(1)

Η χρήση των τεχνολογιών πληροφοριών και επικοινωνιών και η εξάρτηση από αυτές είναι πλέον θεμελιώδεις πτυχές σε όλους τους τομείς της οικονομικής δραστηριότητας και της κοινωνίας, υπό το πρίσμα της συνεχώς αυξανόμενης διασυνδεσιμότητας και αλληλεξάρτησης των δημόσιων διοικήσεων, των επιχειρήσεων και των πολιτών των κρατών μελών, πέρα από τομείς και σύνορα, γεγονός που συνεπάγεται ταυτόχρονα πιθανές ευπάθειες.

(2)

Το μέγεθος, η συχνότητα και οι επιπτώσεις των περιστατικών κυβερνοασφάλειας, συμπεριλαμβανομένων των επιθέσεων στην αλυσίδα εφοδιασμού με σκοπό την κυβερνοκατασκοπεία, την εγκατάσταση λυτρισμικού ή την πρόκληση διαταραχών, αυξάνονται τόσο σε επίπεδο Ένωσης όσο και παγκόσμια. Αποτελούν μείζονα απειλή για τη λειτουργία των συστημάτων δικτύου και πληροφοριών. Ενόψει του ταχέως εξελισσόμενου τοπίου των απειλών, η απειλή πιθανών περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας που προκαλούν σημαντική διαταραχή ή ζημία σε κρίσιμες υποδομές απαιτεί αυξημένη ετοιμότητα του πλαισίου κυβερνοασφάλειας της Ένωσης. Η απειλή αυτή υπερβαίνει τον επιθετικό πόλεμο της Ρωσίας κατά της Ουκρανίας και είναι πιθανό να συνεχίσει να υφίσταται, δεδομένης της πληθώρας των παραγόντων που εμπλέκονται στις τρέχουσες γεωπολιτικές εντάσεις. Τέτοια περιστατικά μπορούν να παρεμποδίσουν την παροχή δημόσιων υπηρεσιών, καθώς οι κυβερνοεπιθέσεις έχουν συχνά ως στόχο τοπικές, περιφερειακές ή εθνικές δημόσιες υπηρεσίες και υποδομές, ενώ οι τοπικές αρχές είναι ιδιαίτερα ευάλωτες, μεταξύ άλλων λόγω των περιορισμένων πόρων τους. Μπορούν επίσης να παρεμποδίσουν την άσκηση οικονομικών δραστηριοτήτων, μεταξύ άλλων σε τομείς υψηλής κρισιμότητας ή άλλους κρίσιμους τομείς, να προκαλέσουν σημαντικές οικονομικές ζημίες, να υπονομεύσουν την εμπιστοσύνη των χρηστών, να προκαλέσουν σημαντική ζημία στην οικονομία και τα δημοκρατικά συστήματα της Ένωσης, και μπορούν ακόμη και να έχουν συνέπειες που απειλούν την υγεία ή τη ζωή. Επιπλέον, τα περιστατικά κυβερνοασφάλειας είναι απρόβλεπτα, καθώς συχνά εμφανίζονται και εξελίσσονται γρήγορα, δεν περιορίζονται σε κάποια συγκεκριμένη γεωγραφική περιοχή και συμβαίνουν ταυτόχρονα ή εξαπλώνονται αμέσως σε πολλές χώρες. Είναι σημαντικό να υπάρχει στενή συνεργασία μεταξύ του δημόσιου τομέα, του ιδιωτικού τομέα, της ακαδημαϊκής κοινότητας, της κοινωνίας των πολιτών και των μέσων ενημέρωσης.

(3)

Είναι απαραίτητο να ενισχυθεί η ανταγωνιστική θέση των τομέων της βιομηχανίας και των υπηρεσιών στην Ένωση σε ολόκληρη την ψηφιοποιημένη οικονομία και να στηριχθεί ο ψηφιακός μετασχηματισμός τους, διά της ενίσχυσης του επιπέδου κυβερνοασφάλειας στην ψηφιακή ενιαία αγορά, όπως συνιστάται σε τρεις διαφορετικές προτάσεις της Διάσκεψης για το μέλλον της Ευρώπης. Είναι αναγκαίο να αυξηθεί η ανθεκτικότητα των πολιτών, των επιχειρήσεων, συμπεριλαμβανομένων των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων και των νεοφυών επιχειρήσεων, και των οντοτήτων που διαχειρίζονται κρίσιμες υποδομές, έναντι των αυξανόμενων κυβερνοαπειλών, οι οποίες μπορούν να έχουν καταστροφικές κοινωνικές και οικονομικές επιπτώσεις. Ως εκ τούτου, απαιτούνται επενδύσεις σε υποδομές και υπηρεσίες, καθώς και ικανότητες ανάπτυξης δεξιοτήτων κυβερνοασφάλειας που θα στηρίξουν την ταχύτερη ανίχνευση και ταχύτερη αντιμετώπιση κυβερνοαπειλών και περιστατικών κυβερνοασφάλειας. Επιπροσθέτως, τα κράτη μέλη χρειάζονται βοήθεια για την καλύτερη προετοιμασία για σημαντικά περιστατικά κυβερνοασφάλειας και περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας, και την αντιμετώπισή τους, καθώς και βοήθεια κατά την αρχική ανάκαμψη από τα περιστατικά αυτά. Η Ένωση θα πρέπει επίσης να αυξήσει τις ικανότητές της σε αυτούς τους τομείς, ιδίως όσον αφορά τη συλλογή και ανάλυση δεδομένων σχετικά με κυβερνοαπειλές και περιστατικά κυβερνοασφάλειας, βασιζόμενη στις υφιστάμενες δομές και σε στενή συνεργασία με αυτές.

(4)

Η Ένωση έχει ήδη λάβει σειρά μέτρων για τη μείωση των ευπαθειών και την αύξηση της ανθεκτικότητας των κρίσιμων υποδομών και οντοτήτων έναντι των κινδύνων, ιδίως με τον κανονισμό (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), τις οδηγίες 2013/40/ΕΕ (6) και (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (7) και τη σύσταση (ΕΕ) 2017/1584 της Επιτροπής (8). Επιπλέον, η σύσταση του Συμβουλίου της 8ης Δεκεμβρίου 2022 σχετικά με συντονισμένη προσέγγιση σε επίπεδο Ένωσης με σκοπό την ενίσχυση της ανθεκτικότητας των κρίσιμων υποδομών καλεί τα κράτη μέλη να λάβουν μέτρα και να συνεργαστούν μεταξύ τους, με την Επιτροπή και άλλες σχετικές δημόσιες αρχές, καθώς και με τις οικείες οντότητες, για την ενίσχυση της ανθεκτικότητας των κρίσιμων υποδομών που χρησιμοποιούνται για την παροχή βασικών υπηρεσιών στην εσωτερική αγορά.

(5)

Οι αυξανόμενοι κίνδυνοι κυβερνοασφάλειας και ένα συνολικά σύνθετο τοπίο απειλών, με σαφή κίνδυνο ταχείας πρόκλησης δευτερογενών επιπτώσεων από τα περιστατικά στον κυβερνοχώρο από ένα κράτος μέλος σε άλλα και από τρίτη χώρα στην Ένωση, απαιτούν την ενίσχυση της αλληλεγγύης σε επίπεδο Ένωσης για την καλύτερη ανίχνευση, προετοιμασία, αντιμετώπιση και ανάκαμψη για κυβερνοαπειλές και περιστατικά κυβερνοασφάλειας, ιδίως με την ενίσχυση των ικανοτήτων υφιστάμενων δομών. Επιπλέον, στο πλαίσιο των συμπερασμάτων του Συμβουλίου σχετικά με τη διαμόρφωση της στάσης της ΕΕ στον κυβερνοχώρο το Συμβούλιο κάλεσε την Επιτροπή να υποβάλει πρόταση σχετικά με ένα νέο ταμείο αντιμετώπισης καταστάσεων έκτακτης ανάγκης στον τομέα της κυβερνοασφάλειας.

(6)

Η κοινή ανακοίνωση της Επιτροπής και του Ύπατου Εκπροσώπου της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφαλείας, της 10ης Νοεμβρίου 2022, που υποβλήθηκε στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο σχετικά με την πολιτική της ΕΕ για την κυβερνοάμυνα, ανήγγειλε μια πρωτοβουλία αλληλεγγύης της ΕΕ στον κυβερνοχώρο με στόχο την ενίσχυση των κοινών ικανοτήτων ανίχνευσης, την αντίληψη της κατάστασης και την αντίδραση της ΕΕ μέσω της προώθησης της ανάπτυξης υποδομής κέντρων επιχειρήσεων ασφάλειας της ΕΕ («SOC»), την στήριξη της σταδιακής δημιουργίας εφεδρείας στον τομέα της κυβερνοασφάλειας σε επίπεδο ΕΕ με υπηρεσίες από αξιόπιστους ιδιωτικούς παρόχους και την δοκιμή κρίσιμων οντοτήτων για πιθανά τρωτά σημεία με βάση εκτιμήσεις κινδύνου της ΕΕ.

(7)

Είναι αναγκαίο να ενισχυθούν η ανίχνευση και η αντίληψη της κατάστασης όσον αφορά τις κυβερνοαπειλές και τα περιστατικά σε ολόκληρη την Ένωση και να ενισχυθεί η αλληλεγγύη με την ενίσχυση της ετοιμότητας και των ικανοτήτων των κρατών μελών και της Ένωσης για την πρόληψη και την αντιμετώπιση σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας. Κατά συνέπεια, θα πρέπει να αναπτυχθεί πανευρωπαϊκό δίκτυο κυβερνοκόμβων («ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια») για τη δημιουργία συντονισμένων ικανοτήτων ανίχνευσης και αντίληψης της κατάστασης, για την ενίσχυση της ικανότητας της Ένωσης για τον εντοπισμό απειλών και την ανταλλαγή πληροφοριών· θα πρέπει να δημιουργηθεί μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια, με σκοπό τη στήριξη των κρατών μελών, κατόπιν αιτήματός τους, όσον αφορά την προετοιμασία, την αντιμετώπιση, τον μετριασμό των επιπτώσεων και την αρχική ανάκαμψη από σημαντικά περιστατικά κυβερνοασφάλειας και περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας και για την υποστήριξη άλλων χρηστών για την αντιμετώπιση σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας· και θα πρέπει να θεσπιστεί ευρωπαϊκός μηχανισμός εξέτασης περιστατικών κυβερνοασφάλειας για την εξέταση και την αξιολόγηση συγκεκριμένων σημαντικών περιστατικών κυβερνοασφάλειας ή περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας. Οι δράσεις στο πλαίσιο του παρόντος κανονισμού θα πρέπει να διεξάγονται με τον δέοντα σεβασμό προς τις αρμοδιότητες των κρατών μελών και θα πρέπει να συμπληρώνουν και να μην επικαλύπτουν τις δραστηριότητες που διεξάγονται από το δίκτυο CSIRT, το ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για τις κρίσεις στον κυβερνοχώρο (EU-CyCLONe) και την ομάδα συνεργασίας (ομάδα συνεργασίας NIS), που συστάθηκαν όλα δυνάμει της οδηγίας (ΕΕ) 2022/2555. Οι εν λόγω δράσεις δεν θίγουν τα άρθρα 107 και 108 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ).

(8)

Για την επίτευξη των στόχων αυτών, είναι επίσης αναγκαίο να τροποποιηθεί ο κανονισμός (ΕΕ) 2021/694 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (9) σε ορισμένους τομείς. Ειδικότερα, ο παρών κανονισμός θα πρέπει να τροποποιήσει τον κανονισμό (ΕΕ) 2021/694 όσον αφορά την προσθήκη νέων επιχειρησιακών στόχων που σχετίζονται με το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια και τον μηχανισμό έκτακτης ανάγκης στον κυβερνοχώρο στο πλαίσιο του ειδικού στόχου 3 του προγράμματος «Ψηφιακή Ευρώπη», ο οποίος αποσκοπεί στη διασφάλιση της ανθεκτικότητας, της ακεραιότητας και της αξιοπιστίας της ψηφιακής ενιαίας αγοράς, στην ενίσχυση των ικανοτήτων παρακολούθησης των κυβερνοεπιθέσεων και κυβερνοαπειλών και στην αντιμετώπιση αυτών, καθώς και στην ενίσχυση της διασυνοριακής συνεργασίας και του διασυνοριακού συντονισμού στον τομέα της κυβερνοασφάλειας. Το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα μπορούσε να διαδραματίσει σημαντικό ρόλο στη στήριξη των κρατών μελών όσον αφορά την πρόβλεψη κυβερνοαπειλών και την προστασία από αυτές, και η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα μπορούσε να διαδραματίσει σημαντικό ρόλο στη στήριξη των κρατών μελών, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης και των τρίτων χωρών συνδεδεμένων με το πρόγραμμα «Ψηφιακή Ευρώπη» για την αντιμετώπιση και τον μετριασμό των επιπτώσεων σημαντικών περιστατικών κυβερνοασφάλειας, περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας και περιστατικών ισοδύναμων με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας. Στις επιπτώσεις αυτές θα μπορούσαν να περιλαμβάνονται σημαντικές υλικές ή μη υλικές ζημίες και σοβαροί κίνδυνοι για τη δημόσια προστασία και ασφάλεια. Υπό το πρίσμα των ειδικών ρόλων που θα μπορούσαν να διαδραματίσουν το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια και η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, με τον παρόντα κανονισμό θα πρέπει να τροποποιηθεί ο κανονισμός (ΕΕ) 2021/694 όσον αφορά τη συμμετοχή νομικών οντοτήτων που είναι εγκατεστημένες στην Ένωση αλλά ελέγχονται από τρίτες χώρες, όπου υπάρχει πραγματικός κίνδυνος να μην υπάρχουν στην Ένωση τα αναγκαία και επαρκή εργαλεία, υποδομές και υπηρεσίες, ή η αναγκαία και επαρκής τεχνολογία, εμπειρογνωσία και ικανότητα, και τα οφέλη της συμπερίληψης των οντοτήτων αυτών υπερτερούν του κινδύνου για την ασφάλεια. Θα πρέπει να θεσπιστούν οι ειδικές προϋποθέσεις υπό τις οποίες μπορεί να χορηγηθεί χρηματοδοτική στήριξη για δράσεις υλοποίησης του ευρωπαϊκού συστήματος προειδοποίησης για την κυβερνοασφάλεια και της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, και να καθοριστούν οι μηχανισμοί διακυβέρνησης και συντονισμού που απαιτούνται για την επίτευξη των επιδιωκόμενων στόχων. Άλλες τροποποιήσεις του κανονισμού (ΕΕ) 2021/694 θα πρέπει να περιλαμβάνουν περιγραφές των προτεινόμενων δράσεων στο πλαίσιο των νέων επιχειρησιακών στόχων, καθώς και μετρήσιμους δείκτες για την παρακολούθηση της υλοποίησης των εν λόγω νέων επιχειρησιακών στόχων.

(9)

Για να ενισχυθεί η αντίδραση της Ένωσης σε κυβερνοαπειλές και περιστατικά κυβερνοασφάλειας, είναι απολύτως απαραίτητο να υπάρχει συντονισμός με διεθνείς οργανισμούς καθώς και με αξιόπιστους και ομονοούντες διεθνείς εταίρους. Στο πλαίσιο αυτό, ως αξιόπιστοι και ομονοούντες διεθνείς εταίροι θα πρέπει να νοούνται οι χώρες που συμμερίζονται τις αρχές που ενέπνευσαν την δημιουργία της Ένωσης, ιδίως την δημοκρατία, το κράτος δικαίου, την οικουμενικότητα και το αδιαίρετο των ανθρωπίνων δικαιωμάτων και των θεμελιωδών ελευθεριών, τον σεβασμό της ανθρώπινης αξιοπρέπειας, τις αρχές της ισότητας και της αλληλεγγύης, και τον σεβασμό των αρχών του Καταστατικού Χάρτη των Ηνωμένων Εθνών και του διεθνούς δικαίου, και οι οποίες δεν υπονομεύουν τα ουσιώδη συμφέροντα ασφάλειας της Ένωσης ή των κρατών μελών της. Η συνεργασία αυτή θα μπορούσε επίσης να είναι επωφελής όσον αφορά τις δράσεις στο πλαίσιο του παρόντος κανονισμού, ιδίως σε σχέση με το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια και την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας. Ο κανονισμός (ΕΕ) 2021/694 θα πρέπει να προβλέπει ότι, εάν πληρούνται ορισμένες προϋποθέσεις διαθεσιμότητας και ασφάλειας, οι προσκλήσεις υποβολής προσφορών για το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια και την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα μπορούσαν να είναι ανοικτές σε νομικές οντότητες που ελέγχονται από τρίτες χώρες, με την επιφύλαξη των απαιτήσεων ασφάλειας. Όταν εξετάζεται εάν αυτό το άνοιγμα των δημοσίων συμβάσεων συνεπάγεται κίνδυνο για την ασφάλεια, είναι σημαντικό να λαμβάνονται υπόψη οι αρχές και οι αξίες που μοιράζεται η Ένωση με ομονοούντες διεθνείς εταίρους, στην περίπτωση που οι εν λόγω αρχές και αξίες σχετίζονται με ουσιώδη συμφέροντα ασφάλειας της Ένωσης. Επιπλέον, όταν εξετάζονται τέτοιες απαιτήσεις ασφάλειας βάσει του κανονισμού (ΕΕ) 2021/694, θα μπορούσαν να λαμβάνονται υπόψη διάφορα στοιχεία, όπως η εταιρική δομή και η διαδικασία λήψης αποφάσεων μιας οντότητας, η ασφάλεια των δεδομένων και των διαβαθμισμένων ή ευαίσθητων πληροφοριών, και η διασφάλιση ότι τα αποτελέσματα της δράσης δεν υπόκεινται σε έλεγχο ή περιορισμούς από μη επιλέξιμες τρίτες χώρες.

(10)

Η χρηματοδότηση των δράσεων στο πλαίσιο του παρόντος κανονισμού θα πρέπει να προβλέπεται στον κανονισμό (ΕΕ) 2021/694, ο οποίος θα πρέπει να εξακολουθήσει να αποτελεί τη συναφή βασική πράξη για τις δράσεις που προβλέπονται στον ειδικό στόχο 3 του προγράμματος «Ψηφιακή Ευρώπη». Οι ειδικές προϋποθέσεις συμμετοχής όσον αφορά κάθε δράση θα προβλέπονται στα σχετικά προγράμματα εργασίας, σύμφωνα με τον κανονισμό (ΕΕ) 2021/694.

(11)

Οι οριζόντιοι δημοσιονομικοί κανόνες που εγκρίθηκαν από το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο βάσει του άρθρου 322 ΣΛΕΕ έχουν εφαρμογή στον παρόντα κανονισμό. Οι κανόνες αυτοί καθορίζονται στον κανονισμό (ΕΕ, Ευρατόμ) 2024/2509 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (10) και ρυθμίζουν ιδίως τις πρακτικές λεπτομέρειες κατάρτισης και εκτέλεσης του προϋπολογισμού της Ένωσης και οργανώνουν επίσης τον έλεγχο της ευθύνης των δημοσιονομικών φορέων. Οι κανόνες που θεσπίζονται βάσει του άρθρου 322 ΣΛΕΕ περιλαμβάνουν επίσης το γενικό καθεστώς αιρεσιμότητας για την προστασία του προϋπολογισμού της Ένωσης, όπως ορίζεται στον κανονισμό (ΕΕ, Ευρατόμ) 2020/2092 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (11).

(12)

Ενώ τα μέτρα πρόληψης και ετοιμότητας είναι απαραίτητα για την ενίσχυση της ανθεκτικότητας της Ένωσης στην αντιμετώπιση σημαντικών περιστατικών κυβερνοασφάλειας, περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας και περιστατικών ισοδύναμων με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας, η εμφάνιση, η χρονική στιγμή και το μέγεθος των εν λόγω περιστατικών είναι εκ φύσεως απρόβλεπτα. Οι χρηματοδοτικοί πόροι που απαιτούνται για την εξασφάλιση επαρκούς αντιμετώπισης μπορεί να διαφέρουν σημαντικά από έτος σε έτος και θα πρέπει να μπορούν να διατίθενται αμέσως. Για να συμβιβαστεί η αρχή της προβλεψιμότητας του προϋπολογισμού με την αναγκαιότητα ταχείας αντίδρασης στις νέες ανάγκες απαιτείται συνεπώς η προσαρμογή της εκτέλεσης του προϋπολογισμού των προγραμμάτων εργασίας. Κατά συνέπεια, ενδείκνυται να εγκριθεί η μεταφορά αχρησιμοποίητων πιστώσεων, που θα περιορίζονται στο επόμενο έτος και θα προορίζονται αποκλειστικά για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας και τις δράσεις στήριξης της αμοιβαίας συνδρομής, επιπλέον της μεταφοράς πιστώσεων βάσει του άρθρου 12 παράγραφος 4 του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509.

(13)

Για την αποτελεσματικότερη πρόληψη, αξιολόγηση, αντιμετώπιση και ανάκαμψη σε σχέση με κυβερνοαπειλές και περιστατικά, είναι αναγκαίο να αναπτυχθούν πληρέστερες γνώσεις σχετικά με τις απειλές κατά κρίσιμων πάγιων στοιχείων και υποδομών στο έδαφος της Ένωσης, συμπεριλαμβανομένης της γεωγραφικής κατανομής, της διασύνδεσης και των δυνητικών επιπτώσεών τους σε περίπτωση κυβερνοεπιθέσεων που επηρεάζουν τις εν λόγω υποδομές. Μια προορατική προσέγγιση για τον εντοπισμό, τον μετριασμό και την πρόληψη κυβερνοαπειλών περιλαμβάνει αυξημένη ικανότητα προηγμένων δυνατοτήτων ανίχνευσης. Το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να αποτελείται από διάφορους διαλειτουργικούς διασυνοριακούς κυβερνοκόμβους, καθένας από τους οποίους συγκεντρώνει τρεις ή περισσότερους εθνικούς κυβερνοκόμβους. Οι εν λόγω υποδομές θα πρέπει να εξυπηρετούν εθνικά και ενωσιακά συμφέροντα και ανάγκες κυβερνοασφάλειας, αξιοποιώντας την τεχνολογία αιχμής για προηγμένα εργαλεία συλλογής σχετικών δεδομένων και πληροφοριών, ανωνυμοποιημένων κατά περίπτωση, και εργαλεία ανάλυσης, ενισχύοντας τις συντονισμένες ικανότητες ανίχνευσης και διαχείρισης στον κυβερνοχώρο και παρέχοντας αντίληψη της κατάστασης σε πραγματικό χρόνο. Οι υποδομές αυτές θα πρέπει να χρησιμεύουν για τη βελτίωση της κατάστασης κυβερνοασφάλειας, με την ενίσχυση της ανίχνευσης, της συγκέντρωσης και της ανάλυσης δεδομένων και πληροφοριών με στόχο την πρόληψη κυβερνοαπειλών και περιστατικών και, ως εκ τούτου, να συμπληρώνουν και να στηρίζουν τις οντότητες και τα δίκτυα της Ένωσης που είναι αρμόδια για τη διαχείριση κρίσεων στην Ένωση, ιδίως το EU-CyCLONe.

(14)

Η συμμετοχή στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια είναι προαιρετική για τα κράτη μέλη. Κάθε κράτος μέλος θα πρέπει να ορίσει μία ενιαία οντότητα σε εθνικό επίπεδο επιφορτισμένη με τον συντονισμό των δραστηριοτήτων ανίχνευσης κυβερνοαπειλών στο εν λόγω κράτος μέλος. Οι εν λόγω εθνικοί κυβερνοκόμβοι θα πρέπει να λειτουργούν ως σημείο αναφοράς και πύλη σε εθνικό επίπεδο για τη συμμετοχή στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια και θα πρέπει να διασφαλίζουν ότι οι πληροφορίες για τις κυβερνοαπειλές από δημόσιες και ιδιωτικές οντότητες ανταλλάσσονται και συλλέγονται σε εθνικό επίπεδο με αποτελεσματικό και εξορθολογισμένο τρόπο. Οι εθνικοί κυβερνοκόμβοι θα μπορούσαν να ενισχύσουν τη συνεργασία και την ανταλλαγή πληροφοριών μεταξύ δημόσιων και ιδιωτικών οντοτήτων και θα μπορούσαν επίσης να στηρίξουν την ανταλλαγή σχετικών δεδομένων και πληροφοριών με σχετικές τομεακές και διατομεακές κοινότητες, συμπεριλαμβανομένων των σχετικών κέντρων ανταλλαγής και ανάλυσης πληροφοριών του κλάδου (ΚΑΑΠ). Η στενή και συντονισμένη συνεργασία μεταξύ δημόσιων και ιδιωτικών οντοτήτων είναι πολύ σημαντική για την ενίσχυση της κυβερνοανθεκτικότητας της Ένωσης. Η εν λόγω συνεργασία αποτελεί ιδιαίτερα πολύτιμο στοιχείο στο πλαίσιο της ανταλλαγής πληροφοριών για τις κυβερνοαπειλές με σκοπό τη βελτίωση της ενεργητικής κυβερνοπροστασίας. Στο πλαίσιο αυτής της συνεργασίας και ανταλλαγής πληροφοριών, οι εθνικοί κυβερνοκόμβοι θα μπορούσαν να ζητούν και να λαμβάνουν συγκεκριμένες πληροφορίες. Οι εν λόγω εθνικοί κυβερνοκόμβοι δεν υποχρεούνται από τον παρόντα κανονισμό να εκτελούν τα αιτήματα αυτά, ούτε και εξουσιοδοτούνται να επιβάλλουν την εκτέλεσή τους. Κατά περίπτωση και σύμφωνα με το ενωσιακό και το εθνικό δίκαιο, οι πληροφορίες που ζητούνται ή λαμβάνονται θα μπορούσαν να περιλαμβάνουν δεδομένα τηλεμετρίας, αισθητήρων και καταγραφής από οντότητες, όπως παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας, που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή άλλους κρίσιμους τομείς εντός του εν λόγω κράτους μέλους, προκειμένου να ενισχυθεί ο ταχύς εντοπισμός δυνητικών κυβερνοαπειλών και περιστατικών σε προγενέστερο στάδιο, και με τον τρόπο αυτό να βελτιωθεί η αντίληψη της κατάστασης. Εάν ο εθνικός κυβερνοκόμβος δεν είναι η αρμόδια αρχή που έχει οριστεί ή συσταθεί από το οικείο κράτος μέλος δυνάμει του άρθρου 8 παράγραφος 1 της οδηγίας (ΕΕ) 2022/2555, είναι ζωτικής σημασίας ο κόμβος αυτός να συντονίζεται με την εν λόγω αρμόδια αρχή όσον αφορά αυτά τα αιτήματα παροχής δεδομένων και την παραλαβή εν λόγω δεδομένων.

(15)

Στο πλαίσιο του ευρωπαϊκού συστήματος προειδοποίησης για την κυβερνοασφάλεια, θα πρέπει να δημιουργηθούν ορισμένοι διασυνοριακοί κυβερνοκόμβοι. Σε αυτούς τους διασυνοριακούς κυβερνοκόμβους θα πρέπει να συμμετέχουν εθνικοί κυβερνοκόμβοι από τουλάχιστον τρία κράτη μέλη, ώστε να μπορούν να επιτευχθούν πλήρως τα οφέλη της διασυνοριακής ανίχνευσης απειλών και της ανταλλαγής και διαχείρισης πληροφοριών. Γενικός στόχος των διασυνοριακών κυβερνοκόμβων θα πρέπει να είναι η ενίσχυση των ικανοτήτων ανάλυσης, πρόληψης και ανίχνευσης κυβερνοαπειλών και η υποστήριξη της παραγωγής υψηλής ποιότητας πληροφοριών για τις κυβερνοαπειλές, ιδίως μέσω της ανταλλαγής σχετικών πληροφοριών, ανωνυμοποιημένων κατά περίπτωση, σε ένα αξιόπιστο και ασφαλές περιβάλλον, από διάφορες πηγές, δημόσιες ή ιδιωτικές, καθώς και μέσω της ανταλλαγής και της κοινής χρήσης εργαλείων αιχμής και της από κοινού ανάπτυξης ικανοτήτων ανίχνευσης, ανάλυσης και πρόληψης σε ένα αξιόπιστο και ασφαλές περιβάλλον. Οι διασυνοριακοί κυβερνοκόμβοι θα πρέπει να παρέχουν νέα πρόσθετη ικανότητα, αξιοποιώντας και συμπληρώνοντας τα υφιστάμενα SOC και τις υφιστάμενες CSIRT και άλλους σχετικούς παράγοντες, συμπεριλαμβανομένου του δικτύου CSIRT.

(16)

Ένα κράτος μέλος που επιλέγεται από το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας (ΕΚΑΚ) που θεσπίστηκε με τον κανονισμό (ΕΕ) 2021/887 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (12) κατόπιν πρόσκλησης εκδήλωσης ενδιαφέροντος για τη δημιουργία, ή ενίσχυση των ικανοτήτων, εθνικού κυβερνοκόμβου, θα πρέπει από κοινού με το ΕΚΑΚ να αγοράζει σχετικά εργαλεία, υποδομές ή υπηρεσίες. Το εν λόγω κράτος μέλος θα πρέπει να είναι επιλέξιμο να λάβει επιχορήγηση για τη λειτουργία των εργαλείων, των υποδομών ή των υπηρεσιών. Μια κοινοπραξία υποδοχής αποτελούμενη από τουλάχιστον τρία κράτη μέλη, η οποία έχει επιλεγεί από το ΕΚΑΚ κατόπιν πρόσκλησης εκδήλωσης ενδιαφέροντος για τη δημιουργία ή την ενίσχυση των ικανοτήτων διασυνοριακού κυβερνοκόμβου, θα πρέπει να αγοράζει σχετικά εργαλεία, υποδομές ή υπηρεσίες από κοινού με το ΕΚΑΚ. Η κοινοπραξία υποδοχής θα πρέπει να είναι επιλέξιμη να λάβει επιχορήγηση για τη λειτουργία των εργαλείων, των υποδομών ή των υπηρεσιών. Η διαδικασία προμήθειας για την αγορά των σχετικών εργαλείων, υποδομών ή υπηρεσιών θα πρέπει να διεξάγεται από κοινού από το ΕΚΑΚ και τις αρμόδιες αναθέτουσες αρχές των κρατών μελών που επιλέγονται κατόπιν των εν λόγω προσκλήσεων εκδήλωσης ενδιαφέροντος. Η εν λόγω προμήθεια θα πρέπει να είναι σύμφωνη με το άρθρο 168 παράγραφος 2 του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509 και με τους δημοσιονομικούς κανόνες του ΕΚΑΚ. Κατά συνέπεια, οι ιδιωτικές οντότητες δεν θα πρέπει να είναι επιλέξιμες για συμμετοχή στις προσκλήσεις εκδήλωσης ενδιαφέροντος για την από κοινού αγορά εργαλείων, υποδομών ή υπηρεσιών με το ΕΚΑΚ, ή για τη λήψη επιχορηγήσεων για τη λειτουργία των εν λόγω εργαλείων, υποδομών ή υπηρεσιών. Ωστόσο, τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να συμπεριλαμβάνουν ιδιωτικές οντότητες στη δημιουργία, την ενίσχυση και τη λειτουργία των εθνικών κυβερνοκόμβων τους και των διασυνοριακών κυβερνοκόμβων με άλλους τρόπους που κρίνουν κατάλληλους, σύμφωνα με το ενωσιακό και το εθνικό δίκαιο. Οι ιδιωτικές οντότητες θα μπορούσαν επίσης να είναι επιλέξιμες για χρηματοδότηση από την Ένωση σύμφωνα με τον κανονισμό (ΕΕ) 2021/887 για τον σκοπό της παροχής στήριξης σε εθνικούς κυβερνοκόμβους.

(17)

Προκειμένου να ενισχυθεί η ανίχνευση κυβερνοαπειλών και η αντίληψη της κατάστασης στην Ένωση, ένα κράτος μέλος που επιλέγεται κατόπιν πρόσκλησης εκδήλωσης ενδιαφέροντος για τη δημιουργία ή την ενίσχυση των ικανοτήτων εθνικού κυβερνοκόμβου, θα πρέπει να δεσμευτεί να υποβάλει αίτηση συμμετοχής σε διασυνοριακό κυβερνοκόμβο. Εάν ένα κράτος μέλος δεν συμμετέχει σε διασυνοριακό κυβερνοκόμβο εντός δύο ετών από την ημερομηνία κατά την οποία αποκτώνται τα εργαλεία, οι υποδομές ή οι υπηρεσίες ή κατά την οποία λαμβάνει χρηματοδότηση μέσω επιχορηγήσεων, όποιο από τα δύο συμβεί νωρίτερα, δεν θα πρέπει να είναι επιλέξιμο να συμμετάσχει σε περαιτέρω ενωσιακές δράσεις στήριξης εντός του πλαισίου του ευρωπαϊκού συστήματος προειδοποίησης για την κυβερνοασφάλεια για την ενίσχυση των ικανοτήτων του εθνικού κυβερνοκόμβου του. Στις περιπτώσεις αυτές, οντότητες από τα κράτη μέλη θα μπορούσαν να συνεχίσουν να συμμετέχουν σε προσκλήσεις υποβολής προτάσεων για άλλα θέματα στο πλαίσιο του προγράμματος «Ψηφιακή Ευρώπη» ή άλλων ενωσιακών χρηματοδοτικών προγραμμάτων, συμπεριλαμβανομένων προσκλήσεων υποβολής προτάσεων για ικανότητες ανίχνευσης κυβερνοαπειλών και ανταλλαγής πληροφοριών, υπό την προϋπόθεση ότι οι εν λόγω οντότητες πληρούν τα κριτήρια επιλεξιμότητας που καθορίζονται στα προγράμματα αυτά.

(18)

Οι CSIRT ανταλλάσσουν πληροφορίες στο πλαίσιο του δικτύου CSIRT, σύμφωνα με την οδηγία (ΕΕ) 2022/2555. Το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να αποτελέσει μια νέα ικανότητα που θα συμπληρώνει το δίκτυο CSIRT, συμβάλλοντας στη δημιουργία μιας ενωσιακής αντίληψης της κατάστασης που θα επιτρέπει την ενίσχυση των ικανοτήτων του δικτύου CSIRT. Οι διασυνοριακοί κυβερνοκόμβοι θα πρέπει να συντονίζονται και να συνεργάζονται στενά με το δίκτυο CSIRT. Θα πρέπει να ενεργούν συγκεντρώνοντας δεδομένα και ανταλλάσσοντας συναφείς πληροφορίες, ανωνυμοποιημένες κατά περίπτωση, που αφορούν κυβερνοαπειλές από δημόσιες και ιδιωτικές οντότητες, ενισχύοντας την αξία των εν λόγω δεδομένων και πληροφοριών μέσω αναλύσεων εμπειρογνωμόνων και από κοινού αποκτηθεισών υποδομών και εργαλείων αιχμής, και συμβάλλοντας στην τεχνολογική κυριαρχία της Ένωσης, την ανοικτή στρατηγική αυτονομία, την ανταγωνιστικότητα και την ανθεκτικότητά της, καθώς και στην ανάπτυξη των ικανοτήτων της Ένωσης.

(19)

Οι διασυνοριακοί κυβερνοκόμβοι θα πρέπει να λειτουργούν ως κεντρικά σημεία που επιτρέπουν την ευρεία συγκέντρωση σχετικών δεδομένων και πληροφοριών για κυβερνοαπειλές, και να καθιστούν δυνατή τη διάδοση πληροφοριών σχετικά με απειλές σε ένα ευρύ και ποικίλο σύνολο ενδιαφερόμενων μερών, όπως τις ομάδες αντιμετώπισης καταστάσεων έκτακτης ανάγκης σε υπολογιστές (CERT), τις CSIRT, τα ΚΑΑΠ και τους φορείς εκμετάλλευσης κρίσιμων υποδομών. Τα μέλη της κοινοπραξίας υποδοχής θα πρέπει να προσδιορίζουν στη συμφωνία κοινοπραξίας τις σχετικές πληροφορίες που πρέπει να ανταλλάσσονται μεταξύ των συμμετεχόντων στον οικείο διασυνοριακό κυβερνοκόμβο. Οι πληροφορίες που ανταλλάσσονται μεταξύ των συμμετεχόντων σε διασυνοριακό κυβερνοκόμβο θα μπορούσαν να περιλαμβάνουν, για παράδειγμα, δεδομένα από δίκτυα και αισθητήρες, ροές πληροφοριών σχετικά με απειλές, ενδείξεις παραβίασης, και πλαισιωμένες πληροφορίες σχετικά με περιστατικά, κυβερνοαπειλές, παρ’ ολίγον περιστατικά, ευπάθειες, τεχνικές και διαδικασίες, εχθρικές τακτικές, πληροφορίες που αφορούν συγκεκριμένους παράγοντες απειλής, προειδοποιήσεις για την κυβερνοασφάλεια και συστάσεις σχετικά με την παραμετροποίηση εργαλείων κυβερνοασφάλειας για τον εντοπισμό κυβερνοεπιθέσεων. Επιπλέον, οι διασυνοριακοί κυβερνοκόμβοι θα πρέπει επίσης να συνάπτουν συμφωνίες συνεργασίας μεταξύ τους. Οι εν λόγω συμφωνίες συνεργασίας θα πρέπει, ειδικότερα, να προσδιορίζουν τις αρχές ανταλλαγής πληροφοριών και τη διαλειτουργικότητα. Οι ρήτρες τους σχετικά με τη διαλειτουργικότητα, και συγκεκριμένα όσον αφορά τους μορφότυπους και τα πρωτόκολλα ανταλλαγής πληροφοριών, θα πρέπει να έχουν ως σημείο αναφοράς και αφετηρία τις κατευθυντήριες γραμμές διαλειτουργικότητας που εκδίδει ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια που θεσπίστηκε με τον κανονισμό (ΕΕ) 2019/881 (ENISA). Οι εν λόγω κατευθυντήριες γραμμές θα πρέπει να εκδίδονται ταχέως, ώστε να διασφαλίζεται ότι μπορούν να λαμβάνονται υπόψη από τους διασυνοριακούς κυβερνοκόμβους σε πρώιμο στάδιο. Θα πρέπει να λαμβάνουν υπόψη τα διεθνή πρότυπα και τις βέλτιστες πρακτικές, και την λειτουργία διασυνοριακών κυβερνοκόμβων που έχουν συσταθεί.

(20)

Οι διασυνοριακοί κυβερνοκόμβοι και το δίκτυο CSIRT θα πρέπει να συνεργάζονται στενά προκειμένου να διασφαλίζουν τις συνέργειες και τη συμπληρωματικότητα των δραστηριοτήτων. Για τον σκοπό αυτό, θα πρέπει να καταλήγουν σε συμφωνία όσον αφορά τις διαδικαστικές ρυθμίσεις για τη συνεργασία και την ανταλλαγή σχετικών πληροφοριών. Αυτό θα μπορούσε να περιλαμβάνει την ανταλλαγή σχετικών πληροφοριών για κυβερνοαπειλές και σημαντικά περιστατικά κυβερνοασφάλειας και τη διασφάλιση ότι η εμπειρία από προηγμένα εργαλεία, ιδίως εργαλεία τεχνητής νοημοσύνης και τεχνολογίας ανάλυσης δεδομένων, που χρησιμοποιήθηκαν στο πλαίσιο των διασυνοριακών κυβερνοκόμβων, διαμοιράζεται στο δίκτυο CSIRT.

(21)

Η κοινή αντίληψη της κατάστασης μεταξύ των αρμόδιων αρχών αποτελεί απαραίτητη προϋπόθεση για την ετοιμότητα και τον συντονισμό σε επίπεδο Ένωσης όσον αφορά σημαντικά περιστατικά κυβερνοασφάλειας και περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας. Με την οδηγία (ΕΕ) 2022/2555 συγκροτήθηκε το EU-CyCLONe προκειμένου να στηρίζει τη συντονισμένη διαχείριση μεγάλης κλίμακας περιστατικών και κρίσεων στον τομέα της κυβερνοασφάλειας σε επιχειρησιακό επίπεδο και να διασφαλίζει την τακτική ανταλλαγή σχετικών πληροφοριών μεταξύ των κρατών μελών και των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης. Με την οδηγία (ΕΕ) 2022/2555 συγκροτήθηκε επίσης το δίκτυο CSIRT για την προώθηση της ταχείας και αποτελεσματικής επιχειρησιακής συνεργασίας μεταξύ όλων των κρατών μελών. Για να διασφαλίζεται η αντίληψη της κατάστασης και να ενισχύεται η αλληλεγγύη, σε περιπτώσεις όπου οι διασυνοριακοί κυβερνοκόμβοι λαμβάνουν πληροφορίες σχετικά με πιθανό ή εξελισσόμενο περιστατικό μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας, θα πρέπει να παρέχουν σχετικές πληροφορίες στο δίκτυο CSIRT και να ενημερώνουν, υπό μορφή έγκαιρης προειδοποίησης, το EU-CyCLONe. Ειδικότερα, ανάλογα με την κατάσταση, οι πληροφορίες που πρέπει να ανταλλάσσονται θα μπορούσαν να περιλαμβάνουν τεχνικές πληροφορίες, πληροφορίες σχετικά με τη φύση και τα κίνητρα του δράστη της επίθεσης ή του δυνητικού δράστη της επίθεσης, καθώς και μη τεχνικές πληροφορίες υψηλότερου επιπέδου σχετικά με δυνητικό ή εξελισσόμενο περιστατικό μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας. Στο πλαίσιο αυτό, θα πρέπει να λαμβάνεται δεόντως υπόψη η αρχή της ανάγκης για γνώση και ο δυνητικά ευαίσθητος χαρακτήρας των πληροφοριών που ανταλλάσσονται. Η οδηγία (ΕΕ) 2022/2555 υπενθυμίζει επίσης τις αρμοδιότητες της Επιτροπής στο πλαίσιο του μηχανισμού πολιτικής προστασίας της Ένωσης (ΜΠΠΕ) που θεσπίστηκε με την απόφαση αριθ. 1313/2013/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (13), και την αρμοδιότητά της όσον αφορά την υποβολή αναλυτικών εκθέσεων για τις ρυθμίσεις για την ολοκληρωμένη αντιμετώπιση πολιτικών κρίσεων της ΕΕ (ρυθμίσεις IPCR) δυνάμει της εκτελεστικής απόφασης (ΕΕ) 2018/1993 του Συμβουλίου (14). Όταν οι διασυνοριακοί κυβερνοκόμβοι διαμοιράζουν στο EU-CyCLONe και στο δίκτυο CSIRT σχετικές πληροφορίες και έγκαιρες προειδοποιήσεις που σχετίζονται με δυνητικό ή εν εξελίξει περιστατικό κυβερνοασφάλειας μεγάλης κλίμακας, είναι επιτακτική ανάγκη οι πληροφορίες αυτές να διαμοιράζονται μέσω των εν λόγω δικτύων στις αρχές των κρατών μελών, καθώς και στην Επιτροπή. Στο πλαίσιο αυτό, η οδηγία (ΕΕ) 2022/2555 προβλέπει ότι το EU-CyCLONe έχει ως σκοπό να στηρίζει τη συντονισμένη διαχείριση περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας σε επιχειρησιακό επίπεδο και να διασφαλίζει την τακτική ανταλλαγή σχετικών πληροφοριών μεταξύ των κρατών μελών και των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης. Στα καθήκοντα του EU-CyCLONe περιλαμβάνεται η ανάπτυξη κοινής αντίληψης της κατάστασης για τέτοια περιστατικά και κρίσεις. Είναι υψίστης σημασίας το EU-CyCLONe να διασφαλίζει, σύμφωνα με τον εν λόγω σκοπό και τα καθήκοντά του, ότι οι εν λόγω πληροφορίες υποβάλλονται άμεσα στους σχετικούς εκπροσώπους των κρατών μελών και στην Επιτροπή. Για τον σκοπό αυτό, είναι ιδιαίτερα σημαντικό να συμπεριληφθούν κατάλληλες διατάξεις στον εσωτερικό κανονισμό του EU-CyCLONe.

(22)

Οι οντότητες που συμμετέχουν στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να διασφαλίζουν υψηλό επίπεδο διαλειτουργικότητας μεταξύ τους, μεταξύ άλλων, κατά περίπτωση, όσον αφορά τους μορφότυπους δεδομένων, την ταξινόμηση, τα εργαλεία διαχείρισης και ανάλυσης δεδομένων. Θα πρέπει να διασφαλίζουν επίσης ασφαλείς διαύλους επικοινωνίας, ένα ελάχιστο επίπεδο ασφάλειας εφαρμογής, πίνακα εργαλείων αντίληψης της κατάστασης και δείκτες. Η θέσπιση κοινής ταξινόμησης και η ανάπτυξη υποδείγματος για τις εκθέσεις κατάστασης με σκοπό την περιγραφή των αιτίων των εντοπιζόμενων κυβερνοαπειλών και κινδύνων, θα πρέπει να λαμβάνουν υπόψη το υφιστάμενο έργο που έχει πραγματοποιηθεί στο πλαίσιο της εφαρμογής της οδηγίας (ΕΕ) 2022/2555.

(23)

Προκειμένου να καταστεί δυνατή η ανταλλαγή σχετικών δεδομένων και πληροφοριών όσον αφορά κυβερνοαπειλές από διάφορες πηγές, σε ευρεία κλίμακα και σε ένα αξιόπιστο και ασφαλές περιβάλλον, οι οντότητες που συμμετέχουν στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να είναι εφοδιασμένες με προηγμένα, υψηλής ασφάλειας εργαλεία, εξοπλισμό και υποδομές, καθώς και με ειδικευμένο προσωπικό. Με τον τρόπο αυτό θα καταστεί δυνατή η βελτίωση των συλλογικών ικανοτήτων ανίχνευσης και των έγκαιρων προειδοποιήσεων προς τις αρχές και τις σχετικές οντότητες, ιδίως με τη χρήση των πλέον πρόσφατων τεχνολογιών τεχνητής νοημοσύνης και ανάλυσης δεδομένων.

(24)

Με τη συλλογή, την ανάλυση, τον διαμοιρασμό και την ανταλλαγή σχετικών δεδομένων και πληροφοριών, το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να ενισχύσει την τεχνολογική κυριαρχία της Ένωσης και την ανοικτή στρατηγική αυτονομία στον τομέα της κυβερνοασφάλειας, την ανταγωνιστικότητα και την ανθεκτικότητα. Η συγκέντρωση επιμελημένων δεδομένων υψηλής ποιότητας θα μπορούσε επίσης να συμβάλει στην ανάπτυξη προηγμένων τεχνολογιών τεχνητής νοημοσύνης και ανάλυσης δεδομένων. Η ύπαρξη ανθρώπινης εποπτείας και, ως εκ τούτου, ειδικευμένου εργατικού δυναμικού παραμένει ουσιαστική για την αποτελεσματική συγκέντρωση δεδομένων υψηλής ποιότητας.

(25)

Ενώ το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια είναι ένα μη στρατιωτικό έργο, η κοινότητα κυβερνοάμυνας μπορεί να επωφεληθεί από ισχυρότερες μη στρατιωτικές ικανότητες ανίχνευσης και αντίληψης της κατάστασης που αναπτύχθηκαν για την προστασία κρίσιμων υποδομών.

(26)

Η ανταλλαγή πληροφοριών μεταξύ των συμμετεχόντων στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια θα πρέπει να συμμορφώνεται με τις ισχύουσες νομικές απαιτήσεις, ιδίως δε με το ενωσιακό και το εθνικό δίκαιο για την προστασία των δεδομένων, καθώς και με τους ενωσιακούς κανόνες περί ανταγωνισμού που διέπουν την ανταλλαγή πληροφοριών. Ο αποδέκτης των πληροφοριών θα πρέπει να εφαρμόζει, στον βαθμό που είναι αναγκαία η επεξεργασία δεδομένων προσωπικού χαρακτήρα, τεχνικά και οργανωτικά μέτρα που διασφαλίζουν τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, να καταστρέφει τα δεδομένα μόλις παύσουν να είναι απαραίτητα για τον δηλωθέντα σκοπό και να ενημερώνει την οντότητα που καθιστά τα δεδομένα διαθέσιμα ότι τα δεδομένα έχουν καταστραφεί.

(27)

Η διαφύλαξη της εμπιστευτικότητας και της ασφάλειας των πληροφοριών είναι υψίστης σημασίας και για τους τρεις πυλώνες του παρόντος κανονισμού, και συγκεκριμένα προκειμένου να ενθαρρύνεται ο διαμοιρασμός ή η ανταλλαγή πληροφοριών στο πλαίσιο του ευρωπαϊκού συστήματος προειδοποίησης για την κυβερνοασφάλεια, να διαφυλάσσονται τα συμφέροντα των οντοτήτων που υποβάλλουν αίτηση στήριξης στο πλαίσιο του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια, και να διασφαλίζεται ότι οι εκθέσεις στο πλαίσιο του ευρωπαϊκού μηχανισμού εξέτασης περιστατικών κυβερνοασφάλειας μπορούν να αποφέρουν χρήσιμα διδάγματα χωρίς αρνητικό αντίκτυπο στις οντότητες που επηρεάζονται από τα περιστατικά. Η συμμετοχή των κρατών μελών και των οντοτήτων στους μηχανισμούς αυτούς εξαρτάται από τις σχέσεις εμπιστοσύνης μεταξύ των συνιστωσών τους. Όταν οι πληροφορίες είναι εμπιστευτικές σύμφωνα με ενωσιακούς ή εθνικούς κανόνες, ο διαμοιρασμός ή η ανταλλαγή τους δυνάμει του παρόντος κανονισμού θα πρέπει να περιορίζεται σε ό,τι είναι συναφές και αναλογικό προς τον σκοπό του διαμοιρασμού ή της ανταλλαγής. Ο εν λόγω διαμοιρασμός ή ανταλλαγή θα πρέπει επίσης να διαφυλάσσει την εμπιστευτικότητα των πληροφοριών αυτών, μεταξύ άλλων με την προστασία των συμφερόντων ασφάλειας και των εμπορικών συμφερόντων των οικείων οντοτήτων. Ο διαμοιρασμός ή η ανταλλαγή πληροφοριών δυνάμει του παρόντος κανονισμού θα μπορούσε να πραγματοποιείται με τη χρήση συμφωνιών τήρησης του απορρήτου ή κατευθυντήριων γραμμών σχετικά με τη διανομή πληροφοριών, όπως το πρωτόκολλο φωτεινού σηματοδότη (TLP). Το TLP πρέπει να νοείται ως μέσο που επιτρέπει την παροχή πληροφοριών σχετικά με τυχόν περιορισμούς στην περαιτέρω διάδοση πληροφοριών. Χρησιμοποιείται σε όλες σχεδόν τις CSIRT και σε ορισμένα ΚΑΑΠ. Εκτός από αυτές τις γενικές απαιτήσεις, όσον αφορά το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια, οι συμφωνίες κοινοπραξιών υποδοχής θα πρέπει να θεσπίζουν ειδικούς κανόνες σχετικά με τους όρους ανταλλαγής πληροφοριών εντός του οικείου διασυνοριακού κυβερνοκόμβου. Οι συμφωνίες αυτές θα μπορούσαν, ειδικότερα, να προβλέπουν ότι η ανταλλαγή πληροφοριών πρέπει να πραγματοποιείται μόνο σύμφωνα με το ενωσιακό και το εθνικό δίκαιο.

(28)

Όσον αφορά την ανάπτυξη της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, απαιτούνται ειδικοί κανόνες εμπιστευτικότητας. Η στήριξη θα ζητείται, θα αξιολογείται και θα παρέχεται σε συνθήκες κρίσης και σε σχέση με οντότητες που δραστηριοποιούνται σε ευαίσθητους τομείς. Για την αποτελεσματική λειτουργία της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, είναι σημαντικό οι χρήστες και οι οντότητες να είναι σε θέση να ανταλλάσσουν και να παρέχουν πρόσβαση, χωρίς καθυστέρηση, σε όλες τις πληροφορίες που είναι απαραίτητες ώστε κάθε οντότητα να συμβάλει στην αξιολόγηση των αιτημάτων και την παροχή στήριξης. Κατά συνέπεια, ο παρών κανονισμός θα πρέπει να προβλέπει ότι όλες αυτές οι πληροφορίες χρησιμοποιούνται ή ανταλλάσσονται μόνο όταν αυτό είναι αναγκαίο για τη λειτουργία της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, και ότι οι πληροφορίες που είναι εμπιστευτικές ή διαβαθμισμένες σύμφωνα με το ενωσιακό και το εθνικό δίκαιο θα πρέπει να χρησιμοποιούνται και να ανταλλάσσονται μόνο σύμφωνα με το εν λόγω δίκαιο. Επιπλέον, οι χρήστες θα πρέπει να είναι σε θέση, κατά περίπτωση, να χρησιμοποιούν πρωτόκολλα ανταλλαγής πληροφοριών, όπως το TLP, για τον περαιτέρω καθορισμό περιορισμών. Ενώ οι χρήστες έχουν διακριτική ευχέρεια στο θέμα αυτό, είναι σημαντικό, κατά την εφαρμογή τέτοιων περιορισμών, να λαμβάνουν υπόψη τις πιθανές συνέπειες, ιδίως όσον αφορά την καθυστέρηση της αξιολόγησης ή της παράδοσης των ζητούμενων υπηρεσιών. Προκειμένου να είναι αποτελεσματική η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, είναι σημαντικό η αναθέτουσα αρχή να αποσαφηνίζει τις συνέπειες αυτές στον χρήστη πριν από την υποβολή αιτήματος. Οι εν λόγω διασφαλίσεις περιορίζονται στο αίτημα και την παροχή υπηρεσιών από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας και δεν επηρεάζουν την ανταλλαγή πληροφοριών υπό άλλες συνθήκες, όπως σε σχέση με τις διαδικασίες προμήθειας της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας.

(29)

Λαμβανομένων υπόψη των αυξανόμενων κινδύνων και του αριθμού των περιστατικών που επηρεάζουν τα κράτη μέλη, είναι αναγκαίο να δημιουργηθεί ένα μέσο στήριξης κρίσεων, και συγκεκριμένα ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια, για τη βελτίωση της ανθεκτικότητας της Ένωσης σε σημαντικά περιστατικά κυβερνοασφάλειας, περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας, και περιστατικά ισοδύναμα με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας, και για τη συμπλήρωση των δράσεων των κρατών μελών μέσω χρηματοδοτικής στήριξης έκτακτης ανάγκης για ετοιμότητα, αντιμετώπιση περιστατικών και αρχική ανάκαμψη της λειτουργίας βασικών υπηρεσιών. Δεδομένου ότι η πλήρης ανάκαμψη από περιστατικό αποτελεί ολοκληρωμένη διαδικασία επαναφοράς της λειτουργίας της επηρεαζόμενης οντότητας στην προ του περιστατικού κατάσταση, η οποία θα μπορούσε να αποβεί μακροχρόνια και να συνεπάγεται σημαντικό κόστος, η στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να περιορίζεται στο αρχικό στάδιο της διαδικασίας ανάκαμψης, που οδηγεί στην αποκατάσταση των βασικών λειτουργιών των συστημάτων. Ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να επιτρέπει την ταχεία και ουσιαστική παροχή βοήθειας σε συγκεκριμένες περιστάσεις και υπό σαφείς προϋποθέσεις, και να επιτρέπει την προσεκτική παρακολούθηση και αξιολόγηση του τρόπου με τον οποίο χρησιμοποιήθηκαν οι πόροι. Ενώ η πρόληψη, η ετοιμότητα και η αντιμετώπιση περιστατικών και κρίσεων κυβερνοασφάλειας είναι πρωτίστως ευθύνη των κρατών μελών, ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια προωθεί την αλληλεγγύη μεταξύ των κρατών μελών σύμφωνα με το άρθρο 3 παράγραφος 3 της Συνθήκης για την Ευρωπαϊκή Ένωση (ΣΕΕ).

(30)

Ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να παρέχει στήριξη στα κράτη μέλη συμπληρώνοντας τα μέτρα και τους πόρους τους, καθώς και άλλες υφιστάμενες επιλογές στήριξης σε περίπτωση αντιμετώπισης σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας περιστατικών στον τομέα της κυβερνοασφάλειας και αρχικής ανάκαμψης από αυτά, όπως οι υπηρεσίες που παρέχονται από τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) στο πλαίσιο των αρμοδιοτήτων του, η συντονισμένη αντίδραση και συνδρομή από το δίκτυο CSIRT, η στήριξη μετριασμού από το EU-CyCLONe, καθώς και η αμοιβαία συνδρομή μεταξύ των κρατών μελών συμπεριλαμβανομένων, στο πλαίσιο του άρθρου 42 παράγραφος 7 ΣΕΕ, και των ομάδων ταχείας αντίδρασης στον κυβερνοχώρο στο πλαίσιο της μόνιμης διαρθρωμένης συνεργασίας (PESCO) που θεσπίστηκαν δυνάμει της απόφασης (ΚΕΠΠΑ) 2017/2315 του Συμβουλίου (15). Θα πρέπει να αντιμετωπίσει την ανάγκη να διασφαλιστεί η διαθεσιμότητα εξειδικευμένων μέσων για τη στήριξη της ετοιμότητας, της αντιμετώπισης και της ανάκαμψης από τα περιστατικά αυτά, σε ολόκληρη την Ένωση και σε τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη».

(31)

Ο παρών κανονισμός δεν θίγει τις διαδικασίες και τα πλαίσια για τον συντονισμό της αντιμετώπισης κρίσεων σε επίπεδο Ένωσης, ιδίως την οδηγία (ΕΕ) 2022/2555, τον μηχανισμό πολιτικής προστασίας της Ένωσης που θεσπίστηκε με την απόφαση αριθ. 1313/2013/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (16), τις ρυθμίσεις IPCR και τη σύσταση (ΕΕ) 2017/1584 της Επιτροπής (17). Η στήριξη που παρέχεται στο πλαίσιο του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια μπορεί να συμπληρώνει τη βοήθεια που παρέχεται στο πλαίσιο της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας και της κοινής πολιτικής ασφάλειας και άμυνας, μεταξύ άλλων μέσω των ομάδων ταχείας αντίδρασης στον κυβερνοχώρο, λαμβανομένου υπόψη του μη στρατιωτικού χαρακτήρα του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια. Η στήριξη που παρέχεται στο πλαίσιο του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια μπορεί να συμπληρώνει δράσεις που υλοποιούνται στο πλαίσιο του άρθρου 42 παράγραφος 7 ΣΕΕ, συμπεριλαμβανομένης της βοήθειας που παρέχεται από ένα κράτος μέλος σε άλλο, ή να αποτελεί μέρος της κοινής αντίδρασης της Ένωσης και των κρατών μελών, ή να συμπληρώνει δράσεις που υλοποιούνται σε καταστάσεις που αναφέρονται στο άρθρο 222 ΣΛΕΕ. Η εφαρμογή του παρόντος κανονισμού θα πρέπει επίσης να συντονίζεται με την εφαρμογή των μέτρων στο πλαίσιο της εργαλειοθήκης για τη διπλωματία στον κυβερνοχώρο, κατά περίπτωση.

(32)

Η βοήθεια που παρέχεται δυνάμει του παρόντος κανονισμού θα πρέπει να στηρίζει και να συμπληρώνει τις δράσεις που αναλαμβάνουν τα κράτη μέλη σε εθνικό επίπεδο. Για τον σκοπό αυτό, θα πρέπει να εξασφαλίζεται στενή συνεργασία και διαβούλευση μεταξύ της Επιτροπής, του ENISA, των κρατών μελών και, κατά περίπτωση, του ΕΚΑΚ. Όταν ζητεί στήριξη στο πλαίσιο του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια, το κράτος μέλος θα πρέπει να παρέχει σχετικές πληροφορίες που αιτιολογούν την ανάγκη στήριξης.

(33)

Η οδηγία (ΕΕ) 2022/2555 απαιτεί από τα κράτη μέλη να ορίσουν ή να συστήσουν μία ή περισσότερες αρχές διαχείρισης κυβερνοκρίσεων και να διασφαλίσουν ότι διαθέτουν επαρκείς πόρους για να επιτελούν αποτελεσματικά και αποδοτικά τα καθήκοντά τους. Απαιτεί επίσης από τα κράτη μέλη να προσδιορίζουν τις ικανότητες, τα πάγια στοιχεία και τις διαδικασίες που μπορούν να χρησιμοποιηθούν στην περίπτωση κρίσης καθώς και να θεσπίζουν εθνικό σχέδιο αντιμετώπισης περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας, στο οποίο καθορίζονται οι στόχοι και οι ρυθμίσεις για τη διαχείριση περιστατικών μεγάλης κλίμακας και κρίσεων στον τομέα της κυβερνοασφάλειας. Τα κράτη μέλη υποχρεούνται επίσης να συστήσουν μία ή περισσότερες CSIRT που είναι υπεύθυνες για τον χειρισμό περιστατικών σύμφωνα με σαφώς καθορισμένη διαδικασία και να καλύπτουν τουλάχιστον τους τομείς, υποτομείς και τύπους οντοτήτων που εμπίπτουν στο πεδίο εφαρμογής της εν λόγω οδηγίας, και να διασφαλίζουν ότι διαθέτουν επαρκείς πόρους για να επιτελούν αποτελεσματικά τα καθήκοντά τους. Ο παρών κανονισμός δεν θίγει τον ρόλο της Επιτροπής όσον αφορά τη διασφάλιση της συμμόρφωσης των κρατών μελών προς τις υποχρεώσεις που απορρέουν από την οδηγία (ΕΕ) 2022/2555. Ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να παρέχει βοήθεια για δράσεις που αποσκοπούν στην ενίσχυση της ετοιμότητας, καθώς και για δράσεις αντιμετώπισης περιστατικών με σκοπό τον μετριασμό των επιπτώσεων σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας, τη στήριξη της αρχικής ανάκαμψης ή την αποκατάσταση των βασικών λειτουργιών των υπηρεσιών που παρέχονται από οντότητες που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή οντοτήτων που δραστηριοποιούνται σε άλλους κρίσιμους τομείς.

(34)

Στο πλαίσιο των δράσεων ετοιμότητας, για την προώθηση συνεκτικής προσέγγισης και την ενίσχυση της ασφάλειας σε ολόκληρη την Ένωση και την εσωτερική αγορά της, θα πρέπει να παρέχεται στήριξη για τη δοκιμή και την αξιολόγηση της κυβερνοασφάλειας οντοτήτων που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας οι οποίοι προσδιορίζονται σύμφωνα με την οδηγία (ΕΕ) 2022/2555 με συντονισμένο τρόπο, μεταξύ άλλων μέσω ασκήσεων και εκπαίδευσης. Για τον σκοπό αυτό, η Επιτροπή, κατόπιν διαβούλευσης με τον ENISA, η ομάδα συνεργασίας NIS και το EU-CyCLONe, θα πρέπει να προσδιορίζουν τακτικά σχετικούς τομείς ή υποτομείς, οι οποίοι θα πρέπει να είναι επιλέξιμοι για χρηματοδοτική στήριξη για συντονισμένες δοκιμές ετοιμότητας σε επίπεδο Ένωσης. Οι τομείς ή υποτομείς θα πρέπει να επιλέγονται από τους τομείς υψηλής κρισιμότητας του παραρτήματος I της οδηγίας (ΕΕ) 2022/2555. Οι συντονισμένες δοκιμές ετοιμότητας θα πρέπει να βασίζονται σε κοινά σενάρια και μεθοδολογίες κινδύνου. Κατά την επιλογή των τομέων και την ανάπτυξη σεναρίων κινδύνου θα πρέπει να λαμβάνονται υπόψη οι σχετικές εκτιμήσεις κινδύνου και τα σενάρια κινδύνου σε επίπεδο Ένωσης, συμπεριλαμβανομένης της ανάγκης αποφυγής επικαλύψεων, όπως η εκτίμηση κινδύνου και τα σενάρια κινδύνου που απαιτούνται στα συμπεράσματα του Συμβουλίου σχετικά με τη διαμόρφωση της στάσης της Ευρωπαϊκής Ένωσης στον κυβερνοχώρο που εκπονεί η Επιτροπή, ο Ύπατος Εκπρόσωπος της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφαλείας («Ύπατος Εκπρόσωπος») και η ομάδα συνεργασίας NIS, σε συντονισμό με τους αρμόδιους μη στρατιωτικούς και στρατιωτικούς φορείς και οργανισμούς και τα δημιουργηθέντα δίκτυα, συμπεριλαμβανομένου του EU-CyCLONe, καθώς και η εκτίμηση κινδύνου των δικτύων και υποδομών επικοινωνιών που ζητείται από την κοινή υπουργική έκκληση της Nevers και διενεργείται από την ομάδα συνεργασίας NIS, με την υποστήριξη της Επιτροπής και του ENISA, και σε συνεργασία με τον Φορέα Ευρωπαϊκών Ρυθμιστικών Αρχών για τις Ηλεκτρονικές Επικοινωνίες που θεσπίστηκε με τον κανονισμό (ΕΕ) 2018/1971 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (18), οι συντονισμένες εκτιμήσεις κινδύνου για την ασφάλεια κρίσιμων εφοδιαστικών αλυσίδων σε ενωσιακό επίπεδο που πρέπει να διενεργούνται δυνάμει του άρθρου 22 της οδηγίας (ΕΕ) 2022/2555 και οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, όπως προβλέπεται στον κανονισμό (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (19). Κατά την επιλογή των τομέων θα πρέπει επίσης να λαμβάνεται υπόψη η σύσταση του Συμβουλίου σχετικά με συντονισμένη προσέγγιση σε επίπεδο Ένωσης με σκοπό την ενίσχυση της ανθεκτικότητας των κρίσιμων υποδομών.

(35)

Επιπλέον, ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να παρέχει στήριξη για άλλες δράσεις ετοιμότητας και στήριξη για την ετοιμότητα σε άλλους τομείς, οι οποίοι δεν καλύπτονται από τις συντονισμένες δοκιμές ετοιμότητας οντοτήτων που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή οντοτήτων που δραστηριοποιούνται σε άλλους κρίσιμους τομείς. Οι δράσεις αυτές μπορούν να περιλαμβάνουν διάφορα είδη εθνικών δραστηριοτήτων ετοιμότητας.

(36)

Όταν τα κράτη μέλη λαμβάνουν επιχορηγήσεις για τη στήριξη δράσεων ετοιμότητας, οι οντότητες σε τομείς υψηλής κρισιμότητας μπορούν να συμμετέχουν στις εν λόγω δράσεις σε εθελοντική βάση. Αποτελεί ορθή πρακτική, μετά τις εν λόγω δράσεις, οι συμμετέχουσες οντότητες να καταρτίζουν σχέδιο αποκατάστασης για την εφαρμογή τυχόν συνακόλουθων συστάσεων για ειδικά μέτρα, ώστε να αποκομίζονται τα μέγιστα δυνατά οφέλη από τη δράση ετοιμότητας. Μολονότι είναι σημαντικό τα κράτη μέλη να ζητούν, στο πλαίσιο των δράσεων, από τις συμμετέχουσες οντότητες να καταρτίζουν και να εφαρμόζουν τέτοια σχέδια αποκατάστασης, τα κράτη μέλη δεν υποχρεούνται από τον παρόντα κανονισμό να εκτελούν τα αιτήματα αυτά, ούτε και εξουσιοδοτούνται να επιβάλλουν την εκτέλεσή τους. Τα εν λόγω αιτήματα δεν θίγουν τις απαιτήσεις που ισχύουν για τις οντότητες ούτε και τις εποπτικές εξουσίες των αρμόδιων αρχών, σύμφωνα με την οδηγία (ΕΕ) 2022/2555.

(37)

Ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να παρέχει επίσης βοήθεια για δράσεις αντιμετώπισης περιστατικών με σκοπό τον μετριασμό των επιπτώσεων σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας, τη στήριξη της αρχικής ανάκαμψης ή την αποκατάσταση της λειτουργίας βασικών υπηρεσιών. Κατά περίπτωση, θα πρέπει να συμπληρώνει τον ΜΠΠΕ ώστε να διασφαλίζεται η ολοκληρωμένη προσέγγιση της αντιμετώπισης των επιπτώσεων των περιστατικών στους πολίτες.

(38)

Ο μηχανισμός έκτακτης ανάγκης για την κυβερνοασφάλεια θα πρέπει να στηρίζει την τεχνική συνδρομή που παρέχεται από ένα κράτος μέλος σε άλλο κράτος μέλος που επηρεάζεται από σημαντικό περιστατικό κυβερνοασφάλειας ή περιστατικό κυβερνοασφάλειας μεγάλης κλίμακας, μεταξύ άλλων από τις CSIRT που αναφέρονται στο άρθρο 11 παράγραφος 3 στοιχείο στ) της οδηγίας (ΕΕ) 2022/2555. Τα κράτη μέλη που παρέχουν τέτοια συνδρομή θα πρέπει να έχουν τη δυνατότητα να υποβάλλουν αιτήσεις για την κάλυψη των δαπανών που σχετίζονται με την αποστολή ομάδων εμπειρογνωμόνων στο πλαίσιο της αμοιβαίας συνδρομής. Οι επιλέξιμες δαπάνες μπορούν να περιλαμβάνουν έξοδα ταξιδίου, διαμονής και ημερήσιας αποζημίωσης των εμπειρογνωμόνων κυβερνοασφάλειας.

(39)

Δεδομένου του ουσιώδους ρόλου που διαδραματίζουν οι ιδιωτικές επιχειρήσεις στον εντοπισμό περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας και περιστατικών ισοδύναμων με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας, στην ετοιμότητα για τέτοια περιστατικά και στην αντιμετώπισή τους, είναι σημαντικό να αναγνωριστεί η αξία της εθελοντικής και αφιλοκερδούς συνεργασίας με τις εν λόγω επιχειρήσεις, στο πλαίσιο της οποίας αυτές προσφέρουν υπηρεσίες χωρίς αμοιβή σε περιπτώσεις περιστατικών και κρίσεων κυβερνοασφάλειας μεγάλης κλίμακας, και περιστατικών και κρίσεων ισοδύναμων με περιστατικά και κρίσεις κυβερνοασφάλειας μεγάλης κλίμακας. Ο ENISA, σε συνεργασία με το EU-CyCLONe, θα μπορούσε να παρακολουθεί την εξέλιξη των εν λόγω αφιλοκερδών πρωτοβουλιών και να προωθεί τη συμμόρφωσή τους με τα κριτήρια που ισχύουν για τους αξιόπιστους παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας βάσει του παρόντος κανονισμού, μεταξύ άλλων σε σχέση με την αξιοπιστία των ιδιωτικών επιχειρήσεων, την εμπειρία τους, καθώς και την ικανότητά τους να χειρίζονται ευαίσθητες πληροφορίες με ασφαλή τρόπο.

(40)

Στο πλαίσιο του μηχανισμού έκτακτης ανάγκης για την κυβερνοασφάλεια, θα πρέπει σταδιακά να δημιουργηθεί εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, η οποία θα αποτελείται από υπηρεσίες από αξιόπιστους παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας για την υποστήριξη δράσεων αντιμετώπισης και αρχικής ανάκαμψης σε περιπτώσεις σημαντικών περιστατικών κυβερνοασφάλειας, περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας ή περιστατικών ισοδύναμων με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας που επηρεάζουν κράτη μέλη, θεσμικά και λοιπά όργανα ή οργανισμούς της Ένωσης, ή τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη». Η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να διασφαλίζει τη διαθεσιμότητα και την ετοιμότητα των υπηρεσιών. Θα πρέπει επομένως να περιλαμβάνει υπηρεσίες που έχουν δεσμευτεί εκ των προτέρων, συμπεριλαμβανομένων, για παράδειγμα, ικανοτήτων που βρίσκονται σε ετοιμότητα και μπορούν να αναπτυχθούν σε σύντομο χρονικό διάστημα. Οι υπηρεσίες από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να χρησιμοποιούνται για τη στήριξη των εθνικών αρχών όσον αφορά την παροχή βοήθειας σε επηρεαζόμενες οντότητες που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή σε επηρεαζόμενες οντότητες που δραστηριοποιούνται σε άλλους κρίσιμους τομείς, συμπληρωματικά προς τις δικές τους δράσεις σε εθνικό επίπεδο. Οι υπηρεσίες από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να μπορούν επίσης να χρησιμεύσουν για τη στήριξη των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης, υπό παρόμοιες συνθήκες. Η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα μπορούσε επίσης να συμβάλει στην ενίσχυση της ανταγωνιστικής θέσης της βιομηχανίας και των υπηρεσιών στην Ένωση, σε ολόκληρη την ψηφιακή οικονομία, συμπεριλαμβανομένων των πολύ μικρών και των μικρών και μεσαίων επιχειρήσεων, καθώς και των νεοφυών επιχειρήσεων, μεταξύ άλλων με την παροχή κινήτρων για επενδύσεις στην έρευνα και την καινοτομία. Είναι σημαντικό να λαμβάνεται υπόψη το ευρωπαϊκό πλαίσιο δεξιοτήτων κυβερνοασφάλειας του ENISA κατά την προμήθεια υπηρεσιών για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας. Όταν ζητούν στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, οι χρήστες θα πρέπει να περιλαμβάνουν στην αίτησή τους κατάλληλες πληροφορίες σχετικά με την επηρεαζόμενη οντότητα και τις δυνητικές επιπτώσεις, πληροφορίες σχετικά με την υπηρεσία που ζητείται από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, και πληροφορίες σχετικά με τη στήριξη που παρέχεται στην επηρεαζόμενη οντότητα σε εθνικό επίπεδο, οι οποίες θα πρέπει να λαμβάνονται υπόψη κατά την αξιολόγηση του αιτήματος του αιτούντος. Για να διασφαλίζεται η συμπληρωματικότητα με άλλες μορφές στήριξης που έχει στη διάθεσή της η επηρεαζόμενη οντότητα, το αίτημα θα πρέπει επίσης να περιλαμβάνει, κατά περίπτωση, πληροφορίες σχετικά με τις συμβατικές ρυθμίσεις που ισχύουν για τις υπηρεσίες αντιμετώπισης περιστατικών και αρχικής ανάκαμψης, καθώς και σχετικά με τα ασφαλιστήρια συμβόλαια που ενδέχεται να καλύπτουν τέτοιου είδους περιστατικά.

(41)

Προκειμένου να διασφαλιστεί η αποτελεσματική χρήση της ενωσιακής χρηματοδότησης, οι προδεσμευμένες υπηρεσίες στο πλαίσιο της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να μετατραπούν, σύμφωνα με τη σχετική σύμβαση, σε υπηρεσίες ετοιμότητας που σχετίζονται με την πρόληψη και την αντιμετώπιση περιστατικών, σε περίπτωση που οι εν λόγω προδεσμευμένες υπηρεσίες δεν χρησιμοποιούνται για την αντιμετώπιση περιστατικών κατά τη διάρκεια της περιόδου για την οποία έχουν προδεσμευτεί. Οι υπηρεσίες αυτές θα πρέπει να είναι συμπληρωματικές και θα πρέπει να μην αλληλεπικαλύπτονται με τις δράσεις ετοιμότητας που θα διαχειρίζεται το ΕΚΑΚ.

(42)

Τα αιτήματα για στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας τα οποία υποβάλλονται από τις αρχές διαχείρισης κρίσεων στον κυβερνοχώρο και τις CSIRT των κρατών μελών, ή τη CERT-ΕΕ, εξ ονόματος των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης, θα πρέπει να αξιολογούνται από την αναθέτουσα αρχή. Στην περίπτωση που έχει ανατεθεί στον ENISA η διαχείριση και η λειτουργία της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, η αναθέτουσα αρχή είναι ο ENISA. Τα αιτήματα στήριξης που υποβάλλονται από τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» θα πρέπει να αξιολογούνται από την Επιτροπή. Για να διευκολυνθεί η υποβολή και η αξιολόγηση των αιτημάτων στήριξης, ο ENISA θα μπορούσε να δημιουργήσει μια ασφαλή πλατφόρμα.

(43)

Όταν λαμβάνονται πολλαπλά παράλληλα αιτήματα, τα εν λόγω αιτήματα θα πρέπει να ιεραρχούνται σύμφωνα με τα κριτήρια που ορίζονται στον παρόντα κανονισμό. Υπό το πρίσμα των γενικών στόχων του παρόντος κανονισμού, τα κριτήρια αυτά θα πρέπει να περιλαμβάνουν την κλίμακα και τη σοβαρότητα του περιστατικού, το είδος της επηρεαζόμενης οντότητας, τις δυνητικές επιπτώσεις του περιστατικού στα επηρεαζόμενα κράτη μέλη και τους επηρεαζόμενους χρήστες, τον δυνητικό διασυνοριακό χαρακτήρα του περιστατικού και τον κίνδυνο δευτερογενών επιπτώσεων, καθώς και τα μέτρα που έχει ήδη λάβει ο χρήστης για να βοηθήσει στην αντιμετώπιση και την αρχική ανάκαμψη. Υπό το πρίσμα των εν λόγω στόχων και δεδομένου ότι τα αιτήματα των χρηστών των κρατών μελών αποσκοπούν αποκλειστικά στη στήριξη σε ολόκληρη την Ένωση οντοτήτων που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή οντοτήτων που δραστηριοποιούνται σε άλλους κρίσιμους τομείς, είναι σκόπιμο να δίνεται υψηλότερη προτεραιότητα στα αιτήματα των χρηστών των κρατών μελών όταν δύο ή περισσότερα αιτήματα αξιολογούνται ως ισότιμα βάσει των εν λόγω κριτηρίων. Αυτό ισχύει με την επιφύλαξη τυχόν υποχρεώσεων που ενδέχεται να έχουν τα κράτη μέλη, βάσει των σχετικών συμφωνιών υποδοχής, να λαμβάνουν μέτρα για την προστασία και τη συνδρομή των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης.

(44)

Η Επιτροπή θα πρέπει να έχει τη συνολική ευθύνη για την εφαρμογή της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας. Δεδομένης της εκτεταμένης εμπειρίας που έχει αποκτήσει ο ENISA από τη δράση στήριξης της κυβερνοασφάλειας, ο ENISA είναι ο πλέον κατάλληλος οργανισμός για την υλοποίηση της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας. Ως εκ τούτου, η Επιτροπή θα πρέπει να αναθέτει στον ENISA, εν μέρει ή, όταν κρίνεται σκόπιμο, εξ ολοκλήρου τη λειτουργία και τη διαχείριση της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας. Η ανάθεση θα πρέπει να πραγματοποιείται σύμφωνα με τους ισχύοντες κανόνες του κανονισμού (ΕΕ, Ευρατόμ) 2024/2509 και, ειδικότερα, θα πρέπει να εξαρτάται από την εκπλήρωση των σχετικών προϋποθέσεων για την υπογραφή συμφωνίας συνεισφοράς. Τυχόν πτυχές της λειτουργίας και της διαχείρισης της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας που δεν ανατίθενται στον ENISA θα πρέπει να υπόκεινται σε άμεση διαχείριση από την Επιτροπή, μεταξύ άλλων πριν από την υπογραφή της συμφωνίας συνεισφοράς.

(45)

Τα κράτη μέλη θα πρέπει να διαδραματίζουν καίριο ρόλο στη σύσταση και την ανάπτυξη της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, καθώς και κατά την περίοδο μετά την ανάπτυξή της. Δεδομένου ότι ο κανονισμός (ΕΕ) 2021/694 είναι η σχετική βασική πράξη για δράσεις υλοποίησης της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, οι δράσεις στο πλαίσιο της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να προβλέπονται στα προγράμματα εργασίας που αναφέρονται στο άρθρο 24 του κανονισμού (ΕΕ) 2021/694. Δυνάμει της παραγράφου 6 του εν λόγω άρθρου, τα εν λόγω προγράμματα εργασίας πρέπει να εγκρίνονται από την Επιτροπή με εκτελεστικές πράξεις σύμφωνα με τη διαδικασία εξέτασης. Επιπλέον, η Επιτροπή, σε συντονισμό με την ομάδα συνεργασίας NIS, θα πρέπει να καθορίσει τις προτεραιότητες και την εξέλιξη της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας.

(46)

Οι συμβάσεις που συνάπτονται στο πλαίσιο της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας δεν θα πρέπει να επηρεάζουν τη διεπιχειρησιακή σχέση και τις υφιστάμενες υποχρεώσεις μεταξύ της επηρεαζόμενης οντότητας ή των χρηστών και του παρόχου υπηρεσιών.

(47)

Για τους σκοπούς της επιλογής ιδιωτικών παρόχων υπηρεσιών για την παροχή υπηρεσιών στο πλαίσιο της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, είναι αναγκαίο να θεσπιστεί ένα σύνολο ελάχιστων κριτηρίων και απαιτήσεων που θα πρέπει να περιλαμβάνονται στην πρόσκληση υποβολής προσφορών για την επιλογή των εν λόγω παρόχων, ώστε να διασφαλίζεται η κάλυψη των αναγκών των αρχών των κρατών μελών, των οντοτήτων που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή των οντοτήτων που δραστηριοποιούνται σε άλλους κρίσιμους τομείς. Προκειμένου να καλύπτονται οι συγκεκριμένες ανάγκες των κρατών μελών, κατά την προμήθεια υπηρεσιών για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, η αναθέτουσα αρχή θα πρέπει, κατά περίπτωση, να αναπτύσσει κριτήρια επιλογής και απαιτήσεις πέραν εκείνων που ορίζονται στον παρόντα κανονισμό. Είναι σημαντικό να ενθαρρυνθεί η συμμετοχή μικρότερων παρόχων δραστηριοποιούμενων σε περιφερειακό και τοπικό επίπεδο.

(48)

Κατά την επιλογή παρόχων που θα συμπεριληφθούν στην εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, η αναθέτουσα αρχή θα πρέπει να έχει ως στόχο να διασφαλίζει ότι η εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, εξεταζόμενη στο σύνολό της, περιλαμβάνει παρόχους που είναι σε θέση να ανταποκρίνονται στις γλωσσικές απαιτήσεις των χρηστών. Για τον σκοπό αυτό, η αναθέτουσα αρχή, πριν από την κατάρτιση της συγγραφής υποχρεώσεων, θα πρέπει να διερευνά κατά πόσον οι δυνητικοί χρήστες της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας έχουν ειδικές γλωσσικές απαιτήσεις, ώστε οι υπηρεσίες στήριξης της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας να μπορούν να παρέχονται σε μία από τις επίσημες γλώσσες των θεσμικών οργάνων της Ένωσης ή των κρατών μελών που είναι πιθανό να είναι κατανοητή από τον χρήστη ή την επηρεαζόμενη οντότητα. Σε περίπτωση που ένας χρήστης χρειάζεται περισσότερες από μία γλώσσες για την παροχή υπηρεσιών στήριξης της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας και οι υπηρεσίες έχουν αποκτηθεί στις εν λόγω γλώσσες για τον εν λόγω χρήστη, ο χρήστης θα πρέπει να είναι σε θέση να προσδιορίσει, στο αίτημα για στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, σε ποιες από τις γλώσσες αυτές θα πρέπει να παρέχονται οι υπηρεσίες σε σχέση με το συγκεκριμένο περιστατικό που οδήγησε στο αίτημα.

(49)

Για τη στήριξη της δημιουργίας της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, είναι σημαντικό η Επιτροπή να ζητήσει από τον ENISA να καταρτίσει υποψήφιο σχήμα πιστοποίησης της κυβερνοασφάλειας για διαχειριζόμενες υπηρεσίες ασφάλειας σύμφωνα με τον κανονισμό (ΕΕ) 2019/881, στους τομείς που καλύπτονται από τον μηχανισμό έκτακτης ανάγκης για την κυβερνοασφάλεια.

(50)

Προκειμένου να υποστηριχθούν οι στόχοι του παρόντος κανονισμού για την προώθηση της κοινής αντίληψης της κατάστασης, την ενίσχυση της ανθεκτικότητας της Ένωσης και τη διευκόλυνση της αποτελεσματικής αντιμετώπισης σημαντικών περιστατικών κυβερνοασφάλειας και περιστατικών κυβερνοασφάλειας μεγάλης κλίμακας, η Επιτροπή ή το EU-CyCLONe θα πρέπει να είναι σε θέση να ζητούν από τον ENISA, με τη στήριξη του δικτύου CSIRT και με την έγκριση των οικείων κρατών μελών, να εξετάζει και να αξιολογεί κυβερνοαπειλές, γνωστές εκμεταλλεύσιμες ευπάθειες και δράσεις μετριασμού σε σχέση με συγκεκριμένο σημαντικό περιστατικό κυβερνοασφάλειας ή περιστατικό κυβερνοασφάλειας μεγάλης κλίμακας. Μετά την ολοκλήρωση της εξέτασης και της αξιολόγησης ενός περιστατικού, ο ENISA θα πρέπει να συντάσσει έκθεση εξέτασης περιστατικού, σε συνεργασία με το οικείο κράτος μέλος, τα σχετικά ενδιαφερόμενα μέρη, συμπεριλαμβανομένων εκπροσώπων του ιδιωτικού τομέα, της Επιτροπής και άλλων σχετικών θεσμικών και λοιπών οργάνων, υπηρεσιών και οργανισμών της Ένωσης. Με βάση τη συνεργασία με τα ενδιαφερόμενα μέρη, συμπεριλαμβανομένου του ιδιωτικού τομέα, η έκθεση εξέτασης συγκεκριμένων περιστατικών θα πρέπει να αποσκοπεί στην αξιολόγηση των αιτίων, των επιπτώσεων και των μέτρων μετριασμού ενός περιστατικού, μετά την επέλευση του. Ιδιαίτερη προσοχή θα πρέπει να δοθεί στις πληροφορίες και τα διδάγματα που ανταλλάσσουν οι πάροχοι διαχειριζόμενων υπηρεσιών ασφάλειας που πληρούν τις προϋποθέσεις της ύψιστης επαγγελματικής ακεραιότητας, αμεροληψίας και της απαιτούμενης τεχνικής εμπειρογνωσίας, όπως απαιτείται από τον παρόντα κανονισμό. Η έκθεση θα πρέπει να υποβάλλεται στο EU-CyCLONe, στο δίκτυο CSIRT και στην Επιτροπή και θα πρέπει να αξιοποιείται στο πλαίσιο των εργασιών τους καθώς και των εργασιών του ENISA. Όταν το περιστατικό αφορά τρίτη χώρα συνδεδεμένη με το πρόγραμμα «Ψηφιακή Ευρώπη», η Επιτροπή θα πρέπει επίσης να κοινοποιεί την έκθεση στον Ύπατο Εκπρόσωπο.

(51)

Λαμβάνοντας υπόψη την απρόβλεπτη φύση των κυβερνοεπιθέσεων και το γεγονός ότι συχνά δεν περιορίζονται σε συγκεκριμένη γεωγραφική περιοχή και ενέχουν υψηλό κίνδυνο δευτερογενών επιπτώσεων, η ενίσχυση της ανθεκτικότητας των γειτονικών χωρών και της ικανότητάς τους να αντιμετωπίζουν αποτελεσματικά σημαντικά περιστατικά κυβερνοασφάλειας και περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας συμβάλλει συνολικά στην προστασία της Ένωσης, και ιδίως στην προστασία της εσωτερικής της αγοράς και της βιομηχανίας της. Οι δραστηριότητες αυτές θα μπορούσαν να συμβάλουν περαιτέρω στη διπλωματία της Ένωσης στον κυβερνοχώρο. Κατά συνέπεια, οι τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» θα πρέπει να έχουν τη δυνατότητα να ζητούν στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, στο σύνολο ή σε μέρος της επικράτειάς τους, όταν αυτό προβλέπεται στη συμφωνία μέσω της οποίας η τρίτη χώρα συνδέεται με το πρόγραμμα «Ψηφιακή Ευρώπη». Η χρηματοδότηση τρίτων χωρών συνδεδεμένων με το πρόγραμμα «Ψηφιακή Ευρώπη» θα πρέπει να στηρίζεται από την Ένωση στο πλαίσιο σχετικών εταιρικών σχέσεων και χρηματοδοτικών μέσων για τις εν λόγω χώρες. Η στήριξη θα πρέπει να καλύπτει υπηρεσίες στον τομέα της αντιμετώπισης και της αρχικής ανάκαμψης από σημαντικά περιστατικά κυβερνοασφάλειας ή περιστατικά ισοδύναμα με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας.

(52)

Οι προϋποθέσεις που καθορίζονται στον παρόντα κανονισμό για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας και για τους αξιόπιστους παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας θα πρέπει να εφαρμόζονται κατά την παροχή στήριξης στις τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη». Οι τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» θα πρέπει να είναι σε θέση να ζητούν στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας όταν οι στοχευόμενες οντότητες για τις οποίες ζητούν στήριξη από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας είναι οντότητες που δραστηριοποιούνται σε τομείς υψηλής κρισιμότητας ή οντότητες που δραστηριοποιούνται σε άλλους κρίσιμους τομείς και όταν τα περιστατικά που εντοπίζονται οδηγούν σε σημαντικές λειτουργικές διαταραχές ή ενδέχεται να έχουν δευτερογενείς επιπτώσεις στην Ένωση. Οι τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» θα πρέπει να είναι επιλέξιμες για στήριξη μόνο όταν η συμφωνία μέσω της οποίας συνδέονται με το πρόγραμμα «Ψηφιακή Ευρώπη» προβλέπει ρητά την εν λόγω στήριξη. Επιπλέον, οι εν λόγω τρίτες χώρες θα πρέπει να παραμένουν επιλέξιμες μόνο εφόσον πληρούνται τρία κριτήρια. Πρώτον, η τρίτη χώρα θα πρέπει να συμμορφώνεται πλήρως με τους σχετικούς όρους της εν λόγω συμφωνίας. Δεύτερον, δεδομένου του συμπληρωματικού χαρακτήρα της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας, η τρίτη χώρα θα πρέπει να έχει λάβει κατάλληλα μέτρα για την προετοιμασία για σημαντικά περιστατικά κυβερνοασφάλειας ή για περιστατικά ισοδύναμα με περιστατικά κυβερνοασφάλειας μεγάλης κλίμακας. Τρίτον, η παροχή στήριξης από την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας θα πρέπει να συνάδει με την πολιτική της Ένωσης και τις συνολικές σχέσεις της με την εν λόγω χώρα, καθώς και με άλλες πολιτικές της Ένωσης στον τομέα της ασφάλειας. Στο πλαίσιο της αξιολόγησής της σχετικά με τη συμμόρφωση με το τρίτο αυτό κριτήριο, η Επιτροπή θα πρέπει να διαβουλεύεται με τον Ύπατο Εκπρόσωπο ώστε η χορήγηση της εν λόγω στήριξης να ευθυγραμμίζεται με την κοινή εξωτερική πολιτική και πολιτική ασφαλείας.

(53)

Η παροχή στήριξης σε τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» μπορεί να επηρεάσει τις σχέσεις με τρίτες χώρες και την πολιτική ασφάλειας της Ένωσης, μεταξύ άλλων στο πλαίσιο της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας καθώς και της κοινής πολιτικής ασφάλειας και άμυνας. Κατά συνέπεια, είναι σκόπιμο να ανατεθούν στο Συμβούλιο εκτελεστικές αρμοδιότητες ώστε να εγκρίνει και να προσδιορίζει το χρονικό διάστημα κατά το οποίο μπορεί να παρέχεται η εν λόγω στήριξη. Το Συμβούλιο θα πρέπει να ενεργεί βάσει πρότασης της Επιτροπής, λαμβάνοντας δεόντως υπόψη την αξιολόγηση της Επιτροπής ως προς τα εν λόγω τρία κριτήρια. Το ίδιο θα πρέπει να ισχύει και για τις ανανεώσεις και τις προτάσεις τροποποίησης ή ανάκλησης τέτοιων πράξεων. Όταν, σε εξαιρετικές περιστάσεις, το Συμβούλιο κρίνει ότι υπήρξε σημαντική μεταβολή των συνθηκών σε σχέση με το τρίτο κριτήριο, το Συμβούλιο θα πρέπει να είναι σε θέση να αποφασίζει με δική του πρωτοβουλία για την τροποποίηση ή ανάκληση μιας εκτελεστικής πράξης, χωρίς να αναμένει πρόταση της Επιτροπής. Τέτοιες σημαντικές μεταβολές είναι πιθανό να καθιστούν αναγκαία την ανάληψη επείγουσας δράσης, να έχουν ιδιαίτερα σημαντικές επιπτώσεις στις σχέσεις με τρίτες χώρες και να μην απαιτούν λεπτομερή αξιολόγηση εκ των προτέρων από την Επιτροπή. Επιπλέον, η Επιτροπή θα πρέπει να συνεργάζεται με τον Ύπατο Εκπρόσωπο όσον αφορά τα εν λόγω αιτήματα για τη στήριξη από τρίτες χώρες συνδεδεμένες με το πρόγραμμα «Ψηφιακή Ευρώπη» και την υλοποίηση της στήριξης που έχει χορηγηθεί σε αυτές τις τρίτες χώρες. Η Επιτροπή θα πρέπει επίσης να λαμβάνει υπόψη τυχόν απόψεις που παρέχει ο ENISA σχετικά με αυτά τα αιτήματα και τη στήριξη. Η Επιτροπή θα πρέπει να ενημερώνει το Συμβούλιο όσον αφορά το αποτέλεσμα της αξιολόγησης των αιτημάτων, συμπεριλαμβανομένων των σχετικών εκτιμήσεων που διατυπώνονται στο πλαίσιο αυτό, καθώς και όσον αφορά τις υπηρεσίες που αναπτύσσονται.

(54)

Στην ανακοίνωση της Επιτροπής, της 18ης Απριλίου 2023, σχετικά με την Ακαδημία Κυβερνοδεξιοτήτων, αναγνωρίζεται η έλλειψη ειδικευμένων επαγγελματιών. Οι δεξιότητες αυτές είναι απαραίτητες για την επίτευξη των στόχων του παρόντος κανονισμού. Η Ένωση χρειάζεται επειγόντως επαγγελματίες με τις κατάλληλες δεξιότητες και ικανότητες για την πρόληψη, τον εντοπισμό και την αποτροπή κυβερνοεπιθέσεων, καθώς και για την προστασία της Ένωσης, συμπεριλαμβανομένων των πλέον κρίσιμων υποδομών της, από τέτοιες επιθέσεις και για τη διασφάλιση της ανθεκτικότητάς της. Για τον σκοπό αυτό, είναι σημαντικό να ενθαρρυνθεί η συνεργασία μεταξύ των ενδιαφερόμενων μερών, συμπεριλαμβανομένων του ιδιωτικού τομέα, της ακαδημαϊκής κοινότητας και του δημόσιου τομέα. Είναι εξίσου σημαντικό να δημιουργηθούν συνέργειες, στο σύνολο των εδαφών της Ένωσης, όσον αφορά τις επενδύσεις στην εκπαίδευση και την κατάρτιση, ώστε να υπάρξουν διασφαλίσεις για την αποφυγή της διαρροής εγκεφάλων ή της διεύρυνσης του χάσματος δεξιοτήτων μεταξύ των περιφερειών. Είναι επείγον να γεφυρωθεί το χάσμα δεξιοτήτων κυβερνοασφάλειας, με ιδιαίτερη έμφαση στη μείωση του έμφυλου χάσματος στο εργατικό δυναμικό στον τομέα της κυβερνοασφάλειας, ώστε να προωθηθεί η παρουσία και η συμμετοχή γυναικών στον σχεδιασμό της ψηφιακής διακυβέρνησης.

(55)

Προκειμένου να τονωθεί η καινοτομία στην ψηφιακή ενιαία αγορά, είναι σημαντικό να ενισχυθεί η έρευνα και η καινοτομία στον τομέα της κυβερνοασφάλειας, με σκοπό την συμβολή στην αύξηση της ανθεκτικότητας των κρατών μελών και της ανοικτής στρατηγικής αυτονομίας της Ένωσης, που αποτελούν στόχους του παρόντος κανονισμού. Οι συνέργειες είναι απαραίτητες για την ενίσχυση της συνεργασίας και του συντονισμού μεταξύ των διαφόρων ενδιαφερόμενων μερών, συμπεριλαμβανομένων του ιδιωτικού τομέα, της κοινωνίας των πολιτών και της ακαδημαϊκής κοινότητας.

(56)

Ο παρών κανονισμός θα πρέπει να λαμβάνει υπόψη τη δέσμευση στην κοινή δήλωση της 26ης Ιανουαρίου 2022 του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου και της Επιτροπής, με τίτλο «Ευρωπαϊκή διακήρυξη σχετικά με τα ψηφιακά δικαιώματα και τις ψηφιακές αρχές για την ψηφιακή δεκαετία», όσον αφορά την προστασία των συμφερόντων των δημοκρατιών, των πολιτών, των επιχειρήσεων και των δημόσιων οργανισμών της Ένωσης από τους κινδύνους κυβερνοασφάλειας και το κυβερνοέγκλημα, συμπεριλαμβανομένων των παραβιάσεων δεδομένων και της κλοπής ή χειραγώγησης ταυτότητας.

(57)

Προκειμένου να συμπληρωθούν ορισμένα μη ουσιώδη στοιχεία του παρόντος κανονισμού, θα πρέπει να ανατεθεί στην Επιτροπή η εξουσία έκδοσης πράξεων σύμφωνα με το άρθρο 290 ΣΛΕΕ, προκειμένου να προσδιοριστούν οι τύποι και ο αριθμός των υπηρεσιών αντιμετώπισης που απαιτούνται για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας. Είναι ιδιαίτερα σημαντικό η Επιτροπή να διεξάγει, κατά τις προπαρασκευαστικές της εργασίες, τις κατάλληλες διαβουλεύσεις, μεταξύ άλλων σε επίπεδο εμπειρογνωμόνων, οι οποίες να πραγματοποιούνται σύμφωνα με τις αρχές που ορίζονται στη διοργανική συμφωνία της 13ης Απριλίου 2016 για τη βελτίωση του νομοθετικού έργου (20). Πιο συγκεκριμένα, προκειμένου να διασφαλιστεί η ίση συμμετοχή στην προετοιμασία των κατ’ εξουσιοδότηση πράξεων, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο λαμβάνουν όλα τα έγγραφα κατά τον ίδιο χρόνο με τους εμπειρογνώμονες των κρατών μελών, και οι εμπειρογνώμονές τους να έχουν συστηματικά πρόσβαση στις συνεδριάσεις των ομάδων εμπειρογνωμόνων της Επιτροπής που ασχολούνται με την προετοιμασία κατ’ εξουσιοδότηση πράξεων.

(58)

Προκειμένου να διασφαλιστούν ενιαίες προϋποθέσεις για την εφαρμογή του παρόντος κανονισμού, θα πρέπει να ανατεθούν στην Επιτροπή εκτελεστικές αρμοδιότητες για τον περαιτέρω προσδιορισμό των λεπτομερών ρυθμίσεων για την κατανομή των υπηρεσιών στήριξης της εφεδρείας της ΕΕ στον τομέα της κυβερνοασφάλειας. Οι εν λόγω αρμοδιότητες θα πρέπει να ασκούνται σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (21).

(59)

Με την επιφύλαξη των κανόνων που αφορούν τον ετήσιο προϋπολογισμό της Ένωσης δυνάμει των Συνθηκών, η Επιτροπή θα πρέπει να λαμβάνει υπόψη τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό κατά την αξιολόγηση των αναγκών προϋπολογισμού και στελέχωσης του ENISA.

(60)

Η Επιτροπή θα πρέπει να διενεργεί σε τακτική βάση αξιολόγηση των μέτρων που προβλέπονται στον παρόντα κανονισμό. Η πρώτη τέτοια αξιολόγηση θα πρέπει να πραγματοποιηθεί κατά τα πρώτα δύο έτη από την ημερομηνία εφαρμογής του παρόντος κανονισμού και οι επόμενες αξιολογήσεις τουλάχιστον ανά τετραετία, λαμβανομένου υπόψη του χρονοδιαγράμματος της αναθεώρησης του πολυετούς δημοσιονομικού πλαισίου που θεσπίστηκε δυνάμει του άρθρου 312 ΣΛΕΕ. Η Επιτροπή θα πρέπει να υποβάλει στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο έκθεση σχετικά με την πρόοδο που σημειώνεται. Για την αξιολόγηση των διαφόρων στοιχείων που απαιτούνται, συμπεριλαμβανομένου του εύρους των πληροφοριών που ανταλλάσσονται στο πλαίσιο του ευρωπαϊκού συστήματος προειδοποίησης για την κυβερνοασφάλεια, η Επιτροπή θα πρέπει να βασίζεται αποκλειστικά σε πληροφορίες που είναι άμεσα διαθέσιμες ή παρέχονται οικειοθελώς. Λαμβανομένων υπόψη των γεωπολιτικών εξελίξεων και προκειμένου να διασφαλιστούν η συνέχεια και η περαιτέρω ανάπτυξη των μέτρων που ορίζονται στον παρόντα κανονισμό μετά το 2027, είναι σημαντικό να αξιολογήσει η Επιτροπή την αναγκαιότητα διάθεσης κατάλληλου προϋπολογισμού στο πολυετές δημοσιονομικό πλαίσιο για την περίοδο 2028 έως 2034.

(61)

Δεδομένου ότι οι στόχοι του παρόντος κανονισμού, ήτοι να ενισχυθεί η ανταγωνιστική θέση της βιομηχανίας και των υπηρεσιών στην Ένωση σε ολόκληρη την ψηφιακή οικονομία, και να συμβάλλει στην τεχνολογική κυριαρχία και την ανοικτή στρατηγική αυτονομία της Ένωσης στον τομέα της κυβερνοασφάλειας, δεν μπορούν να επιτευχθούν ικανοποιητικά από τα κράτη μέλη, μπορούν όμως, λόγω της κλίμακας ή των αποτελεσμάτων της δράσης, να επιτευχθούν καλύτερα σε επίπεδο Ένωσης, η Ένωση δύναται να λάβει μέτρα σύμφωνα με την αρχή της επικουρικότητας του άρθρου 5 ΣΕΕ. Σύμφωνα με την αρχή της αναλογικότητας όπως διατυπώνεται στο εν λόγω άρθρο, ο παρών κανονισμός δεν υπερβαίνει τα αναγκαία όρια για την επίτευξη των στόχων αυτών,