Please enable JavaScript.

Coggle requires JavaScript to display documents.

((2022/11/28 13:54), Регламент ЄС 2019/881) - Coggle Diagram

(2022/11/28 13:54)

РАМКИ СЕРТИФІКАЦІЇ КІБЕРБЕЗПЕКИ

Європейські рамки сертифікації кібербезпеки

Європейські рамки сертифікації кібербезпеки створено для покращення умов функціонування внутрішнього ринку шляхом підвищення рівня кібербезпеки на території Союзу та впровадження гармонізованого підходу на рівні Союзу до європейських схем сертифікації кібербезпеки з метою створення єдиного цифрового ринку продуктів ІКТ, послуг ІКТ та процесів ІКТ.

Європейські рамки сертифікації кібербезпеки надають механізм для створення європейських схем сертифікації кібербезпеки та підтвердження того, що продукти ІКТ, послуги ІКТ та процеси ІКТ оцінили відповідно до схем, які відповідають зазначеним вимогам безпеки, з метою захисту доступності, автентичності, цілісності або конфіденційності даних, які зберігають, передають або опрацьовують, або функцій чи послуг, пропонованих такими продуктами, послугами або процесами або доступних з їхньою допомогою протягом їхнього життєвого циклу.

Послідовна робоча програма Союзу для європейської сертифікації кібербезпеки

Комісія оприлюднює послідовну робочу програму Союзу для європейської сертифікації кібербезпеки («послідовна робоча програма Союзу»), яка визначає стратегічні пріоритети для майбутніх європейських систем сертифікації кібербезпеки.

Послідовна робоча програма Союзу, зокрема, включає список продуктів ІКТ, послуг ІКТ та процесів ІКТ або їхніх категорій, які можуть отримати користь від включення в рамки європейської схеми сертифікації кібербезпеки.

Комісія повинна належним чином враховувати висновки, надані ECCG та Групою стейкхолдерів з питань сертифікації стосовно проєкту послідовної робочої програми Союзу.

Перша послідовна робоча програма Союзу повинна бути оприлюднена до 28 червня 2020 року. Послідовну робочу програму Союзу належить оновлювати принаймні один раз на три роки або, якщо необхідно, частіше.

Запит на європейську схему сертифікації кібербезпеки

Комісія може подавати запит ENISA на підготовку проєкту схеми або на перегляд наявної європейської схеми сертифікації кібербезпеки на основі послідовної робочої програми Союзу.

У належним чином обґрунтованих випадках Комісія або ECCG може подавати запит ENISA на підготовку проєкту схеми або на перегляд наявної європейської схеми сертифікації кібербезпеки, не включеної до послідовної робочої програми Союзу. Послідовну робочу програму Союзу належить оновлювати відповідним чином.

Підготовка, ухвалення та перегляд європейської схеми сертифікації кібербезпеки

На запит Комісії відповідно до статті 48 ENISA готує проєкт схеми, що відповідає вимогам, визначеним у статтях 51, 52 та 54.

На запит ECCG відповідно до статті 48(2) ENISA готує проєкт схеми, що відповідає вимогам, визначеним у статтях 51, 52 та 54. Якщо ENISA відхиляє такий запит, ENISA повинне обґрунтувати свою відмову. Будь-яке рішення про відхилення такого запиту ухвалює Правління.

Під час підготовки проєкту схеми ENISA консультується з усіма відповідними стейкхолдерами в рамках офіційного, відкритого, прозорого та інклюзивного консультаційного процесу.

ENISA створює спеціалізовану експерту робочу групу для кожного проєкту схеми відповідно до статті 20(4) для надання ENISA відповідних консультацій та експертних знань.

ENISA тісно співпрацює з ECCG. ECCG надає ENISA допомогу та експертні консультації стосовно підготовки проєкту схеми та ухвалює висновок щодо проєкту схеми.

ENISA максимально враховує висновок ECCG перед передачею Комісії проєкту схеми, підготованого відповідно до параграфів 3, 4 та 5. Висновок ECCG не має зобов’язального характеру, і відсутність такого висновку не повинна перешкодити ENISA передати проєкт схеми Комісії.

На основі підготованого ENISA проєкту схеми Комісія може ухвалювати імплементаційні акти, що встановлюють європейську схему сертифікації кібербезпеки для продуктів ІКТ, послуг ІКТ та процесів ІКТ, яка відповідає вимогам, визначеним у статтях 51, 52 та 54. Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 66(2).

Принаймні кожні п’ять років ENISA повинне оцінювати кожну ухвалену європейську схему сертифікації кібербезпеки з урахуванням зворотного зв’язку від заінтересованих сторін. У разі необхідності Комісія або ECCG можуть подавати ENISA запит на початок процесу розробки переглянутого проєкту схеми відповідно до статті 48 та цієї статті.

Вебсайт європейських схем сертифікації кібербезпеки

ENISA повинне вести спеціальний вебсайт, на якому повинне надавати інформацію про та оприлюднювати європейські схеми сертифікації кібербезпеки, європейські сертифікати з кібербезпеки та декларації ЄС про відповідність, у тому числі інформацію, що стосується уже недійсних європейських схем сертифікації кібербезпеки, європейських сертифікатів з кібербезпеки та декларацій ЄС про відповідність, які були вилучені або які втратили чинність, та репозиторій покликань на інформацію стосовно кібербезпеки, надану відповідно до статті 55.

Якщо застосовно, на вебсайті, вказаному в параграфі 1, повинні вказуватися національні схеми сертифікації кібербезпеки, які замінено європейською схемою сертифікації кібербезпеки.

Рівні надійності європейських схем сертифікації кібербезпеки

Європейська схема сертифікації кібербезпеки може визначати один або більше з таких рівнів надійності для продуктів ІКТ, послуг ІКТ та процесів ІКТ: «базовий», «істотний» або «високий». Рівень надійності повинен відповідати рівню ризику, пов’язаному з використанням за призначенням продукту ІКТ, послуги ІКТ або процесу ІКТ, з точки зору ймовірності та впливу інциденту.

У європейських сертифікатах з кібербезпеки та деклараціях ЄС про відповідність вказують будь- який рівень надійності, визначений у європейській схемі сертифікації кібербезпеки, відповідно до якої було видано європейський сертифікат з кібербезпеки або декларацію ЄС про відповідність.

Вимоги безпеки, що відповідають кожному рівню надійності, повинні бути вказані у відповідній європейській схемі сертифікації кібербезпеки, включно з відповідними функціональними можливостями безпеки та суворістю й глибиною оцінювання, якому підлягатиме такий продукт ІКТ, послуга ІКТ або процес ІКТ.

У сертифікаті або декларації ЄС про відповідність вказують технічні специфікації, стандарти та процедури, у тому числі технічні контролі, мета яких полягає у зниженні ризику виникнення інцидентів кібербезпеки або запобіганні таким інцидентам.

Європейський сертифікат з кібербезпеки або декларація ЄС про відповідність, де вказано «базовий» рівень надійності, гарантує, що продукти ІКТ, послуги ІКТ та процеси ІКТ, для яких видано такий сертифікат або декларацію ЄС про відповідність, відповідають вимогам безпеки, у тому числі функціональним можливостям безпеки, і що їх було оцінено на рівні, спрямованому на мінімізацію відомих базових ризиків інцидентів та кібератак. Заходи з оцінювання, які будуть проведені, повинні включати принаймні перегляд технічної документації. Якщо такий перегляд не є доцільним, його заміняють заходами з оцінювання з рівнозначним ефектом.

Європейський сертифікат з кібербезпеки, у якому вказано «істотний» рівень надійності, гарантує, що продукти ІКТ, послуги ІКТ та процеси ІКТ, для яких видано такий сертифікат, відповідають вимогам безпеки, у тому числі функціональним можливостям безпеки, і що їх було оцінено на рівні, спрямованому на мінімізацію відомих ризиків, пов’язаних із кібербезпекою, а також ризиків виникнення інцидентів та кібератак, які виконують суб’єкти з обмеженими вміннями та ресурсами. Заходи з оцінювання, які будуть проведені, повинні включати принаймні таке: перегляд для підтвердження відсутності широковідомих вразливостей та тестування для підтвердження того, що продукти ІКТ, послуги ІКТ або процеси ІКТ належним чином реалізують необхідні функціональні можливості безпеки. Якщо такі заходи з оцінювання не є доцільними, їх заміняють заходами з оцінювання з рівнозначним ефектом.

Європейський сертифікат з кібербезпеки, у якому вказано «високий» рівень надійності, гарантує, що продукти ІКТ, послуги ІКТ та процеси ІКТ, для яких видано такий сертифікат, відповідають вимогам безпеки, у тому числі функціональним можливостям безпеки, і що їх було оцінено на рівні, спрямованому на мінімізацію ризиків передових кібератак, які виконують суб’єкти зі значними вміннями та ресурсами. Заходи з оцінювання, які будуть проведені, повинні включати принаймні таке: перегляд для підтвердження відсутності широковідомих вразливостей; тестування для підтвердження того, що продукти ІКТ, послуги ІКТ та процеси ІКТ реалізують необхідні функціональні можливості безпеки на високому рівні; та оцінювання рівня їхнього опору досвідченим нападникам з використанням тестування проникненням. Якщо такі заходи з оцінювання не є доцільними, їх заміняють заходами з рівнозначним ефектом.

У європейській схемі сертифікації кібербезпеки може бути визначено декілька рівнів оцінювання, залежно від суворості та глибини використовуваних методів оцінювання. Кожен рівень оцінювання повинен відповідати одному з рівнів надійності та визначатися відповідною комбінацією компонентів надійності.

Самооцінювання відповідності

Європейська схема сертифікації кібербезпеки може уможливлювати самооцінювання відповідності під одноосібну відповідальність виробника або надавача продуктів ІКТ, послуг ІКТ або процесів ІКТ. Дозвіл на самооцінювання відповідності надають лише стосовно продуктів ІКТ, послуг ІКТ та процесів ІКТ з низьким рівнем ризику, що відповідає «низькому» рівню надійності.

Виробник або надавач продуктів ІКТ, послуг ІКТ або процесів ІКТ може видавати декларацію ЄС про відповідність, у якій заявляє про виконання всіх вимог, визначених у схемі. У разі оформлення такої декларації виробник або надавач продуктів ІКТ, послуг ІКТ або процесів ІКТ бере на себе відповідальність за відповідність продуктів ІКТ, послуг ІКТ або процесів ІКТ вимогам, визначеним у схемі.

Виробник або надавач продуктів ІКТ, послуг ІКТ або процесів ІКТ надає доступ до декларації ЄС про відповідність, технічної документації та іншої відповідної інформації, що стосується відповідності продуктів ІКТ, послуг ІКТ або процесів ІКТ схемі, національному органу з сертифікації кібербезпеки, зазначеному в статті 58, на строк, визначений у відповідній європейській схемі сертифікації кібербезпеки. Копію декларації ЄС про відповідність вимогам надають національним органам із сертифікації кібербезпеки та ENISA.

Видача декларації ЄС про відповідність є добровільною, якщо інше не визначено у праві Союзу або держави-члена.

Декларації ЄС про відповідність повинні визнаватися у всіх державах-членах.

Сертифікація кібербезпеки

Продукти ІКТ, послуги ІКТ та процеси ІКТ, які були сертифіковані за європейською схемою сертифікації кібербезпеки, ухваленою відповідно до статті 49, вважаються такими, що відповідають вимогам такої схеми.

Сертифікація кібербезпеки є добровільною, якщо інше не зазначено в законодавстві Союзу або держави-члена.

Органи з оцінювання відповідності, зазначені в статті 60, видають європейські сертифікати з кібербезпеки відповідно до цієї статті, у яких вказано рівень безпеки «базовий» або «істотний», на основі критеріїв, що входять до європейської схеми сертифікації кібербезпеки, ухваленої Комісією відповідно до статті 49.

Як відступ від параграфа 4, у належно обґрунтованих випадках європейська схема сертифікації кібербезпеки може передбачати, що європейські сертифікати з кібербезпеки, які є результатом такої схеми, повинні видаватися лише органом публічної влади. Таким органом повинен бути один із таких:

Фізична або юридична особа, яка подає на сертифікацію продукти ІКТ, послуги ІКТ або процеси ІКТ, надає національному органу з сертифікації кібербезпеки, зазначеному в статті 58, якщо це орган, що видає європейський сертифікат з кібербезпеки, або органу з оцінювання відповідності, зазначеному в статті 60, усю необхідну для проведення сертифікації інформацію.

Держатель європейського сертифіката з кібербезпеки повідомляє органу, зазначеному в параграфі 7, про будь-які виявлені в подальшому вразливості або порушення стосовно безпеки сертифікованого продукту ІКТ, послуги ІКТ або процесу ІКТ, які можуть впливати на їхню відповідність вимогам, пов’язаним із сертифікацією. Такий орган без невиправданої затримки пересилає таку інформацію відповідному національному органу сертифікації кібербезпеки.

Європейський сертифікат з кібербезпеки видають на період, передбачений у європейській схемі сертифікації кібербезпеки, та його можна поновити за умови подальшого виконання відповідних вимог.

Європейський сертифікат з кібербезпеки, виданий відповідно до цієї статті, визнають в усіх державах-членах.

Національні схеми сертифікації кібербезпеки та національні сертифікати з кібербезпеки

Без обмеження параграфа 3 цієї статті, національні схеми сертифікації кібербезпеки та пов’язані процедури для продуктів ІКТ, послуг ІКТ та процесів ІКТ, які охоплює європейська схема сертифікації кібербезпеки, втрачають юридичну силу з дати, встановленої в імплементаційному акті, ухваленому відповідно до статті 49(7). Національні схеми сертифікації кібербезпеки та пов’язані процедури для продуктів ІКТ, послуг ІКТ та процесів ІКТ, які не охоплює європейська схема сертифікації кібербезпеки, продовжують існувати.

Держави-члени не вводять нових національних схем сертифікації кібербезпеки для продуктів ІКТ, послуг ІКТ та процесів ІКТ, які вже охоплені чинною європейською схемою сертифікації кібербезпеки.

Наявні сертифікати, видані за національними схемами сертифікації кібербезпеки, охоплені європейською схемою сертифікації кібербезпеки, залишаються дійсними до закінчення терміну їхньої

З метою уникнення фрагментації внутрішнього ринку держави-члени інформують Комісію та ECCG про будь-які наміри створити нові національні схеми сертифікації кібербезпеки.

Партнерська перевірка

З метою досягнення на території Союзу рівнозначних стандартів стосовно європейських сертифікатів з кібербезпеки та декларацій ЄС про відповідність національні органи з сертифікації кібербезпеки підлягають партнерській перевірці.

Партнерську перевірку проводять на підставі розсудливих і прозорих критеріїв та процедур оцінювання, зокрема тих, що стосуються вимог до структури, персоналу і процесів, конфіденційності та скарг.

Партнерську перевірку проводять щонайменше два національні органи з сертифікації кібербезпеки інших держав-членів та Комісія принаймні кожні п’ять років. ENISA може брати участь у партнерській перевірці.

Комісія може ухвалювати імплементаційні акти, у яких встановлює план партнерської перевірки, що охоплює період у принаймні п’ять років, встановлює критерії щодо складу команди, яка проводить партнерську перевірку, методологію, яку використовують під час партнерської перевірки, а також графік, частоту та інші пов’язані з нею завдання. При ухваленні таких імплементаційних актів Комісія повинна належним чином враховувати точку зору ECCG. Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 66(2).

Результати партнерських перевірок розглядає ECCG, яка складає резюме, які можуть бути оприлюднені, та яка за необхідності видає настанови та рекомендації щодо дій або заходів, яких повинні вжити відповідні суб’єкти.

Органи з оцінювання відповідності

Органи з оцінювання відповідності повинні бути акредитовані національними органами з акредитації, призначеними відповідно до Регламенту (ЄС) № 765/2008. Таку акредитацію надають лише за умови, що орган з оцінювання відповідності відповідає вимогам, визначеним у додатку до цього Регламенту.

Якщо європейський сертифікат з кібербезпеки видано національним органом з оцінювання відповідності згідно з пунктом (a) статті 56(5) та статті 56(6), сертифікаційний орган національного органу з сертифікації кібербезпеки акредитують як орган з оцінювання відповідності відповідно до параграфа 1 цієї статті.

Якщо у європейських схемах сертифікації кібербезпеки визначені конкретні або додаткові вимоги відповідно до пункту (f) статті 54(1), лише органи з оцінювання відповідності, які відповідають таким вимогам, отримують дозвіл від національного органу з оцінювання сертифікації на виконання своїх завдань за такими схемами.

Акредитацію, зазначену в параграфі 1, надають органам з оцінювання відповідності на строк до п’яти років, та її може бути поновлено на тих самих умовах, якщо орган з оцінювання відповідності продовжує відповідати вимогам, визначеним у цій статті. Національні органи з акредитації вживають усіх належних заходів протягом розумного строку для обмеження або призупинення дії або відкликання акредитації органу з оцінювання відповідності, наданої відповідно до параграфа 1, за умови недотримання умов акредитації або порушення органом з оцінювання відповідності положень цього Регламенту.

Нотифікація

Відповідно до кожної європейської схеми сертифікації кібербезпеки національні органи з сертифікації кібербезпеки нотифікують Комісію про органи з оцінювання відповідності, які пройшли акредитацію та, якщо застосовно, яким відповідно до статті 60(3) було надано дозвіл видавати європейські сертифікати з кібербезпеки за визначених рівнів надійності, як зазначено у статті 52. Національні органи з сертифікації кібербезпеки повинні без невиправданої затримки повідомляти Комісію про будь-які подальші зміни.

Через один рік після набуття чинності європейської схеми сертифікації кібербезпеки Комісія публікує список органів з оцінювання відповідності, нотифікованих за такою схемою, в Офіційному віснику Європейського Союзу.

Якщо Комісія отримує нотифікацію після закінчення строку, зазначеного в параграфі 2, вона публікує список нотифікованих органів з оцінювання відповідності в Офіційному віснику Європейського Союзу протягом двох місяців з дати отримання такої нотифікації.

Національний орган з сертифікації кібербезпеки може подавати Комісії запит на вилучення органу з оцінювання відповідності, нотифікованого таким органом, зі списку, зазначеного в параграфі 2. Комісія публікує відповідні зміни до зазначеного списку в Офіційному віснику Європейського Союзу протягом одного місяця з дати отримання запиту національного органу з сертифікації кібербезпеки.

Комісія може ухвалювати імплементаційні акти, у яких установлює умови, формат та процедури для здійснення нотифікації, зазначеної в параграфі 1 цієї статті. Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 66(2).

Право подавати скаргу

Фізичні та юридичні особи мають право подавати скаргу до емітента європейського сертифіката з кібербезпеки або, якщо скарга стосується європейського сертифіката з кібербезпеки, виданого органом з оцінювання відповідності згідно зі статтею 56(6), до відповідного національного органу з сертифікації кібербезпеки.

Орган, до якого подано скаргу, повинен інформувати скаржника про хід розгляду скарги та про ухвалені рішення, а також інформувати скаржника про право на дієвий судовий захист, зазначений у статті 64.

(АГЕНТСТВО ЄВРОПЕЙСЬКОГО СОЮЗУ З ПИТАНЬ МЕРЕЖЕВОЇ ТА ІНФОРМАЦІЙНОЇ БЕЗПЕКИ)

Мандат та цілі

Мандат

ENISA виконує завдання, покладені на нього відповідно до цього Регламенту, з метою досягнення високого загального рівня кібербезпеки на території Союзу, у тому числі шляхом надання активної підтримки державам-членам, установам, органам, офісам та агентствам Союзу в покращенні рівня кібербезпеки. ENISA слугує довідковим пунктом, що надає консультації та експертні знання стосовно кібербезпеки установам, органам, офісам та агентствам Союзу, а також іншим відповідних стейкхолдерам у Союзі.

ENISA виконує завдання, покладені на нього відповідно до правових актів Союзу, які визначають заходи для наближення законів, підзаконних нормативно-правових актів та адміністративних положень держави-члена, пов’язаних із кібербезпекою.

Виконуючи ці завдання, ENISA діє незалежно, уникаючи дублювання діяльності держав-членів та враховуючи наявні експертні знання держав-членів.

ENISA розробляє власні ресурси, зокрема технічні та людські здібності та вміння, необхідні для виконання завдань, покладених на нього відповідно до цього Регламенту.

Цілі

ENISA є центром експертних знань з кібербезпеки завдяки своїй незалежності, науковій та технічній якості наданих консультацій, допомоги та інформації, прозорості своїх оперативних процедур, методів роботи та сумлінного виконання своїх завдань.

ENISA надає допомогу установам, органам, офісам та агентствам Союзу, а також державам-членам у розробленні та імплементації політики Союзу з питань кібербезпеки, у тому числі галузевої політики з кібербезпеки.

ENISA підтримує розбудову потенціалу та готовність на території Союзу шляхом надання допомоги установам, органам, офісам та агентствам Союзу, а також державам-членам та публічним і приватним стейкхолдерам для посилення захисту їхніх мережевих та інформаційних систем, розробки та посилення кіберстійкості та можливості реагування, а також для розвитку вмінь і навичок у сфері кібербезпеки.

ENISA сприяє співпраці, у тому числі обміну інформацією та координації на рівні Союзу, серед держав-членів, установ, органів, офісів та агентств Союзу та відповідних приватних і публічних стейкхолдерів у питаннях кібербезпеки.

ENISA сприяє розширенню можливостей у сфері кібербезпеки на рівні Союзу, щоб підтримати заходи держав-членів для запобігання кіберзагрозам та реагування на них, зокрема у випадку транскордонних інцидентів.

ENISA сприяє використанню європейської схеми сертифікації кібербезпеки з метою уникнення фрагментації внутрішнього ринку. ENISA сприяє впровадженню та технічному обслуговуванню європейських рамок сертифікації кібербезпеки відповідно до розділу III цього Регламенту з метою посилення прозорості кібербезпеки продуктів ІКТ, послуг ІКТ, процесів ІКТ, внаслідок чого відбуватиметься посилення рівня впевненості в цифровому внутрішньому ринку та його конкурентоспроможності.

ENISA сприяє досягненню високого рівня обізнаності в питаннях кібербезпеки, у тому числі кібергігієни та кіберграмотності, серед громадян, організацій та підприємств.

- - - - (a) у розробленні та імплементації політики Союзу у сфері електронної ідентифікації та довірчих послуг, зокрема шляхом надання консультацій та видання технічних настанов, а також сприяння обміну найкращими практиками між компетентними органами;
      - (b) у сприянні підвищенню рівня безпеки електронних комунікацій, у тому числі шляхом надання консультацій та експертних знань, а також сприяння обміну найкращими практиками між компетентними органами;
      - (c) держав-членів в імплементації конкретних аспектів політики та законодавства Союзу про захист даних і приватності, що стосуються кібербезпеки, у тому числі шляхом надання консультацій Європейській раді із захисту даних за її запитом;
    - - (a) інформації щодо оповіщення про інциденти в державах-членах, надані єдиними контактними пунктами групі співпраці відповідно до статті 10(3) Директиви (ЄС) 2016/1148;
      - (b) резюме оповіщень про порушення безпеки або втрату цілісності, отриманих від надавачів довірчих послуг та наданих ENISA наглядовими органами відповідно до статті 19(3) Регламенту (ЄС) № 910/2014 Європейського Парламенту і Ради (23);
      - (c) оповіщень про інциденти безпеки, переданих провайдерами громадських електронних комунікаційних мереж, або про доступні для громадськості електронні комунікаційні послуги, надані ENISA компетентними органами відповідно до статті 40 Директиви (ЄС) 2018/1972.

Організація ENISA

Виконавча рада

Виконавча рада надає допомогу Правлінню.

До складу Виконавчої ради входять п’ять членів. Членів Виконавчої ради призначають з числа членів Правління. Одним із членів повинен бути голова Правління, який також може виконувати роль голови Виконавчої ради, та ще одним членом повинен бути один із представників Комісії. Під час призначення членів Виконавчої ради необхідно дотримуватися принципів забезпечення гендерного балансу у Виконавчій раді. Виконавчий директор бере участь у засіданнях Виконавчої ради, але без права голосу.

Строк дії повноважень членів Виконавчої ради становить чотири роки. Такий строк є поновлюваним.

Виконавча рада проводить засідання принаймні раз на три місяці. Голова Виконавчої ради скликає додаткові засідання на запит її членів.

Правління визначає внутрішній регламент Виконавчої ради.

За необхідності в надзвичайних ситуаціях Виконавча рада може ухвалювати певні попередні рішення від імені Правління, зокрема з адміністративно-управлінських питань, включаючи призупинення делегування повноважень органу, уповноваженого призначати персонал, та бюджетні питання. Правління повинне без невиправданої затримки отримувати повідомлення про будь-які такі тимчасові рішення. Правління потім вирішує, схвалити чи відхилити тимчасове рішення, не пізніше ніж через три місяці після ухвалення рішення. Виконавча рада не ухвалює рішень від імені Правління, які вимагають схвалення більшістю у дві третіх голосів членів Правління.

Консультативна група ENISA, Група стейкхолдерів з питань сертифікації кібербезпеки та Мережа національних зв’язкових офіцерів

Консультативна група ENISA

Діючи за пропозицією виконавчого директора, Правління у прозорий спосіб створює Консультативну групу ENISA, до складу якої входять визнані експерти, які представляють відповідних стейкхолдерів, таких як сфера ІКТ, надавачі електронних комунікаційних мереж або послуг, доступних громадськості, малі та середні підприємства, оператори основних послуг, групи споживачів, наукові експерти у сфері кібербезпеки та представники компетентних органів, повідомлені відповідно до Директиви (ЄС) 2018/1972, європейські організації зі стандартизації, а також правоохоронні органи та наглядові органи з питань захисту даних. Правління повинне прагнути до забезпечення належного гендерного та географічного балансу, а також балансу між різними групами стейкхолдерів.

Процедури для Консультативної групи ENISA, зокрема ті, що стосуються її складу, пропозицій виконавчого директора, зазначених у параграфі 1, кількості та призначення її членів та діяльності Консультативної групи ENISA, повинні бути визначені у внутрішньому регламенті ENISA та оприлюднені.

Консультативну групу ENISA очолює виконавчий директор або будь-яка особа, призначена виконавчим директором залежно від випадку.

Строк дії повноважень членів Консультативної групи ENISA становить два з половиною роки. Члени Правління не можуть бути членами Консультативної групи ENISA. Експерти з Комісії та держав- членів мають право бути присутніми на засіданнях Консультативної групи ENISA та брати участь у її роботі. Представників інших органів, які не є членами Консультативної групи ENISA, можуть запрошувати відвідувати засідання Консультативної групи ENISA та брати участь у її роботі, якщо виконавчий директор вважає таку участь доцільною.

Консультативна група ENISA надає консультації ENISA в питаннях, що стосуються виконання завдань ENISA, крім застосування положень розділу III цього Регламенту. Зокрема вона надає виконавчому директору консультації з питань підготовки пропозиції стосовно річної програми роботи ENISA та з питань забезпечення комунікації з відповідними стейкхолдерами щодо питань, пов’язаних із річною робочою програмою.

Консультативна група ENISA регулярно інформує Правління про свою діяльність.

Мережа національних зв’язкових офіцерів

Діючи за пропозицією виконавчого директора, Правління створює Мережу національних зв’язкових офіцерів, до складу якої входять представники усіх держав-членів (національні зв’язкові офіцери). Кожна держава-член призначає одного представника до Мережі національних зв’язкових офіцерів. Засідання Мережі національних зв’язкових офіцерів можуть проводитися різними експертними складами.

Мережа національних зв’язкових офіцерів зокрема сприяє обміну інформацією між ENISA та державами-членами, а також надає підтримку ENISA в поширенні його діяльності, висновків та рекомендацій серед відповідних стейкхолдерів на території Союзу.

Національні зв’язкові офіцери діють як контактний пункт на національному рівні з метою сприяння співпраці між ENISA та національними експертами в контексті виконання річної робочої програми ENISA.

Тоді як національні зв’язкові офіцери тісно співпрацюють із представниками відповідних держав- членів у Правлінні, сама Мережа національних офіцерів зв’язку не дублює роботи Правління та інших форумів Союзу.

Функції та процедури Мережі національних офіцерів зв’язку визначають у внутрішньому регламенті ENISA та оприлюднюють.

Секція 5 Діяльність

Єдиний програмний документ

ENISA веде діяльність відповідно до єдиного програмного документа, у якому визначені річні та багаторічні плани програми його діяльності та який включає всю його заплановану діяльність.

Щороку виконавчий директор готує проєкт єдиного програмного документа, що містить річні та багаторічні плани програми з відповідним плануванням фінансових та людських ресурсів, відповідно до статті 32 Делегованого регламенту (ЄС) № 1271/2013 (25) з урахуванням настанов, розроблених Комісією.

Не пізніше 30 листопада кожного року Правління ухвалює єдиний програмний документ, зазначений у параграфі 1, та передає його Європейському Парламенту, Раді та Комісії не пізніше 31 січня наступного року, а в подальшому також і будь-які оновлені версії згаданого документа.

Єдиний програмний документ стає остаточним після остаточного ухвалення загального бюджету Союзу і зазнає корегувань у разі необхідності.

Річна робоча програма містить детальні цілі та очікувані результати, у тому числі показники ефективності. Вона також містить опис заходів, які повинні отримати фінансування, та визначає фінансові й людські ресурси, розподілені для кожного заходу, відповідно до принципів бюджетування та управління кожного заходу. Річна робоча програма повинна узгоджуватися з багаторічною робочою програмою, зазначеною в параграфі 7. У ній повинні бути чітко вказані завдання, які були додані, змінені або вилучені порівняно з попереднім фінансовим роком.

Правління вносить зміни до ухваленої річної робочої програми, якщо на ENISA покладено нове завдання. Будь-які істотні зміни до річної робочої програми ухвалюють за тією самою процедурою, що й до початкової річної робочої програми. Правління може делегувати виконавчому директору повноваження вносити неістотні зміни до річної робочої програми.

Багаторічна робоча програма визначає загальний стратегічний план програми, включаючи цілі, очікувані результати та показники ефективності. Вона також визначає планування ресурсів, включаючи багаторічний бюджет і персонал.

Оновлення плану програми стосовно ресурсів відбувається щорічно. У відповідних випадках стратегічний план програми оновлюють, зокрема з метою врахування результатів оцінювання, зазначеного в статті 67.

Заяви про інтереси

Члени Правління, виконавчий директор та посадові особи, прикомандировані державами-членами на тимчасовій основі, роблять заяву про зобов’язання та заяву про присутність чи відсутність будь-яких прямих або непрямих інтересів, що можна розглядати як такі, що шкодять їхній незалежності. Такі заяви повинні бути точними та повними, їх необхідно робити в письмовій формі щороку та оновлювати за необхідності.

Члени Правління, виконавчий директор та зовнішні експерти, які є учасниками спеціалізованих робочих груп, не пізніше ніж на початку кожної зустрічі надають точні та повні заяви про будь-який інтерес, який можна вважати шкідливим для їхньої незалежності стосовно питань порядку денного, і утримуються від участі в обговоренні та голосуванні щодо таких питань.

ENISA встановлює у своєму внутрішньому регламенті практичні механізми, пов’язані з правилами надання заяв про інтереси, зазначені у параграфах 1 та 2.

Прозорість

ENISA виконує свою діяльність з дотриманням високого рівня прозорості та відповідно до статті 28.

ENISA забезпечує надання громадськості та будь-яким заінтересованим сторонам відповідної об’єктивної, достовірної і доступної інформації, зокрема про результати своєї роботи. ENISA також оприлюднює заяви про інтереси, зроблені відповідно до статті 25.

Правління на пропозицію виконавчого директора може дозволити заінтересованим сторонам брати участь у певних видах діяльності ENISA як спостерігачам.

ENISA встановлює у своєму внутрішньому регламенті практичні заходи для імплементації правил прозорості, вказаних у параграфах 1 та 2.

Конфіденційність

Без обмеження статті 28, ENISA не розголошує третім сторонам інформацію, яку воно опрацьовує або отримує та стосовно якої надійшов обґрунтований запит на конфіденційне використання.

Члени Правління, виконавчий директор, члени Консультативної групи ENISA, зовнішні експерти, які є учасниками спеціалізованих робочих груп, та члени персоналу ENISA, у тому числі посадові особи, прикомандировані державами-членами на тимчасовій основі, повинні дотримуватися вимог конфіденційності, передбачених статтею 339 ДФЄС, навіть після припинення виконання своїх обов’язків.

ENISA встановлює у своєму внутрішньому регламенті практичні механізми для імплементації правил конфіденційності, вказаних у параграфах 1 та 2.

Якщо цього вимагає виконання завдань ENISA, Правління ухвалює рішення дозволити ENISA працювати з секретною інформацією. У такому разі ENISA, за погодженням зі службами Комісії, ухвалює правила безпеки із застосуванням принципів безпеки, визначених у рішеннях Комісії (ЄС, Євратом) 2015/443 (26) та 2015/444 (27). Такі правила безпеки включають положення про обмін секретною інформацією, її опрацювання та зберігання.

Доступ до документів

Регламент (ЄС) № 1049/2001 застосовується до документів у розпорядженні ENISA.

Правління ухвалює механізми імплементації Регламенту (ЄС) № 1049/2001 до 28 грудня 2019 року.

Рішення, ухвалені агентством ENISA відповідно до статті 8 Регламенту (ЄС) № 1049/2001, можуть бути оскаржені через Європейського Омбудсмана відповідно до статті 228 ДФЄС або можуть бути предметом позову в Суді Європейського Союзу відповідно до статті 263 ДФЄС.

Формування і структура бюджету ENISA

Формування бюджету ENISA

Кожного року виконавчий директор складає проєкт кошторису доходів і видатків ENISA на наступний фінансовий рік і передає його Правлінню разом із проєктом бюджету. Доходи та видатки повинні бути збалансовані.

Кожного року Правління на основі проєкту кошторису доходів і видатків складає кошторис доходів і видатків ENISA на наступний фінансовий рік.

До 31 січня кожного року Правління надсилає кошторис доходів і видатків, який є частиною проєкту єдиного програмного документу, Комісії та третім країнам, із якими Союз уклав угоди, як зазначено у статті 42(2).

На основі кошторису Комісія включає в проєкт загального бюджету Союзу суми, які вона вважає необхідними для штатного розпису, та розмір внеску, який підлягає стягненню до загального бюджету Союзу, який вона подає Європейському Парламенту і Раді згідно зі статтею 314 ДФЄС.

Європейський Парламент і Рада надають дозвіл на виділення асигнувань для внеску Союзу в ENISA.

Європейський Парламент і Рада ухвалюють штатний розпис ENISA.

Правління ухвалює бюджет ENISA разом із єдиним програмним документом. Бюджет ENISA стає остаточним після остаточного ухвалення загального бюджету Союзу. У разі необхідності Правління вносить корегування до бюджету ENISA та до єдиного програмного документу відповідно до загального бюджету Союзу.

Виконання бюджету ENISA

Виконавчий директор відповідає за виконання бюджету ENISA.

Внутрішній аудитор Комісії виконує ті самі повноваження щодо ENISA, що й щодо інших департаментів Комісії.

Бухгалтер ENISA надсилає попередню фінансову звітність за фінансовий рік (рік N) бухгалтеру Комісії та Рахунковій палаті до 1 березня наступного фінансового року (рік N+1).

Отримавши застереження Рахункової палати до попередньої фінансової звітності ENISA відповідно до статті 246 Регламенту Європейського Парламенту і Ради (ЄС, Євратом) 2018/1046 (28), бухгалтер ENISA складає остаточну фінансову звітність ENISA під свою відповідальність і передає її Правлінню для отримання висновку.

Правління надає висновок щодо остаточної фінансової звітності ENISA.

До 31 березня року N+1 виконавчий директор передає звіт про бюджетне та фінансове управління Європейському Парламенту, Раді, Комісії та Рахунковій палаті.

До 1 липня року N+1 бухгалтер ENISA передає остаточну фінансову звітність ENISA Європейському Парламенту, Раді, бухгалтеру Комісії і Рахунковій палаті разом із висновком Правління.

У день передачі остаточної фінансової звітності ENISA бухгалтер ENISA також надсилає до Рахункової палати підсумковий лист стосовно такої остаточної фінансової звітності з копією для бухгалтера Комісії.

До 15 листопада року N+1 виконавчий директор оприлюднює остаточну фінансову звітність ENISA в Офіційному віснику Європейського Союзу.

До 30 вересня року N+1 виконавчий директор надсилає до Рахункової палати відповідь на її застереження, а також надсилає копію такої відповіді Правлінню та Комісії.

На запит Європейського Парламенту виконавчий директор надає йому будь-яку інформацію, необхідну для безперешкодного застосування процедури звільнення від відповідальності за виконання бюджету для відповідного фінансового року згідно зі статтею 261(3) Регламенту (ЄС, Євратом) 2018/1046.

За рекомендацією Ради Європейський Парламент звільняє виконавчого директора від відповідальності за виконання бюджету за рік N не пізніше 15 травня року N+2.

Боротьба з шахрайством

Для сприяння боротьбі з шахрайством, корупцією та іншою незаконною діяльністю відповідно до Регламенту Європейського Парламенту і Ради (ЄС, Євратом) № 883/2013 (29), ENISA повинне до 28 грудня 2019 року приєднатися до Міжінституційної угоди між Європейським Парламентом, Радою Європейського Союзу і Комісією Європейських Співтовариств від 25 травня 1999 року щодо внутрішніх розслідувань Європейського бюро боротьби із шахрайством (OLAF) (30). ENISA повинне ухвалити відповідні положення, застосовні до всіх працівників ENISA, із використанням зразка, визначеного в додатку до зазначеної Угоди.

Рахункова палата має повноваження проводити аудит, на підставі документів та виїзних інспектувань, усіх бенефіціарів грантів, підрядників і субпідрядників, які отримали кошти Союзу від ENISA.

Європейське бюро боротьби із шахрайством може проводити розслідування, у тому числі виїзні перевірки та інспектування, відповідно до положень і процедур, установлених у Регламенті (ЄС, Євратом) № 883/2013 та Регламенті Ради (Євратом, ЄС) № 2185/96 (31), з метою встановлення факту шахрайства, корупції або будь-якої іншої незаконної діяльності, що негативно впливає на фінансові інтереси Союзу, у зв’язку з грантом або договором, що фінансується ENISA.

Без обмеження параграфів 1, 2 і 3 угоди про співпрацю з третіми країнами або міжнародними організаціями, договори, грантові угоди та грантові рішення ENISA повинні містити положення, які прямо уповноважують Рахункову палату та Європейське бюро боротьби із шахрайством проводити такі аудити й розслідування відповідно до їхніх компетенцій.

Персонал

Виконавчий директор

Виконавчого директора залучають як тимчасового агента ENISA відповідно до пункту (a) статті 2 Умов працевлаштування інших службовців.

Виконавчого директора призначає Правління зі списку кандидатів, запропонованих Комісією, на підставі відкритої та прозорої процедури відбору.

Для цілей укладення трудового договору з виконавчим директором, ENISA представлене головою Правління.

Перед призначенням обраного Правлінням кандидата запрошують зробити заяву перед відповідним комітетом Європейського Парламенту та відповісти на запитання його членів.

Строк перебування на посаді виконавчого директора становить п’ять років. По закінченню зазначеного строку Комісія проводить оцінювання діяльності виконавчого директора та майбутніх завдань і викликів ENISA.

Правління ухвалює рішення про призначення, подовження строку перебування на посаді або звільнення з посади виконавчого директора відповідно до статті 18(2).

Правління, діючи за пропозицією Комісії, яка враховує оцінювання, зазначене в параграфі 5, може одноразово подовжити строк дії повноважень виконавчого директора ще на п’ять років.

Правління інформує Європейський Парламент про свій намір подовжити строк дії повноважень виконавчого директора. За три місяці до такого подовження дії повноважень виконавчого директора можуть запросити зробити заяву перед відповідним комітетом Європейського Парламенту і дати відповіді на запитання його членів.

Виконавчий директор, строк дії повноважень якого було подовжено, не може брати участі в наступній процедурі відбору на таку саму посаду.

Виконавчого директора можуть звільнити з посади тільки за рішенням Правління, яке діє на підставі пропозиції Комісії.

Прикомандировані національні експерти та інший персонал

ENISA може залучати прикомандированих національних експертів або інший персонал, який не працює в ENISA. Положення про персонал та Умови працевлаштування інших службовців до такого персоналу не застосовуються.

Правління ухвалює рішення, у якому встановлює правила прикомандирування національних експертів до ENISA.

Загальні положення, що стосуються ENISA

Правовий статус ENISA

ENISA є органом Союзу й має правосуб’єктність.

У кожній державі-члені ENISA користується найширшою правоздатністю, що надається юридичним особам відповідно до національного права. ENISA може, зокрема, набувати або розпоряджатися рухомим та нерухомим майном і виступати учасником судових проваджень.

Представництво ENISA здійснює його виконавчий директор.

Відповідальність ENISA

Договірну відповідальність ENISA регулює право, застосовне до відповідного договору.

Суд Європейського Союзу має юрисдикцію ухвалювати рішення відповідно до будь-якого арбітражного застереження, що міститься в договорі, укладеному ENISA.

У разі недоговірної відповідальності ENISA відшкодовує будь-які збитки, завдані ним або його персоналом під час виконання ними своїх службових обов’язків, відповідно до загальних принципів, які є спільними для права держав-членів.

Суд Європейського Союзу має юрисдикцію щодо розгляду будь-якого спору, пов’язаного з відшкодуванням збитків, як зазначено в параграфі 3.

Особисту відповідальність персоналу ENISA перед ENISA визначають відповідні умови, що застосовуються до персоналу ENISA.

Положення щодо мов

До ENISA застосовуються положення Регламенту Ради № 1 (32). Держави-члени та інші органи, призначені державами-членами, можуть звертатися до ENISA та отримувати відповідь офіційною мовою обраних ними установ Союзу.

Послуги з перекладу, необхідні для функціонування ENISA, надає Центр перекладу для органів Європейського Союзу.

Захист персональних даних

Опрацювання персональних даних агентством ENISA підпадає під дію Регламенту (ЄС) 2018/1725.

Правління ухвалює імплементаційні правила, як зазначено в статті 45(3) Регламенту (ЄС) 2018/1725. Правління може ухвалювати додаткові заходи, необхідні для застосування ENISA Регламенту (ЄС) 2018/1725.

Співпраця з третіми країнами та міжнародними організаціями

Наскільки це необхідно для досягнення цілей, визначених у цьому Регламенті, ENISA може співпрацювати з компетентними органами третіх країн та міжнародними організаціями. Для цього ENISA може укладати робочі угоди з органами третіх країн та міжнародними організаціями за умови попереднього схвалення Комісії. Такі робочі угоди не створюють юридичних зобов’язань для Союзу і його держав-членів.

ENISA відкрите для участі третіх країн, які уклали угоди з Союзом про таку участь. Згідно з відповідними положеннями таких угод відбувається укладання робочих угод, у яких, зокрема, визначаються характер, обсяг та спосіб участі таких третіх країн у роботі ENISA, і вони повинні включати положення, що стосуються участі в ініціативах ENISA, фінансових внесків та персоналу. Стосовно персоналу, такі робочі угоди в будь-якому разі повинні відповідати Положенню про персонал та Умовам працевлаштування інших службовців.

Правління ухвалює стратегію щодо відносин із третіми країнами та міжнародними організаціями в питаннях, що належать до компетенції ENISA. Комісія забезпечує діяльність ENISA в межах свого мандата та наявних інституційних рамок шляхом укладення відповідних робочих угод з виконавчим директором.

Угода про штаб-квартиру та умови функціонування

Необхідні домовленості стосовно розміщення, передбаченого для ENISA в державі-члені ведення діяльності, та обладнання, яке буде надано такою державою-членом, разом зі спеціальними правилами, застосовними в державі-члені ведення діяльності до виконавчого директора, членів Правління, персоналу ENISA та членів їхніх родин, повинні бути встановлені в угоді про штаб-квартиру, укладеній між ENISA і державою-членом ведення діяльності після отримання схвалення Правління.

Держава-член ведення діяльності ENISA надає найкращі умови для забезпечення належної діяльності ENISA з урахуванням доступності розташування, наявності належних закладів освіти для дітей працівників персоналу, належного доступу до ринку праці, соціального захисту та медичного обслуговування для дітей та дружин/чоловіків працівників персоналу.

РОЗДІЛ IV ПРИКІНЦЕВІ ПОЛОЖЕННЯ

Процедура комітету

Комісії допомагає комітет. Цей комітет є комітетом у розумінні Регламенту (ЄС) № 182/2011.

У разі покликання на цей параграф застосовують пункт (b) статті 5(4) Регламенту (ЄС) № 182/2011.

Оцінювання й перегляд

До 28 червня 2024 року та кожні наступні п’ять років Комісія оцінює вплив та ефективність ENISA та його методів роботи, можливу необхідність зміни мандату та фінансові наслідки будь-якої такої зміни. В оцінюванні враховують будь-який зворотній зв’язок, наданий ENISA стосовно його діяльності. Якщо Комісія вважає, що продовження діяльності ENISA більше не є обґрунтованим з огляду на цілі, мандат та завдання, покладені на нього, тоді Комісія може запропонувати внесення змін до цього Регламенту, що стосуються пов’язаних із ENISA положень.

До 28 червня 2024 року та кожні наступні п’ять років Комісія передає звіт про оцінювання разом зі своїми висновками Європейському Парламенту, Раді та Правлінню. Інформацію, зазначену в такому звіті, оприлюднюють.

У ході оцінювання оцінюють вплив та дієвість положень розділу III цього Регламенту стосовно цілей із забезпечення належного рівня кібербезпеки продуктів ІКТ, послуг ІКТ та процесів ІКТ в Союзі та покращення функціонування внутрішнього ринку.

У ході оцінювання оцінюють, чи необхідні суттєві вимоги кібербезпеки для доступу до внутрішнього ринку, щоб запобігти надходженню на ринок Союзу продуктів ІКТ, послуг ІКТ та процесів ІКТ, які не відповідають базовим вимогам кібербезпеки.

Скасування та правонаступництво

Регламент (ЄС) № 526/2013 скасовано з 27 червня 2019 року.

Покликання на Регламент (ЄС) № 526/2013 та на ENISA, як визначено в зазначеному Регламенті, необхідно тлумачити як покликання на цей Регламент та на ENISA, як визначено в цьому Регламенті.

ENISA, створене відповідно до цього Регламенту, є наступником ENISA, створеного відповідно до Регламенту (ЄС) № 526/2013, стосовно всіх прав власності, угод, юридичних зобов’язань, трудових договорів, фінансових зобов’язань та відповідальності. Усі рішення Правління та Виконавчої ради, ухвалені відповідно до Регламенту (ЄС) № 526/2013, залишаються чинними, якщо вони відповідають цьому Регламенту.

ENISA створюють на невизначений період з 27 червня 2019 року.

Виконавчий директор, призначений відповідно до статті 24(4) Регламенту (ЄС) № 526/2013, залишається на посаді та виконує обов’язки виконавчого директора, як зазначено в статті 20 цього Регламенту, до завершення терміну перебування на посаді виконавчого директора. Інші умови його або її договору залишаються незмінними.

Члени Правління та їхні заступники, призначені відповідно до статті 6 Регламенту (ЄС) № 526/2013, залишаються на посаді та виконують функції Правління, як зазначено в статті 15 цього Регламенту, до завершення терміну їхнього перебування на посаді.

Набуття чинності

Цей Регламент набуває чинності на двадцятий день після його публікації в Офіційному віснику Європейського Союзу.

Статті 58, 60, 61, 63, 64 та 65 застосовуються з 28 червня 2021 року.