Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2)

27.12.2022

UA

Офіційний вісник Європейського Союзу

L 333/80

ДИРЕКТИВИ

(До Кластеру 3. Конкурентоспроможність та інклюзивній розвиток

Розділ 24. Цифрова трансформація та медіа)

ДИРЕКТИВА ЄВРОПЕЙСЬКОГО ПАРЛАМЕНТУ І РАДИ (ЄС) 2022/2555

від 14 грудня 2022 року

про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2)

(Текст стосується ЄЕП)

ЄВРОПЕЙСЬКИЙ ПАРЛАМЕНТ І РАДА ЄВРОПЕЙСЬКОГО СОЮЗУ,

Беручи до уваги Договір про функціонування Європейського Союзу, зокрема його статтю 114,

Беручи до уваги пропозицію Європейської Комісії,

Після передачі проєкту законодавчого акта національним парламентам,

Беручи до уваги висновок Європейського Центрального Банку (1),

Беручи до уваги висновок Європейського економічно-соціального комітету (2),

Після консультацій з Комітетом регіонів,

Діючи згідно зі звичайною законодавчою процедурою (3),

Оскільки:

(1) Директива Європейського Парламенту і Ради (ЄС) 2016/1148 (4) мала на меті розбудувати спроможності у сфері кібербезпеки на всій території Союзу, знизити загрози для мережевих та інформаційних систем, які використовують для надання основних послуг у ключових секторах, і забезпечити безперервність таких послуг при зіткненні з інцидентами, сприяючи таким чином безпеці Союзу та дієвому функціонуванню його економіки і суспільства.

(2) З моменту набуття чинності Директивою (ЄС) 2016/1148 було досягнуто значного прогресу в підвищенні рівня кіберстійкості Союзу. Аналіз імплементації зазначеної Директиви показав, що вона прискорила реалізацію інституційного та регулятивного підходів до кібербезпеки в Союзі, відкривши шлях до значних змін у менталітеті. Зазначена Директива забезпечила остаточне формування національних рамок безпеки мережевих та інформаційних систем шляхом запровадження національних стратегій безпеки мережевих та інформаційних систем і розбудови національних спроможностей, а також шляхом реалізації регулятивних заходів, що охоплюють критичну інфраструктуру та суб'єктів, визначених кожною державою-членом. Директива (ЄС) 2016/1148 також сприяла налагодженню співпраці на рівні Союзу шляхом заснування Групи співпраці й мережі національних груп реагування на інциденти комп'ютерної безпеки. Незважаючи на ці досягнення, аналіз імплементації Директиви ЄС 2016/1148 виявив властиві їй недоліки, які перешкоджають дієвому вирішенню поточних і майбутніх викликів у сфері кібербезпеки.

(3) Мережеві й інформаційні системи стали ключовим елементом повсякденного життя, що зумовили швидку цифрову трансформацію та взаємопов'язаність суспільства, зокрема у сфері транскордонного обміну. Цей розвиток призвів до розширення ландшафту кіберзагроз, додаючи нові виклики, які потребують адаптованого, скоординованого й інноваційного реагування в усіх державах-членах. Кількість, масштабність, складність, частота та вплив інцидентів зростають і становлять велику загрозу для функціонування мережевих та інформаційних систем. Тому інциденти можуть перешкоджати здійсненню економічної діяльності на внутрішньому ринку, завдавати фінансових втрат, підривати довіру користувачів і спричиняти значну шкоду економіці та суспільству Союзу. Тож готовність і дієвість у сфері кібербезпеки є вкрай важливими для належного функціонування внутрішнього ринку. Навіть більше, для багатьох критичних секторів кібербезпека є ключовим чинником, який дає змогу успішно прийняти цифрову трансформацію та повністю осягнути економічні, соціальні й довгострокові переваги цифровізації.

(4) Правовим підґрунтям Директиви (ЄС) 2016/1148 була стаття 114 Договору про функціонування Європейського Союзу (ДФЄС), метою якої є створення та функціонування внутрішнього ринку шляхом посилення заходів, спрямованих на наближення національних правил. Вимоги до стану кібербезпеки, встановлені для суб'єктів, що надають послуги чи здійснюють види діяльності, які є економічно значущими, суттєво різняться у різних державах-членах з погляду типу вимог, рівня деталізації та методу здійснення нагляду. Ці відмінності призводять до додаткових витрат і створюють труднощі для суб'єктів, які надають товари чи послуги на транскордонній основі. Встановлені однією державою-членом вимоги, які відрізняються або навіть суперечать вимогам, встановленим іншою державою-членом, можуть суттєво впливати на таку транскордонну діяльність. До того ж можливість невідповідного формування чи реалізації вимог до стану кібербезпеки в одній державі-члені ймовірно матиме наслідки на рівні кібербезпеки інших держав-членів, зокрема враховуючи інтенсивність транскордонних обмінів. Перегляд Директиви (ЄС) 2016/1148 показав широкі розбіжності в її імплементації державами-членами, у тому числі щодо сфери її застосування, делімітація якої здебільшого була залишена на розсуд держав-членів. Директива (ЄС) 2016/1148 також надавала державам-членам дуже широкі дискреційні повноваження стосовно реалізації встановлених нею обов'язків щодо звітування про безпеку та інциденти. Відповідно, на національному рівні ці зобов'язання було реалізовано дуже різними способами. Існують подібні розбіжності в імплементації положень Директиви (ЄС) 2016/1148 щодо здійснення нагляду та забезпечення виконання.

(5) Усі ці розбіжності призводять до фрагментації внутрішнього ринку і можуть мати шкідливий вплив на його функціонування, зачіпаючи, зокрема, транскордонне надання послуг та рівень кіберстійкості внаслідок застосування різноманітних заходів. Зрештою ці розбіжності могли б призвести до більшої вразливості деяких держав-членів до кіберзагроз із можливим поширенням негативних наслідків по всьому Союзу. Ця Директива має на меті усунути такі значні розбіжності між державами-членами, зокрема шляхом встановлення мінімальних правил щодо функціонування скоординованих регулятивних рамок, запровадження механізмів дієвої співпраці між відповідальними органами влади кожної держави-члена, оновлення переліку секторів і видів діяльності, що підпадають під зобов'язання з кібербезпеки, та надання дієвих засобів правового захисту та правозастосовних заходів, які є ключовими для забезпечення дієвого виконання цих зобов'язань. Тому Директиву (ЄС) 2016/1148 потрібно скасувати та замінити цією Директивою.

(6) Зі скасуванням Директиви (ЄС) 2016/1148, сферу застосування за секторами потрібно поширити на більшу частину економіки, щоб забезпечити комплексне охоплення секторів і послуг, які є життєво важливими для ключової суспільно-економічної діяльності на внутрішньому ринку. Зокрема ця Директива спрямована на подолання недоліків диференціації між операторами основних послуг та надавачами цифрових послуг, яка виявилася неактуальною, оскільки вона не відображає важливості цих секторів чи послуг для суспільно-економічної діяльності на внутрішньому ринку.

(7) Згідно з Директивою (ЄС) 2016/1148, держави-члени були відповідальними за визначення суб'єктів, які відповідали кваліфікаційним критеріям для операторів основних послуг. Щоб усунути великі розбіжності між державами-членами у цьому контексті та забезпечити правову визначеність заходів управління ризиками й обов'язків щодо звітування у сфері кібербезпеки для всіх відповідних суб'єктів, потрібно запровадити уніфікований критерій для визначення суб'єктів, які підпадають під сферу застосування цієї Директиви. Цей критерій має складатися із застосування правила граничного розміру, де всі суб'єкти, які належать до середніх підприємств згідно зі статтею 2 додатка до Рекомендації Комісії 2003/361/ЄС (5) або перевищують верхні межі для середніх підприємств, передбачені параграфом 1 цієї статті, та які працюють у секторах і надають типи послуг чи здійснюють види діяльності, на які поширено дію цієї Директиви, підпадають під сферу її застосування. Держави-члени також повинні забезпечити, щоб певні малі підприємства та мікропідприємства, визначені в статті 2(2) і (3) зазначеного додатка, котрі відповідають конкретним критеріям, що вказують на ключову роль для суспільства, економіки чи для окремих секторів або типів послуг, підпадали під сферу застосування цієї Директиви.

(8) Виключення суб'єктів публічного адміністрування зі сфери застосування цієї Директиви повинно стосуватися суб'єктів, які здійснюють діяльність переважно у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, зокрема запобігання кримінальним правопорушенням, їх розслідування, розкриття та переслідування за них. Однак суб'єкти публічного адміністрування, діяльність яких лише незначною мірою стосується цих сфер, не повинні бути виключеними зі сфери застосування цієї Директиви. Для цілей цієї Директиви суб'єктів з регуляторними компетенціями не вважають такими, що здійснюють діяльність у сфері правозастосування і тому не виключають на цій підставі зі сфери застосування цієї Директиви. Суб'єкти публічного адміністрування, засновані спільно з третьою країною відповідно до міжнародної угоди, виключаються зі сфери застосування цієї Директиви. Цю Директиву не застосовують до дипломатичних і консульських місій держав-членів у третіх країнах або до їхніх мережевих та інформаційних систем, якщо такі системи розташовані в приміщеннях місії або працюють для користувачів у третій країні.

(9) Держави-члени повинні бути здатними вживати необхідних заходів для забезпечення захисту суттєвих інтересів національної безпеки, для охорони публічного порядку та забезпечення громадської безпеки, а також для уможливлення запобігання кримінальним правопорушенням, їх розслідування, розкриття та переслідування за них. З цією метою держави-члени повинні бути здатними звільняти конкретних суб'єктів, які здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, зокрема запобігання кримінальним правопорушенням, їх розслідування, розкриття та переслідування за них, від певних зобов'язань, встановлених у цій Директиві щодо такої діяльності. Якщо суб'єкт надає послуги виключно суб'єкту публічного адміністрування, виключеному зі сфери застосування цієї Директиви, держави-члени повинні бути здатними звільняти цього суб'єкта від певних зобов'язань, встановлених у цій Директиві щодо таких послуг. Навіть більше, жодна держава-член не може бути зобов'язана надавати інформацію, розкриття якої суперечитиме суттєвим інтересам її національної безпеки, громадської безпеки чи оборони. У цьому контексті потрібно враховувати союзні чи національні правила захисту секретної інформації, угод про нерозголошення та неформальних угод про нерозголошення, таких як протокол TLP. Протокол TLP слід розуміти як засіб надання інформації про будь-які обмеження стосовно подальшого розповсюдження інформації. Його використовують у майже всіх групах реагування на інциденти комп'ютерної безпеки (CSIRT) та в деяких центрах аналізу й обміну інформацією.

(10) Хоча цю Директиву застосовують до суб'єктів, що здійснюють діяльність у галузі виробництва електроенергії з атомних електростанцій, деякі види цієї діяльності можуть стосуватися національної безпеки. У такому разі держава-член повинна бути здатною виконувати свій обов'язок із забезпечення національної безпеки щодо цих видів діяльності, у тому числі діяльності в межах ядерного ланцюга створення вартості, відповідно до Договорів.

(11) Деякі суб'єкти здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, у тому числі запобігання кримінальним правопорушенням, їх розслідування, розкриття та переслідування за них, водночас надаючи довірчі послуги. Надавачі довірчих послуг, що підпадають під сферу застосування Регламенту Європейського Парламенту і Ради (ЄС) № 910/2014 (6), повинні підпадати під сферу застосування цієї Директиви, щоб забезпечити такий самий рівень безпекових вимог і нагляду, як і раніше встановлений у зазначеному Регламенті щодо надавачів довірчих послуг. Відповідно до виключення певних конкретних послуг з Регламенту (ЄС) № 910/2014, цю Директиву не слід застосовувати до надання довірчих послуг, використовуваних винятково всередині закритих систем, які є результатом національного права чи домовленостей серед визначеного кола учасників.

(12) Дія цієї Директиви повинна поширюватися на надавачів поштових послуг відповідно до Директиви Європейського Парламенту і Ради 97/67/ЄС (7), зокрема надавачів кур'єрських послуг, якщо вони забезпечують принаймні один із етапів ланцюга поштового доставлення, як-от оформлення, сортування, транспортування чи вручення поштових відправлень, включно з послугами із забору відправлень у клієнтів, враховуючи ступінь їхньої залежності від мережевих та інформаційних систем. Транспортні послуги, які не здійснюють у поєднанні з одним із цих етапів, повинні бути виключеними з поштових послуг.

(13) З огляду на зростання інтенсивності та складності кіберзагроз, держави-члени повинні прагнути забезпечити, щоб суб'єкти, виключені зі сфери застосування цієї Директиви, досягли високого рівня кібербезпеки, та підтримувати імплементацію рівноцінних заходів управління ризиками кібербезпеки, які відображають чутливий характер цих суб'єктів.

(14) До будь-якого опрацювання персональних даних згідно з цією Директивою застосовують право Союзу щодо захисту даних і право Союзу щодо приватності. Зокрема ця Директива не обмежує дію Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 (8) і Директиви Європейського Парламенту і Ради 2002/58/ЄС (9). Тому ця Директива не повинна впливати, між іншим, на завдання та повноваження органів влади, до компетенції яких належить моніторинг відповідності застосованому праву Союзу щодо захисту даних і праву Союзу щодо приватності.

(15) Суб'єкти, які підпадають під сферу застосування цієї Директиви, для цілей відповідності заходам управління ризиками та обов'язкам щодо звітування у сфері кібербезпеки повинні бути віднесеними до однієї з двох категорій: основні суб'єкти і важливі суб'єкти, - залежно від ступеню їхньої критичності для свого сектора чи типу послуг, що їх вони надають, а також від їхнього розміру. У зв'язку з цим, потрібно належним чином враховувати будь-які актуальні галузеві оцінювання ризиків чи інструкції компетентних органів у відповідних випадках. Режими нагляду та забезпечення виконання для цих двох категорій суб'єктів потрібно диференціювати для забезпечення справедливого балансу між вимогами і обов'язками з урахуванням можливих ризиків, з одного боку, та адміністративним тягарем, зумовленим наглядом за дотриманням - з іншого.

(16) Щоб уникнути зарахування суб'єктів, які мають партнерські підприємства чи є пов'язаними підприємствами, до основних чи важливих суб'єктів, коли це було б непропорційним, держави-члени мають змогу брати до уваги ступінь незалежності, яку має суб'єкт відносно своїх партнерських чи пов'язаних підприємств, застосовуючи статтю 6(2) додатка до Рекомендації 2003/361/ЄС. Зокрема, держави-члени мають змогу брати до уваги той факт, що суб'єкт є незалежним від своїх партнерських чи пов'язаних підприємств стосовно мережевих та інформаційних систем, які цей суб'єкт використовує під час надання послуг та стосовно послуг, які цей суб'єкт надає. На цій підставі у відповідних випадках держави-члени мають змогу вважати, що такий суб'єкт не належить до середніх підприємств згідно зі статтею 2 додатка до Рекомендації 2003/361/ЄС або не перевищує верхні межі для середніх підприємств, передбачені параграфом 1 цієї статті, якщо після врахування ступеня незалежності цього суб'єкта він не вважався б таким, що належить до середніх підприємств або перевищує згадані верхні межі, якщо було б взято до уваги лише його власні дані. Це не впливає на визначені в цій Директиві зобов'язання партнерських або пов'язаних підприємств, які підпадають під сферу застосування цієї Директиви.

(17) Держави-члени повинні бути здатними вирішувати, що суб'єкти, визначені до набуття чинності цією Директивою операторами основних послуг відповідно до Директиви (ЄС) 2016/1148, повинні вважатися основними суб'єктами.

(18) Щоб забезпечити чітке уявлення про суб'єктів, що підпадають під сферу застосування цієї Директиви, держави-члени повинні створити перелік основних і важливих суб'єктів, а також суб'єктів, що надають послуги реєстрації доменних імен. З цією метою державам-членам потрібно вимагати від суб'єктів подавати до компетентних органів принаймні таку інформацію, а саме: назву, адресу та актуальні контактні дані, включно з адресами електронної пошти, діапазонами IP-адрес і телефонними номерами суб'єкта, а також, якщо застосовно, відповідний сектор та підсектор, зазначений у додатках, а також, якщо застосовно, перелік держав-членів, у яких вони надають послуги, що підпадають під сферу застосування цієї Директиви. З цією метою Комісія, за сприяння Агентства Європейського Союзу з питань кібербезпеки (ENISA), повинна без невиправданої затримки надати настанови та шаблони щодо обов'язку подавати інформацію. Щоб полегшити створення та оновлення переліку основних і важливих суб'єктів, а також суб'єктів, що надають послуги реєстрації доменних імен, держави-члени повинні бути здатними формувати національні механізми для забезпечення самостійної реєстрації суб'єктів. Якщо реєстри існують на національному рівні, держави-члени можуть ухвалювати рішення щодо належних механізмів, які дозволяють ідентифікацію суб'єктів, що підпадають під сферу застосування цієї Директиви.

(19) Держави-члени повинні відповідати за подання Комісії щонайменше кількості основних і важливих суб'єктів на кожен сектор та підсектор, зазначений у додатках, а також релевантної інформації про кількість визначених суб'єктів і положення, з-поміж викладених у цій Директиві, на підставі якого їх було визначено, та тип послуг, які вони надають. Держав-членів заохочують обмінюватися з Комісією інформацією про основних і важливих суб'єктів і, у випадку масштабного інциденту кібербезпеки, релевантною інформацією, як-от назва суб'єкта, якого він стосувався.

(20) Комісія у співпраці з Групою співпраці та після консультацій з відповідними стейкхолдерами повинна надати настанови щодо впровадження критеріїв, застосовних до мікропідприємств і малих підприємств, щоб оцінити, чи підпадають вони під сферу застосування цієї Директиви. Комісія також повинна забезпечити, щоб мікропідприємствам і малим підприємствам, що підпадають під сферу застосування цієї Директиви, було надано належні інструкції. Комісія за допомоги держав-членів повинна зробити інформацію стосовно цього доступною для мікропідприємств і малих підприємств.

(21) Комісія може надавати інструкції, щоб допомогти державам-членам у імплементації положень цієї Директиви щодо сфери застосування та оцінювання пропорційності заходів, яких необхідно вжити на виконання цієї Директиви, зокрема стосовно суб'єктів із комплексними бізнес-моделями чи операційними середовищами, згідно з якими суб'єкт може одночасно задовольняти критерії, передбачені як для основних, так і для важливих суб'єктів, або може одночасно здійснювати декілька видів діяльності, деякі з яких підпадають під сферу застосування цієї Директиви, а деякі - виключені з неї.

(22) Ця Директива встановлює базовий рівень для заходів управління ризиками та обов'язків щодо звітування у сфері кібербезпеки в усіх секторах, що підпадають під сферу її застосування. Щоб уникнути фрагментації положень нормативно-правових актів Союзу у сфері кібербезпеки, коли додаткові секторальні правові акти Союзу, що стосуються заходів управління ризиками та обов'язків щодо звітування у сфері кібербезпеки, вважають необхідними для забезпечення високого рівня кібербезпеки на всій території Союзу, Комісія повинна оцінити, чи такі додаткові положення можуть бути визначені в імплементаційному акті згідно з цією Директивою. Якщо такий імплементаційний акт не підходить для цієї мети, секторальні правові акти Союзу можуть сприяти забезпеченню високого рівня кібербезпеки на всій території Союзу, повною мірою враховуючи особливості та складнощі дотичних секторів. З цією метою ця Директива не перешкоджає ухваленню додаткових секторальних правових актів Союзу, що регулюють заходи управління ризиками та зобов'язання щодо звітування у сфері кібербезпеки та належним чином враховують потребу в комплексній та послідовній структурі кібербезпеки. Ця Директива не обмежує чинні виконавчі повноваження, які було покладено на Комісію в низці секторів, зокрема транспортному та енергетичному.

(23) Якщо той чи інший секторальний правовий акт Союзу містить положення, які вимагають від основних або важливих суб'єктів запроваджувати заходи управління ризиками кібербезпеки або сповіщати про значні інциденти, і якщо такі вимоги принаймні рівноцінні за своєю дією обов'язкам, встановленим у цій Директиві, ці положення, зокрема щодо нагляду та забезпечення виконання, повинні бути застосованими до таких суб'єктів. Якщо той чи інший секторальний правовий акт Союзу не охоплює всіх суб'єктів у певному секторі, які підпадають під сферу застосування цієї Директиви, відповідні положення цієї Директиви слід і надалі застосовувати до суб'єктів, не охоплених таким актом.

(24) Якщо положення секторального правового акту Союзу вимагають від основних або важливих суб'єктів дотримання обов'язків щодо звітування, які є принаймні рівноцінними за своєю дією обов'язкам щодо звітування, встановленим у цій Директиві, повинна бути забезпечена послідовність та дієвість поводження зі сповіщеннями про інциденти. З цією метою, положення секторального правового акту Союзу, що стосуються сповіщень про інциденти, повинні забезпечувати негайний доступ груп CSIRT, компетентних органів або єдиних контактних пунктів з питань кібербезпеки (єдиних контактних пунктів), передбачених цією Директивою, до сповіщень про інциденти згідно з цим секторальним правовим актом Союзу. Зокрема такий негайний доступ може бути забезпечено, якщо направляти сповіщення про інциденти без невиправданої затримки до CSIRT, компетентних органів або єдиних контактних пунктів, передбачених цією Директивою. У відповідних випадках державам-членам потрібно запровадити механізм автоматичного та прямого звітування, який забезпечує систематичний і негайний обмін інформацією з групами CSIRT, компетентними органами або єдиними контактними пунктами стосовно поводження з такими сповіщеннями про інциденти. З метою спрощення звітування та реалізації механізму автоматичного та прямого звітування держави-члени можуть, згідно із секторальним правовим актом Союзу, використовувати систему «єдиного вікна».

(25) Секторальні правові акти Союзу, які передбачають заходи управління ризиками чи зобов'язання щодо звітування у сфері кібербезпеки, які є принаймні рівноцінними за своєю дією встановленим у цій Директиві, можуть передбачати, що компетентні органи згідно з такими актами реалізують свої наглядові та виконавчі повноваження щодо таких заходів чи обов'язків із допомогою компетентних органів згідно з цією Директивою. Дотичні компетентні органи можуть укладати угоди про співпрацю з цією метою. Такі угоди про співпрацю можуть визначати, з-поміж іншого, процедури координації діяльності з нагляду, зокрема процедури розслідувань та інспекцій на місцях відповідно до національного права, та механізм обміну релевантною інформацією щодо нагляду та забезпечення виконання між компетентними органами, зокрема доступ до інформації у сфері кібербезпеки, що її вимагають компетентні органи згідно з цією Директивою.

(26) Якщо секторальні правові акти Союзу вимагають або передбачають стимулювання суб'єктів сповіщати про значні кіберзагрози, держави-члени також повинні заохочувати обмін інформацією про значні кіберзагрози з групами CSIRT, компетентними органами або єдиними контактними пунктами згідно з цією Директивою для того, щоб забезпечити підвищений рівень обізнаності цих органів з ландшафтом кіберзагроз та надати їм можливість ефективно та своєчасно реагувати у разі матеріалізації значних кіберзагроз.

(27) Майбутні секторальні правові акти Союзу повинні належним чином враховувати означення та наглядові й правозастосовні засади, викладені у цій Директиві.

(28) Регламент Європейського Парламенту і Ради (ЄС) 2022/2554 (10) потрібно вважати секторальним правовим актом Союзу з погляду цієї Директиви у тому, що стосується фінансових суб'єктів. Положення Регламенту (ЄС) 2022/2554, що стосуються управління ризиками інформаційно-комунікаційних технологій (ІКТ), управління ризиками, пов'язаними з ІКТ, і, зокрема, звітування про значні інциденти, пов'язані з ІКТ, а також щодо випробування цифрової операційної стійкості, домовленостей про обмін інформацією та сторонні ризики ІКТ, повинні бути застосованими замість положень, передбачених цією Директивою. Тому держави-члени не повинні застосовувати положення цієї Директиви про зобов'язання щодо управління ризиками кібербезпеки та звітування, та нагляд і забезпечення виконання до фінансових суб'єктів, які підпадають під дію Регламенту (ЄС) 2022/2554. Водночас важливо підтримувати міцні зв'язки і обмін інформацією з фінансовим сектором згідно з цією Директивою. З цією метою Регламент (ЄС) 2022/2554 дозволяє європейським наглядовим органам і компетентним органам згідно з вказаним Регламентом брати участь у роботі Групи співпраці та обмінюватися інформацією і співпрацювати з єдиними контактними пунктами, а також із групами CSIRT і компетентними органами згідно з цією Директивою. Компетентні органи згідно з Регламентом (ЄС) 2022/2554 також повинні передавати деталі основних інцидентів, пов'язаних із ІКТ, та, якщо доцільно, значних кіберзагроз групам CSIRT, компетентним органам або єдиним контактним пунктам згідно з цією Директивою. Цього можна досягти, надавши негайний доступ до сповіщень про інциденти і пересилаючи їх безпосередньо або через систему «єдиного вікна». Крім того, держави-члени повинні і надалі включати фінансовий сектор у свої стратегії кібербезпеки, а діяльність груп CSIRT може охоплювати фінансовий сектор.

(29) Щоб уникнути прогалин або дублювання зобов'язань із кібербезпеки, покладених на суб'єкти в авіаційному секторі, національні органи згідно з Регламентами Європейського Парламенту і Ради (ЄС) № 300/2008 (11) та (ЄС) 2018/1139 (12) та компетентні органи згідно з цією Директивою повинні співпрацювати у напрямку впровадження пов'язаних із кібербезпекою заходів управління ризиками і нагляду за відповідністю цих заходів на національному рівні. Відповідність того чи іншого суб'єкта вимогам до безпеки, встановленим у Регламентах (ЄС) № 300/2008 та (ЄС) 2018/1139 та у відповідних делегованих та імплементаційних актах, ухвалених на виконання цих Регламентів, компетентні органи згідно з цією Директивою можуть вважати такою, що відповідає відповідним вимогам, встановленим у цій Директиві.

(30) З огляду на взаємозв'язки між кібербезпекою та фізичною безпекою суб'єктів, потрібно забезпечити узгоджений підхід між Директивою Європейського Парламенту і Ради (ЄС) 2022/2557 (13) і цією Директивою. Для досягнення цього суб'єкти, визначені критично важливими суб'єктами згідно з Директивою (ЄС) 2022/2557, потрібно вважати основними суб'єктами згідно з цією Директивою. Крім того, кожна держава-член повинна забезпечити, щоб національна стратегія кібербезпеки передбачала засади політики для посиленої координації всередині цієї держави-члена між її компетентними органами згідно з цією Директивою та компетентними органами згідно з Директивою (ЄС) 2022/2557 у контексті обміну інформацією щодо ризиків, кіберзагроз та інцидентів, а також ризиків, що не стосується ризиків у сфері кібербезпеки, загроз та інцидентів, і виконання наглядових завдань. Компетентним органам згідно з цією Директивою та компетентним органам згідно з Директивою (ЄС) 2022/2557 потрібно співпрацювати та обмінюватися інформацією без невиправданої затримки, зокрема стосовно ідентифікації критично важливих суб'єктів, ризиків, кіберзагроз та інцидентів, а також ризиків, що не стосується ризиків у сфері кібербезпеки, загроз та інцидентів, що впливають на критично важливі суб'єкти, зокрема заходів у сфері кібербезпеки і фізичних заходів, вжитих критично важливими суб'єктами, а також результатів наглядової діяльності, здійснюваної стосовно таких суб'єктів.

Навіть більше, для спрощення наглядової діяльності між компетентними органами згідно з цією Директивою і компетентними органами згідно з Директивою (ЄС) 2022/2557 та для мінімізації адміністративного тягаря для дотичних суб'єктів ці компетентні органи повинні докладати зусиль для гармонізації шаблонів сповіщень про інциденти та наглядових процесів. У відповідних випадках, компетентні органи згідно з Директивою (ЄС) 2022/2557 повинні бути здатними звертатися із запитом до компетентних органів згідно з цією Директивою щодо здійснення ними своїх повноважень з нагляду та забезпечення виконання щодо суб'єкта, визначеного критично важливим суб'єктом згідно з Директивою (ЄС) 2022/2557. Компетентні органи згідно з цією Директивою та компетентні органи згідно з Директивою (ЄС) 2022/2557 повинні за можливості в реальному часі співпрацювати та обмінюватися інформацією з цією метою.

(31) Суб'єкти, що належать до сектора цифрової інфраструктури, по суті базуються на мережевих та інформаційних системах, тож зобов'язання, покладені на ці суб'єкти відповідно до цієї Директиви, повинні в комплексний спосіб охоплювати фізичну безпеку таких систем у межах заходів управління ризиками і обов'язків щодо звітування у сфері кібербезпеки. Оскільки ці питання охоплено цією Директивою, зобов'язання, встановлені в главах III, IV та VI Директиви (ЄС) 2022/2557, не застосовують до таких суб'єктів.

(32) Підтримання та збереження надійної, стійкої та захищеної системи доменних імен (DNS) є ключовими чинниками у забезпеченні цілісності інтернету і мають вирішальне значення для його безперервної та стабільної роботи, від якої залежать цифрова економіка та суспільство. Тому цю Директиву слід застосовувати до реєстру доменних імен верхнього рівня (TLD) та надавачів послуг DNS, що їх слід розуміти як суб'єктів, які надають загальнодоступні послуги розпізнавання рекурсивних доменних імен для кінцевих користувачів мережі Інтернет або авторитативні послуги розпізнавання доменних імен для використання третіми сторонами. Цю Директиву не слід застосовувати до серверів кореневих імен.

(33) Послуги хмарних обчислень повинні охоплювати цифрові послуги, які уможливлюють адміністрування за запитом і широкий віддалений доступ до масштабовного та еластичного пулу обчислювальних ресурсів спільного користування, зокрема там, де такі ресурси розподілено за декількома локаціями. Обчислювальні ресурси включають такі ресурси як мережі, сервери або іншу інфраструктуру, операційні системи, програмне забезпечення, сховища, застосунки та сервіси. Моделі послуг хмарних обчислень включають, між іншим, інфраструктуру як послугу (IaaS), платформу як послугу (PaaS), програмне забезпечення як послугу (SaaS) та мережу як послугу (NaaS). Моделі розгортання хмарних обчислень повинні включати приватні, громадські, публічні та гібридні хмари. Моделі послуг і розгортання хмарних обчислень мають те саме значення, що й терміни «моделі послуг і розгортання», визначені згідно зі стандартом ISO/IEC 17788:2014. Спроможність користувача хмарних послуг в односторонньому порядку забезпечувати себе обчислювальними спроможностями, такими як серверний час або мережеве сховище, без жодного людського втручання з боку надавача послуг хмарних обчислень можна описати як адміністрування за запитом.

Термін «широкий віддалений доступ» використовують для опису надання хмарних спроможностей через мережу і доступу до них через механізми, які сприяють використанню гетерогенних тонких або товстих клієнтських платформ, у тому числі мобільних телефонів, планшетів, ноутбуків і робочих станцій. Термін «масштабовний» означає, що надавач хмарної послуги гнучко розподілив обчислювальні ресурси незалежно від географічного розташування ресурсів для того, щоб справлятися з коливаннями попиту. Термін «еластичний пул» використовують для опису таких обчислювальних ресурсів, які було введено в дію та дозволено до використання відповідно до попиту, щоби швидко збільшувати та зменшувати доступні ресурси залежно від навантаження. Термін «спільного користування» використовують для опису обчислювальних ресурсів, котрі надають багатьом користувачам зі спільним доступом до послуги, але опрацювання здійснюють для кожного користувача окремо, хоча послугу надають з одного й того самого електронного обладнання. Термін «розподілений» використовують для опису обчислювальних ресурсів, які розташовані на різних комп'ютерах або пристроях, об'єднаних у мережу, і які комунікують або координують роботу між собою шляхом передачі повідомлень.

(34) З огляду на виникнення інноваційних технологій і нових бізнес-моделей очікується поява на внутрішньому ринку нових моделей послуг і розгортання хмарних обчислень у відповідь на розвиток потреб споживачів. У цьому контексті послуги хмарних обчислень можуть надавати у сильно розподіленій формі, ще ближче до місць формування або збору даних, переходячи таким чином від традиційної моделі до сильно розподіленої (периферійні обчислення).

(35) Послуги, що їх надають надавачі послуг центру оброблення даних, не завжди можуть бути надані у вигляді послуг хмарних обчислень. Відповідно, центри оброблення не завжди є частиною інфраструктури хмарних обчислень. Для управління всіма ризиками, які загрожують безпеці мережевих та інформаційних систем, ця Директива повинна таким чином охоплювати надавачів послуг центру оброблення, які не є послугами хмарних обчислень. Для цілей цієї Директиви термін «послуга центру оброблення» слід поширювати на надання сервісу, який охоплює структури чи групи структур, призначені для централізованого розміщення, взаємоз'єднання й експлуатації інформаційно-технологічного (IT) та мережевого обладнання, що забезпечує надання послуг зберігання, опрацювання та транспортування даних, разом з усім устаткованням та інфраструктурою для розподілення електропостачання та екологічного контролю. Термін «послуга центру оброблення» не повинен стосуватися внутрішніх корпоративних центрів оброблення, якими володіє та які експлуатує дотичний суб'єкт для власних цілей.

(36) Дослідницька діяльність відіграє ключову роль у розробленні нових продуктів і процесів. У багатьох випадках цю діяльність здійснюють суб'єкти, які надають, розповсюджують або використовують результати своїх досліджень у комерційних цілях. Тому ці суб'єкти можуть бути важливими гравцями в ланцюгах створення вартості, що робить безпеку їхніх мережевих та інформаційних систем невід'ємною частиною загальної кібербезпеки внутрішнього ринку. Науково-дослідні організації потрібно розуміти як такі, до яких належать суб'єкти, які зосереджують суттєву частку своєї діяльності на веденні прикладних досліджень або експериментальних розробках у розумінні видання «Посібник Фраскаті 2015: Настанови щодо збирання та повідомлення даних досліджень і експериментальних розробок» Організації економічного співробітництва та розвитку з наміром скористатися їхніми результатами в комерційних цілях, таких як виробництво чи розробка продукту чи процесу, надання послуги або їх реалізація на ринку.

(37) Зростання взаємозалежностей є результатом дедалі більш транскордонної та взаємозалежної мережі надання послуг із використанням ключової інфраструктури на всій території Союзу в таких секторах, як енергетика, транспорт, цифрова інфраструктура, постачання питної води та водовідведення, охорона здоров'я, певні аспекти публічного адміністрування, а також космос, якщо це стосується надання певних послуг і залежить від наземної інфраструктури, якою володіють, керують і оперують держави-члени чи приватні структури, і таким чином не стосується інфраструктури, якою володіє, керує чи оперує Союз або від його імені у межах його космічної програми. Ці взаємозалежності означають, що будь-який збій, навіть початково обмежений одним суб'єктом чи одним сектором, може мати ширший каскадний вплив, потенційно призводячи до далекосяжних і довготривалих негативних наслідків у постачанні послуг на всьому внутрішньому ринку. Кібератаки, інтенсивність яких зросла під час пандемії COVID-19, продемонстрували вразливість дедалі більш взаємозалежних суспільств перед малоймовірними ризиками.

(38) З огляду на відмінності в структурах національного врядування та для захисту вже наявних секторальних домовленостей або наглядових і регуляторних органів Союзу, держави-члени повинні бути здатними призначити чи створити один або більше компетентних органів, відповідальних за кібербезпеку та за виконання наглядових завдань відповідно до цієї Директиви.

(39) Для сприяння транскордонній співпраці та комунікації між органами влади, і для того, щоб уможливити результативну імплементацію цієї Директиви, необхідно, щоб кожна держава-член призначила єдиний контактний пункт, відповідальний за координацію питань, пов'язаних із безпекою мережевих та інформаційних систем і транскордонною співпрацею на рівні Союзу.

(40) Єдині контактні пункти повинні забезпечувати дієву транскордонну співпрацю з відповідними органами інших держав-членів і, у відповідних випадках, з Комісією та ENISA. Тому єдиним контактним пунктам необхідно поставити завдання пересилати сповіщення про значні інциденти з транскордонними наслідками єдиним контактним пунктам інших держав-членів, які зазнають цих наслідків, на запит групи CSIRT або компетентного органу. На національному рівні єдиний контактний пункт повинен уможливлювати злагоджену міжсекторальну співпрацю з іншими компетентними органами. Єдині контактні пункти також можуть бути адресатами релевантної інформації про інциденти, що стосуються фінансових суб'єктів, від компетентних органів згідно з Регламентом (ЄС) 2022/2554, яку вони повинні бути здатними передавати у відповідних випадках групам CSIRT або компетентним органам згідно з цією Директивою.

(41) Держави-члени повинні бути належним чином оснащеними, з погляду як технічних, так і організаційних спроможностей, для запобігання, виявлення, реагування на інциденти та ризики і пом'якшення їхніх наслідків. Тому держави-члени повинні створити чи призначити одну або декілька груп CSIRT згідно з цією Директивою та забезпечити наявність у них відповідних ресурсів і технічних спроможностей. Групи CSIRT повинні відповідати вимогам, встановленим у цій Директиві, для гарантування результативних і сумісних спроможностей, щоб реагувати на інциденти та ризики і забезпечувати ефективну співпрацю на рівні Союзу. Держави-члени повинні бути здатними призначати групами CSIRT наявні групи реагування на комп'ютерні надзвичайні ситуації (CERT). Для розбудови довірчих відносин між суб'єктами і групами CSIRT, якщо CSIRT є частиною компетентного органу, держава-член повинна бути здатною розглянути доцільність функціонального відокремлення оперативних завдань, виконуваних групами CSIRT, зокрема стосовно обміну інформацією та надання допомоги суб'єктам, від наглядової діяльності компетентних органів.

(42) Завданням груп CSIRT є врегулювання інцидентів. Це передбачає опрацювання великих обсягів подекуди чутливих даних. Держави-члени повинні забезпечити, щоб у груп CSIRT була інфраструктура для обміну й опрацювання інформації, а також добре оснащений персонал, що забезпечує конфіденційність і благонадійність їхніх операцій. У цьому зв'язку групи CSIRT можуть також запровадити кодекси поведінки.

(43) Стосовно персональних даних, групи CSIRT повинні бути здатними забезпечити, відповідно до Регламенту (ЄС) 2016/679, на вимогу основного чи важливого суб'єкта, упередне сканування мережевих та інформаційних систем, використовуваних для надання послуг цього суб'єкта. Де це застосовно, держави-члени повинні прагнути забезпечити однаковий рівень технічних спроможностей для всіх секторальних груп CSIRT. Держави-члени повинні бути здатними звертатися по допомогу до ENISA у розвитку своїх груп CSIRT.

(44) Групам CSIRT потрібно мати змогу, на вимогу основного чи важливого суб'єкта, здійснювати моніторинг активів суб'єкта, які виходять в інтернет як у межах, так і поза межами його приміщень, щоб виявляти, розуміти і керувати загальними організаційними ризиками суб'єкта щодо нововиявлених компрометацій чи критичних вразливостей ланцюгів постачання. Суб'єкта потрібно заохочувати повідомляти CSIRT, чи працює він у інтерфейсі управління з привілейованим доступом, оскільки це може впливати на швидкість вжиття пом'якшувальних заходів.

(45) З огляду на важливість міжнародної співпраці у сфері кібербезпеки, групи CSIRT повинні бути здатними брати участь у мережах міжнародної співпраці на додачу до мережі CSIRT, запровадженої цією Директивою. З метою виконання своїх завдань групам CSIRT і компетентним органам потрібно мати змогу обмінюватися інформацією, в тому числі персональними даними, з національними групами реагування на інциденти комп'ютерної безпеки або компетентними органами третіх країн за умови дотримання умов, передбачених правом Союзу у сфері захисту даних щодо передачі персональних даних третім країнам, зокрема статтею 49 Регламенту (ЄС) 2016/679.

(46) Важливе значення має забезпечення належних ресурсів, щоб досягти цілей цієї Директиви та надати компетентним органам і групам CSIRT можливості виконувати встановлені нею завдання. Держави-члени можуть на національному рівні запровадити механізм фінансування для покриття необхідних видатків, пов'язаних зі здійсненням функцій публічних суб'єктів, відповідальних за кібербезпеку в країні-члені відповідно до цієї Директиви. Такий механізм повинен відповідати праву Союзу і повинен бути пропорційним і недискримінаційним і враховувати різні підходи до надання захищених послуг.

(47) Мережа CSIRT повинна і надалі допомагати зміцненню повної довіри та сприяти швидкій і дієвій оперативній співпраці між державами-членами. З метою вдосконалення оперативної співпраці на рівні Союзу мережа CSIRT повинна розглянути доцільність запрошення органів і агентств Союзу, задіяних у політиці у сфері кібербезпеки, таких як Європол, до участі в її роботі.

(48) З метою досягнення і підтримання високого рівня кібербезпеки національні стратегії кібербезпеки, передбачені цією Директивою, повинні містити узгоджені засади, що забезпечують стратегічні цілі та пріоритети у сфері кібербезпеки, та врядування, спрямоване на їх досягнення. Ці стратегії можуть складатися з одного або більше законодавчих чи незаконодавчих інструментів.

(49) Політики щодо кібергігієни закладають підвалини для захисту інфраструктури мережевих та інформаційних систем, безпеки апаратного, програмного забезпечення й онлайн-застосунків і даних бізнесу чи кінцевих користувачів, на які посилаються суб'єкти. Політики щодо кібергігієни, які містять спільний базовий набір практик, зокрема оновлення програмного й апаратного забезпечення, зміну паролів, керування новими інсталяціями, обмеження облікових записів з адміністративним рівнем доступу та резервування даних, формують упередні засади готовності, загальної безпеки та захищеності на випадок інцидентів або кіберзагроз. ENISA повинно здійснювати моніторинг і аналіз політик держав-членів щодо кібергігієни.

(50) Обізнаність щодо кібербезпеки та кібергігієна мають істотне значення для підвищення рівня кібербезпеки на території Союзу, зокрема з огляду на зростання кількості під'єднаних пристроїв, які дедалі частіше використовують у кібератаках. Потрібно докладати зусиль для поліпшення загальної обізнаності щодо ризиків, пов'язаних із такими пристроями, тоді як проведення відповідних оцінювань на рівні Союзу може допомогти забезпечити спільне розуміння таких ризиків на внутрішньому ринку.

(51) Держави-члени повинні заохочувати використання будь-яких інноваційних технологій, зокрема штучного інтелекту, використання якого може поліпшити виявлення кібератак і запобігання їм, уможливлюючи більш дієве спрямування ресурсів на протидію кібератакам. Тому держави-члени у своїй діяльності у сфері досліджень і розробок у межах національних стратегій кібербезпеки повинні сприяти використанню таких технологій, зокрема тих, що стосуються автоматизованих або напівавтоматизованих інструментів кібербезпеки, та, у відповідних випадках, обміну даними, необхідними для навчання користувачів кожної такої технології та її вдосконалення. Використання будь-яких інноваційних технологій, зокрема штучного інтелекту, повинно відповідати праву Союзу у сфері захисту даних, зокрема принципам захисту даних щодо точності даних, мінімізації даних, чесності та прозорості, а також безпеки даних, зокрема передових методів шифрування. Вимоги щодо захисту даних за призначенням і за замовчуванням, встановлені в Регламенті (ЄС) 2016/679, повинні бути застосованими в повному обсязі.

(52) Інструменти кібербезпеки і застосунки з відкритим вихідним кодом можуть посприяти підвищенню рівня відкритості та можуть позитивно вплинути на ефективність промислових інновацій. Відкриті стандарти полегшують інтероперабельність інструментів безпеки, приносячи користь промисловим стейкхолдерам. Інструменти кібербезпеки і застосунки з відкритим вихідним кодом можуть залучати ширшу спільноту розробників, створюючи можливості для диверсифікації постачальників. Відкритий вихідний код може зумовити прозоріший процес верифікації інструментів, що стосуються кібербезпеки, і керованого спільнотою процесу виявлення вразливостей. Тому держави-члени повинні бути здатними стимулювати використання програмного забезпечення з відкритим вихідним кодом і відкритих стандартів шляхом впровадження політик, що стосуються використання відкритих даних та відкритих джерел, як частини безпеки через прозорість. Політики, що стимулюють запровадження і стале використання інструментів кібербезпеки з відкритим вихідним кодом, є особливо важливими для малих і середніх підприємств, що стикаються зі значними витратами на впровадження, які можливо мінімізувати шляхом зниження потреб у конкретних застосунках або інструментах.

(53) Комунальні служби в містах дедалі тісніше поєднуються з цифровими мережами з метою поліпшення міських транспортних мереж, модернізації об'єктів водопостачання та водовідведення і підвищення ефективності освітлення та опалення будівель. Ці цифровізовані комунальні служби є вразливими до кібератак і ризикують, у разі успішної кібератаки, завдати громадянам масштабної шкоди внаслідок своєї взаємопов'язаності. Держави-члени повинні розробити політику, яка регулює розвиток таких з'єднаних або розумних міст та їхній потенційний вплив на суспільство, у межах національної стратегії кібербезпеки.

(54) В останні роки Союз зіткнувся з експоненційним зростанням кількості атак із застосуванням програм-вимагачів, коли шкідливе програмне забезпечення шифрує дані та системи і вимагає сплатити викуп за відновлення доступу. Зростання частоти та серйозності атак із застосуванням програм-вимагачів може бути зумовлене кількома чинниками, такими як: різні тактики дій під час атак, злочинні бізнес-моделі, побудовані навколо «програми-вимагача як послуги» та криптовалют, вимоги викупу і зростання кількості атак на ланцюги постачання. Держави-члени повинні розробити політику, яка розв'язує проблему зростання кількості атак із застосуванням програм-вимагачів, у межах національної стратегії кібербезпеки.

(55) Публічно-приватні партнерства (ППП) у сфері кібербезпеки можуть закласти належні засади для обміну знаннями та найкращими практиками, а також для встановлення спільного рівня розуміння серед стейкхолдерів. Держави-члени повинні просувати політики, які закладають основи для створення ППП у сфері кібербезпеки. Ці політики повинні чітко визначати, з-поміж іншого, сферу застосування та залучених стейкхолдерів, модель урядування, наявні варіанти фінансування і взаємодію між стейкхолдерами-учасниками з погляду ППП. ППП можуть використовувати експертні знання приватного сектора, щоб допомагати компетентним органам у розробленні найсучасніших послуг і процесів, включно з обміном інформацією, ранніми попередженнями, навчальними тренуваннями з протидії кіберзагрозам та інцидентам, кризовим управлінням і плануванням стійкості.

(56) У своїх національних стратегіях кібербезпеки держави-члени повинні вирішувати конкретні потреби у сфері кібербезпеки малих і середніх підприємств. Малі та середні підприємства на території Союзу становлять великий відсоток промислового та ділового ринку, і часто їм буває важко пристосуватися до нових практик ведення бізнесу в більш взаємопов'язаному світі та до цифрового середовища, де співробітники працюють з дому, а справи дедалі більше ведуть в онлайні. Деякі малі та середні підприємства стикаються зі специфічними викликами у сфері кібербезпеки, зокрема з низькою обізнаністю у сфері кібербезпеки, відсутністю дистанційної ІТ-безпеки, високою вартістю рішень у сфері кібербезпеки і підвищеним рівнем загроз на кшталт програм-вимагачів, для яких їм потрібно отримувати інструкції та допомогу. Малі та середні підприємства дедалі частіше стають мішенями атак на ланцюги постачання у зв'язку з їхніми менш жорсткими заходами управління ризиками кібербезпеки і керування атаками, а також з огляду на той факт, що вони мають обмежені безпекові ресурси. Атаки на ланцюги постачання не лише мають вплив на малі й середні підприємства та їхні операції відособлено, але й можуть спричиняти каскадний ефект на більш масштабні атаки проти суб'єктів, яким вони забезпечували постачання. Держави-члени через свої національні стратегії кібербезпеки повинні допомогти малим і середнім підприємствам упоратися з викликами, які стоять перед ними у ланцюгах постачання. Державам-членам потрібно мати контактний пункт для малих і середніх підприємств на національному чи регіональному рівні, котрий надає інструкції та допомогу малим і середнім підприємствам або скеровує їх до відповідних органів по інструкції і допомогу у питаннях, пов'язаних із кібербезпекою. Держав-членів також заохочують пропонувати такі послуги, як конфігурація вебсайтів та активація журналу подій мікропідприємствам і малим підприємствам, яким бракує таких можливостей.

(57) У межах своїх національних стратегій кібербезпеки держави-члени повинні ухвалити політики щодо сприяння активному кіберзахисту як частину ширшої оборонної стратегії. На відміну від реактивного реагування, активний кіберзахист - це запобігання порушенням мережевої безпеки, їх виявлення, моніторинг, аналіз і мінімізація активним чином у поєднанні з використанням спроможностей, розгорнутих у межах і за межами постраждалої мережі. Він може включати надання державами-членами безкоштовних послуг або інструментів, включно з самодіагностикою, інструментами виявлення та послугами вилучення, певним суб'єктам. Здатність швидко і автоматично передавати і розуміти інформацію й аналітичні дані щодо загроз, оповіщення про підозрілу кіберактивність і заходи реагування є критичною для забезпечення єдності зусиль з успішного запобігання та протидії атакам проти мережевих та інформаційних систем, їх виявлення та блокування. Активний кіберзахист базується на оборонній стратегії, яка виключає наступальні заходи.

(58) Оскільки використання вразливостей мережевих та інформаційних систем може спричинити значні збої та шкоду, оперативне виявлення та усунення таких вразливостей є важливим чинником зменшення ризику. Тому суб'єкти, які розробляють або адмініструють мережеві й інформаційні системи, повинні запровадити відповідні процедури поводження з вразливостями у разі їх виявлення. Оскільки треті сторони часто виявляють і розголошують вразливості, виробник або надавач продуктів ІКТ чи послуг ІКТ також повинен ввести в дію необхідні процедури для отримання інформації про вразливості від третіх осіб. У цьому зв'язку міжнародні стандарти ISO/IEC 30111 та ISO/IEC 29147 містять інструкції щодо поводження з вразливостями й оприлюднення інформації про вразливості. Посилення координації між фізичними та юридичними особами, що повідомляють, і виробниками чи надавачами продуктів ІКТ або послуг ІКТ є особливо важливим із метою полегшення добровільної основи оприлюднення інформації про вразливості. Скоординоване оприлюднення інформації про вразливості вказує на структурований процес, під час якого про вразливості повідомляють виробникові чи надавачу потенційно вразливих продуктів ІКТ або послуг ІКТ у спосіб, що дає йому змогу проводити діагностику та усувати вразливості до розкриття докладної інформації про вразливості третім сторонам або громадськості. Скоординоване оприлюднення інформації про вразливості також повинно включати координацію між фізичною чи юридичною особою, що повідомляє, і виробником або надавачем потенційно вразливих продуктів ІКТ або послуг ІКТ щодо строків усунення й оприлюднення вразливостей.

(59) Комісія, ENISA та держави-члени повинні і надалі сприяти приведенню у відповідність до міжнародних стандартів і наявних галузевих найкращих практик у сфері управління ризиками кібербезпеки, наприклад, у сферах оцінювання безпеки ланцюгів постачання, обміну інформацією та оприлюднення інформації про вразливості.

(60) Держави-члени у співпраці з ENISA повинні вживати заходів для сприяння скоординованому оприлюдненню інформації про вразливості шляхом запровадження відповідної національної політики. У межах національної політики держави-члени повинні прагнути, наскільки це можливо, вирішувати виклики, з якими стикаються дослідники вразливостей, зокрема потенційну загрозу кримінальної відповідальності відповідно до національного права. З огляду на те, що фізичні та юридичні особи, що досліджують вразливості, можуть бути притягнуті до кримінальної або цивільної відповідальності у деяких державах-членах, держав-членів заохочують ухвалювати настанови щодо відмови від кримінального переслідування дослідників інформаційної безпеки та звільнення від цивільної відповідальності за їхню діяльність.

(61) Якщо необхідно, держави-члени призначають одну з груп CSIRT координатором, що діє як довірений посередник між фізичними чи юридичними особами, що повідомляють, та виробниками продуктів ІКТ або надавачами послуг ІКТ, які можуть постраждати від вразливості. Завдання CSIRT, призначеної координатором, повинні включати виявлення і звернення до дотичних суб'єктів, надання допомоги фізичним або юридичним особам, що повідомляють про вразливість, ведення переговорів щодо строків розголошення та управління вразливостями, які впливають на декілька суб'єктів (багатостороннє скоординоване оприлюднення інформації про вразливості). Якщо вразливість, про яку повідомлено, може мати значний вплив на суб'єктів більш ніж в одній державі-члені, групи CSIRT, призначені координаторами, повинні співпрацювати в межах мережі CSIRT, залежно від випадку.

(62) Доступ до достовірної та своєчасної інформації про вразливості, що впливають на продукти ІКТ і послуги ІКТ, сприяє вдосконаленню управління ризиками кібербезпеки. Джерела загальнодоступної інформації про вразливості - це важливий інструмент для суб'єктів і користувачів їхніх послуг, а також для компетентних органів та груп CSIRT. З цієї причини ENISA повинно створити Європейську базу даних про вразливості, за допомогою якої суб'єкти, незалежно від того, чи підпадають вони під сферу застосування цієї Директиви, та їхні постачальники мережевих та інформаційних систем, а також компетентні органи та групи CSIRT можуть на добровільних засадах розкривати і реєструвати загальновідомі вразливості з метою дозволити користувачам вживати належні пом'якшувальні заходи. Метою цієї бази даних є вирішення унікальних викликів, зумовлених ризиками для суб'єктів Союзу. Навіть більше, ENISA повинно запровадити належну процедуру для процесу оприлюднення, щоб надати суб'єктам час на вжиття пом'якшувальних заходів стосовно своїх вразливостей і застосування передових заходів управління ризиками кібербезпеки, а також машинозчитувані набори даних і відповідні інтерфейси. Щоб стимулювати розвиток культури розкриття інформації про вразливості, розкриття інформації не повинне мати негативних наслідків для фізичних або юридичних осіб, що її повідомляють.

(63) Хоча подібні реєстри або бази даних вразливостей існують, їх розміщують і утримують суб'єкти, засновані не в Союзі. Підтримувана ENISA Європейська база даних про вразливості забезпечила б підвищену прозорість процесу оприлюднення перед публічним розголошенням вразливості та стійкість у разі збою або перебою в наданні подібних послуг. Щоб за можливості уникнути дублювання зусиль і досягти взаємодоповнюваності, ENISA повинно дослідити можливість укладення угод про співпрацю з аналогічними реєстрами чи базами даних, що перебувають під юрисдикцією третіх країн. Зокрема ENISA повинно дослідити можливість тісної співпраці з операторами бази даних загальновідомих вразливостей інформаційної безпеки (CVE).

(64) Група співпраці повинна підтримувати і сприяти стратегічній співпраці й обміну інформацією, а також посилювати довіру і взаєморозуміння між державами-членами. Група співпраці повинна кожні два роки запроваджувати програму роботи. Ця програма роботи повинна включати дії, які потрібно виконати Групі співпраці для реалізації своїх цілей і завдань. Часові рамки для запровадження першої програми роботи за цією Директивою потрібно узгодити з часовими рамками останньої програми роботи, запровадженої згідно з Директивою (ЄС) 2016/1148, щоб уникнути потенційних збоїв у роботі Групи співпраці.

(65) Під час розробки настановчих документів Група співпраці повинна послідовно картувати національні рішення та досвід, оцінювати вплив результатів діяльності Групи співпраці на національні підходи, обговорювати проблеми реалізації та формулювати конкретні рекомендації, зокрема щодо сприяння узгодженню транспозиції цієї Директиви серед держав-членів, яке слід вирішувати шляхом кращої реалізації наявних правил. Група співпраці також може картувати національні рішення, спрямовані на просування сумісності рішень у сфері кібербезпеки, застосовуваних для кожного окремого сектора на всій території Союзу. Це особливо актуально для секторів, які мають міжнародний або транскордонний характер.

(66) Група співпраці повинна залишатися гнучким форумом і бути здатною реагувати на зміну та появу нових пріоритетів політики та викликів, враховуючи при цьому наявність ресурсів. Вона може організовувати спільні засідання з відповідними приватними стейкхолдерами з усього Союзу для обговорення діяльності Групи співпраці та збирання даних і пропозицій щодо нових викликів політики. Додатково Група співпраці повинна здійснювати регулярне оцінювання стану справ з кіберзагрозами чи інцидентами, такими як програми-вимагачі. Для поглиблення співпраці на рівні Союзу Група співпраці повинна розглянути доцільність запрошення відповідних установ, органів, офісів і агентств Союзу, причетних до політики у сфері кібербезпеки, таких як: Європейський Парламент, Європол, Європейська рада із захисту даних, Агентство з безпеки польотів Європейського Союзу, засноване відповідно до Регламенту (ЄС) 2018/1139, та Агентство з реалізації космічної програми Європейського Союзу, засноване відповідно до Регламенту Європейського Парламенту і Ради (ЄС) 2021/696 (14), взяти участь у її роботі.

(67) Компетентні органи і групи CSIRT повинні бути здатними брати участь у схемах обміну для посадових осіб з інших держав-членів у конкретних рамках і, якщо застосовно, за умови необхідного допуску в системі безпеки посадових осіб, що беруть участь у таких схемах обміну, для покращення співпраці та зміцнення довіри між державами-членами. Компетентні органи повинні вживати необхідних заходів для того, щоб надавати посадовим особам із інших держав-членів можливість відігравати дієву роль у діяльності компетентного органу чи групи CSIRT, що їх приймає.

(68) Держави-члени повинні сприяти створенню Засад реагування на кризи кібербезпеки в ЄС, визначених у Рекомендації Комісії (ЄС) 2017/1584 (15), через наявні мережі співпраці, зокрема Європейську мережу організацій взаємодії в питаннях протидії кіберкризам (EU-CyCLONe), мережу CSIRT та Групу співпраці. EU-CyCLONe і мережа CSIRT повинні співпрацювати на засадах процедурних механізмів, які визначають деталі цієї співпраці й уникають будь-якого дублювання завдань. Внутрішній регламент EU-CyCLONe повинен додатково визначати механізми, за рахунок яких ця мережа повинна функціонувати, в тому числі ролі, засоби співпраці, взаємодію з іншими відповідними суб'єктами та шаблони для обміну інформацією, а також засобів комунікації. Для управління кризами на рівні Союзу відповідні сторони повинні розраховувати на механізми інтегрованого політичного реагування ЄС на кризи, передбачені Імплементаційним рішенням Ради (ЄС) 2018/1993 (16) (механізми IPCR). З цією метою Комісія повинна використовувати високорівневий міжсекторальний процес координування кризових ситуацій ARGUS. Якщо ж криза стосується важливого зовнішнього виміру або виміру спільної безпекової та оборонної політики, потрібно активувати Механізм реагування на кризові ситуації Європейської служби зовнішніх справ (EEAS).

(69) Згідно з додатком до Рекомендації (ЄС) 2017/1584, термін «масштабний інцидент кібербезпеки» повинен означати інцидент, який призводить до збою такого рівня, який перевищує спроможність держави-члена реагувати на нього, або який має значний вплив принаймні на дві держави-члени. Залежно від причин та наслідків, масштабні інциденти кібербезпеки можуть розростатися і перетворюватися на повноцінні кризові ситуації, що не допускають належного функціонування внутрішнього ринку або становлять серйозні ризики для громадської та особистої безпеки суб'єктів чи громадян кількох держав-членів або Союзу в цілому. З огляду на широкомасштабний розмах і, здебільшого, транскордонний характер таких інцидентів, держави-члени та відповідні установи, органи, офіси й агентства Союзу повинні співпрацювати на технічному, оперативному та політичному рівнях, щоб належним чином координувати заходи реагування на всій території Союзу.

(70) Масштабні інциденти та кризи кібербезпеки на рівні Союзу вимагають скоординованих дій для забезпечення швидкого та дієвого реагування через високий ступінь взаємозалежності між секторами та державами-членами. Наявність кіберстійких мережевих та інформаційних систем, а також доступність, конфіденційність і цілісність даних є життєво важливими для безпеки Союзу, захисту його громадян, бізнесів та інституцій від інцидентів і кіберзагроз, а також для підвищення довіри осіб і організацій до здатності Союзу розвивати й захищати глобальний, відкритий, стабільний і безпечний кіберпростір, заснований на правах людини, фундаментальних свободах, демократії та верховенстві права.

(71) EU-CyCLONe повинна працювати як посередник між технічним і політичним рівнем під час масштабних інцидентів і криз кібербезпеки і повинна посилювати співпрацю на операційному рівні та підтримувати ухвалення рішень на політичному рівні. У співпраці з Комісією, беручи до уваги компетенцію Комісії в сфері управління кризами, EU-CyCLONe повинна спиратися на висновки мережі CSIRT і використовувати свої власні спроможності для створення аналітики впливу масштабних інцидентів і криз кібербезпеки.

(72) Кібератаки мають транскордонний характер, і значний інцидент може порушити та пошкодити критичну інформаційну інфраструктуру, від якої залежить безперебійне функціонування внутрішнього ринку. Рекомендація (ЄС) 2017/1584 регулює роль усіх відповідних діячів. Навіть більше, Комісія в межах Механізму цивільного захисту Союзу, запровадженого Рішенням Європейського Парламенту і Ради № 1313/2013/ЄС (17), відповідальна за загальні заходи з готовності,включно з управлінням Координаційним центром реагування на надзвичайні ситуації та Спільною інформаційною системою екстреної комунікації, підтримання і подальший розвиток ситуаційної обізнаності й аналітичного потенціалу, а також формування та керування здатністю мобілізувати і відряджати команди експертів у разі прохання про допомогу від держави-члена чи третьої країни. Комісія також відповідальна за надання аналітичних звітів для механізмів IPCR згідно з Імплементаційним рішенням (ЄС) 2018/1993, зокрема стосовно ситуаційної обізнаності та готовності у сфері кібербезпеки, а також за ситуаційну обізнаність і кризове реагування у сферах сільського господарства, несприятливих погодних умов, картування і прогнозування конфліктів, систем раннього попередження про стихійні лиха, надзвичайних ситуацій у сфері охорони здоров'я, нагляду за інфекційними захворюваннями, здоров'я рослин, хімічних інцидентів, безпечності харчових продуктів і кормів, здоров'я тварин, міграції, митного контролю, ядерних і радіологічних аварійних ситуацій та енергетики.

(73) У відповідних випадках Союз може укладати міжнародні угоди, відповідно до статті 218 ДФЄС, з третіми країнами або міжнародними організаціями, що дозволяють та організовують їхню участь у певній діяльності Групи співпраці, мережі CSIRT та EU-CyCLONe. Такі угоди повинні забезпечувати дотримання інтересів Союзу та належний захист даних. Це не повинно обмежувати права держав-членів співпрацювати з третіми країнами в питаннях управління вразливостями й управління ризиками кібербезпеки, полегшуючи звітування та загальний обмін інформацією відповідно до права Союзу.

(74) З метою сприяння дієвій імплементації цієї Директиви у питаннях, що стосуються, між іншим, управління вразливостями, заходів управління ризиками кібербезпеки, обов'язків щодо звітування та механізмів обміну інформацією щодо кібербезпеки, держави-члени можуть співпрацювати з третіми країнами та здійснювати діяльність, яку вважають відповідною цій меті, включно з обміном інформацією про кіберзагрози, інциденти, вразливості, інструменти та методи, тактики, прийоми і процедури, готовність і відпрацювання навичок управління кризовими ситуаціями у сфері кібербезпеки, підвищення кваліфікації, розбудову довіри та структурованим порядком обміну інформацією.

(75) Потрібно запровадити партнерські перевірки, щоб винести уроки зі спільного досвіду, посилити взаємну довіру і досягти високого спільного рівня кібербезпеки. Партнерські перевірки можуть надавати цінні ідеї та рекомендації, що посилюють загальні можливості у сфері кібербезпеки, формують інший функціональний шлях обміну найкращими практиками серед держав-членів і сприяють підвищенню рівнів зрілості держав-членів у сфері кібербезпеки. Навіть більше, партнерські перевірки повинні враховувати результати схожих механізмів, таких як система партнерських перевірок мережі CSIRT, та повинні додавати цінності й уникати дублювання. Імплементація партнерських перевірок не повинен обмежувати положень права Союзу або національного права про захист конфіденційної чи секретної інформації.

(76) Групі співпраці потрібно створити методологію самооцінювання для держав-членів з метою охопити такі чинники, як рівень імплементації заходів управління ризиками та обов'язків щодо звітування у сфері кібербезпеки, рівень спроможностей і дієвість виконання завдань компетентними органами, оперативні спроможності груп CSIRT, рівень імплементації взаємодопомоги, рівень імплементації механізмів обміну інформацією щодо стану кібербезпеки або конкретні питання транскордонного чи міжсекторального характеру. Держав-членів потрібно заохочувати до проведення самооцінювання на регулярній основі та до презентації й обговорення результатів самооцінювання всередині Групи співпраці.

(77) Відповідальність за забезпечення безпеки мережевих та інформаційних систем значною мірою покладено на основних і важливих суб'єктів. Необхідно просувати й розвивати культуру управління ризиками, включно з оцінюванням ризиків та імплементацію заходів управління ризиками кібербезпеки, відповідних ризикам, що постають наразі.

(78) Заходи управління ризиками кібербезпеки повинні враховувати ступінь залежності основного чи важливого суб'єкта від мережевих та інформаційних систем і включати інструменти для визначення ризиків інцидентів, для запобігання, виявлення, реагування та відновлення після інцидентів, а також пом'якшення їхніх наслідків. Безпека мережевих та інформаційних систем повинна включати безпеку збережених, переданих і опрацьованих даних. Заходи управління ризиками кібербезпеки повинні передбачати системний аналіз із урахуванням людського чинника, щоб мати повну картину безпеки мережевої та інформаційної системи.

(79) Оскільки загрози безпеці мережевих та інформаційних систем можуть мати різне походження, заходи управління ризиками кібербезпеки повинні базуватися на всеохопному підході до загроз, спрямованому на захист мережевих та інформаційних систем і фізичного середовища цих систем від таких подій, як крадіжка, пожежа, повінь, перебої в телекомунікаціях чи електропостачанні або несанкціонований фізичний доступ до інформаційних систем й опрацювання інформації основних або важливих суб'єктів, пошкодження або втручання в їхню роботу, що ставить під загрозу доступність, автентичність, цілісність або конфіденційність збережених, переданих чи опрацьованих даних або послуг, пропонованих мережевими й інформаційними системами або доступних за їх допомогою. Тому заходи управління ризиками кібербезпеки повинні також стосуватися фізичної й екологічної безпеки мережевих та інформаційних систем шляхом включення заходів, спрямованих на захист таких систем від системних збоїв, людської помилки, зловмисних дій або природних явищ згідно з європейськими та міжнародними стандартами, зокрема включеними до серії стандартів ISO/IEC 27000. У цьому зв'язку основним і важливим суб'єктам у межах заходів управління ризиками кібербезпеки також потрібно розв'язувати питання безпеки людських ресурсів і мати в наявності відповідні політики контролю доступу. Ці заходи повинні відповідати Директиві (ЄС) 2022/2557.

(80) З метою демонстрації відповідності заходам управління ризиками кібербезпеки та за умов відсутності відповідних європейських схем сертифікації кібербезпеки, ухвалених згідно з Регламентом Європейського Парламенту і Ради (ЄС) 2019/881 (18), держави-члени повинні, після консультацій із Групою співпраці та Європейською групою з сертифікації кібербезпеки, стимулювати використання відповідних європейських і міжнародних стандартів основними та важливими суб'єктами або можуть вимагати від суб'єктів використовувати сертифіковані продукти ІКТ, послуги ІКТ, процеси ІКТ.

(81) Для того, щоб уникнути покладання непропорційного фінансового та адміністративного тягаря на основних і важливих суб'єктів, заходи управління ризиками кібербезпеки повинні бути пропорційними ризикам, що їх зазнає дотична мережева й інформаційна система, враховуючи сучасний стан таких заходів і, якщо застосовно, актуальні європейські та міжнародні стандарти, а також вартість їх імплементації.

(82) Заходи управління ризиками кібербезпеки повинні бути пропорційними ступеню впливу ризиків на основний або важливий суб'єкт і соціально-економічним наслідкам, які міг би спричинити інцидент. Під час запровадження заходів управління ризиками кібербезпеки, адаптованих до основних і важливих суб'єктів, потрібно належним чином враховувати розбіжності у впливах ризиків на основні та важливі суб'єкти, як-от: критичність суб'єкта, ризиків, включно з суспільними ризиками, яких він зазнає, розміром суб'єкта і ймовірністю виникнення інцидентів та їхньою тяжкість, зокрема їхні соціально-економічні наслідки.

(83) Основні та важливі суб'єкти повинні убезпечувати мережеві й інформаційні системи, які вони використовують у своїй діяльності. Це, передусім, приватні мережеві та інформаційні системи, якими управляє внутрішній ІТ-персонал основних і важливих суб'єктів або безпеку яких забезпечують сторонні організації. Заходи управління ризиками й зобов'язання щодо звітування у сфері кібербезпеки, передбачені цією Директивою, потрібно застосовувати до відповідних основних і важливих суб'єктів, незалежно від того, чи ці суб'єкти підтримують роботу своїх мережевих та інформаційних систем внутрішньо, чи віддають їх підтримку на підряд стороннім організаціям.

(84) Зважаючи на транскордонний характер надавачів послуг DNS, реєстрів TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг центру, постачальників мереж доставки контенту, надавачів керованих послуг, надавачів керованих послуг безпеки, постачальників електронних торговельних майданчиків, електронних пошукових систем і платформ послуг соціальних мереж, а також надавачів довірчих послуг, вони повинні підпадати під високий ступінь гармонізації на рівні Союзу. Тому імплементацію інструментів управління ризиками кібербезпеки стосовно цих суб'єктів потрібно стимулювати імплементаційним актом.

(85) Подолання ризиків, пов'язаних із ланцюгом постачання того чи іншого суб'єкта та його взаєминами з постачальниками, такими як надавачі послуг зберігання та опрацювання або надавачі керованих послуг безпеки та редактори ПЗ, є особливо важливим з огляду на поширеність інцидентів, у ході яких суб'єкти ставали жертвами кібератак, а зловмисникам вдавалося скомпрометувати безпеку мережевих та інформаційних систем суб'єкта, використовуючи вразливості сторонніх продуктів і послуг. Тому основні та важливі суб'єкти повинні оцінювати і враховувати загальну якість і стійкість продуктів та послуг, закладені в них заходи управління ризиками кібербезпеки та кібербезпекові практики їхніх постачальників і надавачів послуг, включно з процедурами захищеного розроблення. Потрібно особливо заохочувати основних і важливих суб'єктів інкорпорувати заходи управління ризиками кібербезпеки в договірні домовленості зі своїми прямими постачальниками і надавачами послуг. Ці суб'єкти можуть брати до уваги ризики, пов'язані з іншими рівнями постачальників і надавачів послуг.

(86) З-поміж надавачів послуг, особливо важливу роль у допомозі суб'єктам у їхніх зусиллях із запобігання наслідкам інцидентів, їх виявлення або усунення відіграють надавачі керованих послуг безпеки у таких сферах, як реагування на інциденти, випробування на можливість проникнення в систему, аудит стану безпеки та консультації. Однак самі надавачі керованих послуг безпеки також ставали цілями кібератак і внаслідок своєї тісної інтеграції в діяльність суб'єктів становлять особливий ризик. Отже, основні та важливі суб'єкти повинні вкрай сумлінно ставитися до вибору надавачів керованих послуг безпеки.

(87) Компетентні органи в контексті своїх наглядових завдань також можуть отримувати вигоду від послуг у сфері кібербезпеки, такими як: аудити стану безпеки, випробування на можливість проникнення в систему або реагування на інциденти.

(88) Основні та важливі суб'єкти також повинні усувати ризики, пов'язані з взаємодією та відносинами з іншими стейкхолдерами в межах ширшої екосистеми, зокрема стосовно протидії промисловому шпіонажу та захисту комерційної таємниці. Зокрема ці суб'єкти повинні вжити належних заходів для забезпечення того, щоб їхня співпраця з академічними та науково-дослідними установами була узгоджена з їхніми політиками у сфері кібербезпеки та відповідала належним практикам щодо безпечного доступу й поширення інформації загалом і захисту інтелектуальної власності зокрема. Аналогічно, враховуючи важливість і цінність даних для діяльності основних і важливих суб'єктів, покладаючись на послуги перетворення даних та аналізу даних від третіх сторін, ці суб'єкти повинні вживати всіх належних заходів управління ризиками кібербезпеки.

(89) Основні та важливі суб'єкти повинні впровадити весь спектр базових практик кібергігієни, таких як: принципи нульової довіри, оновлення програмного забезпечення, конфігурація пристрою, сегментація мережі, управління ідентифікацією та доступом або обізнаність користувачів, організовувати навчання для власного персоналу і підвищувати обізнаність щодо кіберзагроз, фішингу чи методів соціальної інженерії. Навіть більше, цим суб'єктам потрібно оцінити власні спроможності у сфері кібербезпеки та, у відповідних випадках, провадити інтеграцію технологій підвищення кібербезпеки на кшталт штучного інтелекту або систем машинного навчання, щоб вдосконалити свої спроможності й безпеку мережевих та інформаційних систем.

(90) Для подальшого усунення ключових ризиків ланцюгів постачання та допомоги основним і важливим суб'єктам, що здійснюють діяльність у секторах, охоплених цією Директивою, в належному управлінні ризиками, пов'язаними з ланцюгами постачання і постачальниками, Група співпраці у співпраці з Комісією та ENISA і, залежно від випадку, після консультацій з відповідними, зокрема галузевими, стейкхолдерами, повинна здійснювати скоординоване оцінювання ризиків безпеки критичних ланцюгів постачання, за аналогією до здійснюваних для мереж 5G на виконання Рекомендації Комісії (ЄС) 2019/534 (19), з метою ідентифікації актуальних загроз і вразливостей для кожного сектора, послуги ІКТ, системи ІКТ чи продукту ІКТ. Таке скоординоване оцінювання ризиків повинно визначати заходи, плани нейтралізації та найкращі практики протидії критичним взаємозалежностям, потенційним єдиним точкам відмови, загрозам, вразливостям та іншим ризикам, пов'язаним із ланцюгами постачання, та повинно досліджувати шляхи подальшого сприяння їхньому ширшому застосуванню з боку основних і важливих суб'єктів. Потенційні нетехнічні чинники ризику, як-от неналежний вплив третьої країни на постачальників і надавачів послуг, зокрема у разі альтернативних моделей управління, включають приховані вразливості або бекдори та потенційні системні перебої постачання, зокрема у разі технологічного блокування або залежності від одного постачальника.

(91) Скоординоване оцінювання ризиків критичних ланцюгів постачання, зважаючи на особливості дотичного сектора, повинно враховувати як технічні, так і, де це є доречним, нетехнічні чинники, зокрема визначені в Рекомендації (ЄС) 2019/534, в скоординованому оцінюванні ЄС ризиків кібербезпеки мереж 5G та в Наборі інструментів ЄС з кібербезпеки 5G, погоджених Групою співпраці. Для ідентифікації ланцюгів постачання, для яких потрібно застосувати скоординоване оцінювання ризиків, потрібно враховувати такі критерії: (i) інтенсивність використання та ступінь залежності основних і важливих суб'єктів від конкретних критичних послуг ІКТ, систем ІКТ або продуктів ІКТ; (ii) значимість конкретних критичних послуг ІКТ, систем ІКТ або продуктів ІКТ для виконання критичних або чутливих функцій, включно з обробленням персональних даних; (iii) наявність альтернативних послуг ІКТ, систем ІКТ або продуктів ІКТ; (iv) стійкість усього ланцюга постачання послуг ІКТ, систем ІКТ або продуктів ІКТ до руйнівних подій упродовж їхнього життєвого циклу; і (v) для з'явних послуг ІКТ, систем ІКТ або продуктів ІКТ - їхню потенційну майбутню значущість для діяльності суб'єктів. Навіть більше, особливий акцент потрібно робити на послугах ІКТ, системах ІКТ або продуктах ІКТ, які підпадають під особливі вимоги, що походять із третіх країн.

(92) Для того щоб спростити зобов'язання, покладені на постачальників публічних електронних комунікаційних мереж або надавачів загальнодоступних електронних комунікаційних послуг та надавачів довірчих послуг, і пов'язані з безпекою їхніх мережевих та інформаційних систем, а також щоб надати можливість цим суб'єктам і компетентним органам згідно з Директивою Європейського Парламенту і Ради (ЄС) 2018/1972 (20) та Регламентом (ЄС) № 910/2014, відповідно, скористатися нормативно-правовою базою, встановленою цією Директивою, включно з призначенням групи CSIRT, відповідальної за врегулювання інцидентів, участю дотичних компетентних органів у діяльності Групи співпраці та мережі CSIRT, ці суб'єкти повинні підпадати під сферу застосування цієї Директиви. Тому відповідні положення, встановлені Регламентом (ЄС) № 910/2014 і Директивою (ЄС) 2018/1972, стосовно накладання слід видалити. Встановлені цією Директивою правила, що стосуються обов'язків щодо звітування, не повинні обмежувати сферу застосування Регламенту (ЄС) 2016/679 та Директиви 2002/58/ЄС.

(93) Зобов'язання щодо кібербезпеки, встановлені у цій Директиві, потрібно вважати такими, що доповнюють вимоги, накладені на надавачів довірчих послуг Регламентом (ЄС) № 910/2014. Від надавачів довірчих послуг потрібно вимагати вживати всіх належних і пропорційних заходів, щоб керувати ризиками для їхніх послуг, зокрема стосовно клієнтів і залежних третіх сторін, та повідомляти про інциденти відповідно до цієї Директиви. Такі зобов'язання щодо кібербезпеки та звітування також повинні стосуватися фізичного захисту надаваних послуг. Вимоги до кваліфікованих надавачів довірчих послуг, встановлені у статті 24 Регламенту (ЄС) № 910/2014, продовжують застосовувати.

(94) Держави-члени можуть призначити на роль компетентних органів для довірчих послуг наглядові органи, визначені згідно з Регламентом (ЄС) № 910/2014, щоб забезпечити тяглість поточних практик і спиратися на знання й досвід, здобуті в ході застосування вказаного Регламенту. У такому разі компетентні органи згідно з цією Директивою повинні тісно та своєчасно співпрацювати зі згаданими наглядовими органами шляхом обміну релевантною інформацією, щоб забезпечити дієвий нагляд і відповідність надавачів довірчих послуг вимогам, встановленим цією Директивою та Регламентом (ЄС) № 910/2014. Там, де це застосовно, група CSIRT чи компетентний орган за цією Директивою повинен негайно інформувати наглядовий орган за Регламентом (ЄС) № 910/2014 про будь-яку сповіщену значну кіберзагрозу чи інцидент, що впливає на довірчі послуги, а також про будь-які порушення положень цієї Директиви надавачем довірчих послуг. З метою звітування держави-члени можуть, якщо застосовно, використовувати систему «єдиного вікна», створену для досягнення уніфікованого й автоматичного звітування про інциденти як наглядовому органу за Регламентом (ЄС) № 910/2014, так і групі CSIRT або компетентному органу за цією Директивою.

(95) У відповідних випадках і для уникнення невиправданих збоїв наявні національні настанови, ухвалені з метою транспозиції правил, що стосуються заходів безпеки, встановлених у статтях 40 і 41 Директиви (ЄС) 2018/1972, потрібно враховувати під час транспонування цієї Директиви, спираючись таким чином на знання та навички, що стосуються заходів безпеки і сповіщення про інциденти, вже отримані в ході виконання Директиви (ЄС) 2018/1972. ENISA може також розробити інструкції щодо вимог до безпеки і обов'язків щодо звітування для постачальників публічних електронних комунікаційних мереж або надавачів загальнодоступних електронних комунікаційних послуг, щоб прискорити гармонізацію та перехід і щоб мінімізувати збої. Держави-члени можуть призначити на роль компетентних органів для електронних комунікацій національні регуляторні органи, визначені згідно з Директивою (ЄС) 2018/1972, щоб забезпечити тяглість поточних практик і спиратися на знання і досвід, здобуті внаслідок імплементації зазначеної Директиви.

(96) З огляду на зростання важливості послуг міжособистісної комунікації без використання нумерації, визначених у Директиві (ЄС) 2018/1972, необхідно забезпечити, щоб на такі послуги також поширювалися відповідні безпекові вимоги, враховуючи їхній специфічний характер і економічну важливість. Мірою розширення поверхні атаки послуги міжособистісної комунікації без використання нумерації, як-от сервіси обміну повідомленнями, стають поширеними векторами атак. Зловмисники використовують платформи для комунікації та приваблення жертв до відкриття скомпрометованих вебсторінок, таким чином збільшуючи ймовірність інцидентів, пов'язаних із використанням персональних даних, та, у ширшому сенсі, безпекою мережевих та інформаційних систем. Надавачі послуг міжособистісної комунікації без використання нумерації повинні забезпечувати рівень безпеки мережевих та інформаційних систем, що відповідає ризикам, які виникають. З огляду на те, що надавачі послуг міжособистісної комунікації без використання нумерації зазвичай не вдаються до фактичного контролю над передачею сигналів мережами, ступінь ризику для таких послуг у певному сенсі може вважатися нижчим, ніж для традиційних електронних комунікаційних послуг. Те саме стосується послуг міжособистісної комунікації, визначених у Директиві (ЄС) 2018/1972, котрі використовують нумерацію і котрі не здійснюють фактичного контролю над передачею сигналів.

(97) Внутрішній ринок більш ніж будь-коли залежить від функціонування інтернету. Послуги майже всіх основних і важливих суб'єктів залежні від послуг, надаваних через інтернет. Для того, щоб забезпечити безперебійне надання послуг, надаваних основними і важливими суб'єктами, важливо, щоб усі постачальники публічних електронних комунікаційних мереж мали в наявності належні заходи управління ризиками кібербезпеки та повідомляли про значні інциденти, що її стосуються. Держави-члени повинні забезпечити підтримання безпеки публічних електронних комунікаційних мереж і захист своїх життєво важливих безпекових інтересів від саботажу та шпіонажу. Оскільки міжнародний зв'язок підвищує і прискорює конкурентну цифровізацію Союзу та його економіки, потрібно повідомляти про інциденти, що зачіпають підводні комунікаційні кабелі, групі CSIRT або, якщо застосовно, компетентному органу. Національна стратегія кібербезпеки має, у відповідних випадках, враховувати кібербезпеку підводних комунікаційних кабелів і включати картування потенційних ризиків кібербезпеки та заходів їх пом'якшення, щоб забезпечити найвищий рівень їхнього захисту.

(98) Щоб гарантувати безпеку публічних електронних комунікаційних мереж і загальнодоступних електронних комунікаційних послуг, потрібно просувати використання технологій шифрування, зокрема наскрізного шифрування, а також концепцій безпеки, орієнтованих на дані, таких як картографія, сегментація, тегування, політика доступу і керування доступом, а також рішення щодо автоматизованого доступу. Там, де це необхідно, використання шифрування, зокрема наскрізного шифрування, повинно бути обов'язковим для постачальників публічних електронних комунікаційних мереж або надавачів загальнодоступних електронних комунікаційних послуг відповідно до принципів безпеки та приватності за замовчуванням та за призначенням для цілей цієї Директиви. Використання наскрізного шифрування повинно бути узгоджено з повноваженнями держав-членів щодо забезпечення захисту своїх суттєвих безпекових інтересів і громадської безпеки, а також щоб уможливити запобігання кримінальним правопорушенням, їх розслідування, розкриття та переслідування за них відповідно до права Союзу. Однак це не повинно послаблювати наскрізне шифрування, яке є критичною технологією дієвого захисту даних та забезпечення приватності й захищеності комунікацій.

(99) Щоб гарантувати безпеку публічних електронних комунікаційних мереж і загальнодоступних електронних комунікаційних послуг та щоб запобігти зловживанням і маніпуляціям із ними, потрібно сприяти використанню стандартів захищеної маршрутизації, щоб забезпечити цілісність і стійкість функцій маршрутизації по всій екосистемі надавачів послуги доступу до інтернету.

(100) Щоб зберегти функціональність і цілісність інтернету та щоб сприяти безпеці та стійкості DNS, слід заохочувати відповідних стейкхолдерів, включно із суб'єктами приватного сектору, надавачів загальнодоступних послуг електронного зв'язку, зокрема надавачів послуг доступу до інтернету, та постачальників електронних пошукових систем до запровадження стратегії диверсифікації розпізнавання DNS. Навіть більше, держави-члени повинні заохочувати розвиток і використання публічного та захищеного європейського сервісу розпізнавання DNS.

(101) Ця Директива встановлює багатоетапний підхід до звітування про значні інциденти, щоб досягти оптимального балансу між, з одного боку, швидким повідомленням, яке допомагає зменшити потенційне розповсюдження значних інцидентів та дає змогу основним і важливим суб'єктам звернутися по допомогу, та, з іншого боку, ґрунтовним звітуванням, яке дозволяє виносити цінні висновки з окремих інцидентів і з часом поліпшує кіберстійкість окремих суб'єктів і цілих секторів. У зв'язку з цим ця Директива повинна включати звітування про інциденти які, згідно з первинним оцінюванням, проведеним дотичним суб'єктом, можуть призвести до серйозних збоїв у роботі сервісів або завдати фінансових втрат цьому суб'єкту чи вплинути на інших фізичних або юридичних осіб, завдавши значної матеріальної чи нематеріальної шкоди. Таке первинне оцінювання повинно враховувати, з-поміж іншого, постраждалі мережеві й інформаційні системи, зокрема їхню важливість для надання суб'єктом послуг, серйозність і технічні характеристики кіберзагрози та будь-які глибинні вразливості, які вона використовує, а також попередній досвід суб'єкта з подібними інцидентами. Такі показники як ступінь впливу на функціонування сервісу, тривалість інциденту чи кількість постраждалих отримувачів послуг можуть відігравати важливу роль у визначенні, наскільки тяжким є збій у роботі сервісу.

(102) Коли основні та важливі суб'єкти дізнаються про значний інцидент, від них потрібно вимагати подати раннє попередження без невиправданої затримки, але в будь-якому разі впродовж 24 годин. За цим раннім попередженням повинно слідувати сповіщення про інцидент. Дотичні суб'єкти повинні подавати сповіщення про інцидент без невиправданої затримки, але в будь-якому разі впродовж 72 годин після того, як їм стало відомо про значний інцидент, з метою, зокрема, оновлення інформації, поданої у ранньому попередженні та зазначення первинного оцінювання значного інциденту, зокрема його тяжкості та впливу, а також, за наявності, індикаторів компрометації. Заключний звіт потрібно подати не пізніше, ніж через один місяць після сповіщення про інцидент. Раннє попередження повинно включати лише інформацію, необхідну, щоб дати CSIRT або, якщо застосовно, компетентному органу знати про значний інцидент і, якщо потрібно, дозволити дотичному суб'єкту звернутися по допомогу. Таке раннє попередження, якщо застосовно, повинно вказувати, чи є підозра, що до значного інциденту призвели незаконні чи зловмисні дії, і чи ймовірно, що він матиме транскордонні наслідки. Держави-члени повинні забезпечити, щоб зобов'язання подавати раннє попередження або наступне сповіщення про інцидент не відволікав ресурси суб'єкта, що сповіщає, від діяльності з врегулювання інцидентів, якій потрібно надавати пріоритет, щоб запобігти відволіканню ресурсів на зобов'язання щодо звітування про інциденти від реагування на значні інциденти або компрометуванню зусиль суб'єкта у цьому напрямку будь-яким іншим чином. Якщо на момент подання заключного звіту інцидент усе ще триває, держави-члени повинні забезпечити, щоб дотичні суб'єкти надали звіт про поточний стан на цей термін, а заключний звіт - впродовж одного місяця розв'язання ними значного інциденту.

(103) Якщо застосовно, основні та важливі суб'єкти повинні без невиправданої затримки повідомляти отримувачам своїх послуг про будь-які заходи чи засоби захисту, які вони можуть вжити для пом'якшення ризиків, викликаних значною кіберзагрозою. Ці суб'єкти, у відповідних випадках і, зокрема, за ймовірності реалізації значної кіберзагрози, також повинні інформувати отримувачів послуг про саму загрозу. Вимогу інформування цих отримувачів про значні кіберзагрози потрібно задовольняти із докладанням усіх можливих зусиль, але не потрібно звільняти ці суб'єкти від обов'язку вживати, власним коштом, належних і негайних заходів для запобігання наслідкам таких загроз чи їх усунення і відновлення нормального рівня безпеки сервісу. Надання такої інформації про значні кіберзагрози отримувачам послуг повинно бути безплатним і сформульованим легко зрозумілою мовою.

(104) Постачальники публічних електронних комунікаційних мереж або надавачі загальнодоступних електронних комунікаційних послуг повинні реалізувати безпеку за замовчуванням і за призначенням та інформувати отримувачів їхніх послуг про значні кіберзагрози і про заходи, яких вони можуть вжити, щоб забезпечити безпеку своїх пристроїв та комунікацій, наприклад, шляхом використання конкретних типів програмного забезпечення чи технологій шифрування.

(105) Упередний підхід до кіберзагроз - це життєво важливий компонент управління ризиками кібербезпеки, який повинен надавати змогу компетентним органам результативно запобігати реалізації кіберзагроз у вигляді інцидентів, які можуть завдати матеріальної чи нематеріальної шкоди. Надзвичайно важливе значення для цього має сповіщення про кіберзагрози. З цією метою суб'єктів заохочують добровільно повідомляти про кіберзагрози.

(106) Щоб спростити надання інформації, необхідної згідно з цією Директивою, а також щоб зменшити адміністративний тягар для суб'єктів, державам-членам потрібно забезпечити технічні засоби, як-от: «єдине вікно», автоматизовані системи, онлайн-форми, зручні в користуванні інтерфейси, шаблони, виділені платформи для використання суб'єктами - незалежно від того, чи підпадають вони під сферу застосування цієї Директиви, щоб подавати релевантну інформацію для звітування. Фінансування Союзу на підтримку імплементації цієї Директиви, зокрема у межах програми «Цифрова Європа», запровадженої Регламентом Європейського Парламенту і Ради (ЄС) 2021/694 (21), може включати підтримку для точок «єдиного вікна». До того ж, суб'єкти часто перебувають у ситуації, коли про той чи інший інцидент, через його особливості, необхідно повідомляти різним органам як наслідок обов'язків надсилати сповіщення, передбачених різними правовими інструментами. Такі випадки створюють додатковий адміністративний тягар і можуть також призвести до невизначеностей стосовно формату і процедур таких сповіщень. Там, де запроваджено систему «єдиного вікна», держав-членів також спонукають використовувати цю систему «єдиного вікна» для сповіщень про інциденти безпеки, передбачених іншими правовими документами Союзу, як-от Регламент (ЄС) 2016/679 і Директива 2002/58/ЄС. Використання такої системи «єдиного вікна» для звітування про інциденти безпеки згідно з Регламентом (ЄС) 2016/679 і Директивою 2002/58/ЄС не повинно впливати на застосування положень Регламенту (ЄС) 2016/679 і Директиви 2002/58/ЄС, зокрема тих, що стосуються незалежності органів, вказаних у них. ENISA у співпраці з Групою співпраці повинно розробити спільні шаблони сповіщень з допомогою настанов, щоб спростити й оптимізувати інформацію для звітування згідно з правом Союзу та зменшити адміністративний тягар для суб'єктів, що надсилають сповіщення.

(107) У разі підозри, що інцидент пов'язаний із серйозною злочинною діяльністю відповідно до національного права або права Союзу, держави-члени повинні заохочувати основних і важливих суб'єктів, на підставі застосовних кримінально-процесуальних норм та згідно з правом Союзу, повідомляти відповідним правоохоронним органам про інциденти, щодо серйозного злочинного характеру яких виникає підозра. У відповідних випадках і без обмеження правил захисту персональних даних, застосовуваних до діяльності Європолу, бажано, щоб узгодженню дій компетентних органів і правоохоронних органів різних держав-членів сприяли Європейський центр боротьби з кіберзлочинністю (ЕСЗ) та ENISA.

(108) Здебільшого персональні дані викрадають у результаті інцидентів. У цьому контексті компетентні органи повинні співпрацювати і обмінюватися інформацією щодо всіх релевантних питань з органами, вказаними в Регламенті (ЄС) 2016/679 та Директиві 2002/58/ЄС.

(109) Ведення достовірних і вичерпних баз даних реєстрації доменних імен (даних WHOIS) і надання законного доступу до таких даних має важливе значення для забезпечення захищеності, стабільності та стійкості DNS, яка своєю чергою сприяє підвищенню спільного рівня кібербезпеки на всій території Союзу. Із цією конкретною метою потрібно зобов'язати реєстри TLD-імен і суб'єктів надання послуг реєстрації доменних імен опрацьовувати певні дані, необхідні для досягнення цієї мети. Таке опрацювання повинно становити правове зобов'язання у розумінні пункту (c) статті 6(1) Регламенту (ЄС) 2016/679. Це зобов'язання не обмежує можливості збирати дані реєстрації доменних імен для інших цілей, наприклад, на підставі договірних домовленостей або правових вимог, встановлених іншими актами національного права або права Союзу. Це зобов'язання має на меті забезпечити вичерпний і достовірний набір реєстраційних даних і не повинно призводити до кількаразового збирання одних і тих самих даних. Реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні співпрацювати одне з одним, щоб уникнути дублювання цього завдання.

(110) Наявність і своєчасна доступність даних реєстрації доменних імен для легітимних запитувачів доступу є вкрай важливими для запобігання і протидії зловживанням DNS, а також для запобігання інцидентам, їх виявлення і реагування на них. Під легітимними запитувачами доступу слід розуміти будь-яких фізичних або юридичних осіб, які роблять відповідний запит згідно з національним правом або правом Союзу. До них можуть належати органи, які є компетентними згідно з цією Директивою, і органи, які є компетентними згідно з правом Союзу чи національним правом у сфері запобігання вчиненню кримінальних правопорушень, їх розслідування чи притягнення до відповідальності за них, а також групи CERT або CSIRT. Потрібно зобов'язати реєстри TLD-імен і суб'єктів надання послуг реєстрації доменних імен уможливити законний доступ до конкретних даних реєстрації доменних імен, необхідних для цілей запиту на отримання доступу, легітимним запитувачам доступу згідно з правом Союзу чи національним правом. До запиту легітимних запитувачів доступу потрібно долучати обґрунтування причин, які дозволяють оцінити необхідність доступу до цих даних.

(111) Щоб забезпечити наявність достовірних і вичерпних даних реєстрації доменних імен, реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні збирати та гарантувати цілісність і доступність даних реєстрації доменних імен. Зокрема реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні запровадити політики і процедури збирання й утримання достовірних і вичерпних даних реєстрації доменних імен, а також не допускати неточні реєстраційні дані та коригувати їх відповідно до права Союзу щодо захисту даних. Ці політики і процедури повинні, наскільки можливо, враховувати стандарти, розроблені структурами багатостороннього врядування на міжнародному рівні. Реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні ухвалити та впровадити пропорційні процедури для верифікації даних реєстрації доменних імен. Ці процедури повинні відображати найкращі практики, застосовувані в цій галузі, й, наскільки можливо, прогрес, досягнутий у сфері електронної ідентифікації. Приклади процедур верифікації можуть включати заходи контролю ex ante, здійснювані під час реєстрації, та заходи контролю ex post, здійснювані після реєстрації. Реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні, зокрема, верифікувати щонайменше один засіб зв'язку з реєстрантом.

(112) Потрібно зобов'язати реєстри TLD-імен і суб'єктів надання послуг реєстрації доменних імен оприлюднювати наявні дані реєстрації доменних імен, які не підпадають під сферу застосування права Союзу щодо захисту даних, як-от дані стосовно юридичних осіб, згідно з преамбулою Регламенту (ЄС) 2016/679. Щодо юридичних осіб, реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні оприлюднювати щонайменше назву реєстранта і контактний номер телефону. Також потрібно публікувати контактну адресу електронної пошти за умови, що вона не містить жодних персональних даних, як-от поштових псевдонімів або функціональних облікових записів. Реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен також повинні уможливити законний доступ до конкретних даних реєстрації доменних імен, які стосуються фізичних осіб, легітимним запитувачам доступу згідно з правом Союзу щодо захисту даних. Держави-члени повинні вимагати від реєстрів TLD-імен і суб'єктів надання послуг реєстрації доменних імен реагування без невиправданої затримки на запити щодо розкриття даних реєстрації доменних імен від легітимних запитувачів доступу. Реєстри TLD-імен і суб'єкти надання послуг реєстрації доменних імен повинні запровадити політики і процедури публікації та розкриття реєстраційних даних, включно з угодами про рівень обслуговування для роботи із запитами на отримання доступу від легітимних запитувачів доступу. Ці політики та процедури повинні, наскільки можливо, враховувати будь-які настанови і стандарти, розроблені структурами багатостороннього врядування на міжнародному рівні. Процедура доступу може включати використання інтерфейсу, порталу чи іншого технічного інструменту для забезпечення ефективної системи запитів та отримання доступу до реєстраційних даних. З метою просування гармонізованих практик по всьому внутрішньому ринку Комісія може, без обмеження компетенцій Європейської ради із захисту даних, надавати настанови стосовно таких процедур, які враховують, наскільки можливо, стандарти, розроблені структурами багатостороннього врядування на міжнародному рівні. Держави-члени повинні забезпечити, щоб усі типи доступу до особистих і неособистих даних реєстрації доменних імен були безплатними.

(113) Суб'єктів, які підпадають під сферу застосування цієї Директиви, слід вважати такими, що підпадають під юрисдикцію держави-члена, у якій їх засновано. Однак, постачальників публічних електронних комунікаційних мереж або надавачів загальнодоступних електронних комунікаційних послуг слід вважати такими, що підпадають під юрисдикцію держави-члена, у якій вони надають свої послуги. Надавачів послуг DNS, реєстри TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг центру оброблення, постачальників мереж доставки контенту, надавачів керованих послуг, надавачів керованих послуг безпеки, а також постачальників електронних торговельних майданчиків, електронних пошукових систем і платформ послуг соціальних мереж слід вважати такими, що підпадають під юрисдикцію держави-члена, в якій вони мають головний осідок на території Союзу. Суб'єкти публічного адміністрування повинні підпадати під юрисдикцію держави-члена, яка їх заснувала. Якщо суб'єкт надає послуги або заснований більш ніж у одній державі-члені, він повинен підпадати під окрему і одночасну юрисдикцію кожної з цих держав-членів. Компетентні органи цих держав-членів повинні співпрацювати, надавати один одному взаємодопомогу і, у відповідних випадках, здійснювати спільні наглядові дії. Коли держави-члени здійснюють юрисдикцію, вони не повинні вживати примусових заходів або накладати штрафні санкції більше одного разу за той самий вчинок, за принципом ne bis in idem.

(114) Щоб врахувати транскордонний характер послуг і операцій надавачів послуг DNS, реєстри TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг центру оброблення, постачальників мереж доставки контенту, надавачів керованих послуг, надавачів керованих послуг безпеки, а також постачальників електронних торговельних майданчиків, електронних пошукових систем і платформ послуг соціальних мереж, юрисдикцію над цими суб'єктами повинна мати лише одна держава-член. Юрисдикція повинна бути визнаною за державою-членом, в якій дотичний суб'єкт має свій головний осідок на території Союзу. Критерій осідку для цілей цієї Директиви передбачає дієве здійснення діяльності на основі стабільної організації. Правова форма такої організації - чи то через філію, чи то через дочірнє підприємство зі статусом юридичної особи - не є у цьому зв'язку визначальним чинником. Дотримання цього критерію не повинен залежати від того, чи мережеві та інформаційні системи фізично розташовані в такому місці; факт наявності та використання таких систем сам по собі не становить такий головний осідок і, таким чином, не є вирішальним критерієм визначення головного осідку. Слід вважати, що головний осідок розташований у державі-члені, в якій у Союзі здебільшого ухвалюють рішення, пов'язані із заходами управління ризиками кібербезпеки. Зазвичай це відповідає місцю розташування центральної адміністрації суб'єкта на території Союзу. Якщо таку державу-члена неможливо визначити або якщо такі рішення ухвалюють не в Союзі, слід вважати, що головний осідок розташований у державі-члені, в якій виконують операції з кібербезпеки. Якщо таку державу-члена неможливо визначити, слід вважати, що головний осідок розташований у державі-члені, де у суб'єкта є осідок із найбільшою кількістю співробітників у Союзі. Якщо послуги здійснює група підприємств, головний осідок підприємства, що здійснює контроль, слід вважати головним осідком групи підприємств.

(115) Якщо загальнодоступні рекурсивні послуги розпізнавання доменних імен надає постачальник публічних електронних комунікаційних мереж або надавач загальнодоступних електронних комунікаційних послуг лише як частину послуги доступу до мережі Інтернет, слід вважати, що цей суб'єкт підпадає під юрисдикцію всіх держав-членів, у яких він надає свої послуги.

(116) Якщо надавач послуг DNS, реєстр TLD-імен, суб'єкт надання послуг реєстрації доменних імен, надавач послуг хмарних обчислень, надавач послуг центру оброблення, постачальник мережі доставки контенту, надавач керованих послуг, надавач керованих послуг безпеки, постачальник електронного торговельного майданчика, електронної пошукової системи чи платформи послуг соціальних мереж, заснований не в Союзі, пропонує послуги в Союзі, він повинен призначити представника в Союзі. Для того щоб визначити, чи такий суб'єкт пропонує послуги на території Союзу, необхідно впевнитися, чи планує цей суб'єкт надавати послуги особам в одній чи декількох державах-членах. Слід вважати, що самої лише доступності на території Союзу вебсайту, електронної адреси чи інших контактних даних суб'єкта чи посередника, або використання мови, загалом використовуваної у третій країні, де заснований цей суб'єкт, недостатньо для підтвердження такого наміру. Однак такі чинники, як використання мови або валюти, загалом використовуваної в одній або декількох державах-членах з можливістю замовлення послуг цією мовою, або згадування клієнтів чи користувачів в Союзі, можуть вказувати на очевидність планів суб'єкта пропонувати послуги на території Союзу. Представник повинен діяти від імені суб'єкта, а компетентні органи або групи CSIRT повинні бути здатними звертатися до такого представника. Представник повинен бути чітко призначений письмовим дорученням суб'єкта діяти від імені останнього щодо зобов'язань останнього відповідно до цієї Директиви, включно зі звітуванням про інциденти.

(117) Щоб забезпечити чітке уявлення про надавачів послуг DNS, реєстри TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг центру оброблення, постачальників мереж доставки контенту, надавачів керованих послуг, надавачів керованих послуг безпеки, постачальників електронних торговельних майданчиків, постачальників електронних пошукових систем і платформ послуг соціальних мереж, які надають послуги на території Союзу і які підпадають під сферу застосування цієї Директиви, ENISA повинно створити і вести реєстр таких суб'єктів на підставі інформації, отриманої державами-членами, у застосовних випадках - через національні механізми, запроваджені для забезпечення самостійної реєстрації суб'єктів. Єдині контактні пункти повинні передавати ENISA цю інформацію та будь-які зміни до неї. З метою забезпечення достовірності та вичерпності інформації для внесення до реєстру, держави-члени можуть подавати ENISA інформацію про ці суб'єкти, наявну в будь-яких національних реєстрах. ENISA та держави-члени повинні вжити заходів для полегшення інтероперабельності таких реєстрів, водночас забезпечуючи захист конфіденційної чи секретної інформації. ENISA повинно створити відповідні протоколи класифікації та управління інформацією, щоб забезпечити захищеність і конфіденційність розкритої інформації та обмежити доступ, зберігання та передачу цієї інформації цільовими користувачами.

(118) Якщо згідно з цією Директивою відбувається обмін, повідомлення чи надання іншим чином інформації, яка є секретною відповідно до права Союзу чи національного права, потрібно застосовувати відповідні правила поводження із секретною інформацією. Крім того, ENISA повинно мати в наявності інфраструктуру, процедури та правила поводження з чутливою і секретною інформацією відповідно до застосовних правил безпеки для захисту засекреченої ЄС інформації.

(119) Оскільки кіберзагрози стають дедалі складнішими і комплекснішими, вдале виявлення таких загроз і заходи із запобігання їм значною мірою залежать від регулярного обміну розвідданими щодо загроз і вразливостей між суб'єктами. Обмін інформацією сприяє підвищенню рівня обізнаності щодо кіберзагроз, яка своєю чергою посилює спроможність суб'єктів запобігати реалізації таких загроз у вигляді інцидентів і дає змогу суб'єктам краще локалізувати вплив інцидентів та ефективніше відновлюватися. За відсутності керівних настанов на рівні Союзу такий обмін розвідданими, як видається, був загальмований низкою чинників, зокрема невизначеністю щодо сумісності з правилами конкуренції та відповідальності.

(120) Держави-члени повинні заохочувати і допомагати суб'єктам спільно користуватися своїми індивідуальними знаннями і практичним досвідом на стратегічному, тактичному й операційному рівнях з метою посилення своїх спроможностей належного запобігання, виявлення, реагування чи відновлення після інцидентів або мінімізації їхнього впливу. Тому необхідно забезпечити можливості для виникнення на рівні Союзу механізмів добровільного обміну інформацією щодо кібербезпеки. З цією метою держави-члени повинні активно допомагати суб'єктам і заохочувати їх, наприклад тих, що надають послуги і проводять дослідження у сфері кібербезпеки, а також відповідних суб'єктів, що не підпадають під сферу застосування цієї Директиви, брати участь у таких механізмах обміну інформацією щодо кібербезпеки. Ці механізми повинні бути запровадженими відповідно до правил конкуренції Союзу та права Союзу щодо захисту даних.

(121) Опрацювання персональних даних, необхідною і пропорційною мірою для цілей забезпечення основними та важливими суб'єктами безпеки мережевих та інформаційних систем, можна вважати законним на підставі того, що таке опрацювання відповідає правовому зобов'язанню, покладеному на контролера відповідно до вимог пункту (c) статті 6(1) і статті 6(3) Регламенту (ЄС) 2016/679. Опрацювання персональних даних також може бути необхідним в законних інтересах основних і важливих суб'єктів, а також надавачів технологій і послуг безпеки, що діють від імені цих суб'єктів, відповідно до пункту (f) статті 6(1) Регламенту (ЄС) 2016/679, зокрема коли таке опрацювання необхідне для механізмів обміну інформацією щодо кібербезпеки або добровільного сповіщення релевантної інформації згідно з цією Директивою. Заходи, що стосуються запобігання, виявлення, ідентифікації, локалізації, аналізу інцидентів і реагування на них, заходи з підвищення обізнаності щодо конкретних кіберзагроз, обмін інформацією в контексті усунення вразливостей та скоординованого оприлюднення інформації про вразливості, добровільний обмін інформацією про ці інциденти, кіберзагрози та вразливості, індикатори компрометації, тактики, методи і процедури, інформування про інциденти кібербезпеки й інструменти конфігурації можуть потребувати опрацювання певних категорій персональних даних, як-от: IP-адреси, уніфіковані локатори ресурсів (URL), доменні імена, адреси електронної пошти та, якщо вони розкривають персональні дані, відмітки часу. Опрацювання персональних даних компетентними органами, єдиними контактними пунктами і групами CSIRT може становити правове зобов'язання або вважатися необхідним для виконання завдання в суспільних інтересах чи здійснення офіційних повноважень, покладених на контролера, згідно з пунктом (c) або (e) статті 6(1) та статтею 6(3) Регламенту (ЄС) 2016/679, або ж у законних інтересах основних і важливих суб'єктів, як зазначено у пункті (f) статті 6(1) цього Регламенту. До того ж, національне право може встановлювати правила, що дозволяють компетентним органам, єдиним контактним пунктам і групам CSIRT, необхідною та пропорційною мірою для убезпечення мережевих та інформаційних систем основних і важливих суб'єктів, опрацьовувати особливі категорії персональних даних відповідно до статті 9 Регламенту (ЄС) 2016/679, зокрема передбачивши доречні та конкретні інструменти захисту фундаментальних прав та інтересів фізичних осіб, включно з технічними обмеженнями повторного використання таких даних і використання сучасних засобів захисту та збереження приватності, як-от використання псевдонімів або шифрування у тих випадках, коли анонімізація може мати значний вплив на досягнення поставлених цілей.

(122) Для посилення наглядових повноважень і заходів, які допомагають забезпечити дієве дотримання вимог, ця Директива повинна передбачити мінімальний перелік наглядових заходів і засобів, з допомогою яких компетентні органи можуть здійснювати нагляд за основними і важливими суб'єктами. Крім того, ця Директива повинна встановити диференціацію наглядового режиму між основними і важливими суб'єктами з метою забезпечення справедливого балансу обов'язків цих суб'єктів і компетентних органів. Тому до основних суб'єктів потрібно застосовувати комплексний наглядовий режим ex ante і ex post, тоді як до важливих суб'єктів потрібно застосовувати полегшений наглядовий режим виключно ex post. Тому від важливих суб'єктів не потрібно вимагати систематичної документації дотримання заходів управління ризиками кібербезпеки, а компетентні органи повинні застосовувати реактивний підхід ex post до здійснення нагляду і тому не мають загального обов'язку наглядати за цими суб'єктами. Нагляд ex post за важливими суб'єктами може бути ініційовано доказом, свідченням або інформацією, доведеними до відома компетентних органів, які, на думку цих органів, свідчать про потенційні порушення цієї Директиви. Наприклад, такий доказ, свідчення або інформація може бути надано компетентним органам іншими органами, суб'єктами, громадянами, ЗМІ чи іншими джерелами загальнодоступної інформації або може з'явитися в результаті іншої діяльності, здійснюваної компетентними органами на виконання своїх обов'язків.

(123) Виконання наглядових завдань компетентними органами не повинно невиправдано перешкоджати господарській діяльності дотичного суб'єкта. Якщо компетентні органи виконують свої наглядові завдання стосовно основних суб'єктів, включно зі здійсненням інспекцій на місцях і дистанційного нагляду, розслідуванням порушень цієї Директиви та проведенням аудитів стану безпеки чи сканування стану безпеки, вони повинні мінімізувати вплив на господарську діяльність дотичного суб'єкта.

(124) Здійснюючи нагляд ex ante, компетентні органи повинні бути здатними визначати пріоритетність застосування наглядових заходів і засобів у своєму розпорядженні у пропорційний спосіб. Це передбачає, що компетентні органи можуть визначати таку пріоритетність на підставі методологій нагляду, які повинні відповідати підходу, що враховує можливі ризики. Зокрема такі методології можуть включати критерії чи еталонні параметри класифікації основних суб'єктів за категоріями ризику та відповідні наглядові заходи і засоби, рекомендовані для кожної категорії ризику, як-от: використання, частота або типи інспекцій на місцях, цільових аудитів стану безпеки або сканувань стану безпеки, тип інформації, яку слід вимагати, та рівень деталізації такої інформації. Такі методології нагляду також можуть супроводжувати робочими програмами, а також їх можуть оцінювати та переглядати на регулярній основі, зокрема щодо таких аспектів, як розподілення ресурсів і потреби. Стосовно суб'єктів публічного адміністрування, наглядові повноваження повинні бути реалізованими відповідно до національної законодавчої та інституційної бази.

(125) Компетентні органи повинні забезпечити виконання своїх наглядових завдань стосовно основних і важливих суб'єктів кваліфікованими фахівцями, які мають необхідні навички для виконання цих завдань, зокрема щодо проведення інспекцій на місцях і дистанційного нагляду, включно з визначенням слабких місць у базах даних, апаратному забезпеченні, мережевих екранах, шифруванні та мережах. Ці інспекції та цей нагляд потрібно здійснювати в об'єктивний спосіб.

(126) У належним чином обґрунтованих випадках, коли йому відомо про значну кіберзагрозу або невідворотний ризик, компетентний орган повинен бути здатним ухвалювати негайні правозастосовні рішення з метою запобігання чи реагування на інцидент.

(127) Щоб зробити правозастосування дієвим, потрібно встановити мінімальний перелік виконавчих повноважень, які можуть бути застосовані за порушення заходів управління ризиками й обов'язків щодо звітування у сфері кібербезпеки, передбачених цією Директивою, заклавши чіткі та узгоджені засади такого правозастосування на всій території Союзу. Потрібно належним чином враховувати специфіку, тяжкість і тривалість порушення цієї Директиви, завдану матеріальну чи нематеріальну шкоду, умисний чи ненавмисний характер порушення, дії, яких було вжито для запобігання матеріальній чи нематеріальній шкоді чи її пом'якшення, ступінь відповідальності чи будь-які відповідні попередні порушення, рівень співпраці з компетентним органом та будь-який інший обтяжувальний або пом'якшувальний чинник. Правозастосовні заходи, зокрема адміністративні штрафи, повинні бути пропорційними, а на їх накладення повинні поширюватися належні процесуальні гарантії згідно із загальними принципами права Союзу та Хартії фундаментальних прав Європейського Союзу («Хартії»), включно з правом на дієвий засіб правового захисту і справедливий суд, презумпцією невинуватості та правом на забезпечення захисту.

(128) Ця Директива не вимагає від держав-членів передбачати кримінальну або цивільну відповідальність для фізичних осіб, відповідальних за забезпечення дотримання тим чи іншим суб'єктом вимог цієї Директиви, за шкоду, заподіяну третім особам внаслідок порушення цієї Директиви.

(129) Щоб забезпечити дієве виконання обов'язків, встановлених у цій Директиві, кожен компетентний орган повинен мати повноваження накладати адміністративні штрафи або вимагати їх накладення.

(130) Якщо адміністративний штраф накладено на основного чи важливого суб'єкта, який є підприємством, підприємство потрібно розуміти як підприємство згідно зі статтями 101 і 102 ДФЄС для цих цілей. Якщо адміністративний штраф накладено на особу, яка не є підприємством, компетентний орган повинен враховувати загальний рівень доходу в державі-члені, а також економічне становище цієї особи під час визначення необхідного розміру штрафу. Саме держави-члени повинні визначити, чи повинні органи публічної влади підлягати накладанню адміністративних штрафів та якою мірою. Накладання адміністративного штрафу не впливає на застосування інших повноважень компетентних органів або інших санкцій, встановлених національними правилами, що транспонують цю Директиву.

(131) Держави-члени повинні бути здатними встановлювати норми щодо кримінальних покарань за порушення національних правил, що транспонують цю Директиву. Проте призначення кримінальних покарань за порушення таких національних правил та пов'язаних адміністративних санкцій не повинні призводити до порушення принципу «ne bis in idem», як його тлумачить Суд Європейського Союзу.

(132) Якщо ця Директива не гармонізує адміністративні стягнення чи, за необхідності в інших випадках, наприклад, у разі серйозного порушення цієї Директиви, держави-члени повинні запровадити систему, що передбачає дієві, пропорційні та стримувальні санкції. Сутність таких санкцій, кримінальних чи адміністративних, повинно визначати національне право.

(133) Щоб і надалі посилювати дієвість і стримувальність правозастосовних заходів, застосовних до порушень цієї Директиви, компетентним органам потрібно надати повноваження тимчасово призупиняти або вимагати тимчасового призупинення сертифікації чи авторизації щодо частини або всіх відповідних послуг або видів діяльності, надаваних або здійснюваних основним суб'єктом, та вимагати накладення тимчасової заборони на виконання управлінських функцій будь-якою фізичною особою, яка здійснює управлінські повноваження на рівні головного виконавчого директора або законного представника. З огляду на їхню серйозність та вплив на діяльність суб'єктів і зрештою на користувачів, такі тимчасові призупинення чи заборони потрібно застосовувати лише пропорційно до тяжкості порушення і з урахуванням обставин кожного окремого випадку, зокрема умисний чи ненавмисний характер порушення та дії, яких було вжито для запобігання матеріальній чи нематеріальній шкоді чи її пом'якшення. Такі тимчасові призупинення чи заборони потрібно застосовувати лише як крайній захід, а саме лише після того, як вичерпано всі інші доречні правозастосовні заходи, встановлені у цій Директиві, і лише до того, як дотичний суб'єкт вживе необхідних заходів для усунення недоліків або виконання вимог компетентного органу, щодо яких було застосовано такі тимчасові призупинення чи заборони. На накладення тимчасових призупинень або заборон повинні поширюватися належні процесуальні гарантії згідно із загальними принципами права Союзу та Хартії, в тому числі право на дієвий засіб правового захисту і справедливий суд, презумпція невинуватості та права на забезпечення захисту.

(134) З метою забезпечення виконання суб'єктами своїх обов'язків, встановлених у цій Директиві, держави-члени повинні співпрацювати та допомагати одна одній у здійсненні наглядових і правозастосовних заходів, зокрема у випадках, коли суб'єкт надає послуги в більш ніж одній державі-члені або коли його мережеві та інформаційні системи розташовані не в тій державі-члені, де він надає послуги. Під час надання допомоги компетентний орган, що отримав запит, повинен вдаватися до наглядових і правозастосовних заходів відповідно до національного права. Щоб забезпечити безперешкодне функціонування взаємодопомоги згідно з цією Директивою, компетентні органи повинні використовувати Групу співпраці як форум для обговорення випадків і конкретних запитів про допомогу.

(135) Щоб забезпечити дієвий нагляд і правозастосування, зокрема в ситуації з транскордонним виміром, держава-член, яка отримала запит про взаємодопомогу, повинна в межах цього запиту вжити відповідних наглядових та правозастосовних заходів стосовно суб'єкта, який є предметом цього запиту і надає послуги або має мережеву та інформаційну систему на території цієї держави-члена.

(136) Ця Директива повинна встановити правила співпраці між компетентними органами та наглядовими органами за Регламентом (ЄС) 2016/679 для боротьби з порушеннями цієї Директиви, пов'язаними з персональними даними.

(137) Ця Директива повинна бути спрямована на забезпечення високого рівня відповідальності за заходи управління ризиками й зобов'язання щодо звітування у сфері кібербезпеки на рівні основних і важливих суб'єктів. Тому керівні органи основних і важливих суб'єктів повинні затвердити заходи управління ризиками кібербезпеки та здійснювати нагляд за їх реалізацією.

(138) Щоб досягти високого спільного рівня кібербезпеки на всій території Союзу на засадах цієї Директиви, повноваження ухвалювати акти відповідно до статті 290 ДФЄС потрібно делегувати Комісії щодо доповнення цієї Директиви шляхом зазначення категорій основних і важливих суб'єктів, від котрих вимагатимуть використовувати певні сертифіковані продукти ІКТ, послуги ІКТ і процеси ІКТ, або отримати сертифікат за європейською схемою сертифікації кібербезпеки. Особливо важливо, щоб Комісія проводила належні консультації під час своєї підготовчої роботи, зокрема на експертному рівні, та щоб такі консультації проводили згідно з принципами, встановленими у Міжінституційній угоді про краще законотворення від 13 квітня 2016 року (22). Зокрема для забезпечення рівної участі в підготуванні делегованих актів Європейський Парламент і Рада отримують усі документи одночасно з експертами держав-членів, а їхні експерти мають систематичний доступ до засідань груп експертів Комісії, які займаються підготуванням делегованих актів.

(139) Для того, щоб забезпечити єдині умови для імплементації цієї Директиви, необхідно покласти на Комісію виконавчі повноваження для встановлення процедурного порядку та умов, необхідних для функціонування Групи співпраці, технічних і методологічних, а також секторальних вимог до заходів управління ризиками кібербезпеки; та для подальшого визначення типу інформації, формату і процедури сповіщень про інцидент, кіберзагрозу та «інцидент, який мало не т рапився», повідомлень про значні кіберзагрози, а також випадків, у яких інцидент слід вважати значним. Такі повноваження потрібно здійснювати відповідно до Регламенту Європейського Парламенту і Ради (ЄС) № 182/2011 (23).

(140) Комісія повинна періодично переглядати цю Директиву після консультацій зі стейкхолдерами, зокрема щодо визначення доцільності пропозицій щодо внесення змін і доповнень з огляду на зміни соціальних, політичних, технологічних або ринкових умов. У межах цих переглядів Комісія повинна оцінювати значущість розміру дотичних суб'єктів, а також секторів, підсекторів і типів суб'єктів, визначених у додатках до цієї Директиви, для функціонування економіки і суспільства в плані кібербезпеки. Комісія повинна оцінювати, між іншим, чи постачальники, що підпадають під сферу застосування цієї Директиви, визначені постачальниками дуже великих онлайн-платформ у розумінні статті 33 Регламенту Європейського Парламенту і Ради (ЄС) 2022/2065 (24), можуть бути ідентифіковані як основні суб'єкти за цією Директивою.

(141) Ця Директива створює для ENISA нові завдання, таким чином посилюючи його роль, і може також привести до того, що ENISA необхідно буде виконувати поточні завдання згідно з Регламентом (ЄС) 2019/881 на вищому рівні, ніж раніше. Щоб забезпечити наявність у ENISA необхідних фінансових і людських ресурсів для виконання поточних і нових завдань, а також відповідність будь-якому вищому рівню виконання цих завдань, що випливає з його посиленої ролі, потрібно відповідним чином збільшити його бюджет. До того ж, щоб забезпечити ефективне використання ресурсів, потрібно надати ENISA більшої гнучкості у спосіб, що дає йому змогу розподіляти ресурси внутрішньо з метою дієвого виконання своїх завдань і відповідності очікуванням.

(142) Оскільки держави-члени не можуть достатньо досягти мети цієї Директиви, а саме досягти високого спільного рівня кібербезпеки на всій території Союзу, однак, через наслідки дій, її можна краще досягти на рівні Союзу, Союз може ухвалювати інструменти відповідно до принципу субсидіарності, як викладено в статті 5 Договору про функціонування Європейського Союзу. Згідно з принципом пропорційності, визначеного у згаданій статті, ця Директива не виходить за межі необхідного для досягнення такої цілі.

(143) Ця Директива поважає фундаментальні права та дотримується принципів, визнаних Хартією, зокрема права на повагу особистого життя та комунікацій, захисту персональних даних, свободи підприємництва, права власності, права на дієвий засіб правового захисту і справедливий суд, презумпції невинуватості та прав на забезпечення захисту. Право на дієвий засіб правового захисту поширено на отримувачів послуг, надаваних основними та важливими суб'єктами. Цю Директиву потрібно імплементувати відповідно до таких прав і принципів.

(144) Було проведено консультації з Європейським інспектором із захисту даних відповідно до статті 42(1) Регламенту Європейського Парламенту і Ради (ЄС) 2018/1725 (25), який 11 березня 2021 року надав свій висновок (26),

УХВАЛИЛИ ЦЮ ДИРЕКТИВУ:

ГЛАВА I

ЗАГАЛЬНІ ПОЛОЖЕННЯ

Стаття 1

Предмет

1. Ця Директива встановлює інструменти, що мають на меті досягти високого спільного рівня кібербезпеки на всій території Союзу задля того, щоб покращити функціонування внутрішнього ринку.

2. З цією метою ця Директива встановлює:

(a) зобов'язання, що вимагають від держав-членів ухвалити національні стратегії кібербезпеки і призначити чи створити компетентні органи, органи управління кіберкризами, єдині контактні пункти з питань кібербезпеки (єдині контактні пункти) та групи реагування на інциденти у сфері комп'ютерної безпеки (CSIRT);

(b) заходи управління ризиками й зобов'язання щодо звітування у сфері кібербезпеки для суб'єктів типу, зазначеного в додатку I або II, а також для суб'єктів, визначених критично важливими суб'єктами згідно з Директивою (ЄС) 2022/2557;

(c) правила і зобов'язання щодо обміну інформацією щодо кібербезпеки;

(d) наглядові та правозастосовні зобов'язання держав-членів.

Стаття 2

Сфера застосування

1. Цю Директиву застосовують до публічних або приватних суб'єктів типу, зазначеного в додатку I або II, які належать до середніх підприємств згідно зі статтею 2 додатка до Рекомендації Комісії 2003/361/ЄС або перевищують верхні межі для середніх підприємств, передбачені параграфом 1 цієї статті, та надають послуги чи здійснюють діяльність в межах Союзу.

Статтю 3(4) додатка до вказаної Рекомендації не застосовують для цілей цієї Директиви.

2. Незалежно від їхнього розміру, цю Директиву також застосовують до суб'єктів типу, зазначеного в додатку I або II, за умови, що:

(a) послуги надають:

(i) постачальники публічних електронних комунікаційних мереж або надавачі загальнодоступних електронних комунікаційних послуг;

(ii) надавачі довірчих послуг;

(iii) реєстри доменних імен верхнього рівня та надавачі послуг системи доменних імен;

(b) суб'єкт є єдиним у державі-члені надавачем послуги, яка є суттєвою для підтримки критичної соціальної або економічної діяльності;

(c) перебої у наданні послуги цим суб'єктом можуть мати значний вплив на суспільну безпеку, громадську безпеку чи громадське здоров'я;

(d) перебої у наданні послуги цим суб'єктом можуть спричинити значний системний ризик, зокрема для секторів, де такі перебої можуть мати транскордонний вплив;

(e) суб'єкт є критично важливим внаслідок своєї специфічної важливості на національному чи регіональному рівні для певного сектору чи типу послуг або ж для інших взаємозалежних секторів у державі-члені;

(f) суб'єкт є суб'єктом публічного адміністрування:

(i) центрального уряду, визначеного державою-членом відповідно до національного права; або

(ii) на регіональному рівні, як визначено державою-членом відповідно до національного права, що результатами ризик-орієнтованого оцінювання надає послуги, перебої у наданні яких можуть мати значний вплив на суспільну або економічну діяльність.

3. Цю Директиву застосовують до суб'єктів, визначених критично важливими суб'єктами згідно з Директивою (ЄС) 2022/2557, незалежно від їхнього розміру.

4. Цю Директиву застосовують до суб'єктів, що надають послуги реєстрації доменних імен, незалежно від їхнього розміру.

5. Держави-члени можуть передбачити застосування цієї Директиви до:

(a) суб'єктів публічного адміністрування місцевого рівня;

(b) закладів освіти, зокрема якщо вони здійснюють критичну науково-дослідну діяльність.

6. Ця Директива не обмежує відповідальності держав-членів за забезпечення національної безпеки та їхніх повноважень щодо захисту інших основних функцій держави, зокрема забезпечення територіальної цілісності та підтримання правопорядку.

7. Цю Директиву не застосовують до суб'єктів публічного адміністрування, які здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, включно із запобіганням кримінальним правопорушенням, їх розслідуванням, розкриттям та переслідуванням за них.

8. Держави-члени можуть звільняти конкретних суб'єктів, які здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, включно із запобіганням кримінальним правопорушенням, їх розслідуванням, розкриттям та переслідуванням за них, або які надають послуги виключно суб'єктам публічного адміністрування, зазначеним у параграфі 7 цієї статті, від зобов'язань, встановлених у статті 21 або 23 щодо цієї діяльності або послуг. У таких випадках наглядові та правозастосовні заходи, зазначені в главі VII, не буде застосовано у зв'язку з цими конкретними видами діяльності або послугами. Якщо суб'єкти здійснюють діяльність чи надають послуги виключно зазначеного у цьому параграфі типу, держави-члени можуть вирішити звільнити цих суб'єктів від обов'язків, встановлених у статтях 3 і 27.

9. Параграфи 7 і 8 не застосовують, якщо суб'єкт виступає надавачем довірчих послуг.

10. Цю Директиву не застосовують до суб'єктів, яких держави-члени виключили зі сфери застосування Регламенту (ЄС) 2022/2554 згідно зі статтею 2(4) зазначеного Регламенту.

11. Зобов'язання, встановлені в цій Директиві, не передбачають надання інформації, розкриття якої суперечитиме суттєвим інтересам національної безпеки, громадської безпеки чи оборони держав-членів.

12. Цю Директиву застосовують без обмеження дії Регламенту (ЄС) 2016/679, Директиви 2002/58/ЄС, директив Європейського Парламенту і Ради 2011/93/ЄС (27) і 2013/40/ЄС (28) та Директиви (ЄС) 2022/2557.

13. Без обмеження статті 346 ДФЄС інформацією, яка є конфіденційною відповідно до правил Союзу чи національних правил, як-от правила щодо комерційної таємниці, обмінюються з Комісією та іншими відповідними органами згідно з цією Директивою тільки у випадках, коли такий обмін необхідний для застосування цієї Директиви. Обсяг інформації для обміну обмежують до рівня, доцільного та пропорційного цілі цього обміну. Обмінюючись інформацією, необхідно зберігати її конфіденційність і захищати безпекові та комерційні інтереси дотичних суб'єктів.

14. Суб'єкти, компетентні органи, єдині контактні пункти та групи CSIRT опрацьовують персональні дані в обсязі, необхідному для цілей цієї Директиви та відповідно до Регламенту (ЄС) 2016/679, зокрема таке опрацювання регулює стаття 6 згаданого Регламенту.

Опрацювання персональних даних відповідно до цієї Директиви постачальниками публічних електронних комунікаційних мереж або надавачами загальнодоступних електронних комунікаційних послуг здійснюється згідно з правом Союзу щодо захисту даних і правом Союзу щодо приватності, зокрема з Директивою 2002/58/ЄС.

Стаття 3

Основні та важливі суб'єкти

1. Для цілей цієї Директиви основними суб'єктами вважають такі суб'єкти:

(a) суб'єкти типу, зазначеного в додатку I, які перевищують верхні межі для середніх підприємств, передбачені статтею 2(1) додатка до Рекомендації 2003/361/ЄС;

(b) кваліфіковані надавачі довірчих послуг і реєстри доменних імен верхнього рівня, а також надавачі послуг DNS, незалежно від розміру;

(c) постачальники публічних електронних комунікаційних мереж або надавачі загальнодоступних електронних комунікаційних послуг, які належать до середніх підприємств згідно зі статтею 2 додатка до Рекомендації Комісії 2003/361/ЄС;

(d) суб'єкти публічного адміністрування, зазначені в пункті (f)(i) статті 2(2);

(e) будь-які інші суб'єкти типу, зазначеного в додатку I або II, які визначені державою-членом основними суб'єктами відповідно до пунктів (b)-(e) статті 2(2);

(f) суб'єкти, визначені критично важливими суб'єктами згідно з Директивою (ЄС) 2022/2557, як вказано в (3) цієї Директиви;

(g) якщо це передбачено державою-членом, суб'єкти, яких ця держава-член до 16 січня 2023 року визначила операторами основних послуг відповідно до Директиви (ЄС) 2016/1148 або національного права.

2. Для цілей цієї Директиви суб'єкти типу, зазначеного в додатку I або II, які не належать до основних суб'єктів відповідно до параграфа 1 цієї статті, вважають важливими суб'єктами. До таких належать суб'єкти, визначені державою-членом важливими суб'єктами відповідно до пунктів (b)-(e) статті 2(2).

3. До 17 квітня 2025 року держави-члени повинні створити перелік основних і важливих суб'єктів, а також суб'єктів, що надають послуги реєстрації доменних імен. Держави-члени повинні переглядати та, за доцільності, оновлювати цей перелік на регулярній основі та щонайменше що два роки з цієї дати.

4. З метою формування переліку, зазначеного в параграфі 3, держави-члени повинні вимагати від суб'єктів, згаданих у цьому параграфі, подавати до компетентних органів принаймні таку інформацію:

(a) назву суб'єкта;

(b) адресу й актуальну контактну інформацію, включно з адресами електронної пошти, діапазоном ІР-адрес і номерами телефонів;

(c) якщо застосовно, відповідний сектор і підсектор, зазначений у додатку I або II; та

(d) якщо застосовно, перелік держав-членів, у яких вони надають послуги, що підпадають під сферу дії цієї Директиви.

Суб'єкти, зазначені в параграфі 3, повинні негайно сповіщати про будь-які зміни в контактних даних, поданих відповідно до першого підпараграфа цього параграфа: в будь-якому разі впродовж двох тижнів з дати внесення цих змін.

Комісія, за сприяння Агентства Європейського Союзу з питань кібербезпеки (ENISA), повинна без невиправданої затримки надати настанови та шаблони, що стосуються зобов'язань, викладених у цьому параграфі.

Держави-члени можуть формувати національні механізми для забезпечення самостійної реєстрації суб'єктів.

5. До 17 квітня 2025 року та що два роки потому компетентні органи сповіщають:

(a) Комісію та Групу співпраці про кількість основних і важливих суб'єктів, внесених до переліку згідно з параграфом 3, для кожного сектора і підсектора, зазначеного у додатку I або II; та

(b) Комісію про релевантну інформацію щодо кількості основних і важливих суб'єктів, визначених згідно з пунктами (b)-(e) статті 2(2), сектор і підсектор, зазначений у додатку I або II, до якого вони належать, тип послуг, які вони надають, та положення, з-поміж викладених у пунктах (b)-(e) статті 2(2), на підставі якого їх було визначено.

6. До 17 квітня 2025 року та на вимогу Комісії держави-члени можуть повідомляти Комісії назви основних і важливих суб'єктів, зазначених у пункті (b) параграфа 5.

Стаття 4

Секторальні правові акти Союзу

1. Якщо секторальні правові акти Союзу вимагають від основних чи важливих суб'єктів запровадження заходів управління ризиками кібербезпеки або сповіщення про значні інциденти і якщо такі вимоги принаймні рівноцінні за своєю дією обов'язкам, встановленим у цій Директиві, до таких суб'єктів не застосовують відповідні положення цієї Директиви, включно з положеннями щодо нагляду та забезпечення виконання, викладеними в главі VII. Якщо секторальні правові акти Союзу не охоплюють усіх суб'єктів у певному секторі, які підпадають під сферу застосування цієї Директиви, відповідні положення цієї Директиви і надалі застосовують до суб'єктів, не охоплених цими секторальними правовими актами Союзу.

2. Вимоги, викладені в параграфі 1 цієї статті, вважають рівноцінними за своєю дією обов'язкам, встановленим цією Директивою, якщо:

(a) заходи управління ризиками кібербезпеки як мінімум рівноцінні за своєю дією встановленим у статті 21(1) і (2); або

(b) секторальний правовий акт Союзу передбачає негайний доступ, у відповідних випадках автоматичний і прямий, до сповіщень про інциденти з боку груп CSIRT, компетентних органів або єдиних контактних пунктів згідно з цією Директивою та якщо вимоги щодо сповіщень про значні інциденти є принаймні рівноцінними за своєю дією встановленим у статті 23(1)-(6) цієї Директиви.

3. Комісія до 17 липня 2023 року повинна надати настанови, що роз'яснюють застосування параграфів 1 і 2. Комісія регулярно переглядає такі настанови. Розробляючи такі настанови, Комісія повинна враховувати будь-які спостереження Групи співпраці та ENISA.

Стаття 5

Мінімальна гармонізація

Ця Директива не перешкоджає державам-членам ухвалювати чи зберігати положення, які забезпечують вищий рівень кібербезпеки за умови, що такі положення узгоджено із зобов'язаннями держав-членів відповідно до права Союзу.

Стаття 6

Терміни та означення

Для цілей цієї Директиви застосовують такі терміни та означення:

(1) «мережева та інформаційна система» означає:

(a) електронну комунікаційну мережу в розумінні пункту (1) статті 2 Директиви (ЄС) 2018/1972;

(b) будь-який пристрій чи групу взаємно поєднаних чи пов'язаних пристроїв, один або більше з яких, відповідно до програми, виконує автоматичне опрацювання цифрових даних; або

(с) цифрові дані, що їх зберігають, опрацьовують, видобувають або передають за допомогою елементів, вказаних у пунктах (a) та (b), для цілей їхньої експлуатації, використання, захисту та технічного обслуговування;

(2) «безпека мережевих та інформаційних систем» означає здатність мережевих та інформаційних систем витримувати - на певному рівні впевненості - будь-яку подію, що може поставити під загрозу доступність, автентичність, цілісність або конфіденційність збережених, переданих чи опрацьованих даних або послуг, пропонованих цими мережевими та інформаційними системами або доступних за їх допомогою;

(3) «кібербезпека» означає кібербезпеку в розумінні пункту (1) статті 2 Регламенту (ЄС) 2019/881;

(4) «національна стратегія кібербезпеки» означає узгоджені засади держави-члена, що передбачають стратегічні цілі та пріоритети у сфері кібербезпеки, і врядування, спрямоване на досягнення їх у цій державі-члені;

(5) «інцидент, який мало не трапився» означає подію, що могла б порушити доступність, автентичність, цілісність або конфіденційність збережених, переданих чи опрацьованих даних або послуг, пропонованих мережевими та інформаційними системами або доступних за їх допомогою, але її реалізації вдалося запобігти або вона не була реалізована;

(6) «інцидент» означає подію, яка порушує доступність, автентичність, цілісність або конфіденційність збережених, переданих чи опрацьованих даних або послуг, пропонованих мережевими та інформаційними системами або доступних за їх допомогою;

(7) «масштабний інцидент кібербезпеки» означає інцидент, котрий призводить до збою такого рівня, який перевищує спроможність держави-члена реагувати на нього, або котрий має значний вплив принаймні на дві держави-члени;

(8) «врегулювання інцидентів» означає будь-які дії та процедури, призначені запобігти інциденту, виявити, проаналізувати та стримати його або відреагувати на нього і відновитися після такого інциденту;

(9) «ризик» означає можливість втрати або збою внаслідок інциденту, виражену як сполука масштабу такої втрати або збою та ймовірності виникнення інциденту;

(10) «кіберзагроза» означає кіберзагрозу в розумінні пункту (8) статті 2 Регламенту (ЄС) 2019/881;

(11) «значна кіберзагроза» означає кіберзагрозу, яку за технічними характеристиками можна вважати такою, що може мати серйозний вплив на мережеві та інформаційні системи суб'єкта або на користувачів послуг цього суб'єкта шляхом завдання значної матеріальної чи нематеріальної шкоди;

(12) «продукт ІКТ» означає продукт ІКТ у розумінні пункту (12) статті 2 Регламенту (ЄС) 2019/881;

(13) «послуга ІКТ» означає послугу ІКТ у розумінні пункту (13) статті 2 Регламенту (ЄС) 2019/881;

(14) «процес ІКТ» означає процес ІКТ у розумінні пункту (14) статті 2 Регламенту (ЄС) 2019/881;

(15) «вразливість» означає слабкість, схильність або недолік продуктів ІКТ або послуг ІКТ, які можуть бути використані в разі виникнення кіберзагроз;

(16) «стандарт» означає стандарт у розумінні пункту (1) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) № 1025/2012 (29);

(17) «технічна специфікація» означає технічну специфікацію в розумінні пункту (4) статті 2 Регламенту (ЄС) № 1025/2012;

(18) «точка обміну інтернет-трафіком» означає мережеве устаткування, яке уможливлює взаємоз'єднання більше ніж двох незалежних мереж (автономних систем), насамперед з метою полегшення обміну інтернет-трафіком; яке забезпечує взаємоз'єднання лише для автономних систем і яке не вимагає від інтернет-трафіку, що проходить між будь-якою парою автономних систем-учасників, проходити через будь-яку третю автономну систему, а також не змінює такий трафік і не втручається у нього жодним іншим чином;

(19) «система доменних імен» або «DNS» означає ієрархічну розподілену систему присвоєння імен, яка уможливлює ідентифікацію сервісів і ресурсів інтернету, дозволяючи пристроям кінцевих користувачів користуватися послугами маршрутизації та підключення в Інтернеті, щоб дістатися до цих сервісів і ресурсів;

(20) «надавач послуг DNS» означає суб'єкта, який надає:

(a) загальнодоступні рекурсивні послуги розпізнавання доменних імен для кінцевих користувачів мережі Інтернет; або

(b) авторитативні послуги розпізнавання доменних імен для використання третіми сторонами, за винятком серверів кореневих імен;

(21) «реєстр доменних імен верхнього рівня» або «реєстр TLD-імен» означає суб'єкта, якому делеговано конкретний домен верхнього рівня (TLD) і який є відповідальним за адміністрування цього TLD, зокрема за реєстрацію доменних імен у цьому TLD і технічну експлуатацію TLD, включно з роботою його серверів імен, веденням баз даних і розподіленням зональних файлів TLD за серверами імен, незалежно від того, чи суб'єкт виконує ці операції самостійно, чи віддає на субпідряд, але за виключенням ситуації, коли реєстр використовує імена TLD лише для власних потреб;

(22) «суб'єкт надання послуг реєстрації доменних імен» означає реєстратора чи агента, що діє від імені реєстраторів, такого як надавач чи продавець послуг приватної чи проксі-реєстрації;

(23) «цифрова послуга» означає послугу в розумінні пункту (b) статті 1(1) Директиви Європейського Парламенту і Ради (ЄС) 2015/1535 (30);

(24) «довірча послуга» означає довірчу послугу в розумінні пункту (16) статті 3 Регламенту (ЄС) № 910/2014;

(25) «надавач довірчих послуг» означає надавача довірчих послуг у розумінні пункту (19) статті 3 Регламенту (ЄС) № 910/2014;

(26) «кваліфікована довірча послуга» означає кваліфіковану довірчу послугу в розумінні пункту (17) статті 3 Регламенту (ЄС) № 910/2014;

(27) «надавач кваліфікованих довірчих послуг» означає надавача кваліфікованих довірчих послуг у розумінні пункту (20) статті 3 Регламенту (ЄС) № 910/2014;

(28) «електронний торговельний майданчик» означає електронний торговельний майданчик у розумінні пункту (n) статті 2 Директиви Європейського Парламенту і Ради (ЄС) 2005/29/ЄС (31);

(29) «електронна пошукова система» означає електронну пошукову систему в розумінні пункту (5) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) 2019/1150 (32);

(30) «послуга хмарних обчислень» означає цифрову послугу, яка уможливлює адміністрування за запитом і широкий віддалений доступ до масштабовного та еластичного пулу обчислювальних ресурсів спільного користування, зокрема там, де такі ресурси розподілено за декількома локаціями;

(31) «послуга центру оброблення» означає сервіс, який охоплює структури чи групи структур, призначених для централізованого розміщення, взаємоз'єднання й експлуатації мережевого та IT-обладнання, що забезпечує надання послуг зберігання, опрацювання та транспортування даних, разом з усіма потужностями й інфраструктурою для розподілення електропостачання та екологічного контролю;

(32) «мережа доставки контенту» означає мережу географічно розподілених серверів, призначених для забезпечення високої доступності, досяжності або швидкої доставки цифрового контенту і послуг користувачам інтернету від імені надавачів контенту та послуг;

(33) «платформа послуг соціальних мереж» означає платформу, яка надає кінцевим користувачам можливість зв'язуватися, обмінюватися, знаходити одне одного і спілкуватися із багатьох пристроїв, зокрема через чати, дописи, відео та рекомендації;

(34) «представник» означає фізичну або юридичну особу, засновану в Союзі, явним чином призначену діяти від імені надавача послуг DNS, реєстру TLD-імен, суб'єкта надання послуг реєстрації доменних імен, надавача послуг хмарних обчислень, надавача послуг центру оброблення, постачальника мережі доставки контенту, надавача керованих послуг, надавача керованих послуг безпеки, постачальника електронного торговельного майданчика, електронної пошукової системи чи платформи послуг соціальних мереж, заснованого не в Союзі, котра може приймати звернення компетентного органу або CSIRT замість самого суб'єкта щодо обов'язків цього суб'єкта відповідно до цієї Директиви;

(35) «суб'єкт публічного адміністрування» означає суб'єкта, визнаного таким в державі-члені відповідно до національного права, крім органів судової влади, парламентів або центральних банків, який відповідає таким критеріям:

(a) його засновано з метою задоволення потреб, що становлять загальний інтерес і не має промислового або комерційного характеру;

(b) він має правосуб'єктність або його уповноважено законом діяти від імені іншого суб'єкта з правосуб'єктністю;

(c) він отримує фінансування переважно від держави, регіональних органів влади або інших органів публічного права, перебуває під управлінським контролем зазначених органів влади чи органів публічного права або має адміністративну, керівну чи наглядову раду, більш ніж половину членів якої призначає держава, регіональні органи влади або інші органи публічного права;

(d) до його повноважень належить прийняття щодо фізичних та юридичних осіб адміністративних чи регулятивних рішень, які визначають їхні права у сфері транскордонного руху осіб, товарів, послуг або капіталу;

(36) «публічна електронна комунікаційна мережа» означає публічну електронну комунікаційну мережу в розумінні пункту (8) статті 2 Директиви (ЄС) 2018/1972;

(37) «електронна комунікаційна послуга» означає електронну комунікаційну послугу в розумінні пункту (4) статті 2 Директиви (ЄС) 2018/1972;

(38) «суб'єкт» означає фізичну або юридичну особу, створену і визнану як таку на підставі національного права за місцем її заснування, яка може, діючи від свого імені, здійснювати права та виконувати обов'язки;

(39) «надавач керованих послуг» означає суб'єкта, який надає послуги, пов'язані із встановленням, керуванням, експлуатацією чи технічним обслуговуванням продуктів ІКТ, мереж, інфраструктури,прикладних програм чи будь-яких інших мережевих та інформаційних систем шляхом підтримки або активного адміністрування, здійснюваного або в приміщеннях клієнта, або віддалено;

(40) «надавач керованих послуг безпеки» означає надавача керованих послуг, який здійснює або надає супровід для діяльності, пов'язаної з управлінням ризиками кібербезпеки;

(41) «науково-дослідна організація» означає суб'єкта, основною ціллю якого є проведення прикладних досліджень або експериментальних розробок з метою використання результатів цих досліджень у комерційних цілях, але який не включає заклади освіти.

ГЛАВА II

ЗАСАДИ СКООРДИНОВАНОЇ КІБЕРБЕЗПЕКИ

Стаття 7

Національна стратегія кібербезпеки

1. Кожна держава-член ухвалює національну стратегію кібербезпеки, що визначає стратегічні цілі, ресурси, необхідні для досягнення цих цілей, доречні інструменти політики та регулятивні інструменти з метою досягнення та підтримання високого рівня кібербезпеки. Національна стратегія кібербезпеки включає:

(a) цілі та пріоритети стратегії кібербезпеки держави-члена, що, зокрема, охоплюють сектори, зазначені в додатках I та II;

(b) управлінську систему для досягнення цілей і пріоритетів, зазначених у пункті (a) цього параграфа, включно з політикою, вказаною в параграфі 2;

(c) управлінську систему, що роз'яснює функції та обов'язки відповідних стейкхолдерів на національному рівні, закладаючи основу для співпраці й координації на національному рівні між компетентними органами, єдиними контактними пунктами та групами CSIRT за цією Директивою, а також для координації та співпраці між цими органами і компетентними органами за секторальними правовими актами Союзу;

(d) механізм ідентифікації відповідних активів і оцінювання ризиків у дотичній державі-члені;

(e) визначення інструментів, що забезпечують підготовленість до інцидентів, реагування на них та відновлення після них, зокрема співпрацю публічного і приватного секторів;

(f) перелік різних органів влади та стейкхолдерів, залучених до реалізації національної стратегії кібербезпеки;

(g) засади політики для посиленої координації між компетентними органами згідно з цією Директивою та компетентними органами згідно з Директивою (ЄС) 2022/2557 з метою обміну інформацією щодо ризиків, кіберзагроз та інцидентів, а також ризиків, що не стосуються кібербезпеки, загроз та інцидентів і виконання наглядових завдань, залежно від випадку;

(h) план, включно з необхідними заходами, для посилення загального рівня обізнаності про кібербезпеку серед громадян.

2. У межах національної стратегії кібербезпеки держави-члени, зокрема, ухвалюють політики, які:

(a) регулюють питання кібербезпеки в ланцюгу постачання продуктів ІКТ і послуг ІКТ, використовуваних суб'єктами для надання послуг;

(b) включають і конкретизують пов'язані з кібербезпекою вимоги до продуктів ІКТ і послуг ІКТ під час публічних закупівель, зокрема щодо сертифікації кібербезпеки, шифрування та використання продуктів у сфері кібербезпеки із відкритим вихідним кодом;

(c) управляють вразливостями, охоплюючи просування і спрощення скоординованого оприлюднення інформації про вразливості згідно зі статтею 12(1);

(d) стосуються підтримання загальної доступності, цілісності та конфіденційності публічного ядра відкритого інтернету, включно з кібербезпекою підводних комунікаційних кабелів, де це доречно;

(e) сприяють розвитку й інтеграції актуальних передових технологій з метою впровадження найсучасніших заходів управління ризиками кібербезпеки;

(f) просувають і розвивають освіту та професійну підготовку у сфері кібербезпеки, навички у сфері кібербезпеки, ініціативи з підвищення обізнаності, досліджень і розробок у сфері кібербезпеки, а також настанови з належних практик кібергігієни і відповідних механізмів контролю, спрямовані на громадян, стейкхолдерів та суб'єктів;

(g) підтримують науково-дослідні установи в розробленні, вдосконаленні та просуванні розгортання інструментів кібербезпеки і захищеної мережевої інфраструктури;

(h) включають відповідні процедури та належні інструменти обміну інформацією для підтримання добровільного обміну інформацією щодо кібербезпеки між суб'єктами відповідно до права Союзу;

(i) посилюють базовий рівень кіберстійкості та кібергігієни малих і середніх підприємств, зокрема не включених до сфери застосування цієї Директиви, шляхом надання легкодоступних настанов і допомоги відповідно до їхніх конкретних потреб;

(j) сприяють активному кіберзахисту.

3. Держави-члени повинні сповістити Комісію про свої національні стратегії кібербезпеки протягом трьох місяців після їх ухвалення. Держави-члени можуть вилучати з таких сповіщень інформацію, що стосується національної безпеки.

4. Держави-члени проводять оцінювання своїх національних стратегій кібербезпеки на регулярній основі - принаймні що п'ять років - на базі ключових показників ефективності та, якщо необхідно, оновлюють їх. ENISA допомагає державам-членам, на їхню вимогу, в розробленні чи оновленні національної стратегії кібербезпеки та ключових показників ефективності для оцінювання цієї стратегії з метою її узгодження з вимогами та зобов'язаннями, встановленими в цій Директиві.

Стаття 8

Компетентні органи та єдині контактні пункти

1. Кожна держава-член призначає або створює один або більше компетентних органів, відповідальних за кібербезпеку та за виконання наглядових завдань, зазначених у главі VII (компетентні органи).

2. Компетентні органи, зазначені в параграфі 1, здійснюють моніторинг імплементації цієї Директиви на національному рівні.

3. Кожна держава-член призначає або створює єдиний контактний пункт. Якщо держава-член призначає лише один компетентний орган на виконання параграфа 1, то цей компетентний орган також буде єдиним контактним пунктом для цієї держави-члена.

4. Кожен єдиний контактний пункт виконує функцію сполучної ланки для забезпечення транскордонної співпраці органів своєї держави-члена з відповідними органами інших держав-членів і, у відповідних випадках, з Комісією та ENISA, а також для забезпечення міжсекторальної співпраці з іншими компетентними органами в межах своєї держави-члена.

5. Держави-члени забезпечують наявність у своїх компетентних органів та єдиних контактних пунктів належних ресурсів для виконання призначених їм завдань у результативний та ефективний спосіб і досягнення таким чином цілей цієї Директиви.

6. Кожна держава-член без невиправданої затримки повідомляє Комісії про компетентний орган, зазначений у параграфі 1, та єдиний контактний пункт, зазначений у параграфі 3, завдання цих органів і будь-які подальші зміни щодо них. Кожна держава-член оприлюднює інформацію про свій компетентний орган. Комісія забезпечує публічний доступ до переліку єдиних контактних пунктів.

Стаття 9

Національні засади управління кризами кібербезпеки

1. Кожна держава-член призначає або створює один або декілька компетентних органів, відповідальних за управління масштабними інцидентами та кризами кібербезпеки (органи управління кіберкризами). Держави-члени забезпечують наявність у цих компетентних органів належних ресурсів для виконання призначених їм завдань у результативний та ефективний спосіб. Держави-члени забезпечують узгодженість з наявними загальнонаціональними системами управління кризами.

2. Якщо держава-член призначає або створює більше ніж один орган управління кіберкризами на виконання параграфа 1, вона чітко вказує, котрий із цих органів слугуватиме координатором управління масштабними інцидентами та кризами кібербезпеки.

3. Кожна держава-член визначає спроможності, активи та процедури, що їх може бути розгорнуто у випадку кризової ситуації для цілей цієї Директиви.

4. Кожна держава-член ухвалює національний план реагування на масштабні інциденти та кризи кібербезпеки, який визначає цілі й порядок управління масштабними інцидентами та кризами кібербезпеки. Зокрема цей план повинен встановлювати:

(a) цілі національних заходів і дій із забезпечення підготовленості;

(b) завдання та обов'язки органів управління кіберкризами;

(c) процедури управління кіберкризами, зокрема їхню інтеграцію в загальнонаціональні системи управління кризами та канали обміну інформацією;

(d) національні заходи із забезпечення підготовленості, включно з тренуваннями та навчальними заходами;

(e) відповідних державних і приватних стейкхолдерів та залучену інфраструктуру;

(f) національні процедури та домовленості між відповідними національними органами і структурами для забезпечення дієвої участі та сприяння участі держави-члена у скоординованому управлінні масштабними інцидентами і кризами кібербезпеки на рівні Союзу.

5. Впродовж трьох місяців після призначення або створення органу управління кіберкризами, зазначеного в параграфі 1, кожна держава-член сповіщає Комісію про такий орган та про будь-які подальші зміни стосовно нього. Держави-члени подають Комісії та Європейській мережі організацій взаємодії в питаннях протидії кіберкризам (EU-CyCLONe) релевантну інформацію, що стосується вимог параграфа 4, щодо своїх національних планів реагування на масштабні інциденти та кризи кібербезпеки впродовж трьох місяців після ухвалення цих планів. Держави-члени можуть виключати інформацію, коли і якою мірою таке виключення необхідне для їхньої національної безпеки.

Стаття 10

Групи реагування на інциденти комп'ютерної безпеки (CSIRT)

1. Кожна держава-член призначає або створює одну або більше груп CSIRT. Групи CSIRT може бути створено в межах компетентного органу. Групи CSIRT повинні відповідати вимогам, встановленим у статті 11(1), охоплювати щонайменше сектори, підсектори і типи суб'єктів, вказані в додатках I в II, та бути відповідальними за врегулювання інцидентів відповідно до чітко визначеної процедури.

2. Держави-члени забезпечують наявність у кожної групи CSIRT належних ресурсів для результативного виконання своїх завдань, як визначено в статті 11(3).

3. Держави-члени забезпечують, щоб кожна CSIRT мала в своєму розпорядженні належну, безпечну та стійку інформаційно-комунікаційну інфраструктуру, через яку вона обмінюватиметься інформацією з основними і важливими суб'єктами, а також іншими відповідними стейкхолдерами. Для цього держави-члени забезпечують активну участь кожної CSIRT у розгортанні захищених інструментів обміну інформацією.

4. Групи CSIRT співпрацюють одна з одною і, залежно від випадку, обмінюються релевантною інформацією відповідно до статті 29 із секторальними чи міжсекторальними спільнотами основних і важливих суб'єктів.

5. Групи CSIRT беруть участь у партнерських перевірках, організованих згідно зі статтею 19.

6. Держави-члени забезпечують результативну, ефективну та безпечну співпрацю своїх груп CSIRT у мережі CSIRT.

7. Групи CSIRT можуть налагоджувати співпрацю з національними групами реагування на інциденти комп'ютерної безпеки третіх країн. У межах такої співпраці держави-члени сприяють дієвому, ефективному та безпечному обміну інформацією з цими національними групами реагування на інциденти комп'ютерної безпеки третіх країн, використовуючи відповідні протоколи обміну інформацією, включно з протоколом TLP. Групи CSIRT можуть обмінюватися з національними групами реагування на інциденти комп'ютерної безпеки третіх країн відповідною інформацією, в тому числі персональними даними згідно з законодавством Союзу про захист даних.

8. Групи CSIRT можуть співпрацювати з національними групами реагування на інциденти комп'ютерної безпеки або аналогічними органами третіх країн, зокрема з метою надання їм допомоги у сфері кібербезпеки.

9. Кожна держава-член без невиправданої затримки сповіщає Комісію про групи CSIRT, зазначені у параграфі 1, і CSIRT, призначену координатором на виконання статті 12(1), про їхні завдання, пов'язані з основними та важливими суб'єктами, та будь-які подальші зміни до вказаного вище.

10. Держави-члени можуть звернутися по допомогу до ENISA щодо розвитку своїх груп CSIRT.

Стаття 11

Вимоги, технічні спроможності та завдання CSIRT

1. Групи CSIRT повинні відповідати таким вимогам:

(a) групи CSIRT повинні забезпечувати високий рівень доступності своїх каналів комунікації, уникаючи елементів, відмова яких спричиняє відмову всієї системи (SPOF), та мати декілька засобів для зв'язку з ними і зв'язку з іншими у будь-який час; вони повинні чітко вказати ці канали комунікації та довести їх до відома клієнтури і кооперативних партнерів;

(b) приміщення та допоміжні інформаційні системи груп CSIRT повинні бути розташованими у безпечних місцях;

(c) групи CSIRT повинні бути оснащеними належною системою управління запитами та їх скеровування, зокрема для полегшення їх дієвого й ефективного передання;

(d) групи CSIRT повинні забезпечити конфіденційність і благонадійність своїх операцій;

(e) групи CSIRT повинні мати достатньо персоналу, щоб забезпечити доступність своїх послуг у будь-який час, та повинні забезпечити належну професійну підготовку свого персоналу;

(f) групи CSIRT повинні бути оснащеними запасними системами та резервним робочим простором для забезпечення безперервності надання послуг.

Групи CSIRT можуть брати участь у мережах міжнародної співпраці.

2. Держави-члени забезпечують сукупну наявність у своїх груп CSIRT технічних спроможностей, необхідних для виконання завдань, зазначених у параграфі 3. Держави-члени забезпечують виділення своїм групам CSIRT достатніх ресурсів для забезпечення належних кадрових рівнів з метою створення для груп CSIRT можливостей розвивати свої технічні спроможності.

3. Групи CSIRT мають такі завдання:

(a) моніторинг і аналіз кіберзагроз, вразливостей та інцидентів на національному рівні та, на вимогу, надання допомоги дотичним основним і важливим суб'єктам стосовно моніторингу їхніх мережевих та інформаційних систем у реальному чи майже реальному часі;

(b) надання основним і важливим дотичним суб'єктам, а також компетентним органам та іншим відповідним стейкхолдерам ранніх попереджень, сигналів тривоги, оголошень та розповсюдження серед них інформації про кіберзагрози, вразливості й інциденти, за можливості майже в реальному часі;

(c) реагування на інциденти та надання допомоги дотичним основним і важливим суб'єктам, якщо застосовно;

(d) збирання й аналіз криміналістичних даних і забезпечення динамічного аналізу ризиків та інцидентів і ситуаційної обізнаності у сфері кібербезпеки;

(e) забезпечення на вимогу дотичного основного чи важливого суб'єкта упередного сканування мережевих та інформаційних систем цього суб'єкта з метою виявлення вразливостей із потенційно значними наслідками;

(f) участь у роботі мережі CSIRT і взаємне надання допомоги відповідно до спроможностей і компетенцій іншим членам мережі CSIRT на їхню вимогу;

(g) якщо застосовно, виконання функцій координатора для цілей скоординованого розкриття інформації про вразливості згідно зі статтею 12(1);

(h) сприяння розгортанню захищених інструментів обміну інформацією відповідно до статті 10(3).

Групи CSIRTs можуть проводити упередне сканування без втручання в роботу загальнодоступних мережевих та інформаційних систем основних і важливих суб'єктів. Таке сканування проводять для виявлення мережевих та інформаційних систем, що є вразливими або мають незахищену конфігурацію, й інформування дотичних суб'єктів. Таке сканування жодним чином не повинне негативно впливати на функціонування сервісів суб'єктів.

Виконуючи завдання, викладені в першому підпараграфі, групи CSIRT можуть визначати певні завдання як пріоритетні, керуючись підходом, що враховує можливі ризики.

4. Групи CSIRT налагоджують співпрацю з відповідними стейкхолдерами у приватному секторі з метою досягнення цілей цієї Директиви.

5. Для поглиблення співпраці, зазначеної в параграфі 4, групи CSIRT сприяють ухваленню і використанню спільних або стандартизованих практик, схем класифікації та таксономій щодо:

(a) порядків врегулювання інцидентів;

(b) управління кризами; та

(c) скоординованого розкриття інформації про вразливості згідно зі статтею 12(1).

Стаття 12

Скоординоване розкриття інформації про вразливості та Європейська база даних про вразливості

1. Кожна держава-член призначає одну зі своїх груп CSIRT координатором для цілей скоординованого розкриття інформації про вразливості. Призначена координатором CSIRT діє як довірений посередник, що за потреби полегшує взаємодію між фізичною чи юридичною особою, що повідомляє про вразливість, і виробником або надавачем потенційно вразливих продуктів ІКТ або послуг ІКТ за запитом однієї зі сторін. Завдання CSIRT, призначеної координатором, включають:

(a) виявлення дотичних суб'єктів і контактування з ними;

(b) надання допомоги фізичним чи юридичним особам, які повідомляють про вразливість; та

(c) ведення переговорів щодо строків розкриття й управління вразливостями, які впливають на декілька суб'єктів.

Держави-члени забезпечують, щоб фізичні чи юридичні особи могли анонімно, якщо вони того вимагають, повідомляти про вразливість групі CSIRT, призначеній координатором. Призначена координатором CSIRT забезпечує сумлінне виконання подальших дій стосовно розкритої інформації щодо вразливості та забезпечує анонімність фізичної чи юридичної особи, яка розкриває інформацію щодо вразливості. Якщо вразливість, про яку повідомлено, може мати значний вплив на суб'єктів більш ніж в одній державі-члені, група CSIRT, призначена координатором у кожній із дотичних держав-членів, повинна, залежно від випадку, співпрацювати з іншими групами CSIRT, призначеними координаторами, в межах мережі CSIRT.

2. ENISA розробляє та підтримує, після консультацій із Групою співпраці, Європейську базу даних про вразливості. З цією метою ENISA створює та підтримує відповідні інформаційні системи, політики та процедури, затверджує необхідні технічні й організаційні заходи для забезпечення захищеності та цілісності Європейської бази даних про вразливості, зокрема з метою надання суб'єктам, незалежно від того, чи підпадають вони під сферу застосування цієї Директиви, та їхнім постачальникам мережевих та інформаційних систем, можливості на добровільних засадах розкривати і реєструвати загальновідомі вразливості в продуктах ІКТ чи послугах ІКТ. Усі стейкхолдери отримують доступ до інформації про вразливості, яка міститься в Європейській базі даних про вразливості. Ця база даних включає:

(a) інформацію, що описує вразливість;

(b) зачеплені продукти ІКТ чи послуги ІКТ та серйозність вразливості з погляду обставин, за яких її може бути використано зловмисно;

(c) наявність пов'язаних патчів і, за відсутності доступних патчів, інструкції, надані компетентними органами чи групами CSIRT користувачам вразливих продуктів ІКТ та послуг ІКТ щодо можливих способів пом'якшення ризиків, спричинених розкритими вразливостями.

Стаття 13

Співпраця на національному рівні

1. Якщо компетентний орган, єдиний контактний пункт та група CSIRT однієї й тієї самої держави-члена є окремими організаціями, вони повинні співпрацювати для виконання зобов'язань, встановлених у цій Директиві.

2. Держави-члени забезпечують, щоб їхні групи CSIRT або, якщо застосовно, компетентні органи отримували сповіщення про значні інциденти відповідно до статті 23 та інциденти, кіберзагрози та «інциденти, які мало не трапилися» відповідно до статті 30.

3. Держави-члени забезпечують, щоб їхні групи CSIRT або, якщо застосовно, компетентні органи інформували єдині контактні пункти про сповіщення стосовно інцидентів, кіберзагроз та «інцидентів, які мало не трапилися», поданих на виконання цієї Директиви.

4. Щоб забезпечити ефективне виконання завдань і обов'язків компетентних органів, єдиних контактних пунктів і груп CSIRT, держави-члени, наскільки це можливо, забезпечують належну співпрацю між цими органами та правоохоронними органами, органами захисту даних, національними органами згідно з Регламентами (ЄС) № 300/2008 та (ЄС) 2018/1139, наглядовими органами згідно з Регламентом (ЄС) № 910/2014, компетентними органами згідно з Регламентом (ЄС) 2022/2554, національними регуляторними органами згідно з Директивою (ЄС) 2018/1972, компетентними органами згідно з Директивою (ЄС) 2022/2557, а також компетентними органами згідно з іншими секторальними правовими актами Союзу на території цієї держави-члена.

5. Держави-члени забезпечують співпрацю та регулярний обмін інформацією між компетентними органами згідно з цією Директивою та компетентними органами згідно з Директивою (ЄС) 2022/2557 стосовно ідентифікації критично важливих суб'єктів, ризиків, кіберзагроз та інцидентів, а також ризиків, що стосуються кібербезпеки, загроз та інцидентів, що впливають на суб'єкти, визначені критично важливими згідно з Директивою (ЄС) 2022/2557, а також заходів, ужитих у відповідь на такі ризики, загрози та інциденти. Держави-члени також забезпечують регулярний обмін релевантною інформацією між компетентними органами згідно з цією Директивою та компетентними органами згідно з Регламентом (ЄС) № 910/2014, Регламентом (ЄС) 2022/2554 та Директивою (ЄС) 2018/1972, зокрема стосовно відповідних інцидентів та кіберзагроз.

6. Держави-члени спрощують повідомляння технічними засобами для сповіщень, зазначених у статтях 23 та 30.

ГЛАВА III

СПІВПРАЦЯ НА РІВНІ СОЮЗУ ТА НА МІЖНАРОДНОМУ РІВНІ

Стаття 14

Група співпраці

1. Для підтримки та сприяння стратегічній співпраці й обміну інформацією серед держав-членів, а також для встановлення повної довіри між ними створено Групу співпраці.

2. Група співпраці виконує свої завдання на основі дворічних робочих програм, зазначених у параграфі 7.

3. Група співпраці складається з представників держав-членів, Комісії та ENISA. Європейська служба зовнішніх справ бере участь у діяльності Групи співпраці як спостерігач. Європейські наглядові органи та компетентні органи згідно з Регламентом (ЄС) 2022/2554 можуть брати участь у роботі Групи співпраці відповідно до статті 47(1) зазначеного Регламенту.

Якщо доцільно, Група співпраці може запрошувати представників Європейського Парламенту та представників відповідних стейкхолдерів для участі в її роботі.

Комісія повинна забезпечити секретаріат.

4. Група співпраці має такі завдання:

(a) надавати компетентним органам настанови стосовно транспозиції та імплементації цієї Директиви;

(b) надавати компетентним органам настанови стосовно розробки і впровадження політик скоординованого оприлюднення інформації про вразливості, як зазначено в пункті (c) статті 7(2);

(c) обмінюватися найкращими практиками й інформацією стосовно імплементації цієї Директиви, зокрема стосовно кіберзагроз, інцидентів, вразливостей, «інциденти, які мало не трапилися», інформаційно-просвітницьких ініціатив, професійної підготовки, тренувань та навичок, розбудови спроможностей, стандартів і технічних специфікацій, а також визначення основних і важливих суб'єктів відповідно до пунктів (b)-(e) статті 2(2);

(d) обмінюватися порадами і співпрацювати з Комісією щодо з'явних ініціатив політики у сфері кібербезпеки та загальної послідовності секторальних вимог щодо кібербезпеки;

(e) обмінюватися порадами і співпрацювати з Комісією щодо проєктів делегованих або імплементаційних актів на виконання цієї Директиви;

(f) обмінюватися найкращими практиками з відповідними установами, органами, офісами й агентствами Союзу;

(g) обмінюватися думками щодо імплементації секторальних правових актів Союзу, які містять положення щодо кібербезпеки;

(h) у відповідних випадках обговорювати звіти партнерських перевірок, зазначених у статті 19(9), готувати висновки та рекомендації;

(i) проводити скоординоване оцінювання ризиків безпеки критичних ланцюгів постачання відповідно до статті 22(1);

(j) обговорювати випадки взаємодопомоги, зокрема досвід і результати спільних транскордонних наглядових заходів, як зазначено в статті 37;

(k) на вимогу однієї чи кількох дотичних держав-членів обговорювати конкретні запити про взаємодопомогу, як зазначено в статті 37;

(l) надавати стратегічні настанови мережі CSIRT та EU-CyCLONe з конкретних питань, які виникають;

(m) обмінюватися думками щодо політики подальших дій після масштабних інцидентів і криз кібербезпеки, ґрунтуючись на досвіді, набутому мережею CSIRT та EU-CyCLONe;

(n) сприяти розвитку спроможностей у сфері кібербезпеки на всій території Союзу шляхом активізації обміну національними посадовими особами через програму розбудови спроможностей за участі персоналу компетентних органів і груп CSIRT;

(o) організовувати регулярні спільні засідання з відповідними приватними стейкхолдерами з усього Союзу для обговорення діяльності Групи співпраці та збирання пропозицій щодо нових політичних викликів;

(p) обговорювати проведену роботу стосовно навчань з кібербезпеки, зокрема роботу, виконану ENISA;

(q) сформувати методологію та організаційні аспекти партнерських перевірок, зазначених у статті 19(1), а також скласти методологію самооцінювання для держав-членів відповідно до статті 19(5) за сприяння Комісії та ENISA; та у співпраці з Комісією та ENISA розробити кодекси поведінки, які становлять основу методів роботи призначених експертів з кібербезпеки, відповідно до статті 19(6);

(r) готувати звіти, з метою зазначеного в статті 40 перегляду, про досвід, здобутий на стратегічному рівні та в ході партнерських перевірок;

(s) обговорювати та проводити на регулярній основі оцінювання стану справ з кіберзагрозами чи інцидентами, як-от програми-вимагачі.

Група співпраці подає звіти, зазначені в пункті (r) першого підпараграфа, до Комісії, Європейського Парламенту і Ради.

5. Держави-члени забезпечують дієву та безпечну співпрацю своїх представників у Групі співпраці.

6. Група співпраці може вимагати від мережі CSIRT технічного звіту з вибраних тем.

7. До 1 лютого 2024 року та що два роки після цього, Група співпраці створює робочу програму стосовно дій, які необхідно вжити для досягнення її цілей та виконання завдань.

8. Комісія може ухвалювати імплементаційні акти, що встановлюють процедурні порядок та умови, необхідні для функціонування Групи співпраці.

Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 39(2).

Комісія обмінюється порадами і співпрацює з Групою співпраці щодо проєктів імплементаційних актів, зазначених у першому підпараграфі цього параграфа, відповідно до пункту (e) параграфа (4).

9. Група співпраці на регулярній основі та в будь-якому разі принаймні раз на рік зустрічається з Групою забезпечення стійкості критично важливих суб'єктів, заснованою згідно з Директивою (ЄС) 2022/2557 для розвитку та полегшення стратегічної співпраці й обміну інформацією.

Стаття 15

Мережа CSIRT

1. З метою встановлення повної довіри та сприяння швидкій та дієвій оперативній співпраці між державами-членами створюють мережу національних груп CSIRT.

2. Мережа CSIRT складається з представників CSIRT, призначених або заснованих на виконання статті 10, та групи з реагування на надзвичайні ситуації в комп'ютерній сфері для установ, органів і агентств Союзу (CERT-EU). Комісія повинна брати участь у мережі CSIRT як спостерігач. ENISA забезпечує секретаріат і активно надає допомогу для співпраці між групами CSIRT.

3. Мережа CSIRT має такі завдання:

(a) обмінюватися інформацією про спроможності груп CSIRT;

(b) сприяти поширенню, передачі й обміну технологіями і відповідними механізмами, політиками, інструментами, процесами, найкращими практиками, засадами серед груп CSIRT;

(c) обмінюватися релевантною інформацією про інциденти, «інциденти, які мало не трапилися», кіберзагрози, ризики та вразливості;

(d) обмінюватися інформацією стосовно публікацій і рекомендацій у сфері кібербезпеки;

(e) забезпечувати інтероперабельність щодо специфікацій і протоколів обміну інформацією;

(f) на запит члена мережі CSIRT, який потенційно зазнав інциденту, надавати й обговорювати інформацію, що стосується цього інциденту та пов'язаних кіберзагроз, ризиків і вразливостей;

(g) на запит члена мережі CSIRT обговорювати та, якщо можливо, реалізовувати скоординоване реагування на інцидент, виявлений у межах юрисдикції цієї держави-члена;

(h) надавати державам-членам допомогу у врегулюванні транскордонних інцидентів на виконання цієї Директиви;

(i) співпрацювати, обмінюватися найкращими практиками та надавати допомогу групам CSIRT, призначеним координаторами згідно зі статтею 12(1), стосовно управління скоординованим розголошенням вразливостей, які можуть мати значний вплив на суб'єктів більш ніж в одній державі-члені;

(j) обговорювати та визначати подальші форми оперативної співпраці, зокрема стосовно:

(i) категорій кіберзагроз та інцидентів;

(ii) ранніх попереджень;

(iii) взаємодопомоги;

(iv) принципів і порядку координації у відповідь на транскордонні ризики та інциденти;

(v) внеску до національного плану реагування на масштабні інциденти та кризи кібербезпеки, зазначено у статті 9(4), на запит будь-якої з держав-членів;

(k) інформувати Групу співпраці про свою діяльність і подальші форми оперативної взаємодії, обговорені відповідно до пункту (j), та за необхідності вимагати інструкцій щодо цього;

(l) підбивати підсумки кібербезпекових тренувань, зокрема організованих ENISA;

(m) на запит окремої CSIRT обговорювати спроможності та підготовленість цієї CSIRT;

(n) співпрацювати й обмінюватися інформацією з регіональними та союзними Операційними центрами безпеки (SOC) з метою покращення загальної ситуаційної обізнаності щодо інцидентів і кіберзагроз на всій території Союзу;

(o) у відповідних випадках обговорювати звіти партнерських перевірок, зазначених у статті 19(9);

(p) надавати настанови для сприяння конвергенції операційних практик щодо застосування положень цієї статті, які стосуються оперативної співпраці.

4. До 17 січня 2025 року та що два роки потому мережа CSIRT з метою перегляду, зазначеного в статті 40, оцінює прогрес, досягнутий з погляду оперативної співпраці, й ухвалює відповідний звіт. Цей звіт, зокрема, містить висновки і рекомендації на підставі результатів партнерських перевірок, зазначених у статті 19, які було проведено стосовно національних груп CSIRT. Цей звіт подають до Групи співпраці.

5. Мережа CSIRT ухвалює власний внутрішній регламент.

6. Мережа CSIRT та EU-CyCLONe узгоджують процедурні механізми та співпрацюють на їх підставі.

Стаття 16

Європейська мережа організацій взаємодії з питань протидії кіберкризам (EU-CyCLONe)

1. EU-CyCLONe заснована для підтримки скоординованого управління масштабними інцидентами і кризами кібербезпеки на операційному рівні та для забезпечення регулярного обміну релевантною інформацією серед держав-членів і установ, органів, бюро й агентств Союзу.

2. EU-CyCLONe складається з представників органів управління кіберкризами держав-членів, а також, у випадках коли потенційний або поточний масштабний інцидент кібербезпеки має або може мати значний вплив на послуги та види діяльності, що підпадають під сферу застосування цієї Директиви, Комісії. В інших випадках Комісія бере участь у діяльності EU-CyCLONe як спостерігач.

ENISA забезпечує секретаріат EU-CyCLONe та підтримує безпечний обмін інформацією, а також надає необхідні інструменти для підтримки співпраці між державами-членами із забезпеченням безпечного обміну інформацією.

Якщо доцільно, EU-CyCLONe може запрошувати представників відповідних стейкхолдерів для участі в її роботі як спостерігачів.

3. EU-CyCLONe має такі завдання:

(a) підвищувати рівень підготовленості до управління масштабними інцидентами і кризами кібербезпеки;

(b) розвивати спільну ситуаційну обізнаність щодо масштабних інцидентів і криз кібербезпеки;

(c) оцінювати наслідки та вплив відповідних масштабних інцидентів і криз кібербезпеки та пропонувати можливі пом'якшувальні заходи;

(d) координувати управління масштабними інцидентами і кризами кібербезпеки та підтримувати ухвалення рішень на політичному рівні стосовно таких інцидентів і криз;

(e) обговорювати, на запит дотичної держави-члена, національні плани реагування на масштабні інциденти та кризи кібербезпеки, зазначені в статті 9(4).

4. EU-CyCLONe ухвалює свій внутрішній регламент.

5. EU-CyCLONe на регулярній основі звітує Групі співпраці про стан управління масштабними інцидентами і кризами кібербезпеки, а також про тенденції, акцентуючи, зокрема, на їхньому впливі на основних і важливих суб'єктів.

6. EU-CyCLONe співпрацює з мережею CSIRT на підставі узгоджених процедурних механізмів, передбачених у статті 15(6).

7. До 17 липня 2024 року і кожні 18 місяців потому EU-CyCLONe подає Європейському Парламенту і Раді звіт за результатами оцінювання своєї роботи.

Стаття 17

Міжнародна співпраця

У відповідних випадках Союз може укладати міжнародні угоди, відповідно до статті 218 ДФЄС, з третіми країнами або міжнародними організаціями, що дозволяють і організовують їхню участь у певній діяльності Групи співпраці, мережі CSIRT та EU-CyCLONe. Такі угоди повинні відповідати праву Союзу щодо захисту даних.

Стаття 18

Звіт про стан кібербезпеки в Союзі

1. У співпраці з Комісією та Групою співпраці ENISA ухвалює дворічний звіт про стан кібербезпеки в Союзі та подає і презентує цей звіт Європейському Парламенту. Цей звіт, серед іншого, повинен бути доступним у вигляді машинозчитуваних даних і включати таке:

(a) оцінку ризиків кібербезпеки на рівні Союзу з урахуванням ландшафту кіберзагроз;

(b) оцінку розбудови спроможностей у сфері кібербезпеки в публічному і приватному секторах на всій території Союзу;

(c) оцінку загального рівня обізнаності в питаннях кібербезпеки та кібергігієни серед громадян і суб'єктів, включно з малими і середніми підприємствами;

(d) зведену оцінку результатів партнерських перевірок, зазначених у статті 19;

(e) зведену оцінку рівня зрілості спроможностей у сфері кібербезпеки і ресурсів на всій території Союзу, зокрема на секторальному рівні, а також міри, до якої узгоджено національні стратегії кібербезпеки держав-членів.

2. Звіт повинен містити конкретні рекомендації щодо політик, спрямовані на усунення недоліків і підвищення рівня кібербезпеки на всій території Союзу, та стислий виклад висновків за певний період за результатами технічних звітів ЄС про стан кібербезпеки стосовно інцидентів та кіберзагроз, підготовлених ENISA відповідно до статті 7(6) Регламенту (ЄС) 2019/881.

3. ENISA, у співпраці з Комісією, Групою співпраці та мережею CSIRT, розробляє методологію, зокрема відповідні змінні, як-от кількісні та якісні показники, зведеної оцінки, зазначеної в пункті (e) параграфа 1.

Стаття 19

Партнерські перевірки

1. 17 січня 2025 року Група співпраці за сприяння Комісії, ENISA та, у відповідних випадках, мережі CSIRT запроваджує методологію й організаційні аспекти партнерських перевірок з метою вивчення спільного досвіду, зміцнення взаємної довіри, досягнення вищого спільного рівня кібербезпеки, а також вдосконалення спроможностей у сфері кібербезпеки і політик держав-членів, необхідних для імплементації цієї Директиви. Участь у партнерських перевірках є добровільною. Проводять партнерські перевірки експерти з кібербезпеки. Експертів із кібербезпеки призначають принаймні дві держави-члени, відмінні від держави-члена, яку перевіряють.

Партнерські перевірки охоплюють принаймні одне з такого:

(a) рівень реалізації заходів управління ризиками й обов'язків щодо звітування у сфері кібербезпеки, встановлених у статтях 21 та 23;