(1)

informacinių ir ryšių technologijų naudojimas ir priklausomumas nuo jų tapo esminiais visų ekonominės veiklos sektorių ir visuomenės aspektais, nes valstybių narių viešojo administravimo institucijos, įmonės ir piliečiai įvairiuose sektoriuose ir įvairiose valstybėse yra vis labiau susieti tarpusavyje ir vieni nuo kitų priklausomi, o dėl to kartu atsiranda ir pažeidžiamumo galimybių;

(2)

kibernetinio saugumo incidentų, įskaitant tiekimo grandinės išpuolius kibernetinio šnipinėjimo vykdymo, išpirkos reikalavimo programinės įrangos arba veiklos sutrikdymo tikslais, mastas, dažnumas ir poveikis didėja Sąjungos ir pasaulio mastu. Tai kelia didelę grėsmę tinklų ir informacinių sistemų veikimui. Atsižvelgiant į sparčiai kintančias grėsmių aplinkybes, dėl galimų didelio masto kibernetinio saugumo incidentų, dėl kurių gali kilti didelių sutrikimų ar būti padaryta žala ypatingos svarbos infrastruktūros objektams, grėsmės reikia didinti Sąjungos kibernetinio saugumo sistemos parengtį. Ta grėsmė yra susijusi ne vien su Rusijos agresijos karu prieš Ukrainą ir ji, tikėtina, išliks, atsižvelgiant į tai, kad dabartinę geopolitinę įtampą lemia daugybė veikėjų. Tokie incidentai gali trukdyti teikti viešąsias paslaugas, nes kibernetiniai išpuoliai yra dažnai nukreipti į vietos, regionines ar nacionalines viešąsias paslaugas ir infrastruktūrą, o vietos valdžios institucijos yra ypač pažeidžiamos, be kita ko, dėl ribotų išteklių. Jie taip pat gali trukdyti vykdyti ekonominę veiklą, be kita ko, ypatingos svarbos ar kituose itin svarbiuose sektoriuose, sukelti didelių finansinių nuostolių, pakenkti naudotojų pasitikėjimui, padaryti didelės žalos Sąjungos ekonomikai ir demokratinėms sistemoms, o jų padariniai gali būti pavojingi net žmonių sveikatai ar gyvybei. Be to, kibernetinio saugumo incidentai yra nenuspėjami, nes dažnai kyla ir išsiplėtoja greitai, nėra susiję su jokia konkrečia geografine teritorija ir vyksta vienu metu arba akimirksniu išplinta daugelyje valstybių. Būtinas glaudus ir koordinuotas viešojo sektoriaus, privačiojo sektoriaus, akademinės bendruomenės, pilietinės visuomenės ir žiniasklaidos bendradarbiavimas;

(3)

būtina stiprinti Sąjungos pramonės ir paslaugų sektorių konkurencinę padėtį skaitmeninėje ekonomikoje ir remti jų skaitmeninę transformaciją, didinant kibernetinio saugumo lygį bendrojoje skaitmeninėje rinkoje, kaip rekomenduojama trijuose skirtinguose Konferencijos dėl Europos ateities pasiūlymuose. Būtina didinti piliečių, įmonių, įskaitant labai mažas įmones, mažąsias ir vidutines įmones bei startuolius, ir subjektų, valdančių ypatingos svarbos infrastruktūros objektus, atsparumą didėjančioms kibernetinėms grėsmėms, kurios gali turėti pražūtingą poveikį visuomenei ir ekonomikai. Todėl reikia investuoti į infrastruktūrą ir paslaugas ir stiprinti pajėgumus, kad būtų ugdomi kibernetinio saugumo įgūdžiai, kurie padėtų greičiau aptikti kibernetinio saugumo grėsmes bei incidentus ir į juos greičiau reaguoti. Be to, valstybėms narėms reikia pagalbos geriau pasirengti reikšmingiems kibernetinio saugumo incidentams ir didelio masto kibernetinio saugumo incidentams bei į juos reaguoti, taip pat pagalbos užtikrinant pradinį veiklos atkūrimą tokiems incidentams įvykus. Naudodamasi esamomis struktūromis ir glaudžiai su jomis bendradarbiaudama, Sąjunga taip pat turėtų didinti savo pajėgumus tose srityse, visų pirma, susijusius su duomenų apie kibernetines grėsmes ir incidentus rinkimu ir analize;

(4)

Sąjunga jau ėmėsi tam tikrų priemonių, kuriomis siekiama sumažinti ypatingos svarbos infrastruktūros objektų ir subjektų pažeidžiamumą ir padidinti jų atsparumą kibernetinio saugumo rizikai, visų pirma priėmė Europos Parlamento ir Tarybos reglamentą (ES) 2019/881 (5), Europos Parlamento ir Tarybos direktyvas 2013/40/ES (6) bei (ES) 2022/2555 (7) ir Komisijos rekomendaciją (ES) 2017/1584 (8). Be to, 2022 m. gruodžio 8 d. Tarybos rekomendacijoje dėl Sąjungos suderinto požiūrio į ypatingos svarbos infrastruktūros atsparumo didinimą valstybės narės raginamos imtis priemonių ir veiksmingai, solidariai bei koordinuotai bendradarbiauti tarpusavyje, su Komisija ir kitomis atitinkamomis valdžios institucijomis bei atitinkamais subjektais, siekiant padidinti ypatingos svarbos infrastruktūros objektų, naudojamų esminėms paslaugoms vidaus rinkoje teikti, atsparumą;

(5)

dėl didėjančios kibernetinio saugumo rizikos ir apskritai sudėtingos grėsmių aplinkos, kai yra aiški rizika, kad incidentai greitai išplis iš vienos valstybės narės į kitą ir iš trečiosios valstybės į Sąjungą, reikia stiprinti solidarumą Sąjungos lygmeniu, kad būtų galima geriau aptikti kibernetines grėsmes ir incidentus, jiems pasirengti, į juos reaguoti ir po jų atkurti veiklą, visų pirma stiprinant esamų struktūrų pajėgumus. Be to, 2022 m. gegužės 23 d. Tarybos išvadose dėl Europos Sąjungos pozicijos kibernetiniais klausimais paragino Komisiją pateikti pasiūlymą dėl naujo Reagavimo į kibernetinio saugumo krizes fondo;

(6)

2022 m. lapkričio 10 d. Komisijos ir Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai bendrame komunikate Europos Parlamentui ir Tarybai dėl ES kibernetinės gynybos politikos paskelbta ES kibernetinio solidarumo iniciatyva, kuria siekiama šių tikslų: stiprinti bendrus ES aptikimo, informuotumo apie padėtį ir reagavimo pajėgumus, skatinant diegti ES saugumo operacijų centrų (toliau – SOC) infrastruktūrą, remiant laipsnišką ES lygmens kibernetinių išteklių rezervo kūrimą, pasitelkiant patikimų privačių paslaugų teikėjų paslaugas, ir ypatingos svarbos subjektų galimo pažeidžiamumo testavimą ES rizikos vertinimų pagrindu;

(7)

būtina stiprinti kibernetinių grėsmių ir incidentų aptikimą ir informuotumą apie padėtį visoje Sąjungoje, taip pat stiprinti solidarumą didinant valstybių narių ir Sąjungos parengtį bei pajėgumus užkirsti kelią reikšmingiems kibernetinio saugumo incidentams ir didelio masto kibernetinio saugumo incidentams ir į juos reaguoti. Todėl, siekiant plėtoti koordinuotus aptikimo ir informuotumo apie padėtį pajėgumus, turėtų būti sukurtas Europos masto kibernetinio saugumo centrų tinklas (toliau – Europos kibernetinio saugumo įspėjimų sistema), kuris sustiprintų Sąjungos grėsmių aptikimo ir dalijimosi informacija pajėgumus; turėtų būti sukurtas Reagavimo į kibernetinio saugumo krizes mechanizmas, siekiant padėti valstybėms narėms, joms paprašius, pasirengti reikšmingiems kibernetinio saugumo incidentams ir didelio masto kibernetinio saugumo incidentams, į juos reaguoti, sumažinti jų padarinius ir po jų inicijuoti veiklos atkūrimą, ir siekiant padėti kitiems naudotojams pasirengti reikšmingiems kibernetinio saugumo incidentams ir didelio masto incidentams lygiaverčiams kibernetinio saugumo incidentams; ir turėtų būti sukurtas Europos kibernetinio saugumo incidentų peržiūros mechanizmas, kad būtų galima peržiūrėti ir įvertinti konkrečius reikšmingus kibernetinio saugumo incidentus arba didelio masto kibernetinio saugumo incidentus. Veiksmai, kurių imtasi pagal šį reglamentą, turėtų būti vykdomi tinkamai atsižvelgiant į valstybių narių kompetenciją ir jais turėtų būti papildoma, o ne dubliuojama CSIRT tinklo, Europos ryšių palaikymo dėl kibernetinių krizių organizacinį tinklo (EU-CyCLONe) ar Bendradarbiavimo grupės (toliau – TIS Bendradarbiavimo grupė), kurie visi įsteigti pagal Direktyvą (ES) 2022/2555, vykdoma veikla. Tais veiksmais nedaromas poveikis Sutarties dėl Europos Sąjungos veikimo (SESV) 107 ir 108 straipsniams;

(8)

siekiant tų tikslų taip pat būtina tam tikrose srityse iš dalies pakeisti Europos Parlamento ir Tarybos reglamentą (ES) 2021/694 (9). Visų pirma šiuo reglamentu turėtų būti iš dalies pakeistas Reglamentas (ES) 2021/694, siekiant įtraukti naujus veiklos tikslus, susijusius su Europos kibernetinio saugumo įspėjimų sistema ir Reagavimo į kibernetinio saugumo krizes mechanizmu pagal Skaitmeninės Europos programos (SEP) 3-iąjį konkretų tikslą, kuriuo siekiama užtikrinti bendrosios skaitmeninės rinkos atsparumą, vientisumą ir patikimumą, stiprinti kibernetinių išpuolių ir kibernetinių grėsmių stebėsenos bei reagavimo į juos pajėgumus ir stiprinti tarpvalstybinį bendradarbiavimą ir koordinavimą kibernetinio saugumo srityje. Europos kibernetinio saugumo įspėjimų sistema galėtų atlikti svarbų vaidmenį padedant valstybėms narėms numatyti kibernetines grėsmes ir nuo jų apsisaugoti, o ES kibernetinio saugumo rezervas galėtų atlikti svarbų vaidmenį padedant valstybėms narėms, Sąjungos institucijoms, organams, įstaigoms ir agentūroms bei SEP asocijuotosioms trečiosioms valstybėms reaguoti į reikšmingus kibernetinio saugumo incidentus, didelio masto kibernetinio saugumo incidentus ir didelio masto incidentams lygiaverčius kibernetinio saugumo incidentus ir mažinti jų padarinius. Tie padariniai galėtų apimti didelę materialinę ar nematerialinę žalą ir didelį pavojų visuomenės saugumui ir saugai. Atsižvelgiant į konkrečius vaidmenis, kuriuos galėtų atlikti Europos kibernetinio saugumo įspėjimų sistema ir ES kibernetinio saugumo rezervas, šiuo reglamentu turėtų būti iš dalies pakeistos Reglamento (ES) 2021/694 nuostatos dėl Sąjungoje įsisteigusių, bet iš trečiųjų valstybių kontroliuojamų teisės subjektų dalyvavimo, kai esama realios rizikos, kad Sąjungoje nebus reikiamų ir pakankamų priemonių, infrastruktūros ir paslaugų arba technologijų, ekspertinių žinių ir pajėgumų, o tokių subjektų įtraukimo nauda nusveria saugumo riziką. Turėtų būti nustatytos konkrečios sąlygos, kuriomis veiksmams, kuriais įgyvendinama Europos kibernetinio saugumo įspėjimų sistema ir ES kibernetinio saugumo rezervas, gali būti teikiama finansinė parama ir turėtų būti apibrėžti numatytiems tikslams pasiekti būtini valdymo ir koordinavimo mechanizmai. Kiti Reglamento (ES) 2021/694 pakeitimai turėtų apimti siūlomų veiksmų pagal naujus veiklos tikslus aprašymus, taip pat išmatuojamus tų naujų veiklos tikslų įgyvendinimo stebėsenos rodiklius;

(9)

siekiant sustiprinti Sąjungos atsaką į kibernetinio saugumo grėsmes, labai svarbus bendradarbiavimas su tarptautinėmis organizacijomis ir patikimais, panašiai mąstančiais tarptautiniais partneriais. Tomis aplinkybėmis patikimi, panašiai mąstantys tarptautiniai partneriai turėtų būti suprantami kaip valstybės, kurios laikosi principų, kuriais grindžiamas Sąjungos sukūrimas: demokratijos, teisinės valstybės, žmogaus teisių ir pagrindinių laisvių visuotinumo ir nedalomumo, pagarbos žmogaus orumui, lygybės ir solidarumo principų, taip pat kurios laikosi Jungtinių Tautų Chartijos ir tarptautinės teisės principų ir kurios nekenkia esminiams Sąjungos ar jos valstybių narių saugumo interesams. Toks bendradarbiavimas taip pat galėtų būti naudingas veiksmams, kurių imamasi pagal šį reglamentą, visų pirma Europos kibernetinio saugumo įspėjimų sistemai ir ES kibernetinio saugumo rezervui. Reglamente (ES) 2021/694 turėtų būti nustatyta, kad jei įvykdomos tam tikros prieinamumo ir saugumo sąlygos, konkursai dėl Europos kibernetinio saugumo įspėjimų sistemos ir ES kibernetinio saugumo rezervo turi būti atviri iš trečiųjų valstybių kontroliuojamiems juridiniams asmenims, jei laikomasi saugumo reikalavimų. Vertinant saugumo riziką, susijusią su tokiu viešųjų pirkimų atvėrimu, svarbu atsižvelgti į principus ir vertybes, kuriais vadovaujasi Sąjunga ir jos panašiai mąstantys tarptautiniai partneriai, kai tie principai ir vertybės yra susiję su esminiais Sąjungos saugumo interesais. Be to, kai tokie saugumo reikalavimai svarstomi pagal Reglamentą (ES) 2021/694, būtų galima atsižvelgti į kelis elementus, pavyzdžiui, subjekto organizacinę struktūrą ir sprendimų priėmimo procesą, duomenų ir įslaptintos arba neskelbtinos informacijos saugumą ir užtikrinimą, kad reikalavimų neatitinkančios trečiosios valstybės netikrintų veiksmo rezultatų ar jų neribotų;

(10)

veiksmų finansavimas pagal šį reglamentą turėtų būti numatytas Reglamente (ES) 2021/694, kuris turėtų ir toliau būti svarbus pagrindinis teisės aktas dėl veiksmų, įtvirtintų SEP 3-iame konkrečiame tiksle. Konkrečios dalyvavimo kiekviename veiksme sąlygos turi būti numatytos atitinkamose darbo programose laikantis Reglamento (ES) 2021/694;

(11)

šiam reglamentui taikomos Europos Parlamento ir Tarybos pagal SESV 322 straipsnį priimtos horizontaliosios finansinės taisyklės. Tos taisyklės išdėstytos Europos Parlamento ir Tarybos reglamente (ES, Euratomas) 2024/2509 (10) – visų pirma jomis nustatoma Sąjungos biudžeto sudarymo ir įgyvendinimo tvarka ir numatoma finansų pareigūnų atsakomybės kontrolė. Pagal SESV 322 straipsnį priimtos taisyklės taip pat apima bendrąją Sąjungos biudžeto apsaugos sąlygų sistemą, kaip nustatyta Europos Parlamento ir Tarybos reglamentu (ES, Euratomas) 2020/2092 (11);

(12)

nors prevencijos ir pasirengimo priemonės yra būtinos siekiant padidinti Sąjungos atsparumą reaguojant į reikšmingus kibernetinio saugumo incidentus, didelio masto kibernetinio saugumo incidentus ir didelio masto incidentams lygiaverčius kibernetinio saugumo incidentus, tokių incidentų atsiradimas, laikas ir mastas dėl savo pobūdžio yra nenuspėjami. Finansiniai ištekliai, kurių reikia adekvačiam atsakui užtikrinti, gali įvairiais metais labai skirtis ir juos turėtų būti galima panaudoti nedelsiant. Todėl, derinant biudžeto nuspėjamumo principą su būtinumu greitai reaguoti į naujus poreikius, reikia koreguoti finansinį darbo programų įgyvendinimą. Todėl, papildant asignavimų perkėlimus, leidžiamus pagal Reglamento (ES, Euratomas) 2024/2509 12 straipsnio 4 dalį, tikslinga leisti nepanaudotus asignavimus perkelti tik į kitus metus ir juos skirti tik ES kibernetinio saugumo rezervui ir savitarpio pagalbos rėmimo veiksmams;

(13)

siekiant veiksmingiau užkirsti kelią kibernetinėms grėsmėms ir incidentams, juos įvertinti, į juos reaguoti ir po jų atsigauti, būtina kaupti daugiau žinių apie Sąjungos teritorijoje esančiam ypatingos svarbos turtui ir infrastruktūros objektams kylančias grėsmes, įskaitant jų geografinį pasiskirstymą, sąsajas ir galimą poveikį kibernetinių išpuolių, darančių poveikį tiems infrastruktūros objektams, atveju. Proaktyvus požiūris į kibernetinių grėsmių nustatymą, mažinimą ir prevenciją apima didesnius pažangių aptikimo gebėjimų pajėgumus. Europos kibernetinio saugumo įspėjimų sistemą turėtų sudaryti keli tarpusavyje susiję tarpvalstybiniai kibernetinio saugumo centrai, iš kurių kiekvienas apjungia tris ar daugiau nacionalinių kibernetinio saugumo centrų. Ta infrastruktūra turėtų atitikti nacionalinius ir Sąjungos kibernetinio saugumo interesus ir poreikius, naudojant naujausias pažangaus svarbių ir, kai tinkama, anonimizuotų duomenų ir informacijos rinkimo bei analizės priemonių technologijas, stiprinant koordinuotus kibernetinio saugumo grėsmių aptikimo ir valdymo pajėgumus ir užtikrinant informuotumą apie padėtį tikruoju laiku. Ta infrastruktūra turėtų padėti gerinti kibernetinio saugumo padėtį, didinant duomenų ir informacijos aptikimą, kaupimą ir analizę, siekiant užkirsti kelią kibernetinio saugumo grėsmėms ir incidentams, ir taip papildyti ir remti už kibernetinių krizių valdymą Sąjungoje atsakingus Sąjungos subjektus ir tinklus, visų pirma EU-CyCLONe;

(14)

valstybių narių dalyvavimas Europos kibernetinio saugumo įspėjimų sistemoje yra savanoriškas. Kiekviena valstybė narė nacionaliniu lygmeniu turėtų paskirti vieną subjektą, kuriam būtų pavesta koordinuoti kibernetinių grėsmių aptikimo veiklą toje valstybėje narėje. Tie nacionaliniai kibernetinio saugumo centrai turėtų veikti kaip nacionalinis atskaitos taškas, nuo kurio nacionaliniu lygmeniu atsiveria galimybė dalyvauti Europos kibernetinio saugumo įspėjimų sistemos veikloje, ir jie turėtų užtikrinti, kad iš viešųjų ir privačių subjektų gauta informacija apie kibernetines grėsmes būtų veiksmingai ir racionaliai dalijamasi ir ji būtų renkama nacionaliniu lygmeniu. Nacionaliniai kibernetinio saugumo centrai galėtų stiprinti viešųjų ir privačiųjų subjektų bendradarbiavimą ir dalijimąsi informacija, jie taip pat galėtų remti keitimąsi atitinkamais duomenimis ir informacija su atitinkamomis sektorių ir tarpsektorinėmis bendruomenėmis, įskaitant atitinkamų pramonės sektorių dalijimosi informacija ir jos analizės centrus (ISAC). Glaudus ir koordinuotas viešųjų ir privačių subjektų bendradarbiavimas yra labai svarbus stiprinant Sąjungos kibernetinį atsparumą. Toks bendradarbiavimas ypač vertingas dalijantis kibernetinių grėsmių žvalgybos informacija, siekiant pagerinti aktyvią kibernetinę apsaugą. Vykdydami tokį bendradarbiavimą ir keitimąsi informacija, nacionaliniai kibernetinio saugumo centrai galėtų prašyti konkrečios informacijos ir ją gauti. Tie nacionaliniai kibernetinio saugumo centrai nėra pagal šį reglamentą nei įpareigoti, nei įgalioti užtikrinti tokių prašymų vykdymą. Kai tinkama ir laikantis Sąjungos ir nacionalinės teisės, informacija, kurios prašoma arba kuri gaunama, galėtų apimti telemetrijos, jutiklių ir registravimo duomenis iš subjektų, pavyzdžiui, valdomų saugumo paslaugų teikėjų, vykdančių veiklą ypatingos svarbos sektoriuose arba kituose itin svarbiuose sektoriuose toje valstybėje narėje, kad būtų pagerintas spartus galimų kibernetinių grėsmių ir incidentų nustatymas ankstyvuoju etapu ir taip būtų didinamas informuotumas apie padėtį. Jei nacionalinis kibernetinio saugumo centras nėra kompetentinga institucija, kurią atitinkama valstybė narė paskyrė arba įsteigė pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį, labai svarbu, kad jis koordinuotų veiksmus su ta kompetentinga institucija dėl prašymų pateikti tokius duomenis ir jų gavimo;

(15)

pagal Europos kibernetinio saugumo įspėjimų sistemą turėtų būti įsteigti keli tarpvalstybiniai kibernetinio saugumo centrai. Tie tarpvalstybiniai kibernetinio saugumo centrai turėtų suburti nacionalinius kibernetinio saugumo centrus iš bent trijų valstybių narių, kad būtų galima visapusiškai pasinaudoti tarpvalstybinio grėsmių aptikimo, dalijimosi informacija ir valdymo privalumais. Bendras tarpvalstybinių kibernetinio saugumo centrų tikslas turėtų būti stiprinti gebėjimus analizuoti kibernetinio saugumo grėsmes, užkirsti joms kelią bei jas aptikti ir remti kokybiškos kibernetinių grėsmių žvalgybos informacijos rengimą, visų pirma patikimoje ir saugioje aplinkoje dalijantis svarbia ir, kai tinkama, anonimizuota informacija iš įvairių viešųjų ar privačių šaltinių, taip pat dalijantis naujausiomis priemonėmis ir jas bendrai naudojant, ir bendrai plėtojant aptikimo, analizės ir prevencijos pajėgumus patikimoje ir saugioje aplinkoje. Tarpvalstybiniai kibernetinio saugumo centrai turėtų suteikti naujų papildomų pajėgumų, kurie remsis esamų SOC ir CSIRT bei kitų atitinkamų subjektų, įskaitant CSIRT tinklą, veikla ir ją papildys;

(16)

valstybė narė, kurią Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras (ECCC), įsteigtas Europos Parlamento ir Tarybos reglamentu (ES) 2021/887 (12), atrinko po kvietimo pareikšti susidomėjimą įsteigti nacionalinį kibernetinio saugumo centrą arba padidinti jo pajėgumus, turėtų kartu su ECCC pirkti atitinkamas priemones, infrastruktūrą arba paslaugas. Tokia valstybė narė turėtų turėti teisę gauti dotaciją priemonėms ir infrastruktūrai eksploatuoti ar paslaugoms teikti. Prieglobos konsorciumas, kurį sudaro bent trys valstybės narės ir kurį po kvietimo pareikšti susidomėjimą įsteigti tarpvalstybinį kibernetinio saugumo centrą arba padidinti jo pajėgumus atrenka ECCC, turėtų kartu su ECCC pirkti atitinkamas priemones, infrastruktūrą ar paslaugas. Prieglobos konsorciumas turėtų turėti teisę gauti dotaciją priemonėms ir infrastruktūrai eksploatuoti ar paslaugoms teikti. Atitinkamų priemonių, infrastruktūros ar paslaugų pirkimo procedūrą turėtų bendrai vykdyti ECCC ir po tokių kvietimų pareikšti susidomėjimą atrinktos atitinkamos valstybių narių perkančiosios organizacijos. Tokie viešieji pirkimai turėtų atitikti Reglamento (ES, Euratomas) 2024/2509 168 straipsnio 2 dalį ir ECCC finansines taisykles. Todėl privatūs subjektai neturėtų turėti teisės dalyvauti kvietimuose pareikšti susidomėjimą pirkti priemones, infrastruktūrą arba paslaugas kartu su ECCC arba gauti dotacijas toms priemonėms ir infrastruktūrai eksploatuoti arba paslaugoms teikti. Tačiau valstybės narės, laikydamosi Sąjungos ir nacionalinės teisės, turėtų galėti į savo nacionalinių kibernetinio saugumo centrų ir tarpvalstybinio kibernetinio saugumo centrų kūrimą, stiprinimą ir veikimą įtraukti privačius subjektus kitais būdais, kuriuos jos laiko tinkamais. Privatūs subjektai taip pat galėtų būti laikomi tinkamais gauti Sąjungos finansavimą pagal Reglamentą (ES) 2021/887, siekiant teikti paramą nacionaliniams kibernetinio saugumo centrams;

(17)

siekiant padidinti kibernetinių grėsmių aptikimą ir informuotumą apie padėtį Sąjungoje, valstybė narė, kuri buvo atrinkta paskelbus kvietimą pareikšti susidomėjimą įsteigti nacionalinį kibernetinio saugumo centrą arba padidinti jo pajėgumus, turėtų įsipareigoti teikti paraišką dalyvauti tarpvalstybinio kibernetinio saugumo centro veikloje. Jei valstybė narė per dvejus metus nuo priemonių, infrastruktūros ar paslaugų įsigijimo arba dotacijos gavimo dienos, priklausomai nuo to, kas įvyko anksčiau, netampa tarpvalstybinio kibernetinio saugumo centro dalyve, ji neturėtų turėti teisės dalyvauti tolesniuose Sąjungos paramos veiksmuose pagal Europos kibernetinį saugumo įspėjimų sistemą, kad būtų didinami jos nacionalinio kibernetinio saugumo centro pajėgumai. Tokiais atvejais valstybių narių subjektai vis tiek galėtų dalyvauti kvietimuose teikti pasiūlymus kitomis temomis pagal SEP ar kitas Sąjungos finansavimo programas, įskaitant kvietimus teikti pasiūlymus dėl kibernetinių grėsmių aptikimo ir dalijimosi informacija pajėgumų, su sąlyga, kad tie subjektai atitinka tose programose nustatytus tinkamumo kriterijus;

(18)

CSIRT tarnybos keičiasi informacija CSIRT tinkle pagal Direktyvą (ES) 2022/2555. Europos kibernetinio saugumo įspėjimų sistema turėtų tapti nauju pajėgumu, papildančiu CSIRT tinklą, padėdama didinti Sąjungos informuotumą apie padėtį ir taip sudarydama sąlygas stiprinti CSIRT tinklo pajėgumus. Tarpvalstybiniai kibernetinio saugumo centrai turėtų koordinuoti veiksmus ir glaudžiai bendradarbiauti su CSIRT tinklu. Jie turėtų veikti kaupdami duomenis ir dalydamiesi svarbia ir, kai tinkama, anonimizuota viešųjų ir privačių subjektų pateikta informacija apie kibernetines grėsmes, didindami tokių duomenų ir informacijos vertę pasitelkiant ekspertų analizę ir bendrai įsigytas infrastruktūras bei pažangiausias priemones ir prisidėdami prie Sąjungos technologinio suverenumo, jos atviro strateginio savarankiškumo, konkurencingumo bei atsparumo ir Sąjungos pajėgumų plėtojimo;

(19)

tarpvalstybiniai kibernetinio saugumo centrai turėtų veikti kaip centriniai punktai, leidžiantys sutelkti daug svarbių duomenų ir kibernetinių grėsmių žvalgybos informaciją, ir sudaryti sąlygas skleisti informaciją apie grėsmes dideliam įvairių suinteresuotųjų subjektų ratui, pvz., kompiuterinių incidentų tyrimo tarnyboms (toliau – CERT), CSIRT, ISAC ir ypatingos svarbos infrastruktūros objektų operatoriams. Prieglobos konsorciumo nariai konsorciumo susitarime turėtų nurodyti atitinkamą informaciją, kuria turi dalytis atitinkamo tarpvalstybinio kibernetinio saugumo centro dalyviai. Informacija, kuria keičiasi tarpvalstybinio kibernetinio saugumo centro dalyviai, galėtų apimti, pavyzdžiui, tinklų ir jutiklių duomenis, grėsmių žvalgybos duomenų kanalus, užvaldymo rodiklius ir kontekstinę informaciją apie incidentus, kibernetines grėsmes, vos neįvykusius incidentus, pažeidžiamumus, metodus ir procedūras, priešišką taktiką, konkrečią grėsmę keliančių subjektų informaciją, kibernetinio saugumo įspėjimus ir rekomendacijas dėl kibernetinio saugumo priemonių konfigūracijos siekiant aptikti kibernetinius išpuolius. Be to, tarpvalstybiniai kibernetinio saugumo centrai taip pat vieni su kitais turėtų sudaryti bendradarbiavimo susitarimus. Tuose bendradarbiavimo susitarimuose visų pirma turėtų būti nustatyti dalijimosi informacija principai ir sąveikumas. Jų sąlygos dėl sąveikumo, visų pirma dalijimosi informacija formatai ir protokolai, turėtų būti grindžiamos Europos Sąjungos kibernetinio saugumo agentūros, įsteigtos Reglamentu (ES) 2019/881, (toliau – ENISA) paskelbtomis gairėmis sąveikumo srityje, kurios turėtų būti laikomos atskaitos tašku. Tos gairės turėtų būti paskelbtos kuo greičiau siekiant užtikrinti, kad tarpvalstybiniai kibernetinio saugumo centrai galėtų į jas atsižvelgti ankstyvuoju etapu. Juose turėtų būti atsižvelgiama į tarptautinius standartus, geriausią praktiką ir visų įsteigtų tarpvalstybinių kibernetinio saugumo centrų veikimą;

(20)

tarpvalstybiniai kibernetinio saugumo centrai ir CSIRT tinklas turėtų glaudžiai bendradarbiauti, kad būtų užtikrinta veiklos sinergija ir papildomumas. Tuo tikslu jie turėtų susitarti dėl procedūrinės bendradarbiavimo ir dalijimosi atitinkama informacija tvarkos. Tai galėtų apimti dalijimąsi atitinkama informacija apie kibernetines grėsmes ir reikšmingus kibernetinio saugumo incidentus ir užtikrinimą, kad su CSIRT tinklu būtų dalijamasi patirtimi, susijusia su pažangiausiomis priemonėmis, visų pirma dirbtiniu intelektu ir duomenų analizės technologijomis, naudojamomis tarpvalstybiniuose kibernetinio saugumo centruose;

(21)

atitinkamų institucijų bendras informuotumas apie padėtį yra būtina Sąjungos masto parengties reikšmingiems kibernetinio saugumo incidentams ir didelio masto kibernetinio saugumo incidentams ir veiksmų koordinavimo sąlyga. Siekiant remti koordinuotą didelio masto kibernetinio saugumo incidentų ir krizių valdymą operatyviniu lygmeniu ir užtikrinti reguliarų keitimąsi svarbia informacija tarp valstybių narių ir Sąjungos institucijų, organų, įstaigų ir agentūrų, Direktyva (ES) 2022/2555 buvo įsteigtas EU-CyCLONe. Direktyva (ES) 2022/2555 taip pat buvo įsteigtas CSIRT tinklas siekiant skatinti greitą ir veiksmingą operatyvinį visų valstybių narių bendradarbiavimą. Siekiant užtikrinti informuotumą apie padėtį ir sustiprinti solidarumą, tais atvejais, kai tarpvalstybiniai kibernetinio saugumo centrai gauna informacijos, susijusios su galimu arba vykstančiu didelio masto kibernetinio saugumo incidentu, jie turėtų teikti atitinkamą informaciją CSIRT tinklui ir pranešti EU-CyCLONe, pateikdami ankstyvąjį perspėjimą. Visų pirma, priklausomai nuo situacijos, informacija, kuria turi būti dalijamasi, galėtų apimti techninę informaciją, informaciją apie užpuoliko arba potencialaus užpuoliko pobūdį bei motyvus ir aukštesnio lygio netechninę informaciją apie galimą arba vykstantį didelio masto kibernetinio saugumo incidentą. Tomis aplinkybėmis reikėtų deramai atsižvelgti į būtinybės žinoti principą ir į galimai neskelbtiną informacijos, kuria dalijamasi, pobūdį. Direktyvoje (ES) 2022/2555 taip pat buvo pakartota Komisijos atsakomybė už Sąjungos civilinės saugos mechanizmą (toliau – SCSM), nustatytą Europos Parlamento ir Tarybos sprendimu Nr. 1313/2013/ES (13), taip pat jos atsakomybė už analitinių ataskaitų dėl integruoto politinio atsako į krizes mechanizmo (toliau – IPCR mechanizmas) teikimą pagal Tarybos įgyvendinimo sprendimą (ES) 2018/1993 (14). Kai tarpvalstybiniai kibernetinio saugumo centrai su EU-CyCLONe ir CSIRT tinklu dalijasi svarbia informacija ir ankstyvaisiais perspėjimais, susijusiais su galimu arba vykstančiu didelio masto kibernetinio saugumo incidentu, būtina, kad ta informacija tuose tinkluose būtų dalijamasi su valstybių narių institucijomis ir Komisija. Tuo atžvilgiu Direktyvoje (ES) 2022/2555 nustatyta, kad EU-CyCLONe tikslas yra remti koordinuotą didelio masto kibernetinio saugumo incidentų ir krizių valdymą operatyviniu lygmeniu ir užtikrinti reguliarų keitimąsi svarbia informacija tarp valstybių narių ir Sąjungos institucijų, organų, įstaigų ir agentūrų. EU-CyCLONe užduotys apima tokių incidentų ir krizių atvejais didinti bendrą informuotumą apie padėtį. Labai svarbu, kad EU-CyCLONe, atsižvelgdamas į tą tikslą ir savo užduotis, užtikrintų, kad tokia informacija būtų nedelsiant perduodama atitinkamų valstybių narių atstovams ir Komisijai. Tuo tikslu labai svarbu, kad į EU-CyCLONe darbo tvarkos taisykles būtų įtrauktos atitinkamos nuostatos;

(22)

Europos kibernetinio saugumo įspėjimų sistemoje dalyvaujantys subjektai turėtų užtikrinti aukšto lygio tarpusavio sąveikumą, be kita ko, kai tinkama, duomenų formatų, taksonomijos, duomenų tvarkymo ir duomenų analizės priemonių. Jie taip pat turėtų užtikrinti ir apsaugoti komunikacijos kanalus, minimalų taikomųjų programų saugumo lygį, informuotumo apie padėtį suvestinę ir rodiklius. Priimant bendrą taksonomiją ir rengiant padėties ataskaitų šabloną aptiktų kibernetinio saugumo grėsmių priežastims ir rizikai apibūdinti, turėtų būti atsižvelgiama į atliktą darbą įgyvendinant Direktyvą (ES) 2022/2555;

(23)

siekiant sudaryti sąlygas didele apimtimi ir patikimoje bei saugioje aplinkoje keistis atitinkamais duomenimis ir informacija apie kibernetinio saugumo grėsmes iš įvairių šaltinių, Europos kibernetinio saugumo įspėjimų sistemoje dalyvaujantys subjektai turėtų turėti naujausias, labai saugias priemones, įrangą ir infrastruktūros objektus ir kvalifikuotus darbuotojus. Tai turėtų sudaryti sąlygas pagerinti kolektyvinius nustatymo pajėgumus ir laiku įspėti institucijas ir atitinkamus subjektus, visų pirma naudojant naujausias dirbtinio intelekto ir duomenų analizės technologijas;

(24)

renkant svarbius duomenis ir informaciją, juos analizuojant, jais dalijantis bei keičiantis, Europos kibernetinio saugumo įspėjimų sistema turėtų būti stiprinamas Sąjungos technologinis suverenumas ir atviras strateginis savarankiškumas kibernetinio saugumo, konkurencingumo ir atsparumo srityje. Kokybiškų patikrintų duomenų sutelkimas taip pat galėtų padėti plėtoti pažangias dirbtinio intelekto ir duomenų analizės technologijas. Norint veiksmingai kaupti kokybiškus duomenis labai svarbu išlaikyti žmogaus vykdomą priežiūrą, ir, siekiant to tikslo, kvalifikuotą darbo jėgą;

(25)

nors Europos kibernetinio saugumo įspėjimų sistema yra civilinis projektas, kibernetinės gynybos bendruomenei galėtų būti naudingi stipresni civiliniai aptikimo ir informuotumo apie padėtį pajėgumai, parengti ypatingos svarbos infrastruktūrai apsaugoti;

(26)

Europos kibernetinio saugumo įspėjimų sistemos dalyviai turėtų dalytis informacija laikydamiesi galiojančių teisinių reikalavimų, visų pirma Sąjungos ir nacionalinės duomenų apsaugos teisės, taip pat Sąjungos taisyklių konkurencijos srityje, kuriomis reglamentuojamas keitimasis informacija. Jei būtina tvarkyti asmens duomenis, informacijos gavėjas turėtų įgyvendinti technines ir organizacines priemones, kuriomis būtų apsaugotos duomenų subjektų teisės ir laisvės, ir sunaikinti duomenis, kai tik jie tampa nebereikalingi nurodytam tikslui, ir informuoti duomenis teikiantį subjektą, kad duomenys buvo sunaikinti;

(27)

konfidencialumo ir informacijos saugumo užtikrinimas yra itin svarbus visiems trims šio reglamento ramsčiams: skatinant dalijimąsi arba keitimąsi informacija Europos kibernetinio saugumo įspėjimo sistemoje, išsaugant subjektų, prašančių paramos pagal Reagavimo į kibernetinio saugumo krizes mechanizmą, interesus, ar užtikrinant, kad teikiant pranešimus pagal Europos kibernetinio saugumo incidentų peržiūros mechanizmą būtų galima gauti naudingos patirties nedarant neigiamo poveikio nuo incidentų nukentėjusiems subjektams. Valstybių narių ir subjektų dalyvavimas tuose mechanizmuose priklauso nuo tarpusavio pasitikėjimu pagrįstų santykių tarp jų komponentų. Jei informacija pagal Sąjungos arba nacionalines taisykles yra konfidenciali, dalijimasis arba keitimasis ja pagal šį reglamentą turėtų būti apribotas, t. y. turėtų būti dalijamasi arba keičiamasi tik ta informacija, kuri yra svarbi ir proporcinga dalijimosi ar keitimosi tikslui. Tuo dalijimusi arba keitimusi taip pat turėtų būti išsaugomas tos informacijos konfidencialumas ir, be kita ko, apsaugomi atitinkamų subjektų saugumo ir komerciniai interesai. Pagal šį reglamentą informacija galėtų būti dalijamasi arba keičiamasi naudojantis informacijos neatskleidimo susitarimais arba informacijos platinimo gairėmis, pvz., srauto kontrolės protokolu (TLP). TLP turi būti suprantamas kaip būdas teikti informaciją apie bet kokius apribojimus, taikomus tolesnei informacijos sklaidai. Jis naudojamas beveik visose CSIRT ir kai kuriuose ISAC centruose. Be tų bendrųjų reikalavimų, kalbant apie Europos kibernetinio saugumo įspėjimų sistemą, prieglobos konsorciumų susitarimuose turėtų būti nustatytos konkrečios taisyklės dėl dalijimosi informacija atitinkamame tarpvalstybiniame kibernetinio saugumo centre sąlygų. Tuose susitarimuose visų pirma galėtų būti reikalaujama, kad informacija būtų dalijamasi tik pagal Sąjungos ir nacionalinę teisę;

(28)

kalbant apie ES kibernetinio saugumo rezervo naudojimą, būtinos specialios konfidencialumo taisyklės. Paramos bus prašoma, ji bus vertinama ir teikiama kilus krizei ir jautriuose sektoriuose veiklą vykdantiems subjektams. Kad ES kibernetinio saugumo rezervas veiktų veiksmingai, labai svarbu, kad naudotojai ir subjektai galėtų nedelsdami dalytis visa informacija, kurios reikia, kad kiekvienas subjektas galėtų atlikti savo vaidmenį vertinant prašymus ir teikiant paramą, ir suteikti prieigą prie jos. Todėl šiame reglamente turėtų būti nustatyta, kad visa tokia informacija būtų naudojama arba ja dalijamasi tik tais atvejais, kai tai būtina ES kibernetinio saugumo rezervo veiklai, ir kad ta informacija, kuri yra konfidenciali arba įslaptinta pagal Sąjungos ir nacionalinę teisę, būtų naudojama ir ja dalijamasi tik laikantis tos teisės. Be to, naudotojams turėtų būti suteikta galimybė, kai tinkama, naudotis dalijimosi informacija protokolais, pavyzdžiui, TLP, norint nustatyti papildomus apribojimus. Nors naudotojai šiuo atžvilgiu gali veikti savo nuožiūra, svarbu, kad taikydami tokius apribojimus jie atsižvelgtų į galimas pasekmes, visų pirma susijusias su pavėluotu prašomų paslaugų vertinimu arba teikimu. Kad ES kibernetinio saugumo rezervas būtų veiksmingas, svarbu, kad perkančioji organizacija paaiškintų tas pasekmes naudotojui prieš jam pateikiant prašymą. Tos apsaugos priemonės taikomos tik prašymui dėl ES kibernetinio saugumo rezervo paslaugų ir jų teikimui ir jomis nedaromas poveikis keitimuisi informacija kitomis aplinkybėmis, pavyzdžiui, vykdant ES kibernetinio saugumo rezervo viešuosius pirkimus;

(29)

atsižvelgiant į didėjančią riziką ir poveikį valstybėms narėms darančių incidentų skaičių, būtina nustatyti paramos krizės atveju priemonę, t. y. Reagavimo į kibernetinio saugumo krizes mechanizmą, kuria būtų didinamas Sąjungos atsparumas reikšmingiems kibernetinio saugumo incidentams, didelio masto kibernetinio saugumo incidentams ir didelio masto incidentams lygiaverčiams incidentams ir papildomi valstybių narių veiksmai teikiant skubią pasirengimo, reagavimo į incidentus ir neatidėliojamo esminių paslaugų pradinio atkūrimo finansinę paramą. Kadangi visiškas veiklos atkūrimas po incidento yra kompleksinis procesas, kuriuo nuo incidento nukentėjusio subjekto veikla atkuriama ją sugrąžinant į iki incidento buvusią padėtį ir kuris gali ilgai užtrukti ir sudaryti didelių išlaidų, parama iš ES kibernetinio saugumo rezervo turėtų būti teikiama tik pradiniu atkūrimo proceso etapu, kad būtų atstatytos pagrindinės sistemų funkcijos. Reagavimo į kibernetinio saugumo krizes mechanizmas turėtų sudaryti sąlygas greitai ir veiksmingai suteikti pagalbą nustatytomis aplinkybėmis bei aiškiomis sąlygomis ir sudaryti sąlygas atidžiai stebėti ir vertinti, kaip naudojami ištekliai. Reagavimo į kibernetinio saugumo krizes mechanizmu skatinamas valstybių narių solidarumas pagal Europos Sąjungos sutarties (ES sutartis) 3 straipsnio 3 dalį, tačiau pirminė atsakomybė už incidentų ir krizių prevenciją, pasirengimą jiems ir reagavimą į juos pirmiausia tenka valstybėms narėms;

(30)

Reagavimo į kibernetinio saugumo krizes mechanizmas turėtų padėti valstybėms narėms papildyti jų pačių priemones bei išteklius ir kitas esamas paramos galimybes reaguojant į reikšmingus kibernetinio saugumo ir didelio masto kibernetinio saugumo incidentus ir pradiniu etapu po tokių incidentų atkuriant veiklą, pavyzdžiui, ENISA jos kompetencijos srityje teikiamas paslaugas, koordinuotą reagavimą ir CSIRT tinklo pagalbą, EU-CyCLONe poveikio mažinimo paramą, taip pat valstybių narių savitarpio pagalbą, be kita ko, pagal ES sutarties 42 straipsnio 7 dalį ir greitojo reagavimo į kibernetinius incidentus komandas nuolatinio struktūrizuoto bendradarbiavimo (PESCO) kontekste, įsteigtas pagal Tarybos sprendimą (BUSP) 2017/2315 (15). Juo turėtų būti atsižvelgiama į poreikį užtikrinti, kad būtų specialių priemonių, kuriomis būtų remiamas pasirengimas tokiems incidentams, reagavimas į juos ir veiklos atkūrimas visoje Sąjungoje ir SEP asocijuotosiose trečiosiose valstybėse;

(31)

šiuo reglamentu nedaromas poveikis Sąjungos lygmens reagavimo į krizes koordinavimo procedūroms ir sistemoms, visų pirma Direktyvai (ES) 2022/2555, Sąjungos civilinės saugos mechanizmui, nustatytam pagal Europos Parlamento ir Tarybos sprendimą Nr. 1313/2013/ES (16), IPCR mechanizmui ir Komisijos rekomendacijai (ES) 2017/1584 (17). Atsižvelgiant į civilinį Reagavimo į kibernetinio saugumo krizes mechanizmo pobūdį, parama pagal Reagavimo į kibernetinio saugumo krizes mechanizmą gali papildyti pagal bendrą užsienio ir saugumo politiką ir bendrą saugumo ir gynybos politiką teikiamą pagalbą, be kita ko, pasitelkiant greitojo reagavimo į kibernetines grėsmes grupes. Parama, teikiama pagal Reagavimo į kibernetinio saugumo krizes mechanizmą, gali papildyti veiksmus, įgyvendinamus pagal ES sutarties 42 straipsnio 7 dalį, įskaitant vienos valstybės narės kitai valstybei narei teikiamą pagalbą, būti Sąjungos ir valstybių narių bendro atsako dalis arba papildyti veiksmus, įgyvendinamus SESV 222 straipsnyje nurodytais atvejais. Be to, šio reglamento įgyvendinimas, kai tinkama, turėtų būti koordinuojamas su kibernetinio saugumo diplomatijos priemonių rinkinio priemonių įgyvendinimu;

(32)

pagal šį reglamentą teikiama pagalba turėtų būti remiami ir papildomi veiksmai, kurių valstybės narės imasi nacionaliniu lygmeniu. Tuo tikslu turėtų būti užtikrintas glaudus Komisijos, ENISA, valstybių narių ir, kai tinkama, ECCC bendradarbiavimas ir konsultacijos. Prašydama paramos pagal Reagavimo į kibernetinio saugumo krizes mechanizmą, valstybė narė turėtų pateikti atitinkamą informaciją, pagrindžiančią paramos poreikį;

(33)

Direktyvoje (ES) 2022/2555 reikalaujama, kad valstybės narės paskirtų arba įsteigtų vieną ar daugiau kibernetinio saugumo krizių valdymo institucijų ir užtikrintų, kad jos turėtų tinkamų išteklių veiksmingai ir efektyviai vykdyti joms pavestas užduotis. Joje taip pat reikalaujama, kad valstybės narės nustatytų, kokius pajėgumus, objektus ir procedūras galima panaudoti krizės atveju, taip pat priimtų nacionalinį reagavimo į didelio masto kibernetinio saugumo incidentus ir krizes planą, kuriame išdėstomi didelio masto kibernetinio saugumo incidentų ir krizių valdymo tikslai ir tvarka. Taip pat reikalaujama, kad valstybės narės įsteigtų vieną ar daugiau CSIRT, kurioms būtų pavesta atsakomybė už incidentų valdymą pagal aiškiai apibrėžtą procesą, apimant bent sektorius, subsektorius ir subjekto rūšis, patenkančius į tos direktyvos taikymo sritį, ir užtikrintų, kad jos turėtų tinkamų išteklių savo užduotims veiksmingai vykdyti. Šiuo reglamentu nedaromas poveikis Komisijos vaidmeniui užtikrinti, kad valstybės narės laikytųsi Direktyvoje (ES) 2022/2555 nustatytų pareigų. Pagal Reagavimo į kibernetinio saugumo krizes mechanizmą turėtų būti teikiama pagalba veiksmams, kuriais siekiama stiprinti parengtį, taip pat reagavimo į incidentus veiksmams, kuriais siekiama sumažinti reikšmingų kibernetinio saugumo incidentų ir didelio masto kibernetinio saugumo incidentų poveikį ir remti pradinį atsigavimą arba atkurti bazines paslaugų, kurias teikia subjektai, vykdantys veiklą ypatingos svarbos sektoriuose arba subjektai, vykdantys veiklą kituose itin svarbiuose sektoriuose, funkcijas;

(34)

vykdant pasirengimo veiksmus, siekiant skatinti nuoseklų požiūrį ir stiprinti saugumą visoje Sąjungoje ir jos vidaus rinkoje, parama turėtų būti teikiama pagal Direktyvą (ES) 2022/2555 nustatytuose ypatingos svarbos sektoriuose veiklą vykdančių subjektų kibernetinio saugumo koordinuotam testavimui ir vertinimui, be kita ko, pasitelkiant pratybas ir mokymus. Tuo tikslu Komisija, pasikonsultavusi su ENISA, TIS bendradarbiavimo grupe ir EU-CyCLONe, turėtų reguliariai nustatyti, kurie atitinkami sektoriai ar subsektoriai turėtų būti tinkami gauti finansinę paramą koordinuotam Sąjungos lygmens parengties testavimui. Sektoriai arba subsektoriai turėtų būti atrinkti iš Direktyvos (ES) 2022/2555 I priede išvardytų ypatingos svarbos sektorių. Koordinuotas parengties testavimas turėtų būti grindžiamas bendrais rizikos scenarijais ir metodikomis. Atrenkant sektorius ir rengiant rizikos scenarijus turėtų būti atsižvelgiama į atitinkamus Sąjungos masto rizikos vertinimus ir rizikos scenarijus, įskaitant poreikį vengti dubliavimosi, kaip antai rizikos vertinimą ir rizikos scenarijus, kuriuos, kaip Taryba ragino savo išvadose dėl Europos Sąjungos kibernetinio saugumo būklės raidos, parengė Komisija, Sąjungos vyriausiasis įgaliotinis užsienio reikalams ir saugumo politikai (toliau – vyriausiasis įgaliotinis) ir TIS bendradarbiavimo grupė, derindami veiksmus su atitinkamomis civilinėmis ir karinėmis įstaigomis bei agentūromis ir sukurtais tinklais, įskaitant EU-CyCLONe, taip pat ryšių tinklų ir infrastruktūrų rizikos vertinimą, kurio buvo paprašyta Nevere paskelbtame bendrame ministrų raginime ir kurį atlieka TIS bendradarbiavimo grupė, padedant Komisijai bei ENISA ir bendradarbiaujant su Europos elektroninių ryšių reguliuotojų institucija, įsteigta Europos Parlamento ir Tarybos reglamentu (ES) 2018/1971 (18), Sąjungos lygmeniu koordinuojamus ypatingos svarbos tiekimo grandinių saugumo rizikos vertinimus, kurie turi būti atliekami pagal Direktyvos (ES) 2022/2555 22 straipsnį, ir skaitmeninės veiklos atsparumo testavimą, kaip numatyta Europos Parlamento ir Tarybos reglamente (ES) 2022/2554 (19). Atrenkant sektorius taip pat reikėtų atsižvelgti į Tarybos rekomendaciją dėl Sąjungos suderinto požiūrio į ypatingos svarbos infrastruktūros atsparumo didinimą;

(35)

be to, pagal Reagavimo į kibernetinio saugumo krizes mechanizmą turėtų būti teikiama parama kitiems pasirengimo veiksmams ir parama parengčiai kituose sektoriuose, kuriems netaikomas koordinuotas subjektų, vykdančių veiklą ypatingos svarbos sektoriuose arba subjektų, vykdančių veiklą kituose itin svarbiuose sektoriuose, parengties testavimas. Tie veiksmai galėtų apimti įvairių rūšių nacionalinę pasirengimo veiklą;

(36)

kai valstybės narės gauna dotacijas pasirengimo veiksmams remti, veiklą ypatingos svarbos sektoriuose vykdantys subjektai gali dalyvauti tuose veiksmuose savanoriškai. Gera praktika yra tai, kad tokiems veiksmams pasibaigus dalyvaujantys subjektai parengia žalos ištaisymo planą, kad įgyvendintų visas parengtas rekomendacijas dėl konkrečių priemonių ir kad iš šių parengiamųjų veiksmų gautų kuo daugiau naudos. Nors svarbu, kad valstybės narės prašytų, kad šiuose veiksmuose dalyvaujantys subjektai parengtų ir įgyvendintų tokius žalos ištaisymo planus, šiuo reglamentu valstybės narės nėra nei įpareigotos, nei įgaliotos užtikrinti tokių prašymų vykdymą. Tokiais prašymais nedaromas poveikis subjektams taikomiems reikalavimams ir kompetentingų institucijų priežiūros įgaliojimams laikantis Direktyvos (ES) 2022/2555;

(37)

pagal Reagavimo į kibernetinio saugumo krizes mechanizmą parama taip pat turėtų būti teikiama reagavimo į incidentus veiksmams, kuriais siekiama sumažinti reikšmingų kibernetinio saugumo incidentų, didelio masto kibernetinio saugumo incidentų ir didelio masto incidentams lygiaverčių kibernetinio saugumo incidentų poveikį, remti pradinį veiklos arba esminių paslaugų veikimo atkūrimą. Kai tinkama, jis turėtų papildyti SCSM, kad būtų užtikrintas visapusiškas požiūris į reagavimą į kibernetinių incidentų poveikį piliečiams;

(38)

pagal Reagavimo į kibernetinio saugumo krizes mechanizmą turėtų būti remiama techninė pagalba, kurią viena valstybė narė teikia kitai valstybei narei, nukentėjusiai nuo reikšmingo kibernetinio saugumo incidento arba didelio masto kibernetinio saugumo incidento, įskaitant CSIRT, kaip nurodyta Direktyvos (ES) 2022/2555 11 straipsnio 3 dalies f punkte. Tokią pagalbą teikiančioms valstybėms narėms turėtų būti leidžiama teikti prašymus padengti išlaidas, susijusias su ekspertų grupių siuntimu teikiant savitarpio pagalbą. Tinkamos finansuoti išlaidos galėtų apimti kibernetinio saugumo ekspertų kelionės, apgyvendinimo ir dienpinigių išlaidas;

(39)

atsižvelgiant į esminį privačių įmonių vaidmenį nustatant didelio masto kibernetinio saugumo incidentus ir didelio masto incidentams lygiaverčius kibernetinio saugumo incidentus, joms rengiantis jiems ir į juos reaguojant, svarbu pripažinti savanoriško pro bono bendradarbiavimo su tokiomis įmonėmis vertę, jei jos siūlo paslaugas be atlygio didelio masto kibernetinio saugumo incidentų ir krizių bei didelio masto incidentams lygiaverčių kibernetinio saugumo incidentų ir krizių atvejais. ENISA, bendradarbiaudama su EU-CyCLONe, galėtų stebėti tokių pro bono iniciatyvų raidą ir skatinti jų atitiktį kriterijams, kurie taikomi patikimiems valdomų saugumo paslaugų teikėjams pagal šį reglamentą, be kita ko, kiek tai susiję su privačių įmonių patikimumu, jų patirtimi ir gebėjimu saugiai tvarkyti neskelbtiną informaciją;

(40)

pagal Reagavimo į kibernetinio saugumo krizes mechanizmą palaipsniui turėtų būti sukurtas ES kibernetinio saugumo rezervas, kurį sudarytų patikimų valdomų saugumo paslaugų teikėjų paslaugos, kuriomis būtų remiami reagavimo veiksmai ir inicijuojami veiklos atkūrimo veiksmai reikšmingų kibernetinio saugumo incidentų, didelio masto kibernetinio saugumo incidentų arba didelio masto incidentams lygiaverčių kibernetinio saugumo incidentų, darančių poveikį valstybėms narėms, Sąjungos institucijoms, organams, įstaigoms ar agentūroms arba SEP asocijuotosioms trečiosioms valstybėms, atvejais. ES kibernetinio saugumo rezervas turėtų užtikrinti paslaugų prieinamumą ir parengtį. Todėl jis turėtų apimti paslaugas, dėl kurių įsipareigota iš anksto, įskaitant, pavyzdžiui, pajėgumus, kurie yra parengties būsenoje ir kuriuos galima dislokuoti per trumpą laiką. ES kibernetinio saugumo rezervo paslaugos turėtų padėti nacionalinėms institucijoms teikti pagalbą paveiktiems subjektams, vykdantiems veiklą ypatingos svarbos ar paveiktiems subjektams, vykdantiems veiklą kituose itin svarbiuose sektoriuose, papildant jų pačių veiksmus nacionaliniu lygmeniu. ES kibernetinio saugumo rezervo paslaugomis taip pat turėtų būti galima naudotis panašiomis sąlygomis teikiant paramą Sąjungos institucijoms, organams, įstaigoms ir agentūroms. ES kibernetinio saugumo rezervas taip pat galėtų padėti stiprinti Sąjungos pramonės ir paslaugų sektorius, įskaitant labai mažas įmones ir mažąsias bei vidutines įmones, taip pat startuolius, konkurencinę padėtį visoje skaitmeninėje ekonomikoje, be kita ko, teikiant paskatas investuoti į mokslinius tyrimus ir inovacijas. Perkant paslaugas ES kibernetinio saugumo rezervui svarbu atsižvelgti į ENISA Europos kibernetinio saugumo įgūdžių sistemą. Prašydami paramos iš ES kibernetinio saugumo rezervo, naudotojai į savo paraišką turėtų įtraukti tinkamą informaciją apie paveiktą subjektą ir galimus padarinius, informaciją apie iš ES kibernetinio saugumo rezervo prašomą paslaugą, ir paveiktam subjektui nacionaliniu lygmeniu suteiktą paramą: į tai reikėtų atsižvelgti vertinant pareiškėjo prašymą. Siekiant užtikrinti papildomumą su kitomis paveiktam subjektui prieinamomis paramos formomis, prašyme taip pat turėtų būti nurodyta informacija apie sutartimis įformintus susitarimus dėl reagavimo į incidentą ir pradinio veiklos atkūrimo paslaugų, taip pat apie draudimo sutartis, kurios gali apimti tokio pobūdžio incidentus;

(41)

siekiant užtikrinti veiksmingą Sąjungos finansavimo panaudojimą, iš anksto įsipareigotas teikti paslaugas ES kibernetinio saugumo rezervo sistemoje pagal atitinkamą sutartį turėtų būti galima paversti parengties paslaugomis, susijusiomis su incidentų prevencija ir reagavimu į juos, jei tos iš anksto įsipareigotos teikti paslaugos nenaudojamos reagavimui į incidentus tuo laikotarpiu, kuriam jos yra iš anksto įsipareigotos. Tos paslaugos turėtų papildyti pasirengimo veiksmus, kuriuos turi valdyti ECCC, ir neturėtų jų nedubliuoti;

(42)

valstybių narių kibernetinių krizių valdymo institucijų ir CSIRT prašymus arba CERT-EU prašymus, pateiktus Sąjungos institucijų, organų, įstaigų ir agentūrų vardu, suteikti paramą iš ES kibernetinio saugumo rezervo turėtų vertinti perkančioji organizacija. Kai ENISA pavesta administruoti ir eksploatuoti ES kibernetinio saugumo rezervą, ta perkančioji organizacija yra ENISA. SEP asocijuotųjų trečiųjų valstybių paramos prašymus turėtų įvertinti Komisija. Siekdama palengvinti paramos prašymų pateikimą ir vertinimą, ENISA galėtų sukurti saugią platformą;

(43)

kai vienu metu gaunama daug prašymų, tie prašymai išdėstomi prioritetine tvarka laikantis šiame reglamente nustatytų kriterijų. Atsižvelgiant į bendruosius šio reglamento tikslus, tie kriterijai turėtų apimti incidento sunkumą, paveikto subjekto rūšį, galimą incidento poveikį paveiktai valstybei narei ir naudotojams, galimą incidento tarpvalstybinį platesnio poveikio pobūdį ir išplitimo į kitas valstybes nares riziką, taip pat priemones, kurių naudotojas jau ėmėsi, kad padėtų reaguoti ir atkurti veiklą pradiniu etapu. Atsižvelgiant į tuos tikslus ir į tai, kad valstybių narių naudotojų prašymais išimtinai siekiama remti subjektus, vykdančius veiklą ypatingos svarbos sektoriuose arba subjektus, vykdančius veiklą kituose itin svarbiuose sektoriuose visoje Sąjungoje, tikslinga didesnį prioritetą teikti valstybių narių naudotojų prašymams, jei dėl tų kriterijų du ar daugiau prašymų vertinami kaip vienodi. Tai nedaro poveikio jokioms pareigoms, kurias valstybės narės gali turėti pagal prieglobos susitarimus, imtis priemonių siekiant apsaugoti Sąjungos institucijas, organus, įstaigas ir agentūras bei jiems padėti;

(44)

Komisija turėtų prisiimti bendrą atsakomybę už ES kibernetinio saugumo rezervo įgyvendinimą. Atsižvelgiant į didelę ENISA patirtį, įgytą vykdant paramos kibernetiniam saugumui veiksmus, ENISA yra tinkamiausia agentūra ES kibernetinio saugumo rezervui įgyvendinti. Todėl Komisija turėtų pavesti ENISA dalį arba, jei Komisija mano, kad tai tikslinga, visus ES kibernetinio saugumo rezervo valdymo ir administravimo įgaliojimus. Šie įgaliojimai turėtų būti suteikiami laikantis pagal Reglamentą (ES, Euratomas) 2024/2509 taikytinų taisyklių ir visų pirma turėtų būti įvykdytos atitinkamos susitarimo dėl įnašo pasirašymo sąlygos. Bet kokius ES kibernetinio saugumo rezervo valdymo ir administravimo aspektus, kurie nėra pavesti ENISA, turėtų tiesiogiai valdyti Komisija, be kita ko, prieš pasirašant susitarimą dėl įnašo;

(45)

valstybės narės turėtų atlikti pagrindinį vaidmenį kuriant ES kibernetinio saugumo rezervą, jį diegiant bei vykdant veiklą pasibaigus jo diegimui. Kadangi Reglamentas (ES) 2021/694 yra svarbus pagrindinis aktas, skirtas veiksmams, kuriais įgyvendinamas ES kibernetinio saugumo rezervas, veiksmai pagal ES kibernetinio saugumo rezervą turėtų būti numatyti darbo programose, nurodytose Reglamento (ES) 2021/694 24 straipsnyje. Pagal to straipsnio 6 dalį tas darbo programas Komisija turi priimti įgyvendinimo aktais, laikydamasi nagrinėjimo procedūros. Be to, Komisija, koordinuodama veiksmus su TIS bendradarbiavimo grupe, turėtų nustatyti ES kibernetinio saugumo rezervo prioritetus ir raidą;

(46)

sutartimis, sudarytomis naudojant ES kibernetinio saugumo rezervą, neturėtų būti daromas poveikis įmonių tarpusavio santykiams ir esamoms paveikto subjekto arba naudotojų ir paslaugų teikėjo pareigoms;

(47)

siekiant atrinkti privačius paslaugų teikėjus, kurie teiktų paslaugas pagal ES kibernetinio saugumo rezervą, būtina nustatyti minimaliuosius kriterijus ir reikalavimus, kurie turėtų būti įtraukti į kvietimą teikti pasiūlymus tiems paslaugų teikėjams atrinkti, siekiant užtikrinti, kad būtų tenkinami valstybių narių institucijų, subjektų, vykdančius veiklą ypatingos svarbos sektoriuose ir subjektų, vykdančius veiklą kituose itin svarbiuose sektoriuose, poreikiai. Siekdama patenkinti konkrečius valstybių narių poreikius, perkančioji organizacija, pirkdama ES kibernetinio saugumo rezervui skirtas paslaugas, prireikus, be šiame reglamente nustatytų kriterijų, turėtų parengti atrankos kriterijus ir reikalavimus. Svarbu skatinti mažesnių paslaugų teikėjų, veikiančių regionų ir vietos lygmeniu, dalyvavimą;

(48)

atrinkdama į ES kibernetinio saugumo rezervą įtrauktinus paslaugų teikėjus, perkančioji organizacija turėtų siekti užtikrinti, kad į ES kibernetinio saugumo rezervą, kaip visumą, būtų įtraukti paslaugų teikėjai, galintys patenkinti naudotojų kalbos reikalavimus. Tuo tikslu perkančioji organizacija turėtų, prieš rengdama konkurso specifikacijas, pasiteirauti, ar potencialūs ES kibernetinio saugumo rezervo naudotojai turi konkrečių kalbinių reikalavimų, kad ES kibernetinio saugumo rezervo paramos paslaugas būtų galima teikti viena iš Sąjungos institucijų arba valstybių narių oficialiųjų kalbų, kurią, tikėtina, supranta atitinkamas naudotojas ar paveiktas subjektas. Jei ES kibernetinio saugumo rezervo paramos paslaugų naudotojui reikalinga daugiau nei viena kalba ir tam naudotojui skirtos tos paslaugos buvo įsigytos tomis kalbomis, jis turėtų turėti galimybę prašyme dėl ES kibernetinio saugumo rezervo paramos nurodyti, kuria iš tų kalbų paslaugos turėtų būti teikiamos konkretaus incidento, dėl kurio buvo pateiktas prašymas, atveju;

(49)

siekiant paremti ES kibernetinio saugumo rezervo sukūrimą, svarbu, kad Komisija prašytų ENISA pagal Reglamentą (ES) 2019/881 parengti potencialią kibernetinio saugumo sertifikavimo schemą, skirtą valdomoms saugumo paslaugoms, tose srityse, kurioms taikomas Reagavimo į kibernetinio saugumo krizes mechanizmas;

(50)

siekiant remti šio reglamento tikslus skatinti bendrą informuotumą apie padėtį, didinti Sąjungos atsparumą ir sudaryti sąlygas veiksmingai reaguoti į reikšmingus kibernetinio saugumo incidentus ir didelio masto kibernetinio saugumo incidentus, Komisija arba EU-CyCLONe turėtų turėti galimybę prašyti ENISA, padedant CSIRT tinklui ir pritarus atitinkamoms valstybėms narėms, peržiūrėti ir įvertinti kibernetines grėsmes, žinomus išnaudojamus pažeidžiamumo aspektus ir poveikio mažinimo veiksmus, susijusius su konkrečiu reikšmingu kibernetinio saugumo incidentu ar didelio masto kibernetinio saugumo incidentu. Užbaigusi incidento peržiūrą ir vertinimą, ENISA, bendradarbiaudama su atitinkama valstybe nare, atitinkamais suinteresuotaisiais subjektais, įskaitant privačiojo sektoriaus subjektus, Komisija ir kitomis atitinkamomis Sąjungos institucijomis, organais, įstaigomis ir agentūromis, turėtų parengti incidento peržiūros ataskaitą. Remiantis bendradarbiavimu su suinteresuotaisiais subjektais, įskaitant privačiojo sektoriaus subjektus, konkrečių incidentų peržiūros ataskaitoje turėtų būti siekiama įvertinti incidento priežastis, poveikį ir padarinių mažinimą po incidento. Ypač daug dėmesio turėtų būti skiriama informacijai ir patirčiai, kuria dalijasi valdomų saugumo paslaugų teikėjai, atitinkantys aukščiausio profesinio sąžiningumo, nešališkumo ir reikiamos techninės kompetencijos sąlygas, kaip to reikalaujama šiuo reglamentu. Ataskaita turėtų būti teikiama EU-CyCLONe, CSIRT tinklui ir Komisijai ir ji turėtų būti naudojama siekiant informuoti apie jų ir ENISA darbą. Kai incidentas susijęs su SEP asocijuotąja trečiąja valstybe, Komisija turėtų ja pasidalyti ir su vyriausiuoju įgaliotiniu;

(51)

atsižvelgiant į nenuspėjamą kibernetinio saugumo išpuolių pobūdį ir į tai, kad jie dažnai nėra susiję su konkrečia geografine vietove ir kelia didelę šalutinio poveikio riziką, kaimyninių valstybių atsparumo didinimas ir gebėjimo veiksmingai reaguoti į reikšmingus kibernetinio saugumo incidentus ir didelio masto incidentams lygiaverčių kibernetinio saugumo incidentus stiprinimas padeda užtikrinti visos Sąjungos, ypač jos vidaus rinkos ir pramonės, apsaugą. Tokia veikla galėtų dar labiau prisidėti prie Sąjungos kibernetinės diplomatijos. Todėl SEP asocijuotosios trečiosios valstybės turėtų turėti galimybę prašyti paramos iš ES kibernetinio saugumo rezervo visoje jų teritorijoje arba jos dalyje, jei tai numatyta susitarime, pagal kurį trečioji valstybė yra SEP asocijuotoji šalis. Sąjunga turėtų remti SEP asocijuotųjų trečiųjų valstybių finansavimą pagal toms valstybėms skirtas atitinkamas partnerystes ir finansavimo priemones. Parama turėtų būti skiriama paslaugoms, susijusioms su reagavimu į reikšmingus kibernetinio saugumo incidentus arba didelio masto incidentams lygiaverčius kibernetinio saugumo incidentus ir pradiniu veiklos atkūrimu po tokių incidentų;

(52)

šiame reglamente ES kibernetinio saugumo rezervui ir patikimiems valdomų saugumo paslaugų teikėjams nustatytos sąlygos turėtų būti taikomos teikiant paramą SEP asocijuotosioms trečiosioms valstybėms. SEP asocijuotosios trečiosios valstybės turėtų turėti galimybę prašyti paramos iš ES kibernetinio saugumo rezervo, jeigu subjektai, į kuriuos nusitaikyta ir kuriems jos prašo paramos iš ES kibernetinio saugumo rezervo, yra subjektai, vykdantys veiklą ypatingos svarbos sektoriuose arba subjektai, vykdantys veiklą kituose itin svarbiuose sektoriuose, ir jeigu nustatyti incidentai sukelia didelių veiklos sutrikimų arba gali turėti šalutinį poveikį Sąjungoje. SEP asocijuotosios trečiosios valstybės turėtų būti laikomos atitinkančiomis reikalavimus paramai gauti tik tuo atveju, jei susitarime, pagal kurį jos yra prisijungusios prie SEP, konkrečiai numatyta tokia parama. Be to, tokios trečiosios valstybės turėtų būti laikomos atitinkančiomis reikalavimus tik tol, kol tenkinami trys kriterijai. Pirma, trečioji valstybė turėtų visiškai laikytis atitinkamų to susitarimo sąlygų. Antra, atsižvelgiant į ES kibernetinio saugumo rezervo papildomumą, trečioji valstybė turi būti ėmusis tinkamų veiksmų, kad pasirengtų reikšmingiems kibernetinio saugumo incidentams arba didelio masto incidentams lygiaverčiams kibernetinio saugumo incidentams. Trečia, paramos iš ES kibernetinio saugumo rezervo teikimas turėtų derėti su Sąjungos politika tos valstybės atžvilgiu ir bendrais santykiais su ja bei su kitomis Sąjungos politikos sritimis saugumo srityje. Vertindama atitiktį tam trečiajam kriterijui, Komisija turėtų konsultuotis su vyriausiuoju įgaliotiniu dėl tokios paramos teikimo suderinimo su bendra užsienio ir saugumo politika;

(53)

SEP asocijuotosioms trečiosioms valstybėms teikiama parama gali daryti poveikį santykiams su trečiosiomis valstybėmis ir Sąjungos saugumo politikai, be kita ko, bendros užsienio ir saugumo politikos bei bendros saugumo ir gynybos politikos srityje. Todėl tikslinga Tarybai suteikti įgyvendinimo įgaliojimus duoti leidimą ir nustatyti laikotarpį, per kurį tokia parama gali būti teikiama. Taryba turėtų veikti remdamasi Komisijos pasiūlymu, deramai atsižvelgdama į Komisijos atliktą trijų kriterijų įvertinimą. Tas pats turėtų būti taikoma galiojimo pratęsimams ir pasiūlymams iš dalies pakeisti arba panaikinti tokius aktus. Išimtiniais atvejais, kai Taryba mano, kad pagal trečiąjį kriterijų iš esmės pasikeitė aplinkybės, Taryba turėtų galėti veikti savo iniciatyva ir iš dalies pakeisti arba panaikinti įgyvendinimo aktą, nelaukdama Komisijos pasiūlymo. Tikėtina, kad dėl tokių reikšmingų pokyčių reikės imtis skubių veiksmų, kurie turės ypač didelį poveikį santykiams su trečiosiomis valstybėmis, o išsamaus Komisijos išankstinio vertinimo nereikės. Be to, dėl SEP asocijuotųjų trečiųjų valstybių prašymų ir tokioms trečiosioms valstybėms suteiktos paramos įgyvendinimo Komisija turėtų bendradarbiauti su vyriausiuoju įgaliotiniu. Komisija taip pat turėtų atsižvelgti į visas ENISA pateiktas nuomones dėl tokių prašymų ir paramos. Komisija turėtų informuoti Tarybą apie prašymų vertinimo rezultatus, įskaitant atitinkamus su tuo susijusius svarstymus, ir apie teikiamas paslaugas;

(54)

2023 m. balandžio 18 d. Komisijos komunikate dėl Kibernetinio saugumo įgūdžių akademijos pabrėžtas kvalifikuotų specialistų trūkumas. Tokie įgūdžiai yra reikalingi šio reglamento tikslams pasiekti. Sąjungai skubiai reikia įgūdžių ir kompetenciją turinčių specialistų, kad būtų galima užkirsti kelią kibernetiniams išpuoliams, juos nustatyti ir nuo jų atgrasyti ir ginti Sąjungą, įskaitant jos svarbiausią infrastruktūrą, nuo tokių išpuolių ir užtikrinti jos atsparumą. Tuo tikslu svarbu skatinti suinteresuotųjų subjektų, įskaitant privataus sektoriaus, pilietinės visuomenės ir akademinės bendruomenės subjektus, bendradarbiavimą. Taip pat svarbu kurti sinergiją visose Sąjungos teritorijose, kad investicijos į švietimą ir mokymą skatintų kurti apsaugos priemones, kuriomis būtų užkirstas kelias protų nutekėjimui ar kad kai kuriuose regionuose įgūdžių spragos nedidėtų daugiau nei kituose. Būtina skubiai užpildyti kibernetinio saugumo įgūdžių spragas, ypatingą dėmesį skiriant lyčių atotrūkio kibernetinio saugumo darbo rinkoje mažinimui, kad būtų skatinamas moterų dalyvavimas kuriant skaitmeninio valdymo struktūrą;

(55)

siekiant skatinti inovacijas bendrojoje skaitmeninėje rinkoje, svarbu stiprinti mokslinius tyrimus ir inovacijas kibernetinio saugumo srityje, kad būtų didinamas valstybių narių atsparumas ir Sąjungos atviras strateginis savarankiškumas – abu šie tikslai yra šio reglamento tikslai. Sinergija yra labai svarbi siekiant stiprinti įvairių suinteresuotųjų subjektų, įskaitant privataus sektoriaus, pilietinės visuomenės ir akademinės bendruomenės subjektus, bendradarbiavimą ir jų veiksmų koordinavimą;

(56)

šiuo reglamentu turėtų būti atsižvelgiama į 2022 m. sausio 26 d. Europos Parlamento, Tarybos ir Komisijos bendroje deklaracijoje „Europos deklaracija dėl skaitmeninio dešimtmečio skaitmeninių teisių ir principų parengimo“ nustatytą įsipareigojimą apsaugoti Sąjungos demokratijos, žmonių, įmonių ir viešųjų institucijų interesus nuo kibernetinio saugumo pavojų ir kibernetinių nusikaltimų, įskaitant duomenų saugumo pažeidimus ir tapatybės vagystes ar manipuliavimą tapatybe;

(57)

siekiant papildyti tikrus neesminius šio reglamento elementus, Komisijai pagal SESV 290 straipsnį turėtų būti deleguoti įgaliojimai priimti aktus, kuriuose būtų nustatyti ES kibernetinio saugumo rezervui reikalingų reagavimo paslaugų rūšys ir skaičius. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais, ir kad tos konsultacijos būtų vykdomos vadovaujantis 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros (20) nustatytais principais. Visų pirma, siekiant užtikrinti vienodas galimybes dalyvauti rengiant deleguotuosius aktus, Europos Parlamentas ir Taryba visus dokumentus gauna tuo pačiu metu kaip ir valstybių narių ekspertai, o jų ekspertams sistemingai suteikiama galimybė dalyvauti Komisijos ekspertų grupių, kurios atlieka su deleguotaisiais aktais susijusį parengiamąjį darbą, posėdžiuose;

(58)

siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai išsamiau išdėstyti ES kibernetinio saugumo rezervo paramos paslaugų skyrimo procedūrinę tvarką. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011 (21);

(59)

nedarant poveikio taisyklėms, susijusioms su Sąjungos metiniu biudžetu pagal Sutartis, Komisija, vertindama ENISA biudžeto sudarymo ir personalo poreikius, turėtų atsižvelgti į iš šio reglamento kylančias pareigas;

(60)

Komisija turėtų reguliariai atlikti šiame reglamente nustatytų priemonių vertinimą. Pirmasis toks vertinimas turėtų būti atliekamas per pirmuosius 2 metus po šio reglamento įsigaliojimo dienos, o vėliau – bent kas 4 metus, atsižvelgiant į daugiametės finansinės programos, įsteigtos pagal SESV 312 straipsnį, peržiūros terminą. Komisija turėtų pateikti padarytos pažangos ataskaitą Europos Parlamentui ir Tarybai. Siekdama įvertinti įvairius reikiamus elementus, įskaitant informacijos, kuria dalijamasi Europos kibernetinio saugumo įspėjimų sistemoje, mastą, Komisija turėtų remtis tik lengvai prieinama arba savanoriškai pateikta informacija. Atsižvelgiant į geopolitinius pokyčius ir siekiant užtikrinti šiame reglamente nustatytų priemonių tęstinumą ir tolesnį plėtojimą po 2027 m., svarbu užtikrinti, kad Komisija įvertintų būtinybę skirti atitinkamą biudžetą 2028–2034 m. daugiametėje finansinėje programoje;

(61)

kadangi šio reglamento tikslų, t. y. stiprinti Sąjungos pramonės ir paslaugų sektorių konkurencinę padėtį visoje skaitmeninėje ekonomikoje ir prisidėti prie Sąjungos technologinio suverenumo ir atviro strateginio savarankiškumo kibernetinio saugumo srityje, valstybės narės negali deramai pasiekti, o dėl veiksmo masto arba poveikio tų tikslų būtų geriau siekti Sąjungos lygmeniu, laikydamasi ES sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šiuo reglamentu neviršijama to, kas būtina nurodytiems tikslams pasiekti,