EUROPOS KOMISIJA

Strasbūras, 2026 01 20

COM(2026) 11 final

2026/0011(COD)

Pasiūlymas

EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS

dėl Europos Sąjungos kibernetinio saugumo agentūros (ENISA), Europos kibernetinio saugumo sertifikavimo sistemos ir IRT tiekimo grandinės saugumo, kuriuo panaikinamas Reglamentas (ES) 2019/881, (Antrasis kibernetinio saugumo aktas)

(Tekstas svarbus EEE)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

AIŠKINAMASIS MEMORANDUMAS

1.PASIŪLYMO APLINKYBĖS

•Pasiūlymo pagrindimas ir tikslai

Atsižvelgiant į tai, yra tokios keturios pagrindinės problemos, kurias šia siūloma Kibernetinio saugumo akto peržiūra siekiama spręsti: i) Sąjungos kibernetinio saugumo politikos sistemos neatitiktis suinteresuotųjų subjektų poreikiams vis labiau priešiškoje grėsmių panoramoje; ii) stringantis Europos kibernetinio saugumo sertifikavimo sistemos (EKSSS) įgyvendinimas; iii) su kibernetiniu saugumu susijusių politikos priemonių, darančių poveikį Sąjungos kibernetinio saugumo būklei, sudėtingumas ir įvairovė ir iv) vis didėjanti IRT tiekimo grandinių saugumo rizika.

Atsižvelgiant į nustatytas pagrindines problemas, du bendrieji intervencijos tikslai yra didinti kibernetinio saugumo pajėgumus ir atsparumą ir užkirsti kelią bendrosios rinkos susiskaidymui:

·prisidedant prie Sąjungos kibernetinio saugumo valdymo stiprinimo ir padedant užtikrinti, kad atitinkamos institucijos, valdžios institucijos ir kiti suinteresuotieji subjektai būtų geriau pasirengę koordinuotai ir veiksmingai užkirsti kelią kibernetinio saugumo grėsmėms, jas aptikti ir į jas reaguoti, ir

·remiant bendrų Sąjungos kibernetinio saugumo priemonių, pavyzdžiui, sertifikavimo schemų, kūrimą, įgyvendinimą ir diegimą ir teikiant suderintas sistemas, kuriomis būtų didinamas pasitikėjimas ir sąveikumas visose valstybėse narėse.

Šiais bendraisiais tikslais reaguojama į pagrindinius iššūkius, nustatytus apibrėžiant problemą. Jie atspindi pagrindinį politikos tikslą stiprinti kibernetinio saugumo valdymą Sąjungoje ir remti saugios, atsparios ir konkurencingos bendrosios skaitmeninės rinkos kūrimą.

Siekiant padėti pasiekti pirmiau išvardytus bendruosius tikslus, šia intervencine priemone siekiama šių konkrečių tikslų (KT):

·siekiant spręsti Sąjungos kibernetinio saugumo politikos sistemos ir suinteresuotųjų subjektų poreikių neatitikimo problemą:

·KT1 – sukurti pajėgumus veiksmingai įgyvendinti Sąjungos kibernetinio saugumo politiką ir nuolatinį operatyvinį bendradarbiavimą, sudarant sąlygas labiau struktūrizuotam valstybių narių bendradarbiavimui;

·KT2 – parengti ir įgyvendinti priemones ir mechanizmus, kuriais būtų veiksmingai remiami ir tenkinami valstybių narių, pramonės ir kitų suinteresuotųjų subjektų poreikiai;

·siekiant spręsti nepakankamo EKSSS panaudojimo ir veiksmingumo problemą:

·KT3 – sudaryti prielaidas greitesniam kibernetinio saugumo sertifikavimo schemų įgyvendinimui, atsižvelgiant į rinkos poreikius, išplečiant EKSSS taikymo sritį, užtikrinant veiksmingą priežiūrą ir lanksčias procedūras bei didinant skaidrumą;

·siekiant spręsti nevienodos atitikties užtikrinimo aplinkos ir horizontaliųjų bei sektorinių sistemų sudėtingumo problemą:

·KT4 – sukurti mechanizmus ir sąlygas, kad būtų lengviau laikytis kibernetinio saugumo reikalavimų, taip užtikrinant nuoseklesnį ir veiksmingesnį jų įgyvendinimą;

·siekiant mažinti kibernetinio saugumo riziką tiekimo grandinėje:

·KT5 – pašalinti ypatingos svarbos IRT tiekimo grandinių riziką, kurią kelia subjektai, įsisteigę kibernetinio saugumo problemų keliančiose trečiosiose valstybėse arba yra kontroliuojami tų trečiųjų valstybių subjektų, (didelės rizikos tiekėjai) ir sumažinti didelę priklausomybę sukuriant nuoseklią ir veiksmingą ES lygmens sistemą, skirtą IRT tiekimo grandinės saugumo rizikai šalinti.

Kibernetinio saugumo akto peržiūra priskiriama su Reglamentavimo kokybės ir rezultatų programa (REFIT) susijusiai kompetencijai. Ji labai padeda padidinti aiškumą, pašalinti neefektyvumą ir suderinti procedūras visose teisinėse sistemose. Kibernetinio saugumo akto peržiūra prisidedama prie tinkamo vidaus rinkos veikimo, kartu užtikrinant Sąjungos saugumą ir strateginį savarankiškumą.

Konkrečiau, ja siūloma visapusiškai reformuoti Europos Sąjungos kibernetinio saugumo agentūros (ENISA) įgaliojimus, teikiant veiksmingą paramą politikos įgyvendinimui ir pridėtinę vertę remiant valstybių narių operatyvinį bendradarbiavimą.

Atsižvelgiant į didėjančią kibernetinio saugumo riziką ir sunkumus, su kuriais susiduria Sąjunga, pasiūlymu siekiama padidinti ENISA finansinius ir žmogiškuosius išteklius, kad būtų atsižvelgta į padidėjusį jos vaidmenį, užduotis ir kritinę padėtį ginant Sąjungos skaitmeninę ekosistemą, kad ENISA galėtų veiksmingai vykdyti šiuo pasiūlymu jai pavestas užduotis.

Peržiūra taip pat padės panaikinti nevienodą praktiką, pagerinti koordinavimą ir ilgainiui sumažinti reikalavimų laikymosi ir veiklos išlaidas. Pasiūlymu, kuriuo panaikinamas dabartinis Kibernetinio saugumo aktas ir įdiegiama reformuota EKSSS, sukuriama veiksmingesnė ir efektyvesnė priemonė, kuria skatinamas įmonių, plačiosios visuomenės ir valdžios institucijų pasitikėjimas ir palengvinamas atitinkamų Sąjungos teisės aktų laikymasis. Juo didinamas veiksmingumas, nes peržiūrimas valdymo modelis ir remiamos nuspėjamesnės, nuoseklesnės ir lankstesnės sertifikavimo procedūros, kad būtų galima greičiau parengti ir įgyvendinti schemą.

Didesnė sinergija su atitinkamomis esamomis Sąjungos teisinėmis sistemomis skatins sertifikavimą kaip atitikties užtikrinimo priemonę įmonėms ir sumažins administracinę naštą atitikties vertinimo įstaigoms, veikiančioms pagal įvairius kibernetinio saugumo teisės aktus. Be to, išplečiant EKSSS taikymo sritį ir sudarant sąlygas parengti subjektų kibernetinio saugumo būklės schemą, pasiūlymu sumažinamos subjektų, kuriems taikomi atitinkami Sąjungos kibernetinio saugumo teisės aktai, reikalavimų laikymosi išlaidos, pradedant nuo subjektų, kuriems taikoma TIS 2 direktyva. Taikant šį metodą bus gerokai supaprastintos reguliavimo prievolės subjektams, kuriems taikomi keli atitikties reikalavimai, ir užtikrintas veiksmingesnis visų nacionalinių institucijų išteklių naudojimas. Be šios peržiūros, pasiūlymu dėl direktyvos, kuria nustatomi tiksliniai TIS 2 direktyvos pakeitimai, siekiama supaprastinti atitiktį konkretiems kibernetinio saugumo sistemos aspektams ir užtikrinti supaprastintą ir nuoseklų jų įgyvendinimą, be kita ko, kiek tai susiję su taikymo sritimi, apibrėžtimis, pranešimu apie išpirkos reikalavimo programinę įrangą ir tarpvalstybines paslaugas teikiančių subjektų priežiūra.

Naujuoju reglamentu taip pat sukuriama suderinta sistema, skirta kovoti su netechnine rizika, darančia poveikį IRT tiekimo grandinėms, ir sumažinamas dabartinis požiūrių skirtingumas valstybėse narėse. Visais šiais aspektais iš esmės supaprastinama ir modernizuojama Sąjungos kibernetinio saugumo teisinė sistema, visiškai suderinta su REFIT aiškumo, veiksmingumo ir skaitmeninės parengties principais.

•Suderinamumas su toje pačioje politikos srityje galiojančiomis nuostatomis

Sąjunga išplėtė savo teisinių ir politikos priemonių spektrą priimdama tam tikras teisines ir politikos priemones: i) TIS 2 direktyva siekiama stiprinti ypatingos svarbos infrastruktūros kibernetinį saugumą; ii) fizinio saugumo priemonės apibrėžtos giminingoje direktyvoje – Direktyvoje dėl ypatingos svarbos subjektų atsparumo; iii) Kibernetinio atsparumo aktu didinamas produktų kibernetinis saugumas; iv) Kibernetinio solidarumo aktu stiprinami ES masto reagavimo pajėgumai; v) ES kibernetinio saugumo planu 7 remiamas ES lygmens bendradarbiavimas krizių valdymo srityje, kuriame Komisija ir vyriausiasis įgaliotinis atlieka pagrindinius vaidmenis rengiantis didelio masto kibernetinio saugumo incidentams ir į juos reaguojant; vi) 5G kibernetinio saugumo priemonių rinkiniu (ES 5G saugumo priemonių rinkinys) stiprinamas 5G tinklų kibernetinis saugumas; vii) Europos ligoninių ir sveikatos priežiūros paslaugų teikėjų kibernetinio saugumo veiksmų planas 8 padeda didinti jų kibernetinį saugumą, o viii) Kibernetinio saugumo įgūdžių akademija 9 sprendžia didėjančią kibernetinio saugumo srities talentų trūkumo problemą.

•Suderinamumas su kitomis Sąjungos politikos sritimis

2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI

•Teisinis pagrindas

•Subsidiarumo principas (neišimtinės kompetencijos atveju)

Veiksmai, kuriems taikomas siūlomas reglamentas, suteikia aiškios pridėtinės vertės, nes jais remiamas suderinimas, teisinis aiškumas ir koordinuotas atsakas į kibernetinio saugumo problemas.

•Proporcingumo principas

•Priemonės pasirinkimas

3.EX POST VERTINIMO, KONSULTACIJŲ SU SUINTERESUOTAISIAIS SUBJEKTAIS IR POVEIKIO VERTINIMO REZULTATAI

•Galiojančių teisės aktų ex post vertinimas / tinkamumo patikrinimas

·aktualumas. ENISA svarbą kibernetinio saugumo srityje pabrėžia jos gebėjimas reaguoti į kintančius suinteresuotųjų subjektų poreikius ir prisitaikyti prie kintančios aplinkos. Nors suinteresuotieji subjektai iš esmės yra patenkinti, yra galimybių padidinti ENISA poveikį. Tai galima pasiekti didinant paramą įvairiems sektoriams, visų pirma mažosioms ir vidutinėms įmonėms (MVĮ), kurios dažnai susiduria su sunkumais vykdant kibernetinio saugumo reikalavimus, ir didinant jos matomumą. Labai svarbu geriau organizuoti išteklius ir aiškiau koordinuoti veiksmus su nacionalinėmis valdžios institucijomis. Persvarsčius veiklos prioritetus ir optimizavus esamus išteklius ENISA veikla bus geriau suderinta su dinamiškais Europos kibernetinio saugumo srities poreikiais.

Kalbant apie EKSSS, nepaisant daug žadančios idėjos, vis dar manoma, kad ši sistema turi daugiau potencialo, nei praktinio poveikio, nes neseniai pradėjo veikti tik viena sertifikavimo schema. Sistema sukurta taip, kad ją būtų galima sklandžiai integruoti į kitus Sąjungos teisės aktus, siekiant supaprastinti procedūras ir palengvinti tarpvalstybinę prekybą. Jos svarba itin didelė aukšto saugumo užtikrinimo lygio srityse, pavyzdžiui, debesijos paslaugų ir 5G infrastruktūros srityse;

·veiksmingumas. ENISA sėkmingai įvykdė savo įgaliojimus ir pasiekė beveik visus suplanuotus rezultatus, pademonstravo lankstumą ir atsparumą per tokias krizes kaip COVID-19 pandemija ir Rusijos karo veiksmai prieš Ukrainą. Tačiau, siekiant padidinti veiksmingumą, reikia geriau nustatyti prioritetus, aiškiai sutelkti dėmesį ir strategiškai paskirstyti išteklius. Lankstesnis požiūris į vidaus valdymą yra labai svarbus siekiant prisitaikyti prie kintančių kibernetinio saugumo poreikių ir kuo labiau sumažinti vėlavimus.

EKSSS buvo siekiama suderinti kibernetinio saugumo sertifikavimą visoje Sąjungoje, tačiau susidurta su dideliais sunkumais, įskaitant procedūrinius apribojimus ir nevienodumą, dėl kurių buvo vėluojama ir veikiama neveiksmingai, pavyzdžiui, buvo vėluojama priimti bendraisiais kriterijais grindžiamą Europos kibernetinio saugumo sertifikavimo schemą (EKSSS). Išorės veiksniai, pavyzdžiui, geopolitinė įtampa ir COVID-19 pandemija, dar labiau apsunkino EKSSS tikslų įgyvendinimą, o tai išryškino poreikį taikyti pritaikomas priemones ir nuosekliai paskirstyti išteklius suinteresuotiesiems subjektams, kad būtų užtikrintas kibernetinio saugumo sertifikavimo vienodumas ir veiksmingumas. Nepaisant šių kliūčių, pasiekta teigiamų rezultatų, visų pirma didinant valstybių narių informuotumą apie kibernetinio saugumo sertifikavimo svarbą ir sudėtingumą;

·efektyvumas. ENISA veikė veiksmingai pagal matrica grindžiamą organizacinę sistemą, skatindama bendradarbiavimą ir užduočių prioritetų nustatymą. Tačiau ENISA susidūrė su sunkumais tenkinant didėjančius poreikius ir užpildant specializuotas darbo vietas, o padėtį dar labiau pablogino pasaulinis IT specialistų trūkumas, dėl kurio atsirado vėlavimų ir didelis darbo krūvis. Siekdama spręsti šias problemas, ENISA galėtų optimizuoti savo vidaus darbo jėgą ir veiksmingai perskirstyti išteklius, kaip matyti iš strateginių pakeitimų, pavyzdžiui, 2022 m. išteklių skyrimo paramos kibernetiniam saugumui veiksmams. Be to, pagerinus biudžeto valdymą ir sumažinus administracines išlaidas dar labiau padidėtų Agentūros veiklos efektyvumas.

EKSSS veiksmingumas buvo kritikuojamas dėl pratęstų kibernetinio saugumo sertifikavimo schemų priėmimo terminų ir susijusių sunkumų, o pirmoji schema buvo priimta tik 2024 m. pradžioje, praėjus beveik penkeriems metams nuo Kibernetinio saugumo akto priėmimo dienos. Vėlavimą lėmė politiniai ir techniniai iššūkiai, pavyzdžiui, diskusijos dėl duomenų suverenumo ir sunkumai, susiję su projektų pavertimu teisės aktais. Pažangai trukdė politiniai iššūkiai ir techniniai reikalavimai, kaip matyti iš ES debesijos sertifikavimo schemos ir ES 5G schemos. Nepaisant šio neefektyvumo, sistema paskatino keletą teigiamų aspektų. Tačiau vis dar reikia gerinti suinteresuotųjų subjektų dalyvavimą ir vidaus valdymą, kad būtų užtikrintas optimalus veikimas ir strateginis indėlis;

·nuoseklumas. ENISA veiklos nuoseklumą padeda užtikrinti aktyvus suinteresuotųjų subjektų dalyvavimas ir suderinimas su naujausiomis teisės aktų sistemomis. Tačiau, siekiant padidinti nuoseklumą ir išteklių paskirstymą, labai svarbu gerinti sinergiją su kitomis Sąjungos įstaigomis, pavyzdžiui, Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centru (ECCC), ir nacionalinėmis valdžios institucijomis. Be to, reikia tobulinti ENISA vidaus komunikaciją ir išteklių valdymą, taip pat skaidrų bendravimą su privačiojo sektoriaus suinteresuotaisiais subjektais. Aiškiai apibrėžus ENISA užduotis, kad jos derėtų su Kibernetinio atsparumo aktu ir TIS 2 direktyva, pagerės tiek veiksmingumas, tiek reguliavimo nuoseklumas.

Kalbant apie EKSSS, visapusiškas suderinamumas su kitomis Sąjungos teisėkūros priemonėmis, įskaitant TIS 2 direktyvą ir Kibernetinio atsparumo aktą, yra labai svarbus siekiant užtikrinti vienodą požiūrį į kibernetinį saugumą. Nors iš EKSSS matyti, kad ji teoriškai suderinta su šiomis teisėkūros priemonėmis, integracija realiomis sąlygomis tebėra sudėtinga ir reikalauja kruopščios priežiūros. Priimtos EKSSS sistemos įgyvendinimas Kibernetinio atsparumo akto sistemoje šiuo atžvilgiu svarbus išbandymas;

·ES pridėtinė vertė. ENISA svariai prisidėjo prie Sąjungos kibernetinio saugumo ekosistemos skatindama bendradarbiavimą ir derindama praktiką. Jos vaidmuo sudarant palankesnes sąlygas nacionaliniams veiksmams ir teikiant įžvalgas apie kylančias grėsmes buvo labai svarbus. Tačiau privačiojo sektoriaus suinteresuotųjų subjektų reiškiama kritika dėl labiau pritaikytos paramos poreikio rodo, kad reikia aktyvesnio suinteresuotųjų subjektų dalyvavimo ir pramonės bendradarbiavimo. Strategiškai iš naujo įvertinus išteklių valdymą ENISA galėtų geriau prisitaikyti prie kintančių kibernetinio saugumo iššūkių ir veiksmingiau tarnauti įvairiems suinteresuotiesiems subjektams. EKSSS buvo siekiama nustatyti suderintus sertifikavimo procesus, tačiau dėl ilgų terminų ir nevienodumo susidurta su įgyvendinimo sunkumais. EKSSS pridėtinė vertė buvo ribota dėl jos trūkumų siekiant tikslų ir nepakankamo veiksmingumo. Nepaisant šių sunkumų, dėl EKSSS pagerėjo suderinimas tarp valstybių narių ir buvo nustatytos geresnės bendradarbiavimo galimybės, visų pirma sukūrus suinteresuotųjų subjektų bendradarbiavimo forumus, pavyzdžiui, Europos kibernetinio saugumo sertifikavimo grupę (EKSSG).

•Konsultacijos su suinteresuotaisiais subjektais

2023–2025 m. buvo surengtos kelios konsultacijos su suinteresuotaisiais subjektais tiek vertinant, tiek peržiūrint Kibernetinio saugumo aktą, kaip nurodyta toliau.

–2023 m. surengti 65 pokalbiai (52 iš jų daugiau dėmesio skirta ENISA, o 13 – daugiausia EKSSS), atlikta apklausos programa, gauti 209 atsakymai (70 iš jų – apie EKSSS), užbaigtos viešos konsultacijos ir surengti du praktiniai seminarai SSGG (stiprybių, silpnybių, galimybių ir grėsmių) analizės ir rekomendacijų klausimais, kuriuose atitinkamai dalyvavo 26 ir 70 dalyvių. Šia veikla konkrečiai siekta sužinoti suinteresuotųjų subjektų nuomonę, kad būtų galima įvertinti ENISA poveikį, veiksmingumą ir efektyvumą. Galutinė tyrimo Europos Sąjungos kibernetinio saugumo agentūros (ENISA) ir Europos kibernetinio saugumo sertifikavimo sistemos vertinimui paremti, kurį Komisijos užsakymu atliko „PwC“, „Intellera Consulting“ ir „PPMI“ (2024 m.) ataskaita buvo užbaigta 2024 m. gruodžio mėn. 

–2025 m. Komisija paskelbė kvietimą teikti informaciją. Visų pirma suinteresuotieji subjektai buvo paraginti teikti pastabas raštu, įskaitant pozicijos dokumentus, technines ataskaitas arba pastabas dėl konkrečių reformų pasiūlymų.  Iš įvairių kategorijų suinteresuotųjų subjektų, įskaitant pramonės asociacijas, kibernetinio saugumo įmones, MVĮ, akademines įstaigas ir viešojo intereso organizacijas, iš viso gauti 184 atskiri atsiliepimai.

–2025 m. balandžio–birželio mėn. Komisija, atlikdama Kibernetinio saugumo akto peržiūrą, surengė viešas konsultacijas ir gavo 193 atsakymus. Konsultacijas sudarė 38 uždarojo ir atvirojo tipų klausimai, susiję su ENISA įgaliojimais, EKSSS, IRT tiekimo grandinės saugumu ir supaprastinimu.

–Tikslinės konsultacijos (pokalbiai): Buvo surengti pusiau struktūruoti pokalbiai su atrinktais suinteresuotaisiais subjektais. Tarp jų – ENISA atstovai ir nacionalinės valdžios institucijos, sukūrusios arba valdančios nacionalines ataskaitų teikimo platformas. Pokalbiuose daugiausia dėmesio skirta ENISA vaidmeniui ir pajėgumui, operatyviniam EKSSS veikimui, praktiniams sunkumams derinant nacionalinio ir Sąjungos lygmens sertifikavimo procesus, ataskaitų teikimo naštai ir įgyvendinimo kliūtims. Šios diskusijos suteikė kokybinių įžvalgų, kurios praturtino viešų konsultacijų rezultatų aiškinimą ir padėjo tobulinti politikos galimybes.

–Konsultacijos su valstybių narių atstovais Tarybos darbo grupėje 19 ir dvišalėse diskusijose, kuriose valstybės narės galėtų pareikšti savo nuomonę dėl Kibernetinio saugumo akto peržiūros.

–Tikslinės konsultacijos (EKSSS grupės – EKSSG, Suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupė (SSKSSG)): Komisija, kaip abiejų grupių pirmininkė, 2025 m. kovo 12 d. ir liepos 3 d. EKSSG posėdžiuose ir 2025 m. kovo 17 d. SSKSSG posėdyje pristatė su Kibernetinio saugumo akto peržiūra susijusią dabartinę padėtį. Be to, klausimynais buvo surinktos papildomos EKSSG narių ekspertų nuomonės.

·ENISA įgaliojimams ir operatyviniam vaidmeniui, įskaitant paramą valstybėms narėms ir ekspertines žinias besiformuojančių technologijų srityje;

·Europos kibernetinio saugumo sertifikavimo sistemos, įskaitant valdymo ir plėtojimo procesus, veiksmingumui;

·kibernetinio saugumo įpareigojimų sudėtingumui ir skirtumams, atkreipiant dėmesį į ataskaitų teikimo naštą ir galimą supaprastinimą;

·MVĮ taikomų reikalavimų proporcingumui ir diferencijuotų atitikties užtikrinimo būdų potencialui ir

·suderintų kibernetinio saugumo taisyklių poveikiui visuomenei ir ekonomikai, įskaitant poveikį vartotojams, teisėms, inovacijoms ir konkurencingumui.

•Poveikio vertinimas

Galutinis politikos pasiūlymas nenukrypsta nuo poveikio vertinime įvertintų galimybių.

Galimybės spręsti Sąjungos kibernetinio saugumo politikos sistemos ir suinteresuotųjų subjektų poreikių nesuderinamumo vis labiau priešiškoje aplinkoje problemą

EKSSS galimybės

B.1 galimybė. Patikslinti EKSSS taikymo sritį, elementus ir tikslus ir nustatyti priežiūros mechanizmą. Pagal šią galimybę būtų numatytas naujas priimtų schemų priežiūros mechanizmas, kurį turės įgyvendinti ENISA.

B.2 galimybė. Reformuoti EKSSS peržiūrint jos procedūras ir išplečiant taikymo sritį, kad būtų lengviau supaprastinti atitiktį teisės aktams. Pagal šią galimybę Kibernetinio saugumo aktas būtų panaikintas ir pakeistas nauju reglamentu. Be B.1 galimybės, būtų peržiūrėtos procedūros, susijusios su prašymu parengti schemas, jų rengimu ir priėmimu, siekiant pagerinti atskaitomybę ir veiksmingumą.

B.3 galimybė. Reformuoti EKSSS, kaip numatyta pagal B.2 galimybę, ir nustatyti privalomą kibernetinio saugumo būklės sertifikavimą. Ši galimybė būtų grindžiama B.2 galimybe, tačiau ja siekiama toliau didinti sistemos poveikį nustatant privalomą esminių subjektų sertifikavimą, atsižvelgiant į konkrečius rizikos scenarijus, o ne pasikliauti vien savanorišku subjektų sertifikavimu.

Supaprastinimo galimybės

C.1 galimybė. Taikyti privalomos teisinės galios neturinčiais teisės aktais ir ne teisėkūros priemonėmis grindžiamą požiūrį, įskaitant naudojimąsi esamais įgaliojimais (įgyvendinimo aktų priėmimas pagal TIS 2 direktyvos 21 straipsnio 5 dalį ir 23 straipsnio 11 dalį). Pagal šią galimybę numatoma priimti įgyvendinimo aktus naudojantis esamais įgaliojimais pagal TIS 2 direktyvą, kad būtų užtikrintas didesnis kibernetinio saugumo rizikos valdymo priemonių, pranešimo apie incidentus ribų, taip pat informacijos rūšies, formatų ir notifikavimo procedūros suderinimas. Ja taip pat numatyta priimti gairių rinkinį, kad būtų padidintas teisinis tikrumas ir suderintas įgyvendinimas.

C.2 galimybė. Tikslinė intervencija – tolesnis atitikties atitinkamai Sąjungos kibernetinio saugumo srities teisės aktų sistemai supaprastinimas. Ši galimybė apima ribotą intervenciją keičiant Kibernetinio saugumo aktą ir TIS 2 direktyvą, siekiant supaprastinti konkrečius kibernetinio saugumo sistemos aspektus, įskaitant taikymo srities pritaikymą, didžiausią įgyvendinimo aktų suderinimą, atitikties įrodymą atliekant sertifikavimą ir gairių rinkinio priėmimą, kaip numatyta pagal C.1 galimybę.

D.1 galimybė. Taikyti privalomos teisinės galios neturinčiais teisės aktais grindžiamą požiūrį į kibernetinio saugumo rizikos IRT tiekimo grandinėms mažinimą. Pagal šią galimybę nebūtų numatyta reguliavimo priemonių ES lygmeniu. Vietoj to Komisija padidintų koordinuotų rizikos vertinimų ir savanoriškų priemonių rinkinių skaičių.

D.2 galimybė. Ad hoc reguliavimo intervencinė priemonė, kuria kodifikuojamas ES 5G saugumo priemonių rinkinys. Pagal šią galimybę būtų kodifikuojamos ES 5G saugumo priemonių rinkinio priemonės. Ja valstybės narės būtų įpareigotos užtikrinti, kad didelės rizikos tiekėjų komponentai nebūtų naudojami pagrindiniuose tinklo objektuose.

Šiuo deriniu užtikrinamas subalansuotas atsakas į nustatytas politikos problemas ir gerokai padidinamas veiksmingumas, efektyvumas ir nuoseklumas visoje Sąjungoje.

Be to, tikimasi, kad, supaprastinus ir sumažinus prievoles užtikrinti atitiktį, įmonės per penkerius metus sutaupys iki 15,3 mlrd. EUR. Be to, Sąjungos bendros kibernetinio saugumo būklės ir technologinio suverenumo gerinimas ir inovacijų bei konkurencingumo skatinimas būtų labai naudingi plačiajai visuomenei, valdžios institucijoms ir įmonėms. Tikimasi, kad tai iš esmės kompensuos pradines išlaidas ilguoju laikotarpiu.

Tinkamiausios galimybės, kuriomis mažinamas rinkos susiskaidymas ir suderinami reguliavimo reikalavimai, didina konkurencinę lygybę visoje Sąjungoje, nes įmonėms sudaromos aiškesnės sąlygos laikytis reikalavimų ir diegti inovacijas.

•Reglamentavimo tinkamumas ir supaprastinimas

•Pagrindinės teisės

Pasiūlymas dėl teisėkūros procedūra priimamo akto buvo įvertintas atsižvelgiant į jo potencialą stiprinti pagrindines teises arba kelti joms pavojų ir skatinti lygybę bei pasitikėjimą, ypatingą dėmesį skiriant poveikiui visuomenei ir teisėms, įskaitant privatumą, duomenų apsaugą ir asmenų gebėjimą suprasti savo teises, jomis naudotis ir užtikrinti jų vykdymą.

Išplėtus ENISA įgaliojimus bus prisidėta prie didesnio kibernetinio atsparumo visoje ekonomikoje ir visuomenėje apskritai, todėl bus geriau apsaugotas žmonių privatumas ir asmens duomenys. Pasiūlymu taip pat bus remiamas švietimas ir mokymas kibernetinio saugumo srityje, nes jame paaiškinamas ENISA vaidmuo ugdant kibernetinio saugumo srities darbuotojų įgūdžius.

Be to, EKSSS padidins Sąjungos plačiosios visuomenės ir įmonių pasitikėjimą sertifikuotais IRT sprendimais, kuriais padeda kasdieniame gyvenime. Šį poveikį padidintų papildomų sistemų įdiegimas.

4.POVEIKIS BIUDŽETUI

5.KITI ELEMENTAI

•Įgyvendinimo planai ir stebėsena, vertinimas ir ataskaitų teikimo tvarka

•Aiškinamieji dokumentai (direktyvoms)

•Išsamus konkrečių pasiūlymo nuostatų paaiškinimas

II antraštinė dalis. ENISA (EUROPOS SĄJUNGOS KIBERNETINIO SAUGUMO AGENTŪRA)

Komisija įgyvendinimo aktais gali nustatyti Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektų produktams gaminti ir paslaugoms teikti naudojamą pagrindinį IRT turtą. 102 straipsnyje išsamiau išdėstyti elementai, į kuriuos reikia atsižvelgti nustatant pagrindinį IRT turtą. 103 straipsnyje nustatytos galimos rizikos mažinimo priemonės IRT tiekimo grandinėje. Komisija įgyvendinimo aktais gali nuspręsti, kad subjektams, veikiantiems ypatingos svarbos ir kituose svarbiuose sektoriuose, turi būti taikomos konkrečios rizikos mažinimo priemonės, išsamiau apibūdintos straipsnyje.

Komisija, atlikusi įsisteigimo, nuosavybės ir kontrolės vertinimą, priima įgyvendinimo aktus, kuriais sudaro didelės rizikos tiekėjų, susijusių su pagal 103 straipsnio 1 ir 7 dalis priimtuose įgyvendinimo aktuose nustatytais draudimais arba 110 straipsnio 1 dalyje nurodytu draudimu, sąrašus. Ji turėtų konsultuotis su atitinkamais tiekėjais ir kompetentingomis institucijomis (104 straipsnis).

Subjektas, įsisteigęs trečiojoje valstybėje, kuri pagal 100 straipsnį nustatyta kaip kelianti kibernetinio saugumo problemų, arba kontroliuojamas tokios trečiosios valstybės subjektų, gali prašyti leidimo teikti Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektų pagrindinio IRT turto IRT komponentus ir dalyvauti su tokių IRT komponentų teikimu susijusiuose viešuosiuose pirkimuose. 105 straipsnyje nurodyta, kas turėtų būti nurodyta prašyme ir kokia procedūra taikoma tokiai išimčiai. 106 straipsnyje nurodytos atitinkamo subjekto teisės į gynybą. Komisija tvarko viešai prieinamą sprendimų dėl išimčių registrą (107 straipsnis). 108 ir 109 straipsniuose nustatytos konfidencialumo taisyklės ir mokesčiai, susiję su išimties taikymo procedūra.

II skyriuje numatytas patikimos IRT tiekimo grandinės sistemos taikymas judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams, užtikrinant suderinamumą su siūlomu Skaitmeninių tinklų aktu.

Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams skirtas pagrindinis IRT turtas nustatytas II priede. Pereinamasis laikotarpis, per kurį laipsniškai atsisakoma didelės rizikos tiekėjų tiekiamų IRT komponentų, skirtų judriojo elektroninio ryšio tinklo pagrindiniam IRT turtui, negali būti ilgesnis nei 36 mėnesiai nuo šio reglamento įsigaliojimo dienos. Fiksuotojo ir palydovinio elektroninio ryšio tinklams taikomus pereinamuosius laikotarpius įgyvendinimo aktais nustato Komisija. Komisijai suteikiami įgaliojimai priimti deleguotąjį aktą, kuriuo iš dalies keičiamas priskirtasis pagrindinis IRT turtas ir pereinamieji laikotarpiai, be kita ko, ateities mobiliosioms kartoms (110 straipsnis). 111 straipsnyje nustatyta, kad judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų teikėjai negali jokia forma naudoti, įrengti ar integruoti didelės rizikos tiekėjų tiekiamų IRT komponentų ir jiems negali būti suteiktas bendrasis ar individualus leidimas.

Kompetentingos institucijos, priežiūra ir vykdymo užtikrinimas, jurisdikcija, teisės į gynybą (III skyrius)

III skyriuje taip pat nustatytos taisyklės dėl kompetentingų institucijų, priežiūros ir vykdymo užtikrinimo bei jurisdikcijos. 

112–114 straipsniuose nurodomi valstybių narių įgaliojimai, priemonės ir atsakomybė užtikrinant IV antraštinės dalies nuostatų įgyvendinimą ir vykdymą. Valstybės narės turi paskirti vieną ar daugiau kompetentingų institucijų, apie kurias turi būti pranešta Komisijai. 113 straipsnyje numatyta, kad Komisija sukuria valstybių narių kompetentingų institucijų ir Komisijos bendradarbiavimo tinklą, kad būtų lengviau laikytis reikalavimų, o 114 straipsnyje nurodytos priežiūros ir vykdymo užtikrinimo priemonės, kurių kompetentingos institucijos turi teisę imtis. Sankcijos, taikomos pažeidus IV antraštinės dalies nuostatas, nurodytos 115 straipsnyje. 116 straipsnyje išsamiai nustatyta, kad valstybės narės gali viena kitai padėti, kai subjektai vykdo tarpvalstybinę veiklą arba kai jų pagrindinis IRT turtas yra keliose valstybėse narėse. 117 straipsnyje nustatytos jurisdikcijos ir teritoriškumo taisyklės.

2026/0011 (COD)

Pasiūlymas

EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS

dėl Europos Sąjungos kibernetinio saugumo agentūros (ENISA), Europos kibernetinio saugumo sertifikavimo sistemos ir IRT tiekimo grandinės saugumo, kuriuo panaikinamas Reglamentas (ES) 2019/881, (Antrasis kibernetinio saugumo aktas)

(Tekstas svarbus EEE)

EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,

atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį,

atsižvelgdami į Europos Komisijos pasiūlymą,

teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams,

atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę 24 ,

atsižvelgdami į Regionų komiteto nuomonę 25 ,

laikydamiesi įprastos teisėkūros procedūros,

kadangi:

(1) nuo tada, kai buvo priimtas Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 26 , geopolitinė, technologinė ir politikos aplinka labai pasikeitė. Padaugėjo kibernetinio saugumo incidentų, kuriuos sukėlė sistemos gedimai, žmogaus klaidos, piktavališki veiksmai ar gamtos reiškiniai, o kibernetiniai išpuoliai tapo sudėtingesni ir daro poveikį esminiams subjektams, įmonėms ir plačiajai visuomenei. Kibernetinių nusikaltimų ekosistema sparčiai išsiplėtė, o jos pagrindas – veikla, kuriai naudojama išpirkos reikalavimo programinė įranga. Suintensyvėjo tiekimo grandinės incidentai, kuriuos sukėlė nusikaltėliai siekdami finansinės naudos arba valstybiniai subjektai sutrikdymo, šnipinėjimo, dezinformacijos ar karo tikslais. Įgyvendinant platesnę hibridinę strategiją, incidentai, kylantys dėl kibernetinės kenkimo veiklos ir sistemos gedimų, plinta į išorę, sutrikdo esmines paslaugas, mažina pasitikėjimą institucijomis ir daro poveikį Sąjungos visuomenės ir gynybos parengčiai. Įrodyta, kad tokie incidentai gali daryti poveikį ekonominei veiklai, finansiniam stabilumui ir žmonių gyvenimui. Be to, ypatingos svarbos civilinės infrastruktūros ir sistemų pažeidžiamumas kelia pavojų gynybos pajėgumams tais atvejais, kai šie nuo jų priklauso;

(2)be to, besiformuojančios technologijos, pavyzdžiui, dirbtinis intelektas ir kvantinė kompiuterija, daro trikdomąjį poveikį kibernetiniam saugumui ir kibernetinei gynybai. Jos keičia gynybos priemones ir priešininkų taktiką, kelia grėsmę kibernetiniam saugumui ir kibernetinei gynybai, tačiau kartu atveria galimybes technologinei pažangai. Nors gerindamos grėsmių aptikimą arba automatizuotai reaguodamos į incidentus jos gali padėti didinti kibernetinį saugumą, jos taip pat didina bendrą organizacijų pažeidžiamumą, yra potencialūs manipuliacijų objektai ir gali pakenkti ilgalaikiam saugumo priemonių, pvz., šifravimo, veiksmingumui;

(3)siekdama reaguoti į šiuos pokyčius, Sąjunga sustiprino savo teisines ir politikos priemones. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 27 , kurią papildo Europos Parlamento ir Tarybos direktyva (ES) 2022/2557 dėl fizinio saugumo 28 , didinamas ypatingos svarbos infrastruktūros kibernetinis saugumas. Europos Parlamento ir Tarybos reglamentu (ES) 2024/2847 29 padidintas produktų su skaitmeniniais elementais kibernetinis saugumas. Europos Parlamento ir Tarybos reglamentu (ES) 2025/38 30 stiprinami Sąjungos masto reagavimo pajėgumai, o 2025 m. birželio 6 d. Tarybos rekomendacija dėl ES kibernetinių krizių valdymo plano 31 (toliau – Rekomendacija dėl Kibernetinio saugumo plano) remiamas Sąjungos lygmens bendradarbiavimas krizių valdymo srityje. 5G kibernetinio saugumo priemonių rinkinys 32 yra pirmas žingsnis siekiant suderinto požiūrio Sąjungos lygmeniu į 5G tinklų saugumą. Komisijos komunikate dėl Kibernetinio saugumo įgūdžių akademijos 33 sprendžiama didėjanti kibernetinio saugumo specialistų trūkumo problema. Be to, kibernetinio saugumo sistema sustiprinta konkretiems sektoriams skirtais teisės aktais, visų pirma Europos Parlamento ir Tarybos reglamentu (ES) 2022/2554 34 dėl finansų sektoriaus, Komisijos deleguotuoju reglamentu (ES) 2024/1366 35 dėl elektros energijos subsektoriaus, Komisijos deleguotuoju reglamentu (ES) 2022/1645 36 ir Komisijos įgyvendinimo reglamentu (ES) 2023/203 37 (IS dalis), taip pat atitinkamomis aviacijos saugumo taisyklėmis, nustatytomis Komisijos reglamente (ES) 2019/1583 38 dėl oro transporto subsektoriaus, ir kitais politikos dokumentais, pavyzdžiui, Komisijos komunikatu dėl ES ligoninių ir sveikatos priežiūros paslaugų teikėjų kibernetinio saugumo veiksmų plano 39 . Sąjungos subjektai taip pat sustiprinami Europos Parlamento ir Tarybos reglamentu (ES, Euratomas) 2023/2841 40 , kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti. Šioje sustiprintoje kibernetinio saugumo teisinėje sistemoje išsamiau apibrėžtos ENISA užduotys;

(4)atsižvelgiant į tai ir kaip nurodyta Europos vidaus saugumo strategijoje: Europos vidaus saugumo strategijai 41 , ES pasirengimo krizėms strategijai 42 , kuriomis užtikrinama Sąjungos visuomenės ir ekonomikos parengtis, saugumas ir atsparumas, įgyvendinti reikia tvirto Europos koordinavimo, pasitikėjimo ir suinteresuotųjų subjektų dalijimosi informacija, tvirtų sistemų IRT produktų, paslaugų, procesų ir valdomų saugumo paslaugų saugumui užtikrinti, taip pat reikia didinti kibernetinio saugumo srities darbuotojų skaičių ir stiprinti jų įgūdžius. Joje taip pat raginama stiprinti IRT tiekimo grandines užtikrinant Europos technologinį suverenumą pagrindinių išteklių atžvilgiu, nes tai padidintų Sąjungos atsparumą ir galėtų būti naudinga kibernetinės gynybos veiksmams. Be to, Komunikate dėl ES ekonominio saugumo stiprinimo 43 kaip prioritetiniai tikslai nurodyti poreikiai užkirsti kelią prieigai prie neskelbtinos informacijos ir duomenų, kurie galėtų pakenkti ES ekonominiam saugumui, ir užkirsti kelią ES ypatingos svarbos infrastruktūros sutrikimams, darantiems poveikį ES ekonomikai, bei juos sušvelninti. Ji pripažįsta esminį veiksmingų kibernetinio saugumo priemonių vaidmenį šioje srityje;

(5)didelio masto kibernetinio saugumo incidentai, darantys poveikį ypatingos svarbos infrastruktūrai, skaitmeninėms paslaugoms ar esminėms visuomenės funkcijoms, gali daryti poveikį gyventojams, todėl reikia imtis koordinuotų civilinės saugos ir krizių valdymo veiksmų Sąjungos lygmeniu. Laikantis ES pasirengimo krizėms strategijoje ir Sprendime Nr. 1313/2013/ES dėl Sąjungos civilinės saugos mechanizmo nustatyto visus pavojus apimančio požiūrio, informuotumo apie padėtį, reagavimo į incidentus ir pratybų tvarka pagal šį reglamentą turėtų būti įtraukta į Sąjungos krizių valdymo procesą, visų pirma pasitelkiant Reagavimo į nelaimes koordinavimo centrą (RNKC);

(6)šis pasiūlymas dera su [pasiūlymu dėl direktyvos, kuria papildoma [Reglamento (ES) 2019/881 peržiūra] ir iš dalies keičiama Direktyva (ES) 2022/2555, kiek tai susiję su priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti įgyvendinimo supaprastinimu], taip pat su [pasiūlymu dėl Reglamento dėl skaitmeninio sektoriaus teisės aktų sistemos supaprastinimo (Skaitmeninio sektoriaus bendrasis rinkinys) 44 , kuriuo ENISA įpareigojama sukurti vieną bendrą prieigą, skirtą pranešimams apie incidentus teikti, per kurią subjektai galėtų vienu metu vykdyti savo pareigas pranešti apie incidentus pagal kelis teisės aktus, ir jį papildo;

(7)Europos Parlamento ir Tarybos reglamentu (EB) Nr. 460/2004 45 įsteigta ENISA, kurios tikslas – padėti užtikrinti aukštą Sąjungos tinklų ir informacijos saugumo lygį ir piliečių, vartotojų, įmonių ir viešojo administravimo institucijų labui formuoti tinklų ir informacijos saugumo kultūrą. ENISA įgaliojimai buvo pratęsti tris kartus prieš tai, kai Reglamentu (ES) 2019/881 jai buvo suteikti nuolatiniai įgaliojimai. Siekiant geriau patenkinti poreikius, atsiradusius dėl kintančios grėsmių ir technologinės aplinkos, visų pirma susijusius su operatyviniu bendradarbiavimu ir padidėjusiu kibernetinio saugumo specialistų poreikiu, ENISA įgaliojimai turėtų būti dar labiau sustiprinti. Siekiant teisinio aiškumo Reglamentas (ES) 2019/881 turėtų būti pakeistas kitu reglamentu;

(8)nuolat kintančioje grėsmių aplinkoje, kurioje kibernetinio saugumo incidentai tampa vis reikšmingesni, kaip niekad svarbu užtikrinti asmenų, valdžios institucijų ir įmonių pasitikėjimą kasdieniu technologijų naudojimu. Padėti padidinti pasitikėjimą galėtų Sąjungos masto EKSSS sertifikavimas, numatant bendrus kibernetinio saugumo reikalavimus ir vertinimo kriterijus visose nacionalinėse rinkose ir sektoriuose. Naujojoje sistemoje turėtų būti nustatyti pagrindiniai horizontalieji Europos kibernetinio saugumo sertifikavimo schemų reikalavimai ir sudarytos sąlygos pripažinti ir naudoti Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus visose valstybėse narėse. Tokiu būdu joje turėtų būti nustatyta procedūra ir valdymo sistema, pagal kurią būtų galima laiku ir nuspėjamai parengti ir prižiūrėti Europos kibernetinio saugumo sertifikavimo schemas. Europos kibernetinio saugumo sertifikavimo schemos turėtų būti vienodai taikomos visose valstybėse narėse, siekiant užtikrinti suderintą kibernetinio saugumo reikalavimų įgyvendinimą, vienodas sąlygas ir neleisti taikyti palankesnių sertifikatų išdavimo sąlygų ieškojimo praktikos, grindžiamos skirtingu griežtumo lygiu skirtingose valstybėse narėse. ENISA turėtų atlikti pagrindinį vaidmenį numatant schemų plėtojimą taikant technines specifikacijas ir užtikrinant, kad tokios schemos išliktų techniškai aktualios. Be to, siekiant veiksmingai patenkinti rinkos poreikius, sistemoje turėtų būti numatyta galimybė sertifikuoti subjektams skirtas kibernetinio saugumo rizikos valdymo priemones ir sudaryti palankesnes sąlygas laikytis kitų kibernetinio saugumo srityje taikytinų Sąjungos teisės aktų. Suderinimas su galiojančia Sąjungos teise, pavyzdžiui, Reglamentu (ES) 2024/2847 ir Direktyva (ES) 2022/2555, yra labai svarbus, kad Europos kibernetinio saugumo sertifikavimo schemos padėtų sumažinti įmonėms tenkančią reikalavimų laikymosi naštą, padidinti jų patrauklumą ir Sąjungos kibernetinį atsparumą;

(9)ENISA misija turėtų būti padėti valstybėms narėms ir Sąjungos subjektams pasiekti aukštą kibernetinio saugumo, atsparumo ir pasitikėjimo lygį Sąjungoje. Tuo tikslu ENISA turėtų veikti kaip konsultacijų ir ekspertinių žinių kibernetinio saugumo klausimais centras, o jos darbas visų pirma turėtų būti sutelktas į keturias pagrindines kibernetinio saugumo sritis Sąjungos lygmeniu. Pirma, ENISA turėtų padėti valstybėms narėms nuosekliai įgyvendinti su kibernetiniu saugumu susijusią Sąjungos politiką ir teisės aktus ir, vykdydama pajėgumų stiprinimo veiklą, padėti valstybėms narėms nuolat gerinti savo parengties, atsparumo ir reagavimo pajėgumus. Antra, ENISA turėtų prisidėti prie valstybių narių operatyvinio bendradarbiavimo Sąjungos lygmeniu ir didesnio bendro valstybių narių ir Sąjungos subjektų informuotumo apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais. Trečioji pagrindinė sritis turėtų būti kibernetinio saugumo sertifikavimas ir standartizavimas, o ketvirtoji – Kibernetinio saugumo įgūdžių akademijos, kuri turėtų padėti ugdyti sėkmingus Europos kibernetinio saugumo specialistus, turinčius įgūdžių, kurie turėtų būti perkeliami į kitas valstybes nares, įgyvendinimas;

(10)Reglamentu (ES, Euratomas) 2023/2841, kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, CERT-EU suteikiami įgaliojimai, įsteigiant ją kaip Sąjungos institucijų, įstaigų, organų ir agentūrų kibernetinio saugumo tarnybą, kad ji prisidėtų prie Sąjungos subjektų neįslaptintos IRT aplinkos saugumo, konsultuodama juos kibernetinio saugumo klausimais, padėdama jiems užkirsti kelią incidentams, juos aptikti, valdyti, sušvelninti jų poveikį, į juos reaguoti ir po jų atkurti veiklą ir veikdama kaip jų keitimosi kibernetinio saugumo informacija ir reagavimo į incidentus koordinavimo centras. Be to, CERT-EU pavesta teikti atitinkamas kibernetinio saugumo paslaugas Sąjungos subjektams. Vykdydama savo misiją ENISA taip pat turėtų remti Sąjungos subjektus. Visų pirma ji turėtų tai daryti palaikydama struktūrinį bendradarbiavimą su CERT-EU gebėjimų stiprinimo, operatyvinio bendradarbiavimo ir ilgalaikės strateginės kibernetinių grėsmių analizės srityse. Kai aktualu, ENISA gali koordinuotai pasinaudoti struktūrizuotu bendradarbiavimu su CERT-EU ENISA kibernetinio saugumo paslaugų ar paramos, kuri gali suteikti pridėtinės vertės Sąjungos subjektams, srityje, kad būtų užtikrinta CERT-EU pastangų sinergija;

(11)viena iš pagrindinių ENISA užduočių turėtų būti padėti valstybėms narėms nuosekliai įgyvendinti Sąjungos politiką ir teisę kibernetinio saugumo srityje, visų pirma kiek tai susiję su Direktyva (ES) 2022/2555, Reglamentu (ES) 2024/2847 ir Reglamentu (ES) 2025/38. Siekdama padėti užtikrinti nuoseklų ir veiksmingą Sąjungos kibernetinio saugumo acquis įgyvendinimą, ENISA turėtų skelbti technines gaires ir ataskaitas, teikti konsultacijas ir geriausios praktikos pavyzdžius ir šiuo tikslu sudaryti palankesnes sąlygas kompetentingoms institucijoms keistis geriausios praktikos pavyzdžiais. Be to, ENISA vertina kibernetinio saugumo padėtį Sąjungoje ir tuo tikslu patvirtina ataskaitą pagal Direktyvos (ES) 2022/2555 18 straipsnį. ENISA taip pat turėtų turėti galimybę atsakyti į valstybių narių ir, kai taikytina, Sąjungos subjektų prašymus patarti ir padėti ENISA įgaliojimų sričiai priklausančiais klausimais;

(12)siekdama skatinti viešojo ir privačiojo sektorių bendradarbiavimą ir bendradarbiavimą privačiajame sektoriuje, visų pirma siekiant prisidėti prie ypatingos svarbos infrastruktūros apsaugos, ENISA turėtų remti dalijimąsi informacija sektoriuose ir tarp jų, visų pirma Direktyvos (ES) 2022/2555 I ir II prieduose išvardytuose sektoriuose, ir informacija apie produktus su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847. Tokia parama gali būti teikiama pateikiant geriausios praktikos pavyzdžius ir gaires dėl turimų priemonių ir procedūrų, taip pat pateikiant gaires, kaip spręsti reguliavimo klausimus, susijusius su dalijimusi informacija, pavyzdžiui, sudarant palankesnes sąlygas įsteigti sektorių keitimosi informacija ir jos analizės centrus (ISAC);

(13)siekdama remti ir palengvinti strateginį bendradarbiavimą ir keitimąsi informacija, ENISA turėtų prisidėti prie Direktyva (ES) 2022/2555 įsteigtos Bendradarbiavimo grupės (toliau – TIS bendradarbiavimo grupė) veiklos, visų pirma teikdama ekspertines žinias, konsultacijas ir sudarydama palankesnes sąlygas keistis geriausios praktikos pavyzdžiais, be kita ko, susijusiais su tarpvalstybine priklausomybe, rizika ir incidentais. ENISA taip pat turėtų prisidėti prie Bendradarbiavimo dėl Europos skaitmeninės tapatybės grupės, įsteigtos Europos Parlamento ir Tarybos reglamentu (ES) Nr. 910/2014 46 , Europos kibernetinio saugumo sertifikavimo grupės ir administracinio bendradarbiavimo grupės, įsteigtos Reglamentu (ES) 2024/2847, darbo;

(14)atvirojo interneto viešasis pagrindas, kitaip tariant – interneto pagrindiniai protokolai ir infrastruktūra, kurie yra visuotinės viešosios gėrybės, užtikrina esmines viso interneto funkcines galimybes ir nuo jų priklauso jo įprastas veikimas. Pagal savo įgaliojimus ENISA turėtų remti atvirojo interneto viešojo pagrindo saugumą bei atsparumą ir jo veikimo stabilumą, įskaitant, be kita ko, saugų pagrindinių protokolų (visų pirma domenų vardų sistemos, pasienio tinklų sietuvo protokolo ir šeštosios interneto protokolo versijos) diegimą ir veikimą ir domenų vardų sistemos veikimą (pvz., visų aukščiausio lygio domenų veikimą), skatindama geriausią praktiką, gaires ir bendradarbiavimą pagal nustatytas pasaulines įvairių suinteresuotųjų subjektų interneto valdymo priemones ir atitinkamus atitinkamų tarptautinių techninių ir operatyvinių įstaigų vaidmenis ir pareigas;

(15)ENISA veikia kaip informacijos centras, teikiantis konsultacijas ir ekspertines žinias kibernetinio saugumo klausimais. Todėl Komisijos prašymu ENISA turėtų jai padėti teikdama ekspertines žinias, technines konsultacijas, informaciją, analizes, įskaitant galimybių studijas, nuomones ir parengiamąjį darbą, susijusius su bet kuriuo konkrečiu kibernetinio saugumo srities klausimu, kad Komisija galėtų formuoti politiką ir jai būtų lengviau stebėti, kaip įgyvendinami su kibernetiniu saugumu susiję Sąjungos teisės aktai;

(16)be to, atsižvelgdama į savo kompetenciją, ENISA turėtų padėti valstybėms narėms joms dedant pastangas plėtoti ir stiprinti pajėgumą ir parengtį užkirsti kelią tinklų ir informacinių sistemų saugumui kylančioms kibernetinėms grėsmėms ir incidentams, juos nustatyti ir į juos reaguoti. Visų pirma ENISA turėtų padėti plėtoti ir stiprinti reagavimo į kompiuterių saugumo incidentus tarnybas (toliau – CSIRT), nurodytas Direktyvoje (ES) 2022/2555, kad Sąjungoje būtų užtikrintas vienodas aukštas jų brandos lygis;

(17)ENISA padėjo ir turėtų toliau padėti valstybėms narėms rengti ir įgyvendinti jų nacionalinių kibernetinio saugumo strategijų gaires, prisidėdama prie visų valstybių narių kibernetinio saugumo strategijų priėmimo ir įgyvendinimo. ENISA turėtų skatinti tokių strategijų sklaidą naudodamasi sąveikiuoju nacionalinių kibernetinio saugumo strategijų žemėlapiu ir toliau stebėti jų įgyvendinimo pažangą, be kita ko, teikdama paramą rengiant pagrindinius veiklos rezultatų rodiklius šioje srityje;

(18)Reglamentu (ES, Euratomas) 2023/2841 Tarpinstitucinei kibernetinio saugumo tarybai pavesta padėti Sąjungos subjektams gerinti savo atitinkamą kibernetinio saugumo būklę, o CERT-EU – prisidėti prie visų Sąjungos subjektų neįslaptintos IRT aplinkos saugumo. ENISA, remdamasi savo patirtimi kibernetinio saugumo srityje, turėtų padėti Tarpinstitucinei kibernetinio saugumo tarybai ir CERT-EU vykdyti savo užduotis pagal Reglamentą (ES, Euratomas) 2023/2841, be kita ko, prisidėdama prie kibernetinių grėsmių analizės, informuotumo apie padėtį, kibernetinio saugumo pratybų, reagavimo į incidentus koordinavimo ir keitimosi praktine patirtimi bei geriausios praktikos pavyzdžiais;

(19)vadovaudamasi ENISA ekspertinėmis žiniomis ir siekdama papildyti nacionalinių ir Sąjungos valdžios institucijų pajėgumus, ENISA turėtų rengti mokymus, remdamasi Europos kibernetinio saugumo įgūdžių sistema (EKSĮS), visų pirma siekdama remti veiksmingą politikos įgyvendinimą, operatyvinį bendradarbiavimą ir informuotumo didinimą;

(20)siekdama užtikrinti sinergiją su Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centru (ECCC) ir Nacionalinių koordinavimo centrų tinklu, įsteigtu pagal Europos Parlamento ir Tarybos reglamentą (ES) 2021/887 47 , ENISA turėtų jiems padėti dalydamasi informacija apie esamą ir naują riziką ir kibernetines grėsmes, įskaitant su informacinėmis ir ryšių technologijomis susijusią riziką ir grėsmes;

(21)Pasirengimo strategijoje pabrėžiama, kad skaitmeninis raštingumas, kuris priklauso nuo pagrindinių skaitmeninių įgūdžių įgijimo, yra labai svarbus siekiant suteikti piliečiams daugiau galimybių ir didinti jų atsparumą galimų krizių akivaizdoje. Tačiau, kaip pabrėžta Komisijos komunikate dėl įgūdžių sąjungos 48 , beveik pusė suaugusių gyventojų neturi pagrindinių skaitmeninių įgūdžių, nepaisant to, kad daugiau kaip 90 proc. darbo vietų tokie įgūdžiai yra reikalingi. Siekdama užtikrinti, kad dabartiniai ir potencialūs būsimi darbuotojai turėtų reikiamų įgūdžių sparčiai kintančioje skaitmeninėje aplinkoje, ir prisidėti prie Europos kibernetinio saugumo specialistų bazės kūrimo, ENISA turėtų remti informuotumo apie kibernetinį saugumą didinimo veiklą, kuria siekiama pritraukti specialistus ir padėti informuoti apie švietimą ir įgūdžius, kurių reikia kibernetinio saugumo srityje, pavyzdžiui, Europos kibernetinio saugumo iššūkį. Šiuo tikslu ENISA turėtų koordinuoti kibernetinio saugumo konkursus, vykdyti pavyzdinius renginius ir panašią praktinę veiklą, kaip priemonę kibernetinio saugumo įgūdžiams ugdyti ir gebėjimams stiprinti visoje Sąjungoje. Vykdydama informuotumo didinimo veiklą ENISA turėtų užtikrinti, kad ji atitiktų nacionalinių valdžios institucijų ir Sąjungos subjektų poreikius, taip pat įmonių, visų pirma MVĮ, ir švietimo bei mokymo įstaigų poreikius, išlaikydama praktines sistemas ir mokymus, pavyzdžiui, informuotumo didinimą darbo vietoje. ENISA turėtų toliau rengti praktines ir įgyvendinamas gaires, kuriomis būtų remiamas Sąjungos kibernetinio saugumo politikos ir teisės aktų įgyvendinimas. ENISA taip pat turėtų siekti suteikti svarbią informaciją apie taikomas sertifikavimo schemas, pvz. parengdama gaires ir rekomendacijas;

(22)siekdama remti kibernetinio saugumo sektoriuje veikiančias įmones, kibernetinio saugumo sprendimų naudotojus ir užtikrinti veiksmingą šio reglamento III antraštinės dalies įgyvendinimą, ENISA turėtų sukurti ir prižiūrėti rinkos stebėjimo centrą, reguliariai analizuodama ir skleisdama informaciją apie pagrindines kibernetinio saugumo rinkos paklausos ir pasiūlos tendencijas. Be to, siekdama padėti ES kibernetinio saugumo rezervo, sukurto pagal Reglamentą (ES) 2025/38, naudotojams, ENISA turėtų parengti tokiems naudotojams reikalingų paslaugų ir tokių paslaugų prieinamumo žemėlapį pagal tą reglamentą;

(23)kibernetinės grėsmės yra pasaulinės. Siekiant pagerinti kibernetinį saugumą, be kita ko, nustatyti bendras elgesio normas ir bendrus metodus, būtinas glaudesnis tarptautinis bendradarbiavimas. Tuo tikslu ENISA turėtų remti Sąjungos bendradarbiavimą su trečiosiomis valstybėmis, daugiausia dėmesio skirdama šalims, kurios yra kandidatės stoti į Sąjungą, ir tarptautinėmis organizacijomis, pavyzdžiui, NATO, prireikus teikdama Komisijai ir atitinkamiems Sąjungos subjektams būtinas ekspertines žinias ir analizę. ENISA veikla tarptautinėje srityje visada turėtų atitikti Sąjungos prioritetus;

(24)siekdama padėti pasiekti aukštą kibernetinio saugumo lygį Sąjungoje, ENISA, bendradarbiaudama su CERT-EU, turėtų remti valstybių narių, Sąjungos subjektų ir suinteresuotųjų subjektų operatyvinį bendradarbiavimą. Tuo tikslu turėtų būti sustiprintas ENISA vaidmuo. ENISA turėtų tapti CSIRT tinklo nare ir prisidėti prie keitimosi tinklo informacija ir jos analizės. ENISA turėtų toliau skatinti ir remti atitinkamų CSIRT bendradarbiavimą incidentų, išpuolių ar tinklų ar infrastruktūros, kuriuos valdo ar saugo CSIRT, sutrikimų atveju. Aktyvi ENISA parama CSIRT tinklo ir Europos ryšių palaikymo dėl kibernetinių krizių organizacinio tinklo (EU-CyCLONe) darbui turėtų sudaryti sąlygas tiems tinklams toliau stiprinti savo brandos lygį. ENISA vaidmuo remiant tokį bendradarbiavimą apima kovą su grėsmėmis demokratinių institucijų, rinkimų ir kitų procesų saugumui ir vientisumui, taip pat ypatingos svarbos infrastruktūrai, nuo kurios jie priklauso, vadovaujantis komunikatu „Europos demokratijos skydas. Stiprių ir atsparių demokratinių valstybių įgalėjimas“ 49 ;

(25)siekdama remti pajėgumų stiprinimą, operatyvinį bendradarbiavimą ir ilgalaikę strateginę kibernetinių grėsmių analizę, ENISA turėtų pasinaudoti CERT-EU turimomis techninėmis ir operatyvinėmis ekspertinėmis žiniomis vykdydama struktūrinį bendradarbiavimą, pavyzdžiui, sudarydama specialius susitarimus;

(26)siekdama stiprinti kibernetinį saugumą visoje Sąjungoje ir užtikrinti greitą ir veiksmingą reagavimą į kibernetines grėsmes, ENISA turėtų remti valstybes nares jų prašymu, be kita ko, teikdama konsultacijas dėl jų pajėgumų užkirsti kelią incidentams, juos aptikti, į juos reaguoti ir po jų atkurti veiklą gerinimo, sudarydama palankesnes sąlygas techniškai valdyti didelius incidentus, kaip tai suprantama pagal Direktyvą (ES) 2022/2555, visų pirma remdama savanorišką valstybių narių dalijimąsi techniniais sprendimais arba užtikrindama, kad kibernetinės grėsmės ir incidentai būtų analizuojami. ENISA taip pat turėtų padėti EU-CyCLONe rengti ataskaitas Sąjungos ir valstybių narių politiniu lygmeniu;

(27)siekdama sumažinti užsienio šalių kišimosi, manipuliavimo tiekimo grandine ir strateginio duomenų išgavimo riziką, ENISA CSIRT tinkle ir EU-CyCLONe turėtų naudotis saugiomis ryšių priemonėmis. Remiantis Rekomendacija dėl Kibernetinio saugumo plano, tokias priemones turėtų teikti Sąjungoje įsisteigę arba laikomi joje įsisteigusiais ir valstybių narių arba valstybių narių piliečių kontroliuojami teisės subjektai;

(28)siekdama prisidėti prie Sąjungos lygmens parengties ir reagavimo didelio masto kibernetinio saugumo incidentų ir krizių atveju, ENISA turėtų vykdyti su informuotumu apie kibernetinio saugumo padėtį susijusią veiklą;

(29) prieiga prie tikralaikės, patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes yra labai svarbi siekiant užtikrinti bendrą informuotumą apie padėtį Sąjungoje. ENISA, Komisija, CERT-EU ir Europolo Europos kovos su elektroniniu nusikalstamumu centras (EC3) jau sukūrė žvalgybos informacijos apie kibernetines grėsmes saugyklas, pritaikytas jų konkretiems poreikiams. ENISA ir kiti atitinkami Sąjungos subjektai turėtų savanoriškai bendradarbiauti, kad sukurtų tikralaikių, patikrintų ir patikimų ypatingos svarbos infrastruktūros objektų saugyklas, ir siekti sinergijos, kad būtų užtikrinta masto ekonomija ir sustiprintas patikimas finansų valdymas. Šis darbas taip pat turėtų apimti sektorinius Sąjungos subjektus, pavyzdžiui, ES kosmoso programos agentūrą. Jie turėtų dalytis tik išvestine analize, tendencijomis ir taktika, metodais ir procedūromis, o ne neapdorotais šaltiniais, ir turėtų gerbti subjektų nepriklausomumą valdyti savo pačių žvalgybos informacijos apie kibernetines grėsmes gyvavimo ciklą pagal savo įgaliojimus ir būtinybės žinoti taisykles;

(30)siekiant prisidėti prie savalaikio ir koordinuoto atsako, ENISA turėtų turėti galimybę atitinkamai ar atitinkamoms CSIRT ir, kai tinkama, CSIRT tinklui ir EU-CyCLONe pateikti ankstyvuosius įspėjimus apie galimą arba vykstantį reikšmingą arba didelio masto incidentą arba galimo tarpvalstybinio pobūdžio kibernetinę grėsmę, visų pirma kiek tai susiję su Direktyvos (ES) 2022/2555 I ir II prieduose išvardytais subjektais. Tokiuose ankstyvuosiuose įspėjimuose pateikiama informacija gali apimti viešai žinomus pažeidžiamumus ir tai, ar jie daro poveikį produktams su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847, taip pat metodus ir procedūras, užvaldymo rodiklius, priešišką taktiką, su konkrečiu priešišku subjektu susijusią informaciją ir rekomendacijas dėl rizikos mažinimo priemonių;

(31) siekiant išlaikyti pasitikėjimą ir nekelti pavojaus dalijimuisi informacija, svarbu, kad ENISA taikytų matomas žymas, nurodančias, kokiu mastu galima toliau dalytis jos parengtu ar gautu dokumentu ar informacija. Be to, ENISA turėtų naudoti dokumentus ar informaciją, kuriuos ji gauna vykdydama savo veiklą, atsižvelgdama į visus apribojimus, susijusius su tolesniu tos informacijos platinimu naudojant matomą žymėjimą;

(32)siekdama padėti didinti informuotumą apie kibernetinių grėsmių rodiklius ir rekomendacijas dėl rizikos mažinimo priemonių, ENISA turėtų teikti ankstyvojo įspėjimo paslaugą subjektams, veikiantiems Direktyvos (ES) 2022/2555 I ir II prieduose išvardytuose sektoriuose. Tokie bendro pobūdžio savanoriški ankstyvieji įspėjimai turėtų būti naudingi visų pirma MVĮ ir turėtų būti teikiami viešai prieinamu kompiuterio skaitomu formatu. Bet kuriuo atveju tokia savanoriška tarnyba yra atskira ir nesusijusi su jokiomis viešojo ir privačiojo sektorių partnerystėmis, kurias ENISA gali įsteigti arba jau yra įsteigusi;

(33)siekdama remti bendrą Sąjungos informuotumą apie kibernetinio saugumo padėtį, ENISA, glaudžiai bendradarbiaudama su valstybėmis narėmis, turėtų reguliariai rengti išsamias ES kibernetinio saugumo techninės padėties ataskaitas dėl incidentų ir kibernetinių grėsmių, remdamasi viešai prieinama informacija, savo pačios atliekama analize ir ataskaitomis, kuriomis su ja savanoriškai pasidalijo valstybių narių CSIRT arba nacionaliniai bendrieji informaciniai centrai tinklų ir informacinių sistemų saugumo klausimais (toliau – bendrieji informaciniai centrai), numatyti Direktyvoje (ES) 2022/2555, Europolas ir CERT-EU. Ta ataskaita turėtų būti pateikta Tarybai, Europos išorės veiksmų tarnybai, EU-CyCLONe, CSIRT tinklui, Komisijai ir Europolui;

(34)siekdama didinti bendrą suinteresuotųjų subjektų informuotumą apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais, ENISA turėtų analizuoti kibernetinių grėsmių ir incidentų tendencijas. Tai turėtų apimti reguliarią ypatingos svarbos sektorių ir kitų Direktyvos (ES) 2022/2555 I ir II prieduose išvardytų svarbių sektorių, įskaitant sveikatos priežiūros, energetikos ir transporto sektorius, analizę. Tokia analizė turėtų apimti sektorių brandos lygius ir, be kita ko, joje turėtų būti nustatytos galimos konkrečiam sektoriui būdingos problemos. Kai aktualu ir siekiant nustatyti tiekimo grandinės poveikį, analizėje turėtų būti pateikiami kibernetinių grėsmių ir tendencijų, susijusių su produktų kategorijomis, kurioms taikomas Reglamentas (ES) 2024/2847, įrodymai. ENISA turėtų plėtoti ekspertines žinias infrastruktūros kibernetinio saugumo ir jų ypatingos svarbos priklausomybės nuo tiekimo grandinių srityje, visų pirma siekdama remti Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius ir Reglamento (ES) 2024/2847 įgyvendinimą. Šiuo tikslu ENISA, kai tinkama, taip pat turėtų bendradarbiauti su kitais atitinkamais Sąjungos subjektais;

(35)be to, siekdama geriau suprasti kibernetinio saugumo srities problemas, ENISA turi analizuoti dabartines ir besiformuojančias technologijas ir pateikti teminius vertinimus dėl tikėtino technologinių inovacijų poveikio kibernetiniam saugumui visuomeniniu, teisiniu, ekonominiu ir reguliavimo požiūriu. Siekdama užtikrinti lengvesnę visuomenės prieigą prie informacijos apie kibernetinio saugumo riziką ir galimas taisomąsias priemones, ENISA gali pateikti atitinkamą informaciją savo interneto svetainėje naudotojui patogiu būdu ir naudojant aiškią struktūrą;

(36)sustiprintas ENISA vaidmuo skatinant informuotumą apie padėtį, analizuojant grėsmes ir teikiant technines konsultacijas padės stiprinti kolektyvines kibernetinio saugumo pastangas, susijusias su produktais su skaitmeniniais elementais, ir remti Reglamento (ES) 2024/2847 įgyvendinimą. Pagal Reglamentą (ES) 2024/2847 ENISA gali pasiūlyti rinkos priežiūros institucijoms vykdyti bendrą veiklą siekiant patikrinti produktų su skaitmeniniais elementais atitiktį ir nustatyti produktų su skaitmeniniais elementais kategorijas, kurioms gali būti organizuojamos tikslinės patikros. Informacija, gauta atlikus kibernetinių grėsmių analizę ir gavus ankstyvuosius įspėjimus, turėtų sustiprinti paramą, kurią ENISA teikia toms institucijoms, ir padėti siekti veiksmingo Reglamento (ES) 2024/2847 vykdymo užtikrinimo, kad būtų užkirstas kelias kibernetinių išpuolių tiekimo grandinės poveikiui visoje vidaus rinkoje ir padidintas bendras Sąjungos pasirengimas;

(37)išpuoliai naudojant išpirkos reikalavimo programinę įrangą kelia didelę kibernetinio saugumo grėsmę Sąjungai. Siekdama didinti Sąjungos kibernetinį saugumą ir kovoti su išpirkos reikalavimo programine įranga, ENISA turėtų plėtoti informuotumo apie padėtį pajėgumus ir remti reagavimą į incidentus ir veiklos atkūrimą po jų. Padėdama atskiriems esminiams ir svarbiems subjektams reaguoti į išpuolį naudojant išpirkos reikalavimo programinę įrangą ir po jo atsigauti, ENISA turėtų glaudžiai bendradarbiauti su Europolu ir, kai taikytina, su CSIRT arba kompetentingomis institucijomis, taip pasinaudodama Europolo įgyta kovos su nusikaltimais, susijusiais su išpirkos reikalavimo programine įranga, patirtimi. Tokia pagalba turėtų papildyti CSIRT veiklą, kuria remiamas reagavimas į incidentus. Siekdama sinergijos savo darbe kovojant su išpirkos reikalavimo programine įranga, ENISA turėtų įsteigti pagalbos tarnybą ir tuo tikslu galėtų sutelkti atitinkamus pajėgumus bei kovos su išpirkos reikalavimo programine įranga paslaugas ir suteikti lengvai prieinamą informaciją, gaires ir priemones, kurios gali padėti esminiams ir svarbiems subjektams reaguoti į incidentą, susijusį su išpirkos reikalavimo programine įranga, ir po jo atsigauti;

(38)ENISA turėtų teikti Komisijai technines ekspertines žinias ir paramą rengiant metinę tęstinę Sąjungos lygmens kibernetinio saugumo pratybų programą pagal Rekomendaciją dėl kibernetinio saugumo plano, kad būtų pasirengta kibernetinėms krizėms, išbandytas tokiose pratybose dalyvaujančių subjektų kibernetinio saugumo lygis ir kuo labiau sumažintas pastangų dubliavimas. ENISA turėtų, pavyzdžiui, konsultuoti dėl tinkamų pratybų rūšių, pavyzdžiui, planšetinių kompiuterių, mišriųjų pratybų ar pratybų, kuriose dalyvaujama visą laiką, taip pat dėl tikslų, scenarijų ir dalyvavimo;

(39)galimybė laiku gauti teisingą informaciją apie pažeidžiamumą ir patikimas pažeidžiamumo valdymas yra būtini siekiant užtikrinti aukštą kibernetinio saugumo lygį vidaus rinkoje. Dėl tos priežasties ENISA turėtų tvarkyti Europos pažeidžiamumų duomenų bazę pagal Direktyvą (ES) 2022/2555 ir sukurti bendrą Sąjungos pažeidžiamumo valdymo paslaugų pajėgumą, užtikrindama atsparų ir tvarų paslaugų lygį ir mažindama sutrikimų riziką. Tuo tikslu ENISA turėtų išnagrinėti galimybes stiprinti struktūrinį bendradarbiavimą su programomis, registrais ar duomenų bazėmis, panašiomis į Europos pažeidžiamumų duomenų bazę, kad būtų išvengta pastangų dubliavimo ir, kai tinkama, būtų siekiama papildomumo tarptautiniu lygmeniu. Be to, ENISA turėtų remti daugiašalį koordinuotą pažeidžiamumų atskleidimą Sąjungos lygmeniu ir teikti pridėtinės vertės paslaugas, pavyzdžiui, konsultacijas pažeidžiamumo klausimais, sunkumo vertinimą balais ir produktų sąrašus, taip pat pateikti išsamesnį Europos žinomų išnaudotų pažeidžiamumų katalogą, kad padėtų subjektams valdyti savo pažeidžiamumą;

(40)ENISA vaidmuo plėtojant EKSSS turėtų būti pagrindinis jos įgaliojimų aspektas. ENISA turėtų teikti technines ekspertines žinias per visą Europos kibernetinio saugumo sertifikavimo schemų gyvavimo ciklą. Atsižvelgdama į būsimą schemą, ENISA turėtų nustatyti esamus standartus arba technines specifikacijas, kuriais gali būti grindžiama schema, ir, kai aktualu, pati parengti techninių specifikacijų, į kurias gali būti daroma nuoroda schemoje, projektą. ENISA turėtų būti atsakinga už potencialios schemos parengimą Komisijos prašymu. Už jau taikomų schemų priežiūrą turėtų būti atsakinga ENISA. Tai darydama ENISA turėtų padėti kurti ir plėtoti sertifikavimo ekosistemą, kurioje būtų prašoma valstybių narių ir privačiojo sektoriaus suinteresuotųjų subjektų grįžtamosios informacijos ir stiprinami jų sertifikavimo pajėgumai. Tai taip pat turėtų apimti specialios sertifikavimo interneto svetainės, kurioje galima laisvai ir viešai susipažinti su atitinkama informacija, susijusia su patvirtintomis schemomis, įskaitant sertifikatus ir atitikties pareiškimus, veikimą;

(41)siekdama remti atitinkamų Sąjungos teisės aktų įgyvendinimą, ENISA turėtų formuoti pažangiausią kibernetinio saugumo lygį, pateikdama technines specifikacijas, kuriomis būtų remiamas atitinkamų Sąjungos teisės aktų įgyvendinimas, be kita ko, atsižvelgiant į galimą nuorodą į juos Europos kibernetinio saugumo sertifikavimo schemose. ENISA taip pat turėtų stebėti, kaip atitinkamos standartizacijos įstaigos kuria ir plėtoja standartus, kad galėtų stebėti standartizacijos tendencijas Europos ir pasauliniu lygmenimis, ir prireikus formuoti tokius standartus dalyvaudama standartizacijos organizacijų veikloje, be kita ko, teikdama pasiūlymus, ir jai vadovaudama; Tai darydama ENISA turėtų išlikti nešališka. Pavyzdžiui, gali būti atvejų, kai ENISA turėtų pasitraukti iš atitinkamos standartizacijos įstaigų veiklos, jei ENISA būtų paprašyta įvertinti Europos standartus, kurių Komisija paprašė siekdama paremti Sąjungos teisės aktus. ENISA neturėtų prisidėti prie standartų, už kurių vertinimą ji atsako, rengimo;

(42)siekdama padėti įgyvendinti Sąjungos politiką ir pasirengti galimai standartizacijos veiklai, ENISA turėtų prisidėti prie kriptografinių algoritmų kūrimo ir vertinimo, visų pirma postkvantinės kriptografijos srityje. Tomis aplinkybėmis Komisijos prašymu ir pagal susitarimą dėl įnašo, kaip apibrėžta Europos Parlamento ir Tarybos reglamente (ES, Euratomas) 2024/2509 50 , ENISA gali nustatyti procesą, pagal kurį atitinkami suinteresuotieji subjektai, visų pirma kriptografijos, akademinės ir mokslinių tyrimų bendruomenės, taip pat gamintojai, CSIRT, nacionalinės kibernetinio saugumo sertifikavimo institucijos ir kompetentingos institucijos pagal Direktyvą (ES) 2022/2555 prašytų kriptografinių algoritmų ir juos vertintų. Kai ENISA prisideda prie tokių procesų nustatymo, ji turėtų skatinti atitinkamų suinteresuotųjų subjektų bendradarbiavimą ir įgyvendinti organizacinius aspektus. Procesas turėtų būti oficialus, atviras, skaidrus ir įtraukus, įskaitant konsultacijas su atitinkamais suinteresuotaisiais subjektais dėl minimaliųjų reikalavimų projektų ir vertinimo proceso bei vertinimo kriterijų, visų pirma susijusių su saugumu ir vertinimų atlikimu;

(43)siekdama padėti įgyvendinti atitikties vertinimo veiklą pagal Europos kibernetinio saugumo sertifikavimo schemas ir kitus atitinkamus Sąjungos teisės aktus, ENISA gali suteikti atitinkamų techninių testavimo priemonių, kad padėtų valstybėms narėms, įmonėms ir atitikties vertinimo įstaigoms vykdyti vertinimo veiklą. Tokiomis priemonėmis turėtų būti siekiama sukurti sinergiją Sąjungos lygmeniu ir užtikrinti veiksmingą atitikties vertinimo procedūrų veikimą, kad būtų patenkinti valstybių narių ir rinkos poreikiai. Tokių poreikių gali atsirasti, pavyzdžiui, pritaikytojo saugumo srityje, siekiant remti įmones, įskaitant mažąsias ir vidutines įmones, joms įgyvendinant Reglamentą (ES) 2024/2847. Šiomis aplinkybėmis ENISA turėtų rinkti mokesčius, kad padengtų atitinkamas išlaidas, susijusias su tokioms testavimo priemonėms reikalingos programinės ir aparatinės įrangos pajėgumų kūrimu, projektavimu, plėtojimu, priežiūra ir atnaujinimu;

(44)siekdama remti valstybių narių pastangas spręsti kibernetinio saugumo specialistų trūkumo problemą ir didėjantį kvalifikuotos, įvairios, be kita ko, lyčių pusiausvyros požiūriu, ir lanksčios darbo jėgos poreikį, taip pat sudaryti sąlygas darbuotojų judumui ir parengčiai visose valstybėse narėse, ENISA turėtų remtis Kibernetinio saugumo įgūdžių akademijoje pradėtais principais ir darbu. Visų pirma ENISA turėtų sukurti Europos kibernetinio saugumo įgūdžių sistemą (EKSĮS) kaip bendrą kibernetinio saugumo profesinių vaidmenų profilių sistemą. ENISA turėtų toliau padėti valstybėms narėms šalinti lyčių skirtumus kibernetinio saugumo vaidmenų srityje. Šis požiūris atitinka Komisijos komunikate dėl įgūdžių sąjungos išdėstytą viziją ir padėtų siekti jos tikslų. Reikėtų toliau nagrinėti Europos individualių kibernetinio saugumo įgūdžių atestavimo kokybės ženklo idėją;

(45)EKSĮS turėtų būti praktinė ir lanksti savanoriškai naudotina priemonė, kuria užtikrinamas bendras atitinkamų vaidmenų ir susijusių užduočių, įgūdžių ir žinių, kurių daugiausia reikia kibernetinio saugumo funkcijoms atlikti, supratimas ir terminija, siekiant padėti nustatyti ypatingos svarbos įgūdžių rinkinius, įskaitant universaliuosius įgūdžius, kurių reikia darbuotojams, ir sudaryti sąlygas mokymosi paslaugų teikėjams, įskaitant įmones, aukštojo mokslo įstaigas arba profesinio rengimo ir mokymo paslaugų teikėjus, rengti programas ir padėti politikos formuotojams rengti iniciatyvas įgūdžių spragoms šalinti. Kadangi ji gali būti naudojama kaip orientacinis įgūdžių pripažinimo pagrindas, ji taip pat turėtų būti sąveiki su Europos įgūdžių ir profesijų klasifikatoriumi (ESCO), siekiant padėti žmogiškųjų išteklių skyriams suprasti išteklių planavimo, įdarbinimo ir karjeros raidos reikalavimus kibernetinio saugumo poreikiams patenkinti. „DigComp 3.0“ apibūdina žinias, įgūdžius ir nuostatas, kurių reikia norint įgyti skaitmeninių įgūdžių kasdieniame gyvenime, dalyvauti visuomenės gyvenime, dirbti ir mokytis ir kuriais gali naudotis tiek suaugusieji, tiek vaikai, o EKSĮS suteikia paprastą sistemą, kurioje nustatomi kibernetinio saugumo vaidmenys ir susijusios užduotys, žinios ir įgūdžiai, reikalingi jiems atlikti. Šiuo atžvilgiu ji skirta specializuotai kibernetinio saugumo auditorijai – nuo esamų ar galimų kibernetinio saugumo specialistų, švietimo įstaigų iki darbdavių. EKSĮS taip pat turėtų būti remiamas Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų rengimas, nes tai yra pagrindinė priemonė, naudojama schemoms plėtoti, sudarant sąlygas naujų rinkos dalyvių atsiradimui ir remiant rinkos konkurenciją bendroje sistemoje. EKSĮS turėtų būti reguliariai vertinama ir atnaujinama siekiant užtikrinti, kad ji tinkamai atspindėtų kibernetinio saugumo darbo rinkos poreikius, technologinius ir politikos pokyčius. ENISA turėtų remti EKSĮS naudojimą valstybėse narėse ir Sąjungos subjektuose ir jų viduje ir teikti tinkamą paramą, kai tokios pagalbos reikia;

(46)kibernetinio saugumo įgūdžiai ir kvalifikacijos turėtų būti palyginami, skaidrūs ir patikimi visoje vidaus rinkoje. Šiuo tikslu Europos individualūs kibernetinio saugumo įgūdžių atestavimo pažymėjimai 51 turėtų padėti darbdaviams, įskaitant MVĮ ir startuolius, veiksmingai įdarbinti esamus ar potencialius kibernetinio saugumo specialistus valstybėse narėse ir tarp jų, laikantis Komunikate dėl įgūdžių sąjungos nustatytų tikslų. Siekiant užtikrinti nuoseklų įgyvendinimą visose valstybėse narėse, Europos individualūs kibernetinio saugumo įgūdžių atestavimo pažymėjimai turėtų būti grindžiami bendru supratimu Sąjungos lygmeniu apie įgūdžius, kurių reikia tiems tikslams pasiekti, ir juos turėtų išduoti ENISA įgalioti paslaugų teikėjai pagal bendrus kriterijus. Šis požiūris turėtų derėti su būsimos Įgūdžių perkeliamumo iniciatyvos tikslais ir padėti jų siekti.

(47)rengiant Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas turėtų būti siekiama papildyti valstybių narių veiksmus, suteikiant galimybę valdžios institucijoms ir ekonominės veiklos vykdytojams naudotis Europos atestavimo mechanizmu, atsižvelgiant į Sąjungos papildomąją kompetenciją švietimo ir profesinio mokymo srityje, kaip nurodyta SESV 6 straipsnio e punkte, 165 straipsnio 1 dalyje ir 166 straipsnio 1 dalyje. Šios programos kartu su Kibernetinio saugumo įgūdžių akademijos darbu taip pat gali būti aukštojo mokslo programų, pavyzdžiui, sektorinių Europos laipsnių, ir mikrokredencialų rengimo pagrindas. Todėl Europos individualių kibernetinio saugumo įgūdžių atestavimo schemomis turėtų būti siekiama ne suderinti valstybių narių įstatymus ir kitus teisės aktus, o veikiau jas laikyti įgalinančia priemone ir galimybe, kuria valstybės narės ir ekonominės veiklos vykdytojai gali norėti pasinaudoti ir skatinti;

(48)ENISA turėtų užtikrinti, kad Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos ir toliau atitiktų rinkos poreikius ir būtų grindžiamos tiek viešųjų, tiek privačiųjų individualaus sertifikavimo paslaugų teikėjų, įskaitant valstybes nares, aukštojo mokslo įstaigas, profesinio rengimo ir mokymo įstaigas ir įmones, patirtimi. ENISA turėtų konsultuotis su Komisija dėl Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų prioritetų nustatymo, tinkamai atsižvelgdama į politikos įgyvendinimą ir rinkos poreikius;

(49)siekiant užtikrinti EKSĮS ir schemų suderinamumą, peržiūrėjus EKSĮS vaidmenų profilį turėtų būti automatiškai pradėtas susijusios (-ių) Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos (-ų) tinkamumo vertinimas, po kurio jos gali būti peržiūrėtos;

(50)atsižvelgiant į kibernetinio saugumo vaidmenų profilių ir susijusių užduočių, įgūdžių ir žinių įvairovę, asmenų vertinimą ir vertinimo metodus gali tekti pritaikyti kiekvienoje Europos individualių kibernetinio saugumo įgūdžių atestavimo schemoje. Kiekviena schema turėtų užtikrinti, kad asmens reikiamų įgūdžių, susijusių su mokymosi rezultatais, vertinimas, įskaitant, kai aktualu, kvalifikacijos lygio vertinimą, būtų sistemingai atliekamas pagal EKSĮS nustatytą vaidmenų profilį ar jo pogrupį. Vertinimo metodai gali apimti tokius elementus kaip teorinių žinių tikrinimas, praktinis egzaminas, išankstinės sąlygos ir tarpusavio vertinimas. Reikėtų tinkamai atsižvelgti į asmenų patirtį;

(51)siekiant užtikrinti nuoseklų Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų įgyvendinimą, visų pirma kiek tai susiję su asmenų vertinimu, ENISA turėtų rengti privalomus mokymus darbuotojams, atsakingiems už asmenų vertinimą. Tokie darbuotojai turėtų turėti patirties kibernetinio saugumo srityje, kurią būtų galima įrodyti turint Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimą, susijusį su pareigų profiliu, kurį jie vertina, ir kurio kvalifikacijos lygis turėtų būti bent lygiavertis asmenų, kuriuos jie vertina, kvalifikacijos lygiui;

(52)įgaliotųjų atestavimo pažymėjimų teikėjų vaidmuo – patvirtinti asmens žinias ir kompetenciją, kad jis galėtų atlikti vieną iš EKSĮS funkcijų, ir suteikti patikinimą darbdaviams visoje Sąjungoje. Kadangi Sąjungos ypatingos svarbos infrastruktūros objektus valdantys darbdaviai taip pat vertintų asmenų, įgyjančių Europos individualų kibernetinio saugumo įgūdžių atestavimo pažymėjimą, įgūdžių ir kompetencijų kokybės užtikrinimą, įgaliotieji paslaugų teikėjai, patvirtinantys įgūdžių ir kompetencijų lygį, turėtų būti patikimi kibernetinio saugumo požiūriu ir jiems neturėtų daryti nederamos įtakos trečioji valstybė, kuri gali kelti kibernetinio saugumo problemų. Todėl subjektai, įsisteigę trečiojoje valstybėje, kuri pagal šį reglamentą nustatyta kaip kelianti kibernetinio saugumo problemų, arba yra kontroliuojami tokios trečiosios valstybės, tokioje trečiojoje valstybėje įsisteigusio subjekto arba tokios trečiosios valstybės piliečio (didelės rizikos tiekėjų), pagal šį reglamentą neturėtų turėti teisės tapti įgaliotaisiais Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėjais, kaip numatyta II antraštinės dalies 4 skirsnyje;

(53) siekiant užtikrinti, kad asmenys, turintys Europos kibernetinio saugumo įgūdžių atestavimo pažymėjimą, galėtų lengvai juo naudotis ir juo dalytis ir kad tokį pažymėjimą būtų galima naudoti visose valstybėse narėse, įgaliotieji atestavimo pažymėjimų teikėjai turėtų užtikrinti, kad asmens prašymu Europos individualių kibernetinio saugumo įgūdžių atestavimo elektroniniai pažymėjimai būtų išduodami per europinę skaitmeninės tapatybės dėklę (EUDI dėklę), sukurtą Reglamentu (ES) Nr. 910/2014. Įgaliotieji atestavimo pažymėjimų teikėjai turėtų būti laikomi patikimumo užtikrinimo paslaugų teikėjais ir jiems turėtų būti taikoma Reglamente (ES) Nr. 910/2014 nustatyta priežiūros ir atsakomybės tvarka. Požymių liudijimo schema, naudojama pagal Komisijos įgyvendinimo reglamentą (ES) 2025/1569 52 , turėtų būti užregistruota tame įgyvendinimo reglamente numatytame požymių liudijimų schemų kataloge;

(54)siekdama prisidėti prie kibernetinio saugumo srities darbuotojų ugdymo ir įgūdžių perkeliamumo visoje Sąjungoje, ENISA turėtų specialioje interneto svetainėje viešai paskelbti Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas ir įgaliotųjų atestavimo pažymėjimų teikėjų sąrašą;

(55)ENISA turėtų vadovautis 2012 m. liepos 19 d. Europos Parlamento, Tarybos ir Komisijos patvirtintais Bendrajame požiūryje į Sąjungos decentralizuotas agentūras įtvirtintais principais ir pagal juos vykdyti veiklą 53 . Bendrame požiūryje pateiktos rekomendacijos taip pat turėtų atitinkamai atsispindėti ENISA darbo programose, ENISA vertinimuose ir ENISA ataskaitų teikimo ir administracinėje praktikoje;

(56)kad Valdančioji taryba galėtų veiksmingai vykdyti savo funkcijas, visų pirma vadovauti bendrai ENISA veiklos krypčiai ir nustatyti jos strateginius prioritetus, labai svarbu, kad Valdančiąją tarybą sudarytų valstybių narių ir Komisijos aukšto lygio atstovai. Tuo tikslu kiekviena valstybė narė Valdančiosios tarybos nariu turėtų paskirti tos valstybės narės už kibernetinį saugumą atsakingos nacionalinės kompetentingos institucijos, paskirtos pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį, vadovą;

(57)siekiant užtikrinti, kad pakaitiniai nariai Valdančiojoje taryboje galėtų tinkamai atlikti savo funkcijas, valstybės narės turėtų paskirti pakaitinius narius, turinčius tinkamą profesinę kompetenciją ir patirtį. Komisija ir valstybės narės, kiek tai susiję su pakaitiniais nariais, turėtų stengtis užtikrinti subalansuotą vyrų ir moterų atstovavimą Valdančiojoje taryboje ir turėtų apriboti jų kaitą, kad būtų užtikrintas Valdančiosios tarybos darbo tęstinumas;

(58)kad ENISA galėtų veiksmingai vykdyti savo misiją, Valdančioji taryba, kurią sudaro valstybių narių ir Komisijos atstovai, turėtų nustatyti bendrą ENISA veiklos kryptį, įskaitant jos strateginius prioritetus, ir užtikrinti, kad ji vykdytų savo užduotis pagal šį reglamentą. Valdančiajai tarybai turėtų būti suteikti įgaliojimai, būtini biudžeto vykdymui nustatyti ir tikrinti, atitinkamoms finansinėms taisyklėms priimti, skaidrioms ENISA sprendimų priėmimo darbo procedūroms nustatyti, ENISA bendrajam programavimo dokumentui priimti, jos darbo tvarkos taisyklėms priimti, vykdomajam direktoriui paskirti, sprendimui dėl vykdomojo direktoriaus kadencijos pratęsimo ir nutraukimo priimti, taip pat sprendimui dėl vykdomojo direktoriaus pavaduotojo pareigybės sukūrimo priimti ir, jei tokia pareigybė sukuriama, dėl jo skyrimo, jo kadencijos pratęsimo ir nutraukimo priimti. Todėl bet kurį asmenį, vykdantį vykdomąją funkciją ENISA, turėtų skirti Valdančioji taryba. Valdančioji taryba taip pat turėtų būti atsakinga už Apeliacinės tarybos narių skyrimą arba atleidimą, taip pat už taisyklių, kuriomis siekiama užkirsti kelią interesų konfliktams šioje srityje arba juos valdyti, nustatymą;

(59)siekdama padėti užtikrinti, kad ENISA nustatytų savo strateginius prioritetus ir juos atnaujintų, Valdančioji taryba turėtų surengti bent vieną posėdį per metus, skirtą ENISA strateginiams prioritetams. Siekdama užtikrinti, kad Valdančiosios tarybos posėdžiai būtų veiksmingi ir pagrįsti informacija, Valdančioji taryba į savo posėdžius gali pakviesti bet kurį asmenį, kurio nuomonė galėtų būti aktuali ir susijusi su aptariamomis temomis, kad jis pateiktų įžvalgų, ekspertinių žinių ar patarimų. Toks asmuo būtų ad hoc stebėtojas, neturintis balsavimo teisės;

(60)jei šiame reglamente nenumatyta kitaip, Valdančioji taryba turėtų priimti sprendimus absoliučia balsavimo teises turinčių narių balsų dauguma. Atsižvelgdama į biudžeto ir žmogiškųjų išteklių klausimų, visų pirma susijusių su metiniu biudžetu, metine veiklos ataskaita, kovos su sukčiavimu strategija, Tarnybos nuostatų įgyvendinimo taisyklėmis, vykdomojo direktoriaus, vykdomojo direktoriaus pavaduotojo ir apskaitos pareigūno skyrimu, tolesne veikla, susijusia su Europos kovos su sukčiavimu tarnybos (OLAF) ir Europos prokuratūros išvadomis, ir ENISA finansinių taisyklių priėmimu, svarbą, Valdančioji taryba turėtų priimti tokius sprendimus tik tuo atveju, jei už juos balsuoja Komisijos atstovas. Norint priimti sprendimą dėl galutinio bendrojo programavimo dokumento priėmimo atsižvelgus į Komisijos nuomonę, turėtų būti reikalaujama, kad Komisijos atstovas balsuotų teigiamai tik dėl tų sprendimo elementų, kurie nėra susiję su ENISA metine ir daugiamete darbo programa;

(61)Vykdomoji valdyba turėtų prisidėti prie veiksmingo Valdančiosios tarybos veikimo. Atlikdama parengiamąjį darbą, susijusį su Valdančiosios tarybos sprendimais, Vykdomoji valdyba turėtų išsamiai išnagrinėti atitinkamą informaciją ir apsvarstyti turimas galimybes bei teikti rekomendacijas ir sprendimus siekiant parengti Valdančiosios tarybos sprendimus. Ji taip pat turėtų padėti ir patarti vykdomajam direktoriui įgyvendinant Valdančiosios tarybos sprendimus;

(62)kad ENISA veiktų sklandžiai, jos vykdomasis direktorius turi būti skiriamas atsižvelgiant į nuopelnus ir į dokumentais pagrįstus administracinio ir vadovaujamojo darbo įgūdžius, kibernetiniam saugumui svarbią patirtį ir kompetenciją. Vykdomojo direktoriaus pareigos turėtų būti atliekamos visiškai nepriklausomai. Valdančioji taryba turėtų paskirti vykdomąjį direktorių iš Komisijos parengto kandidatų sąrašo, taikydama atvirą ir skaidrią procedūrą, kuria laikomasi lyčių pusiausvyros principo;

(63) pasitaręs su Komisija vykdomasis direktorius turėtų parengti pasiūlymą dėl ENISA bendrojo programavimo dokumento ir imtis visų būtinų veiksmų, kad užtikrintų tinkamą to bendrojo programavimo dokumento įgyvendinimą. Vykdomasis direktorius turėtų parengti Valdančiajai tarybai teikiamą metinę ataskaitą, be kita ko, apimančią Agentūros metinės darbo programos įgyvendinimą, ENISA pajamų ir išlaidų sąmatos projektą, ir vykdyti biudžetą. Be to, vykdomajam direktoriui turėtų būti leista steigti ad hoc darbo grupes konkretiems, visų pirma moksliniams, techniniams, teisiniams ar socialiniams ir ekonominiams klausimams spręsti. Visų pirma, laikoma, kad ad hoc darbo grupę būtina steigti konkrečiai potencialiai Europos kibernetinio saugumo sertifikavimo schemai (toliau – potenciali schema) parengti. Taip pat gali prireikti sudaryti ad hoc darbo grupę priežiūros veiklai, susijusiai su konkrečiomis priimtomis Europos kibernetinio saugumo sertifikavimo schemomis. Taip pat turėtų būti įsteigtos ad hoc darbo grupės, kurios rengtų ir prižiūrėtų Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas ir padėtų Agentūrai valdyti, įgyvendinti ir plėtoti EKSĮS. Vykdomasis direktorius turėtų užtikrinti, kad ad hoc darbo grupės nariai būtų išrinkti pagal aukščiausius dalyko ekspertinių žinių standartus ir, atsižvelgiant į konkrečius nagrinėjamus klausimus, užtikrinant lyčių pusiausvyrą ir atitinkamai subalansuotai būtų atstovaujama valstybių narių viešojo administravimo institucijoms, Sąjungos subjektams bei privačiajam sektoriui, įskaitant pramonės sektorių, naudotojus ir tinklų bei informacijos saugumo akademinius ekspertus, taip pat produktų su skaitmeniniais elementais akademinius ekspertus;

(64)Valdančioji taryba gali nuspręsti sukurti vykdomojo direktoriaus pavaduotojo, kuris padėtų vykdomajam direktoriui, funkciją, jei Valdančioji taryba mano, kad tokia funkcija yra būtina siekiant užtikrinti arba išlaikyti sklandų ENISA veikimą. Spręsdama, ar sukurti tą funkciją, Valdančioji taryba gali atsižvelgti į vykdomojo direktoriaus nuomonę;

(65)ENISA turėtų turėti patariamąją grupę, kuri užtikrintų nuolatinį dialogą su privačiuoju sektoriumi, vartotojų organizacijomis ir kitais atitinkamais suinteresuotaisiais subjektais. Vykdomojo direktoriaus pasiūlymu Valdančiosios tarybos įsteigta ENISA patariamoji grupė daugiausia dėmesio turėtų skirti klausimams, kurie svarbūs suinteresuotiesiems subjektams, ir į tuos klausimus atkreipti ENISA dėmesį. Turėtų būti konsultuojamasi su ENISA patariamąja grupe visų pirma dėl ENISA metinės darbo programos projekto. ENISA patariamosios grupės sudėtis ir šiai grupei priskirtos užduotys, turėtų užtikrinti pakankamą suinteresuotųjų subjektų atstovavimą ENISA veikloje; Nacionalinių ir Sąjungos teisėsaugos ir duomenų apsaugos institucijų atstovams turėtų būti suteikta teisė dalyvauti ENISA patariamosios grupės veikloje;

(66)pareiškėjai, norintys tapti įgaliotaisiais atestavimo pažymėjimų teikėjais arba atnaujinti savo veiklos leidimą, turėtų turėti galimybę pasinaudoti būtinomis teisių gynimo priemonėmis, kai ENISA dėl jų priima sprendimus. Todėl turėtų būti sukurtas tinkamas apeliacinis mechanizmas, kad susijusius ENISA sprendimus būtų galima užginčyti Apeliacinėje taryboje, kurios sprendimams pagal Sutartis gali būti taikoma Europos Sąjungos Teisingumo Teismo teisminė peržiūra. Reikalavimas išnaudoti ENISA apeliacinę procedūrą prieš pareiškiant ieškinį Europos Sąjungos Teisingumo Teisme taikomas tik tiems asmenims, kurie turi teisę kreiptis į Apeliacinę tarybą;

(67)siekiant užtikrinti visišką ENISA savarankiškumą ir nepriklausomumą ir sudaryti jai sąlygas vykdyti savo užduotis, ENISA turėtų būti skirtas pakankamas ir savarankiškas biudžetas, visų pirma finansuojamas ne tik Sąjungos įnašu, bet ir ENISA veikloje dalyvaujančių trečiųjų valstybių įnašais, taip pat mokesčiais, kuriuos moka įgaliotieji atestavimo pažymėjimų teikėjai ir atitikties vertinimo įstaigos, dalyvaujančios schemose ir išduodančios Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus. Priimančiajai valstybei narei ir bet kuriai kitai valstybei narei turėtų būti leidžiama savanoriškais įnašais prisidėti prie ENISA biudžeto. Jokie ENISA gaunami valstybių narių, trečiųjų valstybių ar kitų subjektų arba asmenų finansiniai ar nepiniginiai įnašai neturėtų kelti pavojaus Agentūros nepriklausomumui ir nešališkumui. Sąjungos biudžeto procedūra turėtų būti taikoma tiek, kiek tai susiję su Sąjungos įnašu ir bet kuriomis kitomis subsidijomis, mokėtinomis iš Sąjungos bendrojo biudžeto. Audito Rūmai turėtų atlikti ENISA apskaitos auditą, kad būtų užtikrintas skaidrumas ir atskaitomybė. Kad Agentūra galėtų dalyvauti visuose aktualiuose būsimuose projektuose, jai turėtų būti suteikta galimybė gauti dotacijas;

(68)siekiant užtikrinti ENISA gebėjimą reaguoti į jos vykdomos veiklos paklausą, visų pirma kiek tai susiję su sprendimais leisti teikėjams išduoti Europos individualius kibernetinio saugumo įgūdžių atestavimo pažymėjimus, taip pat kiek tai susiję su Europos kibernetinio saugumo sertifikavimo schemų ir testavimo priemonių priežiūra, ENISA turėtų būti suteikti įgaliojimai rinkti mokesčius. Mokesčiai, susiję su prašymų tapti įgaliotuoju atestavimo pažymėjimų teikėju tvarkymu, turėtų būti tinkamai nustatyti, kad būtų pakankamai prisidedama prie numatomų Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų kūrimo ir priežiūros išlaidų padengimo ir vertinimo, ar tenkinami ir toliau vykdomi reikalavimai ir pareigos tapti ir likti įgaliotuoju atestavimo pažymėjimų teikėju. Mokesčiai, susiję su veiklos leidimų išdavimo įgaliotiesiems atestavimo pažymėjimų teikėjams ir jų galiojimo pratęsimo išlaidomis, turėtų apimti išlaidas, susijusias su ENISA atliekamais arba jai prižiūrint atliekamais vertinimais. Mokesčiai, susiję su dalyvavimu Europos kibernetinio saugumo sertifikavimo schemose ir sertifikatų išdavimu pagal tokias schemas, turėtų būti tinkamai nustatyti, kad būtų pakankamai prisidedama prie numatomų tokių schemų priežiūros išlaidų padengimo. Tokių mokesčių mokėjimas turėtų sudaryti sąlygas notifikuotosioms atitikties vertinimo įstaigoms ir, kai taikytina, sertifikatų turėtojams pagal schemą dalyvauti tokioje veikloje, taip pat atitinkamoje gebėjimų stiprinimo ir propagavimo veikloje, kad būtų skatinamas keitimasis geriausios praktikos pavyzdžiais ir sistemų bei sertifikuotų sprendimų diegimas;

(69)siekiant užtikrinti proporcingumą, skaidrumą ir teisinį tikrumą, mokesčiai turėtų būti nustatomi skaidriai ir sąžiningai. Tos išlaidos turėtų apimti visas ENISA išlaidas, susijusias su darbuotojais, dalyvaujančiais veikloje, už kurią mokami mokesčiai, visų pirma proporcingą darbdavio įmoką į pensijų sistemą, ir su Apeliacine taryba susijusias išlaidas. Dėl mokesčių pareiškėjams neturi būti užkraunama nereikalinga finansinė ar administracinė našta. Turėtų būti nustatyti pagrįsti mokesčių mokėjimo terminai;

(70)būtina nustatyti rodiklius Agentūros darbo krūviui, veiksmingumui ir efektyvumui, susijusiems su iš mokesčių finansuojama veikla, įvertinti. Atsižvelgdama į šiuos rodiklius, Agentūra turėtų pritaikyti savo personalo planavimą ir išteklių, susijusių su mokesčiais, valdymą, kad galėtų tinkamai reaguoti į tokią paklausą ir bet kokius pajamų iš mokesčių svyravimus;

(71)siekiant nustatyti ir tinkamai valdyti faktinę arba numanomą interesų konflikto riziką, ENISA turėtų taikyti interesų konfliktų prevencijos ir valdymo taisykles. ENISA taip pat turėtų taikyti galimybės susipažinti su dokumentais taisykles, nustatytas Europos Parlamento ir Tarybos reglamente (EB) Nr. 1049/2001 54 . ENISA asmens duomenis turėtų tvarkyti laikydamasi Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 55 . ENISA turėtų laikytis Sąjungos subjektams taikytinų nuostatų ir nacionalinės teisės aktų dėl informacijos, visų pirma neskelbtinos neįslaptintos ir Europos Sąjungos įslaptintos informacijos (ESĮI) tvarkymo;

(72)vykdydama savo užduotis ENISA gali turėti prieigą prie neskelbtinos informacijos, pavyzdžiui, informacijos apie kibernetines grėsmes ir incidentus. Todėl labai svarbu, kad ENISA išsaugotų savo tvarkomos informacijos konfidencialumą. Visų pirma, pagal Sutarties dėl Europos Sąjungos veikimo (SESV) 339 straipsnį ENISA pareigūnai ir kiti tarnautojai neturėtų atskleisti jokios informacijos, kuriai taikomas įpareigojimas saugoti profesinę paslaptį, visų pirma informacijos apie įmones, jų verslo santykius ar sąnaudų sudedamąsias dalis, net ir nustoję eiti savo pareigas;

(73)siekiant užtikrinti, kad ENISA pasiektų visus savo tikslus, ji turėtų bendradarbiauti su atitinkamomis Sąjungos priežiūros institucijomis ir kitomis kompetentingomis institucijomis Sąjungoje, susijusiais Sąjungos subjektais, be kita ko, CERT-EU, Europolo EC3, ECCC, Europos gynybos agentūra (EGA), Europos Sąjungos kosmoso programos agentūra (EUSPA), Europos elektroninių ryšių reguliuotojų institucija (BEREC), Europos didelės apimties IT sistemų laisvės, saugumo ir teisingumo erdvėje operacijų valdymo agentūra (eu-LISA), Europos Centriniu Banku (ECB), Europos bankininkystės institucija (EBI), Europos duomenų apsaugos valdyba, Energetikos reguliavimo institucijų bendradarbiavimo agentūra (ACER), Europos Sąjungos aviacijos saugos agentūra (EASA) ir bet kuriuo kitu Sąjungos subjektu, susijusiu su kibernetiniu saugumu. ENISA taip pat turėtų palaikyti ryšius su kompetentingomis institucijomis pagal Direktyvą (ES) 2022/2555, rinkos priežiūros institucijomis ir institucijomis, atsakingomis už duomenų apsaugą, kad būtų keičiamasi praktine patirtimi ir geriausios praktikos pavyzdžiais, ir turėtų teikti konsultacijas kibernetinio saugumo klausimais, kurie gali turėti įtakos jų darbui;

(74)Europolas atlieka svarbų vaidmenį užkertant kelią kibernetiniams nusikaltimams, įskaitant kibernetinius nusikaltimus, susijusius su tinklų ir informacijos saugumo incidentais, ir kovojant su jais. Siekiant sukurti kiekvienos agentūros atitinkamų užduočių sinergiją, ENISA turėtų bendradarbiauti su Europolu, visų pirma dalydamasi informacija apie išpuolių naudojant išpirkos reikalavimo programinę įrangą metodų tendencijas, reikalavimus ir poveikį. Toks bendradarbiavimas taip pat gali apimti dažniausiai pasitaikančių išpirkos reikalavimo programinės įrangos padermių, nukreiptų prieš Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus subjektus, nustatymą, siekiant padėti esminiams ir svarbiems subjektams reaguoti į incidentus ir atkurti veiklą;

(75)siekiant remti operatyvinį bendradarbiavimą ir bendrą informuotumą apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais, labai svarbu, kad ENISA bendradarbiautų su suinteresuotaisiais subjektais, visų pirma privačiojo sektoriaus įmonėmis ir organizacijomis, su kuriomis ENISA gali užmegzti viešojo ir privačiojo sektorių partnerystes;

(76)siekdama veiksmingai įgyvendinti šiame reglamente nustatytus tikslus, ENISA gali bendradarbiauti visų pirma su akademinėmis institucijomis, kurios vykdo mokslinių tyrimų iniciatyvas atitinkamose srityse, ir sukurti tinkamus vartotojų organizacijų ir kitų organizacijų informacijos teikimo kanalus;

(77)atsižvelgiant į tai, kad kibernetinės grėsmės ir incidentai neturi sienų, trečiųjų valstybių kibernetinio saugumo ir parengties lygis gali daryti poveikį subjektams Sąjungoje. Todėl ENISA turėtų galėti vykdyti pajėgumų stiprinimo veiklą, įskaitant mokymą, pajėgumų stiprinimą, porinę veiklą trečiosiose valstybėse, visų pirma pritaikytą pajėgumų stiprinimo veiklą šalims, kurios yra kandidatės stoti į Sąjungą, arba kitoms šalims partnerėms, atsižvelgiant į Sąjungos prioritetus. Tokia veikla turėtų būti vykdoma gavus konkretų prašymą suteikti tinkamą paramą, atsižvelgiant į Sąjungos prioritetus, ir turėtų būti įgyvendinama pagal specialią tvarką, be kita ko, sudarant susitarimus dėl įnašo, kaip nurodyta Reglamente (ES, Euratomas) 2024/2509. Europos kibernetinio saugumo sertifikavimo sistema siekiama apsaugoti nuo kibernetinių grėsmių, pavyzdžiui, piktavališkai išnaudojamų kibernetinio saugumo spragų arba kibernetinio saugumo incidentų, darančių poveikį IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų funkcionalumui (projektavimui ir veikimui) arba subjektų kibernetinio saugumo būklei. Sutelkiant dėmesį į techninę riziką, susijusią su IRT produktais, IRT paslaugomis, IRT procesais, valdomomis saugumo paslaugomis arba subjektų kibernetinio saugumo būkle, EKSSS turėtų papildyti IRT tiekimo grandinių saugumo sistemą, kuria siekiama užtikrinti suderintą požiūrį Sąjungos lygmeniu į netechninę riziką ypatingos svarbos sektoriuose ir kituose labai svarbiuose sektoriuose;

(78)valstybės narės turėtų turėti galimybę pasinaudoti Europos kibernetinio saugumo sertifikavimu, kiek tai susiję su viešaisiais pirkimais, pagal Europos Parlamento ir Tarybos direktyvą 2014/24/ES 56 ;

(79)kad subjektams būtų lengviau laikytis reikalavimų, EKSSS turėtų būti numatyta galimybė sertifikuoti jų kibernetinio saugumo būklę. Subjektams, visų pirma teikiantiems įvairių rūšių paslaugas keliose valstybėse narėse, gali būti taikomos skirtingos su kibernetiniu saugumu ir duomenų saugumu susijusios pareigos pagal horizontaliąsias priemones, pavyzdžiui, Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 57  ir Europos Parlamento ir Tarybos direktyvą (ES) 2022/2555 58 , taip pat konkretiems sektoriams skirtas priemones. Siekiant supaprastinti bendros kibernetinio saugumo reguliavimo sistemos įgyvendinimą ir palengvinti jos laikymąsi, Sąjungos teisės aktuose turėtų būti galima numatyti galimybę subjektams įrodyti savo atitiktį kibernetinio saugumo rizikos valdymo reikalavimams išduodant Europos kibernetinio saugumo sertifikatą. Atitinkama schema galėtų padėti supaprastinti atitikties reikalavimus, kylančius iš skirtingų reguliavimo priemonių, nedarant poveikio konkretiems jų sertifikavimo reikalavimams. Tokios supaprastinimo priemonės gali sumažinti administracinę naštą, atlaisvindamos išteklius ypatingos svarbos Sąjungos sektorių subjektų operatyvinei kibernetinio saugumo parengčiai stiprinti;

(80)EKSSS parengtas Europos kibernetinio saugumo rizikos valdymo reikalavimų sertifikavimas turėtų suteikti subjektams galimybę įrodyti atitiktį atitinkamiems Sąjungos teisės aktams, kai schema apima atitinkamus tokiame akte nustatytus teisinius reikalavimus ir kai tai numatyta. Tuo remiantis Sąjungos teisės akte taip pat gali būti numatyta atitikties tiems reikalavimams prezumpcija. Tokios schemos galėtų padėti pagerinti nuoseklų Sąjungos teisės aktuose nustatytų kibernetinio saugumo reikalavimų įgyvendinimą, kad visose valstybėse narėse būtų sudarytos vienodos sąlygos ir palengvinta reikalavimų laikymosi našta;

(81)Europos kibernetinio saugumo sertifikavimo sistemoje turėtų būti numatyta galimybė sertifikuoti IRT procesus, kurie apibrėžiami kaip IRT produkto ar paslaugos projektavimo, kūrimo, pateikimo ar priežiūros veikla. Apsaugos profilis yra IRT proceso pavyzdys, kaip nurodyta Komisijos įgyvendinimo reglamente (ES) 2024/482 59 . Kitas IRT proceso pavyzdys – gamintojo vykdoma veikla, kuria siekiama saugiai projektuoti ir kurti IRT produktą, įskaitant fizines, logines, procedūrines, personalo ir kitas saugumo priemones, būtinas IRT produkto projektavimo ir įgyvendinimo konfidencialumui ir vientisumui jo kūrimo aplinkoje apsaugoti. Tokios veiklos sertifikavimas dažnai vadinamas veiklos vietos sertifikavimu vykdant sertifikavimo procesą pagal Komisijos įgyvendinimo reglamentą (ES) 2024/482;

(82)valdomų saugumo paslaugų apibrėžtis šiame reglamente turėtų derėti su valdomų saugumo paslaugų teikėjų apibrėžtimi Direktyvoje (ES) 2022/2555. Tas paslaugas sudaro su klientų kibernetinio saugumo rizikos valdymu susijusios veiklos vykdymas arba parama tokiai veiklai, ir jos tampa vis svarbesnės incidentų prevencijai ir jų poveikio mažinimui. Todėl tų paslaugų teikėjai pagal Direktyvą (ES) 2022/2555 laikomi esminiais arba svarbiais subjektais, priklausančiais itin svarbiam sektoriui. Valdomų saugumo paslaugų teikėjai tokiose srityse kaip reagavimas į incidentus, skverbimosi testavimas, saugumo auditai ir konsultacijos atlieka itin svarbų vaidmenį padėdami subjektams užkirsti kelią incidentams, juos atskleisti, į juos reaguoti ar atstatyti po jų veiklą. Tačiau valdomų saugumo paslaugų teikėjai ir patys yra kibernetinių atakų taikiniai ir dėl jų glaudžios integracijos į klientų veiklą kyla specifinė rizika. Todėl reikia, kad esminiai ir svarbūs subjektai, kaip tai suprantama Direktyvoje (ES) 2022/2555, rinkdamiesi valdomų saugumo paslaugų teikėjus veiktų atidžiau;

(83)Europos kibernetinio saugumo sertifikavimo schemos yra svarbios plačiai suinteresuotųjų subjektų bendruomenei, pavyzdžiui, IRT sprendimų teikėjams, atitikties vertinimo įstaigoms ir naudotojams. Siekiant skatinti platų suinteresuotųjų subjektų dalyvavimą, Europos kibernetinio saugumo sertifikavimo asamblėja (toliau – Asamblėja) turėtų būti organizuojama bent kartą per metus, kad būtų skatinamas Komisijos, ENISA, valstybių narių ir atitinkamų suinteresuotųjų subjektų bendradarbiavimas. Ji atliks labai svarbų vaidmenį nustatant ir sprendžiant naujus kibernetinio saugumo uždavinius ir strateginius sertifikavimo prioritetus, taip pat užtikrinant, kad sertifikavimo schemos palengvintų saugų skaitmeninių technologijų integravimą ir atitiktų naudotojų poreikius. Asamblėja turėtų skatinti Sąjungos lyderystę sertifikavimo veiklos srityje ir išlaikyti sertifikavimo sistemos gebėjimą užtikrinti įmonių, valdžios institucijų ir visuomenės pasitikėjimą;

(84)Komisija turėtų turėti specialią interneto svetainę skaidrumui užtikrinti, skelbdama naujausią informaciją apie EKSSS įgyvendinimo pažangą. Interneto svetainėje turėtų būti pateikiama informacija, susijusi su rengiamomis sertifikavimo schemomis, strateginiais būsimų sertifikavimo schemų prioritetais, prašymais ENISA parengti potencialias sertifikavimo schemas ir informacija apie sertifikavimo schemų priėmimą. Komisijos svetainė papildys ENISA Europos kibernetinio saugumo sertifikavimo schemų svetainę, kurioje turėtų būti pateikta išsami informacija apie potencialių schemų techninį rengimą ir schemų priežiūrą, daugiausia dėmesio skiriant išduotiems Europos kibernetinio saugumo sertifikatams ir ES atitikties pareiškimams;

(85)siekdama stiprinti Sąjungos institucijų dialogą ir prisidėti prie oficialaus, atviro, skaidraus ir įtraukaus konsultacijų proceso, Komisija, vertindama šį reglamentą, turėtų atsižvelgti į elementus, susijusius su Europos Parlamento, Tarybos ir Europos kibernetinio saugumo sertifikavimo asamblėjos pareikštomis nuomonėmis;

(86)ENISA atliekamos galimybių studijos turėtų padėti pasirengti kibernetinio saugumo sertifikavimo schemų planavimui ir plėtojimui. Tyrimai turėtų apimti atitinkamų suinteresuotųjų subjektų perspektyvas ir suderinti būsimas sertifikavimo schemas su vykdoma mokslinių tyrimų, plėtros ir technologinio vertinimo veikla, visų pirma pripažįstant Sąjungos ir valstybių narių mokslinių tyrimų iniciatyvų indėlį. Tokie tyrimai gali padėti nustatyti esamus standartus ir technines specifikacijas. Jie turėtų būti vykdomi Komisijos prašymu arba atsižvelgiant į Sąjungos strateginius prioritetus, siekiant užtikrinti, kad būtų tinkamai atsižvelgiama į kintančią technologinę aplinką ir kibernetinio saugumo poreikius ir į juos būtų atsižvelgiama prašant taikyti schemas ir jas rengiant;

(87)potencialios schemos struktūra ir jos saugumo tikslų bei elementų aprėptis turėtų atitikti sertifikavimo objekto dalyką ir taikymo sritį. Todėl, pavyzdžiui, debesijos paslaugų sertifikavimo schema galėtų būti siekiama saugumo tikslų, kurie yra svarbūs IRT paslaugoms ir organizacijos saugumui. Kitas pavyzdys – saugumo tikslas, susijęs su žinomų išnaudojamų pažeidžiamumų neįtraukimu, greičiausiai nebus svarbus sertifikuojant IRT procesus;

(88)siekiant užtikrinti, kad Europos kibernetinio saugumo sertifikavimo schemos visose valstybėse narėse būtų įgyvendinamos suderintai, būtina nustatyti schemų priežiūros taisykles. Priežiūros veikla taip pat būtina siekiant užtikrinti, kad schemos ir jų patvirtinamieji dokumentai būtų nuolat atnaujinami, ypač kibernetinio saugumo srityje, kurioje grėsmių aplinka ir technologijos nuolat kinta. Todėl sertifikavimo schemos turėtų būti parengtos ir taikomos taip, kad būtų išvengta rizikos, jog jos greitai pasens. Priežiūros veikla paprastai turėtų apimti patvirtinamųjų dokumentų, įskaitant technines specifikacijas ir gaires, rengimą ir atnaujinimą, taip pat sistemai svarbių standartų ar techninių specifikacijų nustatymą. Sistemos veikimo, jos galimų trūkumų ir būtino tobulinimo analizė taip pat turėtų būti priežiūros veiklos dalis. Be to, priežiūros veikla turėtų apimti valstybių narių dalijimąsi informacija apie sistemų įgyvendinimą ir indėlį į tarpusavio vertinimo ir tarpusavio vertinimo mechanizmus;

(89)dėl techninio priežiūros veiklos pobūdžio ENISA turėtų valdyti tokią veiklą bendradarbiaudama su Komisija ir padedama Europos kibernetinio saugumo sertifikavimo grupės (EKSSG) ir jos atitinkamo priežiūros pogrupio. Įsteigus EKSSG priežiūros pogrupį galima surinkti iš valstybių narių techninę informaciją ir įžvalgas, kad būtų suderinti požiūriai;

(90)priežiūros veikla turėtų apimti sąveiką su atitinkamomis suinteresuotųjų subjektų grupėmis, siekiant užtikrinti, kad sistemos išliktų aktualios rinkai ir atnaujintos, be kita ko, dalijantis technine informacija ir ją gaunant. Tokios suinteresuotųjų subjektų grupės gali būti standartizacijos organizacijos, atitikties vertinimo įstaigos, pardavėjai, naudotojai, valdžios institucijos ar prekybos asociacijos. Kiekvienos sistemos ypatumai, įskaitant atitinkamus techninius forumus ir pramonės šakas, reiškia, kad techninė informacija turėtų būti renkama skirtingais būdais, priklausomai nuo schemos. Kai kurių schemų atveju ENISA turėtų turėti galimybę pasitelkti ad hoc darbo grupę, kurią sudarytų valstybių narių viešojo administravimo institucijų, Sąjungos subjektų ir privačiojo sektoriaus ekspertai. Techninę informaciją taip pat galėtų teikti ISAC arba standartizacijos organizacijos. ENISA turėtų išanalizuoti, koks formatas yra tinkamiausias kiekvienai schemai, ir į kiekvieną potencialią schemą įtraukti priežiūros strategiją;

(91)Europos kibernetinio saugumo sertifikavimo schemos turėtų būti grindžiamos standartais arba techninėmis specifikacijomis, visų pirma nustatant saugumo reikalavimus ir vertinimo metodikas. ENISA turėtų būti suteikta galimybė parengti technines specifikacijas, kurios padėtų rengti ir prižiūrėti schemas, visų pirma tais atvejais, kai trūksta standartizacijos organizacijų parengtų dokumentų arba jie nėra tinkami schemos tikslams pasiekti. Rengiant projektą ENISA turėtų padėti EKSSG ir, kai taikytina, atitinkamai schemai įsteigta ad hoc darbo grupė. ENISA taip pat turėtų prašyti suinteresuotųjų subjektų grupių pateikti atsiliepimų. Be to, ENISA turėtų atsižvelgti į pripažinimą rinkoje, taip pat į Europos ir tarptautinius standartus. Atsižvelgiant į techninių specifikacijų kokybę ir schemos tikslus, Komisija turėtų turėti galimybę Europos kibernetinio saugumo sertifikavimo schemoje remtis ENISA parengtomis techninėmis specifikacijomis;

(92)ENISA parengtos ir schemoje nurodytos techninės specifikacijos turėtų būti paskelbtos ENISA interneto svetainėje, skirtoje Europos kibernetinio saugumo sertifikavimo schemoms, kad visos suinteresuotosios šalys galėtų su jomis susipažinti. Tačiau kai kuriais konkrečiais atvejais paskelbimas interneto svetainėje galėtų kelti riziką sertifikuotų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų kibernetiniam saugumui arba subjektų kibernetinio saugumo būklei, taip pat visuomenės saugumui. Pavyzdžiui, techninėse specifikacijose galėtų būti pateikta tiksli informacija apie naujus išpuolių rengimo būdus, kuriais, apie juos paskelbus viešai, galėtų naudotis piktavaliai subjektai. Šios rūšies informacija turėtų būti platinama ribotai, laikantis būtinybės žinoti principo, atitinkamiems suinteresuotiesiems subjektams, pavyzdžiui, nacionalinėms kibernetinio saugumo sertifikavimo institucijoms, atitikties vertinimo įstaigoms ir sertifikuojamiems pardavėjams. Dėl riboto tokių techninių specifikacijų platinimo jos neturėtų būti nurodomos Europos kibernetinio saugumo sertifikavimo schemose, todėl jos turėtų būti neprivalomo pobūdžio;

(93)kibernetinio saugumo būklės sertifikavimo schemos turėtų būti kuriamos moduliniu būdu, kad būtų galima įrodyti atitiktį ir daryti atitikties atitinkamiems kibernetinio saugumo reikalavimams, nustatytiems kituose Sąjungos teisės aktuose, prezumpciją, kai tuose teisės aktuose tokia galimybė numatyta. Todėl atitikties šių teisės aktų reikalavimams prezumpcija įsigalios kaip galimas būdas įrodyti atitiktį tik tuo atveju, jei atitinkamais teisės aktais leidžiama tokia atitikties prezumpcija. Todėl tikėtina, kad tokia schemos informacija, t. y. tikslas, uždaviniai ar elementai, skirsis nuo kitų schemų informacijos. Visų pirma turėtų būti parengtos subjektų kibernetinio saugumo būklės sertifikavimo schemos, kad būtų galima įvertinti nuolatinę subjekto atitiktį Sąjungos teisės aktams. Todėl nebūtina, kad kibernetinio saugumo būklės sertifikavimo schemos apimtų visus Europos kibernetinio saugumo sertifikavimo schemų elementus, pavyzdžiui, saugumo užtikrinimo lygius, ir tai turėtų atsispindėti schemų taisyklėse;

(94)EKSSS kibernetinio saugumo būklės sertifikavimo sistema suteikia galimybę sukurti schemą, pagal kurią paslaugas keliose valstybėse narėse teikiantys subjektai galėtų įrodyti, kad laikosi Europos Parlamento ir Tarybos direktyvoje 2022/2555 nustatytų kibernetinio saugumo rizikos valdymo pareigų. Tuo remiantis ir gebėdami įrodyti, kad laikosi reikalavimų, subjektai gali pasinaudoti nuoseklesniais ir mažiau apsunkinančiais priežiūros metodais visoje vidaus rinkoje. Parengti tokią sertifikavimo schemą turėtų būti lengviau priėmus įgyvendinimo aktus pagal Direktyvą (ES) 2022/2555. Taikant išplėtimo profilius, kibernetinio saugumo būklės sertifikavimo schema gali įrodyti atitiktį reikalavimams, jei valstybė narė priėmė arba paliko galioti nuostatas, kuriomis užtikrinamas aukštesnis kibernetinio saugumo lygis pagal Direktyvą (ES) 2022/2555. Tuo remdamasis subjektas, teikiantis paslaugas keliose valstybėse narėse, gali įrodyti atitiktį visiems atitinkamiems išplėtimo profiliams naudodamas bendrą Europos kibernetinio saugumo sertifikatą;

(95)Europos kibernetinio saugumo sertifikavimo schemose nustatyti saugumo tikslai ir saugumo reikalavimai, susiję su produkto saugumu, turėtų derėti su Reglamento (ES) 2024/2847 I priede nustatytais esminiais kibernetinio saugumo reikalavimais. Šis suderinamumas būtinas siekiant užtikrinti, kad gamintojams, kurių produktams taikomas Reglamentas (ES) 2024/2847, nebūtų taikomi prieštaringi reikalavimai sertifikuojant jų produktus pagal Europos kibernetinio saugumo sertifikavimo schemą. Be to, reikalavimų nuoseklumas palengvina atitikties prezumpciją pagal Reglamento (ES) 2024/2847 27 straipsnį, pagal kurį produktų su skaitmeniniais elementais, sertifikuotų pagal Europos kibernetinio saugumo sertifikavimo schemą, gamintojai tam tikromis sąlygomis gali pasinaudoti atitikties to reglamento I priede nustatytiems esminiams kibernetinio saugumo reikalavimams prezumpcija;

(96)Europos kibernetinio saugumo sertifikavimo schemoje turėtų būti įmanoma nustatyti išplėtimo profilį, nustatant papildomus ar konkrečius naudojimo atvejams taikomus reikalavimus, įskaitant papildomą pajėgumą, pavyzdžiui, patobulintas produkto savybes, specializuotų paslaugų pasiūlymus ar išteklius, optimizuotus procesus ir pažangias saugumo priemones. Kadangi išplėtimo profiliai neatitinka konkretaus saugumo užtikrinimo lygio, juose turėtų būti išsamiai aprašytas jų tikslas, įskaitant pašalintas grėsmes saugumui. Išplėtimo profiliais visų pirma siekiama įrodyti atitiktį konkretiems standartams ir reguliavimo reikalavimams, įskaitant, kai taikytina, reikalavimus, susijusius su papildomomis kibernetinio saugumo rizikos valdymo priemonėmis, kurias valstybė narė nustatė laikydamasi minimalaus suderinimo principo pagal Direktyvą (ES) 2022/2555;

(97)nedarant poveikio bendrai tarpusavio vertinimo sistemai, kuri turi būti įdiegta visose EKSSS nacionalinėse kibernetinio saugumo sertifikavimo institucijose, į Europos kibernetinio saugumo sertifikavimo schemas turėtų būti galima įtraukti tarpusavio vertinimo mechanizmą, skirtą įstaigoms, išduodančioms IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikatus, visų pirma toms įstaigoms, kurios pagal tokias schemas išduoda sertifikatus, kurių saugumo užtikrinimo lygis yra aukštas. Tokios įstaigos taip pat turėtų apimti nacionalinių kibernetinio saugumo sertifikavimo institucijų, išduodančių aukšto saugumo užtikrinimo lygio sertifikatus, sertifikavimo įstaigas. EKSSG turėtų remti tokių tarpusavio vertinimo mechanizmų įgyvendinimą. Atliekant tarpusavio vertinimus visų pirma turėtų būti vertinama, ar atitinkamos įstaigos suderintai vykdo savo užduotis, taip pat juose gali būti numatyti apskundimo mechanizmai;

(98)tokios krizės kaip karai, gaivalinės nelaimės ir pandemijos gali neigiamai paveikti sertifikavimo veiklą. Tokio pobūdžio krizių atvejais gali būti neįmanoma užtikrinti vietos saugumo, pavyzdžiui, dėl infrastruktūros sunaikinimo, kibernetinių išpuolių, darbuotojų neprieinamumo ir vietos nepasiekiamumo. Todėl Europos kibernetinio saugumo sertifikavimo schemoje turėtų būti nustatytos laikinos sertifikavimo veiklos tęstinumo esant tokiems scenarijams taisyklės;

(99)potencialių techninių schemų pavertimui įgyvendinimo aktais reikalingos sudėtingos techninės ir teisinės žinios ir dėl to gali atsirasti didelė administracinė našta. Be to, tam tikri Europos kibernetinio saugumo sertifikavimo schemų elementai, pavyzdžiui, pažeidžiamumo valdymas arba sąlygos, kuriomis tokie ženklai ar etiketės gali būti naudojami, yra tarpsektoriniai ir jiems gali būti taikomos suderintos orientacinės nuostatos. Siekiant užtikrinti priimtų Europos kibernetinio saugumo sertifikavimo schemų kokybę ir sumažinti įmonėms tenkančią reikalavimų laikymosi naštą, Komisijai turėtų būti suteikti įgaliojimai priimti pavyzdines nuostatas, apimančias tam tikrus Europos kibernetinio saugumo sertifikavimo schemų elementus;

(100)siekiant užtikrinti Europos kibernetinio saugumo sertifikavimo sistemos nuoseklumą, Europos kibernetinio saugumo sertifikavimo schemoje turėtų būti galima apibrėžti pagal tą schemą išduodamų Europos kibernetinio saugumo sertifikatų ir ES atitikties pareiškimų saugumo užtikrinimo lygius. Europos kibernetinio saugumo sertifikate turėtų būti nurodytas vienas iš saugumo užtikrinimo lygių: „bazinis“, „pakankamai aukštas“ arba „aukštas“, o ES atitikties pareiškime turėtų būti nurodytas tik „bazinis“ saugumo užtikrinimo lygis. Saugumo užtikrinimo lygiai turėtų užtikrinti atitinkamą subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos arba kibernetinio saugumo būklės vertinimo tikslumą ir išsamumą ir turėtų būti apibūdinami remiantis su tuo susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių tikslas – sušvelninti incidentus arba užkirsti jiems kelią. Kiekvienas saugumo užtikrinimo lygis turėtų būti nuoseklus įvairiose sektorių srityse, kuriose taikomas sertifikavimas;

(101)Europos kibernetinio saugumo sertifikatų naudotojai turėtų pasirinkti tinkamus sertifikavimo ir susijusius saugumo reikalavimus remdamiesi rizikos, susijusios su IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų naudojimu arba subjektų sertifikavimo kontekstu, analize. Atitinkamai saugumo užtikrinimo lygis turėtų atitikti rizikos, susijusios su numatytu IRT produkto, IRT paslaugos, IRT proceso, valdomų saugumo paslaugų naudojimu, lygį arba subjekto, kurio kibernetinio saugumo būklė sertifikuojama, veiklos aplinką bei pobūdį;

(102)bazinio saugumo užtikrinimo lygio atveju atliekant vertinimą turėtų būti vadovaujamasi bent šiais saugumo užtikrinimo komponentais: vertinimas turėtų apimti bent atitikties vertinimo įstaigos atliekamą subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos ar kibernetinio saugumo būklės techninių dokumentų peržiūrą. Kai sertifikavimas apima IRT procesus, taip pat turėtų būti atliekama IRT produkto, IRT paslaugos, valdomos saugumo paslaugos projektavimo, kūrimo ir priežiūros proceso ar subjekto kibernetinio saugumo būklės techninė peržiūra. Kai Europos kibernetinio saugumo sertifikavimo schemoje numatytas savarankiškas atitikties vertinimas, turėtų pakakti, kad IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė sertifikuojama, būtų atlikęs savarankišką subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos ar kibernetinio saugumo būklės atitikties sertifikavimo schemai vertinimą;

(103)pakankamai aukšto saugumo užtikrinimo lygio atveju vertinimas, be bazinio saugumo užtikrinimo lygio reikalavimų, turėtų būti grindžiamas bent patikrinimu, ar subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos arba kibernetinio saugumo funkcijos atitinka jo techninius dokumentus;

(104)vertinimas dėl aukšto saugumo užtikrinimo lygio, be pakankamai aukšto saugumo užtikrinimo lygio komponentų, turėtų būti paremtas bent efektyvumo bandymu, kuriuo įvertinamas IRT produkto, IRT paslaugos ar IRT proceso saugumo funkcinių galimybių atsparumas sudėtingų kibernetinių išpuolių, kuriuos vykdo aukšto lygio įgūdžių ir didelių išteklių turintys subjektai, rizikai; Atitikties vertinimo veikla turėtų būti vykdoma Europos ekonominėje erdvėje, kad būtų užtikrintas aukštas saugumo užtikrinimo lygis, arba tais atvejais, kai schema skirta atitikčiai įrodyti ir atitikties kitiems Sąjungos teisės aktams prezumpcijai daryti. Šis reikalavimas grindžiamas tuo, kad vertinimo veikla, vykdoma už Europos ekonominės erdvės ribų, kelia papildomą grėsmę kibernetiniam saugumui, visų pirma įvertintų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų intelektinei nuosavybei. Pavyzdžiui, IRT produkto pirminis kodas galėtų būti tikrinamas kertant trečiosios valstybės sieną, o tai kelia riziką intelektinei nuosavybei. Be to, trečiosiose valstybėse įsteigtos bandymų laboratorijos neveikia aplinkoje, kuriai taikomos kibernetinio saugumo priemonės, privalomos pagal ES teisės aktus, pavyzdžiui, Direktyvą (ES) 2022/2555 arba Reglamentą (ES) 2024/2847. Pavyzdžiui, bandymų laboratorija gali pasikliauti trečiosios šalies debesijos paslaugų teikėju, kuris nesilaiko Direktyvoje (ES) 2022/2555 nustatytų kibernetinio saugumo reikalavimų. Vis dėlto sertifikavimo schemoje turėtų būti leidžiama numatyti nukrypti leidžiančių nuostatų mechanizmus, pavyzdžiui, susijusius su vietos sertifikavimu arba kitais atvejais, kai atitikties vertinimo veikla negali būti pagrįstai vykdoma Europos ekonominėje erdvėje;

(105)kai kuriais atvejais gali reikėti taikyti skirtingus metodus, kad būtų pasiekti tam tikro saugumo užtikrinimo lygio saugumo tikslai, susiję su IRT produkto, IRT paslaugos, IRT proceso, valdomų saugumo paslaugų specifika ar subjektų kibernetinio saugumo būkle. Kad būtų galima taikyti išsamesnį požiūrį, Europos kibernetinio saugumo sertifikavimo schemoje turėtų būti galima nurodyti vieną ar kelis vertinimo lygius, atitinkančius vieną iš saugumo užtikrinimo lygių. Taip bus sudarytos sąlygos kurti schemas, pagal kurias skirtingi vertinimo lygiai, skirti kitam tikslui, atitiks saugumo lygį, susijusį su konkrečiu saugumo užtikrinimo lygiu;

(106)Europos kibernetinio saugumo sertifikavimo schemose turėtų būti leidžiama numatyti, kad atitikties vertinimas turi būti atliekamas tik IRT produktų gamintojo ar tiekėjo, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjo arba subjekto, kurio kibernetinio saugumo būklė yra sertifikuota, atsakomybe (toliau – savarankiškas atitikties vertinimas). Tokiais atvejais turėtų pakakti, kad gamintojas, teikėjas ar subjektas, kurio kibernetinio saugumo būklė yra sertifikuota, pats atliktų visus patikrinimus, siekdamas užtikrinti, kad subjekto IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos ar kibernetinio saugumo būklė atitiktų Europos kibernetinio saugumo sertifikavimo schemą. Savarankiškas atitikties vertinimas turėtų būti laikomas tinkamu mažo sudėtingumo IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ar subjekto kibernetinio saugumo būklei, kurie kelia nedidelę riziką visuomenei ir kurių dizainas ar gamybos mechanizmai yra paprasti;

(107)kai pagal Europos kibernetinio saugumo sertifikavimo schemą leidžiama atlikti tiek pačių subjektų atliekamą IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba kibernetinio saugumo būklės atitikties vertinimą, tiek sertifikavimą, tokiu atveju sertifikavimo schemoje turėtų būti numatytos aiškios ir suprantamos priemonės vartotojams ar kitiems naudotojams atskirti savarankiškai įvertintus ir trečiųjų šalių sertifikuotus IRT produktus, IRT paslaugas, IRT procesus, valdomas saugumo paslaugas arba subjektų kibernetinio saugumo būklę;

(108)IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas arba subjektai, kurių kibernetinio saugumo būklė yra sertifikuota, turėtų turėti galimybę išduoti ir pasirašyti ES atitikties pareiškimą, kuris yra atitikties vertinimo procedūros dalis. ES atitikties pareiškimas – dokumentas, kuriame teigiama, kad konkretus IRT produktas, IRT paslauga, IRT procesas, valdoma saugumo paslauga arba subjekto kibernetinio saugumo būklė atitinka Europos kibernetinio saugumo sertifikavimo schemos reikalavimus. Išduodamas ir pasirašydamas ES atitikties pareiškimą, IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė yra sertifikuota, prisiima atsakomybę už subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos ar kibernetinio saugumo būklės atitiktį Europos kibernetinio saugumo sertifikavimo schemos saugumo reikalavimams; ES atitikties pareiškimo kopija turėtų būti pateikta nacionalinei kibernetinio saugumo sertifikavimo institucijai ir ENISA;

(109)IRT produktų gamintojai, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjai arba subjektai, kurių kibernetinio saugumo būklė yra sertifikuota, turėtų pateikti ES atitikties pareiškimą, techninius dokumentus ir visą kitą svarbią informaciją, susijusią su atitiktimi Europos kibernetinio saugumo sertifikavimo schemai, kompetentingai nacionalinei kibernetinio saugumo sertifikavimo institucijai atitinkamoje Europos kibernetinio saugumo sertifikavimo schemoje numatytą laikotarpį ir laikydamiesi taikytinų Sąjungos teisės aktų. Techniniuose dokumentuose turėtų būti nurodyti pagal schemą taikytini reikalavimai tiek, kiek tai susiję su savarankišku atitikties vertinimu. Techniniai dokumentai turėtų būti parengti taip, kad būtų galima įvertinti, ar subjekto IRT produktas, IRT paslauga, IRT procesas ar valdoma saugumo paslauga arba kibernetinio saugumo būklė atitinka pagal schemą taikytinus reikalavimus;

(110)Europos kibernetinio saugumo sertifikatai ir ES atitikties pareiškimai turėtų padėti naudotojams priimti pagrįstus sprendimus. Todėl atitinkama informacija turėtų būti skelbiama ENISA tvarkomoje interneto svetainėje; Be to, kartu su IRT produktais, paslaugomis ir procesais, kurie buvo sertifikuoti ar kuriems buvo išduotas ES atitikties pareiškimas, turėtų būti pateikiama susisteminta informacija, pritaikyta tikėtinam techniniam numatomo naudotojo lygiui. Visi naudotojai turėtų turėti prieigą prie informacijos apie sertifikavimo schemos nuorodos numerį, išduodančiąją instituciją ar įstaigą ir, kai taikytina, saugumo užtikrinimo lygį arba turėtų turėti galimybę gauti Europos kibernetinio saugumo sertifikato kopiją. Ta informacija turėtų būti nuolat atnaujinama ir pateikiama Europos kibernetinio saugumo sertifikavimo schemoms skirtoje interneto svetainėje. Be to, siekiant užtikrinti nuolatinį prieinamumą, turėtų būti reikalaujama, kad gamintojai ir tiekėjai praneštų atitinkamai sertifikavimo įstaigai, jei pasikeičia internetinės arba, kai aktualu, fizinės informacijos vieta;

(111)atitikties vertinimas yra procedūra, skirta įvertinti, ar įvykdyti nurodyti reikalavimai, susiję su IRT produktu, IRT paslauga, IRT procesu, valdoma saugumo paslauga arba subjektu. Tą procedūrą vykdo nepriklausoma trečioji šalis, kuri nėra sertifikuojamų IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė vertinama. Europos kibernetinio saugumo sertifikatas turėtų būti išduodamas sėkmingai įvertinus IRT produktą, IRT paslaugą, IRT procesą, valdomą saugumo paslaugą arba subjekto kibernetinio saugumo būklę; Europos kibernetinio saugumo sertifikatas turėtų būti laikomas patvirtinimu, kad įvertinimas buvo tinkamai atliktas;

(112)griežtas priežiūros ir sertifikavimo veiklos atskyrimas yra svarbus siekiant išvengti iškraipymų ir kišimosi, kurie gali atsirasti tais atvejais, kai rinką prižiūrintis subjektas taip pat konkuruoja toje pačioje rinkoje. Todėl neturėtų būti reikalaujama atskirti veiklą, kurią vykdydamos nacionalinės kibernetinio saugumo sertifikavimo institucijos tik atlieka savo priežiūros vaidmenį, pavyzdžiui, prieš išduodamos sertifikatą suteikia išankstinį patvirtinimą, nuo kitos priežiūros veiklos. Tai apima, pavyzdžiui, atvejį, kai nacionalinė kibernetinio saugumo sertifikavimo institucija aktyviai renka informaciją per visą privačių atitikties vertinimo įstaigų vykdomą sertifikavimo procesą ir tada pateikia savo nuomonę dėl tų įstaigų išduodamo sertifikato (toliau – išankstinio patvirtinimo modelis);

(113)Europos kibernetinio saugumo sertifikavimo schemose turėtų būti nurodytos sąlygos, kuriomis IRT produktus, IRT paslaugas, IRT procesus, valdomas saugumo paslaugas ar subjekto kibernetinio saugumo būklę gali reikėti pakartotinai sertifikuoti arba kuriomis gali reikėti sumažinti konkretaus Europos kibernetinio saugumo sertifikato taikymo sritį. Be to, Europos kibernetinio saugumo sertifikavimo schemose turėtų būti atsižvelgiama į bet kokį galimą neigiamą vėliau nustatytų pažeidžiamumo ar neatitikčių, susijusių su sertifikuotu IRT produktu, IRT paslauga, IRT procesu, valdoma saugumo paslauga ar subjekto kibernetinio saugumo būkle, poveikį to sertifikato saugumo reikalavimų atitikčiai;

(114)suderinimas atlieka labai svarbų vaidmenį užtikrinant patikimą kibernetinį saugumą ir gerinant įmonių patekimą į rinką. Priešingai, susiskaidymas ir abipusio sertifikatų pripažinimo trūkumas yra didelės kliūtys sklandžiam duomenų srautui, todėl didėja Sąjungos pramonės veiklos sąnaudos. Siekiant sumažinti šiuos iššūkius, labai svarbu išvengti saugumo kontrolės taikymo srities ir atitikties vertinimo metodų skirtumų visoje Sąjungoje;

(115)valstybės narės, prieš priimdamos naujas nacionalines IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės sertifikavimo schemas, turėtų pakankamai iš anksto informuoti Komisiją ir EKSSG, kad padėtų Komisijai ir EKSSG įvertinti naujos nacionalinės kibernetinio saugumo sertifikavimo schemos poveikį tinkamam vidaus rinkos veikimui ir atsižvelgiant į bet kokį strateginį interesą prašyti Europos kibernetinio saugumo sertifikavimo schemos;

(116)nacionalinės teisės aktuose pateikiamos nuorodos į nacionalinius standartus, kurie nustojo galioti dėl to, kad įsigaliojo Europos kibernetinio saugumo sertifikavimo schema, gali kelti painiavą. Todėl, kai aktualu, valstybės narės turėtų Europos kibernetinio saugumo sertifikavimo schemos patvirtinimą atspindėti savo nacionalinės teisės aktuose;

(117)siekiant sudaryti palankesnes sąlygas patikimos vidaus rinkos augimui ir kartu kurti partnerystes su trečiosiomis valstybėmis, EKSSS nustatytas sertifikavimo procesas turėtų būti įgyvendinamas taip, kad būtų sudarytos palankesnės sąlygos tarptautiniam pripažinimui, abipusiam pripažinimui ir suderinimui su tarptautiniais standartais;

(118)siekdama dar labiau palengvinti prekybą ir pripažindama, kad IRT tiekimo grandinės yra tarptautinės, Sąjunga pagal SESV 218 straipsnį gali sudaryti tarpusavio pripažinimo susitarimus dėl Europos kibernetinio saugumo sertifikatų. Komisijai turėtų būti suteikti įgaliojimai priimti įgyvendinimo aktus, kuriais vienašališkai pripažįstamas trečiųjų valstybių sertifikatų lygiavertiškumas Europos kibernetinio saugumo sertifikatams. Turėtų būti įmanoma nustatyti konkrečias tokio trečiųjų valstybių sertifikatų pripažinimo sąlygas;

(119)siekiant užtikrinti lygiavertį sistemos įgyvendinimą visoje Sąjungoje, palengvinti Europos kibernetinio saugumo sertifikatų ir ES atitikties pareiškimų tarpusavio pripažinimą ir skatinti bendrą pasitikėjimą jais, būtina įdiegti nacionalinių kibernetinio saugumo sertifikavimo institucijų tarpusavio peržiūros sistemą. Tarpusavio vertinimas turėtų apimti procedūras, taikomas prižiūrint IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės atitiktį Europos kibernetinio saugumo sertifikatams, stebint IRT produktų gamintojų ar tiekėjų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjų ir sertifikuotų subjektų, atliekančių savarankišką atitikties vertinimą, pareigas, stebint atitikties vertinimo įstaigas, taip pat įstaigų, išduodančių aukšto saugumo užtikrinimo lygio sertifikatus, darbuotojų ekspertinių žinių tinkamumą. ENISA turėtų dalyvauti tarpusavio vertinimuose kaip stebėtoja ir padėti organizuoti tarpusavio vertinimo mechanizmą ir tarpusavio vertinimus, be kita ko, rengdama atitinkamus rekomendacinius dokumentus ir šablonus, bendradarbiaujant su Komisija ir EKSSG. ENISA taip pat turėtų savo interneto svetainėje, skirtoje Europos kibernetinio saugumo sertifikavimo schemoms, viešai paskelbti informaciją apie tarpusavio vertinimų tvarkaraštį ir tarpusavyje įvertintų nacionalinių kibernetinio saugumo sertifikavimo institucijų, kurios turi vadovautis tvarkaraščiu, sąrašą. Komisijos įgyvendinimo reglamentu (ES) 2025/2540 60 , priimtu pagal Reglamentą (ES) 2019/881, nustatytas tarpusavio vertinimų planas, kuris naudojamas pagal priimtas Europos kibernetinio saugumo sertifikavimo schemas. Būtina užtikrinti tarpusavio vertinimų tęstinumą. Vis dėlto Komisija prireikus turėtų galėti įgyvendinimo aktais nustatyti naują bent penkerių metų tarpusavio vertinimo planą, taip pat tarpusavio vertinimo sistemos veikimo kriterijus ir metodikas;

(120) priėmus Europos kibernetinio saugumo sertifikavimo schemą, IRT produktų gamintojai arba teikėjai, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjai arba subjektai, kurių kibernetinio saugumo būklė sertifikuojama, turėtų turėti galimybę bet kurioje Sąjungos vietoje savo pasirinktai atitikties vertinimo įstaigai pateikti savo IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba kibernetinio saugumo būklės sertifikavimo paraiškas. Atitikties vertinimo įstaigas turėtų akredituoti nacionalinė akreditacijos įstaiga, jei jos atitinka šiame reglamente nustatytus reikalavimus ir, kai taikytina, Komisijos pagal šį reglamentą nustatytus reikalavimus. Šiame reglamente nustatytą sistemą turėtų papildyti akreditavimo sistema, numatyta Europos Parlamento ir Tarybos reglamente (EB) Nr. 765/2008 61 ;

(121) atitikties vertinimo įstaigos, akredituotos arba notifikuotos pagal galiojančius Sąjungos teisės aktus, visų pirma Reglamentą (ES) 2024/2847 arba Įgyvendinimo reglamentą (ES) 2024/482, gali turėti kompetencijos, susijusios su naujai priimtomis Europos kibernetinio saugumo sertifikavimo schemomis. Siekiant išvengti nereikalingos finansinės ir administracinės naštos, tikslinga sukurti atitikties vertinimo įstaigų akreditavimo pagal šį reglamentą sinergiją. Dėl šios priežasties schemų akreditavimo reikalavimai turėtų būti nustatyti taip, kad būtų kuo labiau suderinti su reikalavimais, susijusiais su notifikuotosiomis įstaigomis, nustatytais Reglamente (ES) 2024/2847, ir akreditavimo reikalavimais pagal Įgyvendinimo reglamentą (ES) 2024/482; Be to, atitikties vertinimo įstaigos, kurioms taikomas akreditavimo procesas pagal šį reglamentą, turėtų turėti galimybę remtis ankstesniais jų kompetencijos vertinimo pagal kitus Sąjungos teisės aktus rezultatais, kai akreditavimo reikalavimai sutampa;

(122)siekiant sudaryti palankesnes sąlygas suderintoms atitikties vertinimo paslaugoms visoje Sąjungoje, Europos kibernetinio saugumo sertifikavimo schemoje turėtų būti galima nustatyti papildomus arba konkrečius reikalavimus atitikties vertinimo įstaigoms. Kalbant apie sertifikavimą, leidimas turėtų būti suprantamas kaip nacionalinės kibernetinio saugumo sertifikavimo institucijos sprendimas, kad atitikties vertinimo įstaiga atitinka konkrečius ar papildomus Europos kibernetinio saugumo sertifikavimo schemoje nustatytus reikalavimus, kad galėtų vykdyti konkrečią atitikties vertinimo veiklą;

(123)kai Europos kibernetinio saugumo sertifikavimo schemoje pagal šį reglamentą nustatomi papildomi arba konkretūs reikalavimai, nacionalinės kibernetinio saugumo sertifikavimo institucijos turėtų įgalioti atitikties vertinimo įstaigas atlikti užduotis pagal tokią schemą. Siekiant išvengti kelių leidimų, padidinti pasitikėjimą akreditacijos pažymėjimais bei pagerinti jų pripažinimą, ir vykdyti veiksmingą įgaliotųjų atitikties vertinimo įstaigų stebėseną, atitikties vertinimo įstaigos turėtų kreiptis į valstybės narės, kurioje jos yra įsisteigusios, nacionalinės kibernetinio saugumo sertifikavimo instituciją dėl leidimo. Vis dėlto, būtina užtikrinti, kad atitikties vertinimo įstaiga galėtų prašyti išduoti leidimą kitoje valstybėje narėje, jeigu jos valstybėje narėje nėra nacionalinės kibernetinio saugumo sertifikavimo institucijos arba jeigu nacionalinė akreditacijos įstaiga nėra kompetentinga teikti prašomas leidimų išdavimo paslaugas. Tokiais atvejais būtina nustatyti tinkamą nacionalinių kibernetinio saugumo sertifikavimo institucijų bendradarbiavimą ir keitimąsi informacija. Komisijai turėtų būti suteikti įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos leidimų išdavimo procedūros, įskaitant tarpvalstybinį bendradarbiavimą leidimų išdavimo srityje;

(124)siekiant užtikrinti reikiamą subjekto IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos ar kibernetinio saugumo būklės apsaugos lygį, labai svarbu, kad atitikties vertinimo subrangovai ir patronuojamosios įmonės atitiktų tuos pačius atitikties vertinimo užduočių atlikimo reikalavimus kaip notifikuotosios atitikties vertinimo įstaigos. Todėl atitikties vertinimo įstaiga turėtų turėti tinkamą kompetenciją ir galėti patikrinti, ar jos subrangovai atitinka taikomus reikalavimus;

(125)notifikuojančioji institucija turi tinkamai įvertinti, kokiu mastu atitikties vertinimo įstaiga ketina pasitelkti subrangovus, įsisteigusius už ES ribų, arba naudotis darbuotojais ar patalpomis už notifikavimo valstybės narės ribų. Valstybės narės valdžios institucija turėtų turėti galimybę nuspręsti, kad ji, kaip nacionalinė kibernetinio saugumo sertifikavimo institucija, negali prisiimti bendros atsakomybės už tokį susitarimą, ir panaikinti arba apriboti notifikavimo taikymo sritį;

(126)siekiant įvertinti IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms arba subjektų kibernetinio saugumo būklei taikomus kibernetinio saugumo reikalavimus, nacionalinės kibernetinio saugumo sertifikavimo institucijos turėtų pranešti apie akredituotas atitikties vertinimo įstaigas Komisijai ir kitoms valstybėms narėms. Akredituotų ir, kai taikytina, įgaliotų atitikties vertinimo įstaigų notifikavimas reiškia, kad toms įstaigoms galima patikėti atlikti vertinimo ir sertifikavimo veiklą pagal šį reglamentą ir Europos kibernetinio saugumo sertifikavimo schemą, taip prisidedant prie bendros Europos kibernetinio saugumo sertifikavimo reputacijos. Todėl labai svarbu užtikrinti, kad notifikuotosios atitikties vertinimo įstaigos atitiktų savo reikalavimus ir ilgainiui vykdytų savo pareigas, taip pat kad notifikuotųjų atitikties vertinimo įstaigų sąrašas būtų nuolat atnaujinamas;

(127)pagal Reglamentą (ES) 2019/881 62 priimtu Komisijos įgyvendinimo reglamentu (ES) 2024/3143 nustatomos atitikties vertinimo įstaigų notifikavimo aplinkybės, formatai ir procedūros, kuriais naudojamasi pagal priimtas Europos kibernetinio saugumo sertifikavimo schemas. Todėl būtina užtikrinti, kad notifikavimo veikla būtų tęsiama. Vis dėlto Komisijai turėtų būti suteikti įgaliojimai priimti įgyvendinimo aktus, kuriais būtų pakoreguotos pranešimo apie tas atitikties vertinimo įstaigas aplinkybės, procedūros ir formatai. Šiomis aplinkybėmis Komisija turėtų remtis patirtimi, įgyta taikant esamas schemas, ir siekti suderinimo su kitais atitinkamais Sąjungos teisės aktais ir sistemomis, visų pirma Reglamentu (ES) 2024/2847 ir nauja teisės aktų sistema, kad būtų sumažinta atitikties vertinimo įstaigoms, veikiančioms pagal skirtingas teisines priemones, tenkanti reikalavimų laikymosi našta;

(128) informacinių ir ryšių technologijų (IRT) tiekimo grandines sudaro ekonominės veiklos vykdytojų tarpusavyje susieti ištekliai ir procesai. IRT tiekimo grandinės atlieka labai svarbų vaidmenį palaikant visuomenės stabilumą ir skatinant ekonominę veiklą visoje Sąjungoje. Jos taip pat atlieka labai svarbų vaidmenį sudarant sąlygas skaitmeninei infrastruktūrai Sąjungoje ir yra Sąjungos visuomenės ir ekonomikos veikimo pagrindas. IRT tiekimo grandinės sudaro sąlygas gaminti, platinti ir prižiūrėti IRT paslaugas, IRT sistemas ir IRT produktus, kuriais grindžiami įvairūs ypatingos svarbos ir labai svarbūs sektoriai, įskaitant sveikatos priežiūros, finansų, transporto, telekomunikacijų, energetikos ir muitų sektorius. Tų ypatingos svarbos sektorių IRT tiekimo grandinių saugumas taip pat gali daryti poveikį gynybos ir karinės infrastruktūros saugumui, kai ši infrastruktūra priklauso nuo civilinių ypatingos svarbos sektorių ir jų IRT tiekimo grandinių. Tačiau, remiantis ENISA paskelbta ataskaita dėl kibernetinio saugumo grėsmių padėties (2025 m. ENISA grėsmių padėtis) 63 , išpuoliai prieš tiekimo grandines yra viena iš penkių pagrindinių grėsmių kibernetiniam saugumui, o tai rodo, kad išpuolių vykdytojai aktyviai naudojasi netiesioginiais būdais per trečiųjų šalių tiekėjus ir priklausomybę. IRT tiekimo grandinių sutrikdymas gali trukdyti vykdyti ekonominę veiklą vidaus rinkoje, sukelti finansinių nuostolių, pakirsti naudotojų pasitikėjimą ir padaryti didelę žalą Sąjungos ekonomikai ir visuomenei. Todėl kibernetinio saugumo parengtis ir veiksmingumas kaip niekad anksčiau yra labai svarbūs tinkamam vidaus rinkos veikimui;

(129)be techninės rizikos, kuri reglamentuojama Europos Parlamento ir Tarybos direktyva (ES) 2022/55 64 , Europos Parlamento ir Tarybos reglamentu (ES) 2024/2847 65 ir Reglamentu (ES) 2019/881 nustatyta Europos kibernetinio saugumo sertifikavimo sistema, IRT tiekimo grandinėms vis dažniau kyla netechninio pobūdžio rizika. Tokia netechninė rizika gali būti susijusi su jurisdikcija, kuri taikoma tam tikrų komponentų tiekėjui, visų pirma tais atvejais, kai trečioji valstybė arba iš tos valstybės kontroliuojami priešiški subjektai vykdo ekonominį šnipinėjimą, kibernetinę kenkimo veiklą ar kampanijas, nukreiptas prieš Sąjungą ar jos valstybes nares, arba elgiasi neatsakingai; Netechninė rizika taip pat gali būti susijusi su paslėptu pažeidžiamumu ar slaptais veikimo būdais arba galimais sisteminiais tiekimo sutrikimais, visų pirma technologinio susaistymo ar priklausomybės nuo tiekėjų atveju. Pavyzdžiui, siekiant neigiamai paveikti ryšių tinklų ir elektros tinklų prieinamumą, galėtų būti naudojami avarinio stabdymo įtaisai;

(130)Bendrame komunikate dėl ES ekonominio saugumo stiprinimo 66 pabrėžta rizika, kad trečiosios valstybės gali gauti prieigą prie neskelbtinos informacijos ir duomenų Sąjungoje ar jos valstybėse narėse dėl pramoninio šnipinėjimo, jų tiekiamos aparatinės ar programinės įrangos, naudojamos tam tikruose produktuose, arba dėl to, kad jos nuosavybės teise valdo ir kontroliuoja tam tikras įmones, turinčias neskelbtinos informacijos ir duomenų. Jame taip pat pabrėžiama rizika, kad užsienio subjektai sutrikdys Sąjungos ypatingos svarbos infrastruktūros objektus, įskaitant ypatingos svarbos transporto, kosmoso sistemas, energetikos ir ryšių infrastruktūrą, visų pirma tuos, kurie laikomi strategiškai svarbiais kariniam mobilumui, o tai gali turėti pakopinį poveikį Sąjungos ekonomikai. Trikdžiai galėtų atsirasti dėl fizinių, kibernetinių ar hibridinių išpuolių, įskaitant visų objektų arba jų dalių ar subkomponentų sabotažą. Jie taip pat galėtų būti susiję su IRT tiekimo grandinėmis, kurios yra ypatingos svarbos objektų komponentų ar jiems tiekiamų paslaugų pagrindas;

(131)reaguodamos į IRT tiekimo grandinės saugumo problemas, kylančias dėl netechninės rizikos, kai kurios valstybės narės ėmėsi reguliavimo priemonių, be kita ko, nustatydamos didelės rizikos tiekėjus, o kitos valstybės narės greičiausiai tai padarys. Dėl to gali dar labiau skirtis nacionaliniai požiūriai ir galiausiai padidėti kai kurių valstybių narių pažeidžiamumas, o tai gali turėti šalutinį poveikį visoje Sąjungoje. Todėl būtina suderinti tam tikrus aspektus, susijusius su IRT tiekimo grandinei kylančia netechnine kibernetinio saugumo rizika. Tokia intervencija Sąjungos lygmeniu taip pat yra pagrįsta atsižvelgiant į poreikį užtikrinti aukštą kibernetinio saugumo lygį visoje Sąjungoje. Nuostatomis dėl IRT tiekimo grandinės saugumo siekiama pašalinti tokius didelius skirtumus tarp valstybių narių, visų pirma Sąjungos lygmeniu nustatant IRT tiekimo grandinės saugumo rizikos vertinimo mechanizmų taisykles ir būtiniausius apsaugos nuo IRT tiekimo grandinės rizikos standartus;

(132)siekiant sumažinti didelę priklausomybę ir pažeidžiamumą, būtina sukurti patikimą IRT tiekimo grandinės sistemą, kuri turėtų apimti netechninę riziką, susijusią su didelės rizikos tiekėjais ir priklausomybe ypatingos svarbos ir kituose labai svarbiuose sektoriuose. Todėl būtina Sąjungos lygmeniu sukurti objektyvią, rizika grindžiamą, perspektyvią ir technologiškai neutralią sistemą, skirtą pagrindiniam IRT turtui nustatyti ir proporcingų rizikos mažinimo priemonių rinkiniui rizikai mažinti parengti;

(133)kibernetinio saugumo rizika, įskaitant riziką, susijusią su priklausomybe nuo didelės rizikos tiekėjų, gali būti stebima keliose ypatingos svarbos IRT tiekimo grandinėse Sąjungoje, įskaitant aptikimo įrangą, susietas ir automatizuotas transporto priemones, elektros energijos tiekimo sistemas ir elektros energijos kaupimą, vandens tiekimo sistemas, bepiločius orlaivius ir kovos su bepiločiais orlaiviais sistemas, debesijos kompiuterijos paslaugas, medicinos prietaisus, stebėjimo įrangą, kosmoso paslaugas ir puslaidininkius. Pavyzdžiui, dėl saugumo aptikimo įrangos pažeidžiamumo galėtų būti suteikta prieiga prie IRT sistemų, todėl piktavaliai subjektai galėtų manipuliuoti skaitytuvais, dėl ko draudžiami daiktai galėtų būti gabenami per saugumo patikrinimo punktą jų neaptikus, o tai gali turėti katastrofiškų pasekmių;

(134)šia direktyva valstybėms narėms netrukdoma priimti arba palikti toliau galioti nuostatų, kuriomis užtikrinamas aukštesnio lygio kibernetinis saugumas, su sąlyga, kad tokios nuostatos yra suderinamos su valstybių narių įsipareigojimais, nustatytais Sąjungos teisėje. Tokios nuostatos gali apimti, pavyzdžiui, griežtesnių rizikos mažinimo priemonių taikymą pagrindiniam IRT turtui;

(135)siekdama nustatyti galimą kibernetinio saugumo riziką, darančią poveikį konkrečioms IRT tiekimo grandinėms, Direktyvos (ES) 2022/2555 14 straipsniu įsteigta Bendradarbiavimo grupė (toliau – TIS bendradarbiavimo grupė) gali įvertinti konkrečias IRT tiekimo grandines atlikdama Sąjungos lygmens suderintus saugumo rizikos vertinimus. Atliekant Sąjungos lygmeniu koordinuojamus saugumo rizikos vertinimus, be kita ko, turėtų būti nagrinėjami pagrindiniai priešiški subjektai, pagrindinės grėsmės ir pažeidžiamumai, darantys poveikį pagrindiniam IRT turtui. Atliekant Sąjungos lygmens suderintus saugumo rizikos vertinimus turėtų būti parengtas rizikos scenarijų sąrašas ir rizikos mažinimo priemonių sąrašas. Sąjungos lygmeniu koordinuojami saugumo rizikos vertinimai turėtų būti užbaigti per šešis mėnesius. Ypatingos skubos atveju turėtų būti įmanoma sutrumpinti terminus;

(136)tais atvejais, kai Komisija turi pakankamai priežasčių manyti, kad Sąjungos saugumui kyla didelė kibernetinė grėsmė, susijusi su ypatingos svarbos IRT tiekimo grandinėmis, ir gali prireikti imtis veiksmų tinkamam vidaus rinkos veikimui išsaugoti, ji turėtų nedelsdama konsultuotis su valstybėmis narėmis dėl poreikio imtis rizikos mažinimo priemonių ir atlikti saugumo rizikos vertinimą, atsižvelgdama į konsultacijas su valstybėmis narėmis;

(137)jei TIS bendradarbiavimo grupei arba Komisijai atlikus saugumo rizikos vertinimą paaiškėja, kad konkreti trečioji valstybė kelia didelę ir struktūrinę netechninę kibernetinio saugumo riziką IRT tiekimo grandinėms, Komisija turėtų patikrinti tos valstybės keliamą grėsmę. Komisija gali inicijuoti tokį patikrinimą remdamasi ir kitais šaltiniais, pavyzdžiui, viešu pareiškimu Sąjungos arba valstybių narių vardu reaguojant į neatsakingo valstybių elgesio kibernetinėje erdvėje atvejus, dėl kurių kilo kibernetinio saugumo incidentas. Siekdama įvertinti grėsmės lygį, Komisija turėtų atsižvelgti į tokius elementus kaip trečiojoje valstybėje taikomi įstatymai ar praktika, pagal kuriuos reikalaujama, kad jų jurisdikcijai priklausantys subjektai pateiktų informaciją apie programinės ar aparatinės įrangos pažeidžiamumus tos trečiosios valstybės institucijoms prieš tai, kai sužinoma, kad tais pažeidžiamumais buvo pasinaudota. Kitas svarbus elementas yra tai, kad nėra veiksmingų teisminių teisių gynimo priemonių ir nepriklausomų bei demokratinės kontrolės mechanizmų, kuriais būtų galima išspręsti saugumo problemas, be kita ko, susijusias su esama praktika, pagrįsta informacija apie incidentus, susijusius su priešiškais subjektais, veikiančiais už tos šalies teritorijos ribų ir vykdančiais kibernetinę kenkimo veiklą ar kampanijas, ir tai, kad trečioji valstybė negali ar nenori bendradarbiauti su Komisija ar valstybėmis narėmis, kad pašalintų riziką, kylančią dėl tokių priešiškų subjektų veiklos. Komisija taip pat turėtų atsižvelgti į informaciją, gautą iš Sąjungos lygmeniu suderintų saugumo rizikos vertinimų arba valstybių narių ar tarptautinių organizacijų, pavyzdžiui, NATO, paskelbtų ataskaitų;

(138)šiame reglamente kontrolės sąvoka turėtų būti suprantama kaip gebėjimas daryti lemiamą įtaką teisės subjektui tiesiogiai arba netiesiogiai per vieną ar daugiau tarpinių teisės subjektų. Kibernetinio saugumo problemų keliančios trečiosios valstybės subjektų vykdoma kontrolė taip pat turėtų būti nustatoma tais atvejais, kai toks subjektas toje valstybėje turi vykdomojo valdymo struktūras;

(139)Sąjunga neturėtų finansuoti projektų, susijusių su didelės rizikos tiekėjais, kurie keltų pavojų Sąjungos saugumui ir kenktų Sąjungos interesams bei patikimumui. Todėl pagal šį reglamentą nustatyti didelės rizikos tiekėjai neturėtų turėti teisės dalyvauti jokiose Sąjungos finansavimo programose ir priemonėse, įgyvendinamose taikant tiesioginį ir netiesioginį valdymą pagal Reglamento (ES, Euratomas) 2024/2509 136 straipsnį ir konkretiems Sąjungos sektoriams taikomas taisykles, taip pat jokioje Sąjungos finansavimo veikloje, įgyvendinamoje taikant pasidalijamąjį valdymą, be kita ko, pagal kitą daugiametę finansinę programą, kiek tai susiję su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, skirtų naudoti nustatytame pagrindiniame IRT turte, tiekimu. Sąjungos įgyvendinantieji partneriai, pavyzdžiui, Europos investicijų banko grupė ir nacionaliniai skatinamojo finansavimo bankai ir įstaigos, neturėtų remti projektų, kurie prieštarauja pirmiau išdėstytoms nuostatoms, be kita ko, vykdydami operacijas savo rizika; 

(140)viešieji pirkimai gali būti tvirta priemonė valdžios institucijoms prisidėti prie novatoriškesnės, tvaresnės ir konkurencingesnės ekonomikos ir strategiškai naudoti viešąsias lėšas. Su IRT tiekimo grandinėmis susiję viešieji pirkimai neturėtų būti naudojami siekiant naudos tiekėjams, kurie kelia grėsmę Sąjungos ypatingos svarbos infrastruktūros saugumui. Todėl pagal šį reglamentą nustatyti didelės rizikos tiekėjai neturėtų turėti teisės dalyvauti viešuosiuose pirkimuose, susijusiuose su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, skirtų naudoti nustatytame pagrindiniame IRT turte, tiekimu;

(141)kibernetinio saugumo sertifikavimas yra svarbus stiprinant bendrą saugumą ir kovojant su kibernetinėmis grėsmėmis ir yra pasitikėjimo etalonas. Šis pasitikėjimas galėtų sumažėti, jei kibernetinio saugumo įgūdžių atestavimo pažymėjimus išduotų didelės rizikos tiekėjai, todėl jie neturėtų turėti teisės teikti prašymo tapti įgaliotaisiais bet kokių Sąjungos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėjais. Be to, taip pat tikslinga neleisti didelės rizikos tiekėjams gauti kibernetinio saugumo sertifikavimo pagal EKSSS ir tapti akredituotomis atitikties vertinimo įstaigomis tokiems sertifikatams išduoti;

(142)kibernetinio saugumo standartai atlieka labai svarbų vaidmenį užtikrinant skaitmeninės infrastruktūros saugumą ir patikimumą. Būtina imtis tinkamų priemonių, kad būtų užtikrintas standartizavimas kibernetinio saugumo srityje. Subjektų, įsisteigusių šalyse, kurios, kaip nustatyta pagal šį reglamentą, IRT tiekimo grandinei kelia kibernetinio saugumo problemų, arba kontroliuojamų iš šių šalių, dalyvavimas gali daryti įtaką kibernetinio saugumo standartams ir pakenkti jų saugumui ir patikimumui;

(143)remdamasi saugumo rizikos vertinimų rezultatais, Komisija įgyvendinimo aktais gali nustatyti, kuris IRT turtas turėtų būti laikomas pagrindiniu IRT turtu dėl jų ypatingos svarbos ir kuriam turėtų būti taikomos konkrečios rizikos mažinimo priemonės. Vien to, kad yra išteklių junglumo galimybė, turėtų pakakti, kad būtų atsižvelgta į jo kibernetinio saugumo riziką;

(144)kai būtina užtikrinti aukštą kibernetinio saugumo, kibernetinio atsparumo ir pasitikėjimo lygį Sąjungoje, rizikos mažinimo priemonės gali būti taikomos subjektams, susijusiems su jų IRT tiekimo grandine, visų pirma su nustatytu pagrindiniu IRT turtu. Siūlomos rizikos mažinimo priemonės turėtų būti grindžiamos galimos rizikos ir priklausomybės vertinimu, įskaitant galimą tokių priemonių ekonominį ir socialinį poveikį atitinkamiems subjektams, veikiantiems itin svarbiuose ar kituose ypatingos svarbos sektoriuose, visų pirma MVĮ. Ekonominis poveikis turėtų apimti rizikos mažinimo priemonių įgyvendinimo išlaidas, įskaitant atitinkamų pagrindinio IRT turto komponentų gyvavimo ciklo trukmę tuo atveju, kai priemonės apima tiekėjų pakeitimą. Taip pat reikėtų įvertinti alternatyvių tiekėjų prieinamumą rinkoje, kad būtų užtikrintas nuolatinis paslaugų teikimas;

(145)kadangi rizikos mažinimo priemonės galėtų turėti ribojamąjį poveikį tarptautinei prekybai prekėmis ir paslaugomis, jos turėtų būti proporcingos ir tikslinės, kad būtų siekiama teisėto tikslo užtikrinti IRT tiekimo grandinių kibernetinį saugumą Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų tipų subjektų atžvilgiu, laikantis Sąjungos tarptautinių įsipareigojimų;

(146)didelės rizikos tiekėjų tiekiamų komponentų naudojimas, įrengimas ar bet koks kitoks integravimas eksploatuojant pagrindinį IRT turtą gali būti susijęs su vėlesnio duomenų perdavimo į trečiąją valstybę rizika. Visų pirma riziką gali kelti nepakankamas duomenų apsaugos lygis trečiojoje valstybėje, pavyzdžiui, siekiant apsaugoti pagrindines teises, intelektinę nuosavybę ar komercines paslaptis, arba neteisėta prieiga prie tų duomenų ir jų naudojimas galimų būsimų tiekimo grandinės sutrikimų ir šnipinėjimo tikslais. Siekiant sumažinti tokią riziką, gali būti taikomi apribojimai, susiję su konkrečių rūšių duomenų perdavimu trečiosioms valstybėms;

(147)didelį pažeidžiamumą lemia nepakankama Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektų naudojamos įrangos įvairovė. Priklausomybė nuo vieno tiekėjo sukuria priklausomybę nuo konkrečios įrangos ar sprendimų. Dėl nepakankamos tiekėjų įvairovės didėja bendras ypatingos svarbos infrastruktūros objektų pažeidžiamumas, ypač jei subjektai savo IRT komponentus, naudojamus didesnės rizikos IRT turtui, įsigyja iš didelę riziką keliančio tiekėjo. Priklausomybė taip pat daro didelį poveikį nacionaliniam ir visos Sąjungos atsparumui ir sukuria bendrus nesėkmės taškus. Siekiant sumažinti tokią riziką, konkrečiam pagrindiniam IRT turtui gali būti taikomi reikalavimai turėti daugiau nei vieną tiekėją;

(148)Sąjungos subjektai taip pat gali naudoti pagrindinį turtą, kaip apibrėžta šiame reglamente. Todėl jiems taip pat turėtų būti taikomos šiame reglamente nustatytos taisyklės dėl IRT tiekimo grandinės saugumo. Siekiant užtikrinti, kad būtų atsižvelgta į Sąjungos subjektų specifiką, atliekant Sąjungos lygmens koordinuotus saugumo rizikos vertinimus svarbu atsižvelgti į netechninę riziką, kylančią dėl IRT tiekimo grandinių Sąjungos subjektų atžvilgiu;

(149)išimtinėmis aplinkybėmis, kuriomis pateisinama neatidėliotina intervencija siekiant išsaugoti tinkamą vidaus rinkos veikimą, ir kai yra aiškių įrodymų, suteikiančių Komisijai pakankamą pagrindą manyti, kad IRT komponentų arba komponentų, kuriuose yra konkretaus tiekėjo IRT komponentų, naudojimas kelia didelę kibernetinio saugumo grėsmę bent trijų valstybių narių ekonominei ar visuomeninei veiklai, Komisija, glaudžiai konsultuodamasi su valstybėmis narėmis, gali pasiūlyti uždrausti naudoti, įrengti ar integruoti tokius šio tiekėjo komponentus pagal Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų subjektų rūšis;

(150)siekiant užtikrinti taikomų priemonių proporcingumą, subjektai, įsisteigę trečiojoje valstybėje, kuri pagal šį reglamentą nustatyta kaip kelianti kibernetinio saugumo problemų, arba kontroliuojami tokios trečiosios valstybės, tokioje trečiojoje valstybėje įsisteigusio subjekto arba tokios trečiosios valstybės piliečio, gali prašyti jiems netaikyti draudimo Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektams teikti IRT komponentus arba komponentus, kuriuose yra IRT komponentų, skirtų naudoti, diegti arba integruoti į to subjekto pagrindinį IRT turtą, ir dalyvauti viešųjų pirkimų procedūrose, organizuojamose pagal teisės aktus, kuriais į nacionalinę teisę perkeliamos Europos Parlamento ir Tarybos direktyvos 2014/24/ES 67 ir 2014/25/ES 68 , ir procedūrose, susijusiose su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, skirtų naudoti nustatytame pagrindiniame IRT turte, teikimu. Tuo tikslu subjektas turėtų aiškiais įrodymais įrodyti, kad taiko veiksmingas priemones, kuriomis mažinama netechninė rizika ir užtikrinama, kad netinkamai nesikištų kibernetinio saugumo problemų kelianti trečioji valstybė.

(151)Elektroninių ryšių tinklai yra įvairių paslaugų, būtinų, kad veiktų vidaus rinka ir kad būtų išlaikomos ir atliekamos visuomenei ir ekonomikai itin svarbios funkcijos, pavyzdžiui, energetikos, transporto, bankų, sveikatos ir pramoninių procesų valdymo sistemos, pagrindas. Todėl tie itin svarbūs tinklai yra patrauklūs taikiniai visų rūšių kibernetiniams išpuoliams ir hibridinėms grėsmėms, sutrikdymui, šnipinėjimui, žvalgybos duomenų rinkimui, taip pat sukčiavimui ir finansiniams nusikaltimams. TIS bendradarbiavimo grupės atliktame Europos ryšių infrastruktūros ir tinklų kibernetinio saugumo ir atsparumo rizikos vertinime nustatyta tam tikra Sąjungos požiūriu strategiškai svarbi rizika ir grėsmės, pavyzdžiui, valytuvai ir (arba) išpirkos reikalavimo programinė įranga, išpuoliai, tiekimo grandinės išpuoliai, įsilaužimai į tinklą ir paskirstytojo paslaugos trikdymo (DDoS) atakos;

(152)atsižvelgiant į skirtingų nacionalinių elektroninių ryšių tinklų sujungimą ir tarpusavio priklausomybę, būtina, kad visos valstybės narės imtųsi tinkamų priemonių savo tinklų saugumui užtikrinti. Dėl tų pačių priežasčių reikia nustatyti veiksmingą Sąjungos lygmens teisinę sistemą, kuria taip pat būtų visapusiškai atsižvelgiama į netechninę riziką ir užtikrinamas tarpusavyje sujungtų elektroninių ryšių tinklų saugumas;

(153)visų pirma, 5G tinklų kibernetinis saugumas yra Sąjungai strategiškai svarbus klausimas, nes tie tinklai yra įvairių paslaugų, kurios yra itin svarbios vidaus rinkos veikimui, pagrindas ir taip pat yra labai svarbūs užtikrinant mūsų gynybos parengtį, be kita ko, susijusią su kariniu mobilumu. 5G tinklai gali užtikrinti patikimą itin spartų ryšį, pavyzdžiui, dalijimosi duomenimis ir informacija, bepiločių orlaivių aptikimo ir tikralaikio mūšio lauko koordinavimo tikslais;

(154)5G diegimas visų pirma vyksta atskiruose tinkluose, kuriuose tik radijo prieigos tinklas modernizuojamas iki 5G technologijos, o likusi tinklo dalis vis dar priklauso nuo esamo 4G pagrindinio tinklo. Atskiri 5G tinklai visų pirma grindžiami jau įdiegta infrastruktūra, o tai reiškia, kad būsimų 5G tinklų saugumą tam tikru mastu lemia jau įdiegta tinklo įranga ir tokios įrangos konfigūracija. Todėl rizikos mažinimo priemonės taip pat turėtų būti taikomos 4G tinklams, nuo kurių priklauso 5G diegimas;

(155)siekdamos spręsti svarbias saugumo problemas 5G tinkluose, TIS bendradarbiavimo grupėje dalyvaujančios valstybės narės kartu su Komisija ir ENISA atliko Sąjungos lygmens koordinuotą 5G tinklų saugumo rizikos vertinimą, kuriame išnagrinėjo tiek techninę, tiek netechninę riziką. Atliekant šį vertinimą nustatyta keletas rizikų, įskaitant galimą trečiųjų valstybių arba trečiųjų valstybių subjektų kišimąsi per tiekimo grandinę, ir ištekliai suskirstyti į kategorijas pagal jų svarbą. Šiuo vertinimu turėtų būti remiamasi apibrėžiant 5G ryšių tinklams skirtą pagrindinį IRT turtą;

(156)siekdama sumažinti riziką, nustatytą atliekant Sąjungos lygmens koordinuotą 5G tinklų saugumo rizikos vertinimą, TIS bendradarbiavimo grupė priėmė ES 5G kibernetinio saugumo priemonių rinkinį, kuriame nustatytos strateginės ir techninės priemonės. Nors dauguma valstybių narių turi teisines sistemas, pagal kurias didelės rizikos tiekėjams galima taikyti apribojimus arba išimtis, kaip rekomenduojama ES 5G saugumo priemonių rinkinyje, tų sistemų įgyvendinimas nėra vienodas. Todėl daug 5G ryšio objektų visoje Sąjungoje aprūpina didelės rizikos tiekėjai, kaip nurodyta Komisijos komunikate dėl ES 5G saugumo priemonių rinkinio 69 įgyvendinimo. Dėl tokios padėties atsiranda pažeidžiamumas, įskaitant strateginę priklausomybę ir galimą trečiųjų valstybių kišimosi riziką, o tai taip pat galėtų turėti įtakos būsimai 6G infrastruktūrai, grindžiamai esamais 5G tinklais. Dėl skirtingo ES 5G saugumo priemonių rinkinio rekomenduojamų priemonių, visų pirma susijusių su didelės rizikos tiekėjams taikomų apribojimų taikymo sritimi, įgyvendinimo valstybėse narėse atsirado skirtumų, dėl kurių susidaro nevienodos sąlygos, dėl kurių suskaidoma vidaus rinka ir mažėja bendras tinklo saugumas. Europos Audito Rūmai atkreipė dėmesį į šiuos skirtumus ir įspėjo, kad tai, jog nėra suderinto požiūrio, kenkia vidaus rinkos veikimui. Nuolatinė priklausomybė nuo didelės rizikos tiekėjų kelia didelę riziką ypatingos svarbos infrastruktūros saugumui Sąjungoje ir gali sumažinti pasitikėjimą vidaus rinka, nes nenuoseklūs saugumo lygiai gali atgrasyti vartotojus ir įmones nuo priklausomybės nuo 5G grindžiamų produktų ir paslaugų visoje Sąjungoje. Todėl labai svarbu nustatyti Sąjungos lygmens priemones, kuriomis būtų užtikrintas suderintas požiūris į 5G tinklų saugumą;

(157)siekdama nustatyti fiksuotojo ir palydovinio elektroninio ryšio tinklų pagrindinio IRT turto laipsniško atsisakymo laikotarpį, Komisija turėtų atlikti vertinimą, tinkamai atsižvelgdama į saugumo rizikos, susijusios su kiekvienu konkrečiu fiksuotojo ir palydovinio ryšio tinklo pagrindiniu IRT turtu, laipsnį, atitinkamų komponentų gyvavimo trukmę ir ekonominį poveikį, kurį tų komponentų pašalinimas turėtų atitinkamiems operatoriams. Remdamasi to vertinimo rezultatais, Komisija gali apsvarstyti galimybę nustatyti skirtingus konkretaus pagrindinio IRT turto ir jo sudedamųjų dalių laipsniško atsisakymo laikotarpius;

(158)siekiant užtikrinti veiksmingą judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų teikėjų pareigų priežiūrą ir vykdymo užtikrinimą, atitinkamos kompetentingos institucijos pagal šį reglamentą turėtų užtikrinti glaudų bendradarbiavimą su kompetentingomis institucijomis pagal [pasiūlymą dėl Skaitmeninių tinklų akto]. Pagal šį reglamentą paskirtos kompetentingos institucijos prašymu nacionalinės reguliavimo institucijos arba, kai tinkama, kitos radijo spektro kompetentingos institucijos turėtų panaikinti [pasiūlymo dėl Skaitmeninių tinklų akto] 9 ir 20 straipsniuose nurodytas teises, jei viešųjų elektroninių ryšių tinklų paslaugų teikėjas nesilaiko šiame reglamente nustatytų pareigų, įskaitant atvejus, kai paslaugų teikėjas, eksploatuodamas pagrindinį IRT turtą, laipsniškai neatsisako didelės rizikos tiekėjų tiekiamų IRT komponentų ar komponentų, kuriuose yra IRT komponentų, per šiame reglamente nustatytą laikotarpį;

(159)atsižvelgdamos į nacionalinių valdymo struktūrų skirtumus, valstybės narės turėtų paskirti arba įsteigti vieną ar daugiau kompetentingų institucijų, atsakingų už priežiūros ir vykdymo užtikrinimo priemones pagal šį reglamentą;

(160)kompetentingos institucijos turėtų teikti paramą Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektams, kad jie galėtų vykdyti savo pareigas pagal šį reglamentą. Tuo tikslu Komisija turėtų įvertinti, ar tiekėjai, kuriems gali daryti poveikį konkretūs draudimai, yra įsisteigę kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba yra kontroliuojami tokios trečiosios valstybės, tokioje trečiojoje valstybėje įsisteigusio subjekto arba tokios trečiosios valstybės piliečio. Kompetentingos institucijos turėtų glaudžiai bendradarbiauti su Komisija ir kitomis kompetentingomis institucijomis pagal šį reglamentą įsteigtame tinkle. Remdamosi Komisijos vertinimu, kompetentingos institucijos turėtų dalytis atitinkama informacija apie didelės rizikos tiekėjus su atitinkamais Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektais. Subjektai neprivalo tikrinti, ar tiekėjas yra kontroliuojamas užsienio subjektų, bet gali visiškai pasikliauti iš kompetentingų institucijų gauta informacija. Kompetentingos institucijos turėtų užtikrinti, kad tiems subjektams nebūtų užkrauta nereikalinga administracinė našta;

(161)siekiant užtikrinti veiksmingą reikalavimų laikymąsi, šiame reglamente turėtų būti numatytos priežiūros ir vykdymo užtikrinimo priemonės, kuriomis kompetentingos institucijos galėtų prižiūrėti Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektus. Kai kompetentingos institucijos vykdo savo priežiūros ir vykdymo užtikrinimo užduotis tų subjektų atžvilgiu, jos neturėtų viršyti to, kas būtina, o jų veiksmai turėtų būti proporcingi nustatytai rizikai;

(162)siekiant užtikrinti veiksmingą ir nuoseklų vykdymo užtikrinimą visoje Sąjungoje, būtina suteikti vykdymo užtikrinimo įgaliojimus, kuriais kompetentingos institucijos galėtų naudotis už šiame reglamente nustatytų pareigų pažeidimus. Vykdydamos vykdymo užtikrinimo įgaliojimus, kompetentingos institucijos turėtų deramai atsižvelgti į kelis veiksnius, įskaitant pažeidimo pobūdį, rimtumą ir trukmę, padarytą turtinę ar neturtinę žalą, į tai, ar pažeidimas buvo padarytas tyčia ar dėl neatsargumo, veiksmus, kurių imtasi siekiant užkirsti kelią turtinei ar neturtinei žalai arba ją sumažinti, atsakomybės laipsnį ar bet kokius atitinkamus ankstesnius pažeidimus, bendradarbiavimo su kompetentinga institucija laipsnį ir visas kitas atsakomybę sunkinančias arba švelninančias aplinkybes. Vykdymo užtikrinimo priemonės, įskaitant sankcijas, turėtų būti proporcingos ir jas skiriant turėtų būti taikomos tinkamos procedūrinės apsaugos priemonės pagal bendruosius Sąjungos teisės principus ir Europos Sąjungos pagrindinių teisių chartiją, įskaitant teisę į veiksmingą teisinę gynybą bei teisingą bylos nagrinėjimą, nekaltumo prezumpciją ir teisę į gynybą;

(163)taip pat svarbu numatyti įgaliojimą skirti periodines baudas, siekiant priversti Direktyvos (ES) 2022/2555 I ar II priede nurodytos rūšies subjektą nutraukti šio reglamento pažeidimą, remiantis išankstiniu kompetentingos institucijos sprendimu;

(164) siekiant užtikrinti veiksmingą šiame reglamente nustatytų pareigų vykdymą, kiekvienai kompetentingai institucijai turėtų būti suteikti įgaliojimai skirti sankcijas arba prašyti jas skirti;

(165)siekiant skirti sankcijas Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektui, kuris yra įmonė, įmonė turėtų būti suprantama kaip įmonė pagal SESV 101 ir 102 straipsnius. Jei bauda skiriama asmeniui, kuris nėra įmonė, svarstydama, koks būtų tinkamas baudos dydis, kompetentinga institucija turėtų atsižvelgti į bendrą pajamų lygį valstybėje narėje ir į to asmens ekonominę padėtį. Valstybės narės turėtų nustatyti, ar ir kokiu mastu valdžios institucijoms turėtų būti skiriamos baudos. Sankcijos skyrimas neturėtų daryti poveikio kitų kompetentingų institucijų įgaliojimų taikymui;

(166)siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos išsamios taisyklės, susijusios su ENISA renkamais mokesčiais, įgyvendinimo aktus, kuriais nustatoma IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schema, įgyvendinimo aktus, kuriais nustatomi bendrieji principai ir orientacinės nuostatos, kuriais siekiama nustatyti Europos kibernetinio saugumo sertifikavimo schemų elementus, įgyvendinimo aktus, kuriais nustatomos išankstinio patvirtinimo procedūros arba bendrieji delegavimo modeliai, įgyvendinimo aktus, kuriais nustatomos trečiosios valstybės arba tarptautinės organizacijos kibernetinio saugumo sertifikatų pripažinimo lygiaverčiais Europos kibernetinio saugumo sertifikatams procedūros, įgyvendinimo aktus, kuriais nustatomas tarpusavio vertinimo planas, įgyvendinimo aktus, kuriais nustatomos procedūros, be kita ko, dėl tarpvalstybinio bendradarbiavimo, dėl atitikties vertinimo įstaigų įgaliojimų suteikimo, įgyvendinimo aktus, kuriais nustatomos atitikties vertinimo įstaigų notifikavimo aplinkybės, formatai ir procedūros, įgyvendinimo aktus, kuriais trečioji valstybė pripažįstama valstybe, keliančia kibernetinio saugumo problemų IRT tiekimo grandinėms, įgyvendinimo aktus, kuriais nustatomas pagrindinis IRT turtas, naudojamas Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektams gaminant produktus arba teikiant paslaugas, įgyvendinimo aktus, kuriais nustatoma, kad subjektams, veikiantiems ypatingos svarbos ir kituose labai svarbiuose sektoriuose, taikomos konkrečios rizikos mažinimo priemonės, ir nustatomi didelės rizikos tiekėjų tiekiamų IRT komponentų arba komponentų, kuriuose yra IRT komponentų, laipsniško atsisakymo laikotarpiai, įgyvendinimo aktus, kuriais išsamiau nustatomos sąlygos, susijusios su išimtimi, taikoma subjektams, įsteigtiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba kontroliuojamiems tos trečiosios valstybės subjektų, taip pat įgyvendinimo aktų, kuriais nustatomos išsamios taisyklės, susijusios su Komisijos taikomais mokesčiais, priėmimą. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011, taip pat turėtų būti taikoma nagrinėjimo procedūra. Siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai taip pat turėtų būti suteikti įgyvendinimo įgaliojimai sudaryti didelės rizikos tiekėjų, susijusių su tam tikromis šiame reglamente numatytomis priemonėmis, sąrašą;

(167)būtina, kad Europos kibernetinio saugumo sertifikavimo schemos atspindėtų naujausius technologinius pokyčius, naujas susijusias grėsmes ir naujų Sąjungos teisės aktų, kuriais nustatomi atitikties atitinkamiems tuose teisės aktuose nustatytiems kibernetinio saugumo reikalavimams įrodymai ir atitikties prezumpcija taikant Europos kibernetinio saugumo sertifikavimą, priėmimą. Dėl šių priežasčių pagal SESV 290 straipsnį Komisijai turėtų būti deleguoti įgaliojimai priimti aktus, kuriais būtų papildyti arba pakeisti saugumo tikslai, kurių siekiama Europos kibernetinio saugumo sertifikavimo schemomis. Be to, siekiant užtikrinti patikimą IRT tiekimo grandinės sistemą, pagal SESV 290 straipsnį Komisijai turėtų būti deleguoti įgaliojimai priimti aktus, kuriais iš dalies keičiamas šio reglamento II priedas, siekiant jį pritaikyti prie technologinės plėtros. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais, ir kad tos konsultacijos būtų vykdomos vadovaujantis 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais. Visų pirma siekiant užtikrinti vienodas galimybes dalyvauti atliekant su deleguotaisiais aktais susijusį parengiamąjį darbą, Europos Parlamentas ir Taryba visus dokumentus gauna tuo pačiu metu kaip ir valstybių narių ekspertai, o jų ekspertams sistemingai suteikiama galimybė dalyvauti Komisijos ekspertų grupių, kurios atlieka su deleguotaisiais aktais susijusį parengiamąjį darbą, posėdžiuose;

(168)ENISA veikla turėtų būti vertinama reguliariai ir nepriklausomai. Turėtų būti vertinami ENISA tikslai ir jos užduočių aktualumas, ypač jos užduotys, susijusios su operatyviniu bendradarbiavimu Sąjungos lygmeniu. Peržiūros atveju Komisija turėtų įvertinti, kaip būtų galima sustiprinti ENISA, kaip konsultacijų ir ekspertinių žinių centro, vaidmenį;

(169)Komisijos įgyvendinimo reglamentu (ES) 2024/482 nustatytos Europos bendraisiais kriterijais grindžiamos kibernetinio saugumo sertifikavimo schemos (toliau – EKSSS) priėmimo taisyklės. EKSSS yra pirmoji ir vienintelė Europos kibernetinio saugumo sertifikavimo schema, priimta pagal Reglamentą (ES) 2019/881. Ji susijusi su IRT produktų, įskaitant produktus, priklausančius techninėms sritims „lustinės kortelės ir panašūs prietaisai“ ir „aparatinės įrangos prietaisai su apsauginėmis dėžėmis“, ir apsaugos profilių (kaip IRT procesų) sertifikavimu. Todėl būtina užtikrinti sertifikavimo veiklos ir Agentūros veiklos tęstinumą;

(170)vadovaujantis Reglamento (ES) 2018/1725 70 42 straipsnio 2 dalimi buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir Europos duomenų apsaugos valdyba, ir jie pateikė bendrą nuomonę [data],

(171)Reglamentas (ES) 2019/881 turėtų būti panaikintas;

(172)kadangi šio reglamento tikslų valstybės narės negali deramai pasiekti, o dėl veiksmo masto arba poveikio tų tikslų būtų geriau siekti Sąjungos lygmeniu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šiuo reglamentu neviršijama to, kas būtina nurodytiems tikslams pasiekti,

PRIĖMĖ ŠĮ REGLAMENTĄ:

I ANTRAŠTINĖ DALIS 
BENDROSIOS NUOSTATOS

1 straipsnis
Dalykas ir taikymo sritis

1.Šiame reglamente nustatoma:

a)Europos Sąjungos kibernetinio saugumo agentūros (ENISA) misija, tikslai, užduotys ir organizaciniai aspektai;

b)Europos kibernetinio saugumo sertifikavimo schemų nustatymo sistema, siekiant užtikrinti tinkamą IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės kibernetinio saugumo lygį Sąjungoje, taip pat išvengti su kibernetinio saugumo sertifikavimo schemomis susijusio vidaus rinkos susiskaidymo Sąjungoje, ir

c)patikima IRT tiekimo grandinės sistema.

2.1 dalies b punkte nurodyta sistema taikoma nedarant poveikio tam tikroms kitų Sąjungos teisės aktų nuostatoms dėl savanoriško arba privalomo sertifikavimo.

3.Pirmos pastraipos c punkte nurodyta sistema taikoma Direktyvos (ES) 2022/2555 I arba II priede nurodytų rūšių viešiesiems ar privatiesiems subjektams, kurie teikia paslaugas arba vykdo veiklą Sąjungoje.

4.Šiuo reglamentu nedaromas poveikis valstybių narių esminėms valstybinėms funkcijoms, įskaitant valstybės teritorinio vientisumo užtikrinimą, viešosios tvarkos palaikymą ir nacionalinio saugumo užtikrinimą. Visų pirma, kiekviena valstybė narė išlieka išimtinai atsakinga už savo nacionalinį saugumą.

2 straipsnis
Terminų apibrėžtys

Šiame reglamente vartojamų terminų apibrėžtys:

(1)kibernetinis saugumas – veikla, būtina siekiant apsaugoti tinklų ir informacines sistemas, tokių sistemų naudotojus ir kitus susijusius asmenis nuo kibernetinių grėsmių;

(2)Sąjungos subjektai – Sąjungos subjektai, apibrėžti Reglamento (ES, Euratomas) 2023/2841 3 straipsnio 1 punkte;

(3)įgaliotasis atestavimo pažymėjimų teikėjas – viešasis arba privatusis subjektas, dėl kurio ENISA priėmė sprendimą, kuriuo tam subjektui leidžiama išduoti Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimus, kaip nustatyta Europos individualių kibernetinio saugumo įgūdžių atestavimo schemoje;

(4)Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimas –skaitmeninės arba fizinės formos įrašas, kuriuo, atlikus vertinimą, nustatytą Europos individualių kibernetinio saugumo įgūdžių atestavimo schemoje, patvirtinama, kad asmuo žino, supranta ir gali atlikti užduotis, susijusias su Europos kibernetinio saugumo įgūdžių sistemoje (EKSĮS) nustatytu vaidmenų profiliu ar vaidmenų profilio pogrupiu;

(5)Europos individualių kibernetinio saugumo įgūdžių atestavimo schema – išsamus taisyklių, reikalavimų, standartų ir procedūrų, kuriuos nustatė ENISA ir kurie yra susiję su EKSĮS vaidmenų profiliu ar jo pogrupiu ir kurie taikomi įgaliotiesiems atestavimo pažymėjimų teikėjams ir yra jų taikomi, rinkinys;

(6)tinklų ir informacinė sistema – tinklų ir informacinė sistema, apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 1 punkte;

(7)nacionalinė kibernetinio saugumo strategija – nacionalinė kibernetinio saugumo strategija, apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 4 punkte;

(8)incidentas – incidentas, apibrėžtas Direktyvos (ES) 2022/2555 6 straipsnio 6 punkte;

(9)didelio masto kibernetinio saugumo incidentas – didelio masto kibernetinio saugumo incidentas, apibrėžtas Direktyvos (ES) 2022/2555 6 straipsnio 7 punkte;

(10)incidento valdymas – incidento valdymas, apibrėžtas Direktyvos (ES) 2022/2555 6 straipsnio 8 punkte;

(11)kibernetinė grėsmė – galima aplinkybė, įvykis arba veiksmas, kuris galėtų pažeisti, sutrikdyti arba kitaip neigiamai paveikti tinklų ir informacines sistemas, tokių sistemų naudotojus ir kitus asmenis;

(12)Europos kibernetinio saugumo sertifikavimo schema – išsamus Sąjungos lygmeniu nustatytų taisyklių, techninių reikalavimų, standartų ir procedūrų, kurie taikomi konkretiems IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms arba subjektų kibernetinio saugumo būklei sertifikuoti arba atitikčiai vertinti, rinkinys;

(13)nacionalinė kibernetinio saugumo sertifikavimo schema – išsamus taisyklių, techninių reikalavimų, standartų ir procedūrų, kuriuos parengė ir priėmė nacionalinė valdžios institucija, rinkinys, taikomas IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ar subjektų kibernetinio saugumo būklei, kuriems taikoma ta konkreti schema, sertifikuoti arba atitikčiai vertinti;

(14)Europos kibernetinio saugumo sertifikatas – atitinkamos įstaigos išduotas dokumentas, kuriuo patvirtinama, kad tam tikras IRT produktas, IRT paslauga, IRT procesas, valdoma saugumo paslauga ar subjekto kibernetinio saugumo būklė buvo įvertinti dėl atitikties Europos kibernetinio saugumo sertifikavimo schemoje nustatytiems konkretiems saugumo reikalavimams;

(15)ES atitikties pareiškimas – IRT produktų gamintojo ar tiekėjo, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjo arba subjekto, kurio kibernetinio saugumo būklė sertifikuojama, išduotas dokumentas, kuriame nurodoma, kad atitiktis Europos kibernetinio saugumo sertifikavimo schemoje nustatytam baziniam saugumo užtikrinimo lygiui atitinkantiems reikalavimams įrodyta atliekant savarankišką atitikties vertinimą;

(16)IRT produktas – tinklų ir informacinių sistemų elementas arba elementų grupė;

(17)IRT paslauga – paslauga, kurią visą arba jos dalį sudaro informacijos perdavimas, saugojimas, gavimas arba tvarkymas naudojantis tinklų ir informacinėmis sistemomis;

(18)IRT procesas – veikla, vykdoma siekiant projektuoti, kurti, teikti ar palaikyti IRT produktą ar paslaugą;

(19)valdoma saugumo paslauga – trečiajai šaliai teikiama paslauga, kurią sudaro su kibernetinio saugumo rizikos valdymu susijusios veiklos, tokios kaip incidentų valdymas, skverbimosi testavimas, saugumo auditai ir konsultacijos, įskaitant ekspertų rekomendacijas, susijusias su technine parama, vykdymas arba pagalba tokiai veiklai;

(20)akreditavimas – akreditavimas, apibrėžtas Reglamento (EB) Nr. 765/2008 2 straipsnio 10 punkte;

(21)nacionalinė akreditacijos įstaiga – nacionalinė akreditacijos įstaiga, apibrėžta Reglamento (EB) Nr. 765/2008 2 straipsnio 11 punkte;

(22)atitikties vertinimas – atitikties vertinimas, apibrėžtas Reglamento (EB) Nr. 765/2008 2 straipsnio 12 punkte;

(23)atitikties vertinimo įstaiga – atitikties vertinimo įstaiga, apibrėžta Reglamento (EB) Nr. 765/2008 2 straipsnio 13 punkte;

(24)standartas – standartas, apibrėžtas Europos Parlamento ir Tarybos reglamento (ES) Nr. 1025/2012 71 2 straipsnio 1 punkte;

(25)techninė specifikacija – techninė specifikacija, apibrėžta Reglamento (ES) Nr. 1025/2012 2 straipsnio 4 punkte;

(26)darnusis standartas – darnusis standartas, apibrėžtas Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkto c papunktyje;

(27)saugumo užtikrinimo lygis – pagrindas pasitikėti, kad IRT produktas, IRT paslauga, IRT procesas, valdoma saugumo paslauga arba subjekto kibernetinio saugumo būklė atitinka konkrečios Europos kibernetinio saugumo sertifikavimo schemos saugumo reikalavimus; juo nurodoma, kokiu lygiu IRT produktas, IRT paslauga, IRT procesas, valdoma saugumo paslauga arba subjekto kibernetinio saugumo būklė yra įvertinti, tačiau juo pačiu nevertinamas atitinkamo IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos arba atitinkamo subjekto kibernetinio saugumo būklės saugumas;

(28)savarankiškas atitikties vertinimas – IRT produktų gamintojo ar tiekėjo, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjo arba subjekto, kurio kibernetinio saugumo būklė sertifikuojama, atliekamas veiksmas, kuriuo įvertinama, ar tie IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba subjektų kibernetinio saugumo būklė atitinka konkrečios Europos kibernetinio saugumo sertifikavimo schemos reikalavimus;

(29)subjektų kibernetinio saugumo būklė – subjektų kibernetinio saugumo lygis, atsižvelgiant į konkrečius saugumo reikalavimus;

(30)išankstinio patvirtinimo modelis – modelis, pagal kurį atitikties vertinimo įstaiga gali išduoti Europos kibernetinio saugumo sertifikatą, remdamasi nacionalinės kibernetinio saugumo sertifikavimo institucijos vertinimu, atliktu vykdant konkretų sertifikavimo procesą pagal atitinkamą schemą;

(31)bendrojo delegavimo modelis – modelis, pagal kurį atitikties vertinimo įstaiga gali išduoti Europos kibernetinio saugumo sertifikatą remdamasi nacionalinės kibernetinio saugumo sertifikavimo institucijos deleguota sertifikavimo veikla;

(32)reagavimo į kompiuterių saugumo incidentus tarnyba (CSIRT) – pagal Direktyvos (ES) 2022/2555 10 straipsnį paskirta arba įsteigta CSIRT.

(33)IRT komponentai – IRT produktai, IRT paslaugos ar IRT procesai, kurie gali būti naudojami eksploatuojant IRT turtą;

(34)IRT turtas – tinklų ir informacinių sistemų programinė arba aparatinė įranga, kurią naudoja Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektas;

(35)pagrindinis IRT turtas – IRT turtas, nustatytas pagal 102 straipsnį;

(36)elektroninių ryšių tinklas – elektroninių ryšių tinklas, apibrėžtas Reglamento (ES) XX/XXXX [pasiūlymas dėl Skaitmeninių tinklų akto] 2 straipsnio 1 punkte;

(37)kontrolė – gebėjimas tiesiogiai arba netiesiogiai daryti teisės subjektui lemiamą įtaką per vieną ar daugiau tarpinių teisės subjektų;

(38)įsisteigimas – faktinis veiklos vykdymas per nuolatinius padalinius šalyje, kurioje yra subjekto centrinė administracija arba pagrindinė verslo vieta;

(39)didelės rizikos tiekėjas – bet kuris iš šių tiekėjų:

a)subjektas, įsisteigęs trečiojoje valstybėje, kuri pagal 100 straipsnį nustatyta kaip kelianti kibernetinio saugumo problemų, arba kontroliuojamas tokios trečiosios valstybės, tokioje trečiojoje valstybėje įsisteigusio subjekto arba tokios trečiosios valstybės piliečio;

b)pagal 103 straipsnio 7 dalį į sąrašą įtrauktas subjektas ir to subjekto kontroliuojami subjektai;

(40)IRT tiekimo grandinė – IRT paslaugų, IRT produktų ir IRT procesų visuma, apimanti veiklą ir subjektus, dalyvaujančius visuose etapuose iki produkto tiekimo ar paslaugos teikimo rinkai;

(41)trečioji valstybė – trečioji valstybė, apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2023/2675 3 straipsnio 4 punkte 72 ;

(42)netechninė rizika – tikimybė, kad trečioji valstybė tiekėjui darys įtaką, dėl kurios gali būti prarasta ar sutrikdyta teikiama paslauga arba pakenkta subjekto gaminamam produktui, arba gali būti išgauti duomenys, be kita ko, šnipinėjimo ar pajamų gavimo tikslais;

(43)reikšminga netechninė kibernetinio saugumo rizika – netechninė kibernetinio saugumo rizika, dėl kurios galima manyti, kad yra didelė incidento, galinčio sukelti didelį neigiamą poveikį, įskaitant didelius materialinius ar nematerialinius nuostolius arba sutrikimus, tikimybė;

(44)judriojo elektroninio ryšio tinklų pagrindinio tinklo funkcijos – judriojo elektroninio ryšio tinklų centrinis architektūrinis elementas, jungiantis pagrindinius tinklo mazgus su internetu ir valdantis esmines sistemos funkcijas, įskaitant naudotojo įrenginio tapatumo nustatymą, teisėto perėmimo funkcijas, saugius tinklų sietuvus (SeGW) tinklo paribyje, signalizavimo saugumo funkcijas, tarptinklinio ryšio ir seansų valdymą, naudotojo ir valdymo lygmenų duomenų perdavimą, prieigos politikos valdymą, tinklo paslaugų registravimą ir leidimų suteikimą, galutinių naudotojų ir tinklo duomenų saugojimą, ypatingos svarbos tinklo paslaugas, įskaitant domenų vardų sistemą (DNS), sujungimą su trečiųjų šalių judriojo ryšio tinklais, pagrindinio tinklo atskleidimą išorės taikomosioms programoms ir tinklo segmentų parinkimą ir valdymą;

(45)judriojo elektroninio ryšio tinklų tinklo funkcijų virtualizavimas ir valdymas bei tinklo procesų organizavimas – programinė įranga ir architektūrinė struktūra, kuria užtikrinamas virtualizuotų tinklo funkcijų, debesijos tinklo funkcijų gyvavimo ciklo valdymas, procesų organizavimas ir automatizavimas, taip pat judriojo elektroninio ryšio tinklų segmentų parinkimas ir valdymas;

(46)judriojo elektroninio ryšio tinklų radijo prieigos tinklas (RAN) – tinklas, jungiantis judriojo ryšio naudotojų įrangą su pagrindiniu tinklu, įskaitant bazines stotis (eNodeB – 4G, gNodeB – 5G), nuotolinio valdymo radijo galvutes ir dažnių juostų blokus, aktyviųjų antenų sistemas ir, kai taikytina, išskaidytus RAN komponentus, pvz., centralizuotus blokus ir paskirstytuosius blokus, taip pat RAN išmanųjį valdiklį;

(47)fiksuotojo elektroninio ryšio tinklų pagrindinio tinklo funkcijos – pagrindinis tinklo intelektas, jungiantis pagrindinius mazgus ir valdantis įvairias esmines funkcijas, įskaitant naudotojo tapatumo nustatymą ir leidimo jam suteikimą, teisėto perėmimo funkcijas, domenų vardų sistemą (DNS) ir IP adresavimo paslaugas, prieigos politikos valdymą, galutinio naudotojo ir tinklo duomenų saugojimą, IP perjungimą ir maršruto parinkimą bei tarptautinius interneto tinklų sietuvus;

(48)fiksuotojo elektroninio ryšio tinklų valdymo sistema – visos centralizuotos platformos ir programinės įrangos komponentai, būtini tinklui eksploatuoti, administruoti, prižiūrėti ir parengti paslaugoms bei su tinklu susijusiai informacijai stebėti;

(49)fiksuotojo elektroninio ryšio tinklų transportavimo ir perdavimo funkcijos – visi komponentai, būtini srauto tranzitui ir jo agregavimui tinkle užtikrinti, įskaitant optinę perdavimo įrangą, mikrobangų ryšio linijas ir jūrinių kabelių sistemas, apimančias povandeninę įrangą, taip pat jūrinių linijų galinius įrenginius ir fizinių kabelių išėjimo į krantą infrastruktūrą;

(50)fiksuotojo elektroninio ryšio tinklų prieigos tinklas – galutinio naudotojo patalpas su agregavimo arba pagrindiniu tinklu jungiantis tinklas, įskaitant šviesolaidinių tinklų optinės linijos galinius taškus ir optinio tinklo galinius taškus; bendraašių kabelių modemų galinių taškų sistemą ir bendraašių kabelinių tinklų kabelių modemus bei fiksuotosios belaidės prieigos komponentus, kai jie naudojami kaip fiksuotosios linijos pakaitalas.

II ANTRAŠTINĖ DALIS 
EUROPOS SĄJUNGOS KIBERNETINIO SAUGUMO AGENTŪRA

I skyrius 
Misija ir tikslai

3 straipsnis
ENISA misija

1.ENISA misija – padėti valstybėms narėms ir Sąjungos subjektams užtikrinti aukštą kibernetinio saugumo, kibernetinio atsparumo ir pasitikėjimo lygį Sąjungoje.

2.ENISA veikia kaip valstybių narių ir kitų Sąjungos suinteresuotųjų subjektų konsultavimo ir ekspertinių žinių kibernetinio saugumo klausimais centras.

3.Vykdydama pagal šį reglamentą jai paskirtas užduotis, ENISA prisideda prie vidaus rinkos susiskaidymo mažinimo.

4.ENISA vykdo Sąjungos teisės aktais jai pavestas užduotis.

5.ENISA suformuoja savo pajėgumus, įskaitant techninius ir žmogiškuosius pajėgumus ir įgūdžius, reikalingus vykdyti šiuo reglamentu pavestas užduotis.

4 straipsnis
ENISA tikslai

1.Būdama nepriklausoma, teikdama kokybiškas mokslines ir technines rekomendacijas, pagalbą ir informaciją, užtikrindama savo veiklos procedūrų ir veikimo metodų skaidrumą bei uoliai vykdydama savo užduotis, ENISA veikia kaip kibernetinio saugumo kompetencijos centras.

2.ENISA padeda valstybėms narėms ir, kai tinkama, Sąjungos subjektams įgyvendinti horizontaliąją ir sektorių Sąjungos politiką ir teisės aktus, susijusius su kibernetiniu saugumu, įskaitant rinkos priežiūros veiklą.

3.ENISA teikia ekspertines žinias ir padeda Komisijai rengti su kibernetiniu saugumu susijusią Sąjungos politiką ir teisės aktus.

4.ENISA remia pajėgumų stiprinimą ir parengtį visoje Sąjungoje, padėdama valstybėms narėms, Sąjungos subjektams per Reglamento (ES, Euratomas) 2023/2841 IV skyriuje nurodytą Sąjungos institucijų, įstaigų, organų ir agentūrų kibernetinio saugumo tarnybą (CERT-EU) ir viešojo bei privačiojo sektorių suinteresuotiesiems subjektams didinti savo tinklų ir informacinių sistemų apsaugą, plėtoti ir gerinti kibernetinį atsparumą ir reagavimo pajėgumą.

5.ENISA prisideda prie Kibernetinio saugumo įgūdžių akademijos įgyvendinimo ir kibernetinio saugumo srities darbuotojų skaičiaus didinimo Sąjungoje, remdama pastangas plėtoti įgūdžių perkeliamumą visoje Sąjungoje, be kita ko, prižiūrėdama ir diegdama EKSĮS ir kurdama, prižiūrėdama ir diegdama Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas pagal šios antraštinės dalies II skyriaus 4 skirsnį, taip pat užtikrindama mokymą pagal 6 straipsnio 8 dalį.

6.ENISA skatina valstybių narių, Sąjungos subjektų pagal Reglamentą (ES, Euratomas) 2023/2841 ir atitinkamų privačiojo bei viešojo sektorių suinteresuotųjų subjektų bendradarbiavimą su kibernetiniu saugumu susijusiais klausimais, įskaitant dalijimąsi informacija ir veiksmų koordinavimą Sąjungos lygmeniu.

7.ENISA prisideda prie kibernetinio saugumo pajėgumų didinimo Sąjungos lygmeniu, kad paremtų valstybių narių veiksmus užkertant kelią kibernetinėms grėsmėms ir į jas reaguojant.

8.ENISA remia operatyvinį bendradarbiavimą Sąjungos lygmeniu, be kita ko, prisidėdama prie bendro valstybių narių ir, bendradarbiaujant su CERT-EU, Sąjungos subjektų informuotumo apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais.

9.ENISA glaudžiai bendradarbiauja su Europolu, CSIRT ir kitomis atitinkamomis nacionalinėmis institucijomis, kad pagerintų kibernetinio saugumo parengtį ir reagavimą į incidentus, susijusius su išpirkos reikalavimo programine įranga.

10.ENISA padeda kurti ir prižiūrėti Europos kibernetinio saugumo sertifikavimo sistemą pagal šio reglamento III antraštinę dalį. ENISA skatina naudoti Europos kibernetinio saugumo sertifikavimą siekiant išvengti vidaus rinkos susiskaidymo.

11.ENISA prisideda prie bendrosios skaitmeninės rinkos derinimo dalyvaudama standartizacijos veikloje, susijusioje su Sąjungos kibernetinio saugumo politika, ir rengdama technines specifikacijas.

12.ENISA skatina aukštą organizacijų ir įmonių informuotumo apie kibernetinį saugumą lygį.

II skyrius 
Užduotys

1 skirsnis 
Parama įgyvendinant Sąjungos politiką ir teisę

5 straipsnis
Parama įgyvendinant Sąjungos politiką ir teisę

1.ENISA padeda įgyvendinti Sąjungos politiką ir teisę:

a)padėdama valstybėms narėms nuosekliai įgyvendinti su kibernetiniu saugumu susijusią Sąjungos politiką ir teisę, be kita ko, teikdama technines gaires ir ataskaitas, teikdama konsultacijas ir dalydamasi geriausios praktikos pavyzdžiais, taip pat sudarydama palankesnes sąlygas kompetentingoms institucijoms keistis geriausios praktikos pavyzdžiais šioje srityje;

b)remdama dalijimąsi informacija sektoriuose ir tarp sektorių, visų pirma apie Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius ir produktus su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847, pateikiant geriausios praktikos pavyzdžių ir gairių dėl turimų priemonių ir procedūrų;

c)Komisijos prašymu padėdama valstybėms narėms ir teikdama paramą, pavyzdžiui, technines gaires, be kita ko, dėl kibernetinio saugumo rizikos valdymo priemonių, kibernetinio saugumo brandos vertinimo priemonių ir reagavimo į incidentus vadovų, pritaikytų Direktyvos (ES) 2022/2555 I ir II prieduose išvardytiems sektoriams, arba padėdama įgyvendinti produktų su skaitmeniniais elementais pritaikytojo saugumo principus pagal Reglamentą (ES) 2024/2847, kad būtų sudarytos palankesnės sąlygos gerinti kibernetinio saugumo brandos lygius ir laikytis Sąjungos teisės kibernetinio saugumo srityje;

d)prisidėdama prie Bendradarbiavimo grupės, įsteigtos pagal Direktyvos (ES) 2022/2555 14 straipsnio 1 dalį (toliau – TIS bendradarbiavimo grupė), Bendradarbiavimo dėl Europos skaitmeninės tapatybės grupės, įsteigtos pagal Reglamento (ES) Nr. 910/2014 46e straipsnio 1 dalį, Europos kibernetinio saugumo sertifikavimo grupės (EKSSG), nurodytos šio reglamento 90 straipsnyje, ir Administracinio bendradarbiavimo grupės, įsteigtos pagal Reglamento (ES) 2024/2847 52 straipsnio 15 dalį, darbo;

e)padėdama valstybėms narėms ir atitinkamiems Sąjungos subjektams plėtoti ir propaguoti kibernetinio saugumo politiką, susijusią su visuotinio atvirojo interneto viešosios erdvės prieinamumo ir vientisumo užtikrinimu;

f)pagal Reglamentą (ES) 2024/2847 teikdama technines konsultacijas ir paramą valstybėms narėms ir Komisijai su to reglamento įgyvendinimu susijusiais klausimais;

g)padėdama valstybėms narėms teikti savitarpio pagalbą ir sudaryti palankesnes sąlygas tokiems esminių ir svarbių subjektų bendradarbiavimo procesams pagal [Direktyvos (ES) 2022/2555 37a straipsnį];

h)Europos duomenų apsaugos valdybos prašymu teikdama konsultacijas dėl konkrečių Sąjungos politikos ir teisės kibernetinio saugumo aspektų, susijusių su duomenų apsauga ir privatumu, įgyvendinimo.

2.ENISA prisideda prie koordinuotų Sąjungos lygmens kibernetinio saugumo rizikos vertinimų, įskaitant vertinimus, atliekamus pagal Direktyvos (ES) 2022/2555 22 straipsnį.

3.ENISA paskelbia gaires dėl tinklų ir informacinių sistemų, naudojamų dalijimosi informacija tikslais, sąveikumo, be kita ko, kiek tai susiję su tarpvalstybiniais kibernetinio saugumo centrais, kaip nurodyta Reglamento (ES) 2025/38 6 straipsnio 3 dalyje.

4.ENISA yra TIS bendradarbiavimo grupės narė pagal Direktyvos (ES) 2022/2555 14 straipsnio 3 dalį.

5.Komisijos prašymu ENISA teikia ekspertines žinias, technines konsultacijas, informaciją ar analizę arba atlieka parengiamąjį darbą konkrečiais kibernetinio saugumo klausimais, kad suteiktų informacijos, reikalingos Komisijos politikos formavimui ir Sąjungos teisės aktų įgyvendinimo stebėsenai.

6 straipsnis
Pajėgumų stiprinimas

ENISA padeda:

(1)valstybėms narėms gerinti kibernetinių grėsmių ir incidentų prevenciją, nustatymą, analizę ir reagavimo į juos pajėgumus, suteikdama joms reikiamų žinių ir ekspertinių žinių;

(2)valstybėms narėms, jų prašymu, savanoriškai nustatyti bei įgyvendinti spragų atskleidimo politiką;

(3)pagal Reglamentą (ES, Euratomas) 2023/2841 CERT-EU ir Tarpinstitucinei kibernetinio saugumo tarybai remti Sąjungos subjektų pastangas stiprinti savo kibernetinį saugumą, gerinti kibernetinių grėsmių ir incidentų prevenciją, aptikimą ir analizę, taip pat gerinti pajėgumus reaguoti į tokias kibernetines grėsmes ir incidentus;

(4)valstybėms narėms sukurti nacionalines CSIRT pagal Direktyvos (ES) 2022/2555 10 straipsnio 10 dalį;

(5)valstybėms narėms parengti ar atnaujinti nacionalinę kibernetinio saugumo strategiją ir pagrindinius veiklos rezultatų rodiklius, skirtus tai strategijai įvertinti, kai to prašoma pagal Direktyvos (ES) 2022/2555 7 straipsnio 4 dalį, skatinti tų strategijų sklaidą ir atkreipti dėmesį į jų įgyvendinimo pažangą visoje Sąjungoje, kad būtų skatinama geriausia praktika;

(6)Sąjungos institucijoms, jų prašymu, rengti ir peržiūrėti Sąjungos kibernetinio saugumo strategijas, skatinti jų sklaidą ir stebėti jų įgyvendinimo pažangą;

(7)nacionalinėms CSIRT didinti savo pajėgumus, be kita ko, skatindama dialogą ir keitimąsi informacija, kad būtų užtikrinta, jog, atsižvelgdama į naujausius technikos laimėjimus, kiekviena CSIRT turėtų būtiniausių bendrų pajėgumų ir vykdytų veiklą vadovaudamasi geriausia praktika;

(8)valstybėms narėms, Sąjungos subjektams ir viešojo bei privačiojo sektorių suinteresuotiesiems subjektams įvertinti, didinti kibernetinio saugumo srities darbuotojų skaičių ir kelti jų kvalifikaciją, be kita ko, plėtojant, išlaikant ir skatinant atitinkamų priemonių, pavyzdžiui, EKSĮS ir Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų, naudojimą pagal šio skyriaus 4 skirsnį;

(9)atitinkamoms viešosioms įstaigoms ir privačiojo sektoriaus suinteresuotiesiems subjektams rengiant tikslinius mokymus, kai tinkama, bendradarbiaujant su suinteresuotaisiais subjektais;

(10)TIS bendradarbiavimo grupei keičiantis geriausios praktikos pavyzdžiais ir informacija, visų pirma kiek tai susiję su Direktyvos (ES) 2022/2555 įgyvendinimu pagal tos direktyvos 14 straipsnio 4 dalies c punktą;

(11)pagal Reglamentą (ES) 2024/2847 paskirtos rinkos priežiūros institucijoms, joms vykdant savo veiklą, kuria siekiama užtikrinti veiksmingą to reglamento įgyvendinimą, įskaitant paramą teikiant gaires ir technines konsultacijas ekonominės veiklos vykdytojams, paramą atitikties patikroms, rizikos vertinimui, bendrai veiklai ir vienalaikiams patikrinimams, kaip nustatyta Reglamente (ES) 2024/2847;

(12)EKSSG nariai, keisdamiesi geriausios praktikos pavyzdžiais ir gavę atskirų valstybių narių prašymą, padeda nacionalinėms kibernetinio saugumo sertifikavimo institucijoms įgyvendinti Europos kibernetinio saugumo sertifikavimo schemas nacionaliniu lygmeniu;

(13)valdžios institucijoms ir privačiojo sektoriaus suinteresuotiesiems subjektams, kiek tai susiję su atitikties vertinimo ir vertinimo veikla, įskaitant atitikties vertinimo įstaigas ir mažąsias bei vidutines įmones, siekiant remti tvirtą, konkurencingą, įtraukią ir suderintą atitikties vertinimo ekosistemą, kuria remiamas Reglamento (ES) 2024/2847 ir Europos kibernetinio saugumo sertifikavimo sistemos įgyvendinimas;

(14)Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centrui ir Nacionalinių koordinavimo centrų tinklui, įsteigtam pagal Reglamentą (ES) 2021/887, dalijantis informacija apie esamą ir naują riziką ir kibernetines grėsmes, be kita ko, susijusias su naujomis ir besiformuojančiomis informacinėmis ir ryšių technologijomis;

(15)valstybėms narėms, teikiant techninę paramą, be kita ko, apribotų bandomųjų reglamentavimo aplinkų kibernetinio saugumo srityje sukūrimui ir veikimui pagal atitinkamus Sąjungos teisės aktus.

7 straipsnis
Informuotumo didinimas ir specialistų rezervas

ENISA padeda valstybėms narėms didinti informuotumą apie Sąjungos politiką ir teisės aktus, susijusius su kibernetiniu saugumu, ir skatina jų matomumą rengdama veiksmingas priemones ir gaires. ENISA remia iniciatyvas, kuriomis siekiama padidinti Europos kibernetinio saugumo specialistų rezervą, visų pirma koordinuodama konkursus.

8 straipsnis
Rinkos išmanymas ir analizė

1.ENISA atlieka ir platina pagrindinių kibernetinio saugumo rinkos paklausos ir pasiūlos tendencijų analizes, visų pirma susijusias su sritimis, kuriose taikomos arba planuojama taikyti Europos kibernetinio saugumo sertifikavimo schemas, Direktyvos (ES) 2022/2555 I ir II prieduose išvardytais sektoriais ir produktų kategorijomis, kurioms taikomas Reglamentas (ES) 2024/2847, įskaitant to reglamento III ir IV priedus.

2.ENISA atlieka ir platina technologinių kibernetinio saugumo tendencijų analizes, visų pirma susijusias su veikla ir subjektais, kuriems taikoma Direktyva (ES) 2022/2555, ir produktais su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847.

3.ENISA kaupia žinias ir teikia technines konsultacijas bei analizes apie pažangiausias kibernetinio saugumo priemones, pamatinius standartus ir geriausią praktiką.

9 straipsnis
Tarptautinis bendradarbiavimas

ENISA remia Sąjungos pastangas bendradarbiauti su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, be kita ko, atitinkamose tarptautinėse bendradarbiavimo sistemose, kad būtų skatinamas tarptautinis bendradarbiavimas kibernetinio saugumo klausimais:

a)kai tikslinga, dalyvaudama kaip stebėtoja organizuojant tarptautines pratybas, ir analizuodama tokių pratybų rezultatus ir teikdama Valdančiajai tarybai jų ataskaitas;

b)Komisijai paprašius, palengvindama keitimąsi geriausia praktika su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis;

c)Komisijai paprašius, teikdama jai ekspertines žinias;

d)teikdama Komisijai ekspertų konsultacijas ir paramą klausimais, susijusiais su Europos kibernetinio saugumo sertifikatų tarptautiniu pripažinimu pagal 87 straipsnį;

e)teikdama rekomendacijas ir paramą Komisijai klausimais, susijusiais su susitarimais su trečiosiomis valstybėmis dėl kibernetinio saugumo sertifikatų tarpusavio pripažinimo, bendradarbiaujant su pagal 90 straipsnį įsteigta EKSSG.

2 skirsnis

Operatyvinis bendradarbiavimas

10 straipsnis
Operatyvinis bendradarbiavimas Sąjungos lygmeniu

1.ENISA remia valstybių narių, Sąjungos subjektų per CERT-EU ir kitų suinteresuotųjų subjektų operatyvinį bendradarbiavimą.

2.ENISA yra nacionalinių CSIRT tinklo, įsteigto pagal Direktyvos (ES) 2022/2555 15 straipsnio 1 dalį, narė ir teikia CSIRT tinklo sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 15 straipsnio 2 dalį.

3.ENISA teikia Europos ryšių palaikymo dėl kibernetinių krizių organizacinio tinklo (EU-CyCLONe) sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 16 straipsnio 2 dalies antrą pastraipą.

4.ENISA remia techninį ir operatyvinį valstybių narių bendradarbiavimą, visų pirma per CSIRT tinklą ir EU-CyCLONe. Teikdama tokią paramą, Agentūra, be kita ko:

a)konsultuoja incidentų prevencijos, nustatymo, reagavimo į juos ir veiklos atkūrimo po jų pajėgumų gerinimo klausimais;

b)vienos ar daugiau valstybių narių prašymu teikia konsultacijas ir vertinimus, susijusius su konkrečiu galimu ar vykstančiu incidentu ar kibernetine grėsme, be kita ko, teikdama ekspertines žinias ir sudarydama palankesnes sąlygas tokių incidentų techniniam valdymui, taip pat remdama savanorišką valstybių narių dalijimąsi atitinkama informacija ir techniniais sprendimais;

c)analizuoja pažeidžiamumus, grėsmes ir incidentus;

d)vienos ar kelių valstybių narių prašymu teikia paramą, susijusią su didelių incidentų, kaip tai suprantama pagal Direktyvos (ES) 2022/2555 23 straipsnio 3 dalį, ex post techniniais tyrimais;

e)prisideda prie koordinuoto didelio masto kibernetinio saugumo incidentų ir krizių valdymo operatyviniu lygmeniu, visų pirma padėdama EU-CyCLONe rengti ataskaitas politiniu lygmeniu ir sudarydama palankesnes sąlygas CSIRT tinklui ir EU-CyCLONe laiku dalytis informacija.

5.Valstybės narės arba Sąjungos subjekto, bendradarbiaujančio su CERT-EU, prašymu ENISA remia nuoseklią viešą komunikaciją, susijusią su incidentu ar kibernetine grėsme.

6.ENISA remia valstybių narių tarpusavio bendradarbiavimą ir Sąjungos subjektų bendradarbiavimą per CERT-EU diegiant saugaus ryšio priemones. ENISA CSIRT tinkle ir EU-CyCLONe naudoja saugaus ryšio priemones, kurias teikia teisės subjektai, įsisteigę Sąjungoje arba laikomi joje įsisteigusiais ir kontroliuojami valstybių narių arba valstybių narių piliečių.

11 straipsnis
Bendras informuotumas apie padėtį kibernetinio saugumo srityje

1.Siekdama didesnio bendro valstybių narių ir Sąjungos subjektų informuotumo apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais, ENISA:

a)bendradarbiaudama su EU-CyCLONe, CSIRT tinklu, Komisija, CERT-EU, Europolu ir kitais atitinkamais Sąjungos subjektais sukuria patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes, įskaitant incidentų tendencijas, taktiką, metodus ir procedūras, saugyklas;

b)pagal 12 straipsnį teikia ankstyvuosius įspėjimus apie galimą arba vykstantį reikšmingą arba didelio masto incidentą arba galimo tarpvalstybinio pobūdžio kibernetinę grėsmę, visų pirma susijusius su Direktyvos (ES) 2022/2555 I ir II prieduose išvardytais sektoriais;

c)CSIRT tinklo, EU-CyCLONe arba Komisijos prašymu laiku teikia naujų incidentų tendencijų ad hoc analizes;

d)valstybių narių arba Komisijos prašymu pateikia analizę ar kitą informaciją apie faktinę ar numanomą kibernetinio saugumo riziką ar grėsmę;

e)teikia analizę ir technines konsultacijas dėl produktų su skaitmeniniais elementais kibernetinio saugumo rizikos, be kita ko, kad padėtų vykdyti rinkos priežiūrą, ir pagal Reglamento (ES) 2024/2847 17 straipsnio 3 dalį kas dvejus metus rengia techninę naujausių tendencijų ataskaitą;

f)reguliariai rengia išsamią ES kibernetinio saugumo techninės padėties ataskaitą dėl incidentų ir kibernetinių grėsmių ir pateikia ją Tarybai, EU-CyCLONe, CSIRT tinklui, Komisijai, Europos išorės veiksmų tarnybai ir Europolui;

g)stebi atakų naudojant išpirkos reikalavimo programinę įrangą metodų, reikalavimų ir poveikio tendencijas ir teikia informaciją apie tokias tendencijas Komisijai, CSIRT tinklui, EU-CyCLONe ir Europolui.

2.Siekdama didesnio suinteresuotųjų subjektų bendro informuotumo apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais, ENISA:

a)atlieka kibernetinių grėsmių, incidentų, tendencijų, besiformuojančių technologijų ir jų poveikio analizę, įskaitant reguliarią analizę, apimančią Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius ir atitinkamas produktų kategorijas, kurioms taikomas Reglamentas (ES) 2024/2847;

b)bendradarbiaudama su Komisija ir, kai tinkama, CSIRT tinklu, teikia rekomendacijas, gaires ir geriausios praktikos pavyzdžius, susijusius su tinklų ir informacinių sistemų saugumu, visų pirma infrastruktūros, kuria remiami Direktyvos (ES) 2022/2555 I ir II prieduose išvardyti sektoriai, saugumu;

c)atlieka ilgalaikes strategines kibernetinių grėsmių ir incidentų analizes, kad galėtų nustatyti naujausias tendencijas ir padėtų užkirsti kelią incidentams.

3.ENISA, susitarusi su 2 dalyje nurodytais prisidedančiais subjektais, gali viešai skelbti 2 dalyje nurodytas analizes, patarimus, gaires, geriausią praktiką ir ataskaitas.

4.Vykdydama 1 dalies a–d ir f punktuose ir 2 dalyje išvardytą veiklą, ENISA naudoja savo analizes ir, kai tinkama, informaciją, gautą vykdant savo užduotis, įskaitant:

a)informaciją, pateiktą viešai prieinamuose šaltiniuose, įskaitant viešai žinomus IRT produktų ar paslaugų pažeidžiamumus, įtrauktus į Europos pažeidžiamumų duomenų bazę, sukurtą pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį;

b)informaciją, kuria dalijasi valstybės narės, Sąjungos subjektai, CERT-EU, privatusis sektorius arba nevyriausybiniai partneriai ir trečiosios valstybės bei tarptautinės organizacijos, atsižvelgiant į visus apribojimus, aiškiai pažymint tolesnį tos informacijos platinimą.

5.ENISA glaudžiai bendradarbiauja su valstybėmis narėmis rengiant 1 dalies e punkte nurodytą ES kibernetinio saugumo techninės padėties ataskaitą. Ataskaita grindžiama viešai prieinama informacija, pačios ENISA atlikta analize ir ataskaitomis, kuriomis savanoriškai dalijasi, be kita ko, valstybių narių CSIRT arba pagal Direktyvą (ES) 2022/2555 įsteigti bendrieji informaciniai centrai, EC3 ir CERT-EU. Susitarusi su prisidedančiais subjektais, ENISA gali viešai paskelbti apibendrintą ataskaitos versiją.

12 straipsnis
Ankstyvieji įspėjimai

1.Šio reglamento 11 straipsnio 1 dalies pirmos pastraipos b punkte nurodytuose ankstyvuosiuose įspėjimuose pateikiama atitinkama informacija apie galimą arba vykstantį reikšmingą ar didelio masto incidentą arba galimo tarpvalstybinio pobūdžio kibernetinę grėsmę, kiek tai susiję su Direktyvos (ES) 2022/2555 I ir II prieduose išvardytais sektoriais. Tokia informacija gali apimti viešai žinomus pažeidžiamumus ir tai, ar jie daro poveikį produktams su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847, metodus ir procedūras, užvaldymo rodiklius, priešišką taktiką, su konkrečiu priešišku subjektu susijusią informaciją ir rekomendacijas dėl rizikos mažinimo priemonių.

2.11 straipsnio 1 dalies pirmos pastraipos b punkte nurodyti ankstyvieji įspėjimai atitinkamai ar atitinkamoms CSIRT ir, kai tinkama, CSIRT tinklui ir EU-CyCLONe pateikiami kuo greičiau.

3.ENISA teikia ankstyvojo įspėjimo paslaugą subjektams, veikiantiems Direktyvos (ES) 2022/2555 I ir II prieduose išvardytuose sektoriuose.

4.3 dalyje nurodyta paslauga teikiama subjekto prašymu viešai prieinamu kompiuterio skaitomu formatu. Ta paslauga apima dalijimąsi informacija apie kibernetinių grėsmių rodiklius ir rekomendacijomis dėl rizikos mažinimo priemonių.

5.ENISA nustato ankstyvųjų įspėjimų perdavimo 3 dalyje nurodytiems subjektams procedūrą.

13 straipsnis
Parama reaguojant į incidentus ir atliekant peržiūrą

1.ENISA valdo ir administruoja visą ES kibernetinio saugumo rezervą arba jo dalį pagal Reglamentą (ES) 2025/38.

2.Komisijos arba EU-CyCLONe prašymu ENISA, padedama CSIRT tinklo ir gavusi atitinkamos valstybės narės pritarimą, peržiūri ir įvertina reikšmingus kibernetinio saugumo incidentus arba didelio masto kibernetinio saugumo incidentus pagal Reglamento (ES) 2025/38 21 straipsnį.

3.ENISA, bendradarbiaudama su Europolu ir CSIRT ar, kai taikytina, kitomis kompetentingomis institucijomis, padeda atskiriems esminiams ir svarbiems subjektams, išvardytiems Direktyvos (ES) 2022/2555 I ir II prieduose, pasirengti incidentui, susijusiam su išpirkos reikalavimo programine įranga, į jį reaguoti ir po jo atkurti veiklą. Tuo tikslu ENISA įsteigia pagalbos tarnybą ir visų pirma naudojasi geresniu bendru informuotumu apie padėtį, susijusią su kibernetinėmis grėsmėmis ir incidentais, pagal šio reglamento 11 straipsnio 1 dalies pirmos pastraipos a ir g punktus.

14 straipsnis
Kibernetinio saugumo pratybos Sąjungos lygmeniu

1.ENISA padeda Komisijai rengti metinę tęstinę Sąjungos lygmens kibernetinio saugumo pratybų programą.

2.ENISA tvarko informacijos apie 1 dalyje nurodytų pratybų metu įgytą patirtį saugyklą ir rekomenduoja valstybėms narėms ir, kai aktualu, Sąjungos subjektams, kaip veiksmingai ir efektyviai pasinaudoti įgyta patirtimi.

3.EU-CyCLONe, Komisijos prašymu, ENISA Sąjungos lygmeniu organizuoja kibernetinio saugumo pratybas arba prisideda prie jų organizavimo, įskaitant parengties reaguoti į didelio masto kibernetinio saugumo incidentus ir krizes Sąjungos lygmeniu testavimą.

4.Valstybių narių prašymu ENISA padeda joms organizuoti nacionalines kibernetinio saugumo pratybas.

5.CERT-EU prašymu ENISA padeda organizuoti CERT-EU organizuojamas kibernetinio saugumo pratybas pagal Reglamento (ES, Euratomas) 2023/2841 13 straipsnio 7 dalį.

15 straipsnis
Priemonių ir platformų teikimas

1.ENISA sukuria, teikia, eksploatuoja, prižiūri ir prireikus atnaujina technines veiklos priemones, įskaitant su kibernetiniu saugumu susijusias platformas Sąjungos lygmeniu, visų pirma bendrą pranešimų teikimo platformą, sukurtą pagal Reglamento (ES) 2024/2847 16 straipsnio 1 dalį [ir vieną bendrą prieigą pranešimams apie incidentus teikti, sukurtą pagal Direktyvos (ES) 2022/2555 23a straipsnį], ir testavimo priemones, padedančias įgyvendinti atitikties vertinimo procedūras pagal atitinkamus Sąjungos teisės aktus.

2.Kai tikslinga 1 dalies tikslais, ENISA bendradarbiauja ir keičiasi informacija su CSIRT tinklu ir, kai taikytina, rinkos priežiūros institucijomis.

16 straipsnis
Pažeidžiamumo valdymo paslaugos

ENISA plėtoja bendrą Sąjungos pažeidžiamumo valdymo paslaugų pajėgumą ir teikia pažeidžiamumo valdymo paslaugas suinteresuotiesiems subjektams:

a)tvarkydama Europos pažeidžiamumų duomenų bazę, sukurtą pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį;

b)teikdama pažeidžiamumo valdymo paslaugas suinteresuotiesiems subjektams, remiantis Europos pažeidžiamumų duomenų baze ir naudojantis atitinkama ENISA turima informacija;

c)kai tinkama, pradėdama struktūrinį bendradarbiavimą su organizacijomis, teikiančiomis programas, registrus ar duomenų bazes, panašias į Europos pažeidžiamumų duomenų bazę;

d)aktyviai remdama pagal Direktyvos (ES) 2022/2555 12 straipsnio 1 dalį koordinatorėmis paskirtas CSIRT, kiek tai susiję su koordinuotu pažeidžiamumų, kurie gali turėti reikšmingą poveikį subjektams daugiau nei vienoje valstybėje narėje, atskleidimo valdymu;

e)kurdama ir palaikydama pažeidžiamumų nustatymo ir koordinuoto atskleidimo metodikas ir valdymo mechanizmus, bendradarbiaujant su nacionalinėmis kompetentingomis institucijomis, CSIRT, pramonės atstovais ir mokslinių tyrimų bendruomene.

3 skirsnis

Kibernetinio saugumo sertifikavimas ir standartizacija

17 straipsnis
Kibernetinio saugumo sertifikavimas

1.ENISA prisideda prie Sąjungos kibernetinio saugumo sertifikavimo politikos, kaip nustatyta šio reglamento III antraštinėje dalyje, plėtojimo ir įgyvendinimo ir juos skatina. ENISA atsako už:

a)IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės potencialių Europos kibernetinio saugumo sertifikavimo schemų (toliau – potencialios schemos) rengimą pagal 74 straipsnį ir, kai taikytina, techninių specifikacijų rengimą pagal 77 straipsnį;

b)priimtų Europos kibernetinio saugumo sertifikavimo schemų priežiūrą pagal 75 straipsnį, be kita ko, atsižvelgiant į galimą priimtų Europos kibernetinio saugumo sertifikavimo schemų peržiūrą pagal 76 straipsnį;

c)priimtų schemų naudojimo skatinimą ir specialios interneto svetainės, kurioje teikiama informacija apie Europos kibernetinio saugumo sertifikavimo schemas, Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus ir kurioje jie skelbiami, tvarkymą pagal 79 straipsnį;

d)pajėgumų, susijusių su sertifikavimo procesais, vertinimo veikla, tarpusavio peržiūra ir tarpusavio vertinimu, stiprinimo organizavimą, be kita ko, teikiant paramą valstybėms narėms jų prašymu pagal 6 straipsnio 12 punktą.

2.ENISA padeda Komisijai vykdyti šią veiklą:

a)valdyti EKSSG pagal 90 straipsnį;

b)organizuoti Europos kibernetinio saugumo sertifikavimo asamblėją pagal 72 straipsnio 1 dalį;

c)vykdyti veiklą, susijusią su Europos kibernetinio saugumo sertifikatų tarptautiniu pripažinimu pagal 87 straipsnį;

d)organizuoti tarpusavio vertinimus pagal 89 straipsnį;

e)rengti pavyzdines nuostatas, kurios turi būti nurodytos subjektų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schemose pagal 81 straipsnio 5 dalį.

18 straipsnis
Standartizacija, techninės specifikacijos ir gairės

1.ENISA parengia technines specifikacijas ir gaires, kuriomis remiamas Sąjungos kibernetinio saugumo srities teisės aktų įgyvendinimas. Rengdama tas technines specifikacijas ENISA atsižvelgia į esamus Europos ir tarptautinius standartus, taip pat į kitas atitinkamas technines specifikacijas. ENISA užtikrina savo techninių specifikacijų ir gairių nuoseklumą.

2.ENISA stebi standartizacijos plėtojimo veiklą Sąjungos lygmeniu ir pagal 9 straipsnį tarptautiniu lygmeniu ir, kai aktualu, joje dalyvauja ir jai vadovauja, siekdama remti su kibernetiniu saugumu susijusią Sąjungos politiką.

3.ENISA remia kriptografinių algoritmų kūrimą ir vertinimą. Jei ENISA kriptografinį algoritmą įvertina teigiamai, ji pagal Reglamentą (ES) Nr. 1025/2012 bendradarbiauja su Europos standartizacijos įstaigomis, kad paremtų jo standartizavimą.

4.ENISA teikia Komisijai ir, kai aktualu, valstybėms narėms technines konsultacijas dėl tinkamų standartų arba techninių specifikacijų, kuriais remiama su kibernetiniu saugumu susijusi Sąjungos politika, be kita ko, dėl Sąjungos derinamųjų tiesės aktų kibernetinio saugumo srityje, visų pirma Reglamento (ES) 2024/2847, techninių sričių Direktyvos (ES) 2022/2555 25 straipsnio tikslais ir Europos kibernetinio saugumo sertifikavimo schemų pagal 81 straipsnio 1 dalies d punktą.

5.ENISA padeda Komisijai vertinti darniųjų standartų projektus, kad padėtų įgyvendinti Sąjungos derinamuosius teisės aktus kibernetinio saugumo srityje.

6.ENISA skatina taikyti Europos ir tarptautinius kibernetinio saugumo standartus.

7.ENISA 1–6 dalyse nurodytas užduotis vykdo sąžiningai, nešališkai ir konfidencialiai, be kita ko, pasitraukdama iš konkrečių techninių įstaigų arba sustabdydama dalyvavimą jose, kai toks dalyvavimas prieštarauja kitoms užduotims ar tikslams.

4 skirsnis 
Kibernetinio saugumo įgūdžių akademijos įgyvendinimas

19 straipsnis
Europos kibernetinio saugumo įgūdžių sistema

1.ENISA parengia ir viešai paskelbia Europos kibernetinio saugumo įgūdžių sistemą (EKSĮS). Prieš viešai skelbdama arba atnaujindama EKSĮS pagal 4 dalį, ENISA konsultuojasi su Komisija.

2.EKSĮS apibrėžiami kibernetinio saugumo specialistų profiliai, o konkrečios užduotys, įgūdžiai ir žinios susiejamos su konkrečiu vaidmens profiliu. Viešieji ir privatieji subjektai EKSĮS taiko savanoriškai.

3.ENISA, kurdama ir taikydama EKSĮS, gali konsultuotis su suinteresuotaisiais subjektais.

4.ENISA įvertina poreikį reguliariai atnaujinti EKSĮS ir prireikus ją atnaujina.

20 straipsnis
Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų kūrimas, priėmimas ir priežiūra

1.ENISA sukuria, priima ir prižiūri Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas. Nacionalinės viešosios įstaigos ir privatūs subjektai Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas naudoja savanoriškai, išskyrus atvejus, kai nacionalinėje teisėje nustatyta kitaip.

2.Prieš inicijuodama naują Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą, ENISA konsultuojasi su Komisija. ENISA tokią schemą patvirtina tik gavusi teigiamą Komisijos nuomonę. Rengdama Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą ENISA gali konsultuotis su atitinkamais suinteresuotaisiais subjektais.

3.Europos individualių kibernetinio saugumo įgūdžių atestavimo schema apima:

a)atestavimo schemos, pagrįstos EKSĮS vaidmenų profiliais arba jų pogrupiais, dalyką ir taikymo sritį;

b)reikalavimus, taikomus asmenims, išmokytiems atlikti vertinimus (toliau – vertintojai) pagal 21 straipsnį, būtinus įgūdžius, žinias ir patirtį, taip pat mokymo metodus;

c)kiekvienai atestavimo schemai būdingą panaudojimo rinkoje analizę;

d)mokymosi rezultatus, vertinimo metodus ir sąlygas, kuriais įgaliotieji atestavimo pažymėjimų teikėjai naudojasi vertindami, ar asmuo įrodė, kad turi reikiamų įgūdžių pagal 21 straipsnį;

e)kai aktualu, vieną ar daugiau kvalifikacijos lygių;

f)taisykles, susijusias su įgaliotųjų atestavimo pažymėjimų teikėjų vykdomu įrašų saugojimu;

g)Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų turinį ir formatą, tinkamai atsižvelgiant į 21 straipsnio 5 dalies e punktą;

h)ilgiausią pagal atestavimo schemą išduoto Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimo galiojimo laikotarpį.

4.Į Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą gali būti įtraukta orientacinė Europos individualių kibernetinio saugumo įgūdžių atestavimo kaina.

5.ENISA užtikrina glaudų bendradarbiavimą su valstybėmis narėmis rengiant Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas.

6.Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos pakeitimas nedaro poveikio pagal 22 straipsnio 3 dalies a punktą suteiktam leidimui, kuris galioja laikotarpį, kuriam jis suteiktas.

21 straipsnis
Įgaliotieji atestavimo pažymėjimų teikėjai

1.Įgaliotieji atestavimo pažymėjimų teikėjai įvertina, ar asmenys atitinka Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos reikalavimus, ir, jei tie reikalavimai įvykdyti, išduoda Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimą. Atestavimo pažymėjimų teikėjai gali turėti kelis leidimus, kurių kiekvienas išduotas pagal vieną Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą.

2.ENISA teikia gaires vertintojams ir vykdo privalomus mokymus, susijusius su reikalavimais ir vertinimo metodais, įtrauktais į Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą, kaip nurodyta 20 straipsnio 3 dalies b punkte.

3.Subjektai, norintys tapti įgaliotaisiais atestavimo pažymėjimų teikėjais arba atnaujinti savo leidimą (toliau – pareiškėjai), pateikia prašymą ENISA. Jie turi atitikti tokius reikalavimus:

a)jie turi turėti juridinio asmens statusą;

b)jie turi būti pajėgūs atlikti šiame reglamente nustatytas užduotis, susijusias su Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimais, neatsižvelgiant į tai, ar vertinimą atlieka pats įgaliotasis atestavimo pažymėjimų teikėjas, ar jis atliekamas jo vardu ir atsakomybe;

c)jie turi turėti priemones, būtinas su Europos individualių kibernetinio saugumo įgūdžių atestavimo schema susijusioms techninėms ir administracinėms užduotims tinkamai atlikti, ir galimybę naudotis visa būtina įranga ir įrenginiais.

Pirmos pastraipos b punkto tikslais bet kokia subrangos sutartis su išorės darbuotojais arba konsultacijos su jais tinkamai dokumentuojamos, jose nedalyvauja tarpininkai ir dėl jų sudaromas rašytinis susitarimas, kuriame, be kita ko, aptariami konfidencialumo ir interesų konfliktų klausimai.

4.Pareiškėjai negali būti didelės rizikos tiekėjai.

5.Įgaliotieji atestavimo pažymėjimų teikėjai vykdo šias pareigas:

a)kiek tai susiję su kiekvienos Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos įgyvendinimu:

i)turi reikiamus vertintojus ir darbuotojus, kad galėtų laiku vykdyti savo veiklą, kaip nustatyta toje schemoje;

ii)užtikrina, kad vertintojai laikytųsi profesinės paslapties, būtų nešališki ir savo darbą atliktų nepriklausomai ir laikydamiesi griežčiausių profesinio sąžiningumo reikalavimų;

iii)taiko rašytines procedūras, pagal kurias jie galėtų vykdyti savo veiklą pagal schemą, kuriai jie turi leidimą;

b)nevertina ir neišduoda Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų savo vertintojams;

c)užtikrina, prireikus įdiegdami tinkamas apsaugos priemones, kad jų vertintojai galėtų atlikti savo darbą nepriklausomai, visų pirma tais atvejais, kai tokie asmenys priklauso jų pačių struktūrai arba yra tokios struktūros darbuotojai ar besimokantys asmenys;

d)neužsiima jokia veikla, kuri gali prieštarauti jų vertintojų sprendimų nepriklausomumui ar sąžiningumui;

e)užtikrina, kad asmens prašymu Europos individualių kibernetinio saugumo įgūdžių atestavimo elektroniniai pažymėjimai būtų išduodami kaip elektroniniai požymių liudijimai tokiu formatu, kuris gali būti saugomas Reglamente (ES) Nr. 910/2014 nustatytose europinėse skaitmeninės tapatybės dėklėse.

6.Įgaliotieji atestavimo pažymėjimų teikėjai nedelsdami informuoja ENISA, jei nebesilaikoma kurio nors iš 3 ir 4 dalyse išvardytų reikalavimų ar nevykdomos 5 dalyje išvardytos pareigos arba jei kyla abejonių, kad tų reikalavimų nesilaikoma ar pareigos nevykdomos, be kita ko, dėl vertintojų nepriklausomumo.

7.Įgaliotieji atestavimo pažymėjimų teikėjai gali prašyti asmenų sumokėti mokestį už Europos individualių kibernetinio saugumo įgūdžių vertinimą ir išdavimą, atsižvelgdami į orientacinę Europos individualių kibernetinio saugumo įgūdžių atestavimo kainą pagal 20 straipsnio 4 dalį, kuri viešai skelbiama specialioje interneto svetainėje pagal 23 straipsnio d punktą.

8.Pareiškėjai ir įgaliotieji atestavimo pažymėjimų teikėjai leidžia ENISA atlikti vertinimus, kurie yra prašymo teikimo proceso arba leidimo galiojimo pratęsimo dalis, ir dalijasi visa svarbia informacija, kad būtų užtikrinta, jog 3 ir 4 dalyse nustatyti reikalavimai arba 5 dalyje nustatytos pareigos būtų įvykdytos arba toliau vykdomos pagal 22 straipsnio 2 dalį.

22 straipsnis
Prašymų tapti įgaliotuoju atestavimo pažymėjimų teikėju nagrinėjimas ir leidimų galiojimo pratęsimas

1.Pareiškėjai moka ENISA mokestį už jų prašymo nagrinėjimą. Įgaliotieji atestavimo pažymėjimų teikėjai moka ENISA mokestį už tai, kad būtų pratęstas jų turimo leidimo galiojimas.

2.ENISA įvertina, ar pareiškėjai ir įgaliotieji atestavimo pažymėjimų teikėjai įvykdė arba toliau vykdo 21 straipsnio 3 ir 4 dalyse nustatytus reikalavimus ir 21 straipsnio 5 dalyje nustatytas pareigas.

3.Išnagrinėjusi prašymą pagal 21 straipsnio 3 ir 4 dalyse nustatytus reikalavimus, ENISA gali priimti vieną iš šių sprendimų:

a)suteikti pareiškėjui įgaliotojo atestavimo pažymėjimų teikėjo statusą arba jį atnaujinti;

b)atmesti prašymą tapti įgaliotuoju atestavimo pažymėjimų teikėju arba neatnaujinti leidimo;

c)užbaigti prašymo nagrinėjimą pareiškėjui nesiėmus veiksmų po to, kai ENISA paprašė pateikti papildomos informacijos.

ENISA gali iš dalies pakeisti, sustabdyti arba atšaukti tokius sprendimus, remdamasi savo vertinimu pagal 22 straipsnio 2 dalį arba 21 straipsnio 6 dalyje nurodytu atveju.

4.ENISA priima 3 dalyje nurodytą sprendimą per tris mėnesius nuo prašymo pateikimo pagal 21 straipsnio 3 dalį dienos. Jei ENISA paprašo pareiškėjo pateikti papildomos informacijos, ENISA priima 3 dalyje nurodytą sprendimą per vieną mėnesį nuo papildomos informacijos gavimo.

5.3 dalies a punkte nurodytas sprendimas galioja ne ilgiau kaip trejus metus ir jame nurodomas mokestis, susijęs su kasmetiniu leidimo galiojimo pratęsimu.

6.ENISA užtikrina, kad jos veikla, susijusi su Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų kūrimu ir priėmimu, kaip nustatyta 20 straipsnyje, būtų griežtai atskirta ir vykdoma nepriklausomai nuo veiklos, susijusios su prašymų nagrinėjimu ir vertinimais, kaip nustatyta šio straipsnio 2 ir 3 dalyse.

23 straipsnis
Visuomenės informavimas

ENISA prižiūri ir reguliariai atnaujina specialią interneto svetainę, kurioje viešai skelbiama informacija apie:

a)EKSŠS, įskaitant jos atnaujinimo sistemą ir tvarkaraštį;

b)Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas, jų kūrimo pažangą ir terminus;

c)mokesčius, susijusius su kiekviena Europos individualių kibernetinio saugumo įgūdžių atestavimo schema, priimta pagal šio reglamento 47 straipsnį;

d)Europos individualių kibernetinio saugumo įgūdžių atestavimo orientacinę kainą pagal 20 straipsnio 4 dalį;

e)įgaliotųjų atestavimo pažymėjimų teikėjų sąrašą.

III skyrius 
ENISA organizacinė struktūra

24 straipsnis
ENISA administracinė ir valdymo struktūra

ENISA administracinę ir valdymo struktūrą sudaro:

a)Valdančioji taryba, kuri vykdo 28 straipsnyje nustatytas funkcijas;

b)Vykdomoji valdyba, kuri vykdo 30 straipsnyje nustatytas funkcijas;

c)vykdomasis direktorius, kuris vykdo 32 straipsnyje nustatytas pareigas;

d)vykdomojo direktoriaus pavaduotojas, kuris vykdo 34 straipsnyje nustatytas pareigas;

e)ENISA patariamoji grupė;

f)Apeliacinė taryba, kuri atlieka 39–42 straipsniuose nustatytas funkcijas.

1 skirsnis 
Valdančioji taryba

25 straipsnis
Valdančiosios tarybos sudėtis

1.Valdančiąją tarybą sudaro po vieną kiekvienos valstybės narės paskirtą narį ir du Komisijos paskirti nariai. Visi nariai turi balsavimo teisę.

2.Kiekvienas Valdančiosios tarybos narys turi pakaitinį narį. Pakaitiniai nariai atstovauja nariams šiems nedalyvaujant.

3.Kiekviena valstybė narė Valdančiosios tarybos nariu paskiria pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį paskirtos nacionalinės kompetentingos institucijos vadovą. Jei paaiškėja, kad tai neįmanoma, valstybės narės Valdančiosios tarybos nariu paskiria pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį paskirtos nacionalinės kompetentingos institucijos aukšto lygio atstovą.

4.Komisijos skiriami nariai ir Valdančiosios tarybos pakaitiniai nariai skiriami atsižvelgiant į jų žinias kibernetinio saugumo srityje ir į jų atitinkamus vadybos, administravimo ir biudžeto valdymo įgūdžius. Komisija ir valstybės narės, kiek tai susiję su pakaitiniais nariais, siekia užtikrinti subalansuotą vyrų ir moterų atstovavimą Valdančiojoje taryboje ir deda pastangas apriboti jų kaitą, kad būtų užtikrintas Valdančiosios tarybos darbo tęstinumas.

5.Valstybių narių paskirtų narių kadencija yra lygi 3 dalyje nurodytai jų pareigų trukmei.

6.Pakaitinių narių ir Komisijos paskirtų narių kadencija yra ketveri metai. Ta kadencija gali būti pratęsta.

26 straipsnis
Valdančiosios tarybos pirmininkas

1.Valdančioji taryba iš savo balsavimo teisę turinčių narių išrenka pirmininką ir jo pavaduotoją. Pirmininkas ir jo pavaduotojas renkami dviejų trečdalių balso teisę turinčių narių balsų dauguma.

2.Jei pirmininkas negali eiti savo pareigų, jį automatiškai pakeičia pirmininko pavaduotojas.

3.Pirmininkas ir pirmininko pavaduotojas paskiriami ketverių metų kadencijai, kuri gali būti pratęsta vieną kartą. Tačiau jei bet kuriuo kadencijos metu jie netenka Valdančiosios tarybos nario statuso, tą pačią dieną automatiškai baigiasi ir kadencija.

27 straipsnis
Valdančiosios tarybos posėdžiai

1.Valdančiosios tarybos posėdžius šaukia jos pirmininkas.

2.Vykdomasis direktorius Valdančiosios tarybos posėdžiuose dalyvauja neturėdamas balso teisės.

3.Eiliniai Valdančiosios tarybos posėdžiai vyksta bent du kartus per metus. Be to, ji posėdžiauja pirmininko iniciatyva, Komisijos arba ne mažiau kaip trečdalio savo narių prašymu.

4.Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centro, įsteigto Reglamentu (ES) 2021/887, atstovas yra nuolatinis stebėtojas be balsavimo teisės Valdančiosios tarybos posėdžiuose.

5.Valdančioji taryba, laikydamasi savo darbo tvarkos taisyklių, gali pakviesti bet kurį asmenį, kurio nuomonė gali būti svarbi, dalyvauti posėdyje ar jo dalyje kaip ad hoc stebėtoją be balsavimo teisės.

6.Pagal Valdančiosios tarybos darbo tvarkos taisykles jos nariams ir jų pakaitiniams nariams Valdančiosios tarybos posėdžiuose gali padėti patarėjai arba ekspertai.

28 straipsnis
Valdančiosios tarybos funkcijos

1.Valdančioji taryba:

a)nustato bendrą ENISA veiklos kryptį ir užtikrina, kad ENISA veiktų pagal šiame reglamente nustatytas taisykles ir principus; taip pat užtikrina, kad ENISA darbas būtų suderinamas su valstybių narių ir Sąjungos lygmeniu vykdoma veikla;

b)priima 44 straipsnyje nurodyto ENISA bendrojo programavimo dokumento projektą, prieš jį pateikiant Komisijai jos nuomonei gauti;

c)atsižvelgdama į Komisijos nuomonę, priima ENISA bendrąjį programavimo dokumentą pagal 29 straipsnio 2 dalies a punktą;

d)prižiūri į bendrąjį programavimo dokumentą įtrauktų daugiamečių ir metinių programų įgyvendinimą;

e)priima ENISA metinį biudžetą pagal 29 straipsnio 2 dalies b punktą ir vykdo kitas su ENISA biudžetu susijusias funkcijas pagal IV skyrių;

f)vertina ir priima konsoliduotąją metinę ENISA veiklos ataskaitą, įskaitant finansines ataskaitas ir aprašymą, kaip ENISA pasiekė savo veiklos rezultatų rodiklius; ne vėliau kaip kitų metų liepos 1 d. pateikia metinę ataskaitą ir jos įvertinimą Europos Parlamentui, Tarybai, Komisijai ir Europos Audito Rūmams; metinę ataskaitą paskelbia viešai;

g)vadovaudamasi 50 straipsniu priima ENISA taikytinas finansines taisykles;

h)atsižvelgdama į įgyvendintinų priemonių sąnaudų ir naudos analizę, priima kovos su sukčiavimu strategiją, kuri proporcingai atitinka sukčiavimo riziką;

i)užtikrina, kad, atsižvelgiant į vidaus ar išorės audito ataskaitų ir vertinimų, taip pat Europos kovos su sukčiavimu tarnybos (OLAF) ir Europos prokuratūros atliktų tyrimų išvadas ir rekomendacijas, būtų imtasi tinkamų tolesnių veiksmų;

j)priima savo darbo tvarkos taisykles, įskaitant taisykles dėl laikinų sprendimų dėl konkrečių užduočių delegavimo pagal 30 straipsnio 7 dalį;

k)pagal šio straipsnio 2 dalį ENISA personalo atžvilgiu naudojasi įgaliojimais, kurie pagal Tarybos reglamentu (EEB, Euratomas, EAPB) Nr. 259/68 73 nustatytus Europos Sąjungos pareigūnų tarnybos nuostatus (toliau – Tarnybos nuostatai) ir kitų tarnautojų įdarbinimo sąlygas (toliau – Įdarbinimo sąlygos), atitinkamai suteikti paskyrimų tarnybai ir tarnybai, įgaliotai sudaryti darbo sutartis (toliau – paskyrimų tarnybos įgaliojimai);

l)pagal Tarnybos nuostatų 110 straipsnio 2 dalį priima įgyvendinimo taisykles, kuriomis įgyvendinami Tarnybos nuostatai ir Įdarbinimo sąlygos;

m)skiria vykdomąjį direktorių ir, jei nusprendžia sukurti vykdomojo direktoriaus pavaduotojo pareigas, vykdomojo direktoriaus pavaduotoją ir prireikus pratęsia jų kadenciją arba atleidžia juos iš pareigų pagal 31 straipsnį;

n)skiria apskaitos pareigūną, kuriam taikomi Tarnybos nuostatai ir Įdarbinimo sąlygos ir kuris, eidamas savo pareigas, turi būti nepriklausomas;

o)atsižvelgdama į ENISA veiklos poreikius ir patikimą biudžeto valdymą, priima visus sprendimus dėl ENISA vidaus struktūrų sukūrimo, o kai reikia – dėl tų vidaus struktūrų keitimo;

p)atsižvelgdama į 68 straipsnį, įgalioja sudaryti darbinius susitarimus;

q)leidžia pagal 70 straipsnį sudaryti darbinius susitarimus;

r)skiria ir atleidžia Apeliacinės tarybos narius pagal 29 straipsnio 2 dalies d punktą;

s)priima Apeliacinės tarybos narių interesų konfliktų prevencijos ir valdymo taisykles.

2.Vadovaudamasi Tarnybos nuostatų 110 straipsnio 2 dalimi, Valdančioji taryba priima Tarnybos nuostatų 2 straipsnio 1 dalimi ir Įdarbinimo sąlygų 6 straipsniu grindžiamą sprendimą, kuriuo atitinkami paskyrimų tarnybos įgaliojimai deleguojami vykdomajam direktoriui ir nustatomos sąlygos, kuriomis tas įgaliojimų delegavimas gali būti sustabdytas. Vykdomajam direktoriui leidžiama tuos įgaliojimus perdeleguoti.

3.Prireikus dėl išskirtinių aplinkybių Valdančioji taryba gali priimti sprendimą laikinai sustabdyti paskyrimų tarnybos įgaliojimų delegavimą vykdomajam direktoriui bei vykdomojo direktoriaus perdeleguotus įgaliojimus, ir jais naudotis pati arba deleguoti juos vienam iš savo narių arba darbuotojui, kuris nėra vykdomasis direktorius.

29 straipsnis
Valdančiosios tarybos balsavimo taisyklės

1.Jei šiame reglamente nenumatyta kitaip, Valdančioji taryba sprendimus priima absoliučia balsavimo teises turinčių narių balsų dauguma.

2.Dviejų trečdalių balsavimo teisę turinčių Valdančiosios tarybos narių balsų dauguma reikalinga:

a)28 straipsnio 1 dalies c punkte nurodytam bendrajam programavimo dokumentui priimti;

b) 28 straipsnio 1 dalies e punkte nurodytam metiniam biudžetui priimti;

c) vykdomajam direktoriui ir vykdomojo direktoriaus pavaduotojui paskirti, jo kadencijai pratęsti arba jam atleisti iš pareigų, kaip nurodyta 31 ir 33 straipsniuose;

d)Apeliacinės tarybos nariams paskirti ir atleisti, kaip nurodyta 36 straipsnyje.

3.Sprendimai biudžeto ar žmogiškųjų išteklių klausimais, visų pirma 28 straipsnio 1 dalies c, e, f, g, h, i, k, l, m, n punktuose nurodytais klausimais, priimami tik tuo atveju, jei už juos balsuoja Komisijos atstovai. Norint priimti 28 straipsnio 1 dalies c punkte nurodytus sprendimus dėl ENISA bendrojo programavimo dokumento, reikia, kad Komisija balsuotų teigiamai tik dėl tų sprendimo elementų, kurie nėra susiję su ENISA metine ir daugiamete darbo programa.

4.Kiekvienas narys, turintis balsavimo teisę, turi vieną balsą. Jei balsavimo teisę turintis narys nedalyvauja, teisę pasinaudoti to nario balsavimo teise turi jo pakaitinis narys.

5.Valdančiosios tarybos pirmininkas dalyvauja balsavime.

6.Vykdomasis direktorius nedalyvauja balsavime.

7.Valdančiosios tarybos darbo tvarkos taisyklėse nustatoma išsamesnė balsavimo tvarka, visų pirma aplinkybės, kuriomis vienas narys gali veikti kito nario vardu.

2 skirsnis 
Vykdomoji valdyba

30 straipsnis
Vykdomoji valdyba

1.Valdančiajai tarybai padeda Vykdomoji valdyba.

2.Vykdomoji valdyba:

a)rengia sprendimus, kuriuos turi priimti Valdančioji taryba;

b)drauge su Valdančiąja taryba užtikrina, kad, atsižvelgiant į vidaus ar išorės audito ataskaitų ir vertinimų, taip pat OLAF ir Europos prokuratūros atliktų tyrimų išvadas ir rekomendacijas, būtų imtasi tinkamų tolesnių veiksmų.

c)siekdama stiprinti administracinio ir biudžeto valdymo priežiūrą ir nedarydama poveikio 32 straipsnyje nustatytai vykdomojo direktoriaus atsakomybei, padeda jam įgyvendinti Valdančiosios tarybos sprendimus ir jam teikia rekomendacijas.

3.Vykdomąją valdybą sudaro Valdančiosios tarybos pirmininkas, vienas Komisijos atstovas Valdančiojoje taryboje ir trys kiti nariai, kuriuos iš savo balsavimo teisę turinčių narių skiria Valdančioji taryba. Valdančiosios tarybos pirmininkas taip pat yra Vykdomosios valdybos pirmininkas. Skiriant Vykdomosios valdybos narius siekiama joje užtikrinti lyčių pusiausvyrą. Vykdomasis direktorius Vykdomosios valdybos posėdžiuose dalyvauja be teisės balsuoti.

4.Vykdomosios valdybos narių kadencija yra ketveri metai. Ta kadencija gali būti pratęsta. Vykdomosios valdybos narių kadencija baigiasi, kai baigiasi jų narystė Valdančiojoje taryboje.

5.Vykdomoji valdyba kas tris mėnesius surengia bent vieną eilinį posėdį. Be to, Vykdomoji valdyba posėdžiauja savo pirmininko iniciatyva arba savo narių prašymu.

6.Valdančioji taryba nustato Vykdomosios valdybos darbo tvarkos taisykles.

7.Prireikus dėl skubos priežasčių Vykdomoji valdyba gali Valdančiosios tarybos vardu priimti tam tikrus laikinus sprendimus, visų pirma dėl administracinio valdymo klausimų, įskaitant sprendimą sustabdyti paskyrimų tarnybos įgaliojimų delegavimą, ir dėl biudžeto klausimų. Apie tokius laikinus sprendimus nedelsiant pranešama Valdančiajai tarybai. Tada Valdančioji taryba ne vėliau kaip per tris mėnesius nuo laikino sprendimo priėmimo nusprendžia, ar jį patvirtinti, ar atmesti. Vykdomoji valdyba Valdančiosios tarybos vardu negali priimti sprendimų, kurie turi būti priimti dviejų trečdalių Valdančiosios tarybos narių balsų dauguma.

3 skirsnis 
Vykdomasis direktorius

31 straipsnis
Paskyrimas, atleidimas ir kadencijos pratęsimas

1.Vykdomąjį direktorių iš Komisijos pasiūlytų kandidatų sąrašo skiria Valdančioji taryba, atsižvelgdama į jo nuopelnus ir gebėjimus ir laikydamasi atviros ir skaidrios atrankos procedūros.

2.Prieš paskyrimą Valdančiosios tarybos atrinktas kandidatas pakviečiamas padaryti pranešimą atitinkamame Europos Parlamento komitete ir atsakyti į Parlamento narių klausimus.

3.Vykdomasis direktorius įdarbinamas kaip ENISA laikinasis darbuotojas pagal Įdarbinimo sąlygų 2 straipsnio a punktą.

4.Sudarant sutartį su vykdomuoju direktoriumi ENISA atstovauja Valdančiosios tarybos pirmininkas.

5.Vykdomojo direktoriaus kadencijos trukmė yra penkeri metai. Likus pakankamai laiko iki to laikotarpio pabaigos, Komisija atlieka vertinimą, kuriame atsižvelgiama į vykdomojo direktoriaus veiklos rezultatų vertinimą ir būsimas ENISA užduotis ir iššūkius.

6.Remdamasi Komisijos siūlymu, grindžiamu šio straipsnio 5 dalyje nurodytu vertinimu, Valdančioji taryba gali vykdomojo direktoriaus kadenciją vieną kartą pratęsti ne ilgesniam kaip penkerių metų laikotarpiui.

7.Vykdomasis direktorius, kurio kadencija buvo pratęsta, pasibaigus visam laikotarpiui negali dalyvauti kitoje atrankos į tas pačias pareigas procedūroje.

8.Valdančioji taryba informuoja Europos Parlamentą apie savo ketinimą pratęsti vykdomojo direktoriaus kadenciją pagal 6 dalį. Trijų mėnesių laikotarpiu iki tokio kadencijos pratęsimo vykdomasis direktorius, jei jo paprašoma, padaro pranešimą atitinkamame Europos Parlamento komitete ir atsako į Parlamento narių klausimus.

9.Vykdomasis direktorius gali būti atleistas iš pareigų tik Valdančiosios tarybos sprendimu, priimtu Komisijos pasiūlymo pagrindu.

32 straipsnis
Vykdomojo direktoriaus užduotys ir pareigos

1.Vykdomasis direktorius vadovauja ENISA ir yra atskaitingas Valdančiajai tarybai.

2.Vykdomasis direktorius savo užduotis vykdo nepriklausomai ir nesiekia gauti jokios vyriausybės ar kitos įstaigos nurodymų ir jų nevykdo.

3.Gavęs prašymą, vykdomasis direktorius Europos Parlamentui pateikia savo užduočių vykdymo ataskaitą. Taryba gali paprašyti vykdomojo direktoriaus pateikti savo užduočių vykdymo ataskaitą.

4.Vykdomasis direktorius veikia kaip ENISA teisinis atstovas.

5.Vykdomasis direktorius atsako už ENISA šiuo reglamentu pavestų užduočių įgyvendinimą. Visų pirma vykdomasis direktorius:

a)užtikrina kasdienį ENISA veiklos administravimą;

b)įgyvendina Valdančiosios tarybos priimtus sprendimus;

c)užtikrina, kad būtų laikomasi ENISA finansinių taisyklių;

d)parengia bendrojo programavimo dokumento projektą ir jį pateikia priimti Valdančiajai tarybai, prieš jį pateikiant Komisijai, kad ši parengtų nuomonę;

e)įgyvendina bendrąjį programavimo dokumentą ir atsiskaito už jo įgyvendinimą Valdančiajai tarybai;

f)parengia konsoliduotąją metinę ENISA veiklos ataskaitą, apimančią ENISA metinės darbo programos įgyvendinimą, ir ją pateikia Valdančiajai tarybai vertinti ir priimti;

g)parengia 121 straipsnyje nurodytą tolesnių veiksmų planą atsižvelgdamas į ENISA retrospektyvių įvertinimų išvadas ir kas dvejus metus Komisijai teikia pažangos ataskaitas;

h)parengia tolesnių veiksmų planą, atsižvelgdamas į vidaus arba išorės audito ataskaitų bei įvertinimų išvadas ir OLAF bei Europos prokuratūros tyrimus, taip pat du kartus per metus teikia pažangos ataskaitas Komisijai ir reguliariai – Valdančiajai tarybai;

i)rengia 50 straipsnyje nurodytų ENISA taikytinų finansinių taisyklių projektą;

j)rengia ENISA pajamų ir išlaidų sąmatos projektą ir vykdo jos biudžetą;

k)apsaugo Sąjungos finansinius interesus, taikydamas prevencines kovos su sukčiavimu, korupcija ir bet kokia kita neteisėta veikla priemones, nedarydamas poveikio OLAF ir Europos prokuratūros kompetencijai tyrimų srityje, atlikdamas veiksmingus patikrinimus ir, jeigu nustatoma pažeidimų, susigrąžindamas netinkamai išmokėtas lėšas ir, kai tinkama, taikydamas veiksmingas, proporcingas ir atgrasomas administracines ir finansines nuobaudas;

l)rengia ENISA kovos su sukčiavimu strategiją, veiksmingumo didinimo ir sinergijos strategiją, bendradarbiavimo su trečiosiomis valstybėmis ir (arba) tarptautinėmis organizacijomis strategiją ir organizacinio valdymo ir vidaus kontrolės sistemų strategiją ir pateikia jas Valdančiajai tarybai tvirtinti;

m)plėtoja ir palaiko ryšius su verslo bendruomene ir vartotojų organizacijomis, kad būtų užtikrintas nuolatinis dialogas su atitinkamais suinteresuotaisiais subjektais;

n)reguliariai keičiasi nuomonėmis ir informacija su atitinkamais Sąjungos subjektais apie jų veiklą, susijusią su kibernetiniu saugumu, siekiant užtikrinti nuoseklų Sąjungos politikos įgyvendinimą toje srityje;

o)skatina įvairovę ir lyčių pusiausvyrą įdarbinant ENISA darbuotojus;

p)tvirtina Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas, kaip nurodyta 20 straipsnio 1 dalyje;

q)priima sprendimus dėl pareiškėjų, norinčių tapti įgaliotaisiais atestavimo pažymėjimų teikėjais arba atnaujinti savo leidimą, kaip nurodyta 22 straipsnio 3 dalyje;

r)atlieka kitas šiuo reglamentu vykdomajam direktoriui priskirtas užduotis.

6.Prireikus, atsižvelgdamas į ENISA tikslus ir užduotis, vykdomasis direktorius gali steigti ad hoc darbo grupes, sudarytas iš ekspertų, įskaitant ekspertus iš valstybių narių kompetentingų institucijų. Vykdomasis direktorius apie tai iš anksto praneša Valdančiajai tarybai. Procedūros, visų pirma susijusios su darbo grupių sudėtimi, vykdomojo direktoriaus vykdomu darbo grupių ekspertų skyrimu ir darbo grupių veikla, nustatomos ENISA vidaus darbo tvarkos taisyklėse.

7.Prireikus, siekiant veiksmingai ir efektyviai vykdyti ENISA užduotis, remdamasis atitinkama sąnaudų ir naudos analize, vykdomasis direktorius gali nuspręsti vienoje arba keliose valstybėse narėse įsteigti vieną arba kelis vietos skyrius. Prieš nuspręsdamas įsteigti vietos skyrių, vykdomasis direktorius prašo atitinkamos (-ų) valstybės (-ių) narės (-ių), įskaitant valstybę narę, kurioje yra ENISA būstinė, nuomonės ir gauna išankstinį Komisijos ir Valdančiosios tarybos pritarimą. Tais atvejais, kai vykdomojo direktoriaus ir atitinkamų valstybių narių konsultavimosi procese kyla nesutarimų, klausimas perduodamas svarstyti Tarybai. Darbuotojų skaičius visuose vietos skyriuose turi būti kuo mažesnis ir turi neviršyti 40 % bendro ENISA darbuotojų skaičiaus valstybėje narėje, kurioje yra ENISA būstinė. Darbuotojų skaičius kiekviename vietos skyriuje turi neviršyti 10 % bendro ENISA darbuotojų skaičiaus valstybėje narėje, kurioje yra ENISA būstinė.

8.Vietos skyriuje vykdytinos veiklos apimtis sprendime įsteigti vietos skyrių nustatoma taip, kad būtų išvengta nebūtinų išlaidų ir ENISA administracinių funkcijų dubliavimo.

4 skirsnis 
Vykdomojo direktoriaus pavaduotojas

33 straipsnis
Vykdomojo direktoriaus pavaduotojas

1.Valdančioji taryba gali nuspręsti sukurti vykdomojo direktoriaus pavaduotojo, kuris padėtų vykdomajam direktoriui, pareigybę.

2.Jei Valdančioji taryba nusprendžia sukurti vykdomojo direktoriaus pavaduotojo pareigybę, jam atitinkamai taikomos 31 straipsnio nuostatos.

34 straipsnis
Vykdomojo direktoriaus pavaduotojo užduotys ir atsakomybės sritys

Vykdomojo direktoriaus pavaduotojas padeda vykdomajam direktoriui valdyti ENISA ir vykdyti 32 straipsnyje nurodytas užduotis. Jei vykdomojo direktoriaus nėra arba jis negali eiti savo pareigų, arba jo vieta yra laisva, vykdomojo direktoriaus pavaduotojas eina savo pareigas tuo metu, kai jo nėra, arba tol, kol į laisvą vietą paskiriamas kitas asmuo.

5 skirsnis 
ENISA patariamoji grupė

35 straipsnis
ENISA patariamoji grupė

1.Valdančioji taryba, remdamasi vykdomojo direktoriaus pasiūlymu, skaidriai įsteigia ENISA patariamąją grupę. ENISA patariamąją grupę sudaro pripažinti ekspertai, atstovaujantys atitinkamiems suinteresuotiesiems subjektams, pavyzdžiui, kibernetinio saugumo sektoriui, IRT sektoriui, MVĮ, Direktyvos (ES) 2022/2555 I ir II prieduose išvardytuose sektoriuose veikiantiems subjektams, produktų su skaitmeniniais elementais gamintojams ir atvirosios programinės įrangos valdytojams, kaip tai suprantama pagal Reglamentą (ES) 2024/2847, atitikties vertinimo įstaigoms, notifikuotoms pagal 93 straipsnyje nurodytą Europos kibernetinio saugumo sertifikavimo sistemą ir Reglamentą (ES) 2024/2847, elektroninės atpažinties priemonių srityje veikiantiems subjektams, vartotojų grupėms, kibernetinio saugumo srities akademiniams ekspertams, Europos standartizacijos organizacijoms, taip pat teisėsaugos ir duomenų apsaugos priežiūros institucijoms. Tie pripažinti ekspertai turi būti valstybių narių piliečiai. Valdančioji taryba stengiasi užtikrinti tinkamą lyčių bei geografinę pusiausvyrą, taip pat pusiausvyrą tarp įvairių suinteresuotųjų subjektų grupių.

2.ENISA patariamosios grupės procedūros, visų pirma dėl šios grupės sudėties, 1 dalyje nurodyto vykdomojo direktoriaus pasiūlymo, dydžio, jos narių skyrimo ir ENISA patariamosios grupės veiklos, nustatomos ENISA vidaus darbo tvarkos taisyklėse ir skelbiamos viešai.

3.ENISA patariamajai grupei pirmininkauja vykdomasis direktorius arba kitas vykdomojo direktoriaus kiekvienu atveju atskirai paskirtas asmuo.

4.ENISA patariamosios grupės nariai skiriami dvejų su puse metų kadencijai, kuri gali būti pratęsta vieną kartą. Valdančiosios tarybos nariai negali būti ENISA patariamosios grupės nariais. Komisijos ir valstybių narių ekspertai turi teisę dalyvauti ENISA patariamosios grupės posėdžiuose ir jos veikloje. Vykdomasis direktorius gali kviesti kitų įstaigų atstovus, kurie nėra ENISA patariamosios grupės nariai, dalyvauti ENISA patariamosios grupės posėdžiuose ir jos veikloje.

5.ENISA patariamoji grupė pataria ENISA jos užduočių vykdymo klausimais, išskyrus šio reglamento III, IV ir V antraštinių dalių nuostatų taikymą. Ji visų pirma pataria vykdomajam direktoriui dėl ENISA metinės darbo programos pasiūlymo rengimo ir dėl to, kaip užtikrinti ryšius su atitinkamais suinteresuotaisiais subjektais su metine darbo programa susijusiais klausimais.

6.ENISA patariamoji grupė apie savo veiklą nuolat informuoja Valdančiąją tarybą.

7.ENISA teikia ENISA patariamajai grupei reikalingą logistinę paramą ir sekretoriato paslaugas jos posėdžiams.

6 skirsnis 
Apeliacinė taryba

36 straipsnis
Apeliacinės tarybos įsteigimas ir sudėtis

1.ENISA Valdančiosios tarybos sprendimu įsteigia Apeliacinę tarybą.

2.Apeliacinę tarybą sudaro pirmininkas ir trys kiti nariai. Kiekvienas Apeliacinės tarybos narys turi pakaitinį narį. Tikrajam nariui nedalyvaujant, jam atstovauja pakaitinis narys.

3.Pirmininką, kitus narius ir jų pakaitinius narius skiria Valdančioji taryba iš Komisijos sudaryto kvalifikuotų kandidatų sąrašo. Kvalifikuotų kandidatų sąrašas galioja ketverius metus. Šio sąrašo galiojimą Valdančioji taryba, remdamasi Komisijos pasiūlymu, gali pratęsti papildomiems ketverių metų laikotarpiams.

4.Kai Apeliacinė taryba mano, kad to reikia dėl apeliacinio skundo pobūdžio, ji gali paprašyti Valdančiosios tarybos paskirti dar du narius ir jų pakaitinius narius iš 3 dalyje nurodyto sąrašo.

5.Apeliacinė taryba priima savo darbo tvarkos taisykles ir jas paskelbia viešai.

37 straipsnis
Apeliacinės tarybos nariai

1.Apeliacinės tarybos nariai ir pakaitiniai nariai skiriami ketverių metų kadencijai. Jų kadenciją Valdančioji taryba, remdamasi Komisijos pasiūlymu, gali pratęsti papildomiems ketverių metų laikotarpiams.

2.Apeliacinės tarybos nariai veikia nepriklausomai ir ENISA neina jokių kitų pareigų. Priimdami sprendimus jie nesiekia gauti ir nepriima jokios vyriausybės, kitos įstaigos ar privataus subjekto nurodymų.

3.Kadencijos metu Apeliacinės tarybos nariai negali būti pašalinti iš pareigų arba išbraukti iš kvalifikuotų kandidatų sąrašo, išskyrus atvejus, kai tokiam pašalinimui arba išbraukimui yra rimtų priežasčių ir kai Valdančioji taryba, remdamasi Komisijos pasiūlymu, priima atitinkamą sprendimą.

38 straipsnis
Pašalinimas ir prieštaravimas

1.Apeliacinės tarybos nariai apeliaciniame procese nedalyvauja, jei jie turi su ja susijusių asmeninių interesų, yra anksčiau atstovavę vienai iš proceso šalių arba dalyvavo priimant sprendimą, dėl kurio pateiktas apeliacinis skundas.

2.Kai dėl vienos iš 1 dalyje išvardytų ar bet kurių kitų priežasčių Apeliacinės tarybos narys mano, jog neturėtų dalyvauti apeliaciniame procese, apie tai jis atitinkamai praneša Apeliacinei tarybai.

3.Bet kuri apeliacinio proceso šalis gali prieštarauti dėl bet kurio Apeliacinės tarybos nario dalyvavimo, remdamasi bet kuria iš 1 dalyje nurodytų priežasčių arba kilus įtarimui dėl nario šališkumo. Toks prieštaravimas yra nepriimtinas, jei apeliacinio proceso šalis, nors ir žinodama apie prieštaravimo priežastis, ėmėsi procedūrinio veiksmo. Joks prieštaravimas negali būti grindžiamas Apeliacinės komisijos narių pilietybe.

4.Apeliacinė taryba sprendimą dėl veiksmų, kurių reikia imtis 2 ir 3 dalyse nurodytais atvejais, priima nedalyvaujant atitinkamam jos nariui. Tam sprendimui priimti atitinkamą narį Apeliacinėje taryboje pakeičia jo pakaitinis narys.

39 straipsnis
Apeliaciniai skundai prieš sprendimus ir neveikimą

1.Apeliacinei tarybai galima pateikti apeliacinį skundą:

a)dėl sprendimų, kuriuos ENISA priėmė pagal 22 straipsnio 3 dalį;

b)dėl to, kad ENISA nesiėmė veiksmų per 22 straipsnio 4 dalyje nustatytus terminus.

2.Pagal 1 dalį pateiktas apeliacinis skundas, prieš pateikiant jį nagrinėti Apeliacinei tarybai, preliminariai peržiūrimas pagal 41 straipsnį.

3.Pagal 1 dalį pateikus apeliacinį skundą, sprendimas nenustoja galioti.

40 straipsnis
Asmenys, turintys teisę pateikti apeliacinį skundą, terminas ir forma

1.21 straipsnio 3 dalyje nurodyti pareiškėjai gali pateikti apeliacinį skundą:

a)dėl jiems skirto ENISA sprendimo, priimto pagal 22 straipsnio 3 dalį;

b)dėl to, kad ENISA nesiėmė veiksmų dėl jų ENISA pateikto prašymo per 22 straipsnio 4 dalyje nustatytus terminus.

2.1 dalies a punkte nurodytu atveju apeliacinis skundas kartu su jo pagrindimu pateikiamas raštu, laikantis 36 straipsnio 5 dalyje nurodytų darbo tvarkos taisyklių, per du mėnesius nuo pranešimo atitinkamam pareiškėjui apie sprendimą pateikimo dienos arba, jei to nebuvo padaryta, nuo tos dienos, kai pareiškėjas sužinojo apie sprendimą.

3.1 dalies b punkte nurodytu atveju apeliacinis skundas ENISA pateikiamas raštu pagal 36 straipsnio 5 dalyje nurodytas darbo tvarkos taisykles per du mėnesius nuo 22 straipsnio 4 dalyje nustatyto termino pabaigos.

41 straipsnis
Tarpinė peržiūra

1.Jei ENISA mano, kad apeliacinis skundas yra priimtinas ir tinkamai pagrįstas, ji pataiso 40 straipsnio 1 dalyje nurodytą sprendimą ar padėtį, susijusią su tuo, kad nebuvo imtasi veiksmų.

2.Jei ENISA nepataiso sprendimo per vieną mėnesį nuo apeliacinio skundo gavimo dienos, ji nedelsdama nusprendžia, ar nereikėtų sustabdyti jos sprendimo vykdymo, ir perduoda skundą Apeliacinei tarybai.

42 straipsnis
Sprendimų dėl apeliacinių skundų nagrinėjimas

1.Apeliacinė taryba priima sprendimą dėl apeliacinio skundo patenkinimo ar atmetimo per tris mėnesius nuo to apeliacinio skundo pateikimo. Nagrinėdama apeliacinį skundą, Apeliacinė taryba veikia laikydamasi savo darbo tvarkos taisyklėse nustatytų terminų. Ji kviečia (tiek kartų, kiek reikia) apeliacinio proceso šalis per nurodytus laikotarpius pareikšti pastabas dėl jos ar kitų apeliacinio proceso šalių pranešimų. Apeliacinio proceso šalys turi teisę pateikti paaiškinimus žodžiu.

2.Jeigu Apeliacinė taryba nustato, kad priežastys pateikti apeliacinį skundą yra pagrįstos, ji perduoda bylą ENISA. ENISA priima savo galutinį sprendimą, atitinkantį Apeliacinės tarybos išvadas, ir pateikia to sprendimo motyvų pareiškimą. ENISA atitinkamai informuoja apie tai apeliacinio proceso šalis.

43 straipsnis
Ieškinių pareiškimas Europos Sąjungos Teisingumo Teisme

1.Ieškiniai dėl ENISA sprendimų, priimtų pagal 22 straipsnio 3 dalį, panaikinimo arba ieškiniai dėl neveikimo per 22 straipsnio 4 dalyje nustatytus terminus gali būti pareikšti Europos Sąjungos Teisingumo Teismui tik po to, kai įvykdoma 39–42 straipsniuose nustatyta ENISA taikoma apeliacinė procedūra arba jei nesiimama veiksmų per 41 straipsnio 2 dalyje nustatytą terminą.

2.ENISA imasi visų būtinų priemonių Europos Sąjungos Teisingumo Teismo sprendimui vykdyti.

7 skirsnis 
Operacijos

44 straipsnis
Bendrasis programavimo dokumentas

1.ENISA vykdo savo veiklą pagal bendrąjį programavimo dokumentą, į kurį įtraukiamos jos metinė bei daugiametė darbo programos, apimančios visą jos planuojamą veiklą.

2.Vykdomasis direktorius, vadovaudamasis Komisijos deleguotojo reglamento (ES) 2019/715 74 32 straipsniu ir atsižvelgdamas į Komisijos nustatytas gaires, kasmet parengia 1 dalyje nurodytą bendrojo programavimo dokumento projektą, kuriame pateikiami atitinkami žmogiškųjų ir finansinių išteklių planai.

3.Valdančioji taryba, atsižvelgdama į Komisijos nuomonę, nurodytą Deleguotojo reglamento (ES) 2019/715 32 straipsnio 7 dalyje, ne vėliau kaip kiekvienų metų lapkričio 30 d. priima 1 dalyje nurodytą bendrąjį programavimo dokumentą. Jei Valdančioji taryba nusprendžia neatsižvelgti į kurį nors Komisijos nuomonėje nurodytą aspektą, ji pateikia išsamų tokio sprendimo pagrindimą. Valdančioji taryba kasmet ne vėliau kaip kitų metų sausio 31 d. nusiunčia bendrąjį programavimo dokumentą Europos Parlamentui, Tarybai ir Komisijai; ji taip pat nusiunčia jiems visas paskesnes atnaujintas to dokumento versijas.

4.Bendrasis programavimo dokumentas tampa galutiniu galutinai patvirtinus bendrąjį Sąjungos biudžetą, o prireikus atitinkamai pakoreguojamas.

5.Metinėje darbo programoje nustatomi išsamūs tikslai ir tikėtini rezultatai, įskaitant veiklos rezultatų rodiklius. Į ją taip pat įtraukiamas finansuotinų veiksmų aprašas ir nurodomi kiekvienam veiksmui skiriami finansiniai ir žmogiškieji ištekliai, vadovaujantis veikla grindžiamo biudžeto sudarymo ir valdymo principais. Metinė darbo programa turi būti suderinta su 7 dalyje nurodyta daugiamete darbo programa. Joje aiškiai nurodoma, kokios užduotys, palyginti su ankstesniais finansiniais metais, buvo įtrauktos, pakeistos arba išbrauktos.

6.Jei ENISA paskiriama nauja užduotis, Valdančioji taryba iš dalies pakeičia priimtą metinę darbo programą. Visi esminiai metinės darbo programos pakeitimai priimami laikantis tokios pačios tvarkos, kuri taikoma priimant pirminę metinę darbo programą. Valdančioji taryba gali perduoti vykdomajam direktoriui įgaliojimus atlikti neesminius metinės darbo programos pakeitimus.

7.Daugiametėje darbo programoje nustatomos bendro strateginio programavimo nuostatos, įskaitant tikslus, numatomus rezultatus ir veiklos rezultatų rodiklius. Joje taip pat nustatomas išteklių, įskaitant daugiametį biudžetą ir darbuotojus, programavimas.

8.Išteklių programavimas kasmet atnaujinamas. Strateginis programavimas, kai tikslinga, atnaujinamas, visų pirma, kai reikia atsižvelgti į 120 straipsnyje nurodyto vertinimo rezultatus.

IV SKYRIUS 
ENISA biudžeto sudarymas ir struktūra

45 straipsnis
ENISA biudžeto sudarymas

1.Kiekvienais metais vykdomasis direktorius parengia preliminarų kitų finansinių metų ENISA pajamų ir išlaidų sąmatos projektą, į kurį įtraukia ir etatų planą, ir išsiunčia jį Valdančiajai tarybai.

2.Preliminarus sąmatos projektas grindžiamas metinės darbo programos tikslais ir numatomais rezultatais ir jį rengiant atsižvelgiama į finansinius išteklius, būtinus tiems tikslams ir numatomiems rezultatams pasiekti, laikantis patikimo finansų valdymo principo ir rezultatais grindžiamo biudžeto sudarymo principo.

3.Remdamasi preliminariu sąmatos projektu, Valdančioji taryba priima kitų finansinių metų ENISA pajamų ir išlaidų sąmatos projektą ir ne vėliau kaip kiekvienų metų sausio 31 d. išsiunčia jį Komisijai.

4.Komisija sąmatos projektą kartu su Sąjungos bendrojo biudžeto projektu išsiunčia biudžeto valdymo institucijai. ENISA taip pat gali susipažinti su šiuo sąmatos projektu.

5.Remdamasi sąmatos projektu, Komisija į Sąjungos bendrojo biudžeto projektą, kurį pagal SESV 313 ir 314 straipsnius pateikia biudžeto valdymo institucijai, įtraukia sumas, jos nuomone, reikalingas etatų planui, ir įnašo, kuris bus mokamas iš Sąjungos bendrojo biudžeto, sumą.

6.Biudžeto valdymo institucija patvirtina ENISA skiriamo įnašo iš Sąjungos bendrojo biudžeto asignavimus.

7.Biudžeto valdymo institucija priima ENISA etatų planą.

8.Valdančioji taryba priima ENISA biudžetą. Jis tampa galutiniu po to, kai galutinai priimamas Sąjungos bendrasis biudžetas, ir prireikus jis atitinkamai pakoreguojamas.

9.Jei tam tikras statybos projektas gali reikšmingai paveikti ENISA biudžetą, taikomas Deleguotasis reglamentas (ES) 2019/715.

46 straipsnis
ENISA biudžeto struktūra

1.Visų ENISA pajamų ir išlaidų sąmata rengiama kiekvienais finansiniais metais ir pateikiama ENISA biudžete. Finansiniai metai atitinka kalendorinius metus.

2.ENISA biudžeto pajamos ir išlaidos turi būti subalansuotos.

3.Nedarant poveikio kitiems ištekliams, ENISA pajamas sudaro:

a)į Sąjungos bendrąjį biudžetą įtrauktas Sąjungos įnašas;

b)pajamos, asignuotos konkretiems išlaidų straipsniams pagal 50 straipsnyje nurodytas jos finansines taisykles;

c)Sąjungos finansavimas, teikiamas sudarant susitarimus dėl įnašų ar skiriant ad hoc dotacijas pagal 50 straipsnyje nurodytas ENISA finansines taisykles ir pagal atitinkamų Sąjungos politikos rėmimo priemonių nuostatas;

d)mokesčiai, taikomi pareiškėjams už veiklą, susijusią su 22 straipsnio 1 dalyje nurodytomis Europos individualių kibernetinio saugumo įgūdžių atestavimo schemomis;

e)mokesčiai, kuriuos atitikties vertinimo įstaigos moka už dalyvavimą Europos kibernetinio saugumo sertifikatų sistemoje, nurodytoje 47 straipsnio 2 dalyje, ir už Europos kibernetinio saugumo sertifikatų išdavimą;

f)mokesčiai, taikomi valdžios institucijoms ar privačioms įstaigoms už testavimo priemones, kaip nurodyta 47 straipsnio 3 dalyje;

g)trečiųjų valstybių, dalyvaujančių ENISA veikloje, kaip nustatyta 70 straipsnio 4 dalyje, įnašas;

h)savanoriški valstybių narių įnašai pinigais arba natūra.

4.Savanoriškus įnašus pagal 3 dalies g punktą teikiančios valstybės narės dėl to nereikalauja jokių ypatingų teisių ar paslaugų.

5.ENISA išlaidas sudaro darbuotojų darbo užmokestis, administracinės bei infrastruktūros išlaidos ir veiklos išlaidos.

47 straipsnis
Mokesčiai

1.Siekiant prisidėti prie visų ENISA vykdomos veiklos išlaidų padengimo, dėl kiekvienos 22 straipsnio 1 dalyje nurodytos Europos atestavimo schemos veiklos iš 21 straipsnio 3 dalyje nurodytų pareiškėjų arba įgaliotųjų atestavimo pažymėjimų teikėjų renkami šie mokesčiai už:

a)leidimų išdavimą išnagrinėjus 21 straipsnio 3 ir 4 dalyse nustatytus reikalavimus ir atlikus vertinimus;

b)kasmetinį leidimo galiojimo pratęsimą;

c)Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėjų leidimų atnaujinimą, be kita ko, už vertinimų atlikimą.

2.Už Europos kibernetinio saugumo sertifikavimo schemų, pagal kurias išduodami Europos kibernetinio saugumo sertifikatai, priežiūrą atitikties vertinimo įstaigoms taikomi šie su sertifikavimu susiję mokesčiai, konkrečiai:

a)metinis mokestis už dalyvavimą Europos kibernetinio saugumo sertifikavimo schemoje;

b)mokestis už Europos kibernetinio saugumo sertifikatų išdavimą pagal Europos kibernetinio saugumo sertifikavimo schemas.

b punkte nurodyti mokesčiai renkami, kai atitikties vertinimo įstaiga pateikia Europos kibernetinio saugumo sertifikatus ENISA, kad pagal 79 straipsnį jie būtų paskelbti jos interneto svetainėje.

3.Iš visų valdžios institucijų ir privačių įstaigų imamas mokestis už 15 straipsnio 1 dalyje nurodytų testavimo priemonių naudojimą.

4.Mokesčiai nurodomi ir mokami eurais.

5.Komisija priima įgyvendinimo aktus, kuriuose išdėstomos išsamios taisyklės dėl ENISA rinktinų mokesčių nustatymo, visų pirma nurodant numatomas išlaidas, priskirtinas kiekvienam dalykui, už kurį pagal 1, 2 ir 3 dalis turi būti mokami mokesčiai, ir mokėtinų atskirų mokesčių dydį, taip pat būdus ir sąlygas, kuriais tie mokesčiai turėtų būti mokami. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros. Rengdama tuos įgyvendinimo aktų projektus Komisija konsultuojasi su ENISA.

6.5 dalyje nurodytais įgyvendinimo aktais nustatyti mokesčiai nustatomi iš anksto, proporcingai numatomoms ekonomiškai efektyviu būdu nustatytoms vykdomos veiklos ar teikiamų paslaugų sąnaudoms ir yra pakankami toms sąnaudoms padengti. Padengtinose sąnaudose atsispindi visos ENISA išlaidos, susijusios su darbuotojais, dalyvaujančiais 1, 2 ir 3 dalyse nurodytoje veikloje. Mokesčiai nustatomi tokio dydžio, kad būtų išvengta ENISA biudžeto deficito arba didelio biudžeto pertekliaus susidarymo. Iš mokesčių susidaręs biudžeto perteklius perkeliamas ENISA veiklai, visų pirma būsimai su mokesčiais susijusiai veiklai, finansuoti arba patirtiems nuostoliams kompensuoti. Jei didelis teigiamas biudžeto balansas, atsiradęs dėl veiklos, kuriai taikomi mokesčiai, pasikartoja arba jei susidaro didelis neigiamas balansas dėl paslaugų, kurioms taikomi mokesčiai, teikimo, Komisija iš dalies pakeičia 5 dalyje nurodytus įgyvendinimo aktus, kad būtų peržiūrėtas mokesčių apskaičiavimo metodas pagal 118 straipsnio 2 dalį.

Nustatoma tokio dydžio mokesčių už 1 dalyje nurodytas užduotis suma, kad būtų užtikrinta, jog iš jų gaunamos pajamos pakankamai padėtų padengti veiklos, susijusios su Europos individualių atestavimo schemų kūrimu ir priežiūra, paraiškų tvarkymu ir leidimų išdavimu bei atnaujinimu ir būtinos tai ENISA priežiūros veiklai, išlaidas.

Nustatoma tokio dydžio mokesčių už 2 dalyje nurodytas užduotis suma, kad būtų užtikrinta, jog iš jų gaunamos pajamos pakankamai padėtų padengti visas veiklos, susijusios su 75 straipsnyje nustatyta Europos kibernetinio saugumo sertifikavimo schemų priežiūra, išlaidas.

Nustatoma tokio dydžio mokesčių už 3 dalyje nurodytas užduotis suma, kad būtų užtikrinta, jog iš jų gaunamos pajamos pakankamai padėtų padengti veiklos, susijusios su testavimo priemonių teikimu, kaip nustatyta 15 straipsnio 1 dalyje, išlaidas.

7.Vykdydama 50 straipsnyje nustatytą finansinių ataskaitų pateikimo procedūrą, ENISA teikia ataskaitą apie taikomus mokesčius ir jų poveikį jos biudžetui.

8.ENISA nustato rodiklius darbo krūviui, veiksmingumui ir efektyvumui, susijusiems su iš mokesčių finansuojama veikla, įvertinti. ENISA atitinkamai pritaiko savo personalo planavimą ir su mokesčiais susijusių išteklių valdymą, kad galėtų tinkamai reaguoti į tokią paklausą ir bet kokius pajamų iš mokesčių svyravimus. ENISA bendrina ataskaitą su Komisija ir Komisija gali ją naudoti 120 straipsnio 1 dalyje nurodyto vertinimo tikslais.

48 straipsnis
Biudžeto vykdymas

1.Už ENISA biudžeto vykdymą atsako vykdomasis direktorius ir jis veikia kaip leidimus suteikiantis pareigūnas.

2.Komisijos vidaus auditorius ENISA atžvilgiu naudojasi tais pačiais įgaliojimais, kaip ir Komisijos departamentų atžvilgiu.

3.Vykdomasis direktorius kasmet perduoda biudžeto valdymo institucijai visą informaciją, reikalingą vertinimo procedūrų išvadoms parengti.

49 straipsnis
Finansinių ataskaitų pateikimas ir biudžeto įvykdymo patvirtinimas

1.Ne vėliau kaip kovo 1 d. po kiekvienų finansinių metų (N + 1 metų) ENISA apskaitos pareigūnas Komisijos apskaitos pareigūnui ir Audito Rūmams nusiunčia preliminarias finansinių metų (N metai) finansines ataskaitas.

2.Ne vėliau kaip N + 1 metų kovo 1 d. ENISA apskaitos pareigūnas Komisijos apskaitos pareigūnui pastarojo nustatytu būdu ir formatu taip pat pateikia konsolidavimo tikslais reikalingą apskaitos informaciją.

3.Ne vėliau kaip N + 1 metų kovo 31 d. ENISA išsiunčia Europos Parlamentui, Tarybai, Komisijai ir Audito Rūmams N metų biudžeto ir finansų valdymo ataskaitą.

4.Gavęs Audito Rūmų pastabas dėl ENISA N metų preliminariųjų ataskaitų, ENISA apskaitos pareigūnas savo atsakomybe parengia ENISA galutines ataskaitas. Vykdomasis direktorius jas pateikia Valdančiajai tarybai, kad ji pareikštų nuomonę.

5.Valdančioji taryba pateikia nuomonę dėl ENISA N metų galutinių finansinių ataskaitų.

6.Ne vėliau kaip N + 1 metų liepos 1 d. ENISA apskaitos pareigūnas N metų galutines finansines ataskaitas kartu su Valdančiosios tarybos nuomone nusiunčia Europos Parlamentui, Tarybai, Komisijai ir Audito Rūmams.

7.Nuoroda į tinklalapius, kuriuose pateikiamos ENISA galutinės ataskaitos, Europos Sąjungos oficialiajame leidinyje paskelbiama ne vėliau kaip N + 1 metų lapkričio 15 d.

8.Ne vėliau kaip N + 1 metų rugsėjo 30 d. vykdomasis direktorius išsiunčia Audito Rūmams atsakymą į jų metinėje ataskaitoje pateiktas pastabas. Šį atsakymą vykdomasis direktorius taip pat išsiunčia Valdančiajai tarybai ir Komisijai.

9.Europos Parlamento prašymu vykdomasis direktorius pateikia jam visą informaciją, kurios reikia, kad būtų užtikrinta sklandi N metų biudžeto įvykdymo patvirtinimo procedūra pagal Europos Parlamento ir Tarybos reglamento (ES, Euratomas) 2024/2509 267 straipsnio 3 dalį.

10.Iki N + 2 metų gegužės 15 d. Europos Parlamentas, remdamasis Tarybos kvalifikuota balsų dauguma priimta rekomendacija, patvirtina vykdomajam direktoriui, kad N finansinių metų biudžetas įvykdytas.

50 straipsnis
Finansinės taisyklės

1.Pasikonsultavusi su Komisija, Valdančioji taryba priima ENISA taikytinas finansines taisykles. Jos negali nukrypti nuo Deleguotojo reglamento (ES) 2019/715, nebent taip nukrypti aiškiai reikia dėl ENISA veiklos ir yra gautas išankstinis Komisijos sutikimas.

2.ENISA sudaro ir vykdo savo biudžetą laikydamasi savo finansinių taisyklių ir Reglamento (ES, Euratomas) 2024/2509.

51 straipsnis
Kova su sukčiavimu

1.Siekiant kovoti su sukčiavimu, korupcija ir kita neteisėta veikla, ENISA veiklai be apribojimų taikomos Europos Parlamento ir Tarybos reglamento (ES, Euratomas) Nr. 883/2013 75 nuostatos.

2.Per šešis mėnesius nuo [Leidinių biurui – įrašyti tikslią datą, nurodytą 127 straipsnyje] ENISA prisijungia prie 1999 m. gegužės 25 d. Tarpinstitucinio susitarimo tarp Europos Parlamento, Europos Sąjungos Tarybos ir Europos Bendrijų Komisijos dėl Europos kovos su sukčiavimu tarnybos (OLAF) atliekamų vidaus tyrimų 76 ir, naudodama to susitarimo priede pateiktą šabloną, priima atitinkamas jos darbuotojams taikomas nuostatas.

3.Audito Rūmai turi įgaliojimus atlikti visų dotacijų gavėjų, rangovų ir subrangovų, kurie iš ENISA yra gavę Sąjungos lėšų, auditą remdamiesi dokumentais ir patikromis vietoje.

4.Vadovaudamasi Reglamento (EB) Nr. 883/2013 ir Tarybos reglamento (Euratomas, EB) Nr. 2185/96 77 nuostatomis ir procedūromis, Europos kovos su sukčiavimu tarnyba (OLAF) gali atlikti tyrimus, įskaitant patikras vietoje ir patikrinimus, kad siekdama nustatyti sukčiavimo, korupcijos arba bet kokios kitos neteisėtos veiklos, kenkiančios Sąjungos finansiniams interesams, atvejus, susijusius su ENISA finansuojama dotacija arba sutartimi.

5.Nedarant poveikio 1–4 dalims, su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis sudarytuose bendradarbiavimo susitarimuose, ENISA sutartyse, susitarimuose dėl dotacijų ir sprendimuose dėl dotacijų pateikiamos nuostatos, kuriomis Audito Rūmams ir OLAF aiškiai suteikiami įgaliojimai atlikti tokį auditą ir tyrimus atsižvelgiant į jų atitinkamą kompetenciją.

6.Pagal Tarybos reglamentą (ES) 2017/1939 Europos prokuratūra gali tirti sukčiavimo ir kitos neteisėtos veiklos atvejus, kenkiančius Sąjungos finansiniams interesams, kaip nustatyta Europos Parlamento ir Tarybos direktyvoje (ES) 2017/1371 78 , ir vykdyti baudžiamąjį persekiojimą.

52 straipsnis
Interesų deklaravimas

1.Kiekvienas Valdančiosios tarybos narys, vykdomasis direktorius, vykdomojo direktoriaus pavaduotojas ir valstybių narių laikinai deleguoti pareigūnai pateikia įsipareigojimų deklaraciją ir deklaraciją, kurioje nurodoma, ar jie turi tiesioginių arba netiesioginių interesų, kurie galėtų būti laikomi trukdančiais jų nepriklausomumui. Deklaracijos turi būti tikslios ir išsamios, pateikiamos kasmet raštu ir, esant būtinybei, atnaujinamos.

2.Kiekvienas Valdančiosios tarybos narys, vykdomasis direktorius, vykdomojo direktoriaus pavaduotojas ir ad hoc darbo grupėse dalyvaujantys išorės ekspertai ne vėliau kaip kiekvieno posėdžio pradžioje tiksliai ir išsamiai deklaruoja visus su darbotvarkės punktais susijusius interesus, kurie galėtų būti laikomi trukdančiais jų nepriklausomumui, ir nedalyvauja diskusijose bei balsavime dėl tokių punktų.

3.ENISA savo vidaus darbo tvarkos taisyklėse nustato praktines priemones, susijusias su taisyklėmis dėl 1 ir 2 dalyse nurodytų interesų deklaracijų.

53 straipsnis
Skaidrumas

1.ENISA vykdo savo veiklą itin skaidriai ir laikydamasi 55 straipsnio.

2.ENISA užtikrina, kad visuomenė ir visos suinteresuotosios šalys gautų tinkamą, objektyvią, patikimą ir lengvai prieinamą informaciją, ypač kiek ji susijusi su jos veiklos rezultatais. Ji taip pat viešai skelbia pagal 52 straipsnį pateiktas interesų deklaracijas.

3.Valdančioji taryba, remdamasi vykdomojo direktoriaus pasiūlymu, gali leisti suinteresuotosioms šalims stebėti, kaip vykdoma tam tikra ENISA veikla.

4.ENISA savo vidaus darbo tvarkos taisyklėse nustato praktines priemones 1 ir 2 dalyse nurodytoms skaidrumo taisyklėms įgyvendinti.

54 straipsnis
ENISA veiklos konfidencialumas

1.Nedarant poveikio 55 straipsniui, ENISA neatskleidžia trečiosioms šalims informacijos, kurią ji tvarko arba gauna ir kurią pateiktame pagrįstame prašyme paprašyta laikyti konfidencialia.

2.Valdančiosios tarybos nariai, vykdomasis direktorius, vykdomojo direktoriaus pavaduotojas, ENISA patariamosios grupės nariai, ad hoc darbo grupėse dalyvaujantys išorės ekspertai ir ENISA darbuotojai, įskaitant valstybių narių laikinai deleguotus pareigūnus, laikosi konfidencialumo reikalavimų pagal SESV 339 straipsnį net ir nustoję eiti savo pareigas.

3.ENISA savo vidaus darbo tvarkos taisyklėse nustato praktines priemones 1 ir 2 dalyse nurodytoms konfidencialumo taisyklėms įgyvendinti.

55 straipsnis
Galimybė susipažinti su dokumentais

1.ENISA turimiems dokumentams taikomas Reglamentas (EB) Nr. 1049/2001.

2.Valdančioji taryba priima Reglamento (EB) Nr. 1049/2001 įgyvendinimo priemones.

3.Dėl sprendimų, kuriuos priima ENISA pagal Reglamento (EB) Nr. 1049/2001 8 straipsnį, gali būti teikiamas skundas Europos ombudsmenui pagal SESV 228 straipsnį arba ieškinys Europos Sąjungos Teisingumo Teismui pagal SESV 263 straipsnį.

V SKYRIUS 
Darbuotojai ir ryšių palaikymo pareigūnai

56 straipsnis
Bendrosios nuostatos

1.ENISA darbuotojams taikomi Pareigūnų tarnybos nuostatai ir kitų tarnautojų įdarbinimo sąlygos ir Sąjungos institucijų tarpusavio susitarimu priimtos tų Pareigūnų tarnybos nuostatų ir kitų tarnautojų įdarbinimo sąlygų įgyvendinimo taisyklės.

2.ENISA darbuotojams, ryšių palaikymo pareigūnams ir į ENISA deleguotiems nacionaliniams ekspertams taikoma atitinkama patikimumo patikrinimo tvarka.

57 straipsnis
Privilegijos ir imunitetai

ENISA ir jos darbuotojams taikomas prie SESV pridėtas Protokolas Nr. 7 dėl Europos Sąjungos privilegijų ir imunitetų.

58 straipsnis
Ryšių palaikymo pareigūnai

1.Kiekviena valstybė narė paskiria bent du ryšių palaikymo pareigūnus iš nacionalinės kompetentingos institucijos, paskirtos pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį, į ENISA deleguotaisiais nacionaliniais ekspertais dirbti jos būstinėje arba vietos biure pagal 59 straipsnio 2 dalį. Ryšių palaikymo pareigūną gali paskirti ir Komisija.

2.Ryšių palaikymo pareigūnai padeda vykdyti ENISA užduotis, be kita ko, palengvindami operatyvinį bendradarbiavimą ir keitimąsi informacija, kaip nurodyta 11 straipsnyje. Ryšių palaikymo pareigūnai taip pat padeda ENISA visoje Sąjungoje skleisti informaciją apie jos veiklą, išvadas ir rekomendacijas atitinkamiems suinteresuotiesiems subjektams. Jie taip pat veikia kaip nacionaliniai kontaktiniai asmenys, kurie tiesiogiai arba per nacionalines institucijas atsako į savo valstybės narės klausimus ir į su jų valstybe nare susijusius klausimus.

3.Savo valstybių narių paskirti nacionaliniai ryšių palaikymo pareigūnai turi teisę prašyti visos svarbios informacijos, kaip numatyta šiame reglamente, ir ją gauti, visapusiškai laikydamiesi valstybės narės nacionalinės teisės ar praktikos, visų pirma kiek tai susiję su duomenų apsauga ir konfidencialumu.

59 straipsnis
Deleguotieji nacionaliniai ekspertai ir kiti darbuotojai

1.ENISA gali naudotis deleguotųjų nacionalinių ekspertų ar kitų darbuotojų, neįdarbintų ENISA, paslaugomis visose savo veiklos srityse. Tokiems darbuotojams netaikomi Tarnybos nuostatai ir Įdarbinimo sąlygos.

2.Valdančioji taryba priima sprendimą, kuriuo nustato nacionalinių ekspertų, įskaitant ryšių palaikymo pareigūnus, delegavimo į ENISA taisykles.

VI SKYRIUS 
BENDROSIOS NUOSTATOS DĖL ENISA

60 straipsnis
ENISA teisinis statusas

1.ENISA yra Sąjungos įstaiga, turinti juridinio asmens statusą.

2.Kiekvienoje valstybėje narėje ENISA naudojasi plačiausiu veiksnumu, suteikiamu juridiniams asmenims pagal valstybės narės nacionalinę teisę. Visų pirma, ji gali įsigyti kilnojamojo ir nekilnojamojo turto arba juo disponuoti, taip pat būti šalimi teismo procese.

3.ENISA atstovauja jos vykdomasis direktorius.

61 straipsnis
Būstinė

ENISA būstinė yra Graikijoje, Atėnuose.

62 straipsnis
Susitarimas dėl būstinės ir veiklos sąlygos

1.ENISA ir valstybės narės, kurioje yra jos būstinė, susitarime dėl būstinės, sudarytame gavus Valdančiosios tarybos patvirtinimą, nustatomos reikiamos nuostatos dėl ENISA įkūrimo priimančioje valstybėje narėje ir patalpų, kurias turi suteikti ta valstybė narė, taip pat toje priimančiojoje valstybėje narėje ENISA vykdomajam direktoriui, Valdančiosios tarybos nariams, darbuotojams ir jų šeimos nariams taikytinos konkrečios taisyklės.

2.ENISA priimančioji valstybė narė sudaro geriausias įmanomas sąlygas, kad būtų užtikrintas tinkamas ENISA veikimas, atsižvelgiant į vietos prieinamumą, tinkamas galimybes mokytis darbuotojų vaikams, tinkamas galimybes įsidarbinti, naudotis socialinės apsaugos ir sveikatos priežiūros paslaugomis darbuotojų vaikams ir sutuoktiniams.

63 straipsnis
Administracinė kontrolė

ENISA veiklą pagal SESV 228 straipsnį prižiūri Europos ombudsmenas.

64 straipsnis
ENISA atsakomybė

1.ENISA sutartinę atsakomybę reglamentuoja atitinkamai sutarčiai taikytina teisė.

2.Europos Sąjungos Teisingumo Teismas turi jurisdikciją priimti sprendimus pagal bet kurią ENISA sudarytos sutarties nuostatą dėl arbitražo.

3.Nesutartinės atsakomybės atveju ENISA pagal valstybių narių teisės aktams būdingus bendruosius principus atlygina žalą, kurią vykdydama savo pareigas padaro ji pati arba jos darbuotojai.

4.Europos Sąjungos Teisingumo Teismo jurisdikcijai priklauso spręsti ginčus dėl 3 dalyje nurodytos žalos atlyginimo.

5.Asmeninę ENISA tarnautojų atsakomybę ENISA atžvilgiu reglamentuoja jiems taikomų Tarnybos nuostatų arba Įdarbinimo sąlygų nuostatos.

65 straipsnis
Nuostatos dėl kalbų

1.ENISA taikomas Tarybos reglamentas Nr. 1 79 . Valstybės narės ir kitos jų paskirtos įstaigos į ENISA gali kreiptis ir atsakymą gauti jų pasirinkta Sąjungos institucijų oficialiąja kalba.

2.ENISA veiklai reikalingas vertimo raštu ir visas kitas lingvistines paslaugas, išskyrus vertimo žodžiu, teikia Europos Sąjungos įstaigų vertimo centras.

66 straipsnis
Asmens duomenų apsauga

1.ENISA vykdomam asmens duomenų tvarkymui taikomas Reglamentas (ES) 2018/1725.

2.Valdančioji taryba priima Reglamento (ES) 2018/1725 45 straipsnio 3 dalyje nurodytas įgyvendinimo taisykles. Valdančioji taryba gali priimti papildomas priemones, kurių reikia, kad ENISA taikytų Reglamentą (ES) 2018/1725.

67 straipsnis
Saugumo taisyklės dėl neskelbtinos neįslaptintos informacijos ir įslaptintos informacijos apsaugos

Sutarusi su Komisija, ENISA priima saugumo taisykles, pagal kurias taikomi saugumo principai, išdėstyti Komisijos saugumo taisyklėse, skirtose neskelbtinos neįslaptintos informacijos ir ESĮI apsaugai užtikrinti, kaip nustatyta sprendimuose (ES, Euratomas) 2015/443 80 ir (ES, Euratomas) 2015/444 81 . Tos saugumo taisyklės apima nuostatas dėl keitimosi tokia informacija, jos tvarkymo ir saugojimo.

68 straipsnis
Bendradarbiavimas su Sąjungos subjektais ir nacionalinėmis institucijomis

1.Siekdama užtikrinti nuoseklumą, kurti sinergiją ir spręsti bendros svarbos klausimus, ENISA kibernetinio saugumo klausimais bendradarbiauja su CERT-EU ir atitinkamais Sąjungos subjektais, įskaitant Europolą, Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centrą, įsteigtą pagal Reglamentą (ES) 2021/887, ir Europos duomenų apsaugos valdybą, įsteigtą pagal Reglamento (ES) 2016/679 68 straipsnio 1 dalį.

2.1 dalyje nurodytas bendradarbiavimas gali būti užtikrinamas:

a)keičiantis praktine patirtimi ir geriausia praktika;

b)teikiant rekomendacijas ir skelbiant gaires su kibernetiniu saugumu susijusiais klausimais;

c)nustatant praktinę konkrečių užduočių vykdymo tvarką, prieš tai pasikonsultavus su Komisija.

3.ENISA vykdo struktūrinį bendradarbiavimą su CERT-EU, visų pirma klausimais, susijusiais su pajėgumų stiprinimu, operatyviniu bendradarbiavimu ir ilgalaike strategine kibernetinių grėsmių analize.

4.ENISA bendradarbiauja ir keičiasi informacija su atitinkamomis rinkos priežiūros ir kitomis priežiūros institucijomis, paskirtomis pagal kibernetinio saugumo srities Sąjungos teisės aktus, įskaitant Reglamentą (ES) 2024/2847.

69 straipsnis
Bendradarbiavimas su suinteresuotaisiais subjektais

1.Kai tai būtina šio reglamento tikslams pasiekti, ENISA bendradarbiauja su atitinkamais suinteresuotaisiais subjektais, pavyzdžiui, kibernetinio saugumo sektoriumi, IRT sektoriumi, MVĮ, Direktyvos (ES) 2022/2555 I ir II prieduose išvardytuose sektoriuose veikiančiais subjektais, produktų su skaitmeniniais elementais gamintojais, importuotojais ar platintojais, kaip tai nurodyta Reglamente (ES) 2024/2847, atitikties vertinimo įstaigomis, notifikuotomis pagal Europos kibernetinio saugumo sertifikavimo sistemą ir Reglamentą (ES) 2024/2847, elektroninės atpažinties priemonių srityje veikiančiais subjektais, vartotojų grupėmis ir kibernetinio saugumo srities moksliniais ekspertais. Tuo tikslu ENISA gali kurti viešojo ir privačiojo sektorių partnerystes.

2.Konsultuodamasi su Komisija ENISA remia notifikuotųjų atitikties vertinimo įstaigų bendradarbiavimą pagal 93 straipsnį. Visų pirma ji gali sudaryti notifikuotųjų atitikties vertinimo įstaigų grupę, kuri dalytųsi geriausios praktikos pavyzdžiais ir kurtų sinergiją su kitais atitinkamais Sąjungos teisės aktais, ypač su Reglamentu (ES) 2024/2847.

70 straipsnis
Bendradarbiavimas su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis

1.Tiek, kiek būtina šiame reglamente išdėstytiems tikslams pasiekti, ENISA gali bendradarbiauti su trečiųjų valstybių kompetentingomis institucijomis ir (arba) su tarptautinėmis organizacijomis, atsižvelgdama į Sąjungos prioritetus. Tuo tikslu ENISA gali, gavusi Komisijos patvirtinimą, sudaryti darbinius susitarimus su tomis trečiųjų valstybių valdžios institucijomis ir tarptautinėmis organizacijomis. Tais darbiniais susitarimais nesukuriama teisinių pareigų Sąjungai ir jos valstybėms narėms.

2.Valdančioji taryba priima strategiją dėl santykių su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis ENISA kompetencijai priklausančiais klausimais ir atsižvelgdama į 1 dalyje nurodytus prioritetus. Sudarydama tinkamą darbinį susitarimą su vykdomuoju direktoriumi, Komisija užtikrina, kad ENISA veiktų pagal savo įgaliojimus ir esamą institucinę struktūrą.

3.Siekdama remti bendradarbiavimą su trečiosiomis valstybėmis, visų pirma šalimis, kurios yra kandidatės stoti į Sąjungą, ENISA gali teikti pajėgumų stiprinimo ekspertines žinias, visų pirma šiose srityse:

a)kibernetinio saugumo pajėgumų ir išteklių brandos lygio vertinimo;

b)kibernetinio saugumo srities darbuotojų skaičiaus augimo ir jų įgūdžių stiprinimo, be kita ko, propaguojant Europos kibernetinio saugumo įgūdžių sistemą ir Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas bei teikiant mokymosi ir mokymo veiklą;

c)kibernetinio saugumo pratybų planavimo ir vykdymo rėmimo.

4.ENISA veikloje gali dalyvauti trečiosios valstybės, kurios tuo tikslu yra sudariusios susitarimus su Sąjunga. Pagal atitinkamas Sąjungos su trečiosiomis valstybėmis sudarytų susitarimų nuostatas sudaromas darbinis susitarimas, kurį prieš tai turi patvirtinti Komisija ir kuriuo apibrėžiamas, visų pirma, tų trečiųjų valstybių dalyvavimo ENISA veikloje pobūdis, mastas ir būdai, įskaitant nuostatas, susijusias su dalyvavimu ENISA vykdomose iniciatyvose, finansiniais įnašais ir darbuotojais. Tų darbinių susitarimų nuostatos dėl darbuotojų visais atvejais turi atitikti Tarnybos nuostatus ir Įdarbinimo sąlygas.

5.ENISA reguliariai teikia Tarybai ir Komisijai 1 ir 4 dalyse nurodytų darbinių susitarimų įgyvendinimo ataskaitas.

III ANTRAŠTINĖ DALIS

EUROPOS KOBERNETINIO SAUGUMO SERTIFIKAVIMO SISTEMA

I SKYRIUS 
Tikslai, taikymo sritis ir procedūros

71 straipsnis
Europos kibernetinio saugumo sertifikavimo sistemos tikslai ir taikymo sritis

1.Europos kibernetinio saugumo sertifikavimo sistema nustatoma siekiant sukurti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų bendrąją skaitmeninę rinką. Tuo tikslu ji didina kibernetinio saugumo lygį Sąjungoje ir sudaro sąlygas suderintam požiūriui į Europos kibernetinio saugumo sertifikavimo schemas, taip pat naudoja sertifikavimą, kad būtų lengviau laikytis galiojančių Sąjungos teisės aktų.

2.Europos kibernetinio saugumo sertifikavimo sistemoje numatomas mechanizmas Europos kibernetinio saugumo sertifikavimo schemoms sukurti ir patvirtinti:

a)kad pagal tokias schemas įvertinti IRT produktai, IRT paslaugos ir IRT procesai atitinka nustatytus saugumo reikalavimus, kuriais siekiama apsaugoti saugomų, perduodamų ar tvarkomų duomenų arba tais produktais, paslaugomis ir procesais arba per juos prieinamų funkcijų ar paslaugų prieinamumą, autentiškumą, vientisumą ar konfidencialumą viso jų gyvavimo ciklo metu;

b)kad pagal tokias schemas įvertintos valdomos saugumo paslaugos atitinka nustatytus saugumo reikalavimus, kuriais siekiama apsaugoti duomenų, kurie gaunami, tvarkomi, saugomi ar perduodami teikiant tas paslaugas, prieinamumą, autentiškumą, vientisumą ir konfidencialumą, ir kad tas paslaugas nuolat teikia reikiamą kompetenciją, ekspertines žinias ir patirtį turintys darbuotojai, kurie yra įgiję atitinkamų pakankamo ir tinkamo lygio techninių žinių ir laikosi profesinio sąžiningumo principų;

c)kad pagal tokias schemas įvertinta subjekto kibernetinio saugumo būklė atitinka nustatytus kibernetinio saugumo reikalavimus.

3.Europos kibernetinio saugumo sertifikavimas yra savanoriškas, išskyrus atvejus, kai Sąjungos ar nacionalinėje teisėje nustatyta kitaip.

4.Pagal Europos kibernetinio saugumo sertifikavimo sistemą išduotas Europos kibernetinio saugumo sertifikatas ir ES atitikties pareiškimas automatiškai pripažįstami visose valstybėse narėse.

72 straipsnis
Visuomenės informavimas ir konsultavimasis su ja

1.Bent kartą per metus Komisija, padedama ENISA, organizuoja Europos kibernetinio saugumo sertifikavimo asamblėją, pakviesdama į ją EKSSG narius ir kitus atitinkamus valstybių narių ekspertus, atitinkamus ekspertus iš Sąjungos subjektų ir atitinkamus suinteresuotuosius subjektus aptarti derinimo strateginius prioritetus kibernetinio saugumo sertifikavimo srityje.

2.Komisija prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama informacija apie šiuos aspektus:

a)Europos kibernetinio saugumo sertifikavimo schemas, kurias sukurti prašoma pagal 73 straipsnį;

b)IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų, subjektų kibernetinio saugumo būklės arba Sąjungos teisės aktuose nustatytų saugumo reikalavimų strateginius derinimo prioritetus, įskaitant galimas sritis, kurioms gali būti prašoma sukurti Europos kibernetinio saugumo sertifikavimo schemą.

3.Komisija šio straipsnio 2 dalyje nurodytoje interneto svetainėje viešai skelbia informaciją apie savo prašymą ENISA parengti potencialią schemą, kaip nurodyta 73 straipsnyje, ir savo sprendimą priimti, atmesti potencialią schemą, kurią ENISA perdavė pagal 74 straipsnio 7 dalį, arba jos atsisakyti.

4.ENISA rengiant potencialią schemą pagal 74 straipsnį, Europos Parlamentas ir Taryba gali prašyti Komisijos, kaip EKSSG pirmininkės, ir ENISA pateikti atitinkamą informaciją apie potencialios schemos projektą. Europos Parlamento arba Tarybos prašymu ENISA, susitarusi su Komisija ir nedarant poveikio 54 straipsniui, gali pateikti Europos Parlamentui ir Tarybai atitinkamas potencialios schemos projekto dalis tokiu būdu, kuris atitiktų reikalaujamą konfidencialumo lygį, ir, kai taikytina, su naudojimo apribojimais.

5.Europos Parlamentas ir Taryba gali pakviesti Komisiją ir ENISA aptarti klausimus, susijusius su IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schemų įgyvendinimu.

73 straipsnis
Prašymas parengti Europos kibernetinio saugumo sertifikavimo schemą

1.Komisija gali prašyti ENISA parengti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės potencialią Europos kibernetinio saugumo sertifikavimo schemą.

2.Tinkamai pagrįstais atvejais EKSSG gali pasiūlyti Komisijai pateikti 1 dalyje nurodytą prašymą.

3.1 dalyje nurodytame prašyme išsamiai nurodomas 80 ir 81 straipsniuose nustatytų atitinkamų saugumo tikslų ir elementų įgyvendinimo tikslas, aprėptis ir sąlygos. Prašyme taip pat nurodomas potencialios Europos kibernetinio saugumo sertifikavimo schemos sukūrimo planas ir atitinkamos techninės specifikacijos, kurios turi būtų nurodytos arba apibrėžtos schemoje.

4.Rengdama 1 dalyje nurodytą prašymą, Komisija tinkamai konsultuojasi su ENISA ir EKSSG, taip pat atsižvelgia į visų atitinkamų suinteresuotųjų subjektų ir kitų Sąjungos subjektų, įskaitant, kai taikytina, tuos, kurie yra susiję pagal Sąjungos teisės aktus, kuriuose nustatyta, kad Europos kibernetinio saugumo sertifikavimo schema įrodo reikalavimų atitiktį ir suteikia atitikties prezumpciją, nuomones.

74 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų rengimas ir priėmimas

1.Ne vėliau kaip per 12 mėnesių nuo Komisijos prašymo pagal 73 straipsnį gavimo dienos, jei prašyme nenurodyta kitaip, ENISA parengia potencialią Europos kibernetinio saugumo sertifikavimo schemą, atitinkančią 80 ir 81 straipsniuose nustatytus reikalavimus.

2.Kiekvienai potencialiai schemai parengti ENISA pagal 32 straipsnio 6 dalį įsteigia ad hoc darbo grupę, kad ji ENISA teiktų ekspertų konsultacijas.

3.Rengdama potencialią schemą ENISA glaudžiai bendradarbiauja su EKSSG. EKSSG teikia ENISA pagalbą ir ekspertų konsultacijas dėl potencialios schemos rengimo, ir, kai taikytina, dėl pagalbinių techninių specifikacijų.

4.Rengdama potencialią schemą, įskaitant, kai taikytina, pagalbines technines specifikacijas, ENISA laiku konsultuojasi su suinteresuotaisiais subjektais taikydama oficialų, atvirą, skaidrų ir įtraukų konsultavimosi procesą. ENISA taip pat bendradarbiauja su atitinkamomis valstybių narių valdžios institucijomis ir atitinkamais Sąjungos subjektais, kad gautų jų ekspertų konsultacijų dėl potencialios schemos rengimo ir, kai taikytina, dėl pagalbinių techninių specifikacijų. Pagal 6 dalį perduodama potencialią schemą Komisijai, ENISA apibūdina, kaip ji įvykdė šios dalies reikalavimus.

5.Prieš perduodama potencialią schemą ir, kai taikytina, pagalbines technines specifikacijas Komisijai, ENISA paprašo EKSSG narių pateikti nuomones raštu dėl potencialios schemos. Nuomonės pateikiamos ne vėliau kaip per 30 dienų nuo prašymo dienos. ENISA kuo labiau atsižvelgia į EKSSG narių nuomones. ENISA gali perduoti potencialią schemą Komisijai ir be tokių nuomonių.

6.ENISA potencialią schemą perduoda Komisijai ne vėliau kaip per 60 dienų nuo 5 dalyje nurodyto prašymo dienos.

7.Gavusi potencialią schemą, Komisija įvertina, ar schema atitinka pagal 73 straipsnį pateiktą prašymą. Per 30 dienų nuo tos potencialios schemos perdavimo dienos Komisija imasi vieno iš šių veiksmų:

a)priima potencialią schemą;

b)grąžina potencialią schemą ENISA peržiūrėti kartu su šio grąžinimo pagrindimu ir ne ilgesniu kaip 90 dienų terminu, per kurį ENISA turi pateikti peržiūrėtą potencialią schemą;

c)atsisako potencialios schemos.

8.Jei Komisija potencialią schemą grąžina ENISA peržiūrėti pagal 7 dalies b punktą, atitinkamai taikomos 4, 5 ir 7 dalys.

9.Komisijai suteikiami įgaliojimai, remiantis ENISA parengta patvirtinta potencialia schema, priimti įgyvendinimo aktus, kuriais nustatoma 80 ir 81 straipsniuose nustatytus reikalavimus atitinkanti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schema. Tas įgyvendinimo aktas priimamas laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

10.Komisija šio straipsnio 9 dalyje nurodytuose įgyvendinimo aktuose gali remtis ENISA pagal 18 ir 77 straipsnius parengtomis techninėmis specifikacijomis.

11.Komisija šio straipsnio 9 dalyje nurodytuose įgyvendinimo aktuose gali nustatyti Europos kibernetinio saugumo sertifikatų tarptautinio pripažinimo sąlygas pagal 87 straipsnį.

75 straipsnis
Europos kibernetinio saugumo sertifikavimo schemos priežiūra

1.Kiekvienai Europos kibernetinio saugumo sertifikavimo schemai nustatoma priežiūros strategija. Priežiūros strategijoje išdėstomi lūkesčiai dėl priežiūros veiklos, visų pirma susijusios su schemoje nurodytais standartais ar techninėmis specifikacijomis ir sąveika su atitinkamais suinteresuotaisiais subjektais.

2.ENISA, bendradarbiaudama su Komisija ir remiama EKSSG ir jos atitinkamo priežiūros pogrupio, užtikrina Europos kibernetinio saugumo sertifikavimo schemų priežiūrą, be kita ko, atsižvelgdama į galimą Komisijos atliekamą tokių schemų peržiūrą. ENISA priežiūros veiklos klausimais bendradarbiauja ir keičiasi informacija su atitinkamais Sąjungos subjektais ir grupėmis.

3.ENISA gali organizuoti privačiojo sektoriaus dalyvavimą prižiūrint schemą, sudarydama ad hoc darbo grupę pagal 1 dalyje nurodytą priežiūros strategiją.

4.Europos kibernetinio saugumo sertifikavimo schemų priežiūros veikla apima:

a)techninių specifikacijų ir gairių, kurios padėtų schemoms veikti suderintai ir vienodai, rengimą, atnaujinimą ir tvirtinimą;

b)schemai svarbių standartų arba techninių specifikacijų nustatymą;

c)bendravimą ir, kai aktualu, ryšių su atitinkamais suinteresuotaisiais subjektais, įskaitant Europos ar tarptautines standartizacijos organizacijas, užmezgimą, be kita ko, siekiant teikti techninę informaciją ir ją gauti;

d)rekomendacijų Komisijai dėl būtinų schemų patobulinimų ir atnaujinimų teikimą, be kita ko, atsižvelgiant į galimą schemų peržiūrą;

e)valstybių narių keitimąsi informacija, susijusia su praktiniu schemų įgyvendinimu;

f)indėlį į tarpusavio peržiūrą ir tarpusavio vertinimo mechanizmus ir tokių vertinimų rezultatų analizę, siekiant pagerinti schemų veikimą ir remti galimą jų peržiūrą.

5.EKSSG gali pateikti nuomonę dėl Europos kibernetinio saugumo sertifikavimo schemų priežiūros.

76 straipsnis
Europos kibernetinio saugumo sertifikavimo schemos vertinimas, peržiūra ir panaikinimas

1.Bent kas ketverius metus nuo Europos kibernetinio saugumo sertifikavimo schemos taikymo pradžios ENISA, bendradarbiaudama su atitinkamu EKSSG priežiūros pogrupiu ir atsižvelgdama į iš suinteresuotųjų subjektų gautus atsiliepimus, įvertina tos schemos poveikį ir veiksmingumą. ENISA vertinimą atlieka vykdydama rinkos analizę pagal 8 straipsnio 1 dalį.

2.Po to, kai buvo atliktas 1 dalyje nurodytas vertinimas, Komisija gali peržiūrėti arba panaikinti įgyvendinimo aktus, kuriais pagal 74 straipsnio 9 dalį nustatyta Europos kibernetinio saugumo sertifikavimo schema.

3.Peržiūrėdama arba panaikindama Europos kibernetinio saugumo sertifikavimo schemas, Komisija konsultuojasi su ENISA, EKSSG ir jos atitinkamu priežiūros pogrupiu, taip pat atsižvelgia į atitinkamų suinteresuotųjų subjektų ir kitų Sąjungos subjektų nuomones.

4.EKSSG gali pateikti nuomonę dėl Europos kibernetinio saugumo sertifikavimo schemos priežiūros arba panaikinimo. Komisija deramai į ją atsižvelgia peržiūrėdama arba panaikindama Europos kibernetinio saugumo sertifikavimo schemą.

77 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų techninės specifikacijos

1.ENISA gali parengti technines specifikacijas, atsižvelgdama į būsimą Europos kibernetinio saugumo sertifikavimo schemą arba padėdama vykdyti Europos kibernetinio saugumo sertifikavimo schemos priežiūrą.

2.Šio straipsnio 1 dalyje nurodytos techninės specifikacijos parengiamos laiku, padedant EKSSG ir jos priežiūros pogrupiams bei, kai taikytina, atitinkamai 75 straipsnio 3 dalyje nurodytai ad hoc darbo grupei. Šiuo tikslu ENISA taip pat prašo atitinkamų suinteresuotųjų subjektų grupių pateikti atsiliepimų, atsižvelgiant į 75 straipsnio 1 dalyje nurodytą priežiūros strategiją.

3.Kai Europos kibernetinio saugumo sertifikavimo schemoje pateikiamos nuorodos į technines specifikacijas, kaip nurodyta 74 straipsnio 10 dalyje, jos paskelbiamos 79 straipsnyje nurodytoje interneto svetainėje.

4.Tinkamai pagrįstais atvejais, visų pirma tais atvejais, kai techninėse specifikacijose pateikiama informacija, kuri galėtų kelti pavojų sertifikuotų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės saugumui, ji platinama tik tiems suinteresuotiesiems subjektams, kuriems taikomi schemos reikalavimai. Tokios techninės specifikacijos nėra nurodomos Europos kibernetinio saugumo sertifikavimo schemoje, kaip nurodyta 74 straipsnio 10 dalyje.

78 straipsnis 
Sąjungos teisės aktų laikymosi palengvinimas

1.Kai tai numatyta konkrečiame Sąjungos teisės akte, pagal Europos kibernetinio saugumo sertifikavimo schemą išduotas sertifikatas įrodo atitiktį ir suteikia atitinkamų tame teisės akte nustatytų reikalavimų atitikties prezumpciją.

2.Vertinimo veikla pagal Europos kibernetinio saugumo sertifikavimo schemą turi atitikti atitinkamą Sąjungos teisės aktą, kuriame nustatyta sąlyga dėl atitikties įrodymo ir atitikties prezumpcijos. Jei tokia vertinimo veikla nėra nurodyta atitinkamame Sąjungos teisės akte, ji nurodoma schemoje. Atitikties vertinimą dėl sertifikavimo, kuriuo remiantis patvirtinama Sąjungos teisės aktuose nustatytų reikalavimų atitikties prezumpcija, atlieka trečiosios šalies įstaiga.

3.Jei nėra suderintų Sąjungos teisės aktų, nacionalinėje teisėje taip pat gali būti numatyta, kad Europos kibernetinio saugumo sertifikavimo schema gali būti naudojama siekiant įrodyti atitiktį ir nustatyti konkrečių nacionalinėje teisėje nustatytų teisinių reikalavimų atitikties prezumpciją.

79 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų naudojimas, ENISA interneto svetainė ir sertifikatų skelbimas

1.ENISA organizuoja veiklą, kuria skatinamas priimtų Europos kibernetinio saugumo sertifikavimo schemų naudojimas, be kita ko, prižiūrėdama šio straipsnio 2 dalyje nurodytą interneto svetainę.

2.ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija apie:

a)Europos kibernetinio saugumo sertifikavimo schemas;

b)mokesčius, susijusius su kiekvienos Europos kibernetinio saugumo sertifikavimo schemos priežiūra;

c)atitinkamas ENISA technines specifikacijas;

d)Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus, įskaitant informaciją apie tokius sertifikatus ir pareiškimus, kurie nebegalioja arba kurių galiojimas sustabdytas, kurie panaikinti arba kurių galiojimas baigėsi;

e)atitinkamą papildomą kibernetinio saugumo informaciją, teikiamą pagal 84 straipsnį;

f)tarpusavio peržiūrų suvestines pagal 89 straipsnio 7 dalį;

g)Europos kibernetinio saugumo sertifikavimo schemoje pagal 74 straipsnio 10 dalį nurodytas technines specifikacijas.

3.Kai taikytina, 2 dalyje nurodytoje interneto svetainėje taip pat nurodomos tos nacionalinės kibernetinio saugumo sertifikavimo schemos, kurias pakeitė Europos kibernetinio saugumo sertifikavimo schema.

II SKYRIUS 
Europos kibernetinio saugumo sertifikavimo schemų turinys

80 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų saugumo tikslai

1.Europos kibernetinio saugumo sertifikavimo schema, kai taikytina, siekiama šių tikslų:

a)užtikrinti standartizuotąjį ir integruotąjį IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų saugumą;

b)naudojant tinkamas technines priemones apsaugoti saugomus, perduodamus ar kitaip tvarkomus duomenis nuo atsitiktinio ar neteisėto jų saugojimo, tvarkymo, prieigos prie jų ar jų atskleidimo, atsižvelgiant į visą IRT produktų, IRT paslaugų ar IRT procesų gyvavimo ciklą;

c)apsaugoti saugomų, perduodamų ar kitaip tvarkomų asmens ar kitų duomenų, komandų, programų ir konfigūracijos vientisumą nuo bet kokių manipuliacijų ar pakeitimų, kuriems naudotojas nesuteikė leidimo, ir pranešti apie pažeidimus, atsižvelgiant į visą IRT produktų, IRT paslaugų ar IRT procesų gyvavimo ciklą;

d)užtikrinti apsaugą nuo neteisėtos prieigos atitinkamais kontrolės mechanizmais, įskaitant atpažinimo, tapatybės ar prieigos valdymo sistemas, bet jomis neapsiribojant, ir pranešti apie galimą neteisėtą prieigą;

e)nustatyti ir registruoti komponentus ir pažeidžiamumus, be kita ko, kai tinkama, parengiant programinės įrangos medžiagų žiniaraštį, apimantį bent aukščiausio lygio priklausomybės ryšius;

f)teikti su saugumu susijusią informaciją registruojant arba stebint atitinkamą vidinę veiklą, įskaitant prieigą prie duomenų, paslaugų ar funkcijų arba jų pakeitimą, kai tinkama, suteikiant naudotojui galimybę pasinaudoti atsisakymo mechanizmu;

g)tikrinti, ar IRT produktai, IRT paslaugos ir IRT procesai neturi žinomų pažeidžiamumų, kuriais gali būti pasinaudota;

h)apsaugoti esminių ir pagrindinių funkcijų prieinamumą, taip pat po incidento, be kita ko, taikant atsparumo paslaugos trikdymo atakoms ir jų poveikio švelninimo priemones;

i)kuo labiau sumažinti neigiamą poveikį kitų tinklų ir įrenginių teikiamų paslaugų prieinamumui fizinio ar techninio incidento atveju;

j)užtikrinti, kad IRT produktai, IRT paslaugos ir IRT procesai būtų reguliariai testuojami, o jų saugumas – peržiūrimas;

k)užtikrinti, kad dėl pažeidžiamumų būtų nedelsiant imamasi veiksmų ir jie būtų ištaisyti, be kita ko, pasitelkiant saugumo naujinius, ir kad informacija apie ištaisytus pažeidžiamumus būtų dalijamasi ir ji būtų viešai atskleidžiama, išskyrus atvejus, kai paskelbimo rizika yra didesnė už naudą saugumui;

l)užtikrinti, kad būtų taikoma koordinuoto pažeidžiamumų atskleidimo politika;

m)palengvinti keitimąsi informacija apie galimus IRT produktų, IRT paslaugų ir IRT procesų pažeidžiamumus;

n)užtikrinti, kad atsiradus saugumo naujiniams, skirtiems nustatytoms saugumo problemoms spręsti, jie būtų nedelsiant išplatinti;

o)užtikrinti, kad valdomos saugumo paslaugos būtų teikiamos turint reikiamą kompetenciją, ekspertines žinias ir patirtį, be kita ko, už tų paslaugų teikimą atsakingi darbuotojai turėtų pakankamo ir tinkamo lygio techninių žinių ir gebėjimų toje konkrečioje srityje bei pakankamos ir tinkamos patirties ir laikytis aukščiausių profesinio sąžiningumo standartų;

p)užtikrinti IRT produktų, IRT paslaugų ir IRT procesų, naudojamų teikiant valdomas saugumo paslaugas, standartizuotąjį ir integruotąjį saugumą ir, kai taikytina, naujausių saugumo naujinių diegimą, ir kad nebūtų viešai žinomų pažeidžiamumų;

q)užtikrinti, kad sertifikuotas subjektas turėtų tinkamas vidaus procedūras, siekiant užtikrinti, kad teikiamos paslaugos visada būtų pakankamos ir tinkamos kokybės;

r)užtikrinti, kad sertifikuotas subjektas būtų pajėgus nustatyti incidentus, nuo jų apsisaugoti, juos aptikti, į juos reaguoti ir po jų atstatyti veiklą;

s)užtikrinti, kad sertifikuotas subjektas būtų pajėgus valdyti riziką, kylančią tinklų ir informacinių sistemų, kurias tas subjektas naudoja savo veiklai arba teikdamas savo paslaugas, saugumui ir užkirsti kelią incidentų poveikiui jo paslaugų gavėjams ir kitoms paslaugoms arba jį kuo labiau sumažinti;

t)užtikrinti, kad sertifikuotas subjektas būtų pajėgus sukurti, užtikrinti ir peržiūrėti savo veiklos vientisumą ir patikimumą, tiesiogiai ar netiesiogiai naudodamasis IRT paslaugas teikiančių trečiųjų šalių paslaugomis užtikrindamas, kad jis turėtų visus su IRT susijusius pajėgumus, reikalingus tinklų ir informacinių sistemų, kuriomis subjektas naudojasi, saugumui, ir kuriais remiamas nuolatinis paslaugų teikimas ir jų kokybė, be kita ko, esant sutrikimams;

u)užtikrinti, kad sertifikuotas subjektas būtų pajėgus įdiegti ir prižiūrėti informacijos saugumo valdymo sistemą; 

v)užtikrinti atsparumą bet kokiam įvykiui, galinčiam sukelti pavojų saugomų, perduodamų ar tvarkomų duomenų, arba teikiamų ar per subjekto naudojamas tinklų ir informacines sistemas gaunamų paslaugų prieinamumui, autentiškumui, vientisumui ar konfidencialumui ir užtikrinti nuolatinį paslaugų teikimą ir jų kokybę, be kita ko, esant sutrikimams;

w)užtikrinti, kad subjektas būtų pajėgus užtikrinti asmens duomenų tvarkymo saugumą.

2.Komisijai pagal 119 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, kuriais iš dalies keičiama šio straipsnio 1 dalis įtraukiant arba pakeičiant saugumo tikslus, taip siekiant užtikrinti, kad jie atspindėtų naujausią technologijų plėtrą ir naujas susijusias grėsmes, taip pat naujų Sąjungos teisės aktų, kuriais nustatoma sąlyga dėl atitikties tuose teisės aktuose nustatytiems atitinkamiems kibernetinio saugumo reikalavimams įrodymo ir atitikties prezumpcijos taikant Europos kibernetinio saugumo sertifikatą, priėmimą.

3.Europos kibernetinio saugumo sertifikavimo schema, skirta produktams su skaitmeniniais elementais, apibrėžtiems Reglamento (ES) 2024/2847 3 straipsnio 1 punkte, sukuriama laikantis to reglamento I priede nustatytų esminių kibernetinio saugumo reikalavimų ir atsižvelgiant į esamus darniuosius standartus.

81 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų elementai

1.Europos kibernetinio saugumo sertifikavimo schemą sudaro bent šie elementai:

a)sertifikavimo schemos dalykas ir apimtis, įskaitant sertifikuojamų IRT produktų, IRT paslaugų, IRT procesų arba valdomų saugumo paslaugų rūšį arba kategorijas, arba subjekto turtą, paslaugas ir funkcijas, patenkančias į sertifikavimo aprėptį;

b)aiškus schemos tikslo aprašas ir, kai taikytina, Sąjungos teisės aktų, kuriuose nustatytų reikalavimų atitiktis įrodoma ir jų atitikties prezumpcija daroma remiantis Europos kibernetinio saugumo sertifikatais, nustatymas;

c)priežiūros strategija, kurioje nurodomas požiūris į priežiūros veiklą, nustatytą 75 straipsnyje;

d)konkretūs kibernetinio saugumo reikalavimai, vertinimo kriterijai ir metodai, taikytini vertinant IRT produktus, IRT paslaugas, IRT procesus, valdomas saugumo paslaugas ar subjektų kibernetinio saugumo būklę, ir nuorodos į tarptautinius, Europos ar nacionalinius standartus, taikomus vertinant IRT produktus, IRT paslaugas, IRT procesus, valdomas saugumo paslaugas ar subjektų kibernetinio saugumo būklę, arba, jei tokių standartų nėra arba jie netinka, nuorodos į ENISA parengtas technines specifikacijas pagal 77 straipsnį arba, jei tokių specifikacijų nėra, į kitas technines specifikacijas;

e)ilgiausias pagal schemą išduotų Europos kibernetinio saugumo sertifikatų galiojimo laikotarpis.

2.Europos kibernetinio saugumo sertifikavimo schema apima bent taisykles ir sąlygas, susijusias su:

a)IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės atitikties Europos kibernetinio saugumo sertifikatų arba ES atitikties pareiškimų reikalavimams stebėsena, įskaitant mechanizmus, kuriais įrodoma, kad nuolat laikomasi nurodytų kibernetinio saugumo reikalavimų;

b)Europos kibernetinio saugumo sertifikatų išdavimu, patvirtinimu, panaikinimu ir atnaujinimu, sertifikatų taikymo srities išplėtimu ar susiaurinimu ir pakartotiniu sertifikavimu;

c)padariniais IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ar subjektams, kurie buvo sertifikuoti arba kuriems išduotas ES atitikties pareiškimas, tačiau kurie neatitinka schemos reikalavimų;

d)tuo, kaip turi būti pranešama apie anksčiau nenustatytus IRT produktų, IRT procesų ir IRT paslaugų kibernetinio saugumo pažeidžiamumus ir kaip jie turi būti šalinami;

e)išduodamo Europos kibernetinio saugumo sertifikato arba ES atitikties pareiškimo turiniu ir forma;

f)laikotarpiu, kurį turi būti prieinamas ES atitikties pareiškimas, techninė dokumentacija ir visa kita aktuali informacija, kurią IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė sertifikuojama, turi pateikti susipažinti;

g)visais tarpusavio vertinimo mechanizmais, pagal schemą nustatytais institucijoms ar įstaigoms, išduodančioms Europos kibernetinio saugumo sertifikatus pagal 85 straipsnio 4 dalį, nedarant poveikio 90 straipsnyje numatytai tarpusavio peržiūrai;

h)informacijos ir duomenų, kuriuos visos šalys gauna vykdydamos užduotis ir veiklą, susijusią su šios antraštinės dalies nuostatų įgyvendinimu, konfidencialumu;

i)formatu ir procedūromis, kurių IRT produktų gamintojai ar tiekėjai, IRT paslaugų ar IRT procesų teikėjai turi laikytis teikdami ir atnaujindami papildomą informaciją apie kibernetinį saugumą pagal 84 straipsnį ir

j)sertifikavimo veiklos tęstinumu esant išskirtinėms krizinėms situacijoms, kurios yra neišvengiamos ir trukdo taikyti sertifikavimo schemos taisykles.

3.Europos kibernetinio saugumo sertifikavimo schemą, kai tinkama, sudaro ir šie elementai:

a)vienas ar daugiau saugumo užtikrinimo lygių ir atitinkami vertinimo lygiai;

b)apsaugos profiliai, kuriais nustatomi saugumo reikalavimai, taikytini tam tikros kategorijos IRT produktams, IRT paslaugoms, IRT procesams ar valdomoms saugumo paslaugoms;

c)išplėstiniai profiliai papildomiems saugumo reikalavimams, įskaitant, kai taikytina, nacionalinėse nuostatose, kuriomis į nacionalinę teisę perkeliama Sąjungos teisė, nustatytus saugumo reikalavimus, nustatyti;

d)paaiškinimas, kokia atitikties vertinimo veikla, įskaitant kalibravimą, testavimą, sertifikavimą ir tikrinimą, siekiant užtikrinti aukštą saugumo užtikrinimo lygį arba siekiant įrodyti atitiktį ir suteikti atitikties prezumpciją, leidžiama už Europos ekonominės erdvės (EEE) ribų;

e)informacija apie nacionalines arba tarptautines kibernetinio saugumo sertifikavimo schemas, taikomas tos pačios rūšies ar kategorijų IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ar subjektų kibernetinio saugumo būklei;

f)papildomi arba specialūs reikalavimai, taikomi atitikties vertinimo įstaigoms, siekiant garantuoti jų techninius gebėjimus įvertinti kibernetinio saugumo reikalavimus;

g)informacija, kuri yra būtina sertifikavimui ir kurią pareiškėjas turi pateikti atitikties vertinimo įstaigoms arba kitaip sudaryti joms galimybę su ja susipažinti;

h)ženklų arba etikečių naudojimas ir tokių ženklų arba etikečių naudojimo sąlygos;

i)Europos kibernetinio saugumo sertifikatų tarptautinio pripažinimo pagal 87 straipsnį sąlygos.

4.Nurodyti Europos kibernetinio saugumo sertifikavimo schemos reikalavimai turi atitikti Sąjungos teisės aktų reikalavimus.

5.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomi visų Europos kibernetinio saugumo sertifikavimo schemų 1, 2 ir 3 dalyse nustatytų elementų bendrieji principai ir pavyzdinės nuostatos. Kai tinkama ir įmanoma, į Europos kibernetinio saugumo sertifikavimo schemą gali būti įtrauktos nuorodos į tuos principus ir pavyzdines nuostatas.

6.5 dalyje nurodyti įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros. Rengdama arba peržiūrėdama Europos kibernetinio saugumo sertifikavimo schemų elementų bendruosius principus ir pavyzdines nuostatas, Komisija konsultuojasi su ENISA ir prireikus atsižvelgia į EKSSG, atitinkamų suinteresuotųjų subjektų ir kitų atitinkamų įstaigų pareikštas nuomones.

82 straipsnis
Europos kibernetinio saugumo sertifikavimo schemų saugumo užtikrinimo ir vertinimo lygiai

1.Europos kibernetinio saugumo sertifikavimo schemoje gali būti nurodytas vienas ar daugiau iš šių IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms arba subjektų kibernetinio saugumo būklei taikomų saugumo užtikrinimo lygių: bazinis, pakankamai aukštas arba aukštas. Tie saugumo užtikrinimo lygiai turi atitikti rizikos, susijusios su numatytu IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos naudojimu, lygį arba subjektų, kurių kibernetinio saugumo būklė sertifikuojama, pobūdį bei jų veiklos aplinką, atsižvelgiant į incidento tikimybę ir poveikį.

2.Europos kibernetinio saugumo sertifikatuose nurodomas saugumo užtikrinimo lygis, kuris nurodytas Europos kibernetinio saugumo sertifikavimo schemoje, pagal kurią tie sertifikatai išduodami. ES atitikties pareiškimuose nurodomas bazinis saugumo užtikrinimo lygis.

3.Atitinkamoje Europos kibernetinio saugumo sertifikavimo schemoje nustatomi kiekvieną saugumo užtikrinimo lygį atitinkantys saugumo reikalavimai, įskaitant atitinkamas saugumo kontrolės priemones ir atitinkamą IRT produkto, IRT paslaugos ar IRT proceso, valdomos saugumo paslaugos ar subjekto kibernetinio saugumo būklės vertinimą, kuris turės būti atliktas.

4.Europos kibernetinio saugumo sertifikate arba ES atitikties pareiškime nurodomos techninės specifikacijos, standartai ir su jais susijusios procedūros, įskaitant technines kontrolės priemones, kurių paskirtis yra sumažinti kibernetinio saugumo incidentų riziką arba užkirsti jiems kelią.

5.Europos kibernetinio saugumo sertifikatu arba ES atitikties pareiškimu, kuriame nurodytas bazinis saugumo užtikrinimo lygis, garantuojama, kad IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba subjektų kibernetinio saugumo būklė, dėl kurių išduotas tas sertifikatas ar ES atitikties pareiškimas, tenkina atitinkamus saugumo reikalavimus, įskaitant saugumo kontrolės priemones, ir kad jie buvo įvertinti tokiu lygiu, kad būtų kuo labiau sumažinta žinoma bazinė incidentų ir kibernetinių atakų rizika. Atliktini įvertinimo veiksmai turi apimti bent techninių dokumentų peržiūrą. Jei tokia peržiūra netaikytina, turi būti atlikti pakaitiniai lygiavertį poveikį turintys įvertinimo veiksmai.

6.Europos kibernetinio saugumo sertifikatu, kuriame nurodytas pakankamai aukštas saugumo užtikrinimo lygis, garantuojama, kad IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba subjektų kibernetinio saugumo būklė, dėl kurių išduotas tas sertifikatas, tenkina atitinkamus saugumo reikalavimus, įskaitant saugumo kontrolės priemones, ir kad jie buvo įvertinti tokiu lygiu, kad būtų kuo labiau sumažinta žinoma incidentų ir kibernetinių atakų rizika bei kibernetinių atakų, kuriuos vykdo ribotų įgūdžių ir ribotų išteklių turintys subjektai, rizika. Atliktini įvertinimo veiksmai apima bent įvertinimą, ar nėra viešai žinomų pažeidžiamumų, ir testavimą, ar IRT produktais, IRT paslaugomis, IRT procesais, valdomomis saugumo paslaugomis ar subjektų veiksmais tinkamai įgyvendinamos reikiamos saugumo kontrolės priemonės. Jei tokie įvertinimo veiksmai netaikytini, turi būti atlikti pakaitiniai lygiavertį poveikį turintys įvertinimo veiksmai.

7.Europos kibernetinio saugumo sertifikatu, kuriame nurodytas aukštas saugumo užtikrinimo lygis, garantuojama, kad IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba subjektų kibernetinio saugumo būklė, dėl kurių išduotas tas sertifikatas, tenkina atitinkamus saugumo reikalavimus, įskaitant saugumo kontrolės priemones, ir kad jie buvo įvertinti tokiu lygiu, kad būtų kuo labiau sumažinta naujausiomis technologijomis pagrįstų kibernetinių atakų, kurias vykdo aukšto lygio įgūdžių ir didelių išteklių turintys subjektai, rizika. Atliktini įvertinimo veiksmai turi apimti bent šiuos veiksmus:

a)įvertinimą, ar nėra viešai žinomų pažeidžiamumų;

b)testavimą, ar IRT produktais, IRT paslaugomis, IRT procesais, valdomomis saugumo paslaugomis ar subjektų veiksmais tinkamai įgyvendinamos būtinos naujausiomis technologijomis pagrįstos saugumo kontrolės priemonės;

c)IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų atsparumo įgudusių subjektų išpuoliams vertinimą, kai aktualu, naudojant skverbimosi testavimą.

Jei tokie įvertinimo veiksmai netaikytini, turi būti atlikti pakaitiniai lygiavertį poveikį turintys įvertinimo veiksmai. Jei Europos kibernetinio saugumo sertifikavimo schemoje nenumatyta kitaip, bet kokia atitikties vertinimo veikla, įskaitant kalibravimą, testavimą, sertifikavimą ir tikrinimą, siekiant aukšto saugumo užtikrinimo lygio, yra vykdoma Europos ekonominėje erdvėje.

8.Kai Europos kibernetinio saugumo sertifikavimo schema yra sukuriama atitikčiai konkrečiam Sąjungos teisės aktui įrodyti ir tam tikro teisės akto atitikties prezumpcijai suteikti, Europos kibernetinio saugumo sertifikatu užtikrinama, kad sertifikuoti IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba subjektų kibernetinio saugumo būklė atitinka tame teisės akte nustatytus atitinkamus kibernetinio saugumo reikalavimus. Jei Europos kibernetinio saugumo sertifikavimo schemoje nenumatyta kitaip, bet kokia atitikties vertinimo veikla, įskaitant kalibravimą, testavimą, sertifikavimą ir tikrinimą, siekiant suteikti atitikties prezumpciją, yra vykdoma Europos ekonominėje erdvėje.

9.Europos kibernetinio saugumo sertifikavimo schemoje gali būti nurodyti keli konkretaus saugumo užtikrinimo lygio vertinimo lygiai. Kiekvienas vertinimo lygis atitinka vieną iš saugumo užtikrinimo lygių.

83 straipsnis
Savarankiškas atitikties vertinimas

1.Europos kibernetinio saugumo sertifikavimo schemoje gali būti numatyta galimybė atlikti savarankišką atitikties vertinimą vien tik IRT produktų gamintojo ar tiekėjo, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjo arba subjekto, kurio kibernetinio saugumo būklė sertifikuojama, atsakomybe. Leidžiama atlikti tik tų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės, kurie kelia nedidelę riziką, atitinkančią bazinį saugumo užtikrinimo lygį, savarankišką atitikties vertinimą.

2.IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė sertifikuojama, gali išduoti ES atitikties pareiškimą, kuriame nurodoma, kad yra įrodyta atitiktis Europos kibernetinio saugumo sertifikavimo schemoje nurodytiems reikalavimams. Parengdamas tokį pareiškimą tas gamintojas ar tiekėjas, teikėjas arba subjektas prisiima atsakomybę už IRT produkto, IRT paslaugos, IRT proceso, valdomos saugumo paslaugos ar kibernetinio saugumo būklės atitiktį toje schemoje nurodytiems reikalavimams.

3.IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė sertifikuojama, privalo atitinkamoje Europos kibernetinio saugumo sertifikavimo schemoje nurodytą laikotarpį saugoti ES atitikties pareiškimą, techninę dokumentaciją ir visą kitą aktualią informaciją, susijusią su IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar kibernetinio saugumo būklės atitiktimi tai schemai, kad galėtų juos pateikti pagal 89 straipsnį paskirtai nacionalinei kibernetinio saugumo sertifikavimo institucijai. ES atitikties pareiškimo kopija nepagrįstai nedelsiant pateikiama nacionalinei kibernetinio saugumo sertifikavimo institucijai ir ENISA.

84 straipsnis
Su sertifikuotais IRT produktais, paslaugomis ir procesais susijusi papildoma kibernetinio saugumo informacija

1.IRT produktų gamintojas ar tiekėjas, IRT paslaugų ar IRT procesų, kuriems išduotas ES atitikties pareiškimas arba Europos kibernetinio saugumo sertifikatas, teikėjas naudotojui pateikia susipažinti šią papildomą kibernetinio saugumo informaciją:

a)atitinkamo IRT produkto, IRT paslaugos ar IRT proceso numatytąją paskirtį, įskaitant gamintojo, tiekėjo arba teikėjo užtikrinamą saugumo aplinką;

b)konsultacijas ir rekomendacijas siekiant padėti naudotojams IRT produktus ar paslaugas saugiai konfigūruoti, instaliuoti, įtaisyti, naudoti ir prižiūrėti;

c)gamintojo, teikėjo arba tiekėjo siūlomo techninio saugumo palaikymo rūšis ir palaikymo laikotarpio galutinis terminas, per kurį naudotojai gali tikėtis, kad pažeidžiamumas bus tvarkomas, ir gauti saugumo naujinius;

d)jei gamintojas, tiekėjas arba teikėjas nusprendžia pateikti naudotojui susipažinti programinės įrangos medžiagų žiniaraštį, informacija apie tai, kur jį galima rasti.

2.IRT produktų, IRT paslaugų ar IRT procesų, kuriems išduotas ES atitikties pareiškimas arba Europos kibernetinio saugumo sertifikatas, gamintojas, tiekėjas arba teikėjas pateikia viešai susipažinti šią papildomą kibernetinio saugumo informaciją:

a)informaciją apie kontaktinį punktą, kuriuo naudojantis galima pateikti ir gauti informaciją apie pažeidžiamumus, ir kur galima rasti gamintojo politiką dėl koordinuoto pažeidžiamumų atskleidimo;

b)informaciją apie ištaisytus pažeidžiamumus, įskaitant pažeidžiamumų aprašymą, be kita ko, informaciją, leidžiančią naudotojams identifikuoti paveiktą produktą su skaitmeniniais elementais, pažeidžiamumų poveikį, jų sunkumą ir aiškią bei prieinamą informaciją, padedančią naudotojams pašalinti pažeidžiamumus; tinkamai pagrįstais atvejais, kai gamintojai mano, kad paskelbimo saugumo rizika nusveria saugumo naudą, jie gali atidėti viešą informacijos apie pašalintą pažeidžiamumą paskelbimą tol, kol naudotojams bus suteikta galimybė taikyti atitinkamą pataisą.

3.Šio straipsnio 1 ir 2 dalyse nurodyta informacija pateikiama elektronine forma, sudaroma galimybė ja naudotis ir ji prireikus atnaujinama, kol galioja atitinkamas Europos kibernetinio saugumo sertifikatas arba ES atitikties pareiškimas ir bent jau penkerius metus po jų galiojimo pabaigos arba panaikinimo.

4.1 ir 2 dalyse nustatytos pareigos netaikomos, jei viešai paskelbus informaciją galėtų kilti pavojus atitinkamo IRT produkto, IRT paslaugos ar IRT proceso saugumui.

III SKYRIUS 
Europos kibernetinio saugumo sertifikavimo sistemos valdymas

1 skirsnis 
Europos kibernetinio saugumo schemų bendros taisyklės ir valdymas

85 straipsnis
Europos kibernetinio saugumo sertifikatų išdavimas

1.Laikoma, kad pagal Europos kibernetinio saugumo sertifikavimo schemą sertifikuoti IRT produktai, IRT paslaugos, IRT procesai, valdomos saugumo paslaugos arba kibernetinio saugumo būklė atitinka tokios schemos reikalavimus.

2.Europos kibernetinio saugumo sertifikatus išduoda 91 straipsnyje nurodytos atitikties vertinimo įstaigos remdamosi kriterijais, įtrauktais į pagal 74 straipsnį priimtą Europos kibernetinio saugumo sertifikavimo schemą.

3.Nukrypstant nuo 2 dalies, Europos kibernetinio saugumo sertifikavimo schemoje gali būti numatyta, kad Europos kibernetinio saugumo sertifikatus pagal tą schemą gali išduoti tik viena iš šių viešųjų įstaigų:

a)88 straipsnyje nurodyta nacionalinė kibernetinio saugumo sertifikavimo institucija, kuri pagal 91 straipsnio 1 dalį yra akredituota kaip atitikties vertinimo įstaiga;

b)viešoji įstaiga, kuri pagal 91 straipsnio 1 dalį yra akredituota kaip atitikties vertinimo įstaiga.

4.Jei pagal 74 straipsnį priimtoje Europos kibernetinio saugumo sertifikavimo schemoje nustatytas aukštas saugumo užtikrinimo lygis arba jei tokioje schemoje nurodyta kitaip, Europos kibernetinio saugumo sertifikatą pagal tą schemą išduoda tik nacionalinė kibernetinio saugumo sertifikavimo institucija, kaip nurodyta 88 straipsnyje, kuri yra akredituota kaip atitikties vertinimo įstaiga pagal 91 straipsnio 1 dalį, arba šiais atvejais:

a)atitikties vertinimo įstaiga, remdamasi išankstinio patvirtinimo modeliu arba

b)atitikties vertinimo įstaiga, remdamasi bendro įgaliojimo modeliu.

5.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos šio straipsnio 4 dalyje nurodyto išankstinio patvirtinimo arba bendro įgaliojimo modelių procedūros. Rengdama tuos įgyvendinimo aktus Komisija gali konsultuotis su EKSSG. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

6.IRT produktus, IRT paslaugas, IRT procesus ar valdomas saugumo paslaugas sertifikuoti teikiantis fizinis arba juridinis asmuo arba subjektas, teikiantis sertifikuoti savo kibernetinio saugumo būklę, pagal 89 straipsnį paskirtai nacionalinei kibernetinio saugumo sertifikavimo institucijai, kai ta institucija yra Europos kibernetinio saugumo sertifikatą išduodanti įstaiga, arba 91 straipsnyje nurodytai atitikties vertinimo įstaigai leidžia susipažinti su visa sertifikavimo procedūrai atlikti reikalinga informacija.

7.Atitikties vertinimo įstaigos ir, kai taikytina, nacionalinės kibernetinio saugumo sertifikavimo institucijos nepagrįstai nedelsdamos informuoja ENISA apie savo sprendimus, darančius poveikį Europos kibernetinio saugumo sertifikatų ir ES atitikties pareiškimų būklei pagal 94 straipsnį.

8.Europos kibernetinio saugumo sertifikato turėtojas informuoja atitikties vertinimo įstaigą ir, kai taikytina, 7 dalyje nurodytą nacionalinę kibernetinio saugumo sertifikavimo instituciją apie visus vėliau nustatytus pažeidžiamumus ar neatitikimus, susijusius su subjekto sertifikuotu IRT produktu, IRT paslauga, IRT procesu, valdoma saugumo paslauga ar kibernetinio saugumo būkle, kurie gali turėti įtakos jo sertifikato atitikčiai. Ta įstaiga nepagrįstai nedelsdama perduoda tą informaciją atitinkamai nacionalinei kibernetinio saugumo sertifikavimo institucijai ir įvertina poveikį sertifikatui pagal schemos sąlygas, kaip nurodyta 81 straipsnio 2 dalies d punkte.

9.Savo sertifikuotuose IRT produktuose, IRT paslaugose, IRT procesuose arba valdomose saugumo paslaugose, kurie visi arba jų dalys pagal 102 straipsnį laikomi pagrindiniu turtu, Europos kibernetinio saugumo sertifikato turėtojai negali naudoti, diegti ar kitaip integruoti didelės rizikos tiekėjų tiekiamų IRT komponentų ar komponentų, kuriuose yra IRT komponentų.

10.Europos kibernetinio saugumo sertifikatai išduodami konkrečios Europos kibernetinio saugumo sertifikavimo schemos nustatytam laikotarpiui ir gali būti atnaujinami, jeigu ir toliau tenkinami susiję reikalavimai.

11.Komisija bendradarbiauja su valstybėmis narėmis, kad užtikrintų nuostatų, susijusių su Europos kibernetinio saugumo sertifikatų išdavimu, taikymą, be kita ko, atsižvelgiant į 100 straipsnio 4 dalies b punkto taikymą. Atitikties vertinimo įstaiga ir, kai aktualu, nacionalinė kibernetinio saugumo sertifikavimo institucija Komisijos prašymu nepagrįstai nedelsdama jai pateikia visą informaciją, susijusią su atitinkamų Europos kibernetinio saugumo sertifikatų arba ES atitikties pareiškimų išdavimu.

86 straipsnis
Nacionalinės kibernetinio saugumo sertifikavimo schemos ir sertifikatai

1.Nacionalinės kibernetinio saugumo sertifikavimo schemos ir susijusios procedūros, skirtos IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei, kuriems taikomas Europos kibernetinio saugumo sertifikavimo schemos dalykas ir taikymo sritis, netenka galios nuo datos, nustatytos pagal 74 straipsnio 9 dalį priimtame įgyvendinimo akte. Nacionalinės kibernetinio saugumo sertifikavimo schemos ir susijusios procedūros, skirtos IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei, kuriems netaikomas Europos kibernetinio saugumo sertifikavimo schemos dalykas ir taikymo sritis, gali galioti ir toliau.

2.Valstybės narės nenustato naujų nacionalinių kibernetinio saugumo sertifikavimo schemų ar susijusių procedūrų tiems IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei, kuriems jau taikomas Europos kibernetinio saugumo sertifikavimo schemos dalykas ir taikymo sritis.

3.Esami pagal nacionalines kibernetinio saugumo sertifikavimo schemas išduoti sertifikatai, kuriems taikomas Europos kibernetinio saugumo sertifikavimo schemos dalykas ir taikymo sritis, toliau galioja iki jų galiojimo pabaigos datos.

4.Prieš priimdamos naujas nacionalines IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės kibernetinio saugumo sertifikavimo schemas, valstybės narės apie tai praneša Komisijai ir EKSSG.

5.Komisija gali pasiūlyti valstybei narei panaikinti nacionalinę kibernetinio saugumo sertifikavimo schemą, taikomą IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms arba subjektų kibernetinio saugumo būklei, jei pagal 73 straipsnį tokiems produktams, paslaugoms, procesams ar kibernetinio saugumo būklei jau buvo paprašyta parengti Europos kibernetinio saugumo sertifikavimo schemą, atsižvelgiant į tokios schemos kūrimo planą.

87 straipsnis
Europos kibernetinio saugumo sertifikatų pripažinimas tarptautiniu mastu

1.Jei atitinkamos trečiosios valstybės schemos arba tarptautinės organizacijos schemos reikalavimai laikomi lygiaverčiais Europos kibernetinio saugumo sertifikavimo schemų reikalavimams, įgyvendinimo aktu arba sudarius Sąjungos ir atitinkamos trečiosios valstybės arba tarptautinės organizacijos susitarimą, trečiųjų valstybių išduoti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės sertifikatai gali būti pripažinti lygiaverčiais Europos kibernetinio saugumo sertifikatams. Komisijai suteikiami įgaliojimai priimti tokius įgyvendinimo aktus. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

2.1 dalyje nurodyti įgyvendinimo aktai ir susitarimai grindžiami Europos kibernetinio saugumo sertifikatų tarptautinio pripažinimo sąlygomis, nustatytomis pagal 74 straipsnio 11 dalį.

3.Susitarimai dėl 1 dalyje nurodytų trečiųjų valstybių sertifikatų arba tarptautinių organizacijų sertifikatų pripažinimo sudaromi tik tuo atveju, jei juose taip pat pripažįstama, kad Europos kibernetinio saugumo sertifikatai yra lygiaverčiai trečiųjų valstybių sertifikatams.

88 straipsnis 
Nacionalinės kibernetinio saugumo sertifikavimo institucijos

1.Kiekviena valstybė narė savo teritorijoje paskiria vieną nacionalinę kibernetinio saugumo sertifikavimo instituciją arba kelias tokias institucijas arba, sudariusi susitarimą su kita valstybe nare, paskiria toje kitoje valstybėje narėje įsisteigusią nacionalinę kibernetinio saugumo sertifikavimo instituciją arba kelias nacionalines kibernetinio saugumo sertifikavimo institucijas būti atsakinga (-omis) už priežiūros užduotis paskyrusioje valstybėje narėje.

2.Kiekviena valstybė narė praneša Komisijai apie paskirtąsias nacionalines kibernetinio saugumo sertifikavimo institucijas. Jeigu valstybė narė paskiria daugiau nei vieną instituciją, ji taip pat informuoja Komisiją apie užduotis, pavestas kiekvienai iš tų institucijų.

3.Kiekviena nacionalinė kibernetinio saugumo sertifikavimo institucija yra nepriklausoma nuo jos prižiūrimų subjektų savo organizacinės struktūros, finansavimo sprendimų, teisinės struktūros ir sprendimų priėmimo atžvilgiu.

4.Nacionalinių kibernetinio saugumo sertifikavimo institucijų veikla, susijusi su Europos kibernetinio saugumo sertifikatų išdavimu pagal šį reglamentą, griežtai atskiriama nuo jų priežiūros veiklos, nustatytos šiame straipsnyje ir 85 straipsnio 4 dalies a ir b punktuose, ir tos veiklos vykdomos nepriklausomai viena nuo kitos.

5.Valstybės narės užtikrina, kad nacionalinės kibernetinio saugumo sertifikavimo institucijos turėtų pakankamai išteklių savo įgaliojimams ir pavestoms užduotims veiksmingai bei efektyviai vykdyti.

6.Nacionalinės kibernetinio saugumo sertifikavimo institucijos vykdo šiuos uždavinius:

a)dalyvauja EKSSG veikloje pagal 90 straipsnio 2 dalį;

b)bendradarbiaudamos su atitinkamomis rinkos priežiūros arba kitomis priežiūros institucijomis, įskaitant kompetentingas institucijas pagal Europos Parlamento ir Tarybos direktyvą (ES) 2022/2555 82 arba Reglamentą (ES) 2024/2847, prižiūri pagal 81 straipsnio 2 dalies a punktą į Europos kibernetinio saugumo sertifikavimo schemas įtrauktas taisykles ir užtikrina jų vykdymą, kad būtų užtikrinta IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės atitiktis Europos kibernetinio saugumo sertifikatų, išduotų atitinkamose jų teritorijose, reikalavimams;

c)bendradarbiaudamos su atitinkamomis rinkos priežiūros institucijomis stebi, kaip jų atitinkamose teritorijose įsisteigę ir savarankišką atitikties vertinimą pagal atitinkamą Europos kibernetinio saugumo sertifikavimo schemą atliekantys IRT produktų gamintojai arba tiekėjai, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjai arba subjektai, kurių kibernetinio saugumo būklė yra sertifikuota, laikosi šiame reglamente nustatytų pareigų, ir užtikrina jų vykdymą;

d)nedarant poveikio 91 straipsnio 3 daliai, aktyviai padeda nacionalinėms akreditacijos įstaigoms ir kitoms susijusioms institucijoms vykdyti atitikties vertinimo įstaigų veiksmų stebėsenos ir priežiūros veiklą, kaip nustatyta šiame reglamente, ir jas remia;

e)bendradarbiauja su Komisija, kai pagal 94 straipsnį ginčijama atitikties vertinimo įstaigos kompetencija;

f)stebi ir prižiūri 85 straipsnio 3 dalyje nurodytų viešųjų įstaigų veiklą;

g)kai taikytina, suteikia įgaliojimus atitikties vertinimo įstaigoms pagal 93 straipsnį, stebi, kaip atitikties vertinimo įstaigos laikosi papildomų ar konkrečių reikalavimų, nustatytų Europos kibernetinio saugumo sertifikavimo schemose pagal 81 straipsnio 3 dalies f punktą, ir užtikrina jų vykdymą, taip pat apriboja, sustabdo ar panaikina galiojantį įgaliojimą, jei atitikties vertinimo įstaigos nesilaiko šio reglamento reikalavimų;

h)nagrinėja fizinių ar juridinių asmenų pateiktus skundus, susijusius su nacionalinių kibernetinio saugumo sertifikavimo institucijų išduotais Europos kibernetinio saugumo sertifikatais arba atitikties vertinimo įstaigų remiantis 85 straipsnio 4 dalimi išduotais Europos kibernetinio saugumo sertifikatais, arba pagal 83 straipsnį išduotais ES atitikties pareiškimais, tinkama apimtimi tiria tokių skundų dalyką ir per pagrįstą laikotarpį informuoja skundo teikėją apie tyrimo eigą ir rezultatus;

i)kasmet ne vėliau kaip [įsigaliojimo metai + 12 mėnesių] kovo 31 d. pateikia Komisijai, ENISA ir EKSSG savo pagrindinės veiklos metinę ataskaitą ir pateikia šias ataskaitas susipažinti tarpusavio peržiūros grupei, kai pagal 89 straipsnį atliekama nacionalinės kibernetinio saugumo sertifikavimo institucijos tarpusavio peržiūra;

j)bendradarbiauja su kitomis nacionalinėmis kibernetinio saugumo sertifikavimo institucijomis, rinkos priežiūros institucijomis ar kitomis valdžios institucijomis, be kita ko, dalydamosi informacija apie galimą IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės neatitikimą šio reglamento arba konkrečių Europos kibernetinio saugumo sertifikavimo schemų reikalavimams;

k)stebi aktualius kibernetinio saugumo sertifikavimo srities pokyčius.

7.Kiekviena nacionalinė kibernetinio saugumo sertifikavimo institucija turi bent šiuos įgaliojimus:

a)prašyti atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų ir ES atitikties pareiškimų išdavėjų pateikti bet kokią informaciją, kurios jai reikia savo užduotims atlikti;

b)vykdyti tiriamąjį atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų ir ES atitikties pareiškimų išdavėjų auditą siekiant patikrinti, ar laikomasi šioje antraštinėje dalyje nustatytų reikalavimų;

c)pagal nacionalinę teisę imtis atitinkamų priemonių siekiant užtikrinti, kad atitikties vertinimo įstaigos, Europos kibernetinio saugumo sertifikatų turėtojai ir ES atitikties pareiškimo išdavėjai laikytųsi šio reglamento arba Europos kibernetinio saugumo sertifikavimo schemos reikalavimų;

d)gauti leidimą patekti į visas atitikties vertinimo įstaigų ar Europos kibernetinio saugumo sertifikatų turėtojų patalpas, kad galėtų vykdyti tyrimus pagal Sąjungos teisę arba nacionalinę proceso teisę;

e)laikantis nacionalinės teisės, panaikinti nacionalinių kibernetinio saugumo sertifikavimo institucijų arba pagal 85 straipsnio 4 dalį atitikties vertinimo įstaigų išduotus Europos kibernetinio saugumo sertifikatus, kai tokie sertifikatai neatitinka šio reglamento arba Europos kibernetinio saugumo sertifikavimo schemos;

f)laikantis nacionalinės teisės, taikyti sankcijas, kaip numatyta 97 straipsnyje, ir reikalauti nedelsiant nustoti pažeidinėti šiame reglamente nustatytas pareigas.

8.Nacionalinės kibernetinio saugumo sertifikavimo institucijos bendradarbiauja tarpusavyje ir su Komisija, visų pirma keisdamosi informacija, patirtimi ir gerąja praktika, susijusiomis su kibernetinio saugumo sertifikavimu ir IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės kibernetinio saugumo techniniais klausimais.

9.Ne vėliau kaip [įsigaliojimo data + 6 mėnesiai] ENISA, bendradarbiaudama su Komisija ir EKSSG, parengia šio straipsnio 6 dalies i punkte nurodytos ataskaitos šabloną.

89 straipsnis
Tarpusavio peržiūra

1.Atliekama nacionalinių kibernetinio saugumo sertifikavimo institucijų tarpusavio peržiūra.

2.Tarpusavio peržiūra atliekama remiantis pagrįstais ir skaidriais vertinimo kriterijais bei procedūromis, visų pirma, kiek tai susiję su struktūriniais, žmogiškųjų išteklių ir proceso reikalavimais, konfidencialumu ir skundais.

3.Atliekant tarpusavio peržiūrą vertinama:

a)kai taikytina, ar nacionalinės kibernetinio saugumo sertifikavimo institucijos, vykdydamos su Europos kibernetinio saugumo sertifikatų išdavimu pagal šį reglamentą susijusią veiklą, laikosi griežto šios veiklos atskyrimo nuo priežiūros veiklos pagal 88 straipsnį, ir ar ta veikla vykdoma tarpusavyje nepriklausomai;

b)procedūros, skirtos prižiūrėti, kaip įgyvendinamos taisyklės dėl IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės atitikties Europos kibernetinio saugumo sertifikatams stebėsenos, ir užtikrinti jų įgyvendinimą pagal 88 straipsnio 7 dalies a punktą;

c)procedūros, skirtos stebėti, kaip vykdomos IRT produktų gamintojų arba tiekėjų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjų arba subjektų, kurių kibernetinio saugumo būklė yra sertifikuota, pareigos, ir užtikrinti jų vykdymą pagal 88 straipsnio 7 dalies b punktą;

d)atitikties vertinimo įstaigų veiklos stebėsenos, įgaliojimų joms suteikimo ir jų priežiūros procedūros;

4.Tarpusavio peržiūrą bent kartą per penkerius metus atlieka bent dvi kitų valstybių narių nacionalinės kibernetinio saugumo sertifikavimo institucijos ir Komisija. ENISA taip pat dalyvauja atliekant tarpusavio peržiūrą kaip stebėtoja. Tarpusavio peržiūros grupė parengia tarpusavio peržiūros galutinę ataskaitą ir santrauką.

5.ENISA, bendradarbiaudama su Komisija ir EKSSG, padeda organizuoti tarpusavio peržiūros mechanizmą ir tarpusavio peržiūras, be kita ko, parengdama atitinkamus rekomendacinius dokumentus ir šablonus.

6.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriuose nustatomas ne mažiau kaip penkerių metų laikotarpiui skirtas tarpusavio peržiūros planas, nurodomi tarpusavio peržiūros grupės sudėties kriterijai, atliekant tarpusavio peržiūrą taikoma metodika, tvarkaraštis, periodiškumas ir kitos su tarpusavio peržiūra susijusios užduotys. Rengdama tuos įgyvendinimo aktus Komisija konsultuojasi su EKSSG ir ENISA. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

7.Galutinę ataskaitą, įskaitant galimas gaires ar rekomendacijas, ir tarpusavio peržiūros santrauką nagrinėja EKSSG, kuri patvirtina santrauką, kad ji būtų paskelbta 79 straipsnio 2 dalyje nurodytoje interneto svetainėje.

90 straipsnis
Europos kibernetinio saugumo sertifikavimo grupė

1.Įsteigiama Europos kibernetinio saugumo sertifikavimo grupė (toliau – EKSSG).

2.EKSSG sudaro nacionalinių kibernetinio saugumo sertifikavimo institucijų atstovai arba kitų susijusių nacionalinių institucijų atstovai. Bet kuris EKSSG narys gali atstovauti ne daugiau kaip dviem kitoms valstybėms narėms.

3.EKSSG užduotys yra šios:

a)konsultuoti Komisiją ir padėti jai užtikrinti nuoseklų šioje antraštinėje dalyje nustatytų taisyklių įgyvendinimą ir taikymą, kibernetinio saugumo sertifikavimo politikos klausimais ir koordinuoti politikos metodus;

b)konsultuoti Komisiją ir padėti jai rengti prašymus dėl Europos kibernetinio saugumo sertifikavimo schemų pagal 73 straipsnį;

c)padėti, teikti rekomendacijas ENISA ir bendradarbiauti su ja rengiant potencialią schemą pagal 74 straipsnį ir technines specifikacijas pagal 77 straipsnį;

d)padėti, teikti rekomendacijas ENISA ir Komisijai ir bendradarbiauti su jomis dėl priežiūros veiklos pagal 75 straipsnį;

e)padėti, teikti rekomendacijas Komisijai ir bendradarbiauti su ja dėl esamų Europos kibernetinio saugumo sertifikavimo schemų peržiūros arba panaikinimo pagal 76 straipsnį;

f)pasiūlyti, kad Komisijai būtų pateiktas prašymas dėl potencialios Europos kibernetinio saugumo sertifikavimo schemos parengimo pagal 73 straipsnio 2 dalį;

g)priimti Komisijai skirtas nuomones, susijusias su esamų Europos kibernetinio saugumo sertifikavimo schemų priežiūra, peržiūra ir panaikinimu;

h)nagrinėti aktualius kibernetinio saugumo sertifikavimo srities pokyčius, be kita ko, nacionaliniu lygmeniu pagal 86 straipsnį, ir keistis informacija ir gerąja praktika, susijusia su kibernetinio saugumo sertifikavimo schemomis;

i)sudaryti palankesnes sąlygas nacionalinių kibernetinio saugumo sertifikavimo institucijų bendradarbiavimui pagal šioje antraštinėje dalyje nustatytas taisykles stiprinant pajėgumus ir keičiantis informacija, visų pirma susijusia su kibernetinio saugumo sertifikavimo klausimais;

j)remti tarpusavio peržiūros mechanizmo pagal 89 straipsnį ir tarpusavio vertinimo mechanizmų įgyvendinimą pagal taisykles, nustatytas Europos kibernetinio saugumo sertifikavimo schemoje pagal 81 straipsnio 2 dalies g punktą;

k)palengvinti Europos kibernetinio saugumo sertifikavimo schemų suderinimą su tarptautiniu mastu pripažintais standartais, be kita ko, vykdant esamų Europos kibernetinio saugumo sertifikavimo schemų priežiūrą, ir, kai tinkama, teikti rekomendacijas ENISA bendradarbiauti su atitinkamomis Europos ar tarptautinėmis standartizacijos organizacijomis, siekiant pašalinti esamų Europos ar tarptautinių mastu pripažintų standartų trūkumus ar spragas.

4.Padedama ENISA, Komisija pirmininkauja EKSSG ir teikia EKSSG sekretoriato paslaugas.

5.Komisija gali įsteigti EKSSG pogrupius bet kuriuo iš šių tikslų:

a)nagrinėti konkrečius klausimus pagal Komisijos nustatytus įgaliojimus;

b)prižiūrėti ir peržiūrėti Europos sertifikavimo schemas pagal šį reglamentą ir remiantis Komisijos nustatytais įgaliojimais.

6.Pogrupiai yra atskaitingi EKSSG.

7.Pogrupiams bendrai pirmininkauja Komisija ir ENISA, o pogrupių sekretoriato paslaugas teikia ENISA.

8.EKSSG ir jos pogrupiai, remdamiesi Komisijos pasiūlymu ir gavę jos pritarimą, priima darbo tvarkos taisykles paprasta savo narių balsų dauguma.

2 skirsnis 
Atitikties vertinimo įstaigos

91 straipsnis
Atitikties įvertinimo įstaigų kompetencija

1.Atitikties vertinimo įstaigas akredituoja pagal Reglamentą (EB) Nr. 765/2008 paskirta nacionalinė akreditacijos įstaiga. Toks akreditavimas išduodamas tik jei atitikties vertinimo įstaiga atitinka šio reglamento I priede išdėstytus reikalavimus.

2.Tais atvejais, kai Europos kibernetinio saugumo sertifikatą išduoda nacionalinė kibernetinio saugumo sertifikavimo institucija pagal šį reglamentą, nacionalinės kibernetinio saugumo sertifikavimo institucijos sertifikavimo įstaiga yra akredituojama kaip atitikties vertinimo įstaiga pagal 1 dalį.

3.1 dalyje nurodytas akreditavimas suteikiamas atitikties vertinimo įstaigoms ne ilgesniam kaip penkerių metų laikotarpiui ir gali būti pratęstas, jei atitikties vertinimo įstaiga toliau atitinka šiame straipsnyje nustatytus reikalavimus. Nacionalinės akreditacijos įstaigos imasi visų tinkamų priemonių per pagrįstą terminą, siekdamos apriboti, sustabdyti arba atšaukti atitikties vertinimo įstaigos akreditavimą pagal 1 dalį, jeigu netenkinamas ar nebetenkinamos akreditavimo sąlygos, arba jeigu atitikties vertinimo įstaiga nesilaiko šio reglamento.

4.Nustatant papildomus arba konkrečius akreditavimo reikalavimus IRT produktams taikomai Europos kibernetinio saugumo sertifikavimo schemai pagal 92 straipsnį, kai tinkama, siekiama sinergijos su reikalavimais, susijusiais su notifikuotosiomis įstaigomis pagal Reglamentą (ES) 2024/2847, ir akreditavimo reikalavimais pagal jau priimtas kibernetinio saugumo sertifikavimo schemas.

5.Jei atitikties vertinimo įstaiga yra akredituota pagal Reglamentą (ES) 2024/2847, atitinkamos institucijos gali pakartotinai naudoti ankstesnio akreditavimo proceso rezultatus, susijusius su bet kokiais sutampančiais reikalavimais, kaip įrodymus vykdant akreditavimo procesą pagal šį reglamentą.

92 straipsnis
Papildomas atitikties vertinimo įstaigų kompetencijos suderinimas

1.Jei Europos kibernetinio saugumo sertifikavimo schemoje pagal 81 straipsnio 3 dalies f punktą nustatomi papildomi arba konkretūs reikalavimai, pagal 88 straipsnio 1 dalį paskirta nacionalinė kibernetinio saugumo sertifikavimo institucija atitikties vertinimo įstaigoms suteikia įgaliojimus vykdyti užduotis pagal tokią schemą. Toks įgaliojimas suteikiamas tik tuo atveju, jei atitikties vertinimo įstaiga yra akredituota ir atitinka papildomus arba konkrečius reikalavimus, nustatytus pagal Europos kibernetinio saugumo sertifikavimo schemą.

2.Jeigu atitikties vertinimo įstaiga pageidauja įgaliojimo pagal šį straipsnį, ji pateikia prašymą valstybės narės, kurioje yra įsisteigusi, nacionalinei kibernetinio saugumo sertifikavimo institucijai arba nacionalinei kibernetinio saugumo sertifikavimo institucijai, kurios paslaugomis ta valstybė narė naudojasi pagal 88 straipsnio 1 dalį.

3.Atitikties vertinimo įstaiga gali prašyti įgaliojimų iš kitos nei nurodyta 2 dalyje nacionalinės kibernetinio saugumo sertifikavimo institucijos šiais atvejais:

a)jei 1 dalyje nurodyta nacionalinė kibernetinio saugumo sertifikavimo institucija neteikia įgaliojimų dėl tų atitikties vertinimo veiklos rūšių, kurioms pageidaujama gauti įgaliojimą;

b)jei nebuvo atlikta 1 dalyje nurodytos nacionalinės kibernetinio saugumo sertifikavimo institucijos tarpusavio peržiūra pagal 89 straipsnį dėl tų atitikties vertinimo veiklos rūšių, kurioms pageidaujama gauti įgaliojimą.

4.Jeigu nacionalinė kibernetinio saugumo sertifikavimo institucija gauna prašymą pagal 3 dalį, ji apie tai praneša valstybės narės, kurioje yra įsisteigusi prašančioji atitikties vertinimo įstaiga, nacionalinei kibernetinio saugumo sertifikavimo institucijai. Tokiais atvejais tos valstybės narės nacionalinė kibernetinio saugumo sertifikavimo institucija gali stebėtojos teisėmis dalyvauti suteikiant įgaliojimą.

5.Nacionalinė kibernetinio saugumo sertifikavimo institucija gali kreiptis į kitą nacionalinę kibernetinio saugumo sertifikavimo instituciją, kad ši atliktų tam tikras vertinimo veiklos dalis. Tokiu atveju įgaliojimo sertifikatą išduoda prašančioji institucija.

6.1 dalyje nurodytas įgaliojimas galioja ne ilgiau nei galioja akreditacija ir gali būti atnaujintas, jeigu atitikties vertinimo įstaiga atitinka 1 dalyje nustatytus reikalavimus ir jos akreditacija taip pat buvo atnaujinta.

7.Nacionalinės kibernetinio saugumo sertifikavimo institucijos imasi visų tinkamų priemonių per pagrįstą terminą, siekdamos apriboti, sustabdyti arba atšaukti atitikties vertinimo įstaigos įgaliojimą pagal 1 dalį, jeigu netenkinamos ar nebetenkinamos įgaliojimo suteikimo sąlygos, arba jeigu atitikties vertinimo įstaiga nesilaiko šio reglamento.

8.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos įgaliojimų suteikimo atitikties vertinimo įstaigoms procedūros, be kita ko, susijusios su tarpvalstybiniu bendradarbiavimu. Rengdama įgyvendinimo aktus Komisija gali konsultuotis su ENISA ir EKSSG. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

93 straipsnis
Atitikties vertinimo įstaigų notifikavimas

1.Kiekvienos Europos kibernetinio saugumo sertifikavimo schemos atveju valstybės narės nacionalinės kibernetinio saugumo sertifikavimo institucijos praneša Komisijai ir kitoms valstybėms narėms apie atitikties vertinimo įstaigas, kurios buvo akredituotos ir, kai taikytina, įgaliotos pagal 92 straipsnį.

2.Nacionalinės kibernetinio saugumo sertifikavimo institucijos 1 dalyje nurodytą notifikavimą atlieka naudodamos Komisijos sukurtą ir valdomą elektroninę notifikavimo priemonę.

3.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos šio straipsnio 1 dalyje nurodyto notifikavimo aplinkybės, formatai ir procedūros, įskaitant kitų valstybių narių prieštaravimo procedūrą pranešimų teikimo proceso metu, unikalų atitikties vertinimo įstaigų identifikavimą, taip pat aplinkybes, kurioms esant notifikavimas apribojamas, sustabdomas arba atšaukiamas. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

94 straipsnis
Su atitikties įvertinimo įstaigų kompetencija susiję ginčai

1.Komisija tiria visus atvejus, kai jai kyla abejonių arba jai pranešama apie abejones dėl atitikties vertinimo įstaigos kompetencijos vykdyti ar toliau vykdyti jai taikomus reikalavimus ir jai pavestas pareigas.

2.Komisijos prašymu nacionalinė kibernetinio saugumo sertifikavimo institucija jai pateikia visą su notifikavimo pagrindimu arba atitinkamos atitikties vertinimo įstaigos kompetencijos užtikrinimu susijusią informaciją.

3.Komisija užtikrina, kad visa neskelbtina informacija, gauta jai atliekant tyrimus, būtų tvarkoma konfidencialiai.

4.Jei Komisija sužino, kad atitikties vertinimo įstaiga neatitinka arba nebeatitinka jos notifikavimo reikalavimų, ji atitinkamai informuoja nacionalinę kibernetinio saugumo sertifikavimo instituciją ir paprašo imtis būtinų taisomųjų priemonių, įskaitant, jei būtina, notifikavimo panaikinimą.

5.Valstybės narės užtikrina, kad būtų nustatyta skundų dėl notifikuotųjų įstaigų sprendimų teikimo tvarka.

95 straipsnis
Atitikties vertinimo įstaigų pareiga teikti informaciją ir saugoti duomenis

1.Atitikties vertinimo įstaigos informuoja nacionalinę kibernetinio saugumo sertifikavimo instituciją apie:

a)kiekvieną atsisakymą išduoti sertifikatą, sertifikato galiojimo apribojimą, sustabdymą ar panaikinimą;

b)visas aplinkybes, turinčias įtakos 93 straipsnio 1 dalyje nurodyto notifikavimo taikymo sričiai ir sąlygoms;

c)kiekvieną prašymą suteikti informacijos, kurį jos gavo iš rinkos priežiūros institucijų dėl atitikties vertinimo veiklos;

d)visą atitikties vertinimo veiklą, vykdomą atsižvelgiant į notifikavimo taikymo sritį, ir visą kitą veiklą, įskaitant ir tarpvalstybiniu mastu vykdomą bei subrangos veiklą, jei to būtų paprašyta.

2.Atitikties vertinimo įstaigos taip pat teikia ENISA 1 dalies a punkte nurodytą informaciją, kad jai būtų lengviau atlikti savo užduotį pagal 79 straipsnį.

3.Atitikties vertinimo įstaigos kitoms atitikties vertinimo įstaigoms, pagal šį reglamentą vykdančioms panašią atitikties vertinimo veiklą, susijusią su tais pačiais IRT produktais, IRT paslaugomis, IRT procesais, valdomomis saugumo paslaugomis arba subjektais, kurių kibernetinio saugumo būklė yra sertifikuota, nepagrįstai nedelsdamos teikia atitinkamą informaciją klausimais, susijusiais su neigiamais ir, jei prašoma, teigiamais atitikties vertinimo rezultatais.

4.Atitikties vertinimo įstaigos tvarko įrašų sistemą, kurioje saugomi visi su kiekvienu jų atliekamu vertinimu ir sertifikavimu susiję parengti arba gauti dokumentai ir įrodymai. Įrašai saugiu ir prieinamu būdu saugomi tiek laiko, kiek reikia sertifikavimo tikslais, ir ne mažiau kaip penkerius metus po atitinkamo Europos kibernetinio saugumo sertifikato galiojimo pabaigos arba panaikinimo.

3 skirsnis 
Kitos nuostatos

96 straipsnis
Teisė pateikti skundą ir teisė imtis veiksmingų teisminių teisių gynimo priemonių 

1.Fiziniai ir juridiniai asmenys turi teisę pateikti skundą Europos kibernetinio saugumo sertifikato išdavėjui arba, kai skundas susijęs su Europos kibernetinio saugumo sertifikatu, kurį išdavė atitikties vertinimo įstaiga, veikdama pagal 85 straipsnio 4 dalį, – atitinkamai nacionalinei kibernetinio saugumo sertifikavimo institucijai.

2.Institucija ar įstaiga, kuriai pateiktas skundas, informuoja skundo pateikėją apie skundo nagrinėjimo eigą ir priimtą sprendimą, taip pat informuoja apie teisę imtis 3 ir 4 dalyse nurodytų veiksmingų teisminių teisių gynimo priemonių.

3.Nedarant poveikio administracinėms ar kitoms neteisminėms teisių gynimo priemonėms, fiziniai ir juridiniai asmenys turi teisę imtis veiksmingų teisminių teisių gynimo priemonių tokiais atvejais:

a)1 dalyje nurodytos institucijos ar įstaigos priimtų sprendimų, įskaitant, kai taikytina, susijusių su tų fizinių ir juridinių asmenų turimo Europos kibernetinio saugumo sertifikato netinkamu išdavimu, neišdavimu ar nepripažinimu, atveju;

b)kai nesiimama veiksmų dėl skundo, pateikto 1 dalyje nurodytai institucijai arba įstaigai.

4.Teisminiai procesai pagal šį straipsnį pradedami valstybės narės, kurioje yra institucija arba įstaiga, prieš kurią pradedami teisminiai procesai, teismuose.

97 straipsnis
Sankcijos

Valstybės narės nustato taisykles, kuriomis reglamentuojamos už šios antraštinės dalies ir Europos kibernetinio saugumo sertifikavimo schemų nuostatų pažeidimus taikytinos sankcijos, ir imasi visų reikiamų priemonių, kad užtikrintų jų įgyvendinimą. Numatytos sankcijos turi būti veiksmingos, proporcingos ir atgrasomos. Valstybės narės nedelsdamos praneša apie tas taisykles ir tas priemones Komisijai ir jai praneša apie visus vėlesnius joms įtakos turinčius pakeitimus.

IV ANTRAŠTINĖ DALIS 
IRT TIEKIMO GRANDINIŲ SAUGUMAS

I SKYRIUS 
Patikima IRT tiekimo grandinės sistema

98 straipsnis
Sistemos aprėptis

1.Patikimoje IRT tiekimo grandinės sistemoje numatomas Sąjungos lygmens saugumo mechanizmas netechninei rizikai ypatingos svarbos sektoriuose ir kituose itin svarbiuose sektoriuose, kaip nurodyta Direktyvoje (ES) 2022/2555, mažinti. Mechanizmu nustatomas ypatingos svarbos IRT tiekimo grandinėse esantis pagrindinis IRT turtas ir nustatomos tinkamos ir proporcingos rizikos mažinimo priemonės Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektams.

2.Šioje antraštinėje dalyje nustatytos pareigos nedaro poveikio pareigoms, nustatytoms Reglamento (ES) 2024/2847 13 straipsnyje ir nacionalinėse nuostatose, kuriomis į nacionalinę teisę perkeliamas Direktyvos (ES) 2022/2555 21 straipsnis.

3.Šiame skyriuje išdėstytomis nuostatomis valstybėms narėms netrukdoma priimti arba palikti toliau galioti nuostatas, kuriomis IRT tiekimo grandinėse užtikrinamas aukštesnio lygio kibernetinis saugumas, su sąlyga, kad tokios nuostatos yra suderinamos su jų įsipareigojimais pagal Sąjungos teisę.

99 straipsnis
Saugumo rizikos vertinimai

1.Komisija arba bent trijų valstybių narių grupė gali prašyti pagal Direktyvos (ES) 2022/2555 14 straipsnį įsteigtos Bendradarbiavimo grupės (toliau – TIS bendradarbiavimo grupė) pagal tos direktyvos 22 straipsnį atlikti Sąjungos lygmens koordinuotus saugumo rizikos vertinimus. Kai gavus tokį prašymą atliekamas saugumo rizikos vertinimas, jis visų pirma apima siūlomą atitinkamos IRT tiekimo grandinės pagrindinio IRT turto nustatymą ir pagrindinių priešiškų subjektų, rizikos bei pažeidžiamumų, kurie daro poveikį tam turtui, nustatymą. Atliekant Sąjungos lygmens koordinuotus saugumo rizikos vertinimus parengiami rizikos scenarijai ir pasiūlomos nustatytos rizikos mažinimo priemonės.

2.Sąjungos lygmens koordinuoti saugumo rizikos vertinimai užbaigiami per šešis mėnesius nuo 1 dalyje nurodyto prašymo pateikimo dienos. Komisijos prašymu TIS bendradarbiavimo grupė gali sutikti laikytis trumpesnio termino.

3.Jei Komisija turi pakankamai priežasčių manyti, kad IRT tiekimo grandinėje yra reikšminga kibernetinė grėsmė Sąjungos saugumui ir kad reikia imtis veiksmų tinkamam vidaus rinkos veikimui išsaugoti, Komisija nedelsdama:

a)konsultuojasi su valstybėmis narėmis dėl poreikio imtis vienos ar kelių 103 straipsnyje nurodytų rizikos mažinimo priemonių; ir

b)atlieka saugumo rizikos vertinimą, atsižvelgdama į konsultacijas su valstybėmis narėmis. Saugumo rizikos vertinimas apima siūlomą pagrindinio IRT turto ir pagrindinių priešiškų subjektų, rizikos bei pažeidžiamumų, kurie daro poveikį tam turtui, nustatymą. Atliekant saugumo rizikos vertinimą parengiami rizikos scenarijai ir pasiūlomos nustatytos rizikos mažinimo priemonės.

100 straipsnis
Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas

1.Jei atlikus 99 straipsnyje nurodytą saugumo rizikos vertinimą arba remiantis kitais šaltiniais, pavyzdžiui, viešu pareiškimu Sąjungos arba valstybės narės vardu, paaiškėja, kad trečioji valstybė kelia didelę ir struktūrinę netechninę riziką IRT tiekimo grandinėms, Komisija patikrina tos valstybės keliamą riziką, atsižvelgdama į šiuos elementus:

a)ar trečiojoje valstybėje yra teisės aktų, pagal kuriuos reikalaujama, kad jos jurisdikcijai priklausantys subjektai tos trečiosios valstybės institucijoms teiktų informaciją apie programinės ar aparatinės įrangos pažeidžiamumus prieš tai, kai sužinoma, kad tais pažeidžiamumais buvo pasinaudota;

b)ar trečiojoje valstybėje taikoma nepriklausomais šaltiniais įrodyta praktika, pagal kurią reikalaujama, kad trečios valstybės jurisdikcijai priklausantys subjektai tos trečiosios valstybės institucijoms teiktų informaciją apie programinės ar aparatinės įrangos pažeidžiamumus prieš tai, kai sužinoma, kad tais pažeidžiamumais buvo pasinaudota;

c)tai, kad nėra veiksmingų teisminių teisių gynimo priemonių ir nepriklausomų bei demokratinės kontrolės mechanizmų, kuriais būtų galima pašalinti nustatytas saugumo problemas, be kita ko, susijusias su b punkte nurodyta taikoma praktika;

d)pagrįsta informacija apie vieną ar daugiau incidentų, susijusių su priešiškais subjektais, kontroliuojamais iš tos valstybės ir veikiančiais iš tos valstybės teritorijos, kurie vykdo kibernetinę kenkimo veiklą ar kampanijas, ir apie trečiosios valstybės gebėjimo ar noro bendradarbiauti su Komisija ar valstybėmis narėmis, kad būtų pašalinta rizika, kylanti dėl tokių priešiškų subjektų veiklos, trūkumą;

e)atitinkama informacija, gauta iš Sąjungos lygmens koordinuotų saugumo rizikos vertinimų arba valstybių narių ar tarptautinių organizacijų pranešimų.

2.Jei Komisija, atlikusi 1 dalyje nurodytą patikrinimą, padaro išvadą, kad trečioji valstybė kelia didelę ir struktūrinę netechninę riziką IRT tiekimo grandinėms, ji gali įgyvendinimo aktu nustatyti, kad ta trečioji valstybė kelia kibernetinio saugumo problemų IRT tiekimo grandinėms. Tas įgyvendinimo aktas priimamas laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

3.Komisija pagal 2 dalį priimtus įgyvendinimo aktus reguliariai peržiūri.

4.Didelės rizikos tiekėjai neturi teisės:

a)dalyvauti rengiant, vertinant, vykdant konsultacijas ar priimant sprendimus dėl Europos standartų ir Europos standartizacijos leidinių, nurodytų Reglamento (ES) 1025/2012 10 straipsnio 1 dalyje, ir Reglamento (ES) 2024/2847 27 straipsnyje nurodytų bendrųjų specifikacijų kibernetinio saugumo srityje;

b)prašyti jiems išduoti bet kokį Europos kibernetinio saugumo sertifikatą pagal III antraštinę dalį arba būti jų turėtojais;

c)tapti akredituota atitikties vertinimo įstaiga pagal III antraštinę dalį;

d)prašyti tapti įgaliotuoju bet kokio Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėju pagal II antraštinės dalies 4 skirsnį;

e)dalyvauti viešųjų pirkimų procedūrose, organizuojamose pagal teisės aktus, kuriais į nacionalinę teisę perkeliamos direktyvos 2014/24/ES ir 2014/25/ES, susijusiose su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, kurie bus naudojami pagal 102 straipsnį nustatytame pagrindiniame IRT turte, tiekimu;

f)dalyvauti bet kokioje veikloje pagal Sąjungos finansavimo programas ir priemones, įgyvendinamas taikant tiesioginį ir netiesioginį valdymą pagal Reglamento (ES, Euratomas) 2024/2509 136 straipsnį ir konkretiems sektoriams taikomas Sąjungos taisykles, taip pat bet kokioje Sąjungos finansavimo veikloje, įgyvendinamoje taikant pasidalijamąjį valdymą, susijusioje su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, kurie bus naudojami pagrindiniame IRT turte, kaip nustatyta pagal 102 straipsnį, tiekimu.

Už a–f punktuose nurodytas procedūras atsakingos institucijos atlieka šios dalies tikslais būtinus vertinimus. Šiuo tikslu institucijos taip pat gali remtis 104 straipsnyje nurodytu sąrašu.

5.Tais atvejais, kai didelės rizikos tiekėjas jau yra gavęs Europos kibernetinio saugumo sertifikatą pagal III antraštinę dalį, kompetentinga institucija nepagrįstai nedelsdama tokį sertifikatą panaikina.

101 straipsnis
Bendrasis IRT tiekimo grandinės saugumo mechanizmas

Jei pagal šio reglamento 99 straipsnio 1 dalį TIS bendradarbiavimo grupė atliko Sąjungos lygmens koordinuotą saugumo rizikos vertinimą arba IRT tiekimo grandinei buvo užbaigta procedūra reikšmingos kibernetinės grėsmės atveju pagal 99 straipsnio 3 dalį, Komisija gali imtis 102 straipsnyje ir 103 straipsnio 1 ir 2 dalyse numatytų priemonių.

102 straipsnis
Pagrindinio IRT turto nustatymas

1.Jei pagal 99 straipsnio 1 arba 3 dalį atlikus rizikos vertinimą nustatoma reikšminga kibernetinio saugumo rizika, susijusi su IRT tiekimo grandine, Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomas pagrindinis IRT turtas, naudojamas Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektų produktams gaminti arba jų paslaugoms teikti. Tie įgyvendinimo aktai priimami laikantis šio reglamento 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

2.Nustatydama 1 dalyje nurodytą pagrindinį IRT turtą, Komisija atsižvelgia į šiuos elementus:

a)ar tas turtas atlieka ypatingos svarbos ir jautrias funkcijas, susijusias su Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektų gaminamų produktų ar teikiamų paslaugų veikimu;

b)ar incidentai, įskaitant tuos, kurių kyla išnaudojant su tuo turtu susijusius pažeidžiamumus, gali sukelti didelių IRT tiekimo grandinių sutrikimų visoje vidaus rinkoje arba lemti duomenų išgavimą;

c)ar yra priklausomybė nuo riboto to turto tiekėjų skaičiaus;

d)99 straipsnyje nurodytų rizikos vertinimų rezultatus.

103 straipsnis
Rizikos mažinimo priemonės IRT tiekimo grandinėje

1.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais, kai tai būtina aukštam kibernetinio saugumo, kibernetinio atsparumo ir pasitikėjimo lygiui Sąjungoje užtikrinti, nustatoma, kad Direktyvos (ES) 2022/2555 I ir II prieduose nurodytiems konkrečios rūšies subjektams draudžiama bet kokia forma naudoti, diegti ar integruoti didelės rizikos tiekėjų, nustatytų pagal 104 straipsnį, IRT komponentus ar komponentus, kuriuose yra tokių tiekėjų IRT komponentų, į pagrindinį IRT turtą, nustatytą pagal 102 straipsnį. Tokiuose įgyvendinimo aktuose numatomi tinkami pereinamieji laikotarpiai, per kuriuos Komisija turi paskelbti 104 straipsnyje nurodytą didelės rizikos tiekėjų sąrašą, taip pat papildomi atitinkamų IRT komponentų ir komponentų, kuriuose yra IRT komponentų, laipsniško atsisakymo laikotarpiai. Tokiame įgyvendinimo akte taip pat gali būti nurodyti šie IRT komponentai arba komponentai, kuriuose yra IRT komponentų.

2.Siekiant sumažinti riziką, nustatytą pagal 99 straipsnį atlikus saugumo rizikos vertinimus, Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais, kai tai būtina aukštam kibernetinio saugumo, kibernetinio atsparumo ir pasitikėjimo lygiui Sąjungoje užtikrinti, nustatoma, kad Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų konkrečios rūšies subjektų IRT tiekimo grandinėms ir visų pirma pagal 102 straipsnį nustatytam pagrindiniam IRT turtui taikomos viena ar kelios iš nurodytų rizikos mažinimo priemonių:

a)skaidrumo reikalavimų, susijusių su informacijos apie pagrindinio IRT turto, nustatyto pagal 102 straipsnį, tiekėjus IRT tiekimo grandinėje teikimu kompetentingai institucijai, taikymas;

b)draudimas, susijęs su duomenų perdavimu trečiosioms valstybėms ir nuotoliniu duomenų tvarkymu iš trečiosios valstybės;

c)techninės priemonės, kurių auditą turi atlikti trečioji šalis, įskaitant:

i) duomenų apdorojimo įrenginyje naudojimą;

ii) specifinę tinklo sistemų segmentaciją;

iii) bet kokios nuotolinės ar fizinės prieigos prie pagrindinio IRT turto pašalinimą;

iv) neesminių funkcijų išjungimą;

v) tinklo veikimo stebėjimą;

vi) aparatinės ir programinės įrangos testavimą;

d)apribojimai, susiję su operaciniu valdymu, įskaitant organizacijos funkcijų perdavimą valdomų paslaugų teikėjams;

e)apribojimai, susiję su subjekto sutartiniais santykiais su savo tiekėjais;

f)reikalavimas, kad paslaugą teiktų, valdytų, prižiūrėtų ar palaikytų atitinkamų nacionalinių kompetentingų institucijų patikrinti darbuotojai;

g)IRT komponentų arba komponentų, kuriuose yra IRT komponentų, tiekimo įvairinimas.

3.Nustatydama 2 dalyje nurodytas priemones, Komisija gali nustatyti tų priemonių techninius ir metodinius reikalavimus.

4.Prieš priimdama 1 ir 2 dalyse nurodytus įgyvendinimo aktus, Komisija įvertina galimą riziką ir priklausomybės ryšius, visų pirma:

a)kai taikytina, rizikos, susijusios su bet kokios formos IRT komponentų iš didelės rizikos tiekėjų ar komponentų, kuriuose yra tokių IRT komponentų, naudojimu, diegimu ar integravimu į pagrindinį IRT turtą, lygį;

b)galimą ekonominį ir socialinį poveikį, kurį įpareigojimas gali turėti Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektams;

c)alternatyvių tiekėjų, kurie galėtų pakeisti didelės rizikos tiekėjus, prieinamumą;

d)galimą tarpvalstybinės ekonominės ir visuomeninės veiklos sutrikdymą dėl incidento, darančio poveikį subjekto IRT tiekimo grandinei.

5.Šio straipsnio 1 ir 2 dalyse nurodyti įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros ir peržiūrimi ne rečiau kaip kas 36 mėnesius.

6.Išskirtinėmis aplinkybėmis, kurios pateisina intervenciją siekiant išsaugoti tinkamą vidaus rinkos veikimą, ir kai Komisija turi pakankamai priežasčių manyti, kad IRT komponentų iš konkretaus subjekto, įsisteigusio trečiojoje valstybėje arba kontroliuojamo trečiosios valstybės arba trečiosios valstybės subjektų ar piliečio arba komponentų, kuriuose yra tokių IRT komponentų, naudojimas, diegimas ar integravimas kelia reikšmingą netechninę kibernetinio saugumo riziką bent trijų valstybių narių ekonominei ar visuomeninei veiklai, Komisija nedelsdama konsultuojasi su valstybėmis narėmis dėl poreikio imtis priemonių Sąjungos lygmeniu.

7.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatoma, kad Direktyvos (ES) 2022/2555 I ir II prieduose nurodytiems konkrečios rūšies subjektams draudžiama naudoti, diegti arba integruoti 6 dalyje nurodyto subjekto IRT komponentus arba komponentus, kuriuose yra tokių IRT komponentų. Tuo tikslu ji konsultuojasi su Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektais, kuriems gali būti taikomas draudimas. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros. Kai tinkama, juose nurodomi tinkami šių IRT komponentų arba komponentų, kuriuose yra tokių IRT komponentų, laipsniško atsisakymo laikotarpiai. Tokiame įgyvendinimo akte taip pat gali būti nurodyti šie IRT komponentai arba komponentai, kuriuose yra tokių IRT komponentų, kuriems yra taikomas draudimas. Šis draudimas taip pat taikomas IRT komponentams arba komponentams, kuriuose yra tokių IRT komponentų, iš visų subjektų, kuriuos kontroliuoja 6 dalyje nurodytas konkretus subjektas.

8.1, 2 ir 7 dalyse nurodytuose įgyvendinimo aktuose taip pat gali būti nurodyta, kad rizikos mažinimo priemonės taikomos tik tam tikro dydžio Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektams.

9.100 straipsnio 4 dalis taikoma konkrečiam subjektui, įsteigtam trečiojoje valstybėje arba kontroliuojamam trečiosios valstybės subjekto ar trečiosios valstybės piliečio, kaip nurodyta 7 dalyje. 

10.Pagal 1, 2 ir 7 dalis priimti įgyvendinimo aktai, kurie yra taikomi Direktyvos (ES) 2022/2555 I priedo 10 punkte nurodytų rūšių subjektams, mutatis mutandis taikomi Europos institucijoms, įstaigoms, organams ir agentūroms.

104 straipsnis
Didelės rizikos tiekėjų nustatymas

1.Komisija priima įgyvendinimo aktus, kuriais sudaromi didelės rizikos tiekėjų, kuriems taikomi pagal 103 straipsnio 1 ir 7 dalis priimtuose įgyvendinimo aktuose nustatyti draudimai arba 111 straipsnio 1 dalyje nurodytas draudimas, sąrašai.

2.Tuo tikslu Komisija sudaro sąrašą tiekėjų, tiekiančių su 1 dalyje nurodytu draudimu susijusius IRT komponentus ir komponentus, kuriuose yra tokių IRT komponentų.

Tuo remdamasi Komisija atlieka pradinį vertinimą, kad nustatytų, kurie iš į sąrašą įtrauktų tiekėjų galėtų būti įsisteigę pagal 100 straipsnį nustatytoje trečiojoje valstybėje arba kuriuos kontroliuoja tokia trečioji valstybė, tokioje trečiojoje valstybėje įsisteigęs subjektas arba tokios trečiosios valstybės pilietis. Komisija taip pat sudaro pradinį tiekėjų, kuriuos gali kontroliuoti 103 straipsnio 6 dalyje nurodytas subjektas, sąrašą.

3.Komisija įvertina pagal 2 dalies antrą pastraipą iš pradžių nustatytų tiekėjų įsisteigimo vietą ir jų nuosavybės bei valdymo struktūrą.

4.3 dalyje nurodyto vertinimo tikslais Komisija turi teisę prašyti tiekėjų pateikti būtiną informaciją. Jei tiekėjas per nustatytą terminą nepateikia būtinos informacijos, Komisija gali padaryti išvadą, kad tiekėjas yra įsisteigęs pagal 100 straipsnį nustatytoje trečiojoje valstybėje arba yra kontroliuojamas tokios trečiosios valstybės, tos trečiosios valstybės subjektų arba tokios trečiosios valstybės piliečių. Jei Komisija atlieka vertinimą 103 straipsnio 7 dalies tikslais ir tiekėjas per nustatytą terminą nepateikia būtinos informacijos, Komisija gali padaryti išvadą, kad tiekėją kontroliuoja pagal tą straipsnį nustatytas subjektas. Gavusios prašymą 112 straipsnyje nurodytos kompetentingos institucijos dalijasi atitinkama informacija ir su Komisija.

5.Komisija pateikia preliminarias išvadas dėl atitinkamo tiekėjo įsisteigimo, kontrolės ir nuosavybės vertinimo. Komisija suteikia tiekėjui galimybę būti išklausytam dėl tų preliminarių išvadų.

6.Komisija gali paprašyti kompetentingos institucijos atlikti tiekėjo įsisteigimo, nuosavybės ir kontrolės pradinį vertinimą, kai tai pateisinama atsižvelgiant į šio tiekėjo veiklos charakteristikas. Kompetentinga institucija gali pasiūlyti atlikti tokį pradinį vertinimą. Komisija patikrina šias pradines išvadas, kad nuspręstų, ar tiekėjas turėtų būti įtrauktas į didelės rizikos tiekėjų sąrašą.

7.Komisija reguliariai atnaujina didelės rizikos tiekėjų sąrašą, siekdama pašalinti arba įtraukti didelės rizikos tiekėjus. Į sąrašą įtraukti didelės rizikos tiekėjai, pateikę įrodymų, kad įvyko svarbių pokyčių, gali prašyti Komisijos iš naujo įvertinti jų įsisteigimo, kontrolės ir nuosavybės struktūrą.

8.Kai kompetentinga institucija sužino, be kita ko, remdamasi Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjekto pateikta informacija, kad tiekėją gali reikėti įtraukti į didelės rizikos tiekėjų sąrašą, ji nepagrįstai nedelsdama apie tai informuoja Komisiją.

105 straipsnis
Išimtis, taikoma subjektams, įsisteigusiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba valdomiems joje esančių subjektų

1.Trečiojoje valstybėje, kuri pagal 100 straipsnį nustatyta kaip kelianti kibernetinio saugumo problemų, įsisteigęs arba jos subjektų kontroliuojamas subjektas gali pateikti Komisijai pagrįstą prašymą taikyti išimtį:

a)kad nebūtų taikomas Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektams nustatytas draudimas bet kokia forma naudoti, diegti ar integruoti jo tiekiamus IRT komponentus ar komponentus, kuriuose yra jo tiekiamų IRT komponentų, į tų subjektų pagrindinį IRT turtą, nukrypstant nuo 111 straipsnio arba įgyvendinimo aktų, priimtų pagal 103 straipsnio 1 dalį;

b)kad nebūtų taikomas draudimas dalyvauti viešųjų pirkimų procedūrose, organizuojamose pagal teisės aktus, kuriais į nacionalinę teisę perkeliama Direktyva 2014/24/ES ir Direktyva 2014/25/ES, susijusiose su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, kurie bus naudojami nukrypstant nuo 100 straipsnio 4 dalies nuostatų pagal 102 straipsnį nustatytame pagrindiniame IRT turte, tiekimu;

2.1 dalyje nurodytame prašyme:

a)nurodoma, kad trečiojoje valstybėje, kuri pagal 100 straipsnį nustatyta kaip kelianti kibernetinio saugumo problemų, įsisteigęs arba jos subjektų kontroliuojamas subjektas pageidauja, kad jam būtų taikoma šio straipsnio 1 dalyje nurodyta išimtis ir

b)pateikiami aiškūs įrodymai, kad bus imtasi veiksmingų rizikos mažinimo priemonių siekiant sumažinti netechninę riziką ir užtikrinti, kad pagal 100 straipsnį nustatyta trečioji valstybė nevykdytų jokio galimo nederamo kišimosi, susijusio su IRT komponentų arba komponentų, kuriuose yra IRT komponentų, skirtų naudoti, įrengti arba integruoti į Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektų pagrindinį IRT turtą, tiekimu.

3.Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais patikslinamos 2 dalies b punkte nurodytos sąlygos ir nustatomos išsamios taisyklės dėl šiame straipsnyje nurodytų procedūrų. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

4.Komisija įvertina 1 dalyje nurodytą prašymą taikydama sąžiningą ir skaidrų procesą, atsižvelgdama į:

a)100 straipsnio 1 ir 2 dalyse nurodytas aplinkybes ir papildomus elementus, kurie yra susiję su valstybe, kuri, kaip nustatyta, IRT tiekimo grandinėms kelia kibernetinio saugumo problemų, kurioje subjektas yra įsisteigęs arba iš kurios jis yra kontroliuojamas;

b)2 dalies b punkte nurodytų rizikos mažinimo priemonių veiksmingumą;

c)tai, ar trečiojoje valstybėje, kuri IRT tiekimo grandinėms kelia kibernetinio saugumo problemų, įsisteigusiam arba tokios trečiosios valstybės subjektų kontroliuojamam subjektui suteikta išimtis nepakenktų Sąjungos interesams.

5.Jei Komisija, atlikusi 3 dalyje nurodytą vertinimą, padaro išvadą, kad yra pagrįsta suteikti išimtį, ji tai padaro priimdama sprendimą, apie kurį praneša pareiškėjui per 9 mėnesius nuo prašymo gavimo dienos.

6.Priimdama 4 dalyje nurodytą sprendimą, Komisija gali apriboti išimties taikymą tam tikram laikotarpiui ir nustatyti subjektui išimties taikymo sąlygas, įskaitant:

a)laikotarpį, per kurį turi būti įgyvendintos 2 dalies b punkte nurodytos rizikos mažinimo priemonės;

b)reguliarius trečiųjų šalių auditus, siekiant užtikrinti veiksmingą rizikos mažinimo priemonių įgyvendinimą;

c)ataskaitų teikimo prievolę, susijusią su reikalavimų laikymusi.

7.Jei Komisija, atlikusi 3 dalyje nurodytą vertinimą, padaro išvadą, kad nėra pagrįsta suteikti išimtį, ji tai padaro priimdama sprendimą, apie kurį praneša pareiškėjams per 9 mėnesius nuo prašymo gavimo dienos.

8.Komisija gali savo iniciatyva atšaukti arba pakeisti 4 dalyje nurodytą sprendimą vienu ar keliais iš šių atvejų:

a)jei iš esmės pasikeitė faktinės aplinkybės, kuriomis buvo remtasi priimant sprendimą;

b)prašymą taikyti išimtį pateikęs subjektas veikia nesilaikydamas savo įsipareigojimų;

c)išimtis buvo pagrįsta neišsamia, neteisinga arba klaidinančia prašymą pateikusio subjekto pateikta informacija.

106 straipsnis
Teisė į gynybą

Komisija užtikrina, kad prieš jai priimant įgyvendinimo aktą pagal 103 straipsnio 7 dalį arba prieš jai priimant sprendimą, kuriuo atsisakoma suteikti išimtį pagal 105 straipsnio 7 dalį remiantis pareiškėjo nepateikta informacija, arba prieš jai atšaukiant sprendimą pagal 105 straipsnio 8 dalį, atitinkamam subjektui būtų suteikta galimybė būti išklausytam, kai kuriais atvejais atsižvelgiant į poreikį taikyti skubos procedūrą.

107 straipsnis
Registras

Komisija prižiūri viešai prieinamą savo sprendimų, nurodytų 105 straipsnio 5 dalyje, registrą. Registre nurodomi subjektų, dėl kurių priimti tokie sprendimai, pavadinimai. Komisija registrą reguliariai atnaujina.

108 straipsnis
Konfidencialumas

Pagal 105 ir 106 straipsnius Komisijos gauta informacija naudojama tik tuo tikslu, kuriuo ji buvo gauta.

109 straipsnis
Mokesčiai

1.Komisija renka mokesčius už pagal 105 straipsnio 1 dalį teikiamus prašymus.

2.Mokesčiai nurodomi ir mokami eurais.

3.Mokesčiai yra proporcingi išlaidoms, susijusioms su 105 straipsnio 1 dalyje nurodytų prašymų nagrinėjimu, 105 straipsnio 2 dalyje nurodytų kriterijų ir informacijos vertinimu ir 107 straipsnyje nurodyto registro sukūrimu, priežiūra ir veikimu. Į tokias išlaidas įtraukiamos visos Komisijos išlaidos, susijusios su šioje veikloje dalyvaujančiais darbuotojais.

4.Komisija priima įgyvendinimo aktus, kuriais nustatomos išsamios su mokesčiais susijusios taisyklės ir nurodomas mokesčių dydis bei jų mokėjimo būdas. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

II SKYRIUS 
IRT tiekimo grandinės elektroninių ryšių tinkluose

110 straipsnis
Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams skirtas pagrindinis IRT turtas

1.Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams skirtas pagrindinis IRT turtas yra toks, koks nustatytas II priede.

2.Didelės rizikos tiekėjų tiekiami IRT komponentai ar komponentai, kuriuose yra tokių IRT komponentų, laipsniškai pašalinami iš judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų pagrindinio IRT turto.

3.Didelės rizikos tiekėjų tiekiamų IRT komponentų arba komponentų, kuriuose yra tokių IRT komponentų, susijusių su judriojo elektroninio ryšio tinklais, laipsniško atsisakymo laikotarpis negali būti ilgesnis nei 36 mėnesiai nuo 104 straipsnyje nurodyto su judriojo elektroninio ryšio tinklais susijusių didelės rizikos tiekėjų sąrašo paskelbimo.

4.Komisijai pagal 118 straipsnio 2 dalį suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomi didelės rizikos tiekėjų tiekiamų IRT komponentų arba komponentų, kuriuose yra tokių IRT komponentų, laipsniško atsisakymo laikotarpiai, susiję su fiksuotojo ir palydovinio elektroninio ryšio tinklais.

5.Komisijai pagal 119 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, kuriais iš dalies keičiamas šio reglamento II priedas, siekiant jį pritaikyti prie technologijų raidos atsižvelgiant į 103 straipsnio 4 dalyje nurodytus elementus.

111 straipsnis
Draudimai, taikomi judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams

1.Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų tiekėjai, eksploatuodami II priede nurodytą pagrindinį IRT turtą, jokia forma jame nenaudoja, nediegia ar neintegruoja didelės rizikos tiekėjų tiekiamų IRT komponentų ar komponentų, kuriuose yra tokių IRT komponentų.

2.Tais atvejais, kai pagal šį reglamentą valstybėje narėje paskirta kompetentinga institucija skiriasi nuo kompetentingos institucijos pagal Reglamentą (ES) XX/XXXX [SPA pasiūlymas], pagal šį reglamentą paskirta kompetentinga institucija nedelsdama informuoja kompetentingą instituciją pagal Reglamentą (ES) XX/XXXX [SPA pasiūlymas] apie judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų tiekėjams pagal 114 straipsnį nustatytas priemones. Institucijos užtikrina glaudų bendradarbiavimą, kad būtų vykdoma veiksminga tų priemonių priežiūra ir užtikrinamas jų vykdymas.

III SKYRIUS 
Kompetentingos institucijos, priežiūra ir vykdymo užtikrinimas, jurisdikcija, teisės į gynybą

112 straipsnis
Kompetentingos institucijos

1.Kiekviena valstybė narė paskiria Direktyvos (ES) 2022/2555 8 straipsnyje nurodytas kompetentingas institucijas institucijomis, atsakingomis už 114 straipsnyje nurodytų priežiūros ir vykdymo užtikrinimo priemonių taikymą.

2.Kompetentingos institucijos yra struktūriniu ir funkciniu požiūriu visiškai nešališkos ir nepatiria jokios tiesioginės ar netiesioginės išorinės įtakos; visų pirma jos nesiekia gauti ir nepriima jokios kitos valdžios institucijos ar privataus subjekto nurodymų.

3.Valstybės narės užtikrina, kad jų kompetentingos institucijos turėtų tinkamus įgaliojimus, pakankamai žmogiškųjų ir techninių išteklių ir atitinkamų ekspertinių žinių, kad galėtų veiksmingai taikyti 114 straipsnyje nurodytas priežiūros ir vykdymo užtikrinimo priemones.

4.Kiekviena valstybė narė nepagrįstai nedelsdama informuoja Komisiją apie pagal 1 dalį paskirtų kompetentingų institucijų pavadinimus, atitinkamas tų institucijų užduotis ir visus vėlesnius jų pakeitimus. Kiekviena valstybė narė taip pat viešai paskelbia pagal 1 dalį paskirtų kompetentingų institucijų pavadinimus.

113 straipsnis
Komisijos bendradarbiavimo ir paramos paslaugų tinklas

Siekdama veiksmingos priežiūros, Komisija sukuria 112 straipsnyje nurodytų valstybių narių kompetentingų institucijų ir Komisijos bendradarbiavimo tinklą, kuris veikia kaip bendradarbiavimo ir keitimosi informacija platforma, visų pirma 104 straipsnyje nurodyto įsisteigimo, kontrolės ir nuosavybės vertinimo tikslais. Komisija teikia tinklui administracinę paramą.

114 straipsnis
Priežiūros ir vykdymo užtikrinimo priemonės

1.112 straipsnyje nurodytos kompetentingos institucijos įgaliojamos imtis priežiūros ir vykdymo užtikrinimo priemonių Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektų atžvilgiu. Valstybės narės užtikrina, kad pirmiau minėtos priemonės būtų veiksmingos, proporcingos ir atgrasomos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes. Valstybės narės praneša Komisijai apie tuo tikslu priimtas taisykles ir jų vėlesnius pakeitimus.

2.Vykdydamos savo priežiūros užduotis Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų subjektų atžvilgiu kompetentingos institucijos turi teisę tiems subjektams: 

a)teikti prašymus pateikti išsamų ir atnaujintą savo atitinkamų tiekėjų ir paslaugų teikėjų sąrašą;

b)prašyti leisti susipažinti su duomenimis, dokumentais ir informacija, reikalinga šio reglamento atitikčiai užtikrinti;

c)atlikti patikrinimus vietoje ir priežiūrą ne vietoje, įskaitant atsitiktinius patikrinimus, kuriuos atlieka parengti specialistai;

d)teikti užklausas dėl bet kokia forma į tinklą ar sistemą įdiegtų ar integruotų aparatinės ar programinės įrangos produktų sudėties, įskaitant komponentus ir tranzityvinius priklausomybės ryšius, įprastai naudojamu ir kompiuterio skaitomu formatu.

3.Vykdydamos savo vykdymo užtikrinimo įgaliojimus Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektų atžvilgiu kompetentingos institucijos turi teisę:

a)teikti įspėjimus apie atitinkamų subjektų padarytus šio reglamento pažeidimus, išdėstydamos atitinkamus faktus ir teisinius argumentus;

b)priimti sprendimus, kuriais reikalaujama, kad atitinkami subjektai pašalintų šio reglamento pažeidimą arba nustatytus rizikos mažinimo priemonių įgyvendinimo trūkumus;

c)nurodyti atitinkamiems subjektams nutraukti veiksmus, kuriais pažeidžiamas šis reglamentas, ir tokių veiksmų nebekartoti ir

d)skirti sankcijas pagal taisykles, susijusias su 115 straipsnyje nustatyta suma, arba prašyti, kad atitinkamos įstaigos, teismai ar tribunolai tokias sankcijas skirtų pagal nacionalinę teisę.

4.Imdamosi bet kurios iš ankstesnėje dalyje nurodytų vykdymo užtikrinimo priemonių, kompetentingos institucijos apsvarsto kiekvieno atskiro atvejo aplinkybes ir tinkamai atsižvelgia į šiuos veiksnius:

a)pažeidimo sunkumą ir pažeistų nuostatų svarbą;

b)pažeidimo trukmę;

c)atitinkamo subjekto apyvartą;

d)atitinkamo subjekto įvykdytus svarbius ankstesnius pažeidimus;

e)kai taikytina, dėl pažeidimo padarytą turtinę arba neturtinę žalą, įskaitant finansinius ar ekonominius nuostolius, poveikį kitiems subjektams ir paveiktų naudotojų skaičių;

f)tai, ar atitinkamas subjektas veikė tyčia ar dėl neatsargumo;

g)priemones, kurių subjektas ėmėsi siekdamas užkirsti kelią turtinei ar neturtinei žalai arba ją sumažinti;

h)atsakingų fizinių ar juridinių asmenų bendradarbiavimo su kompetentingomis institucijomis lygį.

Pirmos pastraipos a punkto tikslais sunkiu pažeidimu laikomas:

i)pakartotinius pažeidimus;

j)nepranešimas apie didelius incidentus;

k)trūkumų pagal kompetentingų institucijų privalomus vykdyti nurodymus neištaisymą.

5.Kompetentingos institucijos, prieš imdamosi vykdymo užtikrinimo priemonių, praneša atitinkamiems subjektams apie savo preliminarias išvadas. Atitinkamiems subjektams suteikiamas pagrįstas laikotarpis pastaboms dėl preliminarių išvadų pateikti. Kompetentingos institucijos išsamiai pagrindžia savo vykdymo užtikrinimo priemones.

6.Kompetentingos institucijos laikosi konfidencialumo ir profesinės bei komercinės paslapties principų.

7.Priežiūros ir vykdymo užtikrinimo pagal šią antraštinę dalį tikslais kompetentingos institucijos bendradarbiauja tarpusavyje ir su Komisija pagal 116 straipsnį.

115 straipsnis
Sankcijos

1.Valstybės narės nustato sankcijų, taikomų pažeidus šį reglamentą, taisykles ir imasi visų būtinų priemonių užtikrinti, kad šios sankcijos būtų įgyvendinamos.

2.Numatytos sankcijos turi būti veiksmingos, proporcingos ir atgrasomos. Valstybės narės praneša apie tas taisykles ir tas priemones Komisijai ir nedelsdamos jai praneša apie visus vėlesnius joms įtakos turinčius pakeitimus.

3.Sankcijos skiriamos kartu su 114 straipsnio 3 dalies a, b ir c punktuose nurodytomis priemonėmis.

4.Sprendžiant, ar skirti sankciją, ir kiekvienu konkrečiu atveju priimant sprendimą dėl jos dydžio, deramai atsižvelgiama bent į 114 straipsnio 4 dalies pirmoje pastraipoje nurodytus veiksnius.

5.Už 103 straipsnio 2 dalies a punkto pažeidimus pagal šio straipsnio 3 dalį skiriamos sankcijos, neviršijančios 1 proc. įmonės, kuriai priklauso subjektas, bendros pasaulinės metinės apyvartos praėjusiais finansiniais metais.

6.Už 103 straipsnio 2 dalies b–g punktų pažeidimus pagal šio straipsnio 3 dalį skiriamos sankcijos, neviršijančios 2 proc. įmonės, kuriai priklauso subjektas, bendros pasaulinės metinės apyvartos praėjusiais finansiniais metais.

7.Už 103 straipsnio 1 dalies ir 111 straipsnio pažeidimus pagal šio straipsnio 3 dalį skiriamos sankcijos, neviršijančios 7 proc. įmonės, kuriai priklauso subjektas, bendros pasaulinės metinės apyvartos praėjusiais finansiniais metais.

116 straipsnis
Savitarpio pagalba

1.Jei Direktyvos (ES) 2022/2555 I arba II priede nurodytos rūšies subjektas teikia paslaugas daugiau nei vienoje valstybėje narėje arba teikia paslaugas vienoje ar daugiau valstybių narių ir jo pagrindinis IRT turtas yra vienoje ar daugiau kitų valstybių narių, atitinkamų valstybių narių kompetentingos institucijos bendradarbiauja tarpusavyje ir su Komisija ir padeda viena kitai ir Komisijai, kad būtų užtikrintas veiksmingas ir efektyvus reglamento taikymas. Tuo tikslu taikomos bent šios taisyklės:

a)valstybės narės kompetentingos institucijos, taikančios priežiūros arba vykdymo užtikrinimo priemones, informuoja kitų atitinkamų valstybių narių kompetentingas institucijas ir su jomis konsultuojasi dėl vykdomų priežiūros ir vykdymo užtikrinimo priemonių;

b)valstybės narės kompetentinga institucija gali prašyti kitos valstybės narės kompetentingos institucijos imtis priežiūros ar vykdymo užtikrinimo priemonių;

c)valstybės narės kompetentinga institucija, gavusi iš kitos valstybės narės kitos kompetentingos institucijos pagrįstą prašymą, teikia tai kitai kompetentingai institucijai savitarpio pagalbą, stengdamasi kuo labiau padėti, kad priežiūros ar vykdymo užtikrinimo priemonės galėtų būti įgyvendinamos veiksmingai, efektyviai ir nuosekliai.

2.1 dalies c punkte nurodyta savitarpio pagalba gali apimti prašymus teikti informaciją ir priežiūros priemones, įskaitant prašymus atlikti patikrinimus vietoje arba priežiūrą ne vietoje, arba tikslinius saugumo auditus. Kompetentinga institucija, kuriai pateiktas pagalbos prašymas, negali atmesti to prašymo, išskyrus atvejus, kai nustatoma, kad ji neturi kompetencijos teikti prašomą pagalbą, prašoma pagalba nėra proporcinga kompetentingos institucijos priežiūros atliekamų užduočių atžvilgiu arba prašymas yra susijęs su informacija arba apima veiklą, kuri, ją atskleidus arba atlikus, prieštarautų tos valstybės narės nacionaliniam saugumui, visuomenės saugumui ar gynybai. Prieš atsisakydama patenkinti tokį prašymą, kompetentinga institucija konsultuojasi su kitomis atitinkamomis kompetentingomis institucijomis, taip pat, vienos iš atitinkamų valstybių narių prašymu, su Komisija.

3.Kai tinkama ir bendru sutarimu, skirtingų valstybių narių kompetentingos institucijos gali vykdyti bendrus priežiūros veiksmus.

4.Atsižvelgiant į pareigą laikytis konfidencialumo ir profesinės bei komercinės paslapties principų, kaip nurodyta 114 straipsnio 6 dalyje, visa informacija, kuria keičiamasi pagal pagalbos prašymą ir kuri teikiama pagal šį straipsnį, naudojama tik tuo klausimu, dėl kurio jos buvo paprašyta.

117 straipsnis
Jurisdikcija ir teritoriškumo principas

1.Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektai, patenkantys į šio reglamento taikymo sritį, laikomi priklausančiais valstybės narės, kurioje jie yra įsisteigę, jurisdikcijai, išskyrus:

a)viešųjų elektroninių ryšių tinklų arba viešai prieinamų elektroninių ryšių paslaugų teikėjus, kurie laikomi priklausančiais valstybės narės, kurioje jie teikia savo paslaugas, jurisdikcijai;

b)DNS paslaugų teikėjus, aukščiausio lygio domenų vardų registrus, debesijos kompiuterijos paslaugų teikėjus, duomenų centrų paslaugų teikėjus, turinio teikimo tinklo paslaugų teikėjus, valdomų paslaugų teikėjus, valdomų saugumo paslaugų teikėjus, taip pat elektroninių prekyviečių, interneto paieškos sistemų ar socialinio tinklo paslaugų platformų paslaugų teikėjus, kurie laikomi priklausančiais valstybės narės, kurioje yra jų pagrindinė buveinė Sąjungoje pagal 2 dalį, jurisdikcijai;

c)viešojo administravimo subjektus, kurie laikomi priklausančiais valstybės narės, kuriai jie priklauso, jurisdikcijai;

d)oro vežėjus, kurie laikomi priklausančiais valstybės narės, kurios kompetentinga licencijas išduodanti institucija subjektui išdavė licenciją oro susisiekimui vykdyti pagal Europos Parlamento ir Tarybos reglamentą (EB) Nr. 1008/2008 83 , jurisdikcijai arba, jei licencija oro susisiekimui vykdyti arba lygiavertis dokumentas nebuvo išduotas pagal tą reglamentą, jie laikomi priklausančiais valstybės narės, kurioje yra jų pagrindinė buveinė Sąjungoje, jurisdikcijai pagal 2 dalį.

2.Šio reglamento tikslais laikoma, kad 1 dalies b punkte nurodyto subjekto pagrindinė buveinė Sąjungoje yra valstybėje narėje, kurioje daugiausia priimami su kibernetinio saugumo rizikos valdymo priemonėmis susiję sprendimai. Jei tokios valstybės narės neįmanoma nustatyti arba jei tokie sprendimai nepriimami Sąjungoje, laikoma, kad pagrindinė buveinė yra valstybėje narėje, kurioje vykdoma dauguma kibernetinio saugumo operacijų. Jei tokios valstybės narės neįmanoma nustatyti, laikoma, kad pagrindinė buveinė yra valstybėje narėje, kurioje atitinkamas subjektas turi padalinį, kuriame dirba daugiausia darbuotojų Sąjungoje.

3.Jei Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektas nėra įsisteigęs Sąjungoje, bet teikia paslaugas Sąjungoje, jis paskiria atstovą Sąjungoje. Atstovas turi būti įsisteigęs vienoje iš tų valstybių narių, kuriose siūlomos paslaugos. Laikoma, kad toks subjektas priklauso valstybės narės, kurioje yra įsisteigęs jo atstovas, jurisdikcijai. Jei toks subjektas yra 1 dalies a punkte nurodytas subjektas, laikoma, kad jis priklauso valstybės narės, kurioje jis teikia paslaugas, jurisdikcijai. Jei Sąjungoje nėra pagal šią dalį paskirto atstovo, bet kuri valstybė narė, kurioje subjektas teikia paslaugas, gali imtis teisinių veiksmų prieš subjektą dėl šio reglamento pažeidimo.

4.1 dalies b punkte nurodyto subjekto atstovo paskyrimu nedaromas poveikis teisiniams veiksmams, kurie galėtų būti inicijuoti prieš patį subjektą.

5.Valstybės narės, gavusios savitarpio pagalbos prašymą dėl 1 dalies b punkte nurodyto subjekto, gali, neperžengdamos to prašymo ribų, imtis tinkamų priežiūros ir vykdymo užtikrinimo priemonių, susijusių su atitinkamu subjektu, jei subjektas teikia paslaugas arba turi tinklų ir informacinę sistemą jų teritorijoje.

VI ANTRAŠTINĖ DALIS 
BAIGIAMOSIOS NUOSTATOS

118 straipsnis
Komiteto procedūra

1.Komisijai padeda komitetas. Tas komitetas yra dviejų sudėčių. II ir III antraštinių dalių tikslais Komisijai padeda pirmosios sudėties komitetas, o IV antraštinės dalies tikslais Komisijai padeda antrosios sudėties komitetas. Tas komitetas – tai komitetas, kaip nustatyta Reglamente (ES) Nr. 182/2011.

2.Kai daroma nuoroda į šią dalį, taikomas Reglamento (ES) Nr. 182/2011 5 straipsnis.

119 straipsnis
Įgaliojimų delegavimas

1.Įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami šiame straipsnyje nustatytomis sąlygomis.

2.80 straipsnio 2 dalyje ir 110 straipsnio 5 dalyje nurodyti įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami neribotam laikotarpiui nuo šio reglamento įsigaliojimo datos.

3.Europos Parlamentas arba Taryba gali bet kada atšaukti 80 straipsnio 2 dalyje ir 110 straipsnio 5 dalyje nurodytus deleguotuosius įgaliojimus. Sprendimu dėl įgaliojimų atšaukimo nutraukiami tame sprendime nurodyti įgaliojimai priimti deleguotuosius aktus. Sprendimas įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje arba vėlesnę jame nurodytą dieną. Jis nedaro poveikio jau galiojančių deleguotųjų aktų galiojimui. 

4.Prieš priimdama deleguotąjį aktą Komisija konsultuojasi su kiekvienos valstybės narės paskirtais ekspertais vadovaudamasi 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais.

5.Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos Parlamentui ir Tarybai.

6.Pagal 80 straipsnio 2 dalį ir 110 straipsnio 5 dalį priimtas deleguotasis aktas įsigalioja tik tuo atveju, jeigu per du mėnesius nuo pranešimo Europos Parlamentui ir Tarybai apie šį aktą dienos nei Europos Parlamentas, nei Taryba nepareiškia prieštaravimų arba jeigu dar nepasibaigus šiam laikotarpiui ir Europos Parlamentas, ir Taryba praneša Komisijai, kad prieštaravimų nereikš. Europos Parlamento arba Tarybos iniciatyva šis laikotarpis pratęsiamas dviem mėnesiais. 

120 straipsnis
Vertinimas ir peržiūra

1.Ne vėliau kaip [MMMM MM DD] ir vėliau kas penkerius metus Komisija paveda atlikti vertinimą, kuris atliekamas laikantis Komisijos gairių.

2.Vykdant 1 dalyje nurodytą vertinimą, be kita ko, įvertinama:

a)ENISA veiklos efektyvumas jos tikslų, įgaliojimų, misijos, užduočių, valdymo ir vietos atžvilgiu;

b)Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų veiksmingumas, efektyvumas ir ES pridėtinė vertė, kaip nustatyta šio reglamento II antraštinės dalies II skyriaus 4 skirsnyje;

c)šio reglamento III antraštinės dalies nuostatų poveikis, veiksmingumas ir efektyvumas siekiant tikslų užtikrinti tinkamą IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų bei subjektų kibernetinio saugumo lygį Sąjungoje ir gerinti vidaus rinkos veikimą;

d)šio reglamento IV antraštinės dalies nuostatų poveikis, veiksmingumas ir efektyvumas, atsižvelgiant į tikslus dėl patikimos IRT tiekimo grandinės sistemos.

3.1 dalies a punkte nurodytame vertinime visų pirma įvertinamas galimas poreikis keisti ENISA įgaliojimus ir tokio pakeitimo finansinės pasekmės.

4.Atlikdama kas antrą vertinimą, nurodytą 1 dalies a punkte, Komisija įvertina ENISA pasiektus rezultatus, atsižvelgdama į jos tikslus, įgaliojimus, misiją, valdymą ir užduotis, taip pat įvertina, ar, atsižvelgiant į tuos tikslus, įgaliojimus, misiją, valdymą ir užduotis, vis dar pagrįsta tęsti ENISA veiklą.

5.Komisija vertinimo išvadas pateikia Europos Parlamentui, Tarybai ir Valdančiajai tarybai. Įvertinimo išvados skelbiamos viešai.

121 straipsnis
Veiklos panaikinimas ir tęsimas

1.Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 panaikinamas nuo MMMM MM DD.

2.Nuorodos į Reglamentą (ES) 2019/881, ENISA ir tuo reglamentu nustatytas Europos kibernetinio saugumo sertifikavimo schemas laikomos nuorodomis į šį reglamentą ir skaitomos pagal šio reglamento III priede pateiktą atitikties lentelę.

3.Vadovaujantis šiuo reglamentu, ENISA tęsia Reglamentu (ES) 2019/881 įsteigtos ENISA operacijas ir veiklą nuosavybės, susitarimų, teisinių pareigų, darbo sutarčių, finansinių įsipareigojimų ir atsakomybės atžvilgiu. Visi pagal Reglamentą (ES) 2019/881 priimti Valdančiosios tarybos ir Vykdomosios valdybos sprendimai lieka galioti, jei jie atitinka šį reglamentą.

4.Pagal Reglamento (ES) 2019/881 15 straipsnio 1 dalies n punktą paskirtas vykdomasis direktorius toliau eina savo pareigas ir vykdo šio reglamento 32 straipsnyje nurodytas vykdomojo direktoriaus užduotis ir pareigas likusį vykdomojo direktoriaus kadencijos laiką. Kitos jo sutarties sąlygos lieka nepakitusios.

5.Potencialios schemos, kurias parengti buvo paprašyta pagal Reglamento (ES) 2019/881 49 straipsnį, laikomos schemomis, kurių buvo paprašyta pagal atitinkamas šio reglamento nuostatas. Toms potencialioms schemoms atitinkamai taikomos šio reglamento III antraštinės dalies nuostatos.

6.Pagal Reglamento (ES) 2019/881 14 straipsnį Komisijos paskirti Valdančiosios tarybos nariai ir jų pakaitiniai nariai toliau eina savo pareigas ir vykdo šio reglamento 27 straipsnyje nurodytas Valdančiosios tarybos funkcijas likusį savo kadencijos laiką. Pagal Reglamento (ES) 2019/881 14 straipsnį valstybių narių paskirti Valdančiosios tarybos nariai toliau eina savo pareigas ir vykdo šio reglamento 27 straipsnyje nurodytas Valdančiosios tarybos funkcijas likusį savo kadencijos laiką, jei vykdo šio reglamento 24 straipsnio 3 dalyje nurodytas pareigas.

122 straipsnis
Įsigaliojimas

Šis reglamentas įsigalioja [...] dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.

Priimta Strasbūre

TEISĖS AKTO PASIŪLYMO FINANSINIO POVEIKIO IR SKAITMENINIŲ ASPEKTŲ PAŽYMA

1.PASIŪLYMO (INICIATYVOS) STRUKTŪRA3

1.1.Pasiūlymo (iniciatyvos) pavadinimas3

1.2.Atitinkama politikos sritis (-ys)3

1.3.Tikslas (-ai)3

1.3.1.Bendrasis tikslas (-ai)3

1.3.2.Konkretus tikslas (-ai)3

1.3.3.Numatomas rezultatas (-ai) ir poveikis3

1.3.4.Veiklos rezultatų rodikliai3

1.4.Pasiūlymas (iniciatyva) susijęs (-usi) su:4

1.5.Pasiūlymo (iniciatyvos) pagrindas4

1.5.1.Trumpalaikiai arba ilgalaikiai poreikiai, įskaitant išsamų iniciatyvos įgyvendinimo pradinio etapo tvarkaraštį4

1.5.2.ES dalyvavimo pridėtinė vertė (gali būti susijusi su įvairiais veiksniais, pvz., koordinavimo nauda, teisiniu tikrumu, didesniu veiksmingumu ar papildomumu). Šiame skirsnyje „ES dalyvavimo pridėtinė vertė“ – ES veiksmais užtikrinama vertė, papildanti vertę, kuri būtų užtikrinta vien valstybių narių veiksmais.4

1.5.3.Panašios patirties išvados4

1.5.4.Suderinamumas su daugiamete finansine programa ir galima sinergija su kitomis atitinkamomis priemonėmis5

1.5.5.Įvairių turimų finansavimo galimybių vertinimas, įskaitant perskirstymo mastą5

1.6.Pasiūlymo (iniciatyvos) ir jo (jos) finansinio poveikio trukmė6

1.7.Planuojamas biudžeto vykdymo metodas (-ai)6

2.VALDYMO PRIEMONĖS8

2.1.Stebėsenos ir atskaitomybės taisyklės8

2.2.Valdymo ir kontrolės sistema (-os)8

2.2.1.Biudžeto vykdymo metodo (-ų), finansavimo įgyvendinimo mechanizmo (-ų), mokėjimo tvarkos ir siūlomos kontrolės strategijos pagrindimas8

2.2.2.Informacija apie nustatytą riziką ir jai sumažinti įdiegtą vidaus kontrolės sistemą (-as)8

2.2.3.Kontrolės išlaidų efektyvumo apskaičiavimas ir pagrindimas (kontrolės išlaidų ir susijusių valdomų lėšų vertės santykis) ir numatomo klaidų rizikos lygio vertinimas (atliekant mokėjimą ir užbaigiant programą)8

2.3.Sukčiavimo ir pažeidimų prevencijos priemonės9

3.NUMATOMAS PASIŪLYMO (INICIATYVOS) FINANSINIS POVEIKIS10

3.1.Atitinkama daugiametės finansinės programos išlaidų kategorija (-os) ir biudžeto išlaidų eilutė (-ės)10

3.2.Numatomas pasiūlymo finansinis poveikis asignavimams12

3.2.1.Numatomo poveikio veiklos asignavimams santrauka12

3.2.1.1.Patvirtinto biudžeto asignavimai12

3.2.1.2.Išorės asignuotųjų pajamų asignavimai17

3.2.2.Numatomas veiklos asignavimais finansuojamas atliktas darbas22

3.2.3.Numatomo poveikio administraciniams asignavimams santrauka24

3.2.3.1. Patvirtinto biudžeto asignavimai24

3.2.3.2.Išorės asignuotųjų pajamų asignavimai24

3.2.3.3.Iš viso asignavimų24

3.2.4.Numatomi žmogiškųjų išteklių poreikiai25

3.2.4.1.Finansuojami iš patvirtinto biudžeto25

3.2.4.2.Finansuojami išorės asignuotosiomis pajamomis26

3.2.4.3.Visi žmogiškųjų išteklių poreikiai26

3.2.5.Numatomo poveikio su skaitmeninėmis technologijomis susijusioms investicijoms apžvalga28

3.2.6.Suderinamumas su dabartine daugiamete finansine programa28

3.2.7.Trečiųjų šalių įnašai28

3.3.Numatomas poveikis pajamoms29

4.Skaitmeniniai aspektai29

4.1.Skaitmeninės svarbos reikalavimai30

4.2.Duomenys30

4.3.Skaitmeniniai sprendimai31

4.4.Sąveikumo vertinimas31

4.5.Skaitmeninio įgyvendinimo rėmimo priemonės32

1.PASIŪLYMO (INICIATYVOS) STRUKTŪRA 

1.1.Pasiūlymo (iniciatyvos) pavadinimas

1.2.Atitinkama politikos sritis (-ys) 

1.3.Tikslas (-ai)

1.3.1.Bendrasis tikslas (-ai)

1.3.2.Konkretus tikslas (-ai)

1.3.3.Numatomas rezultatas (-ai) ir poveikis

Nurodyti poveikį, kurį pasiūlymas (iniciatyva) turėtų padaryti tiksliniams gavėjams (tikslinėms grupėms).

1.3.4.Veiklos rezultatų rodikliai

Nurodyti pažangos ir laimėjimų stebėsenos rodiklius.

1.4.Pasiūlymas (iniciatyva) susijęs (-usi) su: 

 nauju veiksmu (IV antraštinė dalis „Tiekimo grandinė“, V antraštinė dalis „Supaprastinimas“)

 nauju veiksmu, kai bus įgyvendintas bandomasis projektas ir (arba) atlikti parengiamieji veiksmai 84  

 esamo veiksmo pratęsimu (II antraštinė dalis „ENISA įgaliojimai“ ir III antraštinė dalis „Sertifikavimas“)

 vieno ar daugiau veiksmų sujungimu arba nukreipimu į kitą (naują) veiksmą

1.5.Pasiūlymo (iniciatyvos) pagrindas 

1.5.1.Trumpalaikiai arba ilgalaikiai poreikiai, įskaitant išsamų iniciatyvos įgyvendinimo pradinio etapo tvarkaraštį

1.5.2.ES dalyvavimo pridėtinė vertė (gali būti susijusi su įvairiais veiksniais, pvz., koordinavimo nauda, teisiniu tikrumu, didesniu veiksmingumu ar papildomumu). Šiame skirsnyje „ES dalyvavimo pridėtinė vertė“ – ES veiksmais užtikrinama vertė, papildanti vertę, kuri būtų užtikrinta vien valstybių narių veiksmais.

1.5.3.Panašios patirties išvados

1.5.4.Suderinamumas su daugiamete finansine programa ir galima sinergija su kitomis atitinkamomis priemonėmis

1.5.5.Įvairių turimų finansavimo galimybių vertinimas, įskaitant perskirstymo mastą

1.6.Pasiūlymo (iniciatyvos) ir jo (jos) finansinio poveikio trukmė

 trukmė ribota

–    galioja nuo MMMM [MM DD] iki MMMM [MM DD],

–    įsipareigojimų asignavimų finansinis poveikis nuo MMMM iki MMMM, o mokėjimų asignavimų – nuo MMMM iki MMMM;

 trukmė neribota

–įgyvendinimo pradinis laikotarpis – nuo MMMM iki MMMM,

–vėliau – visuotinis taikymas.

1.7.Planuojamas biudžeto vykdymo metodas (-ai) 

 Tiesioginis valdymas, vykdomas Komisijos:

– padalinių, įskaitant Sąjungos delegacijų darbuotojus;

–    vykdomųjų įstaigų.

 Pasidalijamasis valdymas su valstybėmis narėmis

 Netiesioginis valdymas, biudžeto vykdymo užduotis pavedant:

– trečiosioms valstybėms arba jų paskirtoms įstaigoms;

– tarptautinėms organizacijoms ir jų agentūroms (nurodyti);

– Europos investicijų bankui ir Europos investicijų fondui;

– įstaigoms, nurodytoms Finansinio reglamento 70 ir 71 straipsniuose;

– viešosios teisės reglamentuojamoms įstaigoms;

– įstaigoms, kurių veiklą reglamentuoja privatinė teisė ir kurioms pavesta teikti viešąsias paslaugas, tiek, kiek joms užtikrinamos pakankamos finansinės garantijos;

– įstaigoms, kurių veiklą reglamentuoja valstybės narės privatinė teisė, kurioms pavesta įgyvendinti viešojo ir privačiojo sektorių partnerystę ir kurioms užtikrinamos pakankamos finansinės garantijos;

– atitinkamame pagrindiniame akte nurodytoms įstaigoms ar asmenims, kuriems pavesta vykdyti konkrečius veiksmus bendros užsienio ir saugumo politikos srityje pagal Europos Sąjungos sutarties V antraštinę dalį;

–valstybėje narėje įsteigtoms įstaigoms, kurių veiklą reglamentuoja valstybės narės privatinė teisė arba Sąjungos teisė ir kurioms pagal konkrečių sektorių taisykles gali būti patikėtas Sąjungos lėšų arba biudžeto garantijų įgyvendinimas tiek, kiek tokias įstaigas kontroliuoja viešosios teisės reglamentuojamos įstaigos arba įstaigos, kurių veiklą reglamentuoja privatinė teisė ir kurioms pavesta teikti viešąsias paslaugas, ir joms kontrolės įstaigos suteikia tinkamas finansines garantijas solidariosios atsakomybės forma arba lygiavertes finansines garantijas, kurios kiekvienam veiksmui gali būti apribotos iki didžiausios Sąjungos paramos sumos.

Pastabos

2.VALDYMO PRIEMONĖS 

2.1.Stebėsenos ir atskaitomybės taisyklės 

2.2.Valdymo ir kontrolės sistema (-os) 

2.2.1.Biudžeto vykdymo metodo (-ų), finansavimo įgyvendinimo mechanizmo (-ų), mokėjimo tvarkos ir siūlomos kontrolės strategijos pagrindimas

2.2.2.Informacija apie nustatytą riziką ir jai sumažinti įdiegtą vidaus kontrolės sistemą (-as)

2.2.3.Kontrolės išlaidų efektyvumo apskaičiavimas ir pagrindimas (kontrolės išlaidų ir susijusių valdomų lėšų vertės santykis) ir numatomo klaidų rizikos lygio vertinimas (atliekant mokėjimą ir užbaigiant programą) 

2.3.Sukčiavimo ir pažeidimų prevencijos priemonės 

3.NUMATOMAS PASIŪLYMO (INICIATYVOS) FINANSINIS POVEIKIS 

3.1.Atitinkama daugiametės finansinės programos išlaidų kategorija (-os) ir biudžeto išlaidų eilutė (-ės) 

·Dabartinės biudžeto eilutės

Daugiametės finansinės programos išlaidų kategorijas ir biudžeto eilutes nurodyti eilės tvarka.

Daugiametės finansinės programos išlaidų kategorija	Biudžeto eilutė	Išlaidų rūšis	Įnašas
	Numeris	DA / NDA 99	ELPA šalių 100	valstybių kandidačių ir potencialių kandidačių 101	kitų trečiųjų valstybių	kitų asignuotųjų pajamų
	[XX.YY.YY.YY]	NDA	TAIP	NE	NE	TAIP / NE
	[XX.YY.YY.YY]	DA / NDA	TAIP / NE	TAIP / NE	TAIP / NE	TAIP / NE
	[XX.YY.YY.YY]	DA / NDA	TAIP / NE	TAIP / NE	TAIP / NE	TAIP / NE

·Prašomos sukurti naujos biudžeto eilutės

Daugiametės finansinės programos išlaidų kategorijas ir biudžeto eilutes nurodyti eilės tvarka.

Daugiametės finansinės programos išlaidų kategorija	Biudžeto eilutė	Išlaidų rūšis	Įnašas
	Numeris	DA / NDA	ELPA šalių	valstybių kandidačių ir potencialių kandidačių	kitų trečiųjų valstybių	kitų asignuotųjų pajamų
	[XX.YY.YY.YY]	DA / NDA	TAIP / NE	TAIP / NE	TAIP / NE	TAIP / NE
	[XX.YY.YY.YY]	DA / NDA	TAIP / NE	TAIP / NE	TAIP / NE	TAIP / NE
	[XX.YY.YY.YY]	DA / NDA	TAIP / NE	TAIP / NE	TAIP / NE	TAIP / NE

3.2.Numatomas pasiūlymo finansinis poveikis asignavimams 

3.2.1.Numatomo poveikio veiklos asignavimams santrauka 

–    Pasiūlymui (iniciatyvai) įgyvendinti veiklos asignavimai nenaudojami

–    Pasiūlymui (iniciatyvai) įgyvendinti veiklos asignavimai naudojami taip:

3.2.1.1.Patvirtinto biudžeto asignavimai

mln. EUR (tūkstantųjų tikslumu)

Agentūra: Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034	IŠ VISO DFP 2028–2034
Biudžeto eilutė <…….> / Papildomas ES biudžeto įnašas agentūrai	20 900 EUR	20 594 EUR	25 338 EUR	26 801 EUR	26 801 EUR	26 301 EUR	26 301 EUR	173,006

Asignavimai / ES biudžeto įnašas agentūrai bus kompensuojami (-as) sumažinant šios programos <….> finansinį paketą / biudžeto eilutę <….>  / <….> metais. <…….> .

						Metai		Metai			Metai		Metai			Metai		Metai	Metai			IŠ VISO DFP 2028–2034
						2028		2029			2030		2031			2032		2033	2034
IŠ VISO veiklos asignavimų		Įsipareigojimai		4		20 900 EUR		20 594 EUR			25 338 EUR		26 801 EUR			26 801 EUR		26 301 EUR	26 301 EUR			173,006
		Mokėjimai		5		20 900 EUR		20 594 EUR			25 338 EUR		26 801 EUR			26 801 EUR		26 301 EUR	26 301 EUR			173,006
IŠ VISO administracinio pobūdžio asignavimų, finansuojamų iš konkrečių programų paketo lėšų				6		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
IŠ VISO asignavimų pagal 2 IŠLAIDŲ KATEGORIJĄ		Įsipareigojimai				= 4 + 6		22 265 EUR			21 959 EUR		26 808 EUR			28 586 EUR		28 901 EUR	28 716 EUR			28 926 EUR	186,161
iš daugiametės finansinės programos		Mokėjimai				= 5 + 6		22 265 EUR			20 890 EUR		24 851 EUR			26 254 EUR		26 254 EUR	25 754 EUR			25 754 EUR	186,161
GD: Ryšių tinklų, turinio ir technologijų									Metai			Metai		Metai	Metai		Metai			Metai	Metai			IŠ VISO DFP 2028–2034
									2028			2029		2030	2031		2032			2033	2034
 Žmogiškieji ištekliai									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Kitos administracinės išlaidos									0			0		0	0		0			0	0			0
IŠ VISO CNECT GD	Asignavimai		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
IŠ VISO asignavimų pagal daugiametės finansinės programos 4 IŠLAIDŲ KATEGORIJĄ					(Iš viso įsipareigojimų = Iš viso mokėjimų)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

mln. EUR (tūkstantųjų tikslumu)

			Metai		Metai		Metai		Metai		Metai		Metai		Metai		IŠ VISO DFP 2028–2034
			2028		2029		2030		2031		2032		2033		2034
IŠ VISO asignavimų pagal daugiametės finansinės programos 1–4 IŠLAIDŲ KATEGORIJAS	Įsipareigojimai		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
iš daugiametės finansinės programos		Mokėjimai		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Numatomas veiklos asignavimais finansuojamas atliktas darbas (decentralizuotų agentūrų atveju nepildoma)

Įsipareigojimų asignavimai mln. EUR (tūkstantųjų tikslumu)

Nurodyti tikslus ir atliktus darbus 

Metai  2028

Metai  2029

Metai  2030

Metai  2031

Atsižvelgiant į poveikio trukmę įterpti reikiamą metų skaičių (žr. 1.6 skirsnį)

IŠ VISO

ATLIKTI DARBAI

Rūšis 102

Vidutinės sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Skaičius

Sąnaudos

Bendras skaičius

Iš viso sąnaudų

1 KONKRETUS TIKSLAS 103 ...

– Atliktas darbas

– Atliktas darbas

– Atliktas darbas

1 konkretaus tikslo tarpinė suma

2 KONKRETUS TIKSLAS ...

– Atliktas darbas

2 konkretaus tikslo tarpinė suma

IŠ VISO

3.2.3.Numatomo poveikio administraciniams asignavimams santrauka 

–    Pasiūlymui (iniciatyvai) įgyvendinti administracinio pobūdžio asignavimų nenaudojama

–    Pasiūlymui (iniciatyvai) įgyvendinti administracinio pobūdžio asignavimai naudojami taip:

3.2.3.1. Patvirtinto biudžeto asignavimai

(papildomi)

PATVIRTINTI ASIGNAVIMAI	Metai	Metai	Metai	Metai	Metai	Metai	Metai	IŠ VISO 2028–2034
	2028	2029	2030	2031	2032	2033	2034
4 IŠLAIDŲ KATEGORIJA
Žmogiškieji ištekliai	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Kitos administracinės išlaidos	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
4 IŠLAIDŲ KATEGORIJOS tarpinė suma	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Neįtraukta į 4 IŠLAIDŲ KATEGORIJĄ
Žmogiškieji ištekliai	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Kitos administracinio pobūdžio išlaidos	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Tarpinė suma, neįtraukta į 4 IŠLAIDŲ KATEGORIJĄ	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
IŠ VISO	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Numatomi žmogiškųjų išteklių poreikiai (papildomi)

–    Pasiūlymui (iniciatyvai) įgyvendinti žmogiškųjų išteklių nenaudojama.

–    Pasiūlymui (iniciatyvai) įgyvendinti žmogiškieji ištekliai naudojami taip:

3.2.4.1.Finansuojami iš patvirtinto biudžeto

Sąmatą surašyti etato ekvivalentais 104

PATVIRTINTI ASIGNAVIMAI		Metai	Metai	Metai	Metai	Metai	Metai	Metai
		2028	2029	2030	2031	2032	2033	2034
 Etatų plano etatai (pareigūnai ir laikinieji darbuotojai)
20 01 02 01 (Būstinė ir Komisijos atstovybės)		12	12	16	18	20	22	25
20 01 02 03 (ES delegacijos)		0	0	0	0	0	0	0
(Netiesioginiai moksliniai tyrimai)		0	0	0	0	0	0	0
(Tiesioginiai moksliniai tyrimai)		0	0	0	0	0	0	0
Kitos biudžeto eilutės (nurodyti)		0	0	0	0	0	0	0
• Išorės darbuotojai (etato ekvivalentais)
20 02 01 (AC, END finansuojami iš bendrojo biudžeto)		0	0	0	0	0	0	0
20 02 03 (AC, AL, END ir JPD ES delegacijose)		0	0	0	0	0	0	0
Administracinės paramos eilutė	- būstinėje	0	0	0	0	0	0	0
[XX.01.YY.YY]	- ES delegacijose	0	0	0	0	0	0	0
(AC, END – netiesioginiai moksliniai tyrimai)		0	0	0	0	0	0	0
(AC, END – tiesioginiai moksliniai tyrimai)		0	0	0	0	0	0	0
Kitos biudžeto eilutės (nurodyti) – 4 išlaidų kategorija		0	0	0	0	0	0	0
Kitos biudžeto eilutės (nurodyti) – neįtraukta į 4 išlaidų kategoriją		13	13	14	17	20	23	25
IŠ VISO		25	25	30	35	40	45	50

Pasiūlymui įgyvendinti reikalingi darbuotojai (etato ekvivalentais):

	Bus pasitelkiami dabartiniai Komisijos tarnybų darbuotojai.	Papildomi darbuotojai išskirtinėmis aplinkybėmis
		bus finansuojami pagal 7 išlaidų kategoriją arba iš mokslinių tyrimų	bus finansuojami iš BA eilutės	bus finansuojami iš mokesčių
Etatų plano etatai		25
Išorės darbuotojai (CA, SNE, INT)			25

Numatomas poveikis išlaidoms ir darbuotojų skaičiui 2028 m. ir vėliau yra orientacinis ir iš anksto nedaro poveikio kitai daugiametei finansinei programai. Sąjungos finansinio įsipareigojimo po 2027 m. finansavimo šaltinis ir taikymo sritis ir toliau priklauso nuo tarpinstitucinių derybų dėl 2028–2034 m. DFP ir metinės biudžeto procedūros bei valdymo mechanizmo rezultatų.

Užduočių, kurias turi atlikti sektoriaus generalinis direktoratas Komisijoje, aprašymas

Pareigūnai ir laikinieji darbuotojai

ENISA koordinavimas (1): Atstovauja Komisijai Agentūros valdančiojoje taryboje. Rengia Komisijos nuomonę apie ENISA bendrąjį programavimo dokumentą ir stebi jo įgyvendinimą. Prižiūri Agentūros biudžeto rengimą ir stebi jo vykdymą. Padeda Agentūrai plėtoti savo veiklą pagal Sąjungos politikos nuostatas, be kita ko, dalyvaudami atitinkamuose posėdžiuose. Įgūdžių atestavimo schemos / Įgūdžių akademija (2): Papildomų CNECT darbuotojų reikės įgyvendinimo aktams, kuriais nustatomi mokesčiai, kuriuos ENISA taikys pareiškėjams, norintiems tapti įgaliotaisiais paslaugų teikėjais, parengti. Šių įgyvendinimo aktų bus ne mažiau kaip 12, po vieną kiekvienam Europos kibernetinio saugumo sertifikavimo sistemos profiliui. Tiekimo grandinė (25) Pagalba rengiant koordinuotus Sąjungos rizikos vertinimus. Kiekvieno svarstomo IRT produkto ar paslaugos ekonominės analizės vykdymas. Atitinkamų įgyvendinimo aktų dėl pagrindinio turto nustatymo, siūlomų rizikos mažinimo priemonių ir šalių, keliančių strateginę kibernetinio saugumo riziką konkrečiam pagrindiniam turtui, nustatymo rengimas, didelės rizikos tiekėjų nustatymas, prašymų taikyti išimtį tikrinimas ir Komisijos sprendimų rengimas. Priimtų priemonių įgyvendinimo ir priežiūros rėmimas. Europos kibernetinio saugumo sertifikavimo sistema, susijusios veiklos standartizavimas ir įgyvendinimas, TIS 2 direktyvos įgyvendinimas (17): KSA vykdymo užtikrinimas, visų pirma AVĮ valdymas (atsakomybės užginčijimas) Suinteresuotųjų subjektų dalyvavimas (ir asamblėja) Tarpusavio pripažinimas su trečiosiomis valstybėmis Standartizuotų įgyvendinimo aktų rengimas (išsamūs prašymai, dėl kurių konsultuojamasi, ir pavyzdinių nuostatų rengimas) Schemų priežiūra, teisinė peržiūra, komiteto procedūra Koordinavimas su TIS koordinavimo grupe ir subjektų schemų priežiūra Įgyvendinimo aktai pagal TIS 2 direktyvą AVĮ suderinimas su KSA, atitikties prezumpcija + standartizacija Rinkos priežiūros ir NKSSI veiklos koordinavimas Techninis Kibernetinio atsparumo akto ir sertifikavimo schemų suderinimas Operatyvinis koordinavimas ir informuotumas apie padėtį (5): Ekspertinės žinios apie sektorių ir priešiškus subjektus siekiant prisidėti prie ES lygmens informuotumo apie padėtį dėl grėsmės ypatingos svarbos infrastruktūrai, be kita ko, pasitelkiant besiformuojančias technologijas Veiksmų koordinavimas su ENISA ir kitais ES subjektais bei tinklais siekiant pasirengti reikšmingiems ir didelio masto kibernetiniams incidentams

Išorės darbuotojai

Žr. pirmiau

ENISA vykdytinų papildomų užduočių aprašymas:

Pareigūnai ir laikinieji darbuotojai

ES kibernetinio saugumo rezervo valdymas (šalių vadovai ir parama įgyvendinimui; faktinės Rezervo veiklos išlaidos padengiamos, kaip numatyta Kibernetinio solidarumo akte) (10) Bendros pranešimų teikimo platformos Kibernetinio atsparumo akto valdymas (veikimas) (9) Su bendra pranešimų teikimo platforma susijusios paslaugos pažeidžiamumo klausimais (4) Bendros pranešimų teikimo platformos išplėtimas įtraukiant vieną bendrą prieigą (plėtra ir veikimas) (8) Techninių gairių, produktų saugumo ekspertinių žinių ir rinkos analizės rengimas siekiant padėti įgyvendinti Kibernetinio atsparumo aktą (7) Standartizacija siekiant padėti vykdyti Kibernetinio atsparumo akto įgyvendinimą /sertifikavimą / TIS 2 (4) Parama vykdant Kibernetinio atsparumo akto rinkos priežiūros veiklą (4) Produktų atitikties testavimo ir saugumo vertinimų rėmimas (4) Parama valstybėms narėms savitarpio pagalbos srityje (3) Pažeidžiamumo valdymo paslaugų teikimas, Europos pažeidžiamumų duomenų bazės priežiūra ir konsultavimo bei gerinimo funkcijų vykdymas (koordinuotas pažeidžiamumų atskleidimas) (15) Operatyvinis bendradarbiavimas ir informuotumas apie padėtį – rizikos mažinimo ir paramos platformos, pavyzdžiui, CNW / CyCLONe; parama vykdant užduotis, susijusias su įspėjamaisiais pranešimais; parama vykdant glaudesnį koordinavimą su kitais atitinkamais subjektais siekiant sukurti patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes saugyklas (KSA 2 11 straipsnio 1a dalis) (5) Parama ypatingos svarbos sektorių atsparumui (įskaitant sveikatos priežiūros kibernetinio saugumo veiksmų plano įgyvendinimą) (4) Įgūdžių atestavimo schemų kūrimas (2) Įgūdžių atestavimo schemų palaikymas ir priežiūra (6) Administravimas (mokesčių / personalo / IT apskaita) (8) Sertifikavimo schemų priežiūra (11) Horizontaliosios užduotys – aktyvesnis suinteresuotųjų subjektų dalyvavimas, techninių specifikacijų rengimas ir dalyvavimas standartizacijos veikloje remiant schemas (1)

Išorės darbuotojai

Žr. pirmiau Po du privalomus DNE iš kiekvienos valstybės narės, kurie remtų Agentūros veiklą ir būtų nacionaliniais ryšių palaikymo pareigūnais, daugiausia dėmesio skirdami operatyviniam bendradarbiavimui, koordinuotam pažeidžiamumų atskleidimui. (13) Numatoma, kad kiti 27 DNE bus nemokami, todėl neturės poveikio biudžetui.

ENISA 2028–2034 m. papildomos veiklos išlaidos per metus:

Sąnaudos	Biudžetas	Grafikas	Paaiškinimas
Kibernetinio saugumo įgūdžių interneto svetainė	750 000 EUR	50 proc. 2029 m. 50 proc. 2030 m.	Siekiant užtikrinti procedūrų skaidrumą, pasiūlyme reikalaujama, kad ENISA turėtų interneto svetainę, kurioje būtų pateikti Europos kibernetinio saugumo sertifikavimo sistemos profiliai, atestavimo schemos, informacija apie kiekvienos schemos mokesčius, rekomenduojami mokesčiai už kiekvieną atestavimo pažymėjimą ir įgaliotųjų atestavimo pažymėjimų teikėjų sąrašas.
Koordinuotas pažeidžiamumų atskleidimas	1 mln. EUR	Nuo 2028 m.	Mūsų ypatingos svarbos infrastruktūroje naudojamų produktų ir paslaugų saugumas labai priklauso nuo to, ar laiku dalijamasi informacija apie nustatytus pažeidžiamumus ir kaip juos galima sumažinti.
Žvalgybos informacija apie grėsmes kibernetiniam saugumui	3 mln. EUR	Nuo 2028 m.	Bendradarbiaujant ENISA ir Komisijai sukurti informuotumo apie padėtį vaizdą.
Viena bendra prieiga	8 mln. EUR	6 mln. EUR 2028 m. 500 tūkst. EUR 2029 m. 500 tūkst. EUR 2030 m. 500 tūkst. EUR 2031 m. 500 tūkst. EUR 2032 m.	Kad būtų galima įgyvendinti Komisijos pasiūlymą dėl skaitmeninio sektoriaus bendrojo rinkinio, kad sukūrus ir prižiūrint vieną bendrą prieigą būtų supaprastintas pareigų pranešti apie kibernetinio saugumo incidentus ir duomenų saugumo pažeidimus laikymasis.
Kibernetinio atsparumo akto bendros pranešimų teikimo platformos priežiūra ir kita	3 mln. EUR	Nuo 2028 m.	Teisėkūros institucijų nustatyta bendra pranešimų teikimo platforma yra didžiausia istorijoje ENISA sukurta IT sistema ir pagrindinis Kibernetinio atsparumo akto ramstis. Šiuo metu kūrimas finansuojamas pagal susitarimą dėl įnašo, tačiau kasdieniam jos valdymui reikės etato ekvivalentų (žr. pirmiau) ir veiklos išlaidų. ENISA tenka svarbus vaidmuo užtikrinant Sąjungos produktų saugumo sistemos, Kibernetinio atsparumo akto, sėkmingą įgyvendinimą.
ENISA saugi komunikacija ir kibernetinio saugumo branda	2 mln. EUR +	1,1 mln. EUR investicijų 2028 m. (CyCLONe/CSIRT platformos + saugi komunikacija) 1 mln. EUR priežiūros išlaidų per metus nuo 2029 m. 1,5 mln. EUR kibernetinio saugumo brandai	Agentūros kibernetinio saugumo ir komunikacijos priemonių užtikrinimas.
Kibernetinio saugumo sertifikavimo priežiūra	1 400 000 mln. EUR	2028 m. 600 tūkst. 2029 m. 1 000 000 2030 m. 1 200 000 2031 m. 1 400 000 2032 m. 1 400 000 2033 m. 1 400 000 2034 m. 1 400 000	Dengiama iš mokesčių (visiškai nuo 2032 m.)
Kibernetinio saugumo atestavimo schemos	212 920 EUR	Nuo 2030 m. 50 proc. padengiama iš ES biudžeto	Nuo 2033 m. visiškai padengiama iš mokesčių

3.2.5.Numatomo poveikio su skaitmeninėmis technologijomis susijusioms investicijoms apžvalga

Privaloma: su skaitmeninėmis technologijomis susijusių investicijų pagal pasiūlymą (iniciatyvą) geriausias įvertis turėtų būti pateiktas tolesnėje lentelėje.

Išimties tvarka, kai tai reikalinga pasiūlymui (iniciatyvai) įgyvendinti, asignavimai pagal 4 išlaidų kategoriją turėtų būti pateikti tam skirtoje eilutėje.

Asignavimai pagal 1–3 išlaidų kategorijas turėtų būti nurodyti kaip „Politikos priemonių IT išlaidos veiklos programoms“. Šios išlaidos parodo veiklos biudžetą, naudojamą su iniciatyvos įgyvendinimu tiesiogiai susijusioms IT platformoms ar priemonėms pakartotinai naudoti, pirkti ir (arba) sukurti ir susijusioms investicijoms (pvz., licencijoms, tyrimams, duomenų saugojimui ir kt.). Šioje lentelėje pateikta informacija turėtų atitikti 4 skirsnyje „Skaitmeniniai aspektai“ pateiktus duomenis.

IŠ VISO skaitmeninių ir IT asignavimų	Metai	Metai	Metai	Metai	Metai	Metai	Metai	IŠ VISO DFP 2028–2034
	2028	2029	2030	2031	2032	2033	2034
4 IŠLAIDŲ KATEGORIJA
IT išlaidos (organizacijos)	0	0	0	0	0	0	0	0
4 IŠLAIDŲ KATEGORIJOS tarpinė suma	0	0	0	0	0	0	0	0
Neįtraukta į 4 IŠLAIDŲ KATEGORIJĄ
Politikos priemonių IT išlaidos veiklos programoms	0	0	0	0	0	0	0	0
Tarpinė suma, neįtraukta į 4 IŠLAIDŲ KATEGORIJĄ	0	0	0	0	0	0	0	0
IŠ VISO	0	0	0	0	0	0	0	0

3.2.6.Suderinamumas su dabartine daugiamete finansine programa 

Pasiūlymas (iniciatyva)

–    Galima visiškai finansuoti perskirstant asignavimą atitinkamoje daugiametės finansinės programos (DFP) išlaidų kategorijoje.

–    Reikia panaudoti nepaskirstytą maržą pagal atitinkamą DFP išlaidų kategoriją ir (arba) specialias priemones, kaip apibrėžta DFP reglamente.

–    Reikia persvarstyti DFP.

3.2.7.Trečiųjų šalių įnašai 

Pasiūlyme (iniciatyvoje):

–    nenumatyta bendro su trečiosiomis šalimis finansavimo

–    numatytas trečiųjų šalių bendras finansavimas apskaičiuojamas taip:

Asignavimai mln. EUR (tūkstantųjų tikslumu)

	Metai  2028	Metai  2029	Metai  2030	Metai  2031	Iš viso
Nurodyti bendrą finansavimą teikiančią įstaigą
IŠ VISO bendrai finansuojamų asignavimų

3.2.8.Numatomi žmogiškieji ištekliai ir decentralizuotoje agentūroje reikalingų asignavimų panaudojimas

Papildomi personalo poreikiai (viso etato vienetais)

Agentūra: Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034
Laikinieji darbuotojai (AD lygio)	5	11	17	19	19	19	19
Laikinieji darbuotojai (AST lygio)	4	7	11	12	12	12	12
Laikinieji darbuotojai (AD + AST), tarpinė suma	9	18	28	31	31	31	31
Sutartininkai	22	44	66	74	74	74	74
Deleguotieji nacionaliniai ekspertai	4	8	11	13	13	13	13
Sutartininkai ir deleguotieji nacionaliniai ekspertai, tarpinė suma	26	52	77	87	87	87	87
IŠ VISO darbuotojų	35	70	105	118	118	118	118

Iš ES biudžeto įnašo dengiami asignavimai, mln. EUR (tūkstantųjų tikslumu)

Agentūra: Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034	IŠ VISO 2028–2034
1 antraštinė dalis. Personalo išlaidos	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
2 antraštinė dalis. Infrastruktūra ir veiklos išlaidos
3 antraštinė dalis. Veiklos išlaidos	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
IŠ VISO iš ES biudžeto lėšų dengiamų asignavimų	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Iš mokesčių dengiami asignavimai, jei taikoma, mln. EUR (tūkstantųjų tikslumu)

Agentūra: Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034	IŠ VISO 2028–2034
1 antraštinė dalis. Personalo išlaidos		0,510	1,043	1,539	4,604	5,176	5,650	18,522
2 antraštinė dalis. Infrastruktūra ir veiklos išlaidos								0,000
3 antraštinė dalis. Veiklos išlaidos								0,000
IŠ VISO iš mokesčių dengiamų asignavimų	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Pasiūlymui (iniciatyvai) įgyvendinti decentralizuotoje agentūroje reikalingų žmogiškųjų išteklių ir asignavimų (mln. EUR) apžvalga (santrauka)

Agentūra: Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034	IŠ VISO 2028–2034
Laikinieji darbuotojai (AD + AST)	9	18	28	31	31	31	31	31
Sutartininkai	22	44	66	74	74	74	74	74
Deleguotieji nacionaliniai ekspertai	4	8	11	13	13	13	13	13
Iš viso darbuotojų	35	70	105	118	118	118	118	118
Iš ES biudžeto lėšų dengiami asignavimai	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Iš mokesčių dengiami asignavimai (jei taikoma)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Bendrai finansuojami asignavimai (jei taikoma)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
IŠ VISO asignavimų	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Numatomas poveikis pajamoms 

–    Pasiūlymas (iniciatyva) neturi finansinio poveikio pajamoms.

–    Pasiūlymas (iniciatyva) turi finansinį poveikį:

–    nuosaviems ištekliams

–    kitoms pajamoms

–    nurodyti, jei pajamos priskirtos išlaidų eilutėms

mln. EUR (tūkstantųjų tikslumu)

Biudžeto pajamų eilutė:	Einamųjų finansinių metų asignavimai	Pasiūlymo (iniciatyvos) poveikis 105
		Metai 2028	Metai 2029	Metai 2030	Metai 2031	Metai 2032	Metai 2033	Metai 2034
…………. straipsnis

Asignuotųjų pajamų atveju nurodyti biudžeto išlaidų eilutę (-es), kuriai (-ioms) daromas poveikis.

Kitos pastabos (pvz., poveikio pajamoms apskaičiavimo metodas (formulė) arba kita informacija).

4. Skaitmeniniai aspektai

4.1.Skaitmeninės svarbos reikalavimai

Skaitmeninės svarbos reikalavimų ir susijusių kategorijų (duomenų, procesų skaitmenizavimo ir automatizavimo, skaitmeninių sprendimų ir (arba) skaitmeninių viešųjų paslaugų) suvestinis aprašas

Reikalavimo nuoroda  Reikalavimo aprašymas  Subjektai, kuriems reikalavimas daro poveikį arba kuriems jis taikomas  Suvestiniai procesai  Kategorijos  5 straipsnio 1 dalies a punktas Parama įgyvendinant ES teisę a)    pagalba valstybėms narėms nuosekliai įgyvendinant su kibernetiniu saugumu susijusią Sąjungos politiką ir teisę, be kita ko, teikiant technines gaires, ataskaitas ir konsultacijas ir dalijantis geriausios praktikos pavyzdžiais, taip pat sudarant palankesnes sąlygas kompetentingoms institucijoms keistis geriausios praktikos pavyzdžiais šioje srityje; – ENISA – valstybės narės  – duomenų tvarkymas siekiant parengti technines gaires, ataskaitas, konsultacijos ir dalijimasis geriausios praktikos pavyzdžiais, taip pat palankesnių sąlygų sudarymas kompetentingoms institucijoms keistis geriausios praktikos pavyzdžiais – palankesnių sąlygų sudarymas keistis geriausios praktikos pavyzdžiais  Duomenų apdorojimas  Duomenų srautas 5 straipsnio 1 dalies b punktas Parama įgyvendinant ES teisę b)    parama dalijimuisi informacija sektoriuose ir tarp jų, visų pirma kalbant apie Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius ir produktus su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847, pateikiant geriausios praktikos pavyzdžių ir gairių dėl turimų priemonių ir procedūrų; – ENISA – Direktyvos (ES) 2022/2555 I ir II prieduose išvardyti sektoriai – suinteresuotieji subjektai, kuriems daro poveikį Reglamentas (ES) 2024/2847 geriausios praktikos pavyzdžių ir gairių dėl turimų dalijimosi informacija priemonių ir procedūrų teikimas  Duomenų apdorojimas  Duomenų srautas 5 straipsnio 1 dalies c punktas Parama įgyvendinant ES teisę c)    Komisijos prašymu padedama valstybėms narėms teikiant paramą, pavyzdžiui, technines gaires, be kita ko, dėl kibernetinio saugumo rizikos valdymo priemonių, kibernetinio saugumo brandos vertinimo priemonių ir reagavimo į incidentus vadovų, pritaikytų Direktyvos (ES) 2022/2555 I ir II prieduose išvardytiems sektoriams, kad būtų sudarytos palankesnės sąlygos gerinti jų kibernetinio saugumo brandos lygį ir atitiktį Sąjungos teisei kibernetinio saugumo srityje; – ES Komisija   – ENISA – Direktyvos (ES) 2022/2555 I ir II prieduose išvardyti sektoriai Techninių gairių teikimas  Duomenų apdorojimas  Duomenų srautas 5 straipsnio 1 dalies e punktas e) pagalba valstybėms narėms ir susijusiems Sąjungos subjektams rengiant ir propaguojant kibernetinio saugumo politiką, susijusią su atvirojo interneto viešosios erdvės visuotinio prieinamumo ir vientisumo užtikrinimu;   Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės ES subjektai  Pagalba rengiant ir propaguojant kibernetinio saugumo politiką  Duomenų apdorojimas Duomenų srautas 5 straipsnio 1 dalies f punktas Parama įgyvendinant ES teisę f)    pagal Reglamentą (ES) 2024/2847 teikiamos techninės konsultacijos ir parama klausimais, susijusiais su to reglamento įgyvendinimu ir vykdymo užtikrinimu. - Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) – suinteresuotieji subjektai, kuriems daro poveikį Reglamentas (ES) 2024/2847 Teikiant technines konsultacijas ir paramą reikia tvarkyti informaciją apie teisės aktų reikalavimus, įgyvendinimo sunkumus ir atitikties gaires bei ja dalytis. Duomenų apdorojimas  Duomenų srautas 5 straipsnio 1 dalies h punktas h) Europos duomenų apsaugos valdybos prašymu teikiamos konsultacijos dėl su duomenų apsauga ir privatumu susijusios Sąjungos politikos ir teisės konkrečių kibernetinio saugumo aspektų įgyvendinimo. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EDAV   Konsultacijų teikimas gavus prašymą Duomenų apdorojimas  Duomenų srautas 5 straipsnio 2 dalis Indėlis į Sąjungos lygmens kibernetinio saugumo rizikos vertinimus   ENISA prisideda prie koordinuotų Sąjungos lygmens kibernetinio saugumo rizikos vertinimų, įskaitant vertinimus, atliekamus pagal Direktyvos (ES) 2022/2555 22 straipsnį.   Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės  Plačioji visuomenė  Prisidedama vykdant koordinuotus rizikos vertinimus, kuriuos vykdant reikia tvarkyti duomenis ir užtikrinti duomenų srautą Duomenų apdorojimas Duomenų srautas  5 straipsnio 3 dalis ENISA skelbia gaires ENISA paskelbia gaires dėl tinklų ir informacinių sistemų, naudojamų dalijimuisi informacija, sąveikumo, be kita ko, kiek tai susiję su tarpvalstybiniais kibernetinio saugumo centrais, kaip nurodyta Reglamento (ES) 2025/38 6 straipsnio 3 dalyje. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės ENISA skelbia gaires Duomenų apdorojimas  Duomenų srautas 5 straipsnio 5 dalis Parama Komisijai Komisijos prašymu ENISA teikia ekspertines žinias, technines konsultacijas, informaciją ar analizę arba atlieka parengiamąjį darbą konkrečiais kibernetinio saugumo klausimais, kad suteiktų informacijos Komisijos politikos formavimo ir Sąjungos teisės aktų įgyvendinimo stebėsenos tikslais. Europos Komisija Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Informacijos rengimas ir siuntimas Komisijai Duomenų apdorojimas  Duomenų srautas 6 straipsnis Pajėgumų stiprinimas ENISA padeda teikdama žinias ir ekspertines žinias, geriausią praktiką ir t. t. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės ES subjektai Viešojo ir privačiojo sektorių suinteresuotieji subjektai Rinkos priežiūros institucijos EKSSG nariai ECCC Žinių ir ekspertinių žinių teikimas  Duomenų apdorojimas  Duomenų srautas 7 straipsnis Informuotumo didinimas ir specialistų rezervas ENISA padeda valstybėms narėms didinti informuotumą apie su kibernetiniu saugumu susijusią Sąjungos politiką ir teisės aktus ir skatina jų matomumą parengdama veiksmingas priemones ir gaires. ENISA remia iniciatyvas, kuriomis siekiama padidinti Europos kibernetinio saugumo talentų rezervą, visų pirma koordinuodama konkursus. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Praktinių priemonių ir gairių rengimas Duomenų apdorojimas 8 straipsnio 1 dalis Rinkos žinios ir analizė ENISA analizuoja kibernetinio saugumo rinkos pagrindines tendencijas paklausos ir pasiūlos srityse, visų pirma susijusias su sritimis, kuriose jau yra sukurtos arba yra planuojamos Europos kibernetinio saugumo sertifikavimo schemos, su Direktyvos (ES) 2022/2555 I ir II prieduose išvardytais sektoriais ir produktų kategorijomis, kurioms taikomas Reglamentas (ES) 2024/2847, įskaitant to reglamento III ir IV priedus, ir platina šios analizės duomenis. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Direktyvos (ES) 2022/2555 I ir II prieduose išvardyti sektoriai Produktų kategorijos, kurioms taikomas Reglamentas (ES) 2024/2847 Analizės vykdymas ir jos duomenų platinimas Duomenų apdorojimas  Duomenų srautas 8 straipsnio 2 dalis Rinkos žinios ir analizė ENISA analizuoja technologines kibernetinio saugumo tendencijas, visų pirma susijusias su veikla ir subjektais, kuriems taikoma Direktyva (ES) 2022/2555, ir produktais su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2024/2847, ir platina tokios analizės duomenis. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė, suinteresuotieji subjektai, kaip apibrėžta Direktyvoje (ES) 2022/2555 ir Reglamente (ES) 2024/2847 Analizės vykdymas ir jos duomenų platinimas Duomenų apdorojimas Duomenų srautas 8 straipsnio 3 dalis Rinkos žinios ir parama ekosistemoms ENISA kaupia žinias ir platina technines konsultacijas ir analizės duomenis apie pažangiausias kibernetinio saugumo priemones, pamatinius standartus ir geriausią praktiką. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Techninių konsultacijų ir analizės duomenų apie pažangiausias kibernetinio saugumo priemones, pamatinius standartus ir geriausią praktiką platinimas. Duomenų apdorojimas Duomenų srautas 9 straipsnis Tarptautinis bendradarbiavimas   ENISA prisideda analizuodama tarptautinių pratybų rezultatus ir apie juos pranešdama Valdančiajai tarybai, sudarydama palankesnes sąlygas keistis geriausios praktikos pavyzdžiais, teikdama Komisijai ekspertines žinias ir konsultacijas. Tarptautinė auditorija  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ENISA valdančioji taryba Europos Komisija Analizavimas ir ataskaitų teikimas: konsultacijų teikimas ir t. t.   Duomenų apdorojimas Duomenų srautas   10 straipsnio 2 ir 3 dalys Operatyvinis bendradarbiavimas 2.    ENISA yra nacionalinio CSIRT tinklo, įsteigto pagal Direktyvos (ES) 2022/2555 15 straipsnio 1 dalį, narė ir teikia CSIRT tinklo sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 15 straipsnio 2 dalį. 3.    ENISA teikia Europos ryšių palaikymo dėl kibernetinių krizių organizacinio tinklo (EU-CyCLONe) sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 16 straipsnio 2 dalies antrą pastraipą. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)  CSIRT (Direktyvos (ES) 2022/2555 15 straipsnio 1 dalis)  EU-CyCLONe (Direktyvos 2022/2555 16 straipsnio 2 dalis)  Palankesnių sąlygų keistis informacija sudarymas, tinklų sekretoriato pareigų vykdymas Duomenų srautas Skaitmeninis sprendimas Skaitmeninė viešoji paslauga    11 straipsnio 1 dalies b punktas Informuotumas apie padėtį    12 straipsnis Ankstyvieji įspėjimai  ankstyvųjų įspėjimų skelbimas pagal 12 straipsnį   Europos Komisija Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europolas EU-CyCLONe CSIRT tinklas  CERT-EU Direktyvos (ES) 2022/2555 I ir II prieduose išvardyti subjektai Ankstyvųjų įspėjimų skelbimas Duomenų apdorojimas Duomenų srautas  Skaitmeninė viešoji paslauga 10 straipsnio 4 dalies b punktas Operatyvinis bendradarbiavimas b)    vienos ar kelių valstybių narių prašymu teikiamos konsultacijos ir vertinimai, susiję su konkrečiu potencialiu ar vykstančiu incidentu ar kibernetine grėsme, be kita ko, teikiant ekspertines žinias ir palengvinant techninį tokių incidentų valdymą ir remiant valstybių narių savanorišką dalijimąsi atitinkama informacija ir techniniais sprendimais; Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Konsultacijos ir vertinimai, susiję su konkrečiu potencialiu ar vykstančiu incidentu ar kibernetine grėsme; palankesnių sąlygų tokių incidentų techniniam valdymui sudarymas; parama savanoriškam valstybių narių dalijimuisi atitinkama informacija ir techniniais sprendimais. Duomenų apdorojimas Duomenų srautas Skaitmeninės viešosios paslaugos 10 straipsnio 4 dalies c punktas Operatyvinis bendradarbiavimas c)    pažeidžiamumų, grėsmių ir incidentų analizavimas; Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Duomenų rinkimas iš viešųjų šaltinių ir keitimasis duomenimis su valstybėmis narėmis  Duomenų apdorojimas Duomenų srautas 10 straipsnio 4 dalies d punktas Operatyvinis bendradarbiavimas d) vienos ar kelių valstybių narių prašymu teikiama parama ex post techniniams reikšmingų incidentų tyrimams pagal Direktyvą (ES) 2022/2555. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Analizė ir parama reaguojant į techninius incidentų tyrimus Duomenų apdorojimas Duomenų srautas 10 straipsnio 4 dalies e punktas Operatyvinis bendradarbiavimas e)    prisidedama remiant koordinuotą didelio masto kibernetinio saugumo incidentų ir krizių valdymą operatyviniu lygmeniu, visų pirma padedant EU-CyCLONe rengti ataskaitas politiniu lygmeniu ir palengvinant savalaikį dalijimąsi informacija tarp CSIRT tinklo ir EU-CyCLONe; Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EU-CyCLONe CSIRT tinklas  Duomenų analizavimas siekiant palengvinti ataskaitų rengimą; palankesnių sąlygų laiku keistis informacija tarp tinklų sudarymas Duomenų apdorojimas Duomenų srautas  Skaitmeninė viešoji paslauga  10 straipsnio 5 dalis  Operatyvinis bendradarbiavimas Valstybei narei arba Sąjungos subjektui paprašius ir bendradarbiaudama su CERT-EU, ENISA remia su incidentu ar kibernetine grėsme susijusią nuoseklią viešą komunikaciją. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Prašymo priėmimas ir, prireikus, komunikacija Duomenų srautas 10 straipsnio 6 dalis Operatyvinis bendradarbiavimas ENISA remia valstybių narių ir, per CERT-EU, ir Sąjungos subjektų bendradarbiavimą, susijusį su saugaus ryšio priemonių diegimu. CSIRT tinkle ir EU-CyCLONe ENISA naudoja saugiojo ryšio priemones, kurias teikia juridiniai subjektai, kurie nėra įsisteigę trečiosiose valstybėse arba nėra jų arba trečiųjų valstybių piliečių kontroliuojami.     Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europos Komisija Valstybės narės ES subjektai CSIRT tinklas EU-CyCLONe Parama diegiant saugiojo ryšio priemones ir tokių priemonių naudojimas CSIRT tinkle ir EU-CyCLONe.  Skaitmeninis sprendimas  Skaitmeninė viešoji paslauga  11 straipsnio 1 dalies a punktas Bendras informuotumas apie kibernetinio saugumo padėtį  a)    bendradarbiaudama su EU-CyCLONe, CSIRT tinklu, Komisija, CERT-EU, Europolu ir kitais atitinkamais Sąjungos subjektais sukuria patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes, įskaitant incidentų tendencijas, taktiką, metodus ir procedūras, saugyklas. Europos Komisija Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EU-CyCLONe CSIRT tinklas Europolas ES subjektai CERT-EU Saugyklų kūrimas  Skaitmeninis srautas Skaitmeninis sprendimas  Skaitmeninė viešoji paslauga 11 straipsnio 1 dalies c–g punktai  Bendras informuotumas apie kibernetinio saugumo padėtį Laiku teikti ad hoc analizes (kai kurias – paprašius); teikti analizę ir technines konsultacijas; bendradarbiaujant su kitais subjektais rengti techninės padėties ataskaitą; stebėti tendencijas ir dalytis duomenimis apie jas. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Europos Komisija ES subjektai EU-CyCLONe CSIRT tinklas Duomenų analizė, dalijimasis informacija ir ataskaitų teikimas (kai kurios jų teikiamos paprašius) Duomenų apdorojimas Duomenų srautas  11 straipsnio 2 dalies a punktas Bendras informuotumas apie kibernetinio saugumo padėtį ENISA atlieka kibernetinių grėsmių, incidentų, tendencijų, besiformuojančių technologijų ir jų poveikio analizę, įskaitant reguliarią analizę, apimančią Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius ir atitinkamas produktų kategorijas, kurioms taikomas Reglamentas (ES) 2024/2847; Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Analizuoti duomenis, kad būtų pateikta informacija, turinti įtakos kibernetiniam saugumui; reguliarios ataskaitos Duomenų apdorojimas Duomenų srautas 11 straipsnio 2 dalies b punktas Bendras informuotumas apie kibernetinio saugumo padėtį ENISA, bendradarbiaudama su Komisija ir, kai tinkama, CSIRT tinklu, teikia rekomendacijas, gaires ir geriausios praktikos pavyzdžius, susijusius su tinklų ir informacinių sistemų saugumu, visų pirma dėl infrastruktūros, palaikančios Direktyvos (ES) 2022/2555 I ir II prieduose išvardytus sektorius, saugumo;   Europos Komisija CERT-EU CSIRT tinklas Plačioji visuomenė Rekomendacijų, gairių ir geriausios praktikos pavyzdžių teikimas Duomenų apdorojimas Duomenų srautas 11 straipsnio 2 dalies c punktas Bendras informuotumas apie kibernetinio saugumo padėtį ENISA vykdo ilgalaikę strateginę kibernetinių grėsmių ir incidentų analizę, kad galėtų nustatyti naujausias tendencijas ir padėtų užkirsti kelią incidentams. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)  Plačioji visuomenė Duomenų analizė ir kylančių grėsmių nustatymas  Duomenų apdorojimas   11 straipsnio 3 dalis Bendras informuotumas apie kibernetinio saugumo padėtį ENISA, pritarus 2 dalyje nurodytiems prisidedantiems subjektams, gali viešai skelbti 2 dalyje nurodytą analizę, patarimus, gaires, geriausią praktiką ir ataskaitas. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Informacijos viešinimas Duomenų srautas Skaitmeninė viešoji paslauga  13 straipsnio 2 dalis Parama reaguojant į incidentus  2.    Komisijos arba EU-CyCLONe prašymu ENISA, padedama CSIRT tinklo ir gavusi atitinkamos valstybės narės pritarimą, peržiūri ir įvertina reikšmingus kibernetinio saugumo incidentus arba didelio masto kibernetinio saugumo incidentus pagal Reglamento (ES) 2025/38 21 straipsnį. Europos Komisija Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EU-CyCLONe CSIRT tinklas Valstybės narės Reikšmingų kibernetinio saugumo incidentų peržiūra ir vertinimas Duomenų apdorojimas  14 straipsnio 2 dalis Kibernetinio saugumo pratybos Sąjungos lygmeniu 2.    ENISA tvarko informacijos apie 1 dalyje nurodytų pratybų metu įgytą patirtį saugyklą ir rekomenduoja valstybėms narėms ir, kai aktualu, Sąjungos subjektams, kaip veiksmingai ir efektyviai pasinaudoti įgyta patirtimi. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės ES subjektai Saugyklos tvarkymas Duomenų apdorojimas  Skaitmeninis sprendimas Skaitmeninė viešoji paslauga  14 straipsnis Kibernetinio saugumo pratybos Sąjungos lygmeniu   Gavusi EU-CyCLONe, Komisijos, valstybių narių arba CERT-EU prašymą, ENISA organizuoja kibernetinio saugumo pratybas arba prisideda prie jų organizavimo. ENISA padeda Komisijai rengti metinę tęstinę Sąjungos lygmens kibernetinio saugumo pratybų programą. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Komisija Valstybės narės ES subjektai  CERT-EU Prašymų organizuoti pratybas arba padėti jas organizuoti priėmimas  Duomenų srautas Duomenų apdorojimas 15 straipsnis Priemonių ir platformų teikimas    1.    ENISA sukuria, teikia, valdo, prižiūri ir prireikus atnaujina technines veiklos priemones, įskaitant su kibernetiniu saugumu susijusias platformas Sąjungos lygmeniu, visų pirma bendrą pranešimų apie incidentus teikimo platformą, sukurtą pagal Reglamento (ES) 2024/2847 16 straipsnio 1 dalį [ir bendrą prieigą, sukurtą pagal Direktyvos (ES) 2022/2555 23a straipsnį], ir testavimo priemones, padedančias įgyvendinti atitikties vertinimo procedūras pagal atitinkamus Sąjungos teisės aktus. 2.    Kai tikslinga 1 dalies tikslais, ENISA bendradarbiauja ir keičiasi informacija su CSIRT tinklu ir, kai taikytina, rinkos priežiūros institucijomis.     Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) CSIRT tinklas Plačioji visuomenė Rinkos priežiūros institucijos   ENISA sukuria, teikia, valdo, prižiūri ir prireikus atnaujina technines veiklos priemones, pavyzdžiui, platformas. Skaitmeninis sprendimas Skaitmeninė viešoji paslauga Duomenų srautas 16 straipsnio 2 dalis Pažeidžiamumų valdymo paslaugos  a)    pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį sukurtos Europos pažeidžiamumų duomenų bazės priežiūra; b)    pažeidžiamumo valdymo paslaugų teikimas suinteresuotiesiems subjektams, remiantis Europos pažeidžiamumų duomenų baze ir naudojantis atitinkama ENISA turima informacija; c)    kai tinkama, pradėtas struktūrinis bendradarbiavimas su organizacijomis, teikiančiomis programas, registrus ar duomenų bazes, panašias į Europos pažeidžiamumų duomenų bazę; d)    aktyvi parama CSIRT, pagal Direktyvos (ES) 2022/2555 12 straipsnio 1 dalį paskirtoms koordinatorėmis, kiek tai susiję su koordinuotu pažeidžiamumų, kurie gali turėti reikšmingą poveikį subjektams daugiau nei vienoje valstybėje narėje, atskleidimo valdymu; e) pažeidžiamumų nustatymo ir koordinuoto atskleidimo metodikų ir valdymo mechanizmų kūrimas ir priežiūra bendradarbiaujant su nacionalinėmis kompetentingomis institucijomis, CSIRT, pramonės atstovais ir mokslinių tyrimų bendruomene Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Nacionalinės CSIRT CSIRT tinklas Nacionalinės kompetentingos institucijos Pramonė Mokslinių tyrimų bendruomenė Plačioji visuomenė Tarptautiniai subjektai, teikiantys programas, registrus ar duomenų bazes Pažeidžiamumų valdymo paslaugų teikimas; prireikus pradedamas struktūrizuotas bendradarbiavimas; bendradarbiavimas su suinteresuotaisiais subjektais;  Skaitmeninis sprendimas  Skaitmeninė viešoji paslauga  Duomenų srautas   17 straipsnis Kibernetinio saugumo sertifikavimas   18 straipsnis Standartizacija, techninės specifikacijos ir gairės 17 straipsnio 1 dalis a) potencialių Europos kibernetinio saugumo sertifikavimo schemų (toliau – potencialios schemos) IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei bei Europos ir susijusių techninių specifikacijų pagal 74 straipsnį rengimas; b) priimtų Europos kibernetinio saugumo sertifikavimo schemų priežiūra pagal 75 straipsnį, be kita ko, atsižvelgiant į galimą priimtų Europos kibernetinio saugumo sertifikavimo schemų peržiūrą pagal 76 straipsnį; c) priimtų schemų naudojimo skatinimas ir specialios interneto svetainės, kurioje teikiama informacija apie Europos kibernetinio saugumo sertifikavimo schemas, Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus pagal 79 straipsnį, priežiūra; 17 straipsnio 2 dalis e) pavyzdinių nuostatų, kurios būtų nurodomos Europos kibernetinio saugumo sertifikavimo schemose (potencialiose schemose) IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei pagal 81 straipsnio 5 dalį rengimas;   18 straipsnis 1. ENISA parengia technines specifikacijas ir gaires, kuriomis remiamas Sąjungos teisės aktų įgyvendinimas kibernetinio saugumo srityje. 2. ENISA stebi standartizacijos plėtojimo veiklą Sąjungos lygmeniu ir pagal 9 straipsnį tarptautiniu lygmeniu, joje dalyvauja ir jai vadovauja. 3. ENISA remia kriptografinių algoritmų kūrimą ir vertinimą. Jei kriptografinis algoritmas įvertinamas teigiamai, ENISA pagal Reglamentą (ES) Nr. 1025/2012 bendradarbiauja su Europos standartizacijos įstaigomis, kad padėtų jį standartizuoti. 4. ENISA Komisijai ir EKSSG teikia technines ekspertines žinias apie tinkamus standartus arba technines specifikacijas, kuriais remiama su kibernetiniu saugumu susijusi Sąjungos politika, visų pirma Reglamentas (ES) 2024/2847, be kita ko, dėl Sąjungos derinamųjų teisės aktų kibernetinio saugumo srityje ir Europos kibernetinio saugumo sertifikavimo schemų pagal 81 straipsnio 1 dalies d punktą.  5. ENISA padeda Komisijai vertinti darniųjų standartų projektus, kad padėtų įgyvendinti Sąjungos derinamuosius teisės aktus kibernetinio saugumo srityje. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Duomenų analizavimas ir keitimasis duomenų srautais su Komisija ir kitais suinteresuotaisiais subjektais; potencialių sertifikavimo schemų rengimas; ENISA svetainės priežiūra Duomenų apdorojimas Duomenų srautai Skaitmeninė viešoji paslauga 19 straipsnis. Europos kibernetinio saugumo įgūdžių sistema               ENISA parengia ir viešai paskelbia Europos kibernetinio saugumo įgūdžių sistemą. Prieš viešai paskelbdama Europos kibernetinio saugumo įgūdžių sistemą arba atnaujindama ją pagal 4 dalį, ENISA konsultuojasi su Komisija. Viešieji ir privatieji subjektai Europos kibernetinio saugumo įgūdžių sistemą naudoja savanoriškai. Kurdama ir naudodama Europos kibernetinio saugumo įgūdžių sistemą ENISA gali konsultuotis su suinteresuotaisiais subjektais. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Komisija Plačioji visuomenė Valstybės narės  ES subjektai Viešojo ir privačiojo sektorių suinteresuotieji subjektai   Europos kibernetinio saugumo įgūdžių sistemos priežiūra; konsultavimasis su suinteresuotaisiais subjektais; Europos kibernetinio saugumo įgūdžių sistemos naudojimas   Duomenų apdorojimas  Duomenų srautas Skaitmeninis sprendimas   20–23 straipsniai. Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos ENISA parengia, priima ir prižiūri Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas. Nacionalinės viešosios įstaigos ir privatieji subjektai Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas naudoja savanoriškai, išskyrus atvejus, kai nacionalinėje teisėje nustatyta kitaip. Prieš inicijuodama naują Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą, ENISA konsultuojasi su Komisija. ENISA tokią schemą patvirtina tik gavusi teigiamą Komisijos nuomonę. Rengdama Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą ENISA gali konsultuotis su atitinkamais suinteresuotaisiais subjektais. ENISA užtikrina glaudų bendradarbiavimą su valstybėmis narėmis rengiant Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas. Įgaliotieji atestavimo pažymėjimų teikėjai įvertina, ar asmenys atitinka Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos reikalavimus, ir, jei tie reikalavimai įvykdyti, išduoda Europos individualių kibernetinio saugumo įgūdžių atestavimo dokumentus. ENISA teikia gaires vertintojams ir vykdo privalomus jų mokymus, susijusius su reikalavimais ir vertinimo metodais, įtrauktais į Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą, kaip nurodyta 20 straipsnio 3 dalies b punkte. Subjektai, norintys tapti įgaliotaisiais atestavimo pažymėjimų teikėjais arba atnaujinti savo įgaliojimą (toliau – pareiškėjai), pateikia prašymą ENISA. Įgaliotieji atestavimo pažymėjimų teikėjai užtikrina, kad asmens prašymu Europos individualių kibernetinio saugumo įgūdžių atestavimo elektroniniai pažymėjimai būtų išduodami kaip elektroniniai požymių liudijimai tokiu formatu, kuris gali būti saugomas Reglamentu (ES) Nr. 910/2014 nustatytose europinėse skaitmeninės tapatybės dėklėse. Pareiškėjai ir įgaliotieji atestavimo pažymėjimų teikėjai leidžia ENISA atlikti vertinimus pirmą kartą teikiant prašymą, siekiant pratęsti leidimo galiojimą arba jį atnaujinti ir dalytis visa svarbia informacija siekiant užtikrinti, kad būtų įvykdyti arba toliau vykdomi 3 ir 4 dalyse nustatyti reikalavimai ir 5 dalyje nustatytos pareigos pagal 22 straipsnio 2 dalį. Įgaliotieji atestavimo pažymėjimų teikėjai nedelsdami informuoja ENISA, jei nebesilaikoma kurio nors iš 3 dalyje išvardytų reikalavimų arba jei kyla abejonių, kad tų reikalavimų nesilaikoma, be kita ko, dėl vertintojų nepriklausomumo. Pareiškėjai moka ENISA mokestį už jų prašymo vertinimą. Įgaliotieji atestavimo pažymėjimų teikėjai moka ENISA mokestį už tai, kad būtų pratęstas jų turimo leidimo galiojimas.  ENISA įvertina, ar pareiškėjai ir įgaliotieji atestavimo pažymėjimų teikėjai laikosi arba toliau laikosi 21 straipsnio 3 ir 4 dalyse nustatytų reikalavimų ir 21 straipsnio 5 dalyje nustatytų pareigų. Išnagrinėjusi prašymą pagal 21 straipsnio 3 ir 4 dalyse nustatytus reikalavimus, ENISA gali paskelbti sprendimą. ENISA gali iš dalies keisti tokius sprendimus, sustabdyti jų galiojimą arba juos atšaukti. ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija: a)apie Europos kibernetinio saugumo įgūdžių sistemą, įskaitant jos sistemą ir atnaujinimo tvarkaraštį; b)Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas, jų kūrimo pažangą ir terminus; c)mokesčius, susijusius su kiekviena Europos individualių kibernetinio saugumo įgūdžių atestavimo schema, priimta pagal šio reglamento 47 straipsnį; d)Europos individualių kibernetinio saugumo įgūdžių atestavimo orientacinę kainą pagal 20 straipsnio 4 dalį; e)įgaliotųjų atestavimo pažymėjimų teikėjų sąrašą. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Komisija  Plačioji visuomenė Valstybės narės  ES subjektai Viešojo ir privačiojo sektorių suinteresuotieji subjektai (prisidedantys prie atestavimo schemos kūrimo; pareiškėjai ir Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėjai, įskaitant vertintojus)    Schemų kūrimas ir priežiūra; konsultacijos su suinteresuotaisiais subjektais; prašymų tvarkymas; sprendimų priėmimas; svetainės priežiūra  Duomenų apdorojimas  Duomenų srautas Skaitmeninis sprendimas Skaitmeninė viešoji paslauga 25 straipsnis  Valdančiosios tarybos sudėtis ENISA valdančiosios tarybos narių skyrimas. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europos Komisija Valstybės narės Narių skyrimas Duomenų srautas Duomenų apdorojimas 28 straipsnio 1 dalis  Valdančiosios tarybos funkcijos   30 straipsnis Vykdomoji valdyba b.priima 44 straipsnyje nurodyto ENISA bendrojo programavimo dokumento projektą, prieš jį pateikiant Komisijai jos nuomonei gauti; f) įvertina ir priima konsoliduotąją ENISA metinę veiklos ataskaitą, įskaitant finansines ataskaitas ir aprašymą, kaip ENISA pasiekė savo veiklos rezultatų rodiklius, ne vėliau kaip kitų metų liepos 1 d. pateikia metinę ataskaitą ir vertinimą Europos Parlamentui, Tarybai, Komisijai ir Audito Rūmams; metinę ataskaitą paskelbia viešai; i) užtikrina, kad, atsižvelgiant į vidaus ar išorės audito ataskaitų ir vertinimų, taip pat Europos kovos su sukčiavimu tarnybos (OLAF) ir Europos prokuratūros atliktų tyrimų išvadas ir rekomendacijas, būtų imtasi tinkamų tolesnių veiksmų; Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europos Komisija  Europos Parlamentas ES Taryba Audito Rūmai Valstybės narės  Plačioji visuomenė Bendrojo programavimo dokumento pateikimas Komisijai, kad ji pareikštų savo nuomonę; vertina ir priima konsoliduotąją metinę ENISA veiklos ataskaitą, įskaitant finansines ataskaitas ir aprašymą, kaip ENISA pasiekė savo veiklos rezultatų rodiklius, pateikia metinę ataskaitą ir vertinimą;  tolesni veiksmai dėl išvadų  Duomenų srautas Duomenų apdorojimas   31 straipsnio 8 dalis Paskyrimas, atleidimas ir kadencijos pratęsimas   Apie ketinimą pratęsti vykdomojo direktoriaus kadenciją pagal 6 dalį Valdančioji taryba informuoja Europos Parlamentą. Trijų mėnesių laikotarpiu iki tokio kadencijos pratęsimo vykdomasis direktorius, jei jo paprašoma, padaro pranešimą atitinkamame Europos Parlamento komitete ir atsako į Parlamento narių klausimus. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)  ENISA valdančioji taryba  Europos Parlamentas  Valdančioji taryba informuoja Europos Parlamentą Duomenų srautas 32 straipsnio 3 dalis Vykdomojo direktoriaus užduotys ir pareigos     32 straipsnio 5 dalis 3. Gavęs prašymą, vykdomasis direktorius Europos Parlamentui pateikia savo užduočių vykdymo ataskaitą. Taryba gali paprašyti vykdomojo direktoriaus pateikti savo užduočių vykdymo ataskaitą. Biudžeto planų strategijų ir strateginių dokumentų projektų rengimas. ENISA vykdomasis direktorius Europos Parlamentas  Veiklos ataskaitos  Duomenų srautas Duomenų apdorojimas 35 straipsnio 5 ir 6 dalys ENISA patariamoji grupė  5. ENISA patariamoji grupė pataria ENISA jos veiklos vykdymo klausimais, išskyrus šio reglamento III, IV ir V antraštinių dalių nuostatų taikymą. Ji visų pirma pataria vykdomajam direktoriui dėl ENISA metinės darbo programos pasiūlymo rengimo ir dėl to, kaip užtikrinti ryšius su atitinkamais suinteresuotaisiais subjektais su metine darbo programa susijusiais klausimais. 6.    ENISA patariamoji grupė apie savo veiklą nuolat informuoja Valdančiąją tarybą. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ENISA patariamosios grupės nariai  ENISA valdančioji taryba  ENISA vykdomasis direktorius Konsultuoja ir informuoja apie savo veiklą  Duomenų apdorojimas Duomenų srautas 36–43 straipsniai  Apeliacinė taryba  Valdančiosios tarybos sprendimu ENISA įsteigia Apeliacinę tarybą. Apeliacinę tarybą sudaro pirmininkas ir trys kiti nariai. Kiekvienas Apeliacinės tarybos narys turi pakaitinį narį. Tikrajam nariui nedalyvaujant, jam atstovauja pakaitinis narys. Pirmininką, kitus narius ir jų pakaitinius narius skiria Valdančioji taryba iš Komisijos sudaryto kvalifikuotų kandidatų sąrašo. Kvalifikuotų kandidatų sąrašas galioja ketverius metus. Šio sąrašo galiojimą Valdančioji taryba, remdamasi Komisijos pasiūlymu, gali pratęsti papildomiems ketverių metų laikotarpiams. Kai Apeliacinė taryba mano, kad to reikia dėl apeliacinio skundo pobūdžio, ji gali paprašyti Valdančiosios tarybos paskirti dar du narius ir jų pakaitinius narius iš 3 dalyje nurodyto sąrašo. Apeliacinė taryba priima savo darbo tvarkos taisykles ir jas paskelbia viešai. Kai dėl vienos iš 1 dalyje išvardytų ar bet kurių kitų priežasčių Apeliacinės tarybos narys mano, jog neturėtų dalyvauti skundo nagrinėjime, apie tai atitinkamai praneša Apeliacinei tarybai. Apeliacinė taryba sprendimą dėl veiksmų, kurių reikia imtis 2 ir 3 dalyse išvardytais atvejais, priima nedalyvaujant atitinkamam jos nariui. Tam sprendimui priimti atitinkamą narį Apeliacinėje taryboje pakeičia jo pakaitinis narys. Pagal 1 dalį pateiktam apeliaciniam skundui, prieš pateikiant jį nagrinėti Apeliacinei tarybai, atliekamas prejudicinis įvertinimas pagal 41 straipsnį. Pareiškėjai, apibrėžti 21 straipsnio 3 dalyje, gali pateikti apeliacinį skundą dėl: jų atžvilgiu priimto ENISA sprendimo pagal 22 straipsnio 3 dalį, dėl to, kad ENISA nesiėmė veiksmų dėl jų ENISA pateikto prašymo per 22 straipsnio 4 dalyje nustatytus terminus. 1 dalies a punkte nurodytu atveju apeliacinis skundas kartu su jo pagrindimu pateikiamas raštu, laikantis 36 straipsnio 5 dalyje nurodytų darbo tvarkos taisyklių, per du mėnesius nuo pranešimo atitinkamam prašytojui apie sprendimą dienos arba, jei to nebuvo padaryta, nuo tos dienos, kai prašytojas sužinojo apie sprendimą. 1 dalies b punkte nurodytu atveju apeliacinis skundas ENISA pateikiamas raštu pagal 36 straipsnio 5 dalyje nurodytas darbo tvarkos taisykles per du mėnesius nuo 22 straipsnio 4 dalyje nustatyto termino pabaigos. Jei ENISA mano, kad apeliacinis skundas yra priimtinas ir tinkamai pagrįstas, ji pataiso 40 straipsnio 1 dalyje nurodytą sprendimą ar padėtį, susijusią su tuo, kad nebuvo imtasi veiksmų.  Jei ENISA nepataiso sprendimo per vieną mėnesį nuo apeliacinio skundo gavimo, ji nedelsdama sprendžia, ar nereikėtų sustabdyti jos sprendimo vykdymo, ir perduoda apeliacinį skundą Apeliacinei tarybai. Apeliacinė taryba priima sprendimą dėl apeliacinio skundo patenkinimo ar atmetimo per tris mėnesius nuo to apeliacinio skundo pateikimo. Nagrinėdama apeliacinį skundą Apeliacinė taryba veikia laikydamasi savo darbo tvarkos taisyklėse nustatytų terminų. Ji kviečia (tiek kartų, kiek reikia) apeliacinio proceso šalis per nurodytus laikotarpius pareikšti pastabas dėl jos ar kitų apeliacinio proceso šalių pranešimų. Apeliacinio proceso šalys turi teisę pateikti paaiškinimus žodžiu. Jeigu Apeliacinė taryba nustato, kad priežastys pateikti apeliacinį skundą yra pagrįstos, ji perduoda bylą ENISA. ENISA priima savo galutinį sprendimą, atitinkantį Apeliacinės tarybos išvadas, ir pateikia to sprendimo motyvų pareiškimą. ENISA atitinkamai informuoja apie tai apeliacinio proceso šalis. Ieškiniai dėl ENISA sprendimų, priimtų pagal 22 straipsnio 3 dalį, panaikinimo arba ieškiniai dėl neveikimo per 22 straipsnio 4 dalyje nustatytus terminus gali būti pareikšti Europos Sąjungos Teisingumo Teismui tik po to, kai įvykdoma 39–42 straipsniuose nustatyta ENISA taikoma apeliacinė procedūra arba jei nesiimama veiksmų per 41 straipsnio 2 dalyje nustatytą terminą. ENISA imasi visų būtinų priemonių Europos Sąjungos Teisingumo Teismo sprendimui įvykdyti. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ENISA valdančioji taryba  Komisija Apeliacinė taryba, kaip apibrėžta KSA 2 pasiūlymo 36 straipsnyje Pareiškėjai (juridiniai asmenys, norintys tapti įgaliotaisiais atestavimo pažymėjimų teikėjais, išlaikyti arba atnaujinti savo įgaliojimus) Sprendimų priėmimas remiantis apeliaciniais skundais  Apeliacinių skundų nagrinėjimas Darbo tvarkos taisyklių rengimas ir skelbimas Informacijos srautai Duomenų apdorojimas  Duomenų srautas  Skaitmeninė viešoji paslauga  44 straipsnis Bendrasis programavimo dokumentas 2. Vykdomasis direktorius kasmet parengia bendrojo programavimo dokumento projektą, kaip nurodyta 1 dalyje, kuriame, vadovaujantis Komisijos deleguotojo reglamento (ES) 2019/715 32 straipsniu ir atsižvelgiant į Komisijos nustatytas gaires, pateikiami atitinkami žmogiškųjų ir finansinių išteklių planai. 3. Ne vėliau kaip kiekvienų metų lapkričio 30 d. Valdančioji taryba, atsižvelgdama į Komisijos nuomonę, nurodytą Deleguotojo reglamento (ES) 2019/715 32 straipsnio 7 dalyje, priima 1 dalyje nurodytą bendrąjį programavimo dokumentą. Jei Valdančioji taryba nusprendžia neatsižvelgti į kurį nors Komisijos nuomonėje nurodytą aspektą, ji pateikia išsamų tokio sprendimo pagrindimą. Valdančioji taryba ne vėliau kaip kitų metų sausio 31 d. bendrąjį programavimo dokumentą persiunčia Europos Parlamentui, Tarybai ir Komisijai; ji taip pat nusiunčia jiems visas paskesnes atnaujintas to dokumento versijas.   ENISA vykdomasis direktorius ENISA valdančioji taryba Europos Komisija Europos Parlamentas Taryba Bendrojo programavimo dokumento rengimas, priėmimas ir persiuntimas kiekvienais metais Duomenų srautas 45 straipsnis ENISA biudžeto sudarymas 4.    Komisija sąmatos projektą kartu su Sąjungos bendrojo biudžeto projektu išsiunčia biudžeto valdymo institucijai. ENISA taip pat gali susipažinti su šiuo sąmatos projektu. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europos Komisija Dalijimasis informacija Duomenų srautas 47 straipsnis Mokesčiai  22 straipsnio 1 dalyje nurodytai Europos atestavimo schemų veiklai iš 21 straipsnio 3 dalyje apibrėžtų pareiškėjų arba įgaliotųjų atestavimo pažymėjimų teikėjų renkami šie mokesčiai, skirti padengti visas ENISA atliekamos veiklos išlaidas už: a.leidimų išdavimą išnagrinėjus 21 straipsnio 3 ir 4 dalyse nustatytus reikalavimus, įskaitant vertinimų atlikimą; b.kasmetinį leidimo galiojimo pratęsimą; c.Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimų teikėjų leidimų atnaujinimą, be kita ko, už vertinimų atlikimą. Už Europos kibernetinio saugumo sertifikavimo schemų, pagal kurias išduodami Europos kibernetinio saugumo sertifikatai, priežiūrą atitikties vertinimo įstaigoms taikomi šie su sertifikavimu susiję mokesčiai, konkrečiai: metinis mokestis už dalyvavimą Europos kibernetinio saugumo sertifikavimo schemoje; mokestis už Europos kibernetinio saugumo sertifikatų išdavimą pagal Europos kibernetinio saugumo sertifikavimo schemas. b punkte nurodyti mokesčiai renkami, kai atitikties vertinimo įstaiga pateikia Europos kibernetinio saugumo sertifikatus ENISA, kad pagal 79 straipsnį jie būtų paskelbti jos interneto svetainėje. Komisija priima įgyvendinimo aktus, kuriais nustatomos išsamios taisyklės, susijusios su ENISA renkamais mokesčiais.  Vykdydama finansinių ataskaitų teikimo procedūrą, ENISA teikia ataskaitą apie taikomus mokesčius ir jų poveikį agentūros biudžetui. Komisija Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Atestavimo pažymėjimų teikėjai Atitikties vertinimo įstaigos Informacijos tvarkymas; mokesčių mokėjimas; ataskaitų apie mokesčius teikimas Duomenų apdorojimas  Duomenų srautas   48 straipsnis 49 straipsnis Poveikis biudžetui   48 straipsnis 3.    Kiekvienais metais vykdomasis direktorius biudžeto valdymo institucijai išsiunčia visą su vertinimo procedūrų rezultatais susijusią reikiamą informaciją. 49 straipsnis 1.    Ne vėliau kaip kovo 1 d. po kiekvienų finansinių metų (N + 1 metų) ENISA apskaitos pareigūnas Komisijos apskaitos pareigūnui ir Audito Rūmams nusiunčia preliminarias finansinių metų (N metai) finansines ataskaitas. 2.    Ne vėliau kaip N + 1 metų kovo 31 d. ENISA apskaitos pareigūnas Komisijos apskaitos pareigūnui nustatytu būdu ir formatu taip pat pateikia konsolidavimo tikslais reikalingą apskaitos informaciją. 3.    Ne vėliau kaip N + 1 metų kovo 31 d. ENISA išsiunčia Europos Parlamentui, Tarybai, Komisijai ir Audito Rūmams N metų biudžeto ir finansų valdymo ataskaitą. 4.    Gavęs Audito Rūmų pastabas dėl ENISA N metų preliminariųjų ataskaitų, agentūros apskaitos pareigūnas parengia ENISA galutines ataskaitas. 5. Valdančioji taryba pateikia nuomonę dėl ENISA N metų galutinių finansinių ataskaitų. Agentūros apskaitos pareigūnas savo atsakomybe parengia ENISA galutines finansines ataskaitas. Vykdomasis direktorius jas pateikia Valdančiajai tarybai, kad ji pareikštų nuomonę.  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ENISA valdančioji taryba Europos Komisija Taryba Europos Parlamentas Informacijos apie ENISA biudžetą tvarkymas ir bendrinimas. Duomenų apdorojimas  Duomenų srautas   52 straipsnis Interesų deklaravimas   Šalys pateikia įsipareigojimų deklaraciją ir deklaraciją, kurioje nurodoma, ar jos turi tiesioginių arba netiesioginių interesų, kurie galėtų būti laikomi trukdančiais jų nepriklausomumui. ENISA vadovybė (vykdomasis direktorius, vykdomojo direktoriaus pavaduotojas),  Valdančioji taryba,  Deleguotieji nacionaliniai ekspertai Duomenų apie interesų deklaracijas tvarkymas ir dalijimasis jais  Duomenų apdorojimas Duomenų srautas 58 straipsnis Ryšių palaikymo pareigūnai  1. Kiekviena valstybė narė pagal 59 straipsnio 2 dalį [iš savo nacionalinės kompetentingos institucijos] paskiria bent du ryšių palaikymo pareigūnus į ENISA deleguotaisiais nacionaliniais ekspertais dirbti jos būstinėje arba jos vietos biure. Ryšių palaikymo pareigūną gali paskirti ir Komisija. 2. Valstybių narių paskirti nacionaliniai ryšių palaikymo pareigūnai turi teisę savo valstybės narės prašyti visos svarbios informacijos, kaip numatyta šiame reglamente, ir ją gauti, visapusiškai laikydamiesi savo valstybės narės nacionalinės teisės ar praktikos, visų pirma kiek tai susiję su duomenų apsauga ir konfidencialumo taisyklėmis. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės  Ryšių palaikymo pareigūnų paskyrimas ir dalijimasis informacija  Duomenų apdorojimas  Duomenų srautas  67 straipsnis Įslaptintos informacijos tvarkymas   Pasikonsultavusi su Komisija, ENISA priima saugumo taisykles, pagal kurias taikomi saugumo principai, išdėstyti Komisijos saugumo taisyklėse, skirtose neskelbtinos neįslaptintos informacijos ir ESĮI apsaugai užtikrinti, kaip nustatyta sprendimuose (ES, Euratomas) 2015/443 ir (ES, Euratomas) 2015/444. ENISA saugumo taisyklės apima nuostatas dėl keitimosi tokia informacija, jos tvarkymo ir saugojimo. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valdančioji taryba  Komisija  Įslaptintos informacijos tvarkymas Duomenų apdorojimas Duomenų srautas 68, 69, 70 straipsniai Bendradarbiavimas su Sąjungos subjektais ir nacionalinėmis institucijomis Bendradarbiavimas su suinteresuotaisiais subjektais Bendradarbiavimas su trečiosiomis valstybėmis  ENISA bendradarbiauja ir keičiasi informacija su kibernetiniu saugumu susijusiais klausimais su atitinkamais Sąjungos subjektais, rinkos priežiūros ir kitomis priežiūros institucijomis; suinteresuotaisiais subjektais; trečiųjų valstybių kompetentingomis institucijomis arba tarptautinėmis organizacijomis    Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europolas  ECCC Europos duomenų apsaugos valdyba Plačioji visuomenė Taryba Dalijimasis informacija Duomenų srautas 72 straipsnis dėl viešos informacijos apie Europos kibernetinio saugumo schemas ir konsultavimąsi dėl jų 2.    Komisija prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama informacija apie šiuos aspektus: a)    Europos kibernetinio saugumo sertifikavimo schemas, kurias prašoma sukurti; b)    strateginius prioritetus dėl IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba Sąjungos teisės aktuose nustatytų saugumo reikalavimų derinimo, įskaitant galimas sritis, kurioms gali būti prašoma sukurti Europos kibernetinio saugumo sertifikavimo schemą. 3.    Komisija šio straipsnio 2 dalyje nurodytoje interneto svetainėje viešai skelbia informaciją apie savo prašymą ENISA parengti potencialią schemą, kaip nurodyta 73 straipsnyje, ir savo sprendimą priimti, atmesti potencialią schemą, kurią ENISA perdavė pagal 74 straipsnio 7 dalį, arba jos atsisakyti. Europos Komisija  Plačioji visuomenė Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)   Informacinės svetainės priežiūra Komisija įgaliojama teikti informaciją viešai prieinamoje interneto svetainėje ir nuolat vykdyti susijusią duomenų valdymo veiklą. Skaitmeninės viešosios paslaugos  Skaitmeninis sprendimas  72 straipsnis dėl viešos informacijos apie Europos kibernetinio saugumo schemas ir konsultavimąsi dėl jų   ENISA rengiant potencialią schemą pagal 74 straipsnį, Europos Parlamentas ir Taryba gali prašyti Komisijos, kaip EKSSG pirmininkės, ir ENISA pateikti atitinkamą informaciją apie potencialios schemos projektą. Europos Parlamento arba Tarybos prašymu ENISA, pritarus Komisijai ir nedarant poveikio 54 straipsniui, gali pateikti Europos Parlamentui ir Tarybai atitinkamas potencialios schemos projekto dalis tokiu būdu, kuris atitiktų reikalaujamą konfidencialumo lygį, ir, kai taikytina, su naudojimo apribojimais. Europos Parlamentas ir Taryba gali pakviesti Komisiją ir ENISA aptarti klausimus, susijusius su IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schemų įgyvendinimu. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ES Taryba Europos Parlamentas Prašymas pateikti informaciją apie ENISA parengtą potencialios schemos projektą ir jos siuntimas Duomenų srautai 73 straipsnis Prašymas parengti Europos kibernetinio saugumo sertifikavimo schemą  74 straipsnis Europos kibernetinio saugumo sertifikavimo schemų rengimas ir priėmimas (patenka į 17 straipsnio taikymo sritį)  73 straipsnis 1. Komisija gali prašyti ENISA parengti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės potencialią Europos kibernetinio saugumo sertifikavimo schemą. Tinkamai pagrįstais atvejais EKSSG gali pasiūlyti Komisijai pateikti 1 dalyje nurodytą prašymą. 4. Rengdama 1 dalyje nurodytą prašymą, Komisija tinkamai konsultuojasi su ENISA ir EKSSG, taip pat atsižvelgia į visų atitinkamų suinteresuotųjų subjektų ir kitų Sąjungos subjektų, įskaitant, kai taikytina, tuos, kurie yra susiję pagal Sąjungos teisės aktus, kuriuose nustatyta, kad Europos kibernetinio saugumo sertifikavimo schema suteikia atitikties prezumpciją, nuomones. 74 straipsnis 3. Rengdama potencialią schemą ENISA glaudžiai bendradarbiauja su EKSSG. EKSSG teikia ENISA pagalbą ir ekspertų konsultacijas dėl potencialios schemos rengimo, ir, kai taikytina, dėl pagalbinių techninių specifikacijų. ENISA prašo EKSSG narių dėl potencialios schemos pateikti nuomonę raštu.  4. ENISA laiku konsultuojasi su atitinkamais suinteresuotaisiais subjektais, taikydama oficialią, atvirą, skaidrią ir įtraukią konsultacijų procedūrą.  ENISA taip pat bendradarbiauja su atitinkamomis valstybių narių valdžios institucijomis ir atitinkamais Sąjungos subjektais, kad gautų jų ekspertų konsultacijų dėl potencialios schemos rengimo ir, kai taikytina, dėl pagalbinių techninių specifikacijų. 6. ENISA potencialią schemą perduoda Komisijai ne vėliau kaip per 60 dienų nuo 5 dalyje nurodyto prašymo dienos. 7. Gavusi potencialią schemą, Komisija įvertina, ar schema atitinka pagal 73 straipsnį pateiktą prašymą.  8.    Jei Komisija potencialią schemą grąžina ENISA peržiūrėti pagal 7 dalies b punktą, tada atitinkamai taikomos šio straipsnio 4, 5 ir 7 dalys.   Europos Komisija  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG Suinteresuotųjų subjektų ekspertai Prašymų ir sertifikavimo schemos rengimas ir susijusios konsultacijos su suinteresuotaisiais subjektais Duomenų apdorojimas  Duomenų srautai Skaitmeninės viešosios paslaugos  (patenka į 17 straipsnio taikymo sritį) 75 straipsnis Europos kibernetinio saugumo sertifikavimo schemos priežiūra 2. ENISA, bendradarbiaudama su Komisija ir remiama EKSSG ir jos atitinkamo priežiūros pogrupio, užtikrina Europos kibernetinio saugumo sertifikavimo schemų priežiūrą, be kita ko, atsižvelgdama į galimą Komisijos atliekamą tokių schemų peržiūrą. ENISA priežiūros veiklos klausimais bendradarbiauja ir keičiasi informacija su atitinkamais Sąjungos subjektais ir grupėmis.  5. EKSSG gali pateikti nuomonę dėl Europos kibernetinio saugumo sertifikavimo schemų priežiūros. Europos Komisija  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG Atitikties vertinimo įstaigos   ENISA užtikrina priežiūrą. Ji apima periodinius mišrius arba elektroninius posėdžius, informacijos (susijusios su Europos kibernetinio saugumo sertifikavimo schema) rinkimą, analizę ir bendrinimą. Duomenų apdorojimas Duomenų srautas 76 straipsnis Europos kibernetinio saugumo sertifikavimo schemos vertinimas, peržiūra ir panaikinimas  1. Bent kas ketverius metus nuo Europos kibernetinio saugumo sertifikavimo schemos taikymo pradžios ENISA, bendradarbiaudama su atitinkamu EKSSG priežiūros pogrupiu ir atsižvelgdama į iš suinteresuotųjų subjektų gautus atsiliepimus, įvertina tos schemos poveikį ir veiksmingumą. ENISA atlieka vertinimą vykdydama reikiamą rinkos analizę pagal 8 straipsnio 1 dalį. 3. Peržiūrėdama arba panaikindama Europos kibernetinio saugumo sertifikavimo schemas, Komisija konsultuojasi su ENISA, EKSSG ir jos atitinkamu priežiūros pogrupiu, taip pat atsižvelgia į atitinkamų suinteresuotųjų subjektų ir kitų Sąjungos subjektų nuomones.  4. EKSSG gali pateikti nuomonę dėl Europos kibernetinio saugumo sertifikavimo schemos priežiūros ar panaikinimo. Komisija deramai į tai atsižvelgia peržiūrėdama arba panaikindama Europos kibernetinio saugumo sertifikavimo schemą.    Europos Komisija  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG Komisija peržiūri schemas konsultuodamasi su atitinkamais suinteresuotaisiais subjektais. Duomenų apdorojimas Duomenų srautas 77 straipsnis  Europos kibernetinio saugumo sertifikavimo schemų techninės specifikacijos 3.    Kai Europos kibernetinio saugumo sertifikavimo schemoje pateikiamos nuorodos į technines specifikacijas, kaip nurodyta 74 straipsnio 10 dalyje, jos paskelbiamos 79 straipsnyje nurodytoje interneto svetainėje. 4. Tinkamai pagrįstais atvejais, visų pirma tais atvejais, kai techninėse specifikacijose pateikiama informacija, kuri galėtų kelti pavojų sertifikuotų IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės saugumui, ji platinama tik tiems suinteresuotiesiems subjektams, kuriems taikomi schemos reikalavimai. Tokia schema nėra nurodoma Europos kibernetinio saugumo sertifikavimo schemoje, kaip nurodyta 74 straipsnio 10 dalyje. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Atitikties vertinimo įstaigos   Informacijos pateikimas ENISA sertifikavimo svetainėje Duomenų srautas Skaitmeninės viešosios paslaugos   79 straipsnis  Europos kibernetinio saugumo sertifikavimo schemų interneto svetainė 1. ENISA organizuoja veiklą, kuria skatinamas priimtų Europos kibernetinio saugumo sertifikavimo schemų naudojimas, be kita ko, prižiūrėdama šio straipsnio 2 dalyje nurodytą interneto svetainę. 2. ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija apie: a)    Europos kibernetinio saugumo sertifikavimo schemas; b)    mokesčius, susijusius su kiekvienos Europos kibernetinio saugumo sertifikavimo schemos priežiūra; c) atitinkamas ENISA technines specifikacijas; d)    Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus, įskaitant informaciją apie tokius sertifikatus ir pareiškimus, kurie nebegalioja arba kurių galiojimas sustabdytas, kurie panaikinti arba kurių galiojimas baigėsi; e)    atitinkamą papildomą kibernetinio saugumo informaciją, teikiamą pagal 84 straipsnio 2 dalį; f)    tarpusavio peržiūrų suvestines pagal 89 straipsnio 7 dalį; g)    Europos kibernetinio saugumo sertifikavimo schemoje pagal 74 straipsnio 10 dalį nurodytas technines specifikacijas. 3. Kai taikytina, 2 dalyje nurodytoje interneto svetainėje taip pat nurodomos tos nacionalinės kibernetinio saugumo sertifikavimo schemos, kurias pakeitė Europos kibernetinio saugumo sertifikavimo schema.  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Atitikties vertinimo įstaigos Tvarkydama informacinę svetainę ENISA įgaliojama rinkti, tvarkyti ir prižiūrėti išsamias sertifikavimo informacijos duomenų bazes, o tam reikia nuolatinės duomenų valdymo veiklos. Skaitmeninės viešosios paslaugos Skaitmeninis sprendimas Duomenų apdorojimas Duomenų srautas   81 straipsnis Europos kibernetinio saugumo sertifikavimo schemų elementai 5. Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomi visų Europos kibernetinio saugumo sertifikavimo schemų 1, 2 ir 3 dalyse nustatytų elementų bendrieji principai ir pavyzdinės nuostatos. Kai tinkama ir įmanoma, į Europos kibernetinio saugumo sertifikavimo schemą gali būti įtrauktos nuorodos į tuos principus ir pavyzdines nuostatas. 5 dalyje nurodyti įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros. Rengdama arba peržiūrėdama Europos kibernetinio saugumo sertifikavimo schemų elementų bendruosius principus ir pavyzdines nuostatas, Komisija konsultuojasi su ENISA ir prireikus atsižvelgia į EKSSG, atitinkamų suinteresuotųjų subjektų ir kitų atitinkamų įstaigų pareikštas nuomones. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Valstybių narių institucijos  Konsultacijos su atitinkamais suinteresuotaisiais subjektais, kurioms reikia duomenų srautų ir tvarkymo Duomenų srautas Duomenų apdorojimas 83 straipsnis Savarankiškas atitikties vertinimas 3. IRT produktų gamintojas ar tiekėjas, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjas arba subjektas, kurio kibernetinio saugumo būklė sertifikuojama, privalo atitinkamoje Europos kibernetinio saugumo sertifikavimo schemoje nurodytą laikotarpį saugoti ES atitikties pareiškimą, techninę dokumentaciją ir visą kitą aktualią informaciją, susijusią su IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar kibernetinio saugumo būklės atitiktimi tai schemai, kad galėtų juos pateikti pagal 89 straipsnį paskirtai nacionalinei kibernetinio saugumo sertifikavimo institucijai. ES atitikties pareiškimo kopija nepagrįstai nedelsiant pateikiama nacionalinei kibernetinio saugumo sertifikavimo institucijai ir ENISA. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Valstybių narių institucijos  Informacijos pateikimas; dalijimasis duomenimis  Duomenis, kuriais dalijamasi, turi tvarkyti ENISA ir valstybių narių institucijos Duomenų srautas Duomenų apdorojimas 84 straipsnis Su sertifikuotais IRT produktais, paslaugomis ir procesais susijusi papildoma kibernetinio saugumo informacija 1. IRT produktų gamintojas ar tiekėjas, IRT paslaugų ar IRT procesų, kuriems išduotas ES atitikties pareiškimas arba Europos kibernetinio saugumo sertifikatas, teikėjas pateikia viešai susipažinti nurodytą papildomą kibernetinio saugumo informaciją. IRT produktų gamintojas ar tiekėjas, IRT paslaugų ar IRT procesų teikėjas Plačioji visuomenė Atitikties vertinimo įstaigos Viešas informacijos skelbimas elektronine forma.   Duomenų srautas 85 straipsnis Europos kibernetinio saugumo sertifikatų išdavimas 2. Europos kibernetinio saugumo sertifikatus išduoda 91 straipsnyje nurodytos atitikties vertinimo įstaigos remdamosi kriterijais, įtrauktais į Europos kibernetinio saugumo sertifikavimo schemą, priimtą pagal 74 straipsnį. 6. IRT produktus, IRT paslaugas, IRT procesus ar valdomas saugumo paslaugas sertifikuoti teikiantis fizinis arba juridinis asmuo arba subjektas, teikiantis sertifikuoti savo kibernetinio saugumo būklę pagal 89 straipsnį paskirtai nacionalinei kibernetinio saugumo sertifikavimo institucijai, kai ta institucija yra Europos kibernetinio saugumo sertifikatą išduodanti įstaiga, arba 91 straipsnyje nurodytai atitikties vertinimo įstaigai leidžia susipažinti su visa sertifikavimo procedūrai atlikti reikalinga informacija. 7. Atitikties vertinimo įstaigos ir, kai taikytina, nacionalinės kibernetinio saugumo sertifikavimo institucijos nepagrįstai nedelsdamos informuoja ENISA apie savo sprendimus, darančius poveikį Europos kibernetinio saugumo sertifikatų ir ES atitikties pareiškimų būklei pagal 94 straipsnį. 8. Europos kibernetinio saugumo sertifikato turėtojas informuoja atitikties vertinimo įstaigą ir, kai taikytina, 7 dalyje nurodytą nacionalinę kibernetinio saugumo sertifikavimo instituciją apie visus vėliau nustatytus pažeidžiamumus ar neatitikimus, susijusius su subjekto sertifikuotu IRT produktu, IRT paslauga, IRT procesu, valdoma saugumo paslauga ar kibernetinio saugumo būkle, kurie gali turėti įtakos jo sertifikato atitikčiai. Ta įstaiga nepagrįstai nedelsdama perduoda tą informaciją atitinkamai nacionalinei kibernetinio saugumo sertifikavimo institucijai ir įvertina poveikį sertifikatui pagal schemos sąlygas, kaip nurodyta 81 straipsnio f punkte. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Plačioji visuomenė Valstybių narių institucijos Atitikties vertinimo įstaigos Dalijimasis su sertifikavimo procesais susijusia informacija Duomenų srautas Duomenų apdorojimas 86 straipsnis Nacionalinės kibernetinio saugumo sertifikavimo schemos 4. Prieš priimdamos naujas nacionalines IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės kibernetinio saugumo sertifikavimo schemas, valstybės narės apie tai informuoja Komisiją ir EKSSG. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Europos Komisija Dalijimasis informacija Duomenų srautas 88 straipsnis Nacionalinės kibernetinio saugumo sertifikavimo institucijos  2. Kiekviena valstybė narė praneša Komisijai apie paskirtąsias nacionalines kibernetinio saugumo sertifikavimo institucijas. Jeigu valstybė narė paskiria daugiau nei vieną instituciją, ji taip pat informuoja Komisiją apie užduotis, pavestas kiekvienai iš tų institucijų. 6. Nacionalinės kibernetinio saugumo sertifikavimo institucijos: c) bendradarbiaudamos su atitinkamomis rinkos priežiūros institucijomis stebi, kaip jų atitinkamose teritorijose įsisteigę ir savarankišką atitikties vertinimą pagal atitinkamą Europos kibernetinio saugumo sertifikavimo schemą atliekantys IRT produktų gamintojai ar tiekėjai, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų teikėjai ar subjektai, kurių kibernetinio saugumo būklė yra sertifikuota, laikosi šiame reglamente nustatytų pareigų, ir užtikrina jų vykdymą ; d)    nedarant poveikio 91 straipsnio 3 daliai, aktyviai padeda nacionalinėms akreditacijos įstaigoms ir kitoms susijusioms institucijoms vykdyti atitikties vertinimo įstaigų veiksmų stebėsenos ir priežiūros veiklą, kaip nustatyta šiame reglamente, ir jas remia; e)    bendradarbiauja su Europos Komisija, kai pagal 94 straipsnį ginčijama atitikties vertinimo įstaigos kompetencija;  f)    stebi ir prižiūri 85 straipsnio 3 dalyje nurodytų viešųjų įstaigų veiklą; g)    kai taikytina, suteikia įgaliojimus atitikties vertinimo įstaigoms pagal 93 straipsnį, stebi, kaip atitikties vertinimo įstaigos laikosi konkrečių ar papildomų reikalavimų, nustatytų Europos kibernetinio saugumo sertifikavimo schemose pagal 81 straipsnio 3 dalies f punktą, ir užtikrina jų vykdymą, taip pat apriboja, sustabdo ar panaikina galiojantį įgaliojimą, jei atitikties vertinimo įstaigos nesilaiko šio reglamento reikalavimų; h)    nagrinėja fizinių ar juridinių asmenų pateiktus skundus, susijusius su nacionalinių kibernetinio saugumo sertifikavimo institucijų išduotais Europos kibernetinio saugumo sertifikatais arba atitikties vertinimo įstaigų remiantis 85 straipsnio 4 dalimi išduotais Europos kibernetinio saugumo sertifikatais arba pagal 83 straipsnį išduotais ES atitikties pareiškimais, tinkama apimtimi tiria tokių skundų dalyką ir per pagrįstą laikotarpį informuoja skundo teikėją apie tyrimo eigą ir rezultatus; i)    kasmet ne vėliau kaip [įsigaliojimo metai + 12 mėnesių] kovo 31 d. pateikia Komisijai, ENISA ir EKSSG savo pagrindinės veiklos metinę ataskaitą ir pateikia šias ataskaitas susipažinti tarpusavio peržiūros grupei, kai pagal 89 straipsnį atliekama nacionalinės kibernetinio saugumo sertifikavimo institucijos tarpusavio peržiūra; j)    bendradarbiauja su kitomis nacionalinėmis kibernetinio saugumo sertifikavimo institucijomis, rinkos priežiūros institucijomis ar kitomis valdžios institucijomis, be kita ko, dalydamosi informacija apie galimą IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ar subjektų kibernetinio saugumo būklės neatitikimą šio reglamento arba konkrečių Europos kibernetinio saugumo sertifikavimo schemų reikalavimams; k)    stebi aktualius kibernetinio saugumo sertifikavimo srities pokyčius.   8. Nacionalinės kibernetinio saugumo sertifikavimo institucijos bendradarbiauja tarpusavyje ir su Komisija, visų pirma keičiasi informacija, patirtimi ir gerąja praktika, susijusiomis su kibernetinio saugumo sertifikavimu ir IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės kibernetinio saugumo techniniais klausimais. 9.    Ne vėliau kaip [įsigaliojimo data + 6 mėnesiai] ENISA, bendradarbiaudama su Komisija ir EKSSG, parengia šio straipsnio 6 dalies i punkte nurodytos ataskaitos šabloną. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybių narių institucijos Europos Komisija Plačioji visuomenė Atitikties vertinimo įstaigos Valstybė narė informuoja Komisiją apie paskirtą NKSSI Valstybių narių institucijos vykdo įvairias stebėsenos, priežiūros ir bendradarbiavimo užduotis, kurioms reikia duomenų srautų ir duomenų tvarkymo. Duomenų srautas Duomenų apdorojimas 89 straipsnis Tarpusavio peržiūra 5. ENISA, bendradarbiaudama su Komisija ir EKSSG, padeda organizuoti tarpusavio peržiūros mechanizmą ir tarpusavio peržiūras, be kita ko, parengdama atitinkamus rekomendacinius dokumentus ir šablonus. 7. Galutinę ataskaitą, įskaitant galimas gaires ar rekomendacijas, ir tarpusavio peržiūros santrauką nagrinėja EKSSG, kuri patvirtina santrauką, kad ji būtų paskelbta 79 straipsnio 2 dalyje nurodytoje interneto svetainėje. ES Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG Duomenų pateikimas internete Duomenų srautas Duomenų apdorojimas   90 straipsnis Europos kibernetinio saugumo sertifikavimo grupė (EKSSG) 3. EKSSG užduotys yra šios: [nuoroda į kitus straipsnius] h)    nagrinėti aktualius kibernetinio saugumo sertifikavimo srities pokyčius, be kita ko, nacionaliniu lygmeniu pagal 86 straipsnį, ir keistis informacija ir gerąja praktika, susijusia su kibernetinio saugumo sertifikavimo schemomis; i)sudaryti palankesnes sąlygas nacionalinių kibernetinio saugumo sertifikavimo institucijų bendradarbiavimui pagal šioje antraštinėje dalyje nustatytas taisykles stiprinant pajėgumus ir keičiantis informacija, visų pirma susijusia su kibernetinio saugumo sertifikavimo klausimais; [nuoroda į kitus straipsnius] k)    palengvinti Europos kibernetinio saugumo sertifikavimo schemų derinimą su tarptautiniu mastu pripažintais standartais, be kita ko, vykdant esamų Europos kibernetinio saugumo sertifikavimo schemų peržiūrą, ir, kai tinkama, teikti rekomendacijas ENISA bendradarbiauti su atitinkamomis Europos ar tarptautinėmis standartizacijos organizacijomis, siekiant šalinti esamų Europos ar tarptautinių mastu pripažintų standartų trūkumus ar spragas. Valstybės narės Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Europos Komisija  Valstybių narių institucijų ir tarptautinių organizacijų vykdoma analizė, dalijimasis informacija ir bendradarbiavimas Europos kibernetinio saugumo sertifikavimo srityje Duomenų apdorojimas Duomenų srautas 92 straipsnis Papildomas atitikties vertinimo įstaigų kompetencijos suderinimas  4. Jeigu nacionalinė kibernetinio saugumo sertifikavimo institucija gauna prašymą pagal 3 dalį, ji apie tai praneša valstybės narės, kurioje yra įsisteigusi prašančioji atitikties vertinimo įstaiga, nacionalinei kibernetinio saugumo sertifikavimo institucijai. Tokiais atvejais tos valstybės narės nacionalinė kibernetinio saugumo sertifikavimo institucija gali stebėtojos teisėmis dalyvauti suteikiant įgaliojimą. Valstybių narių institucijos Atitikties vertinimo įstaigos Dalijimasis informacija ir jos saugojimas Duomenų srautas Duomenų apdorojimas 93 straipsnis Atitikties vertinimo įstaigų notifikavimas 1. Kiekvienos Europos kibernetinio saugumo sertifikavimo schemos atveju valstybės narės nacionalinės kibernetinio saugumo sertifikavimo institucijos praneša Komisijai ir kitoms valstybėms narėms apie atitikties vertinimo įstaigas, kurios yra akredituotos ir, kai taikytina, įgaliotos pagal 92 straipsnį. 2. Nacionalinės kibernetinio saugumo sertifikavimo institucijos 1 dalyje nurodytą notifikavimą atlieka naudodamos Komisijos sukurtą ir valdomą elektroninę notifikavimo priemonę. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Valstybės narės Europos Komisija Atitikties vertinimo įstaigos Akredituotų ir įgaliotų atitikties vertinimo įstaigų notifikavimas Duomenų srautai Duomenų apdorojimas 94 straipsnis Su atitikties įvertinimo įstaigų kompetencija susiję ginčai 1.1. Komisija tiria visus atvejus, kuriais jai kyla abejonių arba jai pranešama apie abejones dėl atitikties vertinimo įstaigos kompetencijos vykdyti ar toliau vykdyti jai taikomus reikalavimus ir jai pavestas pareigas. 2. Komisijos prašymu nacionalinė kibernetinio saugumo sertifikavimo institucija Komisijai pateikia visą su notifikavimo pagrindimu arba atitinkamos atitikties vertinimo įstaigos kompetencijos užtikrinimu susijusią informaciją. 3. Komisija užtikrina, kad visa neskelbtina informacija, gauta jai atliekant tyrimus, būtų tvarkoma konfidencialiai.  4. Jei Komisija sužino, kad atitikties vertinimo įstaiga neatitinka arba nebeatitinka jos notifikavimo reikalavimų, ji atitinkamai informuoja nacionalinę kibernetinio saugumo sertifikavimo instituciją ir paprašo imtis būtinų taisomųjų priemonių, įskaitant, jei būtina, notifikavimo panaikinimą. Komisija Valstybės narės Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Su atitikties įvertinimo įstaigų kompetencija susiję ginčai Duomenų srautas Duomenų tvarkymas Skaitmeninė viešoji paslauga  95 straipsnis Atitikties vertinimo įstaigų pareiga teikti informaciją ir saugoti duomenis 1. Atitikties vertinimo įstaigos informuoja nacionalinę kibernetinio saugumo sertifikavimo instituciją apie: a)    kiekvieną atsisakymą išduoti pažymėjimą, kiekvieną pažymėjimo galiojimo apribojimą, sustabdymą ar panaikinimą; b)    visas aplinkybes, turinčias įtakos 93 straipsnio 1 dalyje nurodyto notifikavimo taikymo sričiai ir sąlygoms;     c)    kiekvieną prašymą suteikti informacijos, kurį jos gavo iš rinkos priežiūros institucijų dėl atitikties vertinimo veiklos; d)    visą atitikties vertinimo veiklą, vykdomą atsižvelgiant į notifikavimo taikymo sritį, ir visą kitą veiklą, įskaitant ir tarpvalstybiniu mastu vykdomą bei subrangos veiklą, jei to būtų paprašyta. 2. Atitikties vertinimo įstaigos taip pat teikia ENISA 1 dalies a punkte nurodytą informaciją, kad jai būtų lengviau atlikti savo užduotį pagal 79 straipsnį. 3. Atitikties vertinimo įstaigos kitoms atitikties vertinimo įstaigoms, pagal šį reglamentą vykdančioms panašią atitikties vertinimo veiklą, susijusią su tais pačiais IRT produktais, IRT paslaugomis, IRT procesais, valdomomis saugumo paslaugomis arba subjektais, kurių kibernetinio saugumo būklė yra sertifikuota, nepagrįstai nedelsdamos teikia atitinkamą informaciją klausimais, susijusiais su neigiamais ir, jei prašoma, teigiamais atitikties vertinimo rezultatais. 4. Atitikties vertinimo įstaigos tvarko įrašų sistemą, kurioje saugomi visi su kiekvienu jų atliekamu vertinimu ir sertifikavimu susiję parengti arba gauti dokumentai ir įrodymai. Įrašai saugomi saugiu ir prieinamu būdu tiek laiko, kiek reikia sertifikavimo tikslais, ir ne mažiau kaip penkerius metus pasibaigus atitinkamo Europos kibernetinio saugumo sertifikato galiojimui arba jį panaikinus. Valstybių narių institucijos Atitikties vertinimo įstaigos Atitikties vertinimo įstaigų keitimasis informacija Duomenų srautas Duomenų apdorojimas 96 straipsnis Teisė pateikti skundą ir teisė imtis veiksmingų teisminių teisių gynimo priemonių  2. Institucija ar įstaiga, kuriai pateiktas skundas, informuoja skundo teikėją apie skundo nagrinėjimo eigą ir priimtą sprendimą, taip pat informuoja apie teisę imtis 3 ir 4 dalyse nurodytų veiksmingų teisminių teisių gynimo priemonių. 4. Teisminiai procesai pagal šį straipsnį pradedami valstybės narės, kurioje yra institucija arba įstaiga, prieš kurią pradedami teisminiai procesai, teismuose. Valstybių narių institucijos Europos Komisija Plačioji visuomenė Sertifikatų turėtojai Su skundais susijusios informacijos srautas tarp valdžios institucijų ir plačiosios visuomenės  Bylos nagrinėjimas valstybės narės teismuose Duomenų srautas 97 straipsnis Sankcijos  Valstybės narės nedelsdamos praneša apie tas taisykles ir tas priemones Komisijai ir jai praneša apie visus vėlesnius joms įtakos turinčius pakeitimus. Valstybių narių institucijos Europos Komisija Informacijos srautas, susijęs su valstybių narių pranešimu Komisijai apie sankcijas. Duomenų srautas 99 straipsnis Saugumo rizikos vertinimai Komisija arba bent trys valstybės narės gali paprašyti TIS koordinavimo grupės per 6 mėnesius atlikti koordinuotus rizikos vertinimus. Komisija gali prašyti trumpesnių terminų. Rizikos vertinimuose parengiami rizikos scenarijai ir daroma prielaida, kad duomenys bus analizuojami. Koordinuotų saugumo rizikos vertinimų rengimas Tais atvejais, kai pateisinama neatidėliotina intervencija, Komisija nedelsdama konsultuojasi su valstybėmis narėmis ir atlieka rizikos vertinimą. Sprendimai dėl vykdomų rizikos vertinimų (duomenų tvarkymas ir (arba) analizė). Europos Komisija ES valstybės narės TIS bendradarbiavimo grupė Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Informacijos prašymas ir gavimas; duomenų analizė atliekant koordinuotus rizikos vertinimus Konsultacijos su valstybėmis narėmis ir rizikos vertinimo vykdymas Duomenų apdorojimas Duomenų srautas 100 straipsnio 1 ir 2 dalys Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas 1. Jei atlikus 99 straipsnyje nurodytą saugumo rizikos vertinimą arba remiantis kitais šaltiniais, pavyzdžiui, viešu pareiškimu Sąjungos arba valstybės narės vardu, paaiškėja, kad trečioji valstybė kelia didelę ir struktūrinę netechninę riziką IRT tiekimo grandinėms, Komisija patikrina tos valstybės keliamą grėsmę atsižvelgdama į įvairius elementus, ir tai lemia duomenų tvarkymą ir (arba) analizę: 2. Jei Komisija, atlikusi 1 dalyje nurodytą patikrinimą, padaro išvadą, kad trečioji valstybė kelia didelę ir struktūrinę netechninę riziką IRT tiekimo grandinėms, ji gali įgyvendinimo aktu nuspręsti nustatyti, kad ta trečioji valstybė yra kibernetinio saugumo problemų IRT tiekimo grandinėms kelianti šalis, ir tai lemia duomenų tvarkymą ir analizę bei duomenų srautus. ES valstybės narės Europos Komisija Informacijos gavimas, analizė, mainai. Duomenų srautai Duomenų apdorojimas 101 straipsnis Bendrasis IRT tiekimo grandinės mechanizmas 102 straipsnis Pagrindinio IRT turto nustatymas ir 103 straipsnis Rizikos mažinimo priemonės IRT tiekimo grandinėse 1. Jei pagal šio reglamento 99 straipsnio 1 ir 2 dalis TIS bendradarbiavimo grupė atliko Sąjungos lygmens koordinuotą saugumo rizikos vertinimą arba pagal 99 straipsnio 3 dalį buvo užbaigta procedūra reikšmingos kibernetinės grėsmės atveju, Komisija gali imtis 102 ir 103 straipsniuose numatytų priemonių. Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriuose bus apibrėžtas pagrindinis IRT turtas ir rizikos mažinimo priemonės, įskaitant IRT tiekimo grandinių apribojimus ir draudimus (išsamiau aprašyta 4.5 skirsnyje toliau). Rengdamasi šiam procesui, Komisija atsižvelgia į keletą aspektų, susijusių su duomenų tvarkymu ir (arba) analize, o kai kuriais atvejais – su duomenų srautu, ir juos apsvarsto: 102 straipsnio a–f punktai 103 straipsnio 4 dalies a–d punktai 103 straipsnio 6 dalis Europos Komisija TIS bendradarbiavimo grupė Atitinkami suinteresuotieji subjektai Duomenų analizė ir (arba) tvarkymas; konsultacijos su suinteresuotaisiais subjektais Duomenų apdorojimas Duomenų srautas 104 straipsnis Didelės rizikos tiekėjų nustatymas Komisija priima įgyvendinimo aktus, kuriais sudaromi didelės rizikos tiekėjų, susijusių su pagal 103 straipsnio 1 dalį priimtuose įgyvendinimo aktuose nustatytais draudimais arba 111 straipsnio 1 dalyje nurodytu draudimu, sąrašai. Komisija nustato tiekėjus, tiekiančius IRT komponentus ir komponentus, kuriuose yra IRT komponentų, ir atlieka pradinį vertinimą, kurie tiekėjai galbūt yra įsisteigę pagal 100 straipsnį nustatytose trečiosiose valstybėse arba yra iš jų kontroliuojami. Komisija įvertina įsisteigimo vietą, taip pat nuosavybės ir valdymo struktūrą. Komisija turi teisę prašyti tiekėjų pateikti būtiną informaciją ir atitinkamam tiekėjui pateikia preliminarias išvadas dėl įsisteigimo, nuosavybės ir kontrolės vertinimo ir suteikia jas galimybę būti išklausytam. Komisija gali paprašyti kompetentingos institucijos atlikti tiekėjo įsisteigimo, nuosavybės ir kontrolės pradinį vertinimą, kai tai pateisinama atsižvelgiant į šio tiekėjo veiklos charakteristikas. Kompetentinga institucija gali pasiūlyti atlikti tokį pradinį vertinimą. Komisija patikrina šias pradines išvadas, kad nuspręstų, ar tiekėjas turėtų būti įtrauktas į didelės rizikos tiekėjų sąrašą. Komisija reguliariai atnaujina didelės rizikos tiekėjų sąrašus, siekdama pašalinti arba įtraukti didelės rizikos tiekėjus. Į sąrašą įtraukti didelės rizikos tiekėjai, pateikę įrodymų, kad įvyko svarbių pokyčių, gali prašyti Komisijos iš naujo įvertinti jų įsisteigimo, kontrolės ir nuosavybės struktūrą. Europos Komisija Kompetentingos institucijos Tiekėjai Duomenų analizė ir (arba) tvarkymas; konsultacijos su kompetentingomis institucijomis, konsultacijos su tiekėjais Duomenų apdorojimas Duomenų srautas 105 straipsnis Išimtis subjektams, įsisteigusiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba valdomiems joje esančių subjektų 108 straipsnis Konfidencialumas 1) nustatytoje trečiojoje valstybėje, kuri kelia kibernetinio saugumo problemų, įsisteigęs arba iš jos kontroliuojamas subjektas gali pateikti Komisijai pagrįstą prašymą. 3) Komisija įvertina ir priima sprendimą atsižvelgdama į kelis aspektus, kuriais remiantis atliekama duomenų analizė. (105 straipsnio 3 ir 4 dalys) Komisijos gauta informacija naudojama tik tais tikslais, kuriais ji buvo gauta. Europos Komisija Subjektai, įsisteigę kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba valdomi joje esančių subjektų Komisija gauna prašymą; duomenų analizė. Duomenų srautas Duomenų apdorojimas 107 straipsnis Registras Komisija prižiūri viešai prieinamą savo sprendimų, nurodytų 105 straipsnyje, registrą. Registre nurodomi subjektų, dėl kurių priimti sprendimai, pavadinimai. Europos Komisija Subjektai, įsisteigę kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba kontroliuojami iš jos Komisija tvarko viešai prieinamą registrą. Skaitmeninis sprendimas 111 straipsnis Draudimai, taikomi judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams Pagal šį reglamentą paskirta kompetentinga institucija nedelsdama informuoja kompetentingą instituciją pagal Reglamentą (ES) XX/XXXX [SPA pasiūlymas] apie judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų teikėjams nustatytas priemones. Kompetentinga institucija, kaip apibrėžta Reglamento (ES) XX/XXXX [SPA pasiūlymas] 9 arba 20 straipsnyje Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų tiekėjai Su įgaliojimais susijęs informacijos srautas subjektams iš kompetentingos institucijos Duomenų srautas 112 straipsnio 1 ir 4 dalys Kompetentingos institucijos 1) Kiekviena valstybė narė paskiria vieną ar daugiau kompetentingų institucijų, atsakingų už 114 straipsnyje nurodytas priežiūros ir vykdymo užtikrinimo užduotis. 4) Kiekviena valstybė narė nepagrįstai nedelsdama informuoja Komisiją apie pagal 1 dalį paskirtų kompetentingų institucijų pavadinimus, atitinkamas tų institucijų užduotis ir visus vėlesnius jų pakeitimus. Kiekviena valstybė narė taip pat viešai paskelbia pagal 1 dalį paskirtų kompetentingų institucijų pavadinimus.   ES valstybės narės Europos Komisija Plačioji visuomenė Valstybės narės, skiriančios kompetentingas institucijas ir pranešančios apie tai Komisijai. Duomenų srautas 113 straipsnis Komisijos bendradarbiavimo ir paramos paslaugų tinklas 1. Komisija sukuria valstybių narių kompetentingų institucijų ir Komisijos bendradarbiavimo tinklą, kuris veiktų kaip bendradarbiavimo ir keitimosi informacija platforma. Komisija teikia tinklui administracinę paramą. 2. Siekdama padėti valstybėms narėms vykdyti priežiūros užduotis, Komisija įvertina, ar tiekėjai, kuriems gali daryti poveikį konkretūs draudimai, yra įsisteigę pagal 100 straipsnį nustatytose trečiosiose valstybėse, keliančiose kibernetinio saugumo problemų, arba yra iš jų kontroliuojami. Tuo tikslu kompetentinga institucija dalijasi atitinkama informacija su Komisija. 3. Vertinimo tikslais Komisija turi teisę prašyti, kad tiekėjai, kuriems gali daryti poveikį konkretūs draudimai, įsisteigę pagal 100 straipsnį nustatytose trečiosiose valstybėse arba jų kontroliuojami, pateiktų būtiną informaciją. 4. Užbaigus vertinimą, Komisija dalijasi išvadomis su kompetentingomis institucijomis, priklausančiomis pagal 1 dalį sukurtam tinklui. Kompetentingos institucijos deramu laiku apie išvadas informuoja susijusius Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektus. 5. Kai kompetentinga institucija sužino apie tiekėją, kuriam konkretūs draudimai gali daryti poveikį, ir jis yra įsisteigęs trečiosiose valstybėse, keliančiose kibernetinio saugumo problemų, arba iš jų kontroliuojamas, ir kuris nebuvo įvertintas, ji nepagrįstai nedelsdama apie tai informuoja Komisiją. Komisija Kompetentingos institucijos Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektai Komisija įvertina tiekėjus ir dalijasi informacija su kompetentingomis institucijomis, kurios dalijasi ja su Direktyvos (ES) 2022/2555 I ir II prieduose nurodytos rūšies subjektais Komisija prašo tiekėjų pateikti informaciją Kompetentingos institucijos informuoja Komisiją Duomenų tvarkymas Duomenų srautai 114 straipsnis Priežiūros ir vykdymo užtikrinimo priemonės Reikalavimai valstybėms narėms, kurios užtikrins informacijos srautą su Direktyvos (ES) 2022/2555 I ir II prieduose nurodytais subjektais. Prieš priimdamos priemones kompetentingos institucijos atitinkamiems subjektams praneša apie savo preliminarias išvadas. Kompetentingos institucijos bendradarbiauja tarpusavyje ir su Komisija. ES valstybės narės Europos Komisija Direktyvos (ES) 2022/2555 I ir II prieduose nurodyti subjektai Reikalavimai, kuriais užtikrinamas informacijos srautas; Duomenų srautas Duomenų apdorojimas 115 straipsnis Sankcijos Valstybės narės praneša apie tas taisykles ir tas priemones Komisijai ir nedelsdamos jai praneša apie visus vėlesnius joms įtakos turinčius pakeitimus. Europos Komisija ES valstybės narės Valstybės narės, teikiančios pranešimus Komisijai Duomenų srautas 116 straipsnis Savitarpio pagalba Kai Direktyvos (ES) 2022/2555 I arba II priede nurodytas subjektas teikia paslaugas daugiau nei vienoje valstybėje narėje arba teikia paslaugas vienoje ar daugiau valstybių narių ir jo pagrindinis turtas yra vienoje ar daugiau kitų valstybių narių, atitinkamų valstybių narių kompetentingos institucijos prireikus viena su kita bendradarbiauja ir padeda viena kitai. Pirmos pastraipos c punkte nurodyta savitarpio pagalba gali apimti prašymus pateikti informaciją ir priežiūros priemones, įskaitant prašymus atlikti patikrinimus vietoje arba priežiūrą ne vietoje, arba tikslinius saugumo auditus. Kompetentinga institucija, kuriai pateiktas pagalbos prašymas, negali atmesti to prašymo, išskyrus atvejus, kai nustatoma, kad ji neturi kompetencijos teikti prašomą pagalbą, prašoma pagalba nėra proporcinga kompetentingos institucijos priežiūros atliekamų užduočių atžvilgiu arba prašymas yra susijęs su informacija arba apima veiklą, kuri, ją atskleidus arba atlikus, prieštarautų tos valstybės narės nacionaliniam saugumui, visuomenės saugumui ar gynybai. Prieš atsisakydama patenkinti tokį prašymą, kompetentinga institucija konsultuojasi su kitomis atitinkamomis kompetentingomis institucijomis, taip pat, vienos iš atitinkamų valstybių narių prašymu, su Komisija. Kai tinkama ir bendru sutarimu, skirtingų valstybių narių kompetentingos institucijos gali vykdyti bendrus priežiūros veiksmus. ES valstybės narės Savitarpio pagalba vykdant priežiūros veiksmus. Duomenų srautas Duomenų apdorojimas Direktyvos 1 straipsnio 8 punktas Pranešimas apie išpuolius naudojant išpirkos reikalavimo programinę įrangą (27 straipsnio 13 dalis. TIS 2)   23 straipsnis papildomas 12 ir 13 dalimis:  „13. Valstybės narės užtikrina, kad reikšmingo incidento, kurį sukėlė išpuolis naudojant išpirkos reikalavimo programinę įrangą, atveju atitinkami subjektai CSIRT arba, kai taikytina, kompetentingos institucijos prašymu per CSIRT arba, kai taikytina, kompetentingos institucijos suteiktą ryšių kanalą informuotų: ar subjektas gavo išpirkos reikalavimą ir, kai taikytina, kas jį pateikė; ar buvo sumokėta išpirka ir, jei taip, kokia suma buvo sumokėta kokiu būdu ir kam ji buvo sumokėta, įskaitant, kai taikytina, kriptoturtą ir kriptoturto paslaugų teikėją.“ ES valstybės narės Esminiai ir svarbūs subjektai Ataskaitų teikimas Duomenų srautas Direktyvos 1 straipsnio 10 punktas  Subjektų sąrašas ir registras (27 straipsnio 1 dalis, TIS 2)   ENISA sukuria ir tvarko esminių ir svarbių subjektų, taip pat domenų vardų registravimo paslaugas teikiančių subjektų registrą, remdamasi iš bendrųjų informacinių centrų pagal 2 dalį gauta informacija.   Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ES valstybės narės (esminiai ir svarbūs subjektai pagal TIS 2, domenų vardų registravimo paslaugas teikiantys subjektai) ENISA sukuria ir tvarko registrą. Skaitmeninis sprendimas Skaitmeninė viešoji paslauga   Direktyvos 1 straipsnio 11 punktas  Subjektų sąrašas ir registras (27 straipsnio 4 dalis, TIS 2) „4. Gavęs 3 straipsnio 4 dalyje nurodytą informaciją atitinkamos valstybės narės kontaktinis punktas nepagrįstai nedelsdamas ją persiunčia ENISA.“  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ES valstybės narės Valstybės narės dalijasi informacija su ENISA Duomenų srautas Direktyvos 1 straipsnio 12 punktas Savitarpio pagalba  (TIS 2 37a straipsnio 1, 2 ir 3 dalys)  1. ENISA padeda valstybėms narėms teikti savitarpio pagalbą, kaip apibrėžta 37 straipsnyje, ir padeda sudaryti palankesnes sąlygas tokiems esminių ir svarbių subjektų bendradarbiavimo procesams (...). 2. ENISA atlieka išsamią analizę (...) ENISA, bendradarbiaudama su Komisija ir Bendradarbiavimo grupe, parengia metodiką. Ataskaita kasmet atnaujinama. 3.) ENISA, kai tinkama, rekomenduoja: rengia gaires; padeda (...)   Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ES valstybės narės Svarbūs ir esminiai subjektai, kaip apibrėžta Direktyvoje TIS 2 Europos Komisija ENISA padeda valstybėms narėms ir padeda sudaryti palankesnes sąlygas bendradarbiavimo procesui. Analizavimas, gairių, metodikos, ataskaitų rengimas. Duomenų apdorojimas Duomenų srautas Direktyvos 1 straipsnio 12 punktas Savitarpio pagalba  (TIS 2 37a straipsnio 4 dalis)  4. Šio straipsnio 4 dalies e punkto tikslais atitinkamų valstybių narių kompetentingos institucijos ENISA, jei įmanoma, pateikia (....). 5. Jei valstybė narė gauna savitarpio pagalbą, kaip nurodyta 37 straipsnio 1 dalies pirmos pastraipos c punkte, kontaktinis punktas informuoja ENISA, kad savitarpio pagalba buvo suteikta.  Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) ES valstybės narės   Keitimasis informacija Duomenų srautas 119 straipsnis Įgaliojimų delegavimas 3.    Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos Parlamentui ir Tarybai. Europos Komisija Europos Parlamentas  Taryba  Informacija siunčiama EP ir Tarybai  Duomenų srautas 120 straipsnis Vertinimas ir peržiūra  1.    Ne vėliau kaip [MMMM MM DD], o vėliau – kas penkerius metus Komisija paveda atlikti ENISA veiklos rezultatų, susijusių su jos tikslais, įgaliojimais, misija, užduotimis, valdymu ir vieta, vertinimą pagal Komisijos gaires. 5.    Komisija vertinimo išvadas pateikia Europos Parlamentui, Tarybai ir Valdančiajai tarybai. Įvertinimo išvados skelbiamos viešai. Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) Komisija Plačioji visuomenė Duomenų rinkimas ir analizė; informacijos viešinimas Duomenų apdorojimas Duomenų srautas

4.2.Duomenys

Į taikymo sritį patenkančių duomenų ir susijusių standartų ir (arba) specifikacijų apibendrinamasis aprašymas 

Duomenų rūšis	Reikalavimo nuoroda (-os)	Standartas ir (arba) specifikacija                    (jei taikoma)
Duomenys, susiję su kibernetinio saugumo atsparumui ir visuomenei svarbia analize ir (arba) ataskaitomis	5 straipsnio 1 dalies a, b, c, e, f, h punktai  5 straipsnio 2, 3 ir 4 dalys  6 straipsnis  7 straipsnis  8 straipsnis  9 straipsnis  10 straipsnis  11 straipsnio 2 dalies b ir c punktai  12 straipsnio 4 dalis  15 straipsnis  Direktyvos 1 straipsnio 7 punktas	Vykdydama 11 straipsnio 1 dalies a–e punktuose ir 2 dalyje išvardytą veiklą, ENISA naudoja savo analizę ir, kai tinkama, informaciją, gautą vykdant savo užduotis, įskaitant:  a) viešai prieinamuose šaltiniuose pateiktą informaciją, įskaitant viešai žinomus IRT produktų ar paslaugų pažeidžiamumus, esančius Europos pažeidžiamumų duomenų bazėje, sukurtoje pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį; b) informaciją, kuria dalijasi valstybės narės, Sąjungos subjektai, CERT-EU, privatusis sektorius arba nevyriausybiniai partneriai ir trečiosios valstybės bei tarptautinės organizacijos, atsižvelgiant į aiškiai pažymėtus visus apribojimus dėl tolesnio tos informacijos platinimo. ENISA paskelbia gaires dėl tinklų informacinių sistemų, naudojamų dalijimuisi informacija, sąveikumo, be kita ko, kiek tai susiję su tarpvalstybiniais kibernetinio saugumo centrais, kaip nurodyta Reglamento (ES) 2025/38 6 straipsnio 3 dalyje.
Operatyviniam bendradarbiavimui ir informuotumui apie padėtį svarbūs duomenys	10 straipsnis 4 dalies a–g punktai  10 straipsnio 6 dalis  11 straipsnis 1 dalies a–g punktai  11 straipsnio 2 dalies a, b ir c punktai  11 straipsnio 3 dalis  11 straipsnio 4 dalis  13 straipsnio 2 dalis  15 straipsnis  16 straipsnio 2 dalies e punktas	Konfidencialumo ir neskelbtinos informacijos tvarkymo standartai  Vykdydama 11 straipsnio 1 dalies a–e punktuose ir 2 dalyje išvardytą veiklą, ENISA naudoja savo analizę ir, kai tinkama, informaciją, gautą vykdant savo užduotis, įskaitant:  a) viešai prieinamuose šaltiniuose pateiktą informaciją, įskaitant viešai žinomus IRT produktų ar paslaugų pažeidžiamumus, esančius Europos pažeidžiamumų duomenų bazėje, sukurtoje pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį; b) informaciją, kuria dalijasi valstybės narės, Sąjungos subjektai, CERT-EU, privatusis sektorius arba nevyriausybiniai partneriai ir trečiosios valstybės bei tarptautinės organizacijos, atsižvelgiant į aiškiai pažymėtus visus apribojimus dėl tolesnio tos informacijos platinimo.
Duomenys, susiję su Europos individualių kibernetinio saugumo įgūdžių atestavimo schemomis ir paslaugų teikėjų įgaliojimais  Duomenys, susiję su Europos kibernetinio saugumo sertifikavimo schemų tikslais, paskirtimi ir turiniu	17 straipsnis  18 straipsnis  19–23 straipsniai  72, 73, 74, 75, 76, 77, 79, 81, 83 ir 84 straipsniai	Europos individualių kibernetinio saugumo įgūdžių atestavimo schema apima (...): taisykles dėl įgaliotųjų atestavimo pažymėjimų teikėjų įrašų saugojimo Įgaliotieji atestavimo pažymėjimų teikėjai užtikrina, kad asmens prašymu Europos individualių kibernetinio saugumo įgūdžių patvirtinimų elektroniniai pažymėjimai būtų išduodami kaip elektroniniai požymių liudijimai tokiu formatu, kuris gali būti saugomas Reglamentu (ES) Nr. 910/2014 nustatytose europinėse skaitmeninės tapatybės dėklėse. .  Komisija ir ENISA, kurdamos su duomenimis susijusią Europos kibernetinio saugumo sertifikavimo schemą, turėtų laikytis atitinkamų Sąjungos teisės aktų nuostatų.
Duomenys, susiję su Europos kibernetinio saugumo sertifikavimo sistemos valdymu	85, 86, 88, 89, 90, 92, 93, 94, 95, 96 ir 97 straipsniai	ENISA, atitikties vertinimo įstaigos ir nacionalinės kibernetinio saugumo sertifikavimo institucijos turėtų užtikrinti duomenų konfidencialumą ir laikytis atitinkamos schemos nuostatų, susijusių su tarptautiniais standartais, kuriuose nustatyti reikalavimai.
Su ENISA vidaus funkcijomis (biudžetu, bendruoju programavimo dokumentu, vidaus strategijomis) susiję duomenys	25 straipsnis  28 straipsnio 1 dalis  30 straipsnis  31 straipsnio 8 dalis  32 straipsnio 3 ir 5 dalys  35 straipsnio 5 ir 6 dalys  36–43 straipsniai  44 straipsnis  45 straipsnis  47 straipsnio 10 dalis  48–49 straipsniai  52 straipsnis, 58 straipsnis	Finansinio reglamento šablonai ir gairės; vidinės gairės
Asmens duomenys	22 straipsnis  II antraštinės dalies III skyriaus 6 skirsnis. Apeliacinė taryba  66 straipsnis  80 straipsnio 1 dalies c ir x punktai  81 straipsnio 2 dalis 88 straipsnio 6 dalies h punktas  95 straipsnis  96 straipsnis	Reglamentas (ES) 2018/1725  Reglamentas (ES) 2016/679
Duomenys, surinkti ir išanalizuoti atliekant koordinuotus rizikos vertinimus, rengiant rizikos scenarijus ir nustatant pagrindinį IRT turtą	98 straipsnis 99 straipsnis 102 straipsnis 103 straipsnis 105 straipsnis	Nedarant poveikio Reglamento (ES) 2024/2847 13 straipsniui ir Direktyvos (ES) 2022/2555 21 straipsniui
Duomenys apie trečiąsias valstybes ir (arba) trečiųjų valstybių subjektus	100 straipsnio 1, 3 ir 4 dalys 104 straipsnis 105 straipsnis 107 straipsnis 113 straipsnis	nėra duomenų
Su nacionalinėmis institucijomis susiję duomenys	112 straipsnis 114 straipsnis 116 straipsnis	nėra duomenų
Su rizikos vertinimu susiję duomenys	5 straipsnio 2 dalis	Konfidencialumo ir neskelbtinos informacijos tvarkymo standartai
Valstybių narių savitarpio pagalba	Reglamento 5 straipsnio 1 dalies g punktas ir Direktyvos 1 straipsnio 12 punktas	/

Derėjimas su Europos duomenų strategija

Paaiškinkite, kaip reikalavimas (-ai) dera (-i) su Europos duomenų strategija

Pasiūlyme dėl KSA 2 nustatyti reikalavimai yra suderinti su Europos duomenų strategija ir neturi jai jokio konkretaus poveikio.

Derėjimas su vienkartinio duomenų pateikimo principu     

Paaiškinkite, kaip atsižvelgta į vienkartinio duomenų pateikimo principą ir galimybę pakartotinai naudoti esamus duomenis 

Vienas iš pasiūlymo tikslų – kuo labiau padidinti Komisijos supaprastinimo pastangas ir sumažinti valstybėms narėms ir suinteresuotiesiems subjektams tenkančią administracinę naštą. Pastaraisiais metais ENISA tapo informacijos centru, kuriame saugoma informacija iš įvairių šaltinių. Šiuo požiūriu daugelis ENISA užduočių yra susijusios su pakartotiniu informacijos naudojimu ir pernaudojimu įvairiais analizės tikslais. Pavyzdžiui: tam tikrais tikslais pakartotinai naudojama informacija, pateikta pagal Direktyvos (ES) 2022/2555 23 ir 30 straipsnius; duomenys, apie kuriuos pranešta, kuriais pasidalyta arba kurie analizuoti pagal Reglamento (ES) 2024/2847 14 straipsnio 1–3 dalis, 15 straipsnį ir 17 straipsnio 1 ir 3 dalis. Nuostatose dėl tiekimo grandinės sistemos daroma prielaida, kad jos įgyvendinimas bus grindžiamas duomenimis, gautais pagal Direktyvos (ES) 2022/2555 22 straipsnį, o tai rodo pakartotinį informacijos naudojimą ir koordinavimą.

Paaiškinkite, kaip nauji duomenys atitinka duomenų randamumo, prieinamumo, sąveikumo ir pakartotinio panaudojimo principus ir aukštos kokybės standartus  

Pasiūlyme dėl teisėkūros procedūra priimamo akto aiškiai nurodyta, kada duomenys turėtų būti skelbiami viešai. Pasiūlyme atsižvelgiama į nuostatų, griežtai susijusių su saugumo ir konfidencialumo aspektais, pobūdį, todėl ne visi duomenys, sukurti atliekant KSA peržiūrą, bus skirti viešajam vartojimui. Kalbant apie būtinas nuostatas, užtikrintas suderinimas su europine skaitmeninės tapatybės dėkle. ENISA pavesta pasiūlyti ankstyvojo įspėjimo paslaugą kompiuterio skaitomu formatu.

Duomenų srautai

Į taikymo sritį patenkančių duomenų ir susijusių standartų ir (arba) specifikacijų apibendrinamasis aprašymas

Duomenų rūšis	Duomenų srauto paaiškinimas		Nuorodos
ENISA teikia ataskaitas ir analizę, technines gaires ir geriausios praktikos pavyzdžius.	Tai yra duomenų srautas, skirtas ENISA suinteresuotiesiems subjektams ir padedantis įgyvendinti ES politiką ir teisę. Šiuose duomenų srautuose ENISA renka informaciją, dažniausiai iš viešųjų šaltinių, atlieka analizę ir dalijasi rezultatais su suinteresuotaisiais subjektais.  ENISA vykdo tam tikras užduotis ir Komisijos prašymu.		5 straipsnio 1 dalies a, b, c, e, f ir h punktai   5 straipsnio 2 dalis; 5 straipsnio 3 dalis; 5 straipsnio 5 dalis 6 straipsnis  7 straipsnis 8 straipsnis  9 straipsnis 10 straipsnis 11 straipsnio 2 dalis  11 straipsnio 4 dalis  14 straipsnis
Duomenų srautai tarp Komisijos, ENISA, valstybių narių ir kitų atitinkamų ES kibernetinio saugumo ekosistemos subjektų vykdant operatyvinį bendradarbiavimą.	Šios rūšies duomenų srautai nustatomi operatyvinio bendradarbiavimo ir informuotumo apie padėtį tikslais. Informacija keičiamasi abiem kryptimis – ji gaunama ir tiekiama. Keičiamasi veiklos duomenimis.		10 straipsnis 4 dalies a–g punktai  11 straipsnio 1 dalies b–g punktai  11 straipsnio 2 skyriaus a ir b punktai 11 straipsnio 3 dalis  15 straipsnis 16 straipsnio 2 dalies e punktas
Duomenų srautai, nustatyti siekiant remti Europos kibernetinio saugumo įgūdžių sistemą ir Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas bei jų įgyvendinimą	Šie duomenų srautai padeda keistis šiais duomenimis (juos gauti ir teikti): – dėl Europos kibernetinio saugumo įgūdžių sistemos priežiūros ir naudojimo, užtikrinant srautus tarp ENISA ir jos ad hoc darbo grupės narių, taip pat tarp ENISA ir Komisijos; – dėl Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų kūrimo ir priežiūros, užtikrinant srautus tarp ENISA ir jos ad hoc darbo grupės narių, taip pat tarp ENISA, Komisijos ir valstybių narių; – dėl Europos individualių kibernetinio saugumo įgūdžių atestavimo schemų įgyvendinimo su duomenų srautais tarp pareiškėjų ir ENISA; – dėl duomenų srautų tarp Apeliacinės tarybos, ENISA, Komisijos ir pareiškėjų.		19–23 straipsniai  36–43 straipsniai
Duomenys, susiję su Europos kibernetinio saugumo sertifikavimo schemų tikslais, paskirtimi ir turiniu	Šios rūšies duomenų srautai yra svarbūs planuojant Europos kibernetinio saugumo sertifikavimo schemas, jų prašant, jas kuriant, priimant ir prižiūrint (įskaitant galimą peržiūrą). Tai visų pirma susiję su suinteresuotųjų subjektų, ENISA, valstybių narių institucijų dalyvavimu ir ekspertų konsultacijomis per EKSSG įvairiais procedūros etapais. Be to, papildomi duomenų srautai yra susiję su atitinkamos informacijos teikimu plačiajai visuomenei per specialias Komisijos ir ENISA interneto svetaines. Galiausiai sistemoje numatyta, kad papildomą kibernetinio saugumo informaciją viešai skelbia IRT produktų gamintojai ar tiekėjai, IRT paslaugų ar IRT procesų teikėjai, kuriems ES atitikties pareiškimas arba Europos kibernetinio saugumo sertifikatas išduotas jų pačių lėšomis,	18 straipsnis 19 straipsnis 72, 73, 74, 75, 76, 77, 79, 81, 83, 84 straipsniai
Duomenys, susiję su Europos kibernetinio saugumo sertifikavimo sistemos valdymu	Šie duomenų srautai padeda keistis šiais duomenimis: – apie Europos kibernetinio saugumo schemų koordinavimą ir valdymą – apie atitikties vertinimo įstaigų akreditavimą ir įgaliojimų joms suteikimą, taip pat vėlesnį jų notifikavimą naudojantis atitinkama platforma ir taikant susijusias procedūras – apie teisių gynimo procedūras, pavyzdžiui, teisę pateikti skundą, apskundimo teismine tvarka arba apeliacinio skundo ir pakeitimo procedūras	85, 86, 88, 89, 90, 92, 93, 94, 95 ir 96 straipsniai
Duomenų srautai, susiję su Agentūros administracine veikla	Srautai tarp ENISA, Valdančiosios tarybos, valstybių narių, Komisijos. Informacija yra susijusi su Agentūros administracine veikla ir jos srautai vyksta abiem kryptimis. Kai kuriais atvejais informacija taip pat siunčiama Europos Parlamentui (duomenų srautas šiuo klausimu aprašytas toliau).		25 straipsnis  28 straipsnio 1 dalis  30 straipsnis  31 straipsnio 8 dalis  32 straipsnio 3 ir 5 dalys  35 straipsnio 5 ir 6 dalys  36–43 straipsniai  44 straipsnis 45 straipsnis
Europos Parlamentui siunčiami duomenys	Su ENISA veikla ir užduočių vykdymu susiję duomenų srautai į Europos Parlamentą; biudžeto ir finansų valdymas, bendradarbiavimas su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, kandidato į vykdomojo direktoriaus pareigas klausymas; su Europos kibernetinio saugumo sertifikavimu susiję klausimai		28 straipsnio 1 dalies f punktas, 31 straipsnio 8 dalis, 32 straipsnio 3 dalis, 44 straipsnio 3 dalis, 49 straipsnio 6 dalis, 49 straipsnio 9 dalis, 70 straipsnio 5 dalis, 72 straipsnio 4 ir 5 dalys, 119 straipsnio 3 dalis Įgaliojimų delegavimas, 120 straipsnis Vertinimas ir peržiūra
ES Tarybai siunčiami duomenys	Su ENISA veikla ir užduočių vykdymu susiję duomenų srautai į Europos Parlamentą; biudžeto ir finansų valdymas, bendradarbiavimas su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, kandidato į vykdomojo direktoriaus pareigas klausymas; potencialios schemos, rengiamos pagal Europos kibernetinio saugumo sertifikavimo sistemą.		28 straipsnio 1 dalies f punktas, 31 straipsnio 8 dalis, 32 straipsnio 3 dalis, 32 straipsnio 7 dalis, 49 straipsnio 6 dalis, 49 straipsnio 9 dalis, 70 straipsnio 5 dalis, 72 straipsnio 4 ir 5 dalys, 119 straipsnio 3 dalis Įgaliojimų delegavimas, 120 straipsnis Vertinimas ir peržiūra
Duomenų srautai, susiję su skundo pateikimu	Siekiant nagrinėti fizinių ar juridinių asmenų skundus, susijusius su nacionalinių kibernetinio saugumo sertifikavimo institucijų išduotais Europos kibernetinio saugumo sertifikatais arba atitikties vertinimo įstaigų pagal 84 straipsnio 4 dalį išduotais Europos kibernetinio saugumo sertifikatais, arba su ES atitikties pareiškimais. Fiziniai ir juridiniai asmenys turi teisę pateikti skundą Europos kibernetinio saugumo sertifikato išdavėjui arba, kai skundas susijęs su Europos kibernetinio saugumo sertifikatu, kurį išdavė atitikties vertinimo įstaiga		55 straipsnio 3 dalis; 88 straipsnio 7 dalies f punktas; 96 straipsnis
Duomenų srautai, susiję su išpuoliais naudojant išpirkos reikalavimo programinę įrangą	Tam tikros informacijos teikimas išpuolių naudojant išpirkos reikalavimo programinę įrangą atveju		Direktyvos 1 straipsnio 8 punktas

   

Duomenų rūšis	Reikalavimo (-ų) nuoroda (-os)	Duomenis teikiantys subjektai	Duomenis gaunantys subjektai	Keitimosi duomenimis priežastis	Dažnumas (jei taikoma)
Duomenų srautai tarp Komisijos ir valstybių narių atliekant Sąjungos lygmens koordinuotus saugumo rizikos vertinimus.	99 straipsnis Saugumo rizikos vertinimai	Komisija ir valstybės narės	Valstybės narės (TIS bendradarbiavimo grupė)	99 straipsnis Saugumo rizikos vertinimai	nėra duomenų
Duomenų srautai tarp Komisijos ir Tarybos, susiję su trečiųjų valstybių, keliančių kibernetinio saugumo problemų, nustatymu	100 straipsnis Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas	Komisija	Taryba	100 straipsnis Komisijos atliekamas trečiosios valstybės keliamos grėsmės patikrinimas
Duomenų srautai tarp Komisijos ir valstybių narių, susiję su rizikos mažinimo priemonėmis išskirtinėmis aplinkybėmis	103 straipsnio 6 dalis Rizikos mažinimo priemonės IRT tiekimo grandinėse	Komisija	Valstybės narės	Išskirtinės aplinkybės	nėra duomenų
Duomenų srautai tarp Komisijos ir tiekėjų bei Komisijos ir kompetentingų institucijų, susiję su tiekėjų įsisteigimo, nuosavybės ir kontrolės vertinimu	104 straipsnio 4, 5 ir 6 dalys Didelės rizikos tiekėjų nustatymas	Tiekėjai Komisija Kompetentingos institucijos	Kompetentingos institucijos Tiekėjai Komisija	Įgyvendinimo aktai, priimti pagal 103 straipsnio 1 dalį ir susiję su 111 straipsnio 1 dalyje nustatytu draudimu	nėra duomenų
Duomenų srautas tarp Komisijos ir valstybių narių, susijęs su priežiūros įgaliojimais dėl patikimos IRT tiekimo grandinės saugumo sistemos įgyvendinimo	112 straipsnio 1 ir 4 dalys Kompetentingos institucijos 114 straipsnis Priežiūros ir vykdymo užtikrinimo priemonės	Valstybės narės	Komisija	112 straipsnio 1 ir 4 dalys Kompetentingos institucijos 114 straipsnis Priežiūros ir vykdymo užtikrinimo priemonės (Komisija, bendradarbiaudama su valstybėmis narėmis, paskelbia subjektų, susijusių su didelės rizikos tiekėjais, sąrašą.)	nėra duomenų
Duomenų srautas tarp Komisijos ir trečiųjų šalių dėl išimčių	105 straipsnis Išimtis subjektams, įsisteigusiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba kontroliuojamiems iš jų	Trečiosios šalys (subjektai, įsteigti kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba kontroliuojami jos subjektų (kaip nurodyta 100 straipsnyje) (teikiant prašymą taikyti išimtį) ES Komisija (priimant sprendimus)	Komisija (gavus prašymą taikyti išimtį) Trečiosios šalys (subjektai, įsteigti kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba kontroliuojami jos subjektų (kaip nurodyta 100 straipsnyje) (kai gaunamas Komisijos sprendimas)	Sprendimas pagal 100 straipsnį Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas	nėra duomenų
Duomenų srautas tarp valstybių narių ir trečiųjų šalių dėl elektroninių ryšių tinklų draudimo	111 straipsnis Draudimai, taikomi judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams	Valstybės narės (kompetentingos institucijos)	Trečiosios šalys (judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų tiekėjai)	Pagal šį reglamentą paskirta kompetentinga institucija nedelsdama informuoja kompetentingą instituciją pagal Reglamentą (ES) XX/XXXX [SPA pasiūlymas] apie judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklų teikėjams nustatytas priemones.	nėra duomenų
Duomenų srautas tarp Komisijos ir valstybių narių įgyvendinant bendradarbiavimo ir paramos paslaugų tinklą	113 straipsnis Komisijos bendradarbiavimo ir paramos paslaugų tinklas	Komisija Valstybės narės (kompetentingos institucijos)	Komisija Valstybės narės (kompetentingos institucijos)	Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas
Duomenų srautas tarp valstybių narių ir trečiųjų šalių dėl priežiūros ir vykdymo užtikrinimo priemonių	114 straipsnis Priežiūros ir vykdymo užtikrinimo priemonės	Trečiosios šalys (Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektai)	Valstybės narės (kompetentingos institucijos)	IV antraštinėje dalyje numatytų priemonių įgyvendinimas
Duomenų srautas tarp valstybių narių teikiant savitarpio pagalbą	116 straipsnis Savitarpio pagalba	Valstybės narės	Valstybės narės	Kai Direktyvos (ES) 2022/2555 I arba II priede nurodytas subjektas teikia paslaugas daugiau nei vienoje valstybėje narėje arba teikia paslaugas vienoje ar daugiau valstybių narių ir jo pagrindinis IRT turtas yra vienoje ar daugiau kitų valstybių narių, atitinkamų valstybių narių kompetentingos institucijos prireikus viena su kita bendradarbiauja ir padeda viena kitai.	nėra duomenų

4.3.Skaitmeniniai sprendimai

Skaitmeninių sprendimų suvestinis aprašas 

Paaiškinkite, kaip kiekvienas skaitmeninis sprendimas atitinka taikytiną skaitmeninę politiką ir teisės aktus. 

Skaitmeninis sprendimas	Reikalavimo (-ų) nuoroda (-os)	Pagrindinės privalomos funkcijos	Atsakinga institucija	Kaip užtikrinamas prieinamumas?	Kaip atsižvelgiama į pakartotinio naudojimo galimybes?	DI technologijų naudojimas (jei taikoma)
ENISA yra CSIRT tinklo ir EU-CyCLONe sekretoriatas ir CSIRT tinkle ir EU-CyCLONe ENISA įdiegia saugaus ryšio priemones, kurias teikia juridiniai subjektai, kurie nėra įsisteigę trečiosiose valstybėse arba nėra jų arba trečiųjų valstybių piliečių kontroliuojami.	10 straipsnio 2, 3 ir 5 dalys	Ne vieša informacija	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Ne vieša informacija	Ne vieša informacija	Ne vieša informacija
Bendradarbiaudama su EU-CyCLONe, CSIRT tinklu, Komisija, Europolu, CERT-EU ir kitais atitinkamais Sąjungos subjektais sukuria patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes, įskaitant incidentų tendencijas, taktiką, metodus ir procedūras, saugyklas.	11 straipsnio 1 dalies a punktas	patikrinta ir patikima žvalgybos informacija apie kibernetines grėsmes, įskaitant incidentų tendencijas, taktiką, metodus ir procedūras	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EU-CyCLONe, CSIRT tinklas, Komisija, Europolas, CERT-EU ir atitinkami Sąjungos subjektai	nėra duomenų	nėra duomenų	nėra duomenų
ENISA tvarko informacijos apie įgytą patirtį saugyklą.	14 straipsnio 2 dalis	ENISA tvarko informacijos apie pratybų metu įgytą patirtį ir rekomenduoja valstybėms narėms ir, kai aktualu, Sąjungos subjektams, kaip veiksmingai ir efektyviai pasinaudoti įgyta patirtimi.	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	nėra duomenų	nėra duomenų	nėra duomenų
ENISA sukuria, teikia, valdo, prižiūri ir prireikus atnaujina technines veiklos priemones, pvz., su kibernetiniu saugumu susijusias platformas Sąjungos lygmeniu, visų pirma bendrą pranešimų apie incidentus teikimo platformą, sukurtą pagal Reglamento (ES) 2024/2847 16 straipsnio 1 dalį [ir vieną bendrą prieigą pranešimams apie incidentus teikti, sukurtą pagal Direktyvos (ES) 2022/2555 23a straipsnį], arba testavimo priemones, padedančias įgyvendinti atitikties vertinimo procedūras pagal atitinkamus Sąjungos teisės aktus.	15 straipsnis	Bendra pranešimų teikimo platforma   Reglamento (ES) 2024/2847 16 straipsnio 1 dalis   [bendra prieiga    Direktyvos (ES) 2022/2555 23a straipsnis]	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	nėra duomenų	nėra duomenų	nėra duomenų
Prižiūri pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį sukurtą Europos pažeidžiamumų duomenų bazę ir teikia pažeidžiamumų valdymo paslaugas	16 straipsnio 2 dalis	Direktyvos (ES) 2022/2555 12 straipsnio 2 dalis   Prižiūri duomenų bazę ir teikia pažeidžiamumų valdymo paslaugas	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	nėra duomenų	nėra duomenų	nėra duomenų
ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija	19–23 straipsniai	Prižiūri ir reguliariai atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija apie Europos kibernetinio saugumo įgūdžių sistemą, įskaitant jos sistemą ir atnaujinimo tvarkaraštį; Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas, jų kūrimo pažangą ir terminus; apie mokesčius, susijusius su kiekviena Europos individualių kibernetinio saugumo įgūdžių atestavimo schema; apie Europos individualių kibernetinio saugumo įgūdžių atestavimo pažymėjimo orientacinę kainą; įgaliotųjų atestavimo pažymėjimų teikėjų sąrašą.	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	nėra duomenų	nėra duomenų	nėra duomenų
Komisija prižiūri ir reguliariai atnaujina specialią viešą interneto svetainę.	72 straipsnis	Informacija apie: a)    Europos kibernetinio saugumo sertifikavimo schemas, kurias prašoma parengti; b)    strateginius prioritetus dėl IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba Sąjungos teisės aktuose nustatytų saugumo reikalavimų derinimo, įskaitant galimas sritis, kurioms gali būti prašoma sukurti Europos kibernetinio saugumo sertifikavimo schemą.	Europos Komisija	Gairių laikymasis	Gairių laikymasis	nėra duomenų
ENISA prižiūri specialią sertifikavimo svetainę	79 straipsnis	Informacijos teikimas apie: a) Europos kibernetinio sertifikavimo schemas; b) mokesčius, susijus su kiekvienos Europos kibernetinio saugumo sertifikavimo schemos priežiūra; c) atitinkamas ENISA technines specifikacijas; d) Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus, įskaitant informaciją apie tokius sertifikatus ir pareiškimus, kurie nebegalioja arba kurių galiojimas sustabdytas, kurie panaikinti arba kurių galiojimas baigėsi; e) atitinkamą papildomą kibernetinio saugumo informaciją, teikiamą pagal 84 straipsnio 2 dalį; f)tarpusavio peržiūrų suvestines pagal 89 straipsnio 7 dalį; g)Europos kibernetinio saugumo sertifikavimo schemoje pagal 74 straipsnio 10 dalį nurodytas technines specifikacijas.	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	Gairių laikymasis	Gairių laikymasis	nėra duomenų
Registras (dėl išimčių subjektams, įsisteigusiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba valdomiems joje esančių subjektų)	107 straipsnis Registras	Komisija prižiūri viešai prieinamą savo sprendimų, nurodytų 105 straipsnio 4 dalyje, registrą. Registre nurodomi subjektų, dėl kurių priimti sprendimai, pavadinimai. Komisija jį nuolat atnaujina.	Komisija	„Komisija prižiūri viešai prieinamą registrą.“	nėra duomenų	nėra duomenų
Platforma (Komisijos ir kompetentingų institucijų bendradarbiavimui ir keitimuisi informacija)	113 straipsnis	Komisija sukuria valstybių narių kompetentingų institucijų ir Komisijos bendradarbiavimo tinklą, kuris veiktų kaip bendradarbiavimo ir keitimosi informacija platforma. Komisija teikia tinklui administracinę paramą.	Komisija	Nėra vieša, tik kompetentingoms institucijoms	nėra duomenų	nėra duomenų
ENISA sukuria ir prižiūri esminių ir svarbių subjektų bei domeno vardo registravimo paslaugas teikiančių subjektų registrą.	Direktyvos 1 straipsnio 11 punktas	Esminių ir svarbių subjektų bei domeno vardo registravimo paslaugas teikiančių subjektų registras	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)	nėra duomenų	Remiantis iš bendrųjų informacinių centrų pagal 2 dalį gauta informacija. (TIS 2 direktyvos 27 straipsnis)	nėra duomenų

Į pirmiau pateiktą lentelę įtraukti skaitmeniniai sprendimai 

Skaitmeninė ir (arba) sektorių politika (kai taikoma)	Derėjimo paaiškinimas
DI aktas	nėra duomenų
ES kibernetinio saugumo sistema	nėra duomenų
eIDAS	nėra duomenų
Bendrieji skaitmeniniai vartai ir IMI	nėra duomenų
Kita	nėra duomenų

Skaitmeninės viešosios paslaugos (-ų), kuriai (-ioms) reikalavimai daro poveikį, suvestinis aprašas

Skaitmeninė viešoji paslauga arba skaitmeninių viešųjų paslaugų kategorija	Aprašymas	Reikalavimo (-ų) nuoroda (-os)	Europos sąveikumo sprendimas (-ai)   (NETAIKOMA)	Kitas (-i) sąveikumo sprendimas (-ai)
ENISA veikia kaip tinklų sekretoriatas ir diegia saugaus ryšio priemones	ENISA teikia CSIRT tinklo sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 15 straipsnio 2 dalį. ENISA teikia EU-CyCLONe sekretoriato paslaugas pagal Direktyvos (ES) 2022/2555 16 straipsnio 2 dalį [ir bendrą prieigą pranešimams apie incidentus teikti, sukurtą pagal Direktyvos (ES) 2022/2555 23a straipsnį], ir testavimo priemones, padedančias įgyvendinti atitikties vertinimo procedūras pagal atitinkamus Sąjungos teisės aktus.  CSIRT tinkle ir EU-CyCLONe ENISA įdiegia saugaus ryšio priemones, kurias teikia juridiniai subjektai, kurie nėra įsisteigę trečiosiose valstybėse arba nėra jų arba trečiųjų valstybių piliečių kontroliuojami.	11 straipsnis	//	nėra duomenų
Ankstyvieji įspėjimai	Ankstyvųjų įspėjimų skelbimas	11 straipsnis 12 straipsnis
Parama, susijusi su konkrečiu potencialiu ar vykstančiu incidentu ar kibernetine grėsme	Vienos ar kelių valstybių narių prašymu teikiamos konsultacijos ir vertinimai, susiję su konkrečiu potencialiu ar vykstančiu incidentu ar kibernetine grėsme, be kita ko, teikiant ekspertines žinias ir palengvinant techninį tokių incidentų valdymą ir remiant valstybių narių savanorišką dalijimąsi atitinkama informacija ir techniniais sprendimais;	10 straipsnis
Koordinuoto didelio masto kibernetinio saugumo incidentų ir krizių valdymo rėmimas operatyviniu lygmeniu.	Prisidėjimas remiant koordinuotą didelio masto kibernetinio saugumo incidentų ir krizių valdymą operatyviniu lygmeniu, visų pirma padedant EU-CyCLONe rengti ataskaitas politiniu lygmeniu, palengvinant savalaikį dalijimąsi informacija tarp CSIRT tinklo ir EU-CyCLONe.	10 straipsnis
Patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes saugyklos	Bendradarbiaudama su EU-CyCLONe, CSIRT tinklu, Komisija, Europolu, CERT-EU ir kitais atitinkamais Sąjungos subjektais sukuria patikrintos ir patikimos žvalgybos informacijos apie kibernetines grėsmes, įskaitant incidentų tendencijas, taktiką, metodus ir procedūras, saugyklas.	11 straipsnis
Informacijos apie įgytą patirtį saugykla	ENISA tvarko informacijos apie pratybų metu įgytą patirtį saugyklą ir rekomenduoja valstybėms narėms ir, kai aktualu, Sąjungos subjektams, kaip įgytą patirtį būtų galima veiksmingai ir efektyviai įgyvendinti.	14 straipsnis
ENISA sukuria, teikia, valdo, prižiūri ir prireikus atnaujina technines veiklos priemones, pavyzdžiui, platformas.	ENISA sukuria, teikia, valdo, prižiūri ir prireikus atnaujina technines veiklos priemones, pvz., su kibernetiniu saugumu susijusias platformas Sąjungos lygmeniu, visų pirma bendrą pranešimų apie incidentus teikimo platformą, sukurtą pagal Reglamento (ES) 2024/2847 16 straipsnio 1 dalį [ir vieną bendrą prieigą pranešimams apie incidentus teikti, sukurtą pagal Direktyvos (ES) 2022/2555 23a straipsnį], ir testavimo priemones, padedančias įgyvendinti atitikties vertinimo procedūras pagal atitinkamus Sąjungos teisės aktus.	15 straipsnis
Prižiūri pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį sukurtą Europos pažeidžiamumų duomenų bazę	Prižiūri pagal Direktyvos (ES) 2022/2555 12 straipsnio 2 dalį sukurtą Europos pažeidžiamumų duomenų bazę. Teikia pažeidžiamumų valdymo paslaugas suinteresuotiesiems subjektams, remiantis Europos pažeidžiamumų duomenų baze ir naudojantis atitinkama ENISA turima informacija. Pradeda struktūrinį bendradarbiavimą su organizacijomis, teikiančiomis programas, registrus ar duomenų bazes, panašias į Europos pažeidžiamumų duomenų bazę. Aktyviai remia pagal Direktyvos (ES) 2022/2555 12 straipsnio 1 dalį koordinatorėmis paskirtas CSIRT, kiek tai susiję su koordinuotu pažeidžiamumų, kurie gali turėti reikšmingą poveikį subjektams daugiau nei vienoje valstybėje narėje, atskleidimo valdymu. Kuria ir prižiūri pažeidžiamumų nustatymo ir koordinuoto atskleidimo metodikas ir valdymo mechanizmus bendradarbiaudama su nacionalinėmis kompetentingomis institucijomis, CSIRT, pramonės atstovais ir mokslinių tyrimų bendruomene.	16 straipsnis
Potencialių Europos kibernetinio saugumo sertifikavimo schemų (potencialių schemų) rengimas	Potencialių kibernetinio saugumo sertifikavimo schemų (toliau – potencialios schemos) IRT produktams, IRT paslaugoms, IRT procesams, valdomoms saugumo paslaugoms ir subjektų kibernetinio saugumo būklei ir susijusių techninių specifikacijų pagal 74 straipsnį rengimas. Priimtų Europos kibernetinio saugumo sertifikavimo schemų priežiūra pagal 75 straipsnį, be kita ko, atsižvelgiant į galimą priimtų Europos kibernetinio saugumo sertifikavimo schemų peržiūrą pagal 76 straipsnį.	17 straipsnis
ENISA parengia ir prižiūri Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas	ENISA parengia ir prižiūri Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas.  ENISA priima pagrįstą sprendimą, kuriuo pareiškėjui suteikiamas įgaliojimas išduoti Europos individualius atestavimo pažymėjimus, susijusius su schemų įdiegimu ir priežiūra, ir dėl įgaliojimų suteikimo, nesuteikimo arba dėl prašymo nagrinėjimo nutraukimo, jei pareiškėjas pateikė nepakankamai informacijos arba jei jis nesiėmė veiksmų gavęs prašymą pateikti papildomos informacijos.	20–22 straipsniai
ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę.	ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija: a)    apie Europos kibernetinio saugumo įgūdžių sistemą, įskaitant jos sistemą ir atnaujinimo tvarkaraštį; b)    Europos individualių kibernetinio saugumo įgūdžių atestavimo schemas, jų kūrimo pažangą ir terminus; c)    mokesčius, susijusius su kiekviena Europos individualių kibernetinio saugumo įgūdžių atestavimo schema, priimta pagal šio reglamento 47 straipsnį; d)    Europos individualių kibernetinio saugumo įgūdžių atestavimo orientacinę kainą pagal 20 straipsnio 4 dalį; e)    įgaliotųjų atestavimo pažymėjimų teikėjų sąrašą.	23 straipsnis
Komisija prižiūri ir reguliariai atnaujina specialią viešą interneto svetainę.	Komisija prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama informacija apie šiuos aspektus: a) Europos kibernetinio saugumo sertifikavimo schemas, kurias prašoma parengti; b) strateginius prioritetus dėl IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba Sąjungos teisės aktuose nustatytų saugumo reikalavimų derinimo, įskaitant galimas sritis, kurioms gali būti prašoma sukurti Europos kibernetinio saugumo sertifikavimo schemą.	72 straipsnis
ENISA prižiūri specialią sertifikavimo svetainę	ENISA prižiūri ir nuolat atnaujina specialią interneto svetainę, kurioje teikiama vieša informacija apie: a) Europos kibernetinio sertifikavimo schemas; b) mokesčius, susijus su kiekvienos Europos kibernetinio saugumo sertifikavimo schemos priežiūra; c) atitinkamas ENISA technines specifikacijas; d) Europos kibernetinio saugumo sertifikatus ir ES atitikties pareiškimus, įskaitant informaciją apie tokius sertifikatus ir pareiškimus, kurie nebegalioja arba kurių galiojimas sustabdytas, kurie panaikinti arba kurių galiojimas baigėsi; e) atitinkamą papildomą kibernetinio saugumo informaciją, teikiamą pagal 84 straipsnio 2 dalį; f)    tarpusavio peržiūrų suvestines pagal 89 straipsnio 7 dalį; g)    Europos kibernetinio saugumo sertifikavimo schemoje pagal 74 straipsnio 10 dalį nurodytas technines specifikacijas.	79 straipsnis
Tyrimai	Komisija tiria visus atvejus, kuriais jai kyla abejonių arba jai pranešama apie abejones dėl atitikties vertinimo įstaigos kompetencijos vykdyti ar toliau vykdyti jai taikomus reikalavimus ir jai pavestas pareigas. Komisija užtikrina, kad visa neskelbtina informacija, gauta jai atliekant tyrimus, būtų tvarkoma konfidencialiai.	94 straipsnis
ENISA sukuria ir prižiūri esminių ir svarbių subjektų bei domeno vardo registravimo paslaugas teikiančių subjektų registrą	Esminių ir svarbių subjektų bei domeno vardo registravimo paslaugas teikiančių subjektų registras. Gavusi prašymą, ENISA leidžia kompetentingoms institucijoms susipažinti su DNS paslaugų teikėjų, aukščiausio lygio domenų vardų registrų, domenų vardų registravimo paslaugas teikiančių subjektų, debesijos kompiuterijos paslaugų teikėjų, duomenų centrų paslaugų teikėjų, turinio teikimo tinklo paslaugų teikėjų, valdomų paslaugų teikėjų, valdomų saugumo paslaugų teikėjų, taip pat internetinių prekyviečių, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų paslaugų teikėjų duomenimis, saugomais tame registre, kartu užtikrindama, kad, kai taikytina, būtų apsaugotas informacijos konfidencialumas.	Direktyvos 1 straipsnio 11 punktas.

4.4.Sąveikumo vertinimas

Kiekvienai skaitmeninei viešajai paslaugai taikomo (-ų) reikalavimo (-ų) poveikis tarpvalstybiniam sąveikumui 

Saugyklos / platformos / ankstyvieji perspėjimai / sekretoriatas / operatyvinis bendradarbiavimas / koordinuoto pažeidžiamumų atskleidimo duomenų bazė  

Vertinimas	Priemonės	Galimos nepašalintos kliūtys
Įvertinkite suderinimą su esama skaitmenine ir sektorių politika.   Išvardykite nustatytas taikytinas skaitmeninės ir sektorių politikos sritis.	Kibernetinis saugumas	Nėra žinomų kliūčių
Įvertinkite organizacines priemones sklandžiam tarpvalstybinių skaitmeninių viešųjų paslaugų teikimui užtikrinti.  Išvardykite numatytas valdymo priemones.	ENISA valdančioji taryba   CSIRT tinklas  EU-CyCLONe  TIS bendradarbiavimo grupė    Visi šie forumai yra forumai, kuriuose galima kelti klausimus.	nėra duomenų
Įvertinkite priemones, kurių imtasi siekiant užtikrinti bendrą duomenų supratimą.  Išvardykite šias priemones.	nėra duomenų	nėra duomenų
Įvertinkite, kaip naudojamos bendrai sutartos atvirosios techninės specifikacijos ir standartai.  Išvardykite šias priemones.	nėra duomenų	nėra duomenų

Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos  

Vertinimas	Priemonės	Galimos nepašalintos kliūtys
Įvertinkite suderinimą su esama skaitmenine ir sektorių politika.   Išvardykite nustatytas taikytinas skaitmeninės ir sektorių politikos sritis.	Pasiūlymas grindžiamas COM(2023)207 final (Kibernetinio saugumo įgūdžių akademija) „ENISA parengs bandomąjį projektą, kuriame bus nagrinėjama galimybė sukurti Europos kibernetinio saugumo įgūdžių atestavimo schemą“.  Jame naudojamasi Reglamentu (ES) 2024/1183 (Europinė skaitmeninės tapatybės dėklė), nustatant, kad „ENISA ir įgaliotieji atestavimo pažymėjimų teikėjai užtikrina, kad Europos individualių kibernetinio saugumo įgūdžių patvirtinimų elektroniniai pažymėjimai būtų išduodami į europines skaitmeninės tapatybės dėkles“.  Kibernetinis saugumas  BDAR (paslaugų teikėjų vykdomas įrašų saugojimas)	Nėra žinomų kliūčių
Įvertinkite organizacines priemones sklandžiam tarpvalstybinių skaitmeninių viešųjų paslaugų teikimui užtikrinti.  Išvardykite numatytas valdymo priemones.	Konsultacijos su suinteresuotaisiais subjektais rengiant Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą  ENISA veiklos atskyrimas siekiant užtikrinti nepriklausomą jos vykdymą   Apeliacinė taryba	Viešieji ir privatieji subjektai ir toliau Europos individualių kibernetinio saugumo įgūdžių atestavimo schemomis naudojasi ir jas pripažįsta savanoriškai.
Įvertinkite priemones, kurių imtasi siekiant užtikrinti bendrą duomenų supratimą.  Išvardykite šias priemones.	Schemų, kuriose būtų išsamiai išdėstytos, inter alia, su atestavimo pažymėjimų turiniu ir forma susijusios taisyklės, parengimas  Įgaliotieji paslaugų teikėjai užtikrina, kad asmens prašymu Europos individualių kibernetinio saugumo įgūdžių patvirtinimų elektroniniai pažymėjimai būtų išduodami kaip elektroniniai požymių liudijimai tokiu formatu, kuris gali būti saugomas europinėse skaitmeninės tapatybės dėklėse. ENISA turi pateikti gaires vertintojams ir vykdyti privalomus jų mokymus, susijusius su reikalavimais ir vertinimo metodais, įtrauktais į Europos individualių kibernetinio saugumo įgūdžių atestavimo schemą.  Viešos informacijos teikimas interneto svetainėje  Įgyvendinimo aktai dėl mokesčių	Nors schemos turėtų būti tokios išsamios, kad būtų užtikrintas bendras sutarimas ir palengvintas jų įgyvendinimas, ir nors ENISA teiks gaires vertintojams ir vykdys privalomą jų mokymą, kad būtų užtikrintas nuoseklus schemų įgyvendinimas, gali atsirasti nenumatytų aspektų, kai įgaliotieji atestavimo pažymėjimų teikėjai turės bendrauti su ENISA, kitais paslaugų teikėjais ar vertintojais.
Įvertinkite, kaip naudojamos bendrai sutartos atvirosios techninės specifikacijos ir standartai.  Išvardykite šias priemones.	Europos individualių kibernetinio saugumo įgūdžių atestavimo schemos rengiamos padedant atitinkamiems suinteresuotiesiems subjektams.	nėra duomenų

Potencialių Europos kibernetinio saugumo sertifikavimo schemų (potencialių schemų) rengimas / AVĮ narių paskyrimas 

Vertinimas	Priemonės	Galimos nepašalintos kliūtys
Įvertinkite suderinimą su esama skaitmenine ir sektorių politika.   Išvardykite nustatytas taikytinas skaitmeninės ir sektorių politikos sritis.	Pasiūlymu siekiama suderinti valdymą su naująja teisės aktų sistema, visų pirma kiek tai susiję su Reglamentu (EB) Nr. 765/200826.   Pasiūlymu siekiama sudaryti palankesnes sąlygas laikytis atitinkamų kibernetinio saugumo sektorių teisės aktų parengiant specialias Europos kibernetinio saugumo sertifikavimo schemas.	Nėra žinomų kliūčių
Įvertinkite organizacines priemones sklandžiam tarpvalstybinių skaitmeninių viešųjų paslaugų teikimui užtikrinti.  Išvardykite numatytas valdymo priemones.	Europos kibernetinio saugumo sertifikavimo grupė;   ENISA;  Ad hoc darbo grupės;  Europos kibernetinio saugumo sertifikavimo asamblėja;  Konsultacijos su suinteresuotaisiais subjektais, kai prašoma parengti Europos kibernetinio saugumo sertifikavimo schemas, jos rengiamos ir priimamos;  Komiteto procedūros dėl numatytų įgyvendinimo aktų, susijusių su Europos kibernetinio saugumo sertifikavimo schemomis.	Europos kibernetinio saugumo sertifikavimas yra savanoriškas, išskyrus atvejus, kai Europos teisės aktuose nurodyta kitaip.
Įvertinkite priemones, kurių imtasi siekiant užtikrinti bendrą duomenų supratimą.  Išvardykite šias priemones.	4.5 skirsnyje išvardyti įgyvendinimo aktai.	Europos kibernetinio saugumo sertifikavimas yra savanoriškas, išskyrus atvejus, kai Europos teisės aktuose nurodyta kitaip.
Įvertinkite, kaip naudojamos bendrai sutartos atvirosios techninės specifikacijos ir standartai.  Išvardykite šias priemones.	4.5 skirsnyje išvardyti įgyvendinimo aktai.  Nurodyti Europos kibernetinio saugumo sertifikavimo schemos reikalavimai turi atitikti Sąjungos teisės aktų reikalavimus.  Europos kibernetinio saugumo sertifikavimo schemose remiamasi tarptautiniais, Europos ar nacionaliniais standartais, taikomais atliekant vertinimą, arba, jei tokių standartų nėra arba jie nėra tinkami, ENISA parengtomis techninėmis specifikacijomis.	nėra duomenų

Viešai prieinamos interneto svetainės 

Vertinimas	Priemonės	Galimos nepašalintos kliūtys
Įvertinkite suderinimą su esama skaitmenine ir sektorių politika.   Išvardykite nustatytas taikytinas skaitmeninės ir sektorių politikos sritis.	Europos prieinamumo aktas ir Saityno prieinamumo direktyva  Kibernetinis saugumas	Nėra žinomų kliūčių
Įvertinkite organizacines priemones sklandžiam tarpvalstybinių skaitmeninių viešųjų paslaugų teikimui užtikrinti.  Išvardykite numatytas valdymo priemones.	nėra duomenų	nėra duomenų
Įvertinkite priemones, kurių imtasi siekiant užtikrinti bendrą duomenų supratimą.  Išvardykite šias priemones.		nėra duomenų
Įvertinkite, kaip naudojamos bendrai sutartos atvirosios techninės specifikacijos ir standartai.  Išvardykite šias priemones.		nėra duomenų

4.5.Skaitmeninio įgyvendinimo rėmimo priemonės

Skaitmeninio įgyvendinimo rėmimo priemonės suvestinis aprašas 

Priemonės aprašymas	Reikalavimo (-ų) nuoroda (-os)	Komisijos vaidmuo   (jei taikoma)	Įtrauktini subjektai  (jei taikoma)	Numatomas tvarkaraštis  (jei taikoma)
Komisijai suteikiami įgaliojimai, remiantis ENISA parengta patvirtinta potencialia schema, priimti įgyvendinimo aktus, kuriais nustatoma 80 ir 81 straipsniuose nustatytus reikalavimus atitinkanti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų arba subjektų kibernetinio saugumo būklės Europos kibernetinio saugumo sertifikavimo schema. Tas įgyvendinimo aktas priimamas laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	75 straipsnio 9 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus		nėra duomenų
Komisijai pagal 119 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, kuriais iš dalies keičiama šio straipsnio 1 dalis įtraukiant arba pakeičiant saugumo tikslus, taip siekiant užtikrinti, kad jie atspindėtų naujausią technologijų plėtrą ir naujas susijusias grėsmes, taip pat priimtus naujus Sąjungos teisės aktus, kuriais taikant Europos kibernetinio saugumo sertifikatą nustatoma atitikties prezumpcija tuose teisės aktuose nustatytiems atitinkamiems kibernetinio saugumo reikalavimams.	80 straipsnio 2 dalis	Komisijai suteikiami įgaliojimai priimti deleguotuosius aktus		nėra duomenų
Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomi visų Europos kibernetinio saugumo sertifikavimo schemų 1, 2 ir 3 dalyse nustatytų elementų bendrieji principai ir pavyzdinės nuostatos. Kai tinkama ir įmanoma, į Europos kibernetinio saugumo sertifikavimo schemą gali būti įtrauktos nuorodos į tuos principus ir pavyzdines nuostatas. Pirmoje pastraipoje nurodyti įgyvendinimo aktai priimami pagal 118 straipsnio 2 dalyje nurodytą nagrinėjimo procedūrą. Rengdama arba peržiūrėdama Europos kibernetinio saugumo sertifikavimo schemų elementų bendruosius principus ir pavyzdines nuostatas, Komisija konsultuojasi su ENISA ir prireikus atsižvelgia į EKSSG, atitinkamų suinteresuotųjų subjektų ir kitų atitinkamų įstaigų pareikštas nuomones.	81 straipsnio 5 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG	nėra duomenų
Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos šio straipsnio 4 dalyje nurodyto išankstinio patvirtinimo arba bendro įgaliojimo modelių procedūros. Rengdama tuos įgyvendinimo aktus Komisija gali konsultuotis su EKSSG. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	85 straipsnio 5 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus	EKSSG	nėra duomenų
Jei atitinkamos trečiosios valstybės schemos arba tarptautinės organizacijos schemos reikalavimai laikomi lygiaverčiais Europos kibernetinio saugumo sertifikavimo schemų reikalavimams, įgyvendinimo aktu arba sudarius Sąjungos ir atitinkamos trečiosios valstybės arba tarptautinės organizacijos susitarimą, trečiųjų valstybių išduoti IRT produktų, IRT paslaugų, IRT procesų, valdomų saugumo paslaugų ir subjektų kibernetinio saugumo būklės sertifikatai gali būti pripažinti lygiaverčiais Europos kibernetinio saugumo sertifikatams. Komisijai suteikiami įgaliojimai priimti tokius įgyvendinimo aktus. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	87 straipsnio 1 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus		nėra duomenų
Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriuose nustatomas ne mažiau kaip penkerių metų laikotarpiui skirtas tarpusavio peržiūros planas, nurodomi tarpusavio peržiūros grupės sudėties kriterijai, atliekant tarpusavio peržiūrą taikoma metodika, tvarkaraštis, periodiškumas ir kitos su tarpusavio peržiūra susijusios užduotys. Rengdama tuos įgyvendinimo aktus Komisija konsultuojasi su EKSSG ir ENISA. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	89 straipsnio 6 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus		nėra duomenų
Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos įgaliojimų suteikimo atitikties vertinimo įstaigoms procedūros, be kita ko, susijusios su tarpvalstybiniu bendradarbiavimu. Rengdama įgyvendinimo aktus Komisija gali konsultuotis su ENISA ir EKSSG. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	92 straipsnio 8 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus	Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) EKSSG	nėra duomenų
Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus, kuriais nustatomos šio straipsnio 1 dalyje nurodytų notifikavimų vykdymo aplinkybės, formatai ir procedūros, įskaitant kitų valstybių narių prieštaravimo procedūrą notifikavimo proceso metu, unikalų atitikties vertinimo įstaigų identifikavimą, taip pat notifikavimo apribojimo, sustabdymo ar atšaukimo aplinkybes. Tie įgyvendinimo aktai priimami laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.	93 straipsnio 3 dalis	Komisijai suteikiami įgaliojimai priimti įgyvendinimo aktus		nėra duomenų
Komisija pagal 100 straipsnį gali priimti įgyvendinimo aktus, kad nustatytų trečiąją valstybę, kuri kelia kibernetinio saugumo problemų IRT tiekimo grandinėms.	100 straipsnio 2 dalis Kibernetinio saugumo problemų keliančių trečiųjų valstybių nustatymas	Įgyvendinimo aktų priėmimas		nėra duomenų Tvarkaraščio nėra, tačiau įgyvendinimo aktai turėtų būti peržiūrimi reguliariai
Komisija gali priimti įgyvendinimo aktus, kuriais numatoma viena ar kelios 103 straipsnio 2 dalyje nurodytos rizikos mažinimo priemonės.	103 straipsnio 2 dalis Rizikos mažinimo priemonės IRT tiekimo grandinėje	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų Tvarkaraščio nėra, bet turi būti peržiūrima kas 36 mėnesius (laikantis 118 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.)
Komisija pagal 102 straipsnį gali priimti įgyvendinimo aktus, kad nustatytų Direktyvos (ES) 2022/2555 I ir II prieduose nurodytų rūšių subjektų produktams gaminti arba paslaugoms teikti naudojamą pagrindinį IRT turtą.	102 straipsnio 1 dalis Pagrindinio IRT turto nustatymas	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija gali priimti įgyvendinimo aktus, kuriais draudžiama pagrindiniam IRT turtui, nustatytam pagal 102 straipsnį, bet kokia forma naudoti, jame diegti ar integruoti IRT komponentus ar komponentus, kuriuose yra IRT komponentų, iš didelės rizikos tiekėjų, kaip nustatyta pagal 100 straipsnio 2 dalį.	103 straipsnio 1 dalis Rizikos mažinimo priemonės IRT tiekimo grandinėje	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija gali priimti įgyvendinimo aktus, kuriais nustatoma, kad Direktyvos (ES) 2022/2555 I ir II prieduose nurodytiems konkrečios rūšies subjektams draudžiama naudoti, diegti arba integruoti konkretaus subjekto IRT komponentus arba komponentus, kuriuose yra IRT komponentų.	103 straipsnio 7 dalis	Įgyvendinimo aktų priėmimas	Konsultacijos su valstybėmis narėmis ir atitinkamais subjektais	nėra duomenų
Komisija priima įgyvendinimo aktus, kuriais sudaromi didelės rizikos tiekėjų, susijusių su pagal 103 straipsnio 1 dalį priimtuose įgyvendinimo aktuose nustatytais draudimais arba 1110 straipsnio 1 dalyje nurodytu draudimu, sąrašai.	104 straipsnio 1 dalis	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija gali priimti įgyvendinimo aktus, kuriais patikslinamos105 straipsnio 2 dalies b punkte nurodytos sąlygos ir nustatomos išsamios taisyklės dėl 105 straipsnyje nurodytų procedūrų.	105 straipsnis Išimtis subjektams, įsisteigusiems kibernetinio saugumo problemų keliančioje trečiojoje valstybėje arba valdomiems joje esančių subjektų	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija gali priimti įgyvendinimo aktus, kuriais nustatomos išsamios su mokesčiais susijusios taisyklės, ir nurodomas mokesčių dydis bei jų mokėjimo būdas.	109 straipsnis Mokesčiai	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija priima įgyvendinimo aktus, kuriais nustatomi didelės rizikos tiekėjų tiekiamų IRT komponentų arba komponentų, kuriuose yra tokių IRT komponentų, laipsniško atsisakymo laikotarpiai, susiję su fiksuotojo ir palydovinio elektroninio ryšio tinklais.	110 straipsnio 4 dalis Judriojo, fiksuotojo ir palydovinio elektroninio ryšio tinklams skirtas pagrindinis IRT turtas	Įgyvendinimo aktų priėmimas	nėra duomenų	nėra duomenų
Komisija gali priimti deleguotuosius aktus pagal 119 straipsnį, kuriais iš dalies keičiamas šio reglamento II priedas siekiant jį pritaikyti prie technologijų raidos atsižvelgiant į 103 straipsnio 3 dalyje nurodytus elementus.	110 straipsnio 5 dalis	Deleguotųjų aktų priėmimas	nėra duomenų	nėra duomenų
7.    21 straipsnio 5 dalis iš dalies pakeičiama taip: a)    antra pastraipa pakeičiama taip: „Komisija gali priimti įgyvendinimo aktus, kuriais nustatomi 2 dalyje nurodytų priemonių būtinieji techniniai ir metodiniai reikalavimai, taip pat sektoriams taikomi reikalavimai, taikomi kitiems esminiams ir svarbiems subjektams nei nurodytieji šios dalies pirmoje pastraipoje. Komisija reguliariai vertina, ar siekiant pagerinti vidaus rinkos veikimą turi būti priimti šioje pastraipoje nurodyti įgyvendinimo aktai dėl konkrečių sektorių ar subjektų rūšių. Remdamasi tų vertinimų rezultatais, Komisija gali pasiūlyti tokius įgyvendinimo aktus nustatytiems sektoriams ar subjektų rūšims. Rengdama tokius vertinimus, Komisija daugiausia dėmesio skiria visų pirma tarpvalstybiniam sektorių ar subjektų rūšių pobūdžiui ir rengia atvirą, skaidrų ir įtraukų konsultavimosi su atitinkamais suinteresuotaisiais subjektais ir valstybėmis narėmis procesą.“; b)    po ketvirtos pastraipos įterpiama ši pastraipa: „Jei Komisija priima šios dalies pirmoje ir antroje pastraipose nurodytus įgyvendinimo aktus, valstybės narės subjektams, kuriems taikomi tie įgyvendinimo aktai, nenustato jokių papildomų Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje nurodytų priemonių techninių ar metodinių reikalavimų.“	Direktyvos 1 straipsnio 7 punktas  Kuo didesnis suderinimas	Komisija gali priimti įgyvendinimo aktus		nėra duomenų

(1)    ENISA, 2024 m. ENISA grėsmių panorama, https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, 2025 m. ENISA grėsmių panorama.

(3)    Europos Komisija, Europos konkurencingumo ateitis, https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN/2025/130 final.

(5)    COM/2025/148 final.

(6)    JOIN(2025) 977 final.

(7)    COM/2025/66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Komisijos įgyvendinimo reglamentas (ES) 2023/203 ir Komisijos deleguotasis reglamentas (ES) 2022/1645.

(11)    2023 m. rugsėjo 13 d. Europos Parlamento ir Tarybos reglamentas (ES) 2023/1781, kuriuo nustatoma Europos puslaidininkių ekosistemos stiprinimo priemonių sistema ir iš dalies keičiamas Reglamentas (ES) 2021/694, (Lustų aktas), OL L 229, 2023 9 18, p. 1–53.

(12)    Visų pirma direktyvos 2014/23/ES, 2014/24/ES ir 2014/25/ES.

(13)    Europos Komisija, Komisija skelbia kvietimą teikti informaciją ir viešas konsultacijas dėl viešųjų pirkimų direktyvų vertinimo, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en?prefLang=lt .

(14)    COM/2025/837 final.

(15)    JOIN/2023/20 final.

(16)    JOIN/2025/120 final.

(17)    JOIN/2025/977 final.

(18)     Reglamentas – 2019/881 – LT – EUR-Lex

(19)    Kibernetinių klausimų horizontalioji darbo grupė.

(20)    Reglamentas (ES) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    OL C , , p. . .

(25)    OL C , , p. . .

(26)    2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013, (Kibernetinio saugumo aktas) (OL L 151, 2019 6 7, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148, (TIS 2 direktyva) (OL L 333, 2022 12 27, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2557 dėl ypatingos svarbos subjektų atsparumo, kuria panaikinama Tarybos direktyva 2008/114/EB, (OL L 333, 2022 12 27, p. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    2024 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2024/2847 dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų produktams su skaitmeniniais elementais, kuriuo iš dalies keičiami reglamentai (ES) Nr. 168/2013 bei (ES) 2019/1020 ir Direktyva (ES) 2020/1828, (Kibernetinio atsparumo aktas) (OL L, 2024/2847, 2024 11 20, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    2024 m. gruodžio 19 d. Europos Parlamento ir Tarybos reglamentas (ES) 2025/38, kuriuo nustatomos solidarumo stiprinimo ir pajėgumo aptikti kibernetinio saugumo grėsmes ir incidentus Sąjungoje, jiems pasirengti ir į juos reaguoti didinimo priemonės ir iš dalies keičiamas Reglamentas (ES) 2021/694, (Kibernetinio solidarumo aktas) (OL L, 2025/38, 2025 1 15, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    OL C, C/2025/3445, 2025 6 20, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    5G tinklų kibernetinis saugumas. ES rizikos mažinimo priemonių rinkinys, TIS bendradarbiavimo grupė, 1/2020, paskelbta adresu https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Komisijos komunikatas Europos Parlamentui ir Tarybai „Kibernetinio saugumo srities talentų trūkumo problemos sprendimas siekiant didinti ES konkurencingumą ir atsparumą bei skatinti jos augimą“ (Kibernetinio saugumo įgūdžių akademija), COM(2023) 207 final, 2023 m. balandžio 18 d.

(34)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 ir (ES) 2016/1011, (OL L 333, 2022 12 27, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    2024 m. kovo 11 d. Komisijos deleguotasis reglamentas (ES) 2024/1366, kuriuo Europos Parlamento ir Tarybos reglamentas (ES) 2019/943 papildomas nustatant tinklo kodeksą dėl tarpvalstybinių elektros energijos srautų kibernetinio saugumo aspektų sektorinių taisyklių, (OL L, 2024/1366, 2024 5 24, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    2022 m. liepos 14 d. Komisijos deleguotasis reglamentas (ES) 2022/1645, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2018/1139 taikymo taisyklės, susijusios su Komisijos reglamentuose (ES) Nr. 748/2012 ir (ES) Nr. 139/2014 nurodytoms organizacijoms taikytinais informacijos saugumo rizikos, galinčios turėti įtakos aviacijos saugai, valdymo reikalavimais, ir kuriuo iš dalies keičiami Komisijos reglamentai (ES) Nr. 748/2012 ir (ES) Nr. 139/2014, (OL L 248, 2022 9 26, p. 18–31, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    2022 m. spalio 27 d. Komisijos įgyvendinimo reglamentas (ES) 2023/203, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2018/1139 taikymo taisyklės, susijusios su Komisijos reglamentuose (ES) Nr. 1321/2014, (ES) Nr. 965/2012, (ES) Nr. 1178/2011, (ES) 2015/340, Komisijos įgyvendinimo reglamentuose (ES) 2017/373 ir (ES) 2021/664 nurodytoms organizacijoms ir Komisijos reglamentuose (ES) Nr. 748/2012, (ES) Nr. 1321/2014, (ES) Nr. 965/2012, (ES) Nr. 1178/2011, (ES) 2015/340, Komisijos įgyvendinimo reglamentuose (ES) 2017/373, (ES) Nr. 139/2014 ir (ES) 2021/664 nurodytoms kompetentingoms institucijoms taikytinais informacijos saugumo rizikos, galinčios turėti įtakos aviacijos saugai, valdymo reikalavimais, ir kuriuo iš dalies keičiami Komisijos reglamentai (ES) Nr. 1178/2011, (ES) Nr. 748/2012, (ES) Nr. 965/2012, (ES) Nr. 139/2014, (ES) Nr. 1321/2014, (ES) 2015/340 ir Komisijos įgyvendinimo reglamentai (ES) 2017/373 ir (ES) 2021/664, (OL L 31, 2023 2 2, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    2019 m. rugsėjo 25 d. Komisijos įgyvendinimo reglamentas (ES) 2019/1583, kuriuo dėl kibernetinio saugumo priemonių iš dalies keičiamas Įgyvendinimo reglamentas (ES) 2015/1998, kuriuo nustatomos išsamios bendrųjų pagrindinių aviacijos saugumo standartų įgyvendinimo priemonės, (OL L 246, 2019 9 26, p. 15–18, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Komisijos komunikatas Europos Parlamentui, Tarybai, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui „Europos ligoninių ir sveikatos priežiūros paslaugų teikėjų kibernetinio saugumo veiksmų planas“, COM(2025) 10 final, 2025 m. sausio 15 d.

(40)    2023 m. gruodžio 13 d. Europos Parlamento ir Tarybos reglamentas (ES, Euratomas) 2023/2841, kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, (OL L, 2023/2841, 2023 12 18, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Komisijos komunikatas Europos Parlamentui, Tarybai, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui „„ProtectEU“ – Europos vidaus saugumo strategija“, COM(2025) 148 final, 2025 m. balandžio 1 d.

(42)    Bendras Komisijos komunikatas Europos Parlamentui, Tarybai, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui dėl ES pasirengimo krizėms strategijos, JOIN(2025) 130 final.

(43)    Bendras Komisijos komunikatas Europos Parlamentui ir Tarybai „ES ekonominio saugumo stiprinimas“, JOIN(2025) 977 final.

(44)    COM/2025/837 final.

(45)    2004 m. kovo 10 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 460/2004, įsteigiantis Europos tinklų ir informacijos apsaugos agentūrą, (OL L 77, 2004 3 13, p. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB, (OL L 257, 2014 8 28, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    2021 m. gegužės 20 d. Europos Parlamento ir Tarybos reglamentas (ES) 2021/887, kuriuo įsteigiamas Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras ir Nacionalinių koordinavimo centrų tinklas, (OL L 202, 2021 6 8, p. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Komisijos komunikatas Europos Parlamentui, Europos Vadovų Tarybai, Tarybai, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui Įgūdžių sąjunga, COM(2025) 90 final, 2025 m. kovo 5 d.

(49)    JOIN(2025) 791 final.

(50)    2024 m. rugsėjo 23 d. Europos Parlamento ir Tarybos reglamentas (ES, Euratomas) 2024/2509 dėl Sąjungos bendrajam biudžetui taikomų finansinių taisyklių (OL L, 2024/2509, 2024 9 26, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Europos individualūs kibernetinio saugumo įgūdžių atestavimo pažymėjimai turėtų būti suprantami kaip atitinkantys panašų požiūrį į tai, kas rinkoje pripažįstama kibernetinio saugumo sertifikatais. Tačiau, siekiant išvengti painiavos dėl Europos kibernetinio saugumo sertifikavimo sistemos, pirmenybė teikiama sąvokai „atestavimas“, kuri jau vartojama komunikate dėl Kibernetinio saugumo įgūdžių akademijos.

(52)

   Įgyvendinimo reglamentas – ES – 2025/1569.

(53)    Bendras požiūris, pridėtas prie 2012 m. liepos 19 d. priimto Europos Parlamento, ES Tarybos ir Europos Komisijos bendro pareiškimo dėl decentralizuotų agentūrų, pateikiamas adresu https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    2001 m. gegužės 30 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos dokumentais (OL L 145, 2001 5 31, p. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB, (OL L 295, 2018 11 21, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    2014 m. vasario 26 d. Europos Parlamento ir Tarybos direktyva 2014/24/ES dėl viešųjų pirkimų, kuria panaikinama Direktyva 2004/18/EB, (OL L 94, 2014 3 28, p. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148, (TIS 2 direktyva) (OL L 333, 2022 12 27, p. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    2024 m. sausio 31 d. Komisijos įgyvendinimo reglamentas (ES) 2024/482, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2019/881 taikymo taisyklės dėl bendraisiais kriterijais grindžiamos Europos kibernetinio saugumo sertifikavimo schemos (EKSSS) priėmimo, (OL L, 2024/482, 2024 2 7, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    2025 m. gruodžio 9 d. Komisijos įgyvendinimo reglamentas (ES) 2025/2540, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2019/881 taikymo taisyklės, susijusios su tarpusavio peržiūros plano nustatymu (OL L 2540, 2025 12 12, ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    2008 m. liepos 9 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 765/2008, nustatantis su gaminių prekyba susijusius akreditavimo ir rinkos priežiūros reikalavimus ir panaikinantis Reglamentą (EEB) Nr. 339/93, (OL L 218, 2008 8 13, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    2024 m. gruodžio 18 d. Komisijos įgyvendinimo reglamentas (ES) 2024/3143, kuriuo pagal Europos Parlamento ir Tarybos reglamento (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo 61 straipsnio 5 dalį nustatomos pranešimų teikimo aplinkybės, formatai ir procedūros, (OL L 3143, 2025 12 19, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    2025 m. ENISA grėsmių panorama, 2025 m. spalio mėn.

(64)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148, (TIS 2 direktyva) (OL L 333, 2022 12 27, p. 80–152, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    2024 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2024/2847 dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų produktams su skaitmeniniais elementais, kuriuo iš dalies keičiami reglamentai (ES) Nr. 168/2013 bei (ES) 2019/1020 ir Direktyva (ES) 2020/1828 (Kibernetinio atsparumo aktas) (OL L, 2024/2847, 2024 11 20, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng).

(66)    2025 m. gruodžio 3 d. bendras komunikatas Europos Parlamentui ir Tarybai „ES ekonominio saugumo stiprinimas“, JOIN(2025) 977 final.

(67)    2014 m. vasario 26 d. Europos Parlamento ir Tarybos direktyva 2014/24/ES dėl viešųjų pirkimų, kuria panaikinama Direktyva 2004/18/EB, (OL L 94, 2014 3 28, p. 65– 242, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj).

(68)    2014 m. vasario 26 d. Europos Parlamento ir Tarybos direktyva 2014/25/ES dėl subjektų, vykdančių veiklą vandens, energetikos, transporto ir pašto paslaugų sektoriuose, vykdomų pirkimų, kuria panaikinama Direktyva 2004/17/EB, (OL L 94, 2014 3 28, p. 243–374, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj).

(69)    2023 m. birželio 15 d. Komisijos komunikatas dėl 5G kibernetinio saugumo priemonių rinkinio įgyvendinimo, C(2023) 4049 final.

(70)    2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB, (OL L 295, 2018 11 21, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos sprendimas 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB, (OL L 316, 2012 11 14, p. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    2023 m. lapkričio 22 d. Europos Parlamento ir Tarybos reglamentas (ES) 2023/2675 dėl Sąjungos ir jos valstybių narių apsaugos nuo trečiųjų valstybių taikomos ekonominės prievartos (OL L, 2023/2675, 2023 12 7, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    OL L 56, 1968 3 4, p. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    2018 m. gruodžio 18 d. Komisijos deleguotasis reglamentas (ES) 2019/715 dėl finansinio pagrindų reglamento, taikomo organams, įsteigtiems pagal SESV ir Euratomo sutartį ir nurodytiems Europos Parlamento ir Tarybos reglamento (ES, Euratomas) 2018/1046 70 straipsnyje, (OL L 122, 2019 5 10, p. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    2013 m. rugsėjo 11 d. Europos Parlamento ir Tarybos reglamentas (ES, Euratomas) Nr. 883/2013 dėl Europos kovos su sukčiavimu tarnybos (OLAF) atliekamų tyrimų ir kuriuo panaikinami Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1073/1999 ir Tarybos reglamentas (Euratomas) Nr. 1074/1999 (OL L 248, 2013 9 18, p. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    OL L 136, 1999 5 31, p. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    1996 m. lapkričio 11 d. Tarybos reglamentas (Euratomas, EB) Nr. 2185/96 dėl Komisijos atliekamų patikrinimų ir inspektavimų vietoje siekiant apsaugoti Europos Bendrijų finansinius interesus nuo sukčiavimo ir kitų pažeidimų (OL L 292, 1996 11 15, p. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    2017 m. liepos 5 d. Europos Parlamento ir Tarybos direktyva (ES) 2017/1371 dėl kovos su Sąjungos finansiniams interesams kenkiančiu sukčiavimu baudžiamosios teisės priemonėmis (OL L 198, 2017 7 28, p. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Tarybos reglamentas Nr. 1, nustatantis kalbas, kurios turi būti vartojamos Europos ekonominėje bendrijoje, (OL 17, 1958 10 6, p. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    2015 m. kovo 13 d. Komisijos sprendimas (ES, Euratomas) 2015/443 dėl saugumo Komisijoje (OL L 72, 2015 3 17, p. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    2015 m. kovo 13 d. Komisijos sprendimas (ES, Euratomas) 2015/444 dėl ES įslaptintos informacijos apsaugai užtikrinti skirtų saugumo taisyklių (OL L 72, 2015 3 17, p. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148, (TIS 2 direktyva) (OL L 333, 2022 12 27, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    2008 m. rugsėjo 24 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1008/2008 dėl oro susisiekimo paslaugų teikimo Bendrijoje bendrųjų taisyklių (nauja redakcija) (OL L 293, 2008 10 31, p. 3–20, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/eng).

(84)    Kaip nurodyta Finansinio reglamento 58 straipsnio 2 dalies a arba b punkte.

(85)     Politinės gairės, 2024 m.

(86)     Vykdomosios Komisijos pirmininko pavaduotojos H. Virkkunen įgaliojamasis raštas.  

(87)     Sauli Niinistö pranešimas.

(88)     M. Draghi pranešimas dėl ES konkurencingumo.

(89)     Enrico Lettos pranešimas „Much more than a market“ („Daug daugiau nei rinka“) (2024 m. balandžio mėn).

(90)    Pridėti, kai bus paskelbta.

(91)     ES kibernetinio saugumo aktas | EUR-Lex.

(92)     Sąjungos bendrajam biudžetui taikomas finansinis reglamentas (nauja redakcija). ES leidinių biuras.

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf.  

(94)     Deleguotasis reglamentas 2019/715, LT – EUR-Lex.

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj.  

(96)     CNECT_AAR_2024_final.

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf.

(99)    DA – diferencijuotieji asignavimai, NDA – nediferencijuotieji asignavimai.

(100)    ELPA – Europos laisvosios prekybos asociacija.

(101)    Valstybių kandidačių ir, kai taikoma, Vakarų Balkanų potencialių kandidatų.

(102)    Atlikti darbai – tai būsimi produktai ir paslaugos (pvz., finansuota studentų mainų, nutiesta kelių kilometrų ir kt.).

(103)    Apibūdinta 1.3.2 skirsnyje „Konkretus tikslas (-ai) ...“.

(104)    Po lentele nurodykite, kiek etato ekvivalentų iš nurodyto skaičiaus jau paskirti veiksmui valdyti ir (arba) gali būti perskirstyti jūsų generaliniame direktorate ir kokie yra jūsų grynieji poreikiai.

(105)    Tradiciniai nuosavi ištekliai (muitai, cukraus mokesčiai) turi būti nurodomi grynosiomis sumomis, t. y. iš bendros sumos atskaičius 20 % surinkimo sąnaudų.

(106)     Decision RR-02: Price list of SNAS services :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf . 

(107)    Konkrečiai, apskaičiuojant priežiūrą atsižvelgiama į du fizinius susitikimus su ekspertais per metus (100 000 EUR), išlaidas rangovams, padedantiems rengti ir peržiūrėti schemos patvirtinamuosius dokumentus, sertifikavimo schemų naudojimą, paramą tarpusavio vertinimams ir atitikties vertinimų įgyvendinimą (4 x 15 000 = 60 000 EUR). Išlaidos taip pat apima EITP platformos veiklos dalį ir ENISA sertifikavimo svetainę (40 000 EUR).