Държавите членки трябва да определят или да създават един или повече органи за управление на киберкризи, отговарящи за управлението на мащабните киберинциденти
За да се улесни съставянето и актуализирането на списъка на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни, в член 3, параграф 4 от Директива (ЕС) 2022/2555 се предвижда, че държавите членки следва да могат да установят национални механизми, чрез които субектите да се регистрират.
Съгласно член 27, параграф 5 от Директива (ЕС) 2022/2555 информацията, посочена в член 27, параграфи 2 и 3 от посочената директива, се представя чрез националния механизъм, посочен в член 3, параграф 4 от директивата, когато е приложимо. Затова за постигането на по-голяма административна ефективност, образецът, приложен като приложение към настоящите насоки, включва също така искания за информация, изисквана за целите както на член 3, параграф 3, така и на член 27, параграф 2 от Директива (ЕС) 2022/2555. Образецът е създаден със съдействието на ENISA.
Това пише в публикуваните през септември насоки на ЕК за прилагане на член 3, параграф 4 от Директива (ЕС) 2022/2555 (Директива МИС 2).
По силата на член 3, параграф 4 от Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза (Директива МИС 2), Комисията, със съдействието на Агенцията на Европейския съюз за киберсигурност (ENISA), предоставя без ненужно забавяне насоки и образци по отношение на задълженията, определени в посочената разпоредба. Член 3, параграф 4 от Директива (ЕС) 2022/2555 се отнася до член 3, параграф 3 от посочената директива, в който се изисква до 17 април 2025 г. държавите членки да изготвят списък на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни. Държавите членки трябва да извършват преглед на списъка и по целесъобразност да го актуализират редовно и най-малко на всеки две години след това.
За целите на съставянето на списъка на съществените и важните субекти държавите членки следва да изискват от субектите да предоставят на компетентните органи най-малко следната информация: наименованието, адреса и актуалните данни за връзка, включително адресите на електронна поща, IP обхватите и телефонните номера на субекта и когато е приложимо, съответния сектор и подсектор, посочен в приложенията, както и когато е приложимо списък на държавите членки, в които те предоставят услуги, попадащи в обхвата на директивата. В приложение I към настоящите насоки се съдържа образец за събиране на тази информация за целите на съставянето на списъка.
За да се улесни съставянето и актуализирането на списъка на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни, в член 3, параграф 4 от Директива (ЕС) 2022/2555 се предвижда, че държавите членки следва да могат да установят национални механизми, чрез които субектите да се регистрират.
Съгласно член 3, параграф 5 от Директива (ЕС) 2022/2555 до 17 април 2025 г. и на всеки две години след това държавите членки трябва да уведомят Комисията и групата за сътрудничество най-малко относно броя на съществените и важните субекти, изброени в съответствие с член 3, параграф 3 от посочената директива, за всеки сектор и подсектор, посочени в приложения I и II към директивата. Държавите членки трябва също така да уведомяват Комисията относно относимата информация за броя на съществените и важните субекти, определени съгласно член 2, параграф 2, букви б)—д) от Директива (ЕС) 2022/2555, за сектора и подсектора, към който принадлежат, за вида на услуга, която предоставят и за разпоредбата, съгласно която са били определени. В съображение 19 от преамбюла на Директива (ЕС) 2022/2555 се пояснява, че държавите членки се насърчават да обменят с Комисията информация относно съществените и важните субекти, а в случай на мащабен киберинцидент — относимата информация, като например наименованието на съответния субект.
В Насоки на Комисията за прилагане на член 4, параграфи 1 и 2 от Директива (ЕС) 2022/2555 (Директива МИС 2) има раздел II.2.2. Многоетапен подход и времева рамка за докладване на значителни инциденти.
Там пише, че в Директива (ЕС) 2022/2555 се определя многоетапен подход по отношение на докладването на значителни инциденти, който предполага ранно предупреждение, уведомление за инцидент и окончателен доклад. Тези три елемента могат да се допълнят от междинни доклади и доклад за напредъка.
С многоетапният подход се цели постигане на подходящ баланс между бързото докладване, което подпомага ограничаването на потенциалното разпространение на значителни инциденти и позволява на съществените и важните субекти да потърсят подкрепа, от една страна, и задълбоченото докладване, което подпомага извличането на ценни изводи от отделни инциденти и подобряването с течение на времето на киберустойчивостта на отделни субекти или цели сектори, от друга страна.
Съгласно многоетапния подход съществените и важните субекти трябва първо да подадат ранно предупреждение, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването за значителен инцидент, до компетентния ЕРИКС или орган. Впоследствие тези субекти трябва да подадат уведомление за инцидент без ненужно забавяне и във всички случаи в рамките на 72 часа след узнаването на значителен инцидент. След това компетентният ЕРИКС или орган може да поиска междинен доклад. Накрая окончателният доклад трябва да бъде предоставен на компетентния ЕРИКС или орган не по-късно от един месец след подаването на уведомлението за инцидент, освен в случай на текущ към този момент инцидент, като в този случай трябва да се предостави доклад за напредъка и окончателен доклад в срок от един месец от справянето с инцидента.
Доставчиците на удостоверителни услуги разполагат с различна времева рамка за уведомяването за определения в член 23, параграф 4, втора алинея от Директива (ЕС) 2022/2555 инцидент. Тези доставчици трябва да уведомяват за значителни инциденти, свързани с предоставянето на техните удостоверителни услуги, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването на значителен инцидент.
Насоки на Комисията за прилагане на член 3, параграф 4 от Директива (ЕС) 2022/2555 (Директива МИС 2)
Насоки на Комисията за прилагане на член 4, параграфи 1 и 2 от Директива (ЕС) 2022/2555 (Директива МИС 2)