KOMISJA EUROPEJSKA

Strasburg, dnia 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Wniosek

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejskich ram certyfikacji cyberbezpieczeństwa i bezpieczeństwa łańcucha dostaw ICT oraz uchylenia rozporządzenia (UE) 2019/881 (drugi akt o cyberbezpieczeństwie)

(Tekst mający znaczenie dla EOG)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

UZASADNIENIE

1.KONTEKST WNIOSKU

•Przyczyny i cele wniosku

W tym kontekście istnieją cztery główne problemy, którym ma zaradzić proponowana zmiana aktu o cyberbezpieczeństwie: (i) rozbieżności między unijnymi ramami polityki cyberbezpieczeństwa a potrzebami zainteresowanych stron w coraz bardziej nieprzyjaznym krajobrazie zagrożeń; (ii) wstrzymanie wdrażania europejskich ram certyfikacji cyberbezpieczeństwa; (iii) złożoność i różnorodność polityk związanych z cyberbezpieczeństwem mających wpływ na stan cyberbezpieczeństwa w Unii; oraz (iv) zwiększenie ryzyka związanego z bezpieczeństwem łańcuchów dostaw ICT.

Na podstawie zidentyfikowanych problemów dwoma ogólnymi celami interwencji są zwiększenie zdolności i odporności w zakresie cyberbezpieczeństwa oraz zapobieganie fragmentacji jednolitego rynku poprzez:

·przyczynianie się do wzmocnienia zarządzania cyberbezpieczeństwem w Unii oraz pomoc w zapewnieniu, aby odpowiednie instytucje, organy i inne zainteresowane strony były lepiej przygotowane do zapobiegania zagrożeniom cyberbezpieczeństwa, wykrywania ich i reagowania na nie w skoordynowany i skuteczny sposób; oraz

·wspieranie opracowywania, wdrażania i upowszechniania wspólnych unijnych instrumentów w zakresie cyberbezpieczeństwa, takich jak programy certyfikacji, oraz zapewnianie zharmonizowanych ram, które budują zaufanie i interoperacyjność we wszystkich państwach członkowskich.

Te ogólne cele stanowią odpowiedź na kluczowe wyzwania określone w definicji problemu. Odzwierciedlają one nadrzędny cel polityczny, jakim jest poprawa zarządzania cyberbezpieczeństwem w Unii i wspieranie rozwoju bezpiecznego, odpornego i konkurencyjnego jednolitego rynku cyfrowego.

Aby pomóc w osiągnięciu wyżej wymienionych celów ogólnych, interwencja ta służy realizacji następujących celów szczegółowych (CS):

·wyeliminowanie rozbieżności między unijnymi ramami polityki cyberbezpieczeństwa a potrzebami zainteresowanych stron;

·CS1: stworzenie zdolności w zakresie skutecznego wdrażania unijnej polityki cyberbezpieczeństwa i ciągłej współpracy operacyjnej umożliwiającej bardziej ustrukturyzowaną współpracę między państwami członkowskimi;

·CS2: opracowanie i wdrożenie środków i mechanizmów służących skutecznemu wspieraniu państw członkowskich, przemysłu i innych zainteresowanych stron oraz zaspokajaniu ich potrzeb;

·rozwiązanie problemu ograniczonego wykorzystania i skuteczności europejskich ram certyfikacji cyberbezpieczeństwa;

·CS3: stworzenie warunków wstępnych dla szybszej realizacji programów certyfikacji cyberbezpieczeństwa w oparciu o potrzeby rynku za pośrednictwem rozszerzenia zakresu europejskich ram certyfikacji cyberbezpieczeństwa, zapewnienia skutecznego utrzymania i sprawnych procedur oraz zwiększenia przejrzystości.

·rozwiązanie problemu rozdrobnienia w zakresie zgodności oraz złożoności ram horyzontalnych i sektorowych:

·CS4: stworzenie mechanizmów i warunków ułatwiających przestrzeganie wymogów w zakresie cyberbezpieczeństwa, co sprawi, że ich wdrażanie stanie się bardziej spójne i skuteczne; 

·przeciwdziałanie ryzyku w cyberprzestrzeni w łańcuchu dostaw:

·CS5: ograniczanie ryzyka związanego z krytycznymi łańcuchami dostaw ICT ze strony podmiotów mających siedzibę w państwach trzecich budzących obawy związane z cyberbezpieczeństwem (dostawców wysokiego ryzyka) lub kontrolowanych przez takie podmioty oraz zmniejszanie krytycznych zależności poprzez opracowanie spójnych i skutecznych ram na szczeblu UE w celu przeciwdziałania ryzyku związanemu z bezpieczeństwem łańcucha dostaw ICT.

Zmiana aktu o cyberbezpieczeństwie wchodzi w zakres programu sprawności i wydajności regulacyjnej (REFIT). W znacznym stopniu przyczynia się on do zwiększenia jasności, usunięcia nieefektywności i ujednolicenia procedur we wszystkich ramach prawnych. Zmiana aktu o cyberbezpieczeństwie przyczynia się do właściwego funkcjonowania rynku wewnętrznego przy jednoczesnym zapewnieniu bezpieczeństwa i autonomii strategicznej Unii.

Konkretnie proponuje się w niej pełną reformę mandatu Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), zapewniającą skuteczne wsparcie wdrażania polityki i wartość dodaną pod względem wspierania współpracy operacyjnej między państwami członkowskimi.

Biorąc pod uwagę rosnące ryzyko w cyberprzestrzeni i wyzwania w tym zakresie, przed którymi stoi Unia, wniosek ma na celu zwiększenie zasobów finansowych i ludzkich ENISA, aby odzwierciedlić jej zwiększoną rolę, zadania i kluczową pozycję w obronie ekosystemu cyfrowego Unii, co umożliwi ENISA skuteczne wykonywanie zadań powierzonych jej w niniejszym wniosku.

Zmiana ta przyczyni się również do wyeliminowania rozdrobnionych praktyk, poprawy koordynacji przy jednoczesnym obniżeniu kosztów zapewnienia zgodności z przepisami i kosztów operacyjnych w perspektywie długoterminowej. Dzięki uchyleniu obecnego aktu o cyberbezpieczeństwie i wprowadzeniu zreformowanych europejskich ram certyfikacji cyberbezpieczeństwa wniosek zapewnia skuteczniejsze i wydajniejsze narzędzie, które zarówno promuje zaufanie wśród przedsiębiorstw, ogółu społeczeństwa i organów publicznych, jak i ułatwia przestrzeganie odpowiednich przepisów Unii. Przyczynia się to do zwiększenia skuteczności dzięki zmianie modelu zarządzania i wspieraniu bardziej przewidywalnych, spójnych i sprawnych procedur certyfikacji umożliwiających szybsze opracowywanie i wdrażanie programów.

Większa synergia z odpowiednimi obowiązującymi unijnymi ramami prawnymi będzie wspierać certyfikację jako narzędzie służące zapewnieniu zgodności przedsiębiorstw z przepisami oraz zmniejszy obciążenie administracyjne jednostek oceniających zgodność działających na podstawie wielu aktów prawnych dotyczących cyberbezpieczeństwa. Ponadto dzięki rozszerzeniu zakresu europejskich ram certyfikacji cyberbezpieczeństwa i umożliwieniu opracowania programu dotyczącego stanu cyberbezpieczeństwa podmiotów wniosek przyczynia się do zmniejszenia kosztów zapewnienia zgodności z przepisami ponoszonych przez podmioty podlegające odpowiednim unijnym przepisom dotyczącym cyberbezpieczeństwa, począwszy od podmiotów objętych zakresem dyrektywy NIS 2. Podejście to znacznie uprości obowiązki regulacyjne podmiotów podlegających wielu wymogom dotyczącym zgodności i zapewni skuteczniejsze wykorzystanie zasobów przez organy krajowe. Oprócz tej zmiany wniosek dotyczący dyrektywy wprowadzającej ukierunkowane zmiany do dyrektywy NIS 2 ma na celu uproszczenie przestrzegania określonych aspektów ram cyberbezpieczeństwa oraz zapewnienie ich sprawnego i spójnego wdrażania, w tym w odniesieniu do zakresu, definicji, zgłaszania oprogramowania szantażującego i nadzoru nad podmiotami świadczącymi usługi transgraniczne.

Nowe rozporządzenie przyczynia się również do utworzenia zharmonizowanych ram przeciwdziałania ryzyku pozatechnicznemu mającemu wpływ na łańcuchy dostaw ICT, zmniejszając obecne rozdrobnienie podejść w poszczególnych państwach członkowskich. Łącznie aspekty te stanowią znaczne uproszczenie i modernizację unijnych ram prawnych w zakresie cyberbezpieczeństwa, w pełni przestrzegając zasad REFIT dotyczących jasności, efektywności i gotowości cyfrowej.

•Spójność z przepisami obowiązującymi w tej dziedzinie polityki

Unia rozszerzyła zestaw swoich narzędzi prawnych i politycznych, przyjmując szereg instrumentów prawnych i środków z zakresu polityki: (i) dyrektywa NIS 2 służy wzmocnieniu cyberbezpieczeństwa infrastruktury krytycznej; (ii) środki bezpieczeństwa fizycznego zdefiniowano w powiązanej dyrektywie, tj. dyrektywie w sprawie odporności podmiotów krytycznych (dyrektywa CER); (iii) akt dotyczący cyberodporności zwiększa cyberbezpieczeństwo produktów; (iv) akt w sprawie cybersolidarności umożliwia budowanie ogólnounijnych zdolności reagowania; (v) unijny plan działania na rzecz cyberbezpieczeństwa 7 wspiera współpracę w zakresie zarządzania kryzysowego na szczeblu UE, w ramach której Komisja i wysoki przedstawiciel odgrywają kluczową rolę w przygotowaniu się na incydenty w cyberbezpieczeństwie na dużą skalę i reagowaniu na nie; (vi) unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G wspiera cyberbezpieczeństwo w sieciach 5G; (vii) europejski plan działania w sprawie cyberbezpieczeństwa szpitali i świadczeniodawców 8 przyczynia się do poprawy ich stanu cyberbezpieczeństwa; oraz (viii) Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa 9 umożliwia sprostanie rosnącemu wyzwaniu, jakim jest niedobór talentów w dziedzinie cyberbezpieczeństwa.

•Spójność z innymi politykami Unii

2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ

•Podstawa prawna

•Pomocniczość (w przypadku kompetencji niewyłącznych)

Działania objęte proponowanym rozporządzeniem zapewniają wyraźną wartość dodaną poprzez wspieranie harmonizacji, jasności prawa i skoordynowanych reakcji na wyzwania związane z cyberbezpieczeństwem.

•Proporcjonalność

•Wybór instrumentu

3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW

•Oceny ex post/oceny adekwatności obowiązującego prawodawstwa

·Adekwatność: adekwatność ENISA w dziedzinie cyberbezpieczeństwa podkreśla jej zdolność reagowania na zmieniające się potrzeby zainteresowanych stron i zdolność dostosowania się do zmieniającego się krajobrazu. Chociaż poziom zadowolenia zainteresowanych stron jest zasadniczo pozytywny, istnieją możliwości zwiększenia wpływu ENISA. Można to osiągnąć, zwiększając wsparcie i widoczność różnych sektorów, w szczególności małych i średnich przedsiębiorstw (MŚP), które często mają trudności ze spełnieniem wymogów w zakresie cyberbezpieczeństwa. Niezbędna jest lepsza organizacja zasobów i lepsza koordynacja z organami krajowymi. Zmiana priorytetów działań i optymalizacja istniejących zasobów pozwolą lepiej dostosować ENISA do dynamicznych potrzeb europejskiego krajobrazu cyberbezpieczeństwa.

Jeżeli chodzi o europejskie ramy certyfikacji cyberbezpieczeństwa, pomimo ich obiecujących założeń, nadal uważa się, że ramy te mają większy potencjał niż tylko wywieranie skutków praktycznych, ponieważ w ostatnim czasie uruchomiono tylko jeden program certyfikacji. Ramy te zaprojektowano tak, aby mogły płynnie integrować się z innymi aktami prawnymi Unii, usprawnić procedury i ułatwić handel transgraniczny. Ich znaczenie jest podkreślane w obszarach o wysokim poziomie uzasadnienia zaufania, takich jak usługi w chmurze i infrastruktura 5G.

·Skuteczność: ENISA z powodzeniem zrealizowała swój mandat, dostarczając niemal wszystkie planowane wyniki, wykazując elastyczność i odporność podczas kryzysów, takich jak pandemia COVID-19 oraz rosyjska wojna napastnicza przeciwko Ukrainie. Aby zwiększyć efektywność, konieczne są jednak lepsze ustalanie priorytetów, wyraźne ukierunkowanie i strategiczna alokacja zasobów. Bardziej elastyczne podejście do zarządzania wewnętrznego ma zasadnicze znaczenie dla dostosowania się do zmieniających się wymogów w zakresie cyberbezpieczeństwa i zminimalizowania opóźnień.

Europejskie ramy certyfikacji cyberbezpieczeństwa miały na celu harmonizację certyfikacji cyberbezpieczeństwa w całej Unii, ale napotkały poważne wyzwania, w tym ograniczenia proceduralne i rozdrobnienie, które doprowadziły do opóźnień i nieefektywności, takich jak opóźnienie w przyjęciu europejskiego programu certyfikacji cyberbezpieczeństwa opartego na wspólnych kryteriach (EUCC). Czynniki zewnętrzne, takie jak napięcia geopolityczne i pandemia COVID-19, jeszcze bardziej skomplikowały osiągnięcie celów europejskich ram certyfikacji cyberbezpieczeństwa, co uwypukliło potrzebę przyjęcia elastycznych środków i spójnej alokacji zasobów między zainteresowane strony w celu osiągnięcia jednolitości i skuteczności certyfikacji cyberbezpieczeństwa. Pomimo tych przeszkód odnotowano pozytywne wyniki – w szczególności w zakresie podnoszenia świadomości wśród państw członkowskich na temat znaczenia i złożoności certyfikacji cyberbezpieczeństwa.

·Efektywność: ENISA działała skutecznie w ramach swojej struktury organizacyjnej opartej na matrycy, propagując współpracę i hierarchizację zadań. ENISA stanęła jednak w obliczu wyzwań związanych z zaspokojeniem rosnącego zapotrzebowania i obsadzaniem specjalistycznych stanowisk, spotęgowanych globalnym niedoborem specjalistów w dziedzinie IT, co doprowadziło do opóźnień i dużego obciążenia pracą. Aby rozwiązać te problemy, ENISA mogłaby zoptymalizować swoją wewnętrzną siłę roboczą i skutecznie realokować zasoby, o czym świadczą strategiczne dostosowania, takie jak przesunięcie zasobów w 2022 r. w kierunku działania na rzecz wsparcia cyberbezpieczeństwa. Ponadto poprawa zarządzania budżetem i ograniczenie wydatków administracyjnych jeszcze bardziej poprawiłyby skuteczność operacyjną Agencji.

Efektywność europejskich ram certyfikacji cyberbezpieczeństwa była krytykowana ze względu na wydłużone terminy przyjmowania programów certyfikacji cyberbezpieczeństwa i złożoność tych programów, przy czym pierwszy program przyjęto dopiero na początku 2024 r., niemal pięć lat po przyjęciu aktu o cyberbezpieczeństwie. Do opóźnień przyczyniły się wyzwania polityczne i techniczne, takie jak debaty na temat suwerenności danych i trudności w przekładaniu projektów na akty prawne. Postępy utrudniały wyzwania polityczne i wymagania techniczne, co widać na przykładzie unijnego programu certyfikacji cyberbezpieczeństwa dla usług w chmurze (EUCS) i unijnego programu sieci 5G. Pomimo tych nieefektywności ramy te przyczyniły się do pojawienia się kilku pozytywnych aspektów. Nadal istnieje jednak potrzeba poprawy zaangażowania zainteresowanych stron i zarządzania wewnętrznego, aby zapewnić optymalne funkcjonowanie i wkład strategiczny.

·Spójność: do spójności ENISA przyczynia się znaczne zaangażowanie zainteresowanych stron oraz zgodność z najnowszymi ramami prawnymi. Aby jednak zwiększyć spójność i alokację zasobów, konieczne jest zwiększenie synergii z innymi organami Unii, takimi jak Europejskie Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa (ECCC), oraz z organami krajowymi. Należy również usprawnić komunikację wewnętrzną i zarządzanie zasobami w ramach ENISA, a także przejrzyste interakcje z zainteresowanymi stronami z sektora prywatnego. Wyraźne określenie zadań ENISA, zgodne z aktem dotyczącym cyberodporności i dyrektywą NIS 2, poprawi zarówno skuteczność, jak i spójność regulacyjną.

Jeżeli chodzi o europejskie ramy certyfikacji cyberbezpieczeństwa, pełna spójność z innymi instrumentami ustawodawczymi Unii, w tym dyrektywą NIS 2 i aktem dotyczącym cyberodporności, ma kluczowe znaczenie dla zapewnienia jednolitego podejścia do cyberbezpieczeństwa. Chociaż europejskie ramy certyfikacji cyberbezpieczeństwa są teoretycznie zgodne z tymi środkami ustawodawczymi, ich integracja w praktyce pozostaje złożona i wymaga starannego nadzoru. Wdrożenie przyjętego europejskiego programu certyfikacji cyberbezpieczeństwa opartego na wspólnych kryteriach w ramach aktu dotyczącego cyberodporności będzie stanowić istotny sprawdzian w tym zakresie.

·Unijna wartość dodana: ENISA wniosła istotny wkład w unijny ekosystem cyberbezpieczeństwa, propagując współpracę i dostosowując praktyki. Jej rola w ułatwianiu działań krajowych oraz dostarczaniu informacji na temat pojawiających się zagrożeń miała zasadnicze znaczenie. Krytyka ze strony zainteresowanych stron z sektora prywatnego dotycząca potrzeby bardziej dostosowanego wsparcia wskazuje jednak na potrzebę większego zaangażowania zainteresowanych stron i współpracy przemysłu. Strategiczna ponowna ocena zarządzania zasobami umożliwiłaby ENISA lepsze dostosowanie się do zmieniających się wyzwań w zakresie cyberbezpieczeństwa i skuteczniejsze wspieranie różnych zainteresowanych stron. Europejskie ramy certyfikacji cyberbezpieczeństwa miały na celu wprowadzenie zharmonizowanych procesów certyfikacji, ale napotkały trudności w realizacji z powodu wydłużonych terminów i fragmentacji. Wartość dodana europejskich ram certyfikacji cyberbezpieczeństwa była ograniczona ze względu na niedociągnięcia w osiąganiu ich celów i brak skuteczności. Pomimo tych wyzwań europejskie ramy certyfikacji cyberbezpieczeństwa poprawiły harmonizację między państwami członkowskimi i stworzyły lepsze możliwości współpracy, w szczególności poprzez tworzenie forów współpracy zainteresowanych stron, takich jak Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa (ECCG).

•Konsultacje z zainteresowanymi stronami

W latach 2023–2025 przeprowadzono szereg konsultacji z zainteresowanymi stronami zarówno w kontekście oceny aktu o cyberbezpieczeństwie, jak i zmiany aktu o cyberbezpieczeństwie, jak przedstawiono poniżej.

–W 2023 r. przeprowadzono 65 rozmów (z czego 52 dotyczyły głównie ENISA, a 13 przede wszystkim europejskich ram certyfikacji cyberbezpieczeństwa), przeprowadzono program badań, w ramach którego otrzymano 209 odpowiedzi (z czego 70 dotyczyło europejskich ram certyfikacji cyberbezpieczeństwa), zakończono konsultacje publiczne oraz zorganizowano dwa warsztaty poświęcone analizie SWOT (mocne i słabe strony, szanse i zagrożenia) oraz zaleceniom, z udziałem odpowiednio 26 i 70 uczestników. Działania te miały w szczególności na celu zebranie opinii zainteresowanych stron w celu oceny wpływu, skuteczności i efektywności ENISA. W grudniu 2024 r. ukończono sprawozdanie końcowe z badania wspierającego ocenę Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) i europejskich ram certyfikacji cyberbezpieczeństwa przeprowadzonego na zlecenie Komisji przez PwC, Intellera Consulting i PPMI (2024). 

–W 2025 r. Komisja ogłosiła zaproszenie do zgłaszania uwag. W szczególności zainteresowane strony wezwano do przedstawienia pisemnych uwag, w tym stanowisk, sprawozdań technicznych lub uwag na temat konkretnych propozycji reform.  Otrzymano łącznie 184 indywidualne uwagi od szerokiego grona zainteresowanych stron, w tym stowarzyszeń branżowych, przedsiębiorstw zajmujących się cyberbezpieczeństwem, MŚP, instytucji akademickich i organizacji interesu publicznego.

–W okresie od kwietnia do czerwca 2025 r. Komisja zorganizowała konsultacje publiczne w ramach zmiany aktu o cyberbezpieczeństwie i otrzymała 193 odpowiedzi. Konsultacje obejmowały 38 pytań, zarówno zamkniętych, jak i otwartych, dotyczących mandatu ENISA, europejskich ram certyfikacji cyberbezpieczeństwa, bezpieczeństwa łańcucha dostaw ICT oraz uproszczenia.

–Ukierunkowane konsultacje (rozmowy): przeprowadzono serię częściowo ustrukturyzowanych rozmów z wybranymi zainteresowanymi stronami. Wśród nich znaleźli się przedstawiciele ENISA, a także krajowe organy publiczne, które opracowały krajowe platformy sprawozdawcze lub zarządzają nimi. Rozmowy dotyczyły przede wszystkim roli i zdolności ENISA, funkcjonowania operacyjnego europejskich ram certyfikacji cyberbezpieczeństwa, praktycznych wyzwań związanych z dostosowaniem krajowych i unijnych procesów certyfikacji, obciążeń sprawozdawczych oraz przeszkód we wdrażaniu. Dyskusje te dostarczyły jakościowych spostrzeżeń, które wzbogaciły interpretację wyników konsultacji publicznych i pomogły w udoskonaleniu wariantów strategicznych.

–Konsultacje z przedstawicielami państw członkowskich w ramach grupy roboczej Rady 19 oraz w dyskusjach dwustronnych, podczas których państwa członkowskie mogłyby wyrazić swoje opinie na temat przeglądu aktu o cyberbezpieczeństwie.

–Ukierunkowane konsultacje (grupy ds. europejskich ram certyfikacji cyberbezpieczeństwa – Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa (ECCG), Grupa Interesariuszy ds. Certyfikacji Cyberbezpieczeństwa (SCCG)): Komisja, jako przewodnicząca obu grup, przedstawiła stan prac nad zmianą aktu o cyberbezpieczeństwie na posiedzeniach ECCG w dniach 12 marca i 3 lipca 2025 r. oraz na posiedzeniu SCCG w dniu 17 marca 2025 r. Ponadto za pośrednictwem kwestionariuszy zebrano dodatkowe opinie ekspertów będących członkami ECCG.

·mandatu i roli operacyjnej ENISA, w tym wsparcia dla państw członkowskich i wiedzy fachowej w zakresie powstających technologii;

·skuteczności europejskich ram certyfikacji cyberbezpieczeństwa, w tym procesów zarządzania i rozwoju;

·złożoności i rozdrobnienia obowiązków w zakresie cyberbezpieczeństwa, ze szczególnym uwzględnieniem obciążeń sprawozdawczych i potencjalnego uproszczenia;

·proporcjonalności wymogów dotyczących MŚP oraz możliwości stosowania różnych ścieżek zapewniania zgodności z przepisami; oraz

·społecznych i gospodarczych skutków zharmonizowanych przepisów dotyczących cyberbezpieczeństwa, w tym skutków dla konsumentów, praw, innowacji i konkurencyjności.

•Ocena skutków

Ostateczny wniosek dotyczący polityki nie różni się od wariantów ocenionych w ramach oceny skutków.

Warianty mające na celu wyeliminowanie rozbieżności między unijnymi ramami polityki cyberbezpieczeństwa a potrzebami zainteresowanych stron w coraz bardziej nieprzyjaznym środowisku

Warianty dotyczące europejskich ram certyfikacji cyberbezpieczeństwa

Wariant B.1: Doprecyzowanie zakresu, elementów i celów europejskich ram certyfikacji cyberbezpieczeństwa oraz wprowadzenie mechanizmu utrzymania – wariant ten przewidywałby nowy mechanizm utrzymania programów, po ich przyjęciu, który miałby być wdrażany przez ENISA.

Wariant B.2: Reforma europejskich ram certyfikacji cyberbezpieczeństwa poprzez zmianę ich procedur i rozszerzenie zakresu w celu ułatwienia uproszczenia przestrzegania przepisów – wariant ten uchyliłby akt o cyberbezpieczeństwie i zastąpiłby go nowym rozporządzeniem. Oprócz wariantu B.1 zmieniono by procedury dotyczące wniosków, opracowywania i przyjmowania programów w celu poprawy rozliczalności i skuteczności.

Wariant B.3: Reforma europejskich ram certyfikacji cyberbezpieczeństwa przewidziana w wariancie B.2 i wprowadzenie obowiązkowej certyfikacji w zakresie stanu cyberbezpieczeństwa – wariant ten opierałby się na wariancie B.2, ale miałby na celu dalsze zwiększenie wpływu ram poprzez wprowadzenie obowiązkowej certyfikacji podmiotów kluczowych z uwzględnieniem konkretnych scenariuszy ryzyka, zamiast polegania wyłącznie na dobrowolnej certyfikacji podmiotów.

Warianty dotyczące uproszczenia

Wariant C.1: Przyjęcie podejścia opartego na prawie miękkim i instrumentach o charakterze nieustawodawczym, w tym wykorzystanie istniejących uprawnień (przyjęcie aktów wykonawczych na podstawie art. 21 ust. 5 i art. 23 ust. 11 dyrektywy NIS 2) – wariant ten przewiduje przyjęcie aktów wykonawczych z wykorzystaniem istniejących uprawnień na mocy dyrektywy NIS 2 w celu zapewnienia wyższego stopnia harmonizacji środków zarządzania ryzykiem w cyberprzestrzeni, progów zgłaszania incydentów, a także rodzaju informacji, formatów i procedury notyfikowania. Przewidziano w nim również przyjęcie zestawu wytycznych w celu zwiększenia pewności prawa i zharmonizowanego wdrażania.

Wariant C.2: Ukierunkowana interwencja – dalsze uproszczenie zgodności z odpowiednimi unijnymi ramami prawnymi dotyczącymi cyberbezpieczeństwa – wariant ten obejmuje ograniczoną interwencję poprzez zmiany w akcie o cyberbezpieczeństwie i dyrektywie NIS 2 w celu uproszczenia konkretnych aspektów ram cyberbezpieczeństwa, w tym dostosowania zakresu, maksymalnej harmonizacji aktów wykonawczych, dowodu zgodności w drodze certyfikacji oraz przyjęcia zestawu wytycznych przewidzianych w wariancie C.1.

Wariant D.1: Przyjęcie podejścia opartego na prawie miękkim w celu przeciwdziałania ryzyku w cyberprzestrzeni związanemu z łańcuchami dostaw ICT – wariant ten nie przewidywałby interwencji regulacyjnej na szczeblu UE. Zamiast tego Komisja zwiększyłaby liczbę skoordynowanych ocen ryzyka oraz dobrowolnych zestawów narzędzi.

Wariant D.2: Interwencja regulacyjna ad hoc kodyfikująca unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G – wariant ten kodyfikowałby środki dotyczące unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G. Na państwa członkowskie nałożono by obowiązek zagwarantowania, że komponenty pochodzące od dostawców wysokiego ryzyka nie będą wykorzystywane w kluczowych zasobach sieci.

Taki zestaw zapewnia wyważoną reakcję na zidentyfikowane wyzwania w zakresie polityk publicznych, znacznie zwiększając skuteczność, efektywność i spójność w całej Unii.

Jednocześnie oczekuje się, że uproszczone i ograniczone obowiązki w zakresie przestrzegania przepisów przyniosą przedsiębiorstwom oszczędności kosztów w wysokości do 15,3 mld EUR w ciągu pięciu lat. Ponadto poprawa ogólnego stanu cyberbezpieczeństwa Unii i suwerenności technologicznej oraz stymulowanie innowacji i konkurencyjności przyniosłyby znaczne korzyści ogółowi społeczeństwa, organom publicznym i przedsiębiorstwom. Oczekuje się, że w perspektywie długoterminowej w dużej mierze zrównoważy to początkowe wydatki.

Dzięki zmniejszeniu fragmentacji rynku i harmonizacji wymogów regulacyjnych preferowane warianty stwarzają bardziej równe warunki konkurencji w całej Unii, zapewniając przedsiębiorstwom jaśniejsze ścieżki zapewnienia zgodności z przepisami i innowacji.

•Sprawność regulacyjna i uproszczenie

•Prawa podstawowe

Wniosek ustawodawczy oceniono na podstawie jego potencjału w zakresie wzmocnienia lub naruszenia praw podstawowych oraz wspierania równości i zaufania, ze szczególnym uwzględnieniem skutków społecznych i praw, w tym ochrony prywatności, ochrony danych oraz zdolności osób fizycznych do rozumienia, wykonywania i egzekwowania swoich praw.

Rozszerzenie mandatu ENISA przyczyni się do zwiększenia cyberodporności w całej gospodarce i w całym społeczeństwie, co z kolei pozwoli lepiej chronić prywatność obywateli oraz ich dane osobowe. Wniosek będzie również sprzyjał kształceniu i szkoleniu w zakresie cyberbezpieczeństwa, ponieważ doprecyzowuje rolę ENISA w rozwijaniu umiejętności pracowników zajmujących się cyberbezpieczeństwem.

Ponadto europejskie ramy certyfikacji cyberbezpieczeństwa przyczynią się do zwiększenia zaufania ogółu społeczeństwa i przedsiębiorstw w Unii do certyfikowanych rozwiązań ICT wykorzystywanych w codziennym życiu. Wprowadzenie dodatkowych programów zwiększyłoby ten wpływ.

4.WPŁYW NA BUDŻET

5.ELEMENTY FAKULTATYWNE

•Plany wdrożenia i monitorowanie, ocena i sprawozdania

•Dokumenty wyjaśniające (w przypadku dyrektyw)

•Szczegółowe objaśnienia poszczególnych przepisów wniosku

Tytuł II: ENISA (AGENCJA UNII EUROPEJSKIEJ DS. CYBERBEZPIECZEŃSTWA)

Komisja może określić, w drodze aktów wykonawczych, kluczowe zasoby ICT wykorzystywane do wytwarzania produktów i świadczenia usług przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. W art. 102 doprecyzowano elementy, które należy uwzględnić przy identyfikacji kluczowych zasobów ICT. W art. 103 ustanowiono potencjalne środki ograniczające ryzyko w łańcuchu dostaw ICT. Komisja, w drodze aktów wykonawczych, może zdecydować, że podmioty działające w sektorach kluczowych i innych sektorach krytycznych muszą podlegać szczególnym środkom ograniczającym ryzyko, które szczegółowo opisano w tym artykule.

Komisja, w drodze aktów wykonawczych, ustanawia wykazy dostawców wysokiego ryzyka istotnych z punktu widzenia zakazów ustanowionych w aktach wykonawczych przyjętych zgodnie z art. 103 ust. 1, art. 103 ust. 7 lub zakazu, o którym mowa w art. 110 ust. 1, po przeprowadzeniu oceny prowadzenia działalności oraz własności i kontroli. Powinna konsultować się z zainteresowanymi dostawcami i właściwymi organami (art. 104).

Podmiot mający siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem, wskazanym zgodnie z art. 100, lub kontrolowany przez podmioty z takiego państwa trzeciego, może wystąpić z wnioskiem o zezwolenie na dostarczanie komponentów ICT w kluczowych zasobach ICT podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, oraz na udział w zamówieniach publicznych związanych z dostarczaniem takich komponentów ICT. W art. 105 określono, co powinien zawierać wniosek i jaka jest procedura takiego zwolnienia. W art. 106 określono prawo danego podmiotu do obrony. Komisja prowadzi publicznie dostępny rejestr decyzji dotyczących zwolnień (art. 107). W art. 108 i 109 określono zasady poufności i opłaty związane z procedurą dotyczącą zwolnień.

W rozdziale II przewidziano stosowanie ram zaufanego łańcucha dostaw ICT w odniesieniu do ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej, zapewniając zgodność z proponowanym aktem w sprawie sieci cyfrowych.

Kluczowe zasoby ICT na potrzeby ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej określono w załączniku II. Okres przejściowy na stopniowe wycofywanie komponentów ICT od dostawców wysokiego ryzyka w odniesieniu do kluczowych zasobów ICT ruchomej sieci łączności elektronicznej nie może przekraczać 36 miesięcy od wejścia w życie niniejszego rozporządzenia. Okresy przejściowe dotyczące stacjonarnych i satelitarnych sieci łączności elektronicznej określa Komisja w drodze aktów wykonawczych. Komisja jest uprawniona do przyjęcia aktu delegowanego w celu zmiany wyznaczonych kluczowych zasobów ICT i okresów przejściowych, w tym w odniesieniu do przyszłych mobilnych generacji (art. 110). Art. 111 stanowi, że dostawcy ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej nie mogą wykorzystywać, instalować ani integrować w żadnej formie komponentów ICT pochodzących od dostawców wysokiego ryzyka i nie mogą uzyskać ogólnego ani indywidualnego upoważnienia.

Właściwe organy, nadzór i egzekwowanie przepisów, jurysdykcja, prawo do obrony (rozdział III)

W rozdziale III ustanowiono ponadto przepisy dotyczące właściwych organów, nadzoru i egzekwowania przepisów oraz jurysdykcji. 

W art. 112–114 określono uprawnienia, środki i obowiązki państw członkowskich w zakresie zapewnienia wdrożenia i egzekwowania przepisów tytułu IV. Państwa członkowskie muszą wyznaczyć co najmniej jeden właściwy organ i notyfikować o tym Komisję. W art. 113 przewidziano, że Komisja ustanawia sieć współpracy właściwych organów państw członkowskich i Komisji w celu ułatwienia przestrzegania przepisów, natomiast w art. 114 określono środki nadzoru i egzekwowania przepisów, do stosowania których uprawnione są właściwe organy. W art. 115 określono kary w przypadku naruszenia przepisów tytułu IV. W art. 116 szczegółowo określono możliwość wzajemnej pomocy państw członkowskich w przypadku, gdy podmioty prowadzą działalność transgraniczną lub gdy ich kluczowe zasoby ICT znajdują się w kilku państwach członkowskich. W art. 117 określono zasady dotyczące jurysdykcji i terytorialności.

2026/0011 (COD)

Wniosek

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejskich ram certyfikacji cyberbezpieczeństwa i bezpieczeństwa łańcucha dostaw ICT oraz uchylenia rozporządzenia (UE) 2019/881 (drugi akt o cyberbezpieczeństwie)

(Tekst mający znaczenie dla EOG)

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego 24 ,

uwzględniając opinię Komitetu Regionów 25 ,

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą,

a także mając na uwadze, co następuje:

(1) Od czasu przyjęcia rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 26 krajobraz geopolityczny, technologiczny i polityczny uległ znaczącym zmianom. Incydenty cyberbezpieczeństwa, niezależnie od tego, czy są spowodowane awariami systemu, błędem ludzkim, szkodliwymi działaniami lub zjawiskami naturalnymi nasiliły się, a cyberataki stały się bardziej wyrafinowane, co ma wpływ na kluczowe podmioty, przedsiębiorstwa i ogół społeczeństwa. Rozwinął się ekosystem cyberprzestępczości, którego centralnym elementem jest działalność związana z oprogramowaniem szantażującym. Nasiliły się incydenty w łańcuchach dostaw, niezależnie od tego, czy spowodowali je przestępcy w celu uzyskania korzyści finansowych, czy podmioty państwowe w związku z zakłóceniami, szpiegostwem, dezinformacją lub działaniami wojennymi. W ramach szerszej strategii hybrydowej incydenty wynikające ze szkodliwych działań w cyberprzestrzeni i awarii systemów rozprzestrzeniają się na zewnątrz, zakłócając świadczenie usług kluczowych, podważając zaufanie do instytucji i wpływając na gotowość społeczną i obronną Unii. Dowiedziono, że takie incydenty mogą mieć wpływ na działalność gospodarczą, stabilność finansową i życie obywateli. Jednocześnie podatność krytycznej infrastruktury i systemów cywilnych stanowi zagrożenie dla zdolności obronnych, jeżeli są one od nich zależne.

(2)Jednocześnie powstające technologie, takie jak sztuczna inteligencja i obliczenia kwantowe, mają niekorzystny wpływ na cyberbezpieczeństwo i cyberobronę. Zmieniają one narzędzia służące do obrony i taktykę przeciwników, stwarzając zagrożenia dla cyberbezpieczeństwa i cyberobrony, a jednocześnie oferując możliwości postępu technologicznego. Chociaż mogą one przyczyniać się do cyberbezpieczeństwa dzięki lepszemu wykrywaniu zagrożeń lub zautomatyzowanemu reagowaniu na incydenty, zwiększają również ogólną powierzchnię ataku w organizacjach, są potencjalnymi celami manipulacji i mogą podważać długoterminową skuteczność środków bezpieczeństwa, takich jak szyfrowanie.

(3)Aby zaradzić tym zmianom, Unia wzmocniła swoje narzędzia prawne i polityczne. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 27 , która wzmacnia cyberbezpieczeństwo infrastruktury krytycznej, jest uzupełniona dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2557 28 w odniesieniu do bezpieczeństwa fizycznego. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 29 zwiększa cyberbezpieczeństwo produktów z elementami cyfrowymi. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/38 30 przyczynia się do budowania ogólnounijnych zdolności reagowania, a zalecenie Rady z dnia 6 czerwca 2025 r. w sprawie Planu działania UE na rzecz zarządzania cyberkryzysami 31 („zalecenie w sprawie planu na rzecz cyberbezpieczeństwa”) wspiera współpracę w zakresie zarządzania kryzysowego na szczeblu Unii. Unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G 32 stanowi pierwszy krok w kierunku skoordynowanego podejścia do zabezpieczenia sieci 5G na szczeblu unijnym. W komunikacie Komisji w sprawie Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa 33 odniesiono się do rosnącego wyzwania, jakim jest niedobór talentów w dziedzinie cyberbezpieczeństwa. Ponadto ramy cyberbezpieczeństwa wzmocniono przepisami sektorowymi, w szczególności rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 34 w odniesieniu do sektora finansowego, rozporządzeniem delegowanym Komisji (UE) 2024/1366 35 w odniesieniu do podsektora energii elektrycznej, rozporządzeniem delegowanym Komisji (UE) 2022/1645 36 i rozporządzeniem wykonawczym Komisji (UE) 2023/203 37 (PART-IS), a także odpowiednimi przepisami dotyczącymi ochrony lotnictwa określonymi w rozporządzeniu Komisji (UE) 2019/1583 38 w odniesieniu do podsektora transportu lotniczego oraz innymi dokumentami programowymi, takimi jak komunikat Komisji w sprawie europejskiego planu działania w sprawie cyberbezpieczeństwa szpitali i świadczeniodawców 39 . Podmioty Unii wzmocniono również rozporządzeniem Parlamentu Europejskiego i Rady (UE, Euratom) 2023/2841 40 , w którym określono środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii. W tych wzmocnionych ramach prawnych dotyczących cyberbezpieczeństwa doprecyzowano zadania ENISA.

(4)W tym kontekście, jak stwierdzono w ProtectEU – europejskiej strategii bezpieczeństwa wewnętrznego 41 , strategia na rzecz unii gotowości 42 zapewniająca gotowość, bezpieczeństwo i odporność społeczeństwa oraz gospodarki Unii wymaga silnej europejskiej koordynacji, zaufania i wymiany informacji między zainteresowanymi stronami, solidnych ram zapewniających bezpieczeństwo produktów, usług, procesów i usług zarządzanych w zakresie bezpieczeństwa ICT, a także zwiększenia liczby pracowników zajmujących się cyberbezpieczeństwem oraz wzmocnienia ich kompetencji. Ponadto wzywa się w niej do wzmocnienia łańcuchów dostaw ICT poprzez zapewnienie europejskiej suwerenności technologicznej w zakresie kluczowych zasobów, co zwiększyłoby odporność Unii i mogłoby wspierać działania w zakresie cyberobrony. Ponadto w komunikacie w sprawie wzmocnienia bezpieczeństwa gospodarczego UE 43 jako cele priorytetowe wskazano potrzebę zapobiegania dostępowi do informacji i danych szczególnie chronionych, które mogłyby zagrozić bezpieczeństwu gospodarczemu UE, oraz potrzebę zapobiegania zakłóceniom w infrastrukturze krytycznej UE mającym wpływ na gospodarkę UE i łagodzenia tych zakłóceń. Uznaje się w nim zasadniczą rolę, jaką w tym względzie odgrywają skuteczne środki w zakresie cyberbezpieczeństwa.

(5)Incydenty w cyberbezpieczeństwie na dużą skalę mające wpływ na infrastrukturę krytyczną, usługi cyfrowe lub podstawowe funkcje społeczne mogą mieć wpływ na ludność, wymagając skoordynowanych działań w zakresie ochrony ludności i zarządzania kryzysowego na szczeblu unijnym. Zgodnie z podejściem uwzględniającym wszystkie zagrożenia określonym w europejskiej strategii na rzecz unii gotowości i decyzji nr 1313/2013/UE w sprawie Unijnego Mechanizmu Ochrony Ludności uzgodnienia dotyczące orientacji sytuacyjnej, reagowania na incydenty i ćwiczeń na podstawie niniejszego rozporządzenia powinny stanowić wkład w zarządzanie kryzysowe w Unii, w szczególności za pośrednictwem Centrum Koordynacji Reagowania Kryzysowego (ERCC).

(6)Niniejszy wniosek jest spójny z [wnioskiem dotyczącym dyrektywy uzupełniającej [zmianę rozporządzenia (UE) 2019/881] i zmieniającej dyrektywę (UE) 2022/2555 w odniesieniu do uproszczenia wdrażania środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii], a także z [wnioskiem dotyczącym rozporządzenia w sprawie uproszczenia przepisów cyfrowych (akt zbiorczy prawa cyfrowego) 44 ], w którym na ENISA nakłada się obowiązek opracowania pojedynczego punktu kontaktowego do celów zgłaszania incydentów, za pośrednictwem którego podmioty mogą jednocześnie wypełniać swoje obowiązki w zakresie zgłaszania incydentów wynikające z wielu aktów prawnych, oraz jest przez nie uzupełniony.

(7)Rozporządzeniem Parlamentu Europejskiego i Rady (WE) nr 460/2004 45 ustanowiono ENISA, aby przyczynić się do zapewnienia wysokiego i efektywnego poziomu bezpieczeństwa sieci i informacji w Unii oraz rozwijania kultury bezpieczeństwa sieci i informacji na rzecz obywateli, konsumentów, przedsiębiorstw oraz administracji publicznej. Mandat ENISA był trzykrotnie przedłużany zanim rozporządzeniem (UE) 2019/881 przyznano jej stały mandat. Aby lepiej zaspokoić potrzeby wynikające ze zmieniających się zagrożeń i krajobrazów technologicznych, w szczególności w odniesieniu do współpracy operacyjnej i zwiększonego zapotrzebowania na specjalistów w dziedzinie cyberbezpieczeństwa, należy dodatkowo wzmocnić mandat ENISA. W celu zachowania pewności prawa należy zastąpić rozporządzenie (UE) 2019/881.

(8)W zmieniającym się krajobrazie zagrożeń, w którym incydenty cyberbezpieczeństwa stają się coraz bardziej znaczące, zapewnienie zaufania osobom fizycznym, organom publicznym oraz przedsiębiorstwom w ich codziennym korzystaniu z technologii jest ważniejsze niż kiedykolwiek. Wzrost zaufania może ułatwiać wzmocniona certyfikacja w ramach europejskich ram certyfikacji cyberbezpieczeństwa na poziomie unijnym, ustanawiająca wspólne wymogi w zakresie cyberbezpieczeństwa i kryteria oceny na wszystkich krajowych rynkach i we wszystkich sektorach krajowych. Nowe ramy powinny określać główne wymogi horyzontalne dotyczące europejskich programów certyfikacji cyberbezpieczeństwa oraz umożliwiać uznawanie i stosowanie europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności we wszystkich państwach członkowskich. W ten sposób Komisja powinna ustanowić procedurę i ramy zarządzania, które umożliwią terminowe i przewidywalne opracowanie oraz utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa. Europejskie programy certyfikacji cyberbezpieczeństwa należy stosować w sposób jednolity we wszystkich państwach członkowskich, aby zapewnić zharmonizowane wdrażanie wymogów w zakresie cyberbezpieczeństwa, wyrównać warunki działania i zapobiec „kupowaniu certyfikatów” w oparciu o różne poziomy restrykcyjności w poszczególnych państwach członkowskich. ENISA powinna odgrywać kluczową rolę w zapewnianiu rozwoju programów za pomocą specyfikacji technicznych oraz w zapewnianiu aktualności takich programów pod względem technicznym. Ponadto, aby skutecznie zaspokoić potrzeby rynku, w przedmiotowych ramach należy przewidzieć możliwość certyfikacji środków zarządzania ryzykiem w cyberprzestrzeni skierowanych do podmiotów oraz ułatwić zapewnienie zgodności z innymi mającymi zastosowanie przepisami Unii w dziedzinie cyberbezpieczeństwa. Zgodność z obowiązującym prawem Unii, takim jak rozporządzenie (UE) 2024/2847 i dyrektywa (UE) 2022/2555, ma zasadnicze znaczenie, aby europejskie programy certyfikacji cyberbezpieczeństwa mogły przyczyniać się do zmniejszenia obciążenia regulacyjnego przedsiębiorstw, zwiększenia ich atrakcyjności oraz wzmocnienia cyberodporności Unii.

(9)Misją ENISA powinno być wspieranie państw członkowskich i podmiotów Unii w osiąganiu wysokiego poziomu cyberbezpieczeństwa, odporności i zaufania do Unii. W tym celu ENISA powinna działać jako punkt odniesienia w zakresie doradztwa i wiedzy fachowej w dziedzinie cyberbezpieczeństwa, a jej prace powinny koncentrować się przede wszystkim na czterech kluczowych obszarach cyberbezpieczeństwa na szczeblu unijnym. Po pierwsze, ENISA powinna wspierać państwa członkowskie w spójnym wdrażaniu polityki i przepisów Unii dotyczących cyberbezpieczeństwa oraz pomagać państwom członkowskim, realizując działania na rzecz budowania zdolności w celu ciągłej poprawy ich zdolności w zakresie gotowości, odporności i reagowania. Po drugie, ENISA powinna przyczyniać się do współpracy operacyjnej na szczeblu unijnym, między państwami członkowskimi, oraz do zwiększenia wspólnej orientacji sytuacyjnej w zakresie zagrożeń i incydentów cyberbezpieczeństwa wśród państw członkowskich i podmiotów Unii. Trzecim kluczowym obszarem powinna być certyfikacja cyberbezpieczeństwa i normalizacja, a czwartym – wdrożenie Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa, która powinna przyczynić się do rozwoju dobrze prosperującej europejskiej siły roboczej w dziedzinie cyberbezpieczeństwa posiadającej umiejętności, które można przenieść między państwami członkowskimi.

(10)W rozporządzeniu (UE, Euratom) 2023/2841 w sprawie ustanowienia środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii przewidziano mandat CERT-UE – Służby ds. Cyberbezpieczeństwa Instytucji, Organów i Jednostek Organizacyjnych Unii mającej na celu przyczynienie się do zapewnienia bezpieczeństwa jawnego środowiska ICT podmiotów Unii poprzez doradzanie im w zakresie cyberbezpieczeństwa, wspieranie ich w zapobieganiu incydentom, ich wykrywaniu, obsłudze, łagodzeniu ich skutków, reagowaniu na nie oraz usuwaniu ich skutków, a także działanie jako ich centrum wymiany informacji na temat cyberbezpieczeństwa oraz koordynacji reagowania na incydenty. Ponadto CERT-UE ma za zadanie oferować podmiotom Unii odpowiednie usługi w zakresie cyberbezpieczeństwa. W ramach swojej misji ENISA powinna również wspierać podmioty Unii. Powinna to uczynić w szczególności w ramach współpracy strukturalnej z CERT-UE w zakresie budowania zdolności, współpracy operacyjnej i długoterminowych analiz strategicznych dotyczących zagrożeń cyberbezpieczeństwa. W stosownych przypadkach ENISA może podjąć współpracę strukturalną z CERT-UE w zakresie usług lub wsparcia ENISA w dziedzinie cyberbezpieczeństwa, które mogą stanowić wartość dodaną dla podmiotów Unii, w sposób skoordynowany, aby zapewnić synergię działań CERT-UE.

(11)Jednym z podstawowych zadań ENISA powinno być wspieranie państw członkowskich w spójnym wdrażaniu polityki i prawa Unii w zakresie cyberbezpieczeństwa, w szczególności w odniesieniu do dyrektywy (UE) 2022/2555, rozporządzenia (UE) 2024/2847 i rozporządzenia (UE) 2025/38. Aby pomóc w osiągnięciu spójnego i skutecznego wdrożenia dorobku prawnego UE w dziedzinie cyberbezpieczeństwa, ENISA powinna wydawać wytyczne i sprawozdania techniczne, zapewniać doradztwo i najlepsze praktyki oraz ułatwiać w tym celu wymianę najlepszych praktyk między właściwymi organami. Ponadto ENISA ocenia stan cyberbezpieczeństwa w Unii i przyjmuje w tym celu sprawozdanie zgodnie z art. 18 dyrektywy (UE) 2022/2555. ENISA powinna być również w stanie odpowiadać na wnioski o doradztwo i pomoc ze strony państw członkowskich oraz, w stosownych przypadkach, podmiotów Unii w kwestiach objętych mandatem ENISA.

(12)Z myślą o stymulowaniu współpracy między sektorem publicznym i prywatnym oraz w sektorze prywatnym, w szczególności w celu wspierania ochrony infrastruktury krytycznej, ENISA powinna wspierać wymianę informacji w ramach sektorów i między sektorami, w szczególności sektorami wymienionymi w załącznikach I i II do dyrektywy (UE) 2022/2555, oraz informacji dotyczących produktów z elementami cyfrowymi objętych zakresem rozporządzenia (UE) 2024/2847. Takie wsparcie może przybrać formę zapewnienia najlepszych praktyk i wytycznych dotyczących dostępnych narzędzi i procedur, a także wytycznych dotyczących sposobu rozwiązywania kwestii regulacyjnych związanych z wymianą informacji, na przykład poprzez ułatwienie ustanowienia sektorowych ośrodków wymiany i analizy informacji.

(13)Z myślą o wspieraniu i ułatwianiu współpracy strategicznej oraz wymiany informacji ENISA powinna wnosić wkład w prace Grupy Współpracy ustanowionej dyrektywą (UE) 2022/2555 („grupa współpracy NIS”), w szczególności poprzez zapewnianie wiedzy fachowej i doradztwa oraz ułatwianie wymiany najlepszych praktyk, między innymi w odniesieniu do transgranicznych zależności, dotyczących ryzyka i incydentów. ENISA powinna również wnosić wkład w prace Grupy Współpracy na rzecz Europejskiej Tożsamości Cyfrowej ustanowionej rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 910/2014 46 , Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa oraz grupy współpracy administracyjnej (ADCO) ustanowionej rozporządzeniem (UE) 2024/2847.

(14)Publiczny rdzeń otwartego internetu, a mianowicie jego główne protokoły i infrastruktura będące dobrem publicznym, zapewnia zasadniczą funkcjonalność internetu jako całości i stanowi podstawę jego normalnego funkcjonowania. W ramach swojego mandatu ENISA powinna wspierać bezpieczeństwo i odporność publicznego rdzenia otwartego internetu oraz stabilność jego funkcjonowania, w tym, lecz nie wyłącznie, bezpieczne wdrażanie i funkcjonowanie kluczowych protokołów (w szczególności systemu nazw domen, zewnętrznego protokołu trasowania i protokołu internetowego w wersji 6) oraz funkcjonowanie systemu nazw domen (takie jak funkcjonowanie wszystkich domen najwyższego poziomu), poprzez propagowanie najlepszych praktyk, wytycznych i współpracy, zgodnie z ustalonymi globalnymi uzgodnieniami dotyczącymi zarządzania internetem z udziałem wielu zainteresowanych stron oraz odpowiednimi rolami i obowiązkami odpowiednich międzynarodowych organów technicznych i operacyjnych.

(15)ENISA pełni rolę punktu odniesienia w zakresie doradztwa i wiedzy fachowej w dziedzinie cyberbezpieczeństwa. W związku z tym na wniosek Komisji ENISA powinna wspierać ją za pośrednictwem wiedzy fachowej, doradztwa technicznego, informacji, analiz, w tym studiów wykonalności, opinii i prac przygotowawczych dotyczących wszelkich konkretnych kwestii w dziedzinie cyberbezpieczeństwa, aby zapewnić Komisji informacje na potrzeby kształtowania polityki i ułatwić jej monitorowanie wdrażania przepisów Unii dotyczących cyberbezpieczeństwa.

(16)Biorąc pod uwagę swoją wiedzę fachową, ENISA powinna również wspierać państwa członkowskie w ich staraniach na rzecz budowy i umocnienia zdolności i gotowości do zapobiegania zagrożeniom i incydentom cyberbezpieczeństwa, wykrywania ich i reagowania na nie oraz w odniesieniu do bezpieczeństwa sieci i systemów informatycznych. ENISA powinna w szczególności wspierać rozwój i wzmocnienie zespołów reagowania na incydenty bezpieczeństwa komputerowego („CSIRT”) przewidzianych w dyrektywie (UE) 2022/2555 z myślą o osiągnięciu wysokiego wspólnego poziomu ich dojrzałości w Unii.

(17)ENISA wspierała i nadal powinna wspierać państwa członkowskie w opracowywaniu i wdrażaniu wytycznych dotyczących ich krajowych strategii cyberbezpieczeństwa, przyczyniając się do przyjęcia i wdrożenia strategii cyberbezpieczeństwa przez wszystkie państwa członkowskie. ENISA powinna zachęcać do rozpowszechniania takich strategii za pośrednictwem interaktywnej mapy krajowych strategii cyberbezpieczeństwa (NCSS) i nadal powinna monitorować postępy w ich wdrażaniu, w tym udzielając wsparcia w opracowywaniu kluczowych wskaźników skuteczności działania w tym kontekście.

(18)Rozporządzeniem (UE, Euratom) 2023/2841 Międzyinstytucjonalnej Radzie ds. Cyberbezpieczeństwa powierzono zadanie wspierania podmiotów Unii w poprawie ich stanu cyberbezpieczeństwa, a CERT-UE – zadanie przyczyniania się do zapewnienia bezpieczeństwa jawnego środowiska ICT wszystkich podmiotów Unii. ENISA, opierając się na swoim doświadczeniu w dziedzinie cyberbezpieczeństwa, powinna wspierać Międzyinstytucjonalną Radę ds. Cyberbezpieczeństwa i CERT-UE w wykonywaniu ich zadań zgodnie z rozporządzeniem (UE, Euratom) 2023/2841, w tym przyczyniając się do analizy zagrożeń cyberbezpieczeństwa, orientacji sytuacyjnej, ćwiczeń w dziedzinie cyberbezpieczeństwa, koordynacji reagowania na incydenty oraz wymiany know-how i najlepszych praktyk.

(19)Korzystając ze swojej wiedzy fachowej oraz w celu uzupełnienia zdolności krajowych i unijnych organów publicznych, ENISA powinna prowadzić szkolenia, opierając się na europejskich ramach umiejętności w dziedzinie cyberbezpieczeństwa, szczególnie w celu wspierania skutecznego wdrażania polityki, współpracy operacyjnej i podnoszenia świadomości.

(20)Aby zapewnić synergię z Europejskim Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa (ECCC) oraz siecią krajowych ośrodków koordynacji ustanowioną na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2021/887 47 , ENISA powinna wspierać je poprzez wymianę informacji na temat obecnych i pojawiających się rodzajów ryzyka i zagrożeń cyberbezpieczeństwa, w tym rodzajów ryzyka i zagrożeń dotyczących technologii informacyjno-komunikacyjnych.

(21)W strategii na rzecz unii gotowości podkreślono, że umiejętności cyfrowe, które opierają się na nabywaniu podstawowych umiejętności cyfrowych, mają zasadnicze znaczenie dla wzmocnienia pozycji bardziej odpornych obywateli w obliczu potencjalnych kryzysów. Jak podkreślono jednak w komunikacie Komisji w sprawie unii umiejętności 48 , niemal połowa dorosłej populacji nie posiada podstawowych umiejętności cyfrowych, mimo że wymaga ich ponad 90 % miejsc pracy. W celu zapewnienia, aby obecna i potencjalna przyszła siła robocza posiadała wymagane umiejętności w szybko zmieniającym się środowisku cyfrowym, oraz aby przyczynić się do rozwoju europejskiej rezerwy talentów w dziedzinie cyberbezpieczeństwa, ENISA powinna wspierać działania podnoszące świadomość w zakresie cyberbezpieczeństwa, które mają na celu przyciągnięcie talentów i pomoc w informowaniu o edukacji i umiejętnościach potrzebnych w dziedzinie cyberbezpieczeństwa, takich jak konkurs w dziedzinie cyberbezpieczeństwa „European Cybersecurity Challenge”. W związku z tym ENISA powinna koordynować konkursy w dziedzinie cyberbezpieczeństwa, ćwiczenia typu „capture-the-flag” oraz podobne ćwiczenia praktyczne jako sposób rozwijania umiejętności w dziedzinie cyberbezpieczeństwa i wspierania budowania zdolności w całej Unii. Prowadząc działania podnoszące świadomość, ENISA powinna zapewnić, aby odpowiadały one potrzebom krajowych organów publicznych i podmiotów Unii, a także potrzebom przedsiębiorstw, w szczególności MŚP, oraz instytucji kształcenia i szkolenia, poprzez utrzymywanie praktycznych ram i szkoleń, takich jak pakiet narzędzi „awareness-raising-in-a-box”. ENISA powinna dalej opracowywać praktyczne i wykonalne wytyczne, aby wspierać wdrażanie unijnej polityki i przepisów w zakresie cyberbezpieczeństwa. ENISA powinna również dążyć do zapewnienia odpowiednich informacji na temat obowiązujących programów certyfikacji, na przykład poprzez zapewnianie wytycznych i zaleceń.

(22)Aby wspierać przedsiębiorstwa działające w sektorze cyberbezpieczeństwa i użytkowników rozwiązań w zakresie cyberbezpieczeństwa oraz zapewnić skuteczne wdrożenie tytułu III niniejszego rozporządzenia, ENISA powinna opracować i prowadzić „centrum obserwacji rynku” poprzez przeprowadzanie regularnych analiz i rozpowszechnianie informacji na temat głównych tendencji na rynku cyberbezpieczeństwa, zarówno po stronie popytu, jak i podaży. Ponadto, aby wspierać użytkowników rezerwy cyberbezpieczeństwa UE ustanowionej na podstawie rozporządzenia (UE) 2025/38, ENISA powinna przygotować zestawienie usług potrzebnych takim użytkownikom oraz dostępności takich usług zgodnie z tym rozporządzeniem.

(23)Zagrożenia cyberbezpieczeństwa mają charakter globalny. Ściślejsza współpraca międzynarodowa jest niezbędna do poprawy cyberbezpieczeństwa, w tym do określenia wspólnych norm zachowania i wspólnych podejść. W tym celu ENISA powinna wspierać współpracę Unii z państwami trzecimi, ze szczególnym uwzględnieniem państw kandydujących do przystąpienia do Unii, oraz z organizacjami międzynarodowymi, takimi jak NATO, zapewniając w stosownych przypadkach Komisji i odpowiednim podmiotom Unii niezbędną wiedzę fachową i analizy. Działania ENISA na arenie międzynarodowej zawsze powinny być zgodne z priorytetami Unii.

(24)Aby pomóc w osiągnięciu wysokiego poziomu cyberbezpieczeństwa w Unii, ENISA powinna wspierać współpracę operacyjną między państwami członkowskimi, we współpracy z CERT-UE, między podmiotami Unii oraz między zainteresowanymi stronami. W tym celu należy wzmocnić rolę ENISA. ENISA powinna stać się członkiem sieci CSIRT, przyczyniając się do wymiany i analizy informacji w sieci. ENISA w dalszym ciągu powinna propagować oraz wspierać współpracę między odpowiednimi CSIRT w przypadku incydentów, ataków lub zakłóceń w funkcjonowaniu sieci lub infrastruktury zarządzanych lub chronionych przez CSIRT. Aktywne wsparcie ENISA dla prac sieci CSIRT i europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe) powinno umożliwić tym sieciom dalsze podnoszenie ich poziomu dojrzałości. Rola ENISA we wspieraniu takiej współpracy obejmuje zwalczanie zagrożeń dla bezpieczeństwa i integralności instytucji demokratycznych, wyborów oraz innych procesów, a także infrastruktury krytycznej, od której są one zależne, zgodnie z europejską tarczą demokracji: wspieranie silnych i odpornych demokracji 49 .

(25)Aby wspierać budowanie zdolności, współpracę operacyjną i długoterminowe strategiczne analizy zagrożeń cyberbezpieczeństwa, ENISA powinna korzystać z dostępnej technicznej i operacyjnej wiedzy fachowej CERT-UE w ramach współpracy strukturalnej, na przykład poprzez specjalne ustalenia.

(26)Aby wzmocnić cyberbezpieczeństwo w całej Unii oraz zapewnić szybką i skuteczną reakcję na zagrożenia cyberbezpieczeństwa, ENISA powinna wspierać państwa członkowskie na ich wniosek, w tym poprzez doradztwo w zakresie poprawy ich zdolności do zapobiegania incydentom, wykrywania ich, reagowania na nie i usuwania ich skutków, ułatwianie technicznej obsługi poważnych incydentów w rozumieniu dyrektywy (UE) 2022/2555, w szczególności poprzez wspieranie dobrowolnej wymiany rozwiązań technicznych między państwami członkowskimi, lub zapewnienie analizy zagrożeń i incydentów cyberbezpieczeństwa. ENISA powinna również wspierać EU-CyCLONe w przygotowywaniu sprawozdań na szczeblu politycznym Unii i państw członkowskich.

(27)Aby ograniczyć narażenie na ingerencje zagraniczne, manipulacje w łańcuchu dostaw i wyciek danych strategicznych, ENISA powinna korzystać z bezpiecznych narzędzi komunikacji w ramach sieci CSIRT i EU-CyCLONe. Zgodnie z zaleceniem w sprawie Planu działania UE na rzecz zarządzania cyberkryzysami narzędzia takie powinny być udostępniane przez podmioty prawne mające siedzibę lub uznane za mające siedzibę w Unii i kontrolowane przez państwa członkowskie lub obywateli państw członkowskich.

(28)Aby przyczynić się do gotowości i reagowania na szczeblu Unii na incydenty i kryzysy w cyberbezpieczeństwie na dużą skalę, ENISA powinna prowadzić działania w zakresie orientacji sytuacyjnej w dziedzinie cyberbezpieczeństwa.

(29) Dostęp do zweryfikowanych, niezawodnych analiz zagrożeń cyberbezpieczeństwa w czasie rzeczywistym ma kluczowe znaczenie dla budowania wspólnej orientacji sytuacyjnej w Unii. ENISA, Komisja, CERT-UE i Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) przy biurze Europolu opracowały już repozytoria analiz zagrożeń cyberbezpieczeństwa, które są dostosowane do ich szczególnych potrzeb. ENISA i inne odpowiednie podmioty Unii powinny dobrowolnie współpracować w celu opracowania repozytoriów zweryfikowanych i niezawodnych analiz cyberzagrożeń w czasie rzeczywistym oraz dążyć do synergii, aby zapewnić korzyści skali i wzmocnić należyte zarządzanie finansami. Prace te powinny również obejmować sektorowe podmioty Unii, takie jak Agencja Unii Europejskiej ds. Programu Kosmicznego. Powinny one wymieniać się wyłącznie pochodnymi analizami, tendencjami oraz taktykami, technikami i procedurami (TTP), a nie źródłami surowymi, oraz powinny respektować niezależność podmiotów w zakresie zarządzania własnym cyklem życia analiz zagrożeń cyberbezpieczeństwa zgodnie ze swoimi mandatami i zasadami ograniczonego dostępu.

(30)Aby przyczynić się do terminowej i skoordynowanej reakcji, ENISA powinna mieć możliwość wczesnego ostrzegania o potencjalnym lub trwającym poważnym incydencie na dużą skalę lub zagrożeniu cyberbezpieczeństwa o potencjalnym charakterze transgranicznym, zainteresowanych CSIRT oraz, w stosownych przypadkach, sieci CSIRT i EU-CyCLONe, w szczególności w odniesieniu do podmiotów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555. Informacje zawarte w takim wczesnym ostrzeżeniu mogą obejmować publicznie znane podatności oraz to, czy mają one wpływ na produkty z elementami cyfrowymi objęte rozporządzeniem (UE) 2024/2847, a także techniki i procedury, wskaźniki naruszenia, wrogie taktyki, konkretne informacje o agresorach, oraz zalecenia dotyczące środków ograniczających ryzyko.

(31) Aby utrzymać zaufanie i nie zagrażać wymianie informacji, ENISA musi stosować widoczne oznaczenia wskazujące, w jakim zakresie dokument lub informacje, które sporządziła lub otrzymała, mogą być dalej udostępniane. ENISA powinna również wykorzystywać otrzymywane dokumenty lub informacje do celów wykonywania swoich działań, z zastrzeżeniem wszelkich ograniczeń w postaci widocznego oznaczenia dotyczącego dalszego rozpowszechniania tych informacji.

(32)Aby pomóc w zwiększeniu wiedzy na temat wskaźników zagrożeń cyberbezpieczeństwa i zaleceń dotyczących środków ograniczających ryzyko, ENISA powinna udostępnić usługę wczesnego ostrzegania podmiotom działającym w sektorach wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555. Takie ogólne, dobrowolne wczesne ostrzeżenia powinny przynosić korzyści w szczególności MŚP i być udostępniane publicznie w formacie nadającym się do odczytu maszynowego. W każdym przypadku taka dobrowolna usługa jest odrębna od partnerstw publiczno-prywatnych, które ENISA może ustanowić lub już ustanowiła, i nie jest z nimi powiązana.

(33)Aby wspierać wspólną unijną orientację sytuacyjną w zakresie cyberbezpieczeństwa, ENISA, w ścisłej współpracy z państwami członkowskimi, powinna regularnie przygotowywać szczegółowe sprawozdanie techniczne dotyczące cyberbezpieczeństwa w UE na temat incydentów i zagrożeń cyberbezpieczeństwa, oparte na publicznie dostępnych informacjach, własnej analizie i sprawozdaniach udostępnianych jej przez CSIRT państw członkowskich lub krajowe pojedyncze punkty kontaktowe ds. bezpieczeństwa sieci i systemów informatycznych („pojedyncze punkty kontaktowe”) przewidziane w dyrektywie (UE) 2022/2555, zarówno na zasadzie dobrowolności, jak i przez Europol oraz CERT-UE. Sprawozdanie to należy udostępnić Radzie, Europejskiej Służbie Działań Zewnętrznych, EU-CyCLONe, sieci CSIRT, Komisji i Europolowi.

(34)Aby zwiększyć wśród zainteresowanych stron wspólną orientację sytuacyjną w zakresie zagrożeń cyberbezpieczeństwa i incydentów w cyberbezpieczeństwie, ENISA powinna przeanalizować tendencje w zakresie zagrożeń i incydentów cyberbezpieczeństwa. Powinno to obejmować regularną analizę sektorów kluczowych i innych sektorów krytycznych wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555, w tym sektorów opieki zdrowotnej, energii i transportu. Taka analiza powinna obejmować poziomy dojrzałości sektorów i określać m.in. ewentualne wyzwania specyficzne dla danego sektora. W stosownych przypadkach oraz w celu zidentyfikowania skutków w łańcuchu dostaw analiza powinna zawierać dowody na istnienie zagrożeń cyberbezpieczeństwa i tendencji związanych z kategoriami produktów objętymi rozporządzeniem (UE) 2024/2847. ENISA powinna rozwijać wiedzę fachową w dziedzinie cyberbezpieczeństwa infrastruktur i ich krytycznych zależności w łańcuchu dostaw, w szczególności w celu wspierania sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz wdrażania rozporządzenia (UE) 2024/2847. W tym celu ENISA powinna również współpracować, w stosownych przypadkach, z innymi odpowiednimi podmiotami Unii.

(35)Ponadto, aby lepiej zrozumieć wyzwania w dziedzinie cyberbezpieczeństwa, ENISA musi przeanalizować obecne i powstające technologie oraz przedstawić oceny tematyczne dotyczące spodziewanych skutków społecznych, prawnych, gospodarczych i regulacyjnych innowacji technologicznych dla cyberbezpieczeństwa. Aby zapewnić społeczeństwu łatwiejszy dostęp do informacji na temat ryzyka w cyberprzestrzeni i możliwych środków zaradczych, ENISA może przekazywać istotne informacje na swojej stronie internetowej w sposób przyjazny dla użytkownika i dobrze zorganizowany.

(36)Wzmocniona rola ENISA we wspieraniu orientacji sytuacyjnej, analizowaniu zagrożeń i zapewnianiu doradztwa technicznego przyczyni się do zwiększenia wspólnych starań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi i będzie wspierać wdrażanie rozporządzenia (UE) 2024/2847. Zgodnie z rozporządzeniem (UE) 2024/2847 ENISA może zaproponować organom nadzoru rynku wspólne działania w celu sprawdzenia zgodności produktów z elementami cyfrowymi i określenia kategorii produktów z elementami cyfrowymi, w odniesieniu do których można organizować akcje kontrolne. Informacje pochodzące z analizy zagrożeń cyberbezpieczeństwa i wczesnych ostrzeżeń powinny wzmocnić wsparcie, jakiego ENISA udziela tym organom, oraz przyczynić się do skutecznego egzekwowania rozporządzenia (UE) 2024/2847, aby zapobiegać skutkom cyberataków w łańcuchu dostaw na całym rynku wewnętrznym i zwiększyć ogólną gotowość Unii.

(37)Ataki z użyciem oprogramowania szantażującego stanowią poważne zagrożenie cyberbezpieczeństwa Unii. Aby zwiększyć cyberbezpieczeństwo Unii i zwalczać oprogramowanie szantażujące, ENISA powinna rozwijać zdolności w zakresie orientacji sytuacyjnej oraz wspierania reagowania na incydenty i usuwania ich skutków. Wspierając poszczególne podmioty kluczowe i ważne w reagowaniu na atak z użyciem oprogramowania szantażującego i usuwaniu skutków tego ataku, ENISA powinna ściśle współpracować z Europolem oraz, w stosownych przypadkach, z CSIRT lub właściwymi organami, korzystając tym samym z ugruntowanego doświadczenia Europolu w zwalczaniu przestępstw związanych z oprogramowaniem szantażującym. Taka pomoc powinna uzupełniać działania CSIRT wspierające reagowanie na incydenty. Aby osiągnąć synergię w swoich działaniach przeciwko oprogramowaniu szantażującemu, ENISA powinna ustanowić punkt informacyjny i w tym celu mogłaby łączyć odpowiednie zdolności i usługi zwalczające oprogramowanie szantażujące oraz udostępniać łatwo dostępne informacje, wytyczne i narzędzia, które mogą pomóc podmiotom kluczowym i ważnym w reagowaniu na incydent związany z oprogramowaniem szantażującym i usuwaniu jego skutków.

(38)ENISA powinna zapewnić Komisji techniczną wiedzę fachową i wsparcie w przygotowywaniu rocznego kroczącego programu ćwiczeń w dziedzinie cyberbezpieczeństwa na szczeblu Unii zgodnie z zaleceniem w sprawie Planu działania UE na rzecz zarządzania cyberkryzysami, aby przygotować się na cyberkryzysy, przetestować poziom cyberbezpieczeństwa podmiotów uczestniczących w takich ćwiczeniach oraz zminimalizować powielanie działań. ENISA powinna na przykład doradzać w sprawie odpowiednich rodzajów ćwiczeń, takich jak ćwiczenia symulacyjne, hybrydowe lub na żywo, a także w sprawie celów, scenariuszy i uczestnictwa.

(39)Dostęp do prawidłowych i aktualnych informacji na temat podatności oraz sprawne zarządzanie podatnościami są niezbędne do zapewnienia wysokiego poziomu cyberbezpieczeństwa na rynku wewnętrznym. Z tego powodu ENISA powinna prowadzić europejską bazę danych dotyczącą podatności zgodnie z dyrektywą (UE) 2022/2555 i utworzyć wspólną unijną usługę zarządzania podatnościami, zapewniając odporny i zrównoważony poziom usług oraz zmniejszając ryzyko zakłóceń. W tym celu ENISA powinna przeanalizować możliwości pogłębienia współpracy strukturalnej w ramach programów, rejestrów lub baz danych podobnych do europejskiej bazy danych dotyczącej podatności, aby uniknąć powielania działań i w stosownych przypadkach dążyć do komplementarności na szczeblu międzynarodowym. ENISA powinna również wspierać wielostronne skoordynowane ujawnianie podatności na szczeblu unijnym i świadczyć usługi o wartości dodanej, takie jak doradztwo w zakresie podatności, ocena dotkliwości i wykazy produktów, a także zapewniać udoskonalony europejski katalog znanych wykorzystywanych podatności, aby pomóc podmiotom w zarządzaniu podatnościami.

(40)Rola ENISA w rozwoju europejskich ram certyfikacji cyberbezpieczeństwa powinna być kluczowym aspektem jej mandatu. ENISA powinna zapewniać swoją wiedzę techniczną przez cały cykl życia europejskich programów certyfikacji cyberbezpieczeństwa. Z myślą o przyszłym programie ENISA powinna określić istniejące normy lub specyfikacje techniczne, które mogą stanowić podstawę takiego programu, oraz, w stosownych przypadkach, opracować samodzielnie specyfikacje techniczne, które mogłyby zostać do niego włączone. ENISA powinna być odpowiedzialna za przygotowanie propozycji programu na wniosek Komisji. W przypadku już istniejących programów ENISA powinna być odpowiedzialna za ich utrzymanie. W ten sposób ENISA powinna przyczynić się do stworzenia i rozwoju ekosystemu certyfikacji, w którym pozyskuje się informacje zwrotne od państw członkowskich oraz zainteresowanych stron z sektora prywatnego, a także wzmacnia ich zdolności w zakresie certyfikacji. Powinno to również obejmować prowadzenie specjalnej strony internetowej poświęconej certyfikacji, na której istotne informacje związane z przyjętymi programami, w tym certyfikaty i deklaracje zgodności, są swobodnie i publicznie dostępne.

(41)Aby wspierać wdrażanie odpowiednich przepisów Unii, ENISA powinna kształtować najnowszy stan wiedzy w dziedzinie cyberbezpieczeństwa poprzez dostarczanie specyfikacji technicznych wspierających wdrażanie odpowiednich przepisów Unii, w tym z uwagi na ich potencjalne odniesienia do europejskich programów certyfikacji cyberbezpieczeństwa. ENISA powinna również monitorować tworzenie i rozwój norm przez odpowiednie organy normalizacyjne w celu monitorowania tendencji w zakresie normalizacji na szczeblu europejskim i globalnym oraz, w razie potrzeby, kształtować takie normy, uczestnicząc w działaniach organizacji normalizacyjnych, w tym poprzez opracowywanie wkładów, i przewodnicząc im. ENISA powinna przy tym zachować bezstronność. Na przykład mogą wystąpić sytuacje, w których ENISA powinna wycofać się z odpowiednich działań realizowanych w organizacjach normalizacyjnych, jeżeli zostanie poproszona o ocenę norm europejskich, które zostały opracowane na wniosek Komisji w celu wsparcia przepisów Unii. ENISA nie powinna uczestniczyć w opracowywaniu norm, za których ocenę jest odpowiedzialna.

(42)Aby wspierać realizację polityk Unii i przygotowanie potencjalnych działań normalizacyjnych, ENISA powinna przyczyniać się do opracowywania i oceny algorytmów kryptograficznych, w szczególności w dziedzinie kryptografii postkwantowej. W tym kontekście, na wniosek Komisji i z zastrzeżeniem umowy o przyznanie wkładu określonej w rozporządzeniu Parlamentu Europejskiego i Rady (UE, Euratom) 2024/2509 50 , ENISA może ustanowić procedurę pozyskiwania i oceny algorytmów kryptograficznych przez odpowiednie zainteresowane strony, w szczególności środowiska kryptograficzne, akademickie i badawcze, a także producentów, CSIRT, krajowe organy ds. certyfikacji cyberbezpieczeństwa i właściwe organy na podstawie dyrektywy (UE) 2022/2555. W przypadku gdy ENISA przyczynia się do ustanowienia takich procesów, powinna wspierać współpracę między odpowiednimi zainteresowanymi stronami i wdrażać aspekty organizacyjne. Proces ten powinien być formalny, otwarty, przejrzysty i inkluzywny, w tym obejmować konsultacje z odpowiednimi zainteresowanymi stronami w sprawie projektu minimalnych wymogów oraz procesu oceny i kryteriów oceny, w szczególności w odniesieniu do bezpieczeństwa i przeprowadzania ocen.

(43)Aby wspierać realizację działań w zakresie oceny zgodności w ramach europejskich programów certyfikacji cyberbezpieczeństwa i innych odpowiednich przepisów Unii, ENISA może zapewnić odpowiednie narzędzia do prowadzenia testów technicznych w celu wsparcia państw członkowskich, przedsiębiorstw i jednostek oceniających zgodność w działaniach w zakresie oceny. Takie narzędzia powinny mieć na celu stworzenie synergii na szczeblu unijnym oraz zapewnienie skutecznego funkcjonowania procedur oceny zgodności, aby zaspokoić potrzeby państw członkowskich i potrzeby rynku. Takie potrzeby mogą pojawić się na przykład w obszarze uwzględniania bezpieczeństwa na etapie projektowania w celu wsparcia przedsiębiorstw, w tym małych i średnich przedsiębiorstw, w ich działaniach wdrożeniowych w kontekście rozporządzenia 2024/2847. W tym kontekście ENISA powinna pobierać opłaty w celu pokrycia odpowiednich kosztów związanych z ustanowieniem, projektowaniem, rozwojem, utrzymaniem i aktualizacją niezbędnych zdolności w zakresie oprogramowania i sprzętu na potrzeby takich narzędzi testowych. 

(44)Aby wesprzeć państwa członkowskie w ich działaniach na rzecz rozwiązania problemu niedoboru specjalistów w dziedzinie cyberbezpieczeństwa oraz rosnącego zapotrzebowania na wykwalifikowaną, zróżnicowaną, w tym w odniesieniu do równowagi płci, i sprawną siłę roboczą, a także aby umożliwić mobilność pracowników i gotowość we wszystkich państwach członkowskich, ENISA powinna korzystać z zasad i prac zainicjowanych w ramach Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa. ENISA powinna w szczególności ustanowić europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa („ECSF”) jako wspólne ramy profili ról zawodowych w dziedzinie cyberbezpieczeństwa. ENISA nadal powinna wspierać państwa członkowskie w niwelowaniu nierówności płci w odniesieniu do ról w dziedzinie cyberbezpieczeństwa. Podejście to jest zgodne z wizją nakreśloną w komunikacie Komisji w sprawie unii umiejętności i przyczyniłoby się do osiągnięcia jej celów. Należy dokładniej przeanalizować możliwość wprowadzenia znaku jakości w odniesieniu do europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa.

(45)Europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa powinny być praktycznym i elastycznym narzędziem, które należy stosować na zasadzie dobrowolności, zapewniającym wspólne zrozumienie i terminologię odpowiednich ról i powiązanych zadań, umiejętności i wiedzy wymaganych głównie do sprawowania ról w dziedzinie cyberbezpieczeństwa, w celu wspierania identyfikacji zestawów umiejętności krytycznych, w tym umiejętności przekrojowych, wymaganych od siły roboczej, oraz umożliwienia organizatorom kształcenia, w tym przedsiębiorstwom, instytucjom szkolnictwa wyższego lub organizatorom kształcenia i szkolenia zawodowego, opracowywania programów, a także pomocy decydentom w opracowywaniu inicjatyw mających na celu rozwiązanie problemu niedoboru kwalifikacji. Ramy te, które mogą służyć jako punkt odniesienia dla uznawania umiejętności, powinny być również interoperacyjne z europejską klasyfikacją umiejętności i zawodów (ESCO), aby wspierać działy zasobów ludzkich w zrozumieniu wymogów dotyczących planowania zasobów, rekrutacji i rozwoju kariery zawodowej na potrzeby cyberbezpieczeństwa. Podczas gdy ramy kompetencji cyfrowych dla obywateli (DigComp 3.0) opisują wiedzę, umiejętności i postawy, które są niezbędne do posiadania kompetencji cyfrowych w codziennym życiu, uczestnictwie w życiu społecznym, pracy i uczeniu się, i które mogą być wykorzystywane zarówno przez osoby dorosłe, jak i dzieci, europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa określają w prosty sposób role w dziedzinie cyberbezpieczeństwa i związane z nimi zadania, wiedzę i umiejętności potrzebne do ich wykonywania. W tym względzie są one skierowane do wyspecjalizowanych odbiorców w dziedzinie cyberbezpieczeństwa, od faktycznych lub potencjalnych specjalistów w dziedzinie cyberbezpieczeństwa, instytucji edukacyjnych po pracodawców. Europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa powinny również wspierać opracowywanie europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, będąc kluczowym instrumentem wykorzystywanym do opracowywania programów, umożliwiając powstawanie nowych uczestników rynku i wspierając konkurencję na rynku we wspólnych ramach. Europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa należy regularnie oceniać i aktualizować, aby mogły odpowiednio odzwierciedlać potrzeby rynku pracy w dziedzinie cyberbezpieczeństwa oraz zmiany technologiczne i polityczne. ENISA powinna upowszechniać stosowanie europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa przez państwa członkowskie i podmioty Unii oraz w ich obrębie, a także zapewniać odpowiednie wsparcie tam, gdzie jest ono potrzebne.

(46)Umiejętności i kwalifikacje w dziedzinie cyberbezpieczeństwa powinny być porównywalne, przejrzyste i wiarygodne na całym rynku wewnętrznym. W tym celu europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa 51 powinny ułatwiać pracodawcom, w tym MŚP i przedsiębiorstwa typu start-up, skuteczne zatrudnianie faktycznych lub potencjalnych specjalistów w dziedzinie cyberbezpieczeństwa w państwach członkowskich i między nimi, zgodnie z celami określonymi w komunikacie w sprawie unii umiejętności. Aby zapewnić spójne wdrażanie we wszystkich państwach członkowskich, europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa powinny opierać się na wspólnym rozumieniu na poziomie Unii umiejętności niezbędnych do osiągnięcia tych celów i powinny być wydawane przez dostawców, którym ENISA udzieliła upoważnienia, na podstawie wspólnego zestawu kryteriów. Podejście to powinno być spójne z celami przyszłej inicjatywy na rzecz przenoszenia umiejętności i przyczyniać się do ich realizacji.

(47)Rozwój europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa powinien mieć na celu uzupełnienie działań państw członkowskich poprzez oferowanie organom publicznym i podmiotom gospodarczym możliwości korzystania z europejskiego mechanizmu poświadczania, zgodnie z kompetencjami uzupełniającymi Unii w dziedzinie kształcenia i szkolenia zawodowego, o których mowa w art. 6 lit. e), art. 165 ust. 1 i art. 166 ust. 1 TFUE. Programy te, wraz z pracami Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa, mogą również stanowić podstawę programów szkolnictwa wyższego, takich jak sektorowe dyplomy europejskie, oraz rozwoju mikropoświadczeń. W związku z tym europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa nie powinny mieć na celu harmonizacji przepisów ustawowych i wykonawczych w państwach członkowskich, lecz należy je uznawać za czynnik wspomagający i szansę, które państwa członkowskie i podmioty gospodarcze mogą chcieć wykorzystać i propagować.

(48)ENISA powinna zapewnić, aby europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa były dostosowane do potrzeb rynku i opierały się na doświadczeniach zarówno publicznych, jak i prywatnych dostawców indywidualnych certyfikatów, w tym państw członkowskich, instytucji szkolnictwa wyższego, instytucji kształcenia i szkolenia zawodowego oraz przedsiębiorstw. ENISA powinna konsultować się z Komisją w sprawie priorytetowego traktowania europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, z należytym uwzględnieniem wdrażania polityki i potrzeb rynku. 

(49)Aby zapewnić zgodność między europejskimi ramami umiejętności w dziedzinie cyberbezpieczeństwa a programami, zmiana profilu ról w tych ramach powinna automatycznie prowadzić do oceny adekwatności powiązanego europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, co może prowadzić do ich przeglądu.

(50)Biorąc pod uwagę różnorodność profili ról w dziedzinie cyberbezpieczeństwa i związanych z nimi zadań, umiejętności i wiedzy, ocena osób fizycznych i metody oceny mogą wymagać dostosowania w każdym europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. Każdy program powinien zapewniać, aby ocena wymaganych umiejętności danej osoby fizycznej pod względem efektów uczenia się, w tym, w stosownych przypadkach, ewaluacja poziomu biegłości, była systematycznie poddawana ewaluacji na podstawie profilu ról w europejskich ramach umiejętności w dziedzinie cyberbezpieczeństwa lub jego podzbioru. Metody oceny mogą obejmować takie elementy, jak testowanie wiedzy teoretycznej, egzamin praktyczny, warunki wstępne i wzajemna ocena. Należy odpowiednio uwzględnić doświadczenie poszczególnych osób fizycznych.

(51)Aby zapewnić spójne wdrażanie europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, w szczególności w odniesieniu do oceny osób fizycznych, ENISA powinna zapewnić obowiązkowe szkolenia dla personelu odpowiedzialnego za przeprowadzanie oceny osób fizycznych. Taki personel powinien mieć doświadczenie w dziedzinie cyberbezpieczeństwa, które można potwierdzić europejskim indywidualnym poświadczeniem umiejętności w dziedzinie cyberbezpieczeństwa odpowiadającym profilowi roli, na potrzeby którego przeprowadza ocenę, oraz na poziomie biegłości co najmniej równoważnym poziomowi umiejętności ocenianych osób fizycznych.

(52)Rolą upoważnionych dostawców poświadczeń jest poświadczanie wiedzy i kompetencji danej osoby, aby mogła ona pełnić jedną z ról w europejskich ramach umiejętności w dziedzinie cyberbezpieczeństwa oraz zapewnianie pewności pracodawcom w całej Unii. Ponieważ pracodawcy obsługujący unijną infrastrukturę krytyczną zwracaliby uwagę na zapewnienie jakości umiejętności i kompetencji osób fizycznych uzyskujących europejskie indywidualne poświadczenie umiejętności w dziedzinie cyberbezpieczeństwa, upoważnieni dostawcy poświadczający poziom umiejętności i kompetencji powinni być godni zaufania z punktu widzenia cyberbezpieczeństwa i nie powinni podlegać nadmiernemu wpływowi państwa trzeciego, które może budzić obawy związane z cyberbezpieczeństwem. W związku z tym podmioty mające siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem, wskazanym zgodnie z niniejszym rozporządzeniem, lub kontrolowane przez takie państwo trzecie, przez podmiot mający siedzibę w takim państwie trzecim lub przez obywatela takiego państwa trzeciego (dostawcy wysokiego ryzyka) zgodnie z niniejszym rozporządzeniem, nie powinny kwalifikować się do uzyskania statusu upoważnionych dostawców poświadczeń w odniesieniu do jakichkolwiek europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa na podstawie tytułu II sekcja 4.

(53) W celu zapewnienia, aby osoby fizyczne posiadające europejskie poświadczenie umiejętności w dziedzinie cyberbezpieczeństwa mogły z łatwością z niego korzystać i je udostępniać oraz aby takie poświadczenie mogło być stosowane we wszystkich państwach członkowskich, upoważnieni dostawcy poświadczeń powinni zapewnić wydawanie elektronicznych europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa do europejskiego portfela tożsamości cyfrowej ustanowionego rozporządzeniem (UE) nr 910/2014 na wniosek osoby fizycznej. Upoważnionych dostawców poświadczeń należy uznać za dostawców usług zaufania i powinni oni podlegać systemowi nadzoru i odpowiedzialności określonemu w rozporządzeniu (UE) nr 910/2014. System poświadczania atrybutów stosowany na podstawie rozporządzenia wykonawczego Komisji (UE) 2025/1569 52 należy zarejestrować w katalogu systemów poświadczania atrybutów przewidzianym w tym rozporządzeniu wykonawczym.

(54)Aby przyczynić się do rozwoju siły roboczej w dziedzinie cyberbezpieczeństwa i możliwości przenoszenia umiejętności w całej Unii, ENISA powinna udostępnić publicznie za pośrednictwem specjalnej strony internetowej europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz wykaz upoważnionych dostawców poświadczeń.

(55)ENISA należy zarządzać i administrować z uwzględnieniem zasad wspólnego podejścia do zdecentralizowanych agencji Unii, przyjętego w dniu 19 lipca 2012 r. przez Parlament Europejski, Radę i Komisję 53 . Zalecenia zawarte we Wspólnym podejściu powinny zostać również uwzględnione, odpowiednio, w programach prac ENISA, ocenach ENISA, a także w sprawozdawczości prowadzonej przez ENISA i jej praktyce administracyjnej.

(56)Aby Zarząd mógł skutecznie wykonywać swoje funkcje, w szczególności w wyznaczaniu ogólnego kierunku działań ENISA i ustalaniu jej priorytetów strategicznych, Zarząd musi składać się z przedstawicieli wysokiego szczebla z państw członkowskich i Komisji. W tym celu każde państwo członkowskie powinno powołać na stanowisko członka Zarządu szefa właściwego organu krajowego tego państwa członkowskiego odpowiedzialnego za cyberbezpieczeństwo wyznaczonego na podstawie art. 8 ust. 1 dyrektywy (UE) 2022/2555.

(57)W celu zapewnienia, aby zastępcy w Zarządzie mogli odpowiednio wypełniać swoje role, państwa członkowskie powinny wyznaczyć zastępców, którzy posiadają odpowiednią wiedzę fachową i doświadczenie. Jeżeli chodzi o zastępców, Komisja i państwa członkowskie powinny dołożyć wszelkich starań w celu osiągnięcia zrównoważonej reprezentacji mężczyzn i kobiet w Zarządzie oraz powinny ograniczyć ich rotację, aby zapewnić ciągłość prac Zarządu.

(58)Aby umożliwić ENISA skuteczne wypełnianie jej misji, Zarząd, składający się z przedstawicieli państw członkowskich i Komisji, powinien określić ogólny kierunek działań ENISA, w tym jej priorytety strategiczne, oraz zapewnić, aby ENISA wykonywała swoje zadania zgodnie z niniejszym rozporządzeniem. Zarządowi należy powierzyć uprawnienia niezbędne do ustanowienia i weryfikacji wykonania budżetu, przyjęcia odpowiednich przepisów finansowych, ustanowienia przejrzystych procedur działania w zakresie podejmowania decyzji przez ENISA, przyjęcia jednolitego dokumentu programowego ENISA, przyjęcia jej regulaminu wewnętrznego, powołania Dyrektora Wykonawczego, podjęcia decyzji o przedłużeniu i zakończeniu kadencji Dyrektora Wykonawczego oraz podjęcia decyzji o ewentualnym utworzeniu stanowiska Zastępcy Dyrektora Wykonawczego, a w przypadku utworzenia takiego stanowiska – o jego powołaniu oraz przedłużeniu i zakończeniu jego kadencji. Zarząd powinien zatem powołać każdą osobę pełniącą funkcję wykonawczą w ENISA. Zarząd powinien być również odpowiedzialny za powoływanie lub odwoływanie członków Rady Odwoławczej, a także ustanawianie przepisów mających na celu zapobieganie konfliktom interesów lub zarządzanie nimi w tym zakresie.

(59)Aby ENISA mogła ustalać i aktualizować swoje priorytety strategiczne, Zarząd powinien odbywać co najmniej jedno posiedzenie rocznie poświęcone priorytetom strategicznym ENISA. Aby posiedzenia Zarządu były skuteczne i oparte na rzetelnych informacjach, Zarząd może zapraszać na swoje posiedzenia każdą osobę, której opinia może być istotna i interesująca w kontekście omawianych tematów, w celu przedstawienia spostrzeżeń, wiedzy fachowej lub porad. Taka osoba byłaby obserwatorem ad hoc bez prawa głosu.

(60)O ile nie przewidziano inaczej w niniejszym rozporządzeniu, Zarząd powinien przyjmować decyzje bezwzględną większością głosów członków z prawem głosu. Ze względu na znaczenie kwestii budżetowych i kadrowych, w szczególności kwestii dotyczących budżetu rocznego, rocznego sprawozdania z działalności, strategii w zakresie zwalczania nadużyć finansowych, przepisów wykonawczych do regulaminu pracowniczego, powołania Dyrektora Wykonawczego, Zastępcy Dyrektora Wykonawczego i księgowego, działań następczych w związku z ustaleniami Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF) i Prokuratury Europejskiej (EPPO) oraz przyjęcia przepisów finansowych ENISA, Zarząd powinien przyjmować takie decyzje wyłącznie wtedy, gdy przedstawiciel Komisji oddał głos za ich przyjęciem. Do celów podjęcia decyzji w sprawie przyjęcia ostatecznego jednolitego dokumentu programowego po uwzględnieniu opinii Komisji głos „za” przedstawiciela Komisji powinien być wymagany wyłącznie w odniesieniu do tych elementów decyzji, które nie są związane z rocznym i wieloletnim programem prac ENISA.

(61)Rada Wykonawcza powinna przyczyniać się do skutecznego funkcjonowania Zarządu. W ramach swoich prac przygotowawczych dotyczących decyzji Zarządu Rada Wykonawcza powinna szczegółowo badać odpowiednie informacje, analizować dostępne warianty oraz oferować doradztwo i rozwiązania w celu przygotowania decyzji Zarządu. Powinna również pomagać i doradzać Dyrektorowi Wykonawczemu w wykonywaniu decyzji Zarządu.

(62)Sprawne funkcjonowanie ENISA wymaga, aby Dyrektor Wykonawczy był powoływany w oparciu o względy merytoryczne oraz udokumentowane umiejętności administracyjne i zarządcze, a także kompetencje i doświadczenie w zakresie cyberbezpieczeństwa. Obowiązki Dyrektora Wykonawczego powinny być wykonywane w sposób całkowicie niezależny. Zarząd powinien powołać Dyrektora Wykonawczego z wykazu kandydatów przygotowanego przez Komisję w drodze otwartej i przejrzystej procedury, która jest zgodna z zasadą równowagi płci.

(63) Dyrektor Wykonawczy powinien opracowywać propozycję jednolitego dokumentu programowego ENISA, po uprzednim zasięgnięciu opinii Komisji, oraz powinien podejmować wszelkie czynności niezbędne do zapewnienia prawidłowego wdrożenia tego dokumentu. Dyrektor Wykonawczy powinien przygotowywać przedkładane Zarządowi sprawozdanie roczne, obejmujące informacje na temat wykonania rocznego programu prac ENISA, sporządzać projekt preliminarza dochodów i wydatków ENISA oraz wykonywać budżet. Dyrektor Wykonawczy powinien mieć ponadto możliwość tworzenia grup roboczych ad hoc w celu zajęcia się określonymi kwestiami, w szczególności kwestiami o charakterze naukowym, technicznym, prawnym lub społeczno-gospodarczym. Utworzenie grupy roboczej ad hoc uznaje się za niezbędne zwłaszcza w przypadku przygotowań w zakresie konkretnej propozycji dotyczącej europejskiego programu certyfikacji cyberbezpieczeństwa („propozycja programu”). Utworzenie grupy roboczej ad hoc może być również konieczne w kontekście działań w zakresie utrzymania w odniesieniu do konkretnych przyjętych europejskich programów certyfikacji cyberbezpieczeństwa. Należy również ustanowić grupy robocze ad hoc w celu opracowania i utrzymania europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz wspierania Agencji w zarządzaniu europejskimi ramami umiejętności w dziedzinie cyberbezpieczeństwa, ich wdrażaniu i rozwoju. Dyrektor Wykonawczy powinien zapewnić, aby członkowie grup roboczych ad hoc byli wybierani według najbardziej rygorystycznych kryteriów dotyczących wiedzy fachowej mając na celu zapewnienie równowagi płci i zrównoważonej reprezentacji – w zależności od specyfiki rozpatrywanych kwestii – przedstawicieli administracji publicznej państw członkowskich, podmiotów unijnych oraz sektora prywatnego, w tym przemysłu, użytkowników i ekspertów akademickich w dziedzinie bezpieczeństwa sieci i informacji, jak również ekspertów akademickich w zakresie produktów z elementami cyfrowymi.

(64)Zarząd może podjąć decyzję o utworzeniu stanowiska Zastępcy Dyrektora Wykonawczego, który będzie wspomagał Dyrektora Wykonawczego, jeżeli uzna, że takie stanowisko jest niezbędne do zapewnienia lub utrzymania sprawnego funkcjonowania ENISA. Podejmując decyzję w sprawie utworzenia tego stanowiska, Zarząd może uwzględnić opinię Dyrektora Wykonawczego.

(65)ENISA powinna ustanowić Grupę Doradczą w celu zapewnienia regularnego dialogu z sektorem prywatnym, organizacjami konsumenckimi i innymi odpowiednimi zainteresowanymi stronami. Grupa Doradcza ENISA, ustanowiona przez Zarząd na wniosek Dyrektora Wykonawczego, powinna skupiać się na kwestiach istotnych dla zainteresowanych stron i powinna zwracać na nie uwagę ENISA. Z Grupą Doradczą ENISA należy się konsultować zwłaszcza w odniesieniu do projektu rocznego programu prac ENISA. Skład Grupy Doradczej ENISA oraz powierzone jej zadania powinny zapewniać wystarczającą reprezentację zainteresowanych stron w pracach ENISA. Przedstawiciele krajowych i unijnych organów ścigania oraz ochrony danych i nadzoru rynku powinni być uprawnieni do udziału w Grupie Doradczej ENISA.

(66)Wnioskodawcy ubiegający się o uzyskanie statusu upoważnionych dostawców poświadczeń lub o przedłużenie ich upoważnienia powinni mieć dostęp do niezbędnych środków odwoławczych w przypadku, gdy decyzje podjęte przez ENISA mają na nich wpływ. W związku z tym należy ustanowić odpowiedni mechanizm odwoławczy, tak aby od odpowiednich decyzji ENISA można było odwołać się do Rady Odwoławczej, której decyzje mogą podlegać kontroli sądowej sprawowanej przez Trybunał Sprawiedliwości Unii Europejskiej zgodnie z Traktatami. Wymóg wyczerpania procedury odwoławczej w ENISA przed wniesieniem skargi do Trybunału Sprawiedliwości Unii Europejskiej ma zastosowanie wyłącznie do osób, które mają legitymację procesową przed Radą Odwoławczą.

(67)Aby zagwarantować ENISA pełną autonomię i niezależność oraz umożliwić jej wykonywanie zadań, należy jej przyznać wystarczający i autonomiczny budżet finansowany głównie z wkładu Unii, ale również z wkładów państw trzecich uczestniczących w pracach ENISA oraz z opłat wnoszonych przez upoważnionych dostawców poświadczeń oraz jednostki oceniające zgodność uczestniczące w programach i wydające europejskie certyfikaty cyberbezpieczeństwa oraz unijne deklaracje zgodności. Przyjmujące państwo członkowskie oraz każde inne państwo członkowskie powinno mieć możliwość dobrowolnego wnoszenia wkładu na rzecz budżetu ENISA. Wkłady finansowe lub rzeczowe otrzymywane przez ENISA od państw członkowskich, państw trzecich lub innych podmiotów lub osób nie powinny zagrażać jej niezależności i bezstronności. Procedura budżetowa Unii powinna mieć zastosowanie w zakresie dotyczącym wkładu Unii i innych dotacji, którymi obciążany jest budżet ogólny Unii. Trybunał Obrachunkowy powinien przeprowadzać kontrolę sprawozdań finansowych ENISA w celu zapewnienia przejrzystości i odpowiedzialności. Aby umożliwić Agencji uczestnictwo we wszystkich odpowiednich projektach w przyszłości, należy zapewnić jej możliwość otrzymywania dotacji.

(68)Aby zapewnić ENISA zdolność do reagowania na zapotrzebowanie na prowadzone przez nią działania, w szczególności w odniesieniu do decyzji o upoważnieniu dostawców do wydawania europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, oraz w odniesieniu do utrzymania europejskich programów certyfikacji cyberbezpieczeństwa i narzędzi testowych, ENISA należy upoważnić do pobierania opłat. Opłaty związane z rozpatrywaniem wniosków o uzyskanie statusu upoważnionego dostawcy poświadczeń należy odpowiednio ustalić, aby w wystarczającym stopniu przyczyniały się do pokrycia szacunkowych kosztów opracowania i utrzymania europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz oceny tego, czy wymogi i obowiązki dotyczące uzyskania i zachowania statusu upoważnionego dostawcy poświadczeń nadal są spełniane. Opłaty związane z kosztami wydawania i odnawiania upoważnień dla upoważnionych dostawców poświadczeń powinny obejmować koszty związane z ocenami przeprowadzanymi przez ENISA lub pod jej nadzorem. Opłaty związane z uczestnictwem w europejskich programach certyfikacji cyberbezpieczeństwa oraz z wydawaniem certyfikatów w ramach takich programów należy odpowiednio określić, aby w wystarczającym stopniu przyczyniały się do pokrycia szacunkowych kosztów utrzymania takich programów. Uiszczanie takich opłat powinno umożliwiać notyfikowanym jednostkom oceniającym zgodność oraz, w stosownych przypadkach, posiadaczom certyfikatów w ramach programu udział w takich działaniach, a także w odpowiednich działaniach w zakresie budowania zdolności i działaniach promocyjnych mających na celu zachęcanie do wymiany najlepszych praktyk i upowszechniania programów oraz certyfikowanych rozwiązań.

(69)Aby zapewnić proporcjonalność, przejrzystość i pewność prawa, opłaty należy ustalać w sposób przejrzysty i sprawiedliwy. W kosztach tych należy uwzględnić wszystkie wydatki ENISA związane z personelem zaangażowanym w działalność podlegającą opłatom, w szczególności proporcjonalną składkę pracodawcy na program emerytalny oraz koszty związane z Radą Odwoławczą. Opłaty nie mogą prowadzić do nakładania na wnioskodawców zbędnych obciążeń finansowych lub administracyjnych. Należy ustalić rozsądne terminy uiszczania opłat.

(70)Konieczne jest wprowadzenie zestawu wskaźników do pomiaru obciążenia pracą Agencji, jej skuteczności i efektywności w odniesieniu do działań finansowanych z opłat. Uwzględniając te wskaźniki, Agencja powinna dostosować planowanie swoich zasobów kadrowych oraz zarządzanie zasobami związanymi z opłatami, aby móc odpowiednio reagować na takie zapotrzebowanie oraz wszelkie wahania w poziomie dochodów z opłat.

(71)Aby zidentyfikować ryzyko i prawidłowo nim zarządzać w przypadku faktycznego lub domniemanego konfliktu interesów, ENISA powinna ustanowić przepisy dotyczące zapobiegania konfliktom interesów i zarządzania nimi. ENISA powinna również stosować przepisy dotyczące dostępu do dokumentów określone w rozporządzeniu (WE) nr 1049/2001 Parlamentu Europejskiego i Rady 54 . Przetwarzanie danych osobowych przez ENISA powinno podlegać rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1725 55 . ENISA powinna przestrzegać przepisów mających zastosowanie do podmiotów Unii oraz przepisów krajowych dotyczących postępowania z informacjami, zwłaszcza ze szczególnie chronionymi informacjami jawnymi i informacjami niejawnymi UE (EUCI).

(72)Podczas wykonywania swoich zadań ENISA może mieć dostęp do informacji szczególnie chronionych, takich jak informacje dotyczące zagrożeń i incydentów cyberbezpieczeństwa. W związku z tym ENISA musi zachować poufność przetwarzanych przez siebie informacji. W szczególności, zgodnie z art. 339 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), urzędnicy i inni pracownicy ENISA nie powinni ujawniać żadnych informacji objętych ze względu na swój charakter tajemnicą służbową, a zwłaszcza informacji dotyczących przedsiębiorstw i ich stosunków handlowych lub kosztów własnych, nawet po zaprzestaniu pełnienia swoich funkcji.

(73)Dla zapewnienia pełnej realizacji jej celów ENISA powinna współpracować z odpowiednimi organami nadzorczymi Unii i z innymi właściwymi organami w Unii, odpowiednimi podmiotami Unii, w tym z CERT-UE, EC3 przy biurze Europolu, ECCC, Europejską Agencją Obrony (EDA), Agencją Unii Europejskiej ds. Programu Kosmicznego (EUSPA), Organem Europejskich Regulatorów Łączności Elektronicznej (BEREC), Europejską Agencją ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w przestrzeni wolności, bezpieczeństwa i sprawiedliwości (eu-LISA), Europejskim Bankiem Centralnym (EBC), Europejskim Urzędem Nadzoru Bankowego (EUNB), Europejską Radą Ochrony Danych, Agencją Unii Europejskiej ds. Współpracy Organów Regulacji Energetyki (ACER), Europejską Agencją Bezpieczeństwa Lotniczego (EASA) i każdym innym podmiotem Unii zaangażowanym w kwestie cyberbezpieczeństwa. ENISA powinna również współpracować z właściwymi organami na podstawie dyrektywy (UE) 2022/2555, organami nadzoru rynku i organami zajmującymi się ochroną danych w celu wymiany wiedzy fachowej i najlepszych praktyk oraz powinna udzielać porad w kwestiach cyberbezpieczeństwa, które mogą mieć wpływ na ich pracę.

(74)Europol odgrywa ważną rolę w zapobieganiu cyberprzestępczości, w tym cyberprzestępczości dotyczącej incydentów związanych z bezpieczeństwem sieci i informacji, oraz w zwalczaniu tych zjawisk. Aby stworzyć synergię między odpowiednimi zadaniami każdej agencji, ENISA powinna współpracować z Europolem, w szczególności poprzez wymianę informacji na temat tendencji w zakresie technik, wymagań i skutków ataków z użyciem oprogramowania szantażującego. Taka współpraca może również polegać na zidentyfikowaniu najpowszechniejszych odmian oprogramowania szantażującego wymierzonych w podmioty wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555 w celu wsparcia podmiotów kluczowych i ważnych w reagowaniu na incydenty i usuwaniu ich skutków.

(75)Aby wspierać współpracę operacyjną i wspólną orientację sytuacyjną w zakresie zagrożeń i incydentów cyberbezpieczeństwa, ENISA musi współpracować z zainteresowanymi stronami, a w szczególności z przedsiębiorstwami i organizacjami z sektora prywatnego, z którymi może ustanawiać partnerstwa publiczno-prywatne.

(76)Aby skutecznie osiągnąć cele określone w niniejszym rozporządzeniu, ENISA może współpracować w szczególności z instytucjami akademickimi, które prowadzą inicjatywy badawcze w odpowiednich dziedzinach, oraz rozwijać odpowiednie kanały przekazywania informacji przez organizacje konsumenckie i inne organizacje.

(77)Biorąc pod uwagę ponadgraniczny charakter zagrożeń i incydentów cyberbezpieczeństwa, poziom cyberbezpieczeństwa i gotowości państw trzecich może mieć wpływ na podmioty w Unii. W związku z tym ENISA powinna mieć możliwość prowadzenia działań w zakresie budowania zdolności, w tym szkoleń, budowania zdolności, tworzenia partnerstw w państwach trzecich, a w szczególności dostosowanych działań w zakresie budowania zdolności dla krajów kandydujących do przystąpienia do Unii lub innych krajów partnerskich zgodnie z priorytetami Unii. Działania takie należy prowadzić na specjalny wniosek o zapewnienie odpowiedniego wsparcia, z uwzględnieniem priorytetów Unii, i realizować je w drodze specjalnych ustaleń, w tym umów o przyznanie wkładu, o których mowa w rozporządzeniu (UE, Euratom) 2024/2509. Europejskie ramy certyfikacji cyberbezpieczeństwa mają na celu ochronę przed zagrożeniami cyberbezpieczeństwa, takimi jak szkodliwe wykorzystanie podatności wpływających na cyberbezpieczeństwo lub incydenty cyberbezpieczeństwa wpływające na funkcjonalność (projektowanie i funkcjonowanie) produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów. Koncentrując się na ryzyku technicznym związanym z produktami ICT, usługami ICT, procesami ICT, usługami zarządzanymi w zakresie bezpieczeństwa lub stanem cyberbezpieczeństwa podmiotów, europejskie ramy certyfikacji cyberbezpieczeństwa powinny uzupełniać ramy bezpieczeństwa łańcuchów dostaw ICT, których celem jest zapewnienie zharmonizowanego podejścia na szczeblu unijnym do przeciwdziałania ryzyku pozatechnicznemu w sektorach kluczowych i innych sektorach krytycznych.

(78)Państwa członkowskie powinny mieć możliwość korzystania z europejskiej certyfikacji cyberbezpieczeństwa w kontekście zamówień publicznych zgodnie z dyrektywą Parlamentu Europejskiego i Rady 2014/24/UE 56 .

(79)Aby ułatwić podmiotom uproszczenie przestrzegania przepisów, europejskie ramy certyfikacji cyberbezpieczeństwa powinny zapewniać możliwość certyfikacji ich stanu cyberbezpieczeństwa. Podmioty, w szczególności te świadczące wiele rodzajów usług w kilku państwach członkowskich, mogą podlegać różnym obowiązkom w zakresie cyberbezpieczeństwa i bezpieczeństwa danych wynikającym z instrumentów horyzontalnych, takich jak rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 57  i dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 58 , a także instrumentów sektorowych. Aby usprawnić wdrażanie ogólnych ram regulacyjnych dotyczących cyberbezpieczeństwa i ułatwić przestrzeganie tych ram, w przepisach Unii należy przewidzieć możliwość wykazania przez podmioty zgodności z wymogami w zakresie zarządzania ryzykiem w cyberprzestrzeni za pomocą europejskiego certyfikatu cyberbezpieczeństwa. Odpowiedni program mógłby przyczynić się do uproszczenia wymogów dotyczących zgodności wynikających z różnych instrumentów regulacyjnych, bez uszczerbku dla ich szczególnych wymogów w zakresie certyfikacji. Takie środki upraszczające mogą potencjalnie zmniejszyć obciążenie administracyjne, udostępniając zasoby w celu zwiększenia gotowości operacyjnej podmiotów w sektorach krytycznych Unii do reagowania w obszarze cyberbezpieczeństwa.

(80)Europejska certyfikacja wymogów w zakresie zarządzania ryzykiem w cyberprzestrzeni opracowana w europejskich ramach certyfikacji cyberbezpieczeństwa powinna umożliwiać podmiotom wykazanie zgodności z odpowiednimi przepisami Unii, w przypadku gdy program obejmuje odpowiednie wymogi prawne określone w takim akcie i gdy tak stanowi. Na tej podstawie w akcie prawnym Unii można również przewidywać domniemanie zgodności z tymi wymogami. Takie programy mogłyby przyczynić się do poprawy spójnego wdrażania wymogów w zakresie cyberbezpieczeństwa określonych w przepisach Unii, aby wyrównać warunki działania we wszystkich państwach członkowskich i zmniejszyć obciążenie regulacyjne.

(81)Europejskie ramy certyfikacji cyberbezpieczeństwa powinny umożliwiać certyfikację procesów ICT, zdefiniowanych jako zestaw działań wykonywanych w celu zaprojektowania, opracowania, dostarczenia lub utrzymania produktu ICT lub usługi ICT. Przykładem procesu ICT jest profil zabezpieczeń określony w rozporządzeniu wykonawczym Komisji (UE) 2024/482 59 . Innym przykładem procesu ICT jest zestaw działań podejmowanych przez producenta w celu bezpiecznego zaprojektowania i opracowania produktu ICT, w tym środki fizyczne, logiczne, proceduralne, kadrowe i inne środki bezpieczeństwa, które są niezbędne do ochrony poufności i integralności projektowania i wdrażania produktu ICT w jego środowisku rozwojowym. Certyfikację takich działań często nazywa się „certyfikacją na miejscu” w kontekście procesu certyfikacji na podstawie rozporządzenia wykonawczego Komisji (UE) 2024/482.

(82)Zawarta w niniejszym rozporządzeniu definicja usług zarządzanych w zakresie bezpieczeństwa powinna być spójna z definicją dostawców usług zarządzanych w zakresie bezpieczeństwa zawartą w dyrektywie (UE) 2022/2555. Usługi te polegają na prowadzeniu lub zapewnianiu pomocy dla działań związanych z zarządzaniem ryzykiem w cyberprzestrzeni, na jakie narażeni są klienci dostawców tych usług, oraz odgrywają coraz większą rolę w zapobieganiu incydentom i ograniczaniu ich skutków. W związku z tym dostawców tych usług uznaje się za podmioty kluczowe lub ważne należące do sektora kluczowego zgodnie z dyrektywą (UE) 2022/2555. Szczególnie ważną rolę w pomaganiu podmiotom w działaniach mających na celu zapobieganie incydentom, wykrywanie ich, reagowanie na nie lub przywracanie normalnego działania po ich wystąpieniu odgrywają dostawcy usług zarządzanych w zakresie bezpieczeństwa zajmujący się obszarami takimi jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo. Sami dostawcy usług zarządzanych w zakresie bezpieczeństwa padają jednak również ofiarą cyberataków, a ponieważ ich działalność jest ściśle zintegrowana z operacjami ich klientów, wiąże się to ze szczególnym ryzykiem. Konieczne jest zatem, aby przy wyborze dostawcy usług zarządzanych w zakresie bezpieczeństwa podmioty kluczowe i ważne w rozumieniu dyrektywy (UE) 2022/2555 dochowywały szczególnej staranności.

(83)Europejskie programy certyfikacji cyberbezpieczeństwa są istotne dla szerokiej społeczności zainteresowanych stron, takich jak dostawcy rozwiązań ICT, jednostki oceniające zgodność i użytkownicy. Aby propagować szerokie zaangażowanie zainteresowanych stron, posiedzenie Europejskiego Zgromadzenia ds. Certyfikacji Cyberbezpieczeństwa („Zgromadzenie”) należy organizować co najmniej raz w roku, aby wspierać współpracę między Komisją, ENISA, państwami członkowskimi i odpowiednimi zainteresowanymi stronami. Będzie ono odgrywało kluczową rolę w określaniu nowych wyzwań w zakresie cyberbezpieczeństwa i strategicznych priorytetów certyfikacji oraz w reagowaniu na nie, a także w zapewnianiu, aby programy certyfikacji ułatwiały bezpieczną integrację technologii cyfrowych i były dostosowane do potrzeb użytkowników. Zgromadzenie powinno wspierać przywództwo Unii w działaniach certyfikacyjnych i utrzymywać zdolność ram certyfikacji do budowania zaufania wśród przedsiębiorstw, organów publicznych i opinii publicznej.

(84)Komisja powinna prowadzić specjalną stronę internetową w celu zapewnienia przejrzystości poprzez publikowanie aktualnych informacji na temat postępów we wdrażaniu europejskich ram certyfikacji cyberbezpieczeństwa. Strona internetowa powinna zawierać informacje dotyczące przygotowywanych programów certyfikacji, priorytety strategiczne przyszłych programów certyfikacji, wnioski skierowane do ENISA o przygotowanie propozycji programów certyfikacji oraz informacje na temat przyjęcia programów certyfikacji. Strona internetowa Komisji uzupełni stronę internetową ENISA poświęconą europejskim programom certyfikacji cyberbezpieczeństwa, która powinna zawierać kompleksowe szczegółowe informacje na temat technicznego przygotowania propozycji programów i utrzymania programów, ze szczególnym uwzględnieniem wydanych europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności.

(85)Aby wzmocnić dialog między instytucjami Unii i przyczynić się do formalnego, otwartego, przejrzystego i integracyjnego procesu konsultacji, przy ocenie niniejszego rozporządzenia Komisja powinna uwzględnić elementy wynikające z opinii wyrażonych przez Parlament Europejski i Radę oraz Europejskie Zgromadzenie ds. Certyfikacji Cyberbezpieczeństwa.

(86)Studia wykonalności przeprowadzane przez ENISA powinny wspierać przygotowania do planowania i opracowywania programów certyfikacji cyberbezpieczeństwa. W studiach tych należy uwzględnić opinie odpowiednich zainteresowanych stron i dostosować przyszłe programy certyfikacji do bieżących działań w zakresie badań, rozwoju i oceny technologicznej, uznając w szczególności wkład inicjatyw badawczych Unii i państw członkowskich. Takie studia mogą pomóc w określeniu dostępnych norm i specyfikacji technicznych. Należy je przeprowadzać na wniosek Komisji lub zgodnie z priorytetami strategicznymi Unii, aby zapewnić odpowiednie uwzględnienie i odzwierciedlenie zmieniającego się krajobrazu technologicznego i potrzeb w zakresie cyberbezpieczeństwa przy składaniu wniosków dotyczących programów i ich opracowywaniu.

(87)Projekt propozycji programu oraz zakres jego celów i elementów związanych z bezpieczeństwem powinny być współmierne do przedmiotu i zakresu przedmiotu certyfikacji. Na przykład program certyfikacji usług w chmurze może zatem odnosić się do celów w zakresie bezpieczeństwa, które są istotne dla usług ICT i bezpieczeństwa organizacyjnego. Innym przykładem może być cel w zakresie bezpieczeństwa związany z nieuwzględnieniem znanych możliwych do wykorzystania podatności, który prawdopodobnie nie będzie miał znaczenia dla certyfikacji procesów ICT.

(88)W celu zapewnienia wdrażania europejskich programów certyfikacji cyberbezpieczeństwa w sposób zharmonizowany we wszystkich państwach członkowskich konieczne jest ustanowienie przepisów dotyczących utrzymania tych programów. Działania w zakresie utrzymania są również niezbędne do zapewnienia aktualności programów i dokumentacji uzupełniającej, zwłaszcza w dziedzinie cyberbezpieczeństwa, w której krajobraz zagrożeń i technologie stale się rozwijają. Programy certyfikacji należy zatem projektować i utrzymywać w taki sposób, aby uniknąć ryzyka ich szybkiej dezaktualizacji. Działania w zakresie utrzymania powinny zazwyczaj obejmować sporządzanie i aktualizowanie dokumentacji uzupełniającej, w tym specyfikacji technicznych i wytycznych, a także określanie norm lub specyfikacji technicznych, które są istotne dla danego programu. Częścią działań w zakresie utrzymania powinna być również analiza funkcjonowania programu, jego potencjalnych niedociągnięć i koniecznych usprawnień. Ponadto działania w zakresie utrzymania powinny obejmować wymianę informacji między państwami członkowskimi na temat wdrażania programów oraz wkład w mechanizmy wzajemnego przeglądu.

(89)Ze względu na techniczny charakter działań w zakresie utrzymania ENISA powinna zarządzać takimi działaniami we współpracy z Komisją oraz przy wsparciu Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa (ECCG) i jej odpowiedniej podgrupy ds. utrzymania. Utworzenie podgrupy ECCG ds. utrzymania umożliwia gromadzenie informacji technicznych i spostrzeżeń od państw członkowskich w celu harmonizacji podejść.

(90)Działania w zakresie utrzymania powinny obejmować interakcje z odpowiednimi grupami zainteresowanych stron w celu zapewnienia istotności programów dla rynku i ich aktualności, w tym poprzez wymianę uwag technicznych i ich otrzymywanie. Takimi grupami zainteresowanych stron mogą być organizacje normalizacyjne, jednostki oceniające zgodność, sprzedawcy, użytkownicy, organy publiczne lub organizacje gospodarcze. Specyfika każdego programu, w tym odpowiednich forów technicznych i branż, oznacza, że w ramach poszczególnych programów powinna istnieć możliwość gromadzenia uwag technicznych na różne sposoby. W przypadku niektórych programów ENISA powinna mieć możliwość polegania na grupie roboczej ad hoc, w skład której wchodzą eksperci z administracji publicznych państw członkowskich, podmiotów Unii i sektora prywatnego. Uwagi techniczne mogłyby również pochodzić od ośrodków wymiany i analizy informacji lub organizacji normalizacyjnych. ENISA powinna przeanalizować, który format jest najbardziej odpowiedni dla każdego programu, i uwzględnić strategię utrzymania w każdej propozycji programu.

(91)Europejskie programy certyfikacji cyberbezpieczeństwa powinny opierać się na normach lub specyfikacjach technicznych, w szczególności w celu określenia wymogów w zakresie bezpieczeństwa i metodyk oceny. ENISA powinna mieć możliwość opracowania specyfikacji technicznych w celu wsparcia przygotowania i utrzymania programów, w szczególności w przypadku gdy brakuje dokumentów organizacji normalizacyjnych lub nie są one odpowiednie do osiągnięcia celów programu. W ramach procesu opracowywania projektu ENISA powinna otrzymać wsparcie ECCG oraz, w stosownych przypadkach, grupy roboczej ad hoc ustanowionej na potrzeby danego programu. ENISA powinna również zabiegać o uwagi grup zainteresowanych stron. Ponadto ENISA powinna rozważyć uznanie na rynku, a także normy europejskie i międzynarodowe. Biorąc pod uwagę jakość specyfikacji technicznych i cele programu, Komisja powinna mieć możliwość odnoszenia się do specyfikacji technicznych opracowanych przez ENISA w ramach europejskiego programu certyfikacji cyberbezpieczeństwa.

(92)Specyfikacje techniczne opracowane przez ENISA i przywołane w programie należy udostępniać na stronie internetowej ENISA poświęconej europejskim programom certyfikacji cyberbezpieczeństwa, tak aby wszystkie zainteresowane strony miały do nich dostęp. W niektórych szczególnych przypadkach publikacja na stronie internetowej może jednak stwarzać ryzyko dla cyberbezpieczeństwa certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, a tym samym dla bezpieczeństwa publicznego. Na przykład specyfikacje techniczne mogłyby zawierać dokładne informacje na temat nowych ścieżek ataku, których publiczna dostępność umożliwiłaby podmiotom działającym w złej wierze korzystanie z nich. Tego rodzaju informacje należy rozpowszechniać w sposób ograniczony zgodnie z zasadą ograniczonego dostępu wśród odpowiednich zainteresowanych stron, takich jak krajowe organy ds. certyfikacji cyberbezpieczeństwa, jednostki oceniające zgodność i certyfikowani sprzedawcy. Ze względu na ich ograniczoną dystrybucję takich specyfikacji technicznych nie należy przywoływać w europejskich programach certyfikacji cyberbezpieczeństwa, a zatem powinny mieć one charakter niewiążący.

(93)Programy certyfikacji stanu cyberbezpieczeństwa należy projektować w sposób modułowy, aby umożliwić wykazanie zgodności i domniemanie zgodności z odpowiednimi wymogami w zakresie cyberbezpieczeństwa określonymi w innych przepisach Unii, w przypadku gdy przepisy te przewidują taką możliwość. Domniemanie zgodności z wymogami tych aktów prawnych stanie się zatem skutecznym sposobem wykazania zgodności tylko wtedy, gdy odpowiednie akty prawne przewidują możliwość takiego domniemania. Szczegóły takiego programu, a mianowicie cel, założenia lub elementy, będą zatem prawdopodobnie różnić się od szczegółów innych programów. W szczególności należy opracować programy certyfikacji stanu cyberbezpieczeństwa podmiotów, aby zapewnić ocenę ciągłej zgodności podmiotu z przepisami Unii. Programy certyfikacji stanu cyberbezpieczeństwa nie muszą zatem obejmować wszystkich elementów europejskich programów certyfikacji cyberbezpieczeństwa, takich jak poziomy uzasadnienia zaufania, co powinno znaleźć odzwierciedlenie w przepisach dotyczących tych programów.

(94)Ramy certyfikacji stanu cyberbezpieczeństwa w europejskich ramach certyfikacji cyberbezpieczeństwa pozwalają na opracowanie programu umożliwiającego podmiotom świadczącym usługi w kilku państwach członkowskich wykazanie zgodności z obowiązkami w zakresie zarządzania ryzykiem w cyberprzestrzeni określonymi w dyrektywie Parlamentu Europejskiego i Rady 2022/2555. Na tej podstawie, mając możliwość wykazania zgodności, podmioty mogą korzystać z bardziej spójnych i mniej uciążliwych podejść nadzorczych na całym rynku wewnętrznym. Opracowanie takiego programu certyfikacji należy ułatwić poprzez przyjęcie aktów wykonawczych na podstawie dyrektywy (UE) 2022/2555. Dzięki profilom rozszerzenia program certyfikacji stanu cyberbezpieczeństwa może wykazać zgodność z wymogami, w przypadku gdy państwo członkowskie przyjęło lub utrzymało przepisy zapewniające wyższy stan cyberbezpieczeństwa zgodnie z dyrektywą (UE) 2022/2555. Na tej podstawie podmiot świadczący usługi w kilku państwach członkowskich może wykazać zgodność ze wszystkimi odpowiednimi profilami rozszerzenia za pomocą jednolitego europejskiego certyfikatu cyberbezpieczeństwa.

(95)Cele i wymogi w zakresie bezpieczeństwa określone w europejskich programach certyfikacji cyberbezpieczeństwa w odniesieniu do kwestii związanych z bezpieczeństwem produktów powinny być spójne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I do rozporządzenia (UE) 2024/2847. Spójność ta jest niezbędna do zapewnienia, by producenci, których produkty wchodzą w zakres rozporządzenia (UE) 2024/2847, nie napotykali sprzecznych wymogów przy certyfikacji swoich produktów w ramach europejskiego programu certyfikacji cyberbezpieczeństwa. Ponadto spójność wymogów ułatwia domniemanie zgodności określone w art. 27 rozporządzenia (UE) 2024/2847, zgodnie z którym producenci produktów z elementami cyfrowymi, które certyfikowano w ramach europejskiego programu certyfikacji cyberbezpieczeństwa, mogą pod pewnymi warunkami korzystać z domniemania zgodności z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I do tego rozporządzenia.

(96)W ramach europejskiego programu certyfikacji cyberbezpieczeństwa powinna istnieć możliwość określenia profilu rozszerzenia poprzez wskazanie dodatkowych lub szczegółowych wymogów dotyczących przypadków użycia, w tym dodatkowych zdolności, takich jak ulepszone cechy produktu, specjalistyczne oferty usług lub aktywa, zoptymalizowane procesy i zaawansowane środki bezpieczeństwa. Ponieważ profile rozszerzenia nie odpowiadają konkretnemu poziomowi uzasadnienia zaufania, należy szczegółowo opisać ich cel, w tym uwzględnione zagrożenia bezpieczeństwa. Profile rozszerzenia mają w szczególności na celu wykazanie zgodności z określonymi normami i wymogami regulacyjnymi, w tym, w stosownych przypadkach, z wymogami dotyczącymi dodatkowych środków zarządzania ryzykiem w cyberprzestrzeni określonymi przez państwo członkowskie zgodnie z zasadą harmonizacji minimalnej, o której mowa w dyrektywie (UE) 2022/2555.

(97)Bez uszczerbku dla ogólnego systemu wzajemnego przeglądu, który ma zostać wprowadzony we wszystkich krajowych organach ds. certyfikacji cyberbezpieczeństwa w europejskich ramach certyfikacji cyberbezpieczeństwa, powinna istnieć możliwość włączenia do europejskich programów certyfikacji cyberbezpieczeństwa mechanizmu wzajemnego przeglądu w odniesieniu do podmiotów wydających europejskie certyfikaty cyberbezpieczeństwa dla produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów, w szczególności dla podmiotów wydających certyfikaty o „wysokim” poziomie uzasadnienia zaufania w ramach takich programów. Takie podmioty powinny również obejmować jednostki certyfikujące krajowych organów ds. certyfikacji cyberbezpieczeństwa wydające certyfikaty o „wysokim” poziomie uzasadnienia zaufania. ECCG powinna wspierać wdrażanie takich mechanizmów wzajemnej oceny. W ramach wzajemnej oceny należy w szczególności oceniać, czy dane organy wykonują swoje obowiązki w zharmonizowany sposób i może on zawierać mechanizmy odwoławcze.

(98)Kryzysy, takie jak wojny, klęski żywiołowe i pandemie, mogą mieć negatywny wpływ na działania w zakresie certyfikacji. W tego rodzaju scenariuszach kryzysowych zapewnienie bezpieczeństwa obiektu może być niewykonalne na przykład ze względu na zniszczenie infrastruktury, cyberataki, niedostępność personelu oraz niedostępność obiektu. Europejski program certyfikacji cyberbezpieczeństwa powinien zatem określać tymczasowe zasady dotyczące ciągłości działań certyfikacyjnych w takich scenariuszach.

(99)Przełożenie propozycji programów technicznych na akty wykonawcze wymaga złożonej wiedzy technicznej i prawnej oraz może powodować znaczne obciążenie administracyjne. Ponadto niektóre elementy europejskich programów certyfikacji cyberbezpieczeństwa, takie jak zarządzanie podatnościami lub warunki, na jakich takie znaki lub oznakowania mogą być stosowane, mają charakter międzysektorowy i mogą odnosić korzyści ze zharmonizowanych przepisów odniesienia. Aby zapewnić jakość przyjętych europejskich programów certyfikacji cyberbezpieczeństwa i zmniejszyć obciążenie regulacyjne przedsiębiorstw, Komisja powinna być uprawniona do przyjmowania przepisów wzorcowych obejmujących niektóre elementy europejskich programów certyfikacji cyberbezpieczeństwa.

(100)Aby zapewnić spójność europejskich ram certyfikacji cyberbezpieczeństwa, w ramach europejskich programów certyfikacji cyberbezpieczeństwa powinna istnieć możliwość wskazywania poziomów uzasadnienia zaufania dla wydawanych na ich podstawie europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności. Europejski certyfikat cyberbezpieczeństwa powinien odnosić się do jednego z poziomów uzasadnienia zaufania: „podstawowy”, „istotny” lub „wysoki”, natomiast unijna deklaracja zgodności powinna odnosić się wyłącznie do poziomu uzasadnienia zaufania: „podstawowy”. Poziomy uzasadnienia zaufania powinny zapewniać odpowiednią rygorystyczność i wnikliwość oceny produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu oraz powinny charakteryzować się odniesieniem do związanych z nimi specyfikacji technicznych, norm i procedur, w tym kontroli technicznych, których celem jest łagodzenie skutków incydentów lub zapobieganie im. Poszczególne poziomy uzasadnienia zaufania powinny być jednolite w różnych sektorach, w których stosuje się certyfikację.

(101)Wybór odpowiedniej certyfikacji i powiązanych wymogów w zakresie bezpieczeństwa przez użytkowników europejskich certyfikatów cyberbezpieczeństwa powinien opierać się na analizie ryzyka związanego ze stosowaniem produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub kontekstem certyfikacji podmiotów. W związku z tym poziom uzasadnienia zaufania powinien być proporcjonalny do poziomu ryzyka związanego z przewidzianym stosowaniem produktu ICT, usługi ICT, procesu ICT, usług zarządzanych w zakresie bezpieczeństwa lub środowiska operacyjnego i charakteru podmiotu, którego stan cyberbezpieczeństwa podlega certyfikacji.

(102)W przypadku „podstawowego” poziomu uzasadnienia zaufania ocena powinna opierać się co najmniej na następujących elementach uzasadnienia zaufania: ocena powinna obejmować co najmniej przegląd dokumentacji technicznej produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu przez jednostkę oceniającą zgodność. W przypadku gdy certyfikacja obejmuje procesy ICT, przegląd techniczny powinien również obejmować proces stosowany w celu zaprojektowania, opracowania i utrzymania produktu ICT, usługi ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu. W przypadku gdy europejski program certyfikacji cyberbezpieczeństwa przewiduje ocenę zgodności przez stronę pierwszą, wystarczy, że producent lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa podlega certyfikacji, przeprowadził ocenę zgodności przez stronę pierwszą produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu z programem certyfikacji.

(103)W przypadku „istotnego” poziomu uzasadnienia zaufania ocena – oprócz wymogów dotyczących „podstawowego” poziomu uzasadnienia zaufania – powinna obejmować przynajmniej weryfikację zgodności funkcji bezpieczeństwa produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu z jego dokumentacją techniczną.

(104)W przypadku „wysokiego” poziomu uzasadnienia zaufania ocena – oprócz wymogów dotyczących „istotnego” poziomu uzasadnienia zaufania – powinna obejmować przynajmniej testy skuteczności, w których ocenia się odporność funkcji bezpieczeństwa na zaawansowane cyberataki dokonywane przez osoby o wysokich umiejętnościach i dysponujące znacznymi zasobami. Działania w ramach oceny zgodności należy prowadzić w Europejskim Obszarze Gospodarczym w przypadku „wysokiego” poziomu uzasadnienia zaufania lub w przypadku gdy program ma na celu wykazanie zgodności i zapewnienie domniemania zgodności z innymi przepisami Unii. Wymóg ten jest uzasadniony faktem, że działania w zakresie oceny prowadzone poza Europejskim Obszarem Gospodarczym powodują dodatkowe zagrożenia dla cyberbezpieczeństwa, w szczególności w odniesieniu do własności intelektualnej ocenianych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotów. Na przykład kod źródłowy produktu ICT może być kontrolowany przy przekraczaniu granicy państwa trzeciego, co stanowi zagrożenie dla własności intelektualnej. Ponadto laboratoria badawcze mające siedzibę w państwach trzecich nie działają w środowisku, którego dotyczą środki w zakresie cyberbezpieczeństwa przewidziane w przepisach UE, takich jak dyrektywa (UE) 2022/2555 lub rozporządzenie (UE) 2024/2847. Na przykład laboratorium badawcze może korzystać z usług zewnętrznego dostawcy usług w chmurze, który nie spełnia wymogów w zakresie cyberbezpieczeństwa określonych w dyrektywie (UE) 2022/2555. Niemniej jednak w ramach programu certyfikacji należy zezwolić na ustanowienie mechanizmów odstępstw, na przykład związanych z certyfikacją obiektu lub w innych przypadkach, w których działań związanych z oceną zgodności nie można racjonalnie przeprowadzić w Europejskim Obszarze Gospodarczym.

(105)W niektórych przypadkach konieczne mogą być różne podejścia do osiągnięcia celów w zakresie bezpieczeństwa na danym poziomie uzasadnienia zaufania, aby uwzględnić specyfikę produktu ICT, usługi ICT, procesu ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów. Aby umożliwić bardziej szczegółowe podejście, w europejskim programie certyfikacji cyberbezpieczeństwa powinna istnieć możliwość określenia co najmniej jednego poziomu oceny odpowiadającego jednemu z poziomów uzasadnienia zaufania. Umożliwi to opracowanie programów, w których wiele poziomów oceny opracowanych w innym celu będzie odpowiadało poziomowi bezpieczeństwa związanemu z określonym poziomem uzasadnienia zaufania.

(106)Europejskie programy certyfikacji cyberbezpieczeństwa powinny dopuszczać możliwość przeprowadzenia oceny zgodności na wyłączną odpowiedzialność producenta lub dostawcy produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmiotu, którego stan cyberbezpieczeństwa podlega certyfikacji („ocena zgodności przez stronę pierwszą”). W takich przypadkach powinno wystarczyć, aby producent, dostawca lub podmiot, którego stan cyberbezpieczeństwa podlega certyfikacji, przeprowadził samodzielnie wszystkie kontrole w celu zapewnienia zgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu z europejskim programem certyfikacji cyberbezpieczeństwa. Ocenę zgodności przez stronę pierwszą należy uznać za odpowiednią w odniesieniu do produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, które cechują się niskim stopniem złożoności, stwarzają niskie ryzyko dla ogółu społeczeństwa oraz mają prostą konstrukcję lub proste mechanizmy produkcyjne.

(107)W przypadku gdy europejski program certyfikacji cyberbezpieczeństwa umożliwia zarówno ocenę zgodności przez stronę pierwszą, jak i certyfikację produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, program certyfikacji powinien zapewniać konsumentom lub innym użytkownikom jasne i zrozumiałe środki umożliwiające odróżnienie produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów poddanych ocenie zgodności przez stronę pierwszą od tych certyfikowanych przez osoby trzecie.

(108)Producent lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmioty, których stan cyberbezpieczeństwa podlega certyfikacji, powinni mieć możliwość wydania i podpisania unijnej deklaracji zgodności w ramach procedury oceny zgodności. Unijna deklaracja zgodności to dokument, w którym stwierdza się, że dany produkt ICT, dana usługa ICT, dany proces ICT, dana usługa zarządzana w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu spełniają wymogi europejskiego programu certyfikacji cyberbezpieczeństwa. Wydając i podpisując unijną deklarację zgodności, producent lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa podlega certyfikacji, przyjmuje odpowiedzialność za zgodność produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu z wymogami w zakresie bezpieczeństwa określonymi w europejskim programie certyfikacji cyberbezpieczeństwa. Kopię unijnej deklaracji zgodności należy przedłożyć krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ENISA.

(109)Producenci lub dostawcy produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmioty, których stan cyberbezpieczeństwa podlega certyfikacji, powinni udostępniać unijną deklarację zgodności, dokumentację techniczną i wszelkie inne istotne informacje dotyczące zgodności z europejskim programem certyfikacji cyberbezpieczeństwa właściwemu krajowemu organowi ds. certyfikacji cyberbezpieczeństwa przez okres przewidziany w odpowiednim europejskim programie certyfikacji cyberbezpieczeństwa i zgodnie z mającymi zastosowanie przepisami Unii. Dokumentacja techniczna powinna określać wymogi mające zastosowanie w ramach programu w zakresie odpowiednim dla oceny zgodności przez stronę pierwszą. Dokumentację techniczną należy sporządzić w taki sposób, aby umożliwić ocenę tego, czy produkt ICT, usługa ICT, proces ICT lub usługa zarządzana w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu spełniają wymogi mające zastosowanie w ramach programu.

(110)Europejskie certyfikaty cyberbezpieczeństwa i unijne deklaracje zgodności powinny pomóc użytkownikom w dokonywaniu świadomego wyboru. W związku z tym odpowiednie informacje należy publikować na stronie internetowej prowadzonej przez ENISA. Ponadto produktom ICT, usługom ICT i procesom ICT, które uzyskały certyfikację lub w przypadku których wydano unijną deklarację zgodności, powinny towarzyszyć ustrukturyzowane informacje dostosowane do zakładanego poziomu wiedzy technicznej przewidywanych użytkowników. Wszyscy użytkownicy powinni mieć dostęp do informacji dotyczących numeru referencyjnego programu certyfikacji, organu lub podmiotu wydającego oraz, w stosownych przypadkach, poziomu uzasadnienia zaufania lub powinni mieć możliwość uzyskania kopii europejskiego certyfikatu cyberbezpieczeństwa. Informacje te powinny być regularnie aktualizowane i udostępnione na specjalnej stronie internetowej poświęconej europejskim programom certyfikacji cyberbezpieczeństwa. Ponadto w celu zapewnienia ciągłej dostępności producenci i dostawcy powinni być zobowiązani do notyfikowania odpowiedniej jednostki certyfikującej w przypadku zmiany lokalizacji informacji udostępnianych online lub, w stosownych przypadkach, w formie fizycznej.

(111)Ocena zgodności to procedura oceny tego, czy spełniono określone wymogi dotyczące produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub podmiotu. Procedurę tę przeprowadza niezależna osoba trzecia, która nie jest producentem ani dostawcą produktów ICT, usług ICT, procesów ICT ani usług zarządzanych w zakresie bezpieczeństwa podlegających certyfikacji, ani podmiotem, którego stan cyberbezpieczeństwa jest poddawany ocenie. Europejski certyfikat cyberbezpieczeństwa powinien być wydany po tym, jak produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu przejdzie pomyślną ocenę. Europejski certyfikat cyberbezpieczeństwa należy uznać za potwierdzenie, że dana ocena została przeprowadzona prawidłowo.

(112)Ścisły podział między działalnością w zakresie nadzoru a działalnością w zakresie certyfikacji ma zasadnicze znaczenie dla uniknięcia zakłóceń i ingerencji, które mogą wystąpić w sytuacjach, gdy podmiot nadzorujący rynek jednocześnie konkuruje na tym samym rynku. W związku z tym działania, w ramach których krajowe organy ds. certyfikacji cyberbezpieczeństwa pełnią jedynie funkcję nadzorczą, taką jak udzielanie uprzedniego zatwierdzenia na wydanie certyfikatu, nie powinny wymagać dalszego wewnętrznego oddzielenia od innych działań nadzorczych. Obejmuje to na przykład sytuację, w której krajowy organ ds. certyfikacji cyberbezpieczeństwa aktywnie gromadzi informacje w trakcie całego procesu certyfikacji prowadzonego przez prywatne jednostki oceniające zgodność, a następnie wydaje opinię na temat wydania certyfikatu przez te jednostki („model uprzedniego zatwierdzenia”).

(113)W europejskich programach certyfikacji cyberbezpieczeństwa należy określić warunki, na jakich produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu mogą wymagać ponownej certyfikacji lub na jakich może zaistnieć potrzeba ograniczenia zakresu konkretnego europejskiego certyfikatu cyberbezpieczeństwa. Ponadto europejskie programy certyfikacji cyberbezpieczeństwa powinny uwzględniać wszelkie ewentualne negatywne skutki jakichkolwiek wykrytych później podatności lub niezgodności dotyczących produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, które uzyskały certyfikację, w odniesieniu do zgodności z wymogami w zakresie bezpieczeństwa określonymi w tym certyfikacie.

(114)Harmonizacja odgrywa kluczową rolę w zapewnianiu wysokiego poziomu cyberbezpieczeństwa i zwiększaniu dostępu przedsiębiorstw do rynku. Z kolei fragmentacja i brak wzajemnego uznawania certyfikatów stwarzają znaczne bariery dla płynnego przepływu danych, zwiększając tym samym koszty operacyjne dla przemysłu Unii. Aby złagodzić te wyzwania, należy unikać fragmentacji zarówno w zakresie kontroli bezpieczeństwa, jak i metod oceny zgodności w całej Unii.

(115)Państwa członkowskie powinny informować Komisję i ECCG z odpowiednim wyprzedzeniem przed przyjęciem nowych krajowych programów certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, aby pomóc Komisji i ECCG w ocenie wpływu nowego krajowego programu certyfikacji cyberbezpieczeństwa na prawidłowe funkcjonowanie rynku wewnętrznego oraz w kontekście wszelkich strategicznych interesów związanych z ubieganiem się o utworzenie europejskiego programu certyfikacji cyberbezpieczeństwa.

(116)Obecność w przepisach krajowych odesłań do norm krajowych, które przestały być skuteczne ze względu na wejście w życie europejskiego programu certyfikacji cyberbezpieczeństwa, może powodować dezorientację. Dlatego też, w stosownych przypadkach, państwa członkowskie powinny uwzględnić przyjęcie danego europejskiego programu certyfikacji cyberbezpieczeństwa w swoich przepisach krajowych.

(117)W celu ułatwienia rozwoju wiarygodnego rynku wewnętrznego, przy jednoczesnym tworzeniu partnerstw z państwami trzecimi, proces certyfikacji ustanowiony w europejskich ramach certyfikacji cyberbezpieczeństwa powinien być wdrażany w sposób ułatwiający międzynarodowe uznawanie, wzajemne uznawanie oraz dostosowanie do norm międzynarodowych.

(118)Aby jeszcze bardziej ułatwić handel, a także uznając, że łańcuchy dostaw ICT mają charakter międzynarodowy, Unia może zawierać umowy o wzajemnym uznawaniu dotyczące europejskich certyfikatów cyberbezpieczeństwa zgodnie z art. 218 TFUE. Należy upoważnić Komisję do przyjmowania aktów wykonawczych w celu jednostronnego uznawania równoważności certyfikatów państw trzecich z europejskimi certyfikatami cyberbezpieczeństwa. Powinna istnieć możliwość określenia szczegółowych warunków takiego uznawania certyfikatów wydanych przez państwa trzecie.

(119)W celu zapewnienia równoważnego wdrażania ram w całej Unii, ułatwienia wzajemnego uznawania i propagowania powszechnej akceptacji europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności konieczne jest ustanowienie systemu wzajemnego przeglądu pomiędzy krajowymi organami ds. certyfikacji cyberbezpieczeństwa. Wzajemny przegląd powinien obejmować procedury nadzorowania zgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów z europejskimi certyfikatami cyberbezpieczeństwa, procedury monitorowania wypełniania zobowiązań przez producentów lub dostawców produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i certyfikowanych podmiotów, którzy przeprowadzają ocenę zgodności przez stronę pierwszą, procedury monitorowania jednostek oceniających zgodność, a także adekwatności wiedzy fachowej personelu jednostek wydających certyfikaty o „wysokim” poziomie uzasadnienia zaufania. ENISA powinna uczestniczyć we wzajemnych przeglądach w charakterze obserwatora i wspierać organizację mechanizmu wzajemnego przeglądu i wzajemne przeglądy, między innymi poprzez opracowywanie odpowiednich wytycznych i szablonów we współpracy z Komisją i ECCG. ENISA powinna również udostępniać publicznie na swojej stronie internetowej poświęconej europejskim programom certyfikacji cyberbezpieczeństwa informacje na temat harmonogramu wzajemnych przeglądów oraz wykaz krajowych organów ds. certyfikacji cyberbezpieczeństwa poddanych wzajemnej ocenie, które mają realizować ten harmonogram. W rozporządzeniu wykonawczym Komisji (UE) 2025/2540 60 , przyjętym na podstawie rozporządzenia (UE) 2019/881, ustanowiono plan wzajemnych przeglądów, który jest wykorzystywany w ramach przyjętych europejskich programów certyfikacji cyberbezpieczeństwa. Konieczne jest zapewnienie kontynuacji wzajemnych przeglądów. Niemniej jednak, w stosownych przypadkach Komisja powinna mieć możliwość ustanowienia, w drodze aktów wykonawczych, nowego planu wzajemnych przeglądów trwających co najmniej pięć lat, a także określenia kryteriów i metod funkcjonowania systemu wzajemnego przeglądu.

(120) Po przyjęciu europejskiego programu certyfikacji cyberbezpieczeństwa producenci lub dostawcy produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmioty, których stan cyberbezpieczeństwa podlega certyfikacji, powinni mieć możliwość składania wniosków o certyfikację swoich produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa wybranej przez siebie jednostce oceniającej zgodność w dowolnym miejscu w Unii. Jednostki oceniające zgodność powinny być akredytowane przez krajową jednostkę akredytującą, jeżeli spełniają wymogi określone w niniejszym rozporządzeniu oraz, w stosownych przypadkach, wymogi określone przez Komisję zgodnie z niniejszym rozporządzeniem. Program określony w niniejszym rozporządzeniu należy uzupełnić systemem akredytacji przewidzianym w rozporządzeniu Parlamentu Europejskiego i Rady (WE) nr 765/2008 61 .

(121) Jednostki oceniające zgodność, które zostały akredytowane lub notyfikowane na podstawie obowiązujących przepisów Unii, w szczególności rozporządzenia (UE) 2024/2847 lub rozporządzenia wykonawczego (UE) 2024/482, mogą posiadać kompetencje istotne dla nowo przyjętych europejskich programów certyfikacji cyberbezpieczeństwa. Aby uniknąć niepotrzebnych obciążeń finansowych i administracyjnych, należy stworzyć synergie w zakresie akredytacji jednostek oceniających zgodność na podstawie niniejszego rozporządzenia. Z tego powodu wymogi dotyczące akredytacji programów należy ustanowić w taki sposób, aby w jak największym stopniu dostosować je do wymogów dotyczących jednostek notyfikowanych określonych w rozporządzeniu (UE) 2024/2847 oraz wymogów dotyczących akredytacji na podstawie rozporządzenia wykonawczego (UE) 2024/482. Ponadto jednostki oceniające zgodność, które przechodzą proces akredytacji na podstawie niniejszego rozporządzenia, powinny mieć możliwość polegania na wcześniejszych wynikach oceny swoich kompetencji na podstawie innych przepisów Unii w każdym przypadku nakładania się wymogów dotyczących akredytacji.

(122)W celu ułatwienia świadczenia zharmonizowanych usług w zakresie oceny zgodności w całej Unii powinna istnieć możliwość określenia w europejskim programie certyfikacji cyberbezpieczeństwa dodatkowych lub szczegółowych wymogów dla jednostek oceniających zgodność. W kontekście certyfikacji upoważnienie należy rozumieć jako decyzję krajowego organu ds. certyfikacji cyberbezpieczeństwa stwierdzającą, że jednostka oceniająca zgodność spełnia szczegółowe lub dodatkowe wymogi określone w europejskim programie certyfikacji cyberbezpieczeństwa umożliwiające jej przeprowadzenie określonego działania w ramach oceny zgodności.

(123)W przypadku gdy w europejskim programie certyfikacji cyberbezpieczeństwa określono dodatkowe lub szczegółowe wymogi zgodnie z niniejszym rozporządzeniem krajowe organy ds. certyfikacji cyberbezpieczeństwa powinny udzielić jednostkom oceniającym zgodność upoważnienia do wykonywania zadań w ramach takiego programu. Aby uniknąć wielokrotnego wydawania upoważnień oraz podnieść poziom akceptacji i uznawania decyzji w sprawie upoważnień, jak również aby prowadzić skuteczne monitorowanie upoważnionych jednostek oceniających zgodność, jednostki oceniające zgodność powinny ubiegać się o upoważnienie krajowego organu ds. certyfikacji cyberbezpieczeństwa w państwie członkowskim, w którym mają siedzibę. Niemniej jednak konieczne jest zagwarantowanie, aby jednostka oceniająca zgodność miała możliwość ubiegania się o upoważnienie w innym państwie członkowskim w przypadku, gdy w jej państwie członkowskim nie ma krajowego organu ds. certyfikacji cyberbezpieczeństwa lub w przypadku, gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa nie posiada kompetencji do świadczenia wymaganych usług w zakresie wydawania upoważnień. W takich przypadkach należy zapewnić właściwe zasady współpracy i wymiany informacji między krajowymi organami ds. certyfikacji cyberbezpieczeństwa. Należy upoważnić Komisję do przyjmowania aktów wykonawczych ustanawiających procedury udzielania upoważnień, w tym w odniesieniu do współpracy transgranicznej w zakresie udzielania upoważnień.

(124)Aby zagwarantować wymagany poziom ochrony produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, konieczne jest, aby w ramach wykonywania zadań oceny zgodności podwykonawcy i jednostki zależne uczestniczące w ocenie zgodności spełniały te same wymogi co notyfikowane jednostki oceniające zgodność. W związku z tym jednostka oceniająca zgodność powinna posiadać odpowiednie kompetencje i być w stanie sprawdzić, czy jej podwykonawcy spełniają obowiązujące wymogi.

(125)Organ notyfikujący musi odpowiednio ocenić zakres, w jakim jednostka oceniająca zgodność zamierza korzystać z usług podwykonawców z siedzibą spoza UE lub mieć dostęp do personelu lub infrastruktury poza państwem członkowskim notyfikacji. Organ publiczny państwa członkowskiego powinien mieć możliwość podejmowania decyzji o nieprzyjęciu ogólnej odpowiedzialności jako krajowy organ ds. certyfikacji cyberbezpieczeństwa w ramach takiego rozwiązania, oraz o wycofaniu lub ograniczeniu zakresu notyfikacji. 

(126)Aby ocenić wymogi w zakresie cyberbezpieczeństwa dotyczące produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, akredytowane jednostki oceniające zgodność powinny być notyfikowane Komisji i pozostałym państwom członkowskim przez krajowe organy ds. certyfikacji cyberbezpieczeństwa. Notyfikacja akredytowanych jednostek oceniających zgodność i, w stosownych przypadkach, upoważnionych jednostek oceniających zgodność wskazuje, że jednostkom tym można zaufać, jeśli chodzi o prowadzenie działań w zakresie oceny i certyfikacji zgodnie z niniejszym rozporządzeniem i europejskim programem certyfikacji cyberbezpieczeństwa, co przyczynia się do poprawy ogólnej reputacji europejskiej certyfikacji cyberbezpieczeństwa. Należy zatem zapewnić, aby notyfikowane jednostki oceniające zgodność przestrzegały wymogów i wypełniały swoje obowiązki w miarę upływu czasu oraz aby wykaz notyfikowanych jednostek oceniających zgodność był aktualizowany na bieżąco.

(127)W rozporządzeniu wykonawczym Komisji (UE) 2024/3143 62 przyjętym na podstawie rozporządzenia (UE) 2019/881 określono okoliczności, formaty i procedury notyfikacji jednostek oceniających zgodność, które wykorzystuje się w ramach przyjętych europejskich programów certyfikacji cyberbezpieczeństwa. Konieczne jest zatem zapewnienie kontynuacji działań w zakresie notyfikacji. Niemniej jednak Komisja powinna być upoważniona do przyjmowania aktów wykonawczych w celu dostosowania tych okoliczności, procedur i formatów notyfikacji jednostek oceniających zgodność. W tym kontekście Komisja powinna korzystać z doświadczeń zdobytych w kontekście istniejących programów i dążyć do zapewnienia zgodności z innymi odpowiednimi przepisami i ramami unijnymi, w szczególności z rozporządzeniem (UE) 2024/2847 i nowymi ramami prawnymi, w celu zmniejszenia obciążenia regulacyjnego spoczywającego na jednostkach oceniających zgodność działających na podstawie różnych instrumentów prawnych.

(128) Łańcuchy dostaw technologii informacyjno-komunikacyjnych (ICT) składają się z powiązanego zestawu zasobów i procesów zachodzących między podmiotami gospodarczymi. Łańcuchy dostaw ICT odgrywają kluczową rolę w utrzymaniu stabilności społecznej i napędzaniu działalności gospodarczej w całej Unii. Odgrywają one również kluczową rolę w tworzeniu infrastruktury cyfrowej w Unii oraz stanowią podstawę funkcjonowania społeczeństwa i gospodarki Unii. Łańcuchy dostaw ICT umożliwiają wytwarzanie, produkcję, dystrybucję i utrzymanie usług ICT, systemów ICT i produktów ICT, które stanowią podstawę różnych krytycznych i wysoce krytycznych sektorów, w tym opieki zdrowotnej, finansów, transportu, telekomunikacji, energii i ceł. Bezpieczeństwo łańcuchów dostaw ICT w tych sektorach krytycznych może mieć również wpływ na bezpieczeństwo infrastruktury obronnej i wojskowej, w przypadku gdy infrastruktura ta opiera się na cywilnych sektorach krytycznych i ich łańcuchach dostaw ICT. Zgodnie ze sprawozdaniem na temat stanu zagrożeń cyberbezpieczeństwa wydanym przez ENISA (sprawozdanie ENISA dotyczące krajobrazu zagrożeń z 2025 r.) 63 ataki na łańcuchy dostaw należą jednak do pięciu głównych zagrożeń cyberbezpieczeństwa, co pokazuje, że sprawcy ataku aktywnie wykorzystują pośrednie ścieżki za pośrednictwem dostawców zewnętrznych i zależności. Zakłócenia w łańcuchach dostaw ICT mogą utrudniać prowadzenie działalności gospodarczej na rynku wewnętrznym, powodować straty finansowe, podważać zaufanie użytkowników oraz powodować poważne szkody dla gospodarki i społeczeństwa Unii. Dlatego gotowość do reagowania i skuteczność w obszarze cyberbezpieczeństwa stają się coraz ważniejsze dla prawidłowego funkcjonowania rynku wewnętrznego niż kiedykolwiek wcześniej. 

(129)Oprócz ryzyka technicznego, o którym mowa w dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/55 64 , rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2024/2847 65 oraz europejskich ramach certyfikacji cyberbezpieczeństwa ustanowionych rozporządzeniem (UE) 2019/881, łańcuchy dostaw ICT są w coraz większym stopniu narażone na ryzyko o charakterze pozatechnicznym. Takie ryzyko pozatechniczne może być związane m.in. z jurysdykcją, której podlega dostawca niektórych komponentów, w szczególności gdy państwo trzecie lub podmioty stwarzające zagrożenie kontrolowane z tego państwa angażują się w szpiegostwo przemysłowe, prowadzą szkodliwe działania w cyberprzestrzeni lub kampanie przeciwko Unii lub jej państwom członkowskim lub angażują się w nieodpowiedzialne zachowanie państwa w cyberprzestrzeni. Ryzyko pozatechniczne może być również powiązane z ukrytymi podatnościami lub lukami w zabezpieczeniach typu „backdoor” lub potencjalnymi systemowymi zakłóceniami dostaw, w szczególności w przypadku blokady technologicznej lub zależności od dostawców. Na przykład można wykorzystywać wyłączniki awaryjne do wywierania negatywnego wpływu na dostępność sieci łączności i sieci elektroenergetycznych.

(130)We wspólnym komunikacie w sprawie wzmocnienia bezpieczeństwa gospodarczego UE 66 podkreślono ryzyko uzyskania przez państwa trzecie dostępu do informacji i danych szczególnie chronionych w Unii lub jej państwach członkowskich w wyniku szpiegostwa przemysłowego, dostarczania przez nie sprzętu lub oprogramowania wykorzystywanego w niektórych produktach albo w wyniku posiadania przez nie niektórych przedsiębiorstw posiadających informacje i dane szczególnie chronione oraz sprawowania nad nimi kontroli. Podkreślono również ryzyko zakłócenia przez podmioty zagraniczne unijnej infrastruktury krytycznej – w tym krytycznej infrastruktury transportowej, kosmicznej, energetycznej i łączności, w szczególności infrastruktury uznanej za strategiczną dla mobilności wojskowej – co może wywołać kaskadowe skutki dla gospodarki Unii. Zakłócenia mogą wystąpić w wyniku ataków fizycznych, cyberataków lub ataków hybrydowych, w tym sabotażu całych obiektów, ich części lub podkomponentów. Mogą one być również powiązane z łańcuchami dostaw ICT, które stanowią podstawę krytycznych komponentów lub usług dla infrastruktury krytycznej.

(131)W odpowiedzi na wyzwania dla bezpieczeństwa łańcucha dostaw ICT związane z ryzykiem pozatechnicznym niektóre państwa członkowskie wprowadziły środki regulacyjne, w tym wyznaczyły dostawców wysokiego ryzyka, podczas gdy inne państwa członkowskie prawdopodobnie podejmą takie kroki. Może to prowadzić do dalszych rozbieżności w podejściach krajowych, a ostatecznie do większej podatności niektórych państw członkowskich, co może wywołać skutki uboczne w całej Unii. W związku z tym konieczna jest harmonizacja niektórych aspektów związanych z pozatechnicznym ryzykiem w cyberprzestrzeni dla łańcucha dostaw ICT. Taka interwencja na poziomie Unii jest również uzasadniona potrzebą zapewnienia wysokiego poziomu cyberbezpieczeństwa w całej Unii. Przepisy dotyczące bezpieczeństwa łańcucha dostaw ICT mają na celu wyeliminowanie takich znacznych rozbieżności między państwami członkowskimi, w szczególności poprzez ustanowienie przepisów dotyczących mechanizmów oceny ryzyka związanego z ryzykiem dla bezpieczeństwa łańcucha dostaw ICT na poziomie Unii oraz minimalnych norm ochrony przed ryzykiem związanym z łańcuchem dostaw ICT.

(132)Aby zmniejszyć krytyczne zależności i podatności, należy ustanowić ramy zaufanego łańcucha dostaw ICT uwzględniające ryzyko pozatechniczne związane z dostawcami wysokiego ryzyka i zależnościami w sektorach kluczowych i innych sektorach krytycznych. W związku z tym konieczne jest zapewnienie na szczeblu unijnym obiektywnych, opartych na analizie ryzyka, nieulegających dezaktualizacji i neutralnych pod względem technologicznym ram, określenie kluczowych zasobów ICT oraz zapewnienie zestawu proporcjonalnych środków ograniczających ryzyko.

(133)Ryzyko w cyberprzestrzeni, w tym ryzyko związane z zależnością od dostawców wysokiego ryzyka, można zaobserwować w kilku krytycznych łańcuchach dostaw ICT w Unii, w tym w odniesieniu do urządzeń do wykrywania, pojazdów podłączonych do internetu i zautomatyzowanych, systemów zasilania energią elektryczną i magazynowania energii elektrycznej, systemów zaopatrzenia w wodę, bezzałogowych statków powietrznych i systemów zwalczania bezzałogowych statków powietrznych, usług przetwarzania w chmurze, wyrobów medycznych, urządzeń dozorowania, usług kosmicznych i półprzewodników. Na przykład luki w zabezpieczeniach urządzeń do wykrywania zagrożeń mogłyby zapewnić dostęp do systemów ICT, umożliwiając podmiotom działającym w złej wierze manipulowanie skanerami w taki sposób, aby zabronione przedmioty mogły przejść przez punkt kontroli bezpieczeństwa pozostając niewykryte, co może mieć katastrofalne skutki.

(134)Niniejsze rozporządzenie nie uniemożliwia państwom członkowskim przyjęcia lub utrzymania przepisów zapewniających wyższy poziom cyberbezpieczeństwa w zakresie bezpieczeństwa łańcuchów dostaw ICT, pod warunkiem że takie przepisy są spójne z obowiązkami państw członkowskich, ustanowionymi w prawie Unii. Takie przepisy mogą na przykład obejmować nałożenie bardziej rygorystycznych środków ograniczających ryzyko w odniesieniu do kluczowych zasobów ICT.

(135)W celu zidentyfikowania potencjalnego ryzyka w cyberprzestrzeni mającego wpływ na określone łańcuchy dostaw ICT Grupa Współpracy ustanowiona na mocy art. 14 dyrektywy (UE) 2022/2555 („grupa współpracy NIS”) może oceniać określone łańcuchy dostaw ICT za pomocą skoordynowanych na szczeblu Unii ocen ryzyka związanego z bezpieczeństwem. Skoordynowane na szczeblu Unii oceny ryzyka związanego z bezpieczeństwem powinny uwzględniać m.in. główne podmioty stwarzające zagrożenie, główne zagrożenia i luki w zabezpieczeniach mające wpływ na kluczowe zasoby ICT. W ramach skoordynowanych na szczeblu Unii ocen ryzyka związanego z bezpieczeństwem należy opracować wykaz scenariuszy ryzyka oraz środków mających na celu ograniczenie ryzyka. Skoordynowane na szczeblu Unii oceny ryzyka związanego z bezpieczeństwem należy zakończyć w ciągu sześciu miesięcy. W szczególnie pilnych przypadkach powinna istnieć możliwość skrócenia terminów.

(136)W przypadkach gdy Komisja ma wystarczające powody, by sądzić, że istnieje poważne zagrożenie cyberbezpieczeństwa w Unii związane z krytycznymi łańcuchami dostaw ICT i konieczne może być podjęcie działań w celu utrzymania prawidłowego funkcjonowania rynku wewnętrznego, powinna niezwłocznie skonsultować się z państwami członkowskimi w sprawie potrzeby wprowadzenia środków ograniczających ryzyko i przeprowadzić ocenę ryzyka związanego z bezpieczeństwem, uwzględniając konsultacje z państwami członkowskimi.

(137)Jeżeli w wyniku oceny ryzyka związanego z bezpieczeństwem przeprowadzonej przez grupę współpracy NIS lub Komisję okaże się, że dane państwo trzecie stwarza poważne i strukturalne pozatechniczne ryzyko w cyberprzestrzeni dla łańcuchów dostaw ICT, Komisja powinna zweryfikować zagrożenie stwarzane przez to państwo. Komisja może zainicjować taką weryfikację również na podstawie innych źródeł, takich jak publiczne oświadczenie w imieniu Unii lub państwa członkowskiego w odpowiedzi na przypadki nieodpowiedzialnego działania państwa w cyberprzestrzeni, które doprowadziło do incydentu cyberbezpieczeństwa. Aby ocenić poziom zagrożenia, Komisja powinna wziąć pod uwagę takie elementy, jak istnienie w państwie trzecim przepisów lub praktyk, które wymagają od podmiotów podlegających ich jurysdykcji zgłaszania organom tego państwa trzeciego informacji na temat luk w zabezpieczeniach oprogramowania lub sprzętu, zanim dowiedziono, że luki te zostały wykorzystane. Innym istotnym elementem jest brak skutecznych środków ochrony prawnej oraz niezależnych i demokratycznych mechanizmów kontroli, które mogą łagodzić obawy dotyczące bezpieczeństwa, w tym dotyczące istniejących praktyk, uzasadnionych informacji na temat incydentów powodowanych przez podmioty stwarzające zagrożenie i działających poza terytorium tego państwa, prowadzących szkodliwe działania lub kampanie w cyberprzestrzeni, a także brak zdolności lub chęci państwa trzeciego do współpracy z Komisją lub państwami członkowskimi w celu przeciwdziałania ryzyku wynikającemu z działalności takich podmiotów. Komisja powinna również uwzględniać informacje pochodzące ze skoordynowanych na szczeblu Unii ocen ryzyka związanego z bezpieczeństwem lub sprawozdań wydanych przez państwa członkowskie lub organizacje międzynarodowe, takie jak NATO.

(138)Do celów niniejszego rozporządzenia pojęcie kontroli należy rozumieć jako zdolność do wywierania decydującego wpływu na podmiot prawny bezpośrednio lub pośrednio poprzez co najmniej jeden pośredniczący podmiot prawny. Kontrolę nad podmiotami z państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem należy również ustanowić w sytuacjach, w których taki podmiot posiada zarządcze struktury wykonawcze w tym państwie.

(139)Unia nie powinna finansować projektów z udziałem dostawców wysokiego ryzyka, które zagrażałyby bezpieczeństwu Unii oraz podważyłyby interesy i wiarygodność Unii. Dostawcy wysokiego ryzyka zidentyfikowani na podstawie niniejszego rozporządzenia nie powinni zatem być uprawnieni do uczestnictwa w żadnych unijnych programach i instrumentach finansowania wdrażanych w ramach zarządzania bezpośredniego i pośredniego zgodnie z art. 136 rozporządzenia (UE Euratom) 2024/2509 i unijnymi przepisami sektorowymi, a także we wszelkich unijnych działaniach w zakresie finansowania wdrażanych w ramach zarządzania dzielonego, w tym w ramach kolejnych wieloletnich ram finansowych w odniesieniu do dostarczania komponentów ICT lub komponentów obejmujących komponenty ICT, które mają być wykorzystywane w określonych kluczowych zasobach ICT. Unijni partnerzy wykonawczy, tacy jak Grupa Europejskiego Banku Inwestycyjnego oraz krajowe banki prorozwojowe i krajowe instytucje prorozwojowe, powinni powstrzymać się od wspierania projektów, które są sprzeczne z powyższymi ustaleniami, w tym w ramach operacji prowadzonych na własne ryzyko. 

(140)Zamówienia publiczne mogą być dla organów publicznych sprawnym narzędziem przyczyniającym się do tworzenia bardziej innowacyjnej, zrównoważonej i konkurencyjnej gospodarki oraz do strategicznego wydatkowania środków publicznych. Zamówienia publiczne związane z łańcuchami dostaw ICT nie powinny służyć do przynoszenia korzyści dostawcom, którzy zagrażają bezpieczeństwu infrastruktury krytycznej Unii. Dostawcy wysokiego ryzyka zidentyfikowani na podstawie niniejszego rozporządzenia nie powinni zatem być uprawnieni do udziału w zamówieniach publicznych dotyczących dostarczania komponentów ICT lub komponentów obejmujących komponenty ICT, które mają być wykorzystywane w określonych kluczowych zasobach ICT.

(141)Certyfikacja cyberbezpieczeństwa odgrywa rolę we wzmacnianiu ogólnego bezpieczeństwa i przeciwdziałaniu zagrożeniom cyberbezpieczeństwa, służąc jako wskaźnik zaufania. Zaufanie to mogłoby zostać podważone, gdyby poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa były wydawane przez dostawców wysokiego ryzyka, którzy w związku z tym nie powinni być uprawnieni do ubiegania się o status upoważnionych dostawców jakichkolwiek unijnych indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. W podobnym duchu należy również wykluczyć dostawców wysokiego ryzyka z obowiązku uzyskania certyfikacji cyberbezpieczeństwa w europejskich ramach certyfikacji cyberbezpieczeństwa i uzyskania statusu akredytowanych jednostek oceniających zgodność w celu wydawania takich certyfikatów.

(142)Normy cyberbezpieczeństwa odgrywają kluczową rolę w zapewnianiu bezpieczeństwa i wiarygodności infrastruktury cyfrowej. Należy wprowadzić odpowiednie środki w celu zapewnienia normalizacji w dziedzinie cyberbezpieczeństwa. Zaangażowanie podmiotów mających siedzibę w państwach, które uznano za budzące obawy związane z cyberbezpieczeństwem dotyczące łańcucha dostaw ICT zgodnie z niniejszym rozporządzeniem, lub kontrolowanych z tych państw, może prowadzić do wywierania wpływu na normy cyberbezpieczeństwa w sposób zagrażający ich bezpieczeństwu i wiarygodności.

(143)Na podstawie wyników ocen ryzyka związanego z bezpieczeństwem Komisja może określić, w drodze aktów wykonawczych, które zasoby ICT należy uznać za kluczowe zasoby ICT ze względu na ich krytyczność i z zastrzeżeniem szczególnych środków ograniczających ryzyko. Samo istnienie możliwości połączenia zasobu powinno wystarczyć do uwzględnienia związanego z nim ryzyka w cyberprzestrzeni.

(144)Jeżeli jest to konieczne do zapewnienia wysokiego poziomu cyberbezpieczeństwa, cyberodporności i zaufania w Unii, środki ograniczające ryzyko mogą być stosowane wobec podmiotów w odniesieniu do ich łańcucha dostaw ICT, a w szczególności do zidentyfikowanych kluczowych zasobów ICT. Proponowane środki ograniczające ryzyko powinny opierać się na ocenie potencjalnego ryzyka i zależności, w tym potencjalnych skutków gospodarczych i społecznych takich środków dla zainteresowanych podmiotów działających w sektorach wysoce krytycznych lub innych sektorach krytycznych, a w szczególności dla MŚP. Skutki gospodarcze powinny obejmować koszty wdrożenia środków ograniczających ryzyko, w tym czas trwania cyklu życia odpowiednich komponentów kluczowych zasobów ICT, w przypadku gdy środki te obejmują wymianę dostawców. Należy również ocenić dostępność alternatywnych dostawców na rynku, aby zapewnić ciągłość świadczenia usług.

(145)Ponieważ środki ograniczające ryzyko mogą mieć potencjalnie ograniczający wpływ na międzynarodowy handel towarami i usługami, powinny być proporcjonalne i ukierunkowane na realizację uzasadnionego celu, jakim jest zapewnienie cyberbezpieczeństwa łańcuchów dostaw ICT w odniesieniu do podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, zgodnie z międzynarodowymi zobowiązaniami Unii. 

(146)Używanie, instalacja lub jakikolwiek inny rodzaj integracji komponentów dostarczanych przez dostawców wysokiego ryzyka w ramach eksploatacji kluczowych zasobów ICT mogą być związane z ryzykiem późniejszego przekazywania danych do państwa trzeciego. W szczególności ryzyko może wiązać się z niewystarczającym poziomem ochrony danych w państwie trzecim, takim jak ochrona praw podstawowych, własności intelektualnej lub tajemnic przedsiębiorstwa, lub z bezprawnym dostępem do tych danych i ich wykorzystywaniem do celów ewentualnych przyszłych zakłóceń w łańcuchu dostaw i szpiegostwa. Aby ograniczyć takie ryzyko, można zastosować ograniczenia w odniesieniu do przekazywania określonych rodzajów danych do państw trzecich. 

(147)Istotne podatności wynikają z braku różnorodności sprzętu wykorzystywanego przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. Zależność od jednego dostawcy prowadzi do zależności od konkretnego sprzętu lub rozwiązań. Brak różnorodności dostawców zwiększa ogólną podatność infrastruktury krytycznej, w szczególności jeżeli podmioty pozyskują swoje komponenty ICT wykorzystywane we wrażliwych zasobach ICT od dostawcy o wysokim poziomie ryzyka. Zależność ma również znaczący wpływ na odporność krajową i ogólnounijną oraz przyczynia się do tworzenia pojedynczych punktów awarii. Aby ograniczyć takie ryzyko, można stosować wymogi dotyczące korzystania z usług więcej niż jednego dostawcy w odniesieniu do określonych kluczowych zasobów ICT.

(148)Podmioty Unii mogą również korzystać z kluczowych zasobów zdefiniowanych w niniejszym rozporządzeniu. W związku z tym przepisy określone w niniejszym rozporządzeniu dotyczące bezpieczeństwa łańcucha dostaw ICT również powinny mieć do nich zastosowanie. Aby uwzględnić specyfikę podmiotów Unii, przy przeprowadzaniu skoordynowanych na szczeblu Unii ocen ryzyka związanego z bezpieczeństwem należy wziąć pod uwagę ryzyko pozatechniczne wynikające z łańcuchów dostaw ICT w odniesieniu do podmiotów Unii.

(149)W wyjątkowych okolicznościach uzasadniających natychmiastową interwencję w celu utrzymania prawidłowego funkcjonowania rynku wewnętrznego oraz w przypadku gdy istnieją wyraźne dowody dające Komisji wystarczający powód, aby uznać, iż korzystanie z komponentów ICT lub komponentów, które obejmują komponenty ICT pochodzące od konkretnego dostawcy, stanowi poważne zagrożenie cyberbezpieczeństwa dla działalności gospodarczej lub społecznej co najmniej trzech państw członkowskich, Komisja może zaproponować, w ścisłej konsultacji z państwami członkowskimi, wprowadzenie zakazu używania, instalacji lub integracji takich komponentów pochodzących od tego dostawcy przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. 

(150)Aby zapewnić proporcjonalność stosowanych środków, podmioty mające siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem, wskazanym zgodnie z niniejszym rozporządzeniem, lub kontrolowane przez takie państwo trzecie, przez podmiot mający siedzibę w takim państwie trzecim lub przez obywatela takiego państwa trzeciego mogą ubiegać się o zwolnienie z zakazu dostarczania podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, komponentów ICT lub komponentów, które obejmują komponenty ICT, w celu ich używania, instalacji lub integracji z kluczowymi zasobami ICT tego podmiotu i uczestniczą w postępowaniach o udzielenie zamówienia publicznego organizowanych zgodnie z przepisami transponującymi dyrektywy Parlamentu Europejskiego i Rady 2014/24/UE 67 oraz 2014/25/UE 68 , w procedurach dotyczących dostarczania komponentów ICT lub komponentów obejmujących komponenty ICT, które mają być wykorzystywane w zidentyfikowanych kluczowych zasobach ICT. W tym celu podmiot powinien wykazać za pomocą wyraźnych dowodów, że stosuje skuteczne środki przeciwdziałające ryzyku pozatechnicznemu i zapewniające brak jakiejkolwiek ewentualnej nadmiernej interwencji ze strony państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem.

(151)Sieci łączności elektronicznej będą stanowić podstawę szerokiego zakresu usług niezbędnych do funkcjonowania rynku wewnętrznego oraz utrzymania i realizacji podstawowych funkcji społecznych i gospodarczych – takich jak energetyka, transport, bankowość, opieka zdrowotna i obronność oraz przemysłowe systemy sterowania. W związku z tym te wysoce krytyczne sieci są atrakcyjnym celem wszystkich rodzajów cyberataków i zagrożeń hybrydowych, zakłóceń, szpiegostwa, gromadzenia danych wywiadowczych, a także oszustw i przestępstw finansowych. W ocenie ryzyka przeprowadzonej przez grupę współpracy NIS w odniesieniu do cyberbezpieczeństwa i odporności europejskiej infrastruktury i sieci łączności zidentyfikowano szereg zagrożeń o znaczeniu strategicznym z perspektywy Unii, takich jak oprogramowanie niszczące dane/oprogramowanie szantażujące, ataki o charakterze ogólnym, ataki na łańcuchy dostaw, włamania do sieci i rozproszone ataki typu „odmowa usługi” (ataki typu DDoS).

(152)Z uwagi na wzajemne połączenia i współzależność między różnymi krajowymi sieciami łączności elektronicznej wszystkie państwa członkowskie muszą wprowadzić odpowiednie środki w celu zapewnienia bezpieczeństwa swoich sieci. Z tych samych powodów należy wprowadzić skuteczne ramy prawne na szczeblu unijnym, uwzględniające również ryzyko pozatechniczne i zapewniające kompleksowe bezpieczeństwo wzajemnie połączonych sieci łączności elektronicznej.

(153)W szczególności cyberbezpieczeństwo sieci 5G jest kwestią o strategicznym znaczeniu dla Unii, ponieważ sieci te stanowią podstawę szerokiego zakresu usług o zasadniczym znaczeniu dla funkcjonowania rynku wewnętrznego, a także mają kluczowe znaczenie dla zapewnienia naszej gotowości obronnej, w tym w odniesieniu do mobilności wojskowej. Sieci 5G są w stanie zapewnić niezawodną ultraszybką łączność, na przykład na potrzeby wymiany danych i informacji, wykrywania bezzałogowych statków powietrznych i koordynacji pola walki w czasie rzeczywistym.

(154)Wprowadzanie sieci 5G polega głównie na tworzeniu sieci niesamodzielnych, w których jedynie sieć dostępu radiowego jest modernizowana do technologii 5G, podczas gdy pozostała część sieci nadal opiera się na istniejącej sieci bazowej 4G. Niesamodzielne sieci 5G opierają się głównie na już istniejącej infrastrukturze, co oznacza, że bezpieczeństwo przyszłych sieci 5G jest w pewnym stopniu uzależnione od już istniejących urządzeń sieciowych i konfiguracji takich urządzeń. W związku z tym środki ograniczające ryzyko powinny również obejmować sieci 4G, od których zależy wprowadzenie sieci 5G.

(155)Aby sprostać ważnym wyzwaniom w zakresie bezpieczeństwa sieci 5G, państwa członkowskie w ramach grupy współpracy NIS, wraz z Komisją i ENISA, przeprowadziły na szczeblu Unii skoordynowaną ocenę ryzyka związanego z bezpieczeństwem sieci 5G, analizując zarówno ryzyko techniczne, jak i pozatechniczne. W ocenie tej zidentyfikowano szereg zagrożeń, w tym potencjalną ingerencję ze strony państw trzecich lub podmiotów z państw trzecich za pośrednictwem łańcucha dostaw, oraz sklasyfikowano zasoby według ich krytyczności. Ocenę tę należy wykorzystać jako podstawę określenia kluczowych zasobów ICT dla sieci łączności 5G.

(156)Aby ograniczyć ryzyko zidentyfikowane w ramach skoordynowanej na szczeblu Unii oceny ryzyka związanego z bezpieczeństwem sieci 5G, grupa współpracy NIS przyjęła unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G, w którym określono środki strategiczne i techniczne. Chociaż większość państw członkowskich posiada ramy prawne umożliwiające zastosowanie ograniczeń lub wykluczeń wobec dostawców wysokiego ryzyka zgodnie z zaleceniami zawartymi w unijnym zestawie narzędzi na potrzeby cyberbezpieczeństwa sieci 5G, proces wdrażania tych ram nie był jednolity. W rezultacie znaczna liczba obiektów 5G w całej Unii jest zaopatrywana przez dostawców wysokiego ryzyka, o których mowa w komunikacie Komisji w sprawie wdrożenia unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G 69 . Sytuacja ta powoduje podatności, w tym strategiczną zależność i potencjalne narażenie na ingerencję państw trzecich, co może mieć również wpływ na przyszłą infrastrukturę 6G opartą na istniejących sieciach 5G. Fragmentaryczne wdrażanie zalecanych środków w ramach unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G, w szczególności w odniesieniu do zakresu ograniczeń nałożonych na dostawców wysokiego ryzyka, doprowadziło do rozbieżności między państwami członkowskimi, co skutkuje nierównymi warunkami działania, które dzielą rynek wewnętrzny i osłabiają ogólne bezpieczeństwo sieci. Europejski Trybunał Obrachunkowy zwrócił uwagę na te rozbieżności, ostrzegając, że brak skoordynowanego podejścia zagraża funkcjonowaniu rynku wewnętrznego. Utrzymująca się zależność od dostawców wysokiego ryzyka stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury krytycznej w Unii i może podważyć zaufanie do rynku wewnętrznego, ponieważ niejednolite poziomy bezpieczeństwa mogą zniechęcać konsumentów i przedsiębiorstwa do korzystania z produktów i usług opartych na sieci 5G w całej Unii. Należy zatem wprowadzić środki na szczeblu Unii w celu zapewnienia zharmonizowanego podejścia do bezpieczeństwa sieci 5G.

(157)W celu ustanowienia okresu stopniowego wycofywania kluczowych zasobów ICT w stacjonarnych i satelitarnych sieciach łączności elektronicznej Komisja powinna przeprowadzić ocenę z należytym uwzględnieniem stopnia ryzyka związanego z bezpieczeństwem w odniesieniu do poszczególnych kluczowych zasobów ICT w sieciach stacjonarnych i satelitarnych, okresu eksploatacji odpowiednich komponentów oraz skutków gospodarczych, jakie usunięcie tych komponentów miałoby dla zainteresowanych operatorów. Na podstawie wyników tej oceny Komisja może rozważyć ustanowienie różnych okresów stopniowego wycofywania w odniesieniu do poszczególnych kluczowych zasobów ICT i ich integralnych elementów.

(158)Do celów skutecznego nadzoru i egzekwowania obowiązków dotyczących dostawców ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej odpowiednie właściwe organy na mocy niniejszego rozporządzenia powinny zapewnić ścisłą współpracę z właściwymi organami na podstawie [wniosku dotyczącego aktu w sprawie sieci cyfrowych]. Na wniosek właściwego organu wyznaczonego na podstawie niniejszego rozporządzenia krajowe organy regulacyjne lub, w stosownych przypadkach, inne właściwe organy ds. widma radiowego powinny cofnąć prawa, o których mowa w art. 9 i art. 20 [wniosku dotyczącego aktu w sprawie sieci cyfrowych], jeżeli dostawca publicznych sieci łączności elektronicznej nie wypełnia obowiązków wynikających z niniejszego rozporządzenia, w tym jeżeli dostawca nie wycofuje komponentów ICT lub komponentów, które obejmują komponenty ICT, od dostawców wysokiego ryzyka w ramach eksploatacji kluczowych zasobów ICT w terminie określonym zgodnie z niniejszym rozporządzeniem.

(159)Z uwagi na różnice w krajowych strukturach zarządzania państwa członkowskie powinny wyznaczyć lub ustanowić co najmniej jeden właściwy organ odpowiedzialny za środki nadzoru i egzekwowania przepisów na podstawie niniejszego rozporządzenia.

(160)Właściwe organy powinny udzielać wsparcia podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, w wypełnianiu ich obowiązków wynikających z niniejszego rozporządzenia. W tym celu Komisja powinna ocenić, czy dostawcy, których mogą dotyczyć szczególne zakazy, mają siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub są kontrolowani przez takie państwo trzecie lub przez podmiot mający siedzibę w takim państwie trzecim lub przez obywatela takiego państwa trzeciego. Właściwe organy powinny ściśle współpracować z Komisją i innymi właściwymi organami w ramach sieci ustanowionej na mocy niniejszego rozporządzenia. Na podstawie oceny Komisji właściwe organy powinny udostępniać odpowiednie informacje dotyczące dostawców wysokiego ryzyka odpowiednim podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. Od podmiotów nie oczekuje się weryfikacji tego, czy dostawca znajduje się pod kontrolą zagraniczną, ale mogą one w pełni polegać na informacjach otrzymanych od właściwych organów. Właściwe organy powinny zapewnić, aby na podmioty te nie nakładano zbędnych obciążeń administracyjnych. 

(161)Aby zapewnić skuteczne przestrzeganie przepisów, w niniejszym rozporządzeniu należy przewidzieć środki nadzoru i egzekwowania przepisów, za pomocą których właściwe organy mogą nadzorować podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. W przypadku gdy właściwe organy wykonują swoje zadania w zakresie nadzoru i egzekwowania przepisów w odniesieniu do tych podmiotów, nie powinny one wykraczać poza to, co jest konieczne, i działać proporcjonalnie do zidentyfikowanego ryzyka.

(162)Aby egzekwowanie przepisów było skuteczne i spójne w całej Unii, konieczne jest zapewnienie uprawnień w zakresie egzekwowania przepisów, z których właściwe organy mogą korzystać w przypadku naruszenia obowiązków określonych w niniejszym rozporządzeniu. Wykonując te uprawnienia w zakresie egzekwowania przepisów, właściwe organy powinny należycie uwzględniać szereg czynników, w tym charakter, wagę i czas trwania naruszenia, wyrządzone szkody materialne i niematerialne, to, czy naruszenie było umyślne lub wynikało z niedbalstwa, działania podjęte, aby zapobiec szkodom materialnym lub niematerialnym lub je ograniczyć, stopień odpowiedzialności lub mające znaczenie wcześniejsze naruszenia, stopień współpracy z właściwym organem oraz inne okoliczności obciążające lub łagodzące. Środki egzekwowania przepisów, w tym kary, powinny być proporcjonalne, a ich nakładanie powinno przebiegać z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych Unii Europejskiej, w tym prawa do skutecznego środka prawnego i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony.

(163)Należy również przewidzieć uprawnienie do nakładania okresowych kar pieniężnych w celu zmuszenia podmiotu w rodzaju tym, o którym mowa w załącznikach I lub II do dyrektywy (UE) 2022/2555, do zaprzestania naruszenia niniejszego rozporządzenia zgodnie z uprzednią decyzją właściwego organu.

(164) Aby zapewnić skuteczne egzekwowanie obowiązków przewidzianych w niniejszym rozporządzeniu, każdy właściwy organ powinien być uprawniony do nakładania lub żądania nałożenia kar.

(165)Do celów nakładania kar na podmiot w rodzaju tym, o którym mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, będący przedsiębiorstwem, przedsiębiorstwo należy rozumieć jako przedsiębiorstwo w rozumieniu art. 101 i 102 TFUE. W przypadku nałożenia grzywny na osobę niebędącą przedsiębiorstwem, właściwy organ, ustalając właściwą wysokość kary, powinien brać pod uwagę ogólny poziom dochodów w danym państwie członkowskim oraz sytuację ekonomiczną tej osoby. Państwa członkowskie powinny określić, czy i w jakim zakresie karom powinny podlegać organy publiczne. Nałożenie kary nie powinno wpływać na stosowanie innych uprawnień właściwych organów.

(166)W celu zapewnienia jednolitych warunków wdrażania niniejszego rozporządzenia należy powierzyć Komisji uprawnienia wykonawcze w odniesieniu do przyjmowania aktów wykonawczych ustanawiających szczegółowe przepisy dotyczące opłat pobieranych przez ENISA, aktów wykonawczych ustanawiających europejski program certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, aktów wykonawczych ustanawiających wspólne zasady i przepisy odniesienia mające na celu określenie elementów we wszystkich europejskich programach certyfikacji cyberbezpieczeństwa, aktów wykonawczych określających procedury dotyczące modeli uprzedniego zatwierdzania lub ogólnego przekazania uprawnień, aktów wykonawczych w sprawie uznawania certyfikatów cyberbezpieczeństwa państw trzecich lub organizacji międzynarodowych za równoważne z europejskimi certyfikatami cyberbezpieczeństwa, aktów wykonawczych ustanawiających plan wzajemnego przeglądu, aktów wykonawczych ustanawiających procedury, w tym dotyczące współpracy transgranicznej, udzielania upoważnień jednostkom oceniającym zgodność, aktów wykonawczych określających okoliczności, formaty i procedury notyfikowania jednostek oceniających zgodność, aktów wykonawczych wyznaczających państwo trzecie jako państwo budzące obawy związane z cyberbezpieczeństwem w odniesieniu do łańcuchów dostaw ICT, aktów wykonawczych określających kluczowe zasoby ICT wykorzystywane do wytwarzania produktów lub świadczenia usług przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, aktów wykonawczych ustanawiających, że podmioty działające w sektorach kluczowych i innych sektorach krytycznych podlegają szczególnym środkom ograniczającym ryzyko, oraz określające okresy stopniowego wycofywania komponentów ICT lub komponentów, które obejmują komponenty ICT dostarczane przez dostawców wysokiego ryzyka, aktów wykonawczych doprecyzowujących warunki dotyczące zwolnienia podmiotów z państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem mających siedzibę w państwie trzecim lub kontrolowanych przez takie podmioty, a także aktów wykonawczych ustanawiających szczegółowe przepisy dotyczące opłat pobieranych przez Komisję. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011, przy czym należy stosować procedurę sprawdzającą. W celu zapewnienia jednolitych warunków wdrażania niniejszego rozporządzenia Komisji należy również powierzyć uprawnienia wykonawcze w odniesieniu do ustanowienia wykazu dostawców wysokiego ryzyka istotnych dla niektórych środków przewidzianych w niniejszym rozporządzeniu.

(167)Europejskie programy certyfikacji cyberbezpieczeństwa muszą odzwierciedlać najnowsze osiągnięcia technologiczne, nowe powiązane zagrożenia oraz przyjęcie nowych przepisów Unii określających sposób wykazywania zgodności i domniemania zgodności za pomocą europejskiej certyfikacji cyberbezpieczeństwa z odpowiednimi wymogami cyberbezpieczeństwa określonymi w tych przepisach. Z tych powodów Komisji należy przekazać uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w celu dodania lub zmiany celów w zakresie bezpieczeństwa, które mają być realizowane w ramach europejskich programów certyfikacji cyberbezpieczeństwa. Podobnie, w interesie zapewnienia ram zaufanego łańcucha dostaw ICT, Komisji należy przekazać uprawnienie do przyjmowania aktów zgodnie z art. 290 TFUE w celu zmiany załącznika II do niniejszego rozporządzenia, aby dostosować go do rozwoju technologicznego. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa. W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te powinny otrzymywać wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji powinni systematycznie brać udział w posiedzeniach grup ekspertów Komisji zajmujących się przygotowaniem aktów delegowanych.

(168)Działalność ENISA powinna być przedmiotem regularnej i niezależnej oceny. Ocena ta powinna dotyczyć realizacji przez ENISA jej celów i zasadności jej zadań, a zwłaszcza jej zadań w zakresie współpracy operacyjnej na szczeblu unijnym. W przypadku przeglądu Komisja powinna ocenić, w jaki sposób można wzmocnić rolę ENISA jako punktu odniesienia w zakresie doradztwa i wiedzy fachowej.

(169)W rozporządzeniu wykonawczym Komisji (UE) 2024/482 ustanowiono przepisy dotyczące przyjęcia europejskiego programu certyfikacji cyberbezpieczeństwa opartego na wspólnych kryteriach (EUCC). EUCC jest pierwszym i jedynym europejskim programem certyfikacji cyberbezpieczeństwa przyjętym na podstawie rozporządzenia (UE) 2019/881. Dotyczy on certyfikacji produktów ICT, w tym produktów należących do domen technicznych „karty elektroniczne i podobne urządzenia” oraz „urządzenia sprzętowe ze skrzynkami bezpieczeństwa”, a także profili zabezpieczeń (takich jak procesy ICT). Należy zatem zapewnić kontynuację działań w zakresie certyfikacji, jak również działań Agencji.

(170)Zgodnie z art. 42 ust. 2 rozporządzenia (UE) 2018/1725 70 skonsultowano się z Europejskim Inspektorem Ochrony Danych i Europejską Radą Ochrony Danych, a organy te wydały wspólną opinię w dniu [data] r.

(171)Należy uchylić rozporządzenie (UE) 2019/881.

(172)Ponieważ cele niniejszego rozporządzenia nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, natomiast ze względu na rozmiary i skutki działań możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej (TUE). Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tych celów,

PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:

TYTUŁ I 
PRZEPISY OGÓLNE

Artykuł 1
Przedmiot i zakres stosowania

1.W niniejszym rozporządzeniu ustanawia się:

a)misję, cele i zadania Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) oraz dotyczące jej kwestie organizacyjne;

b)ramy ustanawiania europejskich programów certyfikacji cyberbezpieczeństwa w celu zapewnienia odpowiedniego poziomu cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów w Unii, a także w celu uniknięcia rozdrobnienia rynku wewnętrznego w zakresie programów certyfikacji cyberbezpieczeństwa w Unii; oraz

c)ramy zaufanych łańcuchów dostaw ICT.

2.Ramy, o których mowa w ust. 1 lit. b), stosuje się bez uszczerbku dla przepisów szczegółowych dotyczących dobrowolnej lub obowiązkowej certyfikacji zawartych w innych aktach prawnych Unii.

3.Ramy, o których mowa w akapicie pierwszym lit. c), mają zastosowanie do podmiotów publicznych lub prywatnych w rodzaju tych, o których mowa w załączniku I lub II do dyrektywy (UE) 2022/2555, które świadczą usługi lub prowadzą działalność w Unii.

4.Niniejsze rozporządzenie pozostaje bez uszczerbku dla podstawowych funkcji państw członkowskich, w tym zapewnienia integralności terytorialnej państwa, utrzymania porządku publicznego oraz ochrony bezpieczeństwa narodowego. W szczególności bezpieczeństwo narodowe pozostaje w zakresie wyłącznej odpowiedzialności każdego państwa członkowskiego.

Artykuł 2
Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1)„cyberbezpieczeństwo” oznacza działania niezbędne do ochrony sieci i systemów informatycznych, użytkowników takich systemów oraz innych osób przed zagrożeniami cyberbezpieczeństwa;

2)„podmioty Unii” oznaczają podmioty Unii zdefiniowane w art. 3 pkt 1 rozporządzenia (UE, Euratom) 2023/2841;

3)„upoważniony dostawca poświadczeń” oznacza podmiot publiczny lub prywatny, w odniesieniu do którego ENISA przyjęła decyzję upoważniającą ten podmiot do wydawania europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, jak określono w europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa;

4)„europejskie indywidualne poświadczenie umiejętności w dziedzinie cyberbezpieczeństwa” oznacza zapis w formie cyfrowej lub fizycznej, poświadczający, że dana osoba zna, rozumie i jest w stanie wykonywać zadania związane z profilem ról lub podzbiorem profilu ról w zakresie europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa („ECSF”), po przeprowadzeniu oceny określonej w europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa;

5)„europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa” oznacza kompleksowy zbiór zasad, wymogów, norm i procedur ustanowionych przez ENISA i powiązanych z profilem ról w zakresie ECSF lub ich podzbiorem, które mają zastosowanie do upoważnionych dostawców poświadczeń i są przez tych dostawców stosowane;

6)„sieci i systemy informatyczne” oznaczają sieci i systemy informatyczne zdefiniowane w art. 6 pkt 1 dyrektywy (UE) 2022/2555;

7)„krajowa strategia cyberbezpieczeństwa” oznacza krajową strategię cyberbezpieczeństwa zdefiniowaną w art. 6 pkt 4 dyrektywy (UE) 2022/2555;

8)„incydent” oznacza incydent zdefiniowany w art. 6 pkt 6 dyrektywy (UE) 2022/2555;

9)„incydent w cyberbezpieczeństwie na dużą skalę” oznacza incydent w cyberbezpieczeństwie na dużą skalę zdefiniowany w art. 6 pkt 7 dyrektywy (UE) 2022/2555;

10)„obsługa incydentu” oznacza obsługę incydentu zdefiniowaną w art. 6 pkt 8 dyrektywy (UE) 2022/2555;

11)„zagrożenie cyberbezpieczeństwa” oznacza wszelkie potencjalne okoliczności, zdarzenia lub działania, które mogą wyrządzić szkodę, spowodować zakłócenia lub w inny sposób niekorzystnie wpłynąć w przypadku sieci i systemów informatycznych, użytkowników takich systemów oraz innych osób;

12)„europejski program certyfikacji cyberbezpieczeństwa” oznacza kompleksowy zbiór przepisów, wymogów technicznych, norm i procedur ustanowionych na poziomie unijnym i mających zastosowanie do certyfikacji lub oceny zgodności określonych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów;

13)„krajowy program certyfikacji cyberbezpieczeństwa” oznacza kompleksowy zbiór przepisów, wymogów technicznych, norm i procedur określonych i przyjętych przez krajowy organ publiczny i mających zastosowanie do certyfikacji lub oceny zgodności objętych zakresem danego programu produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów;

14)„europejski certyfikat cyberbezpieczeństwa” oznacza wydany przez odpowiedni organ dokument poświadczający, że dany produkt ICT, dana usługa ICT, dany proces ICT, lub dane usługi zarządzane w zakresie bezpieczeństwa, czy też stan cyberbezpieczeństwa podmiotu zostały ocenione pod względem zgodności ze szczegółowymi wymogami bezpieczeństwa określonymi w europejskim programie certyfikacji cyberbezpieczeństwa;

15)„unijna deklaracja zgodności” oznacza dokument wydany przez wytwórcę lub dostawcę produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub przez podmiot, którego stan cyberbezpieczeństwa podlega certyfikacji, stwierdzający, że spełnienie wymogów odpowiadających „podstawowemu” poziomowi uzasadnienia zaufania określonemu w europejskim programie certyfikacji cyberbezpieczeństwa wykazano w drodze oceny zgodności przez stronę pierwszą;

16)„produkt ICT” oznacza element lub grupę elementów sieci lub systemów informatycznych;

17)„usługa ICT” oznacza usługę polegającą w pełni lub głównie na przekazywaniu, przechowywaniu, pobieraniu lub przetwarzaniu informacji za pośrednictwem sieci i systemów informatycznych;

18)„proces ICT” oznacza zestaw czynności wykonywanych w celu projektowania, rozwijania, dostarczania lub utrzymywania produktów ICT lub usług ICT;

19)„usługa zarządzana w zakresie bezpieczeństwa” oznacza usługę świadczoną osobie trzeciej, polegającą na prowadzeniu lub zapewnianiu pomocy dla działań związanych z zarządzaniem ryzykiem w cyberprzestrzeni, takich jak obsługa incydentu, testy penetracyjne, audyty bezpieczeństwa i doradztwo w ramach wsparcia technicznego, w tym doradztwo fachowe;

20)„akredytacja” oznacza akredytację zdefiniowaną w art. 2 pkt 10 rozporządzenia (WE) nr 765/2008;

21)„krajowa jednostka akredytująca” oznacza krajową jednostkę akredytującą zdefiniowaną w art. 2 pkt 11 rozporządzenia (WE) nr 765/2008;

22)„ocena zgodności” oznacza ocenę zgodności zdefiniowaną w art. 2 pkt 12 rozporządzenia (WE) nr 765/2008;

23)„jednostka oceniająca zgodność” oznacza jednostkę oceniającą zgodność zdefiniowaną w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008;

24)„norma” oznacza normę zdefiniowaną w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 71 ;

25)„specyfikacja techniczna” oznacza specyfikację techniczną zdefiniowaną w art. 2 pkt 4 rozporządzenia (UE) nr 1025/2012;

26)„norma zharmonizowana” oznacza normę zharmonizowaną zdefiniowaną w art. 2 pkt 1 lit. c) rozporządzenia (UE) nr 1025/2012;

27)„poziom uzasadnienia zaufania” oznacza podstawę dla pewności, że dany produkt ICT, dana usługa ICT, dany proces ICT, dana usługa zarządzana w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu spełnia wymogi bezpieczeństwa określonego europejskiego programu certyfikacji cyberbezpieczeństwa; wskazuje on poziom, na jakim została dokonana ocena danego produktu ICT, danej usługi ICT, danego procesu ICT, danej usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, ale jako taki nie dokonuje on pomiaru bezpieczeństwa danego produktu ICT, danej usługi ICT, danego procesu ICT, danej usługi zarządzanej w zakresie bezpieczeństwa ani stanu cyberbezpieczeństwa danego podmiotu;

28)„ocena zgodności przez stronę pierwszą” oznacza przeprowadzone przez wytwórcę lub dostawcę produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub przez podmiot, którego stan cyberbezpieczeństwa podlega certyfikacji, czynności oceniające, czy te produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów spełniają wymogi określonego europejskiego programu certyfikacji cyberbezpieczeństwa;

29)„stan cyberbezpieczeństwa podmiotów” oznacza poziom cyberbezpieczeństwa podmiotów w odniesieniu do szczególnych wymogów w zakresie bezpieczeństwa;

30)„model uprzedniego zatwierdzenia” oznacza model, według którego jednostka oceniająca zgodność może wydać europejski certyfikat cyberbezpieczeństwa na podstawie oceny dokonanej przez krajowy organ ds. certyfikacji cyberbezpieczeństwa w kontekście konkretnego procesu certyfikacji w ramach odpowiedniego programu;

31)„model ogólnego przekazania uprawnień” oznacza model, według którego jednostka oceniająca zgodność może wydać europejski certyfikat cyberbezpieczeństwa na podstawie delegowania czynności certyfikacyjnych przez krajowy organ ds. certyfikacji cyberbezpieczeństwa;

32)„zespół reagowania na incydenty bezpieczeństwa komputerowego” lub „CSIRT” oznacza CSIRT wyznaczony lub ustanowiony na podstawie art. 10 dyrektywy (UE) 2022/2555;

33)„komponenty ICT” oznaczają produkty ICT, usługi ICT lub procesy ICT, które mogą być wykorzystywane w eksploatacji zasobów ICT;

34)„zasoby ICT” oznaczają zasoby oprogramowania lub sprzętu w sieci i systemach informatycznych, wykorzystywane przez podmiot w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555;

35)„kluczowe zasoby ICT” oznaczają zasoby ICT zidentyfikowane zgodnie z art. 102;

36)„sieć łączności elektronicznej” oznacza sieć łączności elektronicznej zdefiniowaną w art. 2 pkt 1 rozporządzenia (UE) XX/XXXX [wniosek DNA];

37)„kontrola” oznacza zdolność do wywierania decydującego wpływu na podmiot prawny, bezpośrednio lub pośrednio, poprzez co najmniej jeden pośredniczący podmiot prawny;

38)„prowadzenie działalności” oznacza faktyczne prowadzenie działalności poprzez stabilne struktury w państwie, w którym podmiot ma zarząd główny lub siedzibę zarządu;

39)„dostawca wysokiego ryzyka” oznacza jedno z poniższych:

a)podmiot mający siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem, wskazanym zgodnie z art. 100, lub kontrolowany przez takie państwo trzecie, przez podmiot mający siedzibę w takim państwie trzecim lub przez obywatela takiego państwa trzeciego;

b)podmiot wyznaczony zgodnie z art. 103 ust. 7 oraz podmioty kontrolowane przez ten podmiot;

40)„łańcuch dostaw ICT” oznacza sumę usług ICT, produktów ICT i procesów ICT, która obejmuje działania i podmioty zaangażowane na wszystkich etapach poprzedzających udostępnienie produktu lub świadczenie usługi na rynku;

41)„państwo trzecie” oznacza państwo trzecie zdefiniowane w art. 3 pkt 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/2675 72 ; 

42)„ryzyko pozatechniczne” oznacza prawdopodobieństwo, że dostawca będzie podlegał wpływowi państwa trzeciego, co może spowodować utratę lub zakłócenie świadczonej usługi lub stanowić zagrożenie dla produktu wytworzonego przez podmiot lub doprowadzić do eksfiltracji danych, w tym do celów szpiegostwa lub generowania dochodów;

43)„istotne ryzyko pozatechniczne w cyberprzestrzeni” oznacza pozatechniczne ryzyko w cyberprzestrzeni, w przypadku którego można założyć wysokie prawdopodobieństwo spowodowania incydentu, który mógłby doprowadzić do poważnych negatywnych skutków, w tym przez spowodowanie znacznej straty materialnej lub niematerialnej lub znacznego zakłócenia;

44)„podstawowe funkcje sieciowe w ruchomych sieciach łączności elektronicznej” oznaczają centralny element architektoniczny ruchomych sieci łączności elektronicznej, łączący główne węzły sieci z internetem i zarządzający podstawowymi funkcjami systemowymi, który obejmuje uwierzytelnianie urządzeń użytkownika, funkcje uprawnionego przechwytywania (LI), bezpieczne bramy sieciowe (SeGW) na granicy sieci, funkcje bezpieczeństwa sygnalizacji, roaming i zarządzanie sesją, transport danych użytkownika i płaszczyzny sterowania, zarządzanie polityką dostępu, rejestrację usług sieciowych i udzielanie upoważnień na ich świadczenie, przechowywanie danych użytkownika końcowego i danych sieciowych, krytyczne usługi sieciowe, w tym system nazw domen (DNS), wzajemne połączenia z sieciami ruchomymi osób trzecich, ekspozycję podstawowych funkcji sieciowych na aplikacje zewnętrzne oraz wybór segmentów sieci i zarządzanie nimi;

45)„wirtualizacja funkcji sieciowych (NFV) oraz zarządzanie siecią i jej orkiestracja (MANO) w odniesieniu do ruchomych sieci łączności elektronicznej” oznacza oprogramowanie i ramy architektoniczne zapewniające zarządzanie cyklem życia, orkiestrację i automatyzację zwirtualizowanych funkcji sieciowych (VNF), funkcji sieciowych opartych na chmurze (CNF) oraz wybór segmentów sieci w ruchomych sieciach łączności elektronicznej i zarządzanie nimi;

46)„sieć dostępu radiowego (RAN) w ruchomych sieciach łączności elektronicznej” oznacza sieć łączącą ruchome urządzenia użytkownika z siecią bazową, w tym stacje bazowe (eNodeB dla sieci 4G, gNodeB dla sieci 5G), zdalne głowice radiowe (RRH) i jednostki pasma podstawowego (BBU), aktywne systemy antenowe (AAS) oraz, w stosownych przypadkach, zdezagregowane komponenty RAN, takie jak jednostki scentralizowane (CU) i jednostki rozproszone (DU), oraz inteligentny sterownik RAN (RIC);

47)„podstawowe funkcje sieciowe w stacjonarnych sieciach łączności elektronicznej” oznaczają podstawową inteligencję sieci, łączącą główne węzły i obsługującą szereg podstawowych funkcji, w tym uwierzytelnianie i autoryzację użytkownika (AAA), funkcje uprawnionego przechwytywania (LI), system nazw domen (DNS) i usługi adresowania IP (DHCP), zarządzanie polityką dostępu, przechowywanie danych użytkowników końcowych i danych sieciowych, przełączanie i routing IP oraz międzynarodowe bramy internetowe (IIG);

48)„system zarządzania siecią w stacjonarnych sieciach łączności elektronicznej” oznacza wszystkie scentralizowane platformy i komponenty oprogramowania niezbędne do obsługi, utrzymania i zapewnienia sieci oraz zarządzania siecią (OAM&P), a także monitorowania informacji związanych z siecią;

49)„funkcje transportowe i transmisyjne w stacjonarnych sieciach łączności elektronicznej” oznaczają wszystkie komponenty niezbędne do dosyłu i agregacji ruchu w sieci, w tym optyczne urządzenia transportowe, łącza mikrofalowe i podmorskie systemy kablowe, które obejmują urządzenia podwodne, a także terminale linii podmorskich (SLTE) i fizyczna infrastruktura stacji lądowania;

50)„sieć dostępowa w stacjonarnych sieciach łączności elektronicznej” oznacza sieć łączącą lokal użytkownika końcowego z siecią agregującą lub szkieletową, w tym zakończenie linii optycznej (OLT) i zakończenie sieci optycznej (ONT) w przypadku sieci światłowodowych; system kontrolujący pracę koncentrycznych modemów kablowych (CMTS) i modemy kablowe do koncentrycznych sieci kablowych oraz elementy stałego dostępu bezprzewodowego, jeżeli są wykorzystywane jako substytut łącza stałego.

TYTUŁ II 
AGENCJA UNII EUROPEJSKIEJ DS. CYBERBEZPIECZEŃSTWA

Rozdział I 
Misja i cele

Artykuł 3
Misja ENISA

1.Misją ENISA jest wspieranie państw członkowskich UE i podmiotów unijnych w osiągnięciu wysokiego poziomu cyberbezpieczeństwa, cyberodporności i zaufania w Unii Europejskiej.

2.ENISA działa jako punkt odniesienia w zakresie doradztwa i wiedzy fachowej z zakresu cyberbezpieczeństwa dla państw członkowskich, a także na potrzeby innych odpowiednich zainteresowanych stron w Unii Europejskiej.

3.ENISA przyczynia się do zmniejszenia rozdrobnienia rynku wewnętrznego, wykonując zadania powierzone jej na mocy niniejszego rozporządzenia.

4.ENISA wykonuje zadania powierzone jej na mocy aktów prawnych Unii.

5.ENISA tworzy własne zdolności, w tym zdolności techniczne i zdolności w zakresie zasobów ludzkich oraz umiejętności, niezbędne do wykonywania zadań powierzonych jej na mocy niniejszego rozporządzenia.

Artykuł 4
Cele ENISA

1.ENISA stanowi ośrodek wiedzy fachowej w dziedzinie cyberbezpieczeństwa z racji swojej niezależności, naukowo-technicznej jakości oferowanego doradztwa, wkładu i pomocy, przekazywanych przez siebie informacji, przejrzystości swoich procedur działania, metod działania oraz staranności w wykonywaniu swoich zadań.

2.ENISA pomaga państwom członkowskim i, w stosownych przypadkach, podmiotom unijnym we wdrażaniu horyzontalnych i sektorowych polityk i przepisów Unii związanych z cyberbezpieczeństwem, w tym działań w zakresie nadzoru rynku.

3.ENISA służy swoją wiedzą fachową i wspiera Komisję w opracowywaniu polityki i przepisów Unii związanych z cyberbezpieczeństwem.

4.ENISA wspiera budowanie zdolności i gotowości w całej Unii, pomagając państwom członkowskim, podmiotom unijnym – za pośrednictwem Służby ds. Cyberbezpieczeństwa Instytucji, Organów i Jednostek Organizacyjnych Unii (CERT-UE), o której mowa w rozdziale IV rozporządzenia (UE, Euratom) 2023/2841 – oraz zainteresowanym stronom z sektora publicznego i prywatnego w zwiększaniu ochrony ich sieci i systemów informatycznych, w rozwijaniu i poprawie cyberodporności i zdolności reagowania.

5.ENISA przyczynia się do utworzenia Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa i rozwoju siły roboczej w sektorze cyberbezpieczeństwa w Unii, wspierając wysiłki na rzecz rozszerzania możliwości przenoszenia umiejętności w całej Unii, w tym poprzez utrzymanie i upowszechnianie europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa oraz tworzenie, utrzymanie i upowszechnianie europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa zgodnie z rozdziałem II sekcja 4 niniejszego tytułu, a także zapewniając szkolenia zgodnie z art. 6 ust. 8.

6.ENISA propaguje współpracę, w tym wymianę informacji i koordynację na poziomie unijnym, pomiędzy państwami członkowskimi, podmiotami unijnymi zgodnie z rozporządzeniem (UE, Euratom) 2023/2841 oraz odpowiednimi zainteresowanymi stronami z sektora publicznego i prywatnego w kwestiach związanych z cyberbezpieczeństwem.

7.ENISA przyczynia się do zwiększania zdolności w zakresie cyberbezpieczeństwa na poziomie unijnym w celu wspierania działań państw członkowskich służących zapobieganiu zagrożeniom cyberbezpieczeństwa i reagowaniu na nie.

8.ENISA wspiera współpracę operacyjną na szczeblu unijnym, między innymi poprzez wnoszenie wkładu w kształtowanie wspólnej orientacji sytuacyjnej w zakresie zagrożeń i incydentów cyberbezpieczeństwa wśród państw członkowskich oraz, we współpracy z CERT-UE, wśród podmiotów unijnych.

9.ENISA ściśle współpracuje z Europolem, CSIRT i innymi odpowiednimi organami krajowymi na rzecz poprawy gotowości w zakresie cyberbezpieczeństwa i reagowania na incydenty związane z oprogramowaniem szantażującym.

10.ENISA przyczynia się do ustanowienia i utrzymania europejskich ram certyfikacji cyberbezpieczeństwa zgodnie z tytułem III niniejszego rozporządzenia. ENISA propaguje korzystanie z europejskiej certyfikacji cyberbezpieczeństwa z myślą o unikaniu rozdrobnienia rynku wewnętrznego.

11.ENISA przyczynia się do harmonizacji jednolitego rynku cyfrowego, angażując się w prace normalizacyjne istotne dla polityk Unii związanych z cyberbezpieczeństwem oraz opracowując specyfikacje techniczne.

12.ENISA promuje wysoki poziom świadomości w zakresie cyberbezpieczeństwa wśród organizacji i przedsiębiorstw.

Rozdział II 
Zadania

Sekcja 1 
Wspieranie wdrażania polityki i prawa Unii

Artykuł 5
Wspieranie wdrażania polityki i prawa Unii

1.ENISA przyczynia się do wdrażania polityki i prawa Unii poprzez:

a)wspieranie państw członkowskich w procesie spójnego wdrażania polityki i prawa Unii w zakresie cyberbezpieczeństwa, w tym przez publikowanie wytycznych technicznych i sprawozdań, udzielanie porad i wymianę najlepszych praktyk oraz ułatwianie wymiany najlepszych praktyk w tym zakresie między właściwymi organami;

b)wspieranie wymiany informacji w poszczególnych sektorach oraz na poziomie międzysektorowym, w szczególności w odniesieniu do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz produktów z elementami cyfrowymi objętych zakresem rozporządzenia (UE) 2024/2847, w drodze zapewnienia najlepszych praktyk i wytycznych dotyczących dostępnych narzędzi i procedur;

c)pomaganie państwom członkowskim, na wniosek Komisji, przez zapewnienie im wsparcia takiego jak wytyczne techniczne, w tym wytyczne dotyczące środków zarządzania ryzykiem w cyberprzestrzeni, narzędzi oceny dojrzałości w zakresie cyberbezpieczeństwa i podręczników reagowania na incydenty, dostosowanych do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555, lub przez wspomaganie wdrażania zasad uwzględniania bezpieczeństwa na etapie projektowania w odniesieniu do produktów z elementami cyfrowymi zgodnie z rozporządzeniem (UE) 2024/2847, ułatwiając w ten sposób zwiększenie poziomów dojrzałości w zakresie cyberbezpieczeństwa i zgodności z prawem Unii dotyczącym cyberbezpieczeństwa;

d)wnoszenie wkładu w prace Grupy Współpracy ustanowionej na podstawie art. 14 ust. 1 dyrektywy (UE) 2022/2555 („grupa współpracy NIS”), Grupy Współpracy na rzecz Europejskiej Tożsamości Cyfrowej ustanowionej na podstawie art. 46e ust. 1 rozporządzenia (UE) nr 910/2014, Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa („ECCG”), o której mowa w art. 90 niniejszego rozporządzenia, oraz grupy współpracy administracyjnej (ADCO) ustanowionej na podstawie art. 52 ust. 15 rozporządzenia (UE) 2024/2847;

e)pomoc państwom członkowskim oraz odpowiednim podmiotom unijnym przy opracowywaniu i propagowaniu polityk cyberbezpieczeństwa dotyczących utrzymywania ogólnej dostępności i integralności publicznego rdzenia otwartego internetu;

f)udzielanie zgodnie z rozporządzeniem (UE) 2024/2847 porad technicznych i wsparcia państwom członkowskim i Komisji w kwestiach związanych z wdrażaniem tego rozporządzenia;

g)wspieranie państw członkowskich w świadczeniu wzajemnej pomocy i usprawnianiu takich procesów współpracy na rzecz podmiotów kluczowych i ważnych zgodnie z [art. 37a dyrektywy (UE) 2022/2555];

h)udzielanie na wniosek Europejskiej Rady Ochrony Danych porad w zakresie wdrażania konkretnych aspektów cyberbezpieczeństwa w unijnej polityce i prawie Unii w zakresie ochrony danych i prywatności.

2.ENISA wnosi wkład w skoordynowane oceny ryzyka w cyberprzestrzeni na poziomie Unii, w tym oceny prowadzone na podstawie art. 22 dyrektywy (UE) 2022/2555.

3.ENISA wydaje wytyczne dotyczące interoperacyjności sieci i systemów informatycznych wykorzystywanych do wymiany informacji, w tym w odniesieniu do transgranicznych centrów cyberbezpieczeństwa, o których mowa w art. 6 ust. 3 rozporządzenia (UE) 2025/38.

4.ENISA jest członkiem grupy współpracy NIS zgodnie z art. 14 ust. 3 dyrektywy (UE) 2022/2555.

5.Na wniosek Komisji ENISA zapewnia wiedzę fachową, doradztwo techniczne, informacje lub analizy lub prowadzi prace przygotowawcze dotyczące konkretnych kwestii związanych z cyberbezpieczeństwem, aby dostarczać Komisji informacje pomocne w kształtowaniu polityki oraz monitorować wdrażanie przepisów Unii.

Artykuł 6
Budowanie zdolności

ENISA pomaga:

1)państwom członkowskim w ich staraniach na rzecz poprawy w zakresie zapobiegania zagrożeniom i incydentom cyberbezpieczeństwa, ich wykrywania i analizowania oraz zdolności reagowania na zagrożenia i incydenty cyberbezpieczeństwa – poprzez zapewnianie państwom członkowskim wiedzy fachowej;

2)państwom członkowskim, na ich wniosek, w ustanawianiu i wdrażaniu na zasadzie dobrowolności polityk ujawniania podatności;

3)CERT-UE i Międzyinstytucjonalnej Radzie ds. Cyberbezpieczeństwa, zgodnie z rozporządzeniem (UE, Euratom) 2023/2841, w ich staraniach na rzecz wspierania podmiotów unijnych w zakresie wzmacniania ich cyberbezpieczeństwa, sprawniejszego zapobiegania zagrożeniom i incydentom cyberbezpieczeństwa, ich wykrywania i analizowania oraz poprawy zdolności reagowania tych podmiotów na takie zagrożenia i incydenty cyberbezpieczeństwa;

4)państwom członkowskim w tworzeniu krajowych CSIRT, jeżeli zwrócono się o taką pomoc na podstawie art. 10 ust. 10 dyrektywy (UE) 2022/2555;

5)państwom członkowskim w opracowywaniu i aktualizowaniu krajowej strategii cyberbezpieczeństwa oraz kluczowych wskaźników skuteczności działania służących do oceny tej strategii, jeżeli zwrócono się o taką pomoc na podstawie art. 7 ust. 4 dyrektywy (UE) 2022/2555, działaniach na rzecz upowszechnienia tych strategii i odnotowywaniu postępów w ich wdrażaniu w całej Unii w celu propagowania najlepszych praktyk;

6)instytucjom Unii, na ich wniosek, w opracowywaniu unijnych strategii w zakresie cyberbezpieczeństwa, działaniu na rzecz ich upowszechnienia i monitorowaniu postępów w ich realizacji;

7)krajowym CSIRT w podnoszeniu poziomu ich zdolności, między innymi poprzez promowanie dialogu i wymiany informacji, w celu zapewnienia, aby każdy CSIRT – przy uwzględnieniu aktualnego stanu wiedzy – posiadał wspólny zestaw minimalnych wymogów dotyczących zdolności oraz działał zgodnie z najlepszymi praktykami;

8)państwom członkowskim, podmiotom unijnym oraz zainteresowanym stronom z sektora publicznego i prywatnego w ich staraniach w zakresie oceniania, rozwijania i wzmacniania siły roboczej w sektorze cyberbezpieczeństwa, w tym poprzez opracowanie, utrzymanie i promowanie wykorzystywania odpowiednich narzędzi, takich jak europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa i europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa zgodnie z sekcją 4 niniejszego rozdziału;

9)odpowiednim organom publicznym, a także prywatnym zainteresowanym stronom, poprzez prowadzenie ukierunkowanych szkoleń, w stosownych przypadkach we współpracy z zainteresowanymi stronami;

10)grupie współpracy NIS w zakresie wymiany najlepszych praktyk i informacji, w szczególności w odniesieniu do wdrażania dyrektywy (UE) 2022/2555 na podstawie art. 14 ust. 4 lit. c) tej dyrektywy;

11)organom nadzoru rynku wyznaczonym zgodnie z rozporządzeniem (UE) 2024/2847 w ich działaniach mających na celu zapewnienie skutecznego wdrożenia tego rozporządzenia, w tym poprzez wsparcie w zakresie doradztwa i porad technicznych dla podmiotów gospodarczych, wsparcie w zakresie kontroli zgodności, oceny ryzyka, wspólnych działań i akcji kontrolnych określonych w rozporządzeniu (UE) 2024/2847;

12)członkom ECCG w ramach wymiany najlepszych praktyk i, na wniosek poszczególnych państw członkowskich, krajowym organom ds. certyfikacji cyberbezpieczeństwa we wdrażaniu europejskich programów certyfikacji cyberbezpieczeństwa na szczeblu krajowym;

13)organom publicznym i zainteresowanym stronom prywatnym w związku z działaniami w zakresie oceny zgodności i ewaluacji, w tym jednostkom oceniającym zgodność oraz małym i średnim przedsiębiorstwom, aby wspierać solidny, konkurencyjny, inkluzywny i zharmonizowany ekosystem oceny zgodności wspierający wdrażanie rozporządzenia (UE) 2024/2847 i europejskich ram certyfikacji cyberbezpieczeństwa;

14)Europejskiemu Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa oraz sieci krajowych ośrodków koordynacji ustanowionej na podstawie rozporządzenia (UE) 2021/887, poprzez wymianę informacji na temat bieżących i pojawiających się zagrożeń oraz zagrożeń cyberbezpieczeństwa, w tym w odniesieniu do nowych i powstających technologii informacyjno-komunikacyjnych;

15)państwom członkowskim, zapewniając im wsparcie techniczne, w tym w zakresie tworzenia i funkcjonowania piaskownic regulacyjnych w dziedzinie cyberbezpieczeństwa zgodnie z odpowiednimi przepisami Unii.

Artykuł 7
Podnoszenie świadomości i pula talentów

ENISA wspiera państwa członkowskie w ich wysiłkach na rzecz podnoszenia świadomości na temat polityki i prawodawstwa Unii w zakresie cyberbezpieczeństwa oraz promowania ich widoczności poprzez opracowywanie użytecznych narzędzi i wytycznych. ENISA wspiera inicjatywy mające na celu zwiększenie europejskiej puli talentów w dziedzinie cyberbezpieczeństwa, w szczególności poprzez koordynację konkursów.

Artykuł 8
Wiedza na temat rynku i analizy rynkowe

1.ENISA przeprowadza analizy głównych tendencji rynkowych w dziedzinie cyberbezpieczeństwa, zarówno po stronie popytu, jak i podaży, i rozpowszechnia wyniki tych analiz, w szczególności w odniesieniu do obszarów, w których istnieją lub są planowane europejskie programy certyfikacji cyberbezpieczeństwa, sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz kategorii produktów objętych rozporządzeniem (UE) 2024/2847, w tym załącznikami III i IV do tego rozporządzenia.

2.ENISA przeprowadza analizy tendencji technologicznych w dziedzinie cyberbezpieczeństwa i rozpowszechnia wyniki tych analiz, w szczególności w odniesieniu do działań i podmiotów objętych zakresem dyrektywy (UE) 2022/2555 oraz produktów z elementami cyfrowymi objętych zakresem rozporządzenia (UE) 2024/2847.

3.ENISA gromadzi wiedzę i rozpowszechnia doradztwo techniczne i wyniki analiz w zakresie najnowocześniejszych narzędzi, ram, norm i najlepszych praktyk w dziedzinie cyberbezpieczeństwa.

Artykuł 9
Współpraca międzynarodowa

ENISA wnosi wkład w starania Unii na rzecz współpracy z państwami trzecimi i organizacjami międzynarodowymi, a także na rzecz propagowania – w ramach odpowiednich międzynarodowych ram współpracy – współpracy międzynarodowej w kwestiach związanych z cyberbezpieczeństwem, poprzez:

a)w stosownych przypadkach, udział w charakterze obserwatora w działaniach organizacji międzynarodowych oraz analizowanie ich wyników i składanie Zarządowi sprawozdań z takich działań;

b)ułatwianie, na wniosek Komisji, wymiany najlepszych praktyk z państwami trzecimi i organizacjami międzynarodowymi;

c)na wniosek Komisji, zapewnianie jej wiedzy fachowej;

d)udzielanie Komisji porad eksperckich i wsparcia w kwestiach związanych z międzynarodowym uznawaniem europejskich certyfikatów cyberbezpieczeństwa zgodnie z art. 87;

e)udzielanie Komisji porad eksperckich i wsparcia w kwestiach dotyczących normalizacji międzynarodowej oraz współpracę z odpowiednimi międzynarodowymi organizacjami normalizacyjnymi, w stosownych przypadkach, we współpracy z ECCG, ustanowioną na mocy art. 90.

Sekcja 2

Współpraca operacyjna

Artykuł 10
Współpraca operacyjna na poziomie unijnym

1.ENISA wspiera współpracę operacyjną między państwami członkowskimi, podmiotami unijnymi za pośrednictwem CERT-UE oraz między innymi zainteresowanymi stronami.

2.ENISA jest członkiem sieci krajowych CSIRT ustanowionej na podstawie art. 15 ust. 1 dyrektywy (UE) 2022/2555 i zapewnia sekretariat sieci zespołów CSIRT na podstawie art. 15 ust. 2 dyrektywy (UE) 2022/2555.

3.ENISA zapewnia sekretariat europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe) zgodnie z art. 16 ust. 2 akapit drugi dyrektywy (UE) 2022/2555.

4.ENISA wspiera współpracę techniczną i operacyjną między państwami członkowskimi, w szczególności za pośrednictwem sieci CSIRT i EU-CyCLONe. Wsparcie takie obejmuje:

a)doradzanie w zakresie poprawy zdolności do zapobiegania incydentom, wykrywania ich, reagowania na nie i usuwania ich skutków;

b)zapewnianie doradztwa i ocen, na wniosek co najmniej jednego państwa członkowskiego, w odniesieniu do konkretnego potencjalnego lub trwającego incydentu lub zagrożenia cyberbezpieczeństwa, w tym poprzez zapewnianie wiedzy fachowej i ułatwianie technicznego postępowania w przypadku takich incydentów, a także poprzez wspieranie dobrowolnej wymiany odpowiednich informacji i rozwiązań technicznych między państwami członkowskimi;

c)analizę podatności, zagrożeń i incydentów;

d)wsparcie, udzielane na wniosek co najmniej jednego państwa członkowskiego, w zakresie technicznych postępowań wyjaśniających ex post dotyczących poważnych incydentów w rozumieniu art. 23 ust. 3 dyrektywy (UE) 2022/2555;

e)zachęcanie do wspierania skoordynowanego zarządzania incydentami w cyberbezpieczeństwie i cyberkryzysami na dużą skalę na szczeblu operacyjnym, w szczególności poprzez wspieranie EU-CyCLONe w przygotowywaniu sprawozdań na szczeblu politycznym oraz ułatwianie terminowej wymiany informacji między siecią CSIRT a EU-CyCLONe.

5.Na wniosek państwa członkowskiego lub podmiotu Unii, we współpracy z CERT-UE, ENISA wspiera spójne publiczne rozpowszechnianie informacji na temat incydentu lub zagrożenia cyberbezpieczeństwa.

6.ENISA wspiera współpracę między państwami członkowskimi oraz, za pośrednictwem CERT-UE, między podmiotami Unii w zakresie wdrażania bezpiecznych narzędzi komunikacji. ENISA korzysta w ramach sieci CSIRT i EU-CyCLONe z bezpiecznych narzędzi komunikacji dostarczanych przez podmioty prawne mające siedzibę lub uznane za mające siedzibę w Unii i kontrolowane przez państwa członkowskie lub obywateli państw członkowskich.

Artykuł 11
Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa

1.W celu poprawy wspólnej orientacji sytuacyjnej w zakresie zagrożeń cyberbezpieczeństwa i incydentów wśród państw członkowskich i podmiotów unijnych ENISA:

a)opracowuje – we współpracy z EU-CyCLONe, siecią CSIRT, Komisją, CERT-UE, Europolem i innymi odpowiednimi podmiotami unijnymi – repozytoria zweryfikowanych i wiarygodnych danych wywiadowczych na temat zagrożeń cyberbezpieczeństwa, w tym tendencji w zakresie incydentów, taktyk, technik i procedur;

b)zgodnie z art. 12 wydaje wczesne ostrzeżenia o potencjalnym lub trwającym poważnym incydencie lub incydencie na dużą skalę, bądź zagrożeniu cyberbezpieczeństwa o potencjalnym charakterze transgranicznym, w szczególności w odniesieniu do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555;

c)dostarcza – na wniosek sieci CSIRT, EU-CyCLONe lub Komisji – terminowe analizy ad hoc dotyczące pojawiających się tendencji w zakresie incydentów;

d)dostarcza – na wniosek państw członkowskich lub Komisji – analizę lub inne informacje dotyczące faktycznego lub postrzeganego ryzyka w cyberprzestrzeni lub zagrożenia cyberbezpieczeństwa;

e)zapewnia analizę i doradztwo techniczne dotyczące ryzyka w cyberprzestrzeni w odniesieniu do produktów z elementami cyfrowymi, w tym na potrzeby wzmocnienia nadzoru rynku, oraz sporządza co dwa lata sprawozdanie techniczne na temat pojawiających się tendencji zgodnie z art. 17 ust. 3 rozporządzenia (UE) 2024/2847;

f)przygotowuje regularny szczegółowy raport techniczny o stanie cyberbezpieczeństwa w UE dotyczący incydentów i zagrożeń cyberbezpieczeństwa oraz udostępnia ten raport Radzie, EU-CyCLONe, sieci CSIRT, Komisji, Europejskiej Służbie Działań Zewnętrznych i Europolowi;

g)monitoruje tendencje w zakresie technik, wymagań i skutków ataków z użyciem oprogramowania szantażującego oraz przekazuje informacje na temat tych tendencji Komisji, sieci CSIRT oraz EU-CyCLONe i Europolowi.

2.W celu zwiększania wśród zainteresowanych stron wspólnej orientacji sytuacyjnej w zakresie zagrożeń i incydentów cyberbezpieczeństwa ENISA:

a)przeprowadza analizy zagrożeń cyberbezpieczeństwa, incydentów, tendencji, powstających technologii i ich skutków, w tym regularną analizę dotyczącą sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz odpowiednich kategorii produktów objętych rozporządzeniem (UE) 2024/2847;

b)publikuje – we współpracy z Komisją i, w stosownych przypadkach, z siecią CSIRT – porady, wytyczne i najlepsze praktyki w zakresie bezpieczeństwa sieci i systemów informatycznych, w szczególności w odniesieniu do bezpieczeństwa infrastruktury wspierającej sektory wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555;

c)przeprowadza długoterminowe analizy strategiczne zagrożeń i incydentów cyberbezpieczeństwa w celu rozpoznania pojawiających się tendencji i pomocy w zapobieganiu incydentom.

3.ENISA może podawać do wiadomości publicznej analizy, porady, wytyczne, najlepsze praktyki i sprawozdania, o których mowa w ust. 2, w porozumieniu z podmiotami wnoszącymi wkład, o których mowa w ust. 2.

4.Wykonując działania wymienione w ust. 1 lit. a)–d) i f) oraz w ust. 2, ENISA wykorzystuje własne analizy oraz, w stosownych przypadkach, informacje otrzymane w związku z wykonywaniem swoich zadań, w tym:

a)informacje pochodzące z publicznie dostępnych źródeł, w tym powszechnie znane podatności w produktach ICT lub usługach ICT, dostępne w europejskiej bazie danych dotyczących podatności, ustanowionej na podstawie art. 12 ust. 2 dyrektywy (UE) 2022/2555;

b)informacje udostępniane przez państwa członkowskie, podmioty unijne, CERT-UE, partnerów z sektora prywatnego lub partnerów pozarządowych oraz państwa trzecie i organizacje międzynarodowe, z zastrzeżeniem wszelkich ograniczeń wynikających z widocznego oznakowania dotyczącego dalszego rozpowszechniania tych informacji.

5.ENISA ściśle współpracuje z państwami członkowskimi przy przygotowywaniu raportu technicznego o stanie cyberbezpieczeństwa w UE, o którym mowa w ust. 1 lit. e). Raport ten opiera się na publicznie dostępnych informacjach, własnej analizie ENISA oraz sprawozdaniach udostępnianych między innymi przez CSIRT z państw członkowskich lub pojedyncze punkty kontaktowe ustanowione dyrektywą (UE) 2022/2555, zarówno na zasadzie dobrowolności, jak i przez EC3 i CERT-UE. W porozumieniu z podmiotami wnoszącymi wkład ENISA może udostępnić opinii publicznej zagregowaną wersję tego raportu.

Artykuł 12
Wczesne ostrzeżenia

1.Wczesne ostrzeżenia, o których mowa w art. 11 ust. 1 akapit pierwszy lit. b) niniejszego rozporządzenia, zawierają istotne informacje dotyczące potencjalnego lub trwającego poważnego incydentu lub incydentu na dużą skalę lub zagrożenia cyberbezpieczeństwa o potencjalnym charakterze transgranicznym, w odniesieniu do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555. Takie informacje mogą obejmować powszechnie znane podatności ze wskazaniem, czy podatności te wpływają na produkty z elementami cyfrowymi objęte rozporządzeniem (UE) 2024/2847, informacje o technikach i procedurach, oznakach naruszenia integralności systemu, wrogich taktykach, konkretne informacje o agresorach oraz zalecenia dotyczące środków ograniczających ryzyko.

2.Wczesne ostrzeżenia, o których mowa w art. 11 ust. 1 akapit pierwszy lit. b), są jak najszybciej przekazywane odpowiedniemu CSIRT lub odpowiednim CSIRT oraz, w stosownych przypadkach, sieci CSIRT i EU-CyCLONe.

3.ENISA oferuje usługę wczesnego ostrzegania podmiotom działającym w sektorach wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555.

4.Usługa, o której mowa w ust. 3, jest świadczona na wniosek podmiotu i w formacie nadającym się do odczytu maszynowego, który jest udostępniany publicznie. Usługa ta obejmuje wymianę informacji na temat wskaźników zagrożeń cyberbezpieczeństwa i zaleceń dotyczących środków zmniejszających ryzyko.

5.ENISA ustanawia procedurę przekazywania wczesnych ostrzeżeń podmiotom, o których mowa w ust. 3.

Artykuł 13
Wsparcie w zakresie reagowania na incydenty i ich przeglądu

1.ENISA obsługuje rezerwę cyberbezpieczeństwa UE i zarządza nią, w całości lub w części, zgodnie z rozporządzeniem (UE) 2025/38.

2.ENISA – na wniosek Komisji lub EU-CyCLONe – dokonuje przeglądu i oceny poważnych incydentów w cyberbezpieczeństwie lub incydentów w cyberbezpieczeństwie na dużą skalę zgodnie z art. 21 rozporządzenia (UE) 2025/38, przy wsparciu sieci CSIRT i za zgodą państwa członkowskiego, którego to dotyczy.

3.ENISA, we współpracy z Europolem i CSIRT lub, w stosownych przypadkach, innymi właściwymi organami, pomaga poszczególnym kluczowym i ważnym podmiotom wymienionym w załącznikach I i II do dyrektywy (UE) 2022/2555 w przygotowaniu się na incydent związany z oprogramowaniem szantażującym, reagowaniu na niego i usuwaniu jego skutków. W tym celu ENISA ustanawia punkt informacyjny, a w szczególności korzysta ze zwiększonej wspólnej orientacji sytuacyjnej w zakresie zagrożeń i incydentów cyberbezpieczeństwa zgodnie z art. 11 ust. 1 akapit pierwszy lit. a) i g) niniejszego rozporządzenia.

Artykuł 14
Ćwiczenia w dziedzinie cyberbezpieczeństwa na szczeblu unijnym

1.ENISA wspiera Komisję w opracowywaniu rocznego odnawialnego programu ćwiczeń w dziedzinie cyberbezpieczeństwa na szczeblu Unii.

2.ENISA prowadzi repozytorium wdrożonych doświadczeń i wniosków z ćwiczeń, o których mowa w ust. 1, i doradza państwom członkowskim oraz, w stosownych przypadkach, podmiotom Unii, w jaki sposób skutecznie i wydajnie wdrożyć uzyskane doświadczenia i wyciągnięte wnioski.

3.ENISA organizuje, na wniosek EU-CyCLONe i Komisji, ćwiczenia w dziedzinie cyberbezpieczeństwa na szczeblu unijnym, w tym testowanie gotowości do reagowania na incydenty i kryzysy w cyberbezpieczeństwie na dużą skalę na szczeblu unijnym, lub wnosi wkład w organizację takich ćwiczeń.

4.ENISA wspiera państwa członkowskie, na ich wniosek, w organizowaniu krajowych ćwiczeń w dziedzinie cyberbezpieczeństwa.

5.ENISA włącza się na wniosek CERT-UE w organizację ćwiczeń w dziedzinie cyberbezpieczeństwa organizowanych przez CERT-UE zgodnie z art. 13 ust. 7 rozporządzenia (UE, Euratom) 2023/2841.

Artykuł 15
Dostarczanie narzędzi i platform

1.ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje w miarę potrzeb operacyjne narzędzia techniczne, w tym platformy związane z cyberbezpieczeństwem na szczeblu unijnym, w szczególności pojedynczą platformę sprawozdawczą ustanowioną na podstawie art. 16 ust. 1 rozporządzenia (UE) 2024/2847 [oraz pojedynczy punkt zgłaszania incydentów ustanowiony na podstawie art. 23a dyrektywy (UE) 2022/2555], a także narzędzia testowe wspierające wdrażanie procedur oceny zgodności zgodnie z odpowiednimi przepisami Unii.

2.W stosownych przypadkach do celów ust. 1 ENISA współpracuje i wymienia informacje z siecią CSIRT oraz, w stosownych przypadkach, z organami nadzoru rynku.

Artykuł 16
Usługi zarządzania podatnościami

ENISA rozwija wspólną unijną zdolność w zakresie usług zarządzania podatnościami i świadczy usługi zarządzania podatnościami na rzecz zainteresowanych stron poprzez:

a)prowadzenie europejskiej bazy danych dotyczących podatności, ustanowionej na podstawie art. 12 ust. 2 dyrektyw (UE) 2022/2555;

b)świadczenie usług zarządzania podatnościami na rzecz zainteresowanych stron, w oparciu o europejską bazę danych dotyczących podatności i z wykorzystaniem odpowiednich informacji, którymi dysponuje ENISA;

c)w stosownych przypadkach nawiązywanie zorganizowanej współpracy z organizacjami zapewniającymi programy, rejestry lub bazy danych zbliżone do europejskiej bazy danych dotyczących podatności;

d)aktywne wspieranie CSIRT wyznaczonych na koordynatorów zgodnie z art. 12 ust. 1 dyrektywy (UE) 2022/2555 w odniesieniu do zarządzania skoordynowanym ujawnianiem podatności mogących mieć znaczny wpływ na podmioty w więcej niż jednym państwie członkowskim;

e)opracowywanie i utrzymywanie metod i mechanizmów zarządzania w zakresie identyfikacji podatności i ich skoordynowanego ujawniania, we współpracy z właściwymi organami krajowymi, CSIRT, przemysłem i środowiskiem naukowym.

Sekcja 3

Certyfikacja i normalizacja cyberbezpieczeństwa

Artykuł 17
Certyfikacja cyberbezpieczeństwa

1.ENISA przyczynia się do opracowywania i realizacji ustanowionej w tytule III niniejszego rozporządzenia polityki Unii w zakresie certyfikacji cyberbezpieczeństwa. ENISA odpowiada za:

a)przygotowywanie propozycji dotyczących europejskich programów certyfikacji cyberbezpieczeństwa (zwanych dalej „propozycjami programów”) w odniesieniu do produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów zgodnie z art. 74 oraz, w stosownych przypadkach, opracowywanie specyfikacji technicznych zgodnie z art. 77;

b)utrzymywanie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 75, w tym z myślą o ewentualnym przeglądzie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 76;

c)promowanie upowszechniania przyjętych programów i prowadzenie specjalnej strony internetowej informującej o europejskich programach certyfikacji cyberbezpieczeństwa, europejskich certyfikatach cyberbezpieczeństwa i unijnych deklaracjach zgodności zgodnie z art. 79 i popularyzującej te zagadnienia;

d)organizowanie budowania zdolności związanych z procesami certyfikacji, działaniami w zakresie oceny, wzajemnego przeglądu i wzajemnej oceny, w tym poprzez udzielanie wsparcia państwom członkowskim, na ich wniosek, zgodnie z art. 6 pkt 12.

2.ENISA wspiera Komisję w następujących działaniach:

a)zarządzanie ECCG zgodnie z art. 90;

b)organizowanie Europejskiego Zgromadzenia ds. Certyfikacji Cyberbezpieczeństwa zgodnie z art. 72 ust. 1;

c)działania w zakresie międzynarodowego uznawania europejskich certyfikatów cyberbezpieczeństwa zgodnie z art. 87;

d)organizowanie wzajemnych przeglądów na podstawie art. 89;

e)przygotowanie wzorcowych przepisów, które należy przywołać w europejskich programach certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów zgodnie z art. 81 ust. 5.

Artykuł 18
Normalizacja, specyfikacje techniczne i wytyczne

1.ENISA opracowuje specyfikacje techniczne i wytyczne w celu wsparcia wdrażania przepisów Unii w dziedzinie cyberbezpieczeństwa. Opracowując te specyfikacje techniczne, ENISA bierze pod uwagę istniejące normy europejskie i międzynarodowe, a także inne odpowiednie specyfikacje techniczne. ENISA zapewnia spójność swoich specyfikacji technicznych i wytycznych.

2.ENISA monitoruje działania w zakresie opracowywania normalizacji na szczeblu unijnym i, zgodnie z art. 9, na szczeblu międzynarodowym oraz, w stosownych przypadkach, uczestniczy w tych działaniach i odgrywa w nich wiodącą rolę, wspierając w ten sposób polityki Unii związane z cyberbezpieczeństwem.

3.ENISA wspiera rozwój i ocenę algorytmów kryptograficznych. W przypadku pozytywnej oceny przez ENISA algorytmu kryptograficznego ENISA współpracuje, zgodnie z rozporządzeniem (UE) nr 1025/2012, z europejskimi organami normalizacyjnymi, wspierając normalizację tego algorytmu.

4.ENISA zapewnia Komisji i, w stosownych przypadkach, państwom członkowskim doradztwo techniczne w zakresie odpowiednich norm lub specyfikacji technicznych wspomagających polityki Unii związane z cyberbezpieczeństwem, w tym w odniesieniu do prawodawstwa harmonizacyjnego Unii w dziedzinie cyberbezpieczeństwa, w szczególności rozporządzenia (UE) 2024/2847, obszarów technicznych do celów wskazanych w art. 25 dyrektywy (UE) 2022/2555 oraz europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 81 ust. 1 lit. d).

5.ENISA wspiera Komisję w ocenie projektów norm zharmonizowanych mających wspierać wdrażanie prawodawstwa harmonizacyjnego Unii w dziedzinie cyberbezpieczeństwa.

6.ENISA propaguje upowszechnianie europejskich i międzynarodowych norm cyberbezpieczeństwa.

7.ENISA wykonuje zadania, o których mowa w ust. 1–6, w sposób uczciwy, bezstronny i poufny, w tym przez wycofanie się z prac lub zawieszenie swojego udziału w pracach określonych organów technicznych, jeżeli taki udział koliduje z innymi zadaniami lub celami.

Sekcja 4 
Ustanowienie Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa

Artykuł 19
Europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa

1.ENISA opracowuje i udostępnia publicznie europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa („ECSF”). Przed podaniem europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa do wiadomości publicznej lub ich aktualizacją zgodnie z ust. 4 ENISA konsultuje się z Komisją.

2.ECSF określają profile specjalistów w dziedzinie cyberbezpieczeństwa i przypisują konkretne zadania, umiejętności i wiedzę do określonego profilu ról. Korzystanie z ECSF jest dobrowolne dla podmiotów publicznych i prywatnych.

3.ENISA może konsultować się z zainteresowanymi stronami przy opracowywaniu i upowszechnianiu stosowania ECSF.

4.ENISA ocenia potrzebę regularnej aktualizacji ECSF i aktualizuje je w stosownych przypadkach.

Artykuł 20
Opracowanie, przyjęcie i utrzymanie europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa

1.ENISA opracowuje, przyjmuje i utrzymuje europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. O ile prawo krajowe nie stanowi inaczej, krajowe organy publiczne i podmioty prywatne korzystają z europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa na zasadzie dobrowolności.

2.Przed uruchomieniem nowego europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa ENISA konsultuje się z Komisją. ENISA przyjmuje taki program dopiero po uzyskaniu pozytywnej opinii Komisji. Przygotowując europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ENISA może konsultować się z odpowiednimi zainteresowanymi stronami.

3.Europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa obejmuje następujące elementy:

a)przedmiot i zakres programu poświadczania w oparciu o profile ról ECSF lub ich podzbiory;

b)wymogi, które mają zastosowanie do osób przeszkolonych do przeprowadzania ocen („osoby oceniające”) zgodnie z art. 21, niezbędne umiejętności, wiedza i doświadczenie, a także metody szkolenia;

c)analiza wprowadzania na rynek w odniesieniu do każdego programu poświadczania;

d)efekty uczenia się, metody oceny i warunki stosowane przez upoważnionych dostawców poświadczeń do oceny, czy dana osoba wykazuje wymagane umiejętności zgodnie z art. 21;

e)w stosownych przypadkach jeden lub więcej poziomów uzasadnienia zaufania;

f)przepisy dotyczące przechowywania dokumentacji przez upoważnionych dostawców poświadczeń;

g)treść i format europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, z należytym uwzględnieniem art. 21 ust. 5 lit. e);

h)maksymalny okres ważności europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa wydawanych w ramach programu poświadczania;

4.Europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa może obejmować orientacyjny koszt europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa.

5.ENISA zapewnia ścisłą współpracę z państwami członkowskimi podczas przygotowywania europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa.

6.Zmiana europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa nie ma wpływu na upoważnienie udzielone na podstawie art. 22 ust. 3 lit. a), które pozostaje ważne przez okres, na jaki zostało udzielone.

Artykuł 21
Upoważnieni dostawcy poświadczeń

1.Upoważnieni dostawcy poświadczeń oceniają, czy osoby fizyczne spełniają wymogi europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, a jeżeli wymogi te zostaną spełnione, wydają europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa. Dostawcy poświadczeń mogą dysponować kilkoma upoważnieniami, przy czym każdego z tych upoważnień udzielono w odniesieniu do jednego europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa.

2.ENISA zapewnia wytyczne i przeprowadza obowiązkowe szkolenie osób oceniających w zakresie wymogów i metod oceny uwzględnionych w europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, o którym mowa w art. 20 ust. 3 lit. b).

3.Podmioty, które chcą uzyskać status upoważnionego dostawcy poświadczeń lub przedłużyć udzielone im upoważnienie („wnioskodawcy”), składają wniosek do ENISA. Muszą przy tym spełniać następujące wymogi:

a)muszą posiadać osobowość prawną;

b)muszą być w stanie wykonywać określone w niniejszym rozporządzeniu zadania związane z europejskimi indywidualnymi poświadczeniami umiejętności w dziedzinie cyberbezpieczeństwa, niezależnie od tego, czy ocena jest przeprowadzana samodzielnie przez upoważnionego dostawcę poświadczeń, czy też w jego imieniu i na jego odpowiedzialność;

c)muszą posiadać środki konieczne do prawidłowej realizacji zadań o charakterze technicznym i administracyjnym związanych z europejskim programem indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz mieć dostęp do wszystkich niezbędnych urządzeń lub wyposażenia.

Dla celów akapitu pierwszego lit. b) zlecanie podwykonawstwa lub konsultacje z personelem zewnętrznym muszą być odpowiednio udokumentowane, nie mogą w nich uczestniczyć żadni pośrednicy i muszą one być przedmiotem pisemnej umowy obejmującej między innymi kwestie poufności i konfliktu interesów.

4.Wnioskodawcy nie mogą być dostawcami wysokiego ryzyka.

5.Upoważnieni dostawcy poświadczeń wypełniają następujące obowiązki:

a)w odniesieniu do wdrażania każdego europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa:

(i)dysponują potrzebnymi osobami oceniającymi i personelem, aby terminowo wykonywać swoje działania określone w tym programie;

(ii)dbają o to, aby osoby oceniające przestrzegały tajemnicy zawodowej, były bezstronne i wykonywały swoją pracę w sposób niezależny i z zachowaniem najwyższego stopnia uczciwości zawodowej;

(iii)dysponują pisemnymi procedurami prowadzenia działań w ramach programu, w odniesieniu do którego posiadają upoważnienie;

b)nie prowadzą ocen ani nie wydają europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa na rzecz własnych osób oceniających;

c)zapewniają, w stosownych przypadkach poprzez wprowadzenie odpowiednich zabezpieczeń, aby osoby oceniające mogły wykonywać swoją pracę w sposób niezależny, w szczególności gdy takie osoby należą do struktury takiego podmiotu lub są pracownikami lub osobami uczącymi się w ramach takiej struktury;

d)nie mogą angażować się w żadną działalność, która może stać w sprzeczności z niezależnością osądu lub uczciwością ich własnych osób oceniających;

e)zapewniają, aby na wniosek osoby fizycznej elektroniczne poświadczenia w ramach europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa wydawano jako elektroniczne poświadczenia atrybutów w formacie, który może być przechowywany w europejskich portfelach tożsamości cyfrowej określonych w rozporządzeniu (UE) nr 910/2014.

6.Upoważnieni dostawcy poświadczeń niezwłocznie informują ENISA, jeżeli dany podmiot nie spełnia już któregokolwiek z wymogów wymienionych w ust. 3 i 4 lub obowiązków wymienionych w ust. 5 lub jeżeli pojawią się jakiekolwiek wątpliwości co do tego, czy dany podmiot spełnia te wymogi lub obowiązki, w tym w odniesieniu do niezależności osób oceniających. 

7.Upoważnieni dostawcy poświadczeń mogą żądać od osób fizycznych opłaty za ocenę i wydanie europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, z uwzględnieniem orientacyjnego kosztu europejskiego indywidualnego poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa na podstawie art. 20 ust. 4 i podanego do wiadomości publicznej na specjalnej stronie internetowej zgodnie z art. 23 lit. d).

8.Wnioskodawcy i upoważnieni dostawcy poświadczeń umożliwiają ENISA prowadzenie ocen w ramach procesu składania wniosków o upoważnienie lub utrzymania upoważnienia oraz udzielają wszystkich istotnych informacji, aby wykazać, że dostawca spełnił lub nadal spełnia wymogi określone w ust. 3 i 4 lub obowiązki określone w ust. 5 zgodnie z art. 22 ust. 2.

Artykuł 22
Rozpatrywanie wniosków o uzyskanie statusu upoważnionego dostawcy poświadczeń i utrzymanie upoważnienia

1.Wnioskodawcy uiszczają na rzecz ENISA opłatę za rozpatrzenie ich wniosku. Upoważnieni dostawcy poświadczeń uiszczają na rzecz ENISA opłatę za utrzymanie udzielonego im upoważnienia.

2.ENISA ocenia, czy wnioskodawcy i upoważnieni dostawcy poświadczeń spełnili lub nadal spełniają wymogi określone w art. 21 ust. 3 i 4 oraz obowiązki określone w art. 21 ust. 5.

3.Po rozpatrzeniu wniosku pod kątem wymogów określonych w art. 21 ust. 3 i 4 ENISA może wydać jedną z następujących decyzji:

a)przyznanie wnioskodawcy statusu upoważnionego dostawcy poświadczeń lub przedłużenie tego statusu;

b)odrzucenie wniosku o uzyskanie statusu upoważnionego dostawcy poświadczeń lub nieprzedłużenia tego statusu;

c)zakończenie rozpatrywania wniosku z powodu niepodjęcia przez wnioskodawcę działań w odpowiedzi na wniosek ENISA o udzielenie dodatkowych informacji.

ENISA może zmienić, zawiesić lub uchylić takie decyzje na podstawie własnej oceny zgodnie z art. 22 ust. 2 lub w przypadku, o którym mowa w art. 21 ust. 6.

4.ENISA wydaje decyzję, o której mowa w ust. 3, w terminie trzech miesięcy od daty złożenia wniosku zgodnie z art. 21 ust. 3. W przypadku gdy ENISA zwróciła się do wnioskodawcy o dodatkowe informacje, ENISA wydaje decyzję, o której mowa w ust. 3, w terminie jednego miesiąca od otrzymania takich dodatkowych informacji.

5.Okres obowiązywania decyzji, o której mowa w ust. 3 lit. a), wynosi maksymalnie trzy lata i wskazuje się w niej opłatę związaną z przedłużeniem upoważnienia na kolejny rok.

6.ENISA czuwa nad tym, aby jej działania związane z opracowywaniem i przyjmowaniem europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, jak określono w art. 20, były ściśle oddzielone i prowadzone niezależnie od działań w zakresie rozpatrywania wniosków i ocen określonych w ust. 2 i 3 niniejszego artykułu.

Artykuł 23
Informacje publiczne

ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat:

a)ECSF, w tym ram i harmonogramu ich aktualizacji;

b)europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ich postępu i harmonogramów ich opracowywania;

c)opłat związanych z każdym europejskim programem indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, przyjętych na podstawie art. 47 niniejszego rozporządzenia;

d)orientacyjnego kosztu europejskiego indywidualnego poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa zgodnie z art. 20 ust. 4;

e)wykazu upoważnionych dostawców poświadczeń.

ROZDZIAŁ III 
Struktura organizacyjna ENISA

Artykuł 24
Struktura administracyjna i kierownicza ENISA

W skład struktury administracyjnej i kierowniczej ENISA wchodzą:

a)Zarząd, który pełni funkcje określone w art. 28;

b)Rada Wykonawcza, która pełni funkcje określone w art. 30;

c)Dyrektor Wykonawczy, który wykonuje obowiązki określone w art. 32;

d)zastępca Dyrektora Wykonawczego, który wykonuje obowiązki określone w art. 34;

e)Grupa Doradcza ENISA;

f)Rada Odwoławcza, która pełni funkcje określone w art. 39–42.

Sekcja 1 
Zarząd

Artykuł 25
Skład Zarządu

1.W skład Zarządu wchodzi po jednym członku powoływanym przez każde z państw członkowskich oraz dwóch członków powoływanych przez Komisję. Prawo głosu przysługuje wszystkim członkom Zarządu.

2.Każdy z członków Zarządu ma zastępcę. Zastępcy reprezentują członków pod ich nieobecność.

3.Każde państwo członkowskie powołuje szefa właściwego organu krajowego wyznaczonego na podstawie art. 8 ust. 1 dyrektywy (UE) 2022/2555 na członka Zarządu. Jeżeli okaże się to niewykonalne, państwa członkowskie wyznaczają na członka Zarządu przedstawiciela wysokiego szczebla właściwego organu krajowego wyznaczonego na podstawie art. 8 ust. 1 dyrektywy (UE) 2022/2555.

4.Członków Zarządu, których powołuje Komisja, i ich zastępców powołuje się przez wzgląd na ich wiedzę w dziedzinie cyberbezpieczeństwa, biorąc pod uwagę ich odpowiednie umiejętności kierownicze, administracyjne i budżetowe. W odniesieniu do zastępców Komisja i państwa członkowskie dążą do osiągnięcia zrównoważonej reprezentacji mężczyzn i kobiet w Zarządzie i dokładają starań, aby ograniczyć ich rotację w celu zapewnienia ciągłości prac Zarządu.

5.Kadencja członków powołanych przez państwa członkowskie jest równa okresowi sprawowania przez nich funkcji, o której mowa w ust. 3.

6.Kadencja zastępców i członków powoływanych przez Komisję trwa cztery lata. Kadencja ta jest odnawialna.

Artykuł 26
Przewodniczący Zarządu

1.Zarząd wybiera Przewodniczącego i zastępcę Przewodniczącego spośród swoich członków z prawem głosu. Przewodniczący i zastępca Przewodniczącego wybierani są większością dwóch trzecich głosów członków Zarządu z prawem głosu.

2.Zastępca Przewodniczącego zastępuje z urzędu Przewodniczącego w przypadku, gdy nie jest on w stanie wykonywać swoich obowiązków.

3.Kadencja Przewodniczącego i zastępcy Przewodniczącego trwa cztery lata z możliwością jednokrotnego odnowienia. Jeżeli jednak w dowolnym momencie swojej kadencji stracą oni status członka Zarządu, kadencja ich kończy się automatycznie w tym samym dniu.

Artykuł 27
Posiedzenia Zarządu

1.Posiedzenia Zarządu zwołuje Przewodniczący.

2.W posiedzeniach Zarządu, bez prawa głosu, bierze udział Dyrektor Wykonawczy.

3.Zarząd zbiera się co najmniej dwa razy do roku na posiedzeniach zwyczajnych. Dodatkowo Zarząd zbiera się z inicjatywy Przewodniczącego, na wniosek Komisji lub na wniosek co najmniej jednej trzeciej członków.

4.Przedstawiciel Europejskiego Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa ustanowionego rozporządzeniem (UE) 2021/887 ma status stałego obserwatora na posiedzeniach Zarządu bez prawa głosu.

5.Zarząd może zaprosić dowolną osobę, której opinia może mieć znaczenie, do udziału w posiedzeniu lub jego części w charakterze obserwatora ad hoc, bez prawa głosu i z zastrzeżeniem regulaminu wewnętrznego Zarządu.

6.Członkowie Zarządu i ich zastępcy mogą korzystać podczas posiedzeń Zarządu z pomocy doradców lub ekspertów, z zastrzeżeniem przepisów regulaminu wewnętrznego Zarządu.

Artykuł 28
Funkcje Zarządu

1.Zarząd:

a)określa ogólny kierunek działania ENISA i czuwa nad tym, aby ENISA działała zgodnie z przepisami i zasadami określonymi w niniejszym rozporządzeniu; zapewnia również spójność pracy ENISA z działaniami prowadzonymi przez państwa członkowskie oraz na szczeblu unijnym;

b)przyjmuje projekt jednolitego dokumentu programowego ENISA, o którym mowa w art. 44, przed przedłożeniem go Komisji do zaopiniowania;

c)przyjmuje jednolity dokument programowy ENISA zgodnie z art. 29 ust. 2 lit. a), uwzględniając opinię Komisji;

d)nadzoruje realizację programowania wieloletniego i rocznego zawartego w jednolitym dokumencie programowym;

e)przyjmuje budżet roczny ENISA zgodnie z art. 29 ust. 2 lit. b) oraz pełni inne funkcje dotyczące budżetu ENISA zgodnie z rozdziałem IV;

f)ocenia i przyjmuje skonsolidowane roczne sprawozdanie z działalności ENISA, w tym sprawozdanie finansowe oraz opis sposobu, w jaki ENISA osiągnęła swoje wskaźniki skuteczności działania; przedkłada zarówno sprawozdanie roczne, jak i jego ocenę Parlamentowi Europejskiemu, Radzie, Komisji i Europejskiemu Trybunałowi Obrachunkowemu do dnia 1 lipca następnego roku; podaje sprawozdanie roczne do wiadomości publicznej;

g)przyjmuje zgodnie z art. 50 przepisy finansowe mające zastosowanie do ENISA;

h)przyjmuje strategię na rzecz przeciwdziałania nadużyciom finansowym, która jest proporcjonalna do ryzyka wystąpienia takich nadużyć, uwzględniając analizę kosztów i korzyści wynikających z wdrażanych środków;

i)zapewnia odpowiednie działania następcze w odniesieniu do ustaleń i zaleceń wynikających ze sprawozdań z wewnętrznych lub zewnętrznych audytów oraz ocen, jak również z dochodzeń prowadzonych przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF) i postępowań przygotowawczych prowadzonych przez Prokuraturę Europejską (EPPO);

j)przyjmuje swój regulamin wewnętrzny, zawierający przepisy dotyczące decyzji tymczasowych w sprawie przekazania uprawnień do wykonywania określonych zadań na podstawie art. 30 ust. 7;

k)zgodnie z ust. 2 niniejszego artykułu wykonuje w stosunku do pracowników ENISA uprawnienia organu mianującego oraz uprawnienia organu uprawnionego do zawierania umów o pracę („uprawnienia organu mianującego”) przyznane temu organowi na mocy regulaminu pracowniczego urzędników Unii Europejskiej (zwanego dalej „regulaminem pracowniczym”) i warunków zatrudnienia innych pracowników Unii Europejskiej (zwanych dalej „warunkami zatrudnienia”) określone odpowiednio w rozporządzeniu Rady (EWG, Euratom, Ew Wis) nr 259/68 73 ;

l)przyjmuje przepisy wykonawcze w celu wprowadzenia w życie regulaminu pracowniczego i warunków zatrudnienia, zgodnie z art. 110 ust. 2 regulaminu pracowniczego;

m)mianuje Dyrektora Wykonawczego oraz, jeżeli podejmie decyzję o utworzeniu stanowiska zastępcy Dyrektora Wykonawczego, zastępcę Dyrektora Wykonawczego, a w stosownych przypadkach przedłuża ich kadencję lub odwołuje ich ze stanowiska zgodnie z art. 31;

n)powołuje księgowego, zgodnie z regulaminem pracowniczym i warunkami zatrudnienia, który zachowuje niezależność w wykonywaniu swoich obowiązków;

o)podejmuje wszystkie decyzje dotyczące ustanowienia wewnętrznej struktury ENISA, a w razie potrzeby zmiany takiej wewnętrznej struktury, uwzględniając potrzeby w zakresie działań ENISA i mając na uwadze należyte zarządzanie budżetem;

p)zatwierdza wnioski z ustaleń roboczych w odniesieniu do art. 68;

q)zatwierdza wnioski z ustaleń roboczych zgodnie z art. 70;

r)powołuje i odwołuje członków Rady Odwoławczej zgodnie z art. 29 ust. 2 lit. d);

s)przyjmuje w odniesieniu do członków Rady Odwoławczej przepisy, których celem jest zapobieganie konfliktom interesów i zarządzanie nimi.

2.Zgodnie z art. 110 ust. 2 regulaminu pracowniczego Zarząd przyjmuje na podstawie art. 2 ust. 1 regulaminu pracowniczego i art. 6 warunków zatrudnienia decyzję przekazującą odpowiednie uprawnienia organu powołującego Dyrektorowi Wykonawczemu i określającą warunki, zgodnie z którymi możliwe jest zawieszenie przekazania tych uprawnień. Dyrektor Wykonawczy może przekazać dalej te uprawnienia.

3.W przypadku gdy wymagają tego wyjątkowe okoliczności, Zarząd może przyjąć decyzję o tymczasowym zawieszeniu przekazania uprawnień organu powołującego Dyrektorowi Wykonawczemu i wszelkich uprawnień organu powołującego przekazanych dalej przez Dyrektora Wykonawczego, a zamiast tego wykonywać je samodzielnie lub przekazać je jednemu ze swoich członków lub członkowi personelu innemu niż Dyrektor Wykonawczy.

Artykuł 29
Zasady głosowania Zarządu

1.Jeżeli niniejsze rozporządzenie nie stanowi inaczej, Zarząd podejmuje decyzje bezwzględną większością głosów członków z prawem głosu.

2.Większość dwóch trzecich głosów członków Zarządu z prawem głosu wymagana jest do:

a)przyjęcia jednolitego dokumentu programowego, o którym mowa w art. 28 ust. 1 lit. c);

b) przyjęcia rocznego budżetu, o którym mowa w art. 28 ust. 1 lit. e);

c) powołania, przedłużenie kadencji lub odwołania Dyrektora Wykonawczego i zastępcy Dyrektora Wykonawczego, o których mowa w art. 31 i 33;

d)powołania i odwołania członków Rady Odwoławczej, o której mowa w art. 36.

3.Decyzje w sprawach budżetowych lub dotyczących zasobów ludzkich, w szczególności w sprawach, o których mowa w art. 28 ust. 1 lit. c), e), f), g), h), i), k), l), m), n), przyjmuje się wyłącznie wtedy, gdy przedstawiciele Komisji oddali głos za ich przyjęciem. Do celów przyjęcia decyzji, o których mowa w art. 28 ust. 1 lit. c), dotyczących jednolitego dokumentu programowego ENISA, głos przedstawiciela Komisji za przyjęciem tej decyzji jest wymagany wyłącznie w odniesieniu do tych elementów decyzji, które nie są związane z rocznym i wieloletnim programem prac ENISA.

4.Każdy członek z prawem głosu ma jeden głos. W przypadku nieobecności członka z prawem głosu jego zastępca jest uprawniony do wykonywania prawa głosu tego członka.

5.Przewodniczący Zarządu bierze udział w głosowaniu.

6.Dyrektor Wykonawczy nie bierze udziału w głosowaniu.

7.W regulaminie wewnętrznym Zarządu ustala się bardziej szczegółowe zasady głosowania, w szczególności okoliczności, w których jeden członek Zarządu może działać w imieniu innego członka.

Sekcja 2 
Rada Wykonawcza

Artykuł 30
Rada Wykonawcza

1.Zarząd wspierany jest przez Radę Wykonawczą.

2.Rada Wykonawcza:

a)przygotowuje decyzje, które mają zostać przyjęte przez Zarząd;

b)zapewnia, wraz z Zarządem, podjęcie odpowiednich działań następczych w odniesieniu do ustaleń i zaleceń wynikających ze sprawozdań z wewnętrznych lub zewnętrznych audytów oraz ocen, jak również z dochodzeń OLAF-u i EPPO.

c)bez uszczerbku dla obowiązków Dyrektora Wykonawczego określonych w art. 32 służy Dyrektorowi Wykonawczemu pomocą i doradztwem w zakresie wykonywania decyzji Zarządu, mając na względzie wzmocnienie nadzoru nad zarządzaniem administracyjnym i budżetowym.

3.W skład Rady Wykonawczej wchodzą: Przewodniczący Zarządu, jeden przedstawiciel Komisji w Zarządzie i trzech innych członków mianowanych przez Zarząd spośród jego członków z prawem głosu. Przewodniczący Zarządu jest również Przewodniczącym Rady Wykonawczej. Powołania członków Rady Wykonawczej zmierzają do zapewnienia równowagi płci w Radzie Wykonawczej. Dyrektor Wykonawczy bierze udział w posiedzeniach Rady Wykonawczej bez prawa głosu.

4.Kadencja członków Rady Wykonawczej trwa cztery lata. Kadencja ta jest odnawialna. Kadencja członków Rady Wykonawczej kończy się wraz z zakończeniem ich członkostwa w Zarządzie.

5.Rada Wykonawcza odbywa co najmniej jedno posiedzenie zwyczajne co trzy miesiące. Ponadto Rada zbiera się z inicjatywy Przewodniczącego lub na wniosek jej członków.

6.Zarząd ustanawia regulamin wewnętrzny Rady Wykonawczej.

7.W stosownych przypadkach, ze względu na pilny charakter sprawy, Rada Wykonawcza może przyjmować w imieniu Zarządu określone decyzje tymczasowe, w szczególności w sprawach dotyczących zarządzania administracyjnego, w tym zawieszenia przekazania uprawnień organu powołującego oraz w sprawach budżetowych. Zarząd jest notyfikowany bez zbędnej zwłoki o wszelkich decyzjach tymczasowych tego rodzaju. Zarząd podejmuje następnie decyzję o zatwierdzeniu lub odrzuceniu danej decyzji tymczasowej nie później niż trzy miesiące od daty jej przyjęcia. Rada Wykonawcza nie może przyjmować w imieniu Zarządu decyzji, które wymagają zatwierdzenia przez większość dwóch trzecich głosów członków Zarządu z prawem głosu.

Sekcja 3 
Dyrektor Wykonawczy

Artykuł 31
Powołanie, odwołanie i przedłużenie kadencji

1.Dyrektor Wykonawczy jest powoływany przez Zarząd w oparciu o posiadane przez niego kompetencje merytoryczne i umiejętności spośród kandydatów z listy zaproponowanej przez Komisję po przeprowadzeniu otwartej i przejrzystej procedury wyboru.

2.Przed powołaniem kandydat wybrany przez Zarząd zostaje wezwany do złożenia oświadczenia przed odpowiednią komisją Parlamentu Europejskiego i udzielenia odpowiedzi na pytania posłów.

3.Dyrektor Wykonawczy zatrudniany jest w ENISA jako członek personelu zatrudnionego na czas określony, zgodnie z art. 2 lit. a) warunków zatrudnienia.

4.Do celów zawarcia umowy z Dyrektorem Wykonawczym ENISA jest reprezentowana przez Przewodniczącego Zarządu.

5.Kadencja Dyrektora Wykonawczego trwa pięć lat. W odpowiednim czasie przed upływem tego okresu Komisja przeprowadza ocenę, w której uwzględnia się wyniki oceny pracy Dyrektora Wykonawczego oraz przyszłe zadania i wyzwania stojące przed ENISA.

6.Zarząd, działając na wniosek Komisji, w którym uwzględniono ocenę wspomnianą w ust. 5, może jednokrotnie przedłużyć kadencję Dyrektora Wykonawczego na okres nie dłuższy niż pięć lat.

7.Dyrektor Wykonawczy, którego kadencję przedłużono, nie może brać udziału w kolejnej procedurze wyboru na to samo stanowisko po zakończeniu całego okresu pełnienia swojej funkcji.

8.Zarząd informuje Parlament Europejski o swoim zamiarze przedłużenia kadencji Dyrektora Wykonawczego zgodnie z ust. 6. W ciągu trzech miesięcy poprzedzających takie przedłużenie Dyrektor Wykonawczy, jeżeli zostanie wezwany, składa oświadczenie przed odpowiednią komisją Parlamentu Europejskiego i udziela odpowiedzi na pytania posłów.

9.Dyrektor Wykonawczy może zostać odwołany ze stanowiska jedynie decyzją Zarządu działającego na wniosek Komisji.

Artykuł 32
Zadania i zakres obowiązków Dyrektora Wykonawczego

1.Dyrektor Wykonawczy zarządza ENISA i odpowiada przed Zarządem.

2.Dyrektor Wykonawczy jest niezależny w wykonywaniu swoich zadań i nie dąży do uzyskania ani nie przyjmuje poleceń od rządów ani innych podmiotów.

3.Dyrektor Wykonawczy składa sprawozdanie z wykonywania zadań Parlamentowi Europejskiemu na jego żądanie. Rada może wezwać Dyrektora Wykonawczego do złożenia sprawozdania z wykonywania zadań.

4.Dyrektor Wykonawczy jest prawnym przedstawicielem ENISA.

5.Dyrektor Wykonawczy odpowiada za wykonywanie zadań powierzonych ENISA na mocy niniejszego rozporządzenia. Dyrektor Wykonawczy w szczególności:

a)zapewnia bieżące administrowanie ENISA;

b)wykonuje decyzje przyjęte przez Zarząd;

c)zapewnia zgodność z przepisami finansowymi ENISA;

d)przygotowuje projekt jednolitego dokumentu programowego i przedkłada go Zarządowi do zatwierdzenia, zanim zostanie on przedłożony Komisji;

e)wdraża jednolity dokument programowy i składa sprawozdania z jego wykonania Zarządowi;

f)przygotowuje skonsolidowane roczne sprawozdanie z działalności ENISA, w tym z realizacji rocznego programu prac ENISA, i przedstawia go Zarządowi do oceny i przyjęcia;

g)przygotowuje plan działania w następstwie wniosków z retrospektywnych ocen ENISA, o których mowa w art. 121, oraz składa Komisji co dwa lata sprawozdania z postępów prac;

h)przygotowuje plan działań następczych w odniesieniu do ustaleń wynikających ze sprawozdań z audytu wewnętrznego lub zewnętrznego oraz ocen, jak również postępowań przeprowadzonych przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF) i Prokuraturę Europejską oraz składa – dwa razy w roku Komisji oraz regularnie Zarządowi – sprawozdania z postępów;

i)przygotowuje projekt przepisów finansowych mających zastosowanie do ENISA, zgodnie z art. 50;

j)przygotowuje projekt preliminarza dochodów i wydatków ENISA oraz wykonuje jej budżet;

k)zapewnia ochronę interesów finansowych Unii poprzez stosowanie środków zapobiegających nadużyciom finansowym, korupcji i wszelkiej innej nielegalnej działalności, bez uszczerbku dla kompetencji OLAF-u i EPPO w zakresie prowadzenia dochodzeń, poprzez skuteczne kontrole oraz – w przypadku stwierdzenia nieprawidłowości – odzyskiwanie kwot nienależnie wypłaconych, a także, w stosownych przypadkach, nakładanie skutecznych, proporcjonalnych i odstraszających kar administracyjnych i kar pieniężnych;

l)przygotowuje strategię zwalczania nadużyć finansowych, strategię zwiększenia efektywności i synergii, strategię współpracy z państwami trzecimi lub organizacjami międzynarodowymi oraz strategię zarządzania organizacyjnego i systemów kontroli wewnętrznej na potrzeby ENISA i przedstawia je Zarządowi do zatwierdzenia;

m)nawiązuje i utrzymuje kontakty ze środowiskiem przedsiębiorców i organizacjami konsumenckimi w celu zapewnienia regularnego dialogu z odpowiednimi zainteresowanymi stronami;

n)regularnie wymienia poglądy i informacje z odpowiednimi podmiotami unijnymi na temat ich działań związanych z cyberbezpieczeństwem w celu zapewnienia spójności we wdrażaniu polityki Unii w tej dziedzinie;

o)promuje różnorodność i równowagę płci przy zatrudnianiu personelu ENISA;

p)przyjmuje europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, o których mowa w art. 20 ust. 1;

q)przyjmuje decyzje w odniesieniu do wnioskodawców ubiegających się o uzyskanie statusu upoważnionego dostawcy poświadczeń lub o przedłużenie ich upoważnienia, o czym mowa w art. 22 ust. 3;

r)realizuje inne zadania powierzone Dyrektorowi Wykonawczemu na mocy niniejszego rozporządzenia.

6.W razie potrzeby oraz w ramach celów i zadań ENISA Dyrektor Wykonawczy może tworzyć grupy robocze ad hoc złożone z ekspertów, w tym ekspertów reprezentujących właściwe organy państw członkowskich. Dyrektor Wykonawczy informuje o tym z wyprzedzeniem Zarząd. Procedury dotyczące w szczególności składu grup roboczych, powoływania ekspertów grup roboczych przez Dyrektora Wykonawczego oraz działania grup roboczych określa się w wewnętrznych zasadach działania ENISA.

7.W razie potrzeby, do celów wykonywania zadań ENISA w skuteczny i wydajny sposób oraz w oparciu o odpowiednią analizę kosztów i korzyści, Dyrektor Wykonawczy może podjąć decyzję o utworzeniu jednego lokalnego biura lub większej liczby lokalnych biur w jednym państwie członkowskim lub ich większej liczbie. Przed podjęciem decyzji o utworzeniu lokalnego biura Dyrektor Wykonawczy zasięga opinii zainteresowanych państw członkowskich, w tym państwa członkowskiego, w którym ENISA ma siedzibę oraz uzyskuje wcześniejszą zgodę Komisji i Zarządu. Jeśli w procesie konsultacji pomiędzy Dyrektorem Wykonawczym a zainteresowanymi państwami członkowskimi nie można osiągnąć porozumienia, kwestia ta zostaje poddana pod obrady Rady. Łączna liczba personelu we wszystkich lokalnych biurach jest utrzymywana na minimalnym poziomie i nie może przekraczać 40 % całkowitej liczby personelu ENISA pracującego w państwie członkowskim, w którym ENISA ma siedzibę. Liczba personelu w każdym z lokalnych biur nie może przekraczać 10 % całkowitej liczby personelu ENISA pracującego w państwie członkowskim, w którym ENISA ma siedzibę.

8.W decyzji ustanawiającej biuro lokalne określa się zakres działalności prowadzonej w tym biurze lokalnym w sposób pozwalający uniknąć niepotrzebnych kosztów i powielania administracyjnych funkcji ENISA.

Sekcja 4 
Zastępca Dyrektora Wykonawczego

Artykuł 33
Zastępca Dyrektora Wykonawczego

1.Zarząd może podjąć decyzję o utworzeniu stanowiska zastępcy Dyrektora Wykonawczego, który będzie wspomagał Dyrektora Wykonawczego.

2.W przypadku gdy Zarząd podejmie decyzję o utworzeniu stanowiska zastępcy Dyrektora Wykonawczego, przepisy art. 31 stosuje się odpowiednio do zastępcy Dyrektora Wykonawczego.

Artykuł 34
Zadania i zakres obowiązków zastępcy Dyrektora Wykonawczego

Zastępca Dyrektora Wykonawczego wspiera Dyrektora Wykonawczego w zarządzaniu ENISA i wykonywaniu zadań, o których mowa w art. 32. Jeżeli Dyrektor Wykonawczy jest nieobecny lub niezdolny do pracy, lub stanowisko jest nieobsadzone, zastępca Dyrektora Wykonawczego zastępuje go podczas nieobecności lub do czasu obsadzenia stanowiska.

Sekcja 5 
Grupa Doradcza ENISA

Artykuł 35
Grupa Doradcza ENISA

1.Zarząd, działając na wniosek Dyrektora Wykonawczego, ustanawia w przejrzysty sposób Grupę Doradczą ENISA. W skład Grupy Doradczej ENISA wchodzą uznani eksperci reprezentujący odpowiednich zainteresowanych stron, takich jak sektor cyberbezpieczeństwa, sektor ICT, MŚP, podmioty działające w sektorach wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555, wytwórcy produktów z elementami cyfrowymi i opiekunowie otwartego oprogramowania w rozumieniu rozporządzenia (UE) 2024/2847, jednostki oceniające zgodność notyfikowane na podstawie europejskich ram certyfikacji cyberbezpieczeństwa, o których mowa w art. 93 i rozporządzeniu (UE) 2024/2847, podmioty działające w dziedzinie środków identyfikacji elektronicznej, grupy konsumenckie, eksperci akademiccy w dziedzinie cyberbezpieczeństwa, europejskie organizacje normalizacyjne, a także organy ścigania i organy nadzorcze ds. ochrony danych. Uznani eksperci muszą być obywatelami państw członkowskich. Zarząd stara się zapewnić odpowiednią równowagę płci i równowagę geograficzną, a także równowagę pomiędzy poszczególnymi grupami zainteresowanych stron.

2.Procedury dotyczące Grupy Doradczej ENISA, w szczególności jej składu, wniosku Dyrektora Wykonawczego, o którym mowa w ust. 1, liczby i powoływania jej członków oraz jej działania, określa się w wewnętrznych zasadach działania ENISA i podaje do wiadomości publicznej.

3.Grupie Doradczej ENISA przewodniczy Dyrektor Wykonawczy lub inna osoba wyznaczona w danym przypadku przez Dyrektora Wykonawczego.

4.Kadencja członków Grupy Doradczej ENISA trwa dwa i pół roku z możliwością jednorazowego przedłużenia. Członkowie Zarządu nie mogą być członkami Grupy Doradczej ENISA. Eksperci z Komisji i eksperci z państw członkowskich są uprawnieni do udziału w posiedzeniach i pracach Grupy Doradczej ENISA. Do udziału w posiedzeniach Grupy Doradczej ENISA i w jej pracach Dyrektor Wykonawczy może zapraszać przedstawicieli innych organów, które nie są członkami Grupy Doradczej ENISA.

5.Grupa Doradcza ENISA doradza ENISA w związku z realizacją jej działań, z wyjątkiem stosowania przepisów tytułu III, IV i V niniejszego rozporządzenia. Grupa doradza w szczególności Dyrektorowi Wykonawczemu w sprawie sporządzenia wniosku dotyczącego programu prac ENISA oraz w sprawie zapewnienia komunikacji z odpowiednimi zainteresowanymi stronami w kwestiach związanych z rocznym programem prac.

6.Grupa Doradcza ENISA regularnie informuje Zarząd o swoich działaniach.

7.ENISA zapewnia Grupie Doradczej ENISA niezbędne wsparcie logistyczne oraz udostępnia sekretariat na jej posiedzenia.

Sekcja 6 
Rada Odwoławcza

Artykuł 36
Utworzenie i skład Rady Odwoławczej

1.ENISA ustanawia Radę Odwoławczą decyzją Zarządu.

2.W skład Rady Odwoławczej wchodzi Przewodniczący i trzech innych członków. Każdy członek Rady Odwoławczej ma zastępcę. Zastępca reprezentuje członka pod jego nieobecność.

3.Zarząd powołuje Przewodniczącego, pozostałych członków i ich zastępców z wykazu zakwalifikowanych kandydatów sporządzonego przez Komisję. Wykaz zakwalifikowanych kandydatów jest ważny przez cztery lata. Zarząd, działając na wniosek Komisji, może przedłużyć ważność tego wykazu o kolejne czteroletnie okresy.

4.W przypadku gdy Rada Odwoławcza uzna, że wymaga tego charakter odwołania, może zwrócić się do Zarządu o powołanie dwóch dodatkowych członków i ich zastępców z wykazu, o którym mowa w ust. 3.

5.Rada Odwoławcza uchwala i udostępnia do wiadomości publicznej swój regulamin wewnętrzny.

Artykuł 37
Członkowie Rady Odwoławczej

1.Kadencja członków Rady Odwoławczej i ich zastępców trwa cztery lata. Zarząd, działając na wniosek Komisji, może przedłużać ich kadencję o kolejne czteroletnie okresy.

2.Członkowie Rady Odwoławczej są niezależni i nie mogą pełnić żadnych innych obowiązków w ENISA. Podejmując decyzje, nie mogą zwracać się o instrukcje do jakiegokolwiek rządu, innego organu ani podmiotu prywatnego.

3.Członkowie Rady Odwoławczej nie mogą zostać odwołani ze stanowiska ani usunięci z wykazu zakwalifikowanych kandydatów w czasie trwania ich kadencji, chyba że występują poważne podstawy do takiego odwołania lub usunięcia, a Zarząd, działając na wniosek Komisji, podjął decyzję w tym celu.

Artykuł 38
Wykluczenie i sprzeciw

1.Członkowie Rady Odwoławczej nie mogą brać udziału w jakimkolwiek postępowaniu odwoławczym, jeżeli mają w nim interes osobisty w takim postępowaniu, jeżeli wcześniej byli zaangażowani jako przedstawiciele jednej ze stron postępowania lub jeżeli uczestniczyli w przyjmowaniu decyzji stanowiącej przedmiot postępowania odwoławczego.

2.Jeżeli z jednego lub kilku powodów, wymienionych w ust. 1, lub jakiegokolwiek innego powodu członek Rady Odwoławczej uważa, że nie powinien brać udziału w postępowaniu odwoławczym, informuje o tym odpowiednio Radę Odwoławczą.

3.Strona postępowania odwoławczego może zgłosić sprzeciw wobec któregokolwiek członka Rady Odwoławczej z powodów określonych w ust. 1 lub jeżeli wobec danego członka zachodzi podejrzenie o stronniczość. Sprzeciw taki nie jest dopuszczalny, jeżeli, mając świadomość istnienia powodu do sprzeciwu, taka strona postępowania odwoławczego dokonała czynności proceduralnej. Sprzeciw nie może opierać się na przynależności państwowej członków Rady Odwoławczej.

4.W przypadkach określonych w ust. 2 i 3 Rada Odwoławcza decyduje bez udziału danego członka o środkach, które należy zastosować. Przy podejmowaniu tej decyzji zainteresowanego członka zastępuje w Radzie Odwoławczej jego zastępca.

Artykuł 39
Odwołania od decyzji i zaniechanie działania

1.Do Rady Odwoławczej można wnieść odwołanie od:

a)decyzji przyjętych przez ENISA na podstawie art. 22 ust. 3;

b)niepodjęcia przez ENISA działań w mających zastosowanie terminach określonych w art. 22 ust. 4.

2.Odwołanie wniesione na podstawie ust. 1 podlega rewizji wstępnej zgodnie z art. 41 przed przekazaniem go Radzie Odwoławczej do rozpatrzenia.

3.Odwołanie wniesione zgodnie z ust. 1 nie ma skutku zawieszającego.

Artykuł 40
Osoby upoważnione do wniesienia odwołania, termin i wymagania formalne

1.Wnioskodawcy w rozumieniu art. 21 ust. 3 mogą wnieść odwołanie od:

a)skierowanej do nich decyzji ENISA na podstawie art. 22 ust. 3;

b)niepodjęcia przez ENISA działań – w odniesieniu do wniosku złożonego przez nich do ENISA – w mających zastosowanie terminach określonych w art. 22 ust. 4.

2.W przypadku, o którym mowa w ust. 1 lit. a), odwołanie wraz z uzasadnieniem składa się na piśmie zgodnie z regulaminem wewnętrznym, o którym mowa w art. 36 ust. 5, w terminie dwóch miesięcy od notyfikowania danego wnioskodawcy o decyzji lub, w razie braku takiej notyfikacji, od dnia, w którym wnioskodawca dowiedział się o decyzji.

3.W przypadku, o którym mowa w ust. 1 lit. b), odwołanie wnosi się do ENISA na piśmie zgodnie z regulaminem wewnętrznym, o którym mowa w art. 36 ust. 5, w terminie dwóch miesięcy od dnia upływu terminu określonego w art. 22 ust. 4.

Artykuł 41
Rewizja wstępna

1.Jeżeli ENISA uzna, że odwołanie jest dopuszczalne i dobrze uzasadnione, koryguje decyzję lub podejmuje zaniechane działania, o których mowa w art. 40 ust. 1.

2.Jeżeli ENISA nie skoryguje decyzji w ciągu jednego miesiąca od otrzymania odwołania, Agencja bezzwłocznie podejmuje decyzję o ewentualnym zawieszeniu zastosowania decyzji i przekazuje odwołanie Radzie Odwoławczej do rozstrzygnięcia.

Artykuł 42
Rozpatrywanie decyzji w sprawie odwołań

1.Rada Odwoławcza podejmuje decyzję o uznaniu lub odrzuceniu odwołania w terminie trzech miesięcy od złożenia tego odwołania. Rozpatrując odwołanie, Rada Odwoławcza działa w terminach określonych w jej regulaminie wewnętrznym. Tak często, jak to jest niezbędne, wzywa ona strony postępowania odwoławczego do wnoszenia – w określonym terminie – uwag do notyfikacji, które do nich skierowała, lub do informacji pochodzących od innych stron postępowania odwoławczego. Strony postępowania odwoławczego są uprawnione do ustnego przedstawienia swojego stanowiska.

2.W przypadku gdy Rada Odwoławcza uzna, że podstawy odwołania są uzasadnione, przekazuje sprawę ENISA. ENISA podejmuje ostateczną decyzję zgodnie z ustaleniami Rady Odwoławczej i przedstawia uzasadnienie tej decyzji. ENISA informuje odpowiednio strony postępowania odwoławczego.

Artykuł 43
Skargi wnoszone do Trybunału Sprawiedliwości Unii Europejskiej

1.Do Trybunału Sprawiedliwości Unii Europejskiej można wnieść skargi o unieważnienie decyzji ENISA przyjętych na podstawie art. 22 ust. 3 lub skargi na zaniechanie działania w mających zastosowanie terminach na podstawie art. 22 ust. 4, po wyczerpaniu procedury odwoławczej w ramach ENISA określonej w art. 39–42 lub w przypadku zaniechania działania w mającym zastosowanie terminie na podstawie art. 41 ust. 2.

2.ENISA przyjmuje wszelkie niezbędne środki w celu wykonania wyroku Trybunału Sprawiedliwości Unii Europejskiej.

Sekcja 7 
Działania

Artykuł 44
Jednolity dokument programowy

1.ENISA działa zgodnie z jednolitym dokumentem programowym obejmującym jej roczny i wieloletni program prac, w którym uwzględnia się wszystkie jej planowane działania.

2.Każdego roku Dyrektor Wykonawczy sporządza projekt jednolitego dokumentu programowego, o którym mowa w ust. 1, wraz z odpowiadającym mu planowaniem zasobów finansowych i ludzkich zgodnie z art. 32 rozporządzenia delegowanego Komisji (UE) 2019/715 74 i z uwzględnieniem wytycznych ustanowionych przez Komisję.

3.Do dnia 30 listopada każdego roku Zarząd przyjmuje jednolity dokument programowy, o którym mowa w ust. 1, uwzględniając opinię Komisji, o której mowa w art. 32 ust. 7 rozporządzenia delegowanego (UE) 2019/715. Jeżeli Zarząd postanowi nie uwzględnić elementów opinii Komisji, musi szczegółowo uzasadnić swoją decyzję. Do dnia 31 stycznia następnego roku Zarząd przekazuje jednolity dokument programowy, a także wszelkie późniejsze zaktualizowane wersje tego dokumentu, Parlamentowi Europejskiemu, Radzie i Komisji.

4.Jednolity dokument programowy staje się ostateczny po ostatecznym przyjęciu budżetu ogólnego Unii i w razie potrzeby podlega odpowiednim dostosowaniom.

5.Roczny program prac zawiera szczegółowe cele i oczekiwane wyniki, w tym wskaźniki skuteczności działania. Zawiera on również opis działań, które mają być finansowane, oraz wskazanie zasobów finansowych i ludzkich przeznaczonych na każde działanie zgodnie z zasadami budżetowania zadaniowego i zarządzania kosztami działań. Roczny program prac musi być spójny z wieloletnim programem prac, o którym mowa w ust. 7. Jednoznacznie wskazuje on zadania, które zostały dodane, zmienione lub usunięte w stosunku do poprzedniego roku budżetowego.

6.Zarząd dokonuje zmiany przyjętego rocznego programu prac w przypadku powierzenia ENISA nowego zadania. Wszelkie istotne zmiany w rocznym programie prac przyjmuje się w drodze tej samej procedury co pierwotny roczny program prac. Zarząd może przekazać Dyrektorowi Wykonawczemu uprawnienia do dokonywania w rocznym programie prac zmian innych niż istotne.

7.W wieloletnim programie prac określa się ogólne programowanie strategiczne, w tym cele, oczekiwane wyniki i wskaźniki skuteczności działania. Określa on również programowanie w zakresie zasobów, w tym budżet wieloletni i personel.

8.Programowanie w zakresie zasobów jest co roku aktualizowane. Programowanie strategiczne aktualizuje się, gdy tylko zachodzi taka potrzeba, w szczególności zaś gdy jest to niezbędne w celu uwzględnienia wyników oceny, o której mowa w art. 120.

ROZDZIAŁ IV 
Ustanowienie i struktura budżetu ENISA

Artykuł 45
Ustanowienie budżetu ENISA

1.Co roku Dyrektor Wykonawczy sporządza wstępny projekt preliminarza dochodów i wydatków ENISA na następny rok budżetowy, w tym plan zatrudnienia, i przesyła go Zarządowi.

2.Wstępny projekt preliminarza opiera się na celach i oczekiwanych rezultatach rocznego programu prac oraz uwzględnia zasoby finansowe niezbędne do osiągnięcia celów i oczekiwanych rezultatów, zgodnie z zasadą należytego zarządzania finansami i wykonania.

3.Na podstawie wstępnego projektu preliminarza Zarząd przyjmuje projekt preliminarza dochodów i wydatków ENISA na następny rok budżetowy i przesyła go Komisji do dnia 31 stycznia każdego roku.

4.Komisja przesyła projekt preliminarza władzy budżetowej wraz z projektem budżetu ogólnego Unii. Projekt preliminarza jest również udostępniany ENISA.

5.Na podstawie projektu preliminarza Komisja wprowadza do projektu budżetu ogólnego Unii przedkładanego władzy budżetowej zgodnie z art. 313 i 314 TFUE szacunkowe kwoty, które uważa za niezbędne w odniesieniu do planu zatrudnienia, oraz kwoty wkładu, który ma być wniesiony z budżetu ogólnego Unii.

6.Władza budżetowa zatwierdza środki przewidziane na wkład z budżetu ogólnego Unii dla ENISA.

7.Władza budżetowa przyjmuje plan zatrudnienia ENISA.

8.Zarząd przyjmuje budżet ENISA. Budżet staje się ostateczny po ostatecznym przyjęciu budżetu ogólnego Unii, a w razie potrzeby budżet jest odpowiednio dostosowywany.

9.W przypadku przedsięwzięcia z zakresu nieruchomości, które może mieć znaczny wpływ na budżet ENISA, stosuje się rozporządzenie delegowane (UE) 2019/715.

Artykuł 46
Struktura budżetu ENISA

1.Preliminarz wszystkich dochodów i wydatków ENISA jest przygotowywany w każdym roku budżetowym i jest wykazywany w budżecie ENISA. Rok budżetowy pokrywa się z rokiem kalendarzowym.

2.Budżet ENISA musi być zrównoważony pod względem dochodów i wydatków.

3.Na dochody ENISA – bez uszczerbku dla innych zasobów – składają się:

a)wkład Unii zapisany w budżecie ogólnym Unii;

b)dochody przypisane do określonych pozycji wydatków zgodnie z przepisami finansowymi ENISA, o których mowa w art. 50;

c)finansowanie Unii w formie umów o przyznanie wkładu lub dotacji doraźnych zgodnie z zasadami finansowymi ENISA, o których mowa w art. 50, oraz postanowieniami stosownych instrumentów wspierających politykę Unii;

d)opłaty, o których mowa w art. 22 ust. 1, pobierane od wnioskodawców za działania związane z europejskimi programami indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa;

e)opłaty, o których mowa w art. 47 ust. 2, pobierane od jednostek oceniających zgodność za ich udział w europejskim programie certyfikacji cyberbezpieczeństwa oraz wydawanie europejskich certyfikatów cyberbezpieczeństwa w ramach takiego programu;

f)opłaty, o których mowa w art. 47 ust. 3, pobierane od organów publicznych lub podmiotów prywatnych za narzędzia testowe;

g)wkłady państw trzecich biorących udział w pracach ENISA, zgodnie z art. 70 ust. 4;

h)wszelkie dobrowolne finansowe lub rzeczowe wkłady państw członkowskich.

4.Państwa członkowskie dobrowolnie wnoszące wkłady na podstawie ust. 3 lit. g) nie mogą domagać się przyznania im w zamian żadnych specjalnych praw ani usług.

5.Wydatki ENISA obejmują wynagrodzenia pracowników, koszty administracyjne, koszty infrastruktury oraz koszty operacyjne.

Artykuł 47
Opłaty

1.W odniesieniu do każdego działania w ramach europejskiego programu poświadczania, o którym mowa w art. 22 ust. 1, od wnioskodawców w rozumieniu art. 21 ust. 3 lub od upoważnionych dostawców poświadczeń pobiera się następujące opłaty na poczet pokrycia pełnych kosztów działań prowadzonych przez ENISA:

a)wydawanie upoważnień po zbadaniu wymogów określonych w art. 21 ust. 3 i 4, w tym przeprowadzanie ocen;

b)roczne utrzymanie upoważnienia;

c)odnawianie upoważnień dla dostawców europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, w tym przeprowadzanie ocen.

2.W związku z certyfikacją od jednostek oceniających zgodność pobiera się następujące opłaty na poczet utrzymania europejskich programów certyfikacji cyberbezpieczeństwa, w ramach których wydawane są europejskie certyfikaty cyberbezpieczeństwa, w szczególności:

a)roczną opłatę za uczestnictwo w europejskim programie certyfikacji cyberbezpieczeństwa;

b)opłatę za wydawanie europejskich certyfikatów cyberbezpieczeństwa w ramach europejskich programów certyfikacji cyberbezpieczeństwa.

Opłaty, o których mowa w lit. b), pobiera się, gdy jednostka oceniająca zgodność przedkłada ENISA europejskie certyfikaty cyberbezpieczeństwa w celu ich publikacji na jej stronie internetowej zgodnie z art. 79.

3.W odniesieniu do narzędzi testowych, o których mowa w art. 15 ust. 1, pobiera się opłatę za korzystanie z nich od każdego organu publicznego lub podmiotu prywatnego.

4.Opłaty wyraża się i uiszcza w EUR.

5.Komisja przyjmuje akty wykonawcze ustanawiające szczegółowe przepisy dotyczące ustalania opłat pobieranych przez ENISA, określające w szczególności szacunkowe koszty, które można przypisać każdej z czynności, za którą pobiera się opłaty zgodnie z ust. 1, 2 i 3, oraz poszczególne należne kwoty opłat, a także sposoby i warunki uiszczania opłat. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2. Przygotowując te projekty aktów wykonawczych, Komisja konsultuje się z ENISA.

6.Opłaty określone w aktach wykonawczych, o których mowa w ust. 5, ustala się z góry, proporcjonalnie do szacowanych kosztów działań wykonanych lub usług świadczonych w sposób uznany za racjonalny pod względem kosztów, i są wystarczające do pokrycia tych kosztów. Wszystkie wydatki ENISA przypisane personelowi zaangażowanemu w działania, o których mowa w ust. 1, 2 i 3, znajdują odzwierciedlenie w kosztach, które mają zostać pokryte. Opłaty ustala się na takim poziomie, aby uniknąć deficytu lub znacznej kumulacji nadwyżki w budżecie ENISA. Nadwyżki budżetowe uzyskane z opłat są przenoszone na finansowanie działalności ENISA, w szczególności finansowanie przyszłych działań związanych z opłatami, lub pokrycie poniesionych strat. Jeżeli znaczne dodatnie saldo w budżecie, które wynika ze świadczenia usług objętych opłatami, staje się powtarzalne lub w przypadku zaistnienia znacznego ujemnego salda wynikającego ze świadczenia usług objętych opłatami, Komisja zmienia akty wykonawcze, o których mowa w ust. 5, w celu zmiany metody obliczania opłat zgodnie z art. 118 ust. 2.

Wysokość opłat za zadania, o których mowa w ust. 1, ustala się na takim poziomie, aby zapewnić, że związane z nimi dochody w wystarczającym stopniu przyczyniają się do pokrycia kosztów działań związanych z opracowaniem i utrzymaniem europejskich programów indywidualnego poświadczania, rozpatrywaniem wniosków oraz wydawaniem i odnawianiem upoważnień, a także działań niezbędnych do prowadzenia tych działań nadzorczych przez ENISA.

Wysokość opłat za zadania, o których mowa w ust. 2, ustala się na takim poziomie, aby zapewnić, że związane z nimi dochody w wystarczającym stopniu przyczyniają się do pokrycia pełnych kosztów działań związanych z utrzymaniem europejskich programów certyfikacji cyberbezpieczeństwa określonych w art. 75.

Wysokość opłat za zadania, o których mowa w ust. 3, ustala się na takim poziomie, aby zapewnić, że związane z nimi dochody w wystarczającym stopniu przyczyniają się do pokrycia kosztów działań związanych z dostarczaniem narzędzi testowych, o których mowa w art. 15 ust. 1.

7.ENISA przedstawia sprawozdanie na temat pobranych opłat i ich wpływu na budżet jako część procedury przedstawiania sprawozdań finansowych ustanowionej w art. 50.

8.ENISA wprowadza zestaw wskaźników określających stopień obciążenia pracą, efektywności i wydajności w odniesieniu do działań finansowanych z opłat. ENISA odpowiednio dostosowuje planowanie swoich zasobów kadrowych i zarządzanie zasobami związanymi z opłatami, tak aby móc odpowiednio reagować na takie zapotrzebowanie oraz wszelkie wahania w poziomie dochodów z opłat. ENISA udostępnia sprawozdanie Komisji, które to sprawozdanie Komisja może wykorzystać do celów oceny, o której mowa w art. 120 ust. 1.

Artykuł 48
Wykonanie budżetu ENISA

1.Za wykonanie budżetu ENISA odpowiedzialny jest Dyrektor Wykonawczy, który pełni funkcję urzędnika zatwierdzającego.

2.Audytor wewnętrzny Komisji ma te same uprawnienia wobec ENISA co wobec departamentów Komisji.

3.Co roku Dyrektor Wykonawczy przesyła władzy budżetowej wszelkie informacje mające znaczenie z punktu widzenia ustaleń procedur oceny.

Artykuł 49
Przedstawienie sprawozdania finansowego i absolutorium

1.Księgowy ENISA przesyła wstępne sprawozdanie finansowe za rok budżetowy (rok N) księgowemu Komisji oraz Trybunałowi Obrachunkowemu do dnia 1 marca następnego roku budżetowego (rok N + 1).

2.Księgowy ENISA przekazuje również niezbędne informacje księgowe do celów konsolidacji księgowemu Komisji, w sposób i w formacie przez niego wymaganym, do dnia 1 marca roku N + 1.

3.ENISA przesyła Parlamentowi Europejskiemu, Radzie, Komisji i Trybunałowi Obrachunkowemu sprawozdanie dotyczące zarządzania budżetem i finansami za rok N do dnia 31 marca roku N + 1.

4.Po otrzymaniu uwag Trybunału Obrachunkowego dotyczących wstępnego sprawozdania rachunkowego ENISA za rok N księgowy ENISA przygotowuje na własną odpowiedzialność końcowe sprawozdanie finansowe ENISA. Dyrektor Wykonawczy przedkłada je Zarządowi do zaopiniowania.

5.Zarząd przedstawia opinię na temat końcowego sprawozdania finansowego ENISA za rok N.

6.Do dnia 1 lipca roku N + 1 księgowy ENISA przesyła końcowe sprawozdanie finansowe za rok N wraz z opinią Zarządu Parlamentowi Europejskiemu, Radzie, Komisji i Trybunałowi Obrachunkowemu.

7.Link do stron internetowych zawierających końcowe sprawozdanie finansowe ENISA publikuje się w Dzienniku Urzędowym Unii Europejskiej do dnia 15 listopada roku N + 1.

8.Do dnia 30 września roku N + 1 Dyrektor Wykonawczy przesyła Trybunałowi Obrachunkowemu odpowiedź na uwagi zawarte w jego sprawozdaniu rocznym. Dyrektor Wykonawczy przesyła tę odpowiedź również Zarządowi i Komisji.

9.Dyrektor Wykonawczy przedkłada Parlamentowi Europejskiemu, na jego żądanie, informacje wymagane do sprawnego zastosowania procedury udzielania absolutorium za rok N, zgodnie z art. 267 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2024/2509.

10.Na zalecenie Rady, stanowiącej większością kwalifikowaną, przed dniem 15 maja roku N + 2 Parlament Europejski udziela Dyrektorowi Wykonawczemu absolutorium z wykonania budżetu za rok N.

Artykuł 50
Przepisy finansowe

1.Po konsultacji z Komisją Zarząd przyjmuje przepisy finansowe mające zastosowanie do ENISA. Przepisy te nie mogą się różnić od rozporządzenia delegowanego (UE) 2019/715, chyba że takie różnice są specjalnie wymagane dla działania ENISA, a Komisja wydała na nie uprzednią zgodę.

2.ENISA ustanawia i wykonuje budżet zgodnie z zasadami finansowymi mającymi do niej zastosowanie oraz z rozporządzeniem (UE, Euratom) 2024/2509.

Artykuł 51
Zwalczanie nadużyć finansowych

1.Do celów zwalczania nadużyć finansowych, korupcji i innych działań bezprawnych stosuje się bez ograniczeń co do działań ENISA postanowienia rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) nr 883/2013 75 .

2.ENISA przystępuje do Porozumienia międzyinstytucjonalnego z 25 maja 1999 r. między Parlamentem Europejskim, Radą Unii Europejskiej i Komisją Wspólnot Europejskich dotyczącego dochodzeń wewnętrznych prowadzonych przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF) 76 w ciągu sześciu miesięcy od dnia [OP należy podać dokładną datę, o której mowa w art. 127] r. oraz przyjmuje odpowiednie przepisy mające zastosowanie do jej personelu, wykorzystując wzór zawarty w załączniku do tego porozumienia.

3.Trybunał Obrachunkowy jest uprawniony do przeprowadzania audytu na podstawie dokumentów oraz kontroli na miejscu wszystkich beneficjentów dotacji, wykonawców i podwykonawców, którzy otrzymują od ENISA unijne środki finansowe.

4.OLAF może przeprowadzać dochodzenia, w tym kontrole na miejscu i inspekcje, w celu ustalenia, czy miało miejsce nadużycie finansowe, korupcja lub jakiekolwiek inne nielegalne działania naruszające interesy finansowe Unii w związku z dotacją lub zamówieniem finansowanym przez ENISA, zgodnie z przepisami i procedurami określonymi w rozporządzeniu (UE, Euratom) nr 883/2013 i rozporządzeniu Rady (Euratom, WE) nr 2185/96 77 .

5.Bez uszczerbku dla ust. 1–4, w zawieranych przez ENISA umowach roboczych z państwami trzecimi i organizacjami międzynarodowymi, udzielanych przez nią zamówieniach, zawieranych umowach o udzielenie dotacji i przyjmowanych decyzjach o udzieleniu dotacji zamieszcza się postanowienia wyraźnie upoważniające Trybunał Obrachunkowy i OLAF do prowadzenia takich kontroli i dochodzeń zgodnie z ich odpowiednimi kompetencjami.

6.Zgodnie z rozporządzeniem Rady (UE) 2017/1939 EPPO może prowadzić dochodzenia i ścigać nadużycia finansowe i inną nielegalną działalność naruszającą interesy finansowe Unii, jak przewidziano w dyrektywie Parlamentu Europejskiego i Rady (UE) 2017/1371 78 .

Artykuł 52
Deklaracja interesów

1.Członkowie Zarządu, Dyrektor Wykonawczy, zastępca Dyrektora Wykonawczego oraz urzędnicy oddelegowani czasowo przez państwa członkowskie składają deklarację dotyczącą zobowiązań oraz deklarację wskazującą na brak lub istnienie jakichkolwiek bezpośrednich lub pośrednich interesów, które mogłyby zostać uznane za wpływające na ich niezależność. Deklaracje te muszą być prawdziwe i kompletne; składane są co roku na piśmie oraz aktualizowane, gdy tylko zajdzie taka konieczność.

2.Członkowie Zarządu, Dyrektor Wykonawczy, zastępca Dyrektora Wykonawczego i eksperci zewnętrzni uczestniczący w grupach roboczych ad hoc zgłaszają w sposób prawidłowy i kompletny, najpóźniej na początku każdego posiedzenia, wszelkie interesy, które mogłyby zostać uznane za szkodzące ich niezależności w odniesieniu do punktów porządku obrad, oraz powstrzymują się od udziału w dyskusjach i głosowaniach dotyczących tych punktów.

3.ENISA określa w swoich wewnętrznych zasadach działania praktyczne rozwiązania w zakresie zasad dotyczących deklaracji interesów, o których mowa w ust. 1 i 2.

Artykuł 53
Przejrzystość

1.ENISA prowadzi swoje działania z zachowaniem wysokiego stopnia przejrzystości oraz zgodnie z art. 55.

2.ENISA zapewnia, aby ogół społeczeństwa i wszelkie inne zainteresowane strony otrzymywały odpowiednie, obiektywne, wiarygodne i łatwo dostępne informacje, w szczególności dotyczące wyników jej pracy. ENISA podaje również do wiadomości publicznej deklaracje interesów złożone zgodnie z art. 52.

3.Zarząd, działając na wniosek Dyrektora Wykonawczego, może upoważnić zainteresowane strony do obserwowania przebiegu niektórych działań ENISA.

4.ENISA określa w swoich wewnętrznych zasadach działania praktyczne rozwiązania w zakresie wdrażania zasad przejrzystości, o których mowa w ust. 1 i 2.

Artykuł 54
Poufność w ramach ENISA

1.Bez uszczerbku dla art. 55, ENISA nie może ujawniać stronom trzecim przetwarzanych lub otrzymywanych przez siebie informacji, w odniesieniu do których zgłoszono uzasadniony wniosek o zachowanie poufności.

2.Członkowie Zarządu, Dyrektor Wykonawczy, zastępca Dyrektora Wykonawczego, członkowie Grupy Doradczej ENISA, eksperci zewnętrzni uczestniczący w pracach grup roboczych ad hoc oraz członkowie personelu ENISA, w tym również urzędnicy oddelegowani czasowo przez państwa członkowskie, podlegają wymogom dotyczącym poufności określonym w art. 339 TFUE, także po zakończeniu pełnienia swoich obowiązków.

3.ENISA określa w swoich wewnętrznych zasadach działania praktyczne rozwiązania w zakresie wdrażania zasad poufności, o których mowa w ust. 1 i 2.

Artykuł 55
Dostęp do dokumentów

1.Do dokumentów pozostających w posiadaniu ENISA stosuje się rozporządzenie (WE) nr 1049/2001.

2.Zarząd przyjmuje uzgodnienia dotyczące wykonania rozporządzenia (WE) nr 1049/2001.

3.Decyzje przyjęte przez ENISA na podstawie art. 8 rozporządzenia (WE) nr 1049/2001 mogą być przedmiotem skarg składanych do Europejskiego Rzecznika Praw Obywatelskich na podstawie art. 228 TFUE lub spraw kierowanych do Trybunału Sprawiedliwości Unii Europejskiej na podstawie art. 263 TFUE.

ROZDZIAŁ V 
Personel i urzędnicy łącznikowi

Artykuł 56
Przepisy ogólne

1.Do personelu ENISA stosuje się regulamin pracowniczy urzędników i warunki zatrudnienia innych pracowników, jak również przepisy przyjęte w drodze porozumienia między instytucjami Unii w celu nadania skuteczności regulaminowi pracowniczemu urzędników i warunkom zatrudnienia innych pracowników.

2.Personel ENISA, urzędnicy łącznikowi i oddelegowani eksperci krajowi do ENISA przechodzą odpowiednią procedurę poświadczenia bezpieczeństwa osobowego.

Artykuł 57
Przywileje i immunitety

Do ENISA i jej pracowników ma zastosowanie załączony do TFUE Protokół nr 7 w sprawie przywilejów i immunitetów Unii Europejskiej.

Artykuł 58
Urzędnicy łącznikowi

1.Każde państwo członkowskie wyznacza co najmniej dwóch urzędników łącznikowych z właściwego organu krajowego wyznaczonego na podstawie art. 8 ust. 1 dyrektywy (UE) 2022/2555 jako oddelegowanych ekspertów krajowych do ENISA do pracy w jej siedzibie lub biurze lokalnym, zgodnie z art. 59 ust. 2. Komisja może również wyznaczyć urzędnika łącznikowego.

2.Urzędnicy łącznikowi wnoszą wkład w realizację zadań ENISA, w szczególności ułatwiają współpracę operacyjną i wymianę informacji, o których mowa w art. 11. Urzędnicy łącznikowi wspierają również ENISA w rozpowszechnianiu informacji na temat działań, ustaleń i zaleceń ENISA wśród odpowiednich zainteresowanych stron w całej Unii. Pełnią oni również funkcję krajowych punktów kontaktowych, odpowiadając na pytania swoich państw członkowskich i dotyczące ich państw członkowskich bezpośrednio lub poprzez kontakt z krajowymi organami administracji.

3.Urzędnicy łącznikowi wyznaczeni przez ich państwa członkowskie mają prawo żądać od swoich państw członkowskich wszelkich stosownych informacji, określonych w niniejszym rozporządzeniu, i je otrzymywać, w pełni szanując prawo lub praktykę krajową swoich państw członkowskich, w szczególności w odniesieniu do ochrony i poufności danych.

Artykuł 59
Oddelegowani eksperci krajowi i inni członkowie personelu

1.ENISA może korzystać we wszystkich obszarach swojej działalności z pomocy oddelegowanych ekspertów krajowych lub innych członków personelu niezatrudnionych przez ENISA. Do takich pracowników nie ma zastosowania regulamin pracowniczy ani warunki zatrudnienia.

2.Zarząd przyjmuje decyzję określającą zasady oddelegowania ekspertów krajowych, w tym urzędników łącznikowych, do ENISA.

ROZDZIAŁ VI 
PRZEPISY OGÓLNE DOTYCZĄCE ENISA

Artykuł 60
Status prawny ENISA

1.ENISA jest organem Unii i ma osobowość prawną.

2.ENISA ma, w każdym państwie członkowskim, najszerszy zakres zdolności prawnej, jaki można nadać osobie prawnej na mocy prawa krajowego tego państwa członkowskiego. ENISA może w szczególności nabywać i zbywać majątek ruchomy i nieruchomości oraz być stroną w postępowaniach sądowych.

3.ENISA jest reprezentowana przez Dyrektora Wykonawczego.

Artykuł 61
Siedziba

Siedzibą ENISA są Ateny, Grecja.

Artykuł 62
Umowa w sprawie siedziby i warunki działania

1.Niezbędne ustalenia dotyczące pomieszczeń, które przyjmujące państwo członkowskie ma przeznaczyć dla ENISA, oraz wyposażenia, które ma zostać udostępnione przez to państwo członkowskie, wraz ze szczegółowymi przepisami mającymi zastosowanie w przyjmującym państwie członkowskim do Dyrektora Wykonawczego, członków Zarządu, personelu ENISA i członków ich rodzin określa się w umowie w sprawie siedziby pomiędzy ENISA a przyjmującym państwem członkowskim, zawartej po uzyskaniu zgody Zarządu.

2.Państwo członkowskie przyjmujące ENISA oferuje możliwie najlepsze warunki dla zapewnienia właściwego funkcjonowania ENISA, biorąc pod uwagę dostępność lokalizacji, odpowiednią infrastrukturę szkolną dla dzieci członków personelu, odpowiedni dostęp do rynku pracy, zabezpieczenie społeczne i opiekę medyczną zarówno dla dzieci, jak i dla małżonków członków personelu.

Artykuł 63
Kontrola administracyjna

Zgodnie z art. 228 TFUE działalność ENISA nadzoruje Europejski Rzecznik Praw Obywatelskich.

Artykuł 64
Odpowiedzialność ENISA

1.Odpowiedzialność umowną ENISA reguluje prawo właściwe dla danej umowy.

2.Sądem właściwym do rozstrzygania sporów na podstawie klauzuli arbitrażowej zamieszczonej w umowie zawartej przez ENISA jest Trybunał Sprawiedliwości Unii Europejskiej.

3.W przypadku odpowiedzialności pozaumownej ENISA naprawia wszelkie szkody wyrządzone przez nią lub członków jej personelu w trakcie wykonywania ich obowiązków, zgodnie z ogólnymi zasadami wspólnymi dla prawa państw członkowskich.

4.Do orzekania w sporach dotyczących odszkodowania za szkody, o których mowa w ust. 3, właściwy jest Trybunał Sprawiedliwości Unii Europejskiej.

5.Odpowiedzialność osobistą pracowników ENISA wobec ENISA regulują przepisy ustanowione w regulaminie pracowniczym i warunkach zatrudnienia.

Artykuł 65
System językowy

1.Do ENISA stosuje się rozporządzenie Rady nr 1 79 . Państwa członkowskie i inne organy wyznaczone przez państwa członkowskie mogą zwracać się do ENISA i otrzymywać odpowiedzi w wybranym przez nie języku urzędowym instytucji Unii.

2.Tłumaczenia pisemne i wszelkie inne usługi językowe na potrzeby działalności ENISA, inne niż tłumaczenia ustne, zapewnia Centrum Tłumaczeń dla Organów Unii Europejskiej.

Artykuł 66
Ochrona danych osobowych

1.Do przetwarzania danych osobowych przez ENISA stosuje się rozporządzenie (UE) 2018/1725.

2.Zarząd przyjmuje przepisy wykonawcze, o których mowa w art. 45 ust. 3 rozporządzenia (UE) 2018/1725. Zarząd może przyjąć dodatkowe środki niezbędne do stosowania przez ENISA rozporządzenia (UE) 2018/1725.

Artykuł 67
Przepisy bezpieczeństwa w zakresie ochrony szczególnie chronionych informacji jawnych i informacji niejawnych

ENISA w porozumieniu z Komisją przyjmuje przepisy bezpieczeństwa wprowadzające zasady bezpieczeństwa zawarte w przepisach bezpieczeństwa Komisji dotyczących ochrony szczególnie chronionych informacji jawnych i EUCI, określonych w decyzjach (UE, Euratom) 2015/443 80 i 2015/444 81 . Te przepisy bezpieczeństwa obejmują przepisy dotyczące wymiany, przetwarzania i przechowywania takich informacji.

Artykuł 68
Współpraca z podmiotami unijnymi i organami krajowymi

1.Aby zapewnić spójność, stworzyć synergie i rozwiązywać problemy stanowiące przedmiot wspólnego zainteresowania, ENISA współpracuje w kwestiach związanych z cyberbezpieczeństwem z CERT-UE i odpowiednimi podmiotami unijnymi, w tym z Europolem, Europejskim Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa ustanowionym na podstawie rozporządzenia (UE) 2021/887 oraz Europejską Radą Ochrony Danych ustanowioną na podstawie art. 68 ust. 1 rozporządzenia (UE) 2016/679.

2.Współpracę, o której mowa w ust. 1, można zapewnić poprzez:

a)wymianę know-how i najlepszych praktyk;

b)zapewnianie doradztwa i wydawanie wytycznych w istotnych kwestiach związanych z cyberbezpieczeństwem;

c)dokonywanie, po konsultacji z Komisją, praktycznych ustaleń dotyczących wykonania określonych zadań.

3.ENISA angażuje się we współpracę strukturalną z CERT-UE, w szczególności w kwestiach związanych z budowaniem zdolności, współpracą operacyjną i długoterminowymi analizami strategicznymi dotyczącymi zagrożeń cyberbezpieczeństwa.

4.ENISA współpracuje i wymienia informacje z odpowiednimi organami nadzoru rynku i organami nadzorczymi wyznaczonymi na podstawie przepisów Unii w dziedzinie cyberbezpieczeństwa, w tym rozporządzenia (UE) 2024/2847.

Artykuł 69
Współpraca z zainteresowanymi stronami

1.Jeżeli jest to konieczne do osiągnięcia celów określonych w niniejszym rozporządzeniu, ENISA współpracuje z odpowiednimi zainteresowanymi stronami, takimi jak sektor cyberbezpieczeństwa, sektor ICT, MŚP, podmioty działające w sektorach wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555, wytwórcy, importerzy lub dystrybutorzy produktów z elementami cyfrowymi w rozumieniu rozporządzenia (UE) 2024/2847, jednostki oceniające zgodność notyfikowane na podstawie europejskich ram certyfikacji cyberbezpieczeństwa i rozporządzenia (UE) 2024/2847, podmioty działające w dziedzinie środków identyfikacji elektronicznej, grupy konsumenckie i eksperci akademiccy w dziedzinie cyberbezpieczeństwa. W tym celu ENISA może ustanawiać partnerstwa publiczno-prywatne.

2.ENISA, w porozumieniu z Komisją, wspiera współdziałanie między notyfikowanymi jednostkami oceniającymi zgodność na podstawie art. 93. W szczególności ENISA może ustanowić grupę notyfikowanych jednostek oceniających zgodność w celu wymiany najlepszych praktyk, tworzenia synergii z innymi odpowiednimi przepisami Unii, w szczególności z rozporządzeniem (UE) 2024/2847.

Artykuł 70
Współpraca z państwami trzecimi i organizacjami międzynarodowymi

1.W zakresie niezbędnym do osiągnięcia celów niniejszego rozporządzenia ENISA może współpracować z właściwymi organami państw trzecich lub z organizacjami międzynarodowymi, zgodnie z priorytetami Unii. W tym celu ENISA może, pod warunkiem uzyskania uprzedniej zgody Komisji, dokonywać ustaleń roboczych z organami państw trzecich i organizacjami międzynarodowymi. Takie ustalenia robocze nie mogą tworzyć zobowiązań prawnych dla Unii ani jej państw członkowskich.

2.Zarząd przyjmuje strategię dotyczącą stosunków z państwami trzecimi i organizacjami międzynarodowymi dotyczącą spraw pozostających w kompetencji ENISA zgodnie z priorytetami, o których mowa w ust. 1. Komisja zapewnia działanie ENISA w ramach jej mandatu i istniejących ram instytucjonalnych, zawierając odpowiednie ustalenia robocze z Dyrektorem Wykonawczym.

3.Aby wspierać współpracę z państwami trzecimi, w szczególności z państwami kandydującymi do przystąpienia do Unii, ENISA może przekazywać swoją wiedzę fachową w zakresie budowania zdolności, w szczególności w następujących obszarach:

a)ocena poziomu dojrzałości zdolności i zasobów w zakresie cyberbezpieczeństwa;

b)wzrost i wzmocnienie siły roboczej w sektorze cyberbezpieczeństwa, w tym poprzez promowanie ECSF i europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz zapewnianie działań w zakresie kształcenia i szkolenia;

c)wspieranie planowania i prowadzenie ćwiczeń w dziedzinie cyberbezpieczeństwa.

4.ENISA jest otwarta na udział w pracach ENISA państw trzecich, które zawarły w tym celu umowy z Unią. Na podstawie odpowiednich postanowień umów zawartych pomiędzy państwami trzecimi i Unią dokonuje się ustaleń roboczych, z zastrzeżeniem ich uprzedniego zatwierdzenia przez Komisję, określających w szczególności charakter, zakres i sposób uczestniczenia tych państw trzecich w pracach ENISA, i które zawierają postanowienia dotyczące udziału w inicjatywach podejmowanych przez ENISA, wkładów finansowych oraz członków personelu. W odniesieniu do kwestii dotyczących personelu ustalenia robocze muszą być w każdym przypadku zgodne z regulaminem pracowniczym oraz warunkami zatrudnienia.

5.ENISA regularnie składa Radzie i Komisji sprawozdania z wdrażania ustaleń roboczych, o których mowa w ust. 1 i 4.

TYTUŁ III

EUROPEJSKIE RAMY CERTYFIKACJI CYBERBEZPIECZEŃSTWA

ROZDZIAŁ I 
Cele, zakres i procedury

Artykuł 71
Cele i zakres europejskich ram certyfikacji cyberbezpieczeństwa

1.Ustanawia się europejskie ramy certyfikacji cyberbezpieczeństwa w celu stworzenia jednolitego rynku cyfrowego produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i podmiotów. W tym celu ramy te podnoszą poziom cyberbezpieczeństwa w Unii i umożliwiają zharmonizowane podejście do europejskich programów certyfikacji cyberbezpieczeństwa, a także wykorzystanie certyfikacji jako dźwigni, która ułatwi przestrzeganie mających zastosowanie przepisów Unii.

2.Europejskie ramy certyfikacji cyberbezpieczeństwa przewidują mechanizm ustanawiania europejskich programów certyfikacji cyberbezpieczeństwa oraz poświadczania, że:

a)produkty ICT, usługi ICT i procesy ICT, które oceniono zgodnie z tymi programami, spełniają określone wymogi bezpieczeństwa w celu ochrony dostępności, autentyczności, integralności lub poufności przechowywanych, przekazywanych lub przetwarzanych danych bądź funkcji lub usług oferowanych lub dostępnych za pośrednictwem tych produktów, usług i procesów w trakcie ich całego cyklu życia;

b)usługi zarządzane w zakresie bezpieczeństwa, które oceniono zgodnie z tymi programami, są zgodne z określonymi wymogami bezpieczeństwa mającymi na celu zabezpieczenie dostępności, autentyczności, integralności i poufności danych, do których uzyskuje się dostęp, lub które są przetwarzane, przechowywane lub przekazywane w związku ze świadczeniem tych usług, oraz że usługi te są świadczone w sposób ciągły z zachowaniem wymaganych kompetencji, wiedzy fachowej i doświadczenia przez personel o wystarczającym i odpowiednim poziomie odpowiedniej wiedzy technicznej i uczciwości zawodowej;

c)stan cyberbezpieczeństwa podmiotu, który został oceniony zgodnie z takimi programami, jest zgodny z określonymi wymogami cyberbezpieczeństwa.

3.Europejska certyfikacja cyberbezpieczeństwa jest dobrowolna, o ile prawo Unii lub prawo krajowe nie stanowi inaczej.

4.Europejski certyfikat cyberbezpieczeństwa i unijna deklaracja zgodności wydane na podstawie europejskich ram certyfikacji cyberbezpieczeństwa są automatycznie uznawane we wszystkich państwach członkowskich.

Artykuł 72
Informowanie społeczeństwa i konsultacje społeczne

1.Co najmniej raz w roku Komisja organizuje, przy wsparciu ENISA, Europejskie Zgromadzenie ds. Certyfikacji Cyberbezpieczeństwa, zapraszając członków ECCG i innych odpowiednich ekspertów z państw członkowskich, odpowiednich ekspertów z podmiotów Unii i odpowiednich zainteresowanych stron do omówienia strategicznych priorytetów harmonizacji w dziedzinie certyfikacji cyberbezpieczeństwa.

2.Komisja prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje na temat następujących aspektów:

a)europejskich programów certyfikacji cyberbezpieczeństwa, o stworzenie których wnioskuje się zgodnie z art. 73;

b)priorytetów strategicznych w zakresie harmonizacji produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa, stanu cyberbezpieczeństwa podmiotów lub wymogów bezpieczeństwa określonych w przepisach Unii, w tym potencjalnych obszarów, w związku z którymi można wnioskować o europejski program certyfikacji cyberbezpieczeństwa.

3.Komisja udostępnia publicznie na stronie internetowej, o której mowa w ust. 2 niniejszego artykułu, informacje na temat przekazania ENISA wniosku Komisji o przygotowanie propozycji programu, o którym mowa w art. 73, oraz decyzji Komisji o przyjęciu, odrzuceniu lub wstrzymaniu propozycji programu przekazanej przez ENISA zgodnie z art. 74 ust. 7.

4.Podczas przygotowywania przez ENISA propozycji programu zgodnie z art. 74 Parlament Europejski i Rada mogą zwrócić się do Komisji – jako organu przewodniczącego ECCG – oraz do ENISA o przedstawianie co kwartał odpowiednich informacji dotyczących projektu propozycji programu. Na wniosek Parlamentu Europejskiego lub Rady ENISA, w porozumieniu z Komisją oraz bez uszczerbku dla art. 54, może udostępnić Parlamentowi Europejskiemu i Radzie odpowiednie części projektu propozycji programu w sposób adekwatny do wymaganego poziomu poufności, a w stosownych przypadkach w ograniczonym zakresie.

5.Parlament Europejski i Rada mogą zwrócić się do Komisji i ENISA o omówienie kwestii dotyczących wdrażania europejskich programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów.

Artykuł 73
Wnioski o europejski program certyfikacji cyberbezpieczeństwa

1.Komisja może zwrócić się do ENISA o przygotowanie propozycji europejskiego programu certyfikacji cyberbezpieczeństwa dotyczącego produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów.

2.W należycie uzasadnionych przypadkach ECCG może zaproponować Komisji złożenie wniosku, o którym mowa w ust. 1.

3.We wniosku, o którym mowa w ust. 1, szczegółowo określa się cel, zakres i warunki osiągania odpowiednich celów i elementów bezpieczeństwa określonych w art. 80 i 81. We wniosku określa się również plan rozwoju projektu europejskiego programu certyfikacji cyberbezpieczeństwa oraz odpowiednie specyfikacje techniczne, do których należy się odnieść lub które należy zdefiniować w programie.

4.Przygotowując wniosek, o którym mowa w ust. 1, Komisja należycie konsultuje się z ENISA i ECCG, a także uwzględnia opinie wszystkich odpowiednich zainteresowanych stron i innych podmiotów unijnych, w tym takich, w stosownych przypadkach, które są odpowiednie w świetle przepisów Unii, w ramach których w europejskim programie certyfikacji cyberbezpieczeństwa wykazuje się zgodność i zapewnia domniemanie zgodności.

Artykuł 74
Przygotowanie i przyjmowanie europejskich programów certyfikacji cyberbezpieczeństwa

1.Nie później niż 12 miesięcy po otrzymaniu wniosku Komisji na podstawie art. 73, o ile we wniosku nie określono inaczej, ENISA przygotowuje projekt europejskiego programu certyfikacji cyberbezpieczeństwa, który spełnia wymogi wskazane w art. 80 i 81.

2.Na potrzeby przygotowania każdej propozycji programu ENISA ustanawia grupę roboczą ad hoc zgodnie z art. 32 ust. 6, której celem jest służenie ENISA fachowym doradztwem.

3.Przygotowując projekt programu, ENISA ściśle współpracuje z ECCG. ECCG zapewnia ENISA pomoc i fachowe doradztwo w związku z przygotowywaniem propozycji programu oraz, w stosownych przypadkach, uzupełniające specyfikacje techniczne.

4.Przygotowując propozycję programu, w tym, w stosownych przypadkach, uzupełniające specyfikacje techniczne, ENISA konsultuje się w odpowiednim czasie z zainteresowanymi stronami w drodze formalnego, otwartego, przejrzystego i inkluzywnego procesu konsultacji. ENISA współpracuje również z odpowiednimi organami publicznymi w państwach członkowskich oraz z odpowiednimi podmiotami Unii w celu uzyskania ich porad eksperckich w związku z przygotowaniem projektu programu oraz, w stosownych przypadkach, uzupełniających specyfikacji technicznych. Przekazując Komisji propozycję programu zgodnie z ust. 6, ENISA opisuje sposób, w jaki wypełniła obowiązki przewidziane w niniejszym ustępie.

5.Przed przekazaniem Komisji propozycji programu oraz, w stosownych przypadkach, uzupełniających specyfikacji technicznych ENISA zwraca się do członków ECCG o przedstawienie pisemnych opinii na temat propozycji programu. Opinie przekazuje się nie później niż 30 dni od daty wniosku. ENISA uwzględnia w jak największym stopniu opinie członków ECCG. Brak takich opinii nie uniemożliwia ENISA przekazania Komisji propozycji programu.

6.ENISA przekazuje Komisji propozycję programu nie później niż 60 dni od daty wniosku, o którym mowa w ust. 5.

7.Po otrzymaniu propozycji programu Komisja ocenia, czy program odpowiada wnioskowi złożonemu zgodnie z art. 73. W ciągu 30 dni od daty przekazania tej propozycji programu Komisja podejmuje jedno z następujących działań:

a)zaakceptowanie propozycji programu;

b)odesłanie ENISA propozycji programu do zmiany wraz z uzasadnieniem takiego odesłania i wskazaniem nieprzekraczalnego terminu 90 dni, w którym ENISA musi przedstawić zmienioną propozycję programu;

c)brak kontynuacji propozycji programu.

8.W przypadku gdy Komisja odeśle ENISA propozycję programu do zmiany zgodnie z ust. 7 lit. b), stosuje się odpowiednio ust. 4, 5 i 7.

9.Komisja, w oparciu o przyjętą propozycję programu przygotowaną przez ENISA, jest uprawniona do przyjmowania aktów wykonawczych ustanawiających europejski program certyfikacji cyberbezpieczeństwa dotyczący produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, spełniający odpowiednie wymogi określone w art. 80 i 81. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

10.Komisja może się odwoływać do specyfikacji technicznych opracowanych przez ENISA w aktach wykonawczych, o których mowa w ust. 9 niniejszego artykułu, zgodnie z art. 18 i 77.

11.Komisja może zgodnie z art. 87 określić w aktach wykonawczych, o których mowa w ust. 9 niniejszego artykułu, warunki międzynarodowego uznawania europejskich certyfikatów cyberbezpieczeństwa.

Artykuł 75
Utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa

1.W odniesieniu do każdego europejskiego programu certyfikacji cyberbezpieczeństwa opracowuje się strategię utrzymania. W strategii utrzymania określa się oczekiwania co do działań w zakresie utrzymania, w szczególności odnoszących się do norm lub specyfikacji technicznych, które przywołano w programie, oraz współdziałania z odpowiednimi zainteresowanymi stronami.

2.ENISA, we współpracy z Komisją i przy wsparciu ECCG i jej odpowiedniej podgrupy ds. utrzymania, zapewnia utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa, również pod kątem ewentualnego przeglądu takich programów przez Komisję. ENISA współpracuje i wymienia informacje z odpowiednimi podmiotami unijnymi i grupami w odniesieniu do działań w zakresie utrzymania.

3.ENISA może zorganizować udział sektora prywatnego – w formie grupy roboczej ad hoc – w utrzymaniu programu zgodnie ze strategią utrzymania, o której mowa w ust. 1.

4.Działania w zakresie utrzymania europejskich programów certyfikacji cyberbezpieczeństwa obejmują:

a)przygotowywanie, aktualizowanie i zatwierdzanie specyfikacji technicznych i wytycznych w celu wspierania zharmonizowanego i jednolitego funkcjonowania programów;

b)określenie norm lub specyfikacji technicznych, które są istotne dla programu;

c)interakcje oraz, w stosownych przypadkach, nawiązywanie kontaktów z odpowiednimi zainteresowanymi stronami, w tym europejskimi lub międzynarodowymi organizacjami normalizacyjnymi, między innymi w celu wniesienia lub uzyskania wsparcia technicznego;

d)wydawanie zaleceń dla Komisji w sprawie niezbędnych ulepszeń i aktualizacji programów, również pod kątem ewentualnego przeglądu programów;

e)wymianę informacji między państwami członkowskimi na temat praktycznego wdrażania programów;

f)wnoszenie wkładu w mechanizmy wzajemnych przeglądów i wzajemnej oceny oraz analizy wyników takich ocen w celu usprawnienia funkcjonowania programów i wsparcia ich ewentualnego przeglądu.

5.ECCG może wydać opinię w sprawie utrzymania europejskich programów certyfikacji cyberbezpieczeństwa.

Artykuł 76
Ocena, przegląd i cofnięcie europejskiego programu certyfikacji cyberbezpieczeństwa

1.ENISA co najmniej raz na cztery lata po rozpoczęciu stosowania europejskiego programu certyfikacji cyberbezpieczeństwa ocenia, we współpracy z odpowiednią podgrupą ECCG ds. utrzymania i z uwzględnieniem informacji zwrotnych otrzymanych od zainteresowanych stron, jaki jest wpływ i skuteczność tego programu. ENISA wykonuje tę ocenę, przeprowadzając analizę rynku zgodnie z art. 8 ust. 1.

2.W następstwie oceny, o której mowa w ust. 1, Komisja może dokonać przeglądu lub wycofać akty wykonawcze ustanawiające europejski program certyfikacji cyberbezpieczeństwa na podstawie art. 74 ust. 9.

3.Dokonując przeglądu lub wycofując europejskie programy certyfikacji cyberbezpieczeństwa, Komisja konsultuje się z ENISA, ECCG i jej odpowiednią podgrupą ds. utrzymania, a także uwzględnia opinie odpowiednich zainteresowanych stron i innych podmiotów Unii.

4.ECCG może wydać opinię w sprawie przeglądu lub wycofania europejskiego programu certyfikacji cyberbezpieczeństwa. Komisja należycie uwzględnia tę opinię, dokonując przeglądu lub wycofania europejskiego programu certyfikacji cyberbezpieczeństwa.

Artykuł 77 
Specyfikacje techniczne w europejskich programach certyfikacji cyberbezpieczeństwa

1.ENISA może opracować specyfikacje techniczne z myślą o przyszłym europejskim programie certyfikacji cyberbezpieczeństwa lub jako wsparcie w utrzymaniu europejskiego programu certyfikacji cyberbezpieczeństwa.

2.Specyfikacje techniczne, o których mowa w ust. 1 niniejszego artykułu, opracowuje się w odpowiednim czasie przy wsparciu ECCG i jej podgrup ds. utrzymania oraz, w stosownych przypadkach, odpowiedniej grupy roboczej ad hoc, o której mowa w art. 75 ust. 3. W tym celu ENISA zwraca się również do odpowiednich grup zainteresowanych stron o wniesienie wkładu, uwzględniając strategię utrzymania, o której mowa w art. 75 ust. 1.

3.W przypadku gdy w europejskim programie certyfikacji cyberbezpieczeństwa, określonym w art. 74 ust. 10, przywołuje się specyfikacje techniczne, specyfikacje te są udostępniane na stronie internetowej, o której mowa w art. 79.

4.W należycie uzasadnionych przypadkach specyfikacje techniczne są rozpowszechniane wyłącznie wśród zainteresowanych stron, do których mają zastosowanie wymogi programu, szczególnie jeżeli w specyfikacjach tych zawarto informacje, które mogłyby zagrozić bezpieczeństwu certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanowi cyberbezpieczeństwa podmiotów. Takich specyfikacji technicznych nie przywołuje się w europejskim programie certyfikacji cyberbezpieczeństwa, o którym mowa w art. 74 ust. 10.

Artykuł 78 
Ułatwienie przestrzegania przepisów Unii

1.W przypadku gdy przewiduje to dany akt prawny Unii, certyfikat wydany w ramach europejskiego programu certyfikacji cyberbezpieczeństwa wykazuje zgodność i stanowi podstawę domniemania zgodności z odpowiednimi wymogami tego aktu prawnego.

2.Działania w zakresie oceny w ramach europejskiego programu certyfikacji cyberbezpieczeństwa muszą być zgodne z odpowiednim aktem prawnym Unii, w którym przewidziano wykazanie zgodności i domniemanie zgodności. W przypadku gdy takie działania w zakresie oceny nie są ujęte w odpowiednim akcie prawnym Unii, określa się je w programie. Ocenę zgodności w odniesieniu do certyfikacji, w ramach której domniemywa się zgodność z wymogami określonymi w przepisach Unii, przeprowadza jednostka będąca stroną trzecią.

3.Wobec braku zharmonizowanych przepisów Unii prawo krajowe może również stanowić, że europejski program certyfikacji cyberbezpieczeństwa może służyć do wykazania zgodności i ustanowienia domniemania zgodności ze szczególnymi wymogami prawnymi określonymi w prawie krajowym.

Artykuł 79
Upowszechnienie europejskich programów certyfikacji cyberbezpieczeństwa, strona internetowa ENISA i publikacja certyfikatów

1.ENISA organizuje działania promujące upowszechnianie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa, między innymi za pośrednictwem strony internetowej, o której mowa w ust. 2 niniejszego artykułu.

2.ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat:

a)europejskich programów certyfikacji cyberbezpieczeństwa;

b)opłat związanych z utrzymaniem każdego europejskiego programu certyfikacji cyberbezpieczeństwa;

c)odpowiednich specyfikacji technicznych ENISA;

d)europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności, w tym informacje dotyczące takich certyfikatów i deklaracji, które nie są już aktualne lub zostały zawieszone, cofnięte lub utraciły ważność;

e)odpowiednich dodatkowych informacji na temat cyberbezpieczeństwa przekazanych zgodnie z art. 84;

f)podsumowań wzajemnych przeglądów na podstawie art. 89 ust. 7;

g)specyfikacji technicznych przywołanych w europejskim programie certyfikacji cyberbezpieczeństwa na podstawie art. 74 ust. 10.

3.W stosownych przypadkach strona internetowa, o której mowa w ust. 2, wskazuje również krajowe programy certyfikacji cyberbezpieczeństwa, które zostały zastąpione europejskim programem certyfikacji cyberbezpieczeństwa.

ROZDZIAŁ II 
Treść europejskich programów certyfikacji cyberbezpieczeństwa

Artykuł 80
Cele bezpieczeństwa europejskich programów certyfikacji cyberbezpieczeństwa

1.Europejski program certyfikacji cyberbezpieczeństwa służy osiąganiu – w stosownych przypadkach – następujących celów bezpieczeństwa:

a)zapewnienie, aby domyślnie i już na etapie projektowania produkty ICT, usługi ICT, procesy ICT i usługi zarządzane w zakresie bezpieczeństwa były bezpieczne;

b)ochrona – przy pomocy odpowiednich środków technicznych i podczas całego cyklu życia produktu ICT, usługi ICT lub procesu ICT – przechowywanych, przekazywanych lub w inny sposób przetwarzanych danych przed przypadkowym lub nieuprawnionym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem;

c)ochrona – z uwzględnieniem całego cyklu życia produktów ICT, usług ICT lub procesów ICT – integralności przechowywanych, przekazywanych lub w inny sposób przetwarzanych danych osobowych lub innych danych, poleceń, programów i konfiguracji przed wszelką manipulacją lub modyfikacją nieautoryzowaną przez użytkownika, oraz zgłaszanie przypadków uszkodzenia takich danych;

d)zapewnienie ochrony przed nieuprawnionym dostępem z wykorzystaniem odpowiednich mechanizmów kontroli, z uwzględnieniem między innymi systemów uwierzytelniania, identyfikacji lub zarządzania dostępem, a także raportowania o potencjalnym nieuprawnionym dostępie;

e)identyfikacja i dokumentowanie komponentów i podatności, w tym, w stosownych przypadkach, poprzez sporządzenie zestawienia podstawowych materiałów do produkcji oprogramowania obejmującego co najmniej zależności najwyższego poziomu;

f)dostarczanie informacji związanych z bezpieczeństwem dzięki rejestrowaniu i monitorowaniu odpowiedniej aktywności wewnętrznej, w tym dostępu do danych, usług lub funkcji lub ich modyfikacji, w stosownych przypadkach z mechanizmem opt-out dla użytkownika;

g)sprawdzanie, czy produkty ICT, usługi ICT i procesy ICT nie zawierają znanych podatności, które można wykorzystać;

h)zapewnienie ochrony dostępności najważniejszych i podstawowych funkcji, w tym po incydencie, między innymi dzięki odporności na ataki typu „odmowa usługi” i środkom łagodzącym ich skutki;

i)zminimalizowanie – w przypadku incydentu fizycznego lub technicznego – negatywnego wpływu na dostępność usług świadczonych przez inne sieci i urządzenia;

j)zapewnienie, aby produkty ICT, usługi ICT i procesy ICT były regularnie testowane, a ich bezpieczeństwo poddawane przeglądowi;

k)zapewnienie, aby podatności były niezwłocznie usuwane i naprawiane, między innymi za pomocą aktualizacji zabezpieczeń, oraz aby informacje o naprawionych podatnościach były udostępniane i podawane do wiadomości publicznej, chyba że ryzyko związane z ich ujawnieniem przewyższa korzyści w zakresie bezpieczeństwa;

l)zapewnienie wdrożenia polityki skoordynowanego ujawniania podatności;

m)ułatwianie wymiany informacji na temat potencjalnych podatności w produktach ICT, usługach ICT i procesach ICT;

n)zapewnienie, aby w przypadku udostępnienia aktualizacji zabezpieczeń mających na celu usunięcie zidentyfikowanych problemów związanych z bezpieczeństwem, aktualizacje te były niezwłocznie rozpowszechniane;

o)zapewnienie, aby usługi zarządzane w zakresie bezpieczeństwa były świadczone z zachowaniem wymaganych kompetencji, wiedzy fachowej i doświadczenia, w tym aby personel odpowiedzialny za świadczenie tych usług posiadał wystarczający i odpowiedni poziom wiedzy technicznej i kompetencji w danej dziedzinie, wystarczające i odpowiednie doświadczenie, a także wykazywał najwyższy poziom uczciwości zawodowej;

p)zapewnienie, aby produkty ICT, usługi ICT i procesy ICT wdrażane w ramach świadczenia usług zarządzanych w zakresie bezpieczeństwa były bezpieczne zgodnie z zasadą bezpieczeństwa w fazie projektowania i bezpieczeństwa domyślnego oraz aby w stosownych przypadkach obejmowały najnowsze aktualizacje zabezpieczeń i nie zawierały powszechnie znanych podatności;

q)zapewnienie, aby certyfikowany podmiot dysponował odpowiednimi procedurami wewnętrznymi mającymi zagwarantować wystarczający i odpowiedni poziom jakości świadczonych usług;

r)zapewnienie, aby certyfikowany podmiot był w stanie identyfikować incydenty, chronić przed nimi, wykrywać je, reagować na nie i usuwać ich skutki;

s)zapewnienie, aby certyfikowany podmiot był w stanie zarządzać ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, które podmiot ten wykorzystuje w swojej działalności lub świadczeniu usług, oraz zapobiegać wpływowi incydentów na odbiorców jego usług i na inne usługi lub minimalizować ten wpływ;

t)zapewnienie, aby certyfikowany podmiot był w stanie budować, gwarantować i weryfikować swoją operacyjną integralność i niezawodność, zapewniając, bezpośrednio albo pośrednio – korzystając z usług zewnętrznych dostawców usług ICT – dostępność do pełnego zakresu możliwości w obszarze ICT niezbędnych do zapewnienia bezpieczeństwa sieci i systemów informatycznych, z których korzysta podmiot i które wspierają ciągłe świadczenie usług finansowych oraz ich jakość, w tym w trakcie zakłóceń;

u)zapewnienie, aby certyfikowany podmiot był w stanie wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji; 

v)uzyskanie odporności na wszelkie zdarzenia, które mogą zagrozić dostępności, autentyczności, integralności lub poufności przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez sieć i system informatyczny, z których korzysta podmiot, lub dostępnych za ich pośrednictwem, oraz zapewnienie ciągłości świadczenia usług i ich jakości, również w trakcie zakłóceń;

w)zapewnienie, aby podmiot był w stanie zagwarantować bezpieczeństwo przetwarzania danych osobowych.

2.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 119 zmieniających ust. 1 niniejszego artykułu poprzez dodanie lub zmianę celów bezpieczeństwa, tak aby cele te odzwierciedlały najnowsze osiągnięcia technologiczne i powiązane z nimi nowe zagrożenia, a także nowe przepisy Unii ustalające wykazanie zgodności i domniemanie zgodności poprzez europejską certyfikację cyberbezpieczeństwa, z uwzględnieniem odpowiednich wymogów w zakresie cyberbezpieczeństwa wskazanych w tych przepisach.

3.Europejski program certyfikacji cyberbezpieczeństwa dotyczący produktów z elementami cyfrowymi zdefiniowanych w art. 3 pkt 1 rozporządzenia (UE) 2024/2847 projektuje się zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I do tego rozporządzenia i z uwzględnieniem dostępnych norm zharmonizowanych.

Artykuł 81
Elementy europejskich programów certyfikacji cyberbezpieczeństwa

1.Europejski program certyfikacji cyberbezpieczeństwa obejmuje co najmniej następujące elementy:

a)przedmiot i zakres programu certyfikacji, w tym rodzaj lub kategorie objętych danym programem produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, lub zasoby, usługi i funkcje podmiotu, wchodzące w zakres certyfikacji;

b)jasny opis celu programu oraz, w stosownych przypadkach, wskazanie przepisów Unii określających wymogi, w odniesieniu do których europejskie certyfikaty cyberbezpieczeństwa wykazują zgodność i stanowią podstawę domniemania zgodności;

c)strategię utrzymania określającą podejście do działań w zakresie utrzymania, o którym mowa w art. 75;

d)szczegółowe wymagania w zakresie cyberbezpieczeństwa oraz kryteria i metody oceny, które mają być stosowane do oceny produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, oraz odniesienia do norm międzynarodowych, europejskich lub krajowych stosowanych do oceny produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów lub, w przypadku gdy takie normy nie są dostępne lub nie są odpowiednie, do specyfikacji technicznych sporządzonych przez ENISA na podstawie art. 77 lub, jeżeli takie specyfikacje nie są dostępne, do innych specyfikacji technicznych;

e)maksymalny okres ważności europejskich certyfikatów cyberbezpieczeństwa wydawanych w ramach programu.

2.Europejski program certyfikacji cyberbezpieczeństwa obejmuje co najmniej następujące zasady i warunki dotyczące:

a)monitorowania zgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów z wymogami europejskich certyfikatów cyberbezpieczeństwa lub unijnymi deklaracjami zgodności, w tym mechanizmy służące wykazaniu ciągłej zgodności z określonymi wymogami cyberbezpieczeństwa;

b)wydawania, potwierdzania, cofania i odnawiania europejskich certyfikatów cyberbezpieczeństwa, rozszerzania lub ograniczania zakresu certyfikacji oraz ponownej certyfikacji;

c)skutków dla produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotów, które uzyskały certyfikację lub w przypadku których wydana została unijna deklaracja zgodności, lecz które nie spełniają wymogów programu;

d)sposobu zgłaszania uprzednio niewykrytych, a wpływających na cyberbezpieczeństwo podatności produktów ICT, usług ICT i procesów ICT oraz sposobu postępowania z nimi;

e)treści i formatu wydawanych europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności;

f)okresu dostępności unijnej deklaracji zgodności, dokumentacji technicznej oraz wszelkich innych istotnych informacji, przez jaki mają je udostępniać wytwórcy lub dostawcy produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa jest przedmiotem certyfikacji;

g)wszelkich mechanizmów wzajemnej oceny ustanowionych w ramach programu dla organów lub podmiotów wydających europejskie certyfikaty cyberbezpieczeństwa na podstawie art. 85 ust. 4, bez uszczerbku dla wzajemnego przeglądu przewidzianego w art. 90;

h)poufności informacji i danych uzyskanych przez wszystkie strony w ramach wykonywania zadań i działań związanych z wdrażaniem przepisów określonych w niniejszym tytule;

i)formatu i procedur, jakie mają stosować wytwórcy lub dostawcy produktów ICT, usług ICT lub procesów ICT przy dostarczaniu i aktualizowaniu dodatkowych informacji na temat cyberbezpieczeństwa zgodnie z art. 84; oraz

j)ciągłości działań certyfikacyjnych w nadzwyczajnych sytuacjach kryzysowych, które są nieuniknione i utrudniają stosowanie zasad programu certyfikacji.

3.W stosownych przypadkach europejski program certyfikacji cyberbezpieczeństwa obejmuje również następujące elementy:

a)co najmniej jeden poziom uzasadnienia zaufania i odpowiadające mu poziomy oceny;

b)profile zabezpieczeń w celu określenia wymogów bezpieczeństwa, które mają zastosowanie do danej kategorii produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;

c)profile rozszerzeń w celu określenia dodatkowych wymogów bezpieczeństwa, w tym, w stosownych przypadkach, wymogów bezpieczeństwa określonych w przepisach prawa krajowego transponujących prawo Unii;

d)wyjaśnienie, które działania w ramach oceny zgodności, w tym wzorcowanie, testowanie, certyfikacja i kontrola, w odniesieniu do poziomu uzasadnienia zaufania „wysoki” lub do celów wykazania zgodności i ustanowienia domniemania zgodności są dozwolone poza Europejskim Obszarem Gospodarczym (EOG);

e)identyfikacja krajowych lub międzynarodowych programów certyfikacji cyberbezpieczeństwa, obejmujących ten sam rodzaj lub te same kategorie produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów;

f)dodatkowe lub szczegółowe wymogi, którym podlegają jednostki oceniające zgodność w celu zagwarantowania ich kwalifikacji technicznych odnośnie do oceny wymogów cyberbezpieczeństwa;

g)niezbędne do celów certyfikacji informacje, które wnioskodawca ma dostarczyć lub udostępnić w inny sposób jednostkom oceniającym zgodność;

h)znaki lub etykiety oraz warunki, na jakich takie znaki lub etykiety mogą być stosowane;

i)warunki międzynarodowego uznawania europejskich certyfikatów cyberbezpieczeństwa zgodnie z art. 87.

4.Określone wymogi europejskiego programu certyfikacji cyberbezpieczeństwa muszą być zgodne z wymogami przepisów Unii.

5.Komisja jest uprawniona do przyjmowania aktów wykonawczych ustanawiających wspólne zasady i wzorcowe przepisy dotyczące elementów określonych w ust. 1, 2 i 3 we wszystkich europejskich programach certyfikacji cyberbezpieczeństwa. W stosownych przypadkach i w miarę dostępności europejski program certyfikacji cyberbezpieczeństwa może zawierać odesłania do tych zasad i wzorcowych przepisów.

6.Akty wykonawcze, o których mowa w ust. 5, przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2. Przy opracowywaniu lub zmianie wspólnych zasad i wzorcowych przepisów dotyczących elementów europejskich programów certyfikacji cyberbezpieczeństwa Komisja konsultuje się z ENISA i uwzględnia, w stosownych przypadkach, opinie wyrażone przez ECCG, odpowiednie zainteresowane strony i inne odpowiednie podmioty.

Artykuł 82
Poziomy uzasadnienia zaufania i oceny europejskich programów certyfikacji cyberbezpieczeństwa

1.Europejski program certyfikacji cyberbezpieczeństwa może przewidywać jeden lub większą liczbę następujących poziomów uzasadnienia zaufania produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów: „podstawowy”, „istotny” lub „wysoki”. Te poziomy uzasadnienia zaufania są współmierne do poziomu ryzyka związanego z zamierzonym wykorzystaniem produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub do charakteru podmiotów, których stan cyberbezpieczeństwa podlega certyfikacji, oraz do ich środowiska operacyjnego pod względem prawdopodobieństwa wystąpienia i skutków incydentu.

2.Europejskie certyfikaty cyberbezpieczeństwa odwołują się do dowolnego poziomu uzasadnienia zaufania określonego w europejskim programie certyfikacji cyberbezpieczeństwa, w ramach którego certyfikaty te są wydawane. Unijne deklaracje zgodności odnoszą się do poziomu uzasadnienia zaufania „podstawowy“.

3.Wymogi bezpieczeństwa, które odpowiadają poszczególnym poziomom uzasadnienia zaufania, muszą być określone w odpowiednich europejskich programach certyfikacji cyberbezpieczeństwa, w tym odpowiadające im kontrole bezpieczeństwa oraz odpowiadająca im ocena, której ma zostać poddany produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotu.

4.Europejski certyfikat cyberbezpieczeństwa lub unijna deklaracja zgodności musi odwoływać się do związanych z nimi specyfikacji technicznych, norm i procedur, w tym kontroli technicznych mających na celu zmniejszenie ryzyka wystąpienia incydentów cyberbezpieczeństwa lub zapobieganie takim incydentom.

5.Europejski certyfikat cyberbezpieczeństwa lub unijna deklaracja zgodności, które odnoszą się do poziomu uzasadnienia zaufania „podstawowy”, muszą zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów, dla których wydany został ten certyfikat lub wydana została ta unijna deklaracja zgodności, spełniają odpowiadające im wymogi bezpieczeństwa, w tym kontrole bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie znanych podstawowych ryzyk w zakresie incydentów i cyberataków. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują przynajmniej przegląd dokumentacji technicznej. W przypadku gdy taki przegląd nie jest odpowiedni, podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek.

6.Europejski certyfikat cyberbezpieczeństwa, który odnosi się do poziomu uzasadnienia zaufania „istotny”, musi zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów, dla których wydany został ten certyfikat, spełniają odpowiadające mu wymogi bezpieczeństwa, w tym kontrole bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie znanych ryzyk w zakresie incydentów i cyberataków oraz ryzyka wystąpienia cyberataków przeprowadzanych przez osoby o ograniczonych umiejętnościach i dysponujących niewielkimi zasobami. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują co najmniej przegląd w celu wykazania, że nie występują powszechnie znane podatności, oraz testowanie w celu wykazania, że w produktach ICT, usługach ICT, procesach ICT, usługach zarządzanych w zakresie bezpieczeństwa lub podmiotach prawidłowo zaimplementowane zostały niezbędne kontrole bezpieczeństwa. W przypadku gdy takie działania w zakresie oceny nie są odpowiednie, podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek.

7.Europejski certyfikat cyberbezpieczeństwa, który odnosi się do poziomu uzasadnienia zaufania „wysoki“, musi zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów, dla których wydany został ten certyfikat, spełniają odpowiadające mu wymogi bezpieczeństwa, w tym kontrole bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie ryzyka wystąpienia incydentów i zaawansowanych cyberataków przeprowadzanych przez osoby o znacznych umiejętnościach i zasobach. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują co najmniej:

a)przegląd mający na celu wykazanie braku powszechnie znanych podatności;

b)testowanie w celu wykazania, że w produktach ICT, usługach ICT, procesach ICT, usługach zarządzanych w zakresie bezpieczeństwa lub podmiotach prawidłowo wdrożono niezbędne kontrole bezpieczeństwa zgodnie z aktualnym stanem wiedzy;

c)ocenę odporności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotów na zaawansowane ataki, z wykorzystaniem, w stosownych przypadkach, testów penetracyjnych.

W przypadku gdy takie działania w zakresie oceny nie są odpowiednie, podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek. Wszelkie działania w ramach oceny zgodności w odniesieniu do poziomu uzasadnienia zaufania „wysoki”, w tym wzorcowanie, testowanie, certyfikację i inspekcję, podejmuje się w Europejskim Obszarze Gospodarczym, chyba że europejski program certyfikacji cyberbezpieczeństwa stanowi inaczej.

8.W przypadku gdy europejski program certyfikacji cyberbezpieczeństwa zaprojektowano w celu wykazania zgodności i zapewnienia domniemania zgodności z określonym aktem prawnym Unii, europejski certyfikat cyberbezpieczeństwa musi dawać pewność, że certyfikowane produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów spełniają odpowiednie wymogi cyberbezpieczeństwa określone w tym akcie prawnym. Wszelkie działania w ramach oceny zgodności na potrzeby domniemania zgodności, w tym wzorcowanie, testowanie, certyfikację i inspekcję, podejmuje się w Europejskim Obszarze Gospodarczym, chyba że europejski program certyfikacji cyberbezpieczeństwa stanowi inaczej.

9.Europejski program certyfikacji cyberbezpieczeństwa może przewidywać kilka poziomów oceny w odniesieniu do danego poziomu uzasadnienia zaufania. Każdy z poziomów oceny odpowiada jednemu z poziomów uzasadnienia zaufania.

Artykuł 83
Ocena zgodności przez stronę pierwszą

1.Europejski program certyfikacji cyberbezpieczeństwa może zezwalać na ocenę zgodności przez stronę pierwszą przeprowadzaną na wyłączną odpowiedzialność wytwórcy lub dostawcy produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotu, którego stan cyberbezpieczeństwa jest przedmiotem certyfikacji. Na ocenę zgodności przez stronę pierwszą zezwala się jedynie w przypadku produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, które stwarzają niewielkie ryzyko odpowiadające poziomowi uzasadnienia zaufania „podstawowy”.

2.Wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa jest przedmiotem certyfikacji, może wydać unijną deklarację zgodności stwierdzającą, że wykazano spełnienie wymogów określonych w europejskim programie certyfikacji cyberbezpieczeństwa. Wydając taką deklarację, wytwórca, dostawca lub podmiot przyjmuje odpowiedzialność za zgodność produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa z wymogami określonymi w tym programie.

3.Wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa jest przedmiotem certyfikacji, udostępnia – przez okres przewidziany w tym programie – krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 89, unijną deklarację zgodności, dokumentację techniczną oraz wszelkie inne istotne informacje związane ze zgodnością z tym europejskim programem certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa. Kopię unijnej deklaracji zgodności przedkłada się bez zbędnej zwłoki krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ENISA.

Artykuł 84
Dodatkowe informacje na temat cyberbezpieczeństwa certyfikowanych produktów ICT, usług ICT i procesów ICT

1.Wytwórca lub dostawca produktów ICT, usług ICT lub procesów ICT, w przypadku których wydano unijną deklarację zgodności lub europejski certyfikat cyberbezpieczeństwa, udostępnia użytkownikowi następujące dodatkowe informacje na temat cyberbezpieczeństwa:

a)przeznaczenie danego produktu ICT, usługi ICT lub procesu ICT, w tym środowisko bezpieczeństwa zapewniane przez wytwórcę lub dostawcę;

b)porady i zalecenia mające pomóc użytkownikom w bezpiecznych: konfiguracji, instalacji, uruchomieniu, obsłudze i utrzymaniu produktów ICT lub usług ICT;

c)rodzaj wsparcia technicznego w zakresie bezpieczeństwa oferowanego przez wytwórcę lub dostawcę oraz data zakończenia okresu wsparcia, w trakcie którego użytkownicy mogą spodziewać się, że podatności zostaną usunięte, i otrzymywania aktualizacji zabezpieczeń;

d)jeżeli wytwórca lub dostawca podejmie decyzję o udostępnieniu użytkownikowi zestawienia podstawowych materiałów do produkcji oprogramowania – informacje o tym, gdzie można uzyskać dostęp do tego zestawienia.

2.Wytwórca lub dostawca produktów ICT, usług ICT lub procesów ICT, dla których wydano unijną deklarację zgodności lub europejski certyfikat cyberbezpieczeństwa, udostępnia publicznie następujące dodatkowe informacje na temat cyberbezpieczeństwa:

a)pojedynczy punkt kontaktowy, w którym można zgłaszać i otrzymywać informacje o podatnościach oraz w którym można uzyskać politykę wytwórcy w zakresie skoordynowanego ujawniania podatności;

b)informacje na temat naprawionych podatności, w tym opis podatności, a także informacje umożliwiające użytkownikom zidentyfikowanie produktu z elementami cyfrowymi, którego to dotyczy, skutki podatności, ich dotkliwość oraz jasne i dostępne informacje pomagające użytkownikom wyeliminować podatności; w należycie uzasadnionych przypadkach, jeżeli wytwórcy uznają, że ryzyko dla bezpieczeństwa związane z publikacją przewyższa korzyści w zakresie bezpieczeństwa, mogą opóźnić upublicznienie informacji o naprawionej podatności do czasu, gdy użytkownicy będą mogli wprowadzić odpowiednią poprawkę.

3.Informacje, o których mowa w ust. 1 i 2, są dostępne w formie elektronicznej oraz pozostają dostępne i są w razie konieczności aktualizowane w okresie ważności i przez co najmniej pięć lat od wygaśnięcia lub wycofania odpowiedniego europejskiego certyfikatu cyberbezpieczeństwa lub unijnej deklaracji zgodności.

4.Obowiązki określone w ust. 1 i 2 nie mają zastosowania w przypadku, gdy bezpieczeństwo danego produktu ICT, usługi ICT lub procesu ICT może być zagrożone, jeżeli informacje zostaną upublicznione.

ROZDZIAŁ III 
Zarządzanie europejskimi ramami certyfikacji cyberbezpieczeństwa

Sekcja 1 
Przepisy ogólne i zarządzanie europejskimi programami certyfikacji cyberbezpieczeństwa

Artykuł 85
Wydawanie europejskich certyfikatów cyberbezpieczeństwa

1.Uznaje się, że produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub stan cyberbezpieczeństwa podmiotów, które zostały certyfikowane w ramach europejskiego programu certyfikacji cyberbezpieczeństwa, spełniają wymogi takiego programu.

2.Jednostki oceniające zgodność, o których mowa w art. 91, wydają europejskie certyfikaty cyberbezpieczeństwa w oparciu o kryteria zawarte w danym europejskim programie certyfikacji cyberbezpieczeństwa przyjętym na podstawie art. 74.

3.Na zasadzie odstępstwa od ust. 2 europejski program certyfikacji cyberbezpieczeństwa może przewidywać, że europejskie certyfikaty cyberbezpieczeństwa otrzymywane na podstawie tego programu są wydawane jedynie przez jeden z następujących podmiotów publicznych:

a)krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w art. 88, akredytowany jako jednostka oceniająca zgodność na podstawie art. 91 ust. 1;

b)podmiot publiczny akredytowany jako jednostka oceniająca zgodność na podstawie art. 91 ust. 1.

4.W przypadku gdy europejski program certyfikacji cyberbezpieczeństwa przyjęty na podstawie art. 74 przewiduje poziom uzasadnienia zaufania „wysoki” lub gdy taki program stanowi inaczej, europejski certyfikat cyberbezpieczeństwa wydawany w ramach tego programu może być wydany wyłącznie przez krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w art. 88, akredytowany jako jednostka oceniająca zgodność na podstawie art. 91 ust. 1, lub, w następujących przypadkach:

a)przez jednostkę oceniającą zgodność – na podstawie modelu uprzedniego zatwierdzenia; lub

b)przez jednostkę oceniającą zgodność – na podstawie modelu ogólnego przekazania uprawnień.

5.Komisja jest uprawniona do przyjmowania aktów wykonawczych określających procedury dotyczące modeli uprzedniego zatwierdzenia lub ogólnego przekazania uprawnień, o których mowa w ust. 4 niniejszego artykułu. W procesie przygotowywania tych aktów wykonawczych Komisja konsultuje się z ECCG. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

6.Osoba fizyczna lub prawna, która poddaje produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa certyfikacji, lub podmiot, który występuje o certyfikację swojego stanu cyberbezpieczeństwa, udostępnia wszelkie informacje niezbędne do przeprowadzenia certyfikacji krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 89 – w przypadku gdy organ ten jest podmiotem wydającym europejski certyfikat cyberbezpieczeństwa – lub jednostce oceniającej zgodność, o której mowa w art. 91.

7.Jednostki oceniające zgodność oraz, w stosownych przypadkach, krajowe organy ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki informują ENISA o swoich decyzjach, które mają wpływ na status europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności zgodnie z art. 94.

8.Posiadacz europejskiego certyfikatu cyberbezpieczeństwa informuje jednostkę oceniającą zgodność oraz, w stosownych przypadkach, krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w ust. 7, o wszelkich wykrytych następnie podatnościach lub niezgodnościach dotyczących certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, które mogą mieć wpływ na zgodność z certyfikatem. Jednostka ta bez zbędnej zwłoki przekazuje te informacje zainteresowanemu krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ocenia ich wpływ na certyfikat zgodnie z warunkami programu, o których mowa w art. 81 ust. 2 lit. d).

9.W odniesieniu do swoich certyfikowanych produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa określonych, w całości lub w części, jako kluczowe aktywa zgodnie z art. 102 posiadacze europejskiego certyfikatu cyberbezpieczeństwa nie mogą wykorzystywać, instalować ani w inny sposób integrować w certyfikowanych produktach ICT, usługach ICT, procesach ICT lub usługach zarządzanych w zakresie bezpieczeństwa żadnych komponentów ICT pochodzących od dostawców wysokiego ryzyka ani komponentów, które zawierają komponenty ICT pochodzące od takich dostawców.

10.Europejski certyfikat cyberbezpieczeństwa wydaje się na okres przewidziany w europejskim programie certyfikacji cyberbezpieczeństwa i może być on odnowiony, o ile nadal są spełnione odpowiednie wymogi.

11.Komisja współpracuje z państwami członkowskimi w celu zapewnienia stosowania przepisów dotyczących wydawania europejskich certyfikatów cyberbezpieczeństwa również w kontekście stosowania art. 100 ust. 4 lit. b). Jednostka oceniająca zgodność oraz, w stosownych przypadkach, krajowy organ ds. certyfikacji cyberbezpieczeństwa przekazują Komisji, na jej wniosek i bez zbędnej zwłoki, wszelkie informacje dotyczące wydania odpowiednich europejskich certyfikatów cyberbezpieczeństwa lub unijnych deklaracji zgodności.

Artykuł 86
Krajowe programy certyfikacji cyberbezpieczeństwa i krajowe certyfikaty cyberbezpieczeństwa

1.Krajowe programy certyfikacji cyberbezpieczeństwa i powiązane procedury dotyczące produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów, które są przedmiotem i wchodzą w zakres europejskiego programu certyfikacji cyberbezpieczeństwa, przestają być skuteczne z dniem określonym w akcie wykonawczym przyjętym na podstawie art. 74 ust. 9. Krajowe programy certyfikacji cyberbezpieczeństwa i powiązane z nimi procedury dotyczące produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów, które nie są przedmiotem i nie wchodzą w zakres europejskiego programu certyfikacji cyberbezpieczeństwa, funkcjonują nadal.

2.Państwa członkowskie nie wprowadzają nowych krajowych programów certyfikacji cyberbezpieczeństwa ani powiązanych procedur w odniesieniu do produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów, które są już przedmiotem i wchodzą w zakres europejskiego programu certyfikacji cyberbezpieczeństwa.

3.Istniejące certyfikaty, które zostały wydane w ramach krajowych programów certyfikacji cyberbezpieczeństwa i są już przedmiotem i wchodzą w zakres europejskiego programu certyfikacji cyberbezpieczeństwa, pozostają ważne do końca ich terminu ważności.

4.Państwa członkowskie powiadamiają Komisję i ECCG przed przyjęciem nowych krajowych programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów.

5.Komisja może zaproponować państwu członkowskiemu wycofanie krajowego programu certyfikacji cyberbezpieczeństwa dotyczącego produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, w przypadku gdy złożono już wniosek o opracowanie europejskiego programu certyfikacji cyberbezpieczeństwa obejmującego takie produkty, usługi, procesy lub stan cyberbezpieczeństwa zgodnie z art. 73, z uwzględnieniem planu rozwoju takiego programu.

Artykuł 87
Międzynarodowe uznawanie europejskich certyfikatów cyberbezpieczeństwa

1.Certyfikaty produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów wydane przez państwa trzecie mogą zostać uznane, w drodze aktu wykonawczego lub zawarcia porozumienia między Unią a danym państwem trzecim lub organizacją międzynarodową, za równoważne z europejskimi certyfikatami cyberbezpieczeństwa, jeżeli wymogi odpowiedniego programu państwa trzeciego lub programu organizacji międzynarodowej uznaje się za równoważne z wymogami europejskich programów certyfikacji cyberbezpieczeństwa. Komisja jest uprawniona do przyjmowania takich aktów wykonawczych. Akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

2.Akty wykonawcze i porozumienia, o których mowa w ust. 1, przyjmuje się w oparciu o warunki międzynarodowego uznawania europejskich certyfikatów cyberbezpieczeństwa określone zgodnie z art. 74 ust. 11.

3.Porozumienia w sprawie uznawania certyfikatów państw trzecich lub certyfikatów organizacji międzynarodowych, o których mowa w ust. 1, zawiera się wyłącznie wtedy, gdy również europejskie certyfikaty cyberbezpieczeństwa uznaje się w nich za równoważne z certyfikatami państw trzecich.

Artykuł 88 
Krajowe organy ds. certyfikacji cyberbezpieczeństwa

1.Każde państwo członkowskie wyznacza na swoim terytorium przynajmniej jeden krajowy organ ds. certyfikacji cyberbezpieczeństwa lub – za zgodą innego państwa członkowskiego – przynajmniej jeden krajowy organ ds. certyfikacji cyberbezpieczeństwa w tym innym państwie członkowskim jako organ odpowiedzialny za zadania związane z nadzorem w wyznaczającym państwie członkowskim.

2.Każde państwo członkowskie informuje Komisję o tożsamości wyznaczonych krajowych organów ds. certyfikacji cyberbezpieczeństwa. W przypadku gdy państwo członkowskie wyznacza więcej niż jeden organ, informuje również Komisję o zadaniach powierzonych każdemu z tych organów.

3.Każdy krajowy organ ds. certyfikacji cyberbezpieczeństwa jest niezależny od nadzorowanych przez siebie podmiotów pod względem organizacji, decyzji w sprawie finansowania, struktury prawnej i procesu decyzyjnego.

4.Działania krajowych organów ds. certyfikacji cyberbezpieczeństwa związane z wydawaniem europejskich certyfikatów cyberbezpieczeństwa na podstawie niniejszego rozporządzenia są ściśle oddzielone od ich działań nadzorczych określonych w niniejszym artykule i w art. 85 ust. 4 lit. a) i b) oraz są prowadzone niezależnie od siebie.

5.Państwa członkowskie zapewniają, aby krajowe organy ds. certyfikacji cyberbezpieczeństwa posiadały odpowiednie zasoby na potrzeby wykonywania swoich uprawnień i wywiązywania się ze swoich zadań w skuteczny i wydajny sposób.

6.Krajowe organy ds. certyfikacji cyberbezpieczeństwa wypełniają następujące zadania:

a)uczestniczą w pracach ECCG na podstawie art. 90 ust. 2;

b)nadzorują i egzekwują zasady zawarte w europejskich programach certyfikacji cyberbezpieczeństwa na podstawie art. 81 ust. 2 lit. a) w celu zapewnienia zgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów z wymogami europejskich certyfikatów cyberbezpieczeństwa wydanych na ich odpowiednich terytoriach, we współpracy z odpowiednimi organami nadzoru rynku lub organami nadzorczymi, w tym właściwymi organami na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 82 lub rozporządzenia (UE) 2024/2847;

c)monitorują, we współpracy z odpowiednimi organami nadzoru rynku, wykonywanie obowiązków wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotów, których stan cyberbezpieczeństwa podlega certyfikacji, określonych w niniejszym rozporządzeniu, mających siedzibę na ich odpowiednich terytoriach i przeprowadzających ocenę zgodności przez stronę pierwszą w ramach odpowiedniego europejskiego programu certyfikacji cyberbezpieczeństwa, a także egzekwują te obowiązki;

d)bez uszczerbku dla art. 91 ust. 3 aktywnie wspomagają i wspierają krajowe jednostki akredytujące i inne odpowiednie organy w monitorowaniu i nadzorowaniu działalności jednostek oceniających zgodność do celów niniejszego rozporządzenia;

e)współpracują z Komisją w przypadku zakwestionowania kompetencji jednostki oceniającej zgodność na podstawie art. 94;

f)monitorują i nadzorują działalność podmiotów publicznych, o których mowa w art. 85 ust. 3;

g)w stosownych przypadkach udzielają upoważnienia jednostkom oceniającym zgodność zgodnie z art. 93, monitorują i egzekwują przestrzeganie obowiązków przez jednostki oceniające zgodność w zakresie dodatkowych lub szczególnych wymogów określonych w europejskich programach certyfikacji cyberbezpieczeństwa na podstawie art. 81 ust. 3 lit. f) oraz ograniczają, zawieszają lub cofają udzielone upoważnienie, w przypadku gdy jednostki oceniające zgodność nie spełniają wymogów niniejszego rozporządzenia;

h)rozpatrują skargi osób fizycznych lub prawnych dotyczące europejskich certyfikatów cyberbezpieczeństwa wydanych przez krajowe organy ds. certyfikacji cyberbezpieczeństwa, europejskich certyfikatów cyberbezpieczeństwa wydanych przez jednostki oceniające zgodność zgodnie z art. 85 ust. 4 lub unijnych deklaracji zgodności wydanych na podstawie art. 83, badają w odpowiednim zakresie przedmiot takich skarg i informują skarżącego w rozsądnym terminie o postępach i wynikach badania;

i)do dnia 31 marca [rok wejścia w życie +12 miesięcy] r. każdego roku przedstawiają Komisji, ENISA i ECCG roczne sprawozdanie ze swojej głównej działalności i udostępniają te sprawozdania zespołowi ds. wzajemnego przeglądu w przypadku, gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa podlega wzajemnemu przeglądowi zgodnie z art. 89;

j)współpracują z innymi krajowymi organami ds. certyfikacji cyberbezpieczeństwa, organami nadzoru rynku lub innymi organami publicznymi, między innymi poprzez wymianę informacji na temat ewentualnej niezgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów z wymogami niniejszego rozporządzenia lub z wymogami określonych europejskich programów certyfikacji cyberbezpieczeństwa;

k)monitorują odpowiednie zmiany w dziedzinie certyfikacji cyberbezpieczeństwa.

7.Każdy krajowy organ ds. certyfikacji cyberbezpieczeństwa musi mieć co najmniej następujące uprawnienia do:

a)żądania od jednostek oceniających zgodność, posiadaczy europejskich certyfikatów cyberbezpieczeństwa oraz podmiotów, które wydały unijne deklaracje zgodności, przekazania wszelkich informacji, których organ ten potrzebuje do wykonywania swoich zadań;

b)prowadzenia postępowań, w formie audytów, w stosunku do jednostek oceniających zgodność, posiadaczy europejskich certyfikatów cyberbezpieczeństwa i podmiotów, które wydały unijne deklaracje zgodności, w celu weryfikacji przestrzegania przez nie wymogów określonych w niniejszym tytule;

c)stosowania odpowiednich środków, zgodnie z prawem krajowym, w celu zapewnienia, by jednostki oceniające zgodność, posiadacze europejskich certyfikatów cyberbezpieczeństwa i podmioty, które wydały unijne deklaracje zgodności, przestrzegali niniejszego rozporządzenia lub zachowywali zgodność z danym europejskim programem certyfikacji cyberbezpieczeństwa;

d)uzyskania dostępu do pomieszczeń jednostek oceniających zgodność oraz posiadaczy europejskich certyfikatów cyberbezpieczeństwa do celów prowadzenia postępowań zgodnie z przepisami Unii lub prawem procesowym państwa członkowskiego;

e)cofnięcia, zgodnie z prawem krajowym, europejskich certyfikatów cyberbezpieczeństwa wydanych przez krajowe organy ds. certyfikacji cyberbezpieczeństwa lub jednostki oceniające zgodność zgodnie z art. 85 ust. 4, jeżeli certyfikaty te nie są zgodne z niniejszym rozporządzeniem lub z europejskim programem certyfikacji cyberbezpieczeństwa;

f)nakładania kar zgodnie z prawem krajowym, jak przewidziano w art. 97, oraz żądania natychmiastowego zaprzestania naruszeń obowiązków określonych w niniejszym rozporządzeniu.

8.Krajowe organy ds. certyfikacji cyberbezpieczeństwa współpracują ze sobą i z Komisją, w szczególności wymieniając informacje, doświadczenie i dobre praktyki odnoszące się do certyfikacji cyberbezpieczeństwa i kwestii technicznych dotyczących cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów.

9.Do dnia [data wejścia w życie +6 miesięcy] r. ENISA, we współpracy z Komisją i ECCG, opracowuje wzór sprawozdania, o którym mowa w ust. 6 lit. i) niniejszego artykułu.

Artykuł 89
Wzajemny przegląd

1.Krajowe organy ds. certyfikacji cyberbezpieczeństwa podlegają wzajemnemu przeglądowi.

2.Wzajemny przegląd przeprowadza się w oparciu o rzetelne i przejrzyste kryteria i procedury oceny, w szczególności w odniesieniu do wymagań dotyczących struktury, zasobów ludzkich i procedur, poufności i skarg.

3.W ramach wzajemnego przeglądu ocenia się:

a)w stosownych przypadkach – czy działalność krajowych organów ds. certyfikacji cyberbezpieczeństwa związana z wydawaniem europejskich certyfikatów cyberbezpieczeństwa, o których mowa w niniejszym rozporządzeniu, jest ściśle oddzielona od działalności związanej z nadzorem określonej w art. 88 i czy te działalności są wykonywane niezależnie od siebie;

b)procedury nadzorowania i egzekwowania zasad monitorowania zgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów z europejskimi certyfikatami cyberbezpieczeństwa na podstawie art. 88 ust. 7 lit. a);

c)procedury monitorowania i egzekwowania obowiązków wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, bądź podmiotów, których stan cyberbezpieczeństwa podlega certyfikacji, na podstawie art. 88 ust. 7 lit. b);

d)procedury monitorowania, wydawania upoważnień na działalność i nadzorowania działalności jednostek oceniających zgodność.

4.Wzajemny przegląd przeprowadzają co najmniej raz na pięć lat co najmniej dwa krajowe organy ds. certyfikacji cyberbezpieczeństwa z innych państw członkowskich oraz Komisja. We wzajemnym przeglądzie uczestniczy również ENISA w charakterze obserwatora. Zespół ds. wzajemnego przeglądu sporządza sprawozdanie końcowe i podsumowanie wzajemnego przeglądu.

5.ENISA wspiera organizację mechanizmu wzajemnego przeglądu i wzajemnych przeglądów, między innymi poprzez opracowywanie odpowiednich wytycznych i wzorów, we współpracy z Komisją i ECCG.

6.Komisja jest uprawniona do przyjmowania aktów wykonawczych ustanawiających plan wzajemnego przeglądu obejmujący okres co najmniej pięciu lat, ustanawiających kryteria dotyczące składu zespołu ds. wzajemnego przeglądu, metodykę wykorzystywaną do wzajemnego przeglądu, harmonogram, częstotliwość oraz inne zadania związane z wzajemnym przeglądem. Przygotowując przedmiotowe akty wykonawcze, Komisja konsultuje się z ECCG i ENISA Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

7.Sprawozdanie końcowe, w tym ewentualne wytyczne lub zalecenia, oraz podsumowanie wzajemnego przeglądu analizuje ECCG, która zatwierdza jego streszczenie publikowane na stronie internetowej, o której mowa w art. 79 ust. 2.

Artykuł 90
Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa

1.Ustanawia się Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa („ECCG”).

2.W skład ECCG wchodzą przedstawiciele krajowych organów ds. certyfikacji cyberbezpieczeństwa lub przedstawiciele innych odpowiednich organów krajowych. Członek ECCG nie może reprezentować więcej niż dwóch państw członkowskich.

3.ECCG ma następujące zadania:

a)doradztwo i pomoc Komisji przy pracach nad zapewnieniem spójnego wprowadzania i stosowania przepisów określonych w niniejszym tytule, kwestii związanych z polityką certyfikacji cyberbezpieczeństwa oraz koordynacji koncepcji politycznych;

b)doradztwo i pomoc Komisji przy przygotowaniu wniosków dotyczących europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 73;

c)pomoc, doradztwo i współpraca z ENISA w związku z przygotowywaniem propozycji programu na podstawie art. 74 i specyfikacji technicznych na podstawie art. 77;

d)pomoc i doradztwo dla ENISA i Komisji oraz współpraca z nimi w związku z działaniami w zakresie utrzymania na podstawie art. 75;

e)pomoc i doradztwo dla Komisji oraz współpraca z nią w związku z przeglądem lub wycofaniem istniejących europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 76;

f)zasugerowanie przedłożenia Komisji wniosku o przygotowanie propozycji europejskiego programu certyfikacji cyberbezpieczeństwa zgodnie z art. 73 ust. 2;

g)wydawanie skierowanych do Komisji opinii na temat utrzymania, przeglądu i wycofania istniejących europejskich programów certyfikacji cyberbezpieczeństwa;

h)monitorowanie odpowiednich zmian w dziedzinie certyfikacji cyberbezpieczeństwa, w tym na poziomie krajowym zgodnie z art. 86, oraz wymiana informacji i dobrych praktyk odnoszących się do programów certyfikacji cyberbezpieczeństwa;

i)ułatwianie współpracy między krajowymi organami ds. certyfikacji cyberbezpieczeństwa na podstawie przepisów określonych w niniejszym tytule poprzez budowanie zdolności i wymianę informacji, w szczególności w odniesieniu do kwestii dotyczących certyfikacji cyberbezpieczeństwa;

j)wspieranie w zakresie wdrażania mechanizmu wzajemnego przeglądu na podstawie art. 89 oraz mechanizmów wzajemnej oceny zgodnie z zasadami ustanowionymi w europejskim programie certyfikacji cyberbezpieczeństwa na podstawie art. 81 ust. 2 lit. g);

k)ułatwianie dostosowywania europejskich programów cyberbezpieczeństwa do norm uznanych na szczeblu międzynarodowym, między innymi w ramach utrzymania istniejących europejskich programów certyfikacji cyberbezpieczeństwa i, w stosownych przypadkach, wydawanie skierowanych do ENISA zaleceń dotyczących podjęcia współpracy z odpowiednimi europejskimi lub międzynarodowymi organizacjami normalizacyjnymi w celu wyeliminowania braków lub luk w istniejących europejskich lub normach uznanych na szczeblu międzynarodowym.

4.Z pomocą ENISA Komisja przewodniczy ECCG i zapewnia jej sekretariat.

5.Komisja może ustanowić podgrupy w ramach ECCG, aby realizowały którykolwiek z następujących celów:

a)badanie określonych kwestii w oparciu o zakres zadań ustalony przez Komisję;

b)utrzymywanie i przegląd europejskich programów certyfikacji zgodnie z niniejszym rozporządzeniem i na podstawie zakresu zadań ustanowionego przez Komisję.

6.Podgrupy składają sprawozdania do ECCG.

7.Podgrupom współprzewodniczą Komisja i ENISA, a sekretariat podgrup zapewnia ENISA.

8.ECCG i jej podgrupy przyjmują regulamin wewnętrzny zwykłą większością głosów swoich członków, na podstawie wniosku Komisji i w porozumieniu z nią.

Sekcja 2 
Jednostki oceniające zgodność

Artykuł 91
Kompetencje jednostek oceniających zgodność

1.Jednostki oceniające zgodność są akredytowane przez krajowe jednostki akredytujące wyznaczone na podstawie rozporządzenia (WE) nr 765/2008. Akredytacji takiej udziela się jedynie wtedy, gdy jednostki oceniające zgodność spełniają wymagania określone w załączniku I do niniejszego rozporządzenia.

2.W przypadku gdy europejski certyfikat cyberbezpieczeństwa wydawany jest przez krajowy organ ds. certyfikacji cyberbezpieczeństwa na podstawie niniejszego rozporządzenia, jednostkę certyfikującą krajowego organu ds. certyfikacji cyberbezpieczeństwa akredytuje się jako jednostkę oceniającą zgodność na podstawie ust. 1.

3.Akredytacji, o której mowa w ust. 1, udziela się jednostkom oceniającym zgodność na maksymalnie pięć lat i można ją odnowić, o ile jednostka oceniająca zgodność spełnia wymogi określone w niniejszym artykule. Krajowe jednostki akredytujące podejmują, w odpowiednich ramach czasowych, wszelkie stosowne środki w celu ograniczenia, zawieszenia lub cofnięcia akredytacji jednostki oceniającej zgodność udzielonej na podstawie ust. 1, w przypadku gdy warunki udzielenia akredytacji nie zostały spełnione lub przestały być spełniane, lub też w przypadku gdy jednostka oceniająca zgodność nie stosuje się do niniejszego rozporządzenia.

4.Przy ustanawianiu dodatkowych lub szczególnych wymogów akredytacyjnych dla europejskiego programu certyfikacji cyberbezpieczeństwa obejmującego produkty ICT, zgodnie z art. 92, dąży się w stosownych przypadkach do synergii z wymogami dotyczącymi jednostek notyfikowanych na podstawie rozporządzenia (UE) 2024/2847 oraz z wymogami akredytacyjnymi w ramach już przyjętych programów certyfikacji cyberbezpieczeństwa.

5.W przypadku gdy jednostka oceniająca zgodność jest akredytowana zgodnie z rozporządzeniem (UE) 2024/2847, odpowiednie organy mogą ponownie wykorzystać jako dowód w ramach procesu akredytacji na podstawie niniejszego rozporządzenia wyniki poprzedniego procesu akredytacji w odniesieniu do wszelkich pokrywających się wymogów.

Artykuł 92
Dodatkowa harmonizacja kompetencji jednostek oceniających zgodność

1.W przypadku gdy europejski program certyfikacji cyberbezpieczeństwa określa dodatkowe lub szczegółowe wymogi na podstawie art. 81 ust. 3 lit. f), jednostki oceniające zgodność są upoważnione przez krajowy organ ds. certyfikacji cyberbezpieczeństwa wyznaczony na podstawie art. 88 ust. 1 do wykonywania zadań w ramach takiego programu. Takie upoważnienie wydaje się wyłącznie w przypadku, gdy jednostka oceniająca zgodność została akredytowana i spełnia dodatkowe lub szczegółowe wymogi określone w ramach europejskiego programu certyfikacji cyberbezpieczeństwa.

2.W przypadku gdy jednostka oceniająca zgodność składa wniosek o wydanie upoważnienia na podstawie niniejszego artykułu, kieruje go do krajowego organu ds. certyfikacji cyberbezpieczeństwa w państwie członkowskim, w którym prowadzi działalność, lub do krajowego organu ds. certyfikacji cyberbezpieczeństwa, z którego usług dane państwo członkowskie korzysta zgodnie z art. 88 ust. 1.

3.Jednostka oceniająca zgodność może ubiegać się o wydanie upoważnienia przez krajowy organ ds. certyfikacji cyberbezpieczeństwa inny niż organy określone w ust. 2, o ile zachodzi jedna z następujących sytuacji:

a)w przypadku gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w ust. 1, nie udziela upoważnienia w odniesieniu do czynności z zakresu oceny zgodności, których dotyczy wniosek o wydanie upoważnienia;

b)w przypadku gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w ust. 1, nie został poddany wzajemnemu przeglądowi zgodnie z art. 89 w odniesieniu do czynności z zakresu oceny zgodności, których dotyczy wniosek o wydanie upoważnienia.

4.W przypadku gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa otrzymuje wniosek na podstawie ust. 3, informuje o tym krajowy organ ds. certyfikacji cyberbezpieczeństwa w państwie członkowskim, w którym wnioskująca jednostka oceniająca zgodność prowadzi działalność. W takich przypadkach krajowy organ ds. certyfikacji cyberbezpieczeństwa tego państwa członkowskiego może uczestniczyć w udzielaniu upoważnienia w charakterze obserwatora.

5.Krajowy organ ds. certyfikacji cyberbezpieczeństwa może wystąpić do innego krajowego organu ds. certyfikacji cyberbezpieczeństwa z prośbą o wykonanie części czynności związanych z oceną. W takim przypadku organ wnioskujący wystawia certyfikat upoważnienia.

6.Upoważnienie, o którym mowa w ust. 1, jest ważne przez okres nie dłuższy niż okres ważności akredytacji i może zostać odnowione, pod warunkiem że jednostka oceniająca zgodność spełnia wymogi określone w ust. 1, a jej akredytacja również została odnowiona.

7.Krajowe organy ds. certyfikacji cyberbezpieczeństwa podejmują, w odpowiednich ramach czasowych, wszelkie stosowne środki w celu ograniczenia, zawieszenia lub cofnięcia udzielonego upoważnienia jednostki oceniającej zgodność na podstawie ust. 1, w przypadku gdy warunki udzielenia upoważnienia nie są lub przestały być spełniane, lub też w przypadku gdy jednostka oceniająca zgodność nie stosuje się do niniejszego rozporządzenia.

8.Komisja jest uprawniona do przyjmowania aktów wykonawczych w celu ustanowienia procedur, w tym dotyczących współpracy transgranicznej, upoważniania jednostek oceniających zgodność. W procesie przygotowywania aktów wykonawczych Komisja konsultuje się z ENISA i ECCG. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

Artykuł 93
Powiadamianie jednostek oceniających zgodność

1.W odniesieniu do każdego europejskiego programu certyfikacji cyberbezpieczeństwa krajowe organy ds. certyfikacji cyberbezpieczeństwa państwa członkowskiego notyfikują Komisji i pozostałym państwom członkowskim jednostki oceniające zgodność, które zostały akredytowane i, w stosownych przypadkach, uzyskały upoważnienie zgodnie z art. 92.

2.Krajowe organy ds. certyfikacji cyberbezpieczeństwa dokonują notyfikacji, o której mowa w ust. 1, z wykorzystaniem systemu notyfikacji elektronicznej opracowanego i zarządzanego przez Komisję.

3.Komisja jest uprawniona do przyjmowania aktów wykonawczych w celu określenia okoliczności, formatów i procedur powiadamiania, o których mowa w ust. 1 niniejszego artykułu, w tym procedury sprzeciwu ze strony innych państw członkowskich w trakcie procesu notyfikacji, jednoznacznej identyfikacji jednostek oceniających zgodność, a także okoliczności ograniczenia, zawieszenia lub wycofania notyfikacji. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

Artykuł 94
Wyzwania dotyczące kompetencji jednostek oceniających zgodność

1.Komisja bada wszelkie przypadki, w których ma wątpliwości lub zostaje poinformowana o wątpliwościach co do zdolności jednostki oceniającej zgodność do spełnienia lub dalszego spełniania przez jednostkę oceniającą zgodność nałożonych na nią wymagań i obowiązków.

2.Na żądanie Komisji krajowy organ ds. certyfikacji cyberbezpieczeństwa udziela jej wszelkich informacji dotyczących podstawy notyfikacji lub utrzymania kompetencji danej jednostki oceniającej zgodność.

3.Komisja odpowiada za utrzymanie w tajemnicy wszystkich informacji szczególnie chronionych uzyskanych w trakcie dochodzenia.

4.W przypadku gdy Komisja stwierdza, że jednostka oceniająca zgodność nie spełnia wymagań notyfikacji lub przestała je spełniać, informuje o tym fakcie krajowy organ ds. certyfikacji cyberbezpieczeństwa i zwraca się do niego o wprowadzenie koniecznych działań naprawczych, włącznie z wycofaniem notyfikacji, jeżeli zachodzi taka potrzeba.

5.Państwa członkowskie zapewniają możliwość wniesienia odwołania od decyzji jednostek notyfikowanych.

Artykuł 95
Obowiązki jednostek oceniających zgodność w zakresie informowania i zatrzymywania danych

1.Jednostki oceniające zgodność informują krajowy organ ds. certyfikacji cyberbezpieczeństwa:

a)o każdym przypadku odmowy wydania, ograniczenia, zawieszenia lub cofnięcia certyfikatu;

b)o wszelkich okolicznościach wpływających na zakres i warunki notyfikacji, o których mowa w art. 93 ust. 1;

c)o każdym przypadku zażądania przez organ nadzoru rynku udzielenia informacji dotyczących działań związanych z oceną zgodności;

d)na żądanie, o wszelkich podejmowanych działaniach w zakresie oceny zgodności wchodzących w zakres jej notyfikacji oraz o innych realizowanych zadaniach, w tym o działalności transgranicznej i podwykonawstwie.

2.Jednostki oceniające zgodność przekazują również ENISA informacje, o których mowa w ust. 1 lit. a), w celu ułatwienia wykonywania jej zadań na podstawie art. 79.

3.Jednostki oceniające zgodność bez zbędnej zwłoki przekazują pozostałym jednostkom oceniającym zgodność określonym w niniejszym rozporządzeniu prowadzącym podobną działalność w zakresie oceny zgodności obejmującą te same produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub podmioty, których stan cyberbezpieczeństwa podlega certyfikacji, odpowiednie informacje na temat kwestii związanych z negatywnymi, a na żądanie również pozytywnymi wynikami oceny zgodności.

4.Jednostki oceniające zgodność prowadzą rejestr zawierający wszystkie dokumenty i dowody przedstawione lub otrzymane w związku z każdą przeprowadzaną przez nie oceną i certyfikacją. Rejestr jest przechowywany w sposób bezpieczny i dostępny przez okres niezbędny do celów certyfikacji i przez co najmniej pięć lat po wygaśnięciu lub cofnięciu odpowiedniego europejskiego certyfikatu cyberbezpieczeństwa.

Sekcja 3 
Pozostałe przepisy

Artykuł 96
Prawo do wniesienia skargi i prawo do skutecznego środka zaskarżenia 

1.Osoby fizyczne i prawne mają prawo do wniesienia skargi do podmiotu, który wydał europejski certyfikat cyberbezpieczeństwa lub, w przypadku gdy skarga dotyczy europejskiego certyfikatu cyberbezpieczeństwa wydanego przez jednostkę oceniającą zgodność, działającą zgodnie z art. 85 ust. 4 – do odpowiedniego krajowego organu ds. certyfikacji cyberbezpieczeństwa.

2.Organ lub jednostka, do których wniesiono skargę, informuje skarżącego o stanie postępowania, podjętej decyzji i prawie do skutecznego środka zaskarżenia, o którym mowa w art. 3 i 4.

3.Niezależnie od wszelkich administracyjnych lub innych pozasądowych środków ochrony prawnej, osoby fizyczne i prawne mają prawo do skutecznego środka zaskarżenia odnośnie do:

a)decyzji podjętych przez organ lub jednostkę, o których mowa w ust. 1, w tym, w stosownych przypadkach, w związku z nieprawidłowym wydaniem, niewydaniem lub uznaniem europejskiego certyfikatu cyberbezpieczeństwa, którego posiadaczami są te osoby fizyczne lub prawne;

b)bezczynności w sprawie skargi wniesionej do organu lub jednostki, o których mowa w ust. 1.

4.Postępowania na podstawie niniejszego artykułu wnosi się do sądów państwa członkowskiego, w którym znajduje się organ lub jednostka, przeciwko którym wnoszony jest środek zaskarżenia.

Artykuł 97
Kary

Państwa członkowskie ustanawiają przepisy o karach nakładanych w przypadku naruszenia przepisów niniejszego tytułu i naruszenia europejskich programów certyfikacji cyberbezpieczeństwa oraz stosują wszelkie niezbędne środki, aby zapewnić ich wykonanie. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. Państwa członkowskie niezwłocznie powiadamiają Komisję o tych przepisach i środkach, a także o wszelkich późniejszych zmianach w tychże.

TYTUŁ IV 
BEZPIECZEŃSTWO ŁAŃCUCHÓW DOSTAW ICT

ROZDZIAŁ I 
Ramy zaufanego łańcucha dostaw ICT

Artykuł 98
Zakres ram

1.Ramy zaufanego łańcucha dostaw ICT przewidują mechanizm bezpieczeństwa na poziomie Unii, ukierunkowany na przeciwdziałanie ryzyku pozatechnicznemu w sektorach kluczowych i innych sektorach krytycznych, o których mowa w dyrektywie (UE) 2022/2555. W ramach tego mechanizmu identyfikuje się kluczowe zasoby ICT w krytycznych łańcuchach dostaw ICT oraz określa odpowiednie i proporcjonalne środki ograniczające ryzyko dla podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555.

2.Obowiązki określone w niniejszym tytule pozostają bez uszczerbku dla obowiązków określonych w art. 13 rozporządzenia (UE) 2024/2847 oraz w przepisach prawa krajowego transponujących art. 21 dyrektywy (UE) 2022/2555.

3.Przepisy niniejszego rozdziału nie uniemożliwiają państwom członkowskim przyjęcia lub utrzymania przepisów zapewniających wyższy poziom cyberbezpieczeństwa w łańcuchach dostaw ICT, pod warunkiem że takie przepisy są spójne z obowiązkami państw członkowskich, ustanowionymi w prawie Unii.

Artykuł 99
Oceny ryzyka związanego z bezpieczeństwem

1.Komisja lub grupa co najmniej trzech państw członkowskich może zwrócić się do Grupy Współpracy ustanowionej na mocy art. 14 dyrektywy (UE) 2022/2555 („grupa współpracy NIS”) o przeprowadzenie skoordynowanych na poziomie Unii ocen ryzyka związanego z bezpieczeństwem zgodnie z art. 22 tej dyrektywy. Jeżeli w następstwie takiego wniosku przeprowadza się ocenę ryzyka związanego z bezpieczeństwem, ocena ta obejmuje w szczególności proponowaną identyfikację kluczowych zasobów ICT w danym łańcuchu dostaw ICT, a także głównych agresorów, ryzyka i podatności mających wpływ na te zasoby. W ramach skoordynowanych na poziomie Unii ocen ryzyka związanego z bezpieczeństwem opracowuje się scenariusze ryzyka i proponuje środki mające na celu ograniczenie zidentyfikowanego ryzyka.

2.Skoordynowane na poziomie Unii oceny ryzyka związanego z bezpieczeństwem muszą zostać zakończone w terminie sześciu miesięcy od złożenia wniosku, o którym mowa w ust. 1. Na wniosek Komisji grupa współpracy NIS może uzgodnić krótszy okres. 

3.W przypadku gdy Komisja ma wystarczające powody, by sądzić, że istnieje znaczące zagrożenie cyberbezpieczeństwa Unii w odniesieniu do łańcucha dostaw ICT i że konieczne jest podjęcie działań w celu zachowania właściwego funkcjonowania rynku wewnętrznego, Komisja bez zbędnej zwłoki:

a)konsultuje się z państwami członkowskimi w sprawie potrzeby wprowadzenia co najmniej jednego ze środków ograniczających ryzyko, o których mowa w art. 103; oraz

b)przeprowadza ocenę ryzyka związanego z bezpieczeństwem, uwzględniając konsultacje z państwami członkowskimi. Ocena ryzyka związanego z bezpieczeństwem obejmuje proponowaną identyfikację kluczowych zasobów ICT, a także głównych agresorów, ryzyka i podatności, które mają wpływ na te zasoby. W ramach oceny ryzyka związanego z bezpieczeństwem opracowuje się scenariusze ryzyka i proponuje środki mające na celu ograniczenie zidentyfikowanego ryzyka.

Artykuł 100
Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem

1.Jeżeli w wyniku oceny ryzyka związanego z bezpieczeństwem, o której mowa w art. 99, lub na podstawie innych źródeł, takich jak publiczne oświadczenie w imieniu Unii lub państwa członkowskiego, okaże się, że państwo trzecie stwarza poważne i strukturalne ryzyko pozatechniczne dla łańcuchów dostaw ICT, Komisja weryfikuje ryzyko stwarzane przez to państwo, biorąc pod uwagę następujące elementy:

a)istnienie w państwie trzecim przepisów zobowiązujących podmioty podlegające jego jurysdykcji do zgłaszania organom tego państwa trzeciego informacji na temat podatności w oprogramowaniu lub sprzęcie, zanim podatności te staną się publicznie znane jako aktywnie wykorzystywane;

b)istnienie w państwie trzecim praktyk wykazanych przez niezależne źródła, które to praktyki wymagają od podmiotów podlegających jurysdykcji państwa trzeciego zgłaszania organom tego państwa trzeciego informacji na temat podatności w oprogramowaniu lub sprzęcie, zanim podatności te staną się publicznie znane jako aktywnie wykorzystywane;

c)brak skutecznych środków zaskarżenia oraz niezależnych i demokratycznych mechanizmów kontroli, które mogłyby zaradzić stwierdzonym problemom w zakresie bezpieczeństwa, w tym w odniesieniu do istniejących praktyk, o których mowa w lit. b);

d)poparte materiałem dowodowym informacje na temat co najmniej jednego incydentu ze strony agresorów kontrolowanych z tego państwa i działających poza jego terytorium, prowadzących szkodliwe działania lub kampanie w cyberprzestrzeni, oraz na temat braku zdolności lub woli państwa trzeciego do współpracy z Komisją lub państwami członkowskimi w celu przeciwdziałania ryzyku wynikającemu z działalności takich agresorów;

e)istotne informacje wynikające ze skoordynowanych na szczeblu Unii ocen ryzyka związanego z bezpieczeństwem lub sprawozdań państw członkowskich lub organizacji międzynarodowych.

2.Jeżeli po weryfikacji, o której mowa w ust. 1, Komisja stwierdzi, że państwo trzecie stwarza poważne i strukturalne ryzyko pozatechniczne dla łańcuchów dostaw ICT, może – w drodze aktu wykonawczego – wskazać to państwo trzecie jako państwo budzące obawy związane z cyberbezpieczeństwem dotyczące łańcuchów dostaw ICT. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

3.Komisja regularnie dokonuje przeglądu aktów wykonawczych przyjętych zgodnie z ust. 2. 

4.Dostawcy wysokiego ryzyka nie są uprawnieni do:

a)uczestniczenia w opracowywaniu, ocenie, konsultacjach lub decyzjach dotyczących norm europejskich i europejskich dokumentów normalizacyjnych, o których mowa w art. 10 ust. 1 rozporządzenia (UE) 1025/2012, ani wspólnych specyfikacji, o których mowa w art. 27 rozporządzenia (UE) 2024/2847, w dziedzinie cyberbezpieczeństwa;

b)ubiegania się o europejskie certyfikaty cyberbezpieczeństwa na podstawie tytułu III ani ich posiadania;

c)uzyskania statusu akredytowanej jednostki oceniającej zgodność na podstawie tytułu III;

d)ubiegania się o status upoważnionego dostawcy jakichkolwiek europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa na podstawie tytułu II sekcja 4;

e)udziału w postępowaniach o udzielenie zamówienia publicznego organizowanych zgodnie z przepisami transponującymi dyrektywy 2014/24/UE i 2014/25/UE w odniesieniu do dostarczania komponentów ICT lub komponentów zawierających komponenty ICT, które mają być wykorzystywane w kluczowych zasobach ICT zidentyfikowanych zgodnie z art. 102;

f)udziału w jakichkolwiek działaniach w ramach unijnych programów i instrumentów finansowania wdrażanych w ramach zarządzania bezpośredniego i zarządzania pośredniego zgodnie z art. 136 rozporządzenia (UE, Euratom) 2024/2509 i unijnymi przepisami sektorowymi, a także w jakichkolwiek unijnych działaniach z zakresu finansowania realizowanych w ramach zarządzania dzielonego w odniesieniu do dostarczania komponentów ICT lub komponentów zawierających komponenty ICT, które mają być wykorzystywane w kluczowych zasobach ICT zidentyfikowanych zgodnie z art. 102.

Organy odpowiedzialne za procedury, o których mowa w lit. a)–f), przeprowadzają niezbędne oceny do celów niniejszego ustępu. W tym celu organy mogą również oprzeć się na wykazie, o którym mowa w art. 104.

5.W przypadkach gdy dostawca wysokiego ryzyka uzyskał już europejski certyfikat cyberbezpieczeństwa na podstawie tytułu III, właściwy organ bez zbędnej zwłoki wycofuje ten certyfikat.

Artykuł 101
Ogólny mechanizm bezpieczeństwa łańcucha dostaw ICT

W przypadku gdy grupa współpracy NIS przeprowadziła skoordynowaną na poziomie Unii ocenę ryzyka związanego z bezpieczeństwem na podstawie art. 99 ust. 1 niniejszego rozporządzenia lub po zakończeniu procedury w przypadku znaczącego zagrożenie cyberbezpieczeństwa na podstawie art. 99 ust. 3 w odniesieniu do łańcucha dostaw ICT, Komisja może wprowadzić środki przewidziane w art. 102 i art. 103 ust. 1 i 2.

Artykuł 102
Identyfikacja kluczowych zasobów ICT

1.W przypadku gdy ocena ryzyka przeprowadzona zgodnie z art. 99 ust. 1 lub 3 wskazuje na znaczące ryzyka w cyberprzestrzeni w odniesieniu do łańcucha dostaw ICT, Komisja jest uprawniona do przyjęcia aktów wykonawczych identyfikujących kluczowe zasoby ICT wykorzystywane do wytwarzania produktów lub świadczenia usług przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2 niniejszego rozporządzenia. 

2.Przy identyfikowaniu kluczowych zasobów ICT, o których mowa w ust. 1, Komisja bierze pod uwagę następujące elementy:

a)czy aktywa te wypełniają krytyczne i wrażliwe funkcje w kontekście funkcjonowania produktów wytwarzanych lub usług świadczonych przez podmiot w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555;

b)czy incydenty, w tym incydenty spowodowane wykorzystywanymi podatnościami dotyczącymi tych aktywów, mogą prowadzić do poważnych zakłóceń w łańcuchach dostaw ICT na całym rynku wewnętrznym lub do eksfiltracji danych

c)czy istnieje zależność od ograniczonej liczby dostawców tych aktywów;

d)wyniki oceny ryzyka, o której mowa w art. 99.

Artykuł 103
Środki ograniczające ryzyko w łańcuchu dostaw ICT

1.W stosownych przypadkach, w celu zapewnienia wysokiego poziomu cyberbezpieczeństwa, cyberodporności i zaufania w Unii, Komisja jest uprawniona do przyjmowania aktów wykonawczych zakazujących podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, używania, instalowania lub integrowania w kluczowych zasobach ICT zidentyfikowanych zgodnie z art. 102, w jakiejkolwiek formie, komponentów ICT pochodzących od dostawców wysokiego ryzyka zidentyfikowanych zgodnie z art. 104 lub komponentów, które zawierają komponenty ICT pochodzące od takich dostawców. Takie akty wykonawcze przewidują odpowiednie okresy przejściowe, podczas których Komisja publikuje wykaz dostawców wysokiego ryzyka, o którym mowa w art. 104, a także dodatkowe okresy na stopniowe wycofywanie odpowiednich komponentów ICT i komponentów zawierających takie komponenty ICT. W takim akcie wykonawczym można również wskazać ten komponent lub te komponenty ICT, które zawierają komponenty ICT.

2.W stosownych przypadkach, w celu zapewnienia wysokiego poziomu cyberbezpieczeństwa, cyberodporności i zaufania w Unii, Komisja jest uprawniona do przyjmowania aktów wykonawczych stwierdzających, że podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, są objęte co najmniej jednym z następujących środków ograniczających ryzyko w odniesieniu do ich łańcucha dostaw ICT, a w szczególności kluczowych zasobów ICT zidentyfikowanych zgodnie z art. 102, aby ograniczyć ryzyko stwierdzone w ocenach ryzyka związanego z bezpieczeństwem, przeprowadzonych na podstawie art. 99:

a)zastosowanie wymogów przejrzystości dotyczących przekazywania właściwemu organowi informacji na temat dostawców w łańcuchu dostaw ICT – w odniesieniu do kluczowych zasobów ICT wyznaczonych zgodnie z art. 102;

b)zakaz związany z przekazywaniem danych do państw trzecich i zdalnym przetwarzaniem danych z państwa trzeciego;

c)środki techniczne, które mają być poddane audytowi przez stronę trzecią, w tym: 

(i) stosowanie przetwarzania na urządzeniu;

(ii) specjalna segmentacja systemów sieciowych;

(iii) uniemożliwienie zdalnego lub fizycznego dostępu do kluczowych zasobów ICT;

(iv) dezaktywacja funkcji innych niż istotne;

(v) monitorowanie sieci operacyjnej;

(vi) testowanie sprzętu i oprogramowania;

d)ograniczenia związane z kontrolą operacyjną, w tym outsourcing funkcji organizacyjnych do dostawców usług zarządzanych;

e)ograniczenia związane ze stosunkami umownymi podmiotu z jego dostawcami;

f)wymóg, aby usługa była świadczona, zarządzana, utrzymywana lub wspierana przez personel zweryfikowany przez odpowiednie właściwe organy krajowe;

g)dywersyfikacja dostaw komponentów ICT lub komponentów zawartych w komponentach ICT.

3.Wprowadzając środki, o których mowa w ust. 2, Komisja może określić wymogi techniczne i metodologiczne dotyczące tych środków.

4.Przed przyjęciem aktów wykonawczych, o których mowa w ust. 1 i 2, Komisja szacuje potencjalne ryzyko i zależności, a w szczególności:

a)w stosownych przypadkach poziom ryzyka związanego z użytkowaniem, instalacją lub integracją w kluczowych zasobach ICT, w dowolnej formie, komponentów ICT pochodzących od dostawców wysokiego ryzyka lub komponentów, które zawierają komponenty ICT pochodzące od takich dostawców;

b)potencjalne skutki gospodarcze i społeczne, jakie obowiązek ten może mieć dla podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555;

c)dostępność dostawców alternatywnych wobec dostawców wysokiego ryzyka;

d)potencjalne zakłócenie transgranicznej działalności gospodarczej i społecznej spowodowane incydentem mającym wpływ na łańcuch dostaw ICT danego podmiotu.

5.Akty wykonawcze, o których mowa w ust. 1 i 2 niniejszego artykułu, przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2, oraz poddaje przeglądowi co najmniej raz na 36 miesięcy.

6.W wyjątkowych okolicznościach, które uzasadniają interwencję w celu utrzymania prawidłowego funkcjonowania rynku wewnętrznego, i w przypadku gdy Komisja ma wystarczające powody, aby uważać, że użytkowanie, instalacja lub integracja komponentów ICT pochodzących od – lub komponentów, które zawierają komponenty ICT pochodzące od – konkretnego podmiotu mającego siedzibę w państwie trzecim lub kontrolowanego przez państwo trzecie, podmioty z państwa trzeciego lub obywatela państwa trzeciego stwarza istotne ryzyko pozatechniczne w cyberprzestrzeni dla działalności gospodarczej lub społecznej co najmniej trzech państw członkowskich, Komisja niezwłocznie konsultuje się z państwami członkowskimi w sprawie potrzeby wprowadzenia środków na poziomie Unii.

7.Komisja jest uprawniona do przyjmowania aktów wykonawczych zakazujących podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, używania, instalowania lub integrowania komponentów ICT pochodzących od podmiotu, o którym mowa w ust. 6, lub komponentów zawierających komponenty ICT pochodzące od takiego podmiotu. W tym celu konsultuje się z podmiotami w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, i których potencjalnie dotyczy zakaz. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2. W stosownych przypadkach w aktach tych ustanawia się odpowiednie okresy stopniowego wycofywania tych komponentów ICT lub komponentów, które zawierają takie komponenty ICT. W takim akcie wykonawczym można również wskazać te komponenty ICT objęte zakazem, lub komponenty, które zawierają objęte zakazem komponenty ICT. Zakaz ten dotyczy również komponentów ICT lub komponentów, które obejmują komponenty ICT, od wszystkich podmiotów kontrolowanych przez konkretny podmiot, o którym mowa w ust. 6.

8.Akty wykonawcze, o których mowa w ust. 1, 2 i 7, mogą również stanowić, że środki ograniczające ryzyko mają zastosowanie wyłącznie do podmiotów o określonej wielkości w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555.

9.Art. 100 ust. 4 ma zastosowanie do konkretnego podmiotu mającego siedzibę w państwie trzecim lub kontrolowanego przez państwo trzecie, podmiot z państwa trzeciego lub obywatela państwa trzeciego, o którym mowa w ust. 7. 

10.Akty wykonawcze przyjęte zgodnie z ust. 1, 2 i 7, które mają zastosowanie do podmiotów w rodzaju tych, o których mowa w pkt 10 załącznika I do dyrektywy (UE) 2022/2555, stosuje się odpowiednio do instytucji, organów i jednostek organizacyjnych Unii.

Artykuł 104
Identyfikacja dostawców wysokiego ryzyka

1.Komisja w drodze aktów wykonawczych ustanawia wykazy dostawców wysokiego ryzyka podlegających zakazom ustanowionym w aktach wykonawczych przyjętych zgodnie z art. 103 ust. 1, art. 103 ust. 7 lub zakazowi, o którym mowa w art. 111 ust. 1. 

2.W tym celu Komisja przyporządkowuje dostawców dostarczających komponenty ICT istotne z punktu widzenia zakazu, o którym mowa w ust. 1, i komponenty zawierające takie komponenty ICT.

Na tej podstawie Komisja przeprowadza wstępną ocenę w celu określenia, którzy z przyporządkowanych dostawców mogą mieć siedzibę w państwie trzecim wyznaczonym zgodnie z art. 100 lub są kontrolowani przez takie państwo trzecie, przez podmiot mający siedzibę w takim państwie trzecim lub przez obywatela takiego państwa trzeciego. Komisja sporządza również wstępne przyporządkowanie dostawców potencjalnie kontrolowanych przez podmiot, o którym mowa w art. 103 ust. 6.

3.Komisja ocenia miejsce prowadzenia działalności, a także strukturę własności i kontroli dostawców wstępnie zidentyfikowanych zgodnie z ust. 2 akapit drugi.

4.Komisja jest uprawniona do zwrócenia się do dostawców o niezbędne informacje do celów oceny, o której mowa w ust. 3. W przypadku gdy dostawca nie dostarczy niezbędnych informacji w wyznaczonym terminie, Komisja może stwierdzić, że dostawca ma siedzibę w państwie trzecim wyznaczonym zgodnie z art. 100 lub jest kontrolowany przez takie państwo trzecie, przez podmioty z tego państwa trzeciego lub przez obywateli tego państwa trzeciego. W przypadku gdy Komisja przeprowadza ocenę do celów art. 103 ust. 7, a dostawca nie dostarczy niezbędnych informacji w ustalonym terminie, Komisja może stwierdzić, że dostawca jest kontrolowany przez podmiot wskazany zgodnie z tym artykułem. Właściwe organy, o których mowa w art. 112, dzielą się też odpowiednimi informacjami z Komisją na jej wniosek.

5.Komisja udostępnia danemu dostawcy wstępne ustalenia dotyczące oceny jego miejsca prowadzenia działalności, struktury kontroli i własności. Komisja zapewnia dostawcy możliwość przedstawienia swojego stanowiska w odniesieniu do tych wstępnych ustaleń.

6.Komisja może zwrócić się do właściwego organu o przeprowadzenie wstępnej oceny miejsca prowadzenia działalności, struktury własności i kontroli dostawcy, jeżeli jest to uzasadnione ze względu na charakter działalności tego dostawcy. Właściwy organ może zaproponować przeprowadzenie takiej wstępnej oceny. Komisja weryfikuje te wstępne ustalenia w celu podjęcia decyzji, czy dostawca powinien zostać włączony do wykazu dostawców wysokiego ryzyka.

7.Komisja regularnie aktualizuje wykaz dostawców wysokiego ryzyka, usuwając lub dodając dostawców wysokiego ryzyka. Dostawcy wysokiego ryzyka uwzględnieni w wykazie mogą zwrócić się do Komisji o ponowną ocenę ich miejsca prowadzenia działalności, struktury kontrolnej i własnościowej po przedstawieniu dowodów potwierdzających istotne zmiany. 

8.W przypadku gdy właściwy organ dowie się, w tym na podstawie informacji przekazanych przez podmiot, o którym mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, że dostawca może wymagać umieszczenia w wykazie dostawców wysokiego ryzyka, bez zbędnej zwłoki informuje o tym Komisję.

Artykuł 105
Wyłączenie podmiotów mających siedzibę w państwie trzecim budzące obawy związane z cyberbezpieczeństwem lub kontrolowanych przez podmioty z takiego państwa trzeciego

1.Podmiot mający siedzibę w państwie trzecim lub kontrolowany przez podmioty z państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem, wyznaczonego zgodnie z art. 100, może zwrócić się do Komisji z uzasadnionym wnioskiem o zwolnienie:

a)z podlegania zakazowi nałożonemu na podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, dotyczącemu stosowania, instalowania lub integrowania w jakiejkolwiek formie jego komponentów ICT lub komponentów, które zawierają jego komponenty ICT, w kluczowych zasobach ICT tychże podmiotów, na zasadzie odstępstwa od art. 111 lub aktów wykonawczych przyjętych na podstawie art. 103 ust. 1;

b)z podlegania zakazowi udziału w postępowaniach o udzielenie zamówienia publicznego organizowanych zgodnie z przepisami transponującymi dyrektywę 2014/24/UE i dyrektywę 2014/25/UE w odniesieniu do dostarczania komponentów ICT lub komponentów zawierających komponenty ICT, które mają być wykorzystywane w kluczowych zasobach ICT, zgodnie z definicją w art. 102, na zasadzie odstępstwa od art. 100 ust. 4.

2.We wniosku, o którym mowa w ust. 1, należy:

a)określić interes podmiotu mającego siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowanym przez podmioty z państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem, wyznaczonego zgodnie z art. 100, w uzyskaniu zwolnienia, o którym mowa w ust. 1 niniejszego artykułu; oraz

b)przedstawić jednoznaczne dowody, że zostaną wprowadzone skuteczne środki ograniczające ryzyko w celu przeciwdziałania ryzyku pozatechnicznemu i wykluczenia jakiejkolwiek ewentualnej nadmiernej ingerencji ze strony państwa trzeciego wyznaczonego na podstawie art. 100 w odniesieniu do dostarczania komponentów ICT lub komponentów zawierających komponenty ICT do użytkowania, instalacji lub integracji z kluczowymi zasobami ICT podmiotu w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555.

3.Komisja jest uprawniona do przyjmowania aktów wykonawczych w celu doprecyzowania warunków, o których mowa w ust. 2 lit. b), oraz w celu ustanowienia szczegółowych przepisów w odniesieniu do procedur, o których mowa w niniejszym artykule. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

4.Komisja ocenia wniosek, o którym mowa w ust. 1, w drodze uczciwego i przejrzystego procesu, uwzględniając:

a)okoliczności i dodatkowe elementy, o których mowa w art. 100 ust. 1 i 2, w odniesieniu do wskazanego państwa budzącego obawy związane z cyberbezpieczeństwem dotyczące łańcuchów dostaw ICT, w którym to państwie trzecim podmiot ma siedzibę lub z którego jest kontrolowany;

b)skuteczność środków ograniczających ryzyko, o których mowa w ust. 2 lit. b);

c)czy wyłączenie dotyczące podmiotu mającego siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem w łańcuchach dostaw ICT lub kontrolowanego przez podmioty z takiego państwa trzeciego nie naruszałoby interesu Unii.

5.Jeżeli po dokonaniu oceny, o której mowa w ust. 3, Komisja stwierdzi, że uzasadnione jest przyznanie zwolnienia, dokonuje tego w drodze decyzji, o której notyfikuje wnioskodawcę w terminie dziewięciu miesięcy od otrzymania wniosku.

6.Przyjmując decyzję, o której mowa w ust. 4, Komisja może ograniczyć zwolnienie do określonego okresu i uzależnić je od spełnienia warunków dotyczących danego podmiotu, takich jak:

a)harmonogram wdrożenia środków ograniczających ryzyko, o których mowa w ust. 2 lit. b);

b)regularne audyty prowadzone przez osoby trzecie w celu zapewnienia skutecznego wdrożenia środków ograniczających ryzyko;

c)obowiązki sprawozdawcze w zakresie zgodności.

7.Jeżeli po dokonaniu oceny, o której mowa w ust. 3, Komisja stwierdzi, że przyznanie zwolnienia nie jest uzasadnione, dokonuje tego w drodze decyzji, o której powiadamia wnioskodawców w terminie dziewięciu miesięcy od otrzymania wniosku. 

8.Komisja może z własnej inicjatywy wycofać lub zmienić decyzję, o której mowa w ust. 4, w co najmniej jednej z następujących sytuacji:

a)nastąpiła istotna zmiana stanu faktycznego, na podstawie którego podjęta została decyzja;

b)podmiot, który wystąpił z wnioskiem o zwolnienie, działa w sposób sprzeczny ze swoimi zobowiązaniami;

c)zwolnienie opierało się na niekompletnych, nieprawdziwych lub wprowadzających w błąd informacjach dostarczonych przez podmiot składający wniosek.

Artykuł 106
Prawo do obrony

Komisja zapewnia, aby przed przyjęciem aktu wykonawczego na podstawie art. 103 ust. 7 lub przed podjęciem decyzji o odmowie przyznania zwolnienia na podstawie art. 105 ust. 7 w oparciu o elementy, których nie przedstawił wnioskodawca, lub przed cofnięciem decyzji na podstawie art. 105 ust. 8 zainteresowany podmiot miał możliwość przedstawienia swojego stanowiska, z uwzględnieniem, w niektórych przypadkach, potrzeby zastosowania trybu pilnego.

Artykuł 107
Rejestr

Komisja prowadzi publicznie dostępny rejestr swoich decyzji, o których mowa w art. 105 ust. 5. W rejestrze podaje się nazwy podmiotów, które były przedmiotem takich decyzji. Komisja regularnie dokonuje przeglądu tego rejestru.

Artykuł 108
Poufność

Informacje otrzymane przez Komisję na podstawie art. 105 i 106 są wykorzystywane wyłącznie do celów, dla których zostały uzyskane.

Artykuł 109
Opłaty

1.Komisja pobiera opłaty za wnioski złożone zgodnie z art. 105 ust. 1.

2.Opłaty wyraża się i uiszcza w EUR.

3.Opłaty są współmierne do kosztów związanych z rozpatrywaniem wniosków, o których mowa w art. 105 ust. 1, oceną kryteriów i informacji, o których mowa w art. 105 ust. 2, oraz utworzeniem, utrzymywaniem i prowadzeniem rejestru, o którym mowa w art. 107. W kosztach tych uwzględnia się wszystkie wydatki Komisji związane z personelem zaangażowanym w te działania.

4.Komisja przyjmuje akty wykonawcze ustanawiające szczegółowe przepisy dotyczące opłat, określające ich wysokość i sposób ich uiszczania. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.

ROZDZIAŁ II 
Łańcuchy dostaw ICT w sieciach łączności elektronicznej

Artykuł 110
Kluczowe zasoby ICT na potrzeby ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej

1.Kluczowe zasoby ICT na potrzeby ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej określono w załączniku II.

2.Komponenty ICT lub komponenty, które zawierają komponenty ICT, dostarczane przez dostawców wysokiego ryzyka, są stopniowo wycofywane z kluczowych zasobów ICT ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej.

3.Okres stopniowego wycofywania komponentów ICT lub komponentów, które zawierają komponenty ICT, dostarczanych przez dostawców wysokiego ryzyka, dotyczący ruchomych sieci łączności elektronicznej nie może przekraczać 36 miesięcy od publikacji wykazu dostawców wysokiego ryzyka, o którym mowa w art. 104, istotnego dla ruchomych sieci łączności elektronicznej.

4.Komisja jest uprawniona do przyjmowania aktów wykonawczych zgodnie z art. 118 ust. 2 w celu określenia okresów stopniowego wycofywania komponentów ICT lub komponentów, które zawierają komponenty ICT, dostarczanych przez dostawców wysokiego ryzyka, dotyczących stacjonarnych i satelitarnych sieci łączności elektronicznej.

5.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 119 w celu zmiany załącznika II do niniejszego rozporządzenia, aby dostosować go do zmian technologicznych przez uwzględnienie elementów, o których mowa w art. 103 ust. 4.

Artykuł 111
Zakazy dotyczące ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej

1.Dostawcy ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej nie wykorzystują, nie instalują ani nie integrują w żadnej formie komponentów ICT ani komponentów, które zawierają komponenty ICT, pochodzących od dostawców wysokiego ryzyka, w ramach eksploatacji kluczowych zasobów ICT, o których mowa w załączniku II.

2.W przypadku gdy właściwy organ wyznaczony na podstawie niniejszego rozporządzenia w państwie członkowskim nie jest tożsamy z właściwym organem zgodnie z rozporządzeniem (UE) XX/XXXX [wniosek dotyczący aktu w sprawie sieci cyfrowych], właściwy organ wyznaczony na podstawie niniejszego rozporządzenia niezwłocznie informuje właściwy organ zgodnie z rozporządzeniem (UE) XX/XXXX [wniosek dotyczący aktu w sprawie sieci cyfrowych] o środkach nałożonych na dostawców ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej zgodnie z art. 114. Organy zapewniają ścisłą współpracę do celów skutecznego nadzoru i egzekwowania tych środków.

ROZDZIAŁ III 
Właściwe organy, nadzór i egzekwowanie przepisów, jurysdykcja, prawo do obrony

Artykuł 112
Właściwe organy

1.Każde państwo członkowskie wyznacza właściwe organy, o których mowa w art. 8 dyrektywy (UE) 2022/2555, jako organy odpowiedzialne za stosowanie środków nadzoru i egzekwowania przepisów, o których mowa w art. 114. 

2.Właściwe organy są strukturalnie i funkcjonalnie w pełni bezstronne i wolne od jakichkolwiek wpływów zewnętrznych, zarówno bezpośrednich, jak i pośrednich; w szczególności nie zwracają się one o instrukcje do żadnego innego organu publicznego ani podmiotu prywatnego ani nie przyjmują od nich takich instrukcji.

3.Państwa członkowskie zapewniają, aby ich właściwe organy posiadały odpowiednie uprawnienia, wystarczające zasoby ludzkie i techniczne oraz odpowiednią wiedzę fachową do skutecznego stosowania środków nadzoru i egzekwowania przepisów, o których mowa w art. 114.

4.Każde państwo członkowskie bez zbędnej zwłoki powiadamia Komisję o nazwach właściwych organów wyznaczonych zgodnie z ust. 1, o odpowiednich zadaniach tych organów oraz o wszelkich późniejszych zmianach w tym zakresie. Każde państwo członkowskie podaje również do wiadomości publicznej nazwy właściwych organów wyznaczonych zgodnie z ust. 1.

Artykuł 113
Sieć współpracy i usług wsparcia Komisji

W celu zapewnienia skutecznego nadzoru Komisja ustanawia sieć współpracy właściwych organów państw członkowskich, o której mowa w art. 112, oraz Komisji, która służy jako platforma współpracy i wymiany informacji, w szczególności do celów oceny miejsca prowadzenia działalności, kontroli i własności, o której mowa w art. 104. Komisja zapewnia sieci wsparcie administracyjne.

Artykuł 114
Środki nadzoru i egzekwowania przepisów

1.Właściwe organy, o których mowa w art. 112, są uprawnione do stosowania środków nadzoru i egzekwowania przepisów wobec podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. Państwa członkowskie zapewniają, aby wspomniane wyżej środki były skuteczne, proporcjonalne i odstraszające stosownie do okoliczności każdego indywidualnego przypadku. Państwa członkowskie powiadamiają Komisję o przepisach przyjętych w tym celu oraz o ich późniejszych zmianach.

2.Wykonując swoje zadania nadzorcze w odniesieniu do podmiotów, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, właściwe organy są uprawnione do objęcia tych podmiotów następującymi środkami: 

a)wnioskami o przedstawienie szczegółowego i aktualnego wykazu ich istotnych dostawców i usługodawców;

b)wnioskami o udzielenie dostępu do danych, dokumentów i informacji koniecznych do weryfikacji zgodności z niniejszym rozporządzeniem;

c)kontrolami na miejscu i nadzorem zdalnym, w tym wyrywkowymi kontrolami prowadzonymi przez przeszkolonych specjalistów;

d)wnioskami dotyczącymi składu sprzętu lub oprogramowania zainstalowanego w dowolnej formie w sieci lub systemie lub z nim zintegrowanego, w tym komponentów i zależności przechodnich, w powszechnie używanym formacie nadającym się do odczytu maszynowego.

3.Wykonując swoje uprawnienia w zakresie egzekwowania przepisów w odniesieniu do podmiotów w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, właściwe organy są uprawnione do:

a)wydawania ostrzeżeń dotyczących naruszeń niniejszego rozporządzenia przez dane podmioty, z przedstawieniem odpowiednich faktów i względów prawnych;

b)przyjmowania decyzji zobowiązujących dane podmioty do usunięcia naruszenia niniejszego rozporządzenia lub niedociągnięć stwierdzonych we wdrażaniu środków ograniczających ryzyko;

c)nakazania danym podmiotom, by zaniechały działań, które naruszają niniejsze rozporządzenie, i nie powtarzały takich działań; oraz

d)nakładania kar, zgodnie z przepisami dotyczącymi kwoty określonymi w art. 115, lub występowania o nałożenie takich kar przez właściwe organy, sądy lub trybunały, zgodnie z prawem krajowym.

4.Wdrażając którykolwiek ze środków egzekwowania przepisów, o których mowa w poprzednim ustępie, właściwe organy biorą pod uwagę okoliczności każdego indywidualnego przypadku i należycie uwzględniają następujące czynniki:

a)wagę naruszenia i znaczenie naruszonych przepisów;

b)czas trwania naruszenia;

c)istotny obrót danego podmiotu;

d)istotne wcześniejsze naruszenia ze strony danego podmiotu;

e)w stosownych przypadkach – szkody materialne i niematerialne spowodowane przez naruszenie, w tym straty finansowe lub gospodarcze, wpływ na inne podmioty i liczbę użytkowników, których dotyka naruszenie;

f)umyślny lub nieumyślny charakter czynu ze strony danego podmiotu;

g)środki zastosowane przez podmiot, aby zapobiec szkodom materialnym i niematerialnym lub je ograniczyć;

h)poziom współpracy odpowiedzialnych osób fizycznych lub prawnych z właściwymi organami.

Do celów akapitu pierwszego lit. a) za poważne naruszenie uznaje się:

i)powtarzające się naruszenia;

j)niezgłoszenie lub nieusunięcie poważnych incydentów;

k)nieusunięcie uchybień zgodnie z wiążącymi nakazami właściwych organów.

5.Właściwe organy notyfikują powiadamiają podmioty o swoich wstępnych ustaleniach przed zastosowaniem środków egzekwowania przepisów. Danym podmiotom zapewnia się odpowiedni czas na zgłoszenie uwag dotyczących wstępnych ustaleń. Właściwe organy przedstawiają szczegółowe uzasadnienie zastosowanych środków egzekwowania przepisów.

6.Właściwe organy przestrzegają zasad poufności oraz tajemnicy zawodowej i handlowej.

7.Właściwe organy współpracują ze sobą oraz z Komisją w celu sprawowania nadzoru i egzekwowania przepisów, o których mowa w niniejszym tytule, zgodnie z art. 116.

Artykuł 115
Kary

1.Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń przepisów niniejszego rozporządzenia i podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonania.

2.Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. Państwa członkowskie powiadamiają Komisję o tych przepisach i środkach, a także niezwłocznie powiadamiają ją o wszelkich późniejszych zmianach, które ich dotyczą.

3.Kary nakłada się dodatkowo w stosunku do środków, o których mowa w art. 114 ust. 3 lit. a), b) i c).

4.Podejmując decyzję o nałożeniu kary i o jej wysokości, w każdym indywidualnym przypadku należycie uwzględnia się co najmniej czynniki, o których mowa w art. 114 ust. 4 akapit pierwszy.

5.Naruszenia art. 103 ust. 2 lit. a) podlegają – zgodnie z ust. 3 niniejszego artykułu – karom w wysokości maksymalnie 1 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy dany podmiot.

6.Naruszenia art. 103 ust. 2 lit. b)–g) podlegają – zgodnie z ust. 3 niniejszego artykułu – karom w wysokości maksymalnie 2 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy dany podmiot.

7.Naruszenia art. 103 ust. 1 i art. 111 podlegają – zgodnie z ust. 3 niniejszego artykułu – karom w wysokości maksymalnie 7 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy dany podmiot.

Artykuł 116
Wzajemna pomoc

1.W przypadku gdy podmiot, o którym mowa w załącznikach I lub II do dyrektywy (UE) 2022/2555, świadczy usługi w więcej niż jednym państwie członkowskim lub świadczy usługi w co najmniej jednym państwie członkowskim, a jego kluczowe zasoby ICT znajdują się w co najmniej jednym innym państwie członkowskim, właściwe organy zainteresowanych państw członkowskich współpracują ze sobą i z Komisją oraz udzielają pomocy sobie nawzajem i Komisji w celu zapewnienia skutecznego i efektywnego stosowania rozporządzenia. W tym celu przestrzega się co najmniej następujących zasad:

a)właściwe organy stosujące środki nadzoru lub egzekwowania przepisów w państwie członkowskim powiadamiają właściwe organy w pozostałych zainteresowanych państwach członkowskich o zastosowanych środkach nadzoru i egzekwowania przepisów i konsultują się z tymi właściwymi organami w tej sprawie;

b)właściwy organ w państwie członkowskim może zwrócić się do innego właściwego organu w innym państwie członkowskim o zastosowanie środków nadzoru lub egzekwowania przepisów;

c)właściwy organ w jednym państwie członkowskim po otrzymaniu uzasadnionego wniosku od innego właściwego organu w innym państwie członkowskim udziela temu innemu właściwemu organowi pomocy, dokładając wszelkich starań, aby umożliwić skuteczne, wydajne i spójne wdrożenie środków nadzoru lub egzekwowania przepisów.

2.Wzajemna pomoc, o której mowa w ust. 1 lit. c), może obejmować wnioski o udzielenie informacji i zastosowanie środków nadzoru, w tym wnioski o przeprowadzenie kontroli na miejscu, nadzoru zewnętrznego lub ukierunkowanych audytów bezpieczeństwa. Właściwy organ, do którego skierowany jest wniosek o pomoc, nie może odmówić wykonania tego wniosku, chyba że zostanie ustalone, że organ ten nie jest organem właściwym do udzielenia pomocy, której dotyczy wniosek, że pomoc ta jest niewspółmierna do zadań nadzorczych właściwego organu lub że wniosek dotyczy informacji lub obejmuje działania, których ujawnienie lub wykonanie byłoby sprzeczne z podstawowymi interesami państwa członkowskiego w zakresie bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności. Zanim właściwy organ odmówi wykonania wniosku, zasięga opinii innych zainteresowanych właściwych organów, a na wniosek jednego z zainteresowanych państw członkowskich – także opinii Komisji.

3.W stosownych przypadkach i za obopólnym porozumieniem właściwe organy z różnych państw członkowskich mogą prowadzić wspólne działania nadzorcze.

4.Ze względu na obowiązek przestrzegania zasad poufności oraz tajemnicy zawodowej i handlowej, o których mowa w art. 114 ust. 6, wszelkie informacje wymieniane w kontekście wniosku o pomoc i przekazywane na podstawie niniejszego artykułu są wykorzystywane wyłącznie w odniesieniu do spraw, w związku z którymi o nie wnioskowano.

Artykuł 117
Jurysdykcja i terytorialność

1.Podmioty w rodzaju tych, o których mowa w załączniku I lub II do dyrektywy (UE) 2022/2555, wchodzące w zakres niniejszego rozporządzenia uznaje się za podlegające jurysdykcji państwa członkowskiego, w którym mają siedzibę, z następującymi wyjątkami:

a)dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej uznaje się za podlegających jurysdykcji państwa członkowskiego, w którym świadczą usługi;

b)dostawców usług DNS, rejestry nazw domeny najwyższego poziomu (TLD), dostawców usług przetwarzania w chmurze, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych lub platform usług sieci społecznościowych uznaje się za podlegających jurysdykcji państwa członkowskiego, w którym mają główne miejsce prowadzenia działalności w Unii zgodnie z ust. 2;

c)podmiotów administracji publicznej, które uznaje się za podlegające jurysdykcji państwa członkowskiego, do którego należą;

d)przewoźników lotniczych, których uznaje się za podlegających jurysdykcji państwa członkowskiego, którego właściwy organ wydający koncesje przyznał koncesję danemu podmiotowi zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (WE) nr 1008/2008 83 , lub w przypadku gdy koncesja lub jej odpowiednik nie zostały przyznane zgodnie z tym rozporządzeniem, uznaje się za podlegających jurysdykcji państwa członkowskiego, w którym mają główne miejsce prowadzenia działalności w Unii zgodnie z ust. 2.

2.Do celów niniejszego rozporządzenia uznaje się, że podmiot, o którym mowa w ust. 1 lit. b), ma swoje główne miejsce prowadzenia działalności w Unii w tym państwie członkowskim, w którym przeważnie podejmuje decyzje związane ze środkami zarządzania ryzykiem w cyberprzestrzeni. Jeżeli nie można ustalić takiego państwa członkowskiego lub jeżeli takich decyzji nie podejmuje się w Unii, uznaje się, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym prowadzona jest większość działań w zakresie cyberbezpieczeństwa. Jeżeli nie można ustalić takiego państwa członkowskiego, uznaje się, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym dany podmiot ma miejsce prowadzenia działalności o największej liczbie pracowników w Unii.

3.Jeżeli podmiot, o którym mowa w załącznikach I lub II do dyrektywy (UE) 2022/2555, nie ma siedziby w Unii, jednak oferuje usługi w Unii, wyznacza przedstawiciela w Unii. Przedstawiciel musi mieć siedzibę w jednym z tych państw członkowskich, w których oferowane są usługi. Uznaje się, że taki podmiot podlega jurysdykcji państwa członkowskiego, w którym przedstawiciel ma siedzibę. W przypadku gdy taki podmiot jest podmiotem, o którym mowa w ust. 1 lit. a), uznaje się, że podlega on jurysdykcji państwa członkowskiego, w którym świadczy usługi. W razie niewyznaczenia przedstawiciela w Unii na podstawie niniejszego artykułu państwo członkowskie, w którym dany podmiot świadczy usługi, może podjąć wobec tego podmiotu działania prawne w związku z naruszeniem niniejszego rozporządzenia.

4.Wyznaczenie przedstawiciela przez podmiot, o którym mowa w ust. 1 lit. b), pozostaje bez uszczerbku dla działań, które mogą zostać podjęte przeciwko samemu podmiotowi.

5.Państwa członkowskie, które otrzymały wniosek o wzajemną pomoc w odniesieniu do podmiotu, o którym mowa w ust. 1 lit. b), mogą – nie wykraczając poza zakres tego wniosku – zastosować odpowiednie środki nadzoru i egzekwowania przepisów w odniesieniu do danego podmiotu, w przypadku gdy świadczy ono usługi lub ma sieć i system informatyczny na ich terytorium.

TYTUŁ VI 
PRZEPISY KOŃCOWE

Artykuł 118
Procedura komitetowa

1.Komisję wspomaga komitet. Komitet ten ma dwa składy. W odniesieniu do tytułów II i III Komisję wspomaga komitet w pierwszym składzie, natomiast w odniesieniu do tytułu IV Komisję wspomaga komitet w drugim składzie. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2.W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011.

Artykuł 119
Wykonywanie przekazanych uprawnień

1.Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2.Uprawnienia do przyjęcia aktów delegowanych zgodnie z art. 80 ust. 2 i art. 110 ust. 5, powierza się Komisji na czas nieokreślony od dnia wejścia w życie niniejszego rozporządzenia.

3.Parlament Europejski lub Rada mogą w dowolnym czasie odwołać przekazanie uprawnień, o którym mowa w art. 80 ust. 2 i art. 110 ust. 5. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych. 

4.Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5.Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6.Akt delegowany przyjęty zgodnie z art. 80 ust. 2 lub art. 110 ust. 5 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie dwóch miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady. 

Artykuł 120
Ocena i przegląd

1.Do dnia [DD MM RRRR] r., a następnie co pięć lat Komisja zleca przeprowadzenie oceny zgodnie z wytycznymi Komisji.

2.Ocena, o której mowa w ust. 1, obejmuje ocenę:

a)wyników ENISA w odniesieniu do jej celów, mandatu, misji, zadań, zarządzania i lokalizacji;

b)skuteczności, efektywności i unijnej wartości dodanej europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa określonych w tytule II rozdział II sekcja 4 niniejszego rozporządzenia;

c)wpływu, skuteczności i efektywności przepisów tytułu III niniejszego rozporządzenia w odniesieniu do celów, którymi są zapewnienie odpowiedniego poziomu cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i podmiotów w Unii oraz poprawa funkcjonowania rynku wewnętrznego;

d)wpływu, skuteczności i efektywności przepisów tytułu IV niniejszego rozporządzenia w odniesieniu do celów ram zaufanego łańcucha dostaw ICT.

3.W ocenie, o której mowa w ust. 1 lit. a), uwzględnia się w szczególności ewentualną potrzebę zmiany mandatu ENISA oraz skutki finansowe jakiejkolwiek zmiany w tym zakresie.

4.Przy okazji co drugiej oceny, o której mowa w ust. 1 lit. a), Komisja ocenia wyniki osiągnięte przez ENISA z uwzględnieniem jej celów, mandatu, misji, zarządzania i zadań, co obejmuje ocenę kwestii, czy kontynuacja działalności ENISA jest nadal uzasadniona w odniesieniu do tych celów, mandatu, misji, zarządzania i zadań.

5.Komisja przekazuje ustalenia z oceny Parlamentowi Europejskiemu, Radzie i Zarządowi. Ustalenia z oceny podaje się do wiadomości publicznej.

Artykuł 121
Uchylenie i kontynuacja działań

1.Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 traci moc z dniem DD MM RRRR r.

2.Odesłania do rozporządzenia (UE) 2019/881, ENISA i europejskich programów certyfikacji cyberbezpieczeństwa ustanowionych tym rozporządzeniem traktuje się jako odesłania do niniejszego rozporządzenia i odczytuje zgodnie z tabelą korelacji zawartą w załączniku III do niniejszego rozporządzenia.

3.ENISA, podlegająca niniejszemu rozporządzeniu, kontynuuje operacje i działania ENISA ustanowionej rozporządzeniem (UE) 2019/881 w odniesieniu do wszystkich praw własności, umów, obowiązków prawnych, umów o pracę, zobowiązań finansowych i odpowiedzialności. Wszystkie decyzje Zarządu i Rady Wykonawczej przyjęte zgodnie z rozporządzeniem (UE) 2019/881 pozostają ważne, pod warunkiem że są one zgodne z niniejszym rozporządzeniem.

4.Dyrektor Wykonawczy powołany na podstawie art. 15 ust. 1 lit. n) rozporządzenia (UE) 2019/881 pozostaje na swoim stanowisku oraz wykonuje zadania i pełni obowiązki Dyrektora Wykonawczego określone w art. 32 niniejszego rozporządzenia przez pozostałą część kadencji Dyrektora Wykonawczego. Pozostałe warunki jego umowy pozostają niezmienione.

5.Propozycje programów, o których przygotowanie wnioskowano na podstawie art. 49 rozporządzenia (UE) 2019/881, uznaje się za programy, o które wnioskowano na podstawie odpowiednich przepisów niniejszego rozporządzenia. Przepisy tytułu III niniejszego rozporządzenia stosuje się odpowiednio do tych propozycji programów.

6.Członkowie Zarządu powołani przez Komisję i ich zastępcy powołani na podstawie art. 14 rozporządzenia (UE) 2019/881 pozostają na swoich stanowiskach i pełnią funkcje Zarządu określone w art. 27 niniejszego rozporządzenia przez pozostałą część swoich kadencji. Członkowie Zarządu powołani przez państwa członkowskie na podstawie art. 14 rozporządzenia (UE) 2019/881 pozostają na swoich stanowiskach i pełnią funkcje Zarządu określone w art. 27 niniejszego rozporządzenia, pod warunkiem, że pełnią funkcje, o których mowa w art. 24 ust. 3 niniejszego rozporządzenia.

Artykuł 122
Wejście w życie

Niniejsze rozporządzenie wchodzi w życie następnego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Strasburgu dnia r.

OCENA SKUTKÓW FINANSOWYCH I CYFROWYCH REGULACJI

1.STRUKTURA WNIOSKU/INICJATYWY3

1.1.Tytuł wniosku/inicjatywy3

1.2.Obszary polityki, których dotyczy wniosek/inicjatywa3

1.3.Cel(e)3

1.3.1.Cel(e) ogólny(-e)3

1.3.2.Cel(e) szczegółowy(-e)3

1.3.3.Oczekiwane wyniki i wpływ3

1.3.4.Wskaźniki dotyczące realizacji celów3

1.4.Wniosek/inicjatywa dotyczy:4

1.5.Uzasadnienie wniosku/inicjatywy4

1.5.1.Potrzeby, które należy zaspokoić w perspektywie krótko- lub długoterminowej, w tym szczegółowy terminarz przebiegu realizacji inicjatywy4

1.5.2.Wartość dodana z tytułu zaangażowania Unii Europejskiej (może wynikać z różnych czynników, na przykład korzyści koordynacyjnych, pewności prawa, większej efektywności lub komplementarności). Na potrzeby tej sekcji „wartość dodaną z tytułu zaangażowania Unii Europejskiej” należy rozumieć jako wartość wynikającą z unijnej interwencji, wykraczającą poza wartość, która zostałaby wytworzona przez same państwa członkowskie.4

1.5.3.Główne wnioski wyciągnięte z podobnych działań4

1.5.4.Spójność z wieloletnimi ramami finansowymi oraz możliwa synergia z innymi właściwymi instrumentami5

1.5.5.Ocena różnych dostępnych możliwości finansowania, w tym możliwości przegrupowania środków5

1.6.Czas trwania wniosku/inicjatywy i jego/jej wpływu finansowego6

1.7.Planowane metody wykonania budżetu6

2.ŚRODKI ZARZĄDZANIA8

2.1.Zasady nadzoru i sprawozdawczości8

2.2.System zarządzania i kontroli8

2.2.1.Uzasadnienie dla proponowanych metod wykonania budżetu, mechanizmów finansowania wykonania, sposobów dokonywania płatności i strategii kontroli8

2.2.2.Informacje dotyczące zidentyfikowanego ryzyka i systemów kontroli wewnętrznej ustanowionych w celu jego ograniczenia8

2.2.3.Oszacowanie i uzasadnienie efektywności kosztowej kontroli (relacja kosztów kontroli do wartości zarządzanych funduszy powiązanych) oraz ocena prawdopodobnego ryzyka błędu (przy płatności i przy zamykaniu)8

2.3.Środki zapobiegania nadużyciom finansowym i nieprawidłowościom9

3.SZACUNKOWY WPŁYW FINANSOWY WNIOSKU/INICJATYWY10

3.1.Działy wieloletnich ram finansowych i linie budżetowe po stronie wydatków, na które wniosek/inicjatywa ma wpływ10

3.2.Szacunkowy wpływ finansowy wniosku na środki12

3.2.1.Podsumowanie szacunkowego wpływu na środki operacyjne12

3.2.1.1.Środki z uchwalonego budżetu12

3.2.1.2.Środki z zewnętrznych dochodów przeznaczonych na określony cel17

3.2.2.Szacowany produkt finansowany ze środków operacyjnych22

3.2.3.Podsumowanie szacunkowego wpływu na środki administracyjne24

3.2.3.1. Środki z uchwalonego budżetu24

3.2.3.2.Środki z zewnętrznych dochodów przeznaczonych na określony cel24

3.2.3.3.Ogółem środki24

3.2.4.Szacowane zapotrzebowanie na zasoby ludzkie25

3.2.4.1.Finansowane z uchwalonego budżetu25

3.2.4.2.Finansowane z zewnętrznych dochodów przeznaczonych na określony cel26

3.2.4.3.Zapotrzebowanie na zasoby ludzkie ogółem26

3.2.5.Przegląd szacowanego wpływu na inwestycje związane z technologiami cyfrowymi28

3.2.6.Zgodność z obowiązującymi wieloletnimi ramami finansowymi28

3.2.7.Udział osób trzecich w finansowaniu28

3.3.Szacunkowy wpływ na dochody29

4.Wymiar cyfrowy29

4.1.Wymogi cyfrowe30

4.2.Dane30

4.3.Rozwiązania cyfrowe31

4.4.Ocena interoperacyjności31

4.5.Środki wspierające cyfrowe wdrażanie32

1.STRUKTURA WNIOSKU/INICJATYWY 

1.1.Tytuł wniosku/inicjatywy

1.2.Obszary polityki, których dotyczy wniosek/inicjatywa 

1.3.Cel(e)

1.3.1.Cel(e) ogólny(-e)

1.3.2.Cel(e) szczegółowy(-e)

1.3.3.Oczekiwane wyniki i wpływ

Należy wskazać, jakie efekty przyniesie wniosek/inicjatywa beneficjentom/grupie docelowej.

1.3.4.Wskaźniki dotyczące realizacji celów

Należy wskazać wskaźniki stosowane do monitorowania postępów i osiągnięć.

1.4.Wniosek/inicjatywa dotyczy: 

 nowego działania (tytuł IV „Łańcuch dostaw”, tytuł V „Uproszczenie”)

 nowego działania, będącego następstwem projektu pilotażowego/działania przygotowawczego 84  

 przedłużenia bieżącego działania (tytuł II „Mandat ENISA” i tytuł III „Certyfikacja”)

 połączenia lub przekształcenia co najmniej jednego działania pod kątem innego/nowego działania

1.5.Uzasadnienie wniosku/inicjatywy 

1.5.1.Potrzeby, które należy zaspokoić w perspektywie krótko- lub długoterminowej, w tym szczegółowy terminarz przebiegu realizacji inicjatywy

1.5.2.Wartość dodana z tytułu zaangażowania Unii Europejskiej (może wynikać z różnych czynników, na przykład korzyści koordynacyjnych, pewności prawa, większej efektywności lub komplementarności). Na potrzeby tej sekcji „wartość dodaną z tytułu zaangażowania Unii Europejskiej” należy rozumieć jako wartość wynikającą z unijnej interwencji, wykraczającą poza wartość, która zostałaby wytworzona przez same państwa członkowskie.

1.5.3.Główne wnioski wyciągnięte z podobnych działań

1.5.4.Spójność z wieloletnimi ramami finansowymi oraz możliwa synergia z innymi właściwymi instrumentami

1.5.5.Ocena różnych dostępnych możliwości finansowania, w tym możliwości przegrupowania środków

1.6.Czas trwania wniosku/inicjatywy i jego/jej wpływu finansowego

 Ograniczony czas trwania

–    Czas trwania wniosku/inicjatywy: od [DD/MM]RRRR r. do [DD/MM]RRRR r.

–    Czas trwania wpływu finansowego: od RRRR r. do RRRR r. w odniesieniu do środków na zobowiązania oraz od RRRR r. do RRRR r. w odniesieniu do środków na płatności.

 Nieograniczony czas trwania

–Wprowadzenie w życie z okresem rozruchu od RRRR r. do RRRR r.,

–po którym następuje faza operacyjna.

1.7.Planowane metody wykonania budżetu 

 Bezpośrednie zarządzanie przez Komisję

– w ramach jej służb, w tym za pośrednictwem jej pracowników w delegaturach Unii

– przez agencje wykonawcze

 Zarządzanie dzielone z państwami członkowskimi

 Zarządzanie pośrednie przez przekazanie zadań związanych z wykonaniem budżetu:

– państwom trzecim lub organom przez nie wyznaczonym

– organizacjom międzynarodowym i ich agencjom (wyszczególnić)

– Europejskiemu Bankowi Inwestycyjnemu i Europejskiemu Funduszowi Inwestycyjnemu

– organom, o których mowa w art. 70 i 71 rozporządzenia finansowego

– organom prawa publicznego

– podmiotom podlegającym prawu prywatnemu, które świadczą usługi użyteczności publicznej, w zakresie, w jakim są im zapewnione odpowiednie gwarancje finansowe

– podmiotom podlegającym prawu prywatnemu państwa członkowskiego, którym powierzono realizację partnerstwa publiczno-prywatnego i zapewniono odpowiednie gwarancje finansowe

– podmiotom lub osobom odpowiedzialnym za wykonanie określonych działań w dziedzinie wspólnej polityki zagranicznej i bezpieczeństwa na mocy tytułu V Traktatu o Unii Europejskiej oraz określonym we właściwym podstawowym akcie prawnym

– podmiotom mającym siedzibę w państwie członkowskim, podlegającym prawu prywatnemu państwa członkowskiego lub prawu Unii i kwalifikującym się, zgodnie z przepisami sektorowymi, do powierzenia im wykonywania środków finansowych Unii lub gwarancji budżetowych, w zakresie, w jakim podmioty te są kontrolowane przez podmioty prawa publicznego lub podmioty podlegające prawu prywatnemu świadczące usługi użyteczności publicznej, a także posiadają odpowiednie gwarancje finansowe w formie odpowiedzialności solidarnej organów kontrolnych lub równoważne gwarancje finansowe, które mogą być ograniczone, w odniesieniu do każdego działania, do maksymalnej kwoty wsparcia Unii.

Uwagi

2.ŚRODKI ZARZĄDZANIA 

2.1.Zasady nadzoru i sprawozdawczości 

2.2.System zarządzania i kontroli 

2.2.1.Uzasadnienie dla proponowanych metod wykonania budżetu, mechanizmów finansowania wykonania, sposobów dokonywania płatności i strategii kontroli

2.2.2.Informacje dotyczące zidentyfikowanego ryzyka i systemów kontroli wewnętrznej ustanowionych w celu jego ograniczenia

2.2.3.Oszacowanie i uzasadnienie efektywności kosztowej kontroli (relacja kosztów kontroli do wartości zarządzanych funduszy powiązanych) oraz ocena prawdopodobnego ryzyka błędu (przy płatności i przy zamykaniu) 

2.3.Środki zapobiegania nadużyciom finansowym i nieprawidłowościom 

3.SZACUNKOWY WPŁYW FINANSOWY WNIOSKU/INICJATYWY 

3.1.Działy wieloletnich ram finansowych i linie budżetowe po stronie wydatków, na które wniosek/inicjatywa ma wpływ 

·Istniejące linie budżetowe

Według działów wieloletnich ram finansowych i linii budżetowych

Dział wieloletnich ram finansowych	Linia budżetowa	Rodzaj środków	Wkład
	Numer	Zróżn. / niezróżn. 99	państw EFTA 100	krajów kandydujących i potencjalnych kandydatów 101	innych państw trzecich	pochodzący z pozostałych dochodów przeznaczonych na określony cel
	[XX.YY.YY.YY]	Niezróżn.	TAK	NIE	NIE	TAK/ NIE
	[XX.YY.YY.YY]	Zróżn. / niezróżn.	TAK/ NIE	TAK/ NIE	TAK/ NIE	TAK/ NIE
	[XX.YY.YY.YY]	Zróżn. / niezróżn.	TAK/ NIE	TAK/ NIE	TAK/ NIE	TAK/ NIE

·Proponowane nowe linie budżetowe

Według działów wieloletnich ram finansowych i linii budżetowych

Dział wieloletnich ram finansowych	Linia budżetowa	Rodzaj środków	Wkład
	Numer	Zróżn. / niezróżn.	państw EFTA	krajów kandydujących i potencjalnych kandydatów	innych państw trzecich	pochodzący z pozostałych dochodów przeznaczonych na określony cel
	[XX.YY.YY.YY]	Zróżn. / niezróżn.	TAK/ NIE	TAK/ NIE	TAK/ NIE	TAK/ NIE
	[XX.YY.YY.YY]	Zróżn. / niezróżn.	TAK/ NIE	TAK/ NIE	TAK/ NIE	TAK/ NIE
	[XX.YY.YY.YY]	Zróżn. / niezróżn.	TAK/ NIE	TAK/ NIE	TAK/ NIE	TAK/ NIE

3.2.Szacunkowy wpływ finansowy wniosku na środki 

3.2.1.Podsumowanie szacunkowego wpływu na środki operacyjne 

–    Wniosek/inicjatywa nie wiąże się z koniecznością wykorzystania środków operacyjnych

–    Wniosek/inicjatywa wiąże się z koniecznością wykorzystania środków operacyjnych, jak określono poniżej

3.2.1.1.Środki z uchwalonego budżetu

w mln EUR (do trzech miejsc po przecinku)

Agencja: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	OGÓŁEM WRF 2028–2034
Linia budżetowa: <…….>/Dodatkowy wkład z budżetu UE na rzecz Agencji	20 900 EUR	20 594 EUR	25 338 EUR	26 801 EUR	26 801 EUR	26 301 EUR	26 301 EUR	173,006

Środki/wkład z budżetu UE na rzecz agencji zostaną zrekompensowane przez obniżenie puli środków następującego programu: <…….>/następującej linii budżetowej: <…….>/w roku/latach: <…….> .

						Rok		Rok			Rok		Rok			Rok		Rok	Rok			OGÓŁEM WRF 2028–2034
						2028		2029			2030		2031			2032		2033	2034
OGÓŁEM środki operacyjne		Środki na zobowiązania		(4)		20 900 EUR		20 594 EUR			25 338 EUR		26 801 EUR			26 801 EUR		26 301 EUR	26 301 EUR			173,006
		Środki na płatności		(5)		20 900 EUR		20 594 EUR			25 338 EUR		26 801 EUR			26 801 EUR		26 301 EUR	26 301 EUR			173,006
OGÓŁEM środki administracyjne finansowane ze środków przydzielonych na określone programy				(6)		1,365		1 365			1,470		1,785			2,100		2,415	2,625			13,125
OGÓŁEM środki na DZIAŁ 2		Środki na zobowiązania				=4+6		22 265 EUR			21 959 EUR		26 808 EUR			28 586 EUR		28 901 EUR	28 716 EUR			28 926 EUR	186,161
wieloletnich ram finansowych		Środki na płatności				=5+6		22 265 EUR			20 890 EUR		24 851 EUR			26 254 EUR		26 254 EUR	25 754 EUR			25 754 EUR	186,161
Dyrekcja Generalna: CNECT									Rok			Rok		Rok	Rok		Rok			Rok	Rok			OGÓŁEM WRF 2028–2034
									2028			2029		2030	2031		2032			2033	2034
 Zasoby ludzkie									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Pozostałe wydatki administracyjne									0			0		0	0		0			0	0			0
OGÓŁEM DG CNECT	Środki		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
OGÓŁEM środki na DZIAŁ 4 wieloletnich ram finansowych					(Środki na zobowiązania ogółem = środki na płatności ogółem)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

w mln EUR (do trzech miejsc po przecinku)

			Rok		Rok		Rok		Rok		Rok		Rok		Rok		OGÓŁEM WRF 2028–2034
			2028		2029		2030		2031		2032		2033		2034
OGÓŁEM środki na DZIAŁY od 1 do 4	Środki na zobowiązania		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
wieloletnich ram finansowych		Środki na płatności		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Szacowany produkt finansowany ze środków operacyjnych (nie wypełniać w przypadku agencji zdecentralizowanych)

Środki na zobowiązania w mln EUR (do trzech miejsc po przecinku)

Określić cele i produkty 

Rok  2028

Rok  2029

Rok  2030

Rok  2031

Wprowadzić taką liczbę kolumn dla poszczególnych lat, jaka jest niezbędna, by odzwierciedlić cały okres wpływu (por. sekcja 1.6)

OGÓŁEM

PRODUKT

Rodzaj 102

Średni koszt

Liczba

Koszt

Liczba

Koszt

Liczba

Koszt

Liczba

Koszt

Liczba

Koszt

Liczba

Koszt

Liczba

Koszt

Liczba ogółem

Koszt całkowity

CEL SZCZEGÓŁOWY nr 1 103

- Produkt

- Produkt

- Produkt

Cel szczegółowy nr 1 – suma cząstkowa

CEL SZCZEGÓŁOWY nr 2

- Produkt

Cel szczegółowy nr 2 – suma cząstkowa

OGÓŁEM

3.2.3.Podsumowanie szacunkowego wpływu na środki administracyjne 

–    Wniosek/inicjatywa nie wiąże się z koniecznością wykorzystania środków administracyjnych

–    Wniosek/inicjatywa wiąże się z koniecznością wykorzystania środków administracyjnych, jak określono poniżej

3.2.3.1. Środki z uchwalonego budżetu

(dodatkowe)

ZATWIERDZONE ŚRODKI	Rok	Rok	Rok	Rok	Rok	Rok	Rok	OGÓŁEM 2028–2034
	2028	2029	2030	2031	2032	2033	2034
DZIAŁ 4
Zasoby ludzkie	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Pozostałe wydatki administracyjne	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Suma cząstkowa DZIAŁ 4	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Poza DZIAŁEM 4
Zasoby ludzkie	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Pozostałe wydatki o charakterze administracyjnym	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Suma cząstkowa poza DZIAŁEM 4	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
OGÓŁEM	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Szacowane zapotrzebowanie na zasoby ludzkie (dodatkowe)

–    Wniosek/inicjatywa nie wiąże się z koniecznością wykorzystania zasobów ludzkich

–    Wniosek/inicjatywa wiąże się z koniecznością wykorzystania zasobów ludzkich, jak określono poniżej

3.2.4.1.Finansowane z uchwalonego budżetu

Wartości szacunkowe należy wyrazić w ekwiwalentach pełnego czasu pracy (EPC) 104

ZATWIERDZONE ŚRODKI		Rok	Rok	Rok	Rok	Rok	Rok	Rok
		2028	2029	2030	2031	2032	2033	2034
 Stanowiska przewidziane w planie zatrudnienia (stanowiska urzędników i pracowników zatrudnionych na czas określony)
20 01 02 01 (w centrali i w biurach przedstawicielstw Komisji)		12	12	16	18	20	22	25
20 01 02 03 (w delegaturach UE)		0	0	0	0	0	0	0
(Pośrednie badania naukowe)		0	0	0	0	0	0	0
(Bezpośrednie badania naukowe)		0	0	0	0	0	0	0
Inna linia budżetowa (określić)		0	0	0	0	0	0	0
• Personel zewnętrzny (w EPC)
20 02 01 (CA, SNE z globalnej koperty finansowej)		0	0	0	0	0	0	0
20 02 03 (CA, LA, SNE i JPD w delegaturach UE)		0	0	0	0	0	0	0
Linia budżetowa na wsparcie adm.	- w centrali	0	0	0	0	0	0	0
[XX.01.YY.YY]	- w delegaturach UE	0	0	0	0	0	0	0
(CA, SNE – pośrednie badania naukowe)		0	0	0	0	0	0	0
(CA, SNE – bezpośrednie badania naukowe)		0	0	0	0	0	0	0
Inna linia budżetowa (określić) – dział 4		0	0	0	0	0	0	0
Inna linia budżetowa (określić) – poza działem 4		13	13	14	17	20	23	25
OGÓŁEM		25	25	30	35	40	45	50

Personel niezbędny do wdrożenia wniosku (w EPC):

	Personel już pracujący w służbach Komisji	Personel dodatkowy
		Finansowany z działu 7 lub ze środków „Badania naukowe”	Finansowany z linii BA	Finansowany z opłat
Stanowiska w planie zatrudnienia		25
Personel zewnętrzny (CA, SNE, INT)			25

Szacunkowy wpływ na wydatki i personel w 2028 r. i w kolejnych latach ma charakter orientacyjny i nie przesądza o kolejnych wieloletnich ramach finansowych. Źródło finansowania i zakres zobowiązań finansowych Unii w okresie po 2027 r. nadal zależą od wyniku negocjacji międzyinstytucjonalnych w sprawie WRF na lata 2028–2034 oraz rocznej procedury budżetowej i mechanizmu sterującego.

Opis zadań do wykonania przez sektorową dyrekcję generalną w Komisji

Urzędnicy i pracownicy zatrudnieni na czas określony

Koordynacja ENISA (1): Reprezentowanie Komisji w Zarządzie Agencji. Sporządzanie opinii Komisji na temat jednolitego dokumentu programowego ENISA i monitorowanie jego wprowadzenia w życie. Nadzorowanie sporządzania budżetu Agencji i monitorowanie jego wykonania. Wspomaganie Agencji w prowadzeniu działalności zgodnie z kierunkiem polityki Unii, w tym poprzez udział w odpowiednich posiedzeniach. Programy poświadczeń umiejętności/Akademia Umiejętności (2): Dodatkowy personel w CNECT będzie potrzebny do przygotowania aktów wykonawczych ustanawiających opłaty, które ENISA będzie pobierać od wnioskodawców ubiegających się o status upoważnionych dostawców. Tych aktów wykonawczych będzie co najmniej 12, po jednym na każdy profil europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa. Łańcuch dostaw (25) Wspieranie przygotowywania unijnych skoordynowanych ocen ryzyka. Przeprowadzenie analizy ekonomicznej w odniesieniu do każdego rozpatrywanego produktu ICT, usługi ICT. Opracowywanie odpowiednich aktów wykonawczych dotyczących identyfikacji kluczowych aktywów, proponowanych środków ograniczających ryzyko i wskazywania państw stwarzających strategiczne ryzyko w cyberprzestrzeni w odniesieniu do konkretnych kluczowych aktywów, identyfikacji dostawców wysokiego ryzyka, weryfikacji wniosków o zwolnienie i przygotowywania decyzji Komisji. Wspieranie wdrażania przyjętych środków i nadzoru nad nimi. Europejskie ramy certyfikacji cyberbezpieczeństwa, normalizacja i wdrażanie powiązanych działań, wdrożenie dyrektywy NIS 2 (17): Egzekwowanie aktu o cyberbezpieczeństwie, w szczególności zarządzanie jednostkami oceniającymi zgodność (kwestionowanie odpowiedzialności) Zaangażowanie zainteresowanych stron (i Zgromadzenia) Wzajemne uznawanie z państwami trzecimi Opracowanie znormalizowanego aktu wykonawczego (szczegółowe wnioski podlegające konsultacjom i opracowanie wzorcowych przepisów) Utrzymanie programu, przegląd prawny, procedura komitetowa Koordynacja z grupą współpracy NIS i utrzymanie systemu podmiotów Akty wykonawcze na podstawie dyrektywy NIS 2 Dostosowanie jednostek oceniających zgodność do aktu o cyberbezpieczeństwie, domniemanie zgodności + normalizacja Koordynacja między nadzorem rynku a krajowymi organami ds. cyberbezpieczeństwa Dostosowanie techniczne między aktem dotyczącym cyberodporności a programami certyfikacji Koordynacja operacyjna i orientacja sytuacyjna (5): Wiedza fachowa dotycząca sektora i podmiotów stwarzających zagrożenie jako wkład w orientację sytuacyjną na szczeblu unijnym w zakresie zagrożeń dla infrastruktury krytycznej, w tym za pośrednictwem powstających technologii Koordynacja z ENISA oraz innymi podmiotami i sieciami UE w celu przygotowania się na poważne cyberincydenty na dużą skalę

Personel zewnętrzny

Jak wyżej

Opis dodatkowych zadań do wykonania przez ENISA:

Urzędnicy i pracownicy zatrudnieni na czas określony

Zarządzanie rezerwą cyberbezpieczeństwa UE (zarządcy krajowi i wsparcie wdrażania, przy czym rzeczywiste koszty operacyjne rezerwy są pokrywane zgodnie z aktem w sprawie cybersolidarności) (10) Zarządzanie pojedynczą platformą sprawozdawczą na potrzeby aktu dotyczącego cyberodporności (działanie) (9) Usługi w zakresie podatności związane z pojedynczą platformą sprawozdawczą (4) Rozszerzenie pojedynczej platformy sprawozdawczej na pojedynczy punkt kontaktowy (opracowanie i eksploatacja) (8) Opracowanie wytycznych technicznych, rozwój wiedzy fachowej na temat bezpieczeństwa produktów i przygotowanie analiz rynku w celu wspierania wdrażania aktu dotyczącego cyberodporności (7) Normalizacja wspierająca wdrażanie aktu dotyczącego cyberodporności/certyfikacji/dyrektywy NIS 2 (4) Wspieranie działań w zakresie nadzoru rynku na podstawie aktu dotyczącego cyberodporności (4) Wspieranie badań zgodności i ocen bezpieczeństwa produktów (4) Wspieranie państw członkowskich we wzajemnej pomocy (3) Świadczenie usług zarządzania podatnościami, utrzymywanie bazy danych dotyczących skoordynowanego ujawniania podatności oraz pełnienie funkcji doradczych i związanych ze wzbogacaniem (skoordynowane ujawnianie podatności) (15) Współpraca operacyjna i orientacja sytuacyjna – platformy służące ograniczaniu ryzyka i wsparciu, takie jak unijna sieć CSIRT/CyCLONe; wspieranie zadań związanych z notyfikacjami ostrzegawczymi; wspieranie ściślejszej koordynacji z innymi odpowiednimi podmiotami w celu opracowania repozytoriów zweryfikowanych i wiarygodnych analiz zagrożeń cyberbezpieczeństwa(art. 11 ust. 1a drugiego aktu o cyberbezpieczeństwie) (5) Wspieranie odporności sektorów krytycznych (w tym wdrożenie planu działania w sprawie cyberbezpieczeństwa w opiece zdrowotnej) (4) Opracowanie programu poświadczeń umiejętności (2) Utrzymanie programu poświadczeń umiejętności i nadzór nad nim (6) Administracja (księgowy ds. opłat/zasoby ludzkie/IT) (8) Utrzymanie programów certyfikacji (11) Zadania horyzontalne – zwiększone zaangażowanie zainteresowanych stron, opracowanie specyfikacji technicznych i zaangażowanie w działania normalizacyjne wspierające programy (1)

Personel zewnętrzny

Jak wyżej Dwóch obowiązkowych oddelegowanych ekspertów krajowych z każdego państwa członkowskiego mających wspierać działania Agencji i pełnić funkcję krajowych urzędników łącznikowych, ze szczególnym uwzględnieniem współpracy operacyjnej i skoordynowanego ujawniania podatności na zagrożenia. (13) Przewiduje się, że pozostałych 27 oddelegowanych ekspertów krajowych nie będzie generować kosztów, w związku z czym nie mają oni wpływu na budżet.

Dodatkowe roczne koszty operacyjne dla ENISA w latach 2028–2034:

Koszt	Budżet	Ramy czasowe	Wyjaśnienie
Strona internetowa poświęcona umiejętnościom w dziedzinie cyberbezpieczeństwa	750 000 EUR	50 % w 2029 r. 50 % w 2030 r.	Aby zapewnić przejrzystość procedur, we wniosku zobowiązano ENISA do prowadzenia strony internetowej obejmującej profile europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa, programy poświadczeń, informacje na temat opłat za każdy program, zalecane opłaty za każde poświadczenie oraz wykaz upoważnionych dostawców poświadczeń.
Skoordynowane ujawnianie podatności:	1 mln EUR	Od 2028 r.	Bezpieczeństwo produktów i usług wykorzystywanych w naszej infrastrukturze krytycznej zależy w dużej mierze od wymiany w odpowiednim czasie informacji o wykrytych podatnościach i sposobach ich ograniczania.
Analiza zagrożeń cyberbezpieczeństwa	3 mln EUR	Od 2028 r.	W celu stworzenia obrazu orientacji sytuacyjnej we współpracy ENISA i Komisja.
Pojedynczy punkt kontaktowy	8 mln EUR	6 mln EUR w 2028 r. 500 tys. EUR w 2029 r. 500 tys. EUR w 2030 r. 500 tys. EUR w 2031 r. 500 tys. EUR w 2032 r.	Aby umożliwić realizację wniosku Komisji w sprawie aktu zbiorczego prawa cyfrowego mającego na celu uproszczenie wypełniania obowiązków w zakresie zgłaszania incydentów w cyberbezpieczeństwie i naruszeń ochrony danych poprzez opracowanie i utrzymanie pojedynczego punktu kontaktowego.
Utrzymanie pojedynczej platformy sprawozdawczej na potrzeby aktu dotyczącego cyberodporności i inne działania	3 mln EUR	Od 2028 r.	Pojedyncza platforma sprawozdawcza wprowadzona przez współprawodawców jest największym systemem informatycznym w historii ENISA i kluczowym filarem aktu dotyczącego cyberodporności. Zatrudnienie jest obecnie finansowane na podstawie umowy o przyznanie wkładu, ale bieżące nim zarządzanie będzie wymagało EPC (zob. powyżej), jak również kosztów operacyjnych. ENISA ma do odegrania kluczową rolę w zapewnieniu powodzenia unijnych ram bezpieczeństwa produktów – aktu dotyczącego cyberodporności.
Bezpieczna komunikacja i dojrzałość ENISA pod względem cyberbezpieczeństwa	co najmniej 2 mln EUR	Inwestycje o wartości 1,1 mln EUR w 2028 r. (platformy CyCLONe/CSIRT + bezpieczna komunikacja) 1 mln EUR rocznie na utrzymanie od 2029 r. 1,5 mln EUR – dojrzałość pod względem cyberbezpieczeństwa	Zapewnienie cyberbezpieczeństwa Agencji i narzędzi komunikacji.
Utrzymanie certyfikacji cyberbezpieczeństwa	1 400 000 mln EUR	600 tys. EUR w 2028 r. 1 000 000 EUR w 2029 r. 1 200 000 EUR w 2030 r. 1 400 00 EUR w 2031 r. 1 400 000 EUR w 2032 r. 1 400 000 EUR w 2033 r. 1 400 000 EUR w 2034 r.	Pokryte z opłat (w pełni od 2032 r.)
Programy poświadczeń w dziedzinie cyberbezpieczeństwa	212 920 EUR	Od 2030 r. 50 % pokrywane z budżetu UE	W pełni pokrywane z opłat od 2033 r.

3.2.5.Przegląd szacowanego wpływu na inwestycje związane z technologiami cyfrowymi

Obowiązkowo w tabeli poniżej: szacowany wpływ wniosku/inicjatywy na inwestycje związane z technologiami cyfrowymi.

W wyjątkowych przypadkach, jeżeli wymaga tego realizacja wniosku/inicjatywy, we wskazanym wierszu należy podać środki z działu 4.

Środki z działów 1–3 należy podać w wierszu „Wydatki na IT wynikające z realizacji polityki tytułem programów operacyjnych”. Wydatki te odnoszą się do budżetu operacyjnego na ponowne wykorzystanie / zakup / rozwój platform / narzędzi informatycznych bezpośrednio związanych z realizacją inicjatywy oraz powiązanych z nimi inwestycji (np. licencje, badania, przechowywanie danych). Informacje podane w tej tabeli powinny zgadzać się z informacjami przedstawionymi w sekcji 4 „Wymiar cyfrowy”.

OGÓŁEM środki na IT i technologie cyfrowe	Rok	Rok	Rok	Rok	Rok	Rok	Rok	OGÓŁEM WRF 2028–2034
	2028	2029	2030	2031	2032	2033	2034
DZIAŁ 4
Wydatki na IT (ponoszone przez organizację)	0	0	0	0	0	0	0	0
Suma cząstkowa DZIAŁ 4	0	0	0	0	0	0	0	0
Poza DZIAŁEM 4
Wydatki na IT wynikające z realizacji polityki tytułem programów operacyjnych	0	0	0	0	0	0	0	0
Suma cząstkowa poza DZIAŁEM 4	0	0	0	0	0	0	0	0
OGÓŁEM	0	0	0	0	0	0	0	0

3.2.6.Zgodność z obowiązującymi wieloletnimi ramami finansowymi 

Wniosek/inicjatywa:

–    może zostać w pełni sfinansowany(-a) przez przegrupowanie środków w ramach odpowiedniego działu wieloletnich ram finansowych (WRF)

–    wymaga zastosowania nieprzydzielonego marginesu środków w ramach odpowiedniego działu WRF lub zastosowania specjalnych instrumentów zdefiniowanych w rozporządzeniu w sprawie WRF

–    wymaga rewizji WRF

3.2.7.Udział osób trzecich w finansowaniu 

Wniosek/inicjatywa:

–    nie przewiduje współfinansowania ze strony osób trzecich

–    przewiduje współfinansowanie ze strony osób trzecich zgodnie z poniższymi szacunkami:

środki w mln EUR (do trzech miejsc po przecinku)

	Rok  2028	Rok  2029	Rok  2030	Rok  2031	Ogółem
Określić organ współfinansujący
OGÓŁEM środki objęte współfinansowaniem

3.2.8Szacowane zasoby ludzkie i wykorzystanie wymaganych środków w agencji zdecentralizowanej

Dodatkowe zapotrzebowanie kadrowe (w EPC)

Agencja: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034
Pracownicy zatrudnieni na czas określony (grupy zaszeregowania AD)	5	11	17	19	19	19	19
Pracownicy zatrudnieni na czas określony (grupy zaszeregowania AST)	4	7	11	12	12	12	12
Pracownicy na czas określony (AD+AST) – suma cząstkowa	9	18	28	31	31	31	31
Pracownicy kontraktowi	22	44	66	74	74	74	74
Oddelegowani eksperci krajowi	4	8	11	13	13	13	13
Pracownicy kontraktowi i oddelegowani eksperci krajowi – suma cząstkowa	26	52	77	87	87	87	87
OGÓŁEM personel	35	70	105	118	118	118	118

Środki pokrywane z wkładu z budżetu UE w mln EUR (do trzech miejsc po przecinku)

Agencja: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	OGÓŁEM 2028–2034
Tytuł 1: Wydatki na personel	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Tytuł 2: Wydatki na infrastrukturę i wydatki operacyjne
Tytuł 3: Wydatki operacyjne	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
OGÓŁEM środki pokrywane z budżetu UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Środki pokrywane z opłat, jeżeli dotyczy, w mln EUR (do trzech miejsc po przecinku)

Agencja: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	OGÓŁEM 2028–2034
Tytuł 1: Wydatki na personel		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Tytuł 2: Wydatki na infrastrukturę i wydatki operacyjne								0,000
Tytuł 3: Wydatki operacyjne								0,000
OGÓŁEM środki pokrywane z opłat	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Przegląd/podsumowanie zasobów ludzkich i środków (w mln EUR) wymaganych do realizacji wniosku/inicjatywy w agencji zdecentralizowanej

Agencja: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	OGÓŁEM 2028–2034
Pracownicy na czas określony (AD+AST)	9	18	28	31	31	31	31	31
Pracownicy kontraktowi	22	44	66	74	74	74	74	74
Oddelegowani eksperci krajowi	4	8	11	13	13	13	13	13
Ogółem personel	35	70	105	118	118	118	118	118
Środki pokrywane z budżetu UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Środki pokrywane z opłat (jeżeli dotyczy)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Środki pokrywane ze współfinansowania (jeżeli dotyczy)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
OGÓŁEM środki	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Szacunkowy wpływ na dochody 

–    Wniosek/inicjatywa nie ma wpływu finansowego na dochody

–    Wniosek/inicjatywa ma wpływ finansowy określony poniżej:

–    wpływ na zasoby własne

–    wpływ na dochody inne

–    Wskazać, czy dochody są przypisane do linii budżetowej po stronie wydatków

w mln EUR (do trzech miejsc po przecinku)

Linia budżetowa po stronie dochodów	Środki zapisane w budżecie na bieżący rok budżetowy	Wpływ wniosku/inicjatywy 105
		Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034
Artykuł …

W przypadku wpływu na dochody przeznaczone na określony cel należy wskazać linie budżetowe po stronie wydatków, które ten wpływ obejmie.

Pozostałe uwagi (np. metoda/wzór użyte do obliczenia wpływu na dochody albo inne informacje).

4. Wymiar cyfrowy

4.1.Wymogi cyfrowe

Ogólny opis wymogów cyfrowych i powiązanych kategorii (dane, cyfryzacja i automatyzacja procesu, rozwiązania cyfrowe lub cyfrowe usługi publiczne)

Odniesienie do wymogu  Opis wymogu  Podmioty, których dotyczy wymóg lub na które wymóg ten ma wpływ  Procesy ogólne  Kategorie  art. 5 ust. 1 lit. a) Wsparcie wdrażania prawa UE a)    wspieranie państw członkowskich w spójnym wdrażaniu polityki i prawa Unii w zakresie cyberbezpieczeństwa, w tym poprzez wydawanie wytycznych technicznych i sprawozdań, udzielanie porad i udostępnianie najlepszych praktyk oraz ułatwianie wymiany najlepszych praktyk w tym zakresie między właściwymi organami; – ENISA – państwa członkowskie  – przetwarzanie danych w celu wydawania wytycznych technicznych, sprawozdań, udzielania porad i wymiany najlepszych praktyk oraz ułatwianie wymiany najlepszych praktyk między właściwymi organami – ułatwianie wymiany najlepszych praktyk  Przetwarzanie danych Przepływ danych art. 5 ust. 1 lit. b) Wsparcie wdrażania prawa UE b)    wspieranie wymiany informacji w ramach sektorów i między sektorami, w szczególności w odniesieniu do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz produktów z elementami cyfrowymi objętych zakresem rozporządzenia (UE) 2024/2847, poprzez zapewnienie najlepszych praktyk i wytycznych dotyczących dostępnych narzędzi i procedur  – ENISA – sektory wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555 – Zainteresowane strony, na które ma wpływ rozporządzenie (UE) 2024/2847 zapewnienie najlepszych praktyk i wytycznych dotyczących dostępnych narzędzi i procedur wymiany informacji  Przetwarzanie danych Przepływ danych art. 5 ust. 1 lit. c) Wsparcie wdrażania prawa UE c)    na wniosek Komisji wspieranie państw członkowskich poprzez udzielanie wsparcia, takiego jak wytyczne techniczne, w tym wytyczne dotyczące środków zarządzania ryzykiem w cyberprzestrzeni, narzędzi oceny dojrzałości pod względem cyberbezpieczeństwa oraz podręczników reagowania na incydenty, dostosowanych do sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555, w celu ułatwienia poprawy ich poziomu dojrzałości pod względem cyberbezpieczeństwa i zgodności z prawem Unii dotyczącym cyberbezpieczeństwa; – Komisja Europejska   – ENISA – sektory wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555 Zapewnianie wytycznych technicznych  Przetwarzanie danych Przepływ danych art. 5 ust. 1 lit. e) pomoc państwom członkowskim oraz odpowiednim podmiotom unijnym przy opracowywaniu i propagowaniu polityk cyberbezpieczeństwa dotyczących utrzymywania ogólnej dostępności i integralności publicznego rdzenia otwartego internetu;   ENISA Państwa członkowskie Podmioty UE  Pomoc w opracowywaniu i promowaniu polityki cyberbezpieczeństwa  Przetwarzanie danych Przepływ danych art. 5 ust. 1 lit. f) Wsparcie wdrażania prawa UE f)    zgodnie z rozporządzeniem (UE) 2024/2847 udzielanie porad i wsparcia technicznego w kwestiach związanych z wdrażaniem i egzekwowaniem tego rozporządzenia – ENISA – Zainteresowane strony, na które ma wpływ rozporządzenie (UE) 2024/2847 Zapewnienie doradztwa i wsparcia technicznego wymaga przetwarzania i wymiany informacji na temat wymogów regulacyjnych, wyzwań związanych z wdrażaniem i wytycznych dotyczących zgodności. Przetwarzanie danych Przepływ danych art. 5 ust. 1 lit. h) h) na wniosek Europejskiej Rady Ochrony Danych – zapewnianie doradztwa w zakresie wdrażania konkretnych aspektów cyberbezpieczeństwa w polityce i prawie Unii związanych z ochroną danych i prywatnością. ENISA EROD   Udzielanie porad na wniosek Przetwarzanie danych Przepływ danych art. 5 ust. 2 Wkład w oceny ryzyka w cyberprzestrzeni na szczeblu unijnym   ENISA wnosi wkład w skoordynowane oceny ryzyka w cyberprzestrzeni na szczeblu unijnym, w tym oceny przeprowadzane na podstawie art. 22 dyrektywy (UE) 2022/2555.   ENISA Państwa członkowskie Ogół społeczeństwa  Wnoszenie wkładu w skoordynowane oceny ryzyka, co wymaga przetwarzania danych i przepływu danych Przetwarzanie danych Przepływ danych  art. 5 ust. 3 ENISA wydaje wytyczne ENISA wydaje wytyczne dotyczące interoperacyjności sieci i systemów informatycznych wykorzystywanych do wymiany informacji, w tym w odniesieniu do transgranicznych centrów cyberbezpieczeństwa, o których mowa w art. 6 ust. 3 rozporządzenia (UE) 2025/38. ENISA Państwa członkowskie ENISA wydaje wytyczne Przetwarzanie danych Przepływ danych art. 5 ust. 5 Wsparcie dla Komisji Na wniosek Komisji ENISA zapewnia wiedzę fachową, doradztwo techniczne, informacje lub analizy lub prowadzi prace przygotowawcze dotyczące konkretnych kwestii związanych z cyberbezpieczeństwem w celu informowania Komisji o kształtowaniu polityki i monitorowaniu wdrażania przepisów Unii. Komisja Europejska ENISA Przygotowywanie i przekazywanie informacji Komisji Przetwarzanie danych Przepływ danych art. 6 Budowanie zdolności ENISA udziela pomocy, zapewniając wiedzę i doświadczenie, najlepsze praktyki itp. ENISA Państwa członkowskie Podmioty UE Zainteresowane strony z sektora publicznego i prywatnego Organy nadzoru rynku Członkowie ECCG ECCC Wymiana wiedzy i doświadczenia  Przetwarzanie danych Przepływ danych art. 7 Podnoszenie świadomości i pula talentów ENISA wspiera państwa członkowskie w ich wysiłkach na rzecz podnoszenia świadomości na temat polityki i prawodawstwa Unii w zakresie cyberbezpieczeństwa oraz promowania ich widoczności przez opracowywanie użytecznych narzędzi i wytycznych. ENISA wspiera inicjatywy mające na celu zwiększenie europejskiej puli talentów w dziedzinie cyberbezpieczeństwa, w szczególności dzięki koordynację konkursów. ENISA Państwa członkowskie Opracowanie użytecznych narzędzi i wytycznych Przetwarzanie danych art. 8 ust. 1 Znajomość rynku i analizy rynkowe ENISA przeprowadza i rozpowszechnia analizy głównych tendencji na rynku cyberbezpieczeństwa zarówno po stronie popytu, jak i podaży, w szczególności w odniesieniu do obszarów, w których istnieją lub są planowane europejskie programy certyfikacji cyberbezpieczeństwa, sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz kategorii produktów objętych rozporządzeniem (UE) 2024/2847, w tym załącznikami III i IV do tego rozporządzenia. ENISA Sektory wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555 Kategorie produktów objęte rozporządzeniem (UE) 2024/2847 Przeprowadzanie i rozpowszechnianie analiz Przetwarzanie danych Przepływ danych art. 8 ust. 2 Znajomość rynku i analizy rynkowe ENISA przeprowadza i rozpowszechnia analizy tendencji technologicznych w dziedzinie cyberbezpieczeństwa, w szczególności w odniesieniu do działań i podmiotów objętych zakresem dyrektywy (UE) 2022/2555 oraz produktów z elementami cyfrowymi objętych zakresem rozporządzenia (UE) 2024/2847. ENISA Ogół społeczeństwa, zainteresowane strony w rozumieniu dyrektywy (UE) 2022/2555 i rozporządzenia (UE) 2024/2847 Przeprowadzanie i rozpowszechnianie analiz Przetwarzanie danych Przepływ danych art. 8 ust. 3 Znajomość rynku i wsparcie dla ekosystemów ENISA gromadzi wiedzę i rozpowszechnia porady techniczne i analizy dotyczące najnowocześniejszych narzędzi, norm ramowych i najlepszych praktyk w zakresie cyberbezpieczeństwa. ENISA Ogół społeczeństwa Rozpowszechnianie porad technicznych i analiz dotyczących najnowocześniejszych narzędzi, norm ramowych i najlepszych praktyk w zakresie cyberbezpieczeństwa. Przetwarzanie danych Przepływ danych art. 9 Współpraca międzynarodowa   ENISA wnosi wkład, analizując wyniki międzynarodowych ćwiczeń i składając Zarządowi sprawozdania na ten temat, ułatwiając wymianę najlepszych praktyk, zapewniając Komisji wiedzę fachową i doradztwo. Odbiorcy międzynarodowi ENISA Zarząd ENISA Komisja Europejska Analiza i sprawozdawczość; udzielanie porad itp.   Przetwarzanie danych Przepływ danych   art. 10 ust. 2 i 3 Współpraca operacyjna 2.    ENISA jest członkiem sieci krajowych CSIRT ustanowionej na podstawie art. 15 ust. 1 dyrektywy (UE) 2022/2555 i zapewnia obsługę sekretariatu sieci CSIRT na podstawie art. 15 ust. 2 dyrektywy (UE) 2022/2555. 3.    ENISA zapewnia obsługę sekretariatu europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe) zgodnie z art. 16 ust. 2 akapit drugi dyrektywy (UE) 2022/2555. ENISA  CSIRT (art. 15 ust. 1 dyrektywy (UE) 2022/2555)  EU-CyCLONe (art. 16 ust. 2 dyrektywy (UE) 2022/2555.)  Ułatwianie wymiany informacji, wykonywanie obowiązków w zakresie obsługi sekretariatu sieci Przepływ danych Rozwiązanie cyfrowe Cyfrowa usługa publiczna    art. 11 ust. 1 lit. b) Orientacja sytuacyjna   art. 12 Wczesne ostrzeżenia  wydawanie wczesnych ostrzeżeń zgodnie z art. 12   Komisja Europejska ENISA Europolu EU-CyCLONe Sieć CSIRT  CERT-UE Podmioty wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555 Wydawanie wczesnych ostrzeżeń Przetwarzanie danych Przepływ danych Cyfrowa usługa publiczna art. 10 ust. 4 lit. b) Współpraca operacyjna b)    na wniosek co najmniej jednego państwa członkowskiego – zapewnianie doradztwa i ocen w odniesieniu do konkretnego potencjalnego lub trwającego incydentu lub zagrożenia cyberbezpieczeństwa, w tym poprzez zapewnianie wiedzy fachowej i ułatwianie technicznego postępowania w przypadku takich incydentów, a także poprzez wspieranie dobrowolnej wymiany odpowiednich informacji i rozwiązań technicznych między państwami członkowskimi;  ENISA Państwa członkowskie Zapewnianie doradztwa i ocen w związku z konkretnym potencjalnym lub trwającym incydentem lub zagrożeniem cyberbezpieczeństwa; ułatwianie technicznego postępowania w przypadku takich incydentów; wspieranie dobrowolnej wymiany istotnych informacji i rozwiązań technicznych między państwami członkowskimi Przetwarzanie danych Przepływ danych Cyfrowe usługi publiczne art. 10 ust. 4 lit. c) Współpraca operacyjna c)    analiza podatności, zagrożeń i incydentów; ENISA Państwa członkowskie Gromadzenie danych ze źródeł publicznych i wymiana danych z państwami członkowskimi  Przetwarzanie danych Przepływ danych art. 10 ust. 4 lit. d) Współpraca operacyjna d) udzielanie wsparcia, na wniosek co najmniej jednego państwa członkowskiego, w zakresie technicznych postępowań wyjaśniających ex post dotyczących poważnych incydentów w rozumieniu dyrektywy (UE) 2022/2555; ENISA Państwa członkowskie Analiza i wsparcie w odpowiedzi na techniczne postępowania wyjaśniające dotyczące incydentów Przetwarzanie danych Przepływ danych art. 10 ust. 4 lit. e) Współpraca operacyjna e)    wkład we wspieranie skoordynowanego zarządzania incydentami i kryzysami w cyberbezpieczeństwie na dużą skalę na poziomie operacyjnym, w szczególności dzięki wspieraniu EU-CyCLONe w przygotowywaniu sprawozdań na szczeblu politycznym poprzez ułatwianie terminowej wymiany informacji między siecią CSIRT a EU-CyCLONe;  ENISA EU-CyCLONe Sieć CSIRT  Analizowanie danych w celu wsparcia przygotowywania sprawozdań; ułatwianie terminowej wymiany informacji między sieciami Przetwarzanie danych Przepływ danych Cyfrowa usługa publiczna  art. 10 ust. 5 Współpraca operacyjna Na wniosek państwa członkowskiego lub podmiotu unijnego we współpracy z CERT-UE ENISA promuje spójną komunikację publiczną w zawiązku z incydentem lub zagrożeniem cyberbezpieczeństwa. ENISA Państwa członkowskie Przyjmowanie wniosków i komunikacja, w razie potrzeby Przepływ danych art. 10 ust. 6 Współpraca operacyjna ENISA wspiera współpracę między państwami członkowskimi oraz – za pośrednictwem CERT-UE – między podmiotami unijnymi w zakresie wdrażania bezpiecznych narzędzi komunikacji. ENISA korzysta w ramach sieci CSIRT i EU-CyCLONe z bezpiecznych narzędzi komunikacji dostarczanych przez podmioty prawne, które nie mają siedziby w państwach trzecich ani nie są kontrolowane przez państwa trzecie lub przez obywateli państw trzecich.     ENISA Komisja Europejska Państwa członkowskie Podmioty UE Sieć CSIRT EU-CyCLONe Wspieranie wdrażania bezpiecznych narzędzi komunikacji i wykorzystywanie takich narzędzi w ramach sieci CSIRT i EU-CyCLONe.  Rozwiązanie cyfrowe  Cyfrowa usługa publiczna  art. 11 ust. 1 lit. a) Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa  a)    opracowanie we współpracy z EU-CyCLONe, siecią CSIRT, Komisją, CERT-UE, Europolem i innymi odpowiednimi podmiotami Unii repozytoriów zweryfikowanych, wiarygodnych analiz zagrożeń cyberbezpieczeństwa, w tym tendencji w zakresie incydentów, taktyk, technik i procedur; Komisja Europejska ENISA EU-CyCLONe Sieć CSIRT Europolu Podmioty UE CERT-UE Opracowywanie repozytoriów  Przepływ cyfrowy Rozwiązanie cyfrowe Cyfrowa usługa publiczna art. 11 ust. 1 lit. c)–g)  Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa Terminowe zapewnianie analiz ad hoc (niektóre na żądanie); zapewnianie analiz i doradztwa technicznego; przygotowywanie sprawozdań o sytuacji technicznej we współpracy z innymi podmiotami; monitorowanie tendencji i wymiana informacji na ich temat ENISA Państwa członkowskie Komisja Europejska Podmioty UE EU-CyCLONe Sieć CSIRT Analiza danych, wymiana informacji i zapewnianie sprawozdań (niektóre na żądanie) Przetwarzanie danych Przepływ danych  art. 11 ust. 2 lit. a) Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa ENISA przeprowadza analizy zagrożeń cyberbezpieczeństwa, incydentów, tendencji, powstających technologii i ich skutków, w tym regularną analizę dotyczącą sektorów wymienionych w załącznikach I i II do dyrektywy (UE) 2022/2555 oraz odpowiednich kategorii produktów objętych rozporządzeniem (UE) 2024/2847; ENISA Ogół społeczeństwa Analiza danych w celu dostarczenia informacji mających wpływ na cyberbezpieczeństwo; regularna sprawozdawczość Przetwarzanie danych Przepływ danych art. 11 ust. 2 lit. b) Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa ENISA wydaje, we współpracy z Komisją, a w stosownych przypadkach z siecią CSIRT, porady, wytyczne i najlepsze praktyki w zakresie bezpieczeństwa sieci i systemów informatycznych, w szczególności w odniesieniu do bezpieczeństwa infrastruktury wspierającej sektory wymienione w załącznikach I i II do dyrektywy (UE) 2022/2555;   Komisja Europejska CERT-UE Sieć CSIRT Ogół społeczeństwa Wydawanie porad, wytycznych i najlepszych praktyk Przetwarzanie danych Przepływ danych art. 11 ust. 2 lit. c) Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa ENISA przeprowadza długoterminowe analizy strategiczne zagrożeń i incydentów cyberbezpieczeństwa w celu rozpoznania pojawiających się tendencji i w celu pomocy w zapobieganiu incydentom. ENISA Ogół społeczeństwa Analiza danych i identyfikacja pojawiających się zagrożeń  Przetwarzanie danych   art. 11 ust. 3 Wspólna orientacja sytuacyjna w zakresie cyberbezpieczeństwa ENISA może podawać do wiadomości publicznej analizy, porady, wytyczne, najlepsze praktyki i sprawozdania, o których mowa w ust. 2, w porozumieniu z podmiotami wnoszącymi wkład, o których mowa w ust. 2. ENISA Ogół społeczeństwa Podawanie informacji do wiadomości publicznej Przepływ danych Cyfrowa usługa publiczna  art. 13 ust. 2 Wsparcie w reagowaniu na incydenty  2.    Na wniosek Komisji lub EU-CyCLONe ENISA, przy wsparciu sieci CSIRT i za zgodą zainteresowanego państwa członkowskiego, dokonuje przeglądu i oceny poważnych incydentów w cyberbezpieczeństwie lub incydentów w cyberbezpieczeństwie na dużą skalę zgodnie z art. 21 rozporządzenia (UE) 2025/38. Komisja Europejska ENISA EU-CyCLONe Sieć CSIRT Państwa członkowskie Przegląd i ocena poważnych incydentów w cyberbezpieczeństwie Przetwarzanie danych  art. 14 ust. 2 Ćwiczenia w dziedzinie cyberbezpieczeństwa na szczeblu unijnym 2.    ENISA prowadzi repozytorium wniosków wyciągniętych z ćwiczeń, o których mowa w ust. 1, i zaleca państwom członkowskim oraz, w stosownych przypadkach, podmiotom unijnym, w jaki sposób można skutecznie i wydajnie wdrożyć wyciągnięte wnioski. ENISA Państwa członkowskie Podmioty UE Prowadzenie repozytorium Przetwarzanie danych Rozwiązanie cyfrowe Cyfrowa usługa publiczna  art. 14 Ćwiczenia w dziedzinie cyberbezpieczeństwa na szczeblu unijnym   Na wniosek EU-CyCLONe, Komisji, państw członkowskich lub CERT-UE ENISA organizuje ćwiczenia w dziedzinie cyberbezpieczeństwa lub wnosi wkład w ich organizację. ENISA wspiera Komisję w opracowywaniu rocznego kroczącego programu ćwiczeń w dziedzinie cyberbezpieczeństwa na szczeblu unijnym. ENISA Komisja Państwa członkowskie Podmioty UE CERT-UE Przyjmowanie wniosków o organizację ćwiczeń lub wsparcie organizacji ćwiczeń  Przepływ danych Przetwarzanie danych art. 15 Przepisy dotyczące narzędzi i platform   1.    ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje, odpowiednio do potrzeb, operacyjne narzędzia techniczne, w tym platformy związane z cyberbezpieczeństwem na szczeblu unijnym, w szczególności pojedynczą platformę sprawozdawczą służącą do zgłaszania incydentów ustanowioną na podstawie art. 16 ust. 1 rozporządzenia (UE) 2024/2847 [oraz pojedynczy punkt kontaktowy ustanowiony na podstawie art. 23a dyrektywy (UE) 2022/2555], a także narzędzia testowe wspierające wdrażanie procedur oceny zgodności zgodnie z odpowiednimi przepisami Unii. 2.    W stosownych przypadkach do celów ust. 1 ENISA współpracuje i wymienia informacje z siecią CSIRT oraz, w razie potrzeby, z organami nadzoru rynku. ENISA Sieć CSIRT Ogół społeczeństwa Organy nadzoru rynku   ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje w razie potrzeby operacyjne narzędzia techniczne, takie jak platformy. Rozwiązanie cyfrowe Cyfrowa usługa publiczna Przepływ danych art. 16 ust. 2 Usługi w zakresie zarządzania podatnością  a)    utrzymywanie europejskiej bazy danych dotyczących podatności ustanowionej zgodnie z art. 12 ust. 2 dyrektywy (UE) 2022/2555; b)    świadczenie usług zarządzania podatnościami na rzecz zainteresowanych stron, w oparciu o europejską bazę danych dotyczących podatności i z wykorzystaniem odpowiednich informacji, którymi dysponuje ENISA; c)    w stosownych przypadkach nawiązywanie zorganizowanej współpracy z organizacjami zapewniającymi programy, rejestry lub bazy danych zbliżone do europejskiej bazy danych dotyczących podatności; d)    aktywne wspieranie CSIRT wyznaczonych na koordynatorów zgodnie z art. 12 ust. 1 dyrektywy (UE) 2022/2555 w odniesieniu do zarządzania skoordynowanym ujawnianiem podatności mogących mieć znaczny wpływ na podmioty w więcej niż jednym państwie członkowskim; e) opracowywanie i utrzymywanie metod i mechanizmów zarządzania w zakresie identyfikacji podatności i skoordynowanego ujawniania, we współpracy z właściwymi organami krajowymi, CSIRT, przemysłem i środowiskiem naukowym ENISA Krajowe CSIRT Sieć CSIRT Właściwe organy krajowe Przemysł Środowisko naukowe Ogół społeczeństwa Podmioty międzynarodowe udostępniające programy, rejestry lub bazy danych Świadczenie usług zarządzania podatnością na zagrożenia; nawiązywanie, w stosownych przypadkach, ustrukturyzowanej współpracy; współpraca z zainteresowanymi stronami  Rozwiązanie cyfrowe Cyfrowa usługa publiczna Przepływ danych   art. 17 Certyfikacja cyberbezpieczeństwa   art. 18 Normalizacja, specyfikacje techniczne i wytyczne art. 17 ust. 1 a) przygotowywanie propozycji europejskich programów certyfikacji cyberbezpieczeństwa („propozycje programów”) dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów oraz powiązanych specyfikacji technicznych zgodnie z art. 74; b) utrzymywanie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 75, w tym z myślą o ewentualnym przeglądzie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 76; c) promowanie wykorzystywania przyjętych systemów i prowadzenie specjalnej strony internetowej zawierającej informacje na temat europejskich programów certyfikacji cyberbezpieczeństwa, europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności zgodnie z art. 79 oraz upowszechniającej te systemy, certyfikaty i deklaracje; art. 17 ust. 2 e) przygotowywanie wzorcowych przepisów, które będą przywoływane w propozycjach europejskich programów certyfikacji cyberbezpieczeństwa („propozycje programów”) dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów zgodnie z art. 81 ust. 5.   art. 18 1. ENISA opracowuje specyfikacje techniczne i wytyczne w celu wsparcia wdrażania przepisów Unii w dziedzinie cyberbezpieczeństwa. 2. ENISA monitoruje działania na rzecz normalizacji, uczestniczy w tych działaniach i odgrywa w nich wiodącą rolę na szczeblu unijnym oraz, zgodnie z art. 9, na poziomie międzynarodowym. 3. ENISA wspiera rozwój i ocenę algorytmów kryptograficznych. W przypadku gdy oceniony algorytm kryptograficzny zostanie oceniony pozytywnie, ENISA współpracuje, zgodnie z rozporządzeniem (UE) nr 1025/2012, z europejskimi organami normalizacyjnymi w celu wsparcia jego normalizacji. 4. ENISA zapewnia Komisji i ECCG techniczną wiedzę fachową w zakresie odpowiednich norm lub specyfikacji technicznych wspierających polityki Unii związane z cyberbezpieczeństwem, w szczególności rozporządzenie (UE) 2024/2847, w tym w odniesieniu do unijnego prawodawstwa harmonizacyjnego w dziedzinie cyberbezpieczeństwa i europejskich programów certyfikacji cyberbezpieczeństwa na podstawie art. 81 ust. 1 lit. d). 5. ENISA wspiera Komisję w ocenie projektów norm zharmonizowanych w celu wsparcia wdrażania unijnego prawodawstwa harmonizacyjnego w dziedzinie cyberbezpieczeństwa. ENISA Ogół społeczeństwa Analiza danych i wymiana danych z Komisją i innymi zainteresowanymi stronami; przygotowanie propozycji programu certyfikacji; prowadzenie strony internetowej ENISA Przetwarzanie danych Przepływ danych Cyfrowa usługa publiczna Art. 19 – Europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa               ENISA opracowuje i udostępnia publicznie europejskie ramy umiejętności w dziedzinie cyberbezpieczeństwa („ECSF”). Przed udostępnieniem publicznie europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa lub ich aktualizacją zgodnie z ust. 4 ENISA konsultuje się z Komisją. Korzystanie z europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa jest dobrowolne dla podmiotów publicznych i prywatnych. ENISA może konsultować się z zainteresowanymi stronami przy opracowywaniu i upowszechnianiu stosowania europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa. ENISA Komisja Ogół społeczeństwa Państwa członkowskie Podmioty UE Zainteresowane strony z sektora publicznego i prywatnego   Utrzymanie europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa; konsultacje z zainteresowanymi stronami; upowszechnianie stosowania europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa   Przetwarzanie danych Przepływ danych Rozwiązanie cyfrowe   art. 20–23 – europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa ENISA opracowuje, przyjmuje i utrzymuje europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. O ile prawo krajowe nie stanowi inaczej, krajowe organy publiczne i podmioty prywatne korzystają z europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa na zasadzie dobrowolności. Przed uruchomieniem nowego europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa ENISA konsultuje się z Komisją. ENISA przyjmuje taki program dopiero po uzyskaniu pozytywnej opinii Komisji. Przygotowując europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ENISA może konsultować się z odpowiednimi zainteresowanymi stronami. ENISA zapewnia ścisłą współpracę z państwami członkowskimi podczas przygotowywania europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. Upoważnieni dostawcy poświadczeń oceniają, czy osoby fizyczne spełniają wymogi europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, a jeżeli wymogi te zostaną spełnione, wydają europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa. ENISA zapewnia wytyczne i przeprowadza obowiązkowe szkolenie osób oceniających w zakresie wymogów i metod oceny uwzględnionych w europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, o którym mowa w art. 20 ust. 3 lit. b). Podmioty, które chcą zostać upoważnionymi dostawcami poświadczeń lub przedłużyć swoje upoważnienie („wnioskodawcy”), składają wniosek do ENISA. Upoważnieni dostawcy poświadczeń zapewniają, aby na wniosek danej osoby fizycznej elektroniczne poświadczenia w ramach europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa były wydawane jako elektroniczne poświadczenia atrybutów w formacie, który może być przechowywany w europejskich portfelach tożsamości cyfrowej określonych w rozporządzeniu (UE) nr 910/2014. Wnioskodawcy i upoważnieni dostawcy poświadczeń umożliwiają ENISA przeprowadzanie ocen w ramach pierwotnego procesu składania wniosków, utrzymanie lub odnowienie upoważnienia oraz wymianę wszystkich istotnych informacji w celu zapewnienia, aby wymogi określone w ust. 3 i 4 oraz obowiązki określone w ust. 5 zostały spełnione lub nadal były spełniane zgodnie z art. 22 ust. 2. Upoważnieni dostawcy poświadczeń niezwłocznie informują ENISA, jeżeli którykolwiek z wymogów wymienionych w ust. 3 nie jest już spełniany lub jeżeli pojawią się jakiekolwiek wątpliwości co do tego, że wymogi te nie są spełniane, w tym w odniesieniu do niezależności osób oceniających. Wnioskodawcy uiszczają na rzecz ENISA opłatę za ocenę ich wniosku. Upoważnieni dostawcy poświadczeń uiszczają na rzecz ENISA opłatę za utrzymanie udzielonego im upoważnienia. ENISA ocenia, czy wnioskodawcy i upoważnieni dostawcy poświadczeń spełnili lub nadal spełniają wymogi określone w art. 21 ust. 3 i 4 oraz obowiązki określone w art. 21 ust. 5. Po rozpatrzeniu wniosku pod kątem wymogów określonych w art. 21 ust. 3 i 4 ENISA może wydać decyzję. ENISA może zmienić, zawiesić lub uchylić takie decyzje. ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat: a)europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa, w tym ram i harmonogramu ich aktualizacji; b)europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ich postępu i harmonogramów ich opracowywania; c)opłat związanych z każdym europejskim programem indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, przyjętych na podstawie art. 47 niniejszego rozporządzenia; d)orientacyjnego kosztu europejskiego indywidualnego poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa zgodnie z art. 20 ust. 4; e)wykazu upoważnionych dostawców poświadczeń. ENISA Komisja Ogół społeczeństwa Państwa członkowskie Podmioty UE Zainteresowane strony z sektora publicznego i prywatnego (wnoszące wkład w opracowanie programu poświadczeń; wnioskodawcy i podmioty wydające europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa, w tym osoby oceniające)   Opracowywanie i utrzymywanie programów; konsultacje z zainteresowanymi stronami; rozpatrywanie wniosków; wydawanie decyzji; utrzymywanie strony internetowej  Przetwarzanie danych Przepływ danych Rozwiązanie cyfrowe Cyfrowa usługa publiczna art. 25 Skład Zarządu Mianowanie członków Zarządu ENISA. ENISA Komisja Europejska Państwa członkowskie Mianowanie członków Przepływ danych Przetwarzanie danych art. 28 ust. 1 Funkcje Zarządu   art. 30 Rada Wykonawcza b.przyjmuje projekt jednolitego dokumentu programowego ENISA, o którym mowa w art. 44, przed przedłożeniem go Komisji do zaopiniowania; f) ocenia i przyjmuje skonsolidowane sprawozdanie roczne z działalności ENISA, obejmujące sprawozdanie finansowe i opisujące, w jaki sposób ENISA osiągnęła swoje wskaźniki dotyczące realizacji celów, przesyła do dnia 1 lipca następnego roku zarówno sprawozdanie roczne, jak i jego ocenę, Parlamentowi Europejskiemu, Radzie, Komisji i Europejskiemu Trybunałowi Obrachunkowemu; podaje sprawozdanie roczne do wiadomości publicznej; i) zapewnia odpowiednie działania następcze w odniesieniu do ustaleń i zaleceń wynikających ze sprawozdań z wewnętrznych lub zewnętrznych audytów oraz ocen, jak również z dochodzeń prowadzonych przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF) i postępowań przygotowawczych prowadzonych przez Prokuraturę Europejską (EPPO); ENISA Komisja Europejska Parlament Europejski Rada UE Trybunał Obrachunkowy Państwa członkowskie Ogół społeczeństwa Przedłożenie jednolitego dokumentu programowego do zaopiniowania przez Komisję; ocena i przyjęcie skonsolidowanego sprawozdania roczne z działalności ENISA, w tym sprawozdania finansowego i opisu sposobu, w jaki ENISA osiągnęła swoje wskaźniki dotyczące realizacji celów, przedłożenie zarówno sprawozdania rocznego, jak i oceny; działania następcze w związku z ustaleniami  Przepływ danych Przetwarzanie danych   art. 31 ust. 8 Powołanie, odwołanie i przedłużenie kadencji   Zarząd informuje Parlament Europejski o swoim zamiarze przedłużenia kadencji Dyrektora Wykonawczego zgodnie z ust. 6. W ciągu trzech miesięcy poprzedzających takie przedłużenie Dyrektor Wykonawczy, jeżeli zostanie wezwany, składa oświadczenie przed odpowiednią komisją Parlamentu Europejskiego i udziela odpowiedzi na pytania posłów. ENISA Zarząd ENISA Parlament Europejski  Zarząd informuje o tym Parlament Europejski. Przepływ danych art. 32 ust. 3 Zadania i zakres obowiązków Dyrektora Wykonawczego     art. 32 ust. 5 3. Dyrektor Wykonawczy składa sprawozdanie z wykonywania zadań Parlamentowi Europejskiemu na jego żądanie. Rada może wezwać dyrektora wykonawczego do złożenia sprawozdania z wykonywania zadań. Przygotowywanie strategii projektów planów budżetowych, dokumentów strategicznych. Dyrektor Wykonawczy ENISA Parlament Europejski  Sprawozdawczość na temat realizacji celów  Przepływ danych Przetwarzanie danych art. 35 ust. 5, 6 Grupa Doradcza ENISA  5. Grupa Doradcza ENISA doradza ENISA w związku z wykonywaniem jej zadań, z wyjątkiem stosowania przepisów tytułu III, IV i V niniejszego rozporządzenia. Grupa doradza w szczególności Dyrektorowi Wykonawczemu w sprawie sporządzenia wniosku dotyczącego programu prac ENISA oraz w sprawie zapewnienia komunikacji z odpowiednimi zainteresowanymi stronami w kwestiach związanych z rocznym programem prac. 6.    Grupa Doradcza ENISA regularnie informuje Zarząd o swoich działaniach. ENISA Członkowie Grupy Doradczej ENISA Zarząd ENISA Dyrektor Wykonawczy ENISA Doradztwo i informowanie o swojej działalności  Przetwarzanie danych Przepływ danych art. 36–43 Rada Odwoławcza  ENISA ustanawia Radę Odwoławczą decyzją Zarządu. W skład Rady Odwoławczej wchodzi Przewodniczący i trzech innych członków. Każdy członek Rady Odwoławczej ma zastępcę. Zastępca reprezentuje członka pod jego nieobecność. Zarząd powołuje Przewodniczącego, pozostałych członków i ich zastępców z wykazu zakwalifikowanych kandydatów sporządzonego przez Komisję. Wykaz zakwalifikowanych kandydatów jest ważny przez cztery lata. Zarząd, działając na wniosek Komisji, może przedłużyć ważność tego wykazu o kolejne czteroletnie okresy. W przypadku gdy Rada Odwoławcza uzna, że wymaga tego charakter odwołania, może zwrócić się do Zarządu o powołanie dwóch dodatkowych członków i ich zastępców z wykazu, o którym mowa w ust. 3 lit. a). Rada Odwoławcza uchwala i udostępnia do wiadomości publicznej swój regulamin wewnętrzny. Jeżeli z jednego lub kilku powodów, wymienionych w ust. 1, lub jakiegokolwiek innego powodu członek Rady Odwoławczej uważa, że nie powinien brać udziału w postępowaniu odwoławczym, informuje o tym odpowiednio Radę Odwoławczą. W przypadkach wymienionych w ust. 2 i 3 Rada Odwoławcza decyduje bez udziału danego członka o środkach, które należy zastosować. Przy podejmowaniu tej decyzji zainteresowanego członka zastępuje w Radzie Odwoławczej jego zastępca. Odwołanie wniesione na podstawie ust. 1 podlega rewizji wstępnej zgodnie z art. 41 przed przekazaniem go Radzie Odwoławczej do rozpatrzenia. Wnioskodawcy w rozumieniu art. 21 ust. 3 mogą wnieść odwołanie od: skierowanej do nich decyzji ENISA na podstawie art. 22 ust. 3 w sprawie zaniechania przez ENISA działania w odniesieniu do wniosku złożonego przez nich do ENISA w mających zastosowanie terminach określonych w art. 22 ust. 4. W przypadku, o którym mowa w ust. 1 lit. a), odwołanie wraz z uzasadnieniem składa się na piśmie zgodnie z regulaminem wewnętrznym, o którym mowa w art. 36 ust. 5, w terminie dwóch miesięcy od notyfikowania danego wnioskodawcy o decyzji lub, w razie braku takiej notyfikacji, od dnia, w którym wnioskodawca dowiedział się o decyzji. W przypadku, o którym mowa w ust. 1 lit. b), odwołanie składa się do ENISA na piśmie zgodnie z regulaminem wewnętrznym, o którym mowa w art. 36 ust. 5, w terminie dwóch miesięcy od dnia upływu terminu określonego w art. 22 ust. 4. Jeżeli ENISA uznaje, że odwołanie jest dopuszczalne i dobrze uzasadnione, koryguje decyzję lub podejmuje zaniechane działania, o których mowa w art. 40 ust. 1. Jeżeli ENISA nie skoryguje decyzji w ciągu jednego miesiąca od otrzymania odwołania, Agencja bezzwłocznie podejmuje decyzję o ewentualnym zawieszeniu zastosowania decyzji i przekazuje odwołanie Radzie Odwoławczej do rozstrzygnięcia.  Rada Odwoławcza podejmuje decyzję o uznaniu lub odrzuceniu odwołania w terminie trzech miesięcy od złożenia tego odwołania. Rozpatrując odwołanie, Rada Odwoławcza działa w terminach określonych w jej regulaminie wewnętrznym. Tak często, jak to jest niezbędne, wzywa ona strony postępowania odwoławczego do wnoszenia – w określonym terminie – uwag do notyfikacji, które do nich skierowała, lub do informacji pochodzących od innych stron postępowania odwoławczego. Strony postępowania odwoławczego są uprawnione do ustnego przedstawienia swojego stanowiska. W przypadku gdy Rada Odwoławcza uzna, że podstawy odwołania są uzasadnione, przekazuje sprawę ENISA. ENISA podejmuje ostateczną decyzję zgodnie z ustaleniami Rady Odwoławczej i przedstawia uzasadnienie tej decyzji. ENISA stosownie informuje strony postępowania odwoławczego. Skargi o unieważnienie decyzji ENISA podjętych na podstawie art. 22 ust. 3 lub o zaniechanie działania w mającym zastosowanie terminie na podstawie art. 22 ust. 4 można wnosić do Trybunału Sprawiedliwości Unii Europejskiej po wyczerpaniu procedury odwoławczej w ramach ENISA określonej w art. 39–42 lub w przypadku zaniechania działania w mającym zastosowanie terminie na podstawie art. 41 ust. 2. ENISA przyjmuje wszelkie niezbędne środki w celu wykonania orzeczenia Trybunału Sprawiedliwości Unii Europejskiej. ENISA Zarząd ENISA Komisja Rada Odwoławcza w rozumieniu art. 36 wniosku dotyczącego drugiego aktu o cyberbezpieczeństwie Wnioskodawcy (podmioty prawne, które chcą zostać upoważnionymi dostawcami poświadczeń, utrzymać lub odnowić swoje upoważnienie) Wydawanie decyzji na podstawie odwołań Rozpatrywanie odwołań Przygotowywanie i publikowanie regulaminu wewnętrznego Przepływ informacji Przetwarzanie danych Przepływ danych Cyfrowa usługa publiczna  art. 44 Jednolity dokument programowy 2. Każdego roku Dyrektor Wykonawczy sporządza projekt jednolitego dokumentu programowego, o którym mowa w ust. 1, wraz z odpowiadającym mu planowaniem zasobów finansowych i ludzkich zgodnie z art. 32 rozporządzenia delegowanego Komisji (UE) 2019/715 i z uwzględnieniem wytycznych ustanowionych przez Komisję. 3. Do dnia 30 listopada każdego roku Zarząd przyjmuje jednolity dokument programowy, o którym mowa w ust. 1, uwzględniając opinię Komisji, o której mowa w art. 32 ust. 7 rozporządzenia delegowanego (UE) 2019/715. Jeżeli Zarząd postanowi nie uwzględnić elementów opinii Komisji, musi szczegółowo uzasadnić swoją decyzję. Do dnia 31 stycznia następnego roku Zarząd przekazuje jednolity dokument programowy, a także wszelkie późniejsze zaktualizowane wersje tego dokumentu, Parlamentowi Europejskiemu, Radzie i Komisji.   Dyrektor Wykonawczy ENISA Zarząd ENISA Komisja Europejska Parlament Europejski Rada Coroczne opracowywanie, przyjmowanie i przekazywanie jednolitego dokumentu programowego Przepływ danych art. 45 Ustanowienie budżetu ENISA 4.    Komisja przesyła projekt preliminarza władzy budżetowej wraz z projektem budżetu ogólnego Unii. Projekt preliminarza jest również udostępniany ENISA. ENISA Komisja Europejska Wymiana informacji Przepływ danych art. 47 Opłaty  W odniesieniu do działań w ramach europejskich programów indywidualnych poświadczeń umiejętności określonych w art. 22 ust. 1 od wnioskodawców w rozumieniu art. 21 ust. 3 lub od upoważnionych dostawców poświadczeń pobiera się następujące opłaty stanowiące wkład na pokrycie pełnych kosztów działań prowadzonych przez ENISA: a.wydawanie upoważnień po zbadaniu wymogów określonych w art. 21 ust. 3 i 4, w tym przeprowadzanie ocen; b.roczne utrzymanie upoważnienia; c.odnawianie upoważnień dla dostawców europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, w tym przeprowadzanie ocen. W związku z certyfikacją od jednostek oceniających zgodność pobiera się następujące opłaty na poczet utrzymania europejskich programów certyfikacji cyberbezpieczeństwa, w ramach których wydawane są europejskie certyfikaty cyberbezpieczeństwa, w szczególności: roczną opłatę za uczestnictwo w europejskim programie certyfikacji cyberbezpieczeństwa; opłatę za wydawanie europejskich certyfikatów cyberbezpieczeństwa w ramach europejskich programów certyfikacji cyberbezpieczeństwa. Opłaty, o których mowa w lit. b), pobiera się, gdy jednostka oceniająca zgodność przedkłada ENISA europejskie certyfikaty cyberbezpieczeństwa w celu ich publikacji na jej stronie internetowej zgodnie z art. 79. Komisja przyjmuje akty wykonawcze ustanawiające szczegółowe przepisy dotyczące opłat pobieranych przez ENISA. ENISA załącza sprawozdanie na temat pobranych opłat i ich wpływu na budżet Agencji w ramach procedury przedstawiania sprawozdań finansowych. Komisja ENISA Dostawcy poświadczeń Jednostki oceniające zgodność Przetwarzanie informacji; uiszczanie opłat; sprawozdawczość dotycząca opłat Przetwarzanie danych Przepływ danych   art. 48 art. 49 Wpływ na budżet   art. 48 3.    Co roku Dyrektor Wykonawczy przesyła władzy budżetowej wszelkie informacje mające znaczenie z punktu widzenia ustaleń procedur oceny. art. 49 1.    Księgowy ENISA przesyła wstępne sprawozdanie finansowe za rok budżetowy (rok N) księgowemu Komisji oraz Trybunałowi Obrachunkowemu do dnia 1 marca następnego roku budżetowego (rok N + 1). 2.    Księgowy ENISA przekazuje również niezbędne informacje księgowe do celów konsolidacji księgowemu Komisji, w sposób i w formacie przez niego wymaganym, do dnia 1 marca roku N + 1. 3.    ENISA przesyła sprawozdanie z zarządzania budżetem i finansami za rok N Parlamentowi Europejskiemu, Radzie, Komisji i Trybunałowi Obrachunkowemu do dnia 31 marca roku N + 1. 4.    Po otrzymaniu uwag Trybunału Obrachunkowego na temat wstępnego sprawozdania finansowego ENISA za rok N księgowy Agencji sporządza końcowe sprawozdanie finansowe ENISA. 5. Zarząd przedstawia opinię na temat końcowego sprawozdania finansowego ENISA-u za rok N. Księgowy Agencji sporządza na własną odpowiedzialność końcowe sprawozdanie finansowe ENISA. Dyrektor Wykonawczy przedkłada je Zarządowi do zaopiniowania.  ENISA Zarząd ENISA Komisja Europejska Rada Parlament Europejski Przetwarzanie i wymiana informacji dotyczących budżetu ENISA. Przetwarzanie danych Przepływ danych   art. 52 Deklaracja interesów   Strony składają deklarację zobowiązań oraz deklarację wskazującą na brak lub istnienie jakichkolwiek bezpośrednich lub pośrednich interesów, które mogłyby zostać uznane za naruszające ich niezależność. Zarządzanie ENISA (Dyrektor Wykonawczy, Zastępca Dyrektora Wykonawczego); Zarząd; Oddelegowani eksperci krajowi Przetwarzanie i udostępnianie danych dotyczących deklaracji interesów  Przetwarzanie danych Przepływ danych art. 58 Urzędnicy łącznikowi  1. Każde państwo członkowskie wyznacza co najmniej dwóch urzędników łącznikowych [ze swojego krajowego organu ds. cyberbezpieczeństwa] jako oddelegowanych ekspertów krajowych do ENISA i do pracy w jej siedzibie lub biurze lokalnym, zgodnie z art. 59 ust. 2. Komisja może również wyznaczyć urzędnika łącznikowego. 2. Urzędnicy łącznikowi wyznaczeni przez ich państwa członkowskie mają prawo żądać od swoich państw członkowskich wszelkich stosownych informacji, określonych w niniejszym rozporządzeniu i je otrzymywać, w pełni szanując prawo lub praktykę krajową swoich państw członkowskich, w szczególności w odniesieniu do ochrony danych i zasad dotyczących poufności. ENISA Państwa członkowskie  Wyznaczanie urzędników łącznikowych i wymiana informacji  Przetwarzanie danych Przepływ danych  art. 67 Postępowanie z informacjami niejawnymi   Po konsultacji z Komisją ENISA przyjmuje przepisy bezpieczeństwa wprowadzające zasady bezpieczeństwa zawarte w przepisach bezpieczeństwa Komisji dotyczących ochrony szczególnie chronionych informacji jawnych i EUCI, określonych w decyzjach (UE, Euratom) 2015/443 i 2015/444. Przepisy bezpieczeństwa ENISA zawierają przepisy dotyczące wymiany, przetwarzania i przechowywania takich informacji.  ENISA Zarząd Komisja  Postępowanie z informacjami niejawnymi Przetwarzanie danych Przepływ danych art. 68, 69, 70. Współpraca z podmiotami unijnymi i organami krajowymi Współpraca z zainteresowanymi stronami Współpraca z państwami trzecimi  ENISA współpracuje i wymienia informacje w kwestiach związanych z cyberbezpieczeństwem z odpowiednimi podmiotami unijnymi, organami nadzoru rynku i organami nadzorczymi; odpowiednie zainteresowane strony; właściwe organy z państw trzecich lub organizacje międzynarodowe    ENISA Europolu ECCC Europejska Rada Ochrony Danych Ogół społeczeństwa Rada Wymiana informacji Przepływ danych art. 72 dotyczący informacji i konsultacji dotyczących europejskich programów certyfikacji cyberbezpieczeństwa 2.    Komisja prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje na temat następujących aspektów: a)    europejskich programów certyfikacji cyberbezpieczeństwa będących przedmiotem wniosku o opracowanie; b)    priorytetów strategicznych w zakresie harmonizacji produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub wymogów bezpieczeństwa określonych w przepisach Unii, w tym potencjalnych obszarów, w przypadku których może być wymagany europejski program certyfikacji cyberbezpieczeństwa. 3.    Komisja udostępnia publicznie na stronie internetowej, o której mowa w ust. 2 tego artykułu, informacje na temat swojego wniosku do ENISA o przygotowanie propozycji programu, o którym mowa w art. 73, oraz na temat swojej decyzji o przyjęciu, odrzuceniu lub wycofaniu propozycji programu przekazanej przez ENISA zgodnie z art. 74 ust. 7. Komisja Europejska Ogół społeczeństwa ENISA   Utrzymanie strony internetowej zawierającej informacje Upoważnia to Komisję do udostępniania informacji na publicznie dostępnej stronie internetowej oraz do bieżącego realizowania powiązanych działań w zakresie zarządzania danymi. Cyfrowa usługa publiczna  Rozwiązanie cyfrowe  art. 72 na temat informacji i konsultacji publicznych dotyczących europejskich programów certyfikacji cyberbezpieczeństwa   Podczas przygotowywania przez ENISA propozycji programu zgodnie z art. 74 Parlament Europejski lub Rada mogą zwrócić się do Komisji – jako organu przewodniczącego ECCG – oraz do ENISA o przedstawianie odpowiednich informacji dotyczących projektu propozycji programu. Na wniosek Parlamentu Europejskiego lub Rady ENISA, w porozumieniu z Komisją oraz bez uszczerbku dla art. 54, może udostępnić Parlamentowi Europejskiemu i Radzie odpowiednie części projektu propozycji programu w sposób adekwatny do wymaganego poziomu poufności, a w stosownych przypadkach w ograniczonym zakresie. Parlament Europejski, Rada mogą zwrócić się do Komisji i ENISA o omówienie kwestii dotyczących wdrażania europejskich programów certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów. ENISA Rada UE Parlament Europejski Zwracanie się o informacje na temat projektu propozycji programu przygotowanego przez ENISA i przesyłanie tych informacji Przepływ danych art. 73 Wniosek o europejski program certyfikacji cyberbezpieczeństwa art. 74 Przygotowanie i przyjmowanie europejskich programów certyfikacji cyberbezpieczeństwa (omówiono w art. 17)  art. 73 1. Komisja może zwrócić się do ENISA o przygotowanie propozycji europejskiego programu certyfikacji cyberbezpieczeństwa w odniesieniu do produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów. W należycie uzasadnionych przypadkach ECCG może zaproponować Komisji złożenie wniosku, o którym mowa w ust. 1. 4. Przygotowując wniosek, o którym mowa w ust. 1, Komisja należycie konsultuje się z ENISA i ECCG, a także uwzględnia opinie wszystkich odpowiednich zainteresowanych stron i innych podmiotów unijnych, w tym, w stosownych przypadkach, tych, które są odpowiednie w świetle przepisów Unii, w których europejski program certyfikacji cyberbezpieczeństwa zapewnia domniemanie zgodności. art. 74 3. Przygotowując propozycję programu, ENISA ściśle współpracuje z ECCG. ECCG zapewnia ENISA pomoc i fachowe doradztwo w związku z przygotowywaniem propozycji programu oraz, w stosownych przypadkach, uzupełniające specyfikacje techniczne. ENISA zwraca się do członków ECCG o przedstawienie pisemnej opinii na temat propozycji programu.  4. ENISA konsultuje się z zainteresowanymi stronami w odpowiednim czasie w drodze formalnego, otwartego, przejrzystego i integracyjnego procesu konsultacji.  ENISA współpracuje również z odpowiednimi organami publicznymi w państwach członkowskich oraz z odpowiednimi podmiotami unijnymi w celu uzyskania ich doradztwa fachowego w związku z przygotowaniem propozycji programu oraz, w stosownych przypadkach, uzupełniających specyfikacji technicznych. 6. ENISA przekazuje Komisji propozycję programu nie później niż 60 dni od daty wniosku, o którym mowa w ust. 5. 7. Po otrzymaniu propozycji programu Komisja ocenia, czy program odpowiada wnioskowi złożonemu zgodnie z art. 73.  8.    W przypadku gdy Komisja zwróci ENISA propozycję programu w celu jej zmiany zgodnie z ust. 7 lit. b), zastosowanie mają odpowiednio ust. 4, 5 i 7 niniejszego artykułu.   Komisja Europejska ENISA ECCG Zainteresowane strony będące ekspertami Przygotowanie systemu składania wniosków i certyfikacji oraz związane z tym konsultacje z zainteresowanymi stronami Przetwarzanie danych Przepływ danych Cyfrowa usługa publiczna (omówiono w art. 17) art. 75 Utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa 2. ENISA, we współpracy z Komisją i przy wsparciu ECCG i jej odpowiedniej podgrupy ds. utrzymania, zapewnia utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa, również pod kątem ewentualnego przeglądu takich programów przez Komisję. ENISA współpracuje i wymienia informacje z odpowiednimi podmiotami unijnymi i grupami w odniesieniu do działań w zakresie utrzymania. 5. ECCG może wydać opinię w sprawie utrzymania europejskich programów certyfikacji cyberbezpieczeństwa. Komisja Europejska ENISA ECCG Jednostki oceniające zgodność   ENISA zapewnia utrzymanie. Obejmuje to okresowe spotkania hybrydowe lub internetowe, gromadzenie informacji, analizę i wymianę informacji (w odniesieniu do europejskiego programu certyfikacji cyberbezpieczeństwa). Przetwarzanie danych Przepływ danych art. 76 Ocena, przegląd i wycofanie europejskiego programu certyfikacji cyberbezpieczeństwa 1. Co najmniej raz na cztery lata po rozpoczęciu stosowania europejskiego programu certyfikacji cyberbezpieczeństwa ENISA ocenia wpływ i skuteczność tego programu, we współpracy z odpowiednią podgrupą ds. utrzymania ECCG i z uwzględnieniem informacji zwrotnych otrzymanych od zainteresowanych stron. ENISA dokonuje oceny, przeprowadzając niezbędną analizę rynku zgodnie z art. 8 ust. 1. 3. Dokonując przeglądu lub wycofując europejskie programy certyfikacji cyberbezpieczeństwa, Komisja konsultuje się z ENISA, ECCG i jej odpowiednią podgrupą ds. utrzymania, a także uwzględnia opinie odpowiednich zainteresowanych stron i innych podmiotów unijnych. 4. ECCG może wydać opinię w sprawie przeglądu lub wycofania europejskiego programu certyfikacji cyberbezpieczeństwa. Komisja należycie uwzględnia ją podczas przeglądu lub wycofywania europejskiego programu certyfikacji cyberbezpieczeństwa.   Komisja Europejska ENISA ECCG Komisja dokonuje przeglądu programów, konsultując się z odpowiednimi zainteresowanymi stronami. Przetwarzanie danych Przepływ danych art. 77 Specyfikacje techniczne w europejskich programach certyfikacji cyberbezpieczeństwa 3.    W przypadku gdy w europejskim programie certyfikacji cyberbezpieczeństwa, o którym mowa w art. 74 ust. 10, znajduje się odwołanie do specyfikacji technicznych, są one udostępniane na stronie internetowej, o której mowa w art. 79. 4. W należycie uzasadnionych przypadkach, w szczególności gdy specyfikacje techniczne zawierają informacje, które mogłyby zagrozić bezpieczeństwu certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanowi cyberbezpieczeństwa podmiotów, są one rozpowszechniane wyłącznie wśród zainteresowanych stron, których dotyczą wymogi programu. W europejskim programie certyfikacji cyberbezpieczeństwa, o którym mowa w art. 74 ust. 10, nie można odwoływać się do takiego systemu. ENISA Państwa członkowskie Jednostki oceniające zgodność   Udostępnianie informacji na stronie internetowej ENISA poświęconej certyfikacji Przepływ danych Cyfrowa usługa publiczna   art. 79 Strona internetowa dotycząca europejskich programów certyfikacji cyberbezpieczeństwa 1. ENISA organizuje działania promujące upowszechnianie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa, między innymi za pośrednictwem strony internetowej, o której mowa w ust. 2 niniejszego artykułu. 2. ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat: a)    europejskich programów certyfikacji cyberbezpieczeństwa; b)    opłat związanych z utrzymaniem każdego europejskiego programu certyfikacji cyberbezpieczeństwa; c) odpowiednich specyfikacji technicznych ENISA; d)    europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności, w tym informacji dotyczące takich certyfikatów i deklaracji, które utraciły ważność lub które zostały zawieszone, cofnięte lub wygasły; e)    istotnych dodatkowych informacji na temat cyberbezpieczeństwa przekazanych zgodnie z art. 84 ust. 2; f)    podsumowań wzajemnych przeglądów na podstawie art. 89 ust. 7; g)    specyfikacji technicznych przywołanych w europejskim programie certyfikacji cyberbezpieczeństwa na podstawie art. 74 ust. 10. 3. W stosownych przypadkach na stronie internetowej, o której mowa w ust. 2, wskazuje się również krajowe programy certyfikacji cyberbezpieczeństwa, które zostały zastąpione europejskim programem certyfikacji cyberbezpieczeństwa. ENISA Państwa członkowskie Jednostki oceniające zgodność Prowadzenie strony internetowej zawierającej informacje upoważnia ENISA do gromadzenia, przetwarzania i utrzymywania kompleksowych baz danych zawierających informacje na temat certyfikacji, co wymaga bieżących działań w zakresie zarządzania danymi. Cyfrowa usługa publiczna Rozwiązanie cyfrowe Przetwarzanie danych Przepływ danych   art. 81 Elementy europejskich programów certyfikacji cyberbezpieczeństwa 5. Komisja jest uprawniona do przyjmowania aktów wykonawczych ustanawiających wspólne zasady i wzorcowe przepisy dotyczące elementów określonych w ust. 1, 2 i 3 we wszystkich europejskich programach certyfikacji cyberbezpieczeństwa. W stosownych przypadkach i w miarę dostępności europejski program certyfikacji cyberbezpieczeństwa może zawierać odesłania do tych zasad i wzorcowych przepisów. Akty wykonawcze, o których mowa w ust. 5, przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2. Przy opracowywaniu lub zmianie wspólnych zasad i wzorcowych przepisów dotyczących elementów europejskich programów certyfikacji cyberbezpieczeństwa Komisja konsultuje się z ENISA i uwzględnia, w stosownych przypadkach, opinie wyrażone przez ECCG, odpowiednich zainteresowanych stron i inne odpowiednie podmioty. ENISA Ogół społeczeństwa Organy państw członkowskich  Konsultacje z odpowiednimi zainteresowanymi stronami wymagającymi przepływu i przetwarzania danych Przepływ danych Przetwarzanie danych art. 83 Ocena zgodności przez stronę pierwszą 3. Wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiot, którego stan cyberbezpieczeństwa jest przedmiotem certyfikacji, udostępnia – przez okres przewidziany w tym programie – krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 89, unijną deklarację zgodności, dokumentację techniczną oraz wszelkie inne istotne informacje związane ze zgodnością z tym europejskim programem certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa. Kopię unijnej deklaracji zgodności przedkłada się bez zbędnej zwłoki krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ENISA. ENISA Ogół społeczeństwa Organy państw członkowskich  Dostępność informacji; udostępnianie danych Udostępniane dane wymagają przetwarzania przez ENISA i organy państw członkowskich Przepływ danych Przetwarzanie danych art. 84 Dodatkowe informacje na temat cyberbezpieczeństwa certyfikowanych produktów ICT, usług ICT i procesów ICT 1. Wytwórca lub dostawca produktów ICT, usług ICT lub procesów ICT, dla których wydano unijną deklarację zgodności lub europejski certyfikat cyberbezpieczeństwa, udostępnia publicznie następujące dodatkowe informacje na temat cyberbezpieczeństwa. Wytwórca lub dostawca produktów ICT, usług ICT lub procesów ICT Ogół społeczeństwa Jednostki oceniające zgodność Podawanie informacji do wiadomości publicznej w formie elektronicznej.   Przepływ danych art. 85 Wydawanie europejskich certyfikatów cyberbezpieczeństwa 2. Jednostki oceniające zgodność, o których mowa w art. 91, wydają europejskie certyfikaty cyberbezpieczeństwa w oparciu o kryteria zawarte w danym europejskim programie certyfikacji cyberbezpieczeństwa przyjętym na podstawie art. 74. 6. Osoba fizyczna lub prawna, która poddaje produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa certyfikacji lub podmiot, który ubiega się o certyfikację swojego stanu cyberbezpieczeństwa, udostępniają wszelkie informacje niezbędne to przeprowadzenia certyfikacji krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 89 – w przypadku gdy organ ten jest podmiotem wydającym europejski certyfikat cyberbezpieczeństwa – lub jednostce oceniającej zgodność, o której mowa w art. 91. 7. Jednostki oceniające zgodność oraz, w stosownych przypadkach, krajowe organy ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki informują ENISA o swoich decyzjach, które mają wpływ na status europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności zgodnie z art. 94. 8. Posiadacz europejskiego certyfikatu cyberbezpieczeństwa informuje jednostkę oceniającą zgodność oraz, w stosownych przypadkach, krajowy organ ds. certyfikacji cyberbezpieczeństwa, o którym mowa w ust. 7, o wszelkich wykrytych następnie podatnościach lub niezgodnościach dotyczących certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotu, które mogą mieć wpływ na zgodność z certyfikatem. Jednostka ta bez zbędnej zwłoki przekazuje te informacje zainteresowanemu krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ocenia wpływ na certyfikat zgodnie z warunkami programu, o których mowa w art. 81 lit. f). ENISA Ogół społeczeństwa Organy państw członkowskich Jednostki oceniające zgodność Wymiana informacji istotnych dla procesów certyfikacji Przepływ danych Przetwarzanie danych art. 86 Krajowe programy certyfikacji cyberbezpieczeństwa 4. Państwa członkowskie informują Komisję i ECCG przed przyjęciem nowych krajowych programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów. ENISA Państwa członkowskie Komisja Europejska Wymiana informacji Przepływ danych art. 88 Krajowe organy ds. certyfikacji cyberbezpieczeństwa  2. Każde państwo członkowskie informuje Komisję o tożsamości wyznaczonych krajowych organów ds. certyfikacji cyberbezpieczeństwa. W przypadku gdy państwo członkowskie wyznacza więcej niż jeden organ, informuje również Komisję o zadaniach powierzonych każdemu z tych organów. 6. Krajowe organy ds. certyfikacji cyberbezpieczeństwa: c) monitorują, we współpracy z odpowiednimi organami nadzoru rynku, przestrzeganie obowiązków wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub podmiotów, których stan cyberbezpieczeństwa podlega certyfikacji, określonych w niniejszym rozporządzeniu, którzy mają siedzibę na ich odpowiednich terytoriach i którzy przeprowadzają ocenę zgodności przez stronę pierwszą, oraz w odpowiednich europejskich programach certyfikacji cyberbezpieczeństwa; d)    bez uszczerbku dla art. 91 ust. 3 aktywnie wspomagają i wspierają krajowe jednostki akredytujące lub inne odpowiednie organy w monitorowaniu i nadzorowaniu działalności jednostek oceniających zgodność do celów niniejszego rozporządzenia; e)    współpracują z Komisją Europejską w przypadku zakwestionowania kompetencji jednostki oceniającej zgodność zgodnie z art. 94;  f)    monitorują i nadzorują działalność podmiotów publicznych, o których mowa w art. 85 ust. 3; g)    w stosownych przypadkach upoważniają jednostki oceniające zgodność zgodnie z art. 93, monitorują przestrzeganie przez jednostki oceniające zgodność szczegółowych lub dodatkowych wymogów określonych w europejskich programach certyfikacji cyberbezpieczeństwa na podstawie art. 81 ust. 3 lit. f) oraz egzekwują przestrzeganie tych wymogów, a także ograniczają, zawieszają lub cofają istniejące upoważnienia, w przypadku gdy jednostki oceniające zgodność nie spełniają wymogów niniejszego rozporządzenia; h)    rozpatrują skargi osób fizycznych lub prawnych dotyczące europejskich certyfikatów cyberbezpieczeństwa wydanych przez krajowe organy ds. certyfikacji cyberbezpieczeństwa, europejskich certyfikatów cyberbezpieczeństwa wydanych przez jednostki oceniające zgodność zgodnie z [art. 85 ust. 4] lub unijnych deklaracji zgodności wydanych na podstawie art. 83 oraz badają w odpowiednim zakresie przedmiot takich skarg i informują skarżącego w rozsądnym terminie o postępach i wynikach badania; i)    przedstawia Komisji, ENISA i ECCG roczne sprawozdanie ze swojej głównej działalności do dnia 31 marca [rok wejścia w życie + 12 miesięcy] każdego roku i udostępnia te sprawozdania zespołowi ds. wzajemnej oceny, w przypadku gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa podlega wzajemnemu przeglądowi zgodnie z art. 89;  j)    współpracują z innymi krajowymi organami ds. certyfikacji cyberbezpieczeństwa, organami nadzoru rynku lub innymi organami publicznymi, w tym poprzez wymianę informacji na temat ewentualnej niezgodności produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów z wymogami niniejszego rozporządzenia lub z wymogami określonych europejskich programów certyfikacji cyberbezpieczeństwa; k)    monitorują odpowiednie zmiany w dziedzinie certyfikacji cyberbezpieczeństwa.   8. Krajowe organy ds. certyfikacji cyberbezpieczeństwa współpracują ze sobą i z Komisją, w szczególności wymieniając informacje, doświadczenie i dobre praktyki odnoszące się do certyfikacji cyberbezpieczeństwa i kwestii technicznych dotyczących cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów. 9.    Do dnia [data wejścia w życie + 6 miesięcy] r. ENISA opracowuje wzór sprawozdania, o którym mowa w ust. 6 lit. i) niniejszego artykułu, we współpracy z Komisją i ECCG. ENISA Organy państw członkowskich Komisja Europejska Ogół społeczeństwa Jednostki oceniające zgodność Państwa członkowskie powiadamiają Komisję o wyznaczonych krajowych organach ds. cyberbezpieczeństwa. Organy państw członkowskich wykonują różne zadania w zakresie monitorowania, nadzoru i współpracy, które wymagają przepływu danych i przetwarzania danych. Przepływ danych Przetwarzanie danych art. 89 Wzajemny przegląd 5. ENISA wspiera organizację mechanizmu wzajemnego przeglądu oceny i wzajemnych przeglądów, w tym poprzez opracowywanie odpowiednich wytycznych i wzorów, we współpracy z Komisją i ECCG. 7. Sprawozdanie końcowe, w tym ewentualne wytyczne lub zalecenia, oraz podsumowanie wzajemnego przeglądu analizuje ECCG, która zatwierdza podsumowanie do publikacji, o którym mowa w art. 79 ust. 2. UE ENISA ECCG Udostępnianie danych w internecie Przepływ danych Przetwarzanie danych   art. 90 Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa (ECCG) 3. ECCG ma następujące zadania: [odniesienie do innych artykułów] h)    monitorowanie odpowiednich zmian w dziedzinie certyfikacji cyberbezpieczeństwa, w tym na szczeblu krajowym zgodnie z art. 86, oraz wymiana informacji i dobrych praktyk odnoszących się do programów certyfikacji cyberbezpieczeństwa; i)ułatwianie współpracy między krajowymi organami ds. certyfikacji cyberbezpieczeństwa na podstawie przepisów określonych w niniejszym tytule poprzez budowanie zdolności i wymianę informacji, w szczególności w odniesieniu do kwestii dotyczących certyfikacji cyberbezpieczeństwa; [odniesienie do innych artykułów] k)    ułatwianie dostosowywania europejskich programów cyberbezpieczeństwa do międzynarodowo uznanych norm, w tym w ramach utrzymywania istniejących europejskich programów certyfikacji cyberbezpieczeństwa i, w stosownych przypadkach, wydawanie skierowanych do ENISA zaleceń dotyczących podjęcia współpracy z odpowiednimi europejskimi lub międzynarodowymi organizacjami normalizacyjnymi w celu wyeliminowania braków lub luk w europejskich lub międzynarodowo uznanych normach. Państwa członkowskie ENISA Komisja Europejska  Analiza, wymiana informacji i współpraca między organami państw członkowskich a organizacjami międzynarodowymi w odniesieniu do europejskiej certyfikacji cyberbezpieczeństwa Przetwarzanie danych Przepływ danych Art. 92 Dodatkowa harmonizacja kompetencji jednostek oceniających zgodność 4. W przypadku gdy krajowy organ ds. certyfikacji cyberbezpieczeństwa otrzymuje wniosek na podstawie ust. 3, informuje o tym krajowy organ ds. certyfikacji cyberbezpieczeństwa w państwie członkowskim, w którym wnioskująca jednostka oceniająca zgodność ma siedzibę. W takich przypadkach krajowy organ ds. certyfikacji cyberbezpieczeństwa tego państwa członkowskiego może uczestniczyć w udzielaniu upoważnienia w charakterze obserwatora. Organy państw członkowskich Jednostki oceniające zgodność Wymiana i zatrzymywanie informacji Przepływ danych Przetwarzanie danych art. 93 Notyfikowanie jednostek oceniających zgodność 1. W odniesieniu do każdego europejskiego programu certyfikacji cyberbezpieczeństwa krajowe organy ds. certyfikacji cyberbezpieczeństwa państwa członkowskiego notyfikują Komisji i pozostałym państwom członkowskim jednostki oceniające zgodność, które zostały akredytowane i które, w stosownych przypadkach, upoważniono na podstawie art. 92. 2. Krajowe organy ds. certyfikacji cyberbezpieczeństwa dokonują notyfikacji, o której mowa w ust. 1, przy użyciu elektronicznego narzędzia do notyfikacji opracowanego i zarządzanego przez Komisję. ENISA Państwa członkowskie Komisja Europejska Jednostki oceniające zgodność Notyfikowanie akredytowanych i upoważnionych jednostek oceniających zgodność Przepływ danych Przetwarzanie danych art. 94 Kwestionowanie kompetencji jednostek oceniających zgodność 1.1. Komisja bada wszelkie przypadki, w których ma wątpliwości lub zostaje poinformowana o wątpliwościach co do zdolności jednostki oceniającej zgodność do spełnienia lub dalszego spełniania przez jednostkę oceniającą zgodność nałożonych na nią wymagań i obowiązków. 2. Na żądanie Komisji organ ds. certyfikacji cyberbezpieczeństwa udziela jej wszelkich informacji dotyczących podstawy notyfikacji lub utrzymania kompetencji danej jednostki oceniającej zgodność. 3. Komisja odpowiada za utrzymanie w tajemnicy wszystkich informacji szczególnie chronionych uzyskanych w trakcie dochodzenia.  4. W przypadku gdy Komisja stwierdza, że jednostka oceniająca zgodność nie spełnia wymagań powiadomienia lub przestała je spełniać, odpowiednio informuje krajowy organ ds. certyfikacji cyberbezpieczeństwa i zwraca się do niego o wprowadzenie koniecznych działań naprawczych, włącznie z wycofaniem notyfikacji, jeżeli zachodzi taka potrzeba. Komisja Państwa członkowskie ENISA Kwestionowanie kompetencji jednostek oceniających zgodność Przepływ danych Przetwarzanie danych Cyfrowa usługa publiczna  art. 95 Obowiązki jednostek oceniających zgodność w zakresie informowania i zatrzymywania informacji 1. Jednostki oceniające zgodność informują krajowy organ ds. certyfikacji cyberbezpieczeństwa: a)    o każdym przypadku odmowy wydania, ograniczenia, zawieszenia lub cofnięcia certyfikatu; b)    o wszelkich okolicznościach wpływających na zakres i warunki notyfikacji, o których mowa w art. 93 ust. 1; c)    o każdym przypadku zażądania przez organ nadzoru rynku udzielenia informacji dotyczących działań związanych z oceną zgodności; d)    na żądanie, o wszelkich podejmowanych działaniach w zakresie oceny zgodności wchodzących w zakres jej notyfikacji oraz o innych realizowanych zadaniach, w tym o działalności transgranicznej i podwykonawstwie. 2. Jednostki oceniające zgodność przekazują również ENISA informacje, o których mowa w ust. 1 lit. a), w celu ułatwienia wykonywania jej zadań na podstawie art. 79. 3. Jednostki oceniające zgodność bez zbędnej zwłoki przekazują pozostałym jednostkom oceniającym zgodność określonym w niniejszym rozporządzeniu prowadzącym podobną działalność w zakresie oceny zgodności obejmującą te same produkty ICT, usługi ICT, procesy ICT, usługi zarządzane w zakresie bezpieczeństwa lub podmioty, których stan cyberbezpieczeństwa podlega certyfikacji, odpowiednie informacje na temat kwestii związanych z negatywnymi, a na żądanie również pozytywnymi wynikami oceny zgodności. 4. Jednostki oceniające zgodność prowadzą rejestr zawierający wszystkie dokumenty i dowody przedstawione lub otrzymane w związku z każdą przeprowadzaną przez nie oceną i certyfikacją. Rejestr jest przechowywany w sposób bezpieczny i dostępny przez okres niezbędny do celów certyfikacji i przez co najmniej pięć lat po wygaśnięciu lub cofnięciu odpowiedniego europejskiego certyfikatu cyberbezpieczeństwa. Organy państw członkowskich Jednostki oceniające zgodność Wymiana informacji między jednostkami oceniającymi zgodność Przepływ danych Przetwarzanie danych art. 96 Prawo do wniesienia skargi i prawo do skutecznego środka zaskarżenia  2. Organ lub jednostka, do których wniesiono skargę, informuje skarżącego o stanie postępowania, podjętej decyzji, a także prawie do skutecznego środka zaskarżenia, o którym mowa w ust. 3 i 4. 4. Postępowania na podstawie niniejszego artykułu wnosi się do sądów państwa członkowskiego, w którym znajduje się organ lub jednostka, przeciwko którym wnoszony jest środek zaskarżenia. Organy państw członkowskich Komisja Europejska Ogół społeczeństwa Posiadacze certyfikatów Przepływ informacji dotyczących skarg między organami a ogółem społeczeństwa Postępowanie przed sądami państwa członkowskiego Przepływ danych art. 97 Kary  Państwa członkowskie niezwłocznie notyfikują Komisję o tych przepisach i środkach, a następnie notyfikują ją o wszelkich zmianach mających wpływ na te przepisy. Organy państw członkowskich Komisja Europejska Przepływ informacji związanych z notyfikowaniem Komisji przez państwa członkowskie o karach. Przepływ danych art. 99 Oceny ryzyka związanego z bezpieczeństwem Komisja lub co najmniej trzy państwa członkowskie mogą zwrócić się do grupy współpracy NIS o przeprowadzenie skoordynowanych ocen ryzyka w terminie sześciu miesięcy. Komisja może zażądać krótszych terminów. W ocenach ryzyka opracowuje się scenariusze ryzyka i zakłada się analizę danych. Przygotowanie skoordynowanych ocen ryzyka związanego z bezpieczeństwem W przypadkach, które uzasadniają niezwłoczną interwencję, Komisja niezwłocznie konsultuje się z państwami członkowskimi i przeprowadza ocenę ryzyka. Decyzje dotyczące przeprowadzania ocen ryzyka (przetwarzanie/analiza danych). Komisja Europejska Państwa członkowskie UE Grupa współpracy NIS ENISA Zwracanie się o informacje i ich otrzymywanie; analiza danych do celów skoordynowanych ocen ryzyka Konsultacje z państwami członkowskimi i przeprowadzenie oceny ryzyka Przetwarzanie danych Przepływ danych art. 100 ust. 1 i 2 Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem 1. Jeżeli w wyniku oceny ryzyka zawiązanego bezpieczeństwem, o której mowa w art. 99, lub na podstawie innych źródeł, takich jak publiczne oświadczenie w imieniu Unii lub państwa członkowskiego, okaże się, że państwo trzecie stwarza poważne i strukturalne ryzyko pozatechniczne dla łańcuchów dostaw ICT, Komisja weryfikuje zagrożenie stwarzane przez to państwo, biorąc pod uwagę szereg elementów, co prowadzi do przetwarzania/analizy danych. 2. Jeżeli po weryfikacji, o której mowa w ust. 1, Komisja stwierdzi, że państwo trzecie stwarza poważne i strukturalne ryzyko pozatechniczne, dla łańcuchów dostaw ICT, może podjąć decyzję, w drodze aktu wykonawczego, o wskazaniu tego państwa trzeciego jako państwa budzącego obawy związane z cyberbezpieczeństwem dotyczące łańcuchów dostaw ICT, co prowadzi do analizy przetwarzania danych i przepływów danych. Państwa członkowskie UE Komisja Europejska Otrzymywanie informacji, analizowanie informacji, wymiana informacji. Przepływ danych Przetwarzanie danych art. 101 Ogólny mechanizm łańcucha dostaw ICT art. 102 Określenie kluczowych zasobów ICT oraz art. 103 Środki ograniczające ryzyko w łańcuchach dostaw ICT 1. W przypadku gdy grupa współpracy NIS przeprowadziła skoordynowaną ocenę ryzyka w zakresie bezpieczeństwa na szczeblu unijnym na podstawie art. 99 ust. 1 i 2 niniejszego rozporządzenia lub po zakończeniu procedury w przypadku znaczącego zagrożenia cyberbezpieczeństwa na podstawie art. 99 ust. 3, Komisja może wprowadzić środki przewidziane w art. 102 i 103. Komisja jest uprawniona do przyjmowania aktów wykonawczych, w których określone zostaną kluczowe zasoby ICT i środki ograniczające ryzyko, w tym ograniczenia i zakazy dotyczące łańcuchów dostaw ICT (szczegółowo opisane w sekcji 4.5 poniżej). Przygotowując się do tego procesu, Komisja bierze pod uwagę i szereg aspektów, które prowadzą do przetwarzania/analizy danych, a w niektórych przypadkach do przepływu danych: art. 102 lit. a)–f) art. 103 ust. 4 lit. a)–d) art. 103 ust. 6 Komisja Europejska Grupa współpracy NIS Odpowiednie zainteresowane strony Analiza danych/przetwarzanie danych; konsultacje z odpowiednimi zainteresowanymi stronami Przetwarzanie danych Przepływ danych art. 104 Identyfikacja dostawców wysokiego ryzyka W drodze aktów wykonawczych Komisja ustanawia wykazy dostawców wysokiego ryzyka istotnych z punktu widzenia zakazów ustanowionych w aktach wykonawczych przyjętych zgodnie z art. 103 ust. 1 lub zakazu, o którym mowa w art. 111 ust. 1. Komisja identyfikuje dostawców dostarczających komponenty ICT i komponenty, które zawierają komponenty ICT, oraz przeprowadza wstępną ocenę, którzy dostawcy mają potencjalnie siedzibę w państwach trzecich wskazanych zgodnie z art. 100 lub są z nich kontrolowani. Komisja ocenia miejsce prowadzenia działalności, a także strukturę własności i kontroli. Komisja jest ma prawo zwrócić się do dostawców o niezbędne informacje i udostępnia danemu dostawcy wstępne ustalenia dotyczące oceny miejsca prowadzenia działalności, własności i kontroli oraz zapewnia mu możliwość przedstawienia swojego stanowiska. Komisja może zwrócić się do właściwego organu o przeprowadzenie wstępnej oceny miejsca prowadzenia działalności, własności i kontroli dostawcy, jeżeli jest to uzasadnione ze względu na cechy działalności tego dostawcy. Właściwy organ może zaproponować przeprowadzenie takiej wstępnej oceny. Komisja weryfikuje te wstępne ustalenia w celu podjęcia decyzji, czy dostawca powinien zostać włączony do wykazu dostawców wysokiego ryzyka. Komisja regularnie aktualizuje wykazy dostawców wysokiego ryzyka w celu usunięcia lub dodania dostawców wysokiego ryzyka. Dostawcy wysokiego ryzyka uwzględnieni w wykazie mogą zwrócić się do Komisji o ponowną ocenę ich miejsca prowadzenia działalności, struktury kontrolnej i własnościowej po przedstawieniu dowodów potwierdzających istotne zmiany. Komisja Europejska Właściwe organy Dostawcy Analiza danych/przetwarzanie danych; konsultacje z właściwymi organami, konsultacje z dostawcami Przetwarzanie danych Przepływ danych art. 105 Wyłączenie podmiotów mających siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowanych przez podmioty z takiego państwa trzeciego art. 108 Poufność 1) Podmiot mający siedzibę we wskazanym państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowanym z takiego państwa trzeciego może zwrócić się do Komisji z uzasadnionym wnioskiem. 3) Komisja ocenia i podejmuje decyzję uwzględniającą szereg aspektów, co prowadzi do analizy danych. (art. 105 ust. 3 i 4) Informacje otrzymane przez Komisję mogą być wykorzystywane wyłącznie do celów, do których je uzyskano. Komisja Europejska Podmioty mające siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowane przez podmioty z takiego państwa trzeciego Otrzymanie wniosku przez Komisję; analiza danych. Przepływ danych Przetwarzanie danych art. 107 Rejestr Komisja prowadzi publicznie dostępny rejestr swoich decyzji, o których mowa w art. 105. W rejestrze podaje się nazwy podmiotów, które były przedmiotem decyzji. Komisja Europejska Podmioty mające siedzibę we wskazanym państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowane z takiego państwa trzeciego Prowadzenie przez Komisję publicznie dostępnego rejestru. Rozwiązanie cyfrowe art. 111 Zakazy dotyczące ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej Właściwy organ wyznaczony na podstawie niniejszego rozporządzenia niezwłocznie informuje właściwy organ zgodnie z rozporządzeniem (UE) XX/XXXX [wniosek dotyczący aktu w sprawie sieci cyfrowych] o środkach nałożonych na dostawców ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej. Właściwy organ w rozumieniu art. 9 lub 20 rozporządzenia (UE) XX/XXXX [wniosek dotyczący aktu w sprawie sieci cyfrowych] Dostawcy ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej Przepływ informacji od właściwego organu do podmiotów w związku z upoważnieniami. Przepływ danych art. 112 ust. 1 i 4 Właściwe organy 1) Każde państwo członkowskie wyznacza co najmniej jeden właściwy organ odpowiedzialny za zadania związane z nadzorem i egzekwowaniem przepisów, o których mowa w art. 114. 4) Każde państwo członkowskie bez zbędnej zwłoki notyfikuje Komisję o nazwach właściwych organów wyznaczonych zgodnie z ust. 1, o odpowiednich zadaniach tych organów oraz o wszelkich późniejszych zmianach w tym zakresie. Każde państwo członkowskie podaje również do wiadomości publicznej nazwy właściwych organów wyznaczonych zgodnie z ust. 1.   Państwa członkowskie UE Komisja Europejska Ogół społeczeństwa Państwa członkowskie wyznaczające właściwe organy i notyfikujące Komisję. Przepływ danych art. 113 Sieć współpracy i usług wsparcia Komisji 1. Komisja tworzy sieć współpracy właściwych organów państw członkowskich i Komisji, która służy jako platforma współpracy i wymiany informacji. Komisja zapewnia sieci wsparcie administracyjne. 2. Aby wesprzeć państwa członkowskie w wykonywaniu ich zadań nadzorczych, Komisja ocenia, czy dostawcy, których mogą dotyczyć szczególne zakazy, mają siedzibę w państwach trzecich budzących obawy związane z cyberbezpieczeństwem wskazanych zgodnie z art. 100 lub są kontrolowani z takich państw trzecich. W tym celu właściwy organ udostępnia Komisji odpowiednie informacje. 3. Do celów oceny Komisja ma prawo zwrócić się o niezbędne informacje do dostawców, których mogą dotyczyć szczególne zakazy, mających siedzibę w państwach trzecich wskazanych zgodnie z art. 100 lub kontrolowanych z takich państw. 4. Po zakończeniu oceny Komisja przekazuje ustalenia właściwym organom w ramach sieci ustanowionej zgodnie z ust. 1. Właściwe organy w odpowiednim czasie informują o ustaleniach zainteresowane podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. 5. W przypadku gdy właściwy organ dowie się o dostawcy, który może podlegać szczególnym zakazom, ma siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub jest kontrolowany z takiego państwa trzeciego i który nie został poddany ocenie, bez zbędnej zwłoki informuje o tym Komisję. Komisja Właściwe organy Podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555 Komisja ocenia dostawców i udostępnia właściwym organom informacje, które udostępniają podmiotom w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555 Komisja zwraca się do dostawców o udzielenie informacji Właściwe organy powiadamiające Komisję Przetwarzanie danych Przepływ danych art. 114 Środki nadzoru i egzekwowania przepisów Wymogi dotyczące państw członkowskich, które zapewnią przepływ informacji z podmiotami, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555. Zanim zastosują środki, właściwe organy notyfikują dane podmioty o swoich wstępnych ustaleniach. Właściwe organy współpracują ze sobą oraz z Komisją. Państwa członkowskie UE Komisja Europejska Podmioty w kontekście załączników I i II do dyrektywy (UE) 2022/2555 Wymogi zapewniające przepływ informacji; Przepływ danych Przetwarzanie danych art. 115 Kary Państwa członkowskie powiadamiają Komisję o tych przepisach i środkach, a także niezwłocznie powiadamiają ją o wszelkich późniejszych zmianach, które ich dotyczą. Komisja Europejska Państwa członkowskie UE Państwa członkowskie notyfikujące Komisji Przepływ danych art. 116 Wzajemna pomoc Jeżeli podmiot, o którym mowa w załączniku I lub II do dyrektywy (UE) 2022/2555 świadczy usługi w więcej niż jednym państwie członkowskim lub świadczy usługi w co najmniej jednym państwie członkowskim, a jego kluczowe zasoby są zlokalizowane w co najmniej jednym innym państwie członkowskim, właściwe organy zainteresowanych państw członkowskich współpracują ze sobą i udzielają sobie wzajemnie pomocy, odpowiednio do potrzeb. Wzajemna pomoc, o której mowa w akapicie pierwszym lit. c), może obejmować wnioski o udzielenie informacji i zastosowanie środków nadzoru, w tym wnioski o przeprowadzenie kontroli na miejscu lub nadzoru zewnętrznego lub ukierunkowanych audytów bezpieczeństwa. Właściwy organ, do którego skierowany jest wniosek o pomoc, nie może odmówić wykonania tego wniosku, chyba że zostanie ustalone, że organ ten nie jest organem właściwym do udzielenia pomocy, której dotyczy wniosek, że pomoc ta jest niewspółmierna do zadań nadzorczych właściwego organu lub że wniosek dotyczy informacji lub obejmuje działania, których ujawnienie lub wykonanie byłoby sprzeczne z podstawowymi interesami państwa członkowskiego w zakresie bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności. Zanim właściwy organ odmówi wykonania wniosku, zasięga opinii innych zainteresowanych właściwych organów, a na wniosek jednego z zainteresowanych państw członkowskich – także opinii Komisji. W stosownych przypadkach i za obopólnym porozumieniem właściwe organy z różnych państw członkowskich mogą prowadzić wspólne działania nadzorcze. Państwa członkowskie UE Wzajemna pomoc w działaniach nadzorczych. Przepływ danych Przetwarzanie danych art. 1 pkt 8 dyrektywy Zgłaszanie ataków z użyciem oprogramowania szantażującego (art. 27 ust. 13 dyrektywy NIS 2)   w art. 23 dodaje się ust. 12 i 13 w brzmieniu:  „13. Państwa członkowskie zapewniają, aby w przypadku poważnego incydentu spowodowanego atakiem z użyciem oprogramowania szantażującego zainteresowane podmioty informowały, na wniosek CSIRT lub, w stosownych przypadkach, właściwego organu, za pośrednictwem kanału komunikacji udostępnionego przez CSIRT lub, w stosownych przypadkach, właściwy organ: czy podmiot otrzymał żądanie okupu i, w stosownych przypadkach, od kogo; czy okup zapłacono, a jeżeli tak, to w jakiej kwocie, w jakich środkach płatniczych i na rzecz jakiego odbiorcy lub odbiorcy końcowego, co obejmuje, w stosownych przypadkach, kryptoaktywa i dostawcę usług w zakresie kryptoaktywów.”. Państwa członkowskie UE Podmioty kluczowe i ważne Sprawozdawczość Przepływ danych art. 1 pkt 10 dyrektywy  Wykaz podmiotów i rejestr (art. 27 ust. 1 dyrektywy NIS 2)   ENISA tworzy i utrzymuje rejestr podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen na podstawie informacji otrzymanych od pojedynczych punktów kontaktowych zgodnie z ust. 2.   ENISA Państwa członkowskie UE (podmioty kluczowe i ważne, o których mowa w dyrektywie NIS 2, podmioty świadczące usługi rejestracji nazw domen) ENISA tworzy i prowadzi rejestr. Rozwiązanie cyfrowe Cyfrowa usługa publiczna   art. 1 pkt 11 dyrektywy  Wykaz podmiotów i rejestr (art. 27 ust. 4 dyrektywy NIS 2) „4. Po otrzymaniu informacji, o których mowa w art. 3 ust. 4, pojedynczy punkt kontaktowy danego państwa członkowskiego przekazuje te informacje, bez zbędnej zwłoki, ENISA.”.  ENISA Państwa członkowskie UE Wymiana informacji między państwami członkowskimi a ENISA Przepływ danych art. 1 pkt 12 dyrektywy Wzajemna pomoc  (art. 37a ust. 1, 2, 3 dyrektywy NIS 2)  1. ENISA pomaga państwom członkowskim w świadczeniu wzajemnej pomocy w rozumieniu art. 37 oraz ułatwia takie procesy współpracy podmiotom kluczowym i ważnym (...). 2. ENISA przeprowadza kompleksową analizę (...) ENISA, we współpracy z Komisją i Grupą Współpracy, opracowuje metodykę. Sprawozdanie jest aktualizowane co roku. 3. ENISA, w stosownych przypadkach, przedstawia zalecenia; opracowuje wytyczne; wspiera (...)   ENISA Państwa członkowskie UE Podmioty kluczowe i ważne w rozumieniu dyrektywy NIS 2 Komisja Europejska ENISA wspiera państwa członkowskie i ułatwia proces współpracy. Przygotowywanie analiz, wytycznych, metodyki, sprawozdań. Przetwarzanie danych Przepływ danych art. 1 pkt 12 dyrektywy Wzajemna pomoc  (art. 37a ust. 4 dyrektywy NIS 2)  4. Do celów ust. 4 lit. e) niniejszego artykułu właściwe organy zainteresowanych państw członkowskich przekazują ENISA następujące informacje, jeżeli są one dostępne (...). 5. W przypadku gdy państwo członkowskie otrzymuje wzajemną pomoc, o której mowa w art. 37 ust. 1 akapit pierwszy lit. c), pojedynczy punkt kontaktowy informuje ENISA o udzieleniu wzajemnej pomocy.  ENISA Państwa członkowskie UE   Wymiana informacji Przepływ danych art. 119 Wykonywanie przekazanych uprawnień 3.    Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie. Komisja Europejska Parlament Europejski Rada  Informacje przesyłane do PE i Rady  Przepływ danych art. 120 Ocena i przegląd  1.    Do dnia [DD MM YYYY] r., a następnie co pięć lat Komisja zleca przeprowadzenie oceny wyników ENISA w odniesieniu do jej celów, mandatu, misji, zadań, zarządzania i lokalizacji zgodnie z wytycznymi Komisji. 5.    Komisja przekazuje ustalenia z oceny Parlamentowi Europejskiemu, Radzie i Zarządowi. Ustalenia z oceny podaje się do wiadomości publicznej. ENISA Komisja Ogół społeczeństwa Gromadzenie i analiza danych; podawanie informacji do wiadomości publicznej Przetwarzanie danych Przepływ danych

4.2.Dane

Ogólny opis danych objętych zakresem inicjatywy oraz wszelkie powiązane normy/specyfikacje 

Rodzaj danych	Odniesienia do wymogów	Norma lub specyfikacja                  (jeżeli dotyczy)
Dane związane z analizami/sprawozdaniami istotne dla odporności w zakresie cyberbezpieczeństwa i społeczeństwa	art. 5 ust. 1 lit. a), b), c), e), f), h)  art. 5 ust. 2, 3 i 4  art. 6  art. 7  art. 8  art. 9  art. 10  art. 11 ust. 2 lit. b) i c)  art. 12 ust. 4  art. 15  art. 1 pkt 7 dyrektywy	Wykonując działania wymienione w art. 11 ust. 1 lit. a)–e) i ust. 2, ENISA wykorzystuje własne analizy oraz, w stosownych przypadkach, informacje otrzymane podczas wykonywania swoich zadań, w tym: a) informacje pochodzące z publicznie dostępnych źródeł, w tym publicznie znane podatności w produktach lub usługach ICT dostępnych w europejskiej bazie danych dotyczących podatności ustanowionej na podstawie art. 12 ust. 2 dyrektywy (UE) 2022/2555; b) informacje udostępniane przez państwa członkowskie, podmioty Unii, CERT-UE, partnerów z sektora prywatnego lub partnerów pozarządowych oraz państwa trzecie i organizacje międzynarodowe, z zastrzeżeniem wszelkich ograniczeń w postaci widocznego oznaczenia dotyczącego dalszego rozpowszechniania tych informacji. ENISA wydaje wytyczne dotyczące interoperacyjności systemów informatycznych sieci wykorzystywanych do wymiany informacji, w tym w odniesieniu do transgranicznych centrów cyberbezpieczeństwa, o których mowa w art. 6 ust. 3 rozporządzenia (UE) 2025/38.
Dane istotne dla współpracy operacyjnej i orientacji sytuacyjnej	art. 10 ust. 4 lit. a)–g)  art. 10 ust. 6  art. 11 ust. 1 lit. a)–g)  Art. 11 ust. 2 lit. a), b) i c)  art. 11 ust. 3  art. 11 ust. 4  art. 13 ust. 2  art. 15  art. 16 ust. 2 lit. e)	Normy dotyczące poufności i postępowania z informacjami szczególnie chronionymi  Wykonując działania wymienione w art. 11 ust. 1 lit. a)–e) i ust. 2, ENISA wykorzystuje własne analizy oraz, w stosownych przypadkach, informacje otrzymane podczas wykonywania swoich zadań, w tym: a) informacje pochodzące z publicznie dostępnych źródeł, w tym publicznie znane podatności w produktach lub usługach ICT dostępnych w europejskiej bazie danych dotyczących podatności ustanowionej na podstawie art. 12 ust. 2 dyrektywy (UE) 2022/2555; b) informacje udostępniane przez państwa członkowskie, podmioty Unii, CERT-UE, partnerów z sektora prywatnego lub partnerów pozarządowych oraz państwa trzecie i organizacje międzynarodowe, z zastrzeżeniem wszelkich ograniczeń w postaci widocznego oznaczenia dotyczącego dalszego rozpowszechniania tych informacji.
Dane istotne dla europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa i upoważniania dostawców  Dane istotne dla celów, założeń i treści europejskich programów certyfikacji cyberbezpieczeństwa	art. 17  art. 18  art. 19–23.  art. 72, 73, 74, 75, 76, 77, 79, 81, 83, 84	Europejski program indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa obejmuje (...): zasady dotyczące przechowywania dokumentów przez upoważnionych dostawców poświadczeń Upoważnieni dostawcy zapewniają, aby na wniosek osoby fizycznej elektroniczne poświadczenia w ramach europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa wydawane jako elektroniczne poświadczenia atrybutów w formacie, który może być przechowywany w europejskich portfelach tożsamości cyfrowej określonych w rozporządzeniu (UE) nr 910/2014. . Ustanawiając europejski program certyfikacji cyberbezpieczeństwa w odniesieniu do danych, Komisja i ENISA powinny przestrzegać odpowiednich przepisów prawa Unii.
Dane związane z zarządzaniem europejskimi ramami certyfikacji cyberbezpieczeństwa	art. 85, 86, 88, 89, 90, 92, 93, 94, 95, 96, 97	ENISA, jednostki oceniające zgodność i krajowe organy ds. certyfikacji cyberbezpieczeństwa powinny zapewnić poufność danych i przestrzegać przepisów odpowiedniego programu odnoszących się do norm międzynarodowych określających wymogi.
Dane istotne dla wewnętrznych funkcji ENISA (budżet, jednolity dokument programowy, strategie wewnętrzne)	art. 25  art. 28 ust. 1  art. 30  art. 31 ust. 8  art. 32 ust. 3, 5  art. 35 ust. 5, 6  art. 36–43  art. 44  art. 45  art. 47 ust. 10  art. 48–49.  art. 52, art. 58	Wzory i wytyczne dotyczące regulacji finansowych; wewnętrzne wytyczne
Dane osobowe	art. 22  Tytuł II rozdział III sekcja 6 „Rada Odwoławcza”  art. 66  art. 80 ust. 1 lit. c) i x)  art. 81 ust. 2 art. 88 ust. 6 lit. h)  art. 95  art. 96	Rozporządzenie (UE) 2018/1725  Rozporządzenie (UE) 2016/679
Dane gromadzone i analizowane w kontekście przeprowadzania skoordynowanych ocen ryzyka, opracowywania scenariuszy ryzyka i identyfikacji kluczowych zasobów ICT	art. 98 art. 99 art. 102 art. 103 art. 105	Bez uszczerbku dla art. 13 rozporządzenia (UE) 2024/2847 i art. 21 dyrektywy (UE) 2022/2555
Dane dotyczące państw trzecich/podmiotów z państw trzecich	art. 100 ust. 1, 3, 4 art. 104 art. 105 art. 107 art. 113	nd.
Dane dotyczące organów krajowych	art. 112 art. 114 art. 116	nd.
Dane istotne dla oceny ryzyka	art. 5 ust. 2	Normy dotyczące poufności i postępowania z informacjami szczególnie chronionymi
Wzajemna pomoc między państwami członkowskimi	art. 5 ust. 1 lit. g) rozporządzenia i art. 1 pkt 12 dyrektywy	/

Powiązanie z europejską strategią w zakresie danych

Wyjaśnić, w jaki sposób wymogi te są zgodne z europejską strategią w zakresie danych.

Wymogi zawarte we wniosku dotyczącym drugiego aktu o cyberbezpieczeństwie są dostosowane bez żadnych konkretnych skutków w odniesieniu do europejskiej strategii w zakresie danych.

Powiązanie z zasadą jednorazowości     

Wyjaśnić, w jaki sposób uwzględniono zasadę jednorazowości i w jaki sposób zbadano możliwość ponownego wykorzystania istniejących danych. 

Jednym z celów wniosku jest maksymalizacja wysiłków Komisji na rzecz uproszczenia oraz zmniejszenie obciążeń administracyjnych dla państw członkowskich i zainteresowanych stron. W ostatnich latach ENISA stała się węzłem informacyjnym gromadzącym dane z różnych źródeł. W tym sensie wiele zadań ENISA wiąże się z ponownym wykorzystywaniem informacji do celów różnych analiz. Na przykład: do niektórych celów ponowne wykorzystywane są informacje notyfikowane na podstawie art. 23 i 30 dyrektywy (UE) 2022/2555; informacje notyfikowane, udostępnione lub przeanalizowane na podstawie art. 14 ust. 1–3, art. 15 oraz art. 17 ust. 1 i 3 rozporządzenia (UE) 2024/2847. Przepisy ram dotyczących łańcucha dostaw zakładają, że ich wdrożenie zostanie poparte danymi otrzymanymi na podstawie art. 22 dyrektywy (UE) 2022/2555, co wskazuje na ponowne wykorzystywanie informacji i koordynację.

Wyjaśnić, w jaki sposób nowo utworzone dane są możliwe do znalezienia, dostępne, interoperacyjne i nadające się do ponownego wykorzystania oraz spełniają normy wysokiej jakości.

We wniosku ustawodawczym wyraźnie wskazano, kiedy dane powinny być udostępniane publicznie. We wniosku uwzględniono charakter przepisów dotyczących ściśle bezpieczeństwa i poufności, w związku z czym nie wszystkie dane tworzone w ramach przeglądu aktu o cyberbezpieczeństwie będą przeznaczone do użytku publicznego. W odniesieniu do niezbędnych przepisów zapewniono dostosowanie do europejskiego portfela tożsamości cyfrowej. ENISA ma za zadanie oferować usługę wydawania wczesnych ostrzeżeń w formacie nadającym się do odczytu maszynowego.

Przepływ danych

Ogólny opis danych objętych zakresem inicjatywy oraz wszelkie powiązane normy/specyfikacje

Rodzaj danych	Wyjaśnienie przepływu danych		Odesłania
ENISA zapewnia sprawozdania i analizy, wytyczne techniczne i najlepsze praktyki.	Jest to przepływ danych skierowany do zainteresowanych stron ENISA, wspierający wdrażanie polityki i prawa UE. W ramach tych przepływów danych ENISA gromadzi informacje, najczęściej za pośrednictwem źródeł publicznych, sporządza analizy i dzieli się wynikami ze swoimi zainteresowanymi stronami. ENISA realizuje niektóre zadania również na wniosek Komisji.		art. 5 ust. 1 lit. a), b), c), e), f), h) art. 5 ust. 2; art. 5 ust. 3; art. 5 ust. 5 art. 6 art. 7 art. 8 art. 9 art. 10 art. 11 ust. 2 art. 11 ust. 4 art. 14
Przepływ danych między Komisją, ENISA, państwami członkowskimi i innymi odpowiednimi podmiotami w ramach unijnego ekosystemu cyberbezpieczeństwa w rozumieniu współpracy operacyjnej	Ten rodzaj przepływu danych ustanawia się na potrzeby współpracy operacyjnej i orientacji sytuacyjnej. Wymiana informacji odbywa się w obu kierunkach. Wymiana dotyczy danych operacyjnych.		art. 10 ust. 4 lit. a)–g) art. 11 ust. 1 lit. b)–g) art. 11 ust. 2 lit. a) i b) art. 11 ust. 3 art. 15 art. 16 ust. 2 lit. e)
Przepływ danych ustanowiony w celu wsparcia europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa i europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa oraz ich wdrażania	Ten przepływ danych wspiera wymianę w zakresie: – utrzymania i upowszechniania stosowania europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa, wraz z przepływami między ENISA a jej członkami grupy roboczej ad hoc oraz między ENISA a Komisją; – opracowania i utrzymani europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, obejmujących przepływ między ENISA a jej członkami grupy roboczej ad hoc oraz między ENISA, Komisją i państwami członkowskimi; – wdrożenia europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa obejmujących przepływ danych między wnioskodawcami a ENISA; – przepływu danych między Radą Odwoławczą, ENISA, Komisją i wnioskodawcami.		art. 19–23 art. 36–43
Dane istotne dla celów, założeń i treści europejskich programów certyfikacji cyberbezpieczeństwa	Ten rodzaj przepływu danych ma znaczenie dla planowania, składania wniosków, opracowywania, przyjmowania i utrzymywania (w tym ewentualnego przeglądu) europejskich programów certyfikacji cyberbezpieczeństwa. Jest on w szczególności związany z zaangażowaniem i doradztwem eksperckim zainteresowanych stron, ENISA, organów państw członkowskich za pośrednictwem ECCG na różnych etapach procedury. Ponadto dodatkowy przepływ danych jest związany z dostarczaniem odpowiednich informacji ogółowi społeczeństwa za pośrednictwem specjalnych stron internetowych Komisji i ENISA. Ponadto ramy przewidują publiczne udostępnianie dodatkowych informacji na temat cyberbezpieczeństwa przez wytwórców lub dostawców produktów ICT, usług ICT lub procesów ICT, w odniesieniu do których wydano unijną deklarację zgodności lub europejski certyfikat cyberbezpieczeństwa, przy użyciu własnych środków.	art. 18 art. 19 art. 72, 73, 74, 75, 76, 77, 79, 81, 83, 84
Dane związane z zarządzaniem europejskimi ramami certyfikacji cyberbezpieczeństwa	Ten przepływ danych wspiera wymianę w zakresie: – koordynacji i zarządzania europejskimi programami certyfikacji cyberbezpieczeństwa – akredytacji i upoważnień dla jednostek oceniających zgodność, a także ich późniejszej notyfikacji za pośrednictwem odpowiedniej platformy i powiązanych procedur – procedur odwoławczych, takich jak prawo do wniesienia skargi, środka zaskarżenia lub procedury odwoławczej i procedury zmiany	art. 85, 86, 88, 89, 90, 92, 93, 94, 95, 96
Przepływ danych w związku z działalnością administracyjną Agencji	Przepływ między ENISA, Zarządem, państwami członkowskimi i Komisją. Informacje dotyczą działalności administracyjnej Agencji, w obu kierunkach. W niektórych przypadkach informacje są również przesyłane do Parlamentu Europejskiego (przepływ danych w tym zakresie przedstawiono poniżej).		art. 25 art. 28 ust. 1 art. 30 art. 31 ust. 8 art. 32 ust. 3, 5 art. 35 ust. 5, 6 art. 36–43 art. 44 art. 45
Dane przesyłane do Parlamentu Europejskiego	Przepływ do Parlamentu Europejskiego dotyczący działalności ENISA i wykonywania zadań; zarządzanie budżetem i finansami, współpraca z państwami trzecimi i organizacjami międzynarodowymi, wysłuchanie kandydata na Dyrektora Wykonawczego; kwestie związane z europejską certyfikacją cyberbezpieczeństwa		art. 28 ust. 1 lit. f), art. 31 ust. 8, art. 32 ust. 3, art. 44 ust. 3, art. 49 ust. 6, art. 49 ust. 9, art. 70 ust. 5, art. 72 ust. 4 i 5, art. 119 ust. 3 „Wykonywanie przekazanych uprawnień”, art. 120 „Ocena i przegląd”
Dane przesyłane Radzie UE	Przepływ do Parlamentu Europejskiego dotyczący działalności ENISA i wykonywania zadań; zarządzanie budżetem i finansami, współpraca z państwami trzecimi i organizacjami międzynarodowymi, wysłuchanie kandydata na Dyrektora Wykonawczego; propozycje programu opracowywane zgodnie z europejskimi ramami certyfikacji cyberbezpieczeństwa.		art. 28 ust. 1 lit. f), art. 31 ust. 8, art. 32 ust. 3, art. 32 ust. 7 art. 49 ust. 6, art. 49 ust. 9, art. 70 ust. 5, art. 72 ust. 4 i 5, art. 119 ust. 3 „Wykonywanie przekazanych uprawnień”, art. 120 „Ocena i przegląd”
Przepływ danych w związku ze złożeniem skargi	Rozpatrywanie skarg osób fizycznych lub prawnych dotyczących europejskich certyfikatów cyberbezpieczeństwa wydanych przez krajowe organy ds. certyfikacji cyberbezpieczeństwa lub europejskich certyfikatów cyberbezpieczeństwa wydanych przez jednostki oceniające zgodność zgodnie z art. 84 ust. 4 lub dotyczących unijnych deklaracji zgodności Osoby fizyczne i prawne mają prawo do wniesienia skargi do podmiotu, który wydał europejski certyfikat cyberbezpieczeństwa lub, w przypadku gdy skarga dotyczy europejskiego certyfikatu cyberbezpieczeństwa wydanego przez jednostkę oceniającą zgodność.		art. 55 ust. 3; art. 88 ust. 7 lit. f) art. 96
Przepływ danych dotyczących ataków z użyciem oprogramowania szantażującego	Zgłaszanie niektórych informacji w przypadku ataków z użyciem oprogramowania szantażującego		art. 1 pkt 8 dyrektywy

   

Rodzaj danych	Odniesienia do wymogów	Podmioty dostarczające dane	Podmioty otrzymujące dane	Czynnik uruchamiający wymianę danych	Częstotliwość (jeżeli dotyczy)
Przepływ danych między Komisją a państwami członkowskimi w kontekście przeprowadzania skoordynowanych ocen ryzyka związanego z bezpieczeństwem na szczeblu unijnym.	art. 99 Oceny ryzyka związanego z bezpieczeństwem	Komisja i państwa członkowskie	Państwa członkowskie (grupa współpracy NIS)	art. 99 Oceny ryzyka związanego z bezpieczeństwem	nd.
Przepływ danych między Komisją a Radą w związku ze wskazywaniem państw trzecich budzących obawy związane z cyberbezpieczeństwem	art. 100 Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem	Komisja	Rada	art. 100 Weryfikacja przez Komisję zagrożenia stwarzanego przez państwo trzecie
Przepływ danych między Komisją a państwami członkowskimi w odniesieniu do środków ograniczających ryzyko w wyjątkowych okolicznościach	art. 103 ust. 6 Środki ograniczające ryzyko w łańcuchach dostaw ICT	Komisja	Państwa członkowskie	Okoliczności nadzwyczajne	nd.
Przepływ danych między Komisją a dostawcami oraz między Komisją a właściwymi organami w odniesieniu do oceny miejsca prowadzenia działalności, własności i kontroli dostawców	art. 104 ust. 4, 5, 6 Identyfikacja dostawców wysokiego ryzyka	Dostawcy Komisja Właściwe organy	Właściwe organy Dostawcy Komisja	Akty wykonawcze przyjęte zgodnie z art. 103 ust. 1 i w odniesieniu do zakazu określonego w art. 111 ust. 1	nd.
Przepływ danych między Komisją a państwami członkowskimi w odniesieniu do uprawnień nadzorczych w związku z wdrażaniem zaufanych ram bezpieczeństwa łańcucha dostaw ICT	art. 112 ust. 1 i 4 Właściwe organy art. 114 Środki nadzoru i egzekwowania przepisów	Państwa członkowskie	Komisja	art. 112 ust. 1 i 4 Właściwe organy art. 114 Środki nadzoru i egzekwowania przepisów (Komisja we współpracy z państwami członkowskimi wydaje wykaz podmiotów powiązanych z dostawcami wysokiego ryzyka).	nd.
Przepływ danych między Komisją a osobami trzecimi w odniesieniu do wyłączeń	art. 105 Wyłączenie podmiotów mających siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowanych z takiego państwa trzeciego	Osoby trzecie (podmioty mające siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowane przez podmioty z takiego państwa trzeciego (w rozumieniu art. 100) (przy składaniu wniosku o wyłączenie) Komisja Europejska (podczas wydawania decyzji)	Komisja (po otrzymaniu wniosku o wyłączenie) Osoby trzecie (podmioty mające siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowane przez podmioty takiego z państwa trzeciego (w rozumieniu art. 100) (po otrzymaniu decyzji Komisji)	Decyzja na podstawie art. 100 Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem	nd.
Przepływ danych między państwami członkowskimi a osobami trzecimi w odniesieniu do zakazów w sieciach łączności elektronicznej	art. 111 Zakazy dotyczące ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej	Państwa członkowskie (właściwe organy)	Osoby trzecie (dostawcy ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej)	Właściwy organ wyznaczony na podstawie niniejszego rozporządzenia niezwłocznie informuje właściwy organ zgodnie z rozporządzeniem (UE) XX/XXXX [wniosek dotyczący aktu w sprawie sieci cyfrowych] o środkach nałożonych na dostawców ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej	nd.
Przepływ danych między Komisją a państwami członkowskimi w kontekście sieci współpracy i usług wsparcia	art. 113 Sieć współpracy i usług wsparcia Komisji	Komisja Państwa członkowskie (właściwe organy)	Komisja Państwa członkowskie (właściwe organy)	Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem
Przepływ danych między państwami członkowskimi a osobami trzecimi w odniesieniu do środków nadzoru i egzekwowania przepisów	art. 114 Środki nadzoru i egzekwowania przepisów	Osoby trzecie (podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555)	Państwa członkowskie (właściwe organy)	Wdrożenie środków przewidzianych w tytule IV
Przepływ danych między państwami członkowskimi na potrzeby wzajemnej pomocy	art. 116 Wzajemna pomoc	Państwa członkowskie	Państwa członkowskie	Jeżeli podmiot, o którym mowa w załączniku I lub II do dyrektywy (UE) 2022/2555 świadczy usługi w więcej niż jednym państwie członkowskim lub świadczy usługi w co najmniej jednym państwie członkowskim, a jego kluczowe zasoby ICT są zlokalizowane w co najmniej jednym innym państwie członkowskim, właściwe organy zainteresowanych państw członkowskich współpracują ze sobą i udzielają sobie wzajemnie pomocy, odpowiednio do potrzeb.	nd.

4.3.Rozwiązania cyfrowe

Ogólny opis rozwiązań cyfrowych 

W odniesieniu do każdego rozwiązania cyfrowego wyjaśnienie, w jaki sposób to rozwiązanie cyfrowe spełnia wymogi mających zastosowanie polityk cyfrowych i aktów ustawodawczych 

Rozwiązanie cyfrowe	Odniesienia do wymogów	Podstawowa wymagana funkcjonalność	Organ odpowiedzialny	W jaki sposób zapewniania jest dostępność?	W jaki sposób uwzględniono wymóg ponownego wykorzystania?	Wykorzystanie technologii sztucznej inteligencji (stosownie do przypadku)
ENISA zapewnia obsługę sekretariatu sieci CSIRT i EU-CyCLONe oraz wdraża w ramach sieci CSIRT i EU-CyCLONe bezpieczne narzędzia komunikacji dostarczane przez podmioty prawne, które nie mają siedziby w państwach trzecich ani nie są kontrolowane przez państwa trzecie lub przez obywateli państw trzecich.	art. 10 ust. 2, 3 i 5	Informacja niepubliczna	ENISA	Informacja niepubliczna	Informacja niepubliczna	Informacja niepubliczna
Opracowuje we współpracy z EU-CyCLONe, siecią CSIRT, Komisją, Europolem i CERT-UE oraz odpowiednimi podmiotami Unii repozytoria zweryfikowanych, wiarygodnych analiz zagrożeń cyberbezpieczeństwa, w tym tendencji w zakresie incydentów, taktyk, technik i procedur.	art. 11 ust. 1 lit. a)	zweryfikowane, wiarygodne analizy zagrożeń cyberbezpieczeństwa, w tym tendencje w zakresie incydentów, taktyk, technik i procedur	ENISA EU-CyCLONe, sieć CSIRT, Komisja, Europol i CERT-UE oraz odpowiednie podmioty unijne	nd.	nd.	nd.
ENISA prowadzi repozytorium wyciągniętych wniosków.	art. 14 ust. 2	ENISA prowadzi repozytorium wniosków wyciągniętych z ćwiczeń oraz zaleca państwom członkowskim oraz, w stosownych przypadkach, podmiotom unijnym, w jaki sposób można skutecznie i wydajnie wdrożyć wyciągnięte wnioski.	ENISA	nd.	nd.	nd.
ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje, odpowiednio do potrzeb, operacyjne narzędzia techniczne, takie jak platformy związane z cyberbezpieczeństwem na szczeblu unijnym, w szczególności pojedynczą platformę sprawozdawczą służącą do zgłaszania incydentów ustanowioną na podstawie art. 16 ust. 1 rozporządzenia (UE) 2024/2847 [oraz pojedynczy punkt kontaktowy ustanowiony na podstawie art. 23a dyrektywy (UE) 2022/2555] lub narzędzia testowe wspierające wdrażanie procedur oceny zgodności zgodnie z odpowiednimi przepisami Unii.	art. 15	Pojedyncza platforma sprawozdawcza   Art. 16 ust. 1 rozporządzenia (UE) 2024/2847   [pojedynczy punkt kontaktowy   art. 23a dyrektywy (UE) 2022/2555]	ENISA	nd.	nd.	nd.
Prowadzenie europejskiej bazy danych dotyczących podatności ustanowionej na podstawie art. 12 ust. 2 dyrektywy (UE) 2022/2555 oraz świadczenie usług zarządzania podatnościami	art. 16 ust. 2	art. 12 ust. 2 dyrektywy (UE) 2022/2555   Prowadzenie bazy danych i świadczenie usług zarządzania podatnościami	ENISA	nd.	nd.	nd.
ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne	art. 19–23	Prowadzenie i regularne aktualizowanie specjalnej strony internetowej zawierającej informacje publiczne na temat europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa, w tym ram i harmonogramu aktualizacji; europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ich postępu i harmonogramów ich opracowywania; opłat związanych z każdym europejskim programem indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa; orientacyjnego kosztu europejskiego indywidualnego poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa; wykazu upoważnionych dostawców poświadczeń.	ENISA	nd.	nd.	nd.
Komisja prowadzi i regularnie aktualizuje specjalną ogólnodostępną stronę internetową	art. 72	Następujące informacje: a)    europejskie programy certyfikacji cyberbezpieczeństwa, których opracowanie jest wymagane; b)    priorytety strategiczne w zakresie harmonizacji produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub wymogów bezpieczeństwa określonych w przepisach Unii, w tym potencjalnych obszarów, w przypadku których może być wymagany europejski program certyfikacji cyberbezpieczeństwa.	Komisja Europejska	Zgodność z wytycznymi	Zgodność z wytycznymi	nd.
ENISA prowadzi specjalną stronę internetową poświęconą certyfikacji	art. 79	Udzielanie informacji dotyczących: a) europejskich programów certyfikacji cyberbezpieczeństwa; b) opłat związanych z utrzymaniem każdego europejskiego programu certyfikacji cyberbezpieczeństwa; c) odpowiednich specyfikacji technicznych ENISA; d) europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności, w tym informacji dotyczące takich certyfikatów i deklaracji, które utraciły ważność lub które zostały zawieszone, cofnięte lub wygasły; e) istotnych dodatkowych informacji na temat cyberbezpieczeństwa przekazanych zgodnie z art. 84 ust. 2; f)podsumowań wzajemnych przeglądów na podstawie art. 89 ust. 7; g)specyfikacji technicznych przywołanych w europejskim programie certyfikacji cyberbezpieczeństwa na podstawie art. 74 ust. 10.	ENISA	Zgodność z wytycznymi	Zgodność z wytycznymi	nd.
Rejestr (wyłączeń dla podmiotów mających siedzibę w państwie trzecim budzącym obawy związane z cyberbezpieczeństwem lub kontrolowanych przez podmioty z takiego państwa trzeciego)	art. 107 Rejestr	Komisja prowadzi publicznie dostępny rejestr swoich decyzji, o których mowa w art. 105 ust. 4. W rejestrze podaje się nazwy podmiotów, które były przedmiotem decyzji. Komisja regularnie je aktualizuje.	Komisja	„Komisja utrzymuje publicznie dostępny rejestr”.	nd.	nd.
Platforma (do celów współpracy i wymiany informacji między Komisją a właściwymi organami)	art. 113	Komisja tworzy sieć współpracy właściwych organów państw członkowskich i Komisji, która służy jako platforma współpracy i wymiany informacji. Komisja zapewnia sieci wsparcie administracyjne.	Komisja	Niepubliczne, tylko dla właściwych organów	nd.	nd.
ENISA tworzy i utrzymuje rejestr podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen.	art. 1 pkt 11 dyrektywy	Rejestr podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen	ENISA	nd.	Na podstawie informacji otrzymanych od pojedynczych punktów kontaktowych zgodnie z ust. 2. (art. 27 dyrektywy NIS 2).	nd.

Rozwiązania cyfrowe uwzględnione w powyższej tabeli 

Polityka cyfrowa lub sektorowa (jeżeli mają zastosowanie)	Wyjaśnienie, w jaki sposób te polityki są zgodne
Akt w sprawie sztucznej inteligencji	nd.
Ramy UE dotyczące cyberbezpieczeństwa	nd.
eIDAS	nd.
Jednolity portal cyfrowy oraz IMI	nd.
Inne	nd.

Ogólny opis cyfrowych usług publicznych, na które te wymogi mają wpływ

Cyfrowa usługa publiczna lub kategoria cyfrowych usług publicznych	Opis	Odniesienia do wymogów	Rozwiązania w zakresie Interoperacyjnej Europy (NIE DOTYCZY)	Inne rozwiązania w zakresie interoperacyjności
ENISA zapewniająca obsługę sekretariatu sieci i wdrażanie bezpiecznych narzędzi komunikacji	ENISA zapewnia obsługę sekretariatu sieci CSIRT zgodnie z art. 15 ust. 2 dyrektywy (UE) 2022/2555. ENISA zapewnia obsługę sekretariatu EU-CyCLONe zgodnie z art. 16 ust. 2 dyrektywy (UE) 2022/2555 [oraz pojedynczy punkt kontaktowy do celów zgłaszania incydentów ustanowiony na podstawie art. 23a dyrektywy (UE) 2022/2555], a także narzędzia testowe wspierające wdrażanie procedur oceny zgodności zgodnie z odpowiednimi przepisami Unii. ENISA wdraża w ramach sieci CSIRT i EU-CyCLONe bezpieczne narzędzia komunikacji dostarczane przez podmioty prawne, które nie mają siedziby w państwach trzecich ani nie są kontrolowane przez państwa trzecie lub przez obywateli państw trzecich.	art. 11	//	nd.
Wczesne ostrzeżenia	Wydawanie wczesnych ostrzeżeń	art. 11 art. 12
Wsparcie w związku z konkretnym potencjalnym lub trwającym incydentem lub zagrożeniem cyberbezpieczeństwa	Na wniosek co najmniej jednego państwa członkowskiego – zapewnianie doradztwa i ocen w odniesieniu do konkretnego potencjalnego lub trwającego incydentu lub zagrożenia cyberbezpieczeństwa, w tym poprzez zapewnianie wiedzy fachowej i ułatwianie technicznego postępowania w przypadku takich incydentów, a także poprzez wspieranie dobrowolnej wymiany odpowiednich informacji i rozwiązań technicznych między państwami członkowskimi;	art. 10
Wspieranie skoordynowanego zarządzania incydentami i kryzysami w cyberbezpieczeństwie na dużą skalę na szczeblu operacyjnym.	Wkład we wspieranie skoordynowanego zarządzania incydentami i kryzysami w cyberbezpieczeństwie na dużą skalę na szczeblu operacyjnym, w szczególności dzięki wspieraniu EU-CyCLONe w przygotowywaniu sprawozdań na szczeblu politycznym poprzez ułatwianie terminowej wymiany informacji między siecią CSIRT a EU-CyCLONe.	art. 10
Repozytoria zweryfikowanych, wiarygodnych analiz zagrożeń cyberbezpieczeństwa	Opracowuje we współpracy z EU-CyCLONe, siecią CSIRT, Komisją, Europolem i CERT-UE oraz odpowiednimi podmiotami Unii repozytoria zweryfikowanych, wiarygodnych analiz zagrożeń cyberbezpieczeństwa, w tym tendencji w zakresie incydentów, taktyk, technik i procedur.	art. 11
Repozytorium wyciągniętych wniosków	ENISA prowadzi repozytorium wniosków wyciągniętych z tych ćwiczeń oraz zaleca państwom członkowskim oraz, w stosownych przypadkach, podmiotom unijnym, w jaki sposób można skutecznie i wydajnie wdrożyć wyciągnięte wnioski.	art. 14
ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje w razie potrzeby operacyjne narzędzia techniczne, takie jak platformy.	ENISA ustanawia, zapewnia, obsługuje, utrzymuje i aktualizuje, odpowiednio do potrzeb, operacyjne narzędzia techniczne, takie jak platformy związane z cyberbezpieczeństwem na szczeblu unijnym, w szczególności pojedynczą platformę sprawozdawczą służącą do zgłaszania incydentów ustanowioną na podstawie art. 16 ust. 1 rozporządzenia (UE) 2024/2847 [oraz pojedynczy punkt kontaktowy ustanowiony na podstawie art. 23a dyrektywy (UE) 2022/2555], a także narzędzia testowe wspierające wdrażanie procedur oceny zgodności zgodnie z odpowiednimi przepisami Unii.	art. 15
Utrzymywanie europejskiej bazy danych dotyczących podatności ustanowionej zgodnie z art. 12 ust. 2 dyrektywy (UE) 2022/2555	Utrzymywanie europejskiej bazy danych dotyczących podatności ustanowionej zgodnie z art. 12 ust. 2 dyrektywy (UE) 2022/2555. Świadczenie usług zarządzania podatnościami na zagrożenia na rzecz zainteresowanych stron, w oparciu o europejską bazę danych dotyczących podatności i z wykorzystaniem odpowiednich informacji dostępnych ENISA. Nawiązywanie ustrukturyzowanej współpracy z organizacjami zapewniającymi programy, rejestry lub bazy danych podobne do europejskiej bazy danych dotyczących podatności. Aktywne wspieranie CSIRT wyznaczonych na koordynatorów zgodnie z art. 12 ust. 1 dyrektywy (UE) 2022/2555 w odniesieniu do zarządzania skoordynowanym ujawnianiem podatności mogących mieć znaczny wpływ na podmioty w więcej niż jednym państwie członkowskim; Opracowywanie i utrzymywanie metod i mechanizmów zarządzania w zakresie identyfikacji podatności i skoordynowanego ujawniania, we współpracy z właściwymi organami krajowymi, CSIRT, przemysłem i środowiskiem naukowym.	art. 16
Przygotowanie propozycji europejskich programów certyfikacji cyberbezpieczeństwa	Przygotowywanie propozycji europejskich programów certyfikacji cyberbezpieczeństwa („propozycje programów”) dotyczących produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów oraz powiązanych specyfikacji technicznych zgodnie z art. 74. Utrzymywanie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 75. tym z myślą o ewentualnym przeglądzie przyjętych europejskich programów certyfikacji cyberbezpieczeństwa zgodnie z art. 76.	art. 17
ENISA opracowuje i utrzymuje europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa	ENISA opracowuje i utrzymuje europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa. ENISA wydaje umotywowaną decyzję w sprawie udzielenia wnioskodawcy upoważnienia do wydawania europejskich indywidualnych poświadczeń umiejętności dotyczących realizacji i utrzymania programów oraz upoważnień, w sprawie odmowy udzielenia upoważnienia, w sprawie zamknięcia procesu rozpatrywania wniosku ze względu na niewystarczające informacje dostarczone przez wnioskodawcę lub w sprawie niepodjęcia przez nią działań w następstwie wniosku o dodatkowe informacje.	art. 20–22.
ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową.	ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat: a)    europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa, w tym ram i harmonogramu ich aktualizacji; b)    europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, ich postępu i harmonogramów ich opracowywania; c)    opłat związanych z każdym europejskim programem indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa, przyjętych na podstawie art. 47 niniejszego rozporządzenia; d)    orientacyjnego kosztu europejskiego indywidualnego poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa zgodnie z art. 20 ust. 4; e)    wykazu upoważnionych dostawców poświadczeń.	art. 23
Komisja prowadzi i regularnie aktualizuje specjalną ogólnodostępną stronę internetową.	Komisja prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje na temat następujących aspektów: a) europejskich programów certyfikacji cyberbezpieczeństwa, których opracowanie jest wymagane; b) priorytetów strategicznych w zakresie harmonizacji produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub wymogów bezpieczeństwa określonych w przepisach Unii, w tym potencjalnych obszarów, w przypadku których może być wymagany europejski program certyfikacji cyberbezpieczeństwa.	art. 72
ENISA prowadzi specjalną stronę internetową poświęconą certyfikacji	ENISA prowadzi i regularnie aktualizuje specjalną stronę internetową zawierającą informacje publiczne na temat: a) europejskich programów certyfikacji cyberbezpieczeństwa; b) opłat związanych z utrzymaniem każdego europejskiego programu certyfikacji cyberbezpieczeństwa; c) odpowiednich specyfikacji technicznych ENISA; d) europejskich certyfikatów cyberbezpieczeństwa i unijnych deklaracji zgodności, w tym informacji dotyczące takich certyfikatów i deklaracji, które utraciły ważność lub które zostały zawieszone, cofnięte lub wygasły; e) istotnych dodatkowych informacji na temat cyberbezpieczeństwa przekazanych zgodnie z art. 84 ust. 2; f)    podsumowań wzajemnych przeglądów na podstawie art. 89 ust. 7; g)    specyfikacji technicznych przywołanych w europejskim programie certyfikacji cyberbezpieczeństwa na podstawie art. 74 ust. 10.	art. 79
Dochodzenia	Komisja bada wszelkie przypadki, w których ma wątpliwości lub zostaje poinformowana o wątpliwościach co do zdolności jednostki oceniającej zgodność do spełnienia lub dalszego spełniania przez jednostkę oceniającą zgodność nałożonych na nią wymagań i obowiązków. Komisja odpowiada za utrzymanie w tajemnicy wszystkich informacji szczególnie chronionych uzyskanych w trakcie dochodzenia.	art. 94
ENISA tworzy i utrzymuje rejestr podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen.	Rejestr podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen. Na wniosek ENISA umożliwia właściwym organom dostęp do informacji dotyczących dostawców usług DNS, rejestrów nazw TLD, dostawców usług przetwarzania w chmurze, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, jak również dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych przechowywanych w tym rejestrze, jednocześnie zapewniając w stosownych przypadkach ochronę poufności informacji.	art. 1 pkt 11 dyrektywy

4.4.Ocena interoperacyjności

Wpływ wymogów na interoperacyjność transgraniczną dla każdej cyfrowej usługi publicznej 

Repozytoria/platformy/wczesne ostrzeżenia/sekretariat/współpraca operacyjna/baza danych dotyczących skoordynowanego ujawniania podatności

Ocena	Środki	Potencjalne utrzymujące się bariery
Ocena dostosowania do istniejących polityk cyfrowych i sektorowych Proszę wymienić mające zastosowanie polityki cyfrowe i sektorowe.	Cyberbezpieczeństwo	Brak znanych barier
Ocena środków organizacyjnych na rzecz sprawnego transgranicznego świadczenia cyfrowych usług publicznych  Proszę wymienić przewidywane środki zarządzania.	Zarząd ENISA Sieć CSIRT  EU-CyCLONe  Grupa współpracy NIS    Wszystkie to fora, na których można poruszać kwestie problematyczne.	nd.
Ocena środków podjętych w celu zapewnienia wspólnego zrozumienia danych  Proszę wymienić takie środki.	nd.	nd.
Ocena stosowania wspólnie uzgodnionych otwartych specyfikacji i norm technicznych  Proszę wymienić takie środki.	nd.	nd.

Europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa

Ocena	Środki	Potencjalne utrzymujące się bariery
Ocena dostosowania do istniejących polityk cyfrowych i sektorowych Proszę wymienić mające zastosowanie polityki cyfrowe i sektorowe.	Wniosek opiera się na dokumencie COM(2023) 207 final (Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa) – „W związku z tym ENISA opracuje projekt pilotażowy, w ramach którego przeanalizuje możliwość utworzenia europejskiego programu poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa”.  Wykorzystano w nim rozporządzenie (UE) 2024/1183 (europejski portfel tożsamości cyfrowej), ustanawiając, że „ENISA i upoważnieni dostawcy poświadczeń zapewniają wydawanie elektronicznych europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa do europejskich portfeli tożsamości cyfrowej”.  Cyberbezpieczeństwo  RODO (przechowywania dokumentów przez dostawców)	Brak znanych barier
Ocena środków organizacyjnych na rzecz sprawnego transgranicznego świadczenia cyfrowych usług publicznych  Proszę wymienić przewidywane środki zarządzania.	Konsultacje z zainteresowanymi stronami podczas przygotowywania europejskiego programu indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa  Rozdzielenie działań w ramach ENISA w celu zapewnienia ich niezależnego wykonywania Rada Odwoławcza	Stosowanie i uznawanie europejskich programów indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa pozostaje dobrowolne dla podmiotów publicznych i prywatnych.
Ocena środków podjętych w celu zapewnienia wspólnego zrozumienia danych  Proszę wymienić takie środki.	Opracowywanie programów wyszczególniających między innymi zasady dotyczące treści i formatu poświadczeń  Upoważnieni dostawcy zapewniają, aby na wniosek osoby fizycznej elektroniczne poświadczenia w ramach europejskich indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa wydawane jako elektroniczne poświadczenia atrybutów w formacie, który może być przechowywany w europejskich portfelach tożsamości cyfrowej ENISA, w celu zapewnienia wytycznych i prowadzenia obowiązkowego szkolenia osób oceniających w zakresie wymogów i metod oceny przewidzianych w europejskim programie indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa.  Udostępnianie informacji publicznych na stronie internetowej  Akty wykonawcze dotyczące opłat	Chociaż programy powinny być tak szczegółowe, aby zapewnić wspólne zrozumienie i ułatwić wdrażanie, oraz chociaż ENISA zapewni wytyczne i przeprowadzi obowiązkowe szkolenia osób oceniających w celu zagwarantowania spójnego wdrażania programów, mogą pojawić się nieprzewidziane wymiary, w przypadku gdy upoważnieni dostawcy poświadczeń będą musieli współpracować z ENISA, innymi dostawcami lub osobami oceniającymi.
Ocena stosowania wspólnie uzgodnionych otwartych specyfikacji i norm technicznych  Proszę wymienić takie środki.	Przy wsparciu odpowiednich zainteresowanych stron opracowywane są europejskie programy indywidualnych poświadczeń umiejętności w dziedzinie cyberbezpieczeństwa	nd.

Przygotowanie propozycji europejskich programów certyfikacji cyberbezpieczeństwa/przypisywanie numerów jednostkom oceniającym zgodność 

Ocena	Środki	Potencjalne utrzymujące się bariery
Ocena dostosowania do istniejących polityk cyfrowych i sektorowych Proszę wymienić mające zastosowanie polityki cyfrowe i sektorowe.	Wniosek ma na celu dostosowanie zarządzania do nowych ram prawnych, w szczególności w odniesieniu do rozporządzenia (WE) nr 765/200826. Wniosek ma na celu ułatwienie przestrzegania odpowiednich przepisów sektorowych dotyczących cyberbezpieczeństwa za pośrednictwem opracowania specjalnych europejskich programów certyfikacji cyberbezpieczeństwa.	Brak znanych barier
Ocena środków organizacyjnych na rzecz sprawnego transgranicznego świadczenia cyfrowych usług publicznych  Proszę wymienić przewidywane środki zarządzania.	Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa; ENISA;  grupy robocze ad hoc;  Zgromadzenie ds. Certyfikacji Cyberbezpieczeństwa  Konsultacje z zainteresowanymi stronami przy składaniu wniosków dotyczących europejskich programów certyfikacji cyberbezpieczeństwa, opracowywaniu i przyjmowaniu tych programów;  Procedury komitetowe dotyczące planowanych aktów wykonawczych związanych z europejskimi programami certyfikacji cyberbezpieczeństwa.	Stosowanie europejskiej certyfikacji cyberbezpieczeństwa jest dobrowolne, chyba że przepisy europejskie stanowią inaczej.
Ocena środków podjętych w celu zapewnienia wspólnego zrozumienia danych  Proszę wymienić takie środki.	Akty wykonawcze wymienione w sekcji 4.5.	Stosowanie europejskiej certyfikacji cyberbezpieczeństwa jest dobrowolne, chyba że przepisy europejskie stanowią inaczej.
Ocena stosowania wspólnie uzgodnionych otwartych specyfikacji i norm technicznych  Proszę wymienić takie środki.	Akty wykonawcze wymienione w sekcji 4.5.  Określone wymogi europejskiego programu certyfikacji cyberbezpieczeństwa muszą być spójne z wymogami przepisów Unii.  W europejskich programach certyfikacji cyberbezpieczeństwa wykorzystuje się normy międzynarodowe, europejskie lub krajowe stosowane w ocenie lub, w przypadku gdy takie normy nie są dostępne lub odpowiednie, specyfikacje techniczne opracowane przez ENISA, oraz odwołuje się do nich.	nd.

Publicznie dostępne strony internetowe 

Ocena	Środki	Potencjalne utrzymujące się bariery
Ocena dostosowania do istniejących polityk cyfrowych i sektorowych Proszę wymienić mające zastosowanie polityki cyfrowe i sektorowe.	Europejski akt prawny w sprawie dostępności i dyrektywa w sprawie dostępności stron internetowych  Cyberbezpieczeństwo	Brak znanych barier
Ocena środków organizacyjnych na rzecz sprawnego transgranicznego świadczenia cyfrowych usług publicznych  Proszę wymienić przewidywane środki zarządzania.	nd.	nd.
Ocena środków podjętych w celu zapewnienia wspólnego zrozumienia danych  Proszę wymienić takie środki.		nd.
Ocena stosowania wspólnie uzgodnionych otwartych specyfikacji i norm technicznych  Proszę wymienić takie środki.		nd.

4.5.Środki wspierające cyfrowe wdrażanie

Ogólny opis środków wspierających cyfrowe wdrażanie 

Opis środka	Odniesienia do wymogów	Rola Komisji (jeżeli dotyczy)	Zaangażowane podmioty  (jeżeli dotyczy)	Harmonogram  (jeżeli dotyczy)
Komisja, w oparciu o przyjętą propozycję programu przygotowaną przez ENISA, jest uprawniona do przyjmowania aktów wykonawczych ustanawiających europejski program certyfikacji cyberbezpieczeństwa dotyczący produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa lub stanu cyberbezpieczeństwa podmiotów, spełniający odpowiednie wymogi określone w art. 80 i 81. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 75 ust. 9	Komisja jest uprawniona do przyjmowania aktów wykonawczych		nd.
Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 119 w celu zmiany ust. 1 niniejszego artykułu przez dodanie lub zmianę celów w zakresie bezpieczeństwa w celu zapewnienia, aby odzwierciedlały one najnowsze zmiany technologiczne i nowe powiązane zagrożenia, a także przyjęcie nowych przepisów Unii ustanawiających domniemanie zgodności za pośrednictwem europejskiej certyfikacji cyberbezpieczeństwa z odpowiednimi wymogami w zakresie cyberbezpieczeństwa określonymi w tych przepisach.	art. 80 ust. 2	Komisja jest uprawniona do przyjmowania aktów delegowanych		nd.
Komisja jest uprawniona do przyjmowania aktów wykonawczych ustanawiających wspólne zasady i wzorcowe przepisy dotyczące elementów określonych w ust. 1, 2 i 3 we wszystkich europejskich programach certyfikacji cyberbezpieczeństwa. W stosownych przypadkach i w miarę dostępności europejski program certyfikacji cyberbezpieczeństwa może zawierać odesłania do tych zasad i wzorcowych przepisów. Akty wykonawcze, o których mowa w akapicie pierwszym, przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2. Przy opracowywaniu lub zmianie wspólnych zasad i wzorcowych przepisów dotyczących elementów europejskich programów certyfikacji cyberbezpieczeństwa Komisja konsultuje się z ENISA i uwzględnia, w stosownych przypadkach, opinie wyrażone przez ECCG, odpowiednie zainteresowane strony i inne odpowiednie podmioty.	art. 81 ust. 5	Komisja jest uprawniona do przyjmowania aktów wykonawczych	ENISA ECCG	nd.
Komisja jest uprawniona do przyjmowania aktów wykonawczych określających procedury dotyczące modeli uprzedniego zatwierdzenia lub ogólnego przekazania uprawnień, o których mowa w ust. 4 niniejszego artykułu. W procesie przygotowywania tych aktów wykonawczych Komisja konsultuje się z ECCG. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 85 ust. 5	Komisja jest uprawniona do przyjmowania aktów wykonawczych	ECCG	nd.
Certyfikaty produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa i stanu cyberbezpieczeństwa podmiotów wydane przez państwa trzecie mogą zostać uznane, w drodze aktu wykonawczego lub zawarcia porozumienia między Unią a danym państwem trzecim lub organizacją międzynarodową, za równoważne z europejskimi certyfikatami cyberbezpieczeństwa, jeżeli wymogi odpowiedniego programu państwa trzeciego lub programu organizacji międzynarodowej uznaje się za równoważne z wymogami europejskich programów certyfikacji cyberbezpieczeństwa. Komisja jest uprawniona do przyjmowania takich aktów wykonawczych. Akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 87 ust. 1	Komisja jest uprawniona do przyjmowania aktów wykonawczych		nd.
Komisja jest uprawniona do przyjmowania aktów wykonawczych ustanawiających plan wzajemnego przeglądu obejmujący okres co najmniej pięciu lat, ustanawiających kryteria dotyczące składu zespołu ds. wzajemnego przeglądu, metodykę wykorzystywaną do wzajemnego przeglądu, harmonogram, częstotliwość oraz inne zadania związane z wzajemnym przeglądem. Przygotowując przedmiotowe akty wykonawcze, Komisja konsultuje się z ECCG i ENISA Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 89 ust. 6	Komisja jest uprawniona do przyjmowania aktów wykonawczych		nd.
Komisja jest uprawniona do przyjmowania aktów wykonawczych w celu ustanowienia procedur, w tym dotyczących współpracy transgranicznej, upoważniania jednostek oceniających zgodność. W procesie przygotowywania aktów wykonawczych Komisja konsultuje się z ENISA i ECCG. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 92 ust. 8	Komisja jest uprawniona do przyjmowania aktów wykonawczych	ENISA ECCG	nd.
Komisja jest uprawniona do przyjmowania aktów wykonawczych w celu określenia okoliczności, formatów i procedur powiadamiania, o których mowa w ust. 1 niniejszego artykułu, w tym procedury sprzeciwu ze strony innych państw członkowskich w trakcie procesu notyfikacji, jednoznacznej identyfikacji jednostek oceniających zgodność, a także okoliczności ograniczenia, zawieszenia lub wycofania notyfikacji. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2.	art. 93 ust. 3	Komisja jest uprawniona do przyjmowania aktów wykonawczych		nd.
Komisja może przyjmować akty wykonawcze zgodnie z art. 100 w celu wskazania państwa trzeciego budzącego obawy związane z cyberbezpieczeństwem łańcuchów dostaw ICT.	art. 100 ust. 2 Wskazanie państw trzecich budzących obawy związane z cyberbezpieczeństwem	Przyjmowanie aktów wykonawczych		nd. Brak harmonogramu, jednak akty wykonawcze powinny być regularnie poddawane przeglądowi
Komisja może przyjmować akty wykonawcze w celu ustanowienia co najmniej jednego środka ograniczającego ryzyko, o którym mowa w art. 103 ust. 2.	art. 103 ust. 2 Środki ograniczające ryzyko w łańcuchu dostaw ICT	Przyjmowanie aktów wykonawczych	nd.	nd. Brak harmonogramu, jednak należy dokonywać przeglądu co 36 miesięcy (zgodnie z procedurą sprawdzającą, o której mowa w art. 118 ust. 2)
Komisja może przyjmować akty wykonawcze zgodnie z art. 102 w celu określenia kluczowych zasobów ICT wykorzystywanych do wytwarzania produktów lub świadczenia usług przez rodzaje podmiotów, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555.	art. 102 ust. 1 Identyfikacja kluczowych zasobów ICT	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja może przyjmować akty wykonawcze zakazujące stosowania, instalowania lub integrowania w jakiejkolwiek formie komponentów ICT lub komponentów, które zawierają komponenty ICT, pochodzących od dostawców wysokiego ryzyka wskazanych zgodnie z art. 100 ust. 2, w kluczowych zasobach ICT zidentyfikowanych zgodnie z art. 102.	art. 103 ust. 1 Środki ograniczające ryzyko w łańcuchu dostaw ICT	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja może przyjmować akty wykonawcze w celu ustanowienia zakazu używania, instalowania lub integrowania przez podmioty w rodzaju tych, o których mowa w załącznikach I i II do dyrektywy (UE) 2022/2555, komponentów ICT pochodzących od konkretnego podmiotu lub komponentów, które zawierają takie komponenty ICT.	art. 103 ust. 7	Przyjmowanie aktów wykonawczych	Konsultacje z państwami członkowskimi i zainteresowanymi podmiotami	nd.
W drodze aktów wykonawczych Komisja ustanawia wykazy dostawców wysokiego ryzyka istotnych z punktu widzenia zakazów ustanowionych w aktach wykonawczych przyjętych zgodnie z art. 103 ust. 1 lub zakazu, o którym mowa w art. 1110 ust. 1.	art. 104 ust. 1	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja może przyjmować akty wykonawcze w celu doprecyzowania warunków, o których mowa w art. 105 ust. 2 lit. b), oraz w celu ustanowienia szczegółowych przepisów w odniesieniu do procedur, o których mowa w art. 105.	art. 105 Wyłączenie podmiotów mających siedzibę w państwie trzecim budzące obawy związane z cyberbezpieczeństwem lub kontrolowanych przez podmioty z takiego państwa trzeciego	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja może przyjmować akty wykonawcze ustanawiające szczegółowe przepisy dotyczące opłat, określające ich wysokość i sposób ich uiszczania.	art. 109 Opłaty	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja przyjmuje akty wykonawcze w celu określenia terminów stopniowego wycofywania komponentów ICT lub komponentów, które zawierają komponenty ICT, dostarczanych przez dostawców wysokiego ryzyka w odniesieniu do stacjonarnych i satelitarnych sieci łączności elektronicznej.	art. 110 ust. 4 Kluczowe zasoby ICT na potrzeby ruchomych, stacjonarnych i satelitarnych sieci łączności elektronicznej	Przyjmowanie aktów wykonawczych	nd.	nd.
Komisja może przyjmować akty delegowane zgodnie z art. 119 w celu zmiany załącznika II, aby dostosować go do zmian technologicznych przez uwzględnienie elementów, o których mowa w art. 103 ust. 3.	art. 110 ust. 5	Przyjmowanie aktów delegowanych	nd.	nd.
7.    w art. 21 ust. 5 wprowadza się następujące zmiany: a)    akapit drugi otrzymuje brzmienie: „Komisja może przyjąć akty wykonawcze określające wymogi techniczne i metodykę, a w razie potrzeby również wymogi sektorowe dotyczące środków, o których mowa w ust. 2, w odniesieniu do podmiotów kluczowych i ważnych innych niż te, o których mowa w akapicie pierwszym niniejszego ustępu. Komisja regularnie ocenia, czy akty wykonawcze, o których mowa w niniejszym akapicie, są przyjmowane w odniesieniu do konkretnych sektorów lub rodzajów podmiotów w celu poprawy funkcjonowania rynku wewnętrznego. Na podstawie wyników tych ocen Komisja może zaproponować takie akty wykonawcze w odniesieniu do określonych sektorów lub rodzajów podmiotów. Przygotowując takie oceny, Komisja koncentruje się w szczególności na transgranicznym charakterze sektorów lub rodzajów podmiotów i przeprowadza otwarty, przejrzysty i inkluzywny proces konsultacji z odpowiednimi zainteresowanymi stronami i państwami członkowskimi.”; b)    po akapicie czwartym dodaje się akapit w brzmieniu: „W przypadku gdy Komisja przyjmuje akty wykonawcze, o których mowa w akapitach pierwszym i drugim niniejszego ustępu, państwa członkowskie nie nakładają na podmioty objęte zakresem tych aktów wykonawczych żadnych dalszych wymogów technicznych ani metodycznych dotyczących środków, o których mowa w art. 21 ust. 2 dyrektywy (UE) 2022/2555.”;	art. 1 pkt 7 dyrektywy  Maksymalna harmonizacja	Komisja może przyjmować akty wykonawcze		nd.

(1)    ENISA, ENISA Threat Landscape 2024 [Sprawozdanie ENISA dotyczące krajobrazu zagrożeń z 2024 r.], https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025 [Sprawozdanie ENISA dotyczące krajobrazu zagrożeń z 2025 r.].

(3)    Komisja Europejska, Przyszłość europejskiej konkurencyjności, https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN(2025) 130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Rozporządzenie wykonawcze Komisji (UE) 2023/203 i rozporządzenie delegowane Komisji (UE) 2022/1645.

(11)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1781 z dnia 13 września 2023 r. w sprawie ustanowienia ram dotyczących środków na rzecz wzmocnienia europejskiego ekosystemu półprzewodników oraz zmiany rozporządzenia (UE) 2021/694 (akt w sprawie czipów), Dz.U. L 229 z 18.9.2023, s. 1.

(12)    W szczególności dyrektywy 2014/23/UE, 2014/24/UE i 2014/25/UE.

(13)    Komisja Europejska, Komisja ogłasza zaproszenie do zgłaszania uwag i konsultacje publiczne dotyczące oceny dyrektyw w sprawie zamówień publicznych, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en .

(14)    COM(2025) 837 final.

(15)    JOIN(2023) 20 final.

(16)    JOIN(2025) 120 final.

(17)    JOIN(2025) 977 final.

(18)     Rozporządzenie – 2019/881 – PL – EUR-Lex .

(19)    Horyzontalna Grupa Robocza ds. Cyberprzestrzeni.

(20)    Rozporządzenie (UE) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    Dz.U. C […] z […], s. […]..

(25)    Dz.U. C […] z […], s. […]..

(26)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.U. L 151 z 7.6.2019, s. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz.U. L 333 z 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE (Dz.U. L 333 z 27.12.2022, s. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz.U. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/38 z dnia 19 grudnia 2024 r. w sprawie ustanowienia środków mających na celu zwiększenie solidarności i zdolności w Unii w zakresie wykrywania cyberzagrożeń i incydentów oraz przygotowywania się i reagowania na takie zagrożenia i incydenty oraz w sprawie zmiany rozporządzenia (UE) 2021/694 (akt w sprawie cybersolidarności) (Dz.U. L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    Dz.U. C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Cybersecurity of 5G networks – EU Toolbox of risk mitigation measures [Unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G], grupa współpracy NIS, 1/2020, dokument dostępny pod adresem: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Komunikat Komisji do Parlamentu Europejskiego i Rady „Wyeliminowanie niedoboru talentów w dziedzinie cyberbezpieczeństwa w celu zwiększenia konkurencyjności, wzrostu gospodarczego i odporności UE (»Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa«)”, COM(2023) 207 final z dnia 18 kwietnia 2023 r.

(34)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Rozporządzenie delegowane Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej (Dz.U. L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Rozporządzenie delegowane Komisji (UE) 2022/1645 z dnia 14 lipca 2022 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1139 w odniesieniu do wymagań dotyczących zarządzania ryzykiem związanym z bezpieczeństwem informacji o potencjalnym wpływie na bezpieczeństwo lotnicze w odniesieniu do organizacji objętych zakresem stosowania rozporządzeń Komisji (UE) nr 748/2012 i (UE) nr 139/2014 oraz zmieniające rozporządzenia Komisji (UE) nr 748/2012 i (UE) nr 139/2014 (Dz.U. L 248 z 26.9.2022, s. 18, ELI: http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Rozporządzenie wykonawcze Komisji (UE) 2023/203 z dnia 27 października 2022 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1139 w kwestii wymagań dotyczących zarządzania ryzykiem związanym z bezpieczeństwem informacji o potencjalnym wpływie na bezpieczeństwo lotnicze w odniesieniu do organizacji objętych zakresem stosowania rozporządzeń Komisji (UE) nr 1321/2014, (UE) nr 965/2012, (UE) nr 1178/2011, (UE) 2015/340, rozporządzeń wykonawczych Komisji (UE) 2017/373 i (UE) 2021/664 oraz właściwych organów objętych zakresem stosowania rozporządzeń Komisji (UE) nr 748/2012, (UE) nr 1321/2014, (UE) nr 965/2012, (UE) nr 1178/2011, (UE) 2015/340, rozporządzeń wykonawczych Komisji (UE) 2017/373, (UE) nr 139/2014 i (UE) 2021/664 oraz zmieniające rozporządzenia Komisji (UE) nr 1178/2011, (UE) nr 748/2012, (UE) nr 965/2012, (UE) nr 139/2014, (UE) nr 1321/2014, (UE) 2015/340 oraz rozporządzenia wykonawcze Komisji (UE) 2017/373 i (UE) 2021/664 (Dz.U. L 31 z 2.2.2023, s. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Rozporządzenie wykonawcze Komisji (UE) 2019/1583 z dnia 25 września 2019 r. zmieniające rozporządzenie wykonawcze (UE) 2015/1998 ustanawiające szczegółowe środki w celu wprowadzenia w życie wspólnych podstawowych norm ochrony lotnictwa cywilnego w odniesieniu do środków w zakresie cyberbezpieczeństwa (Dz.U. L 246 z 26.9.2019, s. 15, ELI: http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów pt. „Europejski plan działania w sprawie cyberbezpieczeństwa szpitali i świadczeniodawców”, COM(2025) 10 final z dnia 15 stycznia 2025 r.

(40)    Rozporządzenie Parlamentu Europejskiego i Rady (UE, Euratom) 2023/2841 z dnia 13 grudnia 2023 r. w sprawie ustanowienia środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii (Dz.U. L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie ProtectEU: europejska strategia bezpieczeństwa wewnętrznego, COM(2025) 148 final z dnia 1 kwietnia 2025 r.

(42)    Wspólny komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie europejskiej strategii na rzecz unii gotowości, JOIN(2025) 130 final.

(43)    Wspólny komunikat Komisji do Parlamentu Europejskiego i Rady pt. „Wzmocnienie bezpieczeństwa gospodarczego UE”, JOIN(2025) 977 final.

(44)    COM(2025) 837 final.

(45)    Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 460/2004 z dnia 10 marca 2004 r. ustanawiające Europejską Agencję ds. Bezpieczeństwa Sieci i Informacji (Dz.U. L 77 z 13.3.2004, s. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (Dz.U. L 257 z 28.8.2014, s. 73 ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/887 z dnia 20 maja 2021 r. ustanawiające Europejskie Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa oraz sieć krajowych ośrodków koordynacji (Dz.U. L 202 z 8.6.2021, s. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Komunikat Komisji do Parlamentu Europejskiego, Rady Europejskiej, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów – Unia umiejętności, COM(2025) 90 final z dnia 5 marca 2025 r.

(49)    JOIN(2025) 791 final.

(50)    Rozporządzenie Parlamentu Europejskiego i Rady (UE, Euratom) 2024/2509 z dnia 23 września 2024 r. w sprawie zasad finansowych mających zastosowanie do budżetu ogólnego Unii (Dz.U. L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Europejskie indywidualne poświadczenia umiejętności w dziedzinie cyberbezpieczeństwa należy rozumieć jako odpowiadające podejściu, które na rynku uznaje za „certyfikaty cyberbezpieczeństwa”. Aby jednak uniknąć nieporozumień w odniesieniu do europejskich ram certyfikacji cyberbezpieczeństwa, preferowane jest wyrażenie „poświadczenie”, stosowane już w komunikacie w sprawie Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa.

(52)

   Rozporządzenie wykonawcze – UE – 2025/1569.

(53)    Wspólne podejście załączone do wspólnego oświadczenia Parlamentu Europejskiego, Rady UE i Komisji Europejskiej w sprawie zdecentralizowanych agencji, przyjęte w dniu 19 lipca 2012 r. i dostępne pod adresem: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Rozporządzenie (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji (Dz.U. L 145 z 31.5.2001, s. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Dyrektywa Parlamentu Europejskiego i Rady 2014/24/UE z dnia 26 lutego 2014 r. w sprawie zamówień publicznych, uchylająca dyrektywę 2004/18/WE (Dz.U. L 94 z 28.3.2014, s. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz.U. L 333 z 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Rozporządzenie wykonawcze Komisji (UE) 2024/482 z dnia 31 stycznia 2024 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 w odniesieniu do przyjęcia europejskiego programu certyfikacji cyberbezpieczeństwa opartego na wspólnych kryteriach (EUCC) (Dz.U. L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Rozporządzenie wykonawcze Komisji (UE) 2025/2540 z dnia 9 grudnia 2025 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 w odniesieniu do opracowania planu wzajemnego przeglądu (Dz.U. L, 2025/2540, 12.12.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 765/2008 z dnia 9 lipca 2008 r. ustanawiające wymagania w zakresie akredytacji i nadzoru rynku odnoszące się do warunków wprowadzania produktów do obrotu i uchylające rozporządzenie (EWG) nr 339/93 (Dz.U. L 218 z 13.8.2008, s. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Rozporządzenie wykonawcze Komisji (UE) 2024/3143 z dnia 18 grudnia 2024 r. ustanawiające okoliczności, formaty i procedury dotyczące notyfikacji zgodnie z art. 61 ust. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych (Dz.U. L, 2024/3143, 19.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025 [Sprawozdanie ENISA dotyczące krajobrazu zagrożeń z 2025 r.], październik 2025 r.

(64)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz.U. L 333 z 27.12.2022, s. 80, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz.U. L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/).

(66)    Wspólny komunikat do Parlamentu Europejskiego i Rady pt. „Wzmocnienie bezpieczeństwa gospodarczego UE”, 3 grudnia 2025 r., JOIN(2025) 977 final.

(67)    Dyrektywa Parlamentu Europejskiego i Rady 2014/24/UE z dnia 26 lutego 2014 r. w sprawie zamówień publicznych, uchylająca dyrektywę 2004/18/WE (Dz.U. L 94 z 28.3.2014, s. 65, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/).

(68)    Dyrektywa Parlamentu Europejskiego i Rady 2014/25/UE z dnia 26 lutego 2014 r. w sprawie udzielania zamówień przez podmioty działające w sektorach gospodarki wodnej, energetyki, transportu i usług pocztowych, uchylająca dyrektywę 2004/17/WE (Dz.U. L 94 z 28.3.2014, s. 243, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj).

(69)    Komunikat Komisji w sprawie wdrożenia unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G, 15 czerwca 2023 r., C(2023) 4049 final.

(70)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, ELI: http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniające dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylające decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz.U. L 316 z 14.11.2012, s. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2675 z dnia 22 listopada 2023 r. w sprawie ochrony Unii i jej państw członkowskich przed stosowaniem wymuszenia ekonomicznego przez państwa trzecie (Dz.U. L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    Dz.U. L 56 z 4.3.1968, s. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Rozporządzenie delegowane Komisji (UE) 2019/715 z dnia 18 grudnia 2018 r. w sprawie ramowego rozporządzenia finansowego dotyczącego organów utworzonych na podstawie TFUE oraz Traktatu Euratom, o których mowa w art. 70 rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2018/1046 (Dz.U. L 122 z 10.5.2019, s. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Rozporządzenie Parlamentu Europejskiego i Rady (UE, Euratom) nr 883/2013 z dnia 11 września 2013 r. dotyczące dochodzeń prowadzonych przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF) oraz uchylające rozporządzenie (WE) nr 1073/1999 Parlamentu Europejskiego i Rady i rozporządzenie Rady (Euratom) nr 1074/1999 (Dz.U. L 248 z 18.9.2013, s. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    Dz.U. L 136 z 31.5.1999, s. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Rozporządzenie Rady (Euratom, WE) nr 2185/96 z dnia 11 listopada 1996 r. w sprawie kontroli na miejscu oraz inspekcji przeprowadzanych przez Komisję w celu ochrony interesów finansowych Wspólnot Europejskich przed nadużyciami finansowymi i innymi nieprawidłowościami (Dz.U. L 292 z 15.11.1996, s. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2017/1371 z dnia 5 lipca 2017 r. w sprawie zwalczania za pośrednictwem prawa karnego nadużyć na szkodę interesów finansowych Unii (Dz.U. L 198 z 28.7.2017, s. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Rozporządzenie Rady nr 1 w sprawie określenia systemu językowego Europejskiej Wspólnoty Gospodarczej (Dz.U. 17 z 6.10.1958, s. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Decyzja Komisji (UE, Euratom) 2015/443 z dnia 13 marca 2015 r. w sprawie bezpieczeństwa w Komisji (Dz.U. L 72 z 17.3.2015, s. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Decyzja Komisji (UE, Euratom) 2015/444 z dnia 13 marca 2015 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE (Dz.U. L 72 z 17.3.2015, s. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz.U. L 333 z 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 1008/2008 z dnia 24 września 2008 r. w sprawie wspólnych zasad wykonywania przewozów lotniczych na terenie Wspólnoty (wersja przekształcona) (Dz.U. L 293 z 31.10.2008, s. 3, ELI: http://data.europa.eu/eli/reg/2008/1008/oj).

(84)    O którym mowa w art. 58 ust. 2 lit. a) lub b) rozporządzenia finansowego.

(85)     Wytyczne polityczne na lata 2024 .

(86)     Pismo określające zadania wiceprzewodniczącej wykonawczej Virkkunen .

(87)     Sprawozdanie Sauliego Niinistö .

(88)     Raport Draghiego na temat konkurencyjności UE .

(89)     Enrico Letta – Much more than a market [„Znacznie więcej niż rynek”] (kwiecień 2024) .

(90)    Należy dodać po opublikowaniu.

(91)     Unijny akt o cyberbezpieczeństwie | EUR-Lex .

(92)     Rozporządzenie w sprawie zasad finansowych mających zastosowanie do budżetu ogólnego Unii (wersja przekształcona) – Urząd Publikacji UE .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Rozporządzenie delegowane – 2019/715 – PL – EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/ .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf .

(99)    Środki zróżnicowane/środki niezróżnicowane.

(100)    EFTA: Europejskie Stowarzyszenie Wolnego Handlu.

(101)    Kraje kandydujące oraz, w stosownych przypadkach, potencjalni kandydaci z Bałkanów Zachodnich.

(102)    Produkty odnoszą się do produktów i usług, które mają zostać zapewnione (np. liczba sfinansowanych wymian studentów, liczba kilometrów zbudowanych dróg itp.).

(103)    Zgodnie z opisem w sekcji 1.3.2. „Cel(e) szczegółowy(-e)”.

(104)    Proszę określić w tabeli poniżej, ile EPC w ramach wskazanej liczby jest już przydzielonych na zarządzanie tym działaniem lub może zostać przesuniętych w ramach Państwa dyrekcji generalnej oraz jakie są Państwa potrzeby netto.

(105)    W przypadku tradycyjnych zasobów własnych (opłaty celne, opłaty wyrównawcze od cukru) należy wskazać kwoty netto, tzn. kwoty brutto po odliczeniu 20 % na poczet kosztów poboru.

(106)     Decyzja RR-02: Cennik usług świadczonych w ramach Słowackiego Krajowego Systemu Akredytacji : https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf , 

(107)    W szczególności w ramach obsługi technicznej przewiduje się dwa osobiste spotkania z ekspertami rocznie (100 000 EUR), koszty wykonawców wspierających opracowanie i przegląd dokumentacji uzupełniającej na potrzeby programu, wykorzystywanie systemów certyfikacji, wsparcie ocen wzajemnych i wdrażanie ocen zgodności (4 x 15 000 = 60 000 EUR). Koszt ten obejmuje również część operacyjną platformy instrumentu „Łącząc Europę” i strony internetowej ENISA poświęconej certyfikacji (40 000 EUR).