Стаття 21
nreg: 9a3_001-22 ГЛАВА IV Стаття 21 Заходи управління ризиками кібербезпеки
1. Держави-члени забезпечують, щоб основні та важливі суб’єкти вживали відповідних та пропорційних технічних, операційних і організаційних заходів для управління ризиками, пов’язаним із безпекою мережевих та інформаційних систем, які ці суб’єкти використовують у своїх операціях або для надання послуг, та для запобігання чи мінімізації впливу інцидентів на отримувачів їхніх послуг або на інші послуги. Враховуючи сучасний стан і, якщо застосовно, відповідні європейські та міжнародні стандарти, а також вартість їх імплементації, заходи, зазначені в першому підпараграфі, повинні забезпечувати рівень безпеки мережевих та інформаційних систем, що відповідає ризикам, які виникають. Під час оцінювання пропорційності цих заходів належним чином враховують ступінь впливу ризиків на суб’єкта, розмір суб’єкта та ймовірність виникнення інцидентів та їхню тяжкість, у тому числі їхні соціально-економічні наслідки.
2. Заходи, зазначені в параграфі 1, базуються на всеохопному підході до загроз, спрямованому на захист мережевих та інформаційних систем і фізичного середовища цих систем від інцидентів, та включають як мінімум: (a) політики щодо аналізу ризиків і безпеки інформаційних систем; (b) врегулювання інцидентів; (c) безперервність діяльності, наприклад резервне копіювання і аварійне відновлення, та управління кризами; (d) безпеку ланцюгів постачання, в тому числі безпекові аспекти, які стосуються взаємин кожного суб’єкта зі своїми прямими постачальниками та надавачами послуг; (e) безпеку придбання, розроблення та технічного обслуговування мережевих та інформаційних систем, у тому числі управління вразливостями та оприлюднення інформації про вразливості; (f) політики і процедури для оцінювання дієвості заходів управління ризиками кібе title: Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2) nreg: 9a3_001-22 ГЛАВА IV Стаття 21 обслуговування мережевих та інформаційних систем, у тому числі управління вразливостями та оприлюднення інформації про вразливості; (f) політики і процедури для оцінювання дієвості заходів управління ризиками кібербезпеки; (g) базові практики кібергігієни та навчання з кібербезпеки; (h) політики і процедури щодо використання криптографії та, у відповідних випадках, шифрування; (i) безпеку людських ресурсів, політики контролю доступу і управління активами; (j) використання багатофакторної автентифікації або постійних автентифікаційних рішень, захищену голосову, відео і текстову комунікацію та захищені системи екстреної комунікації всередині суб’єкта, залежно від випадку.
3. Держави-члени забезпечують, щоб розглядаючи доречність вжиття тих чи інших заходів, вказаних у пункті (d) параграфа 2 цієї статті, суб’єкти враховували вразливості, притаманні кожному прямому постачальнику та надавачеві послуг, а також загальну якість продуктів і практики у сфері кібербезпеки їхніх постачальників і надавачів послуг, у тому числі процедури захищеної розробки. Держави-члени також забезпечують, щоб розглядаючи доречність вжиття тих чи інших заходів, вказаних у згаданому пункті, суб’єкти обов’язково враховували результати скоординованого оцінювання ризиків критичних ланцюгів постачання, проведеного відповідно до статті 22(1).
4. Держави-члени забезпечують, щоб суб’єкт, який виявив, що не дотримується заходів, передбачених параграфом 2, без невиправданої затримки вжив усіх необхідних, відповідних і пропорційних коригувальних заходів.
5. До 17 жовтня 2024 року Комісія ухвалює імплементаційні акти, які встановлюють технічні та методологічні вимоги заходів, зазначених у параграфі 2, до надавачів послуг DNS, реєстрів TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг цен title: Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2) nreg: 9a3_001-22 ГЛАВА IV Стаття 21 хвалює імплементаційні акти, які встановлюють технічні та методологічні вимоги заходів, зазначених у параграфі 2, до надавачів послуг DNS, реєстрів TLD-імен, надавачів послуг хмарних обчислень, надавачів послуг центру обробки даних, провайдерів мереж доставки контенту, надавачів керованих послуг, надавачів керованих послуг безпеки, операторів електронних торговельних майданчиків, провайдерів електронних пошукових систем і платформ послуг соціальних мереж, а також надавачів довірчих послуг. Комісія може ухвалювати імплементаційні акти, які встановлюють технічні та методологічні вимоги, а також, за потреби, секторальні вимоги заходів, зазначених у параграфі 2, до основних і важливих суб’єктів, відмінних від зазначених у першому підпараграфі цього параграфа. При підготовці імплементаційних актів, зазначених у першому і другому підпараграфах цього параграфа, Комісія, наскільки це можливо, дотримується європейських і міжнародних стандартів, а також відповідних технічних специфікацій. Комісія обмінюється порадами і співпрацює з Групою співпраці та ENISA щодо проєктів імплементаційних актів відповідно до статті 14(4), пункту (e). Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 39(2).