Стаття 33
nreg: 9a3_001-22 ГЛАВА VII Стаття 33 Наглядові і правозастосовні заходи стосовно важливих суб’єктів
1. Якщо надано доказ, свідчення або інформацію про те, що важливий суб’єкт нібито не дотримується вимог цієї Директиви, зокрема її статей 21 та 23, держави-члени забезпечують вжиття компетентними органами заходів, якщо необхідно, за допомогою наглядових заходів ex post . Держави-члени забезпечують, щоб такі заходи були дієвими, пропорційними та стримувальними, враховуючи обставини кожного окремого випадку.
2. Держави-члени забезпечують, щоб компетентні органи під час виконання своїх наглядових завдань стосовно важливих суб’єктів мали повноваження піддавати ці суб’єкти щонайменше: (a) інспекціям на місцях і дистанційному нагляду ex post , проведеним навченими фахівцями; (b) цільовим аудитам стану безпеки, здійснюваним незалежною установою або компетентним органом; (c) скануванням безпеки на підставі об’єктивних, недискримінаційних, справедливих і прозорих критеріїв оцінювання ризиків, за необхідності у співпраці з відповідним суб’єктом; (d) запитам на отримання інформації, необхідної для оцінювання, ex post , заходів управління ризиками кібербезпеки, запроваджених відповідним суб’єктом, у тому числі документованих політик кібербезпеки, а також дотримання обов’язку подавати інформацію компетентним органам відповідно до статті 27; (e) запитам на отримання доступу до даних, документів та інформації, необхідних для виконання своїх наглядових завдань; (f) запитам доказів реалізації політик кібербезпеки, таких як результати аудитів стану безпеки, проведених кваліфікованим аудитором, та відповідні первинні докази. Цільові аудити стану безпеки, згадані в пункті (b) першого підпараграфа, базуються на оцінюванні ризиків, проведеному компетентним органом або суб’єктом, що проходить аудит, або на іншій наявній title: Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2) nreg: 9a3_001-22 ГЛАВА VII Стаття 33 ні первинні докази. Цільові аудити стану безпеки, згадані в пункті (b) першого підпараграфа, базуються на оцінюванні ризиків, проведеному компетентним органом або суб’єктом, що проходить аудит, або на іншій наявній інформації щодо ризиків. Результати будь-якого цільового аудиту стану безпеки надають компетентному органу. Витрати на проведення такого цільового аудиту стану безпеки незалежною установою буде сплачено суб’єктом, що проходить аудит, за винятком належним чином обґрунтованих випадків, коли компетентний орган вирішує інакше.
3. Реалізуючи свої повноваження згідно з пунктом (d), (e) або (f) параграфа 2, компетентні органи повинні вказувати мету такого запиту та уточнити, яка інформація вимагається.
4. Держави-члени забезпечують, щоб компетентні органи під час реалізації своїх правозастосовних повноважень стосовно важливих суб’єктів мали повноваження щонайменше: (a) виносити попередження про порушення цієї Директиви відповідними суб’єктами; (b) ухвалювати зобов’язальні приписи або ж наказ із вимогою до відповідних суб’єктів усунути виявлені недоліки чи порушення цієї Директиви; (c) наказувати відповідним суб’єктам припинити дії, які порушують цю Директиву, та утриматися від повторення цих дій; (d) наказувати відповідним суб’єктам забезпечити відповідність своїх заходів управління ризиками кібербезпеки статті 21 або виконати обов’язки щодо звітування, встановлені в статті 23, у визначений спосіб і впродовж визначеного періоду; (e) наказувати відповідним суб’єктам інформувати фізичних або юридичних осіб, щодо яких вони надають послуги чи здійснюють діяльність, що потенційно зазнає значної кіберзагрози, про характер цієї загрози, а також про будь-які можливі захисні чи відновлювальні заходи, яких ці фізичні чи юридичні особи можуть вжити у відповідь на цю title: Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 та скасування Директиви (ЄС) 2016/1148 (Директива NIS 2) nreg: 9a3_001-22 ГЛАВА VII Стаття 33 юють діяльність, що потенційно зазнає значної кіберзагрози, про характер цієї загрози, а також про будь-які можливі захисні чи відновлювальні заходи, яких ці фізичні чи юридичні особи можуть вжити у відповідь на цю загрозу; (f) наказувати відповідним суб’єктам виконати рекомендації, надані в результаті аудиту стану безпеки, у розсудливі строки; (g) наказувати відповідним суб’єктам оприлюднювати аспекти порушень цієї Директиви у встановленому порядку; (h) накладати чи вимагати накладання відповідними органами, судами чи трибуналами відповідно до національного права адміністративного штрафу згідно зі статтею 34 додатково до будь-якого із заходів, зазначених у пунктах (a)-(g) цього параграфа.
5. Статтю 32(6), (7) і (8) застосовують mutatis mutandis до наглядових і правозастосовних заходів, передбачених цією статтею для важливих суб’єктів.
6. Держави-члени забезпечують, щоб їхні компетентні органи за цією Директивою співпрацювали з відповідними компетентними органами відповідної держави-члена за Регламентом (ЄС) 2022/2554. Зокрема, держави-члени забезпечують, щоб їхні компетентні органи за цією Директивою інформували Наглядовий форум, заснований на виконання статті 32(1) Регламенту (ЄС) 2022/2554 під час виконання своїх повноважень з нагляду та забезпечення виконання з метою забезпечення відповідності важливого суб’єкта, визначеного критичним стороннім надавачем послуг ІКТ згідно зі статтею 31 Регламенту (ЄС) 2022/2554, вимогам цієї Директиви.