(1)

Tieto- ja viestintätekniikoiden käytöstä ja niistä riippuvaisuudesta on tullut perustekijöitä kaikilla taloudellisen toiminnan ja yhteiskunnan sektoreilla, kun otetaan huomioon jäsenvaltioiden julkishallinnon, yritysten ja kansalaisten yhä lisääntyvät keskinäiset yhteydet ja riippuvuussuhteet yli sektoreiden ja maiden rajojen, ja samalla ne ovat tuoneet mukanaan mahdollisia haavoittuvuuksia.

(2)

Kyberturvallisuuspoikkeamat sekä toimitusketjuihin kohdistuvat hyökkäykset, joiden tarkoituksena on kybervakoilu, kiristysohjelmien tartuttaminen tai häiriöiden aiheuttaminen, ovat unionin ja globaalilla tasolla entistä laajempia, yleisempiä ja vaikutuksiltaan voimakkaampia. Ne ovat merkittävä uhka verkko- ja tietojärjestelmien toiminnalle. Nopeasti kehittyvän uhkaympäristön vuoksi sellaisten mahdollisten laajamittaisten kyberturvallisuuspoikkeamien uhka, jotka aiheuttavat merkittäviä häiriöitä tai vahinkoja kriittiselle infrastruktuurille, edellyttää unionin kyberturvallisuuskehykseltä entistä parempaa varautumista. Kyseinen uhka ei rajoitu Venäjän Ukrainaa vastaan käymään hyökkäyssotaan, ja se todennäköisesti pysyy, kun otetaan huomioon, että geopoliittisten jännitteiden luomiseen osallistuu nykyään monenlaisia toimijoita. Tällaiset poikkeamat voivat vaikeuttaa julkisten palvelujen tarjoamista, koska kyberhyökkäykset kohdistuvat usein paikallisiin, alueellisiin tai kansallisiin julkisiin palveluihin ja infrastruktuuriin, ja paikallisviranomaiset ovat erityisen haavoittuvia muun muassa rajallisten resurssiensa vuoksi. Ne voivat myös vaikeuttaa taloudellisen toiminnan harjoittamista, myös erittäin kriittisillä tai muilla kriittisillä toimialoilla, aiheuttaa huomattavia taloudellisia tappioita, heikentää käyttäjien luottamusta ja vahingoittaa merkittävästi unionin taloutta ja demokraattisia järjestelmiä, ja niillä voisi olla jopa terveydellisiä tai henkeä uhkaavia seurauksia. Lisäksi kyberturvallisuuspoikkeamat ovat ennalta arvaamattomia, koska ne ilmenevät ja kehittyvät usein nopeasti eivätkä ne rajoitu millekään tietylle maantieteelliselle alueelle, vaan niitä esiintyy samanaikaisesti useissa eri maissa tai ne leviävät välittömästi moniin eri maihin. On tärkeää, että julkisen sektorin, yksityisen sektorin, tiedeyhteisön, kansalaisyhteiskunnan ja tiedotusvälineiden välillä tehdään tiivistä yhteistyötä.

(3)

Teollisuuden ja palvelujen kilpailuasemaa unionissa on vahvistettava koko digitaalitaloudessa, ja niiden digitaalista muutosta on tuettava vahvistamalla digitaalisten sisämarkkinoiden kyberturvallisuuden tasoa Euroopan tulevaisuutta käsittelevän konferenssin kolmen eri ehdotuksen suositusten mukaisesti. On tarpeen lisätä kansalaisten, yritysten, mukaan lukien mikroyritykset, pienet ja keskisuuret yritykset sekä startup-yritykset, ja kriittistä infrastruktuuria ylläpitävien toimijoiden kykyä sietää lisääntyviä kyberuhkia, joilla voi olla tuhoisia yhteiskunnallisia ja taloudellisia vaikutuksia. Siksi tarvitaan investointeja sellaiseen infrastruktuuriin ja palveluihin sekä sellaisten valmiuksien luomista kyberturvallisuustaitojen kehittämiseksi, jotka tukevat nopeampaa kyberuhkien ja poikkeamien havaitsemista ja niihin reagoimista; lisäksi jäsenvaltiot tarvitsevat tukea, jotta ne voivat varautua ja reagoida paremmin merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisiin kyberturvallisuuspoikkeamiin ja käynnistää niiden jälkeisen palautumisen. Unionin olisi myös lisättävä valmiuksiaan kyseisillä aloilla hyödyntäen nykyisiä rakenteita ja tiiviissä yhteistyössä niiden kanssa, erityisesti kyberuhkia ja poikkeamia koskevien tietojen keräämisen ja analysoinnin osalta.

(4)

Unioni on jo toteuttanut useita toimenpiteitä, joilla se on vähentänyt haavoittuvuuksia ja parantanut kriittisen infrastruktuurin ja keskeisten toimijoiden häiriönsietokykyä riskien osalta; näitä ovat erityisesti Euroopan parlamentin ja neuvoston asetus (EU) 2019/881 (5), Euroopan parlamentin ja neuvoston direktiivi 2013/40/EU (6) ja (EU) 2022/2555 (7) ja komission suositus (EU) 2017/1584 (8). Lisäksi unionin koordinoidusta lähestymistavasta kriittisen infrastruktuurin häiriönsietokyvyn vahvistamiseen 8 päivänä joulukuuta 2022 annetussa neuvoston suosituksessa kehotetaan jäsenvaltioita toteuttamaan toimenpiteitä sekä tekemään yhteistyötä toistensa, komission ja muiden asiaankuuluvien viranomaisten ja asianomaisten toimijoiden kanssa, jotta voidaan parantaa keskeisten palvelujen tarjoamiseen sisämarkkinoilla käytettävän kriittisen infrastruktuurin häiriönsietokykyä.

(5)

Lisääntyvät kyberturvallisuusriskit ja kokonaisuudessaan monimutkainen uhkaympäristö, jossa on olemassa selvä vaara, että poikkeamat leviävät nopeasti yhdestä jäsenvaltiosta toisiin jäsenvaltioihin ja kolmannesta maasta unioniin, edellyttävät solidaarisuuden vahvistamista unionin tasolla, jotta voidaan parantaa kyberuhkien ja poikkeamien havaitsemista, niihin varautumista ja reagoimista ja niistä palautumista, erityisesti vahvistamalla nykyisten rakenteiden valmiuksia. Lisäksi 23 päivänä toukokuuta 2022 annetuissa neuvoston päätelmissä Euroopan unionin kybertoimien kehittämisestä komissiota pyydettiin esittämään ehdotus uudeksi kyberturvallisuuden hätärahastoksi.

(6)

Komission ja unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan 10 päivänä marraskuuta 2022 antamassa yhteisessä tiedonannossa Euroopan parlamentille ja neuvostolle EU:n kyberpuolustuspolitiikasta ilmoitettiin EU:n kybersolidaarisuusaloitteesta, jonka tavoitteina on vahvistaa EU:n yhteisiä havaitsemis-, tilannetietoisuus- ja reagointivalmiuksia edistämällä turvaoperaatiokeskusten (SOC) EU-infrastruktuurin käyttöönottoa, tukemalla EU:n tason kyberreservin asteittaista kehittämistä luotettavien yksityisten palveluntarjoajien tarjoamien palvelujen avulla ja tukemalla EU:n riskiarviointien perusteella mahdollisten haavoittuvuuksien varalta tehtävän keskeisten toimijoiden testaamista.

(7)

Koko unionissa on vahvistettava kyberuhkien ja poikkeamien havaitsemista ja niihin liittyvää tilannetietoisuutta sekä solidaarisuutta parantamalla jäsenvaltioiden ja unionin varautumista ja valmiuksia ehkäistä merkittäviä kyberturvallisuuspoikkeamia ja laajamittaisia kyberturvallisuuspoikkeamia ja reagoida niihin. Tämän vuoksi olisi perustettava yleiseurooppalainen kyberkeskittymien verkosto, jäljempänä ’eurooppalainen kyberturvallisuuden hälytysjärjestelmä’, jotta voidaan kehittää koordinoituja havaitsemis- ja tilannetietoisuusvalmiuksia ja siten lujittaa uhkien havaitsemista ja tietojen jakamista koskevia unionin valmiuksia; perustettava kyberturvallisuuden hätämekanismi, jolla tuetaan jäsenvaltioita niiden pyynnöstä merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisiin kyberturvallisuuspoikkeamiin varautumisessa ja reagoimisessa sekä niiden vaikutusten lieventämisessä ja niistä palautumisen käynnistämisessä ja tuetaan muita käyttäjiä merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin reagoimisessa; ja perustettava eurooppalainen kyberturvallisuuspoikkeamien tarkastelumekanismi, jotta voidaan tarkastella ja arvioida erityisesti merkittäviä kyberturvallisuuspoikkeamia tai laajamittaisia kyberturvallisuuspoikkeamia. Tämän asetuksen mukaisesti toteutetuissa toimissa olisi otettava asianmukaisesti huomioon jäsenvaltioiden toimivalta, ja niillä olisi täydennettävä direktiivillä (EU) 2022/2555 perustettavien CSIRT-verkoston, Euroopan kyberkriisien yhteysorganisaatioiden verkoston, jäljempänä ’EU-CyCLONe’, tai yhteistyöryhmän (verkko- ja tietoturva-alan yhteistyöryhmä) toteuttamia toimia, eivätkä ne saisi olla päällekkäisiä niiden kanssa. Kyseiset toimet eivät vaikuta Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 107 ja 108 artiklan soveltamiseen.

(8)

Kyseisten tavoitteiden saavuttamiseksi on muutettava tietyiltä osin Euroopan parlamentin ja neuvoston asetusta (EU) 2021/694 (9). Tällä asetuksella olisi muutettava asetusta (EU) 2021/694 erityisesti lisäämällä Digitaalinen Eurooppa -ohjelman erityistavoitteeseen 3 uusia operatiivisia tavoitteita, jotka liittyvät eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään ja kyberturvallisuuden hätämekanismiin; tavoitteena on taata digitaalisten sisämarkkinoiden häiriönsietokyky, eheys ja luotettavuus, vahvistaa valmiuksia seurata kyberhyökkäyksiä ja kyberuhkia ja reagoida niihin sekä vahvistaa rajatylittävää kyberturvallisuusyhteistyötä ja -koordinointia. Eurooppalaisella kyberturvallisuuden hälytysjärjestelmällä voisi olla tärkeä rooli jäsenvaltioiden tukemisessa kyberuhkien ennakoinnissa ja niiltä suojautumisessa, ja EU:n kyberturvallisuusreservillä voisi olla tärkeä rooli jäsenvaltioiden, unionin toimielinten, elinten, toimistojen ja virastojen sekä Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden tukemisessa merkittäviin kyberturvallisuuspoikkeamiin, laajamittaisiin kyberturvallisuuspoikkeamiin ja laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin vastaamisessa ja niiden vaikutusten lieventämisessä. Kyseisiä vaikutuksia voisivat olla huomattavat aineelliset tai aineettomat vahingot ja vakavat yleiseen turvallisuuteen liittyvät riskit. Kun otetaan huomioon erityiset roolit, jotka eurooppalaisella kyberturvallisuuden hälytysjärjestelmällä ja EU:n kyberturvallisuusreservillä voisi olla, tällä asetuksella olisi muutettava asetusta (EU) 2021/694 unioniin sijoittautuneiden mutta kolmansien maiden määräysvallassa olevien oikeussubjektien osallistumisen osalta, jos on olemassa todellinen riski, että unionissa ei ole saatavilla tarvittavia ja riittäviä välineitä, infrastruktuuria ja palveluja tai teknologiaa, asiantuntemusta ja valmiuksia ja tällaisten oikeussubjektien sisällyttämisestä saatavat hyödyt ovat suuremmat kuin turvallisuusriski. Olisi vahvistettava erityisedellytykset, joiden mukaisesti rahoitustukea voidaan myöntää toimiin, joilla pannaan täytäntöön eurooppalainen kyberturvallisuuden hälytysjärjestelmä ja EU:n kyberturvallisuusreservi, ja määriteltävä asetettujen tavoitteiden saavuttamiseksi tarvittavat hallinto- ja koordinointimekanismit. Muihin asetukseen (EU) 2021/694 tehtäviin muutoksiin olisi kuuluttava kuvaukset ehdotetuista uusien operatiivisten tavoitteiden mukaisista toimista sekä mitattavissa olevat indikaattorit, joiden avulla voidaan seurata kyseisten uusien operatiivisten tavoitteiden täytäntöönpanoa.

(9)

Yhteistyö kansainvälisten organisaatioiden sekä luotettujen ja samanmielisten kansainvälisten kumppaneiden kanssa on keskeisen tärkeää, jotta voidaan vahvistaa unionin reagointia kyberuhkiin ja poikkeamiin. Tässä yhteydessä luotettujen ja samanmielisten kansainvälisten kumppaneiden olisi ymmärrettävä tarkoittavan maita, jotka jakavat unionin perustamisen johtoajatuksena olevat periaatteet, eli demokratia, oikeusvaltio, ihmisoikeuksien ja perusvapauksien yleismaailmallisuus ja jakamattomuus, ihmisarvon kunnioittaminen, tasa-arvo ja yhteisvastuu sekä Yhdistyneiden kansakuntien peruskirjan periaatteiden ja kansainvälisen oikeuden noudattaminen, ja jotka eivät vaaranna unionin tai sen jäsenvaltioiden keskeisiä turvallisuusetuja. Tällaisesta yhteistyöstä voisi olla hyötyä myös tämän asetuksen mukaisesti toteutetuissa toimissa, erityisesti eurooppalaisessa kyberturvallisuuden hälytysjärjestelmässä ja EU:n kyberturvallisuusreservissä. Asetuksessa (EU) 2021/694 olisi tietyin saatavuutta ja turvallisuutta koskevin edellytyksin säädettävä, että eurooppalaista kyberturvallisuuden hälytysjärjestelmää ja EU:n kyberturvallisuusreserviä koskevat tarjouskilpailut olisivat avoimia kolmansien maiden määräysvallassa oleville oikeussubjekteille, kunhan turvallisuusvaatimukset täyttyvät. Arvioitaessa tällaiseen hankinnan avaamiseen liittyvää turvallisuusriskiä on tärkeää ottaa huomioon periaatteet ja arvot, joita unioni jakaa samanmielisten kansainvälisten kumppaneiden kanssa, jos kyseiset periaatteet ja arvot liittyvät unionin keskeisiin turvallisuusetuihin. Kun tällaisia turvallisuusvaatimuksia punnitaan asetuksen (EU) 2021/694 mukaisesti, voitaisiin lisäksi ottaa huomioon useita tekijöitä, kuten toimijan yritysrakenne ja päätöksentekoprosessi, tietojen ja turvallisuusluokiteltujen tai arkaluonteisten tietojen turvaaminen sekä sen varmistaminen, että sellaiset kolmannet maat, jotka eivät saa osallistua, eivät valvo tai rajoita toimen tuloksia.

(10)

Tämän asetuksen mukaisten toimien rahoituksesta olisi säädettävä asetuksessa (EU) 2021/694, jonka olisi säilyttävä asiaankuuluvana perussäädöksenä Digitaalinen Eurooppa -ohjelman erityistavoitteen 3 mukaisten toimien osalta. Kutakin toimea koskevat osallistumisen erityisedellytykset on määrä vahvistaa asiaankuuluvissa työohjelmissa asetuksen (EU) 2021/694 mukaisesti.

(11)

Tähän asetukseen sovelletaan Euroopan parlamentin ja neuvoston SEUT 322 artiklan nojalla hyväksymiä horisontaalisia varainhoitosääntöjä. Kyseisissä Euroopan parlamentin ja neuvoston asetukseen (EU, Euratom) 2024/2509 (10) sisältyvissä säännöissä vahvistetaan varsinkin menettely, joka koskee unionin talousarvion laatimista ja toteuttamista, sekä säädetään taloushallinnon toimijoiden toiminnan valvonnasta. SEUT 322 artiklan nojalla hyväksyttyihin sääntöihin sisältyy myös yleinen ehdollisuusjärjestelmä unionin talousarvion suojaamiseksi, sellaisena kuin siitä säädetään Euroopan parlamentin ja neuvoston asetuksessa (EU, Euratom) 2020/2092 (11).

(12)

Vaikka ennaltaehkäisy- ja varautumistoimenpiteet ovat olennaisen tärkeitä, jotta voidaan parantaa unionin häiriönsietokykyä merkittävien kyberturvallisuuspoikkeamien, laajamittaisten kyberturvallisuuspoikkeamien ja laajamittaisia vastaavien kyberturvallisuuspoikkeamien varalta, tällaisten poikkeamien esiintymistä, ajoitusta ja laajuutta ei niiden luonteen vuoksi voida ennakoida. Riittävien toimien varmistamiseksi tarvittavat taloudelliset resurssit voivat vaihdella huomattavasti vuodesta toiseen, ja ne olisi voitava asettaa saataville välittömästi. Ennakoitavuutta koskevan talousarvioperiaatteen sovittaminen yhteen sen kanssa, että uusiin tarpeisiin on reagoitava nopeasti, edellyttää näin ollen työohjelmien rahoituksen täytäntöönpanon mukauttamista. Tämän vuoksi on aiheellista sallia käyttämättä jääneiden määrärahojen siirtäminen varainhoitovuodelta toiselle, mutta vain seuraavalle vuodelle ja vain EU:n kyberturvallisuusreserviin ja keskinäistä avunantoa tukeviin toimiin asetuksen (EU, Euratom) 2024/2509 12 artiklan 4 kohdan nojalla sallitun määrärahojen siirron lisäksi.

(13)

Kyberuhkien ja poikkeamien tuloksekkaampaa ehkäisemistä ja arvioimista sekä niihin reagoimista ja niistä palautumista varten on kehitettävä kattavampi tietämys uhkista, jotka kohdistuvat unionin alueella sijaitseviin kriittisiin resursseihin ja infrastruktuuriin, mukaan lukien niiden maantieteellinen jakautuminen ja yhteenliitännät sekä kyseiseen infrastruktuuriin kohdistuvien kyberhyökkäysten mahdolliset vaikutukset. Ennakoiva lähestymistapa kyberuhkien tunnistamiseen, lieventämiseen ja ehkäisemiseen käsittää edistyneiden havaitsemisvalmiuksien lisätyn kapasiteetin. Eurooppalaisen kyberturvallisuuden hälytysjärjestelmän olisi koostuttava useista yhteentoimivista rajojen yli toimivista kyberkeskittymistä, joista kukin kokoaa yhteen vähintään kolme kansallista kyberkeskittymää. Kyseisen infrastruktuurin olisi palveltava jäsenvaltioiden ja unionin kyberturvallisuuteen liittyviä etuja ja tarpeita, hyödynnettävä uusinta tekniikkaa asiaankuuluvien ja tarvittaessa anonymisoitujen datan ja tietojen keräämiseksi edistyneesti ja analysointivälineitä, parannettava kyberuhkien koordinoituja havaitsemis- ja hallintavalmiuksia ja mahdollistettava reaaliaikainen tilannetietoisuus. Kyseisen infrastruktuurin olisi parannettava kyberturvallisuuden tasoa lisäämällä havaitsemista, datan ja tietojen yhdistämistä ja analysointia kyberuhkien ja poikkeamien ehkäisemiseksi ja siten täydennettävä ja tuettava kyberkriisinhallinnasta unionissa vastaavia unionin toimijoita ja verkostoja, erityisesti EU-CyCLONea.

(14)

Osallistuminen eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään on jäsenvaltioille vapaaehtoista. Kunkin jäsenvaltion olisi nimettävä kansallisella tasolla yksi toimija, jonka tehtävänä on koordinoida kyberuhkien havaitsemistoimia kyseisessä jäsenvaltiossa. Kyseisten kansallisten kyberkeskittymien olisi toimittava kansallisella tasolla viitetahona ja yhdyskäytävänä eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään osallistumista varten ja varmistettava, että julkisten ja yksityisten toimijoiden kyberuhkatiedot jaetaan ja kerätään kansallisella tasolla tehokkaalla ja yksinkertaisella tavalla. Kansalliset kyberkeskittymät voisivat vahvistaa yhteistyötä ja tietojen jakamista julkisten ja yksityisten toimijoiden välillä ja tukea myös asiaankuuluvien datan ja tietojen vaihtoa asiaankuuluvien alakohtaisten ja monialaisten yhteisöjen kanssa, mukaan lukien asiaankuuluvat toimialan tietojen jakamisen ja analysoinnin keskukset, jäljempänä ’ISAC-keskukset’. Tiivis ja koordinoitu yhteistyö julkisten ja yksityisten toimijoiden välillä on keskeisessä asemassa, jotta voidaan vahvistaa unionin kyberhäiriönsietokykyä. Tällainen yhteistyö on erityisen tärkeää kyberuhkatiedon jakamisen yhteydessä aktiivisen kybersuojauksen parantamiseksi. Osana tällaista yhteistyötä ja tietojen jakamista kansalliset kyberkeskittymät voisivat pyytää ja vastaanottaa tiettyjä tietoja. Kyseisillä kansallisilla kyberkeskittymillä ei ole tämän asetuksen nojalla velvoitetta eikä valtuuksia panna tällaisia pyyntöjä täytäntöön. Tarvittaessa sekä unionin oikeuden ja kansallisen lainsäädännön mukaisesti tiedot, joita pyydetään tai vastaanotetaan, voisivat olla esimerkiksi antureiden, lokien ja telemetrian kautta kerättyjä tietoja toimijoilta, kuten tietoturvapalveluntarjoajilta, jotka toimivat erittäin kriittisillä toimialoilla tai muilla kriittisillä toimialoilla kyseisessä jäsenvaltiossa, jotta voidaan tehostaa mahdollisten kyberuhkien ja poikkeamien nopeaa havaitsemista aikaisemmassa vaiheessa ja siten parantaa tilannetietoisuutta. Jos kansallinen kyberkeskittymä ei ole asiaankuuluvan jäsenvaltion direktiivin (EU) 2022/2555 8 artiklan 1 kohdan nojalla nimeämä tai perustama toimivaltainen viranomainen, on ratkaisevan tärkeää, että se koordinoi toimintaansa kyseisen toimivaltaisen viranomaisen kanssa tällaisia tietoja koskevien pyyntöjen ja tällaisten tietojen vastaanottamisen osalta.

(15)

Osana eurooppalaista kyberturvallisuuden hälytysjärjestelmää olisi perustettava useita rajojen yli toimivia kyberkeskittymiä. Kyseisten rajojen yli toimivien kyberkeskittymien olisi koottava yhteen kansallisia kyberkeskittymiä vähintään kolmesta jäsenvaltiosta, jotta voidaan varmistaa, että rajat ylittävästä uhkien havaitsemisesta sekä tietojen jakamisesta ja hallinnoinnista saatavat hyödyt voidaan saavuttaa kaikilta osin. Rajojen yli toimivien kyberkeskittymien yleisenä tavoitteena olisi oltava vahvistaa kyberuhkien analysointi-, ehkäisemis- ja havaitsemisvalmiuksia sekä tukea laadukkaan kyberuhkatiedon tuottamista erityisesti jakamalla luotetussa ja suojatussa ympäristössä asiaankuuluvia ja tarvittaessa anonymisoituja tietoja useista julkisista tai yksityisistä lähteistä sekä jakamalla ja käyttämällä yhdessä uusimman tekniikan tason mukaisia välineitä ja kehittämällä yhdessä havaitsemis-, analysointi- ja ehkäisemisvalmiuksia luotetussa ja suojatussa ympäristössä. Rajojen yli toimivien kyberkeskittymien olisi tarjottava uusia lisävalmiuksia ja perustuttava olemassa oleviin turvaoperaatiokeskuksiin ja CSIRT-yksiköihin ja muihin asiaankuuluviin toimijoihin, mukaan lukien CSIRT-verkosto, sekä täydennettävä niitä.

(16)

Jäsenvaltion, jonka Euroopan parlamentin ja neuvoston asetuksella (EU) 2021/887 (12) perustettu Euroopan kyberturvallisuuden teollisuus-, teknologia- ja tutkimusosaamiskeskus, jäljempänä ’Euroopan kyberturvallisuuden osaamiskeskus’, on valinnut kiinnostuksenilmaisupyyntöjen perusteella perustamaan tai parantamaan kansallisen kyberturvallisuuskeskittymän valmiuksia, olisi hankittava asiaankuuluvat välineet, infrastruktuuri tai palvelut yhteisesti Euroopan kyberturvallisuuden osaamiskeskuksen kanssa. Tällaisen jäsenvaltion olisi voitava saada avustusta välineiden, infrastruktuurin tai palvelujen käyttöön. Isännöintiyhteenliittymä, joka koostuu vähintään kolmesta jäsenvaltiosta ja jonka Euroopan kyberturvallisuuden osaamiskeskus on valinnut kiinnostuksenilmaisupyynnön perusteella perustamaan tai parantamaan rajojen yli toimivan kyberkeskittymän valmiuksia, olisi hankittava asiaankuuluvat välineet, infrastruktuuri tai palvelut yhteisesti Euroopan kyberturvallisuuden osaamiskeskuksen kanssa. Isännöintiyhteenliittymän olisi voitava saada avustusta välineiden, infrastruktuurin tai palvelujen käyttöön. Hankintamenettely asiaankuuluvien välineiden, infrastruktuurin tai palvelujen hankkimiseksi olisi toteutettava yhteisesti Euroopan kyberturvallisuuden osaamiskeskuksen ja tällaisten kiinnostuksenilmaisupyyntöjen perusteella valittujen jäsenvaltioiden asiaankuuluvien hankintaviranomaisten kanssa. Tällaisen hankinnan olisi oltava asetuksen (EU, Euratom) 2024/2509 168 artiklan 2 kohdan ja Euroopan kyberturvallisuuden osaamiskeskuksen varainhoitosääntöjen mukainen. Sen vuoksi yksityisten toimijoiden ei olisi voitava osallistua kiinnostuksenilmaisupyyntöihin, jotka koskevat välineiden, infrastruktuurin tai palvelujen hankkimista yhteisesti Euroopan kyberturvallisuuden osaamiskeskuksen kanssa, eikä saatava avustuksia tällaisten välineiden, infrastruktuurin tai palvelujen käyttöön. Jäsenvaltioiden olisi kuitenkin voitava ottaa yksityiset toimijat mukaan kansallisten kyberkeskittymiensä ja rajojen yli toimivien kyberkeskittymien perustamiseen, parantamiseen ja toimintaan muilla asianmukaisiksi katsomillaan tavoilla unionin oikeuden ja kansallisen lainsäädännön mukaisesti. Yksityiset toimijat voisivat myös saada unionin rahoitusta asetuksen (EU) 2021/887 nojalla kansallisten kyberkeskittymien tukemiseen.

(17)

Kyberuhkien havaitsemisen tehostamiseksi ja tilannetietoisuuden parantamiseksi unionissa jäsenvaltion, joka on valittu kiinnostuksenilmaisupyynnön perusteella perustamaan kansallinen kyberkeskittymä tai parantamaan sen valmiuksia, olisi sitouduttava hakemaan osallistumista rajojen yli toimivaan kyberkeskittymään. Jos jäsenvaltio ei osallistu rajojen yli toimivaan kyberkeskittymään kahden vuoden kuluessa päivästä, jona välineet, infrastruktuuri tai palvelut on hankittu tai jona se on saanut avustusrahoitusta, sen mukaan, kumpi näistä tapahtui aikaisemmin, sen ei olisi voitava osallistua uusiin unionin tukitoimiin eurooppalaisen kyberturvallisuuden hälytysjärjestelmän puitteissa, joilla lisätään sen kansallisen kyberkeskittymän valmiuksia. Tällaisissa tapauksissa jäsenvaltioiden toimijat voisivat edelleen osallistua ehdotuspyyntöihin, jotka koskevat muita aiheita Digitaalinen Eurooppa -ohjelman tai muiden unionin rahoitusohjelmien yhteydessä, mukaan lukien kyberuhkien havaitsemista ja tietojen jakamista koskeviin valmiuksiin liittyvät ehdotuspyynnöt, edellyttäen, että kyseiset toimijat täyttävät kyseisissä ohjelmissa vahvistetut tukikelpoisuuskriteerit.

(18)

CSIRT-yksiköt vaihtavat tietoja CSIRT-verkoston puitteissa direktiivin (EU) 2022/2555 mukaisesti. Eurooppalaisen kyberturvallisuuden hälytysjärjestelmän olisi luotava uusi valmius, joka täydentää CSIRT-verkostoa edistämällä sellaisen unionin tilannetietoisuuden luomista, joka mahdollistaa CSIRT-verkoston valmiuksien vahvistamisen. Rajojen yli toimivien kyberkeskittymien olisi koordinoitava toimiaan ja tehtävä tiivistä yhteistyötä CSIRT-verkoston kanssa. Niiden olisi toimittava kokoamalla yhteen dataa ja jakamalla asiaankuuluvia ja tarvittaessa anonymisoituja tietoja kyberuhkista julkisilta ja yksityisiltä toimijoilta, lisäämällä tällaisten datan ja tietojen arvoa asiantuntija-analyysien ja yhteisesti hankittujen infrastruktuurin ja uusimman tekniikan tason mukaisten välineiden avulla sekä edistämällä unionin teknologista riippumattomuutta, sen avointa strategista riippumattomuutta, kilpailukykyä ja häiriönsietokykyä sekä unionin valmiuksien kehittämistä.

(19)

Rajojen yli toimivien kyberkeskittymien olisi toimittava yhteyspisteinä, joiden avulla voidaan koota yhteen laajasti asiaankuuluvaa dataa ja kyberuhkatietoja ja mahdollistettava uhkatietojen jakaminen laajalle ja monipuoliselle joukolle sidosryhmiä, kuten tietoturva- ja vaaratilanteiden hallintatiimit, jäljempänä ’CERT-ryhmät’, CSIRT-yksiköt, ISAC-keskukset ja keskeisen infrastruktuurin ylläpitäjät. Isännöintiyhteenliittymän jäsenten olisi täsmennettävä yhteenliittymäsopimuksessa ne asiaankuuluvat tiedot, jotka asianomaisen rajojen yli toimivan kyberkeskittymän osallistujien on määrä jakaa. Rajojen yli toimivan kyberkeskittymän osallistujien keskenään vaihtamat tiedot voisivat sisältää esimerkiksi verkkojen ja antureiden keräämiä tietoja, uhkatietosyötteitä, vaarantumisindikaattoreita ja kontekstualisoitua tietoa poikkeamista, kyberuhkista, läheltä piti -tilanteista, haavoittuvuuksista, tekniikoista ja menettelyistä, kyberhyökkäystaktiikoista, yksittäisistä uhkatoimijoista, kyberturvallisuushälytyksistä ja suosituksista, jotka koskevat kyberhyökkäysten havaitsemiseen käytettävien kyberturvallisuustyökalujen konfigurointia. Lisäksi rajojen yli toimivien kyberkeskittymien olisi myös tehtävä yhteistyösopimuksia keskenään. Tällaisissa yhteistyösopimuksissa olisi erityisesti täsmennettävä tietojen jakamisen periaatteet ja yhteentoimivuus. Niiden yhteentoimivuutta koskevien lausekkeiden, erityisesti tietojen jakamismuotoja ja -käytäntöjä koskevien lausekkeiden, ohjenuorana olisi pidettävä asetuksella (EU) 2019/881 perustetun Euroopan unionin kyberturvallisuusviraston (ENISA) antamia yhteentoimivuutta koskevia ohjeita ja niiden lähtökohtana olisi siksi pidettävä kyseisiä ohjeita. Kyseiset ohjeet olisi annettava nopeasti sen varmistamiseksi, että rajojen yli toimivat kyberkeskittymät voivat ottaa ne huomioon varhaisessa vaiheessa. Niissä olisi otettava huomioon kansainväliset standardit, parhaat käytännöt ja perustettujen rajojen yli toimivien kyberkeskittymien toiminta.

(20)

Rajojen yli toimivien kyberkeskittymien ja CSIRT-verkoston olisi tehtävä tiivistä yhteistyötä synergioiden ja toimien täydentävyyden varmistamiseksi. Tätä varten niiden olisi sovittava yhteistyötä ja asiaankuuluvien tietojen jakamista koskevista menettelyllisistä järjestelyistä. Tähän voisi sisältyä asiaankuuluvien tietojen jakaminen kyberuhkista ja merkittävistä kyberturvallisuuspoikkeamista sekä sen varmistaminen, että kokemukset rajojen yli toimivissa kyberkeskittymissä käytettävistä uusimman tekniikan mukaisista välineistä, erityisesti tekoälystä ja data-analytiikkateknologiasta, jaetaan CSIRT-verkoston kanssa.

(21)

Asiaankuuluvien viranomaisten yhteinen tilannetietoisuus on välttämätön edellytys unionin laajuiselle varautumiselle merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisiin kyberturvallisuuspoikkeamiin sekä siihen liittyvälle koordinoinnille. Direktiivillä (EU) 2022/2555 perustettiin EU-CyCLONe-verkosto tukemaan laajamittaisten kyberturvallisuuspoikkeamien ja -kriisien koordinoitua hallintaa operatiivisella tasolla ja varmistamaan säännöllinen asiaankuuluvien tietojen vaihto jäsenvaltioiden ja unionin toimielinten, elinten, toimistojen ja virastojen välillä. Direktiivissä (EU) 2022/2555 perustettiin myös CSIRT-verkosto kaikkien jäsenvaltioiden ripeän ja tehokkaan operatiivisen yhteistyön edistämiseksi. Jos rajojen yli toimivat kyberkeskittymät saavat tietoja mahdollisesta tai meneillään olevasta laajamittaisesta kyberturvallisuuspoikkeamasta, niiden olisi toimitettava asiaankuuluvat tiedot CSIRT-verkostolle ja ilmoitettava varhaisvaroituksella EU-CyCLONelle, jotta voidaan varmistaa tilannetietoisuus ja vahvistaa solidaarisuutta. Jaettavia tietoja voisivat olla tilanteesta riippuen erityisesti tekniset tiedot, tiedot hyökkääjän tai mahdollisen hyökkääjän luonteesta ja motiiveista sekä muut kuin tekniset korkeamman tason tiedot mahdollisesta tai meneillään olevasta laajamittaisesta kyberturvallisuuspoikkeamasta. Tässä yhteydessä olisi kiinnitettävä asianmukaista huomiota tiedonsaantitarpeen periaatteeseen ja jaettavien tietojen mahdolliseen arkaluonteisuuteen. Direktiivissä (EU) 2022/2555 muistutetaan myös komission vastuista Euroopan parlamentin ja neuvoston päätöksellä 1313/2013/EU (13) perustetussa unionin pelastuspalvelumekanismissa sekä EU:n poliittisen kriisitoiminnan integroituja järjestelyjä, jäljempänä ’IPCR-järjestelyt’, koskevien analyysiraporttien laatimisessa neuvoston täytäntöönpanopäätöksen (EU) 2018/1993 (14) mukaisesti. Kun rajojen yli toimivat kyberkeskittymät jakavat asiaankuuluvia tietoja ja varhaisvaroituksia mahdollisesta tai meneillään olevasta laajamittaisesta kyberturvallisuuspoikkeamasta EU-CyCLONelle ja CSIRT-verkostolle, on välttämätöntä, että kyseiset tiedot jaetaan kyseisten verkostojen kautta jäsenvaltioiden viranomaisille ja komissiolle. Direktiivissä (EU) 2022/2555 säädetään tältä osin, että EU-CyCLONen tarkoitus on tukea laajamittaisten kyberturvallisuuspoikkeamien ja -kriisien koordinoitua hallintaa operatiivisella tasolla ja varmistaa säännöllinen asiaankuuluvien tietojen vaihto jäsenvaltioiden ja unionin toimielinten, elinten, toimistojen ja virastojen välillä. EU-CyCLONen tehtäviin kuuluu yhteisen tilannetietoisuuden kehittäminen tällaisten poikkeamien ja kriisien varalta. On äärimmäisen tärkeää, että EU-CyCLONe varmistaa kyseisen tarkoituksen ja tehtäviensä mukaisesti, että tällaiset tiedot annetaan välittömästi asiaankuuluville jäsenvaltioiden edustajille ja komissiolle. Tätä varten on ratkaisevan tärkeää, että EU-CyCLONen työjärjestykseen sisältyy asianmukaisia määräyksiä.

(22)

Eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään osallistuvien toimijoiden olisi varmistettava korkea keskinäinen yhteentoimivuuden taso tarpeen mukaan muun muassa tietomuotojen, luokitusjärjestelmän ja tietojen käsittely- ja analytiikkavälineiden osalta. Niiden olisi myös varmistettava suojatut viestintäkanavat, turvallisuuden vähimmäistaso sovellustasolla, tilannetietoisuuden hallintapaneeli ja indikaattorit. Yhteisen luokitusjärjestelmän hyväksymisessä ja tilannekatsausten mallin laatimisessa havaittujen kyberuhkien ja riskien syiden kuvailemista varten olisi otettava huomioon direktiivin (EU) 2022/2555 täytäntöönpanon puitteissa jo tehty työ.

(23)

Jotta mahdollistetaan eri lähteistä peräisin olevien kyberuhkia koskevien asiaankuuluvien datan ja tietojen laajamittainen vaihtaminen luotetussa ja suojatussa ympäristössä, eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään osallistuvilla toimijoilla olisi oltava käytössään uusimman tekniikan tason mukaiset, korkean suojatason välineet, laitteet ja infrastruktuuri sekä osaavaa henkilöstöä. Tämän avulla olisi voitava parantaa kollektiivisia havaitsemisvalmiuksia ja antaa viranomaisille ja asiaan liittyville toimijoille oikea-aikaisia varoituksia käyttämällä erityisesti viimeisimpiä tekoäly- ja data-analytiikkateknologioita.

(24)

Eurooppalaisen kyberturvallisuuden hälytysjärjestelmän olisi lisättävä unionin teknologista riippumattomuutta ja avointa strategista riippumattomuutta kyberturvallisuuden, kilpailukyvyn ja häiriönsietokyvyn alalla asiaankuuluvien datan ja tietojen keräämisen, analysoinnin, jakamisen ja vaihtamisen avulla. Korkealaatuisten kuratoitujen tietojen kokoamisen avulla saatetaan myös edistää edistyneiden tekoäly- ja data-analytiikkateknologioiden kehittämistä. Ihmisen suorittama valvonta ja tätä varten osaava työvoima on edelleen olennaisen tärkeä korkealaatuisen datan kokoamiseksi tehokkaasti.

(25)

Vaikka eurooppalainen kyberturvallisuuden hälytysjärjestelmä on siviilihanke, kyberpuolustusyhteisö voisi hyötyä siviilipuolen vahvemmista havaitsemis- ja tilannetietoisuusvalmiuksista, jotka on kehitetty kriittisen infrastruktuurin suojaamiseksi.

(26)

Eurooppalaiseen kyberturvallisuuden hälytysjärjestelmään osallistuvien toimijoiden välisessä tietojen jakamisessa olisi noudatettava nykyisiä oikeudellisia vaatimuksia ja erityisesti unionin ja kansallista tietosuojalainsäädäntöä sekä tietojenvaihtoa säänteleviä unionin kilpailusääntöjä. Jos henkilötietojen käsittely on tarpeen, tietojen vastaanottajan olisi ryhdyttävä teknisiin ja organisatorisiin toimenpiteisiin, joilla suojellaan rekisteröityjen oikeuksia ja vapauksia, sekä poistettava tiedot heti, kun niitä ei enää tarvita ilmoitettuun tarkoitukseen, ja ilmoitettava tiedot saataville asettaneelle toimijalle, että tiedot on poistettu.

(27)

Luottamuksellisuuden ja tietoturvan säilyttäminen on ensiarvoisen tärkeää tämän asetuksen kaikkien kolmen pilarin kannalta, olipa kyse sitten tietojen jakamiseen tai -vaihtoon eurooppalaisen kyberturvallisuuden hälytysjärjestelmän yhteydessä kannustamisesta, kyberturvallisuuden hätämekanismista tukea hakevien toimijoiden etujen säilyttämisestä tai sen varmistamisesta, että eurooppalaisen kyberturvallisuuspoikkeamien tarkastelumekanismin yhteydessä laadituista raporteista voidaan saada hyödyllisiä kokemuksia vaikuttamatta kielteisesti poikkeamien kohteena oleviin toimijoihin. Jäsenvaltioiden ja toimijoiden osallistuminen kyseisiin mekanismeihin riippuu niiden osien välisistä luottamussuhteista. Jos tiedot luokitellaan luottamuksellisiksi unionin tai kansallisten sääntöjen nojalla, niiden tämän asetuksen mukainen jakaminen tai vaihto olisi rajattava siihen, mikä on tarpeen ja oikeasuhteista tietojen jakamisen tai vaihdon tarkoituksen kannalta. Tietojen jakamisessa tai vaihdossa olisi myös säilytettävä kyseisten tietojen luottamuksellisuus, myös suojeltava asianomaisten toimijoiden turvallisuusetuja ja kaupallisia etuja. Tämän asetuksen mukaisessa tietojen jakamisessa tai vaihdossa voitaisiin käyttää salassapitosopimuksia tai tietojen levittämistä koskevia ohjeita, kuten Traffic Light Protocol -käsittelyluokitusta. Traffic Light Protocol -käsittelyluokitus on keino tiedottaa mahdollisista tietojen levittämiseen liittyvistä rajoituksista. Se on käytössä lähes kaikissa CSIRT-yksiköissä ja joissakin ISAC-keskuksissa. Kyseisten yleisten vaatimusten lisäksi isännöintiyhteenliittymäsopimuksissa olisi eurooppalaisen kyberturvallisuuden hälytysjärjestelmän osalta vahvistettava erityiset säännöt, jotka koskevat tietojen jakamisen ehtoja asianomaisessa rajojen yli toimivassa kyberkeskittymässä. Kyseisissä sopimuksissa voitaisiin erityisesti vaatia, että tietoja jaetaan ainoastaan unionin oikeuden ja kansallisen lainsäädännön mukaisesti.

(28)

EU:n kyberturvallisuusreservin käyttöönotto edellyttää erityisiä luottamuksellisuutta koskevia sääntöjä. Tukea pyydetään, arvioidaan ja annetaan kriisitilanteessa ja herkillä toimialoilla toimiville toimijoille. Jotta EU:n kyberturvallisuusreservi toimisi tehokkaasti, on olennaisen tärkeää, että käyttäjät ja toimijat voivat jakaa ja tarjota viipymättä pääsyn kaikkiin tietoihin, joita kukin toimija tarvitsee voidakseen osallistua pyyntöjen arviointiin ja tuen käyttöönottoon. Näin ollen tässä asetuksessa olisi säädettävä, että kaikkia tällaisia tietoja käytetään tai jaetaan ainoastaan, jos se on tarpeen EU:n kyberturvallisuusreservin toiminnan kannalta, ja että unionin oikeuden ja kansallisen lainsäädännön nojalla luottamuksellisiksi luokiteltuja tai turvallisuusluokiteltuja tietoja käytetään ja jaetaan ainoastaan kyseisen lainsäädännön mukaisesti. Lisäksi käyttäjien olisi tarvittaessa voitava käyttää tietojen jakamista koskevia käytäntöjä, kuten Traffic Light Protocol -käsittelyluokitusta, rajoitusten täsmentämiseksi. Vaikka käyttäjillä on tältä osin harkintavaltaa, on tärkeää, että ne ottavat tällaisia rajoituksia soveltaessaan huomioon mahdolliset seuraukset, erityisesti pyydettyjen palvelujen arvioinnin tai toimittamisen viivästymisen osalta. EU:n kyberturvallisuusreservin tehokkuuden varmistamiseksi on tärkeää, että hankintaviranomainen selventää kyseisiä seurauksia käyttäjälle ennen kuin tämä esittää pyynnön. Kyseiset suojatoimet rajoittuvat EU:n kyberturvallisuusreservin palvelujen pyytämiseen ja tarjoamiseen, eivätkä ne vaikuta tietojenvaihtoon muissa yhteyksissä, kuten EU:n kyberturvallisuusreservin hankinnoissa.

(29)

Jäsenvaltioihin kohdistuviin poikkeamiin liittyvien lisääntyvien riskien ja poikkeamien kasvavan määrän vuoksi olisi perustettava kriisitukiväline, eli kyberturvallisuuden hätämekanismi, jolla parannetaan unionin kykyä sietää merkittäviä kyberturvallisuuspoikkeamia, laajamittaisia kyberturvallisuuspoikkeamia ja laajamittaisia vastaavia kyberturvallisuuspoikkeamia ja täydennetään jäsenvaltioiden toimia antamalla hätärahoitustukea varautumista, poikkeamiin reagoimista ja keskeisten palvelujen toiminnan palauttamisen käynnistämistä varten. Koska täydellinen palautuminen poikkeamasta on kokonaisvaltainen prosessi, jossa poikkeaman kohteena olevan toimijan toiminta palautetaan ennen poikkeamaa vallinneeseen tilaan, ja palautuminen voi olla pitkä prosessi, josta aiheutuu merkittäviä kustannuksia, EU:n kyberturvallisuusreservin tuki olisi rajattava palautumisprosessin alkuvaiheeseen, joka johtaa järjestelmien perustoimintojen palauttamiseen. Kyberturvallisuuden hätämekanismin olisi mahdollistettava avun nopea ja tehokas käyttöönotto määritellyissä olosuhteissa ja selvien ehtojen mukaisesti sekä resurssien käytön huolellinen seuranta ja arviointi. Samalla kun jäsenvaltioilla on ensisijainen vastuu poikkeamien ja kriisien ennaltaehkäisystä sekä niihin varautumisesta ja reagoimisesta, kyberturvallisuuden hätämekanismin avulla edistetään jäsenvaltioiden välistä yhteisvastuuta Euroopan unionista tehdyn sopimuksen (SEU) 3 artiklan 3 kohdan mukaisesti.

(30)

Kyberturvallisuuden hätämekanismin avulla olisi tuettava jäsenvaltioita täydentämällä niiden omia toimenpiteitä ja resursseja sekä tarjoamalla muita merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisiin kyberturvallisuuspoikkeamiin reagoimiseen ja niiden jälkeisen palautumisen käynnistämiseen liittyviä olemassa olevia tukivaihtoehtoja, kuten ENISAn toimeksiantonsa mukaisesti tarjoamat palvelut, koordinoitu CSIRT-verkoston reagointi ja tuki, EU-CyCLONen tuki lieventämistoimiin sekä jäsenvaltioiden keskinäinen avunanto muun muassa SEU 42 artiklan 7 kohdan puitteissa ja neuvoston päätöksen (YUTP) 2017/2315 nojalla perustetut pysyvän rakenteellisen yhteistyön (PRY) kyberalan nopean toiminnan ryhmät (15). Mekanismin avulla olisi varmistettava, että tällaisiin poikkeamiin varautumisen ja reagoimisen sekä niistä palautumisen tukemiseksi on käytössä erityisiä keinoja koko unionissa ja Digitaalinen Eurooppa -ohjelmaan assosioituneissa kolmansissa maissa.

(31)

Tämä asetus ei vaikuta kriisitoimien koordinointia unionin tasolla koskeviin menettelyihin ja kehyksiin, joita ovat erityisesti direktiivi (EU) 2022/2555, Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (16) perustettu unionin pelastuspalvelumekanismi, IPCR-järjestelyt ja komission suositus (EU) 2017/1584 (17). Kyberturvallisuuden hätämekanismin puitteissa annettavalla tuella voidaan täydentää yhteisen ulko- ja turvallisuuspolitiikan sekä yhteisen turvallisuus- ja puolustuspolitiikan puitteissa muun muassa kyberalan nopean toiminnan ryhmien kautta annettavaa apua, kun otetaan huomioon, että kyseessä on siviilimekanismi. Kyberturvallisuuden hätämekanismin kautta annettavalla tuella voidaan täydentää SEU 42 artiklan 7 kohdan mukaisesti toteutettavia toimia, mukaan lukien yhden jäsenvaltion toiselle jäsenvaltiolle antama apu, tai se voi olla osa unionin ja jäsenvaltioiden yhteisiä toimia tai SEUT 222 artiklassa tarkoitetuissa tilanteissa toteutettavia toimia. Tämän asetuksen täytäntöönpanoa olisi tarvittaessa myös koordinoitava kyberdiplomatian välineistön mukaisten toimenpiteiden täytäntöönpanon kanssa.

(32)

Tämän asetuksen mukaisesti annettavalla tuella olisi tuettava ja täydennettävä jäsenvaltioiden kansallisella tasolla toteuttamia toimia. Tätä varten olisi varmistettava komission, ENISAn, jäsenvaltioiden ja tapauksen mukaan Euroopan kyberturvallisuuden osaamiskeskuksen välinen tiivis yhteistyö ja kuuleminen. Kun jäsenvaltio pyytää tukea kyberturvallisuuden hätämekanismista, sen olisi perusteltava tuen tarve toimittamalla asiaankuuluvat tiedot.

(33)

Direktiivin (EU) 2022/2555 mukaan jäsenvaltioiden on nimettävä tai perustettava yksi tai useampi kyberkriisinhallintaviranomainen ja varmistettava, että niillä on riittävät resurssit tehtäviensä tehokasta ja tuloksekasta suorittamista varten. Direktiivissä edellytetään myös, että jäsenvaltiot yksilöivät valmiudet, voimavarat ja menettelyt, joita voidaan käyttää kriisitilanteessa, ja laativat kansallisen laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallintasuunnitelman, jossa vahvistetaan laajamittaisten kyberturvallisuuspoikkeamien ja kriisien hallinnan tavoitteet ja järjestelyt. Jäsenvaltioiden on myös perustettava yksi tai useampi CSIRT-yksikkö, joka vastaa poikkeamien käsittelystä tarkasti määrättyä prosessia noudattaen ja kattaa vähintään kyseisen direktiivin soveltamisalaan kuuluvat toimialat, toimialojen osat ja toimijatyypit, ja varmistettava, että CSIRT-yksiköillä on riittävät resurssit suorittaa niille osoitetut tehtävät tuloksekkaasti. Tämä asetus ei rajoita komission roolia sen varmistamisessa, että jäsenvaltiot noudattavat direktiivin (EU) 2022/2555 velvoitteita. Kyberturvallisuuden hätämekanismin avulla olisi tuettava toimia, joilla pyritään parantamaan varautumista sekä poikkeamiin reagointia koskevia toimia, joilla lievennetään merkittävien kyberturvallisuuspoikkeamien ja laajamittaisten kyberturvallisuuspoikkeamien vaikutuksia, tuetaan palautumisen käynnistämistä tai palautetaan erittäin kriittisten toimialojen toimijoiden tai muiden kriittisten toimialojen toimijoiden tarjoamien palvelujen perustoiminnot.

(34)

Osana varautumistoimia olisi tuettava direktiivin (EU) 2022/2555 mukaisesti määriteltyjen erittäin kriittisten toimialojen toimijoiden kyberturvallisuuden koordinoidusti testausta ja arviointia, myös harjoitusten ja koulutuksen kautta, jotta voidaan edistää yhdenmukaista lähestymistapaa ja parantaa turvallisuutta unionissa ja sen sisämarkkinoilla. Tätä varten komission olisi ENISAa, verkko- ja tietoturva-alan yhteistyöryhmää ja EU-CyCLONea kuultuaan määritettävä säännöllisesti asiaankuuluvat toimialat tai toimialojen osat, joiden olisi voitava saada taloudellista tukea unionin tasolla tapahtuvaa varautumisen koordinoitua testausta varten. Toimialat tai toimialojen osat olisi valittava direktiivin (EU) 2022/2555 liitteessä I luetelluista erittäin kriittisistä toimialoista. Varautumisen koordinoidun testauksen olisi perustuttava yhteisiin riskiskenaarioihin ja menetelmiin. Toimialojen valinnassa ja riskiskenaarioiden laatimisessa olisi otettava huomioon asiaankuuluvat unionin laajuiset riskinarvioinnit ja riskiskenaariot sekä tarve välttää päällekkäisyyksiä, kuten Euroopan unionin kybertoimien kehittämisestä annetuissa neuvoston päätelmissä vaaditut riskinarvioinnit ja riskiskenaariot, jotka komissio, unionin ulkoasioiden ja turvallisuuspolitiikan korkea edustaja, jäljempänä ’korkea edustaja’, ja verkko- ja tietoturva-alan yhteistyöryhmä toteuttavat koordinoidusti asiaankuuluvien siviili- ja sotilastahojen ja virastojen sekä perustettujen verkostojen, kuten EU-CyCLONen, kanssa, sekä Neversissä esitetyn yhteisen ministeritahon kehotuksen mukainen viestintäverkkojen ja -infrastruktuurin riskinarviointi, jonka verkko- ja tietoturva-alan yhteistyöryhmä laatii komission ja ENISAn tuella ja yhteistyössä Euroopan parlamentin ja neuvoston asetuksella (EU) 2018/1971 (18) perustetun Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelimen kanssa, direktiivin (EU) 2022/2555 22 artiklan nojalla suoritettavat unionin tason kriittisiä toimitusketjuja koskevat koordinoidut turvallisuusriskinarvioinnit sekä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2022/2554 (19) säädetty digitaalisen häiriönsietokyvyn testaus. Toimialojen valinnassa olisi myös otettava huomioon neuvoston suositus unionin laajuisesta koordinoidusta lähestymistavasta kriittisen infrastruktuurin häiriönsietokyvyn vahvistamiseksi.

(35)

Lisäksi kyberturvallisuuden hätämekanismista olisi tarjottava tukea muita varautumistoimia varten ja tuettava varautumista muilla toimialoilla, jotka eivät kuulu erittäin kriittisten toimialojen toimijoiden tai muiden kriittisten toimialojen toimijoiden varautumisen koordinoidun testauksen soveltamisalaan. Kyseisiin toimiin voisi sisältyä erilaisia kansallisia varautumistoimia.

(36)

Kun jäsenvaltiot saavat avustuksia varautumistoimien tukemiseksi, erittäin kriittisten toimialojen toimijat voivat osallistua kyseisiin toimiin vapaaehtoisesti. Hyvänä käytäntönä on, että tällaisten toimien jälkeen osallistuvat toimijat laativat korjaussuunnitelman pannakseen täytäntöön mahdolliset suositukset, jotka koskevat erityisiä toimenpiteitä, jotta varautumistoimesta saadaan mahdollisimman paljon hyötyä. On tärkeää, että jäsenvaltiot pyytävät osana toimia, että osallistuvat toimijat laativat ja panevat täytäntöön tällaisia korjaussuunnitelmia, mutta tällä asetuksella jäsenvaltioita ei velvoiteta eikä valtuuteta panemaan tällaisia pyyntöjä täytäntöön. Tällaiset pyynnöt eivät rajoita direktiivin (EU) 2022/2555 mukaisten toimijoita koskevien vaatimusten ja toimivaltaisten viranomaisten valvontavaltuuksien soveltamista.

(37)

Kyberturvallisuuden hätämekanismin avulla olisi tuettava poikkeamiin reagointia koskevia toimia, joilla lievennetään merkittävien kyberturvallisuuspoikkeamien, laajamittaisten kyberturvallisuuspoikkeamien ja laajamittaisia vastaavien kyberturvallisuuspoikkeamien vaikutuksia, tuetaan palautumisen käynnistämistä tai palautetaan keskeisten palvelujen toiminta. Sen olisi tarvittaessa täydennettävä unionin pelastuspalvelumekanismia, jotta varmistetaan kattava lähestymistapa poikkeamista kansalaisille aiheutuviin vaikutuksiin reagoimiseen.

(38)

Kyberturvallisuuden hätämekanismilla olisi tuettava yhden jäsenvaltion toiselle merkittävästä kyberturvallisuuspoikkeamasta tai laajamittaisesta kyberturvallisuuspoikkeamasta kärsivälle jäsenvaltiolle antamaa teknistä apua muun muassa direktiivin (EU) 2022/2555 11 artiklan 3 kohdan f alakohdassa tarkoitettujen CSIRT-yksikköjen välityksellä. Tällaista apua antavien jäsenvaltioiden olisi voitava pyytää sellaisten kustannusten kattamista, jotka liittyvät asiantuntijaryhmien lähettämiseen keskinäisen avunannon yhteydessä. Tukikelpoisia kustannuksia voisivat olla esimerkiksi kyberturvallisuuden asiantuntijoiden matka-, majoitus- ja päivärahakulut.

(39)

Kun otetaan huomioon yksityisten yritysten keskeinen rooli laajamittaisten kyberturvallisuuspoikkeamien ja laajamittaista vastaavien kyberturvallisuuspoikkeamien havaitsemisessa, niihin varautumisessa ja niihin reagoimisessa, on tärkeää tunnustaa tällaisten yritysten kanssa tehtävän vapaaehtoisen vilpittömän yhteistyön arvo, kun ne tarjoavat palveluja maksutta laajamittaisissa kyberturvallisuuspoikkeamissa ja kriiseissä ja laajamittaisia vastaavissa kyberturvallisuuspoikkeamissa ja -kriiseissä. ENISA voisi yhteistyössä EU-CyCLONen kanssa seurata tällaisten korvauksetta toteutettavien aloitteiden kehitystä ja edistää sitä, että yritykset täyttävät tämän asetuksen nojalla luotettuihin tietoturvapalveluntarjoajiin sovellettavat kriteerit, mukaan lukien yksityisten yritysten luotettavuus, niiden kokemus ja kyky käsitellä arkaluonteisia tietoja suojatusti.

(40)

Osana kyberturvallisuuden hätämekanismia olisi perustettava asteittain EU:n kyberturvallisuusreservi, joka koostuu luotettujen tietoturvapalveluntarjoajien palveluista, joilla tuetaan toimia, jotka liittyvät jäsenvaltioihin, unionin toimielimiin, elimiin, toimistoihin ja virastoihin tai Digitaalinen Eurooppa -ohjelmaan assosioituneisiin kolmansiin maihin vaikuttaviin merkittäviin kyberturvallisuuspoikkeamiin, laajamittaisiin kyberturvallisuuspoikkeamiin tai laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin reagointiin ja niiden jälkeisen palautumisen käynnistämiseen. EU:n kyberturvallisuusreservin avulla olisi varmistettava palvelujen saatavuus ja valmius. Sen vuoksi siihen olisi sisällytettävä palvelut, joista on sovittu ennalta, mukaan lukien esimerkiksi valmiustilassa olevat ja lyhyellä varoitusajalla käytettävissä olevat valmiudet. EU:n kyberturvallisuusreservin palvelujen olisi tuettava kansallisia viranomaisia tarjoamaan asianomaisille erittäin kriittisten toimialojen toimijoille tai asianomaisille muiden kriittisten toimialojen toimijoille tukea, joka täydentää niiden omia kansallisella tasolla toteuttamia toimia. EU:n kyberturvallisuusreservin palvelujen avulla olisi voitava tukea myös unionin toimielimiä, elimiä, toimistoja ja virastoja samanlaisin ehdoin. EU:n kyberturvallisuusreservi voisi myös osaltaan vahvistaa teollisuuden ja palvelujen, myös mikroyritysten ja pienten ja keskisuurten yritysten sekä startup-yritysten, kilpailuasemaa unionissa koko digitaalitaloudessa myös kannustamalla investointeja tutkimukseen ja innovointiin. Hankittaessa palveluja EU:n kyberturvallisuusreserviin on tärkeää ottaa huomioon ENISAn Euroopan kyberturvallisuustaitoja koskeva kehys. Kun käyttäjät pyytävät tukea EU:n kyberturvallisuusreservistä, niiden olisi sisällytettävä hakemukseensa asianmukaiset tiedot asianomaisesta toimijasta ja mahdollisista vaikutuksista, tiedot EU:n kyberturvallisuusreservistä pyydetystä palvelusta ja siitä, millaista tukea poikkeaman kohteena olevalle toimijalle on annettu kansallisella tasolla, ja tämä olisi otettava huomioon hakijan pyyntöä arvioitaessa. Jotta varmistetaan täydentävyys poikkeaman kohteena olevan toimijan käytettävissä olevien muiden tukimuotojen kanssa, pyyntöön olisi sisällytettävä myös tietoa, jos sitä on saatavilla, poikkeamiin reagoimiseen ja niiden jälkeisen palautumisen käynnistämiseen liittyviä palveluja koskevista sopimusjärjestelyistä sekä vakuutussopimuksista, jotka mahdollisesti korvaavat tämäntyyppisen poikkeaman.

(41)

Unionin rahoituksen tehokkaan käytön varmistamiseksi EU:n kyberturvallisuusreservin mukaiset ennalta sovitut palvelut olisi muunnettava asiaankuuluvan sopimuksen mukaisesti poikkeamien ehkäisyyn ja niihin reagointiin liittyviksi varautumispalveluiksi, jos kyseisiä ennalta sovittuja palveluja ei käytetä poikkeamiin reagoimiseen sinä aikana, joksi ne on ennalta sovittu. Kyseisten palvelujen olisi oltava täydentäviä eivätkä ne saisi olla päällekkäisiä Euroopan kyberturvallisuuden osaamiskeskuksen hallinnoimien varautumista koskevien toimien kanssa.

(42)

Hankintaviranomaisen olisi arvioitava jäsenvaltioiden kyberkriisinhallintaviranomaisten ja CSIRT-yksiköiden tai CERT-EU:n unionin toimielinten, elinten, toimistojen ja virastojen puolesta esittämät EU:n kyberturvallisuusreservistä haettavaa tukea koskevat pyynnöt. Tapauksissa, joissa ENISAlle on annettu tehtäväksi EU:n kyberturvallisuusreservin hallinnointi ja toiminta, hankintaviranomainen on ENISA. Komission olisi arvioitava Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden esittämät tukea koskevat pyynnöt. Tukea koskevien pyyntöjen toimittamisen ja arvioinnin helpottamiseksi ENISA voisi perustaa suojatun alustan.

(43)

Jos saadaan samanaikaisesti useita pyyntöjä, ne olisi asetettava tärkeysjärjestykseen tässä asetuksessa säädettyjen perusteiden mukaisesti. Kun otetaan huomioon tämän asetuksen yleiset tavoitteet, kyseisiin perusteisiin olisi kuuluttava poikkeaman mittakaava ja vakavuus, poikkeaman kohteena olevan toimijan tyyppi, poikkeaman mahdollinen vaikutus sen kohteena oleviin jäsenvaltioihin ja käyttäjiin, poikkeaman mahdollinen rajat ylittävä luonne ja leviämisriski sekä toimenpiteet, joita käyttäjä on jo toteuttanut auttaakseen reagoinnissa ja palautumisen käynnistämisessä. Kun otetaan huomioon kyseiset tavoitteet ja koska jäsenvaltioiden käyttäjien pyynnöillä on yksinomaan tarkoitus tukea erittäin kriittisten toimialojen toimijoita tai muiden kriittisten toimialojen toimijoita kaikkialla unionissa, on aiheellista asettaa etusijalle jäsenvaltioiden käyttäjien pyynnöt, jos kyseiset perusteet johtavat siihen, että kaksi tai useampia pyyntöjä arvioidaan yhtä tärkeiksi. Tämä ei vaikuta jäsenvaltioiden mahdollisiin asiaankuuluvien isännöintisopimusten mukaisiin velvoitteisiin toteuttaa toimenpiteitä unionin toimielinten, elinten, toimistojen ja virastojen suojelemiseksi ja avustamiseksi.

(44)

Komissiolla olisi oltava kokonaisvastuu EU:n kyberturvallisuusreservin toimeenpanosta. Kun otetaan huomioon ENISAn laaja kokemus kyberturvallisuuden tukitoimista, ENISA on sopivin virasto panemaan täytäntöön EU:n kyberturvallisuusreservin. Sen vuoksi komission olisi annettava EU:n kyberturvallisuusreservin toiminta ja hallinnointi osittain tai, jos komissio katsoo sen aiheelliseksi, kokonaan ENISAn tehtäväksi. Toimeksianto olisi toteutettava asetuksen (EU, Euratom) 2024/2509 mukaisten sovellettavien sääntöjen mukaisesti, ja erityisesti olisi edellytettävä, että rahoitusosuussopimuksen allekirjoittamista koskevat asiaankuuluvat edellytykset täyttyvät. Kaikkiin EU:n kyberturvallisuusreservin toimintaan ja hallinnointiin liittyviin näkökohtiin, joita ei anneta ENISAn tehtäväksi, olisi sovellettava komission suoraa hallinnointia, myös ennen rahoitusosuussopimuksen allekirjoittamista.

(45)

Jäsenvaltioilla olisi oltava keskeinen rooli EU:n kyberturvallisuusreservin perustamisen ja käyttöönoton aikana sekä käyttöönoton jälkeen. Koska asetus (EU) 2021/694 on asiaankuuluva perussäädös EU:n kyberturvallisuusreservin täytäntöönpanotoimille, EU:n kyberturvallisuusreservin mukaisista toimista olisi säädettävä asetuksen (EU) 2021/694 24 artiklassa tarkoitetuissa työohjelmissa. Kyseisen artiklan 6 kohdan nojalla komission on määrä hyväksyä kyseiset työohjelmat täytäntöönpanosäädöksillä tarkastelumenettelyä noudattaen. Lisäksi komission olisi koordinoidusti verkko- ja tietoturva-alan yhteistyöryhmän kanssa määritettävä EU:n kyberturvallisuusreservin painopisteet ja kehitys.

(46)

EU:n kyberturvallisuusreservin puitteissa tehdyt sopimukset eivät saisi vaikuttaa poikkeaman kohteena olevan toimijan tai käyttäjien ja palveluntarjoajan välisiin liikesuhteisiin ja olemassa oleviin velvoitteisiin.

(47)

Jotta voidaan valita yksityisiä palveluntarjoajia tarjoamaan palveluja EU:n kyberturvallisuusreservin puitteissa, on tarpeen vahvistaa vähimmäisperusteet ja -vaatimukset, jotka olisi sisällytettävä kyseisten palveluntarjoajien valitsemista varten järjestettäviin tarjouskilpailuihin sen varmistamiseksi, että jäsenvaltioiden viranomaisten, erittäin kriittisten toimialojen toimijoiden ja muiden kriittisten toimialojen toimijoiden tarpeet tulevat täytetyiksi. Jäsenvaltioiden erityistarpeiden huomioon ottamiseksi hankintaviranomaisen olisi EU:n kyberturvallisuusreserviä varten palveluja hankittaessa tarvittaessa laadittava uusia valintaperusteita ja -vaatimuksia tässä asetuksessa säädettyjen lisäksi. On tärkeää kannustaa alue- ja paikallistasolla toimivien pienempien palveluntarjoajien osallistumista.

(48)

Valitessaan EU:n kyberturvallisuusreserviin sisällytettäviä palveluntarjoajia hankintaviranomaisen olisi pyrittävä varmistamaan, että EU:n kyberturvallisuusreservi kokonaisuudessaan sisältää palveluntarjoajia, jotka pystyvät täyttämään käyttäjien kielivaatimukset. Tätä varten hankintaviranomaisen olisi ennen tarjouseritelmien laatimista selvitettävä, onko EU:n kyberturvallisuusreservin mahdollisilla käyttäjillä erityisiä kielivaatimuksia, jotta EU:n kyberturvallisuusreservin tukipalveluja voidaan tarjota jollakin unionin toimielinten tai jäsenvaltioiden virallisista kielistä, jota käyttäjä tai poikkeaman kohteena oleva toimija todennäköisesti ymmärtää. Jos käyttäjä tarvitsee useampaa kuin yhtä kieltä EU:n kyberturvallisuusreservin tukipalvelujen tarjoamiseksi ja kyseiset palvelut on hankittu kyseisillä kielillä kyseiselle käyttäjälle, käyttäjän olisi voitava täsmentää EU:n kyberturvallisuusreservistä haettavaa tukea koskevassa pyynnössä, millä kyseisistä kielistä palvelut olisi tarjottava pyynnön perusteena olevan tietyn poikkeaman yhteydessä.

(49)

EU:n kyberturvallisuusreservin perustamisen tukemiseksi on tärkeää, että komissio pyytää ENISAa laatimaan asetuksen (EU) 2019/881 mukaisen ehdolla olevan kyberturvallisuuden sertifiointijärjestelmän tietoturvapalveluille kyberturvallisuuden hätämekanismin kattamilla aloilla.

(50)

Jotta voidaan tukea tämän asetuksen tavoitteita, jotka liittyvät yhteisen tilannetietoisuuden edistämiseen, unionin häiriönsietokyvyn parantamiseen ja tehokkaan reagoinnin mahdollistamiseen merkittävien kyberturvallisuuspoikkeamien ja laajamittaisten kyberturvallisuuspoikkeamien ilmetessä, komission tai EU-CyCLONen olisi voitava pyytää ENISAa tarkastelemaan ja arvioimaan CSIRT-verkoston tuella ja asianomaisten jäsenvaltioiden suostumuksella kulloiseenkin merkittävään kyberturvallisuuspoikkeamaan tai laajamittaiseen kyberturvallisuuspoikkeamaan liittyneitä kyberuhkia, tiedossa olevia hyödynnettävissä olevia haavoittuvuuksia ja lieventämistoimia. Poikkeaman tarkastelun ja arvioinnin jälkeen ENISAn olisi laadittava poikkeaman tarkasteluraportti yhteistyössä asianomaisen jäsenvaltion, asiaankuuluvien sidosryhmien, mukaan lukien yksityisen sektorin, komission ja muiden asiaankuuluvien unionin toimielinten, elinten, toimistojen ja virastojen edustajat, kanssa. Kyseessä olevia poikkeamia koskevassa tarkasteluraportissa olisi pyrittävä sidosryhmien ja myös yksityisen sektorin kanssa tehtävän yhteistyön pohjalta arvioimaan poikkeaman syyt, vaikutukset ja lieventämistoimet poikkeaman esiintymisen jälkeen. Erityistä huomiota olisi kiinnitettävä niiden tietoturvapalveluntarjoajien panokseen ja kokemuksiin, jotka täyttävät tässä asetuksessa vaaditut mahdollisimman suurta ammatillista luotettavuutta, puolueettomuutta ja tarvittavaa teknistä asiantuntemusta koskevat edellytykset. Raportti olisi toimitettava EU-CyCLONelle, CSIRT-verkostolle ja komissiolle, ja sitä olisi hyödynnettävä niiden ja ENISAn toiminnassa. Jos poikkeama liittyy johonkin Digitaalinen Eurooppa -ohjelmaan assosioituneeseen kolmanteen maahan, komission olisi toimitettava raportti myös korkealle edustajalle.

(51)

Kun otetaan huomioon kyberhyökkäysten ennakoimaton luonne ja se, etteivät ne useinkaan rajoitu jollekin tietylle maantieteelliselle alueelle vaan niillä on suuri riski levitä muualle, koko unionin ja erityisesti sen sisämarkkinoiden ja teollisuuden suojelua edistetään vahvistamalla naapurimaiden häiriönsietokykyä ja valmiuksia reagoida tuloksekkaasti merkittäviin kyberturvallisuuspoikkeamiin ja laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin. Tällaiset toimet voisivat edistää myös unionin kyberdiplomatiaa. Tämän vuoksi Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden olisi voitava pyytää tukea EU:n kyberturvallisuusreservistä koko niiden alueella tai osassa niiden aluetta, jos siitä määrätään sopimuksessa, jonka nojalla kolmas maa on assosioitunut Digitaalinen Eurooppa -ohjelmaan. Unionin olisi tuettava Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden rahoitusta kyseisten maiden asiaankuuluvien kumppanuuksien ja rahoitusvälineiden puitteissa. Tuen olisi katettava palvelut, jotka liittyvät merkittäviin kyberturvallisuuspoikkeamiin tai laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin reagoimiseen ja niiden jälkeisen palautumisen käynnistämiseen.

(52)

Tässä asetuksessa EU:n kyberturvallisuusreserville ja luotetuille tietoturvapalveluntarjoajille asetettuja edellytyksiä olisi sovellettava, kun tukea annetaan Digitaalinen Eurooppa -ohjelmaan assosioituneille kolmansille maille. Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden olisi voitava pyytää tukea EU:n kyberturvallisuusreservistä, kun kohteena olevat toimijat, joille ne pyytävät tukea EU:n kyberturvallisuusreservistä, ovat erittäin kriittisten toimialojen toimijoita tai muiden kriittisten toimialojen toimijoita, ja kun havaitut poikkeamat johtavat merkittäviin operatiivisiin häiriöihin tai voivat aiheuttaa heijastusvaikutuksia unionissa. Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden olisi voitava saada tukea vain, jos sopimuksessa, jonka nojalla ne ovat assosioituneet Digitaalinen Eurooppa -ohjelmaan, määrätään nimenomaisesti tällaisesta tuesta. Lisäksi tällaisten kolmansien maiden olisi voitava saada tukea vain, jos kolme perustetta täyttyvät. Ensinnäkin kolmannen maan olisi noudatettava kaikilta osin kyseisen sopimuksen asiaankuuluvia ehtoja. Toiseksi EU:n kyberturvallisuusreservin täydentävän luonteen vuoksi kolmannen maan olisi oltava ryhtynyt asianmukaisiin toimiin varautuakseen merkittäviin kyberturvallisuuspoikkeamiin tai laajamittaisia vastaaviin kyberturvallisuuspoikkeamiin. Kolmanneksi tuen antamisen EU:n kyberturvallisuusreservistä olisi oltava johdonmukaista kyseistä maata koskevien unionin politiikan ja yleisten suhteiden sekä unionin muun turvallisuuspolitiikan kanssa. Arvioidessaan kyseisen kolmannen perusteen täyttymistä komission olisi kuultava korkeaa edustajaa siitä, onko tällaisen tuen myöntäminen linjassa yhteisen ulko- ja turvallisuuspolitiikan kanssa.

(53)

Tuen antaminen Digitaalinen Eurooppa -ohjelmaan assosioituneille kolmansille maille voi vaikuttaa suhteisiin kolmansiin maihin ja unionin turvallisuuspolitiikkaan, myös yhteisen ulko- ja turvallisuuspolitiikan sekä yhteisen puolustus- ja turvallisuuspolitiikan yhteydessä. Näin ollen on aiheellista, että neuvostolle siirretään täytäntöönpanovalta hyväksyä ja täsmentää ajanjakso, jona tällaista tukea voidaan antaa. Neuvoston olisi toimittava komission ehdotuksesta ja otettava asianmukaisesti huomioon komission arviointi näistä kolmesta perusteesta. Saman olisi koskettava uusimista ja ehdotuksia tällaisten säädösten muuttamiseksi tai kumoamiseksi. Poikkeuksellisissa tilanteissa, jos neuvosto katsoo, että kolmannen perusteen osalta olosuhteet ovat muuttuneet merkittävästi, sen olisi voitava toimia omasta aloitteestaan täytäntöönpanosäädöksen muuttamiseksi tai kumoamiseksi odottamatta komission ehdotusta. Tällaiset merkittävät muutokset edellyttävät todennäköisesti kiireellisiä toimia, niillä on erityisen merkittäviä vaikutuksia suhteisiin kolmansiin maihin, eivätkä ne edellytä komission tekemää yksityiskohtaista ennakkoarviointia. Lisäksi komission olisi tehtävä yhteistyötä korkean edustajan kanssa Digitaalinen Eurooppa -ohjelmaan assosioituneiden kolmansien maiden esittämien tukea koskevien pyyntöjen ja tällaisille kolmansille maille annettavan tuen täytäntöönpanon yhteydessä. Komission olisi otettava huomioon myös ENISAn mahdollisesti esittämät näkemykset tällaisista pyynnöistä ja tuesta. Komission olisi ilmoitettava neuvostolle pyyntöjen arvioinnin tuloksista, mukaan lukien arvioinnissa huomioon otetut asiaankuuluvat seikat, sekä käyttöön otetuista palveluista.

(54)

Komission kyberturvallisuusakatemiaa koskevassa 18 päivänä huhtikuuta 2023 antamassa tiedonannossa todettiin, että pätevistä ammattilaisista on pulaa. Tällaisia taitoja tarvitaan tämän asetuksen tavoitteiden saavuttamiseen. Unioni tarvitsee kiireellisesti ammattilaisia, joilla on unioniin ja sen kriittisimpään infrastruktuuriin kohdistuvien kyberhyökkäysten ehkäisemiseen, havaitsemiseen ja torjumiseen sekä niiltä puolustautumiseen ja uhkien sietokyvyn varmistamiseen tarvittavia taitoja ja osaamista. Tätä varten on tärkeää edistää sidosryhmien, kuten yksityisen sektorin, tiedeyhteisön ja julkisen sektorin, välistä yhteistyötä. Yhtä tärkeää on luoda synergioita kaikilla unionin alueilla, jotta koulutukseen tehtävillä investoinneilla voidaan edistää suojatoimien luomista aivovuodon välttämiseksi ja jotta osaamisvaje ei kasva joillakin alueilla enemmän kuin toisilla alueilla. On kiireellisesti pienennettävä kyberturvallisuuteen liittyvää osaamisvajetta keskittyen erityisesti sukupuolten välisen eron kaventamiseen kyberturvallisuusalan työvoimassa, jotta edistetään naisten mukanaoloa digitaalisen hallinnon suunnittelussa ja osallistumista siihen.

(55)

Innovoinnin vauhdittamiseksi digitaalisilla sisämarkkinoilla on tärkeää vahvistaa kyberturvallisuutta koskevaa tutkimusta ja innovointia, jotta voidaan parantaa osaltaan jäsenvaltioiden häiriönsietokykyä ja unionin avointa strategista riippumattomuutta, jotka molemmat ovat tämän asetuksen tavoitteita. Synergiat ovat olennaisen tärkeitä eri sidosryhmien, kuten yksityisen sektorin, kansalaisyhteiskunnan ja tiedeyhteisön, välisen yhteistyön ja koordinoinnin vahvistamiseksi.

(56)

Tässä asetuksessa olisi otettava huomioon Euroopan parlamentin, neuvoston ja komission 26 päivänä tammikuuta 2022 annetussa yhteisessä julistuksessa ”Eurooppalainen julistus digitaalisen vuosikymmenen digitaalisista oikeuksista ja periaatteista” esitetty sitoumus suojella unionin demokratioiden, ihmisten, yritysten ja julkisten instituutioiden etuja kyberturvallisuusriskeiltä ja kyberrikoksilta, mukaan lukien tietoturvaloukkaukset ja identiteettivarkaudet tai manipulointi.

(57)

Jotta joitakin tämän asetuksen muita kuin keskeisiä osia voidaan täydentää, komissiolle olisi siirrettävä valta hyväksyä SEUT 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla määritetään EU:n kyberturvallisuusreserviä varten tarvittavien poikkeamanhallintapalvelujen tyyppi ja määrä. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (20) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

(58)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa määrittää tarkemmin yksityiskohtaiset menettelylliset järjestelyt, jotka koskevat EU:n kyberturvallisuusreservin tukipalvelujen kohdentamista. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (21) mukaisesti.

(59)

Komission olisi otettava huomioon tästä asetuksesta johtuvat velvoitteet arvioidessaan ENISAn talousarvio- ja henkilöstötarpeita, sanotun kuitenkaan rajoittamatta perussopimusten mukaisten unionin vuotuista talousarviota koskevien sääntöjen soveltamista.

(60)

Komission olisi tehtävä säännöllisesti arviointi tässä asetuksessa säädetyistä toimenpiteistä. Ensimmäinen tällainen arviointi olisi tehtävä kahden ensimmäisen vuoden kuluessa tämän asetuksen voimaantulopäivästä ja sen jälkeen vähintään joka neljäs vuosi ottaen huomioon se, miten SEUT 312 artiklan nojalla vahvistetun monivuotisen rahoituskehyksen tarkistaminen ajoittuu. Komission olisi toimitettava saavutetusta edistyksestä kertomus Euroopan parlamentille ja neuvostolle. Jotta voidaan arvioida vaadittuja eri osatekijöitä, mukaan lukien eurooppalaisessa kyberturvallisuuden hälytysjärjestelmässä jaettavien tietojen laajuus, komission olisi käytettävä perustana yksinomaan helposti saatavilla olevia tai vapaaehtoisesti toimitettuja tietoja. Kun otetaan huomioon geopoliittinen kehitys ja jotta varmistetaan jatkuvuus ja tässä asetuksessa säädettyjen toimenpiteiden kehittäminen edelleen vuoden 2027 jälkeen, on tärkeää, että komissio arvioi monivuotisesta rahoituskehyksestä 2028–2034 osoitettavien riittävien määrärahojen tarpeen.

(61)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteita, eli vahvistaa teollisuuden ja palvelujen kilpailuasemaa unionissa koko digitaalitaloudessa ja edistää unionin teknologista suvereniteettia ja avointa strategista riippumattomuutta kyberturvallisuuden alalla, vaan ne voidaan toiminnan laajuuden tai vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi,