzéseket végez, és megosztja az eredményeket az érdekelt felekkel.  Az ENISA a Bizottság kérésére is végrehajt bizonyos feladatokat		5. cikk, (1) bekezdés, a), b), c), e), f), h) pont   5. cikk, (2) bekezdés; 5. cikk, (3) bekezdés; 5. cikk, (5) bekezdés 6. cikk  7. cikk 8. cikk  9. cikk 10. cikk 11. cikk, (2) bekezdés  11. cikk, (4) bekezdés  14. cikk
A Bizottság, az ENISA, a tagállamok és az uniós kiberbiztonsági ökoszisztéma egyéb releváns szereplői közötti adatáramlás az operatív együttműködés értelmében	Az ilyen típusú adatáramlásokat az operatív együttműködés és a helyzetismeret céljából hozzák létre. Az információcsere mindkét irányban zajlik, befelé és kifelé egyaránt. Az adatcsere operatív adatok cseréjét jelenti		10. cikk, (4) bekezdés, a)–g) pont  11. cikk, (1) bekezdés, b)–g) pont  11. cikk, (2) bekezdés, a) és b) pont 11. cikk, (3) bekezdés  15. cikk 16. cikk, (2) bekezdés, e) pont
Az európai kiberbiztonsági készségkeret és az egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerek támogatására létrehozott adatáramlások és azok végrehajtása	Ezek az adatáramlások a következők tekintetében támogatják a ki- és beáramló információk cseréjét: – európai kiberbiztonsági készségkeret karbantartása és elterjedése, az ENISA és az eseti munkacsoportjainak tagjai közötti, valamint az ENISA és a Bizottság közötti adatáramlással, – az európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozása és karbantartása, az ENISA és az eseti munkacsoportjainak tagjai közötti, valamint az ENISA, a Bizottság és a tagállamok közötti adatáramlással, – az európai egyedi kiberbiztonsági készségtanúsítási rendszerek végrehajtása, a kérelmezők és az ENISA közötti adatáramlással, – a fellebbezési tanács, az ENISA, a Bizottság és a kérelmezők közötti adatáramlás		19–23. cikk  36–43. cikk
Az európai kiberbiztonsági tanúsítási rendszerek célkitűzései, célja és tartalma szempontjából releváns adatok	Az ebbe a típusba tartozó adatáramlások az európai kiberbiztonsági tanúsítási rendszerek tervezése, kérelmezése, kidolgozása, elfogadása és karbantartása (beleértve az esetleges felülvizsgálatot is) szempontjából relevánsak. Ez különösen az érdekelt feleknek, az ENISA-nak és a tagállami hatóságoknak a szerepvállalásához és szakértői tanácsadásához kapcsolódik, melyre az európai kiberbiztonsági tanúsítási csoporton keresztül, az eljárás különböző szakaszaiban kerül sor. Ezenkívül a további adatáramlások a releváns információknak a nyilvánosság számára a Bizottság és az ENISA külön erre a célra szolgáló honlapjain keresztül történő közzétételéhez kapcsolódnak. Végezetül, a keret előirányozza, hogy az olyan IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok gyártói vagy szolgáltatói, amelyekre vonatkozóan uniós megfelelőségi nyilatkozatot vagy európai kiberbiztonsági tanúsítványt állítottak ki, saját eszközeikkel nyilvánosan hozzáférhetővé tesznek kiegészítő kiberbiztonsági információkat	18. cikk 19. cikk 72., 73., 74., 75., 76., 77., 79., 81., 83., 84. cikk
Az európai kiberbiztonsági tanúsítási keretrendszer irányításával kapcsolatos adatok	Ezek az adatáramlások a következők tekintetében támogatják a ki- és beáramló információk cseréjét: – az európai kiberbiztonsági tanúsítási rendszerek koordinációja és kezelése – a megfelelőségértékelő szervezetek akkreditálása és engedélyezése, valamint ezt követően a megfelelő platformon és a kapcsolódó eljárásokon keresztül történő bejelentésük – jogorvoslati eljárások, például a panasztételhez, a bírósági jogorvoslathoz vagy a fellebbezéshez való jog, az eljárások megváltoztatása	85., 86., 88., 89., 90., 92., 93., 94., 95., 96. cikk
Az Ügynökség igazgatási tevékenységeivel kapcsolatos adatáramlások	Az ENISA, az igazgatótanács, a tagállamok és a Bizottság közötti adatáramlás. Az információk az Ügynökség adminisztratív tevékenységeit érintik, és mindkét irányban áramlanak. Egyes esetekben az Európai Parlament is tájékoztatást kap (az ezzel kapcsolatos adatáramlást az alábbiakban ismertetjük)		25. cikk  28. cikk, (1) bekezdés  30. cikk  31. cikk, (8) bekezdés  32. cikk, (3) és (5) bekezdés  35. cikk, (5) és (6) bekezdés  36–43. cikk  44. cikk 45. cikk
Az Európai Parlament számára továbbított adatok	Az Európai Parlament felé történő adatáramlás a következőkre vonatkozóan: az ENISA tevékenységei és feladatainak ellátása; költségvetési gazdálkodás és pénzgazdálkodás, együttműködés harmadik országokkal és nemzetközi szervezetekkel, az ügyvezetőigazgató-jelölt meghallgatása; az európai kiberbiztonsági tanúsítással kapcsolatos kérdések		28. cikk, (1) bekezdés, f) pont; 31. cikk, (8) bekezdés; 32. cikk, (3) bekezdés; 44. cikk, (3) bekezdés; 49. cikk, (6) bekezdés; 49. cikk, (9) bekezdés; 70. cikk, (5) bekezdés; 72. cikk, (4) és (5) bekezdés; 119. cikk, (3) bekezdés: A felhatalmazás gyakorlása; 120. cikk: Értékelés és felülvizsgálat
Az Európai Unió Tanácsának küldött adatok	Az Európai Parlament felé történő adatáramlás a következőkre vonatkozóan: az ENISA tevékenységei és feladatainak ellátása; költségvetési gazdálkodás és pénzgazdálkodás, együttműködés harmadik országokkal és nemzetközi szervezetekkel, az ügyvezetőigazgató-jelölt meghallgatása; az európai kiberbiztonsági tanúsítási keretrendszer alapján kidolgozás alatt álló javasolt tanúsítási rendszerek		28. cikk, (1) bekezdés, f) pont; 31. cikk, (8) bekezdés; 32. cikk, (3) bekezdés; 32. cikk, (7) bekezdés; 49. cikk, (6) bekezdés; 49. cikk, (9) bekezdés; 70. cikk, (5) bekezdés; 72. cikk, (4) és (5) bekezdés; 119. cikk, (3) bekezdés: A felhatalmazás gyakorlása; 120. cikk: Értékelés és felülvizsgálat
A panasz benyújtásával kapcsolatos adatáramlások	Természetes vagy jogi személyek által a nemzeti kiberbiztonsági tanúsító hatóságok által kibocsátott európai kiberbiztonsági tanúsítványokkal, vagy a megfelelőségértékelő szervezetek által a 84. cikk (4) bekezdésével összhangban kiállított európai kiberbiztonsági tanúsítványokkal, vagy az uniós megfelelőségi nyilatkozatokkal kapcsolatban benyújtott panaszok kezelése. A természetes és a jogi személyeknek joguk van panaszt benyújtani az európai kiberbiztonsági tanúsítvány kibocsátójánál vagy, ha a panasz valamely megfelelőségértékelő szervezet által kiadott európai kiberbiztonsági tanúsítványra vonatkozik, a releváns nemzeti kiberbiztonsági tanúsító hatóságnál		55. cikk, (3) bekezdés; 88. cikk, (7) bekezdés, f) pont; 96. cikk
Zsarolóvírus-támadásokkal kapcsolatos adatáramlások	Bizonyos információk jelentése zsarolóvírus-támadások esetén		Irányelv, 1. cikk, 8. pont

   

Adattípus	Hivatkozás a követelmény(ek)re	Az adatokat szolgáltató szereplők	Az adatokat megkapó szereplők	Az adatcsere kiváltó oka	Gyakoriság (adott esetben)
A Bizottság és a tagállamok közötti adatáramlás az uniós szintű összehangolt biztonsági kockázatértékelések elvégzésével összefüggésben	99. cikk A biztonsági kockázatok értékelése	A Bizottság és a tagállamok	Tagállamok (Kiberbiztonsági Együttműködési Csoport)	99. cikk A biztonsági kockázatok értékelése	N/A
A Bizottság és a Tanács közötti adatáramlások a kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vételével kapcsolatban	100. cikk Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele	Bizottság	Tanács	100. cikk A harmadik ország jelentette veszély Bizottság általi ellenőrzése
A Bizottság és a tagállamok közötti adatáramlás a rendkívüli körülmények esetén alkalmazandó kockázatcsökkentő intézkedésekkel kapcsolatban	103. cikk, (6) bekezdés Kockázatcsökkentő intézkedések az IKT-ellátási láncokban	Bizottság	Tagállamok	Rendkívüli körülmények	N/A
A Bizottság és a beszállítók, valamint a Bizottság és az illetékes hatóságok közötti adatáramlások a beszállítók letelepedésének, tulajdonosi szerkezetének és a fölötte gyakorolt ellenőrzésnek értékelése tekintetében	104. cikk (4), (5), (6) bekezdés A magas kockázatú beszállítók azonosítása	Beszállítók Bizottság Illetékes hatóságok	Illetékes hatóságok Beszállítók Bizottság	A 103. cikk (1) bekezdésével összhangban és a 111. cikk (1) bekezdésében foglalt tilalommal kapcsolatban elfogadott végrehajtási jogi aktusok	N/A
A Bizottság és a tagállamok közötti adatáramlás a megbízható IKT-ellátási láncok biztonsági keretrendszerének végrehajtásával kapcsolatos felügyeleti hatáskörök tekintetében	112. cikk (1), (4) bekezdés Illetékes hatóságok 114. cikk Felügyeleti és végrehajtási intézkedések	Tagállamok	Bizottság	112. cikk (1), (4) bekezdés Illetékes hatóságok 114. cikk Felügyeleti és végrehajtási intézkedések (a Bizottság a tagállamokkal együttműködve jegyzéket ad ki a magas kockázatú beszállítókhoz kapcsolódó szervezetekről)	N/A
A Bizottság és harmadik felek közötti adatáramlások a mentességek tekintetében	105. cikk A kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy onnan ellenőrzött szervezetek mentessége	Harmadik felek (harmadik országban letelepedett vagy harmadik országbeli szervezetek ellenőrzése alatt álló, kiberbiztonsági aggályokat felvető szervezetek, a 100. cikk értelmében) (mentesség iránti kérelem benyújtásakor) Európai Bizottság (határozatok kiadása esetén)	Bizottság (a mentesség iránti kérelem kézhezvételekor) Harmadik felek (harmadik országban letelepedett vagy harmadik országbeli szervezetek ellenőrzése alatt álló, kiberbiztonsági aggályokat felvető szervezetek, a 100. cikk értelmében) (a Bizottság határozatának kézhezvételekor)	100. cikk szerinti határozat Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele	N/A
A tagállamok és harmadik felek közötti adatáramlás az elektronikus hírközlő hálózatokra vonatkozó tilalmakkal kapcsolatban	111. cikk A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatokat érintő tilalmak	Tagállamok (illetékes hatóságok)	Harmadik felek (a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatói)	Az e rendelet alapján kijelölt illetékes hatóság haladéktalanul tájékoztatja az (EU) XX/XXXX rendelet [a digitális hálózatokról szóló jogszabályra irányuló javaslat] szerinti illetékes hatóságot a mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok szolgáltatóira vonatkozóan bevezetett intézkedésekről	N/A
A Bizottság és a tagállamok közötti adatáramlások az együttműködési és támogatási szolgálatok hálózatával összefüggésben	113. cikk A Bizottság együttműködési és támogatási szolgálatainak hálózata	Bizottság Tagállamok (illetékes hatóságok)	Bizottság Tagállamok (illetékes hatóságok)	Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele
A tagállamok és harmadik felek közötti adatáramlás felügyeleti és végrehajtási intézkedésekkel kapcsolatban	114. cikk Felügyeleti és végrehajtási intézkedések	Harmadik felek (az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek)	Tagállamok (illetékes hatóságok)	A IV. címben előirányzott intézkedések végrehajtása
Adatáramlás a tagállamok között a kölcsönös segítségnyújtás érdekében	116. cikk Kölcsönös segítségnyújtás	Tagállamok	Tagállamok	Ha az (EU) 2022/2555 irányelv I. vagy II. mellékletében említett szervezet egynél több tagállamban nyújt szolgáltatásokat, vagy egy vagy több tagállamban nyújt szolgáltatásokat, és kulcsfontosságú IKT-eszközei egy vagy több másik tagállamban találhatók, az érintett tagállamok illetékes hatóságai szükség szerint együttműködnek és segítik egymást	N/A

4.3.Digitális megoldások

A digitális megoldások összefoglaló leírása 

Minden egyes digitális megoldás esetében annak magyarázata, hogy a digitális megoldás miért felel meg az alkalmazandó digitális szakpolitikáknak és jogszabályoknak 

Digitális megoldás	Hivatkozás a követelmény(ek)re	Fő tervezett funkciók	Illetékes szerv	Hogyan biztosítják a hozzáférhetőséget?	Hogyan veszik figyelembe az újrafelhasználhatóságot?	MI-alapú technológiák használata (adott esetben)
Az ENISA – mint a CSIRT-hálózat és az EU-CyCLONe titkársága – a CSIRT-hálózaton és az EU-CyCLONe-on belül olyan biztonságos kommunikációs eszközöket használ, amelyeket nem valamely harmadik országban letelepedett, valamely harmadik ország ellenőrzése alatt álló vagy valamely harmadik ország állampolgárának ellenőrzése alatt álló jogalanyok biztosítanak	10. cikk, (2), (3), (5) bekezdés	Nem nyilvános információ	ENISA	Nem nyilvános információ	Nem nyilvános információ	Nem nyilvános információ
Az EU-CyCLONe-nal, a CSIRT-hálózattal, a Bizottsággal, az Europollal és a CERT-EU-val és más releváns uniós szervezetekkel együttműködve kidolgozza a kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információkat – beleértve az incidensek, a taktikák, a technikák és az eljárások terén megmutatkozó tendenciákat – tartalmazó adattárakat.	11. cikk, (1) bekezdés, a) pont	A kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információk, beleértve az incidensek, a taktikák, a technikák és az eljárások terén megmutatkozó tendenciákat	ENISA, az EU-CyCLONe, a CSIRT-hálózat, a Bizottság, az Europol és a CERT-EU, valamint az érintett uniós szervezetek	N/A	N/A	N/A
Az ENISA adattárat tart fenn a levont tanulságokról	14. cikk, (2) bekezdés	Az ENISA adattárat tart fenn a gyakorlatokból levont tanulságokról, és ajánlást tesz a tagállamoknak és adott esetben az uniós szervezeteknek arra vonatkozóan, hogy a levont tanulságokat hogyan lehet eredményesen és hatékonyan alkalmazni	ENISA	N/A	N/A	N/A
Az ENISA létrehozza, biztosítja, működteti, karbantartja és szükség esetén frissíti az uniós szintű kiberbiztonsággal kapcsolatos operatív technikai eszközöket (például platformokat), különösen az (EU) 2024/2847 rendelet 16. cikkének (1) bekezdése alapján létrehozott, az incidensek bejelentésére szolgáló egységes jelentéstételi platformot [és az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési pontot], vagy a vonatkozó uniós jogszabályokkal összhangban a megfelelőségértékelési eljárások végrehajtását támogató tesztelési eszközöket	15. cikk	Egységes jelentéstételi platform   Az (EU) 2024/2847 rendelet 16. cikkének (1) bekezdése   [egyablakos ügyintézési pont:    az (EU) 2022/2555 irányelv 23a. cikke]	ENISA	N/A	N/A	N/A
Az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján európai sérülékenység-adatbázis fenntartása és sérülékenységmenedzsment-szolgáltatások nyújtása	16. cikk, (2) bekezdés	Az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése   Az adatbázis karbantartása és sérülékenységmenedzsment-szolgáltatások nyújtása	ENISA	N/A	N/A	N/A
Az ENISA külön e célt szolgáló, nyilvánosság tájékoztatást nyújtó honlapot tart fenn és frissít rendszeresen	19–23. cikk	Egy külön erre a célra szolgáló honlap fenntartása és rendszeres frissítése, amely nyilvános tájékoztatást nyújt az európai kiberbiztonsági készségkeretről, beleértve a keretet és a frissítése ütemtervét; az európai egyedi kiberbiztonsági készségtanúsítási rendszerek, azok előrehaladása és kidolgozásuk ütemterve; az egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerekhez kapcsolódó költségek; a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány indikatív költsége; a felhatalmazott tanúsítványszolgáltatók jegyzéke.	ENISA	N/A	N/A	N/A
A Bizottság külön e célt szolgáló nyilvános honlapot tart fenn és frissít rendszeresen	72. cikk	A következő információk: a)    olyan európai kiberbiztonsági tanúsítási rendszerek, amelyeknek kidolgozását kérelmezték; b)    az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy az uniós jogszabályok biztonsági követelményei harmonizációjának stratégiai prioritásai, beleértve azokat a lehetséges területeket is, amelyekre európai kiberbiztonsági tanúsítási rendszer kérhető.	Európai Bizottság	Az iránymutatásoknak való megfelelés	Az iránymutatásoknak való megfelelés	N/A
Az ENISA egy külön erre a célra szolgáló tanúsítási honlapot tart fenn	79. cikk	Tájékoztatás a következőkről: a) európai kiberbiztonsági tanúsítási rendszerek; b) az egyes európai kiberbiztonsági tanúsítási rendszerek karbantartásával kapcsolatos díjak; c) az ENISA vonatkozó műszaki előírásai; d) európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok, beleértve az olyan tanúsítványokra és nyilatkozatokra vonatkozó információkat is, amelyek már nem érvényesek, vagy amelyeket felfüggesztettek vagy visszavontak, vagy amelyek lejártak; e) a 84. cikk (2) bekezdésével összhangban nyújtott releváns kiegészítő kiberbiztonsági információk; f)a kölcsönös felülvizsgálatoknak a 89. cikk (7) bekezdése szerinti összefoglalása; g)a valamely európai kiberbiztonsági tanúsítási rendszerben a 74. cikk (10) bekezdése szerint hivatkozott műszaki előírás.	ENISA	Az iránymutatásoknak való megfelelés	Az iránymutatásoknak való megfelelés	N/A
Nyilvántartás (a kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ottani szervezetek által ellenőrzött szervezetek mentességeinek nyilvántartása)	107. cikk Nyilvántartás	A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet a 105. cikk (4) bekezdésében említett határozatairól. A nyilvántartásban fel kell tüntetni azon szervezetek nevét, amelyekre a szóban forgó határozatok vonatkoztak. A Bizottság rendszeresen frissíti azt.	Bizottság	„A Bizottság nyilvánosan hozzáférhető nyilvántartást vezet.”	N/A	N/A
Platform (a Bizottság és az illetékes hatóságok közötti együttműködéshez és információcseréhez)	113. cikk	A Bizottság együttműködési hálózatot hoz létre a tagállami illetékes hatóságok és a Bizottság között, amely együttműködési és információcserére szolgáló platformként működik. A Bizottság adminisztratív támogatást nyújt a hálózatnak.	Bizottság	Nem nyilvános, csak az illetékes hatóságok számára	N/A	N/A
Az ENISA létrehozza és karbantartja az alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek nyilvántartását	Irányelv, 1. cikk, 11. pont	Az alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek jegyzéke	ENISA	N/A	Az egyedüli kapcsolattartó pontoktól a (2) bekezdéssel összhangban kapott információk alapján (NIS 2 irányelv, 27. cikk)	N/A

A fenti táblázatban szereplő digitális megoldások 

Digitális és/vagy ágazati szakpolitikai terület (adott esetben)	A megfelelés magyarázata
A mesterséges intelligenciáról szóló rendelet	N/A
Az uniós kiberbiztonsági keret	N/A
Az eIDAS-rendelet	N/A
Az egységes digitális kapu és az IMI	N/A
Egyéb	N/A

A követelmények által érintett digitális közszolgáltatás(ok) összefoglaló leírása

A digitális közszolgáltatás vagy a digitális közszolgáltatások kategóriája	Leírás	Hivatkozás a követelmény(ek)re	Interoperábilis Európa megoldás(ok)   (NEM ALKALMAZANDÓ)	Egyéb interoperabilitási megoldás(ok)
Az ENISA mint a hálózatok titkársága és biztonságos kommunikációs eszközök telepítője	Az ENISA az (EU) 2022/2555 irányelv 15. cikkének (2) bekezdése értelmében biztosítja a CSIRT-hálózat titkárságát. Az ENISA az (EU) 2022/2555 irányelv 16. cikkének (2) bekezdése alapján biztosítja az EU-CyCLONe titkárságát [valamint az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott, az incidensek bejelentésére szolgáló egyablakos ügyintézési pontot], valamint a vonatkozó uniós jogszabályokkal összhangban biztosítja a megfelelőségértékelési eljárások végrehajtását támogató tesztelési eszközöket.  Az ENISA a CSIRT-hálózaton és az EU-CyCLONe-on belül olyan biztonságos kommunikációs eszközöket használ, amelyeket nem valamely harmadik országban letelepedett, valamely harmadik ország ellenőrzése alatt álló vagy valamely harmadik ország állampolgárának ellenőrzése alatt álló jogalanyok biztosítanak	11. cikk	//	N/A
Korai riasztások	Korai riasztások kiadása	11. cikk 12. cikk
Támogatás egy konkrét potenciális vagy folyamatban lévő incidenssel vagy kiberfenyegetéssel kapcsolatban	Egy vagy több tagállam kérésére tanácsadás és értékelések nyújtása egy konkrét potenciális vagy folyamatban lévő incidenssel vagy kiberfenyegetéssel kapcsolatban, többek között szakértelem biztosítása és az említett incidensek műszaki kezelésének megkönnyítése, valamint a releváns információk és műszaki megoldások tagállamok közötti önkéntes megosztásának támogatása révén	10. cikk
A nagyszabású kiberbiztonsági incidensek és válsághelyzetek operatív szintű összehangolt kezelésének támogatása	Hozzájárulás a nagyszabású kiberbiztonsági incidensek és válsághelyzetek operatív szintű összehangolt kezelésének támogatásához, különösen azáltal, hogy segíti az EU-CyCLONe-t a szakpolitikai szintű jelentések elkészítésében, valamint megkönnyíti a CSIRT-hálózat és az EU-CyCLONe közötti időben történő információmegosztást	10. cikk
A kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információkat tartalmazó adattárak	Az EU-CyCLONe-nal, a CSIRT-hálózattal, a Bizottsággal, az Europollal és a CERT-EU-val és más releváns uniós szervezetekkel együttműködve kidolgozza a kiberfenyegetésekkel kapcsolatos ellenőrzött és megbízható felderítési információkat – beleértve az incidensek, a taktikák, a technikák és az eljárások terén megmutatkozó tendenciákat – tartalmazó adattárakat	11. cikk
A levont tanulságokat tartalmazó adattár	Az ENISA adattárat tart fenn az ezen gyakorlatokból levont tanulságokról, és ajánlást tesz a tagállamoknak és adott esetben az uniós szervezeteknek arra vonatkozóan, hogy a levont tanulságokat hogyan lehet eredményesen és hatékonyan alkalmazni	14. cikk
Az ENISA operatív technikai eszközöket, például platformokat hoz létre, biztosít, működtet, tart karban és – szükség esetén – frissít	Az ENISA létrehozza, biztosítja, működteti, karbantartja és szükség esetén frissíti az uniós szintű kiberbiztonsággal kapcsolatos operatív technikai eszközöket (például platformokat), különösen az (EU) 2024/2847 rendelet 16. cikkének (1) bekezdése alapján létrehozott, az incidensek bejelentésére szolgáló egységes jelentéstételi platformot [és az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési pontot], és a vonatkozó uniós jogszabályokkal összhangban a megfelelőségértékelési eljárások végrehajtását támogató tesztelési eszközöket	15. cikk
Az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján európai sérülékenység-adatbázis fenntartása	Az (EU) 2022/2555 irányelv 12. cikkének (2) bekezdése alapján európai sérülékenység-adatbázis fenntartása. Sérülékenységmenedzsment-szolgáltatások nyújtása az érdekelt felek számára, az európai sérülékenység-adatbázisra építve és az ENISA rendelkezésére álló releváns információk felhasználásával. Strukturált együttműködés kialakítása az európai sérülékenység-adatbázishoz hasonló programokat, nyilvántartásokat vagy adatbázisokat biztosító szervezetekkel. Az (EU) 2022/2555 irányelv 12. cikkének (1) bekezdése alapján koordinátorként kijelölt CSIRT-ek aktív támogatása az olyan sérülékenységek összehangolt közzétételének kezelése tekintetében, amelyek egynél több tagállamban gyakorolhatnak jelentős hatást a szervezetekre. A sérülékenységek azonosítására és összehangolt közzétételére szolgáló módszerek és irányítási mechanizmusok kidolgozása és fenntartása az illetékes nemzeti hatóságokkal, a CSIRT-ekkel, az iparral és a kutatói közösséggel együttműködésben	16. cikk
A javasolt európai kiberbiztonsági tanúsítási rendszerek előkészítése	Az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó európai kiberbiztonsági tanúsítási rendszerekre irányuló javaslatok (a továbbiakban: javasolt tanúsítási rendszerek), valamint kapcsolódó műszaki előírások kidolgozása a 74. cikkel összhangban. Az elfogadott európai kiberbiztonsági tanúsítási rendszerek karbantartása a 75. cikkel összhangban, többek között az elfogadott európai kiberbiztonsági tanúsítási rendszerek 76. cikk szerinti esetleges felülvizsgálata céljából	17. cikk
Az ENISA európai egyedi kiberbiztonsági készségtanúsítási rendszereket dolgoz ki és tart karban	Az ENISA európai egyedi kiberbiztonsági készségtanúsítási rendszereket dolgoz ki és tart karban.  Az ENISA indokolással ellátott határozatot bocsát ki, amelyben vagy felhatalmazza a kérelmezőt a rendszerek megvalósítására és karbantartására vonatkozó európai egyedi tanúsítványok és megadja az engedélyt, vagy megtagadja az engedély kibocsátását, vagy lezárja a kérelem feldolgozását, ha a kérelmező által szolgáltatott információk elégtelenek vagy ha a kérelmező nem tesz eleget a kiegészítő információk iránti kérésnek	20–22. cikk
Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen.	Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást: a)    az európai kiberbiztonsági készségkeret, beleértve aktualizálásának keretét és ütemtervét; b)    az európai egyedi kiberbiztonsági készségtanúsítási rendszerek, azok előrehaladása és kidolgozásuk ütemterve; c)    az egyes európai egyedi kiberbiztonsági készségtanúsítási rendszerekhez kapcsolódó, az e rendelet 47. cikke alapján elfogadott díjak; d)    a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítvány indikatív költsége a 20. cikk (4) bekezdésével összhangban; e)    a felhatalmazott tanúsítványszolgáltatók jegyzéke.	23. cikk
A Bizottság külön e célt szolgáló nyilvános honlapot tart fenn és frissít rendszeresen	A Bizottság külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, amely tájékoztatást nyújt a következő szempontokról: a) olyan európai kiberbiztonsági tanúsítási rendszerek, amelyeknek kidolgozását kérelmezték; b) az IKT-termékek, az IKT-szolgáltatások, az IKT-folyamatok, az irányított biztonsági szolgáltatások vagy az uniós jogszabályok biztonsági követelményei harmonizációjának stratégiai prioritásai, beleértve azokat a lehetséges területeket is, amelyekre európai kiberbiztonsági tanúsítási rendszer kérhető	72. cikk
Az ENISA egy külön erre a célra szolgáló tanúsítási honlapot tart fenn	Az ENISA külön e célt szolgáló honlapot tart fenn és frissít rendszeresen, mely honlap a következőkről nyújt nyilvános tájékoztatást: a) európai kiberbiztonsági tanúsítási rendszerek; b) az egyes európai kiberbiztonsági tanúsítási rendszerek karbantartásával kapcsolatos díjak; c) az ENISA vonatkozó műszaki előírásai; d) európai kiberbiztonsági tanúsítványok és uniós megfelelőségi nyilatkozatok, beleértve az olyan tanúsítványokra és nyilatkozatokra vonatkozó információkat is, amelyek már nem érvényesek, vagy amelyeket felfüggesztettek vagy visszavontak, vagy amelyek lejártak; e) a 84. cikk (2) bekezdésével összhangban nyújtott releváns kiegészítő kiberbiztonsági információk; f)    a kölcsönös felülvizsgálatoknak a 89. cikk (7) bekezdése szerinti összefoglalása; g)    a valamely európai kiberbiztonsági tanúsítási rendszerben a 74. cikk (10) bekezdése szerint hivatkozott műszaki előírás.	79. cikk
Vizsgálatok	A Bizottság kivizsgál minden olyan esetet, amikor kétsége merül fel vagy kétség jut tudomására azzal kapcsolatban, hogy a megfelelőségértékelő szervezet megfelel-e, illetve továbbra is megfelel-e a rá vonatkozó követelményeknek és kötelezettségeknek. A Bizottság biztosítja, hogy az általa lefolytatott vizsgálatok során megszerzett valamennyi érzékeny információ kezelése bizalmasan történjen.	94. cikk
Az ENISA létrehozza és karbantartja az alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek nyilvántartását	Az alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek jegyzéke. Kérésre az ENISA lehetővé teszi az illetékes hatóságok számára, hogy hozzáférjenek a DNS-szolgáltatókra, a legfelső szintű doménnév-nyilvántartókra, a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetekre, a felhőszolgáltatókra, az adatközpont-szolgáltatókra, a tartalomszolgáltató hálózati szolgáltatókra, az irányított szolgáltatókra és az irányított biztonsági szolgáltatókra, valamint az online piacterek, az online keresőprogramok és a közösségimédia-szolgáltatási platformok szolgáltatóira vonatkozó, az említett nyilvántartásban tárolt információkhoz, biztosítva ugyanakkor adott esetben az információk bizalmas jellegének védelmét	Irányelv, 1. cikk, 11. pont

4.4.Interoperabilitási értékelés

A digitális közszolgáltatás(ok)ra vonatkozó követelmény(ek) hatása a határokon átnyúló interoperabilitásra 

Adattárak/platformok/korai riasztások/titkárság/operatív együttműködés/CVD-adatbázis  

Értékelés	Intézkedések	Potenciális fennmaradó akadályok
Értékelje a meglévő digitális és ágazati szakpolitikáknak való megfelelést   Kérjük, sorolja fel az alkalmazandó digitális és ágazati szakpolitikákat	Kiberbiztonság	Nincsenek ismert akadályok
Értékelje a határokon átnyúló digitális közszolgáltatások zökkenőmentes nyújtását célzó szervezeti intézkedéseket  Kérjük, sorolja fel a tervezett irányítási intézkedéseket	Az ENISA igazgatótanácsa   CSIRT-hálózat  EU-CyCLONe  Kiberbiztonsági Együttműködési Csoport    Ezek mindegyike olyan fórum, ahol kérdéseket lehet felvetni	N/A
Értékelje az adatok egységes értelmezésének biztosítása érdekében hozott intézkedéseket  Kérjük, sorolja fel az ilyen intézkedéseket	N/A	N/A
Értékelje a közösen elfogadott nyílt műszaki előírások és standardok alkalmazását  Kérjük, sorolja fel az ilyen intézkedéseket	N/A	N/A

Európai egyedi kiberbiztonsági készségtanúsítási rendszerek  

Értékelés	Intézkedések	Potenciális fennmaradó akadályok
Értékelje a meglévő digitális és ágazati szakpolitikáknak való megfelelést   Kérjük, sorolja fel az alkalmazandó digitális és ágazati szakpolitikákat	A javaslat a COM(2023) 207 final („Kiberkészségek Akadémiája”) közleményre épül: „az ENISA egy kísérleti projektet fog kidolgozni, amely a kiberbiztonsági készségek európai tanúsítási rendszerének létrehozását vizsgálja.”  Az (EU) 2024/1183 rendeletet (európai digitális személyiadat-tárca) használja fel, amikor úgy rendelkezik, hogy az ENISA és a felhatalmazott tanúsítványszolgáltatók gondoskodnak arról, hogy a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok elektronikus attribútumtanúsítványként az európai digitális személyiadat-tárcákba kerüljenek kibocsátásra.  Kiberbiztonság  Általános adatvédelmi rendelet (a nyilvántartások szolgáltatók általi megőrzése)	Nincsenek ismert akadályok
Értékelje a határokon átnyúló digitális közszolgáltatások zökkenőmentes nyújtását célzó szervezeti intézkedéseket  Kérjük, sorolja fel a tervezett irányítási intézkedéseket	Konzultáció az érdekelt felekkel a valamely európai egyedi kiberbiztonsági készségtanúsítási rendszer előkészítése során  A tevékenységek elkülönítése az ENISA-n belül e tevékenységek független végrehajtásának biztosítása érdekében   Fellebbezési tanács	Az európai egyedi kiberbiztonsági készségtanúsítási rendszerek használata és elismerése továbbra is önkéntes az állami és magánszervezetek számára
Értékelje az adatok egységes értelmezésének biztosítása érdekében hozott intézkedéseket  Kérjük, sorolja fel az ilyen intézkedéseket	Olyan rendszerek kidolgozása, amelyek részletezik többek között a tanúsítványok tartalmára és formátumára vonatkozó szabályokat  A felhatalmazott szolgáltatók gondoskodnak arról, hogy az egyén kérésére a kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványok elektronikus attribútumtanúsítványként, az európai digitális személyiadat-tárcákban tárolható formátumban kerüljenek kibocsátásra. Az ENISA útmutatást nyújt az értékelőknek, és kötelező képzést tart számukra az európai egyedi kiberbiztonsági készségtanúsítási rendszerben foglalt követelményekről és értékelési módszerekről  A nyilvánosság tájékoztatása egy honlapon  A díjakra vonatkozó végrehajtási jogi aktusok	Bár a rendszereknek olyan részletesnek kell lenniük, hogy biztosítsák a közös értelmezést és megkönnyítsék a végrehajtást, és bár az ENISA útmutatást fog nyújtani az értékelőknek, és kötelező képzést fog tartani számukra a rendszerek következetes végrehajtásának biztosítása érdekében, előre nem látható tényezők merülhetnek fel abban az esetben, ha a felhatalmazott tanúsítványszolgáltatóknak kapcsolatba kell lépniük az ENISA-val, más szolgáltatókkal vagy értékelőkkel
Értékelje a közösen elfogadott nyílt műszaki előírások és standardok alkalmazását  Kérjük, sorolja fel az ilyen intézkedéseket	Európai egyedi kiberbiztonsági készségtanúsítási rendszerek kidolgozása az érintett érdekelt felek támogatásával	N/A

A javasolt európai kiberbiztonsági tanúsítási rendszerek kidolgozása / számok hozzárendelése a megfelelőségértékelő szervezetekhez 

Értékelés	Intézkedések	Potenciális fennmaradó akadályok
Értékelje a meglévő digitális és ágazati szakpolitikáknak való megfelelést   Kérjük, sorolja fel az alkalmazandó digitális és ágazati szakpolitikákat	A javaslat célja az irányítás összehangolása az új jogszabályi kerettel, különösen a 765/2008/EK rendelet26 vonatkozásában.   A javaslat célja, hogy célzott európai kiberbiztonsági tanúsítási rendszerek kidolgozása révén megkönnyítse a vonatkozó kiberbiztonsági ágazati jogszabályoknak való megfelelést	Nincsenek ismert akadályok
Értékelje a határokon átnyúló digitális közszolgáltatások zökkenőmentes nyújtását célzó szervezeti intézkedéseket  Kérjük, sorolja fel a tervezett irányítási intézkedéseket	Európai kiberbiztonsági tanúsítási csoport;   ENISA;  eseti munkacsoportok;  az európai kiberbiztonsági tanúsítási csoport közgyűlése;  konzultáció az érdekelt felekkel az európai kiberbiztonsági tanúsítási rendszerek kérelmezésekor, kidolgozásakor és elfogadásakor;  az európai kiberbiztonsági tanúsítási rendszerekkel kapcsolatos tervezett végrehajtási jogi aktusokra vonatkozó bizottsági eljárások	Az európai kiberbiztonsági tanúsítás használata önkéntes, kivéve, ha európai jogszabályok másként rendelkeznek
Értékelje az adatok egységes értelmezésének biztosítása érdekében hozott intézkedéseket  Kérjük, sorolja fel az ilyen intézkedéseket	A 4.5. szakaszban felsorolt végrehajtási jogi aktusok	Az európai kiberbiztonsági tanúsítás használata önkéntes, kivéve, ha európai jogszabályok másként rendelkeznek
Értékelje a közösen elfogadott nyílt műszaki előírások és standardok alkalmazását  Kérjük, sorolja fel az ilyen intézkedéseket	A 4.5. szakaszban felsorol végrehajtási jogi aktusok.  Az európai kiberbiztonsági tanúsítási rendszer meghatározott követelményeinek összhangban kell állniuk az uniós jogból eredő követelményekkel.  Az európai kiberbiztonsági tanúsítási rendszereknek ki kell aknázniuk az értékelés során alkalmazott nemzetközi, európai vagy nemzeti szabványokat, és hivatkozniuk kell azokra, vagy – amennyiben ilyen szabványok nem állnak rendelkezésre vagy nem megfelelőek – az ENISA által kidolgozott műszaki előírásokra	N/A

Nyilvánosan hozzáférhető honlapok 

Értékelés	Intézkedések	Potenciális fennmaradó akadályok
Értékelje a meglévő digitális és ágazati szakpolitikáknak való megfelelést   Kérjük, sorolja fel az alkalmazandó digitális és ágazati szakpolitikákat	Az uniós akadálymentesítési irányelv és a honlapok akadálymentesítéséről szóló irányelv  Kiberbiztonság	Nincsenek ismert akadályok
Értékelje a határokon átnyúló digitális közszolgáltatások zökkenőmentes nyújtását célzó szervezeti intézkedéseket  Kérjük, sorolja fel a tervezett irányítási intézkedéseket	N/A	N/A
Értékelje az adatok egységes értelmezésének biztosítása érdekében hozott intézkedéseket  Kérjük, sorolja fel az ilyen intézkedéseket		N/A
Értékelje a közösen elfogadott nyílt műszaki előírások és standardok alkalmazását  Kérjük, sorolja fel az ilyen intézkedéseket		N/A

4.5.A digitális végrehajtást támogató intézkedések

A digitális végrehajtást támogató intézkedések összefoglaló leírása 

Az intézkedés leírása	Hivatkozás a követelmény(ek)re	A Bizottság szerepe   (adott esetben)	Bevonandó szereplők  (adott esetben)	Várható ütemezés  (adott esetben)
A Bizottság felhatalmazást kap arra, hogy az ENISA által kidolgozott, elfogadott javasolt tanúsítási rendszer alapján végrehajtási jogi aktusokat fogadjon el, melyek az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra vagy a szervezetek kiberbiztonsági helyzetére vonatkozó, a 80. és 81. cikkben meghatározott követelményeknek megfelelő európai kiberbiztonsági tanúsítási rendszerről rendelkeznek. E végrehajtási jogi aktust a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	75. cikk (9) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el		N/A
A Bizottság felhatalmazást kap arra, hogy a 119. cikknek megfelelően felhatalmazáson alapuló jogi aktusokat fogadjon el abból a célból, hogy biztonsági célkitűzések hozzáadásával vagy módosításával módosítsa e cikk (1) bekezdését annak biztosítása érdekében, hogy azok tükrözzék a legújabb technológiai fejleményeket és az új kapcsolódó fenyegetéseket, valamint hogy olyan új uniós jogszabályokat fogadjon el, amelyek rendelkeznek az említett jogszabályokban foglalt vonatkozó kiberbiztonsági követelményeknek való megfelelés európai kiberbiztonsági tanúsítás révén történő vélelméről	80. cikk, (2) bekezdés	A Bizottság felhatalmazást kap arra, hogy felhatalmazáson alapuló jogi aktusokat fogadjon el.		N/A
A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben közös elveket és mintarendelkezéseket állapít meg az (1), (2) és (3) bekezdésben meghatározott elemekre vonatkozóan, valamennyi európai kiberbiztonsági tanúsítási rendszerre nézve. Adott esetben és amennyiben rendelkezésre áll, az európai kiberbiztonsági tanúsítási rendszer hivatkozásokat tartalmazhat ezekre az elvekre és mintarendelkezésekre. Az első albekezdésben említett végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni. Az európai kiberbiztonsági tanúsítási rendszerek elemeire vonatkozó közös elvek és mintarendelkezések kidolgozása vagy felülvizsgálata során a Bizottság konzultál az ENISA-val, és adott esetben figyelembe veszi az európai kiberbiztonsági tanúsítási csoport, a releváns érdekelt felek és más releváns szervek által kifejtett véleményeket.	81. cikk, (5) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el	ENISA Európai kiberbiztonsági tanúsítási csoport	N/A
A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el, amelyekben meghatározza az e cikk (4) bekezdésében említett előzetes jóváhagyási modellre vagy általános átruházási modellre vonatkozó eljárásokat. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az európai kiberbiztonsági tanúsítási csoporttal. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	85. cikk, (5) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el	Európai kiberbiztonsági tanúsítási csoport	N/A
Az IKT-termékekre, az IKT-szolgáltatásokra, az IKT-folyamatokra, az irányított biztonsági szolgáltatásokra és a szervezetek kiberbiztonsági helyzetére vonatkozó harmadik országbeli tanúsítványok végrehajtási jogi aktus útján vagy az Unió és a szóban forgó harmadik ország vagy valamely nemzetközi szervezet közötti megállapodás megkötése révén egyenértékűnek ismerhetők el az európai kiberbiztonsági tanúsítványokkal, abban az esetben, ha a szóban forgó harmadik országbeli rendszernek vagy valamely nemzetközi szervezet szóban forgó rendszerének a követelményei egyenértékűnek tekinthetők az európai kiberbiztonsági tanúsítási rendszerek követelményeivel. A Bizottság felhatalmazást kap arra, hogy ilyen végrehajtási jogi aktusokat fogadjon el. A végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	87. cikk, (1) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el		N/A
A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el a legalább ötéves időszakot lefedő kölcsönös felülvizsgálati terv megállapítására, a kölcsönös felülvizsgálatot végző csoport összetételére, a kölcsönös felülvizsgálatnál alkalmazandó módszertanra, valamint a kölcsönös felülvizsgálatok menetrendjére, gyakoriságára és az azokhoz kapcsolódó egyéb feladatokra vonatkozó kritériumok meghatározására nézve. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az európai kiberbiztonsági tanúsítási csoporttal és az ENISA-val. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	89. cikk, (6) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el		N/A
A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el a megfelelőségértékelő szervezetek engedélyezésére vonatkozó – többek között a határokon átnyúló együttműködést érintő – eljárások megállapítása céljából. A Bizottság az említett végrehajtási jogi aktusok előkészítése során konzultál az ENISA-val és az európai kiberbiztonsági tanúsítási csoporttal. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	92. cikk, (8) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el	ENISA Európai kiberbiztonsági tanúsítási csoport	N/A
A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el az e cikk (1) bekezdésében említett bejelentések körülményeinek, formátumainak és eljárásainak meghatározása céljából, beleértve a más tagállamok által a bejelentési eljárás során alkalmazott kifogásolási eljárást, a megfelelőségértékelő szervezetek egyedi azonosítását, valamint a bejelentés korlátozásának, felfüggesztésének vagy visszavonásának körülményeit. E végrehajtási jogi aktusokat a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.	93. cikk, (3) bekezdés	A Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el		N/A
A Bizottság a 100. cikknek megfelelően végrehajtási jogi aktusokat fogadhat el annak érdekében, hogy jegyzékbe vegyen valamely olyan harmadik országot, amely kiberbiztonsági aggályokat vet fel IKT-ellátási láncok tekintetében	100. cikk, (2) bekezdés Kiberbiztonsági aggályokat felvető harmadik országok jegyzékbe vétele	Végrehajtási jogi aktusok elfogadása		N/A Ütemterv nincs, de a végrehajtási jogi aktusokat rendszeresen felül kell vizsgálni
A Bizottság végrehajtási jogi aktusokat fogadhat el a 103. cikk (2) bekezdésében említett egy vagy több kockázatcsökkentő intézkedések előírása céljából	103. cikk, (2) bekezdés Kockázatcsökkentő intézkedések az IKT-ellátási láncban	Végrehajtási jogi aktusok elfogadása	N/A	N/A Nincs ütemterv, de 36 havonta felülvizsgálandó (a 118. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően)
A Bizottság a 102. cikkel összhangban végrehajtási jogi aktusokat fogadhat el az (EU) 2022/2555 irányelv I. és II. mellékletében említett szervezettípusok által termékek előállításához vagy szolgáltatások nyújtásához használt kulcsfontosságú IKT-eszközök azonosítása érdekében	102. cikk, (1) bekezdés A kulcsfontosságú IKT-eszközök azonosítása	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben úgy rendelkezik, hogy tilos a 102. cikkel összhangban azonosított kulcsfontosságú IKT-eszközökben olyan IKT-összetevők vagy olyan IKT-összetevőket tartalmazó összetevők bármilyen formában történő használata, telepítése vagy integrálása, amelyek a 100. cikk (2) bekezdésével összhangban jegyzékbe vett magas kockázatú beszállítóktól származnak	103. cikk, (1) bekezdés Kockázatcsökkentő intézkedések az IKT-ellátási láncban	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság végrehajtási jogi aktusokat fogadhat el annak megállapítása céljából, hogy az (EU) 2022/2555 irányelv I. és II. mellékletében említett típusú szervezetek számára tilos a valamely konkrét szervezettől származó IKT-összetevők vagy IKT-összetevőket tartalmazó összetevők használata, telepítése vagy integrálása	103. cikk, (7) bekezdés	Végrehajtási jogi aktusok elfogadása	Konzultáció a tagállamokkal és az érintett szervezetekkel	N/A
A Bizottság végrehajtási jogi aktusok útján összeállítja a 103. cikk (1) bekezdésével összhangban elfogadott végrehajtási jogi aktusokban megállapított tilalmak vagy az 1110. cikk (1) bekezdésében említett tilalom szempontjából releváns magas kockázatú beszállítók jegyzékeit	104. cikk, (1) bekezdés	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság végrehajtási jogi aktusokat fogadhat el a 105. cikk (2) bekezdésének b) pontjában említett feltételek további pontosítása, valamint a 105. cikkben említett eljárásokra vonatkozó részletes szabályok megállapítása céljából	105. cikk A kiberbiztonsági aggályokat felvető harmadik országban letelepedett vagy ottani szervezetek által ellenőrzött szervezetek mentessége	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben részletes szabályokat állapít meg a díjakra vonatkozóan, meghatározva a díjak összegét és a díjfizetés módját	109. cikk Díjak	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság végrehajtási jogi aktusokat fogad el a magas kockázatú beszállítók által az állandóhelyű és műholdas elektronikus hírközlő hálózatok tekintetében beszállított IKT-összetevők, illetve az ilyen IKT-összetevőket tartalmazó összetevők fokozatos kivezetésére rendelkezésre álló időszakok meghatározása céljából	110. cikk, (4) bekezdés A mobil, állandóhelyű és műholdas elektronikus hírközlő hálózatok kulcsfontosságú IKT-eszközei	Végrehajtási jogi aktusok elfogadása	N/A	N/A
A Bizottság a 119. cikknek megfelelően felhatalmazáson alapuló jogi aktusokat fogadhat el a II. melléklet módosítása céljából annak érdekében, hogy azt a 103. cikk (3) bekezdésében említett elemek figyelembevételével hozzáigazítsa a technológiai fejleményekhez	110. cikk, (5) bekezdés	Felhatalmazáson alapuló jogi aktusok elfogadása	N/A	N/A
7.    A 21. cikk (5) bekezdése a következőképpen módosul: a)    a második albekezdés helyébe a következő szöveg lép: „A Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben az e bekezdés első albekezdésében említettektől eltérő alapvető és fontos szervezetek tekintetében meghatározza a (2) bekezdésben említett intézkedések technikai és módszertani követelményeit, valamint szükség esetén ágazati követelményeit. A Bizottság rendszeresen értékeli, hogy a belső piac működésének javítása érdekében el kell-e elfogadni ezen albekezdésben említett végrehajtási jogi aktusokat bizonyos ágazatokra vagy szervezettípusokra vonatkozóan. Az említett értékelések eredménye alapján a Bizottság javaslatot tehet ilyen végrehajtási jogi aktusokra az azonosított ágazatok vagy szervezettípusok tekintetében. Az ilyen értékelések elkészítésekor a Bizottság különösen az adott ágazatok vagy szervezettípusok határokon átnyúló jellegére összpontosít, és nyílt, átlátható és inkluzív konzultációs folyamatot folytat az érintett érdekelt felekkel és tagállamokkal.”; b)    a szöveg a negyedik albekezdés után a következő albekezdéssel egészül ki: „Amennyiben a Bizottság az e bekezdés első és második albekezdésében említett végrehajtási jogi aktusokat fogad el, a tagállamok az (EU) 2022/2555 irányelv 21. cikkének (2) bekezdésében említett intézkedések tekintetében nem írhatnak elő további technikai vagy módszertani követelményeket az említett végrehajtási jogi aktusok hatálya alá tartozó szervezetek számára.”	Irányelv, 1. cikk, 7. pont  A lehető legnagyobb mértékű harmonizáció	A Bizottság végrehajtási jogi aktusokat fogadhat el		N/A

(1)    ENISA, ENISA Threat Landscape 2024 (2024. évi fenyegetettségi helyzet), https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA: ENISA Threat Landscape 2025 (2025. évi fenyegetettségi helyzet).

(3)    Európai Bizottság, The future of European Competitiveness (Az európai versenyképesség jövője), https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN(2025) 130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    A Bizottság (EU) 2023/203 végrehajtási rendelete és a Bizottság (EU) 2022/1645 felhatalmazáson alapuló rendelete.

(11)    Az Európai Parlament és a Tanács (EU) 2023/1781 rendelete (2023. szeptember 13.) az Európa félvezető-ökoszisztémájának megerősítését célzó intézkedési keret létrehozásáról és az (EU) 2021/694 rendelet módosításáról (csiprendelet) (HL L 229., 2023.9.18., 1. o.).

(12)    Európai Bizottság: A Bizottság véleményezési felhívást és nyilvános konzultációt tesz közzé a közbeszerzési irányelvek értékeléséről, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en?prefLang=hu&etrans=hu .

(13)    Különösen a 2014/23/EU, a 2014/24/EU és a 2014/25/EU irányelv.

(14)    COM(2025) 837 final.

(15)    JOIN(2023) 20 final.

(16)    JOIN(2025) 120 final.

(17)    JOIN(2025) 977 final.

(18)     Rendelet – 2019/881 – HU – EUR-Lex.

(19)    A kiberkérdésekkel foglalkozó horizontális munkacsoport.

(20)    (EU) 2019/881 rendelet ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    HL C […]., […]., […]. o.

(25)    HL C […]., […]., […]. o.

(26)    Az Európai Parlament és a Tanács (EU) 2019/881 rendelete (2019. április 17.) az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról, valamint az 526/2013/EU rendelet hatályon kívül helyezéséről (kiberbiztonsági jogszabály) (HL L 151., 2019.6.7., 15. o., ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv), (HL L 333., 2022.12.27., 80. o., ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Az Európai Parlament és a Tanács (EU) 2022/2557 irányelve (2022. december 14.) a kritikus szervezetek rezilienciájáról és a 2008/114/EK tanácsi irányelv hatályon kívül helyezéséről (HL L 333., 2022.12.27., 164. o., ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Az Európai Parlament és a Tanács (EU) 2024/2847 rendelete (2024. október 23.) a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló jogszabály) (HL L, 2024/2847, 2024.11.20., ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Az Európai Parlament és a Tanács (EU) 2025/38 rendelete (2024. december 19.) a kiberfenyegetések és -események észlelése, valamint az azokra való felkészülés és reagálás érdekében az Unión belüli szolidaritás és képességek megerősítését célzó intézkedések meghatározásáról, és az (EU) 2021/694 rendelet módosításáról (a kiberszolidaritásról szóló jogszabály) (HL L, 2025/38, 2025.1.15., ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    HL C, C/2025/3445, 2025.6.20., ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Az 5G hálózatok kiberbiztonsága – A kockázatcsökkentő intézkedések uniós eszköztára, Kiberbiztonsági Együttműködési Csoport, 1/2020, elérhető a következő internetcímen: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    A Bizottság közleménye az Európai Parlamentnek és a Tanácsnak – A kiberbiztonsági szakemberhiány megszüntetése az EU versenyképességének, növekedésének és rezilienciájának növelése érdekében („Kiberkészségek Akadémiája”), COM(2023) 207 final, 2023. április 18.

(34)    Az Európai Parlament és a Tanács (EU) 2022/2554 rendelete (2022. december 14.) a pénzügyi ágazat digitális működési rezilienciájáról, valamint az 1060/2009/EK, a 648/2012/EU, a 600/2014/EU, a 909/2014/EU és az (EU) 2016/1011 rendelet módosításáról (HL L 333., 2022.12.27., 1. o., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    A Bizottság (EU) 2024/1366 felhatalmazáson alapuló rendelete (2024. március 11.) az (EU) 2019/943 európai parlamenti és tanácsi rendeletnek a határkeresztező villamosenergia-áramlás kiberbiztonsági szempontjaira vonatkozó ágazatspecifikus szabályokról szóló üzemi és kereskedelmi szabályzat létrehozása révén történő kiegészítéséről (HL L, 2024/1366, 2024.5.24., ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    A Bizottság (EU) 2022/1645 felhatalmazáson alapuló rendelete (2022. július 14.) az (EU) 2018/1139 európai parlamenti és tanácsi rendeletnek a 748/2012/EU és a 139/2014/EU bizottsági rendelet hatálya alá tartozó szervezetekre vonatkozó, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatok kezelésével kapcsolatos követelmények tekintetében történő alkalmazására irányadó szabályok megállapításáról, valamint a 748/2012/EU és a 139/2014/EU bizottsági rendelet módosításáról (HL L 248., 2022.9.26., 18. o., ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    A Bizottság (EU) 2023/203 végrehajtási rendelete (2022. október 27.) az (EU) 2018/1139 európai parlamenti és tanácsi rendeletnek az 1321/2014/EU, a 965/2012/EU, az 1178/2011/EU és az (EU) 2015/340 bizottsági rendelet, továbbá az (EU) 2017/373 és az (EU) 2021/664 bizottsági végrehajtási rendelet hatálya alá tartozó szervezetek, valamint a 748/2012/EU, az 1321/2014/EU, a 965/2012/EU, az 1178/2011/EU, az (EU) 2015/340 és a 139/2014/EU bizottsági rendelet, továbbá az (EU) 2017/373 és az (EU) 2021/664 bizottsági végrehajtási rendelet hatálya alá tartozó illetékes hatóságok tekintetében a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatok kezelésére vonatkozó követelmények tekintetében történő alkalmazására vonatkozó szabályok megállapításáról, valamint az 1178/2011/EU, a 748/2012/EU, a 965/2012/EU, a 139/2014/EU, az 1321/2014/EU és az (EU) 2015/340 bizottsági rendelet, továbbá az (EU) 2017/373 és az (EU) 2021/664 bizottsági végrehajtási rendelet módosításáról (HL L 31., 2023.2.2., 1. o., ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    A Bizottság (EU) 2019/1583 végrehajtási rendelete (2019. szeptember 25.) a közös légiközlekedés-védelmi alapkövetelmények végrehajtásához szükséges részletes intézkedések meghatározásáról szóló (EU) 2015/1998 végrehajtási rendeletnek a kiberbiztonsági intézkedések tekintetében történő módosításáról (HL L 246., 2019.9.26., 15. o., ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    A Bizottság közleménye az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának – A kórházak és az egészségügyi szolgáltatók kiberbiztonságára vonatkozó európai cselekvési terv, COM(2025) 10 final, 2025. január 15.

(40)    Az Európai Parlament és a Tanács (EU, Euratom) 2023/2841 rendelete (2023. december 13.) az uniós intézmények, szervek, hivatalok és ügynökségek egységesen magas szintű kiberbiztonságát biztosító intézkedések meghatározásáról (HL L, 2023/2841, 2023.12.18., ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    A Bizottság közleménye az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának a ProtectEU-ról: Európai belső biztonsági stratégia, COM(2025) 148 final, 2025. április 1.

(42)    A Bizottság közös közleménye az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának az európai felkészültségi unióra vonatkozó stratégiáról, JOIN(2025) 130 final.

(43)    A Bizottság közös közleménye az Európai Parlamentnek és a Tanácsnak – Az EU gazdasági biztonságának megerősítése, JOIN(2025) 977 final.

(44)    COM(2025) 837 final.

(45)    Az Európai Parlament és a Tanács 460/2004/EK rendelete (2004. március 10.) az Európai Hálózat- és Információbiztonsági Ügynökség létrehozásáról (HL L 77., 2004.3.13., 1. o., ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Az Európai Parlament és a Tanács 910/2014/EU rendelete (2014. július 23.) a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről (HL L 257., 2014.8.28., 73. o., ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Az Európai Parlament és a Tanács (EU) 2021/887 rendelete (2021. május 20.) az Európai Kiberbiztonsági Ipari, Technológiai és Kutatási Kompetenciaközpontnak és a nemzeti koordinációs központok hálózatának a létrehozásáról (HL L 202., 2021.6.8., 1. o., ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    A Bizottság közleménye az Európai Parlamentnek, az Európai Tanácsnak, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának – A készségek uniója, COM(2025) 90 final, 2025. március 5.

(49)    JOIN(2025) 791 final.

(50)    Az Európai Parlament és a Tanács (EU, Euratom) 2024/2509 rendelete (2024. szeptember 23.) az Unió általános költségvetésére alkalmazandó pénzügyi szabályokról (HL L, 2024/2509, 2024.9.26., ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    A kiberbiztonsági készségekre vonatkozó európai egyedi tanúsítványokat úgy kell értelmezni, hogy azok a piac által a „kiberbiztonsági tanúsítványként” ismert megközelítéshez hasonlók. Az európai kiberbiztonsági tanúsítási keretrendszerrel kapcsolatos félreértések elkerülése érdekében azonban előnyben kell részesíteni a Kiberkészségek Akadémiájáról szóló közleményben már használt „tanúsítás” kifejezést.

(52)

   (EU) 2025/1569 végrehajtási rendelet.

(53)    Az Európai Parlament, az Európai Unió Tanácsa és az Európai Bizottság decentralizált ügynökségekről szóló, 2012. július 19-én elfogadott együttes nyilatkozatához csatolt közös megközelítés, amely a következő internetcímen érhető el: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Az Európai Parlament és a Tanács 1049/2001/EK rendelete (2001. május 30.) az Európai Parlament, a Tanács és a Bizottság dokumentumaihoz való nyilvános hozzáférésről (HL L 145., 2001.5.31., 43. o., ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Az Európai Parlament és a Tanács (EU) 2018/1725 rendelete (2018. október 23.) a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről (HL L 295., 2018.11.21., 39. o., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Az Európai Parlament és a Tanács 2014/24/EU irányelve (2014. február 26.) a közbeszerzésről és a 2004/18/EK irányelv hatályon kívül helyezéséről (HL L 94., 2014.3.28., 65. o., ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L 119., 2016.5.4., 1. o., ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv), (HL L 333., 2022.12.27., 80. o., ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    A Bizottság (EU) 2024/482 végrehajtási rendelete (2024. január 31.) a közös kritériumokon alapuló európai kiberbiztonsági tanúsítási rendszer (EUCC) elfogadása tekintetében az (EU) 2019/881 európai parlamenti és tanácsi rendelet alkalmazására vonatkozó szabályok megállapításáról (HL L, 2024/482, 2024.2.7., ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    A Bizottság (EU) 2025/2540 végrehajtási rendelete (2025. december 9.) az (EU) 2019/881 európai parlamenti és tanácsi rendeletnek a kölcsönös felülvizsgálati terv kidolgozása tekintetében történő alkalmazására vonatkozó szabályok megállapításáról (HL L 2540., 2025.12.12., ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Az Európai Parlament és a Tanács 765/2008/EK rendelete (2008. július 9.) a termékek forgalmazása tekintetében az akkreditálás és piacfelügyelet előírásainak megállapításáról és a 339/93/EGK rendelet hatályon kívül helyezéséről (HL L 218., 2008.8.13., 30. o., ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    A Bizottság (EU) 2024/3143 végrehajtási rendelete (2024. december 18.) az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról szóló (EU) 2019/881 európai parlamenti és tanácsi rendelet 61. cikkének (5) bekezdése szerinti bejelentések feltételeinek, formátumainak és eljárásainak megállapításáról (HL L, 2024/3143, 2024.12.19., ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025 (Az ENISA fenyegetettségi helyzetjelentése, 2025), 2025. október.

(64)    Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv), (HL L 333., 2022.12.27., 80. o. ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Az Európai Parlament és a Tanács (EU) 2024/2847 rendelete (2024. október 23.) a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló jogszabály) (HL L, 2024/2847, 2024.11.20., ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/hun).

(66)    Közös közlemény az Európai Parlamentnek és a Tanácsnak – Az EU gazdasági biztonságának megerősítése, 2025. december 3., JOIN(2025) 977 final.

(67)    Az Európai Parlament és a Tanács 2014/24/EU irányelve (2014. február 26.) a közbeszerzésről és a 2004/18/EK irányelv hatályon kívül helyezéséről (HL L 94., 2014.3.28., 65. o., ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/hun).

(68)    Az Európai Parlament és a Tanács 2014/25/EU irányelve (2014. február 26.) a vízügyi, energiaipari, közlekedési és postai szolgáltatási ágazatban működő ajánlatkérők beszerzéseiről és a 2004/17/EK irányelv hatályon kívül helyezéséről (HL L 94., 2014.3.28., 243. o., ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj/hun).

(69)    A Bizottság közleménye az 5G kiberbiztonsággal kapcsolatos eszköztár végrehajtásáról, 2023. június 15., C(2023) 4049 final.

(70)    Az Európai Parlament és a Tanács (EU) 2018/1725 rendelete (2018. október 23.) a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről (HL L 295., 2018.11.21., ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Az Európai Parlament és a Tanács 1025/2012/EU rendelete (2012. október 25.) az európai szabványosításról, a 89/686/EGK és a 93/15/EGK tanácsi irányelv, a 94/9/EK, a 94/25/EK, a 95/16/EK, a 97/23/EK, a 98/34/EK, a 2004/22/EK, a 2007/23/EK, a 2009/23/EK és a 2009/105/EK európai parlamenti és tanácsi irányelv módosításáról, valamint a 87/95/EGK tanácsi határozat és az 1673/2006/EK európai parlamenti és tanácsi határozat hatályon kívül helyezéséről (HL L 316., 2012.11.14., 12. o., ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Az Európai Parlament és a Tanács (EU) 2023/2675 rendelete (2023. november 22.) az Uniónak és tagállamainak a harmadik országok által alkalmazott gazdasági kényszerítéssel szembeni védelméről (HL L, 2023/2675, 2023.12.7., ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    HL L 56., 1968.3.4., 1. o., ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    A Bizottság (EU) 2019/715 felhatalmazáson alapuló rendelete (2018. december 18.) az Európai Unió működéséről szóló szerződés és az Euratom-Szerződés keretében létrehozott és az (EU, Euratom) 2018/1046 európai parlamenti és tanácsi rendelet 70. cikkében említett szervekre vonatkozó pénzügyi keretszabályzatról (HL L 122., 2019.5.10., 1. o., ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Az Európai Parlament és a Tanács 883/2013/EU, Euratom rendelete (2013. szeptember 11.) az Európai Csalás Elleni Hivatal (OLAF) által lefolytatott vizsgálatokról, valamint az 1073/1999/EK európai parlamenti és tanácsi rendelet és az 1074/1999/Euratom tanácsi rendelet hatályon kívül helyezéséről (HL L 248., 2013.9.18., 1. o., ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    HL L 136., 1999.5.31., 15. o., ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    A Tanács 2185/96/Euratom, EK rendelete (1996. november 11.) az Európai Közösségek pénzügyi érdekeinek csalással és egyéb szabálytalanságokkal szembeni védelmében a Bizottság által végzett helyszíni ellenőrzésekről és vizsgálatokról (HL L 292., 1996.11.15., 2. o., ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Az Európai Parlament és a Tanács (EU) 2017/1371 irányelve (2017. július 5.) az Unió pénzügyi érdekeit érintő csalás ellen büntetőjogi eszközökkel folytatott küzdelemről (HL L 198., 2017.7.28., 29. o., ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    A Tanács 1. rendelete az Európai Gazdasági Közösség által használt nyelvek meghatározásáról (HL L 17., 1958.10.6., 385. o., ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    A Bizottság (EU, Euratom) 2015/443 határozata (2015. március 13.) a Bizottságon belüli biztonságról (HL L 72., 2015.3.17., 41. o., ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    A Bizottság (EU, Euratom) 2015/444 határozata (2015. március 13.) az EU-minősített adatok védelmét szolgáló biztonsági szabályokról (HL L 72., 2015.3.17., 53. o., ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv), (HL L 333., 2022.12.27., 80. o., ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Az Európai Parlament és a Tanács 1008/2008/EK rendelete (2008. szeptember 24.) a Közösségben a légi járatok működtetésére vonatkozó közös szabályokról (átdolgozott változat) (HL L 293., 2008.10.31., 3. o., ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/hun).

(84)    A költségvetési rendelet 58. cikke (2) bekezdésének a) vagy b) pontja szerint.

(85)     Politikai iránymutatás, 2024 .

(86)     Virkkunen ügyvezető alelnök megbízólevele .

(87)     Sauli Niinistö jelentése .

(88)     Draghi-jelentés az EU versenyképességéről .

(89)     Enrico Letta: Much more than a market (Jóval több mint piac) (2024. április).

(90)    Közzététel után kiegészítendő.

(91)     Az uniós kiberbiztonsági jogszabály | EUR-Lex .

(92)     Az Unió általános költségvetésére alkalmazandó pénzügyi szabályokról szóló rendelet (átdolgozás) – Az Európai Unió Kiadóhivatala .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Felhatalmazáson alapuló rendelet – 2019/715 – HU – EUR-Lex.

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/hun .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf (2023. évi összevont éves tevékenységi jelentés).

(98)     MB Decision 2019_8 Financial rules_adopted.pdf (Igazgatótanácsi határozat 2019_8 Pénzügyi szabályok_elfogadása).

(99)    diff. = differenciált előirányzatok / nem diff. = nem differenciált előirányzatok.

(100)    EFTA: Európai Szabadkereskedelmi Társulás.

(101)    Tagjelölt országok és adott esetben a nyugat-balkáni potenciális tagjelöltek.

(102)    A kimenetek a nyújtandó termékek és szolgáltatások (pl. finanszírozott diákcserék száma, épített utak hossza kilométerben stb.).

(103)    Az 1.3.2. „Egyedi célkitűzés(ek)” című szakaszban leírtak szerint.

(104)    Kérjük, a táblázat alatt jelezze, hogy a teljes munkaidős egyenértékben megadott humánerőforrás-szükségletből hány teljes munkaidős egyenérték van már most a tevékenység irányításához rendelve és/vagy hány csoportosítható át az Ön főigazgatóságán belül, valamint adja meg a nettó humánerőforrás-igényt.

(105)    A tradicionális saját források (vámok, cukorilletékek) tekintetében nettó összeget kell megadni, amely a beszedési költségekre levont 20 %-kal csökkentett bruttó összegnek felel meg.

(106)     RR-02 határozat: Az SNAS-szolgáltatások árlistája :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf . 

(107)    A karbantartás konkrétan az évi 2 személyes szakértői találkozót (100 000 EUR), a rendszert alátámasztó dokumentáció kidolgozását és felülvizsgálatát támogató vállalkozók költségeit, a tanúsítási rendszerek elterjesztését, a szakértői értékelések támogatását és a megfelelőségértékelések végrehajtását (4 x 15 000 = 60 000 EUR) veszi figyelembe. A költség magában foglalja a CEF platform és az ENISA tanúsítási honlapjának operatív részét is (40 000 EUR).